@microi.net/cli 6.1.0 → 6.1.1

package/skills/microi-sso/references/acceptance.md

@@ -1,51 +1,51 @@
-# 验收、商城发布与交付结论
-
-## 分层证据
-
-| 层 | 最低证据 |
-|---|---|
-| 源码 | 协议/安全原语测试，静态扫描无 Secret/Token 日志 |
-| 后端构建 | 隔离输出 `dotnet build` 成功，不覆盖共享运行目录 |
-| 前端构建 | 现代包和项目要求的兼容包完成 |
-| 应用包 | 可重复生成；Name/AppId/Version、DDL、字段数、菜单、空数据集、35 个接口引擎源码同源与 ResourcePolicies 校验 |
-| 官方商城 | `microi_itdos` 发布后回读 `sys_microistore` 与官方资源 API；状态、版本、包哈希一致 |
-| 目标租户 | 安装/升级任务终态 `Succeeded`，再读真实表、字段、菜单、安装版本 |
-| 运行时 | Capabilities、Discovery/Metadata/JWKS 和实际使用端点命中已部署程序集 |
-| 浏览器 | 登录入口、弹窗 Origin、URL 清理、管理页 7 Tab、秘密无明文 |
-| 伙伴联调 | 登录/拒绝/过期/重放/退出/停用/角色变化/轮换 |
-| 多节点 | state、code、ticket、session、撤销和缓存跨节点一致 |
-
-## 官方应用发布
-
-1. 使用官方 `microi_itdos`，核对绑定 `https://api.microi.net` 与 `OsClient=iTdos`。
-2. 在发布源更新真实 `diy_sso`、字段、表单 Tabs 和菜单视图并回读。
-3. 导出精确菜单/表和 35 个接口引擎，不带连接数据、用户绑定、Secret、证书或示例账号；接口源码必须与 `Microi-V8-Engine/.../SSO身份联邦` 逐字同源。
-4. AppId 固定 `app.microi.sso`，PublisherType 为官方应用；34 个核心 Key 为 `Managed/Platform`，`sso_event_hook` 为 `CreateIfMissing/Tenant`。
-5. 发布后从官方资源 API 读取 `app.microi.sso.json`，校验 SHA-256、版本、1 菜单、1 表、64 字段、35 个接口引擎及策略。
-6. 官方 iTdos 是发布源，安装任务被“发布源不允许安装”拒绝是保护性终态；不要绕过或伪装成成功。
-7. 普通目标租户才执行安装/更新，并轮询后台任务到终态。Pending/Running/入队不算成功。
-
-## 协议负向用例
-
-- OIDC：state/nonce/PKCE 错、code 重放、issuer/audience 错、未知 kid、过期 token、refresh 重放、回调前缀攻击。
-- SAML：签名错、过期、Audience/Destination/InResponseTo 错、Request/Assertion 重放、错误证书、未授权 ACS。
-- CAS：ticket 重放、service 不同、过期 ticket、错误租户、CAS 失败响应。
-- 通用：跨租户连接、停用用户、停用连接、SSRF 私网/回环、访问密钥会话授权、匿名读取 `diy_sso`。
-- 公共 OIDC 客户端：已有 Provider Session 时分别验证缺失、none、其它 prompt；缺失/其它交互请求仍须逐次确认，`prompt=none` 仅返回 `interaction_required` 与已校验的 redirect/state，不能直接取得 code。机密客户端既有 Session 自动授权流程保持兼容。
-- 授权卡片：重复 Preview 均成功且不消费 RequestId，只返回白名单上下文；随后明确确认才能取得 code，再次确认失败。Preview/确认之间停用客户端、更换回调或收紧 Scope 必须即时拒绝；官方账号变化时 `ExpectedUserId` 不匹配必须拒绝。
-
-## 结论措辞
-
-只有真实伙伴和多节点验收也通过，才能说“该协议连接已可生产使用”。
-
-- 包已发布但 Server/Client 未部署：写“官方配置包已发布，运行时代码待部署”。
-- 端点冒烟通过但无真实 IdP/SP：写“协议端点已验证，伙伴联调待完成”。
-- 官方源安装被保护性拒绝：写“发布源保护生效，不构成普通租户安装证据”。
-- 因用户未授权输入密码而无法浏览器登录：写明 UI 登录后验收未完成，不用接口/源码代替视觉证据。
-
-## 404 与应用缺失回归
-
-- 客户端能力发现和登录完成只允许调用 `/apiengine/{ApiEngineKey}?OsClient=`；固定业务不得新增 `/api/ApiEngine/Run` 依赖。
-- 在未安装 `app.microi.sso` 的租户调用通用入口，应返回结构化“接口引擎不存在”；不能返回 `/api/Sso/Capabilities` 路由 404。
-- 安装后回读 35 个 `sys_apiengine` 行并刷新缓存，再验证 `sso_capabilities` 为 `Code=1`，并验证 24 个 `sso_http_*` 的 `ApiAddress`、`ResponseType=HTTP` 与 Managed 策略。
-- 所有 `Sso*Controller.cs`、`/api/Sso/Capabilities`、`LegacyCapabilities`、`CompleteLogin`、`RotateClientSecret` 与 `/api/SysUser/SsoPengrui` 必须保持删除；`/api/Sso/Begin`、`CompleteAuthorization` 与回调地址只允许作为接口引擎 `ApiAddress` 存在。
+# 验收、商城发布与交付结论
+
+## 分层证据
+
+| 层 | 最低证据 |
+|---|---|
+| 源码 | 协议/安全原语测试，静态扫描无 Secret/Token 日志 |
+| 后端构建 | 隔离输出 `dotnet build` 成功，不覆盖共享运行目录 |
+| 前端构建 | 现代包和项目要求的兼容包完成 |
+| 应用包 | 可重复生成；Name/AppId/Version、DDL、字段数、菜单、空数据集、35 个接口引擎源码同源与 ResourcePolicies 校验 |
+| 官方商城 | `microi_itdos` 发布后回读 `sys_microistore` 与官方资源 API；状态、版本、包哈希一致 |
+| 目标租户 | 安装/升级任务终态 `Succeeded`，再读真实表、字段、菜单、安装版本 |
+| 运行时 | Capabilities、Discovery/Metadata/JWKS 和实际使用端点命中已部署程序集 |
+| 浏览器 | 登录入口、弹窗 Origin、URL 清理、管理页 7 Tab、秘密无明文 |
+| 伙伴联调 | 登录/拒绝/过期/重放/退出/停用/角色变化/轮换 |
+| 多节点 | state、code、ticket、session、撤销和缓存跨节点一致 |
+
+## 官方应用发布
+
+1. 使用官方 `microi_itdos`，核对绑定 `https://api.microi.net` 与 `OsClient=iTdos`。
+2. 在发布源更新真实 `diy_sso`、字段、表单 Tabs 和菜单视图并回读。
+3. 导出精确菜单/表和 35 个接口引擎，不带连接数据、用户绑定、Secret、证书或示例账号；接口源码必须与 `Microi-V8-Engine/.../SSO身份联邦` 逐字同源。
+4. AppId 固定 `app.microi.sso`，PublisherType 为官方应用；34 个核心 Key 为 `Managed/Platform`，`sso_event_hook` 为 `CreateIfMissing/Tenant`。
+5. 发布后从官方资源 API 读取 `app.microi.sso.json`，校验 SHA-256、版本、1 菜单、1 表、64 字段、35 个接口引擎及策略。
+6. 官方 iTdos 是发布源，安装任务被“发布源不允许安装”拒绝是保护性终态；不要绕过或伪装成成功。
+7. 普通目标租户才执行安装/更新，并轮询后台任务到终态。Pending/Running/入队不算成功。
+
+## 协议负向用例
+
+- OIDC：state/nonce/PKCE 错、code 重放、issuer/audience 错、未知 kid、过期 token、refresh 重放、回调前缀攻击。
+- SAML：签名错、过期、Audience/Destination/InResponseTo 错、Request/Assertion 重放、错误证书、未授权 ACS。
+- CAS：ticket 重放、service 不同、过期 ticket、错误租户、CAS 失败响应。
+- 通用：跨租户连接、停用用户、停用连接、SSRF 私网/回环、访问密钥会话授权、匿名读取 `diy_sso`。
+- 公共 OIDC 客户端：已有 Provider Session 时分别验证缺失、none、其它 prompt；缺失/其它交互请求仍须逐次确认，`prompt=none` 仅返回 `interaction_required` 与已校验的 redirect/state，不能直接取得 code。机密客户端既有 Session 自动授权流程保持兼容。
+- 授权卡片：重复 Preview 均成功且不消费 RequestId，只返回白名单上下文；随后明确确认才能取得 code，再次确认失败。Preview/确认之间停用客户端、更换回调或收紧 Scope 必须即时拒绝；官方账号变化时 `ExpectedUserId` 不匹配必须拒绝。
+
+## 结论措辞
+
+只有真实伙伴和多节点验收也通过，才能说“该协议连接已可生产使用”。
+
+- 包已发布但 Server/Client 未部署：写“官方配置包已发布，运行时代码待部署”。
+- 端点冒烟通过但无真实 IdP/SP：写“协议端点已验证，伙伴联调待完成”。
+- 官方源安装被保护性拒绝：写“发布源保护生效，不构成普通租户安装证据”。
+- 因用户未授权输入密码而无法浏览器登录：写明 UI 登录后验收未完成，不用接口/源码代替视觉证据。
+
+## 404 与应用缺失回归
+
+- 客户端能力发现和登录完成只允许调用 `/apiengine/{ApiEngineKey}?OsClient=`；固定业务不得新增 `/api/ApiEngine/Run` 依赖。
+- 在未安装 `app.microi.sso` 的租户调用通用入口，应返回结构化“接口引擎不存在”；不能返回 `/api/Sso/Capabilities` 路由 404。
+- 安装后回读 35 个 `sys_apiengine` 行并刷新缓存，再验证 `sso_capabilities` 为 `Code=1`，并验证 24 个 `sso_http_*` 的 `ApiAddress`、`ResponseType=HTTP` 与 Managed 策略。
+- 所有 `Sso*Controller.cs`、`/api/Sso/Capabilities`、`LegacyCapabilities`、`CompleteLogin`、`RotateClientSecret` 与 `/api/SysUser/SsoPengrui` 必须保持删除；`/api/Sso/Begin`、`CompleteAuthorization` 与回调地址只允许作为接口引擎 `ApiAddress` 存在。

package/skills/microi-system-delivery/SKILL.md

@@ -1,115 +1,115 @@
----
-name: microi-system-delivery
-description: 已初始化吾码工作区的默认 AI 开发总控入口，用户只描述需求也必须读取，无需指定 Skill 名称。用于通过 MCP、VS Code 插件、V8、低代码、UniApp/H5、PC 后台和 Playwright E2E 开发、修改、分析或交付 Microi 系统，按用户范围路由相关专项 Skills。
----
-
-> 修改已有 MicroService 前，必须按 `../workspace-conventions/SKILL.md` 首部的“每次修改微服务前重新拉取”规则执行完整远端拉取、本地逐文件校验和三方合并；完成后才编辑，保存修改前源码哈希并用于同步 CAS。此项不能延后到发布时才做。
-
-> **Microi吾码基础规范（强制）：** 任何 AI 模型与宿主每次新建或接续吾码任务，先完整读取 `../workspace-conventions/SKILL.md`，必须执行版本播报、`@microi.net/cli` 后台自动升级、Skills/MCP 同步和进度播报。安装与诊断读取 `../microi-codex-installer/SKILL.md`；更新失败延后重试，不阻断当前工作。
-
-# Microi 全系统交付复盘与总控规范
-
-所有范围的收尾都必须执行 [测试临时文件随任务清理](../workspace-conventions/SKILL.md#测试临时文件必须随任务清理强制)：每轮测试结束清理本任务 `.tmp`、宿主临时目录、隔离源码/运行副本和已结束工作树，交付必需证据先最小归档，失败/中断也要回收；独立回读删除结果，并逐项说明确需暂留的文件、体积、原因与清理时机。脚本需有实际 teardown，不能把文字规范当作自动清理功能。
-
-本 Skill 来自一次完整业务系统交付复盘。目标是让下一套 OA、ERP、MES、CRM、商城、预约、互联网项目等 Microi 系统少走返工路：先固定事实源，再用 MCP 正确建模，最后用可视化和业务闭环测试证明可交付。
-
-本 Skill 是已初始化吾码工作区的默认开发总控入口。用户直接描述需求即可，无需指定 Skill 名称；
-目标 MCP 连接可沿用当前项目或唯一已登录连接，需求文件/验收地址按需提供。
-任何吾码开发任务先读本入口和质量规范；完整系统必须完整读取八项清单及其增补要求，局部修改按目标与依赖读取对应专项 Skill。
-收到“完整开发/交付系统”请求时，必须先读取
-[完整系统开发默认交付清单（原推荐提示词 1–8）](references/progressive-01-标准工作流.md#完整系统开发默认交付清单原推荐提示词-18)，
-并完整读取同一参考文件的[菜单先行与经营报表增补要求](references/progressive-01-标准工作流.md#菜单先行与经营报表增补要求强制)，
-逐项执行并记录覆盖结果；不能只交方案、示例或待办。局部修改、只读分析按用户实际范围执行，
-这份默认清单不额外授权生产写入或客户部署。
-
-先读取 [质量优先的上下文与增量开发](references/context-quality.md)。完整系统在写入前必须读取 [安全与跨端验收](references/progressive-03-安全与跨端验收.md)；局部涉及 FormEngine、菜单、权限、文件、登录或前端交互时读取对应安全/跨端章节。未知影响必须扩大检索，不能用少读资料换取不准确的修改。
-
-按本次实际能力读取相关 Skill，不能只读总控入口后凭记忆实现：
-
-| 工作内容 | 相关 Skill |
-|---|---|
-| 需求文档、成熟数据模型、表/字段/索引 | `business-blueprint`、`microi-db-schema`、`microi-form-engine` |
-| 表单宽度、分组、整行控件与视觉 | `microi-form-layout`、`ui-design` |
-| 菜单骨架、AI 开发中占位、逐菜单切换、PageTabs、模块展示 | `module-engine`、`v8-menu-buttons` |
-| 选项 Key/Label、数据源、状态模板 | `microi-datasource-mapping`、`datasource-engine`、`v8-template-engine` |
-| 业务接口、表单事件 | `v8-crud-api`、`v8-table-event` |
-| 微服务、个人中心、菜单应用、定制组件或复杂弹窗 | `microi-microservice`、`microi-client-frontend`、`ui-design`；必须先读主题色、明暗、密度和样式隔离契约，不能只读模板后实现 |
-| MCP 连接入口、角色 AI 开发授权 | `microi-codex`、`v8-security`；服务端逐请求复核范围与操作开关，普通表单路由不能作为绕过通道 |
-| 业务统计、老板经营、领导管理看板及明细报表 | `page-engine`、`report-engine`、`datasource-engine` |
-| 真实业务、截图、账号和跨端验收 | `playwright-e2e`；有独立前端时再读相应前端 Skill |
-
-完整开发按“需求与现状分析 → 菜单和报表规划 → 独立骨架 Manifest 检查与 dry-run →
-授权落地菜单骨架 → 分阶段实现最终资源并独立预验收 → 保持菜单身份切换 → 原入口最终验收”推进。
-仅用户可见的新业务/报表叶菜单先指向共享 AI 开发中组件（`IsMicroiService=0`），
-保留独立业务 URL、标题和菜单身份；隐藏数据/授权载体维持原绑定，骨架不预绑定不存在资源。
-候选预验收不依赖仍占位的原 URL，切换失败精确恢复本菜单原绑定并列为未完成；
-详情按增补要求及 `module-engine` 执行。经营、领导和业务统计看板默认基于界面引擎，
-不能以列表角标或占位页替代。局部改动只处理范围内菜单/报表，只读分析不创建占位资源。
-
-每张由 AI/MCP 创建的业务表都必须同时设计默认表单 Banner，不能只建字段和菜单。完整
-Manifest 使用 `tables[].formBanner`；未显式配置时仍按字段类型选择业务编号/名称标题、
-客户/项目副标题、首个 `ImgUpload`、状态/类型标签和真实数值指标，并写入 `diy_table`
-语义字段。跨表统计由接口引擎批量返回，禁止随机数、固定演示值和 N+1；Banner 不属于
-模块引擎或 `sys_menu`。逐步建模在字段完成后调用 `microi_configure_form_banner` 回读验收。
-
-<!-- microi-progressive:begin -->
-<!-- microi-progressive:chunk id=microi-system-delivery-000 sha256=720e0f2db0997318d879af67cd708b7d25a33c321e47100c4800ee39a25b4c9e -->
-## 交付总原则
-
-1. **先事实源，后建模**：先读需求文档、截图、现有蓝图、数据库结构和菜单结构，形成业务蓝图；不要边猜边建表、边猜边写接口。
-2. **先平台能力，后临时绕路**：能用 MCP/平台 API 修改元数据、字段、菜单、事件、接口引擎、数据源、任务调度，就不要新建临时 `_fix_*`、`_mcp_*` 接口引擎绕过平台能力。MCP 缺能力时优先补 MCP/后端，再补 Skill。
-3. **平台通用层禁止项目定制**：Microi.Server、Microi.Client、MCP、VS Code 插件、microi.skills 中不得写某个项目专属文案、专属上传限制、专属业务规则。项目规则应在租户表、接口引擎、业务配置、前端项目或业务蓝图中。
-4. **本地改完必须远端验收**：V8 文件、表单事件、菜单按钮、数据源、工作流、页面配置等不能只改本地文件。必须写入远端数据库，并通过 HTTP 或平台工具回读确认。
-5. **测试不等于接口能通**：交付前必须跑构建、接口契约、真实登录、核心写流程、截图、人眼复核、网络 404/5xx 守卫、远端同步状态。依赖默认按 `workspace-conventions` 的“平台回归与独立应用测试归属”使用当前 MCP 实际 MongoDB 版本与 HDFS 提供商；明确的兼容任务才扩展矩阵，未执行项如实记录。
-6. **生产数据谨慎优先**：涉及真实会员、余额、积分、订单、库存、卡券、收益、佣金、分润等资金/资产数据时，先确认服务器、租户、目标表、筛选条件和影响范围，再执行 MCP、接口引擎或 SQL 写操作。除用户明确要求清理/重置或必须修复错误数据外，不得擅自批量改真实数据。
-7. **默认按分布式交付**：任何后端能力都假设会有至少两个节点连接同一数据库和 Redis，并经历滚动升级、重复投递与节点硬重启。定时任务/消费者使用分布式租约且业务本身幂等；会话、票据和任务状态使用共享存储；新旧版本并存时采用“先扩展、后迁移、再收缩”。只在单节点验证通过不能视为完整交付。
-8. **业务逻辑默认接口引擎、元数据升级默认应用商城**：先用低代码 CRUD/事件，再用接口引擎；只缺底层原子能力时先扩展 V8，只有协议/鉴权/密钥隔离/运行时内核才进入 C#。表、字段、Tab、菜单、权限、引擎、页面和任务等可打包资源不得新增 `Microi.Upgrade` 定制类；官方开发者通过 `microi_itdos` 发布官方应用后再由目标租户 MCP 更新，无官方权限时只升级自己的租户。
-9. **平台能力四项同步**：按 `workspace-conventions/SKILL.md` 首部识别创始人源码工作区；每项平台新增、增强或修复都逐项判断应用商城、官方中文文档、Skills、MCP 是否需要完善，交付时列出证据或无需修改的依据。复用已有 MCP 能力，不机械新增工具；镜像发布不等于客户部署，客户手动更新边界必须保留。
-
-<!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=microi-system-delivery-001 sha256=e01ae6b21425b1410100e33ece7875b6313d9456144ad3131ad0fab7fb31d33a -->
-## 用户问题编号跟踪（强制）
-
-用户一次提出多个问题时，必须先拆成 `1、2、3、4...` 的问题清单，并在交付过程中保持同一编号，不得合并吞掉或用笼统“已优化”代替。
-
-每个编号都要记录：
-
-- 需求原文或等价复述。
-- 实现状态：已实现 / 部分实现 / 未实现 / 阻塞。
-- 修改位置：前端文件、接口引擎、低代码表字段、菜单、数据、Skill 或测试。
-- 验收方式：构建、接口回读、数据库回读、Playwright 自动化、截图、人眼复核。
-- 剩余风险：未覆盖的端、未验证账号、需要用户确认的数据口径。
-
-最终回复必须按原始编号逐项汇总：哪些已实现、哪些未实现、是否通过全自动化测试、是否通过截图验证。不能只给总括性“都完成了”。如果某项没有测试或没有截图，必须明说“未覆盖/未截图”，并说明原因。
-
-- 用户使用 `1、2、3…`、`1. 2. 3.…` 等形式提出多项任务时，最终聊天回复本身必须保留原编号并逐条说明完成情况；不能只在附件、报告或进度消息中列出编号，也不能用源码、测试、发布等渠道汇总替代用户的任务清单。
-- 同一对话有多轮编号清单时，按“本轮要求”和“此前待办/用户要求复核的清单”分别保留各自编号；新的补充不会自动取消前一轮未完成项。用户要求重报此前清单时，必须逐项重新核对证据，不能只给报告链接。
-- 每条结论明确区分源码已改、运行验收通过、渠道已发布；发现回归或用户再次指出问题时，将对应旧项重新标为待修复/部分完成，修复后再更新结论。最后逐项核对编号总数，禁止漏项、跳号或把未取得回执的发布写成完成。
-
-<!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=microi-system-delivery-004 sha256=9a259382b07851aaa60a795da3ffa4773e9cf3b9f9d791a52f95e34e1944cc69 -->
-## 交付完成定义
-
-一次 Microi 全系统交付只有同时满足以下条件才算完成：
-
-1. 蓝图/方案文档已更新到最新业务口径。
-2. MCP 真实写入并通过平台验收工具验证。
-3. V8 接口引擎/事件/菜单按钮本地与远端同步干净。
-4. VS Code 插件同步状态无异常差异或冲突。
-5. 前端构建通过。
-6. 后端和前端服务可自动启动。
-7. Playwright 账号登录、接口契约、网络守卫、业务闭环、截图复核均通过。
-8. 生成或修改的通用经验已写回 microi.skills，且不能包含项目专属措辞；不能只写本地 memory、聊天记录或项目临时文档。
-9. 菜单树包含范围内全部业务与报表入口；每个本次新增可见业务/报表叶菜单已从开发中占位切换到验收通过的真实页面，菜单 Id、业务 URL、层级、排序与权限关联保持正确。仍有占位或阻塞的菜单逐项标为未完成。
-10. 基于界面引擎的业务统计、老板经营与领导管理报表已接通当前租户真实业务数据；指标口径、筛选/时间、权限、穿透、空/失败状态与明细对账均有证据。
-
-<!-- /microi-progressive:chunk -->
-## 详细参考路由（渐进披露）
-
-仅在当前任务涉及对应主题时读取；下列文件合计保留了原 SKILL.md 的全部详细知识。
-
-- [references/progressive-01-标准工作流.md](references/progressive-01-标准工作流.md)：标准工作流
-- [references/progressive-02-自动化测试必须覆盖的坑.md](references/progressive-02-自动化测试必须覆盖的坑.md)：自动化测试必须覆盖的坑；复盘记录格式
-- [references/progressive-03-安全与跨端验收.md](references/progressive-03-安全与跨端验收.md)：安全与跨端验收
-- [references/context-quality.md](references/context-quality.md)：质量优先、精确检索、引用、局部变更及定制应用验收
-<!-- microi-progressive:end -->
+---
+name: microi-system-delivery
+description: 已初始化吾码工作区的默认 AI 开发总控入口，用户只描述需求也必须读取，无需指定 Skill 名称。用于通过 MCP、VS Code 插件、V8、低代码、UniApp/H5、PC 后台和 Playwright E2E 开发、修改、分析或交付 Microi 系统，按用户范围路由相关专项 Skills。
+---
+
+> 修改已有 MicroService 前，必须按 `../workspace-conventions/SKILL.md` 首部的“每次修改微服务前重新拉取”规则执行完整远端拉取、本地逐文件校验和三方合并；完成后才编辑，保存修改前源码哈希并用于同步 CAS。此项不能延后到发布时才做。
+
+> **Microi吾码基础规范（强制）：** 任何 AI 模型与宿主每次新建或接续吾码任务，先完整读取 `../workspace-conventions/SKILL.md`，必须执行版本播报、`@microi.net/cli` 后台自动升级、Skills/MCP 同步和进度播报。安装与诊断读取 `../microi-codex-installer/SKILL.md`；更新失败延后重试，不阻断当前工作。
+
+# Microi 全系统交付复盘与总控规范
+
+所有范围的收尾都必须执行 [测试临时文件随任务清理](../workspace-conventions/SKILL.md#测试临时文件必须随任务清理强制)：每轮测试结束清理本任务 `.tmp`、宿主临时目录、隔离源码/运行副本和已结束工作树，交付必需证据先最小归档，失败/中断也要回收；独立回读删除结果，并逐项说明确需暂留的文件、体积、原因与清理时机。脚本需有实际 teardown，不能把文字规范当作自动清理功能。
+
+本 Skill 来自一次完整业务系统交付复盘。目标是让下一套 OA、ERP、MES、CRM、商城、预约、互联网项目等 Microi 系统少走返工路：先固定事实源，再用 MCP 正确建模，最后用可视化和业务闭环测试证明可交付。
+
+本 Skill 是已初始化吾码工作区的默认开发总控入口。用户直接描述需求即可，无需指定 Skill 名称；
+目标 MCP 连接可沿用当前项目或唯一已登录连接，需求文件/验收地址按需提供。
+任何吾码开发任务先读本入口和质量规范；完整系统必须完整读取八项清单及其增补要求，局部修改按目标与依赖读取对应专项 Skill。
+收到“完整开发/交付系统”请求时，必须先读取
+[完整系统开发默认交付清单（原推荐提示词 1–8）](references/progressive-01-标准工作流.md#完整系统开发默认交付清单原推荐提示词-18)，
+并完整读取同一参考文件的[菜单先行与经营报表增补要求](references/progressive-01-标准工作流.md#菜单先行与经营报表增补要求强制)，
+逐项执行并记录覆盖结果；不能只交方案、示例或待办。局部修改、只读分析按用户实际范围执行，
+这份默认清单不额外授权生产写入或客户部署。
+
+先读取 [质量优先的上下文与增量开发](references/context-quality.md)。完整系统在写入前必须读取 [安全与跨端验收](references/progressive-03-安全与跨端验收.md)；局部涉及 FormEngine、菜单、权限、文件、登录或前端交互时读取对应安全/跨端章节。未知影响必须扩大检索，不能用少读资料换取不准确的修改。
+
+按本次实际能力读取相关 Skill，不能只读总控入口后凭记忆实现：
+
+| 工作内容 | 相关 Skill |
+|---|---|
+| 需求文档、成熟数据模型、表/字段/索引 | `business-blueprint`、`microi-db-schema`、`microi-form-engine` |
+| 表单宽度、分组、整行控件与视觉 | `microi-form-layout`、`ui-design` |
+| 菜单骨架、AI 开发中占位、逐菜单切换、PageTabs、模块展示 | `module-engine`、`v8-menu-buttons` |
+| 选项 Key/Label、数据源、状态模板 | `microi-datasource-mapping`、`datasource-engine`、`v8-template-engine` |
+| 业务接口、表单事件 | `v8-crud-api`、`v8-table-event` |
+| 微服务、个人中心、菜单应用、定制组件或复杂弹窗 | `microi-microservice`、`microi-client-frontend`、`ui-design`；必须先读主题色、明暗、密度和样式隔离契约，不能只读模板后实现 |
+| MCP 连接入口、角色 AI 开发授权 | `microi-codex`、`v8-security`；服务端逐请求复核范围与操作开关，普通表单路由不能作为绕过通道 |
+| 业务统计、老板经营、领导管理看板及明细报表 | `page-engine`、`report-engine`、`datasource-engine` |
+| 真实业务、截图、账号和跨端验收 | `playwright-e2e`；有独立前端时再读相应前端 Skill |
+
+完整开发按“需求与现状分析 → 菜单和报表规划 → 独立骨架 Manifest 检查与 dry-run →
+授权落地菜单骨架 → 分阶段实现最终资源并独立预验收 → 保持菜单身份切换 → 原入口最终验收”推进。
+仅用户可见的新业务/报表叶菜单先指向共享 AI 开发中组件（`IsMicroiService=0`），
+保留独立业务 URL、标题和菜单身份；隐藏数据/授权载体维持原绑定，骨架不预绑定不存在资源。
+候选预验收不依赖仍占位的原 URL，切换失败精确恢复本菜单原绑定并列为未完成；
+详情按增补要求及 `module-engine` 执行。经营、领导和业务统计看板默认基于界面引擎，
+不能以列表角标或占位页替代。局部改动只处理范围内菜单/报表，只读分析不创建占位资源。
+
+每张由 AI/MCP 创建的业务表都必须同时设计默认表单 Banner，不能只建字段和菜单。完整
+Manifest 使用 `tables[].formBanner`；未显式配置时仍按字段类型选择业务编号/名称标题、
+客户/项目副标题、首个 `ImgUpload`、状态/类型标签和真实数值指标，并写入 `diy_table`
+语义字段。跨表统计由接口引擎批量返回，禁止随机数、固定演示值和 N+1；Banner 不属于
+模块引擎或 `sys_menu`。逐步建模在字段完成后调用 `microi_configure_form_banner` 回读验收。
+
+<!-- microi-progressive:begin -->
+<!-- microi-progressive:chunk id=microi-system-delivery-000 sha256=83a624f454346eac4a63fe64e0e6902b5fd1d0d74c8de578208e06ea11e180cf -->
+## 交付总原则
+
+1. **先事实源，后建模**：先读需求文档、截图、现有蓝图、数据库结构和菜单结构，形成业务蓝图；不要边猜边建表、边猜边写接口。
+2. **先平台能力，后临时绕路**：能用 MCP/平台 API 修改元数据、字段、菜单、事件、接口引擎、数据源、任务调度，就不要新建临时 `_fix_*`、`_mcp_*` 接口引擎绕过平台能力。MCP 缺能力时优先补 MCP/后端，再补 Skill。
+3. **平台通用层禁止项目定制**：Microi.Server、Microi.Client、MCP、VS Code 插件、microi.skills 中不得写某个项目专属文案、专属上传限制、专属业务规则。项目规则应在租户表、接口引擎、业务配置、前端项目或业务蓝图中。
+4. **本地改完必须远端验收**：V8 文件、表单事件、菜单按钮、数据源、工作流、页面配置等不能只改本地文件。必须写入远端数据库，并通过 HTTP 或平台工具回读确认。
+5. **测试不等于接口能通**：交付前必须跑构建、接口契约、真实登录、核心写流程、截图、人眼复核、网络 404/5xx 守卫、远端同步状态。测试依赖采用 `workspace-conventions/SKILL.md` 中“平台回归与独立应用测试归属”的当前MCP默认规则。
+6. **生产数据谨慎优先**：涉及真实会员、余额、积分、订单、库存、卡券、收益、佣金、分润等资金/资产数据时，先确认服务器、租户、目标表、筛选条件和影响范围，再执行 MCP、接口引擎或 SQL 写操作。除用户明确要求清理/重置或必须修复错误数据外，不得擅自批量改真实数据。
+7. **默认按分布式交付**：任何后端能力都假设会有至少两个节点连接同一数据库和 Redis，并经历滚动升级、重复投递与节点硬重启。定时任务/消费者使用分布式租约且业务本身幂等；会话、票据和任务状态使用共享存储；新旧版本并存时采用“先扩展、后迁移、再收缩”。只在单节点验证通过不能视为完整交付。
+8. **业务逻辑默认接口引擎、元数据升级默认应用商城**：先用低代码 CRUD/事件，再用接口引擎；只缺底层原子能力时先扩展 V8，只有协议/鉴权/密钥隔离/运行时内核才进入 C#。表、字段、Tab、菜单、权限、引擎、页面和任务等可打包资源不得新增 `Microi.Upgrade` 定制类；官方开发者通过 `microi_itdos` 发布官方应用后再由目标租户 MCP 更新，无官方权限时只升级自己的租户。
+9. **平台能力四项同步**：按 `workspace-conventions/SKILL.md` 首部识别创始人源码工作区；每项平台新增、增强或修复都逐项判断应用商城、官方中文文档、Skills、MCP 是否需要完善，交付时列出证据或无需修改的依据。复用已有 MCP 能力，不机械新增工具；镜像发布不等于客户部署，客户手动更新边界必须保留。
+
+<!-- /microi-progressive:chunk -->
+<!-- microi-progressive:chunk id=microi-system-delivery-001 sha256=167c117fc2a52cea49cd1bf2128b450fb3c8af07e8af1e955d1482a454d472ef -->
+## 用户问题编号跟踪（强制）
+
+用户一次提出多个问题时，必须先拆成 `1、2、3、4...` 的问题清单，并在交付过程中保持同一编号，不得合并吞掉或用笼统“已优化”代替。
+
+每个编号都要记录：
+
+- 需求原文或等价复述。
+- 实现状态：已实现 / 部分实现 / 未实现 / 阻塞。
+- 修改位置：前端文件、接口引擎、低代码表字段、菜单、数据、Skill 或测试。
+- 验收方式：构建、接口回读、数据库回读、Playwright 自动化、截图、人眼复核。
+- 剩余风险：未覆盖的端、未验证账号、需要用户确认的数据口径。
+
+最终回复必须按原始编号逐项汇总：哪些已实现、哪些未实现、是否通过全自动化测试、是否通过截图验证。不能只给总括性“都完成了”。如果某项没有测试或没有截图，必须明说“未覆盖/未截图”，并说明原因。
+
+- 用户使用 `1、2、3…`、`1. 2. 3.…` 等形式提出多项任务时，最终聊天回复本身必须保留原编号并逐条说明完成情况；不能只在附件、报告或进度消息中列出编号，也不能用源码、测试、发布等渠道汇总替代用户的任务清单。
+- 同一对话有多轮编号清单时，按“本轮要求”和“此前待办/用户要求复核的清单”分别保留各自编号；新的补充不会自动取消前一轮未完成项。用户要求重报此前清单时，必须逐项重新核对证据，不能只给报告链接。
+- 每条结论明确区分源码已改、运行验收通过、渠道已发布；发现回归或用户再次指出问题时，将对应旧项重新标为待修复/部分完成，修复后再更新结论。最后逐项核对编号总数，禁止漏项、跳号或把未取得回执的发布写成完成。
+
+<!-- /microi-progressive:chunk -->
+<!-- microi-progressive:chunk id=microi-system-delivery-004 sha256=cc8ef54619f2f7a1dc3ba4268d02cbe678c855ba17e2d9e9ed3251ac0dc35e18 -->
+## 交付完成定义
+
+一次 Microi 全系统交付只有同时满足以下条件才算完成：
+
+1. 蓝图/方案文档已更新到最新业务口径。
+2. MCP 真实写入并通过平台验收工具验证。
+3. V8 接口引擎/事件/菜单按钮本地与远端同步干净。
+4. VS Code 插件同步状态无异常差异或冲突。
+5. 前端构建通过。
+6. 后端和前端服务可自动启动。
+7. Playwright 账号登录、接口契约、网络守卫、业务闭环、截图复核均通过。
+8. 生成或修改的通用经验已写回 microi.skills，且不能包含项目专属措辞；不能只写本地 memory、聊天记录或项目临时文档。
+9. 菜单树包含范围内全部业务与报表入口；每个本次新增可见业务/报表叶菜单已从开发中占位切换到验收通过的真实页面，菜单 Id、业务 URL、层级、排序与权限关联保持正确。仍有占位或阻塞的菜单逐项标为未完成。
+10. 基于界面引擎的业务统计、老板经营与领导管理报表已接通当前租户真实业务数据；指标口径、筛选/时间、权限、穿透、空/失败状态与明细对账均有证据。
+
+<!-- /microi-progressive:chunk -->
+## 详细参考路由（渐进披露）
+
+仅在当前任务涉及对应主题时读取；下列文件合计保留了原 SKILL.md 的全部详细知识。
+
+- [references/progressive-01-标准工作流.md](references/progressive-01-标准工作流.md)：标准工作流
+- [references/progressive-02-自动化测试必须覆盖的坑.md](references/progressive-02-自动化测试必须覆盖的坑.md)：自动化测试必须覆盖的坑；复盘记录格式
+- [references/progressive-03-安全与跨端验收.md](references/progressive-03-安全与跨端验收.md)：安全与跨端验收
+- [references/context-quality.md](references/context-quality.md)：质量优先、精确检索、引用、局部变更及定制应用验收
+<!-- microi-progressive:end -->

package/skills/microi-system-delivery/references/context-quality.md

@@ -1,56 +1,56 @@
 # 质量优先的上下文与增量开发
-<!-- microi-progressive:chunk id=microi-system-delivery-008 sha256=0e9e14b98ac7ab7ca0bf1c4ef97bad2bf061d0c01b170325ddbaf961a02a0de4 -->
-
-本规范用于降低重复读取和重复传输，不降低软件质量。准确性、权限、业务完整性和验收优先于 token、耗时和回复长度。摘要只用于发现目标，不能成为未经核实的写入依据。
-
-## 按任务确定必需知识
-
-| 范围 | 必须读取与执行 | 扩大范围的条件 |
-|---|---|---|
-| 新建完整系统 | 基础入口、总控、标准工作流全文（原八项及菜单先行、经营报表增补）、相关专项 Skills、安全与交付检查 | 任何需求、角色、关系、端或外部服务未覆盖时补齐，不得以预算不足交付缩水系统 |
-| 已有系统局部修改 | 基础入口、总控路由、本次领域 Skill、目标当前内容及直接依赖、相关安全规则、影响范围内的回读与回归 | 目标不唯一、关系不清、动态调用、跨表状态、权限、公共组件影响不明时继续检索；不能靠名称相似猜测 |
-| 只读解释或诊断 | 基础入口、总控路由、支持结论的相关事实 | 证据不足先补读，不能把文档、缓存、旧会话或摘要冒充当前运行状态 |
-
-完整系统不因未出现“完整”二字就降级。对“开发一套系统”等新系统意图，默认按完整系统执行。任务范围判定与帐号身份分开：创始人身份不等于每项客户需求都在修改平台内核，但平台基础能力变更仍执行四项同步和平台回归。
-
-每次开工列明实际读取的基础入口、总控、适用参考和专项 Skills；只声称已经读取的内容。首次读取、版本变化或目标不明时扩大读取。同一会话中可复用已完整读取且内容哈希未变化的知识；新会话、压缩后无法确认读取记录或哈希变化时重新读取。
-
-## 先发现，再精确读取，再修改
-
-1. 确认实际服务器、完整租户坐标、当前身份和业务目标；不得为了减少读取切换到其它连接。
-2. 先获取目录或搜索结果，确认目标 Id、路径、版本与关系。目录摘要、行片段和字段投影不能表示全库、完整文件或完整业务模型。
-3. 修改前读取目标完整语义单元及必要依赖；金额、库存、权限、审批、关联字段和公共组件扩大到后端规则、调用方和跨端回显。仅改文案仍需确认实际按钮、角色条件与运行入口。
-4. 返回 `hasMore`、截断、未知完整性、错误或缺失依赖时继续分页或扩大查询。查无结果不证明资源不存在，必须检查过滤范围与权限。
-5. 按本次精确差异修改，保留其它正确配置；执行前检查当前版本和授权，执行后独立回读，再验证受影响业务和界面。
-
-完整新系统先完成可遍历的现有资源盘点与关系审查，避免重复建模；不能只看一页摘要就开始创建。局部修改不重复生成全库示例数据，也不跳过该改动的失败、边界、权限和兼容回归。
-
-## 不可变引用与结果证据
-
-Manifest 正文可以一次提交，后续以同一内容哈希和会话引用执行 plan、dry-run、apply、validate。引用只是传输优化，不是授权票据、全局锁或幂等保证。
-
-- 引用必须绑定当前服务器、完整租户坐标和身份，设容量与有效期；凭据变化、过期、重启或跨会话引用失败时重传已核对正文。
-- 写入仍使用当前真实权限、确认参数、结构与引用校验；不得复用旧验收结论代替当前检查。
-- 写入超时、断线或结果未知时先回读，不得换引用或幂等键盲目重试。
-- 摘要保留状态、错误、警告、资源标识、版本/哈希、验证结果和完整证据引用；完整回执可按需取回。不能截断 JSON 后把片段作为可执行正文。
-- 对权限变化、冲突、部分成功、回滚和未知状态明确区分；失败不能被压缩成成功数量。
-
-## 定制应用的最小充分接入
-
-| 场景 | 读取范围与复用方式 | 必须保留的验收 |
-|---|---|---|
-| Vue / UniApp 定制前端 | 对应前端、SDK、资源与 UI Skills；现有微服务脚手架、登录、上传和 API 封装 | 真实登录、租户隔离、失败状态、跨端回显、构建和浏览器 |
-| 游戏 / Unity / WebGL | 对应应用或 Unity Skill；仅按实际需要接入帐号、存档、排行、房间和支付 | 状态一致性、重连、并发、服务端防伪、设备/GPU 验收边界 |
-| 算法工程 | 算法源码、数据契约和可重复样例；平台仅提供需要的数据、权限与任务能力 | 正确性、边界、性能和真实数据分布；不能只验示例 |
-| 硬件 / IoT | 实际协议及对应 TCP、HTTP、MQTT Skill，受信配置和模拟器 | 幂等、超时、结果未知、真实设备执行；网络写入成功不等于设备已执行 |
-
-平台没有覆盖的能力必须明确实现和验收，不能用通用模板掩盖缺口。脚手架和模拟器减少重复建设，不能替代真实服务或硬件证据。
-
-## 计量与验收标准
-
-以同模型、同需求、同初始数据和同验收标准比较小修改、定制页面、完整系统。记录真实输入、缓存输入、输出、供应商报告的推理用量（如有）、工具轮数、重复读取、错误重试、耗时和完成率。多 Agent 的用量也计入总量。
-
-MCP 可以准确统计传输字节和调用次数，不能据此声称供应商 token 或费用。缺少供应商 Usage 时标记未知；字符估算单独标记。缓存命中降低费用或延迟，不等于逻辑 token 消失。外部 Codex/IDE 的历史摘要与供应商缓存由宿主管理，吾码不得宣称已强制控制。
-
-评测必须同时检验资源完整、权限/事务/关系正确、局部差异精确和必要回归通过。任何质量退步都不接受；不通过删测试、减少验收或隐瞒失败来展示节省比例。
+<!-- microi-progressive:chunk id=microi-system-delivery-008 sha256=beffc0924e9b36dca7a57da12a4cecb65ab05e938cb776c295c7fc5d7f736553 -->
+
+本规范用于降低重复读取和重复传输，不降低软件质量。准确性、权限、业务完整性和验收优先于 token、耗时和回复长度。摘要只用于发现目标，不能成为未经核实的写入依据。
+
+## 按任务确定必需知识
+
+| 范围 | 必须读取与执行 | 扩大范围的条件 |
+|---|---|---|
+| 新建完整系统 | 基础入口、总控、标准工作流全文（原八项及菜单先行、经营报表增补）、相关专项 Skills、安全与交付检查 | 任何需求、角色、关系、端或外部服务未覆盖时补齐，不得以预算不足交付缩水系统 |
+| 已有系统局部修改 | 基础入口、总控路由、本次领域 Skill、目标当前内容及直接依赖、相关安全规则、影响范围内的回读与回归 | 目标不唯一、关系不清、动态调用、跨表状态、权限、公共组件影响不明时继续检索；不能靠名称相似猜测 |
+| 只读解释或诊断 | 基础入口、总控路由、支持结论的相关事实 | 证据不足先补读，不能把文档、缓存、旧会话或摘要冒充当前运行状态 |
+
+完整系统不因未出现“完整”二字就降级。对“开发一套系统”等新系统意图，默认按完整系统执行。任务范围判定与帐号身份分开：创始人身份不等于每项客户需求都在修改平台内核，但平台基础能力变更仍执行四项同步和平台回归。
+
+每次开工列明实际读取的基础入口、总控、适用参考和专项 Skills；只声称已经读取的内容。首次读取、版本变化或目标不明时扩大读取。同一会话中可复用已完整读取且内容哈希未变化的知识；新会话、压缩后无法确认读取记录或哈希变化时重新读取。
+
+## 先发现，再精确读取，再修改
+
+1. 确认实际服务器、完整租户坐标、当前身份和业务目标；不得为了减少读取切换到其它连接。
+2. 先获取目录或搜索结果，确认目标 Id、路径、版本与关系。目录摘要、行片段和字段投影不能表示全库、完整文件或完整业务模型。
+3. 修改前读取目标完整语义单元及必要依赖；金额、库存、权限、审批、关联字段和公共组件扩大到后端规则、调用方和跨端回显。仅改文案仍需确认实际按钮、角色条件与运行入口。
+4. 返回 `hasMore`、截断、未知完整性、错误或缺失依赖时继续分页或扩大查询。查无结果不证明资源不存在，必须检查过滤范围与权限。
+5. 按本次精确差异修改，保留其它正确配置；执行前检查当前版本和授权，执行后独立回读，再验证受影响业务和界面。
+
+完整新系统先完成可遍历的现有资源盘点与关系审查，避免重复建模；不能只看一页摘要就开始创建。局部修改不重复生成全库示例数据，也不跳过该改动的失败、边界、权限和兼容回归。
+
+## 不可变引用与结果证据
+
+Manifest 正文可以一次提交，后续以同一内容哈希和会话引用执行 plan、dry-run、apply、validate。引用只是传输优化，不是授权票据、全局锁或幂等保证。
+
+- 引用必须绑定当前服务器、完整租户坐标和身份，设容量与有效期；凭据变化、过期、重启或跨会话引用失败时重传已核对正文。
+- 写入仍使用当前真实权限、确认参数、结构与引用校验；不得复用旧验收结论代替当前检查。
+- 写入超时、断线或结果未知时先回读，不得换引用或幂等键盲目重试。
+- 摘要保留状态、错误、警告、资源标识、版本/哈希、验证结果和完整证据引用；完整回执可按需取回。不能截断 JSON 后把片段作为可执行正文。
+- 对权限变化、冲突、部分成功、回滚和未知状态明确区分；失败不能被压缩成成功数量。
+
+## 定制应用的最小充分接入
+
+| 场景 | 读取范围与复用方式 | 必须保留的验收 |
+|---|---|---|
+| Vue / UniApp 定制前端 | 对应前端、SDK、资源与 UI Skills；现有微服务脚手架、登录、上传和 API 封装 | 真实登录、租户隔离、失败状态、跨端回显、构建和浏览器 |
+| 游戏 / Unity / WebGL | 对应应用或 Unity Skill；仅按实际需要接入帐号、存档、排行、房间和支付 | 状态一致性、重连、并发、服务端防伪、设备/GPU 验收边界 |
+| 算法工程 | 算法源码、数据契约和可重复样例；平台仅提供需要的数据、权限与任务能力 | 正确性、边界、性能和真实数据分布；不能只验示例 |
+| 硬件 / IoT | 实际协议及对应 TCP、HTTP、MQTT Skill，受信配置和模拟器 | 幂等、超时、结果未知、真实设备执行；网络写入成功不等于设备已执行 |
+
+平台没有覆盖的能力必须明确实现和验收，不能用通用模板掩盖缺口。脚手架和模拟器减少重复建设，不能替代真实服务或硬件证据。
+
+## 计量与验收标准
+
+以同模型、同需求、同初始数据和同验收标准比较小修改、定制页面、完整系统。记录真实输入、缓存输入、输出、供应商报告的推理用量（如有）、工具轮数、重复读取、错误重试、耗时和完成率。多 Agent 的用量也计入总量。
+
+MCP 可以准确统计传输字节和调用次数，不能据此声称供应商 token 或费用。缺少供应商 Usage 时标记未知；字符估算单独标记。缓存命中降低费用或延迟，不等于逻辑 token 消失。外部 Codex/IDE 的历史摘要与供应商缓存由宿主管理，吾码不得宣称已强制控制。
+
+评测必须同时检验资源完整、权限/事务/关系正确、局部差异精确和必要回归通过。任何质量退步都不接受；不通过删测试、减少验收或隐瞒失败来展示节省比例。
 <!-- /microi-progressive:chunk -->