@heybox/hb-sdk 0.9.0-alpha.7 → 0.9.0

package/dist/devtools/browser-dev-host/index.html

@@ -5,8 +5,8 @@
     <meta name="viewport" content="width=device-width, initial-scale=1.0" />
     <meta name="theme-color" content="#f4f5f7" />
     <title>小程序工坊调试台</title>
-    <script type="module" crossorigin src="/assets/index-SLlXfKy9.js"></script>
-    <link rel="modulepreload" crossorigin href="/assets/desktop-app-launch-D7gG-dIr.js">
+    <script type="module" crossorigin src="/assets/index-CuKd_Bfx.js"></script>
+    <link rel="modulepreload" crossorigin href="/assets/desktop-app-launch-DvlJu02d.js">
     <link rel="stylesheet" crossorigin href="/assets/index-B5aFVoao.css">
   </head>
   <body>

package/dist/index.cjs.js

@@ -1342,7 +1342,7 @@ function createMessageId() {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.9.0-alpha.7';
+    : '0.9.0';
 
 const RUNTIME_MODES = new Set(['production', 'preview', 'development', 'unknown']);
 const OPERATING_SYSTEM_NAMES = new Set(['android', 'ios', 'ohos', 'windows', 'macos', 'linux', 'unknown']);
@@ -1531,6 +1531,11 @@ class MiniProgramBridgeClient {
                 resolve: resolve,
                 reject,
                 isOperation: !useTimeout,
+                cancelOnTimeout: method === NAVIGATION_OPEN_APP_PAGE_METHOD &&
+                    !!payload &&
+                    typeof payload === 'object' &&
+                    'target' in payload &&
+                    payload.target === 'mini_program',
                 cancelOnAbort: options.cancelOnAbort !== false,
                 ...(options.onProgress ? { onProgress: options.onProgress } : {}),
                 ...(options.signal ? { signal: options.signal } : {}),
@@ -1541,6 +1546,8 @@ class MiniProgramBridgeClient {
                     if (!active) {
                         return;
                     }
+                    if (active.cancelOnTimeout)
+                        this.sendCancel(id);
                     this.cleanupPending(active);
                     this.pendingRequests.delete(id);
                     reject(createSDKError('REQUEST_TIMEOUT', `${method} 调用超时`));
@@ -1779,7 +1786,7 @@ class MiniProgramBridgeClient {
     }
     sendCancel(id) {
         const pending = this.pendingRequests.get(id);
-        if (!pending?.isOperation || pending.cancelSent) {
+        if (!pending || (!pending.isOperation && !pending.cancelOnTimeout) || pending.cancelSent) {
             return;
         }
         pending.cancelSent = true;

package/dist/index.esm.js

@@ -1338,7 +1338,7 @@ function createMessageId() {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.9.0-alpha.7';
+    : '0.9.0';
 
 const RUNTIME_MODES = new Set(['production', 'preview', 'development', 'unknown']);
 const OPERATING_SYSTEM_NAMES = new Set(['android', 'ios', 'ohos', 'windows', 'macos', 'linux', 'unknown']);
@@ -1527,6 +1527,11 @@ class MiniProgramBridgeClient {
                 resolve: resolve,
                 reject,
                 isOperation: !useTimeout,
+                cancelOnTimeout: method === NAVIGATION_OPEN_APP_PAGE_METHOD &&
+                    !!payload &&
+                    typeof payload === 'object' &&
+                    'target' in payload &&
+                    payload.target === 'mini_program',
                 cancelOnAbort: options.cancelOnAbort !== false,
                 ...(options.onProgress ? { onProgress: options.onProgress } : {}),
                 ...(options.signal ? { signal: options.signal } : {}),
@@ -1537,6 +1542,8 @@ class MiniProgramBridgeClient {
                     if (!active) {
                         return;
                     }
+                    if (active.cancelOnTimeout)
+                        this.sendCancel(id);
                     this.cleanupPending(active);
                     this.pendingRequests.delete(id);
                     reject(createSDKError('REQUEST_TIMEOUT', `${method} 调用超时`));
@@ -1775,7 +1782,7 @@ class MiniProgramBridgeClient {
     }
     sendCancel(id) {
         const pending = this.pendingRequests.get(id);
-        if (!pending?.isOperation || pending.cancelSent) {
+        if (!pending || (!pending.isOperation && !pending.cancelOnTimeout) || pending.cancelSent) {
             return;
         }
         pending.cancelSent = true;

package/dist/vite.cjs.js

@@ -2965,7 +2965,7 @@ async function ensureBasicInfoDirectory(rootPath, relative) {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.9.0-alpha.7';
+    : '0.9.0';
 
 /**
  * iframe 与调试台页面的开发期 console 捕获转发。
@@ -3610,9 +3610,6 @@ function requiresExplicitPermissions(sdkVersion) {
         throw new Error(`sdkVersion 必须是合法 SemVer：${sdkVersion}`);
     return parsed.major > 0 || parsed.minor >= 9;
 }
-function getMissingPermissionsWarning(sourceLabel = 'package.json#heybox.permissions') {
-    return `${sourceLabel} 尚未声明。当前按 0.8 兼容行为构建；0.9.0 起将拒绝构建，请尽快补充权限声明（无权限需求时配置 {}）。`;
-}
 function isRecord$3(value) {
     return typeof value === 'object' && value !== null && !Array.isArray(value);
 }
@@ -13418,7 +13415,7 @@ const devSnapshotStores = devSnapshotRegistry[devSnapshotStoreKey];
  * `hb-sdk remote deploy` 将当前版本的 `network` 声明与远端批准结果求交并确认最终启用后，才会
  * 建立 verified 上下文供插件读取内部
  * `HB_SDK_RUNTIME_PERMISSION_CONTEXT` + `HB_SDK_RUNTIME_USE_OFFICIAL_DOMAIN` 组合跳过平台 CSP；单独设置
- * 任一值无效。0.8 兼容期对完全缺失权限声明的项目仍按迁移规则处理；`useOfficialDomain` 不参与
+ * 任一值无效。完全缺失权限声明的项目会直接拒绝构建；`useOfficialDomain` 不参与
  * CSP 跳过决定。Runtime Gate、HTML 校验和 Manifest 生成始终保留。
  *
  * `HB_SDK_COMPANION_ARTIFACT_ACCESS_TOKEN`、`HB_SDK_MINI_PROGRAM_MANIFEST_ACCESS_TOKEN`、
@@ -13782,8 +13779,6 @@ function miniappManifest() {
             const companionDeclarations = includeCompanions ? companionConfig.declarations : undefined;
             const bindAppIds = readMiniappBindAppIdsFromPackageJson(root);
             const category = readMiniappCategoryFromPackageJson(root);
-            if (!parsedPermissions.declared)
-                this.warn(getMissingPermissionsWarning());
             if (companionDeclarations && !parsedPermissions.permissions?.companion) {
                 throw new Error('配置 companions 时必须声明 package.json#heybox.permissions.companion.enabled=true');
             }

package/dist/vite.esm.js

@@ -2962,7 +2962,7 @@ async function ensureBasicInfoDirectory(rootPath, relative) {
 /** 构建时替换为当前发布包的实际版本。 */
 const HB_SDK_VERSION = typeof undefined === 'string'
     ? undefined
-    : '0.9.0-alpha.7';
+    : '0.9.0';
 
 /**
  * iframe 与调试台页面的开发期 console 捕获转发。
@@ -3607,9 +3607,6 @@ function requiresExplicitPermissions(sdkVersion) {
         throw new Error(`sdkVersion 必须是合法 SemVer：${sdkVersion}`);
     return parsed.major > 0 || parsed.minor >= 9;
 }
-function getMissingPermissionsWarning(sourceLabel = 'package.json#heybox.permissions') {
-    return `${sourceLabel} 尚未声明。当前按 0.8 兼容行为构建；0.9.0 起将拒绝构建，请尽快补充权限声明（无权限需求时配置 {}）。`;
-}
 function isRecord$3(value) {
     return typeof value === 'object' && value !== null && !Array.isArray(value);
 }
@@ -13415,7 +13412,7 @@ const devSnapshotStores = devSnapshotRegistry[devSnapshotStoreKey];
  * `hb-sdk remote deploy` 将当前版本的 `network` 声明与远端批准结果求交并确认最终启用后，才会
  * 建立 verified 上下文供插件读取内部
  * `HB_SDK_RUNTIME_PERMISSION_CONTEXT` + `HB_SDK_RUNTIME_USE_OFFICIAL_DOMAIN` 组合跳过平台 CSP；单独设置
- * 任一值无效。0.8 兼容期对完全缺失权限声明的项目仍按迁移规则处理；`useOfficialDomain` 不参与
+ * 任一值无效。完全缺失权限声明的项目会直接拒绝构建；`useOfficialDomain` 不参与
  * CSP 跳过决定。Runtime Gate、HTML 校验和 Manifest 生成始终保留。
  *
  * `HB_SDK_COMPANION_ARTIFACT_ACCESS_TOKEN`、`HB_SDK_MINI_PROGRAM_MANIFEST_ACCESS_TOKEN`、
@@ -13779,8 +13776,6 @@ function miniappManifest() {
             const companionDeclarations = includeCompanions ? companionConfig.declarations : undefined;
             const bindAppIds = readMiniappBindAppIdsFromPackageJson(root);
             const category = readMiniappCategoryFromPackageJson(root);
-            if (!parsedPermissions.declared)
-                this.warn(getMissingPermissionsWarning());
             if (companionDeclarations && !parsedPermissions.permissions?.companion) {
                 throw new Error('配置 companions 时必须声明 package.json#heybox.permissions.companion.enabled=true');
             }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@heybox/hb-sdk",
-  "version": "0.9.0-alpha.7",
+  "version": "0.9.0",
   "sideEffects": [
     "./src/index.ts",
     "./src/core/singleton.ts",
@@ -65,7 +65,7 @@
     "undici": "^7.28.0",
     "ws": "^8.18.0",
     "sharp": "^0.34.5",
-    "@heybox/hb-sdk-protocol": "0.9.0-alpha.7"
+    "@heybox/hb-sdk-protocol": "0.9.0"
   },
   "peerDependencies": {
     "vite": ">=5"
@@ -116,13 +116,13 @@
     "vue-tsc": "^3.3.7",
     "vite": "^8.0.12",
     "vitest": "^3.2.4",
-    "@heybox-domain/heybox-vue3-ui": "~0.1.0",
     "@heybox-domain/heybox-theme": "~0.1.0",
+    "@heybox-domain/heybox-vue3-ui": "~0.1.0",
+    "@heybox/hb-sdk-runtime": "~0.9.0",
     "@heybox/hb-api": "~1.28.10",
-    "@heybox/hb-sdk-runtime": "~0.9.0-alpha.7",
-    "@heybox/runtime": "~0.2.0",
-    "@heybox/runtime-policy": "~0.2.0",
-    "@heybox/runtime-transport-fetch": "~0.2.0"
+    "@heybox/runtime": "~0.2.1",
+    "@heybox/runtime-policy": "~0.2.1",
+    "@heybox/runtime-transport-fetch": "~0.2.1"
   },
   "publishConfig": {
     "registry": "https://registry.npmjs.org/",

package/skill/skill.json

@@ -1,15 +1,15 @@
 {
   "name": "hb-sdk",
-  "skillVersion": "0.9.0-alpha.7+skill.aa24d6656331",
+  "skillVersion": "0.9.0+skill.aa24d6656331",
   "sdk": {
     "package": "@heybox/hb-sdk",
-    "version": "0.9.0-alpha.7",
-    "compatibility": "0.9.0-alpha.7"
+    "version": "0.9.0",
+    "compatibility": "0.9.0"
   },
   "distribution": {
     "type": "npm",
     "package": "@heybox/hb-sdk",
-    "version": "0.9.0-alpha.7",
+    "version": "0.9.0",
     "path": "skill"
   },
   "integrity": "sha256-aa24d6656331cbad8f6aae7735258a49d7f1a82f6e900415de53a1b93a30ddb8"

package/types/miniapp-manifest/permissions.d.ts

@@ -17,7 +17,7 @@ export interface NetworkMiniappPermissionDeclaration extends SimpleMiniappPermis
  * @remarks
  * 这是本地声明，不是运行时授权结果。仅需声明的权限按声明生效；要求平台批准的权限还需与远端批准
  * 求交，network 的 useOfficialDomain 配置也需同时获批。显式声明中缺失某权限表示不请求该权限；
- * SDK 0.9 系列起必须提供对象，0.8 历史产物未声明时另按迁移规则处理。
+ * SDK 0.9 系列起项目必须提供该对象，0.8 历史产物未声明时另按迁移规则处理。
  */
 export type MiniappPermissionDeclarations = Partial<Record<Exclude<MiniappPermissionKey, 'network'>, SimpleMiniappPermissionDeclaration> & {
     network: NetworkMiniappPermissionDeclaration;
@@ -42,7 +42,6 @@ export declare function parseMiniappPermissions(value: unknown, options: {
     sourceLabel?: string;
 }): ParsedMiniappPermissions;
 export declare function requiresExplicitPermissions(sdkVersion: string): boolean;
-export declare function getMissingPermissionsWarning(sourceLabel?: string): string;
 export declare function composeMiniappRuntimePermissions(local: ParsedMiniappPermissions, approvals: unknown): {
     runtimePermissions: MiniProgramRuntimePermissionsSnapshot;
     views: MiniappPermissionView[];

package/types/modules/files/types.d.ts

@@ -1315,9 +1315,11 @@ export interface FilesModule {
      * 的 picker / `saveFile()` direct handle 共享 1024 上限，每个返回文件占用一个。
      *
      * `read` File 可调用 `readText()`、`readBytes()`、`exists()` 与 `stat()`；写入、创建及作为
-     * 下载替换目标需要 `readwrite`。外部精确 File 无论 mode 都不能删除。Android `1.3.396+`
-     * 的精确 SAF 文件只支持只读选择，请求 `readwrite` 会返回 `FILE_ACCESS_DENIED`；其他平台也
-     * 以 Host 实际授予结果为准。
+     * 下载替换目标需要 `readwrite`。外部精确 File 无论 mode 都不能删除。Android 已适配客户端
+     * 支持精确 SAF 文件的 `readwrite` 选择，需系统返回写入授权；较早客户端仍会拒绝该模式。
+     * `writeText()` / `writeBytes()` 先暂存完整内容再写入，最终 Provider 写入不是原子替换，
+     * 失败时原文件可能为空或只写入部分内容。该授权不支持 `network.download()` 的原子替换。
+     * 未指定模式时仍为只读；用户或 Provider 未授予写入权限时返回 `FILE_ACCESS_DENIED`。
      *
      * 新 PC Host 支持文件选择；Android/iOS 需要 `1.3.396+`，移动端继续以 `system.describe`
      * 实际声明的 operation 为准；OHOS 同样按 Host 宣告能力启用。Web、Browser Dev Host、旧 Host
@@ -1407,6 +1409,12 @@ export interface FilesModule {
      * {@link FileSystem.directory | files.sandbox.directory} 不打开选择器、无需用户手势、持久按
      * Mini-program 隔离，也不占用该 direct-handle 配额。
      *
+     * 鸿蒙手机和平板的单目录选择需要系统 API 26.0.0 或以上；较早系统需具备
+     * `SystemCapability.FileManagement.UserFileService.FolderSelection` 能力。
+     * 同时要求当前客户端已适配并开放目录选择，不支持时抛出 `METHOD_FORBIDDEN`。
+     * 不具备上述能力的 API 24 鸿蒙手机无法选择外部目录，声明 `filesystem` 或升级编译 SDK
+     * 不会解除限制。单文件读写或导出可分别使用 `pickFiles()`、`saveFile()`，不授予父目录权限。
+     *
      * 新 PC Host 支持目录选择；Android/iOS 需要 `1.3.396+`，移动端继续以 `system.describe`
      * 实际声明的 operation 为准；OHOS 同样按 Host 宣告能力启用。Web、Browser Dev Host、旧 Host
      * 或 operation 集不完整时 fail closed，不提供 Blob/内存 fallback。页面代码不应按操作系统
@@ -1486,7 +1494,12 @@ export interface FilesModule {
      * 创建空文件；同名目标返回 `FILE_ALREADY_EXISTS`。其他 Host 可以展示平台原生保存界面，
      * 但成功结果仍只授权最终精确 File，且不能通过该 API 请求静默覆盖。
      *
-     * 新 PC 与 iOS Host 支持该能力；Android 不提供 `files.saveFile`。OHOS 按 Host 实际宣告的
+     * Android 已适配客户端支持 `files.saveFile`，系统保存器返回精确 SAF 文件授权，不授予
+     * 父目录权限。`writeText()` / `writeBytes()` 先暂存完整内容，再写入该目标；最终 Provider
+     * 写入不是原子替换，失败时目标可能为空或部分写入，原内容不保证保留。该授权不支持
+     * `network.download()` 的原子替换，导出请调用文件代理的写入方法。
+     *
+     * 新 PC、Android 与 iOS Host 支持该能力。OHOS 按 Host 实际宣告的
      * operation 启用。Web、Browser Dev Host、旧 Host 或 operation 集不完整时 fail closed，不
      * 提供 Blob/内存 fallback。页面代码不应仅按操作系统判断，应处理 `METHOD_FORBIDDEN`。
      *
@@ -1520,10 +1533,12 @@ export interface FilesModule {
      * @see {@link https://docs.xiaoheihe.cn/hb_sdk/guide/permissions | 权限声明}
      *
      * @since 0.8.0-alpha.2
+     * @hbPlatform android
      * @hbPlatform ios
      * @hbPlatform ohos
      * @hbPlatform windows
      * @hbPlatform macos
+     * @hbClient android numeric-dot \>= 1.3.396
      * @hbClient ios numeric-dot \>= 1.3.396
      * @hbClient ohos none
      * @hbClient windows none

package/types/modules/navigation/index.d.ts

@@ -197,6 +197,14 @@ export interface MiniProgramNavigationModule {
      * 由 Host 决定。`extra` 与分享扩展数据使用相同格式，目标小程序通过 `share.getExtra()` 读取。
      * Runtime 会在 Host 边界再次校验，页面提供的字段不能覆盖目标路径或窗口展示参数。
      *
+     * 打开 `mini_program` 前，支持方向控制的 Host 会先把当前容器恢复为竖屏、非全屏，并等待
+     * 宿主确认后才打开目标；确认状态变化时发出 `display_change`（`source: 'api'`）。恢复阶段
+     * 最多等待 10 秒，超时返回 `ORIENTATION_TIMEOUT` 并取消宿主方向操作。SDK 总请求超时
+     * 返回 `REQUEST_TIMEOUT`，同时通知 Runtime 取消；SDK 销毁也会取消尚未完成的跳转。
+     * 恢复错误或请求取消后不会打开目标，晚到的方向成功回复也不会继续跳转。没有方向原语
+     * 或返回 `supported: false` 的旧 Host 仍允许跳转。返回当前小程序后不会
+     * 自动回到原方向，需要横屏的页面应在 `show` 事件中重新调用 `viewport.setDisplay()`。
+     *
      * 移动端 Host 支持全部四类目标。当前 Windows/macOS PC Host 支持 `game_detail` 和
      * `mini_program`，仍不支持 `user_detail`、`post_detail`；游戏详情只把 `appId` 交给导航，
      * `gameType` 仍须合法，而 `page`、`hSrc`、`skuId` 不保证在 PC 生效。调用方应按目标和平台

package/types/vite/index.d.ts

@@ -179,7 +179,7 @@ export declare const HB_SDK_MINI_PROGRAM_MANIFEST_ACCESS_TOKEN_ENV = "HB_SDK_MIN
  * `hb-sdk remote deploy` 将当前版本的 `network` 声明与远端批准结果求交并确认最终启用后，才会
  * 建立 verified 上下文供插件读取内部
  * `HB_SDK_RUNTIME_PERMISSION_CONTEXT` + `HB_SDK_RUNTIME_USE_OFFICIAL_DOMAIN` 组合跳过平台 CSP；单独设置
- * 任一值无效。0.8 兼容期对完全缺失权限声明的项目仍按迁移规则处理；`useOfficialDomain` 不参与
+ * 任一值无效。完全缺失权限声明的项目会直接拒绝构建；`useOfficialDomain` 不参与
  * CSP 跳过决定。Runtime Gate、HTML 校验和 Manifest 生成始终保留。
  *
  * `HB_SDK_COMPANION_ARTIFACT_ACCESS_TOKEN`、`HB_SDK_MINI_PROGRAM_MANIFEST_ACCESS_TOKEN`、