feat: 校验补 @grant、更新加版本闸，审核结果回贴原 issue 通知投稿人

Author: imsyy

scripts/header.mjs

@@ -7,6 +7,7 @@
 /** 各字段长度上限 */
 export const LIMITS = {
   id: 64,
+  grant: 64,
   name: 24,
   description: 256,
   author: 56,
@@ -46,10 +47,26 @@ export function validateSource(source) {
   if (!header.id) errors.push("缺少 @id");
   else if (!ID_RE.test(header.id)) errors.push(`@id 非法：${header.id}`);
   if (!header.name) errors.push("缺少 @name");
-  if ((header.type ?? "source") !== "control") errors.push("@type 需声明为 control");
+  if ((header.type ?? "source") !== "control") errors.push("脚本头需声明 @type control");
   else if (!header.apiLevel || Number(header.apiLevel) < 2) errors.push("控制类插件需 @apiLevel ≥ 2");
   if (header.version && !/^\d+(\.\d+)*$/.test(header.version))
     errors.push(`@version 非法：${header.version}`);
+  // 权限：声明的 @grant 必须在白名单内；用到 request / 反向控制却没声明对应权限会在 App 端被拒，提前拦
+  const grants = (header.grant ?? "")
+    .split(/[,\s]+/)
+    .map((g) => g.trim().toLowerCase())
+    .filter(Boolean);
+  for (const g of grants) {
+    if (g !== "network" && g !== "control")
+      errors.push(`未知权限 @grant：${g}（仅支持 network / control）`);
+  }
+  if (/\bsplayer\.request\b/.test(source) && !grants.includes("network"))
+    errors.push("脚本用到 splayer.request，需声明 @grant network");
+  if (
+    /\bsplayer\.player\.(play|pause|next|prev|seek|setVolume|getPosition)\b/.test(source) &&
+    !grants.includes("control")
+  )
+    errors.push("脚本用到 splayer.player.* 反向控制，需声明 @grant control");
   return { id: header.id, header, errors };
 }
 
@@ -64,6 +81,28 @@ export function validate(id, source) {
   return result;
 }
 
+/**
+ * remote 版本是否严格高于 current：点分数字逐段比较，缺省段补 0，非数字段当 0
+ * @param remote - 新版本号
+ * @param current - 现版本号
+ */
+export function isNewerVersion(remote, current) {
+  const parse = (v) =>
+    String(v)
+      .trim()
+      .replace(/^v/i, "")
+      .split(/[.+-]/)
+      .map((seg) => Number(seg) || 0);
+  const a = parse(remote);
+  const b = parse(current);
+  for (let i = 0; i < Math.max(a.length, b.length); i++) {
+    const x = a[i] ?? 0;
+    const y = b[i] ?? 0;
+    if (x !== y) return x > y;
+  }
+  return false;
+}
+
 /** 仅供人工注意的敏感用法（沙箱才是真边界，这里只提示不拦截） */
 export const DANGER_PATTERNS = [
   /\beval\s*\(/,

scripts/intake.mjs

@@ -7,7 +7,7 @@
 
 import { existsSync, readFileSync, writeFileSync } from "node:fs";
 import { execSync } from "node:child_process";
-import { parseHeader, validateSource } from "./header.mjs";
+import { parseHeader, validateSource, isNewerVersion } from "./header.mjs";
 
 const token = process.env.GITHUB_TOKEN;
 const repo = process.env.GITHUB_REPOSITORY;
@@ -70,9 +70,18 @@ if (errors.length) {
 // 查重
 const file = `plugins/${id}.js`;
 const is_update = existsSync(file);
-const old_version = is_update ? (parseHeader(readFileSync(file, "utf-8")).version ?? "?") : null;
+const old_version = is_update ? (parseHeader(readFileSync(file, "utf-8")).version ?? "0.0.0") : null;
 const version = header.version ?? "0.0.0";
 
+// 更新必须是严格递增的版本，杜绝同版本/降级盲覆盖（历史版本仍留在 git 提交记录里）
+if (is_update && !isNewerVersion(version, old_version)) {
+  await setStatus(false);
+  await comment(
+    `${at}❌ 更新被拒：新版本 v${version} 必须高于现版本 v${old_version}。请提高 @version 后编辑本 issue 重新校验。`,
+  );
+  process.exit(0);
+}
+
 // 仅把插件写进 PR；registry.json 由合并后的 build-registry 从 main 重建（避免并发丢条目）
 writeFileSync(file, source);
 

scripts/review-status.mjs

@@ -1,7 +1,8 @@
 /**
- * 维护者在 PR 提交 review 后，同步 PR 的审核状态标签
+ * 维护者在 PR 提交 review 后：同步 PR 状态标签，并把结果回贴到关联 issue 通知投稿人
  *
- * approved → 已通过；changes_requested → 已拒绝。仅协作者的 review 会触发分支保护放行。
+ * approved → 已通过；changes_requested → 已拒绝。PR 由机器人创建（作者不是投稿人），
+ * 故审核结果必须经 PR 正文的 Closes #N 回到原 issue，否则投稿人在 issue 上看不到驳回意见。
  */
 
 import { readFileSync } from "node:fs";
@@ -10,8 +11,10 @@ const token = process.env.GITHUB_TOKEN;
 const repo = process.env.GITHUB_REPOSITORY;
 const api = process.env.GITHUB_API_URL ?? "https://api.github.com";
 const event = JSON.parse(readFileSync(process.env.GITHUB_EVENT_PATH, "utf-8"));
-const number = event.pull_request.number;
-const state = event.review.state;
+const pr = event.pull_request;
+const review = event.review;
+const number = pr.number;
+const state = review.state;
 
 const gh = (method, path, payload) =>
   fetch(`${api}${path}`, {
@@ -22,12 +25,33 @@ const gh = (method, path, payload) =>
 const add = (n) => gh("POST", `/repos/${repo}/issues/${number}/labels`, { labels: [n] });
 const remove = (n) => gh("DELETE", `/repos/${repo}/issues/${number}/labels/${encodeURIComponent(n)}`);
 
+/** 从 PR 正文的 Closes #N 取关联 issue 号 */
+const linkedIssue = () => {
+  const matched = (pr.body ?? "").match(/#(\d+)/);
+  return matched ? Number(matched[1]) : null;
+};
+
+/** 回贴到关联 issue，并 @ 投稿人 */
+async function notifyIssue(body) {
+  const issueNo = linkedIssue();
+  if (!issueNo) return;
+  const res = await gh("GET", `/repos/${repo}/issues/${issueNo}`);
+  const issue = res.ok ? await res.json() : null;
+  const at = issue?.user?.login ? `@${issue.user.login} ` : "";
+  await gh("POST", `/repos/${repo}/issues/${issueNo}/comments`, { body: at + body });
+}
+
 if (state === "approved") {
   await add("已通过");
   await remove("待审核");
   await remove("已拒绝");
+  await notifyIssue("✅ 审核通过，合并后即收录到插件市场。");
 } else if (state === "changes_requested") {
   await add("已拒绝");
   await remove("待审核");
   await remove("已通过");
+  const note = review.body?.trim() ? "\n\n> " + review.body.trim().replace(/\n/g, "\n> ") : "";
+  await notifyIssue(
+    `❌ 维护者请求修改：${note}\n\n请按意见修改脚本后，编辑本 issue 触发重新校验（或评论 \`/recheck\`）。`,
+  );
 }