dsh-plugin 1.6.6 → 1.6.7

package/src/server/services/install/preflight.ts

@@ -3,10 +3,10 @@
  * Website: https://dsh-plugin.org
  * GitHub: https://github.com/dshplugin/dsh-plugin-hub
  *
- * 安装前预检：对 GitHub 源的插件，检查其分发（codeload tarball）里是否
- * 真的包含 package.json 声明的入口文件（main / exports["."].default）。
- * git 分发常不提交构建产物（lib/ 等），这类残缺包装完会让宿主重启加载插件树时
- * ERR_MODULE_NOT_FOUND 直接崩溃 —— 预检在动手安装前就把它们拦下，避免白装一次。
+ * 安装前预检：对 GitHub 源的插件，检查其分发（codeload tarball）里是否真的包含
+ * package.json 声明的文件（main / exports["."] / dsh.bundle.patch）。git 分发常不提交
+ * 构建产物（lib/ 等），这类残缺包装完会让宿主重启加载插件树时 ERR_MODULE_NOT_FOUND
+ * 直接崩溃 —— 预检在动手安装前就把它们拦下，避免白装一次。
  * npm 包信任 registry 的完整性，直接放行；任何无法预检的情况也放行，交给装后
  * 校验（verifyInstalledEntry）兜底，保证预检自身失败不会卡死安装流程。
  */
@@ -19,7 +19,7 @@ import { pipeline } from 'node:stream/promises'
 import { promisify } from 'node:util'
 import { githubRefOf, githubRepoOf } from '../profile/profile.ts'
 import { githubReleaseTarget } from './release-target.ts'
-import { resolvePackageEntry } from './package-entry.ts'
+import { requiredDistributionFiles, resolveBundlePatchFiles } from './package-entry.ts'
 
 const execFileAsync = promisify(execFile)
 
@@ -27,7 +27,8 @@ const execFileAsync = promisify(execFile)
  *  否则 `/install` 请求永远不返回、任务不入队、前端进度卡 0%。超时后放行（交给装后校验）。 */
 const PREFLIGHT_TIMEOUT_MS = 15_000
 
-/** 预检结果：ok=false 表示分发改入口文件缺失，missing 为该文件在包内的相对路径；
+/** 预检结果：ok=false 表示分发改 package.json 声明的文件（入口或 bundle 补丁），
+ *  missing 为该文件在包内的相对路径；
  *  name 为 git 分发包 package.json 声明的包名（非 git 目标/无法确定时为 null），
  *  供安装路由做「包名冲突」检测 —— 同名包名已被其他来源占用时，pnpm 装前必然撞车，
  *  需要把晦涩的 CLI 报错转成明确的拦截。 */
@@ -57,9 +58,17 @@ export async function preflightTarget(target: string): Promise<PreflightResult>
     const rootPrefix = rootPackage.slice(0, -'package.json'.length)
     const meta = await readTarJson(tar, rootPackage)
     if (meta === null) return { ok: true, missing: null, name: null }
-    const entry = resolvePackageEntry(meta)
-    const inTar = await hasTarEntry(tar, `${rootPrefix}${entry}`)
-    return { ok: inTar, missing: inTar ? null : entry, name: typeof meta.name === 'string' ? meta.name : null }
+    // 只校验作者声明过的文件：没声明入口的包（只挂技能的 bundle）没有可缺失的入口，
+    // 它的分发是否完整由 dsh.bundle.patch 是否在包里决定；补丁若按本包名 mount 自己，
+    // 入口又变成必须的（宿主会 import 本包）—— 所以判入口前先把补丁读出来。
+    const patchTexts: string[] = []
+    for (const file of resolveBundlePatchFiles(meta)) {
+      const text = await readTarText(tar, `${rootPrefix}${file}`)
+      if (text !== null) patchTexts.push(text)
+    }
+    const required = requiredDistributionFiles(meta, patchTexts).map((file) => `${rootPrefix}${file}`)
+    const missing = missingDistributionFileOfTarList(await tarListing(tar), required)
+    return { ok: missing === null, missing, name: typeof meta.name === 'string' ? meta.name : null }
   } catch {
     return { ok: true, missing: null, name: null }
   } finally {
@@ -125,31 +134,51 @@ export function rootPackageEntryOfTarList(listing: string): string | null {
   return candidates.length === 1 ? candidates[0] : null
 }
 
+/**
+ * 清单里第一个缺失的必需文件（成员名带包根前缀，由调用方拼好），全部都在则为 null。
+ * 清单不可读（tar 缺失/解压失败）时按第一个必需文件缺失处理：与逐文件查询时
+ * 「查不到就是缺」的判定一致，宁可拦下一次可疑安装，也不放一个空包过去。
+ * Exported for a small parser regression test.
+ */
+export function missingDistributionFileOfTarList(listing: string | null, required: string[]): string | null {
+  if (required.length === 0) return null
+  if (listing === null) return required[0]
+  const present = new Set(listing.split(/\r?\n/))
+  return required.find((file) => !present.has(file)) ?? null
+}
+
 async function rootPackageEntry(tar: string): Promise<string | null> {
+  const listing = await tarListing(tar)
+  return listing === null ? null : rootPackageEntryOfTarList(listing)
+}
+
+/** tar 成员清单；`tar` 执行失败时返回 null（调用方按无法判定处理）。 */
+async function tarListing(tar: string): Promise<string | null> {
   try {
     const { stdout } = await execFileAsync('tar', ['-tzf', tar], { maxBuffer: 16 * 1024 * 1024 })
-    return rootPackageEntryOfTarList(stdout)
+    return stdout
   } catch {
     return null
   }
 }
 
-/** 从 tarball 提取并解析一个 JSON 文件；文件不存在或解析失败返回 null。 */
-async function readTarJson(tar: string, entry: string): Promise<Record<string, unknown> | null> {
+/** 从 tarball 提取一个文件的内容；文件不存在或提取失败返回 null。 */
+async function readTarText(tar: string, entry: string): Promise<string | null> {
   try {
     const { stdout } = await execFileAsync('tar', ['-xzOf', tar, entry], { maxBuffer: 4 * 1024 * 1024 })
-    return JSON.parse(stdout) as Record<string, unknown>
+    return stdout
   } catch {
     return null
   }
 }
 
-/** 检查 tarball 内是否存在指定 entry。 */
-async function hasTarEntry(tar: string, entry: string): Promise<boolean> {
+/** 从 tarball 提取并解析一个 JSON 文件；文件不存在或解析失败返回 null。 */
+async function readTarJson(tar: string, entry: string): Promise<Record<string, unknown> | null> {
+  const text = await readTarText(tar, entry)
+  if (text === null) return null
   try {
-    const { stdout } = await execFileAsync('tar', ['-tzf', tar, entry], { maxBuffer: 1024 * 1024 })
-    return stdout.split(/\r?\n/).some((line) => line === entry)
+    return JSON.parse(text) as Record<string, unknown>
   } catch {
-    return false
+    return null
   }
 }

package/src/server/services/install/task-queue.ts

@@ -8,7 +8,7 @@
  * 输出流式收集到任务上；卸载成功时尝试从运行中 loader 即时停用（见 loader.ts）。
  */
 import { spawn, spawnSync } from 'node:child_process'
-import { resolvePackageEntry } from './package-entry.ts'
+import { requiredDistributionFiles, resolveBundlePatchFiles, type PackageManifest } from './package-entry.ts'
 import { existsSync, readFileSync, statSync } from 'node:fs'
 import { dirname, join, resolve } from 'node:path'
 import type { InstallResult, InstallTask, Invocation, QueueItem } from './install-types.ts'
@@ -625,10 +625,12 @@ function spawnMutation(options: {
 }
 
 /**
- * 安装后校验已装包的入口文件（package.json 的 main / exports["."].default）是否真实存在。
- * git: 分发常不提交构建产物（lib/ 等），pnpm 装完没有报错，但宿主重启加载插件树时会
- * ERR_MODULE_NOT_FOUND 直接崩溃、网页打不开 —— 这里在登记「待重启」前就把这类残缺包拦下。
- * 返回 { name, missing }：name 为空表示无法定位目标包（跳过校验）；missing 为缺失的入口路径。
+ * 安装后校验已装包里 package.json 声明的文件（main / exports["."].default 与
+ * dsh.bundle.patch）是否真实存在。git: 分发常不提交构建产物（lib/ 等），pnpm 装完没有
+ * 报错，但宿主重启加载插件树时会 ERR_MODULE_NOT_FOUND 直接崩溃、网页打不开 —— 这里在
+ * 登记「待重启」前就把这类残缺包拦下。没有声明过的文件不在这里追究：没声明入口的
+ * bundle 包（只挂技能）本来就不需要入口，宿主读的是它的 package.json 与声明的补丁。
+ * 返回 { name, missing }：name 为空表示无法定位目标包（跳过校验）；missing 为缺失文件的路径。
  */
 export function verifyInstalledEntry(profile: string, target: string): { name: string | null; missing: string | null } {
   let profilePkg: Record<string, unknown> | null = null
@@ -645,21 +647,29 @@ export function verifyInstalledEntry(profile: string, target: string): { name: s
     : deps[target] !== undefined ? target : Object.keys(deps).find((k) => deps[k] === target)
   if (!name) return { name: null, missing: null }
   const pkgDir = join(profileDirectory(profile), 'node_modules', name)
-  let entry: string | null = null
+  let required: string[] = []
   try {
-    const meta = JSON.parse(readFileSync(join(pkgDir, 'package.json'), 'utf8')) as {
-      main?: unknown
-      exports?: unknown
-    }
-    entry = resolvePackageEntry(meta)
+    const meta = JSON.parse(readFileSync(join(pkgDir, 'package.json'), 'utf8')) as PackageManifest
+    // 补丁按本包名 mount 自己时入口也是必须的，所以先读已装包里的补丁（读不到就当没有）。
+    const patchTexts = resolveBundlePatchFiles(meta).flatMap((file) => {
+      try {
+        return [readFileSync(join(pkgDir, file), 'utf8')]
+      } catch {
+        return []
+      }
+    })
+    required = requiredDistributionFiles(meta, patchTexts)
   } catch {
     return { name, missing: null }
   }
-  try {
-    return { name, missing: statSync(join(pkgDir, entry)).isFile() ? null : entry }
-  } catch {
-    return { name, missing: entry }
+  for (const file of required) {
+    try {
+      if (!statSync(join(pkgDir, file)).isFile()) return { name, missing: file }
+    } catch {
+      return { name, missing: file }
+    }
   }
+  return { name, missing: null }
 }
 
 /** 从 pnpm `Ignored build scripts:` 提示行解析被拦截的构建脚本 key（name@version，逗号分隔）。 */
@@ -749,21 +759,21 @@ export async function runPluginMutation(options: {
       }
     }
   }
-  // pnpm 安装本身成功，但目标包入口文件缺失（git 分发缺构建产物）→ 判为失败：
+  // pnpm 安装本身成功，但目标包声明分发的文件缺失（git 分发缺构建产物 / 缺声明的补丁）→ 判为失败：
   // 撤销刚登记的待重启，避免用户重启时宿主加载残缺包直接崩溃。
   // 全局 npm 安装不进 profile（profile deps 里没有这些包），跳过入口校验
   if (options.action !== 'remove' && result.exitCode === 0 && !result.timedOut && (options.globalNpm ?? []).length === 0) {
     const verified = verifyInstalledEntry(options.profile, options.target)
     if (verified.name !== null && verified.missing !== null) {
       clearPendingRestart(options.displayTarget ?? options.target)
-      const detail = `[packaging] ${verified.name}: entry file missing: ${verified.missing} (git distribution lacks build output — install the npm version or report to the author)`
+      const detail = `[packaging] ${verified.name}: declared file missing: ${verified.missing} (git distribution lacks build output — install the npm version or report to the author)`
       if (options.task && options.task.status !== 'cancelled') {
         options.task.status = 'failed'
         options.task.exitCode = null
         options.task.progress = 0
         pushLine(options.task, detail)
       }
-      return { exitCode: 1, timedOut: false, error: `entry file missing: ${verified.missing}`, stdout: result.stdout, stderr: `${result.stderr}\n${detail}` }
+      return { exitCode: 1, timedOut: false, error: `declared file missing: ${verified.missing}`, stdout: result.stdout, stderr: `${result.stderr}\n${detail}` }
     }
   }
   // npm arborist edgesOut 崩溃 + 本机 npm 版本过低 → 追加 [npm-too-low] 标记，前端据此给准确原因