weaver-work-cli 0.1.22 → 0.1.23

package/dist/shortcuts/meeting/operations/change.js

@@ -1,7 +1,7 @@
 import { createHash } from 'node:crypto';
 import { meetingConfirmationError, meetingPartialError, meetingValidationError } from '../errors.js';
 import { meetingSuccess, SCHEMA_DATETIME_MINUTE, SCHEMA_ID } from './types.js';
-import { assertDateTimeMinute, extractRows, toIdCsv, toIdString } from './shared.js';
+import { assertDateTimeMinute, extractRows, mergeSnapshot, toIdCsv, toIdString } from './shared.js';
 const CONTINUATION_TTL_SECONDS = 600;
 const LIST_PATH = '/api/meeting/search/getMeetingList';
 function fingerprint(value) {
@@ -202,15 +202,18 @@ const meetingChangeApply = {
             caller: SCHEMA_ID,
             contacter: SCHEMA_ID,
         },
-        required: ['confirm', 'continuation', 'id'],
+        required: ['confirm', 'continuation'],
     },
     handler: async (args, env) => {
         requireConfirm(args, 'meeting.change.apply');
         const lease = await verifyLease(args, 'meeting.change.apply', env);
-        const body = normalizeChangeInput(args);
+        // 只传 confirm+continuation 时用 prepare 快照（含 prepare 时算好的 id / 字段）；
+        // 传入字段则覆盖快照，仍由 fingerprint 决定是否 target_changed。
+        const merged = mergeSnapshot(lease.payload, args);
+        const { operateType: leaseOperateType, ...mergedBody } = merged;
+        const body = normalizeChangeInput(mergedBody);
         const id = String(body.id);
         const { operateType, mtStatus } = await resolveOperateType(id, env, 'meeting.change.apply');
-        const leaseOperateType = lease.payload?.operateType;
         if (leaseOperateType && leaseOperateType !== operateType) {
             throw meetingValidationError('target_changed', `会议状态已变化（prepare 时按 ${leaseOperateType}、当前按 ${operateType}，当前状态：${mtStatus}），请重新执行 prepare 并向用户确认`);
         }

package/dist/shortcuts/meeting/operations/create.js

@@ -1,7 +1,7 @@
 import { createHash } from 'node:crypto';
 import { meetingConflictError, meetingConfirmationError, meetingPartialError, meetingValidationError } from '../errors.js';
 import { meetingSuccess, SCHEMA_DATETIME_MINUTE, SCHEMA_ID } from './types.js';
-import { assertDateTimeMinute, extractConflict, toIdCsv, toIdString, } from './shared.js';
+import { assertDateTimeMinute, extractConflict, mergeSnapshot, toIdCsv, toIdString, } from './shared.js';
 const CONTINUATION_TTL_SECONDS = 600;
 function fingerprint(value) {
     return createHash('sha256').update(JSON.stringify(value ?? null)).digest('hex').slice(0, 32);
@@ -309,13 +309,15 @@ const meetingCreateApply = {
             repeatDesc: { type: 'string' },
             serviceItems: { type: 'string' },
         },
-        required: ['confirm', 'continuation', 'name', 'beginDatetime', 'endDatetime'],
+        required: ['confirm', 'continuation'],
     },
     handler: async (args, env) => {
         requireConfirm(args, 'meeting.create.apply');
         const lease = await verifyLease(args, 'meeting.create.apply', env);
         const session = await env.host.getSession();
-        const body = normalizeCreateInput(args, session.userId);
+        // 只传 confirm+continuation 时用 prepare 快照（用户已确认的内容）；传入其它字段则作为覆盖，
+        // 由下面的 fingerprint 校验决定是否 target_changed。
+        const body = normalizeCreateInput(mergeSnapshot(lease.payload, args), session.userId);
         if (lease.fingerprint !== fingerprint(body)) {
             throw meetingValidationError('target_changed', '会议内容与 prepare 时的快照不一致，请重新执行 prepare');
         }

package/dist/shortcuts/meeting/operations/eb/decision.js

@@ -21,6 +21,13 @@ import { meetingPartialError, meetingValidationError } from '../../errors.js';
 import { toIdString } from '../shared.js';
 const CONTINUATION_TTL_SECONDS = 600;
 const DATE_PATTERN = '^\\d{4}-\\d{2}-\\d{2} \\d{2}:\\d{2}$';
+/** 本地时间的 yyyy-MM-dd HH:mm:ss（EB 的签到/完成时间字段要求带秒）。 */
+function formatSecondNow() {
+    const now = new Date();
+    const pad = (value) => String(value).padStart(2, '0');
+    return `${now.getFullYear()}-${pad(now.getMonth() + 1)}-${pad(now.getDate())} `
+        + `${pad(now.getHours())}:${pad(now.getMinutes())}:${pad(now.getSeconds())}`;
+}
 /** 决议状态：0未决议 / 1决议临时保存 / 2决议提交完成。 */
 const DECISION_DONE = '2';
 /** 会议状态「结束」：产生决议后会议即视为结束。 */
@@ -293,7 +300,19 @@ const signMarkPrepare = {
             throw meetingValidationError('sign_record_not_found', `未在该会议（${mtId}）中找到员工 ${userId} 的签到记录，无法补签。`
                 + '请先用 meeting.eb.sign.list 确认该会议是否已生成签到数据（若会议尚无签到记录，属建会初始化问题，需先用 meeting.eb.sign.create 初始化后再补签）。', { mtId, userId });
         }
-        const update = normalizeEbWrite(requireEndpoint('update_meeting_sign_info'), { ...args, id: recordId, mt_id: mtId }, session.userId);
+        // ⚠️ 2026-10-08 真机实测：只传 mt_id + user_id 时，update 里**没有任何时间字段**，
+        // 服务端照常返回成功、CLI 报 COMPLETE，但签到记录**一点没变**（静默无效）。
+        // 补签的语义就是"把签到时间补录为当前时间"，故缺省补当前时间，并明确告警；
+        // 补签退同理（只传 user_id 而不给 signback_time 时补当前时间）。
+        const warnings = [];
+        const patch = { ...args, id: recordId, mt_id: mtId };
+        if (patch.sign_time === undefined && patch.signback_time === undefined && patch.sign_out_status === undefined) {
+            const now = formatSecondNow();
+            patch.sign_time = now;
+            patch.is_sign = patch.is_sign ?? '1';
+            warnings.push(`未传签到时间：按"补签"语义使用当前时间 ${now}（如需指定时间请传 sign_time）`);
+        }
+        const update = normalizeEbWrite(requireEndpoint('update_meeting_sign_info'), patch, session.userId);
         const payload = { mtId, signRecordId: recordId, update };
         const token = await env.continuation.issue({
             operation: 'meeting.eb.sign.mark.apply',
@@ -316,10 +335,11 @@ const signMarkPrepare = {
             continuation: token,
             expiresInSeconds: CONTINUATION_TTL_SECONDS,
         }, {
+            warnings,
             meta: {
                 notes: [
                     '走的是**更新**（update_meeting_sign_info），不会新增签到记录。',
-                    '未传 sign_time 时签到时间仍为空，请按需补上。',
+                    '未传 sign_time / signback_time 时视为「补签」，由 CLI 用当前时间补上（preview.after 里可见实际写入值）。',
                 ],
             },
         });

package/dist/shortcuts/meeting/operations/lifecycle.js

@@ -1,7 +1,7 @@
 import { createHash } from 'node:crypto';
 import { meetingConfirmationError, meetingPartialError, meetingValidationError } from '../errors.js';
 import { meetingSuccess, SCHEMA_ID } from './types.js';
-import { assertMeetingExists, toIdString } from './shared.js';
+import { assertMeetingExists, mergeSnapshot, toIdString } from './shared.js';
 const CONTINUATION_TTL_SECONDS = 600;
 function fingerprint(value) {
     return createHash('sha256').update(JSON.stringify(value ?? null)).digest('hex').slice(0, 32);
@@ -84,14 +84,16 @@ function lifecyclePair(spec) {
             properties: {
                 confirm: { const: true },
                 continuation: { type: 'string', minLength: 1 },
-                id: { ...SCHEMA_ID, description: '会议 id（必须与 prepare 时一致）' },
+                id: { ...SCHEMA_ID, description: '会议 id（可选：省略时取 prepare 快照中的 id）' },
             },
-            required: ['confirm', 'continuation', 'id'],
+            required: ['confirm', 'continuation'],
         },
         handler: async (args, env) => {
             requireConfirm(args, applyName);
             const lease = await verifyLease(args, applyName, env);
-            const id = toIdString(args.id, 'id');
+            // 只传 confirm+continuation 时用 prepare 快照里的 id（与 create/change 的 apply 行为一致）。
+            const merged = mergeSnapshot(lease.payload, args);
+            const id = toIdString(merged.id, 'id');
             if (lease.fingerprint !== fingerprint({ id })) {
                 throw meetingValidationError('target_changed', '会议 id 与 prepare 时的快照不一致，请重新执行 prepare');
             }
@@ -129,11 +131,11 @@ export const meetingLifecycleOperations = [
     ...lifecyclePair({
         action: 'delete',
         resource: 'meeting',
-        summaryPrepare: '准备删除会议记录：回查会议存在性并生成确认预览，不写入（彻底删除）',
+        summaryPrepare: '准备删除会议记录：回查会议存在性并生成确认预览，不写入（软删：进回收站，可还原）',
         summaryApply: '提交删除会议记录（deleteMeetingDetail，源码为表单绑定，参数走 query）；必须在用户明确确认后调用',
         path: '/api/meeting/detail/deleteMeetingDetail',
         via: 'query',
         bodyOf: (id) => ({ id }),
-        note: '删除是彻底移除会议记录（区别于取消）；不可逆，需用户明确确认。服务端会按会议状态判定删除权限，无权限时返回“您没有删除权限！”。',
+        note: '删除是**软删**（服务端 update mt_detail set delete_type=2）：会议移入回收站、可从回收站还原，正常列表中不再出现；需要还原请引导用户到会议回收站页面操作（CLI 暂无还原能力）。服务端会按会议状态判定删除权限，无权限时返回“您没有删除权限！”。',
     }),
 ];

package/dist/shortcuts/meeting/operations/receipts.js

@@ -1,7 +1,7 @@
 import { createHash } from 'node:crypto';
 import { meetingPartialError, meetingValidationError } from '../errors.js';
 import { meetingSuccess, SCHEMA_ID } from './types.js';
-import { extractRows, toIdString } from './shared.js';
+import { extractRows, mergeSnapshot, pickBusinessInput, toIdString } from './shared.js';
 const CONTINUATION_TTL_SECONDS = 600;
 function fingerprint(value) {
     return createHash('sha256').update(JSON.stringify(value ?? null)).digest('hex').slice(0, 32);
@@ -30,7 +30,7 @@ const meetingReceiptList = {
     resource: 'receipt',
     method: 'receipt.list',
     action: 'meeting.receipt.list',
-    summary: '查询会议回执列表（getMeetingReceiptMemberInfoList；isMobile 缺省 false，缺失会导致后端 NPE）',
+    summary: '查询会议回执列表（getMeetingReceiptMemberInfoList；isMobile 缺省 false、memberType 缺省 1，二者缺失均会导致后端 NPE→500）',
     capability: 'receipt',
     risk: 'read',
     inputSchema: {
@@ -38,8 +38,8 @@ const meetingReceiptList = {
         additionalProperties: false,
         properties: {
             mtId: { ...SCHEMA_ID, description: '会议 id（必填）' },
-            memberType: { type: 'integer', enum: [1, 2, 3], description: '人员类型：1=人员 2=客户 3=其他（默认 1）' },
-            isMobile: { type: 'boolean', description: '移动端标记（默认 false）' },
+            memberType: { type: 'integer', enum: [1, 2, 3], description: '人员类型：1=人员 2=客户 3=其他（默认 1，**不传会导致后端 500**）' },
+            isMobile: { type: 'boolean', description: '移动端标记（默认 false，缺失会导致后端 NPE→500）' },
             current: { type: 'integer' },
             pageSize: { type: 'integer' },
         },
@@ -49,11 +49,12 @@ const meetingReceiptList = {
         const body = {
             mtId: toIdString(args.mtId, 'mtId'),
             isMobile: args.isMobile === undefined ? false : args.isMobile === true,
+            // 2026-10-08 真机实测（10.12.105.186）：**不传 memberType 必 500「系统内部错误」**，
+            // 传 1 即正常返回。历史文档只提醒了 isMobile，实际 memberType 同样不能缺省。
+            memberType: args.memberType === undefined ? 1 : args.memberType,
             current: typeof args.current === 'number' && args.current > 0 ? args.current : 1,
             pageSize: typeof args.pageSize === 'number' && args.pageSize > 0 ? args.pageSize : 50,
         };
-        if (args.memberType !== undefined)
-            body.memberType = args.memberType;
         const response = await host.request({
             method: 'POST',
             path: '/api/meeting/receiptMember/getMeetingReceiptMemberInfoList',
@@ -69,7 +70,9 @@ const meetingReceiptList = {
 // ---------------------------------------------------------------------------
 function normalizeReceiptUpdate(args) {
     const mtId = toIdString(args.mtId, 'mtId');
-    const memberId = toIdString(args.memberId, 'memberId');
+    // memberId 允许两种形态：人员 id（数字）或姓名文本 —— 列表返回的 `memberId` 字段其实是**姓名**
+    // （人员 id 在 `memberIdId`），若只接受数字会与列表结果自相矛盾（2026-10-08 真机实测）。
+    const memberId = toMemberSelector(args.memberId);
     const attendStatus = args.attendStatus;
     if (attendStatus !== 0 && attendStatus !== 1 && attendStatus !== 2) {
         throw meetingValidationError('attendStatus_invalid', 'attendStatus 仅允许 0=未填写 1=参加 2=不参加（回执"否"传 2）');
@@ -81,8 +84,24 @@ function normalizeReceiptUpdate(args) {
         ...(args.remark !== undefined ? { remark: String(args.remark) } : {}),
     };
 }
-/** 回查回执列表，按 memberId 定位回执记录 id（建会时后端自动生成，每参会人一条）。 */
-async function locateReceiptId(mtId, memberId, env) {
+/**
+ * 人员选择器：数字 → 人员 id；其它非空文本 → 姓名（用于按名字定位回执记录）。
+ * 列表返回里 `memberId` 是姓名、`memberIdId` 才是人员 id，故两种写法都要接受。
+ */
+function toMemberSelector(value) {
+    if (typeof value === 'number')
+        return toIdString(value, 'memberId');
+    if (typeof value === 'string') {
+        const trimmed = value.trim();
+        if (/^\d+$/u.test(trimmed))
+            return trimmed;
+        if (trimmed)
+            return trimmed;
+    }
+    throw meetingValidationError('memberId_invalid', 'memberId 必须是人员 id（数字）或参会人姓名');
+}
+/** 回查回执列表，按人员 id / 姓名定位回执记录 id（建会时后端自动生成，每参会人一条）。 */
+async function locateReceipt(mtId, memberId, env) {
     const response = await env.host.request({
         method: 'POST',
         path: '/api/meeting/receiptMember/getMeetingReceiptMemberInfoList',
@@ -90,11 +109,20 @@ async function locateReceiptId(mtId, memberId, env) {
         body: { mtId, memberType: 1, isMobile: false, current: 1, pageSize: 100 },
     });
     const { rows } = extractRows(response);
-    const hit = rows.find((row) => String(row?.memberId) === memberId);
+    // ⚠️ 列表行的字段语义（2026-10-08 真机实测）：`memberId` = 姓名、`memberIdId` = 人员 id。
+    // 老实现只比对 `memberId`，传入真实人员 id 永远匹配不到 ⇒ 回执更新不可用。
+    const hit = rows.find((row) => {
+        const byId = String(row?.memberIdId ?? '') === memberId;
+        const byName = String(row?.memberId ?? '').trim() === memberId;
+        return byId || byName;
+    });
     if (!hit || hit.id === undefined) {
-        throw meetingValidationError('receipt_not_found', `未找到该参会人（memberId=${memberId}）的回执记录，请先通过 meeting.receipt.list 核对`);
+        throw meetingValidationError('receipt_not_found', `未找到该参会人（memberId=${memberId}）的回执记录，请先通过 meeting.receipt.list 核对（列表中 memberId 是姓名、memberIdId 是人员 id）`);
     }
-    return String(hit.id);
+    return {
+        receiptId: String(hit.id),
+        memberIdResolved: String(hit.memberIdId ?? hit.memberId ?? memberId),
+    };
 }
 const meetingReceiptUpdatePrepare = {
     name: 'meeting.receipt.update.prepare',
@@ -110,7 +138,7 @@ const meetingReceiptUpdatePrepare = {
         additionalProperties: false,
         properties: {
             mtId: { ...SCHEMA_ID, description: '会议 id' },
-            memberId: { ...SCHEMA_ID, description: '参会人员 id（用于定位回执记录）' },
+            memberId: { type: 'string', description: '参会人员 id 或姓名（用于定位回执记录；列表里 memberId 是姓名、memberIdId 才是人员 id，两者都接受）' },
             attendStatus: { type: 'integer', enum: [0, 1, 2], description: '0=未填写 1=参加 2=不参加' },
             remark: { type: 'string', description: '备注（如"请假"）' },
         },
@@ -118,9 +146,10 @@ const meetingReceiptUpdatePrepare = {
     },
     handler: async (args, env) => {
         const normalized = normalizeReceiptUpdate(args);
-        const receiptId = await locateReceiptId(String(normalized.mtId), String(normalized.memberId), env);
+        const located = await locateReceipt(String(normalized.mtId), String(normalized.memberId), env);
         const session = await env.host.getSession();
-        const payload = { id: receiptId, ...normalized };
+        // 写请求 body 统一带**解析后的人员 id**（列表里的 memberId 是姓名，直接回传姓名对服务端无意义）。
+        const payload = { id: located.receiptId, ...normalized, memberId: located.memberIdResolved };
         const token = await env.continuation.issue({
             operation: 'meeting.receipt.update.apply',
             baseUrl: session.baseUrl,
@@ -153,18 +182,22 @@ const meetingReceiptUpdateApply = {
             confirm: { const: true },
             continuation: { type: 'string', minLength: 1 },
             mtId: SCHEMA_ID,
-            memberId: SCHEMA_ID,
+            memberId: { type: 'string' },
             attendStatus: { type: 'integer', enum: [0, 1, 2] },
             remark: { type: 'string' },
         },
-        required: ['confirm', 'continuation', 'mtId', 'memberId', 'attendStatus'],
+        required: ['confirm', 'continuation'],
     },
     handler: async (args, env) => {
         requireConfirm(args, 'meeting.receipt.update.apply');
         const lease = await verifyLease(args, 'meeting.receipt.update.apply', env);
-        const normalized = normalizeReceiptUpdate(args);
-        if (lease.fingerprint !== fingerprint(normalized)) {
-            throw meetingValidationError('target_changed', '回执内容与 prepare 时的快照不一致，请重新执行 prepare');
+        // 只传 confirm+continuation 时直接用 prepare 快照；传了业务字段则与快照合并后校验一致性。
+        const business = pickBusinessInput(args);
+        if (Object.keys(business).length > 0) {
+            const normalized = normalizeReceiptUpdate(mergeSnapshot(lease.payload, args));
+            if (lease.fingerprint !== fingerprint(normalized)) {
+                throw meetingValidationError('target_changed', '回执内容与 prepare 时的快照不一致，请重新执行 prepare');
+            }
         }
         const payload = lease.payload;
         let response;
@@ -178,7 +211,7 @@ const meetingReceiptUpdateApply = {
         }
         catch (error) {
             if (isNetworkError(error)) {
-                throw meetingPartialError('回执更新请求发送后连接中断，是否已生效不确定，禁止自动重试，请通过 meeting.receipt.list 复核', { attempted: { mtId: normalized.mtId, memberId: normalized.memberId } }, { stage: 'receipt-update' });
+                throw meetingPartialError('回执更新请求发送后连接中断，是否已生效不确定，禁止自动重试，请通过 meeting.receipt.list 复核', { attempted: { mtId: payload.mtId, memberId: payload.memberId } }, { stage: 'receipt-update' });
             }
             throw error;
         }

package/dist/shortcuts/meeting/operations/shared.js

@@ -61,6 +61,34 @@ export function toIdString(value, label) {
         return value;
     throw meetingValidationError('id_invalid', `${label} 必须是数字 id（超长 id 用字符串）`);
 }
+/** 取 apply 入参里的业务字段（排除 confirm/continuation）。 */
+export function pickBusinessInput(args) {
+    const out = {};
+    for (const [key, value] of Object.entries(args)) {
+        if (key === 'confirm' || key === 'continuation')
+            continue;
+        if (value === undefined)
+            continue;
+        out[key] = value;
+    }
+    return out;
+}
+/**
+ * 标准版 apply 的入参合并：**以 prepare 快照为基**，入参里的业务字段作为覆盖。
+ *
+ * 为什么需要：prepare 已经把「用户将要确认的内容」规范化后存进 continuation，而各 apply 的
+ * 入参 schema 又要求回传 name/beginDatetime/endDatetime 等业务字段 —— 文档与调用方习惯都是
+ * 「apply 只传 confirm + continuation」，于是出现「文档说只传两个参数，实际报 name 必填」的矛盾
+ * （2026-09-23、2026-10-08 两次真机踩到）。
+ *
+ * 语义：只传 confirm+continuation → 直接用快照（即预览过的内容）；
+ * 传入了不同值 → 合并后由 fingerprint 校验报 `target_changed`（提示重新 prepare），
+ * 因此不会绕过「确认过的内容」这道闸门。
+ */
+export function mergeSnapshot(snapshot, args) {
+    const base = snapshot && typeof snapshot === 'object' ? { ...snapshot } : {};
+    return { ...base, ...pickBusinessInput(args) };
+}
 /** 逗号分隔 id 串：接受数组或字符串，输出字符串。 */
 export function toIdCsv(value, label) {
     if (value === undefined || value === null || value === '')

package/dist/shortcuts/meeting/operations/signs.js

@@ -1,7 +1,7 @@
 import { createHash } from 'node:crypto';
 import { meetingConfirmationError, meetingPartialError, meetingValidationError } from '../errors.js';
 import { meetingSuccess, SCHEMA_ID } from './types.js';
-import { extractRows, toIdString } from './shared.js';
+import { extractRows, mergeSnapshot, pickBusinessInput, toIdString } from './shared.js';
 const CONTINUATION_TTL_SECONDS = 600;
 function fingerprint(value) {
     return createHash('sha256').update(JSON.stringify(value ?? null)).digest('hex').slice(0, 32);
@@ -212,13 +212,23 @@ function signWritePair(spec) {
                 continuation: { type: 'string', minLength: 1 },
                 ...inputProps,
             },
-            required: ['confirm', 'continuation', 'id'],
+            required: ['confirm', 'continuation'],
         },
         handler: async (args, env) => {
             requireConfirm(args, applyName);
             const lease = await verifyLease(args, applyName, env);
-            const target = await resolveSignTarget(args, env, applyName);
-            const payload = { id: target.signRecordId, meetingid: target.meetingId };
+            // 只传 confirm+continuation 时用 prepare 快照（快照里已含解析好的签到记录 id 与会议 id）；
+            // 传了 id/mtId 才重新回查定位并校验一致性。
+            const business = pickBusinessInput(args);
+            let payload;
+            if (Object.keys(business).length === 0) {
+                const snapshot = lease.payload;
+                payload = { id: String(snapshot.id ?? ''), meetingid: String(snapshot.meetingid ?? '') };
+            }
+            else {
+                const target = await resolveSignTarget(mergeSnapshot(lease.payload, args), env, applyName);
+                payload = { id: target.signRecordId, meetingid: target.meetingId };
+            }
             if (lease.fingerprint !== fingerprint(payload)) {
                 throw meetingValidationError('target_changed', '签到记录或会议与 prepare 时的快照不一致，请重新执行 prepare');
             }

package/dist/shortcuts/project/operations/read.js

@@ -1,4 +1,5 @@
 import { assertDatajsonSuccess, assertWeaverSuccess, } from '../host.js';
+import { projectValidationError } from '../errors.js';
 import { SCHEMA_FILTERS, SCHEMA_FIELDS, SCHEMA_ID_STRING, SCHEMA_PAGE_NO, SCHEMA_PAGE_SIZE, projectSuccess, schemaOf, } from './types.js';
 import { compactFilters, idString, operatorId, positiveInt, queryText, } from './shared.js';
 const APP_TAG = 'weaver-project-eb';
@@ -36,12 +37,12 @@ function outputFields(value) {
     if (value === undefined)
         return null;
     if (!Array.isArray(value) || value.length === 0) {
-        throw new Error('fields 必须是非空字符串数组');
+        throw projectValidationError('field_invalid', 'fields 必须是非空字符串数组');
     }
     const fields = [];
     for (const item of value) {
         if (typeof item !== 'string' || !/^[A-Za-z]/.test(item) || /[^A-Za-z0-9_]/.test(item)) {
-            throw new Error('fields 包含非法字段名');
+            throw projectValidationError('field_invalid', 'fields 包含非法字段名');
         }
         fields.push(item);
     }
@@ -65,12 +66,12 @@ function normalizeFieldNames(value, inputName) {
     if (value === undefined)
         return [];
     if (!Array.isArray(value) || value.length === 0) {
-        throw new Error(`${inputName} 必须是非空字符串数组`);
+        throw projectValidationError('field_invalid', `${inputName} 必须是非空字符串数组`);
     }
     const names = [];
     for (const item of value) {
         if (typeof item !== 'string' || item.trim() === '' || item.length > 100) {
-            throw new Error(`${inputName} 包含非法字段名`);
+            throw projectValidationError('field_invalid', `${inputName} 包含非法字段名`);
         }
         names.push(item);
     }
@@ -130,7 +131,7 @@ async function decorateDetailUrls(host, operation, datajson) {
 }
 function table(value) {
     if (value !== 'task' && value !== 'project') {
-        throw new Error('table must be task or project');
+        throw projectValidationError('field_invalid', 'table 必须是 task 或 project');
     }
     return value;
 }
@@ -209,7 +210,7 @@ function listOperation(name, path, nameField, descField, statusField) {
             await resolveCurrentUserFilters(filters, host);
             const allStatuses = args.allStatuses === true;
             if (allStatuses && (filters.sys_status !== undefined || filters[statusField] !== undefined)) {
-                throw new Error("allStatuses 不能与 sys_status 或业务状态同时传");
+                throw projectValidationError('field_conflict', 'allStatuses 不能与 sys_status 或业务状态同时传');
             }
             if (allStatuses) {
                 delete filters.sys_status;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "weaver-work-cli",
-  "version": "0.1.22",
+  "version": "0.1.23",
   "description": "面向泛微工作工具链的可扩展 TypeScript CLI 基础框架（E10 业票通等能力）",
   "type": "module",
   "main": "./dist/index.js",

package/skills/weaver-e10-meeting/SKILL.md

@@ -5,7 +5,7 @@ display_name_en: Weaver E10 Meeting Management
 description: "泛微 E10 会议管理，帮您处理会议日常事务：[会议]-查询今天/本周/我的会议与会议详情，预约建会（自动做会议室与参会人冲突检测），会议改期/换地点/改参会人、取消、删除；[会议室]-查询会议室与占用/空闲情况；[参会与回执]-查参会人名单、填写/更新会议回执；[签到]-查签到与签退情况、补签、补签退、清除签到记录；[会议资料]-会议议题（查看/更新/删除）、议题类型、会议纪要查询、会议类型与应用设置、会议决议发布与决议任务跟踪。认证与会话由 weaver-e10-shared 提供。"
 description_zh: "泛微 E10 会议管理，帮您处理会议日常事务：[会议]-查询今天/本周/我的会议与会议详情，预约建会（自动做会议室与参会人冲突检测），会议改期/换地点/改参会人、取消、删除；[会议室]-查询会议室与占用/空闲情况；[参会与回执]-查参会人名单、填写/更新会议回执；[签到]-查签到与签退情况、补签、补签退、清除签到记录；[会议资料]-会议议题（查看/更新/删除）、议题类型、会议纪要查询、会议类型与应用设置、会议决议发布与决议任务跟踪。认证与会话由 weaver-e10-shared 提供。"
 description_en: "Weaver E10 meeting management for daily meeting tasks: [Meetings] query today's / this week's / my meetings and meeting details, book meetings with automatic room & attendee conflict checks, reschedule / change location / change attendees, cancel, delete; [Rooms] query meeting rooms and occupancy / availability; [Attendees & receipts] view attendee lists, fill in / update meeting receipts; [Sign-in] view sign-in / sign-out status, manual sign-in, manual sign-out, clear sign-in records; [Meeting content] meeting agenda (view / update / delete), agenda types, minutes query, meeting types, application settings, meeting decision publishing and decision task tracking. Auth and session are provided by weaver-e10-shared."
-version: 2.11.0
+version: 2.13.0
 author: 泛微网络科技股份有限公司
 agent_created: true
 requires:
@@ -134,6 +134,7 @@ cliHelp: "weaver-work-cli meeting --help"
 3. `meeting.create.prepare`：自动执行建会路径检查（`onlyFlowCreate=1` 或周期工作流 → 拒绝并提示走流程）与**强制冲突检测**（接口失败视为冲突；`cansub=false` 直接拒绝；`cansub=true` 有冲突描述 → warnings 如实告知并建议换时间/地点，**但不阻止提交**，是否继续由用户决定；CLI 不主动建议忽略冲突）。
 4. 向用户摘要 preview（含 caller/contacter 默认当前用户、周期 `repeatDesc` 自动拼接）。
 5. 用户明确确认 → `meeting.create.apply`（`confirm: true` + continuation，**10 分钟内有效，过期重新 prepare**）。
+   **apply 的入参口径（2026-10-08 修正）**：只传 `confirm` + `continuation` 即可 —— 业务字段以 prepare 快照为准（快照就是用户刚确认过的内容）；若同时传了业务字段，则必须与快照一致，否则报 `target_changed`（提示重新 prepare），**不会**绕过确认闸门。
 6. 结果回读用 `meeting.list`；会议链接一律用 `meeting.link` 生成（**禁止手工拼 URL**：EB 版 objid 需动态解析，标准版会议室/会议类型没有单页），再按 `[名称](url)` **内联到名称单元格**输出。
 
 ## 处理链：变更 / 取消 / 删除会议（高风险写，强制确认链）
@@ -141,7 +142,7 @@ cliHelp: "weaver-work-cli meeting --help"
 1. 先用 `meeting.list`（或用户给出的会议 id）定位目标会议，必要时用 `meeting.link` 生成 `[名称](url)` 给用户核对（EB 环境会议也在 `meeting.eb.meeting.list`）。
 2. `meeting.change.prepare`（变更）/ `meeting.cancel.prepare` / `meeting.delete.prepare`（入参 `id`）：CLI 先**回查会议存在性**；`change` 还会按会议状态自动决定 `operateType`（草稿=UPDATE、正常=CHANGE）。**权限判定交给服务端**，CLI 不做权限预判。成功返回 `preview` + `continuation`（10 分钟有效）。
 3. 向用户摘要动作与后果（变更=覆盖所提交字段、当前状态与分流类型；取消=会议进入取消状态、占用/回执/签到失效；删除=**移入回收站**、不再出现在正常列表），**取得明确确认**。变更只提交 preview 中列出的字段。
-4. 用户确认 → `meeting.*.apply`（`confirm: true` + continuation）。
+4. 用户确认 → `meeting.*.apply`（`confirm: true` + continuation；**只传这两个参数即可**，业务字段取 prepare 快照；改动内容会报 `target_changed`）。
 5. 结果回读：`meeting.list` 确认状态（取消/删除后该会议不应再出现在正常列表）。
 6. **禁止**跳过 prepare 直接 apply；**禁止**在未确认目标存在时执行写操作。
 

package/skills/weaver-e10-meeting/references/meeting-eb.md

@@ -43,6 +43,11 @@
 | **决议任务** | `meeting.eb.decisionTask.list` | `meeting.eb.decisionTask.update` | query_mt_decision_task_list(+count) / update_mt_decision_task |
 | **补签（语义化）** | — | `meeting.eb.sign.mark` | update_meeting_sign_info（自动定位签到记录 id）|
 
+> ⚠️ **补签务必带时间（或让 CLI 补当前时间）**：2026-10-08 真机实测，只传 `mt_id` + `user_id` 时 update 里没有任何
+> 时间字段，**服务端照样返回成功、CLI 也报 COMPLETE，但签到记录一点没变**（静默无效）。现 CLI 已兜底：
+> 未传 `sign_time` / `signback_time` / `sign_out_status` 时按"补签"语义**自动补当前时间**（带秒）并写入 `warnings`，
+> 实际写入值在 `preview.after` 里可见；要指定时间请显式传 `sign_time`（`yyyy-MM-dd HH:mm:ss`，带秒）。
+
 ## 常用命令
 
 Windows PowerShell：
@@ -137,7 +142,12 @@ weaver-work-cli --json meeting run meeting.eb.meeting.create.prepare --input-jso
    - 决议可能已写入但**没返回 `dataIds`** → 抛 `partial`，提示先用 `decision.list(mt_id)` 回查，**同样不要重复创建**。
 6. **任务与进度的读法（真机实测口径）**：
    - **一条决议明细 = 一个任务**；明细里写多个执行人 ⇒ 该任务**多人共同跟进**（实测：1 明细 + 2 执行人 → 只生成 1 个任务）。
+   - ⚠️ **2026-10-08 复测出现「1 明细 + 1 执行人 → 生成 2 条任务」**：任务条数由**用户配置的 ESB 联动**决定，
+     可能随模板/配置变化，**不要用「明细条数 = 任务数」推算**，一律以 `decisionTask.list` 的实际返回为准。
    - **更新**用 `meeting.eb.decisionTask.update`：按 `executor` 写 `detail1`（`finish_status` 未完成/已完成/已延期 + `finish_date` **带秒**）。
+   - ⚠️ **`markDecided` 的必填组合（2026-10-08 实测）**：`is_decision=2`（决议提交完成）时**必须同时传 `decision_Id` 与 `mt_status`**，
+     否则 `prepare` 能通过、`apply` 被服务端拒绝：原文 `DataError:存为未填写的必填字段: decision_Id,mt_status ,请确认`。
+     正确样例：`{"id":"<会议id>","decision_Id":"<决议概述id>","is_decision":"2","mt_status":"8"}`（回读会议：`mt_status=结束`）。
      **`finish_date` 是服务端必填**；把任务改回「未完成」时传一个**空格**即可显式清空。
      **同一执行人重复更新 = 覆盖该人记录，不同执行人 = 追加**（实测两人跟进后 detail1 保留两条，互不覆盖）。
    - ★ **读进度直接用 `decisionTask.list` 返回的 `data.progress`**（不必自己解析 detail1）：

package/skills/weaver-e10-meeting/references/meeting-receipts-signs.md

@@ -9,8 +9,13 @@
 ### 回执
 
 - 回执更新**必须传回执记录主键 `id`**（不是 `memberId`）；`prepare` 会自动按 `memberId` 回查定位。
+- ⚠️ **`memberId` 字段语义（2026-10-08 真机实测，两个环境一致）**：`meeting.receipt.list` 返回的一条回执里，
+  **`memberId` 是「姓名」、`memberIdId` 才是「人员 id」**。因此 `receipt.update.prepare` 的 `memberId`
+  **两种写法都接受**（人员 id 或姓名）；CLI 会按 `memberIdId` / `memberId` 依次匹配，并在写请求 body 里统一带上**解析后的人员 id**。
+  列表输出的原始字段保持原样（`memberId`=姓名、`memberIdId`=人员 id），**不要**把 `memberId` 当成 id 使用。
 - `attendStatus` 枚举：`0`=未填写、`1`=参加、`2`=不参加（回执"否/请假"传 2）。
-- 回执列表接口必须带 `isMobile`（CLI 缺省 `false`；缺失会导致后端 NPE→500，已被 CLI 托管）。
+- 回执列表接口必须带 `isMobile`（CLI 缺省 `false`）**与 `memberType`（CLI 缺省 `1`）**：2026-10-08 真机实测
+  **不传 `memberType` 必报 500「系统内部错误」**（此前只挡住了 `isMobile`），两者均已由 CLI 托管，调用方无需显式传。
 
 ### 签到
 
@@ -30,7 +35,7 @@ Windows PowerShell：
 weaver-work-cli --json meeting run meeting.receipt.list --input-json '{"mtId":"1305624900858404950"}'
 weaver-work-cli --json meeting run meeting.receipt.update.prepare --input-json '{"mtId":"1305624900858404950","memberId":"101","attendStatus":2,"remark":"请假"}'
 # 用户确认后：
-weaver-work-cli --json meeting run meeting.receipt.update.apply --input-json '{"confirm":true,"continuation":"<prepare返回的continuation>","mtId":"1305624900858404950","memberId":"101","attendStatus":2,"remark":"请假"}'
+weaver-work-cli --json meeting run meeting.receipt.update.apply --input-json '{"confirm":true,"continuation":"<prepare返回的continuation>"}'
 weaver-work-cli --json meeting run meeting.sign.list --input-json '{"mtId":"1305624900858404950"}'
 # 补签（id 取 sign.list 里的 signs[].id）：
 weaver-work-cli --json meeting run meeting.sign.mark.prepare --input-json '{"id":"1305624900858404951"}'

package/skills/weaver-e10-meeting/references/meeting-verification.md

@@ -34,7 +34,7 @@
 | `R-DETAIL` | `ok=true` 且 `data` 非空；id 不存在时必须报 `not_found`（**不是**返回空对象） |
 | `R-COUNT` | `withCount:true` 时 `total` 存在；count 与 list 允许不一致时以 `max(total, count)` 为准 |
 | `W-PREP` | `status=AWAITING_CONFIRMATION`，含 `preview`（path/body）+ `continuation`；EB 的 update/delete `preview.path` **必带 `?id=<主键>`** |
-| `W-APPLY` | `status=COMPLETE`；随后按"回读"列核对 |
+| `W-APPLY` | `status=COMPLETE`；随后按"回读"列核对。**入参口径：只传 `confirm`+`continuation` 即可**（业务字段取 prepare 快照）；若同时传业务字段，必须与快照一致，否则 `target_changed` |
 | `W-FAIL-SAFE` | 缺必填 → `missing_required_field`；未确认 → `confirmation.required`；主键缺失 → 服务端原文报错（不得静默成功） |
 | `W-CLEAN` | 用删除类 operation 清理自建数据；EB 清理首选 `meeting.eb.meeting.delete`（级联回收占用/回执/签到） |
 

package/skills/weaver-e10-shijingran/SKILL.md

@@ -5,11 +5,13 @@ display_name: 泛微E10事井然项目管理
 display_name_en: Weaver E10 Shijingran Project Management
 description_zh: 泛微E10事井然项目管理助手，封装项目和任务的创建、查询、修改、删除操作，并提供项目/任务类型、紧急程度、状态等字典查询能力。适用于在对话中通过 Agent 创建、查询、修改、删除项目或任务等场景。
 description_en: Weaver E10 Shijingran project management assistant. Covers CRUD operations for projects and tasks, and provides dictionary queries for project/task types, priorities, and statuses. Used when an Agent needs to create, query, modify, or delete projects or tasks in conversation.
-version: 1.0.7
+version: 1.0.8
 author: 泛微网络科技股份有限公司
 agent_created: true
 requires:
   bins: ["weaver-work-cli"]
+dependencies:
+  - weaver-e10-shared
 cliHelp: "weaver-work-cli project --help"
 ---
 
@@ -26,6 +28,28 @@ cliHelp: "weaver-work-cli project --help"
 先读取 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md)。若共享规则不存在、CLI 未安装或读取失败，说明本技能的必需依赖缺失，必须调用宿主提供的提问/确认弹框，向用户说明必须补齐 `weaver-work-cli` 与共享 skill `weaver-e10-shared`（不补齐本技能无法执行）及补齐计划，并把下面两条待执行命令原样完整展示在确认信息中；Agent 不能在未确认时自行安装。用户明确确认后，Agent 必须直接代为按顺序执行且每条仅执行一次，不得要求或引导用户手动执行：① 缺 CLI 时执行 `npm install -g weaver-work-cli`；② 再执行 `weaver-work-cli skills install shared --target-dir <SKILLS_ROOT>` 装回共享 skill，`<SKILLS_ROOT>` 取本 SKILL.md 所在目录的上一级绝对目录（即与本技能同级的 skills 根目录），不要省略 `--target-dir`——省略会装进默认目录，导致本技能依然读不到共享规则。命令均成功后重新读取共享规则；仍读不到就停止并把结果报告用户，不得凭猜测继续。
 **`--is-connector` 判据**：用户明确使用连接器、或上下文要求用连接器完成任务 → 传 `true`；本次任务或上下文直接选择单独技能 → 不传；用户没有明确说明时，按**正在运行的这份 Skill 是哪一级**定——**用户级（条目标 `(user)`）不传，连接器级（标 `(connector)`）传**（同名 Skill 只会运行用户级那一份）。传 `true` 时不要再写 `--profile` / `--base-url`。完整规则见 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md)。
 
+### 登录与请求头凭证契约
+
+本 Skill 是 CLI 型技能，不自行发起 HTTP 请求：认证与会话**统一由 `weaver-e10-shared` 共享规则和 `weaver-work-cli auth ...` 命令体系托管**，禁止自建或绕过登录流程。
+
+所有 E10 请求由 `weaver-work-cli` 统一注入以下三项请求头，缺一不可（唯一权威声明见 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md) 的「请求头契约」章节，本技能只做指针引用，不复制其代码块）：
+
+| 请求头 | 取值 | 约束 |
+| --- | --- | --- |
+| `Cookie` | `weaver-work-cli` 登录后返回的完整原始 Cookie 串 | 必须原样携带，禁止裁剪 / 去重 / 改写 |
+| `eteamsid` | 登录会话对应的 ETEAMSID | 必须原样携带 |
+| `User-Agent` | `AgentType=<agentType>,IsAgent=true` | 必须携带，不得省略 |
+
+以上三项均由 CLI 注入，不要手工拼装请求头，也不得把字段写进业务入参。
+
+认证和登录态只能按共享规则通过 `weaver-work-cli auth ...` 命令判断；禁止直接读取、列出、打印或解析用户主目录下的旧 `.e10-cli`、auth、config 或 Keychain 数据。
+
+Agent 不得自行拼接、改写或向用户索取上述凭证（禁止要求用户贴 Cookie / ETEAMSID / Token），也不得直接 `curl` / `fetch` E10 接口，或把接口原始路径、Cookie、ETEAMSID、Token 当作"用户可执行步骤"写进回复。
+
+所有命令通过 `weaver-work-cli --json project run <operation>` 执行：简单 JSON 优先传 `--input-json '<json>'`，复杂或多行 JSON 先写入 UTF-8 文件再传 `--input <path>`，只有确认当前 shell 能稳定传管道时才使用 `--input -`。调用前先按需读取 references 下对应的文件查参数结构，不要猜字段；**references 是第一信息源**，`weaver-work-cli project schema` 是 operation、字段和风险等级的合约来源。
+
+命令示例、提示词和临时说明必须同时兼容 Windows 和 macOS/Linux；涉及 JSON 输入、用户目录、路径分隔符、Python 启动器或文件比对时，必须同时给 Windows PowerShell 与 macOS/Linux（bash/zsh）两套示例。Agent 先根据当前系统和 shell 选择对应示例，不确定时用 `node -p "process.platform"` 判断。Windows/PowerShell 下不要使用 `printf`、`$HOME/...`、`~/...`、bash 反斜杠续行、`rm/ls/diff/python3` 等 Unix-only 写法。
+
 ## 路由
 
 命中以下意图时按表路由到对应 operation 和 reference；不要为了普通查询执行 `project schema`、`project.version.check`、`project.form.fields` 或读取非必要 reference。
@@ -40,6 +64,7 @@ cliHelp: "weaver-work-cli project --help"
 | 按姓名解析员工/部门/分部 | `project.employee/department/subcompany.resolve` | [field-resolution.md](references/field-resolution.md) | 多个匹配必须让用户选择 |
 | 版本异常诊断 | `project.version.check` | [operations.md](references/operations.md) | 仅接口异常或用户主动询问 |
 | 创建/修改/删除任务或项目 | `project.task/*`、`project.project/*` 的 prepare/apply | [write-operations.md](references/write-operations.md) | 严格 prepare → apply |
+| 附件上传、字段自动解析、系统状态改写等未暴露能力 | 无可用命令 | [disabled-capabilities.md](references/disabled-capabilities.md) | 如实告知并给替代路径，不要猜 operation |
 
 ## 高优先级语义
 
@@ -58,6 +83,14 @@ cliHelp: "weaver-work-cli project --help"
 5. 写操作先 `prepare`，向用户摘要目标、差异、风险、默认值和不可逆性；用户明确确认后才 `apply`。
 6. `partial/write_uncertain`、登录失效、回查失败或网络中断时停止写流程，不自动重试。
 
+## 输出与展示
+
+- 列表和详情默认只给摘要：记录数 + 下方固定展示列，不粘贴完整 JSON，不罗列全部原始字段；完整响应过长时先落本地 UTF-8 文件再给摘要与路径。
+- 默认展示列以 [`operations.md`](references/operations.md) 的「输出处理」为准：任务列表 `task_name / task_type / plan_start_time / plan_finish_time / manager / task_status / progress / create_time`；项目列表把 `task_*` 换成 `proj_*`；详情在此基础上补 `project`/`priority` 与描述、创建时间。用户明确指定字段时以用户为准。
+- 记录名称列（`task_name` / `proj_name`）渲染为 Markdown 链接 `[名称](detail_url)`，**不单独输出 `detail_url` 列**；`detail_url_warning` 时名称保持纯文本并如实说明，不得编造 URL。
+- 关联字段（`manager`、`participant(s)`、`task_type`、`proj_status` 等）只展示 `name`，不展示内部 ID；字典 ID、对象 ID、`groupId` 只用于入参。
+- 未指定状态时先说明默认口径「只查未开始 + 进行中」（默认系统状态口径见 [`operations.md`](references/operations.md)）；返回条数等于 `pageSize` 时提示可能还有下一页。
+
 ## 执行原则
 
 - 业务调用统一使用 `weaver-work-cli --json project run <operation>`，优先 `--input-json`；复杂多行 JSON 用 UTF-8 文件和 `--input <path>`。
@@ -75,10 +108,42 @@ cliHelp: "weaver-work-cli project --help"
 4. 登录失效：按共享规则处理登录，不得使用旧 continuation 直接重试。
 5. 回查失败：向用户说明结果不确定，等待用户决策。
 
+## 常用命令示例
+
+以下示例只示意参数形态；执行前必须先按 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md) 判定是否补 `--is-connector true`，命中时本任务内每条命令都要带。
+
+Windows PowerShell：
+
+```powershell
+weaver-work-cli --json project run project.task.list --input-json '{"filters":{"manager":"@me"},"pageNo":1,"pageSize":10,"withDetailUrl":false,"fields":["task_name","task_type","task_status","manager","plan_finish_time","progress"]}'
+weaver-work-cli --json project run project.project.list --input-json '{"pageNo":1,"pageSize":10}'
+weaver-work-cli --json project run project.task.detail --input-json '{"id":"<taskId>"}'
+weaver-work-cli --json project run project.dictionary.task-status --input-json '{"pageNo":1,"pageSize":100}'
+weaver-work-cli --json project run project.task.create.prepare --input-json '{"records":[{"task_name":"需求评审"}]}'
+```
+
+macOS/Linux（bash/zsh）：
+
+```bash
+weaver-work-cli --json project run project.task.list --input-json '{"filters":{"manager":"@me"},"pageNo":1,"pageSize":10,"withDetailUrl":false,"fields":["task_name","task_type","task_status","manager","plan_finish_time","progress"]}'
+weaver-work-cli --json project run project.project.list --input-json '{"pageNo":1,"pageSize":10}'
+weaver-work-cli --json project run project.task.detail --input-json '{"id":"<taskId>"}'
+weaver-work-cli --json project run project.dictionary.task-status --input-json '{"pageNo":1,"pageSize":100}'
+weaver-work-cli --json project run project.task.create.prepare --input-json '{"records":[{"task_name":"需求评审"}]}'
+```
+
+写操作的 `prepare` 返回 continuation 后，必须先向用户摘要再执行 apply：
+
+```json
+{"continuation":"PREPARE_CONTINUATION","confirm":true}
+```
+
 ## 不在范围
 
-- 禁止绕过 `weaver-work-cli` 直接调用 E10 原始接口。
-- 不提供附件上传；`attachment` 只接受已上传文件 ID，且处理文件前必须取得用户敏感数据确认。
+- 禁止绕过 `weaver-work-cli` 直接调用 E10 原始接口；禁止 `curl` / `fetch` / 浏览器自动化访问 `/api/ebuilder/**`、`/api/ebproject/**` 等路径。
+- 禁止读取或复制 CLI runtime 内部的 Token、Cookie、ETEAMSID；禁止读取、列出、打印或解析用户主目录下的旧 `.e10-cli`、auth、config 或 Keychain 数据。
+- 不提供附件上传；`attachment` 只接受已上传文件 ID，且处理文件前必须取得用户敏感数据确认。未暴露能力清单见 [`disabled-capabilities.md`](references/disabled-capabilities.md)。
 - 不自动替用户选择同名人员、组织、项目、任务或字典选项。
 - 不自动翻页、自动扩大 pageSize 或自动聚合全量数据。
 - 不在正常路径预调用版本诊断。
+- 非事井然的 E10 能力（流程审批、组织人员、发票、文书定档案等）不由本 Skill 承载，转对应业务技能。

package/skills/weaver-e10-shijingran/references/disabled-capabilities.md

@@ -0,0 +1,22 @@
+# 事井然未暴露能力
+
+## 何时使用
+
+用户要求的动作在本 Skill 的 operation 列表里没有对应命令时，先读本文，如实说明「当前 CLI 未提供该能力」，并给出可行的替代路径；**不要猜测 operation 名，不要直接调用 E10 原始接口，也不要用别的 operation 硬凑**。
+
+## 当前未纳入 CLI 的能力
+
+| 用户诉求 | 现状 | 处理方式 |
+| --- | --- | --- |
+| 给任务/项目上传或替换附件 | `project.attachment.upload` 未暴露。源资料只说明 `attachment` 字段接受**已上传文件 ID**，未提供事井然模块自己的上传接口与文件安全确认链 | 不要把本地文件当作附件直接写入。先告知用户需在 E10 页面完成上传，再提供已上传文件 ID；本 Skill 不代办上传 |
+| 按字段类型自动解析名称到 ID | `project.field.auto-resolve` 未暴露。CLI 只提供分步解析 operation，由 Agent 按字段类型显式编排 | 按 [`field-resolution.md`](field-resolution.md) 分步解析：人员/部门/分部用 `project.employee/department/subcompany.resolve`；项目/任务名称用 `project.project.list` / `project.task.list`；Ebuilder 关联字段用 `project.form.fields` + `project.form.data.page`；字典字段用 `project.dictionary.*` |
+| 修改系统状态 `sys_status` | `sys_status` 是系统维护字段，只能用于查询过滤 | 不接受写入。用户要变更系统状态时，说明需在 E10 页面操作 |
+| 跨表单批量导入 / 批量删除 | 未暴露 | 创建可用 `records` 数组在单次 `create.prepare` 里传 1-100 条；删除只能逐条 `delete.prepare/apply`，不要并发刷接口 |
+| 直接把某个字段的全部选项元数据一次性拉全 | `project.form.options` 可用，但必须先确定 `table` 与 `fieldName` | 按 [`field-resolution.md`](field-resolution.md) 的「Select 与字典字段」先定位字段，再查选项 |
+| 附件内容下载、OCR、文件内容解析 | 未暴露 | 不属于本 Skill；不要用其他模块的接口代替 |
+
+## 注意
+
+- 未暴露 ≠ 用户不能做：优先给出 E10 页面路径或已支持的分步替代方案，不要为了"完成"而编造 operation、字段或接口路径。
+- 任何写入都必须走 `prepare -> apply` 确认链；不用"能力未暴露"当作跳过用户确认的理由。
+- 与 operation、字段、风险等级有关的最终依据是 `weaver-work-cli project schema`，不是本文；本文只说明缺口与替代路径。

package/skills/weaver-e10-shijingran/references/source-manifest.json

@@ -1241,7 +1241,7 @@
     }
   },
   "artifactBaseline": {
-    "aggregateSha256": "60eafebefaa0b7d6e75758ae78e3e5e1349ee453f33826de54c7293fb6e0fa41",
+    "aggregateSha256": "eb2413bba08ce89d006615d49d08ef5967ba2220d11481e674dafd78680100c8",
     "files": [
       {
         "path": "docs/_catalog.md",
@@ -1288,8 +1288,8 @@
       {
         "path": "skills/weaver-e10-shijingran/SKILL.md",
         "role": "generated-skill-entry",
-        "size": 8174,
-        "sha256": "597968607ca3321aac3b91e687c5963bdf1baee16d5f394aad64910e1ece53bf"
+        "size": 14475,
+        "sha256": "4d92d0dda6c2f30b7501dcbc2e5d1b9e42b69a22d73b2df8d0c6a61326821154"
       },
       {
         "path": "src/shortcuts/index.ts",
@@ -1368,6 +1368,12 @@
         "role": "generated-test",
         "size": 15966,
         "sha256": "27abe41e8c6819d48c926fc10ebfaee7653defc8672c3634d0e838d42cde7f35"
+      },
+      {
+        "path": "skills/weaver-e10-shijingran/references/disabled-capabilities.md",
+        "role": "generated-reference",
+        "size": 2501,
+        "sha256": "722879e32b17988297f5c7ee9eab2f6df056e9da2a1560b1bdba3507b13d08b1"
       }
     ]
   },
@@ -1375,6 +1381,8 @@
     "只记录源资料指纹、operation 影响索引和产物指纹，不保存 Cookie、Token、认证信息、真实内网地址、大段源正文或个人主目录路径。",
     "source-manifest.json 自身不纳入 artifactBaseline 文件列表，避免自引用指纹无法稳定计算。",
     "源资料版本为 1.0.4，覆盖 25 个接口文档、1 个目录文档和 1 个字段解析流程指引。",
-    "project.attachment.upload 与 project.field.auto-resolve 因源资料缺少安全实现契约而保留为 withheldOperations。"
+    "project.attachment.upload 与 project.field.auto-resolve 因源资料缺少安全实现契约而保留为 withheldOperations。",
+    "2026-09-24：刷新本技能包内产物指纹（SKILL.md / references），新增 references/disabled-capabilities.md；行尾统一为 LF。",
+    "2026-10-08：SKILL.md 的「登录与请求头凭证契约」改为请求头声明表格（Cookie / eteamsid / User-Agent），刷新本包产物指纹。"
   ]
 }