mirror of
https://git.openapi.site/https://github.com/desirecore/market.git
synced 2026-09-05 20:43:46 +08:00
7560a586426f5575eb86b0de0498f9b5cebe1751
164 Commits
| Author | SHA1 | Message | Date | |
|---|---|---|---|---|
| 7560a58642 |
fix(invoice-organizer): 统一报告文件名约定 / unify report file naming (#120)
## 问题 / Problem 真机三轮整理实测：Agent 全部写出 `报告/整理报告-<运行日期>.md`，而技能里只定义了 `报告/<YYYY-MM>.md`。 **原因不是模型不听话。** 测试范围跨了 2020-08 到 2024-09 共十几个月，`<YYYY-MM>` 在多月场景下无从填写——技能没给出这种情况的文件名，Agent 只能自己发明一个。 **后果不是难看，而是会攒垃圾。** `invoice-automation` 的定时任务每月重建的是 `报告/<上月 YYYY-MM>.md`；与按运行日期命名的手工报告永远不会互相覆盖，用户目录里会留下一堆内容重叠、无从分辨新旧的报告。 Three real-machine runs all produced `报告/整理报告-<run date>.md`, while the skills only define `报告/<YYYY-MM>.md`. The runs spanned 2020-08 through 2024-09, so `<YYYY-MM>` was unfillable and the agent improvised. Because the scheduled monthly job rebuilds `报告/<last month YYYY-MM>.md`, the two naming schemes never overwrite each other and the user's directory accumulates overlapping reports with no way to tell which is current. ## 改动 / Changes - `invoice-workflow` 第 7 步补一张表，把两种文件名钉死： | 本次覆盖 | 文件名 | 例 | | --- | --- | --- | | 恰好一个自然月 | `报告/<YYYY-MM>.md` | `报告/2024-08.md` | | 跨多个月 | `报告/<起始 YYYY-MM>_<结束 YYYY-MM>.md` | `报告/2020-08_2024-09.md` | 并写明月份按**开票日期**归属（与台账同口径）、同名直接覆盖（报告是从 `.index/ledger.json` 全量重建的派生产物，不像台账需要先备份）、以及**为什么不许用运行日期命名** - `invoice-ledger` 与 `references/月度报告模板.md` 同步该约定 - 目录布局示例与中英 USAGE 一并标注跨月形态 ## 为什么不在本 PR 里 bump 版本 / Why no version bump here `contentSource` 的 `ref` 必须 pin 到**已合并的 commit**，本 PR 合并前拿不到那个 SHA。先 bump 版本会让目录声称 1.0.1、却仍按指向 1.0.0 内容的 pin 去取文件——比不 bump 更糟。版本号、pin 与 changelog 留到后续 PR 一起改。 The `contentSource` ref must pin to an already-merged commit, which does not exist until this PR lands. Bumping the version now would advertise 1.0.1 while still serving 1.0.0 content. Version, pin and changelog follow in a second PR. 🤖 Generated with [Claude Code](https://claude.com/claude-code) --- ## 追加：台账四张表必须全建 / Also: all four ledger sheets must always exist 真机压测（只有 1 张发票）产出的 `台账.xlsx` **只有三张表**——Agent 判定「按销售方汇总」在单一销售方下冗余而略过： ``` 发票测试（23 张） → ['明细', '月度汇总', '按销售方汇总', '异常'] 发票压测（1 张） → ['明细', '月度汇总', '异常'] ← 少一张 ``` 技能写的是「四张表，顺序固定」，但没说「即使为空也必须存在」。台账是要被重复重建、被用户自己写公式引用、被下一次整理覆盖的产物；表的位置一旦随数据量浮动，「第 3 张是按销售方汇总」这类引用就会在下个月悄悄指错。已在 `invoice-ledger` 里把这条钉死。 A stress run with a single invoice produced only three sheets — the agent judged the per-seller summary redundant. The skill said "four sheets, fixed order" but never said "even when empty". Sheet positions that float with row count silently break user formulas and rebuilds; now pinned. |
|||
| 98251c9a1d |
feat: 新增飞书编排助手 Agent 市场条目 / add Feishu Orchestrator agent listing (#114)
## 这是什么 / What 把自然语言意图翻译成第三方飞书 CLI（`lark-cli`）的正确调用，覆盖云文档、Markdown 文件、电子表格、多维表格、云空间、知识库、幻灯片、画板、即时消息、邮箱、日历、视频会议与妙记、任务、审批、OKR、考勤、应用搭建与实时事件等业务域。 声明 23 个业务域技能依赖，安装后即可使用，无需手工拷贝技能目录。 An agent that turns natural-language intent into correct calls to the third-party Feishu CLI, covering documents, sheets, Base tables, drive, wiki, messaging, mail, calendar, meetings, tasks, approvals, OKR and attendance. It declares 23 domain skill dependencies that install together with the agent. ## 结构 / Layout 与仓库既有的 `dingtalk-workspace` / `wecom-assistant` 条目保持一致： ``` agents/feishu-orchestrator/ ├── agent.json # 内联元数据（AgentFS 配置 ∪ 市场卡片，含 i18n 双语 + changelog） ├── catalog-metadata.v1.json # sidecar，字段全部从 agent.json 派生 ├── assets/avatar.webp # 512×512 图片头像 ├── persona.md / principles.md # L0/L1/L2 分层人格与硬规则 ├── README.md # 条目总览 + 文档索引 └── docs/01..13-*.md # 按业务域拆分的 13 篇功能文档 ``` ## 文档 / Docs 命令、参数约定与坑位**均来自真机验证**（2026-09-01，220 个已授权 scope）。未跑通的能力在 [`docs/13-能力边界.md`](agents/feishu-orchestrator/docs/13-能力边界.md) 中如实标注，不含任何租户、组织或个人标识。 其中固化了三处容易踩错的 CLI 契约： | 契约 | 踩错的后果 | |---|---| | `auth status` 成功时**没有**顶层 `ok` 字段 | 按通用 `ok === true` 判据会把「已授权」误判成「未授权」，反复推用户重新扫码 | | 身份不显式指定会落到 `bot` | bot 看不见用户的个人日历、云盘、邮箱，且返回**空成功**而非报错 | | `--ranges`（复数）的 sheet 前缀要用 `sheet_name` | 用 `sheet_id` 会通过确认门禁、但在 API 层报 `Sheet not found`；而单数 `--range` 的约定**正好相反** | ## 治理 / Governance - `governance.availability: listing-only` —— 与核心 Agent、钉钉、企微三个既有条目一致。inline agent 的内容随仓库走，没有独立制品 ref，无法满足 `installable` 分支「必须有不可变 ref 或 SHA-256 摘要」的门禁 - `governance.branding`：`independent-listing` / `nominative` / `logo not-used` —— 飞书、Lark 为第三方商标，头像为抽象编排拓扑图，不使用任何第三方 logo - `compatibility.requirements`：按仓库「外部依赖披露」规范声明运行时、权限、连接三类前置。DesireCore 不打包、不分发、不授权、不安装、不代付 `lark-cli` 及其背后的飞书产品 ## 顺带修正 / Incidental 根 `README.md` 的 Agent 清单停留在 `2` 个（遗漏 `wecom-assistant`），一并补齐为准确的 4 个；`manifest.json#stats.totalAgents` 3 → 4。 ## 校验 / Verification | 校验 | 结果 | |---|---| | `validate_catalog_metadata.py --require-complete` | **0 error**，sidecars 74，本条目零 warning | | `validate-i18n.py` | 0 error | | `test_validate_catalog_metadata.py` | 47/47 | | 发布前敏感信息扫描（邮箱 / 飞书真实 ID / 租户组织标识 / 带 ID 链接 / 密钥形态 / 隐藏文件，全工作树） | **零命中** | | 文档内部链接 | 13 个链接全部命中真实文件，无断链 | ## 依赖 / Dependency `requiredClientVersion: 10.0.143` —— 自动装齐依赖技能的能力来自主仓库 desirecore/desirecore#2587，该值按其合入后的首个发布版本填写。**若 #2587 未能进入 10.0.143，此值需回填修正**，否则用户在缺少该能力的版本上装完 Agent 会没有技能。 --------- Co-authored-by: yi-ge <jackyoncode@gmail.com> Co-authored-by: Copilot Autofix powered by AI <175728472+Copilot@users.noreply.github.com> |
|||
| 6c303ef21f |
feat(invoice-organizer): 声明为可安装并 pin 到已合并 commit / make Invoice Organizer installable (#118)
接 #117。那个 PR 只登记了条目本身（`availability: listing-only`），用户在市场里**看得到、装不了**。 本 PR 补齐可安装所需的证据链。 Follow-up to #117, which only listed the entry (`listing-only`) — visible in the marketplace but not installable. This PR supplies the evidence chain required for installation. ## 改动 / Changes - `agent.json` 新增 `contentSource`，pin 到 #117 的合并 commit `42a29e9` - sidecar 的 `provenance.content` 与之**归一化后逐字一致** （两侧字段名按各自 schema 写：agent.json 侧是 `repoUrl`（`marketPointerSchema` 的必填字段名）， sidecar 侧是 `url`；`normalizeContentSource` 里 `input.url ?? input.repoUrl` 把两者统一成 `url`， 比对发生在归一化之后，取的是 `{kind, url, path, ref, sha256}` 五元组） - `governance.compliance.reviewedRef` 绑定同一 commit；`reviewedAt` 与 `timestamps.reviewedAt` 取同一天 - `governance.availability` 翻成 `installable` - **移除** sidecar 的 `stewardship: "official"` 与 `branding.relationship: "official"` ## 为什么移除 `stewardship: official`（这一条值得单独看） `normalize/sidecar.ts` 只允许 `bundled-builtin` / `system-agent` / `official-pointer` 三种受信来源自称 official。**inline agent 不在其中**，命中即 `catalog.sidecar-forbidden-provider-claim` —— **整份 sidecar 被丢弃**， 静默回落到 `agent.json` 派生的 legacy 默认值。 在 dev 实例上实测确认（同步到 `42a29e9` 之后）： ``` 客户端拿到的 governance: {"availability":"listing-only","license":{"state":"unknown"}, "redistribution":"verify-package-terms","listingMaintainer":{...}} sidecar 里写的却是: license: {state:"known", value:"MIT", evidencePath:"LICENSE"}, redistribution: "allowed" catalogDiagnostics: null ``` 也就是说：sidecar 被整份丢弃，而**维护者没有任何反馈**。 `dingtalk-workspace` 也有同样的 `stewardship: "official"`，它的 sidecar **同样一直在被静默丢弃** （实测它的客户端 governance 与本条目改之前完全一样）。这条不在本 PR 范围内， 建议单独处理；DesireCore 主仓库那边我另外记了一条「sidecar 被拒的诊断没有透出到任何 API」的缺口。 ## 验证 / Verification 直接调用客户端的真实代码路径（不是照着文档推断）： ``` hydrateCatalogSidecar success=true diagnostics=[] compareMarketCatalogConsistency consistent=true mismatches=[] evaluateCatalogAcquisitionEligibility allowed=true reasons=[] legacy provenance.content: {"kind":"git","url":"https://github.com/desirecore/market.git", "path":"agents/invoice-organizer","ref":"42a29e99a0…"} sidecar provenance.content: {同上，逐字一致} ``` `compareMarketCatalogConsistency` 对 inline agent 会**逐字比对** `provenance.content`； 不一致会让整份 sidecar 静默降级回 listing-only，而 Python 校验器对 inline 条目 直接跳过这项比对（`_validate_content_consistency` 对 inline 早退），抓不到。 所以这一项只能靠上面这条客户端侧的验证兜住。 ## 校验 / Validation ``` validate_catalog_metadata.py --require-complete 0 error, 129 warning, agents=4, sidecars=74 validate-i18n.py 0 error, 129 warning translate.py --check ok gen-collection-children.py --check ok ``` 129 条 warning 全部来自 `skills/*` 的存量条目，`invoice-organizer` **零命中**。 |
|||
| 42a29e99a0 |
feat(invoice-organizer): 新增发票整理助手 Agent / add Invoice Organizer agent (#117)
新增官方 inline Agent「发票整理助手」（`invoice-organizer`）。
Adds an official inline Agent, **Invoice Organizer**, that turns
invoices scattered across
mailboxes and local folders into a reconcilable, reusable ledger.
## 它做什么 / What it does
七步固定流程，每一步幂等：**接入检查 → 收集 → 解析 → 去重 → 归档 → 台账 → 报告**。
- **收集**：从已接入的邮箱（Gmail / Outlook / IMAP）找出候选发票邮件，附件用 `MailOperations` 的
`save_to` 直接落盘，base64 不进模型上下文
- **解析**：OFD（三个结构化来源分别处理）、PDF 文字层、扫描件走视觉；每个字段带 `extractedBy` 与置信度
- **去重**：发票号码为主键，跨格式识别同一张票（PDF 与照片、重复下载）；近重复不自动合并
- **归档**：`归档/年/月/YYYYMMDD_销售方_金额_发票号码.ext`，原件一个不动
- **台账**：xlsx 四张表（明细 / 月度汇总 / 按销售方汇总 / 异常），发票号码强制文本格式；
装不上 openpyxl 时降级为 UTF-8 BOM CSV
- **报告**：Markdown 月度报告，收尾固定报五个计数（范围 / 候选 / 成功 / 待复核 / 失败）
- **自动化**：邮件规则 `agent_handle` + `ManageSchedule` 定时出账
## 明确的能力边界 / Explicit boundaries
- **不做发票真伪查验**，也不暗示做过——只做形式校验与勾稽校验，给出官方查验平台入口让用户自己核验
- **不删除、不移动、不转发用户的邮件**
- **票面内容不外流**：不外发、不代发、不上传第三方接口或在线查验站点
- **不做汇率换算**；不承诺「已找全」，只报「在给定范围内找到 N 封候选、成功解析 M 张」
## 结构 / Structure
```
agents/invoice-organizer/
├── agent.json persona.md principles.md LICENSE
├── USAGE.zh-CN.md USAGE.en-US.md
├── catalog-metadata.v1.json # availability: listing-only（可安装化见下）
├── assets/avatar.webp
└── skills/
├── invoice-workflow/ # 七步总纲、目录布局、落盘顺序、去重主键、幂等
├── invoice-extract/ # 三种载体的解析细则、置信度分档、特殊票据
│ └── references/票面文本形态.md
├── invoice-ledger/ # 台账结构、人民币约定（覆盖 xlsx 技能的默认口径）
│ └── references/月度报告模板.md
└── invoice-automation/ # 邮件规则与定时调度的参数模板与排查
```
`manifest.json` 的 `stats.totalAgents` 3 → 4。
## 事实性核对 / Fact-checking
技能里引用的**每一个**端点 / 工具名 / 参数名 / 返回字段都对着 DesireCore 主仓库实现逐条核对过，
并经过一轮对抗式 review。review 抓到的、已修正的主要事实错误：
- OFD 一节原本只覆盖 2020 年式样；已改为按**三个来源**分述
（内嵌附件 / 2024 数电票的 `Tags/CustomTag.xml` 标引 / `DocInfo/CustomDatas`），
键名从 `Buyer/BuyerName` 改为真实的点号路径 `Buyer.BuyerName`，置信度按来源分档
- **`DocInfo/CustomDatas` 的「合计金额」是不含税金额**，误当 `totalAmount` 会让每张 2024
数电票少记税额
——已写成硬规则
- Gmail 本地缓存搜索的 `q` **实际只按主题过滤**（正文过滤在主题收窄之后才跑），
原文写成「搜主题与正文」会导致静默漏邮件
- 「轮询只覆盖收件箱」只对 IMAP 成立，Gmail / Outlook 是整个邮箱
- `POST /rules/{id}/test` 走另一份内联实现、**没有 `matches_regex` 分支**，
不能用它验证正则规则
- 邮件列表项里 Gmail / IMAP **是带** `attachments[]` 的，只有 Outlook 不带；
`labelIds` 是 Gmail 专有
## 真机验证 / Verified on a live instance
在 dev 实例上以一句话指令处理 31 个混合文件（数电票 / 旧版票 / OFD / 扫描件 / 行程单，
外加重复、近重复、作废、零额与 4 个非发票负样本）：
- 23 张归档，字段与夹具 ground truth **逐条吻合**
- 4 个非发票**全部正确拒绝**并写明理由（施工许可证 / 对账单 / 技术服务合同 / 邮件通知）
- 4 个跨格式重复（3 张扫描件 + 1 次重复下载）**全部靠发票号码主键识破**，隔离而非删除
- 近重复正确未合并；作废票归档但不计入合计；低置信度定额发票标为待复核
- 台账 xlsx 四张表、报告含五个计数、`SendUserMessage` 带附件交付
- `待整理/` 31 个原件一个未动
## 校验 / Validation
```
validate_catalog_metadata.py --require-complete 0 error, agents=4, sidecars=74 exit=0
validate-i18n.py 0 error exit=0
translate.py --check exit=0
gen-collection-children.py --check exit=0
```
129 条 warning 全部来自 `skills/*` 的存量条目，改前改后一字不差，`invoice-organizer` 零命中。
另核实：`agent.json` 过 `marketAgentSchema`（详情页）与收窄后过
`agentConfigSchema`（安装），
persona / principles 的 6 个 canonical key 用平台真实解析器全部解得出，全树敏感信息扫描通过
（所有公司名 / 税号 / 银行账号均为 `示例`/`示范`/`虚构`/`样例` 前缀的合成值）。
## 后续 / Follow-up
本 PR 为 `availability: listing-only`。可安装化需要把 `agent.json#contentSource` 与
sidecar 的 `provenance.content` **逐字一致地** pin 到本 PR 的合并 commit，
并补 `governance.compliance` 与 `timestamps.reviewedAt`——那是紧接着的第二个 PR。
|
|||
| 61c82782c4 |
fix(wecom-assistant): sidecar 显式声明 installPolicy/updatePolicy / declare install & update policy in sidecar (#116)
## 中文
sidecar 的 `spec` 未声明 `installPolicy` / `updatePolicy`，而 legacy 侧对双缺省派生为
`market` / `market`，导致 `compareMarketCatalogWithLegacy` 判定
`spec.agent.policy` 不一致，**整个 sidecar 被拒**（`sidecarRejected`）并回退
listing-only。
真机取证——客户端市场索引 `cache/market/index.json` 中该条目：
```json
"sidecarRejected": true,
"catalogDiagnostics": [
{"code": "market.catalog-legacy-mismatch", "field": "governance.availability"},
{"code": "market.catalog-legacy-mismatch", "field": "spec.agent.policy"}
]
```
本 PR 修掉其中的 `spec.agent.policy`。另一条 `governance.availability`
是**客户端侧的结构性缺陷**，不在本仓库范围：`market-agent-entry.client.schema.json` 等 5 个
market schema 均无 `availability` 字段且 `additionalProperties: false`，因此
pointer 条目的 legacy availability 恒为 `listing-only`，sidecar 声明
`installable` 必然 mismatch。主仓库已另开 PR 修复，客户端发版后本条目即可生效；在此之前旧客户端会降级为
listing-only 展示，不影响可用性。
校验：`validate_catalog_metadata.py` 0 error。
---
## English
The sidecar's `spec` omitted `installPolicy` / `updatePolicy`, while the
legacy side derives `market` / `market` from the double default.
`compareMarketCatalogWithLegacy` therefore flagged `spec.agent.policy`
as inconsistent and **rejected the whole sidecar**, falling back to
listing-only.
Verified against a live client's market index, which showed
`sidecarRejected: true` with diagnostics for both `spec.agent.policy`
and `governance.availability`.
This PR fixes the former. The latter is a **structural gap on the client
side**, outside this repository: none of the five market schemas carry
an `availability` field and all set `additionalProperties: false`, so a
pointer entry's legacy availability is always `listing-only` and any
sidecar declaring `installable` must mismatch. A separate PR in the main
repository addresses that; this entry becomes effective once the client
ships it. Older clients degrade to listing-only, which does not affect
usability.
Validation: 0 errors from `validate_catalog_metadata.py`.
|
|||
| 2eebcd3d8c |
feat(wecom-assistant): 改为 pointer 形态并补齐获取证据 / switch to pointer form with full acquisition evidence (#115)
## 中文
把「企业微信助手」从 inline 形态改为 pointer 形态，并补齐严格证据门槛，使其成为**首个可一键安装的 Market
Agent**。
### 为什么改
此前该条目在市场详情页显示「仅收录 / 当前不能由 DesireCore 一键获取」。判定源是
`evaluateCatalogAcquisitionEligibility`：Agent 类条目**不享受** builtin Skill 的
`isTrustedBundledBuiltin` 快捷通道（该函数硬编码 `kind === 'skill'`），必须走 content
不可变 + license known + compliance 三重匹配的严格门槛。这与本仓库 README 的「Agent pointers
do not receive the built-in Skill exceptions」及 ADR-137 一致，是有意的设计而非缺陷。
inline 形态还存在自指问题：证据要求 `content` 指向不可变 commit，而 inline
内容就在本仓库里，条目无法预知自己将被合并进哪个 commit。现网 41 个 inline 条目全部没有 `content`，30 个
pointer 条目全部有——数据印证了这一点。
### 改了什么
**形态**：内容迁至 `desirecore-agent/wecom-assistant`，本仓库只保留 `entry.json` 与
sidecar。删除 53 个文件 / 16494 行，条目从 1.0M（全仓最大的 Agent 条目）降到数 KB。符合
ADR-038「market 仓库只放元数据、不放具体内容」。
**证据六项**：
| 项 | 值 |
|---|---|
| `provenance.content` | git + `665ab1d2…`（https + 40 位 SHA） |
| `governance.license` | `unknown` → `known` / MIT，`evidencePath:
LICENSE` |
| `governance.compliance` | 五项齐备，`reviewedRef` 等于 `content.ref` |
| `timestamps.reviewedAt` | 与 `compliance.reviewedAt` 逐字一致 |
| `availability` | `listing-only` → `installable` |
| `redistribution` | 与 `entry.json` 同为 `source-pointer-only` |
**内容侧**（在内容仓库中完成）：13 个业务技能改为 vendor 企业微信官方
`WecomTeam/wecom-cli`（MIT，pinned `78c514b2`），自维护 `wecom-shared` /
`wecom-chat` / `wecom-workflows` 三个治理与增量技能。官方内容量为原自研版的 1.6 倍（21.6k vs
13.7k 行），并已修正官方 `meeting rooms search` 的 3
个失效参数名——`room_keyword`/`min_capacity`/`building_city` 在 CLI 1.2.0 已改名，而
CLI 对未知字段不校验、原样透传，会导致静默订错会议室。MIT 署名义务由内容仓库的 `NOTICE` 与
`third_party/wecom-cli/LICENSE` 履行。
### 校验
`validate_catalog_metadata.py` 0 error、`validate-i18n.py` 0
error、`gen-collection-children.py --check` 通过（wecom-cli 14 children）。129
个 warning 均为其他既有条目所有，本次未新增。
### 已知风险
市场 Agent 的安装链路此前**从未被真实用户走过**（现网 0 个 installable
agent，仅有单测覆盖）。合并后需真机验证安装、并重启客户端后再验一次卸载。
---
## English
Switches the WeCom Assistant entry from inline to pointer form and
supplies the full acquisition evidence, making it the **first
installable Market Agent**.
### Why
The entry previously rendered as listing-only. Agent items do **not**
receive the builtin-Skill fast path in
`evaluateCatalogAcquisitionEligibility` (`isTrustedBundledBuiltin`
hardcodes `kind === 'skill'`), so they must satisfy the strict gate:
immutable content, known license, and ref-bound compliance. That matches
this repo's README ("Agent pointers do not receive the built-in Skill
exceptions") and ADR-137 — it is deliberate, not a defect.
Inline form also has a self-reference problem: the gate requires
`content` to pin an immutable commit, but inline content lives in this
repository and cannot know which commit will carry it. All 41 inline
entries currently lack `content`; all 30 pointer entries have it.
### What changed
**Form**: content moved to `desirecore-agent/wecom-assistant`; only
`entry.json` and the sidecar remain here. 53 files / 16494 lines
removed, shrinking the entry from 1.0M (the largest Agent entry in the
repo) to a few KB, per ADR-038.
**Evidence**: `provenance.content` pins `665ab1d2…`; license becomes
known/MIT with `evidencePath`; compliance carries all five required
fields with `reviewedRef` equal to `content.ref`;
`timestamps.reviewedAt` matches `compliance.reviewedAt`; availability
becomes `installable`; redistribution aligns with `entry.json`.
**Content side**: 13 business skills are now vendored from the official
`WecomTeam/wecom-cli` (MIT, pinned `78c514b2`) — 1.6× the volume of the
previous in-house set — with three self-maintained skills for governance
and coverage gaps. Three stale meeting-room parameter names were
corrected; the CLI passes unknown fields through without validation, so
the stale names would silently book the wrong room. MIT attribution is
carried by `NOTICE` and `third_party/wecom-cli/LICENSE` in the content
repository.
### Validation
0 errors from the catalog and i18n validators; collection children check
passes. The 129 warnings all belong to pre-existing entries.
### Known risk
The Market Agent install path has never been exercised by a real user (0
installable agents in production; unit tests only). Post-merge, install
should be verified on a real client, and uninstall re-verified after a
restart.
|
|||
| a8361009b9 |
feat(dingtalk-workspace): add USAGE.md and wire feature docs into skill references (#113)
## 背景 / Background
`agents/dingtalk-workspace` 条目把 13 篇使用文档放在 `docs/` 目录，但**两侧都读不到**：
- 市场详情页只渲染 `agent.json` 的元数据字段，不扫描条目目录下的 `docs/`
- Agent 自身的上下文只挂载 `persona.md` / `principles.md` / `memory/` /
`skills/`，`docs/` 不在其中
The listing kept 13 usage documents under `docs/`, but nothing consumed
them: the
market detail page only projects `agent.json` metadata, and the agent's
own context
mounts `persona.md` / `principles.md` / `memory/` / `skills/` only.
## 变更 / Changes
配合 DesireCore 主仓库的 `USAGE.md` 平台约定（ADR-143）与既有技能 `references` 机制，分别解决两侧。
Pairs with the new `USAGE.md` platform convention (ADR-143) in the
DesireCore repo.
| 变更 / Change | 说明 / Detail |
| --- | --- |
| 新增 `USAGE.md` | 安装前该知道的内容：第三方 CLI 依赖声明、5
步快速开始、六种审批模式取舍、安全与已知边界。**刻意不含图片**——详情页的 markdown 渲染器会移除普通 `img src` |
| 新增私有技能 `dingtalk-guide` | 只做索引，正文用 `${SKILL_DIR}/references/` 绝对路径指向
13 篇文档，Agent 按需 `Read`。单产品问题（如「钉盘同步怎么用」）可触发查文档再作答，不占每轮上下文 |
| `docs/` → `dingtalk-guide/references/` | 整体移入并拍平。原 12
篇无交叉链接、无图片，移动无需改写正文 |
| `docs/README.md` 拆分 | 安装部分 → `USAGE.md`；界面与审批部分连同两张截图 →
`references/界面与审批.md` |
| `README.md` | 补 `USAGE.md` 约定说明与目录树条目 |
| `manifest.json` | 1.5.0 → 1.5.1（条目内容新增；计数不变，经校验器实跑确认） |
**单一真相源 / Single source of truth**：每篇文档只有一份，归 `dingtalk-guide` 技能所有；
不存在 `docs/` 与 `references/` 两份副本。`dingtalk-onboarding` 与
`dingtalk-workflows`
两个既有技能不变。
## 校验 / Validation
README 记录的 7 条 CI 校验命令全部实跑通过（改动前后各一轮）：
```
scripts/i18n/test_validate_i18n.py exit=0
scripts/catalog/test_validate_catalog_metadata.py exit=0
scripts/catalog/test_collection_generator.py exit=0
scripts/catalog/validate_catalog_metadata.py --require-complete exit=0
scripts/i18n/validate-i18n.py exit=0
scripts/i18n/translate.py --check exit=0
scripts/gen-collection-children.py --check exit=0
```
`manifest.json#stats` 由 `validate_catalog_metadata` 输出实跑确认（agents=3,
teams=1,
publishableSkills=69），非算术推导，故不变。
## 公开信息边界 / Public information boundary
全树扫描零命中：改动文件、新增路径名、分支名、commit 主题与正文、本 PR 文本均不含
租户/客户/伙伴/个人身份。两张截图已逐张目视复核——仅含 DesireCore 自身界面、Agent 名称与
通用 `dws` 命令，返回结果为空列表，不含组织名或任何组织形态。
Full-tree scan returned zero results. Both screenshots were reviewed
individually:
they show only DesireCore's own UI, the agent name, and generic `dws`
commands.
## 依赖 / Dependency
`USAGE.md` 的详情页渲染依赖 DesireCore 主仓库的配套 PR。在其发布前，本条目的
`USAGE.md` 仍是仓库内可读的普通文件，不影响现有行为。
Detail-page rendering depends on the companion PR in the DesireCore
repository.
Until it ships, `USAGE.md` is simply a readable file in the listing and
changes nothing.
|
|||
| aec2e7c28b |
feat: 新增企业微信助手 Agent，并修正 wecom-cli 条目 ref 漂移 (#112)
## 概述 / Overview 两件事：新增「企业微信助手」Agent（自带 15 个技能），并修正 `wecom-cli` 条目钉在 6 月快照的 ref 漂移。 Two changes: adds the **WeCom Assistant** agent (bundling 15 skills), and fixes the `wecom-cli` entry whose pinned ref was stuck on a June snapshot. ## 1. 新增企业微信助手 Agent 覆盖企业微信 **14 类服务、95 个方法**：消息、群聊历史、通讯录、日程、会议、待办、邮件、在线文档、在线表格、智能表格、智能文档、文档管理、微盘、媒体文件。 **采用内联形态 + 自带私有技能**：Agent 安装对 `agents/<id>/` 整目录递归复制且 `skills/` 不在排除集合里，因此装 Agent 即带全部技能，用户无需再单独获取技能合集。 ### 技能集（15 个，约 5000 行） - 基于上游 [wecom-cli](https://github.com/WecomTeam/wecom-cli) 官方 Skill（MIT，© WecomTeam）改写，每个技能末尾保留归属声明 - **新增 `wecom-chat`**：补齐上游零覆盖的群聊历史读取 - 补齐上游未覆盖的 `message.send`、`doc.create`，方法覆盖达 **95/95** - 修正上游三处文档漂移：邮件能力描述与实际相反、会议室参数名已过时、`title_highlight` 字段不存在 ### 相对上游的核心增量：风险治理 - 26 个对外可见或不可逆的方法逐个写明**执行前确认要求** - 4 个条件升级方法给出**参数级判据**，而非按方法名一刀切 - 文档权限扩散两项加重处理，涉及**企业外可见**时单独再确认一次 - 内部标识禁止外露，不因用户索要而放宽 - 拒绝导出可识别到具体自然人的隐私字段 ### 三条真机实测得出、上游未覆盖的硬约束 1. 机器人**只能写入/修改自己创建的数据**，真人创建的只能读 2. 每次响应携带的 `extra_identity_context` **禁止透露给用户** 3. 权限错误（`850002`/`851008`/`853006`）**不得重试**，须将 `help_message` **逐字原样**转给用户 ## 2. 修正 wecom-cli 条目 ref 漂移 `source.ref` 原钉在 2026-06-28 的 `72e14f7`，该快照只有 7 个子技能且用已废弃的旧命名（`msg`/`schedule`）。上游 v1.2.0 已扩展到 **14 个**技能。按旧 ref 安装的用户拿到的是三个月前的快照。 - `source.ref` → `78c514b2afee7c0d3d7be715628478421f37ee63` - `children` 由 `scripts/gen-collection-children.py` 重新生成，**7 → 14** - sidecar 同步 `provenance.content.ref`、`childCount` 与 `children` ## 验证 / Verification **静态** - 215 条示例命令追加 `--dry-run` 实跑，**215/215 退出码 0** - 未知方法 0、未知参数 0、`--json` 未知字段 0、枚举违规 0 - 15 个 `SKILL.md` 的 frontmatter 经客户端 `skillFrontmatterSchema` 校验全部通过 - `validate_catalog_metadata.py --require-complete` 与 `gen-collection-children.py`：**0 error** **真机（在真实企业微信账号上端到端）** - **待办域 6/6 方法全通**（含 2 个 write-high），`items` 必填的隐蔽坑实测证实 - **日程域 5 个方法全通**（含 3 个 write-high） - 消息发送、通讯录解析、微盘列表、邮件搜索、文档搜索、会议列表、智能表格创建均已实测通过 - 测试数据已全部清理，未污染真实账号 **尚未实测**：群聊历史（机器人未开通该品类）。相关文档已明确标注验证状态，未实测的能力不写「实际效果」段落。 |
|||
joy1129-com
|
c83f917901 |
feat(skills): add 6 due-diligence data-source skills (#111)
## Summary
Adds six enterprise due-diligence data-source skills as local built-in
skills (SKILL.md + SKILL.zh-CN.md + catalog-metadata sidecar), per
ADR-038.
| Skill | Category | Risk | Source |
|---|---|---|---|
| baidu-poi-search | data | low | Baidu Map Place API (REST) |
| tianyancha-risk | business | low | Tianyancha risk API (REST) |
| ccgp-gov-procurement | business | medium | ccgp.gov.cn (WebBridge) |
| cnipa-patent-search | business | medium | CNIPA pss-system (WebBridge)
|
| creditchina-query | business | high | creditchina.gov.cn (WebBridge +
ddddocr) |
| multi-source-sentiment | research | medium | Douyin Index/Featured +
WebSearch |
## Changes
- 6 x skills/<id>/{SKILL.md, SKILL.zh-CN.md, catalog-metadata.v1.json}
- builtin-skills.json: 34 -> 40
- manifest.json: totalSkills 63 -> 69
- README.md counts + list
## Security
- Credentials replaced with env-var placeholders (BAIDU_MAP_AK,
TIANYANCHA_TOKEN); verified no secrets in diff
## Validation
- validate-i18n.py: 0 errors (remaining warnings pre-existing repo-wide)
- zh/en heading parity verified; source_hash computed per repo algorithm
Co-authored-by: yi-ge <yi-ge@desirecore.net>
|
||
| 43a8cbd549 |
feat: 新增钉钉工作台助手 Agent 市场登记条目 (#107)
## 摘要 / Summary
**中文**：新增市场第 2 个 Agent 条目
`dingtalk-workspace`（钉钉工作台助手），作为钉钉全产品能力的**发现入口**。条目只提供发现元数据与治理事实，Agent
正文不在本仓库分发。
**English**: Adds the marketplace's second Agent listing,
`dingtalk-workspace` (DingTalk Workspace Assistant), as a **discovery
entry** for DingTalk's product surface. The listing carries discovery
metadata and governance facts only; the Agent's own content is not
distributed from this repository.
## 变更 / Changes
| 文件 / File | 说明 / Note |
| --- | --- |
| `agents/dingtalk-workspace/agent.json` | 市场展示元数据，zh-CN + en-US 双语 /
Market display metadata, zh-CN + en-US |
| `agents/dingtalk-workspace/catalog-metadata.v1.json` | 治理 sidecar /
Governance sidecar |
| `agents/dingtalk-workspace/assets/avatar.webp` | 512×512 中性图形头像 /
Neutral 512×512 avatar |
| `manifest.json` | `totalAgents` 1 → 2；version 1.2.30 →
1.3.0；lastUpdated |
| `README.md` | Agent 计数与目录示意 / Agent count and repository shape |
## 条目形态：可安装 / Shape: installable
**中文**：条目随附完整 Agent 正文（`persona.md`、`principles.md`、2 个 Skill、13
篇文档），安装后即得到完整可用的 Agent。
治理字段取值与理由：
| 字段 | 取值 | 理由 |
| --- | --- | --- |
| `installPolicy` / `updatePolicy` | `market` / `market` |
正文已在条目内，Market 负责安装与更新。这也避开了
`isMarketAgentMetadataOnly()`（`sync/market.ts:113-128`）——它只在
`system`+`repository` 时返回 true，另一条分支是对 `desirecore` 的 id 硬编码特判，本条目不适用 |
| `release` | `known` `1.0.0` `semver` | 非 system Agent 时
`validate_catalog_metadata.py:625-630` 要求 `release` 保留 legacy `version`
|
| `timestamps.releasePublishedAt` | `2026-09-01` | 本次发布日 |
| `governance.availability` | `listing-only` | 见下 |
**为什么 `availability` 不是
`installable`**：`validate_catalog_metadata.py:650-712` 的强证据门禁要求不可变
`provenance.content`（git 40 位 SHA 或 sha256）+ 已知 license + 已知
`reviewedAt` + `compliance`。本条目正文就在本仓库这次提交里，无法自指一个尚不存在的固定
ref；未做治理审查，也不会编造 `reviewedAt` 与许可证据。`listing-only`
在本仓库既有先例（`wecom-cli`、`larksuite-cli` 都是 `listing-only`
且实际可安装），且客户端不读该字段——真正决定可安装性的是 `installPolicy`。
**English**: The listing ships the complete Agent content (`persona.md`,
`principles.md`, 2 Skills, 13 documents), so installing yields a fully
working Agent.
| Field | Value | Rationale |
| --- | --- | --- |
| `installPolicy` / `updatePolicy` | `market` / `market` | Content lives
in the listing, so Market owns install and update. This also avoids
`isMarketAgentMetadataOnly()` (`sync/market.ts:113-128`), which returns
true only for `system`+`repository`; its other branch is an id-hardcoded
special case for `desirecore` that does not apply here |
| `release` | `known` `1.0.0` `semver` | For a non-system Agent,
`validate_catalog_metadata.py:625-630` requires `release` to preserve
the legacy `version` |
| `timestamps.releasePublishedAt` | `2026-09-01` | Publication date |
| `governance.availability` | `listing-only` | See below |
**Why `availability` is not `installable`**: the strict evidence gate at
`validate_catalog_metadata.py:650-712` requires an immutable
`provenance.content` (40-hex Git SHA or sha256) plus a known license, a
known `reviewedAt`, and `compliance`. This listing's content lives in
this very commit, so it cannot pin a ref that does not yet exist; no
governance review was performed, and no `reviewedAt` or license evidence
will be invented. `listing-only` has precedent here (`wecom-cli` and
`larksuite-cli` are both `listing-only` yet installable in practice),
and the client does not read the field — installability is actually
decided by `installPolicy`.
### agent.json 的双重身份 / agent.json serves two contracts
**中文**：安装时整个 `agents/<id>/` 目录被 `cpSync` 到
`~/.desirecore/agents/<id>/`（`market-routes.ts:1228-1252`），因此这个
`agent.json` **同时**是市场展示元数据和 AgentFS 运行时配置。已把源 Agent 的运行时配置并入（`llm` 智能路由
flagship、`heartbeat`、`session_mode`、`env`、`mcp_servers`、并发上限等）。
已知副作用：两套 Schema 在 10 个字段上不相交（市场侧的 `category` / `updatedAt` /
`maintainer` / `i18n` / `persona` / `changelog` / `installPolicy` /
`updatePolicy`，以及 `avatar.t` / `avatar.bg`），AgentFS 侧
`agentConfigSchema` 是 `additionalProperties: false`，`id` 还要求 UUID
形态。因此安装后
`parseAgentJsonText`（`agent/reader.ts:375-397`）会走宽松解析分支，每个进程打印一条
warning。宽松分支原样返回解析结果，配置全部生效——已实测确认（见下）。这是「内联可安装 Market
Agent」这一形态固有的，本仓库此前没有先例。
**English**: On install the whole `agents/<id>/` directory is
`cpSync`-ed into `~/.desirecore/agents/<id>/`
(`market-routes.ts:1228-1252`), so this `agent.json` is
**simultaneously** the marketplace display metadata and the AgentFS
runtime config. The source Agent's runtime configuration has been merged
in (`llm` smart routing at flagship tier, `heartbeat`, `session_mode`,
`env`, `mcp_servers`, concurrency cap).
Known side effect: the two schemas are disjoint on 10 fields
(market-side `category`, `updatedAt`, `maintainer`, `i18n`, `persona`,
`changelog`, `installPolicy`, `updatePolicy`, plus `avatar.t` /
`avatar.bg`), AgentFS's `agentConfigSchema` is `additionalProperties:
false`, and its `id` expects a UUID shape. So after install,
`parseAgentJsonText` (`agent/reader.ts:375-397`) takes the lenient
branch and prints one warning per process. That branch returns the
parsed object as-is, so every setting still applies — verified below.
This is inherent to the "inline installable Market Agent" shape, which
has no prior precedent in this repository.
## 外部依赖披露 / External dependency disclosure
**中文**：本 Agent 依赖一个由第三方独立分发的命令行程序，并需要用户自行完成钉钉账号 OAuth 授权。按仓库
`CLAUDE.md`「External dependency disclosure」要求，已在四处披露：
1. **发现描述** — `agent.json#i18n.<locale>.shortDesc`（zh-CN 与 en-US 各一份）
2. **`compatibility` 字段** — sidecar `compatibility.requirements[]`，4
条：runtime（用户自行安装第三方 CLI）、runtime（官方产品技能需手工拷贝且每次升级重做）、permission（钉钉账号
OAuth，能力范围取决于授权范围）、connection（网络与所在组织已开通的产品/权益）
3. **本地化市场文案** — `agent.json#i18n.<locale>.fullDesc` 与 sidecar
`presentation.i18n.<locale>.description` 中的「外部依赖声明」整节
4. **执行约定** — 同一节明确：依赖不可用（未安装 / 未授权 / 无权限 /
组织未开通）时，在发起外部调用**之前**停止并如实说明，**不编造成功结果**
明确声明 DesireCore
**不打包、不分发、不授权、不安装、不代付、不运营**该程序及其背后的产品；凭据与费用由用户与服务方之间的条款约束。
**English**: This Agent depends on an independently distributed
third-party CLI and requires the user's own account OAuth. Per
`CLAUDE.md` "External dependency disclosure", it is disclosed in all
four required places:
1. **Discovery description** — `agent.json#i18n.<locale>.shortDesc`, in
both zh-CN and en-US
2. **`compatibility` field** — sidecar `compatibility.requirements[]`,
four entries: runtime (user installs the third-party CLI), runtime
(official product skills must be copied manually and re-copied after
each upgrade), permission (account OAuth; coverage depends on granted
scopes), connection (network plus the products and entitlements enabled
for the user's own organization)
3. **Localized marketplace text** — the "External dependency disclosure"
section inside `agent.json#i18n.<locale>.fullDesc` and sidecar
`presentation.i18n.<locale>.description`
4. **Execution instructions** — the same section states that when the
dependency is unavailable (not installed, not authorized, not permitted,
or not enabled), the Agent stops **before** the external call and never
fabricates a successful result
It states explicitly that DesireCore does **not bundle, distribute,
license, install, pay for, or operate** that program or the products
behind it; credentials and fees are governed by terms between the user
and the service provider.
## 品牌与商标 / Branding
**中文**：`branding.relationship: independent-listing` / `nameUsage:
nominative` / `logoStatus: not-used`。头像是自制的中性图形（对话气泡 + 终端提示符
`>_`，表达「自然语言意图 → 命令调用」），**未使用任何第三方 logo 或商标图形**。
**English**: `branding.relationship: independent-listing` / `nameUsage:
nominative` / `logoStatus: not-used`. The avatar is an original neutral
mark (a speech bubble containing a `>_` terminal prompt, expressing
"natural-language intent becomes a command call"). **No third-party logo
or trademark artwork is used.**
## 未审查的事实保持 unknown / Unverified facts left unknown
**中文**：未做治理审查，因此
`governance.license`、`timestamps.reviewedAt`、`timestamps.releasePublishedAt`、`timestamps.upstreamObservedAt`、`release`
一律如实为 `unknown`，不编造许可证据或审查时间。`compatibility.platforms` 同样为
`unknown`——实际只在 macOS 上验证过，不宣称未验证的平台。
**English**: No governance review was performed, so
`governance.license`, `timestamps.reviewedAt`,
`timestamps.releasePublishedAt`, `timestamps.upstreamObservedAt`, and
`release` are all honestly `unknown`; no license evidence or review date
is invented. `compatibility.platforms` is likewise `unknown` — only
macOS was actually exercised, and untested platforms are not claimed.
## 校验 / Validation
**中文**：按 `.github/workflows/i18n-validate.yml` 的顺序在本地跑完 7 步，全部 `exit
0`；`0 error(s)`，116 warning 全部是主干既有条目的历史告警，**新条目零告警**。
**English**: All seven steps from `.github/workflows/i18n-validate.yml`
were run locally in order; every step exited `0`. `0 error(s)`; all 116
warnings are pre-existing on `main` for other listings — **the new
listing produces none**.
```
exit=0 errors=0 新条目命中=0 <-- scripts/i18n/test_validate_i18n.py
exit=0 errors=0 新条目命中=0 <-- scripts/catalog/test_validate_catalog_metadata.py
exit=0 errors=0 新条目命中=0 <-- scripts/catalog/test_collection_generator.py
exit=0 errors=0 新条目命中=0 <-- scripts/catalog/validate_catalog_metadata.py --require-complete
exit=0 errors=0 新条目命中=0 <-- scripts/i18n/validate-i18n.py
exit=0 errors=0 新条目命中=0 <-- scripts/i18n/translate.py --check
exit=0 errors=0 新条目命中=0 <-- scripts/gen-collection-children.py --check
0 error(s), 116 warning(s). agents=2, builtinSkills=34, pointerSkills=28,
publishableSkills=62, collections=7, collectionChildren=147, sidecars=64
```
另外用客户端契约做了运行时验证：按 `readAgentDetail` 的归一化逻辑（i18n 拍平 + changelog 按 locale
解析 + system 策略下 `version` → `metadataRevision`）还原 detail
对象后，`validateMarketAgent` 在 zh-CN 与 en-US 下均 PASS。
Additionally verified against the client contract: after reproducing
`readAgentDetail`'s normalization (i18n flattening, per-locale changelog
resolution, and `version` → `metadataRevision` under the system policy),
`validateMarketAgent` PASSes for both zh-CN and en-US.
### 安装验证 / Install verification
**中文**：用 agent-service 的**真实导出函数**复刻 `market-routes.ts:1185-1260`
的安装流水线（`skillCopyFilter`、`computeCapabilityContentDigest`、`isMarketAgentMetadataOnly`、`extractAgentVersion`、`parseAgentJsonText`），在
vitest unit project 中执行。
**English**: The install pipeline from `market-routes.ts:1185-1260` was
reproduced using agent-service's **real exported functions**
(`skillCopyFilter`, `computeCapabilityContentDigest`,
`isMarketAgentMetadataOnly`, `extractAgentVersion`,
`parseAgentJsonText`) and executed inside the vitest unit project.
```
[1] isMarketAgentMetadataOnly = false => 放行可装
[2] cpSync ok; source=cb8c961bb55b9abe… staged=cb8c961bb55b9abe…
[3] installedVersion = 1.0.0
[5] 应存在 19 项，缺失 0 项
[6] parseAgentJsonText => 可用配置
name=钉钉工作台助手 llm.routingMode=smart tier=flagship
max_concurrent_sessions=3 accepts_messages=true
avatar.image.path=assets/avatar.webp
✓ packages/agent-service/src/__tests__/… (1 test) 75ms
Test Files 1 passed (1)
```
19 项断言覆盖 `agent.json` / `persona.md` / `principles.md` / 2 个 `SKILL.md`
/ `assets/avatar.webp` / 13 篇文档，全部存在；staged 摘要与源摘要一致（内容无漂移）。
All 19 assertions — `agent.json`, `persona.md`, `principles.md`, both
`SKILL.md` files, `assets/avatar.webp`, and all 13 documents — are
present, and the staged digest matches the source digest (no content
drift).
## 公开信息边界 / Public information boundary
**中文**：按 `CLAUDE.md`「Required pre-publication
check」执行完毕。敏感令牌清单通过私有渠道获取并保存在仓库之外，未落盘、未写入否定名单。全工作树扫描（含隐藏文件、排除 `.git`）后，本
PR 新增与修改的文件（含本次新增的 17
个正文文件）**零命中**；已对示例做语义复核，正文示例统一使用「某某」「张三」这类中文通用占位人名，正文只描述公开的软件包名、公开命令与中立能力域，不含任何租户、客户、伙伴或个人身份，也无截图。分支名、commit
标题与正文、以及本 PR 文本同样零命中。检查通过。
**English**: The `CLAUDE.md` "Required pre-publication check" was
completed. The sensitive token list was obtained through a private
channel and kept outside the repository; it was not persisted and not
added to any denylist. After scanning the complete working tree
(including hidden files, excluding `.git`), the files added or modified
by this PR — including the 17 content files added in this round —
produce **zero hits**. Examples were reviewed semantically: the text
describes only public package names, public commands, and neutral
capability domains, with no tenant, customer, partner, or individual
identity, and no screenshots. The branch name, commit subject and body,
and this PR text are likewise clean. Check passed.
## 备注 / Notes
**中文**：与 #104（`skills/dingtalk-cli` 技能条目）互补——那个 PR 登记工具层，本 PR 登记 Agent
层。两者都改了 `manifest.json` 与 `README.md` 的统计行，后合并的一方需要重算计数。本分支基于 `main`，不依赖
#104。
目录 slug 选用 `dingtalk-workspace` 而非本机 AgentFS 实例目录名：AgentFS
实例目录是创建时按中文名自动生成的拼音串，不满足市场 slug 的语义可读性要求；`dingtalk-workspace`
与它所面向的产品域（钉钉工作台）及上游 CLI 包名一一对应，对应关系明确可查。
**English**: Complementary to #104 (the `skills/dingtalk-cli` listing) —
that PR registers the tool layer, this one the Agent layer. Both touch
the stats lines in `manifest.json` and `README.md`, so whichever merges
second must recount. This branch is based on `main` and does not depend
on #104.
The directory slug is `dingtalk-workspace` rather than the local AgentFS
instance directory name: that instance directory is an auto-generated
pinyin transliteration of the Chinese display name and is not
meaningfully readable as a marketplace slug. `dingtalk-workspace` maps
one-to-one onto the product surface it fronts and onto the upstream CLI
package name, so the correspondence stays explicit.
---------
Co-authored-by: yi-ge <jackyoncode@gmail.com>
|
|||
| fb6005cd7b |
feat: 新增钉钉官方 CLI 市场入口（含 14 个官方子技能） (#104)
## 中文 补齐官方市场里唯一缺失的主流 IM CLI 条目：**钉钉官方命令行工具 `dws`**（npm 包 `dingtalk-workspace-cli`，Apache-2.0，Copyright 2026 Alibaba Group），与已有的 `wecom-cli`、`larksuite-cli` 形成对称。市场此前只有社区的 `dingtalk-api`，覆盖面远小于官方 CLI。 ### 变更 | 文件 | 说明 | | --- | --- | | `skills/dingtalk-cli/entry.json` | 合集指针条目 + 14 个官方子技能 `children` | | `skills/dingtalk-cli/catalog-metadata.v1.json` | 治理 sidecar | | `manifest.json` | `stats.totalSkills` 62 → 63；`version` 1.2.30 → 1.2.31；`lastUpdated` | | `README.md` | 外部条目计数与清单同步 | ### 14 个子技能 `dingtalk-aisearch`、`dingtalk-aitable`、`dingtalk-calendar`、`dingtalk-chat`、`dingtalk-contact`、`dingtalk-doc`、`dingtalk-drive`、`dingtalk-event`、`dingtalk-mail`、`dingtalk-minutes`、`dingtalk-misc`、`dingtalk-shared`、`dingtalk-todo`、`dingtalk-wiki` ### 外部依赖披露 CLI 是**独立分发的第三方软件**，本条目只是市场登记，四处均已声明： - **discovery description**（`entry.json#i18n.<locale>.shortDesc`）：需自行用 npm 安装 `dingtalk-workspace-cli`，需完成钉钉 OAuth 授权登录（**不支持账号密码登录**），DesireCore 不打包、不授权、不安装也不代运营钉钉或该 CLI - **`compatibility.requirements`**（4 条）：CLI 需在 PATH 上、Node.js >= 16.7.0、`dws auth login` 建立的授权会话（缺失时必须在外部调用前停止，禁止编造成功结果）、能力覆盖取决于组织授予的 OAuth 范围与钉钉权益 - **本地化市场文案**：sidecar `presentation.i18n` 与 `entry.json#i18n` 逐字一致，zh-CN / en-US 双语 - **执行说明**：随 CLI 分发的上游 `SKILL.md`，不在本仓库 `redistribution: verify-package-terms` 会让客户端在安装响应里带出条款提示。 ### 来源与治理的取舍（诚实声明） 上游 git 仓库 `https://github.com/open-dingtalk/dingtalk-workspace-cli`（该 URL 是发布方在 npm `package.json#repository` 里自己声明的）**当前对外返回 404，不可公开访问**，因此： - `source` 用 `kind: git` + 该声明 URL，**不写 `ref`**——没有可观察的 commit，不编造固定版本 - 相应地 `provenance.content` 不可变，`governance.availability` 只能是 `listing-only`（`validate_catalog_metadata.py` 的 installable 强证据门禁要求不可变 ref + 已知 license + `reviewedAt` + `compliance`，本条目一样都拿不出） - `governance.license` 保持 `{state: "unknown"}`（`entry.json#license: "Apache-2.0"` 取自发布方声明与包内 LICENSE/NOTICE，但仓库内没有许可证据文件，只产生既有的 `legacy-license-unverified` warning） - `timestamps.reviewedAt` / `releasePublishedAt` 保持 `unknown`；只有 `catalogUpdatedAt` 与 `upstreamObservedAt` 写入真实观察时刻 - `branding` 声明 `independent-listing` / `nominative` / `not-used`：独立登记、名称为指代性使用、未使用对方 Logo（图标是通用终端窗形） - 因为来源未固定，`gen-collection-children.py --check` 会输出 `SKIP`（与既有的 `mattpocock-skills` 同一路径），`children` 由人工按分发件内实际布局 `multi/<id>/` 撰写 ### 校验（已实际执行，全部 exit 0） ``` uv run --quiet scripts/i18n/test_validate_i18n.py exit=0 uv run --quiet scripts/catalog/test_validate_catalog_metadata.py exit=0 uv run --quiet scripts/catalog/test_collection_generator.py exit=0 uv run --quiet scripts/catalog/validate_catalog_metadata.py --require-complete 0 error(s), 117 warning(s). agents=1, builtinSkills=34, pointerSkills=29, publishableSkills=63, collections=8, collectionChildren=161, sidecars=64 exit=0 uv run --quiet scripts/i18n/validate-i18n.py 0 error(s) exit=0 uv run --quiet scripts/i18n/translate.py --check exit=0 uv run --quiet scripts/gen-collection-children.py --check exit=0 ``` 本条目产生的唯一 warning 是 `legacy-license-unverified`，与其余全部 pointer 条目一致。`entry.json` 另经客户端 `marketSkillEntrySchema` 的 Ajv 校验通过。 发布前公开信息边界检查已按 `CLAUDE.md` 执行并通过（工作树全量扫描含隐藏文件、路径名、分支名、commit 文案与本 PR 文本，零结果；令牌清单保存在仓库之外）。 --- ## English Adds the one mainstream IM CLI the official market was still missing: the **official DingTalk CLI `dws`** (npm package `dingtalk-workspace-cli`, Apache-2.0, Copyright 2026 Alibaba Group), making it symmetric with the existing `wecom-cli` and `larksuite-cli` entries. Until now the market only carried the community `dingtalk-api`, whose surface is far smaller. ### Changes | File | Purpose | | --- | --- | | `skills/dingtalk-cli/entry.json` | Collection pointer entry with 14 official sub-skill `children` | | `skills/dingtalk-cli/catalog-metadata.v1.json` | Governance sidecar | | `manifest.json` | `stats.totalSkills` 62 → 63; `version` 1.2.30 → 1.2.31; `lastUpdated` | | `README.md` | External-entry count and list kept in sync | ### External dependency disclosure The CLI is **separately distributed third-party software**; this entry is a marketplace listing only. The dependency is disclosed in all four required places: - **Discovery description** (`entry.json#i18n.<locale>.shortDesc`): the operator installs `dingtalk-workspace-cli` from npm and completes DingTalk OAuth sign-in (**no username-and-password login**); DesireCore does not bundle, license, install or operate DingTalk or this CLI. - **`compatibility.requirements`** (4 entries): the `dws` binary on PATH, Node.js >= 16.7.0, an operator-authorized session from `dws auth login` (without it the skills must stop before the external call and must never fabricate a successful result), and the fact that capability coverage depends on the organization's granted OAuth scopes and DingTalk entitlements. - **Localized marketplace text**: sidecar `presentation.i18n` matches `entry.json#i18n` verbatim, in both zh-CN and en-US. - **Execution instructions**: the upstream `SKILL.md` files shipped with the CLI, outside this repository. `redistribution: verify-package-terms` makes the client surface a terms notice on install. ### Source and governance trade-off (stated plainly) The upstream git repository `https://github.com/open-dingtalk/dingtalk-workspace-cli` — the URL the publisher itself declares in the npm `package.json#repository` — **currently returns 404 and is not publicly readable**. Therefore: - `source` uses `kind: git` with that declared URL and **no `ref`**: there is no observable commit, and inventing a pinned one is not acceptable. - Content provenance is consequently not immutable, so `governance.availability` can only be `listing-only` (the installable evidence gate in `validate_catalog_metadata.py` requires an immutable ref, a known license, `reviewedAt` and `compliance`; none of these exist here). - `governance.license` stays `{state: "unknown"}`. `entry.json#license: "Apache-2.0"` reflects the publisher's declaration and the LICENSE/NOTICE shipped in the package, but there is no license evidence file in this repository, so only the existing `legacy-license-unverified` warning is produced. - `timestamps.reviewedAt` and `releasePublishedAt` stay `unknown`; only `catalogUpdatedAt` and `upstreamObservedAt` carry real observed values. - `branding` declares `independent-listing` / `nominative` / `not-used`: an independent listing, nominative use of the product name, and no third-party logo (the icon is a generic terminal-window glyph). - Because the source is unpinned, `gen-collection-children.py --check` reports `SKIP` (the same path the existing `mattpocock-skills` entry takes). The `children` list was written by hand against the `multi/<id>/` layout actually observed in the distributed skill bundle. ### Validation (actually executed, all exit 0) All seven checks from `.github/workflows/i18n-validate.yml` were run locally and passed; the only warning attributable to this entry is `legacy-license-unverified`, matching every other pointer entry. `entry.json` additionally validates against the client's `marketSkillEntrySchema` under Ajv. The pre-publication public-information-boundary check in `CLAUDE.md` was performed and passed with a zero-result scan across the working tree (hidden files included), path names, branch name, commit text and this PR text. The search tokens are kept outside the repository. --------- Co-authored-by: Copilot Autofix powered by AI <175728472+Copilot@users.noreply.github.com> Co-authored-by: yi-ge <jackyoncode@gmail.com> |
|||
| 8ca10741aa |
chore(larksuite-cli): 同步合集子技能至上游最新 / sync collection children to upstream HEAD (#105)
## 问题 / Problem 市场登记的 `larksuite-cli` 合集落后于上游，用户看到的能力清单不准确： 1. **缺少 `lark-meeting`** — 合集只登记 27 个子技能，上游实际有 28 个。而 `lark-meeting` 恰好是会议域**唯一的真业务技能**。 2. **4 个已降级的兼容壳仍按旧描述展示** — 上游已把 `lark-vc` / `lark-vc-agent` / `lark-minutes` / `lark-note` 改成纯兼容入口（正文只有一句「转 lark-meeting」），但市场里仍是它们退役前的能力描述。用户按描述勾选，会装到 4 个不再承载业务的空壳，却装不到真正干活的 `lark-meeting`。 3. `source.ref` 钉在 2026-06 的提交上。 The registered `larksuite-cli` collection lagged upstream: `lark-meeting` — the only real business skill in the meeting domain — was missing, while four skills that upstream has since reduced to compatibility shims were still advertised with their pre-retirement descriptions. Users following those descriptions would install four empty shims and miss the skill that actually does the work. ## 修改 / Changes - `source.ref`: `4c31323` → `a257fcb`（上游 main，2026-08-31） - `children`: 27 → 28，补齐 `lark-meeting` - 4 个兼容壳的描述随之更新为「仅当显式指定时使用，统一交由 lark-meeting 技能处理」 - 同步 sidecar 的 `provenance.content.ref` 与 `spec.collection.childCount`，修复 legacy 与 sidecar 的一致性 `children` 由 `scripts/gen-collection-children.py larksuite-cli` 生成，未手工编辑。 ## 验证 / Validation ``` uv run scripts/i18n/validate-i18n.py → 0 error, 116 warning uv run scripts/catalog/validate_catalog_metadata.py → 0 error, 116 warning ``` 改动前基线同为 `0 error / 116 warning`，**无新增 warning**。 首次提交时只改了 legacy `entry.json`，校验报 3 个 `legacy-consistency` / `collection-identity` error；stash 改动跑基线对照确认是本次引入后，补齐 sidecar 修复。 |
|||
| 8265c8f4a9 |
feat(workforce-optimization): governed nonexpert clarification and evidence (#106)
## 摘要 / Summary 补问、原话解释与真人确认分离；增加版本能力预检、sourceField/evidenceLinks、有限语义用例及正确工件依赖顺序。 Separate answers, interpretation and human confirmation; add capability discovery, explicit source/evidence bindings, finite semantic checks and artifact ordering. 发现描述覆盖“仅澄清”入口；有歧义的原话保持缺口，不把“不确定”塞入精确枚举或规范化值。按当前对话语言加载框架与固定事实门尾注。 当前请求中已唯一确定的值会写成类型化、待真人确认的 `node.value`；只有未知或仍有歧义的事实才保持 `needs_input`。 Discovery covers clarify-only requests. Ambiguous raw answers remain unresolved, rather than becoming exact placeholder values. The framework and fixed fact-gate footer follow the current conversation language. Exact values uniquely supplied by the current request become typed, human-reviewable `node.value` proposals; only genuinely unknown or ambiguous facts remain `needs_input`. 应用/服务重启或重试 fork 后，入口必须在当前父轮重新加载 Skill，并在委派前用 ToolCatalog 核实阶段工具；子 Agent 不得突破未激活父级的能力上限。 After an app/service restart or retry fork, the entry Agent reloads the Skill in the current parent turn and verifies stage tools before delegation; a child never expands an unactivated parent ceiling. 新的 decision-grade `OptimizationSpec` 强制使用 v2，并完整声明 `semantic_contract` 中的 solve intent 及所有 objective/variable/constraint/data reference 的单位/维度；legacy v1 仅只读兼容。 New decision-grade `OptimizationSpec` artifacts use v2 and a complete semantic contract for solve intent plus every material objective, variable, constraint and data reference; legacy v1 remains read-only compatibility. ## 验证 / Validation - Scoped Skill/i18n/catalog check passes with zero errors. Existing repository warnings remain. - Publication safety check passed, including hidden working-tree files, new paths, branch/commit metadata and collaboration text. - 双语说明与 source hash 已同步，版本更新为 2.7.0；缺少新平台契约时保持普通澄清，不模拟缺失门禁。 - Bilingual bodies and source hashes are synchronized at version 2.7.0. Older clients stay in plain-text clarification when capability discovery fails. ## 状态 / Status Runtime acceptance is still in progress; draft only. No customer data, credentials, solver software or deployment settings are included. 真机验收仍在进行，本 PR 暂为草稿。保留外部求解器许可证、部署和费用披露；本变更不包含求解器、客户数据或凭据。 --------- Co-authored-by: yige <yige@yigedeMacBook-Neo.local> |
|||
| e77c658958 |
feat: 市场支持团队条目类型并上架合同审查团队 (#110)
## 变更 / What
市场此前只有 `agents` 与 `skills` 两类条目。本 PR 加入**团队（teams）**条目类型，并上架第一条真实团队
listing。
The market supported only `agents` and `skills`. This PR adds a
**teams** entry type and lists the first real team.
## 一、支持团队条目类型
「支持一种新条目类型」实际涉及 4 组共 11 个文件，比表面看到的多：
**客户端契约快照**
- 新增 `schemas/market-team-entry.client.schema.json`，用 esbuild 打包客户端
`packages/schemas/src/market.ts` 后导出生成。用同样方法重新生成
`market-agent-entry.client.schema.json` 验证过管线——字节完全一致（含属性顺序），确认不是手工誊抄。
**Sidecar schema**
- `identity.kind` 枚举加 `team`；新增 `$defs.teamSpec`；接入 `spec.oneOf` 与
kind→spec 派发
**校验器（工作量主要在这里）**
- `scripts/catalog/validate_catalog_metadata.py`：`load_legacy`
原先硬编码只认两个根目录。抽出 `CATALOG_ROOTS` 常量同时驱动允许的父目录集合与错误文案；按 kind 分派客户端 schema
校验；`teams` 进 stats 与 `--require-complete` 覆盖统计；把**严格 provenance
比对**与「可安装 pointer 必须自带不可变 ref」两道门禁扩展到团队
- `scripts/i18n/validate-i18n.py`：**它独立重算计数并逐个校验 `entry.json`**，不接团队会漏校
- `.github/workflows/i18n-validate.yml`：变更检测的 grep 不含 `teams/`——**一个只改
teams 的 PR 会报「无 i18n 相关变更，跳过校验」然后零校验通过**
- 测试：`test_validate_catalog_metadata.py` 29→47，`test_validate_i18n.py`
9→17
**顺带修正一条本就不对的规则**：`icon` 此前被要求「每个 entry.json 都必须有非空内联 SVG」，但运行时 schema 里
`marketAgentSchema` 与 `marketTeamSchema` **都没有 `icon` 字段**（只有 skill
有）。也就是说这条规则对 Agent pointer 同样在强加死重量，只因本仓库暂无 agent pointer 条目而未暴露。改为
`ICON_RENDERED_KINDS = {"skill"}`，agent/team 声明 icon
时给**警告**而非错误，文案说明「下一个维护者会以为改它能改变卡片」。
## 二、上架合同审查团队
`teams/contract-review-team/`（`entry.json` + sidecar）。
**团队条目是 fork 指针卡，不分发正文**：市场只存展示元数据 + git-only `source`，真实定义（`team.json`
/ `members.json` / `shared/`）在 `source.repoUrl` 指向的仓库里。安装即
`forkTeam`，更新即 `git pull`——组合固定，因此**没有** `installPolicy` /
`updatePolicy`。
| 字段 | 值 | 依据 |
|---|---|---|
| `source.ref` | `73cd87a9901cc548871927e9d5dbec8e4cc6c2b1` | v0.1.1
的**完整 SHA**。tag 不是可复现 pin，validator 有测试专门拒绝 |
| `latestVersion` | `0.1.1` | 上游真实 tag，与 `release.version` 交叉校验 |
| `license` | `MIT` | 上游仓库真有 LICENSE，已在 pinned ref 的快照中复验 |
| `redistribution` | `source-pointer-only` |
市场从不打包团队正文，只给指针——这是交付形态，与许可证宽松与否无关 |
| `requiredClientVersion` | `10.0.137` | 六个成员都声明了 `FileDigest`
内置工具，它随该版本发布 |
| `memberCount` / `memberNames` | 6 / 5 名 | schema 规定前者**含**组长、后者**不含**
|
| `availability` | `listing-only` | 见下 |
**`availability` 为什么不是 `installable`**：四项证据满足两项（不可变 pin ✓、已知 license
✓），缺的 `reviewedAt` 与 `governance.compliance`
本质是**一次尚未发生的治理审查**——需要具名方在具体日期针对这个确切 ref 审过许可合规、第三方内容与商标使用。没发生的事不能写进目录。
补充一个事实：本仓库**零个 sidecar 有 `compliance` 块，29 个 pointer 条目全是
listing-only**，`installable` 路径从未在任何真实条目上走过。这不阻止安装——fork 由 `source` 驱动。
**`license.evidencePath` 的基准此前是未定义的**：schema 只说
`safeRelativePath`，没规定相对谁。仓库里仅有的两个先例（`guizang-ppt`、`presentation-forge`）都是
vendored 技能，LICENSE 物理上在条目目录里。按那个读法，pointer 条目写 `evidencePath`
断言的是市场目录下有该文件——对 pointer 永远不成立。新增 `license-evidence` 规则按条目形态分派：vendored
要求文件存在（error），pointer 要求条目已 pin（warning），两种读法写进 README。
## 校验 / Validation
```
test_validate_catalog_metadata.py 47 tests OK
test_validate_i18n.py 17 tests OK
test_collection_generator.py exit 0
validate_catalog_metadata.py --require-complete
0 error, 116 warning (agents=1, teams=1, publishableSkills=62, sidecars=64)
validate-i18n.py / --online 0 error, 116 warning
translate.py --check exit 0
gen-collection-children.py --check exit 0
```
116 warnings 即加入团队之前的基线——**本条 listing 贡献 0 个警告**。
真实条目上的反向控制（跑在 rsync 副本上，仓库保持干净）：
```
source.kind=zip → team-entry-schema (error)
install/updatePolicy 出现 → team-entry-schema (error)
requiredClientVersion 漂移 → legacy-consistency (error)
memberCount 漂移 → legacy-consistency (error)
provenance ref 漂移 → legacy-consistency (error)
可安装但无不可变 ref → installable-evidence (error)
evidencePath 在未 pin 的 pointer → license-evidence (warning)
```
另用**客户端真实校验器**（`parseMarketTeamEntry`，不是快照）验证条目通过，且多写一个字段会被拒。
## 公开信息边界 / Public information boundary
全树扫描无新增命中。团队内容使用「某某科技（北京）有限公司」这类标准中文占位。
---------
Co-authored-by: yi-ge <mizan57533@gmail.com>
|
|||
| df5959eebf |
移除官网展示用 Agent 目录 (#109)
## 变更 - 移除此前为官网展示加入的 7 个 Agent 条目 - 恢复 Market 为真实可复用目录，不再承载官网宣传样例 - 恢复 README 与 manifest 中的 Agent 计数 ## 验证 - `scripts/i18n/test_validate_i18n.py` - `scripts/catalog/test_validate_catalog_metadata.py` - `scripts/catalog/test_collection_generator.py` - `scripts/catalog/validate_catalog_metadata.py --require-complete` - `scripts/i18n/validate-i18n.py` - 敏感信息与发布边界检查通过 |
|||
| 9eb6181e55 |
feat: 增加公开业务 Agent 目录 (#108)
## 摘要 新增 7 个公开、可复用的 listing-only Agent 条目： - 内容营销 Agent - 标书协作 Agent - 合同审查 Agent - 工程图校核 Agent - 检验报告 Agent - 研究证据 Agent - 流程运营 Agent 这些条目用于发现和展示能力蓝图，不声明已安装、已连接外部系统或可替代专业人员签发。工程、检验、法律和研究类条目均保留人工复核边界。 ## Summary Add seven public, reusable, listing-only Agent entries for content marketing, tender collaboration, contract review, engineering drawing review, inspection reports, research evidence, and workflow operations. The entries are discovery blueprints only. They do not claim installed tools, connected systems, or authority to replace qualified professional review and sign-off. ## 数据变更 / Data changes - Market version: `1.3.0` - Agent count: `1 → 8` - Every Agent includes bilingual legacy metadata and `CatalogItemV1` sidecar data - All new entries remain `listing-only` with unknown license/platform facts where evidence is absent ## 验证 / Validation - i18n unit tests: 9/9 - catalog validator tests: 29/29 - collection generator tests: 4/4 - catalog validation: 0 errors - i18n validation: 0 errors - secret/private-key scan: 0 findings |
|||
| d76db984b6 |
fix: 对齐 Agent 指针目录与客户端校验契约 (#103)
## 问题 / Problem 市场 CI 要求每个 Agent 条目都有 catalog sidecar，但 sidecar 校验器只接受相邻的 agent.json。客户端已支持的 Agent entry.json 指针因此无法满足完整覆盖门禁。 The catalog completeness gate requires sidecars for every Agent, while the validator previously read only agent.json. Valid Agent pointer entries could not satisfy CI. ## 修改 / Changes - Agent 主文件严格二选一：内联 agent.json 或指针 entry.json；目录 slug 与安装源 UUID 保持分离。 - 使用从主仓固定提交导出的完整客户端 Agent entry Schema，先校验原始类型、字段、版本、路径和策略组合，再比较 sidecar。 - 对齐 latestVersion、固定来源、许可/治理、兼容性和有效的缺省 market/market 策略，拒绝 sidecar 单方面提升托管权限。 - 未修改产品条目、manifest、现有 sidecar Schema 或 CI 完整性要求。 Agent pointers now pass the pinned client input schema before source metadata consistency checks. Effective default policies are compared without promoting catalog metadata into authority. Existing inline Agents and Skills retain their validation paths; no entries or CI requirements change. ## 验证 / Validation - 29 + 4 + 9 项定向 Python 测试通过。 - 完整 i18n、catalog --require-complete、translation freshness 检查通过；116 条既有警告与基线一致，无新增。 - 原始客户端 Schema 与固定主仓来源逐项比较一致（仅增加溯源注释）。 - 独立代码审查发现的原始契约与缺省策略问题已修复并复核。 - 公开信息边界检查覆盖完整工作树、隐藏文件、链接目标与新增 Git 元数据，通过。 Targeted tests, full catalog/i18n/freshness validation, source-schema comparison and independent review passed. Existing warnings are unchanged. This PR repairs catalog validation; it does not claim runtime installation of a new product. --------- Co-authored-by: yige <yige@yigedeMacBook-Neo.local> |
|||
| a205ef20f0 |
feat: 迁移统一目录元数据契约 (#102)
## 中文 - 为 System Agent、34 个 Builtin Skill、28 个 Pointer/Collection 条目增加 catalog sidecar - 覆盖 147 个 collection child，并固定可证明的来源；无法证明的内容保持 listing-only/unknown - 增加 strict Schema、validator、collection check 与 CI 完整性门禁 ## English - Add catalog metadata sidecars for the System Agent, 34 built-in Skills, and 28 pointer/collection entries - Cover 147 collection children while keeping unverifiable facts listing-only or unknown - Add strict schemas, validators, deterministic collection checks, and CI completeness gates ## 验证 / Verification - Catalog validator 17/17 - Collection generator 4/4 - 63 sidecars, 147 children, zero errors |
|||
| 40944ca1d3 |
fix(code-intelligence): 强制 Lsp 优先并要求降级显式声明 (#101)
## 背景 / Background desirecore/desirecore#2248：真机测试中 code-intelligence 技能被绕过——模型未加载技能、未解锁 `Lsp`，直接用 Glob/Grep 文本检索回答语义导航问题，用户无从知道拿到的不是语义结果。 In real-device testing the skill was bypassed entirely: the model answered semantic-navigation questions from Glob/Grep text matching without loading the skill or unlocking `Lsp`, with no disclosure to the user. ## 变更 / Changes - **description（根级 + i18n 双语）改为命令式**：语义导航请求必须先加载本技能解锁隐藏的 `Lsp` 工具，禁止未尝试 `Lsp` 就用文本检索作答（配合主仓库的技能目录 provides.tools 附注，模型在决策点即可看到该指令） - **L1 新增「硬性规则」**（双语）：`Lsp` 优先；限定允许回退的三种情形；任何回退到文本检索的回答必须向用户显式声明「结果来自文本匹配而非语义分析」及原因 - **L2 降级策略**同步引用硬性规则 - version 1.0.0 → 1.1.0；重算 i18n `source_hash`（`translated_by: human` 保持锁定） ## 校验 / Validation - `uv run scripts/i18n/validate-i18n.py` → OK - `uv run scripts/i18n/translate.py --check` → code-intelligence 两 locale 均无 stale |
|||
| ebdac6c6b1 |
fix(web-access): 将外部浏览器启动建议标记为仅展示 (#99)
## 中文 - 将 `debug_port_closed` 的模型可见字段从 `launchCommand` 收紧为 `manualLaunchCommand` - 明确 `requiredAction=wait_for_user_to_launch_browser` 与 `commandPolicy=display_only_never_execute` - 中英 Skill 与 CDP 参考文档同步要求结束回合，禁止交给 Bash、PowerShell、终端或脚本执行 ## English - Rename the model-facing closed-port suggestion to `manualLaunchCommand` - Define `requiredAction=wait_for_user_to_launch_browser` and `commandPolicy=display_only_never_execute` - Keep the English/Chinese skill and CDP reference aligned: end the turn and never pass the suggestion to an execution tool ## Validation - i18n validator: pass - translation freshness check: pass - Windows real-device evidence: the previous contract correctly detected `debug_port_closed` but attempted a Bash launch; approval was denied before execution |
|||
| 54716ea43a |
fix(skill): 修正算力配置治理流程 (#100)
## 中文 - 将算力配置流程改为 `ManageCompute` 与 `ComputeCredential set` - 明确密钥只允许写入且工具结果保持脱敏 - 补全 GUI `mode=control` 回退、旧客户端条件化验证和升级提示 - 禁止引导 Agent 绕过 renderer Origin/token 边界 ## English - Route compute configuration through `ManageCompute` and `ComputeCredential set` - Keep credentials write-only and redacted from tool results - Complete the GUI `mode=control` fallback, legacy-client validation, and upgrade guidance - Stop directing Agents around renderer Origin/token protections ## Validation - Translation freshness check - Skill i18n validation - `git diff --check` |
|||
| a625b5ec84 |
feat: govern workforce optimization with DecisionWorkspace (#98)
## Summary - teach the workforce optimization Skill to use the canonical DecisionWorkspace human/Agent governance flow - declare DecisionWorkspace and OptimizationSolve capabilities while retaining MindOptSolve compatibility - document exact-revision artifact lineage, guarded execution, independent validation, and human approval - preserve the external MindOpt deployment, license, cost, and secret boundaries ## Validation - full i18n validation - translation freshness check - validator unit tests (9/9) - git diff check ## Compatibility Requires DesireCore 10.0.127 or newer. --------- Co-authored-by: yige <yige@yigedeMacBook-Neo.local> |
|||
| 3059468526 |
fix(web-access): use governed external browser open tool (#97)
## 中文 ### 变更 - 将 web-access 升级到 v3.4.3，并声明 `BrowserExternalOpen` - 外部浏览器的简单打开/导航固定为 `BrowserExternalProbe` → `BrowserExternalOpen` - 仅把点击、动态取文、提取等高级交互交给隔离 Playwright - 同步中英文 Skill、状态表、决策树和 CDP reference ### 验证 - `python scripts/i18n/validate-i18n.py` - `python scripts/i18n/translate.py --check skills/web-access` - `python -m unittest scripts/i18n/test_validate_i18n.py` - `git diff --check` ## English ### Changes - Bump web-access to v3.4.3 and expose `BrowserExternalOpen` - Route simple external-browser open/navigation through `BrowserExternalProbe` → `BrowserExternalOpen` - Reserve isolated Playwright for advanced click, dynamic-read, and extraction workflows - Keep the English/Chinese skill, status table, decision tree, and CDP reference aligned ### Verification - `python scripts/i18n/validate-i18n.py` - `python scripts/i18n/translate.py --check skills/web-access` - `python -m unittest scripts/i18n/test_validate_i18n.py` - `git diff --check` |
|||
| 7026cc72ed |
fix(web-access): 强制 Windows 隔离 Playwright 环境 (#96)
## 中文 - 将 web-access 升级到 v3.4.2。 - L3-external 必须先创建或选择 DesireCore 隔离 venv，再进行 import、固定版本安装、复检和 CDP attach。 - Windows 全流程只允许 PowerShell 与 venv 的 Scripts\\python.exe；禁止 Bash、裸 python/pip、pip --user、全局安装和 playwright install。 - 修正中英文 L3 汇总表，避免后置表格覆盖前置安全规则。 验证：完整 i18n validator、translation freshness、validator unit 均通过；独立复审无 P0-P2。 ## English - Bump web-access to v3.4.2. - Require creating or selecting the DesireCore-owned isolated venv before import checks, pinned installation, re-check, and CDP attach. - On Windows, require PowerShell and the venv Scripts\\python.exe throughout; forbid Bash, bare python/pip, pip --user, global installation, and playwright install. - Align both localized L3 summary tables so later guidance cannot override the safety contract. Validation: full i18n validation, translation freshness, and validator unit tests pass; independent review found no P0-P2 findings. |
|||
| ceeada3625 |
fix(web-access): 修复 Windows CDP attach 配方 (#95)
## 中文 - 将 web-access 升级到 v3.4.1 - Windows attach 明确禁止把 POSIX heredoc/`/tmp` 交给 PowerShell - 增加 Playwright import 预检、DesireCore 隔离 venv 和 PowerShell here-string 写脚本配方 - 保持 ready 与依赖缺失分离，禁止回落内置浏览器 ## English - Bump web-access to v3.4.1 - Forbid POSIX heredocs and `/tmp` paths in Windows PowerShell attach flows - Add Playwright import preflight, DesireCore-isolated venv guidance, and a native PowerShell here-string recipe - Keep browser readiness separate from dependency availability and never fall back silently ## Validation - `test_validate_i18n.py`: 9/9 - `validate-i18n.py skills/web-access`: pass - `translate.py --check skills/web-access`: pass - Windows live-device observation: probe reached Chrome ready, then the old recipe attempted Bash `/tmp` and PowerShell `cat <<EOF`; this PR fixes that deterministic cross-shell failure. |
|||
| 2ccd176dad |
fix(web-access): 增加外部浏览器确定性前置探测 (#94)
## 中文 ### 背景 L3-external 过去只用 curl 判断 9222，无法区分浏览器未安装、端口未开启、错误产品或伪 CDP 服务，也可能静默回落内置浏览器。 ### 变更 - web-access 升级到 3.4.0，并要求先调用 BrowserExternalProbe - 结构化处理未安装、端口关闭、多候选、产品不匹配、无效 CDP 与宿主不可用 - 显式浏览器不可自动替换；泛指 external 在多候选且无 ready 端口时先询问 - 所有 Playwright 配方使用 probe 返回端口和 DesireCore 隔离 Profile - 纳入并修复 #93 的浏览器收尾规则与重复编号 finding ### 验证 - validate-i18n：通过 - translate --check：通过 - validate-i18n --online：通过 - source hash：sha256:1704b973e3a90e89 - 双语结构：31 个标题、20 个代码围栏 取代 #93；关联 desirecore/desirecore#2369。 ## English ### Background L3-external previously relied on curl against port 9222, which could not distinguish a missing browser, a closed debug port, a different product, or a fake CDP service, and could silently fall back to the built-in browser. ### Changes - Bump web-access to 3.4.0 and require BrowserExternalProbe before CDP attach - Handle missing installation, closed port, multiple candidates, product mismatch, invalid CDP, and unavailable host as separate states - Never replace an explicitly requested browser; ask when a generic external request has multiple candidates and no ready endpoint - Use the probe result port and a DesireCore-isolated profile in all Playwright recipes - Incorporate #93 browser wrap-up guidance and fix its duplicate numbering review finding ### Validation - i18n validation passed - translation freshness check passed - online validation passed - source hash: sha256:1704b973e3a90e89 - bilingual structure: 31 headings and 20 code fences Supersedes #93; related to desirecore/desirecore#2369. --------- Co-authored-by: xieyuanxiang <124608760@qq.com> |
|||
| 2891f9dc06 |
feat(skills): 补全团队管理操作规范 (#92)
## 中文 ### 变更 - 将 manage-teams 升级到 1.3.0，并设置最低客户端版本 10.0.108 - 补齐 ManageTeam 全部 14 个 action 的用途、参数与风险边界 - 增加创建前检查、工作目录选择、Smart 成员路由、组织更新、头像、团队仓库、远程同步与失败恢复流程 - 明确远程操作必须经过 ManageTeam 的原因是供应链校验与审批，而不是假设 Agent 永远拿不到凭据 - 保持 disable-model-invocation: true，只在需要管理团队时按需加载 ### 测试 - uv run --quiet scripts/i18n/test_validate_i18n.py - uv run --quiet scripts/i18n/validate-i18n.py - uv run --quiet scripts/i18n/translate.py --check - git diff --check ## English ### Changes - Upgrade manage-teams to 1.3.0 and require client 10.0.108 - Cover all 14 ManageTeam actions with their parameters and risk boundaries - Add preflight checks, workdir selection, Smart member routing, organization updates, avatars, team repositories, remote synchronization, and failure recovery - Clarify that remote operations must use ManageTeam for supply-chain validation and approval, not because Agents can never access credentials - Keep disable-model-invocation: true so the Skill is loaded only when team management is needed ### Tests - uv run --quiet scripts/i18n/test_validate_i18n.py - uv run --quiet scripts/i18n/validate-i18n.py - uv run --quiet scripts/i18n/translate.py --check - git diff --check |
|||
| bdaaa44ce1 |
fix(skills): 提高智能体管理能力最低客户端版本 (#91)
## 中文 - create-agent 2.6.1：最低客户端提高到 10.0.108（smartRouting + avatarImage） - update-agent 3.2.1：最低客户端提高到 10.0.108 - clone-agent 1.0.1：最低客户端提高到 10.0.115（补偿、fixed route 与 Provider ceiling） - action→Skill ID 映射仍不绑定版本 ### 验证 - i18n validator - translation freshness - public information boundary review ## English - create-agent 2.6.1 now requires client 10.0.108 for smartRouting and avatarImage - update-agent 3.2.1 now requires client 10.0.108 - clone-agent 1.0.1 now requires client 10.0.115 for compensation, fixed-route, and Provider-ceiling guarantees - The action-to-Skill-ID mapping remains versionless ### Verification - i18n validator - translation freshness - public information boundary review |
|||
| 22b128f185 |
feat(skills): 独立维护智能体生命周期操作说明 (#90)
## 中文 ### 变更 - 新增 `clone-agent` 内置 Skill，覆盖私有数据复制和团队分发边界 - 将 Smart routing、reasoning、头像和确认流程迁入 action-specific Skills - 修正 `update-agent` 与当前 ManageAgent 白名单的漂移 - 保持所有市场 Skill 按需加载，并加入 builtin 清单 ### 验证 - `uv run --quiet scripts/i18n/test_validate_i18n.py` - `uv run --quiet scripts/i18n/validate-i18n.py` - `uv run --quiet scripts/i18n/translate.py --check` - 公共信息边界检查通过 ## English ### Changes - Add the built-in `clone-agent` Skill for private-data copy and team-distribution boundaries - Move Smart routing, reasoning, avatar, and confirmation workflows into action-specific Skills - Align `update-agent` with the current ManageAgent configuration whitelist - Keep every marketplace Skill on-demand and add the new Skill to the built-in manifest ### Verification - `uv run --quiet scripts/i18n/test_validate_i18n.py` - `uv run --quiet scripts/i18n/validate-i18n.py` - `uv run --quiet scripts/i18n/translate.py --check` - Public information boundary review passed |
|||
| e58c37d74f |
feat(web-access): 恢复 L3-external——两个浏览器由用户意图选，而非能力难度选 (#87)
## 背景 / Background v3.0（#85）以「它存在的每一条技术理由（无批量取文通道、evaluate 不可用、截图必须串行 activate）都已被内置浏览器覆盖」为由，删除了 Python Playwright 那一层。 **作为「内置浏览器不够用时的兜底」，这个判断是对的。** 但删除时顺带丢掉了一个完全不同的用例：用户想用**他自己那个**浏览器——他的登录态在他自己的 Chrome 里，他想亲眼看着操作、随时接管。这跟能力够不够无关，内置浏览器替代不了。 真实案例：用户要求「请你操作我本地机器的外部浏览器来完成一个示例报关过程」。技能里已无此路径，模型自己也查出「无独立的 Browser* 外部浏览器工具」，仍用内置浏览器做完全程，并以「本地受管浏览器」「已启动本地浏览器」描述——用户拿到的和要的不是一回事，却无从分辨。 v3.0 (#85) removed the Python Playwright layer on the grounds that every technical reason it existed for is now covered by the built-in browser. **As a fallback, that judgement was right.** But the deletion also took a different use case with it: the user wanting *their own* browser — their login state, their window, theirs to watch and take over. That has nothing to do with capability, and the built-in browser cannot stand in for it. ## 改动 / Changes 把 L3-external 作为**由用户意图触发的平级选择**恢复（**不再是 fallback**）： - 恢复 `references/cdp-browser.md`（v3.0 删除，含 `connect_over_cdp` 模板与站点配方） - 恢复 `Prerequisites: Chrome CDP Setup`，重新定位为「**仅 L3-external 需要**」，内置浏览器仍零前置条件 - 决策树的实时交互分支改为双路：用户点名外部 → L3-external；其余 → 内置（默认） - 新增「两个浏览器，按用户意图选」对照表：是什么 / 登录态 / 用户能否看到 / 前置条件 / 是否默认 - 分层表加回 L3-external，并说明它**刻意不在默认排序里**——判据是用户点名，不是能力够不够 - 明确：CDP attach 时严禁 `browser.close()`（会关掉用户自己的 Chrome） - 无论走哪条，措辞必须让用户能分辨实际用了哪个；禁止「本地浏览器」这类两边都像的说法 version 3.0.1 → 3.2.0 ## 校验 / Validation - `python3 scripts/i18n/validate-i18n.py` → OK: no i18n issues found - `python3 scripts/i18n/translate.py --check` → web-access en-US `human-locked, skipping`（无 source_hash 漂移） - 双语同步；en-US 为 human-locked 翻译，已手工同步并按 `compute_source_hash` 重算对齐 ## 公开信息边界 / Public information boundary 改动仅涉及浏览器能力边界的技术描述，无租户、客户或其他机密身份信息。 --------- Co-authored-by: Yige <a@wyr.me> |
|||
|
mashagua
|
98ffc8fe92 |
feat: 内置技能全量收录 presentation-forge (#83)
## 概述
将 PPT 工作流技能 **presentation-forge**（原 codex-ppt-skill）以 **builtin
内置技能**形态全量收录进 DesireCore 官方市场。
> 注：本 PR 最初以 entry.json pointer 形态提交，现按仓库负责人意见改为 builtin 层全量
vendoring。分支保留两个提交（pointer → builtin 转换）。
## 形态：builtin 全量 vendoring（遵循 guizang-ppt 先例）
- 全量内容进 `skills/presentation-forge/`：`SKILL.md` + `SKILL.zh-CN.md` +
`references/` + `scripts/` + `styles/`（9 套风格）+ `templates/` +
`schemas/`。
- builtin frontmatter：`version/type/risk_level/status/tags` +
`metadata.i18n`（zh-CN/en-US）+
`market.icon/category/maintainer`，`category: creative`。
- 列入 `builtin-skills.json`（33 项）。
- 附 `LICENSE`（MIT）+ `NOTICE.md` +
`_desirecore/{frontmatter.yaml,upstream.json}` 溯源。
- 溯源 commit：`mashagua/presentation-forge@b7b1a9c`（MIT）。
- 排除非运行内容：`tests/` 夹具、未被任何 vendored 文件引用的 1.3MB 流程图、Codex `agents/` 绑定。
## 变更
- 新增 `skills/presentation-forge/`（全量内容，约 440KB）
- `builtin-skills.json`：新增 `presentation-forge`（32 → 33）
- `manifest.json`：`stats.totalSkills` 60 → 61，`version` 1.2.26 →
1.2.27，`lastUpdated` → 2026-08-10
- `README.md`：built-in 32 → 33、external 29 → 28、total 61 不变，两处代码块同步
## 验证
```
uv run scripts/i18n/validate-i18n.py
OK: no i18n issues found.
```
stats 公式核对：entry.json 目录 28 + SKILL.md 目录 33 = 61 = manifest.totalSkills
✓
---------
Co-authored-by: Yige <a@wyr.me>
Co-authored-by: yige <yige@yigedeMacBook-Neo.local>
|
||
| 5a0a80d31c |
test(market): delist temporary QA agent (#89)
Removes the temporary QA-only Agent listing after successful real Market installation verification. The installed local copy is intentionally verified separately to ensure delisting does not delete user-owned installations. |
|||
| 4bc2d41b12 |
test(market): publish temporary QA agent (#88)
Temporary QA-only Agent pointer for validating the real publish, install, and delist lifecycle.\n\n- Source repo is public and MIT licensed\n- Pointer is pinned to immutable commit dd4abbe342f25d0569dba152ce1be3fb867c3474\n- No user data, credentials, or third-party content\n- A follow-up PR will remove this entry after installation verification |
|||
| 6538f01555 |
docs(web-access): sync site-pattern baselines off the retired Playwright fallback (#86)
## What / 变更内容 S31（#85）把 `web-access` 技能升到 v3.0.0，删掉了 `SKILL.md` 与 `references/browser-tools.md` 里「用户手工启动带 `--remote-debugging-port` 的 Chrome + Python Playwright」的回落路径，但 **5 个 per-site 基线文件未同步**，仍然引导 Agent 在正文抽取（以及部分站点的登录态复用）上 回落到已废弃的 Playwright / 外部 CDP： - `references/site-patterns/zhihu.com.md` - `references/site-patterns/weibo.com.md` - `references/site-patterns/bilibili.com.md` - `references/site-patterns/xiaohongshu.com.md` - `references/site-patterns/feishu.cn.md` 本 PR 把这 5 处旧表述替换为已落地的内置浏览器能力： - 正文抽取 → `BrowserAct(page.extract-text)`（format/maxBytes/nextCursor 分页） - 知乎/B站的「批量回答/评论」抽取 → `BrowserAct(page.element, op: all-inner-texts, selector: loc=css:...)` （九 op 判别式命令的只读档，一次拿全部匹配元素文本） - 登录态未授予 `browser.import.*` 时的处置，由「直接回落 / 回落 CDP」改为「如实告知用户无法复用 登录态，按未登录继续或放弃」，与 `references/browser-tools.md` 里 `BrowserImport` 一节已修好的 措辞对齐 - 各文件 `历史更新` 追加一条同步记录；`SKILL.md` 版本号 `3.0.0` → `3.0.1` （只改 `references/*`，未改 `SKILL.md`/`SKILL.zh-CN.md` 正文，`source_hash` 不受影响） `references/browser-tools.md` 现存的 2 处 "Playwright" 字样经核实均为**已移除**的历史性陈述 （"…并移除 Python Playwright 回落"、"无需…Python / Playwright"），不构成误导性指令，本 PR 未改动该文件。 Refs: desirecore/desirecore#2074, #85 ## Test plan / 测试计划 - [x] 通读改动后的每个 site-pattern 文件：新写法对应的能力（`page.extract-text` / `page.element` op: `all-inner-texts`）均已在 v3.0 落地，未引用不存在的参数 - [x] `compute_source_hash` 只 hash `SKILL.md` frontmatter 之后的 body + i18n strings，本次只改 `references/*.md`，不触发 source_hash drift - [ ] CI（i18n validate） - [x] CLA |
|||
| 0d4d7b208b |
feat(web-access): v3.0 内置浏览器能力面同步——删除 Python Playwright 回落（S31） (#85)
## 变更内容 / What
浏览器升级计划 S31 最终验收信号：web-access 技能与内置受管浏览器新能力面对齐，**删除「用户手工启动调试 Chrome +
Python Playwright」回落路径**。
- **删除回落路径**：Prerequisites: Chrome CDP Setup、Layer 3 CDP Browser（Python
Playwright 模板）、Installation Note（pip install
playwright）整段删除；references/cdp-browser.md 文件删除；jina-reader.md 的 CDP 引用改为
page.extract-text
- **订正陈旧断言**：
- 「没有批量取文通道」→ BrowserSnapshot mode:text /
page.extract-text（maxBytes/cursor 分页，超出截断给 nextCursor）
- 「page.evaluate 基本不可用」→ 返回真实值（expression/awaitPromise，超预算截断标
truncated）；仍走人工闸门
- 「截图前必须 tab.activate / 串行截图 / BROWSER_TAB_HOST_NOT_FOUND」→ S36 订正：Agent
单标签会话免 activate；多标签后台 tab 秒级报 BROWSER_VIEWPORT_UNAVAILABLE；命令超时只 stop 不
close，标签页可重试
- 「accessibility 超限即失败」→ 尊重 depth + maxBytes 截断翻页（S8）
- 「只有整页截图」→ clip{x,y,width,height,scale≤4} + captureBeyondViewport
- **provides.tools 加 BrowserScript**（code-mode；信任级别等同 Bash）
- **新增选用规则（D4 唯一约束机制）**：反检测站点一律优先 input.*（#1808 输入拟真 +
身份一致性）；page.element 写类仅用于表单批量填充等站点不检测场景；JS 直调 el.click() 为禁止回退
- **新增 fetch.browser 配方**：page.evaluate 页面上下文跑 fetch（带 origin Cookie、同
origin、受 Grant origins 约束）——登录态取站内接口的正解
- **能力速查**：page.element 九 op / page.wait 九 until / inline wait 块 / loc=
方言 / BrowserScript / 跨源 iframe 快照（S35）
- **版本** 2.2.1 → 3.0.0（删除回落层为 breaking）；source_hash
重算；required_client_version 维持 10.0.98（新能力在正文标注 10.0.112+）
## Why
v2.x 时代回落路径存在的每一条理由（无批量取文、evaluate 不可用、截图必须串行 activate）均已被
S2–S14/S35/S36 覆盖；文档继续引导用户手工起调试 Chrome 会误导新 Agent 走已废弃路径。
双语同步修改（SKILL.md / SKILL.zh-CN.md heading 数一致，i18n-validate 通过）。
- [x] CLA
|
|||
| 43239669e5 |
feat: DesireCore 条目添加图片头像 (#84)
## 变更 / Changes 新增 `agents/desirecore/assets/avatar.webp`（512×512，32KB），并在 `agent.json` 的 `avatar` 加 `image` 字段。条目版本 1.1.0 → 1.2.0。 ## ⚠️ 这是市场仓库的新约定 市场包此前**从不携带 Agent 图片资源** —— 整个 zip 里唯一的图标是技能用的 SVG。本次起，Agent 条目可在自己的目录下放 `assets/` 图片，由客户端的 `GET /api/market/agents/:id/avatar-image` 读取（上限 2MB，magic bytes 校验，仅 PNG/JPEG/WebP）。 This is a **new convention** for the market repo: entries may now ship an `assets/` image alongside their config. ## `t` 与 `bg` 保留 不是冗余：客户端取不到图时回落到 `t + bg` 渲染；旧客户端不认识 `avatar.image`，也走这两个字段。所以它们仍是必填。 ## 与安装后的头像是两套 市场 avatar（`{t, bg, image}`）是**展示元数据**，与安装后 `agent.json` 的 avatar（`{char, color, image}`）互不迁移 —— 这是既有语义（配色本来就不迁移），本次不改变它。 ## 配套 / Companion - 客户端市场侧支持：desirecore#1951 - 核心智能体自身的头像：agent-desirecore#6（已合并） Co-authored-by: yi-ge <jackyoncode@gmail.com> |
|||
|
mashagua
|
e15f152ed0 |
feat: 新增女娲与 Humanizer 双语版三个第三方入口 (#82)
## 概述 以 `entry.json` pointer 形式收录三个第三方技能，均为 MIT、社区维护、SHA 锁定： | id | 上游 | category | ref | 简介 | |---|---|---|---|---| | `nuwa-skill` | [alchaincyf/nuwa-skill](https://github.com/alchaincyf/nuwa-skill) | productivity | `27642f5` | 输入一个名字即自动调研→提炼→验证，把任何人的心智模型、决策启发式与表达 DNA 蒸馏成可运行的人物 Skill | | `humanizer` | [blader/humanizer](https://github.com/blader/humanizer) | creative | `523374d` | 基于维基百科「Signs of AI writing」指南去除文本 AI 痕迹，纯 Markdown 可跨 agent 运行 | | `humanizer-zh` | [op7418/Humanizer-zh](https://github.com/op7418/Humanizer-zh) | creative | `91f3d39` | Humanizer 汉化版，按中文写作习惯去痕，附核心规则、快速检查清单与质量评分 | 后两者是同一技能的英文原版与汉化版，故合并在一个 PR 内提交便于对照 review。 ## 遵循 ADR-038（市场元数据注册表与两层技能模型） - **只放元数据、不放内容**：仅新增三个 `skills/<id>/entry.json`，正文留在上游源仓库，不 vendoring 任何源码或二进制。 - **市场第三方层**：三者均 `stewardship: community`、`license: MIT`、`redistribution: allowed`。 - **source pointer**：`kind=git` + repoUrl + repoBranch，`ref` 锁定完整 SHA 保证可复现。 - **轻量 i18n**：仅 name/shortDesc（zh-CN / en-US），列表本地化可离线。 - **无需 `source.path`**：三个上游的 `SKILL.md` 均在仓库根目录（已用 GitHub API 核对树结构），不涉及 #81 修复的 pointer 路径问题。 - **不声明 children**：`nuwa-skill` 的 `examples/` 下 15 个人物 perspective 是女娲的产出示例而非并列子技能，按 `gen-collection-children.py` 的排除规则不计入。 - 第三方 entry 未进 `builtin-skills.json`。 ## 变更 - 新增 `skills/nuwa-skill/entry.json`、`skills/humanizer/entry.json`、`skills/humanizer-zh/entry.json` - `manifest.json`：`stats.totalSkills` 57 → 60，`version` 1.2.24 → 1.2.25，`lastUpdated` → 2026-08-09 - `README.md`：external 25 → 28、total 57 → 60，外部条目清单按字母序插入三个新入口 ## 验证 \`\`\` $ uv run scripts/i18n/validate-i18n.py OK: no i18n issues found. \`\`\` 统计核对：`entry.json` 目录 28 + `SKILL.md` 目录 32 = 60，与 `manifest.stats.totalSkills` 一致。 |
||
| 27589d013d |
fix(skills): 修复 14 个 pointer 条目安装失败 + 7 个合集声明 children (#81)
## 背景 / Background 市场里 25 个 pointer 条目中有 **14 个点安装必然失败**，客户端返回 502「源仓库中未找到 SKILL.md（pointer 指向有误）」。 根因是 `entry.json` 的 `source` 指错：客户端按 `source.path` 定位内容（缺省则取仓库根），而这些条目的 `path` 缺失或 URL 指向了 HTML 页面，`contentDir/SKILL.md` 自然不存在。 Of the 25 pointer entries, **14 always failed to install** with a 502. The `source` pointers were wrong: `path` was missing (so the client looked at the repo root) or `repoUrl` pointed at an HTML page instead of the content. ## 改动 / Changes ### 1. 补 `source.path`（5 个） | 条目 | path | 上游 SKILL.md 实际位置 | |---|---|---| | `impeccable` | `plugin/skills/impeccable` | 根目录没有；`plugin/` 与 `.claude/` 两份内容逐字节一致，取中立的分发目录 | | `ai-news-radar` | `skills/ai-news-radar` | 仓库另有 `skills/radar`，取与条目 id 对应的 | | `taste-skill` | `skills/taste-skill` | 同名子目录 | | `wechatpay-skills` | `wechatpay-payment-integration` | 仓库另有 `wechatpay-product-coupon` 未覆盖，见下方遗留项 | | `luckin-my-coffee` | `my-coffee` | zip 内有一层顶层目录 | ### 2. 修正 web 类条目的源地址（2 个） `amap-jsapi-skill` / `dingtalk-api` 原先指向 ClawHub 的**网页**（`content-type: text/html`），客户端只在 markdown 时才写成 `SKILL.md`，HTML 会落成 `index.html`，校验必失败。 - `amap-jsapi-skill` → 改用 ClawHub 文件 API（返回 `text/markdown`）。该技能在 ClawHub 的发布包 `version.files` 只有一个 `SKILL.md`，单文件抓取正是对的形态。 - `dingtalk-api` → ClawHub 包有 38 个文件（`scripts/*.ts` 等），单文件抓不全，改指内容完整的 GitHub 上游 `ogenes/dingtalk-api` 并锁 ref。 ### 3. 合集条目声明 `children`（7 个，147 个子技能） 这 7 个的上游是「一个仓库装着 N 个平级技能」，没有单一 SKILL.md 可指，靠改 `path` 修不了。配合客户端新增的合集能力（desirecore 主仓库 PR），`entry.json` 现在可声明子技能清单，市场仍是一个条目，安装时由用户勾选装哪几个。 | 条目 | 子技能数 | |---|---| | `marketingskills` | 49 | | `mattpocock-skills` | 35 | | `larksuite-cli` | 27 | | `baoyu-skills` | 21 | | `wecom-cli` | 7 | | `khazix-skills` | 5 | | `netease-skills` | 3 | 新增 `scripts/gen-collection-children.py`：按 `entry.json` 锁定的 ref 克隆上游、扫描子技能、读 frontmatter 生成 `children`。约定「仓库有顶层 `skills/` 就只扫它」——否则会收录 `larksuite/cli` 的 linter 测试夹具 `internal/qualitygate/skillscan/testdata/skills/lark-demo`。 ### 4. `netease-skills` 分支修正 `repoBranch` 写的是 `main`，上游默认分支是 `master`，此前 clone 必然失败（`Could not find main`）。 ### 5. 版本号 `manifest.json` `1.2.24` → `1.2.25`。 ## 验证 / Verification - `uv run scripts/i18n/validate-i18n.py` — OK - `uv run scripts/i18n/validate-i18n.py --online` — OK - **真实运行的 agent-service 上逐个安装**（独立 home + standalone 服务，非模拟）：18 个非合集 pointer 条目 **18/18 成功**并完整落盘；7 个合集条目 **7/7 成功**，并验证了部分安装、追加、取消勾选卸载、装到 Agent 私有目录。 ## 遗留项 / Known gaps - `wechatpay-skills` 只覆盖了 `wechatpay-payment-integration`，同仓库的 `wechatpay-product-coupon` 未上架。条目名是复数，后续可拆成两条或改成合集。 - `children[].i18n` 目前只有 `shortDesc`（取自上游 description），**没有中文名**——子技能名沿用上游 id（如 `lark-approval`），以保证与上游文档、Agent 加载路径一致。宝玉 / Matt Pocock / Marketing 三个合集的描述本身就是英文。如需中文化，可接 `i18n-translate.yml` 覆盖 `children` 字段。 - 在线校验目前只查 URL 可达性，**查不出 `path` 指向的目录里有没有 SKILL.md**——这 14 个坏条目当初就是这么一路绿灯合进主干的。建议后续给 `--online` 加这条断言。 🤖 Generated with [Claude Code](https://claude.com/claude-code) --------- Co-authored-by: xieyuanxiang <xieyuanxiang123@gmail.com> |
|||
| b1f0719d40 |
docs: 明确 MindOpt 外部授权与部署依赖 (#80)
## 变更说明 / Summary ### 中文 - 在 `workforce-optimization` 的发现描述、`compatibility`、中英文市场摘要和正文中明确 MindOpt 是需要独立安装/部署并取得有效许可证的外部第三方求解器。 - 明确 `MindOptSolve` 只是受治理的 Connector/Adapter，不包含 MindOpt 求解器软件、许可证、算力托管、采购或运行费用。 - 增加运行前检查：必须确认 Connector ready、capabilities 可用且部署具备当前用途所需的有效许可证；仅注册 Tool 名称不能证明依赖可用。 - 增加安全降级：外部依赖不可用时仍可完成需求澄清和建模制品，但不得调用求解器、伪造 `SolveResult` 或宣称可行/最优/收益。 - 在 `AGENTS.md` 与 `CLAUDE.md` 中固化通用的第三方商业依赖披露规则。 - Skill 版本升级到 `2.3.3`，Market 版本升级到 `1.2.24`。 MindOpt 官方文档说明运行前必须取得有效许可证，并同时提供商业许可和社区许可；适用范围与采购要求以官方条款为准： https://opt.aliyun.com/doc/mindopt/latest/cn/html/installation/license.html ### English - Discloses in discovery metadata, `compatibility`, localized marketplace text, and runtime instructions that MindOpt is separately installed/deployed third-party solver software requiring a valid applicable license. - Clarifies that `MindOptSolve` is only the governed connector/adapter and does not bundle the solver, license, hosted compute, procurement, or operating costs. - Adds a preflight gate for connector readiness, required capabilities, and applicable licensing. - Defines safe degraded behavior: requirement and model artifacts may still be produced, but no solver call or fabricated solution claim is allowed. - Adds a generic third-party dependency disclosure rule to both repository instruction entrypoints. - Bumps the Skill to `2.3.3` and the Market to `1.2.24`. The official MindOpt documentation states that a valid license is required and documents both commercial and community licenses; eligibility and purchasing remain governed by those official terms: https://opt.aliyun.com/doc/latest/en/html/installation/license.html ## 验证 / Validation - `uv run --quiet scripts/i18n/test_validate_i18n.py` — 8 passed - `uv run --quiet scripts/i18n/validate-i18n.py` — no issues - `uv run --quiet scripts/i18n/translate.py --check` — current; human translation hash aligned - `git diff --check` - Public-worktree customer-identity/path scan — 0 matches |
|||
| 20b29df7a4 |
feat: 发布通用人效与资源优化能力
增加跨行业的人效与资源优化需求澄清、模型求解与独立验收能力，并固化公共市场的信息边界与发布前检查。 |
|||
| 2e15720442 |
fix(web-access): 门槛降回 10.0.98——#77 让新装客户端整个失去浏览器能力 (#78)
真机测试发现的回归，由 #77 引入。 ## 现象 全新安装的 10.0.99 客户端上，`BrowserManage` / `BrowserAct` / `BrowserSnapshot` **完全不存在**——Agent 用 `ToolSearch` 也找不到。它们是 hidden 工具，靠 web-access 技能解锁，而该技能压根没被装上。 ## 因果 `sync/builtin-skill.ts:171`：本地不存在 + 客户端版本低于 `required_client_version` → 记 `skippedIncompatible` 直接 return，**不新装**。 #77 把门槛提到 10.0.100，而 **10.0.100 尚未发布**——于是所有新装的 10.0.99 及以下客户端拿不到整个 web-access，连带失去全部内置浏览器能力。 已装 2.1.1 的老用户不受影响（`:207` 那条分支保留本地兼容旧版，不更新成用不了的新版）。 ## 判断失误 #77 的理由是「不提门槛老客户端会拿到教它们用不存在能力的说明」。顾虑本身成立，但两害量级差了一个数量级： | | 后果 | |---|---| | 门槛低 | 文档里几条说明超前，Agent 试一次失败、换个路子——**能力还在** | | 门槛高 | **整个技能不存在**，Agent 连试都没得试 | ## 修法 门槛降回 10.0.98，超前的四条能力改用行内「需 10.0.100+」标注，并写明老版本上的替代做法。老客户端既拿得到技能，也不会被文档误导。`version` 2.2.0 → 2.2.1。 --- Regression from #77 found during real-machine testing: raising `required_client_version` to an unreleased version made the whole skill fail to install on fresh clients, taking all built-in browser tools with it. --------- Co-authored-by: Copilot Autofix powered by AI <175728472+Copilot@users.noreply.github.com> |
|||
| f104d18165 |
feat(web-access): 截图像素直接给、clip 元素级裁剪、artifact 用绝对路径 (#77)
跟进 desirecore/desirecore#1741 与 #1756（均已合入 dev，随 10.0.100 发布）。
## 变更 / Changes
- **截图像素直接给**：现在作为 image 块进工具结果，视觉模型当场就能看。补一节说明什么时候才需要再 `Read`
一次（结果明确写了未附带像素、或需要原始分辨率），避免同一张图在上下文里占两份。同时说明非视觉模型下会明确告知「你看不到它的内容」，此时不要凭空描述画面。
- **元素级裁剪不再需要 `cdp.raw`**：`BrowserSnapshot` 的
`options.clip={x,y,width,height,scale}` 直接支持，`scale` 最大 4（已对照
`command-params.ts:333` 核实）。
- **artifact 改用 `result.artifact.absolutePath`**：原文教的
`${DESIRECORE_ROOT}/...` 在路径展开里根本不认（只认 `~` / `$HOME` /
`$USERPROFILE`），拼出来是相对路径、`Read`
报「文件不存在」；原文给的还是目录，照抄会撞上「路径不是文件」。真机实测两条都踩过。
## 刻意未改 / Deliberately unchanged
「用户真实鼠标会抢控制权」一条**保持原样**——修它的 desirecore/desirecore#1740 尚未合并，现状描述仍然准确。
## 版本门控 / Version gating
`required_client_version` 10.0.98 → **10.0.100**（含上述两个 PR 的最早版本）。market
是运行时拉取的，不提门槛会让老客户端拿到教它们用不存在能力的说明。
---
Follows desirecore/desirecore#1741 and #1756 (both merged to dev,
shipping in 10.0.100). Screenshot pixels now arrive as an image block
directly; element-level cropping no longer needs raw CDP; artifact reads
use the absolute path from the receipt. The 'real mouse steals control'
note is intentionally left as-is because its fix (#1740) is not merged
yet.
---------
Co-authored-by: Copilot Autofix powered by AI <175728472+Copilot@users.noreply.github.com>
|
|||
| a1782c143d |
fix: 移除 Skill 源仓库中的 Codex 命名
已将源仓库重命名为 desirecore-agent/watch-video-skill，并通过全部市场校验。 |
|||
| 4faba8602f |
feat: 收录视频观看 Skill
通过市场 i18n/schema validator、自动翻译检查和 Copilot review gate；source pointer 固定到 desirecore-agent/codex-watch-video-skill 的 main commit。 |
|||
| b2865d501d |
fix(web-access): 修正内置浏览器工具文档与客户端版本门控 (#73)
跟进 desirecore/desirecore#1718 的 Codex review，修掉 web-access v2.1.0 正文中 4 处与真实工具实现不符的地方（均对照 desirecore@origin/dev 源码核实）： - 补 market.required_client_version: 10.0.98，避免老客户端把可用的 v2.0 换成调用不存在工具的说明 - BrowserImport 动作名修正：真实枚举 discover/create_plan/dry_run/apply/rollback/list_plans，无 'plan'；domains 由 create_plan 消费；planId 前缀 bimp_ - input.wheel 示例补 x/y（schema 硬要求），capabilities 示例补 browser.input.pointer.wheel 并说明显式列表是做减法 - BrowserImport 降级为需额外授权的可选路径：browser.import.* 不在 agentDefault 内且 agentElevated 在工具层零引用，登录态默认改回 L3-fallback CDP skill 2.1.0 → 2.1.1，manifest 1.2.19 → 1.2.20，human-locked 的 en-US 已重新对齐 source_hash。 |
|||
|
mashagua
|
b4cafe4edd |
feat: 新增宝玉 Skills 与 Marketing Skills 两个第三方入口 (#64)
以 entry.json pointer 形式收录两个第三方技能合集（均为 MIT、community、SHA 锁定）： - baoyu-skills（JimLiu/baoyu-skills，creative，上游 21 个技能） - marketingskills（coreyhaines31/marketingskills，business，上游 49 个技能） 同步更新： - manifest.json：totalSkills 54 → 56，version 1.2.18 → 1.2.19，lastUpdated → 2026-08-06 - README.md：external 22 → 24、total 54 → 56，外部条目清单补入两个新入口，并补回此前遗漏的 karpathy-guidelines、last30days |
||
| af4176bbd7 |
feat(web-access): 迁移到内置受管浏览器工具（v2.1.0） (#72)
## 变更说明 / Description ### 中文 客户端 v10.0.98（desirecore/desirecore#1596）停用了旧的 `BrowserListTabs` / `BrowserNavigate` / `BrowserEval` / `BrowserClick` / `BrowserScreenshot` / `BrowserScroll` / `BrowserSetFiles` / `BrowserCloseTab` 及其 cdp-proxy 后端，调用会直接返回「该旧 BrowserXxx/cdp-proxy 入口已停用」。而 web-access v2.0.2 的 `provides.tools` 仍声明这批工具——技能激活后注入的是一组必然失败的工具。 本次把 `provides.tools` 换成统一浏览器工具，并同步正文与参考文档： - `provides.tools`：`BrowserManage` / `BrowserSnapshot` / `BrowserAct` / `BrowserImport` / `BrowserShare` + 保留 `SitePatternRead` / `SitePatternWrite` / `LocalBookmarks` - 中英文 SKILL 正文同步改写（L0 / 能力描述 / 决策树 / 四层策略表 / L3-fast 速查 / 反模式） - `references/browser-tools.md` 整篇重写为新 API + 实测边界 - 5 份站点经验（小红书 / B站 / 微博 / 知乎 / 飞书）的流程改用新工具 - 版本 2.0.2 → 2.1.0，`updated_at` 更新，i18n `source_hash` 重算 **L3-fast 的定位相应收窄**：内置浏览器负责「到达 + 交互 + 截图 + 隔离」，抽取长正文仍回落 Jina Reader（公开页）或 Playwright（登录态）——理由见下方实测。 ### English Client v10.0.98 retired the legacy `BrowserXxx` tools and the cdp-proxy behind them, so web-access v2.0.2 was injecting a set of tools that always fail. This PR migrates `provides.tools` to the unified browser tools and rewrites the body, the browser-tools reference, and the five site-pattern playbooks accordingly. L3-fast is re-scoped to navigation/interaction/screenshots; bulk text extraction still falls back to Jina Reader or Playwright. ## 测试方式 / Test Plan 在客户端 v10.0.98 + `electron-embedded` Provider 上实测： - [x] `provides.tools` 里 8 个工具 ID 全部在 builtin registry 中存在 - [x] 把本 PR 的技能装进 dev 实例，带 `skillIds:['web-access']` 驱动智能体：真实调用 `BrowserManage(create_space)` → `BrowserManage(start_session)` → `BrowserAct(tab.navigate)` → `BrowserManage(close_session)`，全部 success - [x] `scripts/i18n/validate-i18n.py` 全仓库通过（中英文标题数一致、source_hash 一致） 文档中记录的边界均来自实测，而非推测： | 边界 | 实测现象 | |------|---------| | 截图前必须 `tab.activate` | 标签页默认停在 `(-10000,-10000,1x1)`，直接截图卡满 30s deadline 并触发 `browser.host.gone`，之后全部 `BROWSER_TAB_HOST_NOT_FOUND` | | `page.evaluate` 不是取文通道 | 每次调用需人工审批；字符串/对象返回值被替换为 `[REDACTED:browser-runtime-value]`，仅 number/boolean/null 穿透 | | `accessibility` 快照真实页面不可用 | example.com 正常返回 StaticText；维基百科条目一律 `BROWSER_RESULT_TOO_LARGE`（2 MB 上限，且 `depth` 参数被宿主忽略） | | `semantic` 快照不含正文 | 只列 button / input / a 等可交互元素 | ## 风险与回滚 / Risk and rollback - 纯技能内容变更，无脚本或清单结构改动 - 需要客户端 v10.0.98+；旧客户端装到本版会拿到一组不存在的工具名（旧客户端上原本那批工具也已失效，不构成回退） - 回滚即 revert 本 PR |
|||
| 413f2cc00b |
fix(skills): 统一服务图标为纯白 (#65)
## Summary / 摘要 Normalize the Configure Compute, Using Services, and Register Services source SVG icons to pure white. 将“配置算力”、“使用服务”和“注册服务”的源 SVG 图标统一为纯白。 ## Version / 版本 - Market: `1.2.16` → `1.2.17` - Each affected skill: `1.0.2` → `1.0.3` ## Validation / 验证 - `uv run scripts/i18n/validate-i18n.py` - `uv run scripts/i18n/translate.py --check` - Parsed all three SVGs and asserted their only hex color is `#FFFFFF` - `git diff --check` |
|||
| 5d50b66d55 |
feat: 新增代码智能内置技能 (#61)
## 变更摘要 - 新增中英文 `code-intelligence` 内置技能，按需暴露隐藏的 `Lsp` 工具 - 记录 9 种语义导航操作、目录权限边界、缺少语言服务器时的降级策略 - 要求客户端版本 `10.0.94`，避免旧客户端安装后缺失工具 - 更新内置技能清单、市场统计和版本 ## 验证 - `uv run --with httpx --with ruamel-yaml scripts/i18n/validate-i18n.py` - `uv run --with httpx --with ruamel-yaml scripts/i18n/translate.py --check` ## Summary Adds the bilingual `code-intelligence` built-in skill, exposes the hidden `Lsp` tool only when the skill is active, documents its permission and fallback behavior, and updates the market manifest and counts. |
|||
|
mashagua
|
57493b89a0 |
feat(skills): 新增 watchless 与 impeccable 两个 external skill (#60)
## 背景 新增两个社区 skill 的 marketplace 指针条目，两者此前均不在 market 中。 ## 改动 新增 2 个 external entry（`entry.json`，git 指针型，含 `zh-CN` / `en-US` i18n）： | skill | category | license | source | 简介 | |---|---|---|---|---| | watchless | media | MIT | [chenzixin1/watchless](https://github.com/chenzixin1/watchless) | 将视频转成以关键帧截图为主线的完整视觉文档，输出 HTML/PDF/ZIP | | impeccable | design | Apache-2.0 | [pbakaus/impeccable](https://github.com/pbakaus/impeccable) | 让 AI 更懂前端设计的设计语言，覆盖 UX/可访问性/排版/配色/动效/设计系统 | 同步更新： - `README.md`：external `20 → 22`、total `50 → 52`，外部条目列表按字母序插入 `impeccable`、`watchless` - `manifest.json`：`stats.totalSkills` `50 → 52` ## 规则遵循 - entry.json 字段对齐现有 git 型指针（如 mattpocock-skills），格式一致 - category 使用 `categories.json` 已声明的合法 slug（media / design） - `source.ref` 固定到当前最新 commit，保证可复现 - 两个上游仓库均为标准 skill（含 SKILL.md / skill 定义），许可允许再分发 ## 验证 - 本地运行 `scripts/i18n/validate-i18n.py`：`OK: no i18n issues found.`（退出码 0） - entry.json 均为合法 JSON，i18n 完整 |
