cardbuddy 0.22.0 → 0.24.0

package/dist/vendored/server/core/cardListCache.js

@@ -1,26 +1,61 @@
 /**
  * 远端卡片列表缓存（dev server 进程内单例）。
  *
- * 用途：推送（保存 / 预览）前确认目标卡片确实存在于 FinMall 卡片列表中，
+ * 用途：推送（保存 / 预览 / 发布）前确认目标卡片确实存在于远端卡片列表中，
  * 拦截「推到已删除 / pageId 错位的卡片」这类风险。
  *
  * 数据来源：IDC10001 卡片列表（与同步同一份数据）。刷新时机由同步逻辑触发——
  * 全量同步（无 cardCode 过滤）时整体替换；单卡同步时增量合并，避免清空其他卡片。
  * 列表条目字段：cardId（数字型，等于 schema.pageId）、code（英文卡 id）、cardName。
  *
- * 单例性：本模块被 server/* 与 skills/finmall-card-sync 以相同绝对路径 import，
+ * app 上下文：列表内容随 appId / workspaceId 而异（同一 baseUrl 下多个应用各有
+ * 独立卡片列表）。开发中途切换 .env.cb 的 appId 后，旧 app 的缓存对当前环境
+ * 完全无意义——若不失效，存在性闸门会拿旧 app 的列表误判新 app 的卡片
+ * 「不在远端列表中」。因此：
+ *   - refreshCardList 写入时盖 appId 戳；发现 appId 变化即清空旧缓存（无论 full 与否）；
+ *   - checkPushAllowed 带上当前 appId 比对，缓存属于另一 app 时视为「未同步」放行。
+ *
+ * 单例性：本模块被 server/* 与 skills/platform-card-sync 以相同绝对路径 import，
  * 在同一 dev server 进程内共享同一份内存，故同步写入、推送读取天然一致。
  */
 
+import fs from 'node:fs'
+import path from 'node:path'
+import { pathToFileURL } from 'node:url'
+import { skillsCandidates } from './skillPaths.js'
+
 const cardIndex = new Map(); // cardId(String) -> { cardId, code, cardName }
 
+/** 缓存当前所属的远端环境（由最近一次 refreshCardList 盖戳）。 */
+const cacheCtx = { appId: null, workspaceId: null };
+
+/**
+ * 最近一次「全量同步」所属的 appId。存在性闸门只在「当前 appId == 最近全量同步的
+ * appId」时才有判离权：增量合并（单卡同步）只会让列表更片面，片面列表永远不能
+ * 证明「卡片不在远端」——拿它做存在性判断就是刻舟求剑。
+ */
+let fullSyncedAppId = null;
+
 /**
  * 写入/合并卡片列表。
  * @param {Array<{cardId:string|number, code?:string, cardName?:string}>} cards
- * @param {{ full?: boolean }} [opts] full=true 时整体替换（先清空），否则增量合并。
+ * @param {{ full?: boolean, appId?: string|number, workspaceId?: string|number }} [opts]
+ *   full=true 时整体替换（先清空），否则增量合并；
+ *   appId 与缓存戳不一致（环境切换）时无条件清空——旧 app 的列表条目不可复用；
+ *   仅 full=true 才更新 fullSyncedAppId（增量合并不赋予闸门判离权）。
  */
-export function refreshCardList(cards, { full = false } = {}) {
-  if (full) cardIndex.clear();
+export function refreshCardList(cards, { full = false, appId = null, workspaceId = null } = {}) {
+  const ctxChanged =
+    appId != null && cacheCtx.appId != null && String(cacheCtx.appId) !== String(appId);
+  if (full || ctxChanged) {
+    cardIndex.clear();
+    if (ctxChanged) fullSyncedAppId = null; // 换了环境，旧的全量结论作废
+  }
+  if (appId != null) {
+    cacheCtx.appId = String(appId);
+    cacheCtx.workspaceId = workspaceId == null ? null : String(workspaceId);
+  }
+  if (full && appId != null) fullSyncedAppId = String(appId);
   for (const c of cards || []) {
     if (c == null || c.cardId == null) continue;
     const id = String(c.cardId);
@@ -35,17 +70,64 @@ export function hasCardId(cardId) {
 
 /**
  * 推送前存在性校验：目标卡片是否确实在远端卡片列表中（按 cardId/pageId 查）。
- * - 缓存为空（本次 dev server 尚未全量同步过）：放行，返回 allowed=true，避免误拦截首推。
- * - 命中：allowed=true。
- * - 未命中：allowed=false，reason 给出拦截说明（疑似已删除 / pageId 错位）。
+ * - 缓存为空（本次 dev server 尚未同步过）：放行，避免误拦截首推。
+ * - 当前 appId 从未做过全量同步（或中途切换过环境）：缓存片面 / 不可判，放行并标记
+ *   notFullSynced / staleContext=true（调用方可据此记日志提示）。
+ * - 命中：放行。
+ * - 未命中（且当前 appId 有全量列表背书）：拒绝，reason 给出拦截说明。
  * @param {string|number} pageId
- * @returns {{ allowed: boolean, reason: string }}
+ * @param {{ appId?: string|number }} [ctx] 当前生效的远端环境（来自 platform-config）
+ * @returns {{ allowed: boolean, reason: string, staleContext?: boolean, notFullSynced?: boolean }}
  */
-export function checkPushAllowed(pageId) {
+export function checkPushAllowed(pageId, { appId = null } = {}) {
   if (cardIndex.size === 0) return { allowed: true, reason: '' };
+  if (appId != null && String(appId) !== fullSyncedAppId) {
+    const staleContext =
+      cacheCtx.appId != null && String(cacheCtx.appId) !== String(appId);
+    return {
+      allowed: true,
+      reason: '',
+      staleContext: staleContext || undefined,
+      notFullSynced: !staleContext || undefined,
+    };
+  }
   if (hasCardId(pageId)) return { allowed: true, reason: '' };
   return {
     allowed: false,
     reason: `卡片 pageId=${pageId} 不在远端卡片列表中，疑似已删除或 pageId 错位，请先「远程同步」刷新列表后再推送`,
   };
 }
+
+/**
+ * 读取当前工程生效的远端环境（appId / workspaceId），供推送闸门做上下文比对。
+ * 从项目 skills/shared/platform-config.mjs 动态加载（三态解析，优先项目根下的
+ * skills/——其内部按自身位置向上找 .env.cb，读到的正是当前工程生效值）。
+ * 进程内按 root 记忆化：配置在 dev server 生命周期内视为不变（改 .env 需重启服务）。
+ * @param {string} root 项目根
+ * @returns {Promise<{ appId: string|null, workspaceId: string|null }>}
+ */
+const _ctxPromises = new Map();
+export function currentAppContext(root) {
+  const key = String(root || '');
+  if (!_ctxPromises.has(key)) {
+    _ctxPromises.set(
+      key,
+      (async () => {
+        for (const dir of skillsCandidates(root)) {
+          const p = path.join(dir, 'shared', 'platform-config.mjs');
+          if (!fs.existsSync(p)) continue;
+          try {
+            const m = await import(pathToFileURL(p).href);
+            const c = m.platformConfig || {};
+            return {
+              appId: c.appId != null ? String(c.appId) : null,
+              workspaceId: c.workspaceId != null ? String(c.workspaceId) : null,
+            };
+          } catch { /* 读下一个候选 */ }
+        }
+        return { appId: null, workspaceId: null };
+      })(),
+    );
+  }
+  return _ctxPromises.get(key);
+}

package/dist/vendored/server/core/cardPublish.js

@@ -2,23 +2,23 @@ import path from 'node:path'
 import { pathToFileURL } from 'node:url'
 import { assertRemoteSource, findCardDir } from './cardSidecar.js'
 import { commitCardChanges } from './cardGitCommit.js'
-import { checkPushAllowed } from './cardListCache.js'
+import { checkPushAllowed, currentAppContext } from './cardListCache.js'
 import { log } from './logger.js'
 import { resolveSkillPathOrProject } from './skillPaths.js'
 
 /**
- * finmall-card-sync 的批量同步脚本（发布复用），相对 skills/
+ * platform-card-sync 的批量同步脚本（发布复用），相对 skills/
  * 与 cardSync.js 同款定位：发布只用到其中的 publishCard。
  */
-const SYNC_SCRIPT_REL = 'finmall-card-sync/scripts/api_batch_sync.mjs'
+const SYNC_SCRIPT_REL = 'platform-card-sync/scripts/api_batch_sync.mjs'
 
 /**
  * 顶栏「远端 → 卡片发布」的服务端处理：取远端最大版本号 +1 后发布上线（IDC10004 → IDC10016）。
- * 复用 finmall-card-sync 的 publishCard（与「同步」「保存远端」「预览」共用同一后台 FinMall 会话）。
+ * 复用 platform-card-sync 的 publishCard（与「同步」「保存远端」「预览」共用同一后台远端会话）。
  *
  * 安全闸（与 /__preview 一致）：
  *   - assertRemoteSource：本地自建、无 .import-meta.json 侧车的卡一律禁止发布，
- *     避免把测试数据误发布到 FinMall 服务器。
+ *     避免把测试数据误发布到远端服务器。
  *   - checkPushAllowed：卡片须存在于远端列表缓存（全量同步时刷新）；缓存为空（尚未同步）则放行。
  *
  * 发布成功后的收尾：把该卡目录（src/cards/<code>/）的未提交变更提交为一条
@@ -64,8 +64,13 @@ export function createPublishMiddleware({ root }) {
         }
       }
       // 存在性闸门：发布前确认目标卡片在远端卡片列表缓存中（为空说明尚未同步，放行）。
+      // 缓存带 appId 戳：环境切换后旧 app 的缓存自动失效放行，不再误判「不在远端列表」。
       {
-        const allow = checkPushAllowed(payload.schema.pageId)
+        const ctx = await currentAppContext(root)
+        const allow = checkPushAllowed(payload.schema.pageId, ctx)
+        if (allow.staleContext || allow.notFullSynced) {
+          log.warn('远端列表缓存对当前 appId 不可判（环境已切换或未全量同步），存在性闸门放行；建议先「远程同步」刷新当前环境列表', { ...ctx, staleContext: !!allow.staleContext })
+        }
         if (!allow.allowed) {
           res.statusCode = 409
           res.setHeader('Content-Type', 'application/json')

package/dist/vendored/server/core/cardPublishVersions.js

@@ -4,7 +4,7 @@ import { readImportMeta } from './cardImportMeta.js'
 import { log } from './logger.js'
 import { resolveSkillPathOrProject } from './skillPaths.js'
 
-const SYNC_SCRIPT_REL = 'finmall-card-sync/scripts/api_batch_sync.mjs'
+const SYNC_SCRIPT_REL = 'platform-card-sync/scripts/api_batch_sync.mjs'
 
 /**
  * 调试面板「导入信息」tab「发布版本记录」弹框的远端数据源：
@@ -248,13 +248,13 @@ function handleStopPublish({ root, cardCode, req, res }) {
             message: raw,
           })
         }
-        // finmallPost 抛出的是「FinMall 交易失败 [errorCode=IMVM0005] 状态修改失败 | {整包 JSON}」，
+        // platformPost 抛出的是「远端交易失败 [errorCode=IMVM0005] 状态修改失败 | {整包 JSON}」，
         // 整包塞进 toast 读不过来：这里只取 errorMsg + code，其余留日志。
         log.error('停止远端发布失败', { cardCode, versionId, taskId, error: raw.slice(0, 300) })
         sendJson(res, 500, {
           ok: false,
           error: 'stop_publish_failed',
-          message: finmallErrorMessage(raw, '远端拒绝了本次停止操作'),
+          message: platformErrorMessage(raw, '远端拒绝了本次停止操作'),
         })
       }
     })()
@@ -368,7 +368,7 @@ function handlePublishVersion({ root, cardCode, req, res }) {
         sendJson(res, 500, {
           ok: false,
           error: 'publish_failed',
-          message: finmallErrorMessage(raw, '远端拒绝了本次发布'),
+          message: platformErrorMessage(raw, '远端拒绝了本次发布'),
         })
       }
     })()
@@ -376,12 +376,12 @@ function handlePublishVersion({ root, cardCode, req, res }) {
 }
 
 /**
- * 把 finmallPost 抛出的原始错误压成一句可读文案。
- * 原始形态：「FinMall 交易失败 [errorCode=IMVM0005] 状态修改失败 | {整包 JSON}」——
+ * 把 platformPost 抛出的原始错误压成一句可读文案。
+ * 原始形态：「远端交易失败 [errorCode=IMVM0005] 状态修改失败 | {整包 JSON}」——
  * 整包 JSON 塞进 toast 读不过来，只取 errorMsg + code，其余由调用方写日志。
  */
-function finmallErrorMessage(raw, fallback) {
-  const m = String(raw || '').match(/FinMall 交易失败 \[errorCode=([^\]]+)\]\s*([^|]*)/)
+function platformErrorMessage(raw, fallback) {
+  const m = String(raw || '').match(/远端交易失败 \[errorCode=([^\]]+)\]\s*([^|]*)/)
   if (!m) return raw
   return `${(m[2] || '').trim() || fallback}（${m[1]}）`
 }

package/dist/vendored/server/core/cardSave.js

@@ -5,15 +5,15 @@ import { fileURLToPath } from 'node:url'
 const __dirname = path.dirname(fileURLToPath(import.meta.url))
 
 import { recordExport, markDirty } from './cardImportMeta.js'
-import { checkPushAllowed } from './cardListCache.js'
+import { checkPushAllowed, currentAppContext } from './cardListCache.js'
 import { assertRemoteSource, findCardDir } from './cardSidecar.js'
 import { log } from './logger.js'
 import { resolveSkillPathOrProject } from './skillPaths.js'
 import { generateCardCover } from './screenshot.js'
 import { serialize } from './browser.js'
 
-/** 远端保存脚本相对 skills/ 的路径（与「同步」共用 finmall-card-sync） */
-const SYNC_SCRIPT_REL = 'finmall-card-sync/scripts/api_batch_sync.mjs'
+/** 远端保存脚本相对 skills/ 的路径（与「同步」共用 platform-card-sync） */
+const SYNC_SCRIPT_REL = 'platform-card-sync/scripts/api_batch_sync.mjs'
 
 /**
  * 推送成功后「截图 + 上传为远端预览图」的整段预算。
@@ -47,7 +47,7 @@ function withDeadline(promise, ms, label) {
  *
  * 为什么放在服务端而不是前端：①截图走本地无头渲染（screenshot.js 单例 Chrome），
  * 与「预览图」按钮同一条链路，产出透明底、与卡片实际渲染尺寸 1:1 的 PNG；
- * ②上传必须带 FinMall token，只有已登录的后台会话拿得到，前端不接触凭据。
+ * ②上传必须带远端 token，只有已登录的后台会话拿得到，前端不接触凭据。
  *
  * 三条纪律：
  *   - **best-effort**：任何失败都返回结构化结果，绝不向上抛——预览图是推送的附加产物，
@@ -108,14 +108,14 @@ export async function uploadPreviewAfterPush({
 }
 
 /**
- * 远端保存（写回 FinMall）服务端处理。
+ * 远端保存（写回远端）服务端处理。
  * 前端「保存」按钮把当前预览的 schema（含实时数据绑定）POST 过来，
  * 本中间件校验 pageId 后，经已登录浏览器中转调用 IDC10010.do 写回远端，
- * 与「同步」共用 finmall-card-sync 的 saveCardToRemote（带会话自愈）。
+ * 与「同步」共用 platform-card-sync 的 saveCardToRemote（带会话自愈）。
  *
  * @param {{ root: string, previewAfterPush?: typeof uploadPreviewAfterPush }} opts
  *   - previewAfterPush：推送成功后的「截图 + 上传预览图」实现，默认即上面的
- *     uploadPreviewAfterPush；单测注入替身以便在无 Chrome / 无 FinMall 会话的环境断言接线。
+ *     uploadPreviewAfterPush；单测注入替身以便在无 Chrome / 无远端会话的环境断言接线。
  */
 export function createSaveMiddleware({ root, previewAfterPush = uploadPreviewAfterPush }) {
   return async function saveMiddleware(req, res, next) {
@@ -150,7 +150,7 @@ export function createSaveMiddleware({ root, previewAfterPush = uploadPreviewAft
         return res.end(JSON.stringify({ ok: false, error: 'schema.pageId 缺失，无法确定要保存的卡片' }))
       }
       // 远端来源硬闸：本地自建、无 .import-meta.json 侧车的卡一律禁止推送，
-      // 避免把测试数据误提交到 FinMall 服务器（比「是否在远端列表」更根本）。
+      // 避免把测试数据误提交到远端服务器（比「是否在远端列表」更根本）。
       {
         const src = assertRemoteSource(root, { code, pageId: schema.pageId })
         if (!src.ok) {
@@ -183,9 +183,13 @@ export function createSaveMiddleware({ root, previewAfterPush = uploadPreviewAft
         }
       }
       // 存在性闸门：推送前确认目标卡片在远端卡片列表缓存中（全量同步时刷新）。
-      // 缓存非空才校验（为空说明尚未同步，放行）；不存在则拒绝推送，防打错/已删卡片。
+      // 缓存非空才校验（为空说明尚未同步，放行）；缓存属于其他 appId（环境切换）也放行。
       {
-        const allow = checkPushAllowed(schema.pageId)
+        const ctx = await currentAppContext(root)
+        const allow = checkPushAllowed(schema.pageId, ctx)
+        if (allow.staleContext || allow.notFullSynced) {
+          log.warn('远端列表缓存对当前 appId 不可判（环境已切换或未全量同步），存在性闸门放行；建议先「远程同步」刷新当前环境列表', { ...ctx, staleContext: !!allow.staleContext })
+        }
         if (!allow.allowed) {
           res.statusCode = 409
           res.setHeader('Content-Type', 'application/json')

package/dist/vendored/server/core/cardSidecar.js

@@ -2,9 +2,9 @@
  * 卡片「远端来源侧车」判定。
  *
  * 本地卡片目录 src/cards/<code>/ 下的 .import-meta.json 由「远程同步」写入，
- * 记录该卡来自 FinMall 远端的 cardId 等来源信息。只有存在侧车的卡才被视为
+ * 记录该卡来自远端的 cardId 等来源信息。只有存在侧车的卡才被视为
  * 「有合法远端来源」，允许推送（保存 / 预览）到服务器；本地自建、从未同步过的
- * 测试卡没有侧车，一律禁止推送，避免把测试数据误提交到 FinMall。
+ * 测试卡没有侧车，一律禁止推送，避免把测试数据误提交到远端。
  */
 
 import fs from 'node:fs'
@@ -66,7 +66,7 @@ export function assertRemoteSource(root, { code, pageId } = {}) {
     ok: false,
     reason:
       '该卡片为本地自建、无远端同步来源（缺少 .import-meta.json 侧车）。' +
-      '为防止将测试数据误提交到 FinMall 服务器，已禁止保存 / 推送。' +
+      '为防止将测试数据误提交到远端服务器，已禁止保存 / 推送。' +
       '请先通过「远程同步」把卡片来源刷新到本地后再操作。',
   }
 }

package/dist/vendored/server/core/cardSync.js

@@ -1,14 +1,14 @@
 import path from 'node:path'
 import { pathToFileURL } from 'node:url'
 import { createHash } from 'node:crypto'
-import { checkPushAllowed, refreshCardList, hasCardId } from './cardListCache.js'
+import { checkPushAllowed, refreshCardList, hasCardId, currentAppContext } from './cardListCache.js'
 import { assertRemoteSource } from './cardSidecar.js'
 import { log, fmtBytes } from './logger.js'
 import { buildImportMeta, writeImportMeta } from './cardImportMeta.js'
 import { resolveSkillPathOrProject, projectSkillsDir } from './skillPaths.js'
 
-/** finmall-card-sync 的批量同步脚本（同步 / 远端预览共用），相对 skills/ */
-const SYNC_SCRIPT_REL = 'finmall-card-sync/scripts/api_batch_sync.mjs'
+/** platform-card-sync 的批量同步脚本（同步 / 远端预览共用），相对 skills/ */
+const SYNC_SCRIPT_REL = 'platform-card-sync/scripts/api_batch_sync.mjs'
 
 /** 卡片 id 合法形态（与 normalizeCard / 新建卡同源正则） */
 const CARD_CODE_RE = /^[A-Za-z0-9_-]+$/
@@ -96,8 +96,8 @@ function logSyncSummary(summary, requestLabel) {
 }
 
 /**
- * 预览「同步远程数据」按钮的服务端处理：经已认证的 FinMall 浏览器会话拉取最新卡片写回 src/cards。
- * 复用 finmall-card-sync 的 syncCards（connectOverCDP 连用户已开的 Chrome，disconnect 不杀进程）。
+ * 预览「同步远程数据」按钮的服务端处理：经已认证的远端浏览器会话拉取最新卡片写回 src/cards。
+ * 复用 platform-card-sync 的 syncCards（connectOverCDP 连用户已开的 Chrome，disconnect 不杀进程）。
  *
  * 任务制端点（编辑器「远端 → 查看全部 → 下载选中 / 全部下载」的进度弹窗依赖）：
  * - POST /__sync                body { cardCode? , cardCodes? } → 立即返回 { ok, jobId, total }
@@ -282,7 +282,7 @@ export function createSyncMiddleware({ root }) {
         job.result = {
           success: false,
           timedOut: true,
-          error: `同步任务超过 ${Math.round(SYNC_JOB_TIMEOUT_MS / 1000)} 秒未完成，已自动收尾（上游无响应）。请重试，或检查 FinMall 登录态 / 网络。`,
+          error: `同步任务超过 ${Math.round(SYNC_JOB_TIMEOUT_MS / 1000)} 秒未完成，已自动收尾（上游无响应）。请重试，或检查远端登录态 / 网络。`,
         }
         log.error('远端同步看门狗触发：任务超时，已代其收尾并释放同步锁', {
           jobId: job.id,
@@ -352,9 +352,9 @@ export function createSyncMiddleware({ root }) {
 
 /**
  * 预览「远端预览」按钮的服务端处理：复刻 ubomp 的 PreviewPopover 全链路——
- * 先把当前卡片保存到 FinMall（IDC10010），再取卡片 code（IDC10015）、
+ * 先把当前卡片保存到远端（IDC10010），再取卡片 code（IDC10015）、
  * 发布预览测试版（IDC10020）、通知真机（IDC10021），最终返回 cardCode 供前端生成二维码。
- * 复用 finmall-card-sync 的 previewCardRemote（与「同步」「保存远端」共用同一后台 FinMall 会话）。
+ * 复用 platform-card-sync 的 previewCardRemote（与「同步」「保存远端」共用同一后台远端会话）。
  *
  * @param {{ root: string }} opts
  * @returns {(req: import('http').IncomingMessage, res: import('http').ServerResponse, next: Function) => void}
@@ -386,7 +386,7 @@ export function createPreviewMiddleware({ root }) {
         return res.end(JSON.stringify({ error: 'missing schema.pageId', message: '需传入当前卡片 schema（含 pageId）' }))
       }
       // 远端来源硬闸：本地自建、无 .import-meta.json 侧车的卡一律禁止推送，
-      // 避免把测试数据误提交到 FinMall 服务器（比「是否在远端列表」更根本）。
+      // 避免把测试数据误提交到远端服务器（比「是否在远端列表」更根本）。
       {
         const src = assertRemoteSource(root, { pageId: payload.schema.pageId })
         if (!src.ok) {
@@ -396,9 +396,13 @@ export function createPreviewMiddleware({ root }) {
         }
       }
       // 存在性闸门：推送前确认目标卡片在远端卡片列表缓存中（全量同步时刷新）。
-      // 缓存非空才校验（为空说明尚未同步，放行）；不存在则拒绝推送，防打错/已删卡片。
+      // 缓存非空才校验（为空说明尚未同步，放行）；缓存属于其他 appId（环境切换）也放行。
       {
-        const allow = checkPushAllowed(payload.schema.pageId)
+        const ctx = await currentAppContext(root)
+        const allow = checkPushAllowed(payload.schema.pageId, ctx)
+        if (allow.staleContext || allow.notFullSynced) {
+          log.warn('远端列表缓存对当前 appId 不可判（环境已切换或未全量同步），存在性闸门放行；建议先「远程同步」刷新当前环境列表', { ...ctx, staleContext: !!allow.staleContext })
+        }
         if (!allow.allowed) {
           res.statusCode = 409
           res.setHeader('Content-Type', 'application/json')
@@ -428,22 +432,22 @@ export function createPreviewMiddleware({ root }) {
   }
 }
 
-/** finmall-session-navigator 登录脚本（凭据读写 + 页面内登录验证），相对 skills/ */
-const SESSION_LOGIN_REL = 'finmall-session-navigator/scripts/finmall_login.mjs'
-/** finmall-session-navigator 后台会话管理（同步 / 登录验证共用同一 headless Chrome） */
-const SESSION_MANAGER_REL = 'finmall-session-navigator/scripts/session-manager.mjs'
+/** platform-session-navigator 登录脚本（凭据读写 + 页面内登录验证），相对 skills/ */
+const SESSION_LOGIN_REL = 'platform-session-navigator/scripts/platform_login.mjs'
+/** platform-session-navigator 后台会话管理（同步 / 登录验证共用同一 headless Chrome） */
+const SESSION_MANAGER_REL = 'platform-session-navigator/scripts/session-manager.mjs'
 
-/** 凭据落盘路径：与 finmall_login.mjs 默认路径同址，但经 projectSkillsDir 永远写项目根 skills/，不进 node_modules */
+/** 凭据落盘路径：与 platform_login.mjs 默认路径同址，但经 projectSkillsDir 永远写项目根 skills/，不进 node_modules */
 function credentialsFilePath(root) {
   return path.join(
     projectSkillsDir(root),
-    'finmall-session-navigator',
+    'platform-session-navigator',
     '.local',
     'credentials.json',
   )
 }
 
-/** 动态加载 finmall-session-navigator 登录脚本（仓库内 / 消费者工程 / 包内快照三态通用） */
+/** 动态加载 platform-session-navigator 登录脚本（仓库内 / 消费者工程 / 包内快照三态通用） */
 async function loadLoginModule(root) {
   const p = resolveSkillPathOrProject(root, SESSION_LOGIN_REL)
   return import(pathToFileURL(p).href)
@@ -462,14 +466,14 @@ async function readSavedLoginName(root) {
 
 /**
  * 用给定账号密码做一次真实登录验证（不落盘）。
- * 与「同步」共用同一后台 headless Chrome 会话池：连上 / 拉起后在 FinMall 同源页面内
+ * 与「同步」共用同一后台 headless Chrome 会话池：连上 / 拉起后在远端同源页面内
  * 直调登录接口（performLogin），以是否建立会话（sessionCreated）判定凭据是否正确——
  * 已登录会话不会蒙混过关，因为performLogin 每次都真实提交一遍账号密码。
  * 只 disconnect 不关闭浏览器：后台 Chrome 以 detached 常驻，供后续同步复用。
  *
  * @returns {Promise<{ sessionCreated: boolean, businessFailure: boolean, status?: number }>}
  */
-async function verifyFinmallLogin(root, loginName, rawPassword) {
+async function verifyPlatformLogin(root, loginName, rawPassword) {
   const {
     performLogin,
     tryConnectBrowser,
@@ -485,10 +489,18 @@ async function verifyFinmallLogin(root, loginName, rawPassword) {
   const md5Hex = createHash('md5')
     .update(String(rawPassword), 'utf8')
     .digest('hex')
+  // 对端站点 host：从登录模块给出的目标 URL 派生（不写死域名），用于认出已登录的标签页
+  const targetHost = (() => {
+    try {
+      return new URL(TARGET_URL).host
+    } catch {
+      return ''
+    }
+  })()
 
   let browser = await tryConnectBrowser(SYNC_PORT)
   if (!browser) {
-    // 端口未启动：拉起后台 headless Chrome（与 ensureFinMallSession 同端口同数据目录）
+    // 端口未启动：拉起后台 headless Chrome（与 ensurePlatformSession 同端口同数据目录）
     launchChromeDetached(findChromePath(), SYNC_BROWSER_DATA_DIR, SYNC_PORT, TARGET_URL, {
       headless: true,
     })
@@ -508,7 +520,7 @@ async function verifyFinmallLogin(root, loginName, rawPassword) {
   }
   try {
     const context = browser.contexts()[0]
-    let page = context?.pages().find((p) => p.url().includes('finmall.com'))
+    let page = context?.pages().find((p) => targetHost && p.url().includes(targetHost))
     if (!page) {
       page = context ? await context.newPage() : await browser.newPage()
       await page
@@ -594,7 +606,7 @@ export function createLoginCredentialsMiddleware({ root }) {
       }
       try {
         // 1) 先做一次真实登录验证，通过才落盘
-        const result = await verifyFinmallLogin(root, loginName, rawPassword)
+        const result = await verifyPlatformLogin(root, loginName, rawPassword)
         if (result.sessionCreated) {
           const { saveCredentials } = await loadLoginModule(root)
           await saveCredentials(loginName, rawPassword, credentialsFilePath(root))

package/dist/vendored/server/core/cardVersion.js

@@ -5,7 +5,7 @@ import { readImportMeta, recordRemoteVersion } from './cardImportMeta.js'
 import { log } from './logger.js'
 import { resolveSkillPathOrProject } from './skillPaths.js'
 
-const SYNC_SCRIPT_REL = 'finmall-card-sync/scripts/api_batch_sync.mjs'
+const SYNC_SCRIPT_REL = 'platform-card-sync/scripts/api_batch_sync.mjs'
 
 /**
  * 调试面板「卡片来源」tab 的远端最新版本持久化（POST，fetch + persist）：POST /__card-version/:id