dsh-plugin 2.3.4 → 2.3.6

package/lib/http/install.js

@@ -133,7 +133,7 @@ export function registerInstallRoutes(webServer, profile, loader) {
                     // 命中则记录 repo → 包名映射，客户端据此把依赖 key 匹配回仓库、列表立即显示「已安装」。
                     const catalogRepo = source === 'catalog' ? githubRepoOf(displayRepo) : null;
                     if (catalogRepo !== null) {
-                        const catalogTargetIsDsh = await isDshNpmPackageForRepo(rawRepo, catalogRepo, settings.npmRegistry, effectiveProxy);
+                        const catalogTargetIsDsh = await isDshNpmPackageForRepo(rawRepo, catalogRepo, settings.npmRegistry, effectiveProxy, pinVersion);
                         if (catalogTargetIsDsh)
                             recordResolvedNpmPackage(profile, catalogRepo, rawRepo);
                     }

package/lib/services/install/npm-resolve.js

@@ -25,6 +25,12 @@ function repositoryUrlOf(pkg) {
     }
     return String(pkg.links?.repository ?? '');
 }
+/** registry 路径：指定版本时取该版本的 manifest，否则取 latest。 */
+export function npmMetadataPath(packageName, version = '') {
+    const normalized = version.trim().replace(/^v/i, '');
+    const encoded = encodeURIComponent(packageName);
+    return normalized === '' ? `${encoded}/latest` : `${encoded}/${encodeURIComponent(normalized)}`;
+}
 export function isDshPackageMetadataForRepo(pkg, repo) {
     if (githubRepoOf(repositoryUrlOf(pkg))?.toLowerCase() !== repo.toLowerCase())
         return false;
@@ -34,14 +40,14 @@ export function isDshPackageMetadataForRepo(pkg, repo) {
     return keywordMarked || manifestMarked;
 }
 /**
- * 校验包名对应的 npm 包确实属于该仓库且声明为 DSH 插件：取 registry 上的 `latest`
- * 元数据比对 repository 与插件标记。网络异常、超时、非 200 一律返回 false，不阻塞调用方。
+ * 校验包名对应的 npm 包确实属于该仓库且声明为 DSH 插件：取 registry 上指定版本（缺省 `latest`）
+ * 的元数据比对 repository 与插件标记。网络异常、超时、非 200 一律返回 false，不阻塞调用方。
  */
-export function isDshNpmPackageForRepo(packageName, repo, registry = '', proxy = '') {
+export function isDshNpmPackageForRepo(packageName, repo, registry = '', proxy = '', version = '') {
     if (packageName === '' || repo === '')
         return Promise.resolve(false);
     const base = registry === '' ? 'https://registry.npmjs.org' : registry.replace(/\/+$/, '');
-    const url = `${base}/${encodeURIComponent(packageName)}/latest`;
+    const url = `${base}/${npmMetadataPath(packageName, version)}`;
     return new Promise((resolve) => {
         const req = get(url, { timeout: REQUEST_TIMEOUT_MS }, (res) => {
             if (res.statusCode !== 200) {

package/lib/services/probe.js

@@ -30,6 +30,18 @@ export function curlTlsArgs() {
 export function curlRevokeFlagUnsupported(code, stderr) {
     return code === 2 && /ssl-revoke-best-effort/i.test(stderr) && /unknown|unrecognized/i.test(stderr);
 }
+/** curl 对某个可选参数报「不认识 / 不支持」：退出码 2 且 stderr 指向该参数。 */
+function curlOptionUnsupported(code, stderr, option) {
+    return code === 2 && stderr.includes(option) && /unknown|unrecognized|support/i.test(stderr);
+}
+/**
+ * 本机 curl 未编入 zlib：连 --compressed 这个选项都不认识，参数解析阶段即以退出码 2
+ * 结束（stderr 形如 `curl: option --compressed: the installed libcurl version doesn't
+ * support this`）。必须整组去掉压缩协商后重跑，否则目录拉取每次都失败、市场 502。
+ */
+export function curlCompressedUnsupported(code, stderr) {
+    return curlOptionUnsupported(code, stderr, '--compressed');
+}
 /** 彻底关闭证书吊销检查的保底参数（curl ≥ 7.19），比降级参数覆盖更老的 Windows curl。 */
 const NO_REVOKE_ARG = '--ssl-no-revoke';
 /** stderr 是否指向 Schannel 取不到证书吊销信息（据此归因为环境 TLS 问题，而非网络不通）。 */
@@ -269,16 +281,27 @@ export function fetchViaCurl(url, proxy, timeoutMs) {
     // 能力回 br / zstd，解不开时 curl 非零退出且正文为空，目录拉取直接失败；而 gzip 的解码器
     // 每个 curl 都有，对 JSON 的压缩率也够。
     const gzip = ['-H', 'Accept-Encoding: gzip', '--compressed'];
-    const attempt = (extra) => [
-        '-sS', ...gzip, ...extra, '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))), url,
+    const attempt = (compressed, extra) => [
+        '-sS', ...(compressed ? gzip : []), ...extra,
+        '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))), url,
     ];
-    return curlWithTlsFallback(attempt([]), proxyEnv(proxy), timeoutMs).then(async (first) => {
-        // 首轮失败（连接被重置 / 编码解不开 / HTTP/2 流异常）时退到 HTTP/1.1 再试一次：
+    const run = (compressed, extra = []) => curlWithTlsFallback(attempt(compressed, extra), proxyEnv(proxy), timeoutMs);
+    return run(true).then(async (first) => {
+        // 本机 curl 未编入 zlib 时不认识 --compressed（参数解析阶段就退出码 2，见
+        // curlCompressedUnsupported）：整组去掉压缩协商重跑。只删 --compressed 而保留
+        // Accept-Encoding 会让服务端回 gzip 二进制，curl 不解压 → JSON 照样解析失败。
+        const compressed = !curlCompressedUnsupported(first.code, first.stderr);
+        const primary = compressed ? first : await run(false);
+        // 仍失败（连接被重置 / HTTP/2 流异常）时退到 HTTP/1.1 再试一次：
         // Windows 自带 curl 与大响应 + HTTP/2 的组合偶发流级失败，换协议版本代价最小；
-        // 只在真失败时才多一次请求。
-        const r = first.code === 0
-            ? first
-            : await curlWithTlsFallback(attempt(['--http1.1']), proxyEnv(proxy), timeoutMs);
+        // 沿用已经验证可用的压缩模式，只在真失败时才多一次请求。
+        let r = primary;
+        if (primary.code !== 0) {
+            const retry = await run(compressed, ['--http1.1']);
+            // 极老的 curl 不认识 --http1.1：保留首轮的真实失败线索，不拿这个不相干的参数错误顶替
+            if (!curlOptionUnsupported(retry.code, retry.stderr, '--http1.1'))
+                r = retry;
+        }
         const failed = r.code !== 0 || r.stdout === '';
         return {
             ok: !failed,

package/lib/types/services/install/npm-resolve.d.ts

@@ -7,10 +7,12 @@ type NpmSearchPackage = {
     repository?: unknown;
     dsh?: unknown;
 };
+/** registry 路径：指定版本时取该版本的 manifest，否则取 latest。 */
+export declare function npmMetadataPath(packageName: string, version?: string): string;
 export declare function isDshPackageMetadataForRepo(pkg: NpmSearchPackage, repo: string): boolean;
 /**
- * 校验包名对应的 npm 包确实属于该仓库且声明为 DSH 插件：取 registry 上的 `latest`
- * 元数据比对 repository 与插件标记。网络异常、超时、非 200 一律返回 false，不阻塞调用方。
+ * 校验包名对应的 npm 包确实属于该仓库且声明为 DSH 插件：取 registry 上指定版本（缺省 `latest`）
+ * 的元数据比对 repository 与插件标记。网络异常、超时、非 200 一律返回 false，不阻塞调用方。
  */
-export declare function isDshNpmPackageForRepo(packageName: string, repo: string, registry?: string, proxy?: string): Promise<boolean>;
+export declare function isDshNpmPackageForRepo(packageName: string, repo: string, registry?: string, proxy?: string, version?: string): Promise<boolean>;
 export {};

package/lib/types/services/probe.d.ts

@@ -25,6 +25,12 @@ export type ProbeFailReason = 'tlsRevocation';
 export declare function curlTlsArgs(): string[];
 /** 本机 curl 太老、不认识 --ssl-revoke-best-effort（curl < 7.70）：退出码 2 + stderr 指向该参数。 */
 export declare function curlRevokeFlagUnsupported(code: number | null, stderr: string): boolean;
+/**
+ * 本机 curl 未编入 zlib：连 --compressed 这个选项都不认识，参数解析阶段即以退出码 2
+ * 结束（stderr 形如 `curl: option --compressed: the installed libcurl version doesn't
+ * support this`）。必须整组去掉压缩协商后重跑，否则目录拉取每次都失败、市场 502。
+ */
+export declare function curlCompressedUnsupported(code: number | null, stderr: string): boolean;
 /** stderr 是否指向 Schannel 取不到证书吊销信息（据此归因为环境 TLS 问题，而非网络不通）。 */
 export declare function tlsRevocationBlocked(stderr: string): boolean;
 /**

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "dsh-plugin",
-  "version": "2.3.4",
-  "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 10000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：10000+ 人工精选社区插件，每日更新。",
+  "version": "2.3.6",
+  "description": "A community plugin marketplace for DeepSeek Harness, built to the official plugin spec — browse, search and install 20000+ human-curated community plugins without leaving the app. · DeepSeek Harness 社区插件市场（遵循官方开发规范）：20000+ 人工精选社区插件，每日更新。",
   "type": "module",
   "main": "lib/index.js",
   "types": "lib/types/index.d.ts",

package/src/client/logic/failures.ts

@@ -313,9 +313,10 @@ export function classifyFailure(message: string): FailureKind {
   // 原生模块需要本机编译，缺编译器/构建工具属于用户环境，不是插件的 prepare 失败。
   // 必须排在 pluginPrepare 之前：这类日志同样带 ELIFECYCLE，否则会被推给作者。
   if (/Unable to detect compiler type|gyp ERR!|Could not find any Visual Studio|No Xcode or CLT version detected|xcode-select|python(?:3)? is (?:not set|not found)|Could not find Python|\bmake: not found\b|\bgcc: not found\b|\bg\+\+: not found\b|\bMSB\d{4}\b/i.test(message)) return 'buildToolchainMissing'
-  // 构建脚本真的跑挂了才算插件问题。Command failed 区分大小写：只匹配 pnpm 的包装，
-  // 不匹配宿主那句小写 dsh: plugin command failed
-  if (/ERR_PNPM_PREPARE_PACKAGE|ELIFECYCLE|prepare-guard/i.test(message) || /Command failed/.test(message)) return 'pluginPrepare'
+  // 构建脚本真的跑挂了才算插件问题。必须带正向证据：`Command failed` 只是外层进程包装，
+  // 单凭它不能说明 prepare 失败（Electron 内置 pnpm 崩溃时日志里往往只剩这一句，
+  // 会把无关作者当成分发缺陷）。无证据的包装层失败交给 hub 分诊。
+  if (/ERR_PNPM_PREPARE_PACKAGE|ELIFECYCLE|prepare-guard|prepare script failed|Failed to prepare/i.test(message)) return 'pluginPrepare'
   // 安装器自身产生的状态类消息（未安装 / 不在此处卸载 / 已在队列中 / 已安装）：这几句由本服务的
   // 守卫发出，不是 CLI 输出、也不是插件问题，而是插件中心的已安装列表与实读快照不同步。
   // 单独归类，让前端给「刷新后重试」这类可行动提示，而不是当作未知失败引导去提 Issue。

package/src/server/http/install.ts

@@ -138,7 +138,7 @@ export function registerInstallRoutes(webServer: WebServerService, profile: stri
           // 命中则记录 repo → 包名映射，客户端据此把依赖 key 匹配回仓库、列表立即显示「已安装」。
           const catalogRepo = source === 'catalog' ? githubRepoOf(displayRepo) : null
           if (catalogRepo !== null) {
-            const catalogTargetIsDsh = await isDshNpmPackageForRepo(rawRepo, catalogRepo, settings.npmRegistry, effectiveProxy)
+            const catalogTargetIsDsh = await isDshNpmPackageForRepo(rawRepo, catalogRepo, settings.npmRegistry, effectiveProxy, pinVersion)
             if (catalogTargetIsDsh) recordResolvedNpmPackage(profile, catalogRepo, rawRepo)
           }
           // 命令行安装（目录外）受「启用 NPM 安装」开关控制；目录插件安装走目录白名单，不受开关影响。

package/src/server/services/install/npm-resolve.ts

@@ -34,6 +34,13 @@ function repositoryUrlOf(pkg: NpmSearchPackage): string {
   return String(pkg.links?.repository ?? '')
 }
 
+/** registry 路径：指定版本时取该版本的 manifest，否则取 latest。 */
+export function npmMetadataPath(packageName: string, version = ''): string {
+  const normalized = version.trim().replace(/^v/i, '')
+  const encoded = encodeURIComponent(packageName)
+  return normalized === '' ? `${encoded}/latest` : `${encoded}/${encodeURIComponent(normalized)}`
+}
+
 export function isDshPackageMetadataForRepo(pkg: NpmSearchPackage, repo: string): boolean {
   if (githubRepoOf(repositoryUrlOf(pkg))?.toLowerCase() !== repo.toLowerCase()) return false
   const keywords = Array.isArray(pkg.keywords) ? pkg.keywords : []
@@ -43,13 +50,13 @@ export function isDshPackageMetadataForRepo(pkg: NpmSearchPackage, repo: string)
 }
 
 /**
- * 校验包名对应的 npm 包确实属于该仓库且声明为 DSH 插件：取 registry 上的 `latest`
- * 元数据比对 repository 与插件标记。网络异常、超时、非 200 一律返回 false，不阻塞调用方。
+ * 校验包名对应的 npm 包确实属于该仓库且声明为 DSH 插件：取 registry 上指定版本（缺省 `latest`）
+ * 的元数据比对 repository 与插件标记。网络异常、超时、非 200 一律返回 false，不阻塞调用方。
  */
-export function isDshNpmPackageForRepo(packageName: string, repo: string, registry = '', proxy = ''): Promise<boolean> {
+export function isDshNpmPackageForRepo(packageName: string, repo: string, registry = '', proxy = '', version = ''): Promise<boolean> {
   if (packageName === '' || repo === '') return Promise.resolve(false)
   const base = registry === '' ? 'https://registry.npmjs.org' : registry.replace(/\/+$/, '')
-  const url = `${base}/${encodeURIComponent(packageName)}/latest`
+  const url = `${base}/${npmMetadataPath(packageName, version)}`
   return new Promise((resolve) => {
     const req = get(url, { timeout: REQUEST_TIMEOUT_MS }, (res) => {
       if (res.statusCode !== 200) {

package/src/server/services/probe.ts

@@ -51,6 +51,20 @@ export function curlRevokeFlagUnsupported(code: number | null, stderr: string):
   return code === 2 && /ssl-revoke-best-effort/i.test(stderr) && /unknown|unrecognized/i.test(stderr)
 }
 
+/** curl 对某个可选参数报「不认识 / 不支持」：退出码 2 且 stderr 指向该参数。 */
+function curlOptionUnsupported(code: number | null, stderr: string, option: string): boolean {
+  return code === 2 && stderr.includes(option) && /unknown|unrecognized|support/i.test(stderr)
+}
+
+/**
+ * 本机 curl 未编入 zlib：连 --compressed 这个选项都不认识，参数解析阶段即以退出码 2
+ * 结束（stderr 形如 `curl: option --compressed: the installed libcurl version doesn't
+ * support this`）。必须整组去掉压缩协商后重跑，否则目录拉取每次都失败、市场 502。
+ */
+export function curlCompressedUnsupported(code: number | null, stderr: string): boolean {
+  return curlOptionUnsupported(code, stderr, '--compressed')
+}
+
 /** 彻底关闭证书吊销检查的保底参数（curl ≥ 7.19），比降级参数覆盖更老的 Windows curl。 */
 const NO_REVOKE_ARG = '--ssl-no-revoke'
 
@@ -293,16 +307,27 @@ export function fetchViaCurl(
   // 能力回 br / zstd，解不开时 curl 非零退出且正文为空，目录拉取直接失败；而 gzip 的解码器
   // 每个 curl 都有，对 JSON 的压缩率也够。
   const gzip = ['-H', 'Accept-Encoding: gzip', '--compressed']
-  const attempt = (extra: string[]): string[] => [
-    '-sS', ...gzip, ...extra, '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))), url,
+  const attempt = (compressed: boolean, extra: string[]): string[] => [
+    '-sS', ...(compressed ? gzip : []), ...extra,
+    '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))), url,
   ]
-  return curlWithTlsFallback(attempt([]), proxyEnv(proxy), timeoutMs).then(async (first) => {
-    // 首轮失败（连接被重置 / 编码解不开 / HTTP/2 流异常）时退到 HTTP/1.1 再试一次：
+  const run = (compressed: boolean, extra: string[] = []): Promise<CurlRun> =>
+    curlWithTlsFallback(attempt(compressed, extra), proxyEnv(proxy), timeoutMs)
+  return run(true).then(async (first) => {
+    // 本机 curl 未编入 zlib 时不认识 --compressed（参数解析阶段就退出码 2，见
+    // curlCompressedUnsupported）：整组去掉压缩协商重跑。只删 --compressed 而保留
+    // Accept-Encoding 会让服务端回 gzip 二进制，curl 不解压 → JSON 照样解析失败。
+    const compressed = !curlCompressedUnsupported(first.code, first.stderr)
+    const primary = compressed ? first : await run(false)
+    // 仍失败（连接被重置 / HTTP/2 流异常）时退到 HTTP/1.1 再试一次：
     // Windows 自带 curl 与大响应 + HTTP/2 的组合偶发流级失败，换协议版本代价最小；
-    // 只在真失败时才多一次请求。
-    const r = first.code === 0
-      ? first
-      : await curlWithTlsFallback(attempt(['--http1.1']), proxyEnv(proxy), timeoutMs)
+    // 沿用已经验证可用的压缩模式，只在真失败时才多一次请求。
+    let r = primary
+    if (primary.code !== 0) {
+      const retry = await run(compressed, ['--http1.1'])
+      // 极老的 curl 不认识 --http1.1：保留首轮的真实失败线索，不拿这个不相干的参数错误顶替
+      if (!curlOptionUnsupported(retry.code, retry.stderr, '--http1.1')) r = retry
+    }
     const failed = r.code !== 0 || r.stdout === ''
     return {
       ok: !failed,