agentcss 0.25.6 → 0.27.0

package/ai/shot.js

@@ -0,0 +1,345 @@
+/*
+ * shot.js — 把页面截成 PNG（给定宽度、可选整页）
+ *
+ * ============================================================================
+ * 🔴 为什么不用 `chrome --screenshot --window-size=390,844`
+ * ----------------------------------------------------------------------------
+ * 因为它**会撒谎**。Windows 上窗口有最小宽度，`--window-size=390` 拿到的
+ * 实际视口是 **500px**（实测 innerWidth=500），而 `--screenshot` 只按 390 裁一刀。
+ * 结果是一张"看起来是 390 宽"的图：文字在右边缘被切掉、媒体查询按 500 生效 ——
+ * 你据此判断"窄屏没问题"，其实从没看过 390。
+ *
+ * 这类失败最贵的地方在于**它不报错**：图是好的、能打开、只是内容不对。
+ * 所以这里走 Chrome 的调试管道（`--remote-debugging-pipe`，零依赖、不开端口），
+ * 用 `Emulation.setDeviceMetricsOverride` 把视口**设成**要的那个数，再截。
+ *
+ * ============================================================================
+ * 为什么是管道而不是 `--remote-debugging-port`
+ * ----------------------------------------------------------------------------
+ * 端口版要处理：端口占用、防火墙弹窗（Windows 首次监听会弹）、启动竞态
+ * （等调试端口文件出现的时机）、以及同一个 profile 被复用时的锁。
+ * 管道版把这些全绕开：读写走子进程的 fd 3/4，消息以 `\0` 分隔的 JSON。
+ * 代价是自己拼十几行帧处理 —— 比处理上面四件事便宜得多。
+ *
+ * ============================================================================
+ * 它**不是**视觉基线
+ * ----------------------------------------------------------------------------
+ * 基线（逐字节比对）由 `05-audit/shot-baseline.py` 管，那套要考虑字体、
+ * 双平台产物与指纹。这里的产物是给人/给 Agent **看一眼**的：
+ * 同一台机器、同样参数，两次逐字节一致（门禁验的就是这条）；
+ * 换一台机器不保证 —— 字体光栅化不一样，别拿它当跨机器判据。
+ */
+'use strict';
+
+var fs = require('fs');
+var os = require('os');
+var path = require('path');
+var { spawn } = require('child_process');
+var { pathToFileURL } = require('url');
+var pdf = require('./pdf.js');
+
+var DEFAULT_WIDTHS = [1440];
+var DEFAULT_HEIGHT = 900;
+var DEFAULT_WAIT = 800;
+/* 整页截图的高度上限。PNG 面积是 W×H×scale²，超了内存与耗时都会失控；
+   截断**不静默**：结果里带 truncatedAt，人/Agent 能看见。 */
+var MAX_FULL_HEIGHT = 10000;
+
+/** 极简 CDP 客户端：一个子进程、两个 fd、以 \0 分隔的 JSON。 */
+function connect(chromePath, profile) {
+  var child = spawn(chromePath, [
+    '--headless=new',
+    '--disable-gpu',
+    '--disable-extensions',
+    '--no-first-run',
+    '--no-default-browser-check',
+    /* 滚动条会占掉 15px 视口，且它本身不是页面内容 */
+    '--hide-scrollbars',
+    '--remote-debugging-pipe',
+    '--user-data-dir=' + profile,
+    'about:blank'
+  ], {
+    /* fd 0/1/2 给普通输出，3 = 命令（Chrome 读），4 = 事件（Chrome 写） */
+    stdio: ['ignore', 'pipe', 'pipe', 'pipe', 'pipe'],
+    windowsHide: true
+  });
+
+  var buf = Buffer.alloc(0);
+  var pending = Object.create(null);
+  var waiters = [];
+  var listeners = [];
+  var nextId = 0;
+  var dead = null;
+
+  function dispatch(msg) {
+    if (msg.id !== undefined && pending[msg.id]) {
+      var p = pending[msg.id];
+      delete pending[msg.id];
+      clearTimeout(p.timer);
+      if (msg.error) p.reject(new Error(p.method + '：' + (msg.error.message || JSON.stringify(msg.error))));
+      else p.resolve(msg.result);
+      return;
+    }
+    if (!msg.method) return;
+    for (var L = 0; L < listeners.length; L++) {
+      if (listeners[L].method === msg.method) listeners[L].fn(msg.params, msg.sessionId);
+    }
+    for (var i = waiters.length - 1; i >= 0; i--) {
+      var w = waiters[i];
+      if (w.method === msg.method && (!w.sessionId || w.sessionId === msg.sessionId)) {
+        waiters.splice(i, 1);
+        clearTimeout(w.timer);
+        w.resolve(msg.params);
+      }
+    }
+  }
+
+  child.stdio[4].on('data', function (chunk) {
+    buf = Buffer.concat([buf, chunk]);
+    var i;
+    while ((i = buf.indexOf(0)) >= 0) {
+      var raw = buf.subarray(0, i).toString('utf8');
+      buf = buf.subarray(i + 1);
+      var msg = null;
+      try { msg = JSON.parse(raw); } catch (e) { continue; }
+      dispatch(msg);
+    }
+  });
+  child.stdio[1].on('data', function () { /* 吞掉：Chrome 的正常输出没有信息量 */ });
+  child.stdio[2].on('data', function () { /* 同上；错误通过 CDP 的 error 字段回来 */ });
+  child.on('error', function (e) { dead = e; });
+  child.on('exit', function (code) {
+    dead = dead || new Error('Chrome 提前退出（退出码 ' + code + '）');
+    Object.keys(pending).forEach(function (k) {
+      clearTimeout(pending[k].timer);
+      pending[k].reject(dead);
+    });
+    pending = Object.create(null);
+    waiters.splice(0).forEach(function (w) { clearTimeout(w.timer); w.reject(dead); });
+  });
+
+  function send(method, params, sessionId, timeoutMs) {
+    return new Promise(function (resolve, reject) {
+      if (dead) return reject(dead);
+      var id = ++nextId;
+      var timer = setTimeout(function () {
+        delete pending[id];
+        reject(new Error(method + ' 超时（' + (timeoutMs || 15000) + 'ms 没有回应）'));
+      }, timeoutMs || 15000);
+      pending[id] = { resolve: resolve, reject: reject, timer: timer, method: method };
+      child.stdio[3].write(JSON.stringify({
+        id: id, method: method, params: params || {}, sessionId: sessionId
+      }) + '\0');
+    });
+  }
+
+  function waitEvent(method, sessionId, timeoutMs) {
+    return new Promise(function (resolve, reject) {
+      var timer = setTimeout(function () {
+        var at = waiters.findIndex(function (w) { return w.method === method && w.sessionId === sessionId; });
+        if (at >= 0) waiters.splice(at, 1);
+        reject(new Error('等 ' + method + ' 超时（' + (timeoutMs || 15000) + 'ms）'));
+      }, timeoutMs || 15000);
+      waiters.push({ method: method, sessionId: sessionId, resolve: resolve, reject: reject, timer: timer });
+    });
+  }
+
+  return {
+    send: send, waitEvent: waitEvent,
+    /* 常驻监听：异常/控制台消息可能在任意时刻到达，用一次性 waiter 会漏掉第二条起的所有 */
+    on: function (method, fn) { listeners.push({ method: method, fn: fn }); },
+    close: function () { try { child.kill(); } catch (e) { /* 已退出 */ } },
+    child: child
+  };
+}
+
+/** 页面在某个宽度下的量：溢出多少、谁溢出、有多高。 */
+var PROBE_JS = [
+  '(function(){',
+  '  var d = document.documentElement;',
+  '  var vw = d.clientWidth;',
+  '  var over = [];',
+  '  var all = document.querySelectorAll("body *");',
+  '  for (var i = 0; i < all.length && over.length < 40; i++) {',
+  '    var e = all[i], r = e.getBoundingClientRect();',
+  '    if (r.width === 0 && r.height === 0) continue;',
+  '    if (r.right > vw + 1 || r.left < -1) {',
+  '      var cls = typeof e.className === "string" ? e.className : "";',
+  '      over.push(e.tagName.toLowerCase() + (cls ? "." + cls.trim().split(/\\s+/).join(".") : "")',
+  '        + " @" + Math.round(r.right));',
+  '    }',
+  '  }',
+  '  return JSON.stringify({',
+  '    viewport: vw, scrollWidth: d.scrollWidth, scrollHeight: d.scrollHeight,',
+  '    overflow: over.slice(0, 6), overflowCount: over.length',
+  '  });',
+  '})()'
+].join('\n');
+
+function slugWidth(w) { return String(w); }
+
+/**
+ * @param {object} o
+ * @param {string} o.src             本地 HTML 路径或 http(s) URL
+ * @param {string} o.out             输出文件；多宽度时须含 `{width}`
+ * @param {number[]} [o.widths]      视口宽度，默认 [1440]
+ * @param {number} [o.height]        视口高度，默认 900
+ * @param {boolean} [o.full]         整页（否则只截首屏）
+ * @param {number} [o.scale]         设备像素比，默认 1
+ * @param {number} [o.wait]          加载后额外等待（毫秒），默认 800
+ * @param {string} [o.chrome]
+ * @param {number} [o.timeoutMs]
+ * @returns {Promise<object>}
+ */
+async function shoot(o) {
+  o = o || {};
+  var t0 = Date.now();
+  if (!o.src) return { ok: false, code: 'usage', message: '缺少 src' };
+  if (!o.out) return { ok: false, code: 'usage', message: '缺少 out' };
+
+  var widths = o.widths && o.widths.length ? o.widths : DEFAULT_WIDTHS;
+  for (var i = 0; i < widths.length; i++) {
+    if (!Number.isInteger(widths[i]) || widths[i] < 200 || widths[i] > 4000) {
+      return { ok: false, code: 'usage',
+        message: '宽度必须是 200–4000 的整数，收到 ' + JSON.stringify(widths[i]) };
+    }
+  }
+  var height = o.height || DEFAULT_HEIGHT;
+  if (!Number.isInteger(height) || height < 200 || height > 4000) {
+    return { ok: false, code: 'usage',
+      message: '高度必须是 200–4000 的整数，收到 ' + JSON.stringify(o.height) };
+  }
+  var scale = o.scale === undefined ? 1 : Number(o.scale);
+  if (!(scale > 0 && scale <= 3)) {
+    return { ok: false, code: 'usage', message: '--scale 必须在 (0, 3]，收到 ' + JSON.stringify(o.scale) };
+  }
+
+  var remote = /^https?:\/\//i.test(o.src);
+  if (!remote) {
+    var srcAbs = path.resolve(o.src);
+    if (!fs.existsSync(srcAbs)) return { ok: false, code: 'usage', message: '找不到输入文件：' + srcAbs };
+    o.src = srcAbs;
+  }
+
+  var outTpl = String(o.out);
+  if (widths.length > 1 && outTpl.indexOf('{width}') < 0) {
+    return { ok: false, code: 'usage',
+      message: '截多个宽度时 --out 必须含 {width}（例：shot-{width}.png），'
+        + '否则 ' + widths.length + ' 张图会写进同一个文件，最后只剩一张' };
+  }
+
+  var chrome = pdf.resolveChrome(o.chrome);
+  if (chrome.error) return { ok: false, code: 'no-chrome', message: chrome.error };
+
+  var profile = fs.mkdtempSync(path.join(os.tmpdir(), 'agentcss-shot-'));
+  var cdp = connect(chrome.path, profile);
+  var shots = [];
+  var consoleErrors = [];
+  var budget = o.timeoutMs || 90000;
+  var deadline = Date.now() + budget;
+
+  try {
+    var target = await cdp.send('Target.createTarget', { url: 'about:blank' });
+    var attached = await cdp.send('Target.attachToTarget', { targetId: target.targetId, flatten: true });
+    var sid = attached.sessionId;
+
+    await cdp.send('Page.enable', {}, sid);
+    await cdp.send('Runtime.enable', {}, sid);
+    /* JS 异常要收集：截出一张"布局正确但内容没渲染"的图是最坏的产物，
+       而它通常就是一行 TypeError 造成的。 */
+    cdp.on('Runtime.exceptionThrown', function (p) {
+      if (consoleErrors.length >= 20) return;
+      var d = (p && p.exceptionDetails) || {};
+      var txt = (d.exception && d.exception.description) || d.text || '未捕获异常';
+      consoleErrors.push(String(txt).split('\n')[0]);
+    });
+    cdp.on('Runtime.consoleAPICalled', function (p) {
+      if (consoleErrors.length >= 20) return;
+      if (!p || p.type !== 'error') return;
+      var parts = (p.args || []).map(function (a) {
+        return a.value === undefined ? (a.description || a.type) : String(a.value);
+      });
+      consoleErrors.push('console.error: ' + parts.join(' '));
+    });
+
+    for (var w = 0; w < widths.length; w++) {
+      if (Date.now() > deadline) {
+        return { ok: false, code: 'timeout', message: '超出时间预算 ' + budget + 'ms', chrome: chrome.path, shots: shots };
+      }
+      var width = widths[w];
+      var w0 = Date.now();
+
+      await cdp.send('Emulation.setDeviceMetricsOverride', {
+        width: width, height: height, deviceScaleFactor: scale, mobile: false
+      }, sid);
+
+      var loaded = cdp.waitEvent('Page.loadEventFired', sid, 30000);
+      var nav = await cdp.send('Page.navigate', { url: remote ? o.src : pathToFileURL(o.src).href }, sid);
+      if (nav && nav.errorText) {
+        return { ok: false, code: 'render',
+          message: '页面加载失败（' + nav.errorText + '）：' + o.src, chrome: chrome.path, shots: shots };
+      }
+      await loaded;
+      if (o.wait) await new Promise(function (r) { setTimeout(r, o.wait); });
+
+      var probe = await cdp.send('Runtime.evaluate', {
+        expression: PROBE_JS, returnByValue: true
+      }, sid);
+      var info = {};
+      try { info = JSON.parse(probe.result.value); } catch (e) { info = {}; }
+
+      var clipH = height;
+      var truncated = null;
+      if (o.full) {
+        var want = info.scrollHeight || height;
+        clipH = Math.min(want, MAX_FULL_HEIGHT);
+        if (want > MAX_FULL_HEIGHT) truncated = want;
+      }
+
+      var shot = await cdp.send('Page.captureScreenshot', {
+        format: 'png',
+        captureBeyondViewport: !!o.full,
+        clip: { x: 0, y: 0, width: width, height: clipH, scale: 1 }
+      }, sid);
+      var png = Buffer.from(shot.data, 'base64');
+      if (png.length < 8 || png.readUInt32BE(0) !== 0x89504e47) {
+        return { ok: false, code: 'render', message: '产出的不是 PNG（' + png.length + ' 字节）',
+          chrome: chrome.path, shots: shots };
+      }
+
+      var outFile = path.resolve(outTpl.replace(/\{width\}/g, slugWidth(width)));
+      fs.mkdirSync(path.dirname(outFile), { recursive: true });
+      fs.writeFileSync(outFile, png);
+
+      shots.push({
+        width: width, out: outFile, bytes: png.length, ms: Date.now() - w0,
+        png: { width: png.readUInt32BE(16), height: png.readUInt32BE(20) },
+        full: !!o.full,
+        truncatedAt: truncated,
+        viewport: info.viewport === undefined ? null : info.viewport,
+        scrollWidth: info.scrollWidth === undefined ? null : info.scrollWidth,
+        scrollHeight: info.scrollHeight === undefined ? null : info.scrollHeight,
+        overflow: info.overflow || [],
+        overflowCount: info.overflowCount || 0
+      });
+    }
+
+    return {
+      ok: true, code: null, message: null, chrome: chrome.path,
+      scale: scale, wait: o.wait === undefined ? DEFAULT_WAIT : o.wait,
+      shots: shots, consoleErrors: consoleErrors, ms: Date.now() - t0
+    };
+  } catch (e) {
+    return { ok: false, code: 'render', message: String(e && e.message || e), chrome: chrome.path, shots: shots };
+  } finally {
+    cdp.close();
+    /* 清理必须**在进程退出前**做完：CLI 随后就 exit，挂 setTimeout 等于每截一张图
+       就在系统临时目录里留一个 Chrome profile（pdf.js 那边实测漏过 6 个）。
+       先等一下再删：Windows 上子进程刚 kill 时还握着文件句柄。 */
+    await new Promise(function (r) { setTimeout(r, 120); });
+    try { fs.rmSync(profile, { recursive: true, force: true, maxRetries: 3 }); }
+    catch (e) { /* 偶发 EBUSY，交给系统清理 */ }
+  }
+}
+
+module.exports = { shoot: shoot, DEFAULT_WIDTHS: DEFAULT_WIDTHS, DEFAULT_HEIGHT: DEFAULT_HEIGHT, DEFAULT_WAIT: DEFAULT_WAIT };

package/ai/validate.js

@@ -32,7 +32,11 @@ var path = require('path');
 var AI_DIR = __dirname;
 
 // ---------------------------------------------------------------- 能力白名单
-// ⚠️ 改这个表 = 改工具的能力边界。加关键字 ⇒ 必须同时实现它，否则别加。
+// ⚠️ 改这个表 = 改工具的能力边界。
+//   🔴 表里有的关键字**必须真的实现**：白名单只负责"允许出现"，
+//      不负责"校验它"。两者不一致 ⇒ schema 里写了、校验器当没看见 ⇒ **静默假绿**。
+//      （本轮审计 F4：`uniqueItems` / `not` 在表里挂了很久但没实现，
+//        `validate({type:'array',uniqueItems:true},[1,1])` 返回 ok:true。）
 var SUPPORTED_KEYWORDS = [
   '$schema', '$id', '$comment', '$ref', 'definitions', 'title',
   'type', 'required', 'properties', 'additionalProperties', 'patternProperties',
@@ -57,15 +61,30 @@ function isPlainObject(v) {
  */
 // 哪些键的"值"本身还是 schema
 var SUBSCHEMA_KEYS = [
-  'items', 'additionalProperties', 'patternProperties', 'allOf', 'anyOf',
+  'items', 'additionalProperties', 'allOf', 'anyOf',
   'oneOf', 'not', 'propertyNames', 'contains', 'if', 'then', 'else'
 ];
-// 哪些键是"名字 → schema"的容器（它们的**键**是字段名，不是关键字）
-var CONTAINER_KEYS = ['properties', 'definitions', '$defs', 'dependentSchemas'];
+/* 哪些键是"名字 → schema"的容器：它们的**键**不是关键字。
+   🔴 `patternProperties` 必须在这里，不能当普通子 schema ——
+      它的键是**正则**（`^--[a-z][a-z0-9-]*$`），
+      当成关键字检查就会报"用了没实现的关键字"，而 schema 本身完全合法。
+      这个错 0.26.0 就有，只是预扫当时只覆盖 4 份文件、碰巧都没用 patternProperties
+      ⇒ 直到本轮把预扫扩到全部 8 份才暴露（`tokens.audience` 第一个撞上）。 */
+var CONTAINER_KEYS = ['properties', 'definitions', '$defs', 'dependentSchemas',
+                      'patternProperties'];
+
+/* 扫哪些文件：**目录里现找**，不手写清单。
+   手写清单必漂 —— 0.26.0 时 `ai/` 下有 8 份 schema，这里只列了 4 份
+   （behaviors / deprecations / tokensAudience / tokensTree 从来没被扫过），
+   于是那四份里出现未知关键字也不会有人知道。 */
+function schemaFiles() {
+  return fs.readdirSync(AI_DIR).filter(function (f) {
+    return /\.schema\.json$/.test(f);
+  }).sort();
+}
 
 function assertSchemasUseOnlySupported() {
-  var files = ['contract.schema.json', 'components.schema.json',
-               'tokens.schema.json', 'patch.schema.json'];
+  var files = schemaFiles();
   var unknown = [];
 
   function checkNode(schema, f, ptr) {
@@ -118,6 +137,27 @@ function typeOk(expected, value) {
   return true;
 }
 
+/* JSON Schema 的"相等"是**深比较**：`{a:1}` 与 `{a:1}` 是两个对象但相等。
+   用 `===` 判重会把重复项全放过，而且是静默的。 */
+function deepEqual(a, b) {
+  if (a === b) return true;
+  if (Array.isArray(a) || Array.isArray(b)) {
+    if (!Array.isArray(a) || !Array.isArray(b) || a.length !== b.length) return false;
+    for (var i = 0; i < a.length; i++) if (!deepEqual(a[i], b[i])) return false;
+    return true;
+  }
+  if (isPlainObject(a) && isPlainObject(b)) {
+    var ka = Object.keys(a), kb = Object.keys(b);
+    if (ka.length !== kb.length) return false;
+    for (var j = 0; j < ka.length; j++) {
+      if (!Object.prototype.hasOwnProperty.call(b, ka[j])) return false;
+      if (!deepEqual(a[ka[j]], b[ka[j]])) return false;
+    }
+    return true;
+  }
+  return false;
+}
+
 function resolveRef(root, ref) {
   if (ref.charAt(0) !== '#' || ref.indexOf('#/') !== 0) {
     throw new Error('只支持文档内 $ref：' + ref);
@@ -178,6 +218,18 @@ function validate(schema, data, root, ptr, errors) {
     if (schema.maxItems !== undefined && data.length > schema.maxItems) {
       errors.push({ path: ptr, msg: '元素多于 ' + schema.maxItems + ' 个' });
     }
+    /* `uniqueItems: true` = 元素两两不相等。O(n²) 深比较 —— 这里的数据都是
+       几十个以内，可读性比复杂度重要；真要上千个再换哈希。 */
+    if (schema.uniqueItems === true) {
+      for (var ui = 0; ui < data.length; ui++) {
+        for (var uj = ui + 1; uj < data.length; uj++) {
+          if (deepEqual(data[ui], data[uj])) {
+            errors.push({ path: ptr + '/' + uj,
+              msg: '第 ' + uj + ' 个元素与第 ' + ui + ' 个重复（uniqueItems）' });
+          }
+        }
+      }
+    }
     if (schema.items) {
       data.forEach(function (v, i) {
         validate(schema.items, v, root, ptr + '/' + i, errors);
@@ -228,6 +280,13 @@ function validate(schema, data, root, ptr, errors) {
       errors.push({ path: ptr, msg: '必须恰好满足 oneOf 中的一条，实际满足 ' + n + ' 条' });
     }
   }
+  /* `not`：**必须不**满足里面的约束。子校验用独立的 errors 数组 ——
+     借用外层数组的话，"不满足 not" 会被记成"满足了"的错，方向正好反了。 */
+  if (schema.not !== undefined) {
+    if (validate(schema.not, data, root, ptr, []).length === 0) {
+      errors.push({ path: ptr, msg: '不应满足 not 里的约束（实际满足了）' });
+    }
+  }
   return errors;
 }
 

package/dist/01-tokens/behavior/labels.js

@@ -0,0 +1,11 @@
+var flLabels = function (defaults, src) {
+src = src || {};
+var out = {};
+var k;
+for (k in defaults) {
+if (Object.prototype.hasOwnProperty.call(defaults, k)) {
+out[k] = (src[k] === undefined || src[k] === null) ? defaults[k] : src[k];
+}
+}
+return out;
+};

package/dist/02-primitives/combobox/combobox.js

@@ -119,6 +119,28 @@ return true;
 var uid = 0;
 
 function create(root, opt) {
+
+var DEFAULT_LABELS = {
+suggest: '建议',
+input: '输入',
+noMatch: function (q) { return '没有匹配「' + q + '」的选项'; },
+empty: '暂无可选'
+};
+
+var flLabels = function (defaults, src) {
+src = src || {};
+var out = {};
+var k;
+for (k in defaults) {
+if (Object.prototype.hasOwnProperty.call(defaults, k)) {
+out[k] = (src[k] === undefined || src[k] === null) ? defaults[k] : src[k];
+}
+}
+return out;
+};
+
+var L = flLabels(DEFAULT_LABELS, opt && opt.labels);
+
 opt = opt || {};
 var input = root.querySelector('[data-combo-input]');
 var list = root.querySelector('[data-combo-list]');
@@ -147,14 +169,14 @@ var activeIdx = -1;
 var shown = [];
 
 list.setAttribute('role', 'listbox');
-list.setAttribute('aria-label', opt.label || '建议');
+list.setAttribute('aria-label', opt.label || L.suggest);
 input.setAttribute('role', 'combobox');
 input.setAttribute('aria-autocomplete', 'list');
 input.setAttribute('aria-expanded', 'false');
 input.setAttribute('aria-controls', list.id);
 if (!input.id) input.id = 'combo-input-' + seq;
 if (!input.getAttribute('aria-label') && !root.querySelector('label[for="' + input.id + '"]')) {
-input.setAttribute('aria-label', opt.label || '输入');
+input.setAttribute('aria-label', opt.label || L.input);
 }
 
 function esc(s) {
@@ -190,7 +212,7 @@ return String(s).replace(/[&<>"]/g, function (c) {
       if (!shown.length) {
         /* @html-sink escaped — 插值只有 q，且过了 esc() */
         list.innerHTML = '<li class="combo__empty" role="presentation">' +
-          (q ? '没有匹配「' + esc(q) + '」的选项' : '暂无可选') + '</li>';
+          (q ? L.noMatch(esc(q)) : L.empty) + '</li>';
         return;
       }
       var ql = q.toLowerCase();

package/dist/02-primitives/date-range/date-range.js

@@ -94,6 +94,27 @@ return { from: iso(start), to: iso(end) };
 }
 
 function create(root, opt) {
+
+var flLabels = function (defaults, src) {
+src = src || {};
+var out = {};
+var k;
+for (k in defaults) {
+if (Object.prototype.hasOwnProperty.call(defaults, k)) {
+out[k] = (src[k] === undefined || src[k] === null) ? defaults[k] : src[k];
+}
+}
+return out;
+};
+
+var DEFAULT_LABELS = {
+requiredEnd: '请填写结束日期。',
+requiredStart: '请填写开始日期。',
+order: function (f, t) { return '开始日期不能晚于结束日期（当前：' + f + ' → ' + t + '）。'; },
+min: function (min) { return '开始日期不能早于 ' + min + '。'; },
+max: function (max) { return '结束日期不能晚于 ' + max + '。'; }
+};
+var L = flLabels(DEFAULT_LABELS, opt && opt.labels);
 opt = opt || {};
 var from = root.querySelector('[data-dr-from]');
 var to = root.querySelector('[data-dr-to]');
@@ -132,14 +153,14 @@ return Math.round((b - a) / 86400000) + 1;
 function validate() {
 var f = from.value, t = to.value;
 if (!f && !t) { setError(''); paintSummary(''); return true; }
-if (f && !t) { setError('请填写结束日期。'); return false; }
-if (!f && t) { setError('请填写开始日期。'); return false; }
+if (f && !t) { setError(L.requiredEnd); return false; }
+if (!f && t) { setError(L.requiredStart); return false; }
 if (f > t) {
-setError('开始日期不能晚于结束日期（当前：' + f + ' → ' + t + '）。');
+setError(L.order(f, t));
 return false;
 }
-if (opt.min && f < opt.min) { setError('开始日期不能早于 ' + opt.min + '。'); return false; }
-if (opt.max && t > opt.max) { setError('结束日期不能晚于 ' + opt.max + '。'); return false; }
+if (opt.min && f < opt.min) { setError(L.min(opt.min)); return false; }
+if (opt.max && t > opt.max) { setError(L.max(opt.max)); return false; }
 setError('');
 paintSummary(f + ' → ' + t + '（' + days(f, t) + ' 天）');
 return true;

package/dist/02-primitives/popover/popover.js

@@ -148,10 +148,11 @@ box.setAttribute('inert', '');
 
 box.setAttribute('role', 'dialog');
 box.setAttribute('aria-label', opts.label || '');
+var bodyHtml = sanitizeHtml(opts.html || '', opts.sanitize);
 
 box.innerHTML =
 '<span class="popover__arrow" aria-hidden="true"></span>'+
-'<div class="popover__body">'+ (opts.html || '') + '</div>';
+'<div class="popover__body">'+ bodyHtml + '</div>';
 
 positionArrow(box, trigger);
 anchor.appendChild(box);
@@ -230,6 +231,17 @@ el: box,
 return api;
 }
 
+var SANITIZER = null;
+
+function setSanitizer(fn) {
+SANITIZER = (typeof fn === 'function') ? fn : null;
+}
+
+function sanitizeHtml(html, perCall) {
+var fn = (typeof perCall === 'function') ? perCall : SANITIZER;
+return fn ? String(fn(String(html))) : String(html);
+}
+
 function positionArrow(box, trigger) {
 var arrow = box.querySelector('.popover__arrow');
 if (!arrow) return;
@@ -256,5 +268,6 @@ closeAll: function () { if (current) current.close(); },
 get current() { return current; },
 };
 
+Popover.setSanitizer = setSanitizer;
 global.Popover = Popover;
 })(typeof window !== 'undefined' ? window : globalThis);

package/dist/02-primitives/select/select.js

@@ -213,6 +213,26 @@ return true;
 var uid = 0;
 
 function create(root, opt) {
+
+var DEFAULT_LABELS = {
+option: '选项',
+placeholder: '请选择'
+};
+
+var flLabels = function (defaults, src) {
+src = src || {};
+var out = {};
+var k;
+for (k in defaults) {
+if (Object.prototype.hasOwnProperty.call(defaults, k)) {
+out[k] = (src[k] === undefined || src[k] === null) ? defaults[k] : src[k];
+}
+}
+return out;
+};
+
+var L = flLabels(DEFAULT_LABELS, opt && opt.labels);
+
 opt = opt || {};
 var btn = root.querySelector('[data-select-btn]');
 var list = root.querySelector('[data-select-list]');
@@ -253,7 +273,7 @@ seed(opt.value);
 
 list.setAttribute('role', 'listbox');
 if (isMulti) list.setAttribute('aria-multiselectable', 'true');
-list.setAttribute('aria-label', opt.label || '选项');
+list.setAttribute('aria-label', opt.label || L.option);
 btn.setAttribute('aria-haspopup', 'listbox');
 btn.setAttribute('aria-expanded', 'false');
 btn.setAttribute('aria-controls', list.id);
@@ -293,7 +313,7 @@ var texts = [];
 for (var i = 0; i < options.length; i++) {
 if (hasValue(valueOfOpt(options[i]))) texts.push(optText(options[i]));
 }
-return texts.length ? texts.join('、') : (opt.placeholder || '请选择');
+return texts.length ? texts.join('、') : (opt.placeholder || L.placeholder);
 }
 
 function optText(o) {