@xiaobuyu/nodesign 0.0.1 → 0.0.2

package/server/runtime/local-config.js

@@ -1,177 +1,177 @@
-/**
- * server/runtime/local-config.js — 用户自己的模型插槽（本地分发版）。
- *
- * 文件：<dataRoot>/config.json（local profile；hosted 下不读，除非 NODESIGN_MODELS_CONFIG 指了路径——给测试用）。
- * 形状故意跟 model-table.js 的内置行**同一套字段名**：一个事实一种写法，配置页的表单、内置表的注释、
- * 这里的 schema 三处说的是同一个东西。
- *
- *   {
- *     "upstreams": {
- *       "myrelay": { "label": "我的中转站", "baseUrl": "https://api.example.com", "protocol": "anthropic" | "openai-chat",
- *                    "authStyle": "x-api-key" | "bearer" | "none", "key": "sk-..."（或 "keyEnv": "MY_KEY"）, "countTokens": false }
- *     },
- *     "models": [
- *       { "id": "kimi-k2", "label": "Kimi K2", "desc": "…", "window": 262144, "upstream": "myrelay", "wireModel": "kimi-k2-0905",
- *         "thinking": "strip", "reasoningEffort": "high", "maxOutput": 32000, "prices": { "input": 0.6, "output": 2.5 },
- *         "emptyRetries": 2, "retryBudgetMs": 120000, "fastModel": "kimi-k2", "brand": "custom" }
- *     ]
- *   }
- *
- * 分级校验（用户拍板「断言降级」）：内置表的错仍然在 model-context.js 加载时炸；外部行的错**不炸进程**，
- * 整条丢掉并把原因收进 errors（启动日志 + GET /api/local/config 都能看到），别的行照常可用。
- * 配置页保存时走同一个 validate，所以用户看到的红字和启动时日志里的是同一句话。
- */
-
-import fs from 'node:fs';
-import path from 'node:path';
-import { z } from 'zod';
-import { profile } from './profile.js';
-import { BRANDS, UPSTREAMS_BUILTIN, MODELS_BUILTIN } from '../engine/agent/model-table.js';
-
-export const PROTOCOLS = Object.freeze(['anthropic', 'openai-chat']);
-export const AUTH_STYLES = Object.freeze(['x-api-key', 'bearer', 'none']);
-export const THINKING_MODES = Object.freeze(['strip', 'enabled8k', 'passthrough']);
-export const REASONING_EFFORTS = Object.freeze(['low', 'medium', 'high', 'max']);
-/** 预算上限：CLI 流式请求总超时 600s − 单发最长挂起 185s（upstream-truncation.test.js 钉的同一条线），留余量取 400s */
-export const MAX_RETRY_BUDGET_MS = 400_000;
-
-const ID_RE = /^[a-z0-9][a-z0-9._-]{0,63}$/i;
-const RESERVED_UPSTREAMS = new Set(Object.keys(UPSTREAMS_BUILTIN));
-const RESERVED_MODELS = new Set(MODELS_BUILTIN.map((m) => m.id));
-
-const PricesSchema = z.object({
-  input: z.number().min(0), output: z.number().min(0),
-  cacheRead: z.number().min(0).optional(), cacheWrite: z.number().min(0).optional(),
-}).strict();
-
-const UpstreamSchema = z.object({
-  label: z.string().trim().min(1).max(80).optional(),
-  baseUrl: z.string().trim().url().refine((u) => /^https?:\/\//.test(u), 'baseUrl 必须是 http(s)://'),
-  protocol: z.enum(PROTOCOLS).default('anthropic'),
-  authStyle: z.enum(AUTH_STYLES).optional(),
-  key: z.string().trim().min(1).optional(),
-  keyEnv: z.string().trim().regex(/^[A-Z][A-Z0-9_]*$/, 'keyEnv 必须是大写 env 变量名').optional(),
-  countTokens: z.boolean().default(false),
-  imageFormats: z.array(z.string()).optional(),
-}).strict();
-
-const ModelSchema = z.object({
-  id: z.string().trim().regex(ID_RE, 'id 只能是字母数字 . _ -，64 字以内'),
-  label: z.string().trim().min(1).max(60),
-  desc: z.string().trim().max(200).default(''),
-  brand: z.enum(BRANDS).default('custom'),
-  window: z.number().int().min(8_000).max(10_000_000),
-  upstream: z.string().trim().min(1),
-  wireModel: z.string().trim().min(1),
-  fastModel: z.string().trim().min(1).optional(),
-  thinking: z.enum(THINKING_MODES).default('strip'),
-  reasoningEffort: z.enum(REASONING_EFFORTS).optional(),
-  helperReasoningEffort: z.enum(REASONING_EFFORTS).optional(),
-  maxOutput: z.number().int().min(256).max(1_000_000).optional(),
-  liftImages: z.boolean().default(false),
-  prices: PricesSchema.optional(),
-  emptyRetries: z.number().int().min(0).max(10).optional(),
-  retryBudgetMs: z.number().int().min(0).max(MAX_RETRY_BUDGET_MS).optional(),
-  uncensored: z.boolean().default(false),
-}).strict();
-
-export const ConfigSchema = z.object({
-  upstreams: z.record(z.string(), UpstreamSchema).default({}),
-  models: z.array(ModelSchema).default([]),
-}).strict();
-
-/** 给配置页用的字段清单（表单按它生成，不再手写第二份） */
-export const CONFIG_ENUMS = Object.freeze({ PROTOCOLS, AUTH_STYLES, THINKING_MODES, REASONING_EFFORTS, BRANDS, MAX_RETRY_BUDGET_MS });
-
-function issueText(issue) {
-  return `${issue.path.join('.') || '(根)'}: ${issue.message}`;
-}
-
-/**
- * 纯校验 + 归一化。不读文件、不看 profile，所以配置页保存和启动加载用的是同一个判据。
- * @returns {{ upstreams: Record<string, object>, models: object[], errors: {where: string, message: string}[] }}
- *   upstreams 值已是 UPSTREAMS 条目形状（label/baseUrl/keyEnv/key/authStyle/protocol/countTokens/imageFormats/external）
- *   models 值是归一化后的配置条目（还不是表行；转表行在 model-context.js toExternalRow）
- */
-export function validateLocalConfig(raw) {
-  const errors = [];
-  const out = { upstreams: {}, models: [], errors };
-  if (raw === null || typeof raw !== 'object' || Array.isArray(raw)) {
-    errors.push({ where: '(根)', message: '配置必须是一个对象 { upstreams, models }' });
-    return out;
-  }
-  // 顶层形状：分别校验每个 upstream / model，一个坏了不连坐别的
-  const top = z.object({ upstreams: z.record(z.string(), z.unknown()).default({}), models: z.array(z.unknown()).default([]) }).strict().safeParse(raw);
-  if (!top.success) {
-    for (const i of top.error.issues) errors.push({ where: '(根)', message: issueText(i) });
-    return out;
-  }
-  for (const [id, u] of Object.entries(top.data.upstreams)) {
-    const where = `upstreams.${id}`;
-    if (!ID_RE.test(id)) { errors.push({ where, message: 'upstream id 只能是字母数字 . _ -' }); continue; }
-    if (RESERVED_UPSTREAMS.has(id)) { errors.push({ where, message: `'${id}' 是内置上游名，换一个` }); continue; }
-    const r = UpstreamSchema.safeParse(u);
-    if (!r.success) { for (const i of r.error.issues) errors.push({ where, message: issueText(i) }); continue; }
-    const d = r.data;
-    const authStyle = d.authStyle || (d.protocol === 'openai-chat' ? 'bearer' : 'x-api-key');
-    if (authStyle !== 'none' && !d.key && !d.keyEnv) { errors.push({ where, message: 'key 或 keyEnv 至少填一个（authStyle 不是 none）' }); continue; }
-    out.upstreams[id] = Object.freeze({
-      label: d.label || id, baseUrl: d.baseUrl.replace(/\/+$/, ''), protocol: d.protocol, authStyle,
-      key: d.key || null, keyEnv: d.keyEnv || null, countTokens: d.countTokens,
-      ...(d.imageFormats ? { imageFormats: Object.freeze(d.imageFormats) } : {}),
-      external: true,
-    });
-  }
-  const seen = new Set();
-  top.data.models.forEach((m, i) => {
-    const where = `models[${i}]${m && typeof m === 'object' && m.id ? ` (${m.id})` : ''}`;
-    const r = ModelSchema.safeParse(m);
-    if (!r.success) { for (const iss of r.error.issues) errors.push({ where, message: issueText(iss) }); return; }
-    const d = r.data;
-    if (RESERVED_MODELS.has(d.id)) { errors.push({ where, message: `'${d.id}' 是内置模型名，换一个` }); return; }
-    if (seen.has(d.id)) { errors.push({ where, message: `id '${d.id}' 重复` }); return; }
-    if (!out.upstreams[d.upstream]) { errors.push({ where, message: `upstream '${d.upstream}' 不存在或没通过校验（外部模型只能指向本文件里的 upstream）` }); return; }
-    if (d.emptyRetries === 0 && d.retryBudgetMs) { errors.push({ where, message: 'emptyRetries=0 时 retryBudgetMs 没有意义' }); return; }
-    seen.add(d.id);
-    out.models.push(Object.freeze(d));
-  });
-  // fastModel 指向：只能是本文件里通过校验的模型（或自己）。在这里查而不是留给 model-context 的断言，
-  // 让用户在配置页就看见，而不是重启后日志里一行丢行
-  out.models = out.models.filter((d) => {
-    if (d.fastModel && !seen.has(d.fastModel)) { errors.push({ where: `models (${d.id})`, message: `fastModel '${d.fastModel}' 不是本文件里的模型` }); return false; }
-    return true;
-  });
-  return out;
-}
-
-export const configPath = process.env.NODESIGN_MODELS_CONFIG
-  ? path.resolve(process.env.NODESIGN_MODELS_CONFIG)
-  : (profile.isLocal ? path.join(profile.dataRoot, 'config.json') : null);
-
-/** 读文件 + 校验。文件不存在 = 空配置（不是错）；JSON 坏 = 一条错、当空配置（进程照起，别让一个逗号把整站拉下来） */
-export function loadLocalConfig() {
-  const empty = { upstreams: {}, models: [], errors: [], path: configPath, exists: false, raw: null };
-  if (!configPath) return empty;
-  let text;
-  try { text = fs.readFileSync(configPath, 'utf8'); } catch (err) {
-    if (err.code === 'ENOENT') return empty;
-    return { ...empty, errors: [{ where: '(文件)', message: `读不了 ${configPath}: ${err.message}` }] };
-  }
-  let raw;
-  try { raw = JSON.parse(text); } catch (err) {
-    return { ...empty, exists: true, errors: [{ where: '(文件)', message: `${configPath} 不是合法 JSON: ${err.message}` }] };
-  }
-  const v = validateLocalConfig(raw);
-  return { ...v, path: configPath, exists: true, raw };
-}
-
-/** 配置页保存：先校验（错了也照存——用户在编辑半成品，但返回 errors 让页面标红），原子写 */
-export function saveLocalConfig(raw) {
-  if (!configPath) throw new Error('hosted profile 没有本地配置文件');
-  const v = validateLocalConfig(raw);
-  const tmp = `${configPath}.tmp-${process.pid}`;
-  fs.mkdirSync(path.dirname(configPath), { recursive: true });
-  fs.writeFileSync(tmp, JSON.stringify(raw, null, 2) + '\n', { mode: 0o600 });
-  fs.renameSync(tmp, configPath);
-  return { ...v, path: configPath, exists: true, raw };
-}
+/**
+ * server/runtime/local-config.js — 用户自己的模型插槽（本地分发版）。
+ *
+ * 文件：<dataRoot>/config.json（local profile；hosted 下不读，除非 NODESIGN_MODELS_CONFIG 指了路径——给测试用）。
+ * 形状故意跟 model-table.js 的内置行**同一套字段名**：一个事实一种写法，配置页的表单、内置表的注释、
+ * 这里的 schema 三处说的是同一个东西。
+ *
+ *   {
+ *     "upstreams": {
+ *       "myrelay": { "label": "我的中转站", "baseUrl": "https://api.example.com", "protocol": "anthropic" | "openai-chat",
+ *                    "authStyle": "x-api-key" | "bearer" | "none", "key": "sk-..."（或 "keyEnv": "MY_KEY"）, "countTokens": false }
+ *     },
+ *     "models": [
+ *       { "id": "kimi-k2", "label": "Kimi K2", "desc": "…", "window": 262144, "upstream": "myrelay", "wireModel": "kimi-k2-0905",
+ *         "thinking": "strip", "reasoningEffort": "high", "maxOutput": 32000, "prices": { "input": 0.6, "output": 2.5 },
+ *         "emptyRetries": 2, "retryBudgetMs": 120000, "fastModel": "kimi-k2", "brand": "custom" }
+ *     ]
+ *   }
+ *
+ * 分级校验（用户拍板「断言降级」）：内置表的错仍然在 model-context.js 加载时炸；外部行的错**不炸进程**，
+ * 整条丢掉并把原因收进 errors（启动日志 + GET /api/local/config 都能看到），别的行照常可用。
+ * 配置页保存时走同一个 validate，所以用户看到的红字和启动时日志里的是同一句话。
+ */
+
+import fs from 'node:fs';
+import path from 'node:path';
+import { z } from 'zod';
+import { profile } from './profile.js';
+import { BRANDS, UPSTREAMS_BUILTIN, MODELS_BUILTIN } from '../engine/agent/model-table.js';
+
+export const PROTOCOLS = Object.freeze(['anthropic', 'openai-chat']);
+export const AUTH_STYLES = Object.freeze(['x-api-key', 'bearer', 'none']);
+export const THINKING_MODES = Object.freeze(['strip', 'enabled8k', 'passthrough']);
+export const REASONING_EFFORTS = Object.freeze(['low', 'medium', 'high', 'max']);
+/** 预算上限：CLI 流式请求总超时 600s − 单发最长挂起 185s（upstream-truncation.test.js 钉的同一条线），留余量取 400s */
+export const MAX_RETRY_BUDGET_MS = 400_000;
+
+const ID_RE = /^[a-z0-9][a-z0-9._-]{0,63}$/i;
+const RESERVED_UPSTREAMS = new Set(Object.keys(UPSTREAMS_BUILTIN));
+const RESERVED_MODELS = new Set(MODELS_BUILTIN.map((m) => m.id));
+
+const PricesSchema = z.object({
+  input: z.number().min(0), output: z.number().min(0),
+  cacheRead: z.number().min(0).optional(), cacheWrite: z.number().min(0).optional(),
+}).strict();
+
+const UpstreamSchema = z.object({
+  label: z.string().trim().min(1).max(80).optional(),
+  baseUrl: z.string().trim().url().refine((u) => /^https?:\/\//.test(u), 'baseUrl 必须是 http(s)://'),
+  protocol: z.enum(PROTOCOLS).default('anthropic'),
+  authStyle: z.enum(AUTH_STYLES).optional(),
+  key: z.string().trim().min(1).optional(),
+  keyEnv: z.string().trim().regex(/^[A-Z][A-Z0-9_]*$/, 'keyEnv 必须是大写 env 变量名').optional(),
+  countTokens: z.boolean().default(false),
+  imageFormats: z.array(z.string()).optional(),
+}).strict();
+
+const ModelSchema = z.object({
+  id: z.string().trim().regex(ID_RE, 'id 只能是字母数字 . _ -，64 字以内'),
+  label: z.string().trim().min(1).max(60),
+  desc: z.string().trim().max(200).default(''),
+  brand: z.enum(BRANDS).default('custom'),
+  window: z.number().int().min(8_000).max(10_000_000),
+  upstream: z.string().trim().min(1),
+  wireModel: z.string().trim().min(1),
+  fastModel: z.string().trim().min(1).optional(),
+  thinking: z.enum(THINKING_MODES).default('strip'),
+  reasoningEffort: z.enum(REASONING_EFFORTS).optional(),
+  helperReasoningEffort: z.enum(REASONING_EFFORTS).optional(),
+  maxOutput: z.number().int().min(256).max(1_000_000).optional(),
+  liftImages: z.boolean().default(false),
+  prices: PricesSchema.optional(),
+  emptyRetries: z.number().int().min(0).max(10).optional(),
+  retryBudgetMs: z.number().int().min(0).max(MAX_RETRY_BUDGET_MS).optional(),
+  uncensored: z.boolean().default(false),
+}).strict();
+
+export const ConfigSchema = z.object({
+  upstreams: z.record(z.string(), UpstreamSchema).default({}),
+  models: z.array(ModelSchema).default([]),
+}).strict();
+
+/** 给配置页用的字段清单（表单按它生成，不再手写第二份） */
+export const CONFIG_ENUMS = Object.freeze({ PROTOCOLS, AUTH_STYLES, THINKING_MODES, REASONING_EFFORTS, BRANDS, MAX_RETRY_BUDGET_MS });
+
+function issueText(issue) {
+  return `${issue.path.join('.') || '(根)'}: ${issue.message}`;
+}
+
+/**
+ * 纯校验 + 归一化。不读文件、不看 profile，所以配置页保存和启动加载用的是同一个判据。
+ * @returns {{ upstreams: Record<string, object>, models: object[], errors: {where: string, message: string}[] }}
+ *   upstreams 值已是 UPSTREAMS 条目形状（label/baseUrl/keyEnv/key/authStyle/protocol/countTokens/imageFormats/external）
+ *   models 值是归一化后的配置条目（还不是表行；转表行在 model-context.js toExternalRow）
+ */
+export function validateLocalConfig(raw) {
+  const errors = [];
+  const out = { upstreams: {}, models: [], errors };
+  if (raw === null || typeof raw !== 'object' || Array.isArray(raw)) {
+    errors.push({ where: '(根)', message: '配置必须是一个对象 { upstreams, models }' });
+    return out;
+  }
+  // 顶层形状：分别校验每个 upstream / model，一个坏了不连坐别的
+  const top = z.object({ upstreams: z.record(z.string(), z.unknown()).default({}), models: z.array(z.unknown()).default([]) }).strict().safeParse(raw);
+  if (!top.success) {
+    for (const i of top.error.issues) errors.push({ where: '(根)', message: issueText(i) });
+    return out;
+  }
+  for (const [id, u] of Object.entries(top.data.upstreams)) {
+    const where = `upstreams.${id}`;
+    if (!ID_RE.test(id)) { errors.push({ where, message: 'upstream id 只能是字母数字 . _ -' }); continue; }
+    if (RESERVED_UPSTREAMS.has(id)) { errors.push({ where, message: `'${id}' 是内置上游名，换一个` }); continue; }
+    const r = UpstreamSchema.safeParse(u);
+    if (!r.success) { for (const i of r.error.issues) errors.push({ where, message: issueText(i) }); continue; }
+    const d = r.data;
+    const authStyle = d.authStyle || (d.protocol === 'openai-chat' ? 'bearer' : 'x-api-key');
+    if (authStyle !== 'none' && !d.key && !d.keyEnv) { errors.push({ where, message: 'key 或 keyEnv 至少填一个（authStyle 不是 none）' }); continue; }
+    out.upstreams[id] = Object.freeze({
+      label: d.label || id, baseUrl: d.baseUrl.replace(/\/+$/, ''), protocol: d.protocol, authStyle,
+      key: d.key || null, keyEnv: d.keyEnv || null, countTokens: d.countTokens,
+      ...(d.imageFormats ? { imageFormats: Object.freeze(d.imageFormats) } : {}),
+      external: true,
+    });
+  }
+  const seen = new Set();
+  top.data.models.forEach((m, i) => {
+    const where = `models[${i}]${m && typeof m === 'object' && m.id ? ` (${m.id})` : ''}`;
+    const r = ModelSchema.safeParse(m);
+    if (!r.success) { for (const iss of r.error.issues) errors.push({ where, message: issueText(iss) }); return; }
+    const d = r.data;
+    if (RESERVED_MODELS.has(d.id)) { errors.push({ where, message: `'${d.id}' 是内置模型名，换一个` }); return; }
+    if (seen.has(d.id)) { errors.push({ where, message: `id '${d.id}' 重复` }); return; }
+    if (!out.upstreams[d.upstream]) { errors.push({ where, message: `upstream '${d.upstream}' 不存在或没通过校验（外部模型只能指向本文件里的 upstream）` }); return; }
+    if (d.emptyRetries === 0 && d.retryBudgetMs) { errors.push({ where, message: 'emptyRetries=0 时 retryBudgetMs 没有意义' }); return; }
+    seen.add(d.id);
+    out.models.push(Object.freeze(d));
+  });
+  // fastModel 指向：只能是本文件里通过校验的模型（或自己）。在这里查而不是留给 model-context 的断言，
+  // 让用户在配置页就看见，而不是重启后日志里一行丢行
+  out.models = out.models.filter((d) => {
+    if (d.fastModel && !seen.has(d.fastModel)) { errors.push({ where: `models (${d.id})`, message: `fastModel '${d.fastModel}' 不是本文件里的模型` }); return false; }
+    return true;
+  });
+  return out;
+}
+
+export const configPath = process.env.NODESIGN_MODELS_CONFIG
+  ? path.resolve(process.env.NODESIGN_MODELS_CONFIG)
+  : (profile.isLocal ? path.join(profile.dataRoot, 'config.json') : null);
+
+/** 读文件 + 校验。文件不存在 = 空配置（不是错）；JSON 坏 = 一条错、当空配置（进程照起，别让一个逗号把整站拉下来） */
+export function loadLocalConfig() {
+  const empty = { upstreams: {}, models: [], errors: [], path: configPath, exists: false, raw: null };
+  if (!configPath) return empty;
+  let text;
+  try { text = fs.readFileSync(configPath, 'utf8'); } catch (err) {
+    if (err.code === 'ENOENT') return empty;
+    return { ...empty, errors: [{ where: '(文件)', message: `读不了 ${configPath}: ${err.message}` }] };
+  }
+  let raw;
+  try { raw = JSON.parse(text); } catch (err) {
+    return { ...empty, exists: true, errors: [{ where: '(文件)', message: `${configPath} 不是合法 JSON: ${err.message}` }] };
+  }
+  const v = validateLocalConfig(raw);
+  return { ...v, path: configPath, exists: true, raw };
+}
+
+/** 配置页保存：先校验（错了也照存——用户在编辑半成品，但返回 errors 让页面标红），原子写 */
+export function saveLocalConfig(raw) {
+  if (!configPath) throw new Error('hosted profile 没有本地配置文件');
+  const v = validateLocalConfig(raw);
+  const tmp = `${configPath}.tmp-${process.pid}`;
+  fs.mkdirSync(path.dirname(configPath), { recursive: true });
+  fs.writeFileSync(tmp, JSON.stringify(raw, null, 2) + '\n', { mode: 0o600 });
+  fs.renameSync(tmp, configPath);
+  return { ...v, path: configPath, exists: true, raw };
+}

package/server/runtime/profile.js

@@ -1,72 +1,72 @@
-/**
- * server/runtime/profile.js — 部署形态（profile）的单一来源。**必须是 server/index.js 的第一个 import**。
- *
- * 两种形态（2026-08-22 用户拍板）：
- *   - hosted：线上多用户站（登录墙 / 档位 / 额度 / 外审 / 邀请码 / 管理台）。不设 NODESIGN_PROFILE 就是它，
- *             生产 .env 一个字不用改。
- *   - local ：本地分发版（npx 起在用户自己机器上）。**默认单租户**：登录墙钉死关闭、请求者恒为本机 admin
- *             （auth/users-store.js LOCAL_OWNER）、SaaS 那套界面由前端按 /api/auth/status 的 profile 藏起来。
- *             代码不删，只是藏 —— 同一份代码两种形态，靠这里一个开关分岔。
- *
- * 为什么要抢在所有 import 之前跑：DB_PATH / PROJECTS_DATA_DIR / WORKSPACE_DIR 这些都是各模块**加载时**从
- * process.env 读一次就冻结的（store.js / workspace.js / runtime/workspace.js）。本地版要把它们整体挪到
- * 用户数据目录（默认 ~/.nodesign），唯一不改那些模块的办法就是在它们加载前把 env 的默认值填好。
- * ESM 按 import 顺序深度优先求值，所以 index.js 第一行 import 本文件即可保证顺序。
- *
- * 本地版的 .env 住在数据目录（<dataRoot>/.env），不住仓库根：npx 装出来的包目录不是用户该碰的地方。
- * 已在进程 env 里的值不被文件覆盖（跟 node --env-file 同语义），命令行/bin 传的参数优先。
- */
-
-import fs from 'node:fs';
-import os from 'node:os';
-import path from 'node:path';
-import { fileURLToPath } from 'node:url';
-
-const repoRoot = path.resolve(path.dirname(fileURLToPath(import.meta.url)), '../..');
-
-const PROFILES = Object.freeze(['hosted', 'local']);
-const raw = process.env.NODESIGN_PROFILE || 'hosted';
-if (!PROFILES.includes(raw)) {
-  // 拼错不许静默落成 hosted：local 拼成 locl 会把一台笔记本的 4001 端口开到 0.0.0.0 且没有登录墙
-  throw new Error(`NODESIGN_PROFILE=${raw} 不认识，只能是 ${PROFILES.join(' | ')}`);
-}
-
-export const profileName = raw;
-export const isLocal = raw === 'local';
-
-/** 本地版数据根；hosted 下不用（各路径仍按老规矩各自取 env / 仓库相对路径） */
-export const dataRoot = isLocal
-  ? path.resolve(process.env.NODESIGN_DATA_DIR || path.join(os.homedir(), '.nodesign'))
-  : null;
-
-function setDefault(name, value) {
-  if (process.env[name] === undefined || process.env[name] === '') process.env[name] = value;
-}
-
-if (isLocal) {
-  fs.mkdirSync(dataRoot, { recursive: true });
-  // 用户配置（钥匙等）：<dataRoot>/.env。不存在就算了，存在但格式坏要炸（别静默跑成没钥匙）
-  const envFile = path.join(dataRoot, '.env');
-  if (fs.existsSync(envFile)) process.loadEnvFile(envFile);
-  setDefault('DB_PATH', path.join(dataRoot, 'nodesign.db'));
-  setDefault('PROJECTS_DATA_DIR', path.join(dataRoot, 'projects'));
-  setDefault('WORKSPACE_DIR', path.join(dataRoot, 'runs'));
-  setDefault('ARTIFACT_DIR', path.join(dataRoot, 'runs'));
-  setDefault('NODESIGN_CACHE_DIR', path.join(dataRoot, 'cache'));
-}
-
-/** 服务端缓存根（封面 / 图片变体 / 视频变体 / docx 页图）。hosted = 仓库 server/.cache（与 pm2 cwd=仓库根时的老值相同） */
-export const cacheRoot = process.env.NODESIGN_CACHE_DIR
-  ? path.resolve(process.env.NODESIGN_CACHE_DIR)
-  : path.join(repoRoot, 'server', '.cache');
-
-/** 监听地址。本地版只绑环回（没有登录墙，绝不能上 0.0.0.0）；hosted 不传 = Node 默认全地址，nginx 在前面 */
-export const listenHost = process.env.NODESIGN_HOST || (isLocal ? '127.0.0.1' : undefined);
-
-/** 是否由 Node 直接托管前端构建产物（hosted 由 nginx 发 dist，这里关；本地版没有 nginx，开） */
-export const serveWeb = process.env.NODESIGN_SERVE_WEB
-  ? process.env.NODESIGN_SERVE_WEB === '1'
-  : isLocal;
-export const webDistDir = path.join(repoRoot, 'web', 'dist');
-
-export const profile = Object.freeze({ name: profileName, isLocal, dataRoot, cacheRoot, listenHost, serveWeb, webDistDir });
+/**
+ * server/runtime/profile.js — 部署形态（profile）的单一来源。**必须是 server/index.js 的第一个 import**。
+ *
+ * 两种形态（2026-08-22 用户拍板）：
+ *   - hosted：线上多用户站（登录墙 / 档位 / 额度 / 外审 / 邀请码 / 管理台）。不设 NODESIGN_PROFILE 就是它，
+ *             生产 .env 一个字不用改。
+ *   - local ：本地分发版（npx 起在用户自己机器上）。**默认单租户**：登录墙钉死关闭、请求者恒为本机 admin
+ *             （auth/users-store.js LOCAL_OWNER）、SaaS 那套界面由前端按 /api/auth/status 的 profile 藏起来。
+ *             代码不删，只是藏 —— 同一份代码两种形态，靠这里一个开关分岔。
+ *
+ * 为什么要抢在所有 import 之前跑：DB_PATH / PROJECTS_DATA_DIR / WORKSPACE_DIR 这些都是各模块**加载时**从
+ * process.env 读一次就冻结的（store.js / workspace.js / runtime/workspace.js）。本地版要把它们整体挪到
+ * 用户数据目录（默认 ~/.nodesign），唯一不改那些模块的办法就是在它们加载前把 env 的默认值填好。
+ * ESM 按 import 顺序深度优先求值，所以 index.js 第一行 import 本文件即可保证顺序。
+ *
+ * 本地版的 .env 住在数据目录（<dataRoot>/.env），不住仓库根：npx 装出来的包目录不是用户该碰的地方。
+ * 已在进程 env 里的值不被文件覆盖（跟 node --env-file 同语义），命令行/bin 传的参数优先。
+ */
+
+import fs from 'node:fs';
+import os from 'node:os';
+import path from 'node:path';
+import { fileURLToPath } from 'node:url';
+
+const repoRoot = path.resolve(path.dirname(fileURLToPath(import.meta.url)), '../..');
+
+const PROFILES = Object.freeze(['hosted', 'local']);
+const raw = process.env.NODESIGN_PROFILE || 'hosted';
+if (!PROFILES.includes(raw)) {
+  // 拼错不许静默落成 hosted：local 拼成 locl 会把一台笔记本的 4001 端口开到 0.0.0.0 且没有登录墙
+  throw new Error(`NODESIGN_PROFILE=${raw} 不认识，只能是 ${PROFILES.join(' | ')}`);
+}
+
+export const profileName = raw;
+export const isLocal = raw === 'local';
+
+/** 本地版数据根；hosted 下不用（各路径仍按老规矩各自取 env / 仓库相对路径） */
+export const dataRoot = isLocal
+  ? path.resolve(process.env.NODESIGN_DATA_DIR || path.join(os.homedir(), '.nodesign'))
+  : null;
+
+function setDefault(name, value) {
+  if (process.env[name] === undefined || process.env[name] === '') process.env[name] = value;
+}
+
+if (isLocal) {
+  fs.mkdirSync(dataRoot, { recursive: true });
+  // 用户配置（钥匙等）：<dataRoot>/.env。不存在就算了，存在但格式坏要炸（别静默跑成没钥匙）
+  const envFile = path.join(dataRoot, '.env');
+  if (fs.existsSync(envFile)) process.loadEnvFile(envFile);
+  setDefault('DB_PATH', path.join(dataRoot, 'nodesign.db'));
+  setDefault('PROJECTS_DATA_DIR', path.join(dataRoot, 'projects'));
+  setDefault('WORKSPACE_DIR', path.join(dataRoot, 'runs'));
+  setDefault('ARTIFACT_DIR', path.join(dataRoot, 'runs'));
+  setDefault('NODESIGN_CACHE_DIR', path.join(dataRoot, 'cache'));
+}
+
+/** 服务端缓存根（封面 / 图片变体 / 视频变体 / docx 页图）。hosted = 仓库 server/.cache（与 pm2 cwd=仓库根时的老值相同） */
+export const cacheRoot = process.env.NODESIGN_CACHE_DIR
+  ? path.resolve(process.env.NODESIGN_CACHE_DIR)
+  : path.join(repoRoot, 'server', '.cache');
+
+/** 监听地址。本地版只绑环回（没有登录墙，绝不能上 0.0.0.0）；hosted 不传 = Node 默认全地址，nginx 在前面 */
+export const listenHost = process.env.NODESIGN_HOST || (isLocal ? '127.0.0.1' : undefined);
+
+/** 是否由 Node 直接托管前端构建产物（hosted 由 nginx 发 dist，这里关；本地版没有 nginx，开） */
+export const serveWeb = process.env.NODESIGN_SERVE_WEB
+  ? process.env.NODESIGN_SERVE_WEB === '1'
+  : isLocal;
+export const webDistDir = path.join(repoRoot, 'web', 'dist');
+
+export const profile = Object.freeze({ name: profileName, isLocal, dataRoot, cacheRoot, listenHost, serveWeb, webDistDir });