dsh-remote-agent 0.9.0 → 0.9.2

package/lib/client.js

@@ -342,6 +342,27 @@ window.__ModuleLoader__.load({
       const nodeS = React.useState(nodes.length > 0 ? nodes[0].nodeId : '')
       const nodeId = nodeS[0]
       const setNodeId = nodeS[1]
+
+      // ── 要共享哪个目录（2026-10-17 修 v0.9.0 审查 H2）────────────────
+      //
+      // 原实现**恒定发送 `dir: ''`** —— 面板里根本没有选择目录的 UI，
+      // 而副机侧 `if (dir === '') reply ok:false 'plan 需要 dir'` 按设计拒绝。
+      // 于是「生成共享命令」**100% 失败**，SMB 共享的唯一主动作完全不可用。
+      //
+      // 数据源现成：`nodeView` 一直透出 `roots`（views.js 的 `roots: [...]`），
+      // 那是副机的安全边界，也正是该共享的目录。这里做下拉，默认第一项。
+      //
+      // 目录随 `plan` 一起发；副机侧仍会 `resolveWorkspace` 校验它在 roots 内
+      // （面板给的只是候选，真正的边界判定在副机）。
+      const nodeRoots = (function () {
+        const n = nodes.filter(function (x) { return x.nodeId === nodeId })[0]
+        const rs = n && Array.isArray(n.roots) ? n.roots.filter(function (r) { return typeof r === 'string' && r !== '' }) : []
+        return rs
+      })()
+      const dirS = React.useState(nodeRoots.length > 0 ? nodeRoots[0] : '')
+      const shareDir = dirS[0]
+      const setShareDir = dirS[1]
+
       const accessS = React.useState('read')
       const access = accessS[0]
       const setAccess = accessS[1]
@@ -369,13 +390,15 @@ window.__ModuleLoader__.load({
       }
 
       function doPlan() {
-        if (nodeId === '' || !ack) return
+        // dir 是**必填**（副机侧拒绝空目录）。面板已在上面从 node.roots 取到
+        // 候选并默认选第一项；这里再守一道，防止 roots 为空的极端情况。
+        if (nodeId === '' || !ack || shareDir === '') return
         setBusy(true)
         setNote('')
         apiPost('/share', {
           action: 'plan',
           node: nodeId,
-          dir: '',
+          dir: shareDir,
           access: access,
           confirm: 'yes',
         })
@@ -418,13 +441,51 @@ window.__ModuleLoader__.load({
           h('select', {
             className: 'dra-in',
             value: nodeId,
-            onChange: function (e) { setNodeId(e.target.value); setPlan(null); setProbe(null) },
+            onChange: function (e) {
+              // 换副机 → 目录候选也要换（roots 是每台机器自己的），
+              // 顺带清掉上一次的 plan/probe 结果（否则会显示别人的共享命令）。
+              const nextId = e.target.value
+              setNodeId(nextId)
+              setPlan(null)
+              setProbe(null)
+              const n = nodes.filter(function (x) { return x.nodeId === nextId })[0]
+              const rs = n && Array.isArray(n.roots) ? n.roots.filter(function (r) { return typeof r === 'string' && r !== '' }) : []
+              setShareDir(rs.length > 0 ? rs[0] : '')
+              setAck(false)
+            },
           }, nodes.map(function (n) {
             return h('option', { key: n.nodeId, value: n.nodeId }, n.nodeId)
           })),
           h('button', { className: 'dra-btn', disabled: busy, onClick: doProbe }, '探测当前状态'),
         ),
 
+        // ── 要共享哪个目录（2026-10-17 修 H2）────────────────────────────
+        //
+        // 数据源是副机的 roots —— 那是它的安全边界，也正是该共享的目录。
+        // 没有 roots 时（旧副机 / 未配置）退回可手填的输入框。
+        h('div', { className: 'dra-row' },
+          h('span', { className: 'dra-k' }, '共享目录'),
+          nodeRoots.length > 0
+            ? h('select', {
+              className: 'dra-in',
+              value: shareDir,
+              onChange: function (e) { setShareDir(e.target.value); setPlan(null) },
+            }, nodeRoots.map(function (r) {
+              return h('option', { key: r, value: r }, r)
+            }))
+            : h('input', {
+              className: 'dra-in',
+              placeholder: '副机工作区绝对路径（如 D:\\work），需在副机 roots 内',
+              value: shareDir,
+              onChange: function (e) { setShareDir(e.target.value); setPlan(null) },
+            }),
+        ),
+        nodeRoots.length === 0
+          ? h('div', { className: 'dra-dim', style: { marginLeft: '20px' } },
+            '这台副机没上报 roots —— 请先确认它已配置工作区（工作区共享只允许 roots 内的目录）。')
+          : h('div', { className: 'dra-dim', style: { marginLeft: '20px' } },
+            '只共享这一个目录，不要共享整个盘。'),
+
         probe
           ? h('div', { className: 'dra-dim', style: { marginLeft: '20px' } },
             probe.ok === false
@@ -460,7 +521,9 @@ window.__ModuleLoader__.load({
         h('div', { className: 'dra-actions' },
           h('button', {
             className: 'dra-btn',
-            disabled: busy || !ack || nodeId === '',
+            // shareDir 为空时也要禁用 —— 副机按设计拒绝空 dir，
+            // 不禁用只会让用户点了才看到"生成失败"（v0.9.0 的 H2 就是这样）。
+            disabled: busy || !ack || nodeId === '' || shareDir.trim() === '',
             onClick: doPlan,
           }, busy ? '生成中…' : '生成共享命令'),
           note ? h('span', { className: 'dra-dim' }, note) : null,
@@ -899,6 +962,21 @@ window.__ModuleLoader__.load({
       const fv = form[0]
       const setForm = form[1]
 
+      // 模型下拉的「自定义…」开关（2026-10-17 修 v0.9.0 审查 M2）。
+      //
+      // 原实现靠 `fv.model === '__custom__'` 判定 —— 但表单里存的是**真实
+      // 模型名**（或空串），从来不是字面量 '__custom__'，所以：
+      //   · 从"跟随默认"（model=''）选「自定义…」→ 旧值仍为 '' → isCustom=false
+      //     → select 的 value 弹回原选项，文本框不出现
+      //   · 从任一有效选项选「自定义…」→ 旧模型名被保留 → isCustom=false → 同样弹回
+      // 唯一能进 isCustom 的路径是"表单里预先有个不在清单里的模型名"（先有鸡）。
+      //
+      // 修法：用独立的布尔 state 表达"用户主动选了自定义"，
+      // 与 model 的值解耦。isCustom = modelCustom || (model 非空且不在清单里)。
+      const customS = React.useState(false)
+      const modelCustom = customS[0]
+      const setModelCustom = customS[1]
+
       const busy = React.useState(false)
       const isBusy = busy[0]
       const setBusy = busy[1]
@@ -1607,7 +1685,7 @@ window.__ModuleLoader__.load({
             (envCheck.failed === 0
               ? '核心项全部通过'
               : '共 ' + envCheck.failed + ' 项需要处理')
-            + (envCheck.autoFixable > 0 ? '（其中 ' + envCheck.autoFixable + ' 项可自动修）' : '')),
+            + (envCheck.autoFixable > 0 ? '（其中 ' + envCheck.autoFixable + ' 项修法机械，照抄即可）' : '')),
           (envCheck.items || []).map(function (it) {
             const mark = it.ok ? '✓' : (it.severity === 'warn' ? '⚠' : '✗')
             return h('div', { key: it.id, className: 'dra-env-item' },
@@ -1617,7 +1695,9 @@ window.__ModuleLoader__.load({
                   style: { color: it.ok ? 'var(--dsw-alias-state-success-primary, currentColor)' : 'var(--dsw-alias-state-error-primary, currentColor)' },
                 }, mark),
                 h('span', { style: { flex: '1' } }, it.label),
-                it.autoFix ? h('span', { className: 'dra-badge' }, '可自动修') : null,
+                // v0.9.0 审查 L3：原来写「可自动修」，但**没有修复按钮**（
+                // 全仓库无 fix 路由）—— 虚假承诺。改成如实描述：修法是机械的。
+                it.autoFix ? h('span', { className: 'dra-badge' }, '照抄即可') : null,
               ),
               it.detail
                 ? h('div', { className: 'dra-dim', style: { paddingLeft: '20px' } }, it.detail)
@@ -1656,8 +1736,15 @@ window.__ModuleLoader__.load({
           h('div', null, '现在监听在 ', h('code', null, reach.origin || ''),
             '，只有本机能访问。副机用任何地址都连不上。'),
           h('div', { style: { marginTop: '6px' } }, '修法：在 profile 的 ',
-            h('code', null, 'cordis.patch.yml'), ' 里给 ', h('code', null, 'webserver'),
-            ' 行加 ', h('code', null, "host: '0.0.0.0'"), '（保留 port），然后重启 DSH。'),
+            h('code', null, 'cordis.patch.yml'), ' 里把 ', h('code', null, 'webserver'),
+            ' 的 ', h('code', null, 'host'), ' 改成一个具体的本机 IP，然后重启 DSH。'),
+          // ⚠ 修法**不能写 0.0.0.0**（2026-10-18 事故）：新版 dsh-host-webserver
+          // 在 schema 校验阶段就拒绝通配地址，会让 **DSH 启动崩溃**
+          // （webserver 是 required 插件）。必须绑一个具体的本机接口地址。
+          h('div', { className: 'dra-dim', style: { marginTop: '2px' } },
+            '⚠ 不能用 0.0.0.0 —— 新版 DSH 会拒绝并导致启动失败。'
+            + '查地址：Tailscale 用 tailscale ip -4，局域网用 ipconfig。'
+            + '推荐绑 Tailscale IP（固定不变、跨网可达）。'),
           reach.hint
             ? h('div', { className: 'dra-dim', style: { marginTop: '4px' } }, reach.hint)
             : null,
@@ -1848,9 +1935,14 @@ window.__ModuleLoader__.load({
             }
 
             // 有清单：下拉。值是 `provider/model` 或空串（跟随默认）或 `__custom__`
-            const isCustom = fv.model !== '' && !opts.some(function (o) {
+            //
+            // isCustom 必须**同时**看 `modelCustom` 开关与"值不在清单里"：
+            // 前者是用户主动选「自定义…」的信号（M2 修复），后者是模板/URL
+            // 预填了一个清单外模型名的信号。缺前者会导致选「自定义…」后
+            // 文本框不出现（v0.9.0 的实际 bug）。
+            const isCustom = modelCustom || (fv.model !== '' && !opts.some(function (o) {
               return (o.provider ? o.provider + '/' : '') + o.id === fv.model
-            })
+            }))
             const multi = targets.length > 1
             return h('div', null,
               h('select', {
@@ -1858,9 +1950,23 @@ window.__ModuleLoader__.load({
                 value: isCustom ? '__custom__' : fv.model,
                 onChange: function (e) {
                   const v = e.target.value
+                  if (v === '__custom__') {
+                    // 选「自定义…」：置开关 + 清空 model（让用户从空白开始填）。
+                    // 注意**不能**只改 model —— 原实现那样做会在 model 为空时
+                    // 把 select 弹回"跟随默认"，文本框永远不出现（M2）。
+                    setModelCustom(true)
+                    setForm(function (f) {
+                      const n = Object.assign({}, f)
+                      n.model = ''
+                      return n
+                    })
+                    return
+                  }
+                  // 选具体模型或「跟随默认」：关掉自定义开关
+                  setModelCustom(false)
                   setForm(function (f) {
                     const n = Object.assign({}, f)
-                    n.model = v === '__custom__' ? (n.model === '__custom__' ? '' : n.model) : v
+                    n.model = v
                     return n
                   })
                 },

package/lib/env-check.js

@@ -38,11 +38,26 @@
  *   · **逐项独立**：一项失败不能让整份体检失败
  */
 
-/** 检查结果。`autoFix` 为真表示"我们能自动改配置修好它"。 */
+/**
+ * 检查结果。
+ *
+ * `autoFix` 的语义（2026-10-17 修 v0.9.0 审查 L3）：
+ *   原先是"我们能自动改配置修好它"，但**全仓库根本没有 fix 路由 / --fix 参数**
+ *   （面板没有修复按钮、CLI 没有 --fix）—— 那是个虚假承诺。
+ *
+ *   现在改成"**该项的修法是一段可直接粘进配置的片段**"（`fix` 字段即以
+ *   `yaml:` / `命令:` 开头可直接复制的形态），`autoFix` 只表示"修法机械、
+ *   不需要判断"，用于 UI 分组，**不再暗示有一键修复**。
+ */
 function item(ok, id, label, { fix = '', detail = '', autoFix = false, severity = 'error' } = {}) {
   return { ok: Boolean(ok), id, label, fix: ok ? '' : fix, detail, autoFix: ok ? false : autoFix, severity }
 }
 
+// 角色解析**必须只有一份实现**：`role: auto` 是 v0.9.0 的默认值，
+// 凡是判定"这台机器是 hub 还是 worker"的地方都得过这一层。
+// （v0.9.0 审查 H1 的根因就是这里漏了 —— 直接拿原始 'auto' 跟 'hub' 比。）
+import { resolveRole } from './index.js'
+
 /**
  * 判定一个 origin/URL 是否只对本机可见。
  * @param {string} origin 形如 `http://127.0.0.1:19387`
@@ -88,20 +103,68 @@ export function envChecks({
   nodesOnline = null,
 } = {}) {
   const out = []
-  const isHub = role === 'hub' || role === 'both'
   // `config` 可能显式传 null（调用方拿不到配置快照时）—— 归一成空对象，
   // 否则下面每一处 `config.role` 都会 TypeError，整份体检直接抛。
   const cfg = config && typeof config === 'object' && !Array.isArray(config) ? config : {}
 
+  // ── 角色解析：**必须归一化，不能拿原始 role 字符串直接比** ────────────
+  //
+  // ⚠ 2026-10-17 修（v0.9.0 审查 H1）：
+  //
+  // 原实现 `const isHub = role === 'hub' || role === 'both'` —— 而 v0.9.0 起
+  // **默认安装的生效配置就是 `role: 'auto'`**（Config schema 的 `.default('auto')`
+  // + 包内 patch 显式写入）。于是：
+  //
+  //   · `isHub` = false → reachability / port / firewall / tailscale / nodes
+  //     **五项全部跳过** —— 而这五项正是体检存在的理由（副机连不上的静默失败）
+  //   · inject 按 worker 三件套判定 → hub 正确的 inject 反被判"缺服务"
+  //   · 检查 1 判 role 未配置 → 误报
+  //
+  // 更糟的是首次自动体检让这份"双误报 + 零诊断"在每个新装用户首次打开面板时
+  // **自动弹出**。
+  //
+  // 修法：调用 `resolveRole`（与 lib/index.js 同一份实现）把 auto 推断成实际
+  // 角色。项目的"判据只有一份"原则在这里同样适用 —— setup-routes 的 `/state`
+  // 早就复用了 resolveRoleDetail，env-check 当时漏了。
+  //
+  // 兼容：调用方仍可传 `role`（面板路由只在 hub/both 时注册，传 'hub' 也对）。
+  //
+  // 优先级（**顺序很重要**，两种写法都会误报，必须精确）：
+  //   1. **配置里写了 role**（哪怕非法/空）→ 以配置为准，交给 resolveRole 判
+  //   2. **配置里完全没这个字段** → 退回调用方传的 `role`
+  //
+  // 为什么不能无条件用配置：会把"调用方明确说 hub、但配置里 role 是空"
+  // 误判成未配置（v0.9.0 审查 H1 修复时差点引入的另一种误报）。
+  // 为什么不能只认"解析出具体角色"：那样 `config.role='hubb'`（非法）会退回
+  // 用调用方的 'hub' 而放行 —— 非法配置必须如实报出来。
+  const givenRole = typeof role === 'string' ? role.trim().toLowerCase() : ''
+  const cfgHasRole = Object.prototype.hasOwnProperty.call(cfg, 'role')
+    && cfg.role !== undefined && cfg.role !== null
+  let effectiveRole = givenRole
+  if (cfgHasRole) {
+    try {
+      // resolveRole 对 auto 推断、对空/非法返回 ''（= 未配置，由下面如实报出）
+      const resolved = resolveRole(cfg)
+      effectiveRole = typeof resolved === 'string' ? resolved : ''
+    } catch {
+      effectiveRole = ''
+    }
+  }
+  // 最后一道兜底：不认识的（含空）按未配置处理
+  const roleRaw = effectiveRole
+  const isHub = roleRaw === 'hub' || roleRaw === 'both'
+
   /* ── 1. 角色已配置（未配置时面板显示引导页，用户会以为装坏了）── */
-  const roleRaw = typeof cfg.role === 'string' ? cfg.role.trim().toLowerCase() : ''
   out.push(item(
     roleRaw === 'hub' || roleRaw === 'worker' || roleRaw === 'both',
     'role',
     '本机角色已配置（hub / worker / both）',
     {
       fix: "打开 Web 面板「远程同事」，点「我是主机」或「我是副机」选一次角色",
-      detail: roleRaw === '' ? '当前 role 为空 = 未配置' : `当前 role = ${roleRaw}`,
+      // 说明推断来源：auto 推断出来的角色要告诉用户"为什么是这个"
+      detail: roleRaw === ''
+        ? '当前 role 为空 = 未配置'
+        : (cfg.role === roleRaw ? `当前 role = ${roleRaw}` : `当前 role = ${roleRaw}（由 role: ${cfg.role || '未写'} 推断）`),
       autoFix: true,
     },
   ))
@@ -140,7 +203,33 @@ export function envChecks({
         'reachability',
         'Web 服务绑在可达地址（副机才能连上）',
         {
-          fix: "在 profile 的 cordis.patch.yml 里给 webserver 行加 host: '0.0.0.0'（保留 port），然后重启 DSH",
+          // 修法给**可直接粘贴的片段**（v0.9.0 审查 L3：不假装有一键修复）。
+          // 这是用户 profile 的配置，插件客观上不能静默代改 ——
+          // 用户 profile 优先于包内 patch 是明确的设计。
+          //
+          // ⚠ **绝对不要建议 `0.0.0.0`**（2026-10-18 事故）。
+          //
+          // 新版 `dsh-host-webserver` 在 schema 校验阶段就硬拒绝通配地址：
+          //   host "0.0.0.0" is an unspecified (wildcard) address, which is not
+          //   supported: binding every interface would expose remote code
+          //   execution to the network; bind one concrete IPv4 or IPv6 address
+          //   of a local interface instead
+          //
+          // 后果是 **DSH 启动崩溃**（webserver 是 required 插件，它挂了
+          // `webServer` 服务就缺失，至少 6 个插件排队等它）。v0.9.0 曾把这个
+          // 建议写进包内 patch，实测产生 10 份 crash 日志。
+          //
+          // 正确做法：绑**一个具体的本机接口地址**。推荐 Tailscale IP ——
+          // 它固定不变、跨网可达，正好是本插件的使用场景。
+          fix: '把 profile 的 cordis.patch.yml 里 webserver 的 host 改成'
+            + '**一个具体的本机 IP**（不能用 0.0.0.0 —— 新版 DSH 会拒绝并启动失败），'
+            + '然后**重启 DSH**。\n'
+            + '  查地址：Tailscale 用 `tailscale ip -4`，局域网用 `ipconfig`。\n'
+            + '  推荐绑 Tailscale IP（固定不变、跨网可达）：\n'
+            + '  - id: webserver\n'
+            + '    config:\n'
+            + "      host: '<你的具体 IP，例如 100.x.x.x>'\n"
+            + '      port: 19387',
           detail: loop
             ? `当前只监听 ${reachability.bound || '127.0.0.1'}（${reachability.origin || ''}）—— 副机用任何地址都连不上`
             : `当前监听 ${reachability.origin || ''}`,
@@ -232,13 +321,16 @@ export function renderEnvChecks(result, { title = '环境体检' } = {}) {
     lines.push(`${mark} ${it.label}`)
     if (it.detail) lines.push(`    ${it.detail}`)
     if (!it.ok && it.fix) lines.push(`    ↳ 怎么修：${it.fix}`)
-    if (!it.ok && it.autoFix) lines.push('    ↳ 可以自动修（面板上点「修复」，或命令行加 --fix）')
+    // v0.9.0 审查 L3：原文案写"面板上点「修复」，或命令行加 --fix" ——
+    // **两者都不存在**（全仓库无 fix 路由 / 无 --fix 参数）。虚假承诺比没有
+    // 提示更糟：用户会去找那个按钮，找不到就以为功能坏了。改成如实说明。
+    if (!it.ok && it.autoFix) lines.push('    ↳ 修法是机械的（照上面复制粘贴即可，不需要判断）')
   }
   lines.push('')
   if (result.ok && result.failed === 0) {
     lines.push('核心项全部通过。')
   } else {
-    lines.push(`共 ${result.failed} 项需要处理${result.autoFixable > 0 ? `（其中 ${result.autoFixable} 项可自动修）` : ''}。`)
+    lines.push(`共 ${result.failed} 项需要处理${result.autoFixable > 0 ? `（其中 ${result.autoFixable} 项修法机械，照抄即可）` : ''}。`)
   }
   return { text: lines.join('\n'), failed: result.failed, autoFixable: result.autoFixable }
 }

package/lib/hub/index.js

@@ -305,14 +305,17 @@ export function applyHub(ctx, config = {}) {
         origin,
         loopback,
         hint: loopback
-          ? "webServer 绑在 loopback，副机无法接入。在 profile 的 cordis.patch.yml 里给 webserver 行加 host: '0.0.0.0'（保留 port），然后重启 DSH。"
+          // ⚠ 不能建议 0.0.0.0（2026-10-18 事故）：新版 dsh-host-webserver 在
+          // schema 校验阶段就拒绝通配地址 → webserver 无法激活 → webServer
+          // 服务缺失 → DSH 启动崩溃。必须绑一个**具体的本机接口地址**。
+          ? 'webServer 绑在 loopback，副机无法接入。在 profile 的 cordis.patch.yml 里把 webserver 的 host 改成一个具体的本机 IP（推荐 Tailscale IP：tailscale ip -4），然后重启 DSH。不能用 0.0.0.0 —— 新版 DSH 会拒绝并启动失败。'
           : '',
       }
       if (loopback) {
         log('warn', 'hub 绑在 loopback：副机将无法接入', {
           origin,
           bound: hostname,
-          fix: "给 webserver 加 host: '0.0.0.0'",
+          fix: "把 webserver 的 host 改成具体的本机 IP（如 Tailscale IP），不能用 0.0.0.0",
         })
       } else {
         log('info', 'hub reachable from other hosts', { origin, bound: hostname })

package/lib/hub/registry-ingest.js

@@ -102,7 +102,22 @@ export function withIngest(Base) {
           if (!t) return
           if (d.handoff && typeof d.handoff === 'object') {
             t.handoff = d.handoff
-            if (typeof d.handoff.status === 'string') t.status = d.handoff.status
+            // ⚠ 终态守卫（2026-10-17 修 v0.9.0 审查 L5）。
+            //
+            // 场景：approveTask 时 send 返回 false → 我们已把任务置成
+            // FAILED(node-unreachable)，但那一帧其实在途 → 节点跑完回传
+            // 真实终态。原实现无条件 `t.status = d.handoff.status`，会把
+            // 已置的 FAILED 改写掉。
+            //
+            // 后果良性（记录反而更真实），但破坏"终态即终态"的心智模型，
+            // 且让"批准者已收到 unreachable 错误、可能重派"的双跑风险更难察觉。
+            //
+            // 守卫规则：**已经是终态就不再被后来的帧改写**。
+            // 例外：同一个终态值重复到达是幂等的，允许（无副作用）。
+            const incoming = typeof d.handoff.status === 'string' ? d.handoff.status : ''
+            if (incoming !== '' && (t.status === incoming || !TERMINAL_STATUS.has(t.status))) {
+              t.status = incoming
+            }
             if (Array.isArray(d.handoff.changed)) t.changed = d.handoff.changed
             if (d.handoff.summary && typeof d.handoff.summary === 'object') t.summary = d.handoff.summary
             if (d.handoff.exit && typeof d.handoff.exit === 'object') t.exit = d.handoff.exit
@@ -126,7 +141,11 @@ export function withIngest(Base) {
         case NODE_TO_HUB.TASK_END: {
           const t = this.ensureTask(nodeId, d.taskId)
           if (!t) return
-          if (typeof d.status === 'string') t.status = d.status
+          // ⚠ 终态守卫（2026-10-17 修 v0.9.0 审查 L5，与 TASK_SUMMARY 同款）：
+          // 已是终态就不再被改写，除非到达的是**同一个**终态（幂等重发）。
+          if (typeof d.status === 'string' && (t.status === d.status || !TERMINAL_STATUS.has(t.status))) {
+            t.status = d.status
+          }
           t.endedAt = typeof d.endedAt === 'number' ? d.endedAt : Date.now()
           if (typeof d.durationMs === 'number') t.durationMs = d.durationMs
           if (d.error && typeof d.error === 'object') t.error = d.error

package/lib/hub/templates.js

@@ -436,8 +436,11 @@ function projectRecord(raw) {
  * 保存 → 保存报错，而用户看到的只是"保存失败"，无从知道重试就能成功。
  *
  * 所以这里对**瞬态锁**做有界重试（EPERM / EBUSY / EACCES）。三条边界：
- *   - 有界：最多 RETRY 次，总等待 ~1.3s（指数退避封顶 200ms）—— 不把一次
- *     保存变成无限等待
+ *   - 有界：最多 `RENAME_RETRIES`（16）次，指数退避封顶 `RENAME_BACKOFF_MAX_MS`
+ *     （500ms），**总等待 ~6s** —— 不把一次保存变成无限等待
+ *     （历史：最初 6 次×10ms = 210ms，被 GitHub windows runner 饿过窗口；
+ *     后来 10 次封顶 200ms ≈ 1.3s 仍失败，才拉到现在这个窗口。
+ *     ⚠ 改这两个常量前先读 RENAME_RETRIES 定义处的完整事故史。）
  *   - 只重试这三类码：真错误（ENOSPC / EROFS）立即抛出，重试只是浪费时间
  *   - 退避递增：读者通常几毫秒就结束，前两次短等待就能成功
  *

package/lib/hub/ui-routes.js

@@ -104,6 +104,9 @@ import { createTemplateStore, defaultTemplatesFile } from './templates.js'
 // 存在的理由是那个最贵的静默失败 —— webserver 绑 loopback 时副机永远连不上，
 // 而主机侧毫无异常。面板必须把它渲染出来。
 import { envChecks } from '../env-check.js'
+// 角色解析**只有一份实现**：v0.9.0 起默认 role 是 'auto'，凡是判定
+// "是不是 hub" 的地方都必须过这一层（v0.9.0 审查 H1 的根因就是这里漏了）。
+import { resolveRole } from '../index.js'
 
 export const UI_API_PREFIX = '/api/remote-agent/ui'
 
@@ -680,7 +683,17 @@ export function registerUiRoutes({
     try {
       const nodes = registry.list()
       result = envChecks({
-        role: typeof config.role === 'string' ? config.role : 'hub',
+        // ⚠ 必须传**解析后**的角色（2026-10-17 修 v0.9.0 审查 H1）。
+        //
+        // 原实现传的是原始 `config.role` —— 而 v0.9.0 起默认安装的生效配置
+        // 就是 `role: 'auto'`。envChecks 内部的 `isHub` 判据若拿到未解析的
+        // 'auto' 会判 false，导致 reachability/port/firewall/tailscale/nodes
+        // **五项全部跳过**，role 与 inject 两项还会误报 —— 体检对 100%
+        // 默认安装用户完全失效。
+        //
+        // 本路由只在 hub（或 both）分支注册，所以直接传 'hub' 也正确；
+        // 用 resolveRole 更稳妥（覆盖 both 与显式 hub 两种）。
+        role: resolveRole(config) || 'hub',
         config,
         reachability,
         nodesOnline: nodes.filter((n) => n.online).length,

package/lib/node/share-service.js

@@ -110,18 +110,59 @@ export function isAdmin() {
  *
  * `net share` 不需要管理员（只读查询），所以即使非管理员也能用于**展示**。
  *
+ * ⚠ 2026-10-17 修（v0.9.0 审查 L2）：优先用 `Get-SmbShare` 取**结构化**路径。
+ *
+ * 原来只解析 `net share` 的文本输出，正则 `[A-Za-z]:\\[^\s]*` 在路径含空格时
+ * 会截断 —— `D:\Deepseek Harness file` → `D:\Deepseek`。而 Windows 工作区路径
+ * 带空格很常见（本项目自己的目录就叫 `D:\Deepseek Harness file`！）。
+ *
+ * 截断的后果不是崩溃，而是**比对失败**：`findShareForDir` 找不到已存在的共享
+ * → 面板把已共享目录显示为未共享 → 用户再点一次才看到"共享名已存在"。
+ * 属"可见错误而非静默 corruption"，但体验很差。
+ *
+ * 修法：`Get-SmbShare | ConvertTo-Json` 返回 `{Name, Path}` 精确值，
+ * 完全避开文本解析。拿不到（PowerShell 缺失/被禁）时回退 `net share`。
+ *
  * @returns {Array<{name:string, path:string}>}
  */
 export function listShares() {
   if (process.platform !== 'win32') return []
+
+  // ── 路径 1：Get-SmbShare（结构化，路径不截断）────────────────────
+  try {
+    const r = spawnSync(
+      'powershell',
+      ['-NoProfile', '-NonInteractive', '-Command',
+        'Get-SmbShare | Select-Object Name,Path | ConvertTo-Json -Compress'],
+      { encoding: 'utf8', windowsHide: true, timeout: 10000 },
+    )
+    if (r.status === 0 && typeof r.stdout === 'string' && r.stdout.trim() !== '') {
+      const parsed = JSON.parse(r.stdout)
+      const arr = Array.isArray(parsed) ? parsed : [parsed]
+      const out = []
+      for (const x of arr) {
+        if (!x || typeof x.Name !== 'string' || x.Name === '') continue
+        out.push({ name: x.Name, path: typeof x.Path === 'string' ? x.Path : '' })
+      }
+      if (out.length > 0) return out
+    }
+  } catch {
+    /* 回退到 net share */
+  }
+
+  // ── 路径 2：net share 文本解析（回退；含空格路径可能截断）──────────
   try {
     const r = spawnSync('net', ['share'], { encoding: 'utf8', windowsHide: true, timeout: 8000 })
     if (r.status !== 0 || typeof r.stdout !== 'string') return []
     const out = []
     for (const line of r.stdout.split(/\r?\n/)) {
       // 形如：`dsh-work-a1b2c3  D:\work                        `
-      const m = /^(\S+)\s+([A-Za-z]:\\[^\s]*)/.exec(line.trim())
-      if (m) out.push({ name: m[1], path: m[2] })
+      //
+      // 共享名不含空格（我们的 dsh-work-<hash> 与系统 C$/ADMIN$ 都是），
+      // 所以 `^(\S+)\s+(.+?)\s*$` 里第一段是名、**剩下的整段**是路径 ——
+      // 不要把路径按空白截断（L2 的原 bug）。
+      const m = /^(\S+)\s+([A-Za-z]:\\.*?)\s*$/.exec(line.trim())
+      if (m) out.push({ name: m[1], path: m[2].trim() })
     }
     return out
   } catch {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-remote-agent",
-  "version": "0.9.0",
+  "version": "0.9.2",
   "type": "module",
   "description": "把另一台电脑变成你 DSH 的远程 Agent 同事：副机本地持久跑任务、独立 Agent 循环，只回传 handoff 摘要与产物清单，成品按需拉取。",
   "license": "MIT",