@rezti/dsh-rez-suite 0.1.52 → 0.1.55

package/CHANGELOG.md

@@ -5,12 +5,24 @@
 升级：
 
 ```bash
-dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.52
+dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.55
 ```
 
 不要用裸 `plugin update`，不要写 `latest`（新 profile 有 24 小时发布冷却，当天可能装不上）。不要装 **0.1.46**（GitHub 子依赖会被 DSH 拦住）。不要装 **0.1.51**（误用 `npm publish` 把 `workspace:` 打进包了）。
 
-发版顺序：`wechat@0.1.16` → `suite@0.1.52`。**必须用 `pnpm publish`**（会把 `workspace:` 写成真实版本），不要用 `npm publish`。
+发版顺序：`wechat@0.1.17` → `suite@0.1.55`。**必须用 `pnpm publish`**（会把 `workspace:` 写成真实版本），不要用 `npm publish`。
+
+## 0.1.55 — 2026-08-21
+
+- **企微单聊语音当文字**：官方智能机器人已把语音转成 `voice.content`，通道按普通文字送进房间。个人微信不改。群聊语音官方不保证有转写。不改员工机安装包。
+
+## 0.1.54 — 2026-08-21
+
+- **人财法按组织架构分权**：开场用 Odoo login 对 Nextcloud `Documents/Standards/org/chart.yaml`。身份只有老板 / 员工 / 雷泽AI助手。人事助理认「我 / 人事 / 其他人」。能力矩阵 `org/identity.md`。不改员工机安装包。
+
+## 0.1.53 — 2026-08-20
+
+- **suite 自带 `@wecom/cli@1.1.0`**：装 suite 即带办公 CLI（含 `mail`）。启动时把其 bin 插到 PATH 最前，避开 Homebrew 全局 `0.1.9`。房间消息仍设置页 BotID+Secret；办公授权仍 `wecom-cli auth init`（可扫码）。
 
 ## 0.1.52 — 2026-08-20
 

package/README.md

@@ -2,17 +2,17 @@
 
 雷泽插件的**唯一安装入口**。Odoo / 企微 / HA / TAPD / GSC / 企查查（仅法务助理房间） / 天眼查（仅老板） / 工作区（老板三室 + 全员助理）都由这一包拉齐，不要再逐个 `plugin add`，**不要**再装 `@rezti/dsh-rez-boss-desk`。
 
-发版顺序（必做）：先发 `@rezti/dsh-rez-wechat@0.1.16` → `@rezti/dsh-rez-suite@0.1.52`。**发 suite 必须用 `pnpm publish`**（会把 `workspace:` 写成真实版本），不要用 `npm publish`。员工机安装包仍钉已发布的 suite，不要顺手改审批镜像 `SUITE_VERSION`。
+发版顺序（必做）：先发 `@rezti/dsh-rez-wechat@0.1.17` → `@rezti/dsh-rez-suite@0.1.55`。**发 suite 必须用 `pnpm publish`**（会把 `workspace:` 写成真实版本），不要用 `npm publish`。员工机安装包仍钉已发布的 suite，不要顺手改审批镜像 `SUITE_VERSION`。
 
 设置里选身份后，左侧自己出现对应房间（全员三助理；工程师另加实验室；运营另加设计、发布、电商；老板另加搞钱/产品/运营），不必手动添加工作区。实验室：大模型写 YAML、调 MCP、给下载链接。
 
-回形针走 npm 包 `@rezti/dsh-web-file-uploader@0.2.3`（不要 GitHub：DSH 会拦子依赖 git，0.1.46 因此装不上）。
+回形针走 npm 包 `@rezti/dsh-web-file-uploader@0.2.3`（不要 GitHub：DSH 会拦子依赖 git，0.1.46 因此装不上）。suite 自带 `@wecom/cli@1.1.0`（企微办公；不要依赖 Homebrew 全局 0.1.x）。
 
 员工机不要 `SUITE_VERSION=latest`：新 profile 默认 `minimumReleaseAge: 1440`，当天发的包可能装不到。钉死版本，或把 profile 的 `minimumReleaseAge` 改成 `0`。
 
 ```bash
 # 第一次 / 升级（钉死版本，避开 24h 发布冷却）
-dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.52
+dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.55
 ```
 
 本版改了什么：见 [CHANGELOG.md](./CHANGELOG.md)。

package/README.zh.md

@@ -1,6 +1,6 @@
 # dsh-rez-suite
 
-**用户只装这一包。** 升级只记：`dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.50`（不要用裸 `update`；不要 latest；不要 0.1.46 / 0.1.47）。本版改了什么见 [CHANGELOG.md](./CHANGELOG.md)。拆分包给开发改代码；不要对同一 profile 再单独 add 子包。
+**用户只装这一包。** 升级只记：`dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.55`（不要用裸 `update`；不要 latest；不要 0.1.46 / 0.1.47 / 0.1.51）。本版改了什么见 [CHANGELOG.md](./CHANGELOG.md)。拆分包给开发改代码；不要对同一 profile 再单独 add 子包。
 
 说明书 / 规格书用输入栏**回形针**上传原 PDF（官方对话只收图，不要拖文件；不要用微信发 PDF）。先入 `Marketing/Inbox` + TAPD 测试中，凯文跟 Harness 说审批了哪份后，再写入 `Marketing/Publish/…`。
 

package/cordis.patch.yml

@@ -1,5 +1,5 @@
 # 用户只装这一包：`dsh plugin --profile web add @rezti/dsh-rez-suite`
-# 升级只记这一条：`dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.50`
+# 升级只记这一条：`dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.55`
 # 不要再单独 add 子包，会重复注册。
 #
 # MCP rows are started by the domain plugins after rezSso resolves secrets.

package/lib/client.js

@@ -994,6 +994,48 @@ function ChannelTable({ kind, lang }) {
 //#endregion
 //#region src/changelog.ts
 const SUITE_CHANGELOG = [
+	{
+		version: "0.1.55",
+		date: "2026-08-21",
+		sections: [{
+			title: {
+				zh: "企微单聊语音当文字",
+				en: "WeCom voice as text"
+			},
+			items: [{
+				zh: "企业微信智能机器人单聊语音走官方转写（voice.content），当普通文字进房间。个人微信不改。群聊语音官方不保证有转写。不改员工机安装包。",
+				en: "WeCom AI-bot single-chat voice uses the official transcription (voice.content) as room text. Personal WeChat is unchanged. Group voice is not guaranteed. Do not bump the installer."
+			}]
+		}]
+	},
+	{
+		version: "0.1.54",
+		date: "2026-08-21",
+		sections: [{
+			title: {
+				zh: "人财法按组织架构分权",
+				en: "Staff rooms use org chart"
+			},
+			items: [{
+				zh: "人事/财务/法务开场用 Odoo login 对 Nextcloud 组织架构。身份只有老板、员工、雷泽AI助手。人事助理认「我 / 人事 / 其他人」。不改员工机安装包。",
+				en: "HR/Finance/Legal rooms match Odoo login to the Nextcloud org chart. Identities are boss, employee, and Rez AI assistant. HR tells 我 / 人事 / 其他人 apart. Do not bump the installer."
+			}]
+		}]
+	},
+	{
+		version: "0.1.53",
+		date: "2026-08-20",
+		sections: [{
+			title: {
+				zh: "自带 wecom-cli 1.1",
+				en: "Bundled wecom-cli 1.1"
+			},
+			items: [{
+				zh: "suite 依赖 @wecom/cli@1.1.0，装插件即带 mail/auth。PATH 优先用 profile 里的二进制，避开 Homebrew 0.1.9。房间仍 BotID+Secret；办公 auth init 可扫码。",
+				en: "Suite depends on @wecom/cli@1.1.0 (mail/auth). Prefers the profile binary over Homebrew 0.1.9. Room bots still BotID+Secret; office auth init can QR."
+			}]
+		}]
+	},
 	{
 		version: "0.1.52",
 		date: "2026-08-20",

package/lib/index.js

@@ -4,8 +4,8 @@ import { dirname, join, relative } from "node:path";
 import { REZ_CREDENTIAL_REFS, REZ_DEFAULT_CONNECTIONS, REZ_SYSTEMS, lastMcpStartError, loadRezConnections, mergeConnections, readManagedCredential, secretConfigured, startMcpWhenSecret, writeManagedCredential } from "@rezti/dsh-rez-sso";
 import { existsSync, mkdirSync, readFileSync, readdirSync, realpathSync, renameSync, statSync, writeFileSync } from "node:fs";
 import { spawn, spawnSync } from "node:child_process";
-import { DatabaseSync } from "node:sqlite";
 import { fileURLToPath } from "node:url";
+import { DatabaseSync } from "node:sqlite";
 //#region ../../node_modules/.pnpm/@deepseek-ai+cosmokit@1.8.2/node_modules/@deepseek-ai/cosmokit/lib/index.js
 /** Return true when a value is `null` or `undefined`. */
 function isNullable(value) {
@@ -3236,6 +3236,9 @@ function saveConfig(config) {
 * TAPD bug 1154488930001000054: missing MCP row was treated as “no WeCom”.
 * Official CLI v1.1+ opened 通讯录 / 在线文档 etc. for every company size
 * (https://github.com/WecomTeam/wecom-cli). Kelvin enabled those modules.
+*
+* Suite depends on @wecom/cli@1.1.0 so the profile gets a modern binary.
+* Prefer that over a global Homebrew 0.1.x that lacks `mail` / `auth`.
 */
 /** Official @wecom/cli >=1.1 catalog. Do not invent extra HTTP APIs. */
 const WECOM_CLI_CATALOG = [
@@ -3294,18 +3297,22 @@ const WECOM_CLI_CATALOG = [
 ];
 const MODULE_LABELS = WECOM_CLI_CATALOG.map((row) => row.label).join("/");
 const HINT_MISSING = [
-	`未安装官方 wecom-cli（@wecom/cli >=1.1）。企微办公能力（${MODULE_LABELS}）走 CLI，不是 MCP。`,
-	"安装：npm i -g @wecom/cli ，然后 wecom-cli auth init。",
-	"官方已面向各规模企业开放通讯录等能力，不要再说「超过 10 人只能用文档」。",
-	"不要因为 rez_status 没有 wechat MCP 行就说没有企微能力。"
+	`未找到可用的 wecom-cli >=1.1（企微办公：${MODULE_LABELS}）。`,
+	"suite 已依赖 @wecom/cli@1.1.0：请重装 @rezti/dsh-rez-suite，或确认 profile 的 node_modules 里有 @wecom/cli。",
+	"不要用 Homebrew 全局 0.1.x（没有 mail/auth）。不要因为没有 wechat MCP 就说没有企微能力。"
+].join("");
+const HINT_OUTDATED = [
+	"PATH 上的 wecom-cli 过旧（<1.1，没有 mail 等子命令）。",
+	"请用 suite 自带的 @wecom/cli@1.1.0：重装 suite，或把 profile node_modules/.bin 放在 PATH 最前。",
+	"不要 npm i -g 覆盖到旧 Homebrew 路径前面仍是 0.1.9。"
 ].join("");
 const HINT_UNAUTH = [
-	"已安装 wecom-cli，尚未授权。跑 wecom-cli auth init。",
+	"已安装 wecom-cli >=1.1，尚未授权。跑 wecom-cli auth init（可扫码）。",
 	`授权后可用：${MODULE_LABELS}。本企业已开通这些品类。`,
 	"CLI 报某模块未授权才说该能力未开通；不要说「没有企微 MCP」，也不要说 10 人限制。"
 ].join("");
 const HINT_OK = [
-	`企微办公能力走 wecom-cli >=1.1（${MODULE_LABELS}）。本企业已开通。`,
+	`企微办公能力走 wecom-cli >=1.1（${MODULE_LABELS}）。本企业已开通。suite 已带 @wecom/cli。`,
 	"按房间里官方 wecomcli-* 技能执行，命令以 wecom-cli <模块> --help 为准。",
 	"不要用旧帮助中心「超过 10 人只能用文档」的说法。CLI 报未授权才说该模块未开通。",
 	"设置页 BotID+Secret 只是房间消息通道。不要把没有 mcp__wechat__* 当成没有企微能力。"
@@ -3313,8 +3320,32 @@ const HINT_OK = [
 function wecomCliCatalog() {
 	return WECOM_CLI_CATALOG.map((row) => ({ ...row }));
 }
+/** Resolve suite-bundled @wecom/cli binary; undefined if not installed next to suite. */
+function resolveWecomCliBin() {
+	const require = createRequire(import.meta.url);
+	try {
+		const bin = join(dirname(require.resolve("@wecom/cli/package.json")), "bin", "wecom.js");
+		if (existsSync(bin)) return bin;
+	} catch {}
+	const here = dirname(fileURLToPath(import.meta.url));
+	for (const candidate of [
+		join(here, "..", "node_modules", "@wecom", "cli", "bin", "wecom.js"),
+		join(here, "..", "..", "node_modules", "@wecom", "cli", "bin", "wecom.js"),
+		join(here, "..", "..", "..", "node_modules", "@wecom", "cli", "bin", "wecom.js")
+	]) if (existsSync(candidate)) return candidate;
+}
+/** Put suite-bundled wecom-cli ahead of global Homebrew 0.1.x on PATH. */
+function ensureWecomCliOnPath() {
+	const bin = resolveWecomCliBin();
+	if (bin === void 0) return void 0;
+	const dir = dirname(bin);
+	const pathKey = process.platform === "win32" ? "Path" : "PATH";
+	const parts = (process.env[pathKey] ?? "").split(process.platform === "win32" ? ";" : ":").filter(Boolean);
+	if (parts[0] !== dir) process.env[pathKey] = [dir, ...parts.filter((p) => p !== dir)].join(process.platform === "win32" ? ";" : ":");
+	return bin;
+}
 function defaultWecomCliRunner(argv) {
-	const result = spawnSync("wecom-cli", argv, {
+	const result = spawnSync(resolveWecomCliBin() ?? "wecom-cli", argv, {
 		encoding: "utf8",
 		timeout: 4e3,
 		env: process.env
@@ -3331,6 +3362,15 @@ function looksUnauthorized(text, status) {
 	if (status !== 0) return true;
 	return /未授权|未登录|未初始化|not (logged|auth)|unauthorized|请先.*auth|auth init/i.test(text);
 }
+/** 0.1.x has no mail; 1.1 help lists mail. */
+function isWecomCliModern(helpOrVersionText) {
+	const text = helpOrVersionText.toLowerCase();
+	if (/\b0\.1\.\d+\b/.test(text) && !/\b1\.\d+\.\d+\b/.test(text)) return false;
+	if (/\bunrecognized subcommand\b/.test(text)) return false;
+	if (/\bmail\b/.test(text)) return true;
+	if (/\b1\.\d+\.\d+\b/.test(text) || /wecom-cli\s*\(?\s*1\./i.test(helpOrVersionText)) return true;
+	return false;
+}
 function withCatalog(partial) {
 	return {
 		...partial,
@@ -3338,34 +3378,48 @@ function withCatalog(partial) {
 	};
 }
 function probeWecomCli(run = defaultWecomCliRunner) {
+	const bin = resolveWecomCliBin();
 	const help = run(["--help"]);
 	if (help.errorCode === "ENOENT") return withCatalog({
 		installed: false,
 		authorized: false,
-		hint: HINT_MISSING
+		hint: HINT_MISSING,
+		bin
 	});
 	const helpText = help.stdout + help.stderr;
 	if (help.status !== 0 && helpText.trim().length === 0) return withCatalog({
 		installed: false,
 		authorized: false,
-		hint: HINT_MISSING
+		hint: HINT_MISSING,
+		bin
+	});
+	const version = run(["--version"]);
+	const versionText = version.stdout + version.stderr;
+	if (!isWecomCliModern(helpText + "\n" + versionText)) return withCatalog({
+		installed: false,
+		authorized: false,
+		hint: HINT_OUTDATED,
+		bin
 	});
 	const auth = run(["auth", "show"]);
 	const text = auth.stdout + auth.stderr;
 	if (auth.errorCode === "ENOENT") return withCatalog({
 		installed: false,
 		authorized: false,
-		hint: HINT_MISSING
+		hint: HINT_MISSING,
+		bin
 	});
 	if (looksUnauthorized(text, auth.status)) return withCatalog({
 		installed: true,
 		authorized: false,
-		hint: HINT_UNAUTH
+		hint: HINT_UNAUTH,
+		bin
 	});
 	return withCatalog({
 		installed: true,
 		authorized: true,
-		hint: HINT_OK
+		hint: HINT_OK,
+		bin
 	});
 }
 //#endregion
@@ -8419,7 +8473,7 @@ function listFiles(root) {
 //#region src/boss/mount.ts
 const STAFF_GUIDANCE = [
 	"侧栏已登记人事助理 / 财务助理 / 法务助理。装完、选身份后自动出现，不必手动「添加工作区」、也不必拖排序。",
-	"三个助理给所有人用。能做什么看当前 Odoo 帐号的可视范围；Harness 只列选项，不自审、不自过账。",
+	"三个助理给所有人用。开场用 Odoo 帐号对 Nextcloud 组织架构（老板 / 员工）；本室助手永远是雷泽AI助手。能做什么看身份能力矩阵 + Odoo 可视范围；Harness 只列选项，不自审、不自过账。",
 	"报销走财务助理。搞钱室是战略数字，不要在助理房间里做。",
 	"用户用中文就中文、用英文就英文；不要因为工作区文件是中文就强制中文。"
 ].join("");
@@ -8911,6 +8965,7 @@ function delegatedHost(ctx, getConfig) {
 	};
 }
 function apply(ctx, config) {
+	ensureWecomCliOnPath();
 	let current = () => normalize(config);
 	const syncWorkspaces = mountRezWorkspaces(ctx, () => current().role);
 	const syncQcc = mountQccMcp(ctx);

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@rezti/dsh-rez-suite",
-  "description": "ReZ-TI one-package install for DeepSeek Harness. Update with: dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.52",
-  "version": "0.1.52",
+  "description": "ReZ-TI one-package install for DeepSeek Harness. Update with: dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.55",
+  "version": "0.1.55",
   "type": "module",
   "engines": {
     "node": "^22.19.0 || >=24.0.0"
@@ -45,8 +45,9 @@
     "@rezti/dsh-rez-sso": "^0.1.14",
     "@rezti/dsh-rez-tapd": "^0.1.1",
     "@rezti/dsh-rez-token-manager": "^0.1.4",
-    "@rezti/dsh-rez-wechat": "^0.1.16",
+    "@rezti/dsh-rez-wechat": "^0.1.17",
     "@rezti/dsh-web-file-uploader": "0.2.3",
+    "@wecom/cli": "1.1.0",
     "@modelcontextprotocol/sdk": "^1.30.0",
     "zod": "^4.4.3"
   },

package/src/boss/mount.ts

@@ -13,7 +13,7 @@ import { BOSS_ROOMS, ENGINEER_ROOMS, OPS_ROOMS, STAFF_ROOMS, seedBossWorkspaces,
 
 export const STAFF_GUIDANCE = [
   '侧栏已登记人事助理 / 财务助理 / 法务助理。装完、选身份后自动出现，不必手动「添加工作区」、也不必拖排序。',
-  '三个助理给所有人用。能做什么看当前 Odoo 帐号的可视范围；Harness 只列选项，不自审、不自过账。',
+  '三个助理给所有人用。开场用 Odoo 帐号对 Nextcloud 组织架构（老板 / 员工）；本室助手永远是雷泽AI助手。能做什么看身份能力矩阵 + Odoo 可视范围；Harness 只列选项，不自审、不自过账。',
   '报销走财务助理。搞钱室是战略数字，不要在助理房间里做。',
   '用户用中文就中文、用英文就英文；不要因为工作区文件是中文就强制中文。',
 ].join('')

package/src/changelog.ts

@@ -20,6 +20,51 @@ export interface ChangelogRelease {
 }
 
 export const SUITE_CHANGELOG: readonly ChangelogRelease[] = [
+  {
+    version: '0.1.55',
+    date: '2026-08-21',
+    sections: [
+      {
+        title: { zh: '企微单聊语音当文字', en: 'WeCom voice as text' },
+        items: [
+          {
+            zh: '企业微信智能机器人单聊语音走官方转写（voice.content），当普通文字进房间。个人微信不改。群聊语音官方不保证有转写。不改员工机安装包。',
+            en: 'WeCom AI-bot single-chat voice uses the official transcription (voice.content) as room text. Personal WeChat is unchanged. Group voice is not guaranteed. Do not bump the installer.',
+          },
+        ],
+      },
+    ],
+  },
+  {
+    version: '0.1.54',
+    date: '2026-08-21',
+    sections: [
+      {
+        title: { zh: '人财法按组织架构分权', en: 'Staff rooms use org chart' },
+        items: [
+          {
+            zh: '人事/财务/法务开场用 Odoo login 对 Nextcloud 组织架构。身份只有老板、员工、雷泽AI助手。人事助理认「我 / 人事 / 其他人」。不改员工机安装包。',
+            en: 'HR/Finance/Legal rooms match Odoo login to the Nextcloud org chart. Identities are boss, employee, and Rez AI assistant. HR tells 我 / 人事 / 其他人 apart. Do not bump the installer.',
+          },
+        ],
+      },
+    ],
+  },
+  {
+    version: '0.1.53',
+    date: '2026-08-20',
+    sections: [
+      {
+        title: { zh: '自带 wecom-cli 1.1', en: 'Bundled wecom-cli 1.1' },
+        items: [
+          {
+            zh: 'suite 依赖 @wecom/cli@1.1.0，装插件即带 mail/auth。PATH 优先用 profile 里的二进制，避开 Homebrew 0.1.9。房间仍 BotID+Secret；办公 auth init 可扫码。',
+            en: 'Suite depends on @wecom/cli@1.1.0 (mail/auth). Prefers the profile binary over Homebrew 0.1.9. Room bots still BotID+Secret; office auth init can QR.',
+          },
+        ],
+      },
+    ],
+  },
   {
     version: '0.1.52',
     date: '2026-08-20',

package/src/index.ts

@@ -28,6 +28,7 @@ import { TokenManager } from './token-manager.ts'
 import { rezConfigTool, rezEsphomeCompileTool, rezStatusTool } from './tools.ts'
 import type { RezConfig } from './protocol.ts'
 import { workspaceGuidanceFor, mountRezWorkspaces } from './boss/mount.ts'
+import { ensureWecomCliOnPath } from './wecom-cli.ts'
 import { liveSelfUpdate } from './self-update.ts'
 import { mountTianyanchaMcp } from './tianyancha.ts'
 import { mountQccMcp, QCC_COMPANY_MCP_URL } from './qcc.ts'
@@ -149,6 +150,8 @@ function delegatedHost(ctx: Context, getConfig: () => RezConfig): McpHost {
 }
 
 export function apply(ctx: Context, config?: RezConfig): void {
+  // Prefer suite-bundled @wecom/cli@1.1 over global Homebrew 0.1.x (no mail).
+  ensureWecomCliOnPath()
   let current: () => RezConfig = () => normalize(config)
   const syncWorkspaces = mountRezWorkspaces(ctx, () => current().role)
   const syncQcc = mountQccMcp(ctx)

package/src/wecom-cli.ts

@@ -3,9 +3,16 @@
  * TAPD bug 1154488930001000054: missing MCP row was treated as “no WeCom”.
  * Official CLI v1.1+ opened 通讯录 / 在线文档 etc. for every company size
  * (https://github.com/WecomTeam/wecom-cli). Kelvin enabled those modules.
+ *
+ * Suite depends on @wecom/cli@1.1.0 so the profile gets a modern binary.
+ * Prefer that over a global Homebrew 0.1.x that lacks `mail` / `auth`.
  */
 
 import { spawnSync } from 'node:child_process'
+import { existsSync } from 'node:fs'
+import { dirname, join } from 'node:path'
+import { createRequire } from 'node:module'
+import { fileURLToPath } from 'node:url'
 
 export interface WecomCliModule {
   id: string
@@ -17,6 +24,8 @@ export interface WecomCliStatus {
   authorized: boolean
   modules: WecomCliModule[]
   hint: string
+  /** Absolute path preferred for agent shell (suite-bundled). */
+  bin?: string
 }
 
 export interface WecomCliRunResult {
@@ -48,20 +57,25 @@ export const WECOM_CLI_CATALOG: readonly WecomCliModule[] = [
 const MODULE_LABELS = WECOM_CLI_CATALOG.map((row) => row.label).join('/')
 
 const HINT_MISSING = [
-  `未安装官方 wecom-cli（@wecom/cli >=1.1）。企微办公能力（${MODULE_LABELS}）走 CLI，不是 MCP。`,
-  '安装：npm i -g @wecom/cli ，然后 wecom-cli auth init。',
-  '官方已面向各规模企业开放通讯录等能力，不要再说「超过 10 人只能用文档」。',
-  '不要因为 rez_status 没有 wechat MCP 行就说没有企微能力。',
+  `未找到可用的 wecom-cli >=1.1（企微办公：${MODULE_LABELS}）。`,
+  'suite 已依赖 @wecom/cli@1.1.0：请重装 @rezti/dsh-rez-suite，或确认 profile 的 node_modules 里有 @wecom/cli。',
+  '不要用 Homebrew 全局 0.1.x（没有 mail/auth）。不要因为没有 wechat MCP 就说没有企微能力。',
+].join('')
+
+const HINT_OUTDATED = [
+  'PATH 上的 wecom-cli 过旧（<1.1，没有 mail 等子命令）。',
+  '请用 suite 自带的 @wecom/cli@1.1.0：重装 suite，或把 profile node_modules/.bin 放在 PATH 最前。',
+  '不要 npm i -g 覆盖到旧 Homebrew 路径前面仍是 0.1.9。',
 ].join('')
 
 const HINT_UNAUTH = [
-  '已安装 wecom-cli，尚未授权。跑 wecom-cli auth init。',
+  '已安装 wecom-cli >=1.1，尚未授权。跑 wecom-cli auth init（可扫码）。',
   `授权后可用：${MODULE_LABELS}。本企业已开通这些品类。`,
   'CLI 报某模块未授权才说该能力未开通；不要说「没有企微 MCP」，也不要说 10 人限制。',
 ].join('')
 
 const HINT_OK = [
-  `企微办公能力走 wecom-cli >=1.1（${MODULE_LABELS}）。本企业已开通。`,
+  `企微办公能力走 wecom-cli >=1.1（${MODULE_LABELS}）。本企业已开通。suite 已带 @wecom/cli。`,
   '按房间里官方 wecomcli-* 技能执行，命令以 wecom-cli <模块> --help 为准。',
   '不要用旧帮助中心「超过 10 人只能用文档」的说法。CLI 报未授权才说该模块未开通。',
   '设置页 BotID+Secret 只是房间消息通道。不要把没有 mcp__wechat__* 当成没有企微能力。',
@@ -79,8 +93,46 @@ export function parseWecomCliHelpModules(helpText: string): WecomCliModule[] {
   })
 }
 
+/** Resolve suite-bundled @wecom/cli binary; undefined if not installed next to suite. */
+export function resolveWecomCliBin(): string | undefined {
+  const require = createRequire(import.meta.url)
+  try {
+    const pkgJson = require.resolve('@wecom/cli/package.json')
+    const bin = join(dirname(pkgJson), 'bin', 'wecom.js')
+    if (existsSync(bin)) return bin
+  } catch {
+    // not hoisted next to this module
+  }
+  // Fallbacks when published layout differs
+  const here = dirname(fileURLToPath(import.meta.url))
+  for (const candidate of [
+    join(here, '..', 'node_modules', '@wecom', 'cli', 'bin', 'wecom.js'),
+    join(here, '..', '..', 'node_modules', '@wecom', 'cli', 'bin', 'wecom.js'),
+    join(here, '..', '..', '..', 'node_modules', '@wecom', 'cli', 'bin', 'wecom.js'),
+  ]) {
+    if (existsSync(candidate)) return candidate
+  }
+  return undefined
+}
+
+/** Put suite-bundled wecom-cli ahead of global Homebrew 0.1.x on PATH. */
+export function ensureWecomCliOnPath(): string | undefined {
+  const bin = resolveWecomCliBin()
+  if (bin === undefined) return undefined
+  const dir = dirname(bin)
+  const pathKey = process.platform === 'win32' ? 'Path' : 'PATH'
+  const current = process.env[pathKey] ?? ''
+  const parts = current.split(process.platform === 'win32' ? ';' : ':').filter(Boolean)
+  if (parts[0] !== dir) {
+    process.env[pathKey] = [dir, ...parts.filter((p) => p !== dir)].join(process.platform === 'win32' ? ';' : ':')
+  }
+  return bin
+}
+
 export function defaultWecomCliRunner(argv: string[]): WecomCliRunResult {
-  const result = spawnSync('wecom-cli', argv, {
+  const bundled = resolveWecomCliBin()
+  const cmd = bundled ?? 'wecom-cli'
+  const result = spawnSync(cmd, argv, {
     encoding: 'utf8',
     timeout: 4000,
     env: process.env,
@@ -99,27 +151,44 @@ function looksUnauthorized(text: string, status: number | null): boolean {
   return /未授权|未登录|未初始化|not (logged|auth)|unauthorized|请先.*auth|auth init/i.test(text)
 }
 
+/** 0.1.x has no mail; 1.1 help lists mail. */
+export function isWecomCliModern(helpOrVersionText: string): boolean {
+  const text = helpOrVersionText.toLowerCase()
+  if (/\b0\.1\.\d+\b/.test(text) && !/\b1\.\d+\.\d+\b/.test(text)) return false
+  if (/\bunrecognized subcommand\b/.test(text)) return false
+  if (/\bmail\b/.test(text)) return true
+  if (/\b1\.\d+\.\d+\b/.test(text) || /wecom-cli\s*\(?\s*1\./i.test(helpOrVersionText)) return true
+  return false
+}
+
 function withCatalog(partial: Omit<WecomCliStatus, 'modules'>): WecomCliStatus {
   return { ...partial, modules: wecomCliCatalog() }
 }
 
 export function probeWecomCli(run: WecomCliRunner = defaultWecomCliRunner): WecomCliStatus {
+  const bin = resolveWecomCliBin()
   const help = run(['--help'])
   if (help.errorCode === 'ENOENT') {
-    return withCatalog({ installed: false, authorized: false, hint: HINT_MISSING })
+    return withCatalog({ installed: false, authorized: false, hint: HINT_MISSING, bin })
   }
   const helpText = help.stdout + help.stderr
   if (help.status !== 0 && helpText.trim().length === 0) {
-    return withCatalog({ installed: false, authorized: false, hint: HINT_MISSING })
+    return withCatalog({ installed: false, authorized: false, hint: HINT_MISSING, bin })
+  }
+
+  const version = run(['--version'])
+  const versionText = version.stdout + version.stderr
+  if (!isWecomCliModern(helpText + '\n' + versionText)) {
+    return withCatalog({ installed: false, authorized: false, hint: HINT_OUTDATED, bin })
   }
 
   const auth = run(['auth', 'show'])
   const text = auth.stdout + auth.stderr
   if (auth.errorCode === 'ENOENT') {
-    return withCatalog({ installed: false, authorized: false, hint: HINT_MISSING })
+    return withCatalog({ installed: false, authorized: false, hint: HINT_MISSING, bin })
   }
   if (looksUnauthorized(text, auth.status)) {
-    return withCatalog({ installed: true, authorized: false, hint: HINT_UNAUTH })
+    return withCatalog({ installed: true, authorized: false, hint: HINT_UNAUTH, bin })
   }
-  return withCatalog({ installed: true, authorized: true, hint: HINT_OK })
+  return withCatalog({ installed: true, authorized: true, hint: HINT_OK, bin })
 }

package/templates/shared/staff-identity/SKILL.md

@@ -0,0 +1,25 @@
+---
+name: staff-identity
+description: 人财法三房间每次开场必用。用 Odoo login 对 Nextcloud 组织架构，识别老板/人事/其他人；本室永远是雷泽AI助手。不要凭自称升级权限。
+---
+
+完整规矩在 Nextcloud `Documents/Standards/org/identity.md`（INDEX 代码 `HR-ORG-CAP-001`）。花名册 `org/chart.yaml`（`HR-ORG-001`）。TAPD `1154488930001001253`。
+
+## 开场（先于请假/报销/合同）
+
+1. `mcp__odoo__get_current_context`，记下 login、当前公司。
+2. 用 login / 工作邮箱搜 `hr.employee`。搜不到就说「这个 Odoo 帐号下没有员工档案」，按员工档做自己能做的，不要猜是老板。
+3. 打开 `Documents/Standards/INDEX.yaml`，按相对 uri 读 `org/chart.yaml`。用 login 或 work_email 对 `people[]`。
+4. 对上：`identity` 是 **老板** 或 **员工**。`function` 含 `人事`/`财务`/`法务` 才开专员档。对不上：按 **员工**（其他人）。
+5. **本室助手永远是雷泽AI助手**：只起草、列选项、读 INDEX；不代批、不自过账、不把手册写入 MEMORY、不把 A 的档案讲给 B。
+6. Harness 侧栏角色（老板/运营/工程师）只决定房间，不代替这三档。
+
+## 人事助理额外认档
+
+- **我** = chart `identity: 老板`
+- **人事** = `identity: 员工` 且 `function` 含 `人事`
+- **其他人** = 其余员工
+
+老板可口述修订公司规则；写入 Standards / 改 INDEX 须老板明确批准。人事可起草不能发布。其他人只读自己相关的制度与单据。
+
+Odoo 记录规则是硬门禁。chart 不能让你看见 Odoo 不给的单。

package/templates/shared/wecom-cli.SOURCE.md

@@ -6,4 +6,4 @@
 
 雷泽自己的索引是 `wecom-office/SKILL.md`。
 
-运行时 CLI：`npm i -g @wecom/cli@>=1.1.0`，然后 `wecom-cli auth init`。`0.1.x` 命令面不同，不要混用。
+运行时 CLI：suite 依赖钉 `@wecom/cli@1.1.0`（随插件进 profile）。启动时把其 `bin` 目录插到 PATH 最前，避开 Homebrew 全局 `0.1.x`。授权：`wecom-cli auth init`。`wecomcli-shared` 的安装步骤已改成「重装 suite」，不要再引导 `npm i -g`。

package/templates/shared/wecom-office/SKILL.md

@@ -28,5 +28,5 @@ description: 企业微信办公能力索引。官方 wecom-cli v1.1+ 已面向
 2. 先读 `wecomcli-shared`，再读对应 `wecomcli-*`。子命令以 `wecom-cli <模块> --help` 为准。
 3. CLI 返回未授权 / 无权限，才说**该模块未开通**。不要总结成「当前系统没有企业微信 MCP」，也不要说「超过 10 人没有通讯录」。
 4. 设置页 **BotID + Secret** 是房间**消息通道**（同事在企微跟哪个 bot 说话进哪个 Harness 房间）。**继续用手填绑定，不要改成扫码。**
-5. 办公 API 另走 `wecom-cli auth init`（官方支持扫码，也可 `--manual`）。两套凭证不要混。
+5. 办公 API：suite 已带 `@wecom/cli@1.1.0`。授权跑 `wecom-cli auth init`（可扫码）。若 PATH 上是 Homebrew `0.1.9`，改用 profile / `npx --no-install wecom-cli`。两套凭证不要混。
 6. 未另批前不要群发、不要改通讯录结构、不要对外发邮件。

package/templates/shared/wecomcli-shared/SKILL.md

@@ -11,18 +11,19 @@ description: wecom-cli 业务技能的公共前置检查、获取机器人及授
 
 ## Step 1：检查 CLI 安装与版本
 
+ReZ-TI suite 已依赖 `@wecom/cli@1.1.0`（随 `dsh plugin add @rezti/dsh-rez-suite` 装进 profile）。**优先用 profile 里的二进制**，不要用 Homebrew 全局 `0.1.x`（没有 `mail` / 完整 `auth`）。
+
 ```bash
 wecom-cli --version
+# 若输出是 0.1.x，或 which wecom-cli 指向 /opt/homebrew，改用：
+# npx --no-install wecom-cli --version
+# 或：node "$(node -p \"require('path').join(require('path').dirname(require.resolve('@wecom/cli/package.json')),'bin/wecom.js')\")" --version
 ```
 
-- 命令成功，且输出中的版本号不低于 `1.1.0` → 继续 Step 2。
-- 命令不存在、执行报错或版本号低于 `1.1.0` → 执行安装/升级：
-
-```bash
-npm install -g @wecom/cli
-```
+- 命令成功，且版本号不低于 `1.1.0` → 继续 Step 2。
+- 命令不存在、执行报错或版本仍低于 `1.1.0` → **不要** `npm install -g @wecom/cli`（容易仍被旧 PATH 盖住）。请用户重装 suite：`dsh plugin --profile web add @rezti/dsh-rez-suite@<当前版>`。仅当 suite 依赖确实缺失时，才可：`npm i @wecom/cli@1.1.0 --prefix "$HOME/.local"` 并把 `$HOME/.local/bin` 放到 PATH **最前**。
 
-安装完成后重新执行 `wecom-cli --version`；仍失败或版本仍低于 `1.1.0` 时停止业务操作，并把错误告知用户。
+安装/重装后重新执行 `wecom-cli --version`；仍失败或版本仍低于 `1.1.0` 时停止业务操作，并把错误告知用户。
 
 ## Step 2：检查授权状态
 

package/templates/staff/finance/.agents/skills/staff-finance/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: staff-finance
-description: 财务助理。全员报销；审批/报表/过账仅当当前 Odoo 帐号能看见对应单据。不自审不自过账。
+description: 财务助理（雷泽AI助手）。开场用 Odoo 对组织架构认老板/财务/其他人。全员报销；审批/报表/过账还要 Odoo 真能看见单据。不自审不自过账。
 ---
 
-完整规矩在工作区 `AGENTS.md`。先 `mcp__odoo__get_current_context`。报销走 `hr.expense` / `hr.expense.sheet`。搞钱室不要在这里做。问制度/报销标准先打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读，不要把手册写入 MEMORY。工商查询请切到法务助理，避免串房间。用户用中文就中文、用英文就英文。
+完整规矩在工作区 `AGENTS.md`。先走技能 `staff-identity`：`mcp__odoo__get_current_context`，再读 Nextcloud `org/chart.yaml`。报销走 `hr.expense` / `hr.expense.sheet`。搞钱室不要在这里做。问制度/报销标准先打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读，不要把手册写入 MEMORY。工商查询请切到法务助理，避免串房间。用户用中文就中文、用英文就英文。

package/templates/staff/finance/AGENTS.md

@@ -1,29 +1,30 @@
 # 财务助理
 
-你是雷泽智能的**财务助理**（报销是给所有人的入口）。同一套工作区全员能进。能看见哪张单、能不能提交/批准/过账，一律以**当前 Odoo 登录帐号**为准。Harness **只做选择**：起草、列待办、让人点选项；**不自审、不自过账、不编分录**。
+你是雷泽智能的**财务助理**（身份：**雷泽AI助手**；报销是给所有人的入口）。同一套工作区全员能进。说话人用 **Odoo 登录帐号** 对 Nextcloud 组织架构；能看见哪张单、能不能提交/批准/过账，仍以当前 Odoo 帐号为准。Harness **只做选择**：起草、列待办、让人点选项；**不自审、不自过账、不编分录**。
 
 语言：用户用中文就中文，用英文就英文；结构不变。不要因为本文件是中文就强制中文。
 
-战略回款简报请去 **搞钱** 室。本室做单据流。
+战略回款简报请去 **搞钱** 室。本室做单据流。走技能 `staff-identity`（TAPD `1154488930001001253`）。
 
 ## 每次开场
 
 1. `mcp__odoo__get_current_context`
-2. 按返回的 uid 搜单据。空结果 = 没权限或没有单，照实说。
-3. 禁止因为「老板文件夹」「他说他是财务」就扩大范围。
+2. 用 login 搜 `hr.employee`。打开 Nextcloud `Documents/Standards/INDEX.yaml`，读 `org/chart.yaml` 与 `org/identity.md`。
+3. 认说话人：老板 / 财务（`function` 含 `财务`）/ 其他人。本室永远是雷泽AI助手。禁止因为「老板文件夹」「他说他是财务」就扩大范围。
+4. 按返回的 uid 搜单据。空结果 = 没权限或没有单，照实说。
 
-## 服务层级（建议这样对用户讲）
+## 服务层级（身份档 × Odoo 单据）
 
-全员默认都有「报销」这一档；后面几档**只有 Odoo 真的给出单据时才出现**。
+全员默认都有「报销」；审批/报表**只有身份允许且 Odoo 真的给出单据时才出现**。
 
-| 档 | Odoo 信号 | 服务 |
-|----|-----------|------|
-| **报销（全员）** | 可读写自己的 `hr.expense` / `hr.expense.sheet` | 根据票面起草费用行与报销单；选「保存草稿 / 提交」；查自己的进度 |
-| **审批** | 能列出待自己审的 sheet | 摘要金额/公司/提交人；选项：批准 / 拒绝 / 退回补票。人选定后再调工作流 |
-| **会计** | 能对已批准单做凭证相关动作 | 选项：生成会计分录 / 登记付款。执行前必须说明影响哪家公司、哪本日记账 |
-| **老板** | 能读报表模型或多公司汇总 | 损益/账龄/费用汇总（只读）。工资单：若 `hr.payslip` 未对 MCP 开放，明确说做不了，不要假装审批 |
+| 说话人 | Odoo 信号 | 服务 |
+|--------|-----------|------|
+| **其他人（员工）** | 可读写自己的 `hr.expense` / `hr.expense.sheet` | 根据票面起草费用行与报销单；选「保存草稿 / 提交」；查自己的进度 |
+| **财务** | chart `function` 含 `财务`，且能列出待审 sheet / 凭证动作 | 待审摘要；选项：批准 / 拒绝 / 退回补票；会计选项：生成分录 / 登记付款（执行前说明哪家公司、哪本日记账） |
+| **老板** | `identity: 老板`，且能读报表或多公司汇总 | 损益/账龄/费用汇总（只读）。工资单：若 `hr.payslip` 未对 MCP 开放，明确说做不了 |
+| **审批（Odoo 信号）** | 能列出待自己审的 sheet（主管也可能） | 有待审才问「要不要看待你审的」；人选定后再调工作流 |
 
-给普通员工时，开场不要甩「全公司费用报表」。有待审单才问「要不要看待你审的」。
+给其他人时，开场不要甩「全公司费用报表」。
 
 ## 报销主路径
 
@@ -56,7 +57,7 @@
 
 ## 公司标准（Nextcloud INDEX）
 
-问制度、手册、报销/出差标准、素材路径：打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读。按 `code` 找当前 `effective_from` 最新且未被 replace 的条目。引用时带路径 + 生效日。找不到就说「标准文件未归档」，不要用 MEMORY 里的旧数字。禁止把手册全文写入 MEMORY。
+问制度、手册、报销/出差标准、素材路径、组织架构：打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读。人财法开场还要读 `org/chart.yaml` 与 `org/identity.md`。按 `code` 找当前 `effective_from` 最新且未被 replace 的条目。引用时带路径 + 生效日。找不到就说「标准文件未归档」，不要用 MEMORY 里的旧数字。禁止把手册全文写入 MEMORY。
 
 ## 范围与红线
 

package/templates/staff/finance/BOOTSTRAP.md

@@ -18,6 +18,6 @@
 
 ---
 
-写入 `PRIORITIES.md`、`USER.md`、`MEMORY.md`、`IDENTITY.md`（身份：财务助理）后**删除本文件**。下一句：
+写入 `PRIORITIES.md`、`USER.md`、`MEMORY.md`、`IDENTITY.md`（身份：雷泽AI助手）后**删除本文件**。下一句：
 
 > 财务助理已记住。报销谁都能走；审批和报表只出现在你 Odoo 帐号能看见的范围内。

package/templates/staff/finance/IDENTITY.md

@@ -1,8 +1,8 @@
 # IDENTITY.md
 
 - 室：财务助理
-- 身份：财务助理（全员报销入口）
-- 服务谁：当前 Odoo uid；老板多出来的报表/工资入口也只在该 uid 能读到时出现
+- 身份：雷泽AI助手
+- 服务谁：当前 Odoo uid 对 `org/chart.yaml` 认老板 / 财务 / 其他人；报表入口只在该 uid 能读到时出现
 - 语气：数字、选项、不催过账
 
 _初始化完成后由 Agent 改写本文件。_

package/templates/staff/finance/SOUL.md

@@ -1,6 +1,6 @@
 # SOUL.md · 财务助理
 
-全员能报销。审批看 Odoo，不看头衔。
+本室是**雷泽AI助手**。说话人用 Odoo + 组织架构认老板 / 财务 / 其他人。
 
 帮填单、列选项。不替人过账，不编分录，没有单就说没有。
 搞钱室管战略数字；这里管报销单。

package/templates/staff/hr/.agents/skills/staff-hr/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: staff-hr
-description: 人事助理。全员请假/查自己；主管批假；权限完全跟当前 Odoo 帐号。
+description: 人事助理（雷泽AI助手）。开场用 Odoo 对组织架构，认我/人事/其他人。全员请假/查自己；主管批假仍跟 Odoo 单据。
 ---
 
-完整规矩在工作区 `AGENTS.md`。先 `mcp__odoo__get_current_context`。有 `BOOTSTRAP.md` 时正事优先再三拍。问制度/出差标准先打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读，不要把手册写入 MEMORY。问安装包、Harness、API Key 走技能 `staff-onboard-keys`：引导自领自填，不代办、不回显完整密钥。工商查询请切到法务助理，避免串房间。用户用中文就中文、用英文就英文。
+完整规矩在工作区 `AGENTS.md`。先走技能 `staff-identity`：`mcp__odoo__get_current_context`，再读 Nextcloud `org/chart.yaml`。有 `BOOTSTRAP.md` 时正事优先再三拍。问制度/出差标准先打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读，不要把手册写入 MEMORY。修订公司规则仅老板可发布（人事可起草）。问安装包、Harness、API Key 走技能 `staff-onboard-keys`：引导自领自填，不代办、不回显完整密钥。工商查询请切到法务助理，避免串房间。用户用中文就中文、用英文就英文。

package/templates/staff/hr/AGENTS.md

@@ -1,25 +1,31 @@
 # 人事助理
 
-你是雷泽智能的**人事助理**。同一套工作区给所有人用。能看见、能提交、能审批，一律以**当前 Odoo 登录帐号**的权限组 / 记录规则 / 公司为准。Harness 只帮人选动作、填草稿、解释状态，**不代替 Odoo 审核**。
+你是雷泽智能的**人事助理**（身份：**雷泽AI助手**）。同一套工作区给所有人用。说话人是谁，用 **Odoo 登录帐号** 对 Nextcloud 组织架构；能看见哪张单，仍以 Odoo 权限组 / 记录规则 / 公司为准。Harness 只帮人选动作、填草稿、解释状态，**不代替 Odoo 审核**。
 
 语言：用户用中文就中文，用英文就英文；结构不变。不要因为本文件是中文就强制中文。
 
+公司规则修订走**本室**。写入 Nextcloud Standards 须老板明确批准。走技能 `staff-identity`（TAPD `1154488930001001253`）。
+
 ## 每次开场
 
-1. 调 `mcp__odoo__get_current_context`，记住用户、时区、当前公司、可切换公司。
-2. 只展示 Odoo 实际返回的单据。搜不到就说「你的帐号下没有这张单」，不要根据对方自称「我是经理」升级权限。
-3. 多公司必须带 `company_id`，四家公司禁止混成一笔。
+1. `mcp__odoo__get_current_context`，记住 login、时区、当前公司、可切换公司。
+2. 用 login 搜 `hr.employee`。打开 Nextcloud `Documents/Standards/INDEX.yaml`，读 `org/chart.yaml` 与 `org/identity.md`。用 login / work_email 对 `people[]`。
+3. 认说话人：**我**（chart `identity: 老板`）/ **人事**（`function` 含 `人事`）/ **其他人**（其余员工，或对不上 chart）。本室永远是雷泽AI助手。不要根据对方自称「我是经理」升级权限。Harness 侧栏角色不代替这三档。
+4. 只展示 Odoo 实际返回的单据。搜不到就说「你的帐号下没有这张单」。
+5. 多公司必须带 `company_id`，四家公司禁止混成一笔。
+
+## 服务层级（身份档 × Odoo 单据）
 
-## 服务层级（由 Odoo 长出来，不是本室开关）
+身份档决定**主动提供什么**；Odoo 看不见仍不能做。
 
-| 档 | 何时出现 | 做什么 |
-|----|----------|--------|
-| 全员 | 能读自己的 `hr.employee` / `hr.leave` | 查假期余额、起草请假、看入职/档案里自己能看的字段 |
-| 主管 | 能搜到待自己审的 `hr.leave` | 列出待审，选项：同意 / 拒绝 / 退回补材料（人确认后再调 Odoo） |
-| 人事专员 | Odoo 给了更宽的员工/假期写权限 | 协助入职清单、假期类型说明、批量查询（仍不得改薪资结构除非 Odoo 允许） |
-| 老板 | 能跨部门读到员工汇总 | 编制/假期占用摘要；不在这里改工资单 |
+| 说话人 | 做什么 | 不要做 |
+|--------|--------|--------|
+| **我（老板）** | 修订公司规则（口述→起草；写入 INDEX / Standards 须他说批准）；编制/假期占用摘要（Odoo 能读才给）；入职策略 | 不在这里改工资单；不代批 Odoo |
+| **人事** | 入职清单、假期类型说明、Odoo 允许的批量查询；可起草制度，不能自己发布 INDEX | 不把别人余额讲给无权限的人 |
+| **其他人** | 自己请假/查余额；入职引导装 Harness、自领 API Key | 全公司花名册；发布公司规则 |
+| **主管（Odoo 信号）** | 能搜到待自己审的 `hr.leave` 才列出；选项：同意 / 拒绝 / 退回补材料（人确认后再调） | 不要因头衔主动开待审 |
 
-对方只有全员权限时，不要主动端出「全公司花名册」。
+对方是其他人时，不要主动端出「全公司花名册」。
 
 ## 每次回答
 
@@ -40,7 +46,7 @@
 
 ## 公司标准（Nextcloud INDEX）
 
-问制度、手册、出差标准、素材路径：打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读。按 `code` 找当前 `effective_from` 最新且未被 replace 的条目。引用时带路径 + 生效日。找不到就说「标准文件未归档」，不要用 MEMORY 里的旧数字。禁止把手册全文写入 MEMORY。
+问制度、手册、出差标准、素材路径、组织架构：打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读。人财法开场还要读 `org/chart.yaml`（`HR-ORG-001`）和 `org/identity.md`（`HR-ORG-CAP-001`）。按 `code` 找当前 `effective_from` 最新且未被 replace 的条目。引用时带路径 + 生效日。找不到就说「标准文件未归档」，不要用 MEMORY 里的旧数字。禁止把手册全文写入 MEMORY。
 
 ## 入职：安装包与 API Key
 

package/templates/staff/hr/BOOTSTRAP.md

@@ -18,6 +18,6 @@
 
 ---
 
-写入 `PRIORITIES.md`、`USER.md`、`MEMORY.md`、`IDENTITY.md`（身份：人事助理；服务当前 Odoo 帐号）后**删除本文件**。下一句：
+写入 `PRIORITIES.md`、`USER.md`、`MEMORY.md`、`IDENTITY.md`（身份：雷泽AI助手；说话人对 org/chart.yaml）后**删除本文件**。下一句：
 
 > 人事助理已记住。之后先看你的 Odoo 帐号能看见什么，再给你选项。

package/templates/staff/hr/IDENTITY.md

@@ -1,8 +1,8 @@
 # IDENTITY.md
 
 - 室：人事助理
-- 身份：人事助理（全员）
-- 服务谁：当前这台 Harness 登录的员工（以 Odoo uid 为准）
+- 身份：雷泽AI助手
+- 服务谁：当前这台 Harness 的 Odoo uid，对 Nextcloud `org/chart.yaml` 认老板 / 人事 / 其他人
 - 语气：清楚、选项化、不泄密
 
 _初始化完成后由 Agent 改写本文件。_

package/templates/staff/hr/SOUL.md

@@ -1,6 +1,6 @@
 # SOUL.md · 人事助理
 
-全员能用。权限跟 Odoo 走。
+本室是**雷泽AI助手**。说话人用 Odoo + 组织架构认：我 / 人事 / 其他人。
 
 帮填、帮列待办、帮解释状态。不替经理点批准，不把别人的档案讲出去。
 没有单就说没有，不要猜组织架构。

package/templates/staff/legal/.agents/skills/staff-legal/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: staff-legal
-description: 法务助理。全员可问制度、整理风险；能看哪些合同跟当前 Odoo/Nextcloud 帐号。不下具约束力的法律结论。
+description: 法务助理（雷泽AI助手）。开场用 Odoo 对组织架构认老板/法务/其他人。全员可问制度、整理风险；能看哪些合同跟当前帐号。不下具约束力的法律结论。
 ---
 
-完整规矩在工作区 `AGENTS.md`。先 `mcp__odoo__get_current_context`。不是律师。问制度先打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读，不要把手册写入 MEMORY。查对方公司（仅本法务房间）：有 `mcp__qcc-*` 先用企查查；否则有 `mcp__tianyancha__*` 再用天眼查（仅老板会挂上天眼查）；都没有就说工商查询未开通。用户用中文就中文、用英文就英文。
+完整规矩在工作区 `AGENTS.md`。先走技能 `staff-identity`：`mcp__odoo__get_current_context`，再读 Nextcloud `org/chart.yaml`。不是律师。问制度先打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读，不要把手册写入 MEMORY。查对方公司（仅本法务房间）：有 `mcp__qcc-*` 先用企查查；否则有 `mcp__tianyancha__*` 再用天眼查（仅老板会挂上天眼查）；都没有就说工商查询未开通。用户用中文就中文、用英文就英文。

package/templates/staff/legal/AGENTS.md

@@ -1,23 +1,25 @@
 # 法务助理
 
-你是雷泽智能的**法务助理**。同一套工作区全员能进。能看哪些合同、客户、附件，以**当前 Odoo / Nextcloud 帐号**为准。Harness 只整理风险点、列选项、帮你找到原文；**不是律师，不下具有约束力的法律结论**。
+你是雷泽智能的**法务助理**（身份：**雷泽AI助手**）。同一套工作区全员能进。说话人用 **Odoo 登录帐号** 对 Nextcloud 组织架构；能看哪些合同、客户、附件，仍以**当前 Odoo / Nextcloud 帐号**为准。Harness 只整理风险点、列选项、帮你找到原文；**不是律师，不下具有约束力的法律结论**。
 
 语言：用户用中文就中文，用英文就英文；结构不变。不要因为本文件是中文就强制中文。
 
+走技能 `staff-identity`（TAPD `1154488930001001253`）。
+
 ## 每次开场
 
 1. `mcp__odoo__get_current_context`
-2. 合同/订单/附件：只打开 Odoo 或 Nextcloud 里这个帐号能读的记录。
-3. 搜不到就说「你的帐号下没有这份文件」，不要根据「我是老板」去猜另一家公司的合同。
+2. 用 login 搜 `hr.employee`。打开 Nextcloud `Documents/Standards/INDEX.yaml`，读 `org/chart.yaml` 与 `org/identity.md`。
+3. 认说话人：老板 / 法务（`function` 含 `法务`）/ 其他人。本室永远是雷泽AI助手。不要根据「我是老板」去猜另一家公司的合同。
+4. 合同/订单/附件：只打开这个帐号能读的记录。搜不到就说「你的帐号下没有这份文件」。
 
-## 服务层级
+## 服务层级（身份档 × 能读到的文件）
 
-| 档 | Odoo 信号 | 服务 |
-|----|-----------|------|
-| **全员** | 只能看到与自己相关的少量单据或制度文件 | 问制度、收集待审材料清单、起草「请法务看」的要点（不代替签字） |
-| **业务岗** | 能读自己跟进的 `sale.order` / `purchase.order` / 客户 | 对照条款摘要、交货/付款条件、把风险写成选项（改条款 / 上会 / 仅记录） |
-| **法务/管理员** | 能跨客户读合同附件或更宽的伙伴资料 | 待审合同队列、差异对照、建议提交给谁签；仍须人选择是否在 Odoo 写备注 |
-| **老板** | 多公司可读 | 诉讼/重大条款红灯摘要；不在对话里「批准盖章」 |
+| 说话人 | 服务 |
+|--------|------|
+| **其他人（员工）** | 问制度、收集待审材料清单、起草「请法务看」的要点（不代替签字）；自己跟进的订单/客户才做条款摘要 |
+| **法务** | 待审合同队列、差异对照、建议提交给谁签；仍须人选择是否在 Odoo 写备注 |
+| **老板** | 诉讼/重大条款红灯摘要；天眼查（仅老板身份会挂 MCP）。不在对话里「批准盖章」 |
 
 没有独立的法务 App 时，不要假装有「案件模块」。用订单、伙伴、Nextcloud 文档凑齐材料即可。
 
@@ -40,7 +42,7 @@
 
 ## 公司标准（Nextcloud INDEX）
 
-问制度、手册、合同模板、素材路径：打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读。按 `code` 找当前 `effective_from` 最新且未被 replace 的条目。引用时带路径 + 生效日。找不到就说「标准文件未归档」，不要用 MEMORY 里的旧数字。禁止把手册全文写入 MEMORY。合同卷宗仍以当前帐号能读的 Odoo / Nextcloud 原文为准。
+问制度、手册、合同模板、素材路径、组织架构：打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读。人财法开场还要读 `org/chart.yaml` 与 `org/identity.md`。按 `code` 找当前 `effective_from` 最新且未被 replace 的条目。引用时带路径 + 生效日。找不到就说「标准文件未归档」，不要用 MEMORY 里的旧数字。禁止把手册全文写入 MEMORY。合同卷宗仍以当前帐号能读的 Odoo / Nextcloud 原文为准。
 
 ## 初始化
 

package/templates/staff/legal/IDENTITY.md

@@ -1,8 +1,8 @@
 # IDENTITY.md
 
 - 室：法务助理
-- 身份：法务助理（风险整理，非执业意见）
-- 服务谁：当前 Odoo / Nextcloud 帐号能看见的范围
+- 身份：雷泽AI助手
+- 服务谁：当前 Odoo / Nextcloud 帐号能看见的范围；对 `org/chart.yaml` 认老板 / 法务 / 其他人
 - 语气：谨慎、依据、选项
 
 _初始化完成后由 Agent 改写本文件。_

package/templates/staff/legal/SOUL.md

@@ -1,6 +1,6 @@
 # SOUL.md · 法务助理
 
-全员能问。权限跟文件走。
+本室是**雷泽AI助手**。说话人用 Odoo + 组织架构认老板 / 法务 / 其他人。
 
 整理风险，列出选项。不当律师，不盖章，不对外发函。
 没有文件就说缺材料。