@microi.net/cli 6.1.4 → 6.1.6

package/skills/microi-sso/references/outbound.md

@@ -1,43 +1,43 @@
-# 吾码向第三方提供登录
-
-## 共同边界
-
-先验证当前交互式 DiyToken，再生成第三方协议票据。访问密钥会话不能替代用户交互授权。外部 Client/SP/service 只能读取按 Scope/映射允许的最小资料，不能获得 DiyToken、菜单权限对象或内部角色策略。
-
-## OIDC Provider
-
-应提供：
-
-- Discovery、JWKS、Authorize、Token、UserInfo。
-- 机密客户端认证与公共客户端 PKCE S256。
-- 一次性授权码，绑定 ClientId、Redirect URI、Scope、PKCE、用户、租户和过期时间。
-- 签名 id_token，校验 nonce；按客户端派生 pairwise subject。
-- 高熵不透明 Access/Refresh Token；仅保存哈希索引。
-- Refresh Token rotation/reuse detection，family 撤销。
-- Introspection、Revocation、RP-Initiated Logout 与精确 post-logout redirect。
-
-Client Secret 轮换动作只显示一次明文，持久化 PBKDF2-SHA256 哈希。签名 Key 必须有 `kid`，轮换时保留验证重叠窗口。
-
-对外 Claim 固定由 `sso_outbound_claims` 从启用用户与连接白名单生成；24 个 `sso_http_*` Managed 端点通过 `RunSsoProtocol` 把同一投影编码成 OIDC/SAML/CAS 响应。Client Secret 轮换由 `sso_rotate_client_secret` 编排，并调用精确受限的可信原子生成一次性明文与持久哈希，不能恢复为 Controller 定制动作。
-
-## SAML IdP
-
-应提供 IdP Metadata、SSO、签名 Response/Assertion、可选加密和 SLO。必须校验 SP Entity ID、ACS、Destination、AuthnRequest 签名/重放；Attribute 只来自白名单映射。每个伙伴独立证书/配置，不把私钥放进应用包或前端。
-
-## CAS Server
-
-应提供 `/login`、CAS 1.0 `/validate`、CAS 2.0 `/serviceValidate`、CAS 3.0 `/p3/serviceValidate` 和 `/logout`。Service Ticket 必须：
-
-- 随机、短时、单次使用。
-- 绑定当前租户、连接、用户和精确 service。
-- 校验成功才返回用户属性；CAS 1.0 使用协议规定的 yes/no 文本。
-
-当前不实现 CAS Proxy Ticket；需要代理链时先评估改用 OIDC。
-
-## 授权页面
-
-OIDC 公共客户端 `ClientAuthMethod=none` 每次授权都必须由用户在官方页面明确确认；已有 Provider Session 也不能自动返回 code，调用方删除或修改 prompt 不能绕过确认。`prompt=none` 返回 `interaction_required`，只向已校验的精确 redirect URI 回传错误与 state，不签发 code，也不强行打开确认页。缺失 prompt 或其它受支持的交互请求进入 opaque RequestId 确认流程；机密客户端保留既有 Provider Session 自动授权及显式 consent 行为。
-
-`CompleteAuthorization` 的 `Preview=true` 只在当前交互式 DiyToken 下读取授权卡片，校验当前客户端启用状态、精确回调和 Scope，返回当前官方账号、目标系统、回调、Scope 与有效期的白名单投影。重复 Preview 不消费 RequestId，不返回 code、state、nonce、PKCE challenge、DiyToken 或客户端秘密；真正确认时才原子消费请求并再次校验客户端配置。账号确认使用 `ExpectedUserId` 收紧校验，授权身份始终来自当前 DiyToken，不能由页面指定。
-
-没有有效 Provider Session 的交互请求先跳到吾码登录页，登录成功回到一次性 handoff。页面必须说明目标系统、当前官方账号、请求 Scope 和退出影响；任何第三方请求的 Scope 都不能自动映射为吾码管理员能力。上线验收须实际重复 Preview、再确认取得 code，不能用 HTTP 200 或旧 API 忽略 Preview 后直接消费请求的结果代替协议证据。
+# 吾码向第三方提供登录
+
+## 共同边界
+
+先验证当前交互式 DiyToken，再生成第三方协议票据。访问密钥会话不能替代用户交互授权。外部 Client/SP/service 只能读取按 Scope/映射允许的最小资料，不能获得 DiyToken、菜单权限对象或内部角色策略。
+
+## OIDC Provider
+
+应提供：
+
+- Discovery、JWKS、Authorize、Token、UserInfo。
+- 机密客户端认证与公共客户端 PKCE S256。
+- 一次性授权码，绑定 ClientId、Redirect URI、Scope、PKCE、用户、租户和过期时间。
+- 签名 id_token，校验 nonce；按客户端派生 pairwise subject。
+- 高熵不透明 Access/Refresh Token；仅保存哈希索引。
+- Refresh Token rotation/reuse detection，family 撤销。
+- Introspection、Revocation、RP-Initiated Logout 与精确 post-logout redirect。
+
+Client Secret 轮换动作只显示一次明文，持久化 PBKDF2-SHA256 哈希。签名 Key 必须有 `kid`，轮换时保留验证重叠窗口。
+
+对外 Claim 固定由 `sso_outbound_claims` 从启用用户与连接白名单生成；24 个 `sso_http_*` Managed 端点通过 `RunSsoProtocol` 把同一投影编码成 OIDC/SAML/CAS 响应。Client Secret 轮换由 `sso_rotate_client_secret` 编排，并调用精确受限的可信原子生成一次性明文与持久哈希，不能恢复为 Controller 定制动作。
+
+## SAML IdP
+
+应提供 IdP Metadata、SSO、签名 Response/Assertion、可选加密和 SLO。必须校验 SP Entity ID、ACS、Destination、AuthnRequest 签名/重放；Attribute 只来自白名单映射。每个伙伴独立证书/配置，不把私钥放进应用包或前端。
+
+## CAS Server
+
+应提供 `/login`、CAS 1.0 `/validate`、CAS 2.0 `/serviceValidate`、CAS 3.0 `/p3/serviceValidate` 和 `/logout`。Service Ticket 必须：
+
+- 随机、短时、单次使用。
+- 绑定当前租户、连接、用户和精确 service。
+- 校验成功才返回用户属性；CAS 1.0 使用协议规定的 yes/no 文本。
+
+当前不实现 CAS Proxy Ticket；需要代理链时先评估改用 OIDC。
+
+## 授权页面
+
+OIDC 公共客户端 `ClientAuthMethod=none` 每次授权都必须由用户在官方页面明确确认；已有 Provider Session 也不能自动返回 code，调用方删除或修改 prompt 不能绕过确认。`prompt=none` 返回 `interaction_required`，只向已校验的精确 redirect URI 回传错误与 state，不签发 code，也不强行打开确认页。缺失 prompt 或其它受支持的交互请求进入 opaque RequestId 确认流程；机密客户端保留既有 Provider Session 自动授权及显式 consent 行为。
+
+`CompleteAuthorization` 的 `Preview=true` 只在当前交互式 DiyToken 下读取授权卡片，校验当前客户端启用状态、精确回调和 Scope，返回当前官方账号、目标系统、回调、Scope 与有效期的白名单投影。重复 Preview 不消费 RequestId，不返回 code、state、nonce、PKCE challenge、DiyToken 或客户端秘密；真正确认时才原子消费请求并再次校验客户端配置。账号确认使用 `ExpectedUserId` 收紧校验，授权身份始终来自当前 DiyToken，不能由页面指定。
+
+没有有效 Provider Session 的交互请求先跳到吾码登录页，登录成功回到一次性 handoff。页面必须说明目标系统、当前官方账号、请求 Scope 和退出影响；任何第三方请求的 Scope 都不能自动映射为吾码管理员能力。上线验收须实际重复 Preview、再确认取得 code，不能用 HTTP 200 或旧 API 忽略 Preview 后直接消费请求的结果代替协议证据。

package/skills/microi-system-delivery/references/context-quality.md

@@ -1,5 +1,5 @@
-# 质量优先的上下文与增量开发
-<!-- microi-progressive:chunk id=microi-system-delivery-008 sha256=beffc0924e9b36dca7a57da12a4cecb65ab05e938cb776c295c7fc5d7f736553 -->
+# 质量优先的上下文与增量开发
+<!-- microi-progressive:chunk id=microi-system-delivery-008 sha256=beffc0924e9b36dca7a57da12a4cecb65ab05e938cb776c295c7fc5d7f736553 -->
 
 本规范用于降低重复读取和重复传输，不降低软件质量。准确性、权限、业务完整性和验收优先于 token、耗时和回复长度。摘要只用于发现目标，不能成为未经核实的写入依据。
 
@@ -53,4 +53,4 @@ Manifest 正文可以一次提交，后续以同一内容哈希和会话引用
 MCP 可以准确统计传输字节和调用次数，不能据此声称供应商 token 或费用。缺少供应商 Usage 时标记未知；字符估算单独标记。缓存命中降低费用或延迟，不等于逻辑 token 消失。外部 Codex/IDE 的历史摘要与供应商缓存由宿主管理，吾码不得宣称已强制控制。
 
 评测必须同时检验资源完整、权限/事务/关系正确、局部差异精确和必要回归通过。任何质量退步都不接受；不通过删测试、减少验收或隐瞒失败来展示节省比例。
-<!-- /microi-progressive:chunk -->
+<!-- /microi-progressive:chunk -->

package/skills/microi-system-delivery/references/progressive-01-/346/240/207/345/207/206/345/267/245/344/275/234/346/265/201.md

@@ -1,13 +1,13 @@
-# microi-system-delivery 详细参考 1
-
-> 按需读取；本文件由 SKILL.md 的原章节无损拆分。
-
-新建业务表的字段落地后必须配置默认表单 Banner：完整 Manifest 使用
-`tables[].formBanner`，逐步建模调用 `microi_configure_form_banner`。标题、图片、标签和
-统计都应来自真实字段或真实接口引擎；配置写 `diy_table`，禁止写入 `sys_menu`。即使用户
-没有逐项指定，也必须写入类型感知的合理默认值，不能交付空 Banner。
-
-<!-- microi-progressive:chunk id=microi-system-delivery-005 sha256=32039bfdbd18bb97f3f93974ace75169c9d90df4c0702ff76134f1c9a9282912 -->
+# microi-system-delivery 详细参考 1
+
+> 按需读取；本文件由 SKILL.md 的原章节无损拆分。
+
+新建业务表的字段落地后必须配置默认表单 Banner：完整 Manifest 使用
+`tables[].formBanner`，逐步建模调用 `microi_configure_form_banner`。标题、图片、标签和
+统计都应来自真实字段或真实接口引擎；配置写 `diy_table`，禁止写入 `sys_menu`。即使用户
+没有逐项指定，也必须写入类型感知的合理默认值，不能交付空 Banner。
+
+<!-- microi-progressive:chunk id=microi-system-delivery-005 sha256=32039bfdbd18bb97f3f93974ace75169c9d90df4c0702ff76134f1c9a9282912 -->
 ## 完整系统开发默认交付清单（原推荐提示词 1–8）
 
 以下八项来自官网最后编号版推荐提示词，是完整系统新建/开发的默认交付要求。
@@ -274,4 +274,4 @@ VS Code 插件必须让用户清楚知道本地和远端是否一致。
 
 不要用租户接口引擎修平台设计器、全局上传限制、VS Code 插件同步、MCP 元数据写入等平台级问题。
 
-<!-- /microi-progressive:chunk -->
+<!-- /microi-progressive:chunk -->

package/skills/microi-system-delivery/references/progressive-02-/350/207/252/345/212/250/345/214/226/346/265/213/350/257/225/345/277/205/351/241/273/350/246/206/347/233/226/347/232/204/345/235/221.md

@@ -1,12 +1,12 @@
-# microi-system-delivery 详细参考 2
-
-> 按需读取；本文件由 SKILL.md 的原章节无损拆分。
-
-## 自动清理入口回归增补
-
-临时文件回归必须调用真实 Full `finally` 与发布 `EXIT` 收尾，分别验证成功、原始失败、可捕获中断及清理失败；不能仅断言源码有 `finally`。覆盖祖先/子项链接、Git 标记、已有目录、空格及方括号路径、受保护属性与独占文件锁，断言保护项字节不变、普通删除不传 `-Force`、失败不自动强制重试、回执可定位残留。测试异常与清理异常同时发生时保留原始异常，发布锁仍释放；平台进程被硬杀不能假称已完成收尾。用例位于 `Microi.Tests/ReleaseGate/test-artifact-cleanup.test.mjs` 与 `release-scratch.test.mjs`，不为这些文件生命周期回归启动数据库或 Docker 容器。
-
-<!-- microi-progressive:chunk id=microi-system-delivery-006 sha256=dee4ef7027b49b46a92f4b2bbd88d82997f9c992351e5d599ba6d38a03267258 -->
+# microi-system-delivery 详细参考 2
+
+> 按需读取；本文件由 SKILL.md 的原章节无损拆分。
+
+## 自动清理入口回归增补
+
+临时文件回归必须调用真实 Full `finally` 与发布 `EXIT` 收尾，分别验证成功、原始失败、可捕获中断及清理失败；不能仅断言源码有 `finally`。覆盖祖先/子项链接、Git 标记、已有目录、空格及方括号路径、受保护属性与独占文件锁，断言保护项字节不变、普通删除不传 `-Force`、失败不自动强制重试、回执可定位残留。测试异常与清理异常同时发生时保留原始异常，发布锁仍释放；平台进程被硬杀不能假称已完成收尾。用例位于 `Microi.Tests/ReleaseGate/test-artifact-cleanup.test.mjs` 与 `release-scratch.test.mjs`，不为这些文件生命周期回归启动数据库或 Docker 容器。
+
+<!-- microi-progressive:chunk id=microi-system-delivery-006 sha256=dee4ef7027b49b46a92f4b2bbd88d82997f9c992351e5d599ba6d38a03267258 -->
 ## 自动化测试必须覆盖的坑
 
 ### 后端统一测试与发布门禁
@@ -155,8 +155,8 @@
 - 团队/分润人数统计必须明确资格口径，例如是否只统计已认证、已激活、有效状态用户。若业务规则要求认证门槛，未认证小号不得计入直推、间推、团队总人数、奖励门槛或入账门槛。
 - 每次修复资金/资产业务规则后，必须同步更新项目蓝图/方案文档中的触发点、计算公式、字段口径和验收方式，不能只改代码或只在对话里说明。
 
-<!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=microi-system-delivery-007 sha256=67fa060b6520a80e41818ac0974c0b38ff3171c97a1c558a01667b854865fa7a -->
+<!-- /microi-progressive:chunk -->
+<!-- microi-progressive:chunk id=microi-system-delivery-007 sha256=67fa060b6520a80e41818ac0974c0b38ff3171c97a1c558a01667b854865fa7a -->
 ## 复盘记录格式
 
 每次用户手工测出问题，修复后都要把问题写入对应通用 Skill，格式如下：
@@ -238,4 +238,4 @@
 - 根因：ASP.NET Core 运行时从 `Microsoft.AspNetCore.App` / `Microsoft.NETCore.App` 共享框架加载程序集，这些 DLL 默认不复制到 framework-dependent 的发布目录；Obfuscar 是离线元数据处理器，只搜索 `InPath` 时无法解析新增基类。同时，插件直接使用的 NuGet API 若只由其它项目传递带入，项目依赖契约也不完整。
 - 通用规则：项目直接使用的包必须在自身 `.csproj` 声明直接 `PackageReference`，但不能把“补 NuGet 引用”误当作 Obfuscar 搜索路径修复。混淆脚本应从发布目录的 `runtimeconfig.json` 读取目标 .NET 主版本，再从 `dotnet --list-runtimes` 动态选择同主版本的最新 `Microsoft.AspNetCore.App` 和 `Microsoft.NETCore.App` 目录，生成绝对路径 `AssemblySearchPath`；禁止硬编码补丁版本，也不要为了混淆把共享框架 DLL 强行复制进最终发布目录。错误提示应保留 Obfuscar 的真实依赖解析错误，不能统一误报“工具未安装”。
 - 自动化检查：使用实际 Git Bash 执行脚本语法检查；定向构建插件并检查 nupkg 明确包含直接依赖；对全部受保护 DLL 执行混淆并验证哈希变化；最后必须启动混淆后的发布目录，断言插件注入、平台初始化和 Kestrel 监听成功，且日志不存在 `FileNotFoundException`、`TypeLoadException`、`Unable to resolve dependency` 或 `Could not load file or assembly`。
-<!-- /microi-progressive:chunk -->
+<!-- /microi-progressive:chunk -->

package/skills/microi-system-delivery/references/progressive-03-/345/256/211/345/205/250/344/270/216/350/267/250/347/253/257/351/252/214/346/224/266.md

@@ -1,8 +1,8 @@
-# 安全与跨端验收
-
-> 原规则按适用范围无损迁移；触发对应工作时必须完整读取相关章节。
-
-<!-- microi-progressive:chunk id=microi-system-delivery-002 sha256=b4cd10b169b54235314d170c8e74f17bf6bcb5f658d0d4d2e10c73dc8aa37ef7 -->
+# 安全与跨端验收
+
+> 原规则按适用范围无损迁移；触发对应工作时必须完整读取相关章节。
+
+<!-- microi-progressive:chunk id=microi-system-delivery-002 sha256=b4cd10b169b54235314d170c8e74f17bf6bcb5f658d0d4d2e10c73dc8aa37ef7 -->
 ## 平台安全与存量兼容验收（强制）
 
 AI 零代码交付不能只验证管理员帐号和页面能打开。任何涉及 FormEngine、菜单、角色、子表、文件、SaaS 或登录协议的交付，都必须按以下服务端边界设计和验收：
@@ -54,8 +54,8 @@ AI 零代码交付不能只验证管理员帐号和页面能打开。任何涉
 8. 历史 RSA fallback 和专属匹配密钥均可登录；并发续签不反复退出。
 9. SaaS 脱敏投影不包含基础设施密钥，Redis anonymous/temporary/非管理员管理失败。
 
-<!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=microi-system-delivery-003 sha256=479ccdb65450c7741b052a30d8e4a11917bc19d80bf9b4ac89ea00092b4aaa73 -->
+<!-- /microi-progressive:chunk -->
+<!-- microi-progressive:chunk id=microi-system-delivery-003 sha256=479ccdb65450c7741b052a30d8e4a11917bc19d80bf9b4ac89ea00092b4aaa73 -->
 ## 前端交付检查清单
 
 - 底部 tabBar 图标不 404。
@@ -68,4 +68,4 @@ AI 零代码交付不能只验证管理员帐号和页面能打开。任何涉
 - 消息/待办/约单/审核类提醒必须有未读角标，已读后消失。
 - 订单状态角标只给需要处理的状态，不给“全部/已完成/已取消”等静态分类堆数字。
 
-<!-- /microi-progressive:chunk -->
+<!-- /microi-progressive:chunk -->