@kmlckj/licos-ai-cli 1.6.1 → 1.6.3

package/README.md

@@ -123,3 +123,13 @@ export const paramsSchema = {
 ## 许可证
 
 MIT
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/agent/AGENTS.md

@@ -47,3 +47,13 @@
 - 普通知识库、模型与积分接口默认使用项目身份；需要按网页登录用户执行时显式传 Token。数据库、存储、可观测性和 OAuth 应用管理使用项目身份。项目归属与平台签发的计费上下文独立保留。
 - CLI 用户操作默认按 `LICOS_CURRENT_USER_ID` 换 Token；HTTP 服务调用 CLI 时使用 `--token-stdin`。Dev CLI 可用 `--identity project` 明确选择项目身份。
 - 每个请求单独传 Token 或创建客户端，不把请求 Token、用户 ID 写进共享环境变量。
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/agent/README.md

@@ -152,3 +152,13 @@ bash scripts/runtime.sh -m verify --cases tests/agent_cases.json --report .tmp/a
 预览、本地运行和验收共用 `scripts/runtime.sh`：显式设置 `PYTHON_BIN` 时使用该解释器，否则使用已创建的项目 `.venv`，全局安装模式使用 `python`。选定环境损坏会直接失败。验收已启用会话记忆的项目时，先把测试用户的 Bearer 令牌放入环境变量 `LICOS_AGENT_VERIFY_BEARER_TOKEN`；验收报告不会记录令牌。
 
 验收默认读取 `LICOS_AGENT_RUN_TIMEOUT_SECONDS`，可用 `--request-timeout` 覆盖 HTTP 等待时间；非法超时配置直接失败。图须符合运行时的 `ainvoke/stream/astream/astream_events` 契约，执行错误不会通过换参数重试或改成非流式调用绕过。订阅状态与投递记录分别读取，记录接口为 `/agent/subscriptions/{id}/deliveries?limit=...&offset=...`。
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/agent/config/licos-auth.json

@@ -0,0 +1,3 @@
+{
+  "mode": "platform"
+}

package/lib/__templates__/agent/pyproject.toml

@@ -4,9 +4,9 @@ version = "0.1.0"
 description = "LICOS LangGraph agent project"
 requires-python = ">=3.12"
 dependencies = [
-    "licos-agent-runtime>=0.5.1",
-    "licos-platform-sdk>=0.7.1",
-    "licos-dev-sdk>=0.6.1",
+    "licos-agent-runtime>=0.5.4",
+    "licos-platform-sdk>=0.7.4",
+    "licos-dev-sdk>=0.6.4",
 ]
 
 [tool.uv]

package/lib/__templates__/agent/requirements.txt

@@ -1,3 +1,3 @@
-licos-agent-runtime>=0.5.1
-licos-platform-sdk>=0.7.1
-licos-dev-sdk>=0.6.1
+licos-agent-runtime>=0.5.4
+licos-platform-sdk>=0.7.4
+licos-dev-sdk>=0.6.4

package/lib/__templates__/expo/AGENTS.md

@@ -270,3 +270,13 @@ import { Screen } from '../../../components/Screen';
 - 普通知识库、模型与积分接口默认使用项目身份；需要按网页登录用户执行时显式传 Token。数据库、存储、可观测性和 OAuth 应用管理使用项目身份。项目归属与平台签发的计费上下文独立保留。
 - CLI 用户操作默认按 `LICOS_CURRENT_USER_ID` 换 Token；HTTP 服务调用 CLI 时使用 `--token-stdin`。Dev CLI 可用 `--identity project` 明确选择项目身份。
 - 每个请求单独传 Token 或创建客户端，不把请求 Token、用户 ID 写进共享环境变量。
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/expo/README.md

@@ -257,3 +257,13 @@ import { Screen } from '../../../components/Screen';
 ## 本地开发
 
 `licos dev`：用来首次启动前后端服务，也可以用来重启前后端服务（该命令会先尝试杀掉占用端口的进程，再启动服务）
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/expo/pnpm-lock.yaml

@@ -266,11 +266,11 @@ importers:
   server:
     dependencies:
       '@kmlckj/licos-dev-sdk':
-        specifier: 0.4.1
-        version: 0.4.1
+        specifier: 0.4.2
+        version: 0.4.2
       '@kmlckj/licos-platform-sdk':
-        specifier: 0.12.1
-        version: 0.12.1
+        specifier: 0.12.3
+        version: 0.12.3
       cors:
         specifier: ^2.8.5
         version: 2.8.6
@@ -1324,13 +1324,13 @@ packages:
   '@jridgewell/trace-mapping@0.3.31':
     resolution: {integrity: sha512-zzNR+SdQSDJzc8joaeP8QQoCQr8NuYx2dIIytl1QeBEZHJ9uW6hebsrYgbz8hJwUQao3TWCMtmfV8Nu1twOLAw==}
 
-  '@kmlckj/licos-dev-sdk@0.4.1':
-    resolution: {integrity: sha512-iW4r4+sG2SehekAHNQd8Bzn1IFPXnRXcIC3lbodEEYri8bFDOzrjvNBjs8UDprgRrp876uXHlMKehKNYnrIKSA==}
+  '@kmlckj/licos-dev-sdk@0.4.2':
+    resolution: {integrity: sha512-dK6qzoTzVxEhvxE08B9ox0qel8s233gjWFdCvpOM+ekUctGjleyj1OJCOFXNvapY6U3HVDqeU+MvnBhJ0ne2dw==}
     engines: {node: '>=18'}
 
-  '@kmlckj/licos-platform-sdk@0.12.1':
+  '@kmlckj/licos-platform-sdk@0.12.3':
     resolution:
-      integrity: sha512-j3ESLWG6j4LKi8ac5VZxcxqML5lAgBx4V+YdVyVCiGM7xthuF6v9Luw+VEzQXZJqwu4PktH+gotUVr6srHhTpA==
+      integrity: sha512-tnz1RhmkEig6iGH0hUk8aWrDf+lMqKzUjfCntyTTLUYkVfThj/E5+u/TANeBEWlq12RUmnmvXE4jMMYsssIA+g==
 
   '@napi-rs/wasm-runtime@0.2.12':
     resolution: {integrity: sha512-ZVWUcfwY4E/yPitQJl481FjFo3K22D6qF0DuFH6Y/nbnE11GY5uguDxZMGXPQ8WQ0128MXQD7TnfHyK4oWoIJQ==}
@@ -7515,9 +7515,9 @@ snapshots:
       '@jridgewell/resolve-uri': 3.1.2
       '@jridgewell/sourcemap-codec': 1.5.5
 
-  '@kmlckj/licos-dev-sdk@0.4.1': {}
+  '@kmlckj/licos-dev-sdk@0.4.2': {}
 
-  '@kmlckj/licos-platform-sdk@0.12.1':
+  '@kmlckj/licos-platform-sdk@0.12.3':
     dependencies:
       ajv: 8.17.1
       ajv-formats: 3.0.1(ajv@8.17.1)

package/lib/__templates__/expo/server/package.json

@@ -10,8 +10,8 @@
     "lint": "tsc --noEmit"
   },
   "dependencies": {
-    "@kmlckj/licos-dev-sdk": "0.4.1",
-    "@kmlckj/licos-platform-sdk": "0.12.1",
+    "@kmlckj/licos-dev-sdk": "0.4.2",
+    "@kmlckj/licos-platform-sdk": "0.12.3",
     "cors": "^2.8.5",
     "dayjs": "^1.11.19",
     "dotenv": "^17.2.3",

package/lib/__templates__/expo/server/src/index.ts

@@ -2,6 +2,8 @@ import express from "express";
 import cors from "cors";
 import fs from "fs";
 import path from "path";
+import { getCurrentUser, ApiError } from '@kmlckj/licos-platform-sdk';
+import { projectAuth, getProjectAuthConfig } from './project-auth';
 
 const app = express();
 const port = process.env.PORT || 5001;
@@ -11,6 +13,17 @@ app.use(cors());
 app.use(express.json({ limit: '50mb' }));
 app.use(express.urlencoded({ limit: '50mb', extended: true }));
 
+app.get('/api/licos/auth/config', (_req, res) => res.json(getProjectAuthConfig()));
+app.get('/api/licos/auth/me', async (req, res, next) => {
+  try {
+    const userToken = await projectAuth.userToken(req);
+    res.json(await getCurrentUser({ userToken }));
+  } catch (error) {
+    if (error instanceof ApiError) res.status(error.status || 401).json({ error: error.message });
+    else next(error);
+  }
+});
+
 app.get('/api/v1/health', (req, res) => {
   console.log('Health check success');
   res.status(200).json({ status: 'ok' });

package/lib/__templates__/expo/server/src/project-auth.ts

@@ -0,0 +1,5 @@
+import { createProjectAuth, projectAuthConfig } from '@kmlckj/licos-platform-sdk';
+
+// Connect an existing application login with mode: 'builtin' and resolveBuiltinToken.
+export const projectAuth = createProjectAuth({ mode: 'platform' });
+export const getProjectAuthConfig = () => projectAuthConfig(projectAuth.mode);

package/lib/__templates__/nextjs/AGENTS.md

@@ -71,3 +71,13 @@
 - 普通知识库、模型与积分接口默认使用项目身份；需要按网页登录用户执行时显式传 Token。数据库、存储、可观测性和 OAuth 应用管理使用项目身份。项目归属与平台签发的计费上下文独立保留。
 - CLI 用户操作默认按 `LICOS_CURRENT_USER_ID` 换 Token；HTTP 服务调用 CLI 时使用 `--token-stdin`。Dev CLI 可用 `--identity project` 明确选择项目身份。
 - 每个请求单独传 Token 或创建客户端，不把请求 Token、用户 ID 写进共享环境变量。
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/nextjs/README.md

@@ -361,3 +361,13 @@ export const useStore = create<Store>((set) => ({
 3. **遵循 Next.js App Router 规范**，正确区分服务端/客户端组件
 4. **使用 TypeScript** 进行类型安全开发
 5. **使用 `@/` 路径别名** 导入模块（已配置）
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/nextjs/package.json

@@ -14,8 +14,8 @@
     "ts-check": "tsc -p tsconfig.json"
   },
   "dependencies": {
-    "@kmlckj/licos-dev-sdk": "0.4.1",
-    "@kmlckj/licos-platform-sdk": "0.12.1",
+    "@kmlckj/licos-dev-sdk": "0.4.2",
+    "@kmlckj/licos-platform-sdk": "0.12.3",
     "@aws-sdk/client-s3": "^3.958.0",
     "@aws-sdk/lib-storage": "^3.958.0",
     "@hookform/resolvers": "^5.2.2",

package/lib/__templates__/nextjs/pnpm-lock.yaml

@@ -18,11 +18,11 @@ importers:
         specifier: ^5.2.2
         version: 5.4.0(react-hook-form@7.77.0(react@19.2.3))
       '@kmlckj/licos-dev-sdk':
-        specifier: 0.4.1
-        version: 0.4.1
+        specifier: 0.4.2
+        version: 0.4.2
       '@kmlckj/licos-platform-sdk':
-        specifier: 0.12.1
-        version: 0.12.1
+        specifier: 0.12.3
+        version: 0.12.3
       '@radix-ui/react-accordion':
         specifier: ^1.2.12
         version: 1.2.12(@types/react-dom@19.2.3(@types/react@19.2.16))(@types/react@19.2.16)(react-dom@19.2.3(react@19.2.3))(react@19.2.3)
@@ -1380,13 +1380,13 @@ packages:
   '@jridgewell/trace-mapping@0.3.31':
     resolution: {integrity: sha512-zzNR+SdQSDJzc8joaeP8QQoCQr8NuYx2dIIytl1QeBEZHJ9uW6hebsrYgbz8hJwUQao3TWCMtmfV8Nu1twOLAw==}
 
-  '@kmlckj/licos-dev-sdk@0.4.1':
-    resolution: {integrity: sha512-iW4r4+sG2SehekAHNQd8Bzn1IFPXnRXcIC3lbodEEYri8bFDOzrjvNBjs8UDprgRrp876uXHlMKehKNYnrIKSA==}
+  '@kmlckj/licos-dev-sdk@0.4.2':
+    resolution: {integrity: sha512-dK6qzoTzVxEhvxE08B9ox0qel8s233gjWFdCvpOM+ekUctGjleyj1OJCOFXNvapY6U3HVDqeU+MvnBhJ0ne2dw==}
     engines: {node: '>=18'}
 
-  '@kmlckj/licos-platform-sdk@0.12.1':
+  '@kmlckj/licos-platform-sdk@0.12.3':
     resolution:
-      integrity: sha512-j3ESLWG6j4LKi8ac5VZxcxqML5lAgBx4V+YdVyVCiGM7xthuF6v9Luw+VEzQXZJqwu4PktH+gotUVr6srHhTpA==
+      integrity: sha512-tnz1RhmkEig6iGH0hUk8aWrDf+lMqKzUjfCntyTTLUYkVfThj/E5+u/TANeBEWlq12RUmnmvXE4jMMYsssIA+g==
 
   '@modelcontextprotocol/sdk@1.29.0':
     resolution: {integrity: sha512-zo37mZA9hJWpULgkRpowewez1y6ML5GsXJPY8FI0tBBCd77HEvza4jDqRKOXgHNn867PVGCyTdzqpz0izu5ZjQ==}
@@ -6716,9 +6716,9 @@ snapshots:
       '@jridgewell/resolve-uri': 3.1.2
       '@jridgewell/sourcemap-codec': 1.5.5
 
-  '@kmlckj/licos-dev-sdk@0.4.1': {}
+  '@kmlckj/licos-dev-sdk@0.4.2': {}
 
-  '@kmlckj/licos-platform-sdk@0.12.1':
+  '@kmlckj/licos-platform-sdk@0.12.3':
     dependencies:
       ajv: 8.17.1
       ajv-formats: 3.0.1(ajv@8.17.1)

package/lib/__templates__/nextjs/src/app/api/licos/auth/config/route.ts

@@ -0,0 +1,5 @@
+import { getProjectAuthConfig } from '@/lib/project-auth';
+
+export function GET() {
+  return Response.json(getProjectAuthConfig());
+}

package/lib/__templates__/nextjs/src/app/api/licos/auth/me/route.ts

@@ -0,0 +1,12 @@
+import { getCurrentUser, ApiError } from '@kmlckj/licos-platform-sdk';
+import { projectAuth } from '@/lib/project-auth';
+
+export async function GET(request: Request) {
+  try {
+    const userToken = await projectAuth.userToken(request);
+    return Response.json(await getCurrentUser({ userToken }));
+  } catch (error) {
+    if (error instanceof ApiError) return Response.json({ error: error.message }, { status: error.status || 401 });
+    throw error;
+  }
+}

package/lib/__templates__/nextjs/src/app/layout.tsx

@@ -3,6 +3,7 @@ import { Inspector } from 'react-dev-inspector';
 import './globals.css';
 
 export const metadata: Metadata = {
+  other: { 'licos-project-base': (process.env.LICOS_PREVIEW_BASE_PATH || process.env.BASE_PATH || '/').replace(/\/+$/, '') + '/' },
   title: {
     default: '新应用 | LICOS AI',
     template: '%s | LICOS AI',

package/lib/__templates__/nextjs/src/lib/project-auth.ts

@@ -0,0 +1,5 @@
+import { createProjectAuth, projectAuthConfig } from '@kmlckj/licos-platform-sdk';
+
+// Adding built-in login requires mode: 'builtin' and its session token resolver here.
+export const projectAuth = createProjectAuth({ mode: 'platform' });
+export const getProjectAuthConfig = () => projectAuthConfig(projectAuth.mode);

package/lib/__templates__/nextjs/src/lib/project-user-fetch.ts

@@ -0,0 +1,27 @@
+'use client';
+
+import { createProjectUserFetch } from '@kmlckj/licos-platform-sdk/browser';
+
+let userApi: ReturnType<typeof createUserApi> | undefined;
+
+export async function projectUserFetch(path: string, init?: RequestInit) {
+  if (!userApi) {
+    const meta = document.querySelector<HTMLMetaElement>('meta[name="licos-project-base"]');
+    if (!meta) throw new Error('Project base path is not configured');
+    userApi = createUserApi(new URL(meta.content, window.location.origin).href);
+  }
+  return userApi(path, init);
+}
+
+export function createUserApi(projectBaseUrl: string) {
+  let client: Promise<ReturnType<typeof createProjectUserFetch>> | undefined;
+  async function loadClient() {
+      const response = await fetch(new URL('api/licos/auth/config', projectBaseUrl));
+      if (!response.ok) throw new Error('Cannot load project login configuration');
+      return createProjectUserFetch({ ...await response.json(), projectBaseUrl });
+  }
+  return async (path: string, init?: RequestInit) => {
+    client ??= loadClient();
+    return (await client)(path, init);
+  };
+}

package/lib/__templates__/nuxt-vue/AGENTS.md

@@ -52,3 +52,13 @@
 - 普通知识库、模型与积分接口默认使用项目身份；需要按网页登录用户执行时显式传 Token。数据库、存储、可观测性和 OAuth 应用管理使用项目身份。项目归属与平台签发的计费上下文独立保留。
 - CLI 用户操作默认按 `LICOS_CURRENT_USER_ID` 换 Token；HTTP 服务调用 CLI 时使用 `--token-stdin`。Dev CLI 可用 `--identity project` 明确选择项目身份。
 - 每个请求单独传 Token 或创建客户端，不把请求 Token、用户 ID 写进共享环境变量。
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/nuxt-vue/README.md

@@ -71,3 +71,13 @@ You can add server API by creating files in `server/api/` directory. See [server
 - [Vue 3 Documentation](https://vuejs.org/)
 - [Vite Documentation](https://vitejs.dev/)
 - [Deployment Guide](https://nuxt.com/docs/getting-started/deployment)
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/nuxt-vue/app/composables/useProjectUserFetch.ts

@@ -0,0 +1,17 @@
+import { createProjectUserFetch } from '@kmlckj/licos-platform-sdk/browser';
+
+export function useProjectUserFetch() {
+  const runtime = useRuntimeConfig();
+  let client: Promise<ReturnType<typeof createProjectUserFetch>> | undefined;
+  async function loadClient() {
+    const previewBase = (window as Window & { __LICOS_PREVIEW_BASE_PATH__?: string }).__LICOS_PREVIEW_BASE_PATH__;
+    const base = new URL((previewBase || runtime.public.baseURL).replace(/\/+$/, '') + '/', window.location.origin);
+    const response = await fetch(new URL('api/licos/auth/config', base));
+    if (!response.ok) throw new Error('Cannot load project login configuration');
+    return createProjectUserFetch({ ...await response.json(), projectBaseUrl: base.href });
+  }
+  return async (path: string, init?: RequestInit) => {
+    client ??= loadClient();
+    return (await client)(path, init);
+  };
+}

package/lib/__templates__/nuxt-vue/package.json

@@ -17,8 +17,8 @@
     "start": "bash ./scripts/start.sh"
   },
   "dependencies": {
-    "@kmlckj/licos-dev-sdk": "0.4.1",
-    "@kmlckj/licos-platform-sdk": "0.12.1",
+    "@kmlckj/licos-dev-sdk": "0.4.2",
+    "@kmlckj/licos-platform-sdk": "0.12.3",
     "@nuxt/image": "2.0.0",
     "nuxt": "4.3.1",
     "tailwind-merge": "2.6.0",

package/lib/__templates__/nuxt-vue/pnpm-lock.yaml

@@ -13,11 +13,11 @@ importers:
   .:
     dependencies:
       '@kmlckj/licos-dev-sdk':
-        specifier: 0.4.1
-        version: 0.4.1
+        specifier: 0.4.2
+        version: 0.4.2
       '@kmlckj/licos-platform-sdk':
-        specifier: 0.12.1
-        version: 0.12.1
+        specifier: 0.12.3
+        version: 0.12.3
       '@nuxt/image':
         specifier: 2.0.0
         version: 2.0.0(db0@0.3.4)(ioredis@5.11.0)(magicast@0.5.3)(srvx@0.11.16)
@@ -731,13 +731,13 @@ packages:
   '@jridgewell/trace-mapping@0.3.31':
     resolution: {integrity: sha512-zzNR+SdQSDJzc8joaeP8QQoCQr8NuYx2dIIytl1QeBEZHJ9uW6hebsrYgbz8hJwUQao3TWCMtmfV8Nu1twOLAw==}
 
-  '@kmlckj/licos-dev-sdk@0.4.1':
-    resolution: {integrity: sha512-iW4r4+sG2SehekAHNQd8Bzn1IFPXnRXcIC3lbodEEYri8bFDOzrjvNBjs8UDprgRrp876uXHlMKehKNYnrIKSA==}
+  '@kmlckj/licos-dev-sdk@0.4.2':
+    resolution: {integrity: sha512-dK6qzoTzVxEhvxE08B9ox0qel8s233gjWFdCvpOM+ekUctGjleyj1OJCOFXNvapY6U3HVDqeU+MvnBhJ0ne2dw==}
     engines: {node: '>=18'}
 
-  '@kmlckj/licos-platform-sdk@0.12.1':
+  '@kmlckj/licos-platform-sdk@0.12.3':
     resolution:
-      integrity: sha512-j3ESLWG6j4LKi8ac5VZxcxqML5lAgBx4V+YdVyVCiGM7xthuF6v9Luw+VEzQXZJqwu4PktH+gotUVr6srHhTpA==
+      integrity: sha512-tnz1RhmkEig6iGH0hUk8aWrDf+lMqKzUjfCntyTTLUYkVfThj/E5+u/TANeBEWlq12RUmnmvXE4jMMYsssIA+g==
 
   '@koa/router@12.0.2':
     resolution: {integrity: sha512-sYcHglGKTxGF+hQ6x67xDfkE9o+NhVlRHBqq6gLywaMc6CojK/5vFZByphdonKinYlMLkEkacm+HEse9HzwgTA==}
@@ -4773,9 +4773,9 @@ snapshots:
       '@jridgewell/resolve-uri': 3.1.2
       '@jridgewell/sourcemap-codec': 1.5.5
 
-  '@kmlckj/licos-dev-sdk@0.4.1': {}
+  '@kmlckj/licos-dev-sdk@0.4.2': {}
 
-  '@kmlckj/licos-platform-sdk@0.12.1':
+  '@kmlckj/licos-platform-sdk@0.12.3':
     dependencies:
       ajv: 8.17.1
       ajv-formats: 3.0.1(ajv@8.17.1)

package/lib/__templates__/nuxt-vue/server/api/licos/auth/config.get.ts

@@ -0,0 +1,3 @@
+import { getProjectAuthConfig } from '../../../utils/project-auth';
+
+export default defineEventHandler(() => getProjectAuthConfig());

package/lib/__templates__/nuxt-vue/server/api/licos/auth/me.get.ts

@@ -0,0 +1,12 @@
+import { getCurrentUser, ApiError } from '@kmlckj/licos-platform-sdk';
+import { projectAuth } from '../../../utils/project-auth';
+
+export default defineEventHandler(async event => {
+  try {
+    const userToken = await projectAuth.userToken(event.node.req);
+    return await getCurrentUser({ userToken });
+  } catch (error) {
+    if (error instanceof ApiError) throw createError({ statusCode: error.status || 401, message: error.message });
+    throw error;
+  }
+});

package/lib/__templates__/nuxt-vue/server/utils/project-auth.ts

@@ -0,0 +1,5 @@
+import { createProjectAuth, projectAuthConfig } from '@kmlckj/licos-platform-sdk';
+
+// Adding built-in login requires mode: 'builtin' and its session token resolver here.
+export const projectAuth = createProjectAuth({ mode: 'platform' });
+export const getProjectAuthConfig = () => projectAuthConfig(projectAuth.mode);

package/lib/__templates__/taro/AGENTS.md

@@ -583,3 +583,13 @@ import { Input } from '@/components/ui/input'
 - 普通知识库、模型与积分接口默认使用项目身份；需要按网页登录用户执行时显式传 Token。数据库、存储、可观测性和 OAuth 应用管理使用项目身份。项目归属与平台签发的计费上下文独立保留。
 - CLI 用户操作默认按 `LICOS_CURRENT_USER_ID` 换 Token；HTTP 服务调用 CLI 时使用 `--token-stdin`。Dev CLI 可用 `--identity project` 明确选择项目身份。
 - 每个请求单独传 Token 或创建客户端，不把请求 Token、用户 ID 写进共享环境变量。
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/taro/README.md

@@ -761,3 +761,13 @@ create(@Body() body: unknown) {
   return this.userService.create(result.data);
 }
 ```
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/taro/pnpm-lock.yaml

@@ -181,11 +181,11 @@ importers:
   server:
     dependencies:
       '@kmlckj/licos-dev-sdk':
-        specifier: 0.4.1
-        version: 0.4.1
+        specifier: 0.4.2
+        version: 0.4.2
       '@kmlckj/licos-platform-sdk':
-        specifier: 0.12.1
-        version: 0.12.1
+        specifier: 0.12.3
+        version: 0.12.3
       '@nestjs/common':
         specifier: ^10.4.15
         version: 10.4.22(reflect-metadata@0.2.2)(rxjs@7.8.2)
@@ -2590,12 +2590,12 @@ packages:
   '@keyv/serialize@1.1.1':
     resolution: {integrity: sha512-dXn3FZhPv0US+7dtJsIi2R+c7qWYiReoEh5zUntWCf4oSpMNib8FDhSoed6m3QyZdx5hK7iLFkYk3rNxwt8vTA==}
 
-  '@kmlckj/licos-dev-sdk@0.4.1':
-    resolution: {integrity: sha512-iW4r4+sG2SehekAHNQd8Bzn1IFPXnRXcIC3lbodEEYri8bFDOzrjvNBjs8UDprgRrp876uXHlMKehKNYnrIKSA==}
+  '@kmlckj/licos-dev-sdk@0.4.2':
+    resolution: {integrity: sha512-dK6qzoTzVxEhvxE08B9ox0qel8s233gjWFdCvpOM+ekUctGjleyj1OJCOFXNvapY6U3HVDqeU+MvnBhJ0ne2dw==}
     engines: {node: '>=18'}
 
-  '@kmlckj/licos-platform-sdk@0.12.1':
-    resolution: {integrity: sha512-j3ESLWG6j4LKi8ac5VZxcxqML5lAgBx4V+YdVyVCiGM7xthuF6v9Luw+VEzQXZJqwu4PktH+gotUVr6srHhTpA==}
+  '@kmlckj/licos-platform-sdk@0.12.3':
+    resolution: {integrity: sha512-tnz1RhmkEig6iGH0hUk8aWrDf+lMqKzUjfCntyTTLUYkVfThj/E5+u/TANeBEWlq12RUmnmvXE4jMMYsssIA+g==}
 
   '@leejim/wxml-parser@0.1.6':
     resolution: {integrity: sha512-1u4ULGK4GKkWhTlc3Hmac8PknrmpGd7qxZOTnT/Bm6EZ/wtonLgFhJ4vyuiUZpeCptnknOLkRpGx2Um9npwdZw==}
@@ -12408,9 +12408,9 @@ snapshots:
 
   '@keyv/serialize@1.1.1': {}
 
-  '@kmlckj/licos-dev-sdk@0.4.1': {}
+  '@kmlckj/licos-dev-sdk@0.4.2': {}
 
-  '@kmlckj/licos-platform-sdk@0.12.1':
+  '@kmlckj/licos-platform-sdk@0.12.3':
     dependencies:
       ajv: 8.17.1
       ajv-formats: 3.0.1(ajv@8.17.1)

package/lib/__templates__/taro/server/package.json

@@ -11,8 +11,8 @@
     "start:prod": "node dist/main"
   },
   "dependencies": {
-    "@kmlckj/licos-dev-sdk": "0.4.1",
-    "@kmlckj/licos-platform-sdk": "0.12.1",
+    "@kmlckj/licos-dev-sdk": "0.4.2",
+    "@kmlckj/licos-platform-sdk": "0.12.3",
     "@nestjs/common": "^10.4.15",
     "@nestjs/core": "^10.4.15",
     "@nestjs/platform-express": "^10.4.15",

package/lib/__templates__/taro/server/src/app.controller.ts

@@ -1,8 +1,25 @@
-import { Controller, Get } from '@nestjs/common';
+import { Controller, Get, Req, HttpException } from '@nestjs/common';
+import type { Request } from 'express';
+import { getCurrentUser, ApiError } from '@kmlckj/licos-platform-sdk';
+import { projectAuth, getProjectAuthConfig } from './project-auth';
 import { AppService } from '@/app.service';
 
 @Controller()
 export class AppController {
+  @Get('licos/auth/config')
+  loginConfig() { return getProjectAuthConfig(); }
+
+  @Get('licos/auth/me')
+  async currentUser(@Req() request: Request) {
+    try {
+      const userToken = await projectAuth.userToken(request);
+      return await getCurrentUser({ userToken });
+    } catch (error) {
+      if (error instanceof ApiError) throw new HttpException(error.message, error.status || 401);
+      throw error;
+    }
+  }
+
   constructor(private readonly appService: AppService) {}
 
   @Get('hello')

package/lib/__templates__/taro/server/src/project-auth.ts

@@ -0,0 +1,5 @@
+import { createProjectAuth, projectAuthConfig } from '@kmlckj/licos-platform-sdk';
+
+// Connect an existing application login with mode: 'builtin' and resolveBuiltinToken.
+export const projectAuth = createProjectAuth({ mode: 'platform' });
+export const getProjectAuthConfig = () => projectAuthConfig(projectAuth.mode);

package/lib/__templates__/vite/AGENTS.md

@@ -52,3 +52,13 @@
 - 普通知识库、模型与积分接口默认使用项目身份；需要按网页登录用户执行时显式传 Token。数据库、存储、可观测性和 OAuth 应用管理使用项目身份。项目归属与平台签发的计费上下文独立保留。
 - CLI 用户操作默认按 `LICOS_CURRENT_USER_ID` 换 Token；HTTP 服务调用 CLI 时使用 `--token-stdin`。Dev CLI 可用 `--identity project` 明确选择项目身份。
 - 每个请求单独传 Token 或创建客户端，不把请求 Token、用户 ID 写进共享环境变量。
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/vite/README.md

@@ -416,3 +416,13 @@ const pool = new Pool({ connectionString: process.env.DATABASE_URL });
 2. 将整个项目上传到服务器
 3. 运行 `pnpm install --registry=https://registry.npmmirror.com --prod`
 4. 运行 `licos start` 启动服务
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/vite/package.json

@@ -14,8 +14,8 @@
     "ts-check": "tsc -p tsconfig.json"
   },
   "dependencies": {
-    "@kmlckj/licos-dev-sdk": "0.4.1",
-    "@kmlckj/licos-platform-sdk": "0.12.1",
+    "@kmlckj/licos-dev-sdk": "0.4.2",
+    "@kmlckj/licos-platform-sdk": "0.12.3",
     "dotenv": "^17.2.3",
     "express": "^4.21.2"
   },

package/lib/__templates__/vite/pnpm-lock.yaml

@@ -13,11 +13,11 @@ importers:
   .:
     dependencies:
       '@kmlckj/licos-dev-sdk':
-        specifier: 0.4.1
-        version: 0.4.1
+        specifier: 0.4.2
+        version: 0.4.2
       '@kmlckj/licos-platform-sdk':
-        specifier: 0.12.1
-        version: 0.12.1
+        specifier: 0.12.3
+        version: 0.12.3
       dotenv:
         specifier: ^17.2.3
         version: 17.2.4
@@ -291,13 +291,13 @@ packages:
   '@jridgewell/trace-mapping@0.3.31':
     resolution: {integrity: sha512-zzNR+SdQSDJzc8joaeP8QQoCQr8NuYx2dIIytl1QeBEZHJ9uW6hebsrYgbz8hJwUQao3TWCMtmfV8Nu1twOLAw==}
 
-  '@kmlckj/licos-dev-sdk@0.4.1':
-    resolution: {integrity: sha512-iW4r4+sG2SehekAHNQd8Bzn1IFPXnRXcIC3lbodEEYri8bFDOzrjvNBjs8UDprgRrp876uXHlMKehKNYnrIKSA==}
+  '@kmlckj/licos-dev-sdk@0.4.2':
+    resolution: {integrity: sha512-dK6qzoTzVxEhvxE08B9ox0qel8s233gjWFdCvpOM+ekUctGjleyj1OJCOFXNvapY6U3HVDqeU+MvnBhJ0ne2dw==}
     engines: {node: '>=18'}
 
-  '@kmlckj/licos-platform-sdk@0.12.1':
+  '@kmlckj/licos-platform-sdk@0.12.3':
     resolution:
-      integrity: sha512-j3ESLWG6j4LKi8ac5VZxcxqML5lAgBx4V+YdVyVCiGM7xthuF6v9Luw+VEzQXZJqwu4PktH+gotUVr6srHhTpA==
+      integrity: sha512-tnz1RhmkEig6iGH0hUk8aWrDf+lMqKzUjfCntyTTLUYkVfThj/E5+u/TANeBEWlq12RUmnmvXE4jMMYsssIA+g==
 
   '@nodelib/fs.scandir@2.1.5':
     resolution: {integrity: sha512-vq24Bq3ym5HEQm2NKCr3yXDwjc7vTsEThRDnkp2DK9p1uqLR+DHurm/NOTo0KG7HYHU7eppKZj3MyqYuMBf62g==}
@@ -1751,9 +1751,9 @@ snapshots:
       '@jridgewell/resolve-uri': 3.1.2
       '@jridgewell/sourcemap-codec': 1.5.5
 
-  '@kmlckj/licos-dev-sdk@0.4.1': {}
+  '@kmlckj/licos-dev-sdk@0.4.2': {}
 
-  '@kmlckj/licos-platform-sdk@0.12.1':
+  '@kmlckj/licos-platform-sdk@0.12.3':
     dependencies:
       ajv: 8.17.1
       ajv-formats: 3.0.1(ajv@8.17.1)

package/lib/__templates__/vite/server/project-auth.ts

@@ -0,0 +1,5 @@
+import { createProjectAuth, projectAuthConfig } from '@kmlckj/licos-platform-sdk';
+
+// Adding built-in login requires mode: 'builtin' and its session token resolver here.
+export const projectAuth = createProjectAuth({ mode: 'platform' });
+export const getProjectAuthConfig = () => projectAuthConfig(projectAuth.mode);

package/lib/__templates__/vite/server/routes/index.ts

@@ -1,7 +1,20 @@
 import { Router } from 'express';
+import { getCurrentUser, ApiError } from '@kmlckj/licos-platform-sdk';
+import { projectAuth, getProjectAuthConfig } from '../project-auth';
 
 const router = Router();
 
+router.get('/api/licos/auth/config', (_req, res) => res.json(getProjectAuthConfig()));
+router.get('/api/licos/auth/me', async (req, res, next) => {
+  try {
+    const userToken = await projectAuth.userToken(req);
+    res.json(await getCurrentUser({ userToken }));
+  } catch (error) {
+    if (error instanceof ApiError) res.status(error.status || 401).json({ error: error.message });
+    else next(error);
+  }
+});
+
 // API 路由示例
 router.get('/api/hello', (req, res) => {
   res.json({

package/lib/__templates__/vite/src/project-user-fetch.ts

@@ -0,0 +1,17 @@
+import { createProjectUserFetch } from '@kmlckj/licos-platform-sdk/browser';
+
+let client: Promise<ReturnType<typeof createProjectUserFetch>> | undefined;
+
+async function loadClient() {
+  const previewBase = (window as Window & { __LICOS_PREVIEW_BASE_PATH__?: string }).__LICOS_PREVIEW_BASE_PATH__;
+  const base = new URL((previewBase || import.meta.env.BASE_URL).replace(/\/+$/, '') + '/', window.location.origin);
+  const response = await fetch(new URL('api/licos/auth/config', base));
+  if (!response.ok) throw new Error('Cannot load project login configuration');
+  const config = await response.json();
+  return createProjectUserFetch({ ...config, projectBaseUrl: base.href });
+}
+
+export async function projectUserFetch(path: string, init?: RequestInit) {
+  client ??= loadClient();
+  return (await client)(path, init);
+}

package/lib/__templates__/workflow/AGENTS.md

@@ -46,3 +46,13 @@
 - 普通知识库、模型与积分接口默认使用项目身份；需要按网页登录用户执行时显式传 Token。数据库、存储、可观测性和 OAuth 应用管理使用项目身份。项目归属与平台签发的计费上下文独立保留。
 - CLI 用户操作默认按 `LICOS_CURRENT_USER_ID` 换 Token；HTTP 服务调用 CLI 时使用 `--token-stdin`。Dev CLI 可用 `--identity project` 明确选择项目身份。
 - 每个请求单独传 Token 或创建客户端，不把请求 Token、用户 ID 写进共享环境变量。
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/workflow/README.md

@@ -138,3 +138,13 @@ MES、ERP、审批等有副作用的节点必须使用稳定幂等键。推荐
 ## 项目上下文
 
 项目内的 `AGENTS.md` 用于记录可由用户维护的项目上下文，例如业务目标、节点清单、输入输出样例和测试方式。
+
+## 编程项目登录身份
+
+- 有内置登录时使用内置登录会话；没有内置登录时使用当前 LICOS 网页登录。内置登录未登录或过期时不能切换成平台用户。
+- Node 服务端使用 `createProjectAuth({ mode: 'builtin', resolveBuiltinToken })` 或 `createProjectAuth({ mode: 'platform' })`，每次请求调用 `await projectAuth.userToken(request)`。内置解析器必须读取已有认证会话并返回用户已授权的 LICOS 凭证。
+- 无内置登录的浏览器用户接口使用 `@kmlckj/licos-platform-sdk/browser` 的 `createProjectUserFetch`：平台登录桥领取一次性票据，项目后端兑换 Token。不要直接读取跨域平台 localStorage，不在 URL 中传 Token，不修改全局 fetch。项目级 API 保持原有请求方法。
+- Python 使用 `ProjectAuth`；Agent/Workflow 通过 `config/licos-auth.json` 配置模式，内置登录设置 `resolver: "模块:函数"`，业务代码使用 `ctx.identity.user_token`。
+- 当前用户、企业知识库、本体用户操作显式传 `userToken`/`user_token`。模型、积分和普通知识库按业务选择用户或项目身份。数据库、对象存储和可观测性继续使用项目身份。
+- 沿用现有 OAuth 授权范围与接口权限。凭证无权访问目标接口时返回现有鉴权错误，不扩大权限或换用其他身份。
+- 修改已有项目时先接它的现有登录机制，不能用新模板的默认平台模式覆盖。真实 Token 只存在于运行时请求/会话，不写入源代码、共享环境变量或 Agent 提示词。

package/lib/__templates__/workflow/config/licos-auth.json

@@ -0,0 +1,3 @@
+{
+  "mode": "platform"
+}

package/lib/__templates__/workflow/pyproject.toml

@@ -4,9 +4,9 @@ version = "0.1.0"
 description = "LICOS LangGraph workflow project"
 requires-python = ">=3.12"
 dependencies = [
-    "licos-agent-runtime>=0.5.1",
-    "licos-platform-sdk>=0.7.1",
-    "licos-dev-sdk>=0.6.1",
+    "licos-agent-runtime>=0.5.4",
+    "licos-platform-sdk>=0.7.4",
+    "licos-dev-sdk>=0.6.4",
 ]
 
 [tool.uv]

package/lib/__templates__/workflow/requirements.txt

@@ -1,3 +1,3 @@
-licos-agent-runtime>=0.5.1
-licos-platform-sdk>=0.7.1
-licos-dev-sdk>=0.6.1
+licos-agent-runtime>=0.5.4
+licos-platform-sdk>=0.7.4
+licos-dev-sdk>=0.6.4

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@kmlckj/licos-ai-cli",
-  "version": "1.6.1",
+  "version": "1.6.3",
   "description": "LICOS AI coding workspace CLI - project template engine and dev tools",
   "license": "MIT",
   "author": "kmlckj",