cardbuddy 0.6.0

package/dist/server-core/cardOpenFolder.js

@@ -0,0 +1,135 @@
+import fs from 'node:fs'
+import path from 'node:path'
+import { spawn } from 'node:child_process'
+import { log } from './logger.js'
+
+/**
+ * 在系统文件管理器中打开「当前卡片对应的本地文件夹」。
+ *
+ * 设计（前后端分离方案 Phase 2）：
+ * - 前端（编辑器）只知道卡片 id，不知道绝对路径；由后端解析 `src/cards/<id>`
+ *   并调用系统命令打开，跨平台（mac / win / linux）全在后端完成。
+ * - 端点：POST /__open-folder，body `{ id }`。
+ *
+ * 安全（不可省略）：
+ * - id 强制白名单 `^[A-Za-z0-9_-]+$`，杜绝 `..`、`/` 等路径穿越字符进入 path.join。
+ * - 解析后对 dir 做「同目录归属」校验：path.resolve 后必须落在
+ *   `path.resolve(root, 'src', 'cards')` 之下，且真实存在且为目录。
+ * - 打开用 `spawn(命令, [dir], { shell: false })`，参数走 argv 而非 shell，
+ *   既避免 shell 注入，又让带空格的路径被当作单个参数正确传递。
+ */
+
+/** 卡片 id 白名单：只允许仓库卡片目录名使用的字符 */
+const ID_RE = /^[A-Za-z0-9_-]+$/
+
+/** 校验并归一化卡片 id；非法返回 null（含空值 / 含穿越字符）。 */
+export function normalizeCardId(id) {
+  if (typeof id !== 'string' || !id) return null
+  // 先行白名单，连 `.` 都不允许，彻底排除 ../.. 等穿越形态
+  if (!ID_RE.test(id)) return null
+  return id
+}
+
+/**
+ * 解析卡片目录绝对路径（不做存在性判断）。
+ * 仅当 id 合法且解析结果确属 `root/src/cards` 之下才返回路径，否则 null。
+ */
+export function resolveCardDir(root, id) {
+  const safeId = normalizeCardId(id)
+  if (!safeId) return null
+  const base = path.resolve(root, 'src', 'cards')
+  const dir = path.resolve(base, safeId)
+  // 归属校验：dir 必须是 base 自身或其一阶子目录（base + sep 前缀，杜绝穿越）
+  if (dir !== base && !dir.startsWith(base + path.sep)) return null
+  return dir
+}
+
+/** 按平台返回「打开文件夹」的命令与参数（不含 shell）。 */
+function openCommand(dir) {
+  switch (process.platform) {
+    case 'darwin':
+      return { cmd: 'open', args: [dir] }
+    case 'win32':
+      return { cmd: 'explorer', args: [dir] }
+    case 'linux':
+      return { cmd: 'xdg-open', args: [dir] }
+    default:
+      return null
+  }
+}
+
+/**
+ * 在系统文件管理器中打开目录。
+ * @returns {boolean} 是否成功触发命令（仅表示进程拉起，不代表用户已看到窗口）
+ */
+export function openDirInOS(dir) {
+  const spec = openCommand(dir)
+  if (!spec) {
+    log.warn('打开文件夹不支持当前平台', { platform: process.platform })
+    return false
+  }
+  try {
+    // shell:false —— 参数经 argv 传递，杜绝命令注入；带空格路径被当作单个参数。
+    const child = spawn(spec.cmd, spec.args, { shell: false, stdio: 'ignore' })
+    child.on('error', (e) => {
+      log.error('打开文件夹命令失败', { cmd: spec.cmd, message: String(e.message) })
+    })
+    return true
+  } catch (e) {
+    log.error('打开文件夹异常', e)
+    return false
+  }
+}
+
+/**
+ * @param {{ root: string }} opts
+ * @returns {(req: import('http').IncomingMessage, res: import('http').ServerResponse, next: Function) => void}
+ */
+export function createOpenFolderMiddleware({ root }) {
+  return function openFolderMiddleware(req, res, next) {
+    const pathname = decodeURIComponent((req.url || '').split('?')[0])
+    if (pathname !== '/__open-folder' || (req.method || 'GET').toUpperCase() !== 'POST') {
+      return next()
+    }
+
+    let body = ''
+    req.on('data', (c) => {
+      body += c
+      if (body.length > 1 * 1024 * 1024) req.destroy()
+    })
+    req.on('end', () => {
+      let payload
+      try {
+        payload = body ? JSON.parse(body) : {}
+      } catch (e) {
+        res.statusCode = 400
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ ok: false, error: 'invalid json' }))
+      }
+
+      const dir = resolveCardDir(root, payload && payload.id)
+      if (!dir) {
+        res.statusCode = 400
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ ok: false, error: 'invalid card id' }))
+      }
+      if (!fs.existsSync(dir) || !fs.statSync(dir).isDirectory()) {
+        res.statusCode = 404
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ ok: false, error: 'card folder not found', id: payload.id }))
+      }
+
+      const opened = openDirInOS(dir)
+      if (!opened) {
+        res.statusCode = 501
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ ok: false, error: 'unsupported platform' }))
+      }
+      log.ok('打开卡片文件夹', { id: payload.id, dir })
+      res.statusCode = 200
+      res.setHeader('Content-Type', 'application/json')
+      res.setHeader('Cache-Control', 'no-store')
+      return res.end(JSON.stringify({ ok: true, dir }))
+    })
+  }
+}

package/dist/server-core/cardSave.js

@@ -0,0 +1,127 @@
+import fs from 'node:fs'
+import path from 'node:path'
+import { pathToFileURL } from 'node:url'
+
+const skillDir = path.resolve(process.cwd(), 'skills', 'finmall-card-sync')
+const skillPath = path.join(skillDir, 'scripts', 'api_batch_sync.mjs')
+import { recordExport } from './cardImportMeta.js'
+import { checkPushAllowed } from './cardListCache.js'
+import { assertRemoteSource, findCardDir } from './cardSidecar.js'
+import { log } from './logger.js'
+
+/**
+ * 远端保存（写回 FinMall）服务端处理。
+ * 前端「保存」按钮把当前预览的 schema（含实时数据绑定）POST 过来，
+ * 本中间件校验 pageId 后，经已登录浏览器中转调用 IDC10010.do 写回远端，
+ * 与「同步」共用 finmall-card-sync 的 saveCardToRemote（带会话自愈）。
+ */
+export function createSaveMiddleware({ root }) {
+  return async function saveMiddleware(req, res, next) {
+    const pathname = decodeURIComponent((req.url || '').split('?')[0])
+    const method = (req.method || 'GET').toUpperCase()
+    if (pathname !== '/__save' || method !== 'POST') return next()
+    let body = ''
+    req.on('data', (c) => {
+      body += c
+      if (body.length > 32 * 1024 * 1024) req.destroy()
+    })
+    req.on('end', async () => {
+      let payload
+      try {
+        payload = JSON.parse(body)
+      } catch (e) {
+        res.statusCode = 400
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ ok: false, error: 'invalid json', message: String(e.message) }))
+      }
+      const schema = payload && payload.schema
+      const code = payload && payload.code
+      if (!schema || typeof schema !== 'object') {
+        res.statusCode = 400
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ ok: false, error: 'missing schema in body' }))
+      }
+      if (!schema.pageId) {
+        res.statusCode = 400
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ ok: false, error: 'schema.pageId 缺失，无法确定要保存的卡片' }))
+      }
+      // 远端来源硬闸：本地自建、无 .import-meta.json 侧车的卡一律禁止推送，
+      // 避免把测试数据误提交到 FinMall 服务器（比「是否在远端列表」更根本）。
+      {
+        const src = assertRemoteSource(root, { code, pageId: schema.pageId })
+        if (!src.ok) {
+          res.statusCode = 409
+          res.setHeader('Content-Type', 'application/json')
+          return res.end(JSON.stringify({ ok: false, error: 'local_card_no_source', message: src.reason }))
+        }
+      }
+      // 推送前 pageId 错位闸门：基于实测不变量（IDC10001 列表 cardId ≡ schema pageId），
+      // 本地 schema.pageId 必须等于该 code 同步来源侧车记录的 cardId；不等则拒绝推送，
+      // 以防按错 pageId 打错卡。仅当请求带 code 且侧车存在时才校验（缺则跳过，不阻断）。
+      if (code) {
+        try {
+          const metaPath = path.join(root, 'src', 'cards', code, '.import-meta.json')
+          if (fs.existsSync(metaPath)) {
+            const meta = JSON.parse(fs.readFileSync(metaPath, 'utf8'))
+            const expected = meta.cardId != null ? String(meta.cardId) : null
+            if (expected && String(schema.pageId) !== expected) {
+              res.statusCode = 409
+              res.setHeader('Content-Type', 'application/json')
+              return res.end(JSON.stringify({
+                ok: false,
+                error: 'pageId_mismatch',
+                message: `推送中止：schema.pageId=${schema.pageId} 与该卡同步来源 cardId=${expected} 不符，疑似 pageId 错位，拒绝推送以防打错卡`,
+              }))
+            }
+          }
+        } catch (e) {
+          console.warn(`[__save] 读取导入元数据侧车失败，跳过 pageId 错位校验：${e && e.message}`)
+        }
+      }
+      // 存在性闸门：推送前确认目标卡片在远端卡片列表缓存中（全量同步时刷新）。
+      // 缓存非空才校验（为空说明尚未同步，放行）；不存在则拒绝推送，防打错/已删卡片。
+      {
+        const allow = checkPushAllowed(schema.pageId)
+        if (!allow.allowed) {
+          res.statusCode = 409
+          res.setHeader('Content-Type', 'application/json')
+          return res.end(JSON.stringify({ ok: false, error: 'card_not_in_list', message: allow.reason }))
+        }
+      }
+      // 骨架屏：线上编辑器始终传 SVG 缩略图；本地无生成器，传空串（仅影响编辑器列表缩略图）。
+      const skeletonScreen = typeof payload.skeletonScreen === 'string' ? payload.skeletonScreen : ''
+      try {
+        const mod = await import(pathToFileURL(skillPath).href)
+        const { response, verified } = await mod.saveCardToRemote(schema, { skeletonScreen })
+        // 导出可追溯（Phase E）：把远端保存的读回校验结果写进导入元数据侧车。
+        // 注意：目录按 cardCode 命名，必须按 pageId 反查到正确的 src/cards/<cardCode>/。
+        if (root) {
+          try {
+            const dir = findCardDir(root, { pageId: schema.pageId })
+            if (dir) await recordExport(dir, verified)
+            else console.warn(`[__save] 未找到 pageId=${schema.pageId} 对应的本地卡片目录，跳过导出元数据`)
+          } catch (e) {
+            log.warn('写导出元数据失败（不影响保存结果）', { error: e && e.message })
+          }
+        }
+        log.ok('远端保存成功', {
+          cardId: String(schema.pageId),
+          cardIdMatched: verified.cardIdMatched,
+          fingerprintMatched: verified.fingerprintMatched,
+        })
+        if (!verified.fingerprintMatched && verified.diff && verified.diff.length) {
+          log.warn('指纹不匹配（落库内容与本地不一致）', { diff: verified.diff.slice(0, 3) })
+        }
+        res.statusCode = 200
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ ok: true, code, cardId: String(schema.pageId), response, verified }))
+      } catch (e) {
+        log.error('远端保存失败', e)
+        res.statusCode = 502
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ ok: false, error: String(e && e.message) }))
+      }
+    })
+  }
+}

package/dist/server-core/cardSidecar.js

@@ -0,0 +1,72 @@
+/**
+ * 卡片「远端来源侧车」判定。
+ *
+ * 本地卡片目录 src/cards/<code>/ 下的 .import-meta.json 由「远程同步」写入，
+ * 记录该卡来自 FinMall 远端的 cardId 等来源信息。只有存在侧车的卡才被视为
+ * 「有合法远端来源」，允许推送（保存 / 预览）到服务器；本地自建、从未同步过的
+ * 测试卡没有侧车，一律禁止推送，避免把测试数据误提交到 FinMall。
+ */
+
+import fs from 'node:fs'
+import path from 'node:path'
+
+const SIDECAR = '.import-meta.json'
+
+/**
+ * 定位卡片本地目录：优先用 code（目录名），否则用 pageId 反查 schema.json。
+ * @param {string} root 项目根
+ * @param {{ code?: string, pageId?: string|number }} [opts]
+ * @returns {string|null}
+ */
+export function findCardDir(root, { code, pageId } = {}) {
+  const cardsDir = path.join(root, 'src', 'cards')
+  if (!fs.existsSync(cardsDir)) return null
+  if (code) {
+    const dir = path.join(cardsDir, String(code))
+    if (fs.existsSync(dir) && fs.statSync(dir).isDirectory()) return dir
+  }
+  if (pageId != null) {
+    for (const id of fs.readdirSync(cardsDir)) {
+      const dir = path.join(cardsDir, id)
+      if (!fs.statSync(dir).isDirectory()) continue
+      try {
+        const sch = JSON.parse(fs.readFileSync(path.join(dir, 'schema.json'), 'utf8'))
+        if (String(sch.pageId) === String(pageId)) return dir
+      } catch {
+        /* 单个卡读取失败不阻断整体匹配 */
+      }
+    }
+  }
+  return null
+}
+
+/** 读取侧车；不存在 / 损坏返回 null。 */
+export function readSidecar(root, { code, pageId } = {}) {
+  const dir = findCardDir(root, { code, pageId })
+  if (!dir) return null
+  const p = path.join(dir, SIDECAR)
+  if (!fs.existsSync(p)) return null
+  try {
+    return JSON.parse(fs.readFileSync(p, 'utf8'))
+  } catch {
+    return null
+  }
+}
+
+/**
+ * 推送前「远端来源」硬闸：无侧车 = 本地自建 = 禁止推送。
+ * @param {string} root
+ * @param {{ code?: string, pageId?: string|number }} [opts]
+ * @returns {{ ok: boolean, reason: string }}
+ */
+export function assertRemoteSource(root, { code, pageId } = {}) {
+  const sidecar = readSidecar(root, { code, pageId })
+  if (sidecar) return { ok: true, reason: '' }
+  return {
+    ok: false,
+    reason:
+      '该卡片为本地自建、无远端同步来源（缺少 .import-meta.json 侧车）。' +
+      '为防止将测试数据误提交到 FinMall 服务器，已禁止保存 / 推送。' +
+      '请先通过「远程同步」把卡片来源刷新到本地后再操作。',
+  }
+}

package/dist/server-core/cardSync.js

@@ -0,0 +1,259 @@
+import path from 'node:path'
+import { pathToFileURL } from 'node:url'
+import { createHash } from 'node:crypto'
+import { writeFile, mkdir } from 'node:fs/promises'
+import { checkPushAllowed } from './cardListCache.js'
+import { assertRemoteSource } from './cardSidecar.js'
+import { log, fmtBytes } from './logger.js'
+
+/**
+ * 预览「同步远程数据」按钮的服务端处理：经已认证的 FinMall 浏览器会话拉取最新卡片写回 src/cards。
+ * 复用 finmall-card-sync 的 syncCards（connectOverCDP 连用户已开的 Chrome，disconnect 不杀进程）。
+ *
+ * @param {{ root: string }} opts
+ * @returns {(req: import('http').IncomingMessage, res: import('http').ServerResponse, next: Function) => void}
+ */
+export function createSyncMiddleware({ root }) {
+  return function syncMiddleware(req, res, next) {
+    const pathname = decodeURIComponent((req.url || '').split('?')[0])
+    if (pathname !== '/__sync') return next()
+    if ((req.method || 'GET').toUpperCase() !== 'POST') return next()
+
+    let body = ''
+    req.on('data', (c) => {
+      body += c
+      if (body.length > 1 * 1024 * 1024) req.destroy()
+    })
+    req.on('end', async () => {
+      let payload
+      try {
+        payload = JSON.parse(body || '{}')
+      } catch (e) {
+        res.statusCode = 400
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ error: 'invalid json', message: String(e.message) }))
+      }
+      try {
+        const skillPath = path.join(
+          root,
+          'skills',
+          'finmall-card-sync',
+          'scripts',
+          'api_batch_sync.mjs'
+        )
+        const { syncCards } = await import(pathToFileURL(skillPath).href)
+        const summary = await syncCards({
+          cardCode: payload.cardCode || undefined,
+          outRoot: path.join(root, 'src', 'cards'),
+        })
+        // 同步成功后在 dev server 终端打印同步结果（统一美化框）。
+        const lines = []
+        lines.push(`请求卡片：${payload.cardCode || '(全部)'}`)
+        if (summary.synced && summary.synced.length) {
+          lines.push(`已同步 ${summary.synced.length} 张：`)
+          for (const s of summary.synced) {
+            const f = s.files || {}
+            // 空白卡（远端无 schemaValue）：标注落盘策略，避免误读成「抓到了完整 schema」。
+            const tag = s.blank
+              ? s.keptLocal
+                ? ' [空白卡·保留本地]'
+                : ' [空白卡·新建空白 schema]'
+              : ''
+            lines.push(
+              `• ${s.id}${s.title ? `（${s.title}）` : ''}${tag}  schema=${fmtBytes(f.schema)} data=${fmtBytes(f.data)} cover=${fmtBytes(f.cover)}`
+            )
+          }
+        } else {
+          lines.push('已同步 0 张')
+        }
+        if (summary.failed && summary.failed.length) {
+          lines.push(`失败 ${summary.failed.length} 张：`)
+          for (const f of summary.failed) {
+            lines.push(`✗ ${f.id || ''}  ${f.error || ''}`)
+          }
+        }
+        if (summary.duplicates && summary.duplicates.length) {
+          lines.push(`重复 schema ${summary.duplicates.length} 项：${summary.duplicates.map((d) => d.id).join('、')}`)
+        }
+        log.box({ title: '远端同步完成', level: summary.success ? 'ok' : 'warn', lines })
+        res.statusCode = 200
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify(summary))
+      } catch (e) {
+        // 区分「凭据缺失」与「真正的同步错误」：前者让前端弹登录表单，而非裸抛 ENOENT。
+        const isNoCred =
+          e &&
+          (e.code === 'NO_CREDENTIALS' ||
+            /credentials\.json|credentials 不存在|NO_CREDENTIALS/.test(
+              String(e && e.message),
+            ))
+        res.statusCode = isNoCred ? 200 : 500
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(
+          JSON.stringify(
+            isNoCred
+              ? {
+                  error: 'need_credentials',
+                  needCredentials: true,
+                  message: String(e && e.message),
+                }
+              : { error: 'sync failed', message: String(e && e.message) },
+          ),
+        )
+      }
+    })
+  }
+}
+
+/**
+ * 预览「远端预览」按钮的服务端处理：复刻 ubomp 的 PreviewPopover 全链路——
+ * 先把当前卡片保存到 FinMall（IDC10010），再取卡片 code（IDC10015）、
+ * 发布预览测试版（IDC10020）、通知真机（IDC10021），最终返回 cardCode 供前端生成二维码。
+ * 复用 finmall-card-sync 的 previewCardRemote（与「同步」「保存远端」共用同一后台 FinMall 会话）。
+ *
+ * @param {{ root: string }} opts
+ * @returns {(req: import('http').IncomingMessage, res: import('http').ServerResponse, next: Function) => void}
+ */
+export function createPreviewMiddleware({ root }) {
+  return function previewMiddleware(req, res, next) {
+    const pathname = decodeURIComponent((req.url || '').split('?')[0])
+    if (pathname !== '/__preview') return next()
+    if ((req.method || 'GET').toUpperCase() !== 'POST') return next()
+
+    let body = ''
+    req.on('data', (c) => {
+      body += c
+      if (body.length > 4 * 1024 * 1024) req.destroy()
+    })
+    req.on('end', async () => {
+      let payload
+      try {
+        payload = JSON.parse(body || '{}')
+      } catch (e) {
+        res.statusCode = 400
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ error: 'invalid json', message: String(e.message) }))
+      }
+      if (!payload.schema || !payload.schema.pageId) {
+        res.statusCode = 400
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ error: 'missing schema.pageId', message: '需传入当前卡片 schema（含 pageId）' }))
+      }
+      // 远端来源硬闸：本地自建、无 .import-meta.json 侧车的卡一律禁止推送，
+      // 避免把测试数据误提交到 FinMall 服务器（比「是否在远端列表」更根本）。
+      {
+        const src = assertRemoteSource(root, { pageId: payload.schema.pageId })
+        if (!src.ok) {
+          res.statusCode = 409
+          res.setHeader('Content-Type', 'application/json')
+          return res.end(JSON.stringify({ ok: false, error: 'local_card_no_source', message: src.reason }))
+        }
+      }
+      // 存在性闸门：推送前确认目标卡片在远端卡片列表缓存中（全量同步时刷新）。
+      // 缓存非空才校验（为空说明尚未同步，放行）；不存在则拒绝推送，防打错/已删卡片。
+      {
+        const allow = checkPushAllowed(payload.schema.pageId)
+        if (!allow.allowed) {
+          res.statusCode = 409
+          res.setHeader('Content-Type', 'application/json')
+          return res.end(JSON.stringify({ ok: false, error: 'card_not_in_list', message: allow.reason }))
+        }
+      }
+      try {
+        const skillPath = path.join(
+          root,
+          'skills',
+          'finmall-card-sync',
+          'scripts',
+          'api_batch_sync.mjs'
+        )
+        const { previewCardRemote } = await import(pathToFileURL(skillPath).href)
+        const result = await previewCardRemote(payload.schema)
+        log.ok('远端预览完成', {
+          cardCode: result.cardCode,
+          saved: result.steps.saved,
+          published: result.steps.published,
+          notified: result.steps.notified,
+        })
+        res.statusCode = 200
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify(result))
+      } catch (e) {
+        log.error('远端预览失败', e)
+        res.statusCode = 500
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ error: 'preview failed', message: String(e && e.message) }))
+      }
+    })
+  }
+}
+
+/**
+ * 预览界面「远程同步」缺凭据时，由前端弹登录表单提交账号+明文密码，
+ * 服务端做 MD5 后写入 skills/finmall-session-navigator/.local/credentials.json。
+ * 路径与 finmall_login.mjs 的 DEFAULT_CREDENTIALS_PATH 保持一致。
+ *
+ * @param {{ root: string }} opts
+ * @returns {(req: import('http').IncomingMessage, res: import('http').ServerResponse, next: Function) => void}
+ */
+export function createLoginCredentialsMiddleware({ root }) {
+  return function loginCredentialsMiddleware(req, res, next) {
+    const pathname = decodeURIComponent((req.url || '').split('?')[0])
+    if (pathname !== '/__login-credentials') return next()
+    if ((req.method || 'GET').toUpperCase() !== 'POST') return next()
+
+    let body = ''
+    req.on('data', (c) => {
+      body += c
+      if (body.length > 64 * 1024) req.destroy()
+    })
+    req.on('end', async () => {
+      let payload
+      try {
+        payload = JSON.parse(body || '{}')
+      } catch (e) {
+        res.statusCode = 400
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ error: 'invalid json', message: String(e.message) }))
+      }
+      const loginName =
+        typeof payload.loginName === 'string' ? payload.loginName.trim() : ''
+      const rawPassword =
+        typeof payload.loginPassword === 'string' ? payload.loginPassword : ''
+      if (!loginName || !rawPassword) {
+        res.statusCode = 400
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(
+          JSON.stringify({
+            error: 'missing_fields',
+            message: 'loginName 与 loginPassword 均不能为空',
+          }),
+        )
+      }
+      try {
+        const credentialsPath = path.join(
+          root,
+          'skills',
+          'finmall-session-navigator',
+          '.local',
+          'credentials.json',
+        )
+        const credentials = {
+          loginName,
+          loginPassword: createHash('md5').update(rawPassword, 'utf8').digest('hex'),
+        }
+        await mkdir(path.dirname(credentialsPath), { recursive: true })
+        await writeFile(credentialsPath, JSON.stringify(credentials, null, 2), 'utf8')
+        log.ok('已保存登录凭据', { loginName })
+        res.statusCode = 200
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ ok: true }))
+      } catch (e) {
+        log.error('保存登录凭据失败', e)
+        res.statusCode = 500
+        res.setHeader('Content-Type', 'application/json')
+        return res.end(JSON.stringify({ error: 'save failed', message: String(e && e.message) }))
+      }
+    })
+  }
+}