openxiangda 2.31.9 → 2.32.0

package/documentation/data-authz.md

@@ -11,17 +11,16 @@ create/update 闭包返回的值。人员和部门保存平台目录真实 ID；
 
 字段策略支持 `read`、`create`、`update` 和 `mask`。显式空数组拒绝，能力数组采用 all-of。无权更新字段不仅 disabled，还必须从更新 payload 删除。
 
-模型可声明 `audit: { read: false }`，禁止普通用户读取创建人、更新人、创建时间、
-更新时间和变更历史；需要保留管理者查看时，使用
-`audit: { read: ['app:your-app:audit:read'] }`，先在 `authz.capabilities`
-声明该能力并授予相应角色，也可以直接引用已有的管理权限。审计策略只引用
-能力，不会新建能力或改变其 catalog 所有者；引用缺失会在发布前失败。
-省略沿用原有读取行为，`id` 与 `revision` 始终是协议字段。权限只控制读取，
-不删除平台存储的审计事实。显式查询、筛选、排序、聚合、导出和历史接口同样
-执行权限；标准详情页随受权元数据隐藏或显示变更记录入口。
-能力数组沿用字段策略的 all-of 规则，字段与行权限必须来自同一个有效角色成员
-授权。应用可信后端和现有超级管理员权限保持原有语义。使用该声明需要平台支持
-`data.audit-read-access`，旧平台会在发布前拒绝。
+`id`、`revision`、`created_at`、`updated_at`、`created_by`、`updated_by` 是基础元数据：
+只要有记录读取权限，就可读取、筛选、排序、聚合和导出，不需要额外字段权限。
+它们仍由平台生成，不能通过业务字段写入来伪造；记录、租户、环境权限和匿名公开字段白名单仍然生效。
+
+模型可声明 `audit: { read: false }` 禁止普通用户查看变更历史；需要保留管理者查看时，
+使用 `audit: { read: ['app:your-app:audit:read'] }`，先在 `authz.capabilities` 声明该能力并授予相应角色，
+也可以引用已有管理权限。历史可能包含过去的业务值，因此不因基础元数据开放而自动开放。
+审计策略引用能力，不新建能力或改变其所有者；缺失引用在发布前失败。
+为兼容历史包，编译器仍物化审计元数据策略作为历史接口的授权声明，当前平台读取基础元数据时忽略这些额外 read 限制。
+应用可信后端和超级管理员保持原语义。该声明需要 `data.audit-read-access`；基础元数据开放需部署 2026-09-29 对应平台迁移。
 
 ```bash
 pnpm openxiangda check

package/documentation/design-workflow.md

@@ -14,7 +14,7 @@
 开始界面工作前，从当前 AppSpec、平台契约和用户材料形成一个短设计输入，至少明确：
 
 - 目标用户、主任务、页面归属以及 PC/移动设备范围；
-- 必须保留的平台 Shell、导航、字段协议、权限和数据来源；
+- 必须保留的平台路由与授权导航事实、字段协议、权限和数据来源；Shell 外观可通过正式扩展接口自定义；
 - 页面信息层次、关键操作，以及空、加载、失败、拒绝、校验、提交中和成功状态；
 - 用户提供的品牌、参考图和素材授权；没有品牌事实时标记为 Agent 推断；
 - 目标视口、可访问性、内容长度、数据量和性能边界；
@@ -37,7 +37,7 @@
 
 ## 页面归属与平台边界 {#adapter}
 
-应用结构先于视觉：标准管理后台是默认骨架，必须保留平台 Shell、后台路由、显式菜单、
+应用结构先于视觉：标准管理后台是默认骨架，必须保留平台后台路由、授权与显式菜单，Shell 外观可定制、
 资源表单、数据列表、详情/编辑、权限和流程入口。Agent 可以在这些边界内优化布局、视觉和
 交互，但不能用设计图、独立原型、单页 HTML 或 iframe 替代后台。
 

package/documentation/frontend.md

@@ -20,7 +20,7 @@
 
 标准管理后台是每个业务应用的默认开发骨架，必须保留后台 Shell、显式菜单、资源表单、数据列表、详情/编辑、权限和流程入口。开发顺序先完成后台资源与契约，再实现用户端 PC/移动端；不能以用户端首页或设计原型替代后台。
 
-Agent 可以在标准后台内部优化布局、视觉和交互，但后台仍复用平台 Shell、导航、字段行为和权限。用户端 PC 与移动端按真实旅程分别设计，通过平台 runtime/Data API 使用后台数据。图片参考和原型不拥有业务事实；禁止用图片、单页 HTML、iframe 或自定义假后台替换标准后台，也不能把后台权限、导航状态复制到用户端。
+Agent 可以在标准后台内部优化布局、视觉和交互，后台通过默认 Shell 或 `ui.admin` 扩展复用平台导航、字段行为和权限。用户端 PC 与移动端按真实旅程分别设计，通过平台 runtime/Data API 使用后台数据。图片参考和原型不拥有业务事实；禁止用图片、单页 HTML、iframe 或自定义假后台替换标准后台，也不能把后台权限、导航状态复制到用户端。
 
 发布前分别验证后台入口、表单、数据列表、流程入口和用户端 PC/移动端入口；没有完成后台骨架的应用不得发布。
 
@@ -31,9 +31,9 @@ Agent 可以在标准后台内部优化布局、视觉和交互，但后台仍
 | 独立门户、申请或用户任务 | 按实际旅程选择 `surface: 'user'`，拥有独立布局 |
 | 确有手机使用需求的用户任务 | 独立移动 user 页面，使用 `openxiangda/mobile` 和 Field Kit |
 
-“自定义页面”可以直接放在标准后台内。应用只编写内容，runtime 自动套用唯一 Shell；不要因为要画图表就复制顶栏、侧栏、Router 或改成 user 页面。模板 `/home` 是独立用户页占位，不能不经页面选型就当作业务默认入口。
+“自定义页面”可以直接放在标准后台内。应用编写业务内容，runtime 自动套用默认或应用提供的唯一 Shell；自定义布局使用 `ui.admin`，无需复制 Router 或改成 user 页面。模板 `/home` 是独立用户页占位，不能不经页面选型就当作业务默认入口。
 
-后台菜单的分组、名称、顺序、图标由 `frontend.admin.navigation` 配置；标准视图控制字段与操作，工具栏/行/详情有动作插槽，自定义 React 内容通过 contributions 接入。当前没有整套后台 Shell 的替换接口。用户需要独立产品布局时选择 user surface，普通后台报表无需更换外壳。
+后台菜单的分组、名称、顺序、图标由 `frontend.admin.navigation` 配置；标准视图控制字段与操作，工具栏/行/详情有动作插槽，自定义 React 内容通过 contributions 接入。通过 `ui.admin.shell` 可替换整个后台外观，也可用 `header`、`sidebar`、`footer` 插槽局部扩展。后台页面仍使用 admin surface，路由与权限由平台维护。
 
 应用根路径由生成的 `routeManifest.rootEntry` 分流；`/admin` 根据当前用户可访问的显式菜单选择后台首页。交付时分别核验平台应用列表入口、根路径、后台入口和业务深链接。无后台菜单不能解释为缺少模型；没有管理后台的用户应用也不需要为了消除空状态伪造 CRUD 页面。
 
@@ -445,3 +445,29 @@ pnpm --filter @app/web build
 ## 具名工作流私有草稿
 
 普通创建能力被应用关闭时，使用 `createWorkflowFormDraftClient('contracts', { workflowCode: 'contract-approval', operationCode: 'submit-contract-approval' })`（从 `openxiangda/react` 导入）。客户端提供 `list/save/remove`，保持当前用户、环境、工作流与具名操作范围；仅支持默认 create 表单，不包含 Native submit。保存 `values` 与已声明的 `state`；正式提交仍将既有 `formDraft:{resourceCode,id,expectedRevision,mode:'create'}` 交给业务操作的 BusinessProcess 原子消费。服务端从真实业务命令核验工作流/操作，不能传任意范围冒用草稿。需先部署支持该能力与新增草稿作用域列的平台版本；不得通过增加普通 NativeCreate 或本地存储绕过拒绝。
+
+
+## 应用自定义后台壳层
+
+`OpenXiangdaApplication` 的 `ui.admin` 允许应用定义完整后台布局，不需要隐藏平台 DOM。
+
+```tsx
+import type { AdminShellProps } from 'openxiangda/react';
+function ProductAdmin({ children, navigation, identity, title, navigate, logout, loggingOut }: AdminShellProps) {
+  return <div className="product-admin">
+    <header><strong>{title}</strong><span>{identity.subjectProfile.displayName}</span>
+      <button disabled={loggingOut} onClick={() => void logout()}>退出登录</button></header>
+    <aside>{navigation.map(group => <nav key={group.code} aria-label={group.label}>
+      {group.items.map(item => <button key={item.code} onClick={() => navigate(item.path)}>{item.label}</button>)}
+    </nav>)}</aside><main>{children}</main>
+  </div>;
+}
+// 在既有 OpenXiangdaApplication 上增加，其他契约 props 原样保留：
+// ui={{ theme, admin: { shell: ProductAdmin, centerNavigation: { workflow: false, messages: false } } }}
+```
+
+`navigation` 已按当前角色并集和读取视角过滤，`selectedPath`、`homePath`、`pathname`、`search` 来自平台 Router；请直接渲染，不保存另一份角色或菜单状态。`centers` 为可见的审批工作中心与消息中心入口；隐藏中心导航仅改变展示，不禁用能力或深链接。隐藏后应从业务页为审批人提供任务入口。
+
+可只提供 `header`、`sidebar` 或 `footer`（接收 `AdminShellModel`）。整体 `shell` 额外收到 `children` 与 `slots`，可复用默认部件或完全自行排版。自定义壳层接管后台资源列表、新增、详情、编辑、移动深链以及后台业务页面；标准字段、抽屉、未保存提示和授权继续由平台组件负责。登录页和用户页不受影响。组件在模块顶层声明，避免每次渲染重新创建组件类型导致表单重挂载。
+
+无 `ui.admin` 时沿用默认后台。扩展不能越过 `adminAccess`、页面能力或 Data API 记录权限；不能自行创建第二个 Router、认证会话或数据权限状态。验收应覆盖应用入口、刷新深链、无权角色、PC/移动、键盘和壳层异常恢复。

package/documentation/getting-started.md

@@ -68,10 +68,10 @@ MCP 服务随项目根包一起安装，AI 客户端的 stdio 连接仍需配置
 以下命令的版本占位符由随包资料替换为该根包的精确版本。网站源码阅读者应先确认要使用的发行版本。
 
 ```bash
-pnpm dlx openxiangda@2.31.9 skill install --force
-pnpm dlx openxiangda@2.31.9 auth status --base-url <平台地址> --json
-pnpm dlx openxiangda@2.31.9 login --cwd my-app --base-url https://platform.example.com
-pnpm dlx openxiangda@2.31.9 create my-app --base-url https://platform.example.com
+pnpm dlx openxiangda@2.32.0 skill install --force
+pnpm dlx openxiangda@2.32.0 auth status --base-url <平台地址> --json
+pnpm dlx openxiangda@2.32.0 login --cwd my-app --base-url https://platform.example.com
+pnpm dlx openxiangda@2.32.0 create my-app --base-url https://platform.example.com
 cd my-app
 pnpm openxiangda context --json
 pnpm openxiangda dev
@@ -174,9 +174,9 @@ MCP 的 `docs_read` 可以读取本说明，当前没有独立的源码操作 MC
 无需本地工作区，使用本 Skill 随包精确版本或已安装的对应 CLI：
 
 ```bash
-pnpm dlx openxiangda@2.31.9 auth status --base-url <平台> --json
-pnpm dlx openxiangda@2.31.9 source resolve <仓库URL> --base-url <平台> --json
-pnpm dlx openxiangda@2.31.9 source clone <仓库URL> <新目录> --base-url <平台> --json
+pnpm dlx openxiangda@2.32.0 auth status --base-url <平台> --json
+pnpm dlx openxiangda@2.32.0 source resolve <仓库URL> --base-url <平台> --json
+pnpm dlx openxiangda@2.32.0 source clone <仓库URL> <新目录> --base-url <平台> --json
 ```
 
 登录缺失或站点不匹配时，先按该平台执行 login。resolve 根据平台已经登记的绑定返回

package/documentation/manifest.json

@@ -1,12 +1,12 @@
 {
   "schemaVersion": "openxiangda.documentation/v1",
-  "version": "2.31.9",
+  "version": "2.32.0",
   "topics": [
     {
       "id": "getting-started",
       "title": "安装与开始开发",
       "file": "getting-started.md",
-      "sha256": "2a3dd16d6912a7c1683e319a9fd43ce537b33c01a69e43e31b88a570aaa48e85"
+      "sha256": "d1282c0b4d50e3ca5a76c8f6e1f271809eb9ae0669b7f32e6a9ef784564b7b8b"
     },
     {
       "id": "product-design",
@@ -18,7 +18,7 @@
       "id": "design-workflow",
       "title": "Agent 原生视觉设计与实现",
       "file": "design-workflow.md",
-      "sha256": "5fb1557685595639dc9dd04f5c1bd146f6457c24b33b3608b3c2ecb24a842caf"
+      "sha256": "1aa7a747fd07d41c245eb9de6eef0941cd300908beac007ca49f0aff0e38e46b"
     },
     {
       "id": "interaction-patterns",
@@ -60,7 +60,7 @@
       "id": "frontend",
       "title": "页面与标准组件扩展",
       "file": "frontend.md",
-      "sha256": "93db2bef516307475e86c70a4146055f0ada86673f88b70b19a588d8ea035c68"
+      "sha256": "d2e313a5bfffc9aea46e4f9936ae79908588c2a4727824e2b211b886baa1f392"
     },
     {
       "id": "field-components",
@@ -72,7 +72,7 @@
       "id": "data-authz",
       "title": "数据查询与权限",
       "file": "data-authz.md",
-      "sha256": "b35904b721bcd837c3a26cdf91ef9514c82c87bd517c35572b84ee2a90c5a89f"
+      "sha256": "5c8592f0b45e14c619b6146c6570c65161f0e0cb8ee86724050b3417f9e90e50"
     },
     {
       "id": "public-access",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "openxiangda",
-  "version": "2.31.9",
+  "version": "2.32.0",
   "description": "OpenXiangda 2.0 的统一命令、应用 SDK、MCP 与中文 AI 技能资料。",
   "type": "module",
   "main": "./dist/index.js",
@@ -64,13 +64,13 @@
     "antd-mobile": "5.42.3",
     "dayjs": "1.11.18",
     "docx-preview": "0.3.7",
-    "openxiangda-cli": "2.6.11",
+    "openxiangda-cli": "2.6.12",
     "openxiangda-contracts": "2.33.0",
-    "openxiangda-devkit-core": "2.34.3",
+    "openxiangda-devkit-core": "2.34.4",
     "openxiangda-legacy": "npm:openxiangda@1.0.269",
-    "openxiangda-mcp": "2.0.59",
+    "openxiangda-mcp": "2.0.60",
     "openxiangda-nest": "2.9.0",
-    "openxiangda-skill-kit": "2.3.34",
+    "openxiangda-skill-kit": "2.3.35",
     "xlsx": "https://github.com/1377385356/openxiangda/releases/download/vendor-mirror/xlsx-0.20.3.tgz"
   },
   "peerDependencies": {
@@ -136,36 +136,41 @@
   },
   "openxiangdaRelease": {
     "schemaVersion": "openxiangda.release-notes/v1",
-    "version": "2.31.9",
+    "version": "2.32.0",
     "status": "reviewed",
-    "title": "OpenXiangda 2.31.9：审批凭据绑定与附件预览修复",
-    "summary": "修复登录面刷新后既有审批凭据失配，以及流程附件预览遗漏 CSRF 请求头的问题。",
-    "newFeatures": [],
+    "title": "OpenXiangda 2.32.0：自定义后台壳层与精确时间交互",
+    "summary": "提供正式后台壳层扩展，改进时间禁选、业务错误与内网开发诊断。",
+    "newFeatures": [
+      "应用可通过 ui.admin 提供完整后台壳层或顶栏、侧栏、页脚插槽，消费权限过滤后的导航与身份。",
+      "消息与待办导航可分别配置显示，资源深链接与移动端页面统一使用自定义壳层。"
+    ],
     "fixes": [
-      "工作流操作保留签发详情时的 CSRF 绑定，登录面刷新不会将已签发操作错误地改用新凭据。",
-      "流程附件元数据、封面缩略图与文件内容通过 SDK 携带所需请求头，保留实例和字段授权。",
-      "审批确认弹窗持续展示操作失败提示，便于用户了解未完成状态。"
+      "日期时间控件按时区精确禁用小时、分钟、秒，保留输入校验和受控值。",
+      "业务拒绝的中文 message 与错误码、requestId 分离，避免页面丢失实际提示。",
+      "开发连接故障区分 DNS、TCP、TLS 与超时并提供安全恢复提示。"
     ],
     "affectedUsers": [
-      "使用任务或实例审批、流程附件预览的 V2 应用。"
+      "使用自定义管理后台、精确日期范围或校内网络开发的 V2 应用。"
     ],
     "upgradeSteps": [
-      "升级 openxiangda 至 2.31.9 并重新构建应用，CLI 同批次更新模板依赖。",
-      "发布后核对真实审批提交、业务状态回读和封面预览；不需要修改角色权限或数据库。"
+      "升级 openxiangda 至 2.32.0，重新安装依赖并构建应用。CLI 模板随同版本化。",
+      "按公开 ui.admin 契约接入壳层；路由、登录与授权继续由平台负责。",
+      "基础记录字段默认读取及受管下载文件名需要配套平台后端升级；仅升级 npm 不会更改服务端。"
     ],
     "knownLimitations": [
-      "网络结果不明的写操作不会自动重试，应先查询原操作状态。",
-      "原始文件 URL 仍不代替带授权头的 SDK 文件预览，HTML 等附件的服务端隔离策略保持不变。"
+      "自定义壳层接入和业务页面设计仍由应用负责，升级 SDK 不自动替换现有 UI。",
+      "网络诊断不自动改变 VPN、系统代理、证书或重试未知结果写请求。",
+      "前端时间禁选不能替代应用服务端业务时间守卫。"
     ],
     "issues": [],
     "compatibility": {
       "node": ">=24",
       "workspaceGenerations": "v2",
-      "platform": "沿用既有工作流 Surface、一次性命令凭据与文件授权契约，无服务端放宽。",
-      "v1": "独立 V1 引擎不受影响。"
+      "platform": "沿用现有认证、权限与路由协议；基础记录元数据的后端调整需对应站点发布。",
+      "v1": "V1 引擎与既有业务不受本次 SDK 改动影响。"
     },
-    "sha256": "451b5b993046436de85f8f1aefd3acdad4677efe5754969d0adb5c6c8a9758b1",
-    "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.31.9"
+    "sha256": "987351f0bde76980d80f2a1ea8741c7e4697ef7b659ca679f5bf9b2797c8e8b2",
+    "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.32.0"
   },
   "scripts": {
     "build": "node ../../scripts/prune-package-dist.mjs && tsc -p tsconfig.json && node scripts/copy-assets.mjs",

package/releases/2.32.0.json

@@ -0,0 +1,38 @@
+{
+  "schemaVersion": "openxiangda.release-notes/v1",
+  "version": "2.32.0",
+  "status": "reviewed",
+  "title": "OpenXiangda 2.32.0：自定义后台壳层与精确时间交互",
+  "summary": "提供正式后台壳层扩展，改进时间禁选、业务错误与内网开发诊断。",
+  "newFeatures": [
+    "应用可通过 ui.admin 提供完整后台壳层或顶栏、侧栏、页脚插槽，消费权限过滤后的导航与身份。",
+    "消息与待办导航可分别配置显示，资源深链接与移动端页面统一使用自定义壳层。"
+  ],
+  "fixes": [
+    "日期时间控件按时区精确禁用小时、分钟、秒，保留输入校验和受控值。",
+    "业务拒绝的中文 message 与错误码、requestId 分离，避免页面丢失实际提示。",
+    "开发连接故障区分 DNS、TCP、TLS 与超时并提供安全恢复提示。"
+  ],
+  "affectedUsers": [
+    "使用自定义管理后台、精确日期范围或校内网络开发的 V2 应用。"
+  ],
+  "upgradeSteps": [
+    "升级 openxiangda 至 2.32.0，重新安装依赖并构建应用。CLI 模板随同版本化。",
+    "按公开 ui.admin 契约接入壳层；路由、登录与授权继续由平台负责。",
+    "基础记录字段默认读取及受管下载文件名需要配套平台后端升级；仅升级 npm 不会更改服务端。"
+  ],
+  "knownLimitations": [
+    "自定义壳层接入和业务页面设计仍由应用负责，升级 SDK 不自动替换现有 UI。",
+    "网络诊断不自动改变 VPN、系统代理、证书或重试未知结果写请求。",
+    "前端时间禁选不能替代应用服务端业务时间守卫。"
+  ],
+  "issues": [],
+  "compatibility": {
+    "node": ">=24",
+    "workspaceGenerations": "v2",
+    "platform": "沿用现有认证、权限与路由协议；基础记录元数据的后端调整需对应站点发布。",
+    "v1": "V1 引擎与既有业务不受本次 SDK 改动影响。"
+  },
+  "sha256": "987351f0bde76980d80f2a1ea8741c7e4697ef7b659ca679f5bf9b2797c8e8b2",
+  "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.32.0"
+}

package/skills/manifest.json

@@ -4,7 +4,7 @@
     {
       "name": "openxiangda-v2",
       "description": "使用 OpenXiangda 2.0 从模糊业务想法、已有资料或具体变更出发，通过对话发现模块、完成详细产品设计，由当前 AI Agent 按需用 Image 2.5 等图片能力形成视觉参考，直接实现真实页面并在浏览器修正，再检查和交付应用；维护 1.x 应用时使用对应的 1.x 技能。",
-      "sha256": "cea34a5a81090254e1f8d027f95a710b8fbf43fd7af2902551bb309fed456877"
+      "sha256": "66e227c96e4e7e36aa3d15e4eb6744ff9d78934a335d4b987159bbd77d5e593b"
     }
   ]
 }

package/skills/openxiangda-v2/SKILL.md

@@ -7,9 +7,9 @@ description: 使用 OpenXiangda 2.0 从模糊业务想法、已有资料或具
 
 ## 应用结构基线（必须遵守）
 
-每个业务应用默认先建立并保留标准管理后台。管理后台是应用骨架，承载资源模型、表单、数据列表、详情/编辑、权限和流程入口；AI 必须先从后台完成数据与契约，再实现用户端体验。不得因为制作用户端首页而删除、隐藏或替换后台 Shell、后台路由或显式菜单。
+每个业务应用默认先建立并保留标准管理后台。管理后台是应用骨架，承载资源模型、表单、数据列表、详情/编辑、权限和流程入口；AI 必须先从后台完成数据与契约，再实现用户端体验。默认提供标准 Shell；需要定制后台外观时使用 `ui.admin.shell` 或局部插槽，保留平台后台路由、授权和显式业务菜单。
 
-Agent 按页面归属优化布局、视觉和交互：后台必须复用平台 Shell、导航、字段行为和权限；用户端 PC 与移动端按真实任务分别设计，并通过平台 runtime/Data API 读取后台数据。图片参考不定义交互、权限或验收。不得用图片、单页 HTML、iframe 或独立假后台冒充管理后台，也不得在用户端复制后台权限和导航状态。
+Agent 按页面归属优化布局、视觉和交互：后台通过默认 Shell 或 `ui.admin` 扩展复用平台导航事实、字段行为和权限；用户端 PC 与移动端按真实任务分别设计，并通过平台 runtime/Data API 读取后台数据。图片参考不定义交互、权限或验收。不得用图片、单页 HTML、iframe 或独立假后台冒充管理后台，也不得在用户端复制后台权限和导航状态。
 
 设计、实现和发布验收必须分别核验管理后台入口、表单、数据列表、流程入口，以及用户端 PC/移动端入口。缺少标准管理后台的应用结构不完整，不能发布。
 
@@ -40,10 +40,10 @@ AI 接到新应用、页面或改版任务时，在同一个 OpenXiangda 工作
 未创建工作区时使用本 Skill 随根包发布的精确版本：
 
 ```bash
-pnpm dlx openxiangda@2.31.9 auth status --cwd <应用目录> --base-url <平台地址> --json
-pnpm dlx openxiangda@2.31.9 login --cwd <应用目录> --base-url <平台地址>
-pnpm dlx openxiangda@2.31.9 create <应用目录> --base-url <同一平台地址>
-pnpm dlx openxiangda@2.31.9 skill install --force
+pnpm dlx openxiangda@2.32.0 auth status --cwd <应用目录> --base-url <平台地址> --json
+pnpm dlx openxiangda@2.32.0 login --cwd <应用目录> --base-url <平台地址>
+pnpm dlx openxiangda@2.32.0 create <应用目录> --base-url <同一平台地址>
+pnpm dlx openxiangda@2.32.0 skill install --force
 ```
 
 创建前把产品要求的目标平台明确带入命令，不从旧登录态推断站点。已有工作区从原绑定恢复，平台不一致时先解决登录与目标，不改 link 文件跨站创建。

package/skills/openxiangda-v2/references/data-authz.md

@@ -11,17 +11,16 @@ create/update 闭包返回的值。人员和部门保存平台目录真实 ID；
 
 字段策略支持 `read`、`create`、`update` 和 `mask`。显式空数组拒绝，能力数组采用 all-of。无权更新字段不仅 disabled，还必须从更新 payload 删除。
 
-模型可声明 `audit: { read: false }`，禁止普通用户读取创建人、更新人、创建时间、
-更新时间和变更历史；需要保留管理者查看时，使用
-`audit: { read: ['app:your-app:audit:read'] }`，先在 `authz.capabilities`
-声明该能力并授予相应角色，也可以直接引用已有的管理权限。审计策略只引用
-能力，不会新建能力或改变其 catalog 所有者；引用缺失会在发布前失败。
-省略沿用原有读取行为，`id` 与 `revision` 始终是协议字段。权限只控制读取，
-不删除平台存储的审计事实。显式查询、筛选、排序、聚合、导出和历史接口同样
-执行权限；标准详情页随受权元数据隐藏或显示变更记录入口。
-能力数组沿用字段策略的 all-of 规则，字段与行权限必须来自同一个有效角色成员
-授权。应用可信后端和现有超级管理员权限保持原有语义。使用该声明需要平台支持
-`data.audit-read-access`，旧平台会在发布前拒绝。
+`id`、`revision`、`created_at`、`updated_at`、`created_by`、`updated_by` 是基础元数据：
+只要有记录读取权限，就可读取、筛选、排序、聚合和导出，不需要额外字段权限。
+它们仍由平台生成，不能通过业务字段写入来伪造；记录、租户、环境权限和匿名公开字段白名单仍然生效。
+
+模型可声明 `audit: { read: false }` 禁止普通用户查看变更历史；需要保留管理者查看时，
+使用 `audit: { read: ['app:your-app:audit:read'] }`，先在 `authz.capabilities` 声明该能力并授予相应角色，
+也可以引用已有管理权限。历史可能包含过去的业务值，因此不因基础元数据开放而自动开放。
+审计策略引用能力，不新建能力或改变其所有者；缺失引用在发布前失败。
+为兼容历史包，编译器仍物化审计元数据策略作为历史接口的授权声明，当前平台读取基础元数据时忽略这些额外 read 限制。
+应用可信后端和超级管理员保持原语义。该声明需要 `data.audit-read-access`；基础元数据开放需部署 2026-09-29 对应平台迁移。
 
 ```bash
 pnpm openxiangda check

package/skills/openxiangda-v2/references/design-workflow.md

@@ -14,7 +14,7 @@
 开始界面工作前，从当前 AppSpec、平台契约和用户材料形成一个短设计输入，至少明确：
 
 - 目标用户、主任务、页面归属以及 PC/移动设备范围；
-- 必须保留的平台 Shell、导航、字段协议、权限和数据来源；
+- 必须保留的平台路由与授权导航事实、字段协议、权限和数据来源；Shell 外观可通过正式扩展接口自定义；
 - 页面信息层次、关键操作，以及空、加载、失败、拒绝、校验、提交中和成功状态；
 - 用户提供的品牌、参考图和素材授权；没有品牌事实时标记为 Agent 推断；
 - 目标视口、可访问性、内容长度、数据量和性能边界；
@@ -37,7 +37,7 @@
 
 ## 页面归属与平台边界 {#adapter}
 
-应用结构先于视觉：标准管理后台是默认骨架，必须保留平台 Shell、后台路由、显式菜单、
+应用结构先于视觉：标准管理后台是默认骨架，必须保留平台后台路由、授权与显式菜单，Shell 外观可定制、
 资源表单、数据列表、详情/编辑、权限和流程入口。Agent 可以在这些边界内优化布局、视觉和
 交互，但不能用设计图、独立原型、单页 HTML 或 iframe 替代后台。
 

package/skills/openxiangda-v2/references/frontend.md

@@ -20,7 +20,7 @@
 
 标准管理后台是每个业务应用的默认开发骨架，必须保留后台 Shell、显式菜单、资源表单、数据列表、详情/编辑、权限和流程入口。开发顺序先完成后台资源与契约，再实现用户端 PC/移动端；不能以用户端首页或设计原型替代后台。
 
-Agent 可以在标准后台内部优化布局、视觉和交互，但后台仍复用平台 Shell、导航、字段行为和权限。用户端 PC 与移动端按真实旅程分别设计，通过平台 runtime/Data API 使用后台数据。图片参考和原型不拥有业务事实；禁止用图片、单页 HTML、iframe 或自定义假后台替换标准后台，也不能把后台权限、导航状态复制到用户端。
+Agent 可以在标准后台内部优化布局、视觉和交互，后台通过默认 Shell 或 `ui.admin` 扩展复用平台导航、字段行为和权限。用户端 PC 与移动端按真实旅程分别设计，通过平台 runtime/Data API 使用后台数据。图片参考和原型不拥有业务事实；禁止用图片、单页 HTML、iframe 或自定义假后台替换标准后台，也不能把后台权限、导航状态复制到用户端。
 
 发布前分别验证后台入口、表单、数据列表、流程入口和用户端 PC/移动端入口；没有完成后台骨架的应用不得发布。
 
@@ -31,9 +31,9 @@ Agent 可以在标准后台内部优化布局、视觉和交互，但后台仍
 | 独立门户、申请或用户任务 | 按实际旅程选择 `surface: 'user'`，拥有独立布局 |
 | 确有手机使用需求的用户任务 | 独立移动 user 页面，使用 `openxiangda/mobile` 和 Field Kit |
 
-“自定义页面”可以直接放在标准后台内。应用只编写内容，runtime 自动套用唯一 Shell；不要因为要画图表就复制顶栏、侧栏、Router 或改成 user 页面。模板 `/home` 是独立用户页占位，不能不经页面选型就当作业务默认入口。
+“自定义页面”可以直接放在标准后台内。应用编写业务内容，runtime 自动套用默认或应用提供的唯一 Shell；自定义布局使用 `ui.admin`，无需复制 Router 或改成 user 页面。模板 `/home` 是独立用户页占位，不能不经页面选型就当作业务默认入口。
 
-后台菜单的分组、名称、顺序、图标由 `frontend.admin.navigation` 配置；标准视图控制字段与操作，工具栏/行/详情有动作插槽，自定义 React 内容通过 contributions 接入。当前没有整套后台 Shell 的替换接口。用户需要独立产品布局时选择 user surface，普通后台报表无需更换外壳。
+后台菜单的分组、名称、顺序、图标由 `frontend.admin.navigation` 配置；标准视图控制字段与操作，工具栏/行/详情有动作插槽，自定义 React 内容通过 contributions 接入。通过 `ui.admin.shell` 可替换整个后台外观，也可用 `header`、`sidebar`、`footer` 插槽局部扩展。后台页面仍使用 admin surface，路由与权限由平台维护。
 
 应用根路径由生成的 `routeManifest.rootEntry` 分流；`/admin` 根据当前用户可访问的显式菜单选择后台首页。交付时分别核验平台应用列表入口、根路径、后台入口和业务深链接。无后台菜单不能解释为缺少模型；没有管理后台的用户应用也不需要为了消除空状态伪造 CRUD 页面。
 
@@ -445,3 +445,29 @@ pnpm --filter @app/web build
 ## 具名工作流私有草稿
 
 普通创建能力被应用关闭时，使用 `createWorkflowFormDraftClient('contracts', { workflowCode: 'contract-approval', operationCode: 'submit-contract-approval' })`（从 `openxiangda/react` 导入）。客户端提供 `list/save/remove`，保持当前用户、环境、工作流与具名操作范围；仅支持默认 create 表单，不包含 Native submit。保存 `values` 与已声明的 `state`；正式提交仍将既有 `formDraft:{resourceCode,id,expectedRevision,mode:'create'}` 交给业务操作的 BusinessProcess 原子消费。服务端从真实业务命令核验工作流/操作，不能传任意范围冒用草稿。需先部署支持该能力与新增草稿作用域列的平台版本；不得通过增加普通 NativeCreate 或本地存储绕过拒绝。
+
+
+## 应用自定义后台壳层
+
+`OpenXiangdaApplication` 的 `ui.admin` 允许应用定义完整后台布局，不需要隐藏平台 DOM。
+
+```tsx
+import type { AdminShellProps } from 'openxiangda/react';
+function ProductAdmin({ children, navigation, identity, title, navigate, logout, loggingOut }: AdminShellProps) {
+  return <div className="product-admin">
+    <header><strong>{title}</strong><span>{identity.subjectProfile.displayName}</span>
+      <button disabled={loggingOut} onClick={() => void logout()}>退出登录</button></header>
+    <aside>{navigation.map(group => <nav key={group.code} aria-label={group.label}>
+      {group.items.map(item => <button key={item.code} onClick={() => navigate(item.path)}>{item.label}</button>)}
+    </nav>)}</aside><main>{children}</main>
+  </div>;
+}
+// 在既有 OpenXiangdaApplication 上增加，其他契约 props 原样保留：
+// ui={{ theme, admin: { shell: ProductAdmin, centerNavigation: { workflow: false, messages: false } } }}
+```
+
+`navigation` 已按当前角色并集和读取视角过滤，`selectedPath`、`homePath`、`pathname`、`search` 来自平台 Router；请直接渲染，不保存另一份角色或菜单状态。`centers` 为可见的审批工作中心与消息中心入口；隐藏中心导航仅改变展示，不禁用能力或深链接。隐藏后应从业务页为审批人提供任务入口。
+
+可只提供 `header`、`sidebar` 或 `footer`（接收 `AdminShellModel`）。整体 `shell` 额外收到 `children` 与 `slots`，可复用默认部件或完全自行排版。自定义壳层接管后台资源列表、新增、详情、编辑、移动深链以及后台业务页面；标准字段、抽屉、未保存提示和授权继续由平台组件负责。登录页和用户页不受影响。组件在模块顶层声明，避免每次渲染重新创建组件类型导致表单重挂载。
+
+无 `ui.admin` 时沿用默认后台。扩展不能越过 `adminAccess`、页面能力或 Data API 记录权限；不能自行创建第二个 Router、认证会话或数据权限状态。验收应覆盖应用入口、刷新深链、无权角色、PC/移动、键盘和壳层异常恢复。

package/skills/openxiangda-v2/references/getting-started.md

@@ -68,10 +68,10 @@ MCP 服务随项目根包一起安装，AI 客户端的 stdio 连接仍需配置
 以下命令的版本占位符由随包资料替换为该根包的精确版本。网站源码阅读者应先确认要使用的发行版本。
 
 ```bash
-pnpm dlx openxiangda@2.31.9 skill install --force
-pnpm dlx openxiangda@2.31.9 auth status --base-url <平台地址> --json
-pnpm dlx openxiangda@2.31.9 login --cwd my-app --base-url https://platform.example.com
-pnpm dlx openxiangda@2.31.9 create my-app --base-url https://platform.example.com
+pnpm dlx openxiangda@2.32.0 skill install --force
+pnpm dlx openxiangda@2.32.0 auth status --base-url <平台地址> --json
+pnpm dlx openxiangda@2.32.0 login --cwd my-app --base-url https://platform.example.com
+pnpm dlx openxiangda@2.32.0 create my-app --base-url https://platform.example.com
 cd my-app
 pnpm openxiangda context --json
 pnpm openxiangda dev
@@ -174,9 +174,9 @@ MCP 的 `docs_read` 可以读取本说明，当前没有独立的源码操作 MC
 无需本地工作区，使用本 Skill 随包精确版本或已安装的对应 CLI：
 
 ```bash
-pnpm dlx openxiangda@2.31.9 auth status --base-url <平台> --json
-pnpm dlx openxiangda@2.31.9 source resolve <仓库URL> --base-url <平台> --json
-pnpm dlx openxiangda@2.31.9 source clone <仓库URL> <新目录> --base-url <平台> --json
+pnpm dlx openxiangda@2.32.0 auth status --base-url <平台> --json
+pnpm dlx openxiangda@2.32.0 source resolve <仓库URL> --base-url <平台> --json
+pnpm dlx openxiangda@2.32.0 source clone <仓库URL> <新目录> --base-url <平台> --json
 ```
 
 登录缺失或站点不匹配时，先按该平台执行 login。resolve 根据平台已经登记的绑定返回