dsh-approval-center

人工检查完整配置：id: approval-center 只应有一个，不要仅按字符串命中次数判断

卸载：Web 侧栏 **插件 → dsh-approval-center → 卸载**，或使用命令：

```powershell
dsh plugin --profile web remove dsh-approval-center

首次运行注册的 URI 方案（HKCU dshapproval）与 AUMID 不会随卸载自动移除—— 它们只在 Windows 唤起审批按钮时被用到，留着不影响其他功能。

从旧版升级与回滚

同一 dataDir 只允许一个新版实例。旧版没有实例锁，升级前须先停旧实例，不要新旧混跑。

1. 等当前审批结算后停止宿主；备份目标 profile 的配置、package/lock/patch 文件及审计目录。
2. 宿主停止后，若审计库旁存在 approvals.db-wal、approvals.db-shm，将它们与 approvals.db 一起备份。运行中的备份应使用 SQLite backup 通道，不能只复制主 DB 文件。
3. 在目标 profile 卸载旧插件，安装本预发布版；检查插件只挂载一个实例，再重启宿主。
4. 验证一次批准、一次拒绝、审计终态和历史数据读取；遇到问题先停止候选并备份当前数据，再按备份恢复旧版 profile 与安装来源。

旧版 0.3.0 打开库时会将残留 pending 改为 timeout，因此回装旧版前必须先备份。完整操作见 升级、WAL 备份与回滚清单。生产升级后回装演练尚未完成；本次验证覆盖隔离安装/卸载与注册恢复。

SQLite 保存原始审批原因与结果；displayReason 用于界面展示，不替代原始审计原因。崩溃恢复的 pending 会记为 unavailable，不会伪装成用户拒绝或超时。审计插入失败不弹审批，批准结果结算失败会降级为渠道不可用，避免未经记录的放行。

配置

⚠ config 是整体替换、不做深合并（dsh-app-boot 的 patch 语义： "config is replaced wholesale, not deep-merged"）。只写一两个字段，其余字段会被 schema 默认值补齐，而不是保留本包出厂值——例如只写 timeoutSec， tools 会变回 ['*']（拦截全部审批，Web GUI 审批面板随之消失）。 要覆盖就把字段写全。

覆盖出厂配置用 id 定向补丁（不要用 insert，那会挂载两次）：

## 配置

> **⚠ config 是整体替换、不做深合并**（`dsh-app-boot` 的 patch 语义：
> "config is replaced wholesale, not deep-merged"）。只写一两个字段，其余字段会被
> **schema 默认值**补齐，而不是保留本包出厂值——例如只写 `timeoutSec`，
> `tools` 会变回 `['*']`（**拦截全部审批，Web GUI 审批面板随之消失**）。
> 要覆盖就**把字段写全**。

覆盖出厂配置用 **id 定向补丁**（不要用 `insert`，那会挂载两次）：

```yaml