investdesk-quotes 0.1.0 → 0.3.0

package/README.md

@@ -45,10 +45,14 @@ A 股与场外公募基金行情查询 + 飞书多维表格持仓读写的 MCP
 两层，都不经过 MCP 参数：
 
 1. **客户端 → MCP**：无认证，绑定 `127.0.0.1`，仅供本机客户端使用
-2. **MCP → 飞书**：复用部署机上已认证的 `lark-cli` profile，凭据存在 lark-cli 自己的凭据库里
+2. **MCP → 飞书**：飞书**自建应用**的 `tenant_access_token`，用 `FEISHU_APP_ID` / `FEISHU_APP_SECRET` 换取
 
 行情接口免认证。
 
+> 0.3.0 起移除了 lark-cli 后端。此前迁移期同时支持「本机用户令牌」和「应用令牌」两套，
+> 收敛成单后端是因为两条路会带来行为差异——OpenAPI 与 lark-cli 的记录形状完全不同，
+> 曾导致字段全部解析为空。现在本机、云端、CI 走的是同一条路径。
+
 ## 配置
 
 工作目录默认 `~/.investdesk`，可用 `INVESTDESK_HOME` 覆盖。**代码在 Store 检出目录，状态在工作目录**，
@@ -63,7 +67,7 @@ INVESTDESK_PLATFORMS_TABLE=...       # 平台表 table id
 MCP_PORT=8787                        # 可选
 ```
 
-`.cache/` 与 `inbox/` 会自动创建，用于存放 lark-cli 的中间产物和邮件附件。
+`.cache/` 与 `inbox/` 会自动创建，用于存放运行日志和邮件附件。
 
 ## 运行
 
@@ -74,7 +78,41 @@ npm run quote -- 510300 600028          # 手动查场内
 npm run quote -- f:008284               # 手动查场外（f: 前缀）
 ```
 
-零运行时依赖：Node 22.6+ 原生支持 TypeScript 类型擦除，不需要 `npm install`、不需要构建。
+**源码是 TypeScript，但发布到 npm 的是编译后的 JS（`dist/`）。** 这不是洁癖：
+
+> Node 拒绝为 `node_modules` 下的文件做类型擦除
+> （`ERR_UNSUPPORTED_NODE_MODULES_TYPE_STRIPPING`）。
+> 直接发布 `.ts` 在本地源码目录能跑，`npm install` 之后却起不来——
+> 而 `npm pack --dry-run` 不会暴露这个问题，只有真装一次才会。
+
+所以 `prepare` 会在发布前自动 `tsc`，`bin` 指向 `dist/`。运行时零依赖，构建期只需要 `typescript`。
+本地开发仍然可以直接 `node src/mcp/server.ts`（不在 `node_modules` 下，类型擦除可用）。
+
+## 认证配置（跑起来的前置条件）
+
+用飞书**自建应用**的 `tenant_access_token` 访问 Base，不依赖任何本机凭据，
+所以本机、服务器、CI 的配置完全一样：
+
+1. 在[飞书开发者后台](https://open.feishu.cn/app)创建企业自建应用，记下 `app_id` / `app_secret`
+2. 「权限管理」开通多维表格权限：`bitable:app`（包含记录读写）
+3. 在该 Base 的「协作者」里把应用加为**可编辑**——只开通 scope 不加协作者，调用会报权限错误
+4. 配置环境变量：
+
+```dotenv
+FEISHU_APP_ID=cli_xxxxxxxxxxxx
+FEISHU_APP_SECRET=xxxxxxxxxxxxxxxx
+```
+
+验证配置是否生效：
+
+```bash
+node -e "import('./dist/feishu/base.js').then(async m=>{console.log('backend:',m.backendName());console.log('records:',(await m.listHoldings()).length)})"
+```
+
+期望输出 `backend: openapi` 与 `records: <你的持仓数>`。
+
+> `tenant_access_token` 是应用身份，看到的数据范围由「应用被授权访问哪些资源」决定，
+> 与某个人的可见范围无关。换 Base 或换表时，协作者授权要同步更新。
 
 ## 在豆包工作中接入
 
@@ -83,6 +121,6 @@ URL 填 `http://127.0.0.1:8787/mcp` → 保存并打开开关。
 
 ## 限制
 
-- `status: limited`：依赖本机已认证的 lark-cli profile，不是装上即用
+- `status: limited`：需要先创建飞书自建应用、开通 `bitable:app` 并加为 Base 协作者，不是装上即用
 - 只覆盖公开行情，**没有** Level-2、资金流、公告正文等付费数据
 - 不做投资建议；输出只有数据口径，不产出买卖结论

package/dist/cli/quote.js

@@ -0,0 +1,38 @@
+/**
+ * 手动查价 CLI。
+ *
+ *   node src/cli/quote.ts 510300 600028 512670      # 场内
+ *   node src/cli/quote.ts f:008284 f:110017         # 场外（f: 前缀强制走净值）
+ *
+ * 加 f: 前缀是必要的：同一串 6 位代码可能既是股票又是场外基金
+ * （000866 既是已退市的扬子石化，也是华宝制造股票），不能靠规则猜。
+ */
+import { fetchQuotes } from '../quotes/index.js';
+const args = process.argv.slice(2);
+if (args.length === 0) {
+    console.error('用法: node src/cli/quote.ts <代码...>   （场外请加 f: 前缀，如 f:008284）');
+    process.exit(2);
+}
+const targets = args.map((raw) => {
+    const isFund = raw.toLowerCase().startsWith('f:');
+    const code = isFund ? raw.slice(2) : raw;
+    const route = isFund ? '场外净值' : '场内行情';
+    return { recordId: code, code, name: '', assetType: '', route };
+});
+const { byRecord, failures } = await fetchQuotes(targets);
+const rows = [...byRecord.values()].map((quote) => ({
+    代码: quote.code,
+    名称: quote.name,
+    价格: quote.price,
+    涨跌幅: quote.changePct === null ? '-' : `${quote.changePct}%`,
+    时间: quote.tradeTime,
+    来源: quote.source,
+}));
+if (rows.length > 0)
+    console.table(rows);
+if (failures.length > 0) {
+    console.log(`\n未取到 ${failures.length} 条：`);
+    for (const failure of failures)
+        console.log(`  ✗ ${failure.code} — ${failure.reason}`);
+    process.exit(1);
+}

package/dist/config.js

@@ -0,0 +1,68 @@
+/**
+ * 运行时配置。
+ *
+ * 遵循 Store 里 launchd 类自动化的既有约定：**代码在 Store 检出目录，
+ * 状态（.env / 缓存 / 对账单）在工作目录**，两者独立。
+ *
+ * 工作目录默认 ~/.investdesk，可用 INVESTDESK_HOME 覆盖。
+ * 这样代码可以随 Store 更新，而个人凭证与数据留在本机工作目录里。
+ */
+import { existsSync, mkdirSync, readFileSync } from 'node:fs';
+import os from 'node:os';
+import path from 'node:path';
+/** 工作目录：存放 .env、.cache、inbox，不随代码仓库移动 */
+export const WORK_DIR = process.env.INVESTDESK_HOME ?? path.join(os.homedir(), '.investdesk');
+export const CACHE_DIR = path.join(WORK_DIR, '.cache');
+export const INBOX_DIR = path.join(WORK_DIR, 'inbox');
+/** 极简 .env 解析：不做变量展开，够用即可 */
+function loadDotEnv() {
+    const file = path.join(WORK_DIR, '.env');
+    if (!existsSync(file))
+        return;
+    for (const rawLine of readFileSync(file, 'utf8').split('\n')) {
+        const line = rawLine.trim();
+        if (!line || line.startsWith('#') || !line.includes('='))
+            continue;
+        const index = line.indexOf('=');
+        const key = line.slice(0, index).trim();
+        if (!key || process.env[key] !== undefined)
+            continue;
+        let value = line.slice(index + 1).trim();
+        if ((value.startsWith('"') && value.endsWith('"')) || (value.startsWith("'") && value.endsWith("'"))) {
+            value = value.slice(1, -1);
+        }
+        process.env[key] = value;
+    }
+}
+loadDotEnv();
+mkdirSync(WORK_DIR, { recursive: true });
+mkdirSync(CACHE_DIR, { recursive: true });
+/** 飞书多维表格坐标。换库时用环境变量覆盖。 */
+export const BASE_TOKEN = process.env.INVESTDESK_BASE_TOKEN ?? '';
+export const HOLDINGS_TABLE = process.env.INVESTDESK_HOLDINGS_TABLE ?? '';
+export const PLATFORMS_TABLE = process.env.INVESTDESK_PLATFORMS_TABLE ?? '';
+/** MCP 服务端口 */
+export const MCP_PORT = Number(process.env.MCP_PORT ?? 8787);
+/**
+ * 飞书自建应用凭据。
+ *
+ * 0.3.0 起这是**唯一**的认证方式：用 tenant_access_token 调 OpenAPI，
+ * 不依赖任何本机凭据，本机与云端行为一致。
+ */
+export const FEISHU_APP_ID = process.env.FEISHU_APP_ID ?? '';
+export const FEISHU_APP_SECRET = process.env.FEISHU_APP_SECRET ?? '';
+export const FEISHU_BASE_URL = process.env.FEISHU_BASE_URL ?? 'https://open.feishu.cn';
+export function assertFeishuConfigured() {
+    const missing = [];
+    if (!FEISHU_APP_ID)
+        missing.push('FEISHU_APP_ID');
+    if (!FEISHU_APP_SECRET)
+        missing.push('FEISHU_APP_SECRET');
+    if (!BASE_TOKEN)
+        missing.push('INVESTDESK_BASE_TOKEN');
+    if (!HOLDINGS_TABLE)
+        missing.push('INVESTDESK_HOLDINGS_TABLE');
+    if (missing.length > 0) {
+        throw new Error(`缺少飞书配置：${missing.join(', ')}。请在 ${path.join(WORK_DIR, '.env')} 中补齐。`);
+    }
+}

package/dist/feishu/backend.js

@@ -0,0 +1,8 @@
+/**
+ * 飞书后端的记录形状定义。
+ *
+ * 0.3.0 起只有一种实现（OpenAPI + tenant_access_token）。
+ * 保留这个接口是为了约束「后端返回的记录长什么样」，
+ * 上层（base.ts）直接消费 RawRecord。
+ */
+export {};

package/dist/feishu/base.js

@@ -0,0 +1,88 @@
+/**
+ * 飞书多维表格访问层。
+ *
+ * **只使用飞书 OpenAPI**（自建应用 tenant_access_token）：
+ * 不依赖任何本机凭据，所以本机、云端、CI 走的是同一条路径，
+ * 不存在「两套后端行为不一致」的问题。
+ *
+ * 历史：0.2.x 曾保留 lark-cli（本机用户令牌）作为迁移期后备，
+ * 0.3.0 起移除。
+ */
+import { BASE_TOKEN, FEISHU_APP_ID, FEISHU_APP_SECRET, FEISHU_BASE_URL, HOLDINGS_TABLE, PLATFORMS_TABLE, assertFeishuConfigured, } from '../config.js';
+import { OpenApiBackend } from './openapi.js';
+let cachedBackend = null;
+/** 当前后端（只有一种，结果缓存） */
+export function getBackend() {
+    if (cachedBackend)
+        return cachedBackend;
+    assertFeishuConfigured();
+    cachedBackend = new OpenApiBackend({
+        appId: FEISHU_APP_ID,
+        appSecret: FEISHU_APP_SECRET,
+        appToken: BASE_TOKEN,
+        baseUrl: FEISHU_BASE_URL,
+    });
+    return cachedBackend;
+}
+/** 后端名，用于日志（固定值，保留是为了让日志继续可读） */
+export function backendName() {
+    return 'openapi';
+}
+/** 单选字段：OpenAPI 返回字符串，兼容数组形态 */
+function firstOf(value) {
+    if (Array.isArray(value))
+        return String(value[0] ?? '');
+    if (typeof value === 'string')
+        return value;
+    return '';
+}
+function toNumber(value) {
+    if (value === null || value === undefined || value === '')
+        return null;
+    const parsed = Number(String(value).replace(/,/g, ''));
+    return Number.isFinite(parsed) ? parsed : null;
+}
+/** 读取「最新持仓」全部记录 */
+export async function listHoldings() {
+    const records = await getBackend().listRecords(HOLDINGS_TABLE, 2000);
+    return records.map((record) => ({
+        recordId: record.record_id,
+        code: (record.代码 ?? '').trim(),
+        name: (record.名称 ?? '').trim(),
+        platformId: Array.isArray(record.投资平台) && record.投资平台[0]
+            ? record.投资平台[0].id
+            : '',
+        assetType: firstOf(record.资产种类),
+        route: firstOf(record.定价方式),
+        quantity: toNumber(record.持有数量),
+        unitCost: toNumber(record.单位成本),
+        price: toNumber(record.最新价格),
+        marketValue: toNumber(record.最新市值),
+    }));
+}
+/** 读取「最新持仓」并转换为取价目标 */
+export async function listHoldingTargets() {
+    const holdings = await listHoldings();
+    return holdings.map((holding) => ({
+        recordId: holding.recordId,
+        code: holding.code,
+        name: holding.name,
+        assetType: holding.assetType,
+        route: holding.route,
+    }));
+}
+/** 读取「持仓平台」表，返回 record_id → 平台名 的映射 */
+export async function listPlatformNames() {
+    const records = await getBackend().listRecords(PLATFORMS_TABLE, 200);
+    const map = new Map();
+    for (const record of records) {
+        map.set(record.record_id, record.平台 ?? '未命名');
+    }
+    return map;
+}
+/** 把价格写回「最新持仓」的「最新价格」字段（写入后「最新市值」公式自动重算） */
+export async function updateLatestPrices(updates) {
+    if (updates.length === 0)
+        return 0;
+    return getBackend().batchUpdateRecords(HOLDINGS_TABLE, updates.map((update) => ({ recordId: update.recordId, fields: { 最新价格: update.price } })));
+}

package/dist/feishu/openapi.js

@@ -0,0 +1,119 @@
+/**
+ * 飞书 OpenAPI 后端 —— 用自建应用的 tenant_access_token 直接调接口。
+ *
+ * 用自建应用的 tenant_access_token，不依赖本机 keychain，
+ * 因此本机 / 云端 / CI / 定时函数用的是同一条路径。
+ * 代价是需要一次性配置：
+ *   1. 在飞书开发者后台创建自建应用，拿到 app_id / app_secret
+ *   2. 开通多维表格权限（bitable:app 或对应的记录读写 scope）
+ *   3. 把该应用添加为这个 Base 的协作者（可编辑）
+ *
+ * 权限没配好时，飞书会返回 91403 / 1254302 之类的错误，提示里会说明缺什么。
+ */
+const DEFAULT_BASE_URL = 'https://open.feishu.cn';
+export class OpenApiBackend {
+    name = 'openapi';
+    options;
+    tokenCache = null;
+    constructor(options) {
+        this.options = options;
+    }
+    get baseUrl() {
+        return this.options.baseUrl ?? DEFAULT_BASE_URL;
+    }
+    /** 换取 tenant_access_token，带内存缓存（提前 5 分钟过期） */
+    async getToken() {
+        const now = Date.now();
+        if (this.tokenCache && this.tokenCache.expiresAt > now)
+            return this.tokenCache.token;
+        const response = await fetch(`${this.baseUrl}/open-apis/auth/v3/tenant_access_token/internal`, {
+            method: 'POST',
+            headers: { 'Content-Type': 'application/json; charset=utf-8' },
+            body: JSON.stringify({ app_id: this.options.appId, app_secret: this.options.appSecret }),
+        });
+        const payload = (await response.json());
+        if (payload.code !== 0 || !payload.tenant_access_token) {
+            throw new Error(`获取 tenant_access_token 失败（code=${payload.code}）：${payload.msg ?? 'unknown'}。` +
+                '请确认 app_id / app_secret 正确，且应用已开通权限。');
+        }
+        const ttlMs = Math.max(60, (payload.expire ?? 7200) - 300) * 1000;
+        this.tokenCache = { token: payload.tenant_access_token, expiresAt: now + ttlMs };
+        return this.tokenCache.token;
+    }
+    async request(path, init = {}) {
+        const token = await this.getToken();
+        const response = await fetch(`${this.baseUrl}${path}`, {
+            ...init,
+            headers: {
+                Authorization: `Bearer ${token}`,
+                'Content-Type': 'application/json; charset=utf-8',
+                ...(init.headers ?? {}),
+            },
+        });
+        const payload = (await response.json());
+        if (payload.code !== 0) {
+            throw new Error(`飞书接口失败 ${path}（code=${payload.code}）：${payload.msg ?? 'unknown'}`);
+        }
+        return payload.data;
+    }
+    /**
+     * OpenAPI 返回的原始记录不能直接给上层用：
+     *   - 字段值包在 `fields` 里
+     *   - 单选返回字符串（不是数组）
+     *   - 数字返回字符串
+     *   - 关联字段是 `[{record_ids: [...], text}]`（不是 `[{id}]`）
+     * 这里归一化成扁平、稳定的形状，让 base.ts 不用关心平台细节。
+     */
+    static normalize(record) {
+        const rawFields = record.fields;
+        const fields = rawFields && typeof rawFields === 'object'
+            ? { ...rawFields }
+            : { ...record };
+        // 关联字段 → [{ id }]
+        for (const [key, value] of Object.entries(fields)) {
+            if (!Array.isArray(value) || value.length === 0)
+                continue;
+            const first = value[0];
+            if (first && Array.isArray(first.record_ids)) {
+                fields[key] = value.map((item) => ({
+                    id: Array.isArray(item.record_ids) ? (item.record_ids[0] ?? '') : '',
+                }));
+            }
+        }
+        const recordId = (record.record_id ?? record.id ?? '');
+        return { ...fields, record_id: recordId };
+    }
+    async listRecords(tableId, limit) {
+        const records = [];
+        let pageToken = '';
+        for (;;) {
+            const query = new URLSearchParams({ page_size: '500' });
+            if (pageToken)
+                query.set('page_token', pageToken);
+            const data = await this.request(`/open-apis/bitable/v1/apps/${this.options.appToken}/tables/${tableId}/records?${query}`);
+            for (const item of data.items ?? [])
+                records.push(OpenApiBackend.normalize(item));
+            if (records.length >= limit || !data.has_more || !data.page_token)
+                break;
+            pageToken = data.page_token;
+        }
+        return records.slice(0, limit);
+    }
+    async batchUpdateRecords(tableId, updates) {
+        if (updates.length === 0)
+            return 0;
+        const CHUNK = 200;
+        let written = 0;
+        for (let i = 0; i < updates.length; i += CHUNK) {
+            const chunk = updates.slice(i, i + CHUNK);
+            await this.request(`/open-apis/bitable/v1/apps/${this.options.appToken}/tables/${tableId}/records/batch_update`, {
+                method: 'POST',
+                body: JSON.stringify({
+                    records: chunk.map((update) => ({ record_id: update.recordId, fields: update.fields })),
+                }),
+            });
+            written += chunk.length;
+        }
+        return written;
+    }
+}

package/dist/mcp/server.js

@@ -0,0 +1,201 @@
+#!/usr/bin/env node
+/**
+ * InvestDesk 行情 MCP 服务。
+ *
+ * 两种传输方式：
+ *   node src/mcp/server.ts              # Streamable HTTP，默认 http://127.0.0.1:8787/mcp
+ *   node src/mcp/server.ts --stdio      # 标准输入输出，供本地 MCP 客户端直连
+ *
+ * 零依赖手写实现（JSON-RPC 2.0 + MCP tools 协议），不引入 @modelcontextprotocol/sdk。
+ * 在豆包工作里作为「自定义连接器」接入时，传输类型选 HTTP，URL 填 http://127.0.0.1:8787/mcp。
+ */
+import { createServer } from 'node:http';
+import { createRequire } from 'node:module';
+import { createInterface } from 'node:readline';
+import { MCP_PORT } from '../config.js';
+import { TOOL_DEFINITIONS, callTool } from './tools.js';
+// stdio 模式下 stdout 是纯协议通道，任何 console.log 都会污染 JSON-RPC，
+// 表现为宿主「握手失败」但进程还活着，现场极难复现。先把 log 拦到 stderr。
+if (process.argv.includes('--stdio')) {
+    console.log = (...args) => console.error(...args);
+}
+const SERVER_NAME = 'investdesk-quotes';
+// 版本号从 package.json 读，避免发版时忘了改这里导致握手信息与实际版本不一致
+const SERVER_VERSION = createRequire(import.meta.url)('../../package.json').version;
+const PROTOCOL_VERSIONS = ['2025-06-18', '2025-03-26', '2024-11-05'];
+const MCP_PATH = process.env.MCP_PATH ?? '/mcp';
+function success(id, result) {
+    return { jsonrpc: '2.0', id, result };
+}
+function failure(id, code, message) {
+    return { jsonrpc: '2.0', id, error: { code, message } };
+}
+function negotiateVersion(requested) {
+    const value = typeof requested === 'string' ? requested : '';
+    return PROTOCOL_VERSIONS.includes(value) ? value : PROTOCOL_VERSIONS[0];
+}
+async function handleMessage(message) {
+    const { id = null, method, params = {} } = message;
+    switch (method) {
+        case 'initialize':
+            return success(id, {
+                protocolVersion: negotiateVersion(params.protocolVersion),
+                capabilities: { tools: { listChanged: false } },
+                serverInfo: { name: SERVER_NAME, version: SERVER_VERSION },
+                instructions: 'InvestDesk 行情与持仓服务。lookup_quotes 查价格，portfolio_overview 看持仓汇总，sync_prices 刷新价格。',
+            });
+        case 'notifications/initialized':
+            return null;
+        case 'ping':
+            return success(id, {});
+        case 'tools/list':
+            return success(id, { tools: TOOL_DEFINITIONS });
+        case 'tools/call': {
+            const name = typeof params.name === 'string' ? params.name : '';
+            const args = params.arguments ?? {};
+            const result = await callTool(name, args);
+            return success(id, result);
+        }
+        default:
+            return failure(id, -32601, `Method not found: ${method}`);
+    }
+}
+async function dispatch(payload) {
+    if (Array.isArray(payload)) {
+        const results = await Promise.all(payload.map((item) => handleMessage(item).catch((error) => failure((item.id ?? null), -32603, error instanceof Error ? error.message : String(error)))));
+        return results.filter((r) => r !== null);
+    }
+    return handleMessage(payload);
+}
+function startHttpServer() {
+    const server = createServer((req, res) => {
+        const cors = {
+            'Access-Control-Allow-Origin': '*',
+            'Access-Control-Allow-Headers': 'Content-Type, Accept, Mcp-Session-Id, MCP-Protocol-Version',
+            'Access-Control-Allow-Methods': 'POST, GET, OPTIONS, DELETE',
+        };
+        if (req.method === 'OPTIONS') {
+            res.writeHead(204, cors);
+            res.end();
+            return;
+        }
+        if (req.url?.split('?')[0] === '/health') {
+            res.writeHead(200, { ...cors, 'Content-Type': 'application/json' });
+            res.end(JSON.stringify({ ok: true, server: SERVER_NAME, version: SERVER_VERSION }));
+            return;
+        }
+        if (req.url?.split('?')[0] !== MCP_PATH) {
+            res.writeHead(404, { ...cors, 'Content-Type': 'application/json' });
+            res.end(JSON.stringify({ error: 'not found', hint: `MCP endpoint is ${MCP_PATH}` }));
+            return;
+        }
+        if (req.method === 'GET' || req.method === 'DELETE') {
+            // 本实现不提供服务端推送（SSE），按规范返回 405
+            res.writeHead(405, { ...cors, Allow: 'POST' });
+            res.end();
+            return;
+        }
+        if (req.method !== 'POST') {
+            res.writeHead(405, { ...cors, Allow: 'POST' });
+            res.end();
+            return;
+        }
+        const chunks = [];
+        req.on('data', (chunk) => chunks.push(chunk));
+        req.on('end', () => {
+            let payload;
+            try {
+                payload = JSON.parse(Buffer.concat(chunks).toString('utf8'));
+            }
+            catch {
+                res.writeHead(400, { ...cors, 'Content-Type': 'application/json' });
+                res.end(JSON.stringify(failure(null, -32700, 'Parse error')));
+                return;
+            }
+            dispatch(payload)
+                .then((result) => {
+                if (result === null || (Array.isArray(result) && result.length === 0)) {
+                    res.writeHead(202, cors);
+                    res.end();
+                    return;
+                }
+                // 无状态服务端：不签发 Mcp-Session-Id。规范允许无状态实现，
+                // 少一类状态就少一类 bug（参考 teaming-bot 的 /api/mcp 做法）。
+                res.writeHead(200, { ...cors, 'Content-Type': 'application/json' });
+                res.end(JSON.stringify(result));
+            })
+                .catch((error) => {
+                const message = error instanceof Error ? error.message : String(error);
+                console.error('[mcp] 处理失败：', message);
+                res.writeHead(200, { ...cors, 'Content-Type': 'application/json' });
+                res.end(JSON.stringify(failure(null, -32603, message)));
+            });
+        });
+    });
+    server.listen(MCP_PORT, '127.0.0.1', () => {
+        console.error(`[mcp] ${SERVER_NAME} v${SERVER_VERSION} 已启动: http://127.0.0.1:${MCP_PORT}${MCP_PATH}`);
+        console.error('[mcp] 健康检查: http://127.0.0.1:' + MCP_PORT + '/health');
+    });
+    const shutdown = () => {
+        console.error('[mcp] 正在关闭…');
+        server.close(() => process.exit(0));
+    };
+    process.on('SIGINT', shutdown);
+    process.on('SIGTERM', shutdown);
+}
+function startStdioServer() {
+    console.error(`[mcp] ${SERVER_NAME} v${SERVER_VERSION} 以 stdio 模式启动`);
+    const rl = createInterface({ input: process.stdin });
+    let pending = 0;
+    let closed = false;
+    /** 只有「stdin 已关闭」且「没有在途请求」时才退出 */
+    const exitIfDrained = () => {
+        if (closed && pending === 0)
+            process.exit(0);
+    };
+    rl.on('line', (line) => {
+        const trimmed = line.trim();
+        if (!trimmed)
+            return;
+        let payload;
+        try {
+            payload = JSON.parse(trimmed);
+        }
+        catch {
+            process.stdout.write(JSON.stringify(failure(null, -32700, 'Parse error')) + '\n');
+            return;
+        }
+        pending += 1;
+        dispatch(payload)
+            .then((result) => {
+            if (result === null)
+                return;
+            if (Array.isArray(result) && result.length === 0)
+                return;
+            process.stdout.write(JSON.stringify(result) + '\n');
+        })
+            .catch((error) => {
+            const message = error instanceof Error ? error.message : String(error);
+            process.stdout.write(JSON.stringify(failure(null, -32603, message)) + '\n');
+        })
+            .finally(() => {
+            pending -= 1;
+            exitIfDrained();
+        });
+    });
+    // 不能用 `rl.on('close', () => process.exit(0))`：
+    // 管道用法下 stdin 会在请求返回前关闭，直接退出会把在途的取价请求杀掉。
+    // 这里改为等待在途请求完成；事件循环清空后进程自然退出。
+    rl.on('close', () => {
+        closed = true;
+        exitIfDrained();
+        // 兜底：万一有请求永远不返回，20 秒后强制退出
+        setTimeout(() => process.exit(0), 20_000).unref();
+    });
+}
+if (process.argv.includes('--stdio')) {
+    startStdioServer();
+}
+else {
+    startHttpServer();
+}

package/{src/mcp/stdio.ts → dist/mcp/stdio.js}

@@ -8,6 +8,6 @@
  * 需要 HTTP（给豆包工作的「自定义连接器」用）时走另一个 bin：
  *   investdesk-quotes-http   或   node src/mcp/server.ts
  */
-
 process.argv.push('--stdio');
-await import('./server.ts');
+await import('./server.js');
+export {};