dsh-plugin 2.0.4 → 2.0.5

package/src/client/locales.ts

@@ -26,9 +26,11 @@ export const zh = {
   loading: '正在加载插件数据…',
   failed: '插件数据加载失败',
   // 目录拉不出来时的精准提示：按「是否配置了代理」区分，引导排查网络 / 代理
-  failedDescNoProxy: '你的网络似乎不通，无法获取插件目录数据。请检查网络连接后重试；或点击右上角按钮在浏览器中打开插件市场。',
-  failedDescProxy: '你的网络似乎不通，或设置里的 HTTP 代理地址不可达，无法获取插件目录数据。请检查代理设置与网络连接后重试；或点击右上角按钮在浏览器中打开插件市场。',
+  failedDescNoProxy: '无法获取插件目录数据（有数 MB）。网络较慢时首次加载可能超时，可重试或点「强制刷新」跳过本地缓存重新下载；加载成功后会缓存 1 小时。若持续失败，请点「网络诊断」确认目录站点可达。',
+  failedDescProxy: '无法获取插件目录数据（有数 MB）。网络较慢，或设置里的 HTTP 代理不可达/链路抖动时，首次加载可能超时；可重试或点「强制刷新」跳过缓存重新下载。加载成功后会缓存 1 小时。',
   retry: '重试',
+  forceReload: '强制刷新',
+  forceReloadHint: '跳过本地缓存的插件目录，重新从服务器下载（缓存异常或弱网重试时用）',
   install: '安装',
   // 需在终端手动安装的插件（webInstallable=false）：两种情形共用一句 —— 命令网页端代执行不了
   //（npx 安装器 / 本地 link），或命令能跑但装机过程要在终端完成（仓库带 prepare 构建钩子、
@@ -343,6 +345,7 @@ export const zh = {
   failPnpmMissingHint: '安装器找到了 dsh，但系统里没有 pnpm 命令（dsh 用它来管理 profile 插件）。请先安装 pnpm（如 npm install -g pnpm），确认 pnpm 已加入 PATH 后重试。这不是插件本身的问题。',
   failNpmMissingHint: '系统找不到 npm 命令（npm 未安装或未加入系统 PATH），无法执行全局安装。请先安装 Node.js（自带 npm），确认 npm 已加入 PATH 后重试。这不是插件本身的问题。',
   failBuildToolchainHint: '这个插件依赖需要在本机编译的原生模块，但机器上缺少可用的编译工具链。请按系统安装后重试：Windows 安装 Visual Studio Build Tools（含「使用 C++ 的桌面开发」）；macOS 执行 xcode-select --install；Linux 安装 build-essential、python3 与 make。若装好工具链后仍然失败，再向插件作者反馈，请其提供预构建产物。',
+  bundleDeselectedHint: '注意：插件市场在当前 profile 的 bundle 列表中被取消勾选，重启宿主后它不会出现。请到「设置 → 插件」重新勾选 dsh-plugin。',
   failPnpmStoreHint: '安装器调用 pnpm 时报「store 位置不匹配」（ERR_PNPM_UNEXPECTED_STORE）：你的 profile 目录里旧插件依赖是用另一个大版本的 pnpm 生成的，当前 pnpm 出于安全不认旧目录，导致任何插件装进该 profile 都会失败。请删除该 profile 目录下的 node_modules 与 pnpm-lock.yaml（可先到「系统日志」或 ~/.dsh/profiles/<profile>/hub.log 查看完整报错），再重新安装。这不是插件本身的问题。',
   failPnpmUnusedPatchHint: '安装器调用 pnpm 时报「有些补丁没有被使用」（ERR_PNPM_UNUSED_PATCH）：你的 profile 里留着一条指向旧版本 dsh-plugin 的补丁声明（例如 dsh-plugin@1.4.2），而本次安装解析到的版本已经不是它，pnpm 出于安全直接中止整次安装，因此任何插件都装不进来。这不是插件本身的问题——请在 profile 目录（~/.dsh/profiles/<profile>）的 pnpm-workspace.yaml（pnpm 11 及以上）或 package.json 的 pnpm.patchedDependencies（pnpm 10）里删除该 dsh-plugin 补丁条目后重试。',
   // 404 依赖：点名 registry 上不存在的那个包（取不到包名时跳过这行），再给删除条目的指引
@@ -416,6 +419,7 @@ export const zh = {
   failFsUnavailableHint: '安装过程中 pnpm 无法把文件写进本机磁盘（这类报错与装哪个插件无关，任何插件装在同一目录都会失败，不是插件本身的问题）。请按报错对号入座：① 磁盘空间不足（ENOSPC / no space left on device，Windows 为 os error 112）——请清理 profile 所在磁盘的剩余空间后重试；② 磁盘或挂载点只读、带写保护（EROFS / read-only file system，Windows 为 os error 19）——请确认 profile 目录所在磁盘可写（外接盘/U 盘、带写保护的移动盘或只读挂载的分区都会触发），必要时把插件目录换到系统盘的可写位置；③ 进程可用的文件句柄被耗尽（EMFILE / ENFILE / too many open files）——请关闭占用大量文件的程序并重启 DeepSeek Harness 后重试。',
   failPnpmWorkspaceHint: '安装器调用 pnpm 时报「不能把依赖装到 workspace 根目录」（ERR_PNPM_ADDING_TO_ROOT）：你的 profile 目录被 pnpm 视为 workspace 根目录，而本次安装命令没有声明在根目录操作，pnpm 直接拒绝执行，因此任何插件装进来都会失败。这不是插件本身的问题——可在 profile 目录（~/.dsh/profiles/<profile>）的 .npmrc 里加一行 ignore-workspace-root-check=true 后重试，或把 DeepSeek Harness 升级到最新版再试。',
   failPnpmTarballIntegrityHint: 'pnpm 报 ERR_PNPM_MISSING_TARBALL_INTEGRITY：锁文件中的 tarball 条目没有校验值，无法验证下载的包。先查看完整日志，完全退出 DeepSeek Harness，并检查、备份当前 profile 的 package.json、pnpm-lock.yaml 和 pnpm-workspace.yaml。确认依赖来源后，将 pnpm-lock.yaml 改名保留，再通过同一 DSH 安装器安装适配当前宿主版本的插件，重新生成锁文件。重建会重新解析 profile 依赖，请核对新旧版本；保持完整性校验开启。',
+  failPnpmTarballMismatchHint: 'pnpm 报 ERR_PNPM_TARBALL_INTEGRITY：profile 里某个从 GitHub 分支安装的依赖（例如 github:owner/repo#main）在远端更新了，tarball 内容变了，但 pnpm-lock.yaml 里存的还是旧校验和，于是整个 profile 的依赖安装都会卡在它上面。处理：打开 ~/.dsh/profiles/<profile>/pnpm-lock.yaml，删掉该 GitHub 依赖对应的条目（不确定是哪个就把整份锁文件改名备份），再重新安装；长期做法是把依赖固定到具体 commit（github:owner/repo#<commit>），分支再更新也不会改变校验和。',
   failPnpmPolicyHint: '安装器调用 pnpm 时被其供应链安全策略拦截——装任何插件都会撞墙，不是插件本身的问题。分两种情况处理：① 提示「Minimum release age」（ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION）：包发布还不满 24 小时，pnpm 11 出于安全会拒收这种刚发布的新包。可在 pnpm 配置（pnpm-workspace.yaml）里加 minimumReleaseAge: 0 豁免，或等满 24 小时后重试。② 提示「untrusted origin」（ERR_PNPM_UNTRUSTED_ORIGIN）：依赖来源不被本机 pnpm 信任，通常是该 profile 里之前用 github: 或非官方 npm 源装过插件，锁文件记录了不受信任的来源。请删除该 profile 目录下的 node_modules 与 pnpm-lock.yaml 后重新安装（可先到「系统日志」或 ~/.dsh/profiles/<profile>/hub.log 查看完整报错）。',
   // minimumReleaseAge 专属：从报错里算出确切的可重试时刻（{time}），让用户知道「何时能再装」，
   // 而不是笼统地让等 24 小时
@@ -486,9 +490,11 @@ export const en = {
   loading: 'Loading plugin data…',
   failed: 'Failed to load plugin data',
   // 目录加载失败时的精准提示：按是否配置了代理区分
-  failedDescNoProxy: 'Your network seems unreachable, so the plugin catalog could not be loaded. Please check your connection and retry; or open the hub in your browser with the button above.',
-  failedDescProxy: 'Your network seems unreachable, or the HTTP proxy in Settings is unreachable, so the plugin catalog could not be loaded. Please check the proxy address and your connection, then retry; or open the hub in your browser with the button above.',
+  failedDescNoProxy: 'The plugin catalog could not be loaded (a few MB). The first load can time out on a slow connection — retry, or use "Force refresh" to skip the local cache and download it again. Once it succeeds the catalog is cached for an hour. If it keeps failing, run the network diagnostic.',
+  failedDescProxy: 'The plugin catalog could not be loaded (a few MB). A slow connection, or an unreachable/unstable HTTP proxy in Settings, can make the first load time out — retry, or use "Force refresh" to skip the cache. Once it succeeds the catalog is cached for an hour.',
   retry: 'Retry',
+  forceReload: 'Force refresh',
+  forceReloadHint: 'Skip the cached catalog and download it again from the server (use when the cache looks wrong or on a slow network)',
   install: 'Install',
   // 需在终端手动安装的插件（webInstallable=false）：两种情形共用一套措辞 ——
   // 网页端完全跑不了该命令（npx 安装器 / 本地 link），或能跑但装机过程要在终端完成
@@ -803,6 +809,7 @@ export const en = {
   failPnpmMissingHint: 'The installer found dsh, but pnpm is missing on this machine (dsh uses it to manage profile plugins). Please install pnpm first (e.g. npm install -g pnpm), make sure it is on your PATH, then retry. This is not a problem with the plugin itself.',
   failNpmMissingHint: 'The npm command could not be found (npm is not installed or not on the system PATH), so a global install cannot run. Please install Node.js (which bundles npm), make sure npm is on your PATH, then retry. This is not a problem with the plugin itself.',
   failBuildToolchainHint: 'This plugin depends on a native module that must be compiled on your machine, but no usable build toolchain is available. Install one and retry: on Windows install Visual Studio Build Tools with the "Desktop development with C++" workload; on macOS run xcode-select --install; on Linux install build-essential, python3 and make. If it still fails after the toolchain is installed, report it to the plugin author and ask for a prebuilt package.',
+  bundleDeselectedHint: 'Note: the marketplace is unchecked in this profile\'s bundle list, so it will not appear after the host restarts. Re-check dsh-plugin under Settings → Plugins.',
   failPnpmStoreHint: 'pnpm reported an unexpected store location (ERR_PNPM_UNEXPECTED_STORE): the profile directory was previously set up with a different major version of pnpm, and the current pnpm refuses to reuse it — no plugin can be installed into that profile. Delete node_modules and pnpm-lock.yaml under the profile directory (see System Logs or ~/.dsh/profiles/<profile>/hub.log for the full output), then reinstall. This is not a problem with the plugin itself.',
   failPnpmUnusedPatchHint: 'pnpm reported that some patches were not used (ERR_PNPM_UNUSED_PATCH): your profile still holds a patch entry for an older dsh-plugin version (for example dsh-plugin@1.4.2), while this install resolved a different version, so pnpm aborts the whole install for safety — no plugin can be installed into that profile. This is not a problem with the plugin itself. Remove that dsh-plugin patch entry from pnpm-workspace.yaml (pnpm 11+) or from pnpm.patchedDependencies in package.json (pnpm 10) inside the profile directory (~/.dsh/profiles/<profile>), then retry.',
   // 缺失依赖：点名 404 的包（解析不出时跳过该行），再给删除指引
@@ -876,6 +883,7 @@ export const en = {
   failFsUnavailableHint: 'During install, pnpm could not write files to the local disk — this has nothing to do with which plugin you are installing: any plugin installed into the same directory would fail the same way, so it is not a problem with the plugin itself. Match the error you see: ① Out of space (ENOSPC / no space left on device, os error 112 on Windows) — free up space on the drive that holds the profile and retry. ② Read-only or write-protected volume (EROFS / read-only file system, os error 19 on Windows) — make sure the drive holding the profile directory is writable (external or USB drives, write-protected media, and read-only mounts all trigger this); move the plugin directory to a writable location on the system drive if needed. ③ File handles exhausted (EMFILE / ENFILE / too many open files) — close programs that hold many files open, restart DeepSeek Harness, then retry.',
   failPnpmWorkspaceHint: 'pnpm refused to add the dependency to the workspace root (ERR_PNPM_ADDING_TO_ROOT): the profile directory is treated as a pnpm workspace root, and this install command did not declare that it operates at the root, so pnpm rejected it outright — no plugin can be installed into that profile. This is not a problem with the plugin itself. Add `ignore-workspace-root-check=true` to the `.npmrc` inside the profile directory (~/.dsh/profiles/<profile>) and retry, or upgrade DeepSeek Harness and try again.',
   failPnpmTarballIntegrityHint: 'pnpm reported ERR_PNPM_MISSING_TARBALL_INTEGRITY: a tarball entry in the lockfile has no checksum to verify the downloaded package. Read the full log, fully quit DeepSeek Harness, and inspect and back up package.json, pnpm-lock.yaml and pnpm-workspace.yaml in the affected profile. Once the dependency sources are verified, rename pnpm-lock.yaml to preserve it, then use the same DSH installer to install a plugin version compatible with the host and regenerate the lockfile. This resolves profile dependencies again: compare the old and new versions, and keep integrity checks enabled.',
+  failPnpmTarballMismatchHint: 'pnpm reported ERR_PNPM_TARBALL_INTEGRITY: a dependency installed from a GitHub branch (for example github:owner/repo#main) changed upstream, so the tarball content no longer matches the checksum stored in pnpm-lock.yaml — and every install into that profile now stops on it. To fix: open ~/.dsh/profiles/<profile>/pnpm-lock.yaml, remove the entry for that GitHub dependency (or rename the whole lockfile as a backup if unsure which one it is), then reinstall. Long term, pin the dependency to a commit (github:owner/repo#<commit>) so branch updates no longer change its checksum.',
   failPnpmPolicyHint: 'The installer was blocked by pnpm supply-chain security policy — every plugin install would hit the same wall, so this is not a problem with the plugin itself. Two cases: ① "Minimum release age" (ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION): the package was published less than 24 hours ago, and pnpm 11 refuses freshly-published packages for safety. Add minimumReleaseAge: 0 to your pnpm config (pnpm-workspace.yaml) to opt out, or wait until the 24 hours have passed and retry. ② "untrusted origin" (ERR_PNPM_UNTRUSTED_ORIGIN): a dependency source is not trusted by this machine, usually because plugins were previously installed via github: or a non-official npm registry, so the lockfile records an untrusted source. Delete node_modules and pnpm-lock.yaml under the profile directory (see System Logs or ~/.dsh/profiles/<profile>/hub.log for the full output), then reinstall.',
   // 仅 minimumReleaseAge 场景：从报错算出确切的可重试时刻（{time}），让用户知道何时能装，
   // 而不是笼统的「等 24 小时」

package/src/client/logic/failures.ts

@@ -174,6 +174,13 @@ function missingTarballIntegrity(message: string): boolean {
   return /\bERR_PNPM_MISSING_TARBALL_INTEGRITY\b/.test(message)
 }
 
+/** GitHub 分支 tarball 内容变了、锁文件里还是旧校验和（ERR_PNPM_TARBALL_INTEGRITY）。
+ *  \b 保证不会命中 ERR_PNPM_MISSING_TARBALL_INTEGRITY：前者是有校验值但对不上，
+ *  后者是锁文件里压根没有校验值。 */
+function mismatchedTarballIntegrity(message: string): boolean {
+  return /\bERR_PNPM_TARBALL_INTEGRITY\b/.test(message)
+}
+
 /** pnpm 拒收「刚发布」包时，报错里带着发布时间；这里从报错文本算出「发布满 24h」的可重试时刻（UTC，分钟精度）。 */
 export function releaseAgeRetryAfter(message: string): string | null {
   const match = /published at (\d{4}-\d{2}-\d{2}T\d{2}:\d{2}:\d{2}(?:\.\d+)?Z)/.exec(message)
@@ -188,7 +195,9 @@ export function releaseAgeRetryAfter(message: string): string | null {
  * 可重试时刻时才走专属文案（给出确切的「何时可再试」），算不出时退回通用文案，
  * 避免出现「预计可重试时间：」后接空值的残缺句子。
  */
-export function pnpmPolicyHintOf(message: string): 'failPnpmTarballIntegrityHint' | 'failPnpmReleaseAgeHint' | 'failPnpmPolicyHint' {
+export function pnpmPolicyHintOf(message: string): 'failPnpmTarballIntegrityHint' | 'failPnpmTarballMismatchHint' | 'failPnpmReleaseAgeHint' | 'failPnpmPolicyHint' {
+  // 校验和对不上（分支 tarball 变了）：先于「缺校验值」，两者报错前缀不同但都叫 tarball integrity
+  if (mismatchedTarballIntegrity(message)) return 'failPnpmTarballMismatchHint'
   if (missingTarballIntegrity(message)) return 'failPnpmTarballIntegrityHint'
   if (/ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION|ERR_PNPM_NO_MATURE_MATCHING_VERSION|Minimum release age|minimumReleaseAge/i.test(message)
       && releaseAgeRetryAfter(message) !== null) {
@@ -230,9 +239,9 @@ export function classifyFailure(message: string): FailureKind {
   // 本地服务来源校验拒绝（403 untrusted origin），请求没进安装流程。必须在 pnpmPolicy 之前
   // —— 后者同名裸文本会把这条误判成供应链策略。用「整行以它结尾」区隔 pnpm 真实报错
   if (/(^|\n)untrusted origin\s*$/.test(message)) return 'originRejected'
-  // pnpm 供应链策略拦截（缺 tarball integrity / minimumReleaseAge / untrusted origin）。
+  // pnpm 供应链策略拦截（缺 tarball integrity / 校验和不匹配 / minimumReleaseAge / untrusted origin）。
   // 必须在 pnpmIgnoredBuild 之前
-  if (missingTarballIntegrity(message) || /ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION|ERR_PNPM_NO_MATURE_MATCHING_VERSION|Minimum release age|minimumReleaseAge|untrusted origin/i.test(message)) return 'pnpmPolicy'
+  if (missingTarballIntegrity(message) || mismatchedTarballIntegrity(message) || /ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION|ERR_PNPM_NO_MATURE_MATCHING_VERSION|Minimum release age|minimumReleaseAge|untrusted origin/i.test(message)) return 'pnpmPolicy'
   // profile 残留旧版本 patch 声明，pnpm 中止安装。必须在兜底之前
   if (/ERR_PNPM_UNUSED_PATCH|patches were not used/i.test(message)) return 'pnpmUnusedPatch'
   // profile 文件被其他进程占用（os error 32 / EBUSY）。ASCII 特征免疫乱码

package/src/client/styles/Modal.module.css

@@ -722,6 +722,15 @@
   padding: 12px 0 6px;
 }
 
+/* 市场自更新后 bundle 被取消勾选：重启后市场不会出现，用警示色提示重新勾选 */
+.bundleDeselectedHint {
+  padding: 12px 0 6px;
+  font-size: 12px;
+  line-height: 18px;
+  text-align: left;
+  color: var(--hub-warning);
+}
+
 /* 重启选择按钮对：稍后（次级文字）+ 立即重启（主按钮） */
 .restartLater {
   font-size: 12px;

package/src/client/styles/SectionTabs.module.css

@@ -12,10 +12,16 @@
   flex-shrink: 0;
   padding: 0 2px;
   border-bottom: 1px solid var(--hub-border-1);
+  /* 以自身宽度做容器查询基准：面板变窄时 tab 只剩图标 */
+  container-type: inline-size;
 }
 
 .tab,
 .tabActive {
+  /* 标签不折行：窄容器下保持单行，避免中文被逐字竖排 */
+  white-space: nowrap;
+  /* 容器再窄也不压缩 tab：拒绝收缩，转为横向溢出而不是纵向下坠 */
+  flex-shrink: 0;
   position: relative;
   display: inline-flex;
   align-items: center;
@@ -44,6 +50,18 @@
   font-weight: 600;
 }
 
+/* 容器够窄时只留图标：四个 tab 与通知入口保持单行、不横向溢出（名称仍由 aria-label 提供） */
+@container (max-width: 440px) {
+  .tabLabel {
+    display: none;
+  }
+
+  .tab,
+  .tabActive {
+    padding: 0 2px;
+  }
+}
+
 /* tab 图标：16px 随字号等宽对齐，SVG 继承 currentColor 自动跟随选中/悬浮色 */
 .tabIcon {
   flex-shrink: 0;

package/src/server/http/catalog.ts

@@ -23,6 +23,24 @@ function catalogCacheFile(profile: string, key: string): string {
   return join(profileDirectory(profile), 'cache', `catalog-${key}.json`)
 }
 
+/** 目录拉取超时：目录 JSON 约 3.6MB，20s 在弱网/代理链路上不够用；
+ *  客户端会在超时后重试，重试必须共享同一次拉取（见 fetchCatalogOnce）。 */
+const CATALOG_FETCH_TIMEOUT_MS = 60_000
+
+/** 并发拉取去重：客户端超时重试会并发打进来，共享同一次 curl，
+ *  避免多份 3.6MB 下载互相抢带宽、越重试越慢。 */
+const inflightCatalog = new Map<string, ReturnType<typeof fetchViaCurl>>()
+
+function fetchCatalogOnce(target: string, proxy: string): ReturnType<typeof fetchViaCurl> {
+  const key = `${target}\n${proxy}`
+  const running = inflightCatalog.get(key)
+  if (running !== undefined) return running
+  const task = fetchViaCurl(target, proxy, CATALOG_FETCH_TIMEOUT_MS)
+    .finally(() => { inflightCatalog.delete(key) })
+  inflightCatalog.set(key, task)
+  return task
+}
+
 /** 读缓存：文件存在、JSON 合法、未超过 maxAgeMs → 返回原始响应字符串；否则 null（视为 miss）。
  *  maxAgeMs 传 Infinity 即「任意年龄的缓存」，供实时拉取失败时兜底使用。 */
 function readCatalogCache(file: string, maxAgeMs: number): string | null {
@@ -103,9 +121,12 @@ export function registerCatalogRoutes(webServer: WebServerService, profile: stri
         const target = isStats
           ? 'https://api.dsh-plugin.org/stats.json'
           : `https://api.dsh-plugin.org/plugins.${lang}.json`
-        // 1 小时本地缓存：命中直接返回（跨重启生效，插件市场秒开），未命中才走 curl 拉远程
+        // 1 小时本地缓存：命中直接返回（跨重启生效，插件市场秒开），未命中才走 curl 拉远程。
+        // refresh=1 跳过 TTL 缓存直接回源（「强制刷新」用）；成功后照样覆盖缓存，
+        // 失败仍回退旧缓存，所以强制刷新不会把可用的旧数据弄丢。
         const cacheFile = catalogCacheFile(profile, isStats ? 'stats' : `plugins-${lang}`)
-        const cached = readCatalogCache(cacheFile, CATALOG_CACHE_TTL_MS)
+        const forceRefresh = url.searchParams.get('refresh') === '1'
+        const cached = forceRefresh ? null : readCatalogCache(cacheFile, CATALOG_CACHE_TTL_MS)
         if (cached !== null) {
           try {
             sendJson(response, 200, JSON.parse(cached))
@@ -114,7 +135,7 @@ export function registerCatalogRoutes(webServer: WebServerService, profile: stri
             // 缓存正文损坏：忽略，走重新拉取并覆盖写盘
           }
         }
-        const r = await fetchViaCurl(target, proxy, 20000)
+        const r = await fetchCatalogOnce(target, proxy)
         if (!r.ok || r.body === '') {
           // 实时拉取失败：退回任意年龄的本地缓存（上次成功数据），
           // 避免证书吊销受阻 / 网络抖动时整个插件市场打不开 —— 数据可能过期，但好过空白。

package/src/server/http/diagnostics.ts

@@ -71,6 +71,29 @@ function toolVersion(cmd: string, args: string[]): string | null {
   }
 }
 
+/** 本机实际生效的 npm registry：诊断与安装同口径 —— 设置里留空时读用户 npm 配置
+ *  （含 profile 目录的 .npmrc），而不是硬探官方源，避免「能装但诊断说源不通」。
+ *  读不到（npm 缺失/超时/输出异常）时回退官方源。 */
+function configuredNpmRegistry(profile: string): string {
+  const fromEnv = process.env.npm_config_registry ?? process.env.NPM_CONFIG_REGISTRY ?? ''
+  const valid = (v: string): string | null => (/^https?:\/\//.test(v) ? v.replace(/\/+$/, '') : null)
+  const viaEnv = valid(fromEnv)
+  if (viaEnv !== null) return viaEnv
+  try {
+    const cwd = join(process.env.DSH_HOME ?? join(homedir(), '.dsh'), 'profiles', profile)
+    const r = spawnSync('npm', ['config', 'get', 'registry'], {
+      timeout: 3000,
+      encoding: 'utf8',
+      cwd,
+      shell: process.platform === 'win32',
+    })
+    const out = (r.stdout ?? '').trim().split(/\r?\n/).pop() ?? ''
+    return valid(out) ?? 'https://registry.npmjs.org'
+  } catch {
+    return 'https://registry.npmjs.org'
+  }
+}
+
 /** 宿主环境快照：提交 bug 时随 issue 附上，便于作者复现（前端 /env 端点返回）。 */
 export function hostEnv(profile: string): Record<string, string | null> {
   return {
@@ -109,17 +132,20 @@ export function registerDiagnosticsRoutes(webServer: WebServerService, profile:
         }
         const settings = loadSettings(profile)
         // npm 通道：设置里配置了镜像源就探测该镜像（安装通道吃同一个 registry）；
-        // 未配置（空串）时探测官方源作为「跟随本机 npm 配置」的基础连通性参考。
-        const registry = settings.npmRegistry.replace(/\/+$/, '') || 'https://registry.npmjs.org'
-        // 连通性自检打各通道的轻量资源：npm 源拉包元数据、GitHub 行探小仓库、目录站探
-        // 小文件，避免拉取目录全量 JSON。
-        // npm 行 display：配置了镜像就显示镜像地址；未配置置空 —— 客户端显示「未配置（跟随本机 npm 配置）」。
-        const allChecks: Array<{ key: string; url: string; display: string; cmd: string; proxy?: string; git?: boolean }> = [
-          { key: 'npm', url: `${registry}/dsh-plugin`, display: settings.npmRegistry !== '' ? registry : '', cmd: `npm view dsh-plugin version --registry ${registry}` },
+        // 未配置（空串）时探测本机 npm 配置里实际生效的源 —— 与安装同口径。
+        const registry = settings.npmRegistry.replace(/\/+$/, '') || configuredNpmRegistry(profile)
+        // 连通性自检打各通道的轻量资源：npm 源拉包元数据、GitHub 行探小仓库、
+        // 目录站按 Range 取 1KB（探市场真实下载的 plugins.zh.json，但不整份下载）。
+        // npm 行 display：显式配置、或本机 npm 源不是官方源时显示实际地址，
+        // 让用户看到「诊断的到底是哪个源」；官方源且未配置时留空（显示「跟随本机 npm 配置」）。
+        const allChecks: Array<{ key: string; url: string; display: string; cmd: string; proxy?: string; git?: boolean; range?: string }> = [
+          { key: 'npm', url: `${registry}/dsh-plugin`, display: settings.npmRegistry !== '' || registry !== 'https://registry.npmjs.org' ? registry : '', cmd: `npm view dsh-plugin version --registry ${registry}` },
           // GitHub 行用真实 git 克隆握手（git ls-remote）打 dshplugin/hello-dsh 小仓库：
           // 「网页能打开」和「git 能克隆」是两码事，握手成功才算通道通；小仓库秒级完成，不打 17MB 的 dsh-plugin-hub。
           { key: 'github', url: 'https://github.com/dshplugin/hello-dsh', display: 'github.com', cmd: 'git ls-remote https://github.com/dshplugin/hello-dsh', git: true },
-          { key: 'catalog', url: 'https://api.dsh-plugin.org/stats.json', display: '', cmd: 'curl -s https://api.dsh-plugin.org/stats.json' },
+          // 目录行探市场真正下载的那个文件（plugins.zh.json），只取前 1KB：
+          // 只探 stats.json 会出现「诊断绿、市场加载不出来」—— 两者端点与体积完全不同。
+          { key: 'catalog', url: 'https://api.dsh-plugin.org/plugins.zh.json', display: '', cmd: 'curl -r 0-1023 https://api.dsh-plugin.org/plugins.zh.json', range: '0-1023' },
         ]
         // 配置了 HTTP 代理：追加一行代理诊断 —— 用该代理打 github.com（安装通道真实访问的地址），
         // 验证「代理能不能把请求带出去」。与安装同口径：curl 子进程注入该代理 env。
@@ -140,7 +166,7 @@ export function registerDiagnosticsRoutes(webServer: WebServerService, profile:
         const effectiveProxy = settings.proxy !== ''
           ? settings.proxy
           : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '')
-        const probe = (url: string, proxy?: string) => probeUrl(url, proxy ?? effectiveProxy, 6000)
+        const probe = (url: string, proxy?: string, range?: string) => probeUrl(url, proxy ?? effectiveProxy, 6000, range)
         // 逐路串行：一条命令一条结果地推送给终端，保持「程序在跑」的真实感
         const results: Array<{ key: string; ok: boolean }> = []
         for (const c of checks) {
@@ -148,7 +174,7 @@ export function registerDiagnosticsRoutes(webServer: WebServerService, profile:
           // git 行走真实克隆握手（gitLsRemote），其余走 curl 探测，两路都带超时兜底
           const r = c.git
             ? await gitLsRemote(c.url, c.proxy ?? effectiveProxy, 6000)
-            : await probe(c.url, c.proxy)
+            : await probe(c.url, c.proxy, c.range)
           results.push({ key: c.key, ok: r.ok })
           // git 行的 status 是退出码，客户端 git 行只显示 OK / 不可达，不显示成 HTTP 码。
           // reason 透出失败细分原因（如 Windows 证书吊销受阻），客户端据此给对症提示而非笼统「不可达」。

package/src/server/services/install/install-types.ts

@@ -41,9 +41,11 @@ export interface InstallTask {
   /** 完成后是否仍需宿主重启才生效：仅「热挂载失败 / 非 dsh 插件 / 更新（ESM 缓存取不到新代码）/
    *  无 loader」等刷新解决不了的兜底场景为 true（弹窗给「立即重启」）；其余一律 false。 */
   needsRestart: boolean
-  /** 完成后是否只需刷新页面即生效（插件已热挂进运行中 loader，仅剩客户端 UI 待页面重新加载，
+  /** 完成结果是否只需刷新页面即生效（插件已热挂进运行中 loader，仅剩客户端 UI 待页面重新加载，
    *  网页端与桌面端一致）：true 时关闭结果弹窗即自动刷新页面，不给手动刷新按钮。 */
   needsReload?: boolean
+  /** 自更新成功、但该 profile 的 dsh.profile.bundles 已不含 dsh-plugin：重启后市场不会出现 */
+  bundleDeselected?: boolean
   /** 卸载入队时该包是否带客户端 UI（`dsh.client`）：卸载后包已从磁盘删除，只能入队前快照，
    *  卸载成功且曾存活时据此决定是否需要刷新页面摘除插件面板。 */
   hadClientUi?: boolean

package/src/server/services/install/task-queue.ts

@@ -20,7 +20,7 @@ import { cleanLine, estimateProgress } from '../profile/progress.ts'
 import type { LoaderHandle } from '../loader.ts'
 import { hasClientUi, isDshPlugin, mountLoadedEntry, removeLoadedEntry } from '../loader.ts'
 import { addPendingRestart, clearPendingRestart } from '../profile/pending-restart.ts'
-import { addAllowBuildsKey, githubRepoOf, parseAllowBuildsKey, profileDirectory } from '../profile/profile.ts'
+import { addAllowBuildsKey, bundleIncludes, githubRepoOf, parseAllowBuildsKey, profileDirectory } from '../profile/profile.ts'
 import { appendLog } from '../log.ts'
 
 /** 内存任务注册表，按任务 id 索引。 */
@@ -607,6 +607,11 @@ function spawnMutation(options: {
         task.status = result.timedOut || result.exitCode !== 0 ? 'failed' : 'done'
         if (task.status === 'done') {
           task.progress = 100
+          // 市场自更新：若 bundle 已被取消勾选，重启后市场不会出现，结果页要明确提示
+          if ((action === 'add' || action === 'update') && (target === 'dsh-plugin' || target.startsWith('dsh-plugin@'))
+            && !bundleIncludes(profile, 'dsh-plugin')) {
+            task.bundleDeselected = true
+          }
           if (isGlobalNpm) {
             // 全局 npm 安装：装的是本机 CLI 工具（如 dsh-tui），不进任何 profile，无需宿主重启
             task.needsRestart = false

package/src/server/services/probe.ts

@@ -187,13 +187,16 @@ async function curlWithTlsFallback(args: string[], env: NodeJS.ProcessEnv, timeo
  * 失败（curl 不存在 / 连接失败 / 超时）都归为不可达，全程不抛错。
  * 证书吊销检查受阻（Windows Schannel）另记 reason，供诊断给出对症提示。
  */
-async function curlProbe(url: string, proxy: string, timeoutMs: number): Promise<ProbeResult> {
+async function curlProbe(url: string, proxy: string, timeoutMs: number, range?: string): Promise<ProbeResult> {
   const started = Date.now()
   const discard = process.platform === 'win32' ? 'NUL' : '/dev/null'
   // -sS（而非仅 -s）：silent 会把连接/TLS 错误一并吞掉，而识别证书吊销受阻正需要 stderr；
   // 子进程 stderr 由我们收集、不会回显给用户，所以补 -S 不产生噪音。
+  // range：目录通道路由探真实的 plugins.zh.json，但只取前 1KB（-r 0-1023，返回 206 即视为可达），
+  // 避免诊断把 3.6MB 全量目录下载一遍。
   const r = await curlWithTlsFallback([
     '-sS', '-o', discard, '-w', '%{http_code}',
+    ...(range !== undefined ? ['-r', range] : []),
     '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))),
     url,
   ], proxyEnv(proxy), timeoutMs)
@@ -212,11 +215,12 @@ async function curlProbe(url: string, proxy: string, timeoutMs: number): Promise
 /**
  * 探测一个 HTTPS 目标：proxy 非空注入给 curl 子进程走代理，否则直连。
  * 供系统诊断 /diagnostics 使用；目标 URL 非法返回不可达。
+ * range（如 '0-1023'）只取前 N 字节，用于探大文件端点而不下载全量。
  */
-export function probeUrl(url: string, proxy: string, timeoutMs: number): Promise<ProbeResult> {
+export function probeUrl(url: string, proxy: string, timeoutMs: number, range?: string): Promise<ProbeResult> {
   let target: URL
   try { target = new URL(url) } catch { return Promise.resolve(probeFail()) }
-  return curlProbe(target.href, proxy, timeoutMs)
+  return curlProbe(target.href, proxy, timeoutMs, range)
 }
 
 /**
@@ -284,8 +288,9 @@ export async function finalUrl(url: string, proxy: string, timeoutMs: number): P
 export function fetchViaCurl(
   url: string, proxy: string, timeoutMs: number,
 ): Promise<{ ok: boolean; body: string; reason: ProbeFailReason | null }> {
-  // 同样用 -sS：正文之外还要 stderr 里的 TLS 失败线索（被 stderr 收集，不外泄给用户）
-  const args = ['-sS', '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))), url]
+  // 同样用 -sS：正文之外还要 stderr 里的 TLS 失败线索（被 stderr 收集，不外泄给用户）。
+  // --compressed：目录 JSON 约 3.6MB，源站支持 gzip，压缩后弱网下也能在超时内拉完。
+  const args = ['-sS', '--compressed', '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))), url]
   return curlWithTlsFallback(args, proxyEnv(proxy), timeoutMs).then((r) => ({
     ok: r.code === 0,
     body: r.stdout,

package/src/server/services/profile/profile.ts

@@ -49,6 +49,21 @@ export function profileDirectory(profile: string): string {
   return join(process.env.DSH_HOME ?? join(homedir(), '.dsh'), 'profiles', profile)
 }
 
+/** profile 的 dsh.profile.bundles 是否仍包含指定包：取消勾选后 bundle patch 不再执行。
+ *  没有该清单或读取失败时返回 true —— 不归我们判断的情况不报警。 */
+export function bundleIncludes(profile: string, name: string): boolean {
+  try {
+    const pkg = JSON.parse(readFileSync(join(profileDirectory(profile), 'package.json'), 'utf8')) as {
+      dsh?: { profile?: { bundles?: unknown } }
+    }
+    const bundles = pkg.dsh?.profile?.bundles
+    if (!Array.isArray(bundles)) return true
+    return bundles.includes(name)
+  } catch {
+    return true
+  }
+}
+
 /** 把仓库身份转成规范的 GitHub 目标（git+https），仓库不合法时返回 null。
  *  带 ref 时按 Git ref（`#tag` / `#commit`）拼接；安装通道已不再使用 git 目标，此函数仅做身份规范化。 */
 export function githubTarget(repo: string, ref?: string | null): string | null {