cardbuddy 0.14.2 → 0.15.0

package/dist/vendored/server/core/browser.js

@@ -14,7 +14,16 @@ import { devApiBase } from '../../tools/finmall-env.mjs'
  *     的 ElementHandle，不存在时为 null）。
  */
 
-const BASE_URL = process.env.CARD_SCREENSHOT_BASE || devApiBase()
+/**
+ * 截图要打开的「编辑器页面」基址。
+ *
+ * 惰性读取（不是模块级常量）：preview 模式下编辑器由 cardbuddy 自己托管在同一端口，
+ * 启动期才知道端口号；模块级常量会在 import 时就把基址钉死在默认的 vite 端口上。
+ * 实测（2026-09-21 demo 建卡回合）：`card_screenshot` 两次返回
+ * `page.goto: net::ERR_CONNECTION_REFUSED at http://127.0.0.1:5180` —— 服务跑在 8787、
+ * 截图却去敲 5180，模型拿到一条纯噪音（还以为是卡片的问题）。
+ */
+const baseUrl = () => process.env.CARD_SCREENSHOT_BASE || devApiBase()
 const IDLE_CLOSE_MS = 5 * 60 * 1000
 const MAX_QUEUED = 10
 const NAV_TIMEOUT_MS = 30000
@@ -79,7 +88,7 @@ function serialize(task) {
  */
 async function openCardScreen(context, id) {
   const page = await context.newPage()
-  const target = `${BASE_URL}/?card=${encodeURIComponent(id)}&chrome=off`
+  const target = `${baseUrl()}/?card=${encodeURIComponent(id)}&chrome=off`
   await page.goto(target, { waitUntil: 'domcontentloaded', timeout: NAV_TIMEOUT_MS })
   // 等卡片首帧挂载（App.vue 置 data-card-ready=1）。用 waitForFunction 精确判断属性出现，
   // 而非等待「元素可见」（避免卡片有但属性未置位时误判）。
@@ -97,7 +106,7 @@ async function openCardScreen(context, id) {
 }
 
 export {
-  BASE_URL,
+  baseUrl,
   IDLE_CLOSE_MS,
   MAX_QUEUED,
   NAV_TIMEOUT_MS,

package/dist/vendored/server/core/cardFiles.js

@@ -303,6 +303,7 @@ export function createCardFilesMiddleware({ root, notify = null }) {
     // 不生成封面 —— 空白卡在 /__card-image 直接 404，网格回退统一占位图。
     if (pathname === '/__cards' && method === 'POST') {
       let body = ''
+      req.setEncoding('utf8')
       req.on('data', (c) => {
         body += c
         if (body.length > 64 * 1024) req.destroy()
@@ -414,6 +415,7 @@ export function createCardFilesMiddleware({ root, notify = null }) {
     }
     if (method === 'POST') {
       let body = ''
+      req.setEncoding('utf8')
       req.on('data', (c) => {
         body += c
         if (body.length > 16 * 1024 * 1024) req.destroy()
@@ -471,6 +473,7 @@ export function createCardFilesMiddleware({ root, notify = null }) {
     // 重命名卡片（目录改名 + 描述写回）：PATCH /__card/<oldId>，body { id?, desc? }
     if (method === 'PATCH') {
       let body = ''
+      req.setEncoding('utf8')
       req.on('data', (c) => {
         body += c
         if (body.length > 64 * 1024) req.destroy()

package/dist/vendored/server/core/cardHistory.js

@@ -117,6 +117,7 @@ export function createHistoryMiddleware({ root }) {
     // POST：把「上一版本 schema」落盘为一张新快照
     if (method === 'POST') {
       let body = ''
+      req.setEncoding('utf8')
       req.on('data', (c) => {
         body += c
         if (body.length > 32 * 1024 * 1024) req.destroy()

package/dist/vendored/server/core/cardImportMeta.js

@@ -129,7 +129,11 @@ export function recordExport(dir, verified) {
 
 /**
  * dev server 中间件：GET /__import-meta/:id 暴露导入来源元数据（供 UI「来源」tab / AI skill 读取）。
- * 纯只读、no-store；卡片无侧车时 404（区分「本地新建卡」与「已同步卡」）。
+ * 纯只读、no-store。
+ *
+ * 无侧车（本地新建卡）用 **200 + imported:false** 表达，不用 404：
+ * 旧版回 404，于是每打开一张本地卡 DevTools 就多一条红色 404 —— 而「这张卡没从远端同步过」
+ * 是常态答案、不是故障。红色报错会误导用户，也会被图片/网络审计工具当成异常报出来。
  *
  * @param {{ root: string }} opts
  * @returns {(req, res, next) => void}
@@ -145,11 +149,8 @@ export function createImportMetaMiddleware({ root }) {
     const meta = readImportMeta(dir)
     res.setHeader('Cache-Control', 'no-store')
     res.setHeader('Content-Type', 'application/json')
-    if (!meta) {
-      res.statusCode = 404
-      return res.end(JSON.stringify({ error: 'import-meta not found', id, hint: '该卡尚未经同步远程导入，无导入来源元数据' }))
-    }
     res.statusCode = 200
-    return res.end(JSON.stringify({ id, meta }))
+    // imported 布尔让调用方一眼判断，不必靠状态码区分「本地新建卡」与「已同步卡」
+    return res.end(JSON.stringify(meta ? { id, imported: true, meta } : { id, imported: false, meta: null }))
   }
 }

package/dist/vendored/server/core/cardOpenFolder.js

@@ -93,6 +93,7 @@ export function createOpenFolderMiddleware({ root }) {
     }
 
     let body = ''
+    req.setEncoding('utf8')
     req.on('data', (c) => {
       body += c
       if (body.length > 1 * 1024 * 1024) req.destroy()

package/dist/vendored/server/core/cardSave.js

@@ -25,6 +25,7 @@ export function createSaveMiddleware({ root }) {
     const method = (req.method || 'GET').toUpperCase()
     if (pathname !== '/__save' || method !== 'POST') return next()
     let body = ''
+    req.setEncoding('utf8')
     req.on('data', (c) => {
       body += c
       if (body.length > 32 * 1024 * 1024) req.destroy()

package/dist/vendored/server/core/cardSync.js

@@ -24,6 +24,7 @@ export function createSyncMiddleware({ root }) {
     if ((req.method || 'GET').toUpperCase() !== 'POST') return next()
 
     let body = ''
+    req.setEncoding('utf8')
     req.on('data', (c) => {
       body += c
       if (body.length > 1 * 1024 * 1024) req.destroy()
@@ -119,6 +120,7 @@ export function createPreviewMiddleware({ root }) {
     if ((req.method || 'GET').toUpperCase() !== 'POST') return next()
 
     let body = ''
+    req.setEncoding('utf8')
     req.on('data', (c) => {
       body += c
       if (body.length > 4 * 1024 * 1024) req.destroy()
@@ -195,6 +197,7 @@ export function createLoginCredentialsMiddleware({ root }) {
     if ((req.method || 'GET').toUpperCase() !== 'POST') return next()
 
     let body = ''
+    req.setEncoding('utf8')
     req.on('data', (c) => {
       body += c
       if (body.length > 64 * 1024) req.destroy()

package/dist/vendored/server/core/codeBridge.js

@@ -73,7 +73,10 @@ export function resolveEditorSpec(file, env = process.env, platform = process.pl
 
 /** VSCode 未安装 / CLI 缺失时的协议兜底（安装器默认注册 vscode:// 处理器） */
 export function resolveProtocolSpec(file, env = process.env, platform = process.platform) {
-  const url = 'vscode://file/' + String(file).split(path.sep).join('/')
+  // 反斜杠一律转正斜杠：协议 URL 只认 `/`（`C:\t\a.js` 直接拼进 URL 会被 VSCode 当非法路径）。
+  // 按**目标平台**的形态转，而不是宿主 `path.sep` —— 后者在 macOS / Linux 上是 `/`，
+  // win32 分支里那条 `C:\…` 路径永远不会被转，测试与「跨平台拉起」都会静默失效。
+  const url = 'vscode://file/' + String(file).replace(/\\/g, '/')
   if (platform === 'darwin') return { cmd: 'open', args: [url], shell: false }
   if (platform === 'win32') {
     return { command: `start "" "${url}"`, shell: true }
@@ -291,6 +294,7 @@ export function createCodeBridgeMiddleware({ notify = null, watchFile = null } =
   const readBody = (req, limit = MAX_BODY) =>
     new Promise((resolve, reject) => {
       let body = ''
+      req.setEncoding('utf8')
       req.on('data', (c) => {
         body += c
         if (body.length > limit) {

package/dist/vendored/server/core/logStream.js

@@ -226,6 +226,7 @@ export function createLogMiddleware() {
   const readBody = (req, limit = MAX_BODY) =>
     new Promise((resolve, reject) => {
       let body = ''
+      req.setEncoding('utf8')
       req.on('data', (c) => {
         body += c
         if (body.length > limit) {

package/dist/vendored/server/core/sliceStatic.js

@@ -10,6 +10,12 @@ import path from 'node:path'
  *   - Vite(5180)：编辑器预览同源访问 /slices/*；
  *   - cardbuddy(8787)：本地开发服务若直接托管预览页，也能取到切图。
  * 仅服务本地生成产物，不做任何远端回源（远端切图走 assetProxy 的 /minio 等前缀）。
+ *
+ * **未命中一律 404，禁止 next() 落 SPA 兜底**（2026-09-21 事故）：
+ * 此前未命中走 `next()`，SPA 兜底对任意路径都返回 `200 + text/html`，于是「引用路径写错 /
+ * 切图名含 `#` 被浏览器截断」表现为 —— 图片空白、网络面板满屏 200、控制台零报错，
+ * 30 分钟无人定位。返回 404 后同一故障会立刻在 devtools 里显示为红色 404，
+ * 这是「坏图必须吵」的最小代价。
  */
 
 const MIME = {
@@ -27,15 +33,29 @@ const MIME = {
  */
 export function createSliceStaticMiddleware({ root }) {
   const slicesRoot = path.join(root, 'src', 'slices')
+  const notFound = (res, reason) => {
+    res.statusCode = 404
+    res.setHeader('Content-Type', 'text/plain; charset=utf-8')
+    res.setHeader('Cache-Control', 'no-store')
+    res.end(`slice not found: ${reason}`)
+  }
   return (req, res, next) => {
     const url = (req.url || '').split('?')[0]
     if (!url.startsWith('/slices/')) return next()
-    const rel = decodeURIComponent(url.slice('/slices/'.length))
+    const raw = url.slice('/slices/'.length)
+    let rel
+    try {
+      rel = decodeURIComponent(raw)
+    } catch {
+      return notFound(res, `${raw}（percent 编码非法，多半是文件名里带了 % 之类的保留字符）`)
+    }
     // 防目录穿越：禁止 .. 且解析后必须仍在 src/slices 内
-    if (rel.includes('..')) return next()
+    if (!rel || rel.includes('..')) return notFound(res, `${raw}（非法路径）`)
     const file = path.join(slicesRoot, rel)
-    if (!file.startsWith(slicesRoot + path.sep) && file !== slicesRoot) return next()
-    if (!fs.existsSync(file) || !fs.statSync(file).isFile()) return next()
+    if (!file.startsWith(slicesRoot + path.sep) && file !== slicesRoot) return notFound(res, `${raw}（越出切图目录）`)
+    if (!fs.existsSync(file) || !fs.statSync(file).isFile()) {
+      return notFound(res, `${raw}（文件不存在于 src/slices；若 schema 里引用的是这个路径，检查文件名是否含 # ? % & + 或空格）`)
+    }
     const ext = path.extname(file).toLowerCase()
     res.setHeader('Content-Type', MIME[ext] || 'application/octet-stream')
     res.setHeader('Cache-Control', 'public, max-age=0')

package/dist/vendored/server/core/sliceUpload.js

@@ -26,6 +26,7 @@ export function createSliceUploadMiddleware({ root }) {
     if ((req.method || 'GET').toUpperCase() !== 'POST') return next()
 
     let body = ''
+    req.setEncoding('utf8')
     req.on('data', (c) => {
       body += c
       if (body.length > 64 * 1024) req.destroy()

package/dist/vendored/server/core/turnJournal.js

@@ -218,6 +218,8 @@ export class TurnJournal {
       id: `srv-${this.turnId}`,
       role: 'assistant',
       content: '',
+      // 过程性正文的切点：最后一次工具调用之前的正文字数（前端据此折叠，见 runtime/ai-narration.js）
+      narrationChars: 0,
       reasoning: '',
       reasoningMs: 0,
       toolCalls: [],
@@ -252,6 +254,9 @@ export class TurnJournal {
           msg.content += l.text || ''
           break
         case 'tool-call-start': {
+          // 工具调用之前累积的正文 = 过程性正文（模型把像素比对 / 逐行对齐这类推理写进正文时，
+          // 这段能占几万字）。取最后一次工具调用的切点：它之后的才是给用户的收尾结论。
+          if (msg.content) msg.narrationChars = msg.content.length
           const row = rowOf(l.toolCallId, l.toolName)
           row.toolName = l.toolName || row.toolName
           row.startedAt = row.startedAt || l.ts
@@ -259,6 +264,7 @@ export class TurnJournal {
           break
         }
         case 'tool-call': {
+          if (msg.content) msg.narrationChars = msg.content.length
           const row = rowOf(l.toolCallId, l.toolName)
           row.toolName = l.toolName || row.toolName
           row.args = l.args || {}