@heybox/hb-sdk 0.8.1 → 0.8.2-alpha.1

package/dist/devtools/browser-dev-host/index.html

@@ -5,8 +5,8 @@
     <meta name="viewport" content="width=device-width, initial-scale=1.0" />
     <meta name="theme-color" content="#f4f5f7" />
     <title>小程序工坊调试台</title>
-    <script type="module" crossorigin src="/assets/index-CFr28-0O.js"></script>
-    <link rel="modulepreload" crossorigin href="/assets/desktop-app-launch-DOfl5YvO.js">
+    <script type="module" crossorigin src="/assets/index-CrsPiYXy.js"></script>
+    <link rel="modulepreload" crossorigin href="/assets/desktop-app-launch-8J62MOi_.js">
     <link rel="stylesheet" crossorigin href="/assets/index-DXd5IZBz.css">
   </head>
   <body>

package/dist/index.cjs.js

@@ -754,8 +754,8 @@ function isRecord$2(value) {
     return typeof value === 'object' && value !== null && !Array.isArray(value);
 }
 
-/** 当前用户信息与登录能力支持的完整 scope 目录。 */
-const USER_INFO_AUTHORIZATION_SCOPES = ['identity', 'profile'];
+/** 当前用户信息与登录能力支持的完整 scope 目录（canonical 顺序）。 */
+const USER_INFO_AUTHORIZATION_SCOPES = ['identity', 'profile', 'steam_account'];
 /** Companion alias 的跨构建、Runtime 与 Host 规范。 */
 const COMPANION_ALIAS_PATTERN = /^[a-z][a-z0-9-]{0,31}$/;
 
@@ -835,7 +835,7 @@ function createMessageId() {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.8.1';
+    : '0.8.2-alpha.1';
 
 const RUNTIME_MODES = new Set(['production', 'preview', 'development', 'unknown']);
 const OPERATING_SYSTEM_NAMES = new Set(['android', 'ios', 'ohos', 'windows', 'macos', 'linux', 'unknown']);

package/dist/index.esm.js

@@ -750,8 +750,8 @@ function isRecord$2(value) {
     return typeof value === 'object' && value !== null && !Array.isArray(value);
 }
 
-/** 当前用户信息与登录能力支持的完整 scope 目录。 */
-const USER_INFO_AUTHORIZATION_SCOPES = ['identity', 'profile'];
+/** 当前用户信息与登录能力支持的完整 scope 目录（canonical 顺序）。 */
+const USER_INFO_AUTHORIZATION_SCOPES = ['identity', 'profile', 'steam_account'];
 /** Companion alias 的跨构建、Runtime 与 Host 规范。 */
 const COMPANION_ALIAS_PATTERN = /^[a-z][a-z0-9-]{0,31}$/;
 
@@ -831,7 +831,7 @@ function createMessageId() {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.8.1';
+    : '0.8.2-alpha.1';
 
 const RUNTIME_MODES = new Set(['production', 'preview', 'development', 'unknown']);
 const OPERATING_SYSTEM_NAMES = new Set(['android', 'ios', 'ohos', 'windows', 'macos', 'linux', 'unknown']);

package/dist/protocol.cjs.js

@@ -476,8 +476,8 @@ function isRecord$2(value) {
     return typeof value === 'object' && value !== null && !Array.isArray(value);
 }
 
-/** 当前用户信息与登录能力支持的完整 scope 目录。 */
-const USER_INFO_AUTHORIZATION_SCOPES = ['identity', 'profile'];
+/** 当前用户信息与登录能力支持的完整 scope 目录（canonical 顺序）。 */
+const USER_INFO_AUTHORIZATION_SCOPES = ['identity', 'profile', 'steam_account'];
 
 const MINI_PROGRAM_PERMISSION_KEYS = [
     'userInfo',

package/dist/protocol.esm.js

@@ -474,8 +474,8 @@ function isRecord$2(value) {
     return typeof value === 'object' && value !== null && !Array.isArray(value);
 }
 
-/** 当前用户信息与登录能力支持的完整 scope 目录。 */
-const USER_INFO_AUTHORIZATION_SCOPES = ['identity', 'profile'];
+/** 当前用户信息与登录能力支持的完整 scope 目录（canonical 顺序）。 */
+const USER_INFO_AUTHORIZATION_SCOPES = ['identity', 'profile', 'steam_account'];
 
 const MINI_PROGRAM_PERMISSION_KEYS = [
     'userInfo',

package/dist/vite.cjs.js

@@ -11,7 +11,7 @@ var _documentCurrentScript = typeof document !== 'undefined' ? document.currentS
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.8.1';
+    : '0.8.2-alpha.1';
 
 /**
  * iframe 与调试台页面的开发期 console 捕获转发。

package/dist/vite.esm.js

@@ -8,7 +8,7 @@ import { AsyncLocalStorage } from 'node:async_hooks';
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.8.1';
+    : '0.8.2-alpha.1';
 
 /**
  * iframe 与调试台页面的开发期 console 捕获转发。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@heybox/hb-sdk",
-  "version": "0.8.1",
+  "version": "0.8.2-alpha.1",
   "sideEffects": [
     "./src/index.ts",
     "./src/core/singleton.ts",
@@ -64,7 +64,7 @@
     "skills": "1.5.23",
     "undici": "^7.28.0",
     "ws": "^8.18.0",
-    "@heybox/hb-sdk-protocol": "0.8.1"
+    "@heybox/hb-sdk-protocol": "0.8.2-alpha.1"
   },
   "peerDependencies": {
     "vite": ">=5"
@@ -115,13 +115,13 @@
     "vue-tsc": "^3.3.7",
     "vite": "^8.0.12",
     "vitest": "^3.2.4",
-    "@heybox-domain/heybox-theme": "~0.1.0",
-    "@heybox/hb-sdk-runtime": "~0.8.1",
-    "@heybox/runtime-policy": "~0.2.0",
-    "@heybox/runtime": "~0.2.0",
-    "@heybox/runtime-transport-fetch": "~0.2.0",
+    "@heybox/hb-sdk-runtime": "~0.8.2-alpha.1",
     "@heybox/hb-api": "~1.28.4",
-    "@heybox-domain/heybox-vue3-ui": "~0.1.0"
+    "@heybox/runtime": "~0.2.0",
+    "@heybox-domain/heybox-vue3-ui": "~0.1.0",
+    "@heybox/runtime-policy": "~0.2.0",
+    "@heybox-domain/heybox-theme": "~0.1.0",
+    "@heybox/runtime-transport-fetch": "~0.2.0"
   },
   "publishConfig": {
     "registry": "https://registry.npmjs.org/",

package/skill/references/api-root.md

@@ -28,7 +28,7 @@
 ## Package metadata
 
 - Package: `@heybox/hb-sdk`
-- Version at generation time: `0.8.1`
+- Version at generation time: `0.8.2-alpha.1`
 - Public root export: `@heybox/hb-sdk`
 - Protocol export: `@heybox/hb-sdk/protocol`
 - Vite plugin export: `@heybox/hb-sdk/vite`
@@ -461,11 +461,11 @@ async function getCurrentUser() {
 }
 ```
 
-`user.getInfo()` 不展示授权弹窗，也不要求可信用户手势。未登录时返回未登录状态；已登录时隐式授予当前本地用户 scopes（`identity`、`profile`），静默返回 `userInfo.app_user_id`、`profile.nickname` 和 `profile.avatar`。这条路径不能获取授权码或调用 OpenAPI，也不能把身份或资料发送到外部服务。
+`user.getInfo()` 不展示授权弹窗，也不要求可信用户手势。未登录时返回未登录状态；已登录时隐式授予当前本地用户 scopes（`identity`、`profile`），静默返回 `userInfo.app_user_id`、`profile.nickname` 和 `profile.avatar`。平台为当前版本启用 Steam 账号能力且小程序未开通网络权限时，还会授予 `steam_account`，已绑定用户返回可选 `userInfo.steam_id`。这条路径不能获取授权码或调用 OpenAPI，也不能把身份或资料发送到外部服务。
 
 ## 获取服务端授权码
 
-声明 `userInfo` 后，可通过 `auth.login()` 获取短期授权码。登录可能展示 UI，因此应绑定到按钮点击等明确的用户操作。该调用内部使用 Host 受信请求，不依赖公开 `network` 权限；示例中的 `network.request()` 另需声明并获得 `network` 平台批准。
+声明 `userInfo` 后，可通过 `auth.login()` 获取短期授权码。登录可能展示 UI，因此应绑定到按钮点击等明确的用户操作。平台为当前版本启用 Steam 账号能力后，联网小程序可在 `scopes` 中按需加入 `steam_account`，并由开发者服务端通过 OpenAPI 读取 `steam_id`。该调用内部使用 Host 受信请求，不依赖公开 `network` 权限；示例中的 `network.request()` 另需声明并获得 `network` 平台批准。
 
 SDK 会自动完成握手。登录按钮应按上面的持久握手状态启用；点击回调直接调用 `auth.login()`，不要先等待其他异步任务，以免首次操作丢失可信手势。
 

package/skill/references/recipes.md

@@ -64,11 +64,11 @@ async function getCurrentUser() {
 }
 ```
 
-`user.getInfo()` 不展示授权弹窗，也不要求可信用户手势。未登录时返回未登录状态；已登录时隐式授予当前本地用户 scopes（`identity`、`profile`），静默返回 `userInfo.app_user_id`、`profile.nickname` 和 `profile.avatar`。这条路径不能获取授权码或调用 OpenAPI，也不能把身份或资料发送到外部服务。
+`user.getInfo()` 不展示授权弹窗，也不要求可信用户手势。未登录时返回未登录状态；已登录时隐式授予当前本地用户 scopes（`identity`、`profile`），静默返回 `userInfo.app_user_id`、`profile.nickname` 和 `profile.avatar`。平台为当前版本启用 Steam 账号能力且小程序未开通网络权限时，还会授予 `steam_account`，已绑定用户返回可选 `userInfo.steam_id`。这条路径不能获取授权码或调用 OpenAPI，也不能把身份或资料发送到外部服务。
 
 ## 获取服务端授权码
 
-声明 `userInfo` 后，可通过 `auth.login()` 获取短期授权码。登录可能展示 UI，因此应绑定到按钮点击等明确的用户操作。该调用内部使用 Host 受信请求，不依赖公开 `network` 权限；示例中的 `network.request()` 另需声明并获得 `network` 平台批准。
+声明 `userInfo` 后，可通过 `auth.login()` 获取短期授权码。登录可能展示 UI，因此应绑定到按钮点击等明确的用户操作。平台为当前版本启用 Steam 账号能力后，联网小程序可在 `scopes` 中按需加入 `steam_account`，并由开发者服务端通过 OpenAPI 读取 `steam_id`。该调用内部使用 Host 受信请求，不依赖公开 `network` 权限；示例中的 `network.request()` 另需声明并获得 `network` 平台批准。
 
 SDK 会自动完成握手。登录按钮应按上面的持久握手状态启用；点击回调直接调用 `auth.login()`，不要先等待其他异步任务，以免首次操作丢失可信手势。
 
@@ -259,9 +259,9 @@ async function loginFromUserAction() {
 - `expiresIn` 是服务端返回的有效期（当前为 `300` 秒）；服务端应尽快使用，失败或过期后重新获取，不要在业务代码中硬编码该值。
 - `scopes` 是本次授权码实际包含的 scope。
 
-`identity` 始终隐式包含，不需要也不能通过省略它来申请匿名授权。`scopes` 只填写业务确实需要的可选资料，例如 `profile`；不需要额外资料时直接调用 `auth.login()`。
+`identity` 始终隐式包含，不需要也不能通过省略它来申请匿名授权。`scopes` 只填写业务确实需要的可选资料，例如 `profile`。平台为当前版本启用 Steam 账号能力后，需要主绑定 SteamID64 的联网小程序可申请 `steam_account`；不需要额外资料时直接调用 `auth.login()`。
 
-小程序页面只把 `code` 发送到自己的服务端。开发者服务端再按后端 OpenAPI 文档，用服务端保存的应用凭据交换 token；页面不得自行交换，也不得持有应用私密凭据。`auth.login()` 不返回 user、profile、`app_user_id` 或 token。
+小程序页面只把 `code` 发送到自己的服务端。开发者服务端再按后端 OpenAPI 文档，用服务端保存的应用凭据交换 token；页面不得自行交换，也不得持有应用私密凭据。`auth.login()` 不返回 user、profile、`steam_id`、`app_user_id` 或 token。
 
 ## 后端 OpenAPI
 
@@ -310,7 +310,7 @@ async function getCurrentUser() {
 }
 ```
 
-`user.getInfo()` 不依赖 `network`，但必须声明 `userInfo`。它延续现有交互：不展示授权弹窗，也不要求可信用户手势。未登录时返回 `isHeyboxAppLoggedIn: false`；已登录时按现有用户授权状态返回当前小程序隔离的 `app_user_id`，以及已授权的 `profile.nickname` 和 `profile.avatar` 等可用资料。用户授权与开发者权限声明是两层独立门禁，不能用声明代替用户同意。
+`user.getInfo()` 必须声明 `userInfo`。它延续现有交互：不展示授权弹窗，也不要求可信用户手势。未登录时返回 `isHeyboxAppLoggedIn: false`；已登录时按授权状态返回当前小程序隔离的 `app_user_id`、`profile.nickname` 和 `profile.avatar`。平台为当前版本启用 Steam 账号能力后，未开通网络权限的小程序会隐式获得 `steam_account`，当前用户有主绑定时返回可选 `steam_id`；已开通网络权限的小程序改由开发者服务端通过 OpenAPI 读取这些资料，页面调用返回 `SERVER_API_REQUIRED`。用户授权与开发者权限声明是两层独立门禁，不能用声明代替用户同意。
 
 Steam 游戏库使用 `user.getSteamGameList(options)`，要求声明 `steamLibrary`，同样不依赖 `network`。Host current-user capabilities 的既有账号绑定和数据可用性规则保持不变。
 

package/skill/skill.json

@@ -1,16 +1,16 @@
 {
   "name": "hb-sdk",
-  "skillVersion": "0.8.1+skill.326b19d2bdf1",
+  "skillVersion": "0.8.2-alpha.1+skill.0f0823cae24a",
   "sdk": {
     "package": "@heybox/hb-sdk",
-    "version": "0.8.1",
-    "compatibility": "0.8.1"
+    "version": "0.8.2-alpha.1",
+    "compatibility": "0.8.2-alpha.1"
   },
   "distribution": {
     "type": "npm",
     "package": "@heybox/hb-sdk",
-    "version": "0.8.1",
+    "version": "0.8.2-alpha.1",
     "path": "skill"
   },
-  "integrity": "sha256-326b19d2bdf15cecbbfb8f0670ec53ddbffc1eb11cbe8faa4b0e45ad8c4a6f92"
+  "integrity": "sha256-0f0823cae24a89faa255a1195befa2a49ce1a6246ebb608ae199c6de3bbda33e"
 }