@lark-apaas/miaoda-cli 0.1.37 → 0.1.39-alpha.24bc5ff

package/dist/cli/handlers/deploy/helpers.js

@@ -3,18 +3,19 @@ Object.defineProperty(exports, "__esModule", { value: true });
 exports.parseStatusFlag = parseStatusFlag;
 exports.validateLimit = validateLimit;
 exports.parseDeployId = parseDeployId;
+exports.validateApplyReason = validateApplyReason;
 const args_1 = require("../../../utils/args");
 const index_1 = require("../../../api/deploy/index");
 /**
  * 把 CLI --status 字符串映射成 BAM NodeStatus 数字；非法值抛 ARGS_INVALID。
  *
  * 历史接口（CliListPipelineInstances）返回 SimpleInstance，状态语义是 pipeline 节点状态，
- * 取值 todo / running / success / failed / canceled / hold_on。
+ * 取值 todo / running / success / failed / canceled / rejected / pending / skipped / hold_on（已废弃）。
  */
 function parseStatusFlag(text) {
     const value = (0, index_1.nodeStatusFromText)(text);
     if (value === undefined) {
-        (0, args_1.failArgs)(`--status 无效：'${text}'。可选值：todo | running | success | failed | canceled | hold_on`);
+        (0, args_1.failArgs)(`--status 无效：'${text}'。可选值：todo | running | success | failed | canceled | rejected | pending | skipped | hold_on`);
     }
     return value;
 }
@@ -39,3 +40,36 @@ function parseDeployId(text) {
     }
     return n;
 }
+/** 发布理由上限，按 Unicode code point 计，对齐 lark-cli `apps +release-create` */
+const MAX_APPLY_REASON_CODE_POINTS = 1000;
+/** C0 / C1 控制字符（含换行、制表符） */
+function isControlCodePoint(cp) {
+    return cp <= 0x1f || (cp >= 0x7f && cp <= 0x9f);
+}
+/** 零宽、BOM、双向嵌入/覆盖/隔离、行/段分隔符：肉眼不可见，却会改变审批单里的展示 */
+function isDangerousCodePoint(cp) {
+    return ((cp >= 0x200b && cp <= 0x200d) ||
+        cp === 0xfeff ||
+        (cp >= 0x202a && cp <= 0x202e) ||
+        (cp >= 0x2066 && cp <= 0x2069) ||
+        cp === 0x2028 ||
+        cp === 0x2029);
+}
+/**
+ * 校验 --apply-reason 的格式；通过后调用方原样透传，不 trim。
+ * 是否必填由服务端按应用类型判定，这里不管。
+ */
+function validateApplyReason(value) {
+    if (value.trim() === '')
+        (0, args_1.failArgs)('--apply-reason 不能为空');
+    const codePoints = Array.from(value, (ch) => ch.codePointAt(0) ?? 0);
+    if (codePoints.some(isControlCodePoint)) {
+        (0, args_1.failArgs)('--apply-reason 不能包含换行、制表符等控制字符，需为单行文本');
+    }
+    if (codePoints.some(isDangerousCodePoint)) {
+        (0, args_1.failArgs)('--apply-reason 不能包含零宽字符、双向控制字符或行/段分隔符');
+    }
+    if (codePoints.length > MAX_APPLY_REASON_CODE_POINTS) {
+        (0, args_1.failArgs)(`--apply-reason 最多 ${String(MAX_APPLY_REASON_CODE_POINTS)} 个字符`);
+    }
+}

package/dist/cli/handlers/deploy/modern.js

@@ -4,14 +4,17 @@ var __importDefault = (this && this.__importDefault) || function (mod) {
 };
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.parseDeployConf = parseDeployConf;
+exports.parseChangedFiles = parseChangedFiles;
 exports.handleDeployModern = handleDeployModern;
 const node_path_1 = __importDefault(require("node:path"));
 const output_1 = require("../../../utils/output");
 const error_1 = require("../../../utils/error");
 const index_1 = require("../../../services/deploy/modern/index");
-const CONF_EXPECTED = '期望形如 {"checkPointVersion":"...","commitID":"..."} 的 JSON 对象';
+const index_2 = require("../../../services/deploy/modern/patch/index");
+const logger_1 = require("../../../utils/logger");
+const CONF_EXPECTED = '期望形如 {"checkPointVersion":"...","commitID":"...","sessionID":"...","marker":"...","versionLevel":"major"} 的 JSON 对象';
 /**
- * 解析 `--conf` JSON string，只取 checkPointVersion / commitID 两个白名单字段。
+ * 解析 `--conf` JSON string，只取 checkPointVersion / commitID / sessionID / marker / versionLevel 五个白名单字段。
  * - 未传 → 返回 {}（行为不变）。
  * - 非法 JSON / 非 object / 字段值非 string → 抛 DEPLOY_CONF_INVALID。
  * - 空串字段视为未提供（不进 body，保持可选语义）；未知 key 忽略。
@@ -31,7 +34,13 @@ function parseDeployConf(raw) {
     }
     const source = parsed;
     const conf = {};
-    for (const key of ['checkPointVersion', 'commitID']) {
+    for (const key of [
+        'checkPointVersion',
+        'commitID',
+        'sessionID',
+        'marker',
+        'versionLevel',
+    ]) {
         const value = source[key];
         if (value === undefined)
             continue;
@@ -43,6 +52,29 @@ function parseDeployConf(raw) {
     }
     return conf;
 }
+/**
+ * 解析 `--create` / `--update` / `--delete`，校验路径后组成 PatchChangeSet。
+ *
+ * 复用 deploy patch 的 normalizeRel（同一套校验：禁绝对路径、禁 ".."、统一为 posix 相对路径），
+ * 保证两条链路对「变更文件」的接受范围完全一致，调用方从 patch 迁移不会遇到收紧或放宽。
+ *
+ * 当前是预留口子：deploy 仍然全量上传，这里只校验并记一行日志，不参与上传决策。
+ * 三个参数都没传 → 返回 undefined（与不传时行为完全一致，不产生日志）。
+ */
+function parseChangedFiles(opts) {
+    const cs = {
+        creates: (opts.creates ?? []).map((rel) => (0, index_2.normalizeRel)(rel)),
+        updates: (opts.updates ?? []).map((rel) => (0, index_2.normalizeRel)(rel)),
+        deletes: (opts.deletes ?? []).map((rel) => (0, index_2.normalizeRel)(rel)),
+    };
+    const total = cs.creates.length + cs.updates.length + cs.deletes.length;
+    if (total === 0)
+        return undefined;
+    (0, logger_1.log)('deploy', `收到变更文件提示 ${String(total)} 个（create=${String(cs.creates.length)} ` +
+        `update=${String(cs.updates.length)} delete=${String(cs.deletes.length)}）：` +
+        '当前仍为全量上传，未启用增量');
+    return cs;
+}
 /**
  * miaoda deploy（modern scene 专用，CLI 表面对齐 openclaw-cli）
  *
@@ -58,6 +90,10 @@ async function handleDeployModern(opts) {
         skipRelease: opts.skipRelease ?? false,
         checkPointVersion: conf.checkPointVersion,
         commitID: conf.commitID,
+        sessionID: conf.sessionID,
+        marker: conf.marker,
+        versionLevel: conf.versionLevel,
+        changedFiles: parseChangedFiles(opts),
     });
     (0, output_1.emit)({
         data: {

package/dist/cli/handlers/deploy/polling.js

@@ -38,6 +38,7 @@ var __importDefault = (this && this.__importDefault) || function (mod) {
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.DEFAULT_POLL_INTERVAL_MS = void 0;
 exports.waitForPipeline = waitForPipeline;
+exports.normalizePipelineInstance = normalizePipelineInstance;
 const ora_1 = __importDefault(require("ora"));
 const api = __importStar(require("../../../api/index"));
 const error_1 = require("../../../utils/error");
@@ -45,16 +46,11 @@ const output_1 = require("../../../utils/output");
 const index_1 = require("../../../api/deploy/index");
 /** 默认轮询间隔（毫秒） */
 exports.DEFAULT_POLL_INTERVAL_MS = 2_000;
-const TERMINAL_STATUSES = [
-    index_1.NodeStatus.SUCCESS,
-    index_1.NodeStatus.FAILED,
-    index_1.NodeStatus.CANCELED,
-];
 function defaultSleep(ms) {
     return new Promise((res) => setTimeout(res, ms));
 }
 /**
- * 轮询 pipeline 状态直到终态或超时。
+ * 轮询 pipeline 状态直到终态、进入人工审批或超时。
  *
  * - JSON 模式：轮询期间静默；终态后由 caller 输出最终信封。
  * - Pretty 非 TTY：同 JSON。
@@ -85,7 +81,11 @@ async function waitForPipeline(opts) {
             const detail = normalizePipelineInstance(resp);
             if (spinner)
                 advanceProgress(detail, printedStages, spinner);
-            if (TERMINAL_STATUSES.includes(detail.status)) {
+            if (index_1.TERMINAL_NODE_STATUSES.includes(detail.status)) {
+                return detail;
+            }
+            // 等待人工审批（顶层 PENDING）：可能持续数小时，立即交还给调用方，不再轮询到超时
+            if (detail.status === index_1.NodeStatus.PENDING) {
                 return detail;
             }
             if (now() - start >= timeoutMs) {
@@ -113,7 +113,7 @@ function advanceProgress(detail, printed, spinner) {
     for (const stage of stages) {
         if (printed.has(stage.id))
             continue;
-        if (!TERMINAL_STATUSES.includes(stage.status))
+        if (!index_1.TERMINAL_NODE_STATUSES.includes(stage.status))
             continue;
         spinner.stopAndPersist({
             symbol: stageSymbol(stage),
@@ -153,7 +153,11 @@ function isPipelineInstance(value) {
     return typeof item.status === 'number';
 }
 function stageSymbol(stage) {
-    return stage.status === index_1.NodeStatus.SUCCESS ? '✓' : stage.status === index_1.NodeStatus.FAILED ? '✗' : '•';
+    if (stage.status === index_1.NodeStatus.SUCCESS)
+        return '✓';
+    if (stage.status === index_1.NodeStatus.FAILED || stage.status === index_1.NodeStatus.REJECTED)
+        return '✗';
+    return '•';
 }
 function formatStageBody(stage) {
     const cost = stage.costTime >= 0 ? `(${(stage.costTime / 1000).toFixed(1)}s)` : '';

package/dist/cli/handlers/plugin/plugin-local.js

@@ -56,10 +56,11 @@ exports.readAllCapabilities = readAllCapabilities;
 exports.hydrateCapability = hydrateCapability;
 const node_fs_1 = __importDefault(require("node:fs"));
 const node_path_1 = __importDefault(require("node:path"));
-const node_child_process_1 = require("node:child_process");
 const node_module_1 = require("node:module");
+const archive_1 = require("../../../utils/archive");
 const error_1 = require("../../../utils/error");
 const logger_1 = require("../../../utils/logger");
+const run_npm_1 = require("../../../utils/run-npm");
 // ── Project paths ──
 function getProjectRoot() {
     return process.cwd();
@@ -152,7 +153,7 @@ function extractTgzToNodeModules(tgzPath, pluginName) {
     }
     node_fs_1.default.mkdirSync(tempDir, { recursive: true });
     try {
-        (0, node_child_process_1.execSync)(`tar -xzf "${tgzPath}" -C "${tempDir}"`, { stdio: 'pipe' });
+        (0, archive_1.extractTarGz)(tgzPath, tempDir);
         const extractedDir = node_path_1.default.join(tempDir, 'package');
         if (node_fs_1.default.existsSync(extractedDir)) {
             node_fs_1.default.renameSync(extractedDir, targetDir);
@@ -191,7 +192,7 @@ function installMissingDeps(deps) {
     if (deps.length === 0)
         return;
     (0, logger_1.log)('plugin', `Installing missing dependencies: ${deps.join(', ')}`);
-    const result = (0, node_child_process_1.spawnSync)('npm', ['install', ...deps, '--no-save', '--no-package-lock'], {
+    const result = (0, run_npm_1.runNpmSync)(['install', ...deps, '--no-save', '--no-package-lock'], {
         cwd: getProjectRoot(),
         stdio: 'inherit',
     });
@@ -205,7 +206,7 @@ function installMissingDeps(deps) {
     }
 }
 function npmInstall(tgzPath) {
-    const result = (0, node_child_process_1.spawnSync)('npm', ['install', tgzPath, '--no-save', '--no-package-lock', '--ignore-scripts'], { cwd: getProjectRoot(), stdio: 'inherit' });
+    const result = (0, run_npm_1.runNpmSync)(['install', tgzPath, '--no-save', '--no-package-lock', '--ignore-scripts'], { cwd: getProjectRoot(), stdio: 'inherit' });
     if (result.error) {
         throw new error_1.AppError('INTERNAL_NPM_FAILED', `npm install failed: ${result.error.message}`, {
             next_actions: ['确认本机已安装 npm，可 --verbose 查看执行详情'],

package/dist/config/migrate-configs/vite-react-to-nestjs-react-fullstack.js

@@ -14,7 +14,8 @@
  *      + client/index.html 等 fullstack 形态新增的资产）
  *   5. 把 fullstack 必需的 scripts 加到 package.json（dev / build / type:check 等）
  *   6. 从 fullstack template/package.json 取版本号，精确加 NestJS 强依赖白名单
- *      （client-toolkit + 几个 @nestjs/* + fullstack-nestjs-core + hbs 等；不全量 merge）
+ *      （client-toolkit + 几个 @nestjs/* + SWC 工具链 + fullstack-nestjs-core + hbs 等；
+ *      不全量 merge）
  *   7. codemod 业务代码：@lark-apaas/client-toolkit-lite → @lark-apaas/client-toolkit
  *   8. codemod vite.config：defineConfig(...) → defineConfig(..., { fullstack: true })，
  *      让 coding-preset-vite-react 启用 fullstack dev-proxy / html-output / basename /
@@ -58,7 +59,9 @@ exports.MIGRATE_CONFIG = {
         // ===== 4. fullstack 形态必需资产（覆盖 user 已有同名文件） =====
         // server/ 整目录：main.ts / app.module.ts / common/ / modules/view/ 等（fullstack 必需）
         { type: 'directory', from: 'server', to: 'server', overwrite: true },
-        // nest-cli.json：nest build 入口
+        // nest-cli.json：整文件采用当前 fullstack template，除 Nest build 入口外还必须带上
+        // compilerOptions.builder.type=swc 及配套 typeCheck/options。若这里只保留旧的空配置
+        // 或字段级残缺合并，即使 package.json 已补齐 SWC 依赖，Nest 仍会回退到 TSC 构建。
         { type: 'file', from: 'nest-cli.json', to: 'nest-cli.json', overwrite: true },
         // tsconfig.* —— vite-react 时代 tsconfig 配 include: ["src"]，迁完代码搬到 client/src，
         // include 路径不对 + 老 tsconfig.app 还 extends @lark-apaas/coding-presets-react；
@@ -272,6 +275,14 @@ exports.MIGRATE_CONFIG = {
                 // nest start / nest build 必需
                 '@nestjs/cli',
                 '@nestjs/testing',
+                // nest-cli.json 会被上面的 file rule 覆盖成 builder.type=swc。Nest CLI 只负责
+                // 调度 builder，不会自带 SWC 可执行入口和 native compiler；两者必须一起从
+                // 当前目标模板取版本写入迁移后 package.json。若漏掉，前端应用升级成全栈后
+                // 配置已经选择 SWC，但全新的依赖安装树里找不到 @swc/cli/@swc/core，冷启动和
+                // nest build 会失败；开发机旧 node_modules 偶然残留 SWC 时还可能掩盖该问题。
+                // 这里不硬编码版本，保持升级应用与同版本新建全栈应用使用完全相同的 SWC 组合。
+                '@swc/cli',
+                '@swc/core',
                 // server ts 编译
                 'ts-node',
                 '@types/express',

package/dist/config/sync-configs/index.js

@@ -23,13 +23,15 @@ const node_fs_1 = __importDefault(require("node:fs"));
 const node_path_1 = __importDefault(require("node:path"));
 const nestjs_react_fullstack_1 = __importDefault(require("./nestjs-react-fullstack"));
 const design_stack_1 = __importDefault(require("./design-stack"));
+const vite_react_1 = __importDefault(require("./vite-react"));
 /**
- * 已纳入新 sync 机制的 stack 注册表。未在表里的 stack（如老 vite-react / html）走旧的
+ * 已纳入新 sync 机制的 stack 注册表。未在表里的 stack（如 html / design-html）走旧的
  * `upgrade/templates/<stack>/{files,patches}` 机制，由 sync handler 兜底。
  */
 const STACK_REGISTRY = {
     'nestjs-react-fullstack': nestjs_react_fullstack_1.default,
     'design-stack': design_stack_1.default,
+    'vite-react': vite_react_1.default,
 };
 /** 返回该 stack 的 SyncConfig；表里没有时返回 null。 */
 function getSyncConfig(stack) {

package/dist/config/sync-configs/nestjs-react-fullstack.js

@@ -159,6 +159,12 @@ exports.SYNC_CONFIG = {
             to: `npx -y ${fullstack_cli_pin_1.FULLSTACK_CLI_PIN_SPEC} sync --disable-gen-openapi`,
             ifStartsWith: 'npx -y @lark-apaas/fullstack-cli sync',
         },
+        // MCP UI 使用独立浏览器配置；只补服务端排除项，不生成 UI 目录和配置。
+        {
+            type: 'typescript-exclude',
+            to: 'tsconfig.node.json',
+            path: 'server/mcp/ui',
+        },
         // ===== miaoda-cli 本地开发新增规则（fullstack-cli sync 不会执行） =====
         // M1. scripts.dev:local —— 本地用户绕过沙箱判定直接跑本地链路（npm run dev:local）。
         //     dev.sh 在 MIAODA_DEP_CACHE_DIR 非空时跑 dev.js（沙箱保活）、否则 exec dev-local.js；显式 dev:local

package/dist/config/sync-configs/vite-react.js

@@ -0,0 +1,20 @@
+"use strict";
+/**
+ * vite-react sync 规则（镜像 fullstack-cli 的 viteReactProfile）：只同步 build.sh 一支，
+ * 回溯 public/* → dist/output/ 修复。
+ * ⚠️ build.sh 源须与 miaoda-coding 模板、fullstack-cli `templates/vite-react/build.sh` 逐字一致。
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.SYNC_CONFIG = void 0;
+exports.SYNC_CONFIG = {
+    sync: [
+        // 覆盖 scripts/build.sh：回溯 public/* → dist/output/（同源根 /app/<appId>/*）修复
+        {
+            type: 'file',
+            from: 'scripts/build.sh',
+            to: 'scripts/build.sh',
+            overwrite: true,
+        },
+    ],
+};
+exports.default = exports.SYNC_CONFIG;

package/dist/services/app/init/async-install.js

@@ -11,13 +11,24 @@ const node_fs_1 = __importDefault(require("node:fs"));
 const node_path_1 = __importDefault(require("node:path"));
 const env_1 = require("../../../utils/env");
 const install_1 = require("./install");
-/** event marker 目录，写死；写前 mkdir -p。沙箱里 code server 轮询此目录。 */
+/**
+ * event marker 目录，写死 `/tmp/event`；写前 mkdir -p。沙箱里 code server 轮询此目录，
+ * 路径是与平台约定的契约，**不能换成 os.tmpdir()**。所有读写它的代码路径都被
+ * isSandboxEnv() 守着（沙箱恒为 Linux），非沙箱环境不会碰。
+ */
 const EVENT_DIR = '/tmp/event';
 /** 安装成功 marker 名 */
 const MARKER_READY = 'WORKSPACE_READY';
 /** 安装失败 marker 名 */
 const MARKER_FAILED = 'WORKSPACE_FAILED';
-/** 后台 worker stdout/stderr 落盘路径 */
+/**
+ * 后台 worker stdout/stderr 落盘路径，写死 `/tmp/...`。
+ *
+ * 刻意**不**换成 `os.tmpdir()`：这个路径已经是对外契约 —— 写在 async-install 设计
+ * spec 里、`app init` 的 help 文案里、失败 marker 的 `logPath` 字段里，用户与平台
+ * 都按它 cat 日志。Windows 上 Node 会把 `/tmp` 解析到当前盘符根下的 `\tmp\`，
+ * 目录可写、内容可读，功能不受影响，不值得为此破坏契约。
+ */
 exports.ASYNC_INSTALL_LOG = '/tmp/async_install_dep.std.log';
 function nowIso() {
     return new Date().toISOString();

package/dist/services/app/init/install.js

@@ -5,12 +5,13 @@ var __importDefault = (this && this.__importDefault) || function (mod) {
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.installDependencies = installDependencies;
 exports.resolveNpmInstallRegistry = resolveNpmInstallRegistry;
-const node_child_process_1 = require("node:child_process");
 const node_crypto_1 = __importDefault(require("node:crypto"));
 const node_fs_1 = __importDefault(require("node:fs"));
 const node_path_1 = __importDefault(require("node:path"));
+const archive_1 = require("../../../utils/archive");
 const error_1 = require("../../../utils/error");
 const logger_1 = require("../../../utils/logger");
+const run_npm_1 = require("../../../utils/run-npm");
 const DEP_CACHE_ENV = 'MIAODA_DEP_CACHE_DIR';
 /**
  * 依赖安装。
@@ -94,7 +95,7 @@ function md5File(filePath) {
 }
 function extractZip(zipPath, targetDir, stdio) {
     try {
-        (0, node_child_process_1.execFileSync)('unzip', ['-q', '-o', zipPath, '-d', targetDir], { stdio });
+        (0, archive_1.extractZip)(zipPath, targetDir, { stdio });
     }
     catch (err) {
         const msg = err instanceof Error ? err.message : String(err);
@@ -129,5 +130,5 @@ function runNpmInstall(targetDir, stdio, extraPackages) {
         args.push(...extraPackages);
     }
     (0, logger_1.log)('init', `npm ${args.join(' ')} in ${targetDir}...`);
-    (0, node_child_process_1.execFileSync)('npm', args, { cwd: targetDir, stdio });
+    (0, run_npm_1.execNpmSync)(args, { cwd: targetDir, stdio });
 }

package/dist/services/deploy/modern/atoms/build.js

@@ -1,9 +1,9 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.runBuild = runBuild;
-const node_child_process_1 = require("node:child_process");
 const error_1 = require("../../../../utils/error");
 const logger_1 = require("../../../../utils/logger");
+const run_npm_1 = require("../../../../utils/run-npm");
 const protocol_1 = require("../protocol");
 /**
  * 给 RESOURCE_CDN_PREFIX 补 https:// 协议头：
@@ -33,7 +33,7 @@ function ensureHttpsScheme(v) {
  * 是 runtime 同域相对路径（例如 /app/<appId>/runtime/api/v1/storage/object/<bucket>/），
  * 不补 https scheme，原样注入。顶层 static_cdn_prefix 不再下发。
  *
- * build 失败抛 AppError（execSync 自身会 throw，捕获后包一层加错误码）。
+ * build 失败抛 AppError（execNpmSync 自身会 throw，捕获后包一层加错误码）。
  */
 function runBuild(opts) {
     const staticCred = (0, protocol_1.parsePaasStorageCredential)((0, protocol_1.requireDataKey)(opts.data, protocol_1.DataKey.OUTPUT_STATIC_PAAS_STORAGE_CREDENTIAL), protocol_1.DataKey.OUTPUT_STATIC_PAAS_STORAGE_CREDENTIAL);
@@ -47,7 +47,7 @@ function runBuild(opts) {
     };
     (0, logger_1.log)('deploy', 'Building...');
     try {
-        (0, node_child_process_1.execSync)('npm run build', {
+        (0, run_npm_1.execNpmSync)(['run', 'build'], {
             cwd: opts.projectDir,
             stdio: 'inherit',
             env: buildEnv,

package/dist/services/deploy/modern/atoms/local-release.js

@@ -16,6 +16,9 @@ async function createLocalRelease(appId, version, extra) {
         version,
         checkPointVersion: extra?.checkPointVersion,
         commitID: extra?.commitID,
+        sessionID: extra?.sessionID,
+        description: extra?.marker,
+        versionLevel: extra?.versionLevel,
     });
 }
 /**

package/dist/services/deploy/modern/atoms/tosutil.js

@@ -18,15 +18,13 @@ const node_path_1 = __importDefault(require("node:path"));
 const node_child_process_1 = require("node:child_process");
 const error_1 = require("../../../../utils/error");
 const logger_1 = require("../../../../utils/logger");
+const which_1 = require("../../../../utils/which");
 function resolveTosutilPath() {
-    try {
-        const resolved = (0, node_child_process_1.execFileSync)('which', ['tosutil'], { encoding: 'utf-8' }).trim();
-        if (resolved)
-            return resolved;
-    }
-    catch {
-        /* fallthrough */
-    }
+    // 用 whichSync 而不是 shell out `which`：Windows 上没有 `which`（对应 `where`），
+    // 且查 PATH 本身不需要子进程。
+    const resolved = (0, which_1.whichSync)('tosutil');
+    if (resolved !== undefined)
+        return resolved;
     throw new error_1.AppError('DEPLOY_TOSUTIL_MISSING', 'tosutil is not installed or not in PATH. modern deploy requires sandbox preinstalled tosutil.');
 }
 function tosutilUploadFromTos(cred) {

package/dist/services/deploy/modern/patch/actions.js

@@ -3,6 +3,7 @@ var __importDefault = (this && this.__importDefault) || function (mod) {
     return (mod && mod.__esModule) ? mod : { "default": mod };
 };
 Object.defineProperty(exports, "__esModule", { value: true });
+exports.normalizeRel = normalizeRel;
 exports.buildTosActions = buildTosActions;
 const node_fs_1 = __importDefault(require("node:fs"));
 const node_path_1 = __importDefault(require("node:path"));
@@ -10,7 +11,12 @@ const error_1 = require("../../../../utils/error");
 const index_1 = require("../../../../api/deploy/index");
 const content_1 = require("./content");
 const routes_1 = require("./routes");
-/** 校验相对路径：禁绝对路径、禁含 ".." 段；normalize 成 posix 相对。 */
+/**
+ * 校验相对路径：禁绝对路径、禁含 ".." 段；normalize 成 posix 相对。
+ *
+ * 导出供 `deploy` 的 `--create` / `--update` / `--delete` 复用同一套校验，
+ * 让两条链路对「变更文件」的接受范围一致，避免两处实现漂移。
+ */
 function normalizeRel(rel) {
     if (node_path_1.default.isAbsolute(rel) || rel.startsWith('/')) {
         throw new error_1.AppError('ARGS_INVALID', `文件路径不能是绝对路径：${rel}`);

package/dist/services/deploy/modern/patch/index.js

@@ -1,6 +1,6 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.buildTosActions = void 0;
+exports.normalizeRel = exports.buildTosActions = void 0;
 exports.patchDesignDeploy = patchDesignDeploy;
 const spark_meta_1 = require("../../../../utils/spark-meta");
 const error_1 = require("../../../../utils/error");
@@ -10,6 +10,7 @@ const template_key_map_1 = require("../template-key-map");
 const actions_1 = require("./actions");
 var actions_2 = require("./actions");
 Object.defineProperty(exports, "buildTosActions", { enumerable: true, get: function () { return actions_2.buildTosActions; } });
+Object.defineProperty(exports, "normalizeRel", { enumerable: true, get: function () { return actions_2.normalizeRel; } });
 /**
  * design-html 增量发布：读本地文件组 TosFileAction（改动含 .html 时带重算的
  * routes.json），调后端 applyTosDiff 应用到 latest。scope 限 design_local_deploy。

package/dist/services/deploy/modern/pipelines/design-local.js

@@ -28,7 +28,13 @@ async function designLocalPublishPipeline(opts) {
             skipRelease: opts.skipRelease ?? false,
             appId: ctx.appId,
             version: pre.version,
-            extra: { checkPointVersion: opts.checkPointVersion, commitID: opts.commitID },
+            extra: {
+                checkPointVersion: opts.checkPointVersion,
+                commitID: opts.commitID,
+                sessionID: opts.sessionID,
+                marker: opts.marker,
+                versionLevel: opts.versionLevel,
+            },
         });
         try {
             await (0, index_1.uploadDesignArtifacts)({ projectDir: ctx.projectDir, data });

package/dist/services/deploy/modern/pipelines/local.js

@@ -45,7 +45,13 @@ async function localBuildLocalPublishPipeline(opts) {
         skipRelease: opts.skipRelease ?? false,
         appId: ctx.appId,
         version: pre.version,
-        extra: { checkPointVersion: opts.checkPointVersion, commitID: opts.commitID },
+        extra: {
+            checkPointVersion: opts.checkPointVersion,
+            commitID: opts.commitID,
+            sessionID: opts.sessionID,
+            marker: opts.marker,
+            versionLevel: opts.versionLevel,
+        },
     });
     try {
         (0, logger_1.log)('deploy', 'Uploading artifacts...');

package/dist/utils/archive.js

@@ -0,0 +1,103 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.resetArchiveProbeCache = resetArchiveProbeCache;
+exports.extractTarGz = extractTarGz;
+exports.extractZip = extractZip;
+const node_child_process_1 = require("node:child_process");
+const error_1 = require("../utils/error");
+const logger_1 = require("../utils/logger");
+const which_1 = require("../utils/which");
+/**
+ * 归档解压的跨平台入口 —— 仓库内所有解压必须走这里，禁止再裸写
+ * `execFileSync('unzip', ...)` / `execSync('tar -xzf ...')`。
+ *
+ * 平台差异：
+ *   - `tar`：Linux（GNU tar）、macOS（bsdtar）、Windows 10 1803+（内置 bsdtar）都有，
+ *     且都支持 `-xzf` 解 .tar.gz，所以 tar.gz 一条路走到底。
+ *   - `unzip`：Linux / macOS 常见，**Windows 完全没有**。但 bsdtar 能解 zip，
+ *     所以 zip 走 `unzip → tar` 两级探测：Linux 命中 unzip，Windows 命中 tar。
+ *     （GNU tar 不支持 zip，所以顺序不能反 —— Linux 上必须优先 unzip。）
+ *
+ * 一律用 execFileSync 传参数数组、不过 shell：路径含空格 / 中文 / `&` 时，
+ * 拼字符串交给 cmd.exe 或 sh 重新分词的行为在各平台不一致，且是注入面。
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * 为什么**不**换成纯 JS 解压库（adm-zip / yauzl / node-tar）—— 别再尝试了：
+ *
+ * `extractZip` 的主要用途是解依赖缓存 zip（`MIAODA_DEP_CACHE_DIR`），内容是整个
+ * `node_modules/`。实测对比同一个 zip：
+ *
+ *   |          | Unix mode      | 软链                 |
+ *   | unzip    | 755 保留        | 保留                 |
+ *   | adm-zip  | 666（执行位丢） | 被当普通文件解开      |
+ *
+ * `node_modules/.bin/*` 既需要执行位、又大量是软链 —— 用 adm-zip 解出来的缓存，
+ * 沙箱里 `npm run dev` 会直接挂。yauzl 更低层，mode 得自己从
+ * `externalFileAttributes` 还原、软链也要自己判，等于把 unzip 重写一遍。
+ *
+ * node-tar 倒是保权限 + 软链（npm 自己用它装包），但装出来 2.9MB、连传递依赖
+ * +3.7MB —— 而本仓生产依赖总共才 1.7MB，翻 3 倍多。CLI 是 `npx -y` 拉起的
+ * （模板 `scripts/dev.sh` 每次本地启动都会跑 `app sync`），冷启动下载量直接可感。
+ * 外部 tar 在 Linux / macOS / Windows 10 1803+ 都有，不值得为此付这个代价。
+ * ─────────────────────────────────────────────────────────────────────────────
+ */
+/** tar 可用性探测结果缓存（单次 CLI 执行期内 PATH 不变） */
+let tarAvailable;
+let unzipAvailable;
+function hasTar() {
+    tarAvailable ??= (0, which_1.whichSync)('tar') !== undefined;
+    return tarAvailable;
+}
+function hasUnzip() {
+    unzipAvailable ??= (0, which_1.whichSync)('unzip') !== undefined;
+    return unzipAvailable;
+}
+/** 仅测试用：清掉可用性探测缓存 */
+function resetArchiveProbeCache() {
+    tarAvailable = undefined;
+    unzipAvailable = undefined;
+}
+/**
+ * 解 .tar.gz / .tgz 到 `destDir`（须已存在）。失败抛 `INTERNAL_EXTRACT_FAILED`。
+ */
+function extractTarGz(archivePath, destDir, options = {}) {
+    if (!hasTar()) {
+        throw new error_1.AppError('INTERNAL_EXTRACT_FAILED', `解压 ${archivePath} 需要 tar，但当前环境 PATH 中找不到`, {
+            next_actions: [
+                'Linux/macOS：安装 tar（通常已内置）',
+                'Windows：升级到 Windows 10 1803+（内置 tar），或安装 Git for Windows 并把其 usr/bin 加入 PATH',
+            ],
+        });
+    }
+    (0, logger_1.debug)(`archive: tar -xzf ${archivePath} -C ${destDir}`);
+    (0, node_child_process_1.execFileSync)('tar', ['-xzf', archivePath, '-C', destDir], {
+        stdio: ['ignore', 'pipe', 'pipe'],
+        ...options,
+    });
+}
+/**
+ * 解 .zip 到 `destDir`（须已存在），同名文件覆盖。失败抛 `INTERNAL_EXTRACT_FAILED`。
+ *
+ * unzip 优先（Linux 上唯一可用项），退化到 bsdtar（Windows 上唯一可用项）。
+ */
+function extractZip(archivePath, destDir, options = {}) {
+    const stdio = ['ignore', 'pipe', 'pipe'];
+    if (hasUnzip()) {
+        (0, logger_1.debug)(`archive: unzip -q -o ${archivePath} -d ${destDir}`);
+        (0, node_child_process_1.execFileSync)('unzip', ['-q', '-o', archivePath, '-d', destDir], { stdio, ...options });
+        return;
+    }
+    if (hasTar()) {
+        // bsdtar 按后缀自动识别 zip，故用 -xf 而非 -xzf（zip 不是 gzip 流）。
+        // 覆盖行为与 `unzip -o` 一致：tar 默认覆盖已存在文件。
+        (0, logger_1.debug)(`archive: tar -xf ${archivePath} -C ${destDir}（unzip 不可用，走 bsdtar）`);
+        (0, node_child_process_1.execFileSync)('tar', ['-xf', archivePath, '-C', destDir], { stdio, ...options });
+        return;
+    }
+    throw new error_1.AppError('INTERNAL_EXTRACT_FAILED', `解压 ${archivePath} 需要 unzip 或 tar，但当前环境 PATH 中两者都找不到`, {
+        next_actions: [
+            'Linux：apt-get install unzip / yum install unzip',
+            'Windows：升级到 Windows 10 1803+（内置 tar 可解 zip）',
+        ],
+    });
+}