@heybox/hb-sdk 0.7.4-alpha.5 → 0.7.4

package/CHANGELOG.md

@@ -1,5 +1,53 @@
 # Changelog
 
+## 0.7.4
+
+### Breaking Changes
+
+- Runtime 硬切到 `ports` + Capability Module 架构：移除 `platformAdapter`、Heybox Runtime factory 和独立 Mock Runtime，Host 集成改用 `@heybox/hb-sdk-runtime` 的 `createMiniProgramRuntime()`、`host-contract` 与 `web-host` 入口。
+- 新增零依赖 `@heybox/hb-sdk-protocol` 作为 wire contract owner；`@heybox/hb-sdk/protocol` 仅保留兼容 re-export，Runtime 网络 I/O 统一经过 `HostNetworkPort`。
+- 小程序业务 API（`auth`、`user`、`share`、`network` 等）公开契约保持不变。
+
+### SDK
+
+- `share.showShareMenu()` 支持携带 JSON-compatible `extra`；新增 `share.copyLink()` 复制并返回相同格式的通用分享链接，链接启动后可通过同步 `share.getExtra()` 恢复页面状态。
+- 无网络模式下，`user.getInfo()` 保持隐式授予 `identity` 与 `profile` 全量 scope。
+- Browser Dev Host 未配置外部 one-time code / PKCE 服务时明确禁用登录入口，避免把 CLI 登录态或 credential 暴露给调试页面。
+
+### CLI
+
+- Browser Dev Host 增加私有双栈连接，并保留现有 HTTP/SSE fallback；连接不可用时仍可按原调试流程工作。
+- Mobile 二维码统一使用 `open_inapp` 与 `heybox://` `openWindow` 包装的局域网短链接；短链返回跳转页，打开完整 `heybox-mini-dev://sandbox` 协议后延迟调用 `closeWindow` 关闭中间页。移除 `--raw-protocol` 与 `--runtime-url` 参数。
+- `hb-sdk dev` 不再支持匿名调试；启动 Browser、Mac 或 Mobile 调试前必须完成 CLI 登录并绑定小程序，且远端 Dev Context 必须可用。
+- Browser Mock 使用 Node 中的 `hb-sdk login` 会话代发 Host `heybox-session` 请求，调试页改为简单授权弹窗，凭证不下发到浏览器。
+- Browser Dev Host 的 `network.request` 代理允许办公网、Tailscale 与 Clash fake-ip 解析到的本机/局域网地址；仍拒绝 metadata、NAT64 和跨 origin redirect。
+- Mobile 调试短链使用 LAN HTTP，只应在受信局域网内使用。
+- PC/Mac 与移动端的原生启动、账号、网络、存储和权限契约保持不变，本版本不要求更新原生客户端。
+
+### Runtime
+
+- 修复首次授权弹窗仅显示占位信息的问题；展示小程序名称和图标，并在申请 `profile` 时预览当前账号昵称和头像，资料读取失败继续使用中性占位。
+- 展示资料读取增加独立超时与取消边界；账号切换、撤销或 Runtime 终止会立即取消当前确认界面。
+- Mobile/PC Host 启动配置复用已可信解析的小程序资料，回退请求携带 canonical version，避免预览或开发实例展示线上版本资料。
+- 兼容缺少 User Activation API 的旧版 iOS WKWebView；旧版环境回退到父文档捕获的近期 iframe 输入与焦点组合判定，环境读取失败一律拒绝。
+- 修复 Mobile storage 对象读取、PC Host 重试与公开网络能力声明，并保证 terminal abort 后截图 chrome cleanup 可跨独立发布入口恢复。
+
+### Tooling
+
+- Protocol、Runtime 与 SDK 改为版本锁步的 release family，固定按 Protocol、Runtime、SDK candidate 发布并最后提升 SDK dist-tag；Runtime 与 SDK 发布产物精确锁定同版本 Protocol。
+
+## 0.7.4-alpha.6
+
+### SDK / CLI
+
+- Browser Dev Host 增加私有双栈连接，并继续保留现有 HTTP/SSE fallback；连接不可用时仍可按原调试流程工作。
+- Mobile 二维码统一使用 `open_inapp` 与 `heybox://` `openWindow` 包装的局域网短链接；短链返回跳转页，打开完整 `heybox-mini-dev://sandbox` 协议后延迟调用 `closeWindow` 关闭中间页。移除不再需要的 `--raw-protocol` 与 `--runtime-url` 参数。
+- `hb-sdk dev` 不再支持匿名调试；启动 Browser、Mac 或 Mobile 调试前必须完成 CLI 登录并绑定小程序，且远端 Dev Context 必须可用。
+- PC/Mac 与移动端的原生启动、账号、网络、存储和权限契约保持不变，本版本不要求更新原生客户端。
+- Mobile 调试短链使用 LAN HTTP，只应在受信局域网内使用；不要在公共或不受信网络中暴露调试服务。
+- Browser Dev Host 的 `network.request` 代理允许办公网、Tailscale 与 Clash fake-ip 解析到的本机/局域网地址；仍拒绝 metadata、NAT64 和跨 origin redirect。
+- Browser Mock 使用 Node 中的 `hb-sdk login` 会话代发 Host `heybox-session` 请求，调试页去掉 Bridge/User 状态和登录按钮，改为简单授权弹窗。凭证不下发到浏览器。
+
 ## 0.7.4-alpha.5
 
 ### Share extra

package/README.md

@@ -199,6 +199,8 @@ hb-sdk remote deploy --release-note "本次更新说明"
 | `hb-sdk build`         | 执行生产构建与产物校验，不包含类型检查 |
 | `hb-sdk remote deploy` | 构建、上传并提交当前版本审核           |
 
+`hb-sdk dev` 不要求升级 Android、iOS 或 Mac 客户端。启动前必须先运行 `hb-sdk login` 并通过 `hb-sdk remote create` 或 `hb-sdk remote bind` 绑定小程序；未登录、未绑定或远端 Dev Context 不可用时不会启动 Vite、Browser Dev Host、Mac 或 Mobile 调试入口。Browser Mock 会自动在实时与兼容链路间切换；Mobile 统一使用 `open_inapp` 与 `heybox://` `openWindow` 包装的局域网短链 `http://<lan-ip>:<browser-dev-host-port>/l/<token>`。短链返回跳转页，先打开带 `heybox-mini-dev://sandbox`、`mini_url`、身份、启动票和 LAN Dev Context 的完整协议，约 500ms 后再发 `closeWindow` 关掉中间页。调试页权限覆盖只影响本地状态，不会修改线上配置。完整操作见 [CLI 指南](https://docs.xiaoheihe.cn/hb_sdk/guide/cli)，实现与安全边界由 [Runtime Host 迁移](./docs/runtime-host-migration.md) 维护。
+
 远端提交前需要完成 CLI 登录和小程序绑定。完整的登录、绑定、预览、版本与发布流程见 [CLI 指南](https://docs.xiaoheihe.cn/hb_sdk/guide/cli)。
 
 ## 文档

package/dist/cli-chunks/{build-C-ufarA6.cjs → build-CVPqGQY3.cjs}

@@ -5,8 +5,8 @@ var fs = require('node:fs/promises');
 var path = require('node:path');
 var runtimePermissionEnv = require('./runtime-permission-env-D-8_jPG3.cjs');
 var runtimeGate = require('./runtime-gate-CtV7rWyX.cjs');
-var index = require('./index-CT94XzyO.cjs');
-var projectVite = require('./project-vite-zaw68V1G.cjs');
+var index = require('./index-DLrcC_ij.cjs');
+var projectVite = require('./project-vite-c13CKUUl.cjs');
 require('node:async_hooks');
 require('node:module');
 require('path');

package/dist/cli-chunks/{context-C839--TH.cjs → context-C1nTGr-R.cjs}

@@ -1,6 +1,6 @@
 'use strict';
 
-var session = require('./session-D692TU5N.cjs');
+var session = require('./session-ySUU0fVq.cjs');
 var runtimePermissionEnv = require('./runtime-permission-env-D-8_jPG3.cjs');
 var fs$1 = require('node:fs');
 var fs = require('node:fs/promises');
@@ -45,6 +45,23 @@ function isRecord(value) {
     return typeof value === 'object' && value !== null && !Array.isArray(value);
 }
 
+function parseBrowserDevPermissionState(value) {
+    if (!isPlainRecord(value) || !hasExactKeys(value, ['networkRequest']))
+        return undefined;
+    const networkRequest = value.networkRequest;
+    if (!isPlainRecord(networkRequest) || !hasExactKeys(networkRequest, ['status', 'useOfficialDomain']))
+        return undefined;
+    if (networkRequest.status !== 'enabled' && networkRequest.status !== 'disabled')
+        return undefined;
+    if (typeof networkRequest.useOfficialDomain !== 'boolean')
+        return undefined;
+    return {
+        networkRequest: {
+            status: networkRequest.status,
+            useOfficialDomain: networkRequest.useOfficialDomain,
+        },
+    };
+}
 function shouldSkipMiniappPlatformCsp(runtimePermissions) {
     const parsed = parseMiniProgramRuntimePermissions(runtimePermissions);
     const networkRequest = parsed.permissions['network.request'];
@@ -87,6 +104,13 @@ function cloneDefaultPermissionState() {
         networkRequest: { ...DEFAULT_PERMISSION_STATE.networkRequest },
     };
 }
+function isPlainRecord(value) {
+    return typeof value === 'object' && value !== null && !Array.isArray(value) && Object.getPrototypeOf(value) === Object.prototype;
+}
+function hasExactKeys(value, keys) {
+    const actualKeys = Object.keys(value);
+    return actualKeys.length === keys.length && keys.every((key) => Object.hasOwn(value, key));
+}
 
 function createRemoteApiClient(options) {
     return {
@@ -401,6 +425,7 @@ exports.createBrowserDevRuntimePermissions = createBrowserDevRuntimePermissions;
 exports.createLocalDevLaunchToken = createLocalDevLaunchToken;
 exports.createRemoteApiClientForEnvironment = createRemoteApiClientForEnvironment;
 exports.getBoundMiniProgram = getBoundMiniProgram;
+exports.parseBrowserDevPermissionState = parseBrowserDevPermissionState;
 exports.parseMiniProgramRuntimePermissions = parseMiniProgramRuntimePermissions;
 exports.readBoundMiniProgramId = readBoundMiniProgramId;
 exports.readBoundMiniProgramIdFromPackageJson = readBoundMiniProgramIdFromPackageJson;

package/dist/cli-chunks/{create-CNcII_CB.cjs → create-C5qrLLvv.cjs}

@@ -5,7 +5,7 @@ var fs = require('node:fs/promises');
 var path = require('node:path');
 var require$$0 = require('fs');
 var require$$1 = require('path');
-var index = require('./index-CT94XzyO.cjs');
+var index = require('./index-DLrcC_ij.cjs');
 require('node:module');
 require('os');
 require('readline');