[Bug] Windows: dsh CLI 插件管理 spawnSync("pnpm", ..., { shell: true }) 未设置 windowsHide，安装插件时弹出 CMD 窗口

[vkeezou]

环境

• 平台：Windows（win32 x64）
• 版本：@deepseek-ai/dsh 0.1.0-rc.7

现象

在 Windows 上执行 dsh plugin 相关命令（或经由 DSH Desktop 安装插件）时，runPlugin() 通过 spawnSync("pnpm", args, { shell: true }) 调用 pnpm。shell: true 在 Windows 上会走 cmd.exe /d /s /c ...，而 spawn 选项没有 windowsHide: true —— 当父进程（隐藏启动的 harness node）没有可见控制台时，会弹出可见的 CMD 窗口。

定位

apps/cli（打包产物 lib/plugin-9h8shc4d.js）中 runPlugin()：

const result = spawnSync("pnpm", args.map(...), {
  cwd: dir,
  stdio: "inherit",
  shell: process.platform === "win32"
});

修复建议

const result = spawnSync("pnpm", args.map(...), {
  cwd: dir,
  stdio: "inherit",
  shell: process.platform === "win32",
  windowsHide: true
});

POSIX 上该选项被忽略，无副作用。

备注

与 packages/subprocess/subprocess-local 中 spawn() / taskkill 缺 windowsHide 是同一类问题（见同仓库另一条反馈 #4023），建议一并修复。

[PerryLink]

先给结论：确认，这个 bug 在 master（v0.1.6-alpha.1）上仍然存在。apps/cli/src/plugin.ts:134-138 的 spawnSync 依旧没有 windowsHide，而且这个文件的历史里从来没有加过它（git log -S windowsHide -- apps/cli/src/plugin.ts 为空）。

当前 master 上的代码，和你贴的打包产物一致：

const result = spawnSync('pnpm', args.map(argument => anchorPathSpec(argument, process.cwd())), {
  cwd: dir,
  stdio: 'inherit',
  shell: process.platform === 'win32',
})

shell: true 在 Windows 上走 cmd.exe，不传 windowsHide 时，无控制台的父进程触发安装就会闪出 CMD 窗口——你的定位和一行修法都正确（POSIX 上该选项被忽略，无副作用）。

有个值得补充的对照：你提到的同源问题（subprocess 侧，#4023）在主线其实已经修了。packages/subprocess/subprocess-local/src/spawn.ts:466 现在是 windowsHide: platform === 'win32'，两处 taskkill 调用也带了 windowsHide: true（spawn.ts:118-120、windows-inspector.ts:153-155），对应提交 cc8099dc5f fix(subprocess): hide Windows child windows（2026-09-03，自 0.1.3-alpha.1 起包含）。唯独 CLI 插件管理这条 spawnSync 路径漏掉了，两边目前不一致——这一点值得在这条讨论里明确点出来，方便维护者顺手对齐。

实践上的缓解：没有代码级 workaround，windowsHide 只能由调用方设置。可行的是：在已经可见的终端里跑 dsh plugin ...（弹窗会复用/不那么突兀）；如果是从隐藏窗口启动的 harness 进程触发的安装，那一次 CMD 闪现是当前版本预期内的行为，只能先接受。风险：无功能影响，纯粹是视觉问题——pnpm 照常在 profile 目录执行，exit code 正常返回，安装结果不受影响。我没有在无控制台进程里实际复现弹窗（未验证），但"spawn 选项缺 windowsHide 与弹窗的因果"是 Node 的文档化语义，代码路径上没有别的兜底。

另外提一句你引用的打包产物路径（lib/plugin-9h8shc4d.js）是旧构建的哈希名，源码位置就是 apps/cli/src/plugin.ts:134-138，在 master 上核对时以这里为准。

如果你能附上触发时的 dsh --version 和完整命令（比如 dsh plugin add <包名>），我可以按同样参数再帮你核一遍行为，方便一起贴给维护者。