@oj-module/cli 0.2.17 → 0.2.20

package/templates/{api/config.yaml → config.yaml}

@@ -2,7 +2,7 @@
 # 本文件由 ojm init 生成；config 内相对路径相对本文件所在目录。
 # 更多能力见手册 §10：vars / broker / tasks / oidc / ws / html_meta / secrets。
 #
-# ---- 证书与密钥的唯一落点：`./config/`（= api/config/，本文件同级的子目录）----
+# ---- 证书与密钥的唯一落点：`./config/`（= 工程根/config/，本文件同级的子目录）----
 # 三件套由 `ojm init` 现场签发（dev 缺证时 `ojm dev` 也会补签），逐把的作用与后果：
 #
 #   ① private.pem —— 证书签发私钥（RSA 2048）。只用来给 ③ 签名，**oj 不读它**，
@@ -25,19 +25,24 @@
 # 站点挂载（oj v0.1.58 起顶层扁平表：一行=一个 URL 前缀+一个目录，api/web 恰好其一）。
 # 被删除的 server.api_prefix / app_spa_fallback 已由 mounts 取代；
 # ojm dev 的 SPA 深链回落由 ojm 自建静态层负责；ojm preview 为单服务形态，
-# 现场生成派生 config（api/.ojm-preview.yaml，注入下面的 web 挂载 + spa: true），无需手改。
+# 现场生成派生 config（.ojm-preview.yaml，注入下面的 web 挂载 + spa: true），无需手改。
+#
+# **这里没有 api 挂载是有意的**：本工程是 `src/<name>/{api,web}` 布局，模块分散在
+# `src/<name>/api` 下，而 mounts 的 api 项按 `<目录>/<模块>/manifest.yaml` 单层解析、
+# 不会递归（实测报 `module 'x' missing manifest.yaml`）。源码形态由 `ojm dev` 用
+# `--module-root src` 供给，产物形态由 `ojm preview` 用 `--api-path api/dist` 供给；
+# 两者与 mounts 的 api 项同时出现还会报「module declared in multiple places」。
+# 手写部署（不经 ojm）时才需要自己加回一条 `- prefix: /api` + `api: dist`。
 mounts:
-  - prefix: /api # api 挂载：/api/<module>/...（目录相对 config 所在目录 → api/src）
-    api: src
   # 本地模拟 CDN：直出工程根 cdn/（内容见 cdn/README.md）。
   # 红线：生产请删掉这一条挂载，并把 system 设置 framework.market_cdn_url 指向真 CDN。
   # 不得给此挂载设 spa——缺文件必须返回 404，回落 index.html 会让市场解析崩。
   - prefix: /cdn
-    web: ../cdn
+    web: ./cdn
   # 生产若由 oj 直出前端（前后端同进程，即 ojm preview 的生产形态），
   # 取消下一行注释并先 build 出 web/dist（preview 会自动注入等价挂载，无需手改）：
   # - prefix: "/"
-  #   web: "../web/dist"   # 相对 api/config.yaml → 项目根/web/dist
+  #   web: "./web/dist"   # 相对 config.yaml → 工程根/web/dist
   #   spa: true
   # 嵌套 handler 组（oj v0.1.64）无需配置开关，组织方式见 api.ts 顶部注释。
 
@@ -84,8 +89,8 @@ platform:
   # 平台特权模块名单：方案安装器的 reloading 段调 server.reloadConfig 触发热更。
   # 缺这条 → 装在最后一步报 NotCapable: module '_platform' is not platform-privileged。
   modules: [_platform]
-  # 受控挂载根 = api 挂载目录（dev 形态 src）。ojm preview 派生 config 时会改写为 dist，
-  # 保持与 `--api-path` 同源；手写部署请按实际模块根填写。
+  # 受控根 = 后端模块源码根（`src/<name>/api` 的父目录，即 src）。ojm preview 派生 config
+  # 时会改写为 dist，保持与 `--api-path` 同源；手写部署请按实际模块根填写。
   root: src
   # ---- U6 信任库加固（P3-1；P2-2 红线 spike 结论）----
   # 威胁：devkit 0.1.75 语义下 fs: 段对全部模块生效（jail = fs.root），且 trusted_paths 只增不减——

package/templates/global.d.ts

@@ -840,11 +840,12 @@ interface OjRabbitClient {
 	metadata: () => Promise<any>
 }
 
-// oj 的导入别名 `#x`（本模块根）/ `#/m/x`（src 根）是「引用方所在模块」相对的，
-// tsconfig 的 `paths` 无法表达模块相对解析，只能枚举模块目录（见 tsconfig.json），
-// 因此仅能命中**已存在**的文件。无法静态定位的别名（如尚未创建的 `#_shared/view`）
-// 由 `types/oj-modules.d.ts`（非模块，真 ambient `declare module "#*"`）兜底为 `any`
-// 而非报 TS2307；已存在、能被 `paths` 命中的别名仍走真实文件类型。运行时由 oj 的
-// loader 解析，本文件与该兜底只影响编辑器 / tsc。
+// oj 的导入别名 `#x`（本模块根）/ `#/<模块名>/x`（目标模块根）是「引用方所在模块」
+// 相对的，tsconfig 的 `paths` 表达不了模块相对解析，只能按模块枚举
+// （`tsconfig.paths.json`，由 `ojm init` / `ojm build` / `ojm dev` 按 `src/*/api/manifest.yaml`
+// 生成，被 `src/tsconfig.json` extends），因此仅能命中**已存在**的文件。无法静态定位
+// 的别名（如尚未创建的 `#_shared/view`）由 `types/oj-modules.d.ts`（非模块，真 ambient
+// `declare module "#*"`）兜底为 `any` 而非报 TS2307；已存在、能被 `paths` 命中的别名
+// 仍走真实文件类型。运行时由 oj 的 loader 解析，本文件与该兜底只影响编辑器 / tsc。
 
 export {};

package/templates/init.include.yaml

@@ -8,7 +8,7 @@
 #  2. 模板自运行专属文件——templates 本身也是一个可 `pnpm dev` 的工程，
 #     它的 package.json / node_modules / bin / lock 绝不能泄漏进用户工程；
 #     package.json 由 init 现场生成（钉死真实版本，不带 workspace:/catalog:）。
-#  3. 构建与运行期产物——api/dist、web/dist、api/logs、签发的私钥与 sqlite；
+#  3. 构建与运行期产物——api/dist、web/dist、logs、签发的私钥与 sqlite；
 #     模板跑过 build/dev 后会留在本地，既不进用户工程，更不该让所有工程
 #     共享同一把私钥。
 #  4. 模板自用元数据——本清单自身。
@@ -32,43 +32,48 @@ include:
   - tsconfig.json
   - global.d.ts
   - env.d.ts
+  # 别名类型兜底（`declare module "#*"`，非模块文件）。`tsconfig.paths.json` 不在此列：
+  # 它由 init 按目标工程的模块清单**现场生成**（模板兼作 demo 工程，多出的模块不该带过去）
+  - types
   - web.config.ts
   - openapi.json
-  - web/src/styles.css
-  # —— api 后端：配置 / 种子 / 测试 / 默认模块 ——
-  - api/config.yaml
-  - api/.ojm-api-exempt.json
-  - api/seed.mysql.sql
-  - api/seed.pg.sql
-  - api/vitest.config.ts
-  - api/tests
-  - api/src/_platform
-  - api/src/auth
-  - api/src/notification
-  - api/src/personal-center
-  - api/src/system
-  - api/src/web
+  - src/styles.css
+  # 后端 typecheck 工程（package.json 的 typecheck:api 指向它）；只收后端、排除 web
+  - src/tsconfig.json
+  # —— 后端：配置 / 种子 / 测试 / 默认模块（模块源码在 src/<name>/api）——
+  - config.yaml
+  - .ojm-api-exempt.json
+  - seed.mysql.sql
+  - seed.pg.sql
+  - vitest.config.ts
+  - tests
+  - src/_platform/api
+  - src/auth/api
+  - src/notification/api
+  - src/personal-center/api
+  - src/system/api
+  - src/web/api
   # —— web 前端模块（demo/home 只列页面源码，__client 见顶部说明）——
-  - web/src/_platform
-  - web/src/auth
-  - web/src/demo/entry.ts
-  - web/src/demo/locales
-  - web/src/demo/pages
-  - web/src/home/entry.ts
-  - web/src/home/locales
-  - web/src/home/pages
-  - web/src/login
-  - web/src/notification
+  - src/_platform/web
+  - src/auth/web
+  - src/demo/web/entry.ts
+  - src/demo/web/locales
+  - src/demo/web/pages
+  - src/home/web/entry.ts
+  - src/home/web/locales
+  - src/home/web/pages
+  - src/login/web
+  - src/notification/web
   # 解决方案市场：默认第一方能力。逐子路径收录——__tests__ 不进脚手架
   # （用户工程无 web 侧 vitest 基建，拷了是死文件）
-  - web/src/oj-market/entry.ts
-  - web/src/oj-market/types.ts
-  - web/src/oj-market/api
-  - web/src/oj-market/components
-  - web/src/oj-market/hooks
-  - web/src/oj-market/locales
-  - web/src/oj-market/pages
-  - web/src/oj-market/utils
-  - web/src/personal-center
-  - web/src/system
-  - web/src/web
+  - src/oj-market/web/entry.ts
+  - src/oj-market/web/types.ts
+  - src/oj-market/web/api
+  - src/oj-market/web/components
+  - src/oj-market/web/hooks
+  - src/oj-market/web/locales
+  - src/oj-market/web/pages
+  - src/oj-market/web/utils
+  - src/personal-center/web
+  - src/system/web
+  - src/web/web

package/templates/package.json

@@ -9,7 +9,7 @@
 		"preview": "ojm preview",
 		"info": "ojm info",
 		"typecheck": "tsc --noEmit -p tsconfig.json",
-		"typecheck:api": "tsc --noEmit -p api/tsconfig.json"
+		"typecheck:api": "tsc --noEmit -p src/tsconfig.json"
 	},
 	"devDependencies": {
 		"@ant-design/cssinjs": "catalog:",

package/templates/{api/src/_platform → src/_platform/api}/_lifecycle/installer.ts

@@ -89,6 +89,8 @@ export interface InstallRequest extends InstallContext {
 	expected?: string[]
 	/** 安装器内部通道（外部调用方忽略）：终态审计读 status/failedStage/taskId + migrate 捕获 appliedSeq */
 	outcome?: { taskId?: string, status?: TaskStatus, failedStage?: InstallStage, appliedSeq?: number | null, cancelled?: boolean }
+	/** 安装器内部通道（reloading → smoke）：本次新追加进 auth.anonymous_paths 的路径（restart_pending，探活对其 401 判待重启） */
+	deferredAnonymous?: string[]
 	/**
 	 * 取消安装令牌（U5，P3-8）：运行期外部置位（端点 `?cancel=<taskId>` 或任务状态 `cancelling` 驱动的闭包），
 	 * 返回 true 即中止——PIPELINE 循环每段前探测 + migrating 段 spawn 流逐块探测；幂等、可重入
@@ -347,6 +349,8 @@ async function reloadStage(req: InstallRequest): Promise<StageResult> {
 		const anonymous = Array.isArray(api.anonymous) ? api.anonymous.filter((x): x is string => typeof x === "string") : [];
 		const patched = anonymous.length > 0 ? appendAnonymousPaths(bumped.content, anonymous) : { content: bumped.content, added: [] };
 		await atomicWriteText(path, patched.content);
+		// 交接给 smoke：本次真正新增的匿名路径在重启前恒 401（restart_pending）
+		req.deferredAnonymous = patched.added;
 	}
 	catch (e) {
 		return { stage: "reloading", ok: false, retryable: true, message: `热更失败：config.yaml 安装序号自增/匿名端点接线失败（${String(e)}）——reload unchanged 判定基于 config 文档 sha，无变更则热更不可能生效（B-11，PRD E5 口径）` };

package/templates/{api/src/_platform → src/_platform/api}/_lifecycle/steps/smoke.ts

@@ -30,6 +30,12 @@ export interface SmokeContext extends InstallContext {
 	modulesJsonPath: string
 	/** 注册快照查询；缺省回落 queryRegistered（isolate db 全局；测试注入 stub） */
 	query?: (name: string) => Promise<SolutionSnapshot | null>
+	/**
+	 * 本次安装**新追加**进 config.yaml `auth.anonymous_paths` 的路径（reloading 段注入，带前导 /）。
+	 * 匿名接线属 restart_pending（reload 段已明示），本进程内尚未生效——探活对这些路径的
+	 * 401 判「待重启」而非失败；已在配置里却仍 401 才是真失败（说明接线或守卫有问题）。
+	 */
+	deferredAnonymous?: string[]
 }
 
 export interface StageResult {
@@ -116,6 +122,7 @@ export async function smoke(ctx: SmokeContext): Promise<StageResult> {
 	const web = isObj(m.web) ? m.web : undefined;
 
 	// ① 探活：health 优先（2xx），缺省首个非匿名路由（连通即可）
+	const notes: string[] = [];
 	try {
 		const health = typeof m.health === "string" && m.health !== "" ? m.health : undefined;
 		const target = health ?? firstNonAnonymousRoute(m);
@@ -123,7 +130,18 @@ export async function smoke(ctx: SmokeContext): Promise<StageResult> {
 			const url = probeUrlOf(ctx.apiPrefix, target);
 			const res = await ctx.fetch(url);
 			if (health !== undefined && !res.ok) {
-				failures.push({ item: "探活", retryable: true, reason: `health 端点 ${url} 返回 HTTP ${res.status}（C2-33 冒烟探针要求 2xx）` });
+				// 本次安装新增的匿名接线尚未生效（restart_pending）：此处的 401 反映的是
+				// 「宿主还没重启」，不是包或站点的问题——判待重启并落人话提示，不判失败。
+				const rel = (s: string) => s.replace(/^\/+/, "");
+				const healthRel = rel(health);
+				const pending = (ctx.deferredAnonymous ?? []).some(a => healthRel === rel(a) || healthRel.startsWith(`${rel(a)}/`));
+				const deferred = res.status === 401 && pending;
+				if (deferred) {
+					notes.push(`探活 ${url} 返回 401：该端点是本次安装新增的匿名路径（auth.anonymous_paths），匿名接线属 restart_pending——重启宿主后生效，不计入失败`);
+				}
+				else {
+					failures.push({ item: "探活", retryable: true, reason: `health 端点 ${url} 返回 HTTP ${res.status}（C2-33 冒烟探针要求 2xx）` });
+				}
 			}
 		}
 	}
@@ -205,7 +223,8 @@ export async function smoke(ctx: SmokeContext): Promise<StageResult> {
 	// ④ entry 浏览器加载不在安装器验（设计 §4.1）——无判定，口径钉于成功 message。
 
 	if (failures.length === 0) {
-		return { stage: "smoke", ok: true, message: "冒烟通过：探活 / integrity / 注册一致性 三项全过（entry 浏览器加载不在安装器验——设计 §4.1，宿主 error boundary + P2 深检兜底）" };
+		const passed = "冒烟通过：探活 / integrity / 注册一致性 三项全过（entry 浏览器加载不在安装器验——设计 §4.1，宿主 error boundary + P2 深检兜底）";
+		return { stage: "smoke", ok: true, message: notes.length === 0 ? passed : `${passed}\n${notes.map(n => `- ${n}`).join("\n")}` };
 	}
 	return {
 		stage: "smoke",

package/templates/{api/src/_platform → src/_platform/api}/market/api.ts

@@ -52,9 +52,9 @@ export interface MarketEnv {
 	trustPath: string
 	/** sqlite 库文件路径（R14 备份源；模板 config.yaml `sqlite://db.sqlite` → 站点根 db.sqlite） */
 	dbPath: string
-	/** 站点 web 模块目录（<dist>/modules） */
+	/** 站点 web 模块目录（站点产物根下的 modules/） */
 	siteModulesDir: string
-	/** 站点 modules.json 路径（与 siteModulesDir 同属 <dist>） */
+	/** 站点 modules.json 路径（与 siteModulesDir 同属站点产物根） */
 	modulesJsonPath: string
 	/** API 前缀（smoke 探针 URL 前缀） */
 	apiPrefix: string
@@ -78,17 +78,20 @@ export interface MarketEnv {
 	/** 迁移账本 head 真源（P1-16 接线①：缺省读 oj journal 表 `_oj_migrations` max(version)，查询失败 → null 不猜） */
 	ledgerHeadOf?: (name: string) => Promise<number | bigint | null>
 	/**
-	 * 宿主 versions.json（C2-09 peerRuntime 比对真源，键 = 包名）。缺省读 <dist>/versions.json
-	 * （ojm 宿主构建产物，与 modules.json 同目录，B-11 接线）；不可得 → undefined，manifest 声明
-	 * peerRuntime 即预检 fail-closed 拒装（C2-09 语义保持）。
+	 * 宿主 versions.json（C2-09 peerRuntime 比对真源，键 = 包名）。缺省读 `<sharedRoot>/versions.json`
+	 * （ojm 宿主构建产物：与 manifests.yaml 同层，即 release 根，B-11 接线）；不可得 → undefined，
+	 * manifest 声明 peerRuntime 即预检 fail-closed 拒装（C2-09 语义保持）。
 	 */
 	hostVersions?: Record<string, string>
 }
 
-/** 宿主 versions.json 布局推导（B-11）：与 modules.json 同目录（<dist>/versions.json） */
-export function versionsJsonPathOf(modulesJsonPath: string): string {
-	const slash = modulesJsonPath.lastIndexOf("/");
-	return slash === -1 ? "versions.json" : `${modulesJsonPath.slice(0, slash)}/versions.json`;
+/**
+ * 宿主 versions.json 布局推导（B-11）：与 manifests.yaml 同层（release 根 = `sharedRoot`），
+ * 不是站点产物根——两处根在 `src/<name>/{api,web}` 布局下已分流（`api/dist` vs `web/dist`）。
+ */
+export function versionsJsonPathOf(releaseRoot: string): string {
+	const trimmed = releaseRoot.replace(/\/+$/, "");
+	return trimmed === "" ? "versions.json" : `${trimmed}/versions.json`;
 }
 
 /** 宿主 versions.json 解析（纯函数）：{packageName: version} 全字符串表；任何违约 → undefined（fail-closed 不猜） */
@@ -113,30 +116,37 @@ export function parseVersionsJson(text: string): Record<string, string> | undefi
 	return out;
 }
 
-/** hostVersions 注入缺省：显式注入优先，否则读 <dist>/versions.json；不可得 → undefined（C2-09 fail-closed） */
+/** hostVersions 注入缺省：显式注入优先，否则读 `<sharedRoot>/versions.json`；不可得 → undefined（C2-09 fail-closed） */
 async function hostVersionsOf(env: MarketEnv): Promise<Record<string, string> | undefined> {
 	if (env.hostVersions !== undefined) {
 		return env.hostVersions;
 	}
 	try {
-		return parseVersionsJson(new TextDecoder().decode(await fsFace().readFile(versionsJsonPathOf(env.modulesJsonPath))));
+		return parseVersionsJson(new TextDecoder().decode(await fsFace().readFile(versionsJsonPathOf(env.sharedRoot))));
 	}
 	catch {
 		return undefined;
 	}
 }
 
-/** oj serve release 布局生产缺省（P1-16 B3/B4；全字段可覆盖） */
+/**
+ * oj serve release 布局生产缺省（P1-16 B3/B4；全字段可覆盖）。
+ *
+ * 两处根在 `src/<name>/{api,web}` 布局下分流，且都相对 fs jail 根（= config.yaml 所在目录）：
+ *   release 根 `api/dist` —— 版本目录 / manifests.yaml / versions.json / migrations（后端产物）
+ *   站点根   `web/dist`   —— modules/ + modules.json（前端产物，安装器 upsert 的落点）
+ * 暂存 / 任务 / 状态 / 信任库 / db 仍在 jail 根下：它们是安装器私有面，不属任何产物根。
+ */
 export function marketEnv(): MarketEnv {
 	return {
-		sharedRoot: "dist",
+		sharedRoot: "api/dist",
 		staging: "modules/.staging",
 		taskDir: "modules/.install-tasks",
 		statePath: "modules/.solutions/state.yaml",
 		trustPath: ".solutions/trusted-keys.yaml",
 		dbPath: "db.sqlite",
-		siteModulesDir: "dist/modules",
-		modulesJsonPath: "dist/modules.json",
+		siteModulesDir: "web/dist/modules",
+		modulesJsonPath: "web/dist/modules.json",
 		apiPrefix: "/api",
 		ledgerHeadOf: journalHeadOf,
 	};

package/templates/{api/src/_platform → src/_platform/api}/solutions/api.ts

@@ -30,12 +30,16 @@ import { journalHeadOf, siteOrigin } from "../_shared/site-facade";
 /** 线格式行（与 packages/runtime/src/api/rbac/types.ts 的 SolutionRouteRow 对齐） */
 export type { SolutionRouteRow } from "../_lifecycle/verify-checks";
 
-/** oj serve release 布局生产缺省 */
+/**
+ * oj serve release 布局生产缺省（与 marketEnv 同口径，见其注释）：
+ *   sharedRoot     = 后端 release 根（版本目录 / migrations）
+ *   modulesJsonPath = 站点产物根下的 modules.json（web 入口 integrity 真源）
+ */
 export function solutionsEnv(): SolutionsEnv {
 	return {
-		sharedRoot: "dist",
+		sharedRoot: "api/dist",
 		statePath: "modules/.solutions/state.yaml",
-		modulesJsonPath: "dist/modules.json",
+		modulesJsonPath: "web/dist/modules.json",
 		apiPrefix: "/api",
 	};
 }

package/templates/{api/src/auth → src/auth/api}/_shared/login-throttle.ts

@@ -1,7 +1,7 @@
 // 登录限速编排（B5/AC1-26）：auth/login 与 auth/ldap-login 共用的 (IP, username) 双维度守卫 + 失败记账。
 // 状态全在 DB（sys_login_throttle/sys_rate_window，迁移 0009）——oj 每请求重建模块，进程内方案恒失效（§9.3-3）。
-import { auditOp } from "../../_platform/_shared/service/infra/audit";
-import { loginBlocked, loginFailed, loginSucceeded, rateLimit } from "../../_platform/_shared/service/infra/rate";
+import { auditOp } from "#/_platform/_shared/service/infra/audit";
+import { loginBlocked, loginFailed, loginSucceeded, rateLimit } from "#/_platform/_shared/service/infra/rate";
 
 /** 客户端 IP：优先 X-Forwarded-For（反代后），回落 X-Real-IP。 */
 export async function clientIp(): Promise<string> {

package/templates/{api/src/auth → src/auth/api}/_shared/session.ts

@@ -4,8 +4,8 @@
 // B4：access JWT 仅载 sub（roles 走登录响应/资料接口，不进 claims）。
 // B3：refresh = 不透明随机串 + DB 存 SHA-256 哈希（sys_refresh_token，迁移 0008）；
 //     轮换作旧 + 滑动窗口（绝对 TTL 封顶 min(旧 exp, now+30d)）；reuse 检测全族吊销 + 审计。
-import { invalidateUser } from "../../_platform/_shared/service/infra/access";
-import { recordOp } from "../../_platform/_shared/service/infra/audit";
+import { invalidateUser } from "#/_platform/_shared/service/infra/access";
+import { recordOp } from "#/_platform/_shared/service/infra/audit";
 
 export interface SessionDeps {
 	randomHex: (bytes: number) => string

package/templates/{api/src/auth → src/auth/api}/api.ts

@@ -1,4 +1,4 @@
-import { respond } from "../_platform/_shared/respond";
+import { respond } from "#/_platform/_shared/respond";
 // oj 嵌套 handler 组：组名 = 路径段（login → POST /api/auth/login，路由不变）。
 // 阶段 B 登录链（D14/AC1-12/13/27）：领域逻辑全在 _shared/session.ts（createSession 注入 deps），
 // handler 只编排：取参 → 调 service → json 信封；B5 限速收敛在 _shared/login-throttle.ts（与 ldap-login 共用）。

package/templates/{api/src/auth → src/auth/api}/ldap-login/api.ts

@@ -1,6 +1,6 @@
 // POST /api/auth/ldap-login —— LDAP 目录登录（D1/AC1-12；匿名端点，E6：anonymous_paths 写 /auth/ldap-login）。
 // 编排：B5 限速守卫（与 auth/login 同维度）→ ldapLogin 九步 → respond 统一异常出口（§9.3-1）。
-import { respond } from "../../_platform/_shared/respond";
+import { respond } from "#/_platform/_shared/respond";
 import { createLdapLogin, runtimeLdapGateway } from "../_shared/ldap-login";
 import { clientIp, guardLoginThrottle, noteLoginFailed, noteLoginSucceeded } from "../_shared/login-throttle";
 import { createSession } from "../_shared/session";

package/templates/src/auth/api/manifest.yaml

@@ -0,0 +1,6 @@
+name: auth
+desc: JWT 鉴权端点（业务路由）：login/refresh/logout；Bearer 守卫由 oj-auth 提供
+version: 0.1.0
+deps: # 两处都用：login/refresh 读 _platform.users（ownership_guard: deny，§3/S003）；
+  # 跨模块别名 `#/_platform/…` 的依赖门禁（oj build S008）
+  _platform: ^0.1.0

package/templates/{web/src/oj-market → src/oj-market/web}/__tests__/InstallDialog.test.tsx

@@ -1,5 +1,6 @@
 import type { IndexRow, TaskRecord } from "../types";
-import { screen, waitFor } from "@testing-library/react";
+import { fireEvent, screen, waitFor } from "@testing-library/react";
+import { useState } from "react";
 import { describe, expect, it } from "vitest";
 import { InstallDialog } from "../components/InstallDialog";
 import { InMemoryMarketClient } from "./marketClient.fake";
@@ -69,4 +70,55 @@ describe("installDialog 安装进度（BDD）", () => {
 		expect(client.calls).toContain("install:alpha@1.1.0");
 		expect(screen.getByText("回滚中")).toBeTruthy();
 	});
+
+	it("given needs_trust 终态 When 打开 Then 渲染指纹与确认按钮，点击后入库并重试安装", async () => {
+		const pending: TaskRecord = {
+			id: "t1",
+			name: "alpha",
+			version: "1.2.0",
+			status: "needs_trust",
+			stage: "verifying",
+			progress: 18,
+			message: "待信任确认",
+			stages: [],
+			trust: { key_id: "alpha.author", public_key: "ab".repeat(32), fingerprint: "6afc".repeat(16) },
+			startedAt: 0,
+		};
+		const client = new InMemoryMarketClient({ taskRecord: pending, installResult: { task_id: "t1" } });
+		renderWithProviders(<InstallDialog row={row} open onClose={() => {}} />, client);
+		const button = await screen.findByText("指纹一致，信任并重试");
+		expect(screen.getByTestId("install-trust-fingerprint").textContent).toContain("6afc".repeat(16));
+		fireEvent.click(button);
+		await waitFor(() => expect(client.calls).toContain("trust:t1"));
+		// 确认入库后自动重试同一安装（staging 未清场，服务端续跑）
+		await waitFor(() => expect(client.calls.filter(c => c.startsWith("install:")).length).toBe(2));
+	});
+
+	it("given 终态 When 父级每次渲染都换 onDone 身份 Then 只通告一次（防 onDone→重渲染→onDone 死循环）", async () => {
+		const done: TaskRecord = {
+			id: "t1",
+			name: "alpha",
+			version: "1.2.0",
+			status: "done",
+			stage: "done",
+			progress: 100,
+			message: "ok",
+			stages: [],
+			startedAt: 0,
+		};
+		const client = new InMemoryMarketClient({ taskRecord: done, installResult: { task_id: "t1" } });
+		function Harness() {
+			const [n, setN] = useState(0);
+			return (
+				<>
+					<span data-testid="done-count">{n}</span>
+					<InstallDialog row={row} open onClose={() => {}} onDone={() => setN(v => v + 1)} />
+				</>
+			);
+		}
+		renderWithProviders(<Harness />, client);
+		await waitFor(() => expect(screen.getByTestId("install-message").textContent).toBe("ok"), { timeout: 5000 });
+		await new Promise(resolve => setTimeout(resolve, 50));
+		expect(screen.getByTestId("done-count").textContent).toBe("1");
+	});
 });

package/templates/{web/src/oj-market → src/oj-market/web}/__tests__/marketClient.fake.ts

@@ -11,6 +11,7 @@ export interface FakeState {
 	enableResult?: { ok: boolean, message: string }
 	uninstallResult?: { ok: boolean, message: string }
 	installResult?: { task_id: string }
+	trustResult?: { result: string, key_id: string, fingerprint: string }
 }
 
 export class InMemoryMarketClient implements MarketClient {
@@ -49,6 +50,11 @@ export class InMemoryMarketClient implements MarketClient {
 		} as TaskRecord);
 	}
 
+	async trust(taskId: string) {
+		this.calls.push(`trust:${taskId}`);
+		return this.state.trustResult ?? { result: "added", key_id: "k1", fingerprint: "f".repeat(64) };
+	}
+
 	async enable(input: EnableInput) {
 		this.calls.push(`enable:${input.name}:${input.enabled}`);
 		return this.state.enableResult ?? { ok: true, message: "ok" };

package/templates/{web/src/oj-market → src/oj-market/web}/api/client.ts

@@ -24,6 +24,11 @@ export interface MarketClient {
 	install: (input: InstallInput) => Promise<{ task_id: string }>
 	/** 任务轮询消费面（query 形态 ?id=） */
 	task: (id: string) => Promise<TaskRecord>
+	/**
+	 * TOFU 确认：把 needs_trust 任务记录里的发布方 key 写入宿主信任库（服务端自任务记录重取
+	 * 公钥复算指纹比对，防混淆代理）。确认成功后重试同一安装即可续跑（staging 未清场）。
+	 */
+	trust: (taskId: string) => Promise<{ result: string, key_id: string, fingerprint: string }>
 	/** 生命周期开关（同步 setEnabled，无任务模型；{ok,message} 200 渲染 ok 位） */
 	enable: (input: EnableInput) => Promise<{ ok: boolean, message: string }>
 	/** 市场操作历史（_platform 只读端点 /_platform/market/history） */

package/templates/{web/src/oj-market → src/oj-market/web}/api/defaultClient.ts

@@ -25,9 +25,10 @@ import {
 	platformMarketInstallPost,
 	platformMarketMetaGet,
 	platformMarketTaskGet,
+	platformMarketTrustPost,
 	platformMarketUninstallImpactGet,
 	platformMarketUninstallPost,
-} from "../../_platform/__client/api";
+} from "../../../_platform/web/__client/api";
 
 // 绑定运行时 request 到生成 client 的模块级单槽（生成 client 是静态单例，必须由某处
 // bindRequest；此处兜底确保市场子应用无论挂载顺序都能拿到请求实例）。与 _platform 模块
@@ -96,6 +97,11 @@ export const httpMarketClient: MarketClient = {
 		// 运行时形状由服务端真源 + DEV zod 校验保证，TS 侧以领域类型为准。
 		return (await platformMarketTaskGet({ id })) as unknown as TaskRecord;
 	},
+	async trust(taskId: string) {
+		// 服务端自任务记录重取公钥复算指纹比对（防混淆代理），前端只传 task_id，不传公钥
+		const data = await platformMarketTrustPost({ task_id: taskId });
+		return data as { result: string, key_id: string, fingerprint: string };
+	},
 	async enable(input: EnableInput) {
 		const data = await platformMarketEnablePost({ name: input.name, enabled: input.enabled });
 		return data as { ok: boolean, message: string };