cloud-web-corejs 1.1.0-dev.6 → 1.1.0-dev.61

package/docs/child-app/public-resources-plan.md

@@ -0,0 +1,288 @@
+# public 资源交付与 npm 包体积控制：落地方案
+
+日期：2026-09-15。
+
+状态：**分阶段实施中，已接入资源工具、Ace、TinyMCE、Luckysheet 与 Activiti**。本文保留总体设计；已实现的接口、命令、限制和验证记录见各功能实施说明。后续依赖拆分尚未实施，不应把本文全部条目视为已交付。
+
+## 1. 目标与范围
+
+解决两个同时存在的问题：
+
+1. 新子应用已经引用 Core 组件，但没有取得组件所需的 public 脚本、样式、worker、字体或独立页面，使用相关功能时失败。
+2. 不能通过把整个 public 放进 cloud-web-corejs 来补齐资源，否则所有消费应用都会承担未使用功能的下载、安装和部署成本。
+
+目标：**启用功能时资源完整，未启用功能不增加默认静态资源交付负担**。
+
+本方案第一阶段只建立资源交付闭环，不重写 Vue 2 启动体系，不改变现有鉴权和菜单归属规则，不承诺立即缩小全部依赖和业务构建产物。
+
+## 2. 已确认的现状
+
+### 2.1 “丢失”的具体含义
+
+- 本次子应用模板提交没有删除原仓库 public 文件。
+- package.json 的 files 没有 public；当前资源检查脚本也明确禁止把整个 public 纳入发布清单。
+- templates/child-app/public 只有 index.html，没有大型功能资源。
+- 原应用通过 public 提供的内容，不会仅因新应用安装 cloud-web-corejs 就自动出现。
+- 静态字符串 URL、iframe 地址和运行时全局对象通常不进入 webpack 文件解析，因此安装、构建成功不能证明这些资源齐全。
+
+现阶段可以确认的是**新应用资源交付不完整**。具体项目如果存在“原有文件被删除”，仍需单独对照文件路径和版本历史，不能用本结论替代删除排查。
+
+### 2.2 体积基线
+
+当前工作区 Core 版本标识为 1.1.0-dev.33。以下 npm 数据来自 npm pack --dry-run --json；MB 为十进制字节换算，不是已发布 registry 包的实测结果。
+
+| 指标 | 当前近似值 | 说明 |
+| --- | ---: | --- |
+| npm 压缩包 | 3.05 MB | 不包含原仓库 public |
+| npm 解压文件 | 11.18 MB | 不包含安装后的传递依赖 |
+| src/components 发布文件 | 7.31 MB | 主要体积来源 |
+| src/views 发布文件 | 2.32 MB | 共享业务页面 |
+| 模板发布文件 | 0.54 MB | 包括少量默认图片 |
+| 文档发布文件 | 0.05 MB | 非主要体积来源 |
+
+原仓库 public 的 du 磁盘占用约 28M，其中 Ace 约 10M、Activiti 约 6.4M、Luckysheet 约 6.1M、TinyMCE 约 2.6M。此处是目录磁盘占用量级，不应直接与 tarball 压缩字节数相加。
+
+安装总量、各功能单独构建增量、首屏网络量尚需建立可重复基线。此前最小消费应用生产 dist 约 19 MB，只说明所测配置的构建规模，不是 npm 包大小。
+
+### 2.3 已知调用证据
+
+| 功能 | 代码位置 | 当前依赖方式 | 缺失后可能表现 |
+| --- | --- | --- | --- |
+| Ace | src/components/code-editor/index.vue | 已导入部分 npm 模块，其他内容按 WEB_PREFIX + /base/ace/src-min-noconflict 加载 | 特定模式、扩展或语法检查 worker 失败 |
+| TinyMCE | src/components/Tinymce/index.vue | WEB_PREFIX + /base/tinymce/tinymce.min.js | 富文本初始化失败，或主题/语言/插件请求失败 |
+| Luckysheet | src/components/luckysheet/view.vue、public/index.html | Vue 包装依赖 luckysheet 全局对象，原 HTML 包含样式引用 | 全局对象不存在、页面样式缺失 |
+| Activiti | src/views/user/wf/wf_obj_config/activiti_wf.vue 等 | iframe 打开 WEB_PREFIX + /activiti-explorer/modeler.html | 设计器 404 或关联脚本/回调失败 |
+
+Luckysheet 原 HTML 中也有被注释的脚本引用，不能把历史 HTML 当作已验证的初始化方案照搬；需要重新确认完整加载顺序。
+
+## 3. 资源分类与归属
+
+| 分类 | 范围 | 归属与交付原则 |
+| --- | --- | --- |
+| 基础资源 | Core 必需的通用样式、图标、小图片、字体 | 保留在 src/core-resources 等已发布路径，通过构建导入 |
+| 可选公共功能 | Ace、TinyMCE、Luckysheet、Activiti | 按功能提供独立版本化资源制品，启用后准备 |
+| 应用专用 | 品牌图片、public/views 业务静态页面、呼叫中心集成 | 应用维护，不能自动归入 Core 公共资产 |
+| 待确认 | public/obs、零散 base 脚本、打印 SDK、旧字体与样式 | 查实际消费者、来源和依赖后决定，不因名字或暂未搜到引用而删除 |
+| 历史材料 | 示例、说明 HTML、测试资源、重复版本等 | 逐项确认用途后决定保留位置；不在本轮自动清理 |
+
+Activiti 资源已可按需交付，但“资源可交付”和“可在 qiankun 子应用里工作”仍是两个问题。现有 iframe 依赖真实父窗口回调，当前支持主应用或非 qiankun 同源页面，qiankun 模式由运行时明确拒绝。
+
+## 4. 推荐交付方式
+
+### 4.1 分功能资源制品，构建时准备
+
+采用以下链路：
+
+```text
+应用声明所需功能
+    ↓
+解析已锁定的资源版本及兼容关系
+    ↓
+取得该功能的资源制品并检查完整性
+    ↓
+复制到应用生成资源目录，保持现有相对路径
+    ↓
+校验 → 构建到 dist → 与应用一起部署
+```
+
+首选形态：每个功能一个可独立安装的 npm 资源包，由启用该功能的消费应用明确写入 devDependencies 并提交 package-lock.json。资源包名称和发布仓库在实施前确定，本文不假设任何新包已存在。
+
+若无法使用 npm registry，则采用内部制品库中的分功能压缩包，由应用资源锁文件记录精确版本、地址、大小和完整性摘要。两种方式实现同一准备接口；第一期只需落地一种。
+
+约束：
+
+- Core 不把这些包加入强制 dependencies；普通应用不必安装全部资源。
+- 资源准备是构建阶段行为，不放在页面首次打开时下载到本地，也不依赖隐式 postinstall。
+- 运行部署机器只需 dist；构建机需要先安装包括 devDependencies 在内的构建依赖。
+- 不把源码仓库的 public 作为消费工程运行时可访问的隐式路径。
+- 若内部维护一个全集，需能生成分功能制品；只发布一个全集再“选择性复制”，只能减少 dist，不能减少安装下载量。
+
+### 4.2 第一阶段同源部署
+
+优先让资源随子应用部署到自身站点，保留 /base/ace、/base/tinymce、/luckysheet 等既有目录布局。代码、资源清单和资源文件作为同一次应用发布交付。
+
+后续可以支持 CDN，但必须额外验证 worker、字体、脚本跨域、CSP、iframe 回调和缓存更新；不能只把路径前缀改成 CDN 就视为接入完成。
+
+## 5. 配置与清单设计
+
+下列文件名和字段均为拟新增契约。
+
+### 5.1 应用功能声明
+
+拟新增 core-resources.config.js：
+
+```js
+module.exports = {
+  features: {
+    codeEditor: true,
+    richText: false,
+    spreadsheet: false,
+    workflowDesigner: false
+  }
+};
+```
+
+含义：声明应用需要准备哪些静态资源，不直接代表实现了组件代码裁剪，也不替代用户权限。
+
+新模板默认只启用已完整交付的基础能力。生成器根据用户业务需求写入功能声明、精确资源依赖及接入步骤。动态表单、后端菜单和脚本可能间接使用组件，必须将这些需求纳入应用声明；不能只依赖静态 import 搜索推断。
+
+### 5.2 资源制品清单
+
+每个功能制品需包含以下元数据，具体版本值待盘点确认：
+
+| 字段 | 要求 |
+| --- | --- |
+| schemaVersion、feature | 清单版本与稳定功能标识 |
+| resourceVersion | 制品精确版本，不使用 latest/dev 标签作为锁定结果 |
+| upstreamVersion、patchRevision | 原始库版本与本地补丁版本，不能只记录 Core 版本 |
+| compatibleCore | 经验证的 Core 版本范围或兼容清单 |
+| source、license | 来源、许可和随包声明文件；盘点确认可再分发范围 |
+| files | 文件相对路径、字节数、摘要、目标相对路径 |
+| dependsOn | 依赖功能及精确版本约束 |
+| entrypoints | JS/CSS/worker/HTML 入口及先后依赖 |
+| runtimeConstraints | 必须存在的全局对象、同源要求、支持的承载模式 |
+
+对入口的依赖闭包进行盘点：JS、CSS url、字体、图片、worker、插件、语言包、主题、iframe 子页面、嵌套相对引用。清单不能只有入口文件名。
+
+### 5.3 文件所有权与缓存
+
+- 建议生成到 .core-resources/public，再由构建复制到 dist 约定路径；不直接覆盖应用维护的 public。
+- 同一路径若同时由应用 public 和生成目录提供，默认构建失败，要求明确选择来源，不能靠复制顺序覆盖。
+- 记录“本次工具生成的文件”清单；关闭功能时只清理工具拥有的文件。
+- 缓存按制品精确版本和摘要标识；命中后仍核对完整性。离线构建缺缓存时明确失败，不回退到其他版本。
+- 下载、校验在临时目录完成后再切换输出；文件路径必须限制在目标目录内，不接受越界路径或越界链接。
+- 已复制文件仍需校验目标摘要，避免手工修改后被误当作锁定制品。
+
+## 6. 各功能的实施要求
+
+### Ace
+
+先核对 npm ace-builds 与 public/base/ace 的版本和本地修改。当前已有若干模式打进 JS，应明确其与动态模式、worker 的边界。
+
+优先支持一组明确的模式/主题/worker；业务允许任意模式时，提供完整模式资源选项，不能仅根据示例的 JavaScript 模式裁剪。worker 必须验证能执行语法检查，不能只检查 HTTP 200。
+
+### TinyMCE
+
+盘点当前版本、启用插件、主题、语言、图标、skin 和内容 CSS。保留目录内相对寻址关系，测试输入、工具栏、弹窗、语言和二次打开。升级第三方版本不与首次资源搬迁混在同一阶段。
+
+### Luckysheet
+
+明确脚本依赖顺序、样式清单、字体、全局对象初始化及销毁。跨页面重复打开时不能重复注入造成冲突；需要验证两个应用的隔离行为。资源加载完成后再挂载包装组件，避免引用尚未建立的全局对象。
+
+### Activiti
+
+已按 5.17.0 保存设计器依赖闭包，包含 stencilset、配置和本地定制；构建器锁定上游与本地树摘要，不能直接用上游原版替换。模型打开和保存协议已在非 qiankun 同源浏览器桩验收，真实业务后端仍需联调，qiankun 承载需另行设计 postMessage 协议。
+
+### 应用专用与待确认项
+
+public/views、呼叫中心、OBS 旧脚本及平台 SDK 先登记调用者。已有 npm SDK 并不自动证明 public 中另一份脚本可删除；以实际调用路径和版本行为为准。
+
+## 7. 运行时地址和加载协议
+
+拟增加专用资源地址解析与加载能力，与当前 src/utils/assetUrl.js 的图片模块 URL 归一化功能分开。
+
+- 独立运行：资源基址为应用实际部署目录。
+- qiankun 挂载：资源基址从子应用 entry/注入的 publicPath 推导，不能让 WEB_PREFIX 的相对地址误命中宿主 origin。
+- 新模式统一走资源解析入口；旧应用未配置新资源机制时，保留当前路径行为，分批迁移。
+- HTML、CSS 相对链接、JS 动态加载和 worker 必须使用一致的基址。
+- 明确每个功能的初始化 Promise；依赖先加载，同一应用实例避免重复初始化，失败支持明确重试。
+- 资源加载器报告功能、版本和失败 URL；不能将缺资源错误吞掉后显示空白组件。
+- 功能未启用但被动态页面使用时，提示缺少哪项资源配置；不得绕过权限自动启用、自动远程取代码。
+- 同一应用多个详情实例的生命周期归属需要测试；不直接用真实 window 全局共享一个可销毁实例。
+
+版本化制品不要求第一阶段改变全部 URL。保持旧 URL 时，应以完整 dist 原子部署、正确缓存策略和整包回滚避免新代码配旧资源；后续如采用版本化 URL，再集中调整解析契约。
+
+## 8. 命令与构建接入
+
+拟新增的消费应用命令：
+
+| 命令 | 行为 |
+| --- | --- |
+| resources:prepare | 根据应用功能声明和锁定依赖生成静态资源 |
+| resources:check | 核对已启用功能的清单、版本、摘要和目标冲突 |
+| dev | 先准备/检查资源，再启动开发服务 |
+| build:prod | 先准备/检查资源，再生产构建，最后检查 dist 资源完整性 |
+
+命令具体脚本路径待实现时确定。现有 check:package-resources 保持 Core 边界职责，不把整个 public 放进 Core。新增功能资源检查应独立承担资源闭包和输出校验。
+
+准备过程须幂等。CI 在新目录使用锁文件安装，不能依赖开发者之前手工复制的文件。只装 production dependencies 的环境不能直接运行资源准备和应用构建，应在独立构建阶段完成。
+
+## 9. 包体积控制
+
+四种指标分别记录，分别优化：
+
+| 指标 | 本阶段动作 | 后续动作 |
+| --- | --- | --- |
+| Core npm 压缩/解压大小 | 明确 files 白名单，禁止混入大型 public | 基于使用关系拆组件、共享业务页面；必要时独立脚手架包 |
+| 消费应用安装量 | 功能资源按需声明，不建立强制全集依赖 | 拆分真正可选的运行依赖，先解决源码引用和全局注册耦合 |
+| dist 总量 | 只复制启用功能的资源 | 精确裁剪视图上下文和业务功能，不能仅靠懒加载 |
+| 首屏网络量 | 需要时再初始化非首屏功能资源 | 按路由和功能测量依赖链，避免公共入口提前加载 |
+
+初始 Core 包预算：压缩不超过 3.5 MB、解压不超过 13 MB；相对基线增长超过 10% 时要求解释。P1 已将这组预算实现为 check:package-size 并接入 test:ci，超限需评审后调整基线，不静默放宽。
+
+每个资源功能单独记录制品体积、复制文件体积、dist 增量和首次使用网络量。资源压缩传输不等于减少解压量；迁到 CDN 也不等于减少用户实际下载。
+
+不要把仍由 Core 无条件导入的库直接改成可选依赖，否则会出现安装成功、编译失败。组件代码拆包和动态视图裁剪放在资源交付闭环之后，单独处理兼容性。
+
+## 10. 分阶段任务与完成条件
+
+### P0：资源台账与边界确认
+
+产出逐功能台账：调用点、文件闭包、上下游版本、本地补丁、资源大小、许可来源、全局对象、路径、支持的承载模式、验证负责人。
+
+完成条件：每项资源都能解释消费者和交付归属；待确认项明确列出，不能直接归为可删除。确定第一期制品渠道和试点应用。
+
+### P1：一个功能端到端打通
+
+建议选择 Ace 作为试点：生成版本化制品/清单，应用配置功能，准备到生成目录，建立独立/qiankun 资源地址解析，接入开发和生产检查。
+
+完成条件：新机器仅按文档安装即可使用；实际 mode/worker 生效；关闭功能不复制相关资源；缺文件/版本错配会失败；应用自有文件不被覆盖；Core 包没有携带 Ace public 全集。
+
+### P2：逐功能补齐
+
+按 TinyMCE、Luckysheet、主应用 Activiti 的顺序扩展。同步更新生成器、提示词、接入文档、CI 用例和制品兼容表。
+
+完成条件：每项启用功能有真实浏览器功能验收，动态表单和菜单间接依赖有声明方式，不以普通列表测试替代。
+
+### P3：进一步减小代码与依赖
+
+按构建与使用数据评估组件子包、业务页面子包、可选依赖和脚手架独立发布。先设计稳定入口、扩展点和迁移清单，再逐应用迁移；不直接封死已有深层 import。
+
+完成条件：安装量、dist 或首屏指标有可复现下降，现有应用及权限路由回归通过。
+
+## 11. 验收矩阵
+
+| 场景 | 必须验证 |
+| --- | --- |
+| 全新安装 | 从实际 npm tarball 创建应用；独立目录安装；不借用 kCode/std 的 public 或 node_modules |
+| 默认模板 | 基础页面可用；无可选资源包强制安装和资源复制 |
+| 单功能/组合启用 | 只得到声明资源及依赖，无同路径冲突，版本匹配 |
+| 缺失与损坏 | 缺文件、摘要不符、版本不兼容时构建失败并定位到功能 |
+| 重复准备/关闭功能 | 幂等；只移除工具拥有的资源；应用手写 public 保留 |
+| 独立/子路径部署 | 入口、CSS、字体、worker、iframe 均从正确路径取到正确 MIME 内容 |
+| qiankun 跨源 | 请求到子应用资源 origin；不误取宿主同名资源；实例隔离与卸载正确 |
+| 实际功能 | Ace worker、TinyMCE 插件/skin、Luckysheet 编辑、主应用 Activiti 保存逐项操作 |
+| 动态表单/菜单 | 间接使用资源能识别缺配置；功能配置不改变权限语义 |
+| 离线与回滚 | 缓存完整时可构建；缺制品明确失败；旧代码/锁文件可重建完整旧版 dist |
+| 体积 | 同时记录包、安装、dist、首屏/首次使用指标，不用一个数替代全部 |
+
+HTTP 200 不能单独作为资源成功标准：开发服务器可能对不存在的脚本返回 index.html，必须核对 MIME、内容和实际功能。
+
+## 12. 迁移、发布与回滚
+
+1. 保留现有应用 public 和旧加载方式，先在新模板试点；不批量删除存量资源。
+2. 制品发布后固定版本和摘要，完成与目标 Core 的兼容测试；资源发布和 npm 正式发布作为独立操作执行。
+3. 试点应用显式选择新机制，确认新资源与旧文件不冲突，再逐项迁移资源所有权。
+4. 只有在对应功能已验证、旧消费者已迁移后，才移除其不再需要的旧复制流程。
+5. 回滚提交应同时恢复 Core/资源版本锁定和完整部署产物。禁止只回滚 JS 而留下新版本 public。
+
+实施前需要定下的事项：资源制品使用的 registry/内部存储位置、发布命名与权限、第一批功能模式/插件范围、试点应用与可用后端环境、最终体积预算。资源版本和文件清单以 P0 盘点结果填写，不在设计稿中猜测。
+
+## 13. 相关材料
+
+- [当前接入契约](./README.md)
+- [当前生成提示词](./generate-prompt.md)
+- [已有模板验收记录及未覆盖范围](./validation.md)
+- [qiankun 接入协议](../qiankun接入协议.md)
+
+实施时优先阅读 package.json、build/check-package-resources.js、src/public-path.js，以及各功能实际组件和原 public 入口。原 public 是盘点输入，不是可直接全量发布的最终清单。

package/docs/child-app/resources-implementation.md

@@ -0,0 +1,101 @@
+# public 资源首批实施：Ace
+
+## 本批边界
+
+实现资源制品构建、子应用显式启用、准备/完整性检查、webpack 输出与 Ace 子应用路径解析。没有删除或迁移旧 public，没有修改 std，没有发布 npm。后续功能仍按 [总体方案](./public-resources-plan.md) 推进。
+
+Core 只增加小型工具和模板，不包含资源包 payload。`ace-builds` 仍是 Core 原有运行时代码依赖，因此本批减少的是资源复制和默认部署负担，不代表已经缩小 npm 依赖安装总量或 Core 的全部业务 chunk。
+
+## 制作与使用
+
+维护者在 kCode（Node 20+，依赖已安装）执行：
+
+```bash
+npm run build:ace-resources
+```
+
+得到 `artifacts/resources/cloud-web-corejs-resources-ace-1.11.0-core.0.tgz`。这是独立 npm 制品，目前仅本地构建，尚未发布到 registry。构建临时目录会保留供审计。来源固定为 `ace-builds@1.11.0`，包含上游 LICENSE；资源清单记录 SHA-256、字节数、部署路径、profile、上游版本和补丁版本。当前兼容 Core 精确限定为 `1.1.0-dev.33`，升级时须验证并同步维护兼容信息。
+
+新生成子应用先安装维护者提供的资源制品（替换实际绝对路径）：
+
+```bash
+npm install --save-dev --save-exact /absolute/path/cloud-web-corejs-resources-ace-1.11.0-core.0.tgz
+```
+
+修改子应用 `core-resources.config.js`：
+
+```js
+module.exports = {
+  schemaVersion: 1,
+  features: {
+    codeEditor: {
+      package: "cloud-web-corejs-resources-ace",
+      version: "1.11.0-core.0",
+      profile: "basic"
+    },
+    richText: false,
+    spreadsheet: false,
+    workflowDesigner: false
+  }
+};
+```
+
+```bash
+npm run resources:prepare
+npm run resources:check
+npm run dev
+npm run build:prod
+```
+
+模板的 predev/prebuild:prod 自动准备资源，postbuild:prod 校验 dist 的资源哈希；直接调用 vue-cli-service 时需自行先 prepare。资源配置变化后重启开发服务。提交配置和 package-lock.json，并确保 CI 能访问锁定的本地制品路径；团队正式使用前应把该制品置于内部制品库或仓库约定目录，不能依赖开发机的临时绝对路径。
+
+`basic` 交付 javascript/json/css/java/text 模式、sqlserver 主题、补全扩展、相应 snippets 和三个 worker；`full` 交付完整 src-min-noconflict，适合后端动态指定其他语言。两个 profile 共用一个完整独立安装包，basic 只减少准备/部署量，**不减少该可选包自身的下载量**。未启用 codeEditor 时不会输出其静态文件；在受管理的模板中误用组件会显示资源配置错误并发出 `resource-error` 事件。不支持的模式同样显式提示。
+
+## 路径、所有权与失败策略
+
+- 生成目录为 `.core-resources/generations/<内容哈希>/public`，对应 ownership.json。采用新目录写入后重命名，重复 prepare 复用并核验同一代文件，不覆盖应用 public。
+- 第一版保留旧代和中断的 staging 目录，不自动垃圾回收。禁用功能后的新构建只读取新代，不会部署旧代；磁盘清理暂由使用者确认后处理。
+- 缺包、版本不兼容、哈希不符、应用 public 同路径文件、webpack 同名输出、越界路径、符号链接和被人为修改的生成目录均失败退出。不要在生成目录内手改；配置和上游制品才是来源。
+- webpack 插件把选定文件交给开发内存文件系统及生产输出，无需额外复制 public、全局 postinstall 或运行时联网下载。
+- 资源输出标记为已经压缩，禁止生产压缩器再次改写；否则即使页面看似正常，postbuild 的 SHA-256 检查也会失败。生产模式自动测试覆盖这一点。
+- 独立运行使用 WEB_PREFIX；qiankun 使用子应用注入的 publicPath，避免 worker/snippets 请求落到主应用域名。跨域 worker 使用 Ace 自身的加载机制，部署环境还需允许相应 CORS/CSP（尤其 worker 的 blob/importScripts），本批不修改网关安全策略。
+- 未接入新插件的旧应用保留传统路径，不强制启用新配置。已有子应用需手动同步模板里的脚本、配置和 ResourcesPlugin，生成器不会覆盖已有项目。
+- 文件哈希用于完整性检查，不代替制品来源认证；交付时须锁定并审查 package-lock 的制品完整性与来源。
+
+## 资源盘点与后续
+
+| 功能 | 已核实 | 待实施/确认 |
+| --- | --- | --- |
+| Ace | public 顶层 261 个 src-min-noconflict 文件与已安装 1.11.0 完全相同；本制品直接来自固定 npm 上游 | 全部业务语言覆盖、多个子应用共享 Ace 实例风险、CSP 实际环境 |
+| TinyMCE | 后续批次已核对全部 86 个文件来源并接入独立制品、资源路径和加载器，见 TinyMCE 实施说明 | 生产环境策略、业务上传、全部插件组合及发布前许可审核 |
+| Luckysheet | 后续批次已核对 2.1.13 与 8 个存量差异，并接入独立制品、加载顺序和单实例保护 | 多子应用并发隔离、完整导入导出及复杂业务能力 |
+| Activiti | 含设计器 iframe 与第三方 libs | 已接入 5.17.0-core.1；只支持主应用/同源宿主，详见 activiti-resources.md |
+
+richText、spreadsheet 与 workflowDesigner 已在后续批次接入，见 [TinyMCE](./tinymce-resources.md)、[Luckysheet](./luckysheet-resources.md) 和 [Activiti](./activiti-resources.md) 实施说明。obs、呼叫中心、打印 SDK、业务 views/mobile 等仍需按调用链单独盘点；不以当前未引用作为删除依据。
+
+## 验证命令
+
+```bash
+npm run check:resource-tools
+npm run check:package-resources
+npm run check:package-size
+node build/check-child-app.js --ace
+node tests/resources/check-installed-profiles.js /generated/child
+PLAYWRIGHT_MODULE=/absolute/path/to/playwright node build/check-child-browser.js /generated/child --ace
+```
+
+资源工具测试覆盖显式禁用、幂等、未准备、缺包、版本/profile、源及生成文件篡改、冲突、越界/符号链接，以及独立/qiankun URL。端到端脚本使用实际 Core 和资源 tarball，浏览器脚本检查 Core CodeEditor 的真实 JSON worker 返回语法错误，并验证卸载时 worker 终止，而不只检查 DOM 出现。未覆盖真实账号、业务后台权限菜单或生产宿主策略。
+
+实际资源制品的配置切换测试：full 为 441 个文件 / 9,191,194 字节；basic 为 17 个文件 / 1,225,005 字节；禁用为 0 个文件。以上为原始静态文件大小，包含部署的许可证，不是 gzip 下载量。basic 相比 full 减少约 86.7% 的静态部署字节数。
+
+Core 体积检查：以改造前 3,046,559 / 11,184,103 字节为压缩/解压基线，任一增长超过 10% 或超过 3.5MB / 13MB 硬上限则失败；不允许 public/artifacts/生成目录进入 Core tarball。独立资源制品、安装依赖与应用 dist 分开度量，不混用这些指标。
+
+## 本次验收记录（2026-09-15）
+
+- 资源工具测试、生产压缩下的原字节输出与冲突拦截、资源边界、体积和最小消费应用检查通过，相关检查已接入 test:ci 前置步骤。完整 test:ci 后续已执行，但被仓库存量的全量 ESLint 错误拦截；既有 test:unit 单独执行也因 Jest 配置引用未安装的 vue-jest 而在收集前退出。
+- 实际 Core tarball → 新生成子应用 → 干净安装 → 独立 Ace tarball 安装。首次生产构建被 postbuild 哈希校验拦截，定位为 Terser 二次压缩；修复后重新打包并安装 Core，生产构建及 17 个资源的 check-dist 全部通过。
+- 最终生产产物经 Chromium + 真实跨域 qiankun 验证：独立登录页（仅模拟登录配置）、挂载/update/卸载、详情承载私有示例页、列表操作、SVG，以及真实 CodeEditor JSON worker 的语法错误和卸载终止全部通过。没有静态资源缺失或页面运行异常。
+- 构建仍有 273 条警告，主要是既有 Vue 2 SFC 样式默认导出警告；不属于零警告验收。真实账号、业务权限菜单、生产网关/CSP、多子应用同时编辑、完整语言集合的浏览器覆盖仍未验收。
+- 独立资源制品保存在 `artifacts/resources/`；最终构建日志、浏览器日志和截图保存在 `artifacts/resources/validation/`，均被 Git 忽略。未提交 Git、未推送、未发布 npm。
+
+以上记录对应 **P1 Ace 交付与验证闭环**。TinyMCE、Luckysheet 与 Activiti 的后续进展见各自独立说明。P0 其余资源的完整溯源和 P3 代码/依赖拆分仍待继续；当前不能声明全部 public 功能已修复。

package/docs/child-app/tinymce-resources.md

@@ -0,0 +1,88 @@
+# TinyMCE 可选资源接入
+
+本批沿用现有 TinyMCE 4.9.2，不升级运行库、不删除旧 public，也不把静态资源或新的 TinyMCE 依赖加入 Core 的强制依赖。独立制品暂未发布 registry；使用本地 tarball 验证和交付。
+
+## 来源与体积
+
+逐字节核对原 `public/base/tinymce` 的 86 个文件：
+
+| 内容 | 精确来源 | 对比结果 |
+| --- | --- | --- |
+| 主脚本、插件附属文件、lightgray 皮肤 | tinymce-all-in-one@4.9.2 | 40 个文件完全相同 |
+| langs 目录 | tinymce-all-in-one@4.9.5 的 langs（不使用其主脚本） | 46 个文件完全相同 |
+| TinyMCE 原始许可 | tinymce@4.9.2 的 license.txt | 原样随制品保留 |
+
+这个组合不是本次升级造成的；现有仓库本身就是此组合。本地文件有差异或闭包数量变化时，构建脚本会拒绝打包，需要重新审核并修改补丁版本。
+
+[上游合并包说明](https://github.com/PanJiaChen/tinymce-all-in-one)说明主脚本已合入插件；因此不能把其余 plugins 目录中没有 plugin.min.js 判断为资源丢失。当前制品保持整个已有闭包，不额外裁剪插件。上游合并包 package.json 声明 MIT；TinyMCE 本体的 LGPL-2.1 声明不能被合并包元数据替代。制品保存官方 LGPL 原文、上游 package.json 信息与来源链接；正式对外发布前仍需审核第三方许可、源码提供与通知义务，本次没有作法律合规认证。
+
+独立制品约 **0.68 MB 压缩 / 2.50 MB 解压**。部署 88 个文件，原始资源共 2,471,058 字节（含两份许可/来源文件）。只提供 `full` profile；关闭 richText 时为 0 个 TinyMCE 文件。Core tarball 不含这批大资源。
+
+## 维护者制作制品
+
+在独立目录安装精确上游版本，不改变 kCode 的依赖声明。例如在 kCode 中：
+
+```bash
+npm install --prefix artifacts/resources/tinymce-source --ignore-scripts --save-exact --no-audit --no-fund tinymce-all-in-one@4.9.2 tinymce-languages@npm:tinymce-all-in-one@4.9.5 tinymce@4.9.2
+npm run build:tinymce-resources -- artifacts/resources/tinymce-source
+```
+
+产生 `artifacts/resources/cloud-web-corejs-resources-tinymce-4.9.2-core.0.tgz`。保存制品及来源安装目录的 package-lock.json 到团队制品系统；该目录在本工作区被 Git 忽略。构建器不自动联网。原始文件的 SHA-256、目标路径、语言源版本、Core 兼容版本和补丁版本写入 resources.json。
+
+## 子应用启用
+
+先用包含本次修改的 Core tarball 安装/生成应用，再安装 TinyMCE 制品（替换实际路径）：
+
+```bash
+npm install --save-dev --save-exact /absolute/path/cloud-web-corejs-resources-tinymce-4.9.2-core.0.tgz
+```
+
+在已有 `core-resources.config.js` 的 features 中配置，保留其他功能声明：
+
+```js
+richText: {
+  package: "cloud-web-corejs-resources-tinymce",
+  version: "4.9.2-core.0",
+  profile: "full"
+}
+```
+
+```bash
+npm run resources:prepare
+npm run resources:check
+npm run dev
+npm run build:prod
+```
+
+旧应用需同步新模板的 ResourcesPlugin、配置和资源准备/校验脚本；不能只加配置文件。应用自有 public 同路径文件会冲突报错，不会被覆盖。未启用却使用组件时显示 richText 缺配置提示；不自动下载安装资源，不改变鉴权和菜单权限。
+
+## 加载与生命周期
+
+- 独立运行按 WEB_PREFIX，qiankun 按子应用注入 publicPath 解析主脚本、语言和皮肤地址，显式设置 TinyMCE 的资源基址。
+- 同一应用并发组件共享一次主脚本请求；失败会清理加载状态，组件显示 URL 和重试按钮。HTTP 200 但没有兼容运行库也会失败。
+- 拒绝覆盖不同来源或版本的既存 TinyMCE 全局对象。此保护不是允许多个不同版本共享一个 window 的承诺；多应用同时使用仍需单独验证宿主隔离。
+- 使用组件实际 textarea 作为 target。mounted/activated 去重，卸载或停用后忽略过期回调，只移除本组件编辑器；已加载脚本保留供同应用复用。
+- 包装组件沿用 en/zh/es/ja 映射；其他应用 locale 回退 en。资源保留全部原始语言，但没有扩展应用 i18n 的业务语言体系。
+- `getContent()` 现在返回内容，实例不存在时返回空串；setContent 在销毁后安全跳过。
+- 本批不改既有上传业务接口，也没有验证上传、拼写服务、全部插件组合或生产 CSP。保留旧版本不等于安全升级；正式上线应另行安排版本和安全评估。
+
+## 验证
+
+```bash
+npm run check:resource-tools
+TINYMCE_SOURCE_DIR=/absolute/path/to/upstream-install node build/check-child-app.js --ace --tinymce
+PLAYWRIGHT_MODULE=/absolute/path/to/playwright node build/check-child-browser.js /generated/child --ace --tinymce
+```
+
+自动测试覆盖 Ace/TinyMCE 组合及独立关闭、第二个功能空清单、加载去重、失败后重试、异源全局拒绝、停用/销毁后的过期回调、资源地址、生产字节完整性等。浏览器脚本覆盖双编辑器、输入/v-model、中文代码插件弹窗、关闭重开、子应用卸载，并同时回归 Ace worker。
+
+## 验收记录（2026-09-15）
+
+- 15 项自动测试通过；包括普通入口/详情入口在子组件渲染前注册根实例的两项回归。实际浏览器发现 `$t2` 在首帧读取尚未注册的 `$vueRoot`，已通过提前注册根实例修复，没有用测试桩绕过翻译函数。
+- 新目录安装真实 Core/Ace/TinyMCE tarball，生产构建通过。发现并修复启动顺序问题后重新打包、安装 Core 并构建，最终 105 个文件 / 3,696,063 字节的输出哈希检查通过。
+- 最终产物经真实跨域 qiankun + Chromium 验证：双编辑器、输入/v-model、中文源代码弹窗、关闭重开、卸载全部通过。主脚本仅一次请求，语言/皮肤从子应用目录加载；页面异常、控制台错误和静态资源缺失均为零。
+- 同时回归独立登录页、普通挂载/update/卸载、私有示例列表及 Ace JSON worker 和卸载终止。独立登录页验证不等于独立入口的富文本业务流程验收；独立资源 URL 另有自动测试。
+- 仍有 273 条构建警告，主要为既有 Vue 2 样式默认导出等；未运行完整历史 test:ci，未验收真实账号、上传/拼写服务、全部插件语言组合、生产 CSP 或多个不同子应用同时使用 TinyMCE。
+- 日志、来源锁文件和截图保存在 Git 忽略的 `artifacts/resources/validation-tinymce/`。本轮未修改旧 public、std，未提交、推送或发布 npm。
+
+P2 的 TinyMCE 子项已完成上述接入与验收。Luckysheet 和 Activiti 已在后续批次接入；P3 的运行依赖和业务代码拆分尚未实施。

package/docs/child-app/validation.md

@@ -0,0 +1,34 @@
+# 子应用模板验收记录
+
+日期：2026-09-15。环境：Node 22.23.2、npm 10.9.8、Chromium；Core 源码版本标识为 1.1.0-dev.33，使用当前工作区 npm pack 产物，未发布到 npm。
+
+## 已通过
+
+- Core 资源边界：1225 个发布源码文件、104 个 Core SVG。
+- 发布清单：包含生成器、模板 `.env`、应用文件/素材和提示词，不依赖 std 工作区。
+- 生成器：拒绝覆盖已有工程，拒绝非法/保留 appCode。
+- 从 tarball 解包后运行生成器，在仓库外干净安装；生产构建退出码 0，产物约 19 MB。
+- 开发 webpack 配置解析及根路径/静态文件/API/WebSocket 路径边界检查。
+- 实际启动 `npm run dev`；根路径入口返回正确 HTML，浏览器能显示登录页和 Core SVG。
+- 生产浏览器：独立登录页可见；登录配置由测试服务模拟，没有真实账号登录。
+- 真实 qiankun：两个本地端口跨源加载，未登录态 mount/update/unmount 成功。
+- 详情承载：私有 `/demo/list` 页面加载成功，内存示例新增/编辑/筛选正常，应用图标可见，URL 未改变，卸载后清空。
+- 上述生产浏览器用例无 pageerror、无业务静态资源 404；登录及列表截图已人工查看。
+- Activiti 5.17：独立资源制品 324 个文件，默认模板关闭；从 Core tarball 生成的新应用安装制品后生产构建成功。同源浏览器实际加载设计器、stencil 和模型，并验证保存 POST；发现并修复官方 WAR 同样缺失的 `glasspane.png` 引用后无静态资源 404。
+- `git diff --check` 与新增 Node 脚本语法检查。
+
+## 本轮处理的问题
+
+1. 默认并行压缩时构建被系统 Killed；模板关闭压缩器多进程后完整构建通过。
+2. Core 默认生产登录初始化会跳主应用前缀；模板通过 Login 扩展覆盖这段初始化，支持独立显示登录页，其余鉴权沿用 Core。
+3. SCSS `:export` 的 theme/menu 等值需要 ICSS 处理，模板补充 normal SCSS 规则。
+4. 开发内联 source map 导致 vendor 脚本约 99 MB，首次浏览器检查超时；切换外置 cheap-module-source-map 后约 43 MB，重新检查通过。生产 devtool 仍为 false。
+
+## 已知限制
+
+- 生产构建仍有 273 个警告，主要为 Vue 2 SFC 样式默认导出兼容警告、旧 CSS 语法和资源体积提示；开发构建有 272 个警告。没有隐藏这些警告。所测页面表现正常不代表所有包内页面均已验收。
+- 最小化的是应用侧文件与接入配置，不是裁剪后的 Core 能力包。开发同步视图上下文仍较大，初次编译需要时间。
+- 未验证真实登录、授权菜单派发、已登录页面保活/刷新、真实 Activiti 业务后端、上传/打印及并发远程详情实例。
+- Ace、TinyMCE、Luckysheet、Activiti 等可选静态资源没有包含在模板中，按接入文档按需补齐。
+
+重复执行入口：`npm run check:child-app`、`npm run check:child-browser -- <已构建的子应用目录>`。后者需要 Playwright/Chromium，详见接入契约。