@csntgao/uni-base 0.1.3 → 0.1.4

package//344/272/244/346/216/245/346/226/207/346/241/243.md

@@ -1,215 +1,275 @@
-# Uni-Base 项目交接说明
+# Uni-Base → Claude 交接文档
 
-## 1. 当前仓库状态
+> 更新时间：2026-09-02（Asia/Shanghai）
+>
+> 仓库：`/Users/gaostudio/uni-base`
+>
+> 分支：`main`
+>
+> 交接基线提交：`7d2f9bb docs(docs): 修正失效的原型与接口说明文档路径`
 
-- 仓库：`/Users/gaostudio/uni-base`
-- 分支：`main`
-- 交接时分支：`main`，客服、通知中心、发布说明等提交已通过完整验证并随本次交接推送。
-- 根目录历次 `pnpm pack` 生成的 `.tgz` 是本地发布产物，已由 `.gitignore` 忽略；不要提交或覆盖调用方正在使用的包。
-- 当前版本：
-  - Core：`@uniplat/ai-employee-client@0.12.0`
-  - Web Components：`@uniplat/ai-employee-web-components@0.19.0`
-  - 本地 runtime manifest：`0.19.0`
-- `https://10.10.10.131:8787` 在本次交接时已启动，`current.json` 与 `releases/0.19.0/index.js` 可匿名读取。
-- npm registry 是 `https://registry.npmmirror.com`，当前机器未登录，npm 发布受认证条件阻塞。
+## 1. Claude 接手后的第一步
 
-下一位 Agent 开始前必须完整阅读仓库根目录的 `AGENTS.md`，它替代所有旧版规则。
+先完整阅读根目录 `AGENTS.md`。它是本仓库当前唯一权威的 Agent 工作规则；本文件只记录状态快照、近期变更和接手顺序，若两者冲突，以 `AGENTS.md` 为准。
 
-## 2. 当前公开 Web Components
+开始工作前执行：
+
+```bash
+cd /Users/gaostudio/uni-base
+git status --short --branch
+git log -5 --oneline --decorate
+```
+
+交接文档更新前的 Git 状态为：
+
+```text
+main 领先 origin/main 4 个提交（未推送）
+工作树无代码改动
+HEAD = 7d2f9bb
+```
+
+不要清理、覆盖或提交根目录已有的 `.tgz`。它们是历史及当前本地发布产物，已由 `.gitignore` 忽略。
+
+## 2. 项目和包
+
+`uni-base` 是 TypeScript 浏览器 SDK workspace，提供原生 HTML、Vue、Nuxt 等 Host 可使用的 Uniplat 数字员工与账户能力。
+
+当前包：
+
+| 位置                      | npm 名称                               | 当前本地版本 | 说明                                    |
+| ------------------------- | -------------------------------------- | -----------: | --------------------------------------- |
+| 根目录                    | `@csntgao/uni-base`                    |      `0.1.4` | 当前公开发布入口；npmjs 尚未发布此版本  |
+| `packages/core`           | `@uniplat/ai-employee-client`          |     `0.14.0` | UI 无关的 HTTP/WebSocket/Core 状态机    |
+| `packages/web-components` | `@uniplat/ai-employee-web-components`  |     `0.24.0` | Lit Web Components 与独立浏览器 runtime |
+| `examples/vanilla`        | `@uniplat/ai-employee-vanilla-example` |     私有示例 | 必须消费 workspace 包的构建产物         |
+
+注意：根包改名为 `@csntgao/uni-base` 不代表两个 workspace 包、已有 Web Component 标签或公开类型可以随之改名。`@uniplat/*` 名称和 `uniplat-*` 标签仍是公开契约。
+
+## 3. 当前公开 Web Components
 
 ```html
 <uniplat-ai-employee-chat></uniplat-ai-employee-chat>
 <uniplat-customer-support-chat></uniplat-customer-support-chat>
 <uniplat-user-login></uniplat-user-login>
 <uniplat-organization-selector></uniplat-organization-selector>
+<uniplat-organization-multi-employee-selector></uniplat-organization-multi-employee-selector>
+<uniplat-organization-single-employee-selector></uniplat-organization-single-employee-selector>
 <uniplat-account-context></uniplat-account-context>
 <uniplat-user-menu></uniplat-user-menu>
 <uniplat-notification-center></uniplat-notification-center>
+<uniplat-notification-popover></uniplat-notification-popover>
 ```
 
-以下标签不再公开或注册：
+不要注册或公开：
 
 ```html
 <uniplat-application-switcher></uniplat-application-switcher>
 <uniplat-organization-onboarding></uniplat-organization-onboarding>
 ```
 
-工作台应用面板和组织入驻流程均内置于 `<uniplat-account-context>`。
+应用工作台与组织入驻是 `<uniplat-account-context>` 的内部能力。
 
-## 3. 数字员工聊天
+## 4. 近期完成的改动
 
-`<uniplat-ai-employee-chat>` 渲染完整右侧抽屉，Host 只负责 `configure()` 和 `open()`，不能再在外部拼装标题、消息区或输入区。
+### 4.0 多归属组织选择改为 S.0 / S.1
 
-关键规则：
+最新提交：
 
-- 支持登录用户和匿名用户。
-- WebSocket 使用 `/api/user-realtime/ws` 的 `ai_employee` channel。
-- 同一连接只订阅当前 AI 会话，切换会话时取消旧订阅。
-- 打开抽屉或点击新对话只建立本地草稿。
-- 首条消息通过 `createSessionWithFirstMessage()` 原子创建会话。
-- 不允许先创建空 Session 再发送首条消息。
-- 当前会话始终视为已读，不显示角标，也不计入总未读。
-- “转人工”直接在同一抽屉切换到 `<uniplat-customer-support-chat>`。
+```text
+67d8d83 feat(web-components): 按 S.0/S.1 设计重做多归属组织选择
+```
 
-## 4. 人工客服组件
+`<uniplat-organization-selector>` 现在覆盖 40.1 原型 S.1 默认态：脱敏账户摘要、名称与统一社会
+信用代码搜索、全部/企业/团队筛选、「最近进入 / 全部组织」分组、`+ 创建 / 加入`、`退出登录` 与
+带目标名称的主按钮。
 
-主要实现：
+新增两个公开点：
 
-- `packages/core/src/customer-support-client.ts`
-- `packages/web-components/src/customer-support-chat.ts`
-- `packages/web-components/src/customer-support-transport.ts`
+```ts
+configure({ presentation: 'inline' | 'modal', displayName, maskedMobile, ... })
+resolveOrganizationEntryDecision({ organizations, rememberedOrganizationId })
+```
 
-配置方式：
+`presentation` 默认 `inline`（原卡片形态，遮罩归 Host）；`modal` 为强制态，组件自渲染固定遮罩、
+无关闭按钮，遮罩点击与 `Escape` 都不关闭，`Escape` 也不冒泡到 Host。`resolveOrganizationEntryDecision()`
+是纯函数，返回 `personal | auto-enter | prompt`，不读写宿主存储。
 
-```ts
-customerSupportChat.configure({
-  realtimeUrl,
-  transport,
-  sessionId,
-})
+主要文件：
 
-customerSupportChat.open()
+```text
+packages/web-components/src/organization-selector.ts
+packages/web-components/tests/organization-selector.test.ts
+packages/web-components/scripts/verify-runtime-build.mjs
+examples/vanilla/main.js
 ```
 
-### 4.1 实时连接规则
+官网需要配合的改动（删除自有遮罩与关闭按钮、按 helper 路由、持久化记住偏好）以及 UniplatBase
+组织条目 `credit_code` 的可选扩展，记录在
+`/Users/gaostudio/.vibe-requirements/UniBase_QQXBWebsite_多归属组织选择S0S1接入需求_v0_1.md`。
+未扩展该字段前，搜索只按组织名称匹配。
 
-人工客服使用同一个 `/api/user-realtime/ws`，但申请：
+### 4.1 企业员工头像回退
 
-```json
-{
-  "requested_channels": ["customer_support"]
-}
-```
-
-服务端按当前认证身份推送该用户所有客服会话的事件，而不是只推送当前会话。
-
-最新完成的处理逻辑：
-
-- 任意客服会话事件都会重新请求会话列表。
-- 其他会话产生消息：
-  - 更新会话标题、最后消息、状态和未读数。
-  - 不刷新当前聊天历史。
-  - 更新顶部聚合红点及会话列表红点。
-- 当前会话产生消息：
-  - 刷新会话列表。
-  - 刷新当前历史消息。
-  - 自动同步已读。
-- `support_read_state_changed`：
-  - 只刷新会话列表和未读投影。
-  - 不刷新历史。
-  - 不再次触发已读写入，避免反馈循环。
-- 当前正在查看的会话：
-  - 不显示未读红点。
-  - 不计入顶部聚合未读数量。
+最新提交：
+
+```text
+df54bcc fix(account-context): 回退使用个人头像
+```
+
+当前规则：
+
+1. 当前组织存在员工头像时使用员工头像；
+2. 员工有企业内姓名、但没有企业内头像时，使用用户个人头像；
+3. 个人头像也没有或图片加载失败时，才显示姓名首字占位。
+
+主要文件：
+
+```text
+packages/web-components/src/account-context.ts
+packages/web-components/tests/account-context.test.ts
+```
+
+测试覆盖账户胶囊及展开后的 User Menu，不能只修其中一处。
+
+### 4.2 登录页当前开关和链接
 
 相关提交：
 
 ```text
-2b5d5b9 fix(customer-support): 实时刷新全部客服会话与未读提示
-b65dcb9 fix(customer-support): 阻断客服已读事件反馈环并实现游标幂等
+9aea56c fix(user-login): 设置默认协议链接
+5813128 feat(user-login): 暂时隐藏扫码登录
+f5464a1 fix(user-login): 居中安全提示锁图标
+```
+
+当前扫码登录由以下常量暂时关闭：
+
+```ts
+export const USER_LOGIN_QR_LOGIN_ENABLED = false
+```
+
+位置：`packages/web-components/src/user-login.ts`。关闭时扫码页签不渲染；扫码 transport、状态机和跳过条件测试仍保留，恢复功能应只切换此常量并重新跑完整流程。
+
+默认协议链接：
+
+```text
+用户服务协议：https://website.hrs100.com/agreement/user-service-agreement.html
+隐私政策：https://website.hrs100.com/agreement/qqxb-user-privacy.html
 ```
 
-### 4.2 客服 UI 状态
+Host 显式传入 `userAgreementUrl` 或 `privacyAgreementUrl` 时仍可覆盖默认值。
 
-标题：`企业客服人工顾问`
+### 4.3 登录后账户信息刷新注意事项
 
-状态由“会话状态 + 实时连接状态”组合：
+`<uniplat-user-login>` 与 `<uniplat-account-context>` 是解耦组件。登录 transport 会先等待 Host 的 `setAccessToken()` 完成，再派发不含 JWT 的 `login-success`；但 Account Context 不监听该事件，也不会监听 localStorage 变化。
 
-- 尚无会话、连接正常：`客服通道已连接`
-- 尚无会话、连接中：`正在连接客服通道`
-- `waiting`：`等待客服接入`
-- `active` 且实时正常：`人工客服在线`
-- `active` 但实时断开：`正在恢复实时连接`
-- `closed`：`会话已结束`
+如果 Account Context 在未登录时已经连接并加载失败，Host 必须在登录成功后主动刷新或重新挂载：
+
+```js
+userLogin.addEventListener('login-success', async () => {
+  closeLoginModal()
+  await document.querySelector('uniplat-account-context')?.refresh()
+})
+```
+
+账户投影会并行请求：
+
+```text
+application.identity/list_available_applications
+application.identity/list_available_organizations
+```
 
-提交 `cca4db1` 修复了连接恢复后仍残留“鉴权服务暂不可用”横幅的问题：连接状态恢复为 `connected` 时清空可恢复错误提示。
+第二个请求体必须包含准确的应用名，例如：
 
-## 5. 通知中心组件
+```json
+{ "application_name": "OfficialWebsite" }
+```
 
-`<uniplat-notification-center>` 是通知收件箱 Web Component，提供分类目录、通知列表与详情、未读状态、全部已读、关联资源和附件下载。
+Open Application 的个人态允许 `xid/oid/eid/mid = 0`。无当前组织不是错误；服务端仍需返回满足契约的 `current_identity`、非空 `available_applications`、顶层用户资料和 `organizations` 数组。
 
-关键边界：
+Account Context 对外只派发净化后的 `LOAD_FAILED`，精确排错应看浏览器 Network 中上述两个请求的状态和安全错误码，禁止记录 Authorization header、JWT 或原始敏感响应。
 
-- 组件和 Core 不建立 WebSocket。
-- Host 复用自己的 `/api/user-realtime/ws`，订阅 `notification` channel，并通过 `applyRealtimeEvent(rawEvent)` 把事件交给组件。
-- 分类目录随 `listInbox({ includeTypeFacets: true })` 一并加载，不额外请求接口。
-- 分类显示名称来自后端 `notification_type_name`，SDK 不维护中文名映射。
-- 真实 HTTP transport 使用 `createUniplatBaseNotificationCenterTransport()`；JWT 只进入 transport 内部的 Authorization header。
-- 当前版本 Core `0.12.0`、Web Components `0.19.0` 已包含通知中心实现、测试与独立浏览器运行时。
+## 5. 核心架构边界
 
-## 6. 登录、账户和工作台
+这里只列最容易被误改的边界，完整约束见 `AGENTS.md`。
 
-### 6.1 User Login
+### 5.1 数字员工聊天
 
-必须严格复刻 40.1 原型：
+- `<uniplat-ai-employee-chat>` 自己渲染完整右侧抽屉；Host 只配置并调用 `open()`。
+- 打开抽屉或点击新对话只创建本地草稿，不创建后端空 Session。
+- 首条消息必须走 `createSessionWithFirstMessage()`，原子提交创建会话与首条消息。
+- 实时连接使用 `/api/user-realtime/ws` 的 `ai_employee` channel。
+- 当前会话始终视为已读；其他会话的实时消息仍累计未读。
+- Assistant 消息使用共享的安全 Markdown 渲染器；用户、系统和错误消息保持纯文本。
+- “转人工”释放数字员工连接，在同一抽屉切换客服组件。
 
-- 密码登录。
-- 短信验证码登录。
-- 扫码登录。
-- 不显示图形验证码。
-- 发送短信按钮始终可见，仅在手机号不完整或倒计时时禁用。
-- 登录结果先交给 Host `setAccessToken()`，再派发无凭据事件。
-- 登录设备信息包括稳定浏览器设备指纹，不得每次随机生成 `device_id`。
+### 5.2 人工客服
 
-### 6.2 Account Context
+- 使用同一个 realtime URL，但单独申请 `customer_support` channel。
+- 首条消息通过客服会话创建接口的 `initial_message` 原子提交。
+- 其他会话事件只刷新列表/未读投影；当前会话事件才刷新当前历史。
+- `support_read_state_changed` 不得再次触发已读写入，避免反馈环。
 
-`<uniplat-account-context>` 负责：
+### 5.3 通知中心与小浮层
 
-- 用户姓名、头像、脱敏手机号。
-- 当前组织和可选组织。
-- 企业认证状态。
-- 员工信息弹窗。
-- 创建企业/团队流程。
-- 内嵌工作台应用面板。
-- 应用 ticket 跳转。
+- Core 和两个通知组件都不建立 WebSocket。
+- Host 保留唯一实时连接，订阅 `notification` channel，再调用组件的 `applyRealtimeEvent(rawEvent)`。
+- Popover 固定加载最近 4 条未读，但总未读数必须调用 `getUnreadCount()`。
+- 空 `applicationName` 表示当前用户和组织下的全应用聚合；transport 必须省略 `application_name`。
+- 分类展示名来自后端 `notification_type_name`，SDK 不保存 code 到中文名映射。
 
-必须传入 `applicationName`。账户资料从 `list_available_organizations` 顶层读取：
+### 5.4 Account Context 和工作台
 
-- `display_name`
-- `avatar_url`
-- `mobile_masked`
+- 用户资料来自 `list_available_organizations` 顶层的 `display_name/avatar_url/mobile_masked`。
+- 不再请求 `profile_summary_v2`，也不让 Host 手工组装服务端账户投影。
+- 当前组织显示员工姓名和头像；缺少员工头像时按第 4.1 节回退。
+- 应用工作台只加载应用，不在面板里重复组织选择器。
+- 所有应用在新窗口打开；异步签发 ticket 时同步预开无凭据空白窗口。
+- Ticket 只进入目标 URL Fragment，不进入 DOM、状态、事件、日志或异常。
 
-不得再调用 `profile_summary_v2`。
+### 5.5 员工选择器
 
-工作台只请求应用列表，不请求组织列表；组织上下文由 Account Context 管理。
+- 多选与单选是两个独立公开组件，不暴露 `selectionMode`。
+- 只使用当前 JWT 所属组织；公开参数不能接收 `org_id/oid/xid/eid` 等身份字段。
+- 只展示在职且启用员工，接口失败不能用 Mock 或 Host 名单回退。
+- 单选确认只返回 `{ employeeId, employee }`，不接收多选数组或 `maxSelection`。
 
-应用跳转流程：
+## 6. 安全红线
 
-1. 先构造完整目标 URL。
-2. 使用当前 JWT 以 `POST {}` 调用 `issue_ticket`。
-3. 从签发响应取得 Ticket、15 秒有效期和权威 `source_system`。
-4. 新窗口打开目标页面。
-5. Ticket 放入 `#uniplat_identity_ticket=<ticket>&source_system=<source_system>`。
-6. 目标页先清除 Ticket Fragment，再以项目初始化的 `applicationName` 调用 `login_with_ticket`。
-7. JWT 交给目标 Host 的 `setAccessToken()`。
+- SDK 不读取、保存或刷新长期 JWT；Host 通过 `getAccessToken()`/`setAccessToken()` 管理。
+- JWT 只能短暂进入规定的 Authorization header、WebSocket authenticate 首帧或 Host token 保存回调。
+- JWT、ticket、challenge ID、密码、验证码不得进入 URL（ticket 规定的 Fragment 除外）、DOM、CustomEvent、日志、快照或构建配置。
+- 不要把真实 JWT 粘贴到终端命令、Issue、文档或聊天中；若发生泄露，应要求后端撤销对应会话并重新登录。
+- 不得在浏览器包中加入 HR-SaaS/Kanban HMAC 密钥或内部签名逻辑。
+- 后端文本只能通过稳定白名单错误码映射，不能直接透传 `msg`、堆栈或原始响应。
 
-## 7. 关联项目与资料
+## 7. 当前构建和验证状态
 
-跨项目工作前先读取：
+在 `67d8d83` 上最近一次完整检查结果：
 
 ```text
-/Users/gaostudio/.vibe-requirements/projects.md
+pnpm format:check   通过
+pnpm lint           通过
+pnpm typecheck      通过
+pnpm test           25 个测试文件通过；275 passed，2 skipped
+pnpm build          core、web-components、runtime、vanilla 全部通过
 ```
 
-主要关联项目：
+两个 SDK 已重新打包：
 
-- Kanban 后端：`/Users/gaostudio/ae_design/实现/uniplat-kanban/backend`
-- HR-SaaS：`/Users/gaostudio/ae_design/实现/hr_saas`
-- UniplatBase：`/Users/gaostudio/ae_design/实现/uniplat_base`
-- 官网：`/Users/gaostudio/qqxbwebsite`
-- Enterprise Admin：`/Users/gaostudio/ae_design/实现/ae-enterprise-admin`
+```text
+/Users/gaostudio/uni-base/uniplat-ai-employee-client-0.14.0.tgz
+/Users/gaostudio/uni-base/uniplat-ai-employee-web-components-0.24.0.tgz
+```
 
-40.1 总原型：
+根包本地产物：
 
 ```text
-/Users/gaostudio/qqxbwebsite/原型/40.1、注册登录与企业入驻流程-standalone.html
+/Users/gaostudio/uni-base/csntgao-uni-base-0.1.4.tgz
 ```
 
-跨项目只允许查阅。未经用户明确授权，不得直接修改其他项目；如需后端或 Host 配合，应在 `.vibe-requirements` 编写独立联合需求。
+这些 tarball 都是本地交付物，不应提交 Git。
 
-## 8. 验证与发布要求
-
-任何代码修改后必须执行：
+任何后续代码改动都必须重新执行：
 
 ```bash
 pnpm format:check
@@ -221,34 +281,114 @@ pnpm --filter @uniplat/ai-employee-client pack
 pnpm --filter @uniplat/ai-employee-web-components pack
 ```
 
-确认修法后直接完成：
+代码再次修改后，旧 runtime 与 tarball 立即过期。纯文档修改不需要版本递增、构建、打包或发布。
+
+## 8. 当前发布状态
+
+### 8.1 独立浏览器 runtime
+
+已发布并从远端验证：
+
+```text
+Manifest: https://10.10.10.131:8787/current.json
+Version:  0.24.0
+Module:   https://10.10.10.131:8787/releases/0.24.0/index.js
+SHA-256:  2cc1ba9ab48eb20e23cd1f95e68ca9d70413c602aa5f400828147020d4cc0341
+```
+
+最后验证结果：
+
+- `current.json`：HTTP 200、`Cache-Control: no-store`；
+- 版本模块：HTTP 200、CORS `*`、`immutable`；
+- 远端模块 hash 与本地一致；
+- `current.json` 指向 `./releases/0.24.0/index.js`。
+
+静态服务未启动时可执行：
+
+```bash
+node /Users/gaostudio/.uni-base-runtime/serve.mjs
+```
+
+该服务目录直接使用 `/Users/gaostudio/uni-base/dist/runtime`。证书和私钥在仓库外，禁止复制进仓库。
+
+### 8.2 npm
+
+当前 registry：
+
+```text
+https://registry.npmjs.org/
+```
+
+当前远端状态：
+
+```text
+@csntgao/uni-base 最新公开版本：0.1.3
+本地待发布版本：0.1.4
+npm whoami：E401 Unauthorized
+```
+
+因此 `@csntgao/uni-base@0.1.4` 尚未发布，不能声称 npm 发布成功。用户完成以下登录后再继续：
+
+```bash
+npm login --registry=https://registry.npmjs.org/
+npm whoami
+```
+
+登录成功后必须重新查询远端版本；确认 `0.1.4` 不存在，再从已提交且干净的工作树发布并回读：
+
+```bash
+npm view @csntgao/uni-base version
+npm publish --access public
+npm view @csntgao/uni-base@0.1.4 version
+```
+
+两个 `@uniplat/*` 包当前在 npmjs 不存在或对当前账号不可见。发布它们需要 `@uniplat` 组织管理员把账号 `csntgao` 加入组织，并授予创建、发布 public package 的权限；不要通过重命名内部包规避公开契约。
+
+## 9. 发布流程
+
+代码修改确认后，不要停在“建议修法”或本地测试阶段。按 `AGENTS.md` 完成：
 
 ```text
-实现 → 测试 → 构建 → 打包 → 版本递增 → 提交 → 发布
+实现 → 完整验证 → 重建 → 两个 SDK 重新打包 → 查询远端版本
+→ SemVer 递增 → 再验证/构建/打包 → 提交 → 推送 → 发布 → 远端回读
 ```
 
-不要在提出修法后停下来等待重复确认。
+Runtime 必须：
+
+1. 先生成 `dist/runtime/releases/<version>/`；
+2. 匿名读取并核对版本模块内容；
+3. 再原子切换 `current.json`；
+4. 从远端重新读取 manifest 和模块验证。
+
+npm 或静态目标缺凭据、权限、服务时，保留已验证产物，报告明确的一次性配置项；不能谎称发布成功。
 
-发布时：
+## 10. 关联资料和跨项目边界
 
-- 先发布并验证版本化 runtime 目录。
-- 再原子切换 `current.json`。
-- 发布后重新读取远端 manifest 和模块校验。
-- npm 未认证时明确报告外部阻塞，不得声称 npm 发布成功。
-- 不要提交根目录历史 tarball。
+跨项目排查前先读：
 
-## 9. 下一步建议
+```text
+/Users/gaostudio/.vibe-requirements/projects.md
+```
 
-下一位 Agent 应优先确认当前远端与发布状态：
+关联项目：
+
+```text
+Kanban 后端：     /Users/gaostudio/ae_design/实现/uniplat-kanban/backend
+HR-SaaS：         /Users/gaostudio/ae_design/实现/hr_saas
+UniplatBase：     /Users/gaostudio/ae_design/实现/uniplat_base
+官网 Host：       /Users/gaostudio/qqxbwebsite
+Enterprise Admin：/Users/gaostudio/ae_design/实现/ae-enterprise-admin
+40.1 原型：       /Users/gaostudio/ae_design/1-新平台底座搭建/1-亲亲企服平台（基础能力+企服客户端）/3-需求及UI设计/官网及企服客户端设计/40.1_注册登录与企业入驻流程.html
+```
 
-1. 核对 `main` 已推送到 `origin/main`。
-2. 运行完整验证，确认 Core `0.12.0`、Web Components `0.19.0`。
-3. 确认 HTTPS runtime 服务仍在运行；未运行时执行 `node /Users/gaostudio/.uni-base-runtime/serve.mjs`。
-4. 验证：
+默认只能查阅其他项目。未经用户明确授权，不得修改其他仓库；需要联合变更时，在 `.vibe-requirements` 写独立需求并说明责任边界。
 
-   ```text
-   https://10.10.10.131:8787/current.json
-   https://10.10.10.131:8787/releases/0.19.0/index.js
-   ```
+## 11. 推荐接手顺序
 
-5. npm 发布仍需用户先为配置的 registry 完成登录。
+1. 完整阅读 `AGENTS.md`；
+2. 确认 Git 分支、工作树和最新提交；
+3. 根据用户当前任务定位对应组件及测试，不要顺手改公开契约；
+4. 若继续 npm 发布，先让用户恢复 npmjs 登录，再核对远端版本；
+5. 若继续官网登录联调，重点确认 `setAccessToken()` 完成后是否调用 Account Context `refresh()`；
+6. 所有认证问题排查只查看安全状态码和白名单错误码，不复制 JWT；
+7. 代码修改完成后走完整验证、打包、版本、提交、发布和远端回读流程。