@oj-module/cli 0.2.64 → 0.2.67

package/templates/src/app/api/_platform/_lifecycle/steps/smoke.ts

@@ -30,12 +30,6 @@ export interface SmokeContext extends InstallContext {
 	modulesJsonPath: string
 	/** 注册快照查询；缺省回落 queryRegistered（isolate db 全局；测试注入 stub） */
 	query?: (name: string) => Promise<SolutionSnapshot | null>
-	/**
-	 * 本次安装**新追加**进 config.yaml `auth.anonymous_paths` 的路径（reloading 段注入，带前导 /）。
-	 * 匿名接线属 restart_pending（reload 段已明示），本进程内尚未生效——探活对这些路径的
-	 * 401 判「待重启」而非失败；已在配置里却仍 401 才是真失败（说明接线或守卫有问题）。
-	 */
-	deferredAnonymous?: string[]
 }
 
 export interface StageResult {
@@ -138,17 +132,15 @@ export async function smoke(ctx: SmokeContext): Promise<StageResult> {
 		if (target !== undefined) {
 			const url = probeUrlOf(ctx.apiPrefix, target);
 			const res = await ctx.fetch(url, { headers: { [PROBE_TENANT_HEADER]: PROBE_TENANT } });
-			if (health !== undefined && !res.ok) {
-				// health 探针本就是「无凭证预期 401」（文件头注释：非匿名无凭证预期 401；D14/Q-A：health 不强制）。
-				// 租户化站点上安装/重装/升级后宿主需重启才能加载新配置（含匿名接线、路由），探针在重启前收 401
-				// 是 restart_pending 的常态，不是包或站点的问题——一律判 deferred，不计入失败（P2 深检可兜底真异常）。
-				// 非 401（如 500）仍视为真实失败，正常报错。
-				const deferred = res.status === 401;
-				if (deferred) {
-					notes.push(`探活 ${url} 返回 401：health 端点为无凭证探针，宿主重启加载新配置（路由/匿名接线）后即 2xx——属 restart_pending，重启宿主后生效，不计入失败`);
+			if (!res.ok) {
+				// 无凭证探针（含租户化站点强制 X-TENANT-ID，仍无业务凭证）收 401 是 restart_pending 常态——
+				// 宿主重启加载新配置（路由/匿名接线）后即 2xx，不是包或站点问题，一律判 deferred 不计入失败。
+				// 非 401（如 404/500）视为真实失败（P0 §3.5：首个路由 404/连通失败 = 冒烟失败，避免假成功）。
+				if (res.status === 401) {
+					notes.push(`探活 ${url} 返回 401：无凭证探针，宿主重启加载新配置（路由/匿名接线）后即 2xx——属 restart_pending，重启宿主后生效，不计入失败`);
 				}
 				else {
-					failures.push({ item: "探活", retryable: true, reason: `health 端点 ${url} 返回 HTTP ${res.status}（C2-33 冒烟探针要求 2xx）` });
+					failures.push({ item: "探活", retryable: true, reason: `探针 ${url} 返回 HTTP ${res.status}（期望 2xx；404/5xx 视为冒烟失败）` });
 				}
 			}
 		}

package/templates/src/app/api/_platform/_lifecycle/text-edit.ts

@@ -49,25 +49,6 @@ export function ensureReloadApi(content: string): { content: string, changed: bo
 	return { content: insertAnchor(content, "# ojm:reload", "reload_api: true"), changed: true };
 }
 
-/**
- * 安装序号自增（B-11 reload 触发面；PRD E5 实测先例：vars 段语义值改动可热生效，而
- * reloadConfig 的 unchanged 判定基于 config 文档 sha——不落盘变更则热更恒 unchanged）。
- * R18 同纪律：纯文本行操作，注释/缩进/键序逐字保留，`ojm_install_seq: N` 整行自增为 N+1
- * （行内尾注释原样保留）。键缺失/形状不符 = 可读报错不猜位置（键随模板 config.yaml 发布；
- * 用户删行 = 显式退出热更触发，安装器拒绝静默安装）。
- */
-export function bumpInstallSeq(content: string): { content: string, seq: number } {
-	const lines = content.split("\n");
-	const idx = lines.findIndex(l => /^\s*ojm_install_seq\s*:\s*\d+\s*(?:#.*)?$/.test(l));
-	if (idx === -1) {
-		throw new Error("text-edit: config.yaml 缺 ojm_install_seq: N 行（vars 安装序号，模板 config.yaml 随发，勿删）——reload 热更无变更可落（unchanged 恒真），安装终止于 reloading 段");
-	}
-	const m = /^(\s*ojm_install_seq\s*:\s*)(\d+)/.exec(lines[idx]!)!;
-	const seq = Number(m[2]) + 1;
-	lines[idx] = `${m[1]}${seq}${lines[idx]!.slice(m[0].length)}`;
-	return { content: lines.join("\n"), seq };
-}
-
 /**
  * C2-26 anonymous 运行时接线（P2-15③ 承载，观察项 6 收口）：把方案的匿名端点追加进
  * config.yaml `auth.anonymous_paths` 列表（oj 匿名模型 config 独占；热改属
@@ -108,3 +89,74 @@ export function appendAnonymousPaths(content: string, paths: string[]): { conten
 	lines.splice(last + 1, 0, ...added.map(p => `${itemIndent}- ${p}`));
 	return { content: lines.join("\n"), added };
 }
+
+/**
+ * `appendAnonymousPaths` 的逆操作（P0 补偿清单 §3.5）：把指定匿名路径从 `auth.anonymous_paths`
+ * 列表移除。纯文本判定，与 append 同源——按行 `- <path>`（trim 匹配）删除，列表其余项/注释/空行
+ * 原样保留；幂等：路径不在列表内则 no-op、返回 removed=[]。键缺失（从未接线）= 没东西可删，no-op。
+ * `paths` 形态应与 append 传入一致（方案相对形态），本函数统一补前导 `/` 对齐写入形态。
+ */
+export function removeAnonymousPaths(content: string, paths: string[]): { content: string, removed: string[] } {
+	if (paths.length === 0) {
+		return { content, removed: [] };
+	}
+	const wanted = new Set(paths.map(p => (p.startsWith("/") ? p : `/${p}`)));
+	const lines = content.split("\n");
+	const idx = lines.findIndex(l => /^\s*anonymous_paths\s*:/.test(l));
+	if (idx === -1) {
+		return { content, removed: [] };
+	}
+	// 收集列表项行区间（键行之后连续 `- item`，跳过空行/注释，遇首个其他行即止）
+	const itemLines: number[] = [];
+	for (let i = idx + 1; i < lines.length; i++) {
+		const line = lines[i]!;
+		if (line.trim() === "" || /^\s*#/.test(line)) {
+			continue;
+		}
+		const stripped = line.replace(/#.*$/, "").trim();
+		if (!stripped.startsWith("- ")) {
+			break;
+		}
+		itemLines.push(i);
+	}
+	const removeSet = new Set<number>();
+	const removed: string[] = [];
+	for (const i of itemLines) {
+		const val = lines[i]!.replace(/#.*$/, "").trim().slice(2).trim();
+		if (wanted.has(val)) {
+			removeSet.add(i);
+			removed.push(val);
+		}
+	}
+	if (removed.length === 0) {
+		return { content, removed: [] };
+	}
+	const next = lines.filter((_, i) => !removeSet.has(i));
+	return { content: next.join("\n"), removed };
+}
+
+/**
+ * 纯文本解析 `auth.anonymous_paths` 列表（P0 §3.2 质辩1 / E8 残留检测消费面）：与 append/remove
+ * 同源的列表收集口径——从 `anonymous_paths:` 键行起，连续 `- item` 行（跳过空行/注释）逐行取值。
+ * 用于「读」已装站点的匿名条目，不修改文本。键缺失 = 返回 []。
+ */
+export function readAnonymousPaths(content: string): string[] {
+	const lines = content.split("\n");
+	const idx = lines.findIndex(l => /^\s*anonymous_paths\s*:/.test(l));
+	if (idx === -1) {
+		return [];
+	}
+	const out: string[] = [];
+	for (let i = idx + 1; i < lines.length; i++) {
+		const line = lines[i]!;
+		if (line.trim() === "" || /^\s*#/.test(line)) {
+			continue;
+		}
+		const stripped = line.replace(/#.*$/, "").trim();
+		if (!stripped.startsWith("- ")) {
+			break;
+		}
+		out.push(stripped.slice(2).trim());
+	}
+	return out;
+}

package/templates/src/app/api/_platform/_lifecycle/types.ts

@@ -23,6 +23,22 @@ export interface InstallContext {
 	hostVersions?: Record<string, string>
 	/** 宿主平台编排面 API 版本（C2-11 peerPlatform 比对真源；镜像 GET /api/_platform/market/meta 的 apiVersion，即 market/api.ts 的 API_VERSION 常量，与 _platform/manifest.yaml 版本手工同步） */
 	hostApiVersion?: string
+	/**
+	 * 宿主能力集（P0 §3.9：ojInfo().capabilities，装配期冻结、任何模块可读）。由调用方从 ojInfo 注入；
+	 * 与 manifest.requiresCapabilities 配对做写锁前门禁。缺省 undefined = 宿主未上报，
+	 * 此时若模板声明了 requiresCapabilities 则 fail-closed（视为能力缺失）。
+	 */
+	capabilities?: string[]
+	/**
+	 * 站点 config.yaml 已存在的 auth.anonymous_paths（P0 §3.2 质辩1 / E8：装前残留匿名检测真源）。
+	 * 由调用方在 preflight 前读 config 注入（preflight 保持只读 ctx 的纯校验段纪律）；缺省 [] 视为无残留。
+	 */
+	existingAnonymousPaths?: string[]
+	/**
+	 * 本次热更返回的待重启段（reloading 段捕获自 reloadAndAssert；非空 = 部分生效、需宿主重启后完全生效）。
+	 * installer 终态判定据其标 partial + restartRequired（无守护形态，P0 §3.6 / 验收 15）。瞬态，不落盘。
+	 */
+	restartPending?: string[]
 	/** 目标站点数据库句柄（本段不消费；P1-8 register 段起使用） */
 	db?: unknown
 	/**
@@ -31,6 +47,12 @@ export interface InstallContext {
 	 * 跨方案碰撞仍由 apiSeg/route_prefix 首段占用兜住；缺省 false 保持 P1-5「同名拒装」钉面。
 	 */
 	reinstall?: boolean
+	/**
+	 * 强制热更（oj 0.1.123+ reloadConfig(force)）：绕过「unchanged=已是最新装配」幂等短路，
+	 * 强制触发一次重装配——运维显式重装配用，不依赖锁 diff / 文档 sha 变化。缺省 false。
+	 * 仅供 install 路径消费（reloading 段透传给 reload 面）；uninstall 恒严格（忽略 force）。
+	 */
+	force?: boolean
 }
 
 /** 阶段结果（全 stage 通用结构形状；stage 取值为各 step 自己的字面量，编排层以 StageDef.name 为准） */
@@ -87,8 +109,8 @@ export interface TaskRecord {
 	/** 0-100 整体进度（按 STAGES 表完成数折算） */
 	progress: number
 	message: string
-	/** 各 stage 明细日志（UI 详情日志区数据源） */
-	stages: { stage: InstallStage, ok: boolean, message: string }[]
+	/** 各 stage 明细日志（UI 详情日志区数据源；补偿子步形如 `compensate.<step>`，故 stage 为 string 而非窄类型 InstallStage） */
+	stages: { stage: string, ok: boolean, message: string }[]
 	/** 失败/partial 终态：reason + retryable + 指引文案 key（契约附录 A） */
 	error?: { reason: string, retryable: boolean, hintKey?: string }
 	/** needs_trust 终态：待确认的发布方 key（POST /market/trust {task_id} 消费；指纹供人确认） */
@@ -99,4 +121,6 @@ export interface TaskRecord {
 	appliedSeq?: number
 	/** 取消安装标记（U5，P3-8）：用户中止触发的终态（status 仍取 failed/partial——D11 共用失败终态，此标记供 UI 区分「取消」与「失败」） */
 	cancelled?: boolean
+	/** 无守护形态部分生效标记（P0 §3.6 / 验收 15）：热更返回待重启段非空、且无 supervisor 自动换进程 → 装完仍须宿主重启才完全生效。UI 据其展示「重启提示」而非「成功」 */
+	restartRequired?: boolean
 }

package/templates/src/app/api/_platform/_lifecycle/uninstall.ts

@@ -9,12 +9,14 @@
 
 import type { OpEntry } from "../_shared/service/infra/audit";
 import type { StateStore } from "./state";
+import type { ReloadFace, ReloadResult } from "./steps/reload";
 import { uninstallSolution } from "../_shared/service/domain/solution-perms";
 import { invalidateAllUsers } from "../_shared/service/infra/access";
 import { auditOp } from "../_shared/service/infra/audit";
 import { atomicWriteText, fsFace } from "./atomic";
 import { recordHistory } from "./history";
 import { readLock, writeLock } from "./lock";
+import { assertReloadApplied } from "./steps/reload";
 
 // db 为 oj isolate 注入全局（同模板 service 层惯例，installer.ts 同款；测试由夹具装 globalThis.db）
 declare const db: {
@@ -65,6 +67,21 @@ export function moduleTablePrefix(name: string): string {
 	return `${name.replace(/-/g, "_")}_`;
 }
 
+/**
+ * 卸载期判断方案是否含 api 模块（决定 oj 是否产出 -name@ver 装配条目）：读版本目录内 C2 manifest.yaml
+ * 的顶层 `api:` 段。reload 断言时版本目录仍在（删除在 reload 之后），故可读。读失败/无 api 段 → false
+ * （web-only 方案 oj 不产模块条目，符号不强制，仅校验 reload 已探测锁变更）。
+ */
+async function uninstallHasApi(name: string, version: string, sharedRoot: string): Promise<boolean> {
+	try {
+		const text = new TextDecoder().decode(await fsFace().readFile(`${sharedRoot}/${name}-${version}/manifest.yaml`));
+		return /^api\s*:/m.test(text);
+	}
+	catch {
+		return false;
+	}
+}
+
 /** 收集需保留的业务表（Q4）：声明 + 前缀兜底；仅返回实际存在的表名 */
 export async function collectRetainedTables(name: string, manifestPath: string): Promise<string[]> {
 	const candidates = new Set<string>();
@@ -91,6 +108,18 @@ export async function collectRetainedTables(name: string, manifestPath: string):
 	return [...candidates].filter(t => existing.has(t));
 }
 
+/**
+ * 回退某方案的 DB 注册（P0 补偿清单 §3.5 复用）：单一事务内删 sys_solution_route + 级联清
+ * 角色/权限（uninstallSolution 双维度级联）。与 runUninstall 的 DB 步同原语，避免两套 DB 回滚逻辑。
+ * 行已不存在 = no-op（幂等安全）。
+ */
+export async function revertRegistrations(name: string): Promise<void> {
+	await db.tx(async (t) => {
+		await t.table("sys_solution_route").where({ field: "module", op: "eq", value: name }).delete().run();
+		await uninstallSolution(name, t);
+	});
+}
+
 /** 卸载影响面预检（GET uninstall-impact 消费面）：返回前端二次确认所需的影响计数 */
 export interface UninstallImpact {
 	name: string
@@ -111,6 +140,8 @@ export interface UninstallInput {
 	now?: number
 	/** 审计出口（缺省 auditOp；测试注入记录器） */
 	audit?: (entry: OpEntry) => void
+	/** 热更面（P0 §3.4 第5步：卸载摘锁后 reload 触达装配以真正摘除模块；缺省不 reload——依赖 US-1 上游 manifests 摘要驱动才实际掉挂载）。reload 失败 → 锁写回 + 再 reload 回旧代（模块仍挂载、可重试） */
+	reload?: ReloadFace
 }
 
 export interface UninstallResult {
@@ -184,16 +215,73 @@ export async function runUninstall(input: UninstallInput): Promise<UninstallResu
 		return { ok: false, message: `卸载失败：权限级联清理失败（${String(e)}）——事务已回滚，锁/路由/角色/权限未改动（fail-closed）` };
 	}
 
-	// ② sidecar 删条目（patch 值 null = 删除该方案键）
+	// ① 锁摘除（先失可达性：模块停止装配；在此之前任一失败锁均保留 = fail-closed）
+	try {
+		await writeLock(input.lockPath, remaining);
+	}
+	catch (e) {
+		audit(false, `锁写失败：${String(e)}`);
+		return { ok: false, message: `卸载失败：锁写失败（${String(e)}）——DB 级联已回滚、sidecar/modules 未动（fail-closed）` };
+	}
+
+	// ② reload 触达装配以真正摘除模块（P0 §3.4 第5步：先失可达性）；缺省无 reload 面则跳过（依赖
+	// US-1 上游 manifests 摘要驱动才实际掉挂载）。reload 失败 / 返回 unchanged / 未真正摘除模块 →
+	// 锁写回 + 再 reload 回旧代——模块仍挂载，且此时 sidecar/modules.json/版本目录均未删（下面才删），
+	// 故锁写回即**一致回滚**，不残留半卸状态，返回失败可重试（fail-closed）。
+	if (input.reload !== undefined) {
+		let r: ReloadResult;
+		try {
+			r = await input.reload.reloadConfig();
+		}
+		catch (e) {
+			try {
+				await writeLock(input.lockPath, lock);
+			}
+			catch {
+				// 锁写回失败不掩盖 reload 失败终态
+			}
+			try {
+				await input.reload.reloadConfig();
+			}
+			catch {
+				// 回滚 reload 也失败：模块仍按原锁挂载，下次卸载重试
+			}
+			audit(false, `reload 失败，已回写锁并恢复旧代：${String(e)}`);
+			return { ok: false, message: `卸载失败：reload 失败（${String(e)}）——已回写锁恢复旧代（模块仍挂载、元数据未删），请稍后重试` };
+		}
+		// 卸载空转回归守卫（§2.7）：reload 须真实摘除模块——unchanged 即「锁摘了但装配没掉挂载」，
+		// 正是本 PR 修复的回归；api 模块还须 applied 含 -name@ver（web-only 无 api 段，oj 不产模块条目，仅校验 unchanged）。
+		const hasApi = await uninstallHasApi(name, version, input.sharedRoot);
+		const a = assertReloadApplied(r, { hasApi, kind: "uninstall", name, version });
+		if (!a.ok) {
+			try {
+				await writeLock(input.lockPath, lock);
+			}
+			catch {
+				// 锁写回失败不掩盖 reload 断言失败终态
+			}
+			try {
+				await input.reload.reloadConfig();
+			}
+			catch {
+				// 回滚 reload 也失败：模块仍按原锁挂载，下次卸载重试
+			}
+			audit(false, `reload 未真正摘除模块，已回写锁并恢复旧代：${a.message}`);
+			return { ok: false, message: `卸载失败：${a.message}——已回写锁恢复旧代（模块仍挂载、元数据未删），请稍后重试` };
+		}
+	}
+
+	// ③ 再失文件前先清元数据：sidecar 删条目 / modules.json 删条目（reload 成功才走到这里，回滚已不可达）
+	// sidecar 删条目（patch 值 null = 删除该方案键）
 	try {
 		await input.state.write({ solutions: { [name]: null } } as unknown as Parameters<typeof input.state.write>[0]);
 	}
 	catch (e) {
 		audit(false, `sidecar 写失败：${String(e)}`);
-		return { ok: false, message: `卸载失败：sidecar 写失败（${String(e)}）——DB 级联已提交，锁未摘（fail-closed）` };
+		return { ok: false, message: `卸载失败：sidecar 写失败（${String(e)}）——锁已摘、reload 已生效，模块已停装配；sidecar 残留待重装自愈` };
 	}
 
-	// ③ modules.json 删条目（条目不存在 = api-only 方案，天然一致）
+	// modules.json 删条目（条目不存在 = api-only 方案，天然一致）
 	try {
 		const list = JSON.parse(new TextDecoder().decode(await f.readFile(input.modulesJsonPath))) as unknown[];
 		if (!Array.isArray(list)) {
@@ -204,19 +292,10 @@ export async function runUninstall(input: UninstallInput): Promise<UninstallResu
 	}
 	catch (e) {
 		audit(false, `modules.json 写失败：${String(e)}`);
-		return { ok: false, message: `卸载失败：modules.json 写失败（${String(e)}）——DB 级联已提交、sidecar 已删，锁未摘（fail-closed）` };
-	}
-
-	// ① 锁摘除（最后执行：模块停止装配；在此之前任一失败锁均保留 = fail-closed）
-	try {
-		await writeLock(input.lockPath, remaining);
-	}
-	catch (e) {
-		audit(false, `锁写失败：${String(e)}`);
-		return { ok: false, message: `卸载失败：锁写失败（${String(e)}）——DB 级联/sidecar/modules 已更新，锁残留` };
+		return { ok: false, message: `卸载失败：modules.json 写失败（${String(e)}）——锁已摘、reload 已生效、sidecar 已删，modules.json 残留待重装自愈` };
 	}
 
-	// 版本目录移除（缺失不报错，幂等）
+	// ④ 版本目录移除（缺失不报错，幂等）；再失文件（P0 §3.4：先失可达性再失文件）
 	// —— 但 Q4 业务表清单须在版本目录移除前从 manifest 取得（manifest 在版本目录内）——
 	let retained: string[] = [];
 	try {

package/templates/src/app/api/_platform/_shared/service/domain/settings.ts

@@ -68,11 +68,15 @@ export async function updateSetting(actorId: number, key: string, value: string)
 	await recordOp({ action: "setting.update", module: String(row.module), target: key });
 }
 
-/** C5/D2：登录方式发现的数据源——local 恒在，ldap/sso/wecom 由设置项开关。 */
-export async function listLoginMethods(): Promise<{ methods: string[] }> {
-	const rows = await db.table("sys_setting").select(["key", "value"]).where({ field: "key", op: "in", value: ["ldap.enabled", "sso.enabled", "wecom.enabled"] }).all() as Array<{ key: string, value: string | null }>;
+/**
+ * C5/D2：登录方式发现的数据源——local 恒在，ldap/sso/wecom 由设置项开关。
+ * 同时回传站点标题（framework.site_title，非 secret），供登录页匿名设置浏览器标签。
+ */
+export async function listLoginMethods(): Promise<{ methods: string[], site_title: string }> {
+	const rows = await db.table("sys_setting").select(["key", "value"]).where({ field: "key", op: "in", value: ["ldap.enabled", "sso.enabled", "wecom.enabled", "framework.site_title"] }).all() as Array<{ key: string, value: string | null }>;
 	const enabled = (k: string) => rows.find(r => r.key === k)?.value === "1";
+	const siteTitle = rows.find(r => r.key === "framework.site_title")?.value ?? "";
 	// wecom 的凭据在部署常量（config vars），这里只报开关：开关开了但凭据没配，
 	// 点进企微登录会拿到 400「企业微信未配置」——比登录页凭空少一个 tab 更容易排查。
-	return { methods: ["local", ...(enabled("ldap.enabled") ? ["ldap" as const] : []), ...(enabled("sso.enabled") ? ["sso" as const] : []), ...(enabled("wecom.enabled") ? ["wecom" as const] : [])] };
+	return { methods: ["local", ...(enabled("ldap.enabled") ? ["ldap" as const] : []), ...(enabled("sso.enabled") ? ["sso" as const] : []), ...(enabled("wecom.enabled") ? ["wecom" as const] : [])], site_title: siteTitle };
 }

package/templates/src/app/api/_platform/manifest.yaml

@@ -13,6 +13,7 @@ tables:
   - sys_user_role
   - sys_refresh_token
   - market_history
+  - market_release
   - sys_rate_window
   - sys_login_throttle
   - reg_source_seq