@heybox/hb-sdk 0.9.0-alpha.1 → 0.9.0-alpha.2

package/dist/devtools/browser-dev-host/index.html

@@ -5,8 +5,8 @@
     <meta name="viewport" content="width=device-width, initial-scale=1.0" />
     <meta name="theme-color" content="#f4f5f7" />
     <title>小程序工坊调试台</title>
-    <script type="module" crossorigin src="/assets/index-DMuA2oZx.js"></script>
-    <link rel="modulepreload" crossorigin href="/assets/desktop-app-launch-D32fpjYQ.js">
+    <script type="module" crossorigin src="/assets/index-DAO9aQMF.js"></script>
+    <link rel="modulepreload" crossorigin href="/assets/desktop-app-launch-Cx-1tLJI.js">
     <link rel="stylesheet" crossorigin href="/assets/index-0Ac39Njs.css">
   </head>
   <body>

package/dist/index.cjs.js

@@ -1342,7 +1342,7 @@ function createMessageId() {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.9.0-alpha.1';
+    : '0.9.0-alpha.2';
 
 const RUNTIME_MODES = new Set(['production', 'preview', 'development', 'unknown']);
 const OPERATING_SYSTEM_NAMES = new Set(['android', 'ios', 'ohos', 'windows', 'macos', 'linux', 'unknown']);

package/dist/index.esm.js

@@ -1338,7 +1338,7 @@ function createMessageId() {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.9.0-alpha.1';
+    : '0.9.0-alpha.2';
 
 const RUNTIME_MODES = new Set(['production', 'preview', 'development', 'unknown']);
 const OPERATING_SYSTEM_NAMES = new Set(['android', 'ios', 'ohos', 'windows', 'macos', 'linux', 'unknown']);

package/dist/vite.cjs.js

@@ -2948,7 +2948,7 @@ async function ensureBasicInfoDirectory(rootPath, relative) {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.9.0-alpha.1';
+    : '0.9.0-alpha.2';
 
 /**
  * iframe 与调试台页面的开发期 console 捕获转发。

package/dist/vite.esm.js

@@ -2945,7 +2945,7 @@ async function ensureBasicInfoDirectory(rootPath, relative) {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.9.0-alpha.1';
+    : '0.9.0-alpha.2';
 
 /**
  * iframe 与调试台页面的开发期 console 捕获转发。

package/docs/runtime-host-migration.md

@@ -89,12 +89,14 @@ Storage 面板只通过 `runtime.diagnostics.storage?.getSnapshot()` 读取 Runt
 | ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------- |
 | Browser Dev Host       | 私有 WebSocket channel 优先，HTTP/SSE 保留为兼容路径。账号 identity 的 canonical 读取仍由 HTTP session status 完成；channel 只发 revision hint，收到 hint 后重新读取 HTTP 状态。                                                                                                                                          | WebSocket 握手、重连或消息失败不阻断 Browser Mock；回退 HTTP/SSE 并继续有界轮询。                  |
 | Mobile Release         | 当前稳定客户端继续把原生 `mini_url` launch 交给详情 H5/Native Host；二维码保持 HTTPS `open_inapp` 与 `heybox://` `openWindow`，但短链这一跳是普通 H5。跳转页打开完整 sandbox query（`mini_url`、身份、启动票和 LAN Dev Context）后延迟 `closeWindow`。真机 WebView 基址是 `http://127.0.0.1` 详情页且 HTML 来自线上缓存。 | 生成真机二维码前仍需 CLI 登录、项目绑定和有效 Dev Context；这些条件不阻断 Browser 调试台启动。     |
-| Mobile Debug/Ad-Hoc H5 | `dev_context_url` 是可选的 Dev Session 输入；Runtime 权限和本地 network proxy 仅在读取成功时采用。                                                                                                                                                                                                                        | Dev Context 缺失、过期、不可达或校验失败时记录脱敏诊断，继续使用原生 Host 的账号、网络与远端权限。 |
+| Mobile Debug/Ad-Hoc H5 | `dev_context_url` 是可选的 Dev Session 输入；读取成功后采用本地 network proxy，代理不参与 Runtime 权限判断。 | Dev Context 缺失、过期、不可达或校验失败时记录脱敏诊断，继续使用原生 Host 的账号、网络与远端权限。 |
 
 `DevSession` 同时携带本地声明、独立的 `local_dev_grant` 与 context revision，不会反向修改线上配置。真实 H5 必须先以启动票取得 canonical identity，再将可信线上基线与声明及严格解析的 grant 合成普通 Runtime 快照；没有有效票据或非法 grant 时不临时放权。临时授权仅允许 `network` / `companion`，不包含 `useOfficialDomain`，且每次启动由用户确认。
 
 Node 负责 CLI-owned stable context endpoint、短跳转 registry 和 Launch Reference 生命周期；H5 负责持续验证 CLI lease，不能用 iframe heartbeat 代替。连续失联约 30 秒、到期、session/revision 或 Companion 摘要变化时销毁旧 Runtime；重连重新确认和创建实例。票据字符串轮换不改变授权指纹。线上权限快照在 Runtime 内不可变，临时权限来源不传给 iframe。Android、iOS 与新 PC 原生 adapter 沿用既有 operation；真实 PC Companion 还必须有私有 local-dev lease capability，缺能力继续 fail closed。
 
+真机公开 `network.request` 使用 Dev Context 下的 `/network` 转发。代理生命周期仅由 CLI dev server 管理，不另设激活、续租、撤销、权限或授权指纹检查。代理不判断黑盒域名，不注入或剥离应用层凭据，只处理 HTTP 传输头、超时、取消和大小限制，并保留上游重定向响应。Runtime 私有请求、`network.download` 和正式版本继续使用原生 adapter。
+
 多网卡环境中，CLI 从可用私有 IPv4 网卡派生候选 `mini_url`，并优先展示与 HMR 默认地址匹配的候选。用户切换网卡后，`mini_url` 和 Dev Context URL 都投影到同一选中地址。`dev_context_url` 必须嵌套在 `heybox-mini-dev://sandbox` 的 query 中，不能误放到最外层 `openWindow` payload。
 
 ## Mobile 短跳转安全边界

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@heybox/hb-sdk",
-  "version": "0.9.0-alpha.1",
+  "version": "0.9.0-alpha.2",
   "sideEffects": [
     "./src/index.ts",
     "./src/core/singleton.ts",
@@ -65,7 +65,7 @@
     "undici": "^7.28.0",
     "ws": "^8.18.0",
     "sharp": "^0.34.5",
-    "@heybox/hb-sdk-protocol": "0.9.0-alpha.1"
+    "@heybox/hb-sdk-protocol": "0.9.0-alpha.2"
   },
   "peerDependencies": {
     "vite": ">=5"
@@ -116,13 +116,13 @@
     "vue-tsc": "^3.3.7",
     "vite": "^8.0.12",
     "vitest": "^3.2.4",
-    "@heybox-domain/heybox-vue3-ui": "~0.1.0",
-    "@heybox-domain/heybox-theme": "~0.1.0",
-    "@heybox/hb-sdk-runtime": "~0.9.0-alpha.1",
     "@heybox/hb-api": "~1.28.9",
+    "@heybox-domain/heybox-theme": "~0.1.0",
+    "@heybox-domain/heybox-vue3-ui": "~0.1.0",
+    "@heybox/hb-sdk-runtime": "~0.9.0-alpha.2",
     "@heybox/runtime": "~0.2.0",
-    "@heybox/runtime-policy": "~0.2.0",
-    "@heybox/runtime-transport-fetch": "~0.2.0"
+    "@heybox/runtime-transport-fetch": "~0.2.0",
+    "@heybox/runtime-policy": "~0.2.0"
   },
   "publishConfig": {
     "registry": "https://registry.npmjs.org/",

package/skill/skill.json

@@ -1,15 +1,15 @@
 {
   "name": "hb-sdk",
-  "skillVersion": "0.9.0-alpha.1+skill.aa24d6656331",
+  "skillVersion": "0.9.0-alpha.2+skill.aa24d6656331",
   "sdk": {
     "package": "@heybox/hb-sdk",
-    "version": "0.9.0-alpha.1",
-    "compatibility": "0.9.0-alpha.1"
+    "version": "0.9.0-alpha.2",
+    "compatibility": "0.9.0-alpha.2"
   },
   "distribution": {
     "type": "npm",
     "package": "@heybox/hb-sdk",
-    "version": "0.9.0-alpha.1",
+    "version": "0.9.0-alpha.2",
     "path": "skill"
   },
   "integrity": "sha256-aa24d6656331cbad8f6aae7735258a49d7f1a82f6e900415de53a1b93a30ddb8"