gaoding-cli 1.0.0-alpha.10

package/dist/src/platform/url-safety.js

@@ -0,0 +1,100 @@
+import { isIP } from "node:net";
+export class UrlSafetyError extends Error {
+    constructor() {
+        super("URL 不可用于远程素材。");
+        this.name = "UrlSafetyError";
+    }
+}
+function fail() {
+    throw new UrlSafetyError();
+}
+function parseIpv4(hostname) {
+    if (isIP(hostname) !== 4)
+        return null;
+    return hostname.split(".").map(Number);
+}
+function isPrivateIpv4(parts) {
+    const first = parts[0] ?? -1;
+    const second = parts[1] ?? -1;
+    return first === 0
+        || first === 10
+        || first === 127
+        || (first === 169 && second === 254)
+        || (first === 172 && second >= 16 && second <= 31)
+        || (first === 192 && second === 168);
+}
+function expandIpv6(hostname) {
+    if (isIP(hostname) !== 6)
+        return null;
+    const [left = "", right = "", ...rest] = hostname.split("::");
+    if (rest.length > 0)
+        return null;
+    const leftParts = left === "" ? [] : left.split(":");
+    const rightParts = right === "" ? [] : right.split(":");
+    const missing = 8 - leftParts.length - rightParts.length;
+    if (!hostname.includes("::") && missing !== 0)
+        return null;
+    if (hostname.includes("::") && missing < 1)
+        return null;
+    const values = [
+        ...leftParts,
+        ...Array.from({ length: missing }, () => "0"),
+        ...rightParts
+    ].map((part) => Number.parseInt(part, 16));
+    return values.length === 8 && values.every((part) => Number.isInteger(part))
+        ? values
+        : null;
+}
+function isPrivateIpv6(parts) {
+    const first = parts[0] ?? -1;
+    const unspecified = parts.every((part) => part === 0);
+    const loopback = parts.slice(0, 7).every((part) => part === 0) && parts[7] === 1;
+    const uniqueLocal = (first & 0xfe00) === 0xfc00;
+    const linkLocal = (first & 0xffc0) === 0xfe80;
+    const mappedIpv4 = parts.slice(0, 5).every((part) => part === 0)
+        && parts[5] === 0xffff;
+    if (mappedIpv4) {
+        const high = parts[6] ?? 0;
+        const low = parts[7] ?? 0;
+        return isPrivateIpv4([
+            high >> 8,
+            high & 0xff,
+            low >> 8,
+            low & 0xff
+        ]);
+    }
+    return unspecified || loopback || uniqueLocal || linkLocal;
+}
+export function parseSafeRemoteAssetUrl(value) {
+    let url;
+    try {
+        url = new URL(value);
+    }
+    catch {
+        return fail();
+    }
+    if ((url.protocol !== "http:" && url.protocol !== "https:")
+        || url.username !== ""
+        || url.password !== "") {
+        return fail();
+    }
+    const hostname = url.hostname
+        .replace(/^\[|\]$/g, "")
+        .replace(/[.]+$/, "")
+        .toLowerCase();
+    if (hostname === "localhost"
+        || hostname.endsWith(".localhost")
+        || hostname.endsWith(".local")
+        || hostname === "metadata"
+        || hostname === "metadata.google.internal"
+        || hostname === "169.254.169.254") {
+        return fail();
+    }
+    const ipv4 = parseIpv4(hostname);
+    if (ipv4 !== null && isPrivateIpv4(ipv4))
+        return fail();
+    const ipv6 = expandIpv6(hostname);
+    if (ipv6 !== null && isPrivateIpv6(ipv6))
+        return fail();
+    return url;
+}

package/package.json

@@ -0,0 +1,56 @@
+{
+  "name": "gaoding-cli",
+  "version": "1.0.0-alpha.10",
+  "description": "Gaoding command-line interface for agents and people.",
+  "type": "module",
+  "license": "MIT",
+  "publishConfig": {
+    "access": "public",
+    "registry": "https://registry.npmjs.org/",
+    "tag": "alpha"
+  },
+  "engines": {
+    "node": ">=24"
+  },
+  "bin": {
+    "gd-cli": "dist/bin/gd-cli.js"
+  },
+  "files": [
+    "contracts",
+    "dist",
+    "skills",
+    "README.md",
+    "LICENSE"
+  ],
+  "dependencies": {
+    "ajv": "8.20.0",
+    "ajv-formats": "3.0.1",
+    "ali-oss": "6.23.0",
+    "commander": "15.0.0",
+    "open": "11.0.0",
+    "qrcode": "1.5.4",
+    "semver": "7.8.5",
+    "sharp": "0.35.3",
+    "ws": "8.21.1"
+  },
+  "devDependencies": {
+    "@types/ali-oss": "6.23.3",
+    "@types/node": "24.13.3",
+    "@types/qrcode": "1.5.6",
+    "@types/semver": "7.7.1",
+    "@types/ws": "8.18.1",
+    "typescript": "7.0.2",
+    "vitest": "4.1.10",
+    "@gaoding/gd-connector-contracts": "0.1.0"
+  },
+  "scripts": {
+    "contracts:build": "pnpm --filter @gaoding/gd-connector-contracts build",
+    "clean": "node -e \"for (const p of ['contracts', 'dist']) require('node:fs').rmSync(p, { recursive: true, force: true })\"",
+    "bundle:contracts": "node scripts/bundle-contracts.mjs",
+    "build": "pnpm contracts:build && pnpm clean && tsc -p tsconfig.build.json && pnpm bundle:contracts",
+    "test": "pnpm contracts:build && vitest run",
+    "typecheck": "pnpm contracts:build && tsc -p tsconfig.json",
+    "check": "pnpm contracts:build && vitest run && tsc -p tsconfig.json && pnpm clean && tsc -p tsconfig.build.json && pnpm bundle:contracts",
+    "postinstall": "node -e \"const p='./dist/bin/postinstall.js'; if (require('node:fs').existsSync(p)) import(p)\""
+  }
+}

package/skills/gd-cli/SKILL.md

@@ -0,0 +1,15 @@
+---
+name: gd-cli
+description: Use when creating images, videos or text with GD CLI, operating the focused Gaoding editor, or managing Gaoding DAM assets.
+---
+
+# GD CLI
+
+按用户目标只读取对应参考：
+
+- 开放式创作、工具发现与模型调用：[创作](references/creation.md)
+- 操作当前 AI+ Editor 作品：[编辑器](references/editor.md)
+- 查询、上传或删除 DAM 素材：[素材管理](references/dam.md)
+- 登录或选择组织：[登录与组织](references/auth-org.md)
+- 处理输出、警告、失败或中断：[错误处理](references/errors.md)
+- 更新 CLI 与随包 Agent Skill：[更新](references/update.md)

package/skills/gd-cli/references/auth-org.md

@@ -0,0 +1,9 @@
+# 登录与组织
+
+1. 用 `gd-cli auth status` 检查登录状态；需要机器读取时使用 `--json`。
+2. 未登录时执行 `gd-cli auth login`，按终端提示在浏览器完成授权；无法自动打开浏览器时使用 `--no-browser`。
+3. 用 `gd-cli org list` 查看当前账号可用的组织，用 `gd-cli org current` 查看当前选择。
+4. 让用户从真实列表中选择，再执行 `gd-cli org switch --org <org-id>`；不要猜组织 ID。
+5. 用户要求退出或登录状态失效时执行 `gd-cli auth logout`；状态失效后重新登录。
+
+不要向用户索要或回显 Bearer Token、Cookie、AK、SK 或签名。组织不可用时先切换组织；仍无法恢复时退出后重新登录。

package/skills/gd-cli/references/creation.md

@@ -0,0 +1,38 @@
+# 创作
+
+## 选择入口
+
+- 目标开放、需要稿定 Agent 完成创作时，使用 `gd-cli agent send`。
+- 已知要调用具体图片、视频或文本能力时，依次发现 Tool、选择 Model、读取输入 Schema，再调用 Tool。
+- 不猜 Tool 名、Model 名或参数；以当前命令输出为准。
+
+## Agent 创作
+
+先读取输入规范，再提交同一份结构化对象：
+
+```bash
+gd-cli agent send --schema
+gd-cli agent send --input request.json
+```
+
+也可用 `--input -` 从 stdin 读取 JSON。成功结果包含 `message` 和本轮实际稿豆消耗 `usage`；将文本、资源与实际消耗交付给用户。
+
+## Tool 创作
+
+按顺序执行：
+
+```bash
+gd-cli tool list
+gd-cli model list --tool <tool>
+gd-cli model get <model>
+gd-cli tool call <tool> --schema
+gd-cli tool call <tool> --input request.json
+```
+
+`tool list` 给出可用 Tool；`model list` 和 `model get` 给出当前可用 Model、费用与预估耗时等信息；`tool call --schema` 给出所选 Tool 的实时输入要求。不要把列表值固化在提示或脚本中。
+
+成功结果包含 `content` 和 `usage`。`content` 是文本或资源链接；`usage` 包含所选模型及模型目录公布的稿豆价格区间，不表示实际扣费。
+
+## 本地媒体
+
+按所选 Schema 在输入中提交本地媒体引用。CLI 会在内部通过 DAM 完成临时上传并把公网 URL 传给创作服务；不要自行伪造 URL，也不要读取用户未明确授权的路径。

package/skills/gd-cli/references/dam.md

@@ -0,0 +1,20 @@
+# DAM 素材管理
+
+## 查询
+
+- `gd-cli dam list --repository-id <id>` 查看资源库中的最近素材。
+- `gd-cli dam search <query> --repository-id <id>` 按关键词搜索。
+- `gd-cli dam get <asset>` 获取某个素材的完整信息与可用 URL。
+- 跨资源库查询仅在用户明确要求时使用 `--all-repositories`。
+
+列表与搜索支持文件夹、类型、格式、标签、数量和游标筛选。先使用命令 `--help` 核对当前选项，不猜资源库 ID、文件夹 ID 或素材 ID。
+
+## 写入
+
+- 用 `gd-cli dam upload <file> --repository-id <id>` 上传本地文件；按需补充标题、文件夹或标签。
+- 只有用户明确允许受保护路径时才加 `--allow-sensitive-path`。
+- 需要等素材分析完成时加 `--wait-analysis`。
+- 用 `gd-cli dam delete <asset> --repository-id <id>` 移入回收站。
+- 只有用户明确要求永久删除时才加 `--permanent`。
+
+上传和删除前确认目标资源库；不得从本地登录状态或历史输出中替用户猜测目标。

package/skills/gd-cli/references/editor.md

@@ -0,0 +1,12 @@
+# AI+ Editor
+
+只操作当前连接的作品，并在修改前后读取真实画布状态。
+
+1. 用 `gd-cli editor connect [target]` 打开并连接作品；`target` 可以是作品 ID 或完整 URL，省略时打开新作品。
+2. 用 `gd-cli editor snapshot` 读取元素与选择状态。
+3. 把有序元素操作写入 JSON，再用 `gd-cli editor apply --input actions.json` 应用；也可用 `--input -`。
+4. 再次执行 `gd-cli editor snapshot`，必要时执行 `gd-cli editor screenshot` 做视觉复核。
+5. 用 `gd-cli editor save` 保存；需要机器可读结果时仅对支持的命令使用 `--json`。
+6. 完成后用 `gd-cli editor disconnect` 断开连接。
+
+不要在未读取快照时猜测元素 ID。修改结果与目标不符时，先重新读取快照或截图，再生成下一组操作。

package/skills/gd-cli/references/errors.md

@@ -0,0 +1,10 @@
+# 输出与错误
+
+- `stdout` 只承载命令结果；结构化命令的 JSON 可直接解析。
+- `stderr` 承载警告、授权提示和错误；不要把警告混入结果。
+- 退出码 `0` 表示成功。
+- 退出码 `1` 表示运行、服务或状态失败；读取错误码与“下一步”，处理后再重试。
+- 退出码 `2` 表示命令或参数错误；执行对应命令的 `--help` 后修正调用。
+- 退出码 `130` 表示用户中断；立即停止，不自动重试。
+
+不要从未知错误中推断内部实现，也不要输出本地凭证、请求签名或带敏感查询参数的 URL。命令失败且没有安全恢复步骤时，保留原始 stderr 的公开错误码并向用户说明。

package/skills/gd-cli/references/update.md

@@ -0,0 +1,11 @@
+# 更新
+
+执行：
+
+```bash
+gd-cli update
+```
+
+该命令检查 npm `latest`，更新受支持的 npm 或 pnpm 全局安装，并确保随包 `gd-cli` Agent Skill 已同步；CLI 已是最新版本时仍会同步 Agent Skill。pnpm 更新只为 `gaoding-cli` 启用安装脚本。
+
+命令不接收参数或 `--json`。不支持自动更新的安装来源会给出明确的 npm、pnpm 全局安装命令。若 CLI 已更新但 Agent Skill 验收失败，保留已更新版本，按 stderr 的下一步修复后重新执行 `gd-cli update`。