@deepexi/datasense-cli 1.10.1 → 1.10.2

package/README.md

@@ -18,7 +18,7 @@ npm 包名为 `@deepexi/datasense-cli`，终端命令仍为 `ontos`。
 
 ## 发布到 npm
 
-CLI 使用自身 semver（当前 **1.10.1**），与服务端镜像 tag **不是同一套号**。服务端在部署时指定日期 tag。当前兼容矩阵为 **`v2026.09.08` 推荐 CLI 1.10.1**；CLI 1.10.0 的 Workbench 互信需要服务端部署对应的认证改动并开启外部身份，不能只凭日期 tag 判断已支持。部署命令示例：
+CLI 使用自身 semver（当前 **1.10.2**），与服务端镜像 tag **不是同一套号**。服务端在部署时指定日期 tag。当前兼容矩阵为 **`v2026.09.08` 推荐 CLI 1.10.2**；CLI 1.10.0 的 Workbench 互信需要服务端部署对应的认证改动并开启外部身份，不能只凭日期 tag 判断已支持。部署命令示例：
 
 ```bash
 bun run deploy:test -- v2026.09.08
@@ -115,12 +115,12 @@ ontos --manifest ./ontos.inventory.yaml admin sync push
 
 旧清单缺少 `sync.domains` 时，在对应项目根执行 `ontos admin sync migrate-manifest --dry-run`，核对后去掉 `--dry-run` 迁移为 `[ontology]`；只有明确需要安全声明时才开启 `security`。跨 Git 根继承的旧脚本改为 `--manifest <原清单>`。此前依赖 cwd 漂移的默认资源目录请显式设置 specDir。
 
-### Deepworks 注入会话（只读闭环）
+### Deepworks 注入会话
 
 存在 `DEEPEXIOS_AUTHORIZATION` 时，CLI 使用 Workbench 注入凭据；空值或非法值直接报错，不读取本地 token 或默认租户。不得同时配置 `ONTOS_INTERNAL_SERVICE_TOKEN`。裸 token 和单个 `Bearer ` 前缀均支持；身份信息只以服务端 `/auth/me` 返回的 `credential` 为准。
 
 Host 始终按 `--host`、`ONTOS_HOST`、本地 `config.host` 的顺序选择完整地址，保留路径，不自动添加 `/datasense`，不读取 `DEEPEXIOS_BASE_URL`。受控 HTTP 测试须把 `ONTOS_WORKBENCH_ALLOW_HTTP_HOST` 设置为目标精确 `hostname:port`；默认拒绝 HTTP。
 
-Workbench 请求禁止跟随重定向，401 不刷新本地登录态。`auth status` / `auth whoami` 显示已验证身份；`auth login` 验证注入会话，`auth logout` 提示在 Workbench 结束会话，两者均不改本地配置。默认租户来自 `credential.boundTenantId`，显式 flag、环境变量和清单仍是由服务端校验的资源选择。SSE 流式命令当前返回明确的不支持错误。
+Workbench 请求禁止跟随重定向，401 不刷新本地登录态。`auth status` / `auth whoami` 显示已验证身份；`auth login` 验证注入会话，`auth logout` 提示在 Workbench 结束会话，两者均不改本地配置。默认租户来自 `credential.boundTenantId`，显式 flag、环境变量和清单仍是由服务端校验的资源选择。SSE 流式命令沿用相同的注入认证与业务权限校验。
 
-本轮普通数据读取使用 `ontos search <objectType>`；`ontos query`（沙箱执行）、函数、Action、写入和持续流尚未接通。注入态支持 `auth host set <url>` 配置机器 host（更换 host 会清除旧的本地登录身份，注入凭据不落盘），也可用 `--host`/`ONTOS_HOST` 指定本次目标。`auth host get` 展示本次解析的目标。
+Workbench 凭据映射为 Ontos 用户后，与普通 token 使用相同的角色、capability 和资源授权；不按身份来源限制 Skill 下载、查询、函数、Action 或写入。注入态支持 `auth host set <url>` 配置机器 host（更换 host 会清除旧的本地登录身份，注入凭据不落盘），也可用 `--host`/`ONTOS_HOST` 指定本次目标。`auth host get` 展示本次解析的目标。