cardbuddy 0.14.0 → 0.14.2

package/dist/preview-editor/index.html

@@ -8,7 +8,7 @@
     <link rel="icon" type="image/png" sizes="16x16" href="/assets/favicon-16-Cg6Nrosk.png" />
     <link rel="icon" type="image/png" sizes="32x32" href="/assets/favicon-32-B_1744sp.png" />
     <link rel="apple-touch-icon" sizes="180x180" href="/assets/apple-touch-icon-BQcES9QK.png" />
-    <script type="module" crossorigin src="/assets/index-Bccog4uC.js"></script>
+    <script type="module" crossorigin src="/assets/index-BN79pTkQ.js"></script>
     <link rel="stylesheet" crossorigin href="/assets/index-cbTCHp8J.css">
   </head>
   <body>

package/dist/standalone.js

@@ -22,8 +22,11 @@ import vue from '@vitejs/plugin-vue'
 import chokidar from 'chokidar'
 import chalk from 'chalk'
 
-import { mountCoreMiddlewares, installLogMirror, subscribeLog } from './core.js'
-import { refreshCardList } from '../../../server/core/cardFiles.js'
+// 一律经 core.js 取 server/core 的东西：仓库内它桥到 ../../../server/core/index.js，
+// 发布态由 build.mjs 生成 dist/core.js 桥到包内快照 ./vendored/server/core/index.js。
+// 直接写仓库相对路径（如 ../../../server/core/cardFiles.js）在**安装态会解析到包外** —— 0.14.0
+// 就是因此在全局安装后 ERR_MODULE_NOT_FOUND（连 --help 都起不来）。见 build.mjs 门禁 D。
+import { mountCoreMiddlewares, installLogMirror, subscribeLog, refreshCardList } from './core.js'
 import { loadConfig } from './config.js'
 import { ensurePortFree } from './portGuard.js'
 
@@ -440,6 +443,11 @@ export async function startServer(userConfig = {}) {
   // （首次 AI 请求才 import），故这里在启动期注入即可；已有的显式环境变量优先，不覆盖。
   if (!process.env.CARD_ROOT) process.env.CARD_ROOT = config.root
   if (!process.env.CARD_API_BASE) process.env.CARD_API_BASE = apiBase
+  // 技能层（skills/*/scripts，发布态为包内快照）认宿主工程根用的是 DSL_CARD_PROJECT_ROOT。
+  // 这里显式桥一次：脚本不能靠「自身位置往上推」认工程根 —— 发布态它住在
+  // <pkg>/dist/vendored/skills/... 里，推出来的是包内快照目录，UI/ 产物会写进 node_modules
+  // （0.14.1 的 route_input 事故）。技能层的 AI 工具与 skill_exec 子进程都继承本进程 env。
+  if (!process.env.DSL_CARD_PROJECT_ROOT) process.env.DSL_CARD_PROJECT_ROOT = config.root
   // upstream（FINMALL_BASE_URL）透传给资源代理中间件，使其能回源 FinMall 取站内资源
   mountCoreMiddlewares(app, {
     root: config.root,

package/dist/vendored/mcp/client.mjs

@@ -19,6 +19,12 @@ import { devApiBase } from '../tools/finmall-env.mjs'
 
 const __dirname = dirname(fileURLToPath(import.meta.url))
 const ROOT = process.env.CARD_ROOT ? resolve(process.env.CARD_ROOT) : resolve(__dirname, '..')
+// 本模块下面会 import 技能层脚本（route_input / scaffold / …），它们按 DSL_CARD_PROJECT_ROOT
+// 认宿主工程根。必须在**任何** skills/* 模块被加载之前落定 —— 那些模块在 import 期就算好路径常量
+// （晚一步注入等于没注入）。CARD_ROOT 给了就以它为准；没有 CARD_ROOT 时 ROOT 已是本模块的上一级，
+// 仓库内即仓库根。这样即使外部 MCP 客户端只配了命令、没配 cwd，技能层也不会把 UI/ 产物写进
+// node_modules 里的包内快照（0.14.1 的 route_input 事故）。
+if (!process.env.DSL_CARD_PROJECT_ROOT) process.env.DSL_CARD_PROJECT_ROOT = ROOT
 // dev server 端口由 .env.cb 的 CARDBUDDY_DEV_PORT 控制（默认 5180）；
 // 仍可用 CARD_API_BASE 覆盖（如 dev server 跑在非默认端口）。
 const BASE = (process.env.CARD_API_BASE || devApiBase()).replace(/\/$/, '')

package/dist/vendored/server/core/ai-chat.js

@@ -240,7 +240,7 @@ function buildSystemPrompt({ shellAllowed = false, vision = false, autoApprove =
 4. 改完用人话说明：改了什么、为什么、需要用户确认什么。
 5. 信息足够后立即收敛：直接调用工具落盘或回复方案；同一内容不要重复读取。**思考里不要逐字草拟 schema / IR / 长 JSON，也不要复述卡片数据**——那会同时吃掉思考与输出额度，想清结构就立刻调工具把内容写出去。
 6. 读文件用 fs_read（仓库内任意文本文件 / 挂载附件），列目录用 fs_list —— fs_read 只能读文件，对目录一定报错，别拿它试目录；被中止过的轮次按上下文里的中止标记从中断处继续，不要从零重做。
-7. 跑技能脚本用 skill_exec（script 传 skills/<skill>/scripts/<脚本>，args 传参数数组）：设计稿前处理管线与 spec_audit / crop_slices / expand_ir / iterate / check_fidelity 等建卡脚本都靠它。${skillAuto ? '本仓库已设「技能脚本免确认」：调用即执行（审计写 .cache/ai-audit.log），不要停下来等用户批准，也不要因为怕要授权而改用 shell_exec 绕路、或把命令甩给用户自己跑。' : '每次调用会先请用户确认（用户可选「本回合不再询问」），被拒就把命令原样写给用户自行运行。'}${shellAllowed ? `\n8. 技能脚本之外的本地命令（npm / node / git / rg / cd 等）用 shell_exec：经真实 shell 执行，管道 |、链接 && / ;、重定向、引号与循环 / 条件 / 子shell 都可用（其中真正执行的每个外部命令需在白名单），不必再为元字符把命令拆开；复制文件用 fs_copy。${shellAuto ? '本仓库已设「本地命令免确认」：调用即执行。' : '每次调用都会弹给用户确认，被拒返回错误。'}cwd 已是仓库根、技能脚本自己按仓库根推算落点，不要写 cd；白名单不含 sips / convert / magick / python3 —— 图像裁剪派生一律 crop_slices.mjs，Python 脚本一律 skill_exec，别去试系统图像命令。` : ''}
+7. 跑技能脚本用 skill_exec（script 传 skills/<skill>/scripts/<脚本>，args 传参数数组）：设计稿前处理管线与 spec_audit / crop_slices / expand_ir / iterate / check_fidelity 等建卡脚本都靠它。${skillAuto ? '本仓库已设「技能脚本免确认」：调用即执行（审计写 .cache/ai-audit.log），不要停下来等用户批准，也不要因为怕要授权而改用 shell_exec 绕路、或把命令甩给用户自己跑。' : '每次调用会先请用户确认（用户可选「本回合不再询问」），被拒就把命令原样写给用户自行运行。'}${shellAllowed ? `\n8. 技能脚本之外的本地命令（npm / node / git / rg / cd 等）用 shell_exec：经真实 shell 执行，管道 |、链接 && / ;、重定向、引号与循环 / 条件 / 子shell 都可用（其中真正执行的每个外部命令需在白名单），不必再为元字符把命令拆开；复制文件用 fs_copy。${shellAuto ? '本仓库已设「本地命令免确认」：调用即执行。' : '每次调用都会弹给用户确认，被拒返回错误。'}cwd 已是工程根（技能脚本按 DSL_CARD_PROJECT_ROOT / cwd 认工程根，不按自身位置推算，落点由服务端注入），不要写 cd；白名单不含 sips / convert / magick / python3 —— 图像裁剪派生一律 crop_slices.mjs，Python 脚本一律 skill_exec，别去试系统图像命令。` : ''}
 
 ## 设计稿建卡协议（Stage Machine：逐阶段推进，上一阶段产物齐了才进下一阶段；用户挂载设计稿目录 / 图片并要求建卡时严格执行，不要自由发挥）
 S0 路由：输入形态已由服务端机械判定，写在「用户挂载的本地文件」段（kind / preprocess / next）：照它执行，不要再调 card_route_input；该段缺失才自己调 card_route_input({ path })。
@@ -1306,7 +1306,9 @@ async function runShellExec(root, args, res, approved) {
   )
 }
 
-/** 技能脚本执行：路径形状校验 → 解释器解析 → 审批（或按策略免确认）→ 跑（cwd=仓库根，脚本自己按仓库根推算落点） */
+/** 技能脚本执行：路径形状校验 → 解释器解析 → 审批（或按策略免确认）→ 跑（cwd=工程根；
+ *  脚本认工程根走 DSL_CARD_PROJECT_ROOT > cwd，**不按自身位置推算** —— 发布态脚本住在包内快照里，
+ *  按自身位置推会把 UI/ 产物写进 node_modules，见 tools/tests/cardbuddy-project-anchor.test.mjs） */
 async function runSkillExec(root, args, res, approved) {
   const script = resolveSkillScript(root, args.script)
   const argv = normalizeSkillArgs(args.args)

package/dist/vendored/server/core/index.js

@@ -12,7 +12,7 @@
  */
 import { createSyncMiddleware, createPreviewMiddleware, createLoginCredentialsMiddleware } from './cardSync.js'
 import { createSliceUploadMiddleware } from './sliceUpload.js'
-import { createCardFilesMiddleware } from './cardFiles.js'
+import { createCardFilesMiddleware, refreshCardList } from './cardFiles.js'
 import { createSaveMiddleware } from './cardSave.js'
 import { createImportMetaMiddleware } from './cardImportMeta.js'
 import { createHistoryMiddleware } from './cardHistory.js'
@@ -57,6 +57,12 @@ export {
   createCardImageMiddleware,
   createOpenFolderMiddleware,
   createCodeBridgeMiddleware,
+  // refreshCardList：standalone / --preview 服务在文件变动后重建卡片列表快照要用它。
+  // 必须经本入口导出，**不要**让包外调用方直接 import './cardFiles.js' —— 发布态
+  // dist/core.js 被构造成桥到包内快照（./vendored/server/core/index.js），而写死的仓库相对路径
+  // 在安装态会解析到包外（0.14.0 的 standalone.js 就因此 ERR_MODULE_NOT_FOUND）。
+  // build.mjs 门禁 D 会静态拦住这类「dist 里解析不到的相对引用」。
+  refreshCardList,
   createLogMiddleware,
   installLogMirror,
   subscribeLog,

package/dist/vendored/skills/dsl-card-generator/scripts/lib/paths.mjs

@@ -52,9 +52,29 @@ export const baselinesDir =
 /** 兼容旧脚本的别名：宿主项目根目录。 */
 export const repoRoot = projectRoot
 
-/** skills 父目录（供需要跨 skill 的脚本使用）。 */
+/**
+ * 本 skill 所在的 skills 父目录 —— **按脚本自身位置**推算。
+ * 仓库内即 <repo>/skills；发布态快照里是 <pkg>/dist/vendored/skills。
+ * 只用于「找不到宿主技能库时的兜底」，别拿它推宿主工程根（见 hostSkillsDir）。
+ */
 export const skillsDir = path.dirname(skillRoot)
 
+/**
+ * 宿主工程的 skills 根 —— 给用户 / 模型看的命令里该用的那一份。
+ *
+ * 与 skillsDir 的区别（0.14.1 事故）：发布态脚本住在 `<pkg>/dist/vendored/skills/...`，
+ * 那不是宿主的技能库；命令里出现 node_modules 路径既是错的、也误导模型去改包内文件。
+ * 解析顺序与 server/core/skillPaths.js 的只读候选一致：
+ *   DSL_SKILLS_ROOT（显式）> <projectRoot>/skills（存在）> 本 skill 所在快照的 skills/（兜底）。
+ */
+export const hostSkillsDir = (() => {
+  const explicit = process.env.DSL_SKILLS_ROOT
+  if (explicit && fs.existsSync(explicit)) return path.resolve(explicit)
+  const inProject = path.join(projectRoot, 'skills')
+  if (fs.existsSync(inProject)) return inProject
+  return skillsDir
+})()
+
 /**
  * 解析卡片目录的绝对路径。
  * @param {string} id 卡片 id

package/dist/vendored/skills/dsl-card-generator/scripts/lib/paths.py

@@ -64,9 +64,32 @@ baselines_dir = Path(
 repo_root = project_root
 
 # skills 父目录。
+# 按脚本自身位置推算：仓库内即 <repo>/skills，发布态快照里是 <pkg>/dist/vendored/skills。
+# 只用于「找不到宿主技能库时的兜底」，别拿它推宿主工程根（见 host_skills_dir）。
 skills_dir = skill_root.parent
 
 
+def _host_skills_dir() -> Path:
+    """
+    宿主工程的 skills 根 —— 给用户 / 模型看的命令里该用的那一份。
+
+    与 skills_dir 的区别（0.14.1 事故）：发布态脚本住在 <pkg>/dist/vendored/skills/...，
+    那不是宿主的技能库；命令里出现 node_modules 路径既是错的、也误导模型去改包内文件。
+    解析顺序与 server/core/skillPaths.js 的只读候选一致：
+      DSL_SKILLS_ROOT（显式）> <project_root>/skills（存在）> 本 skill 所在快照的 skills/（兜底）。
+    """
+    explicit = os.environ.get("DSL_SKILLS_ROOT")
+    if explicit and Path(explicit).is_dir():
+        return Path(explicit).resolve()
+    in_project = project_root / "skills"
+    if in_project.is_dir():
+        return in_project
+    return skills_dir
+
+
+host_skills_dir = _host_skills_dir()
+
+
 def card_dir(card_id: str) -> Path:
     """解析卡片目录的绝对路径：`<cards_dir>/<id>`。"""
     return cards_dir / card_id

package/dist/vendored/skills/dsl-card-generator/scripts/route_input.mjs

@@ -22,12 +22,12 @@ import fs from 'node:fs'
 import path from 'node:path'
 import { spawnSync } from 'node:child_process'
 import { fileURLToPath } from 'node:url'
-import { skillsDir } from './lib/paths.mjs'
+import { hostSkillsDir, projectRoot } from './lib/paths.mjs'
 
 const IMAGE_EXT = new Set(['.png', '.jpg', '.jpeg', '.webp'])
 /** 已知入口文件：判定交给它所在目录（index.html=MeaXure 导出；manifest/clusters/spec/prompt=要素包；schema=卡片目录）。 */
 const ENTRY_FILES = new Set(['index.html', 'manifest.json', 'clusters.json', 'spec.json', 'spec.md', 'prompt.md', 'schema.json'])
-const SKETCH_SKILL = path.join(skillsDir, 'sketch-spec-to-card')
+const SKETCH_SKILL = path.join(hostSkillsDir, 'sketch-spec-to-card')
 /**
  * 多画板选择门禁（铁律见 references/rules.md §十三）：UI 产物允许全量生成，
  * 但卡片生成必须以用户指定的单个画板 / 单个 cardKey 为单位。
@@ -36,13 +36,18 @@ const SKETCH_SKILL = path.join(skillsDir, 'sketch-spec-to-card')
 const SELECTION_GATE =
   '# 多画板门禁（rules.md §十三 + §13.4）：用 spec_tree.mjs --list-cards 把全量画板按「画板序号.卡片序号」列出（一个画板含 N 张卡则展开为 K.1 ~ K.N）+ 末尾加「全部」；让用户选的方式 = 正文逐条写清单 + 一句提问后停止输出、等用户回序号再继续（**没有** request_user_input 这个工具，不要去找弹窗，也不要替用户挑）；序号格式「画板序号.卡片序号」（如 1.2），单独回画板序号默认取该画板第 1 张卡；UI 产物可回「全部」全量生成，产卡默认单卡片（回「全部」才算显式批量授权）；禁止自行挑画板或挑卡、禁止擅自批量产卡；清单逐行配图：每个卡片行下紧跟它自己的 card-N.png 绝对路径，同一画板的卡共享画板预览图（artboard.png）但各有聚焦图；与序号一一对应，缺图显式标缺失，禁止把图堆在清单末尾。'
 /**
- * 要素包根目录 UI/：与上游 `sketch-spec-to-card/scripts/parse_meaxure.py` 的 `REPO_ROOT/UI`
- * （按脚本自身路径推算，非 cwd）保持同一锚点，避免「建议命令」与「实际落点」分叉。
- * 可用 DSL_CARD_UI_DIR 直接指定，或用 DSL_CARD_PROJECT_ROOT 指定宿主工程根。
+ * 要素包根目录 UI/ —— **锚在宿主工程根，不锚在脚本自身位置**。
+ *
+ * 曾经的写法（`path.resolve(skillsDir, '..')`）在仓库内恰好等于工程根，怎么跑都对；
+ * 可发布态脚本住在 `<pkg>/dist/vendored/skills/...`，往上两级是包内快照目录，于是
+ * `card_route_input`（MCP 里直接吃包内快照那份）会把 uiDir 算成
+ * `node_modules/cardbuddy/dist/vendored/UI/<稿名>` —— 产物写进 node_modules、重装即丢，
+ * 同时把「建议命令」和实际落点一起带偏（0.14.1 的 npx 工程事故）。
+ * 工程根一律取 `projectRoot`（= DSL_CARD_PROJECT_ROOT || cwd，与 parse_meaxure.py /
+ * build_prompt.py / lib/paths.py 同一契约）；可用 DSL_CARD_UI_DIR 直接指定 UI 根。
  */
-const REPO_ROOT = path.resolve(skillsDir, '..')
-const UI_ROOT =
-  process.env.DSL_CARD_UI_DIR || path.join(process.env.DSL_CARD_PROJECT_ROOT || REPO_ROOT, 'UI')
+const REPO_ROOT = projectRoot
+const UI_ROOT = process.env.DSL_CARD_UI_DIR || path.join(REPO_ROOT, 'UI')
 
 function exists(target) {
   try {
@@ -250,8 +255,8 @@ function route(inputAbs) {
         skillChain: ['dsl-card-generator'],
         workflow: 'Workflow B — 编辑已有卡片',
         next: [
-          `node ${shortPath(path.join(skillsDir, 'dsl-card-generator', 'scripts', 'describe_card.mjs'))} --id ${path.basename(inputAbs)}`,
-          `node ${shortPath(path.join(skillsDir, 'dsl-card-generator', 'scripts', 'diff_card.mjs'))} --id ${path.basename(inputAbs)}`,
+          `node ${shortPath(path.join(hostSkillsDir, 'dsl-card-generator', 'scripts', 'describe_card.mjs'))} --id ${path.basename(inputAbs)}`,
+          `node ${shortPath(path.join(hostSkillsDir, 'dsl-card-generator', 'scripts', 'diff_card.mjs'))} --id ${path.basename(inputAbs)}`,
         ],
         note: '输入已是卡片目录，走编辑链路（card_node_models 定位 + add_component 增改 + diff_card 兜底），不需要设计稿前处理。',
       }
@@ -291,7 +296,7 @@ function route(inputAbs) {
               SELECTION_GATE,
               `# 拿到回复后（产物已存在，${done.via}，已生成 ${done.generated}/${done.total} 画板），跳过前处理，只消费用户指定的那个画板：`,
               `cat ${shortPath(done.manifest)}`,
-              `node ${shortPath(path.join(skillsDir, 'dsl-card-generator', 'scripts', 'spec_tree.mjs'))} --spec ${shortPath(path.join(uiDir, '<画板>', 'spec.json'))}`,
+              `node ${shortPath(path.join(hostSkillsDir, 'dsl-card-generator', 'scripts', 'spec_tree.mjs'))} --spec ${shortPath(path.join(uiDir, '<画板>', 'spec.json'))}`,
               ...(done.alsoFound && done.alsoFound.length
                 ? [`# 同一导出另有产物目录（目标画板在主 manifest 里是 pending 时先去这些目录找，找到就直接用，别重跑管线）：${done.alsoFound.map((m) => `${m.uiDir}（已生成 ${m.generated}/${m.total}）`).join('、')}`]
                 : []),
@@ -313,7 +318,7 @@ function route(inputAbs) {
     const bundle = detectUiBundle(inputAbs)
     if (bundle.matched) {
       const specHint = bundle.specJson
-        ? `node ${shortPath(path.join(skillsDir, 'dsl-card-generator', 'scripts', 'spec_tree.mjs'))} --spec ${shortPath(bundle.specJson)}`
+        ? `node ${shortPath(path.join(hostSkillsDir, 'dsl-card-generator', 'scripts', 'spec_tree.mjs'))} --spec ${shortPath(bundle.specJson)}`
         : `cat ${shortPath(bundle.manifest || inputAbs)}`
       return {
         kind: 'ui-bundle',
@@ -332,7 +337,7 @@ function route(inputAbs) {
           specHint,
           ...(bundle.artboardBundle ? [] : [
             `# 先用 --list-cards 列出每个画板下的卡片清单（画板序号.卡片序号），交给用户选：`,
-            `node ${shortPath(path.join(skillsDir, 'dsl-card-generator', 'scripts', 'spec_tree.mjs'))} --list-cards ${shortPath(inputAbs)}`,
+            `node ${shortPath(path.join(hostSkillsDir, 'dsl-card-generator', 'scripts', 'spec_tree.mjs'))} --list-cards ${shortPath(inputAbs)}`,
             SELECTION_GATE,
           ]),
           `# 再按 SKILL.md §8 Workflow A 六步闭环生成 schema（scaffold_card → add_component/expand_ir → validate+lint → render_diff）`,

package/dist/vendored/skills/dsl-card-generator/scripts/slices_normalize.mjs

@@ -24,13 +24,12 @@
  */
 import fs from 'node:fs'
 import path from 'node:path'
-import { fileURLToPath } from 'node:url'
 import { buildContentIndex, checkSliceName, sha256File } from './lib/slice_dedupe.mjs'
+import { cardsDir as CARDS_DIR, projectRoot as REPO_ROOT, slicesDir as SLICES_DIR } from './lib/paths.mjs'
 
-const HERE = path.dirname(fileURLToPath(import.meta.url))
-const REPO_ROOT = path.resolve(HERE, '../../..')
-const SLICES_DIR = path.join(REPO_ROOT, 'src/slices')
-const CARDS_DIR = path.join(REPO_ROOT, 'src/cards')
+// 工程根一律走 lib/paths.mjs（DSL_CARD_PROJECT_ROOT || cwd）—— 原先按脚本自身位置
+// （`HERE/../../..`）推算，仓库内恰好等于工程根，发布态却会指到 <pkg>/dist/vendored，
+// 于是切图改名 / 卡片引用改写全落到包内快照上（重装即丢）。
 const MANIFEST = path.join(SLICES_DIR, 'manifest.json')
 
 /**

package/dist/vendored/skills/shared/finmall-config.mjs

@@ -29,7 +29,17 @@ function findRepoRoot(startDir) {
   return path.resolve(__dirname, '..', '..')
 }
 
-const PROJECT_ROOT = findRepoRoot(__dirname)
+/**
+ * 宿主工程根：优先显式注入（cardbuddy 的 standalone.js / mcp.js / client.mjs 会按工程根设
+ * `DSL_CARD_PROJECT_ROOT`），其次才按自身位置向上找 package.json。
+ * 为什么要有第一优先级：发布态本文件住在 `<pkg>/dist/vendored/skills/shared/`，
+ * 往上第一个带 package.json 的目录是**包自己**（node_modules/cardbuddy），
+ * 于是 .env.cb 会去读包内那份（不存在）→ 静默退化成默认值，消费者工程的
+ * FINMALL_BASE_URL / APP_ID / 端口全被忽略。与 route_input.mjs / parse_meaxure.py 同一契约。
+ */
+const PROJECT_ROOT = process.env.DSL_CARD_PROJECT_ROOT
+  ? path.resolve(process.env.DSL_CARD_PROJECT_ROOT)
+  : findRepoRoot(__dirname)
 
 /**
  * 解析 .env 文件，返回 key-value 对象。

package/dist/vendored/skills/sketch-spec-to-card/SKILL.md

@@ -119,7 +119,7 @@ python skills/sketch-spec-to-card/scripts/build_prompt.py --only "未登录"
 python skills/sketch-spec-to-card/scripts/cluster_states.py --out <UI目录>
 python skills/sketch-spec-to-card/scripts/cluster_states.py --out <UI目录> --auto-refs       # 从 src/cards 动态探测参考卡
 ```
-- `--src` 缺省取环境变量 `MEAXURE_SRC`，否则为当前目录；实际请显式传入 `--src`。默认 `--out` = 仓库根/`UI`（脚本按自身路径推算，确保落在工程根而非 skills/ 下）。
+- `--src` 缺省取环境变量 `MEAXURE_SRC`，否则为当前目录；实际请显式传入 `--src`。默认 `--out` = **工程根**/`UI`，工程根取 `DSL_CARD_PROJECT_ROOT`、缺省当前工作目录（cwd）—— **不按脚本自身位置推算**：发布态脚本住在 `<pkg>/dist/vendored/skills/…` 里，按自身位置推会把 `UI/` 写进 node_modules（0.14.1 事故；回归见 `tools/tests/cardbuddy-project-anchor.test.mjs`）。
 
 ## 4. 与 dsl-card-generator 的衔接（边界）
 - **本 skill 只产出要素，不调用 dsl-card-generator**。职责分离：解析/标注/切图归本 skill，建卡 schema 归 dsl-card-generator。

package/dist/vendored/skills/sketch-spec-to-card/scripts/build_prompt.py

@@ -12,6 +12,7 @@ build_prompt.py — 由 parse_meaxure.py 的 spec.json（视觉驱动）生成
 """
 import argparse
 import json
+import os
 import re
 import sys
 from collections import Counter
@@ -19,8 +20,12 @@ from pathlib import Path
 
 SCRIPT_DIR = Path(__file__).resolve().parent
 SKILL_DIR = SCRIPT_DIR.parent
-REPO_ROOT = SKILL_DIR.parent.parent
-DEFAULT_OUT = REPO_ROOT / "UI"
+# 宿主工程根：与 parse_meaxure.py / dsl-card-generator/scripts/lib/paths.py 同一契约
+# （DSL_CARD_PROJECT_ROOT 优先，缺省 cwd）—— **不要**按脚本自身位置往上推，
+# 发布态那是 <pkg>/dist/vendored，会把 UI/ 产物写进 node_modules。
+PROJECT_ROOT = Path(os.environ.get("DSL_CARD_PROJECT_ROOT") or Path.cwd()).resolve()
+REPO_ROOT = PROJECT_ROOT
+DEFAULT_OUT = PROJECT_ROOT / "UI"
 VALIDATE_REL = "skills/dsl-card-generator/scripts/validate_schema.py"
 
 # 人力卡学习规则库（与 dsl-card-generator 共享，要素侧只读）

package/dist/vendored/skills/sketch-spec-to-card/scripts/parse_meaxure.py

@@ -46,8 +46,12 @@ from urllib.parse import unquote
 
 SCRIPT_DIR = Path(__file__).resolve().parent
 SKILL_DIR = SCRIPT_DIR.parent
-REPO_ROOT = SKILL_DIR.parent.parent
-DEFAULT_OUT = REPO_ROOT / "UI"
+# 宿主工程根：与 dsl-card-generator/scripts/lib/paths.py 同一契约
+# （DSL_CARD_PROJECT_ROOT 优先，缺省 cwd）—— **不要**按脚本自身位置往上推。
+# 发布态脚本住在 <pkg>/dist/vendored/skills/sketch-spec-to-card/scripts/，
+# 往上两级是包内快照目录，UI/ 产物会被写进 node_modules（重装即丢、多项目互相污染）。
+PROJECT_ROOT = Path(os.environ.get("DSL_CARD_PROJECT_ROOT") or Path.cwd()).resolve()
+DEFAULT_OUT = PROJECT_ROOT / "UI"
 DEFAULT_SRC = Path(os.environ.get('MEAXURE_SRC') or str(Path.cwd()))  # 可用环境变量 MEAXURE_SRC 指定，缺省当前目录
 
 sys.path.insert(0, str(SCRIPT_DIR))
@@ -1724,12 +1728,15 @@ def main():
             cdir.mkdir(parents=True, exist_ok=True)
 
             # 整图截图（参考）
-            preview_rel = unquote(ab.get("imagePath", ""))
-            src_png = src / preview_rel
-            if not src_png.exists():
-                cand = list(src.glob(f"preview/*{name.split('_', 1)[-1]}*.png"))
+            # imagePath 缺失时 `src / ""` 会等于**导出目录本身**：exists() 为真 → 下面按画板名兜底的
+            # glob 永远不跑，copy2(目录, 文件) 直接抛 IsADirectoryError（整份管线在写 artboard.png 时崩）。
+            # 故必须显式判「非空且是文件」，让兜底真正生效。
+            preview_rel = unquote(ab.get("imagePath", "") or "")
+            src_png = (src / preview_rel) if preview_rel else None
+            if not (src_png and src_png.is_file()):
+                cand = [c for c in src.glob(f"preview/*{name.split('_', 1)[-1]}*.png") if c.is_file()]
                 src_png = cand[0] if cand else None
-            if src_png and src_png.exists():
+            if src_png:
                 shutil.copy2(src_png, cdir / "artboard.png")
                 entry["preview"] = f"{name}/artboard.png"
                 # —— P1 优化（RC5）：整屏 artboard.png 降采样，降低多模态 token 成本 ——

package/package.json

@@ -1,10 +1,10 @@
 {
   "name": "cardbuddy",
-  "version": "0.14.0",
+  "version": "0.14.2",
   "description": "Local dev service for the CardBuddy card editor — decouples card CRUD (sync/save/validate/render-status/screenshot) from the static public editor, so the editor can be deployed to any static host while each developer runs a local service against their own card source.",
   "type": "module",
   "bin": {
-    "cardbuddy": "./dist/cli.js"
+    "cardbuddy": "dist/cli.js"
   },
   "files": [
     "dist",
@@ -19,7 +19,7 @@
   "scripts": {
     "start": "node src/cli.js",
     "build": "node build.mjs",
-    "prepublishOnly": "node build.mjs"
+    "prepublishOnly": "node build.mjs && node publishSim.mjs"
   },
   "dependencies": {
     "@ckpack/vue-color": "^1.6.0",