Rednote Tool Studio

一个面向编码代理的小红书小工具制作器。界面使用 Next.js + React，外部 Codex、Claude Code 或其他代理通过 HTTP API 创建、修改、预览、校验并导出离线 H5 ZIP；应用本身不内嵌 LLM，也不持有模型密钥。

MVP 能力

• 项目管理页面、源码编辑器与手机预览
• 文件读写和批量修改 API，使用 revision 避免并发覆盖
• 可发现的 OpenAPI 3.1 契约
• React 小工具模板
• 项目级依赖安装（禁用 npm 生命周期脚本）
• ES2017 / Chrome 61 经典脚本构建
• 受限 API、HTML/CSP、文件结构与资源检查
• 固定版本 minitool-zip-builder 1.6.0 审计
• 校验通过后生成 ZIP
• 闲置项目 node_modules 自动清理
• 生产环境 Basic Auth、Docker 健康检查、持久化部署与失败回滚

本地运行

npm install
npm run dev

访问 http://localhost:3000。API 契约位于 http://localhost:3000/openapi.json，编码代理说明见 AGENT_GUIDE.md。

开发模式未配置 STUDIO_PASSWORD 时允许本地访问；生产模式必须提供密码，否则业务页面和 API 返回 503。GET /api/health 始终公开，用于容器健康检查。

持续部署

main 分支的 CI 全部通过后，会通过 runner 挂载的 Docker socket 构建并部署 rednote-tool-studio 容器。默认映射宿主机端口 3000，使用命名卷 rednote-tool-studio-data 保存项目。

仓库 Actions Secret 必须包含 STUDIO_PASSWORD。可选仓库变量 DEPLOY_PORT 用于覆盖宿主机端口。部署先停止并保留旧容器，候选容器健康后才删除旧容器；候选失败时恢复旧版本。

首次配置时，在 Gitea 仓库的 Settings → Actions → Secrets 创建 STUDIO_PASSWORD。若本机由 Codex 生成过密码，可从 macOS Keychain 的 service rednote-tool-studio、account studio 读取；不要把密码提交到仓库或粘贴到聊天中。Secret 尚未配置时，CI 会完成全部验证并安全跳过部署。

闲置依赖清理

服务启动后每小时扫描一次托管项目。项目超过 24 小时没有 API、预览或构建访问时，会删除：

data/projects/<project-id>/workspace/node_modules

源码、锁文件、构建产物和 ZIP 不会被删除；正在构建的项目不会被清理。需要依赖时可依据锁文件重新安装。可通过环境变量调整：

NODE_MODULES_IDLE_HOURS=48 CLEANUP_INTERVAL_MS=3600000 npm run dev

也可显式调用：

curl -X POST http://localhost:3000/api/maintenance/cleanup \
  -H 'Content-Type: application/json' \
  -d '{"idleHours":24}'

校验边界

内置 skill 的审计脚本主要检查包体和文本文件体积。Studio 在它之外增加 HTML、受限 API、外链和产物结构检查。静态检查通过仍不代表已经完成小红书模拟器或真机验收。

仓库固定包含 minitool-zip-builder 1.6.0，来源为：

https://fe-static.xhscdn.com/mini-tool/20260831163932/minitool-zip-builder-1.6.0.skill
SHA-256 29c04115fd89d7eab7b81775f4287ae20c569ad3794d25d8404dc0ec3ec3b65e

测试

npm run typecheck
npm test
npm run build