@tbox.cn/app-template-agent 0.8.0 → 0.9.0

package/AGENTS.md

@@ -17,7 +17,7 @@ template-agent 是多包 pnpm workspace：`apps/` 薄组装端 + `packages/` 模
 |---|---|
 | `apps/server` | Express + WS 装配入口，HTTP 路由，TTS 代理；业务工具/卡片由模块自注册（自注册闭环） |
 | `apps/client` | React/Vite 装配入口，业务页面/组件/adapters/bridge（家页 MallHome 由 mall-home 模块经 home 槽供给） |
-| `packages/` | 模块目录（空装配起点：`tbox-app module add` 生成 `@app/<id>` 成员；根 workspace 内平台真源在根 `packages/`） |
+| `packages/` | 模块目录（空装配起点：`tbox-app new module <name>` 或 `module add` 生成 `@app/<id>` 成员；根 workspace 内平台真源在根 `packages/`） |
 
 > **画像供能（017 家族）**：mall 形态 = profiles/mall.json 声明的模块序列（mall-core 域装配 + mall-home 家页 + 六业务模块）
 > + profiles/mall/config 叠加；公共能力（协议/机制/配置链）沉淀 SDK/CLI——新增通用能力先落 SDK/kit 再被模板/模块消费。
@@ -82,7 +82,7 @@ pnpm plugin:doctor
 pnpm plugin:inspect <pluginId> <toolId>
 ```
 
-starter 文档：`tbox-app starter --type agent-mall`；可用类型：`tbox-app starter --list`。在沙箱中使用 `tbox-app create . --name <app-name> --source @tbox.cn/app-template-agent --profile mall` 原地初始化（缺省不带 --profile = 空装配 chat 形态），应用模板的 `AGENTS.md` 会覆盖 starter seed。模块安装/装配由 `tbox-app` CLI（`@tbox.cn/app-cli`）管理：`module add --mode local|codegen|sdk --source <路径|tgz|registry包> / remove / list / sync / diff / doctor / update / publish`。add/remove/sync 后需 `pnpm install`。未安装 CLI 时：`pnpm add -g @tbox.cn/app-cli`（registry 安装）。
+starter 文档：`tbox-app starter --type agent-mall`；可用类型：`tbox-app starter --list`。在沙箱中使用 `tbox-app create . --name <app-name> --source @tbox.cn/app-template-agent --profile mall` 原地初始化（缺省不带 --profile = 空装配 chat 形态），应用模板的 `AGENTS.md` 会覆盖 starter seed。模块安装/装配由 `tbox-app` CLI（`@tbox.cn/app-cli`）管理：`new <module|provider|theme> <name>`（应用内脚手架）/ `module add --mode local|codegen|sdk --source <路径|tgz|registry包> / remove / list / sync / diff / doctor / update / publish`。add/remove/sync 后需 `pnpm install`。未安装 CLI 时：`pnpm add -g @tbox.cn/app-cli`（registry 安装）。
 
 ## 平台基础设施
 

package/ENV.md

@@ -6,9 +6,9 @@
 
 - **本地开发**:shell export 注入(每次新终端需重新执行;见文末命令块)。生成应用请直接 shell export 或平台配置。
 - **生产**:建议在 tbox 平台页面上配置环境变量(平台托管 env,密钥不进代码仓库、不进 git)。
-  生产部署必须 `NODE_ENV=production`(dev-login 强制关闭 + JWT 密钥链 fail-fast 的依据)。
+  生产部署必须 `NODE_ENV=production`(JWT 密钥链 fail-fast + real hardening 的依据)。
   入口分离后 dist 恒静态供给(vite dev 仅存在于源码 `src/dev.ts` 本地开发入口);`NODE_ENV` 不再决定
-  客户端供给形态——测试环境可用 `node dist/index.js`(不设 NODE_ENV)获得「静态产物 + dev-login」。
+  客户端供给形态——测试环境可用 `node dist/index.js`(不设 NODE_ENV)获得「静态产物 + 开发档登录语义」。
 - 以下变量缺失时服务可启动,但对话/会话/上传链路会 503。
 
 ## 默认商圈（integrations v4）
@@ -115,13 +115,12 @@ dev/src 与 prod/dist bundle 形态恒等）：
 | `TBOX_LLM_CONN_BIND` | per-session 连接绑定旋钮(缺省 on;`=off` 关闭——LLM fetch 回退全局连接池。连接=网关缓存池路由单位:per-session 单连接(120s keep-alive)钉死集群分配,保活跨 run 提升前缀缓存命中;排障时可关) |
 | `TBOX_LLM_COOKIE_AFFINITY` | 网关 cookie 亲和旋钮(缺省 on;`=off` 关闭——不回传网关 set-cookie。回传激活 LB 粘性:连接重建后恢复原集群的通道;best-effort) |
 
-## 统一鉴权(006)
+## 统一鉴权
 
 | 变量 | 说明 |
 |---|---|
 | `AUTH_TOKEN_SECRET` | 自有 JWT 密钥(≥32 字节随机串),生产由平台注入。006 鉴权与 011 模块动作授权(action-grant)共用统一密钥链:未配置回退 `TBOX_API_KEY`(须 ≥32 字节)→ dev 临时随机;prod 整链空则 fail-fast(拒绝启动)。011 另有 `ACTION_TOKEN_SECRET` 覆盖档。本地一般无需设置 |
 | `AUTH_MODE` | `required`(默认,缺失 token 一律 401)/ `optional`(缺失 token → 匿名,写通道仍拒绝) |
-| `AUTH_DEV_LOGIN_DISABLED` | 非生产环境需关闭 dev-login 时设 `true`(dev-login 非 production 默认开启,生产强制关闭) |
 | `AUTH_TOKEN_TTL_MS` | token 有效期(毫秒,默认 2h) |
 | `AUTH_TOKEN_ISSUER` | token issuer(默认 `agent`；如需 mall 独立身份可显式设 `agent-mall`) |
 | `AUTH_EMBED_EXTERNAL_TOKEN` | 是否把外部原始 token 内嵌进自有 JWT(external claim,默认 `true`;`false` 则上游调用需另取) |
@@ -144,7 +143,7 @@ dev/src 与 prod/dist bundle 形态恒等）：
   (上游 Token 寿命未知;自有 JWT 过期即重登换新)。
 - ⚠️ 与 `VITE_AUTH_PROVIDER=external` **互斥**:设 external 走 `AUTH_EXTERNAL_*` HMAC 转发旁路,
   换码器被 platform 路由绕过,两者勿同时启用。
-- 裸跑(无登录槽配置):无换码器注册 → 内置 alipay(未配 → 503)或 dev-login,匿名降级属预期行为。
+- 裸跑(无登录槽配置):无换码器注册 → 内置 alipay(未配 → 503)或 browser 轴 guest(内置换码器 allowsGuestLogin),匿名降级属预期行为。
 - 跨 mall 切换(URL `mallId` 变更)由 SDK `scopeKey` 守卫自动清 token 重登,无需手工登出。
 
 ## 客户端(Vite 注入)

package/README.md

@@ -35,9 +35,9 @@ tbox-app module doctor               # 26 条结构校验
 > 依赖链说明（007）：`@tbox.cn/app-sdk` 新增 dependencies `@tbox-dev-js/sdk`（平台能力客户端）、`@ai-sdk/openai-compatible`（LLM）——
 > 生成应用 install 时由 pnpm 自动解析（`@tbox-dev-js/sdk` 已发布 npm；内网/离线环境需 registry 镜像或 store 缓存兜底）。
 
-> 🔐 鉴权（006）：非 production 默认开启 dev-login（浏览器 H5 测试登录，开箱即用）；
-> 生产部署必须 `NODE_ENV=production`（dev-login 强制关闭）。非生产环境如需关闭设
-> `AUTH_DEV_LOGIN_DISABLED=true`。
+> 🔐 鉴权（统一登录）：登录面 = `POST /api/auth/login`（`method:'code'|'browser'` 判别）；
+> 浏览器档位（guest/mock/off/auto）经换码器 `browserLoginMode` 能力口治理（登录槽 config，
+> 支持 `${VAR:-default}` 展开经 env 分档）；生产部署必须 `NODE_ENV=production`。
 
 ## 工程结构
 
@@ -175,7 +175,7 @@ definePreTool(findStoreTool, {
 | `getToolRequestContext` / `requireToolRequestContext` | `@tbox.cn/app-sdk/server` | 工具 execute 第二参读取运行上下文（fail-soft / 缺失抛 AUTH_FORBIDDEN；上下文统一化） |
 | `createToolExecContext(reqCtx)` | `@tbox.cn/app-sdk/server` | 测试/直调助手：构造工具 execute 第二参（散键与引擎同构） |
 | `createPlatformAdapters(session, overrides)` | `@tbox.cn/app-sdk/client` | 自定义 ASR/TTS/upload/feedback 实现（contracts 接口，UI 零改动） |
-| `createAuthClient({ loginPlatform, devUser })` | `@tbox.cn/app-sdk/client` | 客户端登录配置（`main.tsx`/`platform/agent-runtime.ts`）；**应用级单例**——重复调用幂等返回首建实例，首建选项生效 |
+| `createAuthClient({ loginPlatform, scopeKey })` | `@tbox.cn/app-sdk/client` | 客户端登录配置（`main.tsx`/`platform/agent-runtime.ts`）；**应用级单例**——重复调用幂等返回首建实例，首建选项生效 |
 | `configureRuntime({ apiBaseUrl })` | `@tbox.cn/app-sdk/client` | API/WS 地址注入（`main.tsx`；对应 `VITE_API_URL`） |
 | bridge 透传 | `@tbox.cn/app-sdk/client` 的 `callJsapi` | 业务新能力（扫码/导航/分享等，壳子补 JSAPI 白名单） |
 

package/apps/client/index.html

@@ -26,8 +26,8 @@
         window.addEventListener('orientationchange', setRootFontSize);
       })();
     </script>
-    <!-- 品牌标题真源 = 主题包 brand.js（出厂 theme-tbox 同值兜底；换主题随 brand.js 覆盖，此处不做品牌配置锚） -->
-    <title>商圈搭子</title>
+    <!-- 出厂标题 = 此处静态值（theme-tbox brand.js 出厂不覆写标题）；租户主题经其 brand.js 运行时覆写 document.title -->
+    <title>AI 助手</title>
     <!-- 平台微调(inspector) runtime：由 server 提供 GET /__vs_inspector__.js；dev 下经 Vite 代理到 server。-->
     <script src="/__vs_inspector__.js" defer></script>
   </head>

package/apps/client/src/platform/AgentChatApp.tsx

@@ -17,15 +17,16 @@ export default function AgentChatApp() {
   useEffect(() => {
     authClient
       .ensureAuth()
-      .then((auth) => platformApi.getTboxSession(auth.identity.userId))
+      // 会话 β 收口：身份恒取 token（服务端 401/403），userId 不再上行
+      .then(() => platformApi.getTboxSession())
       .then(setSession)
       .catch((err) => appLogger.error('tbox session init failed:', err));
   }, []);
 
   const refreshSession = useCallback(async (): Promise<AdapterContextValue> => {
     platformApi.clearTboxSession();
-    const auth = await authClient.refreshAuth();
-    const data = await platformApi.getTboxSession(auth.identity.userId, true);
+    await authClient.refreshAuth();
+    const data = await platformApi.getTboxSession(true);
     setSession(data);
     return { tts, ...createPlatformAdapters(data, { tts }), refreshSession };
   }, [tts]);

package/apps/server/package.json

@@ -16,13 +16,11 @@
     "@tbox.cn/app-contracts": "catalog:",
     "@app/contracts-mall": "workspace:*",
     "@tbox-dev-js/sdk": "catalog:",
-    "cors": "catalog:",
     "express": "catalog:",
     "zod": "catalog:",
     "@app/provider-custom": "workspace:*"
   },
   "devDependencies": {
-    "@types/cors": "catalog:",
     "@types/express": "catalog:",
     "@types/node": "catalog:",
     "tsx": "catalog:",

package/apps/server/src/app.ts

@@ -4,7 +4,6 @@
  * import 本模块即完成装配（与旧单文件入口时序等价：listen 仍在 start() 内最后发生）。
  */
 import express from 'express';
-import cors from 'cors';
 import { createServer, type IncomingMessage } from 'http';
 import type { Duplex } from 'node:stream';
 import path from 'path';
@@ -136,7 +135,7 @@ function mallAssembly(): MallScopeAssembly | undefined {
 }
 
 // 上下文统一化 Stage 2：validateContext 域校验注入（HTTP body.context 伪冒防线：
-// mallId 形状校验（v4 恒动态）→ 403；只在全局面生效——login/dev-login 走 login-routes 独立归一化）。
+// mallId 形状校验（v4 恒动态）→ 403；只在全局面生效——login 走 login-routes 独立归一化）。
 // 与 WS validateScope 同核（isValidMallShape）；无装配 → true（非 mall 部署放行）。
 const auth = createAuthRuntime(undefined, {
   validateContext: (attributes) => mallAssembly()?.validateScope(attributes) ?? true,
@@ -207,16 +206,46 @@ process.on('uncaughtException', (err) => {
 });
 
 export const app = express();
-app.use(cors());
+
+// ===== CORS allowlist（统一登录改造 T20：全开 cors() 退役） =====
+// 双轴分离：iframe 嵌入走 CSP frame-ancestors（下方中间件），跨源 fetch 走本 allowlist。
+// 三元组与 frame-ancestors 对齐（用户裁决 2026-09-13）；credentials 恒 false（token 走
+// Authorization 头，不依赖 cookie——跨源带凭据面直接关死）。
+// 生成应用可编辑此常量（长尾 origin 逃生通道）——刻意不加 env（决策权归部署面代码）。
+const CORS_ALLOWED_ORIGINS = ['https://tbox.cn', 'https://*.tbox.cn', 'http://localhost:3000'];
+function originAllowed(origin: string): boolean {
+  return CORS_ALLOWED_ORIGINS.some((pattern) =>
+    pattern.includes('*')
+      ? origin.endsWith(pattern.slice(pattern.indexOf('*') + 1))
+      : origin === pattern,
+  );
+}
+app.use((req, res, next) => {
+  const origin = req.headers.origin;
+  if (typeof origin === 'string' && originAllowed(origin)) {
+    res.setHeader('Access-Control-Allow-Origin', origin);
+    res.setHeader('Vary', 'Origin');
+  }
+  res.setHeader('Access-Control-Allow-Methods', 'GET,POST,DELETE,OPTIONS');
+  res.setHeader('Access-Control-Allow-Headers', 'Authorization,Content-Type,X-Request-ID');
+  res.setHeader('Access-Control-Allow-Credentials', 'false');
+  if (req.method === 'OPTIONS') {
+    res.sendStatus(204);
+    return;
+  }
+  next();
+});
+
 app.use(express.json());
 
 // 🔒 平台基础设施 — 禁止 AI 删除或修改（@infrastructure-locked）
 installInspector(app);
 
-// 非 prod 默认开启 dev-login：对暴露公网的实例给出可见警示（生产必须 NODE_ENV=production）
-if (auth.config.devLoginEnabled) {
+// 浏览器登录形态提示：非 prod 裸跑（无 mall 控制面）默认开放 guest 登录（内置换码器
+// allowsGuestLogin 声明）；公网实例应以 NODE_ENV=production + 换码器档位收敛（browserLoginMode: off）
+if (!isProduction) {
   authLogger.warn(
-    'dev-login 已开启（非 production 默认）。若本实例暴露公网，请设 NODE_ENV=production 或 AUTH_DEV_LOGIN_DISABLED=true。',
+    '浏览器登录（browser 轴）按换码器档位开放：裸跑/demo 默认 guest。若本实例暴露公网，请设 NODE_ENV=production 并在登录槽 config 收敛 browserLoginMode。',
   );
 }
 
@@ -237,7 +266,7 @@ const ctx = createServerContext({
 // 自动装配（W1-④：raw 派生 modules 资源节 + 源目录台账锚；无条件注册、与控制面正交，
 // 防无控制面启动静默丢失）。模板显式注册已拆（W3-1：装配默认兜底覆盖同语义）。
 
-// 全局 /api 鉴权（H2 挂载顺序契约）：除 public（login/dev-login/health）外一律要求 Bearer token；
+// 全局 /api 鉴权（H2 挂载顺序契约）：除 public（login/health）外一律要求 Bearer token；
 // optional 模式缺失 token → 匿名身份（写通道仍被 action gateway 拒绝）
 // ⚠️ 必须先于 /api/m、/api/action、createPlatformApiRouter 挂载，保证全 API 面受鉴权约束
 app.use('/api', auth.middleware);
@@ -396,9 +425,9 @@ export async function start() {
   // 默认商圈兜底/卡片动作授权/enhanceContext 全断——见 Agent Note 2026-09-17-mall-assembly-resolution-order）
   const assembly = mallAssembly();
 
-  // 011 S6：mall 装配 + 生产环境缺动作授权密钥 → 启动期提示（签发路径运行时兜底报错）
+  // 011 S6：mall 装配 + 生产环境缺动作授权密钥 → 启动期提示（≥32B TBOX_API_KEY 在场回退 apiKey 档；整链空装配期 fail-fast）
   if (assembly && isProduction && !process.env.ACTION_TOKEN_SECRET && !process.env.AUTH_TOKEN_SECRET) {
-    actionLogger.warn('生产环境未配置 ACTION_TOKEN_SECRET/AUTH_TOKEN_SECRET——卡片动作授权装配将 fail-fast 拒绝启动');
+    actionLogger.warn('生产环境未配置 ACTION_TOKEN_SECRET/AUTH_TOKEN_SECRET——TBOX_API_KEY(≥32B) 缺席时装配将 fail-fast 拒绝启动；在场则回退 apiKey 档（平台运维可伪 action token）');
   }
 
   // 011 F2/E2：mall 装配（条件）——scope 会话 + 动作授权先行（engine attacher 依赖）
@@ -456,6 +485,19 @@ export async function start() {
   const defaultContext = assembly?.defaultMallContext();
   const chatWss = createWsServer(engine, {
     auth: auth.wsAuth,
+    // 会话 β：会话建立服务（懒代理——TBOX_API_KEY 缺席时 NEW/RESUME 失败 notice，RUN 恒严格拒绝）
+    conversationService: {
+      createConversation: (agentId, userId) => {
+        const service = getConversationService();
+        if (!service) return Promise.reject(new Error('TBOX_API_KEY not configured'));
+        return service.createConversation(agentId, userId);
+      },
+      getOrCreateConversation: (agentId, userId) => {
+        const service = getConversationService();
+        if (!service) return Promise.reject(new Error('TBOX_API_KEY not configured'));
+        return service.getOrCreateConversation(agentId, userId);
+      },
+    },
     ...(scopeSessions
       ? {
           scopeSessions,
@@ -487,7 +529,7 @@ export async function start() {
     process.exit(1);
   });
 
-  httpServer.on('upgrade', (request, socket, head) => {
+  httpServer.on('upgrade', async (request, socket, head) => {
     socket.on('error', (e) => upgradeLogger.warn('socket error:', e.message));
     if (upgradeDelegate?.(request, socket, head)) return;
     const { pathname } = new URL(request.url || '/', 'http://localhost');
@@ -497,8 +539,27 @@ export async function start() {
         chatWss.emit('connection', ws, request);
       });
     } else if (pathname === '/ws/tts') {
-      // 通道门与 UI 同值同源（chat.json enableTTS 单源）：关态硬拒 upgrade，
-      // 防服务端开着 TTS 代理但 UI 已隐藏按钮的僵尸路径；destroy 于 handleUpgrade 之前
+      // 双层门 1（S5 修复，pre-101 鉴权）：token 校验先行——TTS 代理原为全开放面。
+      // 双形态载体（IP-2）：Node 客户端 = Authorization Bearer；浏览器 WebSocket 无法
+      // 自定义 header = ?token= query。无效/缺失 token 于 upgrade 前 destroy
+      // （对齐 Terminal channel 先例）。
+      const headerToken = (request.headers.authorization ?? '').replace(/^Bearer\s+/i, '');
+      const queryToken = new URL(request.url || '/', 'http://localhost').searchParams.get('token') ?? '';
+      const ttsToken = headerToken || queryToken;
+      if (!ttsToken) {
+        upgradeLogger.warn('TTS upgrade rejected: missing token');
+        socket.destroy();
+        return;
+      }
+      try {
+        await auth.tokenService.verify(ttsToken);
+      } catch {
+        upgradeLogger.warn('TTS upgrade rejected: invalid token');
+        socket.destroy();
+        return;
+      }
+      // 双层门 2（通道门与 UI 同值同源）：chat.json enableTTS 单源——关态硬拒 upgrade，
+      // 防服务端开着 TTS 代理但 UI 已隐藏按钮的僵尸路径
       if (!loadedChatConfig.enableTTS) {
         upgradeLogger.warn('TTS disabled (chat.json enableTTS:false) — /ws/tts upgrade rejected');
         socket.destroy();

package/apps/server/tests/agent-prompt.test.ts

@@ -11,14 +11,14 @@ const __dirname = path.dirname(fileURLToPath(import.meta.url));
  * W4 单一模板统一化双段语义：
  * - 缺省出厂 = 空装配（config/ 无 agent.jsonc）→ loader 走 SDK 默认兜底单行（chat 形态零域广告）；
  * - mall 画像 = profiles/mall/config/agent.jsonc（--profile mall 经 --config-dir 通道注入）——
- *   四章节/禁工具名/承接句/中立锚断言锚定画像资产文件（create 展开/verify-cli --mall 完整档消费）。
+ *   四章节/禁工具名/承接句/中立锚断言锚定画像资产文件（create 展开/stage mall 完整档消费）。
  *
  * 部署态让位（2026-09-10）：--config-dir 注入真实厂商档（integrations.json root provider 为
  * 真实厂商名而非 mock）时 agent.jsonc 为部署方品牌人设——中立锚仅守卫出厂/mock 态（mock 档
- * 不注入 agent.jsonc，保持出厂中立）。verify-cli --real-env 真实厂商档完整链依赖此让位。
+ * 不注入 agent.jsonc，保持出厂中立）。stage 真实厂商档完整链依赖此让位。
  *
  * 装配态感知（2026-09-17 评审修复）：第一段的 config/ 状态在生成应用是装配变量——mall 完整档
- * 素材注入、support 自含 config（出厂在场）均使 agent.jsonc 在场，恒常量断言失配（verify-cli
+ * 素材注入、support 自含 config（出厂在场）均使 agent.jsonc 在场，恒常量断言失配（stage
  * 完整档 94/95 缺口）。用例改为形态感知：缺席 → 兜底断言（出厂守卫保持）；在场 → 读文件断言。
  */
 describe('agent.jsonc（兜底语义：空装配 → SDK 默认单行；装配态注入 → 读文件）', () => {

package/apps/server/tests/tool-runtime.test.ts

@@ -18,7 +18,7 @@ describe('tool runtime 宿主装配（自注册闭环）', () => {
       loadPlugins: async () => ({ tools: {}, references: [] }),
     });
 
-    // mall 模板空装配：模块工具（如 weather 系）不存在，仅 app 级工具
+    // 缺省空装配：模块工具不存在，仅 app 级工具
     expect(Object.keys(runtime.tools)).not.toEqual(
       expect.arrayContaining(['getWeather']),
     );

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tbox.cn/app-template-agent",
-  "version": "0.8.0",
+  "version": "0.9.0",
   "description": "tbox AI Agent 全栈模板（多包 pnpm workspace）：apps/client + apps/server。唯一模板（W4 单一模板统一化：缺省空装配 chat 形态；mall 能力经 profiles/mall 加装），能力经 tbox-app module add 模块扩展（shopping-guide/member 等）。",
   "engines": {
     "node": ">=24.0.0 <25.0.0"
@@ -32,7 +32,7 @@
     "LICENSE"
   ],
   "devDependencies": {
-    "@tbox.cn/app-sdk": "0.19.0",
+    "@tbox.cn/app-sdk": "0.20.0",
     "eslint": "9.39.5",
     "typescript-eslint": "8.67.0",
     "eslint-plugin-react-hooks": "5.2.0",

package/packages/agent-ui-kit/src/components/ActionBar/index.tsx

@@ -58,7 +58,6 @@ export function ActionBar({ message }: { message: ChatMessage }) {
   const refreshSession = useRefreshSession();
   const tts = useTTSAdapter();
   const enableTTS = useChatConfigStore((s) => s.enableTTS);
-  const conversationId = useChatStore((s) => s.conversationId);
   const submitFeedback = useChatStore((s) => s.submitFeedback);
 
   const [ttsState, setTtsState] = useState<'idle' | 'loading' | 'playing' | 'paused'>('idle');
@@ -151,7 +150,6 @@ export function ActionBar({ message }: { message: ChatMessage }) {
 
       <DebugButton
         requestId={message.requestId}
-        conversationId={conversationId ?? undefined}
         messageId={message.id}
         messageCreatedAt={new Date(message.createdAt).getTime()}
       />

package/packages/agent-ui-kit/src/components/MessageBubble/index.tsx

@@ -20,7 +20,6 @@ const TBOX_FILE_URL = 'https://mdn.alipayobjects.com/tcmarket/afts/file/';
 /** 消息气泡（对齐原模板）：meta + 思考/工具/卡片 + 气泡 + 媒体 + 操作栏。 */
 export function MessageBubble({ message }: { message: ChatMessage }) {
   const cardsByMessageId = useChatStore((s) => s.cardsByMessageId);
-  const conversationId = useChatStore((s) => s.conversationId);
   // 018 tool-debug：服务端旗标单源（HELLO_ACK；无 URL 逃逸——数据面信任锚点在服务端）
   const toolDebug = useChatStore((s) => s.helloAck?.toolDebug === true);
   const isUser = message.role === 'user';
@@ -164,7 +163,6 @@ export function MessageBubble({ message }: { message: ChatMessage }) {
               {message.requestId && (
                 <DebugButton
                   requestId={message.requestId}
-                  conversationId={conversationId ?? undefined}
                   messageId={message.id}
                   messageCreatedAt={new Date(message.createdAt).getTime()}
                 />

package/packages/agent-ui-kit/src/utils/tool-call-display.test.ts

@@ -10,7 +10,7 @@ import {
 
 const normal = (over: Partial<ToolCallInfo> = {}): ToolCallInfo => ({
   id: 't1',
-  name: 'getWeather',
+  name: 'queryPoints',
   status: 'done',
   result: JSON.stringify({ temp: 22 }),
   ...over,
@@ -18,7 +18,7 @@ const normal = (over: Partial<ToolCallInfo> = {}): ToolCallInfo => ({
 
 describe('describeToolCall（010 下沉 S5：展示语义三分支）', () => {
   it('skill：label 取 skillName，无详情', () => {
-    const { args } = buildSkillToolCallPayload({ name: 'weather-guide', description: '天气' });
+    const { args } = buildSkillToolCallPayload({ name: 'demo-guide', description: '演示' });
     const d = describeToolCall({
       id: 's1',
       name: '__tbox_skill',
@@ -26,17 +26,17 @@ describe('describeToolCall（010 下沉 S5：展示语义三分支）', () => {
       result: '{}',
       status: 'done',
     });
-    expect(d).toEqual({ kind: 'skill', label: 'weather-guide', hasDetail: false });
+    expect(d).toEqual({ kind: 'skill', label: 'demo-guide', hasDetail: false });
   });
 
   it('preTool done：label 取 description、详情 = 结果文本', () => {
     const args = buildPreToolArgsPayload({
-      toolName: 'getWeather',
-      description: '天气查询',
-      toolArgs: { city: '杭州' },
+      toolName: 'queryPoints',
+      description: '积分查询',
+      toolArgs: { accountId: 'M0001' },
     });
     const result = buildPreToolResultPayload({
-      toolName: 'getWeather',
+      toolName: 'queryPoints',
       status: 'done',
       result: { temp: 22 },
     });
@@ -49,7 +49,7 @@ describe('describeToolCall（010 下沉 S5：展示语义三分支）', () => {
     });
     expect(d.kind).toBe('preTool');
     if (d.kind === 'preTool') {
-      expect(d.label).toBe('天气查询');
+      expect(d.label).toBe('积分查询');
       expect(d.status).toBe('done');
       expect(d.hasDetail).toBe(true);
       expect(d.resultText).toContain('"temp": 22');
@@ -57,7 +57,7 @@ describe('describeToolCall（010 下沉 S5：展示语义三分支）', () => {
   });
 
   it('preTool calling：label 可用（ARGS 先行）、无详情', () => {
-    const args = buildPreToolArgsPayload({ toolName: 'getWeather', description: '天气查询' });
+    const args = buildPreToolArgsPayload({ toolName: 'queryPoints', description: '积分查询' });
     const d = describeToolCall({
       id: 'p2',
       name: '__tbox_pretool',
@@ -68,14 +68,14 @@ describe('describeToolCall（010 下沉 S5：展示语义三分支）', () => {
     if (d.kind === 'preTool') {
       expect(d.status).toBe('calling');
       expect(d.hasDetail).toBe(false);
-      expect(d.label).toBe('天气查询');
+      expect(d.label).toBe('积分查询');
     }
   });
 
   it('preTool error：经 result payload status 判定（ToolCallInfo.status 恒 done，R 语义）', () => {
-    const args = buildPreToolArgsPayload({ toolName: 'getWeather', description: '天气查询' });
+    const args = buildPreToolArgsPayload({ toolName: 'queryPoints', description: '积分查询' });
     const result = buildPreToolResultPayload({
-      toolName: 'getWeather',
+      toolName: 'queryPoints',
       status: 'error',
       error: '超时',
     });
@@ -111,12 +111,12 @@ describe('describeToolCall（010 下沉 S5：展示语义三分支）', () => {
   it('normal：label = 工具名，详情 = 有 result/error', () => {
     expect(describeToolCall(normal())).toEqual({
       kind: 'normal',
-      label: 'getWeather',
+      label: 'queryPoints',
       hasDetail: true,
     });
     expect(describeToolCall(normal({ status: 'calling', result: undefined }))).toEqual({
       kind: 'normal',
-      label: 'getWeather',
+      label: 'queryPoints',
       hasDetail: false,
     });
   });

package/pnpm-lock.template.yaml

@@ -16,20 +16,17 @@ catalogs:
       specifier: 0.1.0
       version: 0.1.0
     '@tbox.cn/app-contracts':
-      specifier: 0.10.0
-      version: 0.10.0
+      specifier: 0.11.0
+      version: 0.11.0
     '@tbox.cn/app-contracts-mall':
-      specifier: 0.10.0
-      version: 0.10.0
+      specifier: 0.11.0
+      version: 0.11.0
     '@tbox.cn/app-sdk':
-      specifier: 0.19.0
-      version: 0.19.0
+      specifier: 0.20.0
+      version: 0.20.0
     '@tbox.cn/app-theme-tbox':
-      specifier: 0.1.0
-      version: 0.1.0
-    '@types/cors':
-      specifier: 2.8.19
-      version: 2.8.19
+      specifier: 0.1.1
+      version: 0.1.1
     '@types/express':
       specifier: 4.17.25
       version: 4.17.25
@@ -48,9 +45,6 @@ catalogs:
     antd-mobile:
       specifier: 5.42.3
       version: 5.42.3
-    cors:
-      specifier: 2.8.6
-      version: 2.8.6
     eslint:
       specifier: 9.39.5
       version: 9.39.5
@@ -115,7 +109,7 @@ importers:
     devDependencies:
       '@tbox.cn/app-sdk':
         specifier: 'catalog:'
-        version: 0.19.0(@types/react@18.3.31)(rxjs@7.8.1)
+        version: 0.20.0(@types/react@18.3.31)(rxjs@7.8.1)
       eslint:
         specifier: 'catalog:'
         version: 9.39.5
@@ -142,13 +136,13 @@ importers:
         version: link:../../packages/provider-custom
       '@tbox.cn/app-contracts':
         specifier: 'catalog:'
-        version: 0.10.0
+        version: 0.11.0
       '@tbox.cn/app-sdk':
         specifier: 'catalog:'
-        version: 0.19.0(@types/react@18.3.31)(rxjs@7.8.1)
+        version: 0.20.0(@types/react@18.3.31)(rxjs@7.8.1)
       '@tbox.cn/app-theme-tbox':
         specifier: 'catalog:'
-        version: 0.1.0
+        version: 0.1.1
       react:
         specifier: 'catalog:'
         version: 18.3.1
@@ -206,13 +200,10 @@ importers:
         version: 0.1.0(@mastra/core@1.59.0(ai@6.0.246(zod@3.25.76))(express@4.22.2)(rxjs@7.8.1)(zod@3.25.76))(@tbox-dev-js/sdk@0.1.18)(zod@3.25.76)
       '@tbox.cn/app-contracts':
         specifier: 'catalog:'
-        version: 0.10.0
+        version: 0.11.0
       '@tbox.cn/app-sdk':
         specifier: 'catalog:'
-        version: 0.19.0(@types/react@18.3.31)(rxjs@7.8.1)
-      cors:
-        specifier: 'catalog:'
-        version: 2.8.6
+        version: 0.20.0(@types/react@18.3.31)(rxjs@7.8.1)
       express:
         specifier: 'catalog:'
         version: 4.22.2
@@ -220,9 +211,6 @@ importers:
         specifier: 'catalog:'
         version: 3.25.76
     devDependencies:
-      '@types/cors':
-        specifier: 'catalog:'
-        version: 2.8.19
       '@types/express':
         specifier: 'catalog:'
         version: 4.17.25
@@ -252,10 +240,10 @@ importers:
         version: 2.1.10(react-dom@18.3.1(react@18.3.1))(react@18.3.1)
       '@tbox.cn/app-contracts':
         specifier: 'catalog:'
-        version: 0.10.0
+        version: 0.11.0
       '@tbox.cn/app-sdk':
         specifier: 'catalog:'
-        version: 0.19.0(@types/react@18.3.31)(rxjs@7.8.1)
+        version: 0.20.0(@types/react@18.3.31)(rxjs@7.8.1)
       antd-mobile:
         specifier: 'catalog:'
         version: 5.42.3(react-dom@18.3.1(react@18.3.1))(react@18.3.1)
@@ -304,7 +292,7 @@ importers:
     dependencies:
       '@tbox.cn/app-contracts-mall':
         specifier: 'catalog:'
-        version: 0.10.0
+        version: 0.11.0
     devDependencies:
       '@types/node':
         specifier: 24.13.3
@@ -320,10 +308,10 @@ importers:
     dependencies:
       '@tbox.cn/app-contracts':
         specifier: 'catalog:'
-        version: 0.10.0
+        version: 0.11.0
       '@tbox.cn/app-sdk':
         specifier: 'catalog:'
-        version: 0.19.0(@types/react@18.3.31)(rxjs@7.8.1)
+        version: 0.20.0(@types/react@18.3.31)(rxjs@7.8.1)
     devDependencies:
       '@types/node':
         specifier: 24.13.3
@@ -1338,24 +1326,24 @@ packages:
       '@tbox-dev-js/sdk': '>=0.1.18 <0.2.0'
       zod: '>=3.24.0 <4.0.0'
 
-  '@tbox.cn/app-contracts-mall@0.10.0':
-    resolution: {integrity: sha512-DdV+kptnbjTzFwJA6xnXbeEwyxcmPD3x/SgU+nO0pDQHFVNjq7dzjmYRxI1KrhaX39MmqrS+MNFkLb/xkdlPXA==}
+  '@tbox.cn/app-contracts-mall@0.11.0':
+    resolution: {integrity: sha512-4BpbtZAif2zmYlMJ2M1wF03yTs3n4w5eFBZKFlA3yGeAfjpODyUy4OTRmRMaFfz4dHBichQF3n30A0RgS/h0Eg==}
     engines: {node: '>=20.0.0'}
 
-  '@tbox.cn/app-contracts@0.10.0':
-    resolution: {integrity: sha512-BvuGPsxv7adbcdlEcoBF7pDbgOvzZs0kQgGlmtD3AWWnf+o+hVimVDSda0HKOubwTvyG9yEwdUxU9IFngSpo8w==}
+  '@tbox.cn/app-contracts@0.11.0':
+    resolution: {integrity: sha512-ePyJwpfmWwyOx1BrSoAWZpwEI7xB8b2wFliR+uaAQfyGvbOfvKbaWJXOt/qPJh+PlYgUGvGLGvntnX2m2YC6BA==}
     engines: {node: '>=20.0.0'}
 
-  '@tbox.cn/app-sdk@0.19.0':
-    resolution: {integrity: sha512-tG4IdqtszIkOfpycm6Zz/CCSRcUbXS6zfNTmddi1THzNC8hJy7Cr31l/GP7x54k7mWQcbJjksqR8Mmd6UBzy7Q==}
+  '@tbox.cn/app-sdk@0.20.0':
+    resolution: {integrity: sha512-r6Jx/ciA+UWZ8rOlaAs94Et98g/n9NBIMoaXy3jpnUNs8zFrBTrViVYGaQvBMqL4yvDLcJBjOJQ2oSF7h1MJGQ==}
     engines: {node: '>=20.0.0'}
     hasBin: true
 
-  '@tbox.cn/app-theme-tbox@0.1.0':
-    resolution: {integrity: sha512-Na72n+Wr+GhEn5WQtrKDhAVTY8dS+gq3Kw1/a4mSrvgONRQqT6bwtBlrfr1vpHMTSzIXZrFk6V+0hUIJqo5i7A==}
+  '@tbox.cn/app-theme-tbox@0.1.1':
+    resolution: {integrity: sha512-g4150ksl35yZLMSezeMrtqj281Ly2RcX7qJCYQql0oDMHczlBXu2lpKuzOZ2GUdCnfT61wdmuahb7jPuyg6o7A==}
 
-  '@tbox.cn/app-toolkit@0.3.0':
-    resolution: {integrity: sha512-xjI58ULGi1NXyRpOOGSzBVUZzlwji/BkU+0EiqgZZ5CFO2TbR5b1aDOVKFvMUpLAOfvYzJpVhSy8iZ88j5hpMQ==}
+  '@tbox.cn/app-toolkit@0.4.0':
+    resolution: {integrity: sha512-b4ha8IonQKu2M9O/EHrUqUZh7ReiMfryNojptytRsnAOiJnTyRIQeChrDxEDHfb5ZS8AAJ0Prb5/ofxvqd7uqg==}
     engines: {node: '>=20.0.0'}
 
   '@types/babel__core@7.20.5':
@@ -1379,9 +1367,6 @@ packages:
   '@types/connect@3.4.38':
     resolution: {integrity: sha512-K6uROf1LD88uDQqJCktA4yzL1YYAK6NgfsI0v/mTgyPKWsX1CnJ0XPSDhViejru1GcRkLWb8RlzFYJRqGUbaug==}
 
-  '@types/cors@2.8.19':
-    resolution: {integrity: sha512-mFNylyeyqN93lfe/9CSxOGREz8cpzAhH+E93xJ4xWQf62V8sQ/24reV2nyzUWM6H6Xji+GGHpkbLe7pVoUEskg==}
-
   '@types/debug@4.1.13':
     resolution: {integrity: sha512-KSVgmQmzMwPlmtljOomayoR89W4FynCAi3E8PPs7vmDVPe84hT+vGPKkJfThkmXs0x0jAaa9U8uW8bbfyS2fWw==}
 
@@ -1809,10 +1794,6 @@ packages:
     resolution: {integrity: sha512-yCEafptTtb4bk7GLEQoM8KVJpxAfdBJYaXyzQEgQQQgYrZiDp8SJmGKlYza6CYjEDNstAdNdKA3UuoULlEbS6w==}
     engines: {node: '>=12.13'}
 
-  cors@2.8.6:
-    resolution: {integrity: sha512-tJtZBBHA6vjIAaF6EnIaq6laBBP9aq/Y3ouVJjEfoHbRBcHBAHYcMh/w8LDrk2PvIMMq8gmopa5D4V8RmbrxGw==}
-    engines: {node: '>= 0.10'}
-
   croner@10.0.1:
     resolution: {integrity: sha512-ixNtAJndqh173VQ4KodSdJEI6nuioBWI0V1ITNKhZZsO0pEMoDxz539T4FTTbSZ/xIOSuDnzxLVRqBVSvPNE2g==}
     engines: {node: '>=18.0'}
@@ -4063,18 +4044,18 @@ snapshots:
       '@tbox-dev-js/sdk': 0.1.18
       zod: 3.25.76
 
-  '@tbox.cn/app-contracts-mall@0.10.0':
+  '@tbox.cn/app-contracts-mall@0.11.0':
     dependencies:
-      '@tbox.cn/app-contracts': 0.10.0
+      '@tbox.cn/app-contracts': 0.11.0
       zod: 3.25.76
 
-  '@tbox.cn/app-contracts@0.10.0':
+  '@tbox.cn/app-contracts@0.11.0':
     dependencies:
       '@ag-ui/core': 0.0.47
       react: 18.3.1
       zod: 3.25.76
 
-  '@tbox.cn/app-sdk@0.19.0(@types/react@18.3.31)(rxjs@7.8.1)':
+  '@tbox.cn/app-sdk@0.20.0(@types/react@18.3.31)(rxjs@7.8.1)':
     dependencies:
       '@ag-ui/core': 0.0.47
       '@ai-sdk/openai-compatible': 2.0.68(zod@3.25.76)
@@ -4083,8 +4064,8 @@ snapshots:
       '@mastra/observability': 1.16.5(@mastra/core@1.59.0(ai@6.0.246(zod@3.25.76))(express@4.22.2)(rxjs@7.8.1)(zod@3.25.76))(zod@3.25.76)
       '@tbox-dev-js/sdk': 0.1.18
       '@tbox.cn/agent-plugin': 0.1.0(@mastra/core@1.59.0(ai@6.0.246(zod@3.25.76))(express@4.22.2)(rxjs@7.8.1)(zod@3.25.76))(@tbox-dev-js/sdk@0.1.18)(zod@3.25.76)
-      '@tbox.cn/app-contracts': 0.10.0
-      '@tbox.cn/app-toolkit': 0.3.0
+      '@tbox.cn/app-contracts': 0.11.0
+      '@tbox.cn/app-toolkit': 0.4.0
       ai: 6.0.246(zod@3.25.76)
       express: 4.22.2
       gray-matter: 4.0.3
@@ -4107,9 +4088,9 @@ snapshots:
       - utf-8-validate
       - workflow
 
-  '@tbox.cn/app-theme-tbox@0.1.0': {}
+  '@tbox.cn/app-theme-tbox@0.1.1': {}
 
-  '@tbox.cn/app-toolkit@0.3.0':
+  '@tbox.cn/app-toolkit@0.4.0':
     dependencies:
       ajv: 8.20.0
       zod: 3.25.76
@@ -4149,10 +4130,6 @@ snapshots:
     dependencies:
       '@types/node': 24.13.3
 
-  '@types/cors@2.8.19':
-    dependencies:
-      '@types/node': 24.13.3
-
   '@types/debug@4.1.13':
     dependencies:
       '@types/ms': 2.1.0
@@ -4640,11 +4617,6 @@ snapshots:
     dependencies:
       is-what: 4.1.16
 
-  cors@2.8.6:
-    dependencies:
-      object-assign: 4.1.1
-      vary: 1.1.2
-
   croner@10.0.1: {}
 
   cross-spawn@7.0.6:

package/pnpm-workspace.template.yaml

@@ -38,10 +38,10 @@ catalog:
   ws: 8.21.3
   "@types/ws": 8.18.1
   "@tbox.cn/agent-plugin": 0.1.0
-  "@tbox.cn/app-sdk": 0.19.0
-  "@tbox.cn/app-contracts": 0.10.0
-  "@tbox.cn/app-contracts-mall": 0.10.0
-  "@tbox.cn/app-theme-tbox": 0.1.0
+  "@tbox.cn/app-sdk": 0.20.0
+  "@tbox.cn/app-contracts": 0.11.0
+  "@tbox.cn/app-contracts-mall": 0.11.0
+  "@tbox.cn/app-theme-tbox": 0.1.1
   zustand: 4.5.7
   eslint: 9.39.5
   typescript-eslint: 8.67.0