weaver-work-cli 0.1.8 → 0.1.21

package/docs/hrm.md

@@ -17,7 +17,8 @@ weaver-work-cli --json hrm run <operation> --input -
 | `src/shortcuts/hrm/index.ts` | 命令注册与 JSON envelope |
 | `src/shortcuts/hrm/manifest.ts` | `schema` 契约与禁用边界声明 |
 | `src/shortcuts/hrm/host.ts` | E10 会话桥接、HRM 页面上下文 Referer、JSON 请求、响应归一化 |
-| `src/shortcuts/hrm/operations/` | 按业务域拆分的 operation 实现（employee / org / position） |
+| `src/shortcuts/hrm/operations/` | 按业务域拆分的 operation 实现（employee / org / position / resolve） |
+| `src/shortcuts/hrm/operations/resolve.ts` | 多维（虚拟组织维度）解析：取全量多维 → 名称精确/模糊匹配 → 带 `companyId` 查部门/分部 → 回候选 |
 | `src/shortcuts/hrm/operations/registry.ts` | operation 注册表与去重校验 |
 
 ## 认证
@@ -34,22 +35,62 @@ HRM 接口必须携带页面上下文 `Referer`（默认 `<baseUrl>/hrm/main`）
 
 **响应成功判定**：统一 `code=200`。`403`（接口开关未开启）抛 `api/permission_denied`，其余业务失败抛 `api/business_error`。
 
-**数据行位置**：
+**数据行位置（下表描述的是上游原始响应，不是 CLI 输出）**：
 
-| 接口类型 | 行字段 | 总数 |
+| 接口类型 | 行字段 | CLI `data.total` 的来源 |
 | --- | --- | --- |
-| 员工浏览 `employee.query` | `data.data` | `count/resource` 的 `data.total`（`data/resource` 的 `data.count` 恒为 0） |
-| 下属查询 `subordinate.mine` | `data.data` | `count/resource` 的 `data.total` |
-| 组织浏览 `org.query` | `data.data` | `data.total` |
-| 岗位浏览 `position.query` | `data.data` | `data.total` |
-| 岗位批量 `position.list` | `data.data` | `data.total` |
+| 员工浏览 `employee.query` | `data.data` | 本页行数（**不调 count 接口**，上游 `data.count` 恒为 0） |
+| 下属查询 `subordinate.mine` | `data.data` | 本页行数 |
+| 组织浏览 `org.query` | `data.data` | 上游 `data.total` |
+| 岗位浏览 `position.query` | `data.data` | 上游 `data.total` |
+| 岗位批量 `position.list` | `data.data` | 上游 `data.total`（自动翻页累加） |
 | 批量人员 `employee.batch` | `data.userList` | 行数 |
-| 下属按 id `subordinate.by-id` | `data.page.result` | `data.page.totalCount` |
+| 下属按 id `subordinate.by-id` | `data.page.result` | 上游 `data.page.totalCount`（**真实总数**，另附 `data.page.hasNext/totalPages`） |
 
-**详情接口**（`employee.detail`/`org.detail`/`position.detail`）返回单对象，CLI 附 `link`。
+CLI 已把上表差异归一化：**列表类统一输出 envelope 的 `data.rows` + `data.total`，分页参数在 `meta`（current/pageSize）**；不要把上游的 `data.data` / `data.page.result` 当作 CLI 输出路径。⚠️ 注意 `employee.query`/`subordinate.mine`/`dept.members` 的 `data.total` 是**本页行数**（想要真实总数只能按 `current` 翻页到 `rows.length < pageSize`），而 `org.query`/`position.*`/`subordinate.by-id` 的 total 才是上游真值。
+
+**详情接口**（`employee.detail`/`org.detail`/`position.detail`）返回单对象：上游 `WeaForm` 的业务字段位于其 `data.data`，CLI 会**展平上移一层**，因此 CLI 输出中业务字段**直接挂在 envelope 的 `data` 下，没有 `data.data` 嵌套**（`items`/`groups`/`layout` 等前端表单元数据已丢弃），并附 `link`。其中 `org.detail`/`position.detail` **只透出显式投影后的少量字段**：`org.detail` → `id/name/type/code/fullPath/status/parentName?/subcompanyName?/description?/remark?/link`（**不含 `employee_count`**）；`position.detail` → `id/name/code/parentName?/jobsetName?/jobsetTypeName?/grade?/link`（**不含 `fullName`/`department`**）。这两个接口都没有 `full` 开关。
+
+**`employee.detail` 默认投影**：完整卡片有 85 个顶层键（~5.3KB），其中大部分是登录/管理元数据（`password`/`last_android`/`hideFieldList`/`setting`/各 `*_admin`…）。默认只回 `DETAIL_CORE_FIELDS` 白名单的 26 个键（~1.2KB）：实体数组字段（`department`/`subcompany`/`position`/`personnel_status`/`jobsetid`/`jobset_level`/`location`）只留 `{id, name}`，人员数组字段（`superior`/`other_superior`/`assistant`）只留 `{id, name, statusCode, avatar}`，`avatar` 只留 1 个 `url`。需要完整卡片时传 `full: true`（该开关只影响 `employee.detail`；`org.detail`/`position.detail` 没有该开关，且它们已只透出上面列出的显式投影字段）。
+
+**「人员列表」默认投影**：`subordinate.mine` / `dept.members`（`formatMember` 行 366B）与 `subordinate.by-id`（原始行 960B，其中上游 `superior` 对象一项就占 485B）默认都走 `formatPersonBrief`——每行只回 `{id, name, link}`（~116~120B/行）。需要部门/岗位/电话/上级等列时传 `full: true`（`subordinate.mine`/`dept.members` 回 `formatMember` 行，`subordinate.by-id` 回 `formatSubordinateFull` 行）。
+
+**`employee.query` 默认投影**：默认走 `formatQueryRowBrief`——每行只回**人员信息** 6 键 `{id, name, department, position, statusCode, link}`（368B → 186B，省 49%）。裁掉的是：另两套 id（`userid` 登录信息 id / `cid` IM 联系人 id）、本接口恒为空串的 `mobile`、以及 `departmentId` + `deptLink`。传 `full: true` 回原来的 `formatMember` 完整行。
+
+**三套 id 口径**：`id` = 人员 id（驼峰 `userId` 同值；卡片链接 / `employee.detail` / `employee.batch.ids` / `subordinate.by-id` 只认它）；`userid` = 登录信息 id（登录账号场景）；`cid`/`imCid` = IM 联系人 id（IM 聊天 / 在线状态）。三者禁止混用。
 
 **长整型 id 一律按字符串传递**；**手机号已脱敏**（3 位前缀 + `****` + 末 4 位）。
 
+## 多维（虚拟组织维度）解析
+
+E10 组织树按多维切分，`department`/`subcompany` 浏览接口不传 `companyId` 时默认落到「行政组织」维度，因此「按名称找部门/分部」需要先定位多维 id。
+
+`hrm.org.resolve` 把这段编排收在 CLI 内（多维全部取自 `/api/bs/hrm/companyVirtual/listCompanyVirtual`），**一次调用完成两级匹配**：维度名称 → `companyId` → 组织名称。名称匹配分三级，**只有前两级会自动往下走**：
+
+| 级别 | 判定 | CLI 行为 |
+| --- | --- | --- |
+| ① 精确 | 忽略大小写/空白的全等（服务端 `eq`/等于） | 唯一 → 继续；多个 → `ambiguous` |
+| ② 包含（模糊） | 名称是关键字子串（服务端 `in`/包含 + 客户端忽略大小写等值优先） | 唯一 → 继续；多个 → `ambiguous` |
+| ③ **近似** | 编辑距离阈值内（打字级差异，如「客服维度」→「客户维度」） | **只回 `suggestions`，`status: not_found`，绝不继续** |
+
+| operation | 关键输入 | 说明 |
+| --- | --- | --- |
+| `hrm.org.resolve` | `virtual` + `name`（首调）；`virtualId` / `orgId`（复调）；`maxCandidates`（候选上限，1~200，默认 20） | 不传 `type` 时先按部门、再按分部自动识别 |
+
+> 多维清单（维度名 + id）**不单独暴露 operation**，由 `hrm.org.resolve` 内部获取与处理（匹配用 + `not_found` 回 `availableVirtuals` 供纠错）。「列出该租户有哪些多维」**暂不支持**，已在 `withheldOperations` 声明；`availableVirtuals` 不得被当作列维度接口（禁止构造不存在的维度名去套取）。
+
+🔴 **结果判定看 `data.status`（不是 `ok`）**，三种结果都 `ok: true`、退出 0：
+
+| `data.status` | 输出 | 调用方动作 |
+| --- | --- | --- |
+| `resolved` | `org`（`id`/`name`/`type`/`fullPath`/`virtualId`/`link`…）、`virtual`、`matchType`；不传 `type` 且存在同名另一类型节点时另回 `alsoMatched[]` | 直接使用 `org`；有 `alsoMatched` 时必须一并告知用户 |
+| `ambiguous` | `stage`（`virtual`/`org`）、`candidates[]`（默认 ≤20，可调）、`candidateTotal`、`truncated`、`message` | 列候选让用户确认，确认后把 `id` 当 `orgId`（维度歧义当 `virtualId`）复调 |
+| `not_found` | `suggestions[]`（近似名称，≤5）/`suggestionTotal`、`availableVirtuals`（`stage=virtual`）、`message` | **原样转述**（含"不存在"），**禁止自行替换名称重试**；用户确认后再用 `virtualId`/`orgId` 复调 |
+
+`data.total` 与「权威总数」的关系同 `org.query`：组织浏览接口的 `data.total` 是上游真值（非本页行数）；本操作调用 `current=1`，上游浏览分页取 `max(100, maxCandidates)`，不做翻页。`fullPath`/`parentPath` 中的层级分隔符已由 CLI 统一为 `/`（部分租户上游用 `|`，如泛微网络租户的 `supDepartment`）。
+
+不传 `type` 时本操作**同时检索部门与分部**（多 1 次浏览请求），因此不会出现「同名部门/分部被静默二选一」：唯一命中时按部门优先返回 `org`，另一类型的同名节点回在 `alsoMatched`；多命中时统一走 `ambiguous`。
+
 ## 详情页卡片链接
 
 查询命中后，回答中一律用 `[名称](link)` 形式输出每个命中实体（`link` 由 CLI 在每行提供）：
@@ -57,7 +98,7 @@ HRM 接口必须携带页面上下文 `Referer`（默认 `<baseUrl>/hrm/main`）
 | 卡片 | link 路径 | 来源 operation |
 | --- | --- | --- |
 | 人员卡片 | `/sp/hrm/profileInfo/{id}` | `employee.query`/`employee.batch`/`subordinate.*`/`employee.detail` |
-| 组织卡片 | `/sp/hrm/orgCard/{id}` | `org.query`/`org.detail` |
+| 组织卡片 | `/sp/hrm/orgCard/{id}` | `org.query`/`org.detail`/`org.resolve` |
 | 岗位卡片 | `/sp/hrm/positionCard/{id}` | `position.query`/`position.detail`/`position.list` |
 
 ## 调用示例
@@ -79,6 +120,7 @@ printf '%s\n' '{"keyword":"张三"}' | weaver-work-cli --json hrm run hrm.employ
 `withheldOperations` 中声明的能力不实现，也不要绕过：
 
 - **代理商查询**（`hrm.employee.dls`）：`containsDls=true` 仅泛微自用系统域名支持（自用域名白名单），客户/其他环境禁止触发。
+- **列多维**（`hrm.org.virtuals`）：已下线并入 `hrm.org.resolve`；「列出该租户有哪些多维」暂不支持，不得构造假查询绕取 `availableVirtuals`。
 
 ## 测试
 

package/docs/invoice.md

@@ -32,6 +32,8 @@ Windows PowerShell：
 ```powershell
 weaver-work-cli invoice schema
 weaver-work-cli --json invoice run invoice.list --input-json '{"page_size":10,"start_pos":0}'
+weaver-work-cli --json invoice list --view summary
+weaver-work-cli --json invoice list --fields number,detailUrl
 ```
 
 macOS/Linux（bash/zsh）：
@@ -39,11 +41,13 @@ macOS/Linux（bash/zsh）：
 ```bash
 weaver-work-cli invoice schema
 weaver-work-cli --json invoice run invoice.list --input-json '{"page_size":10,"start_pos":0}'
+weaver-work-cli --json invoice list --view summary
+weaver-work-cli --json invoice list --fields number,detailUrl
 ```
 
 成功和失败都使用 JSON envelope。成功写 stdout；失败写 stderr，并设置非 0 退出码。
 
-当前输出层是完整 JSON 直接写 stdout，不提供飞书 CLI 的 `--jq`、`--format table/ndjson` 或通用 `--page-all`。Agent 使用时应默认小页读取和摘要渲染：列表先 `page_size=10`，按 `start_pos` 继续；回复只展示关键字段和数量，超长详情/OCR/调试 JSON 落本地文件后给路径。
+当前输出层把完整 JSON 直接写 stdout。0.1.17 起可用 `--view summary`（列表语义平表，仅 `invoice.list` / `invoice.enterprise.list` 支持）与 `--fields a,b.c`（点路径投影，所有 operation 可用）裁剪输出——两者互斥，只影响输出、不改变请求参数；仍不提供飞书 CLI 的 `--jq`、`--format table/ndjson` 或通用 `--page-all`。Agent 使用时应默认小页读取和摘要渲染：列表先 `page_size=10`，按 `start_pos` 继续；回复只展示关键字段和数量，超长详情/OCR/调试 JSON 落本地文件后给路径。
 
 ## Operation 目录
 

package/docs/meeting.md

@@ -36,7 +36,7 @@ weaver-work-cli meeting today                        # 今天会议（meeting.li
 ## 关键契约（源资料实测坑位）
 
 - 新建会议 `operateType=SUBMIT` + `id:""` → 正常状态；`ADD` 只生成草稿，勿用。
-- 冲突处理看接口返回 `cansub`：false=禁止提交（直接拒绝）；true=仅提醒（建议换时间/地点）；检测失败视为冲突。**绝不提供"强制新建"选项**。
+- 冲突处理看接口返回 `cansub`：false=禁止提交（直接拒绝，怎么都不允许）；true=仅提醒（如实告知并建议换时间/地点，**用户坚持时仍可继续提交**）；检测失败视为冲突（保守拒绝）。
 - 周期会议 `finishAt` 必填（仅 1=次数 / 2=日期，禁止 0）；`repeatDesc` 由 CLI 自动拼接。
 - 回执更新必须传回执记录 `id`（prepare 自动按 `memberId` 回查）；`attendStatus` 0/1/2。
 - 超 2^53 的 id 一律字符串传递。

package/docs/operation-manual.md

@@ -113,16 +113,16 @@ weaver-work-cli --profile PROFILE_NAME auth status
 
 ## 5. 安装已有业务模块 Skill
 
-### 5.1 安装到 Codex 默认目录
+### 5.1 安装到当前 Agent
 
 ```text
 weaver-work-cli skills install yepiaotong
 weaver-work-cli skills install wenshuding
 ```
 
-默认目标目录优先使用环境变量 `CODEX_HOME` 下的 `skills` 子目录；未设置 `CODEX_HOME` 时使用用户主目录下的 `.codex/skills`（Windows PowerShell 示例：`$env:USERPROFILE\.codex\skills`）。安装非 shared 业务 Skill 时，CLI 会自动带上 `weaver-e10-shared`。
+CLI 优先使用 `--target-dir` 或通用环境变量 `WEAVER_SKILLS_ROOT`。未显式指定时，会根据当前进程的 Codex/WorkBuddy 环境信号选择当前用户的 skills 目录；如果宿主不明确、存在多个候选目录，或者当前为其它 Agent 且未提供路径，则停止安装并要求显式指定，避免装错位置。安装非 shared 业务 Skill 时，CLI 会自动带上 `weaver-e10-shared`。
 
-### 5.2 安装到 WorkBuddy 或其它 Agent
+### 5.2 显式安装到 WorkBuddy 或其它 Agent
 
 Windows PowerShell：
 
@@ -152,6 +152,18 @@ macOS/Linux（bash/zsh）：
 weaver-work-cli skills install MODULE_NAME --target-dir "/path/to/agent-skills"
 ```
 
+经常使用同一 Agent 时，也可以设置通用目录环境变量：
+
+```powershell
+$env:WEAVER_SKILLS_ROOT = "$env:USERPROFILE\.other-agent\skills"
+weaver-work-cli skills install MODULE_NAME
+```
+
+```bash
+export WEAVER_SKILLS_ROOT="$HOME/.other-agent/skills"
+weaver-work-cli skills install MODULE_NAME
+```
+
 `<module>` 可以传短名，例如 `yepiaotong`、`wenshuding`、`skill-maker`，也可以传完整名，例如 `weaver-e10-yepiaotong`。传 `all` 会安装包内全部 Skill。
 
 ### 5.3 验证安装结果

package/docs/skill-review-2026-09-19.md

@@ -38,13 +38,13 @@
 | 13 | jucailin「三个子系统」与实际列出的四个业务域矛盾 | 改为「四个子系统（人事档案/出勤/薪酬/招聘）」 |
 | 14 | shared SKILL.md 存在整句重复；登录依赖表述与 CLI 现状（auth 托管）冲突 | 去重并与现状对齐 |
 | 15 | qiyecheng manifest 残留开发者个人路径 `/Users/zhufangyuan/...` | 脱敏为占位 |
-| 16 | connector 版依赖声明错误：`weaver-e10-login` 被错写成重复的 `weaver-e10-shared-connector` | 修正为 login + shared-connector |
+| 16 | connector 版依赖声明仍保留旧 login 兼容项 | 修正为 shared-connector |
 
 ## 四、规则遵从性（硬规则 / 门禁 BLOCK）
 
 | # | 问题 | 修复 |
 |---|---|---|
-| 17 | **7 个接口型 skill 未声明 `weaver-e10-login` 依赖，且未写明请求头三件套**（B10a / B10c，BLOCK） | jiuchuanhui / mail / meeting / okr / qiyecheng / skill-maker / workflow 全部补齐，统一新增「认证与请求头契约」章节 |
+| 17 | **7 个接口型 skill 未声明 `weaver-e10-shared` 依赖，且未写明请求头三件套**（B10a / B10c，BLOCK） | jiuchuanhui / mail / meeting / okr / qiyecheng / skill-maker / workflow 全部补齐，统一新增「认证与请求头契约」章节 |
 | 18 | plan description 246 字，超 200 字上限 | 压到 164 字，触发词保留 |
 | 19 | 改写登录红线时误触发 B10b（该规则无否定豁免，写成「禁止 Playwright/扫码…」也会被判违规） | 去掉敏感词枚举，改为不含触发词的表述 |
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "weaver-work-cli",
-  "version": "0.1.8",
+  "version": "0.1.21",
   "description": "面向泛微工作工具链的可扩展 TypeScript CLI 基础框架（E10 业票通等能力）",
   "type": "module",
   "main": "./dist/index.js",

package/scripts/package-skill.mjs

@@ -13,7 +13,6 @@ const skillTemplateRoot = path.join(repositoryRoot, 'skill-template')
 const productMetadataPath = path.join(skillTemplateRoot, 'product.json')
 const packageJsonPath = path.join(repositoryRoot, 'package.json')
 const sharedSkillName = 'weaver-e10-shared'
-const legacySharedSkillName = 'weaver-work-cli-shared'
 const skillPrefix = 'weaver-e10-'
 const legacySkillPrefix = 'weaver-work-cli-'
 const [requestedSkillArg, outputArg] = process.argv.slice(2)
@@ -88,6 +87,31 @@ function assertSafeRelativePath(relativePath) {
   }
 }
 
+function assertSkillFrontmatter(skillName, content) {
+  const normalized = content.replace(/\r\n/g, '\n')
+  const lines = normalized.split('\n')
+  if (lines[0] !== '---') {
+    throw new Error(`${skillName}/SKILL.md 缺少 YAML frontmatter：文件必须以 --- 开头`)
+  }
+
+  const end = lines.indexOf('---', 1)
+  if (end < 0) {
+    throw new Error(`${skillName}/SKILL.md 缺少 YAML frontmatter 结束标记 ---`)
+  }
+
+  const frontmatter = lines.slice(1, end).join('\n')
+  const nameMatch = frontmatter.match(/^name:\s*["']?([^"'\n]+?)["']?\s*$/m)
+  if (!nameMatch) {
+    throw new Error(`${skillName}/SKILL.md 的 YAML frontmatter 缺少 name`)
+  }
+  if (nameMatch[1] !== skillName) {
+    throw new Error(`${skillName}/SKILL.md 的 frontmatter name 必须等于目录名 ${skillName}`)
+  }
+  if (!/^description:\s*\S/m.test(frontmatter)) {
+    throw new Error(`${skillName}/SKILL.md 的 YAML frontmatter 缺少 description`)
+  }
+}
+
 function crc32(buffer) {
   let crc = 0xffffffff
   for (const byte of buffer) {
@@ -185,11 +209,6 @@ async function createZipArchive(root, entries) {
   return Buffer.concat([...localParts, centralDirectory, end])
 }
 
-function rewriteSkillContent(skillName, relativePath, content) {
-  if (skillName !== legacySharedSkillName || relativePath !== 'SKILL.md') return content
-  return content.replace(/^name:\s*weaver-e10-shared\s*$/mu, `name: ${legacySharedSkillName}`)
-}
-
 async function loadProductMetadata() {
   const product = JSON.parse(await readFile(productMetadataPath, 'utf8'))
   const packageInfo = JSON.parse(await readFile(packageJsonPath, 'utf8'))
@@ -219,10 +238,11 @@ async function writeProductMetadata(packageRoot, packagedEntries, packageName, p
   packagedEntries.push(`${packageName}/product.json`)
 }
 
-async function copySkill(skillName, stagingRoot, packagedEntries, productMetadata, packageName = skillName) {
+async function copySkill(skillName, stagingRoot, packagedEntries, productMetadata) {
   const sourceRoot = path.join(skillsRoot, skillName)
-  const packageRoot = path.join(stagingRoot, packageName)
-  await stat(path.join(sourceRoot, 'SKILL.md'))
+  const packageRoot = path.join(stagingRoot, skillName)
+  const skillMarkdown = await readFile(path.join(sourceRoot, 'SKILL.md'), 'utf8')
+  assertSkillFrontmatter(skillName, skillMarkdown)
 
   async function copyDir(relativeDir = '') {
     const sourceDir = path.join(sourceRoot, relativeDir)
@@ -241,19 +261,14 @@ async function copySkill(skillName, stagingRoot, packagedEntries, productMetadat
         await copyDir(relativePath)
       } else if (entry.isFile()) {
         await mkdir(path.dirname(target), { recursive: true, mode: 0o700 })
-        if (packageName === skillName) {
-          await copyFile(source, target)
-        } else {
-          const content = await readFile(source, 'utf8')
-          await writeFile(target, rewriteSkillContent(packageName, relativePath, content))
-        }
-        packagedEntries.push(`${packageName}/${relativePath}`)
+        await copyFile(source, target)
+        packagedEntries.push(`${skillName}/${relativePath}`)
       }
     }
   }
 
   await copyDir()
-  await writeProductMetadata(packageRoot, packagedEntries, packageName, productMetadata)
+  await writeProductMetadata(packageRoot, packagedEntries, skillName, productMetadata)
 }
 
 const skillNames = await resolveSkillNames()
@@ -268,9 +283,6 @@ try {
   await mkdir(path.dirname(output), { recursive: true, mode: 0o700 })
   for (const skillName of skillNames) {
     await copySkill(skillName, stagingRoot, packagedEntries, productMetadata)
-    if (skillName === sharedSkillName) {
-      await copySkill(skillName, stagingRoot, packagedEntries, productMetadata, legacySharedSkillName)
-    }
   }
 
   await rm(output, { force: true })

package/scripts/xiaoe_env.py

@@ -0,0 +1,118 @@
+#!/usr/bin/env python3
+# -*- coding: utf-8 -*-
+"""Exchange XiaoE platform credentials for an E10 eteamId.
+
+This compatibility helper is executed only by weaver-work-cli. It uses the
+Python standard library, writes one JSON result to stdout, keeps TLS certificate
+verification enabled, and refuses redirects that could leak Authorization to a
+different origin.
+"""
+
+import json
+import os
+import ssl
+import sys
+import urllib.error
+import urllib.request
+from urllib.parse import urljoin, urlsplit
+
+
+MAX_REDIRECTS = 5
+ETEAM_ID_PATH = "/spec-apps/api/app/rpachat/skill/extend/eteamId"
+
+
+def _effective_port(parts):
+    if parts.port is not None:
+        return parts.port
+    return 443 if parts.scheme == "https" else 80
+
+
+def _same_origin(left, right):
+    return (
+        left.scheme == right.scheme
+        and left.hostname == right.hostname
+        and _effective_port(left) == _effective_port(right)
+    )
+
+
+class _SafeRedirectHandler(urllib.request.HTTPRedirectHandler):
+    def redirect_request(self, req, fp, code, msg, headers, newurl):
+        current = urlsplit(req.full_url)
+        target_url = urljoin(req.full_url, newurl)
+        target = urlsplit(target_url)
+        safe_upgrade = (
+            current.scheme == "http"
+            and target.scheme == "https"
+            and current.hostname == target.hostname
+        )
+        if target.scheme not in ("http", "https") or target.username or target.password:
+            raise urllib.error.HTTPError(target_url, 403, "unsafe XiaoE redirect", headers, fp)
+        if not _same_origin(current, target) and not safe_upgrade:
+            raise urllib.error.HTTPError(target_url, 403, "cross-origin XiaoE redirect", headers, fp)
+
+        redirects = getattr(req, "_xiaoe_redirects", 0) + 1
+        if redirects > MAX_REDIRECTS:
+            raise urllib.error.HTTPError(target_url, 310, "too many XiaoE redirects", headers, fp)
+
+        redirected = urllib.request.Request(
+            target_url,
+            data=req.data,
+            headers=dict(req.header_items()),
+            method=req.get_method(),
+        )
+        redirected._xiaoe_redirects = redirects
+        return redirected
+
+
+def _post_json(url, token, domain):
+    body = json.dumps({"domain": domain}).encode("utf-8")
+    request = urllib.request.Request(
+        url,
+        data=body,
+        headers={
+            "authorization": token,
+            "Content-Type": "application/json",
+        },
+        method="POST",
+    )
+    opener = urllib.request.build_opener(
+        _SafeRedirectHandler(),
+        urllib.request.HTTPSHandler(context=ssl.create_default_context()),
+    )
+    try:
+        with opener.open(request, timeout=15) as response:
+            raw = response.read().decode("utf-8")
+    except urllib.error.HTTPError as error:
+        detail = error.read().decode("utf-8", "ignore")[:200]
+        raise RuntimeError(f"HTTP {error.code}: {detail}") from error
+    return json.loads(raw)
+
+
+def main():
+    domain = sys.argv[1].strip() if len(sys.argv) > 1 else "https://www.e-cology.com.cn"
+    token = os.getenv("XIAOE_USER_TOKEN", "").strip()
+    erpa = os.getenv("XIAOE_DOMAIN", "").strip()
+    if not token or not erpa:
+        raise RuntimeError("missing XIAOE_USER_TOKEN or XIAOE_DOMAIN")
+
+    endpoint = f"{erpa.rstrip('/')}{ETEAM_ID_PATH}"
+    data = _post_json(endpoint, token, domain)
+    business_code = data.get("code")
+    business_data = data.get("data") or {}
+    eteam_id = business_data.get("eteamId") if isinstance(business_data, dict) else None
+    if business_code not in ("0000", 200) or not eteam_id:
+        raise RuntimeError(f"XiaoE exchange failed with business code {business_code}")
+
+    print(json.dumps({
+        "eteamId": eteam_id,
+        "code": business_code,
+        "msg": data.get("msg"),
+    }, ensure_ascii=False))
+
+
+if __name__ == "__main__":
+    try:
+        main()
+    except Exception as error:
+        print(json.dumps({"code": "ERROR", "msg": str(error)}, ensure_ascii=False), file=sys.stderr)
+        sys.exit(1)

package/skill-template/business-info.json

@@ -207,23 +207,26 @@
   ],
   "weaver-e10-ebuilder-form": [
     "eBuilder",
-    "ebuilder",
-    "EB表单",
-    "表单",
-    "数据列表",
-    "表格",
-    "列表数据",
+    "eBuilder表单",
+    "表单数据",
+    "表单查询",
+    "表单新增",
+    "表单修改",
+    "表单删除",
+    "eBuilder菜单",
     "菜单定位",
-    "字段定义",
+    "List列表",
+    "NList列表",
+    "表单字段",
     "浏览字段",
-    "人员字段",
-    "部门字段",
-    "表单数据",
-    "自定义接口",
+    "选项字段",
+    "主明细映射",
     "OpenAPI",
-    "新增表单数据",
-    "修改表单数据",
-    "删除表单数据"
+    "自定义接口",
+    "objId",
+    "interfacePk",
+    "表单分页",
+    "表单详情"
   ],
   "weaver-e10-shared": [
     "安装",
@@ -355,5 +358,101 @@
     "修改流程表单",
     "智能分组",
     "待办统计"
+  ],
+  "weaver-e10-blog": [
+    "日报",
+    "工作日报",
+    "写日报",
+    "查日报",
+    "提交日报",
+    "提交情况",
+    "补交",
+    "未提交",
+    "未交日报",
+    "催交",
+    "提醒交日报",
+    "日报提醒",
+    "下属日报",
+    "我关注的人",
+    "关注人员日报",
+    "日报评论",
+    "日报点赞",
+    "导出日报",
+    "日报报表",
+    "编辑日报",
+    "发布日报"
+  ],
+  "weaver-e10-caizhilian": [
+    "采知连",
+    "文档中心",
+    "知识库",
+    "公共知识库",
+    "个人知识库",
+    "虚拟知识库",
+    "在线文档",
+    "文档检索",
+    "文档搜索",
+    "建文档",
+    "新建文档",
+    "HTML 文档",
+    "Markdown 文档",
+    "Office 文档",
+    "上传建文档",
+    "文档详情",
+    "文档正文",
+    "替换正文",
+    "更新正文",
+    "修改文档字段",
+    "变更作者",
+    "文档作者",
+    "文件夹",
+    "虚拟文件夹",
+    "文件夹权限",
+    "文档权限",
+    "下载权限",
+    "默认共享",
+    "文档默认共享",
+    "标签",
+    "参与人",
+    "文档共享",
+    "共享设置",
+    "取消共享",
+    "附件",
+    "上传附件",
+    "替换附件",
+    "下载附件",
+    "附件转 PDF",
+    "封面",
+    "设置封面",
+    "移除封面",
+    "文档比对",
+    "比对链接",
+    "组织架构",
+    "人员检索",
+    "部门",
+    "子部门",
+    "岗位",
+    "角色",
+    "外部联系人",
+    "当前用户",
+    "系统健康检查",
+    "采知连接口连通性"
+  ],
+  "weaver-e10-jinchengda": [
+    "合同",
+    "合同管理",
+    "合同类型",
+    "合同模板",
+    "合同条款",
+    "条款引用",
+    "签约主体",
+    "合同审批",
+    "发起审批",
+    "保存审批",
+    "提交审批",
+    "催办",
+    "审批进度",
+    "审批意见",
+    "今承达"
   ]
 }

package/skill-template/domains/blog.md

@@ -0,0 +1,24 @@
+本业务域用于 E10 工作日报（blog）。入口 `SKILL.md` 按 weaver 风格组织：CRITICAL 共享前置、路由优先级、高优先级语义、逐 operation 命令表、处理链、执行原则、写操作失败决策树和「不在范围」。具体用法拆到 `references/`：
+
+- `blog-query.md`：群体日报查询（`user_type` 四档：直接/间接/全部下属、我关注的人），客户端窗口裁剪与 `not_submitted` 口径。
+- `blog-query-user.md`：单人日报逐日扫描（`detailsByDate`，区间上限 62 天），`submit_status` 判定与 62 天上限报错。
+- `blog-resolve-users.md`：HRM 按姓名精确解析 `user_id`（取 `id` 字段，不是 `userid`）。
+- `blog-comments.md`：查某条日报的评论列表。
+- `blog-default-permission.md`：查某日期的默认共享对象，供发布时回填 `permissionList`。
+- `blog-export.md`：导出日报报表为 xlsx，本地文件写入与拒绝覆盖策略。
+- `blog-publish.md`：发布日报的 `prepare -> apply` 写入协议（含写前查重与默认共享回填）。
+- `blog-edit.md`：编辑指定日期日报的 `prepare -> apply` 写入协议（含目标指纹校验）。
+- `blog-comment.md`：评论指定日报的 `prepare -> apply` 写入协议（含评论列表回查）。
+- `blog-like.md`：点赞与取消点赞的 `prepare -> apply` 写入协议。
+- `blog-remind.md`：提醒提交日报的 `prepare -> apply` 写入协议，默认文案与逐人发送语义。
+- `blog-disabled-capabilities.md`：按 userId 批量查个人、`unRead`、EB 日报接口族、删除、撤回提醒等未暴露能力的处理边界。
+
+Agent 调优重点：
+
+- `weaver-work-cli blog schema` 是 operation 合约第一信息源。
+- 查指定个人只能用 `blog.query_user`；`filter.userIds` 被服务端忽略，按 userId 列表查会静默返回登录人自己的日报。
+- 补交状态统一由 CLI 判定为 `正常` / `补交` / `未提交`，不使用服务端 `later` 字段口径。
+- 业务输入不得包含 Cookie、ETEAMSID、Token 或内部控制字段。
+- 写操作只接受 CLI 生成的 continuation，不手工构造或复用；`apply` 一律要求 `confirm=true`。
+- 结果为 `partial/write_uncertain` 时停止，不自动重放写请求，先用 `blog.query_user` 只读回查。
+- 导出属于本地文件写入：`output` 指向已存在文件时 CLI 拒绝覆盖。

package/skill-template/domains/caizhilian.md

@@ -0,0 +1,22 @@
+本业务域用于 E10 采知连（文档中心 / 知识库）。入口 `SKILL.md` 按飞书 `lark-approval` 风格组织：CRITICAL 共享前置、登录与请求头凭证契约、路由优先级、高优先级语义、逐 operation 命令表、处理链、执行原则、写操作失败决策树和「不在范围」。具体用法拆到 `references/`：
+
+- `agent-entry.md`：schema / operations 入口、统一 `caizhilian run` 调用方式、`--input-json` 与 `--input <path>` 选择、成功与失败 envelope、完整错误码表。
+- `document.md`：文档检索、文档详情、当前登录人，以及 HTML / Markdown / Office / 批量上传四种建文档方式与四种编辑（基础字段、作者、保存正文、替换正文）。
+- `folder.md`：文件夹创建、虚拟文件夹检索、文件夹默认设置，以及默认共享与八类文档权限（含 `Premisstion` 源拼写与按权限反查）。
+- `collaboration.md`：标签（公共/个人）、参与人、文档共享的查询与增删，含 `share.add` 的「已存在」语义与 `share_entry_id` 用法。
+- `org-browser.md`：人员/部门/分部/外部人员/岗位/角色/客户/客户类型八类浏览器检索与当前登录人，用于把名称解析成 ID。
+- `files.md`：附件上传/替换/下载（含转 PDF）、封面上传/设置/移除、文档比对（检索、文件对象、上传、提交拿 `compare_link`）。
+- `write-protocol.md`：prepare → apply 四步链路、continuation 票据约束与全部票据类错误码、写结果不确定的决策树。
+- `withheld.md`：4 个不提供的系统操作（环境列表 / 配置快照 / 配置重载 / 环境切换）与源 Skill 范围外模块，以及源基础设施脚本的等价替换说明。
+
+Agent 调优重点：
+
+- `weaver-work-cli caizhilian schema` 是 operation、字段与风险等级的合约第一信息源；`caizhilian operations` 给出按资源分组的能力目录与 `withheldOperations`。
+- 业务输入不得包含 Cookie、ETEAMSID、Token 或内部控制字段；认证只走 `weaver-work-cli auth ...`。
+- ID 一律来自查询：`doc_id` 来自检索或详情，`folder_id` 来自 `folder.query-by-name`，人员与部门 ID 来自 `org.search-*`，权限与共享的合法取值来自 `*.form` / `*.list`。
+- 枚举拼写 1:1 沿用源接口，权限键是 `deletePremisstion` / `downloadPremisstion` / `newCreateDocPremisstion` / `newCreateFolderPremisstion`，不要「纠正」成 `Permission`。
+- 写操作只接受 CLI 生成的 continuation，不手工构造、不跨操作复用；apply 入参必须与 prepare 逐字一致，票据有效期 10 分钟。
+- 分页 `has_next` 按「本页条数 >= page_size」判定，服务端 `total` 不可信；列表默认小页，回复只给摘要。
+- 附件、封面图片、正文文件属于用户私有数据：上传下载前必须提醒文件可能进入大模型上下文并取得明确确认；文件内容不得读入上下文，只引用路径与元数据。
+- 上传与下载是长耗时操作（120 秒超时、下载上限 100MB），一次只跑一个，不并发批量传输。
+- 结果为 `partial/write_uncertain`、网络中断或回查不一致时停止，最多补一次只读回查，不自动重放写请求。

package/skill-template/domains/hrm.md

@@ -1,7 +1,7 @@
 本业务域用于泛微 E10 组织管理（员工查询 / 组织架构 / 岗位查询，全部只读）。入口 `SKILL.md` 先路由到 `weaver-e10-shared/SKILL.md`，再给出跨模块约定、Reference 路由表和安全边界。具体用法拆到 `references/`：
 
 - `employee.md`：按工号/姓名/手机/邮箱查员工、批量人员、资料名片、下属查询（当前登录人 + 按 id）、部门成员。
-- `org.md`：分部/部门浏览、组织详情、多级路径 drill-down 编排。
+- `org.md`：分部/部门浏览、组织详情、多级路径 drill-down 编排、多维（虚拟组织维度）解析（`org.resolve`，含"维度名不存在时只给近似提示"的三级匹配）。
 - `position.md`：岗位浏览、岗位详情、岗位批量（岗位地址簿）。
 - `source-manifest.json`：源资料清单与 sha256 指纹，用于源资料更新检测。
 
@@ -12,5 +12,6 @@
 - 长整型 id 一律按字符串传递；手机号已由 CLI 脱敏。
 - **无条件禁止全量拉取**：`employee.query`/`org.query`/`position.query` 必须带收敛条件；`position.list` 无过滤需显式 `all=true`；`employee.query` 的 `status` 不能单独使用。
 - 姓名/工号/名称模糊匹配多人命中时必须列候选让用户选择，不得自动取第一条；部门重名改传组织 id。
+- 组织树按**多维**切分，同名部门在不同多维下是不同节点；`org.resolve` 已把「多维名称+部门/分部名称」的两级匹配收在 CLI 内，**只调一次**，结果看 `data.status`（`resolved`/`ambiguous`/`not_found`），`ambiguous` 必须问用户后再用 `orgId`/`virtualId` 复调。
 - 批量查询禁止循环单查：批量人员走 `employee.batch`，岗位批量走 `position.list`。
 - 代理商查询（`containsDls=true`）属禁用边界，直接说明不可用，不引导用户绕过。