@microi.net/cli 6.2.2 → 6.2.4

package/skills/v8-table-event/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: v8-table-event
-description: Microi V8 表单事件开发。用于编写 InFormV8、SubmitFormV8、SubmitBeforeServerV8、SubmitAfterServerV8、OutFormV8、DataFilterV8 和事务感知事件。
+description: Microi V8 表单事件开发。用于表单进入/提交/数据处理，以及日志、评论、数据版本各四阶段写入事件的源码发现、事务、幂等回执和验收。
 ---
 
 > **Microi吾码基础规范（强制）：** 任何 AI 模型与宿主每次新建或接续吾码任务，先完整读取 `../workspace-conventions/SKILL.md`，必须执行版本播报、`@microi.net/cli` 后台自动升级、Skills/MCP 同步和进度播报。安装与诊断读取 `../microi-codex-installer/SKILL.md`；更新失败延后重试，不阻断当前工作。
@@ -51,7 +51,7 @@ AI 本地开发表单 V8 事件时，优先修改 `microi-v8-engine/<租户>/<
 | `DataFilterV8.js` | **后端** | `DataFilter` | 获取列表/表单数据后 | 每行数据加工、脱敏、补充字段 |
 
 <!-- /microi-progressive:chunk -->
-<!-- microi-progressive:chunk id=v8-table-event-002 sha256=230de68b48d85dd28ec5667bb46953305b41d34d376cf3eb5f223d63fb463837 -->
+<!-- microi-progressive:chunk id=v8-table-event-002 sha256=470d1827cce01a45e424639cc7273c7b838c8e158f125bff524466393c1e4b41 -->
 ## 事件触发规则
 
 - 后端 V8 事件 / 接口引擎中调用 `V8.FormEngine` 增删改 → **不触发**表单 V8 事件
@@ -60,6 +60,55 @@ AI 本地开发表单 V8 事件时，优先修改 `microi-v8-engine/<租户>/<
 - 服务器端提交前/后 V8 事件在**同一事务**中执行
 - `diy_table.V8Limit` 是表后端提交前、提交后和数据处理 V8 的正向开关：缺失、`null`、`0/false` 均不设置 Jint 单次超时、语句、函数递归和累计分配预算，只有 `1/true` 才启用这些限制。旧 `V8Unlimited` 仅在新字段不存在时反向推断，新的 MCP、Manifest 和应用资源只写 `V8Limit`。进程常驻内存、取消、并发、接口嵌套深度、权限和数据库保护始终生效。
 
+### 日志、评论、数据版本的 12 个写入事件
+
+事件仍是顶层 `diy_table` 属性，不属于 `sys_menu`、字段 Config 或临时接口。
+`microi_list_events/get_event_code/save_event_code` 与 Manifest `events[]` 使用相同名称。
+`V8.EventName` 等于属性名去掉末尾 `V8`。
+
+| 属性/EventType | 中文名称 |
+|---|---|
+| `DataLogBeforeClientV8` | 前端数据日志写入前V8事件 |
+| `DataLogBeforeServerV8` | 后端数据日志写入前V8事件 |
+| `DataLogAfterServerV8` | 后端数据日志写入后V8事件 |
+| `DataLogAfterClientV8` | 前端数据日志写入后V8事件 |
+| `DataCommentBeforeClientV8` | 前端数据评论写入前V8事件 |
+| `DataCommentBeforeServerV8` | 后端数据评论写入前V8事件 |
+| `DataCommentAfterServerV8` | 后端数据评论写入后V8事件 |
+| `DataCommentAfterClientV8` | 前端数据评论写入后V8事件 |
+| `DataVersionBeforeClientV8` | 前端数据版本写入前V8事件 |
+| `DataVersionBeforeServerV8` | 后端数据版本写入前V8事件 |
+| `DataVersionAfterServerV8` | 后端数据版本写入后V8事件 |
+| `DataVersionAfterClientV8` | 前端数据版本写入后V8事件 |
+
+顺序为前端 BeforeClient → 后端 BeforeServer → 写活动 → 后端 AfterServer → 提交 → 前端 AfterClient。
+仅该类功能启用、且该类四事件至少一项非空时启用新原子管线；全空保持存量日志/版本流程，
+不得据此声称旧异步流程也具有新事务保证。无浏览器调用只执行两个后端阶段，读取、计数、
+预览不触发。后端任一失败或异常向外传播并回滚父事务；跨不同 writer/辅助库无法共享事务时
+必须拒绝并回滚，不能静默拆成两个事务。AfterServer 仍在提交前。
+
+- `V8.Form` 是活动行的白名单增量，不是父业务整行；`V8.OldForm` 为适用的旧活动或空。
+  `V8.Activity={Kind,Action,ParentTableId,ParentTableName,ParentRecordId,RequestId}`；
+  `V8.Param` 只含 Activity 与 Form 的副本。
+- 后端 `TableModel` 是权威父表，`CurrentUser` 来自真实会话，`DbTrans` 共享父事务。
+  不信任前端传来的表模型、后端脚本、用户或绕过标志，不向普通客户端返回六个 Server 事件源码。
+- 客户端 `_ActivityData` 只允许 `DataLog.Title`、`DataVersion.Remark`。评论的 Content /
+  ParentCommentId 与日志 `_DataLog` 继续按既有入口传递。Version.Data 必须由服务器实际行重建，
+  客户端提交前只能预览和校验，不能替换审计快照。
+- `DataAppend.RecordActivities` 仅包含实际新写活动的类型、动作、Id 等元数据，不含内容或代码；
+  无差异、无操作、幂等重放不触发 AfterClient。客户端提交后拿到的是本地合法草稿、回执元数据
+  和正常 Result，不是数据库最终权威快照；前端失败不能撤销已提交记录，也不能诱导自动重放。
+- 通过标准保存工具维护版本头、回读代码并确认 `mic_data_version`；父行/菜单/活动权限、
+  幂等、事件防递归与租户隔离仍需同时满足。
+- 清空事件必须真正保存空字符串，不补一段只有版本头的空脚本，否则仍会被视为已配置事件。
+  清空动作仍由原代码版本链记录；本地空代码不生成事件文件。
+- 新评论管线在事件加工前，由服务器对规范化原始 Content + ParentCommentId 计算
+  `diy_comment.RequestHash`（varchar(64)、可空、隐藏只读），与 RequestId 一起核验重试；
+  BeforeServer 修改 Content 不改变原请求摘要。客户端和事件不能提交或覆盖该摘要。
+  老记录摘要为空时沿用原内容/父评论匹配；新评论事件启用而缺少物理摘要列时必须明确提示升级，
+  不得静默退化或使用临时修复接口。
+
+
 <!-- /microi-progressive:chunk -->
 <!-- microi-progressive:chunk id=v8-table-event-003 sha256=271cf2359a152663040ed31ecc2289836df4d32d0fc9c47735dffbf9b59b9837 -->
 ## ⚠️ 关键陷阱（必读）

package/skills/v8-table-event/references/progressive-02-/345/211/215/347/253/257/344/272/213/344/273/266/345/220/215-v8-eventname-/345/217/257/350/203/275/347/232/204/345/200/274.md

@@ -2,7 +2,7 @@
 
 > 按需读取；本文件由 SKILL.md 的原章节无损拆分。
 
-<!-- microi-progressive:chunk id=v8-table-event-011 sha256=80a852d31b69084c28828f124a83a2240d82309642619bc72debe3e7c271b3db -->
+<!-- microi-progressive:chunk id=v8-table-event-011 sha256=e2ae9d89779e1f31eef74faa34a9e5a35ac1ba2b9f86cd5c112875eeae5a42e0 -->
 ## 前端事件名（V8.EventName 可能的值）
 
 | 值 | 说明 |
@@ -10,6 +10,8 @@
 | `FormIn` | 进入表单事件 |
 | `FormSubmitBefore` | 提交前事件 |
 | `FormOut` | 离开表单事件 |
+| `Data{Log|Comment|Version}BeforeClient` / `AfterClient` | 相应活动写入前/后前端事件，属性名带 V8，EventName 不带 |
+| `Data{Log|Comment|Version}BeforeServer` / `AfterServer` | 相应活动写入前/后后端事件；AfterServer 仍在提交事务前 |
 | `FieldValueChange` | 字段值变更事件 |
 | `FieldOnKeyup` | 文本框键盘事件 |
 | `TableFieldOnKeyup` | 表格行内文本框键盘事件 |

package/skills/vision-engine/references/video-timeline.md

@@ -27,6 +27,50 @@
 
 前端最多单在途、最高2Hz，隐藏/暂停/换源取消，原图灰度纹理有界跟随。快脸叠层不得修改人数、无人、身份、行为或考勤；未检出脸不是无人。单模型70ms不能当作鉴权网络和RF并发后的端到端时延，需另测P95与物理手机温控。
 
+## 当前画面人体定位与服务器跟踪
+
+录像默认连续播放时，历史分析从零逐秒推进不能承担当前画面的唯一定位来源。播放、相机与监控均应自动开启独立当前帧通道；它不能按播放时钟跳过历史考勤，也不能把位置框转成员工身份。
+
+当前行为候选应使用节点缓存的原帧引用（用户/租户/会话/序号/时刻/图片摘要绑定），不能接受浏览器自报框。结果保留原采样时刻与 Candidate/Unvalidated，不提交正式考勤或行为数量。小目标 DetailInsufficient 与模型 ReviewTimedOut 必须显式保留；模型已配置不等于完成复核或准确率达标。Linux MPEG-TS 回归必须在实际交付镜像执行，不能以 Windows 同用例通过替代。
+
+节点源码候选 1.9.9 的 `/person-locations` 使用 `VisionPersonLocations/1` 独立签名域，绑定当前登录用户、租户、会话、原采样序号/时刻/图像摘要和模型摘要。只有目标 capabilities 实际声明并且普通帐号真实推理通过，才能称已接通；发布页面不等于部署节点。未验收基线、未知区域、局部人体、模型置信度和训练集命中都不能证明 90%。
+
+慢检测需要跟踪时，应评测真实当前像素的服务器跟踪，分别限制原帧缓存、原生线程、重放年龄、目标数和 CPU。KCF/CSRT 的 `update=true` 本身不是当前人仍存在的证据：必须测试遮挡、换景、纹理相似物和人员消失，验证当前外观并清除失效框。手机继续禁止连续神经网络推理；服务器跟踪的效果、丢框率、NAS P95 和物理温控需独立验收。
+
+### 当前帧候选协议与跟随验收
+
+应用 1.9.16 / 节点 1.9.9 的当前帧通路仍是候选。节点须实际声明 `serverTrackingReady`、协议、传输方式和已登记算法，前端在建会话时快照固定算法；不能由响应自行切换或接受未知算法。此通路与连续历史统计、身份、图库和行为证据分离。
+
+- `/tracking-frames` 返回独立签名 `VisionTrackingFrame/1`，绑定 tenant/owner/session/source/generation/sequence/time、JPEG/原像素摘要、模型和检测锚点。浏览器不能自报框。当前默认采集长边最多640、总像素最多230400，200–500ms反馈节拍；1280/921600只保留协议兼容。5Hz是采样上限，不是吞吐承诺。
+- `/tracking-batches` 使用 `VisionTrackingBatch/1`，一次鉴权的协议上限是5张/5MiB；当前客户端冷启动1张，按预算最多升至3张，只有一个HTTP在途。采集、待发、在途和待显示合计最多10槽；满时丢新图，缺口绑定随后首张实际入队图，不提前破坏仍连续的旧队列。
+- 每帧只显示同一JPEG解码的bitmap与坐标，按原PTS延迟播放；新模式关闭手机NCC灰度搜索/重放。源PTS间隔>.6秒、序号缺口、换源和变代必须重锚，不能伪造每秒帧号。画面寿命从采集起最多6秒，空采样/停用清屏；局部过期只释放自身，有效在途批次不因另一帧过期而撤销。HTTP超时/取消须等原请求和native工作排空后才准入下一项。
+- 当前算法为 `OpenCV-KCF-face384-relative-rest640+initial-appearance+fresh-anchor/5`。大脸锚点按相对面积≥`65536/(1280*720)`、ROI短边/画面短边≥`96/720`选384/82944工作图，其余人体/小脸为640/230400；只是计算档位，摘要、外观和归一化输出仍基于原图。不能把工作图变小理解成模型精度自然不变。
+- 普通 `TrackingLost` 与人脸核心超预算可在同原图真实复检一次；人体 `TrackingDeadlineExceeded` 则保持Unknown、下一帧复锚，不在同帧追加慢人员推理。复检仍失败则未知。旧检测锚墙钟过期后，只有本帧已有新检测、源锚年龄和最近有效像素年龄均≤2.5秒，才可经当前KCF、初始整体/分块外观及IoU一对一关联续接匿名ID；最终框/摘要来自新检测。KCF-only旧锚过期、3秒闲置、250ms核心预算、.55/.20外观阈值、遮挡/交叉拒绝和租户/用户隔离继续有效。不能强留旧ID或旧框凑连续时长。
+- 候选身份池只复用固定可信API的HTTP连接；每个请求继续核验本次DiyToken/租户，复制白名单认证头，拒收/发送Cookie、环境代理与重定向，不缓存用户或权限，不把续签Token写默认头。401/403与平台503分开，续签只属于本次响应。池由同事件循环lifespan持有，节点工作排空后关闭，启动失败也关闭；不能以连接复用省略授权校验。
+- 实际显示验收读取canvas绘制成功后写入的高精度 `presentedPts/presentedSequence/presentedFramehash`，清屏/绘制失败必须与像素同时撤销。不能把整秒HUD、待发队列时间、服务端已回包时间或未成功绘制的元数据当已呈现；最终候选源码、真实显示与Linux/目标设备回执分别绑定。
+
+CPU候选镜像必须在Python数值库导入前固定标准 `OPENBLAS_NUM_THREADS/OMP_NUM_THREADS/MKL_NUM_THREADS=1`；它们是第三方节点线程参数，不得加入Microi API业务环境变量。`cv2.setNumThreads(1)`不会限制其它BLAS池。生产依赖的真实读回曾显示NumPy与OpenCV各16线程，2CPU三帧对照仅限池后移动KCF为48ms，默认284ms；原生框/NCC/门限相同。该方向回执不代替Linux全闭包、真实端到端、NAS或物理手机温控，纯灰度失跟反例必须保留，不降低原阈值。CUDA构建须由调用方显式传已验固定CPU摘要，不能沿用旧1.9.8默认或宣称GPU已验收。
+
+输入分辨率诊断必须把原始帧与产品640/230400/JPEG.78采样后的帧分组并冻结字节摘要；把640再放大1280不能恢复细节。固定四train图、10已标人员的同权重完整80类诊断，原图1280为TP8/FP0/FN2/U0，产品640JPEG再送1280为TP4/FP3/FN6/U1；80%/40%召回不是独立专家盲验，更不是90%结论。不得据此登记模型或调整原标签/阈值；仍需原帧采集设计、训练/诊断隔离、未知分母和新人工真值。
+
+手机/粗指针设备设置最小采样间隔500ms，桌面保持原200–500ms反馈；batch恢复/失败/probe和legacy single路径均不能越过手机下限。该调整不改变.6秒源缺口、6秒画面寿命、10槽或2秒连续验收，不把降低JPEG工作量写成真机不发热保证。
+
+这仍是HTTP采样后的同步画面，完整手机WebRTC上传和同步视频/坐标回传尚未实现。不能据它宣称百路摄像头容量、原视频全帧轨迹或物理手机不发热。部署仍复用原 `vision/behavior/media`，不因新增跟踪协议增加常驻容器；CPU通道与固定版本/摘要、Watchtower白名单须分别回读，自动更新器启动不等于新候选已经部署。
+
+跟随验收分别记录真实Detection/Tracking、同ID原PTS连续时长、实际DOM框连续时长、丢框/换ID、当前帧摘要、未知覆盖与P95。重复同图、模拟clock、指定ROI、单帧出框和协议200都不能当独立泛化准确率；缩采样纹理漂移须保留失败，不改阈值或把清框回归描述成连续通过。安全帽、手机使用、可见拍摄和身份仍需各自独立真值，实验模型未合格保留候选或未知。源码、Linux、目标NAS、真实手机温控和各项90%门禁逐层报告，不以某层通过替代其它层。
+
+## 登记录像原生帧显示通道
+
+`VisionFileDisplayFrame/1` 是与旧Timeline/Tracking域隔离的源码候选。`GrantDisplayFrame`只核当前用户、本人Active File会话、封存对象和固定pipeline，不写Revision、TimelineStateJson、统计、身份或图库。POST只返作业元数据，即使Completed幂等重放也不带图片；GET逐次重新鉴权及重查媒体授权后才返图，不能凭旧grant继续返回撤权图片。平台连接池拒Cookie，不缓存权限；单worker、取消后原生排空、最多8记录/1完成JPEG和TTL均有界。
+
+先支持可信登记H264播放件的原生BGR24解码，不在检测前scale/JPEG；旋转/SAR/编码或PTS语义不支持时明确拒绝。YOLOX-S1280派生完整80类模型固定SHA `b043286f955262e16f5a7dbf09f35511bf0cecc9591285ee71cfa1d71a956110`，原640模型协议不变。YuNet同帧定位仅产生脸框和faceKnown，不提模板或猜身份。三摘要分别表示文件、原像素、实际展示JPEG字节，不互换。
+
+前端File仅按绘制成功actualPTS推进，最多一作业/一bitmap；seek、暂停、换源、隐藏和错误撤销旧代，晚回包不能复活。原正式时间轴继续按既有规则分析，显示只按实际已呈现时刻回读sealed投影；显示通道不扩大有效覆盖或自动授权采集。摄像头/直播维持v5，完整WebRTC与物理温控另验。能力必须实际ready才启用；已发布RC2不含此后续源码通道，不能给旧启动器添加未知配置项。
+
+四train原图1280召回80%、缩图再放大40%、固定分块未改善，均不是独立90%验证。原生取帧、连接、模型文件回读和单帧出框不能替代人员/脸/安全帽/手机/拍摄各自的独立验收。
+
+含人员模型的节点候选使用独立Docker模型层，固定 `/opt/microi-vision/models` 两个公开权重及其大小/SHA/来源/完整许可通知；不进Git、NuGet或浏览器包，不在运行中下载或扫描任意目录，不写NAS只读模型挂载。显式配置优先，缺省auto，`bundled_models=disabled`关闭回退，JSON null不是可靠关闭语义。实际普通UID必须可遍历目录并读取只读文件；构建前后来源、/app运行闭包、/opt模型白名单、标签/摘要、NAS及回滚分别验收。不能把独立模型层理解成客户模型质量或CPU通道已更新。
+
 ## 身份、图库与候选
 
 - Grant由会话明确 `enableIdentity && identityConsent` 决定identityPolicy；capturePolicy同时要求runtime.CanCaptureFaces和会话captureFaces未关闭。变更开关新建会话，不能沿用旧授权。
@@ -40,3 +84,11 @@
 固定旧权重来源是 onnx-community/rfdetr_large-ONNX@4988fbacee4aa815e43c2e0666377ab26bddf1e8（560输入）。`tile-small-v2`指小目标补充分块算法，不证明权重为Small。模型卡及当时官方COCO权重声明Apache-2.0；HF导出缺原始PT摘要与完整导出脚本，不能声称已证明每个张量溯源，也不能把其它代次规格自动归同一许可。逐模型保留来源/SHA/第三方通知。
 
 协议/单测通过不等于目标NAS吞吐、手机温控、海康兼容或90%准确率通过。实际推理时延、解码Range预算、播放覆盖率、边框精度、行为分项正反样本、身份误接受/误拒绝分别验收。没有独立真值则保留未验收，不能用模型置信度或人工诊断少量图替代。
+
+## 专用CPU安全帽候选与慢任务隔离
+
+v1.9.18开发候选使用同视觉容器中的受控DAMO ONNX，独立`VisionHelmetCandidates/1`及`damoyolo-safetyhelmet-person-head-roi-v1`；model SHA固定ff2a83c668d520ca0fbd4d7cb420cfdfaf42f8fc8e6e4a33efd0146754f5d4f6。人员上部/可信脸附近取原生ROI，不resize，最多6个、单ROI262144/总524288 padded像素。>.6只是候选门，不能绕正式行为门或作为90%依据；手机/拍摄分项不得由安全帽就绪推导为正常。
+
+File结果绑定同原生像素/PTS与父签名；Camera/Live仅已登记HTTPS直连支持的新端点复用原跟踪JPEG及签名。当前/待播同帧才画候选，迟到仅显示原时刻历史卡，不套当前图。一个候选lease仍计入原10槽，6秒寿命不延长，不新增JPEG采集/编码/浏览器模型。源签名2秒龄期由同节点判，提交使用收到跟踪回执后的本地performance期限，不能假设手机和NAS墙钟一致。旧节点/平台中继不支持该端点时不发送无效任务；手机/粗指针关闭旧本地纹理扫描回退，PC兼容另验。
+
+PPE单槽无队列。超时先Unknown并将槽交内部drain持有，底层真实结束前仍Busy；不能同步等待慢PPE而卡住已完成的body/face，也不能提前释放槽并启动第二路native。迟到结果不补写旧签名帧，主动取消/关闭仍真实排空。关联冲突、无头、超预算、触边或故障为Unknown，未关联头部只显示候选线索，不制造员工违规、人数、考勤、身份或图库记录。验证含旧超时行为确实失败、新行为及时返回且槽未提前释放、真实模型分层耗时及普通用户HTTP；未取得NAS/真机/独立精度回执前保持开发候选。