guanwei 1.3.4 → 1.3.5

package/scripts/check-package.mjs

@@ -1,71 +0,0 @@
-#!/usr/bin/env node
-// 发布内容守卫（硬门槛）：断言 npm 包内不含任何运行时数据与密钥
-//
-// 用法：node scripts/check-package.mjs   （CI / release / 本地发布前均调用）
-// 退出码：0=干净；1=命中敏感内容（拒绝发布）
-//
-// 背景（2026-09 事故）：`files` 白名单曾含 `server/src`，而运行时数据默认写在
-// `server/src/data/`，导致 1.1.1–1.3.2 全部 npm 版本把用户档案（含 token/passHash/
-// 出生信息）与占卜记录打包公开。此守卫对**文件名与文件内容**双重检查。
-import { execFileSync } from 'node:child_process';
-import fs from 'node:fs';
-import os from 'node:os';
-import path from 'node:path';
-
-const tmp = fs.mkdtempSync(path.join(os.tmpdir(), 'gw-pack-'));
-let tgz;
-try {
-  // --cache 指向临时目录：避免依赖本机 ~/.npm 缓存状态（权限异常时 npm 会直接失败）
-  const out = execFileSync('npm', ['pack', '--ignore-scripts', '--json', '--pack-destination', tmp, '--cache', path.join(tmp, 'npmcache')],
-    { encoding: 'utf8', stdio: ['ignore', 'pipe', 'pipe'] });
-  tgz = path.join(tmp, JSON.parse(out)[0].filename);
-} catch (e) {
-  console.error('✗ npm pack 失败：', e.message);
-  process.exit(1);
-}
-
-// 1) 文件名黑名单
-const BAD_NAME = [
-  /(^|\/)\.env(\.|$)/, /(^|\/)db\.json$/, /(^|\/)guanwei\.db$/, /\.(sqlite|sqlite3|db)$/,
-  /(^|\/)\.npmrc$/, /(^|\/)id_rsa/, /\.pem$/, /(^|\/)secret/i,
-];
-const names = execFileSync('tar', ['-tzf', tgz], { encoding: 'utf8' }).split('\n').filter(Boolean);
-const badNames = names.filter(n => BAD_NAME.some(re => re.test(n)));
-
-// 2) 内容级扫描（解包后逐文件，跳过二进制大文件）
-const dir = path.join(tmp, 'x');
-fs.mkdirSync(dir);
-execFileSync('tar', ['-xzf', tgz, '-C', dir]);
-const BAD_CONTENT = [
-  [/sk-[A-Za-z0-9_-]{20,}/, '疑似 OpenAI/DeepSeek 风格 key'],
-  [/AIza[0-9A-Za-z_-]{30,}/, '疑似 Google API key'],
-  [/gsk_[A-Za-z0-9]{40,}/, '疑似 Groq key'],
-  [/sk-[a-f0-9]{32}/, '疑似 DashScope key'],
-  [/xox[baprs]-[A-Za-z0-9-]{10,}/, '疑似 Slack token'],
-  [/gh[pousr]_[A-Za-z0-9]{30,}/, '疑似 GitHub token'],
-  [/_authToken\s*=\s*(?!\$\{)[A-Za-z0-9_.\-]{16,}/, 'npm 认证 token（真实值）'],
-  [/"(passHash|tokenExpires)"\s*:/, '用户档案库特征字段'],
-];
-const hits = [];
-const walk = (d) => {
-  for (const ent of fs.readdirSync(d, { withFileTypes: true })) {
-    const p = path.join(d, ent.name);
-    if (ent.isDirectory()) { walk(p); continue; }
-    const rel = path.relative(dir, p);
-    if (/\.(png|jpg|jpeg|gif|ico|woff2?|ttf|db|zip|pdf)$/i.test(ent.name)) continue;   // 二进制跳过
-    if (fs.statSync(p).size > 8 * 1024 * 1024) continue;
-    const text = fs.readFileSync(p, 'utf8');
-    for (const [re, label] of BAD_CONTENT) if (re.test(text)) hits.push(rel + ' ← ' + label);
-  }
-};
-walk(dir);
-
-fs.rmSync(tmp, { recursive: true, force: true });
-
-if (badNames.length || hits.length) {
-  console.error('✗ 包内容守卫未通过——拒绝发布');
-  if (badNames.length) console.error('  敏感文件：', badNames.slice(0, 10));
-  if (hits.length) console.error('  敏感内容：', hits.slice(0, 10));
-  process.exit(1);
-}
-console.log(`✅ 包内容干净（${names.length} 个文件，无运行时数据/密钥）`);

package/scripts/credentials.mjs

@@ -1,52 +0,0 @@
-// 本地凭据加载（统一入口，供各脚本复用）
-//
-// 设计说明（为什么不是直接让 npm 读 .env）：
-//   - npm CLI **不读** .env；它只读 .npmrc，并支持 `${VAR}` 环境变量插值
-//   - 因此约定：token 值集中放 internal/.env（人可读、整目录 gitignore），
-//     由脚本读取后注入环境/临时 .npmrc，再调用 npm
-//
-// 读取优先级：环境变量 > internal/.env > internal/<name> 独立文件
-import fs from 'node:fs';
-import path from 'node:path';
-
-const ROOT = process.cwd();
-const ENV_FILE = path.join(ROOT, 'internal', '.env');
-
-/** 极简 dotenv 解析（仅 KEY=VALUE，支持 # 整行注释与引号） */
-function parseEnvFile(file) {
-  const out = {};
-  if (!fs.existsSync(file)) return out;
-  for (const raw of fs.readFileSync(file, 'utf8').split(/\r?\n/)) {
-    const line = raw.trim();
-    if (!line || line.startsWith('#')) continue;
-    const eq = line.indexOf('=');
-    if (eq <= 0) continue;
-    const k = line.slice(0, eq).trim();
-    let v = line.slice(eq + 1).trim();
-    if ((v.startsWith('"') && v.endsWith('"')) || (v.startsWith("'") && v.endsWith("'"))) v = v.slice(1, -1);
-    if (v) out[k] = v;
-  }
-  return out;
-}
-
-function readFileIfExists(rel) {
-  const p = path.join(ROOT, rel);
-  try { return fs.existsSync(p) ? fs.readFileSync(p, 'utf8').trim() : ''; } catch { return ''; }
-}
-
-/** 返回 { GITHUB_TOKEN, NPM_TOKEN }（缺失则为空字符串） */
-export function loadCredentials() {
-  const fromEnvFile = parseEnvFile(ENV_FILE);
-  const pick = (key, file) =>
-    process.env[key]?.trim() || fromEnvFile[key] || readFileIfExists(file) || '';
-  return {
-    GITHUB_TOKEN: pick('GITHUB_TOKEN', 'internal/github-token'),
-    NPM_TOKEN: pick('NPM_TOKEN', 'internal/npm-token'),
-  };
-}
-
-export const CRED_FILES = {
-  env: 'internal/.env',
-  github: 'internal/github-token',
-  npm: 'internal/npm-token',
-};

package/scripts/github-history-cleanup.mjs

@@ -1,140 +0,0 @@
-#!/usr/bin/env node
-// GitHub 仓库历史清理工具（可复用于任何仓库）
-//
-// 场景：用 git filter-repo 重写历史后，远端仍残留指向旧历史的 tag / release / 分支
-//      （尤其 immutable release 的 tag 会被 GitHub 永久绑定，无法用 git push 更新）。
-//
-// 用法：
-//   GITHUB_TOKEN=xxx node scripts/github-history-cleanup.mjs list   --repo owner/name
-//   GITHUB_TOKEN=xxx node scripts/github-history-cleanup.mjs purge  --repo owner/name --keep v1.3.4 [--apply]
-//   GITHUB_TOKEN=xxx node scripts/github-history-cleanup.mjs branches --repo owner/name [--apply]
-//
-//   token 读取顺序：--token-file > $GITHUB_TOKEN > internal/github-token（本地私有，git 忽略）
-//   默认 **dry-run**：不加 --apply 只打印将要执行的操作。
-import fs from 'node:fs';
-import path from 'node:path';
-
-const argv = process.argv.slice(2);
-const cmd = argv[0];
-const arg = (name, def) => {
-  const i = argv.indexOf(name);
-  return i >= 0 && argv[i + 1] ? argv[i + 1] : def;
-};
-const has = (name) => argv.includes(name);
-const REPO = arg('--repo');
-const KEEP = (arg('--keep', '') || '').split(',').map(s => s.trim()).filter(Boolean);
-const APPLY = has('--apply');
-if (!REPO || !REPO.includes('/')) {
-  console.error('用法: node scripts/github-history-cleanup.mjs <list|purge|branches|releases> --repo owner/name [--keep tag,...] [--apply]');
-  process.exit(1);
-}
-const TOKEN = (() => {
-  const f = arg('--token-file');
-  const candidates = [f, process.env.GITHUB_TOKEN && '(env)', path.resolve('internal/github-token')].filter(Boolean);
-  if (f && fs.existsSync(f)) return fs.readFileSync(f, 'utf8').trim();
-  if (process.env.GITHUB_TOKEN) return process.env.GITHUB_TOKEN.trim();
-  const local = path.resolve('internal/github-token');
-  if (fs.existsSync(local)) return fs.readFileSync(local, 'utf8').trim();
-  console.error('缺少 token（--token-file / $GITHUB_TOKEN / internal/github-token 均不可用）', candidates);
-  process.exit(1);
-})();
-
-async function api(method, p, body) {
-  const res = await fetch('https://api.github.com' + p, {
-    method,
-    headers: {
-      Authorization: 'Bearer ' + TOKEN,
-      Accept: 'application/vnd.github+json',
-      'X-GitHub-Api-Version': '2022-11-28',
-      ...(body ? { 'Content-Type': 'application/json' } : {}),
-    },
-    body: body ? JSON.stringify(body) : undefined,
-  });
-  const text = await res.text();
-  return { status: res.status, body: text ? JSON.parse(text) : null };
-}
-
-async function listAll(p) {
-  const out = [];
-  for (let page = 1; page <= 10; page++) {
-    const { status, body } = await api('GET', `${p}${p.includes('?') ? '&' : '?'}per_page=100&page=${page}`);
-    if (status !== 200 || !Array.isArray(body) || body.length === 0) break;
-    out.push(...body);
-    if (body.length < 100) break;
-  }
-  return out;
-}
-
-const info = async () => {
-  const { status, body } = await api('GET', `/repos/${REPO}`);
-  if (status !== 200) { console.error('仓库不可读:', status, body?.message); process.exit(1); }
-  return body;
-};
-
-const run = async () => {
-  const repo = await info();
-  const releases = await listAll(`/repos/${REPO}/releases`);
-  const tags = await listAll(`/repos/${REPO}/git/refs/tags`);
-  const branches = await listAll(`/repos/${REPO}/branches`);
-  const tagNames = tags.map(t => t.ref.replace('refs/tags/', ''));
-
-  if (cmd === 'list') {
-    console.log(`仓库 ${REPO}（默认分支 ${repo.default_branch}）`);
-    console.log(`  releases (${releases.length}):`, releases.map(r => `${r.tag_name}${r.immutable ? '(immutable)' : ''}`).join(', ') || '无');
-    console.log(`  tags (${tagNames.length}):`, tagNames.join(', ') || '无');
-    console.log(`  branches (${branches.length}):`, branches.map(b => b.name).join(', '));
-    const stale = tagNames.filter(t => !KEEP.includes(t));
-    console.log(`\n--keep 之外的 tag（purge 将删除其 release + tag）:`, stale.join(', ') || '无');
-    return;
-  }
-
-  if (cmd === 'branches') {
-    const stale = branches.map(b => b.name).filter(n => n !== repo.default_branch);
-    if (!stale.length) return console.log('无非默认分支');
-    for (const n of stale) {
-      if (!APPLY) { console.log(`[dry-run] 将删除分支 ${n}`); continue; }
-      const { status } = await api('DELETE', `/repos/${REPO}/git/refs/heads/${n}`);
-      console.log(`删除分支 ${n} → ${status}`);
-    }
-    return;
-  }
-
-  if (cmd === 'purge' || cmd === 'releases') {
-    // 防误删：未显式 --keep 时，默认保留「最新版本 tag」（latest release → semver 最大者）
-    let keep = [...KEEP];
-    if (keep.length === 0) {
-      const { body: latest } = await api('GET', `/repos/${REPO}/releases/latest`);
-      const cand = latest?.tag_name || tagNames
-        .slice()
-        .sort((a, b) => a.localeCompare(b, undefined, { numeric: true }))
-        .pop();
-      if (cand) { keep = [cand]; console.log(`（未指定 --keep，默认保留最新版本 ${cand}）`); }
-    }
-    const staleTags = tagNames.filter(t => !keep.includes(t));
-    const byTag = new Map(releases.map(r => [r.tag_name, r]));
-    for (const t of staleTags) {
-      const rel = byTag.get(t);
-      if (rel) {
-        if (!APPLY) console.log(`[dry-run] 将删除 release ${t}${rel.immutable ? '（immutable）' : ''} + tag ${t}`);
-        else {
-          const d1 = await api('DELETE', `/repos/${REPO}/releases/${rel.id}`);
-          const d2 = await api('DELETE', `/repos/${REPO}/git/refs/tags/${t}`);
-          console.log(`删除 ${t}: release=${d1.status} tag=${d2.status}`);
-        }
-      } else if (cmd === 'purge') {
-        if (!APPLY) console.log(`[dry-run] 将删除 tag ${t}（无 release）`);
-        else {
-          const d = await api('DELETE', `/repos/${REPO}/git/refs/tags/${t}`);
-          console.log(`删除 tag ${t} → ${d.status}`);
-        }
-      }
-    }
-    if (!APPLY) console.log(`\n共 ${staleTags.length} 个待处理；确认后加 --apply 执行`);
-    return;
-  }
-
-  console.error('未知子命令:', cmd);
-  process.exit(1);
-};
-
-run().catch(e => { console.error('执行失败:', e.message); process.exit(1); });

package/scripts/npm-release.mjs

@@ -1,79 +0,0 @@
-#!/usr/bin/env node
-// npm 发布工具（读本地凭据 → 校验 → 包内容守卫 → 发布）
-//
-// 用法：
-//   node scripts/npm-release.mjs --check            # 只校验凭据与登录态（不发布）
-//   node scripts/npm-release.mjs --dry-run          # 走一遍打包与守卫，不真正发布
-//   node scripts/npm-release.mjs                    # 正式发布（用 internal/.env 的 NPM_TOKEN）
-//   node scripts/npm-release.mjs --otp 123456       # 用动态码（无 Automation token 时）
-//
-// 为什么需要它：npm 不读 .env；本脚本把 internal/.env 的 NPM_TOKEN 注入临时 .npmrc 后调用 npm。
-import { execFileSync, spawnSync } from 'node:child_process';
-import fs from 'node:fs';
-import path from 'node:path';
-import { loadCredentials, CRED_FILES } from './credentials.mjs';
-
-const argv = process.argv.slice(2);
-const has = (f) => argv.includes(f);
-const val = (f) => { const i = argv.indexOf(f); return i >= 0 ? argv[i + 1] : ''; };
-const REGISTRY = 'https://registry.npmjs.org';
-const ROOT = process.cwd();
-
-const { NPM_TOKEN } = loadCredentials();
-const otp = val('--otp');
-
-async function whoami(token) {
-  const res = await fetch(`${REGISTRY}/-/whoami`, { headers: token ? { Authorization: 'Bearer ' + token } : {} });
-  if (!res.ok) return null;
-  return (await res.json()).username;
-}
-
-const run = async () => {
-  const pkg = JSON.parse(fs.readFileSync('package.json', 'utf8'));
-  console.log(`包 ${pkg.name}@${pkg.version} → ${REGISTRY}`);
-
-  // 1) 凭据检查
-  let user = null;
-  if (NPM_TOKEN) {
-    user = await whoami(NPM_TOKEN);
-    console.log(`NPM_TOKEN 校验: ${user ? '✅ 有效（账号 ' + user + '）' : '❌ 无效/已撤销'}`);
-    if (!user) process.exit(1);
-  } else {
-    console.log(`未找到 NPM_TOKEN（可写入 ${CRED_FILES.env} 或 ${CRED_FILES.npm}）`);
-    user = await whoami('');   // 回退系统 ~/.npmrc
-    console.log(`系统 npm 登录态: ${user ? '✅ ' + user : '❌ 未登录/已失效'}`);
-    if (!user && !otp) { console.error('既无 NPM_TOKEN 也无有效登录态 → 无法发布'); process.exit(1); }
-  }
-  if (has('--check')) return;
-
-  // 2) 包内容守卫（硬门槛）
-  if (!has('--skip-guard')) {
-    console.log('包内容守卫...');
-    execFileSync('node', ['scripts/check-package.mjs'], { stdio: 'inherit' });
-  }
-
-  // 3) 临时 userconfig（仅当使用 NPM_TOKEN）
-  let cfgPath = '';
-  if (NPM_TOKEN) {
-    cfgPath = path.join(ROOT, 'internal', '.npmrc');
-    fs.writeFileSync(cfgPath, `registry=${REGISTRY}\n//registry.npmjs.org/:_authToken=\${NPM_TOKEN}\n`);
-    fs.chmodSync(cfgPath, 0o600);
-  }
-
-  // 4) 发布
-  const args = ['publish', '--registry', REGISTRY];
-  if (cfgPath) args.push('--userconfig', cfgPath);
-  if (otp) args.push('--otp', String(otp));
-  if (has('--dry-run')) args.push('--dry-run');
-  console.log('执行: npm ' + args.join(' '));
-  const r = spawnSync('npm', args, {
-    stdio: 'inherit',
-    env: { ...process.env, ...(NPM_TOKEN ? { NPM_TOKEN } : {}), npm_config_cache: path.join(ROOT, '.npm-cache') },
-  });
-  if (cfgPath) { try { fs.unlinkSync(cfgPath); } catch { /* ignore */ } }
-  try { fs.rmSync(path.join(ROOT, '.npm-cache'), { recursive: true, force: true }); } catch { /* ignore */ }
-  if (r.status !== 0) { console.error('❌ 发布失败（退出码 ' + r.status + '）'); process.exit(r.status || 1); }
-  console.log('✅ 发布完成');
-};
-
-run().catch(e => { console.error('执行失败:', e.message); process.exit(1); });

package/scripts/preflight-release.sh

@@ -1,29 +0,0 @@
-#!/usr/bin/env bash
-# 发版前自检（本地硬门槛）：内容干净 + 测试通过 + 版本一致
-# 用法：./scripts/preflight-release.sh [期望版本号]
-set -euo pipefail
-cd "$(dirname "$0")/.."
-
-echo "1/5 仓库边界守卫（公开区不得含内部内容；打包区须为公开区子集）..."
-node scripts/check-boundary.mjs
-
-echo "2/5 包内容守卫（文件名 + 内容级扫描，拒绝任何运行时数据/密钥）..."
-node scripts/check-package.mjs
-
-echo "3/5 类型检查..."
-npx tsc --noEmit
-(cd server && npx tsc --noEmit)
-
-echo "4/5 全量测试..."
-npx vitest run --reporter=dot >/tmp/gw-preflight-test.log 2>&1 || { echo "✗ 测试未通过，见 /tmp/gw-preflight-test.log"; tail -20 /tmp/gw-preflight-test.log; exit 1; }
-grep -E "Test Files|Tests " /tmp/gw-preflight-test.log | tail -2
-
-echo "5/5 版本一致性..."
-V=$(node -e "console.log(require('./package.json').version)")
-for f in server/package.json packages/guanwei-api/package.json package-lock.json server/package-lock.json; do
-  Vf=$(node -e "const d=require('./$f');console.log(d.version||d.packages?.['']?.version||'?')")
-  [ "$Vf" = "$V" ] || { echo "✗ 版本漂移：$f = $Vf，根 = $V"; exit 1; }
-done
-grep -q "version: '$V'" packages/guanwei-api/src/mcp.ts || echo "⚠️  MCP serverInfo.version 未同步到 $V"
-if [ -n "${1:-}" ] && [ "$1" != "$V" ]; then echo "✗ 参数版本 $1 ≠ package.json $V"; exit 1; fi
-echo "✅ 自检通过：v$V 可发布"

package/scripts/release.sh

@@ -1,86 +0,0 @@
-#!/usr/bin/env bash
-# ============================================================
-# 观微发版脚本：升级版本号 → 同步 lockfile → 打 tag → 推送 git → （可选）发布 npm
-# 用法：./scripts/release.sh 1.1.2            仅 git 发版（tag 触发 CI/Release/镜像）
-#       ./scripts/release.sh 1.1.2 --npm      额外发布 npm 包（需先配置 npm 登录）
-# 要求：工作区无未提交改动；CHANGELOG.md 已写好本次版本条目
-# 详见（本地文档，不入库）：internal/docs/RELEASE-SOP.md（发版 SOP 详情/踩坑记录）
-# ============================================================
-set -euo pipefail
-cd "$(dirname "$0")/.."
-
-NEW_VER="${1:-}"
-DO_NPM=0
-if [[ "${2:-}" == "--npm" ]]; then DO_NPM=1; fi
-if [[ -z "$NEW_VER" ]] || ! [[ "$NEW_VER" =~ ^[0-9]+\.[0-9]+\.[0-9]+$ ]]; then
-  echo "用法: ./scripts/release.sh <版本号> [--npm]   例如: ./scripts/release.sh 1.1.2 --npm"; exit 1
-fi
-
-if [[ -n "$(git status --porcelain)" ]]; then
-  echo "⚠️  工作区有未提交改动，先提交或 stash 再发版"; exit 1
-fi
-
-# 0. 发版前必须全量测试通过（后端集成测试会起服务）
-echo "0️⃣  全量测试（npm test）..."
-if ! npm test >/tmp/guanwei-release-test.log 2>&1; then
-  echo "   ❌ 测试未通过，见 /tmp/guanwei-release-test.log"; exit 1
-fi
-echo "   ✅ 测试通过"
-
-echo "1️⃣  更新 package.json / server/package.json -> ${NEW_VER}"
-node -e "
-const fs = require('fs');
-for (const p of ['package.json', 'server/package.json', 'package-lock.json', 'server/package-lock.json']) {
-  const d = JSON.parse(fs.readFileSync(p, 'utf-8'));
-  d.version = '${NEW_VER}';
-  fs.writeFileSync(p, JSON.stringify(d, null, 2) + '\n');
-}
-"
-echo "   ✅ 版本号与 lockfile 已同步"
-
-echo "2️⃣  检查 CHANGELOG.md 是否已有 [${NEW_VER}] 条目..."
-if ! grep -q "^## \[${NEW_VER}\]" CHANGELOG.md; then
-  echo "   ⚠️  CHANGELOG.md 缺少 [${NEW_VER}] 条目——请补上后再继续（Ctrl+C 中断）"
-  read -rp "   已补好？回车继续: " _
-fi
-
-# 2.5 防 tag 错位：提交后 HEAD 的 package.json 版本号必须等于目标版本（否则 tag 会落到错误 commit）
-echo "2.5️⃣  校验 HEAD 版本号 === ${NEW_VER}（防 v1.1.0 式 tag 错位）..."
-HEAD_VER="$(node -e "console.log(require('./package.json').version)")"
-if [[ "$HEAD_VER" != "$NEW_VER" ]]; then
-  echo "   ⚠️  当前工作区 package.json 版本为 ${HEAD_VER}，目标为 ${NEW_VER}"
-  echo "      （若刚跑过步骤 1 的版本升级但尚未提交，继续即可；提交后 tag 前将再次校验）"
-fi
-
-echo "3️⃣  提交 + 打 tag + 推送 git"
-git add package.json package-lock.json server/package.json server/package-lock.json CHANGELOG.md
-# 版本号/CHANGELOG 已在之前提交中就位时，此处无暂存差异——跳过提交，避免 set -e 中断发版
-if git diff --cached --quiet; then
-  echo "   ℹ️  版本文件无变化（已在历史提交中就位），跳过版本提交"
-else
-  git commit -m "chore: 版本升级 ${NEW_VER}"
-fi
-# 提交后再次校验：确保 tag 一定落在版本号已落地的 commit 上
-HEAD_VER="$(node -e "console.log(require('./package.json').version)")"
-if [[ "$HEAD_VER" != "$NEW_VER" ]]; then
-  echo "   ❌ 提交后 HEAD 版本为 ${HEAD_VER}，目标 ${NEW_VER}——版本号未落地，拒绝打 tag"
-  exit 1
-fi
-echo "   ✅ 版本号一致，打 tag v${NEW_VER}"
-git tag "v${NEW_VER}"
-git push origin main
-git push origin "v${NEW_VER}"
-echo "   ✅ 已推送——CI / Release / 镜像 / Pages 将自动执行"
-
-if [[ "$DO_NPM" == "1" ]]; then
-  echo "4️⃣  发布 npm（registry 必须是官方源，本机默认 npmmirror 需显式指定）..."
-  # 用本地缓存避免 ~/.npm 写入受限；发布失败不中断后续提示
-  npm publish --registry https://registry.npmjs.org --cache ./.npm-cache || echo "   ⚠️  npm publish 失败——按 internal/docs/RELEASE-SOP.md 第四节排查（2FA/权限/registry）"
-  rm -rf .npm-cache
-  echo "5️⃣  验证线上版本..."
-  npm view guanwei version --registry https://registry.npmjs.org --cache ./.npm-cache 2>/dev/null || true
-  rm -rf .npm-cache
-else
-  echo "（未加 --npm：跳过 npm 发布。如需发布：./scripts/release.sh ${NEW_VER} --npm，或手动 npm publish）"
-fi
-echo "🎉 v${NEW_VER} 发版完成"

package/server/src/services/usersDb.ts

@@ -1,45 +0,0 @@
-// 用户库（JSON）读写：进程内串行锁 + 原子写
-//
-// 背景（2026-09 并发写缺陷）：原 users.ts/divine.ts 各自 read-modify-write 整份 db.json，
-// 且 load→改→save 之间跨 await（scrypt 哈希），并发请求互相覆盖——实测 30 个并发注册仅 1 个落库。
-// 现统一走本模块：单进程内以 Promise 链串行化写操作，落盘用 临时文件 + rename 原子替换。
-import fs from 'fs';
-import path from 'path';
-import { USERS_DB } from './dataDir.js';
-
-export interface UsersDb { users: any[] }
-
-/** 读用户库（文件缺失/损坏 → 空库，交由调用方建档） */
-export function readUsersDb(): UsersDb {
-  try { return JSON.parse(fs.readFileSync(USERS_DB, 'utf-8')); }
-  catch { return { users: [] }; }
-}
-
-/** 原子写：先写同目录临时文件再 rename，避免半截文件与并发撕裂 */
-export function writeUsersDb(db: UsersDb): void {
-  fs.mkdirSync(path.dirname(USERS_DB), { recursive: true });
-  const tmp = USERS_DB + '.tmp-' + process.pid + '-' + Date.now();
-  fs.writeFileSync(tmp, JSON.stringify(db, null, 2));
-  fs.renameSync(tmp, USERS_DB);
-}
-
-// 写串行队列（单进程内生效；多进程部署需外部锁，见 README 部署说明）
-let chain: Promise<unknown> = Promise.resolve();
-
-/** 串行执行一次「读-改-写」事务；fn 内可安全 await（如 scrypt） */
-export function withUsersDb<T>(fn: (db: UsersDb) => T | Promise<T>): Promise<T> {
-  const run = chain.then(() => {
-    const db = readUsersDb();
-    return Promise.resolve(fn(db)).then((result) => {
-      writeUsersDb(db);   // fn 内直接改 db 对象即可；由本函数统一落盘
-      return result;
-    });
-  });
-  chain = run.catch(() => { /* 防止链断 */ });
-  return run as Promise<T>;
-}
-
-/** 只读事务（不落盘） */
-export function readUsers<T>(fn: (db: UsersDb) => T): T {
-  return fn(readUsersDb());
-}