@heybox/hb-sdk 0.6.7-alpha.2 → 0.6.8-alpha.0

package/CHANGELOG.md

@@ -0,0 +1,226 @@
+# Changelog
+
+## 0.6.8-alpha.0
+
+### Docs / Agent Skill
+
+- 精简外部开发者 README，拆分详细参考内容 (@heybox/hb-sdk).
+- npm 包显式包含 README 与共同 Changelog，发布检查会阻止文档遗漏 (@heybox/hb-sdk).
+
+## 0.6.7
+
+### SDK
+
+- Improve CLI diagnostics (hb-sdk).
+
+## 0.6.7-alpha.2
+
+### SDK
+
+- 放宽官方静态资源 CSP，保留网络出口限制 (@heybox/hb-sdk).
+
+### Build and CLI
+
+- `miniappManifest()` 在 build 和 dev 中始终注入平台 CSP；官方 HTTPS 域名可用于脚本、样式、图片、字体和媒体资源，浏览器原生网络出口仍保持限制。
+
+## 0.6.7-alpha.1
+
+### Runtime
+
+- 合并排行榜重复读请求，增加短期缓存 (@heybox/hb-sdk-runtime).
+
+## 0.6.7-alpha.0
+
+### Runtime
+
+- 将截图来源身份绑定到启动详情返回的小程序 ID，避免信任未经绑定的宿主 URL 参数 (@heybox/hb-sdk-runtime)。
+- 自定义 `resolveLaunchUrl` 可通过 `helpers.bindCanonicalIdentity` 回填可信小程序身份，避免 cloud / 截图来源在覆盖启动解析时丢失 identity (@heybox/hb-sdk-runtime)。
+- Mock Runtime 支持显式 `identity`，并在注释中标明 mock host URL 与生产启动详情信任边界的差异 (@heybox/hb-sdk-runtime)。
+
+## 0.6.6
+
+### SDK
+
+- 真机预览改用短时 token 保护的 `dev_context_url`，并通过 token-bound 本地代理执行 `network.request`；旧 `dev_network_request` 不再授权。
+- `share.showShareMenu()` 与 `share.screenshot()` 支持通过 `post` 预置社区发帖分区和话题。
+
+### Build and CLI
+
+- 新增 `hb-sdk build [--env <name>]` 作为推荐生产构建入口，新模板默认在类型检查后调用该命令。
+- Dev Context 权限覆盖按项目和小程序持久化；Mock Host 网络代理允许本机、局域网和保留地址，同时保留协议、敏感请求头、超时和重定向安全校验。
+- `hb-sdk dev` 与 `hb-sdk remote deploy` 仅在远端已授权官方域名网络请求时跳过平台 CSP；其他构建和异常权限快照继续 fail closed 注入。
+
+### Runtime
+
+- `network.request` 在权限开启后允许任意 HTTP(S) 目标，官方域名授权仍由 `useOfficialDomain` 独立控制。
+- 分享 Runtime 对 `post` 做白名单归一化：开发环境严格报错，生产环境过滤非法项并保留原分享流程。
+
+## 0.6.6-alpha.4
+
+### Build and CLI
+
+- `hb-sdk dev` 与 `hb-sdk remote deploy` 在远端 `network.request` 已启用且 `useOfficialDomain=true` 时跳过平台 CSP；`hb-sdk build`、直接 Vite build、匿名或异常权限快照继续 fail closed 注入，Runtime Gate 与其他 HTML 校验保持不变。
+
+## 0.6.6-alpha.3
+
+### Build and CLI
+
+- 新增 `hb-sdk build [--env <name>]` 作为推荐生产构建入口：直接使用项目 Vite、固定清理并生成 `dist/`，要求显式配置 `miniappManifest()`，且不执行类型检查、不依赖登录、项目绑定或远端网络。
+- 新模板的 `scripts.build` 改为 `vue-tsc --noEmit && hb-sdk build`；`hb-sdk remote deploy` 继续执行项目自己的 `scripts.build`，现有 `vite build` 项目保持兼容且不会自动迁移。
+
+## 0.6.6-alpha.2
+
+### SDK
+
+- `share.showShareMenu()` 与 `share.screenshot()` 新增可空 `post` 配置，通过 `topicIds` 和不带首尾 `#` 的 `topics` 预置客户端社区发帖页；普通分享支持一个默认分区，截图分享支持多个分区。
+
+### Runtime
+
+- 分享 Runtime 对 `post` 做白名单归一化：开发 Runtime 严格返回参数错误，生产 Runtime 过滤非法项并保留原分享流程；客户端协议仍只在 Host adapter 内生成。
+
+## 0.6.6-alpha.1
+
+### Build and CLI
+
+- Mock Host 的 `network.request` 代理不再拒绝本机、局域网或保留地址；初始请求和重定向仍分别解析并固定连接地址。
+
+### Runtime
+
+- `network.request` 在权限开启后允许任意 HTTP(S) 目标，不再按本机、内网、link-local、metadata 或保留地址分类拒绝初始 URL；协议、URL 用户信息、敏感请求头、超时和请求体限制保持不变。
+
+## 0.6.6-alpha.0
+
+### Build and CLI
+
+- Dev Context 权限覆盖改为持久化到 `hb-sdk` 用户缓存，并按真实项目路径与小程序 ID 隔离；刷新调试页或重启 `hb-sdk dev` 后继续生效，只有显式重置才会重新读取远端权限并清除覆盖。
+- 权限覆盖按 scope 拆分为独立原子文件，多调试页或多进程写入同一 scope 时采用最后成功写入的完整配置；缓存写入失败时当前页面仍立即应用修改，并明确提示刷新或重启后会丢失。
+
+### SDK
+
+- 真机预览改用 5 分钟有效、256-bit token 保护的 `dev_context_url`：Runtime Host 启动前拉取不可变权限快照，`network.request` 仅走 token-bound 本地代理且固定 `useOfficialDomain: false`；旧 `dev_network_request` 不再授权，Android/iOS 客户端无需修改 (@heybox/hb-sdk).
+
+## 0.6.5
+
+### Docs / Agent Skill
+
+- 优化小程序工坊公开文档，突出 AI 开发路径，统一受控沙箱、网络权限、真机调试和发布展示口径。
+- 精简 CLI 与本地 Mock 指南，收紧可分发 Agent Skill 的公开边界。
+
+## 0.6.4
+
+### Build and CLI
+
+- `hb-sdk dev` 不再把项目绑定、CLI 登录或远端 dev context 作为启动门禁；远端信息不可用时，浏览器 Mock、Mac 启动协议和手机二维码仍可进入默认拒绝受管能力的匿名本地沙箱。
+- Mock Host 支持仅在本地内存中切换 `network.request` 权限，并按远端快照保留官方域名权限，对比提示上线后的 `PERMISSION_DENIED` 差异；切换权限不会重建 iframe 或中断 Vite HMR，也不会修改线上配置。
+- 匿名降级继续向 LAN bootstrap 只提供固定脱敏提示；`hb-sdk dev --verbose` 会在本地输出移除 URL 凭据后的失败原因。Runtime 与 Mock Host 统一复用 `@heybox/hb-sdk/protocol` 的权限快照解析器。
+
+## 0.6.3
+
+### Build and CLI
+
+- 移除 `hb-sdk dev` 和手动 Vite build 的客户端最低 SDK 版本查询、比较与 24 小时缓存；Manifest SDK 版本记录、Runtime 启动校验和服务端发布策略保持生效。
+
+## 0.6.2
+
+### CLI
+
+- `hb-sdk remote deploy` 仅从项目配置读取 `package.json.heybox.miniProgramId`；名称/icon/封面由开放平台维护。服务端在无历史审核通过资料时注入默认名与默认图，占位资料可 release 但不可 `square show`。
+
+## 0.6.1
+
+### CLI
+
+- `hb-sdk remote deploy` 及 `--from-version` 不再执行客户端最低 SDK 版本查询或比较；Manifest 校验和服务端版本策略保持生效。
+
+## 0.6.0
+
+### SDK
+
+- 根入口改为 eager 创建唯一 SDK 实例并立即握手；移除 `createMiniProgramSDK`、`MiniProgramSDK` 和 `MiniProgramSDKOptions` 公共导出，业务统一迁移到默认单例。
+- handshake 携带构建时注入的真实 `sdkVersion`，为 Runtime 心跳、导航越界检测和版本一致性校验提供依据。
+
+### Build and CLI
+
+- `miniappManifest()` 自动写入不可覆盖的 `sdkVersion`，仅允许 `dist/index.html`，并在 `<head>` 首位注入禁止浏览器原生网络出口的 CSP；危险资源 URL、meta refresh、额外 HTML 和危险 resource hint 会直接使 build 失败。
+- 工坊小程序构建产物只能在兼容的小黑盒 Runtime 中启动，普通浏览器直接打开时不执行标准业务脚本。
+- `hb-sdk dev`、Vite build 和 `hb-sdk remote deploy` 接入公共 `minimumSdkVersion` 门禁，按 Remote Environment 隔离缓存最后一次有效配置 24 小时；无有效配置默认阻断。
+- `hb-sdk remote deploy` 移除 `--skip-build`，普通发布始终执行项目 build，并拒绝不符合 Runtime-only 启动要求的入口产物。
+- `hb-sdk remote deploy --env <name>` 在加载 `.env.<name>` 后会将同名 Vite mode 传给项目 build，并让 Vite 最低 SDK 版本门禁携带 `HB_SDK_SERVICE_TAG`，使 CLI 后端环境、灰度路由和构建环境保持一致。
+- 正式 deploy 拒绝预发布 SDK，dev/build 允许合规预发布版本用于远程预览。
+
+### Runtime
+
+- 保持 bridge 消息版本 1，增加内部 location probe/report 与 CSP 诊断契约；Runtime 可对 SDK 0.6 及以上版本执行主动心跳和导航范围检查。
+
+## 0.5.17
+
+### CLI
+
+- 使用结构化登录态错误码判断本地 Runtime 权限降级，避免登录提示文案调整导致 `hb-sdk dev` 启动中断。
+
+### SDK
+
+- 保持 `@heybox/hb-sdk` 与 `@heybox/hb-sdk-runtime` 版本一致，并补齐 Runtime 权限契约与跨端回归验证。
+
+## 0.5.16
+
+### Runtime
+
+- `network.request` 改为读取服务端 Runtime 权限快照并默认拒绝未显式授权的请求，官方域名访问由 `useOfficialDomain` 独立控制。
+
+### SDK
+
+- 保持 `@heybox/hb-sdk` 与 `@heybox/hb-sdk-runtime` 版本一致，并将相关 Runtime 权限回归测试纳入发布门禁。
+
+### Cloud
+
+- 修复云端排行榜请求错误使用工坊 API 域名的问题，统一通过小黑盒主站 API 访问排行榜接口。
+
+## 0.5.15
+
+### Runtime
+
+- 截图分享期间等待开发者入口隐藏完成绘制后再派发原生截图，并在页面隐藏或销毁时取消请求；绘制等待超时后兜底继续派发，避免点击分享无响应。
+
+### SDK
+
+- 保持 `@heybox/hb-sdk` 与 `@heybox/hb-sdk-runtime` 版本一致。
+
+## 0.5.14
+
+### Agent Skill
+
+- 同步 hb-sdk Agent Skill 版本元数据与完整性标识，并保持 `@heybox/hb-sdk-runtime` 和 SDK 版本一致。
+
+## 0.5.11
+
+### Cloud
+
+- 对齐云端排行榜后端契约：保留后端 SBE 错误码、校验 safe number 分数与 2048 bytes `extra` 限制，并按服务端不透明 cursor、`rankLimit` 和并发提交锁语义更新 mock runtime 与文档。
+- 同步后端排行榜创建/删除语义：创建成功后记录集合已可用，删除会同步清理配置和记录集合，不再暴露异步建表中间状态。
+- 同步当前用户记录排名计算上限：`submit()` 和 `getCurrentUserEntry()` 超出前 5000 名或 `rankLimit` 时返回 `ranked=false`、`rank=0`。
+- 补充 `cloud.leaderboard` 公开 API 文档，明确默认榜单需预先创建、`extra` 更新规则、排序与分页约束。
+
+## 0.5.10
+
+### CLI
+
+- `remote deploy --from-version` 文档化历史产物复用流程，并拒绝与 `--skip-build` 同时使用。
+
+## 0.5.7
+
+### CLI
+
+- 同步小程序版本资料接口，`remote deploy` 提交审核时带上名称、icon 和封面图.
+- 移除 `remote update` 以及 `remote create` 的基础信息参数，基础资料统一跟随版本审核.
+- 模板补充 `heybox.miniProgramProfile` 配置占位.
+
+### Agent Skill
+
+- 同步 CLI 文档、skill references 和公开 agent-skills payload 到 0.5.7.
+
+## 0.5.6
+
+Initial maintained changelog baseline.
+
+Future entries are generated from Conventional Commits, refined by AI, and confirmed by the releaser.