cardbuddy 0.21.0 → 0.22.0

package/dist/vendored/server/core/cardPublishVersions.js

@@ -7,26 +7,51 @@ import { resolveSkillPathOrProject } from './skillPaths.js'
 const SYNC_SCRIPT_REL = 'finmall-card-sync/scripts/api_batch_sync.mjs'
 
 /**
- * 调试面板「导入信息」tab「发布版本记录」弹框的远端数据源（只读）：
- * GET /__card-publish-versions/:cardCode?pageNo=&pageSize=
+ * 调试面板「导入信息」tab「发布版本记录」弹框的远端数据源：
+ *   GET  /__card-publish-versions/:cardCode?pageNo=&pageSize=   → 版本记录分页（IDC10004）
+ *   POST /__card-publish-versions/:cardCode/stop                → 停止发布（IDC20003）
+ *   POST /__card-publish-versions/:cardCode/publish             → 创建发布任务（IDC20004）
  *
  * 语义：经 .import-meta.json 侧车里的 cardId 调 IDC10004，取该卡发布版本记录分页（新→旧），
- * 每条含版本号 / 平台（iOS·Android·HarmonyOS 子集）/ 发布状态 / 发布时间。
+ * 每条含版本号 / 平台（iOS·Android·HarmonyOS 子集）/ 发布状态 / 发布时间，
+ * 以及该版本仍在进行中的「发布任务」（task，含取消发布所需的 taskId）。
  * 触发时机由前端控制（打开弹框 / 滚动到底懒加载下一页），不自动轮询——与「编辑记录」tab
  * 的懒加载策略一致，避免每次加载卡片都拉起后台 Chrome。
  *
  * 安全闸（与 /__card-history / /__card-version 同源）：仅「已同步导入卡」（有
  * .import-meta.json 侧车且含 cardId）可查；本地自建卡 / 未同步卡返回 409 local_card_no_source。
  *
+ * 停止发布（IDC20003）作用在「发布任务」而非版本记录上，taskId 与 cardId 之间没有直接约束，
+ * 因此这里做两道归属校验再下发：
+ *   1) versionId 必须出现在该卡的发布版本记录里（防止拿别人的 versionId 越权）；
+ *   2) taskId 必须属于该 versionId 的任务列表（防止伪造 taskId 停掉无关任务）。
+ * 校验不过一律 404，不把远端错误直接抛给前端。
+ *
  * @param {{ root: string }} opts
  * @returns {(req: import('http').IncomingMessage, res: import('http').ServerResponse, next: Function) => void}
  */
 export function createCardPublishVersionsMiddleware({ root }) {
   return function cardPublishVersionsMiddleware(req, res, next) {
     const pathname = decodeURIComponent((req.url || '').split('?')[0])
+    const method = (req.method || 'GET').toUpperCase()
+
+    // ---- 停止发布：POST /__card-publish-versions/:cardCode/stop ----
+    const stopMatch = pathname.match(/^\/__card-publish-versions\/([^/]+)\/stop$/)
+    if (stopMatch) {
+      if (method !== 'POST') return next()
+      return handleStopPublish({ root, cardCode: decodeURIComponent(stopMatch[1]), req, res })
+    }
+
+    // ---- 创建发布：POST /__card-publish-versions/:cardCode/publish ----
+    const publishMatch = pathname.match(/^\/__card-publish-versions\/([^/]+)\/publish$/)
+    if (publishMatch) {
+      if (method !== 'POST') return next()
+      return handlePublishVersion({ root, cardCode: decodeURIComponent(publishMatch[1]), req, res })
+    }
+
+    if (method !== 'GET') return next()
     const m = pathname.match(/^\/__card-publish-versions\/([^/]+)$/)
     if (!m) return next()
-    if ((req.method || 'GET').toUpperCase() !== 'GET') return next()
 
     const id = decodeURIComponent(m[1])
     const dir = findCardDir(root, { code: id })
@@ -89,3 +114,275 @@ export function createCardPublishVersionsMiddleware({ root }) {
     })()
   }
 }
+
+/** 统一 JSON 响应（与 cardExport / remoteCard 同风格） */
+function sendJson(res, status, obj) {
+  res.statusCode = status
+  res.setHeader('Content-Type', 'application/json')
+  res.setHeader('Cache-Control', 'no-store')
+  res.end(JSON.stringify(obj))
+}
+
+/** 读 JSON 请求体；上限 64KB（停止发布只传三个 id 字段，无需大 body） */
+function readJsonBody(req, res, cb) {
+  let body = ''
+  let done = false
+  req.setEncoding('utf8')
+  req.on('data', (c) => {
+    if (done) return
+    body += c
+    if (body.length > 64 * 1024) {
+      done = true
+      req.destroy()
+      sendJson(res, 413, { ok: false, error: 'body too large', message: '请求体超过 64KB。' })
+    }
+  })
+  req.on('end', () => {
+    if (done) return
+    done = true
+    let parsed
+    try {
+      parsed = JSON.parse(body || '{}')
+    } catch (e) {
+      return sendJson(res, 400, { ok: false, error: 'invalid_json', message: String(e.message) })
+    }
+    cb(parsed && typeof parsed === 'object' ? parsed : {})
+  })
+}
+
+/**
+ * 停止发布：POST /__card-publish-versions/:cardCode/stop，body { taskId, versionId, version? }
+ *
+ * 两道归属校验见上方中间件注释。校验通过后调 IDC20003（taskStatus:'0'）。
+ * 已处于停止状态的任务返回 409（幂等语义上不算错，但对前端是一次无效点击，给明确反馈更好）。
+ */
+function handleStopPublish({ root, cardCode, req, res }) {
+  const dir = findCardDir(root, { code: cardCode })
+  const meta = dir ? readImportMeta(dir) : null
+  if (!meta || !meta.cardId) {
+    return sendJson(res, 409, {
+      ok: false,
+      error: 'local_card_no_source',
+      message: '该卡片为本地自建、无远端同步来源（缺少 .import-meta.json 侧车），无法停止远端发布。',
+    })
+  }
+
+  readJsonBody(req, res, (body) => {
+    const taskId = String(body.taskId == null ? '' : body.taskId).trim()
+    const versionId = String(body.versionId == null ? '' : body.versionId).trim()
+    const version = String(body.version == null ? '' : body.version).trim()
+    if (!/^\d+$/.test(taskId) || !/^\d+$/.test(versionId)) {
+      return sendJson(res, 400, {
+        ok: false,
+        error: 'bad_request',
+        message: '停止发布需要数字型 taskId 与 versionId（均来自 IDC20002 的发布任务）。',
+      })
+    }
+
+    ;(async () => {
+      try {
+        const skillPath = resolveSkillPathOrProject(root, SYNC_SCRIPT_REL)
+        const { fetchCardPublishVersions, fetchCardVersionTasks, updateCardTaskStatus } = await import(
+          pathToFileURL(skillPath).href
+        )
+
+        // 校验 1：versionId 必须是该卡发布记录中的一条。
+        // 带 version 时按版本号精确筛选（一条即可），否则取前 100 条兜底扫描。
+        const page = await fetchCardPublishVersions(meta.cardId, {
+          pageNo: 1,
+          pageSize: version ? 10 : 100,
+          version,
+          withTasks: false,
+        })
+        const row = (page.list || []).find((x) => x.versionId === versionId)
+        if (!row) {
+          return sendJson(res, 404, {
+            ok: false,
+            error: 'version_not_found',
+            message: `版本记录 ${versionId} 不属于卡片 ${cardCode}（cardId=${meta.cardId}），已拒绝。`,
+          })
+        }
+
+        // 校验 2：taskId 必须挂在该版本下。
+        const tasks = await fetchCardVersionTasks(versionId)
+        const target = tasks.find((t) => t.taskId === taskId)
+        if (!target) {
+          return sendJson(res, 404, {
+            ok: false,
+            error: 'task_not_found',
+            message: `发布任务 ${taskId} 不属于版本 ${row.version}，已拒绝。`,
+          })
+        }
+        if (target.taskStatus === '0') {
+          return sendJson(res, 409, {
+            ok: false,
+            error: 'task_already_stopped',
+            message: `版本 ${row.version} 的发布任务已处于停止状态，无需重复操作。`,
+          })
+        }
+
+        await updateCardTaskStatus({ taskId, taskStatus: '0' })
+        log.ok('停止远端发布任务', {
+          cardCode,
+          cardId: String(meta.cardId),
+          version: row.version,
+          versionId,
+          taskId,
+        })
+        sendJson(res, 200, {
+          ok: true,
+          cardCode,
+          cardId: String(meta.cardId),
+          version: row.version,
+          versionId,
+          taskId,
+        })
+      } catch (e) {
+        const raw = String((e && e.message) || '停止发布失败')
+        const isNoCred = /credentials\.json|credentials 不存在|NO_CREDENTIALS/.test(raw)
+        if (isNoCred) {
+          return sendJson(res, 200, {
+            ok: false,
+            error: 'need_credentials',
+            needCredentials: true,
+            message: raw,
+          })
+        }
+        // finmallPost 抛出的是「FinMall 交易失败 [errorCode=IMVM0005] 状态修改失败 | {整包 JSON}」，
+        // 整包塞进 toast 读不过来：这里只取 errorMsg + code，其余留日志。
+        log.error('停止远端发布失败', { cardCode, versionId, taskId, error: raw.slice(0, 300) })
+        sendJson(res, 500, {
+          ok: false,
+          error: 'stop_publish_failed',
+          message: finmallErrorMessage(raw, '远端拒绝了本次停止操作'),
+        })
+      }
+    })()
+  })
+}
+
+/**
+ * 创建发布任务：POST /__card-publish-versions/:cardCode/publish，body { versionId, version?, memo? }
+ *
+ * 对应线上详情页版本行的「创建发布」（tooltip：创建发布）→ 发布任务抽屉 → IDC20004.do。
+ * 线上抽屉有「发布类型（正式 / 灰度）」等表单，这里只走正式发布（publishType='2'），
+ * 灰度白名单 / 时间窗 / 高级规则等有真实需求再补。
+ *
+ * 归属校验与停止发布同源：versionId 必须出现在该卡的发布版本记录里（不接受外来 versionId）。
+ * 这道闸是必需的——实测 IDC20004 对不存在的 versionId 也返回「交易成功」并真的建出任务，
+ * 远端本身不校验归属。
+ *
+ * 唯一的拒绝条件是「该版本已有进行中的发布任务」（409）：同一版本重复下发会生成两条并行的
+ * 发布任务，线上页面虽然不拦，但对我们这个批量工具属于误操作，409 比默默任务重复更好排查。
+ * 特意**不**拿 publishStatus 当拒绝理由：publishStatus='1' 只表示该版本已上线，与「有没有
+ * 任务在跑」无因果关系（实测存在发布中但 versionTaskList 为空的行），拿它拒绝会把
+ * 「已上线、无任务」这种正常行堵成死路——那种行既停不了也发不了。线上页面同样只看任务：
+ * 版本行的「创建发布」按钮没有任何 disabled 条件。
+ */
+function handlePublishVersion({ root, cardCode, req, res }) {
+  const dir = findCardDir(root, { code: cardCode })
+  const meta = dir ? readImportMeta(dir) : null
+  if (!meta || !meta.cardId) {
+    return sendJson(res, 409, {
+      ok: false,
+      error: 'local_card_no_source',
+      message: '该卡片为本地自建、无远端同步来源（缺少 .import-meta.json 侧车），无法创建远端发布。',
+    })
+  }
+
+  readJsonBody(req, res, (body) => {
+    const versionId = String(body.versionId == null ? '' : body.versionId).trim()
+    const version = String(body.version == null ? '' : body.version).trim()
+    const memo = String(body.memo == null ? '' : body.memo).trim().slice(0, 200)
+    if (!/^\d+$/.test(versionId)) {
+      return sendJson(res, 400, {
+        ok: false,
+        error: 'bad_request',
+        message: '创建发布需要数字型 versionId（来自 IDC10004 的版本记录）。',
+      })
+    }
+
+    ;(async () => {
+      try {
+        const skillPath = resolveSkillPathOrProject(root, SYNC_SCRIPT_REL)
+        const { fetchCardPublishVersions, createCardPublishTask } = await import(
+          pathToFileURL(skillPath).href
+        )
+
+        // 归属校验 + 顺便拿到该行是否已有进行中的任务（带 version 时只查这一条，代价很小）。
+        // withTasks 恒开：409 判定依赖真实任务列表，不能因调用方没传 version 就跳过查询。
+        const page = await fetchCardPublishVersions(meta.cardId, {
+          pageNo: 1,
+          pageSize: version ? 10 : 100,
+          version,
+          withTasks: true,
+        })
+        const row = (page.list || []).find((x) => x.versionId === versionId)
+        if (!row) {
+          return sendJson(res, 404, {
+            ok: false,
+            error: 'version_not_found',
+            message: `版本记录 ${versionId} 不属于卡片 ${cardCode}（cardId=${meta.cardId}），已拒绝。`,
+          })
+        }
+        if (row.task && row.task.taskStatus !== '0') {
+          return sendJson(res, 409, {
+            ok: false,
+            error: 'task_already_running',
+            message: `版本 ${row.version} 已有进行中的发布任务，如需重新发布请先停止。`,
+          })
+        }
+
+        await createCardPublishTask({
+          cardId: meta.cardId,
+          versionId,
+          version: row.version,
+          memo,
+        })
+        log.ok('创建远端发布任务', {
+          cardCode,
+          cardId: String(meta.cardId),
+          version: row.version,
+          versionId,
+        })
+        sendJson(res, 200, {
+          ok: true,
+          cardCode,
+          cardId: String(meta.cardId),
+          version: row.version,
+          versionId,
+          publishType: '2',
+        })
+      } catch (e) {
+        const raw = String((e && e.message) || '创建发布失败')
+        const isNoCred = /credentials\.json|credentials 不存在|NO_CREDENTIALS/.test(raw)
+        if (isNoCred) {
+          return sendJson(res, 200, {
+            ok: false,
+            error: 'need_credentials',
+            needCredentials: true,
+            message: raw,
+          })
+        }
+        log.error('创建远端发布失败', { cardCode, versionId, error: raw.slice(0, 300) })
+        sendJson(res, 500, {
+          ok: false,
+          error: 'publish_failed',
+          message: finmallErrorMessage(raw, '远端拒绝了本次发布'),
+        })
+      }
+    })()
+  })
+}
+
+/**
+ * 把 finmallPost 抛出的原始错误压成一句可读文案。
+ * 原始形态：「FinMall 交易失败 [errorCode=IMVM0005] 状态修改失败 | {整包 JSON}」——
+ * 整包 JSON 塞进 toast 读不过来，只取 errorMsg + code，其余由调用方写日志。
+ */
+function finmallErrorMessage(raw, fallback) {
+  const m = String(raw || '').match(/FinMall 交易失败 \[errorCode=([^\]]+)\]\s*([^|]*)/)
+  if (!m) return raw
+  return `${(m[2] || '').trim() || fallback}（${m[1]}）`
+}
+

package/dist/vendored/server/core/index.js

@@ -16,6 +16,7 @@ import { createCardVersionMiddleware } from './cardVersion.js'
 import { createCardHistoryMiddleware } from './cardHistoryRemote.js'
 import { createCardPublishVersionsMiddleware } from './cardPublishVersions.js'
 import { createSliceUploadMiddleware } from './sliceUpload.js'
+import { createRemoteCardMiddleware } from './remoteCard.js'
 import { createCardFilesMiddleware, refreshCardList } from './cardFiles.js'
 import { createExportMiddleware } from './cardExport.js'
 import { createSaveMiddleware } from './cardSave.js'
@@ -52,6 +53,7 @@ export {
   createCardHistoryMiddleware,
   createCardPublishVersionsMiddleware,
   createSliceUploadMiddleware,
+  createRemoteCardMiddleware,
   createCardFilesMiddleware,
   createSaveMiddleware,
   createImportMetaMiddleware,
@@ -114,6 +116,10 @@ export function mountCoreMiddlewares(app, { root, viteServer = null, upstream =
   // 写 src/slices/manifest.json 映射并把卡片里的 /slices/ 引用改写为 @filestore/ 线上地址。
   // 仅在用户点击时触发，没有任何自动上传路径。
   app.use(createSliceUploadMiddleware({ root }))
+  // 远端卡片基本信息维护（「远端全部卡片」弹窗的「添加卡片 / 编辑」抽屉）：
+  // 类型字典 IDC10009、新建 IDC10002、编辑 IDC10008、封面上传 CC0000，
+  // 复用 finmall-card-sync 的后台会话；只改 FinMall 侧元数据，不写本地 src/cards。
+  app.use(createRemoteCardMiddleware({ root }))
   app.use(createCardFilesMiddleware({ root, notify }))
   app.use(createSaveMiddleware({ root }))
   // 卡片导出（编辑器「网格预览 → 勾选 → 导出」）：产物契约见 server/core/cardExport.js 头注释

package/dist/vendored/server/core/remoteCard.js

@@ -0,0 +1,207 @@
+import { pathToFileURL } from 'node:url'
+import { log } from './logger.js'
+import { resolveSkillPathOrProject } from './skillPaths.js'
+
+/** 卡片元数据（列表字典 / 新建 / 编辑）所在脚本，相对 skills/ */
+const SYNC_SCRIPT_REL = 'finmall-card-sync/scripts/api_batch_sync.mjs'
+/** 图片上传（CC0000.do）所在脚本，与切图上传同一条链路 */
+const SLICE_SCRIPT_REL = 'finmall-card-sync/scripts/slice_upload.mjs'
+
+/** 封面 base64 请求体上限：一张 2x 卡片封面通常 < 1MB，留足余量又不至于吃满内存 */
+const MAX_BODY_BYTES = 12 * 1024 * 1024
+
+/**
+ * 请求体读取（JSON）。上限按封面上传放宽到 12MB —— 封面是 base64 内联传输，
+ * 与其它端点（64KB~4MB）不是同一量级，用统一小上限会把正常封面直接掐断。
+ */
+function readJsonBody(req, res, cb) {
+  let body = ''
+  req.setEncoding('utf8')
+  req.on('data', (c) => {
+    body += c
+    if (body.length > MAX_BODY_BYTES) {
+      res.statusCode = 413
+      res.setHeader('Content-Type', 'application/json')
+      res.end(JSON.stringify({ ok: false, error: 'body_too_large', message: '封面体积过大（上限 12MB）' }))
+      req.destroy()
+    }
+  })
+  req.on('end', () => {
+    if (res.writableEnded) return
+    let payload
+    try {
+      payload = JSON.parse(body || '{}')
+    } catch (e) {
+      res.statusCode = 400
+      res.setHeader('Content-Type', 'application/json')
+      return res.end(JSON.stringify({ ok: false, error: 'invalid json', message: String(e.message) }))
+    }
+    cb(payload)
+  })
+}
+
+/** 统一响应：成功 200 + {ok:true,...}；凭据缺失 200 + needCredentials（前端弹登录表单） */
+function sendOk(res, payload) {
+  res.statusCode = 200
+  res.setHeader('Content-Type', 'application/json')
+  res.end(JSON.stringify({ ok: true, ...payload }))
+}
+
+function sendError(res, err, label) {
+  const message = String((err && err.message) || err || '未知错误')
+  const needCred = /credentials|NO_CREDENTIALS|会话超时|请先.*登录|未登录/i.test(message)
+  if (needCred) {
+    // 凭据/会话类失败不是 500：前端据此打开登录表单，而不是弹一条红色错误码
+    res.statusCode = 200
+    res.setHeader('Content-Type', 'application/json')
+    return res.end(JSON.stringify({ ok: false, error: 'need_credentials', needCredentials: true, message }))
+  }
+  log.error(label, err)
+  res.statusCode = 500
+  res.setHeader('Content-Type', 'application/json')
+  res.end(JSON.stringify({ ok: false, error: label, message }))
+}
+
+/**
+ * 远端卡片「基本信息」维护的服务端处理（编辑器「远端全部卡片」弹窗用）：
+ *
+ * - GET  /__remote-card-types  → 卡片类型字典（IDC10009.do），新建/编辑抽屉的类型下拉
+ * - POST /__remote-card/create → 新建卡片（IDC10002.do），body { code, cardName, cardClassId, picUrl? }
+ * - POST /__remote-card/update → 编辑基本信息（IDC10008.do），body { cardId, code, cardName, cardClassId, picUrl? }
+ * - POST /__remote-card/delete → 删除卡片（IDC10003.do），body { cardId }（不可逆，前端须二次确认）
+ * - POST /__remote-card/cover  → 上传封面图（CC0000.do），body { fileName, base64, mime? } → { url }
+ *
+ * 为什么必须经 Node 中转：FinMall 接口需要 `token` 头（值只在页面上下文内可读）、且跨域，
+ * 纯前端发不出去。这里复用 finmall-card-sync 的后台会话（与同步/切图上传同一个 Chrome），
+ * 不额外引入登录态。
+ *
+ * 注意：这些接口只改 FinMall 侧的卡片元数据，不写本地 src/cards ——
+ * 本地目录由「下载选中 / 全部下载」按需拉取，避免远端建卡即污染工作区。
+ *
+ * @param {{ root: string }} opts
+ * @returns {(req: import('http').IncomingMessage, res: import('http').ServerResponse, next: Function) => void}
+ */
+export function createRemoteCardMiddleware({ root }) {
+  return function remoteCardMiddleware(req, res, next) {
+    const pathname = decodeURIComponent((req.url || '').split('?')[0])
+    const method = (req.method || 'GET').toUpperCase()
+
+    // ---- 卡片类型字典 ----
+    if (pathname === '/__remote-card-types') {
+      if (method !== 'GET') return next()
+      ;(async () => {
+        try {
+          const scriptPath = resolveSkillPathOrProject(root, SYNC_SCRIPT_REL)
+          const { listRemoteCardTypes } = await import(pathToFileURL(scriptPath).href)
+          const types = await listRemoteCardTypes({})
+          sendOk(res, { types })
+        } catch (e) {
+          sendError(res, e, 'remote card types failed')
+        }
+      })()
+      return
+    }
+
+    // ---- 新建卡片 ----
+    if (pathname === '/__remote-card/create') {
+      if (method !== 'POST') return next()
+      return readJsonBody(req, res, async (payload) => {
+        try {
+          if (!payload.code) {
+            res.statusCode = 400
+            res.setHeader('Content-Type', 'application/json')
+            return res.end(JSON.stringify({ ok: false, error: 'missing code', message: '需填写卡片编码' }))
+          }
+          const scriptPath = resolveSkillPathOrProject(root, SYNC_SCRIPT_REL)
+          const { createRemoteCard } = await import(pathToFileURL(scriptPath).href)
+          const created = await createRemoteCard({
+            code: payload.code,
+            cardName: payload.cardName,
+            cardClassId: payload.cardClassId,
+            picUrl: payload.picUrl,
+          })
+          log.info('已在远端新建卡片', { code: created.code, cardId: created.cardId })
+          sendOk(res, { cardId: created.cardId, code: created.code })
+        } catch (e) {
+          sendError(res, e, 'remote card create failed')
+        }
+      })
+    }
+
+    // ---- 编辑卡片基本信息 ----
+    if (pathname === '/__remote-card/update') {
+      if (method !== 'POST') return next()
+      return readJsonBody(req, res, async (payload) => {
+        try {
+          if (!payload.cardId) {
+            res.statusCode = 400
+            res.setHeader('Content-Type', 'application/json')
+            return res.end(JSON.stringify({ ok: false, error: 'missing cardId', message: '需传入远端卡片 cardId' }))
+          }
+          const scriptPath = resolveSkillPathOrProject(root, SYNC_SCRIPT_REL)
+          const { updateRemoteCard } = await import(pathToFileURL(scriptPath).href)
+          const updated = await updateRemoteCard({
+            cardId: payload.cardId,
+            code: payload.code,
+            cardName: payload.cardName,
+            cardClassId: payload.cardClassId,
+            picUrl: payload.picUrl,
+          })
+          log.info('已更新远端卡片基本信息', { code: updated.code, cardId: updated.cardId })
+          sendOk(res, { cardId: updated.cardId, code: updated.code })
+        } catch (e) {
+          sendError(res, e, 'remote card update failed')
+        }
+      })
+    }
+
+    // ---- 删除卡片（不可逆）----
+    if (pathname === '/__remote-card/delete') {
+      if (method !== 'POST') return next()
+      return readJsonBody(req, res, async (payload) => {
+        try {
+          if (!payload.cardId) {
+            res.statusCode = 400
+            res.setHeader('Content-Type', 'application/json')
+            return res.end(JSON.stringify({ ok: false, error: 'missing cardId', message: '需传入远端卡片 cardId' }))
+          }
+          const scriptPath = resolveSkillPathOrProject(root, SYNC_SCRIPT_REL)
+          const { deleteRemoteCard } = await import(pathToFileURL(scriptPath).href)
+          const deleted = await deleteRemoteCard({ cardId: payload.cardId, channel: payload.channel })
+          log.info('已删除远端卡片', { cardId: deleted.cardId })
+          sendOk(res, { cardId: deleted.cardId })
+        } catch (e) {
+          sendError(res, e, 'remote card delete failed')
+        }
+      })
+    }
+
+    // ---- 封面上传 ----
+    if (pathname === '/__remote-card/cover') {
+      if (method !== 'POST') return next()
+      return readJsonBody(req, res, async (payload) => {
+        try {
+          if (!payload.fileName || !payload.base64) {
+            res.statusCode = 400
+            res.setHeader('Content-Type', 'application/json')
+            return res.end(
+              JSON.stringify({ ok: false, error: 'missing file', message: '需传入 fileName 与 base64 图片内容' }),
+            )
+          }
+          const scriptPath = resolveSkillPathOrProject(root, SLICE_SCRIPT_REL)
+          const { uploadCardImage } = await import(pathToFileURL(scriptPath).href)
+          const result = await uploadCardImage({
+            fileName: payload.fileName,
+            base64: payload.base64,
+            mime: payload.mime,
+          })
+          sendOk(res, { url: result.url, dimensions: result.dimensions })
+        } catch (e) {
+          sendError(res, e, 'remote card cover upload failed')
+        }
+      })
+    }
+
+    return next()
+  }
+}