feat: 新增实验性微信卡片分享与自动部署能力

补充 Cloudflare Worker、R2 存储、微信 JS-SDK 签名与上传鉴权
增加自动部署 Skill 和配置引导文档
优化报告工具栏、微信卡片弹窗及窄屏响应式布局
补充 Worker 鉴权、卡片生成、过期清理与安全转义测试

docs/skill/setup-wechat-share-card/SKILL.md

@@ -0,0 +1,92 @@
+---
+name: setup-wechat-share-card
+description: 自动配置和部署 TraceMemo 实验性微信分享卡片服务。用户要求启用、部署、修复或迁移微信分享卡片，配置 Cloudflare Worker/R2/Wrangler，设置 UPLOAD_TOKEN、微信测试号 AppID/AppSecret、JS 接口安全域名，或希望由 Codex、Claude Code 等 Agent 代替手工阅读部署文档时使用。
+---
+
+# 部署微信分享卡片
+
+尽量自行发现项目状态并完成部署。只在自动检查后仍缺少必要信息时，一次性询问用户；不要逐项反复确认。
+
+## 安全边界
+
+- 不把真实 AppSecret、`UPLOAD_TOKEN`、Cloudflare Token 或微信验证内容写入 Git。
+- `.env.example` 只保存占位符；真实值写入项目根目录 `.env`，该文件必须被 Git 忽略。
+- 不在最终回答中回显 Secret。日志中只报告“已配置/缺失”。
+- `UPLOAD_TOKEN` 默认自动生成，不要求用户提供。
+- AppID/AppSecret 必须来自用户自己的微信测试号或公众号。无法自动获取时才询问。
+- 部署、创建 R2 和写 Secret 属于用户明确请求本 Skill 后的正常动作；不要提交、推送或创建 PR，除非用户另外明确要求。
+
+## 自动工作流
+
+1. 定位 TraceMemo 仓库根目录。确认存在 `services/share-card-worker/wrangler.jsonc`。
+2. 运行：
+
+   ```bash
+   bash docs/skill/setup-wechat-share-card/scripts/setup.sh doctor
+   ```
+
+3. 检查根目录 `.env`。脚本会自动复用已有配置并生成缺失的 `WECHAT_SHARE_UPLOAD_TOKEN`。
+4. 如果以下值缺失，只向用户发起一次集中询问：
+   - 分享域名，例如 `share.example.com`；
+   - 微信测试号 AppID；
+   - 微信测试号 AppSecret。
+5. 用户不知道从哪里获取时，告诉他打开：
+
+   ```text
+   https://mp.weixin.qq.com/debug/cgi-bin/sandboxinfo?action=showinfo&t=sandbox/index
+   ```
+
+   使用微信扫码登录后，复制页面上的 `appID` 和 `appsecret`。提醒用户把分享域名填入“JS 接口安全域名”，不带 `https://` 和路径。
+6. 将缺失值交给交互脚本，不要把 Secret 放进命令行参数：
+
+   ```bash
+   bash docs/skill/setup-wechat-share-card/scripts/setup.sh configure
+   ```
+
+   该命令通过终端交互收集缺项，AppSecret 使用隐藏输入。
+7. 执行完整部署：
+
+   ```bash
+   bash docs/skill/setup-wechat-share-card/scripts/setup.sh deploy
+   ```
+
+   脚本会依次：
+   - 检查或临时下载 Wrangler；
+   - 启动 Cloudflare OAuth 登录；
+   - 执行 `whoami`；
+   - 生成本地 `wrangler.local.jsonc`；
+   - 创建或复用 R2 Bucket；
+   - 写入三个 Worker Secret；
+   - 部署 Worker；
+   - 检查 `/health` 和微信签名接口。
+8. OAuth 页面出现时，让用户只完成浏览器登录/授权；不要改用 API Token，除非用户主动要求。
+9. 部署后把服务地址告诉用户，并提醒他在 TraceMemo 卡片弹窗粘贴 `.env` 中的 `WECHAT_SHARE_UPLOAD_TOKEN`。优先把 Token 复制到剪贴板，不在聊天中展示：
+
+   ```bash
+   bash docs/skill/setup-wechat-share-card/scripts/setup.sh copy-token
+   ```
+
+10. 如果微信要求 TXT 验证文件，读取 [references/wechat-domain-verification.md](references/wechat-domain-verification.md)，取得用户提供的文件后再修改 Worker。
+
+## 决策规则
+
+- Wrangler 未安装：优先使用项目依赖；否则通过 `pnpm dlx wrangler@latest` 临时下载，不强制全局安装。
+- `whoami` 已登录正确账号：不要重复登录。
+- R2 已存在：继续，不把“已存在”视为失败。
+- 自定义域名有 A/AAAA/CNAME 冲突：报告准确域名并要求用户选择删除冲突记录或换子域名；不要擅自删除 DNS。
+- HTTP 401：重新同步 `.env` 中的 `WECHAT_SHARE_UPLOAD_TOKEN` 到 Worker，再让用户更新 TraceMemo。
+- “微信 JS-SDK 尚未配置”：重新写入 AppID/AppSecret 并部署。
+- 微信返回 AppID/AppSecret 错误：让用户检查是否来自同一个测试号、AppSecret 是否已重置。
+- 缺少 JS 接口安全域名或测试号关注：这是微信后台操作，明确告诉用户要填写什么，不要假装已完成。
+
+## 验证结果
+
+完成前必须确认：
+
+- `wrangler whoami` 成功；
+- Worker 部署成功；
+- `/health` 返回 `storage: ready`；
+- `/api/wx-signature` 返回 `appId`、`timestamp`、`nonceStr`、`signature`；
+- Git 扫描未发现 `.env`、真实 AppSecret、上传密钥或用户域名被暂存。
+
+详细产品和架构说明见：`docs/deployment/experimental-wechat-share-card.md`。

docs/skill/setup-wechat-share-card/agents/openai.yaml

@@ -0,0 +1,4 @@
+interface:
+  display_name: "部署微信分享卡片"
+  short_description: "让 Agent 自动完成微信分享卡片服务的配置与部署"
+  default_prompt: "Use $setup-wechat-share-card to configure and deploy my self-hosted WeChat share-card service with minimal questions."

docs/skill/setup-wechat-share-card/references/wechat-domain-verification.md

@@ -0,0 +1,15 @@
+# 微信域名验证文件
+
+当微信测试号页面要求下载 TXT 文件时：
+
+1. 向用户索取 TXT 文件本身，或文件名与完整内容。
+2. 不把真实验证内容写进公开仓库历史。
+3. 优先在本地私有配置中注入；若当前 Worker 只能通过源码 Map 返回，则先提醒用户该值会进入工作区，确认仓库发布前必须移除或改造成 Secret/变量。
+4. 验证目标必须是：
+
+   ```text
+   https://<分享域名>/<微信提供的文件名>.txt
+   ```
+
+5. 返回内容必须是纯文本且与微信提供内容完全一致，不加空格、HTML 或额外换行。
+6. 完成验证后再配置 JS 接口安全域名。安全域名只填主机名，不带协议或路径。

docs/skill/setup-wechat-share-card/scripts/setup.sh

@@ -0,0 +1,266 @@
+#!/usr/bin/env bash
+set -euo pipefail
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+REPO_ROOT="$(cd "$SCRIPT_DIR/../../../.." && pwd)"
+ENV_FILE="$REPO_ROOT/.env"
+EXAMPLE_FILE="$REPO_ROOT/.env.example"
+WORKER_DIR="$REPO_ROOT/services/share-card-worker"
+BASE_CONFIG="$WORKER_DIR/wrangler.jsonc"
+LOCAL_CONFIG="$WORKER_DIR/wrangler.local.jsonc"
+BUCKET_NAME="wechatexplorer-share-reports"
+
+cd "$REPO_ROOT"
+
+fail() {
+  printf 'ERROR: %s\n' "$*" >&2
+  exit 1
+}
+
+info() {
+  printf '[share-card] %s\n' "$*"
+}
+
+require_project() {
+  [[ -f "$BASE_CONFIG" ]] || fail "请在 TraceMemo 仓库根目录运行此脚本"
+  [[ -f "$EXAMPLE_FILE" ]] || fail "缺少 .env.example"
+}
+
+ensure_env_file() {
+  if [[ ! -f "$ENV_FILE" ]]; then
+    cp "$EXAMPLE_FILE" "$ENV_FILE"
+    chmod 600 "$ENV_FILE"
+    info "已从 .env.example 创建本机 .env"
+  fi
+}
+
+read_env_value() {
+  local key="$1"
+  local line
+  line="$(grep -E "^${key}=" "$ENV_FILE" | tail -n 1 || true)"
+  printf '%s' "${line#*=}"
+}
+
+write_env_value() {
+  local key="$1"
+  local value="$2"
+  local escaped
+  escaped="$(printf '%s' "$value" | sed 's/[\\&|]/\\&/g')"
+  if grep -q -E "^${key}=" "$ENV_FILE"; then
+    sed -i.bak -E "s|^${key}=.*$|${key}=${escaped}|" "$ENV_FILE"
+    command rm "$ENV_FILE.bak"
+  else
+    printf '\n%s=%s\n' "$key" "$value" >> "$ENV_FILE"
+  fi
+  chmod 600 "$ENV_FILE"
+}
+
+normalize_domain() {
+  local value="$1"
+  value="${value#http://}"
+  value="${value#https://}"
+  value="${value%%/*}"
+  printf '%s' "$value"
+}
+
+ensure_upload_token() {
+  local token
+  token="$(read_env_value WECHAT_SHARE_UPLOAD_TOKEN)"
+  if [[ ${#token} -lt 32 ]]; then
+    token="$(openssl rand -hex 32)"
+    write_env_value WECHAT_SHARE_UPLOAD_TOKEN "$token"
+    info "已生成新的 UPLOAD_TOKEN 并安全写入 .env"
+  fi
+}
+
+wrangler() {
+  if [[ -x "$REPO_ROOT/node_modules/.bin/wrangler" ]]; then
+    "$REPO_ROOT/node_modules/.bin/wrangler" "$@"
+  elif command -v pnpm >/dev/null 2>&1; then
+    pnpm dlx wrangler@latest "$@"
+  elif command -v npx >/dev/null 2>&1; then
+    npx --yes wrangler@latest "$@"
+  else
+    fail "需要 Node.js 以及 pnpm 或 npm 才能运行 Wrangler"
+  fi
+}
+
+ensure_wrangler_login() {
+  if wrangler whoami >/dev/null 2>&1; then
+    wrangler whoami
+    return
+  fi
+  info "即将打开 Cloudflare OAuth 登录，请在浏览器中完成授权"
+  wrangler login
+  wrangler whoami
+}
+
+validate_required_config() {
+  local domain app_id app_secret token
+  domain="$(normalize_domain "$(read_env_value WECHAT_SHARE_DOMAIN)")"
+  app_id="$(read_env_value WECHAT_SHARE_APP_ID)"
+  app_secret="$(read_env_value WECHAT_SHARE_APP_SECRET)"
+  token="$(read_env_value WECHAT_SHARE_UPLOAD_TOKEN)"
+  [[ -n "$domain" && "$domain" != "share.example.com" ]] || fail "缺少真实 WECHAT_SHARE_DOMAIN"
+  [[ -n "$app_id" ]] || fail "缺少 WECHAT_SHARE_APP_ID"
+  [[ -n "$app_secret" ]] || fail "缺少 WECHAT_SHARE_APP_SECRET"
+  [[ ${#token} -ge 32 ]] || fail "WECHAT_SHARE_UPLOAD_TOKEN 长度不足"
+}
+
+configure_interactively() {
+  ensure_env_file
+  local domain app_id app_secret
+  domain="$(read_env_value WECHAT_SHARE_DOMAIN)"
+  if [[ -z "$domain" || "$domain" == "share.example.com" ]]; then
+    read -r -p '分享域名（例如 share.example.com，不带 https://）：' domain
+    domain="$(normalize_domain "$domain")"
+    [[ -n "$domain" ]] || fail "分享域名不能为空"
+    write_env_value WECHAT_SHARE_DOMAIN "$domain"
+  fi
+
+  app_id="$(read_env_value WECHAT_SHARE_APP_ID)"
+  if [[ -z "$app_id" ]]; then
+    read -r -p '微信测试号 AppID：' app_id
+    [[ -n "$app_id" ]] || fail "AppID 不能为空"
+    write_env_value WECHAT_SHARE_APP_ID "$app_id"
+  fi
+
+  app_secret="$(read_env_value WECHAT_SHARE_APP_SECRET)"
+  if [[ -z "$app_secret" ]]; then
+    read -r -s -p '微信测试号 AppSecret（输入不会显示）：' app_secret
+    printf '\n'
+    [[ -n "$app_secret" ]] || fail "AppSecret 不能为空"
+    write_env_value WECHAT_SHARE_APP_SECRET "$app_secret"
+  fi
+
+  ensure_upload_token
+  info "本机配置已准备完成"
+}
+
+generate_local_config() {
+  local domain
+  domain="$(normalize_domain "$(read_env_value WECHAT_SHARE_DOMAIN)")"
+  cat > "$LOCAL_CONFIG" <<EOF
+{
+  "\$schema": "node_modules/wrangler/config-schema.json",
+  "name": "wechatexplorer-share-card",
+  "main": "src/index.js",
+  "compatibility_date": "2026-07-23",
+  "routes": [{ "pattern": "$domain", "custom_domain": true }],
+  "r2_buckets": [{ "binding": "REPORTS", "bucket_name": "$BUCKET_NAME" }],
+  "triggers": { "crons": ["17 3 * * *"] },
+  "vars": {
+    "PUBLIC_ORIGIN": "https://$domain",
+    "DEFAULT_EXPIRY_DAYS": "7"
+  }
+}
+EOF
+  info "已生成本机 Worker 配置 services/share-card-worker/wrangler.local.jsonc"
+}
+
+assert_secrets_not_tracked() {
+  git check-ignore -q .env || fail ".env 未被 Git 忽略，请停止部署并检查 .gitignore"
+  if git ls-files --error-unmatch .env >/dev/null 2>&1; then
+    fail ".env 已被 Git 跟踪，请先从索引移除"
+  fi
+  if git diff --cached --name-only | grep -Eq '(^|/)\.env$|wrangler\.local\.jsonc$'; then
+    fail "敏感本机配置已被暂存，请先取消暂存"
+  fi
+}
+
+create_bucket_if_needed() {
+  local output
+  set +e
+  output="$(wrangler r2 bucket create "$BUCKET_NAME" --config "$LOCAL_CONFIG" 2>&1)"
+  local status=$?
+  set -e
+  if [[ $status -eq 0 ]]; then
+    printf '%s\n' "$output"
+  elif printf '%s' "$output" | grep -Eqi 'already exists|already owned|10004'; then
+    info "R2 Bucket 已存在，继续部署"
+  else
+    printf '%s\n' "$output" >&2
+    fail "创建 R2 Bucket 失败"
+  fi
+}
+
+put_secrets() {
+  local upload_token app_id app_secret
+  upload_token="$(read_env_value WECHAT_SHARE_UPLOAD_TOKEN)"
+  app_id="$(read_env_value WECHAT_SHARE_APP_ID)"
+  app_secret="$(read_env_value WECHAT_SHARE_APP_SECRET)"
+  printf '%s' "$upload_token" | wrangler secret put UPLOAD_TOKEN --config "$LOCAL_CONFIG"
+  printf '%s' "$app_id" | wrangler secret put WECHAT_APP_ID --config "$LOCAL_CONFIG"
+  printf '%s' "$app_secret" | wrangler secret put WECHAT_APP_SECRET --config "$LOCAL_CONFIG"
+}
+
+verify_service() {
+  local domain health signature
+  domain="$(normalize_domain "$(read_env_value WECHAT_SHARE_DOMAIN)")"
+  health="$(curl -fsS --retry 5 --retry-delay 2 "https://$domain/health")"
+  printf '%s' "$health" | grep -q '"storage":"ready"' || fail "健康检查未返回 storage: ready"
+  signature="$(curl -fsS --retry 3 --retry-delay 2 "https://$domain/api/wx-signature?url=https%3A%2F%2F${domain}%2Fhealth")"
+  printf '%s' "$signature" | grep -q '"signature"' || fail "微信 JS-SDK 签名检查失败：$signature"
+  info "服务验证成功：https://$domain"
+}
+
+doctor() {
+  require_project
+  ensure_env_file
+  ensure_upload_token
+  assert_secrets_not_tracked
+  info "Node: $(node --version 2>/dev/null || printf '未安装')"
+  info "pnpm: $(pnpm --version 2>/dev/null || printf '未安装')"
+  if wrangler --version >/dev/null 2>&1; then
+    info "Wrangler 可用：$(wrangler --version | tail -n 1)"
+  else
+    fail "Wrangler 无法运行"
+  fi
+  local domain app_id app_secret
+  domain="$(read_env_value WECHAT_SHARE_DOMAIN)"
+  app_id="$(read_env_value WECHAT_SHARE_APP_ID)"
+  app_secret="$(read_env_value WECHAT_SHARE_APP_SECRET)"
+  [[ -n "$domain" && "$domain" != "share.example.com" ]] && info "分享域名：已配置" || info "分享域名：缺失"
+  [[ -n "$app_id" ]] && info "微信 AppID：已配置" || info "微信 AppID：缺失"
+  [[ -n "$app_secret" ]] && info "微信 AppSecret：已配置" || info "微信 AppSecret：缺失"
+  info "UPLOAD_TOKEN：已配置"
+}
+
+deploy() {
+  require_project
+  ensure_env_file
+  ensure_upload_token
+  validate_required_config
+  assert_secrets_not_tracked
+  ensure_wrangler_login
+  generate_local_config
+  create_bucket_if_needed
+  put_secrets
+  wrangler deploy --config "$LOCAL_CONFIG"
+  verify_service
+}
+
+copy_token() {
+  ensure_env_file
+  ensure_upload_token
+  local token
+  token="$(read_env_value WECHAT_SHARE_UPLOAD_TOKEN)"
+  if command -v pbcopy >/dev/null 2>&1; then
+    printf '%s' "$token" | pbcopy
+  elif command -v wl-copy >/dev/null 2>&1; then
+    printf '%s' "$token" | wl-copy
+  elif command -v xclip >/dev/null 2>&1; then
+    printf '%s' "$token" | xclip -selection clipboard
+  else
+    fail "未找到剪贴板工具；请让用户自行从 .env 读取 WECHAT_SHARE_UPLOAD_TOKEN"
+  fi
+  info "UPLOAD_TOKEN 已复制到剪贴板"
+}
+
+case "${1:-doctor}" in
+  doctor) doctor ;;
+  configure) configure_interactively ;;
+  deploy) deploy ;;
+  copy-token) copy_token ;;
+  *) fail "用法：$0 {doctor|configure|deploy|copy-token}" ;;
+esac