rainskills 0.1.13 → 0.1.15

package/README.md

@@ -228,7 +228,7 @@ node ~/.rainbond/lib/rainskills/bin/rainskills.js platform install --onboarding-
 
 Rainskills 会在用户下一次发起业务动作时，由本地运行时立即返回环境查询结果，并另行启动后台任务静默检查更新。更新只跟随 npm `latest` 指向的正式版。当前版本是 RC 或其他预发布版本时不会查询、不会自动升级；npm 上的新 RC 版本也不参与正式版自动升级。
 
-发现更高的正式版后，后台任务只委托到经过校验的精确版本，例如 `rainskills@0.1.13`，不会执行浮动的 `@latest` 业务代码。新版本原子刷新已经安装的 Rainskills Skills；当前业务继续使用启动时已经加载的版本，最迟从下一条新任务开始使用新版。npm 超时、版本检查失败、安装位置不安全或文件迁移失败时会保留旧版本，且不会阻塞或改变当前操作。
+发现更高的正式版后，后台任务只委托到经过校验的精确版本，例如 `rainskills@0.1.15`，不会执行浮动的 `@latest` 业务代码。新版本原子刷新已经安装的 Rainskills Skills；当前业务继续使用启动时已经加载的版本，最迟从下一条新任务开始使用新版。npm 超时、版本检查失败、安装位置不安全或文件迁移失败时会保留旧版本，且不会阻塞或改变当前操作。
 
 升级只更新 Rainskills 自身，不触发 Rainbond 安装、运行环境选择、登录授权或重新对接，也不会新增 Agent MCP 配置。更新内容仅包括 Skills 和本地 CLI。原始业务操作会继续执行；只有该业务操作本身需要运行环境时，才按既有门禁检查当前连接。可用连接直接复用，401 只重新授权一次，403 立即停止，从未连接过运行环境时才进入环境选择。
 

package/SKILL.md

@@ -42,7 +42,7 @@ Rainskills 安装完成，下一条消息即可直接使用。
 
 受限沙箱（包括 Codex）执行本地状态命令时，必须申请用户级受保护目录访问权限；在 Codex 中使用 `require_escalated`。不得修改 `~/.rainbond` 权限、复制受保护状态到工作区，或因沙箱权限错误建议重装。
 
-环境是全局列表，不是项目绑定。本地状态命令必须定位已安装的同级 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后通过 `node` 以 argv 数组执行；不得为了查询本地环境访问 npm。只有连接或安装环境时才使用与当前技能包一致的固定 launcher `node <home>/.rainbond/lib/rainskills/bin/rainskills.js`（运行包版本 `rainskills@0.1.13`）。
+环境是全局列表，不是项目绑定。本地状态命令必须定位已安装的同级 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后通过 `node` 以 argv 数组执行；不得为了查询本地环境访问 npm。只有连接或安装环境时才使用与当前技能包一致的固定 launcher `node <home>/.rainbond/lib/rainskills/bin/rainskills.js`（运行包版本 `rainskills@0.1.15`）。
 
 - 列表：用本地 launcher 执行 `environment list --json`，只展示名称、类型、状态、是否默认和最近验证时间。
 - 重命名：用本地 launcher 执行 `environment rename --environment-id <uuid> --name <name>`。

package/bin/rainskills-tools.js

@@ -325,20 +325,37 @@ function parseCommand(args) {
     throw new BridgeError("every tools command requires --operation-id <uuid>", EXIT.USAGE);
   }
   const operationId = args[operationIndex + 1];
-  const remaining = [
+  const operationArgs = [
     ...args.slice(0, operationIndex),
     ...args.slice(operationIndex + 2),
   ];
+  const skillIndex = operationArgs.indexOf("--skill-id");
+  if (
+    skillIndex < 0
+    || !SKILL_ID_PATTERN.test(operationArgs[skillIndex + 1] || "")
+    || operationArgs.indexOf("--skill-id", skillIndex + 1) !== -1
+  ) {
+    throw new BridgeError(
+      "every tools command requires --skill-id <active-skill-id>",
+      EXIT.USAGE
+    );
+  }
+  const skillId = operationArgs[skillIndex + 1];
+  const remaining = [
+    ...operationArgs.slice(0, skillIndex),
+    ...operationArgs.slice(skillIndex + 2),
+  ];
   const command = remaining[0];
-  if (command === "status" && remaining.length === 1) return { command, operationId };
+  const context = { operationId, skillId };
+  if (command === "status" && remaining.length === 1) return { command, ...context };
   if (command === "list") {
-    if (remaining.length === 1) return { command, operationId };
+    if (remaining.length === 1) return { command, ...context };
     if (remaining.length === 3 && remaining[1] === "--prefix" && remaining[2]) {
-      return { command, prefix: remaining[2], operationId };
+      return { command, prefix: remaining[2], ...context };
     }
   }
   if (command === "describe" && remaining.length === 2 && remaining[1]) {
-    return { command, toolName: remaining[1], operationId };
+    return { command, toolName: remaining[1], ...context };
   }
   if (
     command === "package-upload"
@@ -349,13 +366,13 @@ function parseCommand(args) {
     && remaining[3] === "--input"
     && remaining[4] === "-"
   ) {
-    return { command, archive: remaining[2], input: remaining[4], operationId };
+    return { command, archive: remaining[2], input: remaining[4], ...context };
   }
   if (command === "read" && remaining.length === 4 && remaining[1] && remaining[2] === "--input" && remaining[3] === "-") {
-    return { command, toolName: remaining[1], input: remaining[3], operationId };
+    return { command, toolName: remaining[1], input: remaining[3], ...context };
   }
   if (command === "call" && remaining.length >= 4 && remaining[1] && remaining[2] === "--input" && remaining[3] === "-") {
-    const parsed = { command, toolName: remaining[1], input: remaining[3], operationId };
+    const parsed = { command, toolName: remaining[1], input: remaining[3], ...context };
     for (let index = 4; index < remaining.length; index += 2) {
       const option = remaining[index];
       const value = remaining[index + 1];
@@ -1164,6 +1181,12 @@ async function main(args = process.argv.slice(2)) {
       includeRuntime: true,
       operationId: command.operationId,
     });
+    if (command.skillId !== config.requiredSkillId) {
+      throw new BridgeError(
+        "Skill does not match the protected runtime operation intent",
+        EXIT.CONFIG
+      );
+    }
     if (config.isInsecureHttp) {
       process.stderr.write('{"warning":"using insecure HTTP transport"}\n');
     }

package/bin/rainskills.js

@@ -412,15 +412,44 @@ async function runBuiltin(args, {
   const getOperationStore = () => operationStore || getEnvironmentServices().operationStore;
   const getEnvironmentCredentialStore = () => environmentCredentialStore
     || getEnvironmentServices().environmentCredentialStore;
-  const getRuntimeStateManager = (operationId, { scoped = false } = {}) => {
+  const getRuntimeStateManager = (operationId, {
+    scoped = false,
+    protectedOperation = null,
+  } = {}) => {
     if (runtimeStateManager) return runtimeStateManager;
     const operationScoped = scoped || (
       credentialEnvironment.RAINSKILLS_RUNTIME_STATE_SCOPE === "operation"
       && credentialEnvironment.RAINSKILLS_RUNTIME_OPERATION_ID === operationId
     );
+    const managerOptions = operationScoped ? { operationId } : {};
+    if (protectedOperation?.environment_id) {
+      const environment = getEnvironmentRegistry().get(protectedOperation.environment_id);
+      if (!environment || environment.connection_state !== "connected") {
+        throw new Error("runtime operation 绑定的运行环境当前不可用");
+      }
+      const credentialStore = getEnvironmentCredentialStore();
+      const credential = credentialStore.read({
+        environmentId: environment.id,
+        expectedOrigin: environment.console_origin,
+      });
+      managerOptions.env = {
+        RAINBOND_JWT: credential.token,
+        RAINBOND_URL: credential.origin,
+      };
+      managerOptions.credentialWriter = ({ token, baseUrl }) => {
+        if (baseUrl !== environment.console_origin) {
+          throw new Error("runtime renewed credential origin 不匹配");
+        }
+        credentialStore.write({
+          environmentId: environment.id,
+          origin: baseUrl,
+          token,
+        });
+      };
+    }
     return require(
       "../rainbond-platform-installer/scripts/runtime-state.js"
-    ).createRuntimeStateManager(operationScoped ? { operationId } : {});
+    ).createRuntimeStateManager(managerOptions);
   };
 
   if (args[0] === "environment" && args[1] === "list") {
@@ -905,10 +934,18 @@ async function runBuiltin(args, {
     if (args.length !== 4 || args[2] !== "--onboarding-id" || !args[3]) {
       throw new Error("intent resume 需要固定参数 --onboarding-id <uuid>");
     }
-    const manager = runtimeStateManager || require(
-      "../rainbond-platform-installer/scripts/runtime-state.js"
-    ).createRuntimeStateManager();
-    manager.assertContinuationEligible(args[3]);
+    const protectedOperation = runtimeStateManager ? null : getOperationStore().read(args[3]);
+    const manager = getRuntimeStateManager(args[3], {
+      scoped: protectedOperation?.intent?.type === "environment-add",
+      protectedOperation,
+    });
+    const eligible = manager.assertContinuationEligible(args[3]);
+    if (protectedOperation?.environment_id) {
+      const environment = getEnvironmentRegistry().get(protectedOperation.environment_id);
+      if (!environment || eligible.console_origin !== environment.console_origin) {
+        throw new Error("runtime operation 与已锁定运行环境不匹配");
+      }
+    }
     const status = await manager.status();
     if (status.state !== "connected" || status.usable !== true) {
       throw new Error("runtime 尚未 connected 且通过 live probe，不能恢复 intent");

package/marketplace/rainskills/.claude-plugin/plugin.json

@@ -1,6 +1,6 @@
 {
   "name": "rainskills",
-  "version": "0.1.13",
+  "version": "0.1.15",
   "description": "Install the complete Rainskills AI deployment skill suite as one product.",
   "author": {
     "name": "Goodrain",

package/marketplace/rainskills/.codex-plugin/plugin.json

@@ -1,6 +1,6 @@
 {
   "name": "rainskills",
-  "version": "0.1.13",
+  "version": "0.1.15",
   "description": "Install the complete Rainskills AI deployment skill suite as one product.",
   "author": {
     "name": "Goodrain",

package/marketplace/rainskills/skills/rainskills/SKILL.md

@@ -14,7 +14,7 @@ This is the single marketplace entry for the complete Rainskills product. The in
 3. Keep stdin, stdout, and stderr attached. When `RAINSKILLS_USER_INPUT_REQUIRED` appears, pause for that installer choice. If the installer emits `rainskills.next-action.v1`, execute only its fixed `argv` through the same launcher; never evaluate output as a shell command. If the adjacent `bin/rainskills.js` exists, use it for fixed next actions; otherwise use the same versioned npm package fallback described below.
 4. Stay attached until every independent Skill is installed. Do not select, connect, or configure an application runtime during installation. In the user-facing response, output only the fixed completion message below.
 
-If the adjacent installer is missing, check the local Node.js version before choosing the fallback. With `npx` and Node.js 18 or newer, use `npx --yes rainskills@0.1.13 <target>`. With no Node.js or a version below 18, use `bash <(curl -fsSL https://get.rainbond.com/rainskills/install.sh) <target>` instead. Omit `<target>` only when the host cannot be determined reliably. Keep either command attached to the interactive terminal. For an update or repair, refresh this marketplace Skill first, then run the installer again; it compares and updates every independent internal Skill.
+If the adjacent installer is missing, check the local Node.js version before choosing the fallback. With `npx` and Node.js 18 or newer, use `npx --yes rainskills@0.1.15 <target>`. With no Node.js or a version below 18, use `bash <(curl -fsSL https://get.rainbond.com/rainskills/install.sh) <target>` instead. Omit `<target>` only when the host cannot be determined reliably. Keep either command attached to the interactive terminal. For an update or repair, refresh this marketplace Skill first, then run the installer again; it compares and updates every independent internal Skill.
 
 Skills-only 安装不需要 Node.js；CDN fallback 只负责安装 Skill 文件，不代表运行环境连接、应用部署或平台安装已经可执行。用户首次提出需要运行环境的动作时，对应业务 Skill 才检查 Node.js；固定 Rainskills launcher 需要 Node.js 18 或更高版本。缺失或版本过低时保留原始 intent 并停止，等待用户或 agent 明确同意安装或升级 Node.js，安装完成消息不得提前提示 Node.js。
 
@@ -42,7 +42,7 @@ Rainskills 安装完成，下一条消息即可直接使用。
 
 受限沙箱（包括 Codex）执行本地状态命令时，必须申请用户级受保护目录访问权限；在 Codex 中使用 `require_escalated`。不得修改 `~/.rainbond` 权限、复制受保护状态到工作区，或因沙箱权限错误建议重装。
 
-环境是全局列表，不是项目绑定。本地状态命令必须定位已安装的同级 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后通过 `node` 以 argv 数组执行；不得为了查询本地环境访问 npm。只有连接或安装环境时才使用与当前技能包一致的固定 launcher `node <home>/.rainbond/lib/rainskills/bin/rainskills.js`（运行包版本 `rainskills@0.1.13`）。
+环境是全局列表，不是项目绑定。本地状态命令必须定位已安装的同级 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后通过 `node` 以 argv 数组执行；不得为了查询本地环境访问 npm。只有连接或安装环境时才使用与当前技能包一致的固定 launcher `node <home>/.rainbond/lib/rainskills/bin/rainskills.js`（运行包版本 `rainskills@0.1.15`）。
 
 - 列表：用本地 launcher 执行 `environment list --json`，只展示名称、类型、状态、是否默认和最近验证时间。
 - 重命名：用本地 launcher 执行 `environment rename --environment-id <uuid> --name <name>`。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "rainskills",
-  "version": "0.1.13",
+  "version": "0.1.15",
   "description": "Interactive Rainbond skill installer for Codex, Claude Code, and Pi Agent",
   "license": "Apache-2.0",
   "homepage": "https://github.com/goodrain/rainskills#readme",

package/rainbond-app-assistant/SKILL.md

@@ -102,7 +102,7 @@ description: "Use whenever a user asks to deploy, run, deliver, publish, inspect
 
   第一步检查 Node.js 是否存在且主版本不低于 18。Node.js 缺失或低于 18 时，只说明“Rainskills 执行组件需要 Node.js 18 或更高版本”并停止：不选择运行环境，不调用 MCP，不猜测替代命令。只有用户或 agent 明确同意后才安装或升级 Node.js，再从同一原始 intent 继续。
 
-  固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.13`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止使用 `rainskills@latest`，禁止拼接或执行 shell 字符串。
+  固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.15`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止使用 `rainskills@latest`，禁止拼接或执行 shell 字符串。
 
   本地 launcher 必须从当前 Skill 所在目录的同级目录定位 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后使用 `["node", "<绝对路径>"]` 执行。`environment list`、`operation begin`、`operation complete` 和 `runtime message` 只能使用本地 launcher；本地 launcher 只读取已安装文件和本机受保护状态，不得访问 npm 或其它网络。只有用户选定连接或安装运行环境后，才使用上面的固定本地 launcher。
 
@@ -114,7 +114,7 @@ description: "Use whenever a user asks to deploy, run, deliver, publish, inspect
   ```json
   {
     "schema": "rainskills.skill-runtime-contract.v1",
-    "package_version": "rainskills@0.1.13",
+    "package_version": "rainskills@0.1.15",
     "launcher": ["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"],
     "local_launcher": ["node", "<installed-skills-root>/rainbond-platform-installer/scripts/local-runtime.js"],
     "local_argv": {
@@ -147,6 +147,8 @@ description: "Use whenever a user asks to deploy, run, deliver, publish, inspect
 
   连接或平台安装完成后，用固定 `onboarding-id` 执行 launcher + `["intent", "resume", "--onboarding-id", "<同一 onboarding-id>"]`，恢复原始 intent 和 `resume_step`，不得重新猜测动作。
 
+  同一条附着命令先输出 `runtime.device-authorization`、随后输出 schema 为 `rainskills.runtime-connect-result.v1` 且 `state=connected` 时，最终 connected 结果覆盖前面的等待授权消息。不得再次展示旧授权消息、不得等待用户回复“已授权”；必须在同一轮立即使用同一 `onboarding-id` 执行 `intent resume`。
+
   业务 MCP 返回 401 时，先执行 launcher + `["runtime", "record-failure", "--onboarding-id", "<同一 onboarding-id>", "--step", "<当前固定步骤>", "--reason", "credential-expired"]`，再仅一次执行 launcher + `["runtime", "reconnect", "--onboarding-id", "<同一 onboarding-id>"]`，然后 resume 并只重试该步骤；第二次 401 立即停止。403 时执行 launcher + `["runtime", "record-failure", "--onboarding-id", "<同一 onboarding-id>", "--step", "<当前固定步骤>", "--reason", "permission-denied"]` 后停止，不得 reconnect、重新授权或自动重试，只说明缺少的权限。
 <!-- rainskills-runtime-gate:end -->
 

package/rainbond-app-version-assistant/SKILL.md

@@ -18,7 +18,7 @@ description: "Use when a user explicitly asks for an existing Rainbond app versi
 
 第一步检查 Node.js 是否存在且主版本不低于 18。Node.js 缺失或低于 18 时，只说明“Rainskills 执行组件需要 Node.js 18 或更高版本”并停止：不选择运行环境，不调用 MCP，不猜测替代命令。只有用户或 agent 明确同意后才安装或升级 Node.js，再从同一原始 intent 继续。
 
-固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.13`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
+固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.15`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
 
 本地 launcher 必须从当前 Skill 所在目录的同级目录定位 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后使用 `["node", "<绝对路径>"]` 执行。`environment list`、`operation begin`、`operation complete` 和 `runtime message` 只能使用本地 launcher；本地 launcher 只读取已安装文件和本机受保护状态，不得访问 npm 或其它网络。只有用户选定连接运行环境后，才使用上面的固定本地 launcher。
 
@@ -30,7 +30,7 @@ description: "Use when a user explicitly asks for an existing Rainbond app versi
 ```json
 {
   "schema": "rainskills.skill-runtime-contract.v1",
-  "package_version": "rainskills@0.1.13",
+  "package_version": "rainskills@0.1.15",
     "launcher": ["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"],
   "local_launcher": ["node", "<installed-skills-root>/rainbond-platform-installer/scripts/local-runtime.js"],
   "local_argv": {

package/rainbond-delivery-verifier/SKILL.md

@@ -50,7 +50,7 @@ description: "Use only when the user explicitly asks for final delivery or acces
 
 第一步检查 Node.js 是否存在且主版本不低于 18。Node.js 缺失或低于 18 时，只说明“Rainskills 执行组件需要 Node.js 18 或更高版本”并停止：不选择运行环境，不调用 MCP，不猜测替代命令。只有用户或 agent 明确同意后才安装或升级 Node.js，再从同一原始 intent 继续。
 
-固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.13`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
+固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.15`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
 
 本地 launcher 必须从当前 Skill 所在目录的同级目录定位 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后使用 `["node", "<绝对路径>"]` 执行。`environment list`、`operation begin`、`operation complete` 和 `runtime message` 只能使用本地 launcher；本地 launcher 只读取已安装文件和本机受保护状态，不得访问 npm 或其它网络。只有用户选定连接运行环境后，才使用上面的固定本地 launcher。
 
@@ -62,7 +62,7 @@ description: "Use only when the user explicitly asks for final delivery or acces
 ```json
 {
   "schema": "rainskills.skill-runtime-contract.v1",
-  "package_version": "rainskills@0.1.13",
+  "package_version": "rainskills@0.1.15",
     "launcher": ["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"],
   "local_launcher": ["node", "<installed-skills-root>/rainbond-platform-installer/scripts/local-runtime.js"],
   "local_argv": {

package/rainbond-env-sync/SKILL.md

@@ -18,7 +18,7 @@ description: "Use when a user explicitly asks to sync non-sensitive preview or p
 
 第一步检查 Node.js 是否存在且主版本不低于 18。Node.js 缺失或低于 18 时，只说明“Rainskills 执行组件需要 Node.js 18 或更高版本”并停止：不选择运行环境，不调用 MCP，不猜测替代命令。只有用户或 agent 明确同意后才安装或升级 Node.js，再从同一原始 intent 继续。
 
-固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.13`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
+固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.15`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
 
 本地 launcher 必须从当前 Skill 所在目录的同级目录定位 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后使用 `["node", "<绝对路径>"]` 执行。`environment list`、`operation begin`、`operation complete` 和 `runtime message` 只能使用本地 launcher；本地 launcher 只读取已安装文件和本机受保护状态，不得访问 npm 或其它网络。只有用户选定连接运行环境后，才使用上面的固定本地 launcher。
 
@@ -30,7 +30,7 @@ description: "Use when a user explicitly asks to sync non-sensitive preview or p
 ```json
 {
   "schema": "rainskills.skill-runtime-contract.v1",
-  "package_version": "rainskills@0.1.13",
+  "package_version": "rainskills@0.1.15",
     "launcher": ["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"],
   "local_launcher": ["node", "<installed-skills-root>/rainbond-platform-installer/scripts/local-runtime.js"],
   "local_argv": {

package/rainbond-fullstack-bootstrap/SKILL.md

@@ -18,7 +18,7 @@ description: "Use only when the user explicitly asks to create the Rainbond app
 
 第一步检查 Node.js 是否存在且主版本不低于 18。Node.js 缺失或低于 18 时，只说明“Rainskills 执行组件需要 Node.js 18 或更高版本”并停止：不选择运行环境，不调用 MCP，不猜测替代命令。只有用户或 agent 明确同意后才安装或升级 Node.js，再从同一原始 intent 继续。
 
-固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.13`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
+固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.15`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
 
 本地 launcher 必须从当前 Skill 所在目录的同级目录定位 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后使用 `["node", "<绝对路径>"]` 执行。`environment list`、`operation begin`、`operation complete` 和 `runtime message` 只能使用本地 launcher；本地 launcher 只读取已安装文件和本机受保护状态，不得访问 npm 或其它网络。只有用户选定连接或安装运行环境后，才使用上面的固定本地 launcher。
 
@@ -30,7 +30,7 @@ description: "Use only when the user explicitly asks to create the Rainbond app
 ```json
 {
   "schema": "rainskills.skill-runtime-contract.v1",
-  "package_version": "rainskills@0.1.13",
+  "package_version": "rainskills@0.1.15",
     "launcher": ["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"],
   "local_launcher": ["node", "<installed-skills-root>/rainbond-platform-installer/scripts/local-runtime.js"],
   "local_argv": {

package/rainbond-fullstack-bootstrap/modules/40-source-and-package-rules.md

@@ -240,7 +240,7 @@ Follow this transaction in the exact order below:
    - capture the helper's `archive_path`, `file_name`, `generated`, and `staging_root` result fields
    - a supported package file is reused directly; a directory is converted to a zip archive by the helper
 2. Call `rainbond_init_package_upload` with Rainbond context only. It must return a non-empty `event_id` and an `upload_request`. Do not continue when either is absent or malformed.
-3. Run the protected local CLI command `package-upload --archive <archive_path> --input - --operation-id <uuid>` using the fixed CLI launcher defined by the active Skill, passing the complete `upload_request` object through stdin as JSON:
+3. Run the protected local CLI command `package-upload --archive <archive_path> --input - --operation-id <uuid> --skill-id rainbond-fullstack-bootstrap` using the fixed CLI launcher defined by the active Skill, passing the complete `upload_request` object through stdin as JSON:
    - the CLI resolves the Console origin from the environment already bound to the protected operation; never ask the user for `RAINBOND_URL` and never take it from the current shell
    - do not add `RAINBOND_URL`, JWT, upload credentials, or a Console address to argv or stdin
    - do not invent or rewrite the URL, authorization mode, form field, HTTP method, content type, or timeout; the CLI validates the same-Console-origin upload contract before invoking the local helper

package/rainbond-fullstack-troubleshooter/SKILL.md

@@ -50,7 +50,7 @@ description: "Use only when the user explicitly asks for a bounded build, runtim
 
 第一步检查 Node.js 是否存在且主版本不低于 18。Node.js 缺失或低于 18 时，只说明“Rainskills 执行组件需要 Node.js 18 或更高版本”并停止：不选择运行环境，不调用 MCP，不猜测替代命令。只有用户或 agent 明确同意后才安装或升级 Node.js，再从同一原始 intent 继续。
 
-固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.13`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
+固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.15`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
 
 本地 launcher 必须从当前 Skill 所在目录的同级目录定位 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后使用 `["node", "<绝对路径>"]` 执行。`environment list`、`operation begin`、`operation complete` 和 `runtime message` 只能使用本地 launcher；本地 launcher 只读取已安装文件和本机受保护状态，不得访问 npm 或其它网络。只有用户选定连接运行环境后，才使用上面的固定本地 launcher。
 
@@ -62,7 +62,7 @@ description: "Use only when the user explicitly asks for a bounded build, runtim
 ```json
 {
   "schema": "rainskills.skill-runtime-contract.v1",
-  "package_version": "rainskills@0.1.13",
+  "package_version": "rainskills@0.1.15",
     "launcher": ["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"],
   "local_launcher": ["node", "<installed-skills-root>/rainbond-platform-installer/scripts/local-runtime.js"],
   "local_argv": {

package/rainbond-opensource-app-deploy/SKILL.md

@@ -18,7 +18,7 @@ Node.js 前置检查通过后，每次请求先执行本地 launcher + `["enviro
 
 第一步检查 Node.js 是否存在且主版本不低于 18。Node.js 缺失或低于 18 时，只说明“Rainskills 执行组件需要 Node.js 18 或更高版本”并停止：不选择运行环境，不调用 MCP，不猜测替代命令。只有用户或 agent 明确同意后才安装或升级 Node.js，再从同一原始 intent 继续。
 
-固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.13`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest`，禁止拼接或执行 shell 字符串。
+固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.15`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest`，禁止拼接或执行 shell 字符串。
 
 本地 launcher 必须从当前 Skill 所在目录的同级目录定位 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后使用 `["node", "<绝对路径>"]` 执行。`environment list`、`operation begin`、`operation complete` 和 `runtime message` 只能使用本地 launcher；本地 launcher 只读取已安装文件和本机受保护状态，不得访问 npm 或其它网络。只有用户选定连接或安装运行环境后，才使用固定 launcher。
 
@@ -30,7 +30,7 @@ Node.js 前置检查通过后，每次请求先执行本地 launcher + `["enviro
 ```json
 {
   "schema": "rainskills.skill-runtime-contract.v1",
-  "package_version": "rainskills@0.1.13",
+  "package_version": "rainskills@0.1.15",
     "launcher": ["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"],
   "local_launcher": ["node", "<installed-skills-root>/rainbond-platform-installer/scripts/local-runtime.js"],
   "local_argv": {

package/rainbond-platform-installer/SKILL.md

@@ -32,7 +32,7 @@ Do not use it to deploy an application to an existing Rainbond. Route those requ
 ## Workflow
 
 1. Read [installation-policy.md](references/installation-policy.md).
-2. Use the installed local launcher `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`; its protected runtime package marker is `rainskills@0.1.13` and must equal this package's `package.json`. For a Rainskills marker, first validate schema `rainskills.next-action.v1`, action, onboarding id, and the bounded `argv` array, then append that array to the launcher. Never use `latest` or evaluate a shell string from output.
+2. Use the installed local launcher `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`; its protected runtime package marker is `rainskills@0.1.15` and must equal this package's `package.json`. For a Rainskills marker, first validate schema `rainskills.next-action.v1`, action, onboarding id, and the bounded `argv` array, then append that array to the launcher. Never use `latest` or evaluate a shell string from output.
 3. 在任何平台安装命令之前，先执行 launcher + `["runtime", "message", "--id", "private-deployment-location"]`，并原样输出固定的三项部署位置消息。选择 1 后执行带 `["--location", "local", "--mode", "single-node"]` 的 `platform install`；选择 2 后执行带 `["--location", "server"]` 的 `platform install`，由 helper 继续显示固定的服务器类型消息；选择 3 后执行 launcher + `["runtime", "message", "--id", "private-console-origin"]` 并进入已有环境连接，不得执行 `platform install`。若是没有原始业务 intent 的直接平台安装请求，已有环境连接使用受限 `{"type":"environment-add"}` intent。
 4. Let the helper perform one read-only preflight against the already selected local or remote target, then show resources, blockers, and applicable host changes. Never invoke `platform install` without an explicit `--location`; the helper must not ask for the deployment location again.
 5. Obtain explicit confirmation before sending `y` to the waiting process or rerunning the exact command with `--yes`.
@@ -63,7 +63,7 @@ Do not use it to deploy an application to an existing Rainbond. Route those requ
 3、已有 Kubernetes 集群
 ```
 
-主机集群普通入口接受 `3-100` 台 Linux 主机。第一次进入 configuration 阶段时，必须只生成权限为 `0600`（Windows 为仅当前用户可读写）的受保护 `servers.txt` 并停止等待，不得先生成 `cluster.yaml`、发起 SSH、下载或安装。该文件带中文标题、中文注释和三个节点区块；用户可复制完整区块扩展节点，只填写每台服务器的公网 IP、内网 IP、SSH 端口和 root 密码。逐节点 SSH 端口按实际值填写，不要求为 22。固定消息必须包含可点击的 `servers.txt` 链接、当前系统的打开命令、`public_ip`、`private_ip`、`ssh_port`、`password` 四字段说明，以及“编辑完成后回复‘已完成’”。普通用户不编辑 `cluster.yaml`、YAML 或节点角色。
+主机集群普通入口接受 `3-100` 台 Linux 主机。第一次进入 configuration 阶段时，必须只生成权限为 `0600`（Windows 为仅当前用户可读写）的受保护 `servers.txt` 并停止等待，不得先生成 `cluster.yaml`、发起 SSH、下载或安装。新文件使用简洁中文表单，默认包含三个连续的 `【第 N 台服务器】` 区块，每个区块只显示“公网 IP：”“内网 IP：”“SSH 端口：22”“登录密码：”；用户可复制完整区块扩展节点。逐节点 SSH 端口按实际值填写，不要求为 22。固定消息必须包含可点击的 `servers.txt` 链接、当前系统的打开命令、公网 IP、内网 IP、SSH 端口、登录密码四个字段说明，以及“编辑完成后回复‘已完成’”。普通用户不编辑 `cluster.yaml`、YAML 或节点角色。为兼容已生成的文件，读取时仍接受旧的 `[server-N]`、`public_ip`、`private_ip`、`ssh_port` 和 `password` 格式。
 
 用户继续同一 onboarding 时，读取同一份受保护 `servers.txt`（UTF-8，最大 1 MiB）并一次性列出全部可确定的区块、字段、地址、端口、重复节点和 3-100 节点数量问题。存在问题时保持原文件供修改，不创建 YAML 或产生其他副作用。校验通过后，自动生成受保护的 `cluster.yaml` 并自动分配拓扑：前三台承担 etcd/master，全部节点承担 worker/rbd-chaos，前两台承担 rbd-gateway，第一台承担 bootstrap/nfs-server。普通入口固定使用 3 个 etcd 节点；高级导入的 etcd 节点数仍必须是正奇数。在第一次 SSH 动作之前展示不含密码的完整逐节点角色拓扑、bootstrap 和存储摘要，再检查并准备全部节点的 SSH 免密连接。
 

package/rainbond-platform-installer/references/installation-policy.md

@@ -18,7 +18,7 @@
 ## ROI 主机集群策略
 
 - 普通入口支持 `3-100` 台 Linux 节点。首次进入时只创建受保护的 `servers.txt` 并停止等待，不生成 `cluster.yaml`、不发起 SSH，也不下载或执行 ROI。固定消息提供可点击链接、macOS/Linux/Windows 对应打开命令、四字段说明和“编辑完成后回复‘已完成’”；普通用户不编辑 `cluster.yaml`、YAML 或节点角色。
-- `servers.txt` 使用 UTF-8 文本，包含中文标题、中文注释和三个连续的 `[server-N]` 区块。每个区块只允许 `public_ip`（公网 IP）、`private_ip`（内网 IP）、`ssh_port`（逐节点 SSH 端口）和 `password`（root 密码）；超过三台时复制完整区块并连续编号。每台服务器可使用不同端口，SSH 端口范围为 1-65535，不要求为 22。文件最大 1 MiB，最多 100 个节点；一次汇总全部格式、字段、地址、端口、重复 endpoint 和节点数量问题。
+- `servers.txt` 使用 UTF-8 简洁中文表单，默认包含三个连续的 `【第 N 台服务器】` 区块。每个区块只显示“公网 IP：”“内网 IP：”“SSH 端口：22”“登录密码：”；超过三台时复制完整区块并连续编号。中文字段接受全角或半角冒号；为兼容已生成的文件，读取时仍接受旧的 `[server-N]`、`public_ip`、`private_ip`、`ssh_port` 和 `password` 格式。每台服务器可使用不同端口，SSH 端口范围为 1-65535，不要求为 22。文件最大 1 MiB，最多 100 个节点；一次汇总全部格式、字段、地址、端口、重复 endpoint 和节点数量问题。
 - `servers.txt` 必须是当前用户拥有的普通文件；POSIX 权限精确为 `0600`，Windows 使用仅当前用户可读写的 ACL。通过受保护 descriptor 读取并拒绝符号链接、替换、读取期间变化、非法 UTF-8、NUL/控制字符和超限内容。校验失败时保留同一文件供修改，不创建 YAML 或产生 SSH/下载副作用。
 - 校验成功后自动生成受保护的 `cluster.yaml`：节点依次命名为 node1...nodeN，node1 为 bootstrap；前三台自动承担 etcd/master，全部节点承担 worker/rbd-chaos，前两台承担 rbd-gateway，node1 承担 nfs-server。使用内置 NFS、内置数据库和内置镜像仓库的最小配置。用户不选择或修改节点角色。
 - SSH 前先展示不含凭据的完整逐节点角色拓扑摘要，包括节点数、每节点角色、bootstrap、存储模式和受保护配置路径。密码只保存在受保护的本地 `servers.txt`、自动生成的 `cluster.yaml` 和 ROI 安装/恢复所需的受保护远端配置中。允许内部 `parseHostServerInput` 返回的 host 对象携带 `password`，仅供生成受保护的 `cluster.yaml` 和后续 ROI 安装。对外用户消息、状态、遥测、日志、错误和对外返回值不得反射密码或原始输入，所有对外摘要都不含凭据；日志仍对 password、database、registry、token、secret 等字段脱敏。

package/rainbond-platform-installer/scripts/host-cluster-installer.js

@@ -28,6 +28,18 @@ const MAX_SERVER_INPUT_BYTES = 1024 * 1024;
 const MAX_SERVER_INPUT_HOSTS = 100;
 const MAX_SERVER_INPUT_ISSUES = 200;
 const SERVER_INPUT_FIELDS = ["public_ip", "private_ip", "ssh_port", "password"];
+const SERVER_INPUT_FIELD_LABELS = Object.freeze({
+  public_ip: "公网 IP",
+  private_ip: "内网 IP",
+  ssh_port: "SSH 端口",
+  password: "登录密码",
+});
+const SERVER_INPUT_CHINESE_FIELDS = new Map([
+  ["公网IP", "public_ip"],
+  ["内网IP", "private_ip"],
+  ["SSH端口", "ssh_port"],
+  ["登录密码", "password"],
+]);
 const SERVER_INPUT_VALIDATION_ERROR = "servers.txt 解析结果无效";
 const CHILD_OUTPUT_LIMIT_ERROR = "子进程输出超过安全上限";
 const TEMPLATE_ADDRESSES = new Map([
@@ -76,20 +88,15 @@ function renderHostClusterConfigPrompt({ configPath, platform = process.platform
 
 function createHostServerInputTemplate() {
   const heading = [
-    "# Rainbond 多节点服务器信息",
-    "# 密码只写入受保护的本地和远端安装文件，不会写入聊天、日志或状态；不要填写私钥或 Token。",
-    "# 超过三台服务器时，复制完整的 [server-N] 区块并按顺序编号。",
+    "# 没有公网 IP 时，公网 IP 和内网 IP 填写相同地址",
+    "# 增加服务器时，复制完整的一组并连续编号",
   ];
   const sections = Array.from({ length: 3 }, (_, index) => [
-    `[server-${index + 1}]`,
-    "# 公网 IP：控制端通过 SSH 访问该服务器的地址；没有独立公网 IP 时可与内网 IP 相同",
-    "public_ip=",
-    "# 内网 IP：集群节点之间通信使用的地址",
-    "private_ip=",
-    "# SSH 端口：按服务器实际端口填写，不要求为 22",
-    "ssh_port=22",
-    "# root 密码：保留所有特殊字符；不要添加引号",
-    "password=",
+    `【第 ${index + 1} 台服务器】`,
+    "公网 IP：",
+    "内网 IP：",
+    "SSH 端口：22",
+    "登录密码：",
   ].join("\n"));
   return Buffer.from(`${heading.join("\n")}\n\n${sections.join("\n\n")}\n`, "utf8");
 }
@@ -120,11 +127,7 @@ function renderHostServerInputPrompt({ inputPath, platform = process.platform, i
     hostServerInputOpenCommand(inputPath, platform),
     "```",
     "",
-    "请为每台服务器填写 public_ip、private_ip、ssh_port 和 password。",
-    "- 公网 IP：控制端 SSH 地址；没有独立公网 IP 时可与内网 IP 相同。",
-    "- 内网 IP：节点通信地址。",
-    "- SSH 端口：填写每台服务器的实际端口，不强制为 22。",
-    "- root 密码：只写入受保护的本地和远端安装文件，不得发送到聊天。",
+    "请在文件中填写每台服务器的公网 IP、内网 IP、SSH 端口和登录密码。",
     "密码只写入受保护的本地和远端安装文件，不会写入聊天、日志或状态；不要填写私钥或 Token。",
     "",
     "编辑完成后回复“已完成”，我会检查全部服务器信息。",
@@ -321,6 +324,27 @@ function normalizeServerInputAddress(value) {
   return value.toLowerCase();
 }
 
+function parseServerInputSection(line) {
+  const value = line.trim();
+  const legacy = /^\[server-(\d+)\]$/.exec(value);
+  if (legacy) return { number: Number(legacy[1]), numberText: legacy[1] };
+  const chinese = /^【第\s*(\d+)\s*台服务器】$/.exec(value);
+  if (chinese) return { number: Number(chinese[1]), numberText: chinese[1] };
+  return null;
+}
+
+function parseServerInputField(line) {
+  const legacy = /^\s*(public_ip|private_ip|ssh_port|password)\s*=(.*)$/.exec(line);
+  if (legacy) return { field: legacy[1], rawValue: legacy[2] };
+
+  const chinese = /^\s*(公网\s*IP|内网\s*IP|SSH\s*端口|登录密码)\s*[：:](.*)$/.exec(line);
+  if (!chinese) return null;
+  return {
+    field: SERVER_INPUT_CHINESE_FIELDS.get(chinese[1].replace(/\s/g, "")),
+    rawValue: chinese[2],
+  };
+}
+
 function parseHostServerInput(input) {
   const bytes = Buffer.isBuffer(input) ? input : Buffer.from(String(input || ""), "utf8");
   const issues = [];
@@ -367,7 +391,7 @@ function parseHostServerInput(input) {
     const line = lines[lineIndex].endsWith("\r") ? lines[lineIndex].slice(0, -1) : lines[lineIndex];
     if (line.trim() === "" || line.trimStart().startsWith("#")) continue;
 
-    const sectionMatch = /^\[server-(\d+)\]$/.exec(line);
+    const sectionMatch = parseServerInputSection(line);
     if (sectionMatch) {
       if (sections.length >= MAX_SERVER_INPUT_HOSTS) {
         add("servers.txt 最多允许 100 个节点区块");
@@ -376,57 +400,54 @@ function parseHostServerInput(input) {
         continue;
       }
       current = {
-        number: Number(sectionMatch[1]),
-        numberText: sectionMatch[1],
+        number: sectionMatch.number,
+        numberText: sectionMatch.numberText,
         line: lineNumber,
         fields: new Map(),
       };
       sections.push(current);
       continue;
     }
-    if (line.startsWith("[") && line.endsWith("]")) {
+    const trimmedLine = line.trim();
+    if ((trimmedLine.startsWith("[") && trimmedLine.endsWith("]"))
+      || (trimmedLine.startsWith("【") && trimmedLine.endsWith("】"))) {
       add(`第 ${lineNumber} 行是未知区块`);
       current = null;
       continue;
     }
 
-    const separator = line.indexOf("=");
-    if (separator < 0) {
+    const parsedField = parseServerInputField(line);
+    if (!parsedField) {
       add(`第 ${lineNumber} 行字段格式无效`);
       continue;
     }
     if (!current) {
-      add(`第 ${lineNumber} 行字段不属于任何 server 区块`);
-      continue;
-    }
-    const field = line.slice(0, separator);
-    if (!SERVER_INPUT_FIELDS.includes(field)) {
-      add(`第 ${lineNumber} 行包含未知字段`);
+      add(`第 ${lineNumber} 行字段不属于任何服务器区块`);
       continue;
     }
+    const { field, rawValue } = parsedField;
     if (current.fields.has(field)) {
-      add(`第 ${lineNumber} 行的 ${field} 字段重复`);
+      add(`第 ${lineNumber} 行的${SERVER_INPUT_FIELD_LABELS[field]}字段重复`);
       continue;
     }
-    const rawValue = line.slice(separator + 1);
     current.fields.set(field, field === "password" ? rawValue : rawValue.trim());
   }
 
-  if (sections.length < 3) add("servers.txt 至少需要 3 个节点区块");
+  if (sections.length < 3) add("servers.txt 至少需要 3 个服务器区块");
   const sectionNumbers = new Set();
   for (let index = 0; index < sections.length; index += 1) {
     const section = sections[index];
-    const label = `server-${section.number}`;
-    if (sectionNumbers.has(section.number)) add(`第 ${section.line} 行的 ${label} 区块重复`);
+    const label = `第 ${section.number} 台服务器`;
+    if (sectionNumbers.has(section.number)) add(`第 ${section.line} 行的${label}区块重复`);
     sectionNumbers.add(section.number);
-    if (section.numberText !== String(index + 1)) add(`第 ${section.line} 行的区块编号必须从 server-1 开始连续`);
+    if (section.numberText !== String(index + 1)) add(`第 ${section.line} 行的区块编号必须从第 1 台服务器开始连续`);
     for (const field of SERVER_INPUT_FIELDS) {
       if (!section.fields.has(field)) {
-        add(`${label} 的 ${field} 字段缺失`);
+        add(`${label}的${SERVER_INPUT_FIELD_LABELS[field]}字段缺失`);
       } else if (field === "password" && section.fields.get(field).trim() === "") {
-        add(`${label} 的 password 未填写或只有空白`);
+        add(`${label}的登录密码未填写或只有空白`);
       } else if (field !== "password" && section.fields.get(field) === "") {
-        add(`${label} 的 ${field} 字段未填写`);
+        add(`${label}的${SERVER_INPUT_FIELD_LABELS[field]}未填写`);
       }
     }
   }
@@ -442,7 +463,7 @@ function parseHostServerInput(input) {
   for (let index = 0; index < sections.length; index += 1) {
     const section = sections[index];
     const host = hosts[index];
-    const label = `server-${section.number}`;
+    const label = `第 ${section.number} 台服务器`;
     const publicIp = section.fields.get("public_ip");
     const privateIp = section.fields.get("private_ip");
     const portText = section.fields.get("ssh_port");
@@ -456,16 +477,16 @@ function parseHostServerInput(input) {
     const privateValid = privateNormalized !== null;
     const portValid = typeof portText === "string" && /^\d+$/.test(portText)
       && Number.isInteger(host.sshPort) && host.sshPort >= 1 && host.sshPort <= 65535;
-    if (typeof publicIp === "string" && publicIp !== "" && !publicValid) add(`${label} 的 public_ip 地址无效`);
-    if (typeof privateIp === "string" && privateIp !== "" && !privateValid) add(`${label} 的 private_ip 地址无效`);
-    if (typeof portText === "string" && portText !== "" && !portValid) add(`${label} 的 ssh_port 必须是 1 到 65535 的整数`);
+    if (typeof publicIp === "string" && publicIp !== "" && !publicValid) add(`${label}的公网 IP 地址无效`);
+    if (typeof privateIp === "string" && privateIp !== "" && !privateValid) add(`${label}的内网 IP 地址无效`);
+    if (typeof portText === "string" && portText !== "" && !portValid) add(`${label}的 SSH 端口必须是 1 到 65535 的整数`);
     if (publicValid && portValid) {
       const endpoint = `${publicNormalized}\0${host.sshPort}`;
-      if (sshEndpoints.has(endpoint)) add(`${label} 的 SSH endpoint 与前面的区块重复`);
+      if (sshEndpoints.has(endpoint)) add(`${label}的 SSH 地址和端口与前面的区块重复`);
       sshEndpoints.add(endpoint);
     }
     if (privateValid) {
-      if (privateAddresses.has(privateNormalized)) add(`${label} 的 private_ip 与前面的区块重复`);
+      if (privateAddresses.has(privateNormalized)) add(`${label}的内网 IP 与前面的区块重复`);
       privateAddresses.add(privateNormalized);
     }
   }

package/rainbond-platform-installer/scripts/installed-version.js

@@ -1,5 +1,5 @@
 "use strict";
 
 module.exports = Object.freeze({
-  version: "0.1.13",
+  version: "0.1.15",
 });

package/rainbond-platform-installer/scripts/platform-installer.js

@@ -2680,7 +2680,7 @@ async function waitForHostClusterConfiguration({ write = (value) => process.stdo
   writeUserMessage(
     write,
     "platform.host-cluster-configuration",
-    "多节点主机集群模式已选择。Rainskills 将生成带中文说明的受保护 servers.txt；填写服务器信息后，会自动生成集群配置。",
+    "多节点主机集群模式已选择。Rainskills 将生成受保护的中文 servers.txt 表单；填写服务器信息后，会自动生成集群配置。",
   );
   return { waiting: true };
 }

package/rainbond-platform-query/SKILL.md

@@ -20,7 +20,7 @@ Node.js 前置检查通过后，平台只读查询只执行一次本地 `rainski
 
 第一步检查 Node.js 是否存在且主版本不低于 18。Node.js 缺失或低于 18 时，只说明“Rainskills 执行组件需要 Node.js 18 或更高版本”并停止：不选择运行环境，不调用 MCP，不猜测替代命令。只有用户或 agent 明确同意后才安装或升级 Node.js，再从同一原始 intent 继续。
 
-固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.13`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
+固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.15`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
 
 本地 launcher 必须从当前 Skill 所在目录的同级目录定位 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后使用 `["node", "<绝对路径>"]` 执行。仅在用户明确指定环境时使用 `environment list`；`runtime message` 仍使用本地 launcher。本地 launcher 只读取已安装文件和本机受保护状态，不得访问 npm 或其它网络。
 
@@ -32,7 +32,7 @@ Node.js 前置检查通过后，平台只读查询只执行一次本地 `rainski
 ```json
 {
   "schema": "rainskills.skill-runtime-contract.v1",
-  "package_version": "rainskills@0.1.13",
+  "package_version": "rainskills@0.1.15",
     "launcher": ["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"],
   "local_launcher": ["node", "<installed-skills-root>/rainbond-platform-installer/scripts/local-runtime.js"],
   "local_argv": {

package/rainbond-project-init/SKILL.md

@@ -18,7 +18,7 @@ description: "Use only when the user explicitly asks to initialize or link a loc
 
 第一步检查 Node.js 是否存在且主版本不低于 18。Node.js 缺失或低于 18 时，只说明“Rainskills 执行组件需要 Node.js 18 或更高版本”并停止：不选择运行环境，不调用 MCP，不猜测替代命令。只有用户或 agent 明确同意后才安装或升级 Node.js，再从同一原始 intent 继续。
 
-固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.13`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
+固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.15`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
 
 本地 launcher 必须从当前 Skill 所在目录的同级目录定位 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后使用 `["node", "<绝对路径>"]` 执行。`environment list`、`operation begin`、`operation complete` 和 `runtime message` 只能使用本地 launcher；本地 launcher 只读取已安装文件和本机受保护状态，不得访问 npm 或其它网络。只有用户选定连接或安装运行环境后，才使用上面的固定本地 launcher。
 
@@ -30,7 +30,7 @@ description: "Use only when the user explicitly asks to initialize or link a loc
 ```json
 {
   "schema": "rainskills.skill-runtime-contract.v1",
-  "package_version": "rainskills@0.1.13",
+  "package_version": "rainskills@0.1.15",
     "launcher": ["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"],
   "local_launcher": ["node", "<installed-skills-root>/rainbond-platform-installer/scripts/local-runtime.js"],
   "local_argv": {

package/rainbond-template-installer/SKILL.md

@@ -18,7 +18,7 @@ description: "Use when the user explicitly asks to install a local or cloud Rain
 
 第一步检查 Node.js 是否存在且主版本不低于 18。Node.js 缺失或低于 18 时，只说明“Rainskills 执行组件需要 Node.js 18 或更高版本”并停止：不选择运行环境，不调用 MCP，不猜测替代命令。只有用户或 agent 明确同意后才安装或升级 Node.js，再从同一原始 intent 继续。
 
-固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.13`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
+固定 launcher 是 `["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"]`；运行包版本标记为 `rainskills@0.1.15`，且必须与本技能包 `package.json` 一致。把 launcher 与参数拼成 argv 数组直接执行，禁止 `rainskills@latest` 或执行 shell 字符串。
 
 本地 launcher 必须从当前 Skill 所在目录的同级目录定位 `rainbond-platform-installer/scripts/local-runtime.js`，解析为绝对路径后使用 `["node", "<绝对路径>"]` 执行。`environment list`、`operation begin`、`operation complete` 和 `runtime message` 只能使用本地 launcher；本地 launcher 只读取已安装文件和本机受保护状态，不得访问 npm 或其它网络。只有用户选定连接或安装运行环境后，才使用上面的固定本地 launcher。
 
@@ -30,7 +30,7 @@ description: "Use when the user explicitly asks to install a local or cloud Rain
 ```json
 {
   "schema": "rainskills.skill-runtime-contract.v1",
-  "package_version": "rainskills@0.1.13",
+  "package_version": "rainskills@0.1.15",
     "launcher": ["node", "<home>/.rainbond/lib/rainskills/bin/rainskills.js"],
   "local_launcher": ["node", "<installed-skills-root>/rainbond-platform-installer/scripts/local-runtime.js"],
   "local_argv": {