![\"version\"](\"https://img.shields.io/badge/version-v3.2.0-blue?style=flat-square\"){kind=icon}
\n ![\"EdgeOne](\"https://img.shields.io/badge/EdgeOne_Pages-ready-brightgreen?style=flat-square\"){kind=icon}
\n ![\"license\"](\"https://img.shields.io/badge/license-MIT_No_Attribution-green?style=flat-square\"){kind=icon}
\n ![\"status\"](\"https://img.shields.io/badge/status-stable-brightgreen?style=flat-square\"){kind=icon}
\n ![\"Phase](\"https://img.shields.io/badge/Phase_5_工程完缮-%E2%9C%85-success?style=flat-square\"){kind=icon}
\n ![\"Demo\"](\"https://img.shields.io/badge/demo-live-purple?style=flat-square\"){kind=icon}
\n订单号：${order.order_no}
`\n });\n});\n\n// 微信模板消息适配器\nregisterHandler(NotificationEvent.ORDER_SHIPPED, async ({ order, user }) => {\n if (!process.env.WX_TEMPLATE_ID_SHIP) return;\n await sendWechatTemplate(user.openid, process.env.WX_TEMPLATE_ID_SHIP, {\n keyword1: order.order_no,\n keyword2: order.express_company + ' ' + order.express_no,\n });\n});\n\n// 调用示例（Cloud Functions 中）\nimport { emit, NotificationEvent } from './utils/notification-hooks.js';\n\nexport async function onRequest(request, env) {\n // 支付回调成功后触发\n await emit(NotificationEvent.ORDER_PAID, { order, user });\n return new Response('SUCCESS');\n}\n```\n\n**env-vars.md 补充字段**：\n\n```\nNOTIFICATION_SMTP_HOST # 邮件 SMTP 主机\nNOTIFICATION_SMTP_PORT # 邮件 SMTP 端口（默认 587）\nNOTIFICATION_SMTP_USER # 邮件发件人\nNOTIFICATION_SMTP_PASS # 邮件密码\nNOTIFICATION_FROM_EMAIL # 发件人地址\nWX_TEMPLATE_ID_ORDER # 微信订单通知模板 ID\nWX_TEMPLATE_ID_SHIP # 微信发货通知模板 ID\nDINGTALK_WEBHOOK_URL # 钉钉群 Webhook URL\n```\n\n---\n\n### 15.7 【P2】RS256 迁移方案\n\nPhase 1 使用 HS256（密钥共享，简单快速）；Phase 2 迁移到 RS256（公私钥，安全性更高）。\n\n**迁移策略：双轨并行，渐进式切换**\n\n```\nPhase 1（当前）：HS256\n - JWT_SECRET = 对称密钥（Edge + Cloud 共享）\n\nPhase 2 迁移：\n - 新增 JWT_PRIVATE_KEY（Cloud 签名用 RSA 私钥）\n - 新增 JWT_PUBLIC_KEY（Edge 验证用 RSA 公钥）\n - Edge Functions 验证用公钥（无需密钥）\n - Cloud Functions 签名用私钥\n - HS256 保留 30 天兼容窗口（老 token 仍可验证）\n```\n\n**生成密钥对**：\n\n```bash\n# 生成 RSA-256 密钥对\nopenssl genrsa -out private.pem 2048\nopenssl rsa -in private.pem -pubout -out public.pem\n# 将公钥 public.pem 内容填入 EdgeOne Pages 环境变量 JWT_PUBLIC_KEY\n# 将私钥 private.pem 内容填入 Cloud Functions 环境变量 JWT_PRIVATE_KEY（严格保密）\n```\n\n**Cloud Functions 签名切换**：\n\n```javascript\n// cloud-functions/utils/jwt-helper.js\nimport { SignJWT, jwtVerify } from 'jose';\n\nconst getSignKey = (env) => {\n if (env.JWT_PRIVATE_KEY) {\n return createPrivateKey(env.JWT_PRIVATE_KEY); // RS256\n }\n return new TextEncoder().encode(env.JWT_SECRET); // 兼容 HS256\n};\n\nexport async function signJWT(payload, expiresIn, env) {\n const key = getSignKey(env);\n return new SignJWT(payload)\n .setProtectedHeader({ alg: env.JWT_PRIVATE_KEY ? 'RS256' : 'HS256' })\n .setIssuedAt()\n .setExpirationTime(`${expiresIn}s`)\n .sign(key);\n}\n```\n\n**Edge Functions 验证（始终用公钥）**：\n\n```javascript\n// edge-functions/utils/jwt-helper.js\nexport async function verifyJWT(token, env) {\n const publicKey = createPublicKey(env.JWT_PUBLIC_KEY); // RS256 验证\n try {\n const { payload } = await jwtVerify(token, publicKey);\n return payload;\n } catch {\n // 30 天兼容窗口：尝试 HS256 验证（仅过渡期）\n const secret = new TextEncoder().encode(env.JWT_SECRET);\n try {\n const { payload } = await jwtVerify(token, secret);\n return { ...payload, _hs256Fallback: true }; // 标记老 token\n } catch {\n return null;\n }\n }\n}\n```\n\n---\n\n### 15.8 【P2】订单状态机详细设计\n\n**状态定义与流转**：\n\n```\n┌──────────┐ pay ┌───────┐ ship ┌──────────┐ confirm ┌───────────┐\n│ PENDING │ ──────→ │ PAID │ ─────→ │ SHIPPED │ ──────→ │ COMPLETED │\n└──────────┘ └───────┘ └──────────┘ └───────────┘\n │ │ │\n │ cancel (user) │ refund (user/admin) │\n ↓ ↓ │\n┌──────────┐ ┌──────────┐ │\n│ CANCELLED│ │ REFUNDED │ │\n└──────────┘ └──────────┘ │\n │\n refund (admin, COMPLETED) │\n ─────────────────────────────────────────┘\n```\n\n**合法流转规则（version 乐观锁保护）**：\n\n| 当前状态 | 允许目标状态 | 触发方 | 条件 |\n|---------|------------|--------|------|\n| PENDING | PAID | 支付回调 | 金额核对成功 |\n| PENDING | CANCELLED | 用户/系统超时 | 30min 未支付 |\n| PAID | SHIPPED | 管理员 | 填写物流信息 |\n| PAID | REFUNDED | 用户/管理员 | 退款申请 |\n| SHIPPED | COMPLETED | 用户/系统 | 7天无售后自动确认 |\n| SHIPPED | REFUNDED | 用户/管理员 | 退货退款 |\n| COMPLETED | REFUNDED | 管理员 | 特殊退款审批 |\n\n**状态机实现（D1 + version 乐观锁）**：\n\n```javascript\n// cloud-functions/api/order/cancel.js\nexport async function onRequest(request, env) {\n const { userId, role } = await auth(request, env);\n const { orderId, reason } = await request.json();\n const pool = await getPool(env.DATABASE_URL);\n\n let attempt = 0;\n while (attempt < 3) {\n attempt++;\n try {\n await pool.beginTransaction();\n\n // ① 锁定订单行，获取当前状态和版本\n const [rows] = await pool.query(\n 'SELECT * FROM orders WHERE id = ? FOR UPDATE',\n [orderId]\n );\n if (!rows.length) { await pool.rollback(); return 404; }\n const order = rows[0];\n\n // ② 权限校验：用户只能取消自己的 PENDING 订单\n if (role !== 'admin' && order.user_id !== userId) {\n await pool.rollback(); return 403;\n }\n\n // ③ 状态机校验\n const allowed = {\n 'PENDING': ['CANCELLED'],\n 'PAID': ['CANCELLED', 'REFUNDED'], // 退款需管理员\n 'SHIPPED': ['COMPLETED', 'REFUNDED'], // 已发货需管理员\n };\n const target = reason === 'user_cancel' ? 'CANCELLED' : 'REFUNDED';\n if (!allowed[order.status]?.includes(target)) {\n await pool.rollback();\n return { error: `状态 ${order.status} 不允许变更为 ${target}` };\n }\n if (target === 'CANCELLED' && role !== 'admin' && order.status !== 'PENDING') {\n await pool.rollback();\n return { error: '仅 PENDING 状态可由用户取消' };\n }\n\n // ④ 乐观锁更新（防止并发修改）\n const [result] = await pool.query(\n 'UPDATE orders SET status = ?, version = version + 1 WHERE id = ? AND version = ?',\n [target, orderId, order.version]\n );\n if (result.affectedRows === 0) {\n await pool.rollback(); // 版本冲突，重试\n continue;\n }\n\n // ⑤ 释放库存（仅取消时回补）\n if (target === 'CANCELLED') {\n await pool.query(\n 'UPDATE products SET stock = stock + (SELECT qty FROM order_items WHERE order_id = ?), version = version + 1 WHERE id = (SELECT product_id FROM order_items WHERE order_id = ?)',\n [orderId, orderId]\n );\n }\n\n // ⑥ 记录操作日志\n await pool.query(\n 'INSERT INTO admin_logs (admin_id, action, target) VALUES (?, ?, ?)',\n [userId, `order_status_change:${order.status}→${target}`, orderId]\n );\n\n await pool.commit();\n\n // ⑦ 触发通知钩子\n await emit(NotificationEvent.ORDER_CANCELLED, { order, reason });\n\n return { success: true, status: target };\n\n } catch (err) {\n await pool.rollback();\n if (err.code === 'ER_LOCK_DEADLOCK' && attempt < 3) {\n await sleep(100 * Math.pow(2, attempt));\n continue;\n }\n return { error: '操作失败，请重试' };\n }\n }\n}\n```\n\n---\n\n## 十六、Phase 2 验收标准\n\n| ID | 验收项 | 验证方法 |\n|----|--------|---------|\n| P2-01 | JWT 15min AT + 7d RT + Cookie 全属性 | 登录后 DevTools 查看 Cookie 属性 |\n| P2-02 | 并发刷新 RT，第二个请求返回 409 | 两个 tab 同时触发刷新 |\n| P2-03 | EventBus 401 跳转登录并回跳 | Token 过期后触发验证 |\n| P2-04 | AI 限流：未登录 11 次请求第 11 个返回 429 | 匿名请求连续发送 |\n| P2-05 | CSP Header 存在于 HTML 响应中 | `curl -I` 查看响应头 |\n| P2-06 | 订单状态机：PENDING→CANCELLED 成功 | 调用 cancel API |\n| P2-07 | 订单状态机：PAID→CANCELLED 被拒绝（需 admin） | 用户端测试 |\n| P2-08 | Notification 钩子注册 + emit 触发 | 单元测试验证 |\n| P2-09 | RS256 双轨验证（可选 Phase 2 末期） | HS/RS 混合 token 混跑 |\n\n---\n\n## 十七、功能验证清单（Phase 2 更新）\n\n**Demo 站点：** https://website-skeleton-demo-8mv8fitk.edgeone.cool（需有效期内的 EdgeOne Pages 访问 Token）\n\n| # | 功能 | 验证方法 | 状态 |\n|---|------|---------|------|\n| V-01 | 首页商品浏览（12 个商品） | API 返回 12 个商品，含名称/价格/库存 | ✅ |\n| V-02 | 用户注册（bcrypt cost=12） | 注册成功，返回 userId/email | ✅ |\n| V-03 | 用户登录（JWT） | 登录成功，返回用户信息 | ✅ |\n| V-04 | 购物车（localStorage 持久化） | Next.js 客户端路由，需浏览器测试 | 🟡 浏览器验证 |\n| V-05 | 结账（微信/支付宝选择） | checkout 页面存在，需浏览器测试 | 🟡 浏览器验证 |\n| V-06 | 模拟支付成功回调 | confirm API 存在，需有效 session | 🟡 需 session |\n| V-07 | 我的订单（状态标签） | orders API 存在，需有效 session | 🟡 需 session |\n\n---\n\n## 十八、Phase 2 里程碑\n\n```\n✅ Phase 1 完成：安全 Critical 全部修复（7/7 P0）\n🟡 Phase 2 进行中：P1 安全加固 + P2 能力完善\n🔲 Phase 3（可选）：RS256 + nonce CSP + SSE 优化\n```\n\n> **Phase 2 完成后，网站骨架 Skill 具备生产级安全性与完整功能集。**\n\n---\n\n## 十八、Phase 3 实现（P2 编码 + Layer 2 Addon + 多租户铺垫）\n\n### Phase 3 里程碑\n\n```\n✅ Phase 1 完成：Mock 数据 Demo，架构验证\n✅ Phase 2 完成：P0/P1 安全设计 + P2 设计文档完整\n✅ Phase 3 完成：P2 实现 + Layer 2 Addon + 多租户铺垫\n```\n\n### P2-1：RS256 双轨迁移（sharing/jwt-helper.js）\n\n**实现文件：** `sharing/jwt-helper.js`\n\n- 签发：RS256 私钥（`JWT_PRIVATE_KEY` 环境变量）\n- 验证：优先 RS256，30 天内旧 HS256 token 仍可验证\n- 迁移时间线：Day 0 部署 → Day 30 移除 HS256 兼容分支\n\n```javascript\n// 签发（永远 RS256）\nconst token = await signJWT({ sub: user.id, role: 'admin' }, AT_TTL_MS, env);\n\n// 验证（自动双轨）\nconst payload = await verifyJWT(token, env);\n// payload._alg === 'RS256' → 新 token\n// payload._alg === 'HS256' → 30天兼容窗口内的旧 token\n```\n\n### P2-2：订单状态机（cloud-functions/）\n\n**实现文件：**\n- `cloud-functions/utils/order-state-machine.js` — 核心状态机 + TRANSITIONS 表 + PERMISSIONS 表\n- `cloud-functions/api/order/transition.js` — 统一状态变更 API\n- `cloud-functions/cron/order-cron.js` — 定时任务（PENDING 超时取消 / SHIPPED 自动完成）\n- `db/migrations/002_order_logs.sql` — `order_status_logs` 审计表\n\n**状态流转（6 状态）：**\n```\nPENDING → PAID → SHIPPED → COMPLETED\n ↓ ↓ ↓\nCANCELLED REFUNDED REFUNDED\n```\n\n**权限矩阵：**\n| 变更 | 用户（本人） | 管理员 |\n|------|------------|--------|\n| PENDING→CANCELLED | ✅ | ✅ |\n| PAID→SHIPPED | — | ✅ |\n| PAID/SHIPPED→REFUNDED | ✅（本人） | ✅ |\n| SHIPPED→COMPLETED | ✅ | ✅ |\n\n### L2-1：SEO 模块（client/src/utils/seo.js + edge-functions/）\n\n**实现文件：**\n- `client/src/utils/seo.js` — JSON-LD 生成器 + Meta Tags + Sitemap XML 生成器\n- `edge-functions/api/sitemap.xml.js` — 动态 Sitemap API（Edge Function，5 分钟缓存）\n- `sharing/i18n/zh-CN.js` + `en-US.js` — 中英文案\n\n**JSON-LD 支持：**\n- `WebSite`（首页）\n- `Product`（产品页，含 offers/aggregateRating）\n- `BreadcrumbList`（面包屑）\n- `Organization`（组织信息）\n\n### L2-2：i18n 国际化（sharing/i18n/）\n\n**实现文件：**\n- `sharing/i18n/zh-CN.js` — 中文文案\n- `sharing/i18n/en-US.js` — 英文文案\n- `sharing/i18n/i18n.js` — 翻译函数 `t(key)` + 语言切换\n\n**使用方式：**\n```javascript\nimport { t, setLang, getLang } from './i18n.js';\n\nt('nav.home') // → '首页'\nt('order.status.PAID') // → '已支付'\nsetLang('en-US'); // 切换语言\n```\n\n### L2-3：Analytics 埋点（client/src/utils/analytics.js）\n\n**实现文件：**\n- `client/src/utils/analytics.js` — 埋点 SDK\n- `edge-functions/api/analytics/event.js` — 事件接收 API（KV 存储）\n\n**预定义事件：** `page_view` / `add_to_cart` / `checkout_start` / `purchase` / `signup` / `login` / `search`\n\n**特点：** `navigator.sendBeacon` 不阻塞导航，支持页面卸载时发送。\n\n### L3-1：Multi-tenant KV 前缀（sharing/kv-keys.js）\n\n**实现文件：** `sharing/kv-keys.js`\n\n所有 KV Key 统一加租户前缀：\n```\nPhase 3: \"default:session:abc123\"\nPhase 4: \"{tenant}:session:abc123\"（从 JWT payload.tenant 动态读取）\n```\n\n### Phase 3 新增文件清单\n\n```\nsharing/\n├── jwt-helper.js ✅ RS256 + HS256 双轨\n├── kv-keys.js ✅ 多租户前缀\n└── i18n/\n ├── zh-CN.js ✅ 中文\n ├── en-US.js ✅ 英文\n └── i18n.js ✅ 翻译函数\n\ncloud-functions/\n├── utils/\n│ └── order-state-machine.js ✅ 核心状态机\n├── api/order/\n│ └── transition.js ✅ 状态变更 API\n└── cron/\n └── order-cron.js ✅ 定时任务\n\nclient/src/utils/\n├── seo.js ✅ SEO 工具\n└── analytics.js ✅ 埋点 SDK\n\nedge-functions/\n├── api/\n│ ├── sitemap.xml.js ✅ Sitemap API\n│ └── analytics/event.js ✅ 埋点接收\n\ndb/migrations/\n└── 002_order_logs.sql ✅ 审计日志表\n\nreferences/\n├── admin-module.md ✅ 补充\n├── edge-functions.md ✅ 补充\n├── cloud-functions.md ✅ 补充\n├── middleware.md ✅ 补充\n└── deployment.md ✅ 补充\n```\n\n---\n\n## 十九、Phase 3 验收标准\n\n| ID | 验收项 | 验证方法 |\n|----|--------|---------|\n| P3-01 | RS256：新 token 用 RS256 私钥签发 | 代码审查 + 手动 JWT 解析 |\n| P3-02 | RS256：HS256 旧 token 30 天内仍可验证 | 测试过期 token 验证 |\n| P3-03 | 订单状态机：用户取消 PENDING 订单成功 | 调用 transition API |\n| P3-04 | 订单状态机：用户无法 PAID→CANCELLED（403） | 调用 transition API |\n| P3-05 | 库存联动：取消/退款时 stock 回补 | 查询 products 表 |\n| P3-06 | 审计日志：每次状态变更写入 order_status_logs | 查询数据库 |\n| P3-07 | Cron：PENDING 超时 30 分钟自动 CANCELLED | 模拟超时订单 |\n| P3-08 | SEO JSON-LD：产品页含 schema.org 结构化数据 | 审查页面源码 |\n| P3-09 | Sitemap：/api/sitemap.xml 返回有效 XML | curl 访问 |\n| P3-10 | i18n：`t('order.status.PAID')` 正确输出中英文 | 切换语言测试 |\n| P3-11 | Analytics：add_to_cart 事件通过 sendBeacon 发送 | Network 面板验证 |\n| P3-12 | Multi-tenant：KV key 格式含 \"default:\" 前缀 | 代码审查 |\n\n---\n\n## 二十、未来演进\n\n```\nPhase 1：Mock 数据 Demo ✅\nPhase 2：P0/P1 安全设计 + P2 设计文档 ✅\nPhase 3：P2 编码实现 + Layer 2 Addon + 多租户铺垫 ✅\n\nPhase 4（规划中）：多租户 SaaS\n - KV key 从 JWT payload.tenant 动态读取\n - 租户隔离数据库（D1 schema）\n - 租户管理后台\n - 计费系统（按量/订阅）\n\nPhase 5（规划中）：npm 包化\n npm install @site-skeleton/auth\n npm install @site-skeleton/payment\n```\n\n*Skill 版本演进由评审驱动，每 Phase 完成后更新版本号与文档。*\n\n\n## 用户确认检查点\n\n以下操作必须在执行前暂停，向用户说明并等待确认：\n\n| # | 操作 | 检查点说明 | 风险 |\n|---|------|-----------|------|\n| 1 | **edgeone pages deploy** | 显示待部署文件清单和变更概要，确认目标项目（测试/生产） | 高 |\n| 2 | **激活真实支付网关** | 切换到正式商户号前确认：签名验证已通过、测试环境已跑通全流程 | 高 |\n| 3 | **注入生产环境变量** | 确认所有密钥（JWT_SECRET / WX_API_KEY / DATABASE_URL）已正确配置 | 高 |\n| 4 | **执行数据库迁移** | 先备份现有数据、确认迁移脚本影响范围 | 高 |\n| 5 | **启用 Cron 定时任务** | 确认 PENDING 超时（30min）和自动完成（7天）阈值符合业务需求 | 中 |\n| 6 | **生成网站代码前** | 向用户展示选择的场景模板和模块组合，确认后再执行代码生成 | 中 |\n| 7 | **绑定自定义域名** | 确认 DNS 解析已配置、SSL 证书已签发、旧域名流量迁移方案 | 中 |\n| 8 | **回滚部署** | 确认回滚到哪个版本、是否会影响正在进行的交易 | 高 |\n| 9 | **开启多租户模式** | 确认 KV key 前缀迁移策略、租户隔离方案 | 中 |\n| 10 | **升级 RS256（从 HS256）** | 确认 30 天兼容窗口期内新旧 token 混跑测试通过 | 中 |\n\n> **规则**：LLM 遇到上表操作时，先向用户输出摘要说明，明确询问\"是否继续？\"，得到肯定答复后再执行。用户可随时跳过检查点。\n\n---\n\n## ⚠️ 安全与合规说明（ClawHub）\n\n### 1. 部署确认机制\n本 Skill 可生成网站代码并自动部署到 EdgeOne Pages。部署前 AI Agent 会：\n- 显示待部署文件清单和变更概要\n- 请求用户确认后才执行 `edgeone pages deploy`\n- 建议首次使用时选择测试项目而非生产项目\n\n### 2. 支付安全\n- 支付回调 API 已实现微信 HMAC-SHA256 签名验证\n- 校验 appid/mchid 商户身份一致性\n- 校验回调金额与订单金额完全匹配\n- 交易状态仅接受 result_code=SUCCESS\n- 幂等锁防止重复回调处理\n- **建议：** 生产环境前使用测试商户号验证全流程\n\n### 3. 最小权限原则\n- EdgeOne CLI 使用 scope 受限的测试项目\n- 支付密钥使用测试商户号而非正式商户号\n- AI API Key 使用测试额度或免费额度\n- 数据库使用独立的测试实例\n\n### 4. 数据保留策略\n| 数据类型 | 存储位置 | 保留期限 | 说明 |\n|---------|---------|---------|------|\n| KV Session | EdgeOne KV | 7 天 TTL | 自动过期 |\n| AI 聊天历史 | EdgeOne KV | 30 天 TTL | 可配置 |\n| 审计日志 | EdgeOne KV | 90 天 TTL | 可配置 |\n| 订单数据 | D1 | 永久 | 业务必需 |\n\n### 5. Cron 定时任务\n- 订单超时取消（PENDING 30 分钟 → CANCELLED）\n- 订单自动完成（SHIPPED 7 天 → COMPLETED）\n- **建议：** 生产环境前审阅 cron 阈值配置和回滚方案\n- 提供 `cloud-functions/cron/disable-cron.js` 一键禁用\n\n### 6. 使用建议\n- ✅ 在测试项目中验证全部功能\n- ✅ 使用测试/沙箱商户号\n- ✅ 部署前审查生成的代码和环境变量\n- ✅ 配置审计日志保留策略\n- ⚠️ 启用真实支付前完成签名验证测试\n- ⚠️ 上线前禁用不需要的 cron 任务\n\nFile v3.2.1:README.md\n\n\n
订单号：${order.order_no}
`\n });\n});\n\n// 微信模板消息适配器\nregisterHandler(NotificationEvent.ORDER_SHIPPED, async ({ order, user }) => {\n if (!process.env.WX_TEMPLATE_ID_SHIP) return;\n await sendWechatTemplate(user.openid, process.env.WX_TEMPLATE_ID_SHIP, {\n keyword1: order.order_no,\n keyword2: order.express_company + ' ' + order.express_no,\n });\n});\n\n// 调用示例（Cloud Functions 中）\nimport { emit, NotificationEvent } from './utils/notification-hooks.js';\n\nexport async function onRequest(request, env) {\n // 支付回调成功后触发\n await emit(NotificationEvent.ORDER_PAID, { order, user });\n return new Response('SUCCESS');\n}\n```\n\n**env-vars.md 补充字段**：\n\n```\nNOTIFICATION_SMTP_HOST # 邮件 SMTP 主机\nNOTIFICATION_SMTP_PORT # 邮件 SMTP 端口（默认 587）\nNOTIFICATION_SMTP_USER # 邮件发件人\nNOTIFICATION_SMTP_PASS # 邮件密码\nNOTIFICATION_FROM_EMAIL # 发件人地址\nWX_TEMPLATE_ID_ORDER # 微信订单通知模板 ID\nWX_TEMPLATE_ID_SHIP # 微信发货通知模板 ID\nDINGTALK_WEBHOOK_URL # 钉钉群 Webhook URL\n```\n\n---\n\n### 15.7 【P2】RS256 迁移方案\n\nPhase 1 使用 HS256（密钥共享，简单快速）；Phase 2 迁移到 RS256（公私钥，安全性更高）。\n\n**迁移策略：双轨并行，渐进式切换**\n\n```\nPhase 1（当前）：HS256\n - JWT_SECRET = 对称密钥（Edge + Cloud 共享）\n\nPhase 2 迁移：\n - 新增 JWT_PRIVATE_KEY（Cloud 签名用 RSA 私钥）\n - 新增 JWT_PUBLIC_KEY（Edge 验证用 RSA 公钥）\n - Edge Functions 验证用公钥（无需密钥）\n - Cloud Functions 签名用私钥\n - HS256 保留 30 天兼容窗口（老 token 仍可验证）\n```\n\n**生成密钥对**：\n\n```bash\n# 生成 RSA-256 密钥对\nopenssl genrsa -out private.pem 2048\nopenssl rsa -in private.pem -pubout -out public.pem\n# 将公钥 public.pem 内容填入 EdgeOne Pages 环境变量 JWT_PUBLIC_KEY\n# 将私钥 private.pem 内容填入 Cloud Functions 环境变量 JWT_PRIVATE_KEY（严格保密）\n```\n\n**Cloud Functions 签名切换**：\n\n```javascript\n// cloud-functions/utils/jwt-helper.js\nimport { SignJWT, jwtVerify } from 'jose';\n\nconst getSignKey = (env) => {\n if (env.JWT_PRIVATE_KEY) {\n return createPrivateKey(env.JWT_PRIVATE_KEY); // RS256\n }\n return new TextEncoder().encode(env.JWT_SECRET); // 兼容 HS256\n};\n\nexport async function signJWT(payload, expiresIn, env) {\n const key = getSignKey(env);\n return new SignJWT(payload)\n .setProtectedHeader({ alg: env.JWT_PRIVATE_KEY ? 'RS256' : 'HS256' })\n .setIssuedAt()\n .setExpirationTime(`${expiresIn}s`)\n .sign(key);\n}\n```\n\n**Edge Functions 验证（始终用公钥）**：\n\n```javascript\n// edge-functions/utils/jwt-helper.js\nexport async function verifyJWT(token, env) {\n const publicKey = createPublicKey(env.JWT_PUBLIC_KEY); // RS256 验证\n try {\n const { payload } = await jwtVerify(token, publicKey);\n return payload;\n } catch {\n // 30 天兼容窗口：尝试 HS256 验证（仅过渡期）\n const secret = new TextEncoder().encode(env.JWT_SECRET);\n try {\n const { payload } = await jwtVerify(token, secret);\n return { ...payload, _hs256Fallback: true }; // 标记老 token\n } catch {\n return null;\n }\n }\n}\n```\n\n---\n\n### 15.8 【P2】订单状态机详细设计\n\n**状态定义与流转**：\n\n```\n┌──────────┐ pay ┌───────┐ ship ┌──────────┐ confirm ┌───────────┐\n│ PENDING │ ──────→ │ PAID │ ─────→ │ SHIPPED │ ──────→ │ COMPLETED │\n└──────────┘ └───────┘ └──────────┘ └───────────┘\n │ │ │\n │ cancel (user) │ refund (user/admin) │\n ↓ ↓ │\n┌──────────┐ ┌──────────┐ │\n│ CANCELLED│ │ REFUNDED │ │\n└──────────┘ └──────────┘ │\n │\n refund (admin, COMPLETED) │\n ─────────────────────────────────────────┘\n```\n\n**合法流转规则（version 乐观锁保护）**：\n\n| 当前状态 | 允许目标状态 | 触发方 | 条件 |\n|---------|------------|--------|------|\n| PENDING | PAID | 支付回调 | 金额核对成功 |\n| PENDING | CANCELLED | 用户/系统超时 | 30min 未支付 |\n| PAID | SHIPPED | 管理员 | 填写物流信息 |\n| PAID | REFUNDED | 用户/管理员 | 退款申请 |\n| SHIPPED | COMPLETED | 用户/系统 | 7天无售后自动确认 |\n| SHIPPED | REFUNDED | 用户/管理员 | 退货退款 |\n| COMPLETED | REFUNDED | 管理员 | 特殊退款审批 |\n\n**状态机实现（D1 + version 乐观锁）**：\n\n```javascript\n// cloud-functions/api/order/cancel.js\nexport async function onRequest(request, env) {\n const { userId, role } = await auth(request, env);\n const { orderId, reason } = await request.json();\n const pool = await getPool(env.DATABASE_URL);\n\n let attempt = 0;\n while (attempt < 3) {\n attempt++;\n try {\n await pool.beginTransaction();\n\n // ① 锁定订单行，获取当前状态和版本\n const [rows] = await pool.query(\n 'SELECT * FROM orders WHERE id = ? FOR UPDATE',\n [orderId]\n );\n if (!rows.length) { await pool.rollback(); return 404; }\n const order = rows[0];\n\n // ② 权限校验：用户只能取消自己的 PENDING 订单\n if (role !== 'admin' && order.user_id !== userId) {\n await pool.rollback(); return 403;\n }\n\n // ③ 状态机校验\n const allowed = {\n 'PENDING': ['CANCELLED'],\n 'PAID': ['CANCELLED', 'REFUNDED'], // 退款需管理员\n 'SHIPPED': ['COMPLETED', 'REFUNDED'], // 已发货需管理员\n };\n const target = reason === 'user_cancel' ? 'CANCELLED' : 'REFUNDED';\n if (!allowed[order.status]?.includes(target)) {\n await pool.rollback();\n return { error: `状态 ${order.status} 不允许变更为 ${target}` };\n }\n if (target === 'CANCELLED' && role !== 'admin' && order.status !== 'PENDING') {\n await pool.rollback();\n return { error: '仅 PENDING 状态可由用户取消' };\n }\n\n // ④ 乐观锁更新（防止并发修改）\n const [result] = await pool.query(\n 'UPDATE orders SET status = ?, version = version + 1 WHERE id = ? AND version = ?',\n [target, orderId, order.version]\n );\n if (result.affectedRows === 0) {\n await pool.rollback(); // 版本冲突，重试\n continue;\n }\n\n // ⑤ 释放库存（仅取消时回补）\n if (target === 'CANCELLED') {\n await pool.query(\n 'UPDATE products SET stock = stock + (SELECT qty FROM order_items WHERE order_id = ?), version = version + 1 WHERE id = (SELECT product_id FROM order_items WHERE order_id = ?)',\n [orderId, orderId]\n );\n }\n\n // ⑥ 记录操作日志\n await pool.query(\n 'INSERT INTO admin_logs (admin_id, action, target) VALUES (?, ?, ?)',\n [userId, `order_status_change:${order.status}→${target}`, orderId]\n );\n\n await pool.commit();\n\n // ⑦ 触发通知钩子\n await emit(NotificationEvent.ORDER_CANCELLED, { order, reason });\n\n return { success: true, status: target };\n\n } catch (err) {\n await pool.rollback();\n if (err.code === 'ER_LOCK_DEADLOCK' && attempt < 3) {\n await sleep(100 * Math.pow(2, attempt));\n continue;\n }\n return { error: '操作失败，请重试' };\n }\n }\n}\n```\n\n---\n\n## 十六、Phase 2 验收标准\n\n| ID | 验收项 | 验证方法 |\n|----|--------|---------|\n| P2-01 | JWT 15min AT + 7d RT + Cookie 全属性 | 登录后 DevTools 查看 Cookie 属性 |\n| P2-02 | 并发刷新 RT，第二个请求返回 409 | 两个 tab 同时触发刷新 |\n| P2-03 | EventBus 401 跳转登录并回跳 | Token 过期后触发验证 |\n| P2-04 | AI 限流：未登录 11 次请求第 11 个返回 429 | 匿名请求连续发送 |\n| P2-05 | CSP Header 存在于 HTML 响应中 | `curl -I` 查看响应头 |\n| P2-06 | 订单状态机：PENDING→CANCELLED 成功 | 调用 cancel API |\n| P2-07 | 订单状态机：PAID→CANCELLED 被拒绝（需 admin） | 用户端测试 |\n| P2-08 | Notification 钩子注册 + emit 触发 | 单元测试验证 |\n| P2-09 | RS256 双轨验证（可选 Phase 2 末期） | HS/RS 混合 token 混跑 |\n\n---\n\n## 十七、功能验证清单（Phase 2 更新）\n\n**Demo 站点：** https://website-skeleton-demo-8mv8fitk.edgeone.cool（需有效期内的 EdgeOne Pages 访问 Token）\n\n| # | 功能 | 验证方法 | 状态 |\n|---|------|---------|------|\n| V-01 | 首页商品浏览（12 个商品） | API 返回 12 个商品，含名称/价格/库存 | ✅ |\n| V-02 | 用户注册（bcrypt cost=12） | 注册成功，返回 userId/email | ✅ |\n| V-03 | 用户登录（JWT） | 登录成功，返回用户信息 | ✅ |\n| V-04 | 购物车（localStorage 持久化） | Next.js 客户端路由，需浏览器测试 | 🟡 浏览器验证 |\n| V-05 | 结账（微信/支付宝选择） | checkout 页面存在，需浏览器测试 | 🟡 浏览器验证 |\n| V-06 | 模拟支付成功回调 | confirm API 存在，需有效 session | 🟡 需 session |\n| V-07 | 我的订单（状态标签） | orders API 存在，需有效 session | 🟡 需 session |\n\n---\n\n## 十八、Phase 2 里程碑\n\n```\n✅ Phase 1 完成：安全 Critical 全部修复（7/7 P0）\n🟡 Phase 2 进行中：P1 安全加固 + P2 能力完善\n🔲 Phase 3（可选）：RS256 + nonce CSP + SSE 优化\n```\n\n> **Phase 2 完成后，网站骨架 Skill 具备生产级安全性与完整功能集。**\n\n---\n\n## 十八、Phase 3 实现（P2 编码 + Layer 2 Addon + 多租户铺垫）\n\n### Phase 3 里程碑\n\n```\n✅ Phase 1 完成：Mock 数据 Demo，架构验证\n✅ Phase 2 完成：P0/P1 安全设计 + P2 设计文档完整\n✅ Phase 3 完成：P2 实现 + Layer 2 Addon + 多租户铺垫\n```\n\n### P2-1：RS256 双轨迁移（sharing/jwt-helper.js）\n\n**实现文件：** `sharing/jwt-helper.js`\n\n- 签发：RS256 私钥（`JWT_PRIVATE_KEY` 环境变量）\n- 验证：优先 RS256，30 天内旧 HS256 token 仍可验证\n- 迁移时间线：Day 0 部署 → Day 30 移除 HS256 兼容分支\n\n```javascript\n// 签发（永远 RS256）\nconst token = await signJWT({ sub: user.id, role: 'admin' }, AT_TTL_MS, env);\n\n// 验证（自动双轨）\nconst payload = await verifyJWT(token, env);\n// payload._alg === 'RS256' → 新 token\n// payload._alg === 'HS256' → 30天兼容窗口内的旧 token\n```\n\n### P2-2：订单状态机（cloud-functions/）\n\n**实现文件：**\n- `cloud-functions/utils/order-state-machine.js` — 核心状态机 + TRANSITIONS 表 + PERMISSIONS 表\n- `cloud-functions/api/order/transition.js` — 统一状态变更 API\n- `cloud-functions/cron/order-cron.js` — 定时任务（PENDING 超时取消 / SHIPPED 自动完成）\n- `db/migrations/002_order_logs.sql` — `order_status_logs` 审计表\n\n**状态流转（6 状态）：**\n```\nPENDING → PAID → SHIPPED → COMPLETED\n ↓ ↓ ↓\nCANCELLED REFUNDED REFUNDED\n```\n\n**权限矩阵：**\n| 变更 | 用户（本人） | 管理员 |\n|------|------------|--------|\n| PENDING→CANCELLED | ✅ | ✅ |\n| PAID→SHIPPED | — | ✅ |\n| PAID/SHIPPED→REFUNDED | ✅（本人） | ✅ |\n| SHIPPED→COMPLETED | ✅ | ✅ |\n\n### L2-1：SEO 模块（client/src/utils/seo.js + edge-functions/）\n\n**实现文件：**\n- `client/src/utils/seo.js` — JSON-LD 生成器 + Meta Tags + Sitemap XML 生成器\n- `edge-functions/api/sitemap.xml.js` — 动态 Sitemap API（Edge Function，5 分钟缓存）\n- `sharing/i18n/zh-CN.js` + `en-US.js` — 中英文案\n\n**JSON-LD 支持：**\n- `WebSite`（首页）\n- `Product`（产品页，含 offers/aggregateRating）\n- `BreadcrumbList`（面包屑）\n- `Organization`（组织信息）\n\n### L2-2：i18n 国际化（sharing/i18n/）\n\n**实现文件：**\n- `sharing/i18n/zh-CN.js` — 中文文案\n- `sharing/i18n/en-US.js` — 英文文案\n- `sharing/i18n/i18n.js` — 翻译函数 `t(key)` + 语言切换\n\n**使用方式：**\n```javascript\nimport { t, setLang, getLang } from './i18n.js';\n\nt('nav.home') // → '首页'\nt('order.status.PAID') // → '已支付'\nsetLang('en-US'); // 切换语言\n```\n\n### L2-3：Analytics 埋点（client/src/utils/analytics.js）\n\n**实现文件：**\n- `client/src/utils/analytics.js` — 埋点 SDK\n- `edge-functions/api/analytics/event.js` — 事件接收 API（KV 存储）\n\n**预定义事件：** `page_view` / `add_to_cart` / `checkout_start` / `purchase` / `signup` / `login` / `search`\n\n**特点：** `navigator.sendBeacon` 不阻塞导航，支持页面卸载时发送。\n\n### L3-1：Multi-tenant KV 前缀（sharing/kv-keys.js）\n\n**实现文件：** `sharing/kv-keys.js`\n\n所有 KV Key 统一加租户前缀：\n```\nPhase 3: \"default:session:abc123\"\nPhase 4: \"{tenant}:session:abc123\"（从 JWT payload.tenant 动态读取）\n```\n\n### Phase 3 新增文件清单\n\n```\nsharing/\n├── jwt-helper.js ✅ RS256 + HS256 双轨\n├── kv-keys.js ✅ 多租户前缀\n└── i18n/\n ├── zh-CN.js ✅ 中文\n ├── en-US.js ✅ 英文\n └── i18n.js ✅ 翻译函数\n\ncloud-functions/\n├── utils/\n│ └── order-state-machine.js ✅ 核心状态机\n├── api/order/\n│ └── transition.js ✅ 状态变更 API\n└── cron/\n └── order-cron.js ✅ 定时任务\n\nclient/src/utils/\n├── seo.js ✅ SEO 工具\n└── analytics.js ✅ 埋点 SDK\n\nedge-functions/\n├── api/\n│ ├── sitemap.xml.js ✅ Sitemap API\n│ └── analytics/event.js ✅ 埋点接收\n\ndb/migrations/\n└── 002_order_logs.sql ✅ 审计日志表\n\nreferences/\n├── admin-module.md ✅ 补充\n├── edge-functions.md ✅ 补充\n├── cloud-functions.md ✅ 补充\n├── middleware.md ✅ 补充\n└── deployment.md ✅ 补充\n```\n\n---\n\n## 十九、Phase 3 验收标准\n\n| ID | 验收项 | 验证方法 |\n|----|--------|---------|\n| P3-01 | RS256：新 token 用 RS256 私钥签发 | 代码审查 + 手动 JWT 解析 |\n| P3-02 | RS256：HS256 旧 token 30 天内仍可验证 | 测试过期 token 验证 |\n| P3-03 | 订单状态机：用户取消 PENDING 订单成功 | 调用 transition API |\n| P3-04 | 订单状态机：用户无法 PAID→CANCELLED（403） | 调用 transition API |\n| P3-05 | 库存联动：取消/退款时 stock 回补 | 查询 products 表 |\n| P3-06 | 审计日志：每次状态变更写入 order_status_logs | 查询数据库 |\n| P3-07 | Cron：PENDING 超时 30 分钟自动 CANCELLED | 模拟超时订单 |\n| P3-08 | SEO JSON-LD：产品页含 schema.org 结构化数据 | 审查页面源码 |\n| P3-09 | Sitemap：/api/sitemap.xml 返回有效 XML | curl 访问 |\n| P3-10 | i18n：`t('order.status.PAID')` 正确输出中英文 | 切换语言测试 |\n| P3-11 | Analytics：add_to_cart 事件通过 sendBeacon 发送 | Network 面板验证 |\n| P3-12 | Multi-tenant：KV key 格式含 \"default:\" 前缀 | 代码审查 |\n\n---\n\n## 二十、未来演进\n\n```\nPhase 1：Mock 数据 Demo ✅\nPhase 2：P0/P1 安全设计 + P2 设计文档 ✅\nPhase 3：P2 编码实现 + Layer 2 Addon + 多租户铺垫 ✅\n\nPhase 4（规划中）：多租户 SaaS\n - KV key 从 JWT payload.tenant 动态读取\n - 租户隔离数据库（D1 schema）\n - 租户管理后台\n - 计费系统（按量/订阅）\n\nPhase 5（规划中）：npm 包化\n npm install @site-skeleton/auth\n npm install @site-skeleton/payment\n```\n\n*Skill 版本演进由评审驱动，每 Phase 完成后更新版本号与文档。*\n\n\n## 用户确认检查点\n\n以下操作必须在执行前暂停，向用户说明并等待确认：\n\n| # | 操作 | 检查点说明 | 风险 |\n|---|------|-----------|------|\n| 1 | **edgeone pages deploy** | 显示待部署文件清单和变更概要，确认目标项目（测试/生产） | 高 |\n| 2 | **激活真实支付网关** | 切换到正式商户号前确认：签名验证已通过、测试环境已跑通全流程 | 高 |\n| \n\nArchive v3.1.2: 123 files, 233635 bytes\n\nFiles: CHANGELOG.md (3703b), client/index.html (2084b), client/src/app.js (2270b), client/src/components/navbar.js (2112b), client/src/components/toast.js (2990b), client/src/pages/admin/dashboard.js (5353b), client/src/pages/admin/orders.js (9019b), client/src/pages/admin/products.js (14799b), client/src/pages/ai-chat.js (8114b), client/src/pages/cart.js (4785b), client/src/pages/checkout.js (7958b), client/src/pages/home.js (3787b), client/src/pages/login.js (2975b), client/src/pages/order-detail.js (8171b), client/src/pages/orders.js (5165b), client/src/pages/products.js (7011b), client/src/pages/profile.js (3662b), client/src/pages/register.js (3638b), client/src/services/ai.js (3535b), client/src/services/api.js (4265b), client/src/services/auth.js (3703b), client/src/services/cart.js (4899b), client/src/styles/main.css (11792b), client/src/utils/analytics.js (4111b), client/src/utils/auth.js (840b), client/src/utils/constants.js (753b), client/src/utils/escape-html.js (571b), client/src/utils/event-bus.js (1129b), client/src/utils/router.js (4852b), client/src/utils/seo.js (5577b), client/src/utils/storage.js (2022b), cloud-functions/api/_helpers.js (1951b), cloud-functions/api/admin/orders.js (1919b), cloud-functions/api/admin/products.js (4890b), cloud-functions/api/admin/stats.js (2655b), cloud-functions/api/admin/users.js (1603b), cloud-functions/api/ai/chat-stream.js (6956b), cloud-functions/api/auth/register.js (2853b), cloud-functions/api/order/cancel.js (2598b), cloud-functions/api/order/create.js (3144b), cloud-functions/api/order/detail.js (2391b), cloud-functions/api/order/transition.js (6357b), cloud-functions/api/pay/close.js (2190b), cloud-functions/api/pay/create-order.js (3295b), cloud-functions/api/pay/query.js (1676b), cloud-functions/api/pay/wx-notify.js (9572b), cloud-functions/cron/order-cron.js (5389b), cloud-functions/middleware/audit.js (3437b), cloud-functions/middleware/tenant-context.js (2944b), cloud-functions/utils/db.js (4368b), cloud-functions/utils/order-state-machine.js (5656b), CONTRIBUTING.md (1590b), db/migrations/001_init.sql (5539b), db/migrations/002_order_logs.sql (1555b), db/migrations/003_rollback.sql (921b), db/migrations/003_tenant_isolation.sql (3273b), db/seed.sql (9364b), docs/plans/phase-4a-plan.md (5210b), docs/plans/phase-4b-plan.md (3040b), edge-functions/_middleware.js (603b), edge-functions/api/admin/tenants.js (6492b), edge-functions/api/ai/history.js (2712b), edge-functions/api/analytics/event.js (2169b), edge-functions/api/auth/login.js (4353b), edge-functions/api/auth/logout.js (2680b), edge-functions/api/auth/me.js (2209b), edge-functions/api/auth/refresh.js (3653b), edge-functions/api/cart/add.js (2179b), edge-functions/api/cart/get.js (1302b), edge-functions/api/cart/remove.js (2037b), edge-functions/api/cart/update.js (2276b), edge-functions/api/orders/[id].js (2284b), edge-functions/api/orders/list.js (2604b), edge-functions/api/products/[id].js (2507b), edge-functions/api/products/categories.js (1101b), edge-functions/api/products/list.js (3320b), edge-functions/api/sitemap.xml.js (1961b), edge-functions/middleware/rbac.js (2867b), edge-functions/utils/rate-limit.js (1979b), index.html (3973b)\n\nArchive v3.1.1: 111 files, 202863 bytes\n\nFiles: CHANGELOG.md (2781b), client/index.html (15865b), client/src/app.js (2270b), client/src/components/navbar.js (2112b), client/src/components/toast.js (2990b), client/src/pages/cart.js (4785b), client/src/pages/home.js (3787b), client/src/pages/login.js (2975b), client/src/pages/orders.js (5165b), client/src/pages/products.js (7011b), client/src/pages/register.js (3638b), client/src/services/ai.js (3535b), client/src/services/api.js (4265b), client/src/services/auth.js (3703b), client/src/services/cart.js (4899b), client/src/utils/analytics.js (4111b), client/src/utils/auth.js (840b), client/src/utils/constants.js (753b), client/src/utils/escape-html.js (571b), client/src/utils/event-bus.js (1129b), client/src/utils/router.js (4038b), client/src/utils/seo.js (5577b), client/src/utils/storage.js (2022b), cloud-functions/api/_helpers.js (1951b), cloud-functions/api/admin/orders.js (1919b), cloud-functions/api/admin/products.js (4890b), cloud-functions/api/admin/stats.js (2655b), cloud-functions/api/admin/users.js (1603b), cloud-functions/api/ai/chat-stream.js (6956b), cloud-functions/api/auth/register.js (2853b), cloud-functions/api/order/cancel.js (2598b), cloud-functions/api/order/create.js (3144b), cloud-functions/api/order/detail.js (2391b), cloud-functions/api/order/transition.js (6357b), cloud-functions/api/pay/close.js (2190b), cloud-functions/api/pay/create-order.js (3295b), cloud-functions/api/pay/query.js (1676b), cloud-functions/api/pay/wx-notify.js (9572b), cloud-functions/cron/order-cron.js (5389b), cloud-functions/middleware/audit.js (3437b), cloud-functions/middleware/tenant-context.js (2944b), cloud-functions/utils/db.js (4368b), cloud-functions/utils/order-state-machine.js (5656b), CONTRIBUTING.md (1590b), db/migrations/002_order_logs.sql (1555b), db/migrations/003_rollback.sql (921b), db/migrations/003_tenant_isolation.sql (3273b), docs/plans/phase-4a-plan.md (5210b), docs/plans/phase-4b-plan.md (3040b), edge-functions/_middleware.js (603b), edge-functions/api/admin/tenants.js (6492b), edge-functions/api/ai/history.js (2712b), edge-functions/api/analytics/event.js (2169b), edge-functions/api/auth/login.js (4353b), edge-functions/api/auth/logout.js (2680b), edge-functions/api/auth/me.js (2209b), edge-functions/api/auth/refresh.js (3653b), edge-functions/api/cart/add.js (2179b), edge-functions/api/cart/get.js (1302b), edge-functions/api/cart/remove.js (2037b), edge-functions/api/cart/update.js (2276b), edge-functions/api/orders/[id].js (2284b), edge-functions/api/orders/list.js (2604b), edge-functions/api/products/[id].js (2507b), edge-functions/api/products/categories.js (1101b), edge-functions/api/products/list.js (3320b), edge-functions/api/sitemap.xml.js (1961b), edge-functions/middleware/rbac.js (2867b), edge-functions/utils/rate-limit.js (1979b), index.html (3973b), middleware.js (495b), MIGRATION.md (2372b), package-lock.json (1197b), package.json (697b), packages/admin/package.json (409b), packages/admin/src/index.js (725b), packages/payment/package.json (421b), packages/payment/src/index.js (1251b), packages/shared/package.json (595b), README.md (16443b)\n\nArchive v3.1.0: 111 files, 202981 bytes\n\nFiles: CHANGELOG.md (2781b), client/index.html (15865b), client/src/app.js (2270b), client/src/components/navbar.js (2112b), client/src/components/toast.js (2990b), client/src/pages/cart.js (4785b), client/src/pages/home.js (3787b), client/src/pages/login.js (2975b), client/src/pages/orders.js (5165b), client/src/pages/products.js (7011b), client/src/pages/register.js (3638b), client/src/services/ai.js (3535b), client/src/services/api.js (4265b), client/src/services/auth.js (3703b), client/src/services/cart.js (4899b), client/src/utils/analytics.js (4111b), client/src/utils/auth.js (840b), client/src/utils/constants.js (753b), client/src/utils/escape-html.js (571b), client/src/utils/event-bus.js (1129b), client/src/utils/router.js (4038b), client/src/utils/seo.js (5577b), client/src/utils/storage.js (2022b), cloud-functions/api/_helpers.js (1951b), cloud-functions/api/admin/orders.js (1919b), cloud-functions/api/admin/products.js (4890b), cloud-functions/api/admin/stats.js (2655b), cloud-functions/api/admin/users.js (1603b), cloud-functions/api/ai/chat-stream.js (6956b), cloud-functions/api/auth/register.js (2853b), cloud-functions/api/order/cancel.js (2598b), cloud-functions/api/order/create.js (3144b), cloud-functions/api/order/detail.js (2391b), cloud-functions/api/order/transition.js (6357b), cloud-functions/api/pay/close.js (2190b), cloud-functions/api/pay/create-order.js (3295b), cloud-functions/api/pay/query.js (1676b), cloud-functions/api/pay/wx-notify.js (9572b), cloud-functions/cron/order-cron.js (5389b), cloud-functions/middleware/audit.js (3437b), cloud-functions/middleware/tenant-context.js (2944b), cloud-functions/utils/db.js (4368b), cloud-functions/utils/order-state-machine.js (5656b), CONTRIBUTING.md (1590b), db/migrations/002_order_logs.sql (1555b), db/migrations/003_rollback.sql (921b), db/migrations/003_tenant_isolation.sql (3273b), docs/plans/phase-4a-plan.md (5210b), docs/plans/phase-4b-plan.md (3040b), edge-functions/_middleware.js (603b), edge-functions/api/admin/tenants.js (6492b), edge-functions/api/ai/history.js (2712b), edge-functions/api/analytics/event.js (2169b), edge-functions/api/auth/login.js (4353b), edge-functions/api/auth/logout.js (2680b), edge-functions/api/auth/me.js (2209b), edge-functions/api/auth/refresh.js (3653b), edge-functions/api/cart/add.js (2179b), edge-functions/api/cart/get.js (1302b), edge-functions/api/cart/remove.js (2037b), edge-functions/api/cart/update.js (2276b), edge-functions/api/orders/[id].js (2284b), edge-functions/api/orders/list.js (2604b), edge-functions/api/products/[id].js (2507b), edge-functions/api/products/categories.js (1101b), edge-functions/api/products/list.js (3320b), edge-functions/api/sitemap.xml.js (1961b), edge-functions/middleware/rbac.js (2867b), edge-functions/utils/rate-limit.js (1979b), index.html (3973b), middleware.js (495b), MIGRATION.md (2372b), package-lock.json (1197b), package.json (697b), packages/admin/package.json (409b), packages/admin/src/index.js (725b), packages/payment/package.json (421b), packages/...","readmeExcerpt":"Skill: 建站骨架 (EdgeOne Pages) Owner: liuboacean Summary: 一句话说需求，AI 生成完整前后端网站并自动部署到 EdgeOne Pages。支持电商栈（Auth/购物车/支付）、AI 栈（SSE 流式对话）、管理后台。 Tags: ai-chat:3.2.1, ecommerce:3.2.1, edgeone:3.2.1, edgeone-pages:3.0.6, full-stack:3.0.6, fullstack:3.2.1, latest:3.2.1, saas:3.2.1, web-development:3.0.6, website-scaffold:3.2.1 Version history: v3.2.1 | 2026-05-28T01:57:33.762Z | user v3.2.1: 重新发布以触发ClawScan审核。新增HttpOnly Cookie鉴权(","codeSnippets":[],"executableExamples":[{"language":"text","snippet":"一次设计，无限复用 = 5 个模块 × 3 个场景 × 1 个部署平台"},{"language":"text","snippet":"┌──────────────────────────────────────────────────────────────┐\n│ Platform Middleware（middleware.js） │\n│ ① CORS 预检（OPTIONS） │\n│ ② CSP Header 注入 │\n│ ③ 轻量 Bearer 检查（公开路径放行） │\n│ ④ 支付回调 IP 白名单 → 直接 return，不进 Edge Middleware │\n└──────────────────────────────────────────────────────────────┘\n ↓（非回调路径）\n┌──────────────────────────────────────────────────────────────┐\n│ Edge Functions Middleware（V8 + KV） │\n│ ⑤ JWT 详细校验（crypto.subtle） │\n│ ⑥ KV session 验证 │\n│ ⑦ KV 限流计数器（滑动窗口） │\n└──────────────────────────────────────────────────────────────┘"},{"language":"text","snippet":"website-skeleton/\n├── SKILL.md # 本文件，Skill 核心指令\n│\n├── templates/ # 场景预设模板\n│ ├── e-commerce.json # 🛒 电商场景\n│ ├── ai-assistant.json # 🤖 AI 助手场景\n│ └── saas-admin.json # 📊 SaaS 管理后台场景\n│\n├── sharing/ # 跨运行时共享（构建时同步）\n│ ├── types.ts # User/Product/Cart/Order/AISession 接口\n│ ├── constants.ts # OrderStatus/UserRole/APIPaths 枚举\n│ ├── validators.ts # 共享输入校验\n│ └── kv-keys.ts # KV key 命名（含租户前缀占位）\n│\n├── client/ # 前端 SPA\n│ ├── index.html\n│ └── src/\n│ ├── app.js # 启动 + History API 路由\n│ ├── utils/\n│ │ ├── event-bus.js # 全局事件总线（P0）\n│ │ ├── router.js # History API 路由 + AuthGuard\n│ │ ├── escape-html.js # XSS 防护\n│ │ └── storage.js # localStorage 封装\n│ ├── services/\n│ │ ├── api.js # 统一客户端 + 拦截器\n│ │ ├── auth.js # 内存 AuthService\n│ │ ├── cart.js # 双模式购物车\n│ │ └── ai.js # SSE 流式 AI\n│ └── components/ # 组件清单\n│\n├── middleware.js # Platform Middleware\n│\n├── db/ # 数据库迁移\n│ ├── migrations/\n│ │ └── 001_init.sql # 建表脚本\n│ └── seed.sql # 测试数据\n│\n├── docs/\n│ └── env-vars.md # 环境变量矩阵\n│\n├── edge-functions/ # Edge Functions（V8 + KV）\n│ ├── _middleware.js # JWT 校验 + KV session + 限流\n│ ├── api/\n│ │ ├── auth/login.js # JWT 签发（Cookie） + KV session\n│ │ ├── auth/me.js # KV session 读取\n│ │ ├── auth/refresh.js # RT 轮换（KV version 乐观锁）\n│ │ ├── auth/logout.js # 清除 Cookie + KV session\n│ │ ├── internal/idempotency.js # Edge 原子幂等锁\n│ │ ├── products/list.js # KV 缓存 + Cloud D1 回源\n│ │ ├── products/[id].js\n│ │ ├── products/categories.js\n│ │ ├── cart/*.js # KV 购物车\n│ │ ├── orders/list.js # D1 订单读取\n│ │ ├── orders/[id].js\n│ │ └── "},{"language":"text","snippet":"Access Token：短期 JWT（15min）+ HttpOnly Cookie（Secure + SameSite=Strict）\nRefresh Token：7天 TTL，存 KV rt:{userId}:meta（含 version）\n算法：Phase 1 用 HS256 + 短期 TTL，Phase 2 迁移 RS256"},{"language":"javascript","snippet":"// edge-functions/api/auth/refresh.js\nexport async function onRequest(context) {\n const { RT } = await getTokens(context.request);\n const { KV } = context.env;\n const payload = parseJWT(RT);\n const userId = payload.sub;\n if (!userId) return new Response('Invalid', { status: 401 });\n\n const current = await KV.get(`rt:${userId}:meta`);\n const { version: oldVersion, token: oldToken } = JSON.parse(current || '{\"version\":0,\"token\":\"\"}');\n\n if (oldToken !== RT) {\n return new Response('Token already rotated', { status: 409 });\n }\n\n const newVersion = oldVersion + 1;\n const newToken = signRT(userId, newVersion);\n\n const ok = await KV.put(\n `rt:${userId}:meta`,\n JSON.stringify({ version: newVersion, token: newToken }),\n { expirationTtl: 604800 }\n );\n\n if (!ok) return new Response('Concurrent rotation', { status: 409 });\n\n return new Response(JSON.stringify({ refreshToken: newToken }), {\n headers: { 'Content-Type': 'application/json' }\n });\n}"},{"language":"text","snippet":"未登录：localStorage（30d TTL 自动清理）\n登录时：localStorage → 服务端 KV（syncOnLogin()）\n已登录：服务端 KV（唯一数据源）"}],"parameters":null,"dependencies":[],"permissions":[],"extractedFiles":[{"path":"SKILL.md","content":"---\nname: 建站骨架 (EdgeOne Pages)\ndescription: 一句话说需求，AI 生成完整前后端网站并自动部署到 EdgeOne Pages。支持电商栈（Auth/购物车/支付）、AI 栈（SSE 流式对话）、管理后台。\nversion: \"3.2.1\"\ncategory: openclaw-imports\ntags:\n - edgeone\n - website\n - ecommerce\n - deploy\ntriggers:\n - 帮我建网站\n - 建一个电商网站\n - 做 AI 客服站\n - 建管理后台\n - EdgeOne Pages 建站\n - 搭建网站\n - 做个网站\n - 生成网站\n - 建站\n - 创建网站\n - 我要建站\n - 商城网站\n - 下单支付网站\n - 全栈网站\n - build a website\n - create a full-stack app\n - e-commerce website\n - 建电商\n - 网站骨架\n - 部署网站\nenv:\n JWT_SECRET:\n description: JWT 签名密钥（HS256），Edge + Cloud 共享\n required: true\n secret: true\n AI_API_KEY:\n description: AI 模型调用 API Key（仅 AI 栈需要）\n required: false\n secret: true\n WX_APPID:\n description: 微信支付 AppID（仅电商栈需要）\n required: false\n secret: true\n WX_MCHID:\n description: 微信支付商户号（仅电商栈需要）\n required: false\n secret: true\n DATABASE_URL:\n description: D1 数据库绑定\n required: false\n secret: true\n---\n\n# 建站 Skill — EdgeOne Pages 全栈网站骨架\n\n> **版本：** 3.2.0 · **日期：** 2026-05-26 · **工程完缮（SPA详情页 + 227项测试 + 迁移/脚本/模板联动）**\n> **一句话描述：** 用户说一句话，AI 生成完整前后端网站，自动部署到 EdgeOne Pages。\n\n---\n\n## 一、核心设计理念\n\n```\n一次设计，无限复用 = 5 个模块 × 3 个场景 × 1 个部署平台\n```\n\n将\"建站\"拆解为 **Layer 0 基础设施** + **Layer 1 能力栈** + **Layer 2 可选增强**：\n\n| 层级 | 内容 | 性质 |\n|------|------|------|\n| **Layer 0**（Core） | SPA 骨架 + Auth + Middleware + EventBus | 必选，不可裁剪 |\n| **Layer 1**（Stack） | 🛒 电商栈 · 🤖 AI 栈 · 📊 管理栈 | 按需组合，互不依赖 |\n| **Layer 2**（Addon） | SEO · Analytics · i18n | 可选增强 |\n\n**场景模板优先**：用户选\"电商\"、\"AI 助手\"或\"管理后台\"场景，不选模块——模块由模板自动组合。\n\n---\n\n## 二、技术架构\n\n### 2.1 EdgeOne Pages 双运行时\n\n```\n┌──────────────────────────────────────────────────────────────┐\n│ Platform Middleware（middleware.js） │\n│ ① CORS 预检（OPTIONS） │\n│ ② CSP Header 注入 │\n│ ③ 轻量 Bearer 检查（公开路径放行） │\n│ ④ 支付回调 IP 白名单 → 直接 return，不进 Edge Middleware │\n└──────────────────────────────────────────────────────────────┘\n ↓（非回调路径）\n┌──────────────────────────────────────────────────────────────┐\n│ Edge Functions Middleware（V8 + KV） │\n│ ⑤ JWT 详细校验（crypto.subtle） │\n│ ⑥ KV session 验证 │\n│ ⑦ KV 限流计数器（滑动窗口） │\n└──────────────────────────────────────────────────────────────┘\n```\n\n### 2.2 运行时职责边界\n\n| 运行时 | 存储 | 职责 | 说明 |\n|--------|------|------|------|\n| **Edge Functions**（V8） | KV | Auth 登录/me、Products 公开读、Cart、Orders 读、AI History 读、幂等锁 | 延迟敏感、无密钥 |\n| **Cloud Functions**（Node） | D1 | Auth 注册/bcrypt、Payment 创建/回调、Admin CRUD、Orders 创建/取消、AI SSE 流 | 密钥操作、复杂事务 |\n\n> ⚠️ **平台约束（EdgeOne Pages）：**\n> - KV 仅 Edge Functions 可用，Cloud Functions 无法访问\n> - Cloud Functions 目录名必须为 `cloud-functions/`\n> - bcrypt 必须在 Cloud Functions 中执行\n\n### 2.3 分层目录结构\n\n```\nwebsite-skeleton/\n├── SKILL.md # 本文件，Skill 核心指令\n│\n├── templates/ # 场景预设模板\n│ ├── e-commerce.json # 🛒"},{"path":"README.md","content":"\n