[Bug] macOS 桌面版：内置更新器因 host 优雅退出超过 10 秒而拒绝安装（即使最终 exit 0）

[zhaoqianguo]

环境

• macOS（Apple Silicon / arm64）
• DeepSeek Harness 桌面版 0.2.1-rc.2（Electron），目标版本 0.2.1-rc.3
• 更新通道：nightly，feed https://download.deepseek.com/dsh-desk/feeds/mac-arm64/

现象

点击「检查更新」后，包下载完成，随后弹窗：

未能安全停止任务，更新尚未安装，请稍后重试。

「查看技术详情」：

desktop update: Host did not complete graceful task teardown (exit 0, signal null, shutdown acknowledged true, graceful deadline exceeded true)

100% 复现：完全退出 App（Cmd+Q，确认 Dock 图标消失、pgrep -f "DeepSeek Harness" 无输出）后重开，不进任何会话、不跑任务，直接点更新 —— 仍然报同样的错。

关键证据：下载是成功的，失败在「安装前停机」

• ~/Library/Caches/@deepseek-aidsh-desktop-updater/pending/deepseek-harness-0.2.1-rc.3-mac-arm64.zip，347,702,586 字节，已完整存在
• 其 sha512 与远端 nightly-mac.yml 声明完全一致：
  0tCeP/zLGLtsH+S4BD4TIyRJ8TwRhh7xaJprTMOUoEfj7hYJFC3G5l6nl/2zCTS41MeE9k+KRN19RE9sqX6goQ==
• pending/update-info.json 中 isAdminRightsRequired: false，/Applications 可写，无需 sudo

所以问题不在下载/校验，而在安装前对 host 进程的停机判定。

代码定位（app.asar 内 DesktopHost.stop）

if (child.connected) child.send({ type: "shutdown" }, (error) => { if (error !== null) this.fail(error); });
const exited = this.exitPromise ?? Promise.resolve();
const graceful = await exitsWithin(exited, 1e4);      // 只给 10 秒
if (!graceful) child.kill("SIGTERM");
if (!await exitsWithin(exited, 5e3)) {
  child.kill("SIGKILL");
  if (!await exitsWithin(exited, 5e3)) throw new Error("dsh desktop host did not exit after SIGKILL");
}
if (requireGraceful && (!graceful || child.exitCode !== 0 || !this.shutdownCompleted))
  throw new DesktopHostUncleanExitError(
    `desktop update: Host did not complete graceful task teardown (exit ${child.exitCode}, signal ${child.signalCode}, shutdown acknowledged ${this.shutdownCompleted}, graceful deadline exceeded ${!graceful})`
  );

报错字段的实际含义：

字段	值	含义
shutdown acknowledged	true	host 已确认收到退出指令
exit / signal	0 / null	host 正常退出，未被强杀
graceful deadline exceeded	true	只是退出耗时 > 10 秒

即：host 是干净退出的，仅因为超过 10 秒宽限期就被判定为「不干净」，更新被回滚。

建议修复

1. 把宽限期从 1e4 放宽到 30s（或做成可配置），夜间构建在较慢机器/插件较多时 10s 明显不够；
2. 或者调整判定逻辑：deadline 只用于决定是否发 SIGTERM，而「干净」的判据改为 shutdownCompleted === true && child.exitCode === 0（即最终是否正常退出），不要用「是否在 10s 内退出」作为失败条件；
3. 失败弹窗建议写明是「安装前停机超时」，并提供「跳过优雅检查 / 手动安装」入口，避免用户反复重试无门。

目前的绕过方式（已验证可用）

退出 App 后手动解压已下载的包覆盖：

osascript -e 'quit app "DeepSeek Harness"'; sleep 6
Z=~/Library/Caches/@deepseek-aidsh-desktop-updater/pending/deepseek-harness-0.2.1-rc.3-mac-arm64.zip
mv "/Applications/DeepSeek Harness.app" ~/Downloads/dsh-rc2-backup.app
ditto -x -k "$Z" /Applications
xattr -dr com.apple.quarantine "/Applications/DeepSeek Harness.app"
open "/Applications/DeepSeek Harness.app"

升级到 0.2.1-rc.3 后运行正常，codesign --verify --deep --strict 通过。

[SuperAllenYao]

macOS 侧复现 + 根因：host 收到 shutdown 后从不调用 process.exit()（与 koffi 无关）

环境：macOS（arm64）、桌面端 0.2.1-rc.5、Electron 44.7.0、runtime Node 24.21.0、channel nightly。

复现到的报错与你们一致：

desktop update: Host did not complete graceful task teardown (exit null, signal SIGTERM, shutdown acknowledged true, graceful deadline exceeded true)

隔离复现（不经过更新器）：直接启动打包内的 desktop-host 入口（ELECTRON_RUN_AS_NODE，同一份 app.asar，临时 DSH_HOME + 临时 profile），通过 IPC 发送 {type:"shutdown"}：

profile	收到 shutdown 后 host 是否退出
只有 base + web-app	131 ms 退出
再加一个 apply() 里只有 setInterval(() => {}, 1000) 的 profile 插件	180 秒后仍然存活（最后由测试脚本杀掉）

也就是说：不是 koffi 本身，而是任何一个被引用的句柄都能复现（定时器、socket、watcher、FFI 回调通道）。koffi 只是 Windows 上必然存在的那个。

代码位置（打包的 0.2.1-rc.5）：

• dsh-desktop-host/lib/index.js 的 stop()：await application.shutdown.shutdown(0) → await send({type:"shutdown-complete"}) → process.disconnect()，没有 process.exit()；
• profile-boot 的 createProcessShutdown()：dispose() 完成后只调用 complete(code)，即仅设置 process.exitCode，然后指望事件循环自然排空。只要有一个引用句柄，循环就永远不空。

影响不止更新：普通 Cmd+Q 也是同一条路径——壳层先 hide 窗口，再等 DesktopHost.stop()，于是 10s + 5s + 5s 的升级期间所有进程继续存活，用户看到的就是「界面没了 / 黑屏，进程还挂着几十秒」。

建议修复（一行）：在 shutdown-complete 发出后（或 process.disconnect() 之后）直接 process.exit(0)；或者让 createProcessShutdown 的终止步骤在桌面 host 上无条件退出。此时优雅清理已经完成，跳过的只是事件循环排空。

实测效果：我在本机按这个思路实现（打包的 app.asar 已签名，所以做成 host 插件、拦截 shutdown-complete 后退出），0.2.1-rc.5 / macOS arm64 上耗时变成 shutdown requested → shutdown-complete → exit 共 56 ms，Cmd+Q 后进程立即全部消失，无残留、无黑屏。

[Acfufu]

补充 macOS 侧独立实测数据(rc.3→rc.5 内置更新),佐证楼上的根因定位。

• 我机上的失败形态与楼主一致,但终态略不同:exit 0, signal null——profile-boot 注册的 process.on("SIGTERM") → interrupt(0) 把救场 SIGTERM 转成了干净退出;判定链完全一样:shutdown acknowledged true 而 graceful deadline exceeded true,升级被拒,重试才成功
• 本机 rc.5 发包 dsh/node_modules/@deepseek-ai/dsh-desktop-host/lib/index.js 的 stop() 在 process.disconnect() 后确认仍无 process.exit(),与上面定位一致;tag 比对 6252a29a → dsh-v0.2.1-rc.4 / rc.5 均为 diverged,完整证据在 0.2.1-rc.3 仍会在 Host 完成收尾确认后拒绝应用内更新（master 修复 6252a29a 未包含在发布包） #11032
• 对照组(逐秒 lsof 采样一次成功升级的 teardown):webserver LISTEN 与全部 TCP 在最后 ~2 秒内清空后进程立即自行退出——事件循环能否赶上 10 秒窗口就是成败分水岭
• 修法同意一行式:shutdown-complete 发出后直接退出;可与 0.2.1-rc.3 仍会在 Host 完成收尾确认后拒绝应用内更新（master 修复 6252a29a 未包含在发布包） #11032 一起催进下一个桌面端构建