@synopackageland/cli 0.6.0 → 0.7.0

package/dist/build-spk/generator.js

@@ -1,6 +1,7 @@
+import { metadataInfoFields } from "../package-metadata.js";
 import { chmodSync, copyFileSync, cpSync, existsSync, mkdirSync, mkdtempSync, readFileSync, readdirSync, rmSync, statSync, writeFileSync, } from "node:fs";
 import { tmpdir } from "node:os";
-import { join } from "node:path";
+import { dirname, join } from "node:path";
 import { createHash } from "node:crypto";
 import * as tar from "tar";
 import { parseDocument, Scalar } from "yaml";
@@ -11,13 +12,14 @@ import { classifyComposeRoute, loadCompose } from "../compose/analyze.js";
 import { scanComposePrivilege } from "../compose/privilege.js";
 import { validateProject } from "../validate.js";
 import { writeDsmWindowIcons, writePackageCenterIcons } from "./dsm-icons.js";
-import { infoArchValue } from "./dsm-arch.js";
-import { assertContainerMinDsm, resolveMinDsm } from "./dsm-version.js";
+import { infoArchValue, isContainerArchFamily } from "./dsm-arch.js";
+import { assertContainerMinDsm, assertPortalMinDsm, resolveMinDsm } from "./dsm-version.js";
 import { createReproducibleTar } from "./reproducible-archive.js";
 import { copyProjectNotices } from "./notices.js";
 import { renderDeleteAppDataBlock } from "./delete-app-data.js";
 import { renderUninstallWizardFiles } from "./uninstall-wizard.js";
 import { renderInstallWizardFiles } from "./install-wizard.js";
+import { contractPortal, PORTAL_JSON_RELPATH, PORTAL_MUSTACHE_RELPATH, renderPortalJson, renderPortalLifecycle, renderPortalMustache, renderPortalWizardStep } from "../portal/package.js";
 import { renderWizardFiles, writeWizardUiFiles } from "./wizard-i18n.js";
 import { sharedFolderCombobox } from "./share-combobox.js";
 import { renderHeadlessResourceMarker, renderResourceConfig, renderResourceWorkerStartStopStatus, } from "./resource-worker.js";
@@ -38,6 +40,9 @@ const SCRIPT_NAMES = [
     "start-stop-status",
 ];
 export async function buildSpk(options) {
+    if (options.archFamily && !isContainerArchFamily(options.archFamily)) {
+        return { ok: false, errors: ["CONTAINER_ARCH_UNSUPPORTED"] };
+    }
     const validation = validateProject(options.project);
     if (!validation.ok) {
         return {
@@ -61,6 +66,8 @@ export async function buildSpk(options) {
     }
     if (options.minDsm !== undefined) {
         assertContainerMinDsm(String(contract.os_min_ver));
+        if (contractPortal(contract))
+            assertPortalMinDsm(String(contract.os_min_ver));
     }
     const parsedCompose = loadCompose(options.project.composePath);
     const route = parsedCompose?.compose
@@ -114,7 +121,7 @@ export async function buildSpk(options) {
         mkdirSync(join(staging, "scripts"), { recursive: true });
         for (const name of SCRIPT_NAMES) {
             const scriptPath = join(staging, "scripts", name);
-            writeFileSync(scriptPath, renderManagedScript(name, contract, isResourceWorkerRoute, rwEligibility?.adminport, isDynamicRoute, rwEligibility?.headless === true), "utf8");
+            writeFileSync(scriptPath, withPortalLifecycle(name, contract, renderManagedScript(name, contract, isResourceWorkerRoute, rwEligibility?.adminport, isDynamicRoute, rwEligibility?.headless === true)), "utf8");
             chmodSync(scriptPath, SCRIPT_MODE);
         }
         mkdirSync(join(staging, "package"), { recursive: true });
@@ -172,6 +179,14 @@ export async function buildSpk(options) {
             writeFileSync(join(uiDir, "config"), renderDsmWindowConfig(contract), "utf8");
             writeDsmWindowIcons(uiDir);
         }
+        const portal = contractPortal(contract);
+        if (portal) {
+            for (const [path, text] of [[PORTAL_JSON_RELPATH, renderPortalJson(portal)], [PORTAL_MUSTACHE_RELPATH, renderPortalMustache()]]) {
+                mkdirSync(dirname(join(staging, "package", path)), { recursive: true });
+                writeFileSync(join(staging, "package", path), text, "utf8");
+                chmodSync(join(staging, "package", path), FILE_MODE);
+            }
+        }
         if (gateway && gatewayBinary) {
             writeGatewayPayload(join(staging, "package"), gatewayBinary, gateway);
         }
@@ -208,6 +223,8 @@ function renderInfo(contract, archFamily, isResourceWorker = false) {
     add("displayname", String(contract.displayname));
     add("description", String(contract.description));
     add("maintainer", String(contract.maintainer));
+    for (const [key, value] of metadataInfoFields(contract.metadata))
+        add(key, value);
     add("arch", archFamily === undefined ? "noarch" : infoArchValue(archFamily));
     add("os_min_ver", String(contract.os_min_ver));
     const viaGateway = isResourceWorker && usesAuthGateway(contract);
@@ -584,7 +601,11 @@ function renderUpgradeWizard(t, contract, compose) {
         }];
 }
 function writeWizards(staging, contract, compose, kind) {
-    const install = renderInstallWizardFiles(String(contract.package), (t) => renderInstallWizard(t, contract, compose));
+    const portal = contractPortal(contract);
+    const install = renderInstallWizardFiles(String(contract.package), (t) => [
+        ...renderInstallWizard(t, contract, compose),
+        ...(portal ? [renderPortalWizardStep(t, portal.alias)] : []),
+    ]);
     writeWizardUiFiles(staging, {
         ...install.static,
         ...install.dynamic,
@@ -783,6 +804,10 @@ function renderDynamicCanonicalMirror(headless = false) {
 function shellQuote(value) {
     return "'" + value.replace(/'/g, "'\\''") + "'";
 }
+function withPortalLifecycle(name, contract, script) {
+    const portal = contractPortal(contract);
+    return portal ? script.replace("#!/bin/sh\n", () => `#!/bin/sh\n${renderPortalLifecycle(name, portal)}`) : script;
+}
 function renderManagedScript(name, contract, isResourceWorker = false, resourceWorkerAdminport, isDynamicRoute = false, isHeadlessRoute = false) {
     if (isResourceWorker) {
         if (name === "start-stop-status") {

package/dist/build-spk/notices.js

@@ -38,7 +38,10 @@ export function copyStandaloneNotices(root, uiDir, payload, go, goDir = join(roo
     }
     const nativeAdmin = join(goDir, 'internal/dsm/native');
     if (go && existsSync(join(nativeAdmin, 'admin_check.c'))) {
-        for (const name of ['admin_check.c', 'build.sh', 'provenance.json', 'licenses']) {
+        for (const name of ['admin_check.c', 'apppriv_check.c', 'build.sh', 'provenance.json', 'licenses']) {
+            // Projects scaffolded before the AppPriv bridge carry only the administrator bridge.
+            if (name === 'apppriv_check.c' && !existsSync(join(nativeAdmin, name)))
+                continue;
             copyNoticeTree(join(nativeAdmin, name), join(dest, 'native-admin', name));
         }
     }

package/dist/build-spk/resource-worker.js

@@ -1,3 +1,4 @@
+import { contractPortal, portalResource } from "../portal/package.js";
 import { collectUnpinnedImages } from "../compose/analyze.js";
 import { cookieStripHeaders, resolvedWebLaunch, usesAuthGateway, webStationAlias, webStationServiceName, } from "../contract/web-launch.js";
 export { classifyComposeRoute, resourceWorkerEligibility, } from "../compose/analyze.js";
@@ -78,6 +79,8 @@ export function renderResourceConfig(contract, eligibility, compose) {
             ...webResource,
         };
     }
+    if (contractPortal(contract))
+        combined = { ...combined, ...portalResource() };
     return `${JSON.stringify(combined, null, 2)}\n`;
 }
 /**

package/dist/build-spk/wizard-messages.d.ts

@@ -1,4 +1,70 @@
 export declare const WIZARD_MESSAGES: {
+    "delegate.preselection": {
+        en: string;
+        "zh-TW": string;
+        "zh-CN": string;
+        ja: string;
+        ko: string;
+        de: string;
+        fr: string;
+        es: string;
+        it: string;
+    };
+    "delegate.home": {
+        en: string;
+        "zh-TW": string;
+        "zh-CN": string;
+        ja: string;
+        ko: string;
+        de: string;
+        fr: string;
+        es: string;
+        it: string;
+    };
+    "portal.step": {
+        en: string;
+        "zh-TW": string;
+        "zh-CN": string;
+        ja: string;
+        ko: string;
+        de: string;
+        fr: string;
+        es: string;
+        it: string;
+    };
+    "portal.notice": {
+        en: string;
+        "zh-TW": string;
+        "zh-CN": string;
+        ja: string;
+        ko: string;
+        de: string;
+        fr: string;
+        es: string;
+        it: string;
+    };
+    "portal.alias": {
+        en: string;
+        "zh-TW": string;
+        "zh-CN": string;
+        ja: string;
+        ko: string;
+        de: string;
+        fr: string;
+        es: string;
+        it: string;
+    };
+    "portal.aliasInvalid": {
+        en: string;
+        "zh-TW": string;
+        "zh-CN": string;
+        ja: string;
+        ko: string;
+        de: string;
+        fr: string;
+        es: string;
+        it: string;
+    };
     "install.step": {
         en: string;
         "zh-TW": string;

package/dist/build-spk/wizard-messages.js

@@ -1,4 +1,70 @@
 export const WIZARD_MESSAGES = {
+    "delegate.preselection": {
+        en: "Pre-select the shared folder for background saves. Confirm this selection with your administrator password when first enabling background access in the app. This does not grant the package account access to the share.",
+        "zh-TW": "預選背景存檔使用的共用資料夾。首次在 App 啟用背景存取時，以管理員密碼確認這個選項。這不會授予套件帳號共用資料夾權限。",
+        "zh-CN": "预选后台保存使用的共享文件夹。首次在应用启用后台访问时，以管理员密码确认此选项。这不会授予软件包账户共享文件夹权限。",
+        ja: "バックグラウンド保存先の共有フォルダを仮選択します。アプリで初めて有効にする際、管理者パスワードで確認してください。パッケージアカウントに共有へのアクセス権は付与されません。",
+        ko: "백그라운드 저장에 사용할 공유 폴더를 미리 선택합니다. 앱에서 처음 활성화할 때 관리자 암호로 확인하십시오. 패키지 계정에 공유 접근 권한을 부여하지 않습니다.",
+        de: "Wählen Sie den gemeinsamen Ordner für Hintergrundspeicherungen vor. Bestätigen Sie ihn beim ersten Aktivieren in der App mit Ihrem Administratorpasswort. Das Paketkonto erhält dadurch keinen Zugriff.",
+        fr: "Présélectionnez le dossier partagé pour les enregistrements en arrière-plan. Confirmez-le avec votre mot de passe administrateur lors de la première activation dans l'application. Aucun accès n'est accordé au compte du paquet.",
+        es: "Preseleccione la carpeta compartida para guardar en segundo plano. Confírmela con su contraseña de administrador al activar el acceso en la aplicación. No se otorga acceso a la cuenta del paquete.",
+        it: "Preselezionare la cartella condivisa per i salvataggi in background. Confermarla con la password amministratore alla prima attivazione nell'app. Non concede accesso all'account del pacchetto.",
+    },
+    "delegate.home": {
+        en: "Use each user's home folder instead (ignore the shared folder above)",
+        "zh-TW": "改用各使用者的 home 資料夾（忽略上方共用資料夾）",
+        "zh-CN": "改用各用户的 home 文件夹（忽略上方共享文件夹）",
+        ja: "代わりに各ユーザーの home フォルダを使う（上の共有フォルダは無視）",
+        ko: "대신 각 사용자의 home 폴더 사용 (위 공유 폴더 무시)",
+        de: "Stattdessen den home-Ordner jedes Benutzers verwenden (Auswahl oben ignorieren)",
+        fr: "Utiliser le dossier home de chaque utilisateur (ignorer le dossier ci-dessus)",
+        es: "Usar la carpeta home de cada usuario (ignorar la carpeta de arriba)",
+        it: "Usa la cartella home di ogni utente (ignora la cartella sopra)",
+    },
+    "portal.step": {
+        en: "Application Portal",
+        "zh-TW": "應用程式入口",
+        "zh-CN": "应用程序门户",
+        ja: "アプリケーションポータル",
+        ko: "응용 프로그램 포털",
+        de: "Anwendungsportal",
+        fr: "Portail d'application",
+        es: "Portal de aplicaciones",
+        it: "Portale applicazioni",
+    },
+    "portal.notice": {
+        en: "Application Portal: an administrator can later let users open this app directly at https://<your NAS>/<alias>/ after DSM sign-in. Nothing is published now; activate it in the app's settings or in Control Panel > Login Portal > Applications.",
+        "zh-TW": "Application Portal：管理員之後可讓使用者在 DSM 登入後，直接以 https://<你的 NAS>/<alias>/ 開啟這個 App。現在不會公開任何網址；請在 App 的設定或「控制台 > 登入入口 > 應用程式」中啟用。",
+        "zh-CN": "Application Portal：管理员之后可让用户在 DSM 登录后，直接通过 https://<你的 NAS>/<alias>/ 打开此应用。现在不会公开任何网址；请在应用的设置或“控制面板 > 登录门户 > 应用程序”中启用。",
+        ja: "Application Portal：管理者は後で、DSM サインイン後に https://<NAS>/<alias>/ でこのアプリを直接開けるようにできます。現時点では何も公開されません。アプリの設定、または「コントロールパネル > ログインポータル > アプリケーション」で有効にしてください。",
+        ko: "Application Portal: 관리자는 나중에 사용자가 DSM 로그인 후 https://<NAS>/<alias>/ 에서 이 앱을 바로 열 수 있게 할 수 있습니다. 지금은 아무것도 공개되지 않습니다. 앱 설정이나 '제어판 > 로그인 포털 > 응용 프로그램'에서 활성화하십시오.",
+        de: "Application Portal: Ein Administrator kann Benutzern später erlauben, diese App nach der DSM-Anmeldung direkt unter https://<Ihr NAS>/<alias>/ zu öffnen. Jetzt wird nichts veröffentlicht; aktivieren Sie es in den App-Einstellungen oder unter Systemsteuerung > Anmeldeportal > Anwendungen.",
+        fr: "Application Portal : un administrateur pourra ensuite permettre d'ouvrir cette application directement sur https://<votre NAS>/<alias>/ après connexion à DSM. Rien n'est publié maintenant ; activez-le dans les paramètres de l'application ou dans Panneau de configuration > Portail de connexion > Applications.",
+        es: "Application Portal: un administrador podrá permitir más tarde abrir esta aplicación directamente en https://<su NAS>/<alias>/ tras iniciar sesión en DSM. Ahora no se publica nada; actívelo en los ajustes de la aplicación o en Panel de control > Portal de inicio de sesión > Aplicaciones.",
+        it: "Application Portal: un amministratore potrà in seguito consentire di aprire questa app direttamente su https://<NAS>/<alias>/ dopo l'accesso a DSM. Ora non viene pubblicato nulla; attivarlo nelle impostazioni dell'app o in Pannello di controllo > Portale di accesso > Applicazioni.",
+    },
+    "portal.alias": {
+        en: "Suggested portal alias",
+        "zh-TW": "建議的入口別名",
+        "zh-CN": "建议的门户别名",
+        ja: "推奨ポータルエイリアス",
+        ko: "권장 포털 별칭",
+        de: "Vorgeschlagener Portal-Alias",
+        fr: "Alias de portail suggéré",
+        es: "Alias de portal sugerido",
+        it: "Alias del portale suggerito",
+    },
+    "portal.aliasInvalid": {
+        en: "Use 1-64 lowercase letters, digits or hyphens, not starting or ending with a hyphen.",
+        "zh-TW": "請使用 1–64 個小寫英文字母、數字或連字號，且不可以連字號開頭或結尾。",
+        "zh-CN": "请使用 1–64 个小写英文字母、数字或连字符，且不能以连字符开头或结尾。",
+        ja: "1～64 文字の小文字英字・数字・ハイフンを使用し、先頭と末尾にハイフンは使えません。",
+        ko: "1~64자의 영문 소문자, 숫자 또는 하이픈을 사용하고 하이픈으로 시작하거나 끝나지 않게 하십시오.",
+        de: "Verwenden Sie 1–64 Kleinbuchstaben, Ziffern oder Bindestriche, ohne Bindestrich am Anfang oder Ende.",
+        fr: "Utilisez 1 à 64 lettres minuscules, chiffres ou tirets, sans tiret au début ni à la fin.",
+        es: "Use de 1 a 64 letras minúsculas, dígitos o guiones, sin guion al principio ni al final.",
+        it: "Usare da 1 a 64 lettere minuscole, cifre o trattini, senza trattino all'inizio o alla fine.",
+    },
     "install.step": {
         en: "Install settings",
         "zh-TW": "安裝設定",
@@ -15,11 +81,11 @@ export const WIZARD_MESSAGES = {
         "zh-TW": "這台 NAS 還留有先前安裝的資料（@appdata/{package}），本次安裝會沿用：已存的設定與產生的 secrets 都會保留。若要從空白開始，請先取消並清除該資料——解除安裝時勾選「一併刪除上列 App 資料」——再重新安裝。",
         "zh-CN": "这台 NAS 还保留着先前安装的数据（@appdata/{package}），本次安装将继续使用：已保存的设置和生成的密钥都会保留。若要从空白开始，请先取消并清除该数据——卸载时勾选“同时删除上列应用数据”——然后重新安装。",
         ja: "この NAS には以前のインストールのデータ（@appdata/{package}）が残っているため、今回のインストールはそれを引き継ぎます。保存済みの設定と生成済みシークレットは保持されます。空の状態から始めるには、いったん中止し、そのデータを削除して（アンインストール時に「上記のアプリデータも削除する」をオン）から再インストールしてください。",
-        ko: "이 NAS에는 이전 설치의 데이터(@appdata/{package})가 남아 있어 이번 설치에서 그대로 사용합니다. 저장된 설정과 생성된 시크릿이 유지됩니다. 빈 상태로 시작하려면 먼저 취소하고 해당 데이터를 지운 뒤(제거 시 '위에 나열된 앱 데이터도 삭제' 선택) 다시 설치하세요.",
+        ko: "이 NAS에는 이전 설치의 데이터(@appdata/{package})가 남아 있어 이번 설치에서 그대로 사용합니다. 저장된 설정과 생성된 시크릿이 유지됩니다. 빈 상태로 시작하려면 먼저 취소하고 해당 데이터를 지운 뒤(제거 시 '위에 나열된 앱 데이터도 삭제' 선택) 다시 설치하십시오.",
         de: "Auf diesem NAS liegen noch Daten einer früheren Installation (@appdata/{package}); diese Installation verwendet sie weiter: gespeicherte Einstellungen und erzeugte Geheimnisse bleiben erhalten. Für einen leeren Start brechen Sie ab, löschen diese Daten (Deinstallation mit aktiviertem „Oben aufgeführte App-Daten ebenfalls löschen“) und installieren erneut.",
         fr: "Ce NAS contient encore les données d'une installation précédente (@appdata/{package}) ; cette installation les réutilise : les réglages enregistrés et les secrets générés sont conservés. Pour repartir de zéro, annulez, supprimez ces données (désinstallation avec « Supprimer aussi les données de l'application listées ci-dessus » cochée), puis réinstallez.",
         es: "Este NAS todavía conserva datos de una instalación anterior (@appdata/{package}); esta instalación los reutiliza: se mantienen los ajustes guardados y los secretos generados. Para empezar de cero, cancele, borre esos datos (desinstale con «Eliminar también los datos de la aplicación indicados arriba» marcado) y vuelva a instalar.",
-        it: "Questo NAS conserva ancora i dati di un'installazione precedente (@appdata/{package}); questa installazione li riutilizza: le impostazioni salvate e i segreti generati restano. Per partire da zero, annulla, elimina quei dati (disinstallazione con «Elimina anche i dati dell'app elencati sopra» selezionato) e reinstalla.",
+        it: "Questo NAS conserva ancora i dati di un'installazione precedente (@appdata/{package}); questa installazione li riutilizza: le impostazioni salvate e i segreti generati restano. Per partire da zero, annullare, eliminare quei dati (disinstallazione con «Elimina anche i dati dell'app elencati sopra» selezionato) e reinstallare.",
     },
     "upgrade.step": {
         en: "Upgrade settings",
@@ -147,7 +213,7 @@ export const WIZARD_MESSAGES = {
         "zh-TW": "此 App 會使用安裝當下這台 NAS 的全部 Shared Folder（App-wide，不依個別 DSM ACL）；容器內可讀（或讀寫，依 Compose 模式）所有這些資料夾的檔案。安裝後新建的共用資料夾不會自動加入。Package Center 無法提供安裝當下的 Shared Folder 清單快照；要以全部 Share 安裝，請用 CLI `synopkgland deploy`，由 CLI 以管理員權限列舉全部 Share 並寫入快照。由管理員決定是否安裝。",
         "zh-CN": "此应用会使用安装时这台 NAS 上的全部共享文件夹（应用级，不依据各个 DSM ACL）；容器内可读取（或读写，取决于 Compose 模式）所有这些文件夹中的文件。安装后新建的共享文件夹不会自动加入。Package Center 无法提供安装时的共享文件夹列表快照；若要以全部共享文件夹安装，请使用 CLI `synopkgland deploy`，由 CLI 以管理员权限列出全部共享文件夹并写入快照。是否安装由管理员决定。",
         ja: "このアプリは、インストール時点でこの NAS にあるすべての共有フォルダを使用します（アプリ全体に適用され、個々の DSM ACL には従いません）。コンテナはそれらすべてのフォルダ内のファイルを読み取れます（Compose のモードによっては読み書きも可能です）。インストール後に作成された共有フォルダは自動的には追加されません。Package Center ではインストール時点の共有フォルダ一覧のスナップショットを提供できません。すべての共有フォルダでインストールするには、CLI の `synopkgland deploy` を使用してください。CLI が管理者権限ですべての共有フォルダを列挙し、スナップショットを書き込みます。インストールするかどうかは管理者が判断します。",
-        ko: "이 앱은 설치 시점에 이 NAS에 있는 모든 공유 폴더를 사용합니다(앱 전체 범위이며 개별 DSM ACL을 따르지 않음). 컨테이너는 해당 폴더의 파일을 모두 읽을 수 있으며 Compose 모드에 따라 읽고 쓸 수도 있습니다. 설치 후 새로 만든 공유 폴더는 자동으로 추가되지 않습니다. Package Center는 설치 시점의 공유 폴더 목록 스냅샷을 제공할 수 없습니다. 모든 공유 폴더로 설치하려면 CLI `synopkgland deploy`를 사용하세요. CLI가 관리자 권한으로 모든 공유 폴더를 나열하고 스냅샷을 기록합니다. 설치 여부는 관리자가 결정합니다.",
+        ko: "이 앱은 설치 시점에 이 NAS에 있는 모든 공유 폴더를 사용합니다(앱 전체 범위이며 개별 DSM ACL을 따르지 않음). 컨테이너는 해당 폴더의 파일을 모두 읽을 수 있으며 Compose 모드에 따라 읽고 쓸 수도 있습니다. 설치 후 새로 만든 공유 폴더는 자동으로 추가되지 않습니다. Package Center는 설치 시점의 공유 폴더 목록 스냅샷을 제공할 수 없습니다. 모든 공유 폴더로 설치하려면 CLI `synopkgland deploy`를 사용하십시오. CLI가 관리자 권한으로 모든 공유 폴더를 나열하고 스냅샷을 기록합니다. 설치 여부는 관리자가 결정합니다.",
         de: "Diese App verwendet alle zum Installationszeitpunkt vorhandenen freigegebenen Ordner dieses NAS (appweit, unabhängig von einzelnen DSM-ACLs); die Container können die Dateien in allen diesen Ordnern lesen (oder je nach Compose-Modus lesen und schreiben). Nach der Installation angelegte freigegebene Ordner werden nicht automatisch hinzugefügt. Das Paket-Zentrum kann keine Momentaufnahme der Liste der freigegebenen Ordner zum Installationszeitpunkt bereitstellen. Um mit allen Freigaben zu installieren, verwenden Sie die CLI `synopkgland deploy`: Sie listet alle Freigaben mit Administratorrechten auf und schreibt die Momentaufnahme. Der Administrator entscheidet, ob installiert wird.",
         fr: "Cette application utilise tous les dossiers partagés de ce NAS existant au moment de l'installation (à l'échelle de l'application, sans tenir compte des ACL DSM individuelles) ; les conteneurs peuvent lire (ou lire et écrire, selon le mode Compose) les fichiers de tous ces dossiers. Les dossiers partagés créés après l'installation ne sont pas ajoutés automatiquement. Package Center ne peut pas fournir un instantané de la liste des dossiers partagés au moment de l'installation. Pour installer avec tous les dossiers partagés, utilisez la CLI `synopkgland deploy` : elle énumère tous les dossiers partagés avec les droits d'administrateur et écrit l'instantané. L'administrateur décide de l'installation.",
         es: "Esta aplicación usa todas las carpetas compartidas de este NAS existentes en el momento de la instalación (a nivel de aplicación, sin respetar las ACL de DSM individuales); los contenedores pueden leer (o leer y escribir, según el modo de Compose) los archivos de todas ellas. Las carpetas compartidas creadas después de la instalación no se añaden automáticamente. Package Center no puede proporcionar una instantánea de la lista de carpetas compartidas en el momento de la instalación. Para instalar con todas las carpetas compartidas, use la CLI `synopkgland deploy`: enumera todas las carpetas compartidas con derechos de administrador y escribe la instantánea. El administrador decide si se instala.",
@@ -162,7 +228,7 @@ export const WIZARD_MESSAGES = {
         de: "Der Container dieser App hat hohe Rechte, nahe an root auf diesem NAS und damit fast am gesamten System. Sie als Administrator entscheiden, ob die App installiert wird.",
         fr: "Le conteneur de cette application dispose de privilèges élevés, proches de root sur ce NAS et donc de presque toute la machine. C'est à vous, administrateur, de décider de l'installer ou non.",
         es: "El contenedor de esta aplicación tiene privilegios elevados, cercanos a root en este NAS y, por tanto, a casi toda la máquina. Usted, como administrador, decide si se instala.",
-        it: "Il container di questa app ha privilegi elevati, vicini a root su questo NAS e quindi a quasi tutta la macchina. Spetta a lei, come amministratore, decidere se installarla.",
+        it: "Il container di questa app ha privilegi elevati, vicini a root su questo NAS e quindi a quasi tutta la macchina. Spetta all'amministratore decidere se installarla.",
     },
     "upgrade.posixNotice": {
         en: "An upgrade keeps the existing snapshot (all Shared Folders the CLI listed at install time). The mounted scope can only be changed explicitly through the CLI (`synopkgland deploy`); a Package Center upgrade does not change the existing snapshot.",
@@ -217,7 +283,7 @@ export const WIZARD_MESSAGES = {
         de: "{label} ändern (nicht aktiviert = aktuelle Einstellung beibehalten)",
         fr: "Modifier {label} (non coché = conserver le réglage actuel)",
         es: "Cambiar {label} (sin marcar = mantener la configuración actual)",
-        it: "Modifica {label} (non selezionato = mantieni l'impostazione attuale)",
+        it: "Modifica {label} (non selezionato = mantenere l'impostazione attuale)",
     },
     "upgrade.changeSub": {
         en: "Change {label}",
@@ -300,8 +366,8 @@ export const WIZARD_MESSAGES = {
         "en": "DSM may retain empty @appdata/{package}, @appconf/{package}, @apphome/{package}, @appshare/{package}, the package-config symlink /usr/syno/etc/packages/{package}, and the package account/group. The checkbox empties data/config/home contents; it does not remove DSM directory roots, shared folders or system identities. After uninstall, an administrator can review unused remnants and ACLs before removing only this package’s infrastructure.",
         "zh-TW": "DSM 可能保留空的 @appdata/{package}、@appconf/{package}、@apphome/{package}、@appshare/{package}、套件設定連結 /usr/syno/etc/packages/{package} 與套件帳號／群組。勾選後會清空資料、設定與 home 內容，保留 DSM 目錄本身、共用資料夾與系統身分。解除安裝後，管理員可先確認殘留項目與 ACL 已不再使用，再清除此套件的基礎項目。",
         "zh-CN": "DSM 可能保留空的 @appdata/{package}、@appconf/{package}、@apphome/{package}、@appshare/{package}、套件配置链接 /usr/syno/etc/packages/{package} 和套件账户／组。勾选后会清空数据、配置和 home 内容，保留 DSM 目录本身、共享文件夹和系统身份。卸载后，管理员可检查残留项目与 ACL 不再使用后，再清理本套件的基础项目。",
-        "ja": "DSM は空の @appdata/{package}、@appconf/{package}、@apphome/{package}、@appshare/{package}、設定リンク /usr/syno/etc/packages/{package}、パッケージのアカウントとグループを保持する場合があります。チェックするとデータ・設定・home の内容を削除しますが、DSM のディレクトリ、共有フォルダー、システム ID は保持します。アンインストール後、管理者は不要な項目と ACL を確認してから、このパッケージの項目だけを削除してください。",
-        "ko": "DSM은 빈 @appdata/{package}, @appconf/{package}, @apphome/{package}, @appshare/{package}, 설정 링크 /usr/syno/etc/packages/{package}, 패키지 계정/그룹을 유지할 수 있습니다. 체크하면 데이터/설정/home 내용만 비우며 DSM 디렉터리, 공유 폴더, 시스템 ID는 유지합니다. 제거 후 관리자는 남은 항목과 ACL을 확인하고 이 패키지의 불필요한 항목만 정리하세요.",
+        "ja": "DSM は空の @appdata/{package}、@appconf/{package}、@apphome/{package}、@appshare/{package}、設定リンク /usr/syno/etc/packages/{package}、パッケージのアカウントとグループを保持する場合があります。チェックするとデータ・設定・home の内容を削除しますが、DSM のディレクトリ、共有フォルダ、システム ID は保持します。アンインストール後、管理者は不要な項目と ACL を確認してから、このパッケージの項目だけを削除してください。",
+        "ko": "DSM은 빈 @appdata/{package}, @appconf/{package}, @apphome/{package}, @appshare/{package}, 설정 링크 /usr/syno/etc/packages/{package}, 패키지 계정/그룹을 유지할 수 있습니다. 체크하면 데이터/설정/home 내용만 비우며 DSM 디렉터리, 공유 폴더, 시스템 ID는 유지합니다. 제거 후 관리자는 남은 항목과 ACL을 확인하고 이 패키지의 불필요한 항목만 정리하십시오.",
         "de": "DSM kann leere @appdata/{package}, @appconf/{package}, @apphome/{package}, @appshare/{package}, den Konfigurationslink /usr/syno/etc/packages/{package} sowie Paketkonto und -gruppe behalten. Das Kontrollkästchen leert Daten, Konfiguration und home, behält aber DSM-Verzeichnisse, Freigaben und Systemidentitäten. Nach der Deinstallation kann ein Administrator ungenutzte Reste und ACLs prüfen und nur die Infrastruktur dieses Pakets entfernen.",
         "fr": "DSM peut conserver les répertoires vides @appdata/{package}, @appconf/{package}, @apphome/{package}, @appshare/{package}, le lien de configuration /usr/syno/etc/packages/{package} et le compte/groupe du paquet. La case vide les données, la configuration et home, mais conserve les répertoires DSM, dossiers partagés et identités système. Après la désinstallation, un administrateur peut vérifier les éléments inutilisés et leurs ACL avant de supprimer uniquement ceux de ce paquet.",
         "es": "DSM puede conservar @appdata/{package}, @appconf/{package}, @apphome/{package}, @appshare/{package} vacíos, el enlace de configuración /usr/syno/etc/packages/{package} y la cuenta/grupo del paquete. La casilla vacía datos, configuración y home; conserva directorios DSM, carpetas compartidas e identidades del sistema. Tras desinstalar, un administrador puede revisar los restos y ACL antes de eliminar solo la infraestructura de este paquete.",
@@ -367,11 +433,11 @@ export const WIZARD_MESSAGES = {
         "zh-TW": "此 App 會把檔案存放在你於下方選擇的共用資料夾。DSM 不會自動讓 App 的套件帳號存取這裡選的資料夾：安裝後請到「控制台」>「共用資料夾」，編輯該資料夾，在「權限」>「系統內部使用者」中授予套件帳號 {account}「{permission}」權限。在此之前，App 會回報無法使用該資料夾。",
         "zh-CN": "此应用会把文件存放在你在下方选择的共享文件夹。DSM 不会自动让应用的套件账户访问此处所选的文件夹：安装后请前往“控制面板”>“共享文件夹”，编辑该文件夹，在“权限”>“系统内部用户”中授予套件账户 {account}“{permission}”权限。在此之前，应用会报告无法使用该文件夹。",
         ja: "このアプリは、以下で選択した共有フォルダにファイルを保存します。DSM は、ここで選択したフォルダへのアクセス権をアプリのパッケージアカウントに自動では付与しません。インストール後に [コントロールパネル] > [共有フォルダ] でそのフォルダを編集し、[権限] > [システム内部ユーザー] でパッケージアカウント {account} に「{permission}」権限を付与してください。付与するまで、アプリはこのフォルダを使用できないと報告します。",
-        ko: "이 앱은 아래에서 선택한 공유 폴더에 파일을 저장합니다. DSM은 여기서 선택한 폴더에 대한 접근 권한을 앱의 패키지 계정에 자동으로 부여하지 않습니다. 설치 후 [제어판] > [공유 폴더]에서 해당 폴더를 편집하고 [권한] > [시스템 내부 사용자]에서 패키지 계정 {account}에 '{permission}' 권한을 부여하세요. 그때까지 앱은 이 폴더를 사용할 수 없다고 보고합니다.",
+        ko: "이 앱은 아래에서 선택한 공유 폴더에 파일을 저장합니다. DSM은 여기서 선택한 폴더에 대한 접근 권한을 앱의 패키지 계정에 자동으로 부여하지 않습니다. 설치 후 [제어판] > [공유 폴더]에서 해당 폴더를 편집하고 [권한] > [시스템 내부 사용자]에서 패키지 계정 {account}에 '{permission}' 권한을 부여하십시오. 그때까지 앱은 이 폴더를 사용할 수 없다고 보고합니다.",
         de: "Diese App speichert ihre Dateien in einem freigegebenen Ordner, den Sie unten auswählen. DSM gewährt dem Paketkonto der App keinen automatischen Zugriff auf hier gewählte Ordner: Öffnen Sie nach der Installation Systemsteuerung > Gemeinsamer Ordner, bearbeiten Sie den Ordner und geben Sie dem Paketkonto {account} unter Berechtigungen > Interner Systembenutzer die Berechtigung „{permission}“. Bis dahin meldet die App, dass sie den Ordner nicht verwenden kann.",
         fr: "Cette application enregistre ses fichiers dans un dossier partagé que vous sélectionnez ci-dessous. DSM n'accorde pas automatiquement au compte de paquet de l'application l'accès à un dossier choisi ici : après l'installation, ouvrez Panneau de configuration > Dossier partagé, modifiez le dossier et, sous Autorisations > Utilisateur système interne, accordez au compte de paquet {account} l'accès « {permission} ». D'ici là, l'application signale qu'elle ne peut pas utiliser le dossier.",
         es: "Esta aplicación guarda sus archivos en una carpeta compartida que seleccione a continuación. DSM no concede automáticamente a la cuenta de paquete de la aplicación acceso a una carpeta elegida aquí: después de instalar, abra Panel de control > Carpeta compartida, edite la carpeta y, en Permisos > Usuario interno del sistema, conceda a la cuenta de paquete {account} el acceso «{permission}». Hasta entonces, la aplicación informará de que no puede usar la carpeta.",
-        it: "Questa app salva i propri file in una cartella condivisa selezionata qui sotto. DSM non concede automaticamente all'account del pacchetto dell'app l'accesso a una cartella scelta qui: dopo l'installazione apri Pannello di controllo > Cartella condivisa, modifica la cartella e, in Autorizzazioni > Utente interno del sistema, concedi all'account del pacchetto {account} l'accesso «{permission}». Fino ad allora l'app segnalerà di non poter usare la cartella.",
+        it: "Questa app salva i propri file in una cartella condivisa selezionata qui sotto. DSM non concede automaticamente all'account del pacchetto dell'app l'accesso a una cartella scelta qui: dopo l'installazione aprire Pannello di controllo > Cartella condivisa, modificare la cartella e, in Autorizzazioni > Utente interno del sistema, concedere all'account del pacchetto {account} l'accesso «{permission}». Fino ad allora l'app segnalerà di non poter usare la cartella.",
     },
     "nativeShare.createIntro": {
         en: "This app creates the Shared Folder {name} and gives its package account {permission} access to it. If {name} already exists, it is kept and only the package account's permission is set. Uninstalling the app never deletes this Shared Folder or the files in it.",

package/dist/cli.js

@@ -9,11 +9,12 @@ import { formatPinReport, pinProjectImages } from "./images/pin.js";
 import { initFromTemplate, isTemplateName, listTemplates } from "./init.js";
 import { templatesRoot } from "./template-paths.js";
 import { addCapabilities } from "./add.js";
+import { CAPABILITY_NAMES } from "./capabilities.js";
 import { validateProject } from "./validate.js";
 import { runDev } from "./dev.js";
 import { testProject } from "./test-command.js";
 import { buildSpk } from "./build-spk/generator.js";
-import { isNativeArchFamily, NATIVE_ARCH_FAMILIES, parseArchList, } from "./build-spk/dsm-arch.js";
+import { CONTAINER_ARCH_FAMILIES, isContainerArchFamily, isNativeArchFamily, NATIVE_ARCH_FAMILIES, parseArchList, } from "./build-spk/dsm-arch.js";
 import { DEFAULT_MIN_DSM, CONTAINER_MIN_DSM } from "./build-spk/dsm-version.js";
 import { deployProject } from "./deploy/deploy.js";
 import { planDeployment, deployStandalone } from "./deploy/plan.js";
@@ -23,6 +24,7 @@ import { followProjectLogs, followStandaloneLogs } from "./log.js";
 import { formatSkillList, readSkill, resolveSkillsRoot } from "./skill.js";
 import { resolveInstallParameterExtraValues } from "./deploy/param-values.js";
 import { findStandaloneRoot, loadStandaloneManifest, } from "./standalone/manifest.js";
+import { buildNativeLayout, isNativeLayout, loadNativeLayout, LAYOUT_ARCHES } from "./standalone/native-layout.js";
 import { buildStandalone } from "./standalone/build.js";
 import { inspectSpk } from "./standalone/inspect-spk.js";
 function failure(code, message, hint = "修正設定後重試；使用 --help 查看指令用法。") {
@@ -53,6 +55,9 @@ function formatSpkInspection(spk, report) {
         `arch：${report.arch ?? "?"}  runtime：${report.kind ?? "?"}`,
         `簽署：${report.signed ? "有 Synology 簽章" : "未簽署（Package Center 需允許任何發行者）"}`,
         `CGI：${report.cgi ?? "無"}`,
+        ...(report.entry === "admin-only" ? ["入口：entry: admin-only，只有 DSM 管理員能開啟與呼叫任何 route（含 SDK routes）"] : []),
+        ...(report.entry === "app-privilege" ? ["入口：entry: app-privilege，由 DSM 控制台「應用程式權限」決定誰能使用"] : []),
+        ...(report.portal ? [`Application Portal：預設別名 /${report.portal.alias}/（${report.portal.appId}），由管理員套用後啟用`] : []),
         ...report.capabilities.map((cap) => `能力 ${cap.name}：${cap.requiresAdminApproval ? "需要 DSM 管理員核准" : "安裝後 ready"}`),
         "payload：",
         ...(report.uninstallCleanup ?? []).map(item => `Uninstall cleanup (if needed)：${item.target} — ${item.condition} ${item.action}`),
@@ -69,12 +74,9 @@ async function standaloneBuild(root, arches, options) {
         : options.outDir
             ? resolve(options.outDir)
             : undefined;
-    const result = await buildStandalone({
-        root,
-        arches,
-        outDir,
-        minDsm: options.minDsm,
-    });
+    const result = isNativeLayout(root)
+        ? await buildNativeLayout({ root, arches, outDir, minDsm: options.minDsm })
+        : await buildStandalone({ root, arches: arches, outDir, minDsm: options.minDsm });
     return result.outputs.map((output) => {
         if (!options.output)
             return output;
@@ -88,6 +90,9 @@ const ARCH_REQUIRED = [
     "GATEWAY_ARCH_FAMILY_REQUIRED",
 ];
 async function containerBuild(project, arches, options) {
+    const unsupported = arches?.find((arch) => !isContainerArchFamily(arch));
+    if (unsupported)
+        throw failure("CONTAINER_ARCH_UNSUPPORTED", `Container Manager App 只支援 ${CONTAINER_ARCH_FAMILIES.join("、")}；DSM 不為 ${unsupported} 提供 Container Manager。`);
     const output = options.output ? resolve(options.output) : undefined;
     const build = (archFamily, outputPath = output) => buildSpk({ project, archFamily, outputPath, minDsm: options.minDsm });
     let results = [];
@@ -101,7 +106,7 @@ async function containerBuild(project, arches, options) {
             if (output)
                 throw failure("CLI_OUTPUT_ARCH_REQUIRED", "-o 只能搭配 --arch 建置單一架構。");
             const packageId = String(loadContract(project.contractPath).contract.package);
-            for (const arch of arches ?? NATIVE_ARCH_FAMILIES)
+            for (const arch of arches ?? CONTAINER_ARCH_FAMILIES)
                 results.push(await build(arch, join(options.outDir ? resolve(options.outDir) : project.root, `${packageId}-${arch}.spk`)));
         }
     }
@@ -141,12 +146,12 @@ export async function runCli(argv) {
             throw failure(validation.errors[0].code, formatErrors(validation.errors), validation.errors[0].suggestion);
         const standalone = standaloneRoot(rootOf(command));
         if (standalone) {
-            const loaded = loadStandaloneManifest(standalone);
+            const loaded = isNativeLayout(standalone) ? loadNativeLayout(standalone) : loadStandaloneManifest(standalone);
             if (!loaded.ok)
                 throw failure(loaded.errors[0].code, loaded.errors.map((e) => `[${e.code}] ${e.message}`).join("\n"), "將 dsm-package.yaml 更新為 schema: 2，修正宣告後重試。");
             emit("check", {
                 package: loaded.manifest.package,
-                capabilities: loaded.manifest.capabilities,
+                capabilities: "capabilities" in loaded.manifest ? loaded.manifest.capabilities : {},
             }, "驗證通過。");
             return;
         }
@@ -173,7 +178,8 @@ export async function runCli(argv) {
     const images = program.command("images").description("Container image 工具");
     images
         .command("pin")
-        .option("--check", "只檢查，不寫入")
+        .description("把 compose.yaml 的 image tag 解析為 digest 並寫回（匿名 registry 查詢）")
+        .option("--check", "只檢查，不寫入；未 pin 或過期時失敗")
         .action(async (options, command) => {
         const project = requireProject(process.cwd(), command.parent?.parent?.opts().project);
         const result = await pinProjectImages({
@@ -191,7 +197,7 @@ export async function runCli(argv) {
         .option("--package <id>", "INFO.package（預設由目錄名產生）")
         .option("--name <display>", "顯示名稱")
         .option("--ui <vue|plain>", `native-go：UI，預設 vue（UI ${JSON.parse(readFileSync(join(templatesRoot(), "native-go-vue/frontend/package.json"), "utf8")).dependencies["@synopackageland/ui"]}）；plain 使用 ui/app.js`)
-        .option("--with <caps>", "能力（逗號分隔）：files,jobs,login,root-ops")
+        .option("--with <caps>", `能力（逗號分隔）：${CAPABILITY_NAMES.join(",")}`)
         .option("--from <compose.yaml>", "compose：匯入現有 Compose；省略時建立範例")
         .option("--shared-folder <select|create>", "安裝精靈選擇或建立共用資料夾")
         .option("--shared-folder-name <name>", "建立的共用資料夾名稱")
@@ -232,7 +238,7 @@ export async function runCli(argv) {
     });
     program
         .command("add <caps...>")
-        .description("加入能力與 SDK-owned overlay；不覆寫既有應用檔案")
+        .description(`加入能力（${CAPABILITY_NAMES.join("、")}）或 portal 與 SDK-owned overlay；不覆寫既有應用檔案`)
         .action((caps, _options, command) => {
         const result = addCapabilities(rootOf(command), caps);
         stdout(`已新增：${result.added.join(", ") || "無"}；已存在：${result.unchanged.join(", ") || "無"}`);
@@ -342,7 +348,7 @@ export async function runCli(argv) {
     });
     program
         .command("logs")
-        .description("App log 與遮罩後的診斷資訊")
+        .description("狀態診斷：DSM 套件狀態與遮罩後的診斷資訊；不串流應用程式日誌")
         .requiredOption("--host <name>", "NAS profile")
         .option("--dev", "Development Package Identity")
         .action(async (options, command) => {
@@ -377,21 +383,27 @@ export async function runCli(argv) {
         .option("--json", "輸出單一 JSON 物件")
         .option("-o, --output <path>", "輸出 SPK，搭配單一 --arch")
         .option("--out-dir <dir>", "輸出目錄，原生專案預設 dist/")
-        .option("--arch <families>", `架構，可用逗號分隔：${NATIVE_ARCH_FAMILIES.join(",")}`)
+        .option("--arch <families>", `架構，可用逗號分隔：${NATIVE_ARCH_FAMILIES.join(",")}（armv7 用於 native-go 與 binary，不用於 Container Manager App）；native layout 另支援 armv8`)
         .option("--min-dsm <version>", "最低 DSM 版本，省略時使用 manifest 值")
         .action(async (options, command) => {
+        const root = rootOf(command);
+        const standalone = standaloneRoot(root);
         let arches;
         try {
             arches =
                 options.arch === undefined
                     ? undefined
-                    : parseArchList(String(options.arch));
+                    : standalone && isNativeLayout(standalone)
+                        ? String(options.arch).split(",").map((arch) => {
+                            if (!Object.hasOwn(LAYOUT_ARCHES, arch))
+                                throw new Error(`Native layout arch must be one of ${Object.keys(LAYOUT_ARCHES).join(", ")}`);
+                            return arch;
+                        })
+                        : parseArchList(String(options.arch));
         }
         catch (error) {
             throw failure("CLI_ARCH_INVALID", error instanceof Error ? error.message : String(error));
         }
-        const root = rootOf(command);
-        const standalone = standaloneRoot(root);
         const outputs = standalone
             ? await standaloneBuild(standalone, arches, options)
             : await containerBuild(requireProject(root), arches, options);

package/dist/contract/schema-validate.js

@@ -1,3 +1,4 @@
+import { validateMetadata } from "../package-metadata.js";
 import { Ajv } from "ajv";
 import { readFileSync } from "node:fs";
 import { dirname, join } from "node:path";
@@ -33,6 +34,13 @@ export function validateContractSchema(parsed, contractFile) {
     const data = parsed.doc.toJSON();
     const valid = validate(data);
     if (valid) {
+        try {
+            if (data.metadata !== undefined)
+                validateMetadata(data.metadata);
+        }
+        catch {
+            return [makeError("CONTRACT_SCHEMA_INVALID", contractSpan(contractFile, 1, 1, "metadata"), "Invalid metadata fields.", "Check email, URL and text bounds.")];
+        }
         return [];
     }
     const errors = validate.errors ?? [];

package/dist/contract/validate.js

@@ -4,9 +4,11 @@ import { contractSpan, makeError } from "../errors.js";
 import { collectInstallParameters, getValuePosition, stringViolations, } from "./load.js";
 import { validateContractSchema } from "./schema-validate.js";
 import { DSM_GROUP_NAME, isWebAccessMode, isWebLaunchMode, readWebIntegration } from "./web-launch.js";
+import { contractPortalSupported, readPortalDeclaration } from "../portal/alias.js";
 import { loadCompose } from "../compose/analyze.js";
 import { collectPosixAllSharesParameters, isPosixAllSharesType, validatePosixAllSharesSources, } from "./posix-all-shares.js";
 import { getErrorCode } from "../error-registry.js";
+import { isDsmAtLeast, PORTAL_MIN_DSM, portalMinDsmMessage } from "../build-spk/dsm-version.js";
 import { FORMAL_PACKAGE_IDENTITY_MAX_LENGTH, PACKAGE_IDENTITY_MAX_LENGTH, } from "../deploy/identity-shared.js";
 /** DSM 7.4 Package Center rejects a longer package identity outright. */
 const DSM_PACKAGE_IDENTITY_MAX = 32;
@@ -53,6 +55,7 @@ export function validateContract(parsed, contractFile) {
     errors.push(...validatePosixAllShares(parsed, contractFile));
     errors.push(...validateWebLaunch(parsed, contractFile));
     errors.push(...validateWebAccess(parsed, contractFile));
+    errors.push(...validateWebPortal(parsed, contractFile));
     return errors;
 }
 function validatePosixAllShares(parsed, contractFile) {
@@ -119,6 +122,33 @@ function validateWebAccess(parsed, contractFile) {
     }
     return [];
 }
+function validateWebPortal(parsed, contractFile) {
+    const { contract, doc } = parsed;
+    const portal = readWebIntegration(contract)?.portal;
+    if (portal === undefined) {
+        return [];
+    }
+    const pos = getValuePosition(doc, ["integration", "web", "portal"]) ?? { line: 1, column: 1 };
+    const at = contractSpan(contractFile, pos.line, pos.column, "integration.web.portal");
+    if (!contractPortalSupported(contract)) {
+        return [
+            makeError("CONTRACT_PORTAL_UNSUPPORTED", at, "Application Portal 只支援以 DSM 視窗開啟、經 DSM 登入閘道的網頁 App。", "請使用 adminport、launch: dsm-window 與非 public 的 access，或移除 integration.web.portal。public App 已有同名的 Web Station 網址。"),
+        ];
+    }
+    if (!readPortalDeclaration(portal, String(contract.package ?? ""))) {
+        return [
+            makeError("CONTRACT_PORTAL_INVALID", at, "integration.web.portal 必須是 {} 或 { alias }，alias 為 1–64 個小寫英數字或 -，且不是 DSM 保留路徑。", "請省略 alias 以使用套件名稱，或改成例如 alias: my-app。"),
+        ];
+    }
+    const osMinVer = contract.os_min_ver;
+    if (typeof osMinVer === "string" && FULL_OS_MIN_VER.test(osMinVer) && !isDsmAtLeast(osMinVer, PORTAL_MIN_DSM)) {
+        return [
+            makeError("CONTRACT_PORTAL_MIN_DSM", at, portalMinDsmMessage(osMinVer, "integration.web.portal"), `請把 os_min_ver 改成 "${PORTAL_MIN_DSM}" 或更新，或移除 integration.web.portal。`),
+        ];
+    }
+    return [];
+}
+const FULL_OS_MIN_VER = /^7\.\d+(\.\d+)?-\d+$/;
 function validateDeveloperString(value, contractFile, path, pos) {
     const errors = [];
     const violations = stringViolations(value);

package/dist/deploy/deploy.d.ts

@@ -1,5 +1,5 @@
 import type { CommandRunner } from "../standalone/build.js";
-import type { NativeArchFamily } from "../build-spk/dsm-arch.js";
+import { type NativeArchFamily } from "../build-spk/dsm-arch.js";
 import type { ProjectRoot } from "../discovery.js";
 import type { NasHost } from "../host/types.js";
 import { resolveDeploySpkVersion } from "./spk-version.js";

package/dist/deploy/deploy.js

@@ -1,4 +1,5 @@
 import { buildSpk } from "../build-spk/generator.js";
+import { CONTAINER_ARCH_FAMILIES, isContainerArchFamily } from "../build-spk/dsm-arch.js";
 import { loadContract } from "../contract/load.js";
 import { usesAuthGateway } from "../contract/web-launch.js";
 import { findUnsupportedInstallTypes } from "../contract/unsupported-types.js";
@@ -174,6 +175,13 @@ export async function deployProject(options) {
             };
         }
     }
+    if (archFamily !== undefined && !isContainerArchFamily(archFamily)) {
+        return {
+            ok: false,
+            code: "CONTAINER_ARCH_UNSUPPORTED",
+            message: `Container Manager App 只支援 ${CONTAINER_ARCH_FAMILIES.join("、")}；DSM 不為 ${archFamily} 提供 Container Manager。`,
+        };
+    }
     const build = await buildSpk({
         project: options.project,
         packageIdentity: identity.packageId,

package/dist/deploy/plan.js

@@ -22,7 +22,7 @@ export function planDeployment(root, options = {}) {
         if (options.dev)
             throw fail("DEVELOPMENT_INSTANCE_UNSUPPORTED", "--dev is not supported for native-go/binary; choose a distinct package name at init");
         if (options.arch && !m.arches.includes(options.arch))
-            throw fail("STANDALONE_ARCH_NOT_DECLARED", `Architecture not declared: ${options.arch}`);
+            throw fail("STANDALONE_ARCH_NOT_DECLARED", `Architecture not declared: ${options.arch}; add it to dsm-package.yaml arches to deploy it`);
         return {
             root: standalone,
             kind: m.backend.kind === "go" ? "native-go" : "binary",