dsh-plugin 2.3.0 → 2.3.2

package/lib/http/install.js

@@ -12,6 +12,7 @@ import { isDshNpmPackageForRepo } from '../services/install/npm-resolve.js';
 import { probeUrl, systemProxy } from '../services/probe.js';
 import { loadSettings } from '../services/settings.js';
 import { registryCandidates, registryHost, userNpmRegistry } from '../services/install/registry-fallback.js';
+import { lookupReleaseAge } from '../services/npm-release-age.js';
 import { profileDirectory } from '../services/profile/profile.js';
 import { readInstalled } from './catalog.js';
 import { COMMAND_TIMEOUT_MS, readJsonBody, requireTrustedPost, sendJson } from './shared.js';
@@ -178,6 +179,16 @@ export function registerInstallRoutes(webServer, profile, loader) {
                         }
                         ordered = [chosen, ...registries.filter((r) => r !== chosen)];
                     }
+                    // 新安装钉住「已过供应链门禁」的版本：pnpm 对发布未满 24h 的版本会静默回退到很旧的版本，
+                    // 用户装完才发现功能缺失且没有任何提示。更新已有目标时客户端已按门禁筛选，继续走 @latest。
+                    let installSpec = pinVersion !== '' ? `${target}@${pinVersion}` : undefined;
+                    if (installSpec === undefined && already === null) {
+                        // 解析源与安装首选源一致，钉住的版本一定存在于真正会用的那个源；解析失败则不钉，不阻断安装。
+                        // 超时压到 5s：网络刚探通，慢也只在极端情况，不能为查版本把安装请求拖住 8s
+                        const release = await lookupReleaseAge(target, ordered[0] ?? '', effectiveProxy, 5000);
+                        if (release !== null && release.installable !== null)
+                            installSpec = `${target}@${release.installable.version}`;
+                    }
                     // 入队前复检：网络探测的 await 期间并发请求可能已通过上方检查，而此处到 startPluginMutation
                     // 之间无 await，JS 单线程保证同一目标至多一个任务，杜绝双击/并发双任务。
                     if (hasQueuedTarget(target)) {
@@ -201,7 +212,7 @@ export function registerInstallRoutes(webServer, profile, loader) {
                         env: mutationEnv(settings),
                         // 候选源（首选在前）：任务内遇到传输层失败时按顺序换源重试
                         registries: ordered,
-                        installSpec: pinVersion !== '' ? `${target}@${pinVersion}` : undefined,
+                        installSpec,
                         // 自定义安装入口渠道：日志/报错据此溯源
                         installChannel,
                     });

package/lib/http/npm-release-age.js

@@ -8,6 +8,8 @@
  */
 import { systemProxy } from '../services/probe.js';
 import { lookupReleaseAge, parseReleaseAgeRequest } from '../services/npm-release-age.js';
+import { userNpmRegistry } from '../services/install/registry-fallback.js';
+import { profileDirectory } from '../services/profile/profile.js';
 import { loadSettings } from '../services/settings.js';
 import { readJsonBody, requireTrustedPost, sendJson } from './shared.js';
 export function registerNpmReleaseAgeRoutes(webServer, profile) {
@@ -30,7 +32,11 @@ export function registerNpmReleaseAgeRoutes(webServer, profile) {
                         ? settings.proxy
                         : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '');
                     // 并发查询：单包各自带超时且失败即 null，整体不因任一包失败而失败
-                    const results = await Promise.all(packages.map(async (name) => [name, await lookupReleaseAge(name, settings.npmRegistry, proxy)]));
+                    // 查询源与安装首选源同口径（设置 → 本机 npm 配置）：安装钉住的版本必须来自真正要用的那个源
+                    const registry = settings.npmRegistry !== ''
+                        ? settings.npmRegistry
+                        : userNpmRegistry(profileDirectory(profile));
+                    const results = await Promise.all(packages.map(async (name) => [name, await lookupReleaseAge(name, registry, proxy)]));
                     sendJson(response, 200, { packages: Object.fromEntries(results) });
                 }
                 catch (error) {

package/lib/services/npm-release-age.js

@@ -11,6 +11,8 @@
 import { get as httpsGet } from 'node:https';
 import { validPackageName } from './profile/profile.js';
 import { fetchViaCurl } from './probe.js';
+/** pnpm profile 默认 minimumReleaseAge=1440 分钟；+30 分钟缓冲与客户端 release-age 判定同口径。 */
+export const MIN_RELEASE_AGE_MS = 24 * 60 * 60 * 1000 + 30 * 60 * 1000;
 /** 请求体包名数量上限：只为已安装插件按需查询，几十个足矣，封顶防滥用。 */
 export const MAX_RELEASE_AGE_PACKAGES = 50;
 /** 单包查询超时（ms）：慢网络下失败即返回 null，不拖住整个响应。 */
@@ -38,6 +40,39 @@ export function latestReleaseOf(packument) {
         return null;
     return { version, publishedAt };
 }
+/**
+ * 已过供应链门禁的最高稳定版本：安装时钉住它，pnpm 就不会把最新版静默回退成很旧的版本。
+ * 只看纯 x.y.z（预发布版不参与，避免把用户带到不兼容预览版）；时间表缺失或无满足项返回 null。
+ */
+export function installableReleaseOf(packument, now = Date.now()) {
+    if (packument === null || typeof packument !== 'object')
+        return null;
+    const time = packument.time;
+    if (time === null || typeof time !== 'object')
+        return null;
+    let best = null;
+    for (const [version, published] of Object.entries(time)) {
+        if (!/^\d+\.\d+\.\d+$/.test(version) || typeof published !== 'string')
+            continue;
+        const at = Date.parse(published);
+        if (Number.isNaN(at) || now - at < MIN_RELEASE_AGE_MS)
+            continue;
+        if (best === null || compareVersion(version, best.version) > 0)
+            best = { version, publishedAt: published };
+    }
+    return best;
+}
+/** 纯数字段版本比较（installableReleaseOf 只在 x.y.z 里用）。 */
+function compareVersion(a, b) {
+    const pa = a.split('.');
+    const pb = b.split('.');
+    for (let i = 0; i < 3; i++) {
+        const d = Number.parseInt(pa[i] ?? '0', 10) - Number.parseInt(pb[i] ?? '0', 10);
+        if (d !== 0)
+            return d;
+    }
+    return 0;
+}
 /** 请求体 → 去重后的合法包名列表；非数组 / 超量 / 含非法包名一律 null（拒绝非法输入）。 */
 export function parseReleaseAgeRequest(body) {
     if (body === null || typeof body !== 'object')
@@ -99,7 +134,7 @@ async function fetchPackument(url, proxy, timeoutMs) {
     }
     return getJson(url, timeoutMs);
 }
-/** 查询一个包的最新版本与发布时间（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
+/** 查询一个包的最新版本、发布时间与可钉住的安装版本（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
 export async function lookupReleaseAge(packageName, registry, proxy, timeoutMs = RELEASE_AGE_TIMEOUT_MS) {
     const base = registry.replace(/\/+$/, '') || DEFAULT_NPM_REGISTRY;
     const key = `${base}\n${packageName}`;
@@ -116,8 +151,10 @@ export async function lookupReleaseAge(packageName, registry, proxy, timeoutMs =
     catch {
         return null;
     }
-    const release = latestReleaseOf(parsed);
-    if (release !== null)
-        releaseCache.set(key, { at: Date.now(), release });
+    const latest = latestReleaseOf(parsed);
+    if (latest === null)
+        return null;
+    const release = { ...latest, installable: installableReleaseOf(parsed) };
+    releaseCache.set(key, { at: Date.now(), release });
     return release;
 }

package/lib/types/services/npm-release-age.d.ts

@@ -2,6 +2,13 @@ export interface NpmRelease {
     version: string;
     publishedAt: string;
 }
+/** 最新版 + 可钉住的安装版本：安装时钉住后者，pnpm 才不会把「发布未满门禁」的最新版回退成很旧的版本。 */
+export interface NpmReleaseWithInstallable extends NpmRelease {
+    /** 已过供应链门禁的最高稳定版；时间表缺失或没有满足项时为 null（调用方退回不钉版本）。 */
+    installable: NpmRelease | null;
+}
+/** pnpm profile 默认 minimumReleaseAge=1440 分钟；+30 分钟缓冲与客户端 release-age 判定同口径。 */
+export declare const MIN_RELEASE_AGE_MS: number;
 /** 请求体包名数量上限：只为已安装插件按需查询，几十个足矣，封顶防滥用。 */
 export declare const MAX_RELEASE_AGE_PACKAGES = 50;
 /** 单包查询超时（ms）：慢网络下失败即返回 null，不拖住整个响应。 */
@@ -9,7 +16,12 @@ export declare const RELEASE_AGE_TIMEOUT_MS = 8000;
 export declare const DEFAULT_NPM_REGISTRY = "https://registry.npmjs.org";
 /** 从完整 packument 取 dist-tags.latest 对应版本及其发布时间；缺任一字段返回 null。 */
 export declare function latestReleaseOf(packument: unknown): NpmRelease | null;
+/**
+ * 已过供应链门禁的最高稳定版本：安装时钉住它，pnpm 就不会把最新版静默回退成很旧的版本。
+ * 只看纯 x.y.z（预发布版不参与，避免把用户带到不兼容预览版）；时间表缺失或无满足项返回 null。
+ */
+export declare function installableReleaseOf(packument: unknown, now?: number): NpmRelease | null;
 /** 请求体 → 去重后的合法包名列表；非数组 / 超量 / 含非法包名一律 null（拒绝非法输入）。 */
 export declare function parseReleaseAgeRequest(body: unknown): string[] | null;
-/** 查询一个包的最新版本与发布时间（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
-export declare function lookupReleaseAge(packageName: string, registry: string, proxy: string, timeoutMs?: number): Promise<NpmRelease | null>;
+/** 查询一个包的最新版本、发布时间与可钉住的安装版本（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
+export declare function lookupReleaseAge(packageName: string, registry: string, proxy: string, timeoutMs?: number): Promise<NpmReleaseWithInstallable | null>;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin",
-  "version": "2.3.0",
+  "version": "2.3.2",
   "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 10000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：10000+ 人工精选社区插件，每日更新。",
   "type": "module",
   "main": "lib/index.js",

package/src/client/components/PluginHubSection.tsx

@@ -11,10 +11,10 @@ import type { MouseEvent } from 'react'
 import styles from '../styles/Header.module.css'
 import modalStyles from '../styles/Modal.module.css'
 import type { EnvInfo, HubPlugin, InstallChannel, SectionProps, ToastState } from '../types.ts'
-import { installCommandOf, repoFromInstallTarget } from '../logic/install-command.ts'
+import { installCommandOf, installTargetOf, repoFromInstallTarget } from '../logic/install-command.ts'
 import { PLUGIN_VERSION } from '../logic/constants.ts'
 import { ensurePluginCss } from '../logic/ensure-plugin-css.ts'
-import { getEnv, revealInstallFolder } from '../data/host.ts'
+import { fetchNpmReleaseAge, getEnv, revealInstallFolder } from '../data/host.ts'
 import { useCatalog } from '../hooks/useCatalog.ts'
 import { useLanguage } from '../hooks/useLanguage.ts'
 import { useSettings } from '../hooks/useSettings.ts'
@@ -76,9 +76,11 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
   const [confirmPlugin, setConfirmPlugin] = useState<HubPlugin | null>(null)
   /** 弹窗动作是否为「更新」：已安装插件点「更新」→ 走同一条 add 命令原位覆盖重装，文案区分安装/更新 */
   const [confirmIsUpdate, setConfirmIsUpdate] = useState(false)
-  /** Hub 自我更新指定的精确版本：连续发版时提示的是「已过供应链门禁」的旧一版，
-   *  安装必须钉在该版本上，否则又会被 @latest 带回门禁内的最新版。 */
+  /** 安装要钉住的精确版本：Hub 连续发版时提示的旧一版、以及新安装的「已过供应链门禁」版本，
+   *  都必须钉住，否则 @latest 会被 pnpm 门禁带回门禁内的版本或静默回退到很旧的版本。 */
   const [confirmPinVersion, setConfirmPinVersion] = useState<string | null>(null)
+  /** 门禁版本查询的在途序号：只采用最后一次弹窗的查询结果，避免切换插件后旧结果覆盖 */
+  const installPinSeq = useRef(0)
   /** 命令行安装确认弹窗：记录待安装的裸目标（npm 包名）——
    *  与应用商店同一套确认/进度/结果弹窗，提供时 plugin 传 null 走 customTarget 模式 */
   const [confirmCustomTarget, setConfirmCustomTarget] = useState<string | null>(null)
@@ -321,9 +323,9 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
   }
 
   /** 弹窗动作一：复制安装命令到剪贴板，引导去终端粘贴执行（npm 安装显示包名命令）。 */
-  const copyCommand = async (p: HubPlugin) => {
+  const copyCommand = async (p: HubPlugin, version?: string) => {
     const repo = p.source?.repo ?? ''
-    const ok = await doCopy(installCommandOf(p))
+    const ok = await doCopy(installCommandOf(p, false, version))
     if (ok) {
       setCopied(repo)
       setToast({ id: Date.now(), kind: 'copied' })
@@ -332,6 +334,21 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
     setConfirmPlugin(null)
   }
 
+  /** 新安装先查「已过 pnpm 供应链门禁」的版本：命令条与执行都钉住它，
+   *  否则 pnpm 会把发布未满 24h 的最新版静默回退成很旧的版本。查不到则不钉，由服务端兜底解析。 */
+  const resolveInstallPin = (p: HubPlugin) => {
+    // 目录下发了官方安装命令的条目（CLI-only / 人工干预）只展示该命令，追加版本会改坏它
+    if (p.install?.command !== undefined && p.install.command !== '') return
+    const pkg = installTargetOf(p)
+    if (!pkg) return
+    const seq = ++installPinSeq.current
+    void fetchNpmReleaseAge([pkg]).then((res) => {
+      if (installPinSeq.current !== seq) return
+      const version = res?.[pkg]?.installable?.version
+      if (version !== undefined && version !== '') setConfirmPinVersion(version)
+    })
+  }
+
   /** 卸载弹窗动作：复制卸载命令，万一直接卸载失败可去终端手动执行。
    *  自定义安装（无目录数据）按已安装项包名直卸，同样给复制通道。 */
   const copyUninstallCommand = async () => {
@@ -451,12 +468,17 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
               ? t('pluginsTotal', { n: count })
               : t('filterResults', { n: count }),
           onInstall: (p, opts) => {
+            const update = opts?.update ?? false
             setInstallDone(false)
-            setConfirmIsUpdate(opts?.update ?? false)
+            setConfirmIsUpdate(update)
             setConfirmPinVersion(null)
+            // 本次弹窗重新开始：作废上一次仍在途的门禁版本查询
+            ++installPinSeq.current
             // 与卸载一致：重置弹窗关联任务，避免新弹窗误匹配到进行中的任务而禁用安装按钮
             queue.clearModalTask()
             setConfirmPlugin(p)
+            // 更新走 @latest 语义（客户端已按门禁筛选），只有新安装需要钉住门禁内可用的版本
+            if (!update) resolveInstallPin(p)
           },
           onUninstall: (p) => {
             setUninstallDone(false)
@@ -489,6 +511,8 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
               setInstallDone(false)
               setConfirmIsUpdate(true)
               setConfirmPinVersion(null)
+              // 更新不钉版本：作废可能仍在途的新安装门禁查询
+              ++installPinSeq.current
               queue.clearModalTask()
               setConfirmPlugin(item.plugin)
             },
@@ -567,6 +591,8 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
           setConfirmIsUpdate(true)
           // 钉住本次提示的版本：最新版可能仍在门禁内，@latest 会被 pnpm 拒绝
           setConfirmPinVersion(catalog.hubUpdateTarget?.version ?? null)
+          // 作废可能仍在途的新安装门禁查询，避免它覆盖本次钉住的版本
+          ++installPinSeq.current
           queue.clearModalTask()
           setConfirmPlugin(hubEntry)
         }
@@ -668,6 +694,7 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
       langPath,
       restarting,
       update: confirmIsUpdate,
+      pinVersion: confirmPinVersion ?? undefined,
       // 仅命令行插件（webInstallable=false / 人工干预 manualInstall）：弹窗只展示命令供复制，不提供一键安装
       cliOnly: confirmPlugin.install?.webInstallable === false || confirmPlugin.install?.manualInstall === true,
       submitting: queue.submitting,
@@ -681,8 +708,12 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
         setInstallBundleDeselected(false)
         if (reload) window.location.reload()
       },
-      onCopy: () => copyCommand(confirmPlugin),
-      onInstall: () => queue.installNow(confirmPlugin, confirmIsUpdate ? { update: true, pinVersion: confirmPinVersion ?? undefined } : undefined),
+      onCopy: () => copyCommand(confirmPlugin, confirmPinVersion ?? undefined),
+      onInstall: () => queue.installNow(confirmPlugin, {
+        update: confirmIsUpdate,
+        // 新安装钉住门禁版本：查询尚未回来时为空，服务端会自行解析
+        pinVersion: confirmPinVersion ?? undefined,
+      }),
       // 重启：结果视图「立即重启」也会中断进行中的任务 → 先弹重启确认弹窗
       onRestart: () => setShowRestartConfirm(true),
     }),

package/src/client/components/catalog/PluginCard.tsx

@@ -39,11 +39,25 @@ export function PluginCard({ plugin: p, copied, installedName, installedVersion,
   const pendingUntil = isInstalled && !update ? updatePendingUntil(p) : null
   // 版本号展示：已安装 → 当前已装版本（最能反映用户状态）；未安装 → 目录最新版本
   const versionShown = isInstalled ? installedVersion(p) : p.version
+  // 目录只下发作者 GitHub 账号，缺省时从仓库地址推导
+  const author = p.ownerSlug ?? repo.split('/')[0]?.toLowerCase() ?? ''
 
   return h('div', { className: styles.card },
     h('div', { className: styles.cardMain },
-      h('div', { className: styles.cardHead },
-        h('div', { className: styles.cardTitle, title: p.description ?? '' }, p.displayName ?? p.slug),
+      // 第一行只放名称 + 版本 + 更新状态：这三样是判断「这是什么、我装没装、要不要更新」的全部依据，
+      // 必须始终可见；长仓库名在此行内省略号收尾，不把版本与更新徽标挤出去
+      h('div', { className: styles.cardTitleRow },
+        // 名称本身是通往主站详情页的链接：悬停变色即可点，省掉「先找按钮再点」的一步。
+        // 无仓库地址时退回纯文本（没有可跳转的目标）
+        repo
+          ? h('a', {
+            className: styles.cardTitle,
+            href: pluginDetailUrl(p, langPath),
+            target: '_blank',
+            rel: 'noopener noreferrer',
+            title: p.description ?? '',
+          }, p.displayName ?? p.slug)
+          : h('div', { className: styles.cardTitle, title: p.description ?? '' }, p.displayName ?? p.slug),
         // 版本号紧跟插件名称：有版本才显示（无 release 的仓库不展示版本号）
         versionShown ? h('span', { className: styles.versionBadge, title: t('version') }, versionShown) : null,
         // 已安装且有更新：醒目提示（有 release 比版本号、无 release 比仓库最近更新时间）
@@ -51,11 +65,17 @@ export function PluginCard({ plugin: p, copied, installedName, installedVersion,
         pendingUntil !== null
           ? h('span', { className: styles.updateBadge, title: t('updatePendingHint') }, t('updatePending', { time: clockTime(pendingUntil) }))
           : null,
-        p.category ? h('span', { className: styles.categoryBadge }, categoryLabel(CATEGORY_LABELS, p.category, langKey)) : null,
-        p.compatibility?.status === 'verified'
-          ? h('span', { className: styles.verified }, t('verified'))
-          : null,
       ),
+      // 作者与分类同属背景信息：单独一行，不与名称抢宽度，也不参与是否要装/更新的判断
+      (author || p.category || p.compatibility?.status === 'verified')
+        ? h('div', { className: styles.cardBadgeRow },
+          author ? h('span', { className: styles.authorBadge, title: t('author') }, `@${author}`) : null,
+          p.category ? h('span', { className: styles.categoryBadge }, categoryLabel(CATEGORY_LABELS, p.category, langKey)) : null,
+          p.compatibility?.status === 'verified'
+            ? h('span', { className: styles.verified }, t('verified'))
+            : null,
+        )
+        : null,
       // 描述始终显示：站点英文数据缺翻译时 description 回退成中文也照常展示 ——
       // 描述是了解插件的第一入口，语言不一致也不该省略。
       p.description ? h('p', { className: styles.desc }, p.description) : null,

package/src/client/components/modals/modals.tsx

@@ -90,6 +90,8 @@ export interface InstallModalProps {
   restarting: boolean
   /** 已安装插件的覆盖更新（走同一条 add 命令原位重装，文案区分安装/更新） */
   update: boolean
+  /** 已过供应链门禁的安装版本：命令条带上它，手抄执行与一键安装结果一致（未查到时不传） */
+  pinVersion?: string
   /** 仅命令行插件（webInstallable=false）：不提供一键安装，只展示命令供复制到 dsh 终端 */
   cliOnly: boolean
   /** 安装请求在途（fetch 等待响应）：此时任务尚未入队，需禁用确认按钮防止二次点击 */
@@ -112,7 +114,7 @@ export interface InstallModalProps {
  * 目录插件与命令行安装（customTarget 模式）共用同一套确认/进度/结果流程。
  */
 export function InstallModal(props: InstallModalProps) {
-  const { plugin, customTarget, globalNpm, done, task, t, langPath, restarting, submitting, update, cliOnly, needsRestart, needsReload, bundleDeselected, onClose, onCopy, onInstall, onRestart } = props
+  const { plugin, customTarget, globalNpm, done, task, t, langPath, restarting, submitting, update, pinVersion, cliOnly, needsRestart, needsReload, bundleDeselected, onClose, onCopy, onInstall, onRestart } = props
   const busy = submitting || (task !== null && (task.status === 'pending' || task.status === 'running'))
   // 进行中标题带上插件名（中文「XX 插件安装中」；英文状态词在前更自然），并用状态色区分；
   // 命令行安装无插件元数据 → 直接用输入的目标展示；全局 npm 安装 → 包列表空格拼接
@@ -191,7 +193,7 @@ export function InstallModal(props: InstallModalProps) {
             h('span', { className: styles.modalCmdText },
               globalNpm !== undefined && globalNpm.length > 0
                 ? `npm install -g ${globalNpm.join(' ')}`
-                : customTarget ? `pnpm add ${customTarget}` : installCommandOf(plugin!)),
+                : customTarget ? `pnpm add ${customTarget}` : installCommandOf(plugin!, false, pinVersion)),
             h('span', { className: styles.modalCmdCopy }, h(CopyIcon), t('copyCmdLabel')),
           ),
           // 全局 npm 安装说明：装的是系统级 CLI 工具，不进插件列表、无需重启宿主

package/src/client/components/views/InstalledView.tsx

@@ -17,7 +17,8 @@ import styles from '../../styles/InstalledView.module.css'
 import type { LocaleId, Translate } from '../../types.ts'
 import type { InstalledItem } from '../../logic/installed.ts'
 import { CATEGORY_LABELS, categoryLabel } from '../../logic/constants.ts'
-import { clockTime } from '../../logic/format.ts'
+import { clockTime, fmtStars } from '../../logic/format.ts'
+import { pluginSiteUrl } from '../../logic/urls.ts'
 import { SortArrowIcon } from '../ui/icons.tsx'
 
 const INSTALLED_SORTS = ['sortName', 'sortInstalledAt', 'sortStars', 'sortForks'] as const
@@ -101,9 +102,20 @@ function InstalledRow({ item, t, langKey, canReveal, revealLabel, pendingRestart
             : item.dshCapable ? t('statusInactive')
               : t('exampleHint'),
       }),
-      // 主信息：名称 + 已装版本 + 有更新徽标（flex 撑满，超长省略）
+      // 主信息：名称 + 已装版本 + 有更新徽标（同一行，名称超长时省略，徽标不被挤走）。
+      // 名称本身是主站详情页链接：点它直接跳官网，点行内其它位置仍是本地面板。
+      // 阻止冒泡，避免一次点击同时打开本地详情弹窗和新标签页
       h('div', { className: styles.rowMain },
-        h('span', { className: styles.rowTitle }, name),
+        repo
+          ? h('a', {
+            className: styles.rowTitle,
+            href: pluginSiteUrl(repo),
+            target: '_blank',
+            rel: 'noopener noreferrer',
+            title: t('detail'),
+            onClick: (e: MouseEvent<HTMLAnchorElement>) => e.stopPropagation(),
+          }, name)
+          : h('span', { className: styles.rowTitle }, name),
         item.installedVersion
           ? h('span', { className: styles.versionBadge, title: t('installedVersionLabel') }, item.installedVersion)
           : null,
@@ -114,15 +126,51 @@ function InstalledRow({ item, t, langKey, canReveal, revealLabel, pendingRestart
             ? h('span', { className: styles.updateBadge, title: t('updatePendingHint') }, t('updatePending', { time: clockTime(item.pendingUntil) }))
             : null,
       ),
-      // 来源标签列（行尾、操作按钮前，右对齐固定）：目录插件 →「插件市场」（品牌色），
-      // 命令行安装 →「手动安装」（琥珀色）；两词 4 字等宽，所有条目标签同列对齐
+      // 右上角 Star / Fork：与插件市场列表同一口径，装之前看过的热度在已安装里也能对照。
+      // 自定义安装没有目录元数据（plugin === null），没有可展示的统计
+      item.plugin
+        ? h('div', { className: styles.rowStats },
+          h('span', { className: styles.rowStar }, '\u2605 ', fmtStars(item.plugin.stats?.stargazers_count)),
+          h('span', { className: styles.rowFork }, t('fork'), ' ', fmtStars(item.plugin.stats?.forks_count)),
+        )
+        : null,
+    ),
+    // 示例项目徽标单独一行（非 dsh 插件）：标签较长也能完整显示，不挤压名称行
+    !item.dshCapable
+      ? h('div', { className: styles.exampleRow },
+        h('span', { className: styles.exampleBadge, title: t('exampleHint') }, t('exampleLabel')),
+      )
+      : null,
+    // 第二行：仓库 · 分类 · 来源（与名称左对齐缩进，独立成行不再挤压名称）。
+    // 来源标签恒定存在，故此行恒渲染：仓库与分类缺失时仍要能看到它是从哪装进来的
+    h('div', { className: styles.rowMeta },
+      // 仓库名同样指向主站详情页；与名称一样阻止冒泡，不连带打开本地详情弹窗
+      item.repo
+        ? h('a', {
+          className: styles.rowRepo,
+          href: pluginSiteUrl(item.repo),
+          target: '_blank',
+          rel: 'noopener noreferrer',
+          title: t('detail'),
+          onClick: (e: MouseEvent<HTMLAnchorElement>) => e.stopPropagation(),
+        }, item.repo)
+        : null,
+      category ? h('span', { className: styles.rowCategory },
+        categoryLabel(CATEGORY_LABELS, category, langKey)) : null,
+      // 来源标签：目录插件 →「插件市场」（品牌色），命令行安装 →「手动安装」（琥珀色）
       h('span', {
         className: isCustom
           ? `${styles.rowSourceTag} ${styles.rowSourceTagManual}`
           : `${styles.rowSourceTag} ${styles.rowSourceTagHub}`,
         title: isCustom ? t('manualInstallHint') : t('hubInstallHint'),
       }, isCustom ? t('manualInstall') : t('hubInstall')),
-      // 行操作：重启（dsh 插件待重启时）/ 详情 / 更新（有更新时）/ 卸载 —— 按钮点击不触发行打开详情
+    ),
+    // 第三行（仅目录插件）：简介单独一行展示，超长以省略号收尾
+    desc ? h('div', { className: styles.rowDesc, title: desc }, desc) : null,
+    // 最后一行：操作按钮单独成行、靠右，名称与版本号那条线不再被按钮挤窄
+    h('div', { className: styles.rowActionLine },
+      // 行操作：重启（dsh 插件待重启时）/ 在 Finder 中显示 / 安装详情 / 更新（有更新时）/ 卸载
+      // —— 按钮点击不触发行打开详情
       h('div', { className: styles.rowActions },
         // 装完未挂载、且在待重启列表里的 dsh 插件：给「重启」入口，点了宿主重启后插件即生效；
         // 已重启但仍加载失败（不在待重启列表）不显示「重启」，改为灰点「未激活」
@@ -134,8 +182,7 @@ function InstalledRow({ item, t, langKey, canReveal, revealLabel, pendingRestart
             onClick: (e: MouseEvent<HTMLButtonElement>) => { e.stopPropagation(); onRestart() },
           }, t('restart'))
           : null,
-        // 支持文件管理器定位的平台（macOS / Linux）：行内该位改为打开安装目录按钮；
-        // 行点击本身即打开详情弹窗，故不支持的平台（如 Windows）不显示此按钮
+        // 支持文件管理器定位的平台（macOS / Linux）才显示打开安装目录按钮
         canReveal
           ? h('button', {
             className: styles.rowDetail,
@@ -143,6 +190,13 @@ function InstalledRow({ item, t, langKey, canReveal, revealLabel, pendingRestart
             onClick: (e: MouseEvent<HTMLButtonElement>) => { e.stopPropagation(); onReveal(item) },
           }, revealLabel)
           : null,
+        // 安装详情：显式入口，打开与点行内空白处同一个本地详情弹窗
+        h('button', {
+          className: styles.rowDetail,
+          type: 'button',
+          title: t('detail'),
+          onClick: (e: MouseEvent<HTMLButtonElement>) => { e.stopPropagation(); onOpenDetail(item) },
+        }, t('installDetail')),
         item.hasUpdate && item.plugin
           ? h('button', {
             className: styles.rowUpdate,
@@ -158,22 +212,6 @@ function InstalledRow({ item, t, langKey, canReveal, revealLabel, pendingRestart
         }, t('uninstall')),
       ),
     ),
-    // 示例项目徽标单独一行（非 dsh 插件）：标签较长也能完整显示，不挤压名称行
-    !item.dshCapable
-      ? h('div', { className: styles.exampleRow },
-        h('span', { className: styles.exampleBadge, title: t('exampleHint') }, t('exampleLabel')),
-      )
-      : null,
-    // 第二行：仓库 · 分类（与名称左对齐缩进，独立成行不再挤压名称）
-    repo || category
-      ? h('div', { className: styles.rowMeta },
-        item.repo ? h('span', { className: styles.rowRepo }, item.repo) : null,
-        category ? h('span', { className: styles.rowCategory },
-          categoryLabel(CATEGORY_LABELS, category, langKey)) : null,
-      )
-      : null,
-    // 第三行（仅目录插件）：简介单独一行展示，超长以省略号收尾
-    desc ? h('div', { className: styles.rowDesc, title: desc }, desc) : null,
   )
 }
 

package/src/client/data/host.ts

@@ -48,6 +48,8 @@ export async function fetchInstalled(): Promise<HostInstalled | null> {
 export interface NpmReleaseInfo {
   version: string
   publishedAt: string
+  /** 已过 pnpm 供应链门禁的最高稳定版：安装/展示命令钉住它；无可钉版本时为 null。 */
+  installable?: NpmReleaseInfo | null
 }
 
 /** 批量查询已安装插件 npm 包的最新版本发布时间（供应链门禁用）；失败返回 null（调用方按原逻辑照常提示）。 */

package/src/client/hooks/useTaskQueue.ts

@@ -562,7 +562,7 @@ export function useTaskQueue(opts: TaskQueueOptions) {
       desc: p.description,
       version: p.version,
       updatedAt: p.dates?.repoUpdatedAt,
-      command: installCommandOf(p, true),
+      command: installCommandOf(p, true, opts?.pinVersion),
       source: 'catalog',
       update: opts?.update,
       pinVersion: opts?.pinVersion,

package/src/client/locales.ts

@@ -404,7 +404,7 @@ export const zh = {
   failKind_pluginMissingDep: '插件依赖未发布',
   failReason_pluginMissingDep: '插件声明依赖的包在官方 npm 源上不存在（已删除或从未发布）。',
   failKind_registryVersionStale: '该版本在所用源上不存在',
-  failReason_registryVersionStale: '实际安装用的源还没同步到这个版本，或版本号写错。',
+  failReason_registryVersionStale: '实际安装用的源还没同步到这个版本。可稍后重试，或到「设置 → npm 镜像源」换成官方源；也可先安装上一个可用版本。',
   failKind_registryAuth: 'npm 源拒绝了访问',
   failReason_registryAuth: 'registry 返回 401/403：这个源需要登录凭据，或当前网络不被允许。',
   failKind_profileExclusive: 'profile 由桌面应用独占管理',
@@ -471,6 +471,9 @@ export const zh = {
   installEntryLine: '安装入口：{c}。',
   reportIssue: '去插件仓库提交 Issue',
   detail: '打开详情',
+  // 已安装行按钮：打开与点行内空白处相同的本地详情弹窗
+  installDetail: '安装详情',
+  author: '作者',
   noResult: '没有找到匹配的插件',
   noResultDesc: '换个关键词试试，或前往网站浏览全部插件。',
   today: '今天更新',
@@ -507,10 +510,10 @@ export const zh = {
   close: '关闭',
   // 暂缓提示：远端确有新版本，但发布未满 24 小时（pnpm 供应链安全门槛），与「已是最新」严格区分
   hubPendingDesc: '最新版已发布，但发布尚未满 24 小时：此时更新会被 pnpm 静默回退到旧版本，因此暂不提示。稍后这里会自动出现更新入口。',
-  // 头部「关注我们」弹窗：平台介绍 + 用户反馈群二维码（内容由 Worker /about Markdown 推送，非写死）
+  // 头部「关注我们」弹窗：平台介绍（内容由 Worker /about Markdown 推送，非写死）
   followUs: '关注我们',
   aboutTitle: '关注我们',
-  aboutDesc: '了解 DSH Plugin Hub 是做什么的，加入用户反馈群随时交流。',
+  aboutDesc: '了解 DSH Plugin Hub 是做什么的，访问主站浏览插件，或到 GitHub 提交 Issue。',
   aboutEmpty: '内容暂未发布，敬请期待。',
   aboutUpdated: '更新于',
   empty: '该分类暂无插件',
@@ -912,7 +915,7 @@ export const en = {
   failKind_pluginMissingDep: 'plugin dependency is not published',
   failReason_pluginMissingDep: 'A package the plugin depends on does not exist on the official npm registry.',
   failKind_registryVersionStale: 'this version is not available on the registry in use',
-  failReason_registryVersionStale: 'The registry that actually performs the install has not synced this version yet, or the version is mistyped.',
+  failReason_registryVersionStale: 'The registry that actually performs the install has not synced this version yet. Retry later, switch to the official registry under Settings → npm mirror, or install a previous version for now.',
   failKind_registryAuth: 'the npm registry rejected access',
   failReason_registryAuth: 'The registry returned 401/403: it needs credentials, or the current network is not allowed.',
   failKind_profileExclusive: 'the profile is managed only by the desktop app',
@@ -979,6 +982,9 @@ export const en = {
   installEntryLine: 'Install entry: {c}.',
   reportIssue: 'Report an Issue to the plugin repo',
   detail: 'Open details',
+  // Installed-row local details button: opens the same dialog as clicking the row body
+  installDetail: 'Install details',
+  author: 'Author',
   noResult: 'No plugins match your search',
   noResultDesc: 'Try another keyword, or browse all plugins on the website.',
   today: 'updated today',
@@ -1013,10 +1019,10 @@ export const en = {
   close: 'Close',
   // 暂缓提示：确有新版本，但仍在 pnpm 24h 供应链门禁窗口内
   hubPendingDesc: 'The latest version has been released, but it is still within the 24-hour window where pnpm silently falls back to the older version, so the update is not offered yet. The update entry will appear here shortly.',
-  // 头部「关注我们」弹窗：平台介绍 + 用户反馈群二维码（内容由 Worker /about 以 Markdown 推送）
+  // 头部「关注我们」弹窗：平台介绍（内容由 Worker /about 以 Markdown 推送）
   followUs: 'Follow us',
   aboutTitle: 'Follow us',
-  aboutDesc: 'Learn what DSH Plugin Hub does and join our user feedback group.',
+  aboutDesc: 'Learn what DSH Plugin Hub does — browse plugins on the website, or open an Issue on GitHub.',
   aboutEmpty: 'Content not published yet — stay tuned.',
   aboutUpdated: 'Updated',
   empty: 'No plugins in this category yet',

package/src/client/logic/install-command.ts

@@ -29,12 +29,15 @@ export function installTargetOf(p: HubPlugin): string {
 
 /** 展示用安装命令（复制/弹窗）：目录下发的权威命令优先（CLI-only 插件如 dsh-tui
  *  需专属 profile（--profile dsh-tui），无法从 npm 包名推断，必须用官方命令）；
- *  常规插件无目录命令时用 npm 包名回退生成。 */
-export function installCommandOf(p: HubPlugin, withProfile = false): string {
+ *  常规插件无目录命令时用 npm 包名回退生成。
+ *  version 为已过供应链门禁的版本：带上它，手抄命令与原位安装的执行结果一致，
+ *  不会因 pnpm 门禁静默回退到很旧的版本。 */
+export function installCommandOf(p: HubPlugin, withProfile = false, version?: string): string {
   const cmd = p.install?.command
   if (cmd) return cmd
   const prefix = `dsh plugin${withProfile ? ' --profile web' : ''} add `
-  return `${prefix}${installTargetOf(p)}`
+  const target = installTargetOf(p)
+  return `${prefix}${version === undefined || version === '' ? target : `${target}@${version}`}`
 }
 
 /** 把任务/安装目标归一化为 owner/repo 展示身份。 */