flower-trellis 0.6.10-beta.4 → 0.6.10-beta.6

package/README.md

@@ -172,7 +172,7 @@ flower-trellis plugin
 
 交互管理器采用 `发现 / 已安装 / 来源 / 问题` 四个页签。Trellis 项目的 `发现` 页会展示 `flower/skill-garden` 内置入口，按 Enter 直接管理工作流强化与可选通用技能；原 `flower-trellis skill` 命令继续保留为高级兼容入口。`发现` 同时合并全部已启用来源的 Plugin，并保留来源标签和即时搜索；未登录 GitLab 来源会直接进入 Device Flow，GitHub 公共来源无需登录。`来源` 页的“新增来源”可选择 GitHub 公共仓库或 GitLab Marketplace；GitHub 会先在临时缓存中下载固定快照、检测格式、展示可导入与忽略组件，确认后才保存。ref 留空时使用仓库默认分支；出现多个格式入口时会要求选择，公开 GitHub 跨仓 Marketplace 条目和 `plugins/*` 多 Plugin 仓库也可识别。
 
-可选通用技能包含 `aliyun-ops`，统一提供阿里云 DMS、SLS、MSE 与 ACK 查询和排障能力；ACK 支持通过短期 KubeConfig 和 Workbench 查询私网 Kubernetes 资源，DMS 写操作通过数据变更工单进入审批流。通用技能需手动选择启用，不会复制用户私有 AK/SK 或 Workbench 配置。Codex 通用技能安装到 `.agents/skills`，Claude 安装到 `.claude/skills`；已有 `.codex` 或 `.agents` 时使用共享目标，已有 `.claude` 时使用 Claude 目标，三个目录都不存在时默认同时安装两份。空目录也可通过 Skill Garden 入口管理通用技能，无需初始化 Trellis。
+可选通用技能包含 `aliyun-ops`，统一提供阿里云 DMS、SLS、MSE 与 ACK 查询和排障能力；ACK 支持通过短期 KubeConfig 和 Workbench 查询私网 Kubernetes 资源，并提供 Deployment 切镜像与改环境变量的受控命令（默认预览、显式 `--yes` 才执行，可通过 ENV 白名单限定命名空间与镜像仓库），DMS 写操作通过数据变更工单进入审批流。通用技能需手动选择启用，不会复制用户私有 AK/SK 或 Workbench 配置。Codex 通用技能安装到 `.agents/skills`，Claude 安装到 `.claude/skills`；已有 `.codex` 或 `.agents` 时使用共享目标，已有 `.claude` 时使用 Claude 目标，三个目录都不存在时默认同时安装两份。空目录也可通过 Skill Garden 入口管理通用技能，无需初始化 Trellis。
 
 安装、更新和卸载都会先展示 dry-run、依赖、capability 和目标文件变化，确认后才写入项目。Plugin 作者使用的 `plugin init`、`plugin validate` 继续保留在高级命令中，不占用普通用户的管理器首页。
 

package/enhancements/0.6/scripts/task_lifecycle.py

@@ -603,6 +603,17 @@ def _tracked_files(repo_root: Path, relative: str) -> list[str]:
     return sorted(path for path in output.split("\0") if path)
 
 
+def _untracked_files(repo_root: Path, relative: str) -> list[str]:
+    """列出路径下可由 Git 纳管的未跟踪文件。"""
+    code, output, error = run_git(
+        ["ls-files", "-z", "--others", "--exclude-standard", "--", relative],
+        cwd=repo_root,
+    )
+    if code != 0:
+        raise TaskLifecycleError("git-ls-files-failed", error.strip() or "无法读取未跟踪文件")
+    return sorted(path for path in output.split("\0") if path)
+
+
 def _run_git_with_index(
     args: list[str],
     repo_root: Path,
@@ -1245,18 +1256,36 @@ def _write_batch_and_commit(
     message: str,
     baseline: dict[str, str],
     transaction: dict[str, Any],
+    *,
+    commit_paths: Optional[list[str]] = None,
+    expected_files: Optional[set[str]] = None,
 ) -> str:
-    """原子写入一批 JSON，并以可恢复的精确 pathspec 创建本地提交。"""
+    """原子写入一批 JSON，并以可恢复的精确 pathspec 创建本地提交。
+
+    Args:
+        repo_root: Git worktree 根目录。
+        writes: 需要原子写入的 JSON 路径与数据。
+        message: maintenance commit 消息。
+        baseline: 事务开始时固定的完整分支引用与 HEAD。
+        transaction: 操作类型与可恢复结果。
+        commit_paths: 可选的精确提交 pathspec；缺省仅提交写入的 JSON。
+        expected_files: 可选的预期提交文件全集；缺省等于写入的 JSON。
+
+    Returns:
+        新创建并绑定到固定分支的提交哈希。
+    """
     originals = [(path, path.read_bytes()) for path, _ in writes]
     relative_paths = [_task_relative(repo_root, path) for path, _ in writes]
+    exact_paths = relative_paths if commit_paths is None else commit_paths
+    exact_files = set(relative_paths) if expected_files is None else expected_files
     try:
         for path, data in writes:
             if not write_json(path, data):
                 raise TaskLifecycleError("write-failed", f"无法写入：{_task_relative(repo_root, path)}")
         return _commit_exact_paths(
             repo_root,
-            relative_paths,
-            set(relative_paths),
+            exact_paths,
+            exact_files,
             message,
             baseline,
             transaction,
@@ -1337,18 +1366,31 @@ def reconcile_legacy_tasks(repo_root: Path, migration_time: Optional[str] = None
         return result
     timestamp = migration_time or utc_now()
     writes: list[tuple[Path, dict[str, Any]]] = []
+    commit_paths: list[str] = []
+    expected_files: set[str] = set()
     for task_dir, data in legacy_dirs:
         task_json = task_dir / FILE_TASK_JSON
         task_ref = _task_relative(repo_root, task_dir)
+        task_json_ref = f"{task_ref}/{FILE_TASK_JSON}"
         path_status = _git_path_status(repo_root, [task_ref])
+        status_records = _status_records(path_status)
         dirty_paths = {
             path
-            for _, paths in _status_records(path_status)
+            for _, paths in status_records
             for path in paths
         }
+        tracked_files = _tracked_files(repo_root, task_ref)
+        untracked_files = set(_untracked_files(repo_root, task_ref)) if not tracked_files else set()
+        entirely_untracked = bool(
+            status_records
+            and not tracked_files
+            and task_json_ref in untracked_files
+            and dirty_paths == untracked_files
+            and all(git_status == "??" for git_status, _ in status_records)
+        )
         runner_owned = (
             task_ref in recorded
-            and dirty_paths == {f"{task_ref}/{FILE_TASK_JSON}"}
+            and dirty_paths == {task_json_ref}
             and (
                 recorded_digests.get(task_ref) == _task_json_sha256(task_json)
                 or _legacy_runner_bookkeeping_matches(
@@ -1359,10 +1401,10 @@ def reconcile_legacy_tasks(repo_root: Path, migration_time: Optional[str] = None
                 )
             )
         )
-        if path_status and not runner_owned:
+        if path_status and not runner_owned and not entirely_untracked:
             result["deferred"].append({"task": task_ref, "reason": "candidate-dirty"})
             continue
-        if not _tracked_files(repo_root, task_ref):
+        if not tracked_files and not entirely_untracked:
             result["deferred"].append({"task": task_ref, "reason": "candidate-untracked"})
             continue
         next_data = dict(data)
@@ -1375,7 +1417,7 @@ def reconcile_legacy_tasks(repo_root: Path, migration_time: Optional[str] = None
                 task_dir,
                 repo_root,
                 next_data,
-                delivery_verified=not path_status or runner_owned,
+                delivery_verified=not path_status or runner_owned or entirely_untracked,
                 closed_at=timestamp,
             )
             if evaluated["status"] == "error":
@@ -1389,6 +1431,13 @@ def reconcile_legacy_tasks(repo_root: Path, migration_time: Optional[str] = None
             result["deferred"].append({"task": task_ref, "reason": "unknown-task-status"})
             continue
         writes.append((task_json, next_data))
+        if entirely_untracked:
+            # 新任务尚无 HEAD 基线，只能把可纳管的完整目录作为一个原子任务记录提交。
+            commit_paths.append(task_ref)
+            expected_files.update(untracked_files)
+        else:
+            commit_paths.append(task_json_ref)
+            expected_files.add(task_json_ref)
         result["migrated"].append({"task": task_ref, "closeout": migration_status})
     if writes:
         result["commit"] = _write_batch_and_commit(
@@ -1397,6 +1446,8 @@ def reconcile_legacy_tasks(repo_root: Path, migration_time: Optional[str] = None
             "chore(task): reconcile closeout metadata",
             baseline,
             {"operation": "reconciliation", "result": result},
+            commit_paths=commit_paths,
+            expected_files=expected_files,
         )
     return result
 

package/enhancements/MANIFEST.json

@@ -1,7 +1,7 @@
 {
-  "syncedAt": "2026-09-23T07:35:26.298Z",
+  "syncedAt": "2026-09-23T10:30:48.306Z",
   "syncedFrom": "vendor/skill-garden",
-  "sourceCommit": "4ac24e07dffb6fa8d6e32a1344394881da9c7f15",
+  "sourceCommit": "f2feb8b818f72b124466a186987690f69665e8d1",
   "common": {
     "codexSkills": [
       "aliyun-ops",

package/enhancements/common/.common/.claude/skills/aliyun-ops/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: aliyun-ops
-description: "统一查询阿里云 DMS、SLS、MSE/Nacos 与 ACK 运维数据。当需要查询线上数据库、执行只读 SQL、预览或提交 DMS 数据变更工单、拉取 SLS 日志或指标、核对 Nacos 配置、查看 ACK 集群和节点，或通过 Workbench 查询私网 Kubernetes 资源、ConfigMap 与 Secret 键名时使用。"
+description: "统一查询阿里云 DMS、SLS、MSE/Nacos 与 ACK 运维数据。当需要查询线上数据库、执行只读 SQL、预览或提交 DMS 数据变更工单、拉取 SLS 日志或指标、核对 Nacos 配置、查看 ACK 集群和节点、通过 Workbench 查询私网 Kubernetes 资源、ConfigMap 与 Secret 键名，或在用户确认后受控切换 Deployment 镜像与环境变量、等待发布结果时使用。"
 ---
 
 # 阿里云运维查询
@@ -14,7 +14,7 @@ description: "统一查询阿里云 DMS、SLS、MSE/Nacos 与 ACK 运维数据
 | 线上数据库查询、DMS 实例/库、数据变更工单 | `scripts/dms.py` | `references/dms.md` |
 | SLS 日志、metricstore 指标、LOG V1 签名 | `scripts/sls_get_logs.py` | `references/sls.md` |
 | MSE 集群、Nacos 配置与配置历史 | `scripts/mse.py` | `references/mse.md` |
-| ACK 集群、节点、KubeConfig、Kubernetes 资源只读查询 | `scripts/ack.py` | `references/ack.md` |
+| ACK 集群、节点、KubeConfig、Kubernetes 资源只读查询；Deployment 切镜像、改环境变量、等待发布 | `scripts/ack.py` | `references/ack.md` |
 
 DMS 与 MSE 复用 `scripts/aliyun_rpc_v1.py`。SLS 使用独立的 LOG V1 签名，ACK 使用 `scripts/ack_roa_v3.py` 的 ACS3-HMAC-SHA256 签名，禁止混用三种协议。新增其它产品时，业务参数、响应解析和安全边界继续放在产品脚本与 reference 中。
 
@@ -34,7 +34,8 @@ DMS 与 MSE 复用 `scripts/aliyun_rpc_v1.py`。SLS 使用独立的 LOG V1 签
 - 默认读取顺序为进程环境 → `~/.config/aliyun-ops/env` → 产品旧路径；后读文件只补空值，不覆盖已有变量。
 - DMS 写操作只能走工单，且真实提交必须显式带 `--yes`。MSE 本期只提供读命令。
 - MSE 当前配置与历史配置无 `--grep` 时只输出摘要；不得为了方便绕过这一边界输出完整配置。
-- ACK 全部命令只读。私网 APIServer 使用短期内网 KubeConfig 加 Workbench 跳板；不提供任意远程 shell 或 `apply/delete/patch/scale`。
+- ACK 查询命令只读。私网 APIServer 使用短期内网 KubeConfig 加 Workbench 跳板；不提供任意远程 shell 或 `apply/delete/patch/scale`。
+- ACK 写入只能通过 `set-image` / `set-env`：默认只预览，用户确认后显式带 `--yes` 才执行；`ALIYUN_ACK_WRITE_NAMESPACES`、`ALIYUN_ACK_IMAGE_PREFIXES` 配置时强制白名单。禁止绕过这两个命令，直接用 `workbench exec`、手工 KubeConfig 或临时脚本执行任何写操作；需求超出这两个命令时，先向用户说明，不要自行变通。
 - ACK 查询先列资源摘要，再按用户明确目标读取单个对象。Secret 只输出键名和脱敏值，KubeConfig 默认不回显正文。
 
 配置模板位于 `assets/env.example`。初始化新文件时由用户主动执行：

package/enhancements/common/.common/.claude/skills/aliyun-ops/assets/env.example

@@ -14,3 +14,7 @@ ALIYUN_SLS_REGION=cn-hangzhou
 # MSE：endpoint 留空时由 region 自动生成。
 ALIYUN_MSE_REGION=cn-hangzhou
 ALIYUN_MSE_ENDPOINT=
+
+# ACK 写入白名单：逗号分隔，留空表示不限制；配置后 set-image/set-env 只允许命中的目标。
+ALIYUN_ACK_WRITE_NAMESPACES=
+ALIYUN_ACK_IMAGE_PREFIXES=

package/enhancements/common/.common/.claude/skills/aliyun-ops/references/ack.md

@@ -1,6 +1,6 @@
-# 阿里云 ACK 只读查询
+# 阿里云 ACK 查询与受控变更
 
-用于查询 ACK 控制面信息，以及在本机无法访问私网 APIServer 时，通过 ACK Worker 和 Workbench CLI 查询 Kubernetes 对象。全部入口只读，不提供集群或工作负载变更能力。
+用于查询 ACK 控制面信息，以及在本机无法访问私网 APIServer 时，通过 ACK Worker 和 Workbench CLI 查询 Kubernetes 对象。查询入口全部只读；变更只提供 Deployment 切镜像与改环境变量两个受控命令，默认预览、显式 `--yes` 才执行。
 
 ## 查询顺序
 
@@ -57,6 +57,35 @@ Workbench 路径固定签发内网临时 KubeConfig，默认有效期 30 分钟
 
 Secret 的 `data` 和 `stringData` 值始终输出 `<REDACTED>`，只保留键名。ConfigMap 可在用户明确指定名称后输出正文；列表摘要只显示名称和键。
 
+## 受控写命令
+
+只在用户明确要求变更时使用。先不带 `--yes` 运行预览，把集群、命名空间、Deployment、容器、当前值 → 目标值和白名单状态展示给用户，获得确认后原样加 `--yes` 重跑。
+
+```bash
+# 切换或回退镜像（回退 = 用旧 tag 再执行一次）
+python3 scripts/ack.py set-image --cluster <cluster-id> --namespace <namespace> \
+  --deployment <deployment> [--container <container>] --image <registry/repo:tag>
+
+# 设置或删除指定环境变量键（均可重复）
+python3 scripts/ack.py set-env --cluster <cluster-id> --namespace <namespace> \
+  --deployment <deployment> [--container <container>] --set KEY=VALUE --unset OLD_KEY
+
+# 确认后执行并在同一会话等待发布完成
+python3 scripts/ack.py set-image ... --yes --wait --timeout 300
+
+# 只读等待或查看发布状态
+python3 scripts/ack.py rollout-status --cluster <cluster-id> --namespace <namespace> \
+  --deployment <deployment> --timeout 300
+```
+
+- 写命令固定经 Workbench 执行，复用临时内网 KubeConfig 与两端清理流程，无需 `--via-workbench`。
+- Deployment 只有一个容器时可省略 `--container`；多个容器必须显式指定。
+- 镜像必须带 `:tag` 或 `@sha256:` digest；当前值与目标值一致时不执行写入。
+- `set-env` 只修改指定键，拒绝修改通过 `valueFrom` 引用 Secret/ConfigMap 的键；不支持批量导入。
+- `--timeout` 为 10~570 秒。写入成功但等待或清理失败时，错误会注明"写入已生效"，不要重复执行写命令，先用 `rollout-status` 或 `get` 核对。
+- 在私有 ENV 中配置 `ALIYUN_ACK_WRITE_NAMESPACES`、`ALIYUN_ACK_IMAGE_PREFIXES`（逗号分隔）后，未命中的命名空间或镜像在任何云调用前失败；留空表示不限制。
+- 不提供重启、扩缩容、删除、任意 `patch` 或远程 shell。需求超出以上命令时向用户说明，禁止改用 `workbench exec` 或临时脚本自行执行写操作。
+
 ## Workbench 前置条件
 
 - 本机已安装官方 `workbench` CLI，`workbench version` 可执行。
@@ -78,14 +107,14 @@ Secret 的 `data` 和 `stringData` 值始终输出 `<REDACTED>`，只保留键
 | 列集群 | `cs:GetClusters` |
 | 集群详情 | `cs:DescribeClusterDetail` |
 | 关联云资源 | `cs:DescribeClusterResources` |
-| 节点列表与自动选节点 | `cs:DescribeClusterNodes` |
-| KubeConfig 与 `get` | `cs:DescribeClusterUserKubeconfig` |
+| 节点列表与 Workbench 自动选节点 | `cs:DescribeClusterNodes` |
+| KubeConfig、`get`、受控写命令与 `rollout-status` | `cs:DescribeClusterUserKubeconfig` |
 
 临时 KubeConfig 有效期还可通过 `cs:KubeConfigDurationMinutes` 条件收敛。
 
 ### ACK 集群 RBAC
 
-KubeConfig 只代表当前 RAM 身份。该身份还必须在目标集群与命名空间内拥有对应资源的 `get`、列表场景的 `list` 权限。OpenAPI 成功不代表 Kubernetes RBAC 已授权。
+KubeConfig 只代表当前 RAM 身份。该身份还必须在目标集群与命名空间内拥有对应资源的 `get`、列表场景的 `list` 权限；受控写命令还需要 `deployments` 的 `patch` 权限，`--wait` / `rollout-status` 需要 `deployments`、`replicasets` 的 `get`/`list`/`watch`。OpenAPI 成功不代表 Kubernetes RBAC 已授权。
 
 ### Workbench / ECS RAM
 
@@ -104,6 +133,7 @@ KubeConfig 只代表当前 RAM 身份。该身份还必须在目标集群与命
 - `无法连通 APIServer`：先看 `detail`。只有内网端点时改用 `--via-workbench`，不建议为了查询临时开放生产公网端点。
 - `Forbidden`：检查 ACK 集群 RBAC；这与 `cs:*` RAM 权限无关。
 - `profile not found`：运行 `workbench config list` 核对 profile，并通过 `--workbench-profile` 指定。
+- Workbench 上传偶发失败：脚本会自动重试一次；仍失败时错误只保留去掉进度动画后的真实原因。
 - Workbench 登录或上传 403：逐项核对 Workbench/ECS RAM Action、实例范围和服务关联角色。
 - 无可自动选择 Worker：运行 `nodes` 查看状态，确认存在 Running/Ready 的阿里云 Worker，或显式传 `--instance-id`。
 - 远端没有 `kubectl`：更换 ACK Worker 或修复节点工具环境；脚本不会自动安装软件。