android-publisher-cli 0.0.0-stage → 0.2.0-dev

package/.node-version

@@ -0,0 +1 @@
+24.22.0

package/AGENTS.md

@@ -0,0 +1,21 @@
+# 代码 agent 协作规则
+
+仓库使用 TypeScript、Node.js 和 npm。按改动范围读取资料：
+
+- 开发、测试或提交 PR：先读 [CONTRIBUTING.md](CONTRIBUTING.md)。
+- 修改批次、执行、状态或恢复：先读 [架构](docs/architecture.md)。
+- 修改渠道协议：先读 [协议参考](docs/channels/protocol-evidence.md)。修改状态展示时，再读[自动查询说明](docs/channels/automatic-observation.md)。
+- 修改 npm 打包或版本交付：先读[构建与分发](docs/mac-cli-delivery.md)和[版本发布](docs/release-process.md)。
+
+## 必须保持的约束
+
+- 业务写入前冻结批次和 APK。每个请求发出前保存操作意图。取得可验证回执后立即保存。结果未决时阻止同一渠道、账号和应用的冲突写入。
+- `prepare` 和 `batch review` 离线执行。预检、观测和核对只读取发布数据。令牌申请与刷新经过账号状态记录。
+- 分别记录执行、审核、上架和查询健康状态。未关联信息不能确认目标状态，也不能解除未决写入。
+- 真实商店变更需要覆盖应用、产物和渠道范围的授权。初始化、测试、CI、PR 或 npm 打包均不构成提审授权。
+- 凭据默认在终端交互输入。自动化输入文件必须属于当前用户，权限为 `0600`。令牌和上传授权只写入本机私有状态。真实凭据、APK、私钥、Cookie、签名 URL 和敏感响应不得进入 Git、issue、agent 提示词、包或普通日志。
+- 新版状态位于 `~/Library/Application Support/AndroidPublisherCLI/v2/`。测试和 CI 使用合成数据。渠道协议独立实现；复用第三方代码前核对许可证。
+
+有 `.codegraph/` 索引时，定位代码先用 `codegraph explore`。没有该目录就直接使用仓库搜索工具。
+
+获准使用 subagents 时，限定路径和问题范围。审查者默认只读。协调者负责整合修订，并记录未解决问题。

package/CHANGELOG.md

@@ -0,0 +1,53 @@
+# 更新记录
+
+## 0.2.0-dev
+
+- 将 CLI 重写为 TypeScript，使用 Node.js 24 和 npm 构建、测试及打包。
+- 六个渠道保留已有应用的上传和提审路径。发布前仍需冻结 APK、预检并核对批准文件。
+- 凭据默认在终端交互输入；自动化可读取权限为 `0600` 的私有 JSON 文件。CLI 不再读取钥匙串。
+- 新版状态保存在独立的 `v2` 目录。0.1.x 的项目、批次、命令和状态不自动迁移。
+- 删除旧的 Go 二进制、浏览器模拟和 macOS 安装包流程。交付物改为 npm tarball。
+- 命令入口改为 `android-release`；增加版本 PR 和 npm 注册表发布工作流。
+
+合成渠道测试、真实签名 APK 测试和子进程崩溃恢复测试已通过。新版尚未完成六个渠道的真实账号验证。响应丢失仍会阻止冲突写入，当前没有自动解除该阻塞的依据。
+
+## 0.1.0-beta.5
+
+- 重写日常发布和首次使用教程，按六渠道说明预检、准备、提交、查询、核对和恢复。
+- 补充跨渠道发布前检查，并说明失败后的排查和继续执行方法。
+
+本版本只更新文档，CLI 行为和本地状态结构没有变化。CI 预览包使用 ad-hoc 临时签名，未公证，没有稳定的钥匙串信任身份。
+
+## 0.1.0-beta.4
+
+- 项目文档和协作模板改为中文，保留命令、链接及标准许可证原文。
+- 按发版同事、贡献者和维护者整理文档入口，合并重复教程和验收规则，将初始验收记录归档。
+- 安装包首页改为离线导航，使用步骤统一维护在对应手册。
+
+本版本为 Apple Silicon CI 预览包，使用 ad-hoc 临时签名，未公证，没有稳定的钥匙串信任身份。使用真实凭据前应采用团队固定签名包。CLI 行为和本地状态结构没有变化。
+
+## 0.1.0-beta.3
+
+- 建立脱敏后的公开源码基线，提交身份使用 noreply 邮箱。
+- 保留已审查的安装包文档和完整验收要求。
+- 真实 Chromium 验收在冷启动运行器上使用协议已有的 30 秒时限。
+
+## 0.1.0-beta.2
+
+- 修复安装包中更新记录指向分发说明的链接。
+- 检查安装包根目录的每份 Markdown 文档，防止离线链接缺失。
+
+分发状态仍为 CI 预览：使用 ad-hoc 临时签名，未公证。
+
+## 0.1.0-beta.1
+
+首个公开测试版包括：
+
+- 六渠道本地 APK 发布计划、明确批准、持久化操作回执和受约束的恢复。
+- 可复用的项目配置、批次准备、提交、核对和继续执行。
+- 自动查询小米版本并标注审核推测；读取应用宝审核信息、脱敏驳回原因和公开商店版本。
+- 缓存历史及私有 Markdown/JSON 报告。
+- Apple Silicon 安装、升级、回滚和卸载脚本。
+- 合成数据协议、浏览器、Android 签名及子进程恢复验收，以及 GitHub CI 和草稿发布工作流。
+
+公开版本采用新的版本基线，不宣称已验证真实渠道账号。CI 预览产物使用 ad-hoc 临时签名，未公证，详见[旧版验收记录](docs/archive/public-beta-acceptance.md)。

package/CONTRIBUTING.md

@@ -0,0 +1,55 @@
+# 贡献指南
+
+本页供修改 CLI、测试和文档的贡献者使用。操作发布命令请读[首次使用](docs/colleague-quickstart.md)和[日常发布](docs/daily-cli-workflow.md)。
+
+## 开发环境
+
+安装 [`.node-version`](.node-version) 指定的 Node.js。仓库使用 `package-lock.json` 固定 npm 依赖。在仓库根目录运行：
+
+```sh
+npm ci --ignore-scripts
+npm run check
+```
+
+`npm run check` 先检查 TypeScript 类型，再构建 CLI 并运行 Node.js 测试。真实 APK 测试需要 Android SDK Build Tools 和 JDK。CI 会安装独立工具，并设置 `PUBLISHER_REQUIRE_ANDROID_TESTS=1`。本机执行完整验收时也设置这个变量：
+
+```sh
+PUBLISHER_REQUIRE_ANDROID_TESTS=1 npm run check
+```
+
+工具缺失时，完整验收应失败。普通本机测试会跳过真实 APK 用例；测试结果会明确显示跳过。合成渠道测试使用本地响应，不会访问商店或提交应用。
+
+## 按改动检查
+
+| 改动 | 先读 | 验收重点 |
+| --- | --- | --- |
+| 批次、执行、状态或恢复 | [架构](docs/architecture.md) | 写入前已有持久意图；响应丢失后重启不能重复发送 |
+| 渠道请求或观测 | [协议参考](docs/channels/protocol-evidence.md)、[自动查询说明](docs/channels/automatic-observation.md) | 使用准确的官方字段；分别测试成功、错误和无法关联的结果 |
+| npm 打包与交付 | [构建与分发](docs/mac-cli-delivery.md) | 用实际 tarball 安装；核对文件清单、命令版本和依赖声明 |
+| 文档 | 本页“文档归属” | 保留命令、条件、链接和验证程度 |
+
+渠道协议由本仓库独立实现。使用第三方代码前，先确认许可证。测试、示例和截图使用 `com.example.app`、`example.invalid` 等合成内容。真实账号、APK、私钥、Cookie、签名 URL 和原始响应不能进入 Git、issue、构建产物或普通日志。
+
+## 分支与 PR
+
+代码 agent 使用 `codex/topic` 分支。提交前，在本仓库配置 GitHub noreply 邮箱，并确认 GitHub 网页设置隐藏邮箱地址。按实际改动运行检查，向 `main` 创建 PR。说明行为变化、检查结果、恢复影响和仍待验证的渠道条件。
+
+合并前，以待合并提交上的必需 CI `check` 为准。解决实质性审查意见后，使用 squash 合并。仓库规则禁止直接推送、强制推送或删除 `main`。PR 合并不授权 Android 应用提审。
+
+CI 工作流见 [check.yml](https://github.com/wangyiliangnet/android-publisher-cli/blob/main/.github/workflows/check.yml)。它运行公开源码扫描、TypeScript 检查、合成协议测试、真实 APK 签名测试、子进程崩溃恢复测试，以及 npm 安装检查。CI 只使用临时身份和合成材料。
+
+CLI 版本通过 [Prepare npm release](.github/workflows/prepare-npm-release.yml) 创建 PR。合并后由维护者发布对应 GitHub Release，触发 [Publish npm package](.github/workflows/publish-npm.yml)。配置和核对步骤见[版本发布](docs/release-process.md)。这些工作流不会使用渠道账号或上传 APK。
+
+## 文档归属
+
+| 内容 | 主要位置 |
+| --- | --- |
+| 项目用途和阅读入口 | [README](README.md) |
+| 安装、配置和凭据输入 | [首次使用](docs/colleague-quickstart.md) |
+| 每次发布、查询和恢复 | [日常发布](docs/daily-cli-workflow.md) |
+| 查询状态的含义 | [自动查询说明](docs/channels/automatic-observation.md) |
+| 执行约束和本地状态 | [架构](docs/architecture.md) |
+| 接口能力及来源 | [协议参考](docs/channels/protocol-evidence.md) |
+| 打包和版本交付 | [构建与分发](docs/mac-cli-delivery.md)、[版本发布](docs/release-process.md) |
+
+写操作步骤时，先列准备材料，再给命令。命令后说明成功的判断依据，以及失败时该做什么。审核、上架和查询健康状态分别描述，不能把“已受理”写成“已上架”。

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 wangyiliangnet and contributors
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/LICENSE.zh-CN.md

@@ -0,0 +1,11 @@
+# MIT 许可证中文译文
+
+本文为 [LICENSE](LICENSE) 的中文译文，供阅读参考；许可条款以英文原文为准。
+
+版权所有 (c) 2026 wangyiliangnet 及贡献者
+
+特此免费授予任何取得本软件及相关文档文件（以下简称“软件”）副本的人，不受限制地处理软件的权利，包括但不限于使用、复制、修改、合并、发布、分发、再许可及销售软件副本的权利，并允许获得软件的人行使上述权利，但须遵守以下条件：
+
+在软件的所有副本或实质性部分中，均须包含上述版权声明和本许可声明。
+
+软件按“原样”提供，不附带任何明示或默示担保，包括但不限于对适销性、特定用途适用性及不侵权的担保。在任何情况下，作者或版权持有人均不对因软件、软件使用或其他软件交易而产生、引起或与之相关的任何索赔、损害或其他责任负责，无论该责任基于合同、侵权或其他法律依据。

package/README.md

@@ -1,3 +1,34 @@
-# Temporary Holding Version
+# Android 发布工具
 
-This version is a temporary placeholder for this package. An operational version to replace this has been submitted for review and is awaiting a staged release.
+这个 CLI 使用 TypeScript 和 npm 构建。在 Apple Silicon Mac 上，它可向华为、荣耀、小米、OPPO、vivo 和应用宝提交已有应用的 Android 版本更新。发布规则固定为“审核通过后立即发布”。
+
+凭据默认在终端交互输入。CLI 不读取 macOS 钥匙串，也不保存用户输入的渠道密钥。发布批次、操作日志、短期令牌和上传授权保存在本机私有目录。真实渠道账号尚未完成新版实现的逐一验证；合成测试通过不代表账号具备发布权限。
+
+## 开始使用
+
+先安装 [`.node-version`](.node-version) 指定的 Node.js，以及 Android SDK Build Tools 和 JDK。安装与项目配置见[首次使用](docs/colleague-quickstart.md)。
+
+```sh
+npm ci --ignore-scripts
+npm run build
+node build/cli.js doctor
+```
+
+运行 `android-release prepare` 后，按[日常发布](docs/daily-cli-workflow.md)完成预检、审阅、提交和查询。**真实提交会上传 APK 并提审。** 请先核对应用、产物和渠道范围的授权。
+
+## 阅读入口
+
+| 任务 | 文档 |
+| --- | --- |
+| 安装、配置、输入凭据 | [首次使用](docs/colleague-quickstart.md) |
+| 准备批次、提交、查询和恢复 | [日常发布](docs/daily-cli-workflow.md) |
+| 理解审核、上架和查询状态 | [自动查询说明](docs/channels/automatic-observation.md) |
+| 修改代码、测试或提交 PR | [贡献指南](CONTRIBUTING.md) |
+| 查看状态机和渠道依据 | [架构](docs/architecture.md)、[协议参考](docs/channels/protocol-evidence.md) |
+| 打包或发布 npm 产物 | [构建与分发](docs/mac-cli-delivery.md)、[版本发布](docs/release-process.md) |
+
+0.1.x Go 版的本地状态不会迁入新版。新版数据保存在 `~/Library/Application Support/AndroidPublisherCLI/v2/`。迁移范围见[更新记录](CHANGELOG.md)。
+
+## 许可证
+
+原创代码采用 [MIT 许可证](LICENSE)。依赖和协议来源见[第三方声明](THIRD_PARTY_NOTICES.md)。本项目独立于各渠道厂商。

package/THIRD_PARTY_NOTICES.md

@@ -0,0 +1,9 @@
+# 第三方声明
+
+项目原创代码采用 [MIT 许可证](LICENSE)。npm 构建依赖的准确版本和完整性摘要记录在 `package-lock.json` 中。TypeScript 使用 Apache-2.0 许可证；`@types/node` 和 `undici-types` 使用 MIT 许可证。构建依赖不包含在交付的 npm tarball 中。
+
+CLI 运行时使用 Node.js 内置模块。Node.js、Android SDK Build Tools 和 JDK 由使用者另行安装，适用各自的许可证。npm tarball 不包含这些工具、真实 APK 或渠道凭据。
+
+仓库内的中文技术写作技能来自 [leter/zh-tech-writing](https://github.com/leter/zh-tech-writing)，采用 MIT 许可证。技能文件和许可保存在 `.agents/skills/zh-tech-writing/`，来源记录在 `skills-lock.json` 中。技能文件不包含在 CLI tarball 内。
+
+渠道文档用于研究协议。早期自动查询设计参考过 [apkgo](https://github.com/KevinGong2013/apkgo) 的一般思路。本仓库独立实现渠道协议，没有复制 apkgo 源码。apkgo 使用 PolyForm Noncommercial 许可证。渠道 API 和文档仍受各自条款约束，来源见[协议参考](docs/channels/protocol-evidence.md)。

package/build/artifact.js

@@ -0,0 +1,151 @@
+import fs from 'node:fs';
+import os from 'node:os';
+import path from 'node:path';
+import { spawnSync } from 'node:child_process';
+import { validHash, validPackage, validVersion } from './model.js';
+import { freezeFile, hashFile } from './private-file.js';
+function latest(directory, file) {
+    if (!fs.existsSync(directory))
+        return '';
+    const versions = fs.readdirSync(directory, { withFileTypes: true }).filter(entry => entry.isDirectory())
+        .map(entry => entry.name).sort((a, b) => {
+        const aa = a.match(/\d+/g)?.map(Number) ?? [];
+        const bb = b.match(/\d+/g)?.map(Number) ?? [];
+        for (let i = 0; i < Math.max(aa.length, bb.length); i++)
+            if ((aa[i] ?? 0) !== (bb[i] ?? 0))
+                return (bb[i] ?? 0) - (aa[i] ?? 0);
+        return b.localeCompare(a);
+    });
+    for (const version of versions) {
+        const found = path.join(directory, version, file);
+        if (fs.existsSync(found))
+            return found;
+    }
+    return '';
+}
+export class AndroidTools {
+    sdkRoot;
+    javaHome;
+    apkSigner;
+    apkAnalyzer;
+    aapt2;
+    androidJar;
+    constructor(sdkRoot = process.env.ANDROID_SDK_ROOT || process.env.ANDROID_HOME || path.join(os.homedir(), 'Library', 'Android', 'sdk'), javaHome = process.env.JAVA_HOME || '/Applications/Android Studio.app/Contents/jbr/Contents/Home') {
+        this.sdkRoot = sdkRoot;
+        this.javaHome = javaHome;
+        this.apkSigner = latest(path.join(sdkRoot, 'build-tools'), 'apksigner');
+        this.aapt2 = latest(path.join(sdkRoot, 'build-tools'), 'aapt2');
+        this.androidJar = latest(path.join(sdkRoot, 'platforms'), 'android.jar');
+        this.apkAnalyzer = path.join(sdkRoot, 'cmdline-tools', 'latest', 'bin', 'apkanalyzer');
+        if (!fs.existsSync(this.apkAnalyzer))
+            this.apkAnalyzer = latest(path.join(sdkRoot, 'cmdline-tools'), 'bin/apkanalyzer');
+    }
+    diagnostic() {
+        return { sdk_root: this.sdkRoot, java_home: this.javaHome,
+            apksigner: this.apkSigner, apkanalyzer: this.apkAnalyzer, aapt2: this.aapt2,
+            android_jar: this.androidJar, ready: Boolean(this.apkSigner && this.apkAnalyzer && this.aapt2 && this.androidJar) };
+    }
+    command(executable, args) {
+        if (!executable || !fs.existsSync(executable))
+            throw new Error('Android tool is unavailable; run android-release doctor');
+        const result = spawnSync(executable, args, { encoding: 'utf8', timeout: 30000, maxBuffer: 4 * 1024 * 1024,
+            env: { ...process.env, JAVA_HOME: this.javaHome } });
+        if (result.status !== 0 || result.error)
+            throw new Error(`${path.basename(executable)} failed; check the SDK, JDK and APK`);
+        return result.stdout;
+    }
+    inspect(apk) {
+        const certs = this.command(this.apkSigner, ['verify', '--verbose', '--print-certs', apk]);
+        const counts = [...certs.matchAll(/^Number of signers: ([0-9]+)[ \t\r]*$/gm)];
+        if (counts.length !== 1 || counts[0]?.[1] !== '1')
+            throw new Error('APK must have exactly one verified signer');
+        const hashes = new Set();
+        for (const line of certs.split('\n')) {
+            if (!line.includes('certificate SHA-256 digest:') || line.startsWith('Source Stamp '))
+                continue;
+            const match = line.match(/^(?:Signer #1 |V[0-9]+(?:\.[0-9]+)? Signer: )certificate SHA-256 digest: ([a-fA-F0-9]{64})[ \t\r]*$/);
+            if (!match)
+                throw new Error('unrecognized APK signer output');
+            hashes.add(match[1].toLowerCase());
+        }
+        if (hashes.size !== 1)
+            throw new Error('APK signer changed across signature schemes');
+        const query = (verb) => this.command(this.apkAnalyzer, ['manifest', verb, apk]).trim();
+        const packageName = query('application-id');
+        const versionName = query('version-name');
+        const versionCode = query('version-code');
+        const debuggable = query('debuggable');
+        if (!validPackage(packageName) || !validVersion(versionCode) || !versionName || versionName.length > 255 || !['true', 'false'].includes(debuggable))
+            throw new Error('invalid APK manifest');
+        if (debuggable === 'true')
+            throw new Error('debuggable APK cannot be published');
+        return { signer_sha256: [...hashes][0], package_name: packageName, version_name: versionName,
+            version_code: versionCode, abis: apkAbis(apk) };
+    }
+}
+// Read ZIP central-directory names without extracting untrusted APK content.
+export function apkAbis(apk) {
+    const fd = fs.openSync(apk, 'r');
+    try {
+        const size = fs.fstatSync(fd).size;
+        const tailSize = Math.min(size, 65557);
+        const tail = Buffer.alloc(tailSize);
+        fs.readSync(fd, tail, 0, tailSize, size - tailSize);
+        let eocd = -1;
+        for (let i = tail.length - 22; i >= 0; i--)
+            if (tail.readUInt32LE(i) === 0x06054b50) {
+                eocd = i;
+                break;
+            }
+        if (eocd < 0)
+            throw new Error('APK ZIP directory is missing');
+        const count = tail.readUInt16LE(eocd + 10);
+        const offset = tail.readUInt32LE(eocd + 16);
+        const length = tail.readUInt32LE(eocd + 12);
+        if (count === 0xffff || offset === 0xffffffff || length === 0xffffffff || offset + length > size)
+            throw new Error('unsupported ZIP64 APK');
+        const names = new Set();
+        let pos = offset;
+        for (let i = 0; i < count; i++) {
+            const head = Buffer.alloc(46);
+            if (fs.readSync(fd, head, 0, head.length, pos) !== head.length || head.readUInt32LE(0) !== 0x02014b50)
+                throw new Error('invalid APK ZIP directory');
+            const nameSize = head.readUInt16LE(28);
+            const extraSize = head.readUInt16LE(30);
+            const commentSize = head.readUInt16LE(32);
+            if (nameSize > 4096 || pos + 46 + nameSize + extraSize + commentSize > size)
+                throw new Error('invalid APK ZIP entry');
+            const name = Buffer.alloc(nameSize);
+            fs.readSync(fd, name, 0, nameSize, pos + 46);
+            const found = name.toString('utf8').match(/^lib\/([^/]+)\/[^/]+\.so$/);
+            if (found)
+                names.add(found[1]);
+            pos += 46 + nameSize + extraSize + commentSize;
+        }
+        return [...names].sort();
+    }
+    finally {
+        fs.closeSync(fd);
+    }
+}
+export function inspectAndFreeze(tools, source, root) {
+    const hashed = hashFile(source);
+    const inspected = tools.inspect(source);
+    const after = hashFile(source);
+    if (hashed.sha256 !== after.sha256 || hashed.size !== after.size)
+        throw new Error('APK changed while being inspected');
+    const frozen = path.join(root, 'artifacts', hashed.sha256, 'blob.apk');
+    freezeFile(source, frozen, hashed.sha256);
+    if (!validHash(inspected.signer_sha256))
+        throw new Error('invalid APK signer hash');
+    return { path: frozen, filename: path.basename(source), sha256: hashed.sha256, size: hashed.size, ...inspected };
+}
+export function verifyFrozen(tools, artifact) {
+    const hashed = hashFile(artifact.path);
+    if (hashed.sha256 !== artifact.sha256 || hashed.size !== artifact.size)
+        throw new Error('frozen APK differs from the reviewed artifact');
+    const current = tools.inspect(artifact.path);
+    for (const key of ['signer_sha256', 'package_name', 'version_name', 'version_code'])
+        if (current[key] !== artifact[key])
+            throw new Error('frozen APK identity changed');
+}

package/build/channels/auth.js

@@ -0,0 +1,65 @@
+import { constants, createPrivateKey, sign as signBytes } from 'node:crypto';
+import { digest, parseStrictJSON } from '../model.js';
+import { check, num, object, required, str, unknown } from './http.js';
+function b64(value) { return Buffer.from(value).toString('base64url'); }
+export function huaweiJWT(serviceJSON, now = Date.now()) {
+    const service = object(parseStrictJSON(serviceJSON));
+    const keyId = str(service.key_id);
+    const subAccount = str(service.sub_account);
+    const privateKey = str(service.private_key);
+    required(keyId, subAccount, privateKey);
+    const key = createPrivateKey(privateKey);
+    if (key.asymmetricKeyType !== 'rsa' || (key.asymmetricKeyDetails?.modulusLength ?? 0) < 2048)
+        throw new Error('Huawei service account key is invalid');
+    const seconds = Math.floor(now / 1000);
+    const signed = `${b64(JSON.stringify({ alg: 'PS256', kid: keyId, typ: 'JWT' }))}.${b64(JSON.stringify({
+        aud: 'https://oauth-login.cloud.huawei.com/oauth2/v3/token', iss: subAccount, iat: seconds, exp: seconds + 3600
+    }))}`;
+    const signature = signBytes('sha256', Buffer.from(signed), { key, padding: constants.RSA_PKCS1_PSS_PADDING, saltLength: 32 });
+    return `${signed}.${signature.toString('base64url')}`;
+}
+export async function bearer(channel, account, clientId, credentials, store, http) {
+    if (channel === 'huawei')
+        return huaweiJWT(credentials.service_account_json ?? '');
+    if (channel !== 'honor' && channel !== 'oppo')
+        return '';
+    const scope = digest([channel, account, clientId, 'token']);
+    const existing = store.beginToken(scope);
+    if (existing)
+        return existing;
+    try {
+        let token;
+        let expiry;
+        if (channel === 'honor') {
+            const secret = credentials.client_secret ?? '';
+            required(clientId, secret);
+            const form = Buffer.from(new URLSearchParams({ grant_type: 'client_credentials', client_id: clientId, client_secret: secret }).toString());
+            const response = await http.send({ method: 'POST', url: 'https://iam.developer.honor.com/auth/token', class: 'lifecycle',
+                headers: { 'Content-Type': 'application/x-www-form-urlencoded; charset=utf-8' }, body: form, size: form.length });
+            token = str(response.access_token);
+            const seconds = num(response.expires_in);
+            if (!token || response.token_type !== 'Bearer' || seconds === null || seconds <= 30 || seconds > 86400)
+                throw unknown();
+            expiry = Date.now() + seconds * 1000;
+        }
+        else {
+            const secret = credentials.client_secret ?? '';
+            required(clientId, secret);
+            const query = new URLSearchParams({ client_id: clientId, client_secret: secret });
+            const response = await http.send({ method: 'GET', path: `/developer/v1/token?${query}`, class: 'lifecycle' });
+            check(response, 'errno');
+            const data = object(response.data);
+            token = str(data.access_token);
+            const seconds = num(data.expire_in);
+            if (!token || seconds === null || seconds <= Date.now() / 1000 || seconds > 253402300799)
+                throw unknown();
+            expiry = seconds * 1000;
+        }
+        store.finishToken(scope, token, new Date(expiry).toISOString());
+        return token;
+    }
+    catch (error) {
+        store.unknownToken(scope);
+        throw error;
+    }
+}

package/build/channels/honor.js

@@ -0,0 +1,128 @@
+import { bearer } from './auth.js';
+import { BaseAdapter } from './types.js';
+import { check, decimal, id, list, object, required, str, unknown } from './http.js';
+const integerID = (value) => /^[1-9][0-9]{0,18}$/.test(value) && BigInt(value) <= 9223372036854775807n;
+export class HonorAdapter extends BaseAdapter {
+    channel = 'honor';
+    steps = ['authorize', 'upload', 'bind', 'metadata', 'submit'];
+    async call(path, method, kind, value, operationId) {
+        const token = await bearer('honor', this.target.account, this.target.client_id ?? '', this.secrets, this.store, this.http);
+        const response = await this.http.json(path, method, kind, value, operationId, { Authorization: `Bearer ${token}` });
+        check(response, 'code');
+        return response;
+    }
+    async raw(path, source, kind, operationId) {
+        const token = await bearer('honor', this.target.account, this.target.client_id ?? '', this.secrets, this.store, this.http);
+        const response = await this.http.rawJSON(path, 'POST', kind, source, operationId, { Authorization: `Bearer ${token}` });
+        check(response, 'code');
+        return response;
+    }
+    async details() {
+        const pkg = this.batch.package_name;
+        const found = await this.call(`/openapi/v1/publish/get-app-id?${new URLSearchParams({ pkgName: pkg })}`, 'GET', 'read');
+        const rows = list(found.data);
+        if (rows.length !== 1 || rows[0]?.packageName !== pkg || id(rows[0]?.appId) !== this.target.app_id || !integerID(this.target.app_id))
+            throw unknown();
+        const response = await this.call(`/openapi/v1/publish/get-app-detail?${new URLSearchParams({ appId: this.target.app_id })}`, 'GET', 'read');
+        const data = object(response.data);
+        const basic = object(data.basicInfo);
+        if (id(basic.appId) !== this.target.app_id || basic.packageName !== pkg)
+            throw unknown();
+        const release = object(data.releaseInfo);
+        const version = decimal(release.versionCode);
+        if (!version || BigInt(version) <= 0n)
+            throw unknown();
+        const languageRows = list(data.languageInfo);
+        let language = this.target.language_id ?? '';
+        if (!language) {
+            const matches = languageRows.filter(row => str(row.languageId).replaceAll('_', '-').toLowerCase() === 'zh-cn');
+            if (matches.length !== 1)
+                throw new Error('Honor Chinese language is missing or ambiguous');
+            language = str(matches[0]?.languageId);
+        }
+        const row = languageRows.find(item => item.languageId === language);
+        if (!row)
+            throw unknown();
+        const metadata = { language_id: language, app_name: str(row.appName), intro: str(row.intro),
+            brief_intro: str(row.briefIntro), prior_notes: str(row.newFeature) };
+        if (!metadata.app_name || !metadata.intro || !metadata.brief_intro)
+            throw unknown();
+        return { version, metadata };
+    }
+    async preflight() {
+        const details = await this.details();
+        if (BigInt(details.version) >= BigInt(this.batch.version_code))
+            throw new Error('Honor target version must exceed the live version');
+        return this.preflightRecord({ remote_version_code: details.version, remote_ref: this.target.app_id, metadata: details.metadata });
+    }
+    async execute(step, operationId) {
+        if (step === 'authorize') {
+            const response = await this.call(`/openapi/v1/publish/get-file-upload-url?${new URLSearchParams({ appId: this.target.app_id })}`, 'POST', 'write', [{ fileName: this.target.artifact.filename, fileType: 100,
+                    fileSize: this.target.artifact.size, fileSha256: this.target.artifact.sha256 }], operationId);
+            const rows = list(response.data);
+            if (rows.length !== 1 || rows[0]?.fileName !== this.target.artifact.filename)
+                throw unknown();
+            const entry = rows[0];
+            const ref = id(entry.objectId);
+            const expiry = Number(decimal(entry.expireTime));
+            const url = str(entry.uploadUrl);
+            let endpoint;
+            try {
+                endpoint = new URL(url);
+            }
+            catch {
+                throw unknown();
+            }
+            if (!integerID(ref) || !Number.isSafeInteger(expiry) || expiry <= Date.now() / 1000 ||
+                endpoint.origin !== 'https://appmarket-openapi-drcn.cloud.honor.com' || endpoint.pathname !== '/openapi/v1/publish/file-upload' ||
+                endpoint.searchParams.size !== 2 || endpoint.searchParams.get('appId') !== this.target.app_id || endpoint.searchParams.get('objectId') !== ref)
+                throw unknown();
+            const grant = { url, ref, expires_at: new Date(expiry * 1000).toISOString() };
+            return { ref, material: { value: grant, expiresAt: grant.expires_at } };
+        }
+        if (step === 'upload') {
+            const grant = this.material('authorize');
+            if (grant.ref !== this.ref('authorize'))
+                throw new Error('Honor upload grant differs from authorization receipt');
+            const token = await bearer('honor', this.target.account, this.target.client_id ?? '', this.secrets, this.store, this.http);
+            const response = await this.http.multipart(grant.url, {}, { file: this.target.artifact }, 'write', operationId, { Authorization: `Bearer ${token}` }, true);
+            check(response, 'code');
+            return { ref: grant.ref };
+        }
+        if (step === 'bind') {
+            const ref = this.ref('upload');
+            if (!integerID(ref))
+                throw new Error('Honor object ID is invalid');
+            await this.raw(`/openapi/v1/publish/update-file-info?${new URLSearchParams({ appId: this.target.app_id })}`, `{"bindingFileList":[{"objectId":${ref}}]}`, 'write', operationId);
+            return { ref };
+        }
+        if (step === 'metadata') {
+            const baseline = this.savedPreflight().metadata;
+            if (!baseline)
+                throw new Error('Honor language baseline missing');
+            required(baseline.language_id ?? '', baseline.app_name ?? '', baseline.intro ?? '', baseline.brief_intro ?? '', this.batch.release_notes);
+            await this.call(`/openapi/v1/publish/update-language-info?${new URLSearchParams({ appId: this.target.app_id })}`, 'POST', 'write', { setAll: 0, languageInfoList: [{ languageId: baseline.language_id, appName: baseline.app_name,
+                        intro: baseline.intro, briefIntro: baseline.brief_intro, newFeature: this.batch.release_notes }] }, operationId);
+            return { ref: `ack-${operationId}` };
+        }
+        if (step === 'submit') {
+            const response = await this.call(`/openapi/v1/publish/submit-audit?${new URLSearchParams({ appId: this.target.app_id })}`, 'POST', 'write', { releaseType: 1 }, operationId);
+            const ref = str(response.data);
+            if (!ref)
+                throw unknown();
+            return { ref };
+        }
+        throw new Error('unsupported Honor step');
+    }
+    async observe(remoteRef) {
+        if (!integerID(this.target.app_id) || !remoteRef || remoteRef.startsWith('ack-'))
+            return this.observation('unknown', 'unknown', 'unconfirmed', 'honor_audit_missing_release_id');
+        const response = await this.raw('/openapi/v1/publish/get-audit-result', `{"appId":[{"appId":${this.target.app_id},"releaseId":${JSON.stringify(remoteRef)}}]}`, 'read');
+        const rows = list(response.data);
+        if (rows.length !== 1 || id(rows[0]?.appId) !== this.target.app_id || rows[0]?.releaseId !== remoteRef)
+            throw unknown();
+        const code = decimal(rows[0]?.auditResult);
+        const review = code === '0' ? 'in_review' : code === '1' ? 'approved' : code === '2' ? 'rejected' : 'unknown';
+        return this.observation(review, 'unknown', 'confirmed', 'honor_release_audit', remoteRef);
+    }
+}