维护者确认: #2010 enforce plugin Cindy version compatibility (pluginBase)

[MagicLizi]

确认请求

PR #2010 改动涉及插件基座（pluginBase），影响全部已安装插件的兼容性。

触发原因: 修改了 apps/desktop/src/main/cindy-brain/forge.ts、apps/desktop/src/main/plugin-market/api.ts 等插件基座文件。

需要确认: 存量插件兼容性是否得到保障——升级后已装、已批准、已启用的插件是否照旧可用。

如何确认

• 直接在 PR 上 Approve 即放行
• 需要修改就 Request Changes，作者改完后重新 Approve 即放行

关联 PR: #2010

---

关联 PR:#2010(作者 @GaoWeiLiuXD);本 issue 由 review-pr 流程自动创建,用于先讨论该 PR 涉及的插件基座改动(影响全部已装插件),维护者确认后 PR 会恢复推进。

[dash-s-cindy]

判断： #2010 可以放行。该 PR 增加的是针对后续插件发现、安装和更新的可选最低 Cindy 版本约束，不会在 Cindy 升级启动时重新筛查、停用或迁移已安装插件。未声明 minCindyVersion 的旧插件继续被视为兼容，因此已安装、已启用插件以及可认证的历史批准基线会照旧保留。

行动： 建议维护者在 #2010 上 Approve。建议同步增加一条旧安装布局回归用例，以长期固定该兼容承诺，但从当前 diff 和主干行为看，没有足以要求 Request Changes 的阻断问题。

核查结果

1. 兼容检查不在已安装插件的启动路径上

当前主干 apps/desktop/src/main/cindy-brain/GhostManager.ts 的 list() 会扫描已安装目录、校验 ghost.json，并根据 .disabled 标记恢复启用状态。#2010 没有修改这段逻辑，也没有在 list()、运行时拉起或插件发现入口增加“当前 Cindy 版本不足则跳过已装插件”的判断。

PR 新增的 assertGhostSupportsCurrentCindy() 只接入以下写入前路径：

• 市场包 inspect 后、正式安装或更新前；
• 本地 .cindy 安装与更新确认流程；
• 双击/选择文件等本地安装入口。

因此，Cindy 客户端升级本身不会让原本已安装、已启用的插件消失、变为停用或被要求重新安装。

2. 旧插件缺少新字段时继续兼容

#2010 在 apps/desktop/src/shared/ghost.ts 中新增可选字段：

minCindyVersion?: string

兼容判断约定为：字段缺失时不限制 Cindy 版本。现有插件的 ghost.json 不需要迁移或补字段，安装目录与 .cindy 包格式也没有 schema 升级要求。

这与把新字段改成必填、或在启动时把“老数据缺字段”视为无效的方案不同，不会重现存量插件因缺少新状态而集中失效的问题。

3. 启用态、权限批准与凭证均未被改写

本 PR 没有修改：

• .disabled 启停标记及 GhostManager.setEnabled()；
• 插件安装目录布局；
• 权限项生成与权限扩张 diff；
• Plugin Market ledger schema；
• manifestDigest 历史批准基线；
• 插件凭证、KV、连接或 OAuth 存储。

市场插件更新仍沿用 #1648/#1657 已建立的流程：真实包使用 canonical manifest 复核权限；只有经过账本来源和 manifestDigest 认证的已装清单才能作为历史批准基线。#2010 仅在该安装事务进入落盘前增加版本检查，不会清除或重建批准记录。

4. 市场行为的实际变化

用户可见变化集中在“候选 Release”而非“当前已装实例”：

• 官方市场请求携带当前 Cindy 版本，由市场返回适配 Release；
• 自定义市场中要求更高 Cindy 版本的 Release 不再展示；
• 官方、自定义及本地包在实际安装前都以包内 manifest 再检查一次；
• 没有兼容候选 Release 时，详情或安装请求不可用。

即使某个已安装插件后来对应到一个要求更高 Cindy 版本的新 Release，当前已装版本也不会因此被卸载或停用；受影响的是该 Release 的展示和再次安装。

建议补充的非阻塞验证

PR 已覆盖版本字段校验、不兼容市场详情/安装、自定义市场过滤，以及安装前拒绝等用例。为直接回应本 Issue 的维护者确认目标，建议再增加一组基于升级前布局的回归 fixture：

1. 已装 ghost.json 不含 minCindyVersion；
2. 插件处于启用状态；
3. 市场 ledger 存在与旧 canonical manifest 对应的 manifestDigest；
4. 升级后 GhostManager.list() 仍返回该插件且 enabled === true；
5. 重新计算的摘要不变，市场仍能认领该安装并复用历史批准基线；
6. 不触发重新安装、重新授权或重新配置。

该用例能防止后续有人把版本检查下沉到 GhostManager.list() 时无意破坏当前承诺。它适合作为加固项，但当前实现本身没有走到会改变存量状态的路径，因此不必作为本次 Approve 的前置阻断。

边界说明

理论上，若历史第三方包曾提前写入当时尚未正式支持的 minCindyVersion 字段，旧客户端可能安装时忽略该字段，而新客户端会在下一次安装或更新时开始执行它。当前记录中没有发现官方插件批量提前写入该字段的证据；#2010 也明确不包含官方插件仓批量补字段。即便存在这种包，已落地实例的运行与启用态仍不受影响，变化只发生在后续安装/更新事务中。

相关记录

• fix(desktop): 插件运行授权改由 Host 批准 receipt 持有，与可变安装目录解耦 #1080 曾把新的 Host 批准 receipt 一次性应用到全部存量安装，却没有为市场和本地插件提供 backfill，导致升级后非随包插件集中停用并要求逐个重新确认，最终被整体回滚。feat(desktop): enforce plugin Cindy version compatibility #2010 没有新增启动期授权状态，也不把缺少新字段视为无效，因此不具备相同故障链。
• fix(plugin): 支持真实包权限变化后重新确认 #1648 已将真实包 canonical manifest 接入权限复核，并把真实包权限差异变成可恢复的重新确认流程；feat(desktop): enforce plugin Cindy version compatibility #2010 复用该安装出口，只在落盘前增加版本检查。
• fix(desktop): preserve legacy plugin permission approvals #1657 为市场插件保留了经过 manifestDigest 认证的历史批准基线，避免升级时重复确认；feat(desktop): enforce plugin Cindy version compatibility #2010 不修改 ledger 或摘要逻辑。
• feat(plugin): 重构安装信任模型，统一官方、本地与第三方市场的权限和更新边界 #1857 明确提出“已安装、已启用、已批准插件升级客户端后继续工作”的产品原则，同时要求包内 manifest 成为宿主兼容性的事实来源。feat(desktop): enforce plugin Cindy version compatibility #2010 的可选字段和安装前包体复核与这一方向一致。

[MagicLizi]

关联 PR #2010 已合并(https://github.com/makecindy/cindy/pull/2010),这次产品讨论的结论已随 PR 落地,自动关闭本 issue。后续还有想继续聊的,直接 reopen 或另开 issue 都行。