@sidleo3/dsh-chat-feishu 0.0.5 → 0.0.6

package/client/index.js

@@ -153,6 +153,7 @@ const zh = {
   '两种方式：扫码新建一个飞书机器人（推荐，扫码的人就是属主），或手动填已有机器人的凭据。': '两种方式：扫码新建一个飞书机器人（推荐，扫码的人就是属主），或手动填已有机器人的凭据。',
   '扫码新建机器人': '扫码新建机器人',
   '点下面的按钮会向飞书申请一个一次性授权链接：用飞书扫一扫，或在浏览器里打开它，就会自动创建应用并接入。': '点下面的按钮会向飞书申请一个一次性授权链接：用飞书扫一扫，或在浏览器里打开它，就会自动创建应用并接入。',
+  '扫码后的确认页会列出这台机器人需要的权限（已经替你选好），确认一次就一起开通；个别权限要管理员审批、应用发布后才生效。': '扫码后的确认页会列出这台机器人需要的权限（已经替你选好），确认一次就一起开通；个别权限要管理员审批、应用发布后才生效。',
   '手动接入已有机器人': '手动接入已有机器人',
   '打开授权页面': '打开授权页面',
   '这台 Host 没能生成二维码，请点上面的链接继续。': '这台 Host 没能生成二维码，请点上面的链接继续。',
@@ -314,6 +315,7 @@ const en = {
   '两种方式：扫码新建一个飞书机器人（推荐，扫码的人就是属主），或手动填已有机器人的凭据。': 'Two ways: scan to create a new Feishu bot (recommended — whoever scans becomes the owner), or paste the credentials of an existing bot.',
   '扫码新建机器人': 'Scan to create a bot',
   '点下面的按钮会向飞书申请一个一次性授权链接：用飞书扫一扫，或在浏览器里打开它，就会自动创建应用并接入。': 'This requests a one-time authorization link from Feishu. Scan it with Feishu (or open it in your browser) and a new app is created and connected automatically.',
+  '扫码后的确认页会列出这台机器人需要的权限（已经替你选好），确认一次就一起开通；个别权限要管理员审批、应用发布后才生效。': 'The confirmation page lists the permissions this bot needs, already selected for you — one confirmation grants them together. A few may need admin approval and take effect once the app is published.',
   '手动接入已有机器人': 'Connect an existing bot manually',
   '打开授权页面': 'Open the authorization page',
   '这台 Host 没能生成二维码，请点上面的链接继续。': 'This Host could not render the QR code — use the link above instead.',
@@ -1000,6 +1002,10 @@ export function FeishuOnboard({ chatUi, connection, translate, onAdded }) {
     h('h4', { className: 'dchat-onboardTitle' }, t('扫码新建机器人')),
     h('p', { className: 'dchat-cardDescription' },
       t('点下面的按钮会向飞书申请一个一次性授权链接：用飞书扫一扫，或在浏览器里打开它，就会自动创建应用并接入。')),
+    // 权限是**预填进确认页**的（host 侧 app-manifest.mjs）：用户要知道"扫完要点确认"这一步，
+    // 否则会以为扫码就已经全部就绪，遇到还没发布的权限又找不到原因。
+    h('p', { className: 'dchat-cardDescription' },
+      t('扫码后的确认页会列出这台机器人需要的权限（已经替你选好），确认一次就一起开通；个别权限要管理员审批、应用发布后才生效。')),
     h('div', { className: 'dchat-actions' },
       h('button', {
         type: 'button',
@@ -1023,14 +1029,18 @@ export function FeishuOnboard({ chatUi, connection, translate, onAdded }) {
         height: 200,
       })
       : null,
-    // Host 没能把链接编码成二维码（缺 qrcode 模块）时**必须说清**，并给一条还能走的路。
-    scan.verificationUrl && !scan.qrCodeDataUrl
+    // 二维码与链接**两条路都给**（真机反馈：二维码出来之后链接就没了）：桌面端直接点链接
+    // 比"掏手机扫屏幕"省事，手机端扫码更快——两种都留着，谁方便用谁。
+    // 只有 Host 编不出二维码（缺 `qrcode` 模块）时，链接才是唯一的路，这时补一句说明。
+    scan.verificationUrl
       ? h('div', null,
         h('a', {
           className: 'dchat-onboardLink', href: scan.verificationUrl, target: '_blank', rel: 'noreferrer',
         }, t('打开授权页面')),
-        h('p', { className: 'dchat-cardDescription' },
-          `${t('这台 Host 没能生成二维码，请点上面的链接继续。')}`))
+        !scan.qrCodeDataUrl
+          ? h('p', { className: 'dchat-cardDescription' },
+            `${t('这台 Host 没能生成二维码，请点上面的链接继续。')}`)
+          : null)
       : null,
     h('p', { className: 'dchat-cardDescription', role: 'status' },
       scan.remainingSeconds !== null && scan.remainingSeconds !== undefined && scanActive

package/host/app-manifest.mjs

@@ -0,0 +1,71 @@
+/**
+ * 飞书「扫码新建」时预填给用户的应用清单：权限、事件订阅、卡片回调。
+ *
+ * 为什么要有这个文件：SDK 的 `registerApp` 支持 `addons`，它把清单**预填进扫码后的确认页**
+ * ——用户在飞书里扫一下、在确认页点一次确认，这些权限就一起开通了；不带它就只能建出一个
+ * 什么权限都没有的空应用，用户还得自己去开放平台逐个勾选（本仓库早期就是这样，
+ * 真机上表现为"扫码建好了、一发消息就缺权限"，只能靠设置页那串开通链接救场）。
+ *
+ * ⚠️ 两条平台口径（照 `@larksuiteoapi/node-sdk` 1.73.0 README 的「一键创建应用」节）：
+ * - **平台只校验数据形状、不校验权限点是否存在**：写错的 id 会被确认页**静默忽略**，
+ *   "明明声明了、怎么还是没权限"就是这么来的。改这份清单必须对着开放平台权限目录核实，
+ *   不能凭印象拼 id。
+ * - `addons` 只能**增量叠加公开配置**（应用/用户身份权限、事件、回调）；事件**订阅方式（长连接）**、
+ *   回调地址、加密 key 属敏感配置，传不了，仍要在开放平台里人工确认。
+ *
+ * 清单口径 = **本渠道代码真的会调的接口**（见 `lark-gateway.mjs`），不"顺手多要"：
+ * 多要来的数据面（通讯录全员、云文档、日历）只会扩大暴露面，也让管理员更难批。
+ *
+ * @module dsh-chat-feishu/app-manifest
+ */
+
+/**
+ * 租户（应用身份）权限：每一行都对应 `lark-gateway.mjs` 里一处真实调用，
+ * 删掉哪一行就会出现对应的"缺权限"降级（表情打不上 / 白名单只有 id / 图片发不出）。
+ */
+export const FEISHU_APP_TENANT_SCOPES = Object.freeze([
+  // 收消息（事件 `im.message.receive_v1` 的准入权限，三个场景各一条）
+  'im:message.p2p_msg:readonly', // 私聊消息
+  'im:message.group_at_msg:readonly', // 群里 @ 机器人
+  'im:message.group_at_msg.include_bot:readonly', // 群里其它机器人 @ 机器人
+  // 消息本身
+  'im:message:readonly', // 读消息正文 / 下载消息里的图片与文件
+  'im:message:send_as_bot', // 发消息、回消息、更新卡片
+  'im:message.reactions:write_only', // 「在做了」表情（缺了不致命，但表情一直打不上）
+  // 资源
+  'im:resource', // 上传机器人要发的图片 / 文件
+  // 把 id 换成名字（白名单、投递目标；查不到时设置页只能显示一串 ou_…）
+  'im:chat:readonly', // 群名、群成员
+  'contact:user.base:readonly', // 人名
+]);
+
+/** 收消息事件（长连接推过来的就是它）。 */
+export const FEISHU_APP_EVENTS = Object.freeze(['im.message.receive_v1']);
+
+/** 卡片回调（卡片上的按钮/下拉点了之后要靠它回来；缺了就是"点了没反应"）。 */
+export const FEISHU_APP_CALLBACKS = Object.freeze(['card.action.trigger']);
+
+/** 预填到确认页的应用信息（扫码的人仍可在页面上改）。`{user}` 会换成扫码人的名字。 */
+export const FEISHU_APP_PRESET = Object.freeze({
+  name: '{user} 的 DSH 助手',
+  desc: '连接飞书与 DeepSeek Harness，在聊天里使用 AI 助手。',
+});
+
+/**
+ * 扫码新建时交给 SDK `registerApp` 的参数。
+ *
+ * `createOnly: true` 是**安全项**：没有它，落地页会让用户选"创建新应用 / 更新已有应用"，
+ * 误选一台正在用的应用并确认，就会去改那台应用的配置（这条路是"新建"，不该碰别人的应用）。
+ */
+export const FEISHU_SCAN_REGISTER_OPTIONS = Object.freeze({
+  createOnly: true,
+  appPreset: FEISHU_APP_PRESET,
+  addons: Object.freeze({
+    // `preset: false` = 不要平台的默认模板，从「仅机器人能力、无业务权限」起，
+    // 确认页上就只是上面声明的这几项（默认模板里有什么、版本间会不会变，我们不去猜）。
+    preset: false,
+    scopes: Object.freeze({ tenant: FEISHU_APP_TENANT_SCOPES }),
+    events: Object.freeze({ items: Object.freeze({ tenant: FEISHU_APP_EVENTS }) }),
+    callbacks: Object.freeze({ items: FEISHU_APP_CALLBACKS }),
+  }),
+});

package/host/controller.mjs

@@ -9,6 +9,7 @@
 import { createHash } from 'node:crypto';
 import { join } from 'node:path';
 
+import { FEISHU_SCAN_REGISTER_OPTIONS } from './app-manifest.mjs';
 import { createFeishuBridge } from './bridge.mjs';
 import { createFeishuConfigStore } from './config-store.mjs';
 import { createLarkCli, normalizeLarkUserIdentity } from './lark-cli.mjs';
@@ -1129,10 +1130,14 @@ export function createFeishuController({ deps, logger = console, config = {}, in
        * （回显二维码/链接、剩余秒数、失败原因、成功后的机器人）、`cancel` 取消。
        * 二维码由 host 转成 data URL（`qrcode` 是构建期外置依赖）：拿不到就只回链接，
        * 前端照样能让人打开——**不静默**，状态里会写清为什么没有二维码。
+       *
+       * 带上 `FEISHU_SCAN_REGISTER_OPTIONS`：把本渠道真的要用的权限/事件/回调**预填进确认页**，
+       * 用户扫完在页面上点一次确认就一起开通；同时 `createOnly` 钉死"只能新建"，
+       * 免得误选一台正在用的应用去改它的配置。清单口径见 `app-manifest.mjs`。
        */
       'bot.register.start': async () => ({
         ok: true,
-        value: await provisionStatus(provision.start()),
+        value: await provisionStatus(provision.start(FEISHU_SCAN_REGISTER_OPTIONS)),
       }),
 
       'bot.register.status': async () => ({ ok: true, value: await provisionStatus(provision.status()) }),

package/host/index.mjs

@@ -15,7 +15,7 @@
 import { createFeishuController } from './controller.mjs';
 
 /** 渠道包版本：设置页的「版本与更新」面板用它，`npm run check` 会与 package.json 对账。 */
-const CHANNEL_VERSION = '0.0.5';
+const CHANNEL_VERSION = '0.0.6';
 
 export const name = 'dsh-chat-feishu-host';
 

package/lib/client.js

@@ -174,6 +174,7 @@ var zh = {
   "\u4E24\u79CD\u65B9\u5F0F\uFF1A\u626B\u7801\u65B0\u5EFA\u4E00\u4E2A\u98DE\u4E66\u673A\u5668\u4EBA\uFF08\u63A8\u8350\uFF0C\u626B\u7801\u7684\u4EBA\u5C31\u662F\u5C5E\u4E3B\uFF09\uFF0C\u6216\u624B\u52A8\u586B\u5DF2\u6709\u673A\u5668\u4EBA\u7684\u51ED\u636E\u3002": "\u4E24\u79CD\u65B9\u5F0F\uFF1A\u626B\u7801\u65B0\u5EFA\u4E00\u4E2A\u98DE\u4E66\u673A\u5668\u4EBA\uFF08\u63A8\u8350\uFF0C\u626B\u7801\u7684\u4EBA\u5C31\u662F\u5C5E\u4E3B\uFF09\uFF0C\u6216\u624B\u52A8\u586B\u5DF2\u6709\u673A\u5668\u4EBA\u7684\u51ED\u636E\u3002",
   "\u626B\u7801\u65B0\u5EFA\u673A\u5668\u4EBA": "\u626B\u7801\u65B0\u5EFA\u673A\u5668\u4EBA",
   "\u70B9\u4E0B\u9762\u7684\u6309\u94AE\u4F1A\u5411\u98DE\u4E66\u7533\u8BF7\u4E00\u4E2A\u4E00\u6B21\u6027\u6388\u6743\u94FE\u63A5\uFF1A\u7528\u98DE\u4E66\u626B\u4E00\u626B\uFF0C\u6216\u5728\u6D4F\u89C8\u5668\u91CC\u6253\u5F00\u5B83\uFF0C\u5C31\u4F1A\u81EA\u52A8\u521B\u5EFA\u5E94\u7528\u5E76\u63A5\u5165\u3002": "\u70B9\u4E0B\u9762\u7684\u6309\u94AE\u4F1A\u5411\u98DE\u4E66\u7533\u8BF7\u4E00\u4E2A\u4E00\u6B21\u6027\u6388\u6743\u94FE\u63A5\uFF1A\u7528\u98DE\u4E66\u626B\u4E00\u626B\uFF0C\u6216\u5728\u6D4F\u89C8\u5668\u91CC\u6253\u5F00\u5B83\uFF0C\u5C31\u4F1A\u81EA\u52A8\u521B\u5EFA\u5E94\u7528\u5E76\u63A5\u5165\u3002",
+  "\u626B\u7801\u540E\u7684\u786E\u8BA4\u9875\u4F1A\u5217\u51FA\u8FD9\u53F0\u673A\u5668\u4EBA\u9700\u8981\u7684\u6743\u9650\uFF08\u5DF2\u7ECF\u66FF\u4F60\u9009\u597D\uFF09\uFF0C\u786E\u8BA4\u4E00\u6B21\u5C31\u4E00\u8D77\u5F00\u901A\uFF1B\u4E2A\u522B\u6743\u9650\u8981\u7BA1\u7406\u5458\u5BA1\u6279\u3001\u5E94\u7528\u53D1\u5E03\u540E\u624D\u751F\u6548\u3002": "\u626B\u7801\u540E\u7684\u786E\u8BA4\u9875\u4F1A\u5217\u51FA\u8FD9\u53F0\u673A\u5668\u4EBA\u9700\u8981\u7684\u6743\u9650\uFF08\u5DF2\u7ECF\u66FF\u4F60\u9009\u597D\uFF09\uFF0C\u786E\u8BA4\u4E00\u6B21\u5C31\u4E00\u8D77\u5F00\u901A\uFF1B\u4E2A\u522B\u6743\u9650\u8981\u7BA1\u7406\u5458\u5BA1\u6279\u3001\u5E94\u7528\u53D1\u5E03\u540E\u624D\u751F\u6548\u3002",
   "\u624B\u52A8\u63A5\u5165\u5DF2\u6709\u673A\u5668\u4EBA": "\u624B\u52A8\u63A5\u5165\u5DF2\u6709\u673A\u5668\u4EBA",
   "\u6253\u5F00\u6388\u6743\u9875\u9762": "\u6253\u5F00\u6388\u6743\u9875\u9762",
   "\u8FD9\u53F0 Host \u6CA1\u80FD\u751F\u6210\u4E8C\u7EF4\u7801\uFF0C\u8BF7\u70B9\u4E0A\u9762\u7684\u94FE\u63A5\u7EE7\u7EED\u3002": "\u8FD9\u53F0 Host \u6CA1\u80FD\u751F\u6210\u4E8C\u7EF4\u7801\uFF0C\u8BF7\u70B9\u4E0A\u9762\u7684\u94FE\u63A5\u7EE7\u7EED\u3002",
@@ -325,6 +326,7 @@ var en = {
   "\u4E24\u79CD\u65B9\u5F0F\uFF1A\u626B\u7801\u65B0\u5EFA\u4E00\u4E2A\u98DE\u4E66\u673A\u5668\u4EBA\uFF08\u63A8\u8350\uFF0C\u626B\u7801\u7684\u4EBA\u5C31\u662F\u5C5E\u4E3B\uFF09\uFF0C\u6216\u624B\u52A8\u586B\u5DF2\u6709\u673A\u5668\u4EBA\u7684\u51ED\u636E\u3002": "Two ways: scan to create a new Feishu bot (recommended \u2014 whoever scans becomes the owner), or paste the credentials of an existing bot.",
   "\u626B\u7801\u65B0\u5EFA\u673A\u5668\u4EBA": "Scan to create a bot",
   "\u70B9\u4E0B\u9762\u7684\u6309\u94AE\u4F1A\u5411\u98DE\u4E66\u7533\u8BF7\u4E00\u4E2A\u4E00\u6B21\u6027\u6388\u6743\u94FE\u63A5\uFF1A\u7528\u98DE\u4E66\u626B\u4E00\u626B\uFF0C\u6216\u5728\u6D4F\u89C8\u5668\u91CC\u6253\u5F00\u5B83\uFF0C\u5C31\u4F1A\u81EA\u52A8\u521B\u5EFA\u5E94\u7528\u5E76\u63A5\u5165\u3002": "This requests a one-time authorization link from Feishu. Scan it with Feishu (or open it in your browser) and a new app is created and connected automatically.",
+  "\u626B\u7801\u540E\u7684\u786E\u8BA4\u9875\u4F1A\u5217\u51FA\u8FD9\u53F0\u673A\u5668\u4EBA\u9700\u8981\u7684\u6743\u9650\uFF08\u5DF2\u7ECF\u66FF\u4F60\u9009\u597D\uFF09\uFF0C\u786E\u8BA4\u4E00\u6B21\u5C31\u4E00\u8D77\u5F00\u901A\uFF1B\u4E2A\u522B\u6743\u9650\u8981\u7BA1\u7406\u5458\u5BA1\u6279\u3001\u5E94\u7528\u53D1\u5E03\u540E\u624D\u751F\u6548\u3002": "The confirmation page lists the permissions this bot needs, already selected for you \u2014 one confirmation grants them together. A few may need admin approval and take effect once the app is published.",
   "\u624B\u52A8\u63A5\u5165\u5DF2\u6709\u673A\u5668\u4EBA": "Connect an existing bot manually",
   "\u6253\u5F00\u6388\u6743\u9875\u9762": "Open the authorization page",
   "\u8FD9\u53F0 Host \u6CA1\u80FD\u751F\u6210\u4E8C\u7EF4\u7801\uFF0C\u8BF7\u70B9\u4E0A\u9762\u7684\u94FE\u63A5\u7EE7\u7EED\u3002": "This Host could not render the QR code \u2014 use the link above instead.",
@@ -940,6 +942,13 @@ function FeishuOnboard({ chatUi, connection, translate, onAdded }) {
         { className: "dchat-cardDescription" },
         t("\u70B9\u4E0B\u9762\u7684\u6309\u94AE\u4F1A\u5411\u98DE\u4E66\u7533\u8BF7\u4E00\u4E2A\u4E00\u6B21\u6027\u6388\u6743\u94FE\u63A5\uFF1A\u7528\u98DE\u4E66\u626B\u4E00\u626B\uFF0C\u6216\u5728\u6D4F\u89C8\u5668\u91CC\u6253\u5F00\u5B83\uFF0C\u5C31\u4F1A\u81EA\u52A8\u521B\u5EFA\u5E94\u7528\u5E76\u63A5\u5165\u3002")
       ),
+      // 权限是**预填进确认页**的（host 侧 app-manifest.mjs）：用户要知道"扫完要点确认"这一步，
+      // 否则会以为扫码就已经全部就绪，遇到还没发布的权限又找不到原因。
+      h(
+        "p",
+        { className: "dchat-cardDescription" },
+        t("\u626B\u7801\u540E\u7684\u786E\u8BA4\u9875\u4F1A\u5217\u51FA\u8FD9\u53F0\u673A\u5668\u4EBA\u9700\u8981\u7684\u6743\u9650\uFF08\u5DF2\u7ECF\u66FF\u4F60\u9009\u597D\uFF09\uFF0C\u786E\u8BA4\u4E00\u6B21\u5C31\u4E00\u8D77\u5F00\u901A\uFF1B\u4E2A\u522B\u6743\u9650\u8981\u7BA1\u7406\u5458\u5BA1\u6279\u3001\u5E94\u7528\u53D1\u5E03\u540E\u624D\u751F\u6548\u3002")
+      ),
       h(
         "div",
         { className: "dchat-actions" },
@@ -966,8 +975,10 @@ function FeishuOnboard({ chatUi, connection, translate, onAdded }) {
         width: 200,
         height: 200
       }) : null,
-      // Host 没能把链接编码成二维码（缺 qrcode 模块）时**必须说清**，并给一条还能走的路。
-      scan.verificationUrl && !scan.qrCodeDataUrl ? h(
+      // 二维码与链接**两条路都给**（真机反馈：二维码出来之后链接就没了）：桌面端直接点链接
+      // 比"掏手机扫屏幕"省事，手机端扫码更快——两种都留着，谁方便用谁。
+      // 只有 Host 编不出二维码（缺 `qrcode` 模块）时，链接才是唯一的路，这时补一句说明。
+      scan.verificationUrl ? h(
         "div",
         null,
         h("a", {
@@ -976,11 +987,11 @@ function FeishuOnboard({ chatUi, connection, translate, onAdded }) {
           target: "_blank",
           rel: "noreferrer"
         }, t("\u6253\u5F00\u6388\u6743\u9875\u9762")),
-        h(
+        !scan.qrCodeDataUrl ? h(
           "p",
           { className: "dchat-cardDescription" },
           `${t("\u8FD9\u53F0 Host \u6CA1\u80FD\u751F\u6210\u4E8C\u7EF4\u7801\uFF0C\u8BF7\u70B9\u4E0A\u9762\u7684\u94FE\u63A5\u7EE7\u7EED\u3002")}`
-        )
+        ) : null
       ) : null,
       h(
         "p",

package/lib/index.js

@@ -126480,6 +126480,50 @@ ${lines.join("\n")}
 import { createHash } from "node:crypto";
 import { join } from "node:path";
 
+// packages/dsh-chat-feishu/host/app-manifest.mjs
+var FEISHU_APP_TENANT_SCOPES = Object.freeze([
+  // 收消息（事件 `im.message.receive_v1` 的准入权限，三个场景各一条）
+  "im:message.p2p_msg:readonly",
+  // 私聊消息
+  "im:message.group_at_msg:readonly",
+  // 群里 @ 机器人
+  "im:message.group_at_msg.include_bot:readonly",
+  // 群里其它机器人 @ 机器人
+  // 消息本身
+  "im:message:readonly",
+  // 读消息正文 / 下载消息里的图片与文件
+  "im:message:send_as_bot",
+  // 发消息、回消息、更新卡片
+  "im:message.reactions:write_only",
+  // 「在做了」表情（缺了不致命，但表情一直打不上）
+  // 资源
+  "im:resource",
+  // 上传机器人要发的图片 / 文件
+  // 把 id 换成名字（白名单、投递目标；查不到时设置页只能显示一串 ou_…）
+  "im:chat:readonly",
+  // 群名、群成员
+  "contact:user.base:readonly"
+  // 人名
+]);
+var FEISHU_APP_EVENTS = Object.freeze(["im.message.receive_v1"]);
+var FEISHU_APP_CALLBACKS = Object.freeze(["card.action.trigger"]);
+var FEISHU_APP_PRESET = Object.freeze({
+  name: "{user} \u7684 DSH \u52A9\u624B",
+  desc: "\u8FDE\u63A5\u98DE\u4E66\u4E0E DeepSeek Harness\uFF0C\u5728\u804A\u5929\u91CC\u4F7F\u7528 AI \u52A9\u624B\u3002"
+});
+var FEISHU_SCAN_REGISTER_OPTIONS = Object.freeze({
+  createOnly: true,
+  appPreset: FEISHU_APP_PRESET,
+  addons: Object.freeze({
+    // `preset: false` = 不要平台的默认模板，从「仅机器人能力、无业务权限」起，
+    // 确认页上就只是上面声明的这几项（默认模板里有什么、版本间会不会变，我们不去猜）。
+    preset: false,
+    scopes: Object.freeze({ tenant: FEISHU_APP_TENANT_SCOPES }),
+    events: Object.freeze({ items: Object.freeze({ tenant: FEISHU_APP_EVENTS }) }),
+    callbacks: Object.freeze({ items: FEISHU_APP_CALLBACKS })
+  })
+});
+
 // packages/dsh-chat-feishu/host/bridge.mjs
 import { stat } from "node:fs/promises";
 
@@ -131575,10 +131619,14 @@ function createFeishuController({ deps, logger = console, config = {}, internals
        * （回显二维码/链接、剩余秒数、失败原因、成功后的机器人）、`cancel` 取消。
        * 二维码由 host 转成 data URL（`qrcode` 是构建期外置依赖）：拿不到就只回链接，
        * 前端照样能让人打开——**不静默**，状态里会写清为什么没有二维码。
+       *
+       * 带上 `FEISHU_SCAN_REGISTER_OPTIONS`：把本渠道真的要用的权限/事件/回调**预填进确认页**，
+       * 用户扫完在页面上点一次确认就一起开通；同时 `createOnly` 钉死"只能新建"，
+       * 免得误选一台正在用的应用去改它的配置。清单口径见 `app-manifest.mjs`。
        */
       "bot.register.start": async () => ({
         ok: true,
-        value: await provisionStatus(provision.start())
+        value: await provisionStatus(provision.start(FEISHU_SCAN_REGISTER_OPTIONS))
       }),
       "bot.register.status": async () => ({ ok: true, value: await provisionStatus(provision.status()) }),
       "bot.register.cancel": async () => ({ ok: true, value: await provisionStatus(provision.cancel()) }),
@@ -131937,7 +131985,7 @@ function createFeishuController({ deps, logger = console, config = {}, internals
 }
 
 // packages/dsh-chat-feishu/host/index.mjs
-var CHANNEL_VERSION = "0.0.5";
+var CHANNEL_VERSION = "0.0.6";
 var name = "dsh-chat-feishu-host";
 var inject = ["dshChat"];
 var EXPECTED_CONTRACT = 1;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sidleo3/dsh-chat-feishu",
-  "version": "0.0.5",
+  "version": "0.0.6",
   "type": "module",
   "description": "dsh-chat 飞书渠道插件（凭据、长连接、私聊/群聊、任务过程展示）",
   "license": "MIT",
@@ -39,6 +39,9 @@
   "devDependencies": {
     "@larksuiteoapi/node-sdk": "1.73.0"
   },
+  "dependencies": {
+    "qrcode": "^1.5.4"
+  },
   "publishConfig": {
     "access": "public"
   },