dsh-selfupdater 0.4.17 → 0.4.19

package/lib/index.js

@@ -14,7 +14,7 @@
  * - 升级动作通过锁文件防并发，双端校验。
  */
 import { spawn } from 'node:child_process';
-import { existsSync, mkdirSync, readFileSync, writeFileSync } from 'node:fs';
+import { existsSync, mkdirSync, readFileSync, rmSync, writeFileSync } from 'node:fs';
 import { dirname, join, resolve } from 'node:path';
 import { fileURLToPath } from 'node:url';
 import { fetchLatestVersion, installedSelfVersion, isNewer, runPluginUpdateTask } from './plugin-update-task.mjs';
@@ -286,11 +286,22 @@ export function apply(ctx) {
                 return;
             }
             // 并发防护：锁文件已存在说明有升级在跑（或上次异常残留未清理）。
+            // 残留判定：锁内容损坏，或 startedAt 超过 15 分钟（升级脚本总看门狗
+            // 仅 8 分钟，超过必然已死）—— 自动清理放行，避免强杀后永久 409。
             if (isBusy()) {
-                sendJson(res, 409, { error: '已有一次升级在进行中' });
-                return;
+                let stale = false;
+                try {
+                    const prev = JSON.parse(readFileSync(lockFile, 'utf8'));
+                    stale = Date.now() - Number(prev.startedAt ?? 0) > 15 * 60 * 1000;
+                } catch { stale = true; }
+                if (!stale) {
+                    sendJson(res, 409, { error: '已有一次升级在进行中' });
+                    return;
+                }
+                try { rmSync(lockFile, { force: true }); } catch { /* 清不掉则下次再试 */ }
             }
-            // 预置锁文件：updater.mjs 启动后会校验它存在才继续。
+            // 预置锁文件：作为并发防护；updater.mjs 见到 by=plugin 的新鲜锁会
+            // 视为合法握手接管（见 updater.mjs main 的锁文件握手注释）。
             // 先确保 .dsh 目录存在（首次安装/手动清理后可能尚无该目录，教训来自插件写状态 ENOENT 问题）。
             try {
                 mkdirSync(dshStateDir, { recursive: true });

package/lib/updater.mjs

@@ -280,7 +280,8 @@ async function fetchLatestRelease(pkg) {
     const errors = [];
     results.forEach((r, i) => {
         if (r.status === 'fulfilled') {
-            if (best === null || isNewer(r.value.version, best.version)) best = r.value;
+            // 记录胜出版本来自哪个 registry，供 staging 安装用 --registry 同源下载
+            if (best === null || isNewer(r.value.version, best.version)) best = { ...r.value, base: targets[i].base };
         } else {
             errors.push(`${targets[i].base}/${targets[i].tag}: ${r.reason.message}`);
         }
@@ -289,29 +290,36 @@ async function fetchLatestRelease(pkg) {
     return best;
 }
 
-/** 仅取最新版本号（主流程使用）。 */
-async function fetchLatestVersion(pkg) {
-    return (await fetchLatestRelease(pkg)).version;
-}
-
 /**
  * 阶段一：下载。把新版安装进独立 staging 目录。
  * 关键点：pnpm 默认用符号链接布局，搬走 node_modules 后链接会全部失效；
  * 通过 node-linker=hoisted 强制实体文件布局，保证 staging/node_modules
  * 可以整体 rename 到 APP_DIR。
+ * @param target - 目标版本号（精确锁定）
+ * @param registryBase - 版本查询胜出的 registry 源，安装与查询保持同源
  */
-async function downloadIntoStaging(target) {
+async function downloadIntoStaging(target, registryBase) {
     rmSync(stagingDir, { recursive: true, force: true });
     mkdirSync(stagingDir, { recursive: true });
+    // 精确锁定版本：alpha 渠道发版快，用 ^ 范围可能解析到比 target 更新的
+    // 版本，撞上"staged 必须严格等于 target"的校验而误报失败。
     writeFileSync(
         join(stagingDir, 'package.json'),
-        JSON.stringify({ name: 'dsh-selfupdate-staging', private: true, dependencies: { [PKG]: `^${target}` } }, null, 2),
+        JSON.stringify({ name: 'dsh-selfupdate-staging', private: true, dependencies: { [PKG]: target } }, null, 2),
     );
     // 实体文件布局 + 关闭交互确认，保证无人值守可执行。
     writeFileSync(join(stagingDir, '.npmrc'), 'node-linker=hoisted\n');
     const pnpm = pnpmCommand();
     setState('downloading', `正在下载 ${PKG}@${target} …`);
-    const result = await runCommand(pnpm.file, [...pnpm.args, 'install', '--omit=dev', '--no-audit', '--no-fund'], {
+    // pnpm 不认 npm 风格的 --omit/--no-audit/--no-fund（0.4.18 实测踩坑）：
+    // 排除 dev 依赖用 --prod；--registry 让安装与版本查询走同一个源，
+    // 避免"官方源不通、镜像查到版本却装不下来"的割裂。
+    const result = await runCommand(pnpm.file, [
+        ...pnpm.args,
+        'install',
+        '--prod',
+        ...(registryBase ? ['--registry', registryBase] : []),
+    ], {
         cwd: stagingDir,
         env: { ...process.env, CI: 'true', npm_config_node_linker: 'hoisted' },
     });
@@ -403,14 +411,26 @@ async function main() {
     mkdirSync(dshStateDir, { recursive: true });
     const current = currentDshVersion();
 
-    // 锁文件双端校验：插件本体触发前会检查；这里再补一道防手动重复执行。
-    if (existsSync(lockFile)) throw new Error('已有一次升级在进行中（锁文件存在）');
-    writeFileSync(lockFile, JSON.stringify({ pid: process.pid, startedAt: Date.now() }));
+    // 锁文件握手：插件本体 POST /perform 会预写锁文件（by=plugin）作为并发
+    // 防护，本脚本见到它应视为合法交接直接接管 —— 旧实现"存在即拒绝"与
+    // 插件端的预写约定自相矛盾，导致升级必然秒败（0.4.17 实测踩坑）。
+    // 仅当锁是陈旧残留（超过 10 分钟）或来源不明时才判定为重复执行。
+    if (existsSync(lockFile)) {
+        let handover = false;
+        try {
+            const prev = JSON.parse(readFileSync(lockFile, 'utf8'));
+            handover = prev?.by === 'plugin' && Date.now() - Number(prev.startedAt ?? 0) < 10 * 60 * 1000;
+        } catch { handover = false; }
+        if (!handover) throw new Error('已有一次升级在进行中（锁文件存在）');
+    }
+    writeFileSync(lockFile, JSON.stringify({ pid: process.pid, startedAt: Date.now(), by: 'updater' }));
 
     status = { currentVersion: current, startedAt: new Date().toISOString(), trigger: 'manual' };
     setState('downloading', '正在查询 npm 最新版本 …');
 
-    const target = await fetchLatestVersion(PKG);
+    // fetchLatestRelease 除版本号外还带回胜出的 registry 源，供 staging 同源安装
+    const release = await fetchLatestRelease(PKG);
+    const target = release.version;
     status.latestVersion = target;
     if (!isNewer(target, current)) {
         setState('idle', `当前已是最新版本（${current}）`);
@@ -418,7 +438,7 @@ async function main() {
     }
 
     log(`发现新版本：${current} -> ${target}`);
-    await downloadIntoStaging(target);
+    await downloadIntoStaging(target, release.base);
     swapNodeModules();
 
     setState('restarting', '正在重启 DeepSeek Harness …');

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-selfupdater",
-  "version": "0.4.17",
+  "version": "0.4.19",
   "description": "Self-update plugin for DeepSeek Harness: DSH core upgrades via detached swap script; plugin self-update installs in-place without killing the host and prompts for restart. DSH 主程序与已装插件的一站式在线更新插件。",
   "license": "MIT",
   "type": "module",