@oj-module/cli 0.2.66 → 0.2.67

package/src/dev.ts

@@ -230,12 +230,6 @@ export async function devServer(projectRoot: string, opts: DevOptions = {}): Pro
 		proxyWsUpgrade(ojTarget)(req, socket, head);
 	});
 
-	// 退出回收：server 关闭 → SSE 通道 + oj 子进程一并回收
-	server.on("close", () => {
-		hub.close();
-		void oj?.stop();
-	});
-
 	// 终端 Ctrl+C / `kill`（SIGINT / SIGTERM）终止 dev 进程时，后端 oj 必须随之消亡：
 	// 起一个统一优雅停机，先停 oj 再退出；并打印后端终止信息。
 	// 终端 Ctrl-C 是进程组信号：外层 bin 转发一份 + 组送达一份，内层会收到
@@ -249,13 +243,24 @@ export async function devServer(projectRoot: string, opts: DevOptions = {}): Pro
 		shuttingDown = true;
 		void shutdownDev(server, oj, hub);
 	};
-	process.on("SIGINT", shutdown);
-	process.on("SIGTERM", shutdown);
-
 	// 兜底：dev 进程以任何非优雅路径退出（未走 SIGINT/SIGTERM，如未捕获异常）时，
 	// 同步强杀 oj，确保它不孤儿化继续占端口（shutdownDev 已停则 kill 为 no-op）。
-	process.once("exit", () => {
+	const killOjOnExit = () => {
 		oj?.kill?.();
+	};
+	process.on("SIGINT", shutdown);
+	process.on("SIGTERM", shutdown);
+	process.once("exit", killOjOnExit);
+
+	// 退出回收：server 关闭 → SSE 通道 + oj 子进程一并回收，并摘除本实例注册的
+	// 进程级信号/exit handler。devServer 可在同一进程被多次调用（编程式 / 测试），
+	// 不摘除会累积闭包、触发 MaxListenersExceededWarning（与 preview 的 stop 同款）。
+	server.on("close", () => {
+		hub.close();
+		void oj?.stop();
+		process.removeListener("SIGINT", shutdown);
+		process.removeListener("SIGTERM", shutdown);
+		process.removeListener("exit", killOjOnExit);
 	});
 
 	// 端口被占用时自动顺延，避免 `EADDRINUSE` 直接让 `pnpm dev` 以非零码退出

package/src/install.ts

@@ -254,6 +254,11 @@ export interface InstallOptions {
 	locale?: string
 	/** REG-R9②：从指定 registry 源安装（白名单在服务端；旧站点 API < 0.2.0 不支持 → exit 1） */
 	registry?: string
+	/**
+	 * 强制重装配（oj 0.1.123+ reloadConfig(force)）：旁路「unchanged=已是最新装配」幂等短路，
+	 * 强制宿主重做一次装配。运维显式重装配用；缺省 false。
+	 */
+	force?: boolean
 	/** 测试注入；缺省 globalThis.fetch */
 	fetchFn?: typeof fetch
 	/** 测试注入；缺省真睡 */
@@ -269,6 +274,8 @@ export async function installCommand(target: string, opts: InstallOptions = {}):
 	const fetchFn = opts.fetchFn ?? globalThis.fetch;
 	const { base, user, pass } = resolveSite(opts);
 	const token = await login(fetchFn, base, user, pass);
+	// force 透传（oj 0.1.123+ reloadConfig(force) 逃逸舱）：仅运维显式重装配时用；常规安装走锁 diff
+	const forceQ = opts.force === true ? "?force=1" : "";
 
 	let response: { task_id: string };
 	if (opts.registry !== undefined) {
@@ -282,13 +289,13 @@ export async function installCommand(target: string, opts: InstallOptions = {}):
 		if (!isSiteApiAtLeast(meta.apiVersion, "0.2.0"))
 			throw new Error(`[ojm] 目标站点平台 API 版本过低（需 ≥ 0.2.0 才支持 --registry 源安装，实为 ${meta.apiVersion ?? "未知"}）——请升级目标站点的 oj-module，或改用 CDN/file 源`);
 		const registryOrigin = originOf(src.url) ?? src.url;
-		response = await callApi<{ task_id: string }>(fetchFn, base, token, "POST", "/api/_platform/market/install", {
+		response = await callApi<{ task_id: string }>(fetchFn, base, token, "POST", `/api/_platform/market/install${forceQ}`, {
 			name: slug,
 			version: opts.version ?? version,
 			source: "registry",
 			registry: registryOrigin,
 		});
-		console.log(`[ojm] 已从 registry 源提交安装任务（源 ${registryOrigin}，物理名 ${slug}）`);
+		console.log(`[ojm] 已从 registry 源提交安装任务（源 ${registryOrigin}，物理名 ${slug}${opts.force === true ? "，强制重装配" : ""}）`);
 	}
 	else {
 		const parsed = parseTarget(target);
@@ -314,7 +321,7 @@ export async function installCommand(target: string, opts: InstallOptions = {}):
 			else {
 				console.log(`[ojm] 未发现签名侧车（${path.basename(sigPath)}）——宿主验签硬 fail-closed，未签名包将被拒（sig_missing）；签名方法见 devkit「签名与信任」`);
 			}
-			const res = await fetchFn(`${base}/api/_platform/market/install`, {
+			const res = await fetchFn(`${base}/api/_platform/market/install${forceQ}`, {
 				method: "POST",
 				headers: { authorization: `Bearer ${token}`, ...tenantHeaders() },
 				body: form,
@@ -324,7 +331,7 @@ export async function installCommand(target: string, opts: InstallOptions = {}):
 		else {
 			if (opts.name !== undefined && opts.name !== parsed.name)
 				throw new Error(`[ojm] --name「${opts.name}」与目标「${parsed.name}」不一致——请二选一`);
-			response = await callApi<{ task_id: string }>(fetchFn, base, token, "POST", "/api/_platform/market/install", {
+			response = await callApi<{ task_id: string }>(fetchFn, base, token, "POST", `/api/_platform/market/install${forceQ}`, {
 				name: parsed.name,
 				version: opts.version ?? parsed.version,
 				source: "cdn",

package/src/keygen.ts

@@ -10,6 +10,7 @@ import path from "node:path";
 import process from "node:process";
 import { generateKeyPair } from "./lifecycle/keygen";
 import { fingerprintOfPublicKey } from "./lifecycle/sign";
+import { DEFAULT_SITE_URL, tenantHeaders, unwrapEnvelope } from "./site";
 
 export interface KeygenOptions {
 	/** 发布方 key_id（C2-37：<publisher>.<id> 全小写，禁裸通用名） */
@@ -67,3 +68,56 @@ export function keygenCommand(opts: KeygenOptions = {}): KeygenResult {
 	console.log(`[ojm] 下一步：ojm sign <pkg>.tgz --id ${keyId}（或 --key ${privateKeyPath} --id ${keyId}）`);
 	return { keyId, publicKeyHex: kp.publicKeyHex, fingerprint, dir, privateKeyPath, publicKeyPath };
 }
+
+/** 兑换结果：服务端下发身份（CLI 零推导——编码规则只在 templates 侧一份） */
+export interface ExchangedIdentity {
+	key_id: string
+	product: string
+	username: string
+	display_name: string | null
+}
+
+export interface ExchangeOptions {
+	/** 站点地址；flag > OJM_SITE_URL > DEFAULT_SITE_URL */
+	siteUrl?: string
+	/** 测试注入 */
+	fetchFn?: typeof fetch
+}
+
+/**
+ * 用一次性发布凭证换身份（匿名端点，不需要账号密码）。
+ *
+ * 只做「取回服务端算好的 key_id」——不做任何编码推导（规则漂移比多一次网络请求贵得多），
+ * 但**必须**校验拿回的 key_id 形状：它马上会被拼进 `~/.ojm/keys/<key_id>`，
+ * 一个被中间人改成 `../../x` 的响应就是任意路径写入。失败一律不落盘（调用方先兑换后生成）。
+ */
+export async function exchangePublishCredential(token: string, opts: ExchangeOptions = {}): Promise<ExchangedIdentity> {
+	const t = token.trim();
+	// 形状先挡：不是 64 位 hex 的输入连请求都不必发（与页面生成规则一致）
+	if (!/^[0-9a-f]{64}$/i.test(t))
+		throw new Error("[ojm] 发布凭证格式不对（应为 64 位十六进制）：请在站点「发布管理」页复制完整凭证");
+
+	const base = (opts.siteUrl ?? process.env.OJM_SITE_URL ?? DEFAULT_SITE_URL).replace(/\/+$/, "");
+	const fetchFn = opts.fetchFn ?? fetch;
+	let res: Response;
+	try {
+		res = await fetchFn(`${base}/api/publish/credential/exchange`, {
+			method: "POST",
+			headers: { "content-type": "application/json", ...tenantHeaders() },
+			body: JSON.stringify({ token: t }),
+		});
+	}
+	catch (e) {
+		throw new Error(`[ojm] 无法连接站点 ${base}：${e instanceof Error ? e.message : String(e)}——请确认站点地址（--site-url / OJM_SITE_URL）与网络`);
+	}
+	const data = await unwrapEnvelope(res) as Partial<ExchangedIdentity> | null;
+	const keyId = String(data?.key_id ?? "");
+	if (!isValidKeyId(keyId))
+		throw new Error(`[ojm] 站点返回的 key_id 非法（C2-37）：「${keyId}」——已中止，未写入任何密钥（请核对站点版本）`);
+	return {
+		key_id: keyId,
+		product: String(data?.product ?? ""),
+		username: String(data?.username ?? ""),
+		display_name: data?.display_name == null ? null : String(data.display_name),
+	};
+}

package/src/lifecycle/__tests__/bundle.test.ts

@@ -53,8 +53,8 @@ function makePrebuiltArtifacts(): void {
 	const apiDist = join(project, "dist/api/demo-solution-0.1.0");
 	mkdirSync(join(apiDist, "ping"), { recursive: true });
 	mkdirSync(join(apiDist, "migrations"), { recursive: true });
-	writeFileSync(join(apiDist, "manifest.yaml"), "name: demo-solution\ndesc: manifest.yaml 契约全字段合法夹具\nversion: 0.1.0\ntables:\n  - note\n");
-	writeFileSync(join(apiDist, "schema.yaml"), "tables:\n  note: {}\n");
+	writeFileSync(join(apiDist, "manifest.yaml"), "name: demo-solution\ndesc: manifest.yaml 契约全字段合法夹具\nversion: 0.1.0\ntables:\n  - demo_solution_note\n");
+	writeFileSync(join(apiDist, "schema.yaml"), "prefix: demo_solution_\ntables:\n  demo_solution_note: {}\n");
 	writeFileSync(join(apiDist, "routes.js"), "export {};\n");
 	writeFileSync(join(apiDist, "ping/api.js"), "export async function ping() {}\n");
 	// 站点构建产物（dist/web/modules/<name>/<version>/entry.js + css，对应 web.entry/css 声明）
@@ -317,11 +317,29 @@ describe("buildBundle · 校验先于打包（fail-fast）", () => {
 
 	it("c2-12a：api.tables 与 schema.yaml 表集不一致 → 构建期拒绝", async () => {
 		const m = readManifest();
-		m.api.tables = ["note", "ghost"];
+		m.api.tables = ["demo_solution_note", "ghost"];
 		writeManifest(m);
 		await expect(pack()).rejects.toThrow(/C2-12a/);
 	});
 
+	it("c2-12c：schema.yaml 缺 prefix / 表名未带方案前缀 → 构建期拒绝", async () => {
+		const schemaPath = join(project, "api/src/demo-solution/schema.yaml");
+		writeFileSync(schemaPath, "tables:\n  demo_solution_note: {}\n");
+		await expect(pack()).rejects.toThrow(/C2-12c.*prefix/);
+
+		writeFileSync(schemaPath, "prefix: demo_solution_\ntables:\n  note: {}\n");
+		await expect(pack()).rejects.toThrow(/C2-12c.*demo_solution_note/);
+	});
+
+	it("c2-12c：prefix 落在第一方保留段 → 构建期拒绝", async () => {
+		const m = readManifest();
+		m.api.tables = ["oj_note"];
+		writeManifest(m);
+		const schemaPath = join(project, "api/src/demo-solution/schema.yaml");
+		writeFileSync(schemaPath, "prefix: oj_\ntables:\n  oj_note: {}\n");
+		await expect(pack()).rejects.toThrow(/C2-12c.*保留段/);
+	});
+
 	it("c2-25：locales 缺引用 key → 构建期 fail-fast", async () => {
 		const m = readManifest();
 		m.roles[0].title_key = "demo-solution:role.absent";

package/src/lifecycle/__tests__/fixtures/fixture-valid/api/src/demo-solution/manifest.yaml

@@ -6,4 +6,4 @@ name: demo-solution
 desc: manifest.yaml 契约全字段合法夹具
 version: 0.1.0
 tables:
-  - note
+  - demo_solution_note

package/src/lifecycle/__tests__/fixtures/fixture-valid/api/src/demo-solution/migrations/0001__init.sql

@@ -1,5 +1,5 @@
--- 0001__init：建 note 表（与 schema.yaml 列集一致；oj migrate 按 seq 升序执行）
-CREATE TABLE IF NOT EXISTS note (
+-- 0001__init：建 demo_solution_note 表（与 schema.yaml 列集一致；oj migrate 按 seq 升序执行）
+CREATE TABLE IF NOT EXISTS demo_solution_note (
   id INTEGER PRIMARY KEY AUTOINCREMENT,
   title TEXT NOT NULL,
   create_time INTEGER NOT NULL

package/src/lifecycle/__tests__/fixtures/fixture-valid/api/src/demo-solution/schema.yaml

@@ -1,7 +1,10 @@
 # 声明式表结构（形态对齐 apps/playground-oj/api/src/demo/schema.yaml）。
-# 契约 C2-12：bundle manifest 的 api.tables 必须与本表 keys 一致（oj 冗余校验 fail-fast）。
+# C2-12c：prefix 必须 = 模块名 kebab→snake 再补尾部 `_`（demo-solution → demo_solution_），
+# 且每张表名以它开头——表名全库共享，前缀把归属编码进名字，避免方案之间撞表。
+prefix: demo_solution_
+# 契约 C2-12a：bundle manifest 的 api.tables 必须与本表 keys 一致（oj 冗余校验 fail-fast）。
 tables:
-  note:
+  demo_solution_note:
     pk: id
     columns:
       id: {type: integer, autoincrement: true}

package/src/lifecycle/__tests__/fixtures/fixture-valid/manifest.yaml

@@ -26,7 +26,7 @@ peerPlatform: '>=0.1.0' # C2-11（P2 起对宿主 API_VERSION 强制；本仓 AP
 api:
   module: demo-solution # C2-12（存在时必须 === name）
   prefix: /api/demo-solution # C2-13（默认形态显式写出）
-  tables: [note] # 与 schema.yaml 表集一致（oj 冗余校验同源）
+  tables: [demo_solution_note] # 与 schema.yaml 表集一致（oj 冗余校验同源）；表名带 C2-12c 前缀
   deps: # 键 = 模块名（C2-01 语法或 _platform）；值 = 范围算子语法
     _platform: '>=0.1.0'
   anonymous: # C2-26：首段 === 模块段；无登录语义端点

package/src/lifecycle/__tests__/manifest-contract.test.ts

@@ -14,7 +14,7 @@ import { parse } from "yaml";
 // 跨端引用（双端一致钉）：被测实现同仓分居两运行时（计划 §1「两运行时取舍」），
 // 测试直接互调，比「两套件各读同一夹具」更强——漂移即本文件红。
 import { preflight } from "../../../templates/src/app/api/_platform/_lifecycle/steps/preflight";
-import { checkLocalesComplete, checkTablesAgainstSchema, parseManifest, RESERVED_NAMES, reservedNameSuggestions, validateContract } from "../../manifest-contract";
+import { checkLocalesComplete, checkSchemaTablePrefix, checkTablesAgainstSchema, parseManifest, RESERVED_NAMES, reservedNameSuggestions, validateContract } from "../../manifest-contract";
 
 const FIXTURES = join(dirname(fileURLToPath(import.meta.url)), "fixtures");
 const readText = (p: string) => readFileSync(join(FIXTURES, p), "utf8");
@@ -214,19 +214,91 @@ describe("rEG-CS7 保留名扩项（红队 F5）", () => {
 describe("checkTablesAgainstSchema（C2-12a：构建 ✅ 对照 schema.yaml）", () => {
 	const SCHEMA = readText("fixture-valid/api/src/demo-solution/schema.yaml");
 
-	it("fixture-valid tables [note] 与 schema.yaml 表集一致 → 零违规", () => {
+	it("fixture-valid tables 与 schema.yaml 表集一致 → 零违规", () => {
 		expect(checkTablesAgainstSchema(structuredClone(VALID), SCHEMA)).toEqual([]);
 	});
 
 	it("tables 与 schema.yaml 表集不一致 → C2-12a 且指明差额", () => {
 		const m = structuredClone(VALID);
-		(m.api as any).tables = ["note", "ghost"];
+		(m.api as any).tables = ["demo_solution_note", "ghost"];
 		const v = checkTablesAgainstSchema(m, SCHEMA);
 		expect(v[0]).toContain("C2-12a");
 		expect(v[0]).toContain("ghost");
 	});
 });
 
+describe("checkSchemaTablePrefix（C2-12c：schema.yaml 表前缀）", () => {
+	const SCHEMA = readText("fixture-valid/api/src/demo-solution/schema.yaml");
+
+	it("fixture-valid 声明 prefix 且表名带前缀 → 零违规", () => {
+		expect(checkSchemaTablePrefix(SCHEMA)).toEqual([]);
+	});
+
+	it("允许自选短前缀（长模块名可用 crm_ 之类，不强制由模块名派生）", () => {
+		expect(checkSchemaTablePrefix("prefix: dm_\ntables:\n  dm_note: {}\n")).toEqual([]);
+	});
+
+	it("缺 prefix → C2-12c", () => {
+		const v = checkSchemaTablePrefix("tables:\n  demo_solution_note: {}\n");
+		expect(v[0]).toContain("C2-12c");
+		expect(v[0]).toContain("prefix");
+	});
+
+	it("prefix 不以 _ 结尾 → C2-12c 语法违规", () => {
+		const v = checkSchemaTablePrefix("prefix: demo_solution\ntables:\n  demo_solution_note: {}\n");
+		expect(v[0]).toContain("C2-12c");
+		expect(v[0]).toContain("_ 结尾");
+	});
+
+	it("prefix 超过 32 字符 → C2-12c（吃掉表名可用空间）", () => {
+		const long = `${"a".repeat(33)}_`;
+		const v = checkSchemaTablePrefix(`prefix: ${long}\ntables:\n  ${long}note: {}\n`);
+		expect(v[0]).toContain("C2-12c");
+		expect(v[0]).toContain("超过上限 32");
+	});
+
+	it("表名未带前缀 → C2-12c 并给出改名建议", () => {
+		const v = checkSchemaTablePrefix("prefix: demo_solution_\ntables:\n  note: {}\n");
+		expect(v[0]).toContain("C2-12c");
+		expect(v[0]).toContain("demo_solution_note");
+	});
+
+	it("表名总长边界：63 合法、64 拒绝（PostgreSQL 上限 63 字节）", () => {
+		const p = "ab_";
+		const name63 = `${p}${"c".repeat(60)}`; // 3 + 60 = 63
+		const name64 = `${p}${"c".repeat(61)}`; // 3 + 61 = 64
+		expect(name63.length).toBe(63);
+		expect(checkSchemaTablePrefix(`prefix: ${p}\ntables:\n  ${name63}: {}\n`)).toEqual([]);
+		const v = checkSchemaTablePrefix(`prefix: ${p}\ntables:\n  ${name64}: {}\n`);
+		expect(v[0]).toContain("C2-12c");
+		expect(v[0]).toContain("63 字符");
+	});
+
+	it("引用式方案（api.tables 缺省）也做前缀检查", () => {
+		const m = structuredClone(VALID);
+		delete (m.api as any).tables;
+		const v = checkTablesAgainstSchema(m, "tables:\n  note: {}\n");
+		expect(v[0]).toContain("C2-12c");
+	});
+
+	it("prefix 落在第一方保留段（oj_ / ojm_ 开头）→ C2-12c，整段禁用含派生形式", () => {
+		for (const p of ["oj_", "ojm_", "oj_crm_", "ojm_tools_"]) {
+			const v = checkSchemaTablePrefix(`prefix: ${p}\ntables:\n  ${p}note: {}\n`);
+			expect(v.some(x => x.includes("C2-12c") && x.includes("保留段"))).toBe(true);
+		}
+	});
+
+	it("自有前缀不落在保留段 → 零违规（保留段检查的对照）", () => {
+		expect(checkSchemaTablePrefix("prefix: crm_\ntables:\n  crm_note: {}\n")).toEqual([]);
+	});
+
+	it("_oj_ 因下划线开头只报语法违规，不重复报保留段", () => {
+		const v = checkSchemaTablePrefix("prefix: _oj_\ntables:\n  _oj_note: {}\n");
+		expect(v[0]).toContain("必须匹配");
+		expect(v.every(x => !x.includes("保留段"))).toBe(true);
+	});
+});
+
 describe("checkLocalesComplete（C2-25：构建期缺 key fail-fast）", () => {
 	const ZH = readText("fixture-valid/web/src/demo-solution/locales/zh-CN.json");
 	const EN = readText("fixture-valid/web/src/demo-solution/locales/en-US.json");

package/src/lifecycle/__tests__/smoke.test.ts

@@ -37,11 +37,11 @@ describe.skipIf(!smokeReady)("真机冒烟（需 OJM_SMOKE_URL/OJM_SMOKE_USER/OJ
 		const apiDist = join(project, "dist/api/demo-solution-0.1.0");
 		const { mkdirSync, writeFileSync } = await import("node:fs");
 		mkdirSync(join(apiDist, "ping"), { recursive: true });
-		// 迁移 SQL 随夹具 src 真源（0001__init.sql 建 note 表）；B-11 硬验收：appliedSeq > 0 可断言
+		// 迁移 SQL 随夹具 src 真源（0001__init.sql 建 demo_solution_note 表）；B-11 硬验收：appliedSeq > 0 可断言
 		cpSync(join(FIXTURE_VALID, "api/src/demo-solution/migrations"), join(apiDist, "migrations"), { recursive: true });
 		// schema.yaml 同随夹具真源（列集与迁移 SQL 一致）：oj migrate 在 apply 后跑 schema
 		// reconcile（migrate_cmd.rs migrate_one），声明缺列而实库多列 = Err——合成空列集会炸
-		writeFileSync(join(apiDist, "manifest.yaml"), "name: demo-solution\ndesc: manifest.yaml 契约全字段合法夹具\nversion: 0.1.0\ntables:\n  - note\n");
+		writeFileSync(join(apiDist, "manifest.yaml"), "name: demo-solution\ndesc: manifest.yaml 契约全字段合法夹具\nversion: 0.1.0\ntables:\n  - demo_solution_note\n");
 		cpSync(join(FIXTURE_VALID, "api/src/demo-solution/schema.yaml"), join(apiDist, "schema.yaml"));
 		writeFileSync(join(apiDist, "routes.js"), "export {};\n");
 		writeFileSync(join(apiDist, "ping/api.js"), "export async function ping() {}\n");

package/src/manifest-contract.ts

@@ -297,8 +297,8 @@ export function validateContract(m: unknown): string[] {
 			}
 			if (api.tables !== undefined) {
 				const t = api.tables;
-				if (!Array.isArray(t) || !t.every(x => typeof x === "string" && /^[a-z][a-z0-9_]{0,63}$/.test(x))) {
-					v0.push(v("C2-12a", "api.tables 每项必须匹配 ^[a-z][a-z0-9_]{0,63}$ 的字符串（与 api/src/<name>/schema.yaml 表集逐一相等另行对照）"));
+				if (!Array.isArray(t) || !t.every(x => typeof x === "string" && /^[a-z][a-z0-9_]{0,62}$/.test(x))) {
+					v0.push(v("C2-12a", "api.tables 每项必须匹配 ^[a-z][a-z0-9_]{0,62}$ 的字符串（≤63 字符：PostgreSQL 标识符上限 63 字节、MySQL 64 字符，取最严值；与 api/src/<name>/schema.yaml 表集逐一相等另行对照）"));
 				}
 			}
 			if (api.deps !== undefined) {
@@ -682,30 +682,113 @@ export function checkLocalesComplete(m: unknown, zhText: string, enText: string)
 	return out;
 }
 
+/** C2-12c prefix 语法：小写字母开头，仅小写字母/数字/下划线，且以 `_` 结尾 */
+const TABLE_PREFIX_RE = /^[a-z][a-z0-9_]*_$/;
+
+/**
+ * 第一方保留的表前缀段：oj 引擎 / ojm CLI 的命名空间。
+ *
+ * 框架表（_platform / auth / home / notification 下的 users / sys_* / wecom_* 等）保持裸名，
+ * 是保留的框架命名空间；方案表名一律带作者自选前缀，与框架表名天然不重叠。把 `oj_` / `ojm_`
+ * 整段留给第一方，防止方案先占用、日后框架想用时反被占（S002 归属图以表名为全局主键）。
+ * 按「段」保留（startsWith），不只禁精确值——整个命名空间都归第一方。
+ * 注：下划线开头的 `_oj_`（oj 内建账本 `_oj_migrations`）本就不满足 TABLE_PREFIX_RE，无需列举。
+ */
+const RESERVED_TABLE_PREFIX_SEGMENTS = ["oj_", "ojm_"];
+
+/**
+ * 跨库可移植的表名上限：PostgreSQL 标识符上限 63 **字节**（NAMEDATALEN-1），
+ * MySQL 是 64 字符、SQLite 无实际限制——取最严的 63。表名字符集限定 ASCII，
+ * 字符数 = 字节数，因此 63 字符在三种库上都安全。
+ */
+const MAX_TABLE_NAME_LEN = 63;
+
+/** 前缀上限：给表名留 ≥31 字符（63 - 32），避免前缀把表名的可用空间吃光 */
+const MAX_PREFIX_LEN = 32;
+
+/**
+ * C2-12c `schema.yaml` 的 `prefix` 与逐表前缀校验。
+ *
+ * 表名在**全库共享**（oj 归属图以表名为主键），前缀把模块归属编码进名字，
+ * 让两个独立发布的方案不会因为都叫 `note` 而在安装期 S002 拒启。
+ * 前缀由作者选择（短、可读、尽量全局唯一），不强制由模块名派生——长模块名
+ * 可以用 `crm_` 之类短前缀，避免表名被模块名拖到数据库上限之外。
+ *
+ * 入参为 schema.yaml 文本（fs 在调用方）。YAML 解析失败返回 []——那是 C2-12a
+ * 的判罚面，同一事故不重复报两遍。
+ */
+export function checkSchemaTablePrefix(schemaYamlText: string): string[] {
+	let doc: unknown;
+	try {
+		doc = parse(schemaYamlText);
+	}
+	catch {
+		return [];
+	}
+	if (!isObj(doc) || !isObj(doc.tables))
+		return []; // 缺 tables / 非映射由 C2-12a 报
+
+	const keys = Object.keys(doc.tables);
+	const out: string[] = [];
+	const prefix = doc.prefix;
+
+	if (prefix === undefined) {
+		out.push(v("C2-12c", "schema.yaml 缺 prefix：必须声明表前缀（如 prefix: crm_；小写字母开头、以 _ 结尾、≤32 字符，建议与方案名相关且全局唯一）；表名在全库共享，前缀把归属编码进名字，避免方案之间撞表"));
+	}
+	else if (typeof prefix !== "string" || !TABLE_PREFIX_RE.test(prefix)) {
+		out.push(v("C2-12c", `schema.yaml 的 prefix「${String(prefix)}」必须匹配 ^[a-z][a-z0-9_]*_$（小写字母开头、仅小写字母/数字/下划线、以 _ 结尾）`));
+	}
+	if (typeof prefix === "string" && prefix.length > MAX_PREFIX_LEN) {
+		out.push(v("C2-12c", `schema.yaml 的 prefix「${prefix}」长 ${prefix.length} 字符，超过上限 ${MAX_PREFIX_LEN}——表名总长须 ≤${MAX_TABLE_NAME_LEN}，前缀过长会吃掉表名可用空间；请改用更短的方案前缀（如 crm_）`));
+	}
+	if (typeof prefix === "string" && TABLE_PREFIX_RE.test(prefix)) {
+		const seg = RESERVED_TABLE_PREFIX_SEGMENTS.find(s => prefix.startsWith(s));
+		if (seg !== undefined) {
+			out.push(v("C2-12c", `schema.yaml 的 prefix「${prefix}」落在第一方保留段「${seg}*」——oj 引擎 / ojm CLI 的表命名空间由框架独占，方案不得占用，请改用自有前缀（如 crm_、acme_）`));
+		}
+	}
+
+	if (typeof prefix === "string" && prefix !== "") {
+		const offenders = keys.filter(k => !k.startsWith(prefix));
+		if (offenders.length > 0) {
+			out.push(v("C2-12c", `表名必须以本方案前缀「${prefix}」开头：${offenders.map(k => `「${k}」→「${prefix}${k}」`).join("、")}`));
+		}
+	}
+	// 表名语法/总长（引用式方案没有 api.tables 语法列兜底，这里一并查）
+	const malformed = keys.filter(k => !/^[a-z][a-z0-9_]{0,62}$/.test(k));
+	if (malformed.length > 0) {
+		out.push(v("C2-12c", `schema.yaml 表名必须匹配 ^[a-z][a-z0-9_]{0,62}$（小写字母开头，仅小写字母/数字/下划线，≤${MAX_TABLE_NAME_LEN} 字符——PostgreSQL 上限 63 字节、MySQL 64 字符，取最严值）：${malformed.join("、")}`));
+	}
+	return out;
+}
+
 /**
- * C2-12a api.tables 与 `api/src/<name>/schema.yaml` 表集逐一相等（oj 冗余校验同源，不一致 fail-fast）。
+ * C2-12a api.tables 与 `api/src/<name>/schema.yaml` 表集逐一相等（oj 冗余校验同源，不一致 fail-fast）；
+ * 同时执行 C2-12c 表前缀校验——引用式方案（api.tables 缺省）只要 schema.yaml 存在也必须带前缀。
  * 入参为 schema.yaml 文本（fs 在调用方）。
  */
 export function checkTablesAgainstSchema(m: unknown, schemaYamlText: string): string[] {
+	const prefixViolations = checkSchemaTablePrefix(schemaYamlText);
+
 	if (!isObj(m) || !isObj(m.api) || m.api.tables === undefined)
-		return [];
+		return prefixViolations;
 	const declared = m.api.tables;
 	if (!Array.isArray(declared))
-		return []; // 语法违规归 validateContract（C2-12a 语法列），此处只对照表集
+		return prefixViolations; // 语法违规归 validateContract（C2-12a 语法列），此处只对照表集
 	let schemaTables: unknown;
 	try {
 		const doc = parse(schemaYamlText);
 		schemaTables = isObj(doc) ? doc.tables : undefined;
 	}
 	catch {
-		return [v("C2-12a", "schema.yaml 不是合法 YAML，无法对照 api.tables 表集")];
+		return [...prefixViolations, v("C2-12a", "schema.yaml 不是合法 YAML，无法对照 api.tables 表集")];
 	}
 	if (!isObj(schemaTables)) {
-		return [v("C2-12a", "schema.yaml 缺 tables 映射，无法对照 api.tables 表集（oj 冗余校验同源）")];
+		return [...prefixViolations, v("C2-12a", "schema.yaml 缺 tables 映射，无法对照 api.tables 表集（oj 冗余校验同源）")];
 	}
 	const schemaKeys = new Set(Object.keys(schemaTables));
 	const declaredKeys = new Set(declared.filter(x => typeof x === "string"));
-	const out: string[] = [];
+	const out: string[] = [...prefixViolations];
 	const missingInSchema = [...declaredKeys].filter(k => !schemaKeys.has(k));
 	const undeclaredInManifest = [...schemaKeys].filter(k => !declaredKeys.has(k));
 	if (missingInSchema.length > 0) {

package/src/market/bootstrap.ts

@@ -69,6 +69,14 @@ export interface IsolatedSite {
 	cleanup: () => Promise<void>
 	/** 销毁清单（--keep 时给人看这里到底有什么） */
 	teardownReport: () => string[]
+	/**
+	 * 重启隔离站点 oj serve（停当前进程，按同一派生 config 重新起站）。
+	 * 用途：无守护形态安装会落 partial（vars/auth 等冻结段热改属 restart_pending，需进程
+	 * 重启才激活）。walkthrough 在每次安装后置重启，模拟真实「部署 → 重启」时序，让模块真正
+	 * 上线（路由/匿名端点注册），使后续深检/升级/重装断言落到活跃态而非空洞的 partial。
+	 * token 仍有效（jwt_secret 落在 config 文件，重启不变）；DB 在同根，会话延续。
+	 */
+	restart: () => Promise<void>
 }
 
 export interface BootstrapOptions {
@@ -178,8 +186,13 @@ export async function bootstrapIsolatedSite(opts: BootstrapOptions = {}): Promis
 	// 隔离站点直接预置被测方案的探活路径——与 scripts/verify-solution-smoke/bootstrap-host.mjs 同手法，
 	// 让 trial 验的是安装机制本身，而不是重启时序。
 	const healthPath = `/${parseFixtureSpec(opts.fixture).name}/ping`;
-	if (!cfg.includes(`- ${healthPath}`))
-		cfg = cfg.replace(/^(\s*)- \/system\/login-methods$/m, `$1- /system/login-methods\n$1- ${healthPath}`);
+	// 锚点行可能带行内注释与缩进（模板 config.yaml 的 /system/login-methods 即如此），
+	// 故用 lookahead 容忍尾注释；命中第一个 anonymous_paths 列表项（auth 守卫读取的那个，
+	// 与安装器 appendAnonymousPaths 同目标）即可——旧写法用 `$` 硬锚尾，注释使其失配导致预置
+	// 静默失效，安装器随后自己补匿名路径 → auth 进 restart_pending → 无守护形态判 partial。
+	const loginAnchor = /^(\s*)- \/system\/login-methods(?=\s*(?:#.*)?$)/m;
+	if (loginAnchor.test(cfg) && !cfg.includes(`- ${healthPath}`))
+		cfg = cfg.replace(loginAnchor, `$1- /system/login-methods\n$1- ${healthPath}`);
 	// fs 段：模板自 0.2.13 起已自带（安装器落盘面）；旧模板没有时才补，避免重复键
 	if (!/^fs:/m.test(cfg))
 		cfg = `${cfg.trimEnd()}\nfs:\n  root: .\n  readonly: false\n`;
@@ -237,6 +250,16 @@ export async function bootstrapIsolatedSite(opts: BootstrapOptions = {}): Promis
 	process.on("SIGINT", onSignal);
 	process.on("SIGTERM", onSignal);
 
+	// 重启：停当前进程后按同一派生 config 重新起站（激活冻结段）；cleanup 持有的是本作用域的
+	// `oj` 变量引用，故重启后 cleanup 停的是新进程（闭包捕获变量，非值）。
+	const restart = async () => {
+		log("[ojm] 隔离站点重启 oj serve（激活冻结段 auth/vars）…");
+		await oj.stop();
+		oj = starter(configPath, "/api", resolveLayout(root).apiDist);
+		await oj.ready;
+		log(`[ojm] 隔离站点重启就绪：http://127.0.0.1:${port}（根 ${root}）`);
+	};
+
 	return {
 		root,
 		port,
@@ -249,6 +272,7 @@ export async function bootstrapIsolatedSite(opts: BootstrapOptions = {}): Promis
 		admin: { user: SEED_ADMIN_USER, pass: SEED_ADMIN_PASS },
 		cleanup,
 		teardownReport: () => teardownReport(root, port),
+		restart,
 	};
 }
 

package/src/market/command.ts

@@ -109,6 +109,7 @@ export async function marketCommand(sub: string, argv: string[]): Promise<void>
 				key: flags.key,
 				check: flags.check,
 				registryId: flags.registryId,
+				rebuildIndex: flags.rebuildIndex === true,
 			});
 			if (flags.rebuildIndex === true)
 				await buildIndex({ id: flags.id, key: flags.key, check: flags.check });

package/src/market/publish.ts

@@ -38,6 +38,8 @@ export interface MarketPublishOptions {
 	check?: boolean
 	/** 签发方 registry 身份（REG-CS3 v2 防跨仓库重放；透传 signCommand --registry-id） */
 	registryId?: string
+	/** 命令层是否紧接着重建索引（仅用于措辞：true 时不打印「索引未重建」） */
+	rebuildIndex?: boolean
 }
 
 export interface MarketPublishResult {
@@ -88,7 +90,9 @@ export async function publishPackage(opts: MarketPublishOptions = {}): Promise<M
 		const size = fs.statSync(tgzPath).size;
 		console.log(`[ojm] 包已落 CDN → ${path.relative(projectRoot, tgzPath)}（${size} 字节）`);
 		console.log(`[ojm] 发布方 ${signed.keyId}；指纹 ${signed.fingerprint}`);
-		console.log("[ojm] 索引未重建：多人场景请由维护者跑 ojm market build-index");
+		// 带了 --rebuild-index 时由命令层紧接着重建索引，这里不能再报「未重建」（否则前后两句自相矛盾）
+		if (opts.rebuildIndex !== true)
+			console.log("[ojm] 索引未重建：多人场景请由维护者跑 ojm market build-index");
 
 		return {
 			name,