dsh-plugin 2.3.0 → 2.3.2

package/src/client/styles/InstalledView.module.css

@@ -221,7 +221,7 @@
   background: var(--hub-text-tertiary);
 }
 
-/* 主信息：名称 + 已装版本 + 有更新徽标 */
+/* 主信息：名称 + 已装版本 + 有更新徽标（同一行，名称超长时省略，徽标不被挤走） */
 .rowMain {
   display: flex;
   align-items: baseline;
@@ -230,25 +230,56 @@
   flex: 1 1 auto;
 }
 
+/* 右上角 Star / Fork：靠右单行，配色与插件市场列表一致（星标琥珀、Fork 次级灰） */
+.rowStats {
+  display: flex;
+  align-items: center;
+  gap: 10px;
+  margin-left: auto;
+  flex-shrink: 0;
+  white-space: nowrap;
+}
+
+.rowStar {
+  font-size: 11px;
+  line-height: 16px;
+  color: var(--hub-warn);
+}
+
+.rowFork {
+  font-size: 11px;
+  line-height: 16px;
+  color: var(--hub-text-tertiary);
+}
+
 .rowTitle {
   font-size: 12px;
   line-height: 18px;
   font-weight: 600;
   color: var(--hub-text-primary);
+  flex: 0 1 auto;
   min-width: 0;
   white-space: nowrap;
   overflow: hidden;
   text-overflow: ellipsis;
+  /* 名称是主站详情页链接：不做成蓝色下划线，悬停才点明可点 */
+  text-decoration: none;
 }
 
-/* 已装版本：等宽弱化小字 */
+a.rowTitle:hover {
+  color: var(--hub-brand);
+  text-decoration: underline;
+}
+
+/* 已装版本：等宽弱化小字。描边透明但保留 1px，与同行的「有更新」「插件市场」等高 */
 .versionBadge {
   flex-shrink: 0;
   font-family: ui-monospace, SFMono-Regular, Menlo, Consolas, monospace;
-  font-size: 11px;
-  line-height: 16px;
+  font-size: 10px;
+  line-height: 14px;
   color: var(--hub-text-tertiary);
   background: var(--hub-bg-hover);
+  border: 1px solid transparent;
   border-radius: 4px;
   padding: 0 5px;
 }
@@ -256,8 +287,8 @@
 /* 有更新徽标：品牌色实底小圆标 */
 .updateBadge {
   flex-shrink: 0;
-  font-size: 11px;
-  line-height: 16px;
+  font-size: 10px;
+  line-height: 14px;
   font-weight: 500;
   color: var(--hub-warn);
   background: var(--hub-warn-tint);
@@ -274,8 +305,8 @@
   width: 60px;
   box-sizing: border-box;
   text-align: center;
-  font-size: 11px;
-  line-height: 16px;
+  font-size: 10px;
+  line-height: 14px;
   font-weight: 500;
   border-radius: 4px;
   padding: 0 4px;
@@ -300,8 +331,8 @@
    与「有更新」实底区分，表达「这是示例项目，宿主不加载」 */
 .exampleBadge {
   flex-shrink: 0;
-  font-size: 11px;
-  line-height: 16px;
+  font-size: 10px;
+  line-height: 14px;
   font-weight: 500;
   color: var(--hub-brand);
   background: var(--hub-brand-tint);
@@ -338,16 +369,34 @@
   white-space: nowrap;
   overflow: hidden;
   text-overflow: ellipsis;
+  /* 仓库名是主站详情页链接：默认与普通文字无异，悬停才提示可点 */
+  text-decoration: none;
+}
+
+a.rowRepo:hover {
+  color: var(--hub-brand);
+  text-decoration: underline;
 }
 
 .rowCategory {
   flex-shrink: 0;
-  font-size: 11px;
-  line-height: 16px;
+  font-size: 10px;
+  line-height: 14px;
   color: var(--hub-text-tertiary);
   background: var(--hub-bg-hover);
+  border: 1px solid transparent;
   border-radius: 4px;
-  padding: 0 6px;
+  padding: 0 5px;
+}
+
+/* 来源标签 + 操作按钮行：独立成行靠右成组，名称行只留名称/版本/更新状态 */
+.rowActionLine {
+  display: flex;
+  align-items: center;
+  justify-content: flex-end;
+  gap: 8px;
+  padding-left: 16px;
+  min-width: 0;
 }
 
 /* —— 行操作：详情 / 更新 / 卸载 —— */
@@ -359,14 +408,16 @@
   flex-shrink: 0;
 }
 
-/* 详情：中性细边框按钮，与卸载同款描边样式（视觉成组） */
+/* 详情：默认无边框（低频操作不抢视觉），悬停才出现描边与底色成为按钮形状。
+   描边保留 1px 透明而非 none，保证与同行的更新/卸载按钮同高、文字基线对齐 */
 .rowDetail {
   font-family: inherit;
   font-size: 12px;
   line-height: 18px;
+  font-weight: 500;
   color: var(--hub-text-secondary);
   background: transparent;
-  border: 1px solid var(--hub-border-2);
+  border: 1px solid transparent;
   border-radius: 6px;
   padding: 2px 10px;
   cursor: pointer;
@@ -376,7 +427,7 @@
 
 .rowDetail:hover {
   color: var(--hub-text-primary);
-  border-color: var(--hub-border-ghost);
+  border-color: var(--hub-border-2);
   background: var(--hub-bg-hover);
 }
 
@@ -403,7 +454,8 @@
   border-color: var(--hub-warning);
 }
 
-/* 更新：琥珀色实底小按钮（与插件市场「可更新」同色），仅在「有更新」时出现 */
+/* 更新：琥珀色实底小按钮（与插件市场「可更新」同色），仅在「有更新」时出现。
+   与详情/卸载同度量（1px 描边 + 2px 内距），否则实底按钮会比描边按钮窄一圈 */
 .rowUpdate {
   font-family: inherit;
   font-size: 12px;
@@ -411,9 +463,9 @@
   font-weight: 500;
   color: #fff;
   background: var(--hub-warn);
-  border: none;
+  border: 1px solid var(--hub-warn);
   border-radius: 6px;
-  padding: 3px 10px;
+  padding: 2px 10px;
   cursor: pointer;
   user-select: none;
   transition: background 120ms ease;
@@ -428,6 +480,7 @@
   font-family: inherit;
   font-size: 12px;
   line-height: 18px;
+  font-weight: 500;
   color: var(--hub-danger);
   background: transparent;
   border: 1px solid var(--hub-danger-border-soft);

package/src/client/styles/List.module.css

@@ -52,7 +52,8 @@
   gap: 4px;
 }
 
-.cardHead {
+/* 名称行：名称可收缩到省略号，版本与更新徽标不收缩 —— 长仓库名不会把状态挤没 */
+.cardTitleRow {
   display: flex;
   align-items: center;
   gap: 6px;
@@ -60,26 +61,55 @@
 }
 
 .cardTitle {
+  flex: 0 1 auto;
+  min-width: 0;
   font-size: 13px;
   line-height: 18px;
   font-weight: 600;
   white-space: nowrap;
   overflow: hidden;
   text-overflow: ellipsis;
+  /* 链接形态但不做成蓝色下划线：沿用标题颜色，悬停才点明可点 */
+  color: inherit;
+  text-decoration: none;
+  transition: color 120ms ease;
+}
+
+a.cardTitle:hover {
+  color: var(--hub-brand);
+  text-decoration: underline;
 }
 
+/* 分类 / 验证徽标行：与名称行分开，长名称与多枚徽标互不抢宽度 */
+.cardBadgeRow {
+  display: flex;
+  align-items: center;
+  flex-wrap: wrap;
+  gap: 6px;
+}
+
+/* 徽章统一度量：字号 / 行高 / 内距 / 描边一致，同屏并排时不会一大一小。
+   以 14px 行高 + 1px 描边收成 16px 高的轻量标签，不与名称行争视觉重量 */
 .categoryBadge,
 .verified,
+.authorBadge,
 .versionBadge,
 .updateBadge {
   flex-shrink: 0;
   font-size: 10px;
-  line-height: 16px;
+  line-height: 14px;
   border-radius: 4px;
-  padding: 0 6px;
+  padding: 0 5px;
   border: 1px solid transparent;
 }
 
+/* 作者：等宽字体 + 中性灰，与分类（品牌蓝）、已验证（绿）区分，避免一行里多个彩色标签抢注意力 */
+.authorBadge {
+  font-family: ui-monospace, SFMono-Regular, Menlo, Consolas, monospace;
+  color: var(--hub-text-tertiary);
+  border-color: var(--hub-border-ghost);
+}
+
 .categoryBadge {
   color: var(--hub-brand);
   border-color: var(--hub-border-ghost);

package/src/server/http/install.ts

@@ -12,6 +12,7 @@ import { isDshNpmPackageForRepo } from '../services/install/npm-resolve.ts'
 import { probeUrl, systemProxy } from '../services/probe.ts'
 import { loadSettings, type HubSettings } from '../services/settings.ts'
 import { registryCandidates, registryHost, userNpmRegistry } from '../services/install/registry-fallback.ts'
+import { lookupReleaseAge } from '../services/npm-release-age.ts'
 import { profileDirectory } from '../services/profile/profile.ts'
 import { readInstalled } from './catalog.ts'
 import { COMMAND_TIMEOUT_MS, readJsonBody, requireTrustedPost, sendJson, type WebRoute, type WebServerService } from './shared.ts'
@@ -181,6 +182,15 @@ export function registerInstallRoutes(webServer: WebServerService, profile: stri
             }
             ordered = [chosen, ...registries.filter((r) => r !== chosen)]
           }
+          // 新安装钉住「已过供应链门禁」的版本：pnpm 对发布未满 24h 的版本会静默回退到很旧的版本，
+          // 用户装完才发现功能缺失且没有任何提示。更新已有目标时客户端已按门禁筛选，继续走 @latest。
+          let installSpec = pinVersion !== '' ? `${target}@${pinVersion}` : undefined
+          if (installSpec === undefined && already === null) {
+            // 解析源与安装首选源一致，钉住的版本一定存在于真正会用的那个源；解析失败则不钉，不阻断安装。
+            // 超时压到 5s：网络刚探通，慢也只在极端情况，不能为查版本把安装请求拖住 8s
+            const release = await lookupReleaseAge(target, ordered[0] ?? '', effectiveProxy, 5000)
+            if (release !== null && release.installable !== null) installSpec = `${target}@${release.installable.version}`
+          }
           // 入队前复检：网络探测的 await 期间并发请求可能已通过上方检查，而此处到 startPluginMutation
           // 之间无 await，JS 单线程保证同一目标至多一个任务，杜绝双击/并发双任务。
           if (hasQueuedTarget(target)) {
@@ -204,7 +214,7 @@ export function registerInstallRoutes(webServer: WebServerService, profile: stri
             env: mutationEnv(settings),
             // 候选源（首选在前）：任务内遇到传输层失败时按顺序换源重试
             registries: ordered,
-            installSpec: pinVersion !== '' ? `${target}@${pinVersion}` : undefined,
+            installSpec,
             // 自定义安装入口渠道：日志/报错据此溯源
             installChannel,
           })

package/src/server/http/npm-release-age.ts

@@ -8,6 +8,8 @@
  */
 import { systemProxy } from '../services/probe.ts'
 import { lookupReleaseAge, parseReleaseAgeRequest } from '../services/npm-release-age.ts'
+import { userNpmRegistry } from '../services/install/registry-fallback.ts'
+import { profileDirectory } from '../services/profile/profile.ts'
 import { loadSettings } from '../services/settings.ts'
 import { readJsonBody, requireTrustedPost, sendJson, type WebRoute, type WebServerService } from './shared.ts'
 
@@ -30,8 +32,12 @@ export function registerNpmReleaseAgeRoutes(webServer: WebServerService, profile
             ? settings.proxy
             : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '')
           // 并发查询：单包各自带超时且失败即 null，整体不因任一包失败而失败
+          // 查询源与安装首选源同口径（设置 → 本机 npm 配置）：安装钉住的版本必须来自真正要用的那个源
+          const registry = settings.npmRegistry !== ''
+            ? settings.npmRegistry
+            : userNpmRegistry(profileDirectory(profile))
           const results = await Promise.all(packages.map(async (name) =>
-            [name, await lookupReleaseAge(name, settings.npmRegistry, proxy)] as const))
+            [name, await lookupReleaseAge(name, registry, proxy)] as const))
           sendJson(response, 200, { packages: Object.fromEntries(results) })
         } catch (error) {
           sendJson(response, 500, { error: error instanceof Error ? error.message : String(error) })

package/src/server/services/npm-release-age.ts

@@ -17,6 +17,15 @@ export interface NpmRelease {
   publishedAt: string
 }
 
+/** 最新版 + 可钉住的安装版本：安装时钉住后者，pnpm 才不会把「发布未满门禁」的最新版回退成很旧的版本。 */
+export interface NpmReleaseWithInstallable extends NpmRelease {
+  /** 已过供应链门禁的最高稳定版；时间表缺失或没有满足项时为 null（调用方退回不钉版本）。 */
+  installable: NpmRelease | null
+}
+
+/** pnpm profile 默认 minimumReleaseAge=1440 分钟；+30 分钟缓冲与客户端 release-age 判定同口径。 */
+export const MIN_RELEASE_AGE_MS = 24 * 60 * 60 * 1000 + 30 * 60 * 1000
+
 /** 请求体包名数量上限：只为已安装插件按需查询，几十个足矣，封顶防滥用。 */
 export const MAX_RELEASE_AGE_PACKAGES = 50
 /** 单包查询超时（ms）：慢网络下失败即返回 null，不拖住整个响应。 */
@@ -29,7 +38,7 @@ export const DEFAULT_NPM_REGISTRY = 'https://registry.npmjs.org'
  *  必须带过期时间 —— 插件中心可能连续开着几小时，作者发了新版本后不能一直沿用旧结果；
  *  也必须把源算进键 —— 同一个包在官方源与镜像上的 latest / 发布时间不同，混用会算错门禁。 */
 const CACHE_TTL_MS = 10 * 60 * 1000
-const releaseCache = new Map<string, { at: number; release: NpmRelease }>()
+const releaseCache = new Map<string, { at: number; release: NpmReleaseWithInstallable }>()
 
 /** 从完整 packument 取 dist-tags.latest 对应版本及其发布时间；缺任一字段返回 null。 */
 export function latestReleaseOf(packument: unknown): NpmRelease | null {
@@ -44,6 +53,35 @@ export function latestReleaseOf(packument: unknown): NpmRelease | null {
   return { version, publishedAt }
 }
 
+/**
+ * 已过供应链门禁的最高稳定版本：安装时钉住它，pnpm 就不会把最新版静默回退成很旧的版本。
+ * 只看纯 x.y.z（预发布版不参与，避免把用户带到不兼容预览版）；时间表缺失或无满足项返回 null。
+ */
+export function installableReleaseOf(packument: unknown, now = Date.now()): NpmRelease | null {
+  if (packument === null || typeof packument !== 'object') return null
+  const time = (packument as { time?: unknown }).time
+  if (time === null || typeof time !== 'object') return null
+  let best: NpmRelease | null = null
+  for (const [version, published] of Object.entries(time as Record<string, unknown>)) {
+    if (!/^\d+\.\d+\.\d+$/.test(version) || typeof published !== 'string') continue
+    const at = Date.parse(published)
+    if (Number.isNaN(at) || now - at < MIN_RELEASE_AGE_MS) continue
+    if (best === null || compareVersion(version, best.version) > 0) best = { version, publishedAt: published }
+  }
+  return best
+}
+
+/** 纯数字段版本比较（installableReleaseOf 只在 x.y.z 里用）。 */
+function compareVersion(a: string, b: string): number {
+  const pa = a.split('.')
+  const pb = b.split('.')
+  for (let i = 0; i < 3; i++) {
+    const d = Number.parseInt(pa[i] ?? '0', 10) - Number.parseInt(pb[i] ?? '0', 10)
+    if (d !== 0) return d
+  }
+  return 0
+}
+
 /** 请求体 → 去重后的合法包名列表；非数组 / 超量 / 含非法包名一律 null（拒绝非法输入）。 */
 export function parseReleaseAgeRequest(body: unknown): string[] | null {
   if (body === null || typeof body !== 'object') return null
@@ -90,13 +128,13 @@ async function fetchPackument(url: string, proxy: string, timeoutMs: number): Pr
   return getJson(url, timeoutMs)
 }
 
-/** 查询一个包的最新版本与发布时间（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
+/** 查询一个包的最新版本、发布时间与可钉住的安装版本（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
 export async function lookupReleaseAge(
   packageName: string,
   registry: string,
   proxy: string,
   timeoutMs = RELEASE_AGE_TIMEOUT_MS,
-): Promise<NpmRelease | null> {
+): Promise<NpmReleaseWithInstallable | null> {
   const base = registry.replace(/\/+$/, '') || DEFAULT_NPM_REGISTRY
   const key = `${base}\n${packageName}`
   const cached = releaseCache.get(key)
@@ -105,7 +143,9 @@ export async function lookupReleaseAge(
   if (body === null) return null
   let parsed: unknown
   try { parsed = JSON.parse(body) } catch { return null }
-  const release = latestReleaseOf(parsed)
-  if (release !== null) releaseCache.set(key, { at: Date.now(), release })
+  const latest = latestReleaseOf(parsed)
+  if (latest === null) return null
+  const release: NpmReleaseWithInstallable = { ...latest, installable: installableReleaseOf(parsed) }
+  releaseCache.set(key, { at: Date.now(), release })
   return release
 }