dsh-xueqiu 1.22.6 → 1.22.8

package/README.en.md

@@ -135,6 +135,7 @@ The data layer is defended in depth — safe to leave open for hours:
 
 ## Changelog
 
+- **1.22.7** (2026-08-26) — **Fix: minute chart flattened into a straight line after switching stocks** (e.g. viewing CATL after Maotai). `registerIndicator('xq-minute')` registers globally exactly once, and its calc closure captured the *first* mount instance's `baseRef` — so the second stock's minute chart reused the stale calc, keeping the previous stock's prev-close as baseline (CATL got Maotai's 1304.66; the y-axis stretched to 404~1229 while prices sat in 378~388, flattening the line). Fix: rebind a fresh calc bound to the current instance's baseRef via `overrideIndicator` on every mount. Verified with three back-to-back switches (Maotai 1304.66 → CATL 387.89 → BOE 5.75): prev-close always correct, price spans healthy at 130~180px.
 - **1.22.6** (2026-08-26) — **Fix: duplicate hover info on the minute tab** (found while auditing 1.22.5). For the minute area chart open=high=low=close are identical, so the canvas OHLC legend was pure redundancy, and the xq-minute indicator legend (prev-close/avg) duplicated the custom .xq-tip. Minute mode now disables canvas legends entirely (candle + indicator); hover keeps only .xq-tip. Also: **K-line hover now shows MA values** (catching up on a gap since 1.22.0 where MA numbers were visible nowhere) — indicator legend set to `follow_cross`: on hover a second colored line below the candle row shows MA5/10/30/60 values (measured on Maotai: single line, 70% width, no wrap), matching Xueqiu.
 - **1.22.5** (2026-08-26) — **Fix: hover OHLC legend wrapped to two lines over the candles** (leftover from 1.22.3). After `follow_cross`, the default English time/open/high/low/close/volume titles were too long for the narrow panel and the legend folded onto two lines covering candles on hover. Now a compact single-line Chinese legend (`开 高 低 收 量`, size 10) with the ticker title hidden — measured on hover: one 10px line at 45% width, no wrapping.
 - **1.22.4** (2026-08-26) — **Fix: switching to the minute tab crashed the whole panel** (1.22.3 regression). The double-click-to-latest cleanup used `boxRef.current.removeEventListener`, but React clears refs before running effect cleanup on unmount, so `boxRef.current` was null → TypeError → the `conversation.input.dock` slot crashed entirely, leaving only the mini badge with no way back in. Now the node is captured in a closure inside the effect. Regression-tested: K-line↔minute 4 toggle rounds + collapse/badge-reopen/re-enter detail, 0 errors.

package/README.md

@@ -190,6 +190,8 @@ dsh-xueqiu/
 
 ## 📋 更新日志
 
+- **1.22.7**（2026-08-26）
+  - 修复：**切换股票后分时图压成直线**（如看完茅台再看宁德时代）。`registerIndicator('xq-minute')` 全局只注册一次，其 calc 闭包捕获的是**首次挂载实例**的 `baseRef`——第二只股票的分时图复用了旧 calc，昨收基准仍是前一只股票的（宁德挂上茅台昨收 1304.66，y 轴被撑到 404~1229，而分时价格只在 378~388，曲线压成直线）。修复：每次挂载分时图用 `overrideIndicator` 重绑当前实例 baseRef 的新 calc。实测三股连环切换（茅台 1304.66 → 宁德 387.89 → 京东方 5.75），昨收均正确、价格波动 span 130~180px 饱满。
 - **1.22.6**（2026-08-26）
   - 修复：**分时悬停信息双份叠加**（1.22.5 排查发现）。分时面积图"开=高=低=收"同值，canvas OHLC 图例纯冗余，且 xq-minute 指标图例（昨收/均价）与自定义 .xq-tip 重复显示两遍。分时模式现在彻底关闭 canvas 图例（蜡烛+指标），悬停只保留 .xq-tip。
   - 新增：**K线悬停显示 MA 数值**（1.22.0 以来 MA 值无处可看的补课）。指标图例改 `follow_cross`：悬停时蜡烛行（开高低收量）下方第二行彩色显示 MA5/10/30/60 数值（实测茅台 MA 行单行占宽 70%，不折行），与雪球一致。

package/dynamic/client.js

@@ -407,6 +407,8 @@ return {
     function klcSetup(K, boxRef, kind) {
       const chart = K.init(boxRef.current, { styles: klcStyles(kind, klcPalette()) })
       if (!chart) return null
+      // 卸载清理时 boxRef.current 已被 React 置 null，dispose 须用闭包捕获的节点
+      const box = boxRef.current
       let ro = null
       try {
         ro = new ResizeObserver(function () { chart.resize() })
@@ -422,7 +424,8 @@ return {
         dispose: function () {
           if (ro) ro.disconnect()
           if (mo) mo.disconnect()
-          try { K.dispose(boxRef.current) } catch (e) { /* 忽略 */ }
+          // 卸载清理时 boxRef.current 已被 React 置 null（与 dblclick 监听同类坑），须闭包捕获节点
+          try { K.dispose(box) } catch (e) { /* 忽略 */ }
         }
       }
     }
@@ -527,11 +530,19 @@ return {
       const [hi, setHi] = React.useState(null)
       const baseRef = React.useRef({ lastClose: lastClose })
       baseRef.current = { lastClose: lastClose }
+      // 分时数据是详情页渐进渲染晚到的一块（quote+kline 先上屏、minute 随后 merge）：
+      // effect 依赖 [] 曾导致空 items 挂载后数据到达永不刷新（空白图）。改为「空数据不挂图表，
+      // 数据到达（hasData 变 true）时重建」，彻底消除竞态窗口。
+      const hasData = items.length > 0
 
       React.useEffect(function () {
         const K = klcLib()
         if (!K || !boxRef.current) { setNoLib(true); return undefined }
+        if (!hasData) return undefined   // 数据未到：不建图表（等 hasData 变 true 重建）
         // 自定义指标：昨收虚线 + 均价线（series normal → 单独附图，避免干扰价格轴刻度）
+        // 注意：registerIndicator 全局只注册一次，calc 闭包捕获的是首次挂载实例的 baseRef——
+        // 切换股票后旧 calc 仍读旧实例的昨收（宁德分时曾因此挂上茅台昨收 1304，y 轴被撑爆成直线）。
+        // 因此每次挂载都 overrideIndicator 换成绑定当前 baseRef 的新 calc。
         if (K.getSupportedIndicators().indexOf('xq-minute') < 0) {
           K.registerIndicator({
             name: 'xq-minute', shortName: '分时', series: 'normal',
@@ -577,6 +588,13 @@ return {
         // 涨跌色改面积线色（palette up 色对A股即"涨"）
         chart.setStyles({ candle: { type: 'area', area: { lineColor: up ? klcPalette().up : klcPalette().down, backgroundColor: up ? 'rgba(239,68,68,0.10)' : 'rgba(34,197,94,0.10)' } } })
         chart.createIndicator({ name: 'xq-minute', paneId: 'candle_pane' })   // 均价/昨收叠加到主图分时曲线（与雪球一致）
+        // 绑定当前实例 baseRef 的 calc（防跨股票串昨收，见上方注释）
+        chart.overrideIndicator({ name: 'xq-minute', calc: function (dataList) {
+          const base = baseRef.current.lastClose
+          return dataList.map(function (d) {
+            return { avg: Number(d.avg_price != null ? d.avg_price : d.close), base: base }
+          })
+        } })
         // 分时固定视角：禁缩放拖拽，全部笔数铺满宽度
         chart.setZoomEnabled(false)
         chart.setScrollEnabled(false)
@@ -598,9 +616,10 @@ return {
           try { chart.unsubscribeAction('onCrosshairChange') } catch (e) { /* 忽略 */ }
           h.dispose()
         }
-      }, [])
+      }, [hasData, props.symbol])
 
       if (noLib) return klcNoLib()
+      if (!hasData) return el('div', { className: 'xq-chart-wrap', style: { display: 'flex', alignItems: 'center', justifyContent: 'center', color: 'var(--dsw-alias-label-secondary)', fontSize: 12 } }, '分时数据加载中…')
       // 十字光标 tooltip（沿用 .xq-tip 卡片）
       let tip = null
       if (hi && hi.r) {
@@ -639,6 +658,12 @@ return {
       const [indices, setIndices] = React.useState([])
       const [hot, setHot] = React.useState([])
       const [hotMarket, setHotMarket] = React.useState('cn')
+      // 竞态防护：热榜/搜索的响应序号（旧响应到达时序号已过期则丢弃，防慢请求覆盖新结果）
+      const hotSeq = React.useRef(0)
+      const searchSeq = React.useRef(0)
+      // 轮询闭包读当前市场（interval 闭包不随状态更新，直接捕获 state 会拿到 stale 值）
+      const hotMarketRef = React.useRef(hotMarket)
+      hotMarketRef.current = hotMarket
       const [news, setNews] = React.useState([])
       const [newsMore, setNewsMore] = React.useState(false)   // 翻页加载中
       const [newsNoMore, setNewsNoMore] = React.useState(false) // 已到最旧
@@ -694,10 +719,13 @@ return {
       }
 
       function refreshContent() {
+        const my = ++hotSeq.current
+        const market = hotMarketRef.current   // 读当前市场（轮询闭包防 stale）
         Promise.all([
-          call('hot', { market: hotMarket, size: 10 }),
+          call('hot', { market: market, size: 10 }),
           call('news', { count: 20 })
         ]).then(function (res) {
+          if (hotSeq.current !== my) return   // 期间用户切了市场/触发过手动刷新：丢弃旧响应
           setHot((res[0] && res[0].list) || [])
           setNews((res[1] && res[1].items) || [])
           setNewsMore(false)
@@ -834,15 +862,18 @@ return {
         const q = searchQ.trim()
         if (!q) return
         setSearching(true)
+        const my = ++searchSeq.current
         const p = searchMode === 'stock'
           ? call('search', { q: q, count: 8 })
           : call('searchPosts', { q: q, count: 10 })
         p.then(function (data) {
+          if (searchSeq.current !== my) return   // 快速连搜：只认最后一次
           setSearchRes((data && data.list) || [])
         }).catch(function (e) {
+          if (searchSeq.current !== my) return
           setErr(String((e && e.message) || e))
           setSearchRes([])
-        }).then(function () { setSearching(false) })
+        }).then(function () { if (searchSeq.current === my) setSearching(false) })
       }
 
       function addManual() {
@@ -1125,9 +1156,14 @@ return {
               key: m[0], className: hotMarket === m[0] ? 'xq-seg-on' : '',
               onClick: function () {
                 setHotMarket(m[0])
+                const my = ++hotSeq.current
                 call('hot', { market: m[0], size: 10 }).then(function (data) {
+                  if (hotSeq.current !== my) return   // 快速连点：只认最后一次
                   setHot((data && data.list) || [])
-                }).catch(function (e) { setErr(String((e && e.message) || e)) })
+                }).catch(function (e) {
+                  if (hotSeq.current !== my) return
+                  setErr(String((e && e.message) || e))
+                })
               }
             }, m[1])
           })),
@@ -1196,6 +1232,13 @@ return {
         news.forEach(function (it) {
           const d = new Date(it.created_at)
           const now = new Date()
+          if (isNaN(d.getTime())) {   // 脏/缺失时间：跳过分组头（否则渲染 "NaN月NaN日"）
+            kids.push(el('div', { key: String(it.id), className: 'xq-news-item' + (it.mark === 1 ? ' xq-important' : '') }, [
+              el('div', { key: 't' }, it.text),
+              el('div', { key: 'm', className: 'xq-news-time' }, fmtTime(it.created_at) + (it.mark === 1 ? ' · 重要' : ''))
+            ]))
+            return
+          }
           const sameDay = function (a, b) { return a.getFullYear() === b.getFullYear() && a.getMonth() === b.getMonth() && a.getDate() === b.getDate() }
           const yest = new Date(now.getFullYear(), now.getMonth(), now.getDate() - 1)
           let label = null
@@ -1549,7 +1592,7 @@ return {
           onDoubleClick: onGripDblClick
         }, '⤡')
       ])
-      return el('div', { style: { contents: 'display' } }, [badgeEl])
+      return el('div', { style: { display: 'contents' } }, [badgeEl])
     }
 
     // ---------- 底部指数条（会话页，输入框下方氛围行） ----------

package/dynamic/host.js

@@ -185,8 +185,8 @@ return {
       const spec = shell.resolve({ command: cmd, timeoutMs: 15000, stdoutMaxBytes: 4194304 })
       const result = await shell.run(spec)
       if (result.exitCode !== 0) {
-        const err = ((result.stderr && result.stderr.text) || '').slice(0, 200)
-        throw new Error('curl 失败 (' + result.exitCode + '): ' + err)
+        // 不回显 stderr：bash 语法错误会把完整命令行（含内部拼接细节）透给调用方
+        throw new Error('curl 失败 (' + result.exitCode + ')')
       }
       return String(result.stdout.text || '')
     }
@@ -529,7 +529,14 @@ return {
       syncInflight = true
       try {
         const cloud = await fetchCloudWatchlist()
-        if (!cloud.symbols.length) return false   // 空结果不镜像（接口异常/账号无自选都不该清空本地）
+        if (!cloud.symbols.length) {
+          // 空结果不镜像（接口异常/账号无自选都不该清空本地），但必须推进 lastSyncAt——
+          // 否则 cookie 半失效时节流永不生效，每次 watchlist.get 都重复打上游 2 个请求
+          wl.lastSyncAt = Date.now()
+          watchlist = wl
+          await saveWatchlist()
+          return false
+        }
         const cur = wl.symbols
         const changed = cur.length !== cloud.symbols.length || cloud.symbols.some(function (s, i) { return cur[i] !== s })
         if (changed) {
@@ -554,7 +561,7 @@ return {
       if (wl.symbols.indexOf(symbol) === -1) {
         wl.symbols.push(symbol)
         await saveWatchlist()
-        cloudWatchAdd(symbol)   // 尽力而为：云端添加失败不影响本地
+        cloudWatchAdd(symbol).catch(function () { /* 尽力而为：失败由下次同步纠正 */ })   // 云端添加失败不影响本地
       }
       return { symbols: wl.symbols }
     }
@@ -566,7 +573,7 @@ return {
       if (i !== -1) {
         wl.symbols.splice(i, 1)
         await saveWatchlist()
-        cloudWatchDelete(symbol)   // 尽力而为：云端删除失败不影响本地
+        cloudWatchDelete(symbol).catch(function () { /* 尽力而为：失败由下次同步纠正 */ })   // 云端删除失败不影响本地
       }
       return { symbols: wl.symbols }
     }
@@ -808,8 +815,9 @@ return {
     async function actUiGet() {
       const s = await loadUiState()
       const hNum = Number(s.dockH)
+      const validTabs = ['market', 'hot', 'search', 'news']
       return {
-        tab: s.tab || 'market', open: s.open !== false,
+        tab: (typeof s.tab === 'string' && validTabs.indexOf(s.tab) >= 0) ? s.tab : 'market',   // 损坏状态文件的非法 tab 一律回退（防类型穿透） open: s.open !== false,
         dockH: (s.dockH !== undefined && isFinite(hNum) && hNum >= 160 && hNum <= 1200) ? hNum : null,
         badgeW: (s.badgeW !== undefined && isFinite(Number(s.badgeW)) && Number(s.badgeW) >= 120 && Number(s.badgeW) <= 480) ? Number(s.badgeW) : null,
         badgePos: (s.badgePos && isFinite(Number(s.badgePos.x)) && isFinite(Number(s.badgePos.y)))
@@ -884,13 +892,14 @@ return {
           kind: 'prefix',
           path: '/xq-rpc',
           handler: async function (req, res) {
-            // 同源栅栏：Host 头必须是回环，带 Origin 时必须同源（防 DNS rebinding/CSRF）
+            // 同源栅栏：Host 头必须是回环，Origin 必须存在且同源（防 DNS rebinding/CSRF/无 Origin 的跨进程直调）
             const hostHeader = String(req.headers.host || '')
             const origin = req.headers.origin ? String(req.headers.origin) : ''
             const hostAuth = hostHeader.replace(/:\d+$/, '')
             const loopback = hostAuth === '127.0.0.1' || hostAuth === 'localhost' || hostAuth === '[::1]' || hostAuth === '::1'
             if (!loopback) { res.writeHead(403); res.end('forbidden'); return }
-            if (origin && origin !== 'http://' + hostHeader && origin !== 'https://' + hostHeader) {
+            // 浏览器对（哪怕同源的）POST fetch 必带 Origin；无 Origin 一律拒绝（curl/本机进程裸调）
+            if (!origin || (origin !== 'http://' + hostHeader && origin !== 'https://' + hostHeader)) {
               res.writeHead(403); res.end('forbidden'); return
             }
             const chunks = []
@@ -1089,11 +1098,17 @@ return {
     // 注册：动态环境走 harness 门面（defineTool 会做标记+校验）；
     // 静态 bundle 层没有 harness，参数已是 JSON Schema 根，直接注册 plain 对象
     // （tools 服务在静态路径无 defineTool 守卫），用 inject 等服务就绪。
+    // 统一包装 execute：args 为 null/undefined 时兜底 {}（工具层直解引用会抛 TypeError）
+    function wrapToolSpec(spec) {
+      const raw = spec.execute
+      if (!raw) return spec
+      return Object.assign({}, spec, { execute: function (args) { return raw.call(this, args || {}) } })
+    }
     if (typeof harness !== 'undefined') {
       for (let i = 0; i < XQ_AGENT_TOOLS.length; i++) {
         const spec = XQ_AGENT_TOOLS[i]
         ctx.effect(function () {
-          return harness.registerTool(ctx, harness.defineTool(spec))
+          return harness.registerTool(ctx, harness.defineTool(wrapToolSpec(spec)))
         })
       }
     } else {
@@ -1101,7 +1116,7 @@ return {
         for (let i = 0; i < XQ_AGENT_TOOLS.length; i++) {
           const spec = XQ_AGENT_TOOLS[i]
           toolsCtx.effect(function () {
-            return toolsCtx.tools.register(spec)
+            return toolsCtx.tools.register(wrapToolSpec(spec))
           })
         }
       })

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-xueqiu",
-  "version": "1.22.6",
+  "version": "1.22.8",
   "description": "雪球 mini 行情面板 — DeepSeek Harness 免登录 A股/港美股实时行情、K线(蜡烛/成交量/均线)、分时图、热榜、搜索、7x24 快讯、热议用户。嵌入式面板 + 可拖拽行情徽标，内置请求节流、TTL 缓存与 Cookie 自动续期。",
   "keywords": [
     "dsh",
@@ -52,7 +52,9 @@
   ],
   "scripts": {
     "generate": "python3 scripts/gen-static.py",
-    "check": "python3 scripts/gen-static.py --check && node --check src/index.js && node --check src/client/index.js && node -e \"new Function(require('fs').readFileSync('dynamic/host.js','utf8'))\" && node -e \"new Function(require('fs').readFileSync('dynamic/client.js','utf8'))\" && bash scripts/static-smoke.sh",
-    "prepublishOnly": "npm run check"
+    "check:fast": "python3 scripts/gen-static.py --check && node --check src/index.js && node --check src/client/index.js && node -e \"new Function(require('fs').readFileSync('dynamic/host.js','utf8'))\" && node -e \"new Function(require('fs').readFileSync('dynamic/client.js','utf8'))\"",
+    "check": "npm run check:fast && bash scripts/static-smoke.sh",
+    "smoke": "bash scripts/static-smoke.sh",
+    "prepublishOnly": "npm run check:fast"
   }
 }

package/src/client/index.js

@@ -438,6 +438,8 @@ exports.default = {
     function klcSetup(K, boxRef, kind) {
       const chart = K.init(boxRef.current, { styles: klcStyles(kind, klcPalette()) })
       if (!chart) return null
+      // 卸载清理时 boxRef.current 已被 React 置 null，dispose 须用闭包捕获的节点
+      const box = boxRef.current
       let ro = null
       try {
         ro = new ResizeObserver(function () { chart.resize() })
@@ -453,7 +455,8 @@ exports.default = {
         dispose: function () {
           if (ro) ro.disconnect()
           if (mo) mo.disconnect()
-          try { K.dispose(boxRef.current) } catch (e) { /* 忽略 */ }
+          // 卸载清理时 boxRef.current 已被 React 置 null（与 dblclick 监听同类坑），须闭包捕获节点
+          try { K.dispose(box) } catch (e) { /* 忽略 */ }
         }
       }
     }
@@ -558,11 +561,19 @@ exports.default = {
       const [hi, setHi] = React.useState(null)
       const baseRef = React.useRef({ lastClose: lastClose })
       baseRef.current = { lastClose: lastClose }
+      // 分时数据是详情页渐进渲染晚到的一块（quote+kline 先上屏、minute 随后 merge）：
+      // effect 依赖 [] 曾导致空 items 挂载后数据到达永不刷新（空白图）。改为「空数据不挂图表，
+      // 数据到达（hasData 变 true）时重建」，彻底消除竞态窗口。
+      const hasData = items.length > 0
 
       React.useEffect(function () {
         const K = klcLib()
         if (!K || !boxRef.current) { setNoLib(true); return undefined }
+        if (!hasData) return undefined   // 数据未到：不建图表（等 hasData 变 true 重建）
         // 自定义指标：昨收虚线 + 均价线（series normal → 单独附图，避免干扰价格轴刻度）
+        // 注意：registerIndicator 全局只注册一次，calc 闭包捕获的是首次挂载实例的 baseRef——
+        // 切换股票后旧 calc 仍读旧实例的昨收（宁德分时曾因此挂上茅台昨收 1304，y 轴被撑爆成直线）。
+        // 因此每次挂载都 overrideIndicator 换成绑定当前 baseRef 的新 calc。
         if (K.getSupportedIndicators().indexOf('xq-minute') < 0) {
           K.registerIndicator({
             name: 'xq-minute', shortName: '分时', series: 'normal',
@@ -608,6 +619,13 @@ exports.default = {
         // 涨跌色改面积线色（palette up 色对A股即"涨"）
         chart.setStyles({ candle: { type: 'area', area: { lineColor: up ? klcPalette().up : klcPalette().down, backgroundColor: up ? 'rgba(239,68,68,0.10)' : 'rgba(34,197,94,0.10)' } } })
         chart.createIndicator({ name: 'xq-minute', paneId: 'candle_pane' })   // 均价/昨收叠加到主图分时曲线（与雪球一致）
+        // 绑定当前实例 baseRef 的 calc（防跨股票串昨收，见上方注释）
+        chart.overrideIndicator({ name: 'xq-minute', calc: function (dataList) {
+          const base = baseRef.current.lastClose
+          return dataList.map(function (d) {
+            return { avg: Number(d.avg_price != null ? d.avg_price : d.close), base: base }
+          })
+        } })
         // 分时固定视角：禁缩放拖拽，全部笔数铺满宽度
         chart.setZoomEnabled(false)
         chart.setScrollEnabled(false)
@@ -629,9 +647,10 @@ exports.default = {
           try { chart.unsubscribeAction('onCrosshairChange') } catch (e) { /* 忽略 */ }
           h.dispose()
         }
-      }, [])
+      }, [hasData, props.symbol])
 
       if (noLib) return klcNoLib()
+      if (!hasData) return el('div', { className: 'xq-chart-wrap', style: { display: 'flex', alignItems: 'center', justifyContent: 'center', color: 'var(--dsw-alias-label-secondary)', fontSize: 12 } }, '分时数据加载中…')
       // 十字光标 tooltip（沿用 .xq-tip 卡片）
       let tip = null
       if (hi && hi.r) {
@@ -670,6 +689,12 @@ exports.default = {
       const [indices, setIndices] = React.useState([])
       const [hot, setHot] = React.useState([])
       const [hotMarket, setHotMarket] = React.useState('cn')
+      // 竞态防护：热榜/搜索的响应序号（旧响应到达时序号已过期则丢弃，防慢请求覆盖新结果）
+      const hotSeq = React.useRef(0)
+      const searchSeq = React.useRef(0)
+      // 轮询闭包读当前市场（interval 闭包不随状态更新，直接捕获 state 会拿到 stale 值）
+      const hotMarketRef = React.useRef(hotMarket)
+      hotMarketRef.current = hotMarket
       const [news, setNews] = React.useState([])
       const [newsMore, setNewsMore] = React.useState(false)   // 翻页加载中
       const [newsNoMore, setNewsNoMore] = React.useState(false) // 已到最旧
@@ -725,10 +750,13 @@ exports.default = {
       }
 
       function refreshContent() {
+        const my = ++hotSeq.current
+        const market = hotMarketRef.current   // 读当前市场（轮询闭包防 stale）
         Promise.all([
-          call('hot', { market: hotMarket, size: 10 }),
+          call('hot', { market: market, size: 10 }),
           call('news', { count: 20 })
         ]).then(function (res) {
+          if (hotSeq.current !== my) return   // 期间用户切了市场/触发过手动刷新：丢弃旧响应
           setHot((res[0] && res[0].list) || [])
           setNews((res[1] && res[1].items) || [])
           setNewsMore(false)
@@ -865,15 +893,18 @@ exports.default = {
         const q = searchQ.trim()
         if (!q) return
         setSearching(true)
+        const my = ++searchSeq.current
         const p = searchMode === 'stock'
           ? call('search', { q: q, count: 8 })
           : call('searchPosts', { q: q, count: 10 })
         p.then(function (data) {
+          if (searchSeq.current !== my) return   // 快速连搜：只认最后一次
           setSearchRes((data && data.list) || [])
         }).catch(function (e) {
+          if (searchSeq.current !== my) return
           setErr(String((e && e.message) || e))
           setSearchRes([])
-        }).then(function () { setSearching(false) })
+        }).then(function () { if (searchSeq.current === my) setSearching(false) })
       }
 
       function addManual() {
@@ -1156,9 +1187,14 @@ exports.default = {
               key: m[0], className: hotMarket === m[0] ? 'xq-seg-on' : '',
               onClick: function () {
                 setHotMarket(m[0])
+                const my = ++hotSeq.current
                 call('hot', { market: m[0], size: 10 }).then(function (data) {
+                  if (hotSeq.current !== my) return   // 快速连点：只认最后一次
                   setHot((data && data.list) || [])
-                }).catch(function (e) { setErr(String((e && e.message) || e)) })
+                }).catch(function (e) {
+                  if (hotSeq.current !== my) return
+                  setErr(String((e && e.message) || e))
+                })
               }
             }, m[1])
           })),
@@ -1227,6 +1263,13 @@ exports.default = {
         news.forEach(function (it) {
           const d = new Date(it.created_at)
           const now = new Date()
+          if (isNaN(d.getTime())) {   // 脏/缺失时间：跳过分组头（否则渲染 "NaN月NaN日"）
+            kids.push(el('div', { key: String(it.id), className: 'xq-news-item' + (it.mark === 1 ? ' xq-important' : '') }, [
+              el('div', { key: 't' }, it.text),
+              el('div', { key: 'm', className: 'xq-news-time' }, fmtTime(it.created_at) + (it.mark === 1 ? ' · 重要' : ''))
+            ]))
+            return
+          }
           const sameDay = function (a, b) { return a.getFullYear() === b.getFullYear() && a.getMonth() === b.getMonth() && a.getDate() === b.getDate() }
           const yest = new Date(now.getFullYear(), now.getMonth(), now.getDate() - 1)
           let label = null
@@ -1580,7 +1623,7 @@ exports.default = {
           onDoubleClick: onGripDblClick
         }, '⤡')
       ])
-      return el('div', { style: { contents: 'display' } }, [badgeEl])
+      return el('div', { style: { display: 'contents' } }, [badgeEl])
     }
 
     // ---------- 底部指数条（会话页，输入框下方氛围行） ----------

package/src/index.js

@@ -185,8 +185,8 @@ export default {
       const spec = shell.resolve({ command: cmd, timeoutMs: 15000, stdoutMaxBytes: 4194304 })
       const result = await shell.run(spec)
       if (result.exitCode !== 0) {
-        const err = ((result.stderr && result.stderr.text) || '').slice(0, 200)
-        throw new Error('curl 失败 (' + result.exitCode + '): ' + err)
+        // 不回显 stderr：bash 语法错误会把完整命令行（含内部拼接细节）透给调用方
+        throw new Error('curl 失败 (' + result.exitCode + ')')
       }
       return String(result.stdout.text || '')
     }
@@ -529,7 +529,14 @@ export default {
       syncInflight = true
       try {
         const cloud = await fetchCloudWatchlist()
-        if (!cloud.symbols.length) return false   // 空结果不镜像（接口异常/账号无自选都不该清空本地）
+        if (!cloud.symbols.length) {
+          // 空结果不镜像（接口异常/账号无自选都不该清空本地），但必须推进 lastSyncAt——
+          // 否则 cookie 半失效时节流永不生效，每次 watchlist.get 都重复打上游 2 个请求
+          wl.lastSyncAt = Date.now()
+          watchlist = wl
+          await saveWatchlist()
+          return false
+        }
         const cur = wl.symbols
         const changed = cur.length !== cloud.symbols.length || cloud.symbols.some(function (s, i) { return cur[i] !== s })
         if (changed) {
@@ -554,7 +561,7 @@ export default {
       if (wl.symbols.indexOf(symbol) === -1) {
         wl.symbols.push(symbol)
         await saveWatchlist()
-        cloudWatchAdd(symbol)   // 尽力而为：云端添加失败不影响本地
+        cloudWatchAdd(symbol).catch(function () { /* 尽力而为：失败由下次同步纠正 */ })   // 云端添加失败不影响本地
       }
       return { symbols: wl.symbols }
     }
@@ -566,7 +573,7 @@ export default {
       if (i !== -1) {
         wl.symbols.splice(i, 1)
         await saveWatchlist()
-        cloudWatchDelete(symbol)   // 尽力而为：云端删除失败不影响本地
+        cloudWatchDelete(symbol).catch(function () { /* 尽力而为：失败由下次同步纠正 */ })   // 云端删除失败不影响本地
       }
       return { symbols: wl.symbols }
     }
@@ -808,8 +815,9 @@ export default {
     async function actUiGet() {
       const s = await loadUiState()
       const hNum = Number(s.dockH)
+      const validTabs = ['market', 'hot', 'search', 'news']
       return {
-        tab: s.tab || 'market', open: s.open !== false,
+        tab: (typeof s.tab === 'string' && validTabs.indexOf(s.tab) >= 0) ? s.tab : 'market',   // 损坏状态文件的非法 tab 一律回退（防类型穿透） open: s.open !== false,
         dockH: (s.dockH !== undefined && isFinite(hNum) && hNum >= 160 && hNum <= 1200) ? hNum : null,
         badgeW: (s.badgeW !== undefined && isFinite(Number(s.badgeW)) && Number(s.badgeW) >= 120 && Number(s.badgeW) <= 480) ? Number(s.badgeW) : null,
         badgePos: (s.badgePos && isFinite(Number(s.badgePos.x)) && isFinite(Number(s.badgePos.y)))
@@ -884,13 +892,14 @@ export default {
           kind: 'prefix',
           path: '/xq-rpc',
           handler: async function (req, res) {
-            // 同源栅栏：Host 头必须是回环，带 Origin 时必须同源（防 DNS rebinding/CSRF）
+            // 同源栅栏：Host 头必须是回环，Origin 必须存在且同源（防 DNS rebinding/CSRF/无 Origin 的跨进程直调）
             const hostHeader = String(req.headers.host || '')
             const origin = req.headers.origin ? String(req.headers.origin) : ''
             const hostAuth = hostHeader.replace(/:\d+$/, '')
             const loopback = hostAuth === '127.0.0.1' || hostAuth === 'localhost' || hostAuth === '[::1]' || hostAuth === '::1'
             if (!loopback) { res.writeHead(403); res.end('forbidden'); return }
-            if (origin && origin !== 'http://' + hostHeader && origin !== 'https://' + hostHeader) {
+            // 浏览器对（哪怕同源的）POST fetch 必带 Origin；无 Origin 一律拒绝（curl/本机进程裸调）
+            if (!origin || (origin !== 'http://' + hostHeader && origin !== 'https://' + hostHeader)) {
               res.writeHead(403); res.end('forbidden'); return
             }
             const chunks = []
@@ -1089,11 +1098,17 @@ export default {
     // 注册：动态环境走 harness 门面（defineTool 会做标记+校验）；
     // 静态 bundle 层没有 harness，参数已是 JSON Schema 根，直接注册 plain 对象
     // （tools 服务在静态路径无 defineTool 守卫），用 inject 等服务就绪。
+    // 统一包装 execute：args 为 null/undefined 时兜底 {}（工具层直解引用会抛 TypeError）
+    function wrapToolSpec(spec) {
+      const raw = spec.execute
+      if (!raw) return spec
+      return Object.assign({}, spec, { execute: function (args) { return raw.call(this, args || {}) } })
+    }
     if (typeof harness !== 'undefined') {
       for (let i = 0; i < XQ_AGENT_TOOLS.length; i++) {
         const spec = XQ_AGENT_TOOLS[i]
         ctx.effect(function () {
-          return harness.registerTool(ctx, harness.defineTool(spec))
+          return harness.registerTool(ctx, harness.defineTool(wrapToolSpec(spec)))
         })
       }
     } else {
@@ -1101,7 +1116,7 @@ export default {
         for (let i = 0; i < XQ_AGENT_TOOLS.length; i++) {
           const spec = XQ_AGENT_TOOLS[i]
           toolsCtx.effect(function () {
-            return toolsCtx.tools.register(spec)
+            return toolsCtx.tools.register(wrapToolSpec(spec))
           })
         }
       })