dsh-crwu-workbench 0.0.10

package/common/skills/crwu-h3yun-login/SKILL.md

@@ -0,0 +1,130 @@
+---
+name: crwu-h3yun-login
+description: >-
+  当用户/员工需要【登录/绑定/重新登录/续期/换账号】H3Yun（氚云）会话，或任何
+  h3yun 查询提示"没有会话/会话过期/请先登录/无法读取数据"时，自动使用本技能。
+  它自动打开本机浏览器，由员工用钉钉扫码完成登录，会话直接写入本机凭据存储；
+  令牌全程不显示、不进对话、不发送给任何 AI 宿主。非登录诉求（查数据）不要使用，
+  改走 crwu-h3yun-query。
+---
+
+# H3Yun 员工自助登录（crwu-h3yun-login）
+
+## 自动触发规则
+
+- **触发**：用户说"帮我登录/绑定/扫码/登录不上/会话过期/需要重新登录氚云"，
+  或任何氚云查询返回"无会话/会话过期/请先登录"类错误。
+- **不触发**：用户只是要查应用/表单/记录/附件（走 `crwu-h3yun-query`），或明确表示不愿扫码。
+- **命中后的第一步**：见下方「DSH 环境」或「非 DSH 宿主兼容层」——按当前宿主选入口，
+  把引导原文展示给用户，让其用手机钉钉扫码；成功后确认会话可用，再转交
+  `crwu-h3yun-query` 继续查询。
+
+
+## DSH 环境（DeepSeek Harness）：**只用结构化 Tool**
+
+在 DSH 里，氚云取数一律通过工作台插件注册的 CRWU 结构化 Tool 完成 ——
+**不要**在 shell 里拼 `crwu` 命令行，**不要**用 `which` / `command -v` / `find`
+去查找或"修好"这个命令，也不要猜它的路径。
+
+| 需求 | DSH 入口 |
+| --- | --- |
+| 记录（全字段一次取回） | `crwu_h3yun_record_get` |
+| 记录附件元数据 | `crwu_h3yun_files_list` |
+| 单个附件定向下载 | `crwu_h3yun_file_get` |
+| 能力/平台自检 | `crwu_audit_capabilities` |
+
+- **登录/会话续期**：DSH 的工作台面板里有「登录认证」（氚云 / 钉钉）入口，由插件按 DSH
+  的审批契约发起；员工只需在弹窗里授权一次。
+- **Tool 不可见或返回 capability gap**：如实报告「capability gap：缺少 <工具名>」并停止，
+  **不要**降级成 shell 查找或手工命令行。
+- 下面「非 DSH 宿主兼容层」里的命令只用于非 DSH 宿主与人工排障，**不参与 DSH 自动审核链路**。
+
+<!-- crwu-cli-guard:legacy-compat-start -->
+## 非 DSH 宿主兼容层（legacy CLI）
+
+以下内容仅在**非 DSH 宿主**（或人工在终端排障）时使用；DSH 环境请只用上面的结构化 Tool。
+
+用 `crwu` 帮当前用户（员工本人、非程序员）完成 H3Yun 网页会话的**本机绑定**，
+让后续 `crwu-h3yun-query` 等只读查询能以其权限执行。**这是绑定入口；不要在对话中
+索要、展示或转发任何令牌。**
+
+## 什么时候用
+
+- 员工第一次使用，或会话过期（`crwu h3yun session status` 报无会话/已过期）。
+- 换电脑 / 换账号时需要重新绑定。
+- 已绑定但想换成另一个员工身份时（先 `crwu h3yun session clear`）。
+
+## 前置：确保命令可用（仅非 DSH 宿主）
+
+`crwu` 是 Go 二进制，通常已随项目/环境装好。若**找不到**它，**不要擅自改环境、
+不要往 `~/bin` 拷副本、也不要自行从源码构建**——这属于部署/环境问题，应先
+**如实告知用户**"当前环境找不到该命令"，并**询问用户**希望如何处理（例如由用户
+提供/安装该工具，或确认正确的调用路径）后再继续。技能纪律：遇到环境缺失如实转述、
+不擅自绕过或替用户做决定。
+
+## 流程
+
+**唯一推荐步骤（自动扫码）**
+
+```bash
+crwu h3yun session login
+```
+
+- crwu 会**自动打开一个浏览器窗口**（Chrome/Edge，找不到时提示装浏览器或设
+  `CRWU_BROWSER`，可显式设
+  `CRWU_BROWSER="/Applications/Microsoft Edge.app/Contents/MacOS/Microsoft Edge"`）。
+- 请员工在**弹出的窗口**里用钉钉扫码登录 h3yun.com（无需氚云密码）；
+- 成功后命令输出类似 `{"ok":true,"data":{...,"expiresIn":"47h…"}}`，会话已写入
+  本机 keyring。
+
+> ⚠️ **AI 宿主沙箱注意**：在受沙箱隔离的 Agent 环境里，`session login` 派生的
+> GUI 浏览器会被沙箱拦截而**无法弹出窗口**（报 `websocket close 1006`、stderr
+> 含大量 file-write 被拒）。此时必须**脱离沙箱 + 前台**运行本命令（例如 Bash 工具
+> 加 `dangerouslyDisableSandbox`，且不用后台模式），Edge 窗口才能在桌面上弹出供扫码。
+
+**验证**
+
+```bash
+crwu h3yun session status
+```
+
+应显示 `engineCode`、`userId` 与剩余有效期。然后即可使用 `crwu-h3yun-query` 等技能。
+
+## 回退（受信 IT/自助二选一，仅当扫码自动流程不可用时）
+
+若浏览器自动流程不可用（无浏览器/被禁用），可以让员工在 `h3yun.com` 网页扫码
+登录后，由**绑定者本人在本机**执行并把浏览器里的会话 JWT 只粘贴给本机命令：
+
+```bash
+crwu h3yun session bind --token '<JWT>'
+```
+
+> ⚠️ 回退路径中，**令牌粘贴只发生在员工本机终端**；Agent/LLM 不得要求用户把
+> 令牌贴进对话，也不得在日志/输出中保留令牌。
+
+## 纪律与边界
+
+- **令牌零外泄**：会话令牌仅在 crwu 进程内从浏览器读取并写入本机 OS 凭据存储；
+  不打印、不进日志、不进聊天、不发给任何 AI 宿主。
+- **只绑定当前员工自己的账号**：登录扫码的是谁，绑的就是谁的权限；发现绑定的
+  员工与预期不符时，先 `crwu h3yun session clear` 再重新登录。
+- 每个员工在**自己的电脑**上绑定自己的会话（员工自助模型）。
+- 出错时如实转述错误，如"超时/浏览器打不开/扫码未完成"，不要替用户猜测或重试
+  绕过（例如不要把某人的会话强绑到另一台机器）。
+
+## 常见问题
+
+| 现象 | 处理 |
+| --- | --- |
+| 提示找不到浏览器 | 安装 Chrome/Edge 后重试，或设 `CRWU_BROWSER` 指向浏览器可执行文件 |
+| 扫码后一直等待超时 | 确认扫码用的是**钉钉**且属于本企业；重跑一次 `crwu h3yun session login` |
+| `session status` 显示另一个员工 | `crwu h3yun session clear` 后重新用正确员工扫码登录 |
+| 自动流程不可用 | 使用上面"回退"路径在本机粘贴绑定 |
+| 沙箱内运行、浏览器窗口弹不出（`websocket close 1006`） | 用**脱离沙箱 + 前台**方式运行 `session login`；可显式设 `CRWU_BROWSER` 指向 Edge/Chrome |
+
+## 更多
+
+命令与细节以 `crwu scheme` 为准；登录成功后即可使用 `crwu-h3yun-query` 技能
+进行查询。
+
+<!-- crwu-cli-guard:legacy-compat-end -->

package/common/skills/crwu-h3yun-query/SKILL.md

@@ -0,0 +1,192 @@
+---
+name: crwu-h3yun-query
+description: >-
+  当用户想【查/看/浏览/找/搜】氚云（H3Yun）的【系统/应用/表单/记录/数据/附件】，
+  或说"我们有哪些系统""打开某系统看看下面有什么""这个表单里有什么记录""找标题含 X
+  的记录""下一页/第 N 条"或"筛状态/类型/日期符合条件的记录"时，自动使用本技能。
+  流程：列系统→选系统→看表单→查记录（每页 20 条、支持标题关键词与字段条件筛选）→
+  可看记录详情/附件。只读。若提示无会话/会话过期，先改用 crwu-h3yun-login；
+  若是登录/绑定类请求不要使用本技能。
+---
+
+# H3Yun 数据查询（crwu-h3yun-query）
+
+## 自动触发规则
+
+- **触发**：用户表达"查数据/看应用/打开系统/列表单/查记录/找XX记录/翻页"等查询意图，
+  或引用了"氚云/项目/客户/表单名/单号"等业务对象名想要查看其下内容。
+- **不触发**：登录/绑定/会话过期类请求（走 `crwu-h3yun-login`）；增删改/审批类操作
+  （当前不支持，如实说明）。
+- **命中后的第一步**：见下方「DSH 环境」或「非 DSH 宿主兼容层」——按当前宿主选入口；
+  无会话/过期则先走 `crwu-h3yun-login` 再回来查询。
+
+## DSH 环境（DeepSeek Harness）：**只用结构化 Tool**
+
+DSH 里氚云取数只走工作台插件注册的 CRWU 结构化 Tool，**不要**在 shell 里拼命令行、
+**不要**查找或猜测命令路径：
+
+| 需求 | DSH 入口 |
+| --- | --- |
+| 按 `schemaCode` + `objectId` 取记录全字段 | `crwu_h3yun_record_get` |
+| 取记录附件元数据（不下载） | `crwu_h3yun_files_list` |
+| 单个附件定向下载到案例目录 | `crwu_h3yun_file_get` |
+| 能力/平台自检 | `crwu_audit_capabilities` |
+
+- **登录/会话续期**：DSH 面板里的「登录认证」入口由插件按 DSH 的审批契约发起，
+  员工授权一次即可；本技能不负责登录编排。
+- **Tool 不可见或返回 capability gap**：如实报告「capability gap：缺少 <工具名>」并停止，
+  **不要**降级成 shell 查找或手工命令行。
+- 命令形式的取数（列应用/表单、分页、`--filter` 等）属于下面标注的
+  **非 DSH 宿主兼容层**，**不参与 DSH 自动审核链路**。
+
+<!-- crwu-cli-guard:legacy-compat-start -->
+## 非 DSH 宿主兼容层（legacy CLI）
+
+以下内容仅在**非 DSH 宿主**（或人工在终端排障）时使用；DSH 环境请只用上面的结构化 Tool。
+
+通过 `crwu` CLI，以**当前绑定员工**的权限，按"系统 → 表单 → 记录"逐层帮用户
+查询氚云数据。全程只读；命令全部走网页会话通道。
+
+> 命令与字段细节以 `crwu scheme`（运行时命令目录）为准；
+> 本文只描述查询会话的交互流程与纪律。
+
+## 什么时候用
+
+- "现在有哪些系统 / 应用？"
+- "打开 XX 系统，看看下面有哪些表单（子集）"
+- "在 XX 表单里看看有哪些记录 / 最近 20 条"
+- "帮我找标题/名称含 xxx 的记录"
+- "帮我筛状态/类型/所属时间段符合条件的记录"
+- "这条记录再往下一页 / 我要查第 N 条"
+
+## 前置检查
+
+1. 先确认能读取会话：
+   ```bash
+   crwu h3yun session status
+   ```
+   - 成功：输出里出现 `engineCode` 与 `expiresIn`，继续。
+   - 失败/提示 no session：**不要猜测或索取 token**，请用户执行
+     `crwu h3yun session bind --token '<JWT>'`（浏览器 DevTools 复制）后再来。
+2. 命令前缀：直接可用 `crwu`；在仓库内也可用构建产物（macOS
+   PATH 中的 `crwu` 命令）。
+
+## 主流程（一次只问一个问题）
+
+### 第 1 步：列系统（应用），请用户选择
+
+```bash
+crwu h3yun apps list
+```
+
+- 从输出 `data`（JSON 数组）中取每个应用的 `displayName` 与 `code`（appCode）。
+- 按编号列出（例：`1. 瑞联项目管理系统 [Aeed989f…]`），**一次只问**"选哪个系统"。
+- 系统很多时先问关键词，再 `crwu h3yun apps list --keyword <词>` 过滤后列出。
+
+### 第 2 步：选中的系统下钻，看父集/子集（表单），再请用户选择
+
+```bash
+crwu h3yun apps children --app <appCode>
+```
+
+- 输出为功能节点数组，节点类型 `nodeType`：
+  - `230` = 分组/父集 → 可继续下钻：`crwu h3yun apps children --app <该节点 code>`
+  - `200` / `210` = 普通表单 / 流程表单（子集，**可查记录**），其 `code` 即
+    查询用的 `schemaCode`
+- 呈现时给节点标注类型（📁 分组 / 📄 表单 / 🔁 流程表单），编号列出后请用户选择；
+  用户选中的若是分组，继续下钻；若是表单，进入第 3 步。
+- 用户直接给表单名时，可用 `crwu h3yun forms search --keyword <名称>` 先定位。
+
+### 第 3 步：在表单里查记录（默认每页 20 条，可翻页）
+
+```bash
+# 用户没给标题 → 首页 20 条
+crwu h3yun records list --schema <schemaCode> --size 20
+
+# 用户给出标题/关键词 → 直接按关键词查
+crwu h3yun records list --schema <schemaCode> --size 20 --keyword <标题关键词>
+
+# 用户给出字段条件（状态/类型/时间段等）→ 用 --filter
+crwu h3yun records list --schema <schemaCode> --size 20 --filter "Status = 1 and Name Contains '测试'"
+crwu h3yun records list --schema <schemaCode> --size 20 --filter "F0000036 Equal '国有企业'"
+```
+
+- 行数据在 `data`（数组或 `data.returnData`）里；把每条整理成**一行简要**：
+  `名称(Name/标题) · 单号(SeqNo 如有) · 更新时间(ModifiedTime) · ID 尾段`。
+- 翻页：`--page <n>`（从 1 开始），提示用户"下一页 20 条？"再执行
+  `crwu h3yun records list --schema <code> --page 2 --size 20`。
+- `--filter` 语法（SQL 风格、大小写不敏感，完整表以 `crwu scheme` 为准）：
+  - 比较：`=`（或 `Equal`）、`!=`/`<>`（或 `NotEqual`）、`>`/`>=`/`<`/`<=`
+    （或 `Above/NotBelow/Below/NotAbove`）
+  - 文本：`Contains`（`Like` 同义，氚云没有 Like）、`StartWith`/`EndWith`
+    （可 `not` 取反）
+  - 集合/区间/空值：`In (a,b)`/`NotIn`、`Between '起' and '止'`、
+    `IsNull`/`IsNotNull`/`IsNone`/`NotNone`
+  - 组合：`and`/`or` 与括号
+  - **字段名用记录返回 JSON 的键**：标准字段 `Name/SeqNo/Status/CreatedTime/
+    ModifiedTime/OwnerId` 或业务字段 `F0000xxx`；拿不准先 `list` 一次看返回再筛。
+    字符串值必须加引号（`'测试'`），数字与 true/false 可不加引号，日期用
+    `'2026-09-04'` 或 `'2026-09-04 13:55:21'` 这类字符串。
+- 无结果：先如实告知，再建议放宽/更换条件、换关键词或换表单/系统，不要猜 ID。
+
+### 第 4 步：查看用户选中记录的具体内容（简要输出）
+
+```bash
+crwu h3yun records get --schema <schemaCode> --id <ObjectId>
+```
+
+- 输出对象即该记录字段：`Name`、`SeqNo`、业务字段 `F0000xxx`（人员类字段同时有
+  `*_Name` 可读名）、`Status`、时间字段等。
+- 用**可读的字段对**展示（尽量挑非空、非 `*_Original` 的字段）；值较多时分段展示。
+- 若用户想看记录里的附件：`crwu h3yun files list --schema <code> --id <ObjectId>`，
+  下载需用户确认后执行 `crwu h3yun file download --schema <code> --id <ObjectId> --out <目录>`。
+
+## 呈现与提问纪律
+
+- 每次列表最多展示 20 条，超出提示翻页；编号从 1 开始，选项与结果严格对应。
+- **一次只问一个问题**：选完系统再问表单，选完表单再问记录/翻页。
+- 展示给用户的是可读文本/编号，**不要**把整段 JSON 原文直接倒给用户（保留 ObjectId
+  尾段作标识即可）。
+- 任何 `appCode`/`schemaCode`/`ObjectId` 都必须来自命令输出，**禁止编造或猜测**。
+
+## 安全与边界
+
+- 本 skill **只读**：不新增/修改/删除记录，不提交审批。
+- 不在任何输出/日志里暴露 token；员工会话绑定由用户自己执行。
+- 遇到与数据面相关的 `h3yun.read.upstream_error`：说明 Agent 网关数据面未开通，
+  与本 skill 的网页会话通道无关，照常可用；如实说明即可。
+- 遇到 `UnLogin`/`no session` 类错误：提示重新 bind，不重试硬闯。
+
+## 示例会话
+
+```
+用户：看看我们有什么系统
+助手：crwu h3yun apps list
+      1. 瑞联项目管理系统
+      2. 瑞联投标报价系统
+      3. 签到签退
+      请问要看哪个？
+用户：1
+助手：crwu h3yun apps children --app Aeed989ff20c34c9aaecc054fb64e51c1
+      1. [📁] 客户
+      2. [🔁] 客户信息
+      3. [🔁] 客户修改
+      …（共 N 项）要看哪个？
+用户：客户信息
+助手：crwu h3yun records list --schema Syxwvsuwmyagdm66hdtho11ux4 --size 20
+      1. 北京庆丰科贸有限公司 · KH7679 · 2026-09-03 · id…2780edc
+      2. …
+用户：帮我找标题含"测试"的记录
+助手：crwu h3yun records list --schema <code> --keyword 测试 --size 20
+      …
+用户：把状态是进行中、客户性质为国有企业的列出来
+助手：crwu h3yun records list --schema <code> --filter "Status = 1 and F0000036 Equal '国有企业'" --size 20
+      1. 润华有限公司 · KH7684 · 2026-09-04 · id…f23944c7
+      2. …
+```
+
+## 更多
+
+- 完整命令与输出契约以 `crwu scheme` 为准（运行时实时生成，随 CLI 版本变化）。
+
+<!-- crwu-cli-guard:legacy-compat-end -->

package/config/crwu-workbench.yml

@@ -0,0 +1,26 @@
+schemaVersion: 1
+
+workspace:
+  caseRoot: ''
+  preferTitle: 中瑞世联工作空间
+  requireTopLevelParent: true
+
+report:
+  formName: 报告审核
+
+audit:
+  autoUpload: true
+
+oss:
+  # 这里只剩**审核产物**那一个私有 Bucket。
+  #
+  # 原来还有一个 `readonly`（crwu-only-workspace）用来分发环境清单、安装说明和插件 TGZ：
+  # 2026-09-25 整条下掉了 —— 二进制随插件发布在包内 `bin/<平台>/`，插件本身改从 npm 安装。
+  # 少一个远端数据源就少一条"别人能远程改你机器上的解释权"的通道。
+  protected:
+    bucket: crwu-workspace
+    endpoint: oss-cn-beijing.aliyuncs.com
+    baseUrl: https://crwu-workspace.oss-cn-beijing.aliyuncs.com
+    auditPrefix: crwu/audit
+    linkMode: signed
+    linkTtlSeconds: 3600

package/cordis.patch.yml

@@ -0,0 +1,46 @@
+# 本包作为 bundle 被 profile 加载时插入的行（本仓：crwu-ai/plugins/dsh-crwu-workbench）。
+# 安装：dsh plugin --profile web add <tarball 或包名>  →  重启 profile。
+# （`dsh plugin add` 会自动把包名登记进 profile 的 dsh.profile.bundles。）
+#
+# 所有环境相关的值统一放在 `config/crwu-workbench.yml`。开发时可用 configFile 指向另一份；
+# TGZ 安装后留空会自动读取包内那份。
+- insert:
+    - id: crwu-workbench
+      name: dsh-crwu-workbench
+      config:
+        configFile: ''
+
+# 技能随插件发布，按**层**注册技能根（一层一个根）：
+#   - `skills/crwu/`   —— 本仓自研的审核能力族（27 个）；
+#   - `skills/dws/`    —— 上游 `dingtalk-workspace-cli` 的钉钉技能，随包 vendored；
+#   - `common/skills/` —— 跨插件公共技能（crwu-dws / crwu-h3yun-*），打包前从
+#                         `plugins/common/skills/` 同步进来。
+#
+# 为什么一层一个根：`@deepseek-ai/dsh-skill-filesystem` 的 `discoverRoot()` 对每个技能根
+# **只扫一层**（`readdir(root)` → `<子目录>/SKILL.md`），**不递归**。只注册 `skills/` 会让
+# `skills/crwu/` 被当成"一个没有 SKILL.md 的技能"而**静默丢掉整层** —— 症状与下面那个
+# `baseUrl` 陷阱一模一样：provider 装配成功，技能表里 0 个技能。
+#
+# 路径**不能**写成 `new URL('skills/', baseUrl)`：profile 的整棵树是「补丁层挂在 profile 的空根
+# 配置上」，所以 bundle patch 里的 `baseUrl` 锚在 **profile 目录**（`<profile>/`），不是包目录 ——
+# 那样会指向 `<profile>/skills/`（不存在），provider 挂上了却**静默**贡献 0 个技能。2026-09-22
+# 实测踩到：技能表里一个 crwu 技能都没有，而 agent preset 里同样写法的行是好的（preset 是按文件
+# 加载的，baseUrl 才是 preset 目录）。
+#
+# 用 Node 的模块解析按**包名**定位包目录：link 开发、员工 tarball、装到别的布局都对；
+# 解析不出来会直接抛错（不静默降级成"没有技能"）。
+- insert:
+    - id: crwu-workbench-skills
+      name: '@deepseek-ai/dsh-skill-filesystem'
+      config:
+        # 独立 provider 名：与部署默认那行共存，不覆盖它。
+        providerName: crwu-workbench
+        # 只扫本包内的三个技能根；用户/项目技能根仍由部署默认那行负责（避免重复扫描）。
+        includeDefaultRoots: false
+        customSkillDirs: !!js >-
+          (() => {
+            const path = process.getBuiltinModule('node:path');
+            const { createRequire } = process.getBuiltinModule('node:module');
+            const root = path.dirname(createRequire(baseUrl + 'package.json').resolve('dsh-crwu-workbench/package.json'));
+            return [path.join(root, 'skills/crwu'), path.join(root, 'skills/dws'), path.join(root, 'common/skills')];
+          })()