dsh-agentone 0.5.35 → 0.5.37

package/README.md

@@ -35,7 +35,12 @@ lark-cli / ccpg-cli 状态探测。
   未安装时「安装」一键自助安装（lark 走 `npm install -g @larksuite/cli@latest`，
   ccpg 走公司 `auto-install.sh`，口径与平台 cli-deployd 一致）；
   已装未授权时「去授权」发起官方 Device Flow（授权链接 + ASCII 二维码 +
-  验证码 + 自动轮询确认，设备码仅存插件进程内存）。
+  验证码 + 自动轮询确认，设备码仅存插件进程内存）；
+  lark-cli 首装未 `config init` 时探测为「未配置」，「初始化应用」一键驱动
+  官方 `config init --new`（长驻子进程 + 验证链接/二维码 + 终态轮询，成功后
+  自动衔接设备流授权；关闭弹窗即终止子进程）。平台托管实例不提供自助初始化
+  ——容器内 HERMES_HOME 上下文下 config init 会拒绝执行，应用配置由 Hub 经
+  cli-deployd 统一下发。
 - **全局中文回复默认**：插件启动时在 `$DSH_HOME/AGENTS.md` 注入受标记
   管理的「默认始终使用中文回复」指令块（dsh 官方 agent-instructions 机制，
   每个会话基线加载，project 级指令优先）；幂等不重复注入，用户已有语言
@@ -66,7 +71,9 @@ dsh plugin --profile web add dsh-agentone
 
 - `$DSH_HOME/settings.yaml` 写入 `llm-pi-ai.providers.platform`（指向平台
   `/api/plugin/v1` 代理）与 `agent-default-model`，dsh 模型选择器出现
-  「平台模型」；
+  「平台模型」；模型列表按系列聚簇 + 系列内版本降序写入（插件侧按平台
+  `sort_models_by_version` 同一规则兜底重排，旧版平台返回的上游原序也能得到
+  稳定顺序，默认模型仍取平台下发的 `default_model`）；
 - `$DSH_HOME/.credentials.yaml` 写入 `refs.AGENTONE_API_KEY`（0600），内容
   是 30 天插件令牌而非真实模型密钥——密钥不出平台，TokenHub 按用户计量；
 - 只覆盖 `platform` 命名空间，用户自己配置的其它 provider 原样保留；

package/lib/index.js

@@ -36,7 +36,7 @@ import { bootstrapInstanceCredentials, INSTANCE_SOURCE, isInstanceManaged, resol
 import { beginCliAuth, cliAuthQrcode, completeCliAuth, parseCliAuthBeginOutput } from './cliauth.mjs';
 import { platformFetch } from './http.js';
 import { donePageHtml, statusPageHtml } from './page.js';
-import { compareSemver, dshPluginCli, firstErrorLines, hasChineseText, installCliTool, isTerminalCliAuthFailure, isUnexpectedStoreError, probeCliDetail, probePythonEnv, pnpmViewLatest, runCliTool, unexpectedStoreGuidance, upgradeCliTool } from './proc.js';
+import { compareSemver, dshPluginCli, firstErrorLines, hasChineseText, installCliTool, isTerminalCliAuthFailure, isUnexpectedStoreError, larkCliInitActiveUrl, larkCliInitStatus, probeCliDetail, probePythonEnv, pnpmViewLatest, runCliTool, startLarkCliInit, stopLarkCliInit, unexpectedStoreGuidance, upgradeCliTool } from './proc.js';
 
 import { clearCredentials, loadCredentials, resolveDshHome, saveCredentials, updateCredentials } from './store.js';
 
@@ -1329,6 +1329,17 @@ export function apply(ctx, config) {
     // 与 pendingStates 同生命周期语义——插件重启后用户重新发起即可。
     const pendingCliAuth = new Map();
 
+    // 探测结果 state=missing 时的中文指引（授权与初始化两条链共用）。
+    const cliMissingMessage = (detail) => {
+      if (detail?.reason === 'broken_install') {
+        return 'CLI 安装不完整，请先点击「修复安装」后再授权';
+      }
+      if (detail?.reason === 'unavailable') {
+        return 'CLI 暂时无法访问（可能被安全软件占用或响应超时），请稍后重试；若持续失败请重新安装';
+      }
+      return 'CLI 未安装，请先安装或联系管理员';
+    };
+
     register('/agentone/api/cli/auth/begin', async (request, response) => {
       if (request.method !== 'POST') {
         response.writeHead(405, { allow: 'POST' });
@@ -1346,12 +1357,16 @@ export function apply(ctx, config) {
         const detail = await probeCliDetail(tool, { withLatest: false })
           .then(withCliUpgradeGuard).catch(() => null);
         if (detail?.state === 'missing') {
+          sendJson(response, 400, { error: cliMissingMessage(detail) });
+          return;
+        }
+        // lark-cli 首装未 config init 时 auth login 直接报 not_configured——
+        // 前置拦截给明确指引，而不是让 begin 抛技术错误
+        if (detail?.unconfigured) {
           sendJson(response, 400, {
-            error: detail.reason === 'broken_install'
-              ? 'CLI 安装不完整，请先点击「修复安装」后再授权'
-              : detail.reason === 'unavailable'
-                ? 'CLI 暂时无法访问（可能被安全软件占用或响应超时），请稍后重试；若持续失败请重新安装'
-                : 'CLI 未安装，请先安装或联系管理员',
+            error: isInstanceManaged()
+              ? 'lark-cli 应用配置由平台统一下发，当前实例缺少配置，请重启实例或联系管理员'
+              : 'lark-cli 尚未完成应用初始化，请先点击「初始化应用」完成飞书应用创建',
           });
           return;
         }
@@ -1451,7 +1466,7 @@ export function apply(ctx, config) {
       // CLI（lark-cli / ccpg-cli）的进行中授权会话均可——二维码由内置
       // 编码器生成（lib/qrcode.mjs），不依赖 lark-cli 本机存在。
       const queryUrl = new URL(request.url, 'http://localhost').searchParams.get('url') || '';
-      if (!queryUrl || pendingCliAuth.size === 0) {
+      if (!queryUrl || (pendingCliAuth.size === 0 && !larkCliInitActiveUrl())) {
         sendJson(response, 400, { error: '没有进行中的授权会话' });
         return;
       }
@@ -1465,6 +1480,100 @@ export function apply(ctx, config) {
       }
     });
 
+    // lark-cli 首次应用初始化（config init --new 长驻子进程）。仅独立版桌面
+    // 提供：托管容器内 HERMES_HOME 上下文会让 config init 拒绝执行，且应用
+    // 配置由 Hub 经 cli-deployd 统一下发（instance_service 的 CLI configure
+    // 链路），员工不应在容器里自建飞书应用。
+    register('/agentone/api/cli/auth/init', async (request, response) => {
+      if (request.method !== 'POST') {
+        response.writeHead(405, { allow: 'POST' });
+        response.end();
+        return;
+      }
+      try {
+        const body = await readJsonBody(request);
+        const tool = String(body.tool || '');
+        if (tool !== 'lark-cli') {
+          sendJson(response, 400, { error: '仅 lark-cli 支持应用初始化' });
+          return;
+        }
+        if (isInstanceManaged()) {
+          sendJson(response, 400, {
+            error: '平台托管实例的 lark-cli 应用配置由平台统一下发，如缺失请重启实例或联系管理员',
+          });
+          return;
+        }
+        const detail = await probeCliDetail(tool, { withLatest: false })
+          .then(withCliUpgradeGuard).catch(() => null);
+        if (detail?.state === 'missing') {
+          sendJson(response, 400, { error: cliMissingMessage(detail) });
+          return;
+        }
+        if (detail?.state === 'authorized') {
+          sendJson(response, 400, { error: 'lark-cli 已授权，无需初始化' });
+          return;
+        }
+        if (detail && !detail.unconfigured) {
+          sendJson(response, 400, { error: 'lark-cli 已有应用配置，请直接点击「去授权」' });
+          return;
+        }
+        const parsed = await startLarkCliInit();
+        sendJson(response, 200, {
+          ok: true,
+          tool,
+          verification_url: parsed.url,
+          user_code: parsed.userCode,
+          reused: parsed.reused === true,
+        });
+      } catch (error) {
+        const message = String(error?.message || '');
+        sendJson(response, 502, {
+          error: hasChineseText(message) ? message : '发起初始化失败，请稍后重试',
+        });
+      }
+    });
+
+    register('/agentone/api/cli/auth/init/status', async (request, response) => {
+      if (request.method !== 'POST') {
+        response.writeHead(405, { allow: 'POST' });
+        response.end();
+        return;
+      }
+      try {
+        const body = await readJsonBody(request);
+        const tool = String(body.tool || '');
+        if (tool !== 'lark-cli') {
+          sendJson(response, 400, { error: '仅 lark-cli 支持应用初始化' });
+          return;
+        }
+        const init = larkCliInitStatus();
+        // 子进程退出（成功）后 config.json 已落盘，此时才附带一次三态探测，
+        // 前端据此决定「已授权直接完成」还是「衔接设备流授权」；running
+        // 期间不探测（每 3s 轮询各起一个子进程没有意义）。
+        const detail = init.status === 'succeeded'
+          ? await probeCliDetail(tool, { withLatest: false })
+            .then(withCliUpgradeGuard).catch(() => null)
+          : null;
+        sendJson(response, 200, { ok: true, init, tool: detail });
+      } catch (error) {
+        sendJson(response, 502, { error: error?.message || '查询初始化状态失败' });
+      }
+    });
+
+    register('/agentone/api/cli/auth/init/cancel', async (request, response) => {
+      if (request.method !== 'POST') {
+        response.writeHead(405, { allow: 'POST' });
+        response.end();
+        return;
+      }
+      try {
+        const stopped = await stopLarkCliInit();
+        sendJson(response, 200, { ok: true, stopped });
+      } catch (error) {
+        sendJson(response, 502, { error: error?.message || '取消初始化失败' });
+      }
+    });
+
     register('/agentone/api/plan', async (request, response) => {
       if (request.method !== 'GET') {
         response.writeHead(405, { allow: 'GET' });

package/lib/instance.js

@@ -120,4 +120,4 @@ export function resolvePlatformUrl(config, credentials, env = process.env) {
     || credentials?.platform_url
     || config.platformUrl
   ).replace(/\/+$/, '');
-}
+}

package/lib/model.js

@@ -145,6 +145,90 @@ export function buildLogoutSettingsYaml(existingText) {
   return stringify(settings);
 }
 
+// 模型选择器展示顺序：同一系列（模型 id 首段，如 deepseek / glm / kimi）聚簇，
+// 系列内版本降序，容量降配档（kimi-k3-256k）排在本版本标准档之后。
+//
+// 为什么插件也要排一遍：平台 /api/plugin/v1/models 的 data 顺序在旧版平台上
+// 直接沿用 AirRouter /models 的返回顺序（上游一变用户看到的列表就跟着变），
+// 平台侧的排序修复要等部署才生效。插件把平台返回的列表按同一套规则重排后
+// 再写进 dsh，旧平台也能拿到稳定顺序。规则与
+// app/services/dsh_model_capabilities.py 的 sort_models_by_version 完全一致
+// （系列聚簇 + 数字段补零取负降序 + 字母段字母序 + 容量段垫底），
+// 平台已经排好时这里是幂等的，不会出现两边顺序漂移。
+//
+// 只改展示顺序：defaultModel 仍取平台下发的 default_model，排序不参与决策
+//（平台未下发时回退列表首项，此时取排序后的首项，比上游原序更确定）。
+const VERSION_SLOTS = 6;
+const VERSION_NUMBERS = /\d+/g;
+// 容量限定段（256k / 1m）：同版本的降配档，不是更新的版本号。
+// 必须连着字母一起匹配：VERSION_NUMBERS 切出来的只有数字部分。
+const CAPACITY_QUALIFIER = /\d+(?:k|m|b)\b/g;
+
+/** 模型 id → 系列键（id 首段小写；没有连字符的裸 id 整体作为分组键）。 */
+function modelFamily(id) {
+  const lowered = String(id ?? '').trim().toLowerCase();
+  const at = lowered.indexOf('-');
+  return at > 0 ? lowered.slice(0, at) : lowered;
+}
+
+/** 系列内的版本比较键：数字段取负（升序即版本降序）、字母段、容量降配标记。 */
+function versionKey(id) {
+  const lowered = String(id ?? '').trim().toLowerCase();
+  const capacityHits = lowered.match(CAPACITY_QUALIFIER) ?? [];
+  const numbers = (lowered.replace(CAPACITY_QUALIFIER, ' ').match(VERSION_NUMBERS) ?? [])
+    .slice(0, VERSION_SLOTS)
+    .map((part) => -Number(part));
+  while (numbers.length < VERSION_SLOTS) numbers.push(0);
+  return {
+    numbers,
+    words: lowered.split('-').filter((part) => part && !/^\d+$/.test(part)),
+    downgraded: capacityHits.length > 0,
+  };
+}
+
+/** Python 字符串/元组比较口径（逐码点），与平台 sorted() 的结果对齐。 */
+function compareStrings(left, right) {
+  if (left === right) return 0;
+  return left < right ? -1 : 1;
+}
+
+function compareVersionKeys(left, right) {
+  for (let index = 0; index < VERSION_SLOTS; index += 1) {
+    if (left.numbers[index] !== right.numbers[index]) return left.numbers[index] - right.numbers[index];
+  }
+  const shared = Math.min(left.words.length, right.words.length);
+  for (let index = 0; index < shared; index += 1) {
+    const compared = compareStrings(left.words[index], right.words[index]);
+    if (compared !== 0) return compared;
+  }
+  if (left.words.length !== right.words.length) return left.words.length - right.words.length;
+  if (left.downgraded !== right.downgraded) return left.downgraded ? 1 : -1;
+  return 0;
+}
+
+/**
+ * 按系列聚簇、系列内版本降序排模型条目（只改展示顺序，不改集合成员）。
+ *
+ * 入参可以是平台条目对象（取 .id）或字符串 id；排序是确定性的，同样的输入
+ * 必得同样的输出，完全不依赖平台 / AirRouter 的返回顺序。
+ */
+export function sortPlatformModels(models) {
+  const entries = (Array.isArray(models) ? models : []).map((item, index) => ({
+    item,
+    index,
+    id: typeof item === 'string' ? item : String(item?.id ?? ''),
+  }));
+  entries.sort(
+    (left, right) =>
+      compareStrings(modelFamily(left.id), modelFamily(right.id))
+      // 原始下标兜底：与 Python sorted 的稳定性同口径，完全相同键保持原序
+      || compareVersionKeys(versionKey(left.id), versionKey(right.id))
+      || compareStrings(left.id.trim().toLowerCase(), right.id.trim().toLowerCase())
+      || left.index - right.index,
+  );
+  return entries.map((entry) => entry.item);
+}
+
 export async function fetchPlatformModels(platformUrl, accessToken) {
   const response = await platformFetch(`${platformUrl.replace(/\/+$/, '')}/api/plugin/v1/models`, {
     headers: { Authorization: `Bearer ${accessToken}` },
@@ -155,17 +239,19 @@ export async function fetchPlatformModels(platformUrl, accessToken) {
     throw await platformError(response, '获取平台模型列表失败');
   }
   const data = await response.json().catch(() => ({}));
-  const models = Array.isArray(data.data)
-    ? data.data
-        .map((item) =>
-          typeof item === 'string'
-            ? item
-            : item?.id
-              ? { id: item.id, input: item.input, reasoning: item.reasoning, contextWindow: item.contextWindow }
-              : null,
-        )
-        .filter(Boolean)
-    : [];
+  const models = sortPlatformModels(
+    Array.isArray(data.data)
+      ? data.data
+          .map((item) =>
+            typeof item === 'string'
+              ? item
+              : item?.id
+                ? { id: item.id, input: item.input, reasoning: item.reasoning, contextWindow: item.contextWindow }
+                : null,
+          )
+          .filter(Boolean)
+      : [],
+  );
   if (models.length === 0) throw new Error('平台返回的可用模型列表为空');
   const direct =
     data.direct && typeof data.direct.base_url === 'string' && typeof data.direct.api_key === 'string'

package/lib/page.js

@@ -536,23 +536,37 @@ const renderCliData = (s, tools, python) => {
   const rows = Object.entries(CLI_TOOL_META).map(([name, meta]) => {
     const info = allTools[name] || { state: 'missing' };
     const state = info.state || 'missing';
+    // lark-cli 首装未 config init：unauthorized + unconfigured 标志——独立版
+    // 给「初始化应用」按钮；托管实例配置由平台下发，只提示不给自助入口
+    //（容器内 HERMES_HOME 上下文下 config init 会拒绝执行）。
+    const unconfigured = state === 'unauthorized' && info.unconfigured;
     const status = state === 'authorized'
       ? '<span class="pill ok" style="font-size:11px">已授权</span>'
-      : state === 'unauthorized'
-        ? '<span class="pill warn" style="font-size:11px">未授权</span>'
-        : info.reason === 'broken_install'
-          ? '<span class="pill warn" style="font-size:11px">安装损坏</span>'
-          : '<span class="pill warn" style="font-size:11px">未安装</span>';
+      : unconfigured
+        ? '<span class="pill warn" style="font-size:11px">未配置</span>'
+        : state === 'unauthorized'
+          ? '<span class="pill warn" style="font-size:11px">未授权</span>'
+          : info.reason === 'broken_install'
+            ? '<span class="pill warn" style="font-size:11px">安装损坏</span>'
+            : '<span class="pill warn" style="font-size:11px">未安装</span>';
     const versionLine = meta.desc + ' · ' + meta.label
       + (info.reason === 'broken_install' ? ' · 检测到文件不完整，请修复安装' : '')
+      + (unconfigured
+        ? (s.managed ? ' · 应用配置由平台统一下发，当前缺失请联系管理员' : ' · 首次使用需先创建飞书应用')
+        : '')
       + (info.version ? ' · v' + esc(info.version) : '')
       + (info.latest && info.latest !== info.version
         ? ' → <b>v' + esc(info.latest) + '</b>'
         : '');
     const upgradable = info.latest && info.latest !== info.version;
-    // 已装未授权 → 「去授权」；残缺安装 → 「修复安装」
+    // 已装未配置 → 「初始化应用」；已装未授权 → 「去授权」；残缺安装 → 「修复安装」
     const actions = [
-      state === 'unauthorized'
+      unconfigured
+        ? (s.managed
+          ? ''
+          : '<button class="btn small primary" data-cli-init="' + esc(name) + '">初始化应用</button>')
+        : '',
+      state === 'unauthorized' && !unconfigured
         ? '<button class="btn small primary" data-cli-auth="' + esc(name) + '">去授权</button>'
         : '',
       state === 'missing'
@@ -590,7 +604,7 @@ const renderCliData = (s, tools, python) => {
     : '';
   body.innerHTML = rows.join('') + pythonRow
     + '<div class="hint">在对话中直接使用（如 /lark 帮助），由 dsh 自动调用。</div>'
-    + '<div class="hint">未安装时点「安装」自助安装（Python 同样支持）；已安装未授权时点「去授权」用飞书扫码完成即可。</div>';
+    + '<div class="hint">未安装时点「安装」自助安装（Python 同样支持）；lark-cli 首次使用需先「初始化应用」创建飞书应用，再扫码完成授权。</div>';
   body.querySelectorAll('[data-cli-upgrade]').forEach((btn) => {
     btn.onclick = () => cliUpgrade(btn.dataset.cliUpgrade, btn);
   });
@@ -600,6 +614,9 @@ const renderCliData = (s, tools, python) => {
   body.querySelectorAll('[data-cli-auth]').forEach((btn) => {
     btn.onclick = () => cliAuthDialog(btn.dataset.cliAuth);
   });
+  body.querySelectorAll('[data-cli-init]').forEach((btn) => {
+    btn.onclick = () => cliInitDialog(btn.dataset.cliInit);
+  });
 };
 
 /**
@@ -713,6 +730,134 @@ const cliAuthDialog = async (tool) => {
   }
 };
 
+// PAGE_JS 是模板字面量：内部注释与代码一律不用反引号（会提前终止模板）。
+/**
+ * lark-cli 应用初始化弹窗：后端以长驻子进程驱动官方 config init --new
+ *（阻塞式、无 --no-wait），前端轮询 init/status 直到子进程退出（用户在
+ * 浏览器/扫码完成应用创建）。成功后按三态衔接：已授权直接完成；未授权
+ * 自动打开「去授权」设备流弹窗。关闭弹窗会取消并终止后端初始化进程。
+ */
+const cliInitDialog = async (tool) => {
+  const overlay = document.createElement('div');
+  overlay.className = 'modal-backdrop';
+  overlay.innerHTML = '<div class="card" style="max-width:420px;margin:8% auto;text-align:left">'
+    + '<h3 style="margin:0 0 6px">初始化 ' + esc(tool) + '</h3>'
+    + '<div id="cli-init-status" class="skill-sub">正在发起应用初始化…</div>'
+    + '<img id="cli-init-qr" alt="配置二维码" style="display:none;width:100%;max-width:300px;'
+    + 'background:#fff;border-radius:10px;margin:10px 0">'
+    + '<div id="cli-init-link"></div>'
+    + '<div class="row" style="margin-top:12px;justify-content:flex-end">'
+    + '<button id="cli-init-open" class="btn small primary" hidden>打开配置页</button>'
+    + '<button id="cli-init-copy" class="btn small ghost" hidden>复制验证码</button>'
+    + '<button id="cli-init-close" class="btn small ghost">关闭</button></div></div>';
+  document.body.appendChild(overlay);
+  let pollTimer = null;
+  let closed = false;
+  const statusEl = overlay.querySelector('#cli-init-status');
+  const stopPolling = () => {
+    closed = true;
+    if (pollTimer) clearTimeout(pollTimer);
+  };
+  // 关闭即取消：终止后端初始化子进程（已终态时后端为 no-op，可安全直调）
+  const close = () => {
+    stopPolling();
+    fetch('api/cli/auth/init/cancel', {
+      method: 'POST',
+      headers: { 'Content-Type': 'application/json' },
+      body: JSON.stringify({ tool }),
+    }).catch(() => {});
+    overlay.remove();
+  };
+  overlay.querySelector('#cli-init-close').onclick = close;
+  overlay.addEventListener('click', (event) => { if (event.target === overlay) close(); });
+  try {
+    const resp = await fetch('api/cli/auth/init', {
+      method: 'POST',
+      headers: { 'Content-Type': 'application/json' },
+      body: JSON.stringify({ tool }),
+    });
+    const data = await resp.json().catch(() => ({}));
+    if (!resp.ok) throw new Error(data.error || '发起初始化失败');
+    statusEl.textContent = '用手机飞书 App 扫二维码，或打开链接完成应用创建。完成后此处会自动继续。';
+    fetch('api/cli/auth/qrcode?url=' + encodeURIComponent(data.verification_url))
+      .then((r) => (r.ok ? r.text() : ''))
+      .then((svg) => {
+        const qr = overlay.querySelector('#cli-init-qr');
+        if (svg && svg.startsWith('<svg')) {
+          qr.src = 'data:image/svg+xml;utf8,' + encodeURIComponent(svg);
+          qr.style.display = 'block';
+        }
+      })
+      .catch(() => {});
+    const openBtn = overlay.querySelector('#cli-init-open');
+    openBtn.hidden = false;
+    openBtn.onclick = () => window.open(data.verification_url, '_blank');
+    const copyBtn = overlay.querySelector('#cli-init-copy');
+    if (data.user_code) {
+      copyBtn.hidden = false;
+      copyBtn.onclick = async () => {
+        try {
+          await navigator.clipboard.writeText(data.user_code);
+          copyBtn.textContent = '已复制';
+        } catch {
+          copyBtn.textContent = data.user_code;
+        }
+      };
+      overlay.querySelector('#cli-init-link').innerHTML
+        = '<div class="skill-sub">验证码：<b>' + esc(data.user_code) + '</b></div>';
+    }
+    // 自调度串行轮询（与授权弹窗同口径）：running 继续等；succeeded 按三态
+    // 衔接；failed/cancelled 展示输出尾部诊断。
+    const poll = async () => {
+      if (closed) return;
+      try {
+        const r = await fetch('api/cli/auth/init/status', {
+          method: 'POST',
+          headers: { 'Content-Type': 'application/json' },
+          body: JSON.stringify({ tool }),
+        });
+        const d = await r.json().catch(() => ({}));
+        const init = d.init || {};
+        if (init.status === 'running') {
+          statusEl.textContent = '正在等待你在配置页完成应用创建…';
+          pollTimer = setTimeout(poll, 3000);
+          return;
+        }
+        if (init.status === 'succeeded') {
+          stopPolling();
+          if (d.tool && d.tool.state === 'authorized') {
+            statusEl.textContent = '✓ 初始化并授权完成';
+            renderCliData(lastStatus, { [tool]: d.tool });
+            setTimeout(() => overlay.remove(), 800);
+            return;
+          }
+          // config init 只建应用，用户 token 未必随带：自动衔接设备流授权
+          statusEl.textContent = '✓ 应用创建完成，正在发起授权…';
+          overlay.remove();
+          cliAuthDialog(tool);
+          return;
+        }
+        stopPolling();
+        if (init.status === 'cancelled') {
+          statusEl.textContent = '已取消初始化。';
+          return;
+        }
+        // PAGE_JS 是模板字面量：换行符须写 \\n，写 \n 会被模板吃掉变成真实
+        // 换行、产出未闭合的字符串字面量炸掉整页脚本
+        const tail = String(init.output || '').split('\\n').filter(Boolean).slice(-3).join(' ');
+        statusEl.textContent = tail
+          ? '初始化失败：' + tail
+          : '初始化失败，请重试；持续失败请升级 lark-cli 后再试。';
+      } catch {
+        if (!closed) pollTimer = setTimeout(poll, 3000);
+      }
+    };
+    pollTimer = setTimeout(poll, 3000);
+  } catch (error) {
+    statusEl.textContent = error.message || '发起初始化失败';
+  }
+};
+
 /** CLI 一键安装：lark 走 npm 全局安装（机器无 Node.js 时先自动补装）、
  * ccpg/python 走官方安装器，耗时可达数分钟。响应自带安装后立即探测的
  * 详情，直接合进缓存刷新界面。 */

package/lib/proc.js

@@ -5,7 +5,7 @@
 // （execFile 参数数组，不经 shell 拼接；win32 的 .cmd/.bat shim 是唯一
 // 例外——按 CVE-2024-27980 后的 Node 约定经 cmd.exe /d /s /c 执行，
 // 参数仍是数组形态）与错误翻译；包名/版本白名单在 index.js 的调用侧执行。
-import { execFile } from 'node:child_process';
+import { execFile, spawn } from 'node:child_process';
 import { existsSync, mkdirSync, readdirSync, renameSync, rmSync } from 'node:fs';
 import { homedir, tmpdir } from 'node:os';
 import { join, dirname, isAbsolute, delimiter as pathDelimiter } from 'node:path';
@@ -296,13 +296,21 @@ export function decodeOutput(buf) {
  * cmd.exe /d /s /c 路由，cmd.exe 在第三个兑底目录（System32）。只前置
  * 解析到的那个目录会让 shim 内部找不到依赖，必须整组前置。输出按
  * encoding:buffer 收回后 decodeOutput（GBK 容错）。opts.env 只传增量变量。 */
-function execResolvedPath(resolved, args, { timeoutMs, cwd, env } = {}) {
-  const childEnv = { ...process.env, ...desktopShimEnvDefaults(), ...(env || {}) };
+/** 子进程 env 组装：进程 env + 桌面 shim 变量 + 调用方增量，PATH 前置
+ * 全部兑底目录。execResolvedPath 与 config init 长驻子进程共用，保证两
+ * 条路径的子进程看到同一个世界。 */
+function composeChildEnv(extraEnv) {
+  const childEnv = { ...process.env, ...desktopShimEnvDefaults(), ...(extraEnv || {}) };
   const key = pathEnvKey(childEnv, process.platform);
   const extras = extraBinDirs().filter((dir) => existsSync(dir));
   if (extras.length) {
     childEnv[key] = childPathWithExtras(childEnv[key], extras, desktopShimDirs());
   }
+  return childEnv;
+}
+
+function execResolvedPath(resolved, args, { timeoutMs, cwd, env } = {}) {
+  const childEnv = composeChildEnv(env);
   const shim = cmdShimInvocation(process.platform, resolved, args);
   return execFileAsync(shim ? shim.file : resolved, shim ? shim.args : args, {
     timeout: timeoutMs,
@@ -595,6 +603,202 @@ export function isTerminalCliAuthFailure(error) {
   return /expired|invalid|denied|拒绝|失效|过期/i.test(String(error?.message || ''));
 }
 
+// ── lark-cli 首次应用初始化（config init --new）───────────────────────
+//
+// lark-cli ≥1.0.9x 首次使用必须先 `config init` 创建应用（写
+// ~/.lark-cli/config.json），auth login 设备流才可用；未配置时 auth
+// status / auth login 均以退出码 3 返回 not_configured。config init 是
+// **阻塞式**命令：打印验证 URL 后原地轮询 /oauth/v1/app/registration
+// 直到浏览器完成，没有 --no-wait/--json（实测 1.0.96 参数面）——因此
+// 不能走 runCliTool（execFile 等退出才拿得到输出），必须长驻子进程 +
+// 流式捕获 stdout 解析 URL，终态由状态轮询接口读取。
+//
+// 两处硬约束：
+// - lark-cli 检测到 HERMES_HOME/OPENCLAW_HOME 即认为 Agent 上下文，
+//   config init 直接拒绝执行——初始化子进程必须剥离这两个变量。
+//   注意 auth login / auth status **不剥**：托管容器里它们正是 lark-cli
+//   读取作用域配置（/opt/data/.lark-cli/hermes）的依据。
+// - win32 下命令是 .cmd shim（cmd.exe → node → lark-cli.exe），只杀
+//   cmd.exe 会漏掉 lark-cli.exe 继续在后台轮询（实测复现），必须
+//   taskkill /T /F 杀整棵进程树。
+
+/** 判定输出是否为「应用未配置」（auth status/login 的 not_configured）。 */
+export function larkNotConfigured(raw) {
+  const data = parseJsonObject(String(raw || '').trim());
+  const error = data && typeof data.error === 'object' ? data.error : null;
+  return Boolean(error && String(error.subtype || '') === 'not_configured');
+}
+
+/** 从 config init --new 的流式输出解析验证链接与 user_code（纯函数）。
+ * 输出里的 ASCII 二维码块不含 http，首个 URL 即官方打印的配置链接。 */
+export function parseLarkCliInitOutput(text) {
+  const match = /https?:\/\/[^\s'"<>]+/.exec(String(text || ''));
+  if (!match) return null;
+  const url = match[0];
+  let userCode = '';
+  try {
+    userCode = new URL(url).searchParams.get('user_code') || '';
+  } catch {
+    userCode = '';
+  }
+  return { url, userCode };
+}
+
+/** 剥离 Agent 上下文变量（纯函数，不改动入参）：config init 在
+ * HERMES_HOME/OPENCLAW_HOME 下会拒绝执行。 */
+export function stripAgentHomeEnv(env) {
+  const next = { ...(env || {}) };
+  delete next.HERMES_HOME;
+  delete next.OPENCLAW_HOME;
+  return next;
+}
+
+const LARK_INIT_WATCHDOG_MS = 20 * 60_000;
+const LARK_INIT_URL_TIMEOUT_MS = 30_000;
+
+/** 当前（或上一次）初始化会话；终态结果保留到下一次 start，供状态轮询。 */
+let larkInitSession = null;
+
+/** 进行中初始化会话的 URL（二维码接口的门禁用；无进行中会话返回 null）。 */
+export function larkCliInitActiveUrl() {
+  return larkInitSession && larkInitSession.status === 'running' ? larkInitSession.url : null;
+}
+
+/** 初始化会话快照（无会话时 status: 'idle'）。output 为输出尾部（诊断用）。 */
+export function larkCliInitStatus() {
+  if (!larkInitSession) return { status: 'idle' };
+  const { url, userCode, startedAt, status, exitCode } = larkInitSession;
+  return {
+    status,
+    url,
+    userCode,
+    startedAt,
+    exitCode,
+    output: (larkInitSession.tail || []).slice(-8).join('\n'),
+  };
+}
+
+/** 杀整棵进程树（win32 的 .cmd shim 形态：cmd.exe → node → lark-cli.exe）。 */
+function killProcessTree(child) {
+  if (!child || child.exitCode !== null || child.killed || !child.pid) return;
+  if (process.platform === 'win32') {
+    const taskkill = resolveCommandOrNull('taskkill') || 'taskkill';
+    execFileAsync(taskkill, ['/PID', String(child.pid), '/T', '/F']).catch(() => {
+      child.kill('SIGKILL');
+    });
+  } else {
+    child.kill('SIGKILL');
+  }
+}
+
+/**
+ * 启动（或复用进行中的）lark-cli 应用初始化：spawn `config init --new`，
+ * 流式捕获输出、解析出验证 URL 即返回；子进程继续在后台等待浏览器完成，
+ * 终态（succeeded/failed/cancelled）由 larkCliInitStatus 轮询。URL 未在
+ * urlTimeoutMs 内出现视为启动失败（老版本无该子命令/输出形态变化）。
+ */
+export async function startLarkCliInit({ urlTimeoutMs = LARK_INIT_URL_TIMEOUT_MS } = {}) {
+  if (larkInitSession && larkInitSession.status === 'running') {
+    const existing = await Promise.race([
+      larkInitSession.ready,
+      new Promise((_, reject) => setTimeout(
+        () => reject(cliFailure('timeout', '初始化正在启动中，请稍后重试')),
+        urlTimeoutMs,
+      )),
+    ]);
+    return { url: existing.url, userCode: existing.userCode, reused: true };
+  }
+
+  const resolved = resolveCommandOrNull('lark-cli');
+  if (!resolved) {
+    throw cliFailure('missing_command', missingCommandGuidance('lark-cli'));
+  }
+  const args = ['config', 'init', '--new'];
+  const shim = cmdShimInvocation(process.platform, resolved, args);
+  const session = {
+    child: null,
+    url: null,
+    userCode: '',
+    startedAt: Date.now(),
+    status: 'running',
+    exitCode: null,
+    tail: [],
+    chunks: [],
+    ready: null,
+    watchdog: null,
+  };
+  let resolveReady;
+  session.ready = new Promise((resolve) => {
+    resolveReady = resolve;
+  });
+
+  const onChunk = (buf) => {
+    session.chunks.push(buf);
+    const text = decodeOutput(Buffer.concat(session.chunks));
+    session.tail = text.split('\n').map((line) => line.trim()).filter(Boolean);
+    if (!session.url) {
+      const parsed = parseLarkCliInitOutput(text);
+      if (parsed) {
+        session.url = parsed.url;
+        session.userCode = parsed.userCode;
+        resolveReady(parsed);
+      }
+    }
+  };
+
+  session.child = spawn(shim ? shim.file : resolved, shim ? shim.args : args, {
+    env: stripAgentHomeEnv(composeChildEnv()),
+    windowsVerbatimArguments: shim?.verbatim === true,
+    windowsHide: true,
+    stdio: ['ignore', 'pipe', 'pipe'],
+  });
+  session.child.stdout.on('data', onChunk);
+  session.child.stderr.on('data', onChunk);
+  session.child.on('error', (error) => {
+    session.tail.push(String(error?.message || error));
+    if (!session.url) resolveReady({ url: null, userCode: '' });
+    session.status = 'failed';
+  });
+  session.child.on('exit', (code) => {
+    clearTimeout(session.watchdog);
+    session.exitCode = code;
+    if (!session.url) resolveReady({ url: null, userCode: '' });
+    if (session.status !== 'cancelled') {
+      session.status = code === 0 ? 'succeeded' : 'failed';
+    }
+  });
+  session.watchdog = setTimeout(() => {
+    session.tail.push('[plugin] 初始化超时（20 分钟），已终止，请重试');
+    killProcessTree(session.child);
+    if (session.status === 'running') session.status = 'cancelled';
+  }, LARK_INIT_WATCHDOG_MS);
+
+  larkInitSession = session;
+  const parsed = await Promise.race([
+    session.ready,
+    new Promise((_, reject) => setTimeout(
+      () => reject(cliFailure('timeout', '初始化启动超时：未能从 lark-cli 输出中解析到配置链接，请重试；持续失败请升级 lark-cli 后再试')),
+      urlTimeoutMs,
+    )),
+  ]);
+  if (!parsed?.url) {
+    throw cliFailure(
+      'init_failed',
+      `初始化进程异常退出：${session.tail.slice(-3).join('；')}`.slice(0, 300),
+    );
+  }
+  return { url: parsed.url, userCode: parsed.userCode, reused: false };
+}
+
+/** 取消进行中的初始化（杀进程树）；无可取消会话返回 false。 */
+export async function stopLarkCliInit() {
+  if (!larkInitSession || larkInitSession.status !== 'running') return false;
+  larkInitSession.status = 'cancelled';
+  clearTimeout(larkInitSession.watchdog);
+  killProcessTree(larkInitSession.child);
+  return true;
+}
+
 /** 从 pnpm -g 前置校验报错里解析全局 bin 目录。pnpm 12 起输出会把
  * "is not in PATH" 折行并加竖线装饰（单行正则取不到），且 runCliTool
  * 的摘要只保留 ERR_ 行（路径被丢弃）——必须对 error.raw 完整输出跑。 */
@@ -659,10 +863,14 @@ export async function probeCliDetail(tool, { timeoutMs = 15000, withLatest = tru
   const state = larkStyleAuthorized(stdout) || ccpgStyleAuthorized(stdout)
     ? 'authorized'
     : 'unauthorized';
+  // lark-cli 首装机器上 auth status 退出码 3 + not_configured：仍归
+  // unauthorized（已装未授权大类不变），额外带 unconfigured 标志让前端
+  // 把「去授权」换成「初始化应用」。ccpg-cli 无此形态，恒为 false。
+  const unconfigured = tool === 'lark-cli' && state === 'unauthorized' && larkNotConfigured(stdout);
   const latest = withLatest
     ? await cliLatestVersion(tool, timeoutMs).catch(() => null)
     : null;
-  return { state, version: selected.version, latest };
+  return { state, unconfigured, version: selected.version, latest };
 }
 
 /** npm registry 的包 latest 版本（curl 直查 JSON，与机器上有无 node/

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "dsh-agentone",
-  "version": "0.5.35",
-  "description": "AgentOne 平台集成：平台模型、SkillHub 技能、套餐与 CLI；平台托管实例免登录自动授权",
+  "version": "0.5.37",
+  "description": "AgentOne 平台集成：平台模型、SkillHub 技能、套餐与 CLI；lark-cli 首装一键初始化飞书应用；平台托管实例免登录自动授权",
   "type": "module",
   "scripts": {
     "smoke": "node scripts/env-matrix-smoke.mjs"