@oj-module/cli 0.2.49 → 0.2.53

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@oj-module/cli",
   "type": "module",
-  "version": "0.2.49",
+  "version": "0.2.53",
   "description": "React Antd 模块工程命令行工具（含预构建宿主 shell-dist）",
   "license": "MIT",
   "exports": {
@@ -49,7 +49,7 @@
   ],
   "dependencies": {
     "@faker-js/faker": "^10.4.0",
-    "@oj-module/runtime": "0.2.49",
+    "@oj-module/runtime": "0.2.53",
     "@redocly/cli": "^2.51.0",
     "@tailwindcss/vite": "^4.3.0",
     "cac": "^6.7.14",

package/shell-dist/assets/{index-FYt9CjFd.js → index-e_Mp2mb5.js}

@@ -1,5 +1,5 @@
 import { StyleProvider } from "@ant-design/cssinjs";
-import { AntdApp, ErrorBoundary, LayoutEffects, PageError, getHostRoutes, getRoutes, loadAll, setupI18n, useAccessStore, useAuthStore, usePreferences, useUserStore } from "@oj-module/runtime";
+import { AntdApp, ErrorBoundary, LayoutEffects, PageError, getHostRoutes, getRoutes, loadAll, resolveApiBase, setupI18n, useAccessStore, useAuthStore, usePreferences, useUserStore } from "@oj-module/runtime";
 import { QueryClient, QueryClientProvider } from "@tanstack/react-query";
 import { ConfigProvider, theme } from "antd";
 import { useEffect, useState } from "react";
@@ -312,6 +312,10 @@ function Boot() {
 		let cancelled = false;
 		(async () => {
 			try {
+				if (typeof navigator !== "undefined" && /wxwork/i.test(navigator.userAgent) && location.pathname.endsWith("/login") && !new URLSearchParams(location.search).get("wecom_ticket")) {
+					window.location.assign(resolveApiBase() + "/auth/wecom/login");
+					return;
+				}
 				ensureI18n();
 				const base = resolveSiteBase();
 				const [res, versionsRes] = await Promise.all([fetch(`${base}modules.json`), fetch(`${base}versions.json`).catch(() => null)]);

package/shell-dist/assets/runtime.js

@@ -304,10 +304,10 @@ function getAppInfo() {
 	return {
 		"pkg": {
 			"name": "@oj-module/runtime",
-			"version": "0.2.49",
+			"version": "0.2.53",
 			"license": "MIT"
 		},
-		"lastBuildTime": "2026-11-01 17:14:09"
+		"lastBuildTime": "2026-11-02 15:46:13"
 	};
 }
 var init_get_app_info = __esmMin((() => {}));
@@ -7687,6 +7687,27 @@ function buildInstance(entry, definition, status, error) {
 		error
 	};
 }
+/**
+* 按 `handle.roles` 递归过滤路由（菜单与路由表同源）。
+*
+* 模块级 `config.requiredRoles` 只能整包放行/拦截；一个模块里既有全员可见页、
+* 又有仅超管可见页（/system/settings、/system/wecom）时，需要路由级粒度。
+* 语义与前端静态路由（generateRoutesByFrontend）一致：未声明 = 不限制；
+* 声明了则命中任一角色才保留，否则连同子树一起剔除。
+*/
+function filterRoutesByRoles(routes, roles) {
+	const out = [];
+	for (const route of routes) {
+		const required = route.handle?.roles;
+		if (required?.length && !required.some((role) => roles.includes(role))) continue;
+		const children = "children" in route && Array.isArray(route.children) ? filterRoutesByRoles(route.children, roles) : void 0;
+		out.push(children ? {
+			...route,
+			children
+		} : route);
+	}
+	return out;
+}
 function getRoutes() {
 	const { roles, permissions = [] } = useUserStore.getState();
 	const routes = [];
@@ -7696,7 +7717,7 @@ function getRoutes() {
 		if (requiredRoles?.length && !requiredRoles.some((role) => roles.includes(role))) continue;
 		const requiredPermissions = instance.definition.config?.requiredPermissions;
 		if (requiredPermissions?.length && !requiredPermissions.every((perm) => permissions.includes(perm))) continue;
-		if (instance.definition.routes.length > 0) routes.push(...resolveRouteLayouts(tagModuleRoutes(instance.definition.routes, instance.definition.name)));
+		if (instance.definition.routes.length > 0) routes.push(...filterRoutesByRoles(resolveRouteLayouts(tagModuleRoutes(instance.definition.routes, instance.definition.name)), roles));
 	}
 	return addRouteIdByPath(routes);
 }

package/shell-dist/index.html

@@ -5,9 +5,8 @@
 		<meta name="viewport" content="width=device-width, initial-scale=1.0" />
 		<link rel="icon" href="/favicon.ico" />
 		<title>React Antd Admin · Shell</title>
-		<meta http-equiv="Content-Security-Policy" content="default-src 'none'; script-src 'self' https://modules.cdn.example.com 'wasm-unsafe-eval' 'nonce-E48VJYAFCfSkkLa0nv6GVw=='; script-src-attr 'none'; connect-src 'self' data: https://modules.cdn.example.com; style-src 'self' https://modules.cdn.example.com 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' data:; frame-src https://ant.design https://react.dev https://condorheroblog.github.io; form-action 'none'; base-uri 'none'; object-src 'none'; upgrade-insecure-requests" />
-
-		<script type="importmap" nonce="E48VJYAFCfSkkLa0nv6GVw==">{
+		<meta http-equiv="Content-Security-Policy" content="default-src 'none'; script-src 'self' https://modules.cdn.example.com 'wasm-unsafe-eval' 'nonce-vlbkVLVjOGWbsP3B+GCfRg=='; script-src-attr 'none'; connect-src 'self' data: https://modules.cdn.example.com; style-src 'self' https://modules.cdn.example.com 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' data:; frame-src https://ant.design https://react.dev https://condorheroblog.github.io; form-action 'none'; base-uri 'none'; object-src 'none'; upgrade-insecure-requests" />
+		<script type="importmap" nonce="vlbkVLVjOGWbsP3B+GCfRg==">{
   "imports": {
     "react": "/assets/react.js",
     "react/jsx-runtime": "/assets/jsx-runtime.js",
@@ -21,7 +20,6 @@
     "@oj-module/runtime/contract": "/assets/contract.js",
     "@oj-module/runtime/contract/errors": "/assets/contract-errors.js",
     "@plane/kit": "/assets/kit.js",
-    "@plane/editor": "/assets/editor.js",
     "antd": "/assets/antd.js",
     "antd/locale/en_US": "/assets/antd-locale-en_US.js",
     "antd/locale/zh_CN": "/assets/antd-locale-zh_CN.js",
@@ -50,10 +48,6 @@
     "dayjs/plugin/weekday": "/assets/dayjs-plugin-weekday.js",
     "dayjs/plugin/weekOfYear": "/assets/dayjs-plugin-weekOfYear.js",
     "dayjs/plugin/weekYear": "/assets/dayjs-plugin-weekYear.js",
-    "echarts": "/assets/echarts.js",
-    "echarts/charts": "/assets/echarts-charts.js",
-    "echarts/features.js": "/assets/echarts-features.js",
-    "echarts-for-react": "/assets/echarts-for-react.js",
     "motion": "/assets/motion.js",
     "motion/react": "/assets/motion-react.js",
     "@dnd-kit/core": "/assets/dnd-kit-core.js",
@@ -73,8 +67,6 @@
     "simplebar-react": "/assets/simplebar-react.js",
     "spin-delay": "/assets/spin-delay.js",
     "tailwind-merge": "/assets/tailwind-merge.js",
-    "vditor": "/assets/vditor.js",
-    "vditor/dist/index.css": "/assets/vditor-index-css.js",
     "antd/es/modal": "/assets/ojm-antd-es-modal.js",
     "antd/es/upload": "/assets/ojm-antd-es-upload.js",
     "antd/es/button": "/assets/ojm-antd-es-button.js",
@@ -133,9 +125,14 @@
     "dayjs/locale/zh-cn": "/assets/ojm-dayjs-locale-zh-cn.js"
   }
 }</script>
-		<script type="module" crossorigin src="/assets/index-FYt9CjFd.js"></script>
+		<style>
+			.boot-skeleton{position:fixed;inset:0;display:flex;align-items:center;justify-content:center;font-family:-apple-system,BlinkMacSystemFont,Segoe UI,Roboto,sans-serif;color:#999;font-size:14px;background:#fff;z-index:9999}
+			.boot-skeleton:after{content:"";width:18px;height:18px;margin-left:8px;border:2px solid #d9d9d9;border-top-color:#1677ff;border-radius:50%;animation:bs-spin .8s linear infinite}
+			@keyframes bs-spin{to{transform:rotate(360deg)}}
+		</style>
+		<script nonce="vlbkVLVjOGWbsP3B+GCfRg==" data-ojm-entry="/assets/index-e_Mp2mb5.js">(function(){try{var ua=(navigator.userAgent||"").toLowerCase(),p=location.pathname;while(p.length>1&&p.charAt(p.length-1)==="/")p=p.slice(0,-1);if(ua.indexOf("wxwork")>=0&&p.slice(-6)==="/login"&&!new URLSearchParams(location.search).get("wecom_ticket")){var a=(typeof window.__OJ_API_BASE__==="string"&&window.__OJ_API_BASE__.trim())||"/api";while(a.length>1&&a.charAt(a.length-1)==="/")a=a.slice(0,-1);location.replace(a+"/auth/wecom/login");return}}catch(e){}var s=document.createElement("script");s.type="module";s.src=document.currentScript.getAttribute("data-ojm-entry");document.head.appendChild(s);})();</script>
 	</head>
 	<body>
-		<div id="root"></div>
+		<div id="root"><div class="boot-skeleton">加载中…</div></div>
 	</body>
 </html>

package/shell-dist/versions.json

@@ -7,9 +7,9 @@
   "react-router": "7.18.2",
   "react-router/dom": "7.18.2",
   "@tanstack/react-query": "5.102.8",
-  "@oj-module/runtime": "0.2.49",
-  "@oj-module/runtime/contract": "0.2.49",
-  "@oj-module/runtime/contract/errors": "0.2.49",
+  "@oj-module/runtime": "0.2.53",
+  "@oj-module/runtime/contract": "0.2.53",
+  "@oj-module/runtime/contract/errors": "0.2.53",
   "@plane/kit": "0.1.20",
   "@plane/editor": "0.1.20",
   "antd": "6.6.1",

package/src/build.ts

@@ -16,7 +16,7 @@ import { ALIAS_PATHS_FILE, syncAliasPaths } from "./alias-paths";
 import { assertModuleList, loadSiteConfig, mergeModuleList, resolveModuleEntry } from "./config";
 import { moduleDir, resolveConfigPath, resolveLayout, scanModules, tryResolveLayout } from "./layout";
 import { requireModuleRootCapability } from "./oj-caps";
-import { isSharedDep, SHARED_DEPS } from "./shared-deps";
+import { isPrebuiltDep, isSharedDep, SHARED_DEPS } from "./shared-deps";
 import { normalizeSiteBase, rewriteIndexHtml } from "./site-base";
 import { resolveOjBin } from "./vendor";
 import { checkSharedVersions, resolveShellDist } from "./versions";
@@ -790,7 +790,7 @@ export async function buildModules(
 				rolldownOptions: {
 					// 只把共享依赖留给宿主 importmap；
 					// 相对路径 / 绝对路径是模块自身代码，需要打包
-					external: (id: string) => !id.startsWith(".") && !path.isAbsolute(id) && isSharedDep(id),
+					external: (id: string) => !id.startsWith(".") && !path.isAbsolute(id) && isPrebuiltDep(id),
 					output: {
 						// P7.x / e2e：模块产物内联动态 import（lazy 页面、i18n 等），
 						// 输出为**单文件**。原因：
@@ -807,6 +807,23 @@ export async function buildModules(
 			},
 		});
 
+		// 运行期 require 门禁：CJS 依赖 require 了 external 共享包时，rolldown 只留一个浏览器
+		// 不可用的 require 桩（"Calling `require` for ..."），表现为模块加载即抛错、页面空白。
+		// 这类依赖必须移出 bundle 走宿主 importmap（shell 侧有 CJS→ESM 垫片）。
+		const builtEntry = path.join(moduleOutDir, "entry.js");
+		if (fs.existsSync(builtEntry)) {
+			const code = fs.readFileSync(builtEntry, "utf-8");
+			if (code.includes("doesn't expose the `require` function")) {
+				const specs = [...new Set([...code.matchAll(/ne\("([^"]+)"\)/g)].map(m => m[1]))];
+				throw new Error(
+					`[ojm] ${definition.name}@${definition.version} 产物含运行期 require(${specs.join(", ") || "?"})`
+					+ "——浏览器没有 require，模块加载即抛错。"
+					+ "根因：该 CJS 依赖被标为 bundle（自带副本），但它 require 的共享包被 external 了。"
+					+ "修复：把它从 SHARED_DEPS 的 bundle 列表移回共享资产，或改用该依赖的 ESM 入口。",
+				);
+			}
+		}
+
 		const prefix = `${baseUrl}/modules/${definition.name}/${definition.version}/`;
 		const chunks: ChunkEntry[] = [];
 		const css: string[] = [];

package/src/init.ts

@@ -193,10 +193,11 @@ export async function initProject(destDir: string, opts: InitOptions = {}): Prom
 	if (fs.existsSync(path.join(cliDevkit, "SKILL.md"))) {
 		const ojmSkillDir = path.join(destDir, ".claude/skills/ojm-module-dev");
 		fs.mkdirSync(ojmSkillDir, { recursive: true });
-		// `wecom-daikaifa.md`（企业微信代开发：凭据清单 + 用户/开发/部署三视角）
-		// 随之分发——它讲的是「怎么把一个已经写好的连接器接上真实套件」，
-		// 业务工程拿到模板后自助完成对接要用，不能只留本仓。
-		for (const name of ["SKILL.md", "manual.md", "README.md", "wecom-daikaifa.md"])
+		// 企微两本手册随之分发——它们讲的是「怎么把一个已经写好的连接器接上真实企业」，
+		// 业务工程拿到模板后自助完成对接要用，不能只留本仓：
+		//   · `wecom-daikaifa.md`  企业微信代开发（服务商模板）：凭据清单 + 用户/开发/部署三视角；
+		//   · `wecom-internal-app.md` 企业内部应用（自建）：五项 corp 凭据 + 验证并接入 + 共存。
+		for (const name of ["SKILL.md", "manual.md", "README.md", "wecom-daikaifa.md", "wecom-internal-app.md"])
 			copyIfAbsent(path.join(cliDevkit, name), path.join(ojmSkillDir, name), report);
 	}
 	else {

package/src/shared-deps.ts

@@ -20,6 +20,18 @@ export interface SharedDepEntry {
 	asset?: string
 	/** 硬共享：模块不得自带 */
 	hard: boolean
+	/**
+	 * 软共享但「不进宿主首屏」：宿主 shell 不预构建该资产、importmap 不列该键，
+	 * 模块若 import 它则自行打包进模块产物（设计文档 §4.3 的「软共享缺席→模块自带
+	 * 副本兜底」语义）。用于**仅模块使用、宿主与共享 chunk 永不 import**的重型依赖
+	 * （编辑器 / 图表 / Markdown / 拖拽 …），避免把它们 5~6MB 的体量无谓铺进
+	 * shell-dist 并要求公开链路多传一堆文件。宿主侧有真实 import 的共享依赖
+	 * （antd / pro-components / icons 内部依赖的 motion / react-jss / dayjs /
+	 * zustand 等）绝不能标 bundle —— 否则会被 antd 等共享 chunk 经 importmap 解析
+	 * 不到而 404。判定依据：宿主 host.tsx + runtime.js 的传递 import 图，以及
+	 * antd/pro-components/icons 的传递依赖图，都不含这些说明符。
+	 */
+	bundle?: boolean
 }
 
 export const SHARED_DEPS: SharedDepEntry[] = [
@@ -58,7 +70,7 @@ export const SHARED_DEPS: SharedDepEntry[] = [
 	 *     scopes 多版本共存兜底（C7）」——缺席时模块可自带副本而不硬失败。
 	 *     代价：多副本会重复约 5.4 MB 资产，故 scopes 只作兜底、默认仍走宿主。
 	 */
-	{ specifier: "@plane/editor", asset: "editor", hard: false },
+	{ specifier: "@plane/editor", asset: "editor", hard: false, bundle: true },
 	// 注：@rc-component/form（antd 6 Form 底层）曾尝试单例化以修 my-profile
 	// 崩溃（React #130），假说未证实——多副本并非充分根因，已回退；见
 	// docs/prd/202609010056-playground-full-modules-plan.md 差异项 D2。
@@ -108,10 +120,10 @@ export const SHARED_DEPS: SharedDepEntry[] = [
 	{ specifier: "dayjs/plugin/weekday", asset: "dayjs-plugin-weekday", hard: false },
 	{ specifier: "dayjs/plugin/weekOfYear", asset: "dayjs-plugin-weekOfYear", hard: false },
 	{ specifier: "dayjs/plugin/weekYear", asset: "dayjs-plugin-weekYear", hard: false },
-	{ specifier: "echarts", asset: "echarts", hard: false },
-	{ specifier: "echarts/charts", asset: "echarts-charts", hard: false },
-	{ specifier: "echarts/features.js", asset: "echarts-features", hard: false },
-	{ specifier: "echarts-for-react", asset: "echarts-for-react", hard: false },
+	{ specifier: "echarts", asset: "echarts", hard: false, bundle: true },
+	{ specifier: "echarts/charts", asset: "echarts-charts", hard: false, bundle: true },
+	{ specifier: "echarts/features.js", asset: "echarts-features", hard: false, bundle: true },
+	{ specifier: "echarts-for-react", asset: "echarts-for-react", hard: false, bundle: true },
 	{ specifier: "motion", asset: "motion", hard: false },
 	{ specifier: "motion/react", asset: "motion-react", hard: false },
 	{ specifier: "@dnd-kit/core", asset: "dnd-kit-core", hard: false },
@@ -127,6 +139,8 @@ export const SHARED_DEPS: SharedDepEntry[] = [
 	{ specifier: "react-error-boundary", asset: "react-error-boundary", hard: false },
 	{ specifier: "react-jss", asset: "react-jss", hard: false },
 	{ specifier: "clsx", asset: "clsx", hard: false },
+	// react-countup 只有 CJS 入口（main: build），其 require("react") 在模块自打包时会退化成
+	// 浏览器不可用的 require 桩 → 必须走宿主共享资产（shell 侧有 CJS→ESM 垫片）
 	{ specifier: "react-countup", asset: "react-countup", hard: false },
 	{ specifier: "simplebar-react", asset: "simplebar-react", hard: false },
 	{ specifier: "spin-delay", asset: "spin-delay", hard: false },
@@ -147,8 +161,8 @@ export const SHARED_DEPS: SharedDepEntry[] = [
 	 * 直接 import 它们，会命中前缀 external 但无 importmap 键 → 构建期深路径报错，
 	 * 属预期拦截（与 dayjs/plugin/* 同规则）。
 	 */
-	{ specifier: "vditor", asset: "vditor", hard: false },
-	{ specifier: "vditor/dist/index.css", asset: "vditor-index-css", hard: false },
+	{ specifier: "vditor", asset: "vditor", hard: false, bundle: true },
+	{ specifier: "vditor/dist/index.css", asset: "vditor-index-css", hard: false, bundle: true },
 ];
 
 /** 判断一个裸说明符是否命中共享表（命中主包前缀的深路径也按共享处理） */
@@ -161,7 +175,7 @@ export function isSharedDep(id: string): boolean {
  */
 export function generateShellEntries(): { name: string, pkg: string }[] {
 	return SHARED_DEPS
-		.filter(dep => dep.asset && dep.specifier !== "@oj-module/runtime")
+		.filter(dep => dep.asset && !dep.bundle && dep.specifier !== "@oj-module/runtime")
 		.map(dep => ({ name: dep.asset!, pkg: dep.specifier }));
 }
 
@@ -172,9 +186,13 @@ export function generateShellEntries(): { name: string, pkg: string }[] {
 export function generateImportmap(baseUrl = ""): Record<string, string> {
 	const map: Record<string, string> = {};
 	for (const dep of SHARED_DEPS) {
-		if (dep.asset) {
+		if (dep.asset && !dep.bundle) {
 			map[dep.specifier] = `${baseUrl}/assets/${dep.asset}.js`;
 		}
 	}
 	return map;
 }
+
+export function isPrebuiltDep(id: string): boolean {
+	return SHARED_DEPS.some(dep => !dep.bundle && (id === dep.specifier || id.startsWith(`${dep.specifier}/`)));
+}

package/src/site-base.ts

@@ -100,7 +100,7 @@ export function rewriteIndexHtml(html: string, siteBase: string | undefined, api
 		out = rewriteImportmap(out, base);
 		// 属性值：只要以单个 "/" 开头（排除 "//host"）。importmap 是脚本正文、非属性，
 		// 上一步已处理，二者不重叠。
-		out = out.replace(/(\b(?:href|src)=")(\/[^/"][^"]*|\/")/g, (_m, attr: string, url: string) =>
+		out = out.replace(/(\b(?:href|src|data-ojm-entry)=")(\/[^/"][^"]*|\/")/g, (_m, attr: string, url: string) =>
 			`${attr}${withSiteBase(url, base)}`);
 		globals.push(`window.__OJ_BASE__=${JSON.stringify(base)};`);
 	}

package/templates/config.yaml

@@ -56,8 +56,13 @@ vars:
   # 故意不读请求头 Host（防伪造 Host 牵引出站）：不配 = fail-closed，不会替你猜。
   # canonical_origin: "https://your-site.example.com"
 
-  # ---- 企业微信代开发（服务商侧，部署级常量）----
-  # 一个部署 = 一个服务商账号下的一套代开发模板，所以这 8 个值是「部署」维度，不进 DB。
+  # ---- 企业微信（部署级常量，不进 DB）----
+  # 两种应用来源，**可同时启用**（docs/plans/20261101-2044-wecom-internal-app-plan.md）：
+  #   · 代开发（suite）：一套代开发模板，企业扫码授权即接入，一套部署可服务多家企业；
+  #   · 企业内部应用 / 自建应用（corp）：企业自建应用，一套部署只服务一家企业。
+  # 两套的企业侧数据链路相同（permanent_code 就是当 corpsecret 用的），差别只在凭据来源与回调。
+  # 从代开发迁到自建时请把旧的 suite 变量清空；两套同时生效须显式开 wecom_allow_coexist。
+  # 一个部署 = 一个服务商账号下的一套代开发模板（或一家企业的自建应用），所以这些值是「部署」维度，不进 DB。
   # 「哪个企业装了哪个应用」不写在这里：企微 create_auth 回调推 AuthCode → 换永久授权码 →
   # 落 wecom_app_profile（主键含 agent_id，同一企业测试/正式两个应用天然并存），
   # 新增企业只需企业管理员扫码授权，**不改配置、不重启**。
@@ -74,18 +79,35 @@ vars:
   #   wecom_provider_id       服务商的 corpid（服务商自己的，不是企业 corpid）；**位置：服务商后台「服务商信息」页显示的 CorpID**
   #   wecom_provider_secret   服务商 provider_secret；**位置：服务商后台 → 应用管理 → 通用开发参数（点「编辑」）→ ProviderSecret 字段**，
   #                           **不在「服务商信息」页**（那里只显示 CorpID），也**不是** suite_secret（suite 那个是另一套）。
-  #   wecom_callback_token    「Token」（回调验签用）
-  #   wecom_encoding_aes_key  「EncodingAESKey」（43 字符，回调解密用）
-  #   wecom_enc_key           permanent_code 落库加密密钥（hex/base64，16 或 32 字节；建议 oj secret keygen）
+  #   wecom_callback_token    代开发「指令回调」的 Token（回调验签用）
+  #   wecom_encoding_aes_key  代开发「指令回调」的 EncodingAESKey（43 字符，回调解密用）
+  #   wecom_enc_key           permanent_code / 应用 Secret 的落库加密密钥（hex/base64，16 或 32 字节；建议 oj secret keygen）
   #   wecom_base_url          连接器基址（绝对地址，无尾斜杠，**这是基址、不是回调 URL**），如 https://site.example.com/api/auth/wecom
-  #                           → 企微后台「指令回调URL」填 <base>/event（必须带 /event，裸 <base> 无 handler 会 404）；
+  #                           → 回调 URL 填 <base>/event（必须带 /event，裸 <base> 无 handler 会 404）；
   #                             网页授权 redirect_uri 用 <base>/callback
+  #
+  # 企业内部应用（corp）——一套部署一家企业：
+  #   wecom_corp_id                 企微后台「我的企业 → 企业信息 → 企业ID」；同时是租户键
+  #   wecom_corp_secret             应用详情页「Secret」；**换过后必须到 /system/wecom 重新「验证并接入」**
+  #   wecom_corp_agent_id           应用详情页「AgentId」
+  #   wecom_corp_callback_token     「管理工具 → 通讯录同步 → 接收事件服务器」的 Token（可选；不配 = 不做事件增量）
+  #   wecom_corp_encoding_aes_key   同上 → EncodingAESKey（可选）
+  #   ⚠ 自建应用**收不到**成员通讯录变更事件（官方 90970），事件增量只能靠上面这组「通讯录同步」回调，
+  #     且企微要求该 URL 在企业主体域名下——所以它只适用于私有化单企业部署。
+  #
+  #   wecom_allow_coexist  两套凭据都配齐时必须显式写 'true' 才允许共存（否则 fail-fast）
   wecom_suite_id: ''
   wecom_suite_secret: ''
   wecom_provider_id: ''
   wecom_provider_secret: ''
   wecom_callback_token: ''
   wecom_encoding_aes_key: ''
+  wecom_corp_id: ''
+  wecom_corp_secret: ''
+  wecom_corp_agent_id: ''
+  wecom_corp_callback_token: ''
+  wecom_corp_encoding_aes_key: ''
+  wecom_allow_coexist: ''
   wecom_enc_key: ''
   wecom_base_url: ''
 

package/templates/init.include.yaml

@@ -20,9 +20,9 @@
 # `pnpm dev` 时忽略产物，不进发布包、也不进用户工程。守卫：
 # tests/cli/release-manifest.test.ts 逐条核对清单条目落在 tarball 内。
 #
-# 注意 web/src/{demo,home}/__client 不在清单：其 api 模块（api/src/demo、
-# api/src/home）是 demo-only 不进脚手架，client 生成物留着会指向不存在的端点，
-# 故 demo/home 只列页面源码（entry/locales/pages），不列整棵模块目录。
+# 注意 web/src/{home}/__client 不在清单：其 api 模块（api/src/home）是 demo-only
+# 不进脚手架，client 生成物留着会指向不存在的端点，故 home 只列页面源码
+# （entry/locales/pages），不列整棵模块目录。
 include:
   # —— 工程级文件 ——
   - README.md
@@ -101,12 +101,9 @@ include:
   - src/personal-center/api
   - src/system/api
   - src/web/api
-  # —— web 前端模块（demo/home 只列页面源码，__client 见顶部说明）——
+  # —— web 前端模块（home 只列页面源码，__client 见顶部说明）——
   - src/_platform/web
   - src/auth/web
-  - src/demo/web/entry.ts
-  - src/demo/web/locales
-  - src/demo/web/pages
   - src/home/web/entry.ts
   - src/home/web/locales
   - src/home/web/pages