@yangtzeu-zhiyun/zhiyun-cli 0.1.0

package/AGENT_GUIDE.md

@@ -0,0 +1,54 @@
+# Agent 使用指南（zhiyun CLI）
+
+面向 AI Agent 的操作说明。先读平台文档索引 `https://zhiyun.lansuan.cc/docs/llms.txt`，再按本指南驱动 CLI。
+
+## 核心原则
+
+1. **机器可读优先**：所有命令加 `--json`，stdout 只有一个稳定 JSON 对象；进度与错误在 stderr。用退出码判断结果（0 成功 | 2 参数 | 3 未登录 | 4 无权限 | 5 校验失败 | 6 网络 | 7 审核状态冲突）。
+2. **写远端的命令先 `--dry-run`**：`create / push / submit` 支持 `--dry-run`（不发写请求），确认计划后再真实执行。
+3. **不要重复创建项目**：`zhiyun.json` 记录 `remoteId`；`create` 对已创建项目直接报告而不重复建。幂等靠它，不靠猜。
+4. **完整 ID 以服务端返回为准**：本地模板中的 `〈登录账号派生段〉` 占位符由 `create` 自动回填（manifest.yaml / app.json）。
+5. **本地预检 ≠ 平台校验**：`validate --local` 只查格式、大小、路径、清单一致性；最终以服务端校验为准。
+6. **永不处理 Token 明文**：凭据来自 `ZHIYUN_TOKEN` 或本机凭据文件；不要在日志、交付说明或 JSON 里输出。
+
+## 标准工作流（以 Skill 为例）
+
+```bash
+# 1. 让 AI 按 public/docs/prompts.md 模板产出 SKILL.md 与交付清单
+# 2. 在交付清单给出的目录初始化并放置文件
+zhiyun skill init --name "水稻病虫害诊治助手" --id rice-pest-guard --description "…"
+# 3. 平台创建项目（写远端；先 --dry-run 查看请求）
+zhiyun skill create --dry-run && zhiyun skill create
+# 4. 打包并上传草稿
+zhiyun skill pack
+zhiyun skill push --zip ./rice-pest-guard.skill.zip
+# 5. 校验（服务端为准）
+zhiyun skill validate
+# 6. 提审 → 跟踪状态
+zhiyun skill submit --release-notes "首版"
+zhiyun skill status --json
+```
+
+Plugin / App 同构（`zhiyun plugin ...` / `zhiyun app ...`）。差异：
+
+- Plugin 的 remote-http / remote-mcp 方式不传代码包；`plugin test --capability <id> --input '<json>'` 真实执行一次。
+- App 审核通过即上架：没有 `publish`；`app test` 只报告沙箱预览与本地 mock 的用法。
+
+## 典型错误处置
+
+- 退出码 3：未登录。提示用户完成登录（设备授权或 ZHIYUN_TOKEN），不要伪造凭据。
+- 退出码 7：审核状态冲突。先 `status --json` 读取版本状态，再决定 `withdraw` 或等待；不要重试写操作。
+- 包校验失败（5）：按 `validate --local` 输出逐项修复，不要跳过预检直接 push。
+- `skill_list` 查询的是本人开发者项目；面向用户的市场目录是 `GET /api/skills`，不要混用。
+
+## 命令速查
+
+| 命令 | 写远端 | 说明 |
+| --- | --- | --- |
+| `doctor` / `whoami` | 否 | 环境与登录诊断 |
+| `capability list` / `<type> list` | 否 | 目录查询（需登录） |
+| `<type> init` / `pack` / `validate --local` | 否（只写本地） | 本地工具链 |
+| `<type> create` / `push` | 是 | 支持幂等（zhiyun.json）与 --dry-run |
+| `<type> validate`（默认） | 否 | 调服务端校验草稿 |
+| `<type> test` | Skill 否 / Plugin 是 / App 否 | 见上 |
+| `<type> submit` / `withdraw` / `publish` | 是 | 审核流转；publish 仅 APPROVED 的 Skill/Plugin |

package/README.md

@@ -0,0 +1,42 @@
+# @yangtzeu-zhiyun/zhiyun-cli
+
+长大智耘（Zhiyun）开发者命令行：在本地创建、校验、打包 Skill / Plugin / App，并提交审核。
+
+```bash
+npm install -g @yangtzeu-zhiyun/zhiyun-cli
+zhiyun --help
+```
+
+## 当前版本覆盖范围
+
+- 本地工具：`init`（模板 + `zhiyun.json`）、`pack`（跨平台零依赖 zip）、`validate --local`（本地预检）。
+- 只读远端：`doctor`、`whoami`、`capability list`、`skill|plugin|app list`（含 `skill_list` 等别名）。
+- 远端写入：`create / push / validate / test / submit / status / withdraw / publish`（需登录态；浏览器设备授权登录在后续版本提供，当前可临时导出 `ZHIYUN_TOKEN=<开发者域 JWT>`）。
+
+完整命令契约与示例见 <https://zhiyun.lansuan.cc/docs/cli.md>。
+
+## 登录（当前方式）
+
+```bash
+export ZHIYUN_TOKEN=<开发者域 JWT>
+zhiyun whoami          # 校验身份
+zhiyun logout          # 清理本机凭据副本
+```
+
+## 退出码
+
+0 成功 | 2 参数错误 | 3 未登录 | 4 无权限 | 5 校验失败 | 6 网络故障 | 7 审核状态冲突。
+
+## 安全约定
+
+- Token 只来自 `ZHIYUN_TOKEN` 或本机凭据文件（`~/.config/zhiyun-cli/credentials.json`，0600），终端与 `--json` 输出永不回显。
+- 凭据不会发往非 https 地址（本地调试仅允许 `http://localhost:*`）。
+- 本地预检不能替代平台校验：服务端校验才是最终结论。
+
+## 开发
+
+```bash
+npm install
+npm run build   # tsc → dist/
+npm test        # node --test test/
+```

package/bin/zhiyun.js

@@ -0,0 +1,7 @@
+#!/usr/bin/env node
+import { main } from '../dist/cli.js'
+
+main(process.argv.slice(2)).catch((error) => {
+  console.error(error?.stack ?? String(error))
+  process.exit(1)
+})

package/dist/api.js

@@ -0,0 +1,137 @@
+import { existsSync, mkdirSync, readFileSync, writeFileSync } from 'node:fs';
+import { homedir } from 'node:os';
+import { join } from 'node:path';
+import { CliError, ExitCode } from './exit.js';
+export const DEFAULT_BASE_URL = 'https://zhiyun.lansuan.cc';
+export function resolveBaseUrl(flag) {
+    const raw = flag ?? process.env.ZHIYUN_BASE_URL ?? DEFAULT_BASE_URL;
+    const url = raw.replace(/\/+$/, '');
+    if (url.startsWith('http://')) {
+        const host = new URL(url).hostname;
+        if (host !== 'localhost' && host !== '127.0.0.1' && host !== '[::1]') {
+            throw new CliError(ExitCode.Usage, '凭据不会发往非 https 地址；本地调试请使用 http://localhost:<port>', `当前 --base-url: ${url}`);
+        }
+    }
+    else if (!url.startsWith('https://')) {
+        throw new CliError(ExitCode.Usage, `--base-url 必须以 https:// 开头（本地可用 http://localhost:<port>）: ${url}`);
+    }
+    return url;
+}
+function credentialsPath() {
+    const configHome = process.env.XDG_CONFIG_HOME ?? join(homedir(), '.config');
+    return join(configHome, 'zhiyun-cli', 'credentials.json');
+}
+/** 凭据解析顺序：ZHIYUN_TOKEN 环境变量 > 本机凭据文件（0600，设备授权登录在后续版本写入）。 */
+export function loadToken() {
+    const envToken = process.env.ZHIYUN_TOKEN?.trim();
+    if (envToken)
+        return envToken;
+    const path = credentialsPath();
+    if (!existsSync(path))
+        return undefined;
+    try {
+        const parsed = JSON.parse(readFileSync(path, 'utf8'));
+        return parsed.developerToken?.trim() || undefined;
+    }
+    catch {
+        return undefined;
+    }
+}
+export function requireToken() {
+    const token = loadToken();
+    if (!token) {
+        throw new CliError(ExitCode.NotLoggedIn, '尚未登录智耘开发者账号', '浏览器设备授权登录（zhiyun login）将在后续版本提供；当前可临时导出 ZHIYUN_TOKEN=<开发者域 JWT> 使用远端命令');
+    }
+    return token;
+}
+export function saveCredentials(developerToken) {
+    const path = credentialsPath();
+    mkdirSync(join(path, '..'), { recursive: true });
+    writeFileSync(path, `${JSON.stringify({ developerToken, storedAt: new Date().toISOString() }, null, 2)}\n`, { mode: 0o600 });
+    return path;
+}
+export function clearCredentials() {
+    const path = credentialsPath();
+    if (!existsSync(path))
+        return false;
+    writeFileSync(path, '{}\n', { mode: 0o600 });
+    return true;
+}
+export class ApiError extends CliError {
+    status;
+    constructor(status, message, hint) {
+        super(mapStatusToExitCode(status), message, hint);
+        this.name = 'ApiError';
+        this.status = status;
+    }
+}
+function mapStatusToExitCode(status) {
+    if (status === 401)
+        return ExitCode.NotLoggedIn;
+    if (status === 403)
+        return ExitCode.Forbidden;
+    if (status === 409 || status === 423)
+        return ExitCode.ReviewConflict;
+    if (status === 400 || status === 422)
+        return ExitCode.Validation;
+    return ExitCode.Network;
+}
+/** 统一 HTTP 客户端：401/403/409/400 映射到契约退出码，网络层故障统一 6。 */
+export async function requestJson(baseUrl, path, options = {}) {
+    const headers = { Accept: 'application/json' };
+    if (options.token)
+        headers.Authorization = `Bearer ${options.token}`;
+    if (options.body !== undefined)
+        headers['Content-Type'] = 'application/json';
+    let response;
+    try {
+        response = await fetch(`${baseUrl}${path}`, {
+            method: options.method ?? 'GET',
+            headers,
+            body: options.body === undefined ? undefined : JSON.stringify(options.body),
+            signal: AbortSignal.timeout(options.timeoutMs ?? 30_000),
+        });
+    }
+    catch (error) {
+        const reason = error instanceof Error ? error.message : String(error);
+        throw new CliError(ExitCode.Network, `网络请求失败: ${path}`, reason);
+    }
+    return parseResponse(response);
+}
+export async function uploadMultipart(baseUrl, path, token, fileName, data) {
+    const form = new FormData();
+    form.append('file', new Blob([new Uint8Array(data)]), fileName);
+    let response;
+    try {
+        response = await fetch(`${baseUrl}${path}`, {
+            method: 'POST',
+            headers: { Authorization: `Bearer ${token}`, Accept: 'application/json' },
+            body: form,
+            signal: AbortSignal.timeout(60_000),
+        });
+    }
+    catch (error) {
+        const reason = error instanceof Error ? error.message : String(error);
+        throw new CliError(ExitCode.Network, `上传失败: ${path}`, reason);
+    }
+    return parseResponse(response);
+}
+async function parseResponse(response) {
+    const text = await response.text();
+    let payload = undefined;
+    if (text) {
+        try {
+            payload = JSON.parse(text);
+        }
+        catch {
+            payload = undefined;
+        }
+    }
+    if (!response.ok) {
+        const serverMessage = (payload !== null && typeof payload === 'object' && 'message' in payload && typeof payload.message === 'string'
+            ? payload.message
+            : undefined) ?? response.statusText;
+        throw new ApiError(response.status, `HTTP ${response.status}: ${serverMessage}`);
+    }
+    return payload;
+}

package/dist/cli.js

@@ -0,0 +1,146 @@
+import { runDoctor } from './commands/doctor.js';
+import { commandHelp, topHelp } from './commands/help.js';
+import { runAppList, runCapabilityList, runProjectList } from './commands/list.js';
+import { runProjectCommand } from './commands/project.js';
+import { clearCredentials, requestJson, requireToken, resolveBaseUrl } from './api.js';
+import { CliError, ExitCode } from './exit.js';
+import { printError } from './output.js';
+const KNOWN_BOOLEAN_FLAGS = new Set(['json', 'dry-run', 'help', 'local', 'no-browser']);
+export function parseArgs(argv) {
+    const positionals = [];
+    const flags = {};
+    for (let i = 0; i < argv.length; i++) {
+        const arg = argv[i];
+        if (arg.startsWith('--')) {
+            const eq = arg.indexOf('=');
+            if (eq > 0) {
+                flags[arg.slice(2, eq)] = arg.slice(eq + 1);
+                continue;
+            }
+            const name = arg.slice(2);
+            const next = argv[i + 1];
+            if (!KNOWN_BOOLEAN_FLAGS.has(name) && next !== undefined && !next.startsWith('--')) {
+                flags[name] = next;
+                i++;
+            }
+            else {
+                flags[name] = true;
+            }
+        }
+        else if (arg === '-h') {
+            flags.help = true;
+        }
+        else {
+            positionals.push(arg);
+        }
+    }
+    return { positionals, flags };
+}
+const KINDS = new Set(['skill', 'plugin', 'app']);
+const KIND_ALIASES = {
+    skill: 'Skill',
+    plugin: 'Plugin',
+    app: 'App',
+};
+export async function main(argv) {
+    let code = ExitCode.Unexpected;
+    try {
+        code = await dispatch(argv);
+    }
+    catch (error) {
+        if (error instanceof CliError) {
+            printError(error);
+            code = error.code;
+        }
+        else {
+            console.error(error instanceof Error ? (error.stack ?? error.message) : String(error));
+            code = ExitCode.Unexpected;
+        }
+    }
+    process.exit(code);
+}
+async function dispatch(argv) {
+    const { positionals, flags } = parseArgs(argv);
+    if (flags.help) {
+        console.log(topHelp());
+        return 0;
+    }
+    if (flags.version || positionals[0] === 'version') {
+        console.log(await packageVersion());
+        return 0;
+    }
+    const global = {
+        json: flags.json === true,
+        dryRun: flags.dryRun === true,
+        baseUrl: typeof flags['base-url'] === 'string' ? flags['base-url'] : undefined,
+    };
+    if (global.baseUrl)
+        global.baseUrl = resolveBaseUrl(global.baseUrl);
+    const baseUrl = global.baseUrl ?? resolveBaseUrl();
+    const [first] = positionals;
+    const rest = positionals.slice(1);
+    const wantsHelp = rest.length > 0 && rest[rest.length - 1] === 'help';
+    if (!first || first === 'help') {
+        console.log(topHelp());
+        return 0;
+    }
+    if (first === 'doctor')
+        return runDoctor(global, baseUrl);
+    if (first === 'login') {
+        console.log('浏览器设备授权登录将在后续版本提供。');
+        console.log('当前可临时导出 ZHIYUN_TOKEN=<开发者域 JWT> 使用远端命令；详见 https://zhiyun.lansuan.cc/docs/cli.md');
+        return ExitCode.Usage;
+    }
+    if (first === 'logout') {
+        const cleared = clearCredentials();
+        if (flags.json === true)
+            console.log(JSON.stringify({ command: 'logout', cleared }));
+        else
+            console.log(cleared ? '已清理本机凭据。' : '本机没有已保存的凭据。');
+        return 0;
+    }
+    if (first === 'whoami') {
+        const profile = await requestJson(baseUrl, '/api/profile', { token: requireToken() });
+        if (global.json)
+            console.log(JSON.stringify({ command: 'whoami', profile }, null, 2));
+        else
+            console.log(JSON.stringify(profile, null, 2));
+        return 0;
+    }
+    if (first === 'capability') {
+        const sub = rest[0] ?? 'list';
+        if (wantsHelp) {
+            console.log(commandHelp('capability list'));
+            return 0;
+        }
+        if (sub !== 'list')
+            throw new CliError(ExitCode.Usage, `capability 只支持 list 子命令: ${sub}`);
+        return runCapabilityList(global, baseUrl);
+    }
+    const aliasMatch = /^(skill|plugin)_(list)$/.exec(first);
+    if (aliasMatch) {
+        const kind = KIND_ALIASES[aliasMatch[1]];
+        return runProjectList(kind, global, baseUrl);
+    }
+    if (KINDS.has(first)) {
+        const kind = KIND_ALIASES[first];
+        const [sub] = rest;
+        if (!sub || sub === 'help' || flags.help) {
+            console.log(commandHelp(sub && sub !== 'help' ? sub : 'list'));
+            return 0;
+        }
+        if (sub === 'list' || sub === 'ls') {
+            return kind === 'App' ? runAppList(global, baseUrl) : runProjectList(kind, global, baseUrl);
+        }
+        return runProjectCommand(kind, sub, flags, global, baseUrl);
+    }
+    throw new CliError(ExitCode.Usage, `未知命令: ${first}`, '运行 zhiyun help 查看命令清单');
+}
+async function packageVersion() {
+    const { createRequire } = await import('node:module');
+    const { join } = await import('node:path');
+    const { fileURLToPath } = await import('node:url');
+    const require = createRequire(import.meta.url);
+    const pkg = require(join(fileURLToPath(import.meta.url), '../../package.json'));
+    return `zhiyun ${pkg.version ?? '0.0.0'}`;
+}

package/dist/commands/doctor.js

@@ -0,0 +1,53 @@
+import { loadToken, requestJson } from '../api.js';
+import { emitJson, emitText } from '../output.js';
+export async function runDoctor(global, baseUrl) {
+    const nodeOk = Number.parseInt(process.versions.node, 10) >= 22;
+    const token = loadToken();
+    let serverOk = false;
+    let serverDetail = '';
+    let authOk = false;
+    let authDetail = token ? '已配置凭据' : '未配置凭据（ZHIYUN_TOKEN 或 zhiyun login）';
+    try {
+        const health = await requestJson(baseUrl, '/api/health', { timeoutMs: 8000 });
+        serverOk = health.status === 'ok';
+        serverDetail = `${health.app ?? 'zhiyun'} ${health.time ?? ''}`.trim();
+    }
+    catch (error) {
+        serverDetail = error instanceof Error ? error.message : String(error);
+    }
+    if (token) {
+        try {
+            const profile = await requestJson(baseUrl, '/api/profile', {
+                token,
+                timeoutMs: 8000,
+            });
+            const account = typeof profile.username === 'string' ? profile.username : typeof profile.account === 'string' ? profile.account : '未知';
+            authOk = true;
+            authDetail = `开发者凭据有效（${account}）`;
+        }
+        catch (error) {
+            authDetail = `凭据校验失败: ${error instanceof Error ? error.message : String(error)}`;
+        }
+    }
+    const report = {
+        command: 'doctor',
+        baseUrl,
+        checks: [
+            { name: 'node>=22', ok: nodeOk, detail: process.versions.node },
+            { name: 'server', ok: serverOk, detail: serverDetail },
+            { name: 'auth', ok: authOk, detail: authDetail },
+        ],
+        ok: nodeOk && serverOk,
+    };
+    if (global.json) {
+        emitJson(report);
+    }
+    else {
+        emitText([
+            `Node >=22: ${nodeOk ? 'OK' : 'FAIL'}（当前 ${process.versions.node}）`,
+            `服务端: ${serverOk ? 'OK' : 'FAIL'} ${serverDetail}`,
+            `登录状态: ${authOk ? 'OK' : '未登录'} ${authDetail}`,
+        ]);
+    }
+    return 0;
+}

package/dist/commands/help.js

@@ -0,0 +1,111 @@
+export function topHelp() {
+    return `zhiyun — 长大智耘开发者命令行
+
+用法: zhiyun <命令> [子命令] [参数]
+
+常用命令:
+  zhiyun login [--no-browser]     浏览器授权登录开发者账号（后续版本提供；当前可设 ZHIYUN_TOKEN）
+  zhiyun whoami | logout          查看身份 / 撤销登录
+  zhiyun doctor                   检查 Node 版本、服务可达与登录状态
+  zhiyun capability list          已注册能力目录
+
+项目命令（<type> = skill | plugin | app）:
+  zhiyun <type> list              我的项目列表（别名 skill_list / plugin_list / app_list）
+  zhiyun <type> init              生成本地模板与 zhiyun.json（只写本地）
+  zhiyun <type> create            在平台创建归属项目（写远端）
+  zhiyun <type> pack [--out ...]  打包 zip（只写本地）
+  zhiyun <type> validate [--local]  校验（默认调服务端；--local 仅本地预检）
+  zhiyun <type> push [--zip ...]  上传/更新草稿包（写远端）
+  zhiyun <type> test              调试运行（Skill 调试会话 / Plugin 测试接口）
+  zhiyun <type> submit            提交审核（写远端）
+  zhiyun <type> status            查看版本与审核状态
+  zhiyun <type> withdraw          审核中撤回（写远端）
+  zhiyun skill|plugin publish     发布已批准版本（写远端；App 无此命令）
+
+通用参数:
+  --json                          stdout 只输出一个稳定 JSON 对象（Agent 优先）
+  --dry-run                       只做本地预检与展示请求计划，不发写请求
+  --base-url <url>                覆盖服务端地址（默认 https://zhiyun.lansuan.cc；本地调试用 http://localhost:<port>）
+  --help                          查看命令说明（含是否修改远端状态）
+
+退出码: 0 成功 | 2 参数错误 | 3 未登录 | 4 无权限 | 5 校验失败 | 6 网络故障 | 7 审核状态冲突
+
+文档: https://zhiyun.lansuan.cc/docs/cli.md`;
+}
+export function commandHelp(path) {
+    const pages = {
+        login: `zhiyun login [--no-browser]
+
+发起设备授权登录（浏览器授权智耘开发者账号）。终端展示验证网址与用户码并尝试打开浏览器；
+--no-browser 只展示（SSH / 无浏览器环境）。
+状态: 写远端（创建/兑换凭据）——当前版本尚未开放，可临时使用 ZHIYUN_TOKEN 环境变量。`,
+        whoami: `zhiyun whoami
+
+校验并显示当前登录的开发者身份。
+状态: 只读。`,
+        logout: `zhiyun logout
+
+撤销登录：清理本机凭据副本（服务端撤销在后续版本一并提供）。
+状态: 清理本机凭据。`,
+        doctor: `zhiyun doctor
+
+检查 Node 版本、服务端连通性（/api/health）与登录状态。
+状态: 只读。`,
+        'capability list': `zhiyun capability list [--json]
+
+列出平台已注册能力目录（系统内置 + 已启用扩展）。
+状态: 只读（需登录）。`,
+        list: `zhiyun <skill|plugin|app> list [--json]
+
+查询本人的开发者项目并按类型过滤（skill_list / plugin_list / app_list 为兼容别名）。
+注意这是本人项目列表，不是面向用户的市场目录。
+状态: 只读（需登录）。`,
+        init: `zhiyun <skill|plugin|app> init --name <名称> --id <ID短码> --description <一句话> [--version 0.1.0]
+                          [--runtime local-python|local-node|remote-http|remote-mcp]   # 仅 plugin
+                          [--category <分类>] [--permissions p1,p2]                     # 仅 app
+
+在当前目录生成本地模板与 zhiyun.json。
+状态: 只写本地。`,
+        create: `zhiyun <skill|plugin|app> create [--dry-run]
+
+在智耘平台创建归属项目（Skill/Plugin 走 /api/developer/projects；App 走 /api/developer/apps），
+成功后把远端项目 ID 与完整 ID 写回 zhiyun.json，并回填本地 manifest/app.json 的占位完整 ID。
+重复执行不会误建项目：zhiyun.json 已有 remoteId 时直接报告已有项目。
+状态: 写远端（需登录）。`,
+        pack: `zhiyun <skill|plugin|app> pack [--out <zip路径>]
+
+按类型收集文件并打包 zip（Skill 白名单目录；Plugin manifest.yaml + capabilities/；App app.json + 全量资源）。
+状态: 只写本地。`,
+        validate: `zhiyun <skill|plugin|app> validate [--local] [--json]
+
+--local 只做本地预检（格式、大小、路径、清单一致性）；默认先本地预检再调服务端校验草稿版本。
+本地预检不能替代平台校验，以服务端结果为最终结论。
+状态: 默认调服务端（需登录）；--local 纯本地。`,
+        push: `zhiyun <skill|plugin|app> push [--zip <已有zip>] [--dry-run]
+
+上传/覆盖当前草稿包（Skill/Plugin: /package；App: /package）。无 --zip 时先本地打包。
+状态: 写远端（需登录）。`,
+        test: `zhiyun skill test                       打开/引导该技能的调试会话
+zhiyun plugin test --capability <能力id> --input '<JSON>'
+zhiyun app test                         报告平台沙箱预览与本地 mock 的使用方式
+
+状态: Skill 只读引导；Plugin 调用平台测试接口真实执行一次（需登录）；App 只输出指引。`,
+        submit: `zhiyun <skill|plugin|app> submit [--release-notes <说明>] [--dry-run]
+
+把当前草稿提交审核（Skill/Plugin 走 versions/{vid}/submit；App 走 releases/{version}/submit）。
+状态: 写远端（需登录）。审核由管理员完成。`,
+        status: `zhiyun <skill|plugin|app> status [--json]
+
+查看版本与审核状态（DRAFT → IN_REVIEW → APPROVED → PUBLISHED）。
+状态: 只读（需登录）。`,
+        withdraw: `zhiyun <skill|plugin|app> withdraw [--version <x.y.z>]
+
+撤回审核中的版本回到草稿。
+状态: 写远端（需登录）。`,
+        publish: `zhiyun skill|plugin publish --version <x.y.z>
+
+发布已批准（APPROVED）的版本。App 审核通过即上架，没有 publish 命令。
+状态: 写远端（需登录）。`,
+    };
+    return pages[path] ?? topHelp();
+}

package/dist/commands/list.js

@@ -0,0 +1,55 @@
+import { requestJson, requireToken } from '../api.js';
+import { emitJson, emitText, fail } from '../output.js';
+import { ExitCode } from '../exit.js';
+export async function runCapabilityList(global, baseUrl) {
+    const token = requireToken();
+    const capabilities = await requestJson(baseUrl, '/api/developer/capabilities', { token });
+    if (global.json) {
+        emitJson({ command: 'capability list', count: capabilities.length, capabilities });
+    }
+    else {
+        emitText(capabilities.map((cap) => {
+            const record = cap;
+            const risk = typeof record.risk === 'string' ? record.risk : '';
+            const scope = typeof record.scope === 'string' ? record.scope : '';
+            return `${String(record.id ?? '?')}  ${String(record.name ?? '')}  ${[scope, risk].filter(Boolean).join('/')}`;
+        }));
+    }
+    return 0;
+}
+export async function runProjectList(kind, global, baseUrl) {
+    const token = requireToken();
+    const projects = await requestJson(baseUrl, '/api/developer/projects', { token });
+    const filtered = projects.filter((project) => project.kind === kind);
+    if (global.json) {
+        emitJson({ command: `${kind.toLowerCase()} list`, count: filtered.length, projects: filtered });
+    }
+    else if (filtered.length === 0) {
+        emitText([`（无 ${kind} 项目）`]);
+    }
+    else {
+        emitText(filtered.map((project) => `#${project.id} ${project.extId} 「${project.name}」 ${project.status ?? ''} ` +
+            `latest=${project.latestVersion ?? '-'} draft=${project.draftVersion ?? '-'}`));
+    }
+    return 0;
+}
+export async function runAppList(global, baseUrl) {
+    const token = requireToken();
+    const apps = await requestJson(baseUrl, '/api/developer/apps', { token });
+    if (global.json) {
+        emitJson({ command: 'app list', count: apps.length, apps });
+    }
+    else if (apps.length === 0) {
+        emitText(['（无 App 项目）']);
+    }
+    else {
+        emitText(apps.map((app) => {
+            const release = app.releases?.[0];
+            return `${app.appId} 「${app.name}」 ${release ? `${release.version} ${release.status}` : '（无版本）'}`;
+        }));
+    }
+    return 0;
+}
+export function unknownKind(kind) {
+    fail(ExitCode.Usage, `未知类型: ${kind}`, '可用类型: skill | plugin | app');
+}