dsh-plugin 2.3.1 → 2.3.2

package/lib/http/install.js

@@ -12,6 +12,7 @@ import { isDshNpmPackageForRepo } from '../services/install/npm-resolve.js';
 import { probeUrl, systemProxy } from '../services/probe.js';
 import { loadSettings } from '../services/settings.js';
 import { registryCandidates, registryHost, userNpmRegistry } from '../services/install/registry-fallback.js';
+import { lookupReleaseAge } from '../services/npm-release-age.js';
 import { profileDirectory } from '../services/profile/profile.js';
 import { readInstalled } from './catalog.js';
 import { COMMAND_TIMEOUT_MS, readJsonBody, requireTrustedPost, sendJson } from './shared.js';
@@ -178,6 +179,16 @@ export function registerInstallRoutes(webServer, profile, loader) {
                         }
                         ordered = [chosen, ...registries.filter((r) => r !== chosen)];
                     }
+                    // 新安装钉住「已过供应链门禁」的版本：pnpm 对发布未满 24h 的版本会静默回退到很旧的版本，
+                    // 用户装完才发现功能缺失且没有任何提示。更新已有目标时客户端已按门禁筛选，继续走 @latest。
+                    let installSpec = pinVersion !== '' ? `${target}@${pinVersion}` : undefined;
+                    if (installSpec === undefined && already === null) {
+                        // 解析源与安装首选源一致，钉住的版本一定存在于真正会用的那个源；解析失败则不钉，不阻断安装。
+                        // 超时压到 5s：网络刚探通，慢也只在极端情况，不能为查版本把安装请求拖住 8s
+                        const release = await lookupReleaseAge(target, ordered[0] ?? '', effectiveProxy, 5000);
+                        if (release !== null && release.installable !== null)
+                            installSpec = `${target}@${release.installable.version}`;
+                    }
                     // 入队前复检：网络探测的 await 期间并发请求可能已通过上方检查，而此处到 startPluginMutation
                     // 之间无 await，JS 单线程保证同一目标至多一个任务，杜绝双击/并发双任务。
                     if (hasQueuedTarget(target)) {
@@ -201,7 +212,7 @@ export function registerInstallRoutes(webServer, profile, loader) {
                         env: mutationEnv(settings),
                         // 候选源（首选在前）：任务内遇到传输层失败时按顺序换源重试
                         registries: ordered,
-                        installSpec: pinVersion !== '' ? `${target}@${pinVersion}` : undefined,
+                        installSpec,
                         // 自定义安装入口渠道：日志/报错据此溯源
                         installChannel,
                     });

package/lib/http/npm-release-age.js

@@ -8,6 +8,8 @@
  */
 import { systemProxy } from '../services/probe.js';
 import { lookupReleaseAge, parseReleaseAgeRequest } from '../services/npm-release-age.js';
+import { userNpmRegistry } from '../services/install/registry-fallback.js';
+import { profileDirectory } from '../services/profile/profile.js';
 import { loadSettings } from '../services/settings.js';
 import { readJsonBody, requireTrustedPost, sendJson } from './shared.js';
 export function registerNpmReleaseAgeRoutes(webServer, profile) {
@@ -30,7 +32,11 @@ export function registerNpmReleaseAgeRoutes(webServer, profile) {
                         ? settings.proxy
                         : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '');
                     // 并发查询：单包各自带超时且失败即 null，整体不因任一包失败而失败
-                    const results = await Promise.all(packages.map(async (name) => [name, await lookupReleaseAge(name, settings.npmRegistry, proxy)]));
+                    // 查询源与安装首选源同口径（设置 → 本机 npm 配置）：安装钉住的版本必须来自真正要用的那个源
+                    const registry = settings.npmRegistry !== ''
+                        ? settings.npmRegistry
+                        : userNpmRegistry(profileDirectory(profile));
+                    const results = await Promise.all(packages.map(async (name) => [name, await lookupReleaseAge(name, registry, proxy)]));
                     sendJson(response, 200, { packages: Object.fromEntries(results) });
                 }
                 catch (error) {

package/lib/services/npm-release-age.js

@@ -11,6 +11,8 @@
 import { get as httpsGet } from 'node:https';
 import { validPackageName } from './profile/profile.js';
 import { fetchViaCurl } from './probe.js';
+/** pnpm profile 默认 minimumReleaseAge=1440 分钟；+30 分钟缓冲与客户端 release-age 判定同口径。 */
+export const MIN_RELEASE_AGE_MS = 24 * 60 * 60 * 1000 + 30 * 60 * 1000;
 /** 请求体包名数量上限：只为已安装插件按需查询，几十个足矣，封顶防滥用。 */
 export const MAX_RELEASE_AGE_PACKAGES = 50;
 /** 单包查询超时（ms）：慢网络下失败即返回 null，不拖住整个响应。 */
@@ -38,6 +40,39 @@ export function latestReleaseOf(packument) {
         return null;
     return { version, publishedAt };
 }
+/**
+ * 已过供应链门禁的最高稳定版本：安装时钉住它，pnpm 就不会把最新版静默回退成很旧的版本。
+ * 只看纯 x.y.z（预发布版不参与，避免把用户带到不兼容预览版）；时间表缺失或无满足项返回 null。
+ */
+export function installableReleaseOf(packument, now = Date.now()) {
+    if (packument === null || typeof packument !== 'object')
+        return null;
+    const time = packument.time;
+    if (time === null || typeof time !== 'object')
+        return null;
+    let best = null;
+    for (const [version, published] of Object.entries(time)) {
+        if (!/^\d+\.\d+\.\d+$/.test(version) || typeof published !== 'string')
+            continue;
+        const at = Date.parse(published);
+        if (Number.isNaN(at) || now - at < MIN_RELEASE_AGE_MS)
+            continue;
+        if (best === null || compareVersion(version, best.version) > 0)
+            best = { version, publishedAt: published };
+    }
+    return best;
+}
+/** 纯数字段版本比较（installableReleaseOf 只在 x.y.z 里用）。 */
+function compareVersion(a, b) {
+    const pa = a.split('.');
+    const pb = b.split('.');
+    for (let i = 0; i < 3; i++) {
+        const d = Number.parseInt(pa[i] ?? '0', 10) - Number.parseInt(pb[i] ?? '0', 10);
+        if (d !== 0)
+            return d;
+    }
+    return 0;
+}
 /** 请求体 → 去重后的合法包名列表；非数组 / 超量 / 含非法包名一律 null（拒绝非法输入）。 */
 export function parseReleaseAgeRequest(body) {
     if (body === null || typeof body !== 'object')
@@ -99,7 +134,7 @@ async function fetchPackument(url, proxy, timeoutMs) {
     }
     return getJson(url, timeoutMs);
 }
-/** 查询一个包的最新版本与发布时间（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
+/** 查询一个包的最新版本、发布时间与可钉住的安装版本（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
 export async function lookupReleaseAge(packageName, registry, proxy, timeoutMs = RELEASE_AGE_TIMEOUT_MS) {
     const base = registry.replace(/\/+$/, '') || DEFAULT_NPM_REGISTRY;
     const key = `${base}\n${packageName}`;
@@ -116,8 +151,10 @@ export async function lookupReleaseAge(packageName, registry, proxy, timeoutMs =
     catch {
         return null;
     }
-    const release = latestReleaseOf(parsed);
-    if (release !== null)
-        releaseCache.set(key, { at: Date.now(), release });
+    const latest = latestReleaseOf(parsed);
+    if (latest === null)
+        return null;
+    const release = { ...latest, installable: installableReleaseOf(parsed) };
+    releaseCache.set(key, { at: Date.now(), release });
     return release;
 }

package/lib/types/services/npm-release-age.d.ts

@@ -2,6 +2,13 @@ export interface NpmRelease {
     version: string;
     publishedAt: string;
 }
+/** 最新版 + 可钉住的安装版本：安装时钉住后者，pnpm 才不会把「发布未满门禁」的最新版回退成很旧的版本。 */
+export interface NpmReleaseWithInstallable extends NpmRelease {
+    /** 已过供应链门禁的最高稳定版；时间表缺失或没有满足项时为 null（调用方退回不钉版本）。 */
+    installable: NpmRelease | null;
+}
+/** pnpm profile 默认 minimumReleaseAge=1440 分钟；+30 分钟缓冲与客户端 release-age 判定同口径。 */
+export declare const MIN_RELEASE_AGE_MS: number;
 /** 请求体包名数量上限：只为已安装插件按需查询，几十个足矣，封顶防滥用。 */
 export declare const MAX_RELEASE_AGE_PACKAGES = 50;
 /** 单包查询超时（ms）：慢网络下失败即返回 null，不拖住整个响应。 */
@@ -9,7 +16,12 @@ export declare const RELEASE_AGE_TIMEOUT_MS = 8000;
 export declare const DEFAULT_NPM_REGISTRY = "https://registry.npmjs.org";
 /** 从完整 packument 取 dist-tags.latest 对应版本及其发布时间；缺任一字段返回 null。 */
 export declare function latestReleaseOf(packument: unknown): NpmRelease | null;
+/**
+ * 已过供应链门禁的最高稳定版本：安装时钉住它，pnpm 就不会把最新版静默回退成很旧的版本。
+ * 只看纯 x.y.z（预发布版不参与，避免把用户带到不兼容预览版）；时间表缺失或无满足项返回 null。
+ */
+export declare function installableReleaseOf(packument: unknown, now?: number): NpmRelease | null;
 /** 请求体 → 去重后的合法包名列表；非数组 / 超量 / 含非法包名一律 null（拒绝非法输入）。 */
 export declare function parseReleaseAgeRequest(body: unknown): string[] | null;
-/** 查询一个包的最新版本与发布时间（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
-export declare function lookupReleaseAge(packageName: string, registry: string, proxy: string, timeoutMs?: number): Promise<NpmRelease | null>;
+/** 查询一个包的最新版本、发布时间与可钉住的安装版本（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
+export declare function lookupReleaseAge(packageName: string, registry: string, proxy: string, timeoutMs?: number): Promise<NpmReleaseWithInstallable | null>;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-plugin",
-  "version": "2.3.1",
+  "version": "2.3.2",
   "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 10000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：10000+ 人工精选社区插件，每日更新。",
   "type": "module",
   "main": "lib/index.js",

package/src/client/components/PluginHubSection.tsx

@@ -11,10 +11,10 @@ import type { MouseEvent } from 'react'
 import styles from '../styles/Header.module.css'
 import modalStyles from '../styles/Modal.module.css'
 import type { EnvInfo, HubPlugin, InstallChannel, SectionProps, ToastState } from '../types.ts'
-import { installCommandOf, repoFromInstallTarget } from '../logic/install-command.ts'
+import { installCommandOf, installTargetOf, repoFromInstallTarget } from '../logic/install-command.ts'
 import { PLUGIN_VERSION } from '../logic/constants.ts'
 import { ensurePluginCss } from '../logic/ensure-plugin-css.ts'
-import { getEnv, revealInstallFolder } from '../data/host.ts'
+import { fetchNpmReleaseAge, getEnv, revealInstallFolder } from '../data/host.ts'
 import { useCatalog } from '../hooks/useCatalog.ts'
 import { useLanguage } from '../hooks/useLanguage.ts'
 import { useSettings } from '../hooks/useSettings.ts'
@@ -76,9 +76,11 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
   const [confirmPlugin, setConfirmPlugin] = useState<HubPlugin | null>(null)
   /** 弹窗动作是否为「更新」：已安装插件点「更新」→ 走同一条 add 命令原位覆盖重装，文案区分安装/更新 */
   const [confirmIsUpdate, setConfirmIsUpdate] = useState(false)
-  /** Hub 自我更新指定的精确版本：连续发版时提示的是「已过供应链门禁」的旧一版，
-   *  安装必须钉在该版本上，否则又会被 @latest 带回门禁内的最新版。 */
+  /** 安装要钉住的精确版本：Hub 连续发版时提示的旧一版、以及新安装的「已过供应链门禁」版本，
+   *  都必须钉住，否则 @latest 会被 pnpm 门禁带回门禁内的版本或静默回退到很旧的版本。 */
   const [confirmPinVersion, setConfirmPinVersion] = useState<string | null>(null)
+  /** 门禁版本查询的在途序号：只采用最后一次弹窗的查询结果，避免切换插件后旧结果覆盖 */
+  const installPinSeq = useRef(0)
   /** 命令行安装确认弹窗：记录待安装的裸目标（npm 包名）——
    *  与应用商店同一套确认/进度/结果弹窗，提供时 plugin 传 null 走 customTarget 模式 */
   const [confirmCustomTarget, setConfirmCustomTarget] = useState<string | null>(null)
@@ -321,9 +323,9 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
   }
 
   /** 弹窗动作一：复制安装命令到剪贴板，引导去终端粘贴执行（npm 安装显示包名命令）。 */
-  const copyCommand = async (p: HubPlugin) => {
+  const copyCommand = async (p: HubPlugin, version?: string) => {
     const repo = p.source?.repo ?? ''
-    const ok = await doCopy(installCommandOf(p))
+    const ok = await doCopy(installCommandOf(p, false, version))
     if (ok) {
       setCopied(repo)
       setToast({ id: Date.now(), kind: 'copied' })
@@ -332,6 +334,21 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
     setConfirmPlugin(null)
   }
 
+  /** 新安装先查「已过 pnpm 供应链门禁」的版本：命令条与执行都钉住它，
+   *  否则 pnpm 会把发布未满 24h 的最新版静默回退成很旧的版本。查不到则不钉，由服务端兜底解析。 */
+  const resolveInstallPin = (p: HubPlugin) => {
+    // 目录下发了官方安装命令的条目（CLI-only / 人工干预）只展示该命令，追加版本会改坏它
+    if (p.install?.command !== undefined && p.install.command !== '') return
+    const pkg = installTargetOf(p)
+    if (!pkg) return
+    const seq = ++installPinSeq.current
+    void fetchNpmReleaseAge([pkg]).then((res) => {
+      if (installPinSeq.current !== seq) return
+      const version = res?.[pkg]?.installable?.version
+      if (version !== undefined && version !== '') setConfirmPinVersion(version)
+    })
+  }
+
   /** 卸载弹窗动作：复制卸载命令，万一直接卸载失败可去终端手动执行。
    *  自定义安装（无目录数据）按已安装项包名直卸，同样给复制通道。 */
   const copyUninstallCommand = async () => {
@@ -451,12 +468,17 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
               ? t('pluginsTotal', { n: count })
               : t('filterResults', { n: count }),
           onInstall: (p, opts) => {
+            const update = opts?.update ?? false
             setInstallDone(false)
-            setConfirmIsUpdate(opts?.update ?? false)
+            setConfirmIsUpdate(update)
             setConfirmPinVersion(null)
+            // 本次弹窗重新开始：作废上一次仍在途的门禁版本查询
+            ++installPinSeq.current
             // 与卸载一致：重置弹窗关联任务，避免新弹窗误匹配到进行中的任务而禁用安装按钮
             queue.clearModalTask()
             setConfirmPlugin(p)
+            // 更新走 @latest 语义（客户端已按门禁筛选），只有新安装需要钉住门禁内可用的版本
+            if (!update) resolveInstallPin(p)
           },
           onUninstall: (p) => {
             setUninstallDone(false)
@@ -489,6 +511,8 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
               setInstallDone(false)
               setConfirmIsUpdate(true)
               setConfirmPinVersion(null)
+              // 更新不钉版本：作废可能仍在途的新安装门禁查询
+              ++installPinSeq.current
               queue.clearModalTask()
               setConfirmPlugin(item.plugin)
             },
@@ -567,6 +591,8 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
           setConfirmIsUpdate(true)
           // 钉住本次提示的版本：最新版可能仍在门禁内，@latest 会被 pnpm 拒绝
           setConfirmPinVersion(catalog.hubUpdateTarget?.version ?? null)
+          // 作废可能仍在途的新安装门禁查询，避免它覆盖本次钉住的版本
+          ++installPinSeq.current
           queue.clearModalTask()
           setConfirmPlugin(hubEntry)
         }
@@ -668,6 +694,7 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
       langPath,
       restarting,
       update: confirmIsUpdate,
+      pinVersion: confirmPinVersion ?? undefined,
       // 仅命令行插件（webInstallable=false / 人工干预 manualInstall）：弹窗只展示命令供复制，不提供一键安装
       cliOnly: confirmPlugin.install?.webInstallable === false || confirmPlugin.install?.manualInstall === true,
       submitting: queue.submitting,
@@ -681,8 +708,12 @@ export function PluginHubSection({ t: _hostT, locale }: SectionProps) {
         setInstallBundleDeselected(false)
         if (reload) window.location.reload()
       },
-      onCopy: () => copyCommand(confirmPlugin),
-      onInstall: () => queue.installNow(confirmPlugin, confirmIsUpdate ? { update: true, pinVersion: confirmPinVersion ?? undefined } : undefined),
+      onCopy: () => copyCommand(confirmPlugin, confirmPinVersion ?? undefined),
+      onInstall: () => queue.installNow(confirmPlugin, {
+        update: confirmIsUpdate,
+        // 新安装钉住门禁版本：查询尚未回来时为空，服务端会自行解析
+        pinVersion: confirmPinVersion ?? undefined,
+      }),
       // 重启：结果视图「立即重启」也会中断进行中的任务 → 先弹重启确认弹窗
       onRestart: () => setShowRestartConfirm(true),
     }),

package/src/client/components/modals/modals.tsx

@@ -90,6 +90,8 @@ export interface InstallModalProps {
   restarting: boolean
   /** 已安装插件的覆盖更新（走同一条 add 命令原位重装，文案区分安装/更新） */
   update: boolean
+  /** 已过供应链门禁的安装版本：命令条带上它，手抄执行与一键安装结果一致（未查到时不传） */
+  pinVersion?: string
   /** 仅命令行插件（webInstallable=false）：不提供一键安装，只展示命令供复制到 dsh 终端 */
   cliOnly: boolean
   /** 安装请求在途（fetch 等待响应）：此时任务尚未入队，需禁用确认按钮防止二次点击 */
@@ -112,7 +114,7 @@ export interface InstallModalProps {
  * 目录插件与命令行安装（customTarget 模式）共用同一套确认/进度/结果流程。
  */
 export function InstallModal(props: InstallModalProps) {
-  const { plugin, customTarget, globalNpm, done, task, t, langPath, restarting, submitting, update, cliOnly, needsRestart, needsReload, bundleDeselected, onClose, onCopy, onInstall, onRestart } = props
+  const { plugin, customTarget, globalNpm, done, task, t, langPath, restarting, submitting, update, pinVersion, cliOnly, needsRestart, needsReload, bundleDeselected, onClose, onCopy, onInstall, onRestart } = props
   const busy = submitting || (task !== null && (task.status === 'pending' || task.status === 'running'))
   // 进行中标题带上插件名（中文「XX 插件安装中」；英文状态词在前更自然），并用状态色区分；
   // 命令行安装无插件元数据 → 直接用输入的目标展示；全局 npm 安装 → 包列表空格拼接
@@ -191,7 +193,7 @@ export function InstallModal(props: InstallModalProps) {
             h('span', { className: styles.modalCmdText },
               globalNpm !== undefined && globalNpm.length > 0
                 ? `npm install -g ${globalNpm.join(' ')}`
-                : customTarget ? `pnpm add ${customTarget}` : installCommandOf(plugin!)),
+                : customTarget ? `pnpm add ${customTarget}` : installCommandOf(plugin!, false, pinVersion)),
             h('span', { className: styles.modalCmdCopy }, h(CopyIcon), t('copyCmdLabel')),
           ),
           // 全局 npm 安装说明：装的是系统级 CLI 工具，不进插件列表、无需重启宿主

package/src/client/data/host.ts

@@ -48,6 +48,8 @@ export async function fetchInstalled(): Promise<HostInstalled | null> {
 export interface NpmReleaseInfo {
   version: string
   publishedAt: string
+  /** 已过 pnpm 供应链门禁的最高稳定版：安装/展示命令钉住它；无可钉版本时为 null。 */
+  installable?: NpmReleaseInfo | null
 }
 
 /** 批量查询已安装插件 npm 包的最新版本发布时间（供应链门禁用）；失败返回 null（调用方按原逻辑照常提示）。 */

package/src/client/hooks/useTaskQueue.ts

@@ -562,7 +562,7 @@ export function useTaskQueue(opts: TaskQueueOptions) {
       desc: p.description,
       version: p.version,
       updatedAt: p.dates?.repoUpdatedAt,
-      command: installCommandOf(p, true),
+      command: installCommandOf(p, true, opts?.pinVersion),
       source: 'catalog',
       update: opts?.update,
       pinVersion: opts?.pinVersion,

package/src/client/locales.ts

@@ -404,7 +404,7 @@ export const zh = {
   failKind_pluginMissingDep: '插件依赖未发布',
   failReason_pluginMissingDep: '插件声明依赖的包在官方 npm 源上不存在（已删除或从未发布）。',
   failKind_registryVersionStale: '该版本在所用源上不存在',
-  failReason_registryVersionStale: '实际安装用的源还没同步到这个版本，或版本号写错。',
+  failReason_registryVersionStale: '实际安装用的源还没同步到这个版本。可稍后重试，或到「设置 → npm 镜像源」换成官方源；也可先安装上一个可用版本。',
   failKind_registryAuth: 'npm 源拒绝了访问',
   failReason_registryAuth: 'registry 返回 401/403：这个源需要登录凭据，或当前网络不被允许。',
   failKind_profileExclusive: 'profile 由桌面应用独占管理',
@@ -510,10 +510,10 @@ export const zh = {
   close: '关闭',
   // 暂缓提示：远端确有新版本，但发布未满 24 小时（pnpm 供应链安全门槛），与「已是最新」严格区分
   hubPendingDesc: '最新版已发布，但发布尚未满 24 小时：此时更新会被 pnpm 静默回退到旧版本，因此暂不提示。稍后这里会自动出现更新入口。',
-  // 头部「关注我们」弹窗：平台介绍 + 用户反馈群二维码（内容由 Worker /about Markdown 推送，非写死）
+  // 头部「关注我们」弹窗：平台介绍（内容由 Worker /about Markdown 推送，非写死）
   followUs: '关注我们',
   aboutTitle: '关注我们',
-  aboutDesc: '了解 DSH Plugin Hub 是做什么的，加入用户反馈群随时交流。',
+  aboutDesc: '了解 DSH Plugin Hub 是做什么的，访问主站浏览插件，或到 GitHub 提交 Issue。',
   aboutEmpty: '内容暂未发布，敬请期待。',
   aboutUpdated: '更新于',
   empty: '该分类暂无插件',
@@ -915,7 +915,7 @@ export const en = {
   failKind_pluginMissingDep: 'plugin dependency is not published',
   failReason_pluginMissingDep: 'A package the plugin depends on does not exist on the official npm registry.',
   failKind_registryVersionStale: 'this version is not available on the registry in use',
-  failReason_registryVersionStale: 'The registry that actually performs the install has not synced this version yet, or the version is mistyped.',
+  failReason_registryVersionStale: 'The registry that actually performs the install has not synced this version yet. Retry later, switch to the official registry under Settings → npm mirror, or install a previous version for now.',
   failKind_registryAuth: 'the npm registry rejected access',
   failReason_registryAuth: 'The registry returned 401/403: it needs credentials, or the current network is not allowed.',
   failKind_profileExclusive: 'the profile is managed only by the desktop app',
@@ -1019,10 +1019,10 @@ export const en = {
   close: 'Close',
   // 暂缓提示：确有新版本，但仍在 pnpm 24h 供应链门禁窗口内
   hubPendingDesc: 'The latest version has been released, but it is still within the 24-hour window where pnpm silently falls back to the older version, so the update is not offered yet. The update entry will appear here shortly.',
-  // 头部「关注我们」弹窗：平台介绍 + 用户反馈群二维码（内容由 Worker /about 以 Markdown 推送）
+  // 头部「关注我们」弹窗：平台介绍（内容由 Worker /about 以 Markdown 推送）
   followUs: 'Follow us',
   aboutTitle: 'Follow us',
-  aboutDesc: 'Learn what DSH Plugin Hub does and join our user feedback group.',
+  aboutDesc: 'Learn what DSH Plugin Hub does — browse plugins on the website, or open an Issue on GitHub.',
   aboutEmpty: 'Content not published yet — stay tuned.',
   aboutUpdated: 'Updated',
   empty: 'No plugins in this category yet',

package/src/client/logic/install-command.ts

@@ -29,12 +29,15 @@ export function installTargetOf(p: HubPlugin): string {
 
 /** 展示用安装命令（复制/弹窗）：目录下发的权威命令优先（CLI-only 插件如 dsh-tui
  *  需专属 profile（--profile dsh-tui），无法从 npm 包名推断，必须用官方命令）；
- *  常规插件无目录命令时用 npm 包名回退生成。 */
-export function installCommandOf(p: HubPlugin, withProfile = false): string {
+ *  常规插件无目录命令时用 npm 包名回退生成。
+ *  version 为已过供应链门禁的版本：带上它，手抄命令与原位安装的执行结果一致，
+ *  不会因 pnpm 门禁静默回退到很旧的版本。 */
+export function installCommandOf(p: HubPlugin, withProfile = false, version?: string): string {
   const cmd = p.install?.command
   if (cmd) return cmd
   const prefix = `dsh plugin${withProfile ? ' --profile web' : ''} add `
-  return `${prefix}${installTargetOf(p)}`
+  const target = installTargetOf(p)
+  return `${prefix}${version === undefined || version === '' ? target : `${target}@${version}`}`
 }
 
 /** 把任务/安装目标归一化为 owner/repo 展示身份。 */

package/src/server/http/install.ts

@@ -12,6 +12,7 @@ import { isDshNpmPackageForRepo } from '../services/install/npm-resolve.ts'
 import { probeUrl, systemProxy } from '../services/probe.ts'
 import { loadSettings, type HubSettings } from '../services/settings.ts'
 import { registryCandidates, registryHost, userNpmRegistry } from '../services/install/registry-fallback.ts'
+import { lookupReleaseAge } from '../services/npm-release-age.ts'
 import { profileDirectory } from '../services/profile/profile.ts'
 import { readInstalled } from './catalog.ts'
 import { COMMAND_TIMEOUT_MS, readJsonBody, requireTrustedPost, sendJson, type WebRoute, type WebServerService } from './shared.ts'
@@ -181,6 +182,15 @@ export function registerInstallRoutes(webServer: WebServerService, profile: stri
             }
             ordered = [chosen, ...registries.filter((r) => r !== chosen)]
           }
+          // 新安装钉住「已过供应链门禁」的版本：pnpm 对发布未满 24h 的版本会静默回退到很旧的版本，
+          // 用户装完才发现功能缺失且没有任何提示。更新已有目标时客户端已按门禁筛选，继续走 @latest。
+          let installSpec = pinVersion !== '' ? `${target}@${pinVersion}` : undefined
+          if (installSpec === undefined && already === null) {
+            // 解析源与安装首选源一致，钉住的版本一定存在于真正会用的那个源；解析失败则不钉，不阻断安装。
+            // 超时压到 5s：网络刚探通，慢也只在极端情况，不能为查版本把安装请求拖住 8s
+            const release = await lookupReleaseAge(target, ordered[0] ?? '', effectiveProxy, 5000)
+            if (release !== null && release.installable !== null) installSpec = `${target}@${release.installable.version}`
+          }
           // 入队前复检：网络探测的 await 期间并发请求可能已通过上方检查，而此处到 startPluginMutation
           // 之间无 await，JS 单线程保证同一目标至多一个任务，杜绝双击/并发双任务。
           if (hasQueuedTarget(target)) {
@@ -204,7 +214,7 @@ export function registerInstallRoutes(webServer: WebServerService, profile: stri
             env: mutationEnv(settings),
             // 候选源（首选在前）：任务内遇到传输层失败时按顺序换源重试
             registries: ordered,
-            installSpec: pinVersion !== '' ? `${target}@${pinVersion}` : undefined,
+            installSpec,
             // 自定义安装入口渠道：日志/报错据此溯源
             installChannel,
           })

package/src/server/http/npm-release-age.ts

@@ -8,6 +8,8 @@
  */
 import { systemProxy } from '../services/probe.ts'
 import { lookupReleaseAge, parseReleaseAgeRequest } from '../services/npm-release-age.ts'
+import { userNpmRegistry } from '../services/install/registry-fallback.ts'
+import { profileDirectory } from '../services/profile/profile.ts'
 import { loadSettings } from '../services/settings.ts'
 import { readJsonBody, requireTrustedPost, sendJson, type WebRoute, type WebServerService } from './shared.ts'
 
@@ -30,8 +32,12 @@ export function registerNpmReleaseAgeRoutes(webServer: WebServerService, profile
             ? settings.proxy
             : (systemProxy() ?? process.env.HTTPS_PROXY ?? process.env.https_proxy ?? '')
           // 并发查询：单包各自带超时且失败即 null，整体不因任一包失败而失败
+          // 查询源与安装首选源同口径（设置 → 本机 npm 配置）：安装钉住的版本必须来自真正要用的那个源
+          const registry = settings.npmRegistry !== ''
+            ? settings.npmRegistry
+            : userNpmRegistry(profileDirectory(profile))
           const results = await Promise.all(packages.map(async (name) =>
-            [name, await lookupReleaseAge(name, settings.npmRegistry, proxy)] as const))
+            [name, await lookupReleaseAge(name, registry, proxy)] as const))
           sendJson(response, 200, { packages: Object.fromEntries(results) })
         } catch (error) {
           sendJson(response, 500, { error: error instanceof Error ? error.message : String(error) })

package/src/server/services/npm-release-age.ts

@@ -17,6 +17,15 @@ export interface NpmRelease {
   publishedAt: string
 }
 
+/** 最新版 + 可钉住的安装版本：安装时钉住后者，pnpm 才不会把「发布未满门禁」的最新版回退成很旧的版本。 */
+export interface NpmReleaseWithInstallable extends NpmRelease {
+  /** 已过供应链门禁的最高稳定版；时间表缺失或没有满足项时为 null（调用方退回不钉版本）。 */
+  installable: NpmRelease | null
+}
+
+/** pnpm profile 默认 minimumReleaseAge=1440 分钟；+30 分钟缓冲与客户端 release-age 判定同口径。 */
+export const MIN_RELEASE_AGE_MS = 24 * 60 * 60 * 1000 + 30 * 60 * 1000
+
 /** 请求体包名数量上限：只为已安装插件按需查询，几十个足矣，封顶防滥用。 */
 export const MAX_RELEASE_AGE_PACKAGES = 50
 /** 单包查询超时（ms）：慢网络下失败即返回 null，不拖住整个响应。 */
@@ -29,7 +38,7 @@ export const DEFAULT_NPM_REGISTRY = 'https://registry.npmjs.org'
  *  必须带过期时间 —— 插件中心可能连续开着几小时，作者发了新版本后不能一直沿用旧结果；
  *  也必须把源算进键 —— 同一个包在官方源与镜像上的 latest / 发布时间不同，混用会算错门禁。 */
 const CACHE_TTL_MS = 10 * 60 * 1000
-const releaseCache = new Map<string, { at: number; release: NpmRelease }>()
+const releaseCache = new Map<string, { at: number; release: NpmReleaseWithInstallable }>()
 
 /** 从完整 packument 取 dist-tags.latest 对应版本及其发布时间；缺任一字段返回 null。 */
 export function latestReleaseOf(packument: unknown): NpmRelease | null {
@@ -44,6 +53,35 @@ export function latestReleaseOf(packument: unknown): NpmRelease | null {
   return { version, publishedAt }
 }
 
+/**
+ * 已过供应链门禁的最高稳定版本：安装时钉住它，pnpm 就不会把最新版静默回退成很旧的版本。
+ * 只看纯 x.y.z（预发布版不参与，避免把用户带到不兼容预览版）；时间表缺失或无满足项返回 null。
+ */
+export function installableReleaseOf(packument: unknown, now = Date.now()): NpmRelease | null {
+  if (packument === null || typeof packument !== 'object') return null
+  const time = (packument as { time?: unknown }).time
+  if (time === null || typeof time !== 'object') return null
+  let best: NpmRelease | null = null
+  for (const [version, published] of Object.entries(time as Record<string, unknown>)) {
+    if (!/^\d+\.\d+\.\d+$/.test(version) || typeof published !== 'string') continue
+    const at = Date.parse(published)
+    if (Number.isNaN(at) || now - at < MIN_RELEASE_AGE_MS) continue
+    if (best === null || compareVersion(version, best.version) > 0) best = { version, publishedAt: published }
+  }
+  return best
+}
+
+/** 纯数字段版本比较（installableReleaseOf 只在 x.y.z 里用）。 */
+function compareVersion(a: string, b: string): number {
+  const pa = a.split('.')
+  const pb = b.split('.')
+  for (let i = 0; i < 3; i++) {
+    const d = Number.parseInt(pa[i] ?? '0', 10) - Number.parseInt(pb[i] ?? '0', 10)
+    if (d !== 0) return d
+  }
+  return 0
+}
+
 /** 请求体 → 去重后的合法包名列表；非数组 / 超量 / 含非法包名一律 null（拒绝非法输入）。 */
 export function parseReleaseAgeRequest(body: unknown): string[] | null {
   if (body === null || typeof body !== 'object') return null
@@ -90,13 +128,13 @@ async function fetchPackument(url: string, proxy: string, timeoutMs: number): Pr
   return getJson(url, timeoutMs)
 }
 
-/** 查询一个包的最新版本与发布时间（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
+/** 查询一个包的最新版本、发布时间与可钉住的安装版本（成功结果按源缓存 10 分钟）；registry 为空回退官方源，失败返回 null。 */
 export async function lookupReleaseAge(
   packageName: string,
   registry: string,
   proxy: string,
   timeoutMs = RELEASE_AGE_TIMEOUT_MS,
-): Promise<NpmRelease | null> {
+): Promise<NpmReleaseWithInstallable | null> {
   const base = registry.replace(/\/+$/, '') || DEFAULT_NPM_REGISTRY
   const key = `${base}\n${packageName}`
   const cached = releaseCache.get(key)
@@ -105,7 +143,9 @@ export async function lookupReleaseAge(
   if (body === null) return null
   let parsed: unknown
   try { parsed = JSON.parse(body) } catch { return null }
-  const release = latestReleaseOf(parsed)
-  if (release !== null) releaseCache.set(key, { at: Date.now(), release })
+  const latest = latestReleaseOf(parsed)
+  if (latest === null) return null
+  const release: NpmReleaseWithInstallable = { ...latest, installable: installableReleaseOf(parsed) }
+  releaseCache.set(key, { at: Date.now(), release })
   return release
 }