cardbuddy 0.18.0 → 0.19.0

package/dist/preview-editor/index.html

@@ -8,8 +8,8 @@
     <link rel="icon" type="image/png" sizes="16x16" href="/assets/favicon-16-Cg6Nrosk.png" />
     <link rel="icon" type="image/png" sizes="32x32" href="/assets/favicon-32-B_1744sp.png" />
     <link rel="apple-touch-icon" sizes="180x180" href="/assets/apple-touch-icon-BQcES9QK.png" />
-    <script type="module" crossorigin src="/assets/index-kaTaTm71.js"></script>
-    <link rel="stylesheet" crossorigin href="/assets/index-DPK_SisH.css">
+    <script type="module" crossorigin src="/assets/index-rRajzE-f.js"></script>
+    <link rel="stylesheet" crossorigin href="/assets/index-DMqeReNL.css">
   </head>
   <body>
     <div id="app"></div>

package/dist/vendored/server/core/cardImportMeta.js

@@ -127,6 +127,25 @@ export function recordExport(dir, verified) {
   return next
 }
 
+/**
+ * 记录一次远端最新版本号（「卡片来源」tab 展示用，并由发布/拉取/拉取全部后持久化）。
+ * 与 recordExport 正交：recordExport 记录本地保存读回校验，本函数记录线上当前最高版本（IDC10004 maxVersion）。
+ * 无侧车（本地新建卡）时静默跳过。
+ * @param {string} dir  卡片目录
+ * @param {string|number|null} version  远端最新版本号；null 表示清除
+ */
+export function recordRemoteVersion(dir, version) {
+  const meta = readImportMeta(dir)
+  if (!meta) return null
+  const next = {
+    ...meta,
+    remoteVersion: version == null ? null : String(version),
+    remoteVersionAt: new Date().toISOString(),
+  }
+  writeImportMeta(dir, next)
+  return next
+}
+
 /**
  * dev server 中间件：GET /__import-meta/:id 暴露导入来源元数据（供 UI「来源」tab / AI skill 读取）。
  * 纯只读、no-store。

package/dist/vendored/server/core/cardPublish.js

@@ -0,0 +1,100 @@
+import path from 'node:path'
+import { pathToFileURL } from 'node:url'
+import { assertRemoteSource } from './cardSidecar.js'
+import { checkPushAllowed } from './cardListCache.js'
+import { log } from './logger.js'
+import { resolveSkillPathOrProject } from './skillPaths.js'
+
+/**
+ * finmall-card-sync 的批量同步脚本（发布复用），相对 skills/
+ * 与 cardSync.js 同款定位：发布只用到其中的 publishCard。
+ */
+const SYNC_SCRIPT_REL = 'finmall-card-sync/scripts/api_batch_sync.mjs'
+
+/**
+ * 顶栏「远端 → 卡片发布」的服务端处理：取远端最大版本号 +1 后发布上线（IDC10004 → IDC10016）。
+ * 复用 finmall-card-sync 的 publishCard（与「同步」「保存远端」「预览」共用同一后台 FinMall 会话）。
+ *
+ * 安全闸（与 /__preview 一致）：
+ *   - assertRemoteSource：本地自建、无 .import-meta.json 侧车的卡一律禁止发布，
+ *     避免把测试数据误发布到 FinMall 服务器。
+ *   - checkPushAllowed：卡片须存在于远端列表缓存（全量同步时刷新）；缓存为空（尚未同步）则放行。
+ *
+ * @param {{ root: string }} opts
+ * @returns {(req: import('http').IncomingMessage, res: import('http').ServerResponse, next: Function) => void}
+ */
+export function createPublishMiddleware({ root }) {
+  return function publishMiddleware(req, res, next) {
+    const pathname = decodeURIComponent((req.url || '').split('?')[0])
+    if (pathname !== '/__publish') return next()
+    if ((req.method || 'GET').toUpperCase() !== 'POST') return next()
+
+    let body = ''
+    req.setEncoding('utf8')
+    req.on('data', (c) => {
+      body += c
+      if (body.length > 4 * 1024 * 1024) req.destroy()
+    })
+    req.on('end', async () => {
+      let payload
+      try {
+        payload = JSON.parse(body || '{}')
+      } catch (e) {
+        res.statusCode = 400
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ error: 'invalid json', message: String(e.message) }))
+      }
+      if (!payload.schema || !payload.schema.pageId) {
+        res.statusCode = 400
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ error: 'missing schema.pageId', message: '需传入当前卡片 schema（含 pageId）' }))
+      }
+      // 远端来源硬闸：本地自建卡禁止发布（与 /__preview 同源）。
+      {
+        const src = assertRemoteSource(root, { pageId: payload.schema.pageId })
+        if (!src.ok) {
+          res.statusCode = 409
+          res.setHeader('Content-Type', 'application/json')
+          return res.end(JSON.stringify({ ok: false, error: 'local_card_no_source', message: src.reason }))
+        }
+      }
+      // 存在性闸门：发布前确认目标卡片在远端卡片列表缓存中（为空说明尚未同步，放行）。
+      {
+        const allow = checkPushAllowed(payload.schema.pageId)
+        if (!allow.allowed) {
+          res.statusCode = 409
+          res.setHeader('Content-Type', 'application/json')
+          return res.end(JSON.stringify({ ok: false, error: 'card_not_in_list', message: allow.reason }))
+        }
+      }
+      try {
+        const skillPath = resolveSkillPathOrProject(root, SYNC_SCRIPT_REL)
+        const { publishCard } = await import(pathToFileURL(skillPath).href)
+        const result = await publishCard(payload.schema)
+        log.ok('卡片发布完成', { cardId: payload.schema.pageId, nextVersion: result.nextVersion })
+        res.statusCode = 200
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ ok: true, maxVersion: result.maxVersion, nextVersion: result.nextVersion }))
+      } catch (e) {
+        log.error('卡片发布失败', e)
+        // 区分「凭据缺失」与「真正的发布错误」：前者让前端弹登录表单，而非裸抛 ENOENT。
+        const isNoCred =
+          e &&
+          /credentials\.json|credentials 不存在|NO_CREDENTIALS/.test(String(e && e.message))
+        res.statusCode = isNoCred ? 200 : 500
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(
+          JSON.stringify(
+            isNoCred
+              ? {
+                  error: 'need_credentials',
+                  needCredentials: true,
+                  message: String(e && e.message),
+                }
+              : { error: 'publish failed', message: String(e && e.message) },
+          ),
+        )
+      }
+    })
+  }
+}

package/dist/vendored/server/core/cardSave.js

@@ -4,7 +4,7 @@ import { pathToFileURL } from 'node:url'
 import { fileURLToPath } from 'node:url'
 const __dirname = path.dirname(fileURLToPath(import.meta.url))
 
-import { recordExport } from './cardImportMeta.js'
+import { recordExport, markDirty } from './cardImportMeta.js'
 import { checkPushAllowed } from './cardListCache.js'
 import { assertRemoteSource, findCardDir } from './cardSidecar.js'
 import { log } from './logger.js'
@@ -107,8 +107,13 @@ export function createSaveMiddleware({ root }) {
         if (root) {
           try {
             const dir = findCardDir(root, { pageId: schema.pageId })
-            if (dir) await recordExport(dir, verified)
-            else console.warn(`[__save] 未找到 pageId=${schema.pageId} 对应的本地卡片目录，跳过导出元数据`)
+            if (dir) {
+              await recordExport(dir, verified)
+              // 推送成功即与远端对齐：清除「偏离导入镜像」标记（来源 tab 据此提示）。
+              // 注：本地磁盘（含编辑）仍可能 ≠ 当初导入镜像，此处语义转为「已与远端同步」，
+              // 符合用户预期——推送到远端后不应再被标为「偏离」。
+              await markDirty(dir, false)
+            } else console.warn(`[__save] 未找到 pageId=${schema.pageId} 对应的本地卡片目录，跳过导出元数据`)
           } catch (e) {
             log.warn('写导出元数据失败（不影响保存结果）', { error: e && e.message })
           }

package/dist/vendored/server/core/cardVersion.js

@@ -0,0 +1,93 @@
+import path from 'node:path'
+import { pathToFileURL } from 'node:url'
+import { findCardDir } from './cardSidecar.js'
+import { readImportMeta, recordRemoteVersion } from './cardImportMeta.js'
+import { log } from './logger.js'
+import { resolveSkillPathOrProject } from './skillPaths.js'
+
+const SYNC_SCRIPT_REL = 'finmall-card-sync/scripts/api_batch_sync.mjs'
+
+/**
+ * 调试面板「卡片来源」tab 的远端最新版本持久化（POST，fetch + persist）：POST /__card-version/:id
+ *
+ * 语义：
+ *   - body 带 { version }：直接把该版本号写入 .import-meta.json（如发布后已知 nextVersion），不再远端查询。
+ *   - 否则：实时查询 IDC10004 的 maxVersion（线上当前最高版本），写入 .import-meta.json 后返回。
+ *
+ * 触发时机由前端控制，不再在打开来源 tab 时自动查询（避免每次切 tab 都拉起后台 Chrome）：
+ *   - 卡片发布（doPublish 成功，带 nextVersion）
+ *   - 拉取 / 拉取全部（runSync 成功，实时查询）
+ *   - 用户在来源 tab 点「刷新」（主动触发，实时查询）
+ *
+ * 安全闸（与 /__publish 同源）：仅「已同步导入卡」（有 .import-meta.json 侧车且含 cardId）可写；
+ * 本地自建卡 / 未同步卡返回 409 local_card_no_source。
+ *
+ * @param {{ root: string }} opts
+ * @returns {(req: import('http').IncomingMessage, res: import('http').ServerResponse, next: Function) => void}
+ */
+export function createCardVersionMiddleware({ root }) {
+  return function cardVersionMiddleware(req, res, next) {
+    const pathname = decodeURIComponent((req.url || '').split('?')[0])
+    const m = pathname.match(/^\/__card-version\/([^/]+)$/)
+    if (!m) return next()
+    if ((req.method || 'GET').toUpperCase() !== 'POST') return next()
+
+    const id = decodeURIComponent(m[1])
+    const dir = findCardDir(root, { code: id })
+    const meta = dir ? readImportMeta(dir) : null
+    if (!meta || !meta.cardId) {
+      res.statusCode = 409
+      res.setHeader('Content-Type', 'application/json')
+      return res.end(
+        JSON.stringify({
+          ok: false,
+          error: 'local_card_no_source',
+          message: '该卡片为本地自建、无远端同步来源（缺少 .import-meta.json 侧车），无法记录远端版本。',
+        }),
+      )
+    }
+
+    // 解析请求体（允许空 / { version }）
+    let body = ''
+    req.setEncoding('utf8')
+    req.on('data', (c) => {
+      body += c
+      if (body.length > 64 * 1024) req.destroy()
+    })
+    req.on('end', async () => {
+      let payload = {}
+      try {
+        payload = JSON.parse(body || '{}')
+      } catch {
+        /* 空 / 非法体当作无 version */
+      }
+      try {
+        let maxVersion = payload.version != null ? String(payload.version) : null
+        if (maxVersion == null) {
+          // 未带版本号：实时查询 IDC10004 的 maxVersion
+          const skillPath = resolveSkillPathOrProject(root, SYNC_SCRIPT_REL)
+          const { fetchCardLatestVersion } = await import(pathToFileURL(skillPath).href)
+          const r = await fetchCardLatestVersion(meta.cardId)
+          maxVersion = r.maxVersion
+        }
+        recordRemoteVersion(dir, maxVersion)
+        log.ok('记录远端最新版本', { cardId: meta.cardId, maxVersion })
+        res.statusCode = 200
+        res.setHeader('Content-Type', 'application/json')
+        res.end(JSON.stringify({ ok: true, maxVersion }))
+      } catch (e) {
+        // 区分「凭据缺失」与「真正的查询错误」：前者让前端提示登录，而非裸抛 ENOENT。
+        const isNoCred = e && /credentials\.json|credentials 不存在|NO_CREDENTIALS/.test(String(e && e.message))
+        res.statusCode = isNoCred ? 200 : 500
+        res.setHeader('Content-Type', 'application/json')
+        res.end(
+          JSON.stringify(
+            isNoCred
+              ? { error: 'need_credentials', needCredentials: true, message: String(e && e.message) }
+              : { error: 'version persist failed', message: String(e && e.message) },
+          ),
+        )
+      }
+    })
+  }
+}

package/dist/vendored/server/core/index.js

@@ -11,6 +11,8 @@
  * 接收 viteServer 参数透传；无 SSR 需求的场景可传 null（这两个端点会返回明确错误）。
  */
 import { createSyncMiddleware, createPreviewMiddleware, createLoginCredentialsMiddleware } from './cardSync.js'
+import { createPublishMiddleware } from './cardPublish.js'
+import { createCardVersionMiddleware } from './cardVersion.js'
 import { createSliceUploadMiddleware } from './sliceUpload.js'
 import { createCardFilesMiddleware, refreshCardList } from './cardFiles.js'
 import { createSaveMiddleware } from './cardSave.js'
@@ -42,6 +44,8 @@ export {
   createSyncMiddleware,
   createPreviewMiddleware,
   createLoginCredentialsMiddleware,
+  createPublishMiddleware,
+  createCardVersionMiddleware,
   createSliceUploadMiddleware,
   createCardFilesMiddleware,
   createSaveMiddleware,
@@ -88,6 +92,12 @@ export function mountCoreMiddlewares(app, { root, viteServer = null, upstream =
   app.use(createSyncMiddleware({ root }))
   app.use(createPreviewMiddleware({ root }))
   app.use(createLoginCredentialsMiddleware({ root }))
+  // 卡片发布（顶栏「远端 → 卡片发布」）：取远端最大版本号 +1 后发布上线（IDC10004 → IDC10016），
+  // 复用 finmall-card-sync 的 publishCard，与同步/保存/预览共用同一后台 FinMall 会话。
+  app.use(createPublishMiddleware({ root }))
+  // 卡片来源 tab 的「远端最新版本」查询（只读）：GET /__card-version/:id 取 IDC10004 的 maxVersion，
+  // 复用 finmall-card-sync 的 fetchCardLatestVersion，与发布/同步/保存共用同一后台 FinMall 会话。
+  app.use(createCardVersionMiddleware({ root }))
   // 切图上传（顶栏「远端 → 切图上传」）：把当前卡引用的 src/slices 切图传到 FinMall 图片库，
   // 写 src/slices/manifest.json 映射并把卡片里的 /slices/ 引用改写为 @filestore/ 线上地址。
   // 仅在用户点击时触发，没有任何自动上传路径。

package/dist/vendored/skills/finmall-card-sync/scripts/api_batch_sync.mjs

@@ -403,6 +403,107 @@ export async function previewCardRemote(schema, { skeletonScreen = '', publish =
   }
 }
 
+/**
+ * 远端发布：取当前卡片远端最大版本号 +1，发布上线为新版本。
+ * 链路（对齐 ubomp 发布流程，仅两步）：
+ *   1) IDC10004.do 取当前卡片最大版本号 maxVersion；
+ *   2) IDC10016.do 以 maxVersion+1 作为新版本号发布（发布的是远端「当前已保存」的卡片内容——
+ *      故发布前应先用「推送当前卡」把本地内容保存到远端，否则会发布陈旧内容）。
+ * 会话由 ensureFinMallSession 自动保证；与 saveCardToRemote / syncCards / previewCardRemote
+ * 共用同一套已登录后台 Chrome，命中会话/权限失效（BLEC0006 等）时自动清 session 重登重试一次。
+ *
+ * @param {object} schema 当前卡片 schema（需含 pageId）
+ * @returns {Promise<{maxVersion:string, nextVersion:string, response:object}>}
+ */
+export async function publishCard(schema) {
+  if (!schema || !schema.pageId) {
+    throw new Error('schema 缺少 pageId，无法确定要发布的卡片（IDC10016.do 需要 cardId）。')
+  }
+  const appId = finmallConfig.appId
+  const workspaceId = finmallConfig.workspaceId
+  const cardId = String(schema.pageId)
+  const session = await ensureFinMallSession()
+  const browser = session.browser
+  try {
+    const context = browser.contexts()[0]
+    const page = context?.pages().find((p) => p.url().includes('finmall.com')) || context?.pages()[0]
+    if (!page) throw new Error('未能在后台 Chrome 中找到 FinMall 页面，请先运行 finmall-session-navigator 登录。')
+    await page.bringToFront()
+
+    // 1) 取当前最大版本号
+    const maxResp = await finmallPostWithHeal(
+      page,
+      `/ubomp-web/IDC10004.do?sassAppId=${appId}&sassWorkspaceId=${workspaceId}`,
+      { cardId, pageNo: 1, pageSize: 1, sassAppId: appId, sassWorkspaceId: workspaceId },
+      'IDC10004.do',
+    )
+    const maxVersion = String(maxResp && maxResp.maxVersion != null ? maxResp.maxVersion : '0')
+    const maxNum = Number(maxVersion)
+    const nextVersion = String(Number.isFinite(maxNum) ? maxNum + 1 : 1)
+    log.info('发布前取最大版本', { cardId, maxVersion, nextVersion })
+
+    // 2) 以 maxVersion+1 发布（发布类型/平台等参数对齐 ubomp 发布弹窗的默认值）
+    const response = await finmallPostWithHeal(
+      page,
+      `/ubomp-web/IDC10016.do?sassAppId=${appId}&sassWorkspaceId=${workspaceId}`,
+      {
+        cardId,
+        version: nextVersion,
+        platformStatus: JSON.stringify(['iOS', 'Android', 'HarmonyOS']),
+        publishType: '2',
+        publishMode: '1',
+        whitelistIds: '',
+        realGreyEndtime: '',
+        greyNum: '1',
+        memo: '',
+        greyConfigInfo: '[]',
+        sassAppId: appId,
+        sassWorkspaceId: workspaceId,
+      },
+      'IDC10016.do',
+    )
+    log.ok('卡片发布完成', { cardId, nextVersion })
+    return { maxVersion, nextVersion, response }
+  } finally {
+    try { await browser.disconnect() } catch { /* ignore */ }
+  }
+}
+
+/**
+ * 取远端「当前卡片最新版本号」：IDC10004 返回 maxVersion（该卡线上已发布的最高版本）。
+ * 供 UI「卡片来源」tab 展示「远端最新版本」，让用户一眼看到线上当前版本。
+ * 只读、不发布；与 publishCard 共用同一后台 FinMall 会话（ensureFinMallSession + finmallPostWithHeal）。
+ * @param {string|number} cardId
+ * @returns {Promise<{ maxVersion: string }>}
+ */
+export async function fetchCardLatestVersion(cardId) {
+  if (cardId == null) {
+    throw new Error('缺少 cardId，无法查询远端版本（IDC10004.do 需要 cardId）。')
+  }
+  const appId = finmallConfig.appId
+  const workspaceId = finmallConfig.workspaceId
+  const id = String(cardId)
+  const session = await ensureFinMallSession()
+  const browser = session.browser
+  try {
+    const context = browser.contexts()[0]
+    const page = context?.pages().find((p) => p.url().includes('finmall.com')) || context?.pages()[0]
+    if (!page) throw new Error('未能在后台 Chrome 中找到 FinMall 页面，请先运行 finmall-session-navigator 登录。')
+    await page.bringToFront()
+    const maxResp = await finmallPostWithHeal(
+      page,
+      `/ubomp-web/IDC10004.do?sassAppId=${appId}&sassWorkspaceId=${workspaceId}`,
+      { cardId: id, pageNo: 1, pageSize: 1, sassAppId: appId, sassWorkspaceId: workspaceId },
+      'IDC10004.do',
+    )
+    const maxVersion = String(maxResp && maxResp.maxVersion != null ? maxResp.maxVersion : '0')
+    log.info('查询远端最新版本', { cardId: id, maxVersion })
+    return { maxVersion }
+  } finally {
+    try { await browser.disconnect() } catch { /* ignore */ }
+  }
+}
+
 // —— 保存落库校验辅助 ——
 
 /** 稳定序列化：对象键排序、带 id/key/className/name 的数组元素按该键排序，避免服务端字段重排导致指纹误判。 */

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "cardbuddy",
-  "version": "0.18.0",
+  "version": "0.19.0",
   "description": "Local dev service for the CardBuddy card editor — decouples card CRUD (sync/save/validate/render-status/screenshot) from the static public editor, so the editor can be deployed to any static host while each developer runs a local service against their own card source.",
   "type": "module",
   "bin": {