@jspg-ai/coding-bb 0.0.3-beta.6 → 0.0.3-beta.8

package/cbb/lib/superpowers/index.js

@@ -1,265 +1,246 @@
-#!/usr/bin/env node
-
-/**
- * Superpowers Skills 管理模块
- *
- * 负责从 GitHub (obra/superpowers) 下载 skills 并部署到本项目。
- * 提供 cbbm update --upstream-superpowers 选项，以及 init 时的自动部署能力。
- */
-
-const fs = require('fs');
-const path = require('path');
-const https = require('https');
-const os = require('os');
-const { execSync } = require('child_process');
-
-const SHARED_STANDARDS_DIR = path.join(__dirname, '..', '..', '..');
-
-// Superpowers 本地存储目录
-const SUPERPOWERS_DIR = path.join(SHARED_STANDARDS_DIR, 'superpowers');
-const SUPERPOWERS_SKILLS_DIR = path.join(SUPERPOWERS_DIR, 'skills');
-const VERSION_FILE = path.join(SUPERPOWERS_DIR, '.version');
-
-// GitHub 配置
-const GITHUB_REPO = 'obra/superpowers';
-const GITHUB_BRANCH = 'main';
-const GITHUB_TARBALL_URL = `https://api.github.com/repos/${GITHUB_REPO}/tarball/${GITHUB_BRANCH}`;
-const GITHUB_API_COMMIT_URL = `https://api.github.com/repos/${GITHUB_REPO}/commits/${GITHUB_BRANCH}`;
-
-// 预期的 skill 列表（14 个）
-const EXPECTED_SKILLS = [
-  'brainstorming',
-  'dispatching-parallel-agents',
-  'executing-plans',
-  'finishing-a-development-branch',
-  'receiving-code-review',
-  'requesting-code-review',
-  'subagent-driven-development',
-  'systematic-debugging',
-  'test-driven-development',
-  'using-git-worktrees',
-  'using-superpowers',
-  'verification-before-completion',
-  'writing-plans',
-  'writing-skills',
-];
-
-const { log } = require('../utils/output');
-
-// ── HTTP 工具 ──────────────────────────────────────────────────
-
-/**
- * 发起 HTTPS GET 请求，跟随重定向（最多 5 次）。
- * @param {string} url
- * @param {object} [headers]
- * @returns {Promise<{statusCode: number, headers: object, body: Buffer}>}
- */
-function httpsGet(url, headers = {}, redirectCount = 0) {
-  if (redirectCount > 5) throw new Error('Too many redirects');
-
-  return new Promise((resolve, reject) => {
-    const defaultHeaders = { 'User-Agent': 'cbb-cli' };
-    https.get(url, { headers: { ...defaultHeaders, ...headers } }, (res) => {
-      // 跟随重定向
-      if ([301, 302, 307, 308].includes(res.statusCode) && res.headers.location) {
-        res.resume(); // 消费响应体
-        return httpsGet(res.headers.location, headers, redirectCount + 1)
-          .then(resolve, reject);
-      }
-
-      const chunks = [];
-      res.on('data', chunk => chunks.push(chunk));
-      res.on('end', () => {
-        resolve({
-          statusCode: res.statusCode,
-          headers: res.headers,
-          body: Buffer.concat(chunks),
-        });
-      });
-      res.on('error', reject);
-    }).on('error', reject);
-  });
-}
-
-/**
- * 下载文件到指定路径。
- */
-async function downloadToFile(url, destPath) {
-  const res = await httpsGet(url);
-  if (res.statusCode !== 200) {
-    throw new Error(`HTTP ${res.statusCode}: ${url}`);
-  }
-  fs.mkdirSync(path.dirname(destPath), { recursive: true });
-  fs.writeFileSync(destPath, res.body);
-  return res;
-}
-
-// ── 版本管理 ──────────────────────────────────────────────────
-
-/**
- * 获取 GitHub 上 main 分支最新的 commit SHA。
- * @returns {Promise<string>}
- */
-async function fetchLatestCommitSha() {
-  const res = await httpsGet(GITHUB_API_COMMIT_URL, {
-    'Accept': 'application/vnd.github.v3+json',
-  });
-  if (res.statusCode !== 200) {
-    throw new Error(`无法获取最新 commit: HTTP ${res.statusCode}`);
-  }
-  const data = JSON.parse(res.body.toString('utf-8'));
-  return data.sha;
-}
-
-/**
- * 读取本地 .version 文件中的 commit SHA。
- * @returns {string|null}
- */
-function getLocalVersion() {
-  if (!fs.existsSync(VERSION_FILE)) return null;
-  try {
-    const content = fs.readFileSync(VERSION_FILE, 'utf-8').trim();
-    // 格式：commit SHA（纯字符串）或 JSON { sha, updatedAt }
-    if (content.startsWith('{')) {
-      const data = JSON.parse(content);
-      return data.sha || null;
-    }
-    return content || null;
-  } catch (_) {
-    return null;
-  }
-}
-
-/**
- * 写入版本信息到 .version 文件。
- * @param {string} sha
- */
-function writeVersion(sha) {
-  const data = {
-    sha,
-    branch: GITHUB_BRANCH,
-    repo: GITHUB_REPO,
-    updatedAt: new Date().toISOString(),
-  };
-  fs.writeFileSync(VERSION_FILE, JSON.stringify(data, null, 2) + '\n');
-}
-
-// ── 下载与解压 ──────────────────────────────────────────────────
-
-/**
- * 从 GitHub 下载 tarball 并解压 skills 目录到 superpowers/skills/。
- * @returns {Promise<{sha: string, skillCount: number}>}
- */
-async function fetchLatestSkills() {
-  // 1. 获取最新 commit SHA
-  log('正在获取 superpowers 最新版本信息...', 'info');
-  const sha = await fetchLatestCommitSha();
-  const localSha = getLocalVersion();
-
-  if (sha === localSha) {
-    log(`已是最新版本 (${sha.slice(0, 8)})`, 'success');
-    return { sha, skillCount: getSkillCount(), skipped: true };
-  }
-
-  // 2. 下载 tarball
-  log(`正在下载 superpowers (${GITHUB_BRANCH}@${sha.slice(0, 8)})...`, 'info');
-  const tmpDir = fs.mkdtempSync(path.join(os.tmpdir(), 'cbb-sp-'));
-  const tarballPath = path.join(tmpDir, 'superpowers.tar.gz');
-
-  try {
-    await downloadToFile(GITHUB_TARBALL_URL, tarballPath);
-
-    // 3. 解压 tarball
-    log('正在解压...', 'info');
-    execSync(`tar -xzf "${tarballPath}" -C "${tmpDir}"`, { stdio: 'pipe' });
-
-    // 4. 找到解压后的目录（GitHub tarball 解压后目录名格式：obra-superpowers-<short-sha>）
-    const entries = fs.readdirSync(tmpDir).filter(f => {
-      const p = path.join(tmpDir, f);
-      return fs.statSync(p).isDirectory() && f.startsWith('obra-superpowers');
-    });
-    if (entries.length === 0) {
-      throw new Error('解压后未找到 superpowers 目录');
-    }
-    const extractedDir = path.join(tmpDir, entries[0]);
-    const extractedSkills = path.join(extractedDir, 'skills');
-
-    if (!fs.existsSync(extractedSkills)) {
-      throw new Error('解压后未找到 skills 目录');
-    }
-
-    // 5. 清空并复制 skills
-    if (fs.existsSync(SUPERPOWERS_SKILLS_DIR)) {
-      fs.rmSync(SUPERPOWERS_SKILLS_DIR, { recursive: true });
-    }
-    fs.mkdirSync(SUPERPOWERS_SKILLS_DIR, { recursive: true });
-    fs.cpSync(extractedSkills, SUPERPOWERS_SKILLS_DIR, { recursive: true });
-
-    // 6. 记录版本
-    writeVersion(sha);
-
-    const skillCount = getSkillCount();
-    log(`已更新 superpowers skills: ${localSha ? localSha.slice(0, 8) : '(无)'} → ${sha.slice(0, 8)} (${skillCount} 个 skills)`, 'success');
-
-    return { sha, skillCount, skipped: false };
-  } finally {
-    // 清理临时目录
-    try { fs.rmSync(tmpDir, { recursive: true, force: true }); } catch (_) { /* ignore */ }
-  }
-}
-
-// ── Skills 校验 ──────────────────────────────────────────────────
-
-/**
- * 获取本地 skills 目录中的 skill 数量。
- */
-function getSkillCount() {
-  if (!fs.existsSync(SUPERPOWERS_SKILLS_DIR)) return 0;
-  return fs.readdirSync(SUPERPOWERS_SKILLS_DIR)
-    .filter(f => {
-      const p = path.join(SUPERPOWERS_SKILLS_DIR, f);
-      return fs.statSync(p).isDirectory();
-    }).length;
-}
-
-/**
- * 校验本地 skills 完整性：所有预期的 skill 目录存在且包含 SKILL.md。
- * @returns {{valid: boolean, missing: string[], incomplete: string[]}}
- */
-function validateSkills() {
-  const missing = [];
-  const incomplete = [];
-
-  for (const skill of EXPECTED_SKILLS) {
-    const skillDir = path.join(SUPERPOWERS_SKILLS_DIR, skill);
-    if (!fs.existsSync(skillDir)) {
-      missing.push(skill);
-    } else if (!fs.existsSync(path.join(skillDir, 'SKILL.md'))) {
-      incomplete.push(skill);
-    }
-  }
-
-  return {
-    valid: missing.length === 0 && incomplete.length === 0,
-    missing,
-    incomplete,
-  };
-}
-
-// ── 导出 ──────────────────────────────────────────────────────────
-
-module.exports = {
-  // 常量
-  SUPERPOWERS_DIR,
-  SUPERPOWERS_SKILLS_DIR,
-  VERSION_FILE,
-  EXPECTED_SKILLS,
-  GITHUB_REPO,
-  GITHUB_BRANCH,
-
-  // 核心函数
-  fetchLatestSkills,
-  getLocalVersion,
-  validateSkills,
-  getSkillCount,
-};
+#!/usr/bin/env node
+
+/**
+ * Superpowers Skills 管理模块
+ *
+ * 负责按 pin 的 release tag 从 GitHub 下载 obra/superpowers 的 skills 并部署到本项目。
+ * 提供 cbbm update --upstream-superpowers 选项，以及 init 时的自动部署能力。
+ *
+ * 网络：GitHub 直连可能被墙，走 config/upstream-mirrors.json 的镜像前缀列表
+ * （按顺序尝试，首个成功即用；空字符串 = 直连）。
+ *
+ * 升级方式：cbbm update --upstream-superpowers（按 .version 的 tag 幂等重拉）
+ * 版本检查：cbbm check-upstream
+ */
+
+const fs = require('fs');
+const path = require('path');
+const os = require('os');
+
+const SHARED_STANDARDS_DIR = path.join(__dirname, '..', '..', '..');
+
+// Superpowers 本地存储目录
+const SUPERPOWERS_DIR = path.join(SHARED_STANDARDS_DIR, 'superpowers');
+const SUPERPOWERS_SKILLS_DIR = path.join(SUPERPOWERS_DIR, 'skills');
+const VERSION_FILE = path.join(SUPERPOWERS_DIR, '.version');
+
+// GitHub 配置
+const GITHUB_REPO = 'obra/superpowers';
+
+// 预期的 skill 列表（15 个）
+const EXPECTED_SKILLS = [
+  'brainstorming',
+  'diagnosing-superpowers',
+  'dispatching-parallel-agents',
+  'executing-plans',
+  'finishing-a-development-branch',
+  'receiving-code-review',
+  'requesting-code-review',
+  'subagent-driven-development',
+  'systematic-debugging',
+  'test-driven-development',
+  'using-git-worktrees',
+  'using-superpowers',
+  'verification-before-completion',
+  'writing-plans',
+  'writing-skills',
+];
+
+const { log } = require('../utils/output');
+const { extractTarGz } = require('../utils/tar');
+const { loadMirrors, fetchWithMirrors } = require('../utils/upstream');
+
+// ── 版本管理（pin）────────────────────────────────────────────
+
+/**
+ * 读取本地 pin（.version 的 tag 字段）。
+ * 兼容旧格式：无 tag 时回退 sha。
+ * @returns {string|null}
+ */
+function getLocalVersion() {
+  if (!fs.existsSync(VERSION_FILE)) return null;
+  try {
+    const content = fs.readFileSync(VERSION_FILE, 'utf-8').trim();
+    if (content.startsWith('{')) {
+      const data = JSON.parse(content);
+      return data.tag || data.sha || null;
+    }
+    return content || null;
+  } catch (_) {
+    return null;
+  }
+}
+
+/**
+ * 写入版本信息到 .version 文件。
+ * @param {string} tag
+ * @param {string} sha
+ */
+function writeVersion(tag, sha) {
+  const data = {
+    tag,
+    sha,
+    repo: GITHUB_REPO,
+    updatedAt: new Date().toISOString(),
+  };
+  fs.writeFileSync(VERSION_FILE, JSON.stringify(data, null, 2) + '\n');
+}
+
+// ── 上游拉取 ──────────────────────────────────────────────────
+
+/** tarball 下载地址（按镜像前缀拼接） */
+function tarballUrl(mirror, tag) {
+  return `${mirror}https://api.github.com/repos/${GITHUB_REPO}/tarball/${tag}`;
+}
+
+/** tag → commit sha（走镜像） */
+async function fetchTagSha(tag) {
+  const mirrors = loadMirrors('superpowers');
+  const { buffer } = await fetchWithMirrors(
+    mirrors,
+    m => `${m}https://api.github.com/repos/${GITHUB_REPO}/git/ref/tags/${tag}`
+  );
+  const data = JSON.parse(buffer.toString('utf-8'));
+  // annotated tag 指向 tag 对象（需再解一层）；lightweight tag 直接是 commit
+  return (data.object && data.object.sha) || null;
+}
+
+/** 最新 release tag（走镜像，用于 check-upstream） */
+async function fetchLatestTag() {
+  const mirrors = loadMirrors('superpowers');
+  const { buffer } = await fetchWithMirrors(
+    mirrors,
+    m => `${m}https://api.github.com/repos/${GITHUB_REPO}/releases/latest`
+  );
+  const data = JSON.parse(buffer.toString('utf-8'));
+  return data.tag_name || null;
+}
+
+// ── 下载与部署 ────────────────────────────────────────────────
+
+/**
+ * 按 pin 的 tag 下载 tarball，解压出 skills/ 覆盖到 superpowers/skills/。
+ * 幂等：重复执行结果一致。
+ * @returns {Promise<{tag: string, skillCount: number, skipped: boolean}>}
+ */
+async function fetchLatestSkills() {
+  const pin = getLocalVersion();
+  if (!pin) {
+    throw new Error(
+      `未找到 superpowers 版本 pin（${path.relative(SHARED_STANDARDS_DIR, VERSION_FILE)} 缺失或损坏）。\n` +
+      `请先写入 { "tag": "vX.Y.Z" } 再执行。`
+    );
+  }
+
+  // pin 一致且 skills 齐全 → 幂等跳过
+  const validation = validateSkills();
+  if (validation.valid) {
+    log(`superpowers 内容已按 pin ${pin} 就位，跳过重拉`, 'success');
+    return { tag: pin, skillCount: getSkillCount(), skipped: true };
+  }
+  log(`检测到 skills 不完整，按 pin ${pin} 重新拉取...`, 'info');
+
+  const mirrors = loadMirrors('superpowers');
+  log(`正在获取 superpowers ${pin}（${mirrors.map(m => m || '直连').join(' → ')}）...`, 'info');
+  const { buffer, mirror } = await fetchWithMirrors(mirrors, m => tarballUrl(m, pin));
+  log(`已从 ${mirror || '(直连)'} 下载 ${(buffer.length / 1024).toFixed(0)} KB`, 'info');
+
+  const tmpDir = fs.mkdtempSync(path.join(os.tmpdir(), 'cbb-sp-'));
+  try {
+    log('正在解压...', 'info');
+    extractTarGz(buffer, tmpDir);
+
+    // GitHub tarball 顶层目录名格式：obra-superpowers-<short-sha>
+    const entries = fs.readdirSync(tmpDir).filter(f => {
+      const p = path.join(tmpDir, f);
+      return fs.statSync(p).isDirectory() && f.startsWith('obra-superpowers');
+    });
+    if (entries.length === 0) throw new Error('解压后未找到 superpowers 目录');
+
+    const extractedSkills = path.join(tmpDir, entries[0], 'skills');
+    if (!fs.existsSync(extractedSkills)) throw new Error('解压后未找到 skills 目录');
+
+    // 覆盖 skills/
+    fs.rmSync(SUPERPOWERS_SKILLS_DIR, { recursive: true, force: true });
+    fs.mkdirSync(SUPERPOWERS_SKILLS_DIR, { recursive: true });
+    fs.cpSync(extractedSkills, SUPERPOWERS_SKILLS_DIR, { recursive: true });
+
+    // 记录版本（tag + 其指向的 sha）
+    let sha = null;
+    try { sha = await fetchTagSha(pin); } catch (_) { /* sha 记录失败不阻塞 */ }
+    writeVersion(pin, sha);
+
+    const skillCount = getSkillCount();
+    log(`superpowers skills 已更新: ${pin}（${skillCount} 个）`, 'success');
+    return { tag: pin, skillCount, skipped: false };
+  } finally {
+    try { fs.rmSync(tmpDir, { recursive: true, force: true }); } catch (_) { /* ignore */ }
+  }
+}
+
+/**
+ * 检查上游是否有新版本（不改动任何文件）。
+ * @returns {Promise<{current: string|null, latest: string|null, outdated: boolean}>}
+ */
+async function checkUpstream() {
+  const current = getLocalVersion();
+  const latest = await fetchLatestTag();
+  const outdated = Boolean(current && latest && current !== latest);
+  return { current, latest, outdated };
+}
+
+// ── Skills 校验 ───────────────────────────────────────────────
+
+/**
+ * 获取本地 skills 目录中的 skill 数量。
+ */
+function getSkillCount() {
+  if (!fs.existsSync(SUPERPOWERS_SKILLS_DIR)) return 0;
+  return fs.readdirSync(SUPERPOWERS_SKILLS_DIR)
+    .filter(f => {
+      const p = path.join(SUPERPOWERS_SKILLS_DIR, f);
+      return fs.statSync(p).isDirectory();
+    }).length;
+}
+
+/**
+ * 校验本地 skills 完整性：所有预期的 skill 目录存在且包含 SKILL.md。
+ * @returns {{valid: boolean, missing: string[], incomplete: string[]}}
+ */
+function validateSkills() {
+  const missing = [];
+  const incomplete = [];
+
+  for (const skill of EXPECTED_SKILLS) {
+    const skillDir = path.join(SUPERPOWERS_SKILLS_DIR, skill);
+    if (!fs.existsSync(skillDir)) {
+      missing.push(skill);
+    } else if (!fs.existsSync(path.join(skillDir, 'SKILL.md'))) {
+      incomplete.push(skill);
+    }
+  }
+
+  return {
+    valid: missing.length === 0 && incomplete.length === 0,
+    missing,
+    incomplete,
+  };
+}
+
+// ── 导出 ──────────────────────────────────────────────────────
+
+module.exports = {
+  // 常量
+  SUPERPOWERS_DIR,
+  SUPERPOWERS_SKILLS_DIR,
+  VERSION_FILE,
+  EXPECTED_SKILLS,
+  GITHUB_REPO,
+
+  // 核心函数
+  fetchLatestSkills,
+  checkUpstream,
+  getLocalVersion,
+  validateSkills,
+  getSkillCount,
+};

package/cbb/lib/utils/tar.js

@@ -0,0 +1,92 @@
+'use strict';
+
+/**
+ * 跨平台 .tar.gz 解压工具。
+ *
+ * 用 zlib + 手写 tar parser，避开 OS shell tar（Windows 上是 bsdtar、行为不完全一致），
+ * 与仓库「脚本语言统一 Node.js、禁止平台绑定脚本」的约定一致。
+ *
+ * 支持：
+ *   - gzip 压缩的 tar（GitHub tarball / npm registry tgz 都是这种）
+ *   - 目录项（type '5' 或名字以 '/' 结尾）
+ *   - 跳过 pax 扩展头（'g'/'x'）等元数据伪条目
+ *   - 路径穿越防护（拒绝 ../ 逃逸 destDir）
+ *
+ * 不支持（上游 tarball 均不使用，遇到时跳过而非静默损坏）：
+ *   - GNU longname/longlink（'L'/'K'）—— 超过 100 字符的路径
+ */
+
+const fs = require('fs');
+const path = require('path');
+const zlib = require('zlib');
+
+// 非文件、非目录的 tar 条目类型（pax 扩展头、GNU 长名等）
+const META_TYPE_FLAGS = new Set(['g', 'x', 'L', 'K', 'V', 'N']);
+
+/**
+ * 解析 tar buffer，返回条目列表（不落盘）。
+ * @param {Buffer} data - 已解压的 tar 数据
+ * @returns {Array<{name: string, size: number, typeFlag: string, dataStart: number}>}
+ */
+function listTar(data) {
+  const entries = [];
+  let off = 0;
+  while (off + 512 <= data.length) {
+    const header = data.subarray(off, off + 512);
+    off += 512;
+
+    // 连续两个 512 字节零块 = tar 终止
+    if (header.every(b => b === 0)) break;
+
+    // 文件名 header[0..100]（NUL 终止）
+    let nameEnd = 0;
+    while (nameEnd < 100 && header[nameEnd] !== 0) nameEnd++;
+    const name = header.subarray(0, nameEnd).toString('utf-8');
+
+    // 文件大小 header[124..136]（八进制 ASCII）
+    const size = parseInt(header.subarray(124, 136).toString('utf-8').trim(), 8) || 0;
+
+    // 类型标志 header[156]（'0'/NUL = 普通文件，'5' = 目录）
+    const typeFlag = String.fromCharCode(header[156]);
+
+    entries.push({ name, size, typeFlag, dataStart: off });
+    off += Math.ceil(size / 512) * 512;
+  }
+  return entries;
+}
+
+/**
+ * 解压 .tar.gz buffer 到目标目录。
+ * @param {Buffer} compressed - .tar.gz 文件内容
+ * @param {string} destDir - 解压目标根目录（不存在则创建）
+ * @returns {{files: number, dirs: number}} 落盘计数
+ */
+function extractTarGz(compressed, destDir) {
+  const data = zlib.gunzipSync(compressed);
+  const root = path.resolve(destDir);
+  let files = 0;
+  let dirs = 0;
+
+  for (const entry of listTar(data)) {
+    if (!entry.name) continue;
+    // 跳过 pax 扩展头等元数据伪条目
+    if (META_TYPE_FLAGS.has(entry.typeFlag)) continue;
+
+    const target = path.resolve(root, entry.name);
+    // 路径穿越防护：解压目标必须落在 destDir 内
+    if (target !== root && !target.startsWith(root + path.sep)) continue;
+
+    if (entry.typeFlag === '5' || entry.name.endsWith('/')) {
+      fs.mkdirSync(target, { recursive: true });
+      dirs += 1;
+    } else {
+      fs.mkdirSync(path.dirname(target), { recursive: true });
+      fs.writeFileSync(target, data.subarray(entry.dataStart, entry.dataStart + entry.size));
+      files += 1;
+    }
+  }
+
+  return { files, dirs };
+}
+
+module.exports = { extractTarGz, listTar };