@dp-bohrium/widget-cli 0.4.0 → 0.5.0

package/AGENTS.md

@@ -1,14 +1,13 @@
 # Widget CLI Agent 使用说明
 
-`@dp-bohrium/widget-cli` 是 Widget 工程的本地执行器。Agent 应先读取本文件和
-`llms.txt`，再根据任务选择一个命令；不要猜测参数，也不要把 CLI 的成功输出解释为
-平台 已渲染或已发布。
+`bohr-widget` 用于创建、迁移、校验、开发、构建和打包 Widget 工程。Agent 先读取
+`llms.txt` 和本文件，再按任务选择命令；不要猜测参数，也不要把 CLI 的成功输出解释为
+平台已渲染或已发布。
 
 CLI 本身要求 Node.js >=20，默认生成工程构建器要求 `^22.18.0 || >=24.11.0`。
 `integration.requirements.node` 和 `generatedProjectNode` 分别表达这两项要求。
-本包自包含固定 SDK/contracts、Schema、compiler、校验器和模板，
-通过文档站提供教程与参考。生成工程只直接安装锁定的 SDK 与构建器；
-公开类型和 Schema 从 SDK 导入，contracts 由 SDK 的传递依赖提供。
+生成工程精确依赖 SDK 与构建器，类型、Schema 和工程命令均由 SDK 提供。
+教程与参考见文档站。
 
 先看全局帮助，再按命令查看参数、默认值、示例和必要提示：
 
@@ -24,9 +23,10 @@ pnpm exec bohr-widget --version --json
 `<命令路径> --help` 与 `help <命令路径>` 查看对应层级；例如 `dev -h`、`pack --help` 或
 `migrate dsh --help`。`-v` / `--version` 等价于 `version`，`--version --json` 等价于 `version --json`。
 帮助仅输出本地文本，不执行所选命令或联网获取文档。npm 的全局帮助用
-`npx --no-install bohr-widget --help`，其他命令同样替换前缀；未安装时可用
-新工程用 `pnpm dlx @dp-bohrium/widget-sdk --help` 查看 SDK 自带入口；
-`pnpm dlx @dp-bohrium/widget-cli --help` 在兼容期保持原行为。
+`npx --no-install bohr-widget --help`，其他命令同样替换前缀。
+创建新工程可用 `pnpm dlx @dp-bohrium/widget-sdk --help` 查看 SDK 自带命令；
+工具集成可用 `pnpm dlx @dp-bohrium/widget-cli --help`，并核对执行包版本与 SDK profile。
+升级时迁移并重建工程，不复用不匹配的执行器或 receipt。
 
 ## 入口
 
@@ -50,7 +50,7 @@ bohr-widget help [<命令路径>]
 ```
 
 工程命令均可通过 `--host-compat <声明文件>` 检查目标宿主。接入方先调用
-`integration --json`：`interfaceVersion=2`，`toolchain.formatVersion=2`；返回固定 profile、
+`integration --json`：`interfaceVersion=3`，`toolchain.formatVersion=3`；返回固定 profile、
 执行器与 `documentation`，不返回 `skills`。文档字段为 `url`、`quickStart`、`cli`、`llms`、
 `llmsFull`。先读[文档索引](https://dev.dp.tech/bohrium-widget-sdk/llms.txt)，再选取相关页面；
 需要完整材料时读[完整文档](https://dev.dp.tech/bohrium-widget-sdk/llms-full.txt)。
@@ -78,7 +78,7 @@ bohr-widget help [<命令路径>]
    `pack --no-build` 要求上次 `bohr-widget build` 生成的 `.widget-build-receipt.json` 与当前工具链、
    实际依赖、源文件和 `dist` 内容一致；缺失或变化时重新 build，不补写或篡改 receipt。
    receipt 的执行摘要只有 `compiler`、`validators`、`schemas`、`templates` 四项；
-   文档站更新不改变这些摘要、不使 receipt 失效，也不要求 CLI 发版。
+   文档站更新不改变这些摘要，也不使 receipt 失效。
 6. Bohr CLI 或平台侧必须继续使用同一份 ZIP 和 digest；Widget CLI 不负责 upload、preview、
    commit、版本发布或 Agent binding。
 
@@ -168,19 +168,13 @@ profile。`ready` 在此基础上还要求
 `warnings` 里。
 
 旧工程缺少 `widget-toolchain.json` 时，先检查 `doctor` 输出，恢复当前 profile 的精确依赖并安装，
-再运行 `adopt <目录>`。`adopt` 会校验实际安装的 SDK/contracts、Manifest 和 samples 后写锁定文件，
-不自动迁移字段或升级依赖。工程命令会检查精确 SDK 声明与直接安装版本，再从该 SDK 的真实依赖
-核对 contracts 与固定 profile；源码工作区支持 `workspace:*`，发布包必须转换为精确版本。
-已有工程若仍直接声明 contracts，也会继续核对其精确声明与实际版本；缺少依赖时不能向工程祖先
-或 CLI 借用。该作者用法已废弃，机器诊断为 `WIDGET_CLI_DIRECT_CONTRACTS_DEPRECATED`；
-读取 `deprecations` 中的替代出口、`migration.status` 与 `removal`，不要将暂时通过解释为长期支持。
-R0 只做本地改造；统一入口切换发布 R1 前必须移除。实际内部消费者迁移、旧实现删除与
-Host 验收未完成时阻止 R1；不存在的旧 Widget 不要求专用转换规则。版本号由发布计划决定。根计划为
-`docs/plans/2026-10-29-widget-sdk-forge-unified-entry.md`。
-SDK 出口准备批只为消费者迁移提供可安装版本，不代表 Bohr 与内部宿主联合切换 R1 已完成。
+再运行 `adopt <目录>`。`adopt` 会校验实际安装的 SDK 与内置协议资产、Manifest 和 samples 后写锁定文件，
+不自动迁移字段或升级依赖。工程命令会检查精确 SDK 声明与直接安装版本，再核对该 SDK 自身的协议元数据、公开 Schema 与执行摘要；不能通过祖先目录或旧包补齐资产。
+旧工程直接声明 contracts 或 CLI 时会失败；先在独立候选中改用 SDK 出口并移除旧包，
+重新安装、构建和验收。锁和 receipt 为 v2，integration 与 toolchain 为 v3；不自动回选旧执行器。
 保留已有作者源码、跨 profile 升级或准备候选工程时，先读[准备迁移候选](https://dev.dp.tech/bohrium-widget-sdk/guides/migration)，按指南完成候选审阅、plan/apply 和后续验收。
-Host / 控制面在 R0 保留现有公开 contracts，R1 转 SDK 的协议/Schema/conformance 出口；
-协议类型仍由 contracts 同源维护，不给 canonical 类型标记 `@deprecated`。
+Host 或控制面可使用 `@dp-bohrium/widget-contracts`，也可使用 SDK 的协议、Schema 和 conformance
+入口；固定与目标 SDK 配套的精确版本，不混用不同版本的协议资产。
 
 ## 宿主兼容声明
 
@@ -189,8 +183,8 @@ Host / 控制面在 R0 保留现有公开 contracts，R1 转 SDK 的协议/Schem
 或过期声明；只有本次在线取得、仍有效且接受当前 profile 时才是 `confirmed`。后者是调用方报告
 的兼容证据，不是发布许可。格式错误、时间无效或 profile 不被接受时按错误处理。
 
-本次只交付 A、B 阶段的本地能力，平台在线发现接口与 Bohr 在线取声明尚需后续接入。不要把
-本地 profile、SDK package.json 或 `unknown` 解释为线上平台已兼容。
+CLI 不自动获取线上声明。调用方需提供目标 Host 的兼容证据，不要把本地 profile、
+SDK package.json 或 `unknown` 解释为线上平台已兼容。
 
 ## 错误处理
 
@@ -228,13 +222,13 @@ Host / 控制面在 R0 保留现有公开 contracts，R1 转 SDK 的协议/Schem
 里带 `profileUrl`、`statusUrl`、`hostUrl`、digest 和 assets，不得把整个 stdout 当作单个 JSON
 文档解析。watch 重建失败时从 `statusUrl` 读取 `lastBuildError`，修复工程后重新保存源码或重新
 执行 build。`statusUrl` 是本地诊断接口，不是生产 Host API。
-每轮重建都会重新核对工具链与实际 SDK/contracts，失败时继续保留上一轮可用 generation。
+每轮重建都会重新核对工具链与实际 SDK 与内置协议摘要，失败时继续保留上一轮可用 generation。
 
 `/core` 是模板、compiler、校验和打包的底层 API；直接调用它时，调用方负责工程锁定、实际依赖
 和宿主兼容策略。完整预检由上述命令提供。`sdkVersion` 不能用来伪造另一代 compiler 的版本。
 
 `--open` 优先协商 Widget Development Host v1，旧宿主才回落 legacy profile 并告警。
-该降级仅在 R0 保留且已废弃，R1 前随旧开发桥接迁移删除；目标 Host 应升级到当前协议。
+legacy profile 已废弃，目标 Host 应升级到当前协议。
 descriptor、status、events、control、一次性 claim 和 session token 都通过命令返回的 URL
 与类型声明表达；不要依赖源码仓库中的内部设计文档来猜测协议。
 

package/CHANGELOG.md

@@ -1,5 +1,29 @@
 # `@dp-bohrium/widget-cli` 变更记录
 
+## 0.5.0
+
+### Minor Changes
+
+- 破坏性变更：本版配套 SDK `0.7.0`，新建 Widget 工程只直接依赖 SDK；CLI 仍可作为独立工具安装。
+  `version --json` 和 `integration --json` 报告实际执行包的身份、版本及配套 SDK。
+
+  integration/toolchain 升为 v3，工程锁和构建回执（receipt）升为 v2。旧工程须保留原源码，
+  在新目录按当前模板迁移并重新构建；旧格式的锁和回执不能直接复用。
+
+### Patch Changes
+
+- 修复 `/core` 类型入口在独立安装后无法通过 TypeScript 编译的问题，保留工程检查、清单编译和
+  打包 API 的准确类型。
+- 修复独立安装 CLI 后，清单编译和迁移命令错误依赖另行安装的 SDK 包元数据的问题。
+- 86773d8: 修复开发 Host 面板投影使用 `snapshot.id` 而被正式 Host 拒绝的问题，统一输出既有契约要求的
+  `snapshot.panelType`，并同步开发会话类型声明。Manifest 的 `contribution.id` 和
+  RenderRequest 的 `content.id` 保持原义。
+- af5aee4: 破坏性变更：取消 `files.read` 的累计字节额度，让文件预览和 Panel 可以持续读取已授权文件。
+  `resourceBudget.files.readBytesPerRun` 与读取 grant 的 `bytesPerRun` 改为已废弃的可选历史字段；
+  新宿主不再下发或执行这两项额度。单次大小、调用频率、并发、授权以及写入、下载和状态预算不变。
+
+  消费者须先升级协议与宿主校验器，再省略旧字段；仍要求历史字段的旧宿主不能消费新配置。
+
 ## 0.4.0
 
 ### Minor Changes

package/README.md

@@ -2,11 +2,8 @@
 
 创建、开发和打包 Bohrium 自定义 Widget 的命令行工具。
 
-`bohr-widget` 现已随 `@dp-bohrium/widget-sdk` 一起交付，作者工程统一只直接安装 SDK。
-本包在迁移期继续保留原有直接安装与命令行为，但创建和迁移出的新工程同样只依赖 SDK；
-它只按现行发布治理保留过渡分发、历史审计和废弃诊断，按阶段 3 退出新作者安装和发布流程。
-两包的同名命令不保证在 npm/pnpm 下保留旧 CLI 身份。旧工程按[单 SDK 迁移步骤](https://dev.dp.tech/bohrium-widget-sdk/reference/versioning)
-移除本包、重新安装并由 SDK `build` 重建 receipt，再校验和打包；不复用旧 CLI 的 receipt。
+提供 `bohr-widget` 命令，支持工程创建、构建、校验、开发联调与 ZIP 打包。
+SDK 已包含此命令，开发 Widget 推荐从 SDK 开始；脚本或工具集成也可直接调用本包。
 
 [文档站](https://dev.dp.tech/bohrium-widget-sdk/) · [快速开始](https://dev.dp.tech/bohrium-widget-sdk/guides/quick-start) · [命令行指南](https://dev.dp.tech/bohrium-widget-sdk/guides/cli)
 
@@ -15,21 +12,6 @@
 推荐使用 Node.js 24（>=24.11.0）。CLI 本身支持 Node.js >=20，默认模板的构建器要求
 `^22.18.0 || >=24.11.0`。安装 pnpm 或 npm 后即可开始。
 
-SDK 与内部 contracts 的配套版本由 CLI 固定管理，创建工程后安装其依赖即可。
-Widget 作者从 SDK 导入公开类型与 Schema，无需单独选择或安装 contracts。
-
-独立消费者直接依赖 contracts 的旧入口已废弃。`doctor --json` 与工程命令的
-`deprecations` 返回 `WIDGET_CLI_DIRECT_CONTRACTS_DEPRECATED`，包含替代出口、迁移状态和
-移除阶段“统一入口切换发布 R1”。R0 是本地改造，R1 前必须移除旧分支；实际内部消费者
-迁移、SDK 出口交付或 Host 验收未完成时阻止 R1，不能据此延长兼容。版本号以正式发布计划为准，
-不从当前源码推算。当前仍严格核对旧声明和实际依赖，版本漂移继续失败。
-SDK 出口准备批只提供消费者迁移所需的可安装版本，不代表 Bohr 与内部宿主联合切换 R1 已完成。
-
-`migrate project plan/apply` 核对 Agent 准备的候选并写入新目录，具体边界见下方。
-`adopt` 仅为已符合当前 profile 的工程补锁，不升级代码、依赖或旧 Bundle。Host / 控制面在 R0 暂时使用现有已公开 contracts，
-R1 改经 SDK `/contracts`、`/schemas`、`/conformance` 消费；canonical 协议类型本身没有废弃。
-仓库移除计划见 `docs/plans/2026-10-29-widget-sdk-forge-unified-entry.md`。
-
 ## 创建并打包
 
 下面创建一个 React 面板，构建、检查后生成 ZIP：
@@ -89,7 +71,8 @@ pnpm exec bohr-widget --version
 ```
 
 无参数、`-h`、`help` 也可查看帮助。npm 使用 `npx --no-install bohr-widget --help`；
-尚未安装时推荐运行 `pnpm dlx @dp-bohrium/widget-sdk --help`；本包原入口仍可使用。
+尚未安装时可运行 `pnpm dlx @dp-bohrium/widget-sdk --help`，
+也可通过 `pnpm dlx @dp-bohrium/widget-cli --help` 调用本包。
 
 以下命令通过 `pnpm exec bohr-widget` 或 `npx --no-install bohr-widget` 执行：
 

package/assets/schemas/widget-runtime-contracts.schema.json

@@ -821,7 +821,6 @@
               "additionalProperties": false,
               "required": [
                 "bytesPerRequest",
-                "bytesPerRun",
                 "callsPerMinute"
               ],
               "properties": {
@@ -830,6 +829,8 @@
                   "minimum": 1
                 },
                 "bytesPerRun": {
+                  "description": "历史读取累计额度字段，仅为兼容旧配置保留；当前 files.read 不累计或执行此额度，新宿主不再下发。",
+                  "deprecated": true,
                   "type": "integer",
                   "minimum": 1
                 },
@@ -1998,13 +1999,16 @@
           "additionalProperties": false,
           "required": [
             "readBytesPerRequest",
-            "readBytesPerRun",
             "callsPerMinute",
             "listPageSize"
           ],
           "properties": {
             "readBytesPerRequest": { "type": "integer", "minimum": 1 },
-            "readBytesPerRun": { "type": "integer", "minimum": 1 },
+            "readBytesPerRun": {
+              "description": "历史读取累计额度字段，仅为兼容旧配置保留；当前 files.read 不累计或执行此额度，新宿主不再下发。",
+              "deprecated": true,
+              "type": "integer", "minimum": 1
+            },
             "callsPerMinute": { "type": "integer", "minimum": 1 },
             "listPageSize": { "type": "integer", "minimum": 1 },
             "writeBytesPerRequest": {

package/assets/toolchain.json

@@ -1,11 +1,15 @@
 {
-  "formatVersion": 2,
+  "formatVersion": 3,
   "packageName": "@dp-bohrium/widget-cli",
-  "cli": "0.4.0",
+  "cli": "0.5.0",
   "profile": {
-    "id": "widget-sdk-0.6.0-contracts-0.6.0",
-    "sdk": "0.6.0",
-    "contracts": "0.6.0"
+    "id": "widget-sdk-0.7.0",
+    "sdk": "0.7.0"
+  },
+  "protocol": {
+    "schemaVersion": 1,
+    "hostApiVersion": 1,
+    "digest": "sha256:ee3023e337559bbf83c096365fe1eb49ce6809a880a5e5d65e2a2f6fd53a7ddb"
   },
   "hostAcceptance": "unknown",
   "documentation": {
@@ -16,9 +20,9 @@
     "llms": "https://dev.dp.tech/bohrium-widget-sdk/llms.txt"
   },
   "digests": {
-    "compiler": "sha256:d541f305c8cccdfc8e122ab84d57103da68c734325df2ead3729cc3a21b7d222",
-    "validators": "sha256:e3e411c6ea3c09f07554222141ccb92124cdf8921ab39dbaeb8f79f4ad8d12aa",
-    "schemas": "sha256:2286156c619d6482471966fb97a2a4adbb9c86ef9ec17225eb1b070d8489dd9c",
-    "templates": "sha256:34f08fb56072c2722a1e02cee09b3130d075853129c333aa8916e0411cee5618"
+    "compiler": "sha256:6b6ac1585a3f2bc0f8b2717b2475584a502a9026045b840337547528b7a063b0",
+    "validators": "sha256:8712fb004d9decf1eeae56c1e7057092a8abc0eeae1093c29546bb56e3261922",
+    "schemas": "sha256:ee3023e337559bbf83c096365fe1eb49ce6809a880a5e5d65e2a2f6fd53a7ddb",
+    "templates": "sha256:60f555788f33fb38d707525f571d13b6fa78875be7d2d87cb864db6926a52ccb"
   }
 }

package/dist/cli.mjs

@@ -1,6 +1,5 @@
 #!/usr/bin/env node
-import { a as normalizeArchivePath, c as resolveWidgetProjects, i as collectWidgetPackageFiles, l as compileAuthorManifest, n as scaffoldDshWidget, o as storedZip, s as checkWidgetProject, t as auditDshPlugin } from "./dsh-BvnlfCRX.mjs";
-import { createRequire } from "node:module";
+import { a as normalizeArchivePath, c as compileAuthorManifest, i as prepareWidgetPackage, n as scaffoldDshWidget, o as checkWidgetProject, s as resolveWidgetProjects, t as auditDshPlugin } from "./dsh-BkPMTfZ_.mjs";
 import { createHash, randomBytes, timingSafeEqual } from "node:crypto";
 import { constants, existsSync, lstatSync, readFileSync, readdirSync, realpathSync, statSync, watch } from "node:fs";
 import { chmod, lstat, mkdir, mkdtemp, open, readFile, readdir, realpath, rename, rm, rmdir, stat, writeFile } from "node:fs/promises";
@@ -8,6 +7,7 @@ import { basename, dirname, isAbsolute, join, relative, resolve, sep } from "nod
 import { fileURLToPath } from "node:url";
 import { spawn, spawnSync } from "node:child_process";
 import { createServer } from "node:http";
+import { isDeepStrictEqual } from "node:util";
 //#region ../../scripts/widget/widget-dev.mjs
 const repoRoot = resolve(fileURLToPath(new URL("../..", import.meta.url)));
 const DEFAULT_PORT = 4300;
@@ -57,7 +57,6 @@ const RESOURCE_BUDGET = {
 	},
 	files: {
 		readBytesPerRequest: 4194304,
-		readBytesPerRun: 16777216,
 		callsPerMinute: 120,
 		listPageSize: 100
 	},
@@ -286,7 +285,6 @@ function requestedGrants(requested = {}) {
 		name: "files.read",
 		limits: {
 			bytesPerRequest: 4194304,
-			bytesPerRun: 16777216,
 			callsPerMinute: 120
 		}
 	});
@@ -384,7 +382,7 @@ function panelDevelopmentDescriptor(generation, profileUrl, statusUrl) {
 		widgetId,
 		widgetVersionId,
 		snapshot: {
-			id,
+			panelType: id,
 			title: generation.manifest.name,
 			state: "complete",
 			data: {}
@@ -1382,7 +1380,7 @@ function commandTopics(context) {
 			notes: [
 				"不传 --project 时只发现 CLI 自带工具链，不检查当前目录是否为 Widget 工程。",
 				"传入工程时要求工具链锁；尚未安装依赖时先核对声明，已安装时同时核对实际版本。",
-				"JSON 使用 interfaceVersion=2、toolchain.formatVersion=2；返回 execution、profile、requirements 和 documentation。",
+				"JSON 使用 interfaceVersion=3、toolchain.formatVersion=3；返回 execution、profile、requirements 和 documentation。",
 				"调用方应使用 execution.executable 与 execution.entry 启动同一份 CLI，避免 PATH 指向另一版本。",
 				"宿主声明由调用方提供；unknown、snapshot、confirmed 不代表上传或发布许可。"
 			],
@@ -1395,7 +1393,7 @@ function commandTopics(context) {
 			options: [HOST_OPTION, JSON_OPTION],
 			examples: ["bohr-widget adopt ./existing-widget --json", "bohr-widget adopt . --host-compat ./host.json --json"],
 			notes: [
-				"先运行 doctor，恢复当前 profile 的精确 SDK/contracts 依赖并安装。",
+				"先运行 doctor，恢复当前 profile 的精确 SDK 依赖并安装。",
 				"核对实际依赖、Manifest 和 samples 后才写锁；不要求已构建入口。",
 				"不会自动升级依赖、迁移源码或修正协议字段；检查不通过时先修复工程。"
 			]
@@ -1412,7 +1410,7 @@ function commandTopics(context) {
 			]
 		},
 		version: {
-			description: "查看当前 CLI 及其固定的 SDK/contracts 版本。",
+			description: "查看当前 SDK 执行器及内置协议摘要。",
 			usage: ["bohr-widget version [--json]", "bohr-widget --version [--json]"],
 			options: [JSON_OPTION],
 			examples: ["bohr-widget version --json", "bohr-widget -v"],
@@ -1483,9 +1481,9 @@ function section(title, lines) {
 	return lines.length ? `\n${title}：\n${lines.map((line) => `  ${line}`).join("\n")}\n` : "";
 }
 function globalHelp(context) {
-	const { cli, sdk, contracts, packageName = "@dp-bohrium/widget-cli", generatedProjectNode, documentation } = context;
+	const { cli, sdk, packageName = "@dp-bohrium/widget-cli", generatedProjectNode, documentation } = context;
 	return `bohr-widget ${cli} — Bohrium Widget 插件工程工具
-SDK ${sdk} / contracts ${contracts}
+SDK ${sdk}（协议与执行工具链均由 SDK 内置）
 创建、校验、构建、开发调试与打包；上传、发布和 Agent 绑定由 Bohr CLI 或平台执行。
 
 用法：
@@ -1505,7 +1503,7 @@ SDK ${sdk} / contracts ${contracts}
   schema                           打印作者 Manifest Schema 的本地路径
   migrate project plan|apply        比较 Agent 准备的候选并安全复制到新目录
   migrate dsh audit|scaffold        审计 DSH 来源或按已审查配方生成工程
-  version                          查看 CLI 与固定的 SDK/contracts 版本
+  version                          查看 SDK 执行器与内置协议版本
   help [命令...]                   查看全局或指定主题帮助
 
 全局选项：
@@ -1645,10 +1643,7 @@ function lintAuthorManifest(manifest, options = {}) {
 //#region src/project-executor.mjs
 const PROJECT_TOOLCHAIN_FILE = "widget-toolchain.json";
 const BUILD_RECEIPT_FILE = ".widget-build-receipt.json";
-const PACKAGES = Object.freeze({
-	sdk: "@dp-bohrium/widget-sdk",
-	contracts: "@dp-bohrium/widget-contracts"
-});
+const PACKAGES = Object.freeze({ sdk: "@dp-bohrium/widget-sdk" });
 const EXACT_VERSION = /^(0|[1-9]\d*)\.(0|[1-9]\d*)\.(0|[1-9]\d*)(?:-[0-9A-Za-z-]+(?:\.[0-9A-Za-z-]+)*)?(?:\+[0-9A-Za-z-]+(?:\.[0-9A-Za-z-]+)*)?$/u;
 function failure(code, message, context, recovery) {
 	return Object.assign(new Error(message), {
@@ -1722,12 +1717,12 @@ async function assertHostCompatibility(hostCompatPath, toolchain, { now = Date.n
 }
 function assertMatchingLock(lock, toolchain, root) {
 	const { profile } = toolchain;
-	if (!record$1(lock) || lock.formatVersion !== 1 || lock.profileId !== profile.id) throw failure("PROJECT_PROFILE_MISMATCH", "工程锁定的 profile 与当前 Widget CLI 不一致", {
+	if (!record$1(lock) || lock.formatVersion !== 2 || lock.profileId !== profile.id) throw failure("PROJECT_PROFILE_MISMATCH", "工程锁定格式或 profile 与当前 SDK 不一致；旧工程需准备当前源码候选后迁移，不能复用历史执行器", {
 		projectRoot: root,
 		expectedProfile: profile.id,
 		actualProfile: lock?.profileId
 	}, ["使用当前受支持的 CLI，并在新目录显式迁移工程与验收；不要回选旧 CLI 绕过 profile 差异。"]);
-	if (lock.sdk !== profile.sdk || lock.contracts !== profile.contracts) throw failure("PROJECT_SDK_MISMATCH", "工程锁定的 SDK/contracts 与当前 profile 不一致", {
+	if (lock.sdk !== profile.sdk || !isDeepStrictEqual(lock.protocol, toolchain.protocol)) throw failure("PROJECT_SDK_MISMATCH", "工程锁定的 SDK 或内置协议与当前 profile 不一致", {
 		projectRoot: root,
 		expected: profile,
 		actual: lock
@@ -1766,39 +1761,58 @@ function assertInstalledPackage(actual, name, expected, root) {
 		installed: actual?.version
 	}, ["按工程锁定信息恢复依赖并重新安装，再重新构建。"]);
 }
-/** 只接受 SDK 自身依赖或其安装目录中的提升依赖，不向工作区祖先借用。 */
-async function sdkContractsMetadata(sdkPath, root) {
-	const sdkRoot = dirname(await realpath(sdkPath));
-	const resolver = createRequire(join(sdkRoot, "package.json"));
-	const lookupRoots = /* @__PURE__ */ new Set([join(sdkRoot, "node_modules")]);
-	for (let current = sdkRoot; dirname(current) !== current; current = dirname(current)) if (basename(current) === "node_modules") {
-		lookupRoots.add(current);
-		break;
+/** 名称和字节同时参与摘要；禁止通过协议资产链接借用其他安装。 */
+async function schemaDigest(directory) {
+	const hash = createHash("sha256");
+	const paths = [];
+	async function visit(path) {
+		const entry = await lstat(path);
+		if (entry.isSymbolicLink()) throw new Error("SDK 协议资产不允许符号链接");
+		if (entry.isDirectory()) for (const name of (await readdir(path)).sort()) await visit(join(path, name));
+		else if (entry.isFile()) paths.push(path);
+		else throw new Error("SDK 协议资产必须是普通文件");
+	}
+	await visit(directory);
+	if (!paths.length) throw new Error("SDK 协议资产为空");
+	for (const path of paths.sort()) {
+		const bytes = await readFile(path);
+		hash.update(relative(directory, path).split(sep).join("/"));
+		hash.update("\0");
+		hash.update(String(bytes.length));
+		hash.update("\0");
+		hash.update(bytes);
 	}
+	return `sha256:${hash.digest("hex")}`;
+}
+async function assertEmbeddedProtocol(sdkPath, toolchain, root) {
+	const sdkRoot = dirname(await realpath(sdkPath));
 	try {
-		const resolvedPath = await realpath(resolver.resolve(`${PACKAGES.contracts}/package.json`));
-		for (const lookup of resolver.resolve.paths(PACKAGES.contracts) ?? []) {
-			if (!lookupRoots.has(lookup)) continue;
-			try {
-				if (await realpath(join(lookup, PACKAGES.contracts, "package.json")) === resolvedPath) return await json(resolvedPath, "PROJECT_SDK_MISMATCH", ["重新安装工程 SDK 及其配套 contracts 依赖。"]);
-			} catch (error) {
-				if (error.code !== "ENOENT") throw error;
-			}
-		}
+		const embedded = JSON.parse(await readFile(join(sdkRoot, "assets/toolchain.json"), "utf8"));
+		if (embedded.formatVersion !== 3 || embedded.packageName !== PACKAGES.sdk || embedded.cli !== toolchain.profile.sdk || !isDeepStrictEqual(embedded.profile, toolchain.profile) || !isDeepStrictEqual(embedded.protocol, toolchain.protocol) || !isDeepStrictEqual(embedded.digests, toolchain.digests) || embedded.protocol?.schemaVersion !== 1 || embedded.protocol?.hostApiVersion !== 1 || embedded.protocol?.digest !== embedded.digests?.schemas) throw new Error("SDK 内置协议或执行工具链元数据与当前执行器不一致");
+		for (const directory of ["schemas", "assets/schemas"]) if (await schemaDigest(join(sdkRoot, directory)) !== embedded.protocol.digest) throw new Error("SDK 内置协议资产已漂移");
 	} catch (error) {
-		if (error.cliCode) throw error;
+		throw failure("PROJECT_SDK_MISMATCH", "工程 SDK 缺少有效的自包含协议资产或摘要不一致", {
+			projectRoot: root,
+			package: PACKAGES.sdk,
+			cause: error.message
+		}, ["在当前工程安装正确的 SDK 完整包，再重新构建；不能借用祖先目录或旧 contracts 包。"]);
 	}
-	throw failure("PROJECT_SDK_MISMATCH", "工程 SDK 缺少自身可解析的配套 contracts，不能借用祖先目录或 CLI 的依赖", {
-		projectRoot: root,
-		package: PACKAGES.contracts
-	}, ["在该 Widget 工程目录重新安装依赖，并保留 SDK 自身的传递依赖。"]);
 }
-/** SDK 必须由工程直接安装，contracts 从该 SDK 的真实依赖核对。 */
+/** SDK 必须由工程直接安装；协议只能来自该 SDK 自己的冻结资产。 */
 async function validateProjectToolchain(projectRoot, toolchain, { requireInstalled = true, requireLock = true } = {}) {
 	const root = resolve(projectRoot);
 	const lock = await readLock(root, toolchain, requireLock);
 	const pkg = await json(join(root, "package.json"), "PROJECT_SDK_MISMATCH", ["恢复工程 package.json 中的精确 SDK 依赖。"]);
 	if (!record$1(pkg)) throw failure("PROJECT_SDK_MISMATCH", "工程 package.json 必须是对象", { projectRoot: root }, ["恢复工程 package.json 中的精确 SDK 依赖。"]);
+	for (const section of [
+		"dependencies",
+		"devDependencies",
+		"optionalDependencies",
+		"peerDependencies"
+	]) for (const name of ["@dp-bohrium/widget-contracts", "@dp-bohrium/widget-cli"]) if (pkg[section]?.[name] !== void 0) throw failure("PROJECT_SDK_MISMATCH", "作者工程仍直接声明 contracts 或 CLI，需统一使用 SDK 入口", {
+		projectRoot: root,
+		package: name
+	}, ["作者工程统一依赖 SDK；独立 CLI 请在工具目录或通过 npx 使用，Contracts 独立包供 Host 等消费者使用。保留作者源码，在独立候选中移除重复依赖、重新安装和构建。"]);
 	const declared = {};
 	const installed = {};
 	for (const [key, name] of Object.entries(PACKAGES)) {
@@ -1821,53 +1835,22 @@ async function validateProjectToolchain(projectRoot, toolchain, { requireInstall
 		const actual = await json(path, "PROJECT_SDK_MISMATCH", ["在该 Widget 工程目录安装依赖，再重试；父目录或 CLI 的安装不能替代工程安装。"]);
 		assertInstalledPackage(actual, name, expected, root);
 		installed[key] = actual.version;
-		if (key === "sdk") {
-			const dependency = actual.dependencies?.[PACKAGES.contracts];
-			if (dependency !== toolchain.profile.contracts && dependency !== "workspace:*" && dependency !== `workspace:${toolchain.profile.contracts}`) throw failure("PROJECT_SDK_MISMATCH", "工程 SDK 的 contracts 依赖与固定 profile 不一致", {
-				projectRoot: root,
-				package: name,
-				expected: toolchain.profile.contracts,
-				declared: dependency
-			}, ["安装固定 profile 对应的 SDK；发布包的 contracts 依赖必须为精确版本。"]);
-			const contracts = await sdkContractsMetadata(path, root);
-			assertInstalledPackage(contracts, PACKAGES.contracts, toolchain.profile.contracts, root);
-			installed.contracts = contracts.version;
-		}
+		for (const name of ["@dp-bohrium/widget-contracts", "@dp-bohrium/widget-cli"]) if ([
+			"dependencies",
+			"optionalDependencies",
+			"peerDependencies"
+		].some((section) => actual[section]?.[name] !== void 0)) throw failure("PROJECT_SDK_MISMATCH", "工程 SDK 仍包含独立协议或 CLI 运行依赖，不符合当前自包含发布契约", {
+			projectRoot: root,
+			package: name
+		}, ["安装当前自包含 SDK 包，再重新构建。"]);
+		await assertEmbeddedProtocol(path, toolchain, root);
 	}
 	return {
 		projectRoot: root,
 		profile: { ...toolchain.profile },
 		declared,
 		installed,
-		deprecations: declared.contracts ? [{
-			code: "WIDGET_CLI_DIRECT_CONTRACTS_DEPRECATED",
-			message: "独立消费者直接声明 contracts 的旧入口已废弃，将在统一入口切换发布 R1 前移除；协议类型与资产改从 SDK 导入。",
-			replacement: {
-				package: PACKAGES.sdk,
-				entryPoints: [
-					".",
-					"./contracts",
-					"./schemas/*.json",
-					"./conformance/*"
-				]
-			},
-			removal: {
-				release: "R1",
-				phase: "before-publish",
-				policyDocument: "docs/plans/2026-10-29-widget-sdk-forge-unified-entry.md",
-				prerequisites: [
-					"unified-sdk-entries-deliverable",
-					"agent-guided-project-migration-ready",
-					"bohr-and-hosts-upgraded"
-				]
-			},
-			migration: {
-				status: "agent-guided",
-				project: "migrate project plan/apply",
-				candidateRequired: true
-			},
-			recovery: ["先核实目标 SDK 的统一出口已公开，再迁移类型和 Schema 导入、删除工程直接 contracts 依赖，并重新安装、构建、校验和打包。", "由 Agent 或开发者依据当前 SDK 准备候选，再用 migrate project plan --candidate 只读审阅差异，确认 canApply 后在新目录 apply；不自动改写源码或依赖，adopt 只补锁。"]
-		}] : [],
+		deprecations: [],
 		dependenciesVerified: requireInstalled,
 		lock
 	};
@@ -1877,10 +1860,10 @@ async function writeProjectToolchain(projectRoot, toolchain) {
 	const existing = await readLock(root, toolchain, false);
 	if (existing) return existing;
 	const value = {
-		formatVersion: 1,
+		formatVersion: 2,
 		profileId: toolchain.profile.id,
 		sdk: toolchain.profile.sdk,
-		contracts: toolchain.profile.contracts,
+		protocol: toolchain.protocol,
 		createdWithCli: toolchain.cli
 	};
 	await mkdir(root, { recursive: true });
@@ -1921,6 +1904,7 @@ function receiptToolchain(toolchain) {
 	return {
 		cli: toolchain.cli,
 		profile: toolchain.profile,
+		protocol: toolchain.protocol,
 		digests: toolchain.digests
 	};
 }
@@ -1965,7 +1949,7 @@ async function writeBuildReceipt(projectRoot, toolchain, { inputsBefore } = {})
 	const outputs = await fingerprint(result.projectRoot, { outputs: true });
 	if (outputs.files.length === 0) throw failure("BUILD_RECEIPT_MISMATCH", "构建目录 dist 没有可记录的产物", { projectRoot: result.projectRoot }, ["执行标准 build，确认 dist 产物存在后再打包。"]);
 	const receipt = {
-		formatVersion: 1,
+		formatVersion: 2,
 		toolchain: receiptToolchain(toolchain),
 		dependencies: result.installed,
 		inputs,
@@ -1984,7 +1968,7 @@ async function assertBuildReceipt(projectRoot, toolchain) {
 	};
 	const receipt = await json(join(root, BUILD_RECEIPT_FILE), "BUILD_RECEIPT_MISMATCH", ["先执行 bohr-widget build，或去掉 pack 的 --no-build。"]);
 	const project = await validateProjectToolchain(root, toolchain);
-	if (!record$1(receipt) || receipt.formatVersion !== 1 || JSON.stringify(receipt.toolchain) !== JSON.stringify(receiptToolchain(toolchain)) || JSON.stringify(receipt.dependencies) !== JSON.stringify(project.installed)) mismatch("receipt 工具链或实际依赖与本次执行不一致");
+	if (!record$1(receipt) || receipt.formatVersion !== 2 || JSON.stringify(receipt.toolchain) !== JSON.stringify(receiptToolchain(toolchain)) || JSON.stringify(receipt.dependencies) !== JSON.stringify(project.installed)) mismatch("receipt 工具链或实际依赖与本次执行不一致");
 	let inputs;
 	let outputs;
 	try {
@@ -2635,7 +2619,6 @@ export { activate };
 						name: "files.read",
 						limits: {
 							bytesPerRequest: 65536,
-							bytesPerRun: 262144,
 							callsPerMinute: 60
 						}
 					}
@@ -2758,12 +2741,11 @@ function getSchemaPath(name = "widget-manifest.schema.json") {
 const toolchain = getToolchain();
 const packageJson = { version: toolchain.cli };
 const sdkPackage = { version: toolchain.profile.sdk };
-const contractsPackage = { version: toolchain.profile.contracts };
 function usage(path = []) {
 	return renderHelp(path, {
 		cli: packageJson.version,
 		sdk: sdkPackage.version,
-		contracts: contractsPackage.version,
+		protocol: toolchain.protocol,
 		packageName: toolchain.packageName,
 		documentation: getDocumentation(),
 		generatedProjectNode: GENERATED_PROJECT_NODE
@@ -2914,7 +2896,7 @@ async function commandIntegration(options) {
 	const result = {
 		ok: true,
 		command: "integration",
-		interfaceVersion: 2,
+		interfaceVersion: 3,
 		requirements: {
 			node: ">=20",
 			generatedProjectNode: GENERATED_PROJECT_NODE
@@ -3482,9 +3464,9 @@ async function commandPack(directory, options) {
 	const warnings = [];
 	if (options.includePreviewFixtures && !hasFixtures) warnings.push("使用了 --include-preview-fixtures，但 preview/fixtures.json 不存在，ZIP 未包含任何 fixtures。");
 	else if (hasFixtures && !options.includePreviewFixtures) warnings.push("工程包含 preview/fixtures.json，未使用 --include-preview-fixtures，ZIP 未包含 fixtures。");
-	const files = collectWidgetPackageFiles(result, { includePreviewFixtures: fixturesIncluded });
-	warnings.push(...oversizedAssetWarnings(files));
-	const bundle = storedZip(files);
+	const prepared = prepareWidgetPackage(result, { includePreviewFixtures: fixturesIncluded });
+	warnings.push(...oversizedAssetWarnings(prepared.files));
+	const bundle = prepared.archive;
 	await mkdir(dirname(destination), { recursive: true });
 	await writeFile(destination, bundle);
 	const artifact = {
@@ -3492,12 +3474,12 @@ async function commandPack(directory, options) {
 		command: "pack",
 		projectRoot: result.projectRoot,
 		path: destination,
-		bytes: bundle.byteLength,
-		sha256: `sha256:${createHash("sha256").update(bundle).digest("hex")}`,
+		bytes: prepared.bytes,
+		sha256: prepared.sha256,
 		toolchain: {
 			cli: packageJson.version,
 			sdk: sdkPackage.version,
-			contracts: contractsPackage.version
+			protocol: toolchain.protocol
 		},
 		...compatibility,
 		hostCompatibility: await assertHostCompatibility(options.hostCompat, toolchain),
@@ -3553,10 +3535,7 @@ async function commandMigrate(positional, options) {
 	if (action === "scaffold") {
 		if (!options.output) throw new Error("migrate dsh scaffold 需要 --out <widget-dir>");
 		const hostCompatibility = await assertHostCompatibility(options.hostCompat, toolchain);
-		const result = await scaffoldDshWidget(input, options.output, {
-			sdkVersion: sdkPackage.version,
-			contractsVersion: contractsPackage.version
-		});
+		const result = await scaffoldDshWidget(input, options.output, { sdkVersion: sdkPackage.version });
 		await writeProjectToolchain(result.projectRoot, toolchain);
 		result.profile = toolchain.profile;
 		result.hostCompatibility = hostCompatibility;
@@ -3575,7 +3554,7 @@ async function commandDoctor(directory, options) {
 		cli: packageJson.version,
 		node: process.versions.node,
 		sdk: sdkPackage.version,
-		contracts: contractsPackage.version,
+		protocol: toolchain.protocol,
 		project: root,
 		packageJson: existsSync(packagePath),
 		manifest: existsSync(manifestPath),
@@ -3650,7 +3629,7 @@ function commandVersion(options) {
 		command: "version",
 		cli: packageJson.version,
 		sdk: sdkPackage.version,
-		contracts: contractsPackage.version
+		protocol: toolchain.protocol
 	};
 	if (options.json) console.log(JSON.stringify(result, null, 2));
 	else console.log(`${result.cli} (SDK ${result.sdk})`);