[Bug Report] 包族 npm dist-tag latest 不一致：全新项目按默认版本安装必然 ERESOLVE（0.0.1-rc.1 的 peer 引用已不存在的包名）

[moujf]

TL;DR

@deepseek-ai/dsh-* 包族中绝大多数包的 latest dist-tag 停留在 0.0.1-rc.1（首次公开发布版），而 dsh-agent 和 dsh-app-boot 的 latest 已是 0.1.0-rc.6；同时所有包的 next 都是 0.1.0-rc.6。后果是：全新项目裸装（npm install @deepseek-ai/dsh-agent-spine-demo 等）或按 npm view 报告的 latest 版本钉 ^，会混装两条版本线并直接 ERESOLVE。且 0.0.1-rc.1 这条 latest 线本身的 peerDependencies 引用了改名前、npm 上从未存在（404）的包名（如 @deepseek-ai/dsh-bash-env），即使单独安装 latest 解析出的旧版也无法满足 peer 解析。

复现

mkdir dsh-min-embed && cd dsh-min-embed
npm init -y && npm pkg set type=module
npm install @deepseek-ai/dsh-agent-spine-demo @deepseek-ai/dsh-app-boot @deepseek-ai/dsh-llm \
  @deepseek-ai/dsh-bash-local @deepseek-ai/dsh-subprocess-local \
  @deepseek-ai/dsh-session-persistence-jsonl @deepseek-ai/dsh-session-checkpoint-policy

失败（截取）：

npm error ERESOLVE unable to resolve dependency tree
npm error Could not resolve dependency:
npm error peer @deepseek-ai/dsh-bash-env@"^0.0.1-rc.1" from @deepseek-ai/dsh-tool-bash@0.0.1-rc.1

@deepseek-ai/dsh-bash-env 在 npm 上不存在（npm view 返回 404）。

根因（两个事实）

1. latest 在包族内不一致。 抽查 13 个包（2026-08-17）：

$ npm view @deepseek-ai/dsh-agent-spine-demo dist-tags
{ latest: '0.0.1-rc.1', next: '0.1.0-rc.6' }   # spine-demo、tool-bash、llm、session、tools、
                                               # system-prompt、bash-local、subprocess-local、
                                               # session-persistence-jsonl、
                                               # session-checkpoint-policy、skill 均如此
$ npm view @deepseek-ai/dsh-agent dist-tags
{ latest: '0.1.0-rc.6', next: '0.1.0-rc.6' }   # 仅 dsh-agent、dsh-app-boot 例外

裸装时大多数包解析到 0.0.1-rc.1、这两个包解析到 0.1.0-rc.6，两线的 peer range 互不兼容，必然冲突。

2. 0.0.1-rc.1 的 peer 元数据引用死包名。

$ npm view @deepseek-ai/dsh-tool-bash@0.0.1-rc.1 peerDependencies
{
  '@deepseek-ai/dsh-llm': '^0.0.1-rc.1',
  '@deepseek-ai/dsh-bash': '^0.0.1-rc.1',      # npm 上不存在
  '@deepseek-ai/dsh-agent': '^0.0.1-rc.1',
  '@deepseek-ai/dsh-tasks': '^0.0.1-rc.1',     # npm 上不存在
  ...
  '@deepseek-ai/dsh-bash-env': '^0.0.1-rc.1',  # npm 上不存在（改名前名字）
}

这些是改名（dsh-bash → dsh-shell、dsh-tasks → dsh-jobs、dsh-bash-env → dsh-shell-env）之前的历史名字。作为对比，0.1.0-rc.6 的元数据本身是正确的（peers 统一 ^0.1.0-rc.6，且引用 dsh-shell-env 等现名）——问题只在 latest 指向哪里。

Workaround

把整个包族钉在同一条线上（^0.1.0-rc.6，或 @next），不要混用默认解析：

"dependencies": {
  "@deepseek-ai/dsh-agent-spine-demo": "^0.1.0-rc.6",
  "@deepseek-ai/dsh-app-boot": "^0.1.0-rc.6"
  // …全家统一
}

已实测：全新项目统一钉 ^0.1.0-rc.6 后 81 个包正常安装，agent-spine-demo + JSONL persistence + 本地 bash 执行器组合完整跑通了一个含工具调用的 agent 回合（事件日志正常落盘）。

建议

1. 将包族所有包的 latest 统一推进到当前发布版（对齐 next）：npm dist-tag add <pkg>@0.1.0-rc.6 latest；若 latest 停在 0.0.1-rc.1 是刻意策略（只允许 next），那么 dsh-agent / dsh-app-boot 的 latest 应该回退以保持一致——两选一，但请保持族内一致。
2. 可选：npm deprecate <pkg>@0.0.1-rc.1 "renamed peers; use 0.1.0-rc.6"，让 npm 对装到旧线的用户给出明确提示。
3. 长期：发布脚本在收尾时校验"包族所有包 dist-tag 集合一致"，不一致即失败，防止再次漂移。

附注

• 如果维护者认为"下游应当显式钉版本/用 next"，也建议在 README 的安装章节注明——目前 npx @deepseek-ai/dsh web 之外没有关于包族版本线选择的说明。
• 感谢开源这套 harness——out-of-repo 嵌入的体验整体相当顺畅（spine 组合模式非常好用），这个问题只影响安装第一步。