sino-bc-cli 1.0.0-beta.0

package/dist/skills/sino-bc-shared/references/skill-lifecycle.md

@@ -0,0 +1,17 @@
+# 技能安装、升级与恢复
+
+`/init` 只安装或刷新技能，不问网关、不写令牌。
+
+升级已安装的 CLI 用 `/update`（核对安装格式后拉取 latest，并自动 `/init`）。只刷新本机技能仍用 `/init`。默认通用根为 `~/.agents/skills`，本机存在 `~/.claude` 时另装 `~/.claude/skills`；其它路径用 `sino-bc-cli /skill target add|list|remove` 显式管理。
+
+每个目标下 API 域位于 `sino-bc-cli/domains/<name>/`，shared 和专家顶层独立。具体查询从导航索引按需读取域，策略生成等任务直接选专家；根导航只提供概览。安装会整目录替换 `sino-bc-cli`、`sino-bc-shared`，专家按有效旧名单与当前名单的并集清理并重新安装。旧名单不存在、损坏、不可读或无法识别时降级当前包专家名单；无法识别的退役专家保留。同名目录中的本地修改会被替换，缺失目录重新安装；不按前缀删除其它技能。新包先校验暂存，旧目录备份后替换；成功保存新专家名单，失败恢复原内容并保留未完成的恢复信息。任一目标失败即未完成，查看 `target list` 的完整性或恢复状态并重试原操作。`/init` 可继续已有 add 事务的目标登记，不新增凭证或业务配置；remove/uninstall 的失败必须重试对应命令。
+
+新通用目标成功后，清理未登记的历史位置 `~/.codex/skills`、`~/.cursor/skills`：固定目录整清理，专家沿用上述名单并集及降级规则；仅剩 shared 或专家也会处理。已登记或实际路径属于生效目标的目录只刷新，不作为旧位置清理；范围外技能、凭证和配置保留。清理失败或中断后重试 `/init`，按原事务快照继续，不扩大范围；实际删除失败仍报告未完成。
+
+## 移除与卸载
+
+`/skill target remove <目录>` 清理已登记目标并移除登记，失败时保留恢复信息，重试该命令；不要用 `/init` 代替删除恢复。
+
+`/uninstall` 清理身份、受管技能和配置，默认随后卸载全局 npm 包。`--keep-cli` 只保留 CLI，不保留配置。非交互环境缺少 `--yes` 时返回 `confirmation_required`（退出码 10）；TTY 会展示清理范围并询问。执行前明确用户已授权该清理范围，不能套用“普通 write 无需确认”。卸载失败按提示重试原命令，技能清理失败时不会继续删除配置或 npm 包。
+
+`/skill target list` 检查安装完整性及恢复状态；操作忙或冲突时处理提示后重试原操作，不手动扩大删除范围。首次跨安装格式的升级步骤以当前 CLI 提示和 README 为准，不能自动降级旧包。

package/dist/skills/sino-bc-shared/references/tenant-context.md

@@ -0,0 +1,21 @@
+# 主体上下文
+
+首次处理接口 `_meta.tenant=true`、需要建立或重新绑定时，先执行 `sino-bc-cli /auth status --json`，从成功信封的 `data.authContextId` 取得认证上下文，再执行 `sino-bc-cli /tenant list` 查询当前身份的完整可用主体列表。`data.localStatus` 仅为本地判断；`refresh_needed` 时由后续真实调用自动尝试刷新，不预先登录，其它状态按[环境与配置](config-and-env.md)处理。按任务明确的主体在候选中匹配：唯一匹配时自动绑定，有歧义或目标不可用时向用户澄清。每次 `/tenant list` 都现查，不缓存全局选择。
+
+在当前任务或对话中成对保存主体 ID 与认证上下文，每次调用显式传入 `--corporation-id <主体ID> --auth-context-id <认证上下文ID>`；跨主体任务按调用分别绑定。两个 flag 不放进 `--data`，不写全局主体配置，也不能从 `identity-cache.json` 的 passport map 回填。接口 schema 声明的业务字段仍放 `--data`，例如 `user +tenant-info` 的 `corporationId`、项目分析的 `corporationIdList`，不能用上下文 flag 代替。
+
+当前任务已按上述步骤建立的完整绑定，在目标主体与认证上下文未变时可复用；不要求每次调用重新运行 `/auth status` 或 `/tenant list`。目标主体变化时重新查询并唯一匹配，不能沿用其他主体的绑定。
+
+重新登录或 `authContextId` 变化后，清除整对旧绑定，重新执行 `/auth status --json` 和 `/tenant list`，按任务目标唯一匹配后重新绑定；不能保留旧主体 ID、只换认证标记。正常同身份令牌续期、仅更新 RT 或修改网关地址不会使已有绑定失效。
+
+| 失败原因 | 处理方式 |
+| --- | --- |
+| `context_required` | 可补齐已有完整有效绑定；没有有效绑定时按上面的步骤确定主体 |
+| `auth_context_changed` | 清除整对旧绑定，重新查询并匹配当前身份的主体 |
+| `auth_required` | 先按[鉴权恢复](auth-recovery.md)完成授权，再建立主体绑定 |
+| `no_available_corporation` | 停止并告知用户联系管理员；不要补 flag 重试，也不要再走 `/tenant list` 绑定 |
+| `corporation_required`（17000048） | 服务端报告缺主体：查看当前身份与可用主体，成对补齐参数，只继续当前失败操作；已带齐仍失败时核对 `/schema` 与 CLI 版本，停止反复选主体并交由维护者核验接口 tenant 标识；如需升级 CLI，按已有升级授权及[技能生命周期](skill-lifecycle.md)处理，不据此自行同步或修改契约 |
+
+前四项来自 `error.params[].reason`；`corporation_required` 是 `error.type=api` 的服务端错误。CLI 不自动选择主体、补认证标记或改变 catalog 的 tenant 标识。`--yes` 不能绕过主体校验或空列表阻断。
+
+`corporation_forbidden` 是权限拒绝，不是缺少参数；按[鉴权恢复](auth-recovery.md)核对当前任务的主体与权限，不切换到其他主体绕过。

package/dist/skills/sino-bc-shared/references/write-approval.md

@@ -0,0 +1,16 @@
+# 高风险写确认
+
+确认门只适用于 catalog `risk=high-risk-write` 的业务 Shortcut 与 `api <name>`，接口标记为 ⚠️。普通 `write` 在必要参数与校验通过后直接执行，不需要 `--yes`。`/uninstall` 等生命周期命令沿用各自确认规则，不按业务风险分类推断。
+
+发业务请求前须通过身份、主体、path、method 和输入形状等校验；校验失败不是待确认。真实调用缺少主体绑定时可能先探查主体列表，仍不得发送该业务请求。`--yes` 表示已获用户确认，不能绕过这些校验。
+
+| 调用方式 | 行为 |
+| --- | --- |
+| `--dry-run` | 可选的本地请求组装检查，不发 HTTP、不刷新令牌、不探查主体列表；不能证明真实写入成功 |
+| 高风险写未传 `--yes`，TTY | 展示动作与关键参数，交互确认 |
+| 高风险写未传 `--yes`，非 TTY | 返回 `confirmation_required`，退出码 10，尚未执行该业务写入 |
+| 高风险写已传 `--yes` | 必要校验通过后执行已确认的动作 |
+
+Agent 必须确认用户已明确授权本次动作、目标主体及关键参数；已有授权且范围未变时可沿用，不机械重复询问。缺少授权或操作范围变化时，说明动作与关键参数并取得明确同意，再在命令末尾追加 `--yes`；不得为消除报错而静默追加。不要把文档示例 ID 当作真实数据提交。
+
+主体校验失败时按[主体上下文](tenant-context.md)处理；`/uninstall` 等命令转[技能生命周期](skill-lifecycle.md)，不能因同为退出码 10 就按业务风险分类处理。

package/package.json

@@ -0,0 +1,70 @@
+{
+  "name": "sino-bc-cli",
+  "version": "1.0.0-beta.0",
+  "description": "BeyondClick CLI - 命令行工具集合，提供快捷访问 BeyondClick 平台的命令行接口",
+  "preferGlobal": true,
+  "bin": {
+    "sino-bc-cli": "dist/index.js"
+  },
+  "main": "dist/index.js",
+  "files": [
+    "dist/",
+    "README.md",
+    "LICENSE",
+    "scripts/postinstall.cjs"
+  ],
+  "publishConfig": {
+    "access": "public",
+    "registry": "https://registry.npmjs.org/"
+  },
+  "scripts": {
+    "build": "node --experimental-strip-types scripts/build.ts",
+    "build:no-mangle": "node --experimental-strip-types scripts/build.ts --no-mangle",
+    "typecheck": "tsc --noEmit",
+    "test": "node --require ts-node/register --test \"tests/**/*.test.ts\"",
+    "sync-api-doc": "node --require ts-node/register src/catalog/sync/run-sync.ts",
+    "dev": "ts-node src/index.ts",
+    "start": "node dist/index.js",
+    "clean": "rimraf dist",
+    "rebuild": "npm run clean && npm run build",
+    "postinstall": "node scripts/postinstall.cjs",
+    "prepublishOnly": "npm run sync-api-doc && npm run rebuild",
+    "prepack": "npm run build",
+    "publish:local": "node --experimental-strip-types scripts/publish.ts",
+    "publish:local:dry": "node --experimental-strip-types scripts/publish.ts --dry-run",
+    "publish:beta": "node --experimental-strip-types scripts/publish.ts --tag beta",
+    "publish:beta:dry": "node --experimental-strip-types scripts/publish.ts --tag beta --dry-run",
+    "sync-skill-index": "node --require ts-node/register scripts/sync-skill-index.ts"
+  },
+  "engines": {
+    "node": ">=24.0.0"
+  },
+  "keywords": [
+    "beyondclick",
+    "cli",
+    "command-line",
+    "sino-bc-cli"
+  ],
+  "author": "BeyondClick",
+  "license": "MIT",
+  "dependencies": {
+    "@napi-rs/keyring": "^2.0.0",
+    "axios": "^1.7.0",
+    "chalk": "^4.1.2",
+    "commonmark": "0.31.2",
+    "dayjs": "^1.11.11",
+    "fs-native-extensions": "^1.5.1",
+    "lodash": "^4.17.21",
+    "open": "^8.4.2"
+  },
+  "devDependencies": {
+    "@types/lodash": "^4.17.5",
+    "@types/node": "^22.0.0",
+    "esbuild": "^0.28.2",
+    "javascript-obfuscator": "^5.6.0",
+    "rimraf": "^5.0.7",
+    "ts-node": "^10.9.2",
+    "typescript": "^5.5.0"
+  },
+  "sinoBcSkillFormat": 3
+}

package/scripts/postinstall.cjs

@@ -0,0 +1,36 @@
+/**
+ * npm 安装后自动注册 Agent 技能
+ * 使用 .cjs：scripts/package.json 为 "type": "module"，.js 无法使用 require
+ * dist 不存在时（本地尚未 build）静默跳过，避免打断 npm install
+ * 注册失败也不让安装失败，用户可随后执行 sino-bc-cli /init
+ */
+'use strict';
+
+const { existsSync } = require('fs');
+const { join } = require('path');
+const { spawnSync } = require('child_process');
+
+const cliEntry = join(__dirname, '..', 'dist', 'index.js');
+
+if (!existsSync(cliEntry)) {
+  process.exit(0);
+}
+
+const result = spawnSync(process.execPath, [cliEntry, '/init', '--quiet'], {
+  encoding: 'utf8',
+  stdio: ['ignore', 'pipe', 'pipe'],
+  // update 的内部 init 租约随当前环境传递，脚本不生成或扩大授权。
+  env: { ...process.env },
+  windowsHide: true,
+});
+
+if (result.error || result.status !== 0) {
+  let detail = result.error?.message ?? String(result.stderr ?? '').trim();
+  try {
+    const failure = JSON.parse(detail);
+    detail = [failure.error?.message, JSON.stringify(failure.error?.details)].filter(Boolean).join(' ');
+  } catch { /* 启动失败可能不是 JSON，保留其错误信息供排障。 */ }
+  console.warn(`[sino-bc-cli] 技能自动注册未完成，请手动执行: sino-bc-cli /init；${detail || `退出码 ${result.status}`}`);
+}
+
+process.exit(0);