# Rednote Tool Studio

一个面向编码代理的小红书小工具制作器。界面使用 Next.js + React，外部 Codex、Claude Code 或其他代理通过 HTTP API 创建、修改、预览、校验并导出离线 H5 ZIP；应用本身不内嵌 LLM，也不持有模型密钥。

## MVP 能力

- 项目管理页面、源码编辑器与手机预览
- 文件读写和批量修改 API，使用 revision 避免并发覆盖
- 可发现的 OpenAPI 3.1 契约
- React 小工具模板
- 项目级依赖安装（禁用 npm 生命周期脚本）
- ES2017 / Chrome 61 经典脚本构建
- 受限 API、HTML/CSP、文件结构与资源检查
- 固定版本 `minitool-zip-builder 1.6.0` 审计
- 校验通过后生成 ZIP
- 闲置项目 `node_modules` 自动清理
- 生产环境 Basic Auth、Docker 健康检查、持久化部署与失败回滚

## 本地运行

```bash
npm install
npm run dev
```

访问 `http://localhost:3000`。API 契约位于 `http://localhost:3000/openapi.json`，编码代理说明见 [AGENT_GUIDE.md](./AGENT_GUIDE.md)。

开发模式未配置 `STUDIO_PASSWORD` 时允许本地访问；生产模式必须提供密码，否则业务页面和 API 返回 503。`GET /api/health` 始终公开，用于容器健康检查。

## 持续部署

`main` 分支的 CI 全部通过后，会通过 runner 挂载的 Docker socket 构建并部署 `rednote-tool-studio` 容器。默认映射宿主机端口 `3000`，使用命名卷 `rednote-tool-studio-data` 保存项目。

仓库 Actions Secret 必须包含 `STUDIO_PASSWORD`。可选仓库变量 `DEPLOY_PORT` 用于覆盖宿主机端口。部署先停止并保留旧容器，候选容器健康后才删除旧容器；候选失败时恢复旧版本。

首次配置时，在 Gitea 仓库的 `Settings → Actions → Secrets` 创建 `STUDIO_PASSWORD`。若本机由 Codex 生成过密码，可从 macOS Keychain 的 service `rednote-tool-studio`、account `studio` 读取；不要把密码提交到仓库或粘贴到聊天中。Secret 尚未配置时，CI 会完成全部验证并安全跳过部署。

## 闲置依赖清理

服务启动后每小时扫描一次托管项目。项目超过 24 小时没有 API、预览或构建访问时，会删除：

```text
data/projects/<project-id>/workspace/node_modules
```

源码、锁文件、构建产物和 ZIP 不会被删除；正在构建的项目不会被清理。需要依赖时可依据锁文件重新安装。可通过环境变量调整：

```bash
NODE_MODULES_IDLE_HOURS=48 CLEANUP_INTERVAL_MS=3600000 npm run dev
```

也可显式调用：

```bash
curl -X POST http://localhost:3000/api/maintenance/cleanup \
  -H 'Content-Type: application/json' \
  -d '{"idleHours":24}'
```

## 校验边界

内置 skill 的审计脚本主要检查包体和文本文件体积。Studio 在它之外增加 HTML、受限 API、外链和产物结构检查。静态检查通过仍不代表已经完成小红书模拟器或真机验收。

仓库固定包含 `minitool-zip-builder 1.6.0`，来源为：

```text
https://fe-static.xhscdn.com/mini-tool/20260831163932/minitool-zip-builder-1.6.0.skill
SHA-256 29c04115fd89d7eab7b81775f4287ae20c569ad3794d25d8404dc0ec3ec3b65e
```

## 测试

```bash
npm run typecheck
npm test
npm run build
```