made-market 0.1.0 → 0.1.2

package/README.md

@@ -1,70 +1,31 @@
-# made-market · 码得公开插件市场
+# made-market · 码得插件市场 CLI
 
-码得的公开插件市场。**只做包管理**：登记和分发三类包，本身不执行插件、不连接码得、不保存配对令牌或 hook 密钥。
-
-包装进固定的用户目录 `~/made`（可用 `MADE_HOME` 覆盖）之后才生效：桥接器每次启动扫描 `~/made/plugins` 与 `~/made/themes`，不需要登记，也不需要和配置文件放在一起。
-
-| 类别 | 管什么 | 安装到 |
-| --- | --- | --- |
-| **主题** | 码得的外观：调色板、锁屏图、提示音 | `~/made/themes/<dir>/` |
-| **管控** | 接收板侧事件、把命令放进设备队列、调外部 hook | `~/made/plugins/<dir>/` |
-| **agent 运行时** | 接上一种助手的执行方式：会话、模型、进度、取消 | `~/made/plugins/<dir>/` |
-
-桥接器里另有一份随代码发布的内置包 `bridge/builtin/`；查找顺序是「内置在前、用户目录在后」，同名时 `~/made` 覆盖内置。
-
-技能不在本仓库建广场，沿用现成技能广场；人格归专家市场。边界与归类见码得仓库的 `docs/MARKETS.md`。
-
-## 安装一个包
+码得（made）公开插件市场的命令行工具。市场登记与分发主题、管控、agent 运行时三类包，本身不执行插件代码；包装到 `~/made` 后由桥接器自动扫描。
 
 ```sh
-npx made-market install sunset        # 主题
-npx made-market install alarm-clock   # 管控插件
-npx made-market list                  # 看看有什么
+npx made-market list              # 列出索引里的全部包
+npx made-market search 日落        # 在包名、简介和标签里搜索
+npx made-market info sunset       # 看一个包的详情
+npx made-market install sunset    # 装到 ~/made/themes/，重启桥接器后生效
 ```
 
-包从哪里下载？索引解析顺序是 `--registry` > 环境变量 `MADE_MARKET_REGISTRY`（指向 OSS 上的公开索引）> npm 包内自带的索引快照。**权威分发源是 OSS**，日常安装走它；远端不可达时自动回落到包内快照，离线也能装。发布流程见 [docs/PUBLISH.md](docs/PUBLISH.md)。
-
-## 目录
+## 发布新包
 
-```
-bin/             npx 入口（made-market）
-packages/        包源：themes/ control/ agents/，每包一个目录
-registry/        公开索引 index.json（生成物，是分发的唯一入口）
-site/            公开站点（静态，直接托管 site/ 即可）+ 归档 site/packages/
-tools/           校验、构建、打包、安装、发布（OSS / 上传服务）、脚手架
-server/          上传分发服务（用户上传 → 服务端校验 → 动态索引）
-docs/            包规范、安装说明、提交说明、后端部署
-test/            校验/打包/安装/上传服务的测试
-```
-
-## 维护者命令
+发布需要先登录（下载安装永远匿名，无需账号）：
 
 ```sh
-node tools/validate.mjs     # 校验全部包
-node tools/build.mjs        # 生成索引与下载归档
-node tools/serve.mjs        # 本地预览站点 http://127.0.0.1:8899
-node tools/install.mjs alarm-clock --home ~/made   # 不经 npx 直接装
-npm test                    # 跑测试
+npx made-market register <用户名>
+npx made-market login <用户名>
+npx made-market publish <包目录>
 ```
 
-## 文档
-
-- [包规范 v1](docs/SPEC.md) — 目录结构、`market.json`、三类包的桥接器文件
-- [安装说明](docs/INSTALL.md) — 一条命令或手动解包，卸载与安全边界
-- [提交说明](docs/PUBLISH.md) — 从脚手架到发布（含 OSS）
-- [上传服务](docs/BACKEND.md) — 自建后端：用户上传、服务端校验、动态索引、部署
-
-## 用户上传
-
-开放上传靠自建的上传分发服务（`server/`，无依赖 Node 服务）：作者
-`npx made-market publish <包目录>` 上传，服务端用与 `validate.mjs` 相同的规则
-校验（"CI 过审即上架"），版本不可变，索引动态重建，归档与元数据存阿里云 OSS。
-部署与 token 管理见 [docs/BACKEND.md](docs/BACKEND.md)。
+会话有效期 90 天，凭证存放在 `~/made/credentials.json`（权限 0600）。
 
-## 安全
+## 服务地址
 
-插件是本机 JavaScript，拥有桥接器进程的权限。只安装你信任的代码。市场能提供的是源码公开、静态校验和逐文件校验和；运行时的权限边界由桥接器决定。
+- 默认索引：GitHub 上的 `registry/index.json`（离线时回落到包内自带快照）
+- 自建市场：`--server` 指定市场服务地址，或设 `MADE_MARKET_REGISTRY` / `MADE_MARKET_SERVER` 环境变量
 
-## 许可
+## 服务端
 
-MIT
+本仓库（[github.com/jobop/made-market](https://github.com/jobop/made-market)）同时包含市场服务端（`server/`）与站点（`site/`），它们**不随本 npm 包分发**；`cli/lib` 里的包格式核心库与仓库内服务端共用同一份源码。

package/bin/made-market.mjs

@@ -12,10 +12,15 @@
  */
 import fs from 'node:fs';
 import path from 'node:path';
-import { ROOT } from '../tools/lib/market.mjs';
-import { install, loadRegistry, resolveHome, resolveRegistry } from '../tools/install.mjs';
-import { publish } from '../tools/publish.mjs';
-import { login, logout, register, resolvePassword, whoami } from '../tools/account.mjs';
+import { fileURLToPath } from 'node:url';
+import { ROOT, validatePackage } from '../lib/market.mjs';
+import { DEFAULT_SERVER, install, loadRegistry, resolveHome, resolveRegistry } from '../src/install.mjs';
+import { publish } from '../src/publish.mjs';
+import { login, logout, register, resolvePassword, whoami } from '../src/account.mjs';
+import { scaffold } from '../src/init.mjs';
+
+// 版本号读 CLI 自己的 package.json（cli/），发布后即 node_modules/made-market/package.json。
+const CLI_PACKAGE_JSON = fileURLToPath(new URL('../package.json', import.meta.url));
 
 const KIND_LABELS = { theme: '主题', control: '管控', agent: 'agent 运行时' };
 const KIND_ORDER = ['theme', 'control', 'agent'];
@@ -26,6 +31,8 @@ const USAGE = `码得 · 插件市场  (made-market)
   npx made-market <命令> [参数] [选项]
 
 命令
+  init <目录> --kind <类型>    生成插件脚手架（可直接 publish 的最小包，SDK 入口）
+  validate <包目录>            本地校验一个包（与市场服务端同一套规则）
   list                        列出索引里的全部包
   search <关键词>              在包名、简介和标签里搜索
   info <包 ID>                 看一个包的详情：文件、校验和、安装位置、创建人
@@ -35,17 +42,18 @@ const USAGE = `码得 · 插件市场  (made-market)
   login <用户名>               登录市场服务（发布的前提；90 天会话）
   whoami                      看当前登录的账号
   logout                      退出登录（吊销服务端会话并删除本地凭证）
-  rebuild-from-store           管理命令：从存储 manifests 全量重建 PG 索引
+  rebuild-from-store           管理命令：从存储 manifests 全量重建 SQLite 索引
 
 选项
   --home <目录>                包目录根，默认 $MADE_HOME 或 ~/made
-  --registry <路径|URL>        索引来源。默认优先 $MADE_MARKET_REGISTRY（如市场服务的索引），
-                               不可用或未设置时回落到本包自带的索引（离线可用）
-  --server <URL>              市场服务地址（register/login/publish；默认 $MADE_MARKET_SERVER，
-                               已登录时也可从凭证读取）
+  --registry <路径|URL>        索引来源。默认 $MADE_MARKET_REGISTRY > 官方市场（联网拉实时索引，
+                               失败回落本包自带索引，离线可装示例包）
+  --server <URL>              市场服务地址（register/login/publish/install；install 默认官方市场，
+                               可用 $MADE_MARKET_SERVER 覆盖，已登录时 publish 也可从凭证读取）
   --token <t>                 发布 token（publish；默认 $MADE_MARKET_TOKEN 或登录凭证）
   --password <pw>             密码（register/login；缺省在 TTY 下不回显输入）
-  --kind theme|control|agent   只列某一类（list / search）
+选项
+  --kind theme|control|agent   init 的包类型 / list、search 只列某一类
   --json                       以 JSON 输出
   --force                      目标目录已存在时覆盖
   --dry-run                    只校验并列出将要写入的文件
@@ -165,7 +173,7 @@ async function main() {
   }
 
   if (options.version) {
-    const pkg = JSON.parse(fs.readFileSync(path.join(ROOT, 'package.json'), 'utf8'));
+    const pkg = JSON.parse(fs.readFileSync(CLI_PACKAGE_JSON, 'utf8'));
     console.log(pkg.version);
     return;
   }
@@ -174,8 +182,25 @@ async function main() {
     return;
   }
 
-  // 索引来源按需加载：--registry > $MADE_MARKET_REGISTRY > 包内自带（远端失败自动回落，离线可用）。
-  // rebuild-from-store 与 install --server（API 模式）不依赖全量索引。
+  // 脚手架：不依赖索引。
+  if (options.command === 'init') {
+    const dir = options.args[0];
+    if (!dir) throw new Error('init 需要一个包目录名，例如：npx made-market init my-theme --kind theme');
+    const written = scaffold({ dir, kind: options.kind, force: options.force });
+    console.log(`脚手架已生成（${options.kind || '?'} 包，共 ${written.length} 个文件）：`);
+    for (const file of written) console.log(`  ${file}`);
+    console.log('\n下一步：');
+    console.log('  1. 改掉 market.json / theme.json（或 plugin.mjs）里的占位文案');
+    console.log(`  2. 本地校验：npx made-market validate ${dir}`);
+    console.log(`  3. 注册并发布：npx made-market register <用户名> --server https://made-market.link`);
+    console.log(`     npx made-market publish ${dir} --server https://made-market.link`);
+    console.log('  开发文档见市场主页「开发者指南」。');
+    return;
+  }
+
+  // 索引来源按需加载：--registry > $MADE_MARKET_REGISTRY > 官方市场实时索引
+  // （远端失败自动回落包内自带索引，离线可装示例包）。
+  // rebuild-from-store 不依赖全量索引。
   const loadIndex = () => loadRegistry(resolveRegistry(options.registry));
 
   if (options.command === 'list') {
@@ -228,11 +253,17 @@ async function main() {
 
   if (options.command === 'install') {
     if (!options.args.length) throw new Error('install 需要至少一个包 ID');
-    // 配了 --server / $MADE_MARKET_SERVER：按包直查 API，不拉全量索引（大市场友好）。
-    if (options.server || process.env.MADE_MARKET_SERVER) {
-      const { packages, base } = await resolveViaApi(options.args, options.server || process.env.MADE_MARKET_SERVER);
-      await install(options.args, { home: options.home, registry: base, index: { packages }, force: options.force, dryRun: options.dryRun });
-      return;
+    // 默认走市场 API：按包直查最新版本，不拉全量索引（大市场友好），
+    // 新发布的包立即可装。显式 --registry 才按索引文件走（自建源/精确复现用）。
+    if (!options.registry) {
+      const server = options.server || process.env.MADE_MARKET_SERVER || DEFAULT_SERVER;
+      try {
+        const { packages, base } = await resolveViaApi(options.args, server);
+        await install(options.args, { home: options.home, registry: base, index: { packages }, force: options.force, dryRun: options.dryRun });
+        return;
+      } catch (error) {
+        console.error(`线上市场不可用（${error.message}），改用包内自带索引（仅示例包，离线兜底）。`);
+      }
     }
     // 归档从索引所在的位置取：远端索引配远端归档，自带索引配包内归档，可离线。
     const { source, index } = await loadIndex();
@@ -240,6 +271,27 @@ async function main() {
     return;
   }
 
+  // 本地校验：与服务端同一套规则（cli/lib/market.mjs 的 validatePackage），
+  // 上架前先在本地把错误清零，省一轮发布失败。
+  if (options.command === 'validate') {
+    const dir = options.args[0];
+    if (!dir) throw new Error('validate 需要一个包目录');
+    const marketPath = path.join(dir, 'market.json');
+    if (!fs.existsSync(marketPath)) throw new Error(`${dir} 里没有 market.json`);
+    const market = JSON.parse(fs.readFileSync(marketPath, 'utf8'));
+    const pkg = { id: path.basename(path.resolve(dir)), kind: market.kind, dir, market };
+    const result = validatePackage(pkg);
+    for (const message of result.errors) console.error(`  错误：${message}`);
+    for (const message of result.warnings) console.warn(`  警告：${message}`);
+    if (result.errors.length) {
+      console.error(`校验未通过：${result.errors.length} 个错误，${result.warnings.length} 个警告。`);
+      process.exitCode = 1;
+      return;
+    }
+    console.log(`校验通过：${pkg.id} v${market.version}（${result.warnings.length} 个警告）。可以 publish。`);
+    return;
+  }
+
   if (options.command === 'publish') {
     const dir = options.args[0];
     if (!dir) throw new Error('publish 需要一个包目录');
@@ -274,16 +326,16 @@ async function main() {
   }
 
   if (options.command === 'rebuild-from-store') {
-    const { createPool, initSchema, rebuildFromStore } = await import('../server/db.mjs');
-    const { createStore } = await import('../server/store.mjs');
-    if (!process.env.DATABASE_URL) throw new Error('rebuild-from-store 需要 DATABASE_URL 指向 PG 索引库');
-    const db = createPool(process.env.DATABASE_URL);
+    // 索引库是服务端配套能力，rebuild-from-store 属管理命令，仅在仓库内可用（npm 包不含 server/）。
+    const { openDatabase, initSchema, rebuildFromStore } = await import('../../server/db.mjs');
+    const { createStore } = await import("../../server/store.mjs");
+    const db = openDatabase();
     try {
       await initSchema(db);
       const count = await rebuildFromStore(db, createStore(), { log: (key) => console.log(`  同步 ${key}`) });
       console.log(`索引重建完成：${count} 条版本事实。`);
     } finally {
-      await db.close();
+      db.close();
     }
     return;
   }

package/{tools/lib → lib}/market.mjs

@@ -12,7 +12,14 @@ import { checkTheme, THEME_NAME } from './theme.mjs';
 import { BOARD_COMMANDS, BOARD_EVENTS, PACKAGE_DIR, checkNames, parseSettingsSpec, scanPluginSource } from './plugin.mjs';
 import { MAX_JSON_BYTES, validateIcon } from './icon.mjs';
 
+/** 仓库根（dev 时 = 仓库根；发布包里没有 packages/，这个只给仓库内工具与测试用）。 */
 export const ROOT = path.resolve(fileURLToPath(new URL('../..', import.meta.url)));
+/**
+ * 包根：lib/ 的上一级。仓库里是 cli/（自带 registry/index.json 的生成物），
+ * 发布包里就是包根（npm 包无 cli/ 前缀）。找包内自带资源一律用它，不能用 ROOT——
+ * 发布后 ROOT 会落到 node_modules/，这就是「找不到索引」bug 的根源。
+ */
+export const PKG_ROOT = path.resolve(fileURLToPath(new URL('..', import.meta.url)));
 export const API_VERSION = 1;
 export const SEMVER = /^\d+\.\d+\.\d+$/;
 export const MAX_DESCRIPTION = 4000;

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "made-market",
-  "version": "0.1.0",
-  "description": "码得（made）公开插件市场：登记与分发主题、管控、agent 运行时三类包，本身不执行插件。装到 ~/made 后由桥接器自动扫描。",
+  "version": "0.1.2",
+  "description": "码得（made）公开插件市场的命令行工具：列出、搜索、安装主题/管控/agent 包，以及登录后发布新包。市场服务端在 github.com/jobop/made-market 仓库内，不随本包分发。",
   "type": "module",
   "license": "MIT",
   "engines": {
@@ -12,18 +12,16 @@
   },
   "files": [
     "bin/",
-    "tools/",
-    "!tools/oss.config.json",
-    "server/",
-    "registry/",
-    "site/",
-    "docs/",
+    "src/",
+    "lib/",
+    "registry/index.json",
     "README.md",
     "LICENSE"
   ],
   "repository": {
     "type": "git",
-    "url": "git+https://github.com/jobop/made-market.git"
+    "url": "git+https://github.com/jobop/made-market.git",
+    "directory": "cli"
   },
   "homepage": "https://jobop.github.io/made-market/",
   "bugs": {
@@ -44,15 +42,7 @@
     "registry": "https://registry.npmjs.org/"
   },
   "scripts": {
-    "validate": "node tools/validate.mjs",
-    "assets": "node tools/gen-assets.mjs",
-    "build": "node tools/build.mjs",
-    "serve": "node tools/serve.mjs",
-    "install": "node tools/install.mjs",
-    "publish:oss": "node tools/publish-oss.mjs",
-    "rebuild-index": "node bin/made-market.mjs rebuild-from-store",
-    "test": "node --test",
-    "test:pg": "node --test --test-timeout=120000 --test-concurrency=1",
-    "prepublishOnly": "node tools/validate.mjs && node tools/build.mjs && node --test"
+    "prepublishOnly": "cd .. && node tools/validate.mjs && node tools/build.mjs && node --test",
+    "prepack": "mkdir -p registry && cp ../registry/index.json registry/index.json"
   }
 }

package/registry/index.json

@@ -80,7 +80,7 @@
       ],
       "payloadBytes": 209717,
       "archiveBytes": 39822,
-      "sha256": "f99ab016bda97781fba979cf5d31ffec18edf1ea91a2339c1d7e4cf63f36a0a7",
+      "sha256": "b656724a6be3466c0ad52010bfa9f2a3b043595b6b7b6bed90a01bdfcca3ba95",
       "download": "packages/sunset-1.0.0.tar.gz",
       "swatch": [
         "#e0834a",
@@ -153,7 +153,7 @@
       ],
       "payloadBytes": 212917,
       "archiveBytes": 44910,
-      "sha256": "a48c12c45c83185041a25ea0f408f8ce15a1632d4473440a0a1fbc7b5f674cd1",
+      "sha256": "3894aadcfdba77eb351abc4381d3b76141ed0d6a15d8b75a982a64092e1300fa",
       "download": "packages/ocean-1.0.0.tar.gz",
       "swatch": [
         "#2fa3b8",
@@ -226,7 +226,7 @@
       ],
       "payloadBytes": 198517,
       "archiveBytes": 31125,
-      "sha256": "9dd6037414f9303ecc507c4348380baeaf8dd2a97c98c58748410c18b37c014e",
+      "sha256": "ff66fd400882e4ce3017b32782825aca59e60e5a407c793b175d2c4500c1cb97",
       "download": "packages/graphite-1.0.0.tar.gz",
       "swatch": [
         "#8e9aa6",
@@ -299,7 +299,7 @@
       ],
       "payloadBytes": 206517,
       "archiveBytes": 34163,
-      "sha256": "76095ce19587f8e0bc7ba5aeb7ca62f1e622bc8ef14847fdb3479dbf0ea87b29",
+      "sha256": "24dbf64bb96520a16efbfbb553ccff91190ae4fde5b18444f3c6a7ee97b0993f",
       "download": "packages/bamboo-1.0.0.tar.gz",
       "swatch": [
         "#5aa85e",
@@ -367,7 +367,7 @@
       ],
       "payloadBytes": 1576,
       "archiveBytes": 1067,
-      "sha256": "35c4768f607bb936b2e263e972895920c66cce74a8829d944cd86c6d2e5b0030",
+      "sha256": "c3f6afae9ef5f47b622c74c2faf7174ba2ba38a9db2d19651a992874fd6f5f9a",
       "download": "packages/theme-cycler-1.0.0.tar.gz",
       "sourcePath": "packages/control/theme-cycler"
     },
@@ -430,7 +430,7 @@
       ],
       "payloadBytes": 3023,
       "archiveBytes": 1808,
-      "sha256": "0c7c6453b78a76c327282dfd62f6d023e90dc12a2c7458a67b1b43e5e20e15ba",
+      "sha256": "ab7acdc88895a391596182fa9425e1e81d0b7ec5de73c035b9fe0ee2a7a3a123",
       "download": "packages/webhook-notify-1.0.0.tar.gz",
       "sourcePath": "packages/control/webhook-notify"
     },
@@ -492,7 +492,7 @@
       ],
       "payloadBytes": 2370,
       "archiveBytes": 1450,
-      "sha256": "cea53eedab0232272ed6f5ebd5c6b8a7250ff08240fb2d754b16b1e7c9088d7a",
+      "sha256": "43512f16e9559f5984ab9cf827b9b8e0e7c5671bc1cd1cf211adc0b0344e9f37",
       "download": "packages/key-chime-1.0.0.tar.gz",
       "sourcePath": "packages/control/key-chime"
     },
@@ -554,7 +554,7 @@
       ],
       "payloadBytes": 3940,
       "archiveBytes": 1959,
-      "sha256": "bd4c7ae744be6a99dacaf663a0624e61e568f8da5e83566eb104127d39ddf11d",
+      "sha256": "c131b7a0e67a9e0a1e4ab23b9dcf5ec05f7bb73c8b43621fe849c6762009c4e0",
       "download": "packages/alarm-clock-1.0.0.tar.gz",
       "sourcePath": "packages/control/alarm-clock"
     },
@@ -621,7 +621,7 @@
       ],
       "payloadBytes": 3793,
       "archiveBytes": 1612,
-      "sha256": "aaf99b7ab9af49712f9ff5da37695c4d41cf89e09ae6ec5168057dede7075546",
+      "sha256": "7f3d1045be427b2d4cbe0b070cb63ca0fc1fe127c63201f9423f23970d37f736",
       "download": "packages/demo-echo-1.0.0.tar.gz",
       "icon": {
         "format": "indexed4",
@@ -702,7 +702,7 @@
       ],
       "payloadBytes": 6098,
       "archiveBytes": 2672,
-      "sha256": "8da05c474aa4b0d3d8913e16109b0ed887a4bab2d1d136527bb85bd798860cff",
+      "sha256": "0a33b62f6f186a80d370012ddd146f9c504daf182503cc23cb4c13bd9c7e35d3",
       "download": "packages/ollama-agent-1.0.0.tar.gz",
       "icon": {
         "format": "indexed4",
@@ -786,7 +786,7 @@
       ],
       "payloadBytes": 5814,
       "archiveBytes": 2456,
-      "sha256": "12de415fa0bb0bfaa3eb119c5e0930b3d3239836d184eab781dc1b36be93d06a",
+      "sha256": "541eef0c992b636cfe5d0b8f1f03dffa15a58b414f061ed392971bd3723a6c0f",
       "download": "packages/shell-agent-1.0.0.tar.gz",
       "icon": {
         "format": "indexed4",