dshmarket 1.73.7：Release 附带 tarball（10 月 31 日）

dshmarket 1.73.7 把构建好的 tarball 挂上自己的 Release——Git 源码安装不再需要构建审批，从 issue 到 npm 不足三个半小时，近十晚中的第九个发布夜。

近十晚有九晚都有 dshmarket 发布。dshmarket 1.73.6：三修复与 webp 封面（10 月 30 日）收束了 10 月 30 日，1.73.7 又在 10 月 31 日 19:02:29 UTC 跟进（据 npm registry）——近十晚中的第九个发布夜，10-22 至 10-31 每晚都有，仅 10-25 空缺。本版恰有一个变更，而且对准的不是市场的界面，而是它的第二条安装路径。

这堵墙：绑定在移动 commit 上的构建审批

DSH 插件市场 每次发布都向 npm 推送构建产物，但据 PR #1073 的描述，这份产物此前没有给「从 GitHub 源码安装」留任何免构建的落点。在那条路径上，pnpm 停在 ERR_PNPM_GIT_DEP_PREPARE_NOT_ALLOWED：git 托管的包需要执行构建脚本，却不在 allowBuilds 白名单里。@NeuroPaw 于 10 月 31 日 15:40:48 UTC 提交的 issue #1072，在 DSH Desktop 0.2.1-rc.5 加空 profile 的环境里记录了这条逃生通道的缺陷：把 pnpm 打印的键写进去确实能放行一次安装，但键绑定确切 commit——issue 里能看到内嵌的 codeload 哈希——而 profile 里是浮动 spec github:dsh-market/dsh-market，每次更新都会重新解析。审批按 commit 计，spec 却在动，于是下次更新同一堵墙又回来。

据该 issue 自己的统计，审批链路已被反复修补——8 月 15 日至 10 月 29 日间，allowBuilds 相关 issue 52 条、修复 PR 15 个以上，覆盖键怎么写怎么批、更新时预写下个 commit 的键、自安装解析到 npm 包、浮动分支等情形。按 issue 的说法，这些都没有消除「需要审批」本身；而这次变更消除的正是审批本身。

PR 改了什么

PR #1073 于 18:43:23 UTC 合入——issue 提交三小时后——改三个文件，新增 28 行、删除 0 行。据其描述，发布工作流现在在 npm publish 之后运行 npm pack --ignore-scripts --pack-destination dist，并把 dist/*.tgz 传给 gh release create，每个 release 页面自此携带 tarball 附件；两份 README 各新增一条源码安装指引，直接指向该 tarball。--ignore-scripts 是承重的那部分：npm publish 刚通过 prepack 构建完毕，打包现有产物——而不是放行第二次 prepack——按 PR 的说法可保证附件与同版本 npm 包内容一致，并省去一次多余的 tsc/tsdown。据 PR，该变更只走 tag 路径：dev 通道的 workflow_dispatch 行为不变，未新增依赖与 secret。

首次发版核对当场通过

PR 的验证一节写明：tag 路径无法在 PR 自己的 CI 里预演，并为合并后首次发版列了两项核对——release 页面出现 dshmarket-<版本>.tgz，以及空 profile 里 dsh plugin --profile <p> add <tarball URL> 成功且 pnpm 不写入 allowBuilds。1.73.7 正是那个首次发版，第一项当场读绿：release 页面挂着 dshmarket-1.73.7.tgz——849,048 字节，本文 2026-11-01 抓取时 18 次下载，远低于 PR 估计的约 5 MB 副作用。profile 侧的 add 仍是 PR 陈述的核对，本文未复跑。release 于 19:00:55 UTC 发出，npm 于 19:02:29 UTC：从 issue 到 registry，三小时二十一分钟。

同系列其它条目

• dshmarket 1.73.6：三修复与 webp 封面（10 月 30 日）——10 月 30 日
• dshmarket 1.73.8：GitHub 下载数标签（11 月 1 日）——11 月 1 日
• dshmarket 1.73.4/1.73.5：排空模式（10 月 29 日）——10 月 29 日