@rezti/dsh-rez-suite 0.1.55 → 0.1.57

package/src/boss/seed.ts

@@ -1,6 +1,7 @@
 import { existsSync, mkdirSync, readdirSync, readFileSync, statSync, writeFileSync } from 'node:fs'
 import { dirname, join, relative } from 'node:path'
 import { fileURLToPath } from 'node:url'
+import { writeWecomCliShims } from '../wecom-cli.ts'
 
 export const BOSS_ROOMS = [
   { id: 'money', folder: '搞钱' },
@@ -165,6 +166,7 @@ function seedRoom(templatesRoot: string, destRoot: string, room: RoomSpec): Seed
   }
 
   seedSharedSkills(dest, written)
+  writeWecomCliShims(dest, written)
 
   return {
     id: room.id,

package/src/changelog.ts

@@ -20,6 +20,45 @@ export interface ChangelogRelease {
 }
 
 export const SUITE_CHANGELOG: readonly ChangelogRelease[] = [
+  {
+    version: '0.1.57',
+    date: '2026-08-21',
+    sections: [
+      {
+        title: { zh: 'Windows 升级与企微 CLI', en: 'Windows upgrade + WeCom CLI' },
+        items: [
+          {
+            zh: '启动脚本每次装 npm 上已满 24 小时的最新 suite，不再钉 0.1.48。左下角「升级」仍可当天装。Windows 升级用 PowerShell 重启。办公 wecom-cli 用 node wecom.js + 房间垫片；禁止 npm install -g。',
+            en: 'Launchers install the newest suite published on npm for >=24h; no 0.1.48 pin. Sidebar Upgrade can still install a same-day build. Windows Upgrade respawns via PowerShell. Office wecom-cli runs as node wecom.js; never npm install -g.',
+          },
+        ],
+      },
+      {
+        title: { zh: '对话贴图不再整轮失败', en: 'GUI paste vision' },
+        items: [
+          {
+            zh: '对话里直接贴图不再被 DeepSeek 适配器 UNSUPPORTED_CONTENT 整轮打断：先走 Kimi/Qwen 转成文字再交给当前网页模型。本机路径仍可用 mcp__vision__view_image。不要换网页模型，不要 plugin add github。',
+            en: 'Pasted GUI images are transcribed before the DeepSeek adapter, so UNSUPPORTED_CONTENT no longer aborts the turn. Local paths can still use mcp__vision__view_image. Do not switch the chat model or add GitHub vision plugins.',
+          },
+        ],
+      },
+    ],
+  },
+  {
+    version: '0.1.56',
+    date: '2026-08-21',
+    sections: [
+      {
+        title: { zh: 'PDF 抽字、看图旁路', en: 'PDF extract + vision sidecar' },
+        items: [
+          {
+            zh: '读 PDF 用 Nextcloud MCP parse_document。回形针入库后立刻把抽出的文字交回本轮。看图走 mcp__vision__view_image（默认 kimi-k2.7-code，可切 Qwen-VL），网页对话模型不要改。DeepSeek 看不见像素。扫描件本期不开 OCR。不改员工机安装包。',
+            en: 'Read PDFs via Nextcloud MCP parse_document. After a paperclip Inbox write, parse immediately. Look at images with mcp__vision__view_image (kimi-k2.7-code by default, Qwen-VL switchable); do not change the chat model. DeepSeek is text-only. No OCR for scans this round. Do not bump the installer.',
+          },
+        ],
+      },
+    ],
+  },
   {
     version: '0.1.55',
     date: '2026-08-21',

package/src/client/locales.ts

@@ -6,7 +6,7 @@ export const zh = {
   'entry.label': 'Rez',
   'entry.tooltip': 'Rez Suite 配置与审计面板',
   'settings.title': 'ReZ-TI',
-  'settings.description': '公司 MCP（Odoo / Nextcloud / HA / TAPD / GSC）和企业微信智能机器人。个人微信在「微信」页签扫码。',
+  'settings.description': '公司 MCP（Odoo / Nextcloud / HA / TAPD / GSC / 看图旁路）和企业微信智能机器人。个人微信在「微信」页签扫码。',
   'panel.title': 'Rez Suite',
   'tab.config': '配置',
   'tab.board': '看板',
@@ -30,7 +30,7 @@ export const zh = {
   'config.env': '环境变量 (JSON)',
   'config.headers': 'Headers (JSON)',
   'config.jsonInvalid': 'JSON 格式错误：{error}',
-  'config.mcpHint': '公司 MCP 在这里配。密钥写入 ~/.dsh/.credentials.yaml（REZ_*）。新填的密钥会立刻拉起连接；改 URL / 项目 / 站点后如果已经连上，需要重启 dsh web。',
+  'config.mcpHint': '公司 MCP 在这里配。密钥写入 ~/.dsh/.credentials.yaml（REZ_*）。新填的密钥会立刻拉起连接；改 URL / 项目 / 站点后如果已经连上，需要重启 dsh web。看图旁路配好后，网页对话模型不用改。',
   'config.secretConfigured': '已配置（留空则保持）',
   'config.secretMissing': '未配置',
   'config.odoo': 'Odoo',
@@ -69,6 +69,14 @@ export const zh = {
   'config.esphome': 'ESPHome 实验室',
   'config.esphome.url': 'MCP URL',
   'config.esphome.token': '实验室 Token',
+  'config.vision': '看图旁路',
+  'config.vision.vendor': '视觉厂家',
+  'config.vision.vendor.kimi': 'Kimi（月之暗面）',
+  'config.vision.vendor.qwen': '通义 Qwen-VL',
+  'config.vision.model': '模型（可空）',
+  'config.vision.modelHint': '空则默认 kimi-k2.7-code；更快可填 kimi-k2.7-code-highspeed',
+  'config.vision.token': 'API Key',
+  'config.vision.hint': '网页对话模型保持 DeepSeek。对话框直接贴图或回形针图片会自动转成文字再交给 DeepSeek；本机路径也可调 mcp__vision__view_image。图会发到所选厂家。Kimi 填 Moonshot Key；Qwen 填 DashScope Key。改厂家后需重启 dsh web。',
   'config.fs': '本地文件 (fs-mcp-server)',
   'config.fs.root': '根目录',
   'config.sqlite': 'SQLite (sqlite-mcp-server)',
@@ -176,7 +184,7 @@ export const en: Record<RezKey, string> = {
   'entry.label': 'Rez',
   'entry.tooltip': 'Rez Suite configuration and audit panel',
   'settings.title': 'ReZ-TI',
-  'settings.description': 'Company MCP (Odoo / Nextcloud / HA / TAPD / GSC) and WeCom AI bots. Personal WeChat is the WeChat tab.',
+  'settings.description': 'Company MCP (Odoo / Nextcloud / HA / TAPD / GSC / vision sidecar) and WeCom AI bots. Personal WeChat is the WeChat tab.',
   'panel.title': 'Rez Suite',
   'tab.config': 'Config',
   'tab.board': 'Board',
@@ -199,7 +207,7 @@ export const en: Record<RezKey, string> = {
   'config.env': 'Env vars (JSON)',
   'config.headers': 'Headers (JSON)',
   'config.jsonInvalid': 'Invalid JSON: {error}',
-  'config.mcpHint': 'Company MCP lives here. Secrets go to ~/.dsh/.credentials.yaml (REZ_*). A newly saved secret starts the connection immediately; URL / workspace / site changes after a live connection need a dsh web restart.',
+  'config.mcpHint': 'Company MCP lives here. Secrets go to ~/.dsh/.credentials.yaml (REZ_*). A newly saved secret starts the connection immediately; URL / workspace / site changes after a live connection need a dsh web restart. After the vision sidecar is configured, leave the chat model as-is.',
   'config.secretConfigured': 'Configured (leave blank to keep)',
   'config.secretMissing': 'Not configured',
   'config.odoo': 'Odoo',
@@ -238,6 +246,14 @@ export const en: Record<RezKey, string> = {
   'config.esphome': 'ESPHome lab',
   'config.esphome.url': 'MCP URL',
   'config.esphome.token': 'Lab token',
+  'config.vision': 'Vision sidecar',
+  'config.vision.vendor': 'Vision vendor',
+  'config.vision.vendor.kimi': 'Kimi (Moonshot)',
+  'config.vision.vendor.qwen': 'Qwen-VL',
+  'config.vision.model': 'Model (optional)',
+  'config.vision.modelHint': 'Blank defaults to kimi-k2.7-code; faster option is kimi-k2.7-code-highspeed',
+  'config.vision.token': 'API key',
+  'config.vision.hint': 'Keep DeepSeek as the chat model. Pasted or paperclip images are transcribed automatically before DeepSeek; mcp__vision__view_image still works for local paths. Images leave the machine to that vendor. Kimi uses a Moonshot key; Qwen uses a DashScope key. Restart dsh web after switching vendor.',
   'config.fs': 'Local files (fs-mcp-server)',
   'config.fs.root': 'Root directory',
   'config.sqlite': 'SQLite (sqlite-mcp-server)',

package/src/client/panel/ConfigTab.tsx

@@ -27,9 +27,10 @@ type SecretDrafts = {
   qcc: string
   tianyancha: string
   esphome: string
+  vision: string
 }
 
-const EMPTY_SECRETS: SecretDrafts = { odoo: '', nextcloud: '', wechat: '', homeassistant: '', tapd: '', gsc: '', qcc: '', tianyancha: '', esphome: '' }
+const EMPTY_SECRETS: SecretDrafts = { odoo: '', nextcloud: '', wechat: '', homeassistant: '', tapd: '', gsc: '', qcc: '', tianyancha: '', esphome: '', vision: '' }
 
 const WECOM_SECRET_MASK = '********'
 
@@ -301,6 +302,12 @@ export function ConfigTab({ api }: { api: RezApi }) {
           qcc: { ...config.connections.qcc, secret: secrets.qcc || undefined },
           tianyancha: { ...config.connections.tianyancha, secret: secrets.tianyancha || undefined },
           esphome: { ...config.connections.esphome, secret: secrets.esphome || undefined },
+          vision: {
+            ...config.connections.vision,
+            secret: secrets.vision || undefined,
+            vendor: config.connections.vision.vendor,
+            model: config.connections.vision.model,
+          },
         },
       }
       const saved = await api.saveConfig(payload)
@@ -359,6 +366,37 @@ export function ConfigTab({ api }: { api: RezApi }) {
         </Field>
       </Section>
 
+      <McpSection
+        title={t('config.vision')}
+        row={config.connections.vision}
+        secret={secrets.vision}
+        onEnabled={enabled => { patchConnection('vision', { enabled }) }}
+        extra={(
+          <>
+            <Field label={t('config.vision.vendor')}>
+              <select
+                className={css.select}
+                value={config.connections.vision.vendor ?? 'kimi'}
+                onChange={event => { patchConnection('vision', { vendor: event.target.value as 'kimi' | 'qwen' }) }}
+              >
+                <option value="kimi">{t('config.vision.vendor.kimi')}</option>
+                <option value="qwen">{t('config.vision.vendor.qwen')}</option>
+              </select>
+            </Field>
+            <Field label={t('config.vision.model')}>
+              <input
+                className={css.input}
+                value={config.connections.vision.model ?? ''}
+                placeholder={t('config.vision.modelHint')}
+                onChange={event => { patchConnection('vision', { model: event.target.value }) }}
+              />
+            </Field>
+            <p className={css.message}>{t('config.vision.hint')}</p>
+          </>
+        )}
+        onSecret={value => { setSecrets(prev => ({ ...prev, vision: value })) }}
+        secretLabel={t('config.vision.token')}
+      />
       <McpSection
         title={t('config.odoo')}
         row={config.connections.odoo}

package/src/index.ts

@@ -96,6 +96,11 @@ export const Config: z<RezConfig> = z.object({
       enabled: z.boolean().default(true),
       url: z.string().default(REZ_DEFAULT_CONNECTIONS.esphome?.url ?? 'http://127.0.0.1:8100/mcp'),
     }).default(REZ_DEFAULT_CONNECTIONS.esphome ?? { enabled: true, url: 'http://127.0.0.1:8100/mcp' }),
+    vision: z.object({
+      enabled: z.boolean().default(true),
+      vendor: z.union(['kimi', 'qwen'] as const).default('kimi'),
+      model: z.string().default(''),
+    }).default(REZ_DEFAULT_CONNECTIONS.vision ?? { enabled: true, vendor: 'kimi', model: '' }),
   }).default(REZ_DEFAULT_CONNECTIONS),
   billing: z.object({
     inputCostPer1k: z.number().default(0.001),
@@ -107,16 +112,18 @@ export const Config: z<RezConfig> = z.object({
 const SECTION_ORDER = 150
 
 export const REZ_GUIDANCE_CORE = [
-  '本机已安装 ReZ-TI 拆分包：工作身份由 dsh-rez-sso 提供，MCP 由官方 dsh-mcp-client 接入 Odoo / Nextcloud / Home Assistant / TAPD / GSC。',
-  '工具名 mcp__odoo__*、mcp__nextcloud__*、mcp__homeassistant__*、mcp__tapd__*、mcp__gsc__*。',
-  '企业微信办公能力不是 MCP：走官方 wecom-cli >=1.1（通讯录/在线文档/在线表格/智能表格/智能文档/待办/日程/会议/邮件/微盘/消息）。本企业已开通这些品类。看 rez_status 的 wecomCli.modules，按房间 wecomcli-* 技能执行。不要因为没有 mcp__wechat__* 就说没有企微能力，也不要说「超过 10 人只能用文档」。CLI 报某模块未授权才说该能力未开通。设置页 BotID+Secret 只是房间消息通道。旧群 webhook 兼容才会出现 mcp__wechat__*。',
-  '密钥：REZ_ODOO_TOKEN、REZ_NEXTCLOUD_PASSWORD、REZ_WECHAT_WEBHOOK、REZ_HA_TOKEN、REZ_TAPD_TOKEN、REZ_GSC_KEY。',
+  '本机已安装 ReZ-TI 拆分包：工作身份由 dsh-rez-sso 提供，MCP 由官方 dsh-mcp-client 接入 Odoo / Nextcloud / Home Assistant / TAPD / GSC / 看图旁路。',
+  '工具名 mcp__odoo__*、mcp__nextcloud__*、mcp__homeassistant__*、mcp__tapd__*、mcp__gsc__*、mcp__vision__*。',
+  '企业微信有两层，不要混。① 房间消息通道 = 设置页 BotID+Secret（同事在企微跟那个智能机器人说话，进网页左侧对应房间）。② 办公能力不是 MCP：走官方 wecom-cli >=1.1（通讯录/在线文档/在线表格/智能表格/智能文档/待办/日程/会议/邮件/微盘/消息）。本企业已开通这些品类。看 rez_status 的 wecomCli.bin / modules，优先 node $REZ_WECOM_CLI 或房间 .agents/bin/wecom-cli（Windows 用 .cmd）。禁止 npm install -g（Windows 沙箱会 EPERM 写 npm-cache）。不要因为没有 mcp__wechat__* 就说没有企微能力，也不要说「超过 10 人只能用文档」。CLI 报某模块未授权才说该能力未开通。旧群 webhook 兼容才会出现 mcp__wechat__*。',
+  '密钥：REZ_ODOO_TOKEN、REZ_NEXTCLOUD_PASSWORD、REZ_WECHAT_WEBHOOK、REZ_HA_TOKEN、REZ_TAPD_TOKEN、REZ_GSC_KEY、REZ_VISION_KEY。',
   '个人微信（QClaw/ClawBot）：打开 设置 → 插件 → ReZ-TI → 微信 扫码，然后直接在微信里说话。消息进入网页左侧「微信」文件夹并延续同一会话，模型跟网页默认。网页归档了再从微信说话会自动恢复到侧栏。发「重启对话」会新开一条可见会话并把旧会话归档。网页端必须开着。不必再跑命令、也不要调用微信 MCP 工具。',
   '意图用 rez_set_intent（erp/files/chat/home/auto）。审计用 rez_audit。',
   '涉及资金、对外发送、设备控制、生产写入时先征得用户批准。',
   'Match the user language: Chinese or English. Do not force 中文 when they write English.',
   '制度、手册、出差/报销标准、素材路径：打开 Nextcloud Documents/Standards/INDEX.yaml，按 code 取当前 effective_from 最新且未被 replace 的条目，再按相对 uri 打开。引用带路径+生效日。找不到就说「标准文件未归档」，不要用 MEMORY 旧数字。素材文件夹用首次创建标题，不用会变的 Odoo/销售名。',
-  '同事交说明书/规格书：用输入栏回形针上传原 PDF（不要拖进对话——官方只收图；也不要用微信发文件）。不要直接写 Marketing/Publish。先找到该产品对应 TAPD 需求（Wiki 写死的说明书/规格书 TAPD ID；没有则按首次创建标题搜「产品使用说明书」或「技术手册」），把 PDF 放到 Marketing/Inbox/{分类}/{首次创建标题}/manual/ 或 datasheet/（zh.pdf 或 en.pdf），评论该需求、状态改测试中（status_3）、处理人改凯文智能家居。规划中先转到开发中再测试中；已实现要先退回开发中。凯文说审批了哪份（产品、说明书或规格书、中英）之后，再把 Inbox 文件写入 Marketing/Publish 对应路径，TAPD 改已实现。拒绝则改已拒绝、不写 Publish。Wiki 缺 NC RAW、NC Publish、Git products/{slug}/models 与 motion 就说「Wiki 未归档」。这不是一件发布；不要拷下游、不要上渠道。',
+  '读 PDF（Kimi/Cursor 同款：先抽字再问）：mcp__nextcloud__nc_webdav_read_file，parse_document 用 auto；表格/标题再试 markdown。不要把 PDF 当图或 base64 塞进对话，内置 read 会当二进制拒掉。parse_status 不是 parsed 或正文空，就说没有文字层（扫描件本期不开 OCR），不要假装读过。不要 plugin add github 看图/PDF 插件。跨很多本说明书检索走 Dify 发布知识库（1154488930001001237），不要另建向量库。',
+  '看产品图/标签/截图：网页对话模型不要改。DeepSeek 官方聊天是纯文本，看不见像素；对话里直接贴图或回形针图片会先走看图旁路转成文字，再交给 DeepSeek，不要因为 UNSUPPORTED_CONTENT 就换网页模型。本机文件路径也可调 mcp__vision__view_image。旁路默认 Kimi Code（kimi-k2.7-code），设置里可切通义 Qwen-VL。没有看图旁路就说本机未配 REZ_VISION_KEY（设置 → 插件 → ReZ-TI），不要切网页模型假装能看见。官方对话只收图。Comfy MCP 只修图，不拿来认字。',
+  '同事交说明书/规格书：用输入栏回形针上传原 PDF（不要拖进对话——官方只收图，PDF 不要当图塞；也不要用微信发文件）。不要直接写 Marketing/Publish。先找到该产品对应 TAPD 需求（Wiki 写死的说明书/规格书 TAPD ID；没有则按首次创建标题搜「产品使用说明书」或「技术手册」），把 PDF 放到 Marketing/Inbox/{分类}/{首次创建标题}/manual/ 或 datasheet/（zh.pdf 或 en.pdf），立刻用 mcp__nextcloud__nc_webdav_read_file（parse_document=auto）抽出文字交回本轮，不要只说已入库。评论该需求、状态改测试中（status_3）、处理人改凯文智能家居。规划中先转到开发中再测试中；已实现要先退回开发中。凯文说审批了哪份（产品、说明书或规格书、中英）之后，再把 Inbox 文件写入 Marketing/Publish 对应路径，TAPD 改已实现。拒绝则改已拒绝、不写 Publish。Wiki 缺 NC RAW、NC Publish、Git products/{slug}/models 与 motion 就说「Wiki 未归档」。这不是一件发布；不要拷下游、不要上渠道。',
   '同事交拍摄原片：对话里交图即可。先调官方 Comfy MCP 只修一次，得到高精度干净原片；Harness 不做推理，不要自写 WebSocket。这不是图生场景图也不是图生白底图。修完后员工必须声明是什么图（white_bg/scene/label/gallery/packaging，写进 TAPD 评论）；未声明不准进审批。不要直接写 Marketing/RAW。两种都先放到 Marketing/Inbox/{分类}/{首次创建标题}/photo/shot/ 与 photo/clean/。对应 TAPD（Wiki 写死的拍摄图 TAPD ID；没有则按首次创建标题搜「产品拍摄」；还没有则评论 1154488930001001218）改测试中、处理人改凯文智能家居。凯文说审批了哪份之后，shot 与 clean 同时写入 Marketing/RAW 对应路径，TAPD 改已实现。拒绝不写 RAW。不要写 Publish、不要上渠道。现有 photo/ 根目录或产品根目录样板不强制搬家。',
   '同事交品牌规范或公司 VI：这是公司级，写 Marketing/Brand/，不要写进某个产品 SKU 目录。规范 PDF 和 psd/ai 源文件用回形针；VI 图在对话里交，才调官方 Comfy MCP 只修一次。声明类型（guideline 或 logo/wordmark/icon/color/font/template）后，两种先入 Marketing/Inbox/Brand/guideline/ 或 vi/ 的 shot 与 clean。评论 1154488930001001220，改测试中、处理人凯文智能家居。凯文说审批了哪份之后，shot 与 clean 同时写入 Marketing/RAW/Brand 对应路径。拒绝不写 RAW。不要写 Publish。根上 VI/ 与 MKT/VI 是历史盘，不搬家、不再当正式路径。不要把规范抄进 Standards 正文。',
 ].join('')

package/src/observe-mcp.ts

@@ -10,7 +10,7 @@ import { lastMcpStartError, REZ_CREDENTIAL_REFS, secretConfigured, type RezSyste
 import type { RezConfig, RezServerStatus, RezTestResult } from './protocol.ts'
 import { isLabRoom, isLegalAssistantRoom, isQccToolName, QCC_STATUS_ROOM_OFF } from './rooms.ts'
 
-export const COMPOSED_SERVERS = ['odoo', 'nextcloud', 'wechat', 'homeassistant', 'tapd', 'gsc', 'qcc', 'tianyancha', 'esphome'] as const
+export const COMPOSED_SERVERS = ['odoo', 'nextcloud', 'wechat', 'homeassistant', 'tapd', 'gsc', 'qcc', 'tianyancha', 'esphome', 'vision'] as const
 
 export type ComposedServer = (typeof COMPOSED_SERVERS)[number]
 

package/src/presets.ts

@@ -47,6 +47,7 @@ const RULES: Record<Exclude<RezRoleId, 'all' | 'boss'>, RoleRule[]> = {
     { server: 'nextcloud', pattern: '*list*' },
     { server: 'nextcloud', pattern: '*download*' },
     { server: 'nextcloud', pattern: '*read*' },
+    { server: 'vision', pattern: '*' },
   ],
   sales: [
     // Odoo CRM / sales objects.
@@ -61,6 +62,7 @@ const RULES: Record<Exclude<RezRoleId, 'all' | 'boss'>, RoleRule[]> = {
     { server: 'nextcloud', pattern: '*write*' },
     { server: 'nextcloud', pattern: '*mkdir*' },
     { server: 'nextcloud', pattern: '*move*' },
+    { server: 'vision', pattern: '*' },
     // WeCom one-to-one / group sends.
     { server: 'wecom', pattern: '*send*' },
     { server: 'wecom', pattern: '*message*' },
@@ -100,6 +102,7 @@ const RULES: Record<Exclude<RezRoleId, 'all' | 'boss'>, RoleRule[]> = {
     { server: 'nextcloud', pattern: '*upload*' },
     { server: 'nextcloud', pattern: '*write*' },
     { server: 'nextcloud', pattern: '*mkdir*' },
+    { server: 'vision', pattern: '*' },
     // WeCom broadcasts.
     { server: 'wecom', pattern: '*broadcast*' },
     { server: 'wecom', pattern: '*send*' },

package/src/protocol.ts

@@ -51,6 +51,7 @@ export interface RezConnections {
   qcc: { enabled: boolean; url: string }
   tianyancha: { enabled: boolean; url: string }
   esphome: { enabled: boolean; url: string }
+  vision: { enabled: boolean; vendor: 'kimi' | 'qwen'; model: string }
 }
 
 export interface RezPublicConnection {
@@ -60,6 +61,8 @@ export interface RezPublicConnection {
   workspaceId?: string
   nickName?: string
   siteUrl?: string
+  vendor?: 'kimi' | 'qwen'
+  model?: string
   secretConfigured: boolean
   secretRef: string
 }
@@ -96,6 +99,7 @@ export interface RezPublicConfig {
     qcc: RezPublicConnection
     tianyancha: RezPublicConnection
     esphome: RezPublicConnection
+    vision: RezPublicConnection
   }
   billing: { inputCostPer1k: number; outputCostPer1k: number; monthlyBudget: number }
 }
@@ -134,6 +138,8 @@ export interface RezWecomCliStatus {
   authorized: boolean
   modules: RezWecomCliModule[]
   hint: string
+  /** Absolute wecom.js path. Agent should run: node "<bin>" … */
+  bin?: string
 }
 
 /** Complete /api/dsh-rez-suite/status response. */

package/src/self-update.ts

@@ -55,10 +55,24 @@ export function shellQuote(value: string): string {
   return `'${value.replaceAll("'", `'\\''`)}'`
 }
 
+export function powershellQuote(value: string): string {
+  return `'${value.replaceAll("'", "''")}'`
+}
+
 export function relaunchScript(argv: string[], parentPid: number): string {
   return `while kill -0 ${parentPid} 2>/dev/null; do sleep 0.15; done; sleep 0.25; exec ${argv.map(shellQuote).join(' ')}`
 }
 
+/** Windows staff EXE has no /bin/bash. Wait for the old node, then respawn argv. */
+export function windowsRelaunchScript(argv: string[], parentPid: number): string {
+  const cmd = argv.map(powershellQuote).join(' ')
+  return [
+    `while (Get-Process -Id ${parentPid} -ErrorAction SilentlyContinue) { Start-Sleep -Milliseconds 200 }`,
+    'Start-Sleep -Milliseconds 300',
+    `& ${cmd}`,
+  ].join('; ')
+}
+
 export async function fetchLatestVersion(fetchImpl: typeof fetch = fetch): Promise<string> {
   const response = await fetchImpl(NPM_LATEST, { headers: { accept: 'application/json' } })
   if (!response.ok) throw new Error(`npm registry HTTP ${response.status}`)
@@ -89,12 +103,20 @@ export function runPnpmAdd(cwd: string, spec: string, env: NodeJS.ProcessEnv = p
 }
 
 export function spawnRelaunch(argv: string[], parentPid: number, cwd: string, env: NodeJS.ProcessEnv = process.env): void {
-  const child = spawn('/bin/bash', ['-c', relaunchScript(argv, parentPid)], {
-    cwd,
-    env,
-    detached: true,
-    stdio: 'ignore',
-  })
+  const child = process.platform === 'win32'
+    ? spawn('powershell.exe', ['-NoProfile', '-WindowStyle', 'Hidden', '-Command', windowsRelaunchScript(argv, parentPid)], {
+      cwd,
+      env,
+      detached: true,
+      stdio: 'ignore',
+      windowsHide: true,
+    })
+    : spawn('/bin/bash', ['-c', relaunchScript(argv, parentPid)], {
+      cwd,
+      env,
+      detached: true,
+      stdio: 'ignore',
+    })
   child.unref()
 }
 

package/src/store.ts

@@ -143,6 +143,13 @@ export function publicConfig(config: RezConfig): RezPublicConfig {
         secretConfigured: secretConfigured('esphome'),
         secretRef: REZ_CREDENTIAL_REFS.esphome,
       },
+      vision: {
+        enabled: connections.vision.enabled,
+        vendor: connections.vision.vendor,
+        model: connections.vision.model,
+        secretConfigured: secretConfigured('vision'),
+        secretRef: REZ_CREDENTIAL_REFS.vision,
+      },
     },
     billing: { ...config.billing },
   }

package/src/tools.ts

@@ -34,9 +34,11 @@ function renderTest(results: RezTestResult[]): string {
 function renderWecomCli(cli: RezWecomCliStatus | undefined): string {
   const row = cli ?? { installed: false, authorized: false, modules: [], hint: '' }
   const modules = (row.modules ?? []).map((item) => `${item.label}(${item.id})`).join('、')
+  const bin = row.bin ? `bin: node "${row.bin}"` : 'bin: (missing — click Upgrade, do not npm install -g)'
   return [
     'wecom-cli（企微办公能力，不是 MCP）: installed=' + (row.installed ? 'yes' : 'no')
       + ' authorized=' + (row.authorized ? 'yes' : 'no'),
+    bin,
     modules.length > 0 ? 'modules: ' + modules : 'modules: (官方目录见 wecomcli-* 技能)',
     row.hint,
   ].join('\n')

package/src/wecom-cli.ts

@@ -6,10 +6,16 @@
  *
  * Suite depends on @wecom/cli@1.1.0 so the profile gets a modern binary.
  * Prefer that over a global Homebrew 0.1.x that lacks `mail` / `auth`.
+ *
+ * Windows: the package entry is wecom.js (not wecom-cli.exe). spawnSync of a
+ * .js path is ENOENT; agent shells looking for wecom-cli also miss it. Always
+ * invoke `node wecom.js`, put node_modules/.bin on PATH, and seed a workspace
+ * shim. Never npm install -g: workspace-write sandbox cannot write npm-cache.
  */
 
 import { spawnSync } from 'node:child_process'
-import { existsSync } from 'node:fs'
+import { chmodSync, existsSync, mkdirSync, readdirSync, writeFileSync } from 'node:fs'
+import { homedir } from 'node:os'
 import { dirname, join } from 'node:path'
 import { createRequire } from 'node:module'
 import { fileURLToPath } from 'node:url'
@@ -24,7 +30,7 @@ export interface WecomCliStatus {
   authorized: boolean
   modules: WecomCliModule[]
   hint: string
-  /** Absolute path preferred for agent shell (suite-bundled). */
+  /** Absolute path of bundled wecom.js; agent should run: node "<bin>" … */
   bin?: string
 }
 
@@ -37,6 +43,11 @@ export interface WecomCliRunResult {
 
 export type WecomCliRunner = (argv: string[]) => WecomCliRunResult
 
+export interface WecomCliSpawn {
+  command: string
+  prefixArgs: string[]
+}
+
 /** Official @wecom/cli >=1.1 catalog. Do not invent extra HTTP APIs. */
 export const WECOM_CLI_CATALOG: readonly WecomCliModule[] = [
   { id: 'contact', label: '通讯录' },
@@ -58,27 +69,28 @@ const MODULE_LABELS = WECOM_CLI_CATALOG.map((row) => row.label).join('/')
 
 const HINT_MISSING = [
   `未找到可用的 wecom-cli >=1.1（企微办公：${MODULE_LABELS}）。`,
-  'suite 已依赖 @wecom/cli@1.1.0：请重装 @rezti/dsh-rez-suite，或确认 profile 的 node_modules 里有 @wecom/cli。',
+  'suite 已依赖 @wecom/cli@1.1.0：请点网页左下角「升级」，或确认 profile 的 node_modules 里有 @wecom/cli。',
+  'Windows 用 node %REZ_WECOM_CLI% 或房间 .agents/bin/wecom-cli.cmd。禁止 npm install -g（沙箱 workspace-write 会 EPERM 写 npm-cache）。',
   '不要用 Homebrew 全局 0.1.x（没有 mail/auth）。不要因为没有 wechat MCP 就说没有企微能力。',
 ].join('')
 
 const HINT_OUTDATED = [
   'PATH 上的 wecom-cli 过旧（<1.1，没有 mail 等子命令）。',
-  '请用 suite 自带的 @wecom/cli@1.1.0：重装 suite，或把 profile node_modules/.bin 放在 PATH 最前。',
-  '不要 npm i -g 覆盖到旧 Homebrew 路径前面仍是 0.1.9。',
+  '请用 suite 自带的 @wecom/cli@1.1.0：点左下角升级，或把 profile node_modules/.bin 放在 PATH 最前。',
+  '禁止 npm i -g（Windows 沙箱会挡 npm-cache；也容易仍被旧 Homebrew 盖住）。',
 ].join('')
 
 const HINT_UNAUTH = [
-  '已安装 wecom-cli >=1.1，尚未授权。跑 wecom-cli auth init（可扫码）。',
+  '已安装 wecom-cli >=1.1，尚未授权。跑 wecom-cli auth init（可扫码）。Windows：node %REZ_WECOM_CLI% auth init。',
   `授权后可用：${MODULE_LABELS}。本企业已开通这些品类。`,
   'CLI 报某模块未授权才说该能力未开通；不要说「没有企微 MCP」，也不要说 10 人限制。',
 ].join('')
 
 const HINT_OK = [
   `企微办公能力走 wecom-cli >=1.1（${MODULE_LABELS}）。本企业已开通。suite 已带 @wecom/cli。`,
-  '按房间里官方 wecomcli-* 技能执行，命令以 wecom-cli <模块> --help 为准。',
-  '不要用旧帮助中心「超过 10 人只能用文档」的说法。CLI 报未授权才说该模块未开通。',
-  '设置页 BotID+Secret 只是房间消息通道。不要把没有 mcp__wechat__* 当成没有企微能力。',
+  '调用：node $REZ_WECOM_CLI … 或房间 .agents/bin/wecom-cli（Windows 用 .cmd）。禁止 npm install -g。',
+  '按房间里官方 wecomcli-* 技能执行。不要用旧帮助中心「超过 10 人只能用文档」的说法。CLI 报未授权才说该模块未开通。',
+  '设置页 BotID+Secret 只是房间消息通道，不是查邮件。不要把没有 mcp__wechat__* 当成没有企微能力。',
 ].join('')
 
 export function wecomCliCatalog(): WecomCliModule[] {
@@ -93,7 +105,7 @@ export function parseWecomCliHelpModules(helpText: string): WecomCliModule[] {
   })
 }
 
-/** Resolve suite-bundled @wecom/cli binary; undefined if not installed next to suite. */
+/** Resolve suite-bundled @wecom/cli wecom.js; undefined if not installed next to suite. */
 export function resolveWecomCliBin(): string | undefined {
   const require = createRequire(import.meta.url)
   try {
@@ -103,7 +115,6 @@ export function resolveWecomCliBin(): string | undefined {
   } catch {
     // not hoisted next to this module
   }
-  // Fallbacks when published layout differs
   const here = dirname(fileURLToPath(import.meta.url))
   for (const candidate of [
     join(here, '..', 'node_modules', '@wecom', 'cli', 'bin', 'wecom.js'),
@@ -115,27 +126,86 @@ export function resolveWecomCliBin(): string | undefined {
   return undefined
 }
 
+/** node_modules/.bin (wecom-cli.cmd) plus the package bin dir (wecom.js). */
+export function wecomCliPathDirs(jsPath: string): string[] {
+  const pkgBin = dirname(jsPath)
+  const nmBin = join(pkgBin, '..', '..', '..', '.bin')
+  return [nmBin, pkgBin]
+}
+
+export function workspaceWecomShimDirs(home = process.env.DSH_HOME ?? join(homedir(), '.dsh')): string[] {
+  const root = join(home, 'workspaces')
+  if (!existsSync(root)) return []
+  return readdirSync(root, { withFileTypes: true })
+    .filter((entry) => entry.isDirectory())
+    .map((entry) => join(root, entry.name, '.agents', 'bin'))
+    .filter((dir) => existsSync(dir))
+}
+
+export function prependPathDirs(dirs: string[], env: NodeJS.ProcessEnv = process.env): string {
+  const sep = process.platform === 'win32' ? ';' : ':'
+  const current = env.PATH ?? env.Path ?? ''
+  const parts = current.split(sep).filter(Boolean)
+  const head = dirs.filter((dir) => dir.length > 0 && !parts.includes(dir))
+  const joined = [...head, ...parts].join(sep)
+  env.PATH = joined
+  if (process.platform === 'win32') env.Path = joined
+  return joined
+}
+
+/** Windows cannot spawn wecom.js as argv0; always use the running Node. */
+export function wecomCliSpawn(bundled: string | undefined, nodePath = process.execPath): WecomCliSpawn {
+  if (bundled !== undefined) return { command: nodePath, prefixArgs: [bundled] }
+  return { command: 'wecom-cli', prefixArgs: [] }
+}
+
+export function wecomCliShimScripts(opts: { nodePath: string; jsPath?: string }): { unix: string; cmd: string } {
+  if (opts.jsPath === undefined || opts.jsPath === '') {
+    const msg = 'wecom-cli is bundled in ReZ-TI suite. Click Upgrade. Do not npm install -g.'
+    return {
+      unix: `#!/bin/sh\necho "${msg}" >&2\nexit 1\n`,
+      cmd: `@echo off\r\necho ${msg}\r\nexit /b 1\r\n`,
+    }
+  }
+  const node = opts.nodePath.replaceAll('"', '\\"')
+  const js = opts.jsPath.replaceAll('"', '\\"')
+  return {
+    unix: `#!/bin/sh\nexec "${node}" "${js}" "$@"\n`,
+    cmd: `@echo off\r\n"${opts.nodePath}" "${opts.jsPath}" %*\r\n`,
+  }
+}
+
+export function writeWecomCliShims(dest: string, written: string[], jsPath = resolveWecomCliBin()): void {
+  const scripts = wecomCliShimScripts({ nodePath: process.execPath, jsPath })
+  const dirRel = join('.agents', 'bin')
+  mkdirSync(join(dest, dirRel), { recursive: true })
+  const unixRel = join(dirRel, 'wecom-cli')
+  const cmdRel = join(dirRel, 'wecom-cli.cmd')
+  writeFileSync(join(dest, unixRel), scripts.unix)
+  writeFileSync(join(dest, cmdRel), scripts.cmd)
+  try { chmodSync(join(dest, unixRel), 0o755) } catch { /* win */ }
+  written.push(unixRel, cmdRel)
+}
+
 /** Put suite-bundled wecom-cli ahead of global Homebrew 0.1.x on PATH. */
 export function ensureWecomCliOnPath(): string | undefined {
   const bin = resolveWecomCliBin()
-  if (bin === undefined) return undefined
-  const dir = dirname(bin)
-  const pathKey = process.platform === 'win32' ? 'Path' : 'PATH'
-  const current = process.env[pathKey] ?? ''
-  const parts = current.split(process.platform === 'win32' ? ';' : ':').filter(Boolean)
-  if (parts[0] !== dir) {
-    process.env[pathKey] = [dir, ...parts.filter((p) => p !== dir)].join(process.platform === 'win32' ? ';' : ':')
-  }
+  if (bin !== undefined) process.env.REZ_WECOM_CLI = bin
+  prependPathDirs([
+    ...(bin === undefined ? [] : wecomCliPathDirs(bin)),
+    ...workspaceWecomShimDirs(),
+  ])
   return bin
 }
 
 export function defaultWecomCliRunner(argv: string[]): WecomCliRunResult {
   const bundled = resolveWecomCliBin()
-  const cmd = bundled ?? 'wecom-cli'
-  const result = spawnSync(cmd, argv, {
+  const spawn = wecomCliSpawn(bundled)
+  const result = spawnSync(spawn.command, [...spawn.prefixArgs, ...argv], {
     encoding: 'utf8',
     timeout: 4000,
     env: process.env,
+    windowsHide: true,
   })
   const error = result.error as NodeJS.ErrnoException | undefined
   return {

package/templates/boss/product/AGENTS.md

@@ -41,7 +41,7 @@
 - TAPD 只读阻塞和等老板拍板的；Odoo 只读退货/质量相关。
 - 新产品或改产品 Wiki：Wiki **必须**同时写死 Nextcloud RAW 路径、Nextcloud Publish 路径（说明书 / 规格书 / 打标 / 渠道），Git 3D 源路径 `products/{slug}/models` 与 `products/{slug}/motion`，以及说明书/规格书对应的 TAPD 需求 ID。缺任一项就说「Wiki 未归档」，不要猜路径。
 - 问某产品素材在哪：打开 Nextcloud `Documents/Standards/INDEX.yaml`，再按相对 uri 读路径规则；加上该产品 Wiki **首次创建标题**，不要用会变的 Odoo `name` / 销售标题。RAW 在 `Marketing/RAW/…`，待审在 `Marketing/Inbox/…`，给团队用的正式件在 `Marketing/Publish/…`。
-- 同事交说明书/规格书：让他们用输入栏**回形针**上传原 PDF（不要拖进对话，官方只收图；不要用微信发文件），并说清产品、说明书还是规格书、中英。**不要直接写 Publish。** 文件先放 `Marketing/Inbox/…`，对应 TAPD 需求改测试中、处理人凯文智能家居。你跟 Harness 说「审批了哪份」之后，再写入 `Marketing/Publish/…/manual/` 或 `datasheet/`。拒绝不写 Publish。这是入库门禁，不是一件发布。Wiki 未写死路径或说明书/规格书 TAPD ID 就说「Wiki 未归档」。
+- 同事交说明书/规格书：让他们用输入栏**回形针**上传原 PDF（不要拖进对话，官方只收图，PDF 不要当图塞；不要用微信发文件），并说清产品、说明书还是规格书、中英。**不要直接写 Publish。** 文件先放 `Marketing/Inbox/…`，立刻用 `mcp__nextcloud__nc_webdav_read_file`（`parse_document=auto`）抽出文字交回本轮。对应 TAPD 需求改测试中、处理人凯文智能家居。你跟 Harness 说「审批了哪份」之后，再写入 `Marketing/Publish/…/manual/` 或 `datasheet/`。拒绝不写 Publish。这是入库门禁，不是一件发布。Wiki 未写死路径或说明书/规格书 TAPD ID 就说「Wiki 未归档」。看产品图/标签请调 `mcp__vision__view_image`（网页对话模型不要改；DeepSeek 看不见图）。
 - 同事交拍摄图：运营岗在「设计」房间完成拍原片、Comfy 只修一次、声明类型、Inbox 待审。**本室只做终审**：你跟 Harness 说「审批了哪份」之后，shot 与 clean **同时**写入 `Marketing/RAW/…/photo/shot/` 与 `photo/clean/`。拒绝不写 RAW。不要在产品室代运营修图，不要写 Publish、不要上渠道。缺拍摄图 TAPD 用 `1154488930001001218`，不算 Wiki 未归档。
 - 同事交品牌规范或公司 VI：运营岗在「设计」房间交 Inbox `Brand/guideline|vi/shot|clean/`。**本室只做终审**：你跟 Harness 说「审批了哪份」之后，shot 与 clean **同时**写入 `Marketing/RAW/Brand/guideline/` 或 `vi/` 的 `shot/` 与 `clean/`。拒绝不写 RAW。不要写 Publish。不要把规范抄进 Standards 正文。根上 `VI/`、`MKT/VI/` 不搬家。缺 TAPD 用 `1154488930001001220`。
 - 禁止在这里写固件、开辅线、做 HA Add-on、做微信通道。那些走仓库和员工机。

package/templates/shared/wecom-office/SKILL.md

@@ -24,9 +24,9 @@ description: 企业微信办公能力索引。官方 wecom-cli v1.1+ 已面向
 | `wecomcli-message` | 消息 |
 | `wecomcli-media` | 媒体文件 |
 
-1. 先看 `rez_status` 的 `wecomCli.modules`，或跑 `wecom-cli auth show`。
+1. 先看 `rez_status` 的 `wecomCli.bin` / `modules`，用 `node <bin> auth show`（Windows 同样）。不要 `npm install -g`。
 2. 先读 `wecomcli-shared`，再读对应 `wecomcli-*`。子命令以 `wecom-cli <模块> --help` 为准。
 3. CLI 返回未授权 / 无权限，才说**该模块未开通**。不要总结成「当前系统没有企业微信 MCP」，也不要说「超过 10 人没有通讯录」。
-4. 设置页 **BotID + Secret** 是房间**消息通道**（同事在企微跟哪个 bot 说话进哪个 Harness 房间）。**继续用手填绑定，不要改成扫码。**
-5. 办公 API：suite 已带 `@wecom/cli@1.1.0`。授权跑 `wecom-cli auth init`（可扫码）。若 PATH 上是 Homebrew `0.1.9`，改用 profile / `npx --no-install wecom-cli`。两套凭证不要混。
+4. 设置页 **BotID + Secret** 是房间**消息通道**（同事在企微跟哪个 bot 说话进哪个 Harness 房间）。**继续用手填绑定，不要改成扫码。** 查邮件/文档走 wecom-cli，不是这条通道。
+5. 办公 API：suite 已带 `@wecom/cli@1.1.0`。授权跑 `node $REZ_WECOM_CLI auth init`（可扫码）。找不到命令就让用户点左下角升级，禁止 npm。两套凭证不要混。
 6. 未另批前不要群发、不要改通讯录结构、不要对外发邮件。