发布 v0.4.6：新增 Bot 插件并修复群聊自动收尾

README.md

@@ -1,6 +1,6 @@
 # 夭夭 AI
 
-当前 Web 与 macOS 桌面发布版本：**v0.4.5**。桌面版提供 Apple Silicon（arm64）DMG，详见 [发布说明](docs/releases/v0.4.5.md)。
+当前 Web 与 macOS 桌面发布版本：**v0.4.6**。桌面版提供 Apple Silicon（arm64）DMG，详见 [发布说明](docs/releases/v0.4.6.md)。
 
 夭夭 AI 为网页、iOS 和安卓提供统一的 Agent、群聊、文件库及语音配置服务。Hermes 通过标准 9119 HTTP/WebSocket 接口执行任务。
 
@@ -36,7 +36,7 @@ Web 数据默认保存在 `~/.yaoyao`，可用 `YAOYAO_HOME` 指定（兼容 `HE
 
 ## macOS 桌面版
 
-在 [v0.4.5 发布页](https://github.com/Lsamien/yaoyao/releases/tag/v0.4.5) 下载 `Yaoyao-0.4.5-arm64.dmg`，将“夭夭”拖到应用程序后打开。首次启动会核对并同步配套本机 Web 服务；普通退出保留后台运行，“停止后台服务并退出”可完整停止本应用管理的后台。详细说明见 [macOS App](docs/macos-app.md)。
+在 [v0.4.6 发布页](https://github.com/Lsamien/yaoyao/releases/tag/v0.4.6) 下载 `Yaoyao-0.4.6-arm64.dmg`，将“夭夭”拖到应用程序后打开。首次启动会核对并同步配套本机 Web 服务；普通退出保留后台运行，“停止后台服务并退出”可完整停止本应用管理的后台。详细说明见 [macOS App](docs/macos-app.md)。
 
 此 DMG 使用 Apple Development 开发签名，未做 Apple 公证。
 

THIRD_PARTY_NOTICES.md

@@ -6,3 +6,7 @@ Avatar geometry, face data and animation adapted from OpenMausBot commit 3a84701
 ## LaoA-GrokBot
 
 Avatar silhouette paths and original two-eye expressions from zhulin025/LaoA-GrokBot, commit 527c3b5746bed34da3a6d4f9747e483c84534a41. Copyright (c) 2026 老A玩AI. MIT License: see `licenses/LaoA-GrokBot/LICENSE`. Existing OpenMausBot geometry and animation retain their Apache-2.0 notices.
+
+## OpenMausBot MCP transport
+
+`src/server/botPlugins/stdioMcp.ts` is adapted from OpenMausBot `server/stdio-mcp.ts` at commit 8b9f1dbb (Apache-2.0). The local integration uses per-account configuration, explicit Bot grants, a minimal child-process environment and the Yaoyao client name. See `licenses/OpenMausBot/LICENSE` and `NOTICE`.

docs/macos-app.md

@@ -40,7 +40,7 @@ npm run desktop:build
 npm run desktop:test
 npm run desktop:pack
 codesign --verify --deep --strict desktop-release/mac-arm64/夭夭.app
-hdiutil verify desktop-release/Yaoyao-0.4.5-arm64.dmg
+hdiutil verify desktop-release/Yaoyao-0.4.6-arm64.dmg
 ```
 
 开发 App 的 6 项测试通过：真实内置服务启动、账号与 Runner 连接、关闭窗口保持运行、服务崩溃恢复、外部客户端不误停服务、退出清理、加密配置再次启动、偏好保存及手动重新打开、版本不符拒绝、钥匙串失败保护。另有更新器 14 项定向测试通过，包含 App 禁用源码更新及回退。
@@ -58,4 +58,4 @@ Electron 初始化时设置其钥匙串项目名称（[v43.4.0 源码](https://g
 
 最终实际签名 App 的完整 Runner 导入、加密保存、服务崩溃恢复、窗口关闭保持连接、退出清理和再次打开自动连接均已通过；另有独立的核心服务生命周期测试通过。新加密助手在实际签名 App 中验证所属路径和签名团队。安装包经挂载检查，开发专用助手没有进入分发包。
 
-v0.4.5 同时发布 Web 与 macOS Apple Silicon DMG，见 [发布说明](releases/v0.4.5.md)。正式 App 首次启动按上文同步规则升级较旧的本机 Web；已有更新版本保留。独立预览应指定独立 `HERMES_YAOYAO_HOME` 和 `HERMES_YAOYAO_DESKTOP_PORT`。
+v0.4.6 同时发布 Web 与 macOS Apple Silicon DMG，见 [发布说明](releases/v0.4.6.md)。正式 App 首次启动按上文同步规则升级较旧的本机 Web；已有更新版本保留。独立预览应指定独立 `HERMES_YAOYAO_HOME` 和 `HERMES_YAOYAO_DESKTOP_PORT`。

docs/releases/v0.4.6.md

@@ -0,0 +1,27 @@
+# 夭夭 AI v0.4.6
+
+本次更新 Web 与 macOS Apple Silicon 桌面版，新增 Bot 插件与工具入口，并修复群聊重复确认无法自动收尾的问题。附带的 Android 1.3（162）APK 与上一版本一致。
+
+## 更新内容
+
+- Bot 模式侧栏新增“工具”：插件、自动化、已连接应用；账号菜单提供设置、关于和帮助，帮助链接指向 https://yaoyao.samien.cn 。普通聊天模式保持原有入口。
+- 设置中新增 Composio 应用连接和自定义 MCP 服务。MCP 支持 stdio 与 Streamable HTTP，可测试、启用、停用、编辑、移除并选择授权 Bot；应用连接支持账号别名、逐账号断开和 Bot 授权。
+- 插件凭据按账号加密保存且不回显，工具仅挂载到获准 Bot 的当前执行；插件停用或权限变化后拒绝旧调用。自定义 MCP 由管理员配置和使用，应用连接需配置自己的 Composio API Key。
+- 自动化入口复用现有 Bot 定时任务，支持选择机器人、创建任务、立即执行和查看运行日志。
+- 群聊过滤“收到、感谢、审核通过、等待用户指令”等确认性提及，避免重复派工。管理员协调与自由协作均增加持久化重复分支保护，保留正常复核、新结果和不限轮数协作。
+- 修复后端恢复时的重复派工风险；触发保护时保留原回复，只停止重复分支，其他工作继续完成。
+
+## 下载
+
+- `Yaoyao-0.4.6-arm64.dmg`：macOS Apple Silicon，Apple Development 开发签名，未做 Apple 公证。
+- `Yaoyao-1.3-162-android.apk`：Android 12 及以上，与 v0.4.5 附件一致，不包含新的原生 Android 改动。
+- `Yaoyao-0.4.6-source.tar.gz`：Web 与桌面端源码。
+- `SHA256SUMS.txt`：发布附件的 SHA-256 校验文件。
+
+## 升级与使用
+
+官方发布地址为 https://github.com/Lsamien/yaoyao/releases/tag/v0.4.6 。App 首次启动继续只同步较旧的本机 Web，保留已有更新的独立 Web；数据目录仍为 `~/.yaoyao`。
+
+插件功能仅用于 Bot 模式，不修改普通 Hermes 聊天的工具配置。对应 Bot 执行环境需要支持现有原生工具桥。应用连接的授权流程需要有效的 Composio 项目配置；本次相关第三方流程通过模拟服务验收，没有预置生产密钥。
+
+升级前备份完整数据目录及加密密钥。源码或 Docker 部署更新版本后重新构建并重启服务，保留原数据目录或命名卷。

package-lock.json

@@ -1,12 +1,12 @@
 {
   "name": "yaoyao",
-  "version": "0.4.5",
+  "version": "0.4.6",
   "lockfileVersion": 3,
   "requires": true,
   "packages": {
     "": {
       "name": "yaoyao",
-      "version": "0.4.5",
+      "version": "0.4.6",
       "license": "Apache-2.0",
       "dependencies": {
         "@koa/bodyparser": "^5.0.0",

package.json

@@ -1,6 +1,6 @@
 {
   "name": "yaoyao",
-  "version": "0.4.5",
+  "version": "0.4.6",
   "private": true,
   "license": "Apache-2.0",
   "description": "夭夭 AI：聊天、多 Agent 团队、文件库与电脑工作空间",

release.json

@@ -1,6 +1,6 @@
 {
   "schemaVersion": 1,
-  "releaseVersion": "0.4.5",
-  "webVersion": "0.4.5",
-  "gitTag": "v0.4.5"
+  "releaseVersion": "0.4.6",
+  "webVersion": "0.4.6",
+  "gitTag": "v0.4.6"
 }