dsh-workbuddy2api-hub 1.0.7 → 1.0.11

package/CHANGELOG.md

@@ -2,6 +2,47 @@
 
 本项目遵循 [Keep a Changelog](https://keepachangelog.com/zh-CN/1.1.0/) 与语义化版本。
 
+## [1.0.11] - 2026-10-24
+
+装插件不再顺带拉一份用不上的 `@deepseek-ai/cordis`。
+
+- `@deepseek-ai/cordis` 那条 peerDependency 标成 optional：插件一行 `@deepseek-ai/*` 都没 import
+  （`apply(ctx)` 用的是宿主传进来的 ctx），留着它只会让 `npm i dsh-workbuddy2api-hub` 多装一份副本
+  ——cordis 本来由 DSH 自己提供。现在装完 `node_modules` 里只有插件本身。
+
+## [1.0.10] - 2026-10-24
+
+发版一条命令同时落到 npm 与 GitHub Release，npm 包里只留运行时代码。
+
+- `npm run release <x.y.z>` 现在会自己发 npm：先查登录态与版本号是否已被占用，再 `npm publish`，
+  最后才提交、打标签、推送（npm 失败就停，不会留「GitHub 有标签、npm 没版本」的半成品）。
+  `--no-publish` 只发 GitHub，`--dry-run` 只跑到测试。
+- npm 包从 15 个文件瘦到 8 个（约 60 kB）：只含 `lib/`、`client/`、`cordis.patch.yml` 与
+  README / CHANGELOG / LICENSE。`scripts/`、`tests/`、`docs/`、`.github/` 只在仓库里。
+- **修掉一个会改坏用户 profile 的坑**：`package.json` 里原来有个 `"install": "node scripts/install-local.mjs"`
+  ——`install` 是 npm 的生命周期钩子，任何人 `npm i dsh-workbuddy2api-hub` 都会自动执行它，
+  把「装包的那个人」的 profile 依赖改指向包自己所在的目录。已改名 `npm run link` / `npm run link:dry` /
+  `npm run unlink`，生命周期钩子不再存在。
+- README 里 `docs/MAINTAINER.md` 的链接改用 GitHub 绝对地址（npm 包页里相对链接点不开）。
+
+## [1.0.9] - 2026-10-24
+
+模型选择器里能直接看到每个模型的倍率了。
+
+- 写进 `llm-pi-ai` 的模型名改成「展示名 + 倍率」：付费模型形如 `GLM-5.1 ×0.79`，
+  网关标 `x0.00`（或字面量 `free`）的免费模型形如 `Hy3 Free`；`id` 不变，路由与计费不受影响。
+- 没声明倍率的模型不加后缀，不谎报免费。
+- 设置页模型表的「倍率」列同样显示 `Free`，原先免费模型显示的是 `—`。
+
+## [1.0.8] - 2026-10-24
+
+插件在列表里显示「异常」「包不可用」的那个坑：`scripts/install-local.mjs` 把自己**所在**的
+目录写进 DSH profile 的 `package.json`，从临时目录（如 `tmp/verify/...`）的运行副本执行时，
+profile 就被指到了一个随时会被清掉的路径——清掉之后插件立刻加载失败。
+
+- `scripts/install-local.mjs` 拒绝从 `node_modules/` 或 `tmp/` 下的副本执行，并提示必须从仓库根目录运行。
+- README 排错段补了这一症状的定位与修复：查 profile 依赖指向 + `node_modules` 链接，重跑安装脚本后重启。
+
 ## [1.0.7] - 2026-10-24
 
 首个发布到 npm 的版本：`npm i dsh-workbuddy2api-hub`，不用 clone 也不用构建。

package/README.md

@@ -14,7 +14,7 @@ DSH 设置页 / 侧边栏  ←  /workbuddy2api-hub/api/*  ──┘        └
 ## 功能
 
 - **连接面板**：服务地址、面板密码、默认页签、轮询间隔；「测试连接」「立即同步」「打开看板」「清空同步」。
-- **模型同步**：把 `/v1/models` 写进 `llm-pi-ai` 的 `providers.workbuddy2api-hub`，每个模型带上 `contextWindow` / `maxTokens` / 图片输入 / 思考档位；按模型名称排序（不区分大小写、数字按数值），设置页表格与写进 DSH 的顺序一致。
+- **模型同步**：把 `/v1/models` 写进 `llm-pi-ai` 的 `providers.workbuddy2api-hub`，每个模型带上 `contextWindow` / `maxTokens` / 图片输入 / 思考档位；按模型名称排序（不区分大小写、数字按数值），设置页表格与写进 DSH 的顺序一致。模型名后面直接带网关的倍率（`GLM-5.1 ×0.79`），免费模型标 `Free`——倍率写不进名字，选择器里就看不见。
 - **增量与容错**：模型下架先进宽限期（默认 24 小时，可一键立即移除），回来能复活；内容没变就不写配置，避免每次轮询都触发一次配置更新；配置冲突自动重取 revision 重试。
 - **余额与用量**：`/v1/balance-summary` 的 credit 余额，`/usage?range=today` 的请求数 / 失败数 / tokens / credit / API 等价花费 / 缓存命中。
 - **侧边栏徽标**：展开态三行——`● WorkBuddy … 3715.39` / `今日 72.3M · 61.41 · ¥10.39` / `本周 260.7M · 465.43 · ¥31.17`；窗口名贴左、三个数字贴右，依次是 tokens / 积分消耗 / API 等价花费。悬停能看完整数字和连接地址，点一下直接打开 hub 看板。
@@ -164,6 +164,15 @@ dsh plugin --profile desktop add github:HimA6652/dsh-workbuddy2api-hub
 
 **设置页没有这一块**：插件没加载。看 DSH 启动日志里有没有 `workbuddy-hub`；确认装完之后重启过；确认 `~/.dsh/profiles/<profile>/node_modules/dsh-workbuddy2api-hub` 这个链接存在。
 
+**插件列表里显示「异常」「包不可用」**：那个链接指着的地方没了。最常见的原因是 profile 的依赖被写成了一个临时目录（例如 `.../tmp/...`），临时目录一清就断。看一眼：
+
+```bash
+node -e "const p=require(process.env.HOME+'/.dsh/profiles/desktop/package.json');console.log(p.dependencies['dsh-workbuddy2api-hub'])"
+ls -l ~/.dsh/profiles/desktop/node_modules/dsh-workbuddy2api-hub
+```
+
+依赖应当指向仓库或已发布包的目录；指到 `tmp/` 之类的路径就重跑一次 `node scripts/install-local.mjs`（**必须从仓库根目录跑**，脚本会拒绝从 `node_modules/` 或 `tmp/` 下的副本执行），然后重启 DSH。
+
 **面板显示「连不上 hub」**：先在浏览器打开 `http://127.0.0.1:8788`。打不开就是服务没起——本插件只负责连，不负责启动。
 
 **「还没有可用的 hub API Key」**：hub 的 `/settings` 里没有启用的 Key，或者你关了 `autoApiKey`。去 hub 的「设置 → API Key」建一个，或在插件设置页填进去。
@@ -174,8 +183,12 @@ dsh plugin --profile desktop add github:HimA6652/dsh-workbuddy2api-hub
 
 ## 开发
 
+下面这些命令要 clone 仓库才能用——npm 包里只有运行时代码（`lib/`、`client/`、`cordis.patch.yml`），`scripts/`、`tests/`、`docs/` 只在仓库里。
+
 ```bash
-npm test                                # 87 个测试，跑在假宿主 + 假 hub 上，不需要起 DSH
+git clone https://github.com/HimA6652/dsh-workbuddy2api-hub.git
+cd dsh-workbuddy2api-hub
+npm test                                # 88 个测试，跑在假宿主 + 假 hub 上，不需要起 DSH
 node scripts/mock-hub.mjs --port 8789   # 起一个假 hub，用来手工点界面
 node scripts/smoke-live.mjs --json      # 对真实 hub 做只读联调
 npm run check                           # 确认没有把凭据/本机路径写进仓库
@@ -190,7 +203,7 @@ npm run check                           # 确认没有把凭据/本机路径写
 
 改 UI 时注意：颜色一律用 DSH 注册的主题令牌 `--dsw-alias-*`（`label-primary`、`label-secondary`、`bg-layer-1/2`、`border-l1/l2`、`brand-primary`、`state-*`），不要写死色值——否则深色主题能看、浅色主题就成了「浅灰字压白底」。在哪能看到当前有哪些令牌：DSH 里打开开发者工具，看 `:root` 上的 CSS 变量。`tests/client.test.mjs` 里有两条测试盯着这件事。
 
-改代码需要的细节（调试出口、主题令牌清单、假 hub 复刻的鉴权语义、刷新退避规则、发版流程、市场收录模板）都在 [docs/MAINTAINER.md](docs/MAINTAINER.md) —— README 这里只留使用者需要知道的部分。
+改代码需要的细节（调试出口、主题令牌清单、假 hub 复刻的鉴权语义、刷新退避规则、发版流程、市场收录模板）都在 [docs/MAINTAINER.md](https://github.com/HimA6652/dsh-workbuddy2api-hub/blob/main/docs/MAINTAINER.md) —— README 这里只留使用者需要知道的部分。那份文档只在仓库里，不随 npm 包发出去。
 
 ### 与上游的关系
 

package/lib/hub.js

@@ -227,23 +227,65 @@ export function rateText(rate) {
 
 /**
  * 解析模型单价（hub 用「倍率」计费，`credits: "x0.29"` 表示 ×0.29）。
+ *
+ * 和 {@link modelRate} 的区别：这里 **0 也算有效值**。hub 对免费模型给的是
+ * `credits: "x0.00"`，要把它和「压根没声明倍率」区分开，否则选择器里
+ * 免费模型只能显示空后缀。
  * @param model - hub 的模型条目。
- * @returns 正数倍率，解析不到返回 null。
+ * @returns 非负倍率；没声明或解析不到返回 null。
  */
-export function modelRate(model) {
+export function modelRateValue(model) {
   if (model === null || typeof model !== 'object') return null
   const candidates = [model.credits, model.credit_rate, model.rate, model.price, model.price_rate]
   for (const raw of candidates) {
-    if (typeof raw === 'number' && Number.isFinite(raw) && raw > 0) return raw
+    if (typeof raw === 'number' && Number.isFinite(raw) && raw >= 0) return raw
     if (typeof raw !== 'string') continue
-    const match = /(\d+(?:\.\d+)?)/.exec(raw)
+    const text = raw.trim()
+    if (/^(free|免费|零|none)$/i.test(text)) return 0
+    const match = /(\d+(?:\.\d+)?)/.exec(text)
     if (match === null) continue
     const value = Number(match[1])
-    if (Number.isFinite(value) && value > 0) return value
+    if (Number.isFinite(value) && value >= 0) return value
   }
   return null
 }
 
+/**
+ * 解析模型单价（hub 用「倍率」计费，`credits: "x0.29"` 表示 ×0.29）。
+ * @param model - hub 的模型条目。
+ * @returns 正数倍率，解析不到（含 0）返回 null。
+ */
+export function modelRate(model) {
+  const value = modelRateValue(model)
+  return value !== null && value > 0 ? value : null
+}
+
+/**
+ * 模型名后面的倍率后缀。
+ * @param model - hub 的模型条目。
+ * @returns 付费模型 `×0.29`，免费模型 `Free`，没声明倍率返回空串。
+ */
+export function modelRateSuffix(model) {
+  const value = modelRateValue(model)
+  if (value === null) return ''
+  if (value <= 0) return 'Free'
+  return rateText(value)
+}
+
+/**
+ * 模型在选择器里显示的名字：展示名 + 倍率后缀。
+ *
+ * 选择器只显示 `name` 字段，倍率不落到名字里就永远看不见，所以这里拼进去；
+ * `id` 保持原样，路由与计费都靠它。
+ * @param model - hub 的模型条目。
+ * @returns 形如 `GLM-5.1 ×0.79` / `Hy3 Free`。
+ */
+export function modelLabel(model) {
+  const base = modelDisplayName(model)
+  const suffix = modelRateSuffix(model)
+  return suffix === '' ? base : `${base} ${suffix}`
+}
+
 /**
  * 模型的展示名。
  * @param model - hub 的模型条目。
@@ -328,7 +370,7 @@ export function toModelProfile(model, options = {}) {
   if (model === null || typeof model !== 'object') return undefined
   const id = typeof model.id === 'string' ? model.id.trim() : ''
   if (id === '') return undefined
-  const profile = { id, name: modelDisplayName(model) }
+  const profile = { id, name: modelLabel(model) }
   const context = Number(model.context_length ?? model.max_input_tokens)
   if (Number.isFinite(context) && context > 0) profile.contextWindow = Math.round(context)
   const maxTokens = Number(model.max_output_tokens ?? model.max_completion_tokens)
@@ -422,7 +464,7 @@ export function toModelRow(model, selection) {
     description: typeof model?.description === 'string' ? model.description : '',
     vendor: typeof model?.vendor === 'string' ? model.vendor : '',
     rate,
-    rateText: rateText(rate),
+    rateText: modelRateSuffix(model),
     contextWindow: Number(model?.context_length ?? model?.max_input_tokens) || 0,
     maxTokens: Number(model?.max_output_tokens ?? model?.max_completion_tokens) || 0,
     vision: supportsImages(model),

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-workbuddy2api-hub",
-  "version": "1.0.7",
+  "version": "1.0.11",
   "description": "workbuddy2api-hub 集成：接入本地 hub 面板，同步模型（配额/上下文/思考档位）、实时额度与用量，支持服务地址与 pwd 配置",
   "type": "module",
   "main": "lib/index.js",
@@ -29,9 +29,9 @@
     "check": "node scripts/check-secrets.mjs",
     "mock": "node scripts/mock-hub.mjs",
     "smoke": "node scripts/smoke-live.mjs",
-    "install": "node scripts/install-local.mjs",
-    "install:dry": "node scripts/install-local.mjs --dry-run",
-    "uninstall": "node scripts/install-local.mjs --uninstall",
+    "link": "node scripts/install-local.mjs",
+    "link:dry": "node scripts/install-local.mjs --dry-run",
+    "unlink": "node scripts/install-local.mjs --uninstall",
     "release": "node scripts/release.mjs",
     "notes": "node scripts/release-notes.mjs",
     "prepublishOnly": "node scripts/check-secrets.mjs && npm test"
@@ -57,8 +57,6 @@
   "files": [
     "lib",
     "client",
-    "scripts",
-    "docs",
     "cordis.patch.yml",
     "README.md",
     "LICENSE",
@@ -87,9 +85,15 @@
     },
     "@deepseek-ai/dsh-settings": {
       "optional": true
+    },
+    "@deepseek-ai/cordis": {
+      "optional": true
     }
   },
   "engines": {
     "node": ">=20"
+  },
+  "dependencies": {
+    "dsh-workbuddy2api-hub": "^1.0.10"
   }
 }

package/docs/MAINTAINER.md

@@ -1,116 +0,0 @@
-# 维护者笔记
-
-README 面向使用者（装、配、排错）。这里放**改代码时才会用到**的东西：调试入口、主题令牌、假 hub 的语义、刷新退避的实现细节、发版流程、市场收录步骤。
-
-本机相关的路径、端口、备份清单不写在这里 —— 那些在仓库外的 `NOTES.local.md`（已被 `.gitignore` 忽略）。
-
-## client/client.js 的调试出口
-
-bundle 末尾挂了一串 `exports.__*`，只为测试和手工排查用，宿主不依赖它们：
-
-| 出口 | 用途 |
-| --- | --- |
-| `__store` | 模块内的发布订阅 store：`get()` / `subscribe(fn)` / `start()` / `reload()` / `set(snapshot)` / `fail(message)` |
-| `__apiPath(path)` | 拼出插件接口的真实路径（会带上 `document.baseURI` 的部署前缀） |
-| `__requestJson` | HTTP 封装：超时、304 复用、非 JSON 容错 |
-| `__dicts` | `{ zh, en }` 两套字典，测「两种语言键集合一致」 |
-| `__palette` / `__styles` | 主题令牌与样式对象，测「不许写死颜色」 |
-| `__HubPanel` / `__HubFooter` | 两个 React 组件本体，可直接调用拿元素树 |
-| `__sortRowsByName` / `__footerSummary` | 表格排序与徽标取值（含 `—` 兜底） |
-
-测试里用 `node:vm` 把 `client.js` 丢进 `runInNewContext`，沙箱只需补 `URL` / `URLSearchParams` / `document` / `fetch` / 定时器 / `AbortSignal`。假 React 的 `createElement` 返回 `{ type, props, children }`，所以 `__HubFooter({ t, wide: true })` 能直接断言行结构和文案，不用起浏览器。
-
-注意：断言 children 数量前先过滤 `null` —— `h('div', p, a, b, cond ? c : null)` 在假 React 里会产生 `null` 项。
-
-## 配色：只能用 `--dsw-alias-*`
-
-DSH 注册的主题令牌都在 `--dsw-alias-*` 前缀下（旧版本教程里常见的 `--dsh-*` 在本机 0.2.1-rc.2 上并不存在）。`var()` 取不到变量时会静默退到兜底值，于是「深色主题写好的浅灰兜底」在浅色主题下就成了浅灰字压白底——踩过一次。
-
-| 用途 | 令牌 |
-| --- | --- |
-| 正文 / 标题 | `--dsw-alias-label-primary` |
-| 次要文字、表头、提示 | `--dsw-alias-label-secondary` |
-| 更淡的占位文字 | `--dsw-alias-state-idle-primary` |
-| 卡片边框、表格线 | `--dsw-alias-border-l1` / `--dsw-alias-border-l2` |
-| 卡片 / 输入框 / 按钮底色 | `--dsw-alias-bg-layer-1` / `--dsw-alias-bg-layer-2` |
-| 主色 | `--dsw-alias-brand-primary` |
-| 成功 / 警告 / 错误 | `--dsw-alias-state-success-primary` / `-warn-` / `-error-primary` |
-
-想看某个 DSH 版本实际注册了哪些令牌（DSH 内置的只读 inspect 工具）：
-
-```bash
-cordis_inspect_query platform=client provider=Theme method=listTokens
-```
-
-`tests/client.test.mjs` 有两条测试盯着这件事：palette 的每个值必须是 `var(--dsw-alias-*, 兜底)`，且剥掉兜底后样式里不许出现写死的 `rgba(255,255,255…)` / `rgba(0,0,0…)` 底色。
-
-同理，两个插槽的注册情况也可以直接查：
-
-```bash
-cordis_inspect_query platform=client provider=Slots method=listSubTree
-```
-
-## 假 hub 复刻了哪些真实语义
-
-`scripts/mock-hub.mjs` 不是随便返回 JSON，它复刻的是真实 hub 的鉴权行为——这些正是最容易写错的地方：
-
-- 面板 Token（`X-Panel-Token`）能读所有管理接口，**但不能当 Bearer 用**：`Authorization: Bearer <panel token>` 一律 401。所以「拿 pwd 当 API Key」这条路走不通，`/v1` 必须有真 API Key。
-- 60 秒内 5 次登录失败返回 429，带建议等待秒数。
-- `/health` 恒返回 `api_key_required: true`（真实 hub 该字段表达的是「`/v1` 需要 Key」，与配了几把无关）。
-- `/usage` 只认 `range` / `since` / `until`，`hours` 被静默忽略（我们曾照着直觉发 `?hours=24`，实际拿到的是全量历史）。
-- `/settings/reveal?id=` 是唯一能拿到明文 Key 的接口，缺 `id` 就 404。
-- 控制端点 `/mock/state`、`/mock/reset`、`/mock/models/remove`、`/mock/models/add`、`/mock/credits`、`/mock/keys`，用来在测试里模拟「模型下架」「额度见底」；flags：`--port --password --fail-auth --no-api-key --empty --no-panel-auth --slow --quiet`。
-
-## 刷新与退避
-
-- 宿主每 `intervalSeconds`（默认 120，允许 30–3600）打一轮：`/health` → `/panel/status` →（需要则 `/panel/login`）→ `/v1/models` → `/v1/balance-summary` → `/usage?range=today` → `/usage?range=week` → `/accounts`。
-- 连续失败退避（`lib/hub.js` 的 `pollIntervalMs`）：`基础值 × 2^失败次数`，最多翻 5 次、上限 1800 秒；刚启动 60 秒内的失败按 ≤15 秒快试；429 时把 hub 建议的等待当作下限。
-- 用递归 `setTimeout` 而不是 `setInterval`：改间隔立刻生效，且上一轮没跑完不会叠请求。定时器都 `.unref()`，不拖住进程退出。
-- 前端每 15 秒读一次插件 `/state`（`ETag` + `If-None-Match`，304 就复用上一份），标签页在后台（`document.hidden`）时跳过。
-- 徽标是「缓存视图」：最旧数据 = `intervalSeconds` + 15 秒。要秒级实时就点开面板，它自己 5 秒刷一次。
-
-## 发版
-
-```bash
-# 1. 先把这一版改了什么写进 CHANGELOG.md 的 `## [1.1.0]` 一节
-# 2. 一条命令走完
-npm run release 1.1.0
-```
-
-`scripts/release.mjs` 依次做：校验版本格式 → 确认 CHANGELOG 有该节 → 工作区必须干净 → 必须在 `main` → 标签不能重名 → 改 `package.json` 与 `tests/host.test.mjs` 的 `PLUGIN_VERSION` 断言 → 跑 `check-secrets` → 预演 Release 正文 → `npm test` → 提交 `chore(release): vX` → `tag -a` → 推 main 与标签。
-
-`--dry-run` 只跑到测试为止；`--no-push` 提交并打标签但不推。
-
-**标签一推，Release 自己出现**（`.github/workflows/release.yml`）：Actions 先跑测试，再用 `gh release create` 建 Release，正文来自 `scripts/release-notes.mjs`（CHANGELOG 那一节 + 自动追加的安装段）。用的是 Actions 自带的 `GITHUB_TOKEN`，不需要配任何 secret。只想要正文：
-
-```bash
-node scripts/release-notes.mjs v1.1.0 > notes.md
-```
-
-## 插件市场收录
-
-dsh-market 的「发现插件」读的是人工策展目录 [awesome-dsh-plugin](https://github.com/awesome-dsh-plugin/awesome-dsh-plugin)（`https://awesome-dsh-plugin.com/plugins.json`）。**发布到 GitHub ≠ 能在市场里搜到**，中间隔一次 PR 收录。
-
-门槛（据其 `contributing.md`）：
-
-- `package.json` 声明 `dsh.bundle`，仓库根有 `cordis.patch.yml`（本仓库都有）；
-- 仓库里是真实可用的代码，不是占位；
-- **仓库创建满 1 天**（CI 自动检查）；
-- 仓库加 GitHub topic `dsh-plugin`；
-- 单开一个 PR，只加**一个文件** `data/plugins/<owner>__<repo>.yml`：
-
-```yaml
-url: https://github.com/HimA6652/dsh-workbuddy2api-hub
-name: HimA6652/dsh-workbuddy2api-hub
-category: model
-description:
-  en: Registers a local workbuddy2api-hub gateway as an OpenAI-compatible provider in DSH, and shows credit balance plus today/week token, credit and API-equivalent cost in the sidebar.
-  zh: 把本地 workbuddy2api-hub 网关注册成 DSH 的 OpenAI 兼容 provider，并在侧边栏显示积分余额与今日/本周的 tokens、积分消耗与 API 等价花费。
-```
-
-可选加分项：发布到 npm（预构建安装，免「构建授权」提示），或把预构建 tarball 挂到 Release 并用 `tarball:` 字段指过去。
-
-## 改代码时的两个坑
-
-- **宿主侧 `lib/*.js` 改完必须重启 DSH**：`cordis-plugin-loader` 用裸 `await import(pkg)`，没有 cache-busting，ESM 缓存会一直给旧模块。
-- **`client/client.js` 可以热更**：`dsh-client-hmr` 会重新发布 bundle，但浏览器拿的是带 `rev` 的组合 URL（`plugins/??<pkg>/client.js&rev=<12位hash>`），`rev` 由文件 mtime/ctime/size 算出；不带 `rev` 或乱填一律 404。

package/scripts/check-secrets.mjs

@@ -1,86 +0,0 @@
-#!/usr/bin/env node
-// 发布前自查：扫描项目里有没有凭据泄漏迹象。
-// 用法：node scripts/check-secrets.mjs
-//
-// 只扫源码/配置/文档（.mjs/.js/.json/.yml/.md），跳过 .git、node_modules、tmp、coverage。
-// 命中任何一条就以退出码 1 结束，方便挂到 pre-commit 钩子或 CI 上。
-import { readdir, readFile } from 'node:fs/promises';
-import { dirname, join, relative } from 'node:path';
-import { fileURLToPath } from 'node:url';
-
-const ROOT = dirname(dirname(fileURLToPath(import.meta.url)));
-const SKIP_DIRS = new Set(['.git', 'node_modules', 'tmp', 'coverage', 'docs']);
-const SCAN_EXT = /\.(mjs|js|cjs|json|ya?ml|md)$/;
-
-// 任意一行出现这条标记就整行豁免（写清楚理由，别滥用）。
-const ALLOW_MARK = 'secret-ok';
-
-// 明显的占位/测试值：命中也不算泄漏。
-const PLACEHOLDER = /^(?:admin|wrong|bad|mock|fake|dummy|test|sample|example|your|placeholder|changeme|secret|password)/i;
-
-const RULES = [
-  { name: '私钥', re: /-----BEGIN [A-Z ]*PRIVATE KEY-----/ },
-  { name: 'GitHub Token', re: /gh[pousr]_[A-Za-z0-9]{20,}/ },
-  { name: 'OpenAI 风格 Key', re: /\bsk-[A-Za-z0-9_-]{20,}/ },
-  { name: 'AWS Key', re: /\bAKIA[0-9A-Z]{12,}/ },
-  { name: 'Slack Token', re: /\bxox[bpoa]r?-[A-Za-z0-9-]{10,}/ },
-  { name: '本机绝对路径', re: /[A-Za-z]:\\\\(?:Users|ProgramData)\\\\/ },
-  { name: 'Unix 家目录路径', re: /\/(?:Users|home)\/[A-Za-z0-9._-]+\// },
-  {
-    name: '硬编码密码赋值',
-    re: /(?:password|passwd|pwd)\s*[:=]\s*['"]([^'"]{8,})['"]/i,
-    // 值是中文界面文案（如 pwd: '面板密码（pwd）'）或以占位词开头 → 不算泄漏
-    skip: (value) =>
-      // 值是中文界面文案、含空格/括号（如 pwd: 'Panel password (pwd)'）、或以占位词开头 → 不算泄漏
-      /[\u3400-\u9fff]/.test(value) || /[\s()]/.test(value) || PLACEHOLDER.test(value),
-  },
-];
-
-/** 逐行扫描单个文件。 */
-async function scanFile(file) {
-  const text = await readFile(file, 'utf8');
-  const hits = [];
-  text.split('\n').forEach((line, index) => {
-    if (line.includes(ALLOW_MARK)) return;
-    for (const rule of RULES) {
-      const match = line.match(rule.re);
-      if (!match) continue;
-      if (rule.skip && rule.skip(match[1] ?? '', match)) continue;
-      hits.push({
-        file: relative(ROOT, file).split('\\').join('/'),
-        line: index + 1,
-        rule: rule.name,
-        text: line.trim().slice(0, 120),
-      });
-    }
-  });
-  return hits;
-}
-
-/** 递归收集需要扫描的文件。 */
-async function collect(dir, out = []) {
-  for (const entry of await readdir(dir, { withFileTypes: true })) {
-    if (entry.isDirectory()) {
-      if (!SKIP_DIRS.has(entry.name)) await collect(join(dir, entry.name), out);
-      continue;
-    }
-    if (SCAN_EXT.test(entry.name)) out.push(join(dir, entry.name));
-  }
-  return out;
-}
-
-const files = await collect(ROOT);
-const results = await Promise.all(files.map(scanFile));
-const hits = results.flat();
-
-if (hits.length === 0) {
-  console.log(`OK：扫描 ${files.length} 个文件，未发现疑似凭据。`);
-} else {
-  console.log(`发现 ${hits.length} 处疑似凭据：\n`);
-  for (const hit of hits) {
-    console.log(`${hit.file}:${hit.line}  [${hit.rule}]`);
-    console.log(`    ${hit.text}`);
-  }
-  console.log('\n确认是假数据就在本文件上方 RULES 里豁免，或改成占位符；确认是真凭据则先作废再改代码。');
-  process.exitCode = 1;
-}

package/scripts/install-local.mjs

@@ -1,182 +0,0 @@
-#!/usr/bin/env node
-/**
- * 把本仓库挂进本地 DSH profile（桌面端默认 profile：`~/.dsh/profiles/desktop`）。
- *
- * 做的事情只有三件，全部可逆（`--uninstall` 原样退回去）：
- *   1. 在 profile 的 `package.json` 里加一条 `file:` 依赖与一条 bundle 声明；
- *   2. 在 profile 的 `node_modules/` 下建一个指向本仓库的链接；
- *   3. 打印下一步（重启 DSH 才会加载）。
- *
- * 不动 `cordis.patch.yml`：插件的挂载点由本包的 `cordis.patch.yml` 自己 insert。
- *
- * 用法：
- *   node scripts/install-local.mjs                # 安装
- *   node scripts/install-local.mjs --dry-run      # 只看会改什么
- *   node scripts/install-local.mjs --uninstall    # 卸载
- *   node scripts/install-local.mjs --profile D:\path\to\profile
- */
-
-import { existsSync } from 'node:fs'
-import { readFile, rm, symlink, writeFile, mkdir } from 'node:fs/promises'
-import { homedir } from 'node:os'
-import { dirname, join, resolve } from 'node:path'
-import { fileURLToPath } from 'node:url'
-
-const HERE = dirname(fileURLToPath(import.meta.url))
-const PROJECT = resolve(HERE, '..')
-
-/**
- * 解析命令行参数。
- * @param argv - `process.argv.slice(2)`。
- * @returns 选项对象。
- */
-function parseArgs(argv) {
-  const options = { uninstall: false, dryRun: false, profile: '' }
-  for (let index = 0; index < argv.length; index += 1) {
-    const arg = argv[index]
-    if (arg === '--uninstall') options.uninstall = true
-    else if (arg === '--dry-run') options.dryRun = true
-    else if (arg === '--profile') {
-      options.profile = argv[index + 1] ?? ''
-      index += 1
-    } else if (arg === '--help' || arg === '-h') options.help = true
-  }
-  return options
-}
-
-/**
- * 找到要装的 profile 目录。
- * @param explicit - `--profile` 传入的值。
- * @returns 绝对路径。
- */
-function profileDirOf(explicit) {
-  if (typeof explicit === 'string' && explicit !== '') return resolve(explicit)
-  const name = process.env.DSH_PROFILE !== undefined && process.env.DSH_PROFILE !== '' ? process.env.DSH_PROFILE : 'desktop'
-  return join(homedir(), '.dsh', 'profiles', name)
-}
-
-/**
- * 读 profile 的 package.json。
- * @param file - 路径。
- * @returns 解析后的对象。
- */
-async function readProfile(file) {
-  const text = await readFile(file, 'utf8')
-  const parsed = JSON.parse(text)
-  if (parsed === null || typeof parsed !== 'object' || Array.isArray(parsed)) {
-    throw new Error(`${file} 不是一个 JSON 对象，先手动看一眼`)
-  }
-  return parsed
-}
-
-/** 打印一行「会做什么」。 */
-function plan(action, detail) {
-  console.log(`  ${action.padEnd(8, ' ')} ${detail}`)
-}
-
-/** 主流程。 */
-async function main() {
-  const options = parseArgs(process.argv.slice(2))
-  if (options.help) {
-    console.log('用法：node scripts/install-local.mjs [--dry-run] [--uninstall] [--profile <dir>]')
-    return 0
-  }
-
-  const manifest = JSON.parse(await readFile(join(PROJECT, 'package.json'), 'utf8'))
-  const packageName = manifest.name
-  const profileDir = profileDirOf(options.profile)
-  const packageFile = join(profileDir, 'package.json')
-  const linkPath = join(profileDir, 'node_modules', packageName)
-  const stateFile = join(profileDir, 'workbuddy2api-hub.json')
-
-  if (!existsSync(packageFile)) {
-    console.error(`找不到 profile：${packageFile}`)
-    console.error('DSH 桌面端默认在 ~/.dsh/profiles/desktop；用 --profile 指定其它 profile。')
-    return 2
-  }
-
-  const profile = await readProfile(packageFile)
-  profile.dependencies = profile.dependencies ?? {}
-  profile.dsh = profile.dsh ?? {}
-  profile.dsh.profile = profile.dsh.profile ?? {}
-  const bundles = Array.isArray(profile.dsh.profile.bundles) ? profile.dsh.profile.bundles : []
-
-  console.log(options.uninstall ? '卸载 dsh-workbuddy2api-hub' : '安装 dsh-workbuddy2api-hub')
-  console.log(`  profile  ${profileDir}`)
-  console.log(`  插件     ${PROJECT}`)
-
-  const changes = []
-  if (options.uninstall) {
-    if (packageName in profile.dependencies) {
-      delete profile.dependencies[packageName]
-      changes.push(['删除依赖', packageName])
-    }
-    const nextBundles = bundles.filter((entry) => entry !== packageName)
-    if (nextBundles.length !== bundles.length) {
-      profile.dsh.profile.bundles = nextBundles
-      changes.push(['移除 bundle', packageName])
-    }
-    if (existsSync(linkPath)) changes.push(['删除链接', linkPath])
-    if (existsSync(stateFile)) changes.push(['保留状态', `${stateFile}（要一起删就手动 rm）`])
-  } else {
-    const spec = `file:${PROJECT.replaceAll('\\', '/')}`
-    if (profile.dependencies[packageName] !== spec) {
-      profile.dependencies[packageName] = spec
-      changes.push(['写入依赖', `${packageName} → ${spec}`])
-    }
-    if (!bundles.includes(packageName)) {
-      profile.dsh.profile.bundles = [...bundles, packageName]
-      changes.push(['追加 bundle', packageName])
-    }
-    changes.push(['建立链接', `${linkPath} → ${PROJECT}`])
-  }
-
-  if (changes.length === 0) console.log('  已经是目标状态，无需改动。')
-  for (const [action, detail] of changes) plan(action, detail)
-
-  if (options.dryRun) {
-    console.log('--dry-run：没有写入任何文件。')
-    return 0
-  }
-
-  // 先备份，再改 package.json：profile 起不来是最坏结果，得像改生产配置那样小心。
-  if (changes.length > 0) {
-    const stamp = new Date().toISOString().replace(/[-:]/g, '').replace(/\..+$/, '')
-    const backup = `${packageFile}.bak-workbuddy2api-hub-${stamp}`
-    await writeFile(backup, await readFile(packageFile))
-    console.log(`  备份     ${backup}`)
-    await writeFile(packageFile, `${JSON.stringify(profile, null, 2)}\n`)
-  }
-
-  if (options.uninstall) {
-    await rm(linkPath, { recursive: true, force: true })
-  } else {
-    await mkdir(dirname(linkPath), { recursive: true })
-    await rm(linkPath, { recursive: true, force: true })
-    // Windows 上没有管理员权限建目录符号链接会失败，junction 不需要额外权限。
-    await symlink(PROJECT, linkPath, process.platform === 'win32' ? 'junction' : 'dir')
-  }
-
-  console.log('')
-  if (options.uninstall) {
-    console.log('已卸载。重启 DSH 之后设置页里的这一块就没了。')
-  } else {
-    console.log('装好了。接下来：')
-    console.log('  1. 重启 DSH 桌面端（插件只在启动时加载）')
-    console.log('  2. 打开 设置 → workbuddy2api-hub，确认地址是 http://127.0.0.1:8788、密码是 admin')
-    console.log('  3. 点「测试连接」，再点「立即同步」')
-    console.log('  4. 模型会出现在 设置 → 模型 里，provider 名为 workbuddy2api-hub')
-    console.log('')
-    console.log('前置条件：本地 workbuddy2api-hub 服务已经跑起来（默认 http://127.0.0.1:8788）。')
-  }
-  return 0
-}
-
-main()
-  .then((code) => {
-    process.exitCode = code
-  })
-  .catch((error) => {
-    console.error(`安装脚本出错：${error?.message ?? error}`)
-    process.exitCode = 1
-  })