@clawos-dev/clawd 0.2.574 → 0.2.576

package/dist/dispatch/mcp-server.cjs

@@ -21291,8 +21291,8 @@ var EnvArtifactSchema = external_exports.object({
   url: external_exports.string().url(),
   // 包内可执行文件的路径（`hbi` / `dist/bin/x`）；空串 = 裸二进制
   bin: external_exports.string(),
-  sha256: external_exports.string().regex(/^[0-9a-f]{64}$/).optional(),
-  size: external_exports.number().int().positive().optional()
+  sha256: external_exports.string().regex(/^[0-9a-f]{64}$/),
+  size: external_exports.number().int().positive()
 });
 var EnvPackageSchema = external_exports.object({
   // 装完后在 PATH 里能直接调到的名字（'aliyun' / 's' / 'pnpm' / 'python3'）；npm 包报 bin 名，包名进 from
@@ -21332,7 +21332,18 @@ var EnvPackageSchema = external_exports.object({
    */
   localVersion: external_exports.string().optional(),
   /** `github:` 专用——那个版本是哪个文件。见 EnvArtifactSchema */
-  artifact: EnvArtifactSchema.optional()
+  artifact: EnvArtifactSchema.optional(),
+  /**
+   * `apt:` 专用——daemon 上报时查过 Debian 12（bookworm）仓库，**没有**这个包。云上装不了，怎么办由老板在页面上定（换源 / 去掉 / 接受）；
+   * 不打回 butler（它也不见得找得到对的 npm / github 源）。有这个包时不写此字段，`version` 就是 Debian 12 会装的那一版（不是本机的）。
+   */
+  aptMissing: external_exports.literal(true).optional(),
+  /**
+   * `apt:` 专用——daemon 查到的 Debian 12 里这个包的版本（上游号，如 `3.11.2`；元包抠不出上游号时是 Debian 的版本串原样）。
+   * 是**事实**不是要求：`version` 才是构建期要验的那个——Debian 版本满足 `min`（或没 `min`）时 `version` = 它；不满足时只记这里、不钉 `version`，
+   * 页面把「Debian 12 只有 x，要求 ≥ min」摆出来让老板定。查不到（出网失败）时两者都不写，页面显示「没查到」。
+   */
+  aptVersion: external_exports.string().optional()
 });
 var EnvSecretSchema = external_exports.object({
   // 凭据的命名引用（'aliyun-ak' / 'supabase-shared'）。部署时按这个名字去解析实际的值。

package/dist/persona-defaults/persona-app-builder/mcp/clawd-app-builder/mcp-server.cjs

@@ -21477,8 +21477,8 @@ var EnvArtifactSchema = external_exports.object({
   url: external_exports.string().url(),
   // 包内可执行文件的路径（`hbi` / `dist/bin/x`）；空串 = 裸二进制
   bin: external_exports.string(),
-  sha256: external_exports.string().regex(/^[0-9a-f]{64}$/).optional(),
-  size: external_exports.number().int().positive().optional()
+  sha256: external_exports.string().regex(/^[0-9a-f]{64}$/),
+  size: external_exports.number().int().positive()
 });
 var EnvPackageSchema = external_exports.object({
   // 装完后在 PATH 里能直接调到的名字（'aliyun' / 's' / 'pnpm' / 'python3'）；npm 包报 bin 名，包名进 from
@@ -21518,7 +21518,18 @@ var EnvPackageSchema = external_exports.object({
    */
   localVersion: external_exports.string().optional(),
   /** `github:` 专用——那个版本是哪个文件。见 EnvArtifactSchema */
-  artifact: EnvArtifactSchema.optional()
+  artifact: EnvArtifactSchema.optional(),
+  /**
+   * `apt:` 专用——daemon 上报时查过 Debian 12（bookworm）仓库，**没有**这个包。云上装不了，怎么办由老板在页面上定（换源 / 去掉 / 接受）；
+   * 不打回 butler（它也不见得找得到对的 npm / github 源）。有这个包时不写此字段，`version` 就是 Debian 12 会装的那一版（不是本机的）。
+   */
+  aptMissing: external_exports.literal(true).optional(),
+  /**
+   * `apt:` 专用——daemon 查到的 Debian 12 里这个包的版本（上游号，如 `3.11.2`；元包抠不出上游号时是 Debian 的版本串原样）。
+   * 是**事实**不是要求：`version` 才是构建期要验的那个——Debian 版本满足 `min`（或没 `min`）时 `version` = 它；不满足时只记这里、不钉 `version`，
+   * 页面把「Debian 12 只有 x，要求 ≥ min」摆出来让老板定。查不到（出网失败）时两者都不写，页面显示「没查到」。
+   */
+  aptVersion: external_exports.string().optional()
 });
 var EnvSecretSchema = external_exports.object({
   // 凭据的命名引用（'aliyun-ak' / 'supabase-shared'）。部署时按这个名字去解析实际的值。
@@ -24807,7 +24818,7 @@ var DEPLOY_FILE = import_node_path3.default.join(".clawd", "deploy.json");
 var SCAN_FILE = import_node_path3.default.join(".clawd", "deploy-scan.json");
 var z1 = DeployScanSchema.omit({ id: true, manifest: true }).extend({ releasedHead: DeployScanSchema.shape.head }).strict();
 var z2 = external_exports.object({ version: external_exports.literal(2), scans: external_exports.array(DeployScanSchema), released: DeployReleasedSchema.optional() }).strict();
-var PackageFindingSchema = EnvPackageSchema.omit({ localVersion: true, artifact: true }).extend({
+var PackageFindingSchema = EnvPackageSchema.omit({ localVersion: true, artifact: true, aptMissing: true, aptVersion: true }).extend({
   artifact: external_exports.object({ url: external_exports.string().url(), bin: external_exports.string() }).strict().optional()
 });
 

package/dist/persona-defaults/persona-clawd-butler/.claude/skills/scan-persona-for-deploy/SKILL.md

@@ -38,12 +38,10 @@ git diff --name-only <任务里给的 sha> -- .
 1. 调 `deploy:get`，在 `scans` 里找 `id` 等于任务给的 scanId 那条，拿它的 `manifest.packages` 和 `evidence`。
 2. 对 `packages` 里的每一条调一次 `deploy:reportFinding`（`kind: "package"`）：
    - `item` 只带 `name` / `from` / `min` / `version`；有 `artifact` 的只带 `{ url, bin }`。
-     `localVersion` 是 daemon 写的，**不要带**；`artifact` 里老记录可能有 `sha256` / `size`，**也不要带**（带了会被按形状拒）。
+     `localVersion`、`artifact.sha256`、`artifact.size` 是 daemon 写的，**不要带**（带了 sha256 会被按形状拒）。
    - `evidence` 用记录里 `target` 等于 `package:<name>` 那条的 `reason` / `file` / `quote` 原样回传。
    - 记录里**没有**这条 evidence 的（老板在页面上手工补的条目）跳过不报——上报口要求 evidence，编一条就是造假。
-   - 被拒就按错误里说的做：`github:` 包本机版本变了，daemon 会告诉你新版本，按它重找资产再报（规则见 package 那节）。
-   - 重报后返回的那条**没有 `localVersion`** = 本机已经没有这个工具了（卸了、或它本来就是 npx 现拉现跑的）。
-     按「本机有啥就上云啥」它不该再在清单里，记下来，收尾时用 `deploy:patch` 删掉（见收尾那节）。
+   - 被拒就按错误里说的做：`github:` 包本机版本变了，daemon 会告诉你新版本，按它重找资产再报（规则见 package 那节第 2 步）。
 3. 然后再去读改动文件。改动涉及的条目在那一趟会再报一次，新结论盖过这里的，顺序不能反。
 
 两件最容易做错的事：
@@ -65,7 +63,7 @@ git diff --name-only <任务里给的 sha> -- .
 
 | 有什么 | 说明 |
 |---|---|
-| node 22、npm、npx | 底座镜像就是 `node:22-bookworm-slim`。本机 `npm i -g` 装了的 MCP server / CLI 报一条 `package` 让它预装；本机 `npx` 现拉现跑的云上也现拉现跑、不报；node 本身不用管 |
+| node 22、npm、npx | 底座镜像就是 `node:22-bookworm-slim`。npm 包型的 MCP server / CLI 只需报一条 `package` 让它预装，node 本身不用管 |
 | git | 底座自带 |
 | codex | 云上唯一的引擎，底座自带 |
 | lark-cli | 底座自带，带凭据隔离编译。飞书的登录态由**飞书连接器**在容器起来时带进去，不需要也不能在容器里 `auth login` / `config init`；persona 里写的交互式初始化步骤在云上不会走到 |
@@ -110,20 +108,8 @@ call({ method: "deploy:reportFinding", args: {
 
 `item` 字段：`name`（必填，装完落在 PATH 上的可执行名）、`from`（从哪装）、`version`（精确版本，见下）、`min`（版本下限）、`artifact`（`github:` 专用，见下）。
 
-**本机有啥就上云啥。** 这是老板定的原则，也是这一节唯一的判据：persona 是对着这台机器调出来的，
-云上就照这台机器备——**只报本机 PATH 上真装了的工具**，不替他加、不替他升。
-
-- 判据是 daemon 的探测：你每报一条 `package`，daemon 在这台机器的登录 shell PATH 上找同名可执行，
-  探到了返回的那条带 `localVersion`。**报之前自己先 `command -v <name>` 一下**——找不到就不报，
-  省得报进去再删（上报口只增不删）。
-- **本机没装的不报，也不猜版本。** persona 文件里引用了、但这台机器上没有的工具，云上也不会有——
-  要不要写进 `notes` 按收尾那节的三道门槛判，不进清单。
-- **`npx` / `uvx` 现拉现跑的不报。** `.mcp.json` 里 `"command": "npx"` 的 MCP server、skill 里
-  `npx -y <pkg>` 跑的工具，本机就是现拉现跑，云上也现拉现跑（底座有 node / npm / npx，见「云上容器已经有的」）。
-  它在 npx 缓存里、不在 PATH 上，daemon 探不到，正好和原则一致。全局装了的（`npm i -g`，PATH 上有 bin）才报。
-
-只列**干净容器里不会自带**的：`aliyun` / `s`(Serverless Devs) / `pnpm` / `python3`
-这类；不必列 `ls` `cat` `grep` `sed` `awk` `curl` `tar` `bash` 这些基础镜像自带的（`git` 在底座里，见「云上容器已经有的」）。
+只列**干净容器里不会自带**的：要列 `aliyun` / `s`(Serverless Devs) / `pnpm` / `python3` / `git`
+这类；不必列 `ls` `cat` `grep` `sed` `awk` `curl` `tar` `bash` 这些基础镜像自带的。
 
 **`from` 必须给出，查清楚是你的活，不是留给老板的作业。** 写成 `<kind>:<ref>`，如
 `npm:@serverless-devs/s` / `github:aliyun/aliyun-cli` / `apt:python3`。按这个顺序找：
@@ -138,29 +124,37 @@ call({ method: "deploy:reportFinding", args: {
 
 注意目标是 **Linux 容器**：persona 脚本里的 macOS 装法（brew 之类）不能照抄，要找 Linux 对应的。
 
-**版本不用你定——daemon 探本机。** 探到的版本写进返回值里那条的 `version`（同时落 `localVersion`），
-本机是啥就上云啥。首报不填 `version`（软扫重报、`github:` 第 2 步按各自那节说的带 daemon 定下的那个）；
+**版本不用你定——daemon 探本机。** 你每报一条 `package`，daemon 会在这台机器的登录 shell PATH 上找同名
+可执行、问它的版本，写进返回值里那条的 `version`（同时落 `localVersion`）。本机是啥就上云啥，这是硬约束。
+只有本机没装时才由你按官方文档填一个 `version`，并在收尾的 `notes` 里写明「本机未装 <name>，取的 x.y.z」。
 `min` 只在你确知下限时填。**不要猜版本号。**
 
-**`from` 写实际能装的源，不为了凑版本换源。** 源给不出本机那一版是常事（本机 brew 装的 jq 1.8.1，
-Debian 12 的 apt 只有 1.6；本机 python 3.12，apt 只有 3.11）。这种情况**保留原来源**，在收尾的 `notes` 里写一条事实：
-本机是哪版、这个源只能装哪版、照这样发布会在构建期的版本核对上红（镜像装到的版本要正好等于单据的 `version`）。
-怎么办由老板定。**不要**为了钉住本机版本去翻 GitHub release 换 `github:`——那是替他做决定，
-而且钉资产那条路上的每一步都可能卡住。
+**`apt:` 条目的版本由 daemon 按 Debian 12 定，你只管报 `apt:<包名>`。** apt 每个包只有 Debian 12 (bookworm) 冻结的那一个版本，
+本机 brew 装的永远比它新，「本机是啥就上云啥」对 apt 不成立。daemon 收到 `apt:` 条目会去查 Debian 官方仓库（一次元数据查询，不下载），
+把云上会装的版本写进 `version`，本机的记在 `localVersion`，页面那一行直接显示「云上装 Debian 12 的 3.11.2，本机 3.12.9」；
+Debian 12 没有这个包也照样记下（页面显示「云上装不了」）。**你不要因为版本对不上就自己换成 npm / github 源，也不要下包来验证**——
+怎么办由老板在页面上定。想先看一眼 Debian 12 有没有、是哪版，用这条（只回一行元数据）：
+`curl -s 'https://api.ftp-master.debian.org/madison?package=<包名>&s=bookworm&a=amd64,all&text=on'`，空输出就是没有。
 
-npm 包 `name` 写它装完**落在 PATH 上的可执行名**，常常跟包名不一样——`@aliyun-rds/supabase-mcp-server`
-的 bin 是 `supabase-mcp`。名字拿不准就去看那个包的 `package.json` 的 `bin` 字段（或官方文档），别拿包名顶上；
-`from` 写 `npm:<完整包名>`。
+**`npm:` / `github:` 必须能装出 `version` 那个确切版本**：npm 注册表和 GitHub release 每个历史版本都在，选错了就是源选错了，不要报一个装出来版本不对的源。
 
-**`github:` 要钉资产。** 只用于本来就从 GitHub release 装的工具（`aliyun` / `hbi` 这类 apt / npm 里没有的）。
-GitHub 不是包注册表，从「仓库 + 版本」推不出该下哪个文件，构建器不猜。分两步：
+**`github:` 要钉资产。** GitHub 不是包注册表，从「仓库 + 版本」推不出该下哪个文件，构建器不猜。分两步：
 1. 先报 `{ name, from: "github:<owner>/<repo>" }`，从返回的 view 里读 daemon 定下的 `version`；
 2. 按**那个版本**打开该仓库的 Releases 页（或读它官方 install 脚本里的下载 URL），找到 **linux-amd64** 资产的直链
    和包内可执行文件的路径，再报一次同名条目：
    `{ name, from, version: <第 1 步读到的>, artifact: { url: "<直链>", bin: "<包内路径，如 hbi 或 dist/bin/x；裸二进制留空串>" } }`。
-   只认 `.tar.gz` / `.tgz` 和裸二进制。**不要带 sha256**（带了按形状拒）。
-   **daemon 不下载、不核实**——url 是不是 404、`bin` 在不在包里，只有你现在核（`curl -sIL -o /dev/null -w '%{http_code}' <url>` 看最终状态码——release 直链先回 302，不跟跳转会误判；`bin` 看发布页的文件清单），
-   错了要到构建期才红。被拒时错误里会说原因（版本不是本机那个 / url 形状不对），按它说的改了再报。
+   只认 `.tar.gz` / `.tgz` 和裸二进制。**不要自己算 sha256**，daemon 会下载核实并写入。
+   被拒时错误里会说原因（版本不是本机那个 / 包里没有 bin / 404），按它说的重找再报。
+
+**`.mcp.json` 里 `npx` / `uvx` 现拉现跑的 MCP server，也要报一条 `package`。** 它看着像一条配置
+不像一个命令行工具，但语义是一样的：容器里没有这个包时，MCP 首次启动要连 registry 现拉，
+离线或抖动就直接起不来，persona 少一整块能力。所以它必须预装进镜像。
+
+- `name` 写它装完**落在 PATH 上的可执行名**，常常跟包名不一样——
+  `@aliyun-rds/supabase-mcp-server` 的 bin 是 `supabase-mcp`。名字拿不准就去看那个包的
+  `package.json` 的 `bin` 字段（或官方文档），别拿包名顶上。
+- `from` 写 `npm:<完整包名>`（`npm:@aliyun-rds/supabase-mcp-server`）。
+- `evidence.quote` 引 `.mcp.json` 里那两行 `"command": "npx"` / `"args": [...]` 就够。
 
 ### kind: "secret" —— 需要的凭据
 
@@ -179,7 +173,7 @@ GitHub 不是包注册表，从「仓库 + 版本」推不出该下哪个文件
 **连接器分两种来源，你只报其中一种：**
 
 - **MCP 连接器**（`.mcp.json` 里的每个 server）——**不用报**。daemon 在扫描开始时已经从文件里机械列好
-  （http 型、stdio 型、要填哪些 `${VAR}` 都读得出来），你报了也是重复。它们 `npx` 现拉现跑的包也不报 `package`（见上）。
+  （http 型、stdio 型、要填哪些 `${VAR}` 都读得出来），你报了也是重复。它们的 `npx` 包照样要报一条 `package`（见上）。
 - **CLI 连接器**——**要报**。判据：persona 里出现**以用户本人身份操作某个第三方的命令行工具**：
   `lark-cli … --as user` 操作飞书、`gh` 开 PR、`railway up`、`vercel deploy` 这类。这些工具没有配置文件可读，
   只有你读了文档才知道它从哪个环境变量拿凭据。
@@ -245,8 +239,7 @@ call({ method: "deploy:patch", args: {
 去掉该去的那几条，其余原样带上。**没有要删的就别调**——整份改写是有风险的动作，没必要时不做。
 
 判「该删」要有依据：来源文件在这次 diff 里被删了，或者你读了改动后的文件、确认它不再引用那个
-东西，或者重报时 daemon 没探到（返回的那条没有 `localVersion`：本机没有它，按「本机有啥就上云啥」不该在清单里）。
-**光是「这次 diff 没碰到它」不是依据**——软扫下多数条目 diff 都碰不到。
+东西。**光是「这次 diff 没碰到它」不是依据**——软扫下多数条目 diff 都碰不到。
 
 ### 然后收尾
 
@@ -283,7 +276,7 @@ call({ method: "deploy:finishScan", args: {
 |---|---|
 | persona 目录里没有 .mcp.json，没有 MCP 连接器 | 空结论 |
 | 人格里的初始化流程（lark-cli config init / auth login）是交互式，得靠飞书连接器把登录态带进去 | 容器已有：飞书登录态本来就是连接器带进去的，交互式步骤不会走到 |
-| whiteboard-cli 是 npm 包运行需要 node，我按底座已有 node 处理、没单报一条 | 容器已有 + 自述推理（它本机就是 npx 现拉现跑，本来就不报 package） |
+| whiteboard-cli 是 npm 包运行需要 node，我按底座已有 node 处理、没单报一条 | 容器已有 + 自述推理 |
 | lark-event 是长连接，云上容器有执行时长上限或出网限制的话可能跑不完整 | 猜测；且 2 小时上限在「已有」那节 |
 | 画板上传会落临时文件，容器里需要一个可写的工作目录 | 容器已有 |
 

package/dist/persona-defaults/persona-dataclaw-builder/mcp/clawd-app-builder/mcp-server.cjs

@@ -21477,8 +21477,8 @@ var EnvArtifactSchema = external_exports.object({
   url: external_exports.string().url(),
   // 包内可执行文件的路径（`hbi` / `dist/bin/x`）；空串 = 裸二进制
   bin: external_exports.string(),
-  sha256: external_exports.string().regex(/^[0-9a-f]{64}$/).optional(),
-  size: external_exports.number().int().positive().optional()
+  sha256: external_exports.string().regex(/^[0-9a-f]{64}$/),
+  size: external_exports.number().int().positive()
 });
 var EnvPackageSchema = external_exports.object({
   // 装完后在 PATH 里能直接调到的名字（'aliyun' / 's' / 'pnpm' / 'python3'）；npm 包报 bin 名，包名进 from
@@ -21518,7 +21518,18 @@ var EnvPackageSchema = external_exports.object({
    */
   localVersion: external_exports.string().optional(),
   /** `github:` 专用——那个版本是哪个文件。见 EnvArtifactSchema */
-  artifact: EnvArtifactSchema.optional()
+  artifact: EnvArtifactSchema.optional(),
+  /**
+   * `apt:` 专用——daemon 上报时查过 Debian 12（bookworm）仓库，**没有**这个包。云上装不了，怎么办由老板在页面上定（换源 / 去掉 / 接受）；
+   * 不打回 butler（它也不见得找得到对的 npm / github 源）。有这个包时不写此字段，`version` 就是 Debian 12 会装的那一版（不是本机的）。
+   */
+  aptMissing: external_exports.literal(true).optional(),
+  /**
+   * `apt:` 专用——daemon 查到的 Debian 12 里这个包的版本（上游号，如 `3.11.2`；元包抠不出上游号时是 Debian 的版本串原样）。
+   * 是**事实**不是要求：`version` 才是构建期要验的那个——Debian 版本满足 `min`（或没 `min`）时 `version` = 它；不满足时只记这里、不钉 `version`，
+   * 页面把「Debian 12 只有 x，要求 ≥ min」摆出来让老板定。查不到（出网失败）时两者都不写，页面显示「没查到」。
+   */
+  aptVersion: external_exports.string().optional()
 });
 var EnvSecretSchema = external_exports.object({
   // 凭据的命名引用（'aliyun-ak' / 'supabase-shared'）。部署时按这个名字去解析实际的值。
@@ -24807,7 +24818,7 @@ var DEPLOY_FILE = import_node_path3.default.join(".clawd", "deploy.json");
 var SCAN_FILE = import_node_path3.default.join(".clawd", "deploy-scan.json");
 var z1 = DeployScanSchema.omit({ id: true, manifest: true }).extend({ releasedHead: DeployScanSchema.shape.head }).strict();
 var z2 = external_exports.object({ version: external_exports.literal(2), scans: external_exports.array(DeployScanSchema), released: DeployReleasedSchema.optional() }).strict();
-var PackageFindingSchema = EnvPackageSchema.omit({ localVersion: true, artifact: true }).extend({
+var PackageFindingSchema = EnvPackageSchema.omit({ localVersion: true, artifact: true, aptMissing: true, aptVersion: true }).extend({
   artifact: external_exports.object({ url: external_exports.string().url(), bin: external_exports.string() }).strict().optional()
 });