dsh_check_updates 0.1.0 → 0.2.0

package/README.md

@@ -13,7 +13,7 @@
 
 ## ✨ 功能一览
 
-- **🔍 版本检查**：对照 npm registry dist-tags，检查 DeepSeek Harness 本体（`@deepseek-ai/dsh`）与 profile 已装插件（如 `@dsh-external/dsh-vision-toolkit`）的当前版本与最新版本
+- **🔍 版本检查**：对照 npm registry dist-tags，检查 DeepSeek Harness 本体（`@deepseek-ai/dsh`）与 profile 已装插件（如 `@anionex/dsh-vision-toolkit`）的当前版本与最新版本
 - **🤖 模型工具** `dsh_check_updates`：agent 可在任意会话主动查询版本状态（支持传入额外包名）
 - **🖥️ Settings 页面**：侧栏新增「更新检查」页——版本表格（包名/当前/最新/状态）、上次检查时间、「立即检查」按钮
 - **⏰ 周期复查**：间隔可调（30 秒 / 1 分钟 / 30 分钟 / 1 小时 / 12 小时 / 24 小时 / 关闭），默认 1 小时；启动 30 秒后自动首查
@@ -41,3 +41,27 @@ dsh plugin --profile web add <本仓库 / npm 包名>
 ## 📄 许可
 
 [MIT](./LICENSE)
+
+## 📝 更新日志
+
+### v0.2.0
+
+**缺陷修复**
+
+- **版本比较**：修正预发布版本（`-rc.1`）的比较逻辑——此前把整个版本串按 `.` 切分后逐段解析数字，`0.1.5-rc.1` 与 `0.1.2-rc.1` 会被判为相等，导致 DSH 本体长期误报「已是最新」
+- **GitHub tag 解析**：修正带前缀的 release tag（如 `dsh-v0.1.5-rc.1`）的解析——此前只剥离 `v` 前缀，前缀残段被当作版本首段解析成 0，`upstream-new` 状态永不触发
+- **自身跳过**：修正自动发现逻辑漏掉自身 npm 包名（`dsh_check_updates`）的问题，此前自身会出现在检查结果里
+- **界面误报**：修复 Settings 页在端点返回错误时仍显示成功的问题
+
+**健壮性与安全**
+
+- 新增 npm 包名格式校验，杜绝经由工具参数 `packages` 的路径穿越与 URL 注入
+- 并发刷新去重：定时器 / HTTP 端点 / 模型工具同时触发时复用同一在途检查，避免请求翻倍与结果错乱
+- 多包检查改为并行发出，耗时不再随插件数量线性增长
+- `intervalMinutes` 走白名单校验，非法值回落到默认 60 分钟
+- 请求体超过 64 KB 时不再销毁连接，浏览器能正常收到 400 响应
+- 解析 npm 全局根改为异步执行，不再阻塞宿主事件循环
+
+**测试**
+
+- 新增 17 个行为测试（host 13 + client 4），覆盖版本比较、输入校验、并发去重、HTTP 端点与插件卸载清理

package/README_EN.md

@@ -13,7 +13,7 @@
 
 ## ✨ Features
 
-- **🔍 Version check**: compares installed versions against npm registry dist-tags for the DSH core (`@deepseek-ai/dsh`) and profile plugins (e.g. `@dsh-external/dsh-vision-toolkit`)
+- **🔍 Version check**: compares installed versions against npm registry dist-tags for the DSH core (`@deepseek-ai/dsh`) and profile plugins (e.g. `@anionex/dsh-vision-toolkit`)
 - **🤖 Model tool** `dsh_check_updates`: agents can query version status in any session (optional extra package names)
 - **🖥️ Settings page**: a new "Update Check" section with a version table (name / current / latest / status), last-checked time, and a "Check now" button
 - **⏰ Periodic re-check**: configurable interval (30s / 1m / 30m / 1h / 12h / 24h / off), default 1 hour; first check runs 30s after startup
@@ -40,3 +40,27 @@ Tag your own plugins with <a href="https://github.com/topics/dsh-update-check"><
 ## 📄 License
 
 [MIT](./LICENSE)
+
+## 📝 Changelog
+
+### v0.2.0
+
+**Bug fixes**
+
+- **Version comparison**: fixed prerelease (`-rc.1`) handling — the whole version string used to be split on `.` and parsed numerically, so `0.1.5-rc.1` and `0.1.2-rc.1` compared equal and DSH was perpetually reported as up to date
+- **GitHub tag parsing**: fixed prefixed release tags such as `dsh-v0.1.5-rc.1` — previously only the `v` prefix was stripped, so the leftover prefix parsed as segment 0 and the `upstream-new` state could never trigger
+- **Self-skip**: auto-discovery now matches the npm package name (`dsh_check_updates`) as well as the directory name, so the plugin no longer lists itself
+- **UI false positive**: the Settings page no longer reports success when the endpoint returns an error
+
+**Robustness & security**
+
+- Added npm package-name validation, closing path traversal and URL injection through the `packages` tool argument
+- Concurrent refresh is deduplicated: timer, HTTP endpoint and model tool share a single in-flight check
+- Multi-package checks now run in parallel instead of sequentially
+- `intervalMinutes` is validated against the whitelist and falls back to 60 minutes
+- Oversized request bodies no longer destroy the socket, so the browser receives a proper 400
+- Resolving the npm global root is now asynchronous and no longer blocks the host event loop
+
+**Tests**
+
+- Added 17 behavioural tests (13 host + 4 client) covering version comparison, input validation, concurrency deduplication, HTTP endpoints and plugin teardown

package/lib/client.js

@@ -194,7 +194,7 @@ function UpdateCheckSection() {
         : cell(entry && entry.latest);
       return react_1.createElement(
         'tr',
-        { key: 'row-' + idx },
+        { key: 'row-' + (entry && entry.name ? entry.name : idx) },
         react_1.createElement('td', null, cell(entry && entry.name)),
         react_1.createElement('td', { className: 'upck-muted' }, cell(entry && entry.current)),
         react_1.createElement('td', null, latestText),
@@ -244,12 +244,14 @@ function apply(ctx) {
   styleEl.textContent = CSS;
   document.head.appendChild(styleEl);
 
-  slots.inject('settings.section', () => slots.register(
+  const offSlot = slots.inject('settings.section', () => slots.register(
     { name: 'settings.section', id: 'dsh-update-check', order: 35, label: () => '更新检查' },
     () => react_1.createElement(UpdateCheckSection, null)
   ));
 
   ctx.effect(() => () => {
+    // slots.inject 返回 disposer，必须调用——否则插件卸载 / 热重载后设置页会残留条目
+    if (typeof offSlot === 'function') offSlot();
     if (styleEl.parentNode) styleEl.parentNode.removeChild(styleEl);
   }, NS + ':css');
 }

package/lib/index.js

@@ -10,28 +10,56 @@ import { defineTool } from '@deepseek-ai/dsh-tools';
 import { readFileSync } from 'node:fs';
 import { homedir } from 'node:os';
 import { join } from 'node:path';
-import { execSync } from 'node:child_process';
+import { exec } from 'node:child_process';
+import { promisify } from 'node:util';
+
+const execAsync = promisify(exec);
 
 export const name = 'dsh-update-check';
 export const inject = ['timer', 'tools'];
 
 const ALLOWED_MINUTES = [0.5, 1, 30, 60, 720, 1440, 0];
+const DEFAULT_INTERVAL_MINUTES = 60;
 const REGISTRY = 'https://registry.npmjs.org/';
 const GITHUB_CACHE_TTL_MS = 60 * 60 * 1000;
 
+/**
+ * 合法 npm 包名（含 scope）。用于过滤模型可控的 packages 参数：该参数会拼进
+ * 文件路径与 registry URL，不加校验时可被 `../../..` 之类穿越出 node_modules。
+ */
+const NPM_NAME_RE = /^(?:@[a-z0-9][a-z0-9-._]*\/)?[a-z0-9][a-z0-9-._]*$/i;
+
+function isSafePackageName(name) {
+  return typeof name === 'string' && name.length > 0 && name.length <= 214 && NPM_NAME_RE.test(name);
+}
+
+/** 间隔归一化：不在白名单内一律回落到默认值。 */
+function normalizeInterval(minutes) {
+  if (typeof minutes !== 'number' || Number.isNaN(minutes)) return DEFAULT_INTERVAL_MINUTES;
+  return ALLOWED_MINUTES.some((m) => Math.abs(m - minutes) < 1e-9) ? minutes : DEFAULT_INTERVAL_MINUTES;
+}
+
 let globalRootCache = null;
+let globalRootInflight = null;
 const githubCache = new Map();
 
-/** npm 全局根（`npm prefix -g`），惰性缓存。 */
-function globalRoot() {
+/**
+ * npm 全局根（`npm prefix -g`），惰性缓存 + 异步执行 + 在途去重。
+ * 原实现用 execSync，会在首次检查时同步阻塞宿主事件循环（最坏到 10 秒超时上限）。
+ */
+async function globalRoot() {
   if (globalRootCache !== null) return globalRootCache;
-  try {
-    const out = execSync('npm prefix -g', { encoding: 'utf8', timeout: 10000, windowsHide: true });
-    globalRootCache = out.trim();
-  } catch {
-    globalRootCache = '';
-  }
-  return globalRootCache;
+  if (globalRootInflight) return globalRootInflight;
+  globalRootInflight = (async () => {
+    try {
+      const { stdout } = await execAsync('npm prefix -g', { encoding: 'utf8', timeout: 10000, windowsHide: true });
+      globalRootCache = String(stdout).trim();
+    } catch {
+      globalRootCache = '';
+    }
+    return globalRootCache;
+  })();
+  return globalRootInflight;
 }
 
 /** DSH 家目录（DSH_HOME 或 ~/.dsh）。 */
@@ -47,8 +75,12 @@ function discoverPackages(extra) {
     const profile = JSON.parse(readFileSync(profilePath, 'utf8'));
     const deps = profile && profile.dependencies ? Object.keys(profile.dependencies) : [];
     for (const key of deps) {
-      if (key === 'dsh-update-check') continue; // 不检查自身
-      if (key.startsWith('dsh-') || key.startsWith('@dsh-external/') || key.startsWith('@deepseek-ai/')) {
+      // 不检查自身：包目录名是 dsh-update-check，npm 包名却是 dsh_check_updates，
+      // 只比对其中一个会漏掉，导致自身一直出现在结果列表里。
+      if (key === 'dsh-update-check' || key === 'dsh_check_updates') continue;
+      // 覆盖官方 @deepseek-ai/* 与所有包名含 dsh 的插件（如 @anionex/dsh-vision-toolkit），避免包名/scope 变化后漏检
+      if (!isSafePackageName(key)) continue;
+      if (key.startsWith('@deepseek-ai/') || /dsh/i.test(key)) {
         if (!names.includes(key)) names.push(key);
       }
     }
@@ -57,7 +89,7 @@ function discoverPackages(extra) {
   }
   if (Array.isArray(extra)) {
     for (const nm of extra) {
-      if (typeof nm === 'string' && nm && !names.includes(nm)) names.push(nm);
+      if (isSafePackageName(nm) && !names.includes(nm)) names.push(nm);
     }
   }
   return names;
@@ -77,12 +109,12 @@ function parseGithubRepo(repository) {
 }
 
 /** 读取本机已装版本：profile node_modules → npm 全局根 → APPDATA 兜底。 */
-function readLocalVersion(pkgName) {
+async function readLocalVersion(pkgName) {
   const segments = pkgName.split('/');
   const candidates = [];
   const home = dshHome();
   candidates.push(join(home, 'profiles', 'web', 'node_modules', ...segments, 'package.json'));
-  const gRoot = globalRoot();
+  const gRoot = await globalRoot();
   if (gRoot) candidates.push(join(gRoot, 'node_modules', ...segments, 'package.json'));
   if (process.env.APPDATA) candidates.push(join(process.env.APPDATA, 'npm', 'node_modules', ...segments, 'package.json'));
   for (const p of candidates) {
@@ -115,8 +147,15 @@ async function fetchLatestMeta(pkgName) {
 
 /** 读 GitHub latest release 的 tag（15s 超时 + 1h 缓存；失败返回 null 不阻断）。 */
 async function fetchGithubLatest(repo) {
+  const now = Date.now();
   const cached = githubCache.get(repo);
-  if (cached && Date.now() - cached.ts < GITHUB_CACHE_TTL_MS) return cached.tag;
+  if (cached && now - cached.ts < GITHUB_CACHE_TTL_MS) return cached.tag;
+  // 顺手淘汰过期项，避免长期运行时缓存只增不减
+  if (githubCache.size >= 64) {
+    for (const [key, val] of githubCache) {
+      if (now - val.ts >= GITHUB_CACHE_TTL_MS) githubCache.delete(key);
+    }
+  }
   const url = 'https://api.github.com/repos/' + repo + '/releases/latest';
   const controller = new AbortController();
   const timer = setTimeout(() => controller.abort(), 15000);
@@ -137,28 +176,67 @@ async function fetchGithubLatest(repo) {
   }
 }
 
-/** 语义化版本比较（容忍 v 前缀与缺段）：a>b 返回 1，相等 0，a<b 返回 -1。 */
+/**
+ * 语义化版本比较（容忍 v 前缀、缺段与预发布后缀）：a>b 返回 1，相等 0，a<b 返回 -1。
+ *
+ * 先把预发布后缀（-rc.1 之类）切下来再解析数字段。早期实现直接对整串 split('.')
+ * 后 map(Number)，Number('2-rc') 得到 NaN，又被 `|| 0` 吞成 0，于是 0.1.2-rc.1 与
+ * 0.1.5-rc.1 被判为相等 —— DSH 本体因此长期误报 up-to-date。
+ */
 function semverCompare(a, b) {
-  const pa = String(a).replace(/^v/i, '').split('.').map(Number);
-  const pb = String(b).replace(/^v/i, '').split('.').map(Number);
-  const len = Math.max(pa.length, pb.length);
+  const parse = (v) => {
+    // 剥离 tag 前缀：npm 版本无前缀，但 GitHub release tag 形如 dsh-v0.1.5-rc.1，
+    // 只去 v 会留下 "dsh-v" 被当作版本号首段解析成 0，导致比较恒为「更低」。
+    const s = String(v).replace(/^[^\d]*/, '');
+    const i = s.indexOf('-');
+    return {
+      nums: (i < 0 ? s : s.slice(0, i)).split('.').map((n) => Number(n) || 0),
+      pre: i < 0 ? '' : s.slice(i + 1),
+    };
+  };
+  const pa = parse(a);
+  const pb = parse(b);
+  const len = Math.max(pa.nums.length, pb.nums.length);
   for (let i = 0; i < len; i++) {
-    const x = pa[i] || 0;
-    const y = pb[i] || 0;
+    const x = pa.nums[i] || 0;
+    const y = pb.nums[i] || 0;
     if (x !== y) return x > y ? 1 : -1;
   }
+  if (pa.pre === pb.pre) return 0;
+  // 主版本相同：正式版 > 预发布版
+  if (pa.pre === '') return 1;
+  if (pb.pre === '') return -1;
+  const sa = pa.pre.split('.');
+  const sb = pb.pre.split('.');
+  const n = Math.max(sa.length, sb.length);
+  for (let i = 0; i < n; i++) {
+    if (sa[i] === undefined) return -1;
+    if (sb[i] === undefined) return 1;
+    const na = /^\d+$/.test(sa[i]);
+    const nb = /^\d+$/.test(sb[i]);
+    if (na && nb) {
+      const da = Number(sa[i]);
+      const db = Number(sb[i]);
+      if (da !== db) return da > db ? 1 : -1;
+    } else if (na !== nb) {
+      return na ? -1 : 1; // 数字段优先级低于字母段（semver §11）
+    } else if (sa[i] !== sb[i]) {
+      return sa[i] > sb[i] ? 1 : -1;
+    }
+  }
   return 0;
 }
 
 /** 收集版本表：自动发现 profile 插件；单包失败隔离为 unknown；GitHub release 超前 npm 时标记 upstream-new。 */
 async function collectVersions(extra) {
   const names = discoverPackages(extra);
-  const entries = [];
-  for (const pkgName of names) {
+  // 并行检查：每个包都要打 npm registry 与 GitHub 两个请求，串行会让总耗时随包数线性增长。
+  // Promise.all 保持输入顺序；单包失败在各自分支内降级为 unknown，不拖垮整表。
+  return Promise.all(names.map(async (pkgName) => {
     try {
       const meta = await fetchLatestMeta(pkgName);
       const latest = meta.version;
-      const current = readLocalVersion(pkgName);
+      const current = await readLocalVersion(pkgName);
       const githubLatest = meta.githubRepo && !meta.unpublished ? await fetchGithubLatest(meta.githubRepo) : null;
       let status;
       if (meta.unpublished) {
@@ -177,12 +255,11 @@ async function collectVersions(extra) {
       const entry = { name: pkgName, current, latest, status };
       if (meta.unpublished) entry.reason = '未发布到 npm registry';
       if (githubLatest && semverCompare(githubLatest, latest) > 0) entry.githubLatest = githubLatest;
-      entries.push(entry);
+      return entry;
     } catch (error) {
-      entries.push({ name: pkgName, current: null, latest: null, status: 'unknown', reason: String((error && error.message) || error) });
+      return { name: pkgName, current: null, latest: null, status: 'unknown', reason: String((error && error.message) || error) };
     }
-  }
-  return entries;
+  }));
 }
 
 /** 收集 POST 请求的 JSON body。 */
@@ -190,23 +267,33 @@ function readJsonBody(req) {
   return new Promise((resolve, reject) => {
     const chunks = [];
     let size = 0;
+    let settled = false;
     req.on('data', (chunk) => {
+      if (settled) return;
       size += chunk.length;
       if (size > 64 * 1024) {
+        // 只拒绝、不销毁 socket：销毁会让随后写回的 400 响应无法送达，浏览器只能
+        // 看到连接被重置。剩余数据由流自行排空后丢弃（settled 已挡住后续累积）。
+        settled = true;
         reject(new Error('request body too large'));
-        req.destroy();
         return;
       }
       chunks.push(chunk);
     });
     req.on('end', () => {
+      if (settled) return;
+      settled = true;
       try {
         resolve(chunks.length ? JSON.parse(Buffer.concat(chunks).toString('utf8')) : {});
       } catch (e) {
         reject(new Error('invalid json body'));
       }
     });
-    req.on('error', reject);
+    req.on('error', (e) => {
+      if (settled) return;
+      settled = true;
+      reject(e);
+    });
   });
 }
 
@@ -216,23 +303,25 @@ export async function apply(ctx, config = {}) {
     lastCheckedAt: null,
     entries: [],
     lastError: null,
-    intervalMinutes: typeof config.intervalMinutes === 'number' ? config.intervalMinutes : 60,
+    intervalMinutes: normalizeInterval(config.intervalMinutes),
   };
   let intervalDisposer = null;
+  let inflightRefresh = null;
 
+  // 返回浅拷贝：调用方拿到的是快照，不与内部数组共享引用
   const snapshot = () => ({
     lastCheckedAt: state.lastCheckedAt,
-    entries: state.entries,
+    entries: state.entries.map((e) => ({ ...e })),
     lastError: state.lastError,
     intervalMinutes: state.intervalMinutes,
   });
 
-  async function refresh(extra) {
+  async function runRefresh(extra) {
     try {
       const fresh = await collectVersions(extra);
+      // 全部条目 unknown 即整体失败（unknown 本身已意味着本机版本读不到）
       const allUnknown = fresh.length > 0 && fresh.every((e) => e.status === 'unknown');
-      const anyCurrent = fresh.some((e) => e.current !== null && e.current !== '');
-      if (allUnknown && !anyCurrent) {
+      if (allUnknown) {
         if (state.entries.length > 0) {
           state.lastError = '整体检查失败：全部条目 unknown（registry 不可达或服务异常），保留上次成功快照';
           return snapshot();
@@ -251,6 +340,20 @@ export async function apply(ctx, config = {}) {
     return snapshot();
   }
 
+  /**
+   * 并发去重：定时器 / HTTP 端点 / 模型工具三个触发源可能同时到达。不加约束会并发
+   * 跑多轮完整检查（每轮对每个包打两次外部请求），且完成顺序不定，先到的结果可能被
+   * 后到的覆盖。复用同一在途 Promise 即可，既省请求也保证结果单调。
+   */
+  function refresh(extra) {
+    if (inflightRefresh) return inflightRefresh;
+    const p = runRefresh(extra);
+    inflightRefresh = p;
+    const clear = () => { if (inflightRefresh === p) inflightRefresh = null; };
+    p.then(clear, clear);
+    return p;
+  }
+
   function armInterval(minutes) {
     if (intervalDisposer) {
       intervalDisposer();

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh_check_updates",
-  "version": "0.1.0",
+  "version": "0.2.0",
   "description": "DeepSeek Harness 更新检查插件：DSH 本体与 profile 插件版本可见性（模型工具 + Settings 页面 + 周期复查），只报告不执行升级。",
   "keywords": [
     "deepseek",
@@ -18,12 +18,17 @@
     "./package.json": "./package.json"
   },
   "files": [
-    "lib",
+    "lib/index.js",
+    "lib/client.js",
     "cordis.patch.yml",
     "README.md",
     "README_EN.md",
     "dsh.plugin.json"
   ],
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/knlght/DSH-update-check.git"
+  },
   "engines": {
     "node": "^22.19.0 || >=24.0.0"
   },