NPM 包管理 zhengjy01/dsh-npm

dsh-npm

DeepSeek Harness 的 NPM 包管理插件：查包信息、列版本、搜索 registry、发布包、标记弃用，全部可由 agent 直接完成。

- 查询类工具直接走 npm registry JSON API（不需要本地 npm，公共包无需认证）。
- 发布 / 弃用调用本地 npm CLI，复用你自己 ~/.npmrc 的登录凭据——也可以在插件里配置一个 token。

工具

| 工具 | 用途 |
| npm_status | 插件状态：生效 registry、token 是否配置、本机 npm CLI 是否可用、配置路径 |
| npm_config | 配置 registry 基础地址和/或 auth token（存 ~/.dsh/dsh-npm.json，权限 0600）；reset: true 清除 |
| npm_info | 包元数据：最新版本、dist-tags、描述、作者、license、主页、仓库、创建/更新时间、依赖摘要 |
| npm_versions | 全部已发布版本及发布时间（dist-tags.latest 置顶）——发布前先查 |
| npm_search | 按关键词搜索 registry（名称、描述、作者、相关度） |
| npm_publish | 真实执行 npm publish：支持 dir、tag、access、otp、registry、dryRun、force |
| npm_deprecate | 标记包/版本弃用（真实写入 registry，请谨慎） |

兼容性

要求 DeepSeek Harness ≥ 0.1.5-rc.1（已在包清单的 dsh.engines.dsh 中声明，DSH 插件市场据此显示兼容版本），并已在 0.1.5-rc.1 上实测通过。本构建包含 DSH 0.1.5 的适配：工具结果的严格校验契约（lossless-JSON 快照、additionalProperties: false 的 schema 校验、output.render 必须返回 ContentBlock[]），以及不依赖宿主 PATH 的可执行文件解析（launchd 托管的宿主 PATH 只有 /usr/bin:/bin）。 本版起在 peerDependencies 中显式声明兼容 DSH 0.2.0-rc.2（官方 DSH 包的版本范围已含 ^0.2.0-rc.2），在 0.2.0-rc.2 上不会再出现兼容告警；功能与行为无变化。

安装

本地开发（link 方式） from npm (published package)
dsh plugin --profile web add dsh-npm

or local development
dsh plugin --profile web add link:/path/to/dsh-npm

发布到 GitHub 后（仓库打上 dsh-plugin topic）
dsh plugin --profile web add github:zhengjy01/dsh-npm

安装后需重启 DSH web 服务（无热重载）。

Web 设置面板

插件自带 Web 设置页「设置 → NPM」面板：可视化配置 registry / token（token 掩码显示，存 0600 文件），并提供快捷查包（等价 npm_info）与快捷搜索（等价 npm_search），无需命令行。
Host 路由：/api/dsh-npm/config、/api/dsh-npm/info、/api/dsh-npm/search（仅 loopback）。

认证模型

- 查询公共包：无需任何配置。
- 发布：npm publish 子进程读取你正常的 ~/.npmrc（npm login 一次即可）。
- Token（可选）：用 npm_config 的 token=… 配置；存于 ~/.dsh/dsh-npm.json（0600），发布/弃用通过临时 userconfig 文件注入（绝不出现在命令行或日志），查询私有包时作为 Bearer 头使用。任何输出都不回显完整 token（只显示掩码）。
- Registry：默认 https://registry.npmjs.org/；可在调用时传 registry 参数，或全局 npm_config registry=… 配置（私有 registry / 镜像场景）。

安全说明

- npm_publish 会真实上传到 registry。发布前请先用 npm_info / npm_versions 确认版本号不存在，建议先 dryRun: true 预检。
- force: true 会覆盖已发布版本（npm 默认拒绝）——危险操作。
- npm_deprecate 会写入永久弃用说明，展示给所有安装者。

开发

pnpm install
pnpm build # tsc 声明 + tsdown 打包 → dist/index.mjs
pnpm test # 冒烟测试（配置读写、真实 registry 查询、publish --dry-run）

License

MIT