@jspg-ai/coding-bb 0.0.2-beta.29 → 0.0.3-beta.12

package/cbb/lib/utils/tar.js

@@ -0,0 +1,92 @@
+'use strict';
+
+/**
+ * 跨平台 .tar.gz 解压工具。
+ *
+ * 用 zlib + 手写 tar parser，避开 OS shell tar（Windows 上是 bsdtar、行为不完全一致），
+ * 与仓库「脚本语言统一 Node.js、禁止平台绑定脚本」的约定一致。
+ *
+ * 支持：
+ *   - gzip 压缩的 tar（GitHub tarball / npm registry tgz 都是这种）
+ *   - 目录项（type '5' 或名字以 '/' 结尾）
+ *   - 跳过 pax 扩展头（'g'/'x'）等元数据伪条目
+ *   - 路径穿越防护（拒绝 ../ 逃逸 destDir）
+ *
+ * 不支持（上游 tarball 均不使用，遇到时跳过而非静默损坏）：
+ *   - GNU longname/longlink（'L'/'K'）—— 超过 100 字符的路径
+ */
+
+const fs = require('fs');
+const path = require('path');
+const zlib = require('zlib');
+
+// 非文件、非目录的 tar 条目类型（pax 扩展头、GNU 长名等）
+const META_TYPE_FLAGS = new Set(['g', 'x', 'L', 'K', 'V', 'N']);
+
+/**
+ * 解析 tar buffer，返回条目列表（不落盘）。
+ * @param {Buffer} data - 已解压的 tar 数据
+ * @returns {Array<{name: string, size: number, typeFlag: string, dataStart: number}>}
+ */
+function listTar(data) {
+  const entries = [];
+  let off = 0;
+  while (off + 512 <= data.length) {
+    const header = data.subarray(off, off + 512);
+    off += 512;
+
+    // 连续两个 512 字节零块 = tar 终止
+    if (header.every(b => b === 0)) break;
+
+    // 文件名 header[0..100]（NUL 终止）
+    let nameEnd = 0;
+    while (nameEnd < 100 && header[nameEnd] !== 0) nameEnd++;
+    const name = header.subarray(0, nameEnd).toString('utf-8');
+
+    // 文件大小 header[124..136]（八进制 ASCII）
+    const size = parseInt(header.subarray(124, 136).toString('utf-8').trim(), 8) || 0;
+
+    // 类型标志 header[156]（'0'/NUL = 普通文件，'5' = 目录）
+    const typeFlag = String.fromCharCode(header[156]);
+
+    entries.push({ name, size, typeFlag, dataStart: off });
+    off += Math.ceil(size / 512) * 512;
+  }
+  return entries;
+}
+
+/**
+ * 解压 .tar.gz buffer 到目标目录。
+ * @param {Buffer} compressed - .tar.gz 文件内容
+ * @param {string} destDir - 解压目标根目录（不存在则创建）
+ * @returns {{files: number, dirs: number}} 落盘计数
+ */
+function extractTarGz(compressed, destDir) {
+  const data = zlib.gunzipSync(compressed);
+  const root = path.resolve(destDir);
+  let files = 0;
+  let dirs = 0;
+
+  for (const entry of listTar(data)) {
+    if (!entry.name) continue;
+    // 跳过 pax 扩展头等元数据伪条目
+    if (META_TYPE_FLAGS.has(entry.typeFlag)) continue;
+
+    const target = path.resolve(root, entry.name);
+    // 路径穿越防护：解压目标必须落在 destDir 内
+    if (target !== root && !target.startsWith(root + path.sep)) continue;
+
+    if (entry.typeFlag === '5' || entry.name.endsWith('/')) {
+      fs.mkdirSync(target, { recursive: true });
+      dirs += 1;
+    } else {
+      fs.mkdirSync(path.dirname(target), { recursive: true });
+      fs.writeFileSync(target, data.subarray(entry.dataStart, entry.dataStart + entry.size));
+      files += 1;
+    }
+  }
+
+  return { files, dirs };
+}
+
+module.exports = { extractTarGz, listTar };

package/cbb/lib/utils/upstream.js

@@ -0,0 +1,90 @@
+'use strict';
+
+/**
+ * 上游内容拉取的共享工具。
+ *
+ * 维护者侧（cbbm update --upstream-*）需要访问 GitHub / npm registry。
+ * 本模块提供：
+ *   - 镜像前缀列表加载（config/upstream-mirrors.json，仓库内维护）
+ *   - 带重定向跟随的 HTTPS GET
+ *   - 「按镜像列表依次尝试」的拉取策略（首个成功即用）
+ *
+ * 镜像前缀为空字符串表示直连；列表末位通常放 "" 作为兜底。
+ */
+
+const fs = require('fs');
+const https = require('https');
+const path = require('path');
+
+const SHARED_STANDARDS_DIR = path.join(__dirname, '..', '..', '..');
+const MIRRORS_FILE = path.join(SHARED_STANDARDS_DIR, 'config', 'upstream-mirrors.json');
+
+/**
+ * 读取指定上游的镜像前缀列表。
+ * 文件缺失 / 解析失败 / 未配置该上游时返回 ['']（仅直连）。
+ * @param {string} name - 上游名（如 'superpowers'）
+ * @returns {string[]}
+ */
+function loadMirrors(name) {
+  try {
+    const data = JSON.parse(fs.readFileSync(MIRRORS_FILE, 'utf-8'));
+    const list = data[name];
+    if (Array.isArray(list) && list.length > 0) {
+      return list.map(m => String(m));
+    }
+  } catch (_) { /* 回退到直连 */ }
+  return [''];
+}
+
+/**
+ * 发起 HTTPS GET，跟随重定向（最多 8 次），返回响应体 Buffer。
+ * @param {string} url
+ * @param {number} [redirectCount]
+ * @returns {Promise<Buffer>}
+ */
+function httpsGetBuffer(url, redirectCount = 0) {
+  if (redirectCount > 8) return Promise.reject(new Error('Too many redirects'));
+  return new Promise((resolve, reject) => {
+    https.get(url, { headers: { 'User-Agent': 'cbb-cli' } }, res => {
+      if ([301, 302, 307, 308].includes(res.statusCode) && res.headers.location) {
+        res.resume();
+        return httpsGetBuffer(res.headers.location, redirectCount + 1).then(resolve, reject);
+      }
+      if (res.statusCode !== 200) {
+        res.resume();
+        return reject(new Error(`HTTP ${res.statusCode}: ${url}`));
+      }
+      const chunks = [];
+      res.on('data', c => chunks.push(c));
+      res.on('end', () => resolve(Buffer.concat(chunks)));
+      res.on('error', reject);
+    }).on('error', reject);
+  });
+}
+
+/**
+ * 按镜像列表依次尝试拉取，首个成功即返回。
+ * @param {string[]} mirrors - 镜像前缀列表（'' = 直连）
+ * @param {(prefix: string) => string} buildUrl - 由前缀构造完整 URL
+ * @returns {Promise<{buffer: Buffer, mirror: string, url: string}>}
+ */
+async function fetchWithMirrors(mirrors, buildUrl) {
+  const errors = [];
+  for (const mirror of mirrors) {
+    const url = buildUrl(mirror);
+    try {
+      const buffer = await httpsGetBuffer(url);
+      return { buffer, mirror, url };
+    } catch (err) {
+      errors.push(`${mirror || '(直连)'}: ${err.message}`);
+    }
+  }
+  throw new Error(`所有镜像均失败:\n  ${errors.join('\n  ')}`);
+}
+
+module.exports = {
+  MIRRORS_FILE,
+  loadMirrors,
+  httpsGetBuffer,
+  fetchWithMirrors,
+};

package/cbb/worktrees/skills/cbb-worktree-close/SKILL.md

@@ -1,12 +1,6 @@
 ---
 name: cbb-worktree-close
 description: "关闭/清理/删除需求工作空间的 worktree 和分支。触发：用户明确说关闭/清理/删除 worktree、结束隔离开发、合并完要清理。禁止在 cbb-worktree-init 执行后自动调用——只有用户主动要求关闭时才触发。"
-license: MIT
-compatibility: Requires git (>=2.30) and Node.js (>=16.7.0). All commands are pure Node.js scripts under `scripts/`, fully cross-platform (Windows / macOS / Linux, bash / PowerShell / Git Bash).
-metadata:
-  author: Contributors
-  version: "2.0"
-  generatedBy: coding-bb
 ---
 
 # Close Worktree（跨平台脚本化版本 v2.0）
@@ -29,12 +23,28 @@ metadata:
 
 ---
 
+## 调用脚本的统一方式
+
+**重要**：本技能的所有脚本位于**本 SKILL.md 所在目录的 `scripts/` 下**（skill 目录）。
+
+调用时用**本技能目录的绝对路径**拼接脚本名（AI 读取本 SKILL.md 时即已知该目录），例如：
+
+```bash
+node "<skill_dir>/scripts/<name>.js" <参数>
+```
+
+> - `<skill_dir>` = 本 SKILL.md 所在目录的绝对路径（AI 从读取路径即可推出）
+> - **cwd 必须保持在工作空间根目录**：脚本按 cwd 定位 `workspace-config.json` 与 git 仓库
+> - 不要用 `./scripts/...` 裸相对路径（AI 的 cwd 不是技能目录，会解析失败）
+
+---
+
 ## Step 0：前置校验
 
 ### 0.1 环境健康探活
 
 ```bash
-node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/check-env.js"
+node "<skill_dir>/scripts/check-env.js"
 ```
 
 **解读输出**：
@@ -45,7 +55,7 @@ node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/check-env.
 ### 0.2 定位工作空间根目录
 
 ```bash
-node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/find-workspace-root.js"
+node "<skill_dir>/scripts/find-workspace-root.js"
 ```
 
 **解读输出**：
@@ -69,7 +79,7 @@ node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/find-works
 3. AI agent 列出 `.worktrees/` 下的所有 worktree：
 
 ```bash
-node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/find-target-worktree.js "<ws_root>"
+node "<skill_dir>/scripts/find-target-worktree.js "<ws_root>"
 ```
 
 > 注：本技能支持工作空间根目录或 worktree 内执行，find-target-worktree 自动从 cwd 反推或列出。
@@ -84,7 +94,7 @@ node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/find-targe
 ### 1.2 发现关联应用 worktree
 
 ```bash
-node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/discover-apps.js "<ws_root>" "<branch>"
+node "<skill_dir>/scripts/discover-apps.js "<ws_root>" "<branch>"
 ```
 
 脚本自动从 `workspace-config.json` 读取应用列表，扫描 `.worktrees/worktree-<branch>/<应用名>/` 实际存在的子目录。
@@ -93,12 +103,12 @@ node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/discover-a
 - `workspace` 字段：workspace worktree 绝对路径（AI agent 记录供后续命令使用）
 - `apps` 数组：实际存在的应用 worktree 列表（每项含 `name`, `repo`, `side`, `wt_path`, `app_path`）
 
-> 说明：app worktree 物理嵌套在 workspace worktree 内，移除 workspace worktree 时嵌套的子目录会一并消失，但各 app 仓库的 git worktree 元数据（`.git/worktrees/`）仍需通过 `git worktree remove` 逐个清理。AI 配置目录（`.claude/`、`.qoder/`、`.cbb/`）在每个 worktree 内由 init-worktree 独立安装，随 worktree 目录删除而清理，skill 无需特殊处理。
+> 说明：app worktree 物理嵌套在 workspace worktree 内，移除 workspace worktree 时嵌套的子目录会一并消失，但各 app 仓库的 git worktree 元数据（`.git/worktrees/`）仍需通过 `git worktree remove` 逐个清理。AI 配置只装在业务空间根（单层安装），worktree 内没有 AI 配置目录，无需特殊处理。
 
 ### 1.3 检查未归档 change
 
 ```bash
-node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/check-unarchived.js "<ws_root>"
+node "<skill_dir>/scripts/check-unarchived.js "<ws_root>"
 ```
 
 脚本扫描 `openspec/changes/` 目录，筛选出非 `archive/` 子目录的 change 名称列表。
@@ -117,7 +127,7 @@ node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/check-unar
 对 workspace worktree 和每个关联应用 worktree，依次执行三项检查并汇总成安全状态表。**这是破坏性操作前的必经环节，结果将驱动 Step 3 的用户决策。**
 
 ```bash
-node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/safety-check.js "<ws_root>" "<branch>"
+node "<skill_dir>/scripts/safety-check.js "<ws_root>" "<branch>"
 ```
 
 脚本内部对每个仓库自动执行：
@@ -226,10 +236,10 @@ AskUserQuestion({
 
 ```bash
 # 仅删本地分支（已合并自动 -d，未合并自动 -D；含 squash 合并 -D 兜底）
-node "<skill>/scripts/delete-branches.js" "<ws_root>" "<branch>" local
+node "<skill_dir>/scripts/delete-branches.js" "<ws_root>" "<branch>" local
 
 # 删本地 + 远程分支
-node "<skill>/scripts/delete-branches.js" "<ws_root>" "<branch>" local_remote
+node "<skill_dir>/scripts/delete-branches.js" "<ws_root>" "<branch>" local_remote
 ```
 
 **调用前的强警告**（调用方需自评）：
@@ -260,7 +270,7 @@ node "<skill>/scripts/delete-branches.js" "<ws_root>" "<branch>" local_remote
   [中止] 终止流程，我先手动处理
 ```
 
-- 用户选择「先推送」→ AI 引导用户执行 `cbb-worktree-push`（或 `/cbb:worktree-push`），完成后**重新跑** Step 2 safety-check 确认 `unpushed_count = 0` 再回到本步骤
+- 用户选择「先推送」→ AI 引导用户执行 `cbb-worktree-push` skill（或 `/cbb-worktree-push`），完成后**重新跑** Step 2 safety-check 确认 `unpushed_count = 0` 再回到本步骤
 - 用户选择「接受丢失」→ 必须二次确认（ahead 提交真的会丢），确认后继续 Step 4
 - 用户选择「中止」→ 终止流程
 
@@ -289,14 +299,14 @@ node "<skill>/scripts/delete-branches.js" "<ws_root>" "<branch>" local_remote
 **顺序：先移除各应用 worktree，再移除 workspace worktree**（逆序于创建；也为后续删分支扫清"分支仍被检出"的障碍）。
 
 ```bash
-node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/remove-worktrees.js "<ws_root>" "<branch>" "<force>"
+node "<skill_dir>/scripts/remove-worktrees.js "<ws_root>" "<branch>" "<force>"
 ```
 
 **三层降级策略**：`git worktree remove` 实际包含两个动作——①清理 git 元数据（`.git/worktrees/`）②删除物理目录。当 IDE 占用目录时 ② 会被 Windows 文件锁阻塞，但 ① 永远不受影响。脚本将这两个动作解耦：
 
 - **第 1 层（正常路径）：** `git worktree remove` 一步完成元数据 + 物理目录清理
 - **第 2 层（解耦清理）：** 当目录被锁时，先 `prune` 清理 git 元数据（始终成功），再 `rmdir`/`rm -rf` 尝试物理删除
-- **第 3 层（延迟清理）：** Windows 下 IDE 持有排他句柄时触发。元数据已清理保证分支删除不受影响；物理目录留给 init-worktree 下次创建时自愈（见 init Step 4.0）
+- **第 3 层（延迟清理）：** Windows 下 IDE 持有排他句柄时触发。元数据已清理保证分支删除不受影响；物理目录**不会被 init 自动删除**（0.0.3-beta.11 起 init 只 prune 元数据、绝不删目录，防误删活跃 worktree），需用户关闭 IDE 后手动删除，或重跑 close 补删
 
 **解读末行 `REMOVE_RESULT`**：
 - `has_locked: false` → 全部清理成功
@@ -333,9 +343,9 @@ node "D:/workspace/<ws_root>/.qoder/skills/cbb-worktree-close/scripts/remove-wor
 如用户在 Step 1.1 选定 worktree 时已要求"删除分支"，或运行后需要单独清理，可在此步骤**手动调用**：
 
 ```bash
-node "<skill>/scripts/delete-branches.js" "<ws_root>" "<branch>" local
+node "<skill_dir>/scripts/delete-branches.js" "<ws_root>" "<branch>" local
 # 或
-node "<skill>/scripts/delete-branches.js" "<ws_root>" "<branch>" local_remote
+node "<skill_dir>/scripts/delete-branches.js" "<ws_root>" "<branch>" local_remote
 ```
 
 脚本内部对每个仓库：
@@ -388,7 +398,6 @@ git -C "<ws_root>" worktree list
     ⏭️  fix-payment-timeout → 用户选择跳过
     （无未归档 change 时不显示本节）
   分支处理：feature-xxx 已保留（默认行为；如需删除分支，手动调用 scripts/delete-branches.js）
-  AI 配置：worktree 内独立安装，随 worktree 删除而清理；工作空间根目录的 AI 配置保留
   剩余工作空间 worktree：<列出仍存在的，或 "无" >
   Workspace cleaned up.
 ```
@@ -411,10 +420,10 @@ git -C "<ws_root>" worktree list
 - 未经用户确认用 `--force` 丢弃未提交修改，或主动调用 `delete-branches.js` 对未合并分支执行 `-D` 强删
 - 操作 `.worktrees/worktree-<需求名>` 以外的任何 worktree（如 `~/.qoder/worktree/...` 会话 worktree）
 - 移除/删除前跳过 Step 2 安全评估
-- 删除工作空间根目录的 AI 配置目录（`.claude/`、`.qoder/`、`.cbb/` 等源目录）
+- 删除工作空间根目录的 AI 配置目录（`.claude/`、`.qoder/`、`.opencode/` 等）
 - 用 `AskUserQuestion` 收集自由文本（分支名等直接对话提问）
 - 手动改任何仓库的 `.gitignore`（关闭流程不碰它）
-- 沙箱内 node 不可用时强行继续 → 改为 fail-fast 提示用户
+- 运行环境 node 不可用时强行继续 → 改为 fail-fast 提示用户
 
 ### 必须执行
 
@@ -429,7 +438,7 @@ git -C "<ws_root>" worktree list
 - **合并判定依赖刷新后的远程引用，故 Step 2.0 先主动 `git fetch`**：feature 多由他人经 MR 合入远端，本地引用否则会陈旧误判
 - **并行块用临时文件收结果、不用共享变量**：原 bash 版本中 `&` 后台任务跑在独立子 shell；Node.js 同步执行无此问题
 - **`.gitignore` 无需清理**：创建时的 `.worktrees/` 条目提交在 feature 分支上，删分支时随分支消失（未合并）或无害保留（已合并）
-- **AI 配置目录在每个 worktree 内独立安装**：关闭 worktree 时这些目录随 worktree 目录一起删除
+- **AI 配置只装在空间根（单层安装）**：worktree 内没有 AI 配置目录，关闭时无需处理
 - **部分 `worktree remove` 失败**：已移除的无需回退，未移除的报告详情让用户处理后重跑
 - **Windows IDE 目录锁的三层降级**：`git worktree remove` 内部做两件事——①清元数据 ②删目录。Windows 文件锁只阻塞 ②，不阻塞 ①
 

package/cbb/worktrees/skills/cbb-worktree-close/scripts/check-env.js

@@ -34,7 +34,7 @@ const checks = {};
 // ── 必检：git ─────────────────────────────────────────
 checks.git = tryExec('git --version');
 if (!checks.git.ok) {
-  console.error('❌ git 启动失败（可能是 Qoder 沙箱 DLL 问题 0xc0000142）');
+  console.error('❌ git 启动失败（可能是 Agent 运行环境 DLL 问题 0xc0000142）');
   console.error('   解决方案：到系统终端重新执行本技能');
   process.exit(1);
 }
@@ -57,12 +57,12 @@ if (!checks.node.ok) {
   console.log('✅ node OK:', checks.node.out);
 }
 
-// ── 沙箱检测 ─────────────────────────────────────────
+// ── 运行环境检测 ─────────────────────────────────────────
 const inWorktree = !!(process.env.QODER_AGENT || process.env.QODER_WORKTREE);
 if (inWorktree) {
-  console.log('🛡️  Qoder 沙箱环境：移除 worktree 时如遇 IDE 锁，将降级处理');
+  console.log('🛡️  Qoder Agent 运行环境：移除 worktree 时如遇 IDE 锁，将降级处理');
 } else {
-  console.log('✅ 非沙箱环境');
+  console.log('✅ 系统终端环境');
 }
 
 const summary = {

package/cbb/worktrees/skills/cbb-worktree-close/scripts/remove-worktrees.js

@@ -78,7 +78,7 @@ function removeWt(repoPath, wtPath, name) {
 
   // 第 3 层：目录被锁
   lockedDirs.push(wtPath);
-  console.log('⏳ ' + name + ' 元数据已清理，物理目录被锁定（将在下次 init 时自动清理）');
+  console.log('⏳ ' + name + ' 元数据已清理，物理目录被锁定（init 不会自动删除目录，需手动清理）');
   results.push({ name, status: 'locked' });
 }
 
@@ -110,7 +110,7 @@ if (lockedDirs.length > 0) {
   console.log('');
   console.log('⏳ 以下目录被外部进程占用（IDE 等），git 元数据已清理，物理目录仍保留：');
   lockedDirs.forEach(d => console.log('   - ' + d));
-  console.log('   → 请关闭占用这些目录的程序（如 IDE）后手动删除；或下次 init-worktree 时自动清理');
+  console.log('   → 请关闭占用这些目录的程序（如 IDE）后手动删除（init 不再自动清理物理目录）');
 }
 
 console.log('---');