dsh-plugin 2.0.4 → 2.0.6

package/lib/http/catalog.js

@@ -15,6 +15,22 @@ import { CATALOG_CACHE_TTL_MS, requireMethod, sendJson } from './shared.js';
 function catalogCacheFile(profile, key) {
     return join(profileDirectory(profile), 'cache', `catalog-${key}.json`);
 }
+/** 目录拉取超时：目录 JSON 约 3.6MB，20s 在弱网/代理链路上不够用；
+ *  客户端会在超时后重试，重试必须共享同一次拉取（见 fetchCatalogOnce）。 */
+const CATALOG_FETCH_TIMEOUT_MS = 60_000;
+/** 并发拉取去重：客户端超时重试会并发打进来，共享同一次 curl，
+ *  避免多份 3.6MB 下载互相抢带宽、越重试越慢。 */
+const inflightCatalog = new Map();
+function fetchCatalogOnce(target, proxy) {
+    const key = `${target}\n${proxy}`;
+    const running = inflightCatalog.get(key);
+    if (running !== undefined)
+        return running;
+    const task = fetchViaCurl(target, proxy, CATALOG_FETCH_TIMEOUT_MS)
+        .finally(() => { inflightCatalog.delete(key); });
+    inflightCatalog.set(key, task);
+    return task;
+}
 /** 读缓存：文件存在、JSON 合法、未超过 maxAgeMs → 返回原始响应字符串；否则 null（视为 miss）。
  *  maxAgeMs 传 Infinity 即「任意年龄的缓存」，供实时拉取失败时兜底使用。 */
 function readCatalogCache(file, maxAgeMs) {
@@ -89,9 +105,12 @@ export function registerCatalogRoutes(webServer, profile) {
                 const target = isStats
                     ? 'https://api.dsh-plugin.org/stats.json'
                     : `https://api.dsh-plugin.org/plugins.${lang}.json`;
-                // 1 小时本地缓存：命中直接返回（跨重启生效，插件市场秒开），未命中才走 curl 拉远程
+                // 1 小时本地缓存：命中直接返回（跨重启生效，插件市场秒开），未命中才走 curl 拉远程。
+                // refresh=1 跳过 TTL 缓存直接回源（「强制刷新」用）；成功后照样覆盖缓存，
+                // 失败仍回退旧缓存，所以强制刷新不会把可用的旧数据弄丢。
                 const cacheFile = catalogCacheFile(profile, isStats ? 'stats' : `plugins-${lang}`);
-                const cached = readCatalogCache(cacheFile, CATALOG_CACHE_TTL_MS);
+                const forceRefresh = url.searchParams.get('refresh') === '1';
+                const cached = forceRefresh ? null : readCatalogCache(cacheFile, CATALOG_CACHE_TTL_MS);
                 if (cached !== null) {
                     try {
                         sendJson(response, 200, JSON.parse(cached));
@@ -101,7 +120,7 @@ export function registerCatalogRoutes(webServer, profile) {
                         // 缓存正文损坏：忽略，走重新拉取并覆盖写盘
                     }
                 }
-                const r = await fetchViaCurl(target, proxy, 20000);
+                const r = await fetchCatalogOnce(target, proxy);
                 if (!r.ok || r.body === '') {
                     // 实时拉取失败：退回任意年龄的本地缓存（上次成功数据），
                     // 避免证书吊销受阻 / 网络抖动时整个插件市场打不开 —— 数据可能过期，但好过空白。

package/lib/http/diagnostics.js

@@ -74,6 +74,30 @@ function toolVersion(cmd, args) {
         return null;
     }
 }
+/** 本机实际生效的 npm registry：诊断与安装同口径 —— 设置里留空时读用户 npm 配置
+ *  （含 profile 目录的 .npmrc），而不是硬探官方源，避免「能装但诊断说源不通」。
+ *  读不到（npm 缺失/超时/输出异常）时回退官方源。 */
+function configuredNpmRegistry(profile) {
+    const fromEnv = process.env.npm_config_registry ?? process.env.NPM_CONFIG_REGISTRY ?? '';
+    const valid = (v) => (/^https?:\/\//.test(v) ? v.replace(/\/+$/, '') : null);
+    const viaEnv = valid(fromEnv);
+    if (viaEnv !== null)
+        return viaEnv;
+    try {
+        const cwd = join(process.env.DSH_HOME ?? join(homedir(), '.dsh'), 'profiles', profile);
+        const r = spawnSync('npm', ['config', 'get', 'registry'], {
+            timeout: 3000,
+            encoding: 'utf8',
+            cwd,
+            shell: process.platform === 'win32',
+        });
+        const out = (r.stdout ?? '').trim().split(/\r?\n/).pop() ?? '';
+        return valid(out) ?? 'https://registry.npmjs.org';
+    }
+    catch {
+        return 'https://registry.npmjs.org';
+    }
+}
 /** 宿主环境快照：提交 bug 时随 issue 附上，便于作者复现（前端 /env 端点返回）。 */
 export function hostEnv(profile) {
     return {
@@ -113,17 +137,20 @@ export function registerDiagnosticsRoutes(webServer, profile) {
                 }
                 const settings = loadSettings(profile);
                 // npm 通道：设置里配置了镜像源就探测该镜像（安装通道吃同一个 registry）；
-                // 未配置（空串）时探测官方源作为「跟随本机 npm 配置」的基础连通性参考。
-                const registry = settings.npmRegistry.replace(/\/+$/, '') || 'https://registry.npmjs.org';
-                // 连通性自检打各通道的轻量资源：npm 源拉包元数据、GitHub 行探小仓库、目录站探
-                // 小文件，避免拉取目录全量 JSON。
-                // npm 行 display：配置了镜像就显示镜像地址；未配置置空 —— 客户端显示「未配置（跟随本机 npm 配置）」。
+                // 未配置（空串）时探测本机 npm 配置里实际生效的源 —— 与安装同口径。
+                const registry = settings.npmRegistry.replace(/\/+$/, '') || configuredNpmRegistry(profile);
+                // 连通性自检打各通道的轻量资源：npm 源拉包元数据、GitHub 行探小仓库、
+                // 目录站按 Range 取 1KB（探市场真实下载的 plugins.zh.json，但不整份下载）。
+                // npm 行 display：显式配置、或本机 npm 源不是官方源时显示实际地址，
+                // 让用户看到「诊断的到底是哪个源」；官方源且未配置时留空（显示「跟随本机 npm 配置」）。
                 const allChecks = [
-                    { key: 'npm', url: `${registry}/dsh-plugin`, display: settings.npmRegistry !== '' ? registry : '', cmd: `npm view dsh-plugin version --registry ${registry}` },
+                    { key: 'npm', url: `${registry}/dsh-plugin`, display: settings.npmRegistry !== '' || registry !== 'https://registry.npmjs.org' ? registry : '', cmd: `npm view dsh-plugin version --registry ${registry}` },
                     // GitHub 行用真实 git 克隆握手（git ls-remote）打 dshplugin/hello-dsh 小仓库：
                     // 「网页能打开」和「git 能克隆」是两码事，握手成功才算通道通；小仓库秒级完成，不打 17MB 的 dsh-plugin-hub。
                     { key: 'github', url: 'https://github.com/dshplugin/hello-dsh', display: 'github.com', cmd: 'git ls-remote https://github.com/dshplugin/hello-dsh', git: true },
-                    { key: 'catalog', url: 'https://api.dsh-plugin.org/stats.json', display: '', cmd: 'curl -s https://api.dsh-plugin.org/stats.json' },
+                    // 目录行探市场真正下载的那个文件（plugins.zh.json），只取前 1KB：
+                    // 只探 stats.json 会出现「诊断绿、市场加载不出来」—— 两者端点与体积完全不同。
+                    { key: 'catalog', url: 'https://api.dsh-plugin.org/plugins.zh.json', display: '', cmd: 'curl -r 0-1023 https://api.dsh-plugin.org/plugins.zh.json', range: '0-1023' },
                 ];
                 // 配置了 HTTP 代理：追加一行代理诊断 —— 用该代理打 github.com（安装通道真实访问的地址），
                 // 验证「代理能不能把请求带出去」。与安装同口径：curl 子进程注入该代理 env。
@@ -144,7 +171,7 @@ export function registerDiagnosticsRoutes(webServer, profile) {
                 const effectiveProxy = settings.proxy !== ''
                     ? settings.proxy
                     : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '');
-                const probe = (url, proxy) => probeUrl(url, proxy ?? effectiveProxy, 6000);
+                const probe = (url, proxy, range) => probeUrl(url, proxy ?? effectiveProxy, 6000, range);
                 // 逐路串行：一条命令一条结果地推送给终端，保持「程序在跑」的真实感
                 const results = [];
                 for (const c of checks) {
@@ -152,7 +179,7 @@ export function registerDiagnosticsRoutes(webServer, profile) {
                     // git 行走真实克隆握手（gitLsRemote），其余走 curl 探测，两路都带超时兜底
                     const r = c.git
                         ? await gitLsRemote(c.url, c.proxy ?? effectiveProxy, 6000)
-                        : await probe(c.url, c.proxy);
+                        : await probe(c.url, c.proxy, c.range);
                     results.push({ key: c.key, ok: r.ok });
                     // git 行的 status 是退出码，客户端 git 行只显示 OK / 不可达，不显示成 HTTP 码。
                     // reason 透出失败细分原因（如 Windows 证书吊销受阻），客户端据此给对症提示而非笼统「不可达」。

package/lib/services/install/preflight.js

@@ -0,0 +1,36 @@
+/**
+ * 安装前置探测：命令是否存在、安装目标是否需要 git。
+ *
+ * 命令缺失时各平台报错形态不同（Windows 只回 GBK 乱码、POSIX 才抛 spawn ENOENT），
+ * 统一在 spawn 前用 which/where 探测，缺失则打 ASCII 标记，前端归类不受编码影响。
+ */
+import { spawnSync } from 'node:child_process';
+/** 缺 git 的失败标记：前端按 `[git-missing]` 归类并给「安装 git」指引（乱码免疫）。 */
+export const GIT_MISSING_DETAIL = '[git-missing] the git CLI was not found on this machine (install git and add it to the PATH, then retry)';
+/** 命令存在性探测：which/where 找 PATH 里的命令。
+ *  探测自身异常（which/where 不可用等）返回 true，不拦截安装，交给装后校验兜底。 */
+export function commandOnPath(cmd, env) {
+    try {
+        const probe = process.platform === 'win32' ? 'where' : 'which';
+        const res = spawnSync(probe, [cmd], { env, encoding: 'utf8', timeout: 3000, stdio: ['ignore', 'pipe', 'pipe'] });
+        return res.status === 0 && (res.stdout ?? '').trim().length > 0;
+    }
+    catch {
+        return true;
+    }
+}
+/** 该安装目标是否需要 git：github: / git+ / git@ 与 owner/repo 简写都要先 clone；
+ *  release 直链（https://…releases/download/…tgz）由 pnpm 直接下载，不需要 git。
+ *  owner/repo 段首必须是字母数字：`./x`、`../x` 这类相对路径是本地目录，不能误判。 */
+export function needsGit(target) {
+    const v = target.trim();
+    if (/^(github:|git\+|git@)/i.test(v))
+        return true;
+    return /^[A-Za-z0-9][A-Za-z0-9._-]*\/[A-Za-z0-9._-]+$/.test(v);
+}
+/** git 源安装前置检查：需要 git 但本机 PATH 里没有 → 返回 [git-missing] 文本；否则 null。 */
+export function gitMissingDetail(target, env) {
+    if (!needsGit(target))
+        return null;
+    return commandOnPath('git', env) ? null : GIT_MISSING_DETAIL;
+}

package/lib/services/install/task-queue.js

@@ -7,7 +7,7 @@
  * 每个任务一次 `dsh plugin --profile <profile> <action> <target>` 子进程，
  * 输出流式收集到任务上；卸载成功时尝试从运行中 loader 即时停用（见 loader.ts）。
  */
-import { spawn, spawnSync } from 'node:child_process';
+import { spawn } from 'node:child_process';
 import { requiredDistributionFiles, resolveBundlePatchFiles } from './package-entry.js';
 import { existsSync, readFileSync, statSync } from 'node:fs';
 import { dirname, join, resolve } from 'node:path';
@@ -18,8 +18,9 @@ import { backfillOperationLog, createOperationLogTap, operationLogPathOf } from
 import { cleanLine, estimateProgress } from '../profile/progress.js';
 import { hasClientUi, isDshPlugin, mountLoadedEntry, removeLoadedEntry } from '../loader.js';
 import { addPendingRestart, clearPendingRestart } from '../profile/pending-restart.js';
-import { addAllowBuildsKey, githubRepoOf, parseAllowBuildsKey, profileDirectory } from '../profile/profile.js';
+import { addAllowBuildsKey, bundleIncludes, githubRepoOf, parseAllowBuildsKey, profileDirectory } from '../profile/profile.js';
 import { appendLog } from '../log.js';
+import { commandOnPath, gitMissingDetail } from './preflight.js';
 /** 内存任务注册表，按任务 id 索引。 */
 const tasks = new Map();
 let nextTaskId = 1;
@@ -194,22 +195,6 @@ export function desktopCliBootstrap(entry) {
     }
     return null;
 }
-/**
- * dsh 命令存在性探测：which/where 找 PATH 里的 dsh。
- * 命令缺失时各平台报错形态不同（Windows shell 只回 GBK 乱码、POSIX 才抛 spawn ENOENT），
- * 统一在 spawn 前用 which/where 探测，命令不存在则直接失败并打 ASCII 标记 [dsh-missing]（乱码免疫）。
- * 探测自身异常（which/where 不可用等）不拦截安装，交给装后校验兜底。
- */
-function dshOnPath(env) {
-    try {
-        const probe = process.platform === 'win32' ? 'where' : 'which';
-        const res = spawnSync(probe, ['dsh'], { env, encoding: 'utf8', timeout: 3000, stdio: ['ignore', 'pipe', 'pipe'] });
-        return res.status === 0 && (res.stdout ?? '').trim().length > 0;
-    }
-    catch {
-        return true;
-    }
-}
 function stopChild(child) {
     if (process.platform === 'win32' && child.pid !== undefined) {
         const killer = spawn('taskkill', ['/pid', String(child.pid), '/t', '/f'], { stdio: 'ignore' });
@@ -400,7 +385,7 @@ function spawnMutation(options) {
             // 独立 CLI 场景（file: 'dsh'，宿主加载器走 node bin 不经过这里）：先探测 dsh 是否在 PATH。
             // 命令缺失时各平台报错形态不同（GBK 乱码 / spawn ENOENT），统一前置拦截并打 ASCII 标记
             // [dsh-missing]，前端据此精准提示「dsh 未加入 PATH」而不是笼统的插件失败。
-            if (invocation.file === 'dsh' && !dshOnPath(env)) {
+            if (invocation.file === 'dsh' && !commandOnPath('dsh', env)) {
                 const detail = '[dsh-missing] the dsh CLI was not found on this machine (DeepSeek Harness not installed, or dsh not on the PATH)';
                 if (task) {
                     task.status = 'failed';
@@ -411,6 +396,21 @@ function spawnMutation(options) {
                 resolveOnce({ exitCode: 1, timedOut: false, error: detail, stdout: '', stderr: detail });
                 return;
             }
+            // git 源安装：pnpm 需要调用 git 解析仓库；Windows 缺 git 只回 GBK 乱码，前端认不出来。
+            // 前置探测并打 ASCII 标记 [git-missing]，给出装 git 的指引而不是笼统的安装失败。
+            if (!isGlobalNpm && action !== 'remove') {
+                const gitMissing = gitMissingDetail(target, env);
+                if (gitMissing !== null) {
+                    if (task) {
+                        task.status = 'failed';
+                        task.exitCode = null;
+                        task.progress = 0;
+                        pushLine(task, gitMissing);
+                    }
+                    resolveOnce({ exitCode: 1, timedOut: false, error: gitMissing, stdout: '', stderr: gitMissing });
+                    return;
+                }
+            }
             child = spawn(invocation.file, attemptArgs, {
                 cwd: invocation.cwd,
                 // invocation.env 是「必须叠加」的变量（打包桌面端的 ELECTRON_RUN_AS_NODE）：
@@ -568,6 +568,11 @@ function spawnMutation(options) {
                 task.status = result.timedOut || result.exitCode !== 0 ? 'failed' : 'done';
                 if (task.status === 'done') {
                     task.progress = 100;
+                    // 市场自更新：若 bundle 已被取消勾选，重启后市场不会出现，结果页要明确提示
+                    if ((action === 'add' || action === 'update') && (target === 'dsh-plugin' || target.startsWith('dsh-plugin@'))
+                        && !bundleIncludes(profile, 'dsh-plugin')) {
+                        task.bundleDeselected = true;
+                    }
                     if (isGlobalNpm) {
                         // 全局 npm 安装：装的是本机 CLI 工具（如 dsh-tui），不进任何 profile，无需宿主重启
                         task.needsRestart = false;

package/lib/services/probe.js

@@ -162,13 +162,16 @@ async function curlWithTlsFallback(args, env, timeoutMs) {
  * 失败（curl 不存在 / 连接失败 / 超时）都归为不可达，全程不抛错。
  * 证书吊销检查受阻（Windows Schannel）另记 reason，供诊断给出对症提示。
  */
-async function curlProbe(url, proxy, timeoutMs) {
+async function curlProbe(url, proxy, timeoutMs, range) {
     const started = Date.now();
     const discard = process.platform === 'win32' ? 'NUL' : '/dev/null';
     // -sS（而非仅 -s）：silent 会把连接/TLS 错误一并吞掉，而识别证书吊销受阻正需要 stderr；
     // 子进程 stderr 由我们收集、不会回显给用户，所以补 -S 不产生噪音。
+    // range：目录通道路由探真实的 plugins.zh.json，但只取前 1KB（-r 0-1023，返回 206 即视为可达），
+    // 避免诊断把 3.6MB 全量目录下载一遍。
     const r = await curlWithTlsFallback([
         '-sS', '-o', discard, '-w', '%{http_code}',
+        ...(range !== undefined ? ['-r', range] : []),
         '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))),
         url,
     ], proxyEnv(proxy), timeoutMs);
@@ -187,8 +190,9 @@ async function curlProbe(url, proxy, timeoutMs) {
 /**
  * 探测一个 HTTPS 目标：proxy 非空注入给 curl 子进程走代理，否则直连。
  * 供系统诊断 /diagnostics 使用；目标 URL 非法返回不可达。
+ * range（如 '0-1023'）只取前 N 字节，用于探大文件端点而不下载全量。
  */
-export function probeUrl(url, proxy, timeoutMs) {
+export function probeUrl(url, proxy, timeoutMs, range) {
     let target;
     try {
         target = new URL(url);
@@ -196,7 +200,7 @@ export function probeUrl(url, proxy, timeoutMs) {
     catch {
         return Promise.resolve(probeFail());
     }
-    return curlProbe(target.href, proxy, timeoutMs);
+    return curlProbe(target.href, proxy, timeoutMs, range);
 }
 /**
  * git 真实克隆握手探测：spawn git ls-remote（https 传输，与 pnpm 克隆前的
@@ -260,8 +264,9 @@ export async function finalUrl(url, proxy, timeoutMs) {
  * reason 区分「证书吊销受阻」这类环境 TLS 问题，供调用方决定兜底策略。
  */
 export function fetchViaCurl(url, proxy, timeoutMs) {
-    // 同样用 -sS：正文之外还要 stderr 里的 TLS 失败线索（被 stderr 收集，不外泄给用户）
-    const args = ['-sS', '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))), url];
+    // 同样用 -sS：正文之外还要 stderr 里的 TLS 失败线索（被 stderr 收集，不外泄给用户）。
+    // --compressed：目录 JSON 约 3.6MB，源站支持 gzip，压缩后弱网下也能在超时内拉完。
+    const args = ['-sS', '--compressed', '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))), url];
     return curlWithTlsFallback(args, proxyEnv(proxy), timeoutMs).then((r) => ({
         ok: r.code === 0,
         body: r.stdout,

package/lib/services/profile/profile.js

@@ -50,6 +50,20 @@ export function profileFromArgv(argv, fallback = 'web') {
 export function profileDirectory(profile) {
     return join(process.env.DSH_HOME ?? join(homedir(), '.dsh'), 'profiles', profile);
 }
+/** profile 的 dsh.profile.bundles 是否仍包含指定包：取消勾选后 bundle patch 不再执行。
+ *  没有该清单或读取失败时返回 true —— 不归我们判断的情况不报警。 */
+export function bundleIncludes(profile, name) {
+    try {
+        const pkg = JSON.parse(readFileSync(join(profileDirectory(profile), 'package.json'), 'utf8'));
+        const bundles = pkg.dsh?.profile?.bundles;
+        if (!Array.isArray(bundles))
+            return true;
+        return bundles.includes(name);
+    }
+    catch {
+        return true;
+    }
+}
 /** 把仓库身份转成规范的 GitHub 目标（git+https），仓库不合法时返回 null。
  *  带 ref 时按 Git ref（`#tag` / `#commit`）拼接；安装通道已不再使用 git 目标，此函数仅做身份规范化。 */
 export function githubTarget(repo, ref) {

package/lib/types/services/install/install-types.d.ts

@@ -39,9 +39,11 @@ export interface InstallTask {
     /** 完成后是否仍需宿主重启才生效：仅「热挂载失败 / 非 dsh 插件 / 更新（ESM 缓存取不到新代码）/
      *  无 loader」等刷新解决不了的兜底场景为 true（弹窗给「立即重启」）；其余一律 false。 */
     needsRestart: boolean;
-    /** 完成后是否只需刷新页面即生效（插件已热挂进运行中 loader，仅剩客户端 UI 待页面重新加载，
+    /** 完成结果是否只需刷新页面即生效（插件已热挂进运行中 loader，仅剩客户端 UI 待页面重新加载，
      *  网页端与桌面端一致）：true 时关闭结果弹窗即自动刷新页面，不给手动刷新按钮。 */
     needsReload?: boolean;
+    /** 自更新成功、但该 profile 的 dsh.profile.bundles 已不含 dsh-plugin：重启后市场不会出现 */
+    bundleDeselected?: boolean;
     /** 卸载入队时该包是否带客户端 UI（`dsh.client`）：卸载后包已从磁盘删除，只能入队前快照，
      *  卸载成功且曾存活时据此决定是否需要刷新页面摘除插件面板。 */
     hadClientUi?: boolean;

package/lib/types/services/install/preflight.d.ts

@@ -0,0 +1,11 @@
+/** 缺 git 的失败标记：前端按 `[git-missing]` 归类并给「安装 git」指引（乱码免疫）。 */
+export declare const GIT_MISSING_DETAIL = "[git-missing] the git CLI was not found on this machine (install git and add it to the PATH, then retry)";
+/** 命令存在性探测：which/where 找 PATH 里的命令。
+ *  探测自身异常（which/where 不可用等）返回 true，不拦截安装，交给装后校验兜底。 */
+export declare function commandOnPath(cmd: string, env?: NodeJS.ProcessEnv): boolean;
+/** 该安装目标是否需要 git：github: / git+ / git@ 与 owner/repo 简写都要先 clone；
+ *  release 直链（https://…releases/download/…tgz）由 pnpm 直接下载，不需要 git。
+ *  owner/repo 段首必须是字母数字：`./x`、`../x` 这类相对路径是本地目录，不能误判。 */
+export declare function needsGit(target: string): boolean;
+/** git 源安装前置检查：需要 git 但本机 PATH 里没有 → 返回 [git-missing] 文本；否则 null。 */
+export declare function gitMissingDetail(target: string, env?: NodeJS.ProcessEnv): string | null;

package/lib/types/services/probe.d.ts

@@ -46,8 +46,9 @@ export declare function systemProxy(): string | null;
 /**
  * 探测一个 HTTPS 目标：proxy 非空注入给 curl 子进程走代理，否则直连。
  * 供系统诊断 /diagnostics 使用；目标 URL 非法返回不可达。
+ * range（如 '0-1023'）只取前 N 字节，用于探大文件端点而不下载全量。
  */
-export declare function probeUrl(url: string, proxy: string, timeoutMs: number): Promise<ProbeResult>;
+export declare function probeUrl(url: string, proxy: string, timeoutMs: number, range?: string): Promise<ProbeResult>;
 /**
  * git 真实克隆握手探测：spawn git ls-remote（https 传输，与 pnpm 克隆前的
  * ref 握手一致），注入代理 env，GIT_TERMINAL_PROMPT=0 防凭据提示挂起。

package/lib/types/services/profile/profile.d.ts

@@ -12,6 +12,9 @@ export declare function readProfileArg(fallback?: string): string;
 export declare function profileFromArgv(argv: readonly string[], fallback?: string): string;
 /** 解析 profile 目录（`DSH_HOME` 或 `~/.dsh`）。 */
 export declare function profileDirectory(profile: string): string;
+/** profile 的 dsh.profile.bundles 是否仍包含指定包：取消勾选后 bundle patch 不再执行。
+ *  没有该清单或读取失败时返回 true —— 不归我们判断的情况不报警。 */
+export declare function bundleIncludes(profile: string, name: string): boolean;
 /** 把仓库身份转成规范的 GitHub 目标（git+https），仓库不合法时返回 null。
  *  带 ref 时按 Git ref（`#tag` / `#commit`）拼接；安装通道已不再使用 git 目标，此函数仅做身份规范化。 */
 export declare function githubTarget(repo: string, ref?: string | null): string | null;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin",
-  "version": "2.0.4",
+  "version": "2.0.6",
   "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 10000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：10000+ 人工精选社区插件，每日更新。",
   "type": "module",
   "main": "lib/index.js",

package/src/client/components/PluginHubSection.tsx

@@ -109,6 +109,8 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
   /** 结果视图是否显示「关闭后自动刷新」说明：插件已热挂进运行中 loader（安装）、或卸载后
    *  插件面板仍残留在当前页面（卸载）。关闭弹窗即整页刷新，不给手动刷新按钮。 */
   const [installNeedsReload, setInstallNeedsReload] = useState(false)
+  /** 市场自更新成功、但 profile 的 bundle 列表里已不含 dsh-plugin：结果页提示重新勾选 */
+  const [installBundleDeselected, setInstallBundleDeselected] = useState(false)
   const [uninstallNeedsReload, setUninstallNeedsReload] = useState(false)
   /** 结果视图「立即重启」：请求宿主重启后进入等待，服务回来后整页刷新 */
   const [restarting, setRestarting] = useState(false)
@@ -143,10 +145,11 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
     // 界面语言带给服务端：安装前网络探测等错误消息按用户语言提示（中文界面给中文，英文界面给英文）
     langKey,
     refreshInstalled: catalog.refreshInstalled,
-    onInstallDone: (viaModal, repo, needsRestart, update, needsReload) => {
+    onInstallDone: (viaModal, repo, needsRestart, update, needsReload, bundleDeselected) => {
       const reload = needsReload === true
       setInstallNeedsRestart(needsRestart)
       setInstallNeedsReload(reload)
+      setInstallBundleDeselected(bundleDeselected === true)
       if (viaModal) setInstallDone(true)
       // 弹窗外的后台安装：给结果 toast；需要页面重载时（热挂载的客户端 UI）读完后自动刷新
       else setToast({
@@ -661,10 +664,12 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
       submitting: queue.submitting,
       needsRestart: installNeedsRestart,
       needsReload: installNeedsReload,
+      bundleDeselected: installBundleDeselected,
       // 结果弹窗关闭即生效：安装热挂载的插件要页面重载才渲染客户端 UI → 自动刷新，无需用户点按钮
       onClose: () => {
         const reload = installDone && installNeedsReload
         setConfirmPlugin(null)
+        setInstallBundleDeselected(false)
         if (reload) window.location.reload()
       },
       onCopy: () => copyCommand(confirmPlugin),

package/src/client/components/catalog/CatalogList.tsx

@@ -13,7 +13,7 @@ import { siteUrl } from '../../logic/urls.ts'
 import { useIncrementalList } from '../../hooks/useIncrementalList.ts'
 import { PluginCard } from './PluginCard.tsx'
 
-export function CatalogList({ plugins, failed, visible, total, t, langPath, reload, category, copied, installedName, installedVersion, hasUpdate, langKey, onInstall, onUninstall, hasProxy, onOpenDiagnostics }: {
+export function CatalogList({ plugins, failed, visible, total, t, langPath, reload, forceReload, category, copied, installedName, installedVersion, hasUpdate, langKey, onInstall, onUninstall, hasProxy, onOpenDiagnostics }: {
   plugins: HubPlugin[] | null
   failed: boolean
   visible: HubPlugin[]
@@ -21,6 +21,8 @@ export function CatalogList({ plugins, failed, visible, total, t, langPath, relo
   t: Translate
   langPath: string
   reload: () => void
+  /** 跳过服务端缓存强制回源：缓存数据异常或弱网重试时用 */
+  forceReload: () => void
   category: string
   copied: string | null
   installedName: (p: HubPlugin) => string | null
@@ -52,6 +54,8 @@ export function CatalogList({ plugins, failed, visible, total, t, langPath, relo
         h('div', { className: styles.stateDesc }, t(hasProxy ? 'failedDescProxy' : 'failedDescNoProxy')),
         h('div', { className: styles.stateActions },
           h('button', { className: styles.retryBtn, onClick: () => reload() }, t('retry')),
+          // 强制刷新：跳过服务端缓存直接回源，缓存异常/弱网时可绕过旧数据重新拉取
+          h('button', { className: styles.retryBtn, onClick: () => forceReload(), title: t('forceReloadHint') }, t('forceReload')),
           h('button', { className: styles.diagBtn, onClick: onOpenDiagnostics }, t('failNetworkRunDiag')),
         ),
       ),

package/src/client/components/layout/SectionTabs.tsx

@@ -36,11 +36,12 @@ export function SectionTabs({ view, setView, installedCount, t, noticeCount, onO
       role: 'tab',
       'aria-selected': view === id,
       title: t(hintKey),
+      'aria-label': t(labelKey),
       className: view === id ? styles.tabActive : styles.tab,
       onClick: () => setView(id),
     },
       h('span', { className: styles.tabIcon }, h(Icon)),
-      t(labelKey),
+      h('span', { className: styles.tabLabel }, t(labelKey)),
       id === 'installed' && installedCount > 0
         ? h('span', { className: view === id ? styles.tabCountActive : styles.tabCount }, installedCount)
         : null)),

package/src/client/components/modals/modals.tsx

@@ -25,7 +25,7 @@ import type { FailureAction } from '../../logic/failures.ts'
  *  - 其余（含 needsReload=true 的「已热挂载、仅剩客户端 UI」）→ 仅「完成」按钮：关闭结果弹窗时
  *    上层自动刷新页面让插件生效，不再给「稍后/立即刷新」手动选择。 */
 function ResultView({
-  title, desc, t, restarting, needsRestart, needsReload, onRestart, onClose,
+  title, desc, t, restarting, needsRestart, needsReload, bundleDeselected, onRestart, onClose,
 }: {
   title: string
   desc: string
@@ -34,6 +34,8 @@ function ResultView({
   needsRestart: boolean
   /** 仅刷新页面即生效（插件已热挂载）：给一句自动刷新说明，按钮仍是「完成」 */
   needsReload?: boolean
+  /** 市场自更新成功、但 bundle 被取消勾选：重启后市场不会出现，提示重新勾选 */
+  bundleDeselected?: boolean
   onRestart: () => void
   onClose: () => void
 }) {
@@ -56,6 +58,7 @@ function ResultView({
     ),
     h('div', { className: styles.resultTitle }, title),
     desc ? h('div', { className: styles.resultDesc }, desc) : null,
+    bundleDeselected ? h('div', { className: styles.bundleDeselectedHint }, t('bundleDeselectedHint')) : null,
     needsRestart
       ? h('div', null, [
         h('div', { className: styles.resultRestarting }, restarting ? t('restarting') : t('restartHint')),
@@ -95,6 +98,8 @@ export interface InstallModalProps {
   needsRestart: boolean
   /** 完成结果是否只需刷新页面即生效（插件已热挂载）：true → 结果视图显示自动刷新说明 */
   needsReload: boolean
+  /** 市场自更新成功、但 profile 的 bundle 列表已不含 dsh-plugin：结果页提示重新勾选 */
+  bundleDeselected?: boolean
   onClose: () => void
   onCopy: () => void
   onInstall: () => void
@@ -107,7 +112,7 @@ export interface InstallModalProps {
  * 目录插件与命令行安装（customTarget 模式）共用同一套确认/进度/结果流程。
  */
 export function InstallModal(props: InstallModalProps) {
-  const { plugin, customTarget, globalNpm, done, task, t, langPath, restarting, submitting, update, cliOnly, needsRestart, needsReload, onClose, onCopy, onInstall, onRestart } = props
+  const { plugin, customTarget, globalNpm, done, task, t, langPath, restarting, submitting, update, cliOnly, needsRestart, needsReload, bundleDeselected, onClose, onCopy, onInstall, onRestart } = props
   const busy = submitting || (task !== null && (task.status === 'pending' || task.status === 'running'))
   // 进行中标题带上插件名（中文「XX 插件安装中」；英文状态词在前更自然），并用状态色区分；
   // 命令行安装无插件元数据 → 直接用输入的目标展示；全局 npm 安装 → 包列表空格拼接
@@ -148,6 +153,7 @@ export function InstallModal(props: InstallModalProps) {
           restarting,
           needsRestart,
           needsReload,
+          bundleDeselected,
           onRestart,
           onClose,
         })

package/src/client/components/views/MarketView.tsx

@@ -53,6 +53,7 @@ export function MarketView({ catalog, t, langPath, langKey, copied, resultText,
       t,
       langPath,
       reload: catalog.reload,
+      forceReload: catalog.forceReload,
       category: catalog.category,
       copied,
       installedName: catalog.installedName,

package/src/client/data/catalog.ts

@@ -12,8 +12,9 @@ import { normalize } from '../logic/normalize.ts'
 // 目录/统计数据经服务端 /catalog 代理路由获取（curl 子进程注入设置里的代理），
 // 与 npm / git 安装通道同一代理口径 —— 浏览器不直连 api.dsh-plugin.org。
 const PROXY_BASE = '/dsh-plugin-hub/catalog'
-const PLUGINS_URL = (lang: LocaleId) => `${PROXY_BASE}?lang=${lang}`
-const STATS_URL = `${PROXY_BASE}?stats=1`
+// refresh=1：跳过服务端 1 小时缓存直接回源（失败仍回退旧缓存），供「强制刷新」使用
+const PLUGINS_URL = (lang: LocaleId, refresh: boolean) => `${PROXY_BASE}?lang=${lang}${refresh ? '&refresh=1' : ''}`
+const STATS_URL = (refresh: boolean) => `${PROXY_BASE}?stats=1${refresh ? '&refresh=1' : ''}`
 
 async function fetchJson(url: string, signal?: AbortSignal): Promise<unknown> {
   const res = await fetch(url, { cache: 'no-store', signal })
@@ -22,15 +23,16 @@ async function fetchJson(url: string, signal?: AbortSignal): Promise<unknown> {
 }
 
 /** 目录插件列表（在线 API 已只返回 verified；过滤与排序由上层负责）。
- *  signal 可选：宿主重启/代理抖动导致请求挂起时，上层可中止旧请求释放连接。 */
-export async function fetchCatalog(lang: LocaleId, signal?: AbortSignal): Promise<HubPlugin[]> {
-  const data = await fetchJson(PLUGINS_URL(lang), signal)
+ *  signal 可选：宿主重启/代理抖动导致请求挂起时，上层可中止旧请求释放连接。
+ *  refresh=true 跳过服务端缓存，强制回源。 */
+export async function fetchCatalog(lang: LocaleId, signal?: AbortSignal, refresh = false): Promise<HubPlugin[]> {
+  const data = await fetchJson(PLUGINS_URL(lang, refresh), signal)
   return (Array.isArray(data) ? data : []).map((item) => normalize(item as Record<string, unknown>))
 }
 
 /** 收录/精选统计（/api/stats.json）；字段不完整返回 null。 */
-export async function fetchStats(signal?: AbortSignal): Promise<{ total: number; verified: number } | null> {
-  const s = await fetchJson(STATS_URL, signal) as { total?: number; verified?: number }
+export async function fetchStats(signal?: AbortSignal, refresh = false): Promise<{ total: number; verified: number } | null> {
+  const s = await fetchJson(STATS_URL(refresh), signal) as { total?: number; verified?: number }
   if (s && typeof s.total === 'number' && typeof s.verified === 'number') {
     return { total: s.total, verified: s.verified }
   }

package/src/client/hooks/useCatalog.ts

@@ -52,10 +52,12 @@ export function useCatalog(lang: LocaleId) {
    *  界面停在「正在加载插件数据…」假死 —— 超时自动重拉，最多自动重试 2 次后转失败态；
    *  用户手动刷新（reload）时清零重新计数。 */
   const loadRetriesRef = useRef(0)
-  /** 目录加载超时阈值：超过即判定挂起，强制刷新一次（服务端代理 curl 上限 20s，客户端 12s 先兜底） */
-  const LOAD_TIMEOUT_MS = 12000
-  /** 挂起后最多自动重试次数：避免代理持续不通时无限循环刷新（每次重试仍 12s，2 次后转失败界面可手动重试） */
+  /** 目录加载超时阈值：超过即判定挂起，强制刷新一次（服务端代理 curl 上限 60s，客户端 30s 先兜底） */
+  const LOAD_TIMEOUT_MS = 30000
+  /** 挂起后最多自动重试次数：避免代理持续不通时无限循环刷新（每次重试仍 30s，2 次后转失败界面可手动重试） */
   const MAX_LOAD_RETRIES = 2
+  /** 本次 reload 是否强制回源（跳过服务端 1 小时缓存）：由「强制刷新」置位，读取后立即复位 */
+  const forceRefreshRef = useRef(false)
 
   /** 点击排序按钮：同一按钮切换正/倒序，新按钮用默认方向 */
   function toggleSort(key: SortKey) {
@@ -99,12 +101,14 @@ export function useCatalog(lang: LocaleId) {
     // 中止控制器：请求挂起时（宿主重启/代理抖动）超时自动重试会换新请求，
     // 旧请求在此中止释放连接，避免挂起堆积
     const controller = new AbortController()
+    const refresh = forceRefreshRef.current
+    forceRefreshRef.current = false
     setPlugins(null)
     setHubPlugin(null)
     setStats(null)
     setFailed(false)
     // 此处只拉目录与统计；hub 自身版本由独立 Worker 版本控制中心提供（见 fetchHubUpdate）。
-    const load = () => Promise.all([fetchCatalog(lang, controller.signal), fetchStats(controller.signal)])
+    const load = () => Promise.all([fetchCatalog(lang, controller.signal, refresh), fetchStats(controller.signal, refresh)])
     load()
       .then(([list, stats]) => {
         if (cancelled) return
@@ -321,6 +325,8 @@ export function useCatalog(lang: LocaleId) {
     stats,
     failed,
     reload: () => { loadRetriesRef.current = 0; setReloadKey((k) => k + 1) },
+    /** 强制刷新：跳过服务端 1 小时缓存直接回源，成功后覆盖缓存（失败仍回退旧缓存） */
+    forceReload: () => { loadRetriesRef.current = 0; forceRefreshRef.current = true; setReloadKey((k) => k + 1) },
     installed,
     installedItems,
     installedName,