dsh plugin add 对带 BOM 的 package.json 会直接 JSON.parse 崩溃

[Fantasymax]

在 VPS 上装 dsh-mcp-manager 的时候踩到一个坑，记录一下，顺便看要不要在 CLI 侧兜个底。

现象

dsh plugin --profile web add dsh-mcp-manager 执行后，pnpm 那边明明装成功了，但 dsh 的 reconcile 阶段直接抛异常退出：

SyntaxError: Unexpected token '', "{ \"name\"... is not valid JSON
    at JSON.parse (<anonymous>)
    at readProfileManifest (@deepseek-ai/dsh-app-boot/lib/index.js:453:22)
    at exportsPatch (dsh/lib/plugin-9h8shc4d.js:32:9)

结果是包进了 dependencies，bundle 没进 dsh.profile.bundles，exit 1。

原因

这个包的 package.json 开头带了一个 UTF-8 BOM：

$ head -c 3 node_modules/dsh-mcp-manager/package.json | od -An -tx1
efbbbf

报错里那个引号后面的不可见字符就是它，不拿 od 看一眼根本发现不了。

临时处理

把 BOM 去掉再重新 add 一次就正常了：

perl -i -pe 's/^\xEF\xBB\xBF// if $. == 1' node_modules/<pkg>/package.json

建议

readProfileManifest 在 parse 前剥一下前导 BOM 就行，一行的事：

if (text.charCodeAt(0) === 0xfeff) text = text.slice(1);

Node 自己加载 CJS 模块时也有这步（stripBOM）。第三方包的数据质量没法控制，CLI 侧免疫掉比让用户对着这个报错猜半天要好。

[HenryZ838978]

Confirmed on rc.6. Repro is the code itself.

Why. dsh-app-boot/lib/index.js:453 and :548 both call JSON.parse directly on file bytes. grep -c 'feff\|stripBOM' dsh-app-boot/lib/index.js = 0. A single 0xEF 0xBB 0xBF at file start is enough.

Fix today. Re-save as UTF-8 without BOM. Scan for others: pip install deepseek-harness-cli && dsh doctor --node --only P2-bom — walks ~/.dsh, ~/.config/dsh, ./.dsh and any **/package.json starting with the BOM triplet.

Fix upstream. Strip BOM before JSON.parse at both call sites, or use JSON.parse(buf.subarray(buf[0] === 0xEF ? 3 : 0).toString('utf8')).