dsh-toolbox-ui 1.6.4 → 1.6.5

package/README.en.md

@@ -57,10 +57,10 @@ See every installed skill's **real scope** and cross-scope shadowing, enable/dis
 
 ```sh
 # Recommended: from npm — `dsh plugin update` then upgrades within ^1.x
-dsh plugin --profile web add dsh-toolbox-ui@^1.6.4
+dsh plugin --profile web add dsh-toolbox-ui@^1.6.5
 
 # Or pin a GitHub release tag (no automatic upgrades; re-add with a new tag)
-dsh plugin --profile web add github:Imzl-zl/dsh-toolbox-ui#v1.6.4
+dsh plugin --profile web add github:Imzl-zl/dsh-toolbox-ui#v1.6.5
 ```
 
 Then **restart `dsh web`**. To uninstall (your existing MCP entries stay):

package/README.md

@@ -57,10 +57,10 @@
 
 ```sh
 # 推荐：npm 安装 —— 之后 `dsh plugin update` 在 ^1.x 内自动升小版本
-dsh plugin --profile web add dsh-toolbox-ui@^1.6.4
+dsh plugin --profile web add dsh-toolbox-ui@^1.6.5
 
 # 或固定 GitHub release tag（不自动跨版本，升级要换 tag 重新 add）
-dsh plugin --profile web add github:Imzl-zl/dsh-toolbox-ui#v1.6.4
+dsh plugin --profile web add github:Imzl-zl/dsh-toolbox-ui#v1.6.5
 ```
 
 装完**重启 `dsh web`**。卸载（不会删除 profile 里已有的 MCP 条目）：

package/docs/installation.md

@@ -15,14 +15,14 @@
 推荐用 npm 安装：包里的 `^1.x` 范围让后续 `dsh plugin update` 能自动升级小版本。
 
 ```sh
-dsh plugin --profile web add dsh-toolbox-ui@^1.6.4
+dsh plugin --profile web add dsh-toolbox-ui@^1.6.5
 ```
 
 也可以固定 GitHub release tag（适合需要锁定某个具体版本时）：
 
 ```sh
 # 固定 release tag
-dsh plugin --profile web add github:Imzl-zl/dsh-toolbox-ui#v1.6.4
+dsh plugin --profile web add github:Imzl-zl/dsh-toolbox-ui#v1.6.5
 
 # 或固定某个 commit
 dsh plugin --profile web add github:Imzl-zl/dsh-toolbox-ui#<commit>
@@ -73,7 +73,7 @@ dsh plugin --profile web update dsh-toolbox-ui
 
 | 安装规格 | `update` 的效果 | 怎么跨版本 |
 |---|---|---|
-| `dsh-toolbox-ui@^1.6.4`（npm，推荐） | 在 `^1.x` 内自动升到最新小版本，不会跨到 2.0.0 | 已是自动；跨大版本显式安装 `@^2` |
+| `dsh-toolbox-ui@^1.6.5`（npm，推荐） | 在 `^1.x` 内自动升到最新小版本，不会跨到 2.0.0 | 已是自动；跨大版本显式安装 `@^2` |
 | `github:...#v1.4.0`（tag） | 重新解析同一个 tag，**不会动** | 换成新 tag 重新 `add`：`... #<新 tag>` |
 | `github:...#<commit>` | 同上，固定在 commit | 用新 commit/tag 重新 `add` |
 | `github:...#main`（分支） | 拉取最新 main | 已是自动；但不推荐生产（无 release 门槛） |
@@ -113,7 +113,7 @@ dsh web    # 打开面板点一遍
 # 3) 提交并推 tag（CI 会校验 tag 与 version 一致，不一致就拒绝发布）
 git add -A && git commit -m "..."
 git push origin main
-git tag -a v1.6.4 -m "dsh-toolbox-ui 1.6.4" && git push origin v1.6.4
+git tag -a v1.6.5 -m "dsh-toolbox-ui 1.6.5" && git push origin v1.6.5
 ```
 
 推 tag 后 CI 依次做：校验版本 → `pnpm install --frozen-lockfile` → `npm test` → `npm publish`（trusted publishing，无需 token）→ `gh release create`。
@@ -132,7 +132,7 @@ git tag -a v1.6.4 -m "dsh-toolbox-ui 1.6.4" && git push origin v1.6.4
 
 ```sh
 npm publish          # 会弹 2FA 挑战；若用 bypass-2FA 的 granular token 则非交互
-gh release create v1.6.4 --title "dsh-toolbox-ui v1.6.4" --notes-file <notes>
+gh release create v1.6.5 --title "dsh-toolbox-ui v1.6.5" --notes-file <notes>
 ```
 
 `npm login` 的会话 token 只有 2 小时，超时需要重新登录；classic token 已被 npm 永久吊销，能非交互发布的只剩勾了 **Bypass 2FA** 的 granular access token——但它正在被 npm 收窄（已不能做账号/包管理类操作，且 2027-01 起将失去直接发布能力），所以长期方案是上面的 trusted publishing。

package/lib/skills-file-ops.js

@@ -131,6 +131,12 @@ export async function setSkillEnabled(target, enabled) {
  * 宿主目录看不到它们（改名后按固定路径读不到即静默跳过），所以这是面板能展示
  * 「已停用」并提供「启用」的唯一来源。
  *
+ * ⚠️ 「是不是目录」必须用 `stat`（跟随链接），**不能**用 `readdir` 的 `Dirent.isDirectory()`：
+ * 技能目录是指向外部同步库的符号链接/junction 时，Dirent 报的是 `isSymbolicLink() === true`
+ * 而 `isDirectory() === false`（实测）。用 Dirent 会让这类条目掉进扁平分支、既不匹配 `.md.disabled`
+ * 又拿不到 `<dir>/SKILL.md.disabled` —— **链接技能一旦停用就从面板彻底消失，再也启用不回来**。
+ * 这与 `locateSkill` 处理的是同一个根因：判据要落在物理位置（跟随链接后的真相）上。
+ *
  * @param {{ root: string, scope: 'global'|'project' }} input
  * @returns {Promise<object[]>}
  */
@@ -145,7 +151,10 @@ export async function scanDisabledSkills(input) {
   }
   const rows = []
   for (const entry of entries) {
-    if (entry.isDirectory()) {
+    if (typeof entry.name !== 'string') continue
+    // 跟随链接判目录（见函数头说明）。stat 失败（悬空链接）就当它不是目录，继续按扁平判。
+    const isDirectory = await stat(join(root, entry.name)).then((info) => info.isDirectory()).catch(() => false)
+    if (isDirectory) {
       // 目录捆绑：<name>/SKILL.md.disabled
       const name = entry.name
       if (!SKILL_NAME.test(name)) continue
@@ -156,7 +165,7 @@ export async function scanDisabledSkills(input) {
       continue
     }
     // 扁平：<name>.md.disabled
-    if (typeof entry.name === 'string' && entry.name.endsWith(`.md${DISABLED_SUFFIX}`)) {
+    if (entry.name.endsWith(`.md${DISABLED_SUFFIX}`)) {
       const name = entry.name.slice(0, -`.md${DISABLED_SUFFIX}`.length)
       if (!SKILL_NAME.test(name)) continue
       rows.push({ name, scope, root, kind: 'flat', path: join(root, entry.name), disabled: true })

package/lib/skills-registry.js

@@ -58,63 +58,48 @@ async function physicalDirectory(path) {
  *
  * 为什么必须推而不是问：`ctx.skills` **不暴露 roots()**（实测公开面只有
  * registerProvider/register/list/snapshot/get/collect/...；roots() 在 filesystem provider 内部）。
- * 能用的线索只有 `resourceBase`——已用**真实 cordis Context + 真实宿主包**实测两种形态：
+ * 能用的线索只有 `resourceBase`。
  *
- *   目录捆绑：path = `<技能目录>/SKILL.md`，resourceBase.path = `<技能目录>` → 根 = dirname(base)
- *   扁平文件：path = `<根>/<name>.md`，    resourceBase.path = `<根>`       → 根 = base
+ * 判别依据是宿主的 locator **构造规则**本身（dsh-skill-filesystem 的 discoverRoot）：
  *
- * 判别式与「形态不认识就不猜」的纪律见 matchLocator。
+ *   目录捆绑：locator.path = `<技能目录>/SKILL.md`，locator.directory = `<技能目录>`
+ *   扁平文件：locator.path = `<根>/<name>.md`，    locator.directory = `<根>`
  *
- * ⚠️ 两个字段来自**不同的路径口径**，不能只做字面比较（真机缺陷，2026-10-11 复现）：
- *   `resourceBase.path` = `locator.directory` —— **展示路径**（配置原样，配置写链接就是链接）
+ * ⚠️ 关键：**形态由技能文件名决定**（`SKILL.md` vs `<name>.md`），而**根由 `resourceBase` 决定**。
+ * 不要去比较两个字段的路径——它们来自不同的路径口径，链接下必然分叉（真机缺陷，issue #5）：
+ *   `resourceBase.path` = `locator.directory`      —— **展示路径**（配置原样，配置写链接就是链接）
  *   `path`              = `fs.processPath(target)` —— **realpath**（fs-local 里就是 targetKey）
- * 技能目录本身是符号链接/junction 时两者必然分叉，只做字面比较会落进「形态不认识」→ 根推不出来
- * → **整行不可操作**（宿主自己的用例也钉着这个分叉：skill-filesystem.spec.ts 的 linked-dir 那条）。
- * 所以字面没命中时，把 base 规范化到真实路径再判别一次。
+ * 之前两版实现都栽在这里：先按字面比较，再改成「realpath 规范化后比较」——都还是**路径比较**，
+ * 于是「技能目录是链接」修好了，「**扁平技能的文件本身是链接**」照样失效（宿主自己的用例就钉着
+ * 这两种形状：skill-filesystem.spec.ts 的 linked-dir 与 linked-flat）。而符号链接指向外部同步库
+ * 正是本仓库用户的常见做法。
  *
- * 返回的 root 一律是**展示路径**：`resolveTargetReference` 要求它与 skillTargetsView 算出的
- * 目标精确相等，返回 realpath 会让所有文件操作对不上（那是更坏的方向）。
+ * 改名判据之后：文件名在两种口径下**完全一致**（realpath 不改变 basename），所以链接、别名、
+ * Windows 大小写规范化都不影响判别，一次覆盖全部形态，也不需要碰磁盘。
  *
- * 推不出就返回空：宁可不填，也不猜一个根——猜错会让启停/删除作用在错误的目录上。
+ * 返回的 root 一律用**展示路径**（`resolveTargetReference` 要求它与 skillTargetsView 算出的
+ * 目标精确相等，返回 realpath 会让所有文件操作对不上）。
+ * 认不出形态就返回空：宁可不填，也不猜一个根——猜错会让启停/删除作用在错误的目录上。
  *
  * @param {object} summary - 宿主 SkillSummary。
- * @returns {Promise<{ root?: string, kind?: 'bundle'|'flat' }>}
+ * @returns {{ root?: string, kind?: 'bundle'|'flat' }}
  */
-async function locateSkill(summary) {
+function locateSkill(summary) {
   const base = summary?.resourceBase?.path
   const path = summary?.path
   if (typeof base !== 'string' || base === '' || typeof path !== 'string' || path === '') return {}
 
-  // 比较前统一分隔符（见文件上方的 toSlashes 说明）。返回值仍用**原生** base，不做转换（要给 fs 用）。
-  const baseSlashes = toSlashes(base)
-  const pathSlashes = toSlashes(path)
-
-  // 先按字面比一次：**没有链接时两个字段本来就同源**，这一步就命中，不必碰磁盘
-  // （技能列表每次刷新都要走这里，几十条技能各多一次 realpath 是白花的）。
-  const literal = matchLocator(base, baseSlashes, pathSlashes)
-  if (literal !== undefined) return literal
-
-  // 字面没命中：可能是两个字段口径不同（链接目录）。把 base 规范化到真实路径再比一次。
-  // 只在**这一条**上付 realpath 的代价，而且这一步同时兜住 Windows 上 realpath 会
-  // 规范化盘符/目录名大小写的情形——那种情况下字面同样不相等，但物理上是同一个目录。
-  const physical = await physicalDirectory(base)
-  if (physical === baseSlashes) return {}   // 规范化前后一样，说明字面失败不是口径问题：不猜
-  return matchLocator(base, physical, pathSlashes) ?? {}
-}
+  // 文件名取自宿主给的 realpath，只看最后一段（分隔符两种都要吃）。
+  const file = toSlashes(path).split('/').pop() ?? ''
 
-/**
- * 按给定的 base 形态判别 locator（宿主 discoverRoot 的两种形状）。
- *
- * 判别式必须是「path 是否**恰为** `<base>/SKILL.md`」。曾用「dirname(path) === base」判别——
- * 那个条件在两种形态下**都成立**（捆绑时 path 的父目录就是 base），不是判别式，会把扁平技能
- * 的根算成上一层（实测把 `~/.agents/skills` 算成了 `~/.agents`）。
- *
- * @returns {{ root: string, kind: 'bundle'|'flat' } | undefined} 认不出时返回 undefined。
- */
-function matchLocator(base, baseCompared, pathSlashes) {
-  if (pathSlashes === `${baseCompared}/${BUNDLE_FILE}`) return { root: dirname(base), kind: 'bundle' }
-  if (dirname(pathSlashes) === baseCompared) return { root: base, kind: 'flat' }
-  return undefined
+  // 扁平优先：`<根>/<name>.md`，用**技能名**核对文件名——这是精确判别式，
+  // 也是扁平技能的文件本身是链接时唯一还成立的那条线索。
+  if (file === `${summary.name}.md`) return { root: base, kind: 'flat' }
+  // 目录捆绑：`<技能目录>/SKILL.md`。目录名可能与技能名不同（宿主按 frontmatter 取名），
+  // 所以这里不看名字，只看那个固定文件名。
+  if (file === BUNDLE_FILE) return { root: dirname(base), kind: 'bundle' }
+  // 两种 locator 都不符：不猜。
+  return {}
 }
 
 /** 取宿主 skills 服务；宿主的服务名就是 'skills'（dsh-skill 的 super(ctx, "skills")）。 */
@@ -210,7 +195,7 @@ async function invocationOf(row) {
  * @returns {Promise<object>} 面板行。
  */
 async function toView(summary, { cwd }) {
-  const located = await locateSkill(summary)
+  const located = locateSkill(summary)
   const scope = scopeOfSource(summary.source)
   // 调用权限**不读** summary.invocation：那一份来自宿主的发现缓存（见 invocationOf 的说明）。
   const invocation = await invocationOf({ name: summary.name, root: located.root, scope })

package/lib/whats-new.js

@@ -214,7 +214,7 @@ export const WHATS_NEW = [
     version: '1.6.4',
     items: [
       {
-        text: '**技能目录是符号链接时不再「整行不可用」**：这种情况下面板以前显示「位置（未报告）／调用权限未知」，点开还读不出正文——悬浮提示把它说成 frontmatter 有问题，其实是面板没能定位到那个目录（文件一直是好的）。现在链接目录照常定位，位置与调用权限都正常显示，启停、删除、读正文也都可用',
+        text: '**技能目录是符号链接时不再「整行不可用」**：这种情况下面板以前显示「位置（未报告）／调用权限未知」，点开还读不出正文——悬浮提示把它说成 frontmatter 有问题，其实是面板没能定位到那个目录（文件一直是好的）。现在链接目录照常定位，位置与调用权限都正常显示，读正文与「模型自动调用」开关也可用。⚠️ 同一形态下的**停用/删除**当时还没修好，见 1.6.5',
         where: '技能列表与详情',
       },
       {
@@ -227,4 +227,21 @@ export const WHATS_NEW = [
       },
     ],
   },
+  {
+    version: '1.6.5',
+    items: [
+      {
+        text: '**修好「停用一条技能后它就从面板消失」**：技能目录是指向外部同步库的符号链接时，停用后那条技能既不在「已启用」也不在「已停用」里——磁盘上其实改名成功了，但面板再也看不到它、也点不到「启用」把它恢复。现在停用后照常列在「已停用」里，一键就能启用回来',
+        where: '技能列表（停用/启用）',
+      },
+      {
+        text: '**链接技能的「删除」不再报错**：同样的链接形态下，删除以前会失败并报一个目标引用错误，用户以为技能删不掉。现在删除正常工作，而且**只删掉那个链接**——技能本体在外部同步库里的内容一个字都不会动',
+        where: '技能详情的「删除技能」',
+      },
+      {
+        text: '**补齐「扁平技能的文件本身是链接」这种形态**：技能可以是 `<名字>.md` 单文件（而不是目录），这个文件同样可能是指向外部库的链接；上一版只修好了「目录是链接」，这一种仍会定位不到。现在四种形态（目录／单文件 × 普通／链接）都能正确定位，位置、调用权限、启停、删除、读正文全部可用',
+        where: '技能列表与详情',
+      },
+    ],
+  },
 ]

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-toolbox-ui",
-  "version": "1.6.4",
+  "version": "1.6.5",
   "description": "Responsive MCP management UI and skills manager for DeepSeek Harness Web — floating panel, JSON import, profile-backed Host Remote management, and a skill market with a hard license gate.",
   "repository": {
     "type": "git",
@@ -56,6 +56,7 @@
     "@deepseek-ai/dsh-mcp-client": "^0.2.0-rc.2",
     "@deepseek-ai/dsh-scope": "^0.2.0-rc.2",
     "@deepseek-ai/dsh-skill": "^0.2.0-rc.2",
+    "@deepseek-ai/dsh-skill-filesystem": "0.2.0-rc.2",
     "@deepseek-ai/dsh-tools": "^0.2.0-rc.2",
     "@deepseek-ai/dsh-typert-loader": "^0.2.0-rc.2",
     "@deepseek-ai/dsh-typert-protocol": "^0.2.0-rc.2"