bug: GitHub 插件更新提示失败，无法安装 1.2.6

[jinzheng8115]

问题描述 / What happened

GitHub 插件提示有可用更新，但更新过程失败，无法安装 1.2.6。弹窗显示：“该插件包无效，或当前 Cindy 版本不支持它。”

环境 / Environment

• Cindy 版本或 commit / version or commit: 当前桌面版（版本信息未记录）
• 平台与版本 / platform & OS version: macOS
• 安装方式 / install method: Cindy 内置插件市场更新
• 插件：GitHub v1.2.2 → v1.2.6

复现步骤 / Steps to reproduce

1. 打开 Cindy 的插件管理/插件市场。
2. 找到 GitHub 插件，点击更新，将 v1.2.2 更新到 v1.2.6。
3. 等待更新完成。
4. 观察到更新失败，并提示“该插件包无效，或当前 Cindy 版本不支持它。”

日志与截图 / Logs & screenshots

附上更新失败弹窗截图。

错误提示原文：该插件包无效，或当前 Cindy 版本不支持它。

[dash-s-cindy]

判断：GitHub 插件更新失败确实需要处理，当前证据表明问题发生在市场 Release 与稳定版 Cindy Host 的 Manifest 能力不匹配，而不是 macOS 更新流程或 GitHub OAuth 本身。用户看到“可更新”是因为目录快照已经返回 1.2.6；点击详情或更新时，客户端又解析同一 Release 的 Manifest，在进入下载、安装、授权之前拒绝了它。该现象与 #1999（Windows、Cindy 0.1.33）和 #1968（macOS、Cindy 0.1.33）构成同一故障链，说明不是单一平台故障。

行动建议

1. 先做市场止血，不改变客户端能力边界。 将 Global 的 cindy-github current Release 回退到最后一个兼容稳定 Host 的版本，或发布不含未知 Secret source 的 1.2.6 修订包。以 packaged Cindy 0.1.33 在 macOS 和 Windows 分别验证：已安装 1.2.2 时更新提示、详情页、更新确认、安装落盘、PAT/OAuth 配置流程以及重启后的插件状态。回退或重发后核对 production catalog Manifest、实际 .cindy 包内 canonical ghost.json、Release ID、SHA-256 和包大小一致。bug: GitHub 插件更新提示失败，无法安装 1.2.6 #2008 未记录客户端版本和区域，需补采这两项及主进程日志；但现有跨 Issue 证据已足以先处理现网 Release。

2. 推进兼容性错误分类修复。 当前快照 origin/main@f568fcaa05824347079ed77d35420ac83114be12 中，apps/desktop/src/main/plugin-market/api.ts 的 PluginMarketApi.detail() 直接调用 parseGetPluginResponse()；解析到当前 Release 的不支持字段会抛出普通异常。apps/desktop/src/main/plugin-market/registerIpc.ts 的 invokePluginMarket() 对非既有 IPC 错误统一转换为 INTERNAL，因此 Renderer 无法区分“远端响应损坏”和“Release 不受当前 Host 支持”。

   PR #1978 已提供针对当前 Release Manifest 解析失败的窄分类，并映射到已有 GHOST_FILE_INVALID 稳定错误；网络失败和畸形响应 envelope 仍保留 INTERNAL。这与本 Issue 的错误文案和故障位置直接相关，但截至研究时 PR 仍未合并，且有未解决 review conversation，并触发 plugin-base 的维护者确认门。建议先完成 review/放行并补回归测试，再随客户端版本发布；它只能改善解释和可行动性，不能使 1.2.6 本身变得可安装。

3. 不要把“加入 gh-cli 白名单”作为临时修复。 当前源码 apps/desktop/src/shared/ghost.ts 的 GHOST_SECRET_SOURCES 闭集为 user、login-email、oauth、oidc-token；validateGhostManifest() 会拒绝未知 source。仓库中虽然存在 GitHub CLI 相关的主机侧代码，但没有证据表明它已经实现为插件 network.secrets[].source 的完整能力：还缺 Host 取值与可用性判定、未安装/未登录/过期时的回退、凭证注入边界、权限展示及跨平台验证。单独放宽枚举会形成“Manifest 通过、运行时语义不完整”的假支持，不建议采用。

已确认事实与限制

• GitHub 插件详情页因 Manifest secrets source 校验失败而无法安装 #1968 的日志明确显示 network.secrets[].source 校验失败，并发生在 GitHub OAuth/账号授权前；其记录还显示 Global 曾返回 1.2.6，而 CN 返回兼容的 1.2.2。区域状态和 Release 可能变化，发布前应重新核对，不能把该历史快照当作当前线上事实。
• GitHub 插件显示可更新但更新失败,无法安装 1.2.6 #1999 与 bug: GitHub 插件更新提示失败，无法安装 1.2.6 #2008 都描述 v1.2.2 → v1.2.6、更新提示出现但详情/更新失败，前者为 Windows、后者为 macOS；GitHub 插件显示可更新但更新失败,无法安装 1.2.6 #1999 是当前 Issue 的直接重复报告，应合并跟踪，避免分别按平台排查。
• 已合并的权限差异复核修复 #1648 / #1657 解决的是市场 Manifest 与真实下载包权限漂移及存量批准保留，不覆盖未知 gh-cli source，因此不能视为本问题已有修复。

后续发布治理

#1857 已明确提出：插件包 Manifest 是权限与宿主兼容性的事实来源，服务器应按 Host API/能力选择可运行 Release，并在 production catalog、实际包和最低支持客户端之间建立 conformance 检查。建议将本次事故作为该发布门的实际案例：新增 Host 能力必须先随客户端落地，再让依赖它的插件 Release 对兼容客户端可见；旧客户端收到不兼容 Release 时应显示稳定的兼容性状态，而不是进入通用 INTERNAL。