@alipay/alipay-aipay 1.8.3 → 1.8.5

package/dist/commands/install.js

@@ -10,6 +10,7 @@ import { getCommandContext, getAllCommandContexts, detectCurrentAgentTarget, DEF
 import { installSkillFiles, readVersionRecord, writeVersionRecordWithFallback, } from '../utils/file.js';
 import { checkAlipayCli } from '../utils/alipay-cli.js';
 import { checkJq, isJqRequiredPlatform, resolveManagedJqAsset } from '../utils/jq.js';
+import { createUpdatedProfileContent, DEFAULT_CHINFO } from '../utils/profile.js';
 function resolveInstallPlan(cwd, target, channel) {
     if (target !== 'all') {
         const context = getCommandContext(cwd, target, channel);
@@ -30,6 +31,7 @@ export async function installCommand(cwd, options = {}) {
     const { skillName: SKILL_NAME, displayName } = getChannelConfig(channel);
     const SKILLS = [{ name: SKILL_NAME, displayName }];
     const target = options.target ?? 'all';
+    const internalChannelInstall = process.env.ALIPAY_AIPAY_CHANNEL_OFFER_INSTALL === '1';
     const deferWindowsTools = process.platform === 'win32' && !options.skipTools;
     const skipTools = (options.skipTools ?? false) || deferWindowsTools;
     const jqRequired = isJqRequiredPlatform();
@@ -120,6 +122,12 @@ export async function installCommand(cwd, options = {}) {
         for (const ctx of contexts) {
             const targetSkillDir = path.join(ctx.targetDir, SKILL_NAME);
             try {
+                const profileContent = internalChannelInstall
+                    ? undefined
+                    : await createUpdatedProfileContent(targetSkillDir, {
+                        chinfo: options.chinfo ?? DEFAULT_CHINFO,
+                        vid: options.vid,
+                    });
                 const existingRecord = await readVersionRecord(ctx);
                 if (existingRecord) {
                     console.log(chalk.yellow(`检测到已有安装记录，直接覆盖更新: ${ctx.targetDirLabel}/${SKILL_NAME}/`));
@@ -127,7 +135,7 @@ export async function installCommand(cwd, options = {}) {
                     console.log('');
                 }
                 try {
-                    await installSkillFiles(PACKAGE_ROOT, ctx.targetDir, channel);
+                    await installSkillFiles(PACKAGE_ROOT, ctx.targetDir, channel, { profileContent });
                 }
                 catch (error) {
                     const failure = error;
@@ -138,7 +146,7 @@ export async function installCommand(cwd, options = {}) {
                     const sessionModule = pathToFileURL(path.join(PACKAGE_ROOT, 'skill', 'references', 'normal', 'scripts', 'session_skill.mjs')).href;
                     const { createSessionSkill } = await import(sessionModule);
                     const receipt = createSessionSkill({ sourceDir: path.join(PACKAGE_ROOT, channel === 'pre' ? 'skill-pre' : 'skill'), channel, version,
-                        packageVersion: JSON.parse(fs.readFileSync(path.join(PACKAGE_ROOT, 'package.json'), 'utf8')).version,
+                        packageVersion: JSON.parse(fs.readFileSync(path.join(PACKAGE_ROOT, 'package.json'), 'utf8')).version, profileContent,
                         targetDir: targetSkillDir });
                     spinner.warn(chalk.yellow('原 Skill 目录未更新；已准备仅供当前会话加载的新版副本。'));
                     console.log(`请当前 Agent 读取 ${path.join(receipt.skillDir, 'SKILL.md')} 并按该版本启动协议继续；后续命令使用此目录。下次会话仍可能加载原目录旧版。`);

package/dist/index.js

@@ -7,6 +7,7 @@ import { installCurrentSkillCommand } from './commands/install-current.js';
 import { uninstallCommand } from './commands/uninstall.js';
 import { updateCommand } from './commands/update.js';
 import { prepareToolsCommand } from './commands/prepare-tools.js';
+import { parseChinfo, parseVid } from './utils/profile.js';
 const program = new Command();
 function parseTarget(value) {
     if (value === 'agents' || value === 'codex' || value === 'claude' || value === 'auto' || value === 'all') {
@@ -26,6 +27,8 @@ program
     .option('--channel <channel>', 'Skill 渠道: stable | pre', parseChannel, 'stable')
     .description('安装支付宝 AI 付接入 Skill（Skill 文件优先完成，工具准备不阻塞安装）')
     .option('--target <target>', '安装目标: all | agents | codex | claude | auto', 'all')
+    .option('--chinfo <chinfo>', 'Skill 获取来源标识', parseChinfo)
+    .option('--vid <vid>', 'Skill 访问来源标识', parseVid)
     .option('--with-jq', '兼容参数；macOS/Linux 缺少 jq 时默认已在 detached 后台准备')
     .option('--skip-tools', '只安装 Skill 文件，跳过 alipay-cli、jq 检查与安装')
     .action(async (options) => {
@@ -33,6 +36,8 @@ program
         target: parseTarget(options.target),
         channel: options.channel,
         skipTools: Boolean(options.skipTools),
+        chinfo: options.chinfo,
+        vid: options.vid,
     });
 });
 // uninstall 命令
@@ -69,7 +74,7 @@ program
 });
 // 默认行为：无参数时直接执行安装流程
 if (process.argv.length === 2) {
-    installCommand(process.cwd(), { target: 'all', skipTools: false });
+    installCommand(process.cwd(), { target: 'all', skipTools: false, chinfo: 'origin' });
 }
 else {
     program.parse();

package/dist/utils/file.js

@@ -3,6 +3,7 @@ import path from 'path';
 import { randomUUID } from 'crypto';
 import { setTimeout as delay } from 'timers/promises';
 import { getChannelConfig, getSkillVersion, readInstalledChannel } from './channels.js';
+import { PROFILE_FILE, readPreservedProfile } from './profile.js';
 /**
  * 检查目录是否存在
  */
@@ -236,8 +237,8 @@ export async function writeVersionRecordWithFallback(ctx, record) {
  * 安装 Skill 文件到目标目录
  * 从包内 skill/ 目录复制 SKILL.md + references/ 到目标 skills 目录
  */
-export async function installSkillFiles(packageRoot, targetDir, channel = 'stable') {
-    return installSkillFilesAtPath(packageRoot, path.join(targetDir, getChannelConfig(channel).skillName), { channel });
+export async function installSkillFiles(packageRoot, targetDir, channel = 'stable', options = {}) {
+    return installSkillFilesAtPath(packageRoot, path.join(targetDir, getChannelConfig(channel).skillName), { ...options, channel });
 }
 // Directory replacement can be briefly refused by Windows. Keep the original
 // transaction/rollback semantics; never fall back to mixing files in place.
@@ -267,6 +268,10 @@ export async function installSkillFilesAtPath(packageRoot, skillTargetDir, optio
     const channel = options.channel ?? 'stable';
     const { skillName: SKILL_NAME, sourceDir: SKILL_DIR } = getChannelConfig(channel);
     const transactionId = options.transactionId;
+    const suppliedProfile = options.profileContent;
+    if (suppliedProfile && suppliedProfile.length > 64 * 1024) {
+        throw new Error(`${PROFILE_FILE} 内容过大`);
+    }
     if (transactionId && !/^[0-9a-f]{8}-[0-9a-f]{4}-4[0-9a-f]{3}-[89ab][0-9a-f]{3}-[0-9a-f]{12}$/u.test(transactionId)) {
         throw new Error('无效的 Skill 安装事务 ID');
     }
@@ -305,9 +310,13 @@ export async function installSkillFilesAtPath(packageRoot, skillTargetDir, optio
     let previousInstallMoved = false;
     let stagingCommitted = false;
     try {
+        const profileContent = suppliedProfile ?? await readPreservedProfile(resolvedSkillTargetDir);
         await fs.copyFile(path.join(skillSourceDir, 'SKILL.md'), path.join(stagingDir, 'SKILL.md'));
         await copyDirWithPerms(path.join(skillSourceDir, 'references'), path.join(stagingDir, 'references'));
         await fs.copyFile(path.join(skillSourceDir, 'VERSION'), path.join(stagingDir, 'VERSION'));
+        if (profileContent) {
+            await fs.writeFile(path.join(stagingDir, PROFILE_FILE), profileContent, { mode: 0o600 });
+        }
         if (await pathExists(resolvedSkillTargetDir)) {
             try {
                 await renameInstallDirectory(resolvedSkillTargetDir, backupDir);

package/dist/utils/profile.js

@@ -0,0 +1,64 @@
+import fs from 'fs/promises';
+import path from 'path';
+export const PROFILE_FILE = 'PROFILE';
+export const DEFAULT_CHINFO = 'origin';
+export const MAX_PROFILE_BYTES = 64 * 1024;
+function parseProfileValue(value, option) {
+    if (typeof value !== 'string' || value.trim() !== value || [...value].length < 1 || [...value].length > 128
+        || /[\p{Cc}\p{Cs}]/u.test(value)) {
+        throw new Error(`无效的 --${option}：必须是 1-128 个字符，且不能包含首尾空白或控制字符`);
+    }
+    return value;
+}
+export function parseChinfo(value) {
+    return parseProfileValue(value, 'chinfo');
+}
+export function parseVid(value) {
+    return parseProfileValue(value, 'vid');
+}
+export function createProfileContent(chinfo, vid) {
+    const profile = { schemaVersion: 1, chinfo: parseChinfo(chinfo) };
+    if (vid !== undefined)
+        profile.vid = parseVid(vid);
+    return Buffer.from(`${JSON.stringify(profile, null, 2)}\n`, 'utf8');
+}
+export async function createUpdatedProfileContent(skillDir, updates) {
+    const previous = await readPreservedProfile(skillDir);
+    let profile = {};
+    if (previous) {
+        try {
+            const parsed = JSON.parse(previous.toString('utf8'));
+            if (parsed && !Array.isArray(parsed) && typeof parsed === 'object' && parsed.schemaVersion === 1) {
+                profile = { ...parsed };
+            }
+        }
+        catch {
+            // A user-initiated install repairs an unreadable PROFILE with the current fields.
+        }
+    }
+    profile.schemaVersion = 1;
+    profile.chinfo = parseChinfo(updates.chinfo);
+    if (updates.vid !== undefined)
+        profile.vid = parseVid(updates.vid);
+    return Buffer.from(`${JSON.stringify(profile, null, 2)}\n`, 'utf8');
+}
+export async function readPreservedProfile(skillDir) {
+    const profilePath = path.join(skillDir, PROFILE_FILE);
+    let stat;
+    try {
+        stat = await fs.lstat(profilePath);
+    }
+    catch (error) {
+        if (error.code === 'ENOENT')
+            return null;
+        throw error;
+    }
+    if (!stat.isFile() || stat.isSymbolicLink()) {
+        throw new Error(`已有 ${PROFILE_FILE} 必须是普通文件，无法安全保留`);
+    }
+    if (stat.size > MAX_PROFILE_BYTES) {
+        throw new Error(`已有 ${PROFILE_FILE} 超过 ${MAX_PROFILE_BYTES} 字节，无法安全保留`);
+    }
+    return fs.readFile(profilePath);
+}
+//# sourceMappingURL=profile.js.map

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@alipay/alipay-aipay",
-  "version": "1.8.3",
+  "version": "1.8.5",
   "description": "支付宝 AI 付接入 Skill 安装包 - 优先安装 Agent Skill，并在 macOS/Linux 后台准备用户级 CLI 工具",
   "type": "module",
   "bin": {
@@ -55,7 +55,7 @@
     "typescript": "^5.3.3"
   },
   "alipayAipayChannels": {
-    "stable": "1.7.9",
-    "pre": "1.8.2-pre"
+    "stable": "1.8.1",
+    "pre": "1.8.4-pre"
   }
 }

package/skill/SKILL.md

@@ -33,6 +33,8 @@ powershell.exe -NoProfile -NonInteractive -File "<SKILL_DIR>/references/normal/s
 
 本目录的 `references/normal/json/release-channel.json` 固定当前渠道；正式版为 `stable`，预发版为 `pre`。自更新只比较 npm latest 元数据中的本渠道 Skill 版本与本地 `VERSION`，不以 npm 包版本判断是否需要更新，不切换或扫描另一渠道。缺少合法渠道元数据时保留当前版本。 本地 beta 测试版本固定使用当前版本，不查询 npm、不自动升级或转正；常规版本只接收本渠道非 beta 版本。此判断由同一自更新命令完成，Agent 不自行判断或修改 VERSION。
 
+用户主动执行公开 npm `install` 时，安装器在已安装 Skill 根目录创建或字段级合并与 `VERSION` 并列的 `PROFILE`；`chinfo` 显式传值时更新为该值，未传时更新为 `origin`，只有显式 `--vid <值>` 才新增或更新 `vid`，未传时保留已有 `vid`，其他已有扩展字段也保留。npm 包内的 `skill/`、`skill-pre/` 源目录不得预置 `PROFILE`。自更新、普通 `update`、内部 `install-current` 和 Windows 会话副本只原样迁移已有普通 `PROFILE`：原来有则保留全部 JSON 字段，原来没有则继续没有，禁止因内部使用 npm/npx 创建 `origin` 或修改 `vid`。
+
 本次 Agent 对话首次使用 `alipay-aipay` 时，先把本文件所在目录解析为规范化绝对路径 `<SKILL_DIR>`，记录一次性事实 `ALIPAY_AIPAY_SELF_UPDATE_CHECKED=true`，再执行以下单条命令。`<SKILL_DIR>` 是执行时替换的路径占位符；禁止用 shell 变量赋值、命令替换或依赖特定 shell：
 
 ```text

package/skill/VERSION

@@ -1 +1 @@
-1.7.9
+1.8.1

package/skill/references/integration/flow.md

@@ -163,7 +163,7 @@ node "<SKILL_DIR>/references/normal/scripts/runtime.mjs" integration-message win
 资料校验通过后必须建立适用的版本控制忽略和访问保护。该例外只适用于当前沙箱资料；生产环境应用私钥和密码禁止提供给 Agent。Agent 不得在回复、摘要或普通日志中复述收到的值；仅 AI 网页应用收款在本步骤 5 已校验后，允许登记沙箱摘要展示买家账号及两个密码，最终 summary 只展示这三项。
 
 5. Unix/macOS/Linux 的 `ensure` 只依据同一目标项目的 `.alipay-sandbox.json` 当前事实分流：文件不存在时执行既有 `create`；文件存在或为符号链接时执行既有 `verify` 安全路径。已存在配置不得再次调用 `createAnonymousSandbox`、不得覆盖，也不得因为中断重来要求用户删除配置；无效、不安全或被 Git 跟踪时不得使用，脚本按待配置终态统一输出后继续代码开发。
-6. 只有 Unix/macOS/Linux 创建分支会调用冻结的 `alipay-anonymous-sandbox.createAnonymousSandbox`、`{"request":{"appType":"PUBLICAPP"}}`、`PLATFORM`、`PLATFORM_ID`、`ALIPAYCLI_BIZ_INFO` 环境变量和 `result.content[0].text -> success -> data` 解包逻辑；`ALIPAYCLI_BIZ_INFO` 固定标识当前调用方 Skill、当前生效版本和匿名 `skill_user_id`，禁止传入 `PRODUCT`。Windows 不调用该方法或 `sandbox_config.sh`。
+6. 只有 Unix/macOS/Linux 创建分支会调用冻结的 `alipay-anonymous-sandbox.createAnonymousSandbox`、`{"request":{"appType":"PUBLICAPP"}}`、`PLATFORM`、`PLATFORM_ID`、`ALIPAYCLI_BIZ_INFO` 环境变量和 `result.content[0].text -> success -> data` 解包逻辑；`ALIPAYCLI_BIZ_INFO` 固定标识当前调用方 Skill、当前生效版本、匿名 `skill_user_id` 及合法 `PROFILE` 中可选的 `chinfo`、`vid`，各字段缺少时分别省略且不回填，禁止传入 `PRODUCT`。Windows 不调用该方法或 `sandbox_config.sh`。
 7. Unix/macOS/Linux 只接受以下互斥最终结果和一个临时恢复结果；待配置不算成功：
    - `READY`：退出码为 0；唯一带 `ALIPAY_AIPAY_INTERNAL:` 前缀的 `SANDBOX_ENSURE_ACTION=CREATED|VERIFIED`、`SANDBOX_CONFIG_PATH=<同一目标项目绝对路径>/.alipay-sandbox.json` 和 `FLOW:SANDBOX_CONFIG_READY` 内部事实。
    - `CREATE_PENDING`：退出码为 0；脚本 stdout 已渲染唯一 `sandbox.configuration.pending/CREATE` 正文，并产生唯一 `ALIPAY_AIPAY_INTERNAL:CUSTOMER_MESSAGE_DELIVERY_REQUIRED=sandbox.configuration.pending`；另有唯一带 `ALIPAY_AIPAY_INTERNAL:` 前缀的 `SANDBOX_PENDING_PATH=<同一目标项目绝对路径>/.alipay-sandbox.json` 和 `FLOW:SANDBOX_CONFIG_PENDING_CREATE` 内部事实；不得出现 READY 标记。

package/skill/references/integration/modules/sandbox/alipay-sandbox-tool.md

@@ -18,7 +18,7 @@ which alipay-cli 2>/dev/null && alipay-cli version
 
 **重要：工具返回的 `data` 只是候选沙箱配置；必须先按 `sandbox-setup-guide.md` 完成字段完整性校验，校验通过后再写入正式本地配置文件。创建阶段不对客输出字段核对表、独立校验结论或沙箱环境摘要表；代码开发完成并通过配置后置校验后，才按该指南输出一张沙箱环境摘要表。该结果不代表沙箱支付测试通过。privateKey、publicKey 等密钥字段不得展开。**
 
-`createAnonymousSandbox` 的 MCP 请求体只有业务入参 `request.appType`，当前固定为 `PUBLICAPP`。`PLATFORM`、`PLATFORM_ID` 和 `ALIPAYCLI_BIZ_INFO` 是 alipay-cli 上下文环境变量，禁止写入 `--data` 的 JSON。匿名沙箱创建不依赖本轮最终选择的支付产品，因此不得为了创建沙箱先编造或强行确认 `PRODUCT`。
+`createAnonymousSandbox` 的 MCP 请求体只有业务入参 `request.appType`，当前固定为 `PUBLICAPP`。`PLATFORM`、`PLATFORM_ID` 和 `ALIPAYCLI_BIZ_INFO` 是 alipay-cli 上下文环境变量，禁止写入 `--data` 的 JSON。匿名沙箱创建不依赖本轮最终选择的支付产品，因此不得为了创建沙箱先编造或强行确认 `PRODUCT`。 下列命令展示无合法 `PROFILE.chinfo` 和 `PROFILE.vid` 的技能市场来源示例；存在合法值时 `common.sh` 会在同一 JSON 中分别追加 `"chinfo":"<来源>"` 和 `"vid":"<来源>"`。
 
 ```bash
 PLATFORM="<PLATFORM>" \
@@ -41,7 +41,7 @@ alipay-cli mcp call alipay-anonymous-sandbox.createAnonymousSandbox \
 |------|------|----------|
 | `PLATFORM` | AI 编程工具识别结果 | 参考通用脚本 `../../../normal/scripts/detect_dev_tool.sh` 识别当前工具后使用其输出值；缺失时使用 `unknown`。例如 Codex 环境检测结果为 `codex` |
 | `PLATFORM_ID` | 第三方项目 ID；缺失时为当前逻辑 `run_id` | 由 `sandbox_config.sh` 通过 `common.sh` 读取，遥测开启或关闭都不影响该值；第三方项目 ID 只用于项目维度，不能生成逻辑 `run_id`，缺失时才保持 `PLATFORM_ID <- run_id` fallback，且不阻断沙箱创建 |
-| `ALIPAYCLI_BIZ_INFO` | 当前生效 Skill 的 `VERSION` 与匿名机器哈希 | 由 `common.sh` 动态生成 JSON：`{"skill":"alipay-aipay","skill_version":"v<当前 VERSION>","skill_user_id":"machine_<32位匿名机器哈希>"}`；`skill` 固定，版本统一带 `v` 前缀，`skill_user_id` 复用 telemetry 的 `machineUserID`，极端环境无法取得合法 `machine_` 标识时省略该字段；禁止由 Agent 手写或沿用外部同名值 |
+| `ALIPAYCLI_BIZ_INFO` | 当前生效 Skill 的 `VERSION`、匿名机器哈希及可选来源字段 | 由 `common.sh` 动态生成 JSON：基础字段为 `{"skill":"alipay-aipay","skill_version":"v<当前 VERSION>","skill_user_id":"machine_<32位匿名机器哈希>"}`；Skill 根目录存在合法 `PROFILE.chinfo` 或 `PROFILE.vid` 时分别追加对应字段，任一字段缺少时仅省略该字段，且不以 `PLATFORM` 回填 `chinfo`。`skill_user_id` 复用 telemetry 的 `machineUserID`，极端环境无法取得合法 `machine_` 标识时省略该字段；禁止由 Agent 手写或沿用外部同名值 |
 | `PRODUCT` | 不再传入 | 该 MCP 方法当前不需要产品上下文；不得把产品名写入 `--data` 或 CLI 环境变量 |
 
 **Codex 环境示例：**

package/skill/references/normal/alipay-cli-env.md

@@ -141,12 +141,12 @@ source ~/.bashrc  # Linux/bash
 
 > ⚠️ **强制规范：检测结果仅供内部使用，禁止向用户输出！**
 
-AI 工具由 `scripts/detect_dev_tool.sh` 检测；`init_alipay_cli_context` 设置 `DEV_TOOL_NAME`、`PLATFORM`。`run_id` 在根意图与产品首次唯一确定时由 runtime 生成 UUID；同一组合的 active run 复用，组合变化或旧 run 已关闭时生成新 UUID，第三方项目 ID 不参与生成。`common.sh` 为业务 `PLATFORM_ID` 优先使用有效的第三方项目 ID（`COZE_PROJECT_ID`、`MEOO_PROJECT_ID` 或 MIAODA 的 `VITE_APP_ID`/`PLATFORM_ID`），缺失时回退当前 `run_id`；遥测开关不改变该回退规则。脚本还从当前生效 Skill 的 `VERSION` 和同源 `machineUserID` 动态生成 `ALIPAYCLI_BIZ_INFO={"skill":"alipay-aipay","skill_version":"v<当前 VERSION>","skill_user_id":"machine_<32位匿名机器哈希>"}`；极端环境无法取得合法 `machine_` 标识时只省略 `skill_user_id`，不写 `anonymous_uid` 且不阻断业务调用。所有携带 `PLATFORM` 的 Skill 业务 CLI 调用均携带该 JSON，外部同名值会被覆盖；`alipay-cli version` 等不携带 `PLATFORM` 的安装和环境探测不注入该变量。产品确认后，Onboarding 还严格映射 `aipay|webpay|apppay` 为 `PRODUCT=AIPAY|WEBPAY|APPPAY`，其环境检查、登录、查询、写入和上传均携带该值，但 `PRODUCT` 和 `ALIPAYCLI_BIZ_INFO` 都不写入 MCP JSON；Integration 产品确定前的环境检查和快速沙箱不传 `PRODUCT`。
+AI 工具由 `scripts/detect_dev_tool.sh` 检测；`init_alipay_cli_context` 设置 `DEV_TOOL_NAME`、`PLATFORM`。`run_id` 在根意图与产品首次唯一确定时由 runtime 生成 UUID；同一组合的 active run 复用，组合变化或旧 run 已关闭时生成新 UUID，第三方项目 ID 不参与生成。`common.sh` 为业务 `PLATFORM_ID` 优先使用有效的第三方项目 ID（`COZE_PROJECT_ID`、`MEOO_PROJECT_ID` 或 MIAODA 的 `VITE_APP_ID`/`PLATFORM_ID`），缺失时回退当前 `run_id`；遥测开关不改变该回退规则。脚本从当前生效 Skill 的 `VERSION` 和同源 `machineUserID` 动态生成 `ALIPAYCLI_BIZ_INFO={"skill":"alipay-aipay","skill_version":"v<当前 VERSION>","skill_user_id":"machine_<32位匿名机器哈希>"}`；若 Skill 根目录存在普通、合法且不超过 64 KiB 的 `PROFILE`，并且其中 `schemaVersion=1`，则分别校验可选 `chinfo` 和 `vid` 是否为 1 至 128 个无首尾空白和控制字符的 Unicode 字符，并把各自合法值追加到同一 JSON。任一字段缺少或无效时仅省略该字段；`PROFILE` 无法解析时两者都省略，且不得用 `PLATFORM` 回填 `chinfo`；极端环境无法取得合法 `machine_` 标识时只省略 `skill_user_id`，不写 `anonymous_uid` 且不阻断业务调用。所有携带 `PLATFORM` 的 Skill 业务 CLI 调用均携带该 JSON，外部同名值会被覆盖；`alipay-cli version` 等不携带 `PLATFORM` 的安装和环境探测不注入该变量。产品确认后，Onboarding 还严格映射 `aipay|webpay|apppay` 为 `PRODUCT=AIPAY|WEBPAY|APPPAY`，其环境检查、登录、查询、写入和上传均携带该值，但 `PRODUCT` 和 `ALIPAYCLI_BIZ_INFO` 都不写入 MCP JSON；Integration 产品确定前的环境检查和快速沙箱不传 `PRODUCT`。
 
 ```
 ❌ 禁止：向用户输出"环境检查完成，检测到您正在使用 Claude Code 环境"等检测结果
 ❌ 禁止：向用户透出任何关于 AI 编程工具检测的信息
-✅ 正确：检测结果仅供内部使用，只用于脚本设置 `PLATFORM`；`PLATFORM_ID` 优先使用有效第三方项目 ID，缺失时回退当前 `run_id`；`ALIPAYCLI_BIZ_INFO` 由当前 Skill 版本和匿名 `skill_user_id` 派生，Onboarding 的 `PRODUCT` 由已确认产品映射
+✅ 正确：检测结果仅供内部使用，只用于脚本设置 `PLATFORM`；`PLATFORM_ID` 优先使用有效第三方项目 ID，缺失时回退当前 `run_id`；`ALIPAYCLI_BIZ_INFO` 由当前 Skill 版本、匿名 `skill_user_id` 及可选 `PROFILE.chinfo`、`PROFILE.vid` 派生，各字段缺少时分别省略；Onboarding 的 `PRODUCT` 由已确认产品映射
 ✅ 正确：静默完成检测，直接进入下一步流程
 ```
 

package/skill/references/normal/scripts/common.sh

@@ -255,10 +255,11 @@ init_platform_id() {
 }
 
 init_alipay_cli_biz_info() {
-  local common_dir version_file version skill_user_id
+  local common_dir skill_dir version_file version skill_user_id profile_script merged
 
   common_dir="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
-  version_file="${common_dir}/../../../VERSION"
+  skill_dir="$(cd "${common_dir}/../../.." && pwd)"
+  version_file="${skill_dir}/VERSION"
   if [ ! -f "$version_file" ]; then
     echo "❌ 无法读取当前 alipay-aipay Skill 版本" >&2
     return 1
@@ -271,11 +272,14 @@ init_alipay_cli_biz_info() {
   fi
 
   skill_user_id="$(machine_user_id_for_biz_info "$common_dir" || true)"
+  profile_script="${common_dir}/profile.mjs"
   if [[ "$skill_user_id" =~ ^machine_[0-9a-f]{32}$ ]]; then
     printf -v ALIPAYCLI_BIZ_INFO '{"skill":"alipay-aipay","skill_version":"v%s","skill_user_id":"%s"}' "$version" "$skill_user_id"
   else
     printf -v ALIPAYCLI_BIZ_INFO '{"skill":"alipay-aipay","skill_version":"v%s"}' "$version"
   fi
+  merged="$(node "$profile_script" merge-biz-info --skill-dir "$skill_dir" --base-json "$ALIPAYCLI_BIZ_INFO" 2>/dev/null || true)"
+  if [ -n "$merged" ]; then ALIPAYCLI_BIZ_INFO="$merged"; fi
   export ALIPAYCLI_BIZ_INFO
 }