cloud-web-corejs 1.1.0-dev.6 → 1.1.0-dev.61

package/README.md

@@ -0,0 +1,38 @@
+# cloud-web-corejs
+
+Vue 2 企业应用基础源码包，提供共享页面、组件、登录权限、路由、状态管理及 qiankun 子应用生命周期。消费工程使用 Vue CLI/webpack 编译源码。
+
+## 创建引包子应用
+
+在本仓库执行：
+
+```bash
+npm run create:child -- ../my-app myapp myapp-web
+```
+
+或使用已安装的、包含生成器版本的 npm 包：
+
+```bash
+node node_modules/cloud-web-corejs/bin/create-child-app.js ../my-app myapp myapp-web
+```
+
+生成器需要 Node 20+，目标目录必须不存在。创建后配置应用身份、API 网关，再在新工程执行 `npm install`、`npm run dev`。详见生成工程的 README。包尚未发布的本地改动可通过 npm pack tarball 验证。
+
+- [完整接入契约](docs/child-app/README.md)
+- [给 AI 生成工具的提示词](docs/child-app/generate-prompt.md)
+- [子应用模板](templates/child-app/README.md)
+- [qiankun 接入协议](docs/qiankun接入协议.md)
+
+## 入口
+
+新模板使用 `cloud-web-corejs/src/index.next.js`，并配置 `@base` 指向包的 `src`，`@` 指向应用自身 `src`。该入口负责基础资源和应用启动，同时导出 qiankun 生命周期。
+
+旧 `src/index.js` 入口保留兼容，仍要求消费工程提供旧 styles/icons。不要直接把本包当作 `Vue.use()` 插件或 Vue 3 组件库。
+
+## 仓库验证
+
+- `npm run check:package-resources`：Core 资源边界。
+- `npm run check:child-app`：从实际 npm tarball 创建子应用、干净安装并完整生产构建。
+- `npm run check:child-browser -- /path/to/generated-child`：需 Playwright/Chromium，使用本地测试服务验证生产产物；详细边界见接入契约。
+
+真实登录、授权菜单和业务接口需要对应后端环境，模板内存示例不能代替业务联调。

package/bin/core-resources.js

@@ -0,0 +1,16 @@
+#!/usr/bin/env node
+const path = require("path");
+const { prepare, readChecked } = require("../resource-tools");
+try {
+  const command = process.argv[2];
+  if (!["prepare", "check", "check-dist"].includes(command)) throw new Error("Usage: core-resources.js prepare|check|check-dist [dist-directory]");
+  const result = prepare(process.cwd(), command !== "prepare");
+  if (command === "check-dist") {
+    const output = path.resolve(process.argv[3] || "dist");
+    for (const record of result.records) readChecked(output, record, "target");
+  }
+  console.log(`[core-resources] ${command}: ${result.records.length} files, ${result.records.reduce((sum, r) => sum + r.size, 0)} bytes`);
+} catch (error) {
+  console.error(error.message);
+  process.exitCode = 1;
+}

package/bin/create-child-app.js

@@ -0,0 +1,34 @@
+#!/usr/bin/env node
+"use strict";
+
+// Callable from the checkout or an installed package. Never overwrites a project.
+const fs = require("fs");
+const path = require("path");
+const root = path.resolve(__dirname, "..");
+const args = process.argv.slice(2);
+if (args.includes("--help") || args.length === 0) {
+  console.log("Usage: node bin/create-child-app.js <new-directory> <appCode> [package-name]");
+  process.exit(args.includes("--help") ? 0 : 1);
+}
+const [directory, appCode, packageName = appCode && appCode.toLowerCase()] = args;
+if (args.length > 3 || !/^[A-Za-z][A-Za-z0-9_-]*$/.test(appCode || "") ||
+    ["base", "micro", "micro_debug"].includes(appCode)) {
+  throw new Error("appCode must start with a letter; base, micro and micro_debug are reserved.");
+}
+if (!/^[a-z0-9][a-z0-9._-]*$/.test(packageName || "")) {
+  throw new Error("Use a unique, lowercase, unscoped npm package name.");
+}
+const target = path.resolve(directory);
+if (fs.existsSync(target)) throw new Error("Target already exists: " + target);
+fs.cpSync(path.join(root, "templates/child-app"), target, { recursive: true, force: false, errorOnExist: true });
+const manifestPath = path.join(target, "package.json");
+const manifest = JSON.parse(fs.readFileSync(manifestPath, "utf8"));
+manifest.name = packageName;
+manifest.dependencies["cloud-web-corejs"] = require(path.join(root, "package.json")).version;
+fs.writeFileSync(manifestPath, JSON.stringify(manifest, null, 2) + "\n");
+const identityPath = path.join(target, "app.config.js");
+fs.writeFileSync(identityPath, fs.readFileSync(identityPath, "utf8").replace('"childapp"', JSON.stringify(appCode)));
+// npm treats .gitignore specially when packing; keep the template as gitignore.
+fs.renameSync(path.join(target, "gitignore"), path.join(target, ".gitignore"));
+console.log("Created " + target + "\nNext: configure API_TARGET, npm install, npm run dev.");
+console.log("Core version: " + manifest.dependencies["cloud-web-corejs"] + " (must be published, or install a local npm tarball).");

package/docs/child-app/README.md

@@ -0,0 +1,95 @@
+# 引包子应用接入契约
+
+适用于本包随附模板。`cloud-web-corejs` 是需要由消费工程编译的 Vue 2 源码包。公开使用方式目前是源码路径导入，不是 `Vue.use(Core)`。未添加 exports 限制，保留已有深层导入兼容性。
+
+## 创建
+
+仓库开发：`npm run create:child -- /path/to/new-app myapp myapp-web`。
+
+已安装包：`node node_modules/cloud-web-corejs/bin/create-child-app.js /path/to/new-app myapp myapp-web`。
+
+生成器要求 Node 20+，目标目录必须不存在，不执行安装或发布。Core 依赖版本取生成器所在包的精确版本；若该版本尚未发布，使用本地 `npm pack` 生成的 tarball 安装验证。首次安装后提交锁文件，后续使用 npm ci。不要用 --no-save 作为工程的正式依赖声明。
+
+模板、生成器和本文包含在 package.json#files 中。生成提示词见 [generate-prompt.md](./generate-prompt.md)。微前端完整协议见 [qiankun接入协议](../qiankun接入协议.md)。
+
+## 必须保留的应用侧契约
+
+| 文件/配置 | 用途 |
+| --- | --- |
+| app.config.js | 集中定义 appCode、标题、主应用前缀；生成器替换 appCode |
+| src/settings.js | appCode、宿主开关、语言、默认首页、工作流和请求设置 |
+| src/prefixConfig.js | 通过 utils/vab 注入服务前缀；按真实网关修改 |
+| src/corejsConfig.js | 表格、首页等扩展；默认空对象可用，字段以调用方源码为准 |
+| src/router/modules/customer.js | 导出 constantRoutes 数组；默认空，业务路由由权限菜单生成 |
+| src/layout/index.vue | Core 路由/权限模块引用的应用布局，默认包装 Core defaultLayout |
+| src/views/user/login/index.vue | 应用登录入口，默认包装 Core Login |
+| src/views | 应用私有页面，必须保留字面动态加载上下文 |
+| src/assets/{401_images,404_images,logo.png} | Core 错误页和打印设计样式的编译依赖 |
+| src/resources/css/login.scss | Core 默认登录页要求应用提供的品牌样式 |
+| src/resources/images/{bg-login5.jpg,home-img.png} | 默认登录及首页的编译依赖，模板复用仓库素材 |
+| src/icons | 应用图标，与包内 icons 一起由 svg-sprite-loader 编译 |
+
+这些是当前源码的反向依赖，不意味着所有资源都已内置 Core。按需更换品牌资源时保留路径，或明确修改相应页面/构建映射。
+
+### 设置
+
+- appCode 显式填写，须与注册表一致；WEB_PREFIX 默认为 `/<appCode>`。
+- microMainEnabled 默认 false：模板专注子应用。需要独立运行时装载其他应用，可按协议开启。
+- defaultHomePage 指向 `/demo/list.vue`；登录后的用户设置/菜单可能覆盖它。
+- 模板 Login 包装层覆盖普通登录页的初始化 `login()`，阻止 Core 在生产环境自动跳到 MAIN_WEB_PREFIX；其余账号登录、校验、SSO 和 token 处理仍继承 Core。若项目要求统一回主站登录，可恢复直接导出 Core Login。登录成功后的跳转仍需真实后端联调。
+- base64Urls 与后端加密约定一致，不应在未知接口上随意增删。
+- corejsConfig 暂无独立稳定 schema，不应让生成工具猜字段；扩展前查看 components/table/index.js 和目标首页。
+
+## 构建与部署
+
+新模式入口是 `src/index.next.js`；旧 `src/index.js` 仍要求应用提供旧 styles，模板不使用旧入口。
+
+模板保留 `transpileDependencies`、@base 绝对解析、应用/Core 双 SVG 目录和仅注入 theme-variables.scss 的 Sass 配置。生产压缩器关闭多进程，避免多个 worker 复制 Core 的大模块图导致 8 GB 构建机被系统终止；代价是压缩阶段较慢。没有 std 的 DLL、呼叫中心和业务专用构建插件。qiankun 生命周期从最终入口 UMD 导出，HTML 入口脚本在 body 内 blocking 加载。
+
+开发端口 17527，根路径与 `/<appCode>/` 均可取到入口及 chunk，`/api` 和开发服务器端点不重写。开发 CORS 响应头只处理静态开发服务；后端网关及生产静态服务跨域需另外配置。
+
+开发源码映射使用外置 `cheap-module-source-map`。Core 在 development 下使用同步视图上下文，默认内联映射会让 vendor 脚本接近 100 MB；外置映射减少首屏脚本传输，但不会裁剪 Core 业务能力。首次开发编译仍需等待完整依赖图生成。
+
+默认 VUE_APP_BASE_API=/api；API_TARGET 是开发服务器专用代理目标，不进入浏览器。生产需网关提供 /api 转发或构建时设置 API 绝对地址。Core public-path.js 负责挂载后将相对 API 定位到子应用源；不得改成从宿主域名盲目请求。
+
+## 可选功能资源
+
+总体设计见 [public 资源落地方案](./public-resources-plan.md)。已接入资源工具、[Ace](./resources-implementation.md)、[TinyMCE](./tinymce-resources.md)、[Luckysheet](./luckysheet-resources.md) 和 [Activiti](./activiti-resources.md)。
+
+基础样式与 Core 图标已由包提供。以下内容仍需按功能补充，不复制整个 public：
+
+| 功能 | 接入前检查 |
+| --- | --- |
+| Ace | 新模板安装独立资源制品并配置 codeEditor basic/full，dev/build 自动准备并校验；旧应用可继续使用原路径 |
+| TinyMCE | 安装独立资源制品并配置 richText full，保留 4.9.2 运行库及现有语言/皮肤，dev/build 自动准备与校验 |
+| Luckysheet | 安装独立资源制品并配置 spreadsheet full，保留 2.1.13 及 8 个已有补丁；只支持一个活动实例 |
+| Activiti | 安装 5.17.0-core.1 制品并配置 workflowDesigner full；当前只支持主应用或非 qiankun 同源页面，qiankun 菜单明确拒绝 |
+| 平台打印/上传 | 检查第三方 SDK、服务地址、鉴权和跨域；普通列表启动不代表这些能力已接通 |
+
+路径权威来源是对应组件的当前实现及 WEB_PREFIX，不假设统一 CDN 根路径已经存在。
+
+## 业务能力入口
+
+| 能力 | 当前源码参考 |
+| --- | --- |
+| 全局组件与插件注册 | src/app-bootstrap.js |
+| HTTP（Vue 原型 $http 等） | src/utils/vab.js、src/utils/request.js；不要修改混淆请求实现 |
+| 表格与扩展 | src/components/table/index.js；复杂表格先确认真实 API |
+| 表单弹框 | src/components/formDialog/README.md 与 index.js |
+| 表单抽屉 | src/components/formDrawer/index.js |
+| 业务详情标签 | src/components/bizTab/README.md |
+| 动态页面 | src/utils/resolveViewComponent.js 的 loadViewComponentAsync / requireViewAsync |
+| 菜单归属与校验 | src/utils/menuAdapter.js |
+| 远程详情 props/回调 | src/components/micro-view-host/contract.js |
+
+这是一份能力索引，不承诺目录下所有内部方法都是稳定公共 API。业务生成必须读取目标版本的签名；表格、业务接口分页和工作流参数仍由实际业务契约决定。
+
+## 验证边界
+
+本轮实际执行结果与未覆盖范围见 [验收记录](./validation.md)。
+
+`npm run check:child-app` 会在系统临时目录中 npm pack、从发布内容生成工程、干净安装本地 tarball 并做完整生产构建。不会发布 npm，也不改 std；保留临时工程和日志便于浏览器检查。需要网络下载依赖和足够构建内存。
+
+`check:minimal-consumer` 仍只负责样式/图片回归，不替代完整子应用构建。浏览器、真实后端登录和 qiankun 宿主联调需单独验证；构建脚本不会伪造这些结果。
+
+安装 Playwright/Chromium 后，可运行 `PLAYWRIGHT_MODULE=/path/to/playwright npm run check:child-browser -- /path/to/generated-child`。脚本启动两个本地端口，用真实 qiankun 跨域加载生产产物；仅在测试服务中模拟登录配置。覆盖登录页渲染、未登录态挂载/update/卸载、详情承载的私有页面懒加载、示例新增/编辑/筛选和静态资源。截图保存在生成工程目录。它不验证真实登录、授权菜单、已登录页面的保活/刷新或业务后端。

package/docs/child-app/activiti-resources.md

@@ -0,0 +1,63 @@
+# Activiti 5.17 流程设计器资源接入
+
+日期：2026-09-15。状态：资源交付、运行时入口迁移和本地浏览器协议验收已完成；真实业务后端联调及 qiankun 回调改造不在本次范围。
+
+## 交付边界
+
+Activiti 设计器不进入 `cloud-web-corejs` 主包。启用该功能的应用单独安装 `cloud-web-corejs-resources-activiti@5.17.0-core.1`，资源准备工具将其输出到 `activiti-explorer/`。默认模板关闭该功能，因此普通子应用不会承担约 1.48 MB 压缩、5.62 MB 解包的资源体积。
+
+制品包含 323 个现有设计器文件及 1 个第三方声明文件。构建器要求输入解压后的官方 `org.activiti:activiti-webapp-explorer2:5.17.0` WAR，并同时锁定官方资源树和本仓库定制树摘要。当前差异为：227 个与上游相同、37 个已修改、59 个本地新增、7 个上游文件未采用。任何一侧变化都会中止打包，避免用上游原版覆盖平台定制。官方 CSS 引用了 WAR 中也不存在的 `images/glasspane.png`，本地补丁删除这条冗余背景图引用，保留纯色与 rgba 遮罩，避免运行时 404。
+
+原始文件保留 LGPL-2.1-or-later、MIT、json3 和 es5-shim 等随附声明；制品增加 `THIRD_PARTY_NOTICES.txt`，完整文件关系和 SHA-256 写入 `resources.json`。正式发布前仍应由组织的开源合规流程复核。
+
+## 构建资源制品
+
+从 Maven Central 取得并解压精确版本的 WAR，然后运行：
+
+```bash
+npm run build:activiti-resources -- /absolute/path/to/extracted-war
+```
+
+产出 `artifacts/resources/cloud-web-corejs-resources-activiti-5.17.0-core.1.tgz`。构建器不联网，也不修改旧 `public/activiti-explorer`；该目录作为已审计定制源保留。
+
+## 消费应用启用
+
+```bash
+npm install --save-dev --save-exact /absolute/path/cloud-web-corejs-resources-activiti-5.17.0-core.1.tgz
+```
+
+在 `core-resources.config.js` 的 `features` 中配置：
+
+```js
+workflowDesigner: {
+  package: "cloud-web-corejs-resources-activiti",
+  version: "5.17.0-core.1",
+  profile: "full"
+}
+```
+
+随后正常运行 `npm run resources:prepare`、`npm run resources:check`、dev 或 build。版本不匹配、文件损坏、目标冲突或应用 `public` 占用同一路径都会明确失败。
+
+Core 内现有七处流程设计入口统一通过 `workflowDesignerUrl()` 解析地址。该函数根据实际资源基址设置 iframe 所需的 `sysParamForWf.webPrefix` 和 `baseApi`，并对查询参数编码；未启用资源时不会发出隐式 404。
+
+## 运行限制
+
+现有 5.17 定制设计器通过 `parent.sysParamForWf`、`parent.$vueRoot` 和用户/岗位/表单选择等真实父窗口回调工作，且 token 位于同源 `sessionStorage`。因此当前只支持：
+
+- 主应用直接打开；
+- 非 qiankun 应用中与承载页面同源的 iframe。
+
+qiankun 模式会被运行时明确拒绝，因为沙箱中的全局回调不会自动成为 iframe 所见的真实父窗口回调。要支持 qiankun，必须另行把 token、模型 API 和父窗口回调改造成受控 `postMessage` 协议，校验 origin，并完成安全评审；仅配置 CORS、同源部署或复制静态资源无法解决。
+
+业务后端必须实现 `/{serviceId}/model/{modelId}/json` 和 `/{serviceId}/model/{modelId}/save`，并维持当前 token、模型 JSON、脚本和候选人范围契约。
+
+## 验收
+
+资源单测覆盖禁用状态、精确版本、摘要、目标冲突、同源解析和跨源拒绝。完整验证命令：
+
+```bash
+ACTIVITI_SOURCE_DIR=/absolute/path/to/extracted-war node build/check-child-app.js --activiti
+PLAYWRIGHT_MODULE=/absolute/path/to/playwright node build/check-child-browser.js /tmp/generated-child --activiti
+```
+
+浏览器测试使用同源本地后端桩，实际加载 modeler、stencilset 和模型 JSON，并操作保存按钮验证 POST 协议；它不等同于真实鉴权、权限菜单和业务后端验收。

package/docs/child-app/generate-prompt.md

@@ -0,0 +1,55 @@
+# 子应用生成提示词
+
+把下面提示词与需求一起交给生成工具。工具应能读取已安装的 cloud-web-corejs；无需读取 std 或 kCode 私有工作区。模板生成器、模板和本文均随 npm 包发布。
+
+```text
+请基于 cloud-web-corejs 的内置 child-app 模板创建业务子应用，并完成验证。
+
+参数：
+- 目标目录：<新目录>
+- npm 项目名：<唯一小写名称>
+- appCode：<字母开头，只含字母数字下划线连字符；不可为 base/micro/micro_debug>
+- 应用名称：<名称>
+- 主应用部署前缀：<例如 /sys>
+- Core 精确版本：<版本>
+- 开发 API 网关：<地址>
+- 生产 API 地址/代理路径：<地址>
+- 业务页面与接口契约：<需求；未提供时标记待接入，不编造接口>
+
+先读取包内 docs/child-app/README.md、templates/child-app/README.md 和实际源码。
+使用 node <已安装包目录>/bin/create-child-app.js <新目录> <appCode> <npm项目名> 生成项目。
+生成器不会覆盖已有目录；已有项目需检查现状后逐项合并，保留用户修改。
+
+技术与接入要求：
+1. 保留 Vue 2 Options API、Vue CLI 5、Vue Router 3 和 Vuex 3。
+   Vue 与 vue-template-compiler 必须同版，Core 写入 dependencies 并锁定版本。
+2. 保留 @=应用src、@base=包src，使用 @base/index.next.js 并 re-export 生命周期。
+   复用包的鉴权、路由和状态管理，不自行复制实现。
+3. 保留模板提供的应用侧配置、布局/登录包装、图片和登录样式；
+   即使暂时不用默认首页，动态视图编译仍可能依赖这些资源。
+4. 保留转译、双目录 SVG、SCSS 变量、UMD、唯一 chunk 全局名、
+   body 内 blocking 入口脚本、publicPath、运行时 API 地址和开发根路径别名配置。
+   本模板无 DLL，不能加入不存在的 DLL 引用。
+5. appCode、注册表和部署前缀保持一致；微前端开发端口 17527。
+   应用私有菜单 /micro/<appCode>/demo/list；包内页面 /micro/<appCode>/base/...。
+   menus=[] 是派发模式无菜单，menus 缺省/null 是自治模式。
+6. 基于示例列表和详情实现需求，优先复用包内能力。
+   使用组件/工具前查看真实 props、事件、方法签名和所在版本；不猜 API。
+   动态页面解析使用 loadViewComponentAsync 或 requireViewAsync 并 await。
+   不调用已废弃的同步 loadViewComponent / requireViewCompat。
+7. 请求使用包的封装，遵循实际后端响应契约；不要另建绕过鉴权的请求层。
+   跨应用导航走 mainAdapter；远程详情按 micro-view-host/contract.js 接入。
+8. 未提供业务后端时保留明确标注的内存示例，不伪造真实保存成功。
+   不给实际业务路由添加 checkToken:false 来绕过登录。
+   保留 core-resources.config.js、ResourcesPlugin 和资源准备/检查脚本。
+   启用代码编辑器时，按 resources-implementation.md 安装独立 Ace 资源制品并声明 basic/full，
+   不复制整个 public，不假设资源包已经发布到 registry。
+   富文本按 tinymce-resources.md 安装独立 TinyMCE 制品并声明 richText full，不升级运行库。
+   在线表格按 luckysheet-resources.md 安装独立制品并声明 spreadsheet full，接受单实例限制。
+   流程设计按 activiti-resources.md 安装 5.17.0-core.1 制品并声明 workflowDesigner full；
+   只在主应用或非 qiankun 同源页面中使用，qiankun 子应用不生成流程入口。打印仍需逐项补充静态资源及集成说明。
+
+交付完整工程、安装锁文件、启动/部署 README、注册表及菜单配置说明。
+运行干净安装、生产构建、浏览器启动；有真实环境时验证登录、宿主挂载、
+菜单保活、刷新、登出卸载及业务行为。明确列出未验证项与所缺环境。
+```

package/docs/child-app/luckysheet-resources.md

@@ -0,0 +1,80 @@
+# Luckysheet 可选资源接入
+
+本批把仓库现有 Luckysheet 静态资源接入独立制品、资源准备和运行时加载。没有升级库、删除旧 public 或把大资源加入 Core 强制依赖。制品尚未发布 registry。
+
+## 来源、补丁和风险
+
+原 `public/luckysheet` 共 45 个文件。与 `luckysheet@2.1.13/dist` 逐字节核对：37 个相同，以下 8 个是存量差异：
+
+- assets/iconfont/demo_index.html、iconfont.css、iconfont.json
+- css/luckysheet.css、menuSprite.svg、sprite38.svg
+- fonts/fontawesome-webfont.svg
+- plugins/plugins.css
+
+本次不猜测和重写这些差异，将其作为 `patchVersion: 1` 保留。构建器同时锁定完整树摘要和差异文件集合；任一文件变化都会失败，要求重新审计并升级补丁版本。制品包含上游 MIT 许可证及来源说明。
+
+资源闭包只交付运行时引用：排除 13 个字体演示/元数据或未被入口和 CSS 引用的文件，包括 demo 页面、三种装饰字体、iconfont.js/json/未引用的 woff2、两张未引用 sprite、两个未引用尺寸的画笔图标和 FontAwesome.otf。完整旧目录仍参与摘要与上游差异校验；排除清单写入 resources.json。浏览器验收若出现请求缺失仍会失败。
+
+Luckysheet 2.x 已停止活跃维护，上游建议新项目评估 Univer；这是技术债和安全评估事项，不与本次兼容迁移混做。现有功能仍固定 2.1.13，避免资源搬迁同时改变业务行为。
+
+独立制品约 **1.54 MB 压缩 / 5.12 MB 解压**，交付 34 个文件，资源原始字节为 5,107,039。关闭 spreadsheet 时输出 0 个相关文件；Core tarball 不携带该资源树。相对未裁剪的制品，压缩体积减少约 21.1%，解压体积减少约 17.4%。
+
+## 制品制作与应用启用
+
+维护者先在独立目录固定安装上游，用于差异校验：
+
+```bash
+npm install --prefix artifacts/resources/luckysheet-source --ignore-scripts --save-exact --no-audit --no-fund luckysheet@2.1.13
+npm run build:luckysheet-resources -- artifacts/resources/luckysheet-source
+```
+
+产出 `artifacts/resources/cloud-web-corejs-resources-luckysheet-2.1.13-core.1.tgz`。来源目录的 package-lock.json 和制品应进入团队制品系统；本工作区的 artifacts 被 Git 忽略。
+
+消费应用安装制品：
+
+```bash
+npm install --save-dev --save-exact /absolute/path/cloud-web-corejs-resources-luckysheet-2.1.13-core.1.tgz
+```
+
+在 `core-resources.config.js` 的 features 中启用：
+
+```js
+spreadsheet: {
+  package: "cloud-web-corejs-resources-luckysheet",
+  version: "2.1.13-core.1",
+  profile: "full"
+}
+```
+
+然后运行 `npm run resources:prepare`、`npm run resources:check` 和正常 dev/build。生产构建后会逐文件检查 dist 哈希；应用 public 有同名路径会失败，不会覆盖。
+
+## 运行时约束
+
+- 动态加载 4 个 CSS，再按顺序加载 plugin.js 和 luckysheet.umd.js。加载失败清理相应节点并允许重试；HTTP 成功但缺少 create/destroy API 仍视为失败。
+- 独立运行使用 WEB_PREFIX；qiankun 使用子应用注入的 publicPath。CSS 内字体和图片继续按原相对路径解析。
+- 主运行库只加载一次，并记录来源；不同来源的第二个应用会明确失败，避免静默复用错误版本。
+- Luckysheet 2.1.13 是 window 全局单例。包装组件现在显式限制同一 window 同时只有一个活动实例；第二实例显示错误并发出 resource-error，而不是互相销毁。关闭后释放所有权，可再次打开。
+- 组件不再直接引用未声明的 luckysheet 变量；销毁前检查归属。默认 options 修复为对象，未初始化时导出/取值安全返回。
+- 这种限制没有实现多子应用并发表格隔离。若产品需要同屏多实例，应升级/隔离运行库或放入独立 iframe，不应取消所有权检查。
+- 现有 LuckyExcel 导入及 ExcelJS 导出代码仍在 Core 中；本批只处理浏览器静态资源。导入、下载、复杂公式、图片、图表、协同和大数据性能需要业务环境单独验收。
+
+## 验证
+
+```bash
+npm run check:resource-tools
+LUCKYSHEET_SOURCE_DIR=/absolute/path/to/upstream-install node build/check-child-app.js --ace --tinymce --luckysheet
+PLAYWRIGHT_MODULE=/absolute/path/to/playwright node build/check-child-browser.js /generated/child --ace --tinymce --luckysheet
+```
+
+自动测试覆盖资源顺序、失败重试、来源冲突、URL、完整性和组合构建。浏览器脚本验证真实表格创建、单元格 API、第二实例拒绝、关闭重开、卸载和子应用资源路径，并回归 Ace/TinyMCE。
+
+## 本次验收记录（2026-09-15）
+
+- 18 项资源工具与组件生命周期测试全部通过；本批 Luckysheet 文件的 ESLint、Core 发布资源边界及包体积门禁通过。Core 约为 3.07 MB 压缩 / 11.25 MB 解压，没有携带 public、artifacts 或生成资源。
+- 最终 Luckysheet 制品为 1,543,382 字节压缩 / 5,117,936 字节解压，交付 34 个文件。Ace basic、TinyMCE 与 Luckysheet 同时启用时，生产输出准备并校验 139 个资源文件 / 8,803,102 字节。
+- 从实际 Core tarball 新建子应用、干净安装三种可选资源制品并执行生产构建通过。构建仍有 273 条既有 Vue 2 SFC 样式导出警告，不属于零警告验收。
+- Chromium + 真实跨域 qiankun 验证通过：Luckysheet 创建、已有单元格读写、第二实例明确拒绝、销毁重建、子应用来源加载、无外部字体请求及卸载清理均正常；Ace worker 与 TinyMCE 双编辑器回归同时通过，没有静态资源缺失、控制台错误或页面异常。
+- 验收数据使用 Luckysheet 2.1.13 的 `celldata` 稀疏数据格式。真实 Excel 导入导出、复杂公式/图表/图片、超大数据、真实权限与生产 CSP 仍需业务环境验证。
+- 完整 `test:ci` 已执行：新增资源检查、发布边界、体积和最小消费应用先通过，随后被仓库存量的 1,737 个全量 ESLint 错误拦截。单独执行既有 `test:unit` 又因 Jest 配置引用未安装的 `vue-jest` 而在收集前退出；这两项是当前仓库基线门禁问题，未在本批扩改历史源码或测试配置。
+
+Activiti 已在后续批次接入，见 [Activiti 实施说明](./activiti-resources.md)。P3 代码/依赖拆分仍未实施。