feat(skillhub): 按企业部门策略自动安装技能

.easignore

@@ -50,17 +50,15 @@ packages/*
 !packages/auth-client/**
 !packages/device-link
 !packages/device-link/**
+!packages/device-link-protocol
+!packages/device-link-protocol/**
 !packages/maker-shared
 !packages/maker-shared/**
 !packages/model-providers
 !packages/model-providers/**
 !packages/voice-input-core
 !packages/voice-input-core/**
 
-# mobile 的 device-link 传递依赖 cindy-protocol submodule；EAS 上传必须带源码。
-!cindy-protocol
-!cindy-protocol/**
-
 tools/*
 !tools/shared
 !tools/shared/fetch-with-timeout.mjs

.gitattributes

@@ -8,6 +8,9 @@
 .githooks/** text eol=lf
 # SQLite migration 内容参与用户数据库 drift hash；跨平台统一 LF。
 apps/desktop/drizzle/**/*.sql text eol=lf
+# design-tokens 影子层生成物参与「磁盘 = 内存生成」字节一致守卫；Windows
+# autocrlf 检出转 CRLF 会让该守卫假红（classification.test.ts 实测），固定 LF。
+packages/design-tokens/src/**/*.json text eol=lf
 # sqlite-vec 扩展二进制（平台特定 .dylib / .dll）—— 走 Git LFS
 apps/desktop/native/sqlite-vec/**/*.dylib filter=lfs diff=lfs merge=lfs -text
 apps/desktop/native/sqlite-vec/**/*.dll filter=lfs diff=lfs merge=lfs -text
@@ -21,6 +24,9 @@ apps/desktop/native/sqlite-vec/**/*.so filter=lfs diff=lfs merge=lfs -text
 # cindy-updater.exe 不再进 git/LFS——Windows 打包的 prePackage 每次都从
 # apps/desktop/cindy-updater/ 现场 cargo build 并覆盖 resources/ 下的产物
 # （见 forge.config.ts buildCindyUpdater）；路径已在 .gitignore 中排除。
+# Windows updater 的两个 VC Runtime DLL 很小且必须让 release 构建完全离线可复现，
+# 因此有意直接入 Git（不走 LFS）；来源、版本和 sha256 见同目录 manifest.json。
+apps/desktop/resources/cindy-updater-runtime/*.dll -text
 # Pencil 设计稿（加密二进制，体积大且改动频繁）—— 走 Git LFS
 *.pen filter=lfs diff=lfs merge=lfs -text
 # Vendored browser-control-runtime：由 scripts/browser-runtime/sync.mjs 从上游同步生成，非手写源码。

.github/CODEOWNERS

@@ -1,11 +1,7 @@
-# 默认所有路径由维护者 review。
+# 默认所有路径由维护者团队 review。
 #
 # 生效前提（缺一条 GitHub 就静默跳过该 owner，不报错）：
 #   - team 必须真实存在于 makecindy 组织下，slug 与此处一致；
 #   - 该 team 必须对本仓库有 write 及以上权限；
-#   - 个人账号同样需要对本仓库有 write 及以上权限。
 # 组织级设置见 https://github.com/orgs/makecindy/teams
-#
-# 这里同时列出 team 与个人:即使 team 尚未建好或未授权,自动指派仍然生效。
-# team 确认可用后可以删掉个人账号那一项。
 * @makecindy/maintainers

.github/PULL_REQUEST_TEMPLATE.md

@@ -71,6 +71,7 @@ branch/worktree、Metro 归属与 __DEV__ build label 证据。 -->
 - [ ] system prompt
 - [ ] 协议兼容
 - [ ] 权限 / 安全 / 用户数据
+- [ ] 存量插件兼容（批准状态 / 指纹 / manifest 校验 / 安装布局 / 包格式）
 - [ ] 原生层 / fingerprint / OTA
 - [ ] 跨平台差异
 - [ ] 其他：
@@ -83,6 +84,10 @@ branch/worktree、Metro 归属与 __DEV__ build label 证据。 -->
 <!-- 命中 SQLite migration、system prompt、协议、原生层、fingerprint/OTA 或跨平台差异时，
 必须写清影响和回滚/降级方式；不涉及风险时明确写“无”。
 
+命中「存量插件兼容」时，必须写明「存量插件影响：无」或「有 + 迁移与提示方案」，并说明
+基于旧布局的升级用例跑在哪。会让用户已装插件失效或需要重装／重新确认的改动与冷更同级，
+需把关人对该影响明确确认；规则见 docs/dev-rules/plugin-security-and-authoring.md 第 5 节。
+
 改动会改变 mobile runtime fingerprint（即触发冷更）时，还要写明为什么冷更不可避免、
 存量装机的影响范围与发版节奏建议；这类 PR 与技术框架变动同级，需仓库指定的把关人针对
 冷更明确确认后才能合并（提交者身份不构成例外），规则见

.github/workflows/ci.yml

@@ -18,50 +18,27 @@ env:
   XDT_SKIP_AGENT_BIN_INSTALL: '1'
   ELECTRON_SKIP_BINARY_DOWNLOAD: '1'
   ELECTRON_OVERRIDE_DIST_PATH: '${{ github.workspace }}/.electron-stub-dist'
-  NODE_OPTIONS: '--max-old-space-size=4096'
+  # 8192: desktop tsc 全量 typecheck 峰值内存随仓体增长已突破 4GB(2026-08-02 起
+  # 所有 PR 的 verify 在 Typecheck desktop 步骤稳定 OOM,含纯 mobile 改动);
+  # 公开仓 ubuntu-latest runner 内存 16GB,8GB heap 安全。
+  NODE_OPTIONS: '--max-old-space-size=8192'
 
 jobs:
-  verify:
+  # 静态检查、类型检查和 runner 自测与 Linux 单测分片并行。这里不装
+  # bundled ripgrep；它只在 Desktop 单测收集时需要，由单测分片自行安装。
+  verify-checks:
     runs-on: ubuntu-latest
     timeout-minutes: 40
 
     steps:
-      # 主仓与公开 submodule 都使用 GitHub 默认的只读访问路径。
       - name: Checkout client
         uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
         with:
           fetch-depth: 0
           lfs: true
 
-      # .gitmodules 来自 PR 分支,fork PR 可以把 cindy-protocol 的 url / path 改成
-      # 任意仓库。先钉死来源再 sync/update,避免 CI 拉取并 pnpm install 第三方仓库
-      # 内容。gitlink 的 commit 同样来自 PR,但只能从 makecindy/cindy-protocol 拉取,
-      # 外部无法向该仓库推送,所以来源钉死后取到的一定是本组织的历史。
-      - name: Verify cindy-protocol submodule source
-        run: |
-          set -euo pipefail
-          expected_url='https://github.com/makecindy/cindy-protocol.git'
-          expected_path='cindy-protocol'
-          actual_url="$(git config -f .gitmodules --get submodule.cindy-protocol.url || true)"
-          actual_path="$(git config -f .gitmodules --get submodule.cindy-protocol.path || true)"
-          if [ "$actual_url" != "$expected_url" ] || [ "$actual_path" != "$expected_path" ]; then
-            echo "::error file=.gitmodules::cindy-protocol submodule 来源不符: url='$actual_url' path='$actual_path'(期望 url='$expected_url' path='$expected_path')"
-            exit 1
-          fi
-          echo "cindy-protocol submodule 来源校验通过: $actual_url"
-
-      # 本 job 只做本仓 typecheck / 单测 / 各类 guard。cindy-protocol 是公开的
-      # workspace 依赖,需要 checkout 以供 pnpm install 解析,但不在本 job 运行
-      # 协议仓自己的 CI。
-      # 公开客户端不包含内建插件种子；相关单测只在 os.tmpdir 里自造夹具。
-      # 公开仓不提供官方发布流程。
-      - name: Fetch cindy-protocol submodule
-        run: |
-          git submodule sync -- cindy-protocol
-          git submodule update --init --force --recursive -- cindy-protocol
-
       - name: Setup pnpm
-        uses: pnpm/action-setup@0ebf47130e4866e96fce0953f49152a61190b271 # v6
+        uses: pnpm/action-setup@0977fd99725f1db4007ccb2928dbb4e90d06cc86 # v6
         with:
           run_install: false
 
@@ -75,14 +52,17 @@ jobs:
       - name: Install dependencies
         run: pnpm install --frozen-lockfile
 
-      # XDT_SKIP_AGENT_BIN_INSTALL 跳过了 postinstall 的全部 agent 二进制,但
-      # runtime-configs.ts 模块顶层的 bundledRipgrepDir() 缺 rg 时直接 throw,
-      # 会让 apps/desktop 单测在收集阶段全挂——ripgrep 必须单独装回来。
-      # install:ripgrep 不带 --best-effort,不受上面的 skip 环境变量影响。
-      - name: Install bundled ripgrep
-        env:
-          GITHUB_TOKEN: ${{ github.token }}
-        run: pnpm install:ripgrep
+      # test:unit 的 runner 自测不能跟着 Vitest 分片重复执行；在检查 job 中跑一次，
+      # 两个 Linux 单测分片只负责 workspace unit tier。
+      - name: Run test runner self-tests
+        run: pnpm test:runner
+
+      # No private service checkout or secrets: exercise production clients over real
+      # loopback WebSockets with bounded fault injection. Failure blocks verify.
+      - name: Run Device Link connection integration tests
+        run: |
+          pnpm --filter desktop exec tsc --project ../../scripts/device-link/tsconfig.json
+          pnpm test:device-link
 
       - name: Check endpoint literals
         run: pnpm check:endpoints
@@ -98,7 +78,15 @@ jobs:
       - name: Check i18n glossary
         run: pnpm check:i18n-glossary
 
+      # desktop 的 tsc 峰值内存已经贴着全局 4096MB 上限(2026-08-03 本地实测
+      # 约 4.2GB,`--extendedDiagnostics` 下 Types ~125 万、Instantiations ~277 万),
+      # 在 runner 上会随机 OOM(FATAL ERROR: Ineffective mark-compacts near heap
+      # limit)。已排除单点热点:移走最大的单个测试文件只省 ~5MB、移走 1400 行的
+      # 插件页组件只省 ~14MB,skipLibCheck 也早已开启——是整仓类型规模的自然结果,
+      # 不是某处写法。这一步单独给更大的堆,其它步骤维持全局值。
       - name: Typecheck desktop
+        env:
+          NODE_OPTIONS: '--max-old-space-size=6144'
         run: pnpm --filter desktop typecheck
 
       - name: Typecheck mobile
@@ -109,11 +97,184 @@ jobs:
           XDT_MIGRATION_BASE_REF: ${{ github.event.pull_request.base.sha || github.event.before || 'origin/main' }}
         run: pnpm --filter desktop db:validate
 
-      - name: Run client and package unit tests
-        run: pnpm test:unit
-
       - name: Run scheduler architecture guard
         run: pnpm ci:scheduler-guard
 
       - name: Run mobile scope guard
         run: pnpm --filter mobile test:scope
+
+  # Linux 单测使用与 Windows 相同的确定性 Vitest 分片。两个分片分别覆盖每个
+  # workspace 经 Vitest 切分后的测试文件，并集等于完整 unit tier；不重复 test:runner。
+  linux-unit-shards:
+    name: Linux unit tests (${{ matrix.shard }}/2)
+    runs-on: ubuntu-latest
+    timeout-minutes: 40
+    strategy:
+      fail-fast: false
+      matrix:
+        shard: [1, 2]
+    env:
+      XDT_UNIT_TEST_SHARD: ${{ matrix.shard }}/2
+
+    steps:
+      - name: Checkout client
+        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+        with:
+          fetch-depth: 0
+          lfs: true
+
+      - name: Setup pnpm
+        uses: pnpm/action-setup@0977fd99725f1db4007ccb2928dbb4e90d06cc86 # v6
+        with:
+          run_install: false
+
+      - name: Setup Node.js
+        uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7.0.0
+        with:
+          node-version: 22
+          cache: pnpm
+          cache-dependency-path: pnpm-lock.yaml
+
+      - name: Install dependencies
+        run: pnpm install --frozen-lockfile
+
+      # XDT_SKIP_AGENT_BIN_INSTALL 跳过了 postinstall 的全部 agent 二进制,但
+      # runtime-configs.ts 模块顶层的 bundledRipgrepDir() 缺 rg 时直接 throw,
+      # 会让 apps/desktop 单测在收集阶段全挂——每个分片都必须单独装回来。
+      - name: Install bundled ripgrep
+        env:
+          GITHUB_TOKEN: ${{ github.token }}
+        run: pnpm install:ripgrep
+
+      - name: Run client and package unit test shard
+        # package script 会传递 npm_execpath，让子进程复用当前 pnpm 入口。
+        run: pnpm run test:workspaces --tier unit
+
+      # 真实进程与 Unix socket 覆盖独立执行一次，不混入日常 unit 或两个分片。
+      - name: Run Pi manager integration tests
+        if: matrix.shard == 1
+        run: pnpm run test:workspaces --tier integration --workspace @cindy/maker-pi-manager
+
+      # localDb suites are outside the unit tier; exercise these DB boundaries on both OSes.
+      - name: Run companion database regressions
+        if: matrix.shard == 1
+        run: pnpm --filter desktop exec vitest run src/main/localDb/ipc/__tests__/botCanonicalSession.test.ts src/main/localDb/ipc/__tests__/botRemoteResourceProvider.test.ts
+
+  # 保留原 required check 名 verify；检查 job 或任一 Linux 分片失败、取消都阻断。
+  verify:
+    name: verify
+    if: ${{ always() }}
+    needs:
+      - verify-checks
+      - linux-unit-shards
+    runs-on: ubuntu-latest
+    steps:
+      - name: Require checks and both Linux unit shards
+        env:
+          VERIFY_CHECKS_RESULT: ${{ needs.verify-checks.result }}
+          LINUX_UNIT_SHARDS_RESULT: ${{ needs.linux-unit-shards.result }}
+        run: |
+          test "$VERIFY_CHECKS_RESULT" = "success"
+          test "$LINUX_UNIT_SHARDS_RESULT" = "success"
+
+  # Linux 全绿不能覆盖 path separator、盘符、大小写和文件系统能力差异。两个
+  # Windows 分片并行运行，分片并集仍完整覆盖 test:unit，不能缩成少量 smoke。
+  windows-unit-shards:
+    name: Windows unit tests (${{ matrix.shard }}/2)
+    runs-on: windows-latest
+    timeout-minutes: 40
+    strategy:
+      fail-fast: false
+      matrix:
+        shard: [1, 2]
+    env:
+      XDT_UNIT_TEST_SHARD: ${{ matrix.shard }}/2
+
+    steps:
+      - name: Checkout client
+        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+        with:
+          fetch-depth: 0
+          lfs: true
+
+      - name: Setup pnpm
+        uses: pnpm/action-setup@0977fd99725f1db4007ccb2928dbb4e90d06cc86 # v6
+        with:
+          run_install: false
+
+      - name: Setup Node.js
+        uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7.0.0
+        with:
+          node-version: 22
+          cache: pnpm
+          cache-dependency-path: pnpm-lock.yaml
+
+      - name: Install dependencies
+        run: pnpm install --frozen-lockfile
+
+      - name: Install bundled ripgrep
+        env:
+          GITHUB_TOKEN: ${{ github.token }}
+        run: pnpm install:ripgrep
+
+      # 保留 Windows 路径、进程与锁的自测覆盖，但两个分片只执行一次。
+      - name: Run Windows test runner self-tests
+        if: matrix.shard == 1
+        run: pnpm test:runner
+
+      - name: Run client and package unit tests
+        # 通过 package script 传递
+        # npm_execpath，避免 Windows 子进程退回 PATH 上的 pnpm.cmd。
+        run: pnpm run test:workspaces --tier unit
+
+      # localDb suites are outside the unit tier; exercise these DB boundaries on both OSes.
+      - name: Run companion database regressions
+        if: matrix.shard == 1
+        run: pnpm --filter desktop exec vitest run src/main/localDb/ipc/__tests__/botCanonicalSession.test.ts src/main/localDb/ipc/__tests__/botRemoteResourceProvider.test.ts
+
+  # 保留稳定的必需检查名，并确保任一分片失败或取消都会阻断汇总门禁。
+  windows-unit:
+    name: Windows unit tests
+    if: ${{ always() }}
+    needs: windows-unit-shards
+    runs-on: ubuntu-latest
+    steps:
+      - name: Require both Windows unit shards
+        env:
+          WINDOWS_UNIT_SHARDS_RESULT: ${{ needs.windows-unit-shards.result }}
+        run: test "$WINDOWS_UNIT_SHARDS_RESULT" = "success"
+
+  git-integration:
+    name: Desktop Git integration
+    runs-on: ubuntu-latest
+    timeout-minutes: 25
+
+    steps:
+      - name: Checkout client
+        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+        with:
+          fetch-depth: 0
+          lfs: true
+
+      - name: Setup pnpm
+        uses: pnpm/action-setup@0977fd99725f1db4007ccb2928dbb4e90d06cc86 # v6
+        with:
+          run_install: false
+
+      - name: Setup Node.js
+        uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7.0.0
+        with:
+          node-version: 22
+          cache: pnpm
+          cache-dependency-path: pnpm-lock.yaml
+
+      - name: Install dependencies
+        run: pnpm install --frozen-lockfile
+
+      - name: Install bundled ripgrep
+        env:
+          GITHUB_TOKEN: ${{ github.token }}
+        run: pnpm install:ripgrep
+
+      - name: Run Desktop Git integration tests
+        run: pnpm test:git-integration