openxiangda 2.31.7 → 2.31.9

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "openxiangda",
-  "version": "2.31.7",
+  "version": "2.31.9",
   "description": "OpenXiangda 2.0 的统一命令、应用 SDK、MCP 与中文 AI 技能资料。",
   "type": "module",
   "main": "./dist/index.js",
@@ -64,13 +64,13 @@
     "antd-mobile": "5.42.3",
     "dayjs": "1.11.18",
     "docx-preview": "0.3.7",
-    "openxiangda-cli": "2.6.9",
-    "openxiangda-contracts": "2.32.0",
-    "openxiangda-devkit-core": "2.34.2",
+    "openxiangda-cli": "2.6.11",
+    "openxiangda-contracts": "2.33.0",
+    "openxiangda-devkit-core": "2.34.3",
     "openxiangda-legacy": "npm:openxiangda@1.0.269",
-    "openxiangda-mcp": "2.0.58",
-    "openxiangda-nest": "2.8.0",
-    "openxiangda-skill-kit": "2.3.33",
+    "openxiangda-mcp": "2.0.59",
+    "openxiangda-nest": "2.9.0",
+    "openxiangda-skill-kit": "2.3.34",
     "xlsx": "https://github.com/1377385356/openxiangda/releases/download/vendor-mirror/xlsx-0.20.3.tgz"
   },
   "peerDependencies": {
@@ -136,32 +136,36 @@
   },
   "openxiangdaRelease": {
     "schemaVersion": "openxiangda.release-notes/v1",
-    "version": "2.31.7",
+    "version": "2.31.9",
     "status": "reviewed",
-    "title": "OpenXiangda 2.31.7：后端受控核验所选组织人员",
-    "summary": "应用后端可在已声明的业务操作内核验所选人员，姓名、工号与部门由平台组织架构提供。",
-    "newFeatures": [
-      "增加 selected-user 目录声明和 BusinessDirectoryService.selectedUser，按声明投影组织身份字段并返回核验快照。"
+    "title": "OpenXiangda 2.31.9：审批凭据绑定与附件预览修复",
+    "summary": "修复登录面刷新后既有审批凭据失配，以及流程附件预览遗漏 CSRF 请求头的问题。",
+    "newFeatures": [],
+    "fixes": [
+      "工作流操作保留签发详情时的 CSRF 绑定，登录面刷新不会将已签发操作错误地改用新凭据。",
+      "流程附件元数据、封面缩略图与文件内容通过 SDK 携带所需请求头，保留实例和字段授权。",
+      "审批确认弹窗持续展示操作失败提示，便于用户了解未完成状态。"
     ],
-    "fixes": [],
     "affectedUsers": [
-      "需要管理员代录、身份纠正或针对所选组织人员执行业务操作的 V2 应用。"
+      "使用任务或实例审批、流程附件预览的 V2 应用。"
     ],
     "upgradeSteps": [
-      "升级应用工具链，并先部署支持 directory.selected-user 1.0.0 的平台；在具体后端操作声明所需字段和目录读取权限。"
+      "升级 openxiangda 至 2.31.9 并重新构建应用，CLI 同批次更新模板依赖。",
+      "发布后核对真实审批提交、业务状态回读和封面预览；不需要修改角色权限或数据库。"
     ],
     "knownLimitations": [
-      "只支持同租户有效组织人员；未声明能力、无目录权限或人员不可用时明确拒绝。"
+      "网络结果不明的写操作不会自动重试，应先查询原操作状态。",
+      "原始文件 URL 仍不代替带授权头的 SDK 文件预览，HTML 等附件的服务端隔离策略保持不变。"
     ],
     "issues": [],
     "compatibility": {
       "node": ">=24",
       "workspaceGenerations": "v2",
-      "platform": "新增能力需要支持 directory.selected-user 1.0.0 的平台；既有 current-initiator 行为不变。",
+      "platform": "沿用既有工作流 Surface、一次性命令凭据与文件授权契约，无服务端放宽。",
       "v1": "独立 V1 引擎不受影响。"
     },
-    "sha256": "8843f2ad58d915c2b9158821b6640bc4453a5e0e6f6066d918fda0e9dc168ccd",
-    "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.31.7"
+    "sha256": "451b5b993046436de85f8f1aefd3acdad4677efe5754969d0adb5c6c8a9758b1",
+    "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.31.9"
   },
   "scripts": {
     "build": "node ../../scripts/prune-package-dist.mjs && tsc -p tsconfig.json && node scripts/copy-assets.mjs",

package/releases/2.31.8.json

@@ -0,0 +1,33 @@
+{
+  "schemaVersion": "openxiangda.release-notes/v1",
+  "version": "2.31.8",
+  "status": "reviewed",
+  "title": "OpenXiangda 2.31.8：富文本图片与原通知投递恢复",
+  "summary": "支持具名动作的富文本托管图片，并公开按原消息查询、恢复失败投递的用户态接口。",
+  "newFeatures": [
+    "NotificationService 增加 listMessages、listDeadLetters、replayDeadLetter，固定应用环境并保留平台管理权限。"
+  ],
+  "fixes": [
+    "managedFiles 作者配置与 Native 编译支持精确 text.rich 字段，避免借用其他图片字段授权。"
+  ],
+  "affectedUsers": [
+    "使用具名动作编辑富文本或需要后台管理通知投递的 V2 应用。"
+  ],
+  "upgradeSteps": [
+    "升级工具链；富文本插图依赖对应平台编译支持，开发态已有记录上传需平台开发态附件 RLS 修复。",
+    "通知死信 messageId 过滤和来源关联需对应平台版本；管理员分别授予 read、content:read、delivery:retry 权限。"
+  ],
+  "knownLimitations": [
+    "投影阶段尚无消息时死信关联字段为空；已解决死信保持既有 not-found 响应，客户端应刷新状态。",
+    "SDK 和平台源码验证不代替目标应用实际图片上传、通知投递及权限验收。"
+  ],
+  "issues": [],
+  "compatibility": {
+    "node": ">=24",
+    "workspaceGenerations": "v2",
+    "platform": "新增富文本声明和通知来源过滤需同步支持本次变更的平台；不扩大普通用户发送权限。",
+    "v1": "独立 V1 引擎不受影响。"
+  },
+  "sha256": "e30dad108c478ee6cce5a1632cbd620cbf650999c9d2fd39973482c2edb01ad9",
+  "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.31.8"
+}

package/releases/2.31.9.json

@@ -0,0 +1,33 @@
+{
+  "schemaVersion": "openxiangda.release-notes/v1",
+  "version": "2.31.9",
+  "status": "reviewed",
+  "title": "OpenXiangda 2.31.9：审批凭据绑定与附件预览修复",
+  "summary": "修复登录面刷新后既有审批凭据失配，以及流程附件预览遗漏 CSRF 请求头的问题。",
+  "newFeatures": [],
+  "fixes": [
+    "工作流操作保留签发详情时的 CSRF 绑定，登录面刷新不会将已签发操作错误地改用新凭据。",
+    "流程附件元数据、封面缩略图与文件内容通过 SDK 携带所需请求头，保留实例和字段授权。",
+    "审批确认弹窗持续展示操作失败提示，便于用户了解未完成状态。"
+  ],
+  "affectedUsers": [
+    "使用任务或实例审批、流程附件预览的 V2 应用。"
+  ],
+  "upgradeSteps": [
+    "升级 openxiangda 至 2.31.9 并重新构建应用，CLI 同批次更新模板依赖。",
+    "发布后核对真实审批提交、业务状态回读和封面预览；不需要修改角色权限或数据库。"
+  ],
+  "knownLimitations": [
+    "网络结果不明的写操作不会自动重试，应先查询原操作状态。",
+    "原始文件 URL 仍不代替带授权头的 SDK 文件预览，HTML 等附件的服务端隔离策略保持不变。"
+  ],
+  "issues": [],
+  "compatibility": {
+    "node": ">=24",
+    "workspaceGenerations": "v2",
+    "platform": "沿用既有工作流 Surface、一次性命令凭据与文件授权契约，无服务端放宽。",
+    "v1": "独立 V1 引擎不受影响。"
+  },
+  "sha256": "451b5b993046436de85f8f1aefd3acdad4677efe5754969d0adb5c6c8a9758b1",
+  "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.31.9"
+}

package/skills/manifest.json

@@ -4,7 +4,7 @@
     {
       "name": "openxiangda-v2",
       "description": "使用 OpenXiangda 2.0 从模糊业务想法、已有资料或具体变更出发，通过对话发现模块、完成详细产品设计，由当前 AI Agent 按需用 Image 2.5 等图片能力形成视觉参考，直接实现真实页面并在浏览器修正，再检查和交付应用；维护 1.x 应用时使用对应的 1.x 技能。",
-      "sha256": "cbe95066d7c4a3c82f07bb9b6c228e1d2e33784ddfa9fab5112ba17936e8c4ce"
+      "sha256": "cea34a5a81090254e1f8d027f95a710b8fbf43fd7af2902551bb309fed456877"
     }
   ]
 }

package/skills/openxiangda-v2/SKILL.md

@@ -40,10 +40,10 @@ AI 接到新应用、页面或改版任务时，在同一个 OpenXiangda 工作
 未创建工作区时使用本 Skill 随根包发布的精确版本：
 
 ```bash
-pnpm dlx openxiangda@2.31.7 auth status --cwd <应用目录> --base-url <平台地址> --json
-pnpm dlx openxiangda@2.31.7 login --cwd <应用目录> --base-url <平台地址>
-pnpm dlx openxiangda@2.31.7 create <应用目录> --base-url <同一平台地址>
-pnpm dlx openxiangda@2.31.7 skill install --force
+pnpm dlx openxiangda@2.31.9 auth status --cwd <应用目录> --base-url <平台地址> --json
+pnpm dlx openxiangda@2.31.9 login --cwd <应用目录> --base-url <平台地址>
+pnpm dlx openxiangda@2.31.9 create <应用目录> --base-url <同一平台地址>
+pnpm dlx openxiangda@2.31.9 skill install --force
 ```
 
 创建前把产品要求的目标平台明确带入命令，不从旧登录态推断站点。已有工作区从原绑定恢复，平台不一致时先解决登录与目标，不改 link 文件跨站创建。

package/skills/openxiangda-v2/references/backend.md

@@ -340,6 +340,12 @@ await bootstrapOpenXiangdaApplication(AppModule);
 
 ## 通知与事件 {#notifications}
 
+运营查询与恢复使用用户态 `OpenXiangdaNotificationService.listMessages({ correlationId, limit, offset })`、`listDeadLetters({ messageId, limit, offset })` 和 `replayDeadLetter(deadLetterId)`。应用保留原平台 messageId，按业务来源定位原通知；恢复只重试原投递，禁止重新 `send` 整个批次。平台保持 `app:notification2:read`、`app:notification2:content:read`、`app:notification2:delivery:retry` 分离授权，应用通常仅向管理员授予需要的管理权限。接口固定当前应用和环境，不接受应用服务身份代替用户。
+
+死信返回 messageId、deliveryId、correlationId；投影阶段尚无消息时为 null。若较新修订已投递，重放返回 `superseded: true` 而不再次发送。重复或未知结果应刷新原消息/死信状态，不能更换业务通知幂等键绕过。
+
+具名动作的 `platformAccess.managedFiles` 可精确声明 `file`、`image`、`signature` 和 `text.rich` 字段。富文本内嵌图片必须绑定实际富文本字段，不能借封面字段的权限。创建和更新意图分别声明；Connected Dev 同样逐请求验证开发会话，再对既有记录生成短时精确附件证明，不开放资源普通 CRUD。
+
 具名用户动作发送通知使用 `OpenXiangdaBusinessNotificationService.send()`，携带稳定 eventId、messageKey、sourceSequence 和 idempotencyKey。重放同一事件返回已有消息；同一 messageKey 的更高序列用于收敛状态。通知目标使用声明的 PC/移动路由代码及参数，不拼接环境域名或身份凭据。
 
 签名事件处理器使用 `sendFromEvent()`，在声明中指定事件 data 内的收件人与文案路径，由平台验证不可变事件后解析。普通业务动作不需要平台通知管理权限。需要高级钉钉卡片时才使用已授权的管理服务和已启用通道，不能把它设为普通审批的默认依赖。

package/skills/openxiangda-v2/references/getting-started.md

@@ -68,10 +68,10 @@ MCP 服务随项目根包一起安装，AI 客户端的 stdio 连接仍需配置
 以下命令的版本占位符由随包资料替换为该根包的精确版本。网站源码阅读者应先确认要使用的发行版本。
 
 ```bash
-pnpm dlx openxiangda@2.31.7 skill install --force
-pnpm dlx openxiangda@2.31.7 auth status --base-url <平台地址> --json
-pnpm dlx openxiangda@2.31.7 login --cwd my-app --base-url https://platform.example.com
-pnpm dlx openxiangda@2.31.7 create my-app --base-url https://platform.example.com
+pnpm dlx openxiangda@2.31.9 skill install --force
+pnpm dlx openxiangda@2.31.9 auth status --base-url <平台地址> --json
+pnpm dlx openxiangda@2.31.9 login --cwd my-app --base-url https://platform.example.com
+pnpm dlx openxiangda@2.31.9 create my-app --base-url https://platform.example.com
 cd my-app
 pnpm openxiangda context --json
 pnpm openxiangda dev
@@ -174,9 +174,9 @@ MCP 的 `docs_read` 可以读取本说明，当前没有独立的源码操作 MC
 无需本地工作区，使用本 Skill 随包精确版本或已安装的对应 CLI：
 
 ```bash
-pnpm dlx openxiangda@2.31.7 auth status --base-url <平台> --json
-pnpm dlx openxiangda@2.31.7 source resolve <仓库URL> --base-url <平台> --json
-pnpm dlx openxiangda@2.31.7 source clone <仓库URL> <新目录> --base-url <平台> --json
+pnpm dlx openxiangda@2.31.9 auth status --base-url <平台> --json
+pnpm dlx openxiangda@2.31.9 source resolve <仓库URL> --base-url <平台> --json
+pnpm dlx openxiangda@2.31.9 source clone <仓库URL> <新目录> --base-url <平台> --json
 ```
 
 登录缺失或站点不匹配时，先按该平台执行 login。resolve 根据平台已经登记的绑定返回