@clawos-dev/clawd 0.2.456 → 0.2.457

package/dist/cli.cjs

@@ -63908,7 +63908,7 @@ function computeMethodAccess(args) {
 }
 
 // src/version.ts
-var version = "0.2.456".length > 0 ? "0.2.456" : "dev";
+var version = "0.2.457".length > 0 ? "0.2.457" : "dev";
 
 // src/cli-probe/probe.ts
 var fs70 = __toESM(require("fs"), 1);

package/dist/deploy-kit/scripts/ensure-credentials.sh

@@ -19,17 +19,27 @@
 S_ACCESS_ALIAS=clawd-fc
 
 # 分层加载阿里云 AK 进 env：shared demo（OTA 每次启动覆盖）→ 本机 .local override（永不被覆盖）。
+#
+# 两种来源，**文件优先、env 兜底**：
+#   - 本机：`$KIT_DIR/.secrets/aliyun.env`（+ 可选 .local），OTA 刷新；
+#   - 云上容器：没有 `.secrets/`（`cloud-host/provision/build-image.mjs` 刻意把它剔出镜像层
+#     ——镜像要分发，凭据进层就洗不掉了），AK 由 gateway 经 **MCP server 的 per-server env**
+#     交到调用本脚本的那个进程里（M1b Step 9）。这条分支不落盘是有意的：写成文件的话
+#     agent 一个 `cat` 就看见了，而 env 只有这个子进程有。
 ensure_aliyun_env() {
   local kit="${KIT_DIR:?ensure_aliyun_env 需要调用方先设 KIT_DIR}"
-  [ -f "$kit/.secrets/aliyun.env" ] || {
-    echo "❌ 缺 $kit/.secrets/aliyun.env（clawd ship 的共享 demo 凭证，OTA 自动刷新）。参考 .secrets/aliyun.env.example 填写。" >&2
+  if [ -f "$kit/.secrets/aliyun.env" ]; then
+    set -a; . "$kit/.secrets/aliyun.env"; set +a
+    # aliyun.env.local: 本机个人 override（永远不被 OTA 覆盖，见 refreshDeployKit）。有就后 source 覆盖 env。
+    # 写成 if 而不是 `[ -f ] && { }`：后者在函数末尾会把「文件不存在」变成函数返回 1，调用方 set -e 直接中止。
+    if [ -f "$kit/.secrets/aliyun.env.local" ]; then
+      set -a; . "$kit/.secrets/aliyun.env.local"; set +a
+    fi
+  elif [ -n "${ALIBABA_CLOUD_ACCESS_KEY_ID:-}" ] && [ -n "${ALIBABA_CLOUD_ACCESS_KEY_SECRET:-}" ]; then
+    : # 云上：值已经在本进程 env 里，不落文件
+  else
+    echo "❌ 缺 $kit/.secrets/aliyun.env（clawd ship 的共享 demo 凭证，OTA 自动刷新），env 里也没有 ALIBABA_CLOUD_ACCESS_KEY_ID/_SECRET。参考 .secrets/aliyun.env.example 填写。" >&2
     return 1
-  }
-  set -a; . "$kit/.secrets/aliyun.env"; set +a
-  # aliyun.env.local: 本机个人 override（永远不被 OTA 覆盖，见 refreshDeployKit）。有就后 source 覆盖 env。
-  # 写成 if 而不是 `[ -f ] && { }`：后者在函数末尾会把「文件不存在」变成函数返回 1，调用方 set -e 直接中止。
-  if [ -f "$kit/.secrets/aliyun.env.local" ]; then
-    set -a; . "$kit/.secrets/aliyun.env.local"; set +a
   fi
   export ALIBABA_CLOUD_REGION_ID="${REGION:?config.env 缺 REGION}"
 }

package/dist/deploy-kit/scripts/ensure-credentials.spec.ts

@@ -182,11 +182,70 @@ describe('ensure_credentials', () => {
     expect(kitAccessYaml()).toContain("AccountID: '5566778899001122'")
   })
 
-  it('缺共享凭证文件时 fail-loud', () => {
+  it('缺共享凭证文件、env 里也没有 AK 时 fail-loud', () => {
     rmSync(join(box.kit, '.secrets', 'aliyun.env'))
     expect(() => runInKit('ensure_credentials')).toThrow()
     expect(existsSync(join(box.kit, '.s-home', '.s', 'access.yaml'))).toBe(false)
   })
+
+  // 云上分支（persona 上云 M1b Step 9）：容器里没有 `.secrets/`——`build-image.mjs` 刻意把它
+  // 剔出镜像层（镜像要分发，凭据进层洗不掉）。AK 由 gateway 经 **MCP server 的 per-server env**
+  // 交到调用本脚本的那个子进程里，不落文件：写成文件的话 agent 一个 `cat` 就看见了。
+  it('没有 .secrets/aliyun.env 但 env 里有 AK 时用 env（云上容器那条路）', () => {
+    rmSync(join(box.kit, '.secrets', 'aliyun.env'))
+    const out = execFileSync(
+      'bash',
+      [
+        '-c',
+        `set -euo pipefail
+KIT_DIR="${box.kit}"
+REGION=cn-hangzhou
+source "$KIT_DIR/scripts/ensure-credentials.sh"
+ensure_credentials
+printf 'ok %s\\n' "$ALIBABA_CLOUD_ACCESS_KEY_ID"`,
+      ],
+      {
+        env: {
+          ...process.env,
+          HOME: box.home,
+          PATH: `${box.bin}:${process.env.PATH}`,
+          ALIBABA_CLOUD_ACCESS_KEY_ID: 'LTAI-FROM-ENV',
+          ALIBABA_CLOUD_ACCESS_KEY_SECRET: 'secret-from-env',
+        },
+        encoding: 'utf8',
+      },
+    )
+    expect(out).toContain('ok LTAI-FROM-ENV')
+    // 走 env 分支照样把凭证落进 kit 私有 s-home（publish 用的是那份 profile），仍不碰用户全局
+    expect(kitAccessYaml()).toContain('LTAI-FROM-ENV')
+    expect(userAccessYaml()).toContain('LTAI-USER-OWN-KEY')
+  })
+
+  it('文件在就优先用文件（云上那条只是兜底，不能反过来盖掉本机 shared 凭证）', () => {
+    const out = execFileSync(
+      'bash',
+      [
+        '-c',
+        `set -euo pipefail
+KIT_DIR="${box.kit}"
+REGION=cn-hangzhou
+source "$KIT_DIR/scripts/ensure-credentials.sh"
+ensure_aliyun_env
+printf 'id=%s\\n' "$ALIBABA_CLOUD_ACCESS_KEY_ID"`,
+      ],
+      {
+        env: {
+          ...process.env,
+          HOME: box.home,
+          PATH: `${box.bin}:${process.env.PATH}`,
+          ALIBABA_CLOUD_ACCESS_KEY_ID: 'LTAI-FROM-ENV',
+          ALIBABA_CLOUD_ACCESS_KEY_SECRET: 'secret-from-env',
+        },
+        encoding: 'utf8',
+      },
+    )
+    expect(out).not.toContain('LTAI-FROM-ENV')
+  })
 })
 
 describe('publish.sh', () => {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@clawos-dev/clawd",
-  "version": "0.2.456",
+  "version": "0.2.457",
   "description": "Standalone clawd daemon — Claude Code (and future Codex) session server over WebSocket",
   "type": "module",
   "license": "MIT",