@oj-module/cli 0.2.68 → 0.2.71

package/templates/src/app/api/_platform/manifest.yaml

@@ -1,5 +1,5 @@
 name: _platform
-desc: 平台内核（非业务模块、无自身业务路由前缀）。含三类：① 跨模块服务 _shared/service（infra 基础设施 + domain 管理域）；② 生命周期引擎 _lifecycle（方案安装/卸载/注册/验签/信任状态机）；③ 平台编排 API 面 /api/_platform/{contacts,market,solutions}（由 market/api.ts、contacts/api.ts、solutions/api.ts 暴露，全 superadmin 门禁）。运行时安装的方案包不在此树。
+desc: 平台内核（非业务模块、无自身业务路由前缀）。含三类：① 跨模块服务 _shared/service（infra 基础设施 + domain 管理域）；② 生命周期引擎 _lifecycle（方案安装/卸载/注册/验签/信任状态机）；③ 平台编排 API 面 /api/_platform/{contacts,solutions}（由 contacts/api.ts、solutions/api.ts 暴露，全 superadmin 门禁）。市场域 api（市场目录/发布推送/方案生命周期编排/信任库）自 v4 起归 oj-market 模块（src/oj-market/api/，路由 /api/oj-market/*，deps 声明依赖本内核）。运行时安装的方案包不在此树。
 version: 0.1.0
 tables:
   - _oj_migrations
@@ -16,7 +16,6 @@ tables:
   - market_release
   - sys_rate_window
   - sys_login_throttle
-  - reg_source_seq
   # 0016 组织架构领域（CRUD 基线 + 外部源适配器的落点；两张都是租户表）
   - sys_department
   - sys_dept_member

package/templates/src/app/api/_platform/migrations/0003__market_catalog.mysql.sql

@@ -0,0 +1,6 @@
+-- 0003__market_catalog（mysql 方言）：列语义同 0003__market_catalog.sql 头注释。
+-- 差异（沿用 0002 既有惯例）：短文本收窄 VARCHAR；签名 value ≤ 255  base64 够用。
+ALTER TABLE market_release ADD COLUMN sig_alg VARCHAR(16);
+ALTER TABLE market_release ADD COLUMN sig_value VARCHAR(255);
+ALTER TABLE market_release ADD COLUMN sig_public_key VARCHAR(64);
+ALTER TABLE market_release ADD COLUMN manifest TEXT;

package/templates/src/app/api/_platform/migrations/0003__market_catalog.pg.sql

@@ -0,0 +1,6 @@
+-- 0003__market_catalog（postgres 方言）：列语义同 0003__market_catalog.sql 头注释。
+-- 差异（沿用 0002 既有惯例）：TEXT 全保留。
+ALTER TABLE market_release ADD COLUMN sig_alg TEXT;
+ALTER TABLE market_release ADD COLUMN sig_value TEXT;
+ALTER TABLE market_release ADD COLUMN sig_public_key TEXT;
+ALTER TABLE market_release ADD COLUMN manifest TEXT;

package/templates/src/app/api/_platform/migrations/0003__market_catalog.sql

@@ -0,0 +1,18 @@
+-- 0003__market_catalog（sqlite 方言）：market_release 扩列演化（v4 DB 目录化）。
+--
+-- 定性：**表演化，非新建**——market_release 已存在于 0002（四方评审共同指认的 P0 修正：
+-- v3 原拟新建同名表照写必炸）。此处仅 ALTER 扩四列，把「签名索引文件派生物」升级为
+-- 「签名推送直写的目录真源」：
+--   · sig_alg/sig_value/sig_public_key = 上传端点验收的发布签名三字段（Ed25519，
+--     与 .sig 侧车同构；canon/key_id 不列存——canonical 由 (registry_id,name,sha256)
+--     服务端重算重建，key_id 已有专列）
+--   · manifest = 包内嵌 manifest.yaml 抽取物（JSON 文本；安装解析/卡片字段数据源，
+--     坏包被 pair 约束挡在库外，见上传端点处理顺序）
+--   · published_at 两列保留语义不变；上传写入行 published_at_source='upload'
+--   · syncReleases 时代旧行此四列 = NULL，由站点侧扫描回填命令补齐（计划 §六，三用命令）
+--
+-- 方言差异照 0002 惯例：mysql 收窄 VARCHAR / pg 全 TEXT，见同名 .mysql/.pg 文件。
+ALTER TABLE market_release ADD COLUMN sig_alg TEXT;
+ALTER TABLE market_release ADD COLUMN sig_value TEXT;
+ALTER TABLE market_release ADD COLUMN sig_public_key TEXT;
+ALTER TABLE market_release ADD COLUMN manifest TEXT;

package/templates/src/app/api/_platform/migrations/0004__market_drop_source_seq.mysql.sql

@@ -0,0 +1,6 @@
+-- 0004__market_drop_source_seq（mysql 方言）：退役 reg_source_seq 水位表（v4 §四索引机制整建制退役）。
+--
+-- 定性：签名索引（catalog.yaml + shards/<n>.yaml + 代次水位防回放）随 DB 目录化退役——
+-- install 解析/index 卡片/releases 历史全部直读 market_release 表，水位失去消费方。
+-- DROP IF EXISTS 幂等：回填/回滚场景重复应用不炸。三方言同形（无方言差异）。
+DROP TABLE IF EXISTS reg_source_seq;

package/templates/src/app/api/_platform/migrations/0004__market_drop_source_seq.pg.sql

@@ -0,0 +1,6 @@
+-- 0004__market_drop_source_seq（pg 方言）：退役 reg_source_seq 水位表（v4 §四索引机制整建制退役）。
+--
+-- 定性：签名索引（catalog.yaml + shards/<n>.yaml + 代次水位防回放）随 DB 目录化退役——
+-- install 解析/index 卡片/releases 历史全部直读 market_release 表，水位失去消费方。
+-- DROP IF EXISTS 幂等：回填/回滚场景重复应用不炸。三方言同形（无方言差异）。
+DROP TABLE IF EXISTS reg_source_seq;

package/templates/src/app/api/_platform/migrations/0004__market_drop_source_seq.sql

@@ -0,0 +1,6 @@
+-- 0004__market_drop_source_seq（sqlite 方言）：退役 reg_source_seq 水位表（v4 §四索引机制整建制退役）。
+--
+-- 定性：签名索引（catalog.yaml + shards/<n>.yaml + 代次水位防回放）随 DB 目录化退役——
+-- install 解析/index 卡片/releases 历史全部直读 market_release 表，水位失去消费方。
+-- DROP IF EXISTS 幂等：回填/回滚场景重复应用不炸。三方言同形（无方言差异）。
+DROP TABLE IF EXISTS reg_source_seq;

package/templates/src/app/api/_platform/migrations/0005__market_sig_registry.mysql.sql

@@ -0,0 +1,8 @@
+-- 0005__market_sig_registry（mysql 方言）：market_release 补 sig_registry_id 列（v4 §四 A5 增补）。
+--
+-- 定性：**A5 实施期修正**——安装解析改走 DB 目录行（formBEntryOf 服务端合成 Form B 条目），
+-- install verify 段重构包级规范串 `<registry_id>:<name>@<version>:<sha256>` 需要签发方
+-- registry 身份；0003 落列时裁定「registry_id 不进合成签名」被本修正取代（DB 行即安装
+-- manifest 真源，签名必须可验）。列值 = 上传 .sig 旁车第六字段（上传端点结构校验落列）。
+-- 方言差异照 0003 惯例：mysql 收窄 VARCHAR / pg 全 TEXT。
+ALTER TABLE market_release ADD COLUMN sig_registry_id VARCHAR(255);

package/templates/src/app/api/_platform/migrations/0005__market_sig_registry.pg.sql

@@ -0,0 +1,8 @@
+-- 0005__market_sig_registry（pg 方言）：market_release 补 sig_registry_id 列（v4 §四 A5 增补）。
+--
+-- 定性：**A5 实施期修正**——安装解析改走 DB 目录行（formBEntryOf 服务端合成 Form B 条目），
+-- install verify 段重构包级规范串 `<registry_id>:<name>@<version>:<sha256>` 需要签发方
+-- registry 身份；0003 落列时裁定「registry_id 不进合成签名」被本修正取代（DB 行即安装
+-- manifest 真源，签名必须可验）。列值 = 上传 .sig 旁车第六字段（上传端点结构校验落列）。
+-- 方言差异照 0003 惯例：mysql 收窄 VARCHAR / pg 全 TEXT。
+ALTER TABLE market_release ADD COLUMN sig_registry_id TEXT;

package/templates/src/app/api/_platform/migrations/0005__market_sig_registry.sql

@@ -0,0 +1,8 @@
+-- 0005__market_sig_registry（sqlite 方言）：market_release 补 sig_registry_id 列（v4 §四 A5 增补）。
+--
+-- 定性：**A5 实施期修正**——安装解析改走 DB 目录行（formBEntryOf 服务端合成 Form B 条目），
+-- install verify 段重构包级规范串 `<registry_id>:<name>@<version>:<sha256>` 需要签发方
+-- registry 身份；0003 落列时裁定「registry_id 不进合成签名」被本修正取代（DB 行即安装
+-- manifest 真源，签名必须可验）。列值 = 上传 .sig 旁车第六字段（上传端点结构校验落列）。
+-- 方言差异照 0003 惯例：mysql 收窄 VARCHAR / pg 全 TEXT。
+ALTER TABLE market_release ADD COLUMN sig_registry_id TEXT;

package/templates/src/app/api/_platform/schema.yaml

@@ -185,17 +185,14 @@ tables:
       published_at_source: {type: text, null: false}
       yanked: {type: integer, null: false}
       first_seen_at: {type: integer, null: false}
-  # REG-CS2 索引新鲜度：站点按源记住见过的最大 seq（防回放/降级，回退即拒）。
-  # 读写由 _lifecycle/source-seq.ts 落到本表；source_url 为业务主键（无自增 id）。
-  reg_source_seq:
-    # 共享表（B 组）：索引新鲜度水位属于**站点**（受害者是站点，防回放/降级），
-    # 与租户无关；source-seq.ts 的设计注释即写明「记在站点 DB」。
-    tenant: false
-    pk: source_url
-    columns:
-      source_url: {type: text, null: false}
-      max_seq: {type: integer, null: false}
-      updated_at: {type: integer, null: false}
+      # v4 DB 目录化（0003 扩列）：签名推送直写的目录真源——签名三字段 + 包内嵌 manifest
+      # 抽取物。旧行（syncReleases 时代）此四列 = NULL，由站点侧扫描回填命令补齐（计划 §六）。
+      sig_alg: {type: text}
+      sig_value: {type: text}
+      sig_public_key: {type: text}
+      # A5 增补：包级 canonical 首段（签发方 registry 身份）——install verify 重构规范串用
+      sig_registry_id: {type: text}
+      manifest: {type: text}
   # ---- 0016：组织架构领域（CRUD 基线 + 外部源适配器的落点）----
   # 定位（方案 §14）：CRUD 是基线，企微 / LDAP 只是适配器 → 表里不出现任何 wecom_* / ldap_* 字段。
   # origin 是**归属权**标识（D13）：local = 本站管理员全权；wecom/ldap/sso = 该适配器管辖，

package/templates/src/app/api/_platform/seed.mysql.sql

@@ -4,7 +4,7 @@ INSERT IGNORE INTO users (username, password_hash, must_change) VALUES ('superad
 INSERT IGNORE INTO users (username, password_hash, must_change) VALUES ('admin', '$2y$10$9HEtASi9jG0VIBMMVqxAmOqrE4f6wiezhGmi50iPG1s1MXlncSO0e', 0);
 INSERT IGNORE INTO users (username, password_hash, must_change) VALUES ('editor', '$2y$10$9HEtASi9jG0VIBMMVqxAmOqrE4f6wiezhGmi50iPG1s1MXlncSO0e', 0);
 INSERT IGNORE INTO users (username, password_hash, must_change) VALUES ('viewer', '$2y$10$9HEtASi9jG0VIBMMVqxAmOqrE4f6wiezhGmi50iPG1s1MXlncSO0e', 0);
-DELETE FROM sys_user_role WHERE role_name = 'superadmin' AND user_id = (SELECT id FROM users WHERE username = 'admin');
+DELETE FROM sys_user_role WHERE role_name = 'superadmin' AND user_id IN (SELECT id FROM users WHERE username = 'admin');
 UPDATE users SET must_change = 0 WHERE username IN ('superadmin', 'admin', 'editor', 'viewer');
 INSERT IGNORE INTO sys_role (name, module, title, builtin) VALUES ('superadmin', 'framework', '超级管理员', 1);
 INSERT IGNORE INTO sys_role (name, module, title, builtin) VALUES ('admin', 'framework', '系统管理员', 1);

package/templates/src/app/api/_platform/seed.pg.sql

@@ -4,7 +4,7 @@ INSERT INTO users (username, password_hash, must_change) VALUES ('superadmin', '
 INSERT INTO users (username, password_hash, must_change) VALUES ('admin', '$2y$10$9HEtASi9jG0VIBMMVqxAmOqrE4f6wiezhGmi50iPG1s1MXlncSO0e', 0) ON CONFLICT DO NOTHING;
 INSERT INTO users (username, password_hash, must_change) VALUES ('editor', '$2y$10$9HEtASi9jG0VIBMMVqxAmOqrE4f6wiezhGmi50iPG1s1MXlncSO0e', 0) ON CONFLICT DO NOTHING;
 INSERT INTO users (username, password_hash, must_change) VALUES ('viewer', '$2y$10$9HEtASi9jG0VIBMMVqxAmOqrE4f6wiezhGmi50iPG1s1MXlncSO0e', 0) ON CONFLICT DO NOTHING;
-DELETE FROM sys_user_role WHERE role_name = 'superadmin' AND user_id = (SELECT id FROM users WHERE username = 'admin');
+DELETE FROM sys_user_role WHERE role_name = 'superadmin' AND user_id IN (SELECT id FROM users WHERE username = 'admin');
 UPDATE users SET must_change = 0 WHERE username IN ('superadmin', 'admin', 'editor', 'viewer');
 INSERT INTO sys_role (name, module, title, builtin) VALUES ('superadmin', 'framework', '超级管理员', 1) ON CONFLICT DO NOTHING;
 INSERT INTO sys_role (name, module, title, builtin) VALUES ('admin', 'framework', '系统管理员', 1) ON CONFLICT DO NOTHING;

package/templates/src/app/api/_platform/seed.sql

@@ -11,7 +11,7 @@ INSERT OR IGNORE INTO users (username, password_hash, must_change) VALUES ('edit
 INSERT OR IGNORE INTO users (username, password_hash, must_change) VALUES ('viewer', '$2y$10$9HEtASi9jG0VIBMMVqxAmOqrE4f6wiezhGmi50iPG1s1MXlncSO0e', 0);
 -- 历史 seed 把 admin 绑在 superadmin 上；收敛为账号名=角色名（幂等 DELETE，每次重放生效）。
 -- 已存在库中 admin 行可能残留 must_change=1，UPDATE 统一收敛为 0（四个均为 seed 自有开发账号）
-DELETE FROM sys_user_role WHERE role_name = 'superadmin' AND user_id = (SELECT id FROM users WHERE username = 'admin');
+DELETE FROM sys_user_role WHERE role_name = 'superadmin' AND user_id IN (SELECT id FROM users WHERE username = 'admin');
 UPDATE users SET must_change = 0 WHERE username IN ('superadmin', 'admin', 'editor', 'viewer');
 -- 框架内置角色（ROLES 单一真相：superadmin 安全敏感项 / admin 日常管理 / editor、viewer 页面门）
 INSERT OR IGNORE INTO sys_role (name, module, title, builtin) VALUES ('superadmin', 'framework', '超级管理员', 1);

package/templates/src/app/api/auth/_shared/wecom/sync.ts

@@ -400,6 +400,12 @@ async function runSlice(
 		for (const d of ordered) {
 			if (d.name)
 				continue;
+			// 受同片预算约束：预算耗尽就跳过剩余名字回源（名字留空非致命，下轮/事件增量会补）。
+			// 否则无名字的部门一多（每个 department/get 最多等 5s 软超时），departments 阶段会
+			// 跑出 12s 预算、甚至超过客户端/路由超时——外层切片本就为「可控时长」而设计，
+			// 这里若不拦，整片就失去时长上界（members 阶段有同款 deadline 守卫，这里原本漏了）。
+			if (deps.now() >= deadline)
+				continue;
 			try {
 				const detail = await deps.client.departmentDetail(corpId, agentId, secret, d.id);
 				if (detail.name)

package/templates/src/app/api/system/users/api.ts

@@ -25,6 +25,9 @@ get.response = {
 			display_name: { type: ["string", "null"] },
 			email: { type: ["string", "null"] },
 			position: { type: ["string", "null"] },
+			// U3：users 表既有列透出（工号 tenant 内唯一）；未设置为 null，故为可选字段
+			employee_no: { type: ["string", "null"] },
+			phone_number: { type: ["string", "null"] },
 			// 所属部门（主部门在前）；未加入任何部门即空数组。带 id 供前端按部门筛选
 			departments: {
 				type: "array",

package/templates/src/app/web/_platform/__client/api.schemas.ts

@@ -25,119 +25,6 @@ export const schemas = {
 	"display_name": z.string().nullable(),
 	"email": z.string().nullable(),
 	"avatar_base64": z.string().nullable()
-}),
-	},
-	"platformMarketInstallPost": {
-		body: z.object({
-	"source": z.enum(["cdn", "file"]),
-	"name": z.string(),
-	"version": z.string().nullable().optional()
-}),
-		data: z.object({
-	"task_id": z.string().optional()
-}).catchall(z.unknown()),
-	},
-	"platformMarketInstallCancelPost": {
-		body: z.object({
-	"name": z.string()
-}),
-		data: z.object({
-	"ok": z.boolean().optional(),
-	"name": z.string().optional(),
-	"requested": z.boolean().optional()
-}).catchall(z.unknown()),
-	},
-	"platformMarketTaskGet": {
-		query: z.object({
-	"id": z.string()
-}),
-		data: z.object({
-
-}).catchall(z.unknown()),
-	},
-	"platformMarketEnablePost": {
-		body: z.object({
-	"name": z.string(),
-	"enabled": z.boolean()
-}),
-		data: z.object({
-
-}).catchall(z.unknown()),
-	},
-	"platformMarketMetaGet": {
-		data: z.object({
-	"apiVersion": z.string().optional()
-}).catchall(z.unknown()),
-	},
-	"platformMarketTrustGet": {
-		data: z.object({
-
-}).catchall(z.unknown()),
-	},
-	"platformMarketTrustPost": {
-		body: z.object({
-	"task_id": z.string()
-}),
-		data: z.object({
-
-}).catchall(z.unknown()),
-	},
-	"platformMarketTrustKeyPost": {
-		body: z.object({
-	"key_id": z.string(),
-	"public_key": z.string()
-}),
-		data: z.object({
-
-}).catchall(z.unknown()),
-	},
-	"platformMarketTrustKeyDelete": {
-		query: z.object({
-	"key_id": z.string()
-}),
-		data: z.object({
-
-}).catchall(z.unknown()),
-	},
-	"platformMarketIndexGet": {
-		data: z.array(z.object({
-
-}).catchall(z.unknown())),
-	},
-	"platformMarketUninstallImpactGet": {
-		query: z.object({
-	"name": z.string()
-}),
-		data: z.object({
-
-}).catchall(z.unknown()),
-	},
-	"platformMarketUninstallPost": {
-		body: z.object({
-	"name": z.string()
-}),
-		data: z.object({
-
-}).catchall(z.unknown()),
-	},
-	"platformMarketHistoryGet": {
-		data: z.array(z.object({
-
-}).catchall(z.unknown())),
-	},
-	"platformMarketReleasesGet": {
-		query: z.object({
-	"page": z.number().min(1).optional(),
-	"limit": z.number().min(1).max(200).optional()
-}),
-		data: z.object({
-	"list": z.array(z.object({
-
-}).catchall(z.unknown())),
-	"total": z.number(),
-	"page": z.number(),
-	"size": z.number(),
-	"syncError": z.string().nullable().optional()
 }),
 	},
 	"platformOrgDepartmentsGet": {