dsh-plugin 2.2.2 → 2.2.4

package/lib/services/install/task-queue.js

@@ -18,7 +18,7 @@ import { backfillOperationLog, createOperationLogTap, hasSubstantiveOutput, oper
 import { cleanLine, estimateProgress } from '../profile/progress.js';
 import { hasClientUi, isDshPlugin, mountLoadedEntry, removeLoadedEntry } from '../loader.js';
 import { addPendingRestart, clearPendingRestart } from '../profile/pending-restart.js';
-import { addAllowBuildsKey, bundleIncludes, githubRepoOf, parseAllowBuildsKey, profileDirectory } from '../profile/profile.js';
+import { addAllowBuildsKey, bundleIncludes, githubRepoOf, parseAllowBuildsKey, profileDirectory, validPackageName } from '../profile/profile.js';
 import { appendLog } from '../log.js';
 import { commandOnPath, gitMissingDetail } from './preflight.js';
 import { isTransportFailure, registryHost } from './registry-fallback.js';
@@ -200,14 +200,17 @@ export function desktopCliBootstrap(entry) {
 }
 /**
  * 传给 CLI 的安装目标：钉住版本优先（Hub 自我更新提示的是已过供应链门禁的版本），
- * 其次更新走 `@latest`，git 源与全局 npm 安装保持原样。
+ * 其次 npm 的 add/update 都显式 `@latest`；git 源、全局安装、已带版本/tag 的 spec 保持原样。
  */
 export function npmInstallTargetOf(target, opts) {
     if (opts.global || githubRepoOf(target) !== null)
         return target;
     if (opts.pinned !== undefined && opts.pinned !== '')
         return opts.pinned;
-    return opts.update ? `${target}@latest` : target;
+    // 裸包名才补 @latest：pnpm 对已存在的精确 spec 是幂等的，不显式要求就会留用旧版本
+    if (!(opts.update || opts.add) || !validPackageName(target))
+        return target;
+    return `${target}@latest`;
 }
 function stopChild(child) {
     if (process.platform === 'win32' && child.pid !== undefined) {
@@ -372,15 +375,13 @@ function spawnMutation(options) {
         && process.versions.electron !== undefined) {
         pushLine(task, '[desktop-cli-fallback] running inside Electron but no desktop CLI bootstrap was found — falling back to dsh on PATH (a desktop-managed profile will be rejected)');
     }
-    // 更新已安装的 npm 包：显式指定 @latest。pnpm add <pkg>（无版本）对已存在依赖
-    // （尤其精确 spec 如 "1.3.0"）是幂等的 —— 输出 "Already up to date" 且不改 package.json，
-    // 导致「更新成功」但实际仍停留在旧版本；git 地址与全局安装不受此影响。
-    // update 动作实际执行 `add <target>@latest`（pnpm 对已存在依赖带显式版本即原位覆盖升级），
-    // CLI 动词仍透传 add —— 不执行官方 update 动词，避免与既有覆盖重装机制分叉。
+    // 安装/更新 npm 包都显式 @latest：pnpm add <pkg>（无版本）对已存在的精确 spec 是幂等的，
+    // 会原样留用旧版本（更新不生效，普通安装也可能装回不支持当前宿主的旧包）。
+    // update 动作同样执行 `add <target>@latest`，CLI 动词透传 add，不与官方 update 动词分叉。
     const isUpdate = action === 'update' || updateNpm === true;
     const cliAction = action === 'update' ? 'add' : action;
     // 钉住版本优先于 @latest：提示的是「已过门禁」的版本，装 latest 会被 pnpm 拒绝
-    const npmUpdateTarget = npmInstallTargetOf(target, { update: isUpdate, global: isGlobalNpm, pinned: installSpec });
+    const npmUpdateTarget = npmInstallTargetOf(target, { update: isUpdate, global: isGlobalNpm, pinned: installSpec, add: cliAction === 'add' });
     const args = isGlobalNpm
         ? ['install', '-g', ...(globalNpm ?? [])]
         : [...invocation.prefixArgs, 'plugin', '--profile', profile, cliAction, npmUpdateTarget];

package/lib/types/services/install/task-queue.d.ts

@@ -40,12 +40,13 @@ export declare function cancelTask(id: number): boolean;
 export declare function desktopCliBootstrap(entry: string): string | null;
 /**
  * 传给 CLI 的安装目标：钉住版本优先（Hub 自我更新提示的是已过供应链门禁的版本），
- * 其次更新走 `@latest`，git 源与全局 npm 安装保持原样。
+ * 其次 npm 的 add/update 都显式 `@latest`；git 源、全局安装、已带版本/tag 的 spec 保持原样。
  */
 export declare function npmInstallTargetOf(target: string, opts: {
     update: boolean;
     global: boolean;
     pinned?: string;
+    add?: boolean;
 }): string;
 /**
  * 插件变更入队并返回其任务。任务严格串行：队列 worker 只在上一个结束后才启动下一个。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin",
-  "version": "2.2.2",
+  "version": "2.2.4",
   "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 10000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：10000+ 人工精选社区插件，每日更新。",
   "type": "module",
   "main": "lib/index.js",

package/src/client/data/hub.ts

@@ -6,7 +6,7 @@
  * Hub 元数据仓库：自我更新检查与「关注我们」内容背后的 Cloudflare Worker 接口。
  * 失败降级为 null —— 由调用方决定如何兜底（不显示徽标、占位文案），绝不抛错。
  */
-import type { HubAboutInfo, HubUpdateInfo } from '../types.ts'
+import type { HubAboutInfo, HubUpdateInfo, HubUpdateVersion } from '../types.ts'
 import { HUB_ABOUT_URL, HUB_UPDATE_URL } from '../logic/constants.ts'
 
 /** 版本接口是 Pages 静态文件，默认带 CDN 缓存（Cache-Control: public, max-age=43200，
@@ -18,7 +18,26 @@ function busted(url: string): string {
   return `${url}${sep}_t=${Date.now()}`
 }
 
-/** Worker 版本控制中心：最新版本 + Markdown 变更记录；不可用返回 null。 */
+/** 归一化接口下发的 recentVersions：只保留带版本号的条目，其余字段按类型补。
+ *  这条数据是「最新版还在 24.5h 门禁内时回退到更早的已过门槛版本」的唯一依据；
+ *  入口处漏传会让候选只剩最新版，整体变成 pending —— 用户就永远看不到更新入口。 */
+function recentVersionsOf(value: unknown): HubUpdateVersion[] {
+  if (!Array.isArray(value)) return []
+  const list: HubUpdateVersion[] = []
+  for (const item of value) {
+    if (item === null || typeof item !== 'object') continue
+    const entry = item as { version?: unknown; publishedAt?: unknown; notes?: unknown }
+    if (typeof entry.version !== 'string' || entry.version === '') continue
+    list.push({
+      version: entry.version,
+      ...(typeof entry.publishedAt === 'string' ? { publishedAt: entry.publishedAt } : {}),
+      ...(entry.notes === undefined ? {} : { notes: entry.notes as HubUpdateVersion['notes'] }),
+    })
+  }
+  return list
+}
+
+/** 版本控制中心：最新版本 + Markdown 变更记录 + 最近发版（门禁回退用）；不可用返回 null。 */
 export async function fetchHubUpdate(): Promise<HubUpdateInfo | null> {
   try {
     const res = await fetch(busted(HUB_UPDATE_URL), { cache: 'no-store' })
@@ -27,7 +46,12 @@ export async function fetchHubUpdate(): Promise<HubUpdateInfo | null> {
     if (!data) return null
     const version = typeof data.version === 'string' && data.version.length > 0 ? data.version : null
     if (version === null) return null
-    return { version, publishedAt: data.publishedAt ?? null, notes: data.notes ?? null }
+    return {
+      version,
+      publishedAt: data.publishedAt ?? null,
+      notes: data.notes ?? null,
+      recentVersions: recentVersionsOf(data.recentVersions),
+    }
   } catch {
     return null
   }

package/src/server/services/install/task-queue.ts

@@ -20,7 +20,7 @@ import { cleanLine, estimateProgress } from '../profile/progress.ts'
 import type { LoaderHandle } from '../loader.ts'
 import { hasClientUi, isDshPlugin, mountLoadedEntry, removeLoadedEntry } from '../loader.ts'
 import { addPendingRestart, clearPendingRestart } from '../profile/pending-restart.ts'
-import { addAllowBuildsKey, bundleIncludes, githubRepoOf, parseAllowBuildsKey, profileDirectory } from '../profile/profile.ts'
+import { addAllowBuildsKey, bundleIncludes, githubRepoOf, parseAllowBuildsKey, profileDirectory, validPackageName } from '../profile/profile.ts'
 import { appendLog } from '../log.ts'
 import { commandOnPath, gitMissingDetail } from './preflight.ts'
 import { isTransportFailure, registryHost } from './registry-fallback.ts'
@@ -218,12 +218,14 @@ export function desktopCliBootstrap(entry: string): string | null {
 
 /**
  * 传给 CLI 的安装目标：钉住版本优先（Hub 自我更新提示的是已过供应链门禁的版本），
- * 其次更新走 `@latest`，git 源与全局 npm 安装保持原样。
+ * 其次 npm 的 add/update 都显式 `@latest`；git 源、全局安装、已带版本/tag 的 spec 保持原样。
  */
-export function npmInstallTargetOf(target: string, opts: { update: boolean; global: boolean; pinned?: string }): string {
+export function npmInstallTargetOf(target: string, opts: { update: boolean; global: boolean; pinned?: string; add?: boolean }): string {
   if (opts.global || githubRepoOf(target) !== null) return target
   if (opts.pinned !== undefined && opts.pinned !== '') return opts.pinned
-  return opts.update ? `${target}@latest` : target
+  // 裸包名才补 @latest：pnpm 对已存在的精确 spec 是幂等的，不显式要求就会留用旧版本
+  if (!(opts.update || opts.add) || !validPackageName(target)) return target
+  return `${target}@latest`
 }
 
 function stopChild(child: ReturnType<typeof spawn>): void {
@@ -432,15 +434,13 @@ function spawnMutation(options: {
     && (process.versions as Record<string, string | undefined>).electron !== undefined) {
     pushLine(task, '[desktop-cli-fallback] running inside Electron but no desktop CLI bootstrap was found — falling back to dsh on PATH (a desktop-managed profile will be rejected)')
   }
-  // 更新已安装的 npm 包：显式指定 @latest。pnpm add <pkg>（无版本）对已存在依赖
-  // （尤其精确 spec 如 "1.3.0"）是幂等的 —— 输出 "Already up to date" 且不改 package.json，
-  // 导致「更新成功」但实际仍停留在旧版本；git 地址与全局安装不受此影响。
-  // update 动作实际执行 `add <target>@latest`（pnpm 对已存在依赖带显式版本即原位覆盖升级），
-  // CLI 动词仍透传 add —— 不执行官方 update 动词，避免与既有覆盖重装机制分叉。
+  // 安装/更新 npm 包都显式 @latest：pnpm add <pkg>（无版本）对已存在的精确 spec 是幂等的，
+  // 会原样留用旧版本（更新不生效，普通安装也可能装回不支持当前宿主的旧包）。
+  // update 动作同样执行 `add <target>@latest`，CLI 动词透传 add，不与官方 update 动词分叉。
   const isUpdate = action === 'update' || updateNpm === true
   const cliAction = action === 'update' ? 'add' : action
   // 钉住版本优先于 @latest：提示的是「已过门禁」的版本，装 latest 会被 pnpm 拒绝
-  const npmUpdateTarget = npmInstallTargetOf(target, { update: isUpdate, global: isGlobalNpm, pinned: installSpec })
+  const npmUpdateTarget = npmInstallTargetOf(target, { update: isUpdate, global: isGlobalNpm, pinned: installSpec, add: cliAction === 'add' })
   const args = isGlobalNpm
     ? ['install', '-g', ...(globalNpm ?? [])]
     : [...invocation.prefixArgs, 'plugin', '--profile', profile, cliAction, npmUpdateTarget]