@synopackageland/cli 0.6.1 → 0.7.0

package/dist/build-spk/notices.js

@@ -38,7 +38,10 @@ export function copyStandaloneNotices(root, uiDir, payload, go, goDir = join(roo
     }
     const nativeAdmin = join(goDir, 'internal/dsm/native');
     if (go && existsSync(join(nativeAdmin, 'admin_check.c'))) {
-        for (const name of ['admin_check.c', 'build.sh', 'provenance.json', 'licenses']) {
+        for (const name of ['admin_check.c', 'apppriv_check.c', 'build.sh', 'provenance.json', 'licenses']) {
+            // Projects scaffolded before the AppPriv bridge carry only the administrator bridge.
+            if (name === 'apppriv_check.c' && !existsSync(join(nativeAdmin, name)))
+                continue;
             copyNoticeTree(join(nativeAdmin, name), join(dest, 'native-admin', name));
         }
     }

package/dist/build-spk/resource-worker.js

@@ -1,3 +1,4 @@
+import { contractPortal, portalResource } from "../portal/package.js";
 import { collectUnpinnedImages } from "../compose/analyze.js";
 import { cookieStripHeaders, resolvedWebLaunch, usesAuthGateway, webStationAlias, webStationServiceName, } from "../contract/web-launch.js";
 export { classifyComposeRoute, resourceWorkerEligibility, } from "../compose/analyze.js";
@@ -78,6 +79,8 @@ export function renderResourceConfig(contract, eligibility, compose) {
             ...webResource,
         };
     }
+    if (contractPortal(contract))
+        combined = { ...combined, ...portalResource() };
     return `${JSON.stringify(combined, null, 2)}\n`;
 }
 /**

package/dist/build-spk/wizard-messages.d.ts

@@ -1,4 +1,70 @@
 export declare const WIZARD_MESSAGES: {
+    "delegate.preselection": {
+        en: string;
+        "zh-TW": string;
+        "zh-CN": string;
+        ja: string;
+        ko: string;
+        de: string;
+        fr: string;
+        es: string;
+        it: string;
+    };
+    "delegate.home": {
+        en: string;
+        "zh-TW": string;
+        "zh-CN": string;
+        ja: string;
+        ko: string;
+        de: string;
+        fr: string;
+        es: string;
+        it: string;
+    };
+    "portal.step": {
+        en: string;
+        "zh-TW": string;
+        "zh-CN": string;
+        ja: string;
+        ko: string;
+        de: string;
+        fr: string;
+        es: string;
+        it: string;
+    };
+    "portal.notice": {
+        en: string;
+        "zh-TW": string;
+        "zh-CN": string;
+        ja: string;
+        ko: string;
+        de: string;
+        fr: string;
+        es: string;
+        it: string;
+    };
+    "portal.alias": {
+        en: string;
+        "zh-TW": string;
+        "zh-CN": string;
+        ja: string;
+        ko: string;
+        de: string;
+        fr: string;
+        es: string;
+        it: string;
+    };
+    "portal.aliasInvalid": {
+        en: string;
+        "zh-TW": string;
+        "zh-CN": string;
+        ja: string;
+        ko: string;
+        de: string;
+        fr: string;
+        es: string;
+        it: string;
+    };
     "install.step": {
         en: string;
         "zh-TW": string;

package/dist/build-spk/wizard-messages.js

@@ -1,4 +1,70 @@
 export const WIZARD_MESSAGES = {
+    "delegate.preselection": {
+        en: "Pre-select the shared folder for background saves. Confirm this selection with your administrator password when first enabling background access in the app. This does not grant the package account access to the share.",
+        "zh-TW": "預選背景存檔使用的共用資料夾。首次在 App 啟用背景存取時，以管理員密碼確認這個選項。這不會授予套件帳號共用資料夾權限。",
+        "zh-CN": "预选后台保存使用的共享文件夹。首次在应用启用后台访问时，以管理员密码确认此选项。这不会授予软件包账户共享文件夹权限。",
+        ja: "バックグラウンド保存先の共有フォルダを仮選択します。アプリで初めて有効にする際、管理者パスワードで確認してください。パッケージアカウントに共有へのアクセス権は付与されません。",
+        ko: "백그라운드 저장에 사용할 공유 폴더를 미리 선택합니다. 앱에서 처음 활성화할 때 관리자 암호로 확인하십시오. 패키지 계정에 공유 접근 권한을 부여하지 않습니다.",
+        de: "Wählen Sie den gemeinsamen Ordner für Hintergrundspeicherungen vor. Bestätigen Sie ihn beim ersten Aktivieren in der App mit Ihrem Administratorpasswort. Das Paketkonto erhält dadurch keinen Zugriff.",
+        fr: "Présélectionnez le dossier partagé pour les enregistrements en arrière-plan. Confirmez-le avec votre mot de passe administrateur lors de la première activation dans l'application. Aucun accès n'est accordé au compte du paquet.",
+        es: "Preseleccione la carpeta compartida para guardar en segundo plano. Confírmela con su contraseña de administrador al activar el acceso en la aplicación. No se otorga acceso a la cuenta del paquete.",
+        it: "Preselezionare la cartella condivisa per i salvataggi in background. Confermarla con la password amministratore alla prima attivazione nell'app. Non concede accesso all'account del pacchetto.",
+    },
+    "delegate.home": {
+        en: "Use each user's home folder instead (ignore the shared folder above)",
+        "zh-TW": "改用各使用者的 home 資料夾（忽略上方共用資料夾）",
+        "zh-CN": "改用各用户的 home 文件夹（忽略上方共享文件夹）",
+        ja: "代わりに各ユーザーの home フォルダを使う（上の共有フォルダは無視）",
+        ko: "대신 각 사용자의 home 폴더 사용 (위 공유 폴더 무시)",
+        de: "Stattdessen den home-Ordner jedes Benutzers verwenden (Auswahl oben ignorieren)",
+        fr: "Utiliser le dossier home de chaque utilisateur (ignorer le dossier ci-dessus)",
+        es: "Usar la carpeta home de cada usuario (ignorar la carpeta de arriba)",
+        it: "Usa la cartella home di ogni utente (ignora la cartella sopra)",
+    },
+    "portal.step": {
+        en: "Application Portal",
+        "zh-TW": "應用程式入口",
+        "zh-CN": "应用程序门户",
+        ja: "アプリケーションポータル",
+        ko: "응용 프로그램 포털",
+        de: "Anwendungsportal",
+        fr: "Portail d'application",
+        es: "Portal de aplicaciones",
+        it: "Portale applicazioni",
+    },
+    "portal.notice": {
+        en: "Application Portal: an administrator can later let users open this app directly at https://<your NAS>/<alias>/ after DSM sign-in. Nothing is published now; activate it in the app's settings or in Control Panel > Login Portal > Applications.",
+        "zh-TW": "Application Portal：管理員之後可讓使用者在 DSM 登入後，直接以 https://<你的 NAS>/<alias>/ 開啟這個 App。現在不會公開任何網址；請在 App 的設定或「控制台 > 登入入口 > 應用程式」中啟用。",
+        "zh-CN": "Application Portal：管理员之后可让用户在 DSM 登录后，直接通过 https://<你的 NAS>/<alias>/ 打开此应用。现在不会公开任何网址；请在应用的设置或“控制面板 > 登录门户 > 应用程序”中启用。",
+        ja: "Application Portal：管理者は後で、DSM サインイン後に https://<NAS>/<alias>/ でこのアプリを直接開けるようにできます。現時点では何も公開されません。アプリの設定、または「コントロールパネル > ログインポータル > アプリケーション」で有効にしてください。",
+        ko: "Application Portal: 관리자는 나중에 사용자가 DSM 로그인 후 https://<NAS>/<alias>/ 에서 이 앱을 바로 열 수 있게 할 수 있습니다. 지금은 아무것도 공개되지 않습니다. 앱 설정이나 '제어판 > 로그인 포털 > 응용 프로그램'에서 활성화하십시오.",
+        de: "Application Portal: Ein Administrator kann Benutzern später erlauben, diese App nach der DSM-Anmeldung direkt unter https://<Ihr NAS>/<alias>/ zu öffnen. Jetzt wird nichts veröffentlicht; aktivieren Sie es in den App-Einstellungen oder unter Systemsteuerung > Anmeldeportal > Anwendungen.",
+        fr: "Application Portal : un administrateur pourra ensuite permettre d'ouvrir cette application directement sur https://<votre NAS>/<alias>/ après connexion à DSM. Rien n'est publié maintenant ; activez-le dans les paramètres de l'application ou dans Panneau de configuration > Portail de connexion > Applications.",
+        es: "Application Portal: un administrador podrá permitir más tarde abrir esta aplicación directamente en https://<su NAS>/<alias>/ tras iniciar sesión en DSM. Ahora no se publica nada; actívelo en los ajustes de la aplicación o en Panel de control > Portal de inicio de sesión > Aplicaciones.",
+        it: "Application Portal: un amministratore potrà in seguito consentire di aprire questa app direttamente su https://<NAS>/<alias>/ dopo l'accesso a DSM. Ora non viene pubblicato nulla; attivarlo nelle impostazioni dell'app o in Pannello di controllo > Portale di accesso > Applicazioni.",
+    },
+    "portal.alias": {
+        en: "Suggested portal alias",
+        "zh-TW": "建議的入口別名",
+        "zh-CN": "建议的门户别名",
+        ja: "推奨ポータルエイリアス",
+        ko: "권장 포털 별칭",
+        de: "Vorgeschlagener Portal-Alias",
+        fr: "Alias de portail suggéré",
+        es: "Alias de portal sugerido",
+        it: "Alias del portale suggerito",
+    },
+    "portal.aliasInvalid": {
+        en: "Use 1-64 lowercase letters, digits or hyphens, not starting or ending with a hyphen.",
+        "zh-TW": "請使用 1–64 個小寫英文字母、數字或連字號，且不可以連字號開頭或結尾。",
+        "zh-CN": "请使用 1–64 个小写英文字母、数字或连字符，且不能以连字符开头或结尾。",
+        ja: "1～64 文字の小文字英字・数字・ハイフンを使用し、先頭と末尾にハイフンは使えません。",
+        ko: "1~64자의 영문 소문자, 숫자 또는 하이픈을 사용하고 하이픈으로 시작하거나 끝나지 않게 하십시오.",
+        de: "Verwenden Sie 1–64 Kleinbuchstaben, Ziffern oder Bindestriche, ohne Bindestrich am Anfang oder Ende.",
+        fr: "Utilisez 1 à 64 lettres minuscules, chiffres ou tirets, sans tiret au début ni à la fin.",
+        es: "Use de 1 a 64 letras minúsculas, dígitos o guiones, sin guion al principio ni al final.",
+        it: "Usare da 1 a 64 lettere minuscole, cifre o trattini, senza trattino all'inizio o alla fine.",
+    },
     "install.step": {
         en: "Install settings",
         "zh-TW": "安裝設定",
@@ -15,11 +81,11 @@ export const WIZARD_MESSAGES = {
         "zh-TW": "這台 NAS 還留有先前安裝的資料（@appdata/{package}），本次安裝會沿用：已存的設定與產生的 secrets 都會保留。若要從空白開始，請先取消並清除該資料——解除安裝時勾選「一併刪除上列 App 資料」——再重新安裝。",
         "zh-CN": "这台 NAS 还保留着先前安装的数据（@appdata/{package}），本次安装将继续使用：已保存的设置和生成的密钥都会保留。若要从空白开始，请先取消并清除该数据——卸载时勾选“同时删除上列应用数据”——然后重新安装。",
         ja: "この NAS には以前のインストールのデータ（@appdata/{package}）が残っているため、今回のインストールはそれを引き継ぎます。保存済みの設定と生成済みシークレットは保持されます。空の状態から始めるには、いったん中止し、そのデータを削除して（アンインストール時に「上記のアプリデータも削除する」をオン）から再インストールしてください。",
-        ko: "이 NAS에는 이전 설치의 데이터(@appdata/{package})가 남아 있어 이번 설치에서 그대로 사용합니다. 저장된 설정과 생성된 시크릿이 유지됩니다. 빈 상태로 시작하려면 먼저 취소하고 해당 데이터를 지운 뒤(제거 시 '위에 나열된 앱 데이터도 삭제' 선택) 다시 설치하세요.",
+        ko: "이 NAS에는 이전 설치의 데이터(@appdata/{package})가 남아 있어 이번 설치에서 그대로 사용합니다. 저장된 설정과 생성된 시크릿이 유지됩니다. 빈 상태로 시작하려면 먼저 취소하고 해당 데이터를 지운 뒤(제거 시 '위에 나열된 앱 데이터도 삭제' 선택) 다시 설치하십시오.",
         de: "Auf diesem NAS liegen noch Daten einer früheren Installation (@appdata/{package}); diese Installation verwendet sie weiter: gespeicherte Einstellungen und erzeugte Geheimnisse bleiben erhalten. Für einen leeren Start brechen Sie ab, löschen diese Daten (Deinstallation mit aktiviertem „Oben aufgeführte App-Daten ebenfalls löschen“) und installieren erneut.",
         fr: "Ce NAS contient encore les données d'une installation précédente (@appdata/{package}) ; cette installation les réutilise : les réglages enregistrés et les secrets générés sont conservés. Pour repartir de zéro, annulez, supprimez ces données (désinstallation avec « Supprimer aussi les données de l'application listées ci-dessus » cochée), puis réinstallez.",
         es: "Este NAS todavía conserva datos de una instalación anterior (@appdata/{package}); esta instalación los reutiliza: se mantienen los ajustes guardados y los secretos generados. Para empezar de cero, cancele, borre esos datos (desinstale con «Eliminar también los datos de la aplicación indicados arriba» marcado) y vuelva a instalar.",
-        it: "Questo NAS conserva ancora i dati di un'installazione precedente (@appdata/{package}); questa installazione li riutilizza: le impostazioni salvate e i segreti generati restano. Per partire da zero, annulla, elimina quei dati (disinstallazione con «Elimina anche i dati dell'app elencati sopra» selezionato) e reinstalla.",
+        it: "Questo NAS conserva ancora i dati di un'installazione precedente (@appdata/{package}); questa installazione li riutilizza: le impostazioni salvate e i segreti generati restano. Per partire da zero, annullare, eliminare quei dati (disinstallazione con «Elimina anche i dati dell'app elencati sopra» selezionato) e reinstallare.",
     },
     "upgrade.step": {
         en: "Upgrade settings",
@@ -147,7 +213,7 @@ export const WIZARD_MESSAGES = {
         "zh-TW": "此 App 會使用安裝當下這台 NAS 的全部 Shared Folder（App-wide，不依個別 DSM ACL）；容器內可讀（或讀寫，依 Compose 模式）所有這些資料夾的檔案。安裝後新建的共用資料夾不會自動加入。Package Center 無法提供安裝當下的 Shared Folder 清單快照；要以全部 Share 安裝，請用 CLI `synopkgland deploy`，由 CLI 以管理員權限列舉全部 Share 並寫入快照。由管理員決定是否安裝。",
         "zh-CN": "此应用会使用安装时这台 NAS 上的全部共享文件夹（应用级，不依据各个 DSM ACL）；容器内可读取（或读写，取决于 Compose 模式）所有这些文件夹中的文件。安装后新建的共享文件夹不会自动加入。Package Center 无法提供安装时的共享文件夹列表快照；若要以全部共享文件夹安装，请使用 CLI `synopkgland deploy`，由 CLI 以管理员权限列出全部共享文件夹并写入快照。是否安装由管理员决定。",
         ja: "このアプリは、インストール時点でこの NAS にあるすべての共有フォルダを使用します（アプリ全体に適用され、個々の DSM ACL には従いません）。コンテナはそれらすべてのフォルダ内のファイルを読み取れます（Compose のモードによっては読み書きも可能です）。インストール後に作成された共有フォルダは自動的には追加されません。Package Center ではインストール時点の共有フォルダ一覧のスナップショットを提供できません。すべての共有フォルダでインストールするには、CLI の `synopkgland deploy` を使用してください。CLI が管理者権限ですべての共有フォルダを列挙し、スナップショットを書き込みます。インストールするかどうかは管理者が判断します。",
-        ko: "이 앱은 설치 시점에 이 NAS에 있는 모든 공유 폴더를 사용합니다(앱 전체 범위이며 개별 DSM ACL을 따르지 않음). 컨테이너는 해당 폴더의 파일을 모두 읽을 수 있으며 Compose 모드에 따라 읽고 쓸 수도 있습니다. 설치 후 새로 만든 공유 폴더는 자동으로 추가되지 않습니다. Package Center는 설치 시점의 공유 폴더 목록 스냅샷을 제공할 수 없습니다. 모든 공유 폴더로 설치하려면 CLI `synopkgland deploy`를 사용하세요. CLI가 관리자 권한으로 모든 공유 폴더를 나열하고 스냅샷을 기록합니다. 설치 여부는 관리자가 결정합니다.",
+        ko: "이 앱은 설치 시점에 이 NAS에 있는 모든 공유 폴더를 사용합니다(앱 전체 범위이며 개별 DSM ACL을 따르지 않음). 컨테이너는 해당 폴더의 파일을 모두 읽을 수 있으며 Compose 모드에 따라 읽고 쓸 수도 있습니다. 설치 후 새로 만든 공유 폴더는 자동으로 추가되지 않습니다. Package Center는 설치 시점의 공유 폴더 목록 스냅샷을 제공할 수 없습니다. 모든 공유 폴더로 설치하려면 CLI `synopkgland deploy`를 사용하십시오. CLI가 관리자 권한으로 모든 공유 폴더를 나열하고 스냅샷을 기록합니다. 설치 여부는 관리자가 결정합니다.",
         de: "Diese App verwendet alle zum Installationszeitpunkt vorhandenen freigegebenen Ordner dieses NAS (appweit, unabhängig von einzelnen DSM-ACLs); die Container können die Dateien in allen diesen Ordnern lesen (oder je nach Compose-Modus lesen und schreiben). Nach der Installation angelegte freigegebene Ordner werden nicht automatisch hinzugefügt. Das Paket-Zentrum kann keine Momentaufnahme der Liste der freigegebenen Ordner zum Installationszeitpunkt bereitstellen. Um mit allen Freigaben zu installieren, verwenden Sie die CLI `synopkgland deploy`: Sie listet alle Freigaben mit Administratorrechten auf und schreibt die Momentaufnahme. Der Administrator entscheidet, ob installiert wird.",
         fr: "Cette application utilise tous les dossiers partagés de ce NAS existant au moment de l'installation (à l'échelle de l'application, sans tenir compte des ACL DSM individuelles) ; les conteneurs peuvent lire (ou lire et écrire, selon le mode Compose) les fichiers de tous ces dossiers. Les dossiers partagés créés après l'installation ne sont pas ajoutés automatiquement. Package Center ne peut pas fournir un instantané de la liste des dossiers partagés au moment de l'installation. Pour installer avec tous les dossiers partagés, utilisez la CLI `synopkgland deploy` : elle énumère tous les dossiers partagés avec les droits d'administrateur et écrit l'instantané. L'administrateur décide de l'installation.",
         es: "Esta aplicación usa todas las carpetas compartidas de este NAS existentes en el momento de la instalación (a nivel de aplicación, sin respetar las ACL de DSM individuales); los contenedores pueden leer (o leer y escribir, según el modo de Compose) los archivos de todas ellas. Las carpetas compartidas creadas después de la instalación no se añaden automáticamente. Package Center no puede proporcionar una instantánea de la lista de carpetas compartidas en el momento de la instalación. Para instalar con todas las carpetas compartidas, use la CLI `synopkgland deploy`: enumera todas las carpetas compartidas con derechos de administrador y escribe la instantánea. El administrador decide si se instala.",
@@ -162,7 +228,7 @@ export const WIZARD_MESSAGES = {
         de: "Der Container dieser App hat hohe Rechte, nahe an root auf diesem NAS und damit fast am gesamten System. Sie als Administrator entscheiden, ob die App installiert wird.",
         fr: "Le conteneur de cette application dispose de privilèges élevés, proches de root sur ce NAS et donc de presque toute la machine. C'est à vous, administrateur, de décider de l'installer ou non.",
         es: "El contenedor de esta aplicación tiene privilegios elevados, cercanos a root en este NAS y, por tanto, a casi toda la máquina. Usted, como administrador, decide si se instala.",
-        it: "Il container di questa app ha privilegi elevati, vicini a root su questo NAS e quindi a quasi tutta la macchina. Spetta a lei, come amministratore, decidere se installarla.",
+        it: "Il container di questa app ha privilegi elevati, vicini a root su questo NAS e quindi a quasi tutta la macchina. Spetta all'amministratore decidere se installarla.",
     },
     "upgrade.posixNotice": {
         en: "An upgrade keeps the existing snapshot (all Shared Folders the CLI listed at install time). The mounted scope can only be changed explicitly through the CLI (`synopkgland deploy`); a Package Center upgrade does not change the existing snapshot.",
@@ -217,7 +283,7 @@ export const WIZARD_MESSAGES = {
         de: "{label} ändern (nicht aktiviert = aktuelle Einstellung beibehalten)",
         fr: "Modifier {label} (non coché = conserver le réglage actuel)",
         es: "Cambiar {label} (sin marcar = mantener la configuración actual)",
-        it: "Modifica {label} (non selezionato = mantieni l'impostazione attuale)",
+        it: "Modifica {label} (non selezionato = mantenere l'impostazione attuale)",
     },
     "upgrade.changeSub": {
         en: "Change {label}",
@@ -300,8 +366,8 @@ export const WIZARD_MESSAGES = {
         "en": "DSM may retain empty @appdata/{package}, @appconf/{package}, @apphome/{package}, @appshare/{package}, the package-config symlink /usr/syno/etc/packages/{package}, and the package account/group. The checkbox empties data/config/home contents; it does not remove DSM directory roots, shared folders or system identities. After uninstall, an administrator can review unused remnants and ACLs before removing only this package’s infrastructure.",
         "zh-TW": "DSM 可能保留空的 @appdata/{package}、@appconf/{package}、@apphome/{package}、@appshare/{package}、套件設定連結 /usr/syno/etc/packages/{package} 與套件帳號／群組。勾選後會清空資料、設定與 home 內容，保留 DSM 目錄本身、共用資料夾與系統身分。解除安裝後，管理員可先確認殘留項目與 ACL 已不再使用，再清除此套件的基礎項目。",
         "zh-CN": "DSM 可能保留空的 @appdata/{package}、@appconf/{package}、@apphome/{package}、@appshare/{package}、套件配置链接 /usr/syno/etc/packages/{package} 和套件账户／组。勾选后会清空数据、配置和 home 内容，保留 DSM 目录本身、共享文件夹和系统身份。卸载后，管理员可检查残留项目与 ACL 不再使用后，再清理本套件的基础项目。",
-        "ja": "DSM は空の @appdata/{package}、@appconf/{package}、@apphome/{package}、@appshare/{package}、設定リンク /usr/syno/etc/packages/{package}、パッケージのアカウントとグループを保持する場合があります。チェックするとデータ・設定・home の内容を削除しますが、DSM のディレクトリ、共有フォルダー、システム ID は保持します。アンインストール後、管理者は不要な項目と ACL を確認してから、このパッケージの項目だけを削除してください。",
-        "ko": "DSM은 빈 @appdata/{package}, @appconf/{package}, @apphome/{package}, @appshare/{package}, 설정 링크 /usr/syno/etc/packages/{package}, 패키지 계정/그룹을 유지할 수 있습니다. 체크하면 데이터/설정/home 내용만 비우며 DSM 디렉터리, 공유 폴더, 시스템 ID는 유지합니다. 제거 후 관리자는 남은 항목과 ACL을 확인하고 이 패키지의 불필요한 항목만 정리하세요.",
+        "ja": "DSM は空の @appdata/{package}、@appconf/{package}、@apphome/{package}、@appshare/{package}、設定リンク /usr/syno/etc/packages/{package}、パッケージのアカウントとグループを保持する場合があります。チェックするとデータ・設定・home の内容を削除しますが、DSM のディレクトリ、共有フォルダ、システム ID は保持します。アンインストール後、管理者は不要な項目と ACL を確認してから、このパッケージの項目だけを削除してください。",
+        "ko": "DSM은 빈 @appdata/{package}, @appconf/{package}, @apphome/{package}, @appshare/{package}, 설정 링크 /usr/syno/etc/packages/{package}, 패키지 계정/그룹을 유지할 수 있습니다. 체크하면 데이터/설정/home 내용만 비우며 DSM 디렉터리, 공유 폴더, 시스템 ID는 유지합니다. 제거 후 관리자는 남은 항목과 ACL을 확인하고 이 패키지의 불필요한 항목만 정리하십시오.",
         "de": "DSM kann leere @appdata/{package}, @appconf/{package}, @apphome/{package}, @appshare/{package}, den Konfigurationslink /usr/syno/etc/packages/{package} sowie Paketkonto und -gruppe behalten. Das Kontrollkästchen leert Daten, Konfiguration und home, behält aber DSM-Verzeichnisse, Freigaben und Systemidentitäten. Nach der Deinstallation kann ein Administrator ungenutzte Reste und ACLs prüfen und nur die Infrastruktur dieses Pakets entfernen.",
         "fr": "DSM peut conserver les répertoires vides @appdata/{package}, @appconf/{package}, @apphome/{package}, @appshare/{package}, le lien de configuration /usr/syno/etc/packages/{package} et le compte/groupe du paquet. La case vide les données, la configuration et home, mais conserve les répertoires DSM, dossiers partagés et identités système. Après la désinstallation, un administrateur peut vérifier les éléments inutilisés et leurs ACL avant de supprimer uniquement ceux de ce paquet.",
         "es": "DSM puede conservar @appdata/{package}, @appconf/{package}, @apphome/{package}, @appshare/{package} vacíos, el enlace de configuración /usr/syno/etc/packages/{package} y la cuenta/grupo del paquete. La casilla vacía datos, configuración y home; conserva directorios DSM, carpetas compartidas e identidades del sistema. Tras desinstalar, un administrador puede revisar los restos y ACL antes de eliminar solo la infraestructura de este paquete.",
@@ -367,11 +433,11 @@ export const WIZARD_MESSAGES = {
         "zh-TW": "此 App 會把檔案存放在你於下方選擇的共用資料夾。DSM 不會自動讓 App 的套件帳號存取這裡選的資料夾：安裝後請到「控制台」>「共用資料夾」，編輯該資料夾，在「權限」>「系統內部使用者」中授予套件帳號 {account}「{permission}」權限。在此之前，App 會回報無法使用該資料夾。",
         "zh-CN": "此应用会把文件存放在你在下方选择的共享文件夹。DSM 不会自动让应用的套件账户访问此处所选的文件夹：安装后请前往“控制面板”>“共享文件夹”，编辑该文件夹，在“权限”>“系统内部用户”中授予套件账户 {account}“{permission}”权限。在此之前，应用会报告无法使用该文件夹。",
         ja: "このアプリは、以下で選択した共有フォルダにファイルを保存します。DSM は、ここで選択したフォルダへのアクセス権をアプリのパッケージアカウントに自動では付与しません。インストール後に [コントロールパネル] > [共有フォルダ] でそのフォルダを編集し、[権限] > [システム内部ユーザー] でパッケージアカウント {account} に「{permission}」権限を付与してください。付与するまで、アプリはこのフォルダを使用できないと報告します。",
-        ko: "이 앱은 아래에서 선택한 공유 폴더에 파일을 저장합니다. DSM은 여기서 선택한 폴더에 대한 접근 권한을 앱의 패키지 계정에 자동으로 부여하지 않습니다. 설치 후 [제어판] > [공유 폴더]에서 해당 폴더를 편집하고 [권한] > [시스템 내부 사용자]에서 패키지 계정 {account}에 '{permission}' 권한을 부여하세요. 그때까지 앱은 이 폴더를 사용할 수 없다고 보고합니다.",
+        ko: "이 앱은 아래에서 선택한 공유 폴더에 파일을 저장합니다. DSM은 여기서 선택한 폴더에 대한 접근 권한을 앱의 패키지 계정에 자동으로 부여하지 않습니다. 설치 후 [제어판] > [공유 폴더]에서 해당 폴더를 편집하고 [권한] > [시스템 내부 사용자]에서 패키지 계정 {account}에 '{permission}' 권한을 부여하십시오. 그때까지 앱은 이 폴더를 사용할 수 없다고 보고합니다.",
         de: "Diese App speichert ihre Dateien in einem freigegebenen Ordner, den Sie unten auswählen. DSM gewährt dem Paketkonto der App keinen automatischen Zugriff auf hier gewählte Ordner: Öffnen Sie nach der Installation Systemsteuerung > Gemeinsamer Ordner, bearbeiten Sie den Ordner und geben Sie dem Paketkonto {account} unter Berechtigungen > Interner Systembenutzer die Berechtigung „{permission}“. Bis dahin meldet die App, dass sie den Ordner nicht verwenden kann.",
         fr: "Cette application enregistre ses fichiers dans un dossier partagé que vous sélectionnez ci-dessous. DSM n'accorde pas automatiquement au compte de paquet de l'application l'accès à un dossier choisi ici : après l'installation, ouvrez Panneau de configuration > Dossier partagé, modifiez le dossier et, sous Autorisations > Utilisateur système interne, accordez au compte de paquet {account} l'accès « {permission} ». D'ici là, l'application signale qu'elle ne peut pas utiliser le dossier.",
         es: "Esta aplicación guarda sus archivos en una carpeta compartida que seleccione a continuación. DSM no concede automáticamente a la cuenta de paquete de la aplicación acceso a una carpeta elegida aquí: después de instalar, abra Panel de control > Carpeta compartida, edite la carpeta y, en Permisos > Usuario interno del sistema, conceda a la cuenta de paquete {account} el acceso «{permission}». Hasta entonces, la aplicación informará de que no puede usar la carpeta.",
-        it: "Questa app salva i propri file in una cartella condivisa selezionata qui sotto. DSM non concede automaticamente all'account del pacchetto dell'app l'accesso a una cartella scelta qui: dopo l'installazione apri Pannello di controllo > Cartella condivisa, modifica la cartella e, in Autorizzazioni > Utente interno del sistema, concedi all'account del pacchetto {account} l'accesso «{permission}». Fino ad allora l'app segnalerà di non poter usare la cartella.",
+        it: "Questa app salva i propri file in una cartella condivisa selezionata qui sotto. DSM non concede automaticamente all'account del pacchetto dell'app l'accesso a una cartella scelta qui: dopo l'installazione aprire Pannello di controllo > Cartella condivisa, modificare la cartella e, in Autorizzazioni > Utente interno del sistema, concedere all'account del pacchetto {account} l'accesso «{permission}». Fino ad allora l'app segnalerà di non poter usare la cartella.",
     },
     "nativeShare.createIntro": {
         en: "This app creates the Shared Folder {name} and gives its package account {permission} access to it. If {name} already exists, it is kept and only the package account's permission is set. Uninstalling the app never deletes this Shared Folder or the files in it.",

package/dist/cli.js

@@ -9,11 +9,12 @@ import { formatPinReport, pinProjectImages } from "./images/pin.js";
 import { initFromTemplate, isTemplateName, listTemplates } from "./init.js";
 import { templatesRoot } from "./template-paths.js";
 import { addCapabilities } from "./add.js";
+import { CAPABILITY_NAMES } from "./capabilities.js";
 import { validateProject } from "./validate.js";
 import { runDev } from "./dev.js";
 import { testProject } from "./test-command.js";
 import { buildSpk } from "./build-spk/generator.js";
-import { isNativeArchFamily, NATIVE_ARCH_FAMILIES, parseArchList, } from "./build-spk/dsm-arch.js";
+import { CONTAINER_ARCH_FAMILIES, isContainerArchFamily, isNativeArchFamily, NATIVE_ARCH_FAMILIES, parseArchList, } from "./build-spk/dsm-arch.js";
 import { DEFAULT_MIN_DSM, CONTAINER_MIN_DSM } from "./build-spk/dsm-version.js";
 import { deployProject } from "./deploy/deploy.js";
 import { planDeployment, deployStandalone } from "./deploy/plan.js";
@@ -54,6 +55,9 @@ function formatSpkInspection(spk, report) {
         `arch：${report.arch ?? "?"}  runtime：${report.kind ?? "?"}`,
         `簽署：${report.signed ? "有 Synology 簽章" : "未簽署（Package Center 需允許任何發行者）"}`,
         `CGI：${report.cgi ?? "無"}`,
+        ...(report.entry === "admin-only" ? ["入口：entry: admin-only，只有 DSM 管理員能開啟與呼叫任何 route（含 SDK routes）"] : []),
+        ...(report.entry === "app-privilege" ? ["入口：entry: app-privilege，由 DSM 控制台「應用程式權限」決定誰能使用"] : []),
+        ...(report.portal ? [`Application Portal：預設別名 /${report.portal.alias}/（${report.portal.appId}），由管理員套用後啟用`] : []),
         ...report.capabilities.map((cap) => `能力 ${cap.name}：${cap.requiresAdminApproval ? "需要 DSM 管理員核准" : "安裝後 ready"}`),
         "payload：",
         ...(report.uninstallCleanup ?? []).map(item => `Uninstall cleanup (if needed)：${item.target} — ${item.condition} ${item.action}`),
@@ -86,6 +90,9 @@ const ARCH_REQUIRED = [
     "GATEWAY_ARCH_FAMILY_REQUIRED",
 ];
 async function containerBuild(project, arches, options) {
+    const unsupported = arches?.find((arch) => !isContainerArchFamily(arch));
+    if (unsupported)
+        throw failure("CONTAINER_ARCH_UNSUPPORTED", `Container Manager App 只支援 ${CONTAINER_ARCH_FAMILIES.join("、")}；DSM 不為 ${unsupported} 提供 Container Manager。`);
     const output = options.output ? resolve(options.output) : undefined;
     const build = (archFamily, outputPath = output) => buildSpk({ project, archFamily, outputPath, minDsm: options.minDsm });
     let results = [];
@@ -99,7 +106,7 @@ async function containerBuild(project, arches, options) {
             if (output)
                 throw failure("CLI_OUTPUT_ARCH_REQUIRED", "-o 只能搭配 --arch 建置單一架構。");
             const packageId = String(loadContract(project.contractPath).contract.package);
-            for (const arch of arches ?? NATIVE_ARCH_FAMILIES)
+            for (const arch of arches ?? CONTAINER_ARCH_FAMILIES)
                 results.push(await build(arch, join(options.outDir ? resolve(options.outDir) : project.root, `${packageId}-${arch}.spk`)));
         }
     }
@@ -171,7 +178,8 @@ export async function runCli(argv) {
     const images = program.command("images").description("Container image 工具");
     images
         .command("pin")
-        .option("--check", "只檢查，不寫入")
+        .description("把 compose.yaml 的 image tag 解析為 digest 並寫回（匿名 registry 查詢）")
+        .option("--check", "只檢查，不寫入；未 pin 或過期時失敗")
         .action(async (options, command) => {
         const project = requireProject(process.cwd(), command.parent?.parent?.opts().project);
         const result = await pinProjectImages({
@@ -189,7 +197,7 @@ export async function runCli(argv) {
         .option("--package <id>", "INFO.package（預設由目錄名產生）")
         .option("--name <display>", "顯示名稱")
         .option("--ui <vue|plain>", `native-go：UI，預設 vue（UI ${JSON.parse(readFileSync(join(templatesRoot(), "native-go-vue/frontend/package.json"), "utf8")).dependencies["@synopackageland/ui"]}）；plain 使用 ui/app.js`)
-        .option("--with <caps>", "能力（逗號分隔）：files,jobs,login,root-ops")
+        .option("--with <caps>", `能力（逗號分隔）：${CAPABILITY_NAMES.join(",")}`)
         .option("--from <compose.yaml>", "compose：匯入現有 Compose；省略時建立範例")
         .option("--shared-folder <select|create>", "安裝精靈選擇或建立共用資料夾")
         .option("--shared-folder-name <name>", "建立的共用資料夾名稱")
@@ -230,7 +238,7 @@ export async function runCli(argv) {
     });
     program
         .command("add <caps...>")
-        .description("加入能力與 SDK-owned overlay；不覆寫既有應用檔案")
+        .description(`加入能力（${CAPABILITY_NAMES.join("、")}）或 portal 與 SDK-owned overlay；不覆寫既有應用檔案`)
         .action((caps, _options, command) => {
         const result = addCapabilities(rootOf(command), caps);
         stdout(`已新增：${result.added.join(", ") || "無"}；已存在：${result.unchanged.join(", ") || "無"}`);
@@ -340,7 +348,7 @@ export async function runCli(argv) {
     });
     program
         .command("logs")
-        .description("App log 與遮罩後的診斷資訊")
+        .description("狀態診斷：DSM 套件狀態與遮罩後的診斷資訊；不串流應用程式日誌")
         .requiredOption("--host <name>", "NAS profile")
         .option("--dev", "Development Package Identity")
         .action(async (options, command) => {
@@ -375,7 +383,7 @@ export async function runCli(argv) {
         .option("--json", "輸出單一 JSON 物件")
         .option("-o, --output <path>", "輸出 SPK，搭配單一 --arch")
         .option("--out-dir <dir>", "輸出目錄，原生專案預設 dist/")
-        .option("--arch <families>", `架構，可用逗號分隔：${NATIVE_ARCH_FAMILIES.join(",")}；native layout 另支援 armv8,armv7`)
+        .option("--arch <families>", `架構，可用逗號分隔：${NATIVE_ARCH_FAMILIES.join(",")}（armv7 用於 native-go 與 binary，不用於 Container Manager App）；native layout 另支援 armv8`)
         .option("--min-dsm <version>", "最低 DSM 版本，省略時使用 manifest 值")
         .action(async (options, command) => {
         const root = rootOf(command);

package/dist/contract/schema-validate.js

@@ -1,3 +1,4 @@
+import { validateMetadata } from "../package-metadata.js";
 import { Ajv } from "ajv";
 import { readFileSync } from "node:fs";
 import { dirname, join } from "node:path";
@@ -33,6 +34,13 @@ export function validateContractSchema(parsed, contractFile) {
     const data = parsed.doc.toJSON();
     const valid = validate(data);
     if (valid) {
+        try {
+            if (data.metadata !== undefined)
+                validateMetadata(data.metadata);
+        }
+        catch {
+            return [makeError("CONTRACT_SCHEMA_INVALID", contractSpan(contractFile, 1, 1, "metadata"), "Invalid metadata fields.", "Check email, URL and text bounds.")];
+        }
         return [];
     }
     const errors = validate.errors ?? [];

package/dist/contract/validate.js

@@ -4,9 +4,11 @@ import { contractSpan, makeError } from "../errors.js";
 import { collectInstallParameters, getValuePosition, stringViolations, } from "./load.js";
 import { validateContractSchema } from "./schema-validate.js";
 import { DSM_GROUP_NAME, isWebAccessMode, isWebLaunchMode, readWebIntegration } from "./web-launch.js";
+import { contractPortalSupported, readPortalDeclaration } from "../portal/alias.js";
 import { loadCompose } from "../compose/analyze.js";
 import { collectPosixAllSharesParameters, isPosixAllSharesType, validatePosixAllSharesSources, } from "./posix-all-shares.js";
 import { getErrorCode } from "../error-registry.js";
+import { isDsmAtLeast, PORTAL_MIN_DSM, portalMinDsmMessage } from "../build-spk/dsm-version.js";
 import { FORMAL_PACKAGE_IDENTITY_MAX_LENGTH, PACKAGE_IDENTITY_MAX_LENGTH, } from "../deploy/identity-shared.js";
 /** DSM 7.4 Package Center rejects a longer package identity outright. */
 const DSM_PACKAGE_IDENTITY_MAX = 32;
@@ -53,6 +55,7 @@ export function validateContract(parsed, contractFile) {
     errors.push(...validatePosixAllShares(parsed, contractFile));
     errors.push(...validateWebLaunch(parsed, contractFile));
     errors.push(...validateWebAccess(parsed, contractFile));
+    errors.push(...validateWebPortal(parsed, contractFile));
     return errors;
 }
 function validatePosixAllShares(parsed, contractFile) {
@@ -119,6 +122,33 @@ function validateWebAccess(parsed, contractFile) {
     }
     return [];
 }
+function validateWebPortal(parsed, contractFile) {
+    const { contract, doc } = parsed;
+    const portal = readWebIntegration(contract)?.portal;
+    if (portal === undefined) {
+        return [];
+    }
+    const pos = getValuePosition(doc, ["integration", "web", "portal"]) ?? { line: 1, column: 1 };
+    const at = contractSpan(contractFile, pos.line, pos.column, "integration.web.portal");
+    if (!contractPortalSupported(contract)) {
+        return [
+            makeError("CONTRACT_PORTAL_UNSUPPORTED", at, "Application Portal 只支援以 DSM 視窗開啟、經 DSM 登入閘道的網頁 App。", "請使用 adminport、launch: dsm-window 與非 public 的 access，或移除 integration.web.portal。public App 已有同名的 Web Station 網址。"),
+        ];
+    }
+    if (!readPortalDeclaration(portal, String(contract.package ?? ""))) {
+        return [
+            makeError("CONTRACT_PORTAL_INVALID", at, "integration.web.portal 必須是 {} 或 { alias }，alias 為 1–64 個小寫英數字或 -，且不是 DSM 保留路徑。", "請省略 alias 以使用套件名稱，或改成例如 alias: my-app。"),
+        ];
+    }
+    const osMinVer = contract.os_min_ver;
+    if (typeof osMinVer === "string" && FULL_OS_MIN_VER.test(osMinVer) && !isDsmAtLeast(osMinVer, PORTAL_MIN_DSM)) {
+        return [
+            makeError("CONTRACT_PORTAL_MIN_DSM", at, portalMinDsmMessage(osMinVer, "integration.web.portal"), `請把 os_min_ver 改成 "${PORTAL_MIN_DSM}" 或更新，或移除 integration.web.portal。`),
+        ];
+    }
+    return [];
+}
+const FULL_OS_MIN_VER = /^7\.\d+(\.\d+)?-\d+$/;
 function validateDeveloperString(value, contractFile, path, pos) {
     const errors = [];
     const violations = stringViolations(value);

package/dist/deploy/deploy.d.ts

@@ -1,5 +1,5 @@
 import type { CommandRunner } from "../standalone/build.js";
-import type { NativeArchFamily } from "../build-spk/dsm-arch.js";
+import { type NativeArchFamily } from "../build-spk/dsm-arch.js";
 import type { ProjectRoot } from "../discovery.js";
 import type { NasHost } from "../host/types.js";
 import { resolveDeploySpkVersion } from "./spk-version.js";

package/dist/deploy/deploy.js

@@ -1,4 +1,5 @@
 import { buildSpk } from "../build-spk/generator.js";
+import { CONTAINER_ARCH_FAMILIES, isContainerArchFamily } from "../build-spk/dsm-arch.js";
 import { loadContract } from "../contract/load.js";
 import { usesAuthGateway } from "../contract/web-launch.js";
 import { findUnsupportedInstallTypes } from "../contract/unsupported-types.js";
@@ -174,6 +175,13 @@ export async function deployProject(options) {
             };
         }
     }
+    if (archFamily !== undefined && !isContainerArchFamily(archFamily)) {
+        return {
+            ok: false,
+            code: "CONTAINER_ARCH_UNSUPPORTED",
+            message: `Container Manager App 只支援 ${CONTAINER_ARCH_FAMILIES.join("、")}；DSM 不為 ${archFamily} 提供 Container Manager。`,
+        };
+    }
     const build = await buildSpk({
         project: options.project,
         packageIdentity: identity.packageId,

package/dist/deploy/plan.js

@@ -22,7 +22,7 @@ export function planDeployment(root, options = {}) {
         if (options.dev)
             throw fail("DEVELOPMENT_INSTANCE_UNSUPPORTED", "--dev is not supported for native-go/binary; choose a distinct package name at init");
         if (options.arch && !m.arches.includes(options.arch))
-            throw fail("STANDALONE_ARCH_NOT_DECLARED", `Architecture not declared: ${options.arch}`);
+            throw fail("STANDALONE_ARCH_NOT_DECLARED", `Architecture not declared: ${options.arch}; add it to dsm-package.yaml arches to deploy it`);
         return {
             root: standalone,
             kind: m.backend.kind === "go" ? "native-go" : "binary",

package/dist/deploy/spk-version.js

@@ -18,7 +18,7 @@ export function nextDeployVersion(version, installed) {
                 break;
         }
         if (order < 0)
-            throw new Error(`Refusing downgrade from ${installed} to ${version}`);
+            throw new Error(`[DEPLOY_VERSION_INVALID] Refusing downgrade from ${installed} to ${version}`);
         if (order === 0)
             build = Math.max(build, Number(previous[2] ?? 0) + 1);
     }

package/dist/error-registry.js

@@ -1,8 +1,8 @@
 export const ERROR_REGISTRY = {
     "NATIVE_LAYOUT_INVALID": {
         code: "NATIVE_LAYOUT_INVALID",
-        description: "Native layout manifest, hook, toolkit or artifact violates the package-only contract.",
-        suggestion: "Use schema 2 with backend.kind: native; check paths, ELF linkage and checksum pins."
+        description: "native layout 的 manifest、hook、toolkit 或產物違反 package-only 契約。",
+        suggestion: "使用 schema 2 與 backend.kind: native；檢查路徑、ELF 連結與 checksum pin。"
     },
     "COMPOSE_ROUTE_UNSUPPORTED": {
         "code": "COMPOSE_ROUTE_UNSUPPORTED",
@@ -59,6 +59,16 @@ export const ERROR_REGISTRY = {
         "description": "Headless App 不需要宣告 Web Launch Mode。",
         "suggestion": "請省略 integration.web.launch，或補上對應 Compose published port 的 adminport。"
     },
+    "CONTRACT_PORTAL_INVALID": {
+        "code": "CONTRACT_PORTAL_INVALID",
+        "description": "integration.web.portal 的格式或 alias 不正確。",
+        "suggestion": "請使用 {} 或 { alias: my-app }；alias 為 1–64 個小寫英數字或 -，且不是 DSM 保留路徑。"
+    },
+    "CONTRACT_PORTAL_UNSUPPORTED": {
+        "code": "CONTRACT_PORTAL_UNSUPPORTED",
+        "description": "這個 App 的網頁入口無法加入 DSM Application Portal。",
+        "suggestion": "Application Portal 需要 adminport、launch: dsm-window 與非 public 的 access；否則請移除 integration.web.portal。"
+    },
     "CONTRACT_ACCESS_INVALID": {
         "code": "CONTRACT_ACCESS_INVALID",
         "description": "integration.web.access 模式無效。",
@@ -116,13 +126,13 @@ export const ERROR_REGISTRY = {
     },
     "CONTRACT_SECRET_UNSUPPORTED": {
         "code": "CONTRACT_SECRET_UNSUPPORTED",
-        "description": "install.<NAME>.type: secret 目前沒有可用的安裝路徑。2026-08-27 於 vt-nas 實測：無論是否在 Compose 引用，Package Center 安裝都以 DSM broken／150 結束且不建立 Container Manager project（同一台 NAS 上無參數的對照套件正常安裝）。",
-        "suggestion": "請改用 type: string（非敏感值），或把敏感值改成 App 啟動後自行取得／由管理員放進 ${SYNO_APP_SECRETS_DIR} 的檔案。secret 型別要能用，需要先讓 DSM worker 的失敗原因可觀測（見 STATUS.md A22／A45）。"
+        "description": "install.<NAME>.type: secret 目前沒有可用的安裝路徑：無論是否在 Compose 引用，Package Center 安裝都以 DSM broken／150 結束，且不建立 Container Manager project。",
+        "suggestion": "請改用 type: string（非敏感值），或把敏感值改成 App 啟動後自行取得／由管理員放進 ${SYNO_APP_SECRETS_DIR} 的檔案。在 DSM worker 的失敗原因可觀測之前，secret 型別不會開放。"
     },
     "CONTRACT_HOMES_UNSUPPORTED": {
         "code": "CONTRACT_HOMES_UNSUPPORTED",
-        "description": "install.<NAME>.type: homes 目前沒有可用的安裝路徑。2026-08-27 於 vt-nas 實測：wizard 不產生輸入控制項，Package Center 安裝以 DSM broken／150 結束；CLI deploy 能解析出 /volume1/homes，但 DSM 於 compound install 回 4540 拒絕。",
-        "suggestion": "若 App 需要一個由管理員選定的資料夾，請改用 type: shared_folder。homes 型別要能用，需要補齊 wizard 控制項與 preinst materialization（見 STATUS.md A46）。"
+        "description": "install.<NAME>.type: homes 目前沒有可用的安裝路徑：安裝精靈不產生輸入控制項，Package Center 安裝以 DSM broken／150 結束；CLI deploy 能解析出 /volume1/homes，但 DSM 於 compound install 回 4540 拒絕。",
+        "suggestion": "若 App 需要一個由管理員選定的資料夾，請改用 type: shared_folder。在補齊安裝精靈控制項與 preinst 路徑解析之前，homes 型別不會開放。"
     },
     "INSTALL_PARAMETER_UNREFERENCED": {
         "code": "INSTALL_PARAMETER_UNREFERENCED",
@@ -472,7 +482,7 @@ export const ERROR_REGISTRY = {
     "STANDALONE_ARCHES_INVALID": {
         "code": "STANDALONE_ARCHES_INVALID",
         "description": "arches 不合法。",
-        "suggestion": "請列出不重複的 x86_64 或 aarch64，至少一個。"
+        "suggestion": "請列出不重複的 x86_64、aarch64 或 armv7，至少一個。"
     },
     "STANDALONE_ARCH_NOT_DECLARED": {
         "code": "STANDALONE_ARCH_NOT_DECLARED",
@@ -506,8 +516,8 @@ export const ERROR_REGISTRY = {
     },
     "STANDALONE_BINARY_NOT_ELF": {
         "code": "STANDALONE_BINARY_NOT_ELF",
-        "description": "backend 執行檔不是 64-bit little-endian Linux ELF。",
-        "suggestion": "請提供為 Linux 編譯的 x86_64 或 aarch64 執行檔。"
+        "description": "backend 執行檔不是該架構需要的 little-endian Linux ELF（x86_64、aarch64 為 64-bit，armv7 為 32-bit）。",
+        "suggestion": "請提供為 Linux 編譯的 x86_64、aarch64 或 armv7 執行檔。"
     },
     "STANDALONE_BINARY_ARCH_MISMATCH": {
         "code": "STANDALONE_BINARY_ARCH_MISMATCH",
@@ -574,6 +584,11 @@ export const ERROR_REGISTRY = {
         "description": "go build 失敗。",
         "suggestion": "請在 backend 目錄執行 go build ./... 並修正錯誤。"
     },
+    "STANDALONE_PORTAL_INVALID": {
+        "code": "STANDALONE_PORTAL_INVALID",
+        "description": "dsm-package.yaml 的 portal 格式或 alias 不正確。",
+        "suggestion": "請使用 portal: {} 或 portal: { alias: my-app }；alias 為 1–64 個小寫英數字或 -，且不是 DSM 保留路徑。"
+    },
     "STANDALONE_I18N_INVALID": {
         "code": "STANDALONE_I18N_INVALID",
         "description": "dsm-package.yaml 的 i18n 設定不合法。",
@@ -629,6 +644,8 @@ for (const [code, description, suggestion] of [
     ERROR_REGISTRY[code] = { code, description, suggestion };
 ERROR_REGISTRY["ADD_LAYOUT_UNSUPPORTED"] = { "code": "ADD_LAYOUT_UNSUPPORTED", "description": "SDK overlay 需要標準 backend 目錄。", "suggestion": "使用 backend.dir: backend，或手動合併 SDK overlay。" };
 ERROR_REGISTRY["MIN_DSM_CONTAINER_FLOOR"] = { "code": "MIN_DSM_CONTAINER_FLOOR", "description": "Compose 最低 DSM 版本過低。", "suggestion": "Compose 需要 DSM 7.2.1-69057 或以上。" };
+for (const code of ["STANDALONE_PORTAL_MIN_DSM", "CONTRACT_PORTAL_MIN_DSM"])
+    ERROR_REGISTRY[code] = { code, "description": "宣告 portal 的套件 os_min_ver 低於 DSM 7.3.2-86009。", "suggestion": "DSM 7.1.1 以 320 拒裝帶 portal 的未簽章套件、7.2 未驗證；把 os_min_ver 提高到 7.3.2-86009 以上，或移除 portal。" };
 ERROR_REGISTRY["MIN_DSM_INVALID"] = { "code": "MIN_DSM_INVALID", "description": "最低 DSM 版本格式不合法。", "suggestion": "指定 7.x release 或完整 7.x-build。" };
 ERROR_REGISTRY["NOTICE_UNSAFE"] = { "code": "NOTICE_UNSAFE", "description": "授權檔案不符合一般檔案限制。", "suggestion": "移除 symlink、特殊檔與超大授權檔案。" };
 ERROR_REGISTRY["NOTICE_MISSING"] = { "code": "NOTICE_MISSING", "description": "缺少第三方授權資訊。", "suggestion": "重新安裝模板依賴並產生 third-party notices。" };
@@ -641,10 +658,9 @@ ERROR_REGISTRY["SPK_INSPECTION_FAILED"] = { "code": "SPK_INSPECTION_FAILED", "de
 ERROR_REGISTRY["IMAGE_PIN_REQUIRED"] = { "code": "IMAGE_PIN_REQUIRED", "description": "映像 digest 尚未固定。", "suggestion": "執行 images pin。" };
 ERROR_REGISTRY["INIT_TEMPLATE_REQUIRED"] = { "code": "INIT_TEMPLATE_REQUIRED", "description": "未指定模板。", "suggestion": "使用 -t native-go、binary 或 compose。" };
 ERROR_REGISTRY["INIT_TEMPLATE_UNKNOWN"] = { "code": "INIT_TEMPLATE_UNKNOWN", "description": "未知模板。", "suggestion": "使用 -t native-go、binary 或 compose。" };
-ERROR_REGISTRY["CLI_ARCH_INVALID"] = { "code": "CLI_ARCH_INVALID", "description": "架構選項不合法。", "suggestion": "使用 x86_64 或 aarch64。" };
-ERROR_REGISTRY["NATIVE_ARCH_UNDETERMINED"] = { "code": "NATIVE_ARCH_UNDETERMINED", "description": "無法判定 NAS 架構。", "suggestion": "指定 --arch x86_64 或 aarch64。" };
+ERROR_REGISTRY["CLI_ARCH_INVALID"] = { "code": "CLI_ARCH_INVALID", "description": "架構選項不合法。", "suggestion": "使用 x86_64、aarch64 或 armv7（armv7 用於 native-go 與 binary，不用於 Container Manager App）。" };
+ERROR_REGISTRY["NATIVE_ARCH_UNDETERMINED"] = { "code": "NATIVE_ARCH_UNDETERMINED", "description": "無法判定 NAS 架構。", "suggestion": "指定 --arch x86_64、aarch64 或 armv7。" };
 ERROR_REGISTRY["DEVELOPMENT_INSTANCE_UNSUPPORTED"] = { "code": "DEVELOPMENT_INSTANCE_UNSUPPORTED", "description": "原生專案不支援 --dev。", "suggestion": "init 時指定不同 package ID。" };
-ERROR_REGISTRY["INIT_TEMPLATE_INVALID"] = { "code": "INIT_TEMPLATE_INVALID", "description": "未知模板。", "suggestion": "使用 -t native-go、binary 或 compose。" };
 ERROR_REGISTRY["INIT_OPTIONS_UNSUPPORTED"] = { "code": "INIT_OPTIONS_UNSUPPORTED", "description": "選項不適用於這個模板。", "suggestion": "--from 僅 compose；--ui 僅 native-go。" };
 ERROR_REGISTRY["INIT_TARGET_NOT_EMPTY"] = { "code": "INIT_TARGET_NOT_EMPTY", "description": "init 目錄已有衝突檔案。", "suggestion": "使用空目錄；既有專案新增能力使用 add。" };
 ERROR_REGISTRY["INIT_COMPOSE_INVALID"] = { "code": "INIT_COMPOSE_INVALID", "description": "匯入的 Compose 不合法。", "suggestion": "--from 指向有 services 的 YAML 檔案。" };
@@ -662,10 +678,22 @@ ERROR_REGISTRY["CLI_OPTION_ARGUMENT_MISSING"] = { "code": "CLI_OPTION_ARGUMENT_M
 ERROR_REGISTRY["CLI_COMMAND_UNKNOWN"] = { "code": "CLI_COMMAND_UNKNOWN", "description": "未知指令。", "suggestion": "使用 synopkgland --help 查看指令。" };
 ERROR_REGISTRY["COMMAND_FAILED"] = { "code": "COMMAND_FAILED", "description": "指令執行失敗。", "suggestion": "查看 message 與 stderr，修正問題後重試。" };
 ERROR_REGISTRY["DEPLOY_PLAN_INVALID"] = { "code": "DEPLOY_PLAN_INVALID", "description": "部署計畫與 runtime 不符。", "suggestion": "重新 check 並產生部署計畫。" };
-ERROR_REGISTRY["DEPLOY_ARCH_UNDETERMINED"] = { "code": "DEPLOY_ARCH_UNDETERMINED", "description": "無法判定 NAS 架構。", "suggestion": "使用 --arch x86_64 或 aarch64。" };
+ERROR_REGISTRY["DEPLOY_ARCH_UNDETERMINED"] = { "code": "DEPLOY_ARCH_UNDETERMINED", "description": "無法判定 NAS 架構。", "suggestion": "使用 --arch x86_64、aarch64 或 armv7。" };
+ERROR_REGISTRY["CONTAINER_ARCH_UNSUPPORTED"] = { "code": "CONTAINER_ARCH_UNSUPPORTED", "description": "Container Manager App 只支援 x86_64 與 aarch64；DSM 不為 armv7 提供 Container Manager。", "suggestion": "改用 --arch x86_64 或 aarch64，或改用 native-go 模板。" };
 ERROR_REGISTRY["DEPLOY_BUILD_OUTPUT_INVALID"] = { "code": "DEPLOY_BUILD_OUTPUT_INVALID", "description": "部署建置輸出數量不符。", "suggestion": "指定單一架構並重新 build。" };
 export function getErrorCode(code) {
     return ERROR_REGISTRY[code];
 }
-for (const code of ["EXECUTOR_BUILD_FAILED", "EXECUTOR_PIN_REQUIRED", "EXECUTOR_POLICY", "EXECUTOR_PACKAGE", "EXECUTOR_DIGEST", "EXECUTOR_TASK_PERCENT", "EXECUTOR_TASK_LENGTH"])
-    ERROR_REGISTRY[code] = { code, description: "Executor build or pinned task definition is invalid.", suggestion: "Check manifest capabilities and executor compiler output; rebuild before administrator approval." };
+for (const [code, description, suggestion] of [
+    ["EXECUTOR_BUILD_FAILED", "executor 或 lifecycle helper 編譯失敗，或 CLI 套件缺少 executor 原始碼。", "確認已安裝 Go，查看訊息中的編譯器輸出；原始碼缺少時重新安裝 CLI。"],
+    ["EXECUTOR_PIN_REQUIRED", "宣告 rootOps 或 delegate 的套件建置時沒有 executor 產物。", "使用 synopkgland build，讓 CLI 編譯並 pin executor；不要直接呼叫低階 SPK API。"],
+    ["EXECUTOR_POLICY", "capabilities.delegate 的 operations 或 scope 不合法，無法產生 executor policy。", "改用 init／add 產生的 delegate 宣告，或依 manifest 參考修正 scope 與 operations。"],
+    ["EXECUTOR_PACKAGE", "pin 進 root task 的套件名稱不合法。", "package 必須以英文字母開頭，只含英數字（2–64 字）。"],
+    ["EXECUTOR_DIGEST", "executor 或 policy 的 sha256 pin 格式不合法。", "重新 build，讓 CLI 重新計算 pin；不要手改 SPK 內的 pin。"],
+    ["EXECUTOR_TASK_PERCENT", "root task 腳本含有 %，DSM 工作排程器無法保存。", "從 root/ 腳本移除 % 字元（例如 date 格式改用其他寫法）。"],
+    ["EXECUTOR_TASK_LENGTH", "root task 腳本超過 DSM 工作排程器的長度上限。", "縮短 root/ 腳本，把邏輯移到套件內的檔案再由腳本呼叫。"],
+])
+    ERROR_REGISTRY[code] = { code, description, suggestion };
+ERROR_REGISTRY["STANDALONE_ENTRY_INVALID"] = { "code": "STANDALONE_ENTRY_INVALID", "description": "entry 設定不合法。", "suggestion": "entry 填 admin-only 或 app-privilege；app-privilege 需要至少一個 authenticated route。" };
+ERROR_REGISTRY["STANDALONE_ENTRY_WIDENED"] = { "code": "STANDALONE_ENTRY_WIDENED", "description": "entry: admin-only 與放寬權限的 route 設定衝突。", "suggestion": "把 permissions.json 中 authenticated 或 public 的 route 改為 administrators；要開放給一般使用者請改用 entry: app-privilege 或省略 entry。" };
+ERROR_REGISTRY["STANDALONE_ENTRY_UNSUPPORTED"] = { "code": "STANDALONE_ENTRY_UNSUPPORTED", "description": "backend 無法強制 entry 模式。", "suggestion": "使用 Go backend，複製 SDK 的 internal/dsm entry gate 並在 cmd/app/main.go 呼叫 dsm.NewEntryGate。" };