@microi.net/cli 5.2.5 → 5.2.7

package/skills/v8-file-upload/SKILL.md

@@ -63,7 +63,7 @@ description: Microi V8 与 MCP 文件上传下载指南。用于处理流式 AI
 可信后端 V8 可用 `V8.Http.GetResponse({ Url: url }).RawBytes` 下载，再用 `System.Convert.ToBase64String` 和 `V8.Method.Upload` 上传。该路径同样必须校验域名、大小、Content-Type、后缀和最终重定向目标。
 
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=v8-file-upload-002 sha256=01111b2fe994a2a5e424f45d405821f0b4f5c29235bc93757352d4c7e10d8d84 -->
+<!-- microi-progressive:chunk id=v8-file-upload-002 sha256=dc69d3bcadb1b40d98e1346a8d9d0a3599cae7f7dd6b850dd95ad054c747b2dd -->
 ## 接收前端上传的文件
 
 前端发起文件上传时，平台自动把文件以 base64 形式注入到 `V8.FilesByteBase64`：
@@ -165,7 +165,7 @@ Unity `Data`、WASM、Windows 安装包、视频模型等发布资产不得进
 - 生产 H5 不能只依赖 `uni.uploadFile`。页面从 `uni.chooseImage` 得到的 `tempFiles[0].file`、`tempFiles[0]`、`blob:` / `data:` 临时路径都要传给 `V8.uploadFile`，并设置 `preferFetch:true`；SDK 必须能用 `fetch + FormData` 兜底，否则线上可能报 `未找到 MicroiV8 上传适配器。`。
 
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=v8-file-upload-003 sha256=5765949bee76ce3ccd05503174ff7601135f1d330f8c11a2bf5f268cdeb74133 -->
+<!-- microi-progressive:chunk id=v8-file-upload-003 sha256=a31f0170454bb9e44007e24ed280873e99ae4ca4f4ecc7307ecc3e738eb51df9 -->
 ## 跨平台文件同步登录会话
 
 文件柜、文件同步等需要连接另一套 Microi API 的工具，必须把远程平台视为独立登录会话：
@@ -173,7 +173,7 @@ Unity `Data`、WASM、Windows 安装包、视频模型等发布资产不得进
 - 用户必须先完成远程登录，登录成功后显示远程用户名称、帐号、ApiBase、OsClient 和登录状态，并提供明确的退出登录操作。
 - 历史远程连接通过 `mci_` 前缀表保存，并按 `V8.CurrentUser.Id` 做行级隔离；不得把帐号、密码或 Token 放入 `localStorage`。
 - 密码和 Token 只能由受保护的接口引擎写入、读取和清理。数据库必须保存可校验的加密密文，普通 FormEngine 列表不得返回密文字段。
-- 加密密钥优先使用租户专用 `FileCabinetSecret`，可使用仅后端可见的持久化租户密钥兜底；禁止使用进程级临时密钥，否则服务重启后无法解密历史连接。
+- 密码和 Token 使用 `V8.Method.ProtectApiEngineSecret/UnprotectApiEngineSecret`，由宿主把密文绑定当前 `OsClient + ApiEngineKey`；不得从已脱敏的 `V8.OsClientModel` 读取 `AuthSecret/DbConn`，也不得使用进程级临时密钥。接口引擎 Key 必须稳定，确保服务重启和应用升级后仍能解密历史连接。
 - 历史连接列表只返回脱敏元数据；一键重连时再按记录 Id 和当前用户读取凭据。删除连接必须同时清除保存的密码和 Token。
 - 远程目标登录后必须调用文件柜能力探针（如 `mci_file_sync_capability`）检查同步协议版本。接口不存在、返回 404/非标准结果或协议版本过低时，提示目标平台更新【文件柜】应用，不得继续同步。
 - 验收至少覆盖：登录成功显示身份、退出后 Token 清空、历史连接一键重连、删除连接、密文落库、服务重启后仍可解密、目标平台缺少能力接口时的升级提示。

package/skills/v8-file-upload/references/progressive-01-/345/205/254/346/234/211/346/241/266-vs-/347/247/201/346/234/211/346/241/266.md

@@ -2,7 +2,7 @@
 
 > 按需读取；本文件由 SKILL.md 的原章节无损拆分。
 
-<!-- microi-progressive:chunk id=v8-file-upload-005 sha256=431aed9f824e7a604e8e1e02e03404cc4940814f352e6afd3f7639a106d1f332 -->
+<!-- microi-progressive:chunk id=v8-file-upload-005 sha256=6136a38af209aad174ca1cacd61fcfc66e3428e1e8bf75be8a2490bcb094b71e -->
 ## 公有桶 vs 私有桶
 
 ### 应用商城 ZIP

package/skills/v8-menu-buttons/SKILL.md

@@ -76,7 +76,7 @@ V8.ConfirmTips('确认领取该任务？', function () {
 ```
 
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=v8-menu-buttons-003 sha256=ae7e519897a8c331be2f657549997a91cd24a053fe00558e2b51d5c2477fc290 -->
+<!-- microi-progressive:chunk id=v8-menu-buttons-003 sha256=d04e7a71ffe8baa47c2430077d0fd0bb44dffc62c7e7ce2bca9d02b220ae24f5 -->
 ## 4.1 模式 B2：在线微服务定制页（OpenAppDialog）
 
 当弹窗包含复杂布局、多步骤交互、实时校验或后续需要 AI 在线维护时，优先把页面实现为在线微服务，按钮 V8 代码只负责打开页面、传入上下文和接收结果。不要把长篇 HTML/CSS 写进 `V8Code`。

package/skills/v8-menu-buttons/references/progressive-01-2-/346/214/211/351/222/256/345/257/271/350/261/241-schema.md

@@ -2,7 +2,7 @@
 
 > 按需读取；本文件由 SKILL.md 的原章节无损拆分。
 
-<!-- microi-progressive:chunk id=v8-menu-buttons-004 sha256=f18f04c54a81c7aaf5c79867eda0f7ec716a5e9b05c723dae9b77cde127326f3 -->
+<!-- microi-progressive:chunk id=v8-menu-buttons-004 sha256=9550f2e3a75583bb6f2ab940d423931511f39b6ad8a11fc982c6b24bca6416d1 -->
 ## 2. 按钮对象 Schema
 
 ```jsonc

package/skills/v8-mq-mqtt/SKILL.md

@@ -1,24 +1,24 @@
----
-name: v8-mq-mqtt
+---
+name: v8-mq-mqtt
 description: Microi V8 消息队列与 MQTT 生产指南。用于 V8.MQ.SendMsg、RabbitMQ 消费与幂等，以及内嵌 MQTT Broker、SaaS 租户认证、Topic ACL、TLS、QoS/Retain、七类 V8.MQTT 事件、设备级接口引擎、服务端下行、IoT 数据分层和多节点部署验收。
----
-
-> **Codex 非阻塞自动更新：** 当前宿主为 Codex 时，吾码 CLI、Codex 插件与工作区 AI/MCP 由后台自动更新；需要诊断时读取 `../microi-codex-installer/SKILL.md`。更新失败、等待空闲或尚未重载均不得阻断当前、正在进行或新建任务。非 Codex 宿主跳过此项。
-
-# Microi V8 消息队列与 MQTT
-
-你正在开发 Microi 吾码平台的 V8 引擎代码，需要使用 RabbitMQ 消息队列或 MQTT 物联网协议。
-
-<!-- microi-progressive:begin -->
-<!-- microi-progressive:chunk id=v8-mq-mqtt-000 sha256=a883bb502b306ada654b8f45bd6f955c84049f3a032568e5ef8e25e24aa1c2c6 -->
-## V8.MQ — RabbitMQ 消息队列
-
-### 生产消息（后端）
-
+---
+
+> **Codex 非阻塞自动更新：** 当前宿主为 Codex 时，吾码 CLI、Codex 插件与工作区 AI/MCP 由后台自动更新；需要诊断时读取 `../microi-codex-installer/SKILL.md`。更新失败、等待空闲或尚未重载均不得阻断当前、正在进行或新建任务。非 Codex 宿主跳过此项。
+
+# Microi V8 消息队列与 MQTT
+
+你正在开发 Microi 吾码平台的 V8 引擎代码，需要使用 RabbitMQ 消息队列或 MQTT 物联网协议。
+
+<!-- microi-progressive:begin -->
+<!-- microi-progressive:chunk id=v8-mq-mqtt-000 sha256=4a6559aed1af036591a04002c6e3311d9f0957fbbabbcafdc4a6bad95dabd843 -->
+## V8.MQ — RabbitMQ 消息队列
+
+### 生产消息（后端）
+
 ```javascript
-// 在 async 接口引擎或 V8 事件中发送消息。
+// 当前 V8EngineMQ 是同步包装，调用完成后直接返回 DosResult。
 // 业务重试必须复用同一个 EventId，供消费者幂等去重。
-var result = await V8.MQ.SendMsg({
+var result = V8.MQ.SendMsg({
   QueueName: 'order_process',
   EventId: V8.Param.eventId || V8.Method.NewUlid(),
   Message: {
@@ -31,45 +31,52 @@ if (result.Code !== 1) return result;
 ```
 
 逻辑队列名由服务端规范为 `microi.{lowerOsClient}.{queueName}`。V8 上下文、登录 Token 与后台显式 `OsClient` 是权威租户，body 不能切换到其它租户队列。
-
-### 生产消息（前端）
-
-```javascript
-V8.Post('/api/mq/sendmsg', {
+
+### 生产消息（前端）
+
+```javascript
+V8.ApiEngine.Run('platform-mq', {
+  Action: 'Send',
   QueueName: 'queue_name',
   EventId: stableEventId,
   Message: { ProductId: '123', Count: 2 }
-}, function(result) {
-  if (result.Code === 1) V8.Tips('消息已发送', true);
-}, null, {}, 'json');
-```
-
-### 消费消息
-
-消费者是一个接口引擎，在 `diy_queue_receive` 表中配置队列名和接口引擎 Key 后，消息到达时自动调用。
-
-```javascript
-// 消费者接口引擎
-var message = V8.Param.Message;   // object 类型
+}).then(function(result) {
+  if (result.Code === 1) V8.Tips('消息已发送', true);
+});
+```
+
+`platform-mq` 是应用商城交付的 Managed 管理接口，只允许当前租户超级管理员，
+并在可信 V8 原子层固定租户、队列名和 1 MB 消息上限。普通业务前端应调用
+自己的受权接口引擎，再由业务接口引擎执行 `V8.MQ.SendMsg`。
+
+### 消费消息
+
+消费者是一个接口引擎，在 `diy_queue_receive` 表中配置队列名和接口引擎 Key 后，消息到达时自动调用。
+
+```javascript
+// 消费者接口引擎
+var message = V8.Param.Message;   // object 类型
 // message.EventId     — 稳定业务幂等 Id
 // message.Id          — EventId 的兼容别名
 // message.OsClient    — 消息所属租户
 // message.Message     — 消息内容
 // message.CurrentUserId — 生产消息的用户 Id
-
-// 处理业务逻辑
-var data = message.Message;
-V8.FormEngine.UptFormData('Product', {
-  Id: data.ProductId,
-  Stock: data.Count
-});
-```
-
-### 实战模式：异步处理耗时操作
-
-```javascript
-// 接口引擎：接收请求后发送到队列，快速返回
-await V8.MQ.SendMsg({
+
+// 处理业务逻辑
+var data = message.Message;
+V8.FormEngine.UptFormData('Product', {
+  Id: data.ProductId,
+  Stock: data.Count
+});
+
+return { Code: 1, Data: { EventId: message.EventId } };
+```
+
+### 实战模式：异步处理耗时操作
+
+```javascript
+// 接口引擎：接收请求后发送到队列，快速返回
+var sendResult = V8.MQ.SendMsg({
   QueueName: 'order_process',
   EventId: V8.Param.eventId,
   Message: {
@@ -78,63 +85,75 @@ await V8.MQ.SendMsg({
     userId: V8.CurrentUser.Id
   }
 });
-
-return { Code: 1, Msg: '订单处理中，请稍候查看结果' };
-```
-
-```javascript
-// 消费者接口引擎：异步处理订单
-var msg = V8.Param.Message;
-var data = msg.Message;
-
-try {
-  // 耗时操作：调用第三方 ERP 接口
-  var erpResult = V8.Http.Post({
-    Url: 'https://erp.company.com/api/order',
-    PostParamString: JSON.stringify({ orderId: data.orderId }),
-    ParamType: 'json',
-    Timeout: 30
-  });
-
-  V8.FormEngine.UptFormData('Order', {
-    Id: data.orderId,
-    SyncStatus: 'success',
-    SyncTime: DateNow('yyyy-MM-dd HH:mm:ss')
-  });
-} catch (ex) {
-  V8.FormEngine.UptFormData('Order', {
-    Id: data.orderId,
-    SyncStatus: 'failed',
-    SyncError: ex.message
-  });
-  console.error('订单同步失败: ' + ex.message);
-}
-```
-
-### MQ 配置
-
-主租户提供共享 Broker 地址 `MQHost/MQPort`。每个子租户必须在 RabbitMQ 中真实创建独立的 `MQUserName/MQPassword/MQVitrualHost`，并把权限限制在自己的 vhost 与 `microi.{osClient}.*` 队列；缺少凭据或与其它租户共用 user/password/vhost 时失败关闭，不回退主租户管理员账号。
-
-在 `diy_queue_receive` 表新增记录后，平台启动时自动订阅：
-
-| 字段 | 含义 |
-|------|------|
-| `Type` | `接口引擎`（固定） |
+
+if (!sendResult || sendResult.Code !== 1) return sendResult;
+
+return { Code: 1, Msg: '订单处理中，请稍候查看结果' };
+```
+
+```javascript
+// 消费者接口引擎：异步处理订单
+var msg = V8.Param.Message;
+var data = msg.Message;
+
+try {
+  // 耗时操作：调用第三方 ERP 接口
+  var erpResult = V8.Http.Post({
+    Url: 'https://erp.company.com/api/order',
+    PostParamString: JSON.stringify({ orderId: data.orderId }),
+    ParamType: 'json',
+    Timeout: 30
+  });
+
+  V8.FormEngine.UptFormData('Order', {
+    Id: data.orderId,
+    SyncStatus: 'success',
+    SyncTime: DateNow('yyyy-MM-dd HH:mm:ss')
+  });
+  return { Code: 1, Data: { EventId: msg.EventId } };
+} catch (ex) {
+  V8.FormEngine.UptFormData('Order', {
+    Id: data.orderId,
+    SyncStatus: 'failed',
+    SyncError: ex.message
+  });
+  console.error('订单同步失败: ' + ex.message);
+  return { Code: 0, Msg: '订单同步失败' };
+}
+```
+
+### MQ 配置
+
+每个租户都必须配置 `MQHost/MQPort/MQUserName/MQPassword/MQVitrualHost`，并在 RabbitMQ 中真实创建独立 user/vhost，把权限限制在自己的 vhost 与 `microi.{lowerOsClient}.*` 队列。缺少配置或与其它已加载租户共用 user/password/vhost 时失败关闭，不回退主租户管理员账号。可选 `MQUseTls/MQTlsServerName`；`MQHost` 可用逗号分隔多个端点。当前 `AddMicroiMQ()` 默认注册 `MicroiRabbitMQSingleConnection`，不会按 `MQType` 自动切换实现。
+
+在 `diy_queue_receive` 表新增记录后，后台同步会创建或更新消费者：
+
+| 字段 | 含义 |
+|------|------|
+| `Type` | `1`=接口引擎；`2`=仅默认主租户受控 DLL |
 | `QueueName` | 逻辑队列名（与生产端 `SendMsg({ QueueName, ... })` 一致） |
-| `ApiEngineKey` | 消费者接口引擎 Key |
-| `IsEnable` | 是否启用 |
-| `OsClient` | 所属租户（多租户隔离） |
-
-> ⚠️ 修改 `diy_queue_receive` 后需重启平台才会生效订阅。
+| `ApiEngineKey` | 消费者接口引擎 Key |
+| `FailToReject` | 值为“是”时失败后允许有限重入队 |
+| `Count` | 最大重入队次数；`0` 表示首次失败后直接删除 |
+
+新增、修改或删除队列处理配置会在下一同步周期生效。同步间隔默认最多 180 秒，
+正数 `MQListenerTime` 可缩短但最低 15 秒；Host、端口、凭据、vhost 或 TLS 变更
+不会重建已缓存连接，需要滚动重启对应节点。
 
 多节点会对同一租户队列使用 RabbitMQ competing consumer，但“只有一个节点收到”不等于业务只执行一次。消息 envelope 的 `EventId` 是稳定幂等键，消费者必须配合数据库唯一约束、inbox/条件更新保证副作用仅一次；连接凭据轮换后当前版本需要重启节点重建连接。
-
----
-
-<!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=v8-mq-mqtt-001 sha256=1f51deb2673c77cdd3a096ca658dfe0f025531760f1aee04987f3bb2723131cf -->
+
+消费者使用 `prefetch=1`、手动 Ack。接口引擎返回可解析的 `DosResult Code=1` 才
+明确成功；为兼容旧处理器，`null` 或非 `DosResult` 返回也会 Ack，因此新代码必须
+显式返回 `{Code:1}` 或 `{Code:0}`。失败且 `FailToReject=是` 时，Redis 以 EventId
+记录 7 天重试次数并在未达到 `Count` 前立即 requeue；当前源码没有退避和自动 DLQ，
+达到上限或未启用重入队时会 Reject 且不 requeue。
+
+---
+
+<!-- /microi-progressive:chunk -->
+<!-- microi-progressive:chunk id=v8-mq-mqtt-001 sha256=f65fe365f1adca83c0eabe95f73a658d6d79f33b3d9a8d34c5b35ede841e7d73 -->
 ## 注意事项
-
+
 - MQ 消费者接口引擎通过 `V8.Param.Message` 获取消息，包含 `EventId`、兼容 `Id`、`OsClient`、`Message`、`CurrentUserId`
 - MQ 适合异步解耦、削峰填谷、耗时操作异步化
 - MQTT 七类事件在同一个接口引擎中处理，通过 `V8.EventName` 区分
@@ -144,10 +163,12 @@ try {
 - `ConnectedClients` 只代表当前 MQTT 节点的诊断快照，不是集群全局在线事实
 - 内嵌 MQTT Broker 不具备跨节点共享会话/订阅/retained 的集群一致性；多 API 节点生产部署应使用支持集群的外部 Broker，或把内嵌 Broker 固定到独立节点并由负载入口路由，不能让每个 API 节点各自充当一套独立 Broker
 - MQTT 生产配置、安全语义、事件字段可用性和上线清单以 [MQTT 生产参考](references/mqtt-production.md) 为准
-<!-- /microi-progressive:chunk -->
-## 详细参考路由（渐进披露）
-
-仅在当前任务涉及对应主题时读取；下列文件合计保留了原 SKILL.md 的全部详细知识。
-
-- [references/progressive-01-v8-mqtt-iot-物联网.md](references/progressive-01-v8-mqtt-iot-物联网.md)：V8.MQTT — IoT 物联网
-<!-- microi-progressive:end -->
+<!-- /microi-progressive:chunk -->
+## 详细参考路由（渐进披露）
+
+仅在当前任务涉及对应主题时读取；下列文件合计保留了原 SKILL.md 的全部详细知识。
+
+- [references/progressive-01-v8-mqtt-iot-物联网.md](references/progressive-01-v8-mqtt-iot-物联网.md)：V8.MQTT — IoT 物联网
+<!-- microi-progressive:end -->
+
+平台级 MQTT 状态与下行发布统一调用 Managed 接口引擎 `platform-mqtt`；该入口只允许当前租户超级管理员，并由 `V8.Method.ManageMqtt` 固定租户边界。普通设备业务仍应创建自己的授权接口引擎。

package/skills/v8-mq-mqtt/references/mqtt-production.md

@@ -32,8 +32,9 @@
    配置、租户凭据、Topic 规范化和敏感字段边界。
 4. `Microi.Server/Microi.Core/Interface/IMicroiMQTT.cs`：
    `IMicroiMQTT.PublishAsync(osClient, ...)` 可信后端发布和节点状态接口。
-5. `Microi.Server/Microi.net.Api/Controllers/MqttController.cs`：平台管理员、当前节点
-   状态与示例下行入口的权限边界。
+5. `Microi.Server/Microi.Core/V8Engine/Runtime/V8Method.PlatformPluginRuntimes.cs`
+   与 `Microi.Server/Microi.Upgrade/Resource/platform-mqtt.js`：平台管理员、当前节点
+   状态、租户 Topic 边界与接口引擎交付入口。
 6. `microi.doc/docs/doc/system-engine/mqtt-engine.md`：面向用户的完整能力说明。
 
 目标服务器可能落后于当前源码。编写事件代码前回读其 `sys_osclients` 字段和运行

package/skills/v8-mq-mqtt/scripts/check-mqtt-skill-coverage.mjs

@@ -14,7 +14,8 @@ const files = {
   model: 'Microi.Server/Microi.Core/Model/MqttParam.cs',
   mqttInterface: 'Microi.Server/Microi.Core/Interface/IMicroiMQTT.cs',
   tenantSecurity: 'Microi.Server/Microi.Core/SaaSEngine/TenantConfigurationSecurity.cs',
-  controller: 'Microi.Server/Microi.net.Api/Controllers/MqttController.cs'
+  platformRuntime: 'Microi.Server/Microi.Core/V8Engine/Runtime/V8Method.PlatformPluginRuntimes.cs',
+  platformApiEngine: 'Microi.Server/Microi.Upgrade/Resource/platform-mqtt.js'
 };
 
 const content = {};
@@ -98,7 +99,7 @@ for (const propertyName of expectedProperties) {
 
 const sourceEvents = [...runtimeEvents].sort();
 const sourceProperties = [...mqttProperties].sort();
-for (const targetName of ['skill', 'reference', 'mqttDoc', 'v8Doc']) {
+for (const targetName of ['reference', 'mqttDoc', 'v8Doc']) {
   requireTokens(targetName, sourceEvents);
   requireTokens(targetName, sourceProperties);
 }
@@ -139,22 +140,20 @@ const operationsTokens = [
   '独立 MQTT 节点'
 ];
 
-requireTokens('skill', [
-  'MqttEnable',
-  'MqttPort',
-  'MqttWsPort',
-  'MqttAccount',
-  'MqttPwd',
-  'MqttApiEngine',
-  'MqttAllowAnonymous',
-  'MqttTopicIsolation'
+requireTokens('platformRuntime', [
+  'ManageMqtt',
+  'RequireCurrentTenantSuperAdmin',
+  'IMicroiMQTT',
+  'GetConnectedClients',
+  'PublishAsync'
 ]);
+requireTokens('platformApiEngine', ['V8.Method.ManageMqtt']);
+
+requireTokens('skill', ['references/mqtt-production.md', 'platform-mqtt']);
 requireTokens('reference', configurationTokens);
 
-for (const targetName of ['skill', 'reference']) {
-  requireTokens(targetName, securityTokens);
-  requireTokens(targetName, operationsTokens);
-}
+requireTokens('reference', securityTokens);
+requireTokens('reference', operationsTokens);
 
 requireTokens(
   'mqttDoc',
@@ -190,7 +189,6 @@ requireTokens('runtime', [
 ]);
 requireTokens('mqttInterface', ['PublishAsync(string osClient', 'GetConnectedClients(string osClient)']);
 requireTokens('tenantSecurity', ['NormalizeMqttTopic', 'HasTenantServiceCredentialCollision']);
-requireTokens('controller', ['[PlatformAdminOnly]', 'StatusScope = "CurrentNode"']);
 
 if (failures.length > 0) {
   console.error('MQTT Skill 覆盖检查失败：');

package/skills/v8-security/SKILL.md

@@ -12,7 +12,7 @@ description: Microi V8 安全指南。用于审查 DiyToken 与权限、可逆
 访问密钥由 `microi_list_my_access_keys`、`microi_create_my_access_key`、`microi_revoke_my_access_key` 管理，只允许当前用户、限期、最小 scope，明文仅创建时返回一次。外部身份回调固定为 `/api/ExternalLogin/Callback`，服务端校验租户、Provider、state、redirect 和回调域名，验证成功后仍签发 DiyToken。
 
 <!-- microi-progressive:begin -->
-<!-- microi-progressive:chunk id=v8-security-000 sha256=0346bd9ca3fe98dd2b589d1777aa1e55cd24cf7dedc69ee65d4ca91461db7dee -->
+<!-- microi-progressive:chunk id=v8-security-000 sha256=d03ee34e72925db55f9022de26dfc251c0d3d69fac52ae6a910d42ddfc142ae7 -->
 ## 0. 租户动态系统设置与密钥边界
 
 第三方密钥（微信、支付宝、OpenAI、阿里云、ERP、SMTP）**禁止**硬编码在 V8 代码或前端。公开的租户配置必须建成当前租户 `sys_config` 的实体字段；敏感或仅供后端使用的租户业务配置保存到 `mci_system_setting`。数据库、Redis、MongoDB、MinIO、MQ 等部署控制面仍由主库 `sys_osclients` 托管，子租户不能修改。
@@ -33,7 +33,9 @@ var clientSecret = privateSettings['Login.Gitee.ClientSecret'];
 var openaiKey = 'sk-xxxxxxxxxx';
 ```
 
-`V8.OsClientModel` 与兼容别名 `V8.ClientModel` 均为独立脱敏副本：数据库连接、AuthSecret、Redis、对象存储、MQ、MQTT、Search 的地址与凭据不会注入脚本。存量租户业务字段只作兼容，新增 Secret 不得继续依赖 `V8.OsClientModel`。
+`V8.OsClientModel` 与兼容别名 `V8.ClientModel` 均为独立脱敏副本：数据库连接、AuthSecret、Redis、对象存储、MQ、MQTT、Search 的地址与凭据不会注入脚本。存量租户业务字段只作兼容，新增 Secret 不得继续依赖 `V8.OsClientModel`。
+
+接口引擎需要保存可逆的接口私有密码或 Token 时，使用 `V8.Method.ProtectApiEngineSecret(value)` 写入密文，读取时使用 `V8.Method.UnprotectApiEngineSecret(cipher)`。宿主固定绑定当前 `OsClient + ApiEngineKey`，V8 不能指定租户、Purpose 或密钥；同租户其它接口引擎也不能解密。禁止继续用 `V8.OsClientModel.AuthSecret/DbConn` 自行派生 AES 密钥。列表仍只返回脱敏元数据，解密前仍要校验当前用户、行归属和业务权限，原文不得进入日志、审计或匿名响应。
 
 `V8.SysConfig` 按运行端采用不同权限投影，且任何运行端都不存在 `PublicSettings` 属性。浏览器/前端 V8 只得到匿名 `GetSysConfig` 的独立脱敏 `sys_config` 投影；`mci_system_setting` 的任何记录都不会进入浏览器。后端接口引擎和后端 V8 事件得到当前租户完整、独立的 `sys_config`，全部启用的 `mci_system_setting` 则放在 `V8.SysConfig.ServerPrivateSettings`，Secret 由可信后端按租户解密。独立节点避免动态 Key 覆盖 `sys_config` 实体字段，也让前后端边界可审计。子租户调用 `V8.FormEngine.GetSysConfig(...)` 时仍强制使用当前 `OsClient`，不能借缓存命中读取其它租户配置。
 
@@ -61,7 +63,7 @@ Secret 只通过租户管理员专用端点写入租户绑定的认证密文。
 - 多节点保存连接使用按 `OsClient + DbKey` 隔离的分布式锁，并由数据库唯一索引兜底；同步数据和附件仍必须使用业务幂等键，锁不能替代唯一约束、状态机或 inbox/outbox。
 
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=v8-security-001 sha256=c5868fd8a159b72f1038658873dfee83a9eca68661eebd837ecadab13dea5c22 -->
+<!-- microi-progressive:chunk id=v8-security-001 sha256=9e477268919238bb6a2525116de3c8386aa439d8e93c5d66f3893cb07740b374 -->
 ## 0.5 接口引擎配置安全
 
 代码以外，接口本身的配置项也是安全防线（详见 `v8-api-config/SKILL.md`）：
@@ -75,7 +77,7 @@ Secret 只通过租户管理员专用端点写入租户绑定的认证密文。
 | `LogParam = true` | 支付/审计类接口记录请求 |
 
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=v8-security-002 sha256=ed6c3fabf36da5a359778a0e7d085aa9b0d8a2f55337c0c9a1d39da4d72bac95 -->
+<!-- microi-progressive:chunk id=v8-security-002 sha256=7229e5f8d200c0dfbab08752405f5e88d7edc80e9e92b6802880c022b09ca893 -->
 ## 1. 防 SQL 注入
 
 ### 必须：参数化查询
@@ -147,7 +149,7 @@ if (isNaN(amount) || amount <= 0 || amount > 999999.99) {
 ```
 
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=v8-security-004 sha256=e811dff8614c24c751291dda271b1574debccf741c0e166790f5324a3d3594ad -->
+<!-- microi-progressive:chunk id=v8-security-004 sha256=1703ea824e4807b24d30225d41e16fb36b0fecc21c63a4ab0296106185460a27 -->
 ## 4. 防 XSS
 
 四个字符替换不是通用 XSS 防护。必须按输出上下文处理：

package/skills/v8-table-event/SKILL.md

@@ -51,7 +51,7 @@ AI 本地开发表单 V8 事件时，优先修改 `microi-v8-engine/<租户>/<
 | `DataFilterV8.js` | **后端** | `DataFilter` | 获取列表/表单数据后 | 每行数据加工、脱敏、补充字段 |
 
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=v8-table-event-002 sha256=1956a46955c57434582c8dd5a41ffe9d445a74f42b26706c7d2033dfb822ffc0 -->
+<!-- microi-progressive:chunk id=v8-table-event-002 sha256=86c13bfd4dbc035e5498fe072ed176780ed31975b64eda09c1a378de986ab73d -->
 ## 事件触发规则
 
 - 后端 V8 事件 / 接口引擎中调用 `V8.FormEngine` 增删改 → **不触发**表单 V8 事件

package/skills/v8-table-event/references/progressive-02-/345/211/215/347/253/257/344/272/213/344/273/266/345/220/215-v8-eventname-/345/217/257/350/203/275/347/232/204/345/200/274.md

@@ -25,7 +25,7 @@
 | `WFNodeEnd` | 流程节点结束 V8 事件 |
 
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=v8-table-event-012 sha256=380fc790dcf02a27f8b47d9a894b98cb90ebc7ea6b57a5b30075d3d9d32a0262 -->
+<!-- microi-progressive:chunk id=v8-table-event-012 sha256=db5bf410bc6babf14d3d91cc61b9875c81bc1be24b2c1b7c62334bc6819e4e55 -->
 ## 注意事项
 
 - 前端事件可使用 `window` 对象和 `async/await`，后端事件不可以

package/skills/v8-utilities/SKILL.md

@@ -71,7 +71,7 @@ var clientDecoded = V8.Base64.decode(clientEncoded);
 | Excel/Word/PPT/邮件 | `v8-export-import` |
 | 前端事件/打印/扫码 | `v8-frontend-events` |
 | 后端表单事件 | `v8-table-event` |
-| 接口配置/异步/后台任务 | `v8-api-config` |
+| 接口配置/流式响应/异步/后台任务 | `v8-api-config` |
 
 ## 不可越过的边界
 

package/skills/v8-utilities/references/platform-http-routes.md

@@ -9,10 +9,12 @@
 | 路由 | 用途 |
 |---|---|
 | `POST /apiengine/{ApiEngineKey}` | 推荐的稳定接口引擎入口 |
-| `POST /api/ApiEngine/Run` | 兼容入口，Body 传 `ApiEngineKey` |
+| `POST /api/ApiEngine/Run` | 仅旧客户端兼容，Body 传 `ApiEngineKey`；新增固定业务禁止使用 |
 | `/apiengine/{ApiEngineKey}--OsClient--{OsClient}--` | 仅用于确实无法设置 Header/Form/Query 的 GET/HEAD 场景 |
 
 普通请求优先在唯一 `osclient` Header 传租户，也可在 Query/Form/JSON 中冗余；
+固定业务必须使用真实引擎动态地址或唯一 `ApiAddress`，使日志、流量、审计和限流
+直接按引擎归因；旧通用入口只能由显式 `RunLegacy` 调用。
 不要无脑把特殊租户后缀加到每条 URL。官网中的
 `/apiengine/test1`、`/apiengine/get-product-list`、打印、支付和 Excel demo
 都是业务 `ApiEngineKey` 示例，不是固定平台接口。
@@ -49,7 +51,7 @@
 | `POST /api/HDFS/GetPrivateFileUrl` | 获取当前租户短期私有文件地址 |
 | `GET /api/HDFS/OpenPrivateFile` | 受权打开私有文件/Office 代理 |
 | `POST /api/DiyChat/SendSystemMessage` | 发送站内消息；前端优先 `V8.SendSystemMessage` |
-| `POST /api/mq/sendmsg` | MQ HTTP 兼容入口；业务端优先受控 V8/MQ |
+| `POST /apiengine/platform-mq` | MQ 管理入口；Body 使用 `Action=Send`，仅当前租户超级管理员 |
 | `GET /api/Diagnostics/health` | 聚合健康状态 |
 | `GET /api/Diagnostics/liveness` | 进程存活检查，不代表已就绪接流量 |
 

package/skills/v8-utilities/references/server-api-index.md

@@ -18,15 +18,18 @@
 | `V8.RowIndex`、`V8.CacheData`、`V8.NotSaveField` | DataFilter 等事件上下文 |
 | `V8.LineValue`、`V8.NextNodeId`、`V8.WF` | 工作流路线与节点上下文 |
 | `V8.FilesByteBase64` | 上传文件 Base64 字典 |
-| `V8.Limits` | 当前 Jint 资源预算与调用深度 |
+| `V8.Limits` | 当前 Jint 资源预算与调用深度 |
+| `V8.Stream` | 仅 `ResponseType=Stream` 的接口引擎可用；SSE/NDJSON 暂态分片写入器 |
 | `V8.Action` | 服务器全局 V8 自定义方法 |
 
 ## 调用、数据与异步
 
 | API | 说明 |
 |---|---|
-| `V8.ApiEngine.Run(...)` | 同步调用接口引擎 |
-| `await V8.ApiEngine.RunAsync(...)` | 请求内异步调用接口引擎 |
+| `V8.ApiEngine.Run(...)` | 同步调用接口引擎 |
+| `await V8.ApiEngine.RunAsync(...)` | 请求内异步调用接口引擎 |
+| `V8.Stream.Write(data,eventName?,id?)` | 同步写一个受大小限制的暂态流式分片 |
+| `await V8.Stream.WriteAsync(data,eventName?,id?)` | 等待网络背压后写暂态分片；每次检查返回 `Code` |
 | `V8.FormEngine.*` | 表单 CRUD，见 `v8-crud-api` |
 | `await V8.FormEngine.GetTableDataAsync(...)` | 请求内异步查列表 |
 | `V8.Db`、`V8.DbRead`、`V8.DbTrans` | 主库、只读库、共享事务 |

package/skills/v8-workflow/SKILL.md

@@ -152,7 +152,7 @@ if (V8.Form.Money <= 100) {
 ```
 
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=v8-workflow-006 sha256=e67b72bf060a38ed5f94a57f3978026d151bb971fcf47a0b30a434dba819c264 -->
+<!-- microi-progressive:chunk id=v8-workflow-006 sha256=8e2a82330c7f49c3a03920123531d310ea329fd310179918d835e3c05d49771a -->
 ## 前端发起流程
 
 ```javascript

package/skills/workspace-conventions/SKILL.md

@@ -104,7 +104,7 @@ AI 在工作区任意任务中生成的**一次性临时脚本、诊断文件、
 **2026-06 强制补充**：AI 不得在任何子项目目录下放置一次性日志、自动化截图、接口回收文件或调试脚本。像 `Microi.Server/Microi.net.Api/.tmp-*.log`、`Microi.Client/*.png` 这类文件一律视为规范失败，必须移到 `<workspace-root>/.tmp/` 或 `<workspace-root>/.tmp/screenshots/`。正式 Playwright 工程由 Microi.VSCode 插件生成时可以继续使用 `.microi-e2e/`，但 AI 为某个任务手写的一次性 Playwright 脚本、报告和截图仍然必须放在 `.tmp/`。
 
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=workspace-conventions-005 sha256=fff5f355bea04077c15039b668f0a02b1ed018f5e76aaee47113b6be777fef4a -->
+<!-- microi-progressive:chunk id=workspace-conventions-005 sha256=52273704562fac1245fa364ca811949ccb2685dce8375f99bdc4029a314dd758 -->
 ## Microi 源码路径速查（工作区根相对路径）
 
 当用户提到“吾码后端源码”“吾码前端源码”“表单引擎源码”“官网源码”等简称时，默认按下列路径定位；如果当前工作区缺少对应目录，再用 `rg --files` 或目录搜索确认实际位置。