[Bug Report] npx @deepseek-ai/dsh web 在干净环境必然崩溃：cordis-plugin-group 是静态导入依赖却只声明为 peerDependency（发布配置缺陷）

[DRAG0NM]

摘要

npx @deepseek-ai/dsh web 在干净环境下启动即崩：ERR_MODULE_NOT_FOUND: Cannot find package '@deepseek-ai/cordis-plugin-group' imported from .../dsh-app-boot/lib/index.js（#982 macOS、#1030 Windows 两位用户独立复现）。根因是发布配置缺陷：dsh-app-boot 在 lib/index.js L11 顶层静态 import @deepseek-ai/cordis-plugin-group（运行时必需），但该包在 package.json 中只被声明在 peerDependencies（dependencies 仅有 js-yaml），而 @deepseek-ai/dsh 主包 dependencies 里也唯独漏掉这个包（同族的 cordis-plugin-hmr/loader/include 都列了）——npm/pnpm 对 peer 依赖的自动安装不保证，干净环境安装后必然缺包。

复现步骤

1. 干净环境（或清空 npm/pnpm 缓存）：npx @deepseek-ai/dsh web。
2. 观察启动即崩：

   Error [ERR_MODULE_NOT_FOUND]: Cannot find package '@deepseek-ai/cordis-plugin-group'
   imported from .../node_modules/@deepseek-ai/dsh-app-boot/lib/index.js
   

3. 检查安装结果：node_modules/@deepseek-ai/ 下存在 cordis-plugin-hmr/loader/include，唯独没有 cordis-plugin-group。

两位用户独立复现（#982：macOS；#1030：Windows）。本机既有 npx 缓存安装完整（历史安装路径可能已自动装 peer），但干净环境必现。

根因（源码定位，rc.6 + registry 元数据）

1. 静态导入 + 错误依赖声明位置 — @deepseek-ai/dsh-app-boot：
   • lib/index.js L11：import Group from "@deepseek-ai/cordis-plugin-group"; —— 顶层静态 import，模块加载即需要该包存在；
   • package.json（registry 0.1.0-rc.6 与本机 npx 缓存包一致）：dependencies 只有 js-yaml；@deepseek-ai/cordis-plugin-group（^1.0.1）在 peerDependencies —— 静态 import 的运行时依赖放在了 peer 区，独立安装场景不会保证装。
2. 主包未传递提供 — @deepseek-ai/dsh@0.1.0-rc.6 dependencies 含 47 个 @deepseek-ai 包（含 cordis-plugin-hmr/cordis-plugin-loader/cordis-plugin-include），唯独没有 cordis-plugin-group——恰好漏掉崩溃点对应的包。
3. npm/pnpm 对 peerDependencies 的自动安装不保证：npm 7+ 的 auto-install-peers 可能因版本/缓存/冲突不生效，pnpm 需同时满足 auto-install-peers 且非 strict——所以两位用户各自环境都缺包崩溃。

建议修复

方案 A（推荐）· 发布配置补全依赖：把 @deepseek-ai/cordis-plugin-group 加入 @deepseek-ai/dsh 主包的 dependencies（与 cordis-plugin-hmr/loader/include 并列）；或把 dsh-app-boot 的该包从 peerDependencies 移入 dependencies（静态 import 的运行时依赖本就该在 dependencies）——发布配置一行修复，重新发布 rc.6 修补版即可。

方案 B · 动态 import + 容错：dsh-app-boot 改为运行时动态 import 并给出可读错误——不推荐：该包是引导链必需件，缺了本来就该失败，问题是"安装时就没装上"，动态 import 不解决安装问题。

影响

• 干净环境（CI、新机器、缓存过期用户）npx @deepseek-ai/dsh web 必然崩溃，无法启动——install failed #982/大佬求教，安装不上了 #1030 双平台独立复现；
• 与 dsh-type-meta is missing from npm, blocking pnpm installs for community plugin development #984（dsh-type-meta 缺失导致 pnpm 安装 404）同类：rc.6 系列的包发布不完整问题已至少两例，建议对 rc.6 全家桶做一次依赖完整性校验（发布流水线加"全量包可解析 + 静态 import 全部在 dependencies"检查）；
• 影响所有"按官方文档 npx 安装"的新用户。

环境

• 源码定位：0.1.0-rc.6（registry 元数据 + npx 缓存安装包，Node v24.16.0，Windows 11）
• 原报告：大佬求教，安装不上了 #1030（Windows；install failed #982 为 macOS 同错误首帖）

验证材料

• registry 元数据：@deepseek-ai/dsh-app-boot@0.1.0-rc.6 dependencies={js-yaml}、peerDependencies 含 @deepseek-ai/cordis-plugin-group ^1.0.1；@deepseek-ai/dsh@0.1.0-rc.6 dependencies 47 个包中无 cordis-plugin-group；
• 本机 npx 缓存包 package.json 与源码：dsh-app-boot/lib/index.js L11 静态 import + 同款依赖声明；
• 双用户现场（install failed #982/大佬求教，安装不上了 #1030 同栈崩溃）。

---

First analysis of discussion #1030. Happy to open a PR with fix option A.