@marsken/dsh-studio 0.1.3 → 0.1.4

package/AGENTS.md

@@ -7,7 +7,7 @@
 | 路径 | 是什么 | 谁能改 |
 | --- | --- | --- |
 | `index.js` | 宿主半边：`apply(ctx)`、39 个 `studio_*` 工具、`/studio-api/*` 路由、SQLite 存储、派单引擎、门禁 | ✅ 直接改 |
-| `src/host/*.js` | 宿主层模块：`cases.js`（跨卡用例聚合与回归汇总：`collectCases` / `groupCaseKeys` / `summarizeRun`，纯函数）、`team-memory.js`（专家团的团级记忆，存 side 键）、`quality.js`（AI 质量：返工识别与按专家汇总，纯函数）、`gitlab-facts.js`（执行记录 vs MR 事实的对账，纯函数）、`impact.js`（需求改版的影响面：受影响的卡与要重跑的用例，纯函数）、`design.js`（设计评审记录与进开发前的闸门，纯函数）、`shell-runner.js`（shell 用例执行器，默认关闭）、`shell-case.js`（shell 用例的数据形状，纯函数）、`domain.js`（板列/数据形状/`sanitize*`/默认配置，纯函数）、`dispatcher.js`（派单引擎）、`executor.js`（用例执行、代码事实核对、健康检查）、`store.js`（`StudioStore`/`SecretStore`：SQLite 台账 + 快照 + 登录会话）、`integrations.js`（GitLab / 飞书 / 平台健康）、`routes/*.js`（按前缀拆出的 HTTP 处理：`exports.js` 导出 CSV、`auth.js` 统一登录、`tasks.js` 卡片/专家/列、`requirements.js` 需求/文档/公开提单、`releases.js` 版本/灰度/部署、`insights.js` 指标与工作台、`skills.js` 技能库读写上传、`admin.js` 配置/权限成员/审计/快照、`connect.js` 市场/集成健康/GitLab/仓库/飞书、`agents.js` 派单运行态与起停、`coding.js` 执行记录/失败重试/worktree/项目配置、`tools.js` 39 个 `studio_*` 工具） | ✅ 直接改，新逻辑优先放这里 |
+| `src/host/*.js` | 宿主层模块：`cases.js`（跨卡用例聚合与回归汇总：`collectCases` / `groupCaseKeys` / `summarizeRun`，纯函数）、`team-memory.js`（专家团的团级记忆，存 side 键）、`quality.js`（AI 质量：返工识别与按专家汇总，纯函数）、`gitlab-facts.js`（执行记录 vs MR 事实的对账，纯函数）、`impact.js`（需求改版的影响面：受影响的卡与要重跑的用例，纯函数）、`design.js`（设计评审记录与进开发前的闸门，纯函数）、`shell-runner.js`（shell 用例执行器，默认关闭）、`shell-case.js`（shell 用例的数据形状，纯函数）、`runners.js`（用例执行器注册表：match + run，加新执行方式不用动 runOneCase）、`limits.js`（数量上限的默认值与清洗，可配置）、`db-runner.js`（SQLite 用例执行器与数据形状，默认关闭）、`events.js`（进程内事件总线，同步扇出）、`webhooks.js`（事件 → 出站 webhook，失败不重试）、`domain.js`（板列/数据形状/`sanitize*`/默认配置，纯函数）、`dispatcher.js`（派单引擎）、`executor.js`（用例执行、代码事实核对、健康检查）、`store.js`（`StudioStore`/`SecretStore`：SQLite 台账 + 快照 + 登录会话）、`integrations.js`（GitLab / 飞书 / 平台健康）、`routes/*.js`（按前缀拆出的 HTTP 处理：`exports.js` 导出 CSV、`auth.js` 统一登录、`tasks.js` 卡片/专家/列、`requirements.js` 需求/文档/公开提单、`releases.js` 版本/灰度/部署、`insights.js` 指标与工作台、`skills.js` 技能库读写上传、`admin.js` 配置/权限成员/审计/快照、`connect.js` 市场/集成健康/GitLab/仓库/飞书、`agents.js` 派单运行态与起停、`coding.js` 执行记录/失败重试/worktree/项目配置、`tools.js` 39 个 `studio_*` 工具） | ✅ 直接改，新逻辑优先放这里 |
 | `client.src.js` | 浏览器半边的手写源码（通过 `window.__ModuleLoader__` 注册面板） | ✅ 直接改（前端逻辑） |
 | `web/src/**` | shadcn/Radix 组件、样式、`legacy.js` 桥；`web/src/studio/*.js` 是从 `client.src.js` 抬出来的纯模块（`markdown.js` 渲染器、`format.js` 日期格式、`labels.js` 标签表、`roster.js` 负责人与候选人、`fields.js` 表单适配层、`shell.js` 共享抽屉、`card.js` 看板卡片、`board.js` 看板本体、`mentions.js` @ 选择器、`cases.js` 多步用例解析、`drawer.js` 卡片详情抽屉、`editor.js` 通用编辑器、`palette.js` 命令面板（⌘K 全局搜索卡片/需求/版本/专家/专家团/项目/技能 + 动作项 + Ctrl/⌘+Alt+Shift+N/T/D 全局快捷键；带 Shift 是为了避开宿主的 Ctrl+Alt+N 新会话）、`charts.js` 进度条与燃尽图、`context.js` 共享上下文（`provideClient`/`client`）、`panels/*.js` 设置页 17 个面板、`pages/*.js` 六个页面组件（看板之外的工作台/需求/用例/版本/效能/自助提单）；**`StudioPage` 是组合根，故意留在 `client.src.js`**，它负责顶栏、页签与「＋ 新建」菜单并调用 `provideClient()`，别为了行数把它搬走），由 `make-legacy` 生成的 `legacy.js` 顶部统一 import | ✅ 直接改（样式与组件） |
 | `dist/client.js` | `pnpm build` 的产物（单文件 IIFE，注意在仓库根 `dist/`，不是 `web/dist/`） | ❌ 生成物 |

package/README.md

@@ -327,6 +327,54 @@ sudo systemctl restart dsh-web
 | `expectContains` / `expectNotContains` | 输出里必须出现 / 不能出现的内容 |
 
 两个入口：卡片抽屉用例区的 **「＋ shell」**（命令 + 期望输出两步录入），或调 `POST /studio-api/task/case` 直接写 `shell: { … }`。
+## 数据库用例（默认关闭）
+
+第三种执行方式：对着一个 SQLite 库跑一条语句，断言行数与首行某列的值。适合「库存不能被扣成负数」这类只有查库才能确认的验收。
+
+**打开方式**：设置 → 测试执行 → 打开「允许数据库用例」（`config.testing.allowDb`）。默认**只读**打开，要写入必须显式 `readOnly: false`。
+
+```json
+{ "title": "库存不能超卖", "db": {
+  "file": "/tmp/test.db",
+  "sql": "select count(*) as n from orders where stock < 0",
+  "expectRows": 1, "expectColumn": "n", "expectValue": "0" } }
+```
+
+| 字段 | 作用 |
+| --- | --- |
+| `file` / `sql` | 必填；库文件路径与语句 |
+| `params` | 绑定参数（`?` 占位） |
+| `expectRows` | 期望行数；不填不校验 |
+| `expectColumn` + `expectValue` | 校验首行某一列的值 |
+| `readOnly` | 默认 `true`；要改数据才设 `false` |
+
+## 出站 webhook（把变化告诉外部系统）
+
+卡片流转、用例失败、派单失败都会发事件，配了 webhook 就 POST 出去：
+
+```json
+{ "webhooks": [{ "id": "ci", "url": "https://ci.example/hook",
+  "events": ["task/moved", "case/failed"], "enabled": true }] }
+```
+
+事件长这样：
+
+```json
+{ "type": "task/moved", "at": 1794585755429,
+  "payload": { "taskId": "t-…", "from": "clarify", "to": "accept", "by": "agent" } }
+```
+
+约定三条：**调用方不重试**（外部抖动是常态，事件本身已进台账）、**5 秒超时**、**订阅者之间互不影响**（一个 hook 抛错不影响其它 hook，也不影响正在写库的请求）。
+
+## 数量上限（可配）
+
+以前写死在路由里：一张卡 60 条用例、一次批量跑 60 条、一张卡 40 个交付物——**超了静默丢**。现在读配置，超了会明确报错（套件回归仍然继续跑，但会标记 `truncated`）：
+
+```json
+{ "limits": { "casesPerTask": 60, "runKeys": 60, "artifactsPerTask": 40 } }
+```
+
+范围 1–500，写非法值会退回默认。
 ## 用例自动生成（从功能点长出来，不是凭空写）
 
 测试用例不用一条条手敲：需求拆了功能点、每个功能点带验收条件，平台就能照着生成。

package/docs/compatibility.md

@@ -6,7 +6,7 @@
 
 | 项 | 值 |
 | --- | --- |
-| dsh-studio | `package.json` `version: 0.1.3` |
+| dsh-studio | `package.json` `version: 0.1.4` |
 | DeepSeek Harness | `0.2.2-rc.1`（`dsh --version`） |
 | Node | `v24.22.2`（Linux 目标机）；本机 Windows `v24.19.0` |
 | 目标系统 | Ubuntu 24.04，`dsh web` 监听 `18080`，nginx `:80` 反代并注入 `dsh-auth-*` cookie |

package/docs/publish.md

@@ -127,6 +127,7 @@ token 只写进临时 npmrc（放在仓库外或 `tmp/` 且不提交），发完
 | --- | --- | --- |
 | `0.1.0` | 2026-11-13 | 首个公开版：看板 / 需求 / 用例回归 / 效能 / 设计评审四期 |
 | `0.1.1` | 2026-11-13 | 补三张 README 截图（npm 页可看图）；默认值与文档去掉公司内网信息 |
+| `0.1.4` | 2026-11-14 | SQLite 用例、出站 webhook、可配置上限、执行器注册表 |
 | `0.1.3` | 2026-11-13 | shell 用例（命令 + 退出码/输出断言，默认关闭） |
 | `0.1.2` | 2026-11-13 | 修 5 个缺陷：卡片挂不上 MR、换列清空负责人、三处静默截断、还原度无历史、规范体检不定位元素 |
 

package/index.js

@@ -29,6 +29,8 @@ export const inject = ['tools', 'systemPrompt']
 
 import { ACCESS_ROLE_LABEL, ACCESS_ROLES, ADMIN_ROUTES, ARTIFACT_KINDS, ARTIFACT_STATUS, CASE_HTTP_METHODS, CASE_PRIORITIES, CASE_RESULTS, CASE_TYPE_LABEL, CASE_TYPES, cleanId, CODE_PREFIX, CODING_FILE_CHANGES, CODING_REVIEW_STATUS, codingSummary, COLUMN_STRATEGIES, DEFAULT_ROLES, defaultColumns, defaultConfig, defaultDeployEnvs, defaultTemplates, DEPLOY_ENV_KINDS, FALLBACK_AGENT_MODEL, hashLocalPassword, INTAKE_HTML, ISOLATION_MODES, LEGACY_BLOCKED_STATUS, LEVEL_RANK, LOCAL_DEFAULT_PASSWORD, mergeCoding, mergeConfig, mergeSection, MINE_HTML, nextRequirementCode, nextTaskCode, normalizePatch, normalizeStrategy, publicArtifact, publicCases, publicChecklist, publicComments, PRIORITIES, ROLE_LABELS, canonicalAuthor, RELEASE_STATUSES, RELEASE_STATUS_LABEL, REQ_DOC_KIND_LABEL, REQ_DOC_KINDS, REQ_DOC_STATUS, REQ_REVIEW_LABEL, REQ_REVIEW_STATUS, REQ_STATUS_LABEL, REQ_STATUSES, ROLE_IDS, ROLE_LEVEL, SANDBOX_MODES, sanitizeAcceptanceItem, sanitizeAccess, sanitizeAllowHosts, sanitizeArtifact, sanitizeArtifacts, sanitizeBaseline, sanitizeBots, sanitizeBugSource, sanitizeCase, sanitizeCaseHttp, sanitizeCaseRun, sanitizeCases, sanitizeChangedFile, sanitizeChangedFiles, sanitizeChecklist, sanitizeChecklistItem, sanitizeCoding, sanitizeColumns, sanitizeCommit, sanitizeCommits, sanitizeCosts, sanitizeDeployEnvs, sanitizeEnvs, sanitizeExperts, sanitizeIterations, sanitizeLdap, sanitizeLocalAuth, sanitizeProjects, sanitizeReqDoc, sanitizeReqDocs, sanitizeRelease, sanitizeRequirement, sanitizeRequirementChange, sanitizeRequirementHistory, sanitizeRequirementPoint, sanitizeRequirementPoints, sanitizeRequirementPool, sanitizeRequirementQuestions, sanitizeRequirementReview, sanitizeRequirements, sanitizeServices, sanitizeSla, sanitizeTeams, sanitizeTemplates, sanitizeTesting, sanitizeTestRun, sanitizeTestRuns, sanitizeUsers, sanitizeWorkProjects, seedExperts, SEVERITIES, STATUS_HTML, STATUS_IDS, STATUS_SET, STATUSES, TASK_TYPES, text, verifyLocalPassword, worktreeRoot } from './src/host/domain.js'
 import { Dispatcher, RUN_LOG, attachRunLog, claimDispatchLock, clearAgentFailure, configureDispatcher, noteAgentFailure, parseMentions, runSummary } from './src/host/dispatcher.js'
+import { sanitizeLimits } from './src/host/limits.js'
+import { attachWebhooks, sanitizeWebhooks } from './src/host/webhooks.js'
 import { buildDashboard, codingVerifyLine, commentTask, configureExecutor, ensureReqFolder, larkCliReady, invalidateLarkProbe, larkProbeCache, mutateReqDoc, probeEnv, pullFeishuDoc, requirementGate, requirementMatrix, requirementProgress, requirementRollup, runCommand, runSuite, runTaskCases, saveRequirement, syncArtifact, syncRequirementArtifacts, taskExitGate, updateTask, verifyCodingRecord } from './src/host/executor.js'
 import { configureAuthRoutes, handleAuthRoute } from './src/host/routes/auth.js'
 import { configureExportRoutes, handleExportRoute } from './src/host/routes/exports.js'
@@ -481,6 +483,8 @@ function publicConfig(config) {
     access: config.access,
     sla: config.sla,
     design: config.design,
+    limits: config.limits,
+    webhooks: config.webhooks,
     costs: config.costs,
     /** 部署环境：只用于登记「版本上过哪个环境」，不触发部署。 */
     environments: config.environments ?? defaultDeployEnvs(),
@@ -1150,6 +1154,8 @@ async function applyConfig(store, patch) {
       if (typeof f.escalateWebhook === 'string') config.feishu.escalateWebhook = f.escalateWebhook.trim().slice(0, 500)
       if (Number.isFinite(Number(f.escalateAfter))) config.feishu.escalateAfter = Math.max(1, Math.min(Math.round(Number(f.escalateAfter)), 20))
     }
+    if (patch.limits !== undefined) config.limits = sanitizeLimits({ ...config.limits, ...(patch.limits ?? {}) })
+    if (patch.webhooks !== undefined) config.webhooks = sanitizeWebhooks(patch.webhooks)
     if (patch.design !== undefined) {
       const next = { ...config.design, ...(patch.design ?? {}) }
       config.design = {
@@ -2539,6 +2545,8 @@ export function apply(ctx) {
   activeStore = store
   // 派单日志落盘：重启后「按专家看质量」的派单量与耗时还在。
   attachRunLog(store)
+  // 事件 → 出站 webhook（卡片流转、用例失败、派单失败）
+  attachWebhooks(store)
   activeSkills = skills
 
   // 记住自己跑在哪个 profile：市场装卸与「profile xxx」展示都靠它。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@marsken/dsh-studio",
-  "version": "0.1.3",
+  "version": "0.1.4",
   "type": "module",
   "description": "DSH Studio: role-based multi-agent workspace (product / architect / developer / QA) with a live work board, GitLab + Feishu connection settings, all configurable from the web GUI.",
   "main": "index.js",

package/src/host/db-runner.js

@@ -0,0 +1,56 @@
+// SQLite 用例执行器：对着一个库跑一条语句，断言行数与首行某列的值。
+// 和 shell 一样**默认关闭**（config.testing.allowDb）——打开它等于把「读宿主上的任意库」交给看板；
+// 默认按只读打开，要写入必须显式 readOnly: false。
+import { DatabaseSync } from 'node:sqlite'
+
+/** 用例里的 db 字段：file + sql 必填，其余是断言。 */
+export function sanitizeDbCase(raw) {
+  if (raw === null || typeof raw !== 'object') return null
+  const file = String(raw.file ?? '').trim().slice(0, 400)
+  const sql = String(raw.sql ?? '').trim().slice(0, 2000)
+  if (file === '' || sql === '') return null
+  return {
+    file,
+    sql,
+    params: (Array.isArray(raw.params) ? raw.params : []).slice(0, 20).map(value => (typeof value === 'number' ? value : String(value ?? '').slice(0, 200))),
+    expectRows: Number.isInteger(Number(raw.expectRows)) ? Math.max(0, Number(raw.expectRows)) : null,
+    expectColumn: String(raw.expectColumn ?? '').slice(0, 60),
+    expectValue: raw.expectValue === undefined || raw.expectValue === null ? null : String(raw.expectValue).slice(0, 200),
+    readOnly: raw.readOnly !== false,
+  }
+}
+
+export async function runDbCase(item, config) {
+  const started = Date.now()
+  const spec = item.db
+  if (config?.testing?.allowDb !== true) {
+    return { ok: false, status: 0, ms: 0, error: '这台机器没开数据库用例：设置 → 测试执行 里打开「允许数据库用例」', preview: '' }
+  }
+  let database
+  try {
+    database = new DatabaseSync(spec.file, { readOnly: spec.readOnly })
+  } catch (error) {
+    return { ok: false, status: 0, ms: Date.now() - started, error: '打不开这个库：' + String(error?.message ?? error).slice(0, 200), preview: '' }
+  }
+  try {
+    const rows = database.prepare(spec.sql).all(...(spec.params ?? []))
+    const problems = []
+    if (spec.expectRows !== null && rows.length !== spec.expectRows) problems.push('行数 ' + rows.length + '（期望 ' + spec.expectRows + '）')
+    if (spec.expectColumn !== '' && spec.expectValue !== null) {
+      const first = rows[0] ?? {}
+      const actual = first[spec.expectColumn]
+      if (String(actual) !== spec.expectValue) problems.push('首行 ' + spec.expectColumn + ' = ' + String(actual) + '（期望 ' + spec.expectValue + '）')
+    }
+    return {
+      ok: problems.length === 0,
+      status: 200,
+      ms: Date.now() - started,
+      error: problems.join('；').slice(0, 300),
+      preview: JSON.stringify(rows.slice(0, 5)).slice(0, 600),
+    }
+  } catch (error) {
+    return { ok: false, status: 0, ms: Date.now() - started, error: '语句执行失败：' + String(error?.message ?? error).slice(0, 200), preview: '' }
+  } finally {
+    try { database.close() } catch { /* 已经关了 */ }
+  }
+}

package/src/host/domain.js

@@ -1,14 +1,9 @@
-/**
- * dsh-studio — domain layer.
- *
- * Board columns, card / requirement / release shapes, their sanitizers, the
- * default settings, and the code-number generators. Pure data and validation:
- * no filesystem, no host services, no HTTP. Everything here is unit-testable.
- *
- * @module dsh-studio/src/host/domain
- */
+/** dsh-studio 的领域层：板列、卡片/需求/发布的数据形状与清洗、默认配置、编号生成。纯函数，可单测。 */
 import { createHash, randomBytes } from 'node:crypto'
+import { sanitizeDbCase } from './db-runner.js'
+import { sanitizeWebhooks } from './webhooks.js'
 import { sanitizeCaseShell } from './shell-case.js'
+import { LIMIT_DEFAULTS, sanitizeLimits } from './limits.js'
 import { homedir } from 'node:os'
 import { dirname, join } from 'node:path'
 
@@ -212,6 +207,10 @@ export function defaultConfig() {
     templates: defaultTemplates(),
     gitlab: { url: '', token: '', group: '', project: '', syncEnabled: false, syncLabel: '', lastSyncAt: 0, lastSyncError: '', projects: [] },
     feishu: { appId: '', appSecret: '', chatId: '', baseToken: '', tableId: '', webhook: '', notifyOnChange: true, bots: [], driveFolder: 'IuJPfTCtWlDrzwdCFmLc71aynbg', autoSyncArtifacts: true, escalateWebhook: '', escalateAfter: 3 },
+    /** 出站 webhook：卡片流转/用例失败/派单失败推给外部系统。 */
+    webhooks: [],
+    /** 数量上限：以前是硬编码在路由里的 60/60/40，超了静默丢。 */
+    limits: { ...LIMIT_DEFAULTS },
     /** 设计评审闸门：打开后，卡进 columns 里的列之前设计必须 approved。 */
     design: { enabled: false, columns: ['dev'] },
     /** 成本闸门：只统计「跑了多少次、花了多少机上时间」，宿主没把 token 用量回传给插件。 */
@@ -438,6 +437,8 @@ export function mergeConfig(saved) {
     access: sanitizeAccess(saved.access),
     sla: sanitizeSla(saved.sla),
     costs: sanitizeCosts(saved.costs),
+    limits: sanitizeLimits(saved.limits),
+    webhooks: sanitizeWebhooks(saved.webhooks),
     // 设计闸门：加了这个键就必须在这里也列一遍，否则重启一次配置就被 mergeConfig 抹掉。
     design: (() => {
       const merged = { ...base.design, ...(saved.design !== null && typeof saved.design === 'object' ? saved.design : {}) }
@@ -1278,6 +1279,7 @@ export function sanitizeCase(raw, index) {
       at: 0,
       http: null,
       shell: null,
+      db: null,
       lastRun: null,
     }
   }
@@ -1291,6 +1293,7 @@ export function sanitizeCase(raw, index) {
     id: String(raw.id ?? '').trim() || `c${index + 1}-${randomBytes(2).toString('hex')}`,
     title,
     shell: sanitizeCaseShell(raw.shell),
+    db: sanitizeDbCase(raw.db),
     expected: String(raw.expected ?? '').trim().slice(0, 300),
     pointId: String(raw.pointId ?? '').trim().slice(0, 24),
     result,
@@ -1448,10 +1451,11 @@ export function sanitizeAllowHosts(input) {
 }
 
 /** 测试执行配置：环境、默认环境、超时、允许的域名。 */
+
 export function sanitizeTesting(raw) {
   // allowShell 默认关：开了等于把「在宿主机执行任意命令」的能力交给看板。
 
-  const base = { envs: [], defaultEnv: '', timeoutMs: 15000, allowHosts: ['127.0.0.1', 'localhost'], concurrency: 4, allowShell: false, shellCwd: '' }
+  const base = { envs: [], defaultEnv: '', timeoutMs: 15000, allowHosts: ['127.0.0.1', 'localhost'], concurrency: 4, allowShell: false, shellCwd: '', allowDb: false }
   if (raw === null || typeof raw !== 'object') return base
   const envs = sanitizeEnvs(raw.envs)
   const defaultEnv = String(raw.defaultEnv ?? '').trim()
@@ -1461,6 +1465,7 @@ export function sanitizeTesting(raw) {
     timeoutMs: Math.max(1000, Math.min(120000, Number(raw.timeoutMs) || base.timeoutMs)),
     allowHosts: sanitizeAllowHosts(raw.allowHosts ?? base.allowHosts),
     allowShell: raw.allowShell === true,
+    allowDb: raw.allowDb === true,
     shellCwd: String(raw.shellCwd ?? '').slice(0, 300),
     concurrency: Math.max(1, Math.min(8, Number(raw.concurrency) || base.concurrency)),
   }

package/src/host/events.js

@@ -0,0 +1,26 @@
+// 事件总线：平台内部发生的事，外面也应该能知道（CI 触发、IM 通知、工单同步）。
+// 订阅者可以注册任意多个；一个订阅者抛错不影响其它订阅者，也不影响主流程。
+const subscribers = []
+
+/** 订阅：返回取消订阅的函数。 */
+export function subscribe(handler) {
+  if (typeof handler !== 'function') throw new Error('subscribe 需要函数')
+  subscribers.push(handler)
+  return () => {
+    const at = subscribers.indexOf(handler)
+    if (at >= 0) subscribers.splice(at, 1)
+  }
+}
+
+/** 发事件：同步扇出，异常吞掉（订阅者的失败不该影响正在写库的请求）。 */
+export function emitEvent(type, payload = {}) {
+  const event = { type: String(type), at: Date.now(), payload }
+  for (const handler of subscribers) {
+    try { handler(event) } catch { /* 订阅者自己的事 */ }
+  }
+  return event
+}
+
+export function subscriberCount() {
+  return subscribers.length
+}

package/src/host/executor.js

@@ -8,6 +8,9 @@ import { casesOfTasks, impactSummary } from './impact.js'
 import { designGate } from './design.js'
 import { RUN_LOG, parseMentions } from './dispatcher.js'
 import { appendTeamMemory } from './team-memory.js'
+import { pickRunner, registerRunner } from './runners.js'
+import { runDbCase } from './db-runner.js'
+import { emitEvent } from './events.js'
 import { runShellCase } from './shell-runner.js'
 import { homedir } from 'node:os'
 import { join, resolve } from 'node:path'
@@ -182,9 +185,26 @@ export async function probeEnv(env, config, timeoutMs = 5000) {
   }
 }
 
+/**
+ * 跑一条用例：怎么跑由注册表决定（runners.js）。这里只负责挑 runner 和兜底报错，
+ * 以后加 DB / 浏览器执行器不用再改这个函数。
+ */
 export async function runOneCase(item, env, config, seedVars) {
+  const runner = pickRunner(item)
+  if (runner === null) {
+    return { ok: false, status: 0, ms: 0, error: '这条用例没有可执行的定义：http / shell 都是空的（先补一个再跑）', preview: '' }
+  }
+  return runner.run(item, env, config, seedVars)
+}
+
+// 内置两种执行器：http（打接口）与 shell（跑命令）。后面的类型用 registerRunner 往这里加。
+registerRunner('http', { match: item => item.http != null, run: (item, env, config, seedVars) => runHttpCase(item, env, config, seedVars) })
+// shell 后注册 = 匹配优先级更高：两条都填的时候按 shell 跑（它是显式选择）。
+registerRunner('shell', { match: item => item.shell != null, run: (item, env, config) => runShellCase(item, config) })
+registerRunner('db', { match: item => item.db != null, run: (item, env, config) => runDbCase(item, config) })
+
+async function runHttpCase(item, env, config, seedVars) {
   const started = Date.now()
-  if (item.shell !== null && item.shell !== undefined) return runShellCase(item, config)
   if (item.http == null) {
     return { ok: false, status: 0, ms: 0, error: '这条用例还没有可执行的请求定义（method/url）', preview: '' }
   }
@@ -1323,7 +1343,10 @@ export async function updateTask(store, id, patch) {
           }
         }
       }
-      if (previous !== task.status) moved = { from: previous, to: task.status, task: structuredClone(task), by, expertBefore }
+      if (previous !== task.status) {
+        moved = { from: previous, to: task.status, task: structuredClone(task), by, expertBefore }
+        emitEvent('task/moved', { taskId: task.id, code: task.code ?? '', title: task.title, from: previous, to: task.status, by, expert: task.expert ?? '' })
+      }
     }
     result = task
   })

package/src/host/limits.js

@@ -0,0 +1,19 @@
+// 数量上限：以前散在路由里硬编码（60 / 60 / 40），超了静默丢数据。
+// 拆出来一是可配置，二是不把 domain.js 撑过 2000 行闸门。
+
+export const LIMIT_DEFAULTS = { casesPerTask: 60, runKeys: 60, artifactsPerTask: 40 }
+
+export function sanitizeLimits(raw) {
+  const base = { casesPerTask: 60, runKeys: 60, artifactsPerTask: 40 }
+  if (raw === null || typeof raw !== 'object') return base
+  const pick = (value, fallback, max) => {
+    const number = Number(value)
+    if (!Number.isFinite(number) || number <= 0) return fallback
+    return Math.min(max, Math.max(1, Math.round(number)))
+  }
+  return {
+    casesPerTask: pick(raw.casesPerTask, base.casesPerTask, 500),
+    runKeys: pick(raw.runKeys, base.runKeys, 500),
+    artifactsPerTask: pick(raw.artifactsPerTask, base.artifactsPerTask, 500),
+  }
+}

package/src/host/routes/tasks.js

@@ -270,7 +270,8 @@ export async function handleTaskRoute({ method, route, req, res, store, url }) {
     const body = await host.readJsonBody(req)
     const allKeys = (Array.isArray(body.keys) ? body.keys : []).map(String).filter(key => key.length > 0)
     if (allKeys.length === 0) throw new Error('先勾几条用例再跑')
-    if (allKeys.length > 60) throw new Error(`一次最多跑 60 条（这次勾了 ${allKeys.length} 条）：分两次跑，或者把它存成套件`)
+    const maxRun = store.snapshot().config.limits?.runKeys ?? 60
+    if (allKeys.length > maxRun) throw new Error(`一次最多跑 ${maxRun} 条（这次勾了 ${allKeys.length} 条）：分两次跑，或者把它存成套件`)
     const keys = allKeys
     const out = await runCaseKeys(store, keys, { env: body.env, by: String(body.by ?? '回归') })
     host.sendJson(res, 200, { ok: true, ...out, state: host.publicState(store) })
@@ -383,7 +384,8 @@ export async function handleTaskRoute({ method, route, req, res, store, url }) {
         if (created === undefined) throw new Error('交付物至少要有标题')
         created.by = String(body.by ?? created.by ?? '')
         created.at = Date.now()
-        if (task.artifacts.length >= 40) throw new Error('一张卡最多 40 个交付物：先删掉过期的再加')
+        const maxArtifacts = store.snapshot().config.limits?.artifactsPerTask ?? 40
+        if (task.artifacts.length >= maxArtifacts) throw new Error(`一张卡最多 ${maxArtifacts} 个交付物：先删掉过期的再加`)
         task.artifacts = [...task.artifacts, created]
       } else if (action === 'remove') {
         task.artifacts = task.artifacts.filter(item => item.id !== String(body.artifactId ?? ''))
@@ -513,7 +515,8 @@ export async function handleTaskRoute({ method, route, req, res, store, url }) {
         task.updatedAt = Date.now()
         return task
       }
-      if (list.length > 60) throw new Error(`一张卡最多 60 条用例（这次是 ${list.length} 条）：先删掉不用的再加，别让它被静默截断`)
+      const maxCases = store.snapshot().config.limits?.casesPerTask ?? 60
+      if (list.length > maxCases) throw new Error(`一张卡最多 ${maxCases} 条用例（这次是 ${list.length} 条）：先删掉不用的再加，别让它被静默截断`)
       task.cases = list
       task.updatedAt = Date.now()
       return task

package/src/host/runners.js

@@ -0,0 +1,26 @@
+// 用例执行器的注册表：谁认领这条用例、怎么跑，都挂在这里。
+// 加一种新执行方式（DB 断言、浏览器、脚本）= 写一个模块 + registerRunner()，不用再动 runOneCase。
+const registry = []
+
+/** @param kind 名字（http / shell / 以后的自定义类型）
+ *  @param match 判断这条用例归我跑
+ *  @param run   真正执行，签名 (item, env, config, seedVars) => { ok, status, ms, error, preview }
+ */
+export function registerRunner(kind, { match, run }) {
+  if (typeof match !== 'function' || typeof run !== 'function') throw new Error('registerRunner 需要 match 与 run')
+  const at = registry.findIndex(entry => entry.kind === kind)
+  const entry = { kind, match, run }
+  if (at >= 0) registry[at] = entry
+  else registry.unshift(entry)
+  return entry
+}
+
+export function pickRunner(item) {
+  return registry.find(entry => {
+    try { return entry.match(item) === true } catch { return false }
+  }) ?? null
+}
+
+export function runnerKinds() {
+  return registry.map(entry => entry.kind)
+}

package/src/host/webhooks.js

@@ -0,0 +1,45 @@
+// webhook 订阅者：把事件 POST 给配置里的地址。失败只记健康，不重试、不阻塞。
+import { emitEvent, subscribe } from './events.js'
+
+export const WEBHOOK_EVENTS = ['task/moved', 'case/failed', 'agent/failed']
+
+export function sanitizeWebhooks(raw) {
+  if (!Array.isArray(raw)) return []
+  return raw.slice(0, 20).map((item, index) => {
+    const source = item !== null && typeof item === 'object' ? item : {}
+    const url = String(source.url ?? '').trim().slice(0, 500)
+    const events = (Array.isArray(source.events) ? source.events : []).map(String).filter(name => WEBHOOK_EVENTS.includes(name))
+    return {
+      id: String(source.id ?? '').trim().slice(0, 40) || 'hook-' + (index + 1),
+      url,
+      events: events.length > 0 ? events : [...WEBHOOK_EVENTS],
+      enabled: source.enabled !== false,
+    }
+  }).filter(hook => hook.url !== '')
+}
+
+/** 真正发出去：每个订阅地址一次 POST，5 秒超时。 */
+export async function deliverWebhooks(config, event) {
+  const hooks = (config?.webhooks ?? []).filter(hook => hook.enabled !== false && (hook.events ?? []).includes(event.type))
+  for (const hook of hooks) {
+    try {
+      await fetch(hook.url, {
+        method: 'POST',
+        headers: { 'content-type': 'application/json' },
+        body: JSON.stringify(event),
+        signal: AbortSignal.timeout(5000),
+      })
+    } catch {
+      /* 外网/内网抖动是常态；事件本身已经进了台账，不在这里重试 */
+    }
+  }
+}
+
+/** 进程内接上：事件 → webhook。返回取消订阅函数。 */
+export function attachWebhooks(store) {
+  return subscribe(event => {
+    void deliverWebhooks(store?.snapshot?.()?.config, event)
+  })
+}
+
+export { emitEvent }