@csntgao/uni-base 0.6.2 → 0.6.3

package/AGENTS.md

@@ -180,7 +180,7 @@ pnpm --filter @uniplat/ai-employee-web-components pack
 5. 用户输入始终通过宿主 transport 的 HTTP 能力发送，不通过 WebSocket 发送。
 6. `4401` 仅表示 JWT 无效或过期，需要重新调用 `getAccessToken()` 并退避重连；`4400` 和 `4403` 是不可自动恢复的协议或权限错误。`1013` 以及认证帧中的 `SERVICE_*`、`KANBAN_AUTH_FAILED`、`REALTIME_UNAVAILABLE` 表示服务暂不可用，最多退避重连 3 次，不能误报为凭证失效。
 7. 重连前优先通过 HTTP 恢复历史；历史恢复失败时才请求 WebSocket replay 兜底。
-8. 实时消息必须按稳定 ID 去重，并忽略其他 session 的事件。
+8. 实时消息必须按稳定 ID 去重，并忽略其他 session 的事件。服务端缺少消息 ID 时的合成 ID 只能取消息本身，不得把 JSON Patch 的 `path`/`op` 等投递信封算进指纹，否则同一条消息经 replay 与实时两条路径会得到不同 ID 而重复显示。本地已发送的用户消息在回声窗口内不消费匹配条目，replay 与实时的多次回声都要挡住；首条消息与后续消息都必须登记该窗口。
 9. 主动断开和销毁后不得遗留 socket、心跳、重连任务或事件监听。
 10. 未指定既有 `sessionId` 时，打开抽屉和点击“开启新对话”只能建立本地草稿，不得创建后端空 Session。首条消息必须通过 `createSessionWithFirstMessage()` 原子提交 `request_id + ae_code + agent_code + content + trusted_context + attachments`；失败重试同一操作必须复用原 `request_id`，成功后才绑定服务端返回的 Session 并订阅实时通道。已有 Session 的后续消息继续使用 `sendMessage(sessionId, content)`。
 

package/CLAUDE.md

@@ -180,7 +180,7 @@ pnpm --filter @uniplat/ai-employee-web-components pack
 5. 用户输入始终通过宿主 transport 的 HTTP 能力发送，不通过 WebSocket 发送。
 6. `4401` 仅表示 JWT 无效或过期，需要重新调用 `getAccessToken()` 并退避重连；`4400` 和 `4403` 是不可自动恢复的协议或权限错误。`1013` 以及认证帧中的 `SERVICE_*`、`KANBAN_AUTH_FAILED`、`REALTIME_UNAVAILABLE` 表示服务暂不可用，最多退避重连 3 次，不能误报为凭证失效。
 7. 重连前优先通过 HTTP 恢复历史；历史恢复失败时才请求 WebSocket replay 兜底。
-8. 实时消息必须按稳定 ID 去重，并忽略其他 session 的事件。
+8. 实时消息必须按稳定 ID 去重，并忽略其他 session 的事件。服务端缺少消息 ID 时的合成 ID 只能取消息本身，不得把 JSON Patch 的 `path`/`op` 等投递信封算进指纹，否则同一条消息经 replay 与实时两条路径会得到不同 ID 而重复显示。本地已发送的用户消息在回声窗口内不消费匹配条目，replay 与实时的多次回声都要挡住；首条消息与后续消息都必须登记该窗口。
 9. 主动断开和销毁后不得遗留 socket、心跳、重连任务或事件监听。
 10. 未指定既有 `sessionId` 时，打开抽屉和点击“开启新对话”只能建立本地草稿，不得创建后端空 Session。首条消息必须通过 `createSessionWithFirstMessage()` 原子提交 `request_id + ae_code + agent_code + content + trusted_context + attachments`；失败重试同一操作必须复用原 `request_id`，成功后才绑定服务端返回的 Session 并订阅实时通道。已有 Session 的后续消息继续使用 `sendMessage(sessionId, content)`。
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@csntgao/uni-base",
-  "version": "0.6.2",
+  "version": "0.6.3",
   "type": "module",
   "packageManager": "pnpm@11.3.0",
   "publishConfig": {

package/packages/core/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@uniplat/ai-employee-client",
-  "version": "0.14.0",
+  "version": "0.14.1",
   "description": "Browser client for Uniplat AI Employee sessions and realtime messages",
   "type": "module",
   "sideEffects": false,

package/packages/core/src/client.ts

@@ -313,12 +313,7 @@ export class AiEmployeeClient {
       content,
       createdAt: now.toISOString(),
     }
-    for (const [pendingContent, sentAt] of this.pendingLocalMessages) {
-      if (now.getTime() - sentAt > LOCAL_MESSAGE_MATCH_WINDOW_MS) {
-        this.pendingLocalMessages.delete(pendingContent)
-      }
-    }
-    this.pendingLocalMessages.set(content, now.getTime())
+    this.rememberPendingLocalMessage(content)
     this.appendMessage(message, 'local')
     this.setProcessing(true)
     return message
@@ -374,6 +369,9 @@ export class AiEmployeeClient {
       content,
       createdAt: result.createdAt ?? result.startedAt,
     }
+    // 首条消息同样要登记本地回声窗口：服务端 replay 与实时事件可能带着与
+    // createSessionWithFirstMessage 不同的消息 ID 回来。
+    this.rememberPendingLocalMessage(content)
     this.appendMessage(message, 'local')
     this.setProcessing(true)
     this.replayHistoryOnNextSubscription = true
@@ -610,11 +608,27 @@ export class AiEmployeeClient {
     this.emit('ready', { sessionId })
   }
 
+  private rememberPendingLocalMessage(content: string): void {
+    const now = Date.now()
+    for (const [pendingContent, sentAt] of this.pendingLocalMessages) {
+      if (now - sentAt > LOCAL_MESSAGE_MATCH_WINDOW_MS) {
+        this.pendingLocalMessages.delete(pendingContent)
+      }
+    }
+    this.pendingLocalMessages.set(content, now)
+  }
+
+  /**
+   * 本地已渲染的用户消息会被服务端以 replay 和实时事件多次回送，且不保证复用
+   * 同一个消息 ID。窗口期内不消费该条目，多次回声都要挡住；本地发送本身每次都
+   * 会追加气泡，所以重复发送同样内容不会因此丢消息。
+   */
   private matchesPendingLocalMessage(message: AiEmployeeMessage): boolean {
     const sentAt = this.pendingLocalMessages.get(message.content)
     if (sentAt === undefined) return false
+    if (Date.now() - sentAt <= LOCAL_MESSAGE_MATCH_WINDOW_MS) return true
     this.pendingLocalMessages.delete(message.content)
-    return Date.now() - sentAt <= LOCAL_MESSAGE_MATCH_WINDOW_MS
+    return false
   }
 
   private appendMessage(message: AiEmployeeMessage, source: 'local' | 'realtime'): void {

package/packages/core/src/protocol.ts

@@ -96,7 +96,7 @@ function parseSessionPayload(payload: JsonRecord, sessionId: string): ParsedSess
   for (const rawPatch of patches) {
     const patch = asRecord(rawPatch)
     const value = asRecord(patch.value)
-    const parsed = messageFromEntry(value, sessionId, patch)
+    const parsed = messageFromEntry(value, sessionId)
     if (parsed) messages.push(parsed)
   }
 
@@ -129,11 +129,7 @@ function parseSessionPayload(payload: JsonRecord, sessionId: string): ParsedSess
   return { messages, fallbackResult, processing }
 }
 
-function messageFromEntry(
-  entry: JsonRecord,
-  sessionId: string,
-  patch: JsonRecord,
-): AiEmployeeMessage | null {
+function messageFromEntry(entry: JsonRecord, sessionId: string): AiEmployeeMessage | null {
   const entryTypeValue = entry.entry_type
   const entryType =
     typeof entryTypeValue === 'string' ? entryTypeValue : stringValue(asRecord(entryTypeValue).type)
@@ -168,7 +164,9 @@ function messageFromEntry(
     role === 'user'
       ? messageId || webSocketMessageId || stringValue(entry.id)
       : webSocketMessageId || messageId || stringValue(entry.id)
-  const fingerprint = stableString({ entry, path: patch.path, op: patch.op })
+  // 同一条消息经 replay 与实时两条路径投递时 patch 的 path/op 不同，
+  // 合成 ID 只能取消息本身，否则同一条消息会得到不同 ID 而重复显示。
+  const fingerprint = stableString(entry)
   const id = explicitId || `realtime:${sessionId}:${hashText(fingerprint)}`
   return createMessage(sessionId, role, content, id, entry)
 }

package/packages/core/tests/client.test.ts

@@ -185,6 +185,102 @@ describe('AiEmployeeClient', () => {
     expect(client.messages.filter((message) => message.id === 'ws-message-1')).toHaveLength(1)
   })
 
+  it('deduplicates the same realtime message delivered through different patch paths', async () => {
+    const { client, sockets } = createHarness()
+    const received: string[] = []
+    client.on('message', ({ message }) => received.push(message.content))
+    await client.start()
+    await authenticateAndReady(sockets[0]!)
+
+    // 服务端没给消息 ID 时只能合成；replay 与实时投递的 patch 路径不同，
+    // 合成 ID 必须仍然相同，否则同一条消息会重复显示。
+    const entry = {
+      entry_type: { type: 'assistant_message' },
+      content: JSON.stringify({ text: '同一条回复' }),
+      timestamp: '2026-09-04T02:00:00.000Z',
+    }
+    const frameWithPath = (path: string) => ({
+      type: 'realtime_event',
+      channel: 'ai_employee',
+      event: {
+        type: 'session_message',
+        session_id: 'session-1',
+        payload: { JsonPatch: [{ path, value: entry }] },
+      },
+    })
+    sockets[0]?.receive(frameWithPath('/0'))
+    sockets[0]?.receive(frameWithPath('/3'))
+
+    expect(received).toEqual(['同一条回复'])
+    expect(client.messages.filter((message) => message.content === '同一条回复')).toHaveLength(1)
+  })
+
+  it('keeps a locally sent message single across replay and live echoes', async () => {
+    const { client, sockets } = createHarness()
+    await client.start()
+    await authenticateAndReady(sockets[0]!)
+    await client.sendMessage('给我生成一个文本文件，内容是123456')
+
+    // 同一条用户消息被服务端以不同 ID 回送两次（replay + 实时）。
+    const echo = (messageId: string) => ({
+      type: 'realtime_event',
+      channel: 'ai_employee',
+      event: {
+        type: 'session_message',
+        session_id: 'session-1',
+        payload: {
+          JsonPatch: [
+            {
+              path: '/0',
+              value: {
+                message_id: messageId,
+                entry_type: { type: 'user_message' },
+                content: JSON.stringify({ text: '给我生成一个文本文件，内容是123456' }),
+              },
+            },
+          ],
+        },
+      },
+    })
+    sockets[0]?.receive(echo('replay-message-1'))
+    sockets[0]?.receive(echo('live-message-1'))
+
+    expect(
+      client.messages.filter((message) => message.content === '给我生成一个文本文件，内容是123456'),
+    ).toHaveLength(1)
+  })
+
+  it('keeps the first message single when the server echoes another message id', async () => {
+    // 草稿会话：这条走的是 createSessionWithFirstMessage 原子建会话路径。
+    const { client, sockets } = createHarness(createTransport(), { draft: true })
+    await client.start()
+    await authenticateAndReady(sockets[0]!)
+    await client.sendMessage('首条消息内容')
+
+    sockets[0]?.receive({
+      type: 'realtime_event',
+      channel: 'ai_employee',
+      event: {
+        type: 'session_message',
+        session_id: 'atomic-session-default',
+        payload: {
+          JsonPatch: [
+            {
+              path: '/0',
+              value: {
+                message_id: 'server-side-other-id',
+                entry_type: { type: 'user_message' },
+                content: JSON.stringify({ text: '首条消息内容' }),
+              },
+            },
+          ],
+        },
+      },
+    })
+
+    expect(client.messages.filter((message) => message.content === '首条消息内容')).toHaveLength(1)
+  })
+
   it('uses a top-level result only when the current turn has no assistant message', async () => {
     const { client, sockets } = createHarness()
     const received: string[] = []

package/packages/web-components/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@uniplat/ai-employee-web-components",
-  "version": "0.29.2",
+  "version": "0.29.3",
   "description": "Framework-independent Web Components for Uniplat account, login, application switching and AI Employee chat",
   "type": "module",
   "sideEffects": true,

package//344/272/244/346/216/245/346/226/207/346/241/243.md

@@ -6,7 +6,7 @@
 >
 > 分支：`main`
 >
-> 交接基线提交：`2aadb87 feat(web-components): 组织邀请页豁免强制入驻`
+> 交接基线提交：`495ef35 fix(web-components): 创建组织后刷新账户菜单的组织列表`
 
 ## 1. Claude 接手后的第一步
 
@@ -25,7 +25,7 @@ git log -5 --oneline --decorate
 ```text
 main 与 origin/main 同步
 工作树无代码改动
-HEAD = 2aadb87
+HEAD = 495ef35
 ```
 
 不要清理、覆盖或提交根目录已有的 `.tgz`。它们是历史及当前本地发布产物，已由 `.gitignore` 忽略。
@@ -38,9 +38,9 @@ HEAD = 2aadb87
 
 | 位置                      | npm 名称                               | 当前本地版本 | 说明                                    |
 | ------------------------- | -------------------------------------- | -----------: | --------------------------------------- |
-| 根目录                    | `@csntgao/uni-base`                    |      `0.4.0` | 当前公开发布入口；npmjs 已发布此版本    |
+| 根目录                    | `@csntgao/uni-base`                    |      `0.6.2` | 当前公开发布入口；npmjs 已发布此版本    |
 | `packages/core`           | `@uniplat/ai-employee-client`          |     `0.14.0` | UI 无关的 HTTP/WebSocket/Core 状态机    |
-| `packages/web-components` | `@uniplat/ai-employee-web-components`  |     `0.27.0` | Lit Web Components 与独立浏览器 runtime |
+| `packages/web-components` | `@uniplat/ai-employee-web-components`  |     `0.29.2` | Lit Web Components 与独立浏览器 runtime |
 | `examples/vanilla`        | `@uniplat/ai-employee-vanilla-example` |     私有示例 | 必须消费 workspace 包的构建产物         |
 
 注意：根包改名为 `@csntgao/uni-base` 不代表两个 workspace 包、已有 Web Component 标签或公开类型可以随之改名。`@uniplat/*` 名称和 `uniplat-*` 标签仍是公开契约。
@@ -80,6 +80,11 @@ d19ac72 feat(web-components): 无归属用户强制走创建组织流程
 acfeed4 feat(web-components)!: 强制入驻去掉跳过开关并恢复邀请码加入
 efd56ef fix(web-components): 去掉强制入驻邀请码入口并隐藏无身份工作台
 2aadb87 feat(web-components): 组织邀请页豁免强制入驻
+e4738bb fix(web-components): 入驻流程改为居中对话框
+f20ec7b feat(web-components): 入驻右上角改为按归属显示的取消
+95bbc8c feat(web-components)!: 团队创建成功页改为单个确认按钮
+ffab3f9 fix(web-components): 非强制入驻的确认按钮点击无反应
+495ef35 fix(web-components): 创建组织后刷新账户菜单的组织列表
 ```
 
 新运行机制：**个人用户不允许以非员工身份留在系统中**，跳过与“先逛逛”不再存在。当前实现：
@@ -87,8 +92,17 @@ efd56ef fix(web-components): 去掉强制入驻邀请码入口并隐藏无身份
 1. 账户投影零归属时，`<uniplat-account-context>` 用原生 `dialog.showModal()`（top layer，不受
    Host 导航 `transform/overflow` 影响）自动打开强制态创建流程：不渲染跳过、无归属提示、邀请码
    入口与关闭按钮，遮罩点击、`Escape` 与 `cancel` 都不关闭。
-2. 首屏出口只有创建企业、创建团队和“退出登录”（派发 `logout-requested`）。企业/团队表单页的
-   “跳过”换成“返回”，创建成功页的认证、升级或邀请动作才关闭对话框。
+2. 首屏出口只有创建企业、创建团队和“退出登录”（派发 `logout-requested`）。企业/团队表单页在
+   强制态下是“返回”回到创建方式选择。
+   2.1 入驻流程一律用原生 `dialog.showModal()` 视口居中，不再用锚定胶囊的下拉浮层；普通态可由
+   遮罩点击、`Escape` 或右上角“取消”关闭，强制态一律不关闭。
+   2.2 右上角“取消”只在当前用户已归属某个组织时渲染（内部 `canCancel`，按投影归属数量传入），
+   点击后直接收起，不再经过“确定暂不创建”确认页——该确认页与其“仍可浏览官网”文案已删除。
+   2.3 创建成功页是终点：企业页保留“稍后认证 / 去认证”，团队页只有一个“确认”并派发
+   `onboarding-finished`；`team-upgrade-requested` 与 `team-invite-members-requested` 不再派发。
+   收尾处理器无论强制与否都收起对话框（早退曾导致非强制态“确认”点不动），并再取一次投影，
+   保证新建组织出现在账户菜单的切换列表里。账户菜单在投影变化时也会重新配置，不再因为元素
+   实例未变而停在旧列表。
 3. **没有可跳过开关**：`organizationOnboarding` 只接收 `transport` 与可选 `invitePaths`，历史
    `mandatory: false` 不再放行（有用例守着）。
 4. 没有任何企业员工身份时，账户胶囊仍渲染，但**不显示工作台入口**，即使配置了 `workbench`；
@@ -301,13 +315,13 @@ Account Context 对外只派发净化后的 `LOAD_FAILED`，精确排错应看
 
 ## 7. 当前构建和验证状态
 
-在 `2aadb87` 上最近一次完整检查结果：
+在 `495ef35` 上最近一次完整检查结果：
 
 ```text
 pnpm format:check   通过
 pnpm lint           通过
 pnpm typecheck      通过
-pnpm test           25 个测试文件通过；287 passed，2 skipped
+pnpm test           25 个测试文件通过；292 passed，2 skipped
 pnpm build          core、web-components、runtime、vanilla 全部通过
 ```
 
@@ -315,7 +329,7 @@ pnpm build          core、web-components、runtime、vanilla 全部通过
 
 ```text
 /Users/gaostudio/uni-base/uniplat-ai-employee-client-0.14.0.tgz
-/Users/gaostudio/uni-base/uniplat-ai-employee-web-components-0.27.0.tgz
+/Users/gaostudio/uni-base/uniplat-ai-employee-web-components-0.29.2.tgz
 ```
 
 根包本地产物：
@@ -348,9 +362,9 @@ pnpm --filter @uniplat/ai-employee-web-components pack
 
 ```text
 Manifest: https://10.10.10.131:8787/current.json
-Version:  0.27.0
-Module:   https://10.10.10.131:8787/releases/0.27.0/index.js
-SHA-256:  a5dfb56d11b60b0e3d475b24b2590751f830806e0907ed7013a38fdf05fae1f5
+Version:  0.29.2
+Module:   https://10.10.10.131:8787/releases/0.29.2/index.js
+SHA-256:  60fbeac569ff3cb5e27f7e4ef650fc5114343c44b42a3be3f86ace1da1bb1de9
 ```
 
 最后验证结果：
@@ -358,7 +372,7 @@ SHA-256:  a5dfb56d11b60b0e3d475b24b2590751f830806e0907ed7013a38fdf05fae1f5
 - `current.json`：HTTP 200、`Cache-Control: no-store`；
 - 版本模块：HTTP 200、CORS `*`、`immutable`；
 - 远端模块 hash 与本地一致；
-- `current.json` 指向 `./releases/0.27.0/index.js`。
+- `current.json` 指向 `./releases/0.29.2/index.js`。
 
 静态服务未启动时可执行：
 
@@ -380,17 +394,20 @@ https://registry.npmjs.org/
 
 ```text
 npm whoami                       csntgao（已登录）
-@csntgao/uni-base                0.4.0 已发布并回读校验
+@csntgao/uni-base                0.6.2 已发布并回读校验
 @uniplat/ai-employee-client      未发布，PUT 返回 404（无 scope 创建权限）
 @uniplat/ai-employee-web-components  未发布，同上
 ```
 
-`@csntgao/uni-base@0.4.0` 的远端 shasum 为 `51397b9e1f897641ea265ba4c74621c81d4a6fc4`，
+`@csntgao/uni-base@0.6.2` 的远端 shasum 为 `9335c2d6e2e32a7bec7c282ef7cce65c90b8d70a`，
 与本地打包一致。发布后远端 `npm view` 有几秒传播延迟，第一次回读到旧版本要重试再确认。注意该包没有 `main`/`exports`/`files`，发布内容是 91 个源码文件，
 不是可直接 `import` 的库；调用方仍应使用 runtime 或 workspace 包。
 
-发布需要浏览器 2FA。本机 shell 不是交互终端，直接 `npm publish` 会以 `EOTP` 退出；
-用伪终端包一层即可让 npm 停下来等浏览器授权：
+发布需要浏览器 2FA：该账号的第二因子是 passkey / WebAuthn，**没有 TOTP 六位码**，所以
+`npm publish --otp=<code>` 这条路走不通。账号 2FA 当前仍是 `auth-and-writes`，改为 `auth-only`
+的命令是 `npm profile enable-2fa auth-only`（需要账号密码 + 一次浏览器验证），本次未完成。
+本机 shell 不是交互终端，直接 `npm publish` 会以 `EOTP` 退出；用伪终端包一层即可让 npm
+停下来等浏览器授权：
 
 ```bash
 script -q /dev/null npm publish <绝对路径或 tarball> --access public