weaver-work-cli 0.1.26 → 0.1.28

package/skills/weaver-e10-caizhilian/references/source-manifest.json

@@ -6056,7 +6056,7 @@
     }
   ],
   "artifactBaseline": {
-    "aggregateSha256": "d1bdb04b58d0128c5b615be770a228492ae6e21c17d8c355c10513d41c4ea05a",
+    "aggregateSha256": "a30810157d58d076404fd6447b94996eb30178f384a0d6c13bca14589156983e",
     "files": [
       {
         "path": "docs/_catalog.md",
@@ -6095,8 +6095,8 @@
       },
       {
         "path": "skills/weaver-e10-caizhilian/references/file-upload.md",
-        "size": 8217,
-        "sha256": "f3bb332259ffa66591b8b258450641a49f3f1ab6e9b8e9c6f49736c0e4688c7f"
+        "size": 8136,
+        "sha256": "4bb244ff2f0c3771012bc39ae88b2cfafe7c5c2f9bc04dcefe1806e12ef85f62"
       },
       {
         "path": "skills/weaver-e10-caizhilian/references/files.md",
@@ -6115,8 +6115,8 @@
       },
       {
         "path": "skills/weaver-e10-caizhilian/references/withheld.md",
-        "size": 7140,
-        "sha256": "36474c0e9f631cc4857a56d028cb4b5eb9ae2db28b9525db800e76d791059111"
+        "size": 4276,
+        "sha256": "d94105e91a8ffb135366fdc77a5e42daed98d55df61e39ae6dfca48d07f27e9d"
       },
       {
         "path": "skills/weaver-e10-caizhilian/references/write-protocol.md",
@@ -6125,8 +6125,8 @@
       },
       {
         "path": "skills/weaver-e10-caizhilian/SKILL.md",
-        "size": 28190,
-        "sha256": "7fecab71dc4083215f5f914f570055f5aeae01c94d90f6383a771a11837336df"
+        "size": 31272,
+        "sha256": "2f6fad343e6f6a428c67b172a52eb58e62eaa2fcaab95f0e97da74c8d77021dc"
       },
       {
         "path": "src/internal/e10/request-runtime.ts",

package/skills/weaver-e10-caizhilian/references/task-workflow.md

@@ -0,0 +1,87 @@
+# 文件采集任务主流程
+
+命令形式：
+
+```powershell
+# Windows PowerShell
+weaver-work-cli --json caizhilian run caizhilian.file-collection.<操作> --input-json '<json>'
+```
+
+```bash
+# macOS/Linux（bash/zsh）
+weaver-work-cli --json caizhilian run caizhilian.file-collection.<操作> --input-json '<json>'
+```
+
+写操作（保存任务、扫描、运行、取消、删除、切换/另存为、更新全宗、创建连接器/资源、动作流创建/启用/换绑）分 `.prepare` / `.apply` 两步，确认协议见 `write-protocol.md`。
+
+## 总流程
+
+```text
+登录检查
+  → 明确采集目标（仅采集文件 | 采集到档案）
+  → 任务（已有任务 | 新建任务）
+  → FTP/SFTP 资源（已有资源 | 新建资源）      ← 新建任务分支
+  → 动作流（已有动作流 | 新建动作流）          ← 新建任务分支
+  → 保存任务（归档分支再绑定全宗）
+  → 检查存储连接 → 扫描 → 运行 → 结果判读
+```
+
+## 采集目标：仅文件 vs 归档
+
+- **仅采集文件**：不询问、不写入全宗；保存任务与后续操作都不带全宗字段。
+- **采集到档案**：必须拿到**用户确认过的全宗**后才能绑定到任务：
+  1. 如宿主环境提供全宗查询能力，用它列出候选并保留完整返回；否则直接向用户询问全宗。
+  2. 用「序号 + 显示名」展示候选，等待用户明确选择；**只有一个候选也不得自动确认**。
+  3. 把用户选定的全宗 ID 通过 `task.update-fonds`（`task_id` + `fonds_id`）写入任务。只有确认过的 ID 才能使用，展示名称不能当 ID；写入失败或存疑时停下来向用户复核。
+
+## 任务：已有还是新建
+
+- 查已有：`task.list` 列出任务，`task.form` 看详情。已有任务仅归档分支可更新全宗（`task.update-fonds`）。
+- 新建：`task.save`（写操作）入参：
+
+  | 入参 | 说明 |
+  | --- | --- |
+  | `source_id` | FTP/SFTP 资源 ID（必填，来自资源查询/创建结果） |
+  | `workflow_id` | 动作流 ID（必填，来自检测/创建结果，见 `action-flow.md`） |
+  | `task_name` | 可选，默认按 UTC+8 生成 `文件采集（yyyyMMdd HHmmss）` |
+  | `retain_dir_struct` | 是否维持原目录结构，默认 `true`；必须与动作流检测/创建时一致 |
+  | `task_file_path` | 采集路径，默认 `/` |
+
+- 其他任务管理：`task.save-as` 另存副本、`task.switch` 启用/禁用、`task.cancel` 取消、`task.delete` 删除。
+- 未启动的任务要换动作流：`workflow.update-task`；任务启动后配置被锁定，改不动就新建任务（见 `action-flow.md`）。
+
+## 资源：已有还是新建（新建任务分支）
+
+1. 先确定 `retain_dir_struct`（是否维持原目录结构），后续动作流与保存任务都用它。
+2. 已有资源：`connector.query` 列出连接器及其资源（可用 `name` 过滤），展示序号、名称、地址、状态让用户选，并提示「输入序号选择已有，或回复新建创建新的 FTP/SFTP 资源连接」。选中的资源 ID 即 `source_id`。
+3. 新建资源：`resource.create`（写操作）：
+   - 必填连接信息：`remote_host`、`remote_port`、`remote_username`、`remote_password`、`transfer_protocol`（`FTP` 或 `SFTP`）。**必须使用用户提供的真实值，不得用示例值**；用户没给的字段才追问。
+   - `system_pk` 不传时由 CLI 自动创建 FTP 连接器并挂到该资源；只有用户明确要复用已有连接器时才传（可用 `connector.query` 找）。
+   - `name` 可选（默认「文件采集FTP连接」）。
+   - 面向用户的摘要必须掩码密码。
+   - 用户一次性给了连接串（地址、端口、账号、密码、目录、协议）时直接解析使用，不要重复索要已提供的字段。
+
+## 执行
+
+1. `storage.check`：检查存储连接；失败先反馈原因，不要继续往下走。
+2. `scan`（写操作）：扫描任务。默认增量；**只有用户明确要求全量时**才传 `full_coll=true`。返回运行时 ID 后用 `scan.wait` 轮询到完成（可调 `timeout_seconds` / `interval_seconds`），或 `scan.progress` 看进度。
+3. `run`（写操作）：`action` 传 `run` 启动，传 `pause` 暂停。**返回只代表已启动**。
+4. 等待与结果：`run.progress` 看进度；`run.result` 拿归一化结果（`file_collection_result.v1`）；`detail` 查采集明细。
+
+## 结果判读（成功标准）
+
+只有同时满足以下条件才能向用户报告「采集成功」：
+
+- `run.result` 的 `status` 为 `collection_succeeded`
+- `file_collection_ok` 为 `true`
+- 失败文件数为 0
+
+其他情况的口径：
+
+| status | 含义 | 对用户怎么说 |
+| --- | --- | --- |
+| `collection_running` | 仍在运行 | 「正在采集」，继续等待 |
+| `collection_completed_with_failures` | 有失败文件 | 报告失败数量，不说成功 |
+| `collection_completed_without_files` | 无文件记录 | 如实说明没有采到文件 |
+
+`run` 的启动返回、`scan` 的完成都**不是**文件级成功证据。

package/skills/weaver-e10-caizhilian/references/withheld.md

@@ -17,7 +17,7 @@
 | `caizhilian.system.list-systems` | 列多环境配置与登录态 | `weaver-work-cli config list`、`weaver-work-cli e10 auth status`；连通性自检用 `weaver-work-cli --json caizhilian health` |
 | `caizhilian.system.get-loaded-config` | 输出本地配置生效内容（含凭证掩码、下载目录） | `weaver-work-cli config list`；不在业务模块内暴露配置快照 |
 | `caizhilian.system.reload-config` | 重新加载本地配置 | 无需替代：CLI 每次进程启动即读取框架配置，没有进程内缓存需要刷新 |
-| `caizhilian.system.switch-config` | 在多套环境配置间切换 | `weaver-work-cli config set ...`、`weaver-work-cli e10 auth login --base-url <域名>` |
+| `caizhilian.system.switch-config` | 在多套环境配置间切换 | `weaver-work-cli auth profile list`、`weaver-work-cli auth profile use <PROFILE_NAME>`；需要重新登录时按 `auth-and-install.md` 的宿主分流执行 |
 
 系统管理能力只保留 `caizhilian.system.health`：探测接口连通性与登录态，返回
 `{ environment, healthy, base_url, url, status_code, business_code, diagnosis, elapsed_ms }`；
@@ -64,6 +64,6 @@ weaver-work-cli e10 auth status
 | error.type / subtype | 触发场景 | 处理 |
 | --- | --- | --- |
 | `validation/operation_unknown` | 调用了 withheld 或范围外的 operation 名 | 用 `caizhilian operations` 校对，按本文件的替代命令回复用户 |
-| `authentication/session_unavailable` | `caizhilian health` 时本地无登录态 | 引导用户执行 `weaver-work-cli e10 auth login`，不要猜域名 |
+| `authentication/session_unavailable` | `caizhilian health` 时本地无登录态 | 停止业务调用，执行入口 `SKILL.md` 的宿主分流：XiaoE 只走 `auth xiaoe`，非 XiaoE 只走 `auth login`，禁止其他登录 Skill |
 | `api/http_error` / `api/business_error` | health 探测返回非成功码 | 把 `diagnosis`、`status_code`、`business_code` 交给用户 |
 | `network/*` | health 探测网络失败 | `retryable=true` 时最多重试一次 |

package/skills/weaver-e10-caizhilian/references/write-protocol.md

@@ -87,8 +87,15 @@ weaver-work-cli --json caizhilian run caizhilian.share.add.apply --input-json '{
 3. **回查结果二选一**：
    - 已生效 → 告知用户「操作已成功」，不再重放。
    - 未生效 → 告知用户失败原因，**重新 prepare**（拿新票据）后再由用户确认执行；不要复用旧票据。
+   - 回查结果与预期目标或变更内容**不一致**（查到了别的对象、字段值与提交值不同）→ 按「未确认」处理：停止，不重放，把差异告诉用户并请其在 E10 页面人工核对。
 4. 回查本身也失败 → 停止，把原始错误交给用户，建议在 E10 页面人工核对。
 
+以下任一情况出现时同样**立即停止写流程，不自动重复提交**：
+
+- CLI 提示上下文已变化（换环境、换账号、`continuation_context_mismatch`）；
+- 目标对象已被他人改动（`plan_changed`）或目标本地文件已变化（`file_changed`）；
+- 服务端返回部分成功，或写入接口返回成功但详情回查失败。
+
 > 说明：`partial/write_uncertain` 是错误分类里保留的「写结果不确定」类型；采知连模块当前把批量与多步写入的部分失败通过 `warnings` + `data.summary` 表达，遇到上述网络类不确定情形时按本节决策树处理。
 
 ## 注意

package/skills/weaver-e10-calendar/SKILL.md

@@ -79,7 +79,12 @@ weaver-work-cli --json calendar run <operation> --input-json '{"key":"value"}'
 ## 失败处理
 
 - 遇到 `partial`、`write_uncertain`、登录失效、回查失败或网络中断，立即停止当前写流程，不自动重试写入。
-- 认证类错误（`authentication`/`session_expired`）：引导用户执行 `weaver-work-cli auth login`，不要用其他方式排查。
+- 认证类错误（`authentication`/`session_expired`）：停止当前操作并读取 `weaver-e10-shared` 的认证规则。
+  - 登录失效的认证方式必须由 Agent 复用本任务开始时的宿主判定，禁止调用任何其他登录 Skill。
+  - 明确为 XiaoE 时，只执行 `weaver-work-cli auth xiaoe`，不得改用 `auth login`。
+  - 统一登录返回 `authentication/xiaoe_credential_unavailable` 时停止并反馈宿主凭据不可用，不自动回退浏览器登录。
+  - 非 XiaoE 时不得执行 `auth xiaoe`；取得用户确认的真实 E10 登录域名后，执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`。
+  - 登录恢复后读操作可重新执行；写操作不得复用旧 continuation，必须重新 prepare 并重新确认。已返回 `partial/write_uncertain` 时先只读回查，禁止直接重放写入。
 - 接口返回 404 或提示「找不到动作流」：日程应用可能未安装，先运行 `calendar.app.check` 检测，再决定是否停止。
 - 业务失败看 stderr JSON 的 `error.type` / `error.subtype` / `error.message`。
 

package/skills/weaver-e10-esb/SKILL.md

@@ -71,6 +71,14 @@ weaver-work-cli --json esb run <operation> --input-json '<json>'
 | `flow_running` / `execute_timeout` | 正在执行或执行超时 | 稍后重试或查运行日志 |
 | `write_uncertain` | 请求已发出但结果未知 | **立即停止**：不重试、不判定失败，先在 ESB 中心查看动作流运行日志 |
 
+认证类错误（`authentication` / `session_expired`）必须立即停止当前操作并读取 `weaver-e10-shared` 的认证规则：
+
+- 登录失效的认证方式必须由 Agent 复用本任务开始时的宿主判定，禁止调用任何其他登录 Skill。
+- 明确为 XiaoE 时，只执行 `weaver-work-cli auth xiaoe`，不得改用 `auth login`。
+- 统一登录返回 `authentication/xiaoe_credential_unavailable` 时停止并反馈宿主凭据不可用，不自动回退浏览器登录。
+- 非 XiaoE 时不得执行 `auth xiaoe`；取得用户确认的真实 E10 登录域名后，执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`。
+- 登录恢复后读操作可重新执行；写操作不得复用旧 continuation，必须重新 prepare 并重新确认。已返回 `partial/write_uncertain` 时先只读回查，禁止直接重放写入。
+
 ## 安全边界
 
 - **🔴 写操作必须走确认链**：`esb.trigger.apply` 需要 `confirm: true` 且 continuation 有效期 10 分钟，禁止跳过 prepare 直接触发。

package/skills/weaver-e10-esb/references/input-format.md

@@ -48,5 +48,7 @@ weaver-work-cli --json esb run esb.input-format --input-json '{"applicationId":"
 - `field_invalid`：`applicationId` 不是数字 ID，请核对动作流 ID。
 - `flow_not_found`：动作流不存在或已被删除，不要重试。
 - `tenant_permission_denied` / `permission_denied` / `tenant_missing`：权限或租户上下文问题，确认登录态与权限后由用户处理。
-- `session_expired`：E10 登录态失效，引导用户执行 `weaver-work-cli auth login`。
+- `session_expired`：停止查询并执行入口 `SKILL.md` 的登录失效强制分流。
+  - XiaoE 只执行 `weaver-work-cli auth xiaoe`；失败时停止，不回退浏览器登录。
+  - 非 XiaoE 在确认真实 E10 域名后执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`；禁止调用其他登录 Skill。
 - 其他非成功响应：按 stderr JSON 的 `error.type` / `error.subtype` / `error.message` 说明失败原因，不要臆测返回结构。

package/skills/weaver-e10-esb/references/source-manifest.json

@@ -104,7 +104,7 @@
     }
   },
   "artifactBaseline": {
-    "aggregateSha256": "13a4b9b7beec15e4377ab86dc220dde327c9b398dacd88d8f691b9e21cf7f30f",
+    "aggregateSha256": "038ad015e5950be89f96b5eca5f97cc90b8e90191da88638432caf12b08bfb6d",
     "files": [
       {
         "path": "docs/_catalog.md",
@@ -139,8 +139,8 @@
       },
       {
         "path": "skills/weaver-e10-esb/references/input-format.md",
-        "size": 2618,
-        "sha256": "f0b6f96353a879f6acf380bacacea4ef514d7328dd14915e5495287d51bb1f63"
+        "size": 2914,
+        "sha256": "80ba7069de283ffcd9a10a7c0236653c5ab9f4a1616588f2a3ace71d067f5ddc"
       },
       {
         "path": "skills/weaver-e10-esb/references/trigger.md",
@@ -149,8 +149,8 @@
       },
       {
         "path": "skills/weaver-e10-esb/SKILL.md",
-        "size": 8073,
-        "sha256": "a12d79807348cdb3be2e17bfdca1fc783f5be004eb4b76906db73b81ea203d00"
+        "size": 9117,
+        "sha256": "fe04fe8133e95a3770a7aef1bcdb3840aab91a881a614b2e3a07e6eaffd564d5"
       },
       {
         "path": "src/shortcuts/esb/continuation.ts",

package/skills/weaver-e10-hrm/SKILL.md

@@ -158,7 +158,12 @@ weaver-work-cli --json hrm run hrm.org.resolve --input-json '{"virtual":"1号维
 
 ## 失败处理
 
-- `code=302` 或认证类错误：引导用户执行 `weaver-work-cli auth login`，不要用其他方式排查。
+- `code=302` 或认证类错误：停止当前操作并读取 `weaver-e10-shared` 的认证规则。
+  - 登录失效的认证方式必须由 Agent 复用本任务开始时的宿主判定，禁止调用任何其他登录 Skill。
+  - 明确为 XiaoE 时，只执行 `weaver-work-cli auth xiaoe`，不得改用 `auth login`。
+  - 统一登录返回 `authentication/xiaoe_credential_unavailable` 时停止并反馈宿主凭据不可用，不自动回退浏览器登录。
+  - 非 XiaoE 时不得执行 `auth xiaoe`；取得用户确认的真实 E10 登录域名后，执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`。
+  - 登录恢复后读操作可重新执行；写操作不得复用旧 continuation，必须重新 prepare 并重新确认。已返回 `partial/write_uncertain` 时先只读回查，禁止直接重放写入。
 - 业务失败看 stderr JSON 的 `error.type` / `error.subtype` / `error.message`，不要用退出码 `0` 判断成功。
 - 常见业务错误：`empty_condition`（空条件拉取被拦截）、`full_pull_blocked`（岗位全量需 `all=true`）、`dept_not_found`/`dept_ambiguous`（组织未找到或重名，改用 id）、`enum_invalid`（枚举取值非法）、`permission_denied`（接口开关未开启）、`virtual_required`/`name_required`（`hrm.org.resolve` 缺多维或多维名称参数）。
 - `hrm.org.resolve` 的「没找到 / 命中多个」**不是错误**：命令仍退出 0、`ok: true`，判定以 `data.status` 为准，不要把 `not_found` 当异常重试。

package/skills/weaver-e10-hrm/references/employee.md

@@ -180,4 +180,4 @@ weaver-work-cli --json hrm run hrm.dept.members --input-json '{"dept":"示例部
 - `enum_invalid`：`status`/`scope` 取值非法。
 - `dept_not_found`/`dept_ambiguous`：`dept.members` 组织未找到或重名，改用组织 id。
 - `permission_denied`（`code=403`）：HRM 读接口开关未开启，提示用户联系管理员开启，不要盲目重试。
-- 认证类错误：引导用户执行 `weaver-work-cli auth login`。
+- 认证类错误：停止查询并执行入口 `SKILL.md` 的登录失效强制分流；XiaoE 只走 `auth xiaoe`，非 XiaoE 只走 `auth login`，禁止其他登录 Skill。

package/skills/weaver-e10-hrm/references/org.md

@@ -201,4 +201,4 @@ weaver-work-cli --json hrm run hrm.org.resolve --input-json '{"virtual":"客服
 - `permission_denied`（`code=403`）：HRM 读接口开关未开启，提示用户联系管理员开启。
 - `virtual_required`/`name_required`：`hrm.org.resolve` 少传了多维（`virtual`/`virtualId`）或名称（`name`/`orgId`）。
 - **「未找到 / 命中多个」不是错误**：`hrm.org.resolve` 仍 `ok: true`、退出 0，按 `data.status` 分派（`not_found` / `ambiguous`），不要当异常重试。
-- 认证类错误：引导用户执行 `weaver-work-cli auth login`。
+- 认证类错误：停止查询并执行入口 `SKILL.md` 的登录失效强制分流；XiaoE 只走 `auth xiaoe`，非 XiaoE 只走 `auth login`，禁止其他登录 Skill。

package/skills/weaver-e10-hrm/references/position.md

@@ -99,4 +99,4 @@ weaver-work-cli --json hrm run hrm.position.list --input-json '{"name":"行政"}
 - `empty_condition`：空条件拉取被拦截，先询问用户补条件。
 - `full_pull_blocked`：`position.list` 无过滤，补 `org`/`name`/`code` 或显式 `all=true`。
 - `permission_denied`（`code=403`）：HRM 读接口开关未开启，提示用户联系管理员开启。
-- 认证类错误：引导用户执行 `weaver-work-cli auth login`。
+- 认证类错误：停止查询并执行入口 `SKILL.md` 的登录失效强制分流；XiaoE 只走 `auth xiaoe`，非 XiaoE 只走 `auth login`，禁止其他登录 Skill。

package/skills/weaver-e10-jinchengda/SKILL.md

@@ -18,6 +18,7 @@ cliHelp: "weaver-work-cli contract --help"
 **CRITICAL — 开始前 MUST 先用 Read 工具读取 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md)，其中包含安装、E10 认证、JSON 输出和高风险写入规则。若共享规则不存在、CLI 未安装或读取失败，说明本技能的必需依赖缺失，必须调用宿主提供的提问/确认弹框，向用户说明必须补齐 `weaver-work-cli` 与共享 skill `weaver-e10-shared`（不补齐本技能无法执行）及补齐计划，并把下面两条待执行命令原样完整展示在确认信息中；Agent 不能在未确认时自行安装。用户明确确认后，Agent 必须直接代为按顺序执行且每条仅执行一次，不得要求或引导用户手动执行：① 缺 CLI 时执行 `npm install -g weaver-work-cli`；② 再执行 `weaver-work-cli skills install shared --target-dir <SKILLS_ROOT>` 装回共享 skill，`<SKILLS_ROOT>` 取本 SKILL.md 所在目录的上一级绝对目录（即与本技能同级的 skills 根目录），不要省略 `--target-dir`——省略会装进默认目录，导致本技能依然读不到共享规则。命令均成功后重新读取共享规则；仍读不到就停止并把结果报告用户，不得凭猜测继续。**
 **`--is-connector` 判据**：用户明确使用连接器、或上下文要求用连接器完成任务 → 传 `true`；本次任务或上下文直接选择单独技能 → 不传；用户没有明确说明时，按**正在运行的这份 Skill 是哪一级**定——**用户级（条目标 `(user)`）不传，连接器级（标 `(connector)`）传**（同名 Skill 只会运行用户级那一份）。传 `true` 时不要再写 `--profile` / `--base-url`。完整规则见 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md)。
 认证和登录态只能按共享规则通过 `weaver-work-cli auth ...` 命令判断；禁止直接读取、列出、打印或解析用户主目录下的旧 `.e10-cli`、auth、config 或 Keychain 数据。
+业务命令返回 `authentication` / `session_expired` 时必须停止并读取共享认证规则：Agent 复用任务开始时的宿主判定且禁止调用任何其他登录 Skill；明确为 XiaoE 时只执行 `weaver-work-cli auth xiaoe`，返回 `xiaoe_credential_unavailable` 时停止且不自动改用浏览器登录；非 XiaoE 时取得用户确认的真实 E10 域名后执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`。登录恢复后读操作可重放，写操作不得复用旧 continuation，必须重新 prepare 和确认，`partial` / `write_uncertain` 必须先只读回查。
 所有命令通过 `weaver-work-cli --json contract run <operation>` 执行：简单 JSON 优先传 `--input-json '<json>'`，复杂或多行 JSON 先写入 UTF-8 文件再传 `--input <path>`，只有确认当前 shell 能稳定传管道时才使用 `--input -`。调用前先按需读取 references 下对应的文件，查参数结构，不要猜字段；**references 是第一信息源**，`weaver-work-cli contract schema` 是 operation、字段和风险等级的合约来源。
 命令示例、提示词和临时说明必须同时兼容 Windows 和 macOS/Linux；涉及 JSON 输入、用户目录、路径分隔符、Python 启动器、文件删除、目录查看或文件比对时，同时给 Windows PowerShell 与 macOS/Linux（bash/zsh）两套示例。Agent 先根据当前系统和 shell 选择对应示例，不确定时用 `node -p "process.platform"` 判断。Windows/PowerShell 下不要使用 `printf`、`$HOME/...`、`~/...`、bash 反斜杠续行、`rm/ls/diff/python3` 等 Unix-only 写法。
 涉及合同正文、附件、图片、本地文件或远程 URL 文件的操作，执行前必须提醒用户：文件内容可能被上传到 E10 今承达，并可能进入当前大模型上下文用于理解和处理；必须等待用户明确确认后才继续。
@@ -32,7 +33,7 @@ cliHelp: "weaver-work-cli contract --help"
 | `eteamsid` | `<e10-login 返回的 ETEAMSID>` |
 | `User-Agent` | `AgentType=<agentType>,IsAgent=true` |
 
-上述凭证由 `weaver-work-cli auth login --agent_type WorkBuddy` 建立会话后自动注入，业务输入（`--input-json` / `--input`）**不得包含** `userid`、`userId`、`token`、`cookie`、`eteamsid` 等字段，用户 ID 由 CLI 从会话注入。
+上述凭证由 CLI 按共享认证规则建立会话后自动注入，业务输入（`--input-json` / `--input`）**不得包含** `userid`、`userId`、`token`、`cookie`、`eteamsid` 等字段，用户 ID 由 CLI 从会话注入。
 
 ## 适用场景与触发条件
 

package/skills/weaver-e10-jinchengda/references/contract-agent-entry.md

@@ -2,7 +2,7 @@
 
 ## 请求头 / 认证
 
-所有 `weaver-work-cli contract run <operation>` 发起的 API 请求均自动携带以下凭证头，值来自 E10 登录会话（由 `weaver-work-cli auth login` 建立），禁止业务输入携带：
+所有 `weaver-work-cli contract run <operation>` 发起的 API 请求均自动携带以下凭证头，值来自 CLI 按入口 `SKILL.md` 的宿主分流建立的 E10 登录会话，禁止业务输入携带：
 
 | 头 | 值来源 | 说明 |
 |---|---|---|

package/skills/weaver-e10-jiuchuanhui/SKILL.md

@@ -133,7 +133,12 @@ cliHelp: "weaver-work-cli jiuchuanhui --help"
 - 失败后先看进程退出码、`error.type`、`error.subtype` 和 `error.message`
 - **除非错误明确提示可恢复或需要补充参数，否则不要重复刷同一个 operation**
 - 写请求已经发出后，遇到结果不确定必须停止；不要把 `.apply` 当成可重试读操作
-- **错误为 `authentication`（未登录，如 `E10 auth not found`）或 `session_expired`（登录态失效）时：立即停止当前操作，不要用示例占位域名或自行猜域名登录，也不要盲目重试**。先读取共享规则 `../weaver-e10-shared/references/e10-auth-and-session.md`，按其中流程用宿主提问/弹框让用户输入 E10 登录域名或选择已有 profile，完成登录后再继续原操作
+- **错误为 `authentication`（未登录，如 `E10 auth not found`）或 `session_expired`（登录态失效）时：立即停止当前操作，不要用示例占位域名或自行猜域名登录，也不要盲目重试**。先读取共享规则 `../weaver-e10-shared/references/e10-auth-and-session.md`。
+  - 登录失效的认证方式必须由 Agent 复用本任务开始时的宿主判定，禁止调用任何其他登录 Skill。
+  - 明确为 XiaoE 时，只执行 `weaver-work-cli auth xiaoe`，不得改用 `auth login`。
+  - 统一登录返回 `authentication/xiaoe_credential_unavailable` 时停止并反馈宿主凭据不可用，不自动回退浏览器登录。
+  - 非 XiaoE 时不得执行 `auth xiaoe`；取得用户确认的真实 E10 登录域名后，执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`。
+  - 登录恢复后读操作可重新执行；写操作不得复用旧 continuation，必须重新 prepare 并重新确认。已返回 `partial/write_uncertain` 时先只读回查，禁止直接重放写入。
 
 ### 4) 文件处理确认
 

package/skills/weaver-e10-jucailin/SKILL.md

@@ -80,7 +80,12 @@ weaver-work-cli --json ehr run <operation> --input -
 ## 失败处理
 
 - 遇到 `partial`、`write_uncertain`、登录失效、回查失败或网络中断，立即停止当前写流程，不自动重试写入，先做一次只读回查再决定。
-- `code=302` 或认证类错误：引导用户执行 `weaver-work-cli auth login`，不要用其他方式排查。
+- `code=302` 或认证类错误：停止当前操作并读取 `weaver-e10-shared` 的认证规则。
+  - 登录失效的认证方式必须由 Agent 复用本任务开始时的宿主判定，禁止调用任何其他登录 Skill。
+  - 明确为 XiaoE 时，只执行 `weaver-work-cli auth xiaoe`，不得改用 `auth login`。
+  - 统一登录返回 `authentication/xiaoe_credential_unavailable` 时停止并反馈宿主凭据不可用，不自动回退浏览器登录。
+  - 非 XiaoE 时不得执行 `auth xiaoe`；取得用户确认的真实 E10 登录域名后，执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`。
+  - 登录恢复后读操作可重新执行；写操作不得复用旧 continuation，必须重新 prepare 并重新确认。已返回 `partial/write_uncertain` 时先只读回查，禁止直接重放写入。
 - 业务失败看 stderr JSON 的 `error.type` / `error.subtype` / `error.message`，不要用退出码 `0` 判断成功。
 
 ## 平台兼容

package/skills/weaver-e10-jucailin/references/hr-contact.md

@@ -89,4 +89,4 @@ printf '%s\n' '{"resourceId":123,"changeDateStart":"2026-01-01","changeDateEnd":
 - `enum_invalid`：`type`、`sex`、`changeType` 等取值不在允许集合内。
 - `date_range_incomplete`：`empchange.list` 的起止日期只提供了一个。
 - `date_range_invalid`：开始日期晚于结束日期。
-- 认证类错误：引导用户执行 `weaver-work-cli auth login`。
+- 认证类错误：停止查询并执行入口 `SKILL.md` 的登录失效强制分流；XiaoE 只走 `auth xiaoe`，非 XiaoE 只走 `auth login`，禁止其他登录 Skill。

package/skills/weaver-e10-jucailin/references/salary.md

@@ -107,4 +107,4 @@ printf '%s\n' '{"salaryYearMonth":["2026-01","2026-03"]}' | weaver-work-cli --js
 - `year_range_incomplete`：`startYear` 与 `endYear` 只提供了一个。
 - `siaccount_scope_required`：社保台账查询未提供任何范围条件，必须补月份范围或人员/组织 ID。
 - `salary_info_id_required` / `salary_info_id_invalid`：`salaryInfoId` 缺失或不是数字 ID。
-- 认证类错误：引导用户执行 `weaver-work-cli auth login`，不要读取或解析认证目录。
+- 认证类错误：停止查询并执行入口 `SKILL.md` 的登录失效强制分流；XiaoE 只走 `auth xiaoe`，非 XiaoE 只走 `auth login`，禁止其他登录 Skill，也不要读取或解析认证目录。

package/skills/weaver-e10-mail/SKILL.md

@@ -104,7 +104,12 @@ cliHelp: "weaver-work-cli mail --help"
 - 失败后先看进程退出码、`error.type`、`error.subtype` 和 `error.message`
 - **除非错误明确提示可恢复或需要补充参数，否则不要重复刷同一个 operation**
 - 写请求已经发出后，遇到结果不确定必须停止；不要把 `.apply` 当成可重试读操作
-- **错误为 `authentication`（未登录，如 `E10 auth not found`）或 `session_expired`（登录态失效）时：立即停止当前操作，不要用示例占位域名或自行猜域名登录，也不要盲目重试**。先读取共享规则 `../weaver-e10-shared/references/e10-auth-and-session.md`，按其中流程用宿主提问/弹框让用户输入 E10 登录域名或选择已有 profile，完成登录后再继续原操作。
+- **错误为 `authentication`（未登录，如 `E10 auth not found`）或 `session_expired`（登录态失效）时：立即停止当前操作，不要用示例占位域名或自行猜域名登录，也不要盲目重试**。先读取共享规则 `../weaver-e10-shared/references/e10-auth-and-session.md`。
+  - 登录失效的认证方式必须由 Agent 复用本任务开始时的宿主判定，禁止调用任何其他登录 Skill。
+  - 明确为 XiaoE 时，只执行 `weaver-work-cli auth xiaoe`，不得改用 `auth login`。
+  - 统一登录返回 `authentication/xiaoe_credential_unavailable` 时停止并反馈宿主凭据不可用，不自动回退浏览器登录。
+  - 非 XiaoE 时不得执行 `auth xiaoe`；取得用户确认的真实 E10 登录域名后，执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`。
+  - 登录恢复后读操作可重新执行；写操作不得复用旧 continuation，必须重新 prepare 并重新确认。已返回 `partial/write_uncertain` 时先只读回查，禁止直接重放写入。
 
 ### 4) 附件、图片和文件解析确认
 

package/skills/weaver-e10-meeting/SKILL.md

@@ -5,7 +5,7 @@ display_name_en: Weaver E10 Meeting Management
 description: "泛微 E10 会议管理，帮您处理会议日常事务：[会议]-查询今天/本周/我的会议与会议详情，预约建会（自动做会议室与参会人冲突检测），会议改期/换地点/改参会人、取消、删除；[会议室]-查询会议室与占用/空闲情况；[参会与回执]-查参会人名单、填写/更新会议回执；[签到]-查签到与签退情况、补签、补签退、清除签到记录；[会议资料]-会议议题（查看/更新/删除）、议题类型、会议纪要查询、会议类型与应用设置、会议决议发布与决议任务跟踪。认证与会话由 weaver-e10-shared 提供。"
 description_zh: "泛微 E10 会议管理，帮您处理会议日常事务：[会议]-查询今天/本周/我的会议与会议详情，预约建会（自动做会议室与参会人冲突检测），会议改期/换地点/改参会人、取消、删除；[会议室]-查询会议室与占用/空闲情况；[参会与回执]-查参会人名单、填写/更新会议回执；[签到]-查签到与签退情况、补签、补签退、清除签到记录；[会议资料]-会议议题（查看/更新/删除）、议题类型、会议纪要查询、会议类型与应用设置、会议决议发布与决议任务跟踪。认证与会话由 weaver-e10-shared 提供。"
 description_en: "Weaver E10 meeting management for daily meeting tasks: [Meetings] query today's / this week's / my meetings and meeting details, book meetings with automatic room & attendee conflict checks, reschedule / change location / change attendees, cancel, delete; [Rooms] query meeting rooms and occupancy / availability; [Attendees & receipts] view attendee lists, fill in / update meeting receipts; [Sign-in] view sign-in / sign-out status, manual sign-in, manual sign-out, clear sign-in records; [Meeting content] meeting agenda (view / update / delete), agenda types, minutes query, meeting types, application settings, meeting decision publishing and decision task tracking. Auth and session are provided by weaver-e10-shared."
-version: 2.13.0
+version: 2.14.0
 author: 泛微网络科技股份有限公司
 agent_created: true
 requires:
@@ -112,7 +112,7 @@ cliHelp: "weaver-work-cli meeting --help"
 | EB 会议类型列表 / 新建 / 删除 | `meeting.eb.type.list` / `.create` / `.delete` | [meeting-eb.md](references/meeting-eb.md) |
 | EB 议题类型列表 / 详情 / 更新 / 删除 | `meeting.eb.topicType.list` / `.detail` / `.update` / `.delete` | [meeting-eb.md](references/meeting-eb.md) |
 | EB 会议议题列表 / 详情 / 更新 / 删除 | `meeting.eb.topic.list` / `.detail` / `.update` / `.delete` | [meeting-eb.md](references/meeting-eb.md) |
-| EB 应用设置（判断审批/流程建会） | `meeting.eb.baseSet.get` | [meeting-eb.md](references/meeting-eb.md) |
+| EB 应用设置（`only_flow_create`/`open_mt_approve` 建会闸门与冲突策略的依据） | `meeting.eb.baseSet.get` | [meeting-eb.md](references/meeting-eb.md) |
 | **EB 发布会议决议**（写决议 + 自动把会议标为已决议） | **`meeting.eb.decision.publish.prepare` → `apply`** | [meeting-eb.md](references/meeting-eb.md) |
 | EB 决议列表 / 详情 / 删除 | `meeting.eb.decision.list` / `.detail` / `.delete.prepare` → `apply` | [meeting-eb.md](references/meeting-eb.md) |
 | EB 决议任务列表（按会议 / 执行人 / 状态） | `meeting.eb.decisionTask.list` | [meeting-eb.md](references/meeting-eb.md) |
@@ -123,12 +123,12 @@ cliHelp: "weaver-work-cli meeting --help"
 | EB 传参口径（人员传 **HRM 员工 id**，非 E10 userId；日期 `yyyy-MM-dd HH:mm`） | — | [meeting-eb.md](references/meeting-eb.md) |
 
 > **给验证方（其他智能体）**：需要"验证所有会议功能"时，直接交付 [meeting-verification.md](references/meeting-verification.md)
-> —— 内含全部 **99 个 operation**（标准版 28 + EB 版 70 + 跨模式 1）的逐条判据、写链路模板、14 个负向用例、
+> —— 内含全部 **99 个 operation**（标准版 28 + EB 版 70 + 跨模式 1）的逐条判据、写链路模板、15 个负向用例、
 > 8 项不在范围的功能清单，以及可直接粘贴的验证提示词与回执模板。
 
 ## 处理链：预约会议（高风险写，强制确认链）
 
-1. **环境模式确定（强制第一步）**：跑 `meeting.env.detect`（默认读缓存，`refresh:true` 强制刷新）；`mode=eb` → 本处理链改用 EB operations：先 `meeting.eb.baseSet.get` 读 `only_flow_create`/`open_mt_approve` 判断是否需走流程（需走 → 提示走 workflow，CLI 不直接建会），再 `meeting.eb.meeting.create.prepare`；`env_unavailable` → 提示并停止。
+1. **环境模式确定（强制第一步）**：跑 `meeting.env.detect`（默认读缓存，`refresh:true` 强制刷新）；`mode=eb` → 本处理链改用 EB operations：`meeting.eb.meeting.create.prepare` 会**自行读取应用设置**并执行建会路径闸门（`only_flow_create=1` 或 `open_mt_approve=1` → 直接拒绝 `policy/conflict_rejected`，提示改用 `weaver-e10-workflow` 发起流程；读不到应用设置 → `conflict_check_failed`），**调用方不需要、也不得自行判断后继续建会**；`env_unavailable` → 提示并停止。
 2. 解析意图：名称 / 时间（`yyyy-MM-dd HH:mm`）/ 会议室 / 参会人 / 类型；缺失字段先向用户确认，**禁止字段未确认直接建会**。
 3. `meeting.room.list`（带时间范围）推荐空闲会议室、`meeting.type.list` 推荐类型，交用户点选。
 3. `meeting.create.prepare`：自动执行建会路径检查（`onlyFlowCreate=1` 或周期工作流 → 拒绝并提示走流程）与**强制冲突检测**（接口失败视为冲突；`cansub=false` 直接拒绝；`cansub=true` 有冲突描述 → warnings 如实告知并建议换时间/地点，**但不阻止提交**，是否继续由用户决定；CLI 不主动建议忽略冲突）。
@@ -159,7 +159,12 @@ cliHelp: "weaver-work-cli meeting --help"
 - 写请求发出后网络中断 / 超时 → CLI 返回 `partial/write_uncertain`：**立即停止，禁止自动重试**，先 `meeting.list` / `meeting.receipt.list` 只读回查确认是否已生效，确未生效才可重新 prepare。
 - `apply` 返回 `target_changed` / `continuation_expired` → 重新执行 prepare，向用户重新确认。
 - 冲突 `conflict_rejected` → 直接停止，不提供任何绕过选项。
-- `session_expired` → 先完成 E10 登录，再从失败步骤续跑，已成功的步骤不重做。
+- `session_expired` → 立即停止当前操作并读取 `weaver-e10-shared` 的认证规则。
+  - 登录失效的认证方式必须由 Agent 复用本任务开始时的宿主判定，禁止调用任何其他登录 Skill。
+  - 明确为 XiaoE 时，只执行 `weaver-work-cli auth xiaoe`，不得改用 `auth login`。
+  - 统一登录返回 `authentication/xiaoe_credential_unavailable` 时停止并反馈宿主凭据不可用，不自动回退浏览器登录。
+  - 非 XiaoE 时不得执行 `auth xiaoe`；取得用户确认的真实 E10 登录域名后，执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`。
+  - 登录恢复后读操作可重新执行；写操作不得复用旧 continuation，必须重新 prepare 并重新确认。已返回 `partial/write_uncertain` 时先只读回查，禁止直接重放写入。
 
 ## 不在范围
 
@@ -170,7 +175,7 @@ cliHelp: "weaver-work-cli meeting --help"
 - **⚠️ EB 返回值解析（真机踩坑，必看）**：EB 接口里**人员 / 关联 / 状态 / 选择类字段返回的是「对象数组」**（如 `[{"name":"崔智友","id":"1305319807700025376"}]`），**不是字符串** —— 取 id 读 `[0].id`、显示名读 `[0].name`；**禁止**把整个数组当字符串拼接（会显示成 `System.Object[]`，看起来像"字段为空"）。已实测这类形态：`executors` / `rummager` / `mt_id` / `relate_decision` / `decision_status` / `detail1[].executor`；而 `finish_status`（"未完成"/"已完成"）、日期、`id` 是字符串。另注意 **`sign.list` 返回的 `mt_id` 是「会议室/会议名称」而筛选参数 `mt_id` 才是会议 id**。
 - **⚠️ EB 写操作失败语义（真机踩坑，必看）**：**EB 写接口"报错"≠"没有写入"** —— 实测 `create_mt_decision` 因字段校验失败返回错误时，主表与明细其实**已经落库**，重试产生了重复数据。因此写操作失败后**必须先回查**（list/detail）再决定重试或删除；CLI 的语义化写操作（`decision.publish`、`sign.mark`）在拿不到明确成功证据时会抛 **`partial`** 并提示"先回查、勿盲目重试"，请如实转达用户。
 - EB 版纪要**创建**未实现（该功能走 OpenAPI、无自定义 interfacePk），仅支持 `meeting.eb.minute.list` 查询。
-- 周期会议走工作流（`repeatWorkFlowBaseIds` 非空）与 `onlyFlowCreate=1` 的流程建会需要工作流集成，CLI 会主动拒绝。
+- 周期会议走工作流（`repeatWorkFlowBaseIds` 非空）与 `onlyFlowCreate=1`（EB 版为 `only_flow_create=1` / `open_mt_approve=1`）的流程建会需要工作流集成：**CLI 会主动拒绝并转 `weaver-e10-workflow`**（标准版 `assertCreatePathAllowed`；**EB 版为 `meeting.eb.meeting.create.prepare` 的建会路径闸门，2026-10-15 补齐** —— 此前 EB 版只写在文档里、代码未拦，导致 `only_flow_create=1` 仍能直接建会落库）。
 - **冲突处置严格按应用设置，CLI 不额外加码**：`=1`「禁止提交」→ 怎么都不允许提交（抛 `conflict_rejected`，不询问、不新建）；`=0`「仅提醒」→ 如实告知冲突并建议换时间/换地点，**但不阻止提交** —— 用户了解冲突后仍要求新建时，可继续 `apply` 完成建会。**检测失败 → `conflict_check_failed` 拒绝**（策略无法判定时保守处理）。
 - **签到**：查询统计（`meeting.sign.list`）与写操作（补签 `meeting.sign.mark`、补签退 `meeting.sign.back`、清除签到 `meeting.sign.clear`）**已实现**；**本人扫码签到（`signMeeting`）不提供**——它依赖现场二维码票据（qrticket）与设备 IP，由 AI 代签会破坏签到真实性，请引导用户现场扫码或走 H5 签到；签到二维码与大屏签到未实现。
 - **删除是软删**：`meeting.delete` 走 `update mt_detail set delete_type = 2`，会议**进入回收站、可以还原**；CLI 暂无还原能力，需要恢复时请引导用户到**会议回收站页面**操作。**不要**再对用户说"彻底删除、不可逆"。

package/skills/weaver-e10-meeting/references/meeting-eb.md

@@ -183,9 +183,13 @@ weaver-work-cli --json meeting run meeting.eb.meeting.create.prepare --input-jso
 
 ## 建会特别说明（EB 版）
 
-1. 先 `meeting.eb.baseSet.get` 读 `only_flow_create` / `open_mt_approve` / `mt_new_wf`：
-   - `only_flow_create=1` 或审批开启 → **会议需经流程创建**，CLI 不直接建会，提示用户走 workflow；
-   - 未开启 → 可 `meeting.eb.meeting.create.prepare`。
+1. ⛔ **建会路径闸门（CLI 强制，2026-10-15 补齐）**：`meeting.eb.meeting.create.prepare` 会**先读应用设置**（`query_meeting_baseset`，与冲突检测**共用同一次读取**），不需要调用方自己判断：
+   - `only_flow_create=1`（只允许通过流程新建会议）→ **直接拒绝**：`policy/conflict_rejected`，并给出 `mt_new_wf` 工作流 id，提示改用 `weaver-e10-workflow` 发起流程建会；
+   - `open_mt_approve=1`（会议提交需审批）→ **同样拒绝**：会议须由流程/ESB 创建，手动 `create_meeting` 会绕开审批并与自动建会**重复**；
+   - 应用设置**读不到** → 保守拒绝（`policy/conflict_check_failed`）：无法判定是否允许直接建会时**不放行**；
+   - 两个开关都不是 `1` → 正常返回 `AWAITING_CONFIRMATION` 预览。
+   - ⚠️ **不要"先读 `meeting.eb.baseSet.get` 再判断后照样建会"**：闸门在 CLI 内，读到了也建不了；正确动作是**停手并如实转达**（附带 `mt_new_wf`）。闸门只针对**新建**，变更/取消不受影响。
+   - 如需 CLI 直接建会，只能由管理员先在会议应用设置里关闭该开关。
 2. `mt_hours` 由 CLI 按 `begin_datetime`/`end_datetime` **自动计算**（小时，支持小数），无需用户提供。
 3. `caller`/`contacter` 未指明时 CLI 默认填当前用户。
 4. ⭐ **建会成功后 CLI 会自动补建关联数据**（占用 / 回执 / 签到）—— 自定义接口 `create_meeting` **不会**像页面建会那样生成它们，而这三样是**冲突检测与补签的硬依赖**：

package/skills/weaver-e10-meeting/references/meeting-queries.md

@@ -58,4 +58,6 @@ weaver-work-cli --json meeting run meeting.detail.field --input-json '{"id":"130
 
 - `env_unavailable`：提示环境会议应用未安装或接口未配置完整，停止。
 - `permission_denied`（HTTP 403 语义）：提示联系管理员开通接口权限。
-- `session_expired`：走 `weaver-work-cli auth login --base-url <域名>` 登录流程。
+- `session_expired`：停止查询并执行入口 `SKILL.md` 的登录失效强制分流。
+  - XiaoE 只执行 `weaver-work-cli auth xiaoe`；失败时停止，不回退浏览器登录。
+  - 非 XiaoE 在确认真实 E10 域名后执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`；禁止调用其他登录 Skill。

package/skills/weaver-e10-meeting/references/meeting-verification.md

@@ -155,7 +155,7 @@
 
 | # | operation | 风险 | 必填入参 | 判据 | 回读 / 清理 |
 |---|---|---|---|---|---|
-| 87 | `meeting.eb.baseSet.get` | read | — | 返回 `only_flow_create` / `open_mt_approve` / 冲突策略 | 建会前必读 |
+| 87 | `meeting.eb.baseSet.get` | read | — | 返回 `only_flow_create` / `open_mt_approve` / `mt_new_wf` / 冲突策略 | 建会闸门与冲突策略的依据（`create.prepare` 会自行读取） |
 | 88 | `meeting.eb.decision.list` | read | — | `R-LIST`+`R-COUNT` | — |
 | 89 | `meeting.eb.decision.detail` | read | `id` | `R-DETAIL`（带 `detail1` 明细） | — |
 | 90 | `meeting.eb.decision.create.prepare` | read-before-write | `mt_id`,`mt_content`,`detail1` | `W-PREP` | 记 `continuation` |
@@ -199,6 +199,7 @@ weaver-work-cli --json meeting run meeting.eb.meeting.create.prepare --input-jso
 ### 5.1 EB 写链路验证模板（六步，可照抄）
 
 1. `meeting.eb.meeting.create.prepare`（`mt_name` 用 `CLI-VERIFY-<时间戳>`）→ 记 `continuation`、检查 `preview.body`。
+   ⛔ **先看应用设置**：`only_flow_create=1` 或 `open_mt_approve=1` 时 prepare **必须拒绝**（`policy/conflict_rejected`）—— 这是 CLI 闸门在起作用，属于**预期结果**，不是失败；此时 EB 写链路到此止步（如实报告，**不得**改走原始接口自行建会）。读不到应用设置时同样是拒绝（`conflict_check_failed`）。
 2. `meeting.eb.meeting.create.apply`（`confirm:true` + `continuation`）→ 看 `data.association`（占用/回执/签到补建结果与 warnings）。
 3. `meeting.eb.meeting.list` 回读 → 拿到自建会议 id 与状态。
 4. 业务子链路：占用（`roomUsage.list?mt_id=`）/签到（`sign.list?mt_id=`）/回执（`receipt.list?mt_id=`）/决议（`decision.create|publish`）/决议任务（`decisionTask.list?mt_id=`）。
@@ -227,7 +228,7 @@ weaver-work-cli --json meeting run meeting.eb.meeting.create.prepare --input-jso
 
 > 附加归属事实（避免误报）：**排座在 EB 版没有该功能**；**标准版会议本身没有议题/纪要**（EB 独有）；两套数据互不相通。
 
-## 7. 负向与边界用例（14 项，验证"完整"的关键）
+## 7. 负向与边界用例（15 项，验证"完整"的关键）
 
 | # | 场景 | 构造 | 期望 |
 |---|---|---|---|
@@ -245,6 +246,7 @@ weaver-work-cli --json meeting run meeting.eb.meeting.create.prepare --input-jso
 | 12 | 冲突拦截 | 同房间同时间段重复建会 | `conflict_rejected`（应用设置=禁止）或非空 `warnings`（=仅提醒） |
 | 13 | 越权 | 用他人不可见会议 id 执行 `change.prepare` | 服务端权限文案**原文转达**（如"您没有变更权限！"） |
 | 14 | 汇总口径 | `decisionTask.list` / `sign.list` / `receipt.list` | `progress.page` 明确给出「当页条数 vs 总数」；未跟进执行人计入 total；`is_sign="0"`（缺席）与空（未签到）**分开统计** |
+| 15 | **建会路径闸门** | `meeting.eb.baseSet.get` 读到 `only_flow_create=1`（或 `open_mt_approve=1`）后跑 `meeting.eb.meeting.create.prepare` | **必须拒绝**（`policy/conflict_rejected`，details 带开关值与 `mt_new_wf`），且 `list` 回查**无新会议落库**；应用设置读不到 ⇒ `policy/conflict_check_failed`。**拒绝即通过**，禁止改走原始接口建会 |
 
 ## 8. 回执报告模板（执行方产出）
 

package/skills/weaver-e10-okr/SKILL.md

@@ -103,7 +103,12 @@ OKR 目标在不同租户走**两套互不兼容的接口链路**，由 `okr.ver
 ## 失败处理
 
 - 遇到 `partial`、`write_uncertain`、登录失效、回查失败或网络中断，立即停止当前写流程，不自动重试写入。
-- 认证类错误（`authentication`/`session_expired`）：引导用户执行 `weaver-work-cli auth login`，不要用其他方式排查。
+- 认证类错误（`authentication`/`session_expired`）：停止当前操作并读取 `weaver-e10-shared` 的认证规则。
+  - 登录失效的认证方式必须由 Agent 复用本任务开始时的宿主判定，禁止调用任何其他登录 Skill。
+  - 明确为 XiaoE 时，只执行 `weaver-work-cli auth xiaoe`，不得改用 `auth login`。
+  - 统一登录返回 `authentication/xiaoe_credential_unavailable` 时停止并反馈宿主凭据不可用，不自动回退浏览器登录。
+  - 非 XiaoE 时不得执行 `auth xiaoe`；取得用户确认的真实 E10 登录域名后，执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`。
+  - 登录恢复后读操作可重新执行；写操作不得复用旧 continuation，必须重新 prepare 并重新确认。已返回 `partial/write_uncertain` 时先只读回查，禁止直接重放写入。
 - `policy/link_unsupported`：当前链路没有该能力，不要换接口硬试，按 reference 中的替代路径处理。
 - `validation/link_filter_unsupported`：ebuilder 链路列表不支持该筛选条件，改用 `query_scope=self` 或 `principalid` + 周期条件。
 - `validation/period_quarter_invalid`、`validation/scope_data_id_required`、`validation/principal_dept_required`：补齐周期/部门参数后重试 prepare。

package/skills/weaver-e10-okr/references/source-manifest.json

@@ -573,7 +573,7 @@
     }
   },
   "artifactBaseline": {
-    "aggregateSha256": "a7f377dea03cae7c8dfb0db3eafd1b99a87af21c10ab5dd04773d7b4270d9475",
+    "aggregateSha256": "f8508d19149dc2bd6c305383e5271a9052148402e0ef4c1505f7718012bf4f15",
     "files": [
       {
         "path": "src/shortcuts/okr/errors.ts",
@@ -587,8 +587,8 @@
       },
       {
         "path": "src/shortcuts/okr/host.ts",
-        "size": 8055,
-        "sha256": "91b35df368109b84077a42b937c8c47b606d0d272bb5d44481f1ad9c675aec6b"
+        "size": 8002,
+        "sha256": "b2d225d0061093e4a82c3e5bbcbf14f7994e605e55177d6914185f81b99d7c92"
       },
       {
         "path": "src/shortcuts/okr/index.ts",
@@ -647,8 +647,8 @@
       },
       {
         "path": "skills/weaver-e10-okr/SKILL.md",
-        "size": 10465,
-        "sha256": "200e19e57c42b086b57294e3aacb6ab45d471c43374cf8c901a80644cd4e03d1"
+        "size": 11252,
+        "sha256": "69e3095d6513f61c655be4f22749f2b882caa60f06725f1a2152351454898b46"
       },
       {
         "path": "docs/okr.md",

package/skills/weaver-e10-plan/SKILL.md

@@ -109,7 +109,12 @@ weaver-work-cli --json plan run <operation> --input-json '{"key":"value"}'
 
 ## 失败处理
 
-- 认证类错误（`authentication` / `session_expired`）：先向用户确认 E10 登录域名，再执行 `weaver-work-cli auth login`，不要用其他方式排查。
+- 认证类错误（`authentication` / `session_expired`）：停止当前操作并读取 `weaver-e10-shared` 的认证规则。
+  - 登录失效的认证方式必须由 Agent 复用本任务开始时的宿主判定，禁止调用任何其他登录 Skill。
+  - 明确为 XiaoE 时，只执行 `weaver-work-cli auth xiaoe`，不得改用 `auth login`。
+  - 统一登录返回 `authentication/xiaoe_credential_unavailable` 时停止并反馈宿主凭据不可用，不自动回退浏览器登录。
+  - 非 XiaoE 时不得执行 `auth xiaoe`；取得用户确认的真实 E10 登录域名后，执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`。
+  - 登录恢复后读操作可重新执行；写操作不得复用旧 continuation，必须重新 prepare 并重新确认。已返回 `partial/write_uncertain` 时先只读回查，禁止直接重放写入。
 - `policy` / `link_unsupported`：该能力在当前链路不可用（例如 eb 链路的撤回、提交提醒、评论），按错误 `message` 给出的替代路径处理。
 - `validation` / `not_found` / `report_exists` / `already_published` / `not_published`：属业务前置条件不满足，先向用户说明再决定下一步，禁止反复重试。
 - `partial` / `write_uncertain`：立即停止写入流程，做一次只读回查后向用户说明。

package/skills/weaver-e10-plan/references/plan-overview-and-routing.md

@@ -133,6 +133,8 @@ weaver-work-cli --json plan run plan.version.check --input-json '{"refresh":true
 
 ## 失败处理
 
-- `authentication` / `session_expired`：先向用户确认 E10 登录域名，再执行 `weaver-work-cli auth login`。
+- `authentication` / `session_expired`：停止当前操作并执行入口 `SKILL.md` 的登录失效强制分流。
+  - XiaoE 只执行 `weaver-work-cli auth xiaoe`；失败时停止，不回退浏览器登录。
+  - 非 XiaoE 在确认真实 E10 域名后执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`；禁止调用其他登录 Skill。
 - `policy` / `link_unsupported`：该能力在当前链路不可用，按 `message` 给出的替代路径处理。
 - `endpoint_not_found`（HTTP 404）：当前环境可能未部署「计划报告」相关应用或接口，先向用户说明再决定是否停止。

package/skills/weaver-e10-plan/references/plan-report-query.md

@@ -151,4 +151,6 @@ weaver-work-cli --json plan run plan.comment.list --input-json '{"reportId":"PLA
 - `not_found`：目标报告不存在。按周期查询时 `exists:false` 是正常结果，不是错误。
 - `validation/type_invalid` / `validation/serial_number_invalid` / `validation/year_invalid`：入参不合法，按提示修正后重试一次。
 - `policy/link_unsupported`：该能力在当前链路不可用，按 `message` 说明告知用户。
-- `authentication` / `session_expired`：先确认 E10 登录域名再执行 `weaver-work-cli auth login`。
+- `authentication` / `session_expired`：停止查询并执行入口 `SKILL.md` 的登录失效强制分流。
+  - XiaoE 只执行 `weaver-work-cli auth xiaoe`；失败时停止，不回退浏览器登录。
+  - 非 XiaoE 在确认真实 E10 域名后执行 `weaver-work-cli auth login --base-url "<用户确认的 E10 登录域名>" --agent_type "<当前智能体名称>"`；禁止调用其他登录 Skill。