@heybox/hb-sdk 0.9.0-alpha.2 → 0.9.0-alpha.3

package/dist/devtools/browser-dev-host/index.html

@@ -5,8 +5,8 @@
     <meta name="viewport" content="width=device-width, initial-scale=1.0" />
     <meta name="theme-color" content="#f4f5f7" />
     <title>小程序工坊调试台</title>
-    <script type="module" crossorigin src="/assets/index-DAO9aQMF.js"></script>
-    <link rel="modulepreload" crossorigin href="/assets/desktop-app-launch-Cx-1tLJI.js">
+    <script type="module" crossorigin src="/assets/index-xtE6gn7j.js"></script>
+    <link rel="modulepreload" crossorigin href="/assets/desktop-app-launch-Dod9L2SF.js">
     <link rel="stylesheet" crossorigin href="/assets/index-0Ac39Njs.css">
   </head>
   <body>

package/dist/index.cjs.js

@@ -1342,7 +1342,7 @@ function createMessageId() {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.9.0-alpha.2';
+    : '0.9.0-alpha.3';
 
 const RUNTIME_MODES = new Set(['production', 'preview', 'development', 'unknown']);
 const OPERATING_SYSTEM_NAMES = new Set(['android', 'ios', 'ohos', 'windows', 'macos', 'linux', 'unknown']);

package/dist/index.esm.js

@@ -1338,7 +1338,7 @@ function createMessageId() {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.9.0-alpha.2';
+    : '0.9.0-alpha.3';
 
 const RUNTIME_MODES = new Set(['production', 'preview', 'development', 'unknown']);
 const OPERATING_SYSTEM_NAMES = new Set(['android', 'ios', 'ohos', 'windows', 'macos', 'linux', 'unknown']);

package/dist/miniapp-publish.cjs.js

@@ -3252,6 +3252,7 @@ function validateGeneratedCompanions(value) {
         return undefined;
     if (!isRecord$1(value) || Object.keys(value).length === 0)
         throw new Error('manifest.companions 必须是非空对象');
+    let descriptorCount = 0;
     for (const [alias, definition] of Object.entries(value)) {
         if (!/^[a-z][a-z0-9-]{0,31}$/.test(alias) ||
             !isRecord$1(definition) ||
@@ -3265,6 +3266,9 @@ function validateGeneratedCompanions(value) {
             Object.keys(definition.targets).length === 0)
             throw new Error(`manifest.companions.${alias} 不合法`);
         for (const [target, artifact] of Object.entries(definition.targets)) {
+            descriptorCount += 1;
+            if (descriptorCount > 64)
+                throw new Error('manifest.companions 最多允许 64 个 target 描述符');
             if (isRecord$1(artifact) && artifact.elevation === 'required') {
                 throw new Error(`manifest.companions.${alias}.targets.${target}.elevation V1 仅支持 none，暂不支持管理员权限启动`);
             }
@@ -12400,8 +12404,9 @@ function createMiniappArtifactFileHeader(file) {
  * 校验服务端 session 文件映射，并计算仍需上传的文件。
  *
  * @param localFiles - 本地构建产物 receipt；除 `relativePath` 和 `size` 外，每项必须包含 64 位小写十六进制 `sha256`。
- * @param serverFiles - 服务端签发的文件映射；数量、路径、大小和 SHA-256 必须与本地产物一一一致。
+ * @param serverFiles - 服务端签发的会话文件映射；与复用的 Companion 合起来必须覆盖本地产物。
  * @param uploadedKeys - 服务端已确认上传成功的 key；每个值都必须属于当前会话，重复值会被去重。
+ * @param reusedCompanionFiles - 已验证 Blob 引用；仅允许当前产物中的 Companion 文件。
  * @returns
  * 包含三个字段的对象：`files` 是按路径 UTF-8 字节序排列的全部 `{ file, key }` 映射，
  * `missingFiles` 是其中尚未确认上传的映射，`uploadedKeys` 是去重后的已上传 key。
@@ -12417,15 +12422,38 @@ function createMiniappArtifactFileHeader(file) {
  *     sha256: 'a'.repeat(64),
  *   }],
  *   [],
+ *   [],
  * );
  *
  * console.log(resolved.missingFiles.length); // 1
  * ```
  */
-function resolveMiniappUploadSessionFiles(localFiles, serverFiles, uploadedKeys) {
+function resolveMiniappUploadSessionFiles(localFiles, serverFiles, uploadedKeys, reusedCompanionFiles) {
     const preparedFiles = prepareMiniappArtifactFiles(localFiles);
-    if (serverFiles.length !== preparedFiles.length) {
-        throw new Error(`上传会话文件数量异常：期望 ${preparedFiles.length}，实际 ${serverFiles.length}`);
+    if (serverFiles.length + reusedCompanionFiles.length !== preparedFiles.length) {
+        throw new Error(`上传会话文件数量异常：期望 ${preparedFiles.length}，实际 ${serverFiles.length + reusedCompanionFiles.length}`);
+    }
+    const localByPath = new Map(preparedFiles.map((file) => [file.relativePath, file]));
+    const reused = new Map();
+    for (const reference of reusedCompanionFiles) {
+        const relativePath = normalizeMiniappArtifactRelativePath(reference.relative_path);
+        const local = localByPath.get(relativePath);
+        if (!relativePath.startsWith('companions/') || !local) {
+            throw new Error(`上传会话返回了不属于当前 Companion 产物的 Blob 引用：${relativePath}`);
+        }
+        if (reused.has(relativePath)) {
+            throw new Error(`上传会话返回重复 Blob 引用：${relativePath}`);
+        }
+        if (!Number.isSafeInteger(reference.size) || reference.size < 0 || reference.size !== local.size) {
+            throw new Error(`上传会话 Blob 文件大小与本地构建不一致：${relativePath}`);
+        }
+        if (!('sha256' in local) || !/^[a-f0-9]{64}$/.test(reference.sha256) || reference.sha256 !== local.sha256) {
+            throw new Error(`上传会话 Blob 文件 SHA-256 与本地构建不一致：${relativePath}`);
+        }
+        if (typeof reference.blob_id !== 'string' || !reference.blob_id.trim()) {
+            throw new Error(`上传会话 Blob 引用 ID 无效：${relativePath}`);
+        }
+        reused.set(relativePath, reference);
     }
     const mappings = new Map();
     const serverSizes = new Map();
@@ -12436,6 +12464,9 @@ function resolveMiniappUploadSessionFiles(localFiles, serverFiles, uploadedKeys)
         if (mappings.has(relativePath)) {
             throw new Error(`上传会话返回重复文件路径：${relativePath}`);
         }
+        if (reused.has(relativePath)) {
+            throw new Error(`上传会话同时返回文件 key 和 Blob 引用：${relativePath}`);
+        }
         const key = String(serverFile.key || '');
         if (!key) {
             throw new Error(`上传会话未返回文件 key：${relativePath}`);
@@ -12456,7 +12487,8 @@ function resolveMiniappUploadSessionFiles(localFiles, serverFiles, uploadedKeys)
         serverHashes.set(relativePath, sha256);
         knownKeys.add(key);
     }
-    const files = preparedFiles.map((file) => {
+    const sessionFiles = preparedFiles.filter((file) => !reused.has(file.relativePath));
+    const files = sessionFiles.map((file) => {
         const key = mappings.get(file.relativePath);
         if (!key) {
             throw new Error(`上传会话缺少文件映射：${file.relativePath}`);
@@ -12481,6 +12513,7 @@ function resolveMiniappUploadSessionFiles(localFiles, serverFiles, uploadedKeys)
         files,
         missingFiles: files.filter((file) => !completed.has(file.key)),
         uploadedKeys: [...completed],
+        reusedCompanionFiles: [...reused.values()],
     };
 }
 /**

package/dist/miniapp-publish.esm.js

@@ -3250,6 +3250,7 @@ function validateGeneratedCompanions(value) {
         return undefined;
     if (!isRecord$1(value) || Object.keys(value).length === 0)
         throw new Error('manifest.companions 必须是非空对象');
+    let descriptorCount = 0;
     for (const [alias, definition] of Object.entries(value)) {
         if (!/^[a-z][a-z0-9-]{0,31}$/.test(alias) ||
             !isRecord$1(definition) ||
@@ -3263,6 +3264,9 @@ function validateGeneratedCompanions(value) {
             Object.keys(definition.targets).length === 0)
             throw new Error(`manifest.companions.${alias} 不合法`);
         for (const [target, artifact] of Object.entries(definition.targets)) {
+            descriptorCount += 1;
+            if (descriptorCount > 64)
+                throw new Error('manifest.companions 最多允许 64 个 target 描述符');
             if (isRecord$1(artifact) && artifact.elevation === 'required') {
                 throw new Error(`manifest.companions.${alias}.targets.${target}.elevation V1 仅支持 none，暂不支持管理员权限启动`);
             }
@@ -12398,8 +12402,9 @@ function createMiniappArtifactFileHeader(file) {
  * 校验服务端 session 文件映射，并计算仍需上传的文件。
  *
  * @param localFiles - 本地构建产物 receipt；除 `relativePath` 和 `size` 外，每项必须包含 64 位小写十六进制 `sha256`。
- * @param serverFiles - 服务端签发的文件映射；数量、路径、大小和 SHA-256 必须与本地产物一一一致。
+ * @param serverFiles - 服务端签发的会话文件映射；与复用的 Companion 合起来必须覆盖本地产物。
  * @param uploadedKeys - 服务端已确认上传成功的 key；每个值都必须属于当前会话，重复值会被去重。
+ * @param reusedCompanionFiles - 已验证 Blob 引用；仅允许当前产物中的 Companion 文件。
  * @returns
  * 包含三个字段的对象：`files` 是按路径 UTF-8 字节序排列的全部 `{ file, key }` 映射，
  * `missingFiles` 是其中尚未确认上传的映射，`uploadedKeys` 是去重后的已上传 key。
@@ -12415,15 +12420,38 @@ function createMiniappArtifactFileHeader(file) {
  *     sha256: 'a'.repeat(64),
  *   }],
  *   [],
+ *   [],
  * );
  *
  * console.log(resolved.missingFiles.length); // 1
  * ```
  */
-function resolveMiniappUploadSessionFiles(localFiles, serverFiles, uploadedKeys) {
+function resolveMiniappUploadSessionFiles(localFiles, serverFiles, uploadedKeys, reusedCompanionFiles) {
     const preparedFiles = prepareMiniappArtifactFiles(localFiles);
-    if (serverFiles.length !== preparedFiles.length) {
-        throw new Error(`上传会话文件数量异常：期望 ${preparedFiles.length}，实际 ${serverFiles.length}`);
+    if (serverFiles.length + reusedCompanionFiles.length !== preparedFiles.length) {
+        throw new Error(`上传会话文件数量异常：期望 ${preparedFiles.length}，实际 ${serverFiles.length + reusedCompanionFiles.length}`);
+    }
+    const localByPath = new Map(preparedFiles.map((file) => [file.relativePath, file]));
+    const reused = new Map();
+    for (const reference of reusedCompanionFiles) {
+        const relativePath = normalizeMiniappArtifactRelativePath(reference.relative_path);
+        const local = localByPath.get(relativePath);
+        if (!relativePath.startsWith('companions/') || !local) {
+            throw new Error(`上传会话返回了不属于当前 Companion 产物的 Blob 引用：${relativePath}`);
+        }
+        if (reused.has(relativePath)) {
+            throw new Error(`上传会话返回重复 Blob 引用：${relativePath}`);
+        }
+        if (!Number.isSafeInteger(reference.size) || reference.size < 0 || reference.size !== local.size) {
+            throw new Error(`上传会话 Blob 文件大小与本地构建不一致：${relativePath}`);
+        }
+        if (!('sha256' in local) || !/^[a-f0-9]{64}$/.test(reference.sha256) || reference.sha256 !== local.sha256) {
+            throw new Error(`上传会话 Blob 文件 SHA-256 与本地构建不一致：${relativePath}`);
+        }
+        if (typeof reference.blob_id !== 'string' || !reference.blob_id.trim()) {
+            throw new Error(`上传会话 Blob 引用 ID 无效：${relativePath}`);
+        }
+        reused.set(relativePath, reference);
     }
     const mappings = new Map();
     const serverSizes = new Map();
@@ -12434,6 +12462,9 @@ function resolveMiniappUploadSessionFiles(localFiles, serverFiles, uploadedKeys)
         if (mappings.has(relativePath)) {
             throw new Error(`上传会话返回重复文件路径：${relativePath}`);
         }
+        if (reused.has(relativePath)) {
+            throw new Error(`上传会话同时返回文件 key 和 Blob 引用：${relativePath}`);
+        }
         const key = String(serverFile.key || '');
         if (!key) {
             throw new Error(`上传会话未返回文件 key：${relativePath}`);
@@ -12454,7 +12485,8 @@ function resolveMiniappUploadSessionFiles(localFiles, serverFiles, uploadedKeys)
         serverHashes.set(relativePath, sha256);
         knownKeys.add(key);
     }
-    const files = preparedFiles.map((file) => {
+    const sessionFiles = preparedFiles.filter((file) => !reused.has(file.relativePath));
+    const files = sessionFiles.map((file) => {
         const key = mappings.get(file.relativePath);
         if (!key) {
             throw new Error(`上传会话缺少文件映射：${file.relativePath}`);
@@ -12479,6 +12511,7 @@ function resolveMiniappUploadSessionFiles(localFiles, serverFiles, uploadedKeys)
         files,
         missingFiles: files.filter((file) => !completed.has(file.key)),
         uploadedKeys: [...completed],
+        reusedCompanionFiles: [...reused.values()],
     };
 }
 /**

package/dist/vite.cjs.js

@@ -2948,7 +2948,7 @@ async function ensureBasicInfoDirectory(rootPath, relative) {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.9.0-alpha.2';
+    : '0.9.0-alpha.3';
 
 /**
  * iframe 与调试台页面的开发期 console 捕获转发。

package/dist/vite.esm.js

@@ -2945,7 +2945,7 @@ async function ensureBasicInfoDirectory(rootPath, relative) {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.9.0-alpha.2';
+    : '0.9.0-alpha.3';
 
 /**
  * iframe 与调试台页面的开发期 console 捕获转发。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@heybox/hb-sdk",
-  "version": "0.9.0-alpha.2",
+  "version": "0.9.0-alpha.3",
   "sideEffects": [
     "./src/index.ts",
     "./src/core/singleton.ts",
@@ -65,7 +65,7 @@
     "undici": "^7.28.0",
     "ws": "^8.18.0",
     "sharp": "^0.34.5",
-    "@heybox/hb-sdk-protocol": "0.9.0-alpha.2"
+    "@heybox/hb-sdk-protocol": "0.9.0-alpha.3"
   },
   "peerDependencies": {
     "vite": ">=5"
@@ -116,13 +116,13 @@
     "vue-tsc": "^3.3.7",
     "vite": "^8.0.12",
     "vitest": "^3.2.4",
-    "@heybox/hb-api": "~1.28.9",
     "@heybox-domain/heybox-theme": "~0.1.0",
     "@heybox-domain/heybox-vue3-ui": "~0.1.0",
-    "@heybox/hb-sdk-runtime": "~0.9.0-alpha.2",
+    "@heybox/hb-api": "~1.28.10",
+    "@heybox/hb-sdk-runtime": "~0.9.0-alpha.3",
     "@heybox/runtime": "~0.2.0",
-    "@heybox/runtime-transport-fetch": "~0.2.0",
-    "@heybox/runtime-policy": "~0.2.0"
+    "@heybox/runtime-policy": "~0.2.0",
+    "@heybox/runtime-transport-fetch": "~0.2.0"
   },
   "publishConfig": {
     "registry": "https://registry.npmjs.org/",

package/skill/skill.json

@@ -1,15 +1,15 @@
 {
   "name": "hb-sdk",
-  "skillVersion": "0.9.0-alpha.2+skill.aa24d6656331",
+  "skillVersion": "0.9.0-alpha.3+skill.aa24d6656331",
   "sdk": {
     "package": "@heybox/hb-sdk",
-    "version": "0.9.0-alpha.2",
-    "compatibility": "0.9.0-alpha.2"
+    "version": "0.9.0-alpha.3",
+    "compatibility": "0.9.0-alpha.3"
   },
   "distribution": {
     "type": "npm",
     "package": "@heybox/hb-sdk",
-    "version": "0.9.0-alpha.2",
+    "version": "0.9.0-alpha.3",
     "path": "skill"
   },
   "integrity": "sha256-aa24d6656331cbad8f6aae7735258a49d7f1a82f6e900415de53a1b93a30ddb8"

package/types/miniapp-publish/index.d.ts

@@ -388,7 +388,7 @@ export interface MiniappArtifactFile {
     /** 文件大小，单位为 bytes；必须是大于或等于 `0` 的 safe integer。 */
     size: number;
 }
-/** 上传会话 v1 使用的逐文件完整性凭据，由本地文件内容计算。 */
+/** 上传会话使用的逐文件完整性凭据，由本地文件内容计算。 */
 export interface MiniappArtifactFileReceipt extends MiniappArtifactFile {
     /** 文件内容 SHA-256，使用 64 位小写十六进制字符串。 */
     sha256: string;
@@ -404,6 +404,13 @@ export interface MiniappUploadSessionFile {
     /** 服务端固化的文件内容 SHA-256，使用 64 位小写十六进制字符串。 */
     sha256: string;
 }
+/** v2 上传会话复用的已验证 Companion Blob，不包含会话 CDN key。 */
+export interface MiniappReusedCompanionFile {
+    relative_path: string;
+    size: number;
+    sha256: string;
+    blob_id: string;
+}
 /**
  * 校验构建产物路径和大小，并按路径的 UTF-8 字节序稳定排序。
  *
@@ -478,8 +485,9 @@ export declare function createMiniappArtifactFileHeader(file: MiniappArtifactFil
  * 校验服务端 session 文件映射，并计算仍需上传的文件。
  *
  * @param localFiles - 本地构建产物 receipt；除 `relativePath` 和 `size` 外，每项必须包含 64 位小写十六进制 `sha256`。
- * @param serverFiles - 服务端签发的文件映射；数量、路径、大小和 SHA-256 必须与本地产物一一一致。
+ * @param serverFiles - 服务端签发的会话文件映射；与复用的 Companion 合起来必须覆盖本地产物。
  * @param uploadedKeys - 服务端已确认上传成功的 key；每个值都必须属于当前会话，重复值会被去重。
+ * @param reusedCompanionFiles - 已验证 Blob 引用；仅允许当前产物中的 Companion 文件。
  * @returns
  * 包含三个字段的对象：`files` 是按路径 UTF-8 字节序排列的全部 `{ file, key }` 映射，
  * `missingFiles` 是其中尚未确认上传的映射，`uploadedKeys` 是去重后的已上传 key。
@@ -495,12 +503,13 @@ export declare function createMiniappArtifactFileHeader(file: MiniappArtifactFil
  *     sha256: 'a'.repeat(64),
  *   }],
  *   [],
+ *   [],
  * );
  *
  * console.log(resolved.missingFiles.length); // 1
  * ```
  */
-export declare function resolveMiniappUploadSessionFiles<T extends MiniappArtifactFile>(localFiles: readonly T[], serverFiles: readonly MiniappUploadSessionFile[], uploadedKeys: readonly string[]): {
+export declare function resolveMiniappUploadSessionFiles<T extends MiniappArtifactFile>(localFiles: readonly T[], serverFiles: readonly MiniappUploadSessionFile[], uploadedKeys: readonly string[], reusedCompanionFiles: readonly MiniappReusedCompanionFile[]): {
     files: {
         file: T & {
             relativePath: string;
@@ -514,6 +523,7 @@ export declare function resolveMiniappUploadSessionFiles<T extends MiniappArtifa
         key: string;
     }[];
     uploadedKeys: string[];
+    reusedCompanionFiles: MiniappReusedCompanionFile[];
 };
 /**
  * 校验 Manifest 中所有 Companion 归档都精确属于当前上传 receipt。