dsh-plugin 2.2.0 → 2.2.2

package/lib/services/install/operation-log.js

@@ -95,7 +95,7 @@ export function backfillOperationLog(output, profileDir) {
 export function hasSubstantiveOutput(output) {
     return output.split(/\r?\n/).some((raw) => {
         const line = raw.trim();
-        return line !== '' && !/^\[(?:exit\b|timed out\]|install-channel\]|stale pipe\]|error\]|pnpm log\])/.test(line);
+        return line !== '' && !/^\[(?:exit\b|timed out\]|install-channel\]|stale pipe\]|error\]|pnpm log\]|registry-fallback\]|allow build\])/.test(line);
     });
 }
 /**

package/lib/services/install/registry-fallback.js

@@ -71,11 +71,16 @@ export function userNpmRegistry(cwd) {
 /**
  * 传输层失败才值得换源：超时、连接重置、DNS、5xx。
  * 404 / 版本不存在 / 鉴权失败必须保持原样 —— 换源只会掩盖作者侧问题或装到滞后版本。
+ * 本机证书链不被信任（TLS 校验失败）同样不换源：换哪个公共镜像都会以同样方式失败，
+ * 白白多等两轮超时、把真正的根因淹进换源噪音里。
  */
 export function isTransportFailure(text) {
     if (/\b(?:ERR_PNPM_FETCH_404|E404|ERR_PNPM_NO_MATCHING_VERSION|ETARGET|ERR_PNPM_FETCH_401|ERR_PNPM_FETCH_403|E401|E403)\b/i.test(text)) {
         return false;
     }
+    if (/unable to verify the first certificate|SELF_SIGNED_CERT_IN_CHAIN|UNABLE_TO_VERIFY_LEAF_SIGNATURE|ERR_TLS_CERT_ALTNAME_INVALID|CERT_HAS_EXPIRED|CERT_UNTRUSTED|UNABLE_TO_GET_ISSUER_CERT/i.test(text)) {
+        return false;
+    }
     return /\b(?:ETIMEDOUT|ECONNRESET|ECONNREFUSED|EAI_AGAIN|ENOTFOUND|EHOSTUNREACH|ENETUNREACH|EPIPE)\b|socket hang up|getaddrinfo|network request failed|connect timeout|request to .+ failed|FetchError|ERR_PNPM_FETCH_5\d\d|ERR_PNPM_META_FETCH_FAIL/i.test(text);
 }
 /** 日志里展示用的源主机名（不打印可能带凭据的完整 URL）。 */

package/lib/services/install/task-queue.js

@@ -612,6 +612,12 @@ function spawnMutation(options) {
                 task.status = result.timedOut || result.exitCode !== 0 ? 'failed' : 'done';
                 if (task.status === 'done') {
                     task.progress = 100;
+                    // 实际装上的版本：目录版本可能滞后，客户端账本必须记这个值，否则「有更新」永久失真
+                    if (!isGlobalNpm && action !== 'remove') {
+                        const installed = installedVersionOf(profile, target);
+                        if (installed !== null)
+                            task.installedVersion = installed;
+                    }
                     // 市场自更新：若 bundle 已被取消勾选，重启后市场不会出现，结果页要明确提示
                     if ((action === 'add' || action === 'update') && (target === 'dsh-plugin' || target.startsWith('dsh-plugin@'))
                         && !bundleIncludes(profile, 'dsh-plugin')) {
@@ -660,9 +666,39 @@ function spawnMutation(options) {
                 pushLine(task, result.timedOut ? '[timed out]' : `[exit ${result.exitCode ?? '?'}]${printedNothing ? ' (no output captured)' : ''}`);
             }
         }
-        return result;
+        // 带上最终生效的源：后续注解（如 [dsh-too-old]）读元数据必须与安装同源，
+        // 否则换过源之后会去另一个源查，查不到就静默漏报
+        return activeRegistry === undefined ? result : { ...result, registry: activeRegistry };
     })();
 }
+/**
+ * 安装成功后从 profile 的 `node_modules/<pkg>/package.json` 读**实际**版本；
+ * 定位不到包名或读不到返回 null。客户端拿它写版本账本 —— 目录里的版本可能滞后。
+ */
+export function installedVersionOf(profile, target) {
+    const profileDir = profileDirectory(profile);
+    let deps = {};
+    try {
+        const pkg = JSON.parse(readFileSync(join(profileDir, 'package.json'), 'utf8'));
+        deps = pkg.dependencies ?? {};
+    }
+    catch {
+        return null;
+    }
+    const targetRepo = githubRepoOf(target)?.toLowerCase();
+    const name = targetRepo !== undefined
+        ? Object.keys(deps).find((k) => githubRepoOf(deps[k])?.toLowerCase() === targetRepo)
+        : deps[target] !== undefined ? target : Object.keys(deps).find((k) => deps[k] === target);
+    if (!name)
+        return null;
+    try {
+        const meta = JSON.parse(readFileSync(join(profileDir, 'node_modules', name, 'package.json'), 'utf8'));
+        return typeof meta.version === 'string' && meta.version !== '' ? meta.version : null;
+    }
+    catch {
+        return null;
+    }
+}
 /**
  * 安装后校验已装包里 package.json 声明的文件（main / exports["."].default 与
  * dsh.bundle.patch）是否真实存在。npm 包也可能漏发构建产物（lib/ 等），pnpm 装完没有
@@ -762,8 +798,9 @@ async function annotateDshTooOld(result, options) {
     // 全局 npm 装的是本机 CLI 工具，不进 profile，没有宿主版本要求
     if ((options.globalNpm ?? []).length > 0)
         return result;
-    // 用安装实际使用的源读元数据：私有源/镜像里也能读到同一个包的声明
-    const line = await dshTooOldMarker(options.target, { registry: options.registries?.[0] });
+    // 用安装**实际**使用的源读元数据：换源重试后候选表首位可能并不是真正生效的那个，
+    // 用错源会读不到包而静默漏报；私有源/镜像里同样能读到包声明的 engines
+    const line = await dshTooOldMarker(options.target, { registry: result.registry ?? options.registries?.[0] });
     if (line === null)
         return result;
     if (options.task && options.task.status !== 'cancelled')

package/lib/services/npm-release-age.js

@@ -18,7 +18,10 @@ export const RELEASE_AGE_TIMEOUT_MS = 8000;
 /** 响应体上限：完整 packument 可能达数 MB，超限直接放弃，避免异常大包拖垮服务。 */
 const MAX_PACKUMENT_BYTES = 10 * 1024 * 1024;
 export const DEFAULT_NPM_REGISTRY = 'https://registry.npmjs.org';
-/** 会话内缓存（包名 → 版本与发布时间）：只存成功结果，一次网络抖动不会把判断永久粘住。 */
+/** 会话内缓存（源 + 包名 → 结果）：只存成功结果，一次网络抖动不会把判断永久粘住。
+ *  必须带过期时间 —— 插件中心可能连续开着几小时，作者发了新版本后不能一直沿用旧结果；
+ *  也必须把源算进键 —— 同一个包在官方源与镜像上的 latest / 发布时间不同，混用会算错门禁。 */
+const CACHE_TTL_MS = 10 * 60 * 1000;
 const releaseCache = new Map();
 /** 从完整 packument 取 dist-tags.latest 对应版本及其发布时间；缺任一字段返回 null。 */
 export function latestReleaseOf(packument) {
@@ -96,12 +99,13 @@ async function fetchPackument(url, proxy, timeoutMs) {
     }
     return getJson(url, timeoutMs);
 }
-/** 查询一个包的最新版本与发布时间（成功结果缓存，同会话内同包不重复请求）；registry 为空回退官方源，失败返回 null。 */
+/** 查询一个包的最新版本与发布时间（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
 export async function lookupReleaseAge(packageName, registry, proxy, timeoutMs = RELEASE_AGE_TIMEOUT_MS) {
-    const cached = releaseCache.get(packageName);
-    if (cached !== undefined)
-        return cached;
     const base = registry.replace(/\/+$/, '') || DEFAULT_NPM_REGISTRY;
+    const key = `${base}\n${packageName}`;
+    const cached = releaseCache.get(key);
+    if (cached !== undefined && Date.now() - cached.at < CACHE_TTL_MS)
+        return cached.release;
     const body = await fetchPackument(`${base}/${encodeURIComponent(packageName)}`, proxy, timeoutMs);
     if (body === null)
         return null;
@@ -114,6 +118,6 @@ export async function lookupReleaseAge(packageName, registry, proxy, timeoutMs =
     }
     const release = latestReleaseOf(parsed);
     if (release !== null)
-        releaseCache.set(packageName, release);
+        releaseCache.set(key, { at: Date.now(), release });
     return release;
 }

package/lib/services/profile/installed-versions.js

@@ -17,16 +17,33 @@
  * 存储：`DSH_HOME/profiles/<profile>/gro.ngilp-hsd-versions.json`
  *   { "<owner>/<repo>"（小写）: { version, updatedAt, installedAt } }
  */
-import { readFileSync, writeFileSync, mkdirSync } from 'node:fs';
+import { readFileSync, writeFileSync, mkdirSync, renameSync } from 'node:fs';
 import { homedir } from 'node:os';
 import { dirname, join } from 'node:path';
 export function versionsFilePath(profile) {
     return join(process.env.DSH_HOME ?? join(homedir(), '.dsh'), 'profiles', profile, 'gro.ngilp-hsd-versions.json');
 }
+/** 读取某 profile 的版本账本；缺失/损坏/字段不全一律归一化成完整形状。
+ *  安装一开始只会写入 npm 包名映射（版本要等任务结束才知道），所以磁盘上可能存在
+ *  只有 npmPackage 的记录 —— 原样下发会让客户端的版本比较拿到 undefined 直接抛错。 */
 export function readInstalledVersions(profile) {
     try {
         const raw = JSON.parse(readFileSync(versionsFilePath(profile), 'utf8'));
-        return raw !== null && typeof raw === 'object' ? raw : {};
+        if (raw === null || typeof raw !== 'object' || Array.isArray(raw))
+            return {};
+        const table = {};
+        for (const [key, value] of Object.entries(raw)) {
+            if (value === null || typeof value !== 'object')
+                continue;
+            const rec = value;
+            table[key] = {
+                version: typeof rec.version === 'string' ? rec.version : '',
+                updatedAt: typeof rec.updatedAt === 'string' ? rec.updatedAt : '',
+                installedAt: typeof rec.installedAt === 'string' ? rec.installedAt : '',
+                ...(typeof rec.npmPackage === 'string' && rec.npmPackage !== '' ? { npmPackage: rec.npmPackage } : {}),
+            };
+        }
+        return table;
     }
     catch {
         return {};
@@ -48,7 +65,14 @@ export function recordInstalledVersion(profile, repo, version, updatedAt) {
 export function recordResolvedNpmPackage(profile, repo, npmPackage) {
     const table = readInstalledVersions(profile);
     const key = repo.toLowerCase();
-    table[key] = { ...table[key], npmPackage };
+    // 显式写全字段：这一步发生在安装开始时，版本还不知道 —— 但落盘记录必须是完整形状，
+    // 否则只带 npmPackage 的残缺记录会在客户端版本比较时崩掉整块界面
+    table[key] = {
+        version: table[key]?.version ?? '',
+        updatedAt: table[key]?.updatedAt ?? '',
+        installedAt: table[key]?.installedAt ?? '',
+        npmPackage,
+    };
     writeVersions(profile, table);
 }
 /** 清除某仓库记录的版本（卸载时调用）。 */
@@ -60,5 +84,9 @@ export function removeInstalledVersion(profile, repo) {
 function writeVersions(profile, table) {
     const file = versionsFilePath(profile);
     mkdirSync(dirname(file), { recursive: true });
-    writeFileSync(file, JSON.stringify(table, null, 2) + '\n', 'utf8');
+    // 先写临时文件再原子替换：直接覆盖时进程被杀/磁盘满会留下截断的 JSON，
+    // 下次读取整份账本都会失效（更新检测静默停摆），而用户看不到任何报错
+    const tmp = `${file}.tmp`;
+    writeFileSync(tmp, JSON.stringify(table, null, 2) + '\n', 'utf8');
+    renameSync(tmp, file);
 }

package/lib/types/services/install/install-types.d.ts

@@ -12,6 +12,8 @@ export interface InstallResult {
     error: string | null;
     stdout: string;
     stderr: string;
+    /** 实际执行安装用的 npm 源（换源重试后是最终那一个）：后续读元数据的注解要跟它同源 */
+    registry?: string;
 }
 export interface InstallTask {
     id: number;
@@ -44,6 +46,9 @@ export interface InstallTask {
     needsReload?: boolean;
     /** 自更新成功、但该 profile 的 dsh.profile.bundles 已不含 dsh-plugin：重启后市场不会出现 */
     bundleDeselected?: boolean;
+    /** 安装/更新成功后，从 profile 的 node_modules 读到的**实际**版本。
+     *  客户端用它写版本账本（目录版本可能滞后，抄目录字段会让「有更新」永久失真）。 */
+    installedVersion?: string;
     /** 卸载入队时该包是否带客户端 UI（`dsh.client`）：卸载后包已从磁盘删除，只能入队前快照，
      *  卸载成功且曾存活时据此决定是否需要刷新页面摘除插件面板。 */
     hadClientUi?: boolean;

package/lib/types/services/install/registry-fallback.d.ts

@@ -12,6 +12,8 @@ export declare function userNpmRegistry(cwd: string): string;
 /**
  * 传输层失败才值得换源：超时、连接重置、DNS、5xx。
  * 404 / 版本不存在 / 鉴权失败必须保持原样 —— 换源只会掩盖作者侧问题或装到滞后版本。
+ * 本机证书链不被信任（TLS 校验失败）同样不换源：换哪个公共镜像都会以同样方式失败，
+ * 白白多等两轮超时、把真正的根因淹进换源噪音里。
  */
 export declare function isTransportFailure(text: string): boolean;
 /** 日志里展示用的源主机名（不打印可能带凭据的完整 URL）。 */

package/lib/types/services/install/task-queue.d.ts

@@ -77,6 +77,11 @@ export declare function startPluginMutation(options: {
      *  必须钉住安装，不能再用 @latest 被带回门禁内的最新版 */
     installSpec?: string;
 }): InstallTask;
+/**
+ * 安装成功后从 profile 的 `node_modules/<pkg>/package.json` 读**实际**版本；
+ * 定位不到包名或读不到返回 null。客户端拿它写版本账本 —— 目录里的版本可能滞后。
+ */
+export declare function installedVersionOf(profile: string, target: string): string | null;
 /**
  * 安装后校验已装包里 package.json 声明的文件（main / exports["."].default 与
  * dsh.bundle.patch）是否真实存在。npm 包也可能漏发构建产物（lib/ 等），pnpm 装完没有

package/lib/types/services/npm-release-age.d.ts

@@ -11,5 +11,5 @@ export declare const DEFAULT_NPM_REGISTRY = "https://registry.npmjs.org";
 export declare function latestReleaseOf(packument: unknown): NpmRelease | null;
 /** 请求体 → 去重后的合法包名列表；非数组 / 超量 / 含非法包名一律 null（拒绝非法输入）。 */
 export declare function parseReleaseAgeRequest(body: unknown): string[] | null;
-/** 查询一个包的最新版本与发布时间（成功结果缓存，同会话内同包不重复请求）；registry 为空回退官方源，失败返回 null。 */
+/** 查询一个包的最新版本与发布时间（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
 export declare function lookupReleaseAge(packageName: string, registry: string, proxy: string, timeoutMs?: number): Promise<NpmRelease | null>;

package/lib/types/services/profile/installed-versions.d.ts

@@ -10,6 +10,9 @@ export interface InstalledVersionRecord {
 }
 export type InstalledVersionTable = Record<string, InstalledVersionRecord>;
 export declare function versionsFilePath(profile: string): string;
+/** 读取某 profile 的版本账本；缺失/损坏/字段不全一律归一化成完整形状。
+ *  安装一开始只会写入 npm 包名映射（版本要等任务结束才知道），所以磁盘上可能存在
+ *  只有 npmPackage 的记录 —— 原样下发会让客户端的版本比较拿到 undefined 直接抛错。 */
 export declare function readInstalledVersions(profile: string): InstalledVersionTable;
 /** 记录某仓库安装时的目录信号（版本 + 仓库更新时间）。 */
 export declare function recordInstalledVersion(profile: string, repo: string, version: string, updatedAt: string): void;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin",
-  "version": "2.2.0",
+  "version": "2.2.2",
   "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 10000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：10000+ 人工精选社区插件，每日更新。",
   "type": "module",
   "main": "lib/index.js",

package/src/client/components/modals/NotificationsModal.tsx

@@ -14,7 +14,7 @@ import type { MouseEvent } from 'react'
 import styles from '../../styles/Modal.module.css'
 import type { EnvInfo, Translate } from '../../types.ts'
 import type { NotificationRecord } from '../../logic/failures.ts'
-import { actionOfRecord, classifyFailure, formatFailureMessage, missingRegistryPackageOf, npmTooLowVersion, pnpmPolicyHintOf, pnpmPolicyHintParams, registryMissingHintOf, unreachableTargetOf, registryHostOf, authRegistryHostOf, exclusiveProfileOf, desktopCliFallbackOf, dshTooOldInfoOf, missingLocalDirOf } from '../../logic/failures.ts'
+import { actionOfRecord, classifyFailure, formatFailureMessage, missingRegistryPackageOf, npmTooLowVersion, pnpmPolicyHintOf, pnpmPolicyHintParams, registryMissingHintOf, unreachableTargetOf, registryHostOf, authRegistryHostOf, exclusiveProfileOf, desktopCliFallbackOf, dshTooOldInfoOf, unresolvedBundleOf, missingLocalDirOf } from '../../logic/failures.ts'
 import type { PendingRestart, QueueTask } from '../../hooks/useTaskQueue.ts'
 import { pluginIssueUrl, pluginSiteUrl, hubIssueUrl } from '../../logic/urls.ts'
 import { CloseIcon } from '../ui/icons.tsx'
@@ -306,10 +306,10 @@ export function NotificationsModal({ records, tasks, pendingRestarts, t, env, on
                       // 给 .npmrc 豁免指引，不引导提 Issue
                       return h('div', { className: styles.failPrepareHint }, t('failPnpmWorkspaceHint'))
                     }
-                    if (kind === 'pnpmVirtualStore') {
-                      // profile 的 modules 目录与当前 pnpm 的 virtual-store-dir-max-length 不一致：
+                    if (kind === 'pnpmModulesMismatch') {
+                      // profile 的 modules 目录与当前 pnpm 配置不一致（hoist / 虚拟目录长度 / node-linker 等）：
                       // 该 profile 内的安装/卸载都会失败 —— 重建 modules 目录或统一配置即可，不引导提 Issue
-                      return h('div', { className: styles.failPrepareHint }, t('failPnpmVirtualStoreHint'))
+                      return h('div', { className: styles.failPrepareHint }, t('failPnpmModulesMismatchHint'))
                     }
                     if (kind === 'pnpmStore') {
                       // pnpm 存在但 store 大版本不匹配（ERR_PNPM_UNEXPECTED_STORE）：profile 目录的依赖是
@@ -327,6 +327,16 @@ export function NotificationsModal({ records, tasks, pendingRestarts, t, env, on
                       // 发现补丁没被用上就中止安装，任何插件都装不进来 —— 不引导提 Issue
                       return h('div', { className: styles.failPrepareHint }, t('failPnpmUnusedPatchHint'))
                     }
+                    if (kind === 'profileState') {
+                      // profile 的 pnpm 元数据与本机不一致（lockfile 过期 / packageManager 版本不符 /
+                      // 补丁未生效）：pnpm 在真正装插件之前就中止，该 profile 内的安装都会失败 ——
+                      // 给重建指引，不引导提 Issue
+                      return h('div', { className: styles.failPrepareHint }, t('failProfileStateHint'))
+                    }
+                    if (kind === 'nodeEngine') {
+                      // 本机 Node / pnpm 版本低于包声明的下限：升级即可解决 —— 不引导提 Issue
+                      return h('div', { className: styles.failPrepareHint }, t('failNodeEngineHint'))
+                    }
                     if (kind === 'pnpmMissingDep') {
                       // profile 里留着指向 registry 上不存在（404）的包的依赖：pnpm 连得上 registry，
                       // 是被明确告知包不存在 —— 该 profile 的任何安装都会先卡在这条依赖上，与本次要装的
@@ -454,6 +464,14 @@ export function NotificationsModal({ records, tasks, pendingRestarts, t, env, on
                         ]),
                       ])
                     }
+                    if (kind === 'tlsTrust') {
+                      // 本机证书链不被信任（公司 SSL 审计 / 杀软 / 抓包代理）：给 CA 与镜像的具体处置，
+                      // 不引导提 Issue —— 换任何插件都会一样失败
+                      return h('div', null, [
+                        h('div', { className: styles.failPrepareHint }, t('failTlsTrustHint')),
+                        onRunDiagnostics ? h('button', { className: styles.failDiagBtn, onClick: onRunDiagnostics }, t('failNetworkRunDiag')) : null,
+                      ])
+                    }
                     if (kind === 'network') {
                       // 安装前网络探测 / 安装日志里的连接失败（[network] / git fetch 超时 / DNS / TLS）：
                       // 是本机网络不通或代理有问题，不是插件问题 —— 提示检查网络 + 直达「系统诊断」，
@@ -497,6 +515,13 @@ export function NotificationsModal({ records, tasks, pendingRestarts, t, env, on
                         ]) : null,
                       ])
                     }
+                    if (kind === 'profileBundleMissing') {
+                      // profile 声明的某个 bundle 没装进 node_modules：宿主在安装前就中止，
+                      // 与本次插件无关 —— 给「让宿主补装 profile 依赖 / 重装应用」指引，不引导提 Issue
+                      const info = unresolvedBundleOf(r.message)
+                      return h('div', { className: styles.failPrepareHint },
+                        t('failProfileBundleMissingHint', { pkg: info?.pkg ?? 'unknown', profile: env?.profile ?? '<profile>' }))
+                    }
                     if (kind === 'hubState') {
                       // 插件中心的列表状态已过期（安装器自身守卫消息）：非插件问题、也不是 bug，只给可行动提示，不引导提 Issue
                       return h('div', null, [

package/src/client/components/modals/modals.tsx

@@ -15,7 +15,7 @@ import { CloseIcon, ConfirmIcon, CopyIcon, LinkIcon } from '../ui/icons.tsx'
 import { ProgressView } from './ProgressView.tsx'
 import { installCommandOf } from '../../logic/install-command.ts'
 import { pluginDetailUrl, pluginIssueUrl, pluginSiteUrl, hubIssueUrl } from '../../logic/urls.ts'
-import { classifyFailure, formatFailureMessage, missingRegistryPackageOf, npmTooLowVersion, pnpmPolicyHintOf, pnpmPolicyHintParams, registryMissingHintOf, unreachableTargetOf, registryHostOf, authRegistryHostOf, exclusiveProfileOf, desktopCliFallbackOf, dshTooOldInfoOf, missingLocalDirOf } from '../../logic/failures.ts'
+import { classifyFailure, formatFailureMessage, missingRegistryPackageOf, npmTooLowVersion, pnpmPolicyHintOf, pnpmPolicyHintParams, registryMissingHintOf, unreachableTargetOf, registryHostOf, authRegistryHostOf, exclusiveProfileOf, desktopCliFallbackOf, dshTooOldInfoOf, unresolvedBundleOf, missingLocalDirOf } from '../../logic/failures.ts'
 import type { FailureAction } from '../../logic/failures.ts'
 
 /** 完成结果视图：绿色对勾 + 标题/描述；
@@ -445,10 +445,10 @@ export function ErrorModal({ message, repo, action, command, attempts, t, env, o
               // 调 pnpm add 时未声明在根操作，任何插件都会失败，不是插件问题 ——
               // 给 .npmrc 豁免指引，不引导提 Issue
               ? h('div', { className: styles.failPrepareHint }, t('failPnpmWorkspaceHint'))
-              : failureKind === 'pnpmVirtualStore'
-              // profile 的 modules 目录与当前 pnpm 的 virtual-store-dir-max-length 不一致：
+              : failureKind === 'pnpmModulesMismatch'
+              // profile 的 modules 目录与当前 pnpm 配置不一致（hoist / 虚拟目录长度 / node-linker 等）：
               // 该 profile 内的安装/卸载都会失败 —— 重建 modules 目录或统一配置即可，不引导提 Issue
-              ? h('div', { className: styles.failPrepareHint }, t('failPnpmVirtualStoreHint'))
+              ? h('div', { className: styles.failPrepareHint }, t('failPnpmModulesMismatchHint'))
               : failureKind === 'pnpmStore'
               // pnpm 存在但 store 大版本不匹配（ERR_PNPM_UNEXPECTED_STORE）：profile 目录的依赖是
               // 另一大版本 pnpm 装的，当前 pnpm 不认，任何插件装进该 profile 都会失败 ——
@@ -462,6 +462,15 @@ export function ErrorModal({ message, repo, action, command, attempts, t, env, o
               // profile 里留着指向旧版本 dsh-plugin 的补丁声明（ERR_PNPM_UNUSED_PATCH）：pnpm 发现
               // 补丁没被用上就中止整次安装，任何插件都装不进来 —— 给删除条目的指引，不引导提 Issue
               ? h('div', { className: styles.failPrepareHint }, t('failPnpmUnusedPatchHint'))
+              : failureKind === 'profileState'
+              // profile 的 pnpm 元数据与本机不一致（lockfile 过期 / packageManager 版本不符 /
+              // 补丁未生效）：pnpm 在真正装插件之前就中止，该 profile 内的安装都会失败 ——
+              // 给重建指引，不引导提 Issue
+              ? h('div', { className: styles.failPrepareHint }, t('failProfileStateHint'))
+              : failureKind === 'nodeEngine'
+              // 本机 Node / pnpm 版本低于包声明的下限：升级即可解决，装任何同类插件都会失败 ——
+              // 不引导提 Issue
+              ? h('div', { className: styles.failPrepareHint }, t('failNodeEngineHint'))
               : failureKind === 'pnpmMissingDep'
               // profile 里留着指向 registry 上不存在（404）的包的依赖：pnpm 连得上 registry，
               // 是被明确告知包不存在 —— 该 profile 的任何安装都会先卡在这条依赖上，与本次要装的
@@ -593,6 +602,13 @@ export function ErrorModal({ message, repo, action, command, attempts, t, env, o
                   }, t('failMisjudgeLink')),
                 ]),
               ])
+              : failureKind === 'tlsTrust'
+              // 本机证书链不被信任（公司 SSL 审计 / 杀软 / 抓包代理）：给 CA 与镜像的具体处置，
+              // 不引导提 Issue —— 换任何插件都会一样失败
+              ? h('div', null, [
+                h('div', { className: styles.failPrepareHint }, t('failTlsTrustHint')),
+                onRunDiagnostics ? h('button', { className: styles.failDiagBtn, onClick: onRunDiagnostics }, t('failNetworkRunDiag')) : null,
+              ])
               : failureKind === 'network'
               // 安装前网络探测 / 安装日志里的连接失败（[network] / git fetch 超时 / DNS / TLS）：
               // 是本机网络不通或代理有问题，不是插件问题 —— 提示检查网络 + 直达「系统诊断」，
@@ -635,6 +651,14 @@ export function ErrorModal({ message, repo, action, command, attempts, t, env, o
                   }, t('failMisjudgeLink')),
                 ]) : null,
               ])
+              : failureKind === 'profileBundleMissing'
+              // profile 声明的某个 bundle 没装进 node_modules：宿主在安装前就中止，
+              // 与本次插件无关 —— 给「让宿主补装 profile 依赖 / 重装应用」指引，不引导提 Issue
+              ? (() => {
+                const info = unresolvedBundleOf(message)
+                return h('div', { className: styles.failPrepareHint },
+                  t('failProfileBundleMissingHint', { pkg: info?.pkg ?? 'unknown', profile: env?.profile ?? '<profile>' }))
+              })()
               : failureKind === 'hubState'
               ? h('div', null, [
                 // 插件中心的列表状态已过期（安装器自身守卫消息）：不是插件问题、也不是 bug，只给可行动提示，不引导提 Issue

package/src/client/hooks/useCatalog.ts

@@ -15,8 +15,8 @@ import type { HubAboutInfo, HubUpdateInfo, HubUpdateState } from '../types.ts'
 import type { SortKey } from '../logic/constants.ts'
 import { fetchCatalog, fetchStats } from '../data/catalog.ts'
 import { fetchHubAbout, fetchHubUpdate } from '../data/hub.ts'
-import { fetchInstalled, fetchNpmReleaseAge } from '../data/host.ts'
-import { isReleaseTooFresh, pickHubUpdate } from '../logic/release-age.ts'
+import { fetchInstalled, fetchNpmReleaseAge, type NpmReleaseInfo } from '../data/host.ts'
+import { isReleaseTooFresh, isUpdateOffered, pickHubUpdate } from '../logic/release-age.ts'
 import {
   hasUpdateOf, installedItemsOf, installedNameOf, installedVersionOf, npmPackageOf,
 } from '../logic/installed.ts'
@@ -25,8 +25,8 @@ import type { InstalledItem, InstalledVersionSignal } from '../logic/installed.t
 /** 插件市场自身仓库：DSH Plugin Hub 不显示在目录里（自己不进自己的插件列表） */
 const SELF_REPO = 'dshplugin/dsh-plugin-hub'
 
-/** 共享的空门禁集合：无暂缓包时复用，避免每次渲染新建 Set。 */
-const EMPTY_PACKAGES: ReadonlySet<string> = new Set<string>()
+/** 共享的空发布信息表：无候选包时复用，避免每次渲染新建对象。 */
+const EMPTY_RELEASES: Record<string, NpmReleaseInfo | null> = {}
 
 /** 市场各排序的默认方向：全部按倒序（Star/Fork 多、更新/收录近的在前） */
 const SORT_DEFAULT_DIR: Record<SortKey, 'asc' | 'desc'> = {
@@ -190,18 +190,18 @@ export function useCatalog(lang: LocaleId) {
   const installedVersion = (p: HubPlugin): string | null => installedVersionOf(p, versions)
 
   /**
-   * 供应链门禁状态：包名集合为当前「暂缓提示」的 npm 包（最新版本发布未满门槛）。
+   * 更新可用性校验状态：npm registry 上每个包的最新可安装版本与发布时间。
    * key 是这批候选包名的指纹，与已查出的 key 一致才算就绪，避免查询未回来时先显示更新。
    */
-  const [releaseAge, setReleaseAge] = useState<{ key: string; held: ReadonlySet<string> }>({ key: '', held: EMPTY_PACKAGES })
+  const [releaseAge, setReleaseAge] = useState<{ key: string; releases: Record<string, NpmReleaseInfo | null> }>({ key: '', releases: EMPTY_RELEASES })
 
-  /** 已安装项原始列表（未套门禁）：先算出来才能收集需要查发布时间的候选包名。 */
+  /** 已安装项原始列表（未套校验）：先算出来才能收集需要查发布信息的候选包名。 */
   const rawInstalledItems = useMemo<InstalledItem[]>(
     () => installedItemsOf(plugins, installed, versions, installPaths, loadedNames, dshCapableNames),
     [plugins, installed, versions, installPaths, loadedNames, dshCapableNames],
   )
 
-  /** 门禁候选：有更新、且有 npm 包名（更新走 npm registry）的已安装插件包名。 */
+  /** 校验候选：有更新、且有 npm 包名（更新走 npm registry）的已安装插件包名。 */
   const releaseAgeCandidates = useMemo(() => {
     const names = new Set<string>()
     for (const item of rawInstalledItems) {
@@ -212,53 +212,73 @@ export function useCatalog(lang: LocaleId) {
     return [...names].sort()
   }, [rawInstalledItems, versions])
   const releaseAgeKey = releaseAgeCandidates.join('\n')
+  /** 包名 → 已装版本：判断 npm 上最新版是否真的比已装版本新。 */
+  const installedByPackage = useMemo(() => {
+    const map = new Map<string, string>()
+    for (const item of rawInstalledItems) {
+      if (!item.plugin) continue
+      const pkg = npmPackageOf(item.plugin, versions)
+      const version = installedVersionOf(item.plugin, versions)
+      if (pkg !== null && version !== null) map.set(pkg, version)
+    }
+    return map
+  }, [rawInstalledItems, versions])
 
   useEffect(() => {
     if (releaseAgeKey === releaseAge.key) return
     if (releaseAgeCandidates.length === 0) {
-      setReleaseAge({ key: '', held: EMPTY_PACKAGES })
+      setReleaseAge({ key: '', releases: EMPTY_RELEASES })
       return
     }
     let cancelled = false
-    // 批量一次查询；失败/返回 null 时 held 为空 → 按原逻辑照常提示，网络问题不吃掉真实更新
+    // 批量一次查询；失败/返回 null 时按原逻辑照常提示，网络问题不吃掉真实更新
     void fetchNpmReleaseAge(releaseAgeCandidates).then((result) => {
       if (cancelled) return
-      const now = Date.now()
-      const held = new Set<string>()
-      for (const name of releaseAgeCandidates) {
-        const info = result?.[name]
-        if (info && isReleaseTooFresh(info.publishedAt, now)) held.add(name)
-      }
-      setReleaseAge({ key: releaseAgeKey, held })
+      setReleaseAge({ key: releaseAgeKey, releases: result ?? EMPTY_RELEASES })
     })
     return () => { cancelled = true }
   }, [releaseAgeKey, releaseAge.key])
 
-  /** 门禁结果是否已就绪（候选为空也算就绪）：未就绪时不写更新提醒，等查询回来再定。 */
+  /** 校验结果是否已就绪（候选为空也算就绪）：未就绪时不写更新提醒，等查询回来再定。 */
   const releaseAgeReady = releaseAgeKey === releaseAge.key
-  const heldPackages = releaseAgeReady ? releaseAge.held : EMPTY_PACKAGES
+
+  /**
+   * 不能提示更新的包：
+   *  - npm 上最新版还没过供应链门禁（发布不满 24h，pnpm 会静默回退，点了也装不上）；
+   *  - npm 上最新版并不高于已装版本 —— 更新走的是 `pkg@latest`，此时无论目录标到哪个 tag，
+   *    都不可能装上（作者可能只打了 GitHub release 没发 npm），提示只会变成永远点不掉的循环。
+   */
+  const updateBlocked = useMemo(() => {
+    const blocked = new Set<string>()
+    if (!releaseAgeReady) return blocked
+    const now = Date.now()
+    for (const pkg of releaseAgeCandidates) {
+      if (!isUpdateOffered(releaseAge.releases[pkg] ?? null, installedByPackage.get(pkg) ?? null, now)) blocked.add(pkg)
+    }
+    return blocked
+  }, [releaseAgeReady, releaseAgeCandidates, releaseAge.releases, installedByPackage])
 
   /**
    * 是否有更新：仅对已安装插件有意义。
    * 双信号判定——有 release 版本的比版本；无版本（repo 不打 tag）的比仓库最近更新时间
    * （repoUpdatedAt，ISO 字符串字典序 = 时间序），更新时间变新说明有新提交。
-   * 另加供应链门禁：npm 包最新版本发布未满门槛时视为暂缓，不打更新标记。
+   * 再用 npm registry 的实际最新版本复核：装不上的（太新 / 不比已装新）不打更新标记。
    */
   const hasUpdate = (p: HubPlugin): boolean => {
     if (!hasUpdateOf(p, installed, versions)) return false
     const pkg = npmPackageOf(p, versions)
-    return pkg === null || !heldPackages.has(pkg)
+    return pkg === null || !updateBlocked.has(pkg)
   }
 
-  /** 已安装项统一列表（目录元数据 + 运行时信息合并）：门禁命中的去掉更新标记，驱动「已安装」tab。 */
+  /** 已安装项统一列表（目录元数据 + 运行时信息合并）：被拦下的去掉更新标记，驱动「已安装」tab。 */
   const installedItems = useMemo<InstalledItem[]>(() => {
-    if (heldPackages.size === 0) return rawInstalledItems
+    if (updateBlocked.size === 0) return rawInstalledItems
     return rawInstalledItems.map((item) => {
       if (!item.hasUpdate || !item.plugin) return item
       const pkg = npmPackageOf(item.plugin, versions)
-      return pkg !== null && heldPackages.has(pkg) ? { ...item, hasUpdate: false } : item
+      return pkg !== null && updateBlocked.has(pkg) ? { ...item, hasUpdate: false } : item
     })
-  }, [rawInstalledItems, heldPackages, versions])
+  }, [rawInstalledItems, updateBlocked, versions])
 
   /**
    * Hub 自身更新状态：Hub 就是当前运行的应用（始终已安装，无需 installedName 命中）。