@alipay/alipay-aipay 1.5.5 → 1.5.6-beta

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@alipay/alipay-aipay",
-  "version": "1.5.5",
+  "version": "1.5.6-beta",
   "description": "支付宝 AI 付 Skill 安装包 - 安装 Agent Skill，并检测/后台准备 alipay-cli；jq 可通过 --with-jq 尝试准备",
   "type": "module",
   "bin": {

package/skill/SKILL.md

@@ -11,20 +11,21 @@ description: >-
 
 ## 前置版本检查
 
-本次 Agent 对话首次使用 `alipay-aipay` 时，先把本文件所在目录解析为规范化绝对路径 `<SKILL_DIR>`，在当前 Agent 上下文记录一次性事实 `ALIPAY_AIPAY_SELF_UPDATE_CHECKED=true`，再直接执行以下单条命令。`<SKILL_DIR>` 是路径占位符，执行时替换为实际路径；禁止用 shell 变量赋值、命令替换或依赖特定 shell：
+本次 Agent 对话首次使用 `alipay-aipay` 时，先把本文件所在目录解析为规范化绝对路径 `<SKILL_DIR>`，记录一次性事实 `ALIPAY_AIPAY_SELF_UPDATE_CHECKED=true`，再执行以下单条命令。`<SKILL_DIR>` 是执行时替换的路径占位符；禁止用 shell 变量赋值、命令替换或依赖特定 shell：
 
 ```text
 node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" self-update check --skill-dir "<SKILL_DIR>"
 ```
 
-`SKILL_DIR` 必须绑定刚触发的本份 Skill，且包含 `SKILL.md`、`VERSION` 和 `references/runtime-entry.md`；不得使用 Agent 启动目录、用户项目目录、用户 Home、npm 包源码根或另一份 Skill 副本。命令失败或 marker 无法唯一解析时按 `SELF_UPDATE:CHECK_FAILED` 处理。
+`SKILL_DIR` 必须绑定刚触发的本份 Skill，且包含 `SKILL.md`、`VERSION` 和 `references/runtime-entry.md`；不得换成 Agent 启动目录、用户项目目录、用户 Home、npm 包源码根或另一份 Skill 副本。命令失败或 marker 无法唯一解析时按 `SELF_UPDATE:CHECK_FAILED`。
 
-脚本正常结束时，stderr 只允许出现以下一个内部终态；不得向用户展示 marker 或 npm/npx 原始输出：
+stderr 只允许出现以下一个内部终态；不得向用户展示 marker 或 npm/npx 原始输出：
 
 - `SELF_UPDATE:UPDATED=<合法 SemVer>`：当前 Skill 目录已原子切换到新版。
 - `SELF_UPDATE:CURRENT=<合法 SemVer>`：继续当前版本。
-- `SELF_UPDATE:CHECK_FAILED|INSTALL_FAILED|VERIFY_FAILED`：更新未完成，静默继续当前可用版本，不重试、不申请权限。
+- `SELF_UPDATE:RETRY_WITH_NETWORK`：registry 或安装阶段网络不可达；可申请联网后原样重试本命令一次。
+- `SELF_UPDATE:SKIPPED_NETWORK_RESTRICTED|CHECK_FAILED|INSTALL_FAILED|VERIFY_FAILED`：静默继续当前可用版本，不重试、不申请权限。
 
-无论使用新版还是当前版本，下一步都只完整读取同一 `SKILL_DIR` 下的 `references/runtime-entry.md`，并按原始用户请求从该入口路由。`UPDATED` 后禁止继续读取更新前版本的任何业务文档，也不重新执行版本检查；其他终态同样不再读取本启动器或 `self-update.md` 补充规则。
+除 `RETRY_WITH_NETWORK` 的一次原样重试外，下一步都只完整读取同一 `SKILL_DIR` 下的 `references/runtime-entry.md`，并按原始用户请求从该入口路由。`UPDATED` 后禁止继续读取更新前版本的任何业务文档，也不重新执行版本检查；其他终态同样不再读取本启动器或 `self-update.md` 补充规则。
 
-同一对话后续确认、补材料、候选选择、错误恢复、中断继续、重复触发和 Full Process 子流程衔接，若一次性事实已存在，则跳过版本检查，直接读取当前已确定版本的 `references/runtime-entry.md`。该事实只存在于当前 Agent 对话上下文，不写缓存或业务状态。
+同一对话后续确认、补材料、候选选择、错误恢复、中断继续、重复触发和 Full Process 衔接，若一次性事实已存在，则跳过版本检查，直接读取已确定版本的 `references/runtime-entry.md`。该事实只存在于当前 Agent 对话上下文，不写缓存或业务状态。

package/skill/VERSION

@@ -1 +1 @@
-1.5.5
+1.5.6-beta

package/skill/references/normal/alipay-cli-env.md

@@ -11,11 +11,6 @@
 ```bash
 # 推荐：一步检测
 which alipay-cli 2>/dev/null && alipay-cli version
-
-# 或：分步检测
-if ! alipay-cli version &>/dev/null; then
-  echo "⚠️ alipay-cli 未安装"
-fi
 ```
 
 ### 1.2 检测时机
@@ -44,6 +39,7 @@ fi
 - 若命令已经因网络失败，重试时必须复用同一条命令并申请可联网权限；不要把该失败解释为用户网络故障。
 - `auth.sh init|confirm|mismatch` 返回 `AUTH_FLOW:RETRY_WITH_NETWORK` 时，表示当前 Agent 执行环境没有取得可确认 CLI 结果；必须申请联网权限后重试同一条完整脚本命令，不得解释为支付宝业务失败、logout 失败或 login 失败，也不得要求用户手动 logout/login 代替本轮脚本事实。
 - `auth.sh init|wait|confirm|mismatch` 返回 `AUTH_FLOW:RETRY_WITH_LOCAL_FS_PERMISSION` 时，仅表示授权状态命令缺少 CLI 私有状态目录权限。宿主支持时，允许当前同一条受控 runtime 命令访问 `$HOME/.alipay-cli/credentials` 和 `${XDG_DATA_HOME:-$HOME/.local/share}/alipay-cli/logs` 后原样重试一次；权限只供 CLI 自身使用，Agent 禁止读取、列举、打印或复制已有凭据与日志。该规则不改变 MCP、上传或沙箱脚本边界。
+- `app.sh reuse|verify-key|verify-key-and-audit|audit` 已取得 RSA2 支付宝公钥但 `${XDG_CONFIG_HOME:-$HOME/.config}` 探测失败时，返回 `APP_FLOW:RETRY_WITH_LOCAL_CONFIG_PERMISSION` 和 `ALIPAY_PUBLIC_KEY_EXPORT_STATUS=RETRY_WITH_LOCAL_CONFIG_PERMISSION`。仅允许当前 runtime 命令访问该目录后原样重试一次；权限只用于写 `<appId>-alipayPublicKey.keytext`，Agent 禁止读取、列举、打印或复制已有配置文件。仍失败按目录文案收口。
 - 本地纯解析、文件检查、`bash -n`、`jq` 校验等不联网命令仍可在默认沙箱内执行。
 
 **减少重复授权：**
@@ -59,7 +55,7 @@ fi
 
 `npx -y @alipay/alipay-aipay@latest install` 会优先保障 `alipay-cli` 可用；如果 `alipay-cli` 已安装或可直接安装成功，不需要额外安装 GPG。
 
-只有在 `alipay-cli` 首次安装失败，且失败输出指向缺少 GPG/GnuPG 时，后台准备任务才会把 GPG 作为兜底依赖检查：
+只有 `alipay-cli` 首次安装失败且输出指向缺少 GPG/GnuPG 时，后台准备任务才检查 GPG：
 ```bash
 which gpg 2>/dev/null
 ```
@@ -72,7 +68,7 @@ which gpg 2>/dev/null
 | Linux (Debian/Ubuntu) | `sudo apt-get install -y gnupg` |
 | Linux (CentOS/RHEL) | `sudo yum install -y gnupg2` |
 
-> ⚠️ macOS 的 Homebrew 包名是 `gnupg`。安装器不会阻塞等待 GPG 安装；只有在 `alipay-cli` 缺失、首次安装失败且失败输出指向缺少 GPG/GnuPG 时，后台准备任务才会先使用 Homebrew 当前配置执行一次 `brew install gnupg`。如果默认安装失败或卡住，再并行探测清华、阿里云、中科大三个 bottle 镜像，选择最快可用镜像后用镜像重试一次。自动安装使用“无输出超时”：45 秒没有 stdout/stderr 输出才认为命令卡住；默认安装首轮最多 2 分钟，镜像兜底最多 8 分钟。
+> ⚠️ macOS 的 Homebrew 包名是 `gnupg`。只有 `alipay-cli` 缺失、首次安装失败且输出指向缺少 GPG/GnuPG 时，后台准备任务才会执行 `brew install gnupg`；默认配置失败或卡住时，再探测清华、阿里云、中科大镜像并用最快可用镜像重试一次。自动安装无输出 45 秒视为卡住；默认首轮最多 2 分钟，镜像兜底最多 8 分钟。
 >
 > 手动执行时可任选一个镜像源，例如清华：
 > ```bash
@@ -82,11 +78,7 @@ which gpg 2>/dev/null
 > brew install gnupg
 > ```
 >
-> 可替换的 bottle 镜像源：
-> - 清华：`https://mirrors.tuna.tsinghua.edu.cn/homebrew-bottles`
-> - 阿里云：`https://mirrors.aliyun.com/homebrew-bottles`
-> - 中科大：`https://mirrors.ustc.edu.cn/homebrew-bottles`
->
+> 可替换的 bottle 镜像源：清华 `https://mirrors.tuna.tsinghua.edu.cn/homebrew-bottles`、阿里云 `https://mirrors.aliyun.com/homebrew-bottles`、中科大 `https://mirrors.ustc.edu.cn/homebrew-bottles`。
 > 不要额外设置 `HOMEBREW_API_DOMAIN`；formula 索引保持使用 Homebrew 默认 API，避免镜像索引不完整导致安装失败。
 
 签约脚本和 Unix/macOS/Linux 快速沙箱脚本需要 jq 解析 JSON，先检查：
@@ -102,7 +94,7 @@ jq --version
 | Linux (Debian/Ubuntu) | `sudo apt-get install -y jq` |
 | Linux (CentOS/RHEL) | `sudo yum install -y jq` |
 
-> ⚠️ macOS 如遇下载慢，可与 GPG 使用同一套 Homebrew bottle 下载源配置。默认 `install` 只检测 jq；执行 `install --with-jq` 且本机缺少 jq 时，后台准备任务才会按以下顺序自动重试：清华 → 阿里云 → 中科大 → 直连。
+> ⚠️ macOS 如遇下载慢，可与 GPG 使用同一套 Homebrew bottle 下载源配置。默认 `install` 只检测 jq；执行 `install --with-jq` 且本机缺少 jq 时，后台准备任务按“清华 → 阿里云 → 中科大 → 直连”重试。
 >
 > 手动执行时可任选一个镜像源，例如清华：
 > ```bash
@@ -111,13 +103,7 @@ jq --version
 > export HOMEBREW_NO_INSTALL_CLEANUP=1
 > brew install jq
 > ```
->
-> 可替换的 bottle 镜像源：
-> - 清华：`https://mirrors.tuna.tsinghua.edu.cn/homebrew-bottles`
-> - 阿里云：`https://mirrors.aliyun.com/homebrew-bottles`
-> - 中科大：`https://mirrors.ustc.edu.cn/homebrew-bottles`
->
-> 不要额外设置 `HOMEBREW_API_DOMAIN`；formula 索引保持使用 Homebrew 默认 API，避免镜像索引不完整导致安装失败。
+> 可替换镜像同上；不要额外设置 `HOMEBREW_API_DOMAIN`。
 
 Windows Integration 代码开发路径通过 Node runner 完成项目解析、项目扫描和标准消息渲染，只要求当前 Node 运行时，不把 Bash、jq 或该路径不会调用的 alipay-cli 作为 Step 1 阻断项；进入产品开通或执行既有 shell/CLI 脚本时仍按对应 flow 补齐依赖。Unix/macOS/Linux 和 Onboarding 的既有检查边界不变。
 
@@ -178,8 +164,8 @@ AI 编程工具检测使用通用脚本 `scripts/detect_dev_tool.sh`。shell 脚
 
 ### 5.1 页面打开与下载能力降级
 
-- 授权页或公钥确认页由 `scripts/open_official_url.sh` 在精确 HTTPS 主机、路径、查询参数和当前上下文校验通过后默认调用 macOS `open`、Linux `xdg-open` 或可用的 Windows PowerShell；只返回 `OPENED` / `OPEN_FAILED` / `GUI_UNAVAILABLE` / `LINK_ONLY`，不输出临时 URL。Skill 不另询问是否打开。
-- 宿主缺少 GUI、opener 不存在或当前权限不允许打开时，不安装桌面工具、不绕过宿主审批，直接由标准消息保留同一裸 URL 和复制访问兜底。
+- 页面经 HTTPS 白名单校验后默认打开：macOS `open`→`osascript open location`；Linux/Unix `xdg-open`→`gio open`→`sensible-browser`；Windows 保留 PowerShell。只返回 `OPENED` / `OPEN_FAILED` / `GUI_UNAVAILABLE` / `LINK_ONLY`。
+- 无 GUI、opener 缺失或权限不允许时，不安装工具、不绕过审批，保留同一 URL 复制兜底。`OPEN_ERROR_KIND`/`OPEN_ERROR_CODE` 只供诊断，不对客，不算支付宝业务失败。
 - 目标应用缺少用户已准备的应用公钥时，macOS/Windows 直接执行 onboarding 的 `download_key_tool.sh`，默认保存到用户 `Downloads` 目录并展示实际安装包路径；Linux、缺少 `curl`/`node`、目录不可用、下载源不可达或下载校验失败均回退 `https://opendocs.alipay.com/isv/02kipk`。脚本 stdout 直接输出标准对客文案，不输出 `DOWNLOADED`、`PATH=`、`DOWNLOAD_FAILED` 或 `DOWNLOAD_REASON` 机器标记。下载不安装、不启动、不生成密钥，Skill 不另询问是否下载。
 - 页面打开和下载能力检测不改变 alipay-cli、MCP、业务确认或网络重试契约；宿主权限提示不是 Skill 业务确认。