@microi.net/cli 5.5.9 → 5.6.1

package/skills/v8-utilities/references/platform-http-routes.md

@@ -1,83 +1,83 @@
-# Microi 平台 HTTP 路由索引
-
-本索引用于识别中文官网示例中的平台路由。路由可用不等于当前用户有权限；始终
-传当前租户 `OsClient`，使用受支持的 Token/访问密钥，并让服务端重新做菜单、
-表单、字段和数据范围校验。
-
-## 接口引擎
-
-| 路由 | 用途 |
-|---|---|
-| `POST /apiengine/{ApiEngineKey}` | 推荐的稳定接口引擎入口 |
-| `POST /api/ApiEngine/Run` | 仅旧客户端兼容，Body 传 `ApiEngineKey`；新增固定业务禁止使用 |
-| `/apiengine/{ApiEngineKey}--OsClient--{OsClient}--` | 仅用于确实无法设置 Header/Form/Query 的 GET/HEAD 场景 |
-
-普通请求优先在唯一 `osclient` Header 传租户，也可在 Query/Form/JSON 中冗余；
-固定业务必须使用真实引擎动态地址或唯一 `ApiAddress`，使日志、流量、审计和限流
-直接按引擎归因；旧通用入口只能由显式 `RunLegacy` 调用。
-不要无脑把特殊租户后缀加到每条 URL。官网中的
-`/apiengine/test1`、`/apiengine/get-product-list`、打印、支付和 Excel demo
-都是业务 `ApiEngineKey` 示例，不是固定平台接口。
-
-## FormEngine
-
-标准 Controller 路由：
-
-| 路由 | 用途 |
-|---|---|
-| `POST /api/formengine/GetTableData` | 查询列表 |
-| `POST /api/formengine/GetFormData` | 查询单条 |
-| `POST /api/formengine/AddFormData` | 新增 |
-| `POST /api/formengine/UptFormData` | 更新 |
-| `POST /api/formengine/DelFormData` | 删除 |
-| `POST /api/formengine/UptFormDataByWhere` | 按条件更新 |
-| `POST /api/formengine/DelFormDataByWhere` | 按条件删除 |
-| `POST /api/formengine/GetTableDataAnonymous` | 表配置允许时匿名查列表 |
-| `POST /api/formengine/GetFormDataAnonymous` | 表配置允许时匿名查单条 |
-| `POST /api/formengine/AddFormDataAnonymous` | 表配置允许时匿名新增 |
-
-动态路由还支持
-`/api/formengine/{operation}-{FormEngineKey}`（兼容无连字符操作名与连字符操作名）。
-访问密钥只需获得相应表/页面和 `form:read` 等作用域，不应把每个动态 URL 加入
-无条件白名单。完整调用模型见 `v8-formengine-http`。
-
-## 文件、消息、验证码与诊断
-
-| 路由 | 用途与边界 |
-|---|---|
-| `GET /api/Captcha/getCaptcha` | 获取验证码图片；同时保存响应 `captchaid` |
-| `POST /api/Captcha/Recognize` | 受控验证码识别，主要供采集引擎 |
-| `POST /api/HDFS/Upload` | 受限文件上传；优先用平台 SDK/V8 Upload |
-| `POST /apiengine/platform-private-file-url` | 获取当前租户短期私有文件地址；必须携带权威资源上下文 |
-| `GET /api/HDFS/OpenPrivateFile` | 受权打开私有文件/Office 代理 |
-| `POST /api/DiyChat/SendSystemMessage` | 发送站内消息；前端优先 `V8.SendSystemMessage` |
-| `POST /apiengine/platform-mq` | MQ 管理入口；Body 使用 `Action=Send`，仅当前租户超级管理员 |
-| `GET /apiengine/platform-service-health?OsClient={OsClient}` | 新版客户端固定匿名健康契约；返回 `Data.Status=Healthy`，新二进制同时返回真实后端版本；应用包先发布时版本可暂时为空，但健康结论不失败；不查询业务表 |
-| `GET /api/Diagnostics/health` | 旧节点滚动升级兼容健康路由；新版客户端不以它作为主要契约 |
-| `GET /api/Diagnostics/liveness` | 进程存活检查，不代表已就绪接流量 |
-
-`/api/example`、`/api/example/1` 仅用于说明 `V8.Http` 的普通 Controller 地址，
-不属于 Microi 固定接口。
-
-## 管理与内部交付接口
-
-下列路由不是普通业务 SDK：
-
-| 路由 | 限制 |
-|---|---|
-| `POST /api/DiyField/UptDiyFieldList` | 开发设计字段批量保存；需设计权限 |
-| `POST /api/FormEngine/ImportDiyTableRow` | 表格/子表导入；后端复核字段、外键和权限 |
-| `POST /api/SysUser/GetSysUserPassword` | 仅存量 DES 密码的超级管理员兼容查看；必须审计，访问密钥/普通角色拒绝 |
-| `POST /api/V8Engine/UploadApplicationAssetStream` | 管理员应用文件分片流式上传 |
-| `POST /api/V8Engine/FinalizeApplicationStreamPublish` | 校验清单并原子切换应用版本 |
-
-应用流式发布必须使用 MCP/平台发布流程：文件逐个校验 SHA-256，版本目录不可变，
-同一应用用跨节点锁串行，入口文件最后切换。不得把这两个内部路由包装成匿名上传。
-
-## 安全检查
-
-- URL 不携带长期 Token、密码、连接串、私钥或 Redis 凭据。
-- 动态表名、ApiEngineKey、文件路径和 redirect 都先走白名单/授权。
-- 匿名路由只对明确开启的表或接口生效，仍要限流、限大小并做业务校验。
-- 管理接口必须核验当前租户与管理员身份，写后回读；超时先回读，不能盲目重试。
-- 示例 URL 中的租户、表 Key、接口 Key 和 Id 都是占位值，不复制为生产常量。
+# Microi 平台 HTTP 路由索引
+
+本索引用于识别中文官网示例中的平台路由。路由可用不等于当前用户有权限；始终
+传当前租户 `OsClient`，使用受支持的 Token/访问密钥，并让服务端重新做菜单、
+表单、字段和数据范围校验。
+
+## 接口引擎
+
+| 路由 | 用途 |
+|---|---|
+| `POST /apiengine/{ApiEngineKey}` | 推荐的稳定接口引擎入口 |
+| `POST /api/ApiEngine/Run` | 仅旧客户端兼容，Body 传 `ApiEngineKey`；新增固定业务禁止使用 |
+| `/apiengine/{ApiEngineKey}--OsClient--{OsClient}--` | 仅用于确实无法设置 Header/Form/Query 的 GET/HEAD 场景 |
+
+普通请求优先在唯一 `osclient` Header 传租户，也可在 Query/Form/JSON 中冗余；
+固定业务必须使用真实引擎动态地址或唯一 `ApiAddress`，使日志、流量、审计和限流
+直接按引擎归因；旧通用入口只能由显式 `RunLegacy` 调用。
+不要无脑把特殊租户后缀加到每条 URL。官网中的
+`/apiengine/test1`、`/apiengine/get-product-list`、打印、支付和 Excel demo
+都是业务 `ApiEngineKey` 示例，不是固定平台接口。
+
+## FormEngine
+
+标准 Controller 路由：
+
+| 路由 | 用途 |
+|---|---|
+| `POST /api/formengine/GetTableData` | 查询列表 |
+| `POST /api/formengine/GetFormData` | 查询单条 |
+| `POST /api/formengine/AddFormData` | 新增 |
+| `POST /api/formengine/UptFormData` | 更新 |
+| `POST /api/formengine/DelFormData` | 删除 |
+| `POST /api/formengine/UptFormDataByWhere` | 按条件更新 |
+| `POST /api/formengine/DelFormDataByWhere` | 按条件删除 |
+| `POST /api/formengine/GetTableDataAnonymous` | 表配置允许时匿名查列表 |
+| `POST /api/formengine/GetFormDataAnonymous` | 表配置允许时匿名查单条 |
+| `POST /api/formengine/AddFormDataAnonymous` | 表配置允许时匿名新增 |
+
+动态路由还支持
+`/api/formengine/{operation}-{FormEngineKey}`（兼容无连字符操作名与连字符操作名）。
+访问密钥只需获得相应表/页面和 `form:read` 等作用域，不应把每个动态 URL 加入
+无条件白名单。完整调用模型见 `v8-formengine-http`。
+
+## 文件、消息、验证码与诊断
+
+| 路由 | 用途与边界 |
+|---|---|
+| `GET /api/Captcha/getCaptcha` | 获取验证码图片；同时保存响应 `captchaid` |
+| `POST /api/Captcha/Recognize` | 受控验证码识别，主要供采集引擎 |
+| `POST /api/HDFS/Upload` | 受限文件上传；优先用平台 SDK/V8 Upload |
+| `POST /apiengine/platform-private-file-url` | 获取当前租户短期私有文件地址；必须携带权威资源上下文 |
+| `GET /api/HDFS/OpenPrivateFile` | 受权打开私有文件/Office 代理 |
+| `POST /api/DiyChat/SendSystemMessage` | 发送站内消息；前端优先 `V8.SendSystemMessage` |
+| `POST /apiengine/platform-mq` | MQ 管理入口；Body 使用 `Action=Send`，仅当前租户超级管理员 |
+| `GET /apiengine/platform-service-health?OsClient={OsClient}` | 新版客户端固定匿名健康契约；返回 `Data.Status=Healthy`，新二进制同时返回真实后端版本；应用包先发布时版本可暂时为空，但健康结论不失败；不查询业务表 |
+| `GET /api/Diagnostics/health` | 旧节点滚动升级兼容健康路由；新版客户端不以它作为主要契约 |
+| `GET /api/Diagnostics/liveness` | 进程存活检查，不代表已就绪接流量 |
+
+`/api/example`、`/api/example/1` 仅用于说明 `V8.Http` 的普通 Controller 地址，
+不属于 Microi 固定接口。
+
+## 管理与内部交付接口
+
+下列路由不是普通业务 SDK：
+
+| 路由 | 限制 |
+|---|---|
+| `POST /api/DiyField/UptDiyFieldList` | 开发设计字段批量保存；需设计权限 |
+| `POST /api/FormEngine/ImportDiyTableRow` | 表格/子表导入；后端复核字段、外键和权限 |
+| `POST /api/SysUser/GetSysUserPassword` | 仅存量 DES 密码的超级管理员兼容查看；必须审计，访问密钥/普通角色拒绝 |
+| `POST /api/V8Engine/UploadApplicationAssetStream` | 管理员应用文件分片流式上传 |
+| `POST /api/V8Engine/FinalizeApplicationStreamPublish` | 校验清单并原子切换应用版本 |
+
+应用流式发布必须使用 MCP/平台发布流程：文件逐个校验 SHA-256，版本目录不可变，
+同一应用用跨节点锁串行，入口文件最后切换。不得把这两个内部路由包装成匿名上传。
+
+## 安全检查
+
+- URL 不携带长期 Token、密码、连接串、私钥或 Redis 凭据。
+- 动态表名、ApiEngineKey、文件路径和 redirect 都先走白名单/授权。
+- 匿名路由只对明确开启的表或接口生效，仍要限流、限大小并做业务校验。
+- 管理接口必须核验当前租户与管理员身份，写后回读；超时先回读，不能盲目重试。
+- 示例 URL 中的租户、表 Key、接口 Key 和 Id 都是占位值，不复制为生产常量。

package/skills/v8-utilities/references/server-api-index.md

@@ -18,24 +18,24 @@
 | `V8.RowIndex`、`V8.CacheData`、`V8.NotSaveField` | DataFilter 等事件上下文 |
 | `V8.LineValue`、`V8.NextNodeId`、`V8.WF` | 工作流路线与节点上下文 |
 | `V8.FilesByteBase64` | 上传文件 Base64 字典 |
-| `V8.Limits` | 当前 Jint 资源预算与调用深度 |
-| `V8.Stream` | 仅 `ResponseType=Stream` 的接口引擎可用；SSE/NDJSON 暂态分片写入器 |
+| `V8.Limits` | 当前 Jint 资源预算与调用深度 |
+| `V8.Stream` | 仅 `ResponseType=Stream` 的接口引擎可用；SSE/NDJSON 暂态分片写入器 |
 | `V8.Action` | 服务器全局 V8 自定义方法 |
 
 ## 调用、数据与异步
 
 | API | 说明 |
 |---|---|
-| `V8.ApiEngine.Run(...)` | 同步调用接口引擎 |
-| `await V8.ApiEngine.RunAsync(...)` | 请求内异步调用接口引擎 |
-| `V8.Stream.Write(data,eventName?,id?)` | 同步写一个受大小限制的暂态流式分片 |
-| `await V8.Stream.WriteAsync(data,eventName?,id?)` | 等待网络背压后写暂态分片；每次检查返回 `Code` |
+| `V8.ApiEngine.Run(...)` | 同步调用接口引擎 |
+| `await V8.ApiEngine.RunAsync(...)` | 请求内异步调用接口引擎 |
+| `V8.Stream.Write(data,eventName?,id?)` | 同步写一个受大小限制的暂态流式分片 |
+| `await V8.Stream.WriteAsync(data,eventName?,id?)` | 等待网络背压后写暂态分片；每次检查返回 `Code` |
 | `V8.FormEngine.*` | 表单 CRUD，见 `v8-crud-api` |
 | `await V8.FormEngine.GetTableDataAsync(...)` | 请求内异步查列表 |
 | `V8.Db`、`V8.DbRead`、`V8.DbTrans` | 主库、只读库、共享事务 |
 | `V8.DbTrans.FromSql(sql)` | 在平台提供的共享事务内执行参数化 SQL |
 | `V8.Dbs`、`V8.Dbs.Open(...)` | 已配置的扩展数据库 |
-| `V8.MongoDb.*` | MongoDB CRUD；`UptFormDataByWhere` / `DelFormDataByWhere` 强制参数化非空 `_Where`，禁止更新 `_id`，绑定当前 V8 租户，且不参与 `V8.DbTrans` |
+| `V8.MongoDb.*` | MongoDB CRUD；`UptFormDataByWhere` / `DelFormDataByWhere` 强制参数化非空 `_Where`，禁止更新 `_id`，绑定当前 V8 租户，且不参与 `V8.DbTrans` |
 | `V8.DataSourceEngine` | 当前租户数据源引擎对象 |
 | `V8.DataSourceEngine.Run(...)`、`V8.DataSourceEngine.RunAsync(...)` | 同步/请求内异步运行数据源 |
 | `V8.ModuleEngine` | 后端模块模型能力；不能绕过用户模块权限 |
@@ -49,41 +49,41 @@
 | API | 说明 |
 |---|---|
 | `V8.Method.NewGuid()`、`V8.Method.NewUlid()` | 生成标识 |
-| `V8.Method.GetTimestamp()` | Unix 秒时间戳 |
-| `V8.Method.GetBackendVersion()` | 当前 Microi.Core 运行程序集的公开发行版本，格式 `vX.Y.Z`；固定匿名健康接口使用，不返回路径或主机信息 |
+| `V8.Method.GetTimestamp()` | Unix 秒时间戳 |
+| `V8.Method.GetBackendVersion()` | 当前 Microi.Core 运行程序集的公开发行版本，格式 `vX.Y.Z`；固定匿名健康接口使用，不返回路径或主机信息 |
 | `V8.Method.GetCurrentToken(token,osClient)` | 读取当前 Token 对象；不透传前端 |
-| `V8.Method.RefreshLoginUser(userId,osClient?,token?)` | 刷新登录投影；租户取当前 V8/已认证 DiyToken（可信宿主须建立用户+租户作用域），显式 OsClient 仅作一致性断言；普通用户仅本人，同租户超级管理员主库复核后可跨用户。第三参仅兼容历史 `microi-init` 的原始 Token，宿主重新验证且只允许 Token 本人；返回对象、访问密钥、空身份和跨租户均拒绝 |
+| `V8.Method.RefreshLoginUser(userId,osClient?,token?)` | 刷新登录投影；租户取当前 V8/已认证 DiyToken（可信宿主须建立用户+租户作用域），显式 OsClient 仅作一致性断言；普通用户仅本人，同租户超级管理员主库复核后可跨用户。第三参仅兼容历史 `microi-init` 的原始 Token，宿主重新验证且只允许 Token 本人；返回对象、访问密钥、空身份和跨租户均拒绝 |
 | `V8.Method.ClearUserLoginInfo(userId,osClient)` | 管理员吊销用户全部终端 Token |
 | `V8.Method.GetDirectTableGrantPolicies()` | 读取平台表直连授权策略；仅供可信角色表单事件做最终校验 |
 | `V8.Method.ConsumeIdentityVerificationTicket({Ticket,Purpose,ActionHash})` | 按当前 DiyToken 用户、租户、用途和操作摘要原子消费一次性 Passkey/TOTP/人脸票据 |
-| `V8.Method.GetPrivateFileUrl({FilePathName})` | 签发当前租户短期私有文件代理地址 |
-| `V8.Method.ResolveOsClientByDomain(domain)` | 仅允许官方 `platform-os-client-by-domain` 调用；返回最小 OsClient 投影 |
-| `V8.Method.GetPublicSysConfig(lang?)` | 仅允许官方 `platform-sys-config` 调用；返回浏览器安全系统设置投影 |
-| `V8.Method.GetLangBundle(lang?,prefix?)` | 仅允许官方 `platform-lang-bundle` 调用；读取当前租户词条包 |
-| `V8.Method.GetLoginWallpapers()` | 仅允许官方 `platform-login-wallpapers` 调用；固定读取当前租户最多 200 条启用壁纸的 `Id/Name/Category/ImgUrl`，不开放通用匿名表权限 |
-| `V8.Method.GetLegacyInitMenuTree(rawToken, osClient?)` | 仅允许官方 `microi-init` 调用；重新验证请求体原始 DiyToken、拒绝访问密钥与跨租户请求，并按当前角色返回权威菜单树 |
-| `V8.Method.GetAuthorizedPrivateFileUrl(options)` | 仅允许官方 `platform-private-file-url` 调用；重算菜单、行、字段与文件引用授权 |
-| `V8.Method.AuthorizeCurrentUserTenantProvisioning()` | 仅允许官方 `platform-create-tenant` 在 Before Hook 前校验主租户普通登录会话 |
-| `V8.Method.ProvisionCurrentUserTenant(options)` | 仅允许官方 `platform-create-tenant` 调用；所有者、手机号、姓名和密码材料从可信当前用户派生 |
-| `V8.Method.PrepareCurrentUserProfileUpdate(options)` | 仅允许官方 `platform-user-update-profile` 调用；固定当前用户并规范当前租户头像路径 |
-| `V8.Method.ManageSysUserAdmin(options)` | 仅允许官方 `platform-sys-user-admin` 调用；固定身份与租户并执行表权限、角色层级、改密 step-up、内容安全及会话安全边界；授权预检返回规范化 `DataAppend.ChangesPassword` |
-| `V8.Method.AuthorizeOfficialResourcePublish()` | 仅允许官方 `get-microi-upgrade-resource` 的发布分支调用；固定 `iTdos`、拒绝访问密钥并从主库复核平台管理员；不是通用授权 API |
-| `V8.Method.SendWeChatTemplateMessage(options)` | 仅允许消息通知官方 Managed 接口 `wechat_send_tpl_msg` 调用；公众号 AppId/AppSecret 固定从当前租户 `wx_mp` 读取且不进入 V8，脚本只编排接收人、模板、受限模板字段和跳转地址 |
-| `V8.Method.ValidateTenantSystemSettingsOperation(options)` | 仅允许官方 `platform-tenant-system-settings` 调用；拒绝访问密钥、非管理员、Secret/Sensitive Key 和已迁移公开 Key |
-| `V8.Method.GetTenantSystemSettingsSecurityProjection()` | 仅允许官方 `platform-tenant-system-settings` 调用；只返回 Secret 是否已配置与迁移 Key，不返回值或密文 |
-| `V8.Method.Upload(options)` | 受配额限制的上传 |
-| `V8.Method.UploadText(options)` | 直接上传当前租户 UTF-8 文本，避免 Base64 膨胀；仍执行安全文件名、扩展名、HDFS、配额与 256 MB 文本上限 |
-| `V8.Method.AddSysLog(options)` | 结构化系统日志 |
+| `V8.Method.GetPrivateFileUrl({FilePathName})` | 签发当前租户短期私有文件代理地址 |
+| `V8.Method.ResolveOsClientByDomain(domain)` | 仅允许官方 `platform-os-client-by-domain` 调用；返回最小 OsClient 投影 |
+| `V8.Method.GetPublicSysConfig(lang?)` | 仅允许官方 `platform-sys-config` 调用；返回浏览器安全系统设置投影 |
+| `V8.Method.GetLangBundle(lang?,prefix?)` | 仅允许官方 `platform-lang-bundle` 调用；读取当前租户词条包 |
+| `V8.Method.GetLoginWallpapers()` | 仅允许官方 `platform-login-wallpapers` 调用；固定读取当前租户最多 200 条启用壁纸的 `Id/Name/Category/ImgUrl`，不开放通用匿名表权限 |
+| `V8.Method.GetLegacyInitMenuTree(rawToken, osClient?)` | 仅允许官方 `microi-init` 调用；重新验证请求体原始 DiyToken、拒绝访问密钥与跨租户请求，并按当前角色返回权威菜单树 |
+| `V8.Method.GetAuthorizedPrivateFileUrl(options)` | 仅允许官方 `platform-private-file-url` 调用；重算菜单、行、字段与文件引用授权 |
+| `V8.Method.AuthorizeCurrentUserTenantProvisioning()` | 仅允许官方 `platform-create-tenant` 在 Before Hook 前校验主租户普通登录会话 |
+| `V8.Method.ProvisionCurrentUserTenant(options)` | 仅允许官方 `platform-create-tenant` 调用；所有者、手机号、姓名和密码材料从可信当前用户派生 |
+| `V8.Method.PrepareCurrentUserProfileUpdate(options)` | 仅允许官方 `platform-user-update-profile` 调用；固定当前用户并规范当前租户头像路径 |
+| `V8.Method.ManageSysUserAdmin(options)` | 仅允许官方 `platform-sys-user-admin` 调用；固定身份与租户并执行表权限、角色层级、改密 step-up、内容安全及会话安全边界；授权预检返回规范化 `DataAppend.ChangesPassword` |
+| `V8.Method.AuthorizeOfficialResourcePublish()` | 仅允许官方 `get-microi-upgrade-resource` 的发布分支调用；固定 `iTdos`、拒绝访问密钥并从主库复核平台管理员；不是通用授权 API |
+| `V8.Method.SendWeChatTemplateMessage(options)` | 仅允许消息通知官方 Managed 接口 `wechat_send_tpl_msg` 调用；公众号 AppId/AppSecret 固定从当前租户 `wx_mp` 读取且不进入 V8，脚本只编排接收人、模板、受限模板字段和跳转地址 |
+| `V8.Method.ValidateTenantSystemSettingsOperation(options)` | 仅允许官方 `platform-tenant-system-settings` 调用；拒绝访问密钥、非管理员、Secret/Sensitive Key 和已迁移公开 Key |
+| `V8.Method.GetTenantSystemSettingsSecurityProjection()` | 仅允许官方 `platform-tenant-system-settings` 调用；只返回 Secret 是否已配置与迁移 Key，不返回值或密文 |
+| `V8.Method.Upload(options)` | 受配额限制的上传 |
+| `V8.Method.UploadText(options)` | 直接上传当前租户 UTF-8 文本，避免 Base64 膨胀；仍执行安全文件名、扩展名、HDFS、配额与 256 MB 文本上限 |
+| `V8.Method.AddSysLog(options)` | 结构化系统日志 |
 | `V8.Method.ParseWhere(where)` | 兼容旧 Where 转换 |
 | `V8.Method.UpdateBackgroundTask(options)` | 上报已提交单位的后台任务进度 |
 | `V8.Method.RefreshExtensionDatabases(osClient?)` | 配置表提交后刷新全节点 `V8.Dbs` |
 
-管理员维护、备份、清库、缓存连接管理等低层方法即使可见，也不能暴露为普通
-或匿名业务 API。
-
-以上启动、文件、系统账号和租户设置 `platform-*` 原子都是固定 Managed 接口的可信宿主边界，不是普通业务脚本可复用的快捷方法。官网客户端调用对应 `/apiengine/platform-*` 路由；旧 Controller 只保留旧版本兼容。登录壁纸原子不要求 `diy_wallpaper.IsAnonymousRead=1`，也不允许租户 Hook 参与匿名请求。租户个性化逻辑写入应用声明的 `CreateIfMissing` Hook，禁止直接修改会被官方安装或更新恢复的 Managed 接口。密码、DiyToken、Secret 保存和 Reveal 仍属于 C# 可信边界。
-
-旧客户端兼容路由 `/api/SysUser/UpdateMyDefaultIndexUrl`、`/api/SysUser/UpdateCurrentProfile` 和 `/api/TenantSystemSettings/List` 只固定转发上述 Managed 接口；新客户端不得继续以 Controller 作为业务事实源。
+管理员维护、备份、清库、缓存连接管理等低层方法即使可见，也不能暴露为普通
+或匿名业务 API。
+
+以上启动、文件、系统账号和租户设置 `platform-*` 原子都是固定 Managed 接口的可信宿主边界，不是普通业务脚本可复用的快捷方法。官网客户端调用对应 `/apiengine/platform-*` 路由；旧 Controller 只保留旧版本兼容。登录壁纸原子不要求 `diy_wallpaper.IsAnonymousRead=1`，也不允许租户 Hook 参与匿名请求。租户个性化逻辑写入应用声明的 `CreateIfMissing` Hook，禁止直接修改会被官方安装或更新恢复的 Managed 接口。密码、DiyToken、Secret 保存和 Reveal 仍属于 C# 可信边界。
+
+旧客户端兼容路由 `/api/SysUser/UpdateMyDefaultIndexUrl`、`/api/SysUser/UpdateCurrentProfile` 和 `/api/TenantSystemSettings/List` 只固定转发上述 Managed 接口；新客户端不得继续以 Controller 作为业务事实源。
 
 ## Base64 与加密
 
@@ -118,46 +118,46 @@ MD5/SHA1 仅为兼容摘要；任何摘要都不能直接作为新密码存储
 `V8.Image` 和 `V8.Tcp` 由当前 `Microi.V8Engine/V8Extend.cs` 注册。扩展可被裁剪或二次
 开发，调用前以目标部署源码和编辑器定义为准。
 
-- `V8.Alipay.CreatePay(...)` 创建支付宝支付参数；
-  `V8.Alipay.Test22(...)` 是历史诊断方法，不能作为生产业务接口。
-- `V8.WeChat` 当前包含签名、授权头与 AES-GCM 解密等微信支付协议原子，
-  精确边界见下节。
-- 自定义扩展通过 `V8ExtensionRegistry.Register(name,factory)` 注册为
-  `V8.<name>`；不要把某个客户的扩展名写成全平台标准能力。
-
-支付/微信/DNS 扩展必须只读取当前租户受控凭据，调用前校验权限、金额、订单状态、
-幂等键和回调签名；私钥、Secret 和原始签名材料不得进入日志或响应。
-
-### V8.WeChat 微信支付最小协议原子
-
-| API | 说明 |
-|---|---|
-| `V8.WeChat.AesGcmDecrypt(associatedData, nonce, ciphertext, apiV3Key)` | 解密微信支付 API v3 `resource`，同时认证密文尾部 GCM 标签 |
-| `V8.WeChat.GetWeChatSign(privateKeyPem, paramList)` | 按参数顺序和换行规则生成 SHA256-RSA2048 Base64 签名 |
-| `V8.WeChat.GetWeChatAuthorization(mchid, serialNo, privateKeyPem, wxApiAddress, body)` | 为 `POST` 请求生成 `WECHATPAY2-SHA256-RSA2048` Authorization 值；路径和 Query 必须与真实请求一致 |
-
-`AesGcmDecrypt` 的四个参数具有不同编码，不能统一按 Base64 处理：
-
-| 参数 | 必须采用的编码 |
-|---|---|
-| `apiV3Key` | 商户 APIv3 密钥原文的 UTF-8 字节，必须恰好 32 字节 |
-| `nonce` | `resource.nonce` 原文的 UTF-8 字节，必须恰好 12 字节；**不是 Base64** |
-| `associatedData` | `resource.associated_data` 原文的 UTF-8 字节；缺省时使用空字节串 |
-| `ciphertext` | 唯一需要 Base64 解码的参数；解码结果是“密文 + 尾部 16 字节 GCM 标签”，必须完整交给解密器 |
-
-禁止把 `nonce` 改为 Base64 解码，也不要增加“UTF-8/Base64 两种 nonce 都接受”的
-模糊兼容分支。`AesGcmDecrypt` 只完成资源解密与 GCM 完整性认证，不等于微信支付
-HTTP 回调签名验证；必须先使用原始请求体和 `Wechatpay-*` 请求头完成平台签名验证。
-
-该对象保持最小协议原子：C# 只承担路由、原始报文、可信验签、租户恢复和密钥隔离等
-V8 无法安全表达的边界；订单/退款状态、商户与金额复核、幂等、事务、日志、通知和
-outbox 编排放在接口引擎。密钥从当前租户 `V8.SysConfig.ServerPrivateSettings` 等受控
-私密配置读取，不写进 V8 源码、请求参数、日志或响应。
-
-回归测试至少覆盖：微信支付官方固定向量可解密、篡改密文或标签必然认证失败，以及
-真实 Jint 表达式 `V8.WeChat.AesGcmDecrypt(...)` 可调用；只直接测试 C# 方法不算完成。
-
-## 其它后端扩展
+- `V8.Alipay.CreatePay(...)` 创建支付宝支付参数；
+  `V8.Alipay.Test22(...)` 是历史诊断方法，不能作为生产业务接口。
+- `V8.WeChat` 当前包含签名、授权头与 AES-GCM 解密等微信支付协议原子，
+  精确边界见下节。
+- 自定义扩展通过 `V8ExtensionRegistry.Register(name,factory)` 注册为
+  `V8.<name>`；不要把某个客户的扩展名写成全平台标准能力。
+
+支付/微信/DNS 扩展必须只读取当前租户受控凭据，调用前校验权限、金额、订单状态、
+幂等键和回调签名；私钥、Secret 和原始签名材料不得进入日志或响应。
+
+### V8.WeChat 微信支付最小协议原子
+
+| API | 说明 |
+|---|---|
+| `V8.WeChat.AesGcmDecrypt(associatedData, nonce, ciphertext, apiV3Key)` | 解密微信支付 API v3 `resource`，同时认证密文尾部 GCM 标签 |
+| `V8.WeChat.GetWeChatSign(privateKeyPem, paramList)` | 按参数顺序和换行规则生成 SHA256-RSA2048 Base64 签名 |
+| `V8.WeChat.GetWeChatAuthorization(mchid, serialNo, privateKeyPem, wxApiAddress, body)` | 为 `POST` 请求生成 `WECHATPAY2-SHA256-RSA2048` Authorization 值；路径和 Query 必须与真实请求一致 |
+
+`AesGcmDecrypt` 的四个参数具有不同编码，不能统一按 Base64 处理：
+
+| 参数 | 必须采用的编码 |
+|---|---|
+| `apiV3Key` | 商户 APIv3 密钥原文的 UTF-8 字节，必须恰好 32 字节 |
+| `nonce` | `resource.nonce` 原文的 UTF-8 字节，必须恰好 12 字节；**不是 Base64** |
+| `associatedData` | `resource.associated_data` 原文的 UTF-8 字节；缺省时使用空字节串 |
+| `ciphertext` | 唯一需要 Base64 解码的参数；解码结果是“密文 + 尾部 16 字节 GCM 标签”，必须完整交给解密器 |
+
+禁止把 `nonce` 改为 Base64 解码，也不要增加“UTF-8/Base64 两种 nonce 都接受”的
+模糊兼容分支。`AesGcmDecrypt` 只完成资源解密与 GCM 完整性认证，不等于微信支付
+HTTP 回调签名验证；必须先使用原始请求体和 `Wechatpay-*` 请求头完成平台签名验证。
+
+该对象保持最小协议原子：C# 只承担路由、原始报文、可信验签、租户恢复和密钥隔离等
+V8 无法安全表达的边界；订单/退款状态、商户与金额复核、幂等、事务、日志、通知和
+outbox 编排放在接口引擎。密钥从当前租户 `V8.SysConfig.ServerPrivateSettings` 等受控
+私密配置读取，不写进 V8 源码、请求参数、日志或响应。
+
+回归测试至少覆盖：微信支付官方固定向量可解密、篡改密文或标签必然认证失败，以及
+真实 Jint 表达式 `V8.WeChat.AesGcmDecrypt(...)` 可调用；只直接测试 C# 方法不算完成。
+
+## 其它后端扩展
 
 | 能力 | API |
 |---|---|

package/skills/v8-workflow/SKILL.md

@@ -58,14 +58,14 @@ description: Microi V8 工作流事件指南。用于编写审批流条件、节
 ```javascript
 // 我的待办
 var todo = V8.Db.FromSql(
-  'SELECT * FROM wf_work WHERE TodoUserId = @p0 AND Status = @p1 ORDER BY CreateTime DESC'
+  'SELECT Id, FlowId, NodeId, FlowTitle, WorkState, ReceiverId, TableRowId FROM wf_work WHERE ReceiverId = @p0 AND WorkState = @p1 ORDER BY CreateTime DESC'
 ).AddInParameter("@p0", V8.CurrentUser.Id)
- .AddInParameter("@p1", 'Pending')
+ .AddInParameter("@p1", 'Todo')
  .ToArray();
 
 // 我发起的
 var mine = V8.Db.FromSql(
-  'SELECT * FROM wf_flow WHERE CreateUserId = @p0 ORDER BY CreateTime DESC'
+  'SELECT Id, FlowTitle, FlowState, SenderId, TableRowId FROM wf_flow WHERE SenderId = @p0 ORDER BY CreateTime DESC'
 ).AddInParameter("@p0", V8.CurrentUser.Id)
  .ToArray();
 
@@ -78,7 +78,16 @@ var history = V8.Db.FromSql(
 
 <!-- /microi-progressive:chunk -->
 <!-- microi-progressive:chunk id=v8-workflow-002 sha256=1f94d40c041929aafc45ec975f42bcbbc50c3ba424ed499c7bdf65fa73a41041 -->
-## 流程 V8 事件执行顺序
+## 流程 V8 事件执行顺序
+
+工作流合并提交请求的 `_FormSubmitAction` 可使用 `Add/Edit`；表单后端事件中的
+`V8.FormSubmitAction` 实际为 `Insert/Update/Delete`，两者不能混淆。删除事件把服务端
+读取的待删除行放在 `V8.Form`，`V8.OldForm` 为空；校验删除归属、状态或引用时应以
+`V8.Form.Id` 在共享事务中重新读取并锁定原行，不应假定 `OldForm` 与修改事件相同。
+
+节点开始事件成功继续流转时保持 `V8.Result` 为空或设为布尔 `true`；不要用
+`V8.Result={Code:1}`，非布尔结果会提前结束当前流转。节点校验失败应抛出异常，
+尤其节点结束事件不可依赖 `return {Code:0}` 阻止事务提交。
 
 1. 用户点击发起流程或处理工作
 2. **表单进入 V8 事件（前端 FormIn）**

package/skills/vision-engine/SKILL.md

@@ -36,12 +36,12 @@ Microi.Vision 是可信 .NET 宿主中的最小视觉原子层，只负责：
 
 | 组件 | 策略 | 职责 |
 |---|---|---|
-| `platform-vision-runtime` | `Managed` | Recognize/Enroll/Result/Recent/Correct/Bootstrap/Capabilities |
+| `platform-vision-runtime` | `Managed` | Recognize/Enroll/Result/Recent/Correct/Bootstrap/Capabilities |
 | `platform-vision-ai-worker` | `Managed` | 持久任务消费、Microi.AI 视觉调用、回写与敏感图片清理 |
 | `platform-vision-category-options` | `Managed` | 当前租户启用分类选项 |
 | `platform-vision-subject-options` | `Managed` | 当前租户启用对象选项 |
 | `platform-vision-custom-hook` | `CreateIfMissing` | 租户自己的低敏业务扩展，官方升级永不覆盖 |
-| `microi-vision/workbench` | MicroService | 图片、摄像头帧、连续模式、来源阶段、最近记录、纠错与样本录入 |
+| `microi-vision/workbench` | MicroService | 图片、摄像头帧、连续模式、来源阶段、最近记录、纠错与样本录入 |
 
 详细数据、状态、协议和验收规范见 [architecture-and-acceptance.md](references/architecture-and-acceptance.md)。
 
@@ -58,9 +58,9 @@ Microi.Vision 是可信 .NET 宿主中的最小视觉原子层，只负责：
 7. AI 开启时先保存私有输入并创建共享后台任务，立即返回 `Status=AiPending`；
 8. Worker 收敛到 `AiMatched` 或 `Failed`，前端用同一 `RequestNo` 轮询。
 
-不得同步阻塞前端等待大模型，不得把 AI 结果自动写入可信对象主数据，也不得把本地相似度与 AI 置信度混成一个分数。生鲜的冰冻状态、新鲜度、预估价格/单位/币种也必须按字段保存 `Database/AI/Manual` 来源：样本或对象主数据优先，只有数据库未命中后才允许 AI 推断；AI 价格只是非约束估计，不能直接覆盖门店售价。
-
-历史记录纠错使用 `Correct` 动作：只允许绑定当前租户中启用且模式兼容的对象，记录原标签、原来源、修正人、时间和原因；选择 `SaveAsSample` 时通过来源 `RequestNo` 做幂等录入。AI 结果不得自动加入 `Ready` 样本，必须由有权限的用户明确确认。`Recent/Result` 只返回 `HasImage` 与后端生成的短期授权 URL，禁止把 `InputFilePath`、图片 Base64 或永久公开地址交给浏览器。
+不得同步阻塞前端等待大模型，不得把 AI 结果自动写入可信对象主数据，也不得把本地相似度与 AI 置信度混成一个分数。生鲜的冰冻状态、新鲜度、预估价格/单位/币种也必须按字段保存 `Database/AI/Manual` 来源：样本或对象主数据优先，只有数据库未命中后才允许 AI 推断；AI 价格只是非约束估计，不能直接覆盖门店售价。
+
+历史记录纠错使用 `Correct` 动作：只允许绑定当前租户中启用且模式兼容的对象，记录原标签、原来源、修正人、时间和原因；选择 `SaveAsSample` 时通过来源 `RequestNo` 做幂等录入。AI 结果不得自动加入 `Ready` 样本，必须由有权限的用户明确确认。`Recent/Result` 只返回 `HasImage` 与后端生成的短期授权 URL，禁止把 `InputFilePath`、图片 Base64 或永久公开地址交给浏览器。
 
 ## V8 原子函数
 
@@ -118,17 +118,17 @@ var voted = await V8.Vision.Stabilize({
 
 ## 视频入口
 
-前端使用 `getUserMedia` 并按 `FrameIntervalMs` 取帧，必须提供开启、暂停、继续、立即识别当前帧和关闭操作；每次打开摄像头生成新的 `StreamSessionId`，每帧递增 `FrameSequence`。自动连续模式允许跳过相同画面，人工主按钮必须显式绕过前端去重以提交当前帧。可信边缘宿主将 RTSP/WebRTC 解码为 `IAsyncEnumerable<MicroiVisionExtractParam>` 后调用 `RecognizeFramesAsync`。Microi.Vision 不直接连接调用方提交的 RTSP URL，不保存摄像头账号，不承担流媒体服务器职责。
-
-打开摄像头、`getUserMedia`、`video.play()`、关闭和组件卸载之间必须使用递增操作令牌或等价取消机制。关闭时先同步写入关闭态并使旧操作失效，再停止轨道和清空 `srcObject`；不能等待媒体清理完成后才改 UI，否则快速关闭会被较早的异步打开流程反向覆盖。移动控件或条件渲染按钮可在 `pointerdown` 立即执行停止语义，并对随后 `click` 做短时去重，防止 DOM 重排吞掉关闭操作。
+前端使用 `getUserMedia` 并按 `FrameIntervalMs` 取帧，必须提供开启、暂停、继续、立即识别当前帧和关闭操作；每次打开摄像头生成新的 `StreamSessionId`，每帧递增 `FrameSequence`。自动连续模式允许跳过相同画面，人工主按钮必须显式绕过前端去重以提交当前帧。可信边缘宿主将 RTSP/WebRTC 解码为 `IAsyncEnumerable<MicroiVisionExtractParam>` 后调用 `RecognizeFramesAsync`。Microi.Vision 不直接连接调用方提交的 RTSP URL，不保存摄像头账号，不承担流媒体服务器职责。
+
+打开摄像头、`getUserMedia`、`video.play()`、关闭和组件卸载之间必须使用递增操作令牌或等价取消机制。关闭时先同步写入关闭态并使旧操作失效，再停止轨道和清空 `srcObject`；不能等待媒体清理完成后才改 UI，否则快速关闭会被较早的异步打开流程反向覆盖。移动控件或条件渲染按钮可在 `pointerdown` 立即执行停止语义，并对随后 `click` 做短时去重，防止 DOM 重排吞掉关闭操作。
+
+连续帧必须有：最大图片大小、最小间隔、单客户端串行、取消/停止、RequestId 幂等、网络退避和后台任务去重。不能每个视频帧都无界调用大模型。接口返回 `AiPending` 后，前端必须进入 single-flight 状态：暂停提交新帧，只轮询当前 `RequestId`，直到 `AiMatched/AiFailed/Unmatched`、超时或用户取消后才允许下一帧；禁止并行创建多个 AI 任务。
+
+跨版本接口字段必须在协议边界归一化。连续稳定结果至少兼容 `.NET` 原子常用的 `VoteCount/WindowCount/AverageConfidence` 与历史接口的 `Votes/WindowSize/Confidence`，前端只读取归一化 DTO，任何真实响应都不得展示 `undefined/undefined`。
+
+手机收银/巡检工作台属于高频全屏操作面：在宿主提供的可用高度内同时露出取景区、主要识别按钮、当前状态、核心结果和“最近识别”入口，不依赖页面纵向滚动才能完成一次识别；竖屏按采集/结果/最近记录三段紧凑分配，短横屏改为三列，且不得改变已验收的桌面布局。历史列表可以成为卡片内部的唯一滚动区。相机权限拒绝、数据库匹配中、数据库未命中、AI 等待、终态结果和恢复操作都要在当前视口可见，平台底部菜单和安全区不得遮挡按钮。
 
-连续帧必须有：最大图片大小、最小间隔、单客户端串行、取消/停止、RequestId 幂等、网络退避和后台任务去重。不能每个视频帧都无界调用大模型。接口返回 `AiPending` 后，前端必须进入 single-flight 状态：暂停提交新帧，只轮询当前 `RequestId`，直到 `AiMatched/AiFailed/Unmatched`、超时或用户取消后才允许下一帧；禁止并行创建多个 AI 任务。
-
-跨版本接口字段必须在协议边界归一化。连续稳定结果至少兼容 `.NET` 原子常用的 `VoteCount/WindowCount/AverageConfidence` 与历史接口的 `Votes/WindowSize/Confidence`，前端只读取归一化 DTO，任何真实响应都不得展示 `undefined/undefined`。
-
-手机收银/巡检工作台属于高频全屏操作面：在宿主提供的可用高度内同时露出取景区、主要识别按钮、当前状态、核心结果和“最近识别”入口，不依赖页面纵向滚动才能完成一次识别；竖屏按采集/结果/最近记录三段紧凑分配，短横屏改为三列，且不得改变已验收的桌面布局。历史列表可以成为卡片内部的唯一滚动区。相机权限拒绝、数据库匹配中、数据库未命中、AI 等待、终态结果和恢复操作都要在当前视口可见，平台底部菜单和安全区不得遮挡按钮。
-
-桌面工作台使用宿主可用宽度，不再用固定窄版 `max-width`；采集、结果、最近记录同屏三栏。预览使用有界容器和 `object-fit: contain`，上传竖图或打开摄像头不能撑高整个页面。不要同时提供语义重复的底部“再次识别当前画面”和主操作按钮；保留一个清晰的“立即识别”，连续模式另提供暂停/继续。
+桌面工作台使用宿主可用宽度，不再用固定窄版 `max-width`；采集、结果、最近记录同屏三栏。预览使用有界容器和 `object-fit: contain`，上传竖图或打开摄像头不能撑高整个页面。不要同时提供语义重复的底部“再次识别当前画面”和主操作按钮；保留一个清晰的“立即识别”，连续模式另提供暂停/继续。
 
 ## 交付顺序
 
@@ -146,9 +146,9 @@ var voted = await V8.Vision.Stabilize({
 ## 禁止事项
 
 - 禁止用 HTTP 200、构建成功、Mock UI、同一图片命中代替真实商品/人脸准确率。
-- 禁止把大模型标签伪装成数据库命中或权威身份。
-- 禁止把 AI 新鲜度、冰冻状态或估价伪装成传感器、检疫、食品安全结论或正式售价。
-- 禁止把历史识别的原始私有文件路径或永久公开 URL 返回前端，也禁止未经人工确认把 AI 结果自动沉淀为可信样本。
+- 禁止把大模型标签伪装成数据库命中或权威身份。
+- 禁止把 AI 新鲜度、冰冻状态或估价伪装成传感器、检疫、食品安全结论或正式售价。
+- 禁止把历史识别的原始私有文件路径或永久公开 URL 返回前端，也禁止未经人工确认把 AI 结果自动沉淀为可信样本。
 - 禁止在接口参数中接受模型目录、任意本地路径、任意网络地址或执行提供程序。
 - 禁止把图片 Base64、原始人脸、向量、提示词、AI Key 写入 Hook 或普通日志。
 - 禁止用进程内队列、`static` 字典或本地文件作为 AI 任务完成事实源。
@@ -157,4 +157,4 @@ var voted = await V8.Vision.Stabilize({
 
 ## 验收输出
 
-最终报告至少分开列出：源码测试、5 表/字段/索引、7 菜单、5 引擎/4 事件、微服务源码与构建哈希、商城包与版本、框架制品、目标节点版本、真实浏览器、PC/手机横竖屏布局、历史图片与纠错、真实图片素材来源、数据库命中、AI 回退、生鲜属性/价格来源、人脸同意、模型准确率和未执行的物理设备测试。
+最终报告至少分开列出：源码测试、5 表/字段/索引、7 菜单、5 引擎/4 事件、微服务源码与构建哈希、商城包与版本、框架制品、目标节点版本、真实浏览器、PC/手机横竖屏布局、历史图片与纠错、真实图片素材来源、数据库命中、AI 回退、生鲜属性/价格来源、人脸同意、模型准确率和未执行的物理设备测试。

package/skills/vision-engine/references/architecture-and-acceptance.md

@@ -5,9 +5,9 @@
 | 表 | 主业务键 | 关键字段 |
 |---|---|---|
 | `mci_vision_category` | `CategoryNo` | Name、Scope、ParentId、Sort、Enabled |
-| `mci_vision_subject` | `ObjectNo` | Name、CategoryId、ObjectType、RecognitionMode、ThresholdOverride、ReviewRequired、默认价格/单位/币种 |
-| `mci_vision_sample` | `SampleNo` | SubjectId、Mode、ImagePath、EmbeddingBase64、ModelKey、QualityScore、Status、冰冻/新鲜度/价格及来源请求 |
-| `mci_vision_request` | `RequestNo` | Mode、Status、MatchSource、StreamSessionId、FrameSequence、DetectionsJson、StabilityJson、AI 字段、冰冻/新鲜度/价格及各自来源、纠错审计、耗时 |
+| `mci_vision_subject` | `ObjectNo` | Name、CategoryId、ObjectType、RecognitionMode、ThresholdOverride、ReviewRequired、默认价格/单位/币种 |
+| `mci_vision_sample` | `SampleNo` | SubjectId、Mode、ImagePath、EmbeddingBase64、ModelKey、QualityScore、Status、冰冻/新鲜度/价格及来源请求 |
+| `mci_vision_request` | `RequestNo` | Mode、Status、MatchSource、StreamSessionId、FrameSequence、DetectionsJson、StabilityJson、AI 字段、冰冻/新鲜度/价格及各自来源、纠错审计、耗时 |
 | `mci_vision_profile` | `ProfileKey` | 两类 ModelKey/Threshold、TopK、CandidateLimit、HnswEfSearch、连续投票、AI 开关、取帧间隔、保留策略 |
 
 数据库隔离租户的业务表物理层可能没有 `OsClient` 列；建索引前必须以 `microi_get_db_schema` 和物理索引回读为准。若当前部署是共享表租户模型，才把真实租户字段放到唯一索引前缀，不能机械套用。
@@ -30,15 +30,15 @@
 | `LocalMatched` | `Database` | 是 | 当前模型版本样本达到阈值 |
 | `AiPending` | `None` | 否 | 后台任务已接受 |
 | `Unmatched` | `None` | 是 | 未命中且 AI 关闭 |
-| `AiMatched` | `AI` | 是 | AI 标签已回写 |
-| `Corrected` | `Manual` | 是 | 用户已把结果修正为当前租户的可信对象 |
+| `AiMatched` | `AI` | 是 | AI 标签已回写 |
+| `Corrected` | `Manual` | 是 | 用户已把结果修正为当前租户的可信对象 |
 | `Failed` | `None` | 是 | 本地流水线或 Worker 最终失败 |
 | `ManualReview` | `None` | 是 | 高风险场景需要人工复核 |
 | `LowQuality` | `None` | 是 | 低于质量阈值 |
 
-`Status` 与 `MatchSource` 必须一起返回。AI 成功不应填充 `SubjectId`，除非后续人工确认并通过正常业务接口绑定。
-
-生鲜字段同样保留独立来源：`FrozenStateSource`、`FreshnessSource`、`PriceSource` 只能是 `Database/AI/Manual/None`。数据库命中时样本字段优先、对象默认价格次之；未命中后 AI 才能补充。价格是区间与单位估计，不是订单或称重结算事实。
+`Status` 与 `MatchSource` 必须一起返回。AI 成功不应填充 `SubjectId`，除非后续人工确认并通过正常业务接口绑定。
+
+生鲜字段同样保留独立来源：`FrozenStateSource`、`FreshnessSource`、`PriceSource` 只能是 `Database/AI/Manual/None`。数据库命中时样本字段优先、对象默认价格次之；未命中后 AI 才能补充。价格是区间与单位估计，不是订单或称重结算事实。
 
 ## Runtime 请求
 
@@ -71,7 +71,7 @@ Face 模式必须 `ConsentConfirmed=true`；服务端不能只信任前端 check
 
 轮询应在终态停止，并使用指数或有界间隔；页面卸载、取消或新帧覆盖旧帧时应中止旧轮询。
 
-### Enroll
+### Enroll
 
 ```json
 {
@@ -83,25 +83,25 @@ Face 模式必须 `ConsentConfirmed=true`；服务端不能只信任前端 check
 }
 ```
 
-服务端读取对象的 Category/Mode，不能信任调用方自行提交 SubjectName、CategoryName 或 ModelKey。
-
-### Correct
-
-```json
-{
-  "Action": "Correct",
-  "RequestNo": "待修正识别记录",
-  "SubjectId": "当前租户正确对象Id",
-  "CorrectionReason": "人工复核原因",
-  "SaveAsSample": true
-}
-```
-
-服务端必须重新读取请求和对象，校验租户、权限、启用状态与识别模式；保存原结果、修正人、时间和原因。`SaveAsSample=true` 时按来源请求幂等录入，不能因重试重复生成样本，也不能绕过正常 `Enroll` 的图片、质量、模型和人脸同意门禁。
+服务端读取对象的 Category/Mode，不能信任调用方自行提交 SubjectName、CategoryName 或 ModelKey。
+
+### Correct
+
+```json
+{
+  "Action": "Correct",
+  "RequestNo": "待修正识别记录",
+  "SubjectId": "当前租户正确对象Id",
+  "CorrectionReason": "人工复核原因",
+  "SaveAsSample": true
+}
+```
+
+服务端必须重新读取请求和对象，校验租户、权限、启用状态与识别模式；保存原结果、修正人、时间和原因。`SaveAsSample=true` 时按来源请求幂等录入，不能因重试重复生成样本，也不能绕过正常 `Enroll` 的图片、质量、模型和人脸同意门禁。
 
 ## 公开结果最小字段
 
-允许返回：RequestNo、FrameId、StreamSessionId、FrameSequence、Mode、Status、MatchSource、SubjectId/Name、CategoryId/Name、LocalSimilarity、Confidence、对象框/TrackId、Stability、AiLabel/Category/Description/Candidates、FrozenState/Freshness/EstimatedPrice/Unit/Currency 及各自来源、ModelKey/Version、ImageWidth/Height、QualityScore、HasImage、短期授权 ImageUrl、RequestedAt、CompletedAt、ElapsedMs、ErrorMessage 和不含秘密的纠错审计摘要。
+允许返回：RequestNo、FrameId、StreamSessionId、FrameSequence、Mode、Status、MatchSource、SubjectId/Name、CategoryId/Name、LocalSimilarity、Confidence、对象框/TrackId、Stability、AiLabel/Category/Description/Candidates、FrozenState/Freshness/EstimatedPrice/Unit/Currency 及各自来源、ModelKey/Version、ImageWidth/Height、QualityScore、HasImage、短期授权 ImageUrl、RequestedAt、CompletedAt、ElapsedMs、ErrorMessage 和不含秘密的纠错审计摘要。
 
 禁止返回：EmbeddingBase64、InputFilePath、图片 Base64、模型磁盘路径、AI Provider Key、系统提示词、后台任务内部载荷。
 
@@ -153,11 +153,11 @@ Face 模式必须 `ConsentConfirmed=true`；服务端不能只信任前端 check
 - 数据库优先且 AI 不入队；
 - 未命中 + AI 开启立即返回 AiPending；
 - Worker 成功/失败/重复消费收敛；
-- AI 关闭直接 Unmatched；
-- 低质量不进入匹配；
-- 生鲜字段数据库优先、AI 只在未命中后补充，字段来源不会串改；
-- Correct 校验对象与模式、保存原结果和审计，SaveAsSample 按 RequestNo 幂等；
-- Recent/Result 的历史图片只返回授权 URL，不返回原始私有路径；
+- AI 关闭直接 Unmatched；
+- 低质量不进入匹配；
+- 生鲜字段数据库优先、AI 只在未命中后补充，字段来源不会串改；
+- Correct 校验对象与模式、保存原结果和审计，SaveAsSample 按 RequestNo 幂等；
+- Recent/Result 的历史图片只返回授权 URL，不返回原始私有路径；
 - 受保护向量只能在同租户同核心引擎解开；
 - Hook 不接收敏感载荷且 CreateIfMissing 不被升级覆盖。
 
@@ -166,10 +166,10 @@ Face 模式必须 `ConsentConfirmed=true`；服务端不能只信任前端 check
 - 已登录真实菜单打开 MicroService，不是独立 Mock 页面；
 - 桌面、窄屏、暗色、键盘焦点和文字对比度；
 - 上传预览、清除、重复选择、错误格式/超限；
-- 摄像头授权拒绝、成功、暂停、继续、强制当前帧、快速关闭与卸载清理；覆盖 getUserMedia/video.play 与关闭竞态；
-- Database/AiPending/AI/Manual/Unmatched/LowQuality/AiFailed 状态和数据库→AI 两段进度；
-- 桌面全宽三栏；390×844 竖屏和短横屏中采集、结果、最近记录同屏，页面级无纵向滚动且不被宿主底栏遮挡；
-- 历史缩略图授权加载、原画弹窗、纠错和可选存样本；
+- 摄像头授权拒绝、成功、暂停、继续、强制当前帧、快速关闭与卸载清理；覆盖 getUserMedia/video.play 与关闭竞态；
+- Database/AiPending/AI/Manual/Unmatched/LowQuality/AiFailed 状态和数据库→AI 两段进度；
+- 桌面全宽三栏；390×844 竖屏和短横屏中采集、结果、最近记录同屏，页面级无纵向滚动且不被宿主底栏遮挡；
+- 历史缩略图授权加载、原画弹窗、纠错和可选存样本；
 - FaceConsent 默认未勾选，未同意按钮禁用且后端拒绝；
 - Console/PageError/失败请求为 0 或逐项解释。