@lark-apaas/miaoda-cli 0.1.36 → 0.1.38

package/dist/config/sync-configs/vite-react.js

@@ -0,0 +1,20 @@
+"use strict";
+/**
+ * vite-react sync 规则（镜像 fullstack-cli 的 viteReactProfile）：只同步 build.sh 一支，
+ * 回溯 public/* → dist/output/ 修复。
+ * ⚠️ build.sh 源须与 miaoda-coding 模板、fullstack-cli `templates/vite-react/build.sh` 逐字一致。
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.SYNC_CONFIG = void 0;
+exports.SYNC_CONFIG = {
+    sync: [
+        // 覆盖 scripts/build.sh：回溯 public/* → dist/output/（同源根 /app/<appId>/*）修复
+        {
+            type: 'file',
+            from: 'scripts/build.sh',
+            to: 'scripts/build.sh',
+            overwrite: true,
+        },
+    ],
+};
+exports.default = exports.SYNC_CONFIG;

package/dist/services/app/pack/archive.js

@@ -0,0 +1,35 @@
+"use strict";
+var __importDefault = (this && this.__importDefault) || function (mod) {
+    return (mod && mod.__esModule) ? mod : { "default": mod };
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.zipDir = zipDir;
+const node_child_process_1 = require("node:child_process");
+const node_fs_1 = __importDefault(require("node:fs"));
+const node_path_1 = __importDefault(require("node:path"));
+const error_1 = require("../../../utils/error");
+/**
+ * 把 `dir` 的**内容**打成 zip（解压后直接是 index.html，不多一层目录）。
+ *
+ * 走系统 `zip` 而非引 npm 依赖：仓库现有的 `app export` 也是 shell 出去调 `unzip`/`tar`，
+ * 保持一致，且避免为一个收尾动作增加运行时依赖。
+ *
+ * 覆盖语义：`zip` 默认是**增量更新**已存在的归档（会残留上次的文件），
+ * 所以先删掉目标文件再打，保证重跑导出幂等。
+ */
+function zipDir(dir, zipPath) {
+    if (!node_fs_1.default.existsSync(dir)) {
+        throw new error_1.AppError('PACK_ARCHIVE_FAILED', `待打包目录不存在：${dir}`);
+    }
+    node_fs_1.default.rmSync(zipPath, { force: true });
+    node_fs_1.default.mkdirSync(node_path_1.default.dirname(zipPath), { recursive: true });
+    try {
+        // cwd=dir + '.' → 归档内是目录内容而非目录本身
+        (0, node_child_process_1.execFileSync)('zip', ['-qr', zipPath, '.'], { cwd: dir, stdio: 'pipe' });
+    }
+    catch (err) {
+        throw new error_1.AppError('PACK_ARCHIVE_FAILED', `zip failed: ${err.message}`, {
+            next_actions: ['确认运行环境有 zip 命令（沙箱镜像应自带）'],
+        });
+    }
+}

package/dist/services/app/pack/copy-tree.js

@@ -0,0 +1,51 @@
+"use strict";
+var __importDefault = (this && this.__importDefault) || function (mod) {
+    return (mod && mod.__esModule) ? mod : { "default": mod };
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.copyTree = copyTree;
+const node_fs_1 = __importDefault(require("node:fs"));
+const node_path_1 = __importDefault(require("node:path"));
+const error_1 = require("../../../utils/error");
+/**
+ * 递归拷贝目录树到 `out`（先清空 out）。
+ *
+ * `design-html` 与 `html` 共用：两者的 standalone 构建都只是纯文件搬运，
+ * 差别仅在 `root`（项目根 vs `src/`）与 `excludes`（EXCLUDES vs 无）。
+ *
+ * 用 `statSync` 判目录以 **follow 符号链接**，与 `source-scan.ts` 的 `listSourceFiles`
+ * 同口径（design-html 的 `.claude/skills` 是指向 `.agents/skills` 的软链）。
+ */
+function copyTree(root, out, excludes) {
+    if (!node_fs_1.default.existsSync(root)) {
+        throw new error_1.AppError('PACK_EMPTY_OUTPUT', `源目录不存在：${root}`, {
+            next_actions: ['确认已在应用根目录下执行，且项目结构完整'],
+        });
+    }
+    node_fs_1.default.rmSync(out, { recursive: true, force: true });
+    node_fs_1.default.mkdirSync(out, { recursive: true });
+    const walk = (dir, rel) => {
+        for (const entry of node_fs_1.default.readdirSync(dir, { withFileTypes: true })) {
+            if (excludes?.has(entry.name))
+                continue;
+            const abs = node_path_1.default.join(dir, entry.name);
+            const childRel = rel ? node_path_1.default.join(rel, entry.name) : entry.name;
+            let isDir;
+            try {
+                isDir = node_fs_1.default.statSync(abs).isDirectory();
+            }
+            catch {
+                continue; // 断链等无法 stat 的条目跳过
+            }
+            if (isDir) {
+                walk(abs, childRel);
+            }
+            else {
+                const dest = node_path_1.default.join(out, childRel);
+                node_fs_1.default.mkdirSync(node_path_1.default.dirname(dest), { recursive: true });
+                node_fs_1.default.copyFileSync(abs, dest);
+            }
+        }
+    };
+    walk(root, '');
+}

package/dist/services/app/pack/download.js

@@ -0,0 +1,52 @@
+"use strict";
+var __importDefault = (this && this.__importDefault) || function (mod) {
+    return (mod && mod.__esModule) ? mod : { "default": mod };
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.downloadImages = downloadImages;
+const node_fs_1 = __importDefault(require("node:fs"));
+const node_path_1 = __importDefault(require("node:path"));
+const logger_1 = require("../../../utils/logger");
+const naming_1 = require("./naming");
+const DEFAULT_TIMEOUT_MS = 30_000;
+/**
+ * 经沙箱 dev server 代理批量下载图片。
+ *
+ * **单张失败不抛**——记进 `failed` 继续走。整体导出的成败判定由 handler 依据
+ * 「命中数 / 成功数」决定（设计文档「失败口径」：部分失败退 0，全失败退 1）。
+ *
+ * 串行下载：图片量级通常是个位数到几十，并发收益有限，而串行的日志与失败归因更清晰。
+ */
+async function downloadImages(urls, opts) {
+    const mapping = new Map();
+    const failed = [];
+    if (urls.length === 0)
+        return { mapping, failed };
+    node_fs_1.default.mkdirSync(opts.imagesDir, { recursive: true });
+    const timeoutMs = opts.timeoutMs ?? DEFAULT_TIMEOUT_MS;
+    for (const url of urls) {
+        const target = `${opts.devServerBase}${url}`;
+        (0, logger_1.debug)(`pack: GET ${target}`);
+        try {
+            // 刻意串行（见函数注释）：图片量级通常个位数到几十，并发收益有限；
+            // 串行能让每张图的失败归因清晰，且不对沙箱 dev server 造成并发压力。
+            const resp = await fetch(target, { signal: AbortSignal.timeout(timeoutMs) });
+            if (!resp.ok) {
+                // resp.url 是**跟随重定向后**的最终地址。沙箱代理对存储图返回 302 指向签名 CDN，
+                // 失败发生在哪一跳，只看状态码分不出来，必须把最终地址带出来。
+                const finalUrl = resp.url && resp.url !== target ? ` (final: ${resp.url})` : '';
+                failed.push({ url, reason: `HTTP ${String(resp.status)}${finalUrl}` });
+                continue;
+            }
+            const buf = Buffer.from(await resp.arrayBuffer());
+            const name = (0, naming_1.localImageName)(url, resp.headers.get('content-type') ?? undefined);
+            node_fs_1.default.writeFileSync(node_path_1.default.join(opts.imagesDir, name), buf);
+            mapping.set(url, name);
+            (0, logger_1.debug)(`pack: downloaded ${url} -> images/${name} (${String(buf.length)}B)`);
+        }
+        catch (err) {
+            failed.push({ url, reason: err instanceof Error ? err.message : String(err) });
+        }
+    }
+    return { mapping, failed };
+}

package/dist/services/app/pack/index.js

@@ -0,0 +1,27 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.PACK_SUPPORTED_STACKS = exports.resolveStrategy = exports.buildStandaloneEnv = exports.uploadZip = exports.redactUrl = exports.assertValidUploadUrl = exports.scanSparkAppUrls = exports.TEXT_EXTENSIONS = exports.rewriteTree = exports.localImageName = exports.extFromContentType = exports.inlineBabelScripts = exports.downloadImages = exports.copyTree = exports.zipDir = void 0;
+var archive_1 = require("./archive");
+Object.defineProperty(exports, "zipDir", { enumerable: true, get: function () { return archive_1.zipDir; } });
+var copy_tree_1 = require("./copy-tree");
+Object.defineProperty(exports, "copyTree", { enumerable: true, get: function () { return copy_tree_1.copyTree; } });
+var download_1 = require("./download");
+Object.defineProperty(exports, "downloadImages", { enumerable: true, get: function () { return download_1.downloadImages; } });
+var inline_babel_1 = require("./inline-babel");
+Object.defineProperty(exports, "inlineBabelScripts", { enumerable: true, get: function () { return inline_babel_1.inlineBabelScripts; } });
+var naming_1 = require("./naming");
+Object.defineProperty(exports, "extFromContentType", { enumerable: true, get: function () { return naming_1.extFromContentType; } });
+Object.defineProperty(exports, "localImageName", { enumerable: true, get: function () { return naming_1.localImageName; } });
+var rewrite_1 = require("./rewrite");
+Object.defineProperty(exports, "rewriteTree", { enumerable: true, get: function () { return rewrite_1.rewriteTree; } });
+Object.defineProperty(exports, "TEXT_EXTENSIONS", { enumerable: true, get: function () { return rewrite_1.TEXT_EXTENSIONS; } });
+var scan_1 = require("./scan");
+Object.defineProperty(exports, "scanSparkAppUrls", { enumerable: true, get: function () { return scan_1.scanSparkAppUrls; } });
+var upload_1 = require("./upload");
+Object.defineProperty(exports, "assertValidUploadUrl", { enumerable: true, get: function () { return upload_1.assertValidUploadUrl; } });
+Object.defineProperty(exports, "redactUrl", { enumerable: true, get: function () { return upload_1.redactUrl; } });
+Object.defineProperty(exports, "uploadZip", { enumerable: true, get: function () { return upload_1.uploadZip; } });
+var strategies_1 = require("./strategies");
+Object.defineProperty(exports, "buildStandaloneEnv", { enumerable: true, get: function () { return strategies_1.buildStandaloneEnv; } });
+Object.defineProperty(exports, "resolveStrategy", { enumerable: true, get: function () { return strategies_1.resolveStrategy; } });
+Object.defineProperty(exports, "PACK_SUPPORTED_STACKS", { enumerable: true, get: function () { return strategies_1.PACK_SUPPORTED_STACKS; } });

package/dist/services/app/pack/inline-babel.js

@@ -0,0 +1,91 @@
+"use strict";
+var __importDefault = (this && this.__importDefault) || function (mod) {
+    return (mod && mod.__esModule) ? mod : { "default": mod };
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.inlineBabelScripts = inlineBabelScripts;
+const node_fs_1 = __importDefault(require("node:fs"));
+const node_path_1 = __importDefault(require("node:path"));
+const logger_1 = require("../../../utils/logger");
+/**
+ * 匹配**完整的 `<script>` 元素**（含闭合标签），而不是只匹配开标签。
+ *
+ * 属性区用 `(?:"[^"]*"|'[^']*'|[^>])*` 而非 `[^>]*` —— 后者会被属性值里的 `>` 提前截断。
+ * 元素体用非贪婪 `[\s\S]*?` 配到最近的 `</script>`：带 `src` 的标签体按规范会被忽略，
+ * 整体替换掉最直白，不必去拼接原闭合标签。
+ */
+const SCRIPT_EL_RE = /<script((?:"[^"]*"|'[^']*'|[^>])*)>([\s\S]*?)<\/script\s*>/gi;
+/** Babel Standalone 认这两种 type。 */
+const BABEL_TYPE_RE = /\btype\s*=\s*["']text\/(?:babel|jsx)["']/i;
+/** 取 src 属性值（带引号形式；Vite/手写产物里都是带引号的）。 */
+const SRC_ATTR_RE = /\bsrc\s*=\s*["']([^"']+)["']/i;
+/** 远端 / 内联数据源：不是本地文件，不内联。 */
+const REMOTE_SRC_RE = /^(?:[a-z][a-z0-9+.-]*:|\/\/)/i;
+/** 需要处理的 HTML 扩展名。 */
+const HTML_EXT = new Set(['.html', '.htm']);
+function* walkHtml(dir, rel = '') {
+    for (const entry of node_fs_1.default.readdirSync(dir, { withFileTypes: true })) {
+        const childRel = rel ? `${rel}/${entry.name}` : entry.name;
+        const abs = node_path_1.default.join(dir, entry.name);
+        if (entry.isDirectory())
+            yield* walkHtml(abs, childRel);
+        else if (HTML_EXT.has(node_path_1.default.extname(entry.name).toLowerCase()))
+            yield childRel;
+    }
+}
+/**
+ * 把 `<script type="text/babel" src="x.jsx"></script>` 的外链内容内联进 HTML。
+ *
+ * **为什么必须做**：Babel Standalone 是用 **XHR** 去取 `src` 指向的文件的。`file://` 下
+ * 文档 origin 是 `null`，浏览器只允许 XHR 访问 chrome/data/http/https 等协议，file 被禁：
+ *
+ * ```
+ * Access to XMLHttpRequest at 'file:///.../app.jsx' from origin 'null' has been
+ * blocked by CORS policy: Cross origin requests are only supported for protocol
+ * schemes: chrome, ..., data, http, https, ...
+ * ```
+ *
+ * 结果是 JSX 一个都没执行、页面白屏（`Uncaught ReferenceError: App is not defined`）。
+ * 内联之后 Babel 直接读标签内容，不发请求，`file://` 下正常渲染（已实测）。
+ *
+ * 只对 buildless 的 `design-html` / `html` 生效 —— vite 系产物已经打包过，不存在这种标签。
+ *
+ * 保留原 `.jsx` 文件不删：起 HTTP server 时两条路都能走，删了反而少一条。
+ */
+function inlineBabelScripts(root) {
+    const changed = [];
+    const rootResolved = node_path_1.default.resolve(root);
+    for (const rel of walkHtml(root)) {
+        const htmlPath = node_path_1.default.join(root, rel);
+        const htmlDir = node_path_1.default.dirname(htmlPath);
+        const original = node_fs_1.default.readFileSync(htmlPath, 'utf-8');
+        const next = original.replace(SCRIPT_EL_RE, (el, attrs) => {
+            if (!BABEL_TYPE_RE.test(attrs))
+                return el;
+            const m = SRC_ATTR_RE.exec(attrs);
+            if (!m)
+                return el; // 已是内联块
+            const src = m[1];
+            if (REMOTE_SRC_RE.test(src))
+                return el; // http(s) / 协议相对 / data:
+            const target = node_path_1.default.resolve(htmlDir, src);
+            // 防路径穿越：只内联产物树内的文件，否则可能把树外的内容打进产物
+            if (target !== rootResolved && !target.startsWith(rootResolved + node_path_1.default.sep))
+                return el;
+            if (!node_fs_1.default.existsSync(target))
+                return el;
+            // `</script` 出现在 JS 字符串里会提前闭合标签，必须转义
+            const code = node_fs_1.default.readFileSync(target, 'utf-8').replace(/<\/script/gi, '<\\/script');
+            const keptAttrs = attrs.replace(SRC_ATTR_RE, '').replace(/\s+/g, ' ').trimEnd();
+            (0, logger_1.debug)(`pack: inlined ${src} into ${rel}`);
+            return `<script${keptAttrs} data-inlined-from="${src}">\n${code}\n</script>`;
+        });
+        // 用「文本是否变化」判定，不用外层 flag —— 回调里的赋值 TS 控制流分析看不到，
+        // 会把 `if (hit)` 判成恒假（@typescript-eslint/no-unnecessary-condition）。
+        if (next !== original) {
+            node_fs_1.default.writeFileSync(htmlPath, next, 'utf-8');
+            changed.push(rel);
+        }
+    }
+    return changed.sort();
+}

package/dist/services/app/pack/naming.js

@@ -0,0 +1,65 @@
+"use strict";
+var __importDefault = (this && this.__importDefault) || function (mod) {
+    return (mod && mod.__esModule) ? mod : { "default": mod };
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.extFromContentType = extFromContentType;
+exports.localImageName = localImageName;
+const node_crypto_1 = __importDefault(require("node:crypto"));
+/**
+ * `Content-Type` → 文件扩展名。
+ *
+ * 存储 key 常常**不带扩展名**（线上真实形态 `static%2Fdemo_ve_miaoda`），
+ * URL 里推不出类型，只能以服务端响应为准。
+ * 未知类型返回空串 —— 宁可没后缀，也不猜一个错的（错后缀会让浏览器按错误类型解析）。
+ */
+const EXT_BY_MIME = {
+    'image/png': '.png',
+    'image/jpeg': '.jpg',
+    'image/jpg': '.jpg',
+    'image/gif': '.gif',
+    'image/webp': '.webp',
+    'image/svg+xml': '.svg',
+    'image/avif': '.avif',
+    'image/bmp': '.bmp',
+    'image/x-icon': '.ico',
+    'image/vnd.microsoft.icon': '.ico',
+    'image/tiff': '.tiff',
+};
+function extFromContentType(contentType) {
+    if (!contentType)
+        return '';
+    const mime = contentType.split(';')[0].trim().toLowerCase();
+    return EXT_BY_MIME[mime] ?? '';
+}
+/** 只保留文件名安全字符；其余折成 `_`。顺带挡掉 `/` 与 `..`（防 basename 逃出 images/）。 */
+function sanitize(name) {
+    return name.replace(/[^A-Za-z0-9._-]/g, '_').replace(/^\.+/, '');
+}
+/**
+ * URL → `images/` 下的本地文件名。
+ *
+ * 规则：
+ *   1. 剥掉 query/hash 后取 pathname
+ *   2. `decodeURIComponent` 还原（key 常被编码，如 `static%2Fx` → `static/x`）
+ *   3. 取 basename 并清洗危险字符
+ *   4. 追加 **完整 URL（含 query）** 的 8 位 hash —— 保证：
+ *        - 同 URL 幂等（重跑导出不产生新文件）
+ *        - 不同路径同名不互撞
+ *        - 同图不同 `x-tos-process` 参数分开存（处理后的图内容不同）
+ *   5. 扩展名取自 `Content-Type`，URL 里自带的后缀不作数（服务端才是真相）
+ */
+function localImageName(url, contentType) {
+    const pathname = url.split('#')[0].split('?')[0];
+    let decoded = pathname;
+    try {
+        decoded = decodeURIComponent(pathname);
+    }
+    catch {
+        // 畸形 % 转义：退回原串，不抛
+    }
+    const rawBase = decoded.split('/').filter(Boolean).pop() ?? '';
+    const base = sanitize(rawBase).replace(/\.[^.]*$/, '') || 'image';
+    const hash = node_crypto_1.default.createHash('sha1').update(url).digest('hex').slice(0, 8);
+    return `${base}-${hash}${extFromContentType(contentType)}`;
+}

package/dist/services/app/pack/rewrite.js

@@ -0,0 +1,80 @@
+"use strict";
+var __importDefault = (this && this.__importDefault) || function (mod) {
+    return (mod && mod.__esModule) ? mod : { "default": mod };
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.TEXT_EXTENSIONS = void 0;
+exports.rewriteTree = rewriteTree;
+const node_fs_1 = __importDefault(require("node:fs"));
+const node_path_1 = __importDefault(require("node:path"));
+/**
+ * 需要扫描并改写的文本文件扩展名。
+ * 只列产物里真会出现 URL 的类型 —— `images/` 下的二进制不在其中，
+ * 避免把 PNG 当 UTF-8 读进来再写回去（会损坏文件）。
+ */
+exports.TEXT_EXTENSIONS = new Set([
+    '.html',
+    '.htm',
+    '.css',
+    '.js',
+    '.mjs',
+    '.cjs',
+    // buildless 栈（design-html / html）的源文件**就是产物**，JSX/TS 里的图片
+    // URL 同样要扫要改。漏了这几个扩展名会导致图片下载成功、但 .jsx 里的引用
+    // 仍指向线上绝对路径 —— 真机踩过（app.jsx 里 5 处未改写）。
+    '.jsx',
+    '.ts',
+    '.tsx',
+    '.mts',
+    '.cts',
+    '.json',
+    '.svg',
+    '.webmanifest',
+]);
+function* walk(dir, rel = '') {
+    for (const entry of node_fs_1.default.readdirSync(dir, { withFileTypes: true })) {
+        const childRel = rel ? `${rel}/${entry.name}` : entry.name;
+        const abs = node_path_1.default.join(dir, entry.name);
+        if (entry.isDirectory())
+            yield* walk(abs, childRel);
+        else
+            yield childRel;
+    }
+}
+/**
+ * 把产物树里所有命中的 URL 改写成 `./images/<name>`。
+ *
+ * **只改写 mapping 里有的 URL** —— 下载失败的原样保留。改成 `./images/xxx` 但文件不存在
+ * 反而制造死链，保留原绝对路径至少在联网访问平台时还能显示。
+ *
+ * 替换顺序按 URL **长度降序**：`/a/k.png` 是 `/a/k.png?x=1` 的前缀，若先替短的，
+ * 长 URL 会被替成 `./images/short.png?x=1` 这种半截产物。
+ *
+ * 用 `split().join()` 而非 `replace(new RegExp(...))`：URL 里含 `?`、`.`、`+`、`$` 等
+ * 正则元字符，转义容易出错；且 `$&` / `$1` 之类替换串语义也是坑。
+ *
+ * 返回实际发生改动的文件相对路径（posix 风格），用于 JSON 输出的 `rewrittenFiles`。
+ */
+function rewriteTree(root, mapping) {
+    if (mapping.size === 0)
+        return [];
+    const entries = [...mapping.entries()].sort((a, b) => b[0].length - a[0].length);
+    const changed = [];
+    for (const rel of walk(root)) {
+        if (!exports.TEXT_EXTENSIONS.has(node_path_1.default.extname(rel).toLowerCase()))
+            continue;
+        const abs = node_path_1.default.join(root, rel);
+        const original = node_fs_1.default.readFileSync(abs, 'utf-8');
+        let next = original;
+        for (const [url, name] of entries) {
+            if (!next.includes(url))
+                continue;
+            next = next.split(url).join(`./images/${name}`);
+        }
+        if (next !== original) {
+            node_fs_1.default.writeFileSync(abs, next, 'utf-8');
+            changed.push(rel);
+        }
+    }
+    return changed.sort();
+}

package/dist/services/app/pack/scan.js

@@ -0,0 +1,95 @@
+"use strict";
+/**
+ * 从构建产物文本里扫出需要本地化的应用存储图片 URL。
+ *
+ * 匹配口径：**只认字面以 `/spark/app/` 开头的同源相对路径**。
+ *
+ * ⚠️ 这是刻意收窄的口径，会漏判其它挂载前缀（`/spark/p/`、`/spark/r/`、`/app/<appId>`、
+ * 反代场景等）。`miaoda-coding` 的 `cd-elements/src/core/tos.ts` 走的是「存储路径中段
+ * 子串匹配」，注释里明确记着「改成前缀匹配会让存储图静默跳过，这个错误犯过一次」。
+ * 本能力**明知该历史仍选择前缀匹配**（决策见设计文档「图片本地化」）。
+ * 若将来要扩范围，正确做法是**切子串匹配**，不是追加枚举前缀。
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.scanSparkAppUrls = scanSparkAppUrls;
+/**
+ * URL 终止字符：引号、反引号、空白、尖括号、圆括号、反斜杠。
+ * 刻意**不含逗号** —— `?x-tos-process=image/resize,w_400` 里逗号是 URL 的一部分，
+ * 排除它会把 query 截断成无效地址。
+ *
+ * 代价：`srcset="a.png 1x,b.png 2x"` 这种逗号后无空格的写法会把两个 URL 粘成一个。
+ * 实际产物里 srcset 由 cd-elements 生成，逗号后带空格，不触发。
+ */
+const SPARK_APP_URL_RE = /\/spark\/app\/[^"'`\s<>()\\]+/g;
+/**
+ * URL 前必须是「token 起始位置」——字符串开头，或前一个字符是分隔符。
+ *
+ * 这条是为了排掉第三方绝对 URL：`https://example.com/spark/app/a/k.png` 里
+ * `/spark/app/` 的前一个字符是 `m`（`.com` 的 m），不是分隔符，因此不命中。
+ *
+ * ⚠️ 不能写成「前一个字符不是 `/`」—— 那个判据对绝对 URL 无效（prev 是 `m` 不是 `/`），
+ * 会把第三方地址误判成同源相对路径。
+ */
+const BOUNDARY_CHARS = new Set([
+    '"',
+    "'",
+    '`',
+    ' ',
+    '\t',
+    '\n',
+    '\r',
+    '(',
+    '=',
+    ',',
+    ';',
+    ':',
+    '{',
+    '[',
+    '<',
+    '>',
+]);
+function isSameOriginRelative(text, index) {
+    if (index === 0)
+        return true;
+    return BOUNDARY_CHARS.has(text[index - 1]);
+}
+/**
+ * aPaaS 存储路径特征段。命中其一才认为是「应用存储里的资源」。
+ *
+ * **为什么必须限定**：只按 `/spark/app/` 前缀匹配会把**接口地址**一并扫走 ——
+ * 真机踩过，SDK 里的 `/spark/app/<id>/runtime/api/v1/observability/logs/collect`、
+ * `.../permissions/roles` 四条接口进了下载队列，全部 404 后被报成「4 张图片下载失败」。
+ *
+ * 这三段与 `miaoda-coding` 的 `cd-elements/src/core/tos.ts` 的 `SRC_ALLOWLIST` 同一份。
+ */
+const STORAGE_PATH_SEGMENTS = [
+    '/runtime/api/v1/storage/object/',
+    '/aily/api/v1/feisuda/attachments/',
+    '/aily/api/v1/files/static/',
+];
+/**
+ * 模板字符串插值标记：`/spark/app/${e}/...`。压缩后的 SDK 里大量存在，它们**不是具体 URL**
+ * ——变量在运行时才求值，照原样请求必然 404。
+ */
+const TEMPLATE_INTERPOLATION = '${';
+/**
+ * 扫出去重后的 URL 列表，保持首次出现的顺序（便于测试断言与日志可读）。
+ */
+function scanSparkAppUrls(text) {
+    const seen = new Set();
+    const out = [];
+    for (const m of text.matchAll(SPARK_APP_URL_RE)) {
+        if (!isSameOriginRelative(text, m.index))
+            continue;
+        const url = m[0];
+        if (url.includes(TEMPLATE_INTERPOLATION))
+            continue;
+        if (!STORAGE_PATH_SEGMENTS.some((seg) => url.includes(seg)))
+            continue;
+        if (seen.has(url))
+            continue;
+        seen.add(url);
+        out.push(url);
+    }
+    return out;
+}