cardbuddy 0.21.0 → 0.22.0

package/dist/vendored/skills/finmall-card-sync/scripts/api_batch_sync.mjs

@@ -276,8 +276,9 @@ export async function syncCards(opts = {}) {
  * @param {number} [opts.maxPages=400]   分页上限保护（50×400=2 万张，防服务端异常死循环）
  * @param {string} [opts.appId]
  * @param {string} [opts.workspaceId]
- * @returns {Promise<Array<{id:string,title:string,cardId:string|number,coverUrl:string}>>}
- *   id=英文卡 code（本地目录名同源）；coverUrl 为 FinMall 图片库绝对地址（可能为空串）
+ * @returns {Promise<Array<{id:string,title:string,cardId:string|number,coverUrl:string,picUrl:string,cardClassId:string}>>}
+ *   id=英文卡 code（本地目录名同源）；coverUrl 为 FinMall 图片库绝对地址（可能为空串）；
+ *   picUrl 为原始 `@filestore/...` 站内地址、cardClassId 为卡片类型 id，二者供「编辑基本信息」原样回传。
  */
 export async function listRemoteCards(opts = {}) {
   const appId = opts.appId || finmallConfig.appId;
@@ -316,6 +317,11 @@ export async function listRemoteCards(opts = {}) {
           title: card.title || '',
           cardId: card.cardId,
           coverUrl: card.coverUrl || '',
+          // 原始站内地址（`@filestore/...`）：编辑卡片基本信息时要原样回传 picUrl，
+          // 若只留 coverUrl（已 URL 化的 http 地址）就再也拼不回这个形态。
+          picUrl: (card.raw && card.raw.picUrl) || '',
+          // 卡片类型 id：编辑抽屉的「卡片类型」下拉要按它回填当前值
+          cardClassId: (card.raw && card.raw.cardClassId) || '',
         });
       }
       pageNo += 1;
@@ -327,6 +333,190 @@ export async function listRemoteCards(opts = {}) {
   }
 }
 
+/** 从后台会话中取出 FinMall 页面（列表 / 字典 / 新建 / 编辑共用同一页面上下文） */
+function finmallPage(browser) {
+  const context = browser.contexts()[0];
+  const page = context?.pages().find((p) => p.url().includes('finmall.com')) || context?.pages()[0];
+  if (!page) throw new Error('未能在后台 Chrome 中找到 FinMall 页面，请检查凭据或重新触发。');
+  return page;
+}
+
+/**
+ * 卡片类型字典（IDC10009.do）：新建 / 编辑卡片抽屉里「卡片类型」下拉的数据源。
+ *
+ * 请求体与响应形态（线上内管抓包实测）：
+ *   body → { channel:'', searchValue:'', applyScene:'1', sassAppId, sassWorkspaceId }
+ *   resp.body.cardClassList → [{ count:'53', id:'1', name:'账户管理' }, …]
+ * `count` 是该类型下现有卡片数，内管直接展示在筛选项旁，这里一并回传备前端使用。
+ *
+ * @param {{appId?:string,workspaceId?:string}} [opts]
+ * @returns {Promise<Array<{id:string,name:string,count:number}>>}
+ */
+export async function listRemoteCardTypes(opts = {}) {
+  const appId = opts.appId || finmallConfig.appId;
+  const workspaceId = opts.workspaceId || finmallConfig.workspaceId;
+  const session = await ensureFinMallSession();
+  const browser = session.browser;
+  try {
+    const page = finmallPage(browser);
+    await page.bringToFront();
+    const body = await finmallPostWithHeal(
+      page,
+      `/ubomp-web/IDC10009.do?sassAppId=${appId}&sassWorkspaceId=${workspaceId}`,
+      {
+        channel: '',
+        searchValue: '',
+        applyScene: '1',
+        sassAppId: appId,
+        sassWorkspaceId: workspaceId,
+      },
+    );
+    return (Array.isArray(body.cardClassList) ? body.cardClassList : []).map((t) => ({
+      id: String(t.id),
+      name: t.name || '',
+      count: Number(t.count || 0),
+    }));
+  } finally {
+    try { await browser.disconnect() } catch { /* ignore */ }
+  }
+}
+
+/**
+ * 新建卡片（IDC10002.do）——内管「新建卡片」抽屉的提交接口。
+ *
+ * 请求体（实测，字段名与顺序均按线上）：
+ *   { channel:'', code, picUrl, cardName, cardClassId, applyScene:'1', sassAppId, sassWorkspaceId }
+ * 响应：body.cardId 为新卡的数字主键（后续编辑 / 拉 schema 都以它为键）。
+ *
+ * 注意：`code` 是英文卡标识，全后端唯一且会作为本地目录名；这里与 normalizeCard 用同一
+ * 安全字符集校验，避免把非法标识提交到远端造成不可逆脏数据。
+ *
+ * @param {{code:string,cardName:string,cardClassId:string|number,picUrl?:string,appId?:string,workspaceId?:string}} input
+ * @returns {Promise<{cardId:string, code:string}>}
+ */
+export async function createRemoteCard(input = {}) {
+  const appId = input.appId || finmallConfig.appId;
+  const workspaceId = input.workspaceId || finmallConfig.workspaceId;
+  const code = String(input.code || '').trim();
+  const cardName = String(input.cardName || '').trim();
+  if (!/^[A-Za-z0-9_-]+$/.test(code)) throw new Error(`卡片编码非法（仅允许字母/数字/_/-）：${code || '(空)'}`);
+  if (!cardName) throw new Error('卡片名称不能为空');
+  if (input.cardClassId == null || String(input.cardClassId) === '') throw new Error('请选择卡片类型');
+
+  const session = await ensureFinMallSession();
+  const browser = session.browser;
+  try {
+    const page = finmallPage(browser);
+    await page.bringToFront();
+    const body = await finmallPostWithHeal(
+      page,
+      `/ubomp-web/IDC10002.do?sassAppId=${appId}&sassWorkspaceId=${workspaceId}`,
+      {
+        channel: '',
+        code,
+        picUrl: String(input.picUrl || ''),
+        cardName,
+        cardClassId: String(input.cardClassId),
+        applyScene: '1',
+        sassAppId: appId,
+        sassWorkspaceId: workspaceId,
+      },
+    );
+    return { cardId: String(body.cardId || ''), code };
+  } finally {
+    try { await browser.disconnect() } catch { /* ignore */ }
+  }
+}
+
+/**
+ * 编辑卡片基本信息（IDC10008.do）——内管卡片项「更多操作 → 编辑卡片」的提交接口。
+ *
+ * 与新建的唯一差异是多一个数字主键 `cardId`（列表 IDC10001 的 cardId，不是英文 code）。
+ * `picUrl` 传空串表示清除封面；不传则维持原值——为保证「用户没动封面就不改封面」，
+ * 调用方应把当前 picUrl 原样回传（线上内管也是这么做的）。
+ *
+ * @param {{cardId:string,code:string,cardName:string,cardClassId:string|number,picUrl?:string,appId?:string,workspaceId?:string}} input
+ * @returns {Promise<{cardId:string, code:string}>}
+ */
+export async function updateRemoteCard(input = {}) {
+  const appId = input.appId || finmallConfig.appId;
+  const workspaceId = input.workspaceId || finmallConfig.workspaceId;
+  const cardId = String(input.cardId || '');
+  const code = String(input.code || '').trim();
+  const cardName = String(input.cardName || '').trim();
+  if (!cardId) throw new Error('缺少 cardId，无法编辑远端卡片');
+  if (!/^[A-Za-z0-9_-]+$/.test(code)) throw new Error(`卡片编码非法（仅允许字母/数字/_/-）：${code || '(空)'}`);
+  if (!cardName) throw new Error('卡片名称不能为空');
+  if (input.cardClassId == null || String(input.cardClassId) === '') throw new Error('请选择卡片类型');
+
+  const session = await ensureFinMallSession();
+  const browser = session.browser;
+  try {
+    const page = finmallPage(browser);
+    await page.bringToFront();
+    // 线上实测：IDC10008 的 URL 不带 sassAppId 查询串（只有 transCode 里带），
+    // 带了也能用；此处按实测的干净路径发送，减少与官方实现的差异面。
+    const body = await finmallPostWithHeal(
+      page,
+      '/ubomp-web/IDC10008.do',
+      {
+        channel: '',
+        cardId,
+        code,
+        picUrl: String(input.picUrl || ''),
+        cardName,
+        cardClassId: String(input.cardClassId),
+        applyScene: '1',
+        sassAppId: appId,
+        sassWorkspaceId: workspaceId,
+      },
+      `/ubomp-web/IDC10008.do?sassAppId=${appId}&sassWorkspaceId=${workspaceId}`,
+    );
+    return { cardId, code, ...(body || {}) };
+  } finally {
+    try { await browser.disconnect() } catch { /* ignore */ }
+  }
+}
+
+/**
+ * 删除远端卡片（IDC10003.do）——内管卡片项「更多操作 → 删除卡片」的提交接口。
+ *
+ * 请求体（实测，来自线上 `8.de07c148.js` 的 delItemHandle）：
+ *   { channel:'', cardId }
+ * 即只认数字主键 cardId（列表行数据的 `id`），**不传英文 code**。
+ *
+ * 不可逆：删除后该卡在 FinMall 侧的元数据与已发布版本一并消失，无法通过重新新建
+ * 恢复同一 cardId。调用方必须在执行前做二次确认。本地 src/cards/<code> 目录不受影响。
+ *
+ * @param {{cardId:string|number, channel?:string, appId?:string, workspaceId?:string}} input
+ * @returns {Promise<{cardId:string}>}
+ */
+export async function deleteRemoteCard(input = {}) {
+  const appId = input.appId || finmallConfig.appId;
+  const workspaceId = input.workspaceId || finmallConfig.workspaceId;
+  const cardId = String(input.cardId || '').trim();
+  if (!cardId) throw new Error('缺少 cardId，无法删除远端卡片');
+
+  const session = await ensureFinMallSession();
+  const browser = session.browser;
+  try {
+    const page = finmallPage(browser);
+    await page.bringToFront();
+    // 与 IDC10002（新建）同一写法：URL 带 sassAppId / sassWorkspaceId，transCode 取默认（同 URL）
+    await finmallPostWithHeal(
+      page,
+      `/ubomp-web/IDC10003.do?sassAppId=${appId}&sassWorkspaceId=${workspaceId}`,
+      {
+        channel: String(input.channel || ''),
+        cardId,
+      },
+    );
+    return { cardId };
+  } finally {
+    try { await browser.disconnect() } catch { /* ignore */ }
+  }
+}
+
 /**
  * 把一张卡片的最新 schema 写回 FinMall（线上编辑器「保存」接口 IDC10010.do）。
  * 与 syncCards 共用同一套已登录浏览器会话与带自愈的 finmallPost，
@@ -820,9 +1010,40 @@ export async function fetchCardLatestVersion(cardId) {
   }
 }
 
+/**
+ * 归一化一条「发布任务」（IDC20002.do 的 versionTaskList[] 项）。
+ * 任务与版本记录是两级概念：一条版本记录（versionId）下可挂多个发布任务（灰度批次），
+ * 取消发布（IDC20003.do）只认任务的 id，不认版本号。
+ *
+ * 实测原始字段：{ id, taskStatus, publishType, publishMode, greyNum, productVersion, zipId, gmtModified, memo }
+ *   id=任务主键（即取消发布要传的 taskId）  zipId=对应 versionId
+ *   taskStatus 与版本状态同套枚举（0=未发布/已停止，1=发布中）
+ *   publishType：1=灰度发布  2=正式发布（页面文案）
+ *   publishMode：1=白名单  其余=时间窗
+ *
+ * @param {object} raw
+ * @returns {{taskId:string, taskStatus:string, publishType:string, publishMode:string,
+ *            greyNum:string, productVersion:string, modifiedAt:string, memo:string}|null}
+ */
+function normalizeVersionTask(raw) {
+  if (!raw || raw.id == null) return null;
+  const s = (v) => String(v == null ? '' : v);
+  return {
+    taskId: s(raw.id),
+    taskStatus: s(raw.taskStatus),
+    publishType: s(raw.publishType),
+    publishMode: s(raw.publishMode),
+    greyNum: s(raw.greyNum),
+    productVersion: s(raw.productVersion),
+    modifiedAt: s(raw.gmtModified),
+    memo: s(raw.memo),
+  };
+}
+
 /**
  * 取远端「发布版本记录」分页列表：IDC10004.do 的 versionList（新→旧，最多一页 pageSize 条）。
- * 供调试面板「导入信息」tab 的「发布版本记录」弹框渲染（版本号 / 平台 / 状态 / 发布时间）。
+ * 供调试面板「导入信息」tab 的「发布版本记录」弹框渲染
+ * （版本号 / 平台 / 状态 / 发布时间 / 操作：停止发布）。
  * 只读；与 fetchCardLatestVersion / fetchCardHistory 共用同一后台 FinMall 会话
  * （ensureFinMallSession + finmallPostWithHeal，命中会话失效自动清 session 重登重试一次）。
  *
@@ -835,11 +1056,22 @@ export async function fetchCardLatestVersion(cardId) {
  * 页面渲染仅对 0/1 出标签「未发布 / 发布中」，2/3 依枚举名与「停止发布」动作（publishStatus:'3'）释义）：
  *   0=未发布  1=发布中  2=已完成  3=已停止
  *
+ * 每行额外挂 task（活动发布任务，见 normalizeVersionTask）：线上「结束发布」按钮作用在任务上，
+ * 版本记录本身不含 taskId，必须再查 IDC20002.do。只对 publishStatus==='1'（发布中）的行补查——
+ * 一页 20 行全量查会把弹框拖到数秒，而其余状态不可能存在进行中的任务。
+ *
  * @param {string|number} cardId
- * @param {{ pageNo?: number, pageSize?: number }} [opts]
+ * @param {{ pageNo?: number, pageSize?: number, version?: string, withTasks?: boolean }} [opts]
+ *   version 非空时按版本号精确筛选（IDC10004 支持 version 入参）——「停止发布」校验归属时用，
+ *   免得为了定位一个旧版本把上千条记录翻一遍；
+ *   withTasks=false 时只取版本列表、不补查发布任务（服务端校验版本归属等只读场景用，
+ *   避免为了验证一个 versionId 而把整页 20 行的任务都查一遍）。
  * @returns {Promise<{ list: Array<object>, maxVersion: string, totalNums: number, totalPages: number }>}
  */
-export async function fetchCardPublishVersions(cardId, { pageNo = 1, pageSize = 10 } = {}) {
+export async function fetchCardPublishVersions(
+  cardId,
+  { pageNo = 1, pageSize = 10, version = '', withTasks = true } = {},
+) {
   if (cardId == null) {
     throw new Error('缺少 cardId，无法查询发布版本记录（IDC10004.do 需要 cardId）。');
   }
@@ -861,7 +1093,7 @@ export async function fetchCardPublishVersions(cardId, { pageNo = 1, pageSize =
         pageNo,
         pageSize,
         publishStatus: '',
-        version: '',
+        version,
         cardId: id,
         sassAppId: appId,
         sassWorkspaceId: workspaceId,
@@ -885,8 +1117,45 @@ export async function fetchCardPublishVersions(cardId, { pageNo = 1, pageSize =
         platformStr: platforms.join('、'),
         publishStatus: status,
         publishTime: String(raw.createTime == null ? '' : raw.createTime),
+        // 活动发布任务（含取消发布所需的 taskId）；由下方按「发布中」补查 IDC20002 填充
+        task: null,
       };
     });
+    // 补查发布任务：对**每一行**都查，不按 publishStatus 预筛。
+    // 曾经只查「发布中」的行，理由是「其余状态不可能有进行中任务」，但实测这个前提不成立：
+    // account 卡 29 条版本里 28 条 publishStatus='1'，其中 20260025/26/28 的 versionTaskList
+    // 是货真价实的空数组（errorCode=0，非查询失败）——它们经其它入口（顶栏「卡片发布」
+    // IDC10016）上线，压根不建 IDC20002 任务。反过来也不能假设非发布中的行一定没任务。
+    // 「有没有进行中任务」只认 IDC20002 的实际返回，才敢拿它当按钮可用性的依据。
+    // 单行失败不影响整页（该行 task=null）。
+    // 分批并发（6 路）：实测一页 20 行串行要 3.3s，并发后 <1s；
+    // 上限压在 6 是为了不给后台 Chrome 的 HTTP 连接池和远端网关添压力。
+    const pending = withTasks ? list.filter((row) => row.versionId) : [];
+    const TASK_CONCURRENCY = 6;
+    for (let i = 0; i < pending.length; i += TASK_CONCURRENCY) {
+      await Promise.all(
+        pending.slice(i, i + TASK_CONCURRENCY).map(async (row) => {
+          try {
+            const taskResp = await finmallPostWithHeal(
+              page,
+              `/ubomp-web/IDC20002.do?sassAppId=${appId}&sassWorkspaceId=${workspaceId}`,
+              { packageInfoId: row.versionId },
+              'IDC20002.do',
+            );
+            const rawTasks = Array.isArray(taskResp && taskResp.versionTaskList) ? taskResp.versionTaskList : [];
+            // 一个版本可能有多批灰度任务，取仍在进行中的那一条（已停止的历史任务不提供按钮）
+            const active = rawTasks.map(normalizeVersionTask).filter(Boolean).find((t) => t.taskStatus !== '0');
+            row.task = active || null;
+          } catch (e) {
+            log.warn('查询版本发布任务失败（该行将不显示停止发布）', {
+              version: row.version,
+              error: e && e.message,
+            });
+            row.task = null;
+          }
+        }),
+      );
+    }
     log.info('查询远端发布版本记录', {
       cardId: id,
       pageNo,
@@ -904,6 +1173,155 @@ export async function fetchCardPublishVersions(cardId, { pageNo = 1, pageSize =
   }
 }
 
+/**
+ * 取某条版本记录下的发布任务列表：IDC20002.do（GET_CARD_VERSION_TASKS）。
+ *
+ * 线上详情页是「版本 → 任务」两层：版本行展开后是任务子行，「结束发布」按钮落在任务行上，
+ * 调 IDC20003.do 时传的是任务主键（taskInfo.id），不是 versionId。因此要停某个版本的发布，
+ * 必须先经本接口拿到 taskId。
+ *
+ * 实测入参只需 packageInfoId（= IDC10004 返回的 versionId），返回 body.versionTaskList[]：
+ *   { id, taskStatus, publishType, publishMode, greyNum, productVersion, zipId, gmtModified, memo }
+ *
+ * @param {string|number} packageInfoId 版本记录主键（versionId）
+ * @returns {Promise<Array<object>>} 归一化任务列表（见 normalizeVersionTask），可能为空数组
+ */
+export async function fetchCardVersionTasks(packageInfoId) {
+  if (packageInfoId == null || packageInfoId === '') {
+    throw new Error('缺少 packageInfoId（版本记录 versionId），无法查询发布任务（IDC20002.do）。');
+  }
+  const appId = finmallConfig.appId;
+  const workspaceId = finmallConfig.workspaceId;
+  const id = String(packageInfoId);
+  const session = await ensureFinMallSession();
+  const browser = session.browser;
+  try {
+    const context = browser.contexts()[0];
+    const page = context?.pages().find((p) => p.url().includes('finmall.com')) || context?.pages()[0];
+    if (!page) throw new Error('未能在后台 Chrome 中找到 FinMall 页面，请先运行 finmall-session-navigator 登录。');
+    await page.bringToFront();
+    const resp = await finmallPostWithHeal(
+      page,
+      `/ubomp-web/IDC20002.do?sassAppId=${appId}&sassWorkspaceId=${workspaceId}`,
+      { packageInfoId: id },
+      'IDC20002.do',
+    );
+    const rawList = Array.isArray(resp && resp.versionTaskList) ? resp.versionTaskList : [];
+    const list = rawList.map(normalizeVersionTask).filter(Boolean);
+    log.info('查询远端发布任务', { versionId: id, count: list.length });
+    return list;
+  } finally {
+    try { await browser.disconnect(); } catch { /* ignore */ }
+  }
+}
+
+/**
+ * 变更发布任务状态：IDC20003.do（UPDATE_CARD_TASK_STATUS）。
+ *
+ * 「停止发布」在线上对应 taskStatus = '0'（逆向页面 stopTaskHandle：
+ * `updateCardTaskStatus({ taskId: taskInfo.id, taskStatus: statusEnum.UNPUB })`，
+ * UNPUB 与版本状态共用同一枚举，值即 '0'）。调用成功后页面刷新公告板列表，
+ * 该版本的发布随之结束。
+ *
+ * 注意：本函数只发请求，不做「taskId 是否属于目标卡」的守卫——守卫在调用方
+ * （server/core/cardPublishVersions.js 会先校验 versionId 属于该卡、taskId 属于该版本）做，
+ * 避免脚本层重复拼装业务语义。
+ *
+ * @param {{ taskId: string|number, taskStatus?: string }} opts
+ * @returns {Promise<object>} 接口 body（成功时通常为空对象）
+ */
+export async function updateCardTaskStatus({ taskId, taskStatus = '0' } = {}) {
+  if (taskId == null || taskId === '') {
+    throw new Error('缺少 taskId，无法变更发布任务状态（IDC20003.do 需要 taskId）。');
+  }
+  const appId = finmallConfig.appId;
+  const workspaceId = finmallConfig.workspaceId;
+  const session = await ensureFinMallSession();
+  const browser = session.browser;
+  try {
+    const context = browser.contexts()[0];
+    const page = context?.pages().find((p) => p.url().includes('finmall.com')) || context?.pages()[0];
+    if (!page) throw new Error('未能在后台 Chrome 中找到 FinMall 页面，请先运行 finmall-session-navigator 登录。');
+    await page.bringToFront();
+    const body = await finmallPostWithHeal(
+      page,
+      `/ubomp-web/IDC20003.do?sassAppId=${appId}&sassWorkspaceId=${workspaceId}`,
+      {
+        taskId: String(taskId),
+        taskStatus: String(taskStatus),
+        sassAppId: appId,
+        sassWorkspaceId: workspaceId,
+      },
+      'IDC20003.do',
+    );
+    log.ok('变更远端发布任务状态', { taskId: String(taskId), taskStatus: String(taskStatus) });
+    return body || {};
+  } finally {
+    try { await browser.disconnect(); } catch { /* ignore */ }
+  }
+}
+
+/**
+ * 为某条版本记录创建一条发布任务：IDC20004.do（PUBLISH_CARD_TASK）。
+ *
+ * 线上详情页版本行的「创建发布」按钮（tooltip：创建发布）打开 800px 抽屉
+ * （card-publish-drawer → card-publish 表单），提交时组装如下 body 调本接口：
+ *   { cardId, versionId, version, publishType, publishMode, whitelistIds,
+ *     realGreyEndtime, greyNum, memo, greyConfigInfo }
+ * 其中 publishType '2'=正式 / '1'=灰度；灰度时再按 publishMode
+ * '1'=白名单 / '2'=时间窗 带白名单 id 或结束时间 + 灰度人数，高级规则序列化进 greyConfigInfo。
+ *
+ * 这里只做「正式发布」这一条最常用路径（其余字段按页面表单默认值原样下发：
+ * publishMode '1'、greyNum '1'、greyConfigInfo '[]'），灰度发布涉及白名单 / 时间窗 /
+ * 高级规则三张表单，等有真实需求再扩，避免半成品参数把灰度任务配错。
+ *
+ * 与 updateCardTaskStatus 同样只发请求不做归属守卫（守卫在 server/core/cardPublishVersions.js）。
+ * 这条守卫不是可选的：实测 IDC20004 对「不属于该卡的 versionId」也返回
+ * `{"errorCode":"0","errorMsg":"交易成功"}` 并真的建了任务 —— 远端不做归属校验，
+ * 传错 versionId 只会静默建出一条挂在野版本上的任务。
+ *
+ * @param {{ cardId: string|number, versionId: string|number, version?: string, memo?: string }} opts
+ * @returns {Promise<object>} 接口 body（成功时通常为空对象）
+ */
+export async function createCardPublishTask({ cardId, versionId, version = "", memo = "" } = {}) {
+  if (cardId == null || cardId === "" || versionId == null || versionId === "") {
+    throw new Error("缺少 cardId / versionId，无法创建发布任务（IDC20004.do 需要两者）。");
+  }
+  const appId = finmallConfig.appId;
+  const workspaceId = finmallConfig.workspaceId;
+  const session = await ensureFinMallSession();
+  const browser = session.browser;
+  try {
+    const context = browser.contexts()[0];
+    const page = context?.pages().find((p) => p.url().includes("finmall.com")) || context?.pages()[0];
+    if (!page) throw new Error("未能在后台 Chrome 中找到 FinMall 页面，请先运行 finmall-session-navigator 登录。");
+    await page.bringToFront();
+    const body = await finmallPostWithHeal(
+      page,
+      `/ubomp-web/IDC20004.do?sassAppId=${appId}&sassWorkspaceId=${workspaceId}`,
+      {
+        cardId: String(cardId),
+        versionId: String(versionId),
+        version: String(version || ""),
+        publishType: "2",
+        publishMode: "1",
+        whitelistIds: "",
+        realGreyEndtime: "",
+        greyNum: "1",
+        memo: String(memo || ""),
+        greyConfigInfo: "[]",
+        sassAppId: appId,
+        sassWorkspaceId: workspaceId,
+      },
+      "IDC20004.do",
+    );
+    log.ok("创建远端发布任务", { cardId: String(cardId), versionId: String(versionId), version: String(version || "") });
+    return body || {};
+  } finally {
+    try { await browser.disconnect(); } catch { /* ignore */ }
+  }
+}
+
 /**
  * 取远端「卡片历史版本时间线」：IDC10013 按 cardId 分页返回 schemaValueList（新→旧）。
  * 供编辑器「卡片历史记录」tab 渲染 git 式时间线。只读；与 fetchCardLatestVersion 共用

package/dist/vendored/skills/finmall-card-sync/scripts/slice_upload.mjs

@@ -245,6 +245,45 @@ async function uploadWithHeal(page, payload) {
   }
 }
 
+/**
+ * 上传单张图片到 FinMall 图片库（CC0000.do），返回 `@filestore/...` 站内地址。
+ *
+ * 与切图上传是同一条链路（同接口、同会话自愈、同响应解析），差异只在用途：
+ * 这里不写 manifest、不改写 schema —— 新建/编辑卡片抽屉只需要一个能写进 `picUrl` 的地址。
+ * 返回地址原样取自响应 `body.uploadFileList[].filePath`，代码不拼任何前缀。
+ *
+ * @param {{fileName:string,base64:string,mime?:string,appId?:string,workspaceId?:string}} input
+ * @returns {Promise<{url:string,dimensions:string,fileName:string}>}
+ */
+export async function uploadCardImage(input = {}) {
+  const fileName = String(input.fileName || '').trim();
+  if (!fileName) throw new Error('缺少文件名，无法上传封面');
+  if (!input.base64) throw new Error('缺少图片内容，无法上传封面');
+  const mime = input.mime || IMAGE_MIME[path.extname(fileName).toLowerCase()] || 'image/png';
+  const appId = input.appId || finmallConfig.appId;
+  const workspaceId = input.workspaceId || finmallConfig.workspaceId;
+
+  const session = await ensureFinMallSession();
+  const browser = session.browser;
+  try {
+    const context = browser.contexts()[0];
+    const page = context?.pages().find((p) => p.url().includes('finmall.com')) || context?.pages()[0];
+    if (!page) throw new Error('未能在后台 Chrome 中找到 FinMall 页面，请检查凭据或重新触发上传。');
+    await page.bringToFront();
+    const result = await uploadWithHeal(page, {
+      fileName,
+      mime,
+      base64: input.base64,
+      appId,
+      workspaceId,
+      endpoint: finmallConfig.uploadImgEndpoint,
+    });
+    return { url: result.url, dimensions: result.dimensions || '', fileName };
+  } finally {
+    try { await browser.disconnect() } catch { /* ignore */ }
+  }
+}
+
 /** 扫描 src/slices 下的图片真源（扁平落点，manifest.json 等非图片文件自动忽略） */
 function listSlices(slicesRoot) {
   if (!existsSync(slicesRoot)) return [];

package/dist/vendored/skills/finmall-session-navigator/scripts/package-lock.json

@@ -11,42 +11,25 @@
         "playwright": "^1.62.1"
       }
     },
-    "node_modules/fsevents": {
-      "version": "2.3.2",
-      "resolved": "https://registry.npmmirror.com/fsevents/-/fsevents-2.3.2.tgz",
-      "integrity": "sha512-xiqMQR4xAeHTuB9uWm+fFRcIOgKBMiOBP+eXiyT7jsgVCq1bkVygt00oASowB7EdtpOHaaPgKt812P9ab+DDKA==",
-      "hasInstallScript": true,
-      "license": "MIT",
-      "optional": true,
-      "os": [
-        "darwin"
-      ],
-      "engines": {
-        "node": "^8.16.0 || ^10.6.0 || >=11.0.0"
-      }
-    },
     "node_modules/playwright": {
-      "version": "1.62.1",
-      "resolved": "https://registry.npmmirror.com/playwright/-/playwright-1.62.1.tgz",
-      "integrity": "sha512-0M+L3LAD8/nm554LOla9Ayx0j0tmFZ0FBcoQ7F1VuVHpM/XpiC8RcDzBQB8W5+hA8L22THxELzeF+2WcUzvcLg==",
+      "version": "1.64.1",
+      "resolved": "https://registry.npmmirror.com/playwright/-/playwright-1.64.1.tgz",
+      "integrity": "sha512-HCrVhHr5QQuwYoswEUGTb7gGp522yflbv/ST8nF4sFWGuLjQCt17Q/EubpGGSNKYn1tsTCPZxqHhHCfVURu7UA==",
       "license": "Apache-2.0",
       "dependencies": {
-        "playwright-core": "1.62.1"
+        "playwright-core": "1.64.1"
       },
       "bin": {
         "playwright": "cli.js"
       },
       "engines": {
         "node": ">=20"
-      },
-      "optionalDependencies": {
-        "fsevents": "2.3.2"
       }
     },
     "node_modules/playwright-core": {
-      "version": "1.62.1",
-      "resolved": "https://registry.npmmirror.com/playwright-core/-/playwright-core-1.62.1.tgz",
-      "integrity": "sha512-wPYSwEBJY9GHraISXqyqtx0na0LpO3XEX7jNDhntbex7tzUS7kLnZsOlFruFJB4Hi/rhDMjXGqHewDZ68nYZVw==",
+      "version": "1.64.1",
+      "resolved": "https://registry.npmmirror.com/playwright-core/-/playwright-core-1.64.1.tgz",
+      "integrity": "sha512-BC4s8y6SEVA6Q1rSxZTto8hI1KUI3xXlHGZgvGqP4IqPdI/a6FX9H29IDNz7vKo9l21b6LfYosScPL6M3xxyDQ==",
       "license": "Apache-2.0",
       "bin": {
         "playwright-core": "cli.js"

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "cardbuddy",
-  "version": "0.21.0",
+  "version": "0.22.0",
   "description": "Local dev service for the CardBuddy card editor — decouples card CRUD (sync/save/validate/render-status/screenshot) from the static public editor, so the editor can be deployed to any static host while each developer runs a local service against their own card source.",
   "type": "module",
   "bin": {
@@ -11,7 +11,7 @@
     "README.md"
   ],
   "engines": {
-    "node": ">=20"
+    "node": ">=22.22"
   },
   "publishConfig": {
     "registry": "https://registry.npmjs.org/"
@@ -26,14 +26,14 @@
     "@vitejs/plugin-vue": "^6.0.8",
     "@vue/server-renderer": "^3.5.40",
     "chalk": "^6.0.0",
-    "chokidar": "^3.6.0",
+    "chokidar": "^6.0.0",
     "codejar": "^4.3.0",
     "connect": "^3.7.0",
-    "dotenv": "^16.6.1",
-    "pngjs": "^5.0.0",
+    "dotenv": "^18.0.9",
+    "pngjs": "^7.0.0",
     "prismjs": "^1.30.0",
     "qrcode": "^1.5.4",
-    "selfsigned": "^2.4.1",
+    "selfsigned": "^4.0.1",
     "vite": "^8.2.0",
     "vue": "^3.5.40"
   },