@oj-module/cli 0.2.68 → 0.2.71

package/templates/src/.ojm-builtin.json

@@ -0,0 +1,13 @@
+{
+	"//": "由 ojm init 生成（名单派生自模板白名单）。可手改/删除：删名 = 该模块恢复参与打包与 ojm info 显示；删整个文件 = 退化为无内置概念。",
+	"modules": [
+		"_platform",
+		"app",
+		"auth",
+		"notification",
+		"personal-center",
+		"publish",
+		"system",
+		"web"
+	]
+}

package/templates/src/README.md

@@ -4,8 +4,11 @@
 
 ## 框架自带的模块（不许改）
 
-- `src/app/` —— 框架内置页面与后端（登录、首页、个人中心、通知、系统管理、认证等）
-- `src/oj-market/` —— 解决方案市场
+- `src/app/` —— 框架内置页面与后端（登录、首页、个人中心、通知、系统管理、方案安装、认证等）
+- `src/oj-market/` —— 解决方案市场的**编排面**：`/api/oj-market/*` 端点（安装/目录/下线/信任/
+  回填）随脚手架内置；市场 UI 本身是第一方**方案包**（出厂未装）——superadmin 经
+  system 域「方案安装」首装，`ojm init --yes` 落位的随站 bundle 由首个市场请求自动收敛
+  （上拉不下拉）。这一层只有 api 与生成物 `__client`，没有页面源码。
 
 它们由上游统一维护、跟着框架版本走。**请不要修改、也不要删除这里的文件**：
 

package/templates/src/app/api/_platform/README.md

@@ -17,11 +17,12 @@
    - `domain/`：管理域共享服务（多模块共用的「系统管理」域逻辑，所有权归 `_platform` 的 `sys_*` 表）
      - `users.ts` / `roles.ts` / `settings.ts` / `solution-perms.ts` / `contacts.ts`
 2. **`_lifecycle/`** —— 方案生命周期引擎（安装/卸载/注册/验签/信任的声明式状态机，
-   与编排端点 `market/api.ts` 职责分离，见 `market/api.ts` 顶部 ISP 注释）。
+   与编排端点（市场域 api 已迁 oj-market 模块，见下）职责分离。
 3. **编排 API 面** —— 经 oj 扫描 `src/**/api.ts` 暴露，路径前缀即目录名：
    - `contacts/api.ts` → `/api/_platform/contacts`
-   - `market/api.ts` → `/api/_platform/market`（方案市场，全 superadmin 门禁，R9）
    - `solutions/api.ts` → `/api/_platform/solutions`（方案路由/验签数据源）
+   - 市场域 api（方案市场/发布推送/生命周期编排/信任库）自 v4 起迁 `src/oj-market/api/`
+     → `/api/oj-market/*`（模块 manifest 声明 `deps: [_platform]`；表与引擎仍归本内核）
 
 ## 边界约定
 

package/templates/src/app/api/_platform/_lifecycle/atomic.ts

@@ -75,7 +75,8 @@ export function fsFace(): FsFace {
 
 const encoder = new TextEncoder();
 
-export async function atomicWriteText(path: string, content: string): Promise<void> {
+/** 字节原子写（上传端点落 tgz/.sig 用）：同目录 tmp + rename，语义同 atomicWriteText */
+export async function atomicWriteBytes(path: string, data: Uint8Array): Promise<void> {
 	const f = fsFace();
 	// tmp 与目标同目录：保证 rename 不跨文件系统；随机后缀防并发写者互踩同一 tmp
 	const slash = path.lastIndexOf("/");
@@ -86,7 +87,7 @@ export async function atomicWriteText(path: string, content: string): Promise<vo
 		await f.mkdir(dir, { recursive: true });
 	}
 	try {
-		await f.writeFile(tmp, encoder.encode(content));
+		await f.writeFile(tmp, data);
 		await f.rename(tmp, path);
 	}
 	catch (e) {
@@ -99,3 +100,7 @@ export async function atomicWriteText(path: string, content: string): Promise<vo
 		throw e;
 	}
 }
+
+export async function atomicWriteText(path: string, content: string): Promise<void> {
+	await atomicWriteBytes(path, encoder.encode(content));
+}

package/templates/src/app/api/_platform/_lifecycle/bundle-converge.ts

@@ -0,0 +1,158 @@
+// 随站 bundle 启动收敛（Phase B T3b，方案 §5「上拉不下拉」）：
+//   未装 → install；bundle > 已装 → upgrade；bundle ≤ 已装 → skip。
+// bundle < 已装 是市场轨（用户经方案市场升过更高版本）的正常漂移态——不降级，
+// 对齐 rollbackGuard 禁降版红线 OJ-9（降级唯一入口 = 站点回滚）。
+//
+// 挂点裁决（T3b）：oj 启动段 ext_boot 有 2s 看门狗（oj-bin runtime.rs BOOT_TIMEOUT，
+// terminate 的是正被借出跑请求的 isolate），安装全程（解压/迁移/重装配）不可在 boot
+// 内跑——收敛编排由首个编排 API 请求触发（index 端点「对账即服务」先例），每次调用
+// 幂等：已对齐即全 skip（只剩 marker/状态两次读）。单条目失败记 failed 续跑，不抛。
+
+import { atomicWriteText, fsFace } from "./atomic";
+import { compareVersions } from "./semver";
+import { createStateStore } from "./state";
+
+export type BundleConvergePlan = "install" | "upgrade" | "skip";
+
+export function bundleConvergePlan(installed: string | null, bundle: string): BundleConvergePlan {
+	if (installed === null)
+		return "install";
+	return compareVersions(bundle, installed) > 0 ? "upgrade" : "skip";
+}
+
+/** 意图标记条目（init --yes 写 cdn/bundles.json；file = cdn/ 内 tgz 文件名） */
+export interface BundledEntry {
+	name: string
+	version: string
+	file: string
+}
+
+/** 安装闭包注入面：字节 + 旁车签名的本地归档安装（manifest 组装 + runInstall 在调用方） */
+export interface BundleConvergeEnv {
+	/** 意图标记路径（缺省 <cdnDir>/bundles.json，调用方可显式传） */
+	markerPath: string
+	/** 本地字节仓库目录 */
+	cdnDir: string
+	/** sidecar 状态文件（读已装版本） */
+	statePath: string
+	installLocal: (entry: BundledEntry, archive: { bytes: Uint8Array, sig: unknown | null }) => Promise<void>
+	/** 失败冷却文件（可选；调用方启用才有冷却，缺省每次请求重试——测试与轻量场景） */
+	cooldownPath?: string
+	/** 当前时刻 epoch ms（测试注入；缺省 Date.now） */
+	now?: () => number
+}
+
+export interface BundleConvergeResult {
+	installed: string[]
+	upgraded: string[]
+	skipped: string[]
+	failed: string[]
+	/** 冷却窗内跳过（上次失败未满 10 分钟；调用方据此可观测连续失败） */
+	cooling: string[]
+}
+
+/** 失败冷却窗：持久失败条目每次 index 请求全量重装是重试风暴——窗内不再重试（终审 Important-2） */
+const COOLDOWN_MS = 10 * 60 * 1000;
+
+/** 读冷却表（缺省 {}）；文件损坏按空表对待（冷却失效 = 保守重试，不阻断收敛） */
+async function readCooldown(cooldownPath: string): Promise<Record<string, number>> {
+	try {
+		const parsed: unknown = JSON.parse(new TextDecoder().decode(await fsFace().readFile(cooldownPath)));
+		if (parsed !== null && typeof parsed === "object")
+			return Object.fromEntries(Object.entries(parsed as Record<string, unknown>).filter(([, v]) => typeof v === "number")) as Record<string, number>;
+	}
+	catch {}
+	return {};
+}
+
+/**
+ * 卸载墓碑（终审 Important-1）：方案被 superadmin 卸载时，调用方摘除其在意图标记里
+ * 的条目——否则「未装→装」收敛会把故意卸载当漂移纠正，下次 index 请求全自动重装，
+ * 计划特性 2「卸载后仅可经 system 域入口重装」落空。marker 缺失/损坏安静 no-op。
+ */
+export async function pruneBundledMarker(markerPath: string, name: string): Promise<void> {
+	const entries = await readMarker(markerPath);
+	if (entries === null)
+		return;
+	const rest = entries.filter(e => e.name !== name);
+	if (rest.length === entries.length)
+		return;
+	await atomicWriteText(markerPath, `${JSON.stringify({ solutions: rest }, null, "\t")}\n`);
+}
+
+/** 读 marker：缺失/损坏/空清单 → null（零动作，旧工程与无 bundle 站点的安静态） */
+async function readMarker(markerPath: string): Promise<BundledEntry[] | null> {
+	let text: string;
+	try {
+		text = new TextDecoder().decode(await fsFace().readFile(markerPath));
+	}
+	catch {
+		return null;
+	}
+	try {
+		const parsed: unknown = JSON.parse(text);
+		const list = (parsed as { solutions?: unknown }).solutions;
+		if (!Array.isArray(list) || list.length === 0)
+			return null;
+		const out: BundledEntry[] = [];
+		for (const raw of list) {
+			const e = raw as Partial<BundledEntry>;
+			if (typeof e?.name === "string" && typeof e.version === "string" && typeof e.file === "string")
+				out.push({ name: e.name, version: e.version, file: e.file });
+		}
+		return out.length === 0 ? null : out;
+	}
+	catch {
+		return null; // 损坏 marker 不当场修（下次 init --yes 重写），收敛静默跳过
+	}
+}
+
+/** 跑一遍对账（幂等；由编排 API 请求面调用，如 oj-market index 端点） */
+export async function convergeBundledSolutions(env: BundleConvergeEnv): Promise<BundleConvergeResult> {
+	const result: BundleConvergeResult = { installed: [], upgraded: [], skipped: [], failed: [], cooling: [] };
+	const entries = await readMarker(env.markerPath);
+	if (entries === null)
+		return result;
+	const state = (await createStateStore(env.statePath)).read();
+	const now = env.now ?? (() => Date.now());
+	let cooldown: Record<string, number> | null = null;
+	if (env.cooldownPath !== undefined)
+		cooldown = await readCooldown(env.cooldownPath);
+	for (const entry of entries) {
+		const label = `${entry.name}@${entry.version}`;
+		const plan = bundleConvergePlan(state.solutions[entry.name]?.version ?? null, entry.version);
+		if (plan === "skip") {
+			result.skipped.push(label);
+			continue;
+		}
+		if (cooldown !== null && now() - (cooldown[entry.name] ?? 0) < COOLDOWN_MS) {
+			result.cooling.push(label);
+			continue;
+		}
+		try {
+			const bytes = new Uint8Array(await fsFace().readFile(`${env.cdnDir}/${entry.file}`));
+			let sig: unknown | null = null;
+			try {
+				sig = JSON.parse(new TextDecoder().decode(await fsFace().readFile(`${env.cdnDir}/${entry.file}.sig`)));
+			}
+			catch {
+				sig = null; // 无旁车 → null，验签 fail-closed 由安装器 verify 段裁决（六码分流）
+			}
+			await env.installLocal(entry, { bytes, sig });
+			result[plan === "install" ? "installed" : "upgraded"].push(label);
+			if (cooldown !== null && cooldown[entry.name] !== undefined) {
+				delete cooldown[entry.name];
+				await atomicWriteText(env.cooldownPath!, JSON.stringify(cooldown));
+			}
+		}
+		catch (e) {
+			// 降级不阻断：记 failed 续跑；冷却窗内（若启用）不再重试
+			result.failed.push(`${label}（${e instanceof Error ? e.message : String(e)}）`);
+			if (cooldown !== null) {
+				cooldown[entry.name] = now();
+				await atomicWriteText(env.cooldownPath!, JSON.stringify(cooldown));
+			}
+		}
+	}
+	return result;
+}

package/templates/src/app/api/_platform/_lifecycle/history.ts

@@ -1,5 +1,6 @@
 // market_history 留痕（P1-15a 缺口 A，P4 上收 _platform）：install / enable / disable / uninstall
-// 四类动作共用的平台级留痕出口（前端 HistoryDrawer 消费面）。表由 _platform 自带迁移创建
+// 四类动作共用的平台级留痕出口（前端 HistoryDrawer 消费面）；v4 起 publish（签名推送）/
+// yank（目录下线）同通道留痕（成败俱记）。表由 _platform 自带迁移创建
 // （0012__market_history），归平台核心所有；守卫式 insert 仍兜底表缺失/写失败，静默跳过，
 // 不阻断主流程（历史是观测面，不是业务正确性依赖；与终态审计附录 B-5 同语义）。
 // 参数化 insert，与 audit.ts 同纪律（值不拼字符串）。
@@ -10,7 +11,7 @@ declare const db: { exec: (sql: string, params: unknown[]) => Promise<unknown>,
 export interface HistoryRow {
 	solution: string
 	version: string
-	action: "install" | "enable" | "disable" | "uninstall"
+	action: "install" | "enable" | "disable" | "uninstall" | "publish" | "yank" | "unyank"
 	status: string
 	/** 操作人（用户名；编排层可得则传，缺省 null） */
 	operator: string | null

package/templates/src/app/api/_platform/_lifecycle/installer.ts

@@ -234,12 +234,13 @@ async function lockCommitStage(req: InstallRequest): Promise<StageResult> {
 	// 留在 staging（deploying_web 段消费）。无 api 段（web-only 包，extracting C2-31 已放行）
 	// 回退整体 rename——版本目录 = 包内容（无 serve 装配面的残留形态）。
 	let src = req.staging;
+	let hasApiModule = true;
 	try {
 		await f.readdir(`${req.staging}/api/${req.name}-${req.version}`);
 		src = `${req.staging}/api/${req.name}-${req.version}`;
 	}
 	catch {
-		// 无 api 段：整体 rename
+		hasApiModule = false; // 无 api 段：整体 rename
 	}
 	try {
 		await f.rename(src, versionDir);
@@ -247,6 +248,14 @@ async function lockCommitStage(req: InstallRequest): Promise<StageResult> {
 	catch (e) {
 		return { stage: "lock_commit", ok: false, retryable: true, message: `生效切换失败：${src} rename 失败（${String(e)}）——附录 A lock_commit：请稍后重试` };
 	}
+	if (!hasApiModule) {
+		// web-only 包 api 锁零变更（2026-11-07 市场线演练实锤）：锁是 oj 装配真源（按原生七键
+		// 清单 parse_one），写锁会让 oj 拿 C2 方案清单当模块清单装配（reload 400），且双轨同名
+		// （第一方 oj-market 方案 vs 平台内建 oj-market 编排模块）锁条目会遮蔽内建模块。
+		// 生效面 = modules.json upsert + 路由/角色注册 + sidecar；版本目录归位作回滚素材/审计形态
+		// （web-only 降级不走市场回滚——OJ-9：降级唯一入口 = 站点回滚，双轨裁决）。
+		return { stage: "lock_commit", ok: true, message: `生效切换完成：${src} → ${versionDir} 就位（web-only 包：api 锁零变更，不遮蔽同名内建模块）` };
+	}
 	const c = await commitLockEntry(`${req.sharedRoot}/manifests.yaml`, req.name, req.version);
 	if (!c.ok) {
 		// 锁写失败回退 rename（锁未变则多余版本目录撤回，由锁前清场统一删；回退失败由 reconcile 兜底，D11）
@@ -337,15 +346,26 @@ async function deployWebStage(req: InstallRequest): Promise<StageResult> {
 	const web = isObj(m.web) ? m.web : undefined;
 	const entry = web !== undefined && typeof web.entry === "string" ? web.entry : undefined;
 	let integrity: string | undefined;
+	// web-only 包（无 api 段）：lock_commit 回退「staging 整体 rename → 版本目录」（版本目录 = 包内容
+	// 形态，B-11 注释面），web 树随之归位版本目录、staging 已不存在——部署段须从版本目录消费
+	// （2026-11-07 市场线演练实锤：整体 rename 后 staging/web 读空致 deploying_web 必败）。
+	let stagingDir = req.staging;
 	if (entry !== undefined) {
 		try {
-			integrity = `sha384-${req.sha384B64(await fsFace().readFile(`${req.staging}/web/${entry}`))}`;
+			integrity = `sha384-${req.sha384B64(await fsFace().readFile(`${stagingDir}/web/${entry}`))}`;
 		}
-		catch (e) {
-			return { stage: "deploying_web", ok: false, retryable: false, message: `部署失败：web.entry「${entry}」在 staging 不可读（${String(e)}）——manifest 与产物错配（R10）` };
+		catch {
+			const versionDir = `${req.sharedRoot}/${req.name}-${req.version}`;
+			try {
+				integrity = `sha384-${req.sha384B64(await fsFace().readFile(`${versionDir}/web/${entry}`))}`;
+				stagingDir = versionDir;
+			}
+			catch (e) {
+				return { stage: "deploying_web", ok: false, retryable: false, message: `部署失败：web.entry「${entry}」在 staging 与版本目录均不可读（${String(e)}）——manifest 与产物错配（R10）` };
+			}
 		}
 	}
-	return deployWeb({ ...req, stagingDir: req.staging, integrity });
+	return deployWeb({ ...req, stagingDir, integrity });
 }
 
 /** `ojm preview` 派生的 config 文件名（与 CLI 侧 preview-config.ts 的 PREVIEW_CONFIG_NAME 逐字一致） */

package/templates/src/app/api/_platform/_lifecycle/local-archive.ts

@@ -0,0 +1,61 @@
+// 本地归档 manifest 补全（Phase B T3b 抽取：installBody file 源与 bundle 收敛共用）。
+// ojm build --bundle 产物的包内 manifest 是 Form A（archive 仅 file，sha256/size 由
+// publish 填充于 Form B），而安装器 verify 段对 archive.sha256 fail-closed——字节在手
+// 的本地安装（multipart 上传 / 随站 bundle）须在安装时点补摘要成可校验清单
+// （verify 复核同批字节，R10 语义保持；CDN 源不受影响，Form B 真源自带摘要）。
+// 正名（P2-11 索引投毒加固）：archive.file 逐字 <name>-<version>.tgz——name(C2-01)/
+// version（无路径分隔符）拼出的单文件名安全时即正名；否则退回常量名（此刻尚未过预检，
+// 恶意命名不提前拒也不给穿越面——预检稍后照拒）。
+// detached 侧车签名注入（P2-3，G4 补裁）：与 Form B archive.signature 同结构注入，
+// verify 段统一验签（六码分流）；sig 为 null（无旁车）时不注入，验签 fail-closed
+// 由 verify 段按 sig_missing 裁决，本层不预判。
+
+import type { ExecFace } from "./steps/extract";
+import { manifestOfUpload } from "./manifest-of-upload";
+
+export interface LocalArchivePrep {
+	/** 暂存目录（与安装器 staging 同纪律） */
+	stagingDir: string
+	/** exec 面（tar 列表/解包） */
+	exec: ExecFace
+	/** sha256 摘要面（archive 补摘要） */
+	sha256Hex: (data: Uint8Array) => string
+}
+
+export interface LocalArchiveInput {
+	/** 身份权威名（body/标记权威，包内 manifest 兜底；冲突即拒） */
+	name: string
+	/** 期望版本（null = 以包内 manifest.version 为准） */
+	reqVersion: string | null
+	/** tgz 字节 */
+	bytes: Uint8Array
+	/** detached 侧车签名（已解析的 SidecarSig 形状；null = 无旁车） */
+	sig: unknown | null
+}
+
+export interface LocalArchiveManifest {
+	manifest: Record<string, unknown>
+	version: string
+}
+
+export async function localArchiveManifestOf(prep: LocalArchivePrep, input: LocalArchiveInput): Promise<LocalArchiveManifest> {
+	const manifest: unknown = await manifestOfUpload({ stagingDir: prep.stagingDir, bytes: input.bytes, exec: prep.exec });
+	const m = (manifest !== null && typeof manifest === "object" ? manifest : {}) as Record<string, unknown>;
+	// 身份：入参权威、manifest 兜底；两者俱在且冲突即拒（防锁名/注册名分叉的坏装）
+	const mVersion = typeof m.version === "string" ? m.version : "";
+	if (input.reqVersion !== null && mVersion !== "" && mVersion !== input.reqVersion)
+		throw Object.assign(new Error(`期望版本「${input.reqVersion}」与包内 manifest.version「${mVersion}」不一致——请核对分发包`), { status: 400 });
+	const mName = typeof m.name === "string" ? m.name : "";
+	if (mName !== "" && mName !== input.name)
+		throw Object.assign(new Error(`期望 name「${input.name}」与包内 manifest.name「${mName}」不一致——请核对分发包`), { status: 400 });
+	if (input.reqVersion === null && mVersion === "")
+		throw Object.assign(new Error("version 不可得（期望版本与包内 manifest.version 均缺失）"), { status: 400 });
+	const version = input.reqVersion ?? mVersion;
+	const namedFile = /^[a-z][a-z0-9-]{0,63}$/.test(input.name) && /^[0-9A-Z.-]+$/i.test(version) && !version.includes("..")
+		? `${input.name}-${version}.tgz`
+		: "upload.tgz";
+	m.archive = { file: namedFile, sha256: prep.sha256Hex(input.bytes), size: input.bytes.byteLength };
+	if (input.sig !== null)
+		m.archive = { ...(m.archive as Record<string, unknown>), signature: input.sig };
+	return { manifest: m, version };
+}

package/templates/src/app/api/_platform/_lifecycle/manifest-of-upload.ts

@@ -0,0 +1,62 @@
+// 上传包 manifest 抽取共享管线（v4 §二：上传端点与回填命令同一抽取实现，勿各写一遍）。
+// R1 三步范式（list→validate→extract）+ REG-CS8 体积闸（validate 与 extract 之间，
+// 零解压零落盘拒解压炸弹）+ 解包扁平化 + manifest.yaml 解析。
+// 原实现位于 market/api.ts manifestOfUpload（file 源安装用）；上传端点落地时上收此处，
+// 两侧共用。错误口径：带 status 的可读失败（respond 收口成 json.fail，D14/B5 同通道）。
+
+import type { ExecFace } from "./steps/extract";
+import { fsFace } from "./atomic";
+import { flattenBundleRoot } from "./steps/extract";
+import { checkTarVolumeLimits, validateTarListing } from "./tgz-guard";
+
+/** 带 status 的可读失败（respond 收口：err.status → json.fail） */
+function fail(status: number, msg: string): never {
+	throw Object.assign(new Error(msg), { status });
+}
+
+export interface ManifestOfUploadInput {
+	/** 暂存目录（与安装器 staging 同纪律：包体落 upload.tgz 后解包，文件名常量无用户输入） */
+	stagingDir: string
+	/** 上传字节（tgz 包体） */
+	bytes: Uint8Array
+	/** exec 面（tar 列表/解包；注入 stub 不真跑） */
+	exec: ExecFace
+}
+
+/**
+ * 抽取包内嵌 manifest 对象。校验序：
+ * ① tar -tvzf 列表（损坏包 400）→ ② validateTarListing（zip-slip 拒收 400）→
+ * ③ checkTarVolumeLimits（体积闸 413，零解压零落盘）→ ④ tar -xzf 解包（失败 400）→
+ * ⑤ flattenBundleRoot（单根目录包扁平化）→ ⑥ manifest.yaml 解析（不可解析 400）。
+ */
+export async function manifestOfUpload(input: ManifestOfUploadInput): Promise<unknown> {
+	const f = fsFace();
+	const staged = `${input.stagingDir}/upload.tgz`; // 常量名不含用户输入，无穿越面
+	await f.mkdir(input.stagingDir, { recursive: true });
+	await f.writeFile(staged, input.bytes);
+	const listed = await input.exec.run(["tar", "-tvzf", staged]);
+	if (listed.code !== 0)
+		fail(400, `上传包列表失败（tar -tvzf）：${(listed.stderr || listed.stdout).trim()}——包体损坏？`);
+	// 铁律②：tar 输出恒带尾随换行，先 trim 尾部空行再 split（extract.ts 同款）
+	const lines = listed.stdout.replace(/\n+$/, "").split("\n");
+	const v = validateTarListing(lines);
+	if (!v.ok)
+		fail(400, `上传包含非法成员「${v.offender}」——R1 zip-slip 防护拒收（list→validate→extract 三步范式）`);
+	// REG-CS8 体积闸：清单在手即拒解压炸弹，先于一切解压/落盘动作
+	const vol = checkTarVolumeLimits(lines);
+	if (!vol.ok) {
+		const label = vol.code === "too_many_entries" ? "条目数超限" : vol.code === "unpacked_too_large" ? "解压后总体积超限" : "单成员体积超限";
+		fail(413, `上传包${label}（${vol.offender}）——REG-CS8 体积闸拒收（解压炸弹防护），请缩减包体后重发`);
+	}
+	const extracted = await input.exec.run(["tar", "-xzf", staged, "-C", input.stagingDir]);
+	if (extracted.code !== 0)
+		fail(400, `上传包解包失败（tar -xzf）：${(extracted.stderr || extracted.stdout).trim()}`);
+	await flattenBundleRoot(input.stagingDir);
+	const g = globalThis as { yaml?: { parse: (text: string) => Promise<unknown> } };
+	try {
+		return await g.yaml!.parse(new TextDecoder().decode(await f.readFile(`${input.stagingDir}/manifest.yaml`)));
+	}
+	catch (e) {
+		return fail(400, `上传包 manifest.yaml 不可解析：${String(e)}`);
+	}
+}

package/templates/src/app/api/_platform/_lifecycle/steps/preflight.ts

@@ -55,6 +55,14 @@ const ANONYMOUS_RE = /^[a-z0-9][a-z0-9\-_.]*(?:\/[a-z0-9][a-z0-9\-_.]*)*$/;
 /** P0 §3.2 匿名保留段黑名单（显式拒装清单；与 C2-26 段内收敛互补——C2-26 挡「跨段」，本清单挡「保留段本身」） */
 const ANON_RESERVED_PREFIXES = ["_platform", "_system", "auth", "_lifecycle"];
 
+/**
+ * 平台内建编排段（Phase B）：市场编排面 api 随脚手架内置，config 出厂即匿名
+ * /oj-market/catalog|cdn/upload|yank（方案 §2「市场未装时端点仍在」）。这些条目与
+ * /auth/* 同属宿主内建而非方案注入——第一方纯 web 包（无 anonymous 声明）收敛/首装
+ * 时不得在 anonymous_residual 被误判为「同 prefix 换装残留」（2026-11-07 市场线演练实锤）。
+ */
+const BUILTIN_ORCH_SEGMENTS = new Set(["oj-market"]);
+
 /** C2-17：路由 path 语法（首段首字符为字母；无参数段/通配符/尾斜杠） */
 const ROUTE_PATH_RE = /^\/[a-z][a-z0-9\-_]*(?:\/[a-z0-9\-_]+)*$/;
 
@@ -286,7 +294,7 @@ export async function preflight(ctx: InstallContext): Promise<StageResult> {
 		else {
 			const host = ctx.hostApiVersion;
 			if (host === undefined) {
-				v.push({ clause: "C2-11", detail: `无法读取宿主平台 API 版本（GET /api/_platform/market/meta 不可用或本仓 API_VERSION 未注入），peerPlatform「${range}」强制比对失败（fail-closed）` });
+				v.push({ clause: "C2-11", detail: `无法读取宿主平台 API 版本（GET /api/oj-market/meta 不可用或本仓 API_VERSION 未注入），peerPlatform「${range}」强制比对失败（fail-closed）` });
 			}
 			else if (!rangeSatisfies(host, parsed[1], parsed[2])) {
 				const advice = caretUpgradeAdvice(host, parsed[1], parsed[2]);
@@ -399,7 +407,9 @@ export async function preflight(ctx: InstallContext): Promise<StageResult> {
 	// **保留段条目不在此查**：config 里 /auth/*、/_platform/* 等属宿主内建（如 /auth/login），方案永不
 	// 能注入（C2-26 段内收敛已挡住方案声明保留段匿名），故保留段 config 条目绝不会是方案残留——
 	// 纳入比对只会误伤宿主内建匿名端点（F4 假阳性）。
-	{
+	// **平台内建编排段同样不在此查**（BUILTIN_ORCH_SEGMENTS）：编排面匿名条目出厂即在 config，
+	// 非任何方案注入；第一方纯 web 包（oj-market，无 anonymous 声明）依赖此豁免完成收敛/首装。
+	if (!BUILTIN_ORCH_SEGMENTS.has(apiSeg)) {
 		const existing = ctx.existingAnonymousPaths ?? [];
 		const residual: string[] = [];
 		// config 条目带前导斜杠（appendAnonymousPaths 统一补 /），归一去斜杠再取首段，

package/templates/src/app/api/_platform/_lifecycle/steps/reload.ts

@@ -79,7 +79,7 @@ export function moduleSymbolOf(name: string, version: string, kind: "install" |
  * - 附加段键（ctx.expected，如 mounts/tenant/tasks）逐一 ∈ applied（覆盖项保留）。
  * 返回 {ok, message?} 供调用方生成人话。
  */
-export function assertReloadApplied(r: ReloadResult, opts: { hasApi: boolean, kind: "install" | "uninstall", name: string, version: string, additional?: string[], /** 强制热更（oj 0.1.123+ reloadConfig(force)）：unchanged 时须失败（强制装配未生效） */ force?: boolean }): { ok: boolean, message?: string } {
+export function assertReloadApplied(r: ReloadResult, opts: { hasApi: boolean, kind: "install" | "uninstall", name: string, version: string, additional?: string[], /** 强制热更（oj 0.1.123+ reloadConfig(force)）：unchanged 时须失败（强制装配未生效） */ force?: boolean, /** 卸载侧：锁条目是否真随卸载摘除——双轨同名（内建模块锁条目保留，lockRemoved=false）时 oj 装配面无锁 diff，unchanged 属预期（方案摘除发生在 modules.json/sidecar/route 面） */ lockRemoved?: boolean }): { ok: boolean, message?: string } {
 	if (typeof r !== "object" || r === null || !Array.isArray(r.applied) || typeof r.unchanged !== "boolean") {
 		return {
 			ok: false,
@@ -93,6 +93,9 @@ export function assertReloadApplied(r: ReloadResult, opts: { hasApi: boolean, ki
 	}
 	if (r.unchanged) {
 		if (opts.kind === "uninstall") {
+			// 双轨同名（2026-11-07 演练实锤）：内建模块锁条目保留 → 装配面无锁 diff，unchanged 属预期。
+			if (opts.lockRemoved === false)
+				return { ok: true };
 			return {
 				ok: false,
 				message: "reloadConfig 返回 unchanged——卸载后锁未变化，疑似卸载空转（锁未摘除）；请确认宿主已开启 reload_api 且 oj ≥ v0.1.122",

package/templates/src/app/api/_platform/_lifecycle/steps/smoke.ts

@@ -124,11 +124,17 @@ export async function smoke(ctx: SmokeContext): Promise<StageResult> {
 	const m = isObj(ctx.manifest) ? ctx.manifest : {};
 	const web = isObj(m.web) ? m.web : undefined;
 
-	// ① 探活：health 优先（2xx），缺省首个非匿名路由（连通即可）
+	// ① 探活：health 优先（2xx），缺省首个非匿名路由（连通即可）。
+	// 探活只对有 api 面的方案成立：纯 web 包的 routes[] 是页面路由（如 /oj-market），
+	// 塞进 api 前缀必 404——2026-11-07 oj-market 重装实锤（误探 /api/oj-market → smoke 失败 +
+	// 全量补偿回滚含 modules.json → 重装死循环）。无 api 段 = 无 api 面可探，无事可验视为过。
 	const notes: string[] = [];
 	try {
+		const api = isObj(m.api) ? m.api : undefined;
 		const health = typeof m.health === "string" && m.health !== "" ? m.health : undefined;
-		const target = health ?? firstNonAnonymousRoute(m);
+		const target = api === undefined ? undefined : (health ?? firstNonAnonymousRoute(m));
+		if (target === undefined && api === undefined)
+			notes.push("纯 web 方案无 api 面，探活跳过");
 		if (target !== undefined) {
 			const url = probeUrlOf(ctx.apiPrefix, target);
 			const res = await ctx.fetch(url, { headers: { [PROBE_TENANT_HEADER]: PROBE_TENANT } });

package/templates/src/app/api/_platform/_lifecycle/types.ts

@@ -21,7 +21,7 @@ export interface InstallContext {
 	state: StateStore
 	/** 宿主 versions.json（C2-09 peerRuntime 比对真源；键 = 包名，runtime 取 @oj-module/runtime） */
 	hostVersions?: Record<string, string>
-	/** 宿主平台编排面 API 版本（C2-11 peerPlatform 比对真源；镜像 GET /api/_platform/market/meta 的 apiVersion，即 market/api.ts 的 API_VERSION 常量，与 _platform/manifest.yaml 版本手工同步） */
+	/** 宿主平台编排面 API 版本（C2-11 peerPlatform 比对真源；镜像 GET /api/oj-market/meta 的 apiVersion，即 market/api.ts 的 API_VERSION 常量，与 _platform/manifest.yaml 版本手工同步） */
 	hostApiVersion?: string
 	/**
 	 * 宿主能力集（P0 §3.9：ojInfo().capabilities，装配期冻结、任何模块可读）。由调用方从 ojInfo 注入；

package/templates/src/app/api/_platform/_lifecycle/uninstall.ts

@@ -187,14 +187,23 @@ export async function runUninstall(input: UninstallInput): Promise<UninstallResu
 	if (lock[name] === undefined && side === undefined) {
 		return { ok: false, reason: "not-installed", message: `卸载失败：「${name}」未安装（锁与 sidecar 均无记录）` };
 	}
-	const version = input.version ?? lock[name] ?? side?.version;
+	// 安装在哪：锁与 sidecar 均无记录 = 未安装（P3-11：细分 reason，端点据此回 404 资源缺失语义）
+	if (lock[name] === undefined && side === undefined) {
+		return { ok: false, reason: "not-installed", message: `卸载失败：「${name}」未安装（锁与 sidecar 均无记录）` };
+	}
+	// 版本解析 sidecar 优先（2026-11-07 市场线演练实锤：双轨同名——第一方 web-only 方案的锁
+	// 编排面）可能正占着锁的另一版本；「锁优先」会把内建版本当方案删，内建目录/锁条目被毁、
+	// 编排端点全灭。sidecar 是方案轨唯一真相；锁仅作 sidecar 缺失（旧工程/半残态）的兜底）。
+	const version = input.version ?? side?.version ?? lock[name];
 	if (version === undefined) {
 		return { ok: false, message: `卸载失败：「${name}」版本不可得（锁与 sidecar 均无版本）` };
 	}
-
-	// 空锁拒启（S1-1.2）：摘除后锁为空 → 拒绝卸载最后一个模块
+	// 锁条目归属裁决：sidecar 在 → 锁条目仅当与 sidecar 同版本才属本方案（api 轨锁随装写）；
+	// sidecar 缺失（旧形态/半残）→ 锁条目按旧语义归属方案。同名不同轨的锁条目（内建模块）不摘。
+	const lockEntryIsSolution = side !== undefined ? lock[name] === side.version : lock[name] !== undefined;
 	const remaining = { ...lock };
-	delete remaining[name];
+	if (lockEntryIsSolution)
+		delete remaining[name];
 	if (Object.keys(remaining).length === 0) {
 		return { ok: false, message: "卸载失败：摘除后锁为空（空锁拒启，S1-1.2）——站点至少保留一个已锁模块，不能卸载最后一个" };
 	}
@@ -252,7 +261,7 @@ export async function runUninstall(input: UninstallInput): Promise<UninstallResu
 		// 卸载空转回归守卫（§2.7）：reload 须真实摘除模块——unchanged 即「锁摘了但装配没掉挂载」，
 		// 正是本 PR 修复的回归；api 模块还须 applied 含 -name@ver（web-only 无 api 段，oj 不产模块条目，仅校验 unchanged）。
 		const hasApi = await uninstallHasApi(name, version, input.sharedRoot);
-		const a = assertReloadApplied(r, { hasApi, kind: "uninstall", name, version });
+		const a = assertReloadApplied(r, { hasApi, kind: "uninstall", name, version, lockRemoved: lockEntryIsSolution });
 		if (!a.ok) {
 			try {
 				await writeLock(input.lockPath, lock);

package/templates/src/app/api/_platform/_shared/service/domain/users.ts

@@ -25,6 +25,10 @@ export interface UserRow {
 	display_name: string | null
 	email: string | null
 	position: string | null
+	/** 工号（tenant 内唯一，未设置即 null）——U3：列表接口透出 users 表既有列 */
+	employee_no: string | null
+	/** 手机号（未设置即 null）——U3：列表接口透出 users 表既有列 */
+	phone_number: string | null
 	/** 所属部门（主部门在前） */
 	departments: UserDeptRef[]
 	is_forbidden: boolean
@@ -108,7 +112,7 @@ async function assertMembershipAllowed(actorId: number, nextRoles: string[]): Pr
 }
 
 export async function listUsers(): Promise<UserRow[]> {
-	const rows = await db.table("users").select(["id", "username", "display_name", "email", "position", "is_forbidden", "must_change"]).orderBy([{ field: "username" }]).all() as Array<Record<string, unknown>>;
+	const rows = await db.table("users").select(["id", "username", "display_name", "email", "position", "employee_no", "phone_number", "is_forbidden", "must_change"]).orderBy([{ field: "username" }]).all() as Array<Record<string, unknown>>;
 	const roleRows = await db.table("sys_user_role").select(["user_id", "role_name"]).all() as Array<{ user_id: number, role_name: string }>;
 	const roleMap = new Map<number, string[]>();
 	for (const r of roleRows)
@@ -120,6 +124,8 @@ export async function listUsers(): Promise<UserRow[]> {
 		display_name: r.display_name == null ? null : String(r.display_name),
 		email: r.email == null ? null : String(r.email),
 		position: r.position == null ? null : String(r.position),
+		employee_no: r.employee_no == null ? null : String(r.employee_no),
+		phone_number: r.phone_number == null ? null : String(r.phone_number),
 		departments: depts.get(Number(r.id)) ?? [],
 		is_forbidden: Number(r.is_forbidden) === 1,
 		must_change: Number(r.must_change) === 1,

package/templates/src/app/api/_platform/_shared/site-facade.ts

@@ -82,6 +82,37 @@ export function withSiteOrigin(fetch: FetchInitFace, canonicalOrigin?: string |
 	return (url: string, init?: { headers?: Record<string, string>, redirect?: string }) => fetch(/^https?:\/\//i.test(url) ? url : `${o.proto}://${o.host}${url}`, init) as ReturnType<FetchFace>;
 }
 
+/**
+ * 读站点 config.yaml `vars.<key>`（缺文件/缺字段/解析失败 → null）。
+ * 与 readCanonicalOrigin 同机制（fsFace + yaml 异步面 + 按 configPath 进程级缓存）：
+ * vars 下部署期常量皆走此口，勿各写一份读盘。
+ */
+const siteVarCache = new Map<string, Promise<string | null>>();
+
+export function readSiteVar(configPath: string | undefined, key: string): Promise<string | null> {
+	if (!configPath) {
+		return Promise.resolve(null);
+	}
+	const cacheKey = `${configPath}::${key}`;
+	const cached = siteVarCache.get(cacheKey);
+	if (cached !== undefined) {
+		return cached;
+	}
+	const p = (async () => {
+		try {
+			const bytes = await fsFace().readFile(configPath);
+			const doc = await (globalThis as { yaml?: { parse: (t: string) => Promise<unknown> } }).yaml?.parse(new TextDecoder().decode(bytes)) as { vars?: Record<string, unknown> } | undefined;
+			const v = doc?.vars?.[key];
+			return typeof v === "string" && v.trim() !== "" ? v.trim() : null;
+		}
+		catch {
+			return null;
+		}
+	})();
+	siteVarCache.set(cacheKey, p);
+	return p;
+}
+
 /** 站点迁移账本 head（oj journal 真源 `_oj_migrations`；表缺失/查询失败 → null = 跳过禁降版判定，不猜） */
 export async function journalHeadOf(name: string): Promise<number | bigint | null> {
 	try {