mingdao-harness 0.1.57 → 0.1.59

package/README.md

@@ -1,4 +1,4 @@
-# MingDao-Harness（明道）
+# MingDao Harness
 
 > 开源智能体框架（Agent Harness）：**零运行时依赖、开箱即用**，针对 DeepSeek-V4 首发深度优化，开放主流模型接入。一条命令安装，终端与浏览器双界面，命令：`mingdao`（简写 `mdh`）。
 

package/docs/CODE-SIGNING.md

@@ -0,0 +1,92 @@
+# 桌面版代码签名与公证指南
+
+消除 Windows SmartScreen 警告与 macOS Gatekeeper「仍要打开」提示的完整流程。
+**当前构建为未签名**（官网已注明绕过方法）；按本指南拿到证书后，把对应密钥配成
+环境变量即可，无需改代码。
+
+---
+
+## 一、Windows 代码签名（二选一）
+
+### 方案 A：OV/EV 代码签名证书（传统方式）
+
+| 项 | OV（组织验证） | EV（扩展验证） |
+| --- | --- | --- |
+| SmartScreen 效果 | 新证书初期仍提示，随下载量积累信誉后消失 | **签发即过**（即时信誉） |
+| 价格 | 约 ¥1000–2500/年 | 约 ¥3000–6000/年 |
+| 主体要求 | 需要**企业/个体工商户**营业执照（个人买不到） | 同左 |
+
+购买渠道（国内可直接开票）：亚洲诚信（TrustAsia）/ Sectigo / DigiCert / GlobalSign 的
+国内代理，搜索「OV 代码签名证书」即可。CA 会发 **USB Key（U 盾）或加密后的 .pfx**。
+
+拿到证书后导出为 **.pfx（含私钥）**，转成 base64 配置环境变量：
+
+```bash
+base64 -w0 your-cert.pfx > cert.b64   # Windows 用 certutil -encode
+# GitHub Secrets → CSC_LINK = cert.b64 内容（含换行也可）
+#               → CSC_KEY_PASSWORD = pfx 导出密码
+```
+
+### 方案 B：Azure Trusted Signing（个人开发者推荐）
+
+个人无法申请 OV/EV 时的官方方案（微软 2024 年推出，**$9.99/月**，无需企业主体、无硬件）：
+
+1. 注册 Azure 账号 → 订阅 → 搜索「**Trusted Signing**」服务创建签名账户；
+2. 创建 **Certificate Profile**（类型 Public Trust），记录 endpoint（形如
+   `https://xxx.codesigning.azure.net/`）与 `CertificateProfileName`；
+3. 在 Azure Entra 注册一个应用并给其签名账户的
+   `Code Signing Certificate Profile Signer` 角色，取得 tenant/client/secret；
+4. 配置 `desktop/electron-builder.yml` 的 `win.azureSignOptions`（见该文件注释）并设置
+   环境变量 `AZURE_TENANT_ID` / `AZURE_CLIENT_ID` / `AZURE_CLIENT_SECRET`。
+
+> 提示：Azure Trusted Signing 签出的也是可信证书，SmartScreen 信誉随使用积累。
+
+---
+
+## 二、macOS 签名 + 公证
+
+1. 注册 [Apple Developer Program](https://developer.apple.com/programs/)（**$99/年**，个人即可）；
+2. 在 https://developer.apple.com/account/resources/certificates 创建
+   **Developer ID Application** 证书 → 下载后在「钥匙串访问」导出为 **.p12（含私钥）**；
+3. 在 https://appleid.apple.com 的「登录与安全」生成 **App 专用密码**；
+4. 配置环境变量（electron-builder 检测到后自动签名 + 公证，零代码改动）：
+
+| 环境变量 | 值 |
+| --- | --- |
+| `CSC_LINK` | p12 的 base64（`base64 -w0 cert.p12`） |
+| `CSC_KEY_PASSWORD` | p12 导出密码 |
+| `APPLE_ID` | 你的 Apple ID 邮箱 |
+| `APPLE_APP_SPECIFIC_PASSWORD` | 第 3 步生成的 App 专用密码 |
+| `APPLE_TEAM_ID` | https://developer.apple.com/account 右上角显示的 Team ID |
+
+---
+
+## 三、CI（GitHub Actions）接线
+
+把上述环境变量按名字建到仓库 **Settings → Secrets and variables → Actions**
+（`CSC_LINK` 直接贴 base64 全文）。`desktop.yml` 已预留 env 引用（见 `env:` 段），
+密钥存在后**下次打 tag 自动签名/公证**。密钥只进 GitHub Secrets，绝不进仓库。
+
+macOS 作业的 `--mac dmg` 在检测到 `CSC_LINK` + Apple 凭证时自动完成签名与
+`notarytool` 公证（`hardenedRuntime` 由 electron-builder 默认开启）。
+
+---
+
+## 四、常见问题
+
+- **签了名 SmartScreen 还提示**：OV/新证书需积累下载信誉（通常数周）；EV 即时生效。
+  也可到微软 [Windows Defender SmartScreen](https://www.microsoft.com/wdsi/filesubmission)
+  提交文件加快信誉建立。
+- **公证失败**：常见原因是 p12 不含私钥、App 专用密码错误、或 hardened runtime 缺少
+  entitlements。electron-builder 会在 CI 日志打印 notarytool 完整输出。
+- **验证是否签上**：Windows 右键 exe →「数字签名」；macOS `codesign -dv
+  --verbose=4 MingDao.app` 与 `spctl -a -vv MingDao.app`。
+- **「代码签名 OV」与「域名 OV」是同一个证书吗？** 不是。两者只共享 OV（组织验证）
+  概念：域名 OV 是 SSL/TLS 证书（绑定域名、EKU=Server Authentication、给 HTTPS 用）；
+  代码签名 OV 绑定组织身份（EKU=Code Signing 1.3.6.1.5.5.7.3.3、给软件签名用），
+  常以 USB Key 交付，互不可替代。下单务必确认 EKU 为 Code Signing。
+- **不想签**：现状即可用（官网已附绕过说明），仅多一步手动确认。
+
+---
+
+*配置文件位置：`desktop/electron-builder.yml`（azureSignOptions 注释）、`.github/workflows/desktop.yml`（env 段）。*

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "mingdao-harness",
-  "version": "0.1.57",
-  "description": "明道 MingDao —— 开源智能体框架（Agent Harness）。零依赖、开箱即用，针对 DeepSeek-V4 系列优化，开放主流模型接入。",
+  "version": "0.1.59",
+  "description": "MingDao Harness —— 开源智能体框架（Agent Harness）。零依赖、开箱即用，针对 DeepSeek-V4 系列优化，开放主流模型接入。",
   "type": "module",
   "bin": {
     "mingdao": "src/cli.js",

package/src/cli.js

@@ -1,5 +1,5 @@
 #!/usr/bin/env node
-// MingDao（明道）CLI 入口：初始化向导、凭证管理、单次提问、交互式 TUI 会话。
+// MingDao Harness CLI 入口：初始化向导、凭证管理、单次提问、交互式 TUI 会话。
 // 会话能力：/plan 计划模式、/compact 上下文压缩、/init、/memory、/skills、
 // /mode 模型快捷切换、/verbose 思考开关、/status、/cost、会话选择恢复。
 
@@ -65,7 +65,7 @@ import {
 const pkg = JSON.parse(fs.readFileSync(new URL('../package.json', import.meta.url), 'utf8'));
 
 const HELP_LINES = [
-  [`MingDao 明道 · AI 智能体框架 v${pkg.version}（命令：mingdao，简写 mdh）`, C.bold + C.cyan],
+  [`MingDao Harness · AI 智能体框架 v${pkg.version}（命令：mingdao，简写 mdh）`, C.bold + C.cyan],
   ['', null],
   ['用法', C.bold + C.yellow],
   ['  mingdao                    交互式对话（TUI）', null],
@@ -600,7 +600,7 @@ async function main() {
   const routing = routingConfig(cfg);
   const wsNow = currentWorkspace(workingDir);
   io.print('');
-  io.box(`MingDao 明道 v${pkg.version}`, [
+  io.box(`MingDao Harness v${pkg.version}`, [
     `模型  ${modelName}${preset?.label ? '（' + preset.label + '）' : ''}`,
     `权限  ${permission.mode} · 密钥  ${keySource}`,
     `沙箱  ${sandboxLabel}${routing ? ` · 路由  ${routing.planner}⇄${routing.executor}` : ''}`,
@@ -1090,7 +1090,7 @@ async function main() {
   try {
     await maybeAutoSync();
   } catch {}
-  io.print('再见，明道与你同行。');
+  io.print('再见，MingDao Harness 与你同行。');
   io.close();
 }
 

package/src/commands/desktop.js

@@ -31,7 +31,7 @@ export async function handleDesktop(args) {
     process.exitCode = 1;
     return true;
   }
-  console.log('正在启动 明道 MingDao 桌面版…（窗口弹出即成功；托盘常驻，关闭窗口 = 最小化到托盘）');
+  console.log('正在启动 MingDao Harness 桌面版…（窗口弹出即成功；托盘常驻，关闭窗口 = 最小化到托盘）');
   const child = spawn(localBin, [desktopDir], { cwd: desktopDir, stdio: 'ignore', detached: true });
   child.on('error', (err) => {
     console.log('[错误] 启动 Electron 失败：' + (err?.message || err));

package/src/package.json

@@ -0,0 +1,5 @@
+{
+  "type": "module",
+  "private": true,
+  "description": "显式声明 src/ 为 ESM：桌面版打包后 resources/src/ 上方无 package.json，Electron 31（Node 20.14，无语法探测）会把 .js 当 CJS 加载报「Cannot use import statement outside a module」。此文件随 extraResources 一并打包。"
+}

package/src/prompts.js

@@ -7,7 +7,7 @@ import { skillsRegistryBlock } from './skills.js';
 import { mingdaoHome } from './config.js';
 import { recentJournalBlock } from './memory.js';
 
-const BASE = `你是 MingDao（明道），一个由 MingDao-Harness 驱动的 AI 编程助手。你在用户的电脑上工作：通过工具读写文件、搜索代码、执行命令，帮助用户完成编程、调试与自动化任务。
+const BASE = `你是 MingDao Harness，一个由 MingDao Harness 驱动的 AI 编程助手。你在用户的电脑上工作：通过工具读写文件、搜索代码、执行命令，帮助用户完成编程、调试与自动化任务。
 
 工作准则：
 1. 先了解再动手：修改或创建代码前，先用 read / ls / glob / grep 查看相关文件，不要凭空猜测。

package/src/web/index.html

@@ -3,9 +3,9 @@
 <head>
 <meta charset="utf-8">
 <meta name="viewport" content="width=device-width, initial-scale=1">
-<title>MingDao 明道</title>
+<title>MingDao Harness</title>
 <link rel="manifest" href="/manifest.webmanifest">
-<link rel="icon" href="/icon.svg" type="image/svg+xml">
+<link rel="icon" href="/icon-192.png" type="image/png">
 <meta name="theme-color" content="#0f1115">
 <style>
 :root{
@@ -124,7 +124,7 @@ footer{flex:none;border-top:1px solid var(--border);background:var(--bg2);paddin
 </head>
 <body>
 <header>
-  <div class="logo">MingDao <span>明道</span></div>
+  <div class="logo">MingDao <span>Harness</span></div>
   <select id="modelSel" title="切换模型"></select>
   <select id="permSel" title="权限模式">
     <option value="ask">权限 ask</option>

package/src/web/server.js

@@ -402,7 +402,7 @@ export async function runWebServer({ host = '127.0.0.1', port = 3820, authToken
     // 访问控制（P1-3/P1-4）：token 校验覆盖数据与操作接口；壳页面与 PWA 静态资源公开
     // （壳不含任何数据，SPA 需要先加载才能读取 ?token=）；Host 白名单覆盖一切请求
     const isStaticAsset =
-      p === '/' || p === '/index.html' || p === '/favicon.ico' || p === '/icon.svg' || p === '/manifest.webmanifest' || p === '/sw.js';
+      p === '/' || p === '/index.html' || p === '/favicon.ico' || p === '/icon.svg' || p === '/icon-192.png' || p === '/icon-512.png' || p === '/manifest.webmanifest' || p === '/sw.js';
     if (authEnabled && !isStaticAsset && !tokenMatches(requestToken(req, url))) {
       return json(res, 401, { error: '未授权：缺少或无效的访问令牌（地址需带 ?token=…，或请求头携带 X-MingDao-Token）' });
     }
@@ -440,9 +440,16 @@ export async function runWebServer({ host = '127.0.0.1', port = 3820, authToken
       }
       return;
     }
-    if (req.method === 'GET' && p === '/favicon.ico') {
-      res.writeHead(204);
-      res.end();
+    // 统一品牌图标：浏览器标签页 /favicon.ico 直接返回 192 PNG
+    if (req.method === 'GET' && (p === '/favicon.ico' || p === '/icon-192.png' || p === '/icon-512.png')) {
+      try {
+        const file = path.join(path.dirname(fileURLToPath(import.meta.url)), 'icons', p === '/icon-512.png' ? 'icon-512.png' : 'icon-192.png');
+        const buf = fs.readFileSync(file);
+        res.writeHead(200, { 'Content-Type': 'image/png', 'Cache-Control': 'public, max-age=86400' });
+        res.end(buf);
+      } catch {
+        json(res, 404, { error: 'icon missing' });
+      }
       return;
     }
     if (req.method === 'GET' && p === '/api/state') {
@@ -1087,14 +1094,17 @@ export async function runWebServer({ host = '127.0.0.1', port = 3820, authToken
       res.writeHead(200, { 'Content-Type': 'application/manifest+json; charset=utf-8' });
       res.end(
         JSON.stringify({
-          name: 'MingDao 明道',
+          name: 'MingDao Harness',
           short_name: 'MingDao',
           description: 'MingDao-Harness 智能体框架 WebUI',
           start_url: '/',
           display: 'standalone',
           background_color: '#0f1115',
           theme_color: '#0f1115',
-          icons: [{ src: '/icon.svg', sizes: 'any', type: 'image/svg+xml', purpose: 'any' }],
+          icons: [
+            { src: '/icon-192.png', sizes: '192x192', type: 'image/png', purpose: 'any' },
+            { src: '/icon-512.png', sizes: '512x512', type: 'image/png', purpose: 'any maskable' },
+          ],
         })
       );
       return;