openxiangda 2.31.8 → 2.31.9

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "openxiangda",
-  "version": "2.31.8",
+  "version": "2.31.9",
   "description": "OpenXiangda 2.0 的统一命令、应用 SDK、MCP 与中文 AI 技能资料。",
   "type": "module",
   "main": "./dist/index.js",
@@ -64,7 +64,7 @@
     "antd-mobile": "5.42.3",
     "dayjs": "1.11.18",
     "docx-preview": "0.3.7",
-    "openxiangda-cli": "2.6.10",
+    "openxiangda-cli": "2.6.11",
     "openxiangda-contracts": "2.33.0",
     "openxiangda-devkit-core": "2.34.3",
     "openxiangda-legacy": "npm:openxiangda@1.0.269",
@@ -136,36 +136,36 @@
   },
   "openxiangdaRelease": {
     "schemaVersion": "openxiangda.release-notes/v1",
-    "version": "2.31.8",
+    "version": "2.31.9",
     "status": "reviewed",
-    "title": "OpenXiangda 2.31.8：富文本图片与原通知投递恢复",
-    "summary": "支持具名动作的富文本托管图片，并公开按原消息查询、恢复失败投递的用户态接口。",
-    "newFeatures": [
-      "NotificationService 增加 listMessages、listDeadLetters、replayDeadLetter，固定应用环境并保留平台管理权限。"
-    ],
+    "title": "OpenXiangda 2.31.9：审批凭据绑定与附件预览修复",
+    "summary": "修复登录面刷新后既有审批凭据失配，以及流程附件预览遗漏 CSRF 请求头的问题。",
+    "newFeatures": [],
     "fixes": [
-      "managedFiles 作者配置与 Native 编译支持精确 text.rich 字段，避免借用其他图片字段授权。"
+      "工作流操作保留签发详情时的 CSRF 绑定，登录面刷新不会将已签发操作错误地改用新凭据。",
+      "流程附件元数据、封面缩略图与文件内容通过 SDK 携带所需请求头，保留实例和字段授权。",
+      "审批确认弹窗持续展示操作失败提示，便于用户了解未完成状态。"
     ],
     "affectedUsers": [
-      "使用具名动作编辑富文本或需要后台管理通知投递的 V2 应用。"
+      "使用任务或实例审批、流程附件预览的 V2 应用。"
     ],
     "upgradeSteps": [
-      "升级工具链；富文本插图依赖对应平台编译支持，开发态已有记录上传需平台开发态附件 RLS 修复。",
-      "通知死信 messageId 过滤和来源关联需对应平台版本；管理员分别授予 read、content:read、delivery:retry 权限。"
+      "升级 openxiangda 至 2.31.9 并重新构建应用，CLI 同批次更新模板依赖。",
+      "发布后核对真实审批提交、业务状态回读和封面预览；不需要修改角色权限或数据库。"
     ],
     "knownLimitations": [
-      "投影阶段尚无消息时死信关联字段为空；已解决死信保持既有 not-found 响应，客户端应刷新状态。",
-      "SDK 和平台源码验证不代替目标应用实际图片上传、通知投递及权限验收。"
+      "网络结果不明的写操作不会自动重试，应先查询原操作状态。",
+      "原始文件 URL 仍不代替带授权头的 SDK 文件预览，HTML 等附件的服务端隔离策略保持不变。"
     ],
     "issues": [],
     "compatibility": {
       "node": ">=24",
       "workspaceGenerations": "v2",
-      "platform": "新增富文本声明和通知来源过滤需同步支持本次变更的平台；不扩大普通用户发送权限。",
+      "platform": "沿用既有工作流 Surface、一次性命令凭据与文件授权契约，无服务端放宽。",
       "v1": "独立 V1 引擎不受影响。"
     },
-    "sha256": "e30dad108c478ee6cce5a1632cbd620cbf650999c9d2fd39973482c2edb01ad9",
-    "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.31.8"
+    "sha256": "451b5b993046436de85f8f1aefd3acdad4677efe5754969d0adb5c6c8a9758b1",
+    "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.31.9"
   },
   "scripts": {
     "build": "node ../../scripts/prune-package-dist.mjs && tsc -p tsconfig.json && node scripts/copy-assets.mjs",

package/releases/2.31.9.json

@@ -0,0 +1,33 @@
+{
+  "schemaVersion": "openxiangda.release-notes/v1",
+  "version": "2.31.9",
+  "status": "reviewed",
+  "title": "OpenXiangda 2.31.9：审批凭据绑定与附件预览修复",
+  "summary": "修复登录面刷新后既有审批凭据失配，以及流程附件预览遗漏 CSRF 请求头的问题。",
+  "newFeatures": [],
+  "fixes": [
+    "工作流操作保留签发详情时的 CSRF 绑定，登录面刷新不会将已签发操作错误地改用新凭据。",
+    "流程附件元数据、封面缩略图与文件内容通过 SDK 携带所需请求头，保留实例和字段授权。",
+    "审批确认弹窗持续展示操作失败提示，便于用户了解未完成状态。"
+  ],
+  "affectedUsers": [
+    "使用任务或实例审批、流程附件预览的 V2 应用。"
+  ],
+  "upgradeSteps": [
+    "升级 openxiangda 至 2.31.9 并重新构建应用，CLI 同批次更新模板依赖。",
+    "发布后核对真实审批提交、业务状态回读和封面预览；不需要修改角色权限或数据库。"
+  ],
+  "knownLimitations": [
+    "网络结果不明的写操作不会自动重试，应先查询原操作状态。",
+    "原始文件 URL 仍不代替带授权头的 SDK 文件预览，HTML 等附件的服务端隔离策略保持不变。"
+  ],
+  "issues": [],
+  "compatibility": {
+    "node": ">=24",
+    "workspaceGenerations": "v2",
+    "platform": "沿用既有工作流 Surface、一次性命令凭据与文件授权契约，无服务端放宽。",
+    "v1": "独立 V1 引擎不受影响。"
+  },
+  "sha256": "451b5b993046436de85f8f1aefd3acdad4677efe5754969d0adb5c6c8a9758b1",
+  "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.31.9"
+}

package/skills/manifest.json

@@ -4,7 +4,7 @@
     {
       "name": "openxiangda-v2",
       "description": "使用 OpenXiangda 2.0 从模糊业务想法、已有资料或具体变更出发，通过对话发现模块、完成详细产品设计，由当前 AI Agent 按需用 Image 2.5 等图片能力形成视觉参考，直接实现真实页面并在浏览器修正，再检查和交付应用；维护 1.x 应用时使用对应的 1.x 技能。",
-      "sha256": "0ea5740d7043248b6769bdb643849cc7187d930d021fc5891e270ef10a9bfa79"
+      "sha256": "cea34a5a81090254e1f8d027f95a710b8fbf43fd7af2902551bb309fed456877"
     }
   ]
 }

package/skills/openxiangda-v2/SKILL.md

@@ -40,10 +40,10 @@ AI 接到新应用、页面或改版任务时，在同一个 OpenXiangda 工作
 未创建工作区时使用本 Skill 随根包发布的精确版本：
 
 ```bash
-pnpm dlx openxiangda@2.31.8 auth status --cwd <应用目录> --base-url <平台地址> --json
-pnpm dlx openxiangda@2.31.8 login --cwd <应用目录> --base-url <平台地址>
-pnpm dlx openxiangda@2.31.8 create <应用目录> --base-url <同一平台地址>
-pnpm dlx openxiangda@2.31.8 skill install --force
+pnpm dlx openxiangda@2.31.9 auth status --cwd <应用目录> --base-url <平台地址> --json
+pnpm dlx openxiangda@2.31.9 login --cwd <应用目录> --base-url <平台地址>
+pnpm dlx openxiangda@2.31.9 create <应用目录> --base-url <同一平台地址>
+pnpm dlx openxiangda@2.31.9 skill install --force
 ```
 
 创建前把产品要求的目标平台明确带入命令，不从旧登录态推断站点。已有工作区从原绑定恢复，平台不一致时先解决登录与目标，不改 link 文件跨站创建。

package/skills/openxiangda-v2/references/getting-started.md

@@ -68,10 +68,10 @@ MCP 服务随项目根包一起安装，AI 客户端的 stdio 连接仍需配置
 以下命令的版本占位符由随包资料替换为该根包的精确版本。网站源码阅读者应先确认要使用的发行版本。
 
 ```bash
-pnpm dlx openxiangda@2.31.8 skill install --force
-pnpm dlx openxiangda@2.31.8 auth status --base-url <平台地址> --json
-pnpm dlx openxiangda@2.31.8 login --cwd my-app --base-url https://platform.example.com
-pnpm dlx openxiangda@2.31.8 create my-app --base-url https://platform.example.com
+pnpm dlx openxiangda@2.31.9 skill install --force
+pnpm dlx openxiangda@2.31.9 auth status --base-url <平台地址> --json
+pnpm dlx openxiangda@2.31.9 login --cwd my-app --base-url https://platform.example.com
+pnpm dlx openxiangda@2.31.9 create my-app --base-url https://platform.example.com
 cd my-app
 pnpm openxiangda context --json
 pnpm openxiangda dev
@@ -174,9 +174,9 @@ MCP 的 `docs_read` 可以读取本说明，当前没有独立的源码操作 MC
 无需本地工作区，使用本 Skill 随包精确版本或已安装的对应 CLI：
 
 ```bash
-pnpm dlx openxiangda@2.31.8 auth status --base-url <平台> --json
-pnpm dlx openxiangda@2.31.8 source resolve <仓库URL> --base-url <平台> --json
-pnpm dlx openxiangda@2.31.8 source clone <仓库URL> <新目录> --base-url <平台> --json
+pnpm dlx openxiangda@2.31.9 auth status --base-url <平台> --json
+pnpm dlx openxiangda@2.31.9 source resolve <仓库URL> --base-url <平台> --json
+pnpm dlx openxiangda@2.31.9 source clone <仓库URL> <新目录> --base-url <平台> --json
 ```
 
 登录缺失或站点不匹配时，先按该平台执行 login。resolve 根据平台已经登记的绑定返回