@alipay/alipay-aipay 1.8.2 → 1.8.3

package/skill-pre/references/normal/scripts/integration_message_runner.mjs

@@ -750,9 +750,83 @@ export function inspectImplementation(variant, projectPath, snapshot = null) {
 
   findings.sort((left, right) => `${left.code}:${left.path || ''}:${left.line || 0}`
     .localeCompare(`${right.code}:${right.path || ''}:${right.line || 0}`));
+  for (const finding of findings) {
+    finding.id = crypto.createHash('sha256')
+      .update(JSON.stringify([variant, currentSnapshot.fingerprint, finding]))
+      .digest('hex');
+  }
   return { projectPath: canonicalPath, variant, findings };
 }
 
+function reviewedAuditFindings(audit, rawReview, snapshot) {
+  if (rawReview === undefined) return audit.findings.map((finding) => ({ ...finding, reviewDecision: 'UNREVIEWED' }));
+  if (typeof rawReview !== 'string' || rawReview.length > 65536) throw new Error('audit-review 必须是受控 JSON 数组');
+  let reviews;
+  try { reviews = JSON.parse(rawReview); } catch { throw new Error('audit-review 不是合法 JSON'); }
+  if (!Array.isArray(reviews)) throw new Error('audit-review 必须是 JSON 数组');
+  const findings = new Map(audit.findings.map((finding) => [finding.id, finding]));
+  const reviewedIds = new Set();
+  const decisions = new Map();
+  const excluded = new Set();
+  const sources = new Set(implementationSourceFiles(snapshot.canonicalPath, snapshot.sources, snapshot.contents));
+  for (const review of reviews) {
+    if (!review || typeof review !== 'object' || Array.isArray(review)
+      || Object.keys(review).some((key) => !['findingId', 'decision', 'evidence'].includes(key))
+      || !findings.has(review.findingId) || reviewedIds.has(review.findingId)) {
+      throw new Error('audit-review 必须逐项绑定当前产品和项目快照的唯一 findingId');
+    }
+    reviewedIds.add(review.findingId);
+    if (!['FALSE_POSITIVE', 'CONFIRMED', 'UNRESOLVED'].includes(review.decision)) {
+      throw new Error('audit-review decision 仅支持 FALSE_POSITIVE、CONFIRMED、UNRESOLVED');
+    }
+    decisions.set(review.findingId, review.decision);
+    if (!Array.isArray(review.evidence) || review.evidence.length === 0 || review.evidence.length > 20) {
+      throw new Error('audit-review 每项必须提供当前生产代码的定位和核对依据');
+    }
+    for (const evidence of review.evidence) {
+      if (!evidence || typeof evidence !== 'object' || Array.isArray(evidence)
+        || Object.keys(evidence).some((key) => !['path', 'line', 'reason'].includes(key))
+        || typeof evidence.path !== 'string' || !evidence.path || evidence.path.includes('\\')
+        || path.posix.isAbsolute(evidence.path) || path.win32.isAbsolute(evidence.path)
+        || evidence.path.split('/').some((part) => !part || part === '.' || part === '..')
+        || !Number.isInteger(evidence.line) || evidence.line < 1
+        || typeof evidence.reason !== 'string' || evidence.reason.trim().length < 12 || evidence.reason.length > 2000
+        || /[\u0000-\u001f\u007f]/u.test(evidence.reason)) {
+        throw new Error('audit-review evidence 必须包含规范化相对 path、有效 line 和具体单行 reason');
+      }
+      const file = path.resolve(snapshot.canonicalPath, evidence.path);
+      const source = snapshot.contents.get(file)?.toString('utf8');
+      const lines = source === undefined ? [] : stripSourceComments(source, path.extname(file).toLowerCase()).split(/\r?\n/u);
+      if (!sources.has(file) || !lines?.[evidence.line - 1]?.trim()) {
+        throw new Error('audit-review evidence 必须指向当前快照内非空的生产源码行');
+      }
+    }
+    // The runner validates the snapshot and locations; the Agent owns the code reasoning.
+    // Unreviewed, confirmed and unresolved findings remain blocking.
+    if (review.decision === 'FALSE_POSITIVE') excluded.add(review.findingId);
+  }
+  return audit.findings.filter((finding) => !excluded.has(finding.id))
+    .map((finding) => ({ ...finding, reviewDecision: decisions.get(finding.id) || 'UNREVIEWED' }));
+}
+
+function mergeAuditItems(failedItems, findings) {
+  let items = failedItems && failedItems !== '无' ? [failedItems] : [];
+  if (items[0]?.trim().startsWith('[')) {
+    try {
+      const parsed = JSON.parse(items[0]);
+      if (Array.isArray(parsed) && parsed.every((item) => typeof item === 'string')) items = parsed;
+    } catch { /* Preserve plain text. */ }
+  }
+  items = items.flatMap((item) => item.split('；')).map((item) => item.trim()).filter(Boolean);
+  for (const finding of findings) {
+    const location = finding.path ? `（${finding.path}${finding.line ? `:${finding.line}` : ''}）` : '';
+    const prefix = finding.reviewDecision === 'CONFIRMED' ? '' : '静态扫描疑点尚未排除：';
+    const item = `${prefix}${finding.message}${location}`;
+    if (!items.includes(item)) items.push(item);
+  }
+  return [...new Set(items)].join('；');
+}
+
 function scanProjectRoute(productType, projectPath, projectSelection) {
   if (!['aipay', 'webpay', 'apppay'].includes(productType)) {
     throw new Error('ROUTE_INSPECT_ERROR:productType 非法');
@@ -1255,10 +1329,8 @@ function runServiceNotReady(args) {
 
 function runSafetyCloseout(args) {
   const variant = required(args, 'variant');
-  if (!['AIPAY', 'WEBPAY', 'APPPAY'].includes(variant)) throw new Error('variant 非法，仅支持 AIPAY、WEBPAY、APPPAY');
-  return requireCustomerMessageDelivery('integration.safety.closeout', renderMessage('integration.safety.closeout', variant, {
-    acceptanceSummary: required(args, 'acceptance-summary')
-  }));
+  if (variant !== 'APPPAY') throw new Error('步骤 7 提醒仅适用于 APPPAY；AIPAY、WEBPAY 直接进入最终 checklist，上线提醒由最终 summary 输出');
+  return requireCustomerMessageDelivery('integration.safety.closeout', renderMessage('integration.safety.closeout', variant, {}));
 }
 
 function runWindowsSandboxSummary(args) {
@@ -1348,26 +1420,21 @@ async function runChecklistResult(args) {
   }
   const input = checklistInputFromArgs(args) || await readStdin();
   const audit = inspectImplementation(variant, projectPath, snapshot);
-  if (audit.findings.length === 0 && finalizesAuditFindings) {
+  const findings = reviewedAuditFindings(audit, args['audit-review'], snapshot);
+  if (findings.length === 0 && finalizesAuditFindings) {
     throw new Error('finalize-audit-findings 仅用于收口实际 audit findings');
   }
-  if (audit.findings.length > 0) {
+  if (findings.length > 0) {
     if (args['finalize-audit-findings'] !== 'true') {
       process.stderr.write(`${internalPrefix}CHECKLIST_AUDIT=${JSON.stringify({
         state: 'REPAIR_REQUIRED',
-        findings: audit.findings
+        findings
       })}\n`);
       return null;
     }
-    const auditItems = audit.findings.map((finding) => {
-      const location = finding.path ? `（${finding.path}${finding.line ? `:${finding.line}` : ''}）` : '';
-      return `${finding.message}${location}`;
-    }).join('；');
     input.overallResult = '未通过';
     input.blockingDefectState = 'PRESENT';
-    input.failedItems = input.failedItems && input.failedItems !== '无'
-      ? `${input.failedItems}；${auditItems}`
-      : auditItems;
+    input.failedItems = mergeAuditItems(input.failedItems, findings);
     if (input.executionMode === '完整接入') {
       input.nextFlowReminder = '代码开发校验通过后将自动进入支付产品-产品开通；未通过时停留在代码开发。';
     }

package/skill-pre/references/normal/scripts/render_customer_message.mjs

@@ -1587,8 +1587,8 @@ export function renderMessage(messageId, variantName, variables, telemetryContex
     if (variables.overallResult === '未通过' && !hasFailedItems) {
       throw new Error('代码开发结果为未通过时必须列出未通过项');
     }
-    if (variables.overallResult === '通过' && hasBlockingDefect) {
-      throw new Error('代码开发通过时不得存在其他阻塞缺口');
+    if (hasBlockingDefect && variables.overallResult !== '未通过') {
+      throw new Error('存在代码、安全或必要依据阻塞缺口时，代码开发结果必须为未通过');
     }
     if (variables.overallResult !== '通过' && !sandboxPending && !hasBlockingDefect && !manualOnly) {
       throw new Error('沙箱已就绪且没有阻塞缺口时，非通过结果只能来自人工待验证项');
@@ -1614,12 +1614,12 @@ export function renderMessage(messageId, variantName, variables, telemetryContex
     if (variantName === 'WEBPAY' && variables.overallResult === '通过' && variables.webpayExperienceResult === '未提供浏览器付款入口或完整操作指引，需先补齐') {
       throw new Error('AI 网页应用收款未交付付款入口时不得标记代码开发通过');
     }
-    if (manualOnly) {
-      normalized.failedItems = `人工待验证项未完成：${normalized.manualItems}`;
-    }
     normalized.checklistDetails = variables.executionMode === '仅代码开发'
       ? ''
-      : `未完成项：${normalized.failedItems}\n人工待验证：${normalized.manualItems}`;
+      : [
+        ...(hasFailedItems ? [`未完成项：${normalized.failedItems}`] : []),
+        ...(hasManualItems ? [`人工待验证：${normalized.manualItems}`] : [])
+      ].join('\n');
     const productName = { AIPAY: 'AI 按量付费', WEBPAY: 'AI 网页应用收款', APPPAY: 'AI 移动应用收款' }[variantName];
     normalized.launchGuidance = variables.executionMode === '仅代码开发'
       ? productionReadinessBlock(productName, {

package/skill-pre/references/runtime-entry.md

@@ -16,7 +16,7 @@ AI 网页应用收款覆盖 PC 网页和手机浏览器/H5，接口固定 `alipa
 7. **沙箱结论**：真实快速沙箱配置不得用占位值，唯一例外是 AI 按量付费沙箱 `service_id=api_mock_service_id`，且生产禁用。`CREATE_PENDING|VERIFY_PENDING` 只允许继续代码实现，阻止字段使用、摘要、后置校验、联调和付款体验。字段校验不等于支付测试；仅完整 402 链路满足 flow 才可称沙箱测试通过。
 8. **异步通知**：AI 网页应用收款/AI 移动应用收款必须实现通知处理和交易查询。`notify_url` 是可选参数；生产也允许省略。未配置时不触发该地址的异步通知，必须由商家服务端通过 `alipay.trade.query` 主动确认支付结果，校验订单、金额、支付状态及归属，幂等更新订单；即使用户关闭页面，仍须继续处理查询重试和未决订单。如使用异步通知，配置商家已部署、支付宝服务端可公网访问的 HTTPS 地址并完成验签、关键字段校验、幂等、`success` 回写和补偿查询。不能只因没有公网通知地址阻止流程或判定不能上线；通知处理代码仍须实现，实际代码或支付结果确认链路缺陷仍是阻断项。
 9. **受控页面**：授权链接仅由 `auth.sh` 按固定产品/MCC 生成，只允许 `https://aipay.alipay.com/cli-auth` 及登记参数，禁用 CLI `verification_url`；公钥页和系统 opener 只走登记脚本。失败后宿主内置浏览器只可打开已交付的同一 URL 一次；仍失败才提示手动打开，再有限轮询。禁止搜索、改写或自动操作；opener/config 写失败不算业务失败。
-10. **对客输出**：指定 runner/renderer/脚本时，stdout 是唯一对客正文，须原文回复且不加旁白；工具输出记录、折叠面板或日志不等于已对客发送。展示命令只执行登记单条命令，禁 `2>&1`、管道、`grep/sed/awk/tee`、临时包装或拆回 `jq/printf/renderer`。除 `self_update.mjs` 的 `SELF_UPDATE:*` stderr 终态外，内部事实行均以 `ALIPAY_AIPAY_INTERNAL:` 开头；宿主合并输出时仍整行剔除，严禁对客。`integration.start.confirm`、`onboarding.plan.confirm`、`sandbox.configuration.pending`、`sandbox.environment.summary`、`integration.safety.closeout` 和 `integration.checklist.result` 成功渲染时必须各自产生唯一 `ALIPAY_AIPAY_INTERNAL:CUSTOMER_MESSAGE_DELIVERY_REQUIRED=<messageId>`；下一动作先将剔除内部行后的 stdout 原文作为独立可见消息送达，不得以工具面板、折叠输出、进度话术或最终答复代替，也不得在送达前继续调用工具。送达后同回合按 flow 继续，不等待回复。成功沙箱准备 `READY` 时 stdout 仍按 flow 静默，不构成交付消息；只有待配置正文和后置摘要需要交付。所有 `postRenderHintType=scanReturn` 的页面消息都是交付屏障（当前为 `auth.page`、`application.key.page`）：先独立送达页面 stdout，再执行受控 opener 和有限轮询，不合并 pending/收口；不要求确认。阻塞正文后等待；剔除内部行后正文为空则直接转移。
+10. **对客输出**：指定 runner/renderer/脚本时，stdout 是唯一对客正文，须原文回复且不加旁白；工具输出记录、折叠面板或日志不等于已对客发送。展示命令只执行登记单条命令，禁 `2>&1`、管道、`grep/sed/awk/tee`、临时包装或拆回 `jq/printf/renderer`。除 `self_update.mjs` 的 `SELF_UPDATE:*` stderr 终态外，内部事实行均以 `ALIPAY_AIPAY_INTERNAL:` 开头；宿主合并输出时仍整行剔除，严禁对客。`integration.start.confirm`、`onboarding.plan.confirm`、`sandbox.configuration.pending`、`sandbox.environment.summary`、`integration.safety.closeout` 和 `integration.checklist.result` 在 flow 适用且成功渲染时必须各自产生唯一 `ALIPAY_AIPAY_INTERNAL:CUSTOMER_MESSAGE_DELIVERY_REQUIRED=<messageId>`；下一动作先将剔除内部行后的 stdout 原文作为独立可见消息送达，不得以工具面板、折叠输出、进度话术或最终答复代替，也不得在送达前继续调用工具。送达后同回合按 flow 继续，不等待回复。成功沙箱准备 `READY` 时 stdout 仍按 flow 静默，不构成交付消息；只有待配置正文和后置摘要需要交付。所有 `postRenderHintType=scanReturn` 的页面消息都是交付屏障（当前为 `auth.page`、`application.key.page`）：先独立送达页面 stdout，再执行受控 opener 和有限轮询，不合并 pending/收口；不要求确认。阻塞正文后等待；剔除内部行后正文为空则直接转移。
 11. **确定性转移**：固定脚本终态后立即转移；只执行动作处登记命令，禁止追加 `jq/cat/grep/curl` 或临时脚本重复解析。失败只走登记恢复；项目自检不绕过 Skill 脚本或打印敏感配置。
 
 ## 标准消息