@coralai/sps-cli 0.65.87 → 0.65.92

package/dist/providers/storage/syncScope.js

@@ -0,0 +1,68 @@
+/**
+ * @module        providers/storage/syncScope
+ * @description   "同步**什么**"的声明(`~/.coral/sync-scope.json`)。**按产品**,由平台写入,sps 只执行。
+ *
+ * @layer         providers
+ *
+ * 🔴 **为什么不是 `template.json`(计划里原本这么写,落地时改了):**
+ *    `scaffold.ts:178` —— **`template.json` 不进项目**。所以对一个已存在的工作区,
+ *    sps **无从查到它是哪个模板铺的**,更取不到模板里的声明。
+ *    ⇒ 按模板声明这条路只对"将来新建的项目"成立,而同步要覆盖**存量 141 个**。
+ *    (这一格是写代码时才发现的,不是设计时想到的 —— 已回写进实施计划文档。)
+ *
+ * 🔴 **为什么按「产品」而不是按「项目」:** 差异本来就在产品级 ——
+ *    `assets/` 是通用的,而 `docs/PRD.md` / `docs/build-manifest.json` / `<产品>.json`
+ *    是产品词表。而 sps **已经知道产品**:它是工作区布局的第二段
+ *    (`<WORKSPACES_ROOT>/t<租户>/<产品>/<项目>`,见 `assetLocator.ts:52`)。
+ *
+ * 🔴 **这不违反 §2.1 第①条(配置里放"去哪儿",不放"同步什么")。**
+ *    那一条禁的是**sps 把产品知识写死在自己代码里**(coral sidecar 的
+ *    `scan.ts:38` 用「目录下含 assets/」猜产品语义,静默漏掉 36 个设计师阶段项目)。
+ *    这里的内容**由平台通过 API 写入**,sps 一个产品名都不硬编码 —— 是**数据**不是**代码**。
+ *
+ * ⚠️ **没有声明时只同步 `assets/`,而且必须每轮报出来。**
+ *    同步怕少发,所以窄缺省是有代价的;代价的解法不是放宽缺省(那会把 node_modules 推上去),
+ *    而是**让"我用的是缺省"这件事出现在日志里**。
+ *    > 判据:一个悄悄缩小了范围的同步器,和一个坏掉的同步器,日志上一模一样。
+ */
+import { existsSync, readFileSync } from 'node:fs';
+import { join } from 'node:path';
+import { hardenSecretFile, writeSecretFile } from '../../infra/secretFile.js';
+import { coralRoot } from '../../shared/runtimePaths.js';
+/** 没有声明时的兜底。**窄**,而且用它这件事要被报出来。 */
+export const DEFAULT_INCLUDE = ['assets/'];
+export function syncScopeFile() {
+    return join(coralRoot(), 'sync-scope.json');
+}
+export function readSyncScope() {
+    const p = syncScopeFile();
+    if (!existsSync(p))
+        return null;
+    hardenSecretFile(p);
+    try {
+        const raw = JSON.parse(readFileSync(p, 'utf-8'));
+        if (!raw.products || typeof raw.products !== 'object')
+            return null;
+        const products = {};
+        for (const [k, v] of Object.entries(raw.products)) {
+            const inc = v?.include;
+            if (Array.isArray(inc) && inc.every((x) => typeof x === 'string'))
+                products[k] = { include: inc };
+        }
+        return { products };
+    }
+    catch {
+        return null;
+    }
+}
+export function writeSyncScope(scope) {
+    writeSecretFile(syncScopeFile(), `${JSON.stringify(scope, null, 2)}\n`);
+}
+/** 取某产品的同步范围。找不到声明 → 兜底 + `usedDefault: true`。 */
+export function scopeForProduct(product, scope) {
+    const declared = scope?.products[product]?.include;
+    if (declared && declared.length > 0)
+        return { include: [...declared], usedDefault: false };
+    return { include: [...DEFAULT_INCLUDE], usedDefault: true };
+}
+//# sourceMappingURL=syncScope.js.map

package/dist/providers/storage/syncScope.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"syncScope.js","sourceRoot":"","sources":["../../../src/providers/storage/syncScope.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;GA0BG;AACH,OAAO,EAAE,UAAU,EAAE,YAAY,EAAE,MAAM,SAAS,CAAC;AACnD,OAAO,EAAE,IAAI,EAAE,MAAM,WAAW,CAAC;AACjC,OAAO,EAAE,gBAAgB,EAAE,eAAe,EAAE,MAAM,2BAA2B,CAAC;AAC9E,OAAO,EAAE,SAAS,EAAE,MAAM,8BAA8B,CAAC;AAgBzD,mCAAmC;AACnC,MAAM,CAAC,MAAM,eAAe,GAAG,CAAC,SAAS,CAAU,CAAC;AAEpD,MAAM,UAAU,aAAa;IAC3B,OAAO,IAAI,CAAC,SAAS,EAAE,EAAE,iBAAiB,CAAC,CAAC;AAC9C,CAAC;AAED,MAAM,UAAU,aAAa;IAC3B,MAAM,CAAC,GAAG,aAAa,EAAE,CAAC;IAC1B,IAAI,CAAC,UAAU,CAAC,CAAC,CAAC;QAAE,OAAO,IAAI,CAAC;IAChC,gBAAgB,CAAC,CAAC,CAAC,CAAC;IACpB,IAAI,CAAC;QACH,MAAM,GAAG,GAAG,IAAI,CAAC,KAAK,CAAC,YAAY,CAAC,CAAC,EAAE,OAAO,CAAC,CAAuB,CAAC;QACvE,IAAI,CAAC,GAAG,CAAC,QAAQ,IAAI,OAAO,GAAG,CAAC,QAAQ,KAAK,QAAQ;YAAE,OAAO,IAAI,CAAC;QACnE,MAAM,QAAQ,GAAiC,EAAE,CAAC;QAClD,KAAK,MAAM,CAAC,CAAC,EAAE,CAAC,CAAC,IAAI,MAAM,CAAC,OAAO,CAAC,GAAG,CAAC,QAAQ,CAAC,EAAE,CAAC;YAClD,MAAM,GAAG,GAAI,CAA8B,EAAE,OAAO,CAAC;YACrD,IAAI,KAAK,CAAC,OAAO,CAAC,GAAG,CAAC,IAAI,GAAG,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,OAAO,CAAC,KAAK,QAAQ,CAAC;gBAAE,QAAQ,CAAC,CAAC,CAAC,GAAG,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC;QACpG,CAAC;QACD,OAAO,EAAE,QAAQ,EAAE,CAAC;IACtB,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,IAAI,CAAC;IACd,CAAC;AACH,CAAC;AAED,MAAM,UAAU,cAAc,CAAC,KAAgB;IAC7C,eAAe,CAAC,aAAa,EAAE,EAAE,GAAG,IAAI,CAAC,SAAS,CAAC,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC,IAAI,CAAC,CAAC;AAC1E,CAAC;AAQD,kDAAkD;AAClD,MAAM,UAAU,eAAe,CAAC,OAAe,EAAE,KAAuB;IACtE,MAAM,QAAQ,GAAG,KAAK,EAAE,QAAQ,CAAC,OAAO,CAAC,EAAE,OAAO,CAAC;IACnD,IAAI,QAAQ,IAAI,QAAQ,CAAC,MAAM,GAAG,CAAC;QAAE,OAAO,EAAE,OAAO,EAAE,CAAC,GAAG,QAAQ,CAAC,EAAE,WAAW,EAAE,KAAK,EAAE,CAAC;IAC3F,OAAO,EAAE,OAAO,EAAE,CAAC,GAAG,eAAe,CAAC,EAAE,WAAW,EAAE,IAAI,EAAE,CAAC;AAC9D,CAAC"}

package/dist/providers/storage/syncable.d.ts

@@ -0,0 +1,47 @@
+export type SyncRejection = {
+    code: 'ABSOLUTE';
+    rel: string;
+} | {
+    code: 'DOT_SEGMENT';
+    rel: string;
+} | {
+    code: 'PARENT_SEGMENT';
+    rel: string;
+} | {
+    code: 'EMPTY_SEGMENT';
+    rel: string;
+} | {
+    code: 'ESCAPES_PROJECT';
+    rel: string;
+};
+/**
+ * 纯字符串这一半(**不含**软链检查 —— 那半必须走 `isRealUnderRoot`)。
+ *
+ * 单独抽出来不是为了复用,是为了让**两半都必须被调用**这件事在类型上看得见:
+ * 只调这一半的实现会"看起来对",而它恰恰漏掉了唯一挡得住 agent 自造软链的那道。
+ */
+export declare function syncableShape(rel: string): SyncRejection | null;
+/**
+ * 完整判据 = 形状 + **realpath 围栏**。
+ *
+ * @param rel      相对项目根的路径(声明枚举出来的)
+ * @param absPath  它在盘上的绝对路径
+ * @param projectDir 项目根
+ */
+export declare function syncable(rel: string, absPath: string, projectDir: string): Promise<SyncRejection | null>;
+/**
+ * 对一整批做下限判定。
+ *
+ * 🔴 **返回全部拒绝项,不是第一个** —— coral 的取舍 3:清单会过期,配套的是
+ * **拒绝时把名字报出去**,而不是"尽量列全"。列不全没关系,漏的会被看见。
+ *
+ * 🔴 **调用方必须"枚举完再推第一个字节"**:围栏若写在上传循环里,
+ * 状态码确实会回错,但**排在拒绝项前面的文件已经进桶了** ——
+ * 「整体失败」是关于**副作用**的断言,不是关于返回码的(coral 实测,用
+ * `assert(uploaded.length === 0)` 才照出来)。
+ */
+export declare function screenAll(files: {
+    rel: string;
+    abs: string;
+}[], projectDir: string): Promise<SyncRejection[]>;
+//# sourceMappingURL=syncable.d.ts.map

package/dist/providers/storage/syncable.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"syncable.d.ts","sourceRoot":"","sources":["../../../src/providers/storage/syncable.ts"],"names":[],"mappings":"AA0BA,MAAM,MAAM,aAAa,GACrB;IAAE,IAAI,EAAE,UAAU,CAAC;IAAC,GAAG,EAAE,MAAM,CAAA;CAAE,GACjC;IAAE,IAAI,EAAE,aAAa,CAAC;IAAC,GAAG,EAAE,MAAM,CAAA;CAAE,GACpC;IAAE,IAAI,EAAE,gBAAgB,CAAC;IAAC,GAAG,EAAE,MAAM,CAAA;CAAE,GACvC;IAAE,IAAI,EAAE,eAAe,CAAC;IAAC,GAAG,EAAE,MAAM,CAAA;CAAE,GACtC;IAAE,IAAI,EAAE,iBAAiB,CAAC;IAAC,GAAG,EAAE,MAAM,CAAA;CAAE,CAAC;AAE7C;;;;;GAKG;AACH,wBAAgB,aAAa,CAAC,GAAG,EAAE,MAAM,GAAG,aAAa,GAAG,IAAI,CAU/D;AAED;;;;;;GAMG;AACH,wBAAsB,QAAQ,CAC5B,GAAG,EAAE,MAAM,EACX,OAAO,EAAE,MAAM,EACf,UAAU,EAAE,MAAM,GACjB,OAAO,CAAC,aAAa,GAAG,IAAI,CAAC,CAM/B;AAED;;;;;;;;;;GAUG;AACH,wBAAsB,SAAS,CAC7B,KAAK,EAAE;IAAE,GAAG,EAAE,MAAM,CAAC;IAAC,GAAG,EAAE,MAAM,CAAA;CAAE,EAAE,EACrC,UAAU,EAAE,MAAM,GACjB,OAAO,CAAC,aAAa,EAAE,CAAC,CAO1B"}

package/dist/providers/storage/syncable.js

@@ -0,0 +1,84 @@
+/**
+ * @module        providers/storage/syncable
+ * @description   **同步**这条路的安全下限。设计见 `object-storage-and-workspace-sync.md` §2.1 第五条。
+ *
+ * @layer         providers
+ *
+ * 🔴🔴 **它与发布的下限方向相反,别互相抄。**
+ * ```
+ * 发布 publishable()  怕**多发** —— 树里会长出什么由 agent 决定,黑名单追不上 ⇒ **后缀白名单**
+ * 同步 syncable()     怕**少发** —— 用户会放 .blend / .psd / .aseprite ⇒ **不能用后缀白名单**
+ * ```
+ * 抄错方向的表现是:**用户的源文件不见了,而且不报错**。
+ * (「照搬一份现成的安全规则」恰恰是最容易顺手抄整份的时候。)
+ *
+ * 🔴 **声明决定"要什么",本模块决定"绝不给什么"** —— 后者不是产品知识,是主体安全,
+ * 且**不可被声明或配置放宽**。它防的是一件具体的事:项目树里有带活 token 的
+ * `.claude/settings.local.json`(实测:coral 那侧 `publishable('src/main.js')` 放行,
+ * 而 `readFile` 实际拿到 `ANTHROPIC_AUTH_TOKEN=sk-live-…`,落点还是公开可取的前缀)。
+ *
+ * 🔴 **真正拦住凭据的是"任一路径段以 `.` 开头"这一条**,不是别的:
+ * `settings.local.json` 本身后缀无害,是 `.claude/` 这个点开头段拦住的。
+ * ⇒ 将来谁"为了支持 `.well-known/` 放宽点开头",会在不知情的情况下把底线整个打开。
+ * > 判据:**守卫要标注它靠哪一条在生效** —— 否则放宽的人以为自己在动一条无关的规则。
+ */
+import { isRealUnderRoot } from '../../core/pathFence.js';
+/**
+ * 纯字符串这一半(**不含**软链检查 —— 那半必须走 `isRealUnderRoot`)。
+ *
+ * 单独抽出来不是为了复用,是为了让**两半都必须被调用**这件事在类型上看得见:
+ * 只调这一半的实现会"看起来对",而它恰恰漏掉了唯一挡得住 agent 自造软链的那道。
+ */
+export function syncableShape(rel) {
+    if (!rel)
+        return { code: 'EMPTY_SEGMENT', rel };
+    if (rel.startsWith('/'))
+        return { code: 'ABSOLUTE', rel };
+    for (const seg of rel.split('/')) {
+        if (!seg)
+            return { code: 'EMPTY_SEGMENT', rel };
+        if (seg === '..')
+            return { code: 'PARENT_SEGMENT', rel };
+        // ← 承重的是这条:`.claude/`、`.git/`、`.sps/` 全靠它
+        if (seg.startsWith('.'))
+            return { code: 'DOT_SEGMENT', rel };
+    }
+    return null;
+}
+/**
+ * 完整判据 = 形状 + **realpath 围栏**。
+ *
+ * @param rel      相对项目根的路径(声明枚举出来的)
+ * @param absPath  它在盘上的绝对路径
+ * @param projectDir 项目根
+ */
+export async function syncable(rel, absPath, projectDir) {
+    const shape = syncableShape(rel);
+    if (shape)
+        return shape;
+    // 软链:声明可以指到一个含软链的目录,软链再指向 ~/.coral。字符串判据一条都挡不住。
+    if (!(await isRealUnderRoot(absPath, projectDir)))
+        return { code: 'ESCAPES_PROJECT', rel };
+    return null;
+}
+/**
+ * 对一整批做下限判定。
+ *
+ * 🔴 **返回全部拒绝项,不是第一个** —— coral 的取舍 3:清单会过期,配套的是
+ * **拒绝时把名字报出去**,而不是"尽量列全"。列不全没关系,漏的会被看见。
+ *
+ * 🔴 **调用方必须"枚举完再推第一个字节"**:围栏若写在上传循环里,
+ * 状态码确实会回错,但**排在拒绝项前面的文件已经进桶了** ——
+ * 「整体失败」是关于**副作用**的断言,不是关于返回码的(coral 实测,用
+ * `assert(uploaded.length === 0)` 才照出来)。
+ */
+export async function screenAll(files, projectDir) {
+    const out = [];
+    for (const f of files) {
+        const r = await syncable(f.rel, f.abs, projectDir);
+        if (r)
+            out.push(r);
+    }
+    return out;
+}
+//# sourceMappingURL=syncable.js.map

package/dist/providers/storage/syncable.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"syncable.js","sourceRoot":"","sources":["../../../src/providers/storage/syncable.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;GAuBG;AACH,OAAO,EAAE,eAAe,EAAE,MAAM,yBAAyB,CAAC;AAS1D;;;;;GAKG;AACH,MAAM,UAAU,aAAa,CAAC,GAAW;IACvC,IAAI,CAAC,GAAG;QAAE,OAAO,EAAE,IAAI,EAAE,eAAe,EAAE,GAAG,EAAE,CAAC;IAChD,IAAI,GAAG,CAAC,UAAU,CAAC,GAAG,CAAC;QAAE,OAAO,EAAE,IAAI,EAAE,UAAU,EAAE,GAAG,EAAE,CAAC;IAC1D,KAAK,MAAM,GAAG,IAAI,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,EAAE,CAAC;QACjC,IAAI,CAAC,GAAG;YAAE,OAAO,EAAE,IAAI,EAAE,eAAe,EAAE,GAAG,EAAE,CAAC;QAChD,IAAI,GAAG,KAAK,IAAI;YAAE,OAAO,EAAE,IAAI,EAAE,gBAAgB,EAAE,GAAG,EAAE,CAAC;QACzD,0CAA0C;QAC1C,IAAI,GAAG,CAAC,UAAU,CAAC,GAAG,CAAC;YAAE,OAAO,EAAE,IAAI,EAAE,aAAa,EAAE,GAAG,EAAE,CAAC;IAC/D,CAAC;IACD,OAAO,IAAI,CAAC;AACd,CAAC;AAED;;;;;;GAMG;AACH,MAAM,CAAC,KAAK,UAAU,QAAQ,CAC5B,GAAW,EACX,OAAe,EACf,UAAkB;IAElB,MAAM,KAAK,GAAG,aAAa,CAAC,GAAG,CAAC,CAAC;IACjC,IAAI,KAAK;QAAE,OAAO,KAAK,CAAC;IACxB,gDAAgD;IAChD,IAAI,CAAC,CAAC,MAAM,eAAe,CAAC,OAAO,EAAE,UAAU,CAAC,CAAC;QAAE,OAAO,EAAE,IAAI,EAAE,iBAAiB,EAAE,GAAG,EAAE,CAAC;IAC3F,OAAO,IAAI,CAAC;AACd,CAAC;AAED;;;;;;;;;;GAUG;AACH,MAAM,CAAC,KAAK,UAAU,SAAS,CAC7B,KAAqC,EACrC,UAAkB;IAElB,MAAM,GAAG,GAAoB,EAAE,CAAC;IAChC,KAAK,MAAM,CAAC,IAAI,KAAK,EAAE,CAAC;QACtB,MAAM,CAAC,GAAG,MAAM,QAAQ,CAAC,CAAC,CAAC,GAAG,EAAE,CAAC,CAAC,GAAG,EAAE,UAAU,CAAC,CAAC;QACnD,IAAI,CAAC;YAAE,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;IACrB,CAAC;IACD,OAAO,GAAG,CAAC;AACb,CAAC"}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@coralai/sps-cli",
-  "version": "0.65.87",
+  "version": "0.65.92",
   "description": "SPS CLI — AI-driven development pipeline orchestrator",
   "type": "module",
   "main": "dist/main.js",
@@ -19,7 +19,8 @@
     "test:watch": "vitest",
     "test:coverage": "vitest run --coverage",
     "test:e2e": "playwright test",
-    "prepublishOnly": "npm run build"
+    "prepublishOnly": "npm run check && npm run build",
+    "check": "npm run typecheck && npm run typecheck:test && npm run check:api-docs"
   },
   "engines": {
     "node": ">=18.0.0"
@@ -98,5 +99,8 @@
       "types": "./dist/chat-protocol/index.d.ts",
       "import": "./dist/chat-protocol/index.js"
     }
+  },
+  "optionalDependencies": {
+    "minio": "^8.0.7"
   }
 }