weaver-work-cli 0.1.7 → 0.1.20

package/skills/weaver-e10-yimiaoban/SKILL.md

@@ -11,14 +11,14 @@ agent_created: true
 requires:
   bins: ["weaver-work-cli"]
 dependencies:
-  - weaver-e10-login
   - weaver-e10-shared
 cliHelp: "weaver-work-cli im --help"
 ---
 
 # 泛微易秒办（im）
 
-**CRITICAL — 开始前 MUST 先用 Read 工具读取 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md)，其中包含安装、E10 认证、JSON 输出和高风险写入规则。若不存在则必须先执行 `weaver-work-cli skills install shared --target-dir <当前Agent的Skills目录>`，若 CLI 未安装则先执行 `npm install -g weaver-work-cli`，安装或读取失败时必须停止执行。**
+**CRITICAL — 开始前 MUST 先用 Read 工具读取 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md)，其中包含安装、E10 认证、JSON 输出和高风险写入规则。若共享规则不存在、CLI 未安装或读取失败，说明本技能的必需依赖缺失，必须先提示用户先补齐 `weaver-work-cli` 与共享 skill `weaver-e10-shared`（不补齐本技能无法执行），并把下面两条待执行命令原样完整展示给用户；Agent 不能自行安装——必须先取得用户明确确认后再执行。用户确认后按顺序执行且仅执行一次：① 缺 CLI 时执行 `npm install -g weaver-work-cli`；② 再执行 `weaver-work-cli skills install shared --target-dir <SKILLS_ROOT>` 装回共享 skill，`<SKILLS_ROOT>` 取本 SKILL.md 所在目录的上一级绝对目录（即与本技能同级的 skills 根目录），不要省略 `--target-dir`——省略会装进默认目录，导致本技能依然读不到共享规则。命令均成功后重新读取共享规则；仍读不到就停止并把结果报告用户，不得凭猜测继续。**
+**`--is-connector` 判据**：用户明确使用连接器、或上下文要求用连接器完成任务 → 传 `true`；本次任务或上下文直接选择单独技能 → 不传；用户没有明确说明时，按**正在运行的这份 Skill 是哪一级**定——**用户级（条目标 `(user)`）不传，连接器级（标 `(connector)`）传**（同名 Skill 只会运行用户级那一份）。传 `true` 时不要再写 `--profile` / `--base-url`。完整规则见 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md)。
 
 共享规则覆盖命令可用性检查、E10 认证、JSON 输出契约、大结果渲染和高风险写入确认链，本技能不再重复。
 
@@ -26,17 +26,9 @@ cliHelp: "weaver-work-cli im --help"
 
 ## 认证与请求头契约
 
-**登录与会话一律由 `weaver-e10-login` 技能提供**（小 E 宿主环境优先 `weaver-work-cli auth xiaoe`，其它环境由用户提供自有域名后走 `weaver-work-cli auth login`）。本技能**不自建登录**：禁止扫码/账号密码/自建 OAuth 取 token，禁止使用浏览器自动化登录，也不接触、打印、转存任何认证文件。
+**登录与会话一律由 `weaver-e10-shared` 共享规则和 `weaver-work-cli auth ...` 命令体系托管**（小 E 宿主环境优先 `weaver-work-cli auth xiaoe`，其它环境由用户提供自有域名后走 `weaver-work-cli auth login`）。本技能**不自建登录**：禁止扫码/账号密码/自建 OAuth 取 token，禁止使用浏览器自动化登录，也不接触、打印、转存任何认证文件。
 
-`weaver-work-cli im` 发往 E10 的每个请求（`/api/em/msg/executeIm/...`、`/api/em/msg/createDing`、`/api/hrm/common/getEmployeeByIds`、`/api/file/...` 等）都由 CLI 统一携带以下三项用户信息参数，缺一不可（业务入参里不要传、也不要手工拼装请求头）：
-
-```text
-Cookie: <weaver-e10-login 返回的完整原始 Cookie 串，原样透传，禁止裁剪/去重/改写>
-eteamsid: <weaver-e10-login 返回的 ETEAMSID>
-User-Agent: AgentType=<agentType>,IsAgent=true
-```
-
-三项若缺任一，服务端无法识别操作者或会判定登录失效；`weaver-work-cli im` 的每个 operation 都已在请求头中带齐。
+`weaver-work-cli im` 发往 E10 的每个请求都由 CLI 统一注入请求头三件套，业务入参里不要传这些字段，也不要手工拼装请求头；唯一权威声明见 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md) 的「请求头契约」章节。每个 operation 都已在请求头中带齐，缺任一服务端都无法识别操作者或会判定登录失效。
 
 业务输入只描述业务对象与意图，凭证与请求头由 CLI 托管；需要诊断登录态时只用 `weaver-work-cli auth` / `doctor --e10` 与业务命令返回的 JSON 错误。
 

package/skills/weaver-e10-yimiaoban/references/source-manifest.json

@@ -2265,7 +2265,7 @@
     }
   },
   "artifactBaseline": {
-    "aggregateSha256": "d3e6709913e3bc850de91b9cd30b801a76dedff3c7886131e2497667e3f7358b",
+    "aggregateSha256": "ef5648f34b8db6158058279b07d9849ea9c18a0a3b8918ee57f7a98f18a84547",
     "files": [
       {
         "path": "docs/im.md",
@@ -2282,8 +2282,8 @@
       {
         "path": "skills/weaver-e10-yimiaoban/SKILL.md",
         "role": "generated-reference",
-        "size": 11571,
-        "sha256": "b9c99aabd28c97fee59983ccb5c90270dfa521bfab85c47ffb523a940596e8c7"
+        "size": 12569,
+        "sha256": "c221f7650948c02ec2bfa48f424826d98fc5b0f5581de9951905f00c920caa70"
       },
       {
         "path": "skills/weaver-e10-yimiaoban/references/ding-write.md",

package/skills/weaver-e10-ziguanjia/SKILL.md

@@ -13,7 +13,8 @@ requires:
 cliHelp: "weaver-work-cli asset --help"
 ---
 
-**CRITICAL — 开始前 MUST 先用 Read 工具读取 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md)，其中包含安装、E10 认证、JSON 输出和高风险写入规则。若不存在则必须先执行 `weaver-work-cli skills install shared --target-dir <当前Agent的Skills目录>`，若 CLI 未安装则先执行 `npm install -g weaver-work-cli`，安装或读取失败时必须停止执行。**
+**CRITICAL — 开始前 MUST 先用 Read 工具读取 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md)，其中包含安装、E10 认证、JSON 输出和高风险写入规则。若共享规则不存在、CLI 未安装或读取失败，说明本技能的必需依赖缺失，必须先提示用户先补齐 `weaver-work-cli` 与共享 skill `weaver-e10-shared`（不补齐本技能无法执行），并把下面两条待执行命令原样完整展示给用户；Agent 不能自行安装——必须先取得用户明确确认后再执行。用户确认后按顺序执行且仅执行一次：① 缺 CLI 时执行 `npm install -g weaver-work-cli`；② 再执行 `weaver-work-cli skills install shared --target-dir <SKILLS_ROOT>` 装回共享 skill，`<SKILLS_ROOT>` 取本 SKILL.md 所在目录的上一级绝对目录（即与本技能同级的 skills 根目录），不要省略 `--target-dir`——省略会装进默认目录，导致本技能依然读不到共享规则。命令均成功后重新读取共享规则；仍读不到就停止并把结果报告用户，不得凭猜测继续。**
+**`--is-connector` 判据**：用户明确使用连接器、或上下文要求用连接器完成任务 → 传 `true`；本次任务或上下文直接选择单独技能 → 不传；用户没有明确说明时，按**正在运行的这份 Skill 是哪一级**定——**用户级（条目标 `(user)`）不传，连接器级（标 `(connector)`）传**（同名 Skill 只会运行用户级那一份）。传 `true` 时不要再写 `--profile` / `--base-url`。完整规则见 [`../weaver-e10-shared/SKILL.md`](../weaver-e10-shared/SKILL.md)。
 
 认证和登录态只能按共享规则通过 `weaver-work-cli auth ...` 命令判断；禁止直接读取、列出、打印或解析用户主目录下的旧 `.e10-cli`、auth、config 或 Keychain 数据。
 所有命令通过 `weaver-work-cli --json asset run <operation>` 执行：简单 JSON 优先传 `--input-json '<json>'`，复杂或多行 JSON 先写入 UTF-8 文件再传 `--input <path>`，只有确认当前 shell 能稳定传管道时才使用 `--input -`。调用前先按需读取 references 下对应的文件，查参数结构，不要猜字段；**references 是第一信息源**，`weaver-work-cli asset schema` 是 operation、字段和风险等级的合约来源。

package/skills/weaver-e10-ziguanjia/references/ziguanjia-agent-entry.md

@@ -12,7 +12,7 @@ weaver-work-cli doctor --e10
 weaver-work-cli asset schema
 ```
 
-如未登录，按共享规则读取 `../../weaver-work-cli-shared/references/e10-auth-and-session.md` 后处理。
+如未登录，按共享规则读取 `../../weaver-e10-shared/references/e10-auth-and-session.md` 后处理。
 
 ## 固定入口
 
@@ -40,11 +40,11 @@ weaver-work-cli --json asset run asset.list --input-json '{"page_size":10}'
 
 ## 输出处理
 
-成功结果在 stdout，失败结果在 stderr。判断规则读取共享 reference：`../../weaver-work-cli-shared/references/json-output-contract.md`。
+成功结果在 stdout，失败结果在 stderr。判断规则读取共享 reference：`../../weaver-e10-shared/references/json-output-contract.md`。
 
 列表、详情或回查结果可能很长时，不要把 stdout 的完整 envelope 直接展示给用户。默认 `page_size=10` 小页读取；只渲染资产决策所需字段，例如资产 ID、名称、编号、类型、状态、地点、管理人/使用人。需要更多结果时按 `page_no` 分页继续；需要保留完整原始 JSON 时落本地文件并返回路径。
 
-高风险写入读取共享 reference：`../../weaver-work-cli-shared/references/high-risk-write.md`。
+高风险写入读取共享 reference：`../../weaver-e10-shared/references/high-risk-write.md`。
 
 ## 版本门禁
 

package/tools/weaver-skill-detector-1.0.13/SKILL.md

@@ -49,13 +49,13 @@ license: MIT
   <skill_dir>/scripts/validate_skill.py <用户提供的zip|.md|目录路径> [--json] [--out report.md] [--html report.html] [--market-live] [--market-catalog catalog.json] [--no-html]
 ```
 
-- **默认自动输出 HTML 报告**：每次检测默认生成美观的 HTML 报告到「输入同目录/<输入名>-report.html」（如 `a.zip` → `a-report.html`；目录输入 → 同级 `<目录名>-report.html`），控制台会打印「HTML 报告已写出: <路径>」。头部展示 **Skill 基础信息（MD5 / SHA256 / 文件大小）**、**技能能力清单**与**依赖的其他技能**标签云（独立胶囊圈选，仅展示 `weaver-` 前缀依赖），正文含各维度检测结果（威胁模型视图、行为图谱已按需求停用）。
+- **默认按需输出 HTML 报告**：未显式传 `--html` 且未传 `--no-html` 时，只有检测结论为 `WARN` 或 `FAIL` 才生成 HTML 报告到「输入同目录/<输入名>-report.html」（如 `a.zip` → `a-report.html`；目录输入 → 同级 `<目录名>-report.html`）；纯 `PASS` 不落 HTML 文件。控制台会在实际写出时打印「HTML 报告已写出: <路径>」。头部展示 **Skill 基础信息（MD5 / SHA256 / 文件大小）**、**技能能力清单**与**依赖的其他技能**标签云（独立胶囊圈选，仅展示 `weaver-` 前缀依赖），正文含各维度检测结果（威胁模型视图、行为图谱已按需求停用）。
 - 不带参数时打印**可读报告**（含每项 ✅/❌/⚠️ 状态、命中位置、修复建议）。
-- `--json` 输出结构化结果，便于二次处理（HTML 报告仍默认生成；配合 `--no-html` 可只留 JSON）。
+- `--json` 输出结构化结果，便于二次处理（默认仅 `WARN/FAIL` 生成 HTML；配合 `--no-html` 可只留 JSON）。
 - `--out report.md` 将报告落盘。
-- `--html report.html` 自定义 HTML 报告输出路径（默认路径规则见上，显式传参时以此为准）。
-- `--no-html` 完全关闭 HTML 输出（仅控制台/JSON，不落 HTML 文件）。
-- `--market-live`（推荐，**动态联网核查**）：自动联网查询 skillhub.cn 市场，为每个 **`weaver-e10-` 前缀**依赖实时标注 **市场可搜（带跳转链接）/ 市场未收录 / 核查失败**，非 `weaver-e10-` 前缀依赖标注 **跳过核查**。判定基于技能 `slug` 精确匹配（避免子串误命中，如 `weaver-e10-login` 不会误判 `weaver-e10-jucailin`）。无需任何写死的清单文件。
+- `--html report.html` 自定义 HTML 报告输出路径（显式传参时即使纯 `PASS` 也会写出）。
+- `--no-html` 关闭默认 HTML 输出（仅控制台/JSON，不落默认 HTML 文件）。
+- `--market-live`（推荐，**动态联网核查**）：自动联网查询 skillhub.cn 市场，为每个 **`weaver-e10-` 前缀**依赖实时标注 **市场可搜（带跳转链接）/ 市场未收录 / 核查失败**，非 `weaver-e10-` 前缀依赖标注 **跳过核查**。判定基于技能 `slug` 精确匹配（避免子串误命中，如 `weaver-e10-shared` 不会误判其它技能）。无需任何写死的清单文件。
 - `--market-catalog catalog.json`（可选离线快照）：不联网时传入「市场已收录技能清单」标注可达性，作为 `--market-live` 的离线替代。清单支持「列表」（`["a","b"]`，均为可搜）或「对象」（`{"a":true,"b":false}` 或富对象 `{"a":{"found":true,"market":"skillhub.cn","url":"..."}}`）。
 - `--platform weaver|qwenwork`（**平台规范切换，默认 `weaver`**）：
   - `weaver`（默认）：泛微生态规范，**既有行为完全不变**（`name` 必须 `weaver` 前缀、`display_name` 须以「泛微」开头、`author` 锁定为「泛微网络科技股份有限公司」等）。
@@ -170,10 +170,10 @@ SKILL.md 存在、frontmatter 完整、
 - **B5 敏感词占位规范（INFO）**：建议复用 `-替换敏感词占位符-`。
 - **B6/B7/B8**：子进程调用、命令行传凭证、硬编码密钥解密本地凭证。
 - **B9 API 请求凭证完整性（BLOCK）**：skill 发起对外 API 请求时，必须同时携带 ① Cookie 完整原始串（禁止裁剪/去重/改写）② eteamsid ③ User-Agent（AgentType=<agentType>,IsAgent=true），三条缺一不可；Cookie 被 split / dict / 切片改写时另计 WARN。
-- **B10 E10 接口型技能「登录 + 凭证」契约（BLOCK，仅 `weaver-e10-` 前缀技能生效，`weaver-e10-login` 自身豁免）**：
-  - **B10a 登录必须走登录 skill**：E10 接口型技能必须依赖 `weaver-e10-login`——需在 frontmatter `dependencies` 声明，或在正文/脚本中引用 `weaver-e10-login` / `e10-login` CLI / `E10_LOGIN_ENTRY`。无任何登录 skill 依赖证据即阻断。
-  - **B10b 禁止自建登录**：不得自行实现登录流程（Playwright / Selenium / Puppeteer 自动登录、扫码登录、账号密码登录、自建 OAuth 取 token），会话必须统一由登录 skill 提供。
-  - **B10c 接口文档须声明完整凭证**：文档型（无脚本）E10 技能若描述了接口请求（curl 示例 / `GET|POST /path` / 请求头 / 接口地址），必须在文档中明确请求头携带 ① Cookie 完整原始串 ② eteamsid ③ User-Agent（AgentType=...,IsAgent=true）；脚本型技能由 B9 覆盖，不重复判定。
+- **B10 E10 接口型技能「共享登录 + 凭证」契约（BLOCK，仅 `weaver-e10-` 前缀技能生效，`weaver-e10-shared` / `weaver-e10-shared-connector` 自身豁免）**：
+  - **B10a 登录必须走共享规则**：E10 接口型技能必须依赖 `weaver-e10-shared`；连接器版依赖 `weaver-e10-shared-connector`。需在 frontmatter `dependencies` 声明，或在正文/脚本中引用共享规则 / `weaver-work-cli auth`。无任何共享登录规则依赖证据即阻断。
+  - **B10b 禁止自建登录**：不得自行实现登录流程（Playwright / Selenium / Puppeteer 自动登录、扫码登录、账号密码登录、自建 OAuth 取 token），会话必须统一由共享规则与 `weaver-work-cli auth` 托管。
+  - ~~**B10c 接口文档须声明完整凭证**~~ **（2026-09-20 起停用）**：请求头三件套（Cookie 完整原始串 / eteamsid / User-Agent）已收敛为「唯一权威声明」，只写在 `weaver-e10-shared`（连接器版 `weaver-e10-shared-connector`）入口 SKILL.md 的「请求头契约」章节，业务模块一律改为指针引用、不再复制代码块。本规则按单个技能目录独立扫描，看不到 shared 的正文，继续启用会把正确的引用写法误判为 FAIL，故整段停用；脚本型技能仍由 B9 覆盖。
   - 触发前提：存在 API 表面（脚本内真实 HTTP 调用，或文档中的接口请求描述）。纯规范/UI 类 E10 技能（无接口描述）自动跳过，不误伤。
 
 **G. 扩展安全（WB，对齐官方 expert-reviewer G 组）**

package/tools/weaver-skill-detector-1.0.13/references/checklist.md

@@ -123,9 +123,9 @@
 | B7 | WV | 凭证未通过命令行明文传递 | HIGH | 子进程调用的参数块内不得出现 `ETEAMSID`/`token`/`session`/`cookie`/`password`/`secret` 等凭证字段，禁止以命令行参数或 env 明文传入凭证 |
 | B8 | WV | 无硬编码加密密钥 / 本地凭证访问 | HIGH | 不得硬编码密钥常量用于 AES 解密本地会话凭证；不得访问 `<~/.e10-cli/profiles/*/auth>` 等本地敏感凭证路径（须脱敏并限定授权范围） |
 | B9 | WV | **API 请求凭证完整性** | **BLOCK** | 发起对外 API 请求（requests / urllib / httpx / fetch / axios / curl 等）时，请求头必须同时携带 ① `Cookie` 完整原始串（禁止裁剪/去重/改写）② `eteamsid` ③ `User-Agent: AgentType=<agentType>,IsAgent=true`；缺任一项即阻断；Cookie 被 split / dict / 切片改写另计 WARN |
-| B10a | WV | **登录必须走登录 skill（E10 接口型技能）** | **BLOCK** | 仅对 `name` 为 `weaver-e10-` 前缀的技能生效（`weaver-e10-login` 自身豁免）。若为接口型技能（有脚本 HTTP 调用或文档接口描述），必须依赖 `weaver-e10-login`：frontmatter `dependencies` 声明，或正文/脚本引用 `weaver-e10-login` / `e10-login` CLI / `E10_LOGIN_ENTRY`。无任何登录 skill 依赖证据 → 阻断 |
-| B10b | WV | **禁止自建登录** | **BLOCK** | 同 B10a 适用范围。不得自行实现登录流程：Playwright / Selenium / Puppeteer 自动登录、扫码/二维码登录、账号密码登录、自建 OAuth 取 token。会话必须统一由登录 skill 提供 |
-| B10c | WV | **接口文档声明完整凭证（文档型 E10 技能）** | **BLOCK** | 同 B10a 适用范围。文档型（无脚本 HTTP 调用）技能若描述了接口请求（`curl` 示例 / `GET\|POST /path` / 请求头 / 接口地址），文档必须明确请求头携带 ① `Cookie` 完整原始串 ② `eteamsid` ③ `User-Agent: AgentType=...,IsAgent=true`；脚本型由 B9 覆盖，不重复判定 |
+| B10a | WV | **登录必须走共享规则（E10 接口型技能）** | **BLOCK** | 仅对 `name` 为 `weaver-e10-` 前缀的技能生效（`weaver-e10-shared` / `weaver-e10-shared-connector` 自身豁免）。若为接口型技能（有脚本 HTTP 调用或文档接口描述），必须依赖 `weaver-e10-shared`；连接器版依赖 `weaver-e10-shared-connector`：frontmatter `dependencies` 声明，或正文/脚本引用共享规则 / `weaver-work-cli auth`。无任何共享登录规则依赖证据 → 阻断 |
+| B10b | WV | **禁止自建登录** | **BLOCK** | 同 B10a 适用范围。不得自行实现登录流程：Playwright / Selenium / Puppeteer 自动登录、扫码/二维码登录、账号密码登录、自建 OAuth 取 token。会话必须统一由共享规则与 `weaver-work-cli auth` 托管 |
+| ~~B10c~~ | WV | ~~**接口文档声明完整凭证（文档型 E10 技能）**~~ **（2026-09-20 起停用）** | 停用 | 请求头三件套（Cookie 完整原始串 / `eteamsid` / `User-Agent: AgentType=...,IsAgent=true`）已收敛为「唯一权威声明」，只写在 `weaver-e10-shared`（连接器版 `weaver-e10-shared-connector`）入口 SKILL.md 的「请求头契约」章节，业务模块改为指针引用、不再复制代码块。本规则按单个技能目录独立扫描，看不到 shared 正文，继续启用会把正确的引用写法误判为 FAIL，故整段停用；脚本型仍由 B9 覆盖 |
 | — | WV | 触发前提与非适用 | INFO | B10 组需先检测到 API 表面（脚本内真实 HTTP 调用，或 Markdown 文档中的接口请求描述）才生效；纯规范/UI 类 E10 技能（如 `weaver-e10-ui-system`）无接口描述 → 自动跳过，不误伤。非 `weaver-e10-` 前缀技能整组不适用 |
 
 ---

package/tools/weaver-skill-detector-1.0.13/scripts/validate_skill.py

@@ -10,8 +10,8 @@
     python validate_skill.py <path_to_skill.zip|.md|directory> [--json] [--out report.md] [--html report.html]
                                      [--market-catalog catalog.json] [--market-live] [--no-html]
                                      [--platform {weaver,qwenwork}]
-    # 默认每次检测都会自动输出 HTML 报告到「输入同目录/<输入名>-report.html」（如 a.zip → a-report.html）；
-    # 显式传 --html <path> 可自定义输出路径；--no-html 可完全关闭 HTML 输出（仅控制台/JSON）。
+    # 默认仅在 WARN/FAIL 时自动输出 HTML 报告到「输入同目录/<输入名>-report.html」（如 a.zip → a-report.html）；
+    # 纯 PASS 不落 HTML；显式传 --html <path> 可强制输出；--no-html 可关闭默认 HTML 输出（仅控制台/JSON）。
     # --platform 显式指定目标发布平台（默认 weaver）：
     #     weaver    - 泛微生态（WorkBuddy 平台 + 泛微专属品牌/契约约束，原默认行为）
     #     qwenwork  - 千问办公生态（按千问开发指南校验打包硬性、frontmatter 字段、连接器契约等）
@@ -2049,30 +2049,30 @@ def check_api_request_credentials(skill_dir: Path):
 
 
 # ---------------------------------------------------------------------------
-# E10 接口型技能「登录 + 凭证」契约检测（泛微强制红线，仅对 weaver-e10- 前缀技能生效）
-#   规则 1（B10a，BLOCK）：登录必须走登录 skill —— 必须声明/引用 weaver-e10-login（或 e10-login CLI），
+# E10 接口型技能「共享登录 + 凭证」契约检测（泛微强制红线，仅对 weaver-e10- 前缀技能生效）
+#   规则 1（B10a，BLOCK）：登录必须走共享规则 —— 必须声明/引用 weaver-e10-shared（连接器版为 weaver-e10-shared-connector）
+#                          或明确通过 weaver-work-cli auth 体系处理，
 #                          且不得自建登录（Playwright/Selenium 自动登录、账号密码登录、自建 OAuth 等）。
-#   规则 2（B10c，BLOCK）：API 请求必须携带 e10-login 返回的三项用户信息参数 ——
+#   规则 2（B10c，BLOCK）：API 请求必须由 weaver-work-cli 托管并携带三项用户信息参数 ——
 #                          ① Cookie 完整原始串（禁止裁剪/去重/改写）
 #                          ② eteamsid
 #                          ③ User-Agent（AgentType=<agentType>,IsAgent=true）
-#   触发范围：name 以 weaver-e10- 开头（weaver-e10-login 自身豁免），且确实存在 API 表面
+#   触发范围：name 以 weaver-e10- 开头（weaver-e10-shared 自身豁免），且确实存在 API 表面
 #             （脚本内真实 HTTP 调用，或文档中描述了接口请求/curl/请求头）。
 # ---------------------------------------------------------------------------
 
-LOGIN_SKILL_NAME = "weaver-e10-login"
+SHARED_SKILL_NAMES = {"weaver-e10-shared", "weaver-e10-shared-connector"}
 
-# 「登录走登录 skill」的证据模式（任一命中即认为已接入登录 skill）
-LOGIN_DEP_RE = re.compile(
-    r"weaver-e10-login"                      # 技能名（frontmatter 声明或正文引用）
-    r"|\be10[-_]login\b"                     # e10-login CLI（如 `e10-login whoami`）
-    r"|E10_LOGIN_ENTRY"                      # 登录入口环境变量
-    r"|登录\s*(?:专用\s*)?s?kill"             # 中文表述：登录 skill / 登录技能
-    r"|登录技能",
+# 「登录走共享规则」的证据模式（任一命中即认为已接入共享登录约束）
+SHARED_AUTH_DEP_RE = re.compile(
+    r"weaver-e10-shared(?:-connector)?"       # 共享技能名（frontmatter 声明或正文引用）
+    r"|weaver-work-cli\s+auth\b"              # CLI 认证命令体系
+    r"|共享规则"                              # 中文表述：共享规则
+    r"|共享\s*(?:s?kill|技能)",               # 中文表述：共享 skill / 共享技能
     re.IGNORECASE,
 )
 
-# 自建登录（绕过登录 skill）的可疑模式：命中即 BLOCK
+# 自建登录（绕过共享规则）的可疑模式：命中即 BLOCK
 SELF_LOGIN_RES = [
     re.compile(r"\b(playwright|selenium|puppeteer|pyppeteer)\b", re.IGNORECASE),
     re.compile(r"扫码\s*登录|二维码\s*登录", re.IGNORECASE),
@@ -2126,18 +2126,18 @@ def collect_api_surface(skill_dir: Path):
 def check_weaver_e10_auth_contract(skill_dir: Path, name: str):
     """
     E10 接口型技能专属红线（BLOCK）：
-      B10a 登录必须走登录 skill（依赖 weaver-e10-login，且不得自建登录）
-      B10c API 请求必须携带 Cookie 完整原始串 + eteamsid + User-Agent(AgentType=,IsAgent=true)
-    仅对 name 以 weaver-e10- 开头的技能生效；weaver-e10-login 自身豁免。
+      B10a 登录必须走共享规则（依赖 weaver-e10-shared / weaver-e10-shared-connector，且不得自建登录）
+      B10c 已于 2026-09-20 停用（请求头三件套收敛到 weaver-e10-shared 唯一权威声明，逐目录校验会误判引用写法）
+    仅对 name 以 weaver-e10- 开头的技能生效；weaver-e10-shared 自身豁免。
     """
     checks = []
     nm = (name or "").strip().strip('"\'`')
     if not nm.lower().startswith("weaver-e10-"):
         return [Check("E10 登录与凭证契约", "适用范围内（weaver-e10- 前缀技能）", "PASS", "INFO",
                       f"当前技能 name='{nm}' 非 weaver-e10- 前缀，本组规则不适用。")]
-    if nm.lower() == LOGIN_SKILL_NAME:
-        return [Check("E10 登录与凭证契约", "登录 skill 自身豁免", "PASS", "INFO",
-                      "当前技能即 weaver-e10-login，登录契约规则豁免。")]
+    if nm.lower() in SHARED_SKILL_NAMES:
+        return [Check("E10 登录与凭证契约", "共享规则自身豁免", "PASS", "INFO",
+                      f"当前技能即 {nm}，登录契约规则豁免。")]
 
     script_hits, doc_hits, all_texts = collect_api_surface(skill_dir)
     if not script_hits and not doc_hits:
@@ -2152,36 +2152,37 @@ def check_weaver_e10_auth_contract(skill_dir: Path, name: str):
     )
     surface_locs = (script_hits or doc_hits)[:15]
 
-    # ---- B10a 登录必须走登录 skill ----
+    # ---- B10a 登录必须走共享规则 ----
     joined = "\n".join(all_texts.values())
-    login_evidence = []
+    shared_evidence = []
     for rel, text in all_texts.items():
         for i, line in enumerate(scan_lines(text), start=1):
-            if LOGIN_DEP_RE.search(line):
-                login_evidence.append(f"{rel}:{i} → {line.strip()[:120]}")
-    if login_evidence:
+            if SHARED_AUTH_DEP_RE.search(line):
+                shared_evidence.append(f"{rel}:{i} → {line.strip()[:120]}")
+    if shared_evidence:
         checks.append(Check(
-            "E10 登录与凭证契约", "登录走登录 skill（依赖 weaver-e10-login）", "PASS", "INFO",
-            f"检测到登录 skill 依赖证据 {len(login_evidence)} 处"
-            f"（示例：{login_evidence[0]}），符合「登录必须走 weaver-e10-login」要求。",
-            locations=login_evidence[:8],
+            "E10 登录与凭证契约", "登录走共享规则（依赖 weaver-e10-shared）", "PASS", "INFO",
+            f"检测到共享规则/CLI auth 依赖证据 {len(shared_evidence)} 处"
+            f"（示例：{shared_evidence[0]}），符合「登录必须走 weaver-e10-shared」要求。",
+            locations=shared_evidence[:8],
         ))
     else:
         checks.append(Check(
-            "E10 登录与凭证契约", "登录走登录 skill（依赖 weaver-e10-login）", "FAIL", "BLOCK",
-            f"当前技能为 E10 接口型技能（{surface_desc}），但未发现任何登录 skill 依赖证据："
-            "既未在 frontmatter `dependencies` 中声明 `weaver-e10-login`，也未在正文/脚本中引用 "
-            "`weaver-e10-login` / `e10-login` CLI / `E10_LOGIN_ENTRY`。"
-            "「登录必须走登录 skill」为泛微强制红线，未声明即阻断上架。",
+            "E10 登录与凭证契约", "登录走共享规则（依赖 weaver-e10-shared）", "FAIL", "BLOCK",
+            f"当前技能为 E10 接口型技能（{surface_desc}），但未发现任何共享登录规则依赖证据："
+            "既未在 frontmatter `dependencies` 中声明 `weaver-e10-shared`（连接器版为 `weaver-e10-shared-connector`），"
+            "也未在正文/脚本中引用共享规则或 `weaver-work-cli auth`。"
+            "「登录必须走共享规则」为泛微强制红线，未声明即阻断上架。",
             locations=surface_locs,
             suggestion="在 SKILL.md frontmatter 增加：\n"
                        "dependencies:\n"
-                       "  - weaver-e10-login\n"
-                       "或在正文/脚本中明确：认证与会话由 weaver-e10-login 提供"
-                       "（脚本型可调用 `e10-login whoami` 获取 baseUrl/ETEAMSID/cookies）。"
+                       "  - weaver-e10-shared\n"
+                       "连接器版使用：\n"
+                       "  - weaver-e10-shared-connector\n"
+                       "或在正文/脚本中明确：认证与会话由 weaver-e10-shared 共享规则和 `weaver-work-cli auth ...` 托管。"
         ))
 
-    # ---- B10b 禁止自建登录（绕过登录 skill）----
+    # ---- B10b 禁止自建登录（绕过共享规则）----
     self_login_hits = []
     for rel, text in all_texts.items():
         for i, line in enumerate(scan_lines(text), start=1):
@@ -2191,53 +2192,58 @@ def check_weaver_e10_auth_contract(skill_dir: Path, name: str):
                     break
     if self_login_hits:
         checks.append(Check(
-            "E10 登录与凭证契约", "未自建登录（禁止绕过登录 skill）", "FAIL", "BLOCK",
+            "E10 登录与凭证契约", "未自建登录（禁止绕过共享规则）", "FAIL", "BLOCK",
             f"检测到自建登录/自动登录实现 {len(self_login_hits)} 处"
             "（Playwright/Selenium 自动登录、扫码登录、账号密码登录、自建 OAuth 等）。"
-            "E10 技能的登录与会话必须统一由 weaver-e10-login 提供，禁止自行实现登录流程。",
+            "E10 技能的登录与会话必须统一由 weaver-e10-shared 共享规则和 weaver-work-cli auth 体系托管，禁止自行实现登录流程。",
             locations=self_login_hits[:15],
-            suggestion="删除自建登录逻辑，改为调用 weaver-e10-login（或 `e10-login whoami`）"
-                       "获取会话，再使用该会话发起业务请求。"
+            suggestion="删除自建登录逻辑，改为依赖 weaver-e10-shared 共享规则，并通过 `weaver-work-cli auth ...` 处理会话。"
         ))
     else:
         checks.append(Check(
-            "E10 登录与凭证契约", "未自建登录（禁止绕过登录 skill）", "PASS", "INFO",
+            "E10 登录与凭证契约", "未自建登录（禁止绕过共享规则）", "PASS", "INFO",
             "未检测到自建登录实现（Playwright/Selenium/扫码/账号密码/自建 OAuth）。"
         ))
 
-    # ---- B10c 三项用户信息参数完整（文档型技能补充；脚本型由 B9 覆盖，此处不重复阻断）----
-    if not script_hits and doc_hits:
-        has_cookie = bool(COOKIE_HEADER_RE.search(joined))
-        has_eteamsid = bool(ETEAMSID_RE.search(joined))
-        has_ua = bool(UA_RE.search(joined) and AGENT_TYPE_RE.search(joined) and IS_AGENT_RE.search(joined))
-        missing = []
-        if not has_cookie:
-            missing.append("① Cookie 完整原始串（文档中未说明请求头携带 Cookie）")
-        if not has_eteamsid:
-            missing.append("② eteamsid（文档中未出现 eteamsid 字段）")
-        if not has_ua:
-            missing.append("③ User-Agent（AgentType=<agentType>,IsAgent=true）")
-        if missing:
-            checks.append(Check(
-                "E10 登录与凭证契约", "接口文档声明完整凭证（Cookie+eteamsid+User-Agent）", "FAIL", "BLOCK",
-                "当前技能以接口文档形式发起/描述 API 请求，必须明确要求携带 e10-login 返回的三项用户信息参数，"
-                "缺一不可。当前缺失：\n" + "\n".join(f"  · {m}" for m in missing),
-                locations=surface_locs,
-                suggestion="在接口文档的「请求头/认证」章节补充：\n"
-                           "Cookie: <e10-login 返回的完整原始 Cookie 串>（禁止裁剪/去重/改写）\n"
-                           "eteamsid: <e10-login 返回的 ETEAMSID>\n"
-                           "User-Agent: AgentType=<agentType>,IsAgent=true"
-            ))
-        else:
-            checks.append(Check(
-                "E10 登录与凭证契约", "接口文档声明完整凭证（Cookie+eteamsid+User-Agent）", "PASS", "INFO",
-                "接口文档已声明三项强制凭证（Cookie 完整原始串 / eteamsid / User-Agent:AgentType=...,IsAgent=true）。"
-            ))
-    elif script_hits:
-        checks.append(Check(
-            "E10 登录与凭证契约", "接口文档声明完整凭证（Cookie+eteamsid+User-Agent）", "PASS", "INFO",
-            "脚本型技能的三项凭证校验由「API 凭证完整性」规则覆盖，此处不重复判定。"
-        ))
+    # ---- B10c 三项用户信息参数完整（2026-09-20 停用）----
+    # 停用原因：请求头三件套（Cookie 完整原始串 / eteamsid / User-Agent: AgentType=<agentType>,IsAgent=true）
+    # 已收敛为「唯一权威声明」，只写在 weaver-e10-shared（连接器版 weaver-e10-shared-connector）入口 SKILL.md
+    # 的「请求头契约」章节，业务模块一律改为指针引用，不再各自复制代码块。
+    # 本规则按「单个技能目录」独立扫描，无法跨目录看到 shared 的正文，继续启用会把正确的引用写法误判为 FAIL，
+    # 因此整段停用；脚本型技能仍由 B9「API 请求凭证完整性」覆盖，不重复判定。
+    #
+    # if not script_hits and doc_hits:
+    #     has_cookie = bool(COOKIE_HEADER_RE.search(joined))
+    #     has_eteamsid = bool(ETEAMSID_RE.search(joined))
+    #     has_ua = bool(UA_RE.search(joined) and AGENT_TYPE_RE.search(joined) and IS_AGENT_RE.search(joined))
+    #     missing = []
+    #     if not has_cookie:
+    #         missing.append("① Cookie 完整原始串（文档中未说明请求头携带 Cookie）")
+    #     if not has_eteamsid:
+    #         missing.append("② eteamsid（文档中未出现 eteamsid 字段）")
+    #     if not has_ua:
+    #         missing.append("③ User-Agent（AgentType=<agentType>,IsAgent=true）")
+    #     if missing:
+    #         checks.append(Check(
+    #             "E10 登录与凭证契约", "接口文档声明完整凭证（Cookie+eteamsid+User-Agent）", "FAIL", "BLOCK",
+    #             "当前技能以接口文档形式发起/描述 API 请求，必须明确要求由 weaver-work-cli 托管并携带三项用户信息参数，"
+    #             "缺一不可。当前缺失：\n" + "\n".join(f"  · {m}" for m in missing),
+    #             locations=surface_locs,
+    #             suggestion="在接口文档的「请求头/认证」章节补充：\n"
+    #                        "Cookie: <weaver-work-cli 托管登录态的完整原始 Cookie 串>（禁止裁剪/去重/改写）\n"
+    #                        "eteamsid: <weaver-work-cli 托管登录态的 ETEAMSID>\n"
+    #                        "User-Agent: AgentType=<agentType>,IsAgent=true"
+    #         ))
+    #     else:
+    #         checks.append(Check(
+    #             "E10 登录与凭证契约", "接口文档声明完整凭证（Cookie+eteamsid+User-Agent）", "PASS", "INFO",
+    #             "接口文档已声明三项强制凭证（Cookie 完整原始串 / eteamsid / User-Agent:AgentType=...,IsAgent=true）。"
+    #         ))
+    # elif script_hits:
+    #     checks.append(Check(
+    #         "E10 登录与凭证契约", "接口文档声明完整凭证（Cookie+eteamsid+User-Agent）", "PASS", "INFO",
+    #         "脚本型技能的三项凭证校验由「API 凭证完整性」规则覆盖，此处不重复判定。"
+    #     ))
 
     return checks
 
@@ -2898,13 +2904,13 @@ def looks_like_skill_name(name: str) -> bool:
     """
     稳健判定「看起来像个泛微生态技能名」。仅接受一种高置信形状：
       weaver-e10- 前缀 + 连字符：weaver-e10- 开头且必须含连字符
-      （如 weaver-e10-login、weaver-e10-hrm）。
+      （如 weaver-e10-shared、weaver-e10-hrm）。
     依赖检测**只关注 weaver-e10- 前缀**的泛微生态技能（合作方要求），weaver- 但非
     e10-/e10-/eteams- 等前缀视为平台模块名/内部引用，不作为技能依赖识别。
     这样可排除：weaver-ebuilder-*/weaver-openserver-* 等内部接口模块、单单词
     （send/list/api）、中文片段（以下外部/调用本）、URL 路径段（/references/、/send/）、
     文档内函数/参数名（hrm-employee-query、emp-by-ids、to-uid）、全大写常量/环境变量
-    （ETEAMSID、E10_LOGIN_ENTRY，无连字符故不命中）。
+    （ETEAMSID、WEAVER_AUTH_ENTRY，无连字符故不命中）。
     说明：frontmatter 中**显式声明**的依赖（dependencies/requires 字段）同样受
     weaver-e10- 前缀约束——非 weaver-e10- 前缀的一律不识别为技能依赖。
     """
@@ -2968,7 +2974,7 @@ def check_skill_dependencies(skill_dir: Path, skill_md: Path = None, market_cata
                 if block:
                     for m in re.finditer(r"^\s*-\s+(.+)$", block.group(1), re.MULTILINE):
                         add(m.group(1))  # frontmatter 显式声明：高置信度，不走 strict 判定
-            # ③ description 中的依赖表述：「接口地址与认证由 weaver-e10-login 提供」
+            # ③ description 中的依赖表述：「接口地址与认证由 weaver-e10-shared 提供」
             for m in re.finditer(r"^\s*description(?:_\w+)?\s*:\s*(.+)$", fm, re.MULTILINE):
                 for dm in re.finditer(r"由\s*([A-Za-z0-9][A-Za-z0-9._-]{1,60})\s*(?:提供|负责|承担)", m.group(1)):
                     add(dm.group(1), strict=True)
@@ -2997,7 +3003,7 @@ def check_skill_dependencies(skill_dir: Path, skill_md: Path = None, market_cata
                 for part in re.findall(r"[`'](weaver-e10-[\w-]+)[`']", m.group(0)):
                     add(part, strict=True)
         # 泛微生态高精度信号：反引号/单引号包裹的 weaver-e10- 前缀带连字符标识符
-        # （如 `weaver-e10-login`）。self_names 已排除检测器自身（weaver-skill-detector）。
+        # （如 `weaver-e10-shared`）。self_names 已排除检测器自身（weaver-skill-detector）。
         for m in re.finditer(r"[`'](weaver-e10-[\w-]+)[`']", text, re.IGNORECASE):
             add(m.group(1), strict=True)
         # 中文引述：「使用 xxx 技能」「调用 xxx skill」「委托 xxx skill」——命中须通过 strict 标识符形状校验，
@@ -3012,12 +3018,12 @@ def check_skill_dependencies(skill_dir: Path, skill_md: Path = None, market_cata
             # 非反引号中文片段若以「的」结尾（如 执行的/可执行的），属修饰语而非技能名，跳过
             if not g.startswith("`") and g.endswith("的"):
                 continue
-            # 反引号包裹的视为代码标识符（如 `weaver-e10-login`），不受中文短语长度限制；
+            # 反引号包裹的视为代码标识符（如 `weaver-e10-shared`），不受中文短语长度限制；
             # 非反引号的中文短语仍限制 ≤16 字，避免长句误判为依赖
             if not g.startswith("`") and len(g) > 16:
                 continue
             add(g, strict=True)
-        # 「由 xxx 提供/负责」表述（容错「会话」等中间词：由 weaver-e10-login 会话提供）
+        # 「由 xxx 提供/负责」表述（容错「会话」等中间词：由 weaver-e10-shared 会话提供）
         for m in re.finditer(r"由\s*([A-Za-z0-9][A-Za-z0-9._-]{1,60})\s*(?:会话\s*)?(?:提供|负责|承担)", text):
             add(m.group(1), strict=True)
 
@@ -3130,7 +3136,7 @@ def query_skillhub_market(names):
     使用 skillhub.cn 公开检索接口 GET /api/skills?page=1&pageSize=24&sortBy=score&order=desc&keyword=<name>
     （与 skillhub.cn 前端实际发出的请求一致），按 **slug 精确相等**（或 canonicalName 以 /<name> 结尾）
     判定，避免子串误命中
-    （例如 keyword=weaver-e10-login 会同时召回 weaver-e10-jucailin，必须精确匹配）。
+    （例如 keyword=weaver-e10-shared 会同时召回其它共享规则相关结果，必须精确匹配）。
 
     设计取舍：本工具默认仍是「纯静态、零联网」。此函数为可选的 --market-live 模式提供
     联网能力，把「是否可搜」的判定交给 skillhub.cn 实时返回，而非依赖一份写死的清单。
@@ -4086,15 +4092,15 @@ def main():
         log(f"❌ {err}")
         sys.exit(2)
 
-    # 默认 HTML 输出：未显式指定 --html 且未禁用时，自动生成到「输入同目录/<输入名>-report.html」。
+    # 默认 HTML 输出路径：未显式指定 --html 且未禁用时，仅在 WARN/FAIL 后使用。
     # zip/md 输入 → 去扩展名 + "-report.html"（如 weaver-e10-hrm.zip → weaver-e10-hrm-report.html）；
     # 目录输入 → 同级 "<目录名>-report.html"。
+    default_html_path = None
     if html_path is None and not no_html:
         if target.is_file():
-            html_path = str(target.with_suffix("")) + "-report.html"
+            default_html_path = str(target.with_suffix("")) + "-report.html"
         else:
-            html_path = str(target.parent / (target.name + "-report.html"))
-        log(f"默认 HTML 输出: {html_path}")
+            default_html_path = str(target.parent / (target.name + "-report.html"))
 
     market_catalog = None
     if market_catalog_path:
@@ -4174,11 +4180,12 @@ def main():
             Path(out_path).write_text(report, encoding="utf-8")
             log(f"报告已写出: {out_path}")
 
-        if html_path:
+        html_output_path = html_path or (default_html_path if verdict != "PASS" else None)
+        if html_output_path:
             html = render_html(target_str, source_type, checks, verdict, n_err, n_warn,
                                file_info, platform=platform)
-            Path(html_path).write_text(html, encoding="utf-8")
-            log(f"HTML 报告已写出: {html_path}")
+            Path(html_output_path).write_text(html, encoding="utf-8")
+            log(f"HTML 报告已写出: {html_output_path}")
 
         sys.exit(1 if verdict == "FAIL" else 0)
     finally: