openxiangda 1.0.165 → 1.0.166

package/templates/openxiangda-react-spa/AGENTS.md

@@ -32,7 +32,7 @@ pnpm typecheck
 pnpm typecheck:js-code
 pnpm build
 pnpm build-js-code
-openxiangda workspace publish --profile <name> --form <formCode>
+openxiangda resource publish form-setting --only <formCode> --change <change> --profile <name>
 openxiangda form export <formCode> --mode package --profile <name> --output ./exports/
 openxiangda doctor --profile <name> --json
 openxiangda design gates --topic public-access --json
@@ -42,37 +42,37 @@ openxiangda resource plan <type> --only <code1,code2> --profile <name>
 openxiangda runtime deploy --change <change> --profile <name> --no-activate --json
 openxiangda sdd verify <change> --changed --stage prepublish
 openxiangda release begin --change <change> --profile <name>
-openxiangda resource publish <type> --only <code1,code2> --change <change> --profile <name>
-openxiangda runtime activate <reviewedReleaseId> --change <change> --profile <name>
+openxiangda resource publish function,automation --only function:<code>,automation:<code> --stage-only --change <change> --profile <name>
+openxiangda release app-finalize --staged-resources-json .openxiangda/releases/<change>/staged-resources.json --change <change> --profile <name>
 openxiangda release integration-status --profile <name>
 openxiangda release end --profile <name>
 openxiangda commands --json
 ```
 
-模板已停用无范围的 `pnpm deploy` 聚合入口。日常变更必须使用 `resource plan|publish <type> --only <codes>`（单资源可用 `--code <code>`），Runtime 先 `--no-activate` 生成预览版本，再做带基线校验的激活。如果应用包含 `src/forms/<formCode>/schema.ts`，先执行带同一 `--change` 的精确 form publish 初始化 schema/table。不要直接运行 `pnpm publish:all`、`pnpm openxiangda:publish` 或 `lowcode-workspace publish-all`。
+模板已停用无范围的 `pnpm deploy` 聚合入口。日常变更必须使用 `resource plan|publish <type> --only <codes>`（单资源可用 `--code <code>`）。Form bundle、Backend Release 和 Runtime 都先暂存；CLI 会按 `--change` 自动聚合 `.openxiangda/releases/<change>/staged-resources.json`，最后只由一次 Root App finalize 原子激活。不要使用 `workspace publish --form`、单独 `runtime activate`、`pnpm publish:all`、`pnpm openxiangda:publish` 或 `lowcode-workspace publish-all`。
 
 `resource plan` 与 publish dry-run 严格只允许 GET/HEAD。遇到 `READ_ONLY_AUTH_REQUIRED` 时，先执行 `openxiangda auth refresh --profile <name>` 或重新登录再重试；不得在 plan 内自动 POST 刷新 token。
 
 完整发布顺序：
 
 ```bash
-openxiangda workspace publish --profile <name> --change <change> --form <formCode>
-openxiangda runtime deploy --change <change> --profile <name> --no-activate --json
 openxiangda release begin --change <change> --profile <name>
-openxiangda resource publish <type> --only <codes> --change <change> --profile <name>
-openxiangda runtime activate <reviewedReleaseId> --change <change> --profile <name>
+openxiangda resource publish form-setting --only <formCodes> --change <change> --profile <name> --json
+openxiangda resource publish function,automation --only function:<code>,automation:<code> --stage-only --change <change> --profile <name> --json
+openxiangda runtime deploy --change <change> --profile <name> --no-activate --json
+openxiangda release app-finalize --staged-resources-json .openxiangda/releases/<change>/staged-resources.json --change <change> --profile <name> --json
 # 将 release begin 冻结的 SHA merge/fast-forward 并 push 到权威主分支
 openxiangda release integration-status --profile <name>
 openxiangda release end --profile <name>
 ```
 
-`pnpm build-js-code` 会检查并打包 `src/js-code-nodes/<code>/index.ts`、`src/automations/<code>/index.ts`、`src/functions/<code>/index.ts`，供 JS_CODE V2、代码自动化和 App Function 资源发布使用。批量目标使用 `pnpm build-js-code --scripts functions:a,functions:b,automations:c`，也兼容重复的 `--script a --script b --source functions`。显式 selector 只校验和构建选中入口及其传递/shared/ambient 依赖；不带 selector 才执行全工作区 TypeScript 校验。构建缓存写入 `.openxiangda/build-cache.json` 并按 scoped target、实际共享依赖、构建配置、Node/Vite/TypeScript 版本及产物校验和判断命中；需要强制重建时追加 `--force`。
+`pnpm build-js-code` 会检查并打包 `src/js-code-nodes/<code>/index.ts`、`src/automations/<code>/index.ts`、`src/functions/<code>/index.ts`，供 JS_CODE V2、代码自动化和 App Function 资源发布使用。批量目标使用 `pnpm build-js-code --scripts functions:a,functions:b,automations:c`，也兼容重复的 `--script a --script b --source functions`。正式 `resource plan/publish` 由 CLI 内置 scoped builder 一次批量构建选中入口及其传递/shared/ambient 依赖，不再为每个资源启动工作区 `pnpm`。缓存写入 `.openxiangda/build-cache.cli-v4.json`，稳定 `source_lineage_v1` 只按 authored source/dependencies 比较，不因构建器升级制造假冲突；需要强制重建时追加 `--force`。
 
 App Function 第三方凭据只能在 Function manifest 顶层声明 `secretRefs: [{name, required}]`，并使用 `function_v2` + `runtimeContractVersion: "trusted_node_v2"`；源码通过 `await ctx.secrets.get(name)` 获取。值只能经 `openxiangda secret create|rotate --value-stdin --change <id> --profile <name>` 或隐藏 TTY 配置，禁止进入 Git、`.env`、manifest、源码、构建产物、plan、日志和异常。本地测试只使用 `openxiangda function test --secret-from-env logical=ENV` 的隔离子进程注入。
 
 `openxiangda runtime deploy --no-activate` 会构建并上传不可变预览版本；发布前先提交所有可能进入构建的源码/配置。所有 Runtime deploy（包括 `--no-activate`）都会先获取应用发布 lease，并在任何构建和上传前冻结 clean `HEAD` 与当前 active Runtime 父血缘；旧分支返回 `RUNTIME_SOURCE_BASE_DIVERGED`，不能先上传旧 preview 再激活。`openspec/` SDD 证据和生成/状态目录不算源码 dirty。仅审批的回退可使用 `--allow-runtime-rollback --reason "至少 8 个字符"`；`--no-build` 不会跳过守卫。不要手工修改 `dist/index.html`。
 
-Function/Automation 仅因 TypeScript 源码变化被选中时，默认走服务端 source-field PATCH，保留线上 bindings、input/output contracts、metadata、trigger/view 配置和 enabled/published state。整包 manifest 替换必须精确 `--only/--code` 并加 `--replace-manifest --reason "..."`。`release begin --change` 会分别冻结 change base 与实际 clean publish HEAD，并要求后者包含当前远端主分支；旧 worktree 返回 `SOURCE_BASE_DIVERGED`/`RELEASE_SOURCE_BEHIND_MAIN`，期间远端字段变化返回 `RESOURCE_FIELD_CONFLICT`。上线后先 merge/push 冻结 SHA；正常 `release end` 会以 `RELEASE_MAIN_MERGE_PENDING` 阻断未回合提交。权威目标只取远端实时默认 `main`/`master`，本地分支、覆盖参数和租约过期都不能清除证据。
+Function/Automation 走 Backend Release v2；同一个 child 可以混合 create、source-only update 与显式 manifest replacement，并对整个集合做 CAS。正式多资源发布必须使用精确 selector 和 `--stage-only`，不得回退为逐资源直写；整包 manifest 替换还必须显式加 `--replace-manifest --reason "..."`。`release begin --change` 会分别冻结 change base 与实际 clean publish HEAD，并要求后者包含当前远端主分支；旧 worktree 返回 `SOURCE_BASE_DIVERGED`/`RELEASE_SOURCE_BEHIND_MAIN`，期间远端字段变化返回 `RESOURCE_FIELD_CONFLICT`。上线后先 merge/push 冻结 SHA；正常 `release end` 会以 `RELEASE_MAIN_MERGE_PENDING` 阻断未回合提交。权威目标只取远端实时默认 `main`/`master`，本地分支、覆盖参数和租约过期都不能清除证据。
 
 ## 应用结构
 

package/templates/openxiangda-react-spa/scripts/build-js-code.mjs

@@ -25,7 +25,7 @@ const rootDir = path.resolve(process.env.OPENXIANGDA_WORKSPACE_ROOT || defaultRo
 const args = process.argv.slice(2);
 const require = createRequire(import.meta.url);
 const ts = require("typescript");
-const CACHE_VERSION = 3;
+const CACHE_VERSION = 4;
 const builderFingerprint = crypto
   .createHash("sha256")
   .update(readFileSync(scriptFile))
@@ -37,7 +37,7 @@ const workspaceBuilderMatches =
     builderFingerprint;
 const cacheFileName =
   path.resolve(defaultRootDir) !== rootDir && !workspaceBuilderMatches
-    ? "build-cache.cli-v3.json"
+    ? "build-cache.cli-v4.json"
     : "build-cache.json";
 const CACHE_FILE = path.join(rootDir, ".openxiangda", cacheFileName);
 const CACHE_LOCK_FILE = `${CACHE_FILE}.lock`;
@@ -255,6 +255,19 @@ function hashFileSet(files, context) {
   return hash.digest("hex");
 }
 
+function sourceFileSetHash(files, context) {
+  const hash = crypto.createHash("sha256");
+  hash.update(`source-lineage-v1\0${context}\0`);
+  for (const file of [...new Set(files)].sort()) {
+    const absolute = path.resolve(rootDir, file);
+    hash.update(`${file}\0`);
+    if (existsSync(absolute) && statSync(absolute).isFile()) hash.update(readFileSync(absolute));
+    else hash.update("<missing>");
+    hash.update("\0");
+  }
+  return hash.digest("hex");
+}
+
 function configInputFiles() {
   return [
     "package.json",
@@ -461,9 +474,14 @@ async function buildScript(target) {
     },
   });
   const dependencies = collectBuildDependencies(buildResult, entry);
+  const entryRelative = relativeWorkspaceFile(entry);
   const output = outputFile(target);
   return {
     inputHash: targetInputHash(target, dependencies),
+    sourceHash: sourceFileSetHash(
+      [entryRelative, ...dependencies].filter(Boolean),
+      `target:${target.kind.name}/${target.scriptCode}`,
+    ),
     outputHash: sha256File(output),
     dependencies,
     output: relativeWorkspaceFile(output) || path.relative(rootDir, output),

package/templates/openxiangda-react-spa/scripts/deploy.mjs

@@ -9,8 +9,8 @@ const lines = [
   '  openxiangda runtime deploy --no-activate --change <change> --profile <name>',
   '  openxiangda sdd verify <change> --changed --stage prepublish',
   '  openxiangda release begin --change <change> --profile <name>',
-  '  openxiangda resource publish <type> --only <codes> --change <change> --profile <name>',
-  '  openxiangda runtime activate <reviewedReleaseId> --change <change> --profile <name>',
+  '  openxiangda resource publish function,automation --only function:<code>,automation:<code> --stage-only --change <change> --profile <name>',
+  '  openxiangda release app-finalize --staged-resources-json .openxiangda/releases/<change>/staged-resources.json --change <change> --profile <name>',
   '',
   '激活后必须把冻结的发布 SHA merge/fast-forward 并 push 到权威主分支：',
   '  openxiangda release integration-status --profile <name>',

package/templates/sy-lowcode-app-workspace/AGENTS.md

@@ -23,7 +23,7 @@
 | 只发布改动 / 增量 / 单页 / 单表 | `openxiangda-core` | `... --changed` / `--page <code>` / `--form <code>` / `--only pages/a,forms/b` |
 | 创建应用 / 新建 app / 初始化工作区 | `openxiangda-app` | `openxiangda workspace init <dir> --profile <name> --app-name "..."` |
 | 绑定已有应用 | `openxiangda-app` | `openxiangda workspace bind --profile <name> --app-type APP_XXX` |
-| 创建 / 改表单字段、schema、表单页 | `openxiangda-form` | 编辑 `src/forms/<code>/{schema.ts,page.tsx}` → `workspace publish --form <code>` |
+| 创建 / 改表单字段、schema、表单页 | `openxiangda-form` | 编辑表单并声明 form-setting bundle → `resource publish form-setting --only <code>` 暂存；整应用由 `app-finalize` 激活 |
 | 导出表单数据 / 图片 / 附件 / Excel / zip | `openxiangda-form` | `openxiangda form export <formCode> --mode xlsx|xlsx-images|package --profile <name>` |
 | 创建 / 改自定义代码页、portal、看板 | `openxiangda-page` | 编辑 `src/pages/<code>/` → `workspace publish --page <code>` |
 | 审批流程 / 流程节点 / JS_CODE | `openxiangda-workflow-automation` | `openxiangda workflow validate / create / publish` |
@@ -52,7 +52,7 @@
 - ✅ 发现平台缺陷、能力缺口、规则不清、反复 workaround、AI 不确定点、用户可见体验问题时，主动 `openxiangda feedback submit --yes`；发送后告诉用户反馈内容和 fingerprint。
 - ✅ 正式多资源开发优先写 `src/resources/**` 后执行 `openxiangda resource validate|plan|publish <type> --only <codes>`；单资源可用 `--code <code>`。直接 CLI 写平台资源时先 `--dry-run`，需要避免漂移就加 `--write-manifest`。
 - ✅ `resource plan` 与 publish dry-run 严格只允许 GET/HEAD；遇到 `READ_ONLY_AUTH_REQUIRED` 时先执行 `openxiangda auth refresh --profile <name>` 或重新登录，不得在 plan 内自动 POST 刷新 token。
-- ✅ Function/Automation 因 TypeScript 源码变化被选中时，默认走服务端 source-field PATCH，保留线上 bindings、input/output contracts、metadata、trigger/view 配置和 enabled/published state。整包 manifest 替换必须精确 `--only/--code` 并显式加 `--replace-manifest --reason "..."`。
+- ✅ Function/Automation 使用 Backend Release v2；正式多资源发布用精确 `--only/--code` 加 `--stage-only` 暂存，同一 child 可混合 create、source-only update 和显式 manifest replacement，再由 Root App finalize 原子激活。整包 manifest 替换必须另加 `--replace-manifest --reason "..."`。
 - ✅ 正式 promotion 先 `openxiangda release begin --change <change> --profile <name>`，冻结实际 clean publish HEAD + change/远端字段 baseline，并在任何 live write 前整体 preflight。旧 worktree 会收到 `SOURCE_BASE_DIVERGED`/`RELEASE_SOURCE_BEHIND_MAIN`，期间远端字段变化会收到 `RESOURCE_FIELD_CONFLICT`。所有 publish/activate 继续传同一 `--change`；上线后 merge/push 冻结 SHA，运行 `release integration-status`，再正常 `release end`。未回合会收到 `RELEASE_MAIN_MERGE_PENDING`；权威目标只取远端实时默认 `main`/`master`，本地分支、覆盖参数和租约过期都不能清除证据。
 
 ## 严禁
@@ -86,7 +86,7 @@
 
 ## JS_CODE 批量构建
 
-`pnpm build-js-code --scripts functions:a,functions:b,automations:c` 可在一次进程中构建多个 App Function / Automation / JS_CODE 目标；也兼容 `--script a --script b --source functions`。显式 selector 只校验和构建选中入口及其传递/shared/ambient 依赖；不带 selector 才保持全工作区 TypeScript 校验。`.openxiangda/build-cache.json` 分 scoped target 记录源码、实际共享依赖、构建配置、Node/Vite/TypeScript 版本及产物校验和，不能只因 `dist/**/index.cjs` 存在就视为有效；强制重建使用 `--force`。
+`pnpm build-js-code --scripts functions:a,functions:b,automations:c` 可在一次进程中构建多个 App Function / Automation / JS_CODE 目标；也兼容重复的 `--script a --script b --source functions`。正式 `resource plan/publish` 使用 CLI 内置 scoped builder 和 `.openxiangda/build-cache.cli-v4.json`，按 authored source/dependencies 的稳定血缘增量构建；手工运行模板内 `pnpm build-js-code` 使用 `.openxiangda/build-cache.json`。两者都不能只因 `dist/**/index.cjs` 存在就视为有效；强制重建使用 `--force`。
 
 App Function 第三方凭据只能在 Function manifest 顶层声明 `secretRefs: [{name, required}]`，并使用 `function_v2` + `runtimeContractVersion: "trusted_node_v2"`；源码通过 `await ctx.secrets.get(name)` 获取。值只能用 `openxiangda secret create|rotate --value-stdin --change <id> --profile <name>` 或隐藏 TTY 配置，禁止写入 Git、`.env`、manifest、源码、构建产物、plan、日志和异常。本地联调只允许 `openxiangda function test --secret-from-env logical=ENV`，它不会把值写入 workspace/cache/state。
 

package/templates/sy-lowcode-app-workspace/scripts/build-js-code.mjs

@@ -25,7 +25,7 @@ const rootDir = path.resolve(process.env.OPENXIANGDA_WORKSPACE_ROOT || defaultRo
 const args = process.argv.slice(2);
 const require = createRequire(import.meta.url);
 const ts = require("typescript");
-const CACHE_VERSION = 3;
+const CACHE_VERSION = 4;
 const builderFingerprint = crypto
   .createHash("sha256")
   .update(readFileSync(scriptFile))
@@ -37,7 +37,7 @@ const workspaceBuilderMatches =
     builderFingerprint;
 const cacheFileName =
   path.resolve(defaultRootDir) !== rootDir && !workspaceBuilderMatches
-    ? "build-cache.cli-v3.json"
+    ? "build-cache.cli-v4.json"
     : "build-cache.json";
 const CACHE_FILE = path.join(rootDir, ".openxiangda", cacheFileName);
 const CACHE_LOCK_FILE = `${CACHE_FILE}.lock`;
@@ -255,6 +255,19 @@ function hashFileSet(files, context) {
   return hash.digest("hex");
 }
 
+function sourceFileSetHash(files, context) {
+  const hash = crypto.createHash("sha256");
+  hash.update(`source-lineage-v1\0${context}\0`);
+  for (const file of [...new Set(files)].sort()) {
+    const absolute = path.resolve(rootDir, file);
+    hash.update(`${file}\0`);
+    if (existsSync(absolute) && statSync(absolute).isFile()) hash.update(readFileSync(absolute));
+    else hash.update("<missing>");
+    hash.update("\0");
+  }
+  return hash.digest("hex");
+}
+
 function configInputFiles() {
   return [
     "package.json",
@@ -461,9 +474,14 @@ async function buildScript(target) {
     },
   });
   const dependencies = collectBuildDependencies(buildResult, entry);
+  const entryRelative = relativeWorkspaceFile(entry);
   const output = outputFile(target);
   return {
     inputHash: targetInputHash(target, dependencies),
+    sourceHash: sourceFileSetHash(
+      [entryRelative, ...dependencies].filter(Boolean),
+      `target:${target.kind.name}/${target.scriptCode}`,
+    ),
     outputHash: sha256File(output),
     dependencies,
     output: relativeWorkspaceFile(output) || path.relative(rootDir, output),