cardbuddy 0.10.0 → 0.11.0

package/dist/server-core/cardFiles.js

@@ -7,8 +7,11 @@ import { buildDataFromSchema } from './buildDataFromSchema.js'
 /**
  * 单张卡片 / 卡片列表的按需读取 / 写回服务端处理（dev 下实时读磁盘，无缓存）。
  * - GET  /__cards ：实时扫描 src/cards/* 目录，返回卡片列表 [{id,name,pageId}]。
+ * - POST /__cards ：新建空白卡片 { id, desc? }（空骨架 schema + 派生 data），网格顶栏「新增空白卡片」触发。
+ *   desc 选填：留空时卡片显示名（schema.name）回落到 ID，列表 / 顶栏下拉不至于出现空名。
  * - GET  /__card/<id> ：实时读 src/cards/<id>/schema.json，data 由 schema 派生返回。
  * - POST /__card/<id> ：把预览内编辑后的最新 schema 写回 src/cards/<id>/，data 单向重算。
+ * - DELETE /__card/<id> ：递归删除本地卡片文件夹（网格预览删除钮触发）。
  *
  * 以下纯函数被 mcp/ 客户端复用（降级模式直接读盘/写盘），保持单一实现、避免逻辑漂移。
  */
@@ -94,7 +97,9 @@ export function readCardFiles(root, id) {
 function writeJsonFile(dir, filename, value) {
   const text =
     value !== null && typeof value === 'object'
-      ? JSON.stringify(value, (k, v) => (k === '_schemaNode' ? undefined : v), 2)
+      ? // 末尾补换行：仓库里多数卡片 JSON 以 \n 结尾，缺了它每次保存都会在 git diff 里
+        // 多出一条「\」噪音（POSIX 文本文件也应以换行收尾）
+        `${JSON.stringify(value, (k, v) => (k === '_schemaNode' ? undefined : v), 2)}\n`
       : String(value)
   const target = path.join(dir, filename)
   const tmp = target + '.tmp'
@@ -138,10 +143,83 @@ export function createCardFilesMiddleware({ root }) {
       return res.end(JSON.stringify({ cards }))
     }
 
+    // 新建空白卡片：写空骨架（与 scaffold lib 的 buildCardSkeleton 同形状、components 空数组），
+    // 不生成封面 —— 空白卡在 /__card-image 直接 404，网格回退统一占位图。
+    if (pathname === '/__cards' && method === 'POST') {
+      let body = ''
+      req.on('data', (c) => {
+        body += c
+        if (body.length > 64 * 1024) req.destroy()
+      })
+      req.on('end', () => {
+        const send = (code, payload) => {
+          res.statusCode = code
+          res.setHeader('Content-Type', 'application/json')
+          res.end(JSON.stringify(payload))
+        }
+        let payload
+        try {
+          payload = JSON.parse(body || '{}')
+        } catch (e) {
+          return send(400, { error: 'invalid json', message: String(e.message) })
+        }
+        const id = String(payload.id || '').trim()
+        const desc = String(payload.desc || '').trim()
+        if (!/^[A-Za-z0-9][A-Za-z0-9_-]{0,63}$/.test(id)) {
+          return send(400, { error: 'invalid id', message: '卡片 ID 只能以字母/数字开头，含字母/数字/_/-（≤64 字符）' })
+        }
+        if (desc.length > 200) return send(400, { error: 'invalid desc', message: '卡片描述过长（≤200 字）' })
+        const dir = path.join(root, 'src', 'cards', id)
+        // 重名兜底闸：前端已按本地卡片列表前置拦截，这里防的是「列表过期 / 别的窗口刚建过 /
+        // macOS / Windows 文件系统不区分大小写导致同名不同大小写撞车」。带 message，弹窗才能直接显示人话
+        if (fs.existsSync(dir)) {
+          return send(409, { error: 'card exists', id, message: `卡片 ID 已存在：src/cards/${id} 已在本地，换一个 ID` })
+        }
+        try {
+          fs.mkdirSync(dir, { recursive: true })
+          const schema = {
+            version: '1.0.0',
+            pageId: id,
+            name: desc || id,
+            desc,
+            platform: '002',
+            dictionary: { dictionaryList: [], inputParams: [], mocks: {} },
+            view: {
+              width: '375',
+              className: 'Root',
+              style: { properties: [] },
+              properties: [],
+              eventactions: [],
+              components: [],
+            },
+          }
+          writeJsonFile(dir, 'schema.json', schema)
+          writeJsonFile(dir, 'data.json', buildDataFromSchema(schema))
+          log.ok('新建空白卡片', id)
+          return send(200, { ok: true, id })
+        } catch (e) {
+          // 写盘失败不留半截卡：整个目录回滚删掉
+          try { fs.rmSync(dir, { recursive: true, force: true }) } catch { /* 忽略清理失败 */ }
+          log.error('新建空白卡片失败', e)
+          return send(500, { error: 'create failed', message: String(e.message) })
+        }
+      })
+      return
+    }
+
     const m = pathname.match(/^\/__card\/([^/]+)$/)
     if (!m) return next()
     const id = decodeURIComponent(m[1])
-    const dir = path.join(root, 'src', 'cards', id)
+    const cardsRoot = path.join(root, 'src', 'cards')
+    const dir = path.join(cardsRoot, id)
+    // 路径 containment 硬校验：id 形如 ..%2F.. 时 path.join 会逃出 src/cards，
+    // GET/POST/DELETE 全方法受益（DELETE 是递归删目录，越权即灾难）
+    const rel = path.relative(cardsRoot, dir)
+    if (rel.startsWith('..') || path.isAbsolute(rel) || !rel) {
+      res.statusCode = 404
+      res.setHeader('Content-Type', 'application/json')
+      return res.end(JSON.stringify({ error: 'card not found', id }))
+    }
     if (!fs.existsSync(dir) || !fs.statSync(dir).isDirectory()) {
       log.warn('卡片未找到', { id })
       res.statusCode = 404
@@ -188,6 +266,21 @@ export function createCardFilesMiddleware({ root }) {
       })
       return
     }
+    if (method === 'DELETE') {
+      // 删除本地卡片文件夹（网格预览格子右下角删除钮触发，前端有警告确认兜底）
+      try {
+        fs.rmSync(dir, { recursive: true, force: true })
+        log.ok('删除卡片', id)
+        res.statusCode = 200
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ ok: true, id }))
+      } catch (e) {
+        log.error('删除卡片失败', e)
+        res.statusCode = 500
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ error: 'delete failed', message: String(e.message) }))
+      }
+    }
     return next()
   }
 }

package/dist/server-core/cardImage.js

@@ -68,6 +68,20 @@ export function createCardImageMiddleware({ root }) {
       return
     }
 
+    // 空白卡（schema 无 components）：无头截图只会得到一张无意义纯色图，
+    // 直接 404 让前端网格回退统一占位图，省一次渲染拉起。
+    try {
+      const schema = JSON.parse(fs.readFileSync(path.join(dir, 'schema.json'), 'utf8'))
+      const comps = schema && schema.view && schema.view.components
+      if (Array.isArray(comps) && !comps.length) {
+        res.statusCode = 404
+        res.setHeader('Cache-Control', 'no-store')
+        return res.end()
+      }
+    } catch {
+      /* schema 缺失 / 损坏：按旧逻辑回退截图 */
+    }
+
     // 无同名预览图：回退实时无头截图（复用 /__screenshot 渲染内核）。
     // width 由查询参数决定（默认 390），与 /__screenshot 一致。
     const q = new URL(req.url, 'http://localhost')

package/dist/server-core/cardSave.js

@@ -1,6 +1,8 @@
 import fs from 'node:fs'
 import path from 'node:path'
 import { pathToFileURL } from 'node:url'
+import { fileURLToPath } from 'node:url'
+const __dirname = path.dirname(fileURLToPath(import.meta.url))
 
 const skillDir = path.resolve(process.cwd(), 'skills', 'finmall-card-sync')
 const skillPath = path.join(skillDir, 'scripts', 'api_batch_sync.mjs')

package/dist/server-core/cardValidate.js

@@ -2,6 +2,9 @@ import fs from 'node:fs'
 import path from 'node:path'
 import { execFile, execFileSync } from 'node:child_process'
 
+import { fileURLToPath } from 'node:url'
+const __dirname = path.dirname(fileURLToPath(import.meta.url))
+
 /**
  * 契约校验端点（L0 闭环之一）。
  *

package/dist/server-core/index.js

@@ -26,6 +26,7 @@ import { createSliceStaticMiddleware } from './sliceStatic.js'
 import { createCardImageMiddleware } from './cardImage.js'
 import { createOpenFolderMiddleware } from './cardOpenFolder.js'
 import { createCodeBridgeMiddleware } from './codeBridge.js'
+import { createAiChatMiddleware } from './ai-chat.js'
 import {
   createLogMiddleware,
   installLogMirror,
@@ -108,4 +109,6 @@ export function mountCoreMiddlewares(app, { root, viteServer = null, upstream =
   // 资源代理：由 8787（cardbuddy）统一提供，Vite 彻底零后端插件。
   // upstream 空串时中间件仍会注册，但 /minio 等请求只会走占位图兜底，不会崩溃。
   app.use(createAssetProxyMiddleware({ root, upstream }))
+  // AI 聊天：POST /__ai/chat 流式调用用户自带 LLM，工具调度复用 mcp/tools.mjs
+  app.use(createAiChatMiddleware({ root }))
 }

package/dist/server-core/sliceUpload.js

@@ -43,7 +43,14 @@ export function createSliceUploadMiddleware({ root }) {
         )
       }
       try {
-        const skillPath = path.join(root, 'skills', 'finmall-card-sync', 'scripts', 'slice_upload.mjs')
+        function resolveUploadScript(root) {
+  const primary = path.join(root, 'skills', 'finmall-card-sync', 'scripts', 'slice_upload.mjs')
+  if (fs.existsSync(primary)) return primary
+  const vendored = path.resolve(__dirname, '..', 'vendored', 'skills', 'finmall-card-sync', 'scripts', 'slice_upload.mjs')
+  if (fs.existsSync(vendored)) return vendored
+  return primary
+}
+const skillPath = resolveUploadScript(root)
         const { uploadSlices } = await import(pathToFileURL(skillPath).href)
         const summary = await uploadSlices({
           cardId: String(payload.cardId),