@shundoo-ai/dsh-cosmic 1.0.2-alpha.2 → 1.0.2-alpha.3

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@shundoo-ai/dsh-cosmic",
-  "version": "1.0.2-alpha.2",
+  "version": "1.0.2-alpha.3",
   "type": "module",
   "files": [
     ".config",

package/skills/erp-analysis/references/email-delivery.md

@@ -73,14 +73,16 @@ bash 工具调用:
 host = "smtp.163.com"
 port = 465
 login = "发件邮箱地址"
-password = "授权码"             # 明文直用（本机配置；免子进程，Windows 沙箱下无需提权）
+password = "授权码"             # 明文直填（推荐；免子进程）
 from_addr = "发件邮箱地址"
 display_name = "发件人显示名"
 ```
 
-> **两种取密码方式**（二选一）：
-> - `password`（推荐，本机）：明文直读，**不起子进程**——Windows 沙箱禁止管道（`subprocess capture_output` 报 WinError 5），用明文免提权；
-> - `auth_cmd`（安全部署兜底）：`subprocess.run(..., shell=True)` 执行并把 stdout 当密码（密码不落明文进 toml，可放密钥管理/加密文件；Windows 沙箱下需提权）。
+> **取密码方式**（二选一）：
+> - `password`（**推荐**）：明文直填，不起子进程 → 任何平台都**无需提权**。
+> - `auth_cmd`：仅用于**真密钥管理**（凭据管理器/加密文件）；执行子进程并捕获 stdout 取密码，**Windows 沙箱下必须提权**（`CreatePipe WinError 5`）。
+>
+> ⚠️ 别写 `auth_cmd = "echo '<明文密码>'"` —— 密码在同一 toml 里本来就是明文，`echo` 毫无保护作用，却白白换来"每次发邮件都要提权"。
 
 ## 完整命令示例
 

package/skills/erp-analysis/templates/AGENTS.template.md

@@ -44,6 +44,7 @@
 | 构建权限边界 | 产 jar 走 `:<模块>:build`（写工作区）；勿用 `buildJar`/`deployJar`（写 cosmic 安装目录 outputdir，工作区外） | Windows 另有 `CreatePipe` 限制，构建/热部署仍须放开权限；Attacher classpath 分隔符 Windows 用 `;` |
 
 > 📌 配置按**工作区**隔离（appconfig / GRADLE_USER_HOME / ERP 凭证均在 `<cwd>` 下），多工作区可并行开展不同项目；bash 每次调用为独立 shell，命令中需显式携带工作区约定值（如 `export GRADLE_USER_HOME=<cwd>/.gradle/user-home`），勿依赖跨调用 export。沙箱写权限仅限工作区（preset 技能脚本 `~/.dsh/...`、`~/kd` 等外部路径修改需授权）。权限放开按平台：**macOS/Linux 无管道限制，构建/热部署无需放开**（缓存入工作区即可）；**Windows 禁跨进程管道（`CreatePipe error=5`），构建/热部署每次须单命令级放开 `danger-full-access`**（或会话级放宽；`--no-daemon` 无效）。
+> 📌 **发邮件不需要提权**：`send_email.py` 用 `password = "授权码"` 时明文直读、**不起子进程**，纯网络调用，任何平台都无需放开权限。（只有 `auth_cmd` 那条路要起子进程捕获 stdout，Windows 受限令牌下才需提权 —— 见 `references/email-delivery.md`。）
 > 📌 app-build 脚本（`bootstrap_cosmic_context.py` / `appconfig_load.py` / `prepare_plugin_handoff.py` / `compile_plugin_source.py` / `pipeline_gate.py` / `register_plugins.py` / `render_output_cards.py` 等）同样统一用 `{VENV}/bin/python` 执行——app-build SKILL.md 模板里的 `python3 {ROOT_DIR}/scripts/...` 写法与本约定冲突时，以本约定为准。
 
 <!-- 后续按需补充：数据分析、元数据建模等约定 -->