@h-ai/cli 1.0.0-beta.15 → 1.0.0-beta.17

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@h-ai/cli",
   "type": "module",
-  "version": "1.0.0-beta.15",
+  "version": "1.0.0-beta.17",
   "description": "Hai Framework CLI for project scaffolding and code generation.",
   "license": "Apache-2.0",
   "keywords": [
@@ -30,7 +30,7 @@
     "node": "^22.23.4 || ^24.22.1 || ^26.12.1"
   },
   "dependencies": {
-    "@h-ai/core": "1.0.0-beta.15",
+    "@h-ai/core": "1.0.0-beta.17",
     "cac": "^7.0.1",
     "chalk": "^6.0.1",
     "fast-wrap-ansi": "^0.2.2",
@@ -41,18 +41,18 @@
     "yaml": "^2.9.1"
   },
   "devDependencies": {
-    "@h-ai/api-client": "1.0.0-beta.15",
-    "@h-ai/cache": "1.0.0-beta.15",
-    "@h-ai/crypto": "1.0.0-beta.15",
-    "@h-ai/deploy": "1.0.0-beta.15",
-    "@h-ai/feedback": "1.0.0-beta.15",
-    "@h-ai/iam": "1.0.0-beta.15",
-    "@h-ai/kit": "1.0.0-beta.15",
-    "@h-ai/payment": "1.0.0-beta.15",
-    "@h-ai/reach": "1.0.0-beta.15",
-    "@h-ai/reldb": "1.0.0-beta.15",
-    "@h-ai/storage": "1.0.0-beta.15",
-    "@h-ai/vecdb": "1.0.0-beta.15",
+    "@h-ai/api-client": "1.0.0-beta.17",
+    "@h-ai/cache": "1.0.0-beta.17",
+    "@h-ai/crypto": "1.0.0-beta.17",
+    "@h-ai/deploy": "1.0.0-beta.17",
+    "@h-ai/feedback": "1.0.0-beta.17",
+    "@h-ai/iam": "1.0.0-beta.17",
+    "@h-ai/kit": "1.0.0-beta.17",
+    "@h-ai/payment": "1.0.0-beta.17",
+    "@h-ai/reach": "1.0.0-beta.17",
+    "@h-ai/reldb": "1.0.0-beta.17",
+    "@h-ai/storage": "1.0.0-beta.17",
+    "@h-ai/vecdb": "1.0.0-beta.17",
     "@types/fs-extra": "^11.0.4",
     "@types/node": "^26.6.5",
     "@types/prompts": "^2.4.9",

package/templates/apps/api/apps/{{projectName}}-serv/README.md.hbs

@@ -23,6 +23,8 @@ pnpm --filter {{api.servPackageName}} test
 
 
 - 配置默认打包自本目录 `config/`，可在运行时只读挂载到 `/app/config`，敏感值通过环境变量注入。
+{{#if features.iam}}- 受控内网或 VPN 的生产 HTTP 入口可设置 `HAI_SERV_REFRESH_COOKIE_SECURE=false` 和实际 `HAI_SERV_CORS_ORIGIN`，重新部署后端后重新登录。刷新凭据会经 HTTP 明文传输。
+{{/if}}
 
 
 ### 关键目录

package/templates/apps/fullstack/packages/{{projectName}}-serv/README.md.hbs

@@ -53,6 +53,7 @@ CLI 同时在根 `.env.dev.local/.env.test.local/.env.prod.local` 分别生成
 - 服务镜像直接由 `@h-ai/serv` 对外监听，配置挂载点为 `/app/config`，数据目录为 `/app/data`，不包含额外转发进程。
 - Web 镜像不烘焙 API 地址；启动时使用 `-e PUBLIC_API_BASE=https://api.example.com` 注入，同一镜像可部署到不同环境。未设置时 Web 默认请求自身 origin。
 - YAML 配置使用 `${ENV_NAME:default}` 接收运行时环境变量；不要把密钥写入镜像。
+- 受控内网或 VPN 的生产 HTTP 入口可在 `.env.prod.local` 设置 `HAI_SERV_REFRESH_COOKIE_SECURE=false` 和实际 `HAI_SERV_CORS_ORIGIN`，重新部署后端后重新登录。刷新凭据会经 HTTP 明文传输。
 
 ### IAM 认证配置
 

package/templates/base/package.json.hbs

@@ -1,7 +1,7 @@
 {
   "engines": { "node": "^22.23.4 || ^24.22.1 || ^26.12.1" },
   "name": "{{projectName}}",
-  "version": "1.0.0-beta.15",
+  "version": "1.0.0-beta.17",
   "private": true,
   "packageManager": "pnpm@12.11.2",
   "description": "{{#if_eq appType 'admin'}}Enterprise management system built with hai Agent Framework{{/if_eq}}{{#if_eq appType 'website'}}Enterprise website built with hai Agent Framework{{/if_eq}}{{#if_eq appType 'h5'}}Mobile H5 app built with hai Agent Framework{{/if_eq}}{{#if_eq appType 'api'}}REST API service built with hai Agent Framework{{/if_eq}}{{#if_eq appType 'mobile-app'}}Mobile app built with hai Agent Framework{{/if_eq}}",

package/templates/skills/hai-deploy/SKILL.md

@@ -49,6 +49,8 @@ description: "构建并发布或交付已有镜像：完整离线包、按服务
 
 默认.tar.gz，显式--output release.tar为未压缩，README仅外层。镜像从解包目录导入，release只留配置/恢复状态；成功后清理本次incoming，失败保留诊断。中间件归档按镜像内容ID缓存且复用前验摘要。
 
+Serv 生产登录的刷新 Cookie 默认带 `Secure`。受控内网或 VPN 的 HTTP 部署可在所选 `.env.prod.local` 配置 `HAI_SERV_REFRESH_COOKIE_SECURE=false` 和实际 `HAI_SERV_CORS_ORIGIN`，再重新部署后端。详见 [Serv Cookie 配置](../hai-serv/reference.md#cookie-规格)。
+
 ## 后端运行配置重载
 
 交付 README 仅列初始账号变量名及所选环境文件或 `process.env` 来源，不打印密码。Fullstack 初始密码在创建工程时生成，部署带入已有值；已有账号不因环境变量变更重置密码或恢复旧职责，自定义应用以实际引导逻辑为准。
@@ -61,6 +63,8 @@ Node 后端（Serv / SvelteKit SSR）每次启动读取服务器 `<部署目录>
 
 运行文件固定为 `<部署目录>/config/.env.runtime`，只读挂载目录到 `/run/hai/config`；各 release 保留配置快照。单文件不超过 1 MiB，缺失、不可读、重复变量或超限阻止启动；dotenv 字面解析不执行 shell。同源细项覆盖 JSON，显式进程 HAI 配置优先。修改后重启、验健康和受影响业务，失败恢复备份再重启。
 
+每个部署包的外层 `README.txt` 和归档内 `APPLY.txt` 都包含文件索引、环境优先级、当前包的变量名和排障步骤。解包目录的 `config/.env.runtime` 是发布输入，部署根下的是当前运行配置，`releases/<ID>/` 下的是历史记录。外部 PostgreSQL 改密后更新项目源环境并发布后端。部署校验拒绝 URL 与分字段密码冲突，增量切换外部与随包中间件需要改用全量发布。 `HAI_SERV_REFRESH_COOKIE_SECURE` 独立于 `HAI_SERV` 父配置，容器部署接受 `true`、`false` 或空值。
+
 部署归档顶层包含 `apply.sh`、`APPLY.txt`、`manifest.json`、`config/`、`images/` 和 `.hai/`。`config/.env.runtime` 是唯一应用环境文件；`manifest.json.metadata` 集中保存依赖、布局、健康路径、镜像列表、受管绑定等非敏感元数据。`.hai/compose.json` 是完整服务快照；局部更新在服务边界替换并保留未选服务，不串联历史 Compose 文件。`.hai/` 还存原生环境、加载器、Nginx/TLS、策略和校验和，秘密不写入 manifest。辅助脚本合入 `apply.sh`。失败时先恢复原应用配置再恢复服务，凭据、后端账本和数据卷继续保护。新包格式为 2，不实现旧目录兼容或迁移。
 
 ## CLI

package/templates/skills/hai-deploy/middleware.md

@@ -39,6 +39,8 @@ Podman 部署会主动执行容器已有的 healthcheck 并重新核对状态，
 
 中间件原生变量（`POSTGRES_*`、`MYSQL_*`、`RUSTFS_*`、`MINIO_*`、`LDAP_*`）按镜像契约保留原名，只写私有 `.hai/middleware-runtime.env`，仅由中间件读取。应用连接全部合并到 `config/.env.runtime`。
 
+外部 PostgreSQL 改密后，更新项目私有环境中实际生效的 URL 或分字段密码，再发布后端。打包校验会报告冲突字段名。`managed-secrets.env` 只由受管中间件使用，随包 PostgreSQL 已有数据卷时须通过数据库维护协调真实账号和受管状态。增量发布拦截外部与随包中间件的归属切换。
+
 数据库连接保存前复用所选后端的公开配置 Schema；MySQL `ssl` 仅 `false` 或严格对象，`{}` 默认验证证书链和 DNS 身份，`ca/cert/key` 为 PEM 内容且 `cert/key` 必须成对；私钥仅进入私有环境。PostgreSQL 保留其布尔值/字符串模式/对象契约。CLI 内联 `@h-ai/reldb/schemas` 与 Zod，无需为配置校验给目标应用额外安装数据库包或驱动；部署本身仍需已安装的 `@h-ai/deploy`，实际运行应用仍需其数据库依赖。
 
 先用 `deploy.scan(appDir, { environment, envDir })` 核对实际依赖、配置与环境值。扫描从目标 workspace 的 `pnpm-lock.yaml` importer 出发，沿 dependencies/optionalDependencies 遍历，排除 devDependencies、peerDependencies 和其他应用未被引用的依赖；workspace link 只沿运行依赖继续。pnpm 12 的工具链 YAML 文档不能混入应用图。lockfile、目标 importer 或依赖节点缺失时先执行 `pnpm install` 修复；依赖图不读取 package.json、pnpm-workspace.yaml 或项目目录布局。配置文件决定已识别模块的后端，保留的旧配置不能自行启用未依赖的模块。

package/templates/skills/hai-serv/reference.md

@@ -113,7 +113,7 @@ const app = serv.createApp({
 - 生产环境 `cors.origin` 禁止为空或 `*`，启动时 fail-fast。
 - 普通 Web Origin 仅接受 HTTP(S)；原生 Origin 通过 `cors.nativeOrigins` 显式允许 HTTP(S)、Capacitor 或 Tauri。
 - Origin 按完整规范化值精确匹配，不使用前缀/后缀匹配。
-- 生产环境自动要求 Secure refresh cookie，并把 OpenAPI/docs 作为安全上限关闭。
+- 生产环境默认给刷新 Cookie 加 `Secure`，并关闭 OpenAPI 和 docs。受控内网或 VPN 的 HTTP 入口可在后端进程设置 `HAI_SERV_REFRESH_COOKIE_SECURE=false`，重启并重新登录。HTTP 会明文传输刷新凭据，生产 CORS 仍须配置完整的实际 Origin。
 
 ### 2.1 Audio WebSocket 安全接入
 
@@ -750,7 +750,7 @@ const app = serv.createApp({
   refreshCookie: {
     // cookieName?: string              默认 'hai_refresh_token'
     // maxAge?: number                  默认 30 * 24 * 3600（30 天）
-    // secure?: boolean                 默认 NODE_ENV 或 HAI_CORE_ENV 为 production 时开启；测试开关不放宽
+    // secure?: boolean                 显式值优先于后端变量 HAI_SERV_REFRESH_COOKIE_SECURE
     // onRefresh?: (token) => ...       可选：覆盖默认的 iam.session.refresh
     nativeTokenTransport: {
       // 必须 fail-closed：同时校验平台标识与允许的原生 Origin。
@@ -773,9 +773,11 @@ const app = serv.createApp({
 | Path     | `{apiPrefix}/auth/refresh`（最小范围）               |
 | HttpOnly | ✓                                                    |
 | SameSite | `Strict`                                             |
-| Secure   | 生产自动开启，`secure: false` 可在 HTTP 开发环境关闭 |
+| Secure   | 显式 `secure` 优先，然后读取 `HAI_SERV_REFRESH_COOKIE_SECURE` 的 `true` 或 `false`，其余值按环境默认 |
 | Max-Age  | 30 天（可配置）                                      |
 
+直接调用 `serv.createApp` 时，环境默认根据 `NODE_ENV` 或 `HAI_CORE_ENV` 是否为 `production` 判断。通过 `serv.createRuntimeSecurityPolicy` 赋值时，策略的默认值来自传入的 `environment`。测试开关不参与该判断。
+
 ## 测试
 
 ```bash