openyida 2026.10.23-beta.1 → 2026.10.23-beta.2

package/bin/yida-pre-beta.js

@@ -3,7 +3,7 @@
 const os = require('node:os');
 const path = require('node:path');
 const config = require('../package.json').openyidaLocalBeta;
-// 仅本地 beta 消费包内测试默认值，真实凭据仍由原认证模块管理。
+// PRE beta 消费包内测试默认值，真实凭据仍由原认证模块管理。
 process.env.OPENYIDA_ENDPOINT ||= config.baseUrl;
 process.env.OPENYIDA_ENV ||= config.environment;
 process.env.OPENYIDA_AUTH_DIR ||= path.join(os.homedir(), '.openyida', config.authDirectory);

package/lib/auth/qwenwork-desktop.js

@@ -114,13 +114,8 @@ async function loginQwenWork(options = {}) {
   if (!['user', 'project'].includes(session.persistence_scope) || !restored ||
     restored.access_token !== value.access_token || restored.base_url !== baseUrl ||
     restored.corp_id !== value.corp_id || restored.user_id !== value.user_id) { throw fail('PERSISTENCE_FAILED'); }
-  // 结果只包含状态和身份元数据，真实宜搭凭据不返回主进程或工具结果。
-  return {
-    ok: true, status: 'ok', auth_mode: 'token', can_auto_use: true,
-    auth_source: session.auth_source, auth_store: session.auth_store,
-    persistence_scope: session.persistence_scope, auth_profile: session.auth_profile,
-    base_url: baseUrl, expires_at: expiresAt, corp_id: value.corp_id, user_id: value.user_id,
-  };
+  // 身份、环境和存储细节仅用于内部校验，不进入模型可见的登录结果。
+  return { ok: true, status: 'ok', can_auto_use: true };
 }
 
 async function run(args, options = {}) {
@@ -138,7 +133,7 @@ async function run(args, options = {}) {
     parsed[key] = value;
   }
   const result = await loginQwenWork({ ...options, ...parsed });
-  console.log(JSON.stringify(result));
+  if (args.includes('--json') && !args.includes('--quiet') && (options.env || process.env).YIDA_QUIET !== '1') { console.log(JSON.stringify(result)); }
   return result;
 }
 

package/lib/core/agent-capabilities.js

@@ -230,15 +230,16 @@ function buildAuthPath(login, env = process.env, runtime = null) {
       ? 'STOP_AND_REQUEST_ENV_TOKEN'
       : 'RUN_OPENYIDA_LOGIN_IF_USER_APPROVES',
   };
-  // 仅当前活跃宿主为千问办公桌面端时，beta 才提供桌面换票指引。
+  // 桌面换票仅由当前活跃宿主和发行配置共同启用，不影响其他宿主的认证路径。
   if (localBeta?.desktopTicketLogin && runtime?.tool === 'qwenwork' && runtime?.subtype === 'qwenwork_desktop' && !envTokenSession) {
     authPath.auth_runtime = 'qwenwork_desktop_exchange_ticket';
     authPath.interactive_login_allowed = false;
     authPath.missing_token_action = 'RUN_OPENYIDA_LOGIN_QWENWORK';
-    if (!authPath.can_auto_use) {
-      authPath.next_step = 'Run standalone openyida login-qwenwork --json in the current QwenWork desktop, then continue the business command. Do not start OAuth or edit environment files.';
-      authPath.next_step_commands = ['openyida login-qwenwork --json'];
-    }
+    for (const key of ['auth_profile', 'corp_id', 'corp_name', 'user_id', 'user_name', 'store', 'persistence_scope', 'warning']) { delete authPath[key]; }
+    authPath.next_step = authPath.can_auto_use
+      ? 'Silently continue the requested business operation. Do not announce login or identity details.'
+      : 'Silently run standalone openyida login-qwenwork --json, then continue the requested business operation. Do not narrate login, add shell operators, start OAuth, or edit environment files.';
+    authPath.next_step_commands = authPath.can_auto_use ? [] : ['openyida login-qwenwork --json'];
   }
   return authPath;
 }
@@ -249,6 +250,7 @@ function buildInteractiveLogin(auth, runtime) {
       mode: 'desktop_ticket', browser_default: 'not_required', browser_owner: 'none',
       recommended_command: auth.can_auto_use ? null : 'openyida login-qwenwork --json',
       agent_action: auth.can_auto_use ? 'continue_business_command' : 'run_standalone_login_qwenwork_and_wait',
+      user_visible: false, success_action: 'continue_business_command_without_message',
       reason: 'qwenwork_desktop_pre_beta', completion_signal: 'process_exit_and_final_json', playwright_required: false,
     };
   }
@@ -329,6 +331,13 @@ function buildBuilderPath(login, projectRoot, manifest, env = process.env, runti
     auth,
     runtime,
     interactive_login: buildInteractiveLogin(auth, runtime),
+    communication: runtime.tool === 'qwenwork' && runtime.subtype === 'qwenwork_desktop' ? {
+      preparation_visibility: 'silent',
+      completion_content: 'business_result_and_business_link_only',
+      disclose_authentication_identity_environment: false,
+      report_preparation_only_when_user_action_is_required: true,
+      bundled_skill_path: path.resolve(__dirname, '../../yida-skills'),
+    } : undefined,
     environment_check_simplification: {
       contract_role: 'machine_readable_builder_runtime_not_yida_agent_business_logic',
       minimal_probe_commands: [
@@ -450,6 +459,7 @@ function compactBuilderPath(builderPath) {
     auth,
     runtime: builderPath.runtime,
     interactive_login: builderPath.interactive_login,
+    communication: builderPath.communication,
     environment_check_simplification: {
       minimal_probe_commands: environment.minimal_probe_commands,
       can_skip_default_exploration_when_summary_ok: environment.can_skip_default_exploration_when_summary_ok,
@@ -619,7 +629,9 @@ function buildAgentCapabilitiesSummary() {
     schema_version: 1,
     name: 'openyida-agent-capabilities-summary',
     version,
-    login: compactLogin(loginStatus),
+    login: builderPath.auth.auth_runtime === 'qwenwork_desktop_exchange_ticket'
+      ? { status: loginStatus.status, can_auto_use: loginStatus.can_auto_use === true }
+      : compactLogin(loginStatus),
     workdir: projectRoot,
     workdir_exists: !!projectResolution.exists,
     workdir_source: projectResolution.source,

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "openyida",
-  "version": "2026.10.23-beta.1",
+  "version": "2026.10.23-beta.2",
   "description": "OpenYida CLI - 宜搭低代码 AI 开发工具（安装即用，零配置）",
   "bin": {
     "openyida": "bin/yida-pre-beta.js",

package/scripts/install-qwenwork-pre-beta.js

@@ -2,22 +2,39 @@
 const fs = require('node:fs');
 const os = require('node:os');
 const path = require('node:path');
-const version = require('../package.json').version;
-const source = path.resolve(__dirname, '../yida-skills');
-const explicit = process.argv.indexOf('--target-dir');
-const target = explicit < 0 ? path.join(os.homedir(), '.qwenworkcn', 'skills', 'yida-skills') : path.resolve(process.argv[explicit + 1]);
-if (explicit < 0 && !fs.existsSync(path.join(os.homedir(), '.qwenworkcn'))) process.exit(0);
-// 备份留在技能扫描目录之外，避免旧指引再次被宿主加载。
-const backup = explicit < 0 ? path.join(os.homedir(), '.qwenworkcn', '.openyida-beta-backups', version + '-' + Date.now()) : target + '.previous-' + Date.now();
-const stage = target + '.installing-' + Date.now();
-fs.mkdirSync(path.dirname(target), { recursive: true });
-fs.cpSync(source, stage, { recursive: true });
-let moved = false;
-try {
-  if (fs.existsSync(target)) { fs.mkdirSync(path.dirname(backup), { recursive: true }); fs.renameSync(target, backup); moved = true; }
-  fs.renameSync(stage, target);
-} catch (error) {
-  if (moved && !fs.existsSync(target)) fs.renameSync(backup, target);
-  throw error;
+
+/** 技能复制属于可选安装步骤，权限不足时保留旧目录，CLI 仍可使用随包技能。 */
+function install(options = {}) {
+  const io = options.fs || fs;
+  const home = options.home || os.homedir();
+  const root = path.join(home, '.qwenworkcn');
+  if (!options.target && !io.existsSync(root)) { return { status: 'skipped' }; }
+  const source = options.source || path.resolve(__dirname, '../yida-skills');
+  const target = options.target || path.join(root, 'skills', 'yida-skills');
+  const unique = `${Date.now()}-${process.pid}`;
+  const backup = path.join(options.backupRoot || path.join(options.target ? path.dirname(target) : root, '.openyida-beta-backups'), unique);
+  const stage = path.join(path.dirname(target), `.openyida-installing-${unique}`);
+  let moved = false;
+  try {
+    io.mkdirSync(path.dirname(target), { recursive: true });
+    io.cpSync(source, stage, { recursive: true });
+    if (io.existsSync(target)) {
+      io.mkdirSync(path.dirname(backup), { recursive: true });
+      io.renameSync(target, backup);
+      moved = true;
+    }
+    io.renameSync(stage, target);
+    return { status: 'updated' };
+  } catch {
+    // 可选复制失败不使 npm 回滚；旧技能已移动时先恢复，备份始终保留在扫描目录外。
+    try { if (moved && !io.existsSync(target)) { io.renameSync(backup, target); } } catch { /* 保留备份，避免覆盖现有内容。 */ }
+    try { io.rmSync(stage, { recursive: true, force: true }); } catch { /* 权限不足时不扩大清理范围。 */ }
+    return { status: 'skipped' };
+  }
 }
-console.log(JSON.stringify({ status: 'ok', version, qwenwork_skills_updated: true, default_environment: 'pre' }));
+
+if (require.main === module) {
+  const index = process.argv.indexOf('--target-dir');
+  install(index >= 0 && process.argv[index + 1] ? { target: path.resolve(process.argv[index + 1]) } : {});
+}
+module.exports = { install };

package/yida-skills/SKILL.md

@@ -6,17 +6,6 @@ description: >
   重要路由规则：完整应用/系统/平台的从零搭建、已有 app 但没有任何页面、或已有 app/page 需要补成完整业务系统时，必须先加载 yida-app 子技能作为编排入口。已有资源的单点改字段、改页面、发布、权限或数据任务按对应子技能路由。
 ---
 
-## 本地 PRE beta 验收配置
-
-本包是本地联调 beta，默认环境为 PRE，登录态目录独立，无需添加或切换环境。
-先执行一次 `openyida agent-capabilities --summary-json`。
-只有结果明确满足 `runtime.tool=qwenwork` 且 `runtime.subtype=qwenwork_desktop`，并且 `builder_path.interactive_login.mode=desktop_ticket` 时，才使用千问办公桌面免登。
-如果该条件成立且 `login.can_auto_use=false`，单独执行 `openyida login-qwenwork --json`；这条 Bash 命令不要拼接 cd、env、管道或重定向。成功后直接继续用户要求的业务操作。
-不是千问办公桌面宿主，或 runtime 缺失时，不执行该命令；按原认证快照处理。不得仅根据安装目录或产品名推断当前宿主。
-千问办公桌面换票失败时报告错误，不回退 OAuth，不手改环境配置，不选择生产 profile，不读取或展示 Token。
-用户只要求空白应用时，完成认证与工作目录准备后执行 `openyida create-app --name "<用户要求的名称>"`，无需设计表单、页面或主题。
-
-
 # 宜搭应用开发指南
 
 在执行宜搭应用/页面/审批流等任务前先确认环境与登录态，再根据用户需求和已解析的 app/page/form/process 等上下文资源，分析任务属于完整搭建、已有资源补齐还是单点任务，并加载对应子技能执行。
@@ -90,6 +79,10 @@ Fast / Plan 选定的主题和主色属于整个应用：导航、原生页、
 
 每项待办对应一个阶段，直接使用上方短标题。创建应用、表单、数据、图片、页面和发布分别展示。执行中保持标题与列表顺序稳定，完成后标记完成并保留记录。图片准备与表单、页面搭建可同时进行，列表顺序仅用于展示。业务细节写在进度消息中，任务编号、命令、路径、授权依据和耗时写入内部执行记录；用户要求的耗时统计集中放入报告。素材采集与应用创建同时进行时，进度描述统一为“素材采集&应用创建”；单独进行时使用对应阶段名称。图片数量、用途及任务详情归入内部执行记录。
 
+## 千问办公桌面端的后台准备
+
+当前快照确认运行于千问办公桌面端时，安装、环境检查和自动登录按[后台准备规则](references/qwenwork-desktop-login.md)静默执行。用户只需要看到业务进度和业务结果。
+
 ## 执行步骤
 
 ### Step 1：环境与登录态确认

package/yida-skills/references/qwenwork-desktop-login.md

@@ -0,0 +1,33 @@
+# 千问办公桌面端后台准备
+
+## 用户沟通
+
+安装、版本核验、环境检查、自动登录和登录恢复均为内部准备，不加入用户可见的步骤、待办或完成总结，也不播报「免登成功」「正在换票」等状态。准备完成后直接继续用户请求的业务操作。
+
+登录命令和能力快照的 JSON 仅用于内部判断。不向用户展示或解释认证方式、环境名、后端域名、用户 ID、组织 ID、profile、凭据路径、有效期和令牌，即使掩码后也不展示。最终只交付用户需要的业务结果、应用名称和应用访问链接；应用链接属于业务交付，可正常展示。
+
+仅在确实需要用户操作才能继续时，用一句普通语言说明阻塞和所需操作，不展开协议、接口、路径或内部错误细节。用户明确要求排障或查看认证信息时，再按其指定范围说明。
+
+## 安装与技能
+
+用户指定版本时先安装该版本，再做一次能力检查。镜像尚未同步时，直接使用官方 npm 源安装；短暂的下载 404 先重试核验，不据此断言包已损坏或擅自换成正式版。随包技能通过能力快照的 `builder_path.communication.bundled_skill_path` 定位，安装后优先读取该版本技能。
+
+配套技能复制是可选步骤。宿主技能目录写入受限时保留旧目录，CLI 安装继续完成，使用包内技能；不要求用户修改沙箱规则，不反复申请宿主目录权限。
+
+## 自动登录
+
+只以当前 `openyida agent-capabilities --summary-json` 的 `runtime.tool=qwenwork`、`runtime.subtype=qwenwork_desktop` 和 `builder_path.interactive_login.mode=desktop_ticket` 判断桌面换票能力。安装目录、产品名称和历史会话不能替代当前快照。
+
+快照显示登录可用时直接执行用户请求；登录不可用且上述条件全部成立时，单独执行下面一条命令，成功后直接继续业务操作：
+
+```bash
+openyida login-qwenwork --json
+```
+
+这条命令不拼接 `cd`、`env`、重定向、管道、`head`、`echo` 或任何其他 Shell 命令；执行工具已提供退出状态，无需追加输出。专用命令只消费本次私有通道的短期一次性兑换票，不调用或递归进入普通 `login`。
+
+真实宜搭凭据仅由 CLI 校验并持久化，不读取、填写或展示任何令牌、兑换票和认证文件。保持包内配置及实际认证 origin，不根据历史记忆猜测环境等价或切换到其他环境、组织。凭据过期时重新执行专用命令；票据缺失、过期、重放、签发或消费失败时停止，不回退 OAuth、直接凭据或手改环境文件。
+
+多组织确实需要用户选择时，仅询问完成业务操作所需的组织，不由模型猜测。其他宿主继续遵循原认证快照。
+
+用户只要求新建空白应用时，直接创建该应用，无需展开 PRD、表单、页面或主题设计。创建命令以当前版本契约为准，成功后只交付应用名称和访问链接。

package/yida-skills/references/setup-and-env.md

@@ -1,12 +1,6 @@
-## 本地 PRE beta 验收配置
-
-本包是本地联调 beta，默认环境为 PRE，登录态目录独立，无需添加或切换环境。
-先执行一次 `openyida agent-capabilities --summary-json`。
-只有结果明确满足 `runtime.tool=qwenwork` 且 `runtime.subtype=qwenwork_desktop`，并且 `builder_path.interactive_login.mode=desktop_ticket` 时，才使用千问办公桌面免登。
-如果该条件成立且 `login.can_auto_use=false`，单独执行 `openyida login-qwenwork --json`；这条 Bash 命令不要拼接 cd、env、管道或重定向。成功后直接继续用户要求的业务操作。
-不是千问办公桌面宿主，或 runtime 缺失时，不执行该命令；按原认证快照处理。不得仅根据安装目录或产品名推断当前宿主。
-千问办公桌面换票失败时报告错误，不回退 OAuth，不手改环境配置，不选择生产 profile，不读取或展示 Token。
-用户只要求空白应用时，完成认证与工作目录准备后执行 `openyida create-app --name "<用户要求的名称>"`，无需设计表单、页面或主题。
+## 千问办公桌面端
+
+当前快照确认运行于千问办公桌面端时，遵循[后台准备规则](qwenwork-desktop-login.md)，静默完成下述准备，不向用户逐项播报。
 
 # 环境准备与登录检测
 

package/yida-skills/skills/yida-login/SKILL.md

@@ -3,17 +3,6 @@ name: yida-login
 description: 宜搭登录态管理。以 OpenYida auth snapshot 为准；默认 OAuth token，snapshot 返回 env 注入状态时使用运行环境注入 token。
 ---
 
-## 本地 PRE beta 验收配置
-
-本包是本地联调 beta，默认环境为 PRE，登录态目录独立，无需添加或切换环境。
-先执行一次 `openyida agent-capabilities --summary-json`。
-只有结果明确满足 `runtime.tool=qwenwork` 且 `runtime.subtype=qwenwork_desktop`，并且 `builder_path.interactive_login.mode=desktop_ticket` 时，才使用千问办公桌面免登。
-如果该条件成立且 `login.can_auto_use=false`，单独执行 `openyida login-qwenwork --json`；这条 Bash 命令不要拼接 cd、env、管道或重定向。成功后直接继续用户要求的业务操作。
-不是千问办公桌面宿主，或 runtime 缺失时，不执行该命令；按原认证快照处理。不得仅根据安装目录或产品名推断当前宿主。
-千问办公桌面换票失败时报告错误，不回退 OAuth，不手改环境配置，不选择生产 profile，不读取或展示 Token。
-用户只要求空白应用时，完成认证与工作目录准备后执行 `openyida create-app --name "<用户要求的名称>"`，无需设计表单、页面或主题。
-
-
 # yida-login
 
 ## 模式
@@ -27,21 +16,11 @@ description: 宜搭登录态管理。以 OpenYida auth snapshot 为准；默认
 - 浏览器归属以 `builder_path.interactive_login.mode` 为准：`not_required` 不触发 OAuth；`cli_auto_open` 执行 `openyida login` 并等待；`caller_open_url` 执行 `openyida login --no-browser`，由 Agent 优先调用沙箱浏览器 / 内置 Browser 打开 CLI 输出的授权 URL 一次；`unsupported` 停止并说明没有可用浏览器能力，不要默认安装 Playwright。
 - `caller_open_url` 模式下，Agent 不要只把 URL 贴给用户然后等待。只有当前宿主没有浏览器工具，或浏览器工具调用失败时，才退回让用户手动打开 URL。
 
-## 千问办公专用免登命令（显式使用）
+## 千问办公桌面端的后台登录
 
-先以 `openyida agent-capabilities --summary-json` 的 `runtime.tool=qwenwork`、`runtime.subtype=qwenwork_desktop` 确认当前活跃宿主确实是千问办公桌面端；仅安装过千问办公、存在相关目录或会话提到产品名均不能作为判断依据。仅当上述宿主条件成立、用户已选择桌面免登且当前桌面宿主已接入 v2 一次性票据能力时，独立执行：
-
-```bash
-openyida login-qwenwork --json
-```
+先以当前快照的 `runtime.tool=qwenwork`、`runtime.subtype=qwenwork_desktop` 和 `builder_path.interactive_login.mode=desktop_ticket` 确认桌面换票能力。满足条件后，按[后台准备规则](../../references/qwenwork-desktop-login.md)静默补齐登录态，随后继续业务操作。
 
-- 此命令是独立入口，直接消费兑换票，不调用、重启或递归进入普通 login。普通 login 的任何参数都不会触发桌面免登；旧 login --qwenwork 已停用。
-- 主进程只签发最长 300 秒的 exchange_ticket，不接收真实宜搭 access token。CLI 从本次私有环境读取票据，在沙箱内向原 HTTPS origin 消费，再校验并持久化宜搭凭据。
-- 不读取、打印或手工填写千问 Token、宜搭 Token 或兑换票。真实宜搭凭据不得返回主进程、Hook 或工具结果。
-- 不与 cd、管道、重定向或其他命令拼接；多组织时由用户指定真实宜搭 --corp-id。可使用隔离新版 CLI 的绝对路径入口。
-- 缺票据、签发失败、身份切换、过期、重放或消费存储不可用时停止，不改用直接凭据交付或 OAuth。
-- 成功后保留原 origin、有效期和宜搭身份；后续新进程无需继续注入票据。没有 refresh token，凭据过期后重新执行专用命令。
-- 合成测试或旧 v1 部署成功不能代替真实 PRE v2、当前桌面 JWT 和安装版验收。
+普通 `login` 不触发桌面换票；其他宿主继续遵循下方认证规则。票据协议和研发验证见仓库的 `docs/guides/qwenwork-desktop-login.md`。
 
 ## 前置检查