@oj-module/cli 0.2.29 → 0.2.42

package/templates/src/_platform/api/market/index-source.ts

@@ -0,0 +1,112 @@
+// REG-CS5 三级索引读取源（DIP，S2-1③）：把「索引字节从哪来」与「索引怎么校验」分开。
+// 本模块只负责取字节——HTTP（条件请求/304）与本地目录两实现；签名校验、同代钉值校验、
+// 新鲜度校验全部留在调用方 market/api.ts（fetchIndex），读写两侧不重复实现校验语义。
+//
+// 三级索引形态（与 ojm market build-index 落盘逐字一致）：
+//   catalog.yaml        总目录：{seq, issued_at, expires_at, shards: {<片号>: <代次钉值>},
+//                          solutions: [{name, shards: [<片号>...]}]}——无版本明细，提交点
+//   shards/<n>.yaml     分片：{solutions: [{name, latest, versions: [<Form B 条目>]}]}——
+//                          纯内容无 meta，代次由 .sig 与 catalog 钉值携带；版本条目即 manifest
+
+import type { FetchInitFace } from "../_shared/site-facade";
+import { fsFace } from "../_lifecycle/atomic";
+
+/** 索引文件种类（REG-CS1：签名覆盖 (kind, seq)；与 ojm publish 的 IndexKind 逐字同集合） */
+export type IndexKind = "catalog" | "shard";
+
+/** 索引文件（正文 + detached 签名）。sig 缺失 → null：调用方按 index_sig_missing 拒载，不猜 */
+export interface IndexFile {
+	body: string
+	sig: string | null
+}
+
+/**
+ * 索引读取源（S2-1③ DIP）：`read` 返回 null = 拉不到（网络错 / 非 2xx / 文件不存在），
+ * 拒载还是降级由调用方裁决——本模块不做任何校验决策、不抛业务错误。
+ */
+export interface IndexSource {
+	read: (kind: IndexKind, no?: number) => Promise<IndexFile | null>
+}
+
+/** 索引相对路径（CDN 布局单点：catalog.yaml + shards/<n>.yaml；片号由调用方校验为正整数） */
+export function indexPathOf(kind: IndexKind, no?: number): string {
+	return kind === "catalog" ? "catalog.yaml" : `shards/${no}.yaml`;
+}
+
+/**
+ * 条件请求缓存（进程/模块级，与 site-facade 的 canonicalOriginCache 同模式）：
+ * url → {etag, body}。oj isolate 若按请求新建则退化为「请求内去重」，若被运行时复用则
+ * 跨请求生效——两种生命周期下语义都正确：304 时服务端已确认字节未变，缓存正文即可信。
+ */
+const etagCache = new Map<string, { etag: string, body: string }>();
+
+/**
+ * HTTP 索引源（S2-1③/④）：ETag + If-None-Match 条件请求，304 走缓存正文不重传。
+ *
+ * **不再发 `cache-control: no-cache`**（旧口径）：读面新鲜度改由服务端缓存头
+ * （`Cache-Control: max-age=60, stale-while-revalidate=60`，Q8：yank 最坏 120s 生效）
+ * 与条件请求共同承载。索引自身仍带 expires_at（REG-CS2 硬过期即拒）与 seq 水位
+ * （防回放），缓存层只决定「少传字节」，不决定「信不信」——§5.3 可用性通道的
+ * 「窗口内用缓存副本」由 HTTP 缓存层（中间层 + 服务端 ETag/304）兑现，读取器不存第二份真相。
+ */
+export function httpIndexSource(fetch: FetchInitFace, base: string): IndexSource {
+	const root = base.replace(/\/+$/, "");
+	const readOne = async (rel: string): Promise<string | null> => {
+		const url = `${root}/${rel}`;
+		const cached = etagCache.get(url);
+		let res: Awaited<ReturnType<FetchInitFace>>;
+		try {
+			res = await fetch(url, cached === undefined ? undefined : { headers: { "if-none-match": cached.etag } });
+		}
+		catch {
+			return null; // 网络层失败：拉不到，拒载/降级决策归调用方
+		}
+		// 304：服务端认了我们的 ETag——正文未变，用缓存副本，不重传（BDD：重复拉取走 304）
+		if (res.status === 304 && cached !== undefined)
+			return cached.body;
+		if (!res.ok)
+			return null;
+		const body = new TextDecoder().decode(await res.arrayBuffer());
+		// 无 ETag 的响应不进缓存：没有条件请求的锚点，缓存它毫无意义
+		const etag = res.headers?.get("etag") ?? res.headers?.get("ETag") ?? null;
+		if (etag !== null && etag !== "")
+			etagCache.set(url, { etag, body });
+		return body;
+	};
+	return {
+		read: async (kind, no) => {
+			const rel = indexPathOf(kind, no);
+			const [body, sig] = await Promise.all([readOne(rel), readOne(`${rel}.sig`)]);
+			return body === null ? null : { body, sig };
+		},
+	};
+}
+
+/**
+ * 本地目录索引源（S2-1③ 第二实现）：索引就在本机目录（离线消费 / 自供直读 / 测试夹具），
+ * 不经 HTTP。校验语义与 HTTP 实现完全同构——调用方看不出区别，这正是 DIP 的目的。
+ */
+export function localIndexSource(dir: string): IndexSource {
+	const root = dir.replace(/\/+$/, "");
+	return {
+		read: async (kind, no) => {
+			const f = fsFace();
+			const rel = indexPathOf(kind, no);
+			let body: string;
+			try {
+				body = new TextDecoder().decode(await f.readFile(`${root}/${rel}`));
+			}
+			catch {
+				return null; // 目录里没有这个索引文件
+			}
+			let sig: string | null = null;
+			try {
+				sig = new TextDecoder().decode(await f.readFile(`${root}/${rel}.sig`));
+			}
+			catch {
+				sig = null; // 缺签名：调用方按 index_sig_missing 拒载（与 HTTP 实现同口径）
+			}
+			return { body, sig };
+		},
+	};
+}

package/templates/src/_platform/api/migrations/0014__reg_source_seq.mysql.sql

@@ -0,0 +1,9 @@
+-- reg_source_seq mysql 方言覆盖（方言覆盖必胜，通用兜底；oj-bin docs/migration.md §3.1）。
+-- 差异：INTEGER → BIGINT；TEXT 主键须给长度（前缀键无法承载长 URL），按 1024 收窄；
+-- updated_at 用 BIGINT（秒级 epoch）。
+CREATE TABLE IF NOT EXISTS reg_source_seq (
+  source_url VARCHAR(1024) NOT NULL,
+  max_seq BIGINT NOT NULL,
+  updated_at BIGINT NOT NULL,
+  PRIMARY KEY (source_url)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

package/templates/src/_platform/api/migrations/0014__reg_source_seq.pg.sql

@@ -0,0 +1,7 @@
+-- reg_source_seq pg 方言覆盖（方言覆盖必胜，通用兜底；oj-bin docs/migration.md §3.1）。
+-- 差异：INTEGER → BIGINT（seq 单调长期累加）；TEXT 在 pg 合法，保留 TEXT。
+CREATE TABLE IF NOT EXISTS reg_source_seq (
+  source_url TEXT NOT NULL PRIMARY KEY,
+  max_seq BIGINT NOT NULL,
+  updated_at BIGINT NOT NULL
+);

package/templates/src/_platform/api/migrations/0014__reg_source_seq.sql

@@ -0,0 +1,8 @@
+-- reg_source_seq（REG-CS2 索引新鲜度）：站点按源记住「见过的最大 seq」，回退即拒（防回放/降级）。
+-- 受害者是站点，记录点就在站点（D1）；CLI/API 同一判定，不另设状态文件。
+-- 结构只进 migrations（S006）；与 schema.yaml 列集一致。
+CREATE TABLE IF NOT EXISTS reg_source_seq (
+  source_url TEXT NOT NULL PRIMARY KEY,
+  max_seq INTEGER NOT NULL,
+  updated_at INTEGER NOT NULL
+);

package/templates/src/_platform/api/schema.yaml

@@ -127,3 +127,11 @@ tables:
       operator: {type: text}
       message: {type: text}
       created_at: {type: integer, null: false}
+  # REG-CS2 索引新鲜度：站点按源记住见过的最大 seq（防回放/降级，回退即拒）。
+  # 读写由 _lifecycle/source-seq.ts 落到本表；source_url 为业务主键（无自增 id）。
+  reg_source_seq:
+    pk: source_url
+    columns:
+      source_url: {type: text, null: false}
+      max_seq: {type: integer, null: false}
+      updated_at: {type: integer, null: false}

package/templates/src/_platform/api/solutions/api.ts

@@ -25,7 +25,7 @@ import {
 import { getLastReport, persistReport, verifyReportsDirOf } from "../_lifecycle/verify-report";
 import { respond } from "../_shared/respond";
 import { assertSystemAdmin } from "../_shared/service/infra/access";
-import { journalHeadOf, siteOrigin } from "../_shared/site-facade";
+import { journalHeadOf, readCanonicalOrigin, siteOrigin } from "../_shared/site-facade";
 
 /** 线格式行（与 packages/runtime/src/api/rbac/types.ts 的 SolutionRouteRow 对齐） */
 export type { SolutionRouteRow } from "../_lifecycle/verify-checks";
@@ -41,6 +41,9 @@ export function solutionsEnv(): SolutionsEnv {
 		statePath: "modules/.solutions/state.yaml",
 		modulesJsonPath: "dist/web/modules.json",
 		apiPrefix: "/api",
+		// REG-CS6：深检探针补全用 configured canonical origin，绝不读请求头 Host（防 SSRF）。
+		// 此处不同步读 config（隔离环境只有异步读盘），canonicalOrigin 留待 verifyBody 内惰性解析。
+		configPath: "config.yaml",
 	};
 }
 
@@ -96,8 +99,10 @@ async function verifyBody(env: SolutionsEnv, name: string): Promise<VerifyReport
 
 	const routes = routeRows.map(rowOf);
 
-	// ① 路由可达性（I/O 探针；siteOrigin 复用 = SSRF 钉② header 清洗，probeUrlOf 内建钉①）
-	const reach = await verifyRouteReachability(fetchOf(env), routes, siteOrigin());
+	// ① 路由可达性（I/O 探针；origin 取自配置的 canonical_origin，REG-CS6 绝不读请求头 Host——
+	// 伪造 Host（如 169.254.169.254 云元数据）不能牵引探针出站；缺配置则 null → 跳过探针 info 项）
+	const canonicalOrigin = env.canonicalOrigin ?? (env.configPath ? (await readCanonicalOrigin(env.configPath)) ?? undefined : undefined);
+	const reach = await verifyRouteReachability(fetchOf(env), routes, siteOrigin(canonicalOrigin));
 
 	// ② RBAC 完整性：声明权限点 ↔ sys_permission 实有
 	const declaredPerms = [...new Set(routes.map(r => r.required_permission).filter((p): p is string => p != null))];

package/templates/src/oj-market/web/__tests__/CardGrid.test.tsx

@@ -60,6 +60,19 @@ describe("cardGrid 卡片网格（BDD）", () => {
 		expect(screen.getByTestId("card-rollback-alpha")).toBeTruthy();
 	});
 
+	it("given 索引带 license When 渲染 Then 卡片显示该项（P-2）", () => {
+		renderWithProviders(
+			<CardGrid rows={[{ ...installed, license: "MIT" }]} {...handlers} />,
+			new InMemoryMarketClient(),
+		);
+		expect(screen.getByTestId("card-license-alpha").textContent).toContain("MIT");
+	});
+
+	it("given 索引未声明 license When 渲染 Then 卡片不出现许可行（不显示占位符）", () => {
+		renderWithProviders(<CardGrid rows={[installed]} {...handlers} />, new InMemoryMarketClient());
+		expect(screen.queryByTestId("card-license-alpha")).toBeNull();
+	});
+
 	it("given 未安装卡片 When 渲染 Then 安装按钮显示「安装」而非「升级」，且无回滚按钮", () => {
 		renderWithProviders(<CardGrid rows={[notInstalled]} {...handlers} />, new InMemoryMarketClient());
 		expect(screen.getByText("安装")).toBeTruthy();

package/templates/src/oj-market/web/__tests__/InstallDialog.test.tsx

@@ -47,6 +47,44 @@ describe("installDialog 安装进度（BDD）", () => {
 		expect(screen.getByText("不可重试")).toBeTruthy();
 	});
 
+	it("given 索引带 license When 打开 Then 安装前展示「版本 + 许可」（P-2）", async () => {
+		const done: TaskRecord = {
+			id: "t1",
+			name: "alpha",
+			version: "1.2.0",
+			status: "done",
+			stage: "done",
+			progress: 100,
+			message: "ok",
+			stages: [],
+			startedAt: 0,
+		};
+		const client = new InMemoryMarketClient({ taskRecord: done, installResult: { task_id: "t1" } });
+		renderWithProviders(<InstallDialog row={{ ...row, license: "Apache-2.0" }} open onClose={() => {}} />, client);
+		expect(screen.getByTestId("install-meta").textContent).toContain("1.2.0");
+		expect(screen.getByTestId("install-license").textContent).toContain("Apache-2.0");
+		await waitFor(() => expect(screen.getByTestId("install-message").textContent).toBe("ok"), { timeout: 5000 });
+	});
+
+	it("given 索引未声明 license When 打开 Then 元信息只有版本、不出现许可段", async () => {
+		const done: TaskRecord = {
+			id: "t1",
+			name: "alpha",
+			version: "1.2.0",
+			status: "done",
+			stage: "done",
+			progress: 100,
+			message: "ok",
+			stages: [],
+			startedAt: 0,
+		};
+		const client = new InMemoryMarketClient({ taskRecord: done, installResult: { task_id: "t1" } });
+		renderWithProviders(<InstallDialog row={row} open onClose={() => {}} />, client);
+		expect(screen.getByTestId("install-meta").textContent).toContain("1.2.0");
+		expect(screen.queryByTestId("install-license")).toBeNull();
+		await waitFor(() => expect(screen.getByTestId("install-message").textContent).toBe("ok"), { timeout: 5000 });
+	});
+
 	it("given 回滚（显式旧版 version）When 打开 Then 以该版本触发 install 且标题为「回滚中」", async () => {
 		const done: TaskRecord = {
 			id: "t1",

package/templates/src/oj-market/web/components/CardItem.tsx

@@ -75,6 +75,16 @@ export function CardItem({ row, busy, canManage = true, onInstall, onEnableToggl
 							</span>
 						)}
 			</div>
+			{/* 许可（P-2）：索引未声明就不占位，避免满屏「未知」 */}
+			{typeof row.license === "string" && row.license !== "" && (
+				<div style={{ marginBottom: 12 }} data-testid={`card-license-${row.name}`}>
+					<Tag color="blue">
+						{t("oj-market:card:license")}
+						:
+						{row.license}
+					</Tag>
+				</div>
+			)}
 			<Space wrap>
 				<Button type="primary" size="small" loading={busy} onClick={() => onInstall(row)} disabled={busy || !canManage} title={manageTip}>
 					{installed ? t("oj-market:card:upgrade") : t("oj-market:card:install")}

package/templates/src/oj-market/web/components/InstallDialog.tsx

@@ -121,6 +121,24 @@ export function InstallDialog({ row, open, onClose, onDone, version, mode }: Ins
 			footer={terminal ? <Button onClick={onClose}>{t("oj-market:task:close")}</Button> : null}
 			data-testid="install-dialog"
 		>
+			{/* 安装确认元信息（P-2）：装之前把「装哪个版本、什么许可」摆在明面上 */}
+			{row && (
+				<div data-testid="install-meta" style={{ marginBottom: 12 }}>
+					<span>
+						{t("oj-market:card:version")}
+						:
+						{targetVersion ?? "-"}
+					</span>
+					{typeof row.license === "string" && row.license !== "" && (
+						<span data-testid="install-license">
+							{" · "}
+							{t("oj-market:card:license")}
+							:
+							{row.license}
+						</span>
+					)}
+				</div>
+			)}
 			{errorTask && <Alert type="error" message={taskId!.slice("__error__".length)} />}
 			{!errorTask && !record && (
 				<Typography.Text>

package/templates/src/oj-market/web/locales/en-US.json

@@ -24,6 +24,7 @@
 		"error": "Failed to load cards",
 		"retry": "Retry",
 		"version": "Version",
+		"license": "License",
 		"latest": "Latest",
 		"installed": "Installed",
 		"notInstalled": "Not installed",

package/templates/src/oj-market/web/locales/zh-CN.json

@@ -24,6 +24,7 @@
 		"error": "卡片加载失败",
 		"retry": "重试",
 		"version": "版本",
+		"license": "许可",
 		"latest": "最新",
 		"installed": "已装",
 		"notInstalled": "未安装",

package/templates/src/oj-market/web/types.ts

@@ -52,13 +52,15 @@ export interface TaskRecord {
 	appliedSeq?: number
 }
 
-/** 卡片数据源行（GET /_platform/market/index）：CDN bundles.yaml ⊕ 本地 sidecar state */
+/** 卡片数据源行（GET /_platform/market/index）：CDN 三级索引（catalog + shards）⊕ 本地 sidecar state */
 export interface IndexRow {
 	name: string
 	latest: string | null
 	installed: string | null
 	enabled: boolean | null
 	upgradable: boolean
+	/** 最新版许可（SPDX 简化式，来自分片条目的 manifest.license；未声明 → null） */
+	license?: string | null
 }
 
 /** 安装输入（POST /_platform/market/install） */

package/templates/src/system/web/entry.ts

@@ -73,8 +73,11 @@ export default defineModule({
 	peerRuntime: ">=0.0.0",
 	// 路由级门禁（B16）：非系统管理员不注入 /system 路由、菜单不可见；
 	// API 级 403 由 assertSystemAdmin + service 层硬 enforcement 兜底。
-	// 角色口径对齐后端 assertSystemAdmin（access.ts:90）——superadmin **或**
-	// admin 均可；seed 的 admin 账号只有 superadmin，写 ["admin"] 会把它自己挡在门外。
+	// 角色口径对齐后端 assertSystemAdmin（access.ts:87）——superadmin **或**
+	// admin 均可，两者必须同时保留：D12（2026-10-22）起账号名=角色名，admin 与
+	// superadmin 是两个独立账号（seed.sql），只留 ["admin"] 会把 superadmin 挡在
+	// 门外（注册期过滤 → 路由消失 → 登录后 404 兜底）。改这两个值前先跑
+	// tests/system-guard.regression.spec.ts（只留 ["admin"] 会立刻变红）。
 	config: { requiredRoles: ["admin", "superadmin"] },
 	routes,
 	i18n: {

package/templates/tests/lifecycle/installer.spec.ts

@@ -260,6 +260,30 @@ describe("runInstall 全绿路径（步骤 stub，register/smoke/audit 走真实
 		expect(await getTask(taskDir, "nope")).toBeNull();
 	});
 
+	it("preview 形态：派生 .ojm-preview.yaml 存在时两份 config 一起自增（否则 reload 恒 unchanged）", async () => {
+		// ojm preview 派生出来的那份才是服务端在读的 config（spa 挂载 + platform.root 改写）
+		const derived = join(root, ".ojm-preview.yaml");
+		await fsp.writeFile(derived, "mounts: []\nserver:\n  reload_api: true\nvars:\n  ojm_install_seq: 0\nauth:\n  anonymous_paths:\n    - /auth/login\n");
+
+		const t = await runInstall(makeReq());
+		expect(t.status).toBe("done");
+
+		const source = new TextDecoder().decode(await fsp.readFile(join(root, "config.yaml")));
+		const preview = new TextDecoder().decode(await fsp.readFile(derived));
+		// 源 config 仍是真相（preview 重启后按它重建派生文件）
+		expect(source).toContain("ojm_install_seq: 1");
+		expect(source).toContain("- /demo-solution/ping");
+		// 派生文件也要变：reloadConfig 按它的文档 sha 判 unchanged
+		expect(preview).toContain("ojm_install_seq: 1");
+		expect(preview).toContain("- /demo-solution/ping");
+	});
+
+	it("非 preview 形态：没有派生文件就不无中生有（dev / 生产部署只写源 config）", async () => {
+		const t = await runInstall(makeReq());
+		expect(t.status).toBe("done");
+		await expect(fsp.access(join(root, ".ojm-preview.yaml"))).rejects.toThrow();
+	});
+
 	it("P2-13 spawn 流式双路径：appliedSeq 仍在（跨 chunk 拼接解析）+ 进度字段形状不变（轮询消费面兼容）", async () => {
 		const base = bundleExec();
 		const exec: ExecFace = {