@geoly-ai/skills-hub 0.3.0 → 0.3.2

package/bin/skills-hub.mjs

@@ -19,6 +19,24 @@ process.emit = function (name, data, ...rest) {
 for (const k of Object.keys(process.env)) {
   if (k.startsWith('GEOLY_FAULT')) delete process.env[k];
 }
+// 🔴 认 HTTP_PROXY / HTTPS_PROXY / NO_PROXY —— **必须在第一次 fetch 之前**。
+//
+// Node 的内建 fetch（undici）**默认不认代理环境变量**，而 curl / npm / git 都认。
+// 后果不是「慢一点」：在企业代理后面，`install` 会以 `UND_ERR_CONNECT_TIMEOUT`
+// 直接失败，而同一台机器上 `curl` 同一个地址是通的 —— 于是看起来像我们的
+// registry 挂了。2026-09-03 在开发机上实测到，绕了两圈才找到。
+//
+// ⚠️ `NODE_USE_ENV_PROXY` 是 Node **24** 引入的；22.x 上这一行**无效**，
+//    代理后面的 22.x 用户仍然连不上。这是已知缺口，不要写成已解决。
+//
+// 📌 代理不削弱安全性：HTTPS 走 CONNECT 隧道，TLS 仍是端到端；
+//    而且我们对取回的字节做的是**签名验证**，一个恶意代理改了字节只会验签失败。
+//
+// 🔴 只在**用户没有显式表态**时设置：已经设过（哪怕设成 '0'）就尊重用户的选择。
+if (process.env.NODE_USE_ENV_PROXY === undefined) {
+  process.env.NODE_USE_ENV_PROXY = '1';
+}
+
 const { lockdown } = await import('../src/fault-inject.mjs');
 lockdown();
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@geoly-ai/skills-hub",
-  "version": "0.3.0",
+  "version": "0.3.2",
   "description": "geoly-ai 的 skill 分发中心 —— 安装、校验、审计",
   "type": "module",
   "bin": {

package/src/commands/context.mjs

@@ -176,6 +176,32 @@ export function uintArg(name, val) {
  * @param {object} globals  parseGlobals 的产物
  * @param {object} deps     🔴 只从 `main(argv, deps)` 的第二个形参来，argv/env 到不了这里
  */
+/**
+ * 本 CLI 自己的版本 —— 🔴 **从 package.json 读，不要硬编码。**
+ *
+ * ⚠️ 这里原本是字面量 `'0.0.0-m1'`。后果不是「显示得不好看」：
+ *    `timestamp.min_cli_version` 是按真实版本号比对的策略门，
+ *    而 `bin/skills-hub.mjs` 一个 dep 都不传 —— 于是**发布出去的 CLI
+ *    自报 0.0.0-m1，会被自己的 min_cli_version 当场挡死**。
+ *    2026-09-03 首次端到端安装时撞到：timestamp 写着 0.3.0，
+ *    而刚从 npm 装下来的 0.3.0 报的是 0.0.0-m1 → E_MIN_CLI_VERSION。
+ *
+ * 🔴 读不到就**抛**，不要退回一个假版本号：一个编出来的版本号会让
+ *    版本门做出错误判定，而那正是这道门要防的事。
+ */
+let cachedVersion;
+export function ownVersion() {
+  if (cachedVersion === undefined) {
+    const p = new URL('../../package.json', import.meta.url);
+    const v = JSON.parse(readFileSync(p, 'utf8')).version;
+    if (typeof v !== 'string' || v === '') {
+      throw new Error('读不出本 CLI 的版本号（package.json 的 version 不是非空字符串）');
+    }
+    cachedVersion = v;
+  }
+  return cachedVersion;
+}
+
 export function makeContext(globals, deps = {}) {
   const env = deps.env ?? process.env;
   const home = deps.home ?? homedir();
@@ -213,7 +239,7 @@ export function makeContext(globals, deps = {}) {
     cacheDir,
     /** 🔴 时间只从这里取：canonical JSON 要求严格 `YYYY-MM-DDTHH:MM:SSZ`，测试要能定死它 */
     now: deps.now ?? (() => new Date()),
-    cliVersion: deps.cliVersion ?? env.GEOLY_CLI_VERSION ?? '0.0.0-m1',
+    cliVersion: deps.cliVersion ?? env.GEOLY_CLI_VERSION ?? ownVersion(),
     /**
      * 🔴 验签器**没有逃生口**：`deps.verifier` 只有 `main(argv, deps)` 的调用方能给，
      *    而生产入口 `bin/skills-hub.mjs` 一个 dep 都不传。

package/src/commands/preheat-run.mjs

@@ -16,8 +16,10 @@
 import { existsSync } from 'node:fs';
 import { resolveCurrent } from '../snapshot.mjs';
 import { readTrustFloor, resolveStateDir } from '../trust.mjs';
+import { mkdirChainFsync } from '../atomic-fs.mjs';
 import { preheatAssets, preheatMetadata, promoteMetadata, discard, newBudget } from '../preheat.mjs';
 import { createCacheRegistry } from './registry.mjs';
+import { getVerifier } from './snapshot-access.mjs';
 
 /**
  * 联网刷新一次 metadata（timestamp + 当前快照）到本地缓存。
@@ -28,6 +30,16 @@ export async function preheatOnce({
   cacheDir, stateDir, verifier, cliVersion, now, fetchImpl, timeoutMs,
   budget = newBudget(),
 }) {
+  // 🔴 preheat 现在是**第一个**碰这两个目录的人。
+  //    在它之前，建目录那一步藏在 `resolveSnapshotForCommand()` 里面 ——
+  //    而 preheat 排在它前面，于是干净 home 上第一次安装直接 ENOENT。
+  //    2026-09-03 端到端撞到：`lstat '<home>/.local'`。
+  //    ⚠️ 顺序要紧：`resolveStateDir()` 内部是 `realpathSync`，**要求目录已存在**。
+  //    我第一版写成 `mkdirChainFsync(resolveStateDir(stateDir))` —— 先解析后创建，
+  //    在干净 home 上必然 ENOENT，而且报的是 `lstat '<home>/.local'`，
+  //    看起来完全不像「目录还没建」。
+  mkdirChainFsync(cacheDir);
+  mkdirChainFsync(stateDir);
   const { stagingDir, n } = await preheatMetadata({ cacheDir, fetchImpl, timeoutMs, budget });
   try {
     // 🔴 registry 指向 **staging**，不是 cache —— 验的必须是刚下回来的那份。
@@ -70,10 +82,23 @@ export async function preheatForInstall(ctx, out) {
   if (ctx.registryFactory) return { refreshed: false, reason: 'custom-registry' };
   const haveCache = existsSync(`${ctx.cacheDir}/timestamp.json`);
   try {
+    // 🔴 `ctx.verifier` 的缺省值是 **null**（不是 undefined）——
+    //    直接传会得到 `E_VERIFIER_MISSING`。命令面统一走 `getVerifier()`，
+    //    它在没注入时落到**真验签器**（内置信任根）。
+    //    ⚠️ 与 fetchImpl 是**同一个形状**：注入点缺省为 null，而下游按
+    //    「没给就用默认」写。一处栽了就该全仓找同形状的——这是第二处。
     const r = await preheatOnce({
       cacheDir: ctx.cacheDir, stateDir: ctx.stateDir,
-      verifier: ctx.verifier, cliVersion: ctx.cliVersion, now: ctx.now,
-      fetchImpl: ctx.fetchImpl,
+      verifier: await getVerifier(ctx),
+      cliVersion: ctx.cliVersion,
+      // 🔴 `ctx.now` 是**函数**（`() => new Date()`），而 `resolveCurrent` 要的是
+      //    **毫秒数**。直接传函数会一路走到 `makeFloor` 里 `new Date(fn).toISOString()`
+      //    → `RangeError: Invalid time value`，报出来的话完全看不出是这儿。
+      //    命令面原本就写着 `now: ctx.now().getTime()`（snapshot-access.mjs:54）——
+      //    ⚠️ 这是我今天**第三次**把 ctx 字段原样传下去而没看形状
+      //    （前两次：fetchImpl 与 verifier 的缺省是 null）。
+      now: ctx.now().getTime(),
+      fetchImpl: ctx.fetchImpl ?? undefined,
     });
     if (r.refreshed) out?.note?.(`已刷新到快照 ${r.n}`);
     return r;

package/src/download.mjs

@@ -135,11 +135,18 @@ export async function download(url, {
   redirectHosts = REDIRECT_HOSTS,
   maxRedirects = MAX_REDIRECTS,
   cap = MAX_DOWNLOAD_BYTES,
-  fetchImpl = globalThis.fetch,
+  fetchImpl,
   timeoutMs = DEFAULT_TIMEOUT_MS,
   what = url,
 } = {}) {
   assertDownloadUrl(url, host);
+  // 🔴 用 `??` 而不是默认参数：**默认参数只对 `undefined` 生效**。
+  //    `commands/context.mjs` 里 `fetchImpl` 的缺省值是 **`null`**（与 verifier
+  //    等注入点一致），null 会原样穿过默认参数，于是生产路径上拿到的是 null。
+  //    ⚠️ 单元测试**永远抓不到这一条** —— 它们每次都注入替身，走不到缺省分支。
+  //    2026-09-03 干净 home 端到端首次安装时才炸出来：
+  //    「当前 Node 没有内建 fetch」 —— 而 Node 25 明明有。
+  fetchImpl = fetchImpl ?? globalThis.fetch;
   if (typeof fetchImpl !== 'function') {
     throw new NetworkError('当前 Node 没有内建 fetch，且调用方没有注入 fetchImpl');
   }
@@ -164,7 +171,18 @@ export async function download(url, {
         });
       } catch (e) {
         if (ac.signal.aborted) throw new NetworkError(`${what} 下载超时（${timeoutMs} ms）`);
-        throw new NetworkError(`${what} 下载失败：${e.message}`);
+        // 🔴 **必须带上 `e.cause`。** undici 抛的永远是 `TypeError: fetch failed`，
+        //    真因（ETIMEDOUT / UND_ERR_CONNECT_TIMEOUT / ENOTFOUND / 证书错误…）
+        //    全在 `cause` 里。只报 message 的话用户看到的就是一句
+        //    「fetch failed」—— 什么都定位不了。
+        //    2026-09-03 我自己被这句话挡了两轮，最后是手写探针才挖出
+        //    UND_ERR_CONNECT_TIMEOUT，进而发现是代理没被认。
+        const why = e.cause?.code ?? e.cause?.message ?? e.code ?? '';
+        const hint = /TIMEOUT|ETIMEDOUT|ECONNREFUSED/.test(String(why))
+          ? '\n  连不上。若你在代理后面：本 CLI 认 HTTPS_PROXY / NO_PROXY，'
+            + '但那需要 Node ≥ 24（当前 ' + process.version + '）。'
+          : '';
+        throw new NetworkError(`${what} 下载失败：${e.message}${why ? `（${why}）` : ''}${hint}`);
       }
 
       if (res.status >= 300 && res.status < 400) {