feihong-code 0.2.3 → 0.6.0

package/dist/web/server.js

@@ -8,35 +8,65 @@ exports.startWebServer = startWebServer;
  * 飞虹 Code (Muse Code 参照复刻)
  * 晋江市飞虹智科技企业管理有限公司 · 飞扬企源研发中心 · 负责人：吴赐虹
  *
- * M5 Web 控制台：自包含 Express 服务骨架。
- * S1：服务骨架 + 鉴权 + /api/health（占位；S2 扩展观测 API，S3 填充仪表盘）。
+ * M5 Web 控制台：自包含 Express 服务骨架 + 多视图 API。
+ *   - 任务队列（P4-1 / P5-2 / P6-4）
+ *   - 技能市场（插件市场）：聚合 ClawHub + Agent-Foundry
+ *   - 自动化：快捷指令集（一键发起任务）
+ *   - 模板库：内置 + 用户自定义
+ *   - 办公助理：文档处理能力清单
+ *   - 登录：手机号直登（无短信验证，本地会话令牌）
+ *   - 文件/工作区：右侧任务详情可直接打开文件夹、浏览器、预览文件
+ * 鉴权：Bearer Token（fail-closed），主令牌（FH_WEB_TOKEN）与会话令牌并行。
  */
 const express_1 = __importDefault(require("express"));
 const crypto_1 = require("crypto");
 const path_1 = require("path");
+const fs_1 = require("fs");
+const child_process_1 = require("child_process");
 const auth_1 = require("./auth");
+const task_queue_1 = require("./task-queue");
 const version_1 = require("../cli/version");
+const i18n_1 = require("../shared/i18n");
 const enterprise_1 = require("../enterprise");
+const config_1 = require("../shared/config");
+const memory_1 = require("../memory");
+const auto_summarize_1 = require("../memory/auto-summarize");
+const secure_store_1 = require("../shared/secure-store");
 /**
  * 启动 Web 控制台。
  * - 端口：opts.port > FH_WEB_PORT > 8080
  * - 令牌：opts.token > FH_WEB_TOKEN > 自动生成（仅本次会话有效，fail-closed）
  */
 function startWebServer(opts = {}) {
+    // Web 环境无法进行交互式审批，禁用审批检查
+    if (process.env.FH_REQUIRE_APPROVAL === undefined) {
+        process.env.FH_REQUIRE_APPROVAL = 'false';
+    }
     const port = opts.port ?? Number(process.env.FH_WEB_PORT ?? 8080);
     let token = opts.token ?? process.env.FH_WEB_TOKEN ?? '';
     if (!token) {
         token = (0, crypto_1.randomBytes)(24).toString('hex');
-        console.log(`[飞虹 Code] Web 控制台令牌已自动生成（FH_WEB_TOKEN）: ${token}`);
+        console.log((0, i18n_1.t)('serve.tokenAuto', { token }));
     }
     const app = (0, express_1.default)();
-    // M8 修复：限制请求体大小，防止超大 payload 触发内存耗尽（DoS 面）
-    app.use(express_1.default.json({ limit: '1mb' }));
-    // 静态仪表盘（S3 填充；S1 占位页）
-    const publicDir = (0, path_1.join)(__dirname, 'public');
-    app.use(express_1.default.static(publicDir));
-    // 鉴权：全部 /api 需 Bearer token（静态资源除外）
-    app.use('/api', (0, auth_1.requireToken)(token));
+    // 放宽请求体上限以支持截图/图片 base64 上传（8MB），仍可有效防御内存耗尽
+    app.use(express_1.default.json({ limit: '8mb' }));
+    // 静态仪表盘（开发时直接从 src 读取，避免 dist 被锁）
+    const publicDir = process.env.FH_WEB_SRC_PUBLIC || (0, path_1.join)(__dirname, 'public');
+    app.use(express_1.default.static(publicDir, { maxAge: '0' }));
+    // 登录会话存储（进程内）
+    const sessions = new auth_1.SessionStore();
+    // 当前 Web 控制台工作区，任务提交缺省时使用
+    let serverWorkspaceDir = (0, path_1.resolve)(process.cwd());
+    // 任务队列（进程内；服务端静默执行）— 需在登录接口前初始化
+    const persistDir = process.env.FH_TASK_PERSIST_DIR?.trim() ||
+        (0, path_1.join)(process.env.FH_HOME?.trim() || (0, path_1.join)(require('os').homedir(), '.feihong-code'), 'tasks');
+    const queue = new task_queue_1.TaskQueue({
+        concurrency: Number(process.env.FH_TASK_CONCURRENCY ?? 2),
+        webhookUrl: process.env.FH_TASK_WEBHOOK_URL,
+        persistDir,
+    });
+    // 公开健康检查（仅暴露版本/状态等观测信息，无敏感数据）
     app.get('/api/health', (_req, res) => {
         res.json({
             ok: true,
@@ -44,11 +74,876 @@ function startWebServer(opts = {}) {
             version: version_1.VERSION,
             signature: version_1.SIGNATURE,
             enterprise: (0, enterprise_1.isEnterpriseEnabled)(),
+            lang: (0, i18n_1.getLang)(),
             time: new Date().toISOString(),
         });
     });
+    // 手机号直登：无短信验证，生成本地会话令牌
+    app.post('/api/auth/login', (req, res) => {
+        const body = (req.body ?? {});
+        const phone = typeof body?.phone === 'string' ? body.phone.trim() : '';
+        if (!phone) {
+            res.status(400).json({ ok: false, error: '请输入手机号码' });
+            return;
+        }
+        // 使用新的登录方法，支持首次登录检测
+        const result = sessions.login(phone);
+        const session = sessions.get(result.token);
+        // 如果是首次登录，自动创建引导任务
+        let welcomeTasks = [];
+        if (result.isFirstLogin) {
+            // 标记会话为首次登录（用于后续接口识别）
+            if (session) {
+                session.isFirstLogin = true;
+            }
+            // 创建引导任务
+            for (const task of auth_1.WELCOME_TASKS) {
+                const record = queue.submit(task.goal, {
+                    workspaceDir: serverWorkspaceDir,
+                    agentType: 'general',
+                });
+                welcomeTasks.push({
+                    ...task,
+                    taskId: record.id,
+                    status: record.status,
+                });
+            }
+        }
+        res.json({
+            ok: true,
+            token: result.token,
+            phone,
+            isFirstLogin: result.isFirstLogin,
+            welcomeTasks,
+        });
+    });
+    // 鉴权：其余 /api 需 Bearer token（静态资源与 login/health 除外）
+    // 公开 API（无需认证）
+    app.get('/api/drives', (_req, res) => {
+        res.json({ ok: true, drives: getAvailableDrives() });
+    });
+    // 记忆管理 API（公开访问，无敏感信息）
+    const memoryConfig = (0, memory_1.getMemoryConfig)();
+    app.get('/api/memory/short', (_req, res) => {
+        const date = typeof _req.query.date === 'string' ? _req.query.date : undefined;
+        const content = (0, memory_1.readShortTerm)(memoryConfig, date ? new Date(date) : undefined);
+        res.json({ ok: true, content, date: date || new Date().toISOString().split('T')[0] });
+    });
+    app.get('/api/memory/long', (_req, res) => {
+        const content = (0, memory_1.readLongTerm)(memoryConfig);
+        res.json({ ok: true, content });
+    });
+    app.get('/api/memory/stats', (_req, res) => {
+        const stats = (0, memory_1.getMemoryStats)(memoryConfig);
+        res.json({ ok: true, ...stats });
+    });
+    app.post('/api/memory/summarize', async (req, res) => {
+        const body = req.body;
+        const forceDate = typeof body?.date === 'string' ? body.date : undefined;
+        try {
+            const result = await (0, auto_summarize_1.summarizeMemory)(memoryConfig, forceDate);
+            res.json(result);
+        }
+        catch (e) {
+            res.status(500).json({ ok: false, error: e.message });
+        }
+    });
+    app.get('/api/memory/history', (_req, res) => {
+        const limit = typeof _req.query.limit === 'string' ? parseInt(_req.query.limit) || 30 : 30;
+        const history = (0, auto_summarize_1.getSummaryHistory)(memoryConfig, limit);
+        res.json({ ok: true, history });
+    });
+    app.use('/api', (0, auth_1.requireToken)(token, sessions));
+    app.get('/api/auth/me', (req, res) => {
+        const session = req.user;
+        res.json({
+            ok: true,
+            phone: session?.phone ?? null,
+            isFirstLogin: session?.isFirstLogin ?? false,
+        });
+    });
+    app.post('/api/tasks', (req, res) => {
+        const body = req.body;
+        const goal = typeof body?.goal === 'string' ? body.goal.trim() : '';
+        if (!goal) {
+            res.status(400).json({ ok: false, error: '缺少 goal 字段' });
+            return;
+        }
+        const agentType = typeof body?.agentType === 'string' ? body.agentType : undefined;
+        const permissions = typeof body?.permissions === 'object' && body?.permissions !== null
+            ? body.permissions
+            : undefined;
+        const workspaceDir = typeof body?.workspaceDir === 'string' && body.workspaceDir.trim()
+            ? body.workspaceDir.trim()
+            : serverWorkspaceDir;
+        const modelId = typeof body?.modelId === 'string' && body.modelId.trim() ? body.modelId.trim() : undefined;
+        // 附件：前端暂存区统一上传后的文件路径列表
+        const attachments = Array.isArray(body?.attachments)
+            ? body.attachments.filter((x) => typeof x === 'string' && x.trim()).map((x) => x.trim())
+            : [];
+        const record = queue.submit(goal, { modelId, workspaceDir, agentType, permissions, attachments });
+        res.status(201).json({ ok: true, task: publicTask(record, true) });
+    });
+    app.get('/api/tasks', (_req, res) => {
+        res.json({ ok: true, tasks: queue.list().map((t) => publicTask(t, false)) });
+    });
+    app.get('/api/tasks/:id', (req, res) => {
+        const record = queue.get(req.params.id);
+        if (!record) {
+            res.status(404).json({ ok: false, error: '任务不存在' });
+            return;
+        }
+        res.json({ ok: true, task: publicTask(record, true) });
+    });
+    // 多轮续接：向当前任务追加一条用户消息，所有对话归属同一任务生命周期
+    app.post('/api/tasks/:id/messages', (req, res) => {
+        const body = req.body;
+        const message = typeof body?.message === 'string' ? body.message.trim() : '';
+        if (!message) {
+            res.status(400).json({ ok: false, error: '缺少 message 字段' });
+            return;
+        }
+        // 附件：前端暂存区统一上传后的文件路径列表
+        const attachments = Array.isArray(body?.attachments)
+            ? body.attachments.filter((x) => typeof x === 'string' && x.trim()).map((x) => x.trim())
+            : [];
+        const record = queue.continueTask(req.params.id, message, attachments);
+        if (!record) {
+            res.status(409).json({ ok: false, error: '任务不存在或正在执行中，请等待完成后再继续对话' });
+            return;
+        }
+        res.status(201).json({ ok: true, task: publicTask(record, true) });
+    });
+    app.delete('/api/tasks/:id', (req, res) => {
+        const success = queue.delete(req.params.id);
+        if (!success) {
+            res.status(400).json({ ok: false, error: '无法删除运行中的任务' });
+            return;
+        }
+        res.json({ ok: true });
+    });
+    // P9：停止单个指定任务（精准中止，不影响其他运行中的任务）
+    app.post('/api/tasks/:id/stop', (req, res) => {
+        const ok = queue.cancelTask(req.params.id);
+        if (!ok) {
+            res.status(409).json({ ok: false, error: '任务不存在或已结束，无法停止' });
+            return;
+        }
+        res.json({ ok: true, taskId: req.params.id, status: 'failed' });
+    });
+    // P9：停止所有任务（中断运行 + 清空队列，后续可继续提交新任务）
+    app.post('/api/tasks/stop', (_req, res) => {
+        queue.cancel();
+        res.json({ ok: true });
+    });
+    // P5-2：webhook 注册/查询
+    app.post('/api/webhook', (req, res) => {
+        const body = req.body;
+        const url = typeof body?.url === 'string' ? body.url.trim() : '';
+        if (!url) {
+            res.status(400).json({ ok: false, error: '缺少 url 字段' });
+            return;
+        }
+        queue.setWebhookUrl(url);
+        res.json({ ok: true, webhookUrl: url });
+    });
+    app.get('/api/webhook', (_req, res) => {
+        res.json({ ok: true, webhookUrl: queue.getWebhookUrl() || null });
+    });
+    /* ========== 持久化辅助 ========== */
+    const homeDir = (0, config_1.resolveHomeDir)();
+    // 三重加密密钥体系：主密钥（AES 存储加密）+ RSA 密钥对（通信加密）
+    const masterKey = (0, secure_store_1.getMasterKey)(homeDir);
+    const rsaKeys = (0, secure_store_1.getRsaKeys)(homeDir);
+    function loadJsonFile(file, fallback) {
+        try {
+            if (!(0, fs_1.existsSync)(file))
+                return fallback;
+            return JSON.parse((0, fs_1.readFileSync)(file, 'utf8'));
+        }
+        catch {
+            return fallback;
+        }
+    }
+    /** 同步睡眠（避免引入异步复杂度；用 Atomics.wait 兼容 Node 12+） */
+    function sleepSync(ms) {
+        Atomics.wait(new Int32Array(new SharedArrayBuffer(4)), 0, 0, ms);
+    }
+    /**
+     * 原子写入 JSON 文件（tmp → renameSync）。
+     * - 真原子替换：rename 成功即生效，tmp 不会残留（区别于旧的"写 tmp 再写 file 再删 tmp"，
+     *   旧方案在 Windows 下高频写会偶发 EPERM：Defender/句柄锁住 .tmp 文件导致 open 失败，
+     *   且崩溃时 tmp 残留，下次 open 又被锁 → 连锁失败）。
+     * - EPERM 瞬时锁：重试 3 次（50ms/100ms/150ms 退避）。
+     * - 绝不向上抛：失败返回 false，由调用方决定降级策略（内存态 / 500 响应）。
+     */
+    function saveJsonFile(file, data) {
+        try {
+            (0, fs_1.mkdirSync)((0, path_1.dirname)(file), { recursive: true });
+        }
+        catch {
+            /* ignore */
+        }
+        // tmp 文件名带 PID：进程唯一，避免与历史残留（如被外部句柄锁住的 .tmp）或并发进程冲突
+        const tmp = file + '.' + process.pid + '.tmp';
+        for (let attempt = 0; attempt < 3; attempt++) {
+            try {
+                (0, fs_1.writeFileSync)(tmp, JSON.stringify(data, null, 2), 'utf8');
+                (0, fs_1.renameSync)(tmp, file);
+                return true;
+            }
+            catch (e) {
+                // 清理残留 tmp（unlink 也可能 EPERM，忽略）
+                try {
+                    (0, fs_1.unlinkSync)(tmp);
+                }
+                catch {
+                    /* ignore */
+                }
+                if (attempt === 2) {
+                    console.warn('[fhcode] 配置文件写入失败（已重试 3 次，保持内存态）', file, e?.message);
+                    return false;
+                }
+                sleepSync(50 * (attempt + 1));
+            }
+        }
+        return false;
+    }
+    /* ========== 路径安全 ========== */
+    // 获取系统所有可用的 Windows 驱动器列表（同步，使用 fs.existsSync 检测）
+    function getAvailableDrives() {
+        if (process.platform !== 'win32')
+            return ['/'];
+        const drives = [];
+        for (let code = 65; code <= 90; code++) {
+            const drive = String.fromCharCode(code) + ':\\';
+            if ((0, fs_1.existsSync)(drive))
+                drives.push(drive);
+        }
+        return drives.length > 0 ? drives : [];
+    }
+    // 驱动器根目录只在启动时探测一次并缓存。
+    // 历史缺陷：此处曾对每次路径校验 spawn 一个 `cmd /c wmic logicaldisk`，
+    // 而 wmic 的 close 回调在函数 return 之后才触发（结果根本用不上），
+    // 等于每次浏览目录都白起一个进程；Win11 已移除 wmic，spawn 失败还会拖慢/打断请求。
+    // 现改为同步 existsSync 探测 + 进程级缓存，零子进程。
+    const driveRootsCache = getAvailableDrives();
+    const allowedRoots = () => [
+        (0, path_1.resolve)(serverWorkspaceDir),
+        (0, path_1.resolve)(homeDir),
+        (0, path_1.resolve)(process.cwd()),
+        ...driveRootsCache,
+    ];
+    function isPathAllowed(target) {
+        const resolved = (0, path_1.resolve)(target);
+        for (const root of allowedRoots()) {
+            const rel = (0, path_1.relative)(root, resolved);
+            if (rel === '' || (!rel.startsWith('..') && !(0, path_1.isAbsolute)(rel))) {
+                return (0, fs_1.existsSync)(resolved);
+            }
+        }
+        return false;
+    }
+    function assertPathAllowed(target, res) {
+        if (!isPathAllowed(target)) {
+            res.status(403).json({ ok: false, error: '路径不在允许范围内或不存在' });
+            return false;
+        }
+        return true;
+    }
+    /* ========== 工作区与文件浏览 ========== */
+    app.get('/api/workspace', (_req, res) => {
+        res.json({ ok: true, cwd: serverWorkspaceDir });
+    });
+    app.post('/api/workspace', (req, res) => {
+        const body = (req.body ?? {});
+        const cwd = typeof body?.cwd === 'string' ? body.cwd.trim() : '';
+        if (!cwd) {
+            res.status(400).json({ ok: false, error: '缺少 cwd 字段' });
+            return;
+        }
+        const resolved = (0, path_1.resolve)(cwd);
+        if (!(0, fs_1.existsSync)(resolved) || !(0, fs_1.statSync)(resolved).isDirectory()) {
+            res.status(400).json({ ok: false, error: '目录不存在' });
+            return;
+        }
+        serverWorkspaceDir = resolved;
+        res.json({ ok: true, cwd: serverWorkspaceDir });
+    });
+    app.get('/api/workspace/list', (req, res) => {
+        const raw = typeof req.query.path === 'string' ? req.query.path.trim() : '';
+        // path 为空 / '.' 时回落到服务端工作区，避免 resolve('.') 指向进程 cwd 造成困惑
+        const rawPath = !raw || raw === '.' ? serverWorkspaceDir : raw;
+        const dir = (0, path_1.resolve)(rawPath);
+        if (!assertPathAllowed(dir, res))
+            return;
+        try {
+            // withFileTypes 失败时（部分网络盘/权限目录）退回普通 readdir
+            const names = (0, fs_1.readdirSync)(dir);
+            const entries = names
+                .map((name) => {
+                const full = (0, path_1.join)(dir, name);
+                try {
+                    const st = (0, fs_1.lstatSync)(full);
+                    return {
+                        name,
+                        path: full,
+                        type: st.isDirectory() ? 'dir' : st.isFile() ? 'file' : 'other',
+                    };
+                }
+                catch {
+                    return null;
+                }
+            })
+                .filter(Boolean);
+            res.json({ ok: true, cwd: dir, entries });
+        }
+        catch (e) {
+            res.status(500).json({ ok: false, error: '读取目录失败: ' + e.message });
+        }
+    });
+    app.post('/api/files/read', (req, res) => {
+        const body = (req.body ?? {});
+        const file = typeof body?.path === 'string' ? body.path.trim() : '';
+        if (!file || !assertPathAllowed(file, res))
+            return;
+        try {
+            const st = (0, fs_1.statSync)(file);
+            if (!st.isFile()) {
+                res.status(400).json({ ok: false, error: '不是文件' });
+                return;
+            }
+            if (st.size > 2 * 1024 * 1024) {
+                res.status(400).json({ ok: false, error: '文件超过 2MB，建议用本地编辑器打开' });
+                return;
+            }
+            const content = (0, fs_1.readFileSync)(file, 'utf8');
+            res.json({ ok: true, path: file, content });
+        }
+        catch (e) {
+            res.status(500).json({ ok: false, error: '读取失败: ' + e.message });
+        }
+    });
+    /* ========== 打开本地文件夹/浏览器 ========== */
+    app.post('/api/open/folder', (req, res) => {
+        const body = (req.body ?? {});
+        const dir = typeof body?.path === 'string' ? body.path.trim() : serverWorkspaceDir;
+        if (!dir || !assertPathAllowed(dir, res))
+            return;
+        try {
+            openFolder(dir);
+            res.json({ ok: true });
+        }
+        catch (e) {
+            res.status(500).json({ ok: false, error: '打开失败: ' + e.message });
+        }
+    });
+    app.post('/api/open/browser', (req, res) => {
+        const body = (req.body ?? {});
+        const url = typeof body?.url === 'string' ? body.url.trim() : '';
+        if (!url) {
+            res.status(400).json({ ok: false, error: '缺少 url 字段' });
+            return;
+        }
+        try {
+            openBrowser(url);
+            res.json({ ok: true });
+        }
+        catch (e) {
+            res.status(500).json({ ok: false, error: '打开失败: ' + e.message });
+        }
+    });
+    /* ========== 上传文件/图片 ========== */
+    const uploadsDir = () => (0, path_1.join)(homeDir, 'uploads');
+    app.post('/api/upload', (req, res) => {
+        const body = (req.body ?? {});
+        const name = typeof body?.name === 'string' ? body.name.trim() : '';
+        const mime = typeof body?.mime === 'string' ? body.mime.trim() : 'application/octet-stream';
+        const data = typeof body?.dataBase64 === 'string' ? body.dataBase64.trim() : '';
+        if (!name || !data) {
+            res.status(400).json({ ok: false, error: '缺少 name 或 dataBase64 字段' });
+            return;
+        }
+        try {
+            (0, fs_1.mkdirSync)(uploadsDir(), { recursive: true });
+            const safeName = name.replace(/[^a-zA-Z0-9_.\-]/g, '_');
+            const dest = (0, path_1.join)(uploadsDir(), `${Date.now()}_${safeName}`);
+            (0, fs_1.writeFileSync)(dest, Buffer.from(data, 'base64'));
+            res.json({ ok: true, path: dest, name, mime });
+        }
+        catch (e) {
+            res.status(500).json({ ok: false, error: '上传失败: ' + e.message });
+        }
+    });
+    /* ========== 技能市场（插件市场）：聚合 ClawHub + Agent-Foundry ========== */
+    const CLAWHUB_API = 'https://clawhub.ai/api/v1/skills';
+    const AGENT_FOUNDRY_CATALOG = 'https://raw.githubusercontent.com/hebertzhu/agent-foundry/main/catalog/skills-catalog.json';
+    async function fetchWithRetry(url, timeoutMs = 15000, retries = 1) {
+        let lastErr;
+        for (let attempt = 0; attempt <= retries; attempt++) {
+            const ctrl = new AbortController();
+            const timer = setTimeout(() => ctrl.abort(), timeoutMs);
+            try {
+                const r = await fetch(url, {
+                    signal: ctrl.signal,
+                    headers: { 'User-Agent': 'fhcode-web/0.5.1' },
+                });
+                clearTimeout(timer);
+                return r;
+            }
+            catch (e) {
+                clearTimeout(timer);
+                lastErr = e;
+                if (attempt < retries)
+                    await new Promise((res) => setTimeout(res, 500));
+            }
+        }
+        throw lastErr;
+    }
+    async function fetchClawHubSkills(keyword, limit) {
+        try {
+            const url = `${CLAWHUB_API}?limit=${limit}${keyword ? `&q=${encodeURIComponent(keyword)}` : ''}`;
+            const r = await fetchWithRetry(url);
+            if (!r.ok)
+                return [];
+            const data = (await r.json());
+            return (data.items || []).map((it) => ({
+                id: `clawhub:${String(it.slug || '')}`,
+                name: String(it.displayName || it.slug || ''),
+                description: String(it.summary || it.description || ''),
+                source: 'clawhub',
+                author: it.slug ? String(it.slug).split('/')[0] : undefined,
+                category: 'market',
+                tags: Array.isArray(it.topics) ? it.topics : [],
+                downloads: Number(it.stats?.downloads ?? 0),
+                installHint: `npx skills add ${String(it.slug || '')}`,
+                homepage: `https://clawhub.ai/${String(it.slug || '')}`,
+                rawUrl: `https://clawhub.ai/${String(it.slug || '')}`,
+            }));
+        }
+        catch (e) {
+            console.error('[clawhub] fetch failed:', e);
+            return [];
+        }
+    }
+    async function fetchAgentFoundrySkills(keyword, limit) {
+        try {
+            const r = await fetchWithRetry(AGENT_FOUNDRY_CATALOG);
+            if (!r.ok)
+                return [];
+            const data = (await r.json());
+            const arr = Array.isArray(data.skills) ? data.skills : [];
+            let list = arr.map((it) => {
+                const name = String(it.name || '');
+                const publicPath = String(it.public_path || '');
+                const category = String(it.category || 'market');
+                const rawUrl = publicPath
+                    ? `https://raw.githubusercontent.com/hebertzhu/agent-foundry/main/${publicPath}`
+                    : `https://github.com/hebertzhu/agent-foundry`;
+                return {
+                    id: `agent-foundry:${name}`,
+                    name,
+                    description: `Agent-Foundry 技能包 · 分类：${category}${publicPath ? ` · 源：${publicPath}` : ''}`,
+                    source: 'agent-foundry',
+                    author: 'hebertzhu',
+                    category,
+                    tags: Array.isArray(it.packs) ? it.packs : [category],
+                    downloads: 0,
+                    installHint: `npm i -g @agent-foundry/cli && agent-foundry install ${name}`,
+                    homepage: `https://github.com/hebertzhu/agent-foundry`,
+                    rawUrl,
+                };
+            });
+            if (keyword) {
+                const kw = keyword.toLowerCase();
+                list = list.filter((s) => s.name.toLowerCase().includes(kw) ||
+                    s.description.toLowerCase().includes(kw) ||
+                    (s.tags || []).some((t) => t.toLowerCase().includes(kw)));
+            }
+            return list.slice(0, limit);
+        }
+        catch (e) {
+            console.error('[agent-foundry] fetch failed:', e);
+            return [];
+        }
+    }
+    app.get('/api/skills/market', async (req, res) => {
+        const q = typeof req.query.q === 'string' ? req.query.q.trim() : '';
+        const source = typeof req.query.source === 'string' ? req.query.source : 'all';
+        const limit = Math.min(Number(req.query.limit) || 50, 200);
+        let results = [];
+        if (source === 'clawhub' || source === 'all')
+            results = results.concat(await fetchClawHubSkills(q, limit));
+        if (source === 'agent-foundry' || source === 'all')
+            results = results.concat(await fetchAgentFoundrySkills(q, limit));
+        results.sort((a, b) => (b.downloads || 0) - (a.downloads || 0));
+        res.json({ ok: true, total: results.length, skills: results.slice(0, limit) });
+    });
+    // 已安装技能持久化
+    const installedSkillsFile = (0, path_1.join)(homeDir, 'skills', 'installed.json');
+    app.post('/api/skills/install', async (req, res) => {
+        const body = req.body;
+        if (!body || !body.id || !body.name || !body.source) {
+            res.status(400).json({ ok: false, error: '缺少 id / name / source 字段' });
+            return;
+        }
+        try {
+            const dir = (0, path_1.join)(homeDir, 'skills', body.id.replace(/[^a-zA-Z0-9_-]/g, '_'));
+            (0, fs_1.mkdirSync)(dir, { recursive: true });
+            if (!saveJsonFile((0, path_1.join)(dir, 'meta.json'), { ...body, installedAt: new Date().toISOString() })) {
+                res.status(500).json({ ok: false, error: '技能元数据写入失败' });
+                return;
+            }
+            const installed = loadJsonFile(installedSkillsFile, []);
+            if (!installed.find((s) => s.id === body.id)) {
+                installed.push(body);
+                if (!saveJsonFile(installedSkillsFile, installed)) {
+                    res.status(500).json({ ok: false, error: '已安装列表写入失败' });
+                    return;
+                }
+            }
+            res.json({ ok: true, message: `技能「${body.name}」已记录为已安装` });
+        }
+        catch (e) {
+            res.status(500).json({ ok: false, error: '安装失败: ' + e.message });
+        }
+    });
+    app.get('/api/skills/installed', (_req, res) => {
+        res.json({ ok: true, skills: loadJsonFile(installedSkillsFile, []) });
+    });
+    const automationsFile = (0, path_1.join)(homeDir, 'automations.json');
+    app.get('/api/automations', (_req, res) => {
+        res.json({ ok: true, automations: loadJsonFile(automationsFile, []) });
+    });
+    app.post('/api/automations', async (req, res) => {
+        const body = (req.body ?? {});
+        const name = typeof body.name === 'string' ? body.name.trim() : '';
+        const goal = typeof body.goal === 'string' ? body.goal.trim() : '';
+        if (!name || !goal) {
+            res.status(400).json({ ok: false, error: '缺少 name 或 goal 字段' });
+            return;
+        }
+        const list = loadJsonFile(automationsFile, []);
+        const rule = {
+            id: `auto_${Date.now()}_${(0, crypto_1.randomUUID)().slice(0, 4)}`,
+            name,
+            goal,
+            modelId: typeof body.modelId === 'string' && body.modelId.trim() ? body.modelId.trim() : undefined,
+            workspaceDir: typeof body.workspaceDir === 'string' && body.workspaceDir.trim()
+                ? body.workspaceDir.trim()
+                : undefined,
+            createdAt: new Date().toISOString(),
+            runCount: 0,
+        };
+        list.push(rule);
+        if (!saveJsonFile(automationsFile, list)) {
+            res.status(500).json({ ok: false, error: '指令保存失败（磁盘不可写）' });
+            return;
+        }
+        res.status(201).json({ ok: true, automation: rule });
+    });
+    // 注：当前 @types/express 版本缺失 delete 方法类型声明，运行时 Express 完全支持，故局部断言
+    app.delete('/api/automations/:id', async (req, res) => {
+        const list = loadJsonFile(automationsFile, []);
+        const next = list.filter((a) => a.id !== req.params.id);
+        if (next.length === list.length) {
+            res.status(404).json({ ok: false, error: '指令不存在' });
+            return;
+        }
+        if (!saveJsonFile(automationsFile, next)) {
+            res.status(500).json({ ok: false, error: '指令删除失败（磁盘不可写）' });
+            return;
+        }
+        res.json({ ok: true });
+    });
+    app.post('/api/automations/:id/run', async (req, res) => {
+        const list = loadJsonFile(automationsFile, []);
+        const rule = list.find((a) => a.id === req.params.id);
+        if (!rule) {
+            res.status(404).json({ ok: false, error: '指令不存在' });
+            return;
+        }
+        const record = queue.submit(rule.goal, {
+            modelId: rule.modelId,
+            workspaceDir: rule.workspaceDir,
+        });
+        rule.runCount += 1;
+        rule.lastRunAt = new Date().toISOString();
+        // 任务已入队，runCount 持久化失败不阻塞响应（带 persistWarning 提示）
+        const persistWarning = !saveJsonFile(automationsFile, list);
+        res.status(201).json({
+            ok: true,
+            task: publicTask(record, true),
+            runCount: rule.runCount,
+            persistWarning: persistWarning || undefined,
+        });
+    });
+    const BUILTIN_TEMPLATES = [
+        {
+            id: 'tpl-code-gen',
+            title: '编写新功能',
+            category: '代码',
+            icon: '🧩',
+            goal: '请用 production-ready 的代码实现以下功能：\n\n（请描述功能点、输入输出、边界条件）',
+        },
+        {
+            id: 'tpl-debug',
+            title: '调试 Bug',
+            category: '调试',
+            icon: '🐛',
+            goal: '以下代码出现异常，请定位根因并修复，附回归验证：\n\n（粘贴错误日志或现象）',
+        },
+        {
+            id: 'tpl-refactor',
+            title: '重构优化',
+            category: '代码',
+            icon: '♻️',
+            goal: '请在不改变外部行为的前提下重构以下模块，提升可读性与性能：\n\n（粘贴代码或文件路径）',
+        },
+        {
+            id: 'tpl-test',
+            title: '生成测试',
+            category: '测试',
+            icon: '🧪',
+            goal: '请为以下代码生成单元测试与边界用例（覆盖率优先）：\n\n（粘贴代码或文件路径）',
+        },
+        {
+            id: 'tpl-doc',
+            title: '撰写文档',
+            category: '文档',
+            icon: '📝',
+            goal: '请撰写一份技术/产品文档，包含背景、方案、步骤与注意事项：\n\n（说明文档主题）',
+        },
+        {
+            id: 'tpl-review',
+            title: '代码审查',
+            category: '质量',
+            icon: '🔍',
+            goal: '请对以下代码做静态/设计审查，列出问题与改进建议：\n\n（粘贴代码或文件路径）',
+        },
+        {
+            id: 'tpl-explain',
+            title: '解释代码',
+            category: '文档',
+            icon: '💡',
+            goal: '请用通俗语言解释以下代码的逻辑与关键点：\n\n（粘贴代码）',
+        },
+        {
+            id: 'tpl-perf',
+            title: '性能优化',
+            category: '质量',
+            icon: '⚡',
+            goal: '请分析并优化以下代码的性能瓶颈，给出前后对比：\n\n（粘贴代码或描述场景）',
+        },
+    ];
+    const templatesFile = (0, path_1.join)(homeDir, 'templates.json');
+    app.get('/api/templates', (_req, res) => {
+        const user = loadJsonFile(templatesFile, []);
+        res.json({ ok: true, builtin: BUILTIN_TEMPLATES, user });
+    });
+    app.post('/api/templates', async (req, res) => {
+        const body = (req.body ?? {});
+        const title = typeof body.title === 'string' ? body.title.trim() : '';
+        const goal = typeof body.goal === 'string' ? body.goal.trim() : '';
+        if (!title || !goal) {
+            res.status(400).json({ ok: false, error: '缺少 title 或 goal 字段' });
+            return;
+        }
+        const list = loadJsonFile(templatesFile, []);
+        const tpl = {
+            id: `tpl_${Date.now()}_${(0, crypto_1.randomUUID)().slice(0, 4)}`,
+            title,
+            category: typeof body.category === 'string' && body.category.trim() ? body.category.trim() : '自定义',
+            goal,
+            icon: typeof body.icon === 'string' && body.icon.trim() ? body.icon.trim() : '📄',
+            builtin: false,
+        };
+        list.push(tpl);
+        if (!saveJsonFile(templatesFile, list)) {
+            res.status(500).json({ ok: false, error: '模板保存失败（磁盘不可写）' });
+            return;
+        }
+        res.status(201).json({ ok: true, template: tpl });
+    });
+    app.delete('/api/templates/:id', async (req, res) => {
+        const list = loadJsonFile(templatesFile, []);
+        const next = list.filter((t) => t.id !== req.params.id);
+        if (next.length === list.length) {
+            res.status(404).json({ ok: false, error: '模板不存在或不可删除' });
+            return;
+        }
+        if (!saveJsonFile(templatesFile, next)) {
+            res.status(500).json({ ok: false, error: '模板删除失败（磁盘不可写）' });
+            return;
+        }
+        res.json({ ok: true });
+    });
+    /* ========== 办公助理：内置能力清单 ========== */
+    app.get('/api/office/capabilities', (_req, res) => {
+        res.json({
+            ok: true,
+            capabilities: [
+                {
+                    id: 'doc-summary',
+                    icon: '📄',
+                    title: '文档摘要',
+                    desc: '粘贴长文档，生成结构化摘要与要点',
+                    prompt: '请对以下文档做摘要，提取 3-5 个核心要点并列出待办：\n\n',
+                },
+                {
+                    id: 'doc-translate',
+                    icon: '🌐',
+                    title: '中英互译',
+                    desc: '技术文档/代码注释翻译',
+                    prompt: '请将以下内容准确翻译（保留代码与术语）：\n\n',
+                },
+                {
+                    id: 'doc-rewrite',
+                    icon: '✍️',
+                    title: '润色改写',
+                    desc: '把草稿改写为正式/简洁风格',
+                    prompt: '请润色以下文本，使其更专业简洁：\n\n',
+                },
+                {
+                    id: 'meeting-notes',
+                    icon: '📋',
+                    title: '会议纪要',
+                    desc: '从聊天/录音转写生成行动项',
+                    prompt: '请从以下记录中提取：决策、负责人、截止时间、待办：\n\n',
+                },
+                {
+                    id: 'email-draft',
+                    icon: '✉️',
+                    title: '邮件起草',
+                    desc: '按要点生成工作邮件',
+                    prompt: '请起草一封邮件，主题/背景/诉求如下：\n\n',
+                },
+                {
+                    id: 'excel-formula',
+                    icon: '📊',
+                    title: '表格公式',
+                    desc: '描述需求生成 Excel/Sheets 公式',
+                    prompt: '请写出实现以下需求的表格公式并解释：\n\n',
+                },
+            ],
+        });
+    });
+    /* ========== 大模型配置（三重加密：apiKey AES-256-GCM 落盘加密 + RSA 加密传输） ========== */
+    const modelsFile = (0, path_1.join)(homeDir, 'models.json');
+    function loadModels() {
+        const list = loadJsonFile(modelsFile, []);
+        return Array.isArray(list) ? list : [];
+    }
+    /** 解析真实（解密）apiKey，供任务执行器使用 */
+    function resolveApiKey(m) {
+        if (!m.apiKey)
+            return '';
+        return (0, secure_store_1.isEncrypted)(m.apiKey) ? (0, secure_store_1.decryptText)(m.apiKey, masterKey) : m.apiKey;
+    }
+    /** 对外脱敏视图：任何接口都不返回密钥（明文或密文） */
+    function publicModel(m) {
+        return { ...m, apiKey: '' };
+    }
+    function saveModels(list) {
+        // 明文 key 加密后再落盘（已加密的跳过，避免二次加密）
+        const encList = list.map((m) => m.apiKey && !(0, secure_store_1.isEncrypted)(m.apiKey) ? { ...m, apiKey: (0, secure_store_1.encryptText)(m.apiKey, masterKey) } : m);
+        const ok = saveJsonFile(modelsFile, encList);
+        // 同步更新任务队列的模型配置，使用解密后的真实 key（即使落盘失败也更新内存态）
+        queue.setModelProviders(encList.map((m) => ({
+            id: m.id,
+            type: 'openai-compatible',
+            baseURL: m.apiBase,
+            apiKey: resolveApiKey(m),
+            model: m.name,
+        })));
+        return ok;
+    }
+    // 初始化模型提供列表，并注册到任务队列
+    const initialModels = loadModels();
+    queue.setModelProviders(initialModels.map((m) => ({
+        id: m.id,
+        type: 'openai-compatible',
+        baseURL: m.apiBase,
+        apiKey: resolveApiKey(m),
+        model: m.name,
+    })));
+    // 第二重（通信层）：向客户端下发 RSA 公钥，用于加密敏感参数（如模型 API Key）传输
+    app.get('/api/security/public-key', (_req, res) => {
+        res.json({ ok: true, publicKey: rsaKeys.publicKey, algorithm: 'RSA-OAEP-2048-SHA256' });
+    });
+    app.get('/api/models', (_req, res) => {
+        const list = loadModels().map(publicModel);
+        res.json({ ok: true, models: list, defaultId: (list.find((m) => m.default) || {}).id || null });
+    });
+    app.post('/api/models', (req, res) => {
+        const body = req.body;
+        const name = typeof body?.name === 'string' ? body.name.trim() : '';
+        const apiBase = typeof body?.apiBase === 'string' ? body.apiBase.trim() : '';
+        let apiKey = typeof body?.apiKey === 'string' ? body.apiKey : '';
+        // 支持 RSA 公钥加密传输的密钥（App 端使用，防窃听/防中间人截取明文 Key）
+        if (typeof body?.apiKeyEnc === 'string' && body.apiKeyEnc) {
+            const dec = (0, secure_store_1.rsaDecrypt)(body.apiKeyEnc, rsaKeys.privateKey);
+            if (dec)
+                apiKey = dec;
+        }
+        const reasoning = typeof body?.reasoning === 'string' ? body.reasoning : '';
+        if (!name) {
+            res.status(400).json({ ok: false, error: '请填写模型名称' });
+            return;
+        }
+        const list = loadModels();
+        const id = typeof body?.id === 'string' && body.id.trim() ? body.id.trim() : (0, crypto_1.randomUUID)();
+        const idx = list.findIndex((m) => m.id === id);
+        let saved;
+        if (idx >= 0) {
+            // 编辑场景：未提供新 key 则保留原密钥（前端不再回填明文）
+            const cfg = {
+                id, name, apiBase,
+                apiKey: apiKey || list[idx].apiKey,
+                reasoning,
+            };
+            list[idx] = { ...list[idx], ...cfg };
+            saved = list[idx];
+        }
+        else {
+            saved = { id, name, apiBase, apiKey, reasoning };
+            list.push(saved);
+        }
+        if (!saveModels(list)) {
+            res.status(500).json({ ok: false, error: '模型配置保存失败（磁盘不可写，已保留内存态）' });
+            return;
+        }
+        res.json({ ok: true, model: publicModel(saved) });
+    });
+    app.delete('/api/models/:id', (req, res) => {
+        let list = loadModels();
+        const target = list.find((m) => m.id === req.params.id);
+        list = list.filter((m) => m.id !== req.params.id);
+        // 若删除的是默认，且没有其它默认，则把第一个设为默认
+        if (target?.default && !list.some((m) => m.default) && list.length)
+            list[0].default = true;
+        if (!saveModels(list)) {
+            res.status(500).json({ ok: false, error: '模型配置保存失败（磁盘不可写，已保留内存态）' });
+            return;
+        }
+        res.json({ ok: true });
+    });
+    app.post('/api/models/:id/default', (req, res) => {
+        const list = loadModels();
+        const target = list.find((m) => m.id === req.params.id);
+        if (!target) {
+            res.status(404).json({ ok: false, error: '模型不存在' });
+            return;
+        }
+        list.forEach((m) => (m.default = m.id === req.params.id));
+        if (!saveModels(list)) {
+            res.status(500).json({ ok: false, error: '模型配置保存失败（磁盘不可写，已保留内存态）' });
+            return;
+        }
+        res.json({ ok: true, defaultId: target.id });
+    });
     const server = app.listen(port, () => {
-        console.log(`[飞虹 Code] Web 控制台已启动: http://localhost:${port}`);
+        console.log((0, i18n_1.t)('serve.started', { port }));
     });
     return {
         port,
@@ -57,4 +952,35 @@ function startWebServer(opts = {}) {
         close: () => server.close(),
     };
 }
+/** 对外暴露的任务视图。withSteps=true 时携带思维链路步骤与对话历史（仅单任务详情使用），列表接口剔除以降低负载 */
+function publicTask(r, withSteps = false) {
+    if (withSteps)
+        return r;
+    const { steps: _steps, conversation: _conversation, ...rest } = r;
+    return rest;
+}
+/** 使用系统默认程序打开本地文件夹 */
+function openFolder(dir) {
+    if (process.platform === 'win32') {
+        (0, child_process_1.spawn)('explorer', [dir], { detached: true, stdio: 'ignore' }).unref();
+    }
+    else if (process.platform === 'darwin') {
+        (0, child_process_1.spawn)('open', [dir], { detached: true, stdio: 'ignore' }).unref();
+    }
+    else {
+        (0, child_process_1.spawn)('xdg-open', [dir], { detached: true, stdio: 'ignore' }).unref();
+    }
+}
+/** 使用系统默认浏览器打开 URL */
+function openBrowser(url) {
+    if (process.platform === 'win32') {
+        (0, child_process_1.spawn)('cmd', ['/c', 'start', '', url], { detached: true, stdio: 'ignore' }).unref();
+    }
+    else if (process.platform === 'darwin') {
+        (0, child_process_1.spawn)('open', [url], { detached: true, stdio: 'ignore' }).unref();
+    }
+    else {
+        (0, child_process_1.spawn)('xdg-open', [url], { detached: true, stdio: 'ignore' }).unref();
+    }
+}
 //# sourceMappingURL=server.js.map