@microi.net/cli 6.0.9 → 6.1.1

package/skills/microi-sso/references/outbound.md

@@ -1,43 +1,43 @@
-# 吾码向第三方提供登录
-
-## 共同边界
-
-先验证当前交互式 DiyToken，再生成第三方协议票据。访问密钥会话不能替代用户交互授权。外部 Client/SP/service 只能读取按 Scope/映射允许的最小资料，不能获得 DiyToken、菜单权限对象或内部角色策略。
-
-## OIDC Provider
-
-应提供：
-
-- Discovery、JWKS、Authorize、Token、UserInfo。
-- 机密客户端认证与公共客户端 PKCE S256。
-- 一次性授权码，绑定 ClientId、Redirect URI、Scope、PKCE、用户、租户和过期时间。
-- 签名 id_token，校验 nonce；按客户端派生 pairwise subject。
-- 高熵不透明 Access/Refresh Token；仅保存哈希索引。
-- Refresh Token rotation/reuse detection，family 撤销。
-- Introspection、Revocation、RP-Initiated Logout 与精确 post-logout redirect。
-
-Client Secret 轮换动作只显示一次明文，持久化 PBKDF2-SHA256 哈希。签名 Key 必须有 `kid`，轮换时保留验证重叠窗口。
-
-对外 Claim 固定由 `sso_outbound_claims` 从启用用户与连接白名单生成；24 个 `sso_http_*` Managed 端点通过 `RunSsoProtocol` 把同一投影编码成 OIDC/SAML/CAS 响应。Client Secret 轮换由 `sso_rotate_client_secret` 编排，并调用精确受限的可信原子生成一次性明文与持久哈希，不能恢复为 Controller 定制动作。
-
-## SAML IdP
-
-应提供 IdP Metadata、SSO、签名 Response/Assertion、可选加密和 SLO。必须校验 SP Entity ID、ACS、Destination、AuthnRequest 签名/重放；Attribute 只来自白名单映射。每个伙伴独立证书/配置，不把私钥放进应用包或前端。
-
-## CAS Server
-
-应提供 `/login`、CAS 1.0 `/validate`、CAS 2.0 `/serviceValidate`、CAS 3.0 `/p3/serviceValidate` 和 `/logout`。Service Ticket 必须：
-
-- 随机、短时、单次使用。
-- 绑定当前租户、连接、用户和精确 service。
-- 校验成功才返回用户属性；CAS 1.0 使用协议规定的 yes/no 文本。
-
-当前不实现 CAS Proxy Ticket；需要代理链时先评估改用 OIDC。
-
-## 授权页面
-
-OIDC 公共客户端 `ClientAuthMethod=none` 每次授权都必须由用户在官方页面明确确认；已有 Provider Session 也不能自动返回 code，调用方删除或修改 prompt 不能绕过确认。`prompt=none` 返回 `interaction_required`，只向已校验的精确 redirect URI 回传错误与 state，不签发 code，也不强行打开确认页。缺失 prompt 或其它受支持的交互请求进入 opaque RequestId 确认流程；机密客户端保留既有 Provider Session 自动授权及显式 consent 行为。
-
-`CompleteAuthorization` 的 `Preview=true` 只在当前交互式 DiyToken 下读取授权卡片，校验当前客户端启用状态、精确回调和 Scope，返回当前官方账号、目标系统、回调、Scope 与有效期的白名单投影。重复 Preview 不消费 RequestId，不返回 code、state、nonce、PKCE challenge、DiyToken 或客户端秘密；真正确认时才原子消费请求并再次校验客户端配置。账号确认使用 `ExpectedUserId` 收紧校验，授权身份始终来自当前 DiyToken，不能由页面指定。
-
-没有有效 Provider Session 的交互请求先跳到吾码登录页，登录成功回到一次性 handoff。页面必须说明目标系统、当前官方账号、请求 Scope 和退出影响；任何第三方请求的 Scope 都不能自动映射为吾码管理员能力。上线验收须实际重复 Preview、再确认取得 code，不能用 HTTP 200 或旧 API 忽略 Preview 后直接消费请求的结果代替协议证据。
+# 吾码向第三方提供登录
+
+## 共同边界
+
+先验证当前交互式 DiyToken，再生成第三方协议票据。访问密钥会话不能替代用户交互授权。外部 Client/SP/service 只能读取按 Scope/映射允许的最小资料，不能获得 DiyToken、菜单权限对象或内部角色策略。
+
+## OIDC Provider
+
+应提供：
+
+- Discovery、JWKS、Authorize、Token、UserInfo。
+- 机密客户端认证与公共客户端 PKCE S256。
+- 一次性授权码，绑定 ClientId、Redirect URI、Scope、PKCE、用户、租户和过期时间。
+- 签名 id_token，校验 nonce；按客户端派生 pairwise subject。
+- 高熵不透明 Access/Refresh Token；仅保存哈希索引。
+- Refresh Token rotation/reuse detection，family 撤销。
+- Introspection、Revocation、RP-Initiated Logout 与精确 post-logout redirect。
+
+Client Secret 轮换动作只显示一次明文，持久化 PBKDF2-SHA256 哈希。签名 Key 必须有 `kid`，轮换时保留验证重叠窗口。
+
+对外 Claim 固定由 `sso_outbound_claims` 从启用用户与连接白名单生成；24 个 `sso_http_*` Managed 端点通过 `RunSsoProtocol` 把同一投影编码成 OIDC/SAML/CAS 响应。Client Secret 轮换由 `sso_rotate_client_secret` 编排，并调用精确受限的可信原子生成一次性明文与持久哈希，不能恢复为 Controller 定制动作。
+
+## SAML IdP
+
+应提供 IdP Metadata、SSO、签名 Response/Assertion、可选加密和 SLO。必须校验 SP Entity ID、ACS、Destination、AuthnRequest 签名/重放；Attribute 只来自白名单映射。每个伙伴独立证书/配置，不把私钥放进应用包或前端。
+
+## CAS Server
+
+应提供 `/login`、CAS 1.0 `/validate`、CAS 2.0 `/serviceValidate`、CAS 3.0 `/p3/serviceValidate` 和 `/logout`。Service Ticket 必须：
+
+- 随机、短时、单次使用。
+- 绑定当前租户、连接、用户和精确 service。
+- 校验成功才返回用户属性；CAS 1.0 使用协议规定的 yes/no 文本。
+
+当前不实现 CAS Proxy Ticket；需要代理链时先评估改用 OIDC。
+
+## 授权页面
+
+OIDC 公共客户端 `ClientAuthMethod=none` 每次授权都必须由用户在官方页面明确确认；已有 Provider Session 也不能自动返回 code，调用方删除或修改 prompt 不能绕过确认。`prompt=none` 返回 `interaction_required`，只向已校验的精确 redirect URI 回传错误与 state，不签发 code，也不强行打开确认页。缺失 prompt 或其它受支持的交互请求进入 opaque RequestId 确认流程；机密客户端保留既有 Provider Session 自动授权及显式 consent 行为。
+
+`CompleteAuthorization` 的 `Preview=true` 只在当前交互式 DiyToken 下读取授权卡片，校验当前客户端启用状态、精确回调和 Scope，返回当前官方账号、目标系统、回调、Scope 与有效期的白名单投影。重复 Preview 不消费 RequestId，不返回 code、state、nonce、PKCE challenge、DiyToken 或客户端秘密；真正确认时才原子消费请求并再次校验客户端配置。账号确认使用 `ExpectedUserId` 收紧校验，授权身份始终来自当前 DiyToken，不能由页面指定。
+
+没有有效 Provider Session 的交互请求先跳到吾码登录页，登录成功回到一次性 handoff。页面必须说明目标系统、当前官方账号、请求 Scope 和退出影响；任何第三方请求的 Scope 都不能自动映射为吾码管理员能力。上线验收须实际重复 Preview、再确认取得 code，不能用 HTTP 200 或旧 API 忽略 Preview 后直接消费请求的结果代替协议证据。

package/skills/microi-system-delivery/SKILL.md

@@ -1,106 +1,108 @@
----
-name: microi-system-delivery
-description: 已初始化吾码工作区的默认 AI 开发总控入口，用户只描述需求也必须读取，无需指定 Skill 名称。用于通过 MCP、VS Code 插件、V8、低代码、UniApp/H5、PC 后台和 Playwright E2E 开发、修改、分析或交付 Microi 系统，按用户范围路由相关专项 Skills。
----
-
-> **Microi吾码基础规范（强制）：** 任何 AI 模型与宿主每次新建或接续吾码任务，先完整读取 `../workspace-conventions/SKILL.md`，必须执行版本播报、`@microi.net/cli` 后台自动升级、Skills/MCP 同步和进度播报。安装与诊断读取 `../microi-codex-installer/SKILL.md`；更新失败延后重试，不阻断当前工作。
-
-# Microi 全系统交付复盘与总控规范
-
-所有范围的收尾都必须执行 [测试临时文件随任务清理](../workspace-conventions/SKILL.md#测试临时文件必须随任务清理强制)：每轮测试结束清理本任务 `.tmp`、宿主临时目录、隔离源码/运行副本和已结束工作树，交付必需证据先最小归档，失败/中断也要回收；独立回读删除结果，并逐项说明确需暂留的文件、体积、原因与清理时机。脚本需有实际 teardown，不能把文字规范当作自动清理功能。
-
-本 Skill 来自一次完整业务系统交付复盘。目标是让下一套 OA、ERP、MES、CRM、商城、预约、互联网项目等 Microi 系统少走返工路：先固定事实源，再用 MCP 正确建模，最后用可视化和业务闭环测试证明可交付。
-
-本 Skill 是已初始化吾码工作区的默认开发总控入口。用户直接描述需求即可，无需指定 Skill 名称；
-目标 MCP 连接可沿用当前项目或唯一已登录连接，需求文件/验收地址按需提供。
-任何吾码开发任务先读本入口和质量规范；完整系统必须完整读取八项清单及其增补要求，局部修改按目标与依赖读取对应专项 Skill。
-收到“完整开发/交付系统”请求时，必须先读取
-[完整系统开发默认交付清单（原推荐提示词 1–8）](references/progressive-01-标准工作流.md#完整系统开发默认交付清单原推荐提示词-18)，
-并完整读取同一参考文件的[菜单先行与经营报表增补要求](references/progressive-01-标准工作流.md#菜单先行与经营报表增补要求强制)，
-逐项执行并记录覆盖结果；不能只交方案、示例或待办。局部修改、只读分析按用户实际范围执行，
-这份默认清单不额外授权生产写入或客户部署。
-
-先读取 [质量优先的上下文与增量开发](references/context-quality.md)。完整系统在写入前必须读取 [安全与跨端验收](references/progressive-03-安全与跨端验收.md)；局部涉及 FormEngine、菜单、权限、文件、登录或前端交互时读取对应安全/跨端章节。未知影响必须扩大检索，不能用少读资料换取不准确的修改。
-
-按本次实际能力读取相关 Skill，不能只读总控入口后凭记忆实现：
-
-| 工作内容 | 相关 Skill |
-|---|---|
-| 需求文档、成熟数据模型、表/字段/索引 | `business-blueprint`、`microi-db-schema`、`microi-form-engine` |
-| 表单宽度、分组、整行控件与视觉 | `microi-form-layout`、`ui-design` |
-| 菜单骨架、AI 开发中占位、逐菜单切换、PageTabs、模块展示 | `module-engine`、`v8-menu-buttons` |
-| 选项 Key/Label、数据源、状态模板 | `microi-datasource-mapping`、`datasource-engine`、`v8-template-engine` |
-| 业务接口、表单事件 | `v8-crud-api`、`v8-table-event` |
-| 微服务、个人中心、菜单应用、定制组件或复杂弹窗 | `microi-microservice`、`microi-client-frontend`、`ui-design`；必须先读主题色、明暗、密度和样式隔离契约，不能只读模板后实现 |
-| MCP 连接入口、角色 AI 开发授权 | `microi-codex`、`v8-security`；服务端逐请求复核范围与操作开关，普通表单路由不能作为绕过通道 |
-| 业务统计、老板经营、领导管理看板及明细报表 | `page-engine`、`report-engine`、`datasource-engine` |
-| 真实业务、截图、账号和跨端验收 | `playwright-e2e`；有独立前端时再读相应前端 Skill |
-
-完整开发按“需求与现状分析 → 菜单和报表规划 → 独立骨架 Manifest 检查与 dry-run →
-授权落地菜单骨架 → 分阶段实现最终资源并独立预验收 → 保持菜单身份切换 → 原入口最终验收”推进。
-仅用户可见的新业务/报表叶菜单先指向共享 AI 开发中组件（`IsMicroiService=0`），
-保留独立业务 URL、标题和菜单身份；隐藏数据/授权载体维持原绑定，骨架不预绑定不存在资源。
-候选预验收不依赖仍占位的原 URL，切换失败精确恢复本菜单原绑定并列为未完成；
-详情按增补要求及 `module-engine` 执行。经营、领导和业务统计看板默认基于界面引擎，
-不能以列表角标或占位页替代。局部改动只处理范围内菜单/报表，只读分析不创建占位资源。
-
-每张由 AI/MCP 创建的业务表都必须同时设计默认表单 Banner，不能只建字段和菜单。完整
-Manifest 使用 `tables[].formBanner`；未显式配置时仍按字段类型选择业务编号/名称标题、
-客户/项目副标题、首个 `ImgUpload`、状态/类型标签和真实数值指标，并写入 `diy_table`
-语义字段。跨表统计由接口引擎批量返回，禁止随机数、固定演示值和 N+1；Banner 不属于
-模块引擎或 `sys_menu`。逐步建模在字段完成后调用 `microi_configure_form_banner` 回读验收。
-
+---
+name: microi-system-delivery
+description: 已初始化吾码工作区的默认 AI 开发总控入口，用户只描述需求也必须读取，无需指定 Skill 名称。用于通过 MCP、VS Code 插件、V8、低代码、UniApp/H5、PC 后台和 Playwright E2E 开发、修改、分析或交付 Microi 系统，按用户范围路由相关专项 Skills。
+---
+
+> 修改已有 MicroService 前，必须按 `../workspace-conventions/SKILL.md` 首部的“每次修改微服务前重新拉取”规则执行完整远端拉取、本地逐文件校验和三方合并；完成后才编辑，保存修改前源码哈希并用于同步 CAS。此项不能延后到发布时才做。
+
+> **Microi吾码基础规范（强制）：** 任何 AI 模型与宿主每次新建或接续吾码任务，先完整读取 `../workspace-conventions/SKILL.md`，必须执行版本播报、`@microi.net/cli` 后台自动升级、Skills/MCP 同步和进度播报。安装与诊断读取 `../microi-codex-installer/SKILL.md`；更新失败延后重试，不阻断当前工作。
+
+# Microi 全系统交付复盘与总控规范
+
+所有范围的收尾都必须执行 [测试临时文件随任务清理](../workspace-conventions/SKILL.md#测试临时文件必须随任务清理强制)：每轮测试结束清理本任务 `.tmp`、宿主临时目录、隔离源码/运行副本和已结束工作树，交付必需证据先最小归档，失败/中断也要回收；独立回读删除结果，并逐项说明确需暂留的文件、体积、原因与清理时机。脚本需有实际 teardown，不能把文字规范当作自动清理功能。
+
+本 Skill 来自一次完整业务系统交付复盘。目标是让下一套 OA、ERP、MES、CRM、商城、预约、互联网项目等 Microi 系统少走返工路：先固定事实源，再用 MCP 正确建模，最后用可视化和业务闭环测试证明可交付。
+
+本 Skill 是已初始化吾码工作区的默认开发总控入口。用户直接描述需求即可，无需指定 Skill 名称；
+目标 MCP 连接可沿用当前项目或唯一已登录连接，需求文件/验收地址按需提供。
+任何吾码开发任务先读本入口和质量规范；完整系统必须完整读取八项清单及其增补要求，局部修改按目标与依赖读取对应专项 Skill。
+收到“完整开发/交付系统”请求时，必须先读取
+[完整系统开发默认交付清单（原推荐提示词 1–8）](references/progressive-01-标准工作流.md#完整系统开发默认交付清单原推荐提示词-18)，
+并完整读取同一参考文件的[菜单先行与经营报表增补要求](references/progressive-01-标准工作流.md#菜单先行与经营报表增补要求强制)，
+逐项执行并记录覆盖结果；不能只交方案、示例或待办。局部修改、只读分析按用户实际范围执行，
+这份默认清单不额外授权生产写入或客户部署。
+
+先读取 [质量优先的上下文与增量开发](references/context-quality.md)。完整系统在写入前必须读取 [安全与跨端验收](references/progressive-03-安全与跨端验收.md)；局部涉及 FormEngine、菜单、权限、文件、登录或前端交互时读取对应安全/跨端章节。未知影响必须扩大检索，不能用少读资料换取不准确的修改。
+
+按本次实际能力读取相关 Skill，不能只读总控入口后凭记忆实现：
+
+| 工作内容 | 相关 Skill |
+|---|---|
+| 需求文档、成熟数据模型、表/字段/索引 | `business-blueprint`、`microi-db-schema`、`microi-form-engine` |
+| 表单宽度、分组、整行控件与视觉 | `microi-form-layout`、`ui-design` |
+| 菜单骨架、AI 开发中占位、逐菜单切换、PageTabs、模块展示 | `module-engine`、`v8-menu-buttons` |
+| 选项 Key/Label、数据源、状态模板 | `microi-datasource-mapping`、`datasource-engine`、`v8-template-engine` |
+| 业务接口、表单事件 | `v8-crud-api`、`v8-table-event` |
+| 微服务、个人中心、菜单应用、定制组件或复杂弹窗 | `microi-microservice`、`microi-client-frontend`、`ui-design`；必须先读主题色、明暗、密度和样式隔离契约，不能只读模板后实现 |
+| MCP 连接入口、角色 AI 开发授权 | `microi-codex`、`v8-security`；服务端逐请求复核范围与操作开关，普通表单路由不能作为绕过通道 |
+| 业务统计、老板经营、领导管理看板及明细报表 | `page-engine`、`report-engine`、`datasource-engine` |
+| 真实业务、截图、账号和跨端验收 | `playwright-e2e`；有独立前端时再读相应前端 Skill |
+
+完整开发按“需求与现状分析 → 菜单和报表规划 → 独立骨架 Manifest 检查与 dry-run →
+授权落地菜单骨架 → 分阶段实现最终资源并独立预验收 → 保持菜单身份切换 → 原入口最终验收”推进。
+仅用户可见的新业务/报表叶菜单先指向共享 AI 开发中组件（`IsMicroiService=0`），
+保留独立业务 URL、标题和菜单身份；隐藏数据/授权载体维持原绑定，骨架不预绑定不存在资源。
+候选预验收不依赖仍占位的原 URL，切换失败精确恢复本菜单原绑定并列为未完成；
+详情按增补要求及 `module-engine` 执行。经营、领导和业务统计看板默认基于界面引擎，
+不能以列表角标或占位页替代。局部改动只处理范围内菜单/报表，只读分析不创建占位资源。
+
+每张由 AI/MCP 创建的业务表都必须同时设计默认表单 Banner，不能只建字段和菜单。完整
+Manifest 使用 `tables[].formBanner`；未显式配置时仍按字段类型选择业务编号/名称标题、
+客户/项目副标题、首个 `ImgUpload`、状态/类型标签和真实数值指标，并写入 `diy_table`
+语义字段。跨表统计由接口引擎批量返回，禁止随机数、固定演示值和 N+1；Banner 不属于
+模块引擎或 `sys_menu`。逐步建模在字段完成后调用 `microi_configure_form_banner` 回读验收。
+
 <!-- microi-progressive:begin -->
-<!-- microi-progressive:chunk id=microi-system-delivery-000 sha256=720e0f2db0997318d879af67cd708b7d25a33c321e47100c4800ee39a25b4c9e -->
-## 交付总原则
-
-1. **先事实源，后建模**：先读需求文档、截图、现有蓝图、数据库结构和菜单结构，形成业务蓝图；不要边猜边建表、边猜边写接口。
-2. **先平台能力，后临时绕路**：能用 MCP/平台 API 修改元数据、字段、菜单、事件、接口引擎、数据源、任务调度，就不要新建临时 `_fix_*`、`_mcp_*` 接口引擎绕过平台能力。MCP 缺能力时优先补 MCP/后端，再补 Skill。
-3. **平台通用层禁止项目定制**：Microi.Server、Microi.Client、MCP、VS Code 插件、microi.skills 中不得写某个项目专属文案、专属上传限制、专属业务规则。项目规则应在租户表、接口引擎、业务配置、前端项目或业务蓝图中。
-4. **本地改完必须远端验收**：V8 文件、表单事件、菜单按钮、数据源、工作流、页面配置等不能只改本地文件。必须写入远端数据库，并通过 HTTP 或平台工具回读确认。
-5. **测试不等于接口能通**：交付前必须跑构建、接口契约、真实登录、核心写流程、截图、人眼复核、网络 404/5xx 守卫、远端同步状态。依赖默认按 `workspace-conventions` 的“平台回归与独立应用测试归属”使用当前 MCP 实际 MongoDB 版本与 HDFS 提供商；明确的兼容任务才扩展矩阵，未执行项如实记录。
-6. **生产数据谨慎优先**：涉及真实会员、余额、积分、订单、库存、卡券、收益、佣金、分润等资金/资产数据时，先确认服务器、租户、目标表、筛选条件和影响范围，再执行 MCP、接口引擎或 SQL 写操作。除用户明确要求清理/重置或必须修复错误数据外，不得擅自批量改真实数据。
-7. **默认按分布式交付**：任何后端能力都假设会有至少两个节点连接同一数据库和 Redis，并经历滚动升级、重复投递与节点硬重启。定时任务/消费者使用分布式租约且业务本身幂等；会话、票据和任务状态使用共享存储；新旧版本并存时采用“先扩展、后迁移、再收缩”。只在单节点验证通过不能视为完整交付。
-8. **业务逻辑默认接口引擎、元数据升级默认应用商城**：先用低代码 CRUD/事件，再用接口引擎；只缺底层原子能力时先扩展 V8，只有协议/鉴权/密钥隔离/运行时内核才进入 C#。表、字段、Tab、菜单、权限、引擎、页面和任务等可打包资源不得新增 `Microi.Upgrade` 定制类；官方开发者通过 `microi_itdos` 发布官方应用后再由目标租户 MCP 更新，无官方权限时只升级自己的租户。
-9. **平台能力四项同步**：按 `workspace-conventions/SKILL.md` 首部识别创始人源码工作区；每项平台新增、增强或修复都逐项判断应用商城、官方中文文档、Skills、MCP 是否需要完善，交付时列出证据或无需修改的依据。复用已有 MCP 能力，不机械新增工具；镜像发布不等于客户部署，客户手动更新边界必须保留。
-
+<!-- microi-progressive:chunk id=microi-system-delivery-000 sha256=83a624f454346eac4a63fe64e0e6902b5fd1d0d74c8de578208e06ea11e180cf -->
+## 交付总原则
+
+1. **先事实源，后建模**：先读需求文档、截图、现有蓝图、数据库结构和菜单结构，形成业务蓝图；不要边猜边建表、边猜边写接口。
+2. **先平台能力，后临时绕路**：能用 MCP/平台 API 修改元数据、字段、菜单、事件、接口引擎、数据源、任务调度，就不要新建临时 `_fix_*`、`_mcp_*` 接口引擎绕过平台能力。MCP 缺能力时优先补 MCP/后端，再补 Skill。
+3. **平台通用层禁止项目定制**：Microi.Server、Microi.Client、MCP、VS Code 插件、microi.skills 中不得写某个项目专属文案、专属上传限制、专属业务规则。项目规则应在租户表、接口引擎、业务配置、前端项目或业务蓝图中。
+4. **本地改完必须远端验收**：V8 文件、表单事件、菜单按钮、数据源、工作流、页面配置等不能只改本地文件。必须写入远端数据库，并通过 HTTP 或平台工具回读确认。
+5. **测试不等于接口能通**：交付前必须跑构建、接口契约、真实登录、核心写流程、截图、人眼复核、网络 404/5xx 守卫、远端同步状态。测试依赖采用 `workspace-conventions/SKILL.md` 中“平台回归与独立应用测试归属”的当前MCP默认规则。
+6. **生产数据谨慎优先**：涉及真实会员、余额、积分、订单、库存、卡券、收益、佣金、分润等资金/资产数据时，先确认服务器、租户、目标表、筛选条件和影响范围，再执行 MCP、接口引擎或 SQL 写操作。除用户明确要求清理/重置或必须修复错误数据外，不得擅自批量改真实数据。
+7. **默认按分布式交付**：任何后端能力都假设会有至少两个节点连接同一数据库和 Redis，并经历滚动升级、重复投递与节点硬重启。定时任务/消费者使用分布式租约且业务本身幂等；会话、票据和任务状态使用共享存储；新旧版本并存时采用“先扩展、后迁移、再收缩”。只在单节点验证通过不能视为完整交付。
+8. **业务逻辑默认接口引擎、元数据升级默认应用商城**：先用低代码 CRUD/事件，再用接口引擎；只缺底层原子能力时先扩展 V8，只有协议/鉴权/密钥隔离/运行时内核才进入 C#。表、字段、Tab、菜单、权限、引擎、页面和任务等可打包资源不得新增 `Microi.Upgrade` 定制类；官方开发者通过 `microi_itdos` 发布官方应用后再由目标租户 MCP 更新，无官方权限时只升级自己的租户。
+9. **平台能力四项同步**：按 `workspace-conventions/SKILL.md` 首部识别创始人源码工作区；每项平台新增、增强或修复都逐项判断应用商城、官方中文文档、Skills、MCP 是否需要完善，交付时列出证据或无需修改的依据。复用已有 MCP 能力，不机械新增工具；镜像发布不等于客户部署，客户手动更新边界必须保留。
+
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=microi-system-delivery-001 sha256=e01ae6b21425b1410100e33ece7875b6313d9456144ad3131ad0fab7fb31d33a -->
-## 用户问题编号跟踪（强制）
-
-用户一次提出多个问题时，必须先拆成 `1、2、3、4...` 的问题清单，并在交付过程中保持同一编号，不得合并吞掉或用笼统“已优化”代替。
-
-每个编号都要记录：
-
-- 需求原文或等价复述。
-- 实现状态：已实现 / 部分实现 / 未实现 / 阻塞。
-- 修改位置：前端文件、接口引擎、低代码表字段、菜单、数据、Skill 或测试。
-- 验收方式：构建、接口回读、数据库回读、Playwright 自动化、截图、人眼复核。
-- 剩余风险：未覆盖的端、未验证账号、需要用户确认的数据口径。
-
-最终回复必须按原始编号逐项汇总：哪些已实现、哪些未实现、是否通过全自动化测试、是否通过截图验证。不能只给总括性“都完成了”。如果某项没有测试或没有截图，必须明说“未覆盖/未截图”，并说明原因。
-
-- 用户使用 `1、2、3…`、`1. 2. 3.…` 等形式提出多项任务时，最终聊天回复本身必须保留原编号并逐条说明完成情况；不能只在附件、报告或进度消息中列出编号，也不能用源码、测试、发布等渠道汇总替代用户的任务清单。
-- 同一对话有多轮编号清单时，按“本轮要求”和“此前待办/用户要求复核的清单”分别保留各自编号；新的补充不会自动取消前一轮未完成项。用户要求重报此前清单时，必须逐项重新核对证据，不能只给报告链接。
-- 每条结论明确区分源码已改、运行验收通过、渠道已发布；发现回归或用户再次指出问题时，将对应旧项重新标为待修复/部分完成，修复后再更新结论。最后逐项核对编号总数，禁止漏项、跳号或把未取得回执的发布写成完成。
-
+<!-- microi-progressive:chunk id=microi-system-delivery-001 sha256=167c117fc2a52cea49cd1bf2128b450fb3c8af07e8af1e955d1482a454d472ef -->
+## 用户问题编号跟踪（强制）
+
+用户一次提出多个问题时，必须先拆成 `1、2、3、4...` 的问题清单，并在交付过程中保持同一编号，不得合并吞掉或用笼统“已优化”代替。
+
+每个编号都要记录：
+
+- 需求原文或等价复述。
+- 实现状态：已实现 / 部分实现 / 未实现 / 阻塞。
+- 修改位置：前端文件、接口引擎、低代码表字段、菜单、数据、Skill 或测试。
+- 验收方式：构建、接口回读、数据库回读、Playwright 自动化、截图、人眼复核。
+- 剩余风险：未覆盖的端、未验证账号、需要用户确认的数据口径。
+
+最终回复必须按原始编号逐项汇总：哪些已实现、哪些未实现、是否通过全自动化测试、是否通过截图验证。不能只给总括性“都完成了”。如果某项没有测试或没有截图，必须明说“未覆盖/未截图”，并说明原因。
+
+- 用户使用 `1、2、3…`、`1. 2. 3.…` 等形式提出多项任务时，最终聊天回复本身必须保留原编号并逐条说明完成情况；不能只在附件、报告或进度消息中列出编号，也不能用源码、测试、发布等渠道汇总替代用户的任务清单。
+- 同一对话有多轮编号清单时，按“本轮要求”和“此前待办/用户要求复核的清单”分别保留各自编号；新的补充不会自动取消前一轮未完成项。用户要求重报此前清单时，必须逐项重新核对证据，不能只给报告链接。
+- 每条结论明确区分源码已改、运行验收通过、渠道已发布；发现回归或用户再次指出问题时，将对应旧项重新标为待修复/部分完成，修复后再更新结论。最后逐项核对编号总数，禁止漏项、跳号或把未取得回执的发布写成完成。
+
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=microi-system-delivery-004 sha256=9a259382b07851aaa60a795da3ffa4773e9cf3b9f9d791a52f95e34e1944cc69 -->
-## 交付完成定义
-
-一次 Microi 全系统交付只有同时满足以下条件才算完成：
-
-1. 蓝图/方案文档已更新到最新业务口径。
-2. MCP 真实写入并通过平台验收工具验证。
-3. V8 接口引擎/事件/菜单按钮本地与远端同步干净。
-4. VS Code 插件同步状态无异常差异或冲突。
-5. 前端构建通过。
-6. 后端和前端服务可自动启动。
-7. Playwright 账号登录、接口契约、网络守卫、业务闭环、截图复核均通过。
-8. 生成或修改的通用经验已写回 microi.skills，且不能包含项目专属措辞；不能只写本地 memory、聊天记录或项目临时文档。
-9. 菜单树包含范围内全部业务与报表入口；每个本次新增可见业务/报表叶菜单已从开发中占位切换到验收通过的真实页面，菜单 Id、业务 URL、层级、排序与权限关联保持正确。仍有占位或阻塞的菜单逐项标为未完成。
-10. 基于界面引擎的业务统计、老板经营与领导管理报表已接通当前租户真实业务数据；指标口径、筛选/时间、权限、穿透、空/失败状态与明细对账均有证据。
-
+<!-- microi-progressive:chunk id=microi-system-delivery-004 sha256=cc8ef54619f2f7a1dc3ba4268d02cbe678c855ba17e2d9e9ed3251ac0dc35e18 -->
+## 交付完成定义
+
+一次 Microi 全系统交付只有同时满足以下条件才算完成：
+
+1. 蓝图/方案文档已更新到最新业务口径。
+2. MCP 真实写入并通过平台验收工具验证。
+3. V8 接口引擎/事件/菜单按钮本地与远端同步干净。
+4. VS Code 插件同步状态无异常差异或冲突。
+5. 前端构建通过。
+6. 后端和前端服务可自动启动。
+7. Playwright 账号登录、接口契约、网络守卫、业务闭环、截图复核均通过。
+8. 生成或修改的通用经验已写回 microi.skills，且不能包含项目专属措辞；不能只写本地 memory、聊天记录或项目临时文档。
+9. 菜单树包含范围内全部业务与报表入口；每个本次新增可见业务/报表叶菜单已从开发中占位切换到验收通过的真实页面，菜单 Id、业务 URL、层级、排序与权限关联保持正确。仍有占位或阻塞的菜单逐项标为未完成。
+10. 基于界面引擎的业务统计、老板经营与领导管理报表已接通当前租户真实业务数据；指标口径、筛选/时间、权限、穿透、空/失败状态与明细对账均有证据。
+
 <!-- /microi-progressive:chunk -->
 ## 详细参考路由（渐进披露）
 

package/skills/microi-system-delivery/references/context-quality.md

@@ -1,56 +1,56 @@
-# 质量优先的上下文与增量开发
-<!-- microi-progressive:chunk id=microi-system-delivery-008 sha256=0e9e14b98ac7ab7ca0bf1c4ef97bad2bf061d0c01b170325ddbaf961a02a0de4 -->
-
-本规范用于降低重复读取和重复传输，不降低软件质量。准确性、权限、业务完整性和验收优先于 token、耗时和回复长度。摘要只用于发现目标，不能成为未经核实的写入依据。
-
-## 按任务确定必需知识
-
-| 范围 | 必须读取与执行 | 扩大范围的条件 |
-|---|---|---|
-| 新建完整系统 | 基础入口、总控、标准工作流全文（原八项及菜单先行、经营报表增补）、相关专项 Skills、安全与交付检查 | 任何需求、角色、关系、端或外部服务未覆盖时补齐，不得以预算不足交付缩水系统 |
-| 已有系统局部修改 | 基础入口、总控路由、本次领域 Skill、目标当前内容及直接依赖、相关安全规则、影响范围内的回读与回归 | 目标不唯一、关系不清、动态调用、跨表状态、权限、公共组件影响不明时继续检索；不能靠名称相似猜测 |
-| 只读解释或诊断 | 基础入口、总控路由、支持结论的相关事实 | 证据不足先补读，不能把文档、缓存、旧会话或摘要冒充当前运行状态 |
-
-完整系统不因未出现“完整”二字就降级。对“开发一套系统”等新系统意图，默认按完整系统执行。任务范围判定与帐号身份分开：创始人身份不等于每项客户需求都在修改平台内核，但平台基础能力变更仍执行四项同步和平台回归。
-
-每次开工列明实际读取的基础入口、总控、适用参考和专项 Skills；只声称已经读取的内容。首次读取、版本变化或目标不明时扩大读取。同一会话中可复用已完整读取且内容哈希未变化的知识；新会话、压缩后无法确认读取记录或哈希变化时重新读取。
-
-## 先发现，再精确读取，再修改
-
-1. 确认实际服务器、完整租户坐标、当前身份和业务目标；不得为了减少读取切换到其它连接。
-2. 先获取目录或搜索结果，确认目标 Id、路径、版本与关系。目录摘要、行片段和字段投影不能表示全库、完整文件或完整业务模型。
-3. 修改前读取目标完整语义单元及必要依赖；金额、库存、权限、审批、关联字段和公共组件扩大到后端规则、调用方和跨端回显。仅改文案仍需确认实际按钮、角色条件与运行入口。
-4. 返回 `hasMore`、截断、未知完整性、错误或缺失依赖时继续分页或扩大查询。查无结果不证明资源不存在，必须检查过滤范围与权限。
-5. 按本次精确差异修改，保留其它正确配置；执行前检查当前版本和授权，执行后独立回读，再验证受影响业务和界面。
-
-完整新系统先完成可遍历的现有资源盘点与关系审查，避免重复建模；不能只看一页摘要就开始创建。局部修改不重复生成全库示例数据，也不跳过该改动的失败、边界、权限和兼容回归。
-
-## 不可变引用与结果证据
-
-Manifest 正文可以一次提交，后续以同一内容哈希和会话引用执行 plan、dry-run、apply、validate。引用只是传输优化，不是授权票据、全局锁或幂等保证。
-
-- 引用必须绑定当前服务器、完整租户坐标和身份，设容量与有效期；凭据变化、过期、重启或跨会话引用失败时重传已核对正文。
-- 写入仍使用当前真实权限、确认参数、结构与引用校验；不得复用旧验收结论代替当前检查。
-- 写入超时、断线或结果未知时先回读，不得换引用或幂等键盲目重试。
-- 摘要保留状态、错误、警告、资源标识、版本/哈希、验证结果和完整证据引用；完整回执可按需取回。不能截断 JSON 后把片段作为可执行正文。
-- 对权限变化、冲突、部分成功、回滚和未知状态明确区分；失败不能被压缩成成功数量。
-
-## 定制应用的最小充分接入
-
-| 场景 | 读取范围与复用方式 | 必须保留的验收 |
-|---|---|---|
-| Vue / UniApp 定制前端 | 对应前端、SDK、资源与 UI Skills；现有微服务脚手架、登录、上传和 API 封装 | 真实登录、租户隔离、失败状态、跨端回显、构建和浏览器 |
-| 游戏 / Unity / WebGL | 对应应用或 Unity Skill；仅按实际需要接入帐号、存档、排行、房间和支付 | 状态一致性、重连、并发、服务端防伪、设备/GPU 验收边界 |
-| 算法工程 | 算法源码、数据契约和可重复样例；平台仅提供需要的数据、权限与任务能力 | 正确性、边界、性能和真实数据分布；不能只验示例 |
-| 硬件 / IoT | 实际协议及对应 TCP、HTTP、MQTT Skill，受信配置和模拟器 | 幂等、超时、结果未知、真实设备执行；网络写入成功不等于设备已执行 |
-
-平台没有覆盖的能力必须明确实现和验收，不能用通用模板掩盖缺口。脚手架和模拟器减少重复建设，不能替代真实服务或硬件证据。
-
-## 计量与验收标准
-
-以同模型、同需求、同初始数据和同验收标准比较小修改、定制页面、完整系统。记录真实输入、缓存输入、输出、供应商报告的推理用量（如有）、工具轮数、重复读取、错误重试、耗时和完成率。多 Agent 的用量也计入总量。
-
-MCP 可以准确统计传输字节和调用次数，不能据此声称供应商 token 或费用。缺少供应商 Usage 时标记未知；字符估算单独标记。缓存命中降低费用或延迟，不等于逻辑 token 消失。外部 Codex/IDE 的历史摘要与供应商缓存由宿主管理，吾码不得宣称已强制控制。
-
-评测必须同时检验资源完整、权限/事务/关系正确、局部差异精确和必要回归通过。任何质量退步都不接受；不通过删测试、减少验收或隐瞒失败来展示节省比例。
-<!-- /microi-progressive:chunk -->
+# 质量优先的上下文与增量开发
+<!-- microi-progressive:chunk id=microi-system-delivery-008 sha256=beffc0924e9b36dca7a57da12a4cecb65ab05e938cb776c295c7fc5d7f736553 -->
+
+本规范用于降低重复读取和重复传输，不降低软件质量。准确性、权限、业务完整性和验收优先于 token、耗时和回复长度。摘要只用于发现目标，不能成为未经核实的写入依据。
+
+## 按任务确定必需知识
+
+| 范围 | 必须读取与执行 | 扩大范围的条件 |
+|---|---|---|
+| 新建完整系统 | 基础入口、总控、标准工作流全文（原八项及菜单先行、经营报表增补）、相关专项 Skills、安全与交付检查 | 任何需求、角色、关系、端或外部服务未覆盖时补齐，不得以预算不足交付缩水系统 |
+| 已有系统局部修改 | 基础入口、总控路由、本次领域 Skill、目标当前内容及直接依赖、相关安全规则、影响范围内的回读与回归 | 目标不唯一、关系不清、动态调用、跨表状态、权限、公共组件影响不明时继续检索；不能靠名称相似猜测 |
+| 只读解释或诊断 | 基础入口、总控路由、支持结论的相关事实 | 证据不足先补读，不能把文档、缓存、旧会话或摘要冒充当前运行状态 |
+
+完整系统不因未出现“完整”二字就降级。对“开发一套系统”等新系统意图，默认按完整系统执行。任务范围判定与帐号身份分开：创始人身份不等于每项客户需求都在修改平台内核，但平台基础能力变更仍执行四项同步和平台回归。
+
+每次开工列明实际读取的基础入口、总控、适用参考和专项 Skills；只声称已经读取的内容。首次读取、版本变化或目标不明时扩大读取。同一会话中可复用已完整读取且内容哈希未变化的知识；新会话、压缩后无法确认读取记录或哈希变化时重新读取。
+
+## 先发现，再精确读取，再修改
+
+1. 确认实际服务器、完整租户坐标、当前身份和业务目标；不得为了减少读取切换到其它连接。
+2. 先获取目录或搜索结果，确认目标 Id、路径、版本与关系。目录摘要、行片段和字段投影不能表示全库、完整文件或完整业务模型。
+3. 修改前读取目标完整语义单元及必要依赖；金额、库存、权限、审批、关联字段和公共组件扩大到后端规则、调用方和跨端回显。仅改文案仍需确认实际按钮、角色条件与运行入口。
+4. 返回 `hasMore`、截断、未知完整性、错误或缺失依赖时继续分页或扩大查询。查无结果不证明资源不存在，必须检查过滤范围与权限。
+5. 按本次精确差异修改，保留其它正确配置；执行前检查当前版本和授权，执行后独立回读，再验证受影响业务和界面。
+
+完整新系统先完成可遍历的现有资源盘点与关系审查，避免重复建模；不能只看一页摘要就开始创建。局部修改不重复生成全库示例数据，也不跳过该改动的失败、边界、权限和兼容回归。
+
+## 不可变引用与结果证据
+
+Manifest 正文可以一次提交，后续以同一内容哈希和会话引用执行 plan、dry-run、apply、validate。引用只是传输优化，不是授权票据、全局锁或幂等保证。
+
+- 引用必须绑定当前服务器、完整租户坐标和身份，设容量与有效期；凭据变化、过期、重启或跨会话引用失败时重传已核对正文。
+- 写入仍使用当前真实权限、确认参数、结构与引用校验；不得复用旧验收结论代替当前检查。
+- 写入超时、断线或结果未知时先回读，不得换引用或幂等键盲目重试。
+- 摘要保留状态、错误、警告、资源标识、版本/哈希、验证结果和完整证据引用；完整回执可按需取回。不能截断 JSON 后把片段作为可执行正文。
+- 对权限变化、冲突、部分成功、回滚和未知状态明确区分；失败不能被压缩成成功数量。
+
+## 定制应用的最小充分接入
+
+| 场景 | 读取范围与复用方式 | 必须保留的验收 |
+|---|---|---|
+| Vue / UniApp 定制前端 | 对应前端、SDK、资源与 UI Skills；现有微服务脚手架、登录、上传和 API 封装 | 真实登录、租户隔离、失败状态、跨端回显、构建和浏览器 |
+| 游戏 / Unity / WebGL | 对应应用或 Unity Skill；仅按实际需要接入帐号、存档、排行、房间和支付 | 状态一致性、重连、并发、服务端防伪、设备/GPU 验收边界 |
+| 算法工程 | 算法源码、数据契约和可重复样例；平台仅提供需要的数据、权限与任务能力 | 正确性、边界、性能和真实数据分布；不能只验示例 |
+| 硬件 / IoT | 实际协议及对应 TCP、HTTP、MQTT Skill，受信配置和模拟器 | 幂等、超时、结果未知、真实设备执行；网络写入成功不等于设备已执行 |
+
+平台没有覆盖的能力必须明确实现和验收，不能用通用模板掩盖缺口。脚手架和模拟器减少重复建设，不能替代真实服务或硬件证据。
+
+## 计量与验收标准
+
+以同模型、同需求、同初始数据和同验收标准比较小修改、定制页面、完整系统。记录真实输入、缓存输入、输出、供应商报告的推理用量（如有）、工具轮数、重复读取、错误重试、耗时和完成率。多 Agent 的用量也计入总量。
+
+MCP 可以准确统计传输字节和调用次数，不能据此声称供应商 token 或费用。缺少供应商 Usage 时标记未知；字符估算单独标记。缓存命中降低费用或延迟，不等于逻辑 token 消失。外部 Codex/IDE 的历史摘要与供应商缓存由宿主管理，吾码不得宣称已强制控制。
+
+评测必须同时检验资源完整、权限/事务/关系正确、局部差异精确和必要回归通过。任何质量退步都不接受；不通过删测试、减少验收或隐瞒失败来展示节省比例。
+<!-- /microi-progressive:chunk -->

package/skills/microi-system-delivery/references/progressive-01-/346/240/207/345/207/206/345/267/245/344/275/234/346/265/201.md

@@ -1,13 +1,13 @@
-# microi-system-delivery 详细参考 1
-
-> 按需读取；本文件由 SKILL.md 的原章节无损拆分。
-
-新建业务表的字段落地后必须配置默认表单 Banner：完整 Manifest 使用
-`tables[].formBanner`，逐步建模调用 `microi_configure_form_banner`。标题、图片、标签和
-统计都应来自真实字段或真实接口引擎；配置写 `diy_table`，禁止写入 `sys_menu`。即使用户
-没有逐项指定，也必须写入类型感知的合理默认值，不能交付空 Banner。
-
-<!-- microi-progressive:chunk id=microi-system-delivery-005 sha256=32039bfdbd18bb97f3f93974ace75169c9d90df4c0702ff76134f1c9a9282912 -->
+# microi-system-delivery 详细参考 1
+
+> 按需读取；本文件由 SKILL.md 的原章节无损拆分。
+
+新建业务表的字段落地后必须配置默认表单 Banner：完整 Manifest 使用
+`tables[].formBanner`，逐步建模调用 `microi_configure_form_banner`。标题、图片、标签和
+统计都应来自真实字段或真实接口引擎；配置写 `diy_table`，禁止写入 `sys_menu`。即使用户
+没有逐项指定，也必须写入类型感知的合理默认值，不能交付空 Banner。
+
+<!-- microi-progressive:chunk id=microi-system-delivery-005 sha256=32039bfdbd18bb97f3f93974ace75169c9d90df4c0702ff76134f1c9a9282912 -->
 ## 完整系统开发默认交付清单（原推荐提示词 1–8）
 
 以下八项来自官网最后编号版推荐提示词，是完整系统新建/开发的默认交付要求。
@@ -274,4 +274,4 @@ VS Code 插件必须让用户清楚知道本地和远端是否一致。
 
 不要用租户接口引擎修平台设计器、全局上传限制、VS Code 插件同步、MCP 元数据写入等平台级问题。
 
-<!-- /microi-progressive:chunk -->
+<!-- /microi-progressive:chunk -->

package/skills/microi-system-delivery/references/progressive-02-/350/207/252/345/212/250/345/214/226/346/265/213/350/257/225/345/277/205/351/241/273/350/246/206/347/233/226/347/232/204/345/235/221.md

@@ -1,12 +1,12 @@
-# microi-system-delivery 详细参考 2
-
-> 按需读取；本文件由 SKILL.md 的原章节无损拆分。
-
-## 自动清理入口回归增补
-
-临时文件回归必须调用真实 Full `finally` 与发布 `EXIT` 收尾，分别验证成功、原始失败、可捕获中断及清理失败；不能仅断言源码有 `finally`。覆盖祖先/子项链接、Git 标记、已有目录、空格及方括号路径、受保护属性与独占文件锁，断言保护项字节不变、普通删除不传 `-Force`、失败不自动强制重试、回执可定位残留。测试异常与清理异常同时发生时保留原始异常，发布锁仍释放；平台进程被硬杀不能假称已完成收尾。用例位于 `Microi.Tests/ReleaseGate/test-artifact-cleanup.test.mjs` 与 `release-scratch.test.mjs`，不为这些文件生命周期回归启动数据库或 Docker 容器。
-
-<!-- microi-progressive:chunk id=microi-system-delivery-006 sha256=dee4ef7027b49b46a92f4b2bbd88d82997f9c992351e5d599ba6d38a03267258 -->
+# microi-system-delivery 详细参考 2
+
+> 按需读取；本文件由 SKILL.md 的原章节无损拆分。
+
+## 自动清理入口回归增补
+
+临时文件回归必须调用真实 Full `finally` 与发布 `EXIT` 收尾，分别验证成功、原始失败、可捕获中断及清理失败；不能仅断言源码有 `finally`。覆盖祖先/子项链接、Git 标记、已有目录、空格及方括号路径、受保护属性与独占文件锁，断言保护项字节不变、普通删除不传 `-Force`、失败不自动强制重试、回执可定位残留。测试异常与清理异常同时发生时保留原始异常，发布锁仍释放；平台进程被硬杀不能假称已完成收尾。用例位于 `Microi.Tests/ReleaseGate/test-artifact-cleanup.test.mjs` 与 `release-scratch.test.mjs`，不为这些文件生命周期回归启动数据库或 Docker 容器。
+
+<!-- microi-progressive:chunk id=microi-system-delivery-006 sha256=dee4ef7027b49b46a92f4b2bbd88d82997f9c992351e5d599ba6d38a03267258 -->
 ## 自动化测试必须覆盖的坑
 
 ### 后端统一测试与发布门禁
@@ -155,8 +155,8 @@
 - 团队/分润人数统计必须明确资格口径，例如是否只统计已认证、已激活、有效状态用户。若业务规则要求认证门槛，未认证小号不得计入直推、间推、团队总人数、奖励门槛或入账门槛。
 - 每次修复资金/资产业务规则后，必须同步更新项目蓝图/方案文档中的触发点、计算公式、字段口径和验收方式，不能只改代码或只在对话里说明。
 
-<!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=microi-system-delivery-007 sha256=67fa060b6520a80e41818ac0974c0b38ff3171c97a1c558a01667b854865fa7a -->
+<!-- /microi-progressive:chunk -->
+<!-- microi-progressive:chunk id=microi-system-delivery-007 sha256=67fa060b6520a80e41818ac0974c0b38ff3171c97a1c558a01667b854865fa7a -->
 ## 复盘记录格式
 
 每次用户手工测出问题，修复后都要把问题写入对应通用 Skill，格式如下：
@@ -238,4 +238,4 @@
 - 根因：ASP.NET Core 运行时从 `Microsoft.AspNetCore.App` / `Microsoft.NETCore.App` 共享框架加载程序集，这些 DLL 默认不复制到 framework-dependent 的发布目录；Obfuscar 是离线元数据处理器，只搜索 `InPath` 时无法解析新增基类。同时，插件直接使用的 NuGet API 若只由其它项目传递带入，项目依赖契约也不完整。
 - 通用规则：项目直接使用的包必须在自身 `.csproj` 声明直接 `PackageReference`，但不能把“补 NuGet 引用”误当作 Obfuscar 搜索路径修复。混淆脚本应从发布目录的 `runtimeconfig.json` 读取目标 .NET 主版本，再从 `dotnet --list-runtimes` 动态选择同主版本的最新 `Microsoft.AspNetCore.App` 和 `Microsoft.NETCore.App` 目录，生成绝对路径 `AssemblySearchPath`；禁止硬编码补丁版本，也不要为了混淆把共享框架 DLL 强行复制进最终发布目录。错误提示应保留 Obfuscar 的真实依赖解析错误，不能统一误报“工具未安装”。
 - 自动化检查：使用实际 Git Bash 执行脚本语法检查；定向构建插件并检查 nupkg 明确包含直接依赖；对全部受保护 DLL 执行混淆并验证哈希变化；最后必须启动混淆后的发布目录，断言插件注入、平台初始化和 Kestrel 监听成功，且日志不存在 `FileNotFoundException`、`TypeLoadException`、`Unable to resolve dependency` 或 `Could not load file or assembly`。
-<!-- /microi-progressive:chunk -->
+<!-- /microi-progressive:chunk -->