@alipay/alipay-aipay 1.6.0-beta.3 → 1.6.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@alipay/alipay-aipay",
-  "version": "1.6.0-beta.3",
+  "version": "1.6.0",
   "description": "支付宝 AI 付 Skill 安装包 - 优先安装 Agent Skill，并在 macOS/Linux 后台准备用户级 CLI 工具",
   "type": "module",
   "bin": {

package/skill/VERSION

@@ -1 +1 @@
-1.6.0-beta.3
+1.6.0

package/skill/references/integration/flow.md

@@ -447,7 +447,7 @@ node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" integration-message a2m
 node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" integration-message a2m-execution-guard --project-path "$PROJECT_PATH" --service-url "$SERVICE_URL" --http-method POST --request-body-file "$POST_BODY_FILE" [--prior-receipt "$A2M_EXECUTION_RECEIPT"]
 ```
 
-只接受唯一 `ALIPAY_AIPAY_INTERNAL:A2M_EXECUTION=<json>`。`decision=RUN` 时保存新 receipt 并继续；`REUSE_PASSED` 复用同一项目和输入的本轮通过证据，不重复联调；`BLOCK_UNCHANGED` 表示失败后代码、配置和输入均未变化，禁止重跑，将本轮 A2M 联调记录为失败并继续步骤 7/8；`UNKNOWN_PREVIOUS_EXECUTION` 表示上次命令可能已发出但未登记终态，当前没有登记的结果查询入口，禁止自动重跑或临时探测，固定记录联调结果未知并继续步骤 7/8。项目、服务 URL、方法或 POST body 变化时 runner 才会产生新的 `RUN` receipt。receipt 只保留在当前会话，不写跨会话业务进度。
+只接受唯一 `ALIPAY_AIPAY_INTERNAL:A2M_EXECUTION=<json>`。`decision=RUN` 时保存新 receipt 并继续；`REUSE_PASSED` 复用同一项目和输入的本轮通过证据，不重复联调；`BLOCK_UNCHANGED` 表示失败后代码、配置和输入均未变化，禁止重跑，将本轮 A2M 联调记录为失败并继续步骤 7/8；`UNKNOWN_PREVIOUS_EXECUTION` 表示上次命令可能已发出但未登记终态，当前没有登记的结果查询入口，禁止自动重跑或临时探测，固定记录联调结果未知并继续步骤 7/8。项目代码或配置的实际内容、服务 URL、方法或 POST body 变化时 runner 才会产生新的 `RUN` receipt；仅文件时间戳变化或同内容重写不属于输入变化。receipt 只保留在当前会话，不写跨会话业务进度。
 
 4. 仅 `decision=RUN` 时执行下列固定 runner 命令，输出固定联调说明后立即继续，不等待用户确认；禁止另写开始话术。服务地址和 HTTP 方法只用于后续实际命令，不在本消息中展示：
 

package/skill/references/integration/modules/sandbox/a2m-sandbox-test.md

@@ -106,7 +106,7 @@ Windows 使用 `node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" a2m`；
 
 **⚠️ 脚本的收银接口地址和付款链接前缀已硬编码在脚本中（`PAY_ENDPOINT`、`PAY_URL_PREFIX`），执行时无需额外指定。**
 
-先按统一 runtime 的 `integration-message a2m-execution-guard` 当前会话 receipt 契约校验项目快照、服务 URL、HTTP 方法和可选 POST body。只有 `decision=RUN` 才使用 `../../../normal/json/customer-messages.json` 的 `a2m.test.start` 渲染固定联调说明并立即运行脚本；`REUSE_PASSED|BLOCK_UNCHANGED|UNKNOWN_PREVIOUS_EXECUTION` 均不得重复发起完整联调。服务地址和 HTTP 方法只用于实际命令，不在开始消息中展示。
+先按统一 runtime 的 `integration-message a2m-execution-guard` 当前会话 receipt 契约校验项目快照、服务 URL、HTTP 方法和可选 POST body。项目快照按代码和配置的实际内容计算，仅文件时间戳变化或同内容重写不产生新的执行机会；实际内容变化时才允许生成新的 `RUN` receipt。只有 `decision=RUN` 才使用 `../../../normal/json/customer-messages.json` 的 `a2m.test.start` 渲染固定联调说明并立即运行脚本；`REUSE_PASSED|BLOCK_UNCHANGED|UNKNOWN_PREVIOUS_EXECUTION` 均不得重复发起完整联调。服务地址和 HTTP 方法只用于实际命令，不在开始消息中展示。
 
 ```bash
 node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" integration-message a2m-test-start

package/skill/references/normal/scripts/integration_message_runner.mjs

@@ -76,11 +76,6 @@ const aipayPaymentValidationMarker = 'Payment-Validation';
 const aipayPaymentVerifyMarker = 'alipay\\.aipay\\.agent\\.payment\\.verify|AlipayAipayAgentPaymentVerify(Request|Model|Response)|alipay_aipay_agent_payment_verify_response';
 const aipayFulfillmentConfirmMarker = 'alipay\\.aipay\\.agent\\.fulfillment\\.confirm|AlipayAipayAgentFulfillmentConfirm(Request|Model|Response)|alipay_aipay_agent_fulfillment_confirm_response';
 const aipayMarker = `${aipayPaymentNeededMarker}|${aipayPaymentProofMarker}|${aipayPaymentVerifyMarker}|${aipayFulfillmentConfirmMarker}`;
-const aipayAmountComparisonPattern = [
-  '(?:amounts?Equal|amounts?_equal|compareAmounts?|amounts?Match|amounts?_match)\\s*\\([^)]{0,320}amount[^)]{0,320},[^)]{0,320}amount[^)]{0,320}\\)',
-  '(?:normalizeAmount|normalize_amount)\\s*\\([^)]{0,200}amount[^)]{0,200}\\)\\s*(?:===|==|\\.equals\\s*\\()[\\s\\S]{0,240}(?:normalizeAmount|normalize_amount)\\s*\\([^)]{0,200}amount[^)]{0,200}\\)',
-  '(?:normalized|expected|order|stored|local)[\\w$]*amount\\s*(?:===|==|\\.equals\\s*\\()[\\s\\S]{0,200}(?:normalized|verified|verify|returned|actual|response)[\\w$]*amount'
-].join('|');
 const internalPrefix = 'ALIPAY_AIPAY_INTERNAL:';
 const receiptKinds = Object.freeze({
   checklist: 'integration-checklist-scope',
@@ -504,12 +499,8 @@ function projectSnapshotFingerprint(projectPath) {
     const stat = fs.statSync(file);
     const relative = path.relative(canonicalPath, file);
     hash.update(`${relative}\0${stat.size}\0`);
-    if (path.basename(file) === '.alipay-sandbox.json') {
-      hash.update(`${stat.mtimeMs}\n`);
-    } else {
-      hash.update(fs.readFileSync(file));
-      hash.update('\n');
-    }
+    hash.update(fs.readFileSync(file));
+    hash.update('\n');
   }
   return hash.digest('hex');
 }
@@ -597,20 +588,6 @@ function withoutCommentOnlyLines(content) {
     .join('\n');
 }
 
-function firstCodeContentPatternMatch(files, pattern) {
-  for (const file of files) {
-    let content;
-    try {
-      content = fs.readFileSync(file, 'utf8');
-    } catch {
-      continue;
-    }
-    const match = firstContentPatternMatch(file, withoutCommentOnlyLines(content), pattern);
-    if (match) return match;
-  }
-  return null;
-}
-
 function auditFinding(projectPath, code, message, match = null) {
   const finding = { code, message };
   if (match) {
@@ -665,9 +642,6 @@ export function inspectImplementation(variant, projectPath) {
       findings.push(auditFinding(canonicalPath, code, message));
     }
   }
-  if (variant === 'AIPAY' && !firstCodeContentPatternMatch(files, aipayAmountComparisonPattern)) {
-    findings.push(auditFinding(canonicalPath, 'AIPAY_AMOUNT_CHECK_MISSING', '缺少验付金额与本地订单金额的实际比较'));
-  }
 
   const commonTradeRelevance = [tradeQueryMarker, tradeRefundMarker, tradeRefundQueryMarker, tradeCloseMarker, tradeNotifyMarker].join('|');
   const targetRelevancePattern = variant === 'AIPAY'

package/skill/references/normal/scripts/runtime.mjs

@@ -36,6 +36,7 @@ const nodeEntrypoints = Object.freeze({
 
 export const runtimeDomains = Object.freeze([
   'self-update',
+  'integration-bootstrap',
   'onboarding-bootstrap',
   'onboarding-execute-ready',
   ...Object.keys(nodeEntrypoints),
@@ -125,15 +126,29 @@ function assertEnumOption(options, name, allowedValues, { required = true } = {}
   return value;
 }
 
+async function startTelemetryRun(rootIntent, productType) {
+  const telemetryArgs = ['start-run', '--root-intent', rootIntent];
+  if (productType) telemetryArgs.push('--product-type', productType);
+  const { runTelemetryCli } = await import('./telemetry.mjs');
+  await runTelemetryCli(cliArgv(telemetryArgs));
+}
+
+async function runIntegrationBootstrap(args) {
+  const options = parseRuntimeArgs(args);
+  assertOnlyOptions(options, ['root-intent', 'product-type']);
+  const rootIntent = assertEnumOption(options, 'root-intent', ['integration_only']);
+  const productType = assertEnumOption(options, 'product-type', ['aipay', 'webpay', 'apppay'], { required: false });
+  await startTelemetryRun(rootIntent, productType);
+  const { runFlowCli } = await import('./flow_loader.mjs');
+  runFlowCli(cliArgv(['integration', 'entry']));
+}
+
 async function runOnboardingBootstrap(args) {
   const options = parseRuntimeArgs(args);
   assertOnlyOptions(options, ['root-intent', 'product-type']);
   const rootIntent = assertEnumOption(options, 'root-intent', ['onboarding_only']);
   const productType = assertEnumOption(options, 'product-type', ['aipay', 'webpay', 'apppay'], { required: false });
-  const telemetryArgs = ['start-run', '--root-intent', rootIntent];
-  if (productType) telemetryArgs.push('--product-type', productType);
-  const { runTelemetryCli } = await import('./telemetry.mjs');
-  await runTelemetryCli(cliArgv(telemetryArgs));
+  await startTelemetryRun(rootIntent, productType);
   const { runOnboardingMessageCli } = await import('./onboarding_message_runner.mjs');
   await runOnboardingMessageCli(cliArgv(['platform-entry']));
   const { isWindowsPlatform } = await import('./platform_compat.mjs');
@@ -152,6 +167,7 @@ async function runOnboardingExecuteReady(args) {
 }
 
 async function dispatch(domain, args) {
+  if (domain === 'integration-bootstrap') return runIntegrationBootstrap(args);
   if (domain === 'onboarding-bootstrap') return runOnboardingBootstrap(args);
   if (domain === 'onboarding-execute-ready') return runOnboardingExecuteReady(args);
   if (domain === 'auth') {

package/skill/references/runtime-entry.md

@@ -40,13 +40,13 @@ node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" render <messageId> --va
 
 | 意图 | 判定 | 入口 | 后续按需加载 |
 |---|---|---|---|
-| `integration_only` | 只要求代码开发、支付集成或集成排障，未同时要求产品开通 | 执行 `node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" flow integration entry` | 当前阶段、产品和语言的契约、示例与脚本 |
+| `integration_only` | 只要求代码开发、支付集成或集成排障，未同时要求产品开通 | 执行 `node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" integration-bootstrap --root-intent integration_only` | 当前阶段、产品和语言的契约、示例与脚本 |
 | `onboarding_only` | 只要求签约、入驻或产品开通，未同时要求代码开发 | 执行 `node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" onboarding-bootstrap --root-intent onboarding_only` | 当前阶段的授权、查询或写分支模块 |
 | `full_process` | 明确要求完整接入、一站式，或同一请求同时要求代码开发和产品开通 | `normal/full-process-routing.md` | 先 Integration，满足衔接条件后 Onboarding |
 
-`onboarding_only` 正常入口使用 `onboarding-bootstrap --root-intent onboarding_only`，该组合动作只串行执行 `telemetry start-run`、`onboarding-message platform-entry` 和 `flow onboarding entry` 三个既有无业务写入动作；Windows 只发送登记引导并停止 Skill 内产品开通，且引导 URL 的 `platform_id` 由 runner 读取本次已创建的同一 `run_id` 后编码生成，禁止 Agent 传入或拼接；非 Windows 继续返回 entry 执行契约。执行该组合动作后不得再单独重复执行这三条原子命令。`full_process` 衔接 Onboarding 时已存在同一根流程 run，不使用带 `start-run` 的 bootstrap；仍先执行 flow 登记的 `node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" onboarding-message platform-entry`，再按需加载 Onboarding entry，避免重复 `run.intent_detected`。
+`integration_only` 的 `integration-bootstrap` 只在同一 Node 进程串行执行 `telemetry start-run` 与 `flow integration entry`。`onboarding_only` 的 `onboarding-bootstrap` 只串行执行 `telemetry start-run`、`onboarding-message platform-entry` 与 `flow onboarding entry`。两者均为既有无业务写入动作，执行后不得重复原子命令。Windows Onboarding 仅发送登记引导并停止，URL `platform_id` 取本次 `run_id`，禁止 Agent 传入或拼接；非 Windows 返回 entry 契约。`full_process` 不使用 `integration-bootstrap`；衔接 Onboarding 也不使用带 `start-run` 的 bootstrap，仍执行 `node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" onboarding-message platform-entry` 后按需加载 entry，避免重复 `run.intent_detected`。
 
-识别根意图后立即执行 `node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" telemetry start-run --root-intent <integration_only|onboarding_only|full_process>`；产品已唯一确定时追加 `--product-type <aipay|webpay|apppay>`。唯一例外是 `onboarding_only` 已按上表执行 `onboarding-bootstrap --root-intent onboarding_only` 时，bootstrap 已包含同一次 `start-run`，不得重复执行本条 telemetry。命令创建/复用当前流程 `run_id`，并在遥测开启时记录 `run.intent_detected`：同一意图和产品继续复用，`UNKNOWN` 补全产品仍复用同一 `run_id`；明确换产品、换根意图或既有 run 已终态才重建。第三方平台项目 ID 仍优先固定为 `run_id`，不得被显式 run ID 或本地生成值覆盖。业务 stage 只由登记 runner/script 异步记录。
+`full_process` 识别根意图后立即执行 `node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" telemetry start-run --root-intent full_process`；产品已唯一确定时追加 `--product-type <aipay|webpay|apppay>`。`integration_only` 和 `onboarding_only` 已由上表各自 bootstrap 包含同一次 `start-run`，不得重复执行本条 telemetry。命令创建/复用当前流程 `run_id`，并在遥测开启时记录 `run.intent_detected`：同一意图和产品继续复用，`UNKNOWN` 补全产品仍复用同一 `run_id`；明确换产品、换根意图或既有 run 已终态才重建。第三方平台项目 ID 仍优先固定为 `run_id`，不得被显式 run ID 或本地生成值覆盖。业务 stage 只由登记 runner/script 异步记录。
 
 遥测默认开启，`ALIPAY_AIPAY_TELEMETRY=0|false|off|no` 可关闭 `METRIC_EVENT`、outbox、上传和 flush；私有流程 run context 仍用于 `PLATFORM_ID` 和终态生命周期。落盘/网络/上传/flush 失败静默，不改变业务、消息或确认，stdout 为空且 stderr 内部行不对客。`integration_only` 由 checklist 终态结束 run，其他意图由 Onboarding closeout 结束。脚本始终以当前流程 `run_id` 为 `PLATFORM_ID`，Agent 不手写环境前缀或改 MCP payload；维护诊断、outbox、上传和 flush 细节只在 `normal/telemetry.md` 按需读取。