@alipay/alipay-aipay 1.5.3 → 1.5.4

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@alipay/alipay-aipay",
-  "version": "1.5.3",
+  "version": "1.5.4",
   "description": "支付宝 AI 付 Skill 安装包 - 安装 Agent Skill，并检测/后台准备 alipay-cli；jq 可通过 --with-jq 尝试准备",
   "type": "module",
   "bin": {

package/skill/VERSION

@@ -1 +1 @@
-1.5.3
+1.5.4

package/skill/references/normal/json/customer-messages.json

@@ -43,10 +43,10 @@
       "trigger": "onboarding.windows_platform",
       "blocking": false,
       "allowedReplies": [],
-      "variables": [],
+      "variables": [{ "name": "officialUrl", "type": "officialTemporaryUrl", "required": true, "urlKind": "windowsOnboardingRedirect" }],
       "requiredPolicyIds": [],
       "variants": {
-        "DEFAULT": { "templateLines": ["当前为 Windows 系统，请您暂时前往支付宝 AI 付站点完成产品开通：", "https://aipay.alipay.com/?from=alipay-aipay-skill"] }
+        "DEFAULT": { "templateLines": ["当前为 Windows 系统，请您暂时前往支付宝 AI 付站点完成产品开通：", "{{officialUrl}}"] }
       }
     },
     {

package/skill/references/normal/json/policy-rules.json

@@ -174,6 +174,12 @@
       "path": "/public-key-confirm",
       "requiredQueryParams": ["keyConfirmToken"],
       "optionalQueryParams": []
+    },
+    "windowsOnboardingRedirect": {
+      "host": "aipay.alipay.com",
+      "path": "/",
+      "requiredQueryParams": ["from", "reason", "platform_id"],
+      "optionalQueryParams": []
     }
   }
 }

package/skill/references/normal/scripts/onboarding_discovery_runner.mjs

@@ -306,20 +306,22 @@ async function runDiscovery(args) {
   if (globalBlocker) envelope.global_blocker = globalBlocker;
   emitEnvelope(envelope);
 
-  let customerOutputs = executedResults
+  const customerOutputResults = globalBlocker
+    ? executedResults.filter(hasAuthBlocker)
+    : executedResults;
+  const customerOutputs = customerOutputResults
     .map((result) => result.stdout.trim())
     .filter(Boolean);
-  customerOutputs = [...new Set(customerOutputs)];
-  if (globalBlocker) {
-    customerOutputs = customerOutputs.slice(0, 1);
-  } else {
-    customerOutputs.push(renderDiscoverySummary(productType, {
+  let uniqueCustomerOutputs = [...new Set(customerOutputs)];
+  if (globalBlocker) uniqueCustomerOutputs = uniqueCustomerOutputs.slice(0, 1);
+  if (!globalBlocker) {
+    uniqueCustomerOutputs.push(renderDiscoverySummary(productType, {
       signStatus: envelope.signing.query_status === 'SUCCESS' ? envelope.signing.sign_status : 'QUERY_FAILED',
       serviceFlow: envelope.service.query_status === 'SUCCESS' ? envelope.service.flow : 'QUERY_FAILED',
       appFlow: envelope.application.query_status === 'SUCCESS' ? envelope.application.flow : 'QUERY_FAILED'
     }));
   }
-  if (customerOutputs.length > 0) process.stdout.write(`${customerOutputs.join('\n\n')}\n`);
+  if (uniqueCustomerOutputs.length > 0) process.stdout.write(`${uniqueCustomerOutputs.join('\n\n')}\n`);
   return globalBlocker ? 2 : 0;
 }
 

package/skill/references/normal/scripts/onboarding_message_runner.mjs

@@ -5,8 +5,8 @@ import path from 'node:path';
 import process from 'node:process';
 import { fileURLToPath } from 'node:url';
 import { isWindowsPlatform } from './platform_compat.mjs';
-import { loadMccRecords, renderMessage } from './render_customer_message.mjs';
-import { emitStageMetricAsync, emitTerminalMetric } from './telemetry.mjs';
+import { buildWindowsOnboardingRedirectUrl, loadMccRecords, renderMessage } from './render_customer_message.mjs';
+import { currentRunContext, emitStageMetricAsync, emitTerminalMetric } from './telemetry.mjs';
 
 const productTypes = {
   aipay: { variant: 'AIPAY', productName: 'AI 按量付费' },
@@ -129,9 +129,14 @@ async function readStdin() {
 }
 
 function runPlatformEntry() {
-  return isWindowsPlatform()
-    ? renderMessage('onboarding.windows.redirect', 'DEFAULT', {})
-    : '';
+  if (!isWindowsPlatform()) return '';
+  const runContext = currentRunContext();
+  if (!runContext || runContext.terminal || !['onboarding_only', 'full_process'].includes(runContext.root_intent)) {
+    throw new Error('Windows 产品开通引导缺少有效的当前 Onboarding run context');
+  }
+  return renderMessage('onboarding.windows.redirect', 'DEFAULT', {
+    officialUrl: buildWindowsOnboardingRedirectUrl(runContext.run_id)
+  });
 }
 
 function optional(args, name) {
@@ -297,16 +302,18 @@ function resolveMccResult(query, args) {
   const deterministicCodes = deterministicMatches.map(({ record }) => record.code);
   const agentCodes = agent.codes;
   if (agent.semanticStatus !== 'MATCHED') {
+    const finalCodes = deterministicStrongCodes.slice(0, 8);
+    const candidates = finalCodes.map((code) => mccCandidateFromRecord(records.get(code)));
     return {
-      matchType: 'NONE',
+      matchType: candidates.length === 1 ? 'UNIQUE' : candidates.length === 0 ? 'NONE' : 'MULTIPLE',
       semanticStatus: agent.semanticStatus,
       deterministicCandidateCodes: deterministicCodes,
       deterministicStrongCandidateCodes: deterministicStrongCodes,
       deterministicWeakCandidateCodes: deterministicWeakCodes,
       agentCandidateCodes: agentCodes,
-      mergedCandidateCodes: [],
+      mergedCandidateCodes: finalCodes,
       mccTableSummary: mccTableSummary(records),
-      candidates: []
+      candidates
     };
   }
   const deterministicCodeSet = new Set(deterministicCodes);

package/skill/references/normal/scripts/render_customer_message.mjs

@@ -140,6 +140,26 @@ function validateUrl(value, policy, urlKind, expected = {}) {
     }
     if (/[\r\n]/.test(parsed.searchParams.get('keyConfirmToken'))) throw new Error('publicKeyConfirmation URL keyConfirmToken 无效');
   }
+  if (urlKind === 'windowsOnboardingRedirect') {
+    const required = allowed.requiredQueryParams || ['from', 'reason', 'platform_id'];
+    const allowedKeys = new Set(required);
+    const actualKeys = [...parsed.searchParams.keys()];
+    if (actualKeys.some((key) => !allowedKeys.has(key))) throw new Error('windowsOnboardingRedirect URL 包含未允许的查询参数');
+    for (const key of required) {
+      if (parsed.searchParams.getAll(key).length !== 1 || !parsed.searchParams.get(key)) {
+        throw new Error('windowsOnboardingRedirect URL 缺少必要查询参数或参数重复');
+      }
+    }
+    if (parsed.searchParams.get('from') !== 'alipay-aipay-skill') {
+      throw new Error('windowsOnboardingRedirect URL from 无效');
+    }
+    if (parsed.searchParams.get('reason') !== 'alipay-aipay-skill-onboarding-not-support-windows') {
+      throw new Error('windowsOnboardingRedirect URL reason 无效');
+    }
+    if (/[\u0000-\u001f\u007f,^=]/u.test(parsed.searchParams.get('platform_id'))) {
+      throw new Error('windowsOnboardingRedirect URL platform_id 无效');
+    }
+  }
   return parsed;
 }
 
@@ -191,6 +211,19 @@ export function buildAuthorizationUrl(input) {
   return value;
 }
 
+export function buildWindowsOnboardingRedirectUrl(platformId) {
+  if (typeof platformId !== 'string' || !platformId || /[\u0000-\u001f\u007f,^=]/u.test(platformId)) {
+    throw new Error('Windows 产品开通引导缺少合法的当前流程 run_id');
+  }
+  const url = new URL('https://aipay.alipay.com/');
+  url.searchParams.set('from', 'alipay-aipay-skill');
+  url.searchParams.set('reason', 'alipay-aipay-skill-onboarding-not-support-windows');
+  url.searchParams.set('platform_id', platformId);
+  const value = url.toString();
+  validateUrl(value, loadJson(policyPath), 'windowsOnboardingRedirect');
+  return value;
+}
+
 function validateValue(definition, value, policy) {
   if (value === undefined || value === null || value === '') {
     if (definition.required) throw new Error(`缺少必填变量 ${definition.name}`);

package/skill/references/normal/scripts/telemetry.mjs

@@ -240,6 +240,17 @@ function readRunState(env = process.env) {
   }
 }
 
+export function currentRunContext(env = process.env) {
+  const state = readRunState(env);
+  if (!state) return null;
+  return Object.freeze({
+    run_id: state.run_id,
+    root_intent: state.root_intent,
+    product_type: state.product_type,
+    terminal: state.terminal === true
+  });
+}
+
 function canReadImplicitRunState(env = process.env) {
   return !isMaintenanceProcess(env);
 }

package/skill/references/onboarding/flow.md

@@ -82,7 +82,7 @@ Step 1: 方案规划 → Step 2: 环境检查 → Step 3: 登录授权
 node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" onboarding-message platform-entry
 ```
 
-- Windows：runner stdout 是唯一对客正文，必须原文发送；发送后停止本 flow 的产品开通动作，不再执行 Step 1、MCC 澄清、方案展示、登录或材料收集。`onboarding_only` 在根意图识别后进入本 flow 即执行；`full_process` 保留已完成的 Integration 实际结果，在衔接本 flow 时执行。
+- Windows：runner 从当前私有 run context 读取同一个 `run_id`，编码为站点引导 URL 的 `platform_id`；禁止 Agent 读取 marker 后手写、传入或拼接该参数。runner stdout 是唯一对客正文，必须原文发送；发送后停止本 flow 的产品开通动作，不再执行 Step 1、MCC 澄清、方案展示、登录或材料收集。`onboarding_only` 在根意图识别后进入本 flow 即执行；`full_process` 保留已完成的 Integration 实际结果，在衔接本 flow 时执行。
 - 非 Windows：runner 成功且 stdout 为空，直接继续下方既有流程，不输出平台提示，不改变步骤、确认或完成条件。
 - 命令失败或输出无法唯一判断时停止并核对 runner，禁止手写、改写或补发近似引导。
 
@@ -134,7 +134,7 @@ node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" onboarding-message mcc-
 node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" onboarding-message mcc-resolve-plan --query "$MCC_SEARCH_QUERY" --product-type "$PRODUCT_TYPE" --agent-mcc-status "$AGENT_MCC_STATUS" [--agent-mcc-codes "$AGENT_MCC_CODES"]
 ```
 
-`AGENT_MCC_STATUS` 仅允许 `MATCHED|INSUFFICIENT|UNSUPPORTED`；`MATCHED` 必须提供 1 到 3 个用英文逗号分隔的完整编码，后两者不得提供编码。runner 会重新执行确定性召回并校验 Agent 编码确实存在于当前 MCC 表，名称、适用商家和特殊资质全部从同一表重建；非法、重复、超量、状态与候选数量矛盾或表外编码均为 Skill 契约错误，禁止降级为 Agent 自报结果。只有 `MATCHED` 才允许把确定性候选与 Agent 候选合并推进；`INSUFFICIENT|UNSUPPORTED` 时确定性候选只作为内部诊断记录，不得覆盖语义状态自动输出方案或进入授权。确定性候选最多 5 个，最终合并候选最多 8 个；交集候选优先，其次是确定性强命中、Agent 独立候选和确定性弱命中。按次收费、支付渠道和目标产品只用于产品决策，不能改变 MCC 排名。
+`AGENT_MCC_STATUS` 仅允许 `MATCHED|INSUFFICIENT|UNSUPPORTED`；`MATCHED` 必须提供 1 到 3 个用英文逗号分隔的完整编码，后两者不得提供编码。runner 会重新执行确定性召回并校验 Agent 编码确实存在于当前 MCC 表，名称、适用商家和特殊资质全部从同一表重建；非法、重复、超量、状态与候选数量矛盾或表外编码均为 Skill 契约错误，禁止降级为 Agent 自报结果。`MATCHED` 时按交集候选、确定性强命中、Agent 独立候选和确定性弱命中的顺序合并；`INSUFFICIENT|UNSUPPORTED` 不得否决确定性强命中，强命中仍可形成唯一或多候选结果，但确定性弱命中不得单独推进。确定性候选最多 5 个，最终合并候选最多 8 个。按次收费、支付渠道和目标产品只用于产品决策，不能改变 MCC 排名。
 
 只接受唯一 `ALIPAY_AIPAY_INTERNAL:MCC_RESOLUTION=<json>`，其中必须包含 `semanticStatus`、`deterministicCandidateCodes`、`agentCandidateCodes`、`mergedCandidateCodes` 和 `mccTableSummary`：`matchType=UNIQUE` 时必须恰有一条候选，stdout 已直接渲染同一候选绑定的 `onboarding.plan.confirm`，必须原文发送但不停止、不等待回复，随后立即进入 `execute`；`MULTIPLE` 时 runner stdout 已直接渲染固定候选消息，必须原文发送并停止，等待用户回复序号、MCC 二级类目名称或编码；`NONE` 时 runner stdout 已直接渲染独立 `onboarding.mcc.no_match`，必须原文发送并停止。禁止再次调用旧的 `mcc-search`/`mcc-candidates` 组合、自由拼候选表、解释、示例或“是否继续”等近似问法。
 
@@ -226,6 +226,8 @@ Step 1 的产品/MCC 唯一事实校验和方案送达、Step 2 的环境 READY
    └─ mismatch 统一 logout；后置条件成立后用正确 scope 重建授权页
 ```
 
+`mismatch` 中 logout 明确业务失败但 `whoami` 仍登录时，脚本内部以“初次 + 2 次”固定预算、间隔 3 秒重试完全相同的 logout。每次 logout 失败后只执行一次 `whoami` 后置核验；logout 明确成功时无需额外核验。任一次证明已退出即继续重新授权；预算耗尽且仍登录才输出 `AUTH_FLOW:LOGOUT_STILL_LOGGED_IN`。网络/服务异常、冲突输出或结果无法确认不消耗该业务重试预算，只转 `AUTH_FLOW:RETRY_WITH_NETWORK`。整个过程不增加用户确认或 Agent 命令，logout 未证明成功前禁止 login。
+
 `AUTH_FLOW:CONTEXT_MISMATCH` 适用于 `open|wait|confirm|mismatch` 的显式上下文与同一次 init 短时状态不一致；脚本必须在任何 `login --complete/logout` 前停止且不输出对客正文。Agent 不得忽略差异、改用旧状态继续或手工清理状态；必须立即用当前 Step 1 已确认的完整参数重新执行第 1 项。新的 init 先完成固定产品/MCC 机器校验，再安全替换旧短时状态；若 CLI 仍处于登录态，因为签约查询没有权威 MCC 字段，init 必须返回对应 `SCOPE_MISMATCH/MCC_MISMATCH` 并转第 4 项，不得返回 `SKIP`。CLI 未登录时直接生成当前上下文的新授权页。两种分支都不得复用旧 deviceCode 或新增用户确认。
 
 `auth.page` 非阻塞并追加“扫码完成后请回到 Agent 对话页面”；`auth.pending` 仅由 wait 耗尽或单次 confirm 的 PENDING 渲染，其他对客终态由脚本渲染对应消息。自动轮询期间即使 `login --complete` 已返回可复核状态，只要 `whoami` 尚未取得有效本机登录态，也继续按 PENDING 处理并消耗本次 wait 预算，不输出断头失败文案。剔除 `ALIPAY_AIPAY_INTERNAL:` 内部行后的 stdout 是当前动作唯一对客正文；禁止再次调用 renderer、另写近似话术、输出 stderr 或内部行、重复转述。授权脚本明确返回链接过期时必须重建，旧回复失效。

package/skill/references/onboarding/modules/error-handling.md

@@ -19,7 +19,9 @@ discovery runner 和截图上传这类并发/分组动作不得让每个子进
 
 ## 解包与业务错误
 
-`unwrap_mcp` 兼容纯业务 JSON、唯一 MCP `content[0].text` 信封和混合日志。混合输出只从完整闭合结构形成候选；多个信封或 JSON 候选冲突时不选择、不回显原始响应，并由错误检测阻断。每次 MCP 调用先把原 stdout 交给 `handle_error`，返回成功后才调用 `unwrap_mcp` 和当前脚本的业务解析；不得统一假定成功字段位于 `.success`。
+`unwrap_mcp` 兼容纯业务 JSON、唯一 MCP `content[0].text` 信封和混合日志。CLI 捕获必须始终合并 stdout 与 stderr 后执行一次唯一性解析：单个 JSON 加普通日志可接受，相同 JSON 重复可去重，多个不同 JSON 或成功/失败冲突不得选择任一路，也不得回显原始响应。每次 MCP 调用先把唯一原始结果交给 `handle_error`，返回成功后才调用 `unwrap_mcp` 和当前脚本的业务解析；不得统一假定成功字段位于 `.success`。
+
+每次 logout 失败后只执行一次 `whoami` 后置核验；logout 明确成功时无需额外核验，最多尝试 3 次 logout。`whoami` 后置核验必须先满足唯一 JSON、退出码为 0 且 `detect_error=SUCCESS`，再读取类型正确的 `logged_in/is_expired`；业务失败响应即使携带 `logged_in=false` 也不能证明已退出。logout 网络/服务异常、冲突输出或结果无法确认时，即使 `whoami` 仍显示已登录，也只能转 `AUTH_FLOW:RETRY_WITH_NETWORK` 并重试同一动作。logout 是可由 `whoami` 验证最终状态的幂等恢复动作：明确业务失败且仍登录时，脚本内部使用“初次 + 2 次”固定预算、间隔 3 秒重试完全相同的 logout；任一次确认已退出即继续，全部耗尽且仍登录才转 `AUTH_FLOW:LOGOUT_STILL_LOGGED_IN`。所有失败分支都不得执行 login。每个 auth 动作只允许产生一个最终 `AUTH_FLOW:*`，具体恢复 marker 已由错误处理器输出时，调用方不得追加 `AUTH_FLOW:FAILED`。
 
 业务错误对象可能位于顶层、`data.response` 或 `errorContext.errorStack[]`。保留脚本当前字段优先级：读取 `errorCode` 的字符串或对象形式、`errorMessage|errorMsg`、`bizTips`、`checkedError`、`errorScene` 和 `errorSpecific`；只有已验证的服务写入协议 `data.success=false` 才优先使用 `data.subMsg|data.msg`，并忽略只表示外层调用成功的顶层 `msg="Success"`。`APP_MAX_ERROR` 只说明应用数量达到上限，引导复用已有上线应用或前往支付宝开放平台处理配额，不推断其他审核规则。
 
@@ -28,7 +30,7 @@ discovery runner 和截图上传这类并发/分组动作不得让每个子进
 ## 网络重试与写后核验
 
 - `MCP_SERVICE_ERROR`、`SERVICE_UNSTABLE` 和已识别本地网络错误：初次调用后最多重试 2 次，每次间隔 3 秒，始终复用完全相同的 argv、请求 JSON、业务请求号、资源名和动态字段。
-- 认证、授权不匹配、参数、业务错误和结构歧义不进入网络重试。stderr 不拼入待解析 JSON。
+- 认证、授权不匹配、参数、业务错误和结构歧义不进入通用网络重试。唯一例外是上述可验证最终状态的幂等 logout 恢复，它使用同一三次总预算且不经通用 `network_retry.sh`。stderr 不拼入待解析 JSON。
 - 只读调用可使用完整重试预算。非幂等写操作只有明确 `NOT_SENT` 才自动重试；DNS 失败、connection refused 或宿主在连接前明确拒绝网络访问可归为 `NOT_SENT`。
 - timeout、连接中断、发送阶段不明和 `SERVICE_UNSTABLE` 一律归为 `MAYBE_SENT`，停止写重试并使用现有只读能力核验；无法确认输出 `UNKNOWN`。
 - 签约提交用签约查询核验；服务修改只有列表按完整 `serviceId` 和五项资料精确匹配才算成功；服务新建和应用创建不得按同名候选猜测；应用提审只看现有应用信息状态。没有登记核验能力的公钥确认页不得凭页面或同名结果推断成功。

package/skill/references/onboarding/modules/scripts/auth.sh

@@ -345,12 +345,32 @@ auth_cli_environment_failure() {
   emit_control "AUTH_FLOW:RETRY_WITH_NETWORK"
 }
 
+handle_auth_cli_result() {
+  local cli_result="$1" error_type
+  error_type=$(detect_error "$cli_result")
+  if handle_error "$cli_result"; then
+    return 0
+  fi
+  case "$error_type" in
+    MCP_AUTH_ERROR|AUTH_MISMATCH)
+      # error_handler.sh already emitted the unique recovery marker.
+      ;;
+    MCP_SERVICE_ERROR|SERVICE_UNSTABLE)
+      emit_control "AUTH_FLOW:RETRY_WITH_NETWORK"
+      ;;
+    *)
+      emit_control "AUTH_FLOW:FAILED"
+      ;;
+  esac
+  return 1
+}
+
 wait_for_effective_whoami() {
   local action="$1"
   local max_attempts=3
   local interval_seconds=2
   local attempt=1
-  local logged_in is_expired whoami_error_type
+  local logged_in is_expired
 
   AUTH_WHOAMI_RESULT=""
   if [ "${ALIPAY_AIPAY_TEST_MODE:-0}" = "1" ] && [[ "${AUTH_WHOAMI_RECHECK_INTERVAL_SECONDS:-}" =~ ^[0-9]+$ ]]; then
@@ -362,19 +382,7 @@ wait_for_effective_whoami() {
       auth_cli_environment_failure "$action"
       return 1
     }
-    whoami_error_type=$(detect_error "$AUTH_WHOAMI_RESULT")
-    if ! handle_error "$AUTH_WHOAMI_RESULT"; then
-      case "$whoami_error_type" in
-        MCP_AUTH_ERROR|AUTH_MISMATCH) ;;
-        MCP_SERVICE_ERROR|SERVICE_UNSTABLE)
-          emit_control "AUTH_FLOW:RETRY_WITH_NETWORK"
-          ;;
-        *)
-          emit_control "AUTH_FLOW:FAILED"
-          ;;
-      esac
-      return 1
-    fi
+    handle_auth_cli_result "$AUTH_WHOAMI_RESULT" || return 1
 
     logged_in=$(echo "$AUTH_WHOAMI_RESULT" | jq -r '.data.logged_in // false')
     is_expired=$(echo "$AUTH_WHOAMI_RESULT" | jq -r '.data.is_expired // false')
@@ -403,18 +411,6 @@ run_json_command() {
   exit_code=$?
   stderr_output=$(cat "$stderr_file")
 
-  if json_payload=$(extract_json_payload "$stdout"); then
-    rm -f "$stderr_file"
-    printf '%s' "$json_payload"
-    return 0
-  fi
-
-  if json_payload=$(extract_json_payload "$stderr_output"); then
-    rm -f "$stderr_file"
-    printf '%s' "$json_payload"
-    return 0
-  fi
-
   combined_output=$(printf '%s\n%s' "$stdout" "$stderr_output")
   if json_payload=$(extract_json_payload "$combined_output"); then
     rm -f "$stderr_file"
@@ -433,7 +429,7 @@ validate_current_authorization() {
   local whoami_result="${1:-}"
   local logged_in is_expired granted_scope required_scope
   local scope_match mcc_verify_result mcc_verify_unwrapped mcc_match mcc_raw retry_rc
-  local mcc_error_type mcc_error_code mcc_success whoami_error_type
+  local mcc_error_type mcc_error_code mcc_success
   local mismatch_type sign_status_output sign_status_marker sign_flow_marker sign_reuse_receipt
   local granted_scope_item required_scope_item required_scope_found
   local -a granted_scope_items required_scope_items
@@ -451,19 +447,7 @@ validate_current_authorization() {
     }
   fi
 
-  whoami_error_type=$(detect_error "$whoami_result")
-  if ! handle_error "$whoami_result"; then
-    case "$whoami_error_type" in
-      MCP_AUTH_ERROR|AUTH_MISMATCH) ;;
-      MCP_SERVICE_ERROR|SERVICE_UNSTABLE)
-        emit_control "AUTH_FLOW:RETRY_WITH_NETWORK"
-        ;;
-      *)
-        emit_control "AUTH_FLOW:FAILED"
-        ;;
-    esac
-    return 1
-  fi
+  handle_auth_cli_result "$whoami_result" || return 1
 
   logged_in=$(echo "$whoami_result" | jq -r '.data.logged_in // false')
   is_expired=$(echo "$whoami_result" | jq -r '.data.is_expired // false')
@@ -617,10 +601,7 @@ auth_init() {
     auth_cli_environment_failure "登录状态检查"
     return 1
   }
-  if ! handle_error "$CHECK_RESULT"; then
-    emit_control "AUTH_FLOW:FAILED"
-    return 1
-  fi
+  handle_auth_cli_result "$CHECK_RESULT" || return 1
   LOGGED_IN=$(echo "$CHECK_RESULT" | jq -r '.data.logged_in // false')
   IS_EXPIRED=$(echo "$CHECK_RESULT" | jq -r '.data.is_expired // false')
 
@@ -650,10 +631,7 @@ auth_init() {
     auth_cli_environment_failure "授权登录发起"
     return 1
   }
-  if ! handle_error "$LOGIN_RESULT"; then
-    emit_control "AUTH_FLOW:FAILED"
-    return 1
-  fi
+  handle_auth_cli_result "$LOGIN_RESULT" || return 1
   LOGIN_STATUS=$(echo "$LOGIN_RESULT" | jq -r '.data.status // ""')
 
   if [ "$LOGIN_STATUS" = "already_logged_in" ]; then
@@ -750,7 +728,6 @@ auth_open() {
 # ─── auth confirm: 授权确认 + scope 校验 + MCC 授权有效性校验 ────────────────
 auth_confirm() {
   AUTH_CONFIRM_RESULT=""
-  local complete_error_type
   # 优先使用显式传入的非敏感上下文；未传时再从状态文件兜底恢复。
   restore_auth_context_or_state "$@" || exit 1
 
@@ -798,18 +775,8 @@ auth_confirm() {
   elif [ "$OUTER_SUCCESS" = "true" ] || [ "$DATA_STATUS" = "logged_in" ] || [ "$DATA_STATUS" = "already_logged_in" ] || [ "$DATA_STATUS" = "completed" ]; then
     :
   else
-    complete_error_type=$(detect_error "$LOGIN_COMPLETE_RESULT")
-    if ! handle_error "$LOGIN_COMPLETE_RESULT"; then
+    if ! handle_auth_cli_result "$LOGIN_COMPLETE_RESULT"; then
       cleanup_auth_state
-      case "$complete_error_type" in
-        MCP_AUTH_ERROR|AUTH_MISMATCH) ;;
-        MCP_SERVICE_ERROR|SERVICE_UNSTABLE)
-          emit_control "AUTH_FLOW:RETRY_WITH_NETWORK"
-          ;;
-        *)
-          emit_control "AUTH_FLOW:FAILED"
-          ;;
-      esac
       return 1
     fi
     wait_for_effective_whoami "授权完成确认状态复核"

package/skill/references/onboarding/modules/scripts/error_handler.sh

@@ -348,7 +348,7 @@ detect_error() {
   fi
 
   # 3. MCP 调用失败（网络/连接错误）
-  if echo "$UNWRAPPED" | grep -qiE "MCP 调用失败|connection refused|timeout|network error"; then
+  if echo "$UNWRAPPED" | grep -qiE "MCP 调用失败|connection refused|timeout|network[ _]error|网络连接失败"; then
     echo "MCP_SERVICE_ERROR"
     return
   fi
@@ -403,12 +403,6 @@ run_alipay_cli_json_capture() {
   stderr_output=$(cat "$stderr_file")
   rm -f "$stderr_file"
 
-  if ALIPAY_CLI_JSON_CAPTURE=$(extract_captured_json "$stdout"); then
-    return 0
-  fi
-  if ALIPAY_CLI_JSON_CAPTURE=$(extract_captured_json "$stderr_output"); then
-    return 0
-  fi
   combined_output=$(printf '%s\n%s' "$stdout" "$stderr_output")
   if ALIPAY_CLI_JSON_CAPTURE=$(extract_captured_json "$combined_output"); then
     return 0
@@ -419,48 +413,79 @@ run_alipay_cli_json_capture() {
 }
 
 confirm_logout_postcondition() {
-  local logout_error_type whoami_error_type whoami_has_state logged_in is_expired
+  local logout_error_type whoami_error_type whoami_state
+  local logout_result_state attempt=1
+  local max_attempts=3
+  local interval_seconds=3
 
   ALIPAY_LOGOUT_POSTCONDITION=""
   ALIPAY_LOGOUT_ERROR_MESSAGE=""
 
-  if run_alipay_cli_json_capture alipay-cli logout --json; then
-    logout_error_type=$(detect_error "$ALIPAY_CLI_JSON_CAPTURE")
-    if [ "$ALIPAY_CLI_JSON_EXIT_CODE" -eq 0 ] && [ "$logout_error_type" = "SUCCESS" ]; then
-      ALIPAY_LOGOUT_POSTCONDITION="COMMAND_CONFIRMED_SUCCESS"
-      return 0
-    fi
-    ALIPAY_LOGOUT_ERROR_MESSAGE=$(sanitize_customer_error_text "$(extract_error_message "$ALIPAY_CLI_JSON_CAPTURE")")
-  else
-    ALIPAY_LOGOUT_ERROR_MESSAGE="退出命令未返回可唯一解析结果"
+  if [ "${ALIPAY_AIPAY_TEST_MODE:-0}" = "1" ]; then
+    interval_seconds=0
   fi
 
-  if ! run_alipay_cli_json_capture alipay-cli whoami --json; then
-    ALIPAY_LOGOUT_POSTCONDITION="UNCONFIRMED"
-    return 1
-  fi
+  while [ "$attempt" -le "$max_attempts" ]; do
+    logout_result_state="UNCONFIRMED"
+    if run_alipay_cli_json_capture alipay-cli logout --json; then
+      logout_error_type=$(detect_error "$ALIPAY_CLI_JSON_CAPTURE")
+      if [ "$ALIPAY_CLI_JSON_EXIT_CODE" -eq 0 ] && [ "$logout_error_type" = "SUCCESS" ]; then
+        ALIPAY_LOGOUT_POSTCONDITION="COMMAND_CONFIRMED_SUCCESS"
+        return 0
+      fi
+      ALIPAY_LOGOUT_ERROR_MESSAGE=$(sanitize_customer_error_text "$(extract_error_message "$ALIPAY_CLI_JSON_CAPTURE")")
+      case "$logout_error_type" in
+        MCP_SERVICE_ERROR|SERVICE_UNSTABLE)
+          logout_result_state="RETRYABLE"
+          ;;
+        SUCCESS)
+          # A success payload paired with a non-zero exit code cannot prove the command result.
+          logout_result_state="UNCONFIRMED"
+          ;;
+        *)
+          logout_result_state="EXPLICIT_FAILURE"
+          ;;
+      esac
+    else
+      ALIPAY_LOGOUT_ERROR_MESSAGE="退出命令未返回可唯一解析结果"
+    fi
 
-  whoami_has_state=$(echo "$ALIPAY_CLI_JSON_CAPTURE" | jq -r '
-    if (.data | type) == "object" and ((.data | has("logged_in")) or (.data | has("is_expired"))) then "true" else "false" end
-  ' 2>/dev/null)
-  if [ "$whoami_has_state" != "true" ]; then
-    ALIPAY_LOGOUT_POSTCONDITION="UNCONFIRMED"
-    return 1
-  fi
-  logged_in=$(echo "$ALIPAY_CLI_JSON_CAPTURE" | jq -r '.data.logged_in // false' 2>/dev/null)
-  is_expired=$(echo "$ALIPAY_CLI_JSON_CAPTURE" | jq -r '.data.is_expired // false' 2>/dev/null)
-  if [ "$logged_in" = "true" ] && [ "$is_expired" != "true" ]; then
-    ALIPAY_LOGOUT_POSTCONDITION="STILL_LOGGED_IN"
-    return 1
-  fi
-  whoami_error_type=$(detect_error "$ALIPAY_CLI_JSON_CAPTURE")
-  if [ "$ALIPAY_CLI_JSON_EXIT_CODE" -ne 0 ] || { [ "$whoami_error_type" != "SUCCESS" ] && [ "$logged_in" = "true" ] && [ "$is_expired" != "true" ]; }; then
-    ALIPAY_LOGOUT_POSTCONDITION="UNCONFIRMED"
-    return 1
-  fi
+    if ! run_alipay_cli_json_capture alipay-cli whoami --json; then
+      ALIPAY_LOGOUT_POSTCONDITION="UNCONFIRMED"
+      return 1
+    fi
+
+    whoami_error_type=$(detect_error "$ALIPAY_CLI_JSON_CAPTURE")
+    if [ "$ALIPAY_CLI_JSON_EXIT_CODE" -ne 0 ] || [ "$whoami_error_type" != "SUCCESS" ]; then
+      ALIPAY_LOGOUT_POSTCONDITION="UNCONFIRMED"
+      return 1
+    fi
 
-  ALIPAY_LOGOUT_POSTCONDITION="POSTCONDITION_LOGGED_OUT"
-  return 0
+    whoami_state=$(echo "$ALIPAY_CLI_JSON_CAPTURE" | jq -r '
+      if (.data | type) != "object" then "UNCONFIRMED"
+      elif (.data.logged_in? | type) == "boolean" and .data.logged_in == false then "LOGGED_OUT"
+      elif (.data.is_expired? | type) == "boolean" and .data.is_expired == true then "LOGGED_OUT"
+      elif (.data.logged_in? | type) == "boolean" and .data.logged_in == true and
+           ((.data | has("is_expired") | not) or ((.data.is_expired? | type) == "boolean" and .data.is_expired == false)) then "STILL_LOGGED_IN"
+      else "UNCONFIRMED"
+      end
+    ' 2>/dev/null)
+    if [ "$whoami_state" = "LOGGED_OUT" ]; then
+      ALIPAY_LOGOUT_POSTCONDITION="POSTCONDITION_LOGGED_OUT"
+      return 0
+    fi
+    if [ "$whoami_state" != "STILL_LOGGED_IN" ] || [ "$logout_result_state" != "EXPLICIT_FAILURE" ]; then
+      ALIPAY_LOGOUT_POSTCONDITION="UNCONFIRMED"
+      return 1
+    fi
+
+    if [ "$attempt" -eq "$max_attempts" ]; then
+      ALIPAY_LOGOUT_POSTCONDITION="STILL_LOGGED_IN"
+      return 1
+    fi
+    sleep "$interval_seconds"
+    attempt=$((attempt + 1))
+  done
 }
 
 render_logout_unconfirmed() {
@@ -476,7 +501,10 @@ render_logout_still_logged_in() {
 
 # ─── MCP 认证错误处理 ──────────────────────────────────────────────────────
 handle_mcp_auth_error() {
-  render_error_message error.mcp.auth START '{}' || return 1
+  render_error_message error.mcp.auth START '{}' || {
+    emit_control "AUTH_FLOW:FAILED"
+    return 1
+  }
   if [ "${ALIPAY_AIPAY_SUPPRESS_AUTH_LOGOUT:-}" = "1" ]; then
     emit_control "AUTH_FLOW:AUTH_REQUIRED"
     return 1
@@ -484,15 +512,24 @@ handle_mcp_auth_error() {
   confirm_logout_postcondition
   case "$ALIPAY_LOGOUT_POSTCONDITION" in
     COMMAND_CONFIRMED_SUCCESS|POSTCONDITION_LOGGED_OUT)
-      render_error_message error.mcp.auth LOGOUT_SUCCESS '{}' || return 1
+      render_error_message error.mcp.auth LOGOUT_SUCCESS '{}' || {
+        emit_control "AUTH_FLOW:FAILED"
+        return 1
+      }
       emit_control "AUTH_FLOW:AUTH_REQUIRED"
       ;;
     STILL_LOGGED_IN)
-      render_logout_still_logged_in || return 1
+      render_logout_still_logged_in || {
+        emit_control "AUTH_FLOW:FAILED"
+        return 1
+      }
       emit_control "AUTH_FLOW:LOGOUT_STILL_LOGGED_IN"
       ;;
     *)
-      render_logout_unconfirmed || return 1
+      render_logout_unconfirmed || {
+        emit_control "AUTH_FLOW:FAILED"
+        return 1
+      }
       emit_control "AUTH_FLOW:RETRY_WITH_NETWORK"
       ;;
   esac

package/skill/references/runtime-entry.md

@@ -44,7 +44,7 @@ node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" render <messageId> --va
 | `onboarding_only` | 只要求签约、入驻或产品开通，未同时要求代码开发 | 执行 `node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" onboarding-bootstrap --root-intent onboarding_only` | 当前阶段的授权、查询或写分支模块 |
 | `full_process` | 明确要求完整接入、一站式，或同一请求同时要求代码开发和产品开通 | `normal/full-process-routing.md` | 先 Integration，满足衔接条件后 Onboarding |
 
-`onboarding_only` 正常入口使用 `onboarding-bootstrap --root-intent onboarding_only`，该组合动作只串行执行 `telemetry start-run`、`onboarding-message platform-entry` 和 `flow onboarding entry` 三个既有无业务写入动作；Windows 只发送登记引导并停止 Skill 内产品开通，非 Windows 继续返回 entry 执行契约。执行该组合动作后不得再单独重复执行这三条原子命令。`full_process` 衔接 Onboarding 时已存在同一根流程 run，不使用带 `start-run` 的 bootstrap；仍先执行 flow 登记的 `node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" onboarding-message platform-entry`，再按需加载 Onboarding entry，避免重复 `run.intent_detected`。
+`onboarding_only` 正常入口使用 `onboarding-bootstrap --root-intent onboarding_only`，该组合动作只串行执行 `telemetry start-run`、`onboarding-message platform-entry` 和 `flow onboarding entry` 三个既有无业务写入动作；Windows 只发送登记引导并停止 Skill 内产品开通，且引导 URL 的 `platform_id` 由 runner 读取本次已创建的同一 `run_id` 后编码生成，禁止 Agent 传入或拼接；非 Windows 继续返回 entry 执行契约。执行该组合动作后不得再单独重复执行这三条原子命令。`full_process` 衔接 Onboarding 时已存在同一根流程 run，不使用带 `start-run` 的 bootstrap；仍先执行 flow 登记的 `node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" onboarding-message platform-entry`，再按需加载 Onboarding entry，避免重复 `run.intent_detected`。
 
 识别根意图后立即执行 `node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" telemetry start-run --root-intent <integration_only|onboarding_only|full_process>`；产品已唯一确定时追加 `--product-type <aipay|webpay|apppay>`。唯一例外是 `onboarding_only` 已按上表执行 `onboarding-bootstrap --root-intent onboarding_only` 时，bootstrap 已包含同一次 `start-run`，不得重复执行本条 telemetry。命令创建/复用当前流程 `run_id`，并在遥测开启时记录 `run.intent_detected`：同一意图和产品继续复用，`UNKNOWN` 补全产品仍复用同一 `run_id`；明确换产品、换根意图或既有 run 已终态才重建。第三方平台项目 ID 仍优先固定为 `run_id`，不得被显式 run ID 或本地生成值覆盖。业务 stage 只由登记 runner/script 异步记录。