@clawos-dev/clawd 0.2.256 → 0.2.258

package/dist/dispatch/mcp-server.cjs

@@ -21185,7 +21185,12 @@ var AttachmentGroupAddArgs = external_exports.object({
   sessionId: external_exports.string().min(1),
   relPath: external_exports.string().min(1),
   /** owner 手动加入时可选备注；agent 自动入清单不走此 RPC */
-  label: external_exports.string().optional()
+  label: external_exports.string().optional(),
+  /**
+   * 统一 RPC 鉴权（spec 2026-07-28 §8 决策 B）：agent 经 clawd-rpc 调用持 owner token，
+   * ctx 已推不出"这是 agent"；body 显式标 origin:'agent' 保留群清单 from 的展示语义。
+   */
+  origin: external_exports.literal("agent").optional()
 });
 var AttachmentGroupAddResponseSchema = external_exports.object({
   entry: GroupFileEntrySchema
@@ -22776,6 +22781,14 @@ var DispatchListArgsSchema = external_exports.object({
 var DispatchListResultSchema = external_exports.object({
   records: external_exports.array(DispatchRecordSchema)
 });
+var DispatchGetArgsSchema = external_exports.object({
+  dispatchId: external_exports.string().min(1)
+});
+var DispatchGetOkSchema = external_exports.object({
+  type: external_exports.literal("personaDispatch:get:ok"),
+  status: DispatchStatusSchema,
+  outcome: DispatchOutcomeSchema.optional()
+});
 
 // ../protocol/src/log.ts
 var LOG_SOURCES = ["daemon", "main", "renderer"];
@@ -23543,7 +23556,7 @@ async function handlePersonaDispatchToolCall(input, ctx) {
       isError: true
     };
   }
-  const url = `${ctx.daemonUrl}/api/rpc/personaDispatch.run`;
+  const url = `${ctx.daemonUrl}/rpc/personaDispatch:run`;
   log("personaDispatch pre-fetch", { url });
   let res;
   try {
@@ -23551,9 +23564,11 @@ async function handlePersonaDispatchToolCall(input, ctx) {
       method: "POST",
       headers: {
         "content-type": "application/json",
-        "x-clawd-session-id": ctx.sessionId
+        authorization: `Bearer ${ctx.daemonToken}`
       },
       body: JSON.stringify({
+        // sessionId 是普通 body 参数（run handler 用作 sourceSessionId 归因），鉴权只看 Bearer
+        sessionId: ctx.sessionId,
         // 续派时可省 targetPersona（daemon 从台账取）
         ...input.targetPersona ? { targetPersona: input.targetPersona } : {},
         prompt: input.prompt,
@@ -23609,10 +23624,12 @@ async function handlePersonaDispatchToolCall(input, ctx) {
 async function handlePersonaDispatchListToolCall(input, ctx) {
   const f = ctx.fetch ?? fetch;
   const filter = input.sourceSessionId ?? ctx.sessionId;
-  const url = `${ctx.daemonUrl}/api/rpc/personaDispatch.list`;
+  const url = `${ctx.daemonUrl}/rpc/personaDispatch:list`;
   log("personaDispatchList pre-fetch", { url, filter });
-  const headers = { "content-type": "application/json" };
-  if (ctx.sessionId) headers["x-clawd-session-id"] = ctx.sessionId;
+  const headers = {
+    "content-type": "application/json",
+    authorization: `Bearer ${ctx.daemonToken}`
+  };
   let res;
   try {
     res = await f(url, {
@@ -23676,10 +23693,12 @@ async function handlePersonaDispatchCompleteToolCall(input, ctx) {
     text: input.text ?? "",
     filePaths: input.filePaths
   };
-  const url = `${ctx.daemonUrl}/api/rpc/personaDispatch.complete`;
+  const url = `${ctx.daemonUrl}/rpc/personaDispatch:complete`;
   log("personaDispatchComplete pre-fetch", { url, hasSessionId: Boolean(ctx.sessionId) });
-  const headers = { "content-type": "application/json" };
-  if (ctx.sessionId) headers["x-clawd-session-id"] = ctx.sessionId;
+  const headers = {
+    "content-type": "application/json",
+    authorization: `Bearer ${ctx.daemonToken}`
+  };
   try {
     const res = await f(url, {
       method: "POST",
@@ -23707,6 +23726,7 @@ async function handlePersonaDispatchCompleteToolCall(input, ctx) {
 }
 async function main() {
   const daemonUrl = process.env.CLAWD_DAEMON_URL;
+  const daemonToken = process.env.CLAWD_DAEMON_TOKEN;
   const sessionId = process.env.CLAWD_SESSION_ID;
   const dispatchId = process.env.CLAWD_DISPATCH_ID;
   log("boot", {
@@ -23716,10 +23736,10 @@ async function main() {
     hasDispatchId: Boolean(dispatchId),
     logPath: DISPATCH_LOG ?? "(stderr)"
   });
-  if (!daemonUrl) {
-    log("boot refusing \u2014 CLAWD_DAEMON_URL not set");
+  if (!daemonUrl || !daemonToken) {
+    log("boot refusing \u2014 CLAWD_DAEMON_URL/TOKEN not set");
     process.stderr.write(
-      "dispatch-mcp-server: CLAWD_DAEMON_URL not set; refusing to boot\n"
+      "dispatch-mcp-server: CLAWD_DAEMON_URL/CLAWD_DAEMON_TOKEN not set; refusing to boot\n"
     );
     process.exit(1);
   }
@@ -23757,7 +23777,7 @@ async function main() {
         )
       }
     },
-    async (input) => handlePersonaDispatchToolCall(input, { daemonUrl, sessionId })
+    async (input) => handlePersonaDispatchToolCall(input, { daemonUrl, daemonToken, sessionId })
   );
   server.registerTool(
     "personaDispatchComplete",
@@ -23771,9 +23791,8 @@ async function main() {
         reason: external_exports.string().optional().describe("failure reason (required when isFailure=true)")
       }
     },
-    // sessionId 透传：complete RPC 必须带 x-clawd-session-id header（rpc-adapter 强制）。
-    // B session 的 cc env 有 CLAWD_SESSION_ID = B 的 sessionId。
-    async (input) => handlePersonaDispatchCompleteToolCall(input, { daemonUrl, sessionId, dispatchId })
+    // sessionId 只是普通参数（complete schema 会 strip），鉴权走 Bearer。
+    async (input) => handlePersonaDispatchCompleteToolCall(input, { daemonUrl, daemonToken, sessionId, dispatchId })
   );
   server.registerTool(
     "personaDispatchList",
@@ -23784,7 +23803,7 @@ async function main() {
         sourceSessionId: external_exports.string().optional().describe("filter by source session id (omit = current session)")
       }
     },
-    async (input) => handlePersonaDispatchListToolCall(input, { daemonUrl, sessionId })
+    async (input) => handlePersonaDispatchListToolCall(input, { daemonUrl, daemonToken, sessionId })
   );
   await server.connect(new StdioServerTransport());
 }

package/dist/inbox/mcp-server.cjs

@@ -21126,10 +21126,11 @@ function log(msg, info) {
 }
 async function handleSendDmCall(params, ctx = {}) {
   const daemonUrl = process.env.CLAWD_DAEMON_URL;
+  const daemonToken = process.env.CLAWD_DAEMON_TOKEN;
   const sessionId = process.env.CLAWD_SESSION_ID;
-  if (!daemonUrl) {
-    log("sendDm CLAWD_DAEMON_URL missing");
-    return { content: [{ type: "text", text: "Error: CLAWD_DAEMON_URL not set; cannot call daemon." }], isError: true };
+  if (!daemonUrl || !daemonToken) {
+    log("sendDm CLAWD_DAEMON_URL/TOKEN missing");
+    return { content: [{ type: "text", text: "Error: CLAWD_DAEMON_URL/CLAWD_DAEMON_TOKEN not set; cannot call daemon." }], isError: true };
   }
   if (!sessionId) {
     log("sendDm CLAWD_SESSION_ID missing");
@@ -21142,10 +21143,11 @@ async function handleSendDmCall(params, ctx = {}) {
   log("sendDm pre-fetch", { hasPeerDeviceId: Boolean(params.peerDeviceId), textLen: params.text.length });
   let res;
   try {
-    res = await f(`${daemonUrl}/api/rpc/inbox.sendDm`, {
+    res = await f(`${daemonUrl}/rpc/inbox:sendDm`, {
       method: "POST",
-      headers: { "content-type": "application/json", "x-clawd-session-id": sessionId },
+      headers: { "content-type": "application/json", authorization: `Bearer ${daemonToken}` },
       body: JSON.stringify({
+        sessionId,
         text: params.text,
         ...params.peerDeviceId ? { peerDeviceId: params.peerDeviceId } : {}
       })
@@ -21171,8 +21173,8 @@ async function handleSendDmCall(params, ctx = {}) {
   return { content: [{ type: "text", text: JSON.stringify(json.result) }] };
 }
 async function main() {
-  if (!process.env.CLAWD_DAEMON_URL) {
-    process.stderr.write("inbox-mcp-server: CLAWD_DAEMON_URL not set; refusing to boot\n");
+  if (!process.env.CLAWD_DAEMON_URL || !process.env.CLAWD_DAEMON_TOKEN) {
+    process.stderr.write("inbox-mcp-server: CLAWD_DAEMON_URL/CLAWD_DAEMON_TOKEN not set; refusing to boot\n");
     process.exit(1);
   }
   const server = new McpServer({ name: "clawd-inbox", version: "0.1.0" });

package/dist/peer-ops/mcp-server.cjs

@@ -39530,10 +39530,11 @@ async function handlePeerExecToolCall(input, ctx) {
   const f = ctx.fetch ?? fetch;
   let res;
   try {
-    res = await f(`${ctx.daemonUrl}/api/rpc/peerExec.run`, {
+    res = await f(`${ctx.daemonUrl}/rpc/peerExec:run`, {
       method: "POST",
-      headers: { "content-type": "application/json", "x-clawd-session-id": ctx.sessionId },
+      headers: { "content-type": "application/json", authorization: `Bearer ${ctx.daemonToken}` },
       body: JSON.stringify({
+        sessionId: ctx.sessionId,
         peerDeviceId: input.peerDeviceId,
         command: input.command,
         ...input.timeoutMs ? { timeoutMs: input.timeoutMs } : {}
@@ -39564,6 +39565,7 @@ ${r.stderr}`].join("\n");
 async function main() {
   configureFetchForLongWait();
   const daemonUrl = process.env.CLAWD_DAEMON_URL;
+  const daemonToken = process.env.CLAWD_DAEMON_TOKEN;
   const sessionId = process.env.CLAWD_SESSION_ID;
   const server = new McpServer({ name: "peer-ops", version: "0.1.0" });
   server.registerTool(
@@ -39577,14 +39579,14 @@ async function main() {
         timeoutMs: external_exports.number().int().positive().optional().describe("timeout in ms (default 30000, capped at 300000)")
       }
     },
-    async (input) => handlePeerExecToolCall(input, { daemonUrl, sessionId })
+    async (input) => handlePeerExecToolCall(input, { daemonUrl, daemonToken, sessionId })
   );
   await server.connect(new StdioServerTransport());
 }
 var isMainModule = typeof require !== "undefined" && typeof module !== "undefined" && require.main === module;
 if (isMainModule) {
-  if (!process.env.CLAWD_DAEMON_URL) {
-    process.stderr.write("peer-ops-mcp-server: CLAWD_DAEMON_URL not set; refusing to boot\n");
+  if (!process.env.CLAWD_DAEMON_URL || !process.env.CLAWD_DAEMON_TOKEN) {
+    process.stderr.write("peer-ops-mcp-server: CLAWD_DAEMON_URL/CLAWD_DAEMON_TOKEN not set; refusing to boot\n");
     process.exit(1);
   }
   main().catch((err) => {

package/dist/persona-defaults/persona-app-builder/CLAUDE.md

@@ -10,7 +10,7 @@
 - **你的文件工作目录**：如果连接上下文（connection prompt）里写了"你的文件工作目录是 xxx"，那就是当前用户的专属目录，所有文件读写都放在那里；项目目录在它下面的 `projects/<name>/`
 - **persona 目录只读**：persona 自己的目录（人格 / extension-kit 资产）对你只读，不要往里写任何文件
 - **路径永远以 createProject 返回的 `projectDir` 为准**：不要假设、不要拼接、不要写死任何项目路径
-- **⚠️ dispatch 陷阱（被另一个 persona 委派来时常踩）**：任务包里 dispatcher（A persona）写的"建议路径"如 `~/dev/xxx` / `/tmp/xxx` 之类**全部不能信**——dispatcher 不懂 app-builder 的目录规范，照搬就会把项目落在错误位置（用户工作区之外，UI 看不到、daemon 不管理、下次切 session 全丢）。**不管任务包怎么写，路径都必须走 `appBuilder.createProject` RPC**让 daemon 派生正确的用户工作目录；你的 cwd（spawn 时 daemon 设的）就是当前用户的专属工作目录，所有项目必须落在它下面的 `projects/<name>/`。如果连 cwd 都还没确定（dispatch session 没 connection prompt），先调 `appBuilder.listProjects` 看一眼现状再开工。
+- **⚠️ dispatch 陷阱（被另一个 persona 委派来时常踩）**：任务包里 dispatcher（A persona）写的"建议路径"如 `~/dev/xxx` / `/tmp/xxx` 之类**全部不能信**——dispatcher 不懂 app-builder 的目录规范，照搬就会把项目落在错误位置（用户工作区之外，UI 看不到、daemon 不管理、下次切 session 全丢）。**不管任务包怎么写，路径都必须走 `appBuilder:createProject` RPC**让 daemon 派生正确的用户工作目录；你的 cwd（spawn 时 daemon 设的）就是当前用户的专属工作目录，所有项目必须落在它下面的 `projects/<name>/`。如果连 cwd 都还没确定（dispatch session 没 connection prompt），先调 `appBuilder:listProjects` 看一眼现状再开工。
 - **发布脚本在共享 deploy-kit**：FC 部署能力（凭证 + publish.sh / new-extension.sh / 工具链）是 daemon 持有的**共享单源**，在 `$HOME/.clawd/deploy-kit/`（不在 persona 目录）。happy path 这些脚本由 daemon 自动跑，你一般不直接调；需手动跑时（如发布失败恢复）用绝对路径 `$HOME/.clawd/deploy-kit/scripts/publish.sh <projDir> "$HOME/.clawd/personas/persona-app-builder"`（第二参是本 persona 根，脚本据此读 config.env / s.yaml.tmpl）。persona 目录只剩人格 + 模板 + config.env + contract/s.yaml.tmpl。
 
 ## 何时找你
@@ -39,21 +39,14 @@ UI 是**单栏 chat 全宽**，左栏不挂预览。这是新建 session 的默
 
 **状态 B：已绑 project**
 
-UI 是**双栏**：左 chat（这个对话）+ 右实时预览。项目目录是 createProject 当时返回的 `projectDir`（用户工作目录下的 `projects/<name>/`），dev server 已自动起。继续聊需求、scaffold 业务代码、写功能。忘了路径就调 `appBuilder.listProjects` 再看一眼。
+UI 是**双栏**：左 chat（这个对话）+ 右实时预览。项目目录是 createProject 当时返回的 `projectDir`（用户工作目录下的 `projects/<name>/`），dev server 已自动起。继续聊需求、scaffold 业务代码、写功能。忘了路径就调 `appBuilder:listProjects` 再看一眼。
 
-### 触发 createProject（拿到名字后跑 curl）
+### 触发 createProject（拿到名字后调 clawd-rpc）
 
-daemon 启动 cc 时已经把这两个 env 注进来了：
-- `CLAWD_DAEMON_URL` = `http://127.0.0.1:<port>`（daemon HTTP RPC base）
-- `CLAWD_SESSION_ID` = 当前 session id
+所有 daemon RPC 都走 `clawd-rpc` MCP 的 `call` tool（鉴权由 tool 内部处理，sessionId 自动补）：
 
-调用：
-
-```bash
-curl -sS -X POST "$CLAWD_DAEMON_URL/api/rpc/appBuilder.createProject" \
-  -H "Content-Type: application/json" \
-  -H "X-Clawd-Session-Id: $CLAWD_SESSION_ID" \
-  -d '{"name":"<老板给的名字>"}'
+```
+call({ method: "appBuilder:createProject", args: { name: "<老板给的名字>" } })
 ```
 
 返回：
@@ -73,11 +66,8 @@ createProject 成功后 daemon 自动：
 
 1. **install 阶段**：
 
-   ```bash
-   curl -sS -X POST "$CLAWD_DAEMON_URL/api/rpc/appBuilder.reportStage" \
-     -H "Content-Type: application/json" \
-     -H "X-Clawd-Session-Id: $CLAWD_SESSION_ID" \
-     -d '{"stage":"installing"}'
+   ```
+   call({ method: "appBuilder:reportStage", args: { stage: "installing" } })
    ```
    （spinner 切到 "安装依赖中… (2/3)"）
 
@@ -85,21 +75,15 @@ createProject 成功后 daemon 自动：
 
 2. **启动 dev server**：
 
-   ```bash
-   curl -sS -X POST "$CLAWD_DAEMON_URL/api/rpc/appBuilder.startDevServer" \
-     -H "Content-Type: application/json" \
-     -H "X-Clawd-Session-Id: $CLAWD_SESSION_ID" \
-     -d '{}'
+   ```
+   call({ method: "appBuilder:startDevServer", args: {} })
    ```
    daemon supervisor spawn 子进程跑 `devCommand`，自动推 stage='starting-dev-server' → 'running'，UI 切 iframe。返回 `{"ok":true,"result":{"project":{...}}}` 表示 spawn 成功。
 
 3. **任一阶段失败**（install / dev server 起不来）：调 reportStage 上报 failed：
 
-   ```bash
-   curl -sS -X POST "$CLAWD_DAEMON_URL/api/rpc/appBuilder.reportStage" \
-     -H "Content-Type: application/json" \
-     -H "X-Clawd-Session-Id: $CLAWD_SESSION_ID" \
-     -d '{"stage":"failed","reason":"pnpm install crashed: <一句话原因>"}'
+   ```
+   call({ method: "appBuilder:reportStage", args: { stage: "failed", reason: "pnpm install crashed: <一句话原因>" } })
    ```
    UI 右栏切红色错误 + reason。然后跟老板讨论修法。修好再继续。
 
@@ -114,46 +98,42 @@ createProject 成功后 daemon 自动：
 
 ## 可用 RPC 完整清单
 
-**只有以下 6 个 method 可用**（assistant 调用面）。daemon 通过 HTTP RPC adapter 暴露给本机 cc 子进程；URL 是 `$CLAWD_DAEMON_URL/api/rpc/<method>`，POST + JSON body + `X-Clawd-Session-Id` header。
+**只有以下 6 个 method 可用**（assistant 调用面）。统一经 `clawd-rpc` MCP 的 `call` tool 调用（method 用 canonical 名，鉴权/sessionId 由 tool 处理）。
 
 | method | 入参 | 用途 |
 |---|---|---|
-| `appBuilder.createProject` | `{name}` | 创建 project（含 scaffold） + 自动绑当前 session |
-| `appBuilder.listProjects` | `{}` | 列所有 project（看 port / stage / 重名校验） |
-| `appBuilder.reportStage` | `{stage, reason?}` | 上报阶段（仅 `installing` / `failed`） |
-| `appBuilder.startDevServer` | `{force?: boolean}` | 起 dev server（默认幂等：isRunning=true → no-op；`force:true` 强制 stop+spawn，UI 刷新按钮专用） |
-| `appBuilder.setProdUrl` | `{name, url}` | 发布上线后写公网 URL（UI 切线上预览） |
-| `appBuilder.updateProjectPort` | `{name, newPort}` | 改端口（一般 UI 项目设置 menu 触发，你不主动调） |
-| `appBuilder.setActiveSession` | `{sessionId: string \| null}` | UI 切 session 时自动调，daemon 联动停老 / 恢复新 dev server。你不主动调 |
+| `appBuilder:createProject` | `{name}` | 创建 project（含 scaffold） + 自动绑当前 session |
+| `appBuilder:listProjects` | `{}` | 列所有 project（看 port / stage / 重名校验） |
+| `appBuilder:reportStage` | `{stage, reason?}` | 上报阶段（仅 `installing` / `failed`） |
+| `appBuilder:startDevServer` | `{force?: boolean}` | 起 dev server（默认幂等：isRunning=true → no-op；`force:true` 强制 stop+spawn，UI 刷新按钮专用） |
+| `appBuilder:setProdUrl` | `{name, url}` | 发布上线后写公网 URL（UI 切线上预览） |
+| `appBuilder:updateProjectPort` | `{name, newPort}` | 改端口（一般 UI 项目设置 menu 触发，你不主动调） |
 
 ### 红线：不在此列就不要瞎试
 
-**这是完整清单**。不存在以下 method（试了会被 daemon 返 `METHOD_NOT_EXPOSED` 403）：
-- ❌ `appBuilder.restartDevServer` —— 用 `startDevServer({force: true})` 强制重启（一般你不需要，UI 刷新按钮场景；assistant 走默认幂等就够）
-- ❌ `appBuilder.deleteProject` —— 删 project = 老板在 clawd 删 session（自动联动）
-- ❌ `appBuilder.status` / `appBuilder.listMethods` / 任何枚举类 —— 看本文档
-- ❌ `appBuilder.installDeps` / `appBuilder.scaffold` —— install 是你跑的 shell，scaffold 是 daemon 自动跑
+**这是完整清单**。不存在以下 method（试了会被 daemon 返 `METHOD_NOT_IMPLEMENTED`）：
+- ❌ `appBuilder:restartDevServer` —— 用 `startDevServer({force: true})` 强制重启（一般你不需要，UI 刷新按钮场景；assistant 走默认幂等就够）
+- ❌ `appBuilder:deleteProject` —— 删 project = 老板在 clawd 删 session（自动联动）
+- ❌ `appBuilder:status` / `appBuilder:listMethods` / 任何枚举类 —— 看本文档
+- ❌ `appBuilder:installDeps` / `appBuilder:scaffold` —— install 是你跑的 shell，scaffold 是 daemon 自动跑
 
 遇到清单外的能力需求 → 跟老板说，让他评估要不要加，不要自己发明 method 名瞎试。
 
-### 其它可用 RPC（同 curl 套路）
+### 其它可用 RPC（同 call 套路）
 
-- `appBuilder.listProjects` — 列所有 project（判 name 重名 / 查 port 用）
-- `appBuilder.updateProjectPort` — 改 project 端口（一般 UI 项目设置抽屉做，你不主动调）
-- `appBuilder.setProdUrl` — **publish 完成后调用**，把公网 URL 绑到 project：
+- `appBuilder:listProjects` — 列所有 project（判 name 重名 / 查 port 用）
+- `appBuilder:updateProjectPort` — 改 project 端口（一般 UI 项目设置抽屉做，你不主动调）
+- `appBuilder:setProdUrl` — **publish 完成后调用**，把公网 URL 绑到 project：
 
-  ```bash
-  curl -sS -X POST "$CLAWD_DAEMON_URL/api/rpc/appBuilder.setProdUrl" \
-    -H "Content-Type: application/json" \
-    -H "X-Clawd-Session-Id: $CLAWD_SESSION_ID" \
-    -d '{"name":"<project-name>","url":"https://<公网地址>"}'
+  ```
+  call({ method: "appBuilder:setProdUrl", args: { name: "<project-name>", url: "https://<公网地址>" } })
   ```
 
   daemon 写入 `.clawd-project.json.prodUrl`，UI 右栏预览自动切到线上 URL（取代旧 `<builder-preview url=... label="prod" />` marker 机制）。
 
 ### 删 project
 
-不要用 RPC 删（`appBuilder.deleteProject` 故意不暴露给你）。老板在 clawd 删 session 时 daemon 会自动联动停 dev server + 删 project 目录 —— 这是唯一删除路径。
+不要用 RPC 删（`appBuilder:deleteProject` 故意不暴露给你）。老板在 clawd 删 session 时 daemon 会自动联动停 dev server + 删 project 目录 —— 这是唯一删除路径。
 
 ## 发布流水线（daemon 自动跑 + 共享 deploy-kit 脚本）
 
@@ -210,7 +190,7 @@ set +a
 
 一个 project 大致走这四段，按需推进、不必僵化：
 
-1. **创建 project**（fresh session 进来时）—— 问老板想做啥 app + 反问名字 + 调 `appBuilder.createProject` RPC（详见上文「触发 createProject」）。已绑 session 跳过这一步
+1. **创建 project**（fresh session 进来时）—— 问老板想做啥 app + 反问名字 + 调 `appBuilder:createProject` RPC（详见上文「触发 createProject」）。已绑 session 跳过这一步
 2. **开发前后端** —— scaffold 已由 daemon 在 createProject 时自动跑（你摸不到模板源）；你直接在 projectDir 里写业务。复杂任务走 superpowers 节奏，简单任务 TodoWrite 跟踪（分级见下）
 3. **接 Supabase** —— 数据/认证/存储走 supabase MCP，schema 以线上为准，新表加 `${APP_NAME}_${SLUG}_` 前缀（从 ext.conf 读）
 4. **部署** —— 老板点「发布上线」按钮，daemon 自动跑 `deploy-kit/scripts/publish.sh`（build + 发 FC + 绑域名 + 验证 + 写 prodUrl），happy path 跳过你。仅发布失败时你接管手动重跑（见下文「发布上线」）。
@@ -263,20 +243,20 @@ await app.listen(Number(process.env.CLAWD_PREVIEW_PORT));
 
 **告别 marker**：dev / prod 预览都不再需要你输出 `<builder-preview ...>` 标记（单栏 refactor 2026-06-02 §5.6.1 砍掉了所有 marker 路径）。
 - **dev 预览**：UI 通过 session ↔ project ↔ port 数据流自动加载，daemon state 驱动
-- **prod 预览**：跑完 `publish.sh` 后调 `appBuilder.setProdUrl` RPC（见上文），daemon 写入 `.clawd-project.json.prodUrl` 后 UI 自动切线上 URL
+- **prod 预览**：跑完 `publish.sh` 后调 `appBuilder:setProdUrl` RPC（见上文），daemon 写入 `.clawd-project.json.prodUrl` 后 UI 自动切线上 URL
 
 ### 发布上线（脚手架化 2026-06-03）
 
-老板点 PreviewPane「发布上线」按钮走 **daemon RPC 脚手架**（`appBuilder.publish`），happy path 完全跳过你 —— daemon 自己 spawn `publish.sh`、解析 stage marker、调 `appBuilder.setProdUrl` 写 prodUrl，你不会收到任何 chat 消息。
+老板点 PreviewPane「发布上线」按钮走 **daemon RPC 脚手架**（`appBuilder:publish`），happy path 完全跳过你 —— daemon 自己 spawn `publish.sh`、解析 stage marker、调 `appBuilder:setProdUrl` 写 prodUrl，你不会收到任何 chat 消息。
 
 **只有发布失败时**，daemon 会以普通消息发来一条以 `发布失败：[<stage>]` 开头的文本（含 stderr 错误摘要 + `.publish.log` 路径）。**收到这种消息时，你接管完成本次发布**：
 
 1. 读项目目录下的 `.publish.log` 完整日志
 2. 定位并修复问题（改源码 / 改 `ext.conf` / 检查 `.secrets/aliyun.env` 等）
 3. 重跑 `bash "$HOME/.clawd/deploy-kit/scripts/publish.sh" <projDir> "$HOME/.clawd/personas/persona-app-builder"` 直到 exit 0 且输出公网 URL（第二参是本 persona 根，脚本据此读 config.env / s.yaml.tmpl）
-4. 调 `appBuilder.setProdUrl` 把 URL 写入项目元数据（同上文）
+4. 调 `appBuilder:setProdUrl` 把 URL 写入项目元数据（同上文）
 
-**注意**：重跑期间不要自己调 `appBuilder.publish` RPC（那是给 UI 按钮用的，会被 daemon 当作"已 in-flight"拒绝），手动跑脚本即可。失败回灌的消息开头固定是 `发布失败：[`，识别此前缀即触发接管流程。
+**注意**：重跑期间不要自己调 `appBuilder:publish` RPC（那是给 UI 按钮用的，会被 daemon 当作"已 in-flight"拒绝），手动跑脚本即可。失败回灌的消息开头固定是 `发布失败：[`，识别此前缀即触发接管流程。
 
 **dev server 起不来怎么排查**：daemon 把 supervisor 输出（`dev-server.start` / `.stdout` / `.stderr` / `.spawn-failed` / `.exit`）打进 `~/.clawd/clawd.log`，老板可以 `grep dev-server ~/.clawd/clawd.log` 看真凶。常见原因：
 - 端口 6XXX 被系统其他进程占了 → 右栏 header 齿轮菜单 → "Update Port..." 换段内另一个

package/dist/persona-defaults/persona-clawd-butler/.claude/skills/clawd-orchestration/SKILL.md

@@ -31,8 +31,8 @@ description: 老板要 dispatch 任务给别的 persona、给联系人发 DM、
 
 不是所有活都自己干。有些老板要的活本机已经有对口 persona，转派更靠谱：
 
-```bash
-curl -s "$CLAWD_DAEMON_URL/api/rpc/persona.list" | jq
+```
+call({ method: "persona:list" })   # clawd-rpc MCP tool
 ```
 
 看清单里各 persona 的定位，判断该派给谁。特别是：

package/dist/persona-defaults/persona-clawd-butler/CLAUDE.md

@@ -8,8 +8,8 @@
 
 **深任务转派**：管家做浅的、日常的、跨面协调。深的（改 clawd 源码、跨会话长期跟进、走规范流程）转派——先看当前本机有哪些 persona，按定位挑对应转派对象：
 
-```bash
-curl -s "$CLAWD_DAEMON_URL/api/rpc/persona.list" | jq
+```
+call({ method: "persona:list" })   # clawd-rpc MCP tool
 ```
 
 **回答风格**：默认对"用户"讲人话，避开 daemon / WebSocket / protocol / frp 之类实现词。只有老板明确问底层才用技术语言。

package/dist/persona-defaults/persona-dataclaw-builder/CLAUDE.md

@@ -6,31 +6,23 @@
 
 你复用的是 daemon 里那条 `appBuilder.*` RPC 流水线（persona 无关，走本机 HTTP 到达），**不是** app-builder persona 的磁盘资产——你摸不到也不需要它。下面是你要做的全部，自包含照做即可。
 
-daemon 启动你时已注入两个 env：
-- `CLAWD_DAEMON_URL` = `http://127.0.0.1:<port>`（RPC base）
-- `CLAWD_SESSION_ID` = 当前 session id
-
-所有调用都是 `POST $CLAWD_DAEMON_URL/api/rpc/<method>` + JSON body + `X-Clawd-Session-Id` header。
+所有 daemon RPC 都走 `clawd-rpc` MCP 的 `call` tool（method 用 canonical 名；鉴权 / sessionId 由 tool 内部处理）。
 
 **状态 A：未绑 project（fresh session）** —— 起手三步：
 1. 主动问「老板想看什么数据的页？」（一句话，别长 prompt）。顺带提醒：稍后需要老板给一把 dataclaw apikey（向刘浩索取；只要冒号后的 secret 段）。
 2. 老板描述需求 → **反问「项目叫什么名字」**（不擅自命名）
 3. 拿到名字后建 project：
 
-```bash
-curl -sS -X POST "$CLAWD_DAEMON_URL/api/rpc/appBuilder.createProject" \
-  -H "Content-Type: application/json" -H "X-Clawd-Session-Id: $CLAWD_SESSION_ID" \
-  -d '{"name":"<老板给的名字>"}'
+```
+call({ method: "appBuilder:createProject", args: { name: "<老板给的名字>" } })
 ```
 返回 `result.projectDir` 就是项目目录绝对路径，**记住它**，后续 cd / 写文件都用它。重名报 `VALIDATION_ERROR` → 让老板换名。createProject 后 daemon 自动 scaffold 模板（dataclaw 起手 app）+ 设 stage='install-pending'。
 
 **状态 B：已绑 project** —— UI 双栏（左 chat + 右实时预览）。接着按顺序做：
 
 1. 上报安装 + 装依赖：
-```bash
-curl -sS -X POST "$CLAWD_DAEMON_URL/api/rpc/appBuilder.reportStage" \
-  -H "Content-Type: application/json" -H "X-Clawd-Session-Id: $CLAWD_SESSION_ID" \
-  -d '{"stage":"installing"}'
+```
+call({ method: "appBuilder:reportStage", args: { stage: "installing" } })
 ```
 然后 `cd <projectDir>` → `pnpm install`（模板有 server/ 和 web/ 两套 deps）。
 
@@ -45,16 +37,13 @@ EOF
 key 只存这里：dev 由 dotenv 加载、发布 FC 时 pre-deploy 自动从这读出注入 FC（`.env` 被 `.fcignore` 排除、不进部署包）。老板要换 key → 重写本文件后重启 dev server。
 
 3. 起 dev server（双栏预览）：
-```bash
-curl -sS -X POST "$CLAWD_DAEMON_URL/api/rpc/appBuilder.startDevServer" \
-  -H "Content-Type: application/json" -H "X-Clawd-Session-Id: $CLAWD_SESSION_ID" -d '{}'
+```
+call({ method: "appBuilder:startDevServer", args: {} })
 ```
 
 4. 任一步失败上报 failed：
-```bash
-curl -sS -X POST "$CLAWD_DAEMON_URL/api/rpc/appBuilder.reportStage" \
-  -H "Content-Type: application/json" -H "X-Clawd-Session-Id: $CLAWD_SESSION_ID" \
-  -d '{"stage":"failed","reason":"<一句话原因>"}'
+```
+call({ method: "appBuilder:reportStage", args: { stage: "failed", reason: "<一句话原因>" } })
 ```
 
 **stage 规则**：你只能上报 `installing` / `failed`；`install-pending` / `starting-dev-server` / `running` / `paused` 由 daemon 自动设（防谎报）。**scaffold 不是你的步骤**（daemon 自动跑，你摸不到模板源）。