feat(cli): add unified confirmation for high-risk operations

docs/agents/cli-e2e-tests.md

@@ -79,6 +79,13 @@ describe.skipIf(<ready>)("e2e: <topic>（DashScope …）", () => {
 3. **--dry-run**：实现在联网/上传/写盘**之前**返回；断言 stdout JSON/文本
 4. **真实集成**：放在 skip 块**末尾**
 
+高风险命令额外要求：
+
+- `--help` 展示 runtime 注入的 `--yes`
+- 无 `--yes` 返回 exit code 7 和 JSON `type: "requires_confirmation"`
+- `--dry-run` 无需 `--yes`，且必须证明在任何远端请求或本地写入之前返回
+- runtime 的离线 high-risk fixture 必须覆盖带 `--yes` 确实进入 `run()`，并断言 `yes` 不进入 command 自有 flags
+
 ## Journey 层（用户旅程全链路）
 
 - **定位**：命令 E2E 验单命令契约；journey 验“用户带着目标跨命令走通回路”，结构性断言不在 journey 重复

docs/agents/command-add-remove.md

@@ -71,7 +71,9 @@ packages/commands/src/index.ts
  - `usageArgs`(不含 bin/path 前缀)
  - `exampleArgs`(不含 bin/path 前缀)
  - `validate`(跨 flag 校验)
+ - 高风险命令必须声明 `risk: { level: "high", message: <双语文案> }`;`--yes` 由 runtime 注入,命令不得自行声明
  - 普通业务命令的 `run(ctx)` 只读 `ctx.flags` / `ctx.settings` / `ctx.client`
+ - 声明 `risk` 的 `run(ctx)` 必须在任何远端请求或本地写入之前处理 `ctx.settings.dryRun` 并返回预览;runtime 只负责确认闸门,不替命令实现 dry-run
  - `commands/auth/**` 可用 `ctx.authStore`,`commands/config/**` 可用 `ctx.configStore`;不要把这些持久化能力扩散到普通业务命令
  - `commands/plugin/**` 可用 `ctx.commandPacks`;产品 policy 由 runtime 绑定,命令不要自行 import 产品入口
 - [ ] 用户可见 Help 文案在命令文件中就近提供 `en-US` / `zh-CN`:命令 `description`、flag `description`、`notes` 和包含自然语言的 `exampleArgs`;纯命令语法示例可保留为字符串,服务端错误不翻译

docs/agents/skill-change.md

@@ -40,6 +40,8 @@ bailian-gen bailian-finetune bailian-managed-agent bailian-web-search
 
 - [ ] **整包装齐**：安装/升级文案主推 `bl skill init`；业务 skill **不**声明 `companions`
 - [ ] **协议读取**：CRITICAL / references 可链 `../bailian-protocol/…`；若读不到 → 停止执行 `bl`，提示 `bl skill init`
+- [ ] **高风险确认**：统一由 `bailian-protocol` 定义；reference / leaf help 以 `risk: high` 明示风险，业务 skill 不得引导 Agent 自动补 `--yes`。遇到 exit code 7 / `requires_confirmation` 时停止执行并请求确认；目标或范围变化后重新确认
+- [ ] **正常控制流**：`requires_confirmation` 不是 CLI bug，`assets/issue-reporting.md` 必须将 exit code 7 保持在 EXCLUDE 范围
 - [ ] **软 hand-off**：兄弟业务 skill **只写 skill 名**；已安装则 Read，未安装则 `bl … --help` 或提示整包安装；**不要**把 `../bailian-gen/…` 等写成执行前提
 - [ ] **Hub vs 领域**：`bailian-cli` 的「When to use which command」只列 hub 拥有的意图；媒体 / 精调 / managed-agent 各留 hand-off 行，**不抄**领域默认模型与子命令明细
 - [ ] **渐进披露**：SKILL 写意图路由与领域硬规则；flags / usage / examples 以 `reference/` 或 `bl <command> --help` 为准，表后保留「勿猜 flag」指向句
@@ -55,6 +57,7 @@ bailian-gen bailian-finetune bailian-managed-agent bailian-web-search
 
 - [ ] 新一级命令组归属领域时：改 `tools/generate-reference.ts` 的 `GROUP_OWNER_SKILL`，并更新**拥有方** skill 的路由表；hub 最多加一行 hand-off
 - [ ] 跑 `pnpm run sync:skill-assets`（或 commit 走 pre-commit），提交生成的 `reference/` 与 version 同步结果
+- [ ] 高风险命令生成的 reference 必须包含 `Risk` / `Risk message` 和简短 Agent safety 提示；带 `--yes` 的示例必须标注只能在确认后执行，不要手改生成物
 - [ ] 默认模型若写在领域路由表（如 `bailian-gen`）：与命令 default / [model-add-remove.md](model-add-remove.md) 一并核对
 
 ## 完成后自查

docs/agents/telemetry-change.md

@@ -17,11 +17,12 @@
  │ ├─ ~/.bailian/telemetry.jsonl
  │ └─ AEM(pid=bailian-cli-node, event name=命令路径)
  │
- └─ authStage
- ├─ apiKey → DashScope / 模型域
- ├─ console → Bailian Console Gateway
- ├─ openapi → 阿里云 OpenAPI
- └─ none → 无凭证域；本地命令也仍有 AEM 命令事件
+ └─ confirmationStage
+ └─ versionCheckStage → authStage
+ ├─ apiKey → DashScope / 模型域
+ ├─ console → Bailian Console Gateway
+ ├─ openapi → 阿里云 OpenAPI
+ └─ none → 无凭证域；本地命令也仍有 AEM 命令事件
 ```
 
 ### 1. 三套鉴权与埋点标识
@@ -77,7 +78,7 @@ source-config 只用于百炼 / DashScope API 侧消费，不发送到通用网
 
 ### 3. 全命令 AEM 客户端埋点
 
-`packages/runtime/src/middleware.ts` 的 `telemetryStage` 包裹 `authStage` 与命令执行，因此成功、业务失败、网络失败和鉴权失败都会形成一次命令事件。事件名是空格连接的命令路径，例如 `text chat`。
+`packages/runtime/src/middleware.ts` 的 `telemetryStage` 包裹确认闸门、`authStage` 与命令执行，因此成功、确认未通过、业务失败、网络失败和鉴权失败都会形成一次命令事件。事件名是空格连接的命令路径，例如 `text chat`。确认闸门仍位于版本检查、鉴权和业务执行之前，不会因为埋点而放行高风险操作。
 
 以下情况不会形成命令事件，因为没有进入 middleware 的 `run`：
 
@@ -92,7 +93,7 @@ source-config 只用于百炼 / DashScope API 侧消费，不发送到通用网
 - `command`、`timestamp`、`durationMs`、`success`
 - `cliVersion`、`nodeVersion`、`os`
 - `authMethod`
-- 失败时的 `errorMessage`、`httpStatus`、`requestId`
+- 失败时的 `errorMessage`、`exitCode`、`httpStatus`、`requestId`
 - 安全 allowlist 过滤后的 `params`
 
 参数默认不上传，只有 `packages/core/src/telemetry/tracker.ts` 的 `PARAM_ALLOWLIST` 中字段会进入事件。不得加入 prompt、凭证、文件路径、URL、账号/租户/工作空间 ID 或其他用户内容。
@@ -108,16 +109,16 @@ source-config 只用于百炼 / DashScope API 侧消费，不发送到通用网
 
 AEM 映射：
 
-| AEM 字段 | 内容 |
-| ---------- | ----------------------------------------- |
-| event name | 命令路径 |
-| `et` | `EXP` |
-| `ext` | 除 `command`、`params` 外的结构化事件字段 |
-| `c1` | allowlist 参数 |
-| `c2` | `success` / `failure` |
-| `c3` | HTTP status |
-| `c4` | 错误文案，最多 500 字符 |
-| `c5` | request ID |
+| AEM 字段 | 内容 |
+| ---------- | ------------------------------------------------------------------ |
+| event name | 命令路径 |
+| `et` | `EXP` |
+| `ext` | 除 `command`、`params` 外的结构化事件字段，包含失败时的 `exitCode` |
+| `c1` | allowlist 参数 |
+| `c2` | `success` / `failure` |
+| `c3` | HTTP status |
+| `c4` | 错误文案，最多 500 字符 |
+| `c5` | request ID |
 
 远端发送是 best-effort，不得阻塞命令或改变退出码。正常退出最多等待 1 秒，SIGINT 最多等待 500 ms。
 
@@ -144,6 +145,7 @@ AEM 映射：
 - [ ] 更新 `TrackingEvent`、`createTrackingEvent()` 与 `buildRemoteAemOptions()` 的字段映射
 - [ ] 本地 JSONL 与远端 AEM 必须基于同一结构化事件，不能维护两套字段口径
 - [ ] 成功与失败均覆盖；遥测异常必须静默且不改变业务退出码
+- [ ] runtime 本地语义错误应记录 `exitCode`；新增字段默认随 AEM `ext` 上报，无需占用新的 `c1`—`c5`
 - [ ] 检查 `DO_NOT_TRACK=1` 与 `telemetry: false` 两个关闭入口
 - [ ] 错误字段不得额外拼接 token、请求体、prompt 或本地路径
 

docs/knowledge/chunk.md

@@ -213,7 +213,7 @@ bl knowledge chunk delete --index-id <id> --chunk-id <id> [flags]
 | ----------------- | ------ | ---- | ------------------------------------------------ |
 | `--index-id <id>` | string | 是 | 知识库 ID |
 | `--chunk-id <id>` | array | 是 | Chunk ID（可重复，每批最多 10 个，超出自动分批） |
-| `--yes` | switch | 否 | 跳过确认提示  |
+| `--yes` | switch | 否 | 显式确认执行高风险操作 |
 
 **输出**
 

docs/knowledge/collection-category.md

@@ -232,10 +232,10 @@ bl knowledge category delete --category-id <id> [flags]
 
 **参数**
 
-| 参数 | 类型 | 必填 | 说明 |
-| -------------------- | ------ | ---- | ------------ |
-| `--category-id <id>` | string | 是 | 分类 ID |
-| `--yes` | switch | 否 | 跳过确认提示 |
+| 参数 | 类型 | 必填 | 说明 |
+| -------------------- | ------ | ---- | ---------------------- |
+| `--category-id <id>` | string | 是 | 分类 ID |
+| `--yes` | switch | 否 | 显式确认执行高风险操作 |
 
 **输出**
 

docs/knowledge/doc.md

@@ -190,11 +190,11 @@ bl knowledge doc delete --index-id <id> --doc-id <id> [flags]
 
 **参数**
 
-| 参数 | 类型 | 必填 | 说明 |
-| ----------------- | ------ | ---- | ----------------- |
-| `--index-id <id>` | string | 是 | 知识库 ID |
-| `--doc-id <id>` | array | 是 | 文档 ID（可重复） |
-| `--yes` | switch | 否 | 跳过确认提示  |
+| 参数 | 类型 | 必填 | 说明 |
+| ----------------- | ------ | ---- | ------------------ |
+| `--index-id <id>` | string | 是 | 知识库 ID |
+| `--doc-id <id>` | array | 是 | 文档 ID（可重复） |
+| `--yes` | switch | 否 | 显式确认高风险操作 |
 
 **输出**
 
@@ -223,7 +223,7 @@ json 模式：返回 API 原始响应，`data.deleted[]` 为实际删除的 ID 
 # 删除单个文档
 bl knowledge doc delete --index-id idx-xxx --doc-id doc-xxx --workspace-id ws-xxx
 
-# 批量删除，跳过确认
+# 用户明确确认后批量删除
 bl knowledge doc delete --index-id idx-xxx --doc-id doc-a --doc-id doc-b --yes
 ```
 

docs/knowledge/file.md

@@ -120,10 +120,10 @@ bl knowledge file delete --file-id <id> [flags]
 
 **参数**
 
-| 参数 | 类型 | 必填 | 说明 |
-| ---------------- | ------ | ---- | --------------- |
-| `--file-id <id>` | string | 是 | 数据中心文件 ID |
-| `--yes` | switch | 否 | 跳过确认提示  |
+| 参数 | 类型 | 必填 | 说明 |
+| ---------------- | ------ | ---- | ---------------------- |
+| `--file-id <id>` | string | 是 | 数据中心文件 ID |
+| `--yes` | switch | 否 | 显式确认执行高风险操作 |
 
 **输出**
 

docs/knowledge/kb.md

@@ -254,10 +254,10 @@ bl knowledge delete --index-id <id> [flags]
 
 **参数**
 
-| 参数 | 类型 | 必填 | 说明 |
-| ----------------- | ------ | ---- | ------------ |
-| `--index-id <id>` | string | 是 | 知识库 ID |
-| `--yes` | switch | 否 | 跳过确认提示 |
+| 参数 | 类型 | 必填 | 说明 |
+| ----------------- | ------ | ---- | ---------------------- |
+| `--index-id <id>` | string | 是 | 知识库 ID |
+| `--yes` | switch | 否 | 显式确认执行高风险操作 |
 
 **输出**
 
@@ -275,7 +275,7 @@ json 模式：返回 API 原始响应。
 
 - **不可逆操作**：知识库及所有索引内容被永久删除。
 - 数据中心中的源文件不受影响，仅删除知识库索引。
-- 不带 `--yes` 时，CLI 会先查询知识库名称和文档数量作为确认摘要。
+- 不带 `--yes` 时，runtime 会在调用知识库业务 API、执行删除前返回确认请求。
 
 **示例**
 

docs/knowledge/knowledge-cli-guide.md

@@ -135,7 +135,7 @@
 
 ### 危险操作确认
 
-涉及删除的命令（`kb delete`、`doc delete`、`chunk delete`、`file delete`、`category delete`、`service delete`、`service deploy`）在执行前会弹出二次确认提示。使用 `--yes` 可跳过确认，适用于自动化脚本。
+涉及删除的命令（`kb delete`、`doc delete`、`chunk delete`、`file delete`、`category delete`、`service delete`、`service deploy`）属于高风险操作。未带 `--yes` 时 CLI 不会执行，也不会弹出交互式 Y/N，而是返回 exit code 7 和 `requires_confirmation`；确认后在原命令中添加 `--yes` 重新执行。
 
 ### Dry-run 模式
 

docs/knowledge/service.md

@@ -270,11 +270,11 @@ bl knowledge service deploy --agent-id <id> [flags]
 
 **参数**
 
-| 参数 | 类型 | 必填 | 说明 |
-| ----------------------- | ------ | ---- | ---------------- |
-| `--agent-id <id>` | string | 是 | 服务（agent）ID |
-| `--version-desc <text>` | string | 否 | 新版本的描述说明 |
-| `--yes` | switch | 否 | 跳过确认提示  |
+| 参数 | 类型 | 必填 | 说明 |
+| ----------------------- | ------ | ---- | ---------------------- |
+| `--agent-id <id>` | string | 是 | 服务（agent）ID |
+| `--version-desc <text>` | string | 否 | 新版本的描述说明 |
+| `--yes` | switch | 否 | 显式确认执行高风险操作 |
 
 **输出**
 
@@ -319,10 +319,10 @@ bl knowledge service delete --agent-id <id> [flags]
 
 **参数**
 
-| 参数 | 类型 | 必填 | 说明 |
-| ----------------- | ------ | ---- | --------------- |
-| `--agent-id <id>` | string | 是 | 服务（agent）ID |
-| `--yes` | switch | 否 | 跳过确认提示  |
+| 参数 | 类型 | 必填 | 说明 |
+| ----------------- | ------ | ---- | ---------------------- |
+| `--agent-id <id>` | string | 是 | 服务（agent）ID |
+| `--yes` | switch | 否 | 显式确认执行高风险操作 |
 
 **输出**
 

docs/kscli/chunk.md

@@ -213,7 +213,7 @@ kscli chunk delete --index-id <id> --chunk-id <id> [flags]
 | ----------------- | ------ | ---- | ------------------------------------------------ |
 | `--index-id <id>` | string | 是 | 知识库 ID |
 | `--chunk-id <id>` | array | 是 | Chunk ID（可重复，每批最多 10 个，超出自动分批） |
-| `--yes` | switch | 否 | 跳过确认提示  |
+| `--yes` | switch | 否 | 显式确认执行高风险操作 |
 
 **输出**
 

docs/kscli/collection-category.md

@@ -232,10 +232,10 @@ kscli category delete --category-id <id> [flags]
 
 **参数**
 
-| 参数 | 类型 | 必填 | 说明 |
-| -------------------- | ------ | ---- | ------------ |
-| `--category-id <id>` | string | 是 | 分类 ID |
-| `--yes` | switch | 否 | 跳过确认提示 |
+| 参数 | 类型 | 必填 | 说明 |
+| -------------------- | ------ | ---- | ---------------------- |
+| `--category-id <id>` | string | 是 | 分类 ID |
+| `--yes` | switch | 否 | 显式确认执行高风险操作 |
 
 **输出**
 

docs/kscli/doc.md

@@ -190,11 +190,11 @@ kscli doc delete --index-id <id> --doc-id <id> [flags]
 
 **参数**
 
-| 参数 | 类型 | 必填 | 说明 |
-| ----------------- | ------ | ---- | ----------------- |
-| `--index-id <id>` | string | 是 | 知识库 ID |
-| `--doc-id <id>` | array | 是 | 文档 ID（可重复） |
-| `--yes` | switch | 否 | 跳过确认提示  |
+| 参数 | 类型 | 必填 | 说明 |
+| ----------------- | ------ | ---- | ------------------ |
+| `--index-id <id>` | string | 是 | 知识库 ID |
+| `--doc-id <id>` | array | 是 | 文档 ID（可重复） |
+| `--yes` | switch | 否 | 显式确认高风险操作 |
 
 **输出**
 
@@ -223,7 +223,7 @@ json 模式：返回 API 原始响应，`data.deleted[]` 为实际删除的 ID 
 # 删除单个文档
 kscli doc delete --index-id idx-xxx --doc-id doc-xxx --workspace-id ws-xxx
 
-# 批量删除，跳过确认
+# 用户明确确认后批量删除
 kscli doc delete --index-id idx-xxx --doc-id doc-a --doc-id doc-b --yes
 ```
 

docs/kscli/file.md

@@ -120,10 +120,10 @@ kscli file delete --file-id <id> [flags]
 
 **参数**
 
-| 参数 | 类型 | 必填 | 说明 |
-| ---------------- | ------ | ---- | --------------- |
-| `--file-id <id>` | string | 是 | 数据中心文件 ID |
-| `--yes` | switch | 否 | 跳过确认提示  |
+| 参数 | 类型 | 必填 | 说明 |
+| ---------------- | ------ | ---- | ---------------------- |
+| `--file-id <id>` | string | 是 | 数据中心文件 ID |
+| `--yes` | switch | 否 | 显式确认执行高风险操作 |
 
 **输出**
 

docs/kscli/kb.md

@@ -254,10 +254,10 @@ kscli kb delete --index-id <id> [flags]
 
 **参数**
 
-| 参数 | 类型 | 必填 | 说明 |
-| ----------------- | ------ | ---- | ------------ |
-| `--index-id <id>` | string | 是 | 知识库 ID |
-| `--yes` | switch | 否 | 跳过确认提示 |
+| 参数 | 类型 | 必填 | 说明 |
+| ----------------- | ------ | ---- | ---------------------- |
+| `--index-id <id>` | string | 是 | 知识库 ID |
+| `--yes` | switch | 否 | 显式确认执行高风险操作 |
 
 **输出**
 
@@ -275,7 +275,7 @@ json 模式：返回 API 原始响应。
 
 - **不可逆操作**：知识库及所有索引内容被永久删除。
 - 数据中心中的源文件不受影响，仅删除知识库索引。
-- 不带 `--yes` 时，CLI 会先查询知识库名称和文档数量作为确认摘要。
+- 不带 `--yes` 时，runtime 会在调用知识库业务 API、执行删除前返回确认请求。
 
 **示例**
 

docs/kscli/kscli-cli-guide.md

@@ -152,7 +152,7 @@ kscli --help
 
 ### 危险操作确认
 
-涉及删除的命令（`kb delete`、`doc delete`、`chunk delete`、`file delete`、`category delete`、`service delete`）以及 `service deploy` 在执行前会弹出二次确认提示。使用 `--yes` 可跳过确认，适用于自动化脚本。
+涉及删除的命令（`kb delete`、`doc delete`、`chunk delete`、`file delete`、`category delete`、`service delete`）以及 `service deploy` 属于高风险操作。未带 `--yes` 时 CLI 不会执行，也不会弹出交互式 Y/N，而是返回 exit code 7 和 `requires_confirmation`；确认后在原命令中添加 `--yes` 重新执行。
 
 ### Dry-run 模式