tensorgrid-ui 1.1.5 → 1.2.2

package/lib/auth-bridge.js

@@ -120,6 +120,14 @@ export function begin(authorization, key, method) {
         if (current.notices.length > MAX_NOTICES) current.notices.shift()
       },
       prompt(prompt) {
+        // Поток задал новый вопрос, не дождавшись ответа на прежний. Прежнее
+        // обещание нужно закрыть, иначе оно повисает навсегда, а вместе с ним
+        // и вся попытка: ключ занят, отвечать уже некому.
+        if (current.resolvePrompt !== null) {
+          const orphan = current.resolvePrompt
+          current.resolvePrompt = null
+          orphan('')
+        }
         current.prompt = prompt
         return new Promise((resolve) => { current.resolvePrompt = resolve })
       },
@@ -143,31 +151,59 @@ export function begin(authorization, key, method) {
   return { attempt: view() }
 }
 
-/** Отвечает на вопрос, который задал поток. */
+/**
+ * Отвечает на вопрос, который задал поток.
+ *
+ * Значение приводится к строке ДО того, как вопрос снят. Обратный порядок
+ * подвешивал разговор: тело вида `{"value":{"toString":null}}` роняло
+ * приведение уже после очистки, обещание оставалось без ответа, а функция
+ * его разрешения терялась — попытка числилась активной, но вопрос исчезал.
+ */
 export function answer(value) {
   if (attempt === null || attempt.resolvePrompt === null) {
     return { problem: 'поток ничего не спрашивает', attempt: view() }
   }
+
+  let text
+  try {
+    text = typeof value === 'string' ? value : String(value ?? '')
+  } catch {
+    return { problem: 'ответ не приводится к тексту', attempt: view() }
+  }
+
   const resolve = attempt.resolvePrompt
   attempt.resolvePrompt = null
   attempt.prompt = null
-  resolve(String(value))
+  resolve(text)
   return { attempt: view() }
 }
 
 /**
- * Снимает попытку. Нужно не только по желанию пользователя: стойка держит
- * ключ занятым, и осиротевшая попытка иначе блокирует повторный вход до
- * перезапуска.
+ * Снимает текущую попытку. Нужно не только по желанию пользователя: стойка
+ * держит ключ занятым, и осиротевшая попытка иначе блокирует повторный вход
+ * до перезапуска.
+ *
+ * Ключ из запроса НЕ принимается: снимать можно только то, что идёт сейчас.
+ * Иначе вторая вкладка — или посторонний запрос — снимала бы чужую попытку
+ * по произвольному имени.
  */
 export function cancel(authorization, key) {
-  const target = key ?? attempt?.key
-  if (typeof target !== 'string') return { problem: 'нечего отменять', attempt: view() }
+  if (attempt === null) return { problem: 'нечего отменять', attempt: view() }
+
+  const target = attempt.key
+  if (typeof key === 'string' && key !== '' && key !== target) {
+    return { problem: 'идёт попытка для другого провайдера', attempt: view() }
+  }
+
   authorization.cancel(target)
-  if (attempt !== null && attempt.key === target) {
-    attempt.problem = attempt.problem ?? 'отменено'
-    attempt.prompt = null
+  attempt.problem = attempt.problem ?? 'отменено'
+  attempt.prompt = null
+  if (attempt.resolvePrompt !== null) {
+    // Ожидающее обещание закрываем сами: иначе поток останется висеть на
+    // вопросе, на который уже никто не ответит.
+    const pending = attempt.resolvePrompt
     attempt.resolvePrompt = null
+    pending('')
   }
   return { attempt: view() }
 }

package/lib/client.js

@@ -177,7 +177,9 @@ window.__ModuleLoader__.load({
       'intensity.vivid': 'Vivid',
       'accent.title': 'Obsidian / Ion accent',
       'accent.hint': 'Leading tone of the interface and the glow',
+      'auth.nav': 'Subscriptions',
       'auth.title': 'Provider sign-in',
+      'auth.others': 'Only providers offering a subscription sign-in are listed. The rest — Z.AI among them — offer an API key only; configure those under Models.',
       'auth.hint': 'Sign in with a subscription instead of an API key. The account stays on this computer.',
       'auth.signIn': 'Sign in',
       'auth.again': 'Sign in again',
@@ -222,7 +224,9 @@ window.__ModuleLoader__.load({
       'intensity.vivid': '强烈',
       'accent.title': 'Obsidian / Ion 主色',
       'accent.hint': '界面与光晕的主色调',
+      'auth.nav': '订阅',
       'auth.title': '登录服务商',
+      'auth.others': '这里只列出提供订阅登录的服务商。其余（包括 Z.AI）只提供 API 密钥，请在「模型」中配置。',
       'auth.hint': '使用订阅登录，而非 API 密钥。账号仅保存在本机。',
       'auth.signIn': '登录',
       'auth.again': '重新登录',
@@ -1564,7 +1568,9 @@ window.__ModuleLoader__.load({
       'intensity.vivid': 'Ярко',
       'accent.title': 'Акцент Obsidian / Ion',
       'accent.hint': 'Ведущий тон интерфейса и свечения',
+      'auth.nav': 'Подписки',
       'auth.title': 'Вход к провайдерам',
+      'auth.others': 'Здесь только провайдеры, у которых есть вход по подписке. Остальные — в том числе Z.AI — предлагают лишь ключ API; их место в разделе «Модели».',
       'auth.hint': 'Войти по подписке вместо ключа API. Учётная запись остаётся на этом компьютере.',
       'auth.signIn': 'Войти',
       'auth.again': 'Войти заново',
@@ -1710,7 +1716,7 @@ window.__ModuleLoader__.load({
       // поэтому строка остаётся согласованной при любой палитре.
       '.dsx-setting{display:flex;align-items:center;justify-content:space-between;gap:16px;width:100%;}',
       '.dsx-setting__title{color:var(--dsw-alias-label-primary);font-size:13px;font-weight:500;}',
-      '.dsx-setting--stack{flex-direction:column;align-items:stretch;gap:10px}.dsx-auth__list{display:flex;flex-direction:column;gap:6px}.dsx-auth__row{display:flex;align-items:center;justify-content:space-between;gap:12px}.dsx-auth__name{color:var(--dsw-alias-label-primary)}.dsx-auth__badge{margin-left:8px;padding:1px 6px;border-radius:999px;font-size:11px;color:var(--dsw-alias-state-success-primary);border:1px solid var(--dsw-alias-border-l2)}.dsx-auth__panel{display:flex;flex-direction:column;gap:8px;padding:10px;border-radius:8px;background:var(--dsw-alias-bg-layer-2);border:1px solid var(--dsw-alias-border-l1)}.dsx-auth__notice,.dsx-auth__prompt{display:flex;flex-direction:column;gap:6px;color:var(--dsw-alias-label-secondary)}.dsx-auth__link{color:var(--dsw-alias-brand-primary);word-break:break-all}.dsx-auth__code{font-family:ui-monospace,monospace;letter-spacing:.08em;color:var(--dsw-alias-label-primary)}.dsx-auth__input{flex:1;min-width:0;padding:4px 8px;border-radius:6px;border:1px solid var(--dsw-alias-border-l2);background:var(--dsw-alias-bg-layer-1);color:var(--dsw-alias-label-primary)}.dsx-setting__hint--strong{color:var(--dsw-alias-label-primary)}.dsx-setting__hint--warn{color:var(--dsw-alias-state-warn-primary)}.dsx-setting__hint{color:var(--dsw-alias-label-secondary);font-size:12px;margin-top:2px;}',
+      '.dsx-subs{display:flex;flex-direction:column;gap:14px;padding:4px 0}.dsx-subs__head{display:flex;flex-direction:column;gap:4px}.dsx-subs__title{font-weight:600;font-size:15px;color:var(--dsw-alias-label-primary)}.dsx-subs__note{padding-top:6px;border-top:1px solid var(--dsw-alias-border-l1);color:var(--dsw-alias-label-tertiary);font-size:12px;line-height:1.5}.dsx-setting--stack{flex-direction:column;align-items:stretch;gap:10px}.dsx-auth__list{display:flex;flex-direction:column;gap:6px}.dsx-auth__row{display:flex;align-items:center;justify-content:space-between;gap:12px}.dsx-auth__name{color:var(--dsw-alias-label-primary)}.dsx-auth__badge{margin-left:8px;padding:1px 6px;border-radius:999px;font-size:11px;color:var(--dsw-alias-state-success-primary);border:1px solid var(--dsw-alias-border-l2)}.dsx-auth__panel{display:flex;flex-direction:column;gap:8px;padding:10px;border-radius:8px;background:var(--dsw-alias-bg-layer-2);border:1px solid var(--dsw-alias-border-l1)}.dsx-auth__notice,.dsx-auth__prompt{display:flex;flex-direction:column;gap:6px;color:var(--dsw-alias-label-secondary)}.dsx-auth__link{color:var(--dsw-alias-brand-primary);word-break:break-all}.dsx-auth__code{font-family:ui-monospace,monospace;letter-spacing:.08em;color:var(--dsw-alias-label-primary)}.dsx-auth__input{flex:1;min-width:0;padding:4px 8px;border-radius:6px;border:1px solid var(--dsw-alias-border-l2);background:var(--dsw-alias-bg-layer-1);color:var(--dsw-alias-label-primary)}.dsx-setting__hint--strong{color:var(--dsw-alias-label-primary)}.dsx-setting__hint--warn{color:var(--dsw-alias-state-warn-primary)}.dsx-setting__hint{color:var(--dsw-alias-label-secondary);font-size:12px;margin-top:2px;}',
       '.dsx-setting__control{display:inline-flex;padding:2px;gap:2px;border:1px solid var(--dsw-alias-border-l1);border-radius:8px;background:var(--dsw-alias-bg-layer-2);flex:none;}',
       '.dsx-seg{appearance:none;border:0;cursor:pointer;padding:4px 10px;border-radius:6px;font-size:12px;line-height:18px;background:transparent;color:var(--dsw-alias-label-secondary);transition:background .16s ease,color .16s ease;}',
       '.dsx-seg:hover{color:var(--dsw-alias-label-primary);}',
@@ -1941,10 +1947,41 @@ window.__ModuleLoader__.load({
     // браузер начинает попытку и затем опрашивает состояние.
     const AUTH_PATH = '/api/tensorgrid.auth'
 
+    /**
+     * Пропустить только настоящий веб-адрес.
+     *
+     * Ссылка приходит от стойки входа, то есть в конечном счёте от внешнего
+     * провайдера. Подставлять её в `href` как есть нельзя: схема
+     * `javascript:` превратила бы «Открыть страницу входа» в запуск чужого
+     * кода прямо в приложении. Разрешаем http и https, остальное прячем.
+     *
+     * @param value - адрес из уведомления.
+     * @returns адрес, пригодный для ссылки, или null.
+     */
+    function safeUrl(value) {
+      if (typeof value !== 'string' || value === '') return null
+      try {
+        const parsed = new URL(value)
+        return parsed.protocol === 'http:' || parsed.protocol === 'https:' ? value : null
+      } catch {
+        return null
+      }
+    }
+
     function AuthRow({ t }) {
       const [state, setState] = React.useState(null)
+      // Занятость от ДЕЙСТВИЯ пользователя и фоновый опрос — разные вещи.
+      //
+      // Раньше опрос тоже поднимал этот признак, а поле ввода и кнопки на
+      // нём завязаны: каждые две секунды поле гасло прямо под руками. Это
+      // ломало ровно тот случай, ради которого опрос и заведён, — ввод кода.
       const [busy, setBusy] = React.useState(false)
       const [draft, setDraft] = React.useState('')
+      // Ответы приходят не в том порядке, в каком ушли: медленный опрос
+      // может вернуться после быстрого ответа и откатить состояние назад.
+      // Применяем только тот ответ, который свежее уже показанного.
+      const seq = React.useRef(0)
+      const applied = React.useRef(0)
 
       // Функция перевода приходит от рантайма НОВОЙ при каждом рендере —
       // в поставочном коде это обычная стрелка, не мемоизированная. Если
@@ -1985,14 +2022,35 @@ window.__ModuleLoader__.load({
         return response.json()
       }, [])
 
-      const refresh = React.useCallback(async (body) => {
-        setBusy(true)
+      /**
+       * Спросить Host и показать ответ.
+       *
+       * @param body - тело действия; без него идёт GET за списком.
+       * @param background - фоновый опрос: не блокирует поля и не стирает
+       *   показанное состояние, если сеть отвалилась. Пользователь в этот
+       *   момент вводит код, и мигание под руками недопустимо.
+       */
+      const refresh = React.useCallback(async (body, background) => {
+        const ticket = ++seq.current
+        if (!background) setBusy(true)
         try {
-          setState(await send(body))
+          const next = await send(body)
+          // Обгонять уже применённый ответ нельзя: иначе запоздавший опрос
+          // вернёт вопрос, на который только что ответили.
+          if (ticket > applied.current) {
+            applied.current = ticket
+            setState(next)
+          }
         } catch (error) {
-          setState({ available: true, problem: String(error && error.message ? error.message : error) })
+          // Сбой фонового опроса состояние НЕ трогает. Раньше он затирал его
+          // объектом без попытки, из-за чего опрос останавливался навсегда:
+          // интернет возвращался, а строка молчала до перезагрузки.
+          if (!background && ticket > applied.current) {
+            applied.current = ticket
+            setState({ available: true, problem: String(error && error.message ? error.message : error) })
+          }
         } finally {
-          setBusy(false)
+          if (!background) setBusy(false)
         }
       }, [send])
 
@@ -2003,7 +2061,7 @@ window.__ModuleLoader__.load({
       const active = state !== null && state.attempt !== undefined && state.attempt !== null && state.attempt.active === true
       React.useEffect(() => {
         if (!active) return undefined
-        const id = setInterval(() => { refresh({ action: 'poll' }) }, 2000)
+        const id = setInterval(() => { refresh({ action: 'poll' }, true) }, 2000)
         return () => clearInterval(id)
       }, [active, refresh])
 
@@ -2032,9 +2090,9 @@ window.__ModuleLoader__.load({
             className: 'dsx-auth__notice',
             children: [
               jsx('div', { children: notice.message }),
-              notice.url === null ? null : jsx('a', {
+              safeUrl(notice.url) === null ? null : jsx('a', {
                 className: 'dsx-auth__link',
-                href: notice.url,
+                href: safeUrl(notice.url),
                 target: '_blank',
                 rel: 'noreferrer',
                 children: t('auth.openLink'),
@@ -2098,11 +2156,12 @@ window.__ModuleLoader__.load({
       }
 
       return jsxs('div', {
-        className: 'dsx-setting dsx-setting--stack',
+        className: 'dsx-subs',
         children: [
           jsxs('div', {
+            className: 'dsx-subs__head',
             children: [
-              jsx('div', { className: 'dsx-setting__title', children: t('auth.title') }),
+              jsx('div', { className: 'dsx-subs__title', children: t('auth.title') }),
               jsx('div', { className: 'dsx-setting__hint', children: t('auth.hint') }),
             ],
           }),
@@ -2149,6 +2208,11 @@ window.__ModuleLoader__.load({
                 }),
               })
             : null,
+          // Здесь только провайдеры, у которых есть вход по подписке. У
+          // остальных — включая Z.AI — поставщик предлагает единственный
+          // способ, ключ API, и его место в разделе «Модели». Без этой
+          // строки отсутствие знакомого имени выглядит как недоработка.
+          jsx('div', { className: 'dsx-subs__note', children: t('auth.others') }),
         ],
       })
     }
@@ -2361,9 +2425,21 @@ window.__ModuleLoader__.load({
         ),
       )
 
-      ctx.slots.inject('settings.general.item', () =>
+      // Подписки — собственный раздел настроек, а не строка среди прочих.
+      //
+      // `settings.section` — аддитивный список: своя запись добавляет свою
+      // вкладку и ничего не замещает. Порядок 12 ставит её между «Моделями»
+      // (10) и «Плагинами» (15): вход к провайдерам — сосед моделей, а не
+      // оформления.
+      ctx.slots.inject('settings.section', () =>
         ctx.slots.register(
-          { name: 'settings.general.item', id: 'tensorgrid-auth', order: 10, locale: LOCALE_NS },
+          {
+            name: 'settings.section',
+            id: 'tensorgrid-subscriptions',
+            order: 12,
+            locale: LOCALE_NS,
+            label: () => ctx.locale.translate(LOCALE_NS, 'auth.nav'),
+          },
           AuthRow,
         ),
       )

package/lib/http-runtime.js

@@ -27,30 +27,55 @@ function reply(res, code, value) {
  * Принять маленькое JSON-тело.
  *
  * Здесь всегда только действие, ключ провайдера или ответ на вопрос.
- * Ограничение 16 КБ не даёт случайному клиенту держать в памяти тело без
- * практической причины.
+ *
+ * Куски накапливаются БУФЕРАМИ, а не строкой. Склейка строкой вызывает
+ * `toString()` на каждом куске, и символ UTF-8, разорванный по границе
+ * сетевого пакета, превращается в «замену» — ответ с кириллицей изредка
+ * приезжал бы битым. Предел считается в БАЙТАХ по той же причине: длина
+ * строки и размер тела — разные величины.
+ *
+ * Тайм-аут обязателен: клиент, открывший запрос и не закрывший его, иначе
+ * держал бы обработчик и сокет бесконечно.
  */
-function readJsonBody(req) {
+function readJsonBody(req, limitBytes = 16384, timeoutMs = 15000) {
   return new Promise((resolve) => {
-    let text = ''
-    let tooBig = false
+    const chunks = []
+    let size = 0
+    let settled = false
+
+    const finish = (value) => {
+      if (settled) return
+      settled = true
+      clearTimeout(timer)
+      resolve(value)
+    }
+
+    const timer = setTimeout(() => {
+      req.destroy()
+      finish(null)
+    }, timeoutMs)
+
     req.on('data', (chunk) => {
-      if (tooBig) return
-      text += chunk
-      if (text.length > 16384) {
-        tooBig = true
-        resolve(null)
+      if (settled) return
+      const buffer = Buffer.isBuffer(chunk) ? chunk : Buffer.from(chunk)
+      size += buffer.length
+      if (size > limitBytes) {
+        req.destroy()
+        finish(null)
+        return
       }
+      chunks.push(buffer)
     })
     req.on('end', () => {
-      if (tooBig) return
+      if (settled) return
+      const text = Buffer.concat(chunks).toString('utf8')
       try {
-        resolve(JSON.parse(text === '' ? '{}' : text))
+        finish(JSON.parse(text === '' ? '{}' : text))
       } catch {
-        resolve(null)
+        finish(null)
       }
     })
-    req.on('error', () => resolve(null))
+    req.on('error', () => finish(null))
   })
 }
 
@@ -59,6 +84,95 @@ function acceptsJson(req) {
   return String(req.headers['content-type'] ?? '').includes('application/json')
 }
 
+/**
+ * Запрос пришёл со своей же страницы?
+ *
+ * Межсайтовый POST с нашим типом содержимого браузер и так не пустит без
+ * предварительной проверки CORS, которую мы не проходим. Но держать защиту
+ * только на чужом поведении неправильно: явная сверка источника дешева и
+ * делает намерение видимым в коде.
+ *
+ * Отсутствие заголовка допускается намеренно: его не шлют не-браузерные
+ * клиенты, а локальный процесс и без того читает файл с учётными данными
+ * напрямую — запрет ему ничего бы не добавил.
+ */
+function sameOrigin(req) {
+  const origin = req.headers.origin
+  if (typeof origin !== 'string' || origin === '') return true
+  const host = String(req.headers.host ?? '')
+  if (host === '') return false
+  try {
+    return new URL(origin).host === host
+  } catch {
+    return false
+  }
+}
+
+/**
+ * Найти поставочный файл фронтенда.
+ *
+ * Профили делят общий `node_modules`, поэтому от нашего кода до него —
+ * подъём на несколько уровней. Ищем перебором вверх, а не по заданному
+ * пути: глубина вложения зависит от того, как pnpm разложил пакеты.
+ *
+ * @param fromDir - каталог, от которого подниматься.
+ * @param relative - путь внутри `node_modules`.
+ * @returns полный путь или null, если не нашли.
+ */
+async function findShipped(fromDir, relative) {
+  const { existsSync } = await import('node:fs')
+  const { dirname, join } = await import('node:path')
+  let dir = fromDir
+  for (let depth = 0; depth < 8; depth += 1) {
+    const candidate = join(dir, 'node_modules', relative)
+    if (existsSync(candidate)) return candidate
+    const parent = dirname(dir)
+    if (parent === dir) break
+    dir = parent
+  }
+  return null
+}
+
+/**
+ * Отдать веб-манифест: поставочный, но с нашим именем и иконкой.
+ *
+ * Полная подмена была бы заморозкой чужого файла на сегодняшней версии:
+ * dsh добавит поле — ярлыки, снимки экрана, обработчики ссылок, — а мы
+ * продолжим отдавать форму без него, и установленное приложение молча
+ * потеряет возможности.
+ *
+ * Поэтому поставочный манифест читается и ДОПОЛНЯЕТСЯ. Своими остаются
+ * ровно те поля, ради которых всё затевалось: имя и иконка. Всё прочее —
+ * `id`, `start_url`, `scope`, `display` и любое будущее — проходит как есть.
+ *
+ * Если файл не найден, отдаётся наш запасной: лучше своё имя без чужих
+ * полей, чем отказ.
+ *
+ * @param baseDir - каталог нашего модуля, от него ищется поставочный файл.
+ * @param overrides - наши поля.
+ * @param fallback - что отдать, если поставочного файла нет.
+ */
+export async function handleManifest(req, res, baseDir, overrides, fallback) {
+  let shipped = null
+  try {
+    const path = await findShipped(baseDir, '@deepseek-ai/dsh-web-frontend/dist/manifest.webmanifest')
+    if (path !== null) {
+      const { readFile } = await import('node:fs/promises')
+      shipped = JSON.parse(await readFile(path, 'utf8'))
+    }
+  } catch {
+    // Испорченный или недоступный файл — не повод отказывать.
+    shipped = null
+  }
+
+  const value = shipped === null ? fallback : { ...shipped, ...overrides }
+  res.writeHead(200, {
+    'content-type': 'application/manifest+json; charset=utf-8',
+    'cache-control': 'no-cache',
+  })
+  res.end(JSON.stringify(value, null, 2))
+}
+
 /** Обновить кеш состояния версий. Вызывается и фоновым таймером. */
 export async function refreshUpdate(state, loadModule) {
   const module = await loadModule('./update-check.js')
@@ -84,6 +198,10 @@ export async function handleUpdate(req, res, state, loadModule) {
         reply(res, 415, { ok: false, problem: 'ожидается content-type: application/json' })
         return
       }
+      if (!sameOrigin(req)) {
+        reply(res, 403, { ok: false, problem: 'запрос с чужой страницы' })
+        return
+      }
       const module = await loadModule('./update-check.js')
       const result = await module.applyUpdate()
       state.cached = result.status ?? state.cached
@@ -125,6 +243,11 @@ export async function handleAuth(req, res, services, loadModule) {
       return
     }
 
+    if (!sameOrigin(req)) {
+      reply(res, 403, { problem: 'запрос с чужой страницы' })
+      return
+    }
+
     const body = await readJsonBody(req)
     if (body === null) {
       reply(res, 400, { problem: 'тело запроса не разобрано' })
@@ -145,7 +268,15 @@ export async function handleAuth(req, res, services, loadModule) {
       return
     }
 
-    reply(res, 200, { available: true, ...result })
+    // Список провайдеров прикладывается к КАЖДОМУ ответу, а не только к GET.
+    //
+    // Браузер заменяет состояние ответом целиком, и ответ без списка обнулял
+    // его: после первого же нажатия «Войти» кнопки провайдеров исчезали и не
+    // возвращались до перезагрузки страницы. Отметка «подключено» вдобавок
+    // меняется как раз по итогу входа — значит список и должен приходить
+    // вместе с ним.
+    const listing = await bridge.listProviders(services.authorization, services.credentials)
+    reply(res, 200, { available: true, ...listing, ...result })
   } catch (error) {
     reply(res, 500, { problem: String(error?.message ?? error) })
   }

package/lib/index.js

@@ -69,33 +69,42 @@ const APP_ICON = (() => {
 const APP_ICON_PATH = '/tensorgrid-icon.svg'
 
 /**
- * Веб-манифест. Он задаёт не только иконку, но и ИМЯ установленного
- * приложения — то, что видно в панели задач, меню «Пуск» и заголовке окна.
- * Поставочный называет продукт чужим именем, поэтому манифест свой.
+ * Наши поля веб-манифеста — и только они.
  *
- * Поля id, start_url, scope и display повторяют поставочные: они определяют
- * поведение установленного приложения, и менять их значило бы чинить не то.
+ * Манифест задаёт не только иконку, но и ИМЯ установленного приложения: то,
+ * что видно в панели задач, меню «Пуск» и заголовке окна. Поставочный
+ * называет продукт чужим именем, поэтому эти поля мы переопределяем.
+ *
+ * Остальное НЕ трогаем. Поставочный манифест читается из файла фронтенда и
+ * дополняется этими полями, так что `id`, `start_url`, `scope`, `display` и
+ * всё, что dsh добавит завтра, проходят как есть. Полная подмена заморозила
+ * бы чужой файл на сегодняшней версии.
  */
-const MANIFEST = JSON.stringify(
-  {
-    id: '/',
-    name: 'TENSOR GRID',
-    short_name: 'TENSOR GRID',
-    start_url: '/',
-    scope: '/',
-    display: 'fullscreen',
-    background_color: '#0B0D12',
-    theme_color: '#0B0D12',
-    icons: [
-      { src: APP_ICON_PATH, sizes: 'any', type: 'image/svg+xml', purpose: 'any' },
-      // maskable разрешает системе обрезать иконку под свою форму. Знак
-      // отступает от краёв на 16%, поэтому обрезка его не заденет.
-      { src: APP_ICON_PATH, sizes: 'any', type: 'image/svg+xml', purpose: 'maskable' },
-    ],
-  },
-  null,
-  2,
-)
+const MANIFEST_OVERRIDES = {
+  name: 'TENSOR GRID',
+  short_name: 'TENSOR GRID',
+  background_color: '#0B0D12',
+  theme_color: '#0B0D12',
+  icons: [
+    { src: APP_ICON_PATH, sizes: 'any', type: 'image/svg+xml', purpose: 'any' },
+    // maskable разрешает системе обрезать иконку под свою форму. Знак
+    // отступает от краёв на 16%, поэтому обрезка его не заденет.
+    { src: APP_ICON_PATH, sizes: 'any', type: 'image/svg+xml', purpose: 'maskable' },
+  ],
+}
+
+/**
+ * Запасной манифест — на случай, если поставочного файла не нашлось.
+ * Повторяет поля, которые поставка задавала на момент проверки: лучше своё
+ * имя без чужих новшеств, чем отказ отдать манифест вовсе.
+ */
+const MANIFEST_FALLBACK = {
+  id: '/',
+  start_url: '/',
+  scope: '/',
+  display: 'fullscreen',
+  ...MANIFEST_OVERRIDES,
+}
 
 export const name = 'tensorgrid-ui'
 
@@ -135,20 +144,6 @@ export function apply(ctx) {
       }),
     )
 
-    web.effect(() =>
-      web.webServer.register({
-        kind: 'exact',
-        path: '/manifest.webmanifest',
-        handler(_req, res) {
-          res.writeHead(200, {
-            'content-type': 'application/manifest+json; charset=utf-8',
-            'cache-control': 'no-cache',
-          })
-          res.end(MANIFEST)
-        },
-      }),
-    )
-
     // Стабильная оболочка маршрутов. Вся бизнес-логика живёт в
     // `http-runtime.js`, который перечитывается по времени правки файла.
     // Поэтому исправление обработчика доезжает со следующим запросом — без
@@ -168,6 +163,19 @@ export function apply(ctx) {
       return import(`${path.href}${version}`)
     }
 
+    /**
+     * Превратить file-адрес в путь файловой системы без импорта модуля.
+     *
+     * `node:url` импортировать здесь нельзя: строка композиции грузится
+     * раньше, чем о пакете что-либо известно, и host-половина обязана
+     * оставаться без импортов. На Windows адрес выглядит как
+     * `file:///C:/…`, поэтому ведущая косая убирается.
+     */
+    function fileURLToPathSafe(url) {
+      const decoded = decodeURIComponent(String(url.pathname))
+      return /^\/[A-Za-z]:/.test(decoded) ? decoded.slice(1) : decoded
+    }
+
     /** Минимальный запасной ответ, если горячий модуль не загрузился вовсе. */
     function fail(res, error) {
       const body = JSON.stringify({ problem: `обработчик не загрузился: ${String(error?.message ?? error)}` })
@@ -212,6 +220,26 @@ export function apply(ctx) {
       })
     })
 
+    // Манифест собирается в горячем модуле: он ЧИТАЕТ поставочный файл и
+    // дополняет его нашими полями, а значит зависит от чужой формы, которая
+    // может поменяться. Такую логику правильнее держать там, где её можно
+    // поправить без перезапуска.
+    web.effect(() =>
+      web.webServer.register({
+        kind: 'exact',
+        path: '/manifest.webmanifest',
+        async handler(req, res) {
+          try {
+            const runtime = await loadModule('./http-runtime.js')
+            const here = new URL('.', import.meta.url)
+            await runtime.handleManifest(req, res, fileURLToPathSafe(here), MANIFEST_OVERRIDES, MANIFEST_FALLBACK)
+          } catch (error) {
+            fail(res, error)
+          }
+        },
+      }),
+    )
+
     web.effect(() =>
       web.webServer.register({
         kind: 'exact',

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "tensorgrid-ui",
-  "version": "1.1.5",
+  "version": "1.2.2",
   "description": "TENSOR GRID — фирменный интерфейс поверх DeepSeek Harness: палитра, живой ambient-слой, айдентика и русский язык-пакет",
   "type": "module",
   "main": "lib/index.js",