pi-webdav-backup 1.3.2 → 1.3.3

package/README.md

@@ -442,10 +442,13 @@ node "$env:USERPROFILE\.pi\agent\extensions\webdav-backup\cli.mjs" install-cron
 新电脑往往已经装过一些插件——可能和备份里同名但版本不同，也可能多装了备份里没有的。
 直接覆盖会**把同名插件降级、把本机多装的声明抹掉、留下版本混合的“缝合”目录**。所以写回有两种模式：
 
-| 模式 | settings.json 的 packages | 本机已装的插件实现 | 本机多装的插件 |
-|---|---|---|---|
-| **合并**（默认，推荐） | 本机声明优先，追加备份里本机没有的 | **保留本机版本**，不覆盖 | 保留（声明与代码都留） |
-| 替换（旧机原样） | 完全用备份版 | 被备份覆盖（同名降级） | 声明被移除（代码不删） |
+| 模式 | settings.json 的 packages | npm/package.json 的 dependencies | 本机已装的插件实现 | 本机多装的插件 |
+|---|---|---|---|---|
+| **合并**（默认，推荐） | 本机声明优先，追加备份里本机没有的 | 本机依赖优先，追加备份里本机没有的 | **保留本机版本**，不覆盖 | 保留（声明与代码都留） |
+| 替换（旧机原样） | 完全用备份版 | 完全用备份版 | 被备份覆盖（同名降级） | 声明被移除（代码不删） |
+
+> **为何要合并 `npm/package.json`**：pi 启动时会拿它与 `node_modules` 做协调（npm install）。
+> 若直接覆盖成备份版，本机独有的插件会被 npm 当成多余包【卸载】。所以合并模式会保留本机已有依赖。
 
 - 交互式 `/backup restore`：本机有插件声明时会先让你选（默认合并）
 - 命令行：`--mode merge`（默认）/ `--mode replace`
@@ -633,6 +636,7 @@ node extensions/webdav-backup/verify-load.mjs
 
 | 版本 | 内容 |
 |---|---|
+| **v1.3.3** | **修复合并模式会卸载本机插件**：`restore-apply` 合并模式此前只合并 `settings.json`，却用备份版**覆盖** `npm/package.json`——pi 下次启动的 npm 协调会把本机独有插件当成多余包卸载（实测于 Windows→Linux 同步）。现改为同时合并 `npm/package.json` 的 `dependencies`（本机优先），结果里标 `npm-dependencies`。另：文档补充「多机同步」与「跨平台密钥」流程 |
 | **v1.3.2** | **跨平台多机同步**：依赖体检修正（npm 提升到父级的依赖不再误报为缺失，按 Node 模块解析算法沿祖先 `node_modules` 查找）；文档新增「跨平台密钥（多机同步）」与「多机同步（Windows ↔ Linux）」流程，明确多机用 `file:` / `$ENV` 而非 `dpapi:`，并给出常见坑 |
 | **v1.3.1** | 依赖体检误报修正（npm 提升的依赖被当成缺失） |
 | **v1.3.0** | **换机一键还原**：新增 `includePlugins`（把插件实现 `node_modules` 一并备份，重机恢复即可直接用，无需联网重装）；新增 `restore-apply` / `/backup restore-apply`（把恢复结果写回当前 `~/.pi/agent`，覆盖前备份、幂等、防止 `__REDACTED__` 覆盖真值）；**写回默认【合并模式】**：本机已装插件保留不被覆盖、`settings.json` 只合并 `packages`（避免删掉/降级本机插件），可选 `--mode replace` 完全还原；`/backup restore` 默认询问是否写回当前 pi，已含插件时不再提示联网补装；`/backup-setup` 向导新增插件代码选项；脱敏审计跳过第三方插件代码（避免误报）；排除规则重构（`includePlugins` 开关控制 node_modules） |

package/extensions/webdav-backup/apply.mjs

@@ -64,6 +64,11 @@ export function isPluginImplementationPath(rel) {
   return r.startsWith("git/") || r.includes("/node_modules/");
 }
 
+/** agentDir 下的 npm 包清单（决定 pi 启动时 npm 装/卸哪些插件） */
+export function isNpmManifestPath(rel) {
+  return String(rel).replace(/\\/g, "/") === "npm/package.json";
+}
+
 /**
  * 求一个插件实现文件所属的「插件根目录」相对路径，用于判定本机是否已装该插件：
  *   npm/node_modules/foo/lib/x.js       → npm/node_modules/foo
@@ -145,6 +150,46 @@ export function mergeSettingsPackages(backupText, localText) {
   return JSON.stringify({ ...backup, packages: [...localPkgs, ...extra] }, null, 2);
 }
 
+/**
+ * 合并 npm/package.json 的 dependencies：本机已有优先（保留版本），追加备份里本机没有的。
+ *
+ * 为何必须合并：pi 启动时会拿 npm/package.json 与 node_modules 做协调（npm install）。
+ * 若 merge 写回时用备份版直接覆盖，本机独有的插件会被 npm 当成多余包【卸载】。
+ * 返回合并后的 JSON 文本；无可合并时返回 null（调用方按普通逻辑处理）。
+ */
+export function mergeNpmDependencies(backupText, localText) {
+  let backup;
+  let local;
+  try {
+    backup = JSON.parse(String(backupText).replace(/^\uFEFF/, ""));
+  } catch {
+    return null;
+  }
+  try {
+    local = JSON.parse(String(localText).replace(/^\uFEFF/, ""));
+  } catch {
+    return null;
+  }
+  if (!backup || typeof backup !== "object") return null;
+
+  const backupDeps = backup.dependencies && typeof backup.dependencies === "object" ? backup.dependencies : {};
+  const localDeps = local?.dependencies && typeof local.dependencies === "object" ? local.dependencies : {};
+  if (Object.keys(localDeps).length === 0) return null;
+
+  // 本机已声明的依赖保留本机版本；备份独有的追加进来
+  const merged = { ...localDeps };
+  let added = 0;
+  for (const [name, range] of Object.entries(backupDeps)) {
+    if (!(name in merged)) {
+      merged[name] = range;
+      added++;
+    }
+  }
+  // 本机声明已包含备份全部依赖且无新增 → 无需改写
+  if (added === 0 && Object.keys(merged).length === Object.keys(localDeps).length) return null;
+  return JSON.stringify({ ...backup, dependencies: merged }, null, 2);
+}
+
 /** 递归列出恢复目录下、应写回 agentDir 的文件（跳过 extra/ 与元数据） */
 export function listRestoredFiles(restoredDir, { extraPrefix = "extra/" } = {}) {
   const root = resolve(restoredDir);
@@ -224,6 +269,21 @@ export function applyRestoredFiles(restoredDir, agentDir, opts = {}) {
       }
     }
 
+    // merge：npm/package.json 只合并 dependencies，保留本机独有插件。
+    // 否则覆盖后，pi 下次启动的 npm 协调会把本机独有的包当成多余包卸载。
+    let mergedNpm = false;
+    if (merge && isNpmManifestPath(f.rel) && existsSync(target)) {
+      try {
+        const mergedText = mergeNpmDependencies(srcBuf.toString("utf8"), readFileSync(target, "utf8"));
+        if (mergedText !== null) {
+          srcBuf = Buffer.from(mergedText, "utf8");
+          mergedNpm = true;
+        }
+      } catch {
+        /* 合并失败则退回普通处理 */
+      }
+    }
+
     // merge：本机已装该插件（插件根目录已存在）→ 跳过整个插件，避免降级与版本混合。
     // 但若该文件与本地完全一致，则归为 unchanged（保证重复写回幂等）。
     if (merge) {
@@ -281,11 +341,13 @@ export function applyRestoredFiles(restoredDir, agentDir, opts = {}) {
       let backup = null;
       if (existsSync(target)) backup = backupExisting(target, "apply");
       writeFileSync(target, srcBuf);
-      applied.push({ rel: f.rel, target, backup, merged: mergedSettings });
-      if (mergedSettings) merged.push({ rel: f.rel, target });
+      applied.push({ rel: f.rel, target, backup, merged: mergedSettings || mergedNpm });
+      if (mergedSettings) merged.push({ rel: f.rel, target, kind: "settings-packages" });
+      if (mergedNpm) merged.push({ rel: f.rel, target, kind: "npm-dependencies" });
       log(
         `  ${backup ? "已覆盖" : "已写入"} ${f.rel} → ${target}` +
           (mergedSettings ? "（已合并 packages，保留本机插件声明）" : "") +
+          (mergedNpm ? "（已合并 dependencies，保留本机插件依赖）" : "") +
           (backup ? `（原文件备份为 ${backup}）` : ""),
       );
     } catch (e) {

package/extensions/webdav-backup/cli.mjs

@@ -246,7 +246,11 @@ async function main() {
       if (!has("--dry-run")) {
         logTo(`已写回 agent 目录：${agentDir}（${mergeMode ? "合并模式" : "替换模式"}）`);
         logTo(`  写入/覆盖 ${r.applied.length} 个，内容一致 ${r.unchanged.length} 个，失败 ${r.failed.length} 个`);
-        if (r.merged?.length) logTo(`  🔀 settings.json 已合并 packages，保留本机已有插件声明`);
+        if (r.merged?.length) {
+          const kinds = r.merged.map((m) => m.kind).filter(Boolean);
+          if (kinds.includes("settings-packages")) logTo(`  🔀 settings.json 已合并 packages，保留本机已有插件声明`);
+          if (kinds.includes("npm-dependencies")) logTo(`  🔀 npm/package.json 已合并 dependencies，保留本机独有插件依赖`);
+        }
         for (const x of r.skipped) logTo(`  ➖ ${x.rel}（${x.reason}）`);
         for (const x of r.failed) logTo(`  ❌ ${x.rel} — ${x.error}`);
         if (pluginReady) logTo("插件实现代码已随备份恢复，无需联网重装。");

package/extensions/webdav-backup/test-apply.mjs

@@ -298,7 +298,7 @@ async function main() {
     rmSync(live2, { recursive: true, force: true });
   }
 
-  // ── 8. mergeSettingsPackages：本机无声明时返回 null（用备份原样）
+  // 8. mergeSettingsPackages：本机无声明时返回 null（用备份原样）
   {
     check("本机无 packages 声明时不合并", mergeSettingsPackages('{"packages":["npm:A"]}', '{"theme":"x"}') === null);
     const m = mergeSettingsPackages('{"packages":["npm:A","npm:B"],"theme":"light"}', '{"packages":["npm:B@2"],"theme":"dark"}');
@@ -306,6 +306,50 @@ async function main() {
     check("合并保留本机声明优先、追加备份独有", JSON.stringify(o.packages) === JSON.stringify(["npm:B@2", "npm:A"]) && o.theme === "light", String(m));
   }
 
+  // ── 9. 回归：npm/package.json 必须合并 dependencies（否则 pi 会卸载本机独有插件）
+  {
+    // 备份来源（Windows）：只依赖 A、B
+    const backup = mkdtempSync(join(tmpdir(), "pi-npm-merge-bk-"));
+    mkdirSync(join(backup, "npm"), { recursive: true });
+    writeFileSync(join(backup, "settings.json"), JSON.stringify({ packages: ["npm:A", "npm:B"] }));
+    writeFileSync(
+      join(backup, "npm", "package.json"),
+      JSON.stringify({ name: "pi-extensions", private: true, dependencies: { A: "^1.0.0", B: "^2.0.0" } }),
+    );
+
+    // 目标机器（Linux）：已装 A（本机版本）+ 本机独有的 Z
+    const live = mkdtempSync(join(tmpdir(), "pi-npm-merge-live-"));
+    mkdirSync(join(live, "npm"), { recursive: true });
+    writeFileSync(join(live, "settings.json"), JSON.stringify({ packages: ["npm:A@9", "npm:Z"] }));
+    writeFileSync(
+      join(live, "npm", "package.json"),
+      JSON.stringify({ name: "pi-extensions", private: true, dependencies: { A: "^9.0.0", Z: "^0.1.0" } }),
+    );
+
+    const r = applyRestoredFiles(backup, live, { merge: true });
+    const deps = JSON.parse(readFileSync(join(live, "npm", "package.json"), "utf8")).dependencies;
+    check("merge 后 npm 依赖保留本机 A@9", deps.A === "^9.0.0", JSON.stringify(deps));
+    check("merge 后 npm 依赖保留本机独有 Z", deps.Z === "^0.1.0", JSON.stringify(deps));
+    check("merge 后 npm 依赖追加备份独有的 B", deps.B === "^2.0.0", JSON.stringify(deps));
+    check("merged 列表标出 npm-dependencies", r.merged?.some((m) => m.kind === "npm-dependencies"), JSON.stringify(r.merged));
+
+    // replace：完全用备份版（Z 会从 package.json 消失，由 pi 下次启动自行卸载）
+    const live2 = mkdtempSync(join(tmpdir(), "pi-npm-merge-live2-"));
+    mkdirSync(join(live2, "npm"), { recursive: true });
+    writeFileSync(join(live2, "settings.json"), JSON.stringify({ packages: ["npm:A@9", "npm:Z"] }));
+    writeFileSync(
+      join(live2, "npm", "package.json"),
+      JSON.stringify({ name: "pi-extensions", private: true, dependencies: { A: "^9.0.0", Z: "^0.1.0" } }),
+    );
+    applyRestoredFiles(backup, live2, { merge: false });
+    const deps2 = JSON.parse(readFileSync(join(live2, "npm", "package.json"), "utf8")).dependencies;
+    check("replace 后 npm 依赖完全变回备份版", JSON.stringify(deps2) === JSON.stringify({ A: "^1.0.0", B: "^2.0.0" }), JSON.stringify(deps2));
+
+    rmSync(backup, { recursive: true, force: true });
+    rmSync(live, { recursive: true, force: true });
+    rmSync(live2, { recursive: true, force: true });
+  }
+
   console.log(lines.join("\n"));
   console.log(`\n结果：${pass} 通过，${fail} 失败`);
   process.exit(fail === 0 ? 0 : 1);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "pi-webdav-backup",
-  "version": "1.3.2",
+  "version": "1.3.3",
   "description": "pi 配置与插件数据自动备份到 WebDAV（坚果云 / Nextcloud / 群晖 / 自建）：归档与快照两种模式、AES-256-GCM 加密、DPAPI 密钥管理、敏感字段脱敏、agentDir 之外的额外数据（extraScope）、插件实现代码随备份（includePlugins）实现换机一键还原、退出自动备份与每日定时备份。",
   "keywords": [
     "pi-package",