@rezti/dsh-rez-suite 0.1.56 → 0.1.57

package/CHANGELOG.md

@@ -5,12 +5,19 @@
 升级：
 
 ```bash
-dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.56
+dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.57
 ```
 
 不要用裸 `plugin update`，不要写 `latest`（新 profile 有 24 小时发布冷却，当天可能装不上）。不要装 **0.1.46**（GitHub 子依赖会被 DSH 拦住）。不要装 **0.1.51**（误用 `npm publish` 把 `workspace:` 打进包了）。
 
-发版顺序：`sso@0.1.15` → `vision@0.1.0` → `nextcloud@0.1.13` → `suite@0.1.56`。**必须用 `pnpm publish`**（会把 `workspace:` 写成真实版本），不要用 `npm publish`。
+Windows 员工机日常点网页左下角「升级」，不必重装 EXE。
+
+发版顺序：`sso@0.1.15` → `vision@0.1.1` → `nextcloud@0.1.13` → **`suite@0.1.57`**。**必须用 `pnpm publish`**（会把 `workspace:` 写成真实版本），不要用 `npm publish`。
+
+## 0.1.57 — 2026-08-21
+
+- **Windows 升级 + 企微办公 CLI**：启动脚本每次装 npm 上已满 24 小时的最新 suite，不再钉 0.1.48。左下角「升级」仍可当天装。Windows「升级」用 PowerShell 重启。`wecom-cli` 用 `node wecom.js` + 房间垫片，禁止 `npm install -g`。
+- **对话贴图不再整轮失败**：DeepSeek 适配器会拒 `{type:image}`。贴图/回形针图片先走 Kimi/Qwen 转成文字，再交给当前网页模型（不用换 DeepSeek-V4-Flash Low）。无 key 时插入失败占位并继续对话，不再 `UNSUPPORTED_CONTENT`。本机路径仍可用 `mcp__vision__view_image`。不要装 GitHub 看图插件。
 
 ## 0.1.56 — 2026-08-21
 

package/README.md

@@ -2,23 +2,23 @@
 
 雷泽插件的**唯一安装入口**。Odoo / 企微 / HA / TAPD / GSC / 企查查（仅法务助理房间） / 天眼查（仅老板） / 工作区（老板三室 + 全员助理）都由这一包拉齐，不要再逐个 `plugin add`，**不要**再装 `@rezti/dsh-rez-boss-desk`。
 
-发版顺序（必做）：先发 `@rezti/dsh-rez-sso@0.1.15` → `@rezti/dsh-rez-vision@0.1.0` → `@rezti/dsh-rez-nextcloud@0.1.13` → `@rezti/dsh-rez-suite@0.1.56`。**发 suite 必须用 `pnpm publish`**（会把 `workspace:` 写成真实版本），不要用 `npm publish`。员工机安装包仍钉已发布的 suite，不要顺手改审批镜像 `SUITE_VERSION`。
+发版顺序（必做）：先发 `@rezti/dsh-rez-sso@0.1.15` → `@rezti/dsh-rez-vision@0.1.1` → `@rezti/dsh-rez-nextcloud@0.1.13` → `@rezti/dsh-rez-suite@0.1.57`。**发 suite 必须用 `pnpm publish`**（会把 `workspace:` 写成真实版本），不要用 `npm publish`。员工机启动脚本跟 npm 满 24h 的 latest，不必改安装包里的钉死号。
 
 设置里选身份后，左侧自己出现对应房间（全员三助理；工程师另加实验室；运营另加设计、发布、电商；老板另加搞钱/产品/运营），不必手动添加工作区。实验室：大模型写 YAML、调 MCP、给下载链接。
 
 回形针走 npm 包 `@rezti/dsh-web-file-uploader@0.2.3`（不要 GitHub：DSH 会拦子依赖 git，0.1.46 因此装不上）。suite 自带 `@wecom/cli@1.1.0`（企微办公；不要依赖 Homebrew 全局 0.1.x）。
 
-员工机不要 `SUITE_VERSION=latest`：新 profile 默认 `minimumReleaseAge: 1440`，当天发的包可能装不到。钉死版本，或把 profile 的 `minimumReleaseAge` 改成 `0`。
+员工机启动脚本装 npm 上已满 24 小时的最新 suite（不必钉死版本）。左下角「升级」仍可当天装（profile `minimumReleaseAge: 0`）。不要用裸 `plugin update`。
 
 ```bash
 # 第一次 / 升级（钉死版本，避开 24h 发布冷却）
-dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.56
+dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.57
 ```
 
 本版改了什么：见 [CHANGELOG.md](./CHANGELOG.md)。
 
 包名是 `@rezti/dsh-rez-suite`，不是 `dsh-rezti-suite`。不要对同一 profile 再单独 add 子包，会重复注册。
 
-说明书 / 规格书：输入栏回形针上传原 PDF（官方对话只收图）。入库后立刻用 Nextcloud MCP `parse_document` 抽字交回对话。看图走 `mcp__vision__view_image`（网页对话模型不要改）。不要用微信发 PDF。先入 TAPD **测试中** 转凯文终审，批准后再进 `Marketing/Publish`。
+说明书 / 规格书：输入栏回形针上传原 PDF（官方对话只收图）。入库后立刻用 Nextcloud MCP `parse_document` 抽字交回对话。看图：对话框直接贴图即可（先转文字再交给 DeepSeek），网页对话模型不要改。不要用微信发 PDF。先入 TAPD **测试中** 转凯文终审，批准后再进 `Marketing/Publish`。
 
 拆分包（`dsh-rez-odoo` 等）给开发改代码用。Web 面板（含微信扫码）暂时仍在本包。

package/README.zh.md

@@ -1,8 +1,8 @@
 # dsh-rez-suite
 
-**用户只装这一包。** 升级只记：`dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.56`（不要用裸 `update`；不要 latest；不要 0.1.46 / 0.1.47 / 0.1.51）。本版改了什么见 [CHANGELOG.md](./CHANGELOG.md)。拆分包给开发改代码；不要对同一 profile 再单独 add 子包。
+**用户只装这一包。** 升级只记：`dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.57`（不要用裸 `update`；不要 latest；不要 0.1.46 / 0.1.47 / 0.1.51）。本版改了什么见 [CHANGELOG.md](./CHANGELOG.md)。拆分包给开发改代码；不要对同一 profile 再单独 add 子包。
 
-说明书 / 规格书用输入栏**回形针**上传原 PDF（官方对话只收图，不要拖文件；不要用微信发 PDF）。先入 `Marketing/Inbox`，立刻用 Nextcloud MCP 抽字交回对话，TAPD 测试中，凯文跟 Harness 说审批了哪份后，再写入 `Marketing/Publish/…`。看产品图走 `mcp__vision__view_image`，网页对话模型不要改。
+说明书 / 规格书用输入栏**回形针**上传原 PDF（官方对话只收图，不要拖文件；不要用微信发 PDF）。先入 `Marketing/Inbox`，立刻用 Nextcloud MCP 抽字交回对话，TAPD 测试中，凯文跟 Harness 说审批了哪份后，再写入 `Marketing/Publish/…`。看产品图直接贴进对话即可（旁路先转文字），网页对话模型不要改。
 
 拍摄原片：运营岗在「设计」房间交图，官方 Comfy MCP **只修一次**，声明类型后入 Inbox；凯文在老板产品室审批通过后**同时**写入 RAW。品牌规范 / 公司 VI 同一套逻辑，走公司级 `Marketing/Inbox/Brand/` → 终审后 `Marketing/RAW/Brand/`，不要写进某个 SKU。不要直接写 RAW，不要在这次做图生场景/白底。
 

package/lib/client.d.ts

@@ -7324,7 +7324,7 @@ declare const zh: {
   readonly 'config.vision.model': "模型（可空）";
   readonly 'config.vision.modelHint': "空则默认 kimi-k2.7-code；更快可填 kimi-k2.7-code-highspeed";
   readonly 'config.vision.token': "API Key";
-  readonly 'config.vision.hint': "网页对话模型保持 DeepSeek。认标签/产品图时助手调 mcp__vision__view_image。图会发到所选厂家。Kimi 填 Moonshot Key；Qwen 填 DashScope Key。改厂家后需重启 dsh web。";
+  readonly 'config.vision.hint': "网页对话模型保持 DeepSeek。对话框直接贴图或回形针图片会自动转成文字再交给 DeepSeek；本机路径也可调 mcp__vision__view_image。图会发到所选厂家。Kimi 填 Moonshot Key；Qwen 填 DashScope Key。改厂家后需重启 dsh web。";
   readonly 'config.fs': "本地文件 (fs-mcp-server)";
   readonly 'config.fs.root': "根目录";
   readonly 'config.sqlite': "SQLite (sqlite-mcp-server)";

package/lib/client.js

@@ -208,7 +208,7 @@ const zh = {
 	"config.vision.model": "模型（可空）",
 	"config.vision.modelHint": "空则默认 kimi-k2.7-code；更快可填 kimi-k2.7-code-highspeed",
 	"config.vision.token": "API Key",
-	"config.vision.hint": "网页对话模型保持 DeepSeek。认标签/产品图时助手调 mcp__vision__view_image。图会发到所选厂家。Kimi 填 Moonshot Key；Qwen 填 DashScope Key。改厂家后需重启 dsh web。",
+	"config.vision.hint": "网页对话模型保持 DeepSeek。对话框直接贴图或回形针图片会自动转成文字再交给 DeepSeek；本机路径也可调 mcp__vision__view_image。图会发到所选厂家。Kimi 填 Moonshot Key；Qwen 填 DashScope Key。改厂家后需重启 dsh web。",
 	"config.fs": "本地文件 (fs-mcp-server)",
 	"config.fs.root": "根目录",
 	"config.sqlite": "SQLite (sqlite-mcp-server)",
@@ -379,7 +379,7 @@ const en = {
 	"config.vision.model": "Model (optional)",
 	"config.vision.modelHint": "Blank defaults to kimi-k2.7-code; faster option is kimi-k2.7-code-highspeed",
 	"config.vision.token": "API key",
-	"config.vision.hint": "Keep DeepSeek as the chat model. The assistant calls mcp__vision__view_image for labels and product photos. Images leave the machine to that vendor. Kimi uses a Moonshot key; Qwen uses a DashScope key. Restart dsh web after switching vendor.",
+	"config.vision.hint": "Keep DeepSeek as the chat model. Pasted or paperclip images are transcribed automatically before DeepSeek; mcp__vision__view_image still works for local paths. Images leave the machine to that vendor. Kimi uses a Moonshot key; Qwen uses a DashScope key. Restart dsh web after switching vendor.",
 	"config.fs": "Local files (fs-mcp-server)",
 	"config.fs.root": "Root directory",
 	"config.sqlite": "SQLite (sqlite-mcp-server)",
@@ -1010,6 +1010,29 @@ function ChannelTable({ kind, lang }) {
 //#endregion
 //#region src/changelog.ts
 const SUITE_CHANGELOG = [
+	{
+		version: "0.1.57",
+		date: "2026-08-21",
+		sections: [{
+			title: {
+				zh: "Windows 升级与企微 CLI",
+				en: "Windows upgrade + WeCom CLI"
+			},
+			items: [{
+				zh: "启动脚本每次装 npm 上已满 24 小时的最新 suite，不再钉 0.1.48。左下角「升级」仍可当天装。Windows 升级用 PowerShell 重启。办公 wecom-cli 用 node wecom.js + 房间垫片；禁止 npm install -g。",
+				en: "Launchers install the newest suite published on npm for >=24h; no 0.1.48 pin. Sidebar Upgrade can still install a same-day build. Windows Upgrade respawns via PowerShell. Office wecom-cli runs as node wecom.js; never npm install -g."
+			}]
+		}, {
+			title: {
+				zh: "对话贴图不再整轮失败",
+				en: "GUI paste vision"
+			},
+			items: [{
+				zh: "对话里直接贴图不再被 DeepSeek 适配器 UNSUPPORTED_CONTENT 整轮打断：先走 Kimi/Qwen 转成文字再交给当前网页模型。本机路径仍可用 mcp__vision__view_image。不要换网页模型，不要 plugin add github。",
+				en: "Pasted GUI images are transcribed before the DeepSeek adapter, so UNSUPPORTED_CONTENT no longer aborts the turn. Local paths can still use mcp__vision__view_image. Do not switch the chat model or add GitHub vision plugins."
+			}]
+		}]
+	},
 	{
 		version: "0.1.56",
 		date: "2026-08-21",

package/lib/index.js

@@ -2,7 +2,7 @@ import { createRequire } from "node:module";
 import { homedir } from "node:os";
 import { dirname, join, relative } from "node:path";
 import { REZ_CREDENTIAL_REFS, REZ_DEFAULT_CONNECTIONS, REZ_SYSTEMS, lastMcpStartError, loadRezConnections, mergeConnections, readManagedCredential, secretConfigured, startMcpWhenSecret, writeManagedCredential } from "@rezti/dsh-rez-sso";
-import { existsSync, mkdirSync, readFileSync, readdirSync, realpathSync, renameSync, statSync, writeFileSync } from "node:fs";
+import { chmodSync, existsSync, mkdirSync, readFileSync, readdirSync, realpathSync, renameSync, statSync, writeFileSync } from "node:fs";
 import { spawn, spawnSync } from "node:child_process";
 import { fileURLToPath } from "node:url";
 import { DatabaseSync } from "node:sqlite";
@@ -3247,6 +3247,11 @@ function saveConfig(config) {
 *
 * Suite depends on @wecom/cli@1.1.0 so the profile gets a modern binary.
 * Prefer that over a global Homebrew 0.1.x that lacks `mail` / `auth`.
+*
+* Windows: the package entry is wecom.js (not wecom-cli.exe). spawnSync of a
+* .js path is ENOENT; agent shells looking for wecom-cli also miss it. Always
+* invoke `node wecom.js`, put node_modules/.bin on PATH, and seed a workspace
+* shim. Never npm install -g: workspace-write sandbox cannot write npm-cache.
 */
 /** Official @wecom/cli >=1.1 catalog. Do not invent extra HTTP APIs. */
 const WECOM_CLI_CATALOG = [
@@ -3306,29 +3311,30 @@ const WECOM_CLI_CATALOG = [
 const MODULE_LABELS = WECOM_CLI_CATALOG.map((row) => row.label).join("/");
 const HINT_MISSING = [
 	`未找到可用的 wecom-cli >=1.1（企微办公：${MODULE_LABELS}）。`,
-	"suite 已依赖 @wecom/cli@1.1.0：请重装 @rezti/dsh-rez-suite，或确认 profile 的 node_modules 里有 @wecom/cli。",
+	"suite 已依赖 @wecom/cli@1.1.0：请点网页左下角「升级」，或确认 profile 的 node_modules 里有 @wecom/cli。",
+	"Windows 用 node %REZ_WECOM_CLI% 或房间 .agents/bin/wecom-cli.cmd。禁止 npm install -g（沙箱 workspace-write 会 EPERM 写 npm-cache）。",
 	"不要用 Homebrew 全局 0.1.x（没有 mail/auth）。不要因为没有 wechat MCP 就说没有企微能力。"
 ].join("");
 const HINT_OUTDATED = [
 	"PATH 上的 wecom-cli 过旧（<1.1，没有 mail 等子命令）。",
-	"请用 suite 自带的 @wecom/cli@1.1.0：重装 suite，或把 profile node_modules/.bin 放在 PATH 最前。",
-	"不要 npm i -g 覆盖到旧 Homebrew 路径前面仍是 0.1.9。"
+	"请用 suite 自带的 @wecom/cli@1.1.0：点左下角升级，或把 profile node_modules/.bin 放在 PATH 最前。",
+	"禁止 npm i -g（Windows 沙箱会挡 npm-cache；也容易仍被旧 Homebrew 盖住）。"
 ].join("");
 const HINT_UNAUTH = [
-	"已安装 wecom-cli >=1.1，尚未授权。跑 wecom-cli auth init（可扫码）。",
+	"已安装 wecom-cli >=1.1，尚未授权。跑 wecom-cli auth init（可扫码）。Windows：node %REZ_WECOM_CLI% auth init。",
 	`授权后可用：${MODULE_LABELS}。本企业已开通这些品类。`,
 	"CLI 报某模块未授权才说该能力未开通；不要说「没有企微 MCP」，也不要说 10 人限制。"
 ].join("");
 const HINT_OK = [
 	`企微办公能力走 wecom-cli >=1.1（${MODULE_LABELS}）。本企业已开通。suite 已带 @wecom/cli。`,
-	"按房间里官方 wecomcli-* 技能执行，命令以 wecom-cli <模块> --help 为准。",
-	"不要用旧帮助中心「超过 10 人只能用文档」的说法。CLI 报未授权才说该模块未开通。",
-	"设置页 BotID+Secret 只是房间消息通道。不要把没有 mcp__wechat__* 当成没有企微能力。"
+	"调用：node $REZ_WECOM_CLI … 或房间 .agents/bin/wecom-cli（Windows 用 .cmd）。禁止 npm install -g。",
+	"按房间里官方 wecomcli-* 技能执行。不要用旧帮助中心「超过 10 人只能用文档」的说法。CLI 报未授权才说该模块未开通。",
+	"设置页 BotID+Secret 只是房间消息通道，不是查邮件。不要把没有 mcp__wechat__* 当成没有企微能力。"
 ].join("");
 function wecomCliCatalog() {
 	return WECOM_CLI_CATALOG.map((row) => ({ ...row }));
 }
-/** Resolve suite-bundled @wecom/cli binary; undefined if not installed next to suite. */
+/** Resolve suite-bundled @wecom/cli wecom.js; undefined if not installed next to suite. */
 function resolveWecomCliBin() {
 	const require = createRequire(import.meta.url);
 	try {
@@ -3342,21 +3348,78 @@ function resolveWecomCliBin() {
 		join(here, "..", "..", "..", "node_modules", "@wecom", "cli", "bin", "wecom.js")
 	]) if (existsSync(candidate)) return candidate;
 }
+/** node_modules/.bin (wecom-cli.cmd) plus the package bin dir (wecom.js). */
+function wecomCliPathDirs(jsPath) {
+	const pkgBin = dirname(jsPath);
+	return [join(pkgBin, "..", "..", "..", ".bin"), pkgBin];
+}
+function workspaceWecomShimDirs(home = process.env.DSH_HOME ?? join(homedir(), ".dsh")) {
+	const root = join(home, "workspaces");
+	if (!existsSync(root)) return [];
+	return readdirSync(root, { withFileTypes: true }).filter((entry) => entry.isDirectory()).map((entry) => join(root, entry.name, ".agents", "bin")).filter((dir) => existsSync(dir));
+}
+function prependPathDirs(dirs, env = process.env) {
+	const sep = process.platform === "win32" ? ";" : ":";
+	const parts = (env.PATH ?? env.Path ?? "").split(sep).filter(Boolean);
+	const joined = [...dirs.filter((dir) => dir.length > 0 && !parts.includes(dir)), ...parts].join(sep);
+	env.PATH = joined;
+	if (process.platform === "win32") env.Path = joined;
+	return joined;
+}
+/** Windows cannot spawn wecom.js as argv0; always use the running Node. */
+function wecomCliSpawn(bundled, nodePath = process.execPath) {
+	if (bundled !== void 0) return {
+		command: nodePath,
+		prefixArgs: [bundled]
+	};
+	return {
+		command: "wecom-cli",
+		prefixArgs: []
+	};
+}
+function wecomCliShimScripts(opts) {
+	if (opts.jsPath === void 0 || opts.jsPath === "") {
+		const msg = "wecom-cli is bundled in ReZ-TI suite. Click Upgrade. Do not npm install -g.";
+		return {
+			unix: `#!/bin/sh\necho "${msg}" >&2\nexit 1\n`,
+			cmd: `@echo off\r\necho ${msg}\r\nexit /b 1\r\n`
+		};
+	}
+	return {
+		unix: `#!/bin/sh\nexec "${opts.nodePath.replaceAll("\"", "\\\"")}" "${opts.jsPath.replaceAll("\"", "\\\"")}" "$@"\n`,
+		cmd: `@echo off\r\n"${opts.nodePath}" "${opts.jsPath}" %*\r\n`
+	};
+}
+function writeWecomCliShims(dest, written, jsPath = resolveWecomCliBin()) {
+	const scripts = wecomCliShimScripts({
+		nodePath: process.execPath,
+		jsPath
+	});
+	const dirRel = join(".agents", "bin");
+	mkdirSync(join(dest, dirRel), { recursive: true });
+	const unixRel = join(dirRel, "wecom-cli");
+	const cmdRel = join(dirRel, "wecom-cli.cmd");
+	writeFileSync(join(dest, unixRel), scripts.unix);
+	writeFileSync(join(dest, cmdRel), scripts.cmd);
+	try {
+		chmodSync(join(dest, unixRel), 493);
+	} catch {}
+	written.push(unixRel, cmdRel);
+}
 /** Put suite-bundled wecom-cli ahead of global Homebrew 0.1.x on PATH. */
 function ensureWecomCliOnPath() {
 	const bin = resolveWecomCliBin();
-	if (bin === void 0) return void 0;
-	const dir = dirname(bin);
-	const pathKey = process.platform === "win32" ? "Path" : "PATH";
-	const parts = (process.env[pathKey] ?? "").split(process.platform === "win32" ? ";" : ":").filter(Boolean);
-	if (parts[0] !== dir) process.env[pathKey] = [dir, ...parts.filter((p) => p !== dir)].join(process.platform === "win32" ? ";" : ":");
+	if (bin !== void 0) process.env.REZ_WECOM_CLI = bin;
+	prependPathDirs([...bin === void 0 ? [] : wecomCliPathDirs(bin), ...workspaceWecomShimDirs()]);
 	return bin;
 }
 function defaultWecomCliRunner(argv) {
-	const result = spawnSync(resolveWecomCliBin() ?? "wecom-cli", argv, {
+	const spawn = wecomCliSpawn(resolveWecomCliBin());
+	const result = spawnSync(spawn.command, [...spawn.prefixArgs, ...argv], {
 		encoding: "utf8",
 		timeout: 4e3,
-		env: process.env
+		env: process.env,
+		windowsHide: true
 	});
 	const error = result.error;
 	return {
@@ -8064,8 +8127,10 @@ function renderWecomCli(cli) {
 		hint: ""
 	};
 	const modules = (row.modules ?? []).map((item) => `${item.label}(${item.id})`).join("、");
+	const bin = row.bin ? `bin: node "${row.bin}"` : "bin: (missing — click Upgrade, do not npm install -g)";
 	return [
 		"wecom-cli（企微办公能力，不是 MCP）: installed=" + (row.installed ? "yes" : "no") + " authorized=" + (row.authorized ? "yes" : "no"),
+		bin,
 		modules.length > 0 ? "modules: " + modules : "modules: (官方目录见 wecomcli-* 技能)",
 		row.hint
 	].join("\n");
@@ -8433,6 +8498,7 @@ function seedRoom(templatesRoot, destRoot, room) {
 		written.push(rel);
 	}
 	seedSharedSkills(dest, written);
+	writeWecomCliShims(dest, written);
 	return {
 		id: room.id,
 		folder: room.folder,
@@ -8597,9 +8663,21 @@ function findProfileDir(startDir) {
 function shellQuote(value) {
 	return `'${value.replaceAll("'", `'\\''`)}'`;
 }
+function powershellQuote(value) {
+	return `'${value.replaceAll("'", "''")}'`;
+}
 function relaunchScript(argv, parentPid) {
 	return `while kill -0 ${parentPid} 2>/dev/null; do sleep 0.15; done; sleep 0.25; exec ${argv.map(shellQuote).join(" ")}`;
 }
+/** Windows staff EXE has no /bin/bash. Wait for the old node, then respawn argv. */
+function windowsRelaunchScript(argv, parentPid) {
+	const cmd = argv.map(powershellQuote).join(" ");
+	return [
+		`while (Get-Process -Id ${parentPid} -ErrorAction SilentlyContinue) { Start-Sleep -Milliseconds 200 }`,
+		"Start-Sleep -Milliseconds 300",
+		`& ${cmd}`
+	].join("; ");
+}
 async function fetchLatestVersion(fetchImpl = fetch) {
 	const response = await fetchImpl(NPM_LATEST, { headers: { accept: "application/json" } });
 	if (!response.ok) throw new Error(`npm registry HTTP ${response.status}`);
@@ -8638,12 +8716,24 @@ function runPnpmAdd(cwd, spec, env = process.env) {
 	});
 }
 function spawnRelaunch(argv, parentPid, cwd, env = process.env) {
-	spawn("/bin/bash", ["-c", relaunchScript(argv, parentPid)], {
+	(process.platform === "win32" ? spawn("powershell.exe", [
+		"-NoProfile",
+		"-WindowStyle",
+		"Hidden",
+		"-Command",
+		windowsRelaunchScript(argv, parentPid)
+	], {
+		cwd,
+		env,
+		detached: true,
+		stdio: "ignore",
+		windowsHide: true
+	}) : spawn("/bin/bash", ["-c", relaunchScript(argv, parentPid)], {
 		cwd,
 		env,
 		detached: true,
 		stdio: "ignore"
-	}).unref();
+	})).unref();
 }
 let inflight;
 function createSelfUpdate(io) {
@@ -8946,7 +9036,7 @@ const SECTION_ORDER = 150;
 const REZ_GUIDANCE_CORE = [
 	"本机已安装 ReZ-TI 拆分包：工作身份由 dsh-rez-sso 提供，MCP 由官方 dsh-mcp-client 接入 Odoo / Nextcloud / Home Assistant / TAPD / GSC / 看图旁路。",
 	"工具名 mcp__odoo__*、mcp__nextcloud__*、mcp__homeassistant__*、mcp__tapd__*、mcp__gsc__*、mcp__vision__*。",
-	"企业微信办公能力不是 MCP：走官方 wecom-cli >=1.1（通讯录/在线文档/在线表格/智能表格/智能文档/待办/日程/会议/邮件/微盘/消息）。本企业已开通这些品类。看 rez_status 的 wecomCli.modules，按房间 wecomcli-* 技能执行。不要因为没有 mcp__wechat__* 就说没有企微能力，也不要说「超过 10 人只能用文档」。CLI 报某模块未授权才说该能力未开通。设置页 BotID+Secret 只是房间消息通道。旧群 webhook 兼容才会出现 mcp__wechat__*。",
+	"企业微信有两层，不要混。① 房间消息通道 = 设置页 BotID+Secret（同事在企微跟那个智能机器人说话，进网页左侧对应房间）。② 办公能力不是 MCP：走官方 wecom-cli >=1.1（通讯录/在线文档/在线表格/智能表格/智能文档/待办/日程/会议/邮件/微盘/消息）。本企业已开通这些品类。看 rez_status 的 wecomCli.bin / modules，优先 node $REZ_WECOM_CLI 或房间 .agents/bin/wecom-cli（Windows 用 .cmd）。禁止 npm install -g（Windows 沙箱会 EPERM 写 npm-cache）。不要因为没有 mcp__wechat__* 就说没有企微能力，也不要说「超过 10 人只能用文档」。CLI 报某模块未授权才说该能力未开通。旧群 webhook 兼容才会出现 mcp__wechat__*。",
 	"密钥：REZ_ODOO_TOKEN、REZ_NEXTCLOUD_PASSWORD、REZ_WECHAT_WEBHOOK、REZ_HA_TOKEN、REZ_TAPD_TOKEN、REZ_GSC_KEY、REZ_VISION_KEY。",
 	"个人微信（QClaw/ClawBot）：打开 设置 → 插件 → ReZ-TI → 微信 扫码，然后直接在微信里说话。消息进入网页左侧「微信」文件夹并延续同一会话，模型跟网页默认。网页归档了再从微信说话会自动恢复到侧栏。发「重启对话」会新开一条可见会话并把旧会话归档。网页端必须开着。不必再跑命令、也不要调用微信 MCP 工具。",
 	"意图用 rez_set_intent（erp/files/chat/home/auto）。审计用 rez_audit。",
@@ -8954,7 +9044,7 @@ const REZ_GUIDANCE_CORE = [
 	"Match the user language: Chinese or English. Do not force 中文 when they write English.",
 	"制度、手册、出差/报销标准、素材路径：打开 Nextcloud Documents/Standards/INDEX.yaml，按 code 取当前 effective_from 最新且未被 replace 的条目，再按相对 uri 打开。引用带路径+生效日。找不到就说「标准文件未归档」，不要用 MEMORY 旧数字。素材文件夹用首次创建标题，不用会变的 Odoo/销售名。",
 	"读 PDF（Kimi/Cursor 同款：先抽字再问）：mcp__nextcloud__nc_webdav_read_file，parse_document 用 auto；表格/标题再试 markdown。不要把 PDF 当图或 base64 塞进对话，内置 read 会当二进制拒掉。parse_status 不是 parsed 或正文空，就说没有文字层（扫描件本期不开 OCR），不要假装读过。不要 plugin add github 看图/PDF 插件。跨很多本说明书检索走 Dify 发布知识库（1154488930001001237），不要另建向量库。",
-	"看产品图/标签/截图：网页对话模型不要改。DeepSeek 官方聊天是纯文本，看不见像素。调用 mcp__vision__view_image（本机图片路径 + 要问什么），把文字描述交回本轮。旁路默认 Kimi Code（kimi-k2.7-code），设置里可切通义 Qwen-VL。没有 mcp__vision__* 就说本机没有看图旁路（设置 → 插件 → ReZ-TI 配 REZ_VISION_KEY），不要切网页模型假装能看见。官方对话只收图。Comfy MCP 只修图，不拿来认字。",
+	"看产品图/标签/截图：网页对话模型不要改。DeepSeek 官方聊天是纯文本，看不见像素；对话里直接贴图或回形针图片会先走看图旁路转成文字，再交给 DeepSeek，不要因为 UNSUPPORTED_CONTENT 就换网页模型。本机文件路径也可调 mcp__vision__view_image。旁路默认 Kimi Code（kimi-k2.7-code），设置里可切通义 Qwen-VL。没有看图旁路就说本机未配 REZ_VISION_KEY（设置 → 插件 → ReZ-TI），不要切网页模型假装能看见。官方对话只收图。Comfy MCP 只修图，不拿来认字。",
 	"同事交说明书/规格书：用输入栏回形针上传原 PDF（不要拖进对话——官方只收图，PDF 不要当图塞；也不要用微信发文件）。不要直接写 Marketing/Publish。先找到该产品对应 TAPD 需求（Wiki 写死的说明书/规格书 TAPD ID；没有则按首次创建标题搜「产品使用说明书」或「技术手册」），把 PDF 放到 Marketing/Inbox/{分类}/{首次创建标题}/manual/ 或 datasheet/（zh.pdf 或 en.pdf），立刻用 mcp__nextcloud__nc_webdav_read_file（parse_document=auto）抽出文字交回本轮，不要只说已入库。评论该需求、状态改测试中（status_3）、处理人改凯文智能家居。规划中先转到开发中再测试中；已实现要先退回开发中。凯文说审批了哪份（产品、说明书或规格书、中英）之后，再把 Inbox 文件写入 Marketing/Publish 对应路径，TAPD 改已实现。拒绝则改已拒绝、不写 Publish。Wiki 缺 NC RAW、NC Publish、Git products/{slug}/models 与 motion 就说「Wiki 未归档」。这不是一件发布；不要拷下游、不要上渠道。",
 	"同事交拍摄原片：对话里交图即可。先调官方 Comfy MCP 只修一次，得到高精度干净原片；Harness 不做推理，不要自写 WebSocket。这不是图生场景图也不是图生白底图。修完后员工必须声明是什么图（white_bg/scene/label/gallery/packaging，写进 TAPD 评论）；未声明不准进审批。不要直接写 Marketing/RAW。两种都先放到 Marketing/Inbox/{分类}/{首次创建标题}/photo/shot/ 与 photo/clean/。对应 TAPD（Wiki 写死的拍摄图 TAPD ID；没有则按首次创建标题搜「产品拍摄」；还没有则评论 1154488930001001218）改测试中、处理人改凯文智能家居。凯文说审批了哪份之后，shot 与 clean 同时写入 Marketing/RAW 对应路径，TAPD 改已实现。拒绝不写 RAW。不要写 Publish、不要上渠道。现有 photo/ 根目录或产品根目录样板不强制搬家。",
 	"同事交品牌规范或公司 VI：这是公司级，写 Marketing/Brand/，不要写进某个产品 SKU 目录。规范 PDF 和 psd/ai 源文件用回形针；VI 图在对话里交，才调官方 Comfy MCP 只修一次。声明类型（guideline 或 logo/wordmark/icon/color/font/template）后，两种先入 Marketing/Inbox/Brand/guideline/ 或 vi/ 的 shot 与 clean。评论 1154488930001001220，改测试中、处理人凯文智能家居。凯文说审批了哪份之后，shot 与 clean 同时写入 Marketing/RAW/Brand 对应路径。拒绝不写 RAW。不要写 Publish。根上 VI/ 与 MKT/VI 是历史盘，不搬家、不再当正式路径。不要把规范抄进 Standards 正文。"

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@rezti/dsh-rez-suite",
-  "description": "ReZ-TI one-package install for DeepSeek Harness. Update with: dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.56",
-  "version": "0.1.56",
+  "description": "ReZ-TI one-package install for DeepSeek Harness. Update with: dsh plugin --profile web add @rezti/dsh-rez-suite@0.1.57",
+  "version": "0.1.57",
   "type": "module",
   "engines": {
     "node": "^22.19.0 || >=24.0.0"
@@ -45,7 +45,7 @@
     "@rezti/dsh-rez-sso": "^0.1.15",
     "@rezti/dsh-rez-tapd": "^0.1.1",
     "@rezti/dsh-rez-token-manager": "^0.1.4",
-    "@rezti/dsh-rez-vision": "^0.1.0",
+    "@rezti/dsh-rez-vision": "^0.1.1",
     "@rezti/dsh-rez-wechat": "^0.1.17",
     "@rezti/dsh-web-file-uploader": "0.2.3",
     "@wecom/cli": "1.1.0",

package/src/boss/seed.ts

@@ -1,6 +1,7 @@
 import { existsSync, mkdirSync, readdirSync, readFileSync, statSync, writeFileSync } from 'node:fs'
 import { dirname, join, relative } from 'node:path'
 import { fileURLToPath } from 'node:url'
+import { writeWecomCliShims } from '../wecom-cli.ts'
 
 export const BOSS_ROOMS = [
   { id: 'money', folder: '搞钱' },
@@ -165,6 +166,7 @@ function seedRoom(templatesRoot: string, destRoot: string, room: RoomSpec): Seed
   }
 
   seedSharedSkills(dest, written)
+  writeWecomCliShims(dest, written)
 
   return {
     id: room.id,

package/src/changelog.ts

@@ -20,6 +20,30 @@ export interface ChangelogRelease {
 }
 
 export const SUITE_CHANGELOG: readonly ChangelogRelease[] = [
+  {
+    version: '0.1.57',
+    date: '2026-08-21',
+    sections: [
+      {
+        title: { zh: 'Windows 升级与企微 CLI', en: 'Windows upgrade + WeCom CLI' },
+        items: [
+          {
+            zh: '启动脚本每次装 npm 上已满 24 小时的最新 suite，不再钉 0.1.48。左下角「升级」仍可当天装。Windows 升级用 PowerShell 重启。办公 wecom-cli 用 node wecom.js + 房间垫片；禁止 npm install -g。',
+            en: 'Launchers install the newest suite published on npm for >=24h; no 0.1.48 pin. Sidebar Upgrade can still install a same-day build. Windows Upgrade respawns via PowerShell. Office wecom-cli runs as node wecom.js; never npm install -g.',
+          },
+        ],
+      },
+      {
+        title: { zh: '对话贴图不再整轮失败', en: 'GUI paste vision' },
+        items: [
+          {
+            zh: '对话里直接贴图不再被 DeepSeek 适配器 UNSUPPORTED_CONTENT 整轮打断：先走 Kimi/Qwen 转成文字再交给当前网页模型。本机路径仍可用 mcp__vision__view_image。不要换网页模型，不要 plugin add github。',
+            en: 'Pasted GUI images are transcribed before the DeepSeek adapter, so UNSUPPORTED_CONTENT no longer aborts the turn. Local paths can still use mcp__vision__view_image. Do not switch the chat model or add GitHub vision plugins.',
+          },
+        ],
+      },
+    ],
+  },
   {
     version: '0.1.56',
     date: '2026-08-21',

package/src/client/locales.ts

@@ -76,7 +76,7 @@ export const zh = {
   'config.vision.model': '模型（可空）',
   'config.vision.modelHint': '空则默认 kimi-k2.7-code；更快可填 kimi-k2.7-code-highspeed',
   'config.vision.token': 'API Key',
-  'config.vision.hint': '网页对话模型保持 DeepSeek。认标签/产品图时助手调 mcp__vision__view_image。图会发到所选厂家。Kimi 填 Moonshot Key；Qwen 填 DashScope Key。改厂家后需重启 dsh web。',
+  'config.vision.hint': '网页对话模型保持 DeepSeek。对话框直接贴图或回形针图片会自动转成文字再交给 DeepSeek；本机路径也可调 mcp__vision__view_image。图会发到所选厂家。Kimi 填 Moonshot Key；Qwen 填 DashScope Key。改厂家后需重启 dsh web。',
   'config.fs': '本地文件 (fs-mcp-server)',
   'config.fs.root': '根目录',
   'config.sqlite': 'SQLite (sqlite-mcp-server)',
@@ -253,7 +253,7 @@ export const en: Record<RezKey, string> = {
   'config.vision.model': 'Model (optional)',
   'config.vision.modelHint': 'Blank defaults to kimi-k2.7-code; faster option is kimi-k2.7-code-highspeed',
   'config.vision.token': 'API key',
-  'config.vision.hint': 'Keep DeepSeek as the chat model. The assistant calls mcp__vision__view_image for labels and product photos. Images leave the machine to that vendor. Kimi uses a Moonshot key; Qwen uses a DashScope key. Restart dsh web after switching vendor.',
+  'config.vision.hint': 'Keep DeepSeek as the chat model. Pasted or paperclip images are transcribed automatically before DeepSeek; mcp__vision__view_image still works for local paths. Images leave the machine to that vendor. Kimi uses a Moonshot key; Qwen uses a DashScope key. Restart dsh web after switching vendor.',
   'config.fs': 'Local files (fs-mcp-server)',
   'config.fs.root': 'Root directory',
   'config.sqlite': 'SQLite (sqlite-mcp-server)',

package/src/index.ts

@@ -114,7 +114,7 @@ const SECTION_ORDER = 150
 export const REZ_GUIDANCE_CORE = [
   '本机已安装 ReZ-TI 拆分包：工作身份由 dsh-rez-sso 提供，MCP 由官方 dsh-mcp-client 接入 Odoo / Nextcloud / Home Assistant / TAPD / GSC / 看图旁路。',
   '工具名 mcp__odoo__*、mcp__nextcloud__*、mcp__homeassistant__*、mcp__tapd__*、mcp__gsc__*、mcp__vision__*。',
-  '企业微信办公能力不是 MCP：走官方 wecom-cli >=1.1（通讯录/在线文档/在线表格/智能表格/智能文档/待办/日程/会议/邮件/微盘/消息）。本企业已开通这些品类。看 rez_status 的 wecomCli.modules，按房间 wecomcli-* 技能执行。不要因为没有 mcp__wechat__* 就说没有企微能力，也不要说「超过 10 人只能用文档」。CLI 报某模块未授权才说该能力未开通。设置页 BotID+Secret 只是房间消息通道。旧群 webhook 兼容才会出现 mcp__wechat__*。',
+  '企业微信有两层，不要混。① 房间消息通道 = 设置页 BotID+Secret（同事在企微跟那个智能机器人说话，进网页左侧对应房间）。② 办公能力不是 MCP：走官方 wecom-cli >=1.1（通讯录/在线文档/在线表格/智能表格/智能文档/待办/日程/会议/邮件/微盘/消息）。本企业已开通这些品类。看 rez_status 的 wecomCli.bin / modules，优先 node $REZ_WECOM_CLI 或房间 .agents/bin/wecom-cli（Windows 用 .cmd）。禁止 npm install -g（Windows 沙箱会 EPERM 写 npm-cache）。不要因为没有 mcp__wechat__* 就说没有企微能力，也不要说「超过 10 人只能用文档」。CLI 报某模块未授权才说该能力未开通。旧群 webhook 兼容才会出现 mcp__wechat__*。',
   '密钥：REZ_ODOO_TOKEN、REZ_NEXTCLOUD_PASSWORD、REZ_WECHAT_WEBHOOK、REZ_HA_TOKEN、REZ_TAPD_TOKEN、REZ_GSC_KEY、REZ_VISION_KEY。',
   '个人微信（QClaw/ClawBot）：打开 设置 → 插件 → ReZ-TI → 微信 扫码，然后直接在微信里说话。消息进入网页左侧「微信」文件夹并延续同一会话，模型跟网页默认。网页归档了再从微信说话会自动恢复到侧栏。发「重启对话」会新开一条可见会话并把旧会话归档。网页端必须开着。不必再跑命令、也不要调用微信 MCP 工具。',
   '意图用 rez_set_intent（erp/files/chat/home/auto）。审计用 rez_audit。',
@@ -122,7 +122,7 @@ export const REZ_GUIDANCE_CORE = [
   'Match the user language: Chinese or English. Do not force 中文 when they write English.',
   '制度、手册、出差/报销标准、素材路径：打开 Nextcloud Documents/Standards/INDEX.yaml，按 code 取当前 effective_from 最新且未被 replace 的条目，再按相对 uri 打开。引用带路径+生效日。找不到就说「标准文件未归档」，不要用 MEMORY 旧数字。素材文件夹用首次创建标题，不用会变的 Odoo/销售名。',
   '读 PDF（Kimi/Cursor 同款：先抽字再问）：mcp__nextcloud__nc_webdav_read_file，parse_document 用 auto；表格/标题再试 markdown。不要把 PDF 当图或 base64 塞进对话，内置 read 会当二进制拒掉。parse_status 不是 parsed 或正文空，就说没有文字层（扫描件本期不开 OCR），不要假装读过。不要 plugin add github 看图/PDF 插件。跨很多本说明书检索走 Dify 发布知识库（1154488930001001237），不要另建向量库。',
-  '看产品图/标签/截图：网页对话模型不要改。DeepSeek 官方聊天是纯文本，看不见像素。调用 mcp__vision__view_image（本机图片路径 + 要问什么），把文字描述交回本轮。旁路默认 Kimi Code（kimi-k2.7-code），设置里可切通义 Qwen-VL。没有 mcp__vision__* 就说本机没有看图旁路（设置 → 插件 → ReZ-TI 配 REZ_VISION_KEY），不要切网页模型假装能看见。官方对话只收图。Comfy MCP 只修图，不拿来认字。',
+  '看产品图/标签/截图：网页对话模型不要改。DeepSeek 官方聊天是纯文本，看不见像素；对话里直接贴图或回形针图片会先走看图旁路转成文字，再交给 DeepSeek，不要因为 UNSUPPORTED_CONTENT 就换网页模型。本机文件路径也可调 mcp__vision__view_image。旁路默认 Kimi Code（kimi-k2.7-code），设置里可切通义 Qwen-VL。没有看图旁路就说本机未配 REZ_VISION_KEY（设置 → 插件 → ReZ-TI），不要切网页模型假装能看见。官方对话只收图。Comfy MCP 只修图，不拿来认字。',
   '同事交说明书/规格书：用输入栏回形针上传原 PDF（不要拖进对话——官方只收图，PDF 不要当图塞；也不要用微信发文件）。不要直接写 Marketing/Publish。先找到该产品对应 TAPD 需求（Wiki 写死的说明书/规格书 TAPD ID；没有则按首次创建标题搜「产品使用说明书」或「技术手册」），把 PDF 放到 Marketing/Inbox/{分类}/{首次创建标题}/manual/ 或 datasheet/（zh.pdf 或 en.pdf），立刻用 mcp__nextcloud__nc_webdav_read_file（parse_document=auto）抽出文字交回本轮，不要只说已入库。评论该需求、状态改测试中（status_3）、处理人改凯文智能家居。规划中先转到开发中再测试中；已实现要先退回开发中。凯文说审批了哪份（产品、说明书或规格书、中英）之后，再把 Inbox 文件写入 Marketing/Publish 对应路径，TAPD 改已实现。拒绝则改已拒绝、不写 Publish。Wiki 缺 NC RAW、NC Publish、Git products/{slug}/models 与 motion 就说「Wiki 未归档」。这不是一件发布；不要拷下游、不要上渠道。',
   '同事交拍摄原片：对话里交图即可。先调官方 Comfy MCP 只修一次，得到高精度干净原片；Harness 不做推理，不要自写 WebSocket。这不是图生场景图也不是图生白底图。修完后员工必须声明是什么图（white_bg/scene/label/gallery/packaging，写进 TAPD 评论）；未声明不准进审批。不要直接写 Marketing/RAW。两种都先放到 Marketing/Inbox/{分类}/{首次创建标题}/photo/shot/ 与 photo/clean/。对应 TAPD（Wiki 写死的拍摄图 TAPD ID；没有则按首次创建标题搜「产品拍摄」；还没有则评论 1154488930001001218）改测试中、处理人改凯文智能家居。凯文说审批了哪份之后，shot 与 clean 同时写入 Marketing/RAW 对应路径，TAPD 改已实现。拒绝不写 RAW。不要写 Publish、不要上渠道。现有 photo/ 根目录或产品根目录样板不强制搬家。',
   '同事交品牌规范或公司 VI：这是公司级，写 Marketing/Brand/，不要写进某个产品 SKU 目录。规范 PDF 和 psd/ai 源文件用回形针；VI 图在对话里交，才调官方 Comfy MCP 只修一次。声明类型（guideline 或 logo/wordmark/icon/color/font/template）后，两种先入 Marketing/Inbox/Brand/guideline/ 或 vi/ 的 shot 与 clean。评论 1154488930001001220，改测试中、处理人凯文智能家居。凯文说审批了哪份之后，shot 与 clean 同时写入 Marketing/RAW/Brand 对应路径。拒绝不写 RAW。不要写 Publish。根上 VI/ 与 MKT/VI 是历史盘，不搬家、不再当正式路径。不要把规范抄进 Standards 正文。',

package/src/protocol.ts

@@ -138,6 +138,8 @@ export interface RezWecomCliStatus {
   authorized: boolean
   modules: RezWecomCliModule[]
   hint: string
+  /** Absolute wecom.js path. Agent should run: node "<bin>" … */
+  bin?: string
 }
 
 /** Complete /api/dsh-rez-suite/status response. */

package/src/self-update.ts

@@ -55,10 +55,24 @@ export function shellQuote(value: string): string {
   return `'${value.replaceAll("'", `'\\''`)}'`
 }
 
+export function powershellQuote(value: string): string {
+  return `'${value.replaceAll("'", "''")}'`
+}
+
 export function relaunchScript(argv: string[], parentPid: number): string {
   return `while kill -0 ${parentPid} 2>/dev/null; do sleep 0.15; done; sleep 0.25; exec ${argv.map(shellQuote).join(' ')}`
 }
 
+/** Windows staff EXE has no /bin/bash. Wait for the old node, then respawn argv. */
+export function windowsRelaunchScript(argv: string[], parentPid: number): string {
+  const cmd = argv.map(powershellQuote).join(' ')
+  return [
+    `while (Get-Process -Id ${parentPid} -ErrorAction SilentlyContinue) { Start-Sleep -Milliseconds 200 }`,
+    'Start-Sleep -Milliseconds 300',
+    `& ${cmd}`,
+  ].join('; ')
+}
+
 export async function fetchLatestVersion(fetchImpl: typeof fetch = fetch): Promise<string> {
   const response = await fetchImpl(NPM_LATEST, { headers: { accept: 'application/json' } })
   if (!response.ok) throw new Error(`npm registry HTTP ${response.status}`)
@@ -89,12 +103,20 @@ export function runPnpmAdd(cwd: string, spec: string, env: NodeJS.ProcessEnv = p
 }
 
 export function spawnRelaunch(argv: string[], parentPid: number, cwd: string, env: NodeJS.ProcessEnv = process.env): void {
-  const child = spawn('/bin/bash', ['-c', relaunchScript(argv, parentPid)], {
-    cwd,
-    env,
-    detached: true,
-    stdio: 'ignore',
-  })
+  const child = process.platform === 'win32'
+    ? spawn('powershell.exe', ['-NoProfile', '-WindowStyle', 'Hidden', '-Command', windowsRelaunchScript(argv, parentPid)], {
+      cwd,
+      env,
+      detached: true,
+      stdio: 'ignore',
+      windowsHide: true,
+    })
+    : spawn('/bin/bash', ['-c', relaunchScript(argv, parentPid)], {
+      cwd,
+      env,
+      detached: true,
+      stdio: 'ignore',
+    })
   child.unref()
 }
 

package/src/tools.ts

@@ -34,9 +34,11 @@ function renderTest(results: RezTestResult[]): string {
 function renderWecomCli(cli: RezWecomCliStatus | undefined): string {
   const row = cli ?? { installed: false, authorized: false, modules: [], hint: '' }
   const modules = (row.modules ?? []).map((item) => `${item.label}(${item.id})`).join('、')
+  const bin = row.bin ? `bin: node "${row.bin}"` : 'bin: (missing — click Upgrade, do not npm install -g)'
   return [
     'wecom-cli（企微办公能力，不是 MCP）: installed=' + (row.installed ? 'yes' : 'no')
       + ' authorized=' + (row.authorized ? 'yes' : 'no'),
+    bin,
     modules.length > 0 ? 'modules: ' + modules : 'modules: (官方目录见 wecomcli-* 技能)',
     row.hint,
   ].join('\n')

package/src/wecom-cli.ts

@@ -6,10 +6,16 @@
  *
  * Suite depends on @wecom/cli@1.1.0 so the profile gets a modern binary.
  * Prefer that over a global Homebrew 0.1.x that lacks `mail` / `auth`.
+ *
+ * Windows: the package entry is wecom.js (not wecom-cli.exe). spawnSync of a
+ * .js path is ENOENT; agent shells looking for wecom-cli also miss it. Always
+ * invoke `node wecom.js`, put node_modules/.bin on PATH, and seed a workspace
+ * shim. Never npm install -g: workspace-write sandbox cannot write npm-cache.
  */
 
 import { spawnSync } from 'node:child_process'
-import { existsSync } from 'node:fs'
+import { chmodSync, existsSync, mkdirSync, readdirSync, writeFileSync } from 'node:fs'
+import { homedir } from 'node:os'
 import { dirname, join } from 'node:path'
 import { createRequire } from 'node:module'
 import { fileURLToPath } from 'node:url'
@@ -24,7 +30,7 @@ export interface WecomCliStatus {
   authorized: boolean
   modules: WecomCliModule[]
   hint: string
-  /** Absolute path preferred for agent shell (suite-bundled). */
+  /** Absolute path of bundled wecom.js; agent should run: node "<bin>" … */
   bin?: string
 }
 
@@ -37,6 +43,11 @@ export interface WecomCliRunResult {
 
 export type WecomCliRunner = (argv: string[]) => WecomCliRunResult
 
+export interface WecomCliSpawn {
+  command: string
+  prefixArgs: string[]
+}
+
 /** Official @wecom/cli >=1.1 catalog. Do not invent extra HTTP APIs. */
 export const WECOM_CLI_CATALOG: readonly WecomCliModule[] = [
   { id: 'contact', label: '通讯录' },
@@ -58,27 +69,28 @@ const MODULE_LABELS = WECOM_CLI_CATALOG.map((row) => row.label).join('/')
 
 const HINT_MISSING = [
   `未找到可用的 wecom-cli >=1.1（企微办公：${MODULE_LABELS}）。`,
-  'suite 已依赖 @wecom/cli@1.1.0：请重装 @rezti/dsh-rez-suite，或确认 profile 的 node_modules 里有 @wecom/cli。',
+  'suite 已依赖 @wecom/cli@1.1.0：请点网页左下角「升级」，或确认 profile 的 node_modules 里有 @wecom/cli。',
+  'Windows 用 node %REZ_WECOM_CLI% 或房间 .agents/bin/wecom-cli.cmd。禁止 npm install -g（沙箱 workspace-write 会 EPERM 写 npm-cache）。',
   '不要用 Homebrew 全局 0.1.x（没有 mail/auth）。不要因为没有 wechat MCP 就说没有企微能力。',
 ].join('')
 
 const HINT_OUTDATED = [
   'PATH 上的 wecom-cli 过旧（<1.1，没有 mail 等子命令）。',
-  '请用 suite 自带的 @wecom/cli@1.1.0：重装 suite，或把 profile node_modules/.bin 放在 PATH 最前。',
-  '不要 npm i -g 覆盖到旧 Homebrew 路径前面仍是 0.1.9。',
+  '请用 suite 自带的 @wecom/cli@1.1.0：点左下角升级，或把 profile node_modules/.bin 放在 PATH 最前。',
+  '禁止 npm i -g（Windows 沙箱会挡 npm-cache；也容易仍被旧 Homebrew 盖住）。',
 ].join('')
 
 const HINT_UNAUTH = [
-  '已安装 wecom-cli >=1.1，尚未授权。跑 wecom-cli auth init（可扫码）。',
+  '已安装 wecom-cli >=1.1，尚未授权。跑 wecom-cli auth init（可扫码）。Windows：node %REZ_WECOM_CLI% auth init。',
   `授权后可用：${MODULE_LABELS}。本企业已开通这些品类。`,
   'CLI 报某模块未授权才说该能力未开通；不要说「没有企微 MCP」，也不要说 10 人限制。',
 ].join('')
 
 const HINT_OK = [
   `企微办公能力走 wecom-cli >=1.1（${MODULE_LABELS}）。本企业已开通。suite 已带 @wecom/cli。`,
-  '按房间里官方 wecomcli-* 技能执行，命令以 wecom-cli <模块> --help 为准。',
-  '不要用旧帮助中心「超过 10 人只能用文档」的说法。CLI 报未授权才说该模块未开通。',
-  '设置页 BotID+Secret 只是房间消息通道。不要把没有 mcp__wechat__* 当成没有企微能力。',
+  '调用：node $REZ_WECOM_CLI … 或房间 .agents/bin/wecom-cli（Windows 用 .cmd）。禁止 npm install -g。',
+  '按房间里官方 wecomcli-* 技能执行。不要用旧帮助中心「超过 10 人只能用文档」的说法。CLI 报未授权才说该模块未开通。',
+  '设置页 BotID+Secret 只是房间消息通道，不是查邮件。不要把没有 mcp__wechat__* 当成没有企微能力。',
 ].join('')
 
 export function wecomCliCatalog(): WecomCliModule[] {
@@ -93,7 +105,7 @@ export function parseWecomCliHelpModules(helpText: string): WecomCliModule[] {
   })
 }
 
-/** Resolve suite-bundled @wecom/cli binary; undefined if not installed next to suite. */
+/** Resolve suite-bundled @wecom/cli wecom.js; undefined if not installed next to suite. */
 export function resolveWecomCliBin(): string | undefined {
   const require = createRequire(import.meta.url)
   try {
@@ -103,7 +115,6 @@ export function resolveWecomCliBin(): string | undefined {
   } catch {
     // not hoisted next to this module
   }
-  // Fallbacks when published layout differs
   const here = dirname(fileURLToPath(import.meta.url))
   for (const candidate of [
     join(here, '..', 'node_modules', '@wecom', 'cli', 'bin', 'wecom.js'),
@@ -115,27 +126,86 @@ export function resolveWecomCliBin(): string | undefined {
   return undefined
 }
 
+/** node_modules/.bin (wecom-cli.cmd) plus the package bin dir (wecom.js). */
+export function wecomCliPathDirs(jsPath: string): string[] {
+  const pkgBin = dirname(jsPath)
+  const nmBin = join(pkgBin, '..', '..', '..', '.bin')
+  return [nmBin, pkgBin]
+}
+
+export function workspaceWecomShimDirs(home = process.env.DSH_HOME ?? join(homedir(), '.dsh')): string[] {
+  const root = join(home, 'workspaces')
+  if (!existsSync(root)) return []
+  return readdirSync(root, { withFileTypes: true })
+    .filter((entry) => entry.isDirectory())
+    .map((entry) => join(root, entry.name, '.agents', 'bin'))
+    .filter((dir) => existsSync(dir))
+}
+
+export function prependPathDirs(dirs: string[], env: NodeJS.ProcessEnv = process.env): string {
+  const sep = process.platform === 'win32' ? ';' : ':'
+  const current = env.PATH ?? env.Path ?? ''
+  const parts = current.split(sep).filter(Boolean)
+  const head = dirs.filter((dir) => dir.length > 0 && !parts.includes(dir))
+  const joined = [...head, ...parts].join(sep)
+  env.PATH = joined
+  if (process.platform === 'win32') env.Path = joined
+  return joined
+}
+
+/** Windows cannot spawn wecom.js as argv0; always use the running Node. */
+export function wecomCliSpawn(bundled: string | undefined, nodePath = process.execPath): WecomCliSpawn {
+  if (bundled !== undefined) return { command: nodePath, prefixArgs: [bundled] }
+  return { command: 'wecom-cli', prefixArgs: [] }
+}
+
+export function wecomCliShimScripts(opts: { nodePath: string; jsPath?: string }): { unix: string; cmd: string } {
+  if (opts.jsPath === undefined || opts.jsPath === '') {
+    const msg = 'wecom-cli is bundled in ReZ-TI suite. Click Upgrade. Do not npm install -g.'
+    return {
+      unix: `#!/bin/sh\necho "${msg}" >&2\nexit 1\n`,
+      cmd: `@echo off\r\necho ${msg}\r\nexit /b 1\r\n`,
+    }
+  }
+  const node = opts.nodePath.replaceAll('"', '\\"')
+  const js = opts.jsPath.replaceAll('"', '\\"')
+  return {
+    unix: `#!/bin/sh\nexec "${node}" "${js}" "$@"\n`,
+    cmd: `@echo off\r\n"${opts.nodePath}" "${opts.jsPath}" %*\r\n`,
+  }
+}
+
+export function writeWecomCliShims(dest: string, written: string[], jsPath = resolveWecomCliBin()): void {
+  const scripts = wecomCliShimScripts({ nodePath: process.execPath, jsPath })
+  const dirRel = join('.agents', 'bin')
+  mkdirSync(join(dest, dirRel), { recursive: true })
+  const unixRel = join(dirRel, 'wecom-cli')
+  const cmdRel = join(dirRel, 'wecom-cli.cmd')
+  writeFileSync(join(dest, unixRel), scripts.unix)
+  writeFileSync(join(dest, cmdRel), scripts.cmd)
+  try { chmodSync(join(dest, unixRel), 0o755) } catch { /* win */ }
+  written.push(unixRel, cmdRel)
+}
+
 /** Put suite-bundled wecom-cli ahead of global Homebrew 0.1.x on PATH. */
 export function ensureWecomCliOnPath(): string | undefined {
   const bin = resolveWecomCliBin()
-  if (bin === undefined) return undefined
-  const dir = dirname(bin)
-  const pathKey = process.platform === 'win32' ? 'Path' : 'PATH'
-  const current = process.env[pathKey] ?? ''
-  const parts = current.split(process.platform === 'win32' ? ';' : ':').filter(Boolean)
-  if (parts[0] !== dir) {
-    process.env[pathKey] = [dir, ...parts.filter((p) => p !== dir)].join(process.platform === 'win32' ? ';' : ':')
-  }
+  if (bin !== undefined) process.env.REZ_WECOM_CLI = bin
+  prependPathDirs([
+    ...(bin === undefined ? [] : wecomCliPathDirs(bin)),
+    ...workspaceWecomShimDirs(),
+  ])
   return bin
 }
 
 export function defaultWecomCliRunner(argv: string[]): WecomCliRunResult {
   const bundled = resolveWecomCliBin()
-  const cmd = bundled ?? 'wecom-cli'
-  const result = spawnSync(cmd, argv, {
+  const spawn = wecomCliSpawn(bundled)
+  const result = spawnSync(spawn.command, [...spawn.prefixArgs, ...argv], {
     encoding: 'utf8',
     timeout: 4000,
     env: process.env,
+    windowsHide: true,
   })
   const error = result.error as NodeJS.ErrnoException | undefined
   return {

package/templates/shared/wecom-office/SKILL.md

@@ -24,9 +24,9 @@ description: 企业微信办公能力索引。官方 wecom-cli v1.1+ 已面向
 | `wecomcli-message` | 消息 |
 | `wecomcli-media` | 媒体文件 |
 
-1. 先看 `rez_status` 的 `wecomCli.modules`，或跑 `wecom-cli auth show`。
+1. 先看 `rez_status` 的 `wecomCli.bin` / `modules`，用 `node <bin> auth show`（Windows 同样）。不要 `npm install -g`。
 2. 先读 `wecomcli-shared`，再读对应 `wecomcli-*`。子命令以 `wecom-cli <模块> --help` 为准。
 3. CLI 返回未授权 / 无权限，才说**该模块未开通**。不要总结成「当前系统没有企业微信 MCP」，也不要说「超过 10 人没有通讯录」。
-4. 设置页 **BotID + Secret** 是房间**消息通道**（同事在企微跟哪个 bot 说话进哪个 Harness 房间）。**继续用手填绑定，不要改成扫码。**
-5. 办公 API：suite 已带 `@wecom/cli@1.1.0`。授权跑 `wecom-cli auth init`（可扫码）。若 PATH 上是 Homebrew `0.1.9`，改用 profile / `npx --no-install wecom-cli`。两套凭证不要混。
+4. 设置页 **BotID + Secret** 是房间**消息通道**（同事在企微跟哪个 bot 说话进哪个 Harness 房间）。**继续用手填绑定，不要改成扫码。** 查邮件/文档走 wecom-cli，不是这条通道。
+5. 办公 API：suite 已带 `@wecom/cli@1.1.0`。授权跑 `node $REZ_WECOM_CLI auth init`（可扫码）。找不到命令就让用户点左下角升级，禁止 npm。两套凭证不要混。
 6. 未另批前不要群发、不要改通讯录结构、不要对外发邮件。

package/templates/shared/wecomcli-shared/SKILL.md

@@ -11,19 +11,27 @@ description: wecom-cli 业务技能的公共前置检查、获取机器人及授
 
 ## Step 1：检查 CLI 安装与版本
 
-ReZ-TI suite 已依赖 `@wecom/cli@1.1.0`（随 `dsh plugin add @rezti/dsh-rez-suite` 装进 profile）。**优先用 profile 里的二进制**，不要用 Homebrew 全局 `0.1.x`（没有 `mail` / 完整 `auth`）。
+ReZ-TI suite 已依赖 `@wecom/cli@1.1.0`（随 suite 装进 profile）。**优先用 profile 里的二进制**，不要用 Homebrew 全局 `0.1.x`（没有 `mail` / 完整 `auth`）。
+
+**禁止** `npm install -g @wecom/cli`、禁止 `npm i @wecom/cli`。Windows 员工机沙箱 `workspace-write` 不能写 `AppData\Local\npm-cache`，会 EPERM，而且装到全局也找不到 suite 自带的 1.1。找不到命令时让用户点网页**左下角「升级」**，不要自己装 npm 包。
+
+调用顺序（Windows 用 PowerShell / cmd 均可）：
 
 ```bash
+# 1) suite 写入的环境变量（推荐）
+node "$REZ_WECOM_CLI" --version
+# Windows: node $env:REZ_WECOM_CLI --version
+
+# 2) 房间内垫片（Glob 能搜到）
+.agents/bin/wecom-cli --version
+# Windows: .agents\bin\wecom-cli.cmd --version
+
+# 3) 仅当上面都没有时
 wecom-cli --version
-# 若输出是 0.1.x，或 which wecom-cli 指向 /opt/homebrew，改用：
-# npx --no-install wecom-cli --version
-# 或：node "$(node -p \"require('path').join(require('path').dirname(require.resolve('@wecom/cli/package.json')),'bin/wecom.js')\")" --version
 ```
 
 - 命令成功，且版本号不低于 `1.1.0` → 继续 Step 2。
-- 命令不存在、执行报错或版本仍低于 `1.1.0` → **不要** `npm install -g @wecom/cli`（容易仍被旧 PATH 盖住）。请用户重装 suite：`dsh plugin --profile web add @rezti/dsh-rez-suite@<当前版>`。仅当 suite 依赖确实缺失时，才可：`npm i @wecom/cli@1.1.0 --prefix "$HOME/.local"` 并把 `$HOME/.local/bin` 放到 PATH **最前**。
-
-安装/重装后重新执行 `wecom-cli --version`；仍失败或版本仍低于 `1.1.0` 时停止业务操作，并把错误告知用户。
+- 命令不存在、执行报错或版本仍低于 `1.1.0` → **停止**，告诉用户点左下角升级 ReZ-TI 插件。不要 npm、不要 npx、不要改沙箱去装全局包。
 
 ## Step 2：检查授权状态
 

package/templates/staff/hr/.agents/skills/staff-onboard-keys/SKILL.md

@@ -22,7 +22,7 @@ description: 人事助理。引导员工自己领取本机安装包、申请各
 
 没有 GitHub 权限：找人事要包，不要下未知来源的安装程序。
 
-**发包装时说清楚：** zip/exe 只是启动壳，第一次会从外网下 Node、**pnpm**、dsh，再装钉死的 suite（现在 `0.1.48`）。不是装完就能离线用。长期分发走 CI artifact，不要把仓里 `deploy/dist/` 当主渠道。
+**发包装时说清楚：** zip/exe 只是启动壳，第一次会从外网下 Node、**pnpm**、dsh，再装 npm 上已满 24 小时的最新 suite。刚发的包要等一天；当天要用就点网页左下角「升级」。不是装完就能离线用。长期分发走 CI artifact，不要把仓里 `deploy/dist/` 当主渠道。
 
 回形针上传走 npm `@rezti/dsh-web-file-uploader`，装进 suite 即可。不要再单独从 GitHub add。
 
@@ -30,7 +30,7 @@ description: 人事助理。引导员工自己领取本机安装包、申请各
 
 1. 解压 zip，把 **ReZ-TI Harness** 拖进「应用程序」。
 2. 若提示无法打开 / 已损坏：让对方双击包里的 **首次打开.command**，或在终端执行 `xattr -cr "/Applications/ReZ-TI Harness.app"`，再**右键 → 打开**。
-3. 第一次会弹出终端：下载 Node、安装 pnpm 和稳定 dsh、拉 **0.1.48** suite。不是装完就能离线用。
+3. 第一次会弹出终端：下载 Node、安装 pnpm 和稳定 dsh、拉 npm 上已满 24 小时的最新 suite。不是装完就能离线用。当天要用新功能：点左下角「升级」。
 4. 浏览器打开 `http://127.0.0.1:3080/`。失败看 `~/Library/Application Support/ReZ-TI/harness/logs/harness.log`。
 
 ### Windows
@@ -42,6 +42,14 @@ description: 人事助理。引导员工自己领取本机安装包、申请各
 
 密钥写在本机 `~/.dsh`（Windows `%USERPROFILE%\.dsh`）。不要删这份目录。
 
+### 日常升级（已装完，不要重装 EXE）
+
+exe / App **只是启动壳**。插件升级点网页**左下角「升级」**，等它重载。不要 `latest`，不要让员工自己 `npm install`。
+
+- 不必为升 suite 重装 Setup.exe。密钥还在 `%USERPROFILE%\.dsh`。
+- 只有启动脚本坏了、黑窗口一闪、或人事发了新安装包时，才覆盖装 EXE。先关黑窗口，任务管理器结束 `powershell` / `node`。
+- 同事在企微跟机器人说话要进 Harness：设置 → 插件 → ReZ-TI → **企业微信**，给该房间填 BotID + Secret；网页必须开着；聊的是那个智能机器人，不是普通客服。查邮件是另一条（官方 wecom-cli，先 `auth init`），不要 `npm i -g`。
+
 ## 填到哪
 
 | 用途 | 填哪里 | 面板字段（中文） |