@lark-apaas/miaoda-cli 0.1.35 → 0.1.37

package/dist/utils/sandbox-skills.js

@@ -3,7 +3,7 @@ var __importDefault = (this && this.__importDefault) || function (mod) {
     return (mod && mod.__esModule) ? mod : { "default": mod };
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.extractLaneFromTgzKey = extractLaneFromTgzKey;
+exports.extractLaneFromTgzKey = void 0;
 exports.syncSandboxSkills = syncSandboxSkills;
 exports.validateSandboxSyncOpts = validateSandboxSyncOpts;
 const node_fs_1 = __importDefault(require("node:fs"));
@@ -68,34 +68,11 @@ const BUSINESS_LINE_BY_TYPE = {
     openclaw: null, // openclaw 独立包，直接展平
 };
 /**
- * 从 TCC skillsUpdateTgzKey 反推 lane 名。
- *   skills_versions/all_feat-xxx.tgz  → feat-xxx
- *   skills_versions/all_feat_xxx.tgz  → feat-xxx  (_ sanitize → -)
- *   skills_versions/all_latest.tgz    → null（走 @latest）
- *   任何 all_<X>.tgz                  → <X> 里 _ 全部转 -
- *
- * **宽进严出**：正则允许 `_` 匹配（兼容老 miaoda-skills 时代 TOS key 含 `_` 的存量 TCC
- * 命名），但返回时 sanitize 成 `-` —— 对齐 publish-sandbox-skills.sh 侧只发 `-` 版
- * lane 的现实（npm SemVer pre-release 只允许 `[A-Za-z0-9-]`，不允许 `_`）。
- * 存量 TCC 里如果有 `all_feat_xxx.tgz` 这种命名，反推出 `feat-xxx` 后能正确命中
- * npm 上实际发出的 `@lane-feat-xxx` 包，而不是静默 fallback 到 @latest。
- *
- * 用 nullable 而不是空字符串 —— 让调用方能判断"没 lane 就走 latest"。
+ * lane 解析已下沉到 `utils/npm-pack`（与 `pickLaneVersion` 同处一地，供
+ * sandbox-skills 与 coding-steering 共用）。这里保留再导出，维持既有引用面。
  */
-function extractLaneFromTgzKey(tgzKey) {
-    if (tgzKey === undefined || tgzKey === '') {
-        return null;
-    }
-    const match = /(?:^|\/)all_([A-Za-z0-9][A-Za-z0-9_-]*)\.tgz$/.exec(tgzKey);
-    if (match === null) {
-        return null;
-    }
-    const lane = match[1].replace(/_/g, '-');
-    if (lane === 'latest') {
-        return null;
-    }
-    return lane;
-}
+var npm_pack_2 = require("./npm-pack");
+Object.defineProperty(exports, "extractLaneFromTgzKey", { enumerable: true, get: function () { return npm_pack_2.extractLaneFromTgzKey; } });
 /**
  * 主流程：按 type 拉包 + sync 到目标目录。
  *
@@ -113,7 +90,7 @@ function syncSandboxSkills(opts) {
     const targetDir = node_path_1.default.resolve(opts.targetDir ?? process.cwd());
     const packageName = PACKAGE_BY_TYPE[opts.type];
     const businessLine = BUSINESS_LINE_BY_TYPE[opts.type];
-    const lane = extractLaneFromTgzKey(opts.tgzKey);
+    const lane = (0, npm_pack_1.extractLaneFromTgzKey)(opts.tgzKey);
     // ---- lane 拉包 ----
     // 新姿势（2026-08 迁离 lane-<X> dist-tag 之后）：
     //   TCC 里的 X（比如 `feat-migrate-skills-from-miaoda-skills-20260805143512`）
@@ -121,7 +98,9 @@ function syncSandboxSkills(opts) {
     //   过滤 `endsWith('-alpha.' + X)`（因 X 含 timestamp 全局唯一，唯一命中或 0 命中）。
     //   0 命中 → fallback @latest（对齐旧 TCC 值找不到、灰度切换期间的兜底语义）。
     //   `pickLaneVersion` 内部对 `npm view` 报错 / 无匹配都返回 null，绝不 throw ——
-    //   目标就是"不挂掉"。
+    //   目标就是"不挂掉"。**同一个 X 也被 coding-steering 侧用同样方式解析**（见
+    //   `syncCodingSteering`）：匹配只看 `-alpha.<X>` 后缀、不看 base 版本，所以两个包
+    //   base 版本不同也能共用一个 TCC key。
     let fetched;
     const laneVersion = lane === null ? null : (0, npm_pack_1.pickLaneVersion)(packageName, lane, opts.registry);
     if (lane !== null && laneVersion === null) {
@@ -167,6 +146,10 @@ function syncSandboxSkills(opts) {
         const skillsRoot = opts.type === 'openclaw'
             ? node_path_1.default.join(targetDir, 'skills')
             : node_path_1.default.join(targetDir, '.agent', 'skills');
+        // skillsRoot 全部由字面量拼成（没有用户可控段），所以不存在 traversal；但 `rm -rf` 与
+        // `readdirSync` 会穿透**祖先软链** —— 把 `.agent/skills` 换成指向外部目录的软链，下面
+        // 的按条目整清就会删到软链指向处的真实文件。破坏性操作前先验真这条链。
+        (0, file_ops_1.assertNoSymlinkedAncestor)(targetDir, opts.type === 'openclaw' ? ['skills'] : ['.agent', 'skills']);
         // `.keep` 短路：对齐 update-skills.sh:149-152，沙箱侧放了这个文件即表示
         // 「我手改过 skills，别覆盖我」，整体跳过同步（含 steering —— 调用方看到
         // skipped 就不该再往下写）。
@@ -189,60 +172,73 @@ function syncSandboxSkills(opts) {
         (0, file_ops_1.unlockDirForWrite)(skillsRoot);
         node_fs_1.default.mkdirSync(skillsRoot, { recursive: true });
         const syncedTop = [];
-        // 源包提供的全部顶层条目 —— prune 的保留集。与 syncedTop 分开维护：syncedTop 是
-        // 「本轮实际写入」，用于对外汇报；prune 只能依据「源包提供了什么」来判断 stale，
-        // 两者一旦哪天再次分叉（比如某分支又加了跳过写入的条件），拿 syncedTop 当保留集
-        // 就会把没重写的条目误判成 stale 删掉、下一轮再写回来，反复抖动。
+        // ---- 第一步：只收集「哪个顶层条目由哪些源目录贡献」，先不落盘 ----
+        //
+        // 为什么要分两步：写入策略是**按顶层条目整清再拷**（见第二步），而合并包里业务线与
+        // shared 可能提供同名条目（运行时 union、同名 shared 赢，逐字对齐老 build.sh:33/47）。
+        // 如果边遍历边「清+拷」，shared 那一轮会把业务线刚写进去的独有文件一起清掉。
+        // 先把 union 收集齐、每个条目只清一次，才能既做到镜像又保住 union 语义。
+        //
+        // sourceTop 同时是 pruneStaleEntries 的保留集：它是「源包提供了什么」，
+        // 不能用 syncedTop（本轮实际写入）—— 否则 shared 条目会被反复删了又写、来回抖动。
         const sourceTop = new Set();
+        const plan = new Map();
+        const addSource = (entry, dir) => {
+            sourceTop.add(entry);
+            const list = plan.get(entry);
+            if (list === undefined)
+                plan.set(entry, [dir]);
+            else
+                list.push(dir);
+        };
         if (businessLine !== null) {
-            // 合并包 miaoda/miaoda-modern/miaoda-design：cp <extractDir>/<business-line>/* 到 target
             const sourceDir = node_path_1.default.join(fetched.extractDir, businessLine);
             if (node_fs_1.default.existsSync(sourceDir)) {
                 for (const entry of node_fs_1.default.readdirSync(sourceDir)) {
-                    const from = node_path_1.default.join(sourceDir, entry);
-                    const to = node_path_1.default.join(skillsRoot, entry);
-                    sourceTop.add(entry);
-                    node_fs_1.default.cpSync(from, to, { recursive: true });
-                    syncedTop.push(entry);
+                    addSource(entry, node_path_1.default.join(sourceDir, entry));
                 }
             }
             else {
                 (0, logger_1.debug)(`sandbox-skills: source dir ${sourceDir} not found in package (skipped)`);
             }
-            // shared：合并包内 shared/* 到 target。**无条件覆盖**，逐字对齐老 build.sh:42-52 ——
-            // 那里业务线先 `cp -r`（:33-34）、shared 后 `cp -r`（:47），后写覆盖前写，
-            // 即同名时 **shared 赢**。当前包里两边无同名交集，但语义得跟老链路一致。
-            //
-            // 早期这里写成「`fs.existsSync(to)` 就 continue」，有两个问题：
-            //   1. 同名优先级反了（变成业务线赢）；
-            //   2. 更严重 —— existsSync 分不清「本轮业务线刚写的」和「上一轮 shared 自己写的」，
-            //      于是 shared skill 首次落盘后就永久冻结，包里再更新也同步不到已有沙箱
-            //      （沙箱磁盘跨会话保留，每次 update-skills 都会命中 existsSync）。
+            // shared 排在业务线之后 → 同名时 shared 赢（老 build.sh:47 后写覆盖前写）
             const sharedDir = node_path_1.default.join(fetched.extractDir, 'shared');
             if (node_fs_1.default.existsSync(sharedDir)) {
                 for (const entry of node_fs_1.default.readdirSync(sharedDir)) {
-                    const from = node_path_1.default.join(sharedDir, entry);
-                    const to = node_path_1.default.join(skillsRoot, entry);
-                    sourceTop.add(entry);
-                    node_fs_1.default.cpSync(from, to, { recursive: true });
-                    syncedTop.push(entry);
+                    addSource(entry, node_path_1.default.join(sharedDir, entry));
                 }
             }
         }
         else {
-            // openclaw 独立包：直接把包内所有 skill 目录（除 package.json 等元文件外）平铺到 skillsRoot
+            // openclaw 独立包：包内 skill 目录直接平铺（跳过 package.json 等元文件）
             for (const entry of node_fs_1.default.readdirSync(fetched.extractDir)) {
                 if (entry === 'package.json' || entry === 'README.md' || entry === 'LICENSE')
                     continue;
                 const from = node_path_1.default.join(fetched.extractDir, entry);
-                const stat = node_fs_1.default.statSync(from);
-                if (!stat.isDirectory())
+                if (!node_fs_1.default.statSync(from).isDirectory())
                     continue;
-                const to = node_path_1.default.join(skillsRoot, entry);
-                sourceTop.add(entry);
+                addSource(entry, from);
+            }
+        }
+        // ---- 第二步：逐条目「整清再拷」----
+        //
+        // 整清而非 `cpSync` 覆盖：cpSync 是覆盖不是镜像，源包删掉某个 skill *内部* 的文件
+        // （如 `references/old.md`）时目标那份会永久残留。老脚本靠逐文件比对 + `rm` 达到镜像
+        // （update-skills.sh:196-215），这里用「目录重建」达到同样效果，实现上更简单。
+        //
+        // 清理粒度刻意收在**单个条目**而不是整个 skillsRoot：
+        //   - `.keep` / `.config` / `.last-update` 是控制文件，整清会连它们一起删
+        //     （`.config` 是沙箱级 tgzKey 覆盖，feida-ai `sandbox-updater.ts:30` 读它，删了版本钉死失效）
+        //   - `steering/` 归 syncCodingSteering 管，本函数不该碰
+        //   - 单条目重建是毫秒级、一次只影响一个 skill；整清则会出现「整棵 skills 为空」的窗口，
+        //     而 feida-ai 的 scanAllSkills 会话期按需扫盘，正好能撞上
+        for (const [entry, srcDirs] of plan) {
+            const to = node_path_1.default.join(skillsRoot, entry);
+            (0, file_ops_1.forceRemove)(to);
+            for (const from of srcDirs) {
                 node_fs_1.default.cpSync(from, to, { recursive: true });
-                syncedTop.push(entry);
             }
+            syncedTop.push(entry);
         }
         // rsync 式收尾：删掉源包已不提供的顶层条目（对齐 update-skills.sh 的 deleted）。
         // 保留集用 sourceTop（源包提供的全部）而非 syncedTop（本轮实际写入的）——原因见

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@lark-apaas/miaoda-cli",
-  "version": "0.1.35",
+  "version": "0.1.37",
   "description": "Miaoda 平台命令行工具，面向 Agent 调用",
   "type": "commonjs",
   "bin": {

package/upgrade/templates/nestjs-react-fullstack/templates/scripts/lint.js

@@ -72,20 +72,35 @@ const STYLELINT_CONFIG_FILES = [
 ];
 
 /**
- * 老模板（fullstack-nestjs-template 1.x 时代）的应用没有 stylelint 配置，跑 stylelint 会以
- * "ConfigurationError: No configuration provided" 挂掉、把 pre-commit 卡死。没配置就跳过。
+ * 老模板（fullstack-nestjs-template 1.x 时代）的应用跑不了 stylelint，跑了就挂、把 pre-commit
+ * 卡死。两种形态都实测过：
+ *
+ * - 缺 scripts.stylelint → `npm error Missing script: "stylelint"`
+ * - 缺 .stylelintrc.*    → `ConfigurationError: No configuration provided`
+ *
+ * 注意光判断 stylelint 装没装拦不住：@lark-apaas/fullstack-presets 的 dependencies 里有
+ * stylelint，只要 dep 了 presets 二进制就在。缺任一件就跳过这一步。
  */
-function hasStylelintConfig() {
+function canRunStylelint() {
+  let pkg;
+  try {
+    pkg = JSON.parse(fs.readFileSync(path.join(cwd, 'package.json'), 'utf8'));
+  } catch {
+    return false;
+  }
+
+  if (!pkg.scripts || !pkg.scripts.stylelint) return false;
+
   return STYLELINT_CONFIG_FILES.some(file => fs.existsSync(path.join(cwd, file)));
 }
 
 async function runDefaultLint() {
   const commands = ['npm run eslint', 'npm run type:check'];
 
-  if (hasStylelintConfig()) {
+  if (canRunStylelint()) {
     commands.push('npm run stylelint');
   } else {
-    console.warn('[lint] Skip stylelint: no stylelint config found');
+    console.warn('[lint] Skip stylelint: missing scripts.stylelint or stylelint config');
   }
 
   const code = await runCommand(getBinName('npx'), ['concurrently', ...commands]);
@@ -126,8 +141,8 @@ async function runSelectiveLint(inputFiles) {
     tasks.push(runCommand(getBinName('npx'), ['eslint', '--quiet', ...eslintFiles]));
   }
 
-  if (stylelintFiles.length > 0 && !hasStylelintConfig()) {
-    console.warn('[lint] Skip stylelint: no stylelint config found');
+  if (stylelintFiles.length > 0 && !canRunStylelint()) {
+    console.warn('[lint] Skip stylelint: missing scripts.stylelint or stylelint config');
   } else if (stylelintFiles.length > 0) {
     tasks.push(runCommand(getBinName('npx'), ['stylelint', '--quiet', ...stylelintFiles]));
   }