@crabcloud/cli 0.1.10 → 0.2.1

package/dist/crab.js

@@ -16,6 +16,8 @@ var __export = (target, all) => {
 
 // src/index.ts
 import { hostname, homedir as homedir2 } from "node:os";
+import { createInterface } from "node:readline";
+import { Writable } from "node:stream";
 import { mkdirSync as mkdirSync2, readFileSync as readFileSync2, rmSync as rmSync2, writeFileSync as writeFileSync2 } from "node:fs";
 import { basename, join as join2 } from "node:path";
 
@@ -5897,8 +5899,8 @@ function date2(params) {
 var accountDomain = "crabcloud.cc";
 var adminDomain = `admin.${accountDomain}`;
 var storageDomain = `storage.${accountDomain}`;
-function storagePublicUrl(objectId) {
-  return `https://${storageDomain}/o/${objectId}`;
+function storagePublicUrl(objectId, originOverride) {
+  return `${originOverride ?? `https://${storageDomain}`}/o/${objectId}`;
 }
 var clientTypes = ["web", "agent", "miniapp", "native"];
 var scopes = [
@@ -6192,7 +6194,7 @@ var collabAllocationInput = object({
 });
 var collabBoostInput = object({ kind: _enum(collabBoostKinds) });
 var collabInviteInput = object({ username: usernameSchema });
-var collabLinkInput = string2().trim().url().max(2000);
+var collabLinkInput = string2().trim().url().max(2000).regex(/^https?:\/\//i);
 var collabCreateTaskInput = object({
   title: string2().trim().min(1).max(COLLAB_TITLE_MAX),
   body: string2().max(COLLAB_RECORD_BODY_MAX).default(""),
@@ -6451,6 +6453,7 @@ function stripCodexSection(content) {
 var DEFAULT_API = "https://api.crabcloud.cc";
 var DEFAULT_SCOPES = ["account.read"];
 var CONFIG_PATH = process.env.CRAB_CREDENTIALS ?? join2(homedir2(), ".config", "crabcloud", "credentials.json");
+var CONFIG_DIR = join2(homedir2(), ".config", "crabcloud");
 var EXIT_USAGE = 2;
 var EXIT_AUTH = 3;
 var EXIT_SCOPE = 4;
@@ -6503,6 +6506,9 @@ function exitCodeForApiError(body) {
     case "insufficient_credits":
     case "storage.quotaExceeded":
       return EXIT_QUOTA;
+    case "collab_space_not_bound":
+    case "collab_space_mismatch":
+      return EXIT_SCOPE;
     default:
       return 1;
   }
@@ -6537,7 +6543,10 @@ function formatTime(ms) {
   return new Date(ms).toLocaleString("sv", { year: "numeric", month: "2-digit", day: "2-digit", hour: "2-digit", minute: "2-digit" });
 }
 function fmtCredits(cents) {
-  return cents.toLocaleString("en-US");
+  return (cents / 100).toLocaleString("en-US");
+}
+function fmtUsd(cents) {
+  return `$${cents / 100}`;
 }
 var usage = `crab — Crab Cloud CLI（Agent-first 入口）
 发布物经 npm 分发：npx @crabcloud/cli <command>（全局安装后短名 crab 等价）
@@ -6550,6 +6559,9 @@ var usage = `crab — Crab Cloud CLI（Agent-first 入口）
   login                浏览器授权登录（设备授权流），保存 Agent Token
                        --scopes <scope|组名,...>  自定义 scope，支持组名整组授权
                                                   （默认 ${DEFAULT_SCOPES.join(",")}）
+                       --space <default|space:<名称>>
+                                                 含协作 scope 时必填：令牌绑定该协作
+                                                 空间，collab 命令只能作用于它
                        --no-open                 只打印链接，不自动打开浏览器
                        --api <url>               指定 API 地址
 
@@ -6580,14 +6592,17 @@ var usage = `crab — Crab Cloud CLI（Agent-first 入口）
                [--type doc|image|video|archive|code] [--tag a,b] [--trash]
                [--shared] [--recent] [--message-id <id>] [--limit N] [--offset N] [--json]
                                      列出云盘对象（跨来源统一视图，能力与 Web 云盘一致）
-  storage upload <file...> [--json]  上传一个或多个文件（直传优先，自动回退中转）
+  storage upload <file...> [--json]  上传一个或多个文件（直传优先，自动回退中转）；
+                                     files 域默认端到端加密，口令 --passphrase /
+                                     CRAB_PASSPHRASE 提供，终端内运行时交互输入
   storage download <id|文件名> [-o 输出路径]
-                                     下载对象内容（默认按原文件名存到当前目录）
+                                     下载对象内容（默认按原文件名存到当前目录；
+                                     加密对象需口令，终端内运行时交互输入）
   storage rename <id|文件名> <新名称>  重命名
   storage tag <id|文件名> --add a,b [--remove c,d]
                                      增删标签
-  storage category <id|文件名> <categoryId|none>
-                                     设置分类（分类 id 见 storage categories）
+  storage category <id|文件名> <分类id|分类名|none>
+                                     设置分类（分类见 storage categories）
   storage publish|unpublish <id|文件名>
                                      公开 / 收回公开（公开时打印公开直链）
   storage rm|restore|purge <id|文件名>
@@ -6595,12 +6610,42 @@ var usage = `crab — Crab Cloud CLI（Agent-first 入口）
   storage quota [--json]             存储水位（统一容量账：文件/素材/邮件附件一本账）
   storage share <id|文件名> [--expires 7|30|90|forever] [--passcode 提取码]
                        创建分享链接（加密文件链接自带解密钥匙 #fragment）
+  storage key [--remember|--forget]
+                       本机记住的云盘钥匙管理：默认查看状态；--remember 解锁一次
+                       并记住（下次免输口令）；--forget 清除
   storage shares <id|文件名> [--json]
                                      该文件的分享链接列表（状态/下载计数）
   storage unshare <shareId>          撤销分享
   storage categories [--json]        分类列表
-  storage mkcat <名称>               新建分类
+  storage mkcat <名称> [--color 色]  新建分类（颜色缺省 action）
+  storage rencat <id|分类名> <新名称> [--color 色]
+                                     分类重命名 / 改色
+  storage rmcat <id|分类名>          删除分类（其中文件回落未分类）
   storage tags [--json]              标签汇总
+  collab spaces [--json]             列出我所在的协作空间（任务/成员计数与限额）
+  collab space create <名称> [--allocation-mb N] [--json]
+                                     创建独立协作空间（消耗 5 积分；默认自分配 500MB
+                                     存储占订阅总池，可随时调）
+  collab tasks [--space <arg>] [--status open|done] [--q 关键字]
+               [--limit N] [--cursor <cursor>] [--json]
+                                     列出任务（含摘要/记录数；--q 搜标题与记录正文）
+  collab task <id> [--json]          任务详情
+  collab task create --space <arg> --title "..." [--body "..." | --body-file <path>]
+               [--attach <fileId,...>] [--link <url,...>] [--json]
+                                     新建任务（首条记录即 body 入流）
+  collab task records <id> [--limit N] [--cursor <cursor>] [--json]
+                                     读任务记录流（倒序，Markdown 源文 + 附件/链接）
+  collab task done|reopen <id>       完成 / 重开（入流一条状态变更，占记录位）
+  collab task summary <id> (--text "..." | --text-file <path> | --clear) [--json]
+                                     更新任务摘要（可变「当前态」概览，不入记录流；
+                                     上限 2000 字符，--clear 清空）
+  collab members [--space <arg>] [--json]
+                                     协作空间成员列表
+  collab invite <username> [--space <arg>] [--json]
+                                     邀请联系人中已关联的平台用户进空间
+  collab activity [--json]           协作域活动事件（Agent 推送/读取、任务创建、摘要更新）
+  post <taskId> (--body "..." | --body-file <path>) [--attach <fileId,...>] [--link <url,...>] [--json]
+                                     推送任务记录（糖命令：等价 collab task records 的写入）
   credits [--json]                   积分余额（月送/充值/合计；需 credits.read scope）
   credits history [--limit N] [--offset N] [--json]
                                      积分流水（变动 ±：消耗为负；需 credits.read）
@@ -6618,7 +6663,11 @@ ${scopeGroups.map((group) => `  ${group.id.padEnd(9)} ${group.scopes.join(", ")}
   CRAB_API          API 地址（默认 ${DEFAULT_API}）
   CRAB_CREDENTIALS  凭证文件路径（默认 ~/.config/crabcloud/credentials.json）
 
-退出码: 0 成功 · 2 用法错误 · 3 认证失效 · 4 scope 不足 · 5 资源不存在 · 7 配额/积分不足
+collab 命令的 <arg>（--space 值）: default（默认空间）| space:<名称>（按名唯一命中）| 空间 id；
+  缺省时你只在一个空间则自动采用，多个则列出候选要求显式指定。Agent 令牌绑定空间后，
+  越界访问一律 403（collab_space_mismatch）。
+
+退出码: 0 成功 · 2 用法错误 · 3 认证失效 · 4 scope 不足（含令牌未绑/绑错协作空间）· 5 资源不存在 · 7 配额/积分不足
 `;
 async function login() {
   const apiBase = process.env.CRAB_API ?? readFlag("--api") ?? DEFAULT_API;
@@ -6634,10 +6683,16 @@ async function login() {
     console.error(`--scopes 展开后为空（输入：${rawScopes.join(", ")}）`);
     return EXIT_USAGE;
   }
+  const spaceArg = readFlag("--space");
+  if (requested.some((s) => s === "collab.read" || s === "collab.write") && !spaceArg) {
+    console.error("含协作 scope（collab）时必须指定 --space <default|space:<名称>>——令牌将绑定该协作空间，越界访问一律拒绝。");
+    console.error("示例：crab login --scopes collab --space default");
+    return EXIT_USAGE;
+  }
   const openBrowser = !hasFlag("--no-open");
   const start = await api2(apiBase, "/v1/auth/device/start", {
     method: "POST",
-    body: JSON.stringify({ name: `${hostname()} · crab cli`, scopes: requested })
+    body: JSON.stringify({ name: `${hostname()} · crab cli`, scopes: requested, ...spaceArg ? { space: spaceArg } : {} })
   });
   if (start.status !== 200) {
     console.error(`发起授权失败（${start.status}）：`, errorMessage(start.body, JSON.stringify(start.body)));
@@ -6679,6 +6734,8 @@ async function login() {
       saveCredentials({ apiBase, token: poll.body.data.token, scopes: poll.body.data.scopes });
       console.log(`✓ 已登录，Agent Token 已保存到 ${CONFIG_PATH}`);
       console.log(`  scopes: ${poll.body.data.scopes.join(", ")}`);
+      if (spaceArg)
+        console.log(`  协作空间绑定: ${spaceArg}（collab 命令只能作用于该空间）`);
       return 0;
     }
   }
@@ -6779,7 +6836,7 @@ async function creditsHistory() {
     console.log(`${formatTime(entry.createdAt)}  ${CREDIT_REASON_LABELS[entry.reason] ?? entry.reason}  ${signed}`);
   }
   console.log(`
-共 ${fmtCredits(data.total)} 条（本页 ${data.ledger.length} 条，--offset 翻页）`);
+共 ${data.total.toLocaleString("en-US")} 条（本页 ${data.ledger.length} 条，--offset 翻页）`);
   return 0;
 }
 async function creditsPricing() {
@@ -6799,10 +6856,10 @@ async function creditsPricing() {
     console.log("暂无动作计价项。");
     return 0;
   }
-  console.log("动作计价（credit_cents，100 = $1.00）：");
+  console.log("动作计价（1 积分 = $1，价目为 $ 口径）：");
   for (const item of actions) {
     const label = CREDIT_ACTION_LABELS[item.action] ?? item.action;
-    console.log(`  ${item.action.padEnd(24)} ${label}  ${fmtCredits(item.creditCents)} 积分`);
+    console.log(`  ${item.action.padEnd(24)} ${label}  ${fmtUsd(item.creditCents)}`);
   }
   return 0;
 }
@@ -6825,7 +6882,7 @@ async function tokensList() {
     return 0;
   }
   for (const token of rows) {
-    console.log(`${token.id}  ${token.name}  [${token.scopes.join(", ")}]  ${token.revoked ? "已撤销" : "生效中"}`);
+    console.log(`${token.id}  ${token.name}  [${token.scopes.join(", ")}]  ${token.revoked ? "已撤销" : "生效中"}${token.collabSpace ? `  ⟨空间 ${token.collabSpace}⟩` : ""}`);
     console.log(`    创建 ${formatTime(token.createdAt)} · 最近使用 ${token.lastUsedAt ? formatTime(token.lastUsedAt) : "—"}${token.expiresAt ? ` · 过期 ${formatTime(token.expiresAt)}` : ""}`);
   }
   return 0;
@@ -7080,7 +7137,7 @@ async function mailSend() {
   if (attachmentIds.length > 0)
     console.log(`  附件 ${attachmentIds.length} 个（云盘引用，不复制）`);
   if (result.chargedCredits > 0)
-    console.log(`  消耗积分：${fmtCredits(result.chargedCredits)}`);
+    console.log(`  消耗：${fmtUsd(result.chargedCredits)}`);
   if (result.failedExternal > 0)
     console.log(`  ⚠ ${result.failedExternal} 个外部收件人发送失败，对应积分已退回`);
   return 0;
@@ -7402,13 +7459,168 @@ var utf82 = (s) => new TextEncoder().encode(s);
 var MASTER_AAD = utf82("drive-master");
 var DATA_AAD = utf82("drive-data");
 var KEK_ITERATIONS = 210000;
-function drivePassphrase() {
-  return readFlag("--passphrase") ?? process.env.CRAB_PASSPHRASE;
+var passphraseMemo;
+async function drivePassphrase() {
+  if (passphraseMemo !== undefined)
+    return passphraseMemo;
+  const explicit = readFlag("--passphrase") ?? process.env.CRAB_PASSPHRASE;
+  if (explicit !== undefined && explicit !== "") {
+    passphraseMemo = explicit;
+    return explicit;
+  }
+  if (!process.stdin.isTTY)
+    return;
+  process.stderr.write("请输入云盘口令（输入不回显）Drive passphrase: ");
+  const typed = await askHidden();
+  if (typed.length === 0)
+    return;
+  passphraseMemo = typed;
+  return typed;
+}
+function askHidden() {
+  return new Promise((resolve) => {
+    const silent = new Writable({ write(_chunk, _enc, cb) {
+      cb();
+    } });
+    const rl = createInterface({ input: process.stdin, output: silent, terminal: true });
+    rl.question("", (answer) => {
+      rl.close();
+      process.stderr.write(`
+`);
+      resolve(answer);
+    });
+  });
 }
-async function driveMasterKey(credentials) {
-  const passphrase = drivePassphrase();
+function askVisible(question) {
+  return new Promise((resolve) => {
+    const rl = createInterface({ input: process.stdin, output: process.stderr });
+    rl.question(question, (answer) => {
+      rl.close();
+      resolve(answer);
+    });
+  });
+}
+var CANARY_PLAIN = utf82("crab-drive-verify");
+var CANARY_AAD = utf82("drive-verify");
+function driveKeyPath(accountId) {
+  return join2(CONFIG_DIR, `drive-key-${accountId}.json`);
+}
+function readDriveKeyFile(accountId) {
+  try {
+    return JSON.parse(readFileSync2(driveKeyPath(accountId), "utf8"));
+  } catch {
+    return null;
+  }
+}
+async function loadVerifiedDriveKey(credentials, accountId) {
+  const file = readDriveKeyFile(accountId);
+  if (!file || file.apiBase !== credentials.apiBase || typeof file.masterKey !== "string" || typeof file.canary !== "string") {
+    return null;
+  }
+  try {
+    const key = await importAesKey(b64urlDecode(file.masterKey));
+    await aeadDecrypt(key, sealFromB64url(file.canary), CANARY_AAD);
+    return b64urlDecode(file.masterKey);
+  } catch {
+    forgetDriveKey(accountId);
+    console.error("本机记住的云盘钥匙已失效（可能在别处轮换），请改用口令。");
+    return null;
+  }
+}
+async function storeDriveKey(accountId, apiBase, masterRaw) {
+  const sealed = await aeadEncrypt(await importAesKey(masterRaw), CANARY_PLAIN, CANARY_AAD);
+  mkdirSync2(CONFIG_DIR, { recursive: true });
+  writeFileSync2(driveKeyPath(accountId), `${JSON.stringify({ apiBase, masterKey: b64urlEncode(masterRaw), canary: sealToB64url({ iv: sealed.iv, ciphertext: sealed.ciphertext }), storedAt: Date.now() }, null, 2)}
+`, { mode: 384 });
+}
+function forgetDriveKey(accountId) {
+  rmSync2(driveKeyPath(accountId), { force: true });
+}
+var accountIdMemo;
+async function driveAccountId(credentials) {
+  if (accountIdMemo !== undefined)
+    return accountIdMemo;
+  const res = await api2(credentials.apiBase, "/v1/auth/me", { headers: authHeaders(credentials) });
+  accountIdMemo = res.status === 200 ? res.body.data.account.id : null;
+  return accountIdMemo;
+}
+async function maybeRememberDriveKey(credentials, masterRaw) {
+  if (!process.stdin.isTTY)
+    return;
+  const accountId = await driveAccountId(credentials);
+  const existing = accountId ? readDriveKeyFile(accountId) : null;
+  if (accountId && existing && existing.apiBase === credentials.apiBase && existing.masterKey)
+    return;
+  const answer = await askVisible("记住云盘钥匙到本机？下次免输口令（storage key --forget 清除）[y/N] ");
+  if (answer.trim().toLowerCase() === "y") {
+    await storeDriveKey(accountId, credentials.apiBase, masterRaw);
+    console.log("✓ 已记住云盘钥匙到本机（storage key --forget 可清除）。");
+  }
+}
+async function storageKeyCmd() {
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const accountId = await driveAccountId(credentials);
+  if (!accountId) {
+    console.error("获取账号身份失败（凭证无效？）。");
+    return EXIT_AUTH;
+  }
+  if (hasFlag("--forget")) {
+    const had = readDriveKeyFile(accountId)?.masterKey !== undefined;
+    forgetDriveKey(accountId);
+    console.log(had ? "✓ 已清除本机记住的云盘钥匙，下次操作恢复口令输入。" : "本机没有记住的云盘钥匙。");
+    return 0;
+  }
+  if (hasFlag("--remember")) {
+    const existing = readDriveKeyFile(accountId);
+    if (existing && existing.apiBase === credentials.apiBase && existing.masterKey) {
+      console.log(`本机已记住云盘钥匙：${driveKeyPath(accountId)}`);
+      return 0;
+    }
+    const raw = await driveMasterKeyRaw(credentials, { skipRememberPrompt: true });
+    if (typeof raw === "number")
+      return raw;
+    await storeDriveKey(accountId, credentials.apiBase, raw);
+    console.log(`✓ 已记住云盘钥匙到本机：${driveKeyPath(accountId)}（storage key --forget 清除）`);
+    return 0;
+  }
+  const file = readDriveKeyFile(accountId);
+  if (file && file.apiBase === credentials.apiBase && file.masterKey) {
+    const when = typeof file.storedAt === "number" ? new Date(file.storedAt).toLocaleString() : "未知时间";
+    console.log(`✓ 本机已记住云盘钥匙：${driveKeyPath(accountId)}（记住于 ${when}）`);
+    console.log("  之后 storage 命令免输口令；Web 端轮换口令/恢复码后本钥匙自动失效。");
+    console.log("  storage key --forget 清除；storage key --remember 重新解锁并记住。");
+  } else {
+    console.log("本机未记住云盘钥匙（每次操作需输入口令）。");
+    console.log("  storage key --remember：解锁一次并记住；storage key --forget：清除记录。");
+  }
+  return 0;
+}
+var masterKeyRawMemo = null;
+async function driveMasterKeyRaw(credentials, opts = {}) {
+  if (masterKeyRawMemo)
+    return masterKeyRawMemo;
+  const accountId = await driveAccountId(credentials);
+  if (accountId) {
+    const stored = await loadVerifiedDriveKey(credentials, accountId);
+    if (stored) {
+      const res = await api2(credentials.apiBase, "/v1/storage/keys", { headers: authHeaders(credentials) });
+      if (res.status === 200) {
+        masterKeyRawMemo = stored;
+        return stored;
+      }
+      if (res.status === 404) {
+        forgetDriveKey(accountId);
+      } else {
+        console.error(errorMessage(res.body, "获取云盘密钥失败。"));
+        return exitCodeForApiError(res.body);
+      }
+    }
+  }
+  const passphrase = await drivePassphrase();
   if (!passphrase) {
-    console.error("需要云盘口令：--passphrase <口令> 或环境变量 CRAB_PASSPHRASE。");
+    console.error("需要云盘口令：--passphrase <口令> 或环境变量 CRAB_PASSPHRASE（交互终端会提示输入）。");
     return EXIT_USAGE;
   }
   const res = await api2(credentials.apiBase, "/v1/storage/keys", { headers: authHeaders(credentials) });
@@ -7437,7 +7649,10 @@ async function driveMasterKey(credentials) {
     }
     console.log(`★ 恢复码：${recoveryCode}`);
     console.log("  （口令遗忘时的唯一找回方式；平台无后门，丢失即数据不可解）");
-    return importAesKey(masterRaw);
+    if (!opts.skipRememberPrompt)
+      await maybeRememberDriveKey(credentials, masterRaw);
+    masterKeyRawMemo = masterRaw;
+    return masterRaw;
   }
   if (res.status !== 200) {
     console.error(errorMessage(res.body, "获取云盘密钥失败。"));
@@ -7446,12 +7661,22 @@ async function driveMasterKey(credentials) {
   const keys = res.body.data;
   try {
     const kek = await importAesKey(await deriveKekBits(passphrase, b64urlDecode(keys.kdfSalt), keys.kdfIterations));
-    return await importAesKey(await unwrapKeyBytes(kek, sealFromB64url(keys.wrappedMasterKey.slice(3)), MASTER_AAD));
+    const masterRaw = await unwrapKeyBytes(kek, sealFromB64url(keys.wrappedMasterKey.slice(3)), MASTER_AAD);
+    if (!opts.skipRememberPrompt)
+      await maybeRememberDriveKey(credentials, masterRaw);
+    masterKeyRawMemo = masterRaw;
+    return masterRaw;
   } catch {
     console.error("口令错误。");
     return 1;
   }
 }
+async function driveMasterKey(credentials) {
+  const raw = await driveMasterKeyRaw(credentials);
+  if (typeof raw === "number")
+    return raw;
+  return importAesKey(raw);
+}
 async function storageUploadOne(credentials, filePath) {
   let buf;
   try {
@@ -7595,11 +7820,6 @@ async function storageDownload(token) {
   let bytes = new Uint8Array(await res.arrayBuffer());
   const wrapped = res.headers.get("x-drive-wrapped-key");
   if (wrapped?.startsWith("u1.")) {
-    const passphrase = drivePassphrase();
-    if (!passphrase) {
-      console.error("该文件已加密：--passphrase <口令> 或 CRAB_PASSPHRASE 提供云盘口令后重试。");
-      return EXIT_USAGE;
-    }
     const master = await driveMasterKey(credentials);
     if (typeof master === "number")
       return master;
@@ -7666,13 +7886,20 @@ async function storageTag(token) {
 }
 async function storageCategory(token, value) {
   if (!token || !value) {
-    console.error("用法：crab storage category <id|文件名> <categoryId|none>（分类 id 见 storage categories）");
+    console.error("用法：crab storage category <id|文件名> <分类id|分类名|none>（分类见 storage categories）");
     return EXIT_USAGE;
   }
   const credentials = requireCredentials();
   if (typeof credentials === "number")
     return credentials;
-  const result = await storagePatch(credentials, token, { categoryId: value === "none" ? null : value });
+  let categoryId = null;
+  if (value !== "none") {
+    const resolved = await resolveCategoryId(credentials, value);
+    if (typeof resolved === "number")
+      return resolved;
+    categoryId = resolved;
+  }
+  const result = await storagePatch(credentials, token, { categoryId });
   if (typeof result === "number")
     return result;
   console.log(`✓ 分类已更新：${result.filename}`);
@@ -7690,8 +7917,10 @@ async function storagePublish(token, publish) {
   if (typeof result === "number")
     return result;
   console.log(`✓ ${publish ? "已公开" : "已收回公开"}：${result.filename}`);
-  if (publish)
-    console.log(`  公开链接：${storagePublicUrl(result.id)}`);
+  if (publish) {
+    const base = credentials.apiBase === DEFAULT_API ? undefined : credentials.apiBase;
+    console.log(`  公开链接：${storagePublicUrl(result.id, base)}`);
+  }
   return 0;
 }
 async function storageMove(action, token) {
@@ -7856,28 +8085,116 @@ async function storageCategories() {
     return 0;
   }
   for (const row of rows)
-    console.log(`${row.id}  ${row.name}  (${row.fileCount})`);
+    console.log(`${row.id}  ${row.name}  [${row.color ?? "—"}]  (${row.fileCount})`);
   return 0;
 }
-async function storageMkCat(name) {
+async function resolveCategoryId(credentials, idOrName) {
+  const res = await api2(credentials.apiBase, "/v1/storage/categories", { headers: authHeaders(credentials) });
+  if (res.status !== 200) {
+    console.error(errorMessage(res.body, "获取分类失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const rows = res.body.data.categories;
+  const byId = rows.find((row) => row.id === idOrName);
+  if (byId)
+    return byId.id;
+  const byName = rows.filter((row) => row.name === idOrName);
+  if (byName.length === 1)
+    return byName[0].id;
+  if (byName.length === 0) {
+    console.error(`分类不存在：${idOrName}（crab storage categories 查看列表）`);
+    return EXIT_NOT_FOUND;
+  }
+  console.error(`分类名重复：${idOrName}，请用 id 指认。`);
+  return EXIT_USAGE;
+}
+function positionalArgs(rest, valuedFlags) {
+  const out = [];
+  for (let i = 0;i < rest.length; i++) {
+    if (valuedFlags.includes(rest[i])) {
+      i++;
+      continue;
+    }
+    if (rest[i].startsWith("--"))
+      continue;
+    out.push(rest[i]);
+  }
+  return out;
+}
+async function storageMkCat(rest) {
+  const name = positionalArgs(rest, ["--color"]).join(" ") || undefined;
   if (!name) {
-    console.error("用法：crab storage mkcat <名称>");
+    console.error("用法：crab storage mkcat <名称> [--color 色]");
     return EXIT_USAGE;
   }
   const credentials = requireCredentials();
   if (typeof credentials === "number")
     return credentials;
+  const color = readFlag("--color");
   const res = await api2(credentials.apiBase, "/v1/storage/categories", {
     method: "POST",
     headers: authHeaders(credentials),
-    body: JSON.stringify({ name })
+    body: JSON.stringify({ name, ...color ? { color } : {} })
   });
   if (res.status !== 200 && res.status !== 201) {
     console.error(errorMessage(res.body, "创建分类失败。"));
     return exitCodeForApiError(res.body);
   }
   const row = res.body.data;
-  console.log(`✓ 已创建分类：${row.name}（id ${row.id}）`);
+  console.log(`✓ 已创建分类：${row.name}（id ${row.id}，颜色 ${row.color ?? "—"}）`);
+  return 0;
+}
+async function storageRenCat(target, rest) {
+  const name = positionalArgs(rest, ["--color"]).join(" ") || undefined;
+  if (!target || !name && !readFlag("--color")) {
+    console.error("用法：crab storage rencat <id|分类名> <新名称> [--color 色]");
+    return EXIT_USAGE;
+  }
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const id = await resolveCategoryId(credentials, target);
+  if (typeof id === "number")
+    return id;
+  const body = {};
+  if (name)
+    body.name = name;
+  const color = readFlag("--color");
+  if (color)
+    body.color = color;
+  const res = await api2(credentials.apiBase, `/v1/storage/categories/${encodeURIComponent(id)}`, {
+    method: "PATCH",
+    headers: authHeaders(credentials),
+    body: JSON.stringify(body)
+  });
+  if (res.status !== 200) {
+    console.error(errorMessage(res.body, "更新分类失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const row = res.body.data;
+  console.log(`✓ 分类已更新：${row.name}（颜色 ${row.color ?? "—"}）`);
+  return 0;
+}
+async function storageRmCat(target) {
+  if (!target) {
+    console.error("用法：crab storage rmcat <id|分类名>（分类下文件回落未分类，不删文件）");
+    return EXIT_USAGE;
+  }
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const id = await resolveCategoryId(credentials, target);
+  if (typeof id === "number")
+    return id;
+  const res = await api2(credentials.apiBase, `/v1/storage/categories/${encodeURIComponent(id)}`, {
+    method: "DELETE",
+    headers: authHeaders(credentials)
+  });
+  if (res.status !== 200) {
+    console.error(errorMessage(res.body, "删除分类失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  console.log("✓ 分类已删除，其中文件回落未分类。");
   return 0;
 }
 async function storageTags() {
@@ -7902,6 +8219,487 @@ async function storageTags() {
     console.log(`${row.tag}  (${row.count})`);
   return 0;
 }
+var COLLAB_TASK_STATUSES = ["open", "done"];
+function collabSpaceToken(space) {
+  return space.kind === "default" ? "default" : `space:${space.name}`;
+}
+function printCollabTaskRow(task) {
+  const flags = [task.status === "done" ? "已完成" : null, task.summary ? "有摘要" : null].filter(Boolean);
+  console.log(`${task.id}  ${task.title}  记录 ${task.recordCount}  ${formatTime(task.latestRecordAt)}${flags.length > 0 ? `  [${flags.join(" · ")}]` : ""}`);
+}
+async function resolveCollabSpace(credentials, arg) {
+  const res = await api2(credentials.apiBase, "/v1/collab/spaces", { headers: authHeaders(credentials) });
+  if (res.status !== 200) {
+    console.error(errorMessage(res.body, "获取协作空间失败。"));
+    if (res.body?.error?.code === "scope_denied") {
+      console.error("提示：协作命令需要 collab scope——运行 crab login --scopes collab --space default 重新授权。");
+    }
+    return exitCodeForApiError(res.body);
+  }
+  const spaces = res.body.data.spaces;
+  if (spaces.length === 0) {
+    console.error("你还没有可访问的协作空间。");
+    return EXIT_NOT_FOUND;
+  }
+  if (arg === undefined || arg === "") {
+    if (spaces.length === 1)
+      return spaces[0];
+    console.error("你所在的协作空间不止一个，请用 --space 指定（default / space:<名称> / 空间 id）：");
+    for (const s of spaces)
+      console.error(`  ${collabSpaceToken(s)}  （任务 ${s.taskCount}）`);
+    return EXIT_USAGE;
+  }
+  if (arg === "default") {
+    const hit = spaces.find((s) => s.kind === "default");
+    if (hit)
+      return hit;
+    console.error("没有找到你的默认协作空间。");
+    return EXIT_NOT_FOUND;
+  }
+  if (arg.startsWith("space:")) {
+    const name = arg.slice("space:".length).trim();
+    if (!name) {
+      console.error("space: 后面要跟空间名称（crab collab spaces 查看）。");
+      return EXIT_USAGE;
+    }
+    const hit = spaces.filter((s) => s.name === name && s.status === "active");
+    if (hit.length === 1)
+      return hit[0];
+    console.error(hit.length === 0 ? `没有名为「${name}」的 active 协作空间。` : `「${name}」命中多个空间，请用空间 id 指定。`);
+    return EXIT_NOT_FOUND;
+  }
+  const byId = spaces.find((s) => s.id === arg);
+  if (byId)
+    return byId;
+  console.error(`空间标识无效：${arg}
+应为 default、space:<名称> 或空间 id（crab collab spaces 查看）。`);
+  return EXIT_USAGE;
+}
+async function collabSpacesList() {
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const res = await api2(credentials.apiBase, "/v1/collab/spaces", { headers: authHeaders(credentials) });
+  if (res.status !== 200) {
+    console.error(errorMessage(res.body, "获取协作空间失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const data = res.body.data;
+  if (hasFlag("--json")) {
+    console.log(JSON.stringify(data, null, 2));
+    return 0;
+  }
+  if (data.spaces.length === 0) {
+    console.log("你还没有可访问的协作空间。");
+    return 0;
+  }
+  for (const s of data.spaces) {
+    const storage = s.kind === "independent" ? ` · 存储 ${formatBytesCli(s.storageUsedBytes)}/${formatBytesCli(s.storageAllocatedBytes)}` : "";
+    console.log(`${collabSpaceToken(s)}  ${s.status === "archived" ? "[已归档·只读] " : ""}任务 ${s.taskCount}/${s.limits.taskLimit} · 受邀成员 ${s.memberCount}/${s.limits.invitedMemberLimit}${storage}`);
+    console.log(`    id ${s.id}`);
+  }
+  console.log(`独立空间名额：${data.independentUsed}/${data.independentLimit}（创建消耗 5 积分：crab collab space create <名称>）`);
+  return 0;
+}
+async function collabSpaceCreate(name) {
+  if (!name) {
+    console.error("用法：crab collab space create <名称> [--allocation-mb <兆字节>] [--json]");
+    return EXIT_USAGE;
+  }
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const allocationMb = Number.parseInt(readFlag("--allocation-mb") ?? "", 10);
+  const body = { name };
+  if (Number.isFinite(allocationMb))
+    body.allocationBytes = allocationMb * 1024 * 1024;
+  const res = await api2(credentials.apiBase, "/v1/collab/spaces", {
+    method: "POST",
+    headers: authHeaders(credentials),
+    body: JSON.stringify(body)
+  });
+  if (res.status !== 200 && res.status !== 201) {
+    console.error(errorMessage(res.body, "创建失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const data = res.body.data;
+  if (hasFlag("--json")) {
+    console.log(JSON.stringify(data, null, 2));
+    return 0;
+  }
+  console.log(`✓ 独立协作空间已创建（id ${data.spaceId}）`);
+  console.log(`  消耗：${fmtUsd(data.chargedCredits)} · --space space:${name} 即可指向它`);
+  return 0;
+}
+async function collabTasksList() {
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const status = readFlag("--status");
+  if (status && !COLLAB_TASK_STATUSES.includes(status)) {
+    console.error(`未知状态：${status}
+可用：${COLLAB_TASK_STATUSES.join(", ")}`);
+    return EXIT_USAGE;
+  }
+  const space = await resolveCollabSpace(credentials, readFlag("--space"));
+  if (typeof space === "number")
+    return space;
+  const params = new URLSearchParams;
+  if (status)
+    params.set("status", status);
+  const q = readFlag("--q");
+  if (q)
+    params.set("q", q);
+  const limit = readFlag("--limit");
+  if (limit)
+    params.set("limit", limit);
+  const cursor = readFlag("--cursor");
+  if (cursor)
+    params.set("cursor", cursor);
+  const res = await api2(credentials.apiBase, `/v1/collab/spaces/${encodeURIComponent(space.id)}/tasks?${params}`, {
+    headers: authHeaders(credentials)
+  });
+  if (res.status !== 200) {
+    console.error(errorMessage(res.body, "获取任务列表失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const page = res.body.data;
+  if (hasFlag("--json")) {
+    console.log(JSON.stringify({ ...page, space: { id: space.id, kind: space.kind, name: space.name } }, null, 2));
+    return 0;
+  }
+  console.log(`空间：${collabSpaceToken(space)}${space.status === "archived" ? "（已归档·只读）" : ""}`);
+  if (page.tasks.length === 0) {
+    console.log('没有匹配的任务（crab collab task create --title "…" 新建）。');
+    return 0;
+  }
+  for (const task of page.tasks)
+    printCollabTaskRow(task);
+  if (page.nextCursor)
+    console.log(`（还有更多：--cursor ${page.nextCursor}）`);
+  return 0;
+}
+async function collabTaskDetail(id) {
+  if (!id) {
+    console.error("用法：crab collab task <id>（id 见 crab collab tasks）");
+    return EXIT_USAGE;
+  }
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const res = await api2(credentials.apiBase, `/v1/collab/tasks/${encodeURIComponent(id)}`, { headers: authHeaders(credentials) });
+  if (res.status !== 200) {
+    console.error(errorMessage(res.body, "获取任务失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const task = res.body.data.task;
+  if (hasFlag("--json")) {
+    console.log(JSON.stringify(task, null, 2));
+    return 0;
+  }
+  console.log(`${task.title}  [${task.status === "done" ? "已完成" : "进行中"}]`);
+  console.log(`  id: ${task.id}`);
+  console.log(`  记录 ${task.recordCount} 条 · 最新 ${formatTime(task.latestRecordAt)} · 创建 ${formatTime(task.createdAt)}`);
+  if (task.summary)
+    console.log(`  摘要: ${task.summary}`);
+  console.log("  记录流：crab collab task records " + task.id);
+  return 0;
+}
+async function collabTaskCreate() {
+  const title = readFlag("--title");
+  const spaceArg = readFlag("--space");
+  const bodyFlag = readFlag("--body");
+  const bodyFile = readFlag("--body-file");
+  if (!title) {
+    console.error('用法：crab collab task create --space <arg> --title "..." [--body "..." | --body-file <path>] [--attach <fileId,...>] [--link <url,...>] [--json]');
+    return EXIT_USAGE;
+  }
+  if (bodyFlag && bodyFile) {
+    console.error("--body 与 --body-file 二选一。");
+    return EXIT_USAGE;
+  }
+  let body = bodyFlag ?? "";
+  if (bodyFile) {
+    try {
+      body = readFileSync2(bodyFile, "utf8");
+    } catch {
+      console.error(`读取正文文件失败：${bodyFile}`);
+      return EXIT_USAGE;
+    }
+  }
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const space = await resolveCollabSpace(credentials, spaceArg);
+  if (typeof space === "number")
+    return space;
+  const fileIds = (readFlag("--attach") ?? "").split(",").map((x) => x.trim()).filter(Boolean);
+  const links = (readFlag("--link") ?? "").split(",").map((x) => x.trim()).filter(Boolean);
+  const res = await api2(credentials.apiBase, `/v1/collab/spaces/${encodeURIComponent(space.id)}/tasks`, {
+    method: "POST",
+    headers: authHeaders(credentials),
+    body: JSON.stringify({ title, body, ...fileIds.length > 0 ? { fileIds } : {}, ...links.length > 0 ? { links } : {} })
+  });
+  if (res.status !== 200 && res.status !== 201) {
+    console.error(errorMessage(res.body, "创建任务失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const data = res.body.data;
+  if (hasFlag("--json")) {
+    console.log(JSON.stringify(data, null, 2));
+    return 0;
+  }
+  console.log(`✓ 任务已创建（id ${data.taskId}）`);
+  console.log(`  首条记录已入流；追加记录：crab post ${data.taskId} --body "..."`);
+  return 0;
+}
+async function collabTaskRecords(id) {
+  if (!id) {
+    console.error("用法：crab collab task records <id> [--limit N] [--cursor <cursor>] [--json]");
+    return EXIT_USAGE;
+  }
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const params = new URLSearchParams;
+  const limit = readFlag("--limit");
+  if (limit)
+    params.set("limit", limit);
+  const cursor = readFlag("--cursor");
+  if (cursor)
+    params.set("cursor", cursor);
+  const res = await api2(credentials.apiBase, `/v1/collab/tasks/${encodeURIComponent(id)}/records?${params}`, {
+    headers: authHeaders(credentials)
+  });
+  if (res.status !== 200) {
+    console.error(errorMessage(res.body, "读取记录流失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const page = res.body.data;
+  if (hasFlag("--json")) {
+    console.log(JSON.stringify(page, null, 2));
+    return 0;
+  }
+  if (page.records.length === 0) {
+    console.log("该任务还没有记录。");
+    return 0;
+  }
+  for (const record of page.records) {
+    if (record.kind === "status_change") {
+      console.log(`—— ${record.authorName ?? record.authorAccountId} ${record.actorType === "agent" ? "（经 Agent）" : ""}变更了任务状态 · ${formatTime(record.createdAt)} ——`);
+      continue;
+    }
+    const via = record.via ? `（经 ${record.via.token}）` : record.actorType === "agent" ? "（经 Agent）" : "";
+    console.log(`【${record.authorName ?? record.authorAccountId}${via} · ${formatTime(record.createdAt)}】`);
+    if (record.body)
+      console.log(record.body);
+    for (const ref of record.refs) {
+      if (ref.kind === "link")
+        console.log(`  \uD83D\uDD17 ${ref.url}`);
+      else
+        console.log(`  \uD83D\uDCCE ${ref.filename ?? ref.fileId}${ref.sizeBytes ? `（${formatBytesCli(ref.sizeBytes)}${ref.spaceOwned ? " · 空间文件" : " · 云盘引用"}）` : ""}`);
+    }
+    console.log("");
+  }
+  if (page.nextCursor)
+    console.log(`（还有更早的记录：--cursor ${page.nextCursor}）`);
+  return 0;
+}
+async function collabPushRecord(taskId) {
+  if (!taskId) {
+    console.error('用法：crab post <taskId> (--body "..." | --body-file <path>) [--attach <fileId,...>] [--link <url,...>] [--json]');
+    return EXIT_USAGE;
+  }
+  const bodyFlag = readFlag("--body");
+  const bodyFile = readFlag("--body-file");
+  if (!bodyFlag && !bodyFile) {
+    console.error('需要 --body "..." 或 --body-file <path>（记录正文必填，Markdown）。');
+    return EXIT_USAGE;
+  }
+  if (bodyFlag && bodyFile) {
+    console.error("--body 与 --body-file 二选一。");
+    return EXIT_USAGE;
+  }
+  let body = bodyFlag ?? "";
+  if (bodyFile) {
+    try {
+      body = readFileSync2(bodyFile, "utf8");
+    } catch {
+      console.error(`读取正文文件失败：${bodyFile}`);
+      return EXIT_USAGE;
+    }
+  }
+  if (!body.trim()) {
+    console.error("记录正文不能为空。");
+    return EXIT_USAGE;
+  }
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const fileIds = (readFlag("--attach") ?? "").split(",").map((x) => x.trim()).filter(Boolean);
+  const links = (readFlag("--link") ?? "").split(",").map((x) => x.trim()).filter(Boolean);
+  const res = await api2(credentials.apiBase, `/v1/collab/tasks/${encodeURIComponent(taskId)}/records`, {
+    method: "POST",
+    headers: authHeaders(credentials),
+    body: JSON.stringify({ body, ...fileIds.length > 0 ? { fileIds } : {}, ...links.length > 0 ? { links } : {} })
+  });
+  if (res.status !== 200 && res.status !== 201) {
+    console.error(errorMessage(res.body, "推送失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const data = res.body.data;
+  if (hasFlag("--json")) {
+    console.log(JSON.stringify(data, null, 2));
+    return 0;
+  }
+  console.log(`✓ 记录已推送（id ${data.recordId}）`);
+  if (data.via)
+    console.log(`  活动事件 evt: ${data.via.eventId}`);
+  return 0;
+}
+async function collabTaskStatus(action, id) {
+  if (!id) {
+    console.error(`用法：crab collab task ${action} <id>`);
+    return EXIT_USAGE;
+  }
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const res = await api2(credentials.apiBase, `/v1/collab/tasks/${encodeURIComponent(id)}/${action}`, {
+    method: "POST",
+    headers: authHeaders(credentials)
+  });
+  if (res.status !== 200) {
+    console.error(errorMessage(res.body, "状态更新失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const task = res.body.data.task;
+  console.log(`✓ ${action === "done" ? "已完成" : "已重开"}：${task.title}（状态变更已入记录流，记录 ${task.recordCount} 条）`);
+  return 0;
+}
+async function collabTaskSummary(id) {
+  if (!id) {
+    console.error('用法：crab collab task summary <id> (--text "..." | --text-file <path> | --clear) [--json]');
+    return EXIT_USAGE;
+  }
+  const text = readFlag("--text");
+  const textFile = readFlag("--text-file");
+  const clear = hasFlag("--clear");
+  const sources = [text !== undefined, textFile !== undefined, clear].filter(Boolean).length;
+  if (sources === 0) {
+    console.error('需要 --text "..."（新摘要）、--text-file <path> 或 --clear（清空）之一。');
+    return EXIT_USAGE;
+  }
+  if (sources > 1) {
+    console.error("--text / --text-file / --clear 三选一。");
+    return EXIT_USAGE;
+  }
+  let summary = text ?? "";
+  if (textFile) {
+    try {
+      summary = readFileSync2(textFile, "utf8");
+    } catch {
+      console.error(`读取摘要文件失败：${textFile}`);
+      return EXIT_USAGE;
+    }
+  }
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const res = await api2(credentials.apiBase, `/v1/collab/tasks/${encodeURIComponent(id)}/summary`, {
+    method: "PUT",
+    headers: authHeaders(credentials),
+    body: JSON.stringify({ summary })
+  });
+  if (res.status !== 200) {
+    console.error(errorMessage(res.body, "摘要更新失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const task = res.body.data.task;
+  if (hasFlag("--json")) {
+    console.log(JSON.stringify(task, null, 2));
+    return 0;
+  }
+  console.log(task.summary ? `✓ 摘要已更新：${task.title}` : `✓ 摘要已清空：${task.title}`);
+  if (task.summary)
+    console.log(`  ${task.summary.length > 200 ? `${task.summary.slice(0, 200)}…` : task.summary}`);
+  return 0;
+}
+async function collabMembersList() {
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const space = await resolveCollabSpace(credentials, readFlag("--space"));
+  if (typeof space === "number")
+    return space;
+  const res = await api2(credentials.apiBase, `/v1/collab/spaces/${encodeURIComponent(space.id)}/members`, {
+    headers: authHeaders(credentials)
+  });
+  if (res.status !== 200) {
+    console.error(errorMessage(res.body, "获取成员失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const members = res.body.data.members;
+  if (hasFlag("--json")) {
+    console.log(JSON.stringify(members, null, 2));
+    return 0;
+  }
+  console.log(`空间：${collabSpaceToken(space)}`);
+  for (const member of members) {
+    console.log(`${member.username}  ${member.displayName ?? ""}  [${member.role === "owner" ? "创建者" : "成员"}]  加入 ${formatTime(member.joinedAt)}`);
+  }
+  return 0;
+}
+async function collabInvite(username) {
+  if (!username) {
+    console.error("用法：crab collab invite <username> [--space <arg>] [--json]");
+    return EXIT_USAGE;
+  }
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const space = await resolveCollabSpace(credentials, readFlag("--space"));
+  if (typeof space === "number")
+    return space;
+  const res = await api2(credentials.apiBase, `/v1/collab/spaces/${encodeURIComponent(space.id)}/members`, {
+    method: "POST",
+    headers: authHeaders(credentials),
+    body: JSON.stringify({ username })
+  });
+  if (res.status !== 200 && res.status !== 201) {
+    console.error(errorMessage(res.body, "邀请失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  if (hasFlag("--json")) {
+    console.log(JSON.stringify({ ok: true, spaceId: space.id, username }, null, 2));
+    return 0;
+  }
+  console.log(`✓ 已邀请 ${username} 加入 ${collabSpaceToken(space)}。`);
+  return 0;
+}
+async function collabActivity() {
+  const credentials = requireCredentials();
+  if (typeof credentials === "number")
+    return credentials;
+  const res = await api2(credentials.apiBase, "/v1/collab/agent-activity", { headers: authHeaders(credentials) });
+  if (res.status !== 200) {
+    console.error(errorMessage(res.body, "获取协作活动失败。"));
+    return exitCodeForApiError(res.body);
+  }
+  const activity = res.body.data.activity;
+  if (hasFlag("--json")) {
+    console.log(JSON.stringify(activity, null, 2));
+    return 0;
+  }
+  if (activity.length === 0) {
+    console.log("还没有协作活动事件。");
+    return 0;
+  }
+  for (const entry of activity) {
+    console.log(`${formatTime(entry.createdAt)}  ${entry.action.padEnd(15)}  ${entry.actorType === "agent" ? "agent" : "user "}  ${entry.actorLabel ?? "—"}${entry.taskId ? `  任务 ${entry.taskId}` : ""}`);
+  }
+  return 0;
+}
 async function init() {
   if (loadCredentials()) {
     console.log("已登录（crab whoami 查看身份）。");
@@ -8021,7 +8819,11 @@ switch (command) {
     if (sub === "categories")
       process.exit(await storageCategories());
     if (sub === "mkcat")
-      process.exit(await storageMkCat(args.slice(2).join(" ") || undefined));
+      process.exit(await storageMkCat(args.slice(2)));
+    if (sub === "rencat")
+      process.exit(await storageRenCat(args[2], args.slice(3)));
+    if (sub === "rmcat")
+      process.exit(await storageRmCat(args[2]));
     if (sub === "tags")
       process.exit(await storageTags());
     if (sub === "share")
@@ -8030,8 +8832,10 @@ switch (command) {
       process.exit(await storageShares(args[2]));
     if (sub === "unshare")
       process.exit(await storageUnshare(args[2]));
+    if (sub === "key")
+      process.exit(await storageKeyCmd());
     console.error(sub ? `未知子命令：storage ${sub}
-` : `缺少子命令：storage ls | upload | download | rename | tag | category | publish | unpublish | rm | restore | purge | quota | categories | mkcat | tags | share | shares | unshare
+` : `缺少子命令：storage ls | upload | download | rename | tag | category | publish | unpublish | rm | restore | purge | quota | categories | mkcat | rencat | rmcat | tags | share | shares | unshare | key
 `);
     console.log(usage);
     process.exit(EXIT_USAGE);
@@ -8049,6 +8853,45 @@ switch (command) {
     console.log(usage);
     process.exit(EXIT_USAGE);
   }
+  case "collab": {
+    const sub = args[1];
+    if (sub === "spaces")
+      process.exit(await collabSpacesList());
+    if (sub === "space") {
+      if (args[2] === "create")
+        process.exit(await collabSpaceCreate(args.slice(3).find((x) => !x.startsWith("--"))));
+      console.error(`用法：crab collab space create <名称> [--allocation-mb <兆字节>] [--json]
+`);
+      process.exit(EXIT_USAGE);
+    }
+    if (sub === "tasks")
+      process.exit(await collabTasksList());
+    if (sub === "task") {
+      const op = args[2];
+      if (op === "create")
+        process.exit(await collabTaskCreate());
+      if (op === "records")
+        process.exit(await collabTaskRecords(args[3]));
+      if (op === "done" || op === "reopen")
+        process.exit(await collabTaskStatus(op, args[3]));
+      if (op === "summary")
+        process.exit(await collabTaskSummary(args[3]));
+      process.exit(await collabTaskDetail(op));
+    }
+    if (sub === "members")
+      process.exit(await collabMembersList());
+    if (sub === "invite")
+      process.exit(await collabInvite(args[2]));
+    if (sub === "activity")
+      process.exit(await collabActivity());
+    console.error(sub ? `未知子命令：collab ${sub}
+` : `缺少子命令：collab spaces | space create | tasks | task | members | invite | activity
+`);
+    console.log(usage);
+    process.exit(EXIT_USAGE);
+  }
+  case "post":
+    process.exit(await collabPushRecord(args[1]));
   case "logout":
     process.exit(await logout());
   case "version":

package/dist/skills/crabcloud-collab/SKILL.md

@@ -0,0 +1,95 @@
+---
+name: crabcloud-collab
+description: Work in the user's Crab Cloud collaboration spaces (协作空间) through the `crab` CLI — list spaces and members, create and complete tasks, push immutable execution records (Markdown + attachments/links), maintain the mutable task summary, and invite linked contacts. Use this skill when the user asks to create/update/check collaboration tasks or spaces on Crab Cloud ("建个任务", "协作空间里有什么", "把这个进度推送到任务", "邀请他进空间", "crab collab"), or wants an agent to record work progress into a task — even if they never say "crab" or "Crab Cloud" explicitly.
+---
+
+# Crab Cloud 协作（crab collab）
+
+协作是用户的任务协作应用：容器是协作空间（默认个人空间注册即有 + 独立付费
+空间），原子单位是任务。任务 = 不可改的执行记录流（GitHub issue 式：什么节点
+做了什么，人机同写），另有一个可随时覆盖的「摘要」字段表达当前态概览。本
+skill 覆盖协作域的 agent 通道；账号/令牌管理见 `crabcloud` skill，邮箱见
+`crabcloud-mail`，云盘见 `crabcloud-storage`。
+
+## 第一步：确认可用
+
+- 运行 `crab --version` 确认已安装。命令不存在时让用户运行
+  `npx @crabcloud/cli init`（登录 + 安装本 skill 一步完成）；已装过但命令缺失
+  时运行 `npx @crabcloud/cli@latest init` 升级。
+- CLI 基于 npx 分发，**本机没有 `crab` 命令时，下文所有 `crab <命令>` 都可以
+  `npx @crabcloud/cli <命令>` 等价执行**（例如 `npx @crabcloud/cli collab tasks`）。
+- 未登录（退出码 3）引导用户 `crab login`。
+- **协作命令需要空间绑定**：授权时必须带 `--space`（`default` = 默认空间，
+  `space:<名称>` = 按名唯一命中）。含 collab scope 但没带 `--space` 会直接报
+  用法错误（退出码 2）。正确示例：
+  `crab login --scopes collab --space default`
+- 动作需要对应 scope：读（spaces/tasks/records/members）`collab.read`，写
+  （建任务/推送/完成/摘要/邀请）`collab.write`——一般整组授权 `--scopes collab`。
+- 退出码 4 有两种协作专属情形，处置都是重新授权：
+  - `collab_space_not_bound`：令牌没绑空间——按上面带 `--space` 重新 `crab login`；
+  - `collab_space_mismatch`：令牌绑的是别的空间——换绑到目标空间（`--space`
+    指对）重新授权。**不要**反复重试同一令牌。
+- 推送记录免费（不消耗积分）；建独立空间（5 积分）与扩容才计费，见「纪律」。
+
+## 空间怎么指（--space）
+
+所有落到一个空间的命令都接受 `--space <arg>`，`<arg>` 三种形态：
+
+1. `default` —— 用户的默认个人协作空间（注册即有）；
+2. `space:<名称>` —— 按名称唯一命中（active 空间）；
+3. 空间 id —— `crab collab spaces` 查到的 id。
+
+**缺省 `--space` 时**：只在一个空间则自动采用；多个则 CLI 列出候选并要求显式
+指定——不要瞎猜，先 `crab collab spaces` 看一眼再带上正确的 `--space`。
+
+## 意图 → 命令映射
+
+| 用户意图 | 命令 |
+|---|---|
+| 有哪些协作空间 | `crab collab spaces`（任务/成员计数、限额、独立空间名额） |
+| 建独立协作空间 | `crab collab space create <名称> [--allocation-mb 500]`（**消耗 5 积分**，见纪律） |
+| 空间里有什么任务 | `crab collab tasks [--space <arg>]`（倒序，含摘要/记录数；`--status open\|done`、`--q 关键字` 搜标题与记录正文） |
+| 任务详情 | `crab collab task <id>`（状态/摘要/记录数） |
+| 建任务 | `crab collab task create --space <arg> --title "..." --body "首条记录(Markdown)"`（也可 `--body-file <路径>`；附件 `--attach <fileId,...>`、链接 `--link <url,...>`） |
+| 读任务的来龙去脉 | `crab collab task records <id>`（倒序记录流，Markdown 源文；`--cursor` 翻更早） |
+| 推送工作记录 | `crab post <taskId> --body "做了什么(Markdown)"`（糖命令，等价 records 写入；免费） |
+| 任务做完了 | `crab collab task done <id>`（入流一条状态变更）；反悔 `crab collab task reopen <id>` |
+| 维护任务摘要 | `crab collab task summary <id> --text "当前态概览"`（可随时覆盖；`--clear` 清空；不入记录流） |
+| 谁在空间里 | `crab collab members [--space <arg>]` |
+| 邀人进空间 | `crab collab invite <username> [--space <arg>]`（**只能邀联系人中已关联的平台用户**，见纪律） |
+| 看协作活动 | `crab collab activity`（Agent 推送/读取、任务创建、摘要更新事件） |
+
+任务 id 从 `crab collab tasks` 拿；`crab post` 的 `<taskId>` 同源。
+
+## 机器可读输出
+
+程序化消费**始终加 `--json`**：
+
+- `collab spaces --json` → `{ spaces: [...], independentLimit, independentUsed }`，
+  条目含 `id / kind / name / status / taskCount / memberCount / limits`；
+- `collab tasks --json` → `{ tasks: [...], nextCursor }`，条目含
+  `id / title / status / summary / recordCount / latestRecordAt`（游标分页）；
+- `collab task records --json` → `{ records: [...], nextCursor }`，条目含
+  `id / kind / body / authorName / via / refs / createdAt`；
+- `post --json` → `{ recordId, via?: { token, eventId } }`（via.eventId 即该条
+  记录 id，可确定性回查）；
+- `collab task <id> --json` / `collab members --json` / `collab activity --json`
+  同构。
+
+## 纪律
+
+- **记录流不可改**：推上去就是历史，没有编辑/删除——推送前把内容写对；写错了
+  补一条更正记录，不要试图「撤回」。
+- **摘要是可变当前态**：表达「现在进展到哪」，不是流水账；每次推送记录后若
+  摘要已过时，顺手 `crab collab task summary` 刷新，让不看全程的人一眼看懂。
+- **建独立空间是付费动作（5 积分）**：先向用户复述名称与自分配存储（默认
+  500MB，占订阅总池），确认后再执行；`collab space create` 不要当作顺手操作。
+- **邀请有前置**：目标必须是联系人簿里已关联的平台用户（`crab contacts add`
+  站内地址自动关联）；报「只能邀请联系人中已关联的平台用户」时，先引导建联
+  系人，不要换名字硬试。
+- **附件引用不复制**：`--attach` 的 fileId 是云盘/空间已有文件的引用（≤10 个），
+  只能引用空间成员的云盘文件或本空间直传文件；跨空间文件会被 403 拒绝。
+- 单任务记录流上限 500 条（状态变更也占位）：任务粒度别太粗，做完就 `done`，
+  新工作开新任务。
+- 读记录流对 Agent 是一等审计事件（thread.read 入活动流）——正常读即可，但
+  不要在循环里无意义地反复拉全量记录。

package/dist/skills/crabcloud-storage/SKILL.md

@@ -1,14 +1,15 @@
 ---
 name: crabcloud-storage
-description: Manage the user's Crab Cloud Drive (云盘 — unified storage for drive uploads, media assets and mail attachments on one quota) through the `crab` CLI — list and filter objects, upload and download files, rename, tag, categorize, publish/unpublish public links, trash/restore/purge, and check the storage quota. Use this skill when the user asks to upload, find, organize, share or clean up files on Crab Cloud ("上传这个文件", "云盘里有什么", "把这个文件公开分享", "看看存储用了多少", "crab storage"), or wants files moved in or out of their drive — even if they never say "crab" or "Crab Cloud" explicitly.
+description: Manage the user's Crab Cloud Drive (云盘 — unified storage for drive uploads, media assets and mail attachments on one quota, with end-to-end encryption) through the `crab` CLI — list and filter objects, upload and download files (including decrypting share links), rename, tag, categorize, publish/unpublish public links, create expiring share links with passcodes, manage the locally remembered encryption key, trash/restore/purge, and check the storage quota. Use this skill when the user asks to upload, find, organize, share or clean up files on Crab Cloud ("上传这个文件", "云盘里有什么", "把这个文件公开分享", "看看存储用了多少", "crab storage"), or wants files moved in or out of their drive — even if they never say "crab" or "Crab Cloud" explicitly.
 ---
 
 # Crab Cloud 云盘（crab storage）
 
 云盘是用户的统一存储：云盘上传 / 素材库 / 邮件附件三来源共用一本 2 GB 容量账；
-属性优先、位置无关——分类（至多一个）+ 标签（AND 检索）代替文件夹。本 skill
-覆盖云盘域的 agent 通道；账号/令牌管理见 `crabcloud` skill，邮箱见
-`crabcloud-mail` skill。
+属性优先、位置无关——分类（至多一个）+ 标签（AND 检索）代替文件夹。files 域
+上传默认端到端加密（服务器只有包裹态密钥，明文密钥只在本机）。本 skill 覆盖
+云盘域的 agent 通道；账号/令牌管理见 `crabcloud` skill，邮箱见 `crabcloud-mail`
+skill。
 
 ## 第一步：确认可用
 
@@ -29,22 +30,27 @@ description: Manage the user's Crab Cloud Drive (云盘 — unified storage for
 
 | 用户意图 | 命令 |
 |---|---|
-| 云盘里有什么 | `crab storage ls`（按时间倒序，默认 30 条） |
-| 找文件 | `crab storage ls --q 关键字`（文件名匹配；可叠 `--source files\|media\|mail`、`--type doc\|image\|video\|archive\|code`、`--tag a,b`、`--shared`、`--recent`） |
+| 云盘里有什么 | `crab storage ls`（按时间倒序，默认 30 条；`--limit` / `--offset` 翻页） |
+| 找文件 | `crab storage ls --q 关键字`（文件名匹配；可叠 `--source files\|media\|mail`、`--type doc\|image\|video\|archive\|code`、`--category 分类id\|none`、`--tag a,b`、`--shared`、`--recent`、`--message-id <id>`） |
 | 看回收站 | `crab storage ls --trash` |
-| 上传文件 | `crab storage upload <路径...>`（多文件串行；直传优先，自动回退中转） |
-| 下载文件 | `crab storage download <id\|文件名> [-o 输出路径]`（默认按原文件名存当前目录） |
+| 上传文件 | `crab storage upload <路径...>`（多文件串行；直传优先，自动回退中转；默认端到端加密——口令三来源见下节，首次使用自动初始化并打印一次性恢复码） |
+| 下载文件 | `crab storage download <id\|文件名\|分享链接> [-o 输出路径] [--passcode 提取码]`（默认按原文件名存当前目录；**凭完整分享链接可免登录下载并本地解密**——`#` 后是密钥片段，这是 agent→agent 的主通道；带提取码的分享加 `--passcode`） |
 | 改名 | `crab storage rename <id\|文件名> <新名称>` |
 | 加/删标签 | `crab storage tag <id\|文件名> --add a,b [--remove c,d]` |
-| 归类 / 建分类 | `crab storage category <id\|文件名> <categoryId\|none>`；`crab storage mkcat <名称>`；分类 id 见 `crab storage categories` |
+| 归类 | `crab storage category <id\|文件名> <分类id\|分类名\|none>`（分类名唯一命中即解析） |
+| 建分类 | `crab storage mkcat <名称> [--color 色]` |
+| 改分类名/颜色 | `crab storage rencat <id\|分类名> <新名称> [--color 色]` |
+| 删分类 | `crab storage rmcat <id\|分类名>`（分类下文件回落未分类，不删文件） |
 | 公开分享 | `crab storage publish <id\|文件名>`（打印公开直链；收回用 `unpublish`） |
 | 可控分享（有效期/提取码/撤销） | `crab storage share <id\|文件名> [--expires 7\|30\|90\|forever] [--passcode 提取码]`（打印完整分享链接；加密对象链接自带 `#` 密钥片段）；列表 `crab storage shares <id\|文件名>`、撤销 `crab storage unshare <shareId>` |
+| 云盘钥匙管理 | `crab storage key`（查状态）/ `--remember`（解锁一次并记住，之后免口令）/ `--forget`（清除）——见下节 |
 | 删除 | `crab storage rm <id\|文件名>`（进回收站，7 天后自动清理）→ `restore` 恢复 / `purge` 彻底删除 |
 | 看水位 | `crab storage quota`（三来源分项 + 回收站占用 + 对象计数） |
 
 `<id|文件名>`：文件名全库精确唯一命中时自动解析为 id（回收站内同样可解析，
 restore/purge 直接用文件名即可）；命中多个或查不到时按字面当 id 用——拿不准
-先 `crab storage ls --q <关键字>` 核对再操作。
+先 `crab storage ls --q <关键字>` 核对再操作。分类指认同款：id 精确命中优先，
+名称唯一命中其次（`rencat` / `rmcat` / `--category` 都吃 `<id|分类名>`）。
 
 ## 机器可读输出
 
@@ -53,7 +59,26 @@ restore/purge 直接用文件名即可）；命中多个或查不到时按字面
 - `storage ls --json` → `{ objects: [...], nextOffset, total }`，条目含
   `id / source / filename / mimeType / sizeBytes / categoryId / tags / isPublic / createdAt`；
 - `storage quota --json` → `{ usedBytes, quotaBytes, bySource: { files, media, mail }, trashBytes, counts }`；
-- `upload` / `categories` / `tags` 的 `--json` 同构（单对象 / 分类数组 / 标签数组）。
+- `upload` / `categories` / `tags` / `shares` 的 `--json` 同构（单对象 / 分类数组 /
+  标签数组 / 分享数组）。
+
+## 云盘口令与本机钥匙
+
+files 域是端到端加密：服务器只有口令包裹态的主密钥，**明文密钥只存在于用户
+本机**——CLI 不可能也不允许向服务器索取。涉及加密对象的命令（upload /
+download / share 加密文件）需要云盘口令，来源优先级：
+
+1. `--passphrase <口令>`（flag）
+2. 环境变量 `CRAB_PASSPHRASE`（**Agent/脚本推荐**——非交互终端不会弹提问，
+   缺失时明确报错）
+3. 交互终端（TTY）隐藏输入提问（人不经管道跑 CLI 时的默认体验）
+
+本机钥匙（`crab storage key`）：口令解锁成功后可把**主密钥**（非口令）记住到
+本机 `~/.config/crabcloud/drive-key-<账号id>.json`（0600，按账号+环境隔离），
+之后所有命令免口令——等同 Web 端「记住此设备」。`--remember` 主动记住、
+`--forget` 清除、默认查状态；Web 端轮换口令/恢复码后本机钥匙自动验签失效并
+回落口令，无需手工干预。Agent 视角：**用户没让你动钥匙设置时不要主动调
+`storage key`**；用户口令遗忘是恢复码流程（Web 端），CLI 侧无法代找回。
 
 ## 纪律
 
@@ -61,7 +86,11 @@ restore/purge 直接用文件名即可）；命中多个或查不到时按字面
   确认后再执行；收回用 `unpublish`（已缓存浏览器至多 5 分钟内失效）。
 - **share 是可控分享**：默认 7 天有效、可选提取码、随时 `unshare` 撤销；加密
   对象的分享链接自带解密钥匙（`#` 后缀）——泄露链接即泄露文件，外发前向
-  用户复述有效期与提取码设置，确认后再执行。
+  用户复述有效期与提取码设置，确认后再执行。收件人在浏览器打开加密分享链接
+  会看到内联解密落地页（图片/视频/音频/PDF/文本直接预览，其余类型仅下载）。
+- **提取码错误重试有服务端限流**：同一链接+来源 IP 错误次数超限返回 429
+  （退出码 1，消息「尝试过于频繁」）——**不要程序化暴力重试**，如实转述用户
+  等待即可；凭链接下载时提取码用 `--passcode` 正确携带。
 - **purge 是彻底删除**，不可恢复；用户没明说「彻底删除」时一律用 `rm`
   （回收站保留 7 天可找回）。
 - 邮件附件与用户上传同账：水位告急时用 `quota` 分项定位来源再建议清理。

package/package.json

@@ -1,8 +1,8 @@
 {
   "name": "@crabcloud/cli",
-  "version": "0.1.10",
+  "version": "0.2.1",
   "type": "module",
-  "description": "Crab Cloud CLI (crab) \u2014 agent-first entry to your personal cloud, with skills bundled for Claude Code / Codex / ZCode.",
+  "description": "Crab Cloud CLI (crab) — agent-first entry to your personal cloud, with skills bundled for Claude Code / Codex / ZCode.",
   "bin": {
     "crab": "dist/crab.js"
   },