[BUG]插件市场安装/更新插件后 dsh web 启动崩溃：duplicate loader entry id: storage（手工修复会被自动撤销）

[pure-ling]

环境信息

• dsh：@deepseek-ai/dsh（npm 全局安装）+ dshmarket（插件市场 bundle）
• Node：v22.22.3，Windows 10
• 冲突包：@deepseek-ai/dsh-web-app 与 @deepseek-harness-tui/dsh-tui 均声明了 id 为 storage 的 cordis loader 条目，二者互斥

触发场景

1. 在插件市场里安装或更新任意插件；
2. 执行 dsh web 重启；
3. 启动直接崩溃：

Error: dsh: plugin tree failed to load: failed to apply loader entry include (cordis:include): duplicate loader entry id: storage
TypeError: duplicate loader entry id: storage
    at EntryGroup.update (.../cordis-plugin-loader/lib/index.js:81:28)

根因分析

1. dsh plugin（plugin.js 的 reconcilePlugins，约 46-78 行）在 pnpm 成功退出后会调和 dsh.profile.bundles：凡是 dependencies 中存在、且安装版本声明了 dsh.bundle.patch 的包，一律 push 回 bundles 数组。
2. 移除侧判定（wasDependency && !stillBundle）在包仍声明 dsh.bundle 时永远不成立 → reconcile 对 dependencies 中的 bundle 是单向的，只加不删。
3. 插件市场所有安装/更新端点（routes.js 中的 runPlugin(profile, ['add', target]) / ['install']）都经过该 reconcile 路径。

为什么手工修复会失效

若用户手工从 package.json 的 bundles 数组中删掉冲突包（保留其 dependencies 条目），错误暂时消失；但下一次插件市场安装/更新任意插件时，reconcile 会把该包静默写回 bundles（package.json 被整体重写，无任何提示/日志），dsh web 再次崩溃——用户会误以为是"新装的插件有问题"。

期望行为

1. reconcile 尊重显式移除：dependencies 中但被用户从 bundles 手动移除的包，不应被静默加回；至少写入日志/给出一次警告 "re-added X to bundles"；
2. 崩溃时给出可操作诊断：duplicate loader entry id: storage 应指明冲突的 id 分别来自哪两个 bundle（如 storage: @deepseek-ai/dsh-web-app vs @deepseek-harness-tui/dsh-tui），并提示二者互斥；
3. 市场安装/更新后做 boot 预检：插件市场操作完成时，如果 reconcile 修改了 bundles 且新组合存在 loader id 冲突，在安装回执中直接报错拦截，而不是留给用户下次启动时崩。

复现步骤

1. web profile 的 dependencies 中保留 @deepseek-harness-tui/dsh-tui，从 bundles 数组手工删掉它（此时 dsh web 正常）；
2. 在插件市场安装或更新任意插件；
3. 检查 package.json：dsh-tui 已被静默写回 bundles；
4. dsh web → 崩溃。