✨ feat(vscode): 工单移交的会话包改走阿里云 OSS、换 xz 压缩，两边进度一步步显示

- 会话包传到 OSS 的 spx-handoff/<owner>/<repo>/issue-<N>-<时间>.tar.xz，上传时对象设成私有；不再挂 Gitea 工单附件
- 新命令「配置移交存储」：endpoint、bucket 存扩展设置，AccessKey 存密钥存储；没配时移交 / 接管直接提示，什么都不改
- 共享 state 字段 handoffAttachmentId 改名 handoffBundleKey（含 spx CLI 与 schema）
- 打包换成 xz 1 级（tar -cJf），去掉 100MB 上限检查和先试压一遍的重复压缩
- 发送方提示打包 / 上传了多少 MB；接管方同一条提示依次显示下载、解包、建 worktree、装会话，完成前不消失
- 会话交接（单会话）仍走 Gitea 附件，Gitea 附件白名单没有 .xz，单独保留 gzip 打包

docs/superpowers/specs/issue-handoff/spec.md

@@ -8,14 +8,17 @@
 - `claude --resume` 同事的头脑风暴 / 实施 / 测试会话，`codex resume` 审查会话
 - 之后所有既有流程（拖到完成、冲突解决、测试会话、恢复实施会话）照常工作
 
-通道选 **Gitea 工单附件**：会话文件打成 tgz 挂在工单上，移交状态记在共享 state JSON 里。不引入 Tailscale / ssh 之类点对点传输。
+通道选 **阿里云 OSS**：会话文件打成 tar.xz 传到 OSS 存储桶，移交状态记在共享 state JSON 里。不引入 Tailscale / ssh 之类点对点传输。
+
+不经 Gitea 传：Gitea 在内网，外网经阿里云 ECS 用 frp 转发，出口约 3Mbps，实测只有 0.35～0.4MB/s。OSS 北京区实测上传 32MB 4.6 秒、下载 1 秒。
 
 ## 事实前提
 
 - Claude Code ≥ 2.1.223：`claude --resume <id>` 在任意目录可用，会搜本机全部 `~/.claude/projects/*/`；jsonl 内部旧 `cwd` 不存在也能续。**同一 sid 出现在两个 project 目录 → 报 "No conversation found"**。
 - 一个 claude 会话 = `<projectsDir>/<sid>.jsonl` + 可选目录 `<projectsDir>/<sid>/`（`subagents/`、`tool-results/`）。两者必须一起搬。
 - codex 会话 = `~/.codex/sessions/YYYY/MM/DD/rollout-<ISO>-<uuid>.jsonl`，全局目录，与 worktree 无关。
-- Gitea 1.27：附件 `max_size=100MB`，允许 `.tgz`；`POST/GET/DELETE /repos/{owner}/{repo}/issues/{index}/assets[/{id}]`。
+- 会话 jsonl 里的重复内容隔得很远，gzip 只看 32KB 以内的重复，压不动（实例：原始 148MB，gzip 86MB）；xz 1 级 32MB、5.4 秒，解包 1.6 秒。macOS 自带 bsdtar 内建 xz：`tar --options xz:compression-level=1 -cJf` 可用，不用另装软件。
+- 目标存储桶是公共读的（正式服在用），会话包里有代码和对话：每个对象上传时必须带 `x-oss-object-acl: private`。不改存储桶本身的任何配置。
 - 共享 state JSON 由 `vscode/schemas/state-json.schema.json` 约束（`additionalProperties: false`），spx 写入前校验；本机字段走 workspaceState（`issues/localState.ts`）。
 - webhook `issues.assigned` 事件已会让受影响机器重载该工单。
 - 仅 Gitea 工单支持移交；YouTrack 工单不显示相关按钮。
@@ -24,7 +27,8 @@
 
 - **发送方**：当前持有 worktree / 会话的机器（同事）。
 - **接管方**：目标 assignee 的机器（我）。
-- **会话包**：`spx-handoff-issue-<N>.tgz`。
+- **会话包**：tar.xz，OSS 对象 key 为 `spx-handoff/<owner>/<repo>/issue-<N>-<UTC 时间>.tar.xz`（时间形如 `20261008T010203Z`，同一工单多次移交不撞名）。
+- **移交存储**：放会话包的 OSS 存储桶，见下文「移交存储配置」。
 
 ## 会话包格式
 
@@ -62,53 +66,60 @@ codex/YYYY/MM/DD/rollout-*.jsonl   审查会话（存在才有）
 
 | 字段 | 类型 | 说明 |
 |---|---|---|
-| `handoffAttachmentId` | string（minLength 1） | 会话包在 Gitea 的附件 id；存在即「待接管」 |
+| `handoffBundleKey` | string（minLength 1） | 会话包在 OSS 上的对象 key；存在即「待接管」 |
 | `handoffFrom` | string（minLength 1） | 发送方 login |
 
 两个字段均为共享字段（不进 `LOCAL_STATE_FIELDS`），清除沿用 `''` 墓碑约定。四处字段清单同步：`schemas/state-json.schema.json`、`gitea/stateJson.ts` 与 `youtrack/stateComment.ts` 的 `KNOWN_STATE_FIELDS`、`cli/cmd/spx/main.go` 的 `knownStateFields`；`cli` 走 `make install` 重装（schema 由 Makefile `sync-schema` 拷贝）。
 
-`Issue` 类型（`gitea/types.ts` 与 `webview-ui/src/types.ts` 镜像）新增 `handoffAttachmentId?`、`handoffFrom?`、`assignees: string[]`。`issueLoader.ts` 解析并透出这三个字段。`issues/update` 消息新增 `me?: string`（当前 Gitea login，token 无效时缺省）。
+`Issue` 类型（`gitea/types.ts` 与 `webview-ui/src/types.ts` 镜像）新增 `handoffBundleKey?`、`handoffFrom?`、`assignees: string[]`。`issueLoader.ts` 解析并透出这三个字段。`issues/update` 消息新增 `me?: string`（当前 Gitea login，token 无效时缺省）。
+
+## 移交存储配置
+
+命令「Superpowers: 配置移交存储」（`superpowers.configureHandoffStore`）依次弹四个输入框：endpoint（如 `oss-cn-beijing.aliyuncs.com`）、bucket、AccessKey ID、AccessKey Secret（密码框）。框里预填已有值；四项都填完才保存，中途 Esc 什么都不改。endpoint、bucket 存扩展设置（`settings/store.ts` 的 `handoffOssEndpoint` / `handoffOssBucket`），两个 AccessKey 存 VS Code SecretStorage（`auth/secrets.ts`），整台机器共用一份。
+
+四项缺一项就算没配置：移交、接管、同意移交申请都直接 toast 提示去跑这个命令，什么都不改（同意申请时也不把它记成申请失败的原因）。
 
 ## 发送方：移交
 
-入口：工单 tab 头部「移交」按钮。显示条件：`source !== 'youtrack'` 且 `column !== 'done'` 且无 `handoffAttachmentId`。
+入口：工单 tab 头部「移交」按钮。显示条件：`source !== 'youtrack'` 且 `column !== 'done'` 且无 `handoffBundleKey`。
 
 点击弹 webview 内 `HandoffModal`：请求 `handoff/users`，扩展用 `GET /repos/{owner}/{repo}/assignees` 返回候选（排除我），单选后提交 `handoff/start { issueNumber, to }`。无需再弹原生确认框。
 
 扩展端 `handleHandoffStart(panel, issueNumber, to)` 顺序：
 
-1. 前置：workspaceRoot / `detectRepo` / token / `loginForToken` 得 `me`。读 `readIssueState`，取本机字段（四个 sid、三个 profile、`worktreePath`）与共享 `branch`。
+1. 前置：移交存储已配置；workspaceRoot / `detectRepo` / token / `loginForToken` 得 `me`。读 `readIssueState`，取本机字段（四个 sid、三个 profile、`worktreePath`）与共享 `branch`。
 2. **worktree 守卫**（有 `worktreePath` 且目录存在时）：`git status --porcelain` 必须为空；`git fetch origin <branch>` 后 `HEAD` 必须等于 `origin/<branch>`。否则 toast「有未提交/未推送改动」并终止，什么都不改。
-3. **会话大小**（关终端之前）：统计将打进包的 jsonl、会话目录和 codex rollout。原始总字节不超过 Gitea 附件上限 100MB 则通过。超过则先压缩，压缩产出一旦超过 100MB 就停，toast 写明哪个会话多大，不关终端、不上传、不改指派。正式打包再卡一次同一上限；那次失败发生在关终端之后，按打包失败处理。
-4. 关闭该工单全部终端（`terminalOrigin` 同 issueNumber + 名称匹配 `issue-N-冲突解决`），等 600ms 让 jsonl 刷盘。
-5. 在 scratch 临时目录收集会话包：同一卷上用硬链接收文件，跨卷才复制。每个 sid 在 `~/.claude/projects/*/` 里找 `<sid>.jsonl`（多份取最新 mtime），连同 `<sid>/` 一起拷入 `claude/`（跳过 `subagents/`，子代理对话不移交）；`reviewSessionId` 在 `~/.codex/sessions` 里按文件名尾部 uuid 找到 rollout 拷入 `codex/<relPath>`。找不到的会话不进清单，只 log。写 `handoff.json`，`tar -czf`。
-6. 若工单已有同名旧附件（重复移交）先删。`POST …/assets?name=spx-handoff-issue-N.tgz` 上传。
-7. `mergeIssueState(issueNumber, { handoffAttachmentId, handoffFrom: me })`。
-8. `updateIssueAssignees(… [to])`。
-9. 本机清理（失败只 warn，不回滚——远端移交已生效）：`pre-remove` 钩子 → `killProcessesUsingWorktree` → `removeWorktreeDir`；`cleanupFeatureBranch` **不传 remote/token**（只删本地分支，远端分支必须保留给接管方）；本机字段全部写 `''` 墓碑。发送方磁盘上的会话文件保留。
-10. `issue/patch { handoffAttachmentId, handoffFrom, worktreePath: null, worktreeExists: false, …sid: null }` + 成功 toast。
+3. 关闭该工单全部终端（`terminalOrigin` 同 issueNumber + 名称匹配 `issue-N-冲突解决`），等 600ms 让 jsonl 刷盘。
+4. 在 scratch 临时目录收集会话包：同一卷上用硬链接收文件，跨卷才复制。每个 sid 在 `~/.claude/projects/*/` 里找 `<sid>.jsonl`（多份取最新 mtime），连同 `<sid>/` 一起拷入 `claude/`（跳过 `subagents/`，子代理对话不移交）；`reviewSessionId` 在 `~/.codex/sessions` 里按文件名尾部 uuid 找到 rollout 拷入 `codex/<relPath>`。找不到的会话不进清单，只 log。写 `handoff.json`，`tar --options xz:compression-level=1 -cJf`。
+5. 用阿里云官方 SDK `ali-oss` 的分片上传传到 OSS，带 `x-oss-object-acl: private`；中途失败把已传的分片清掉（abort）。
+6. `mergeIssueState(issueNumber, { handoffBundleKey, handoffFrom: me })`。
+7. `updateIssueAssignees(… [to])`。
+8. 本机清理（失败只 warn，不回滚——远端移交已生效）：`pre-remove` 钩子 → `killProcessesUsingWorktree` → `removeWorktreeDir`；`cleanupFeatureBranch` **不传 remote/token**（只删本地分支，远端分支必须保留给接管方）；本机字段全部写 `''` 墓碑。发送方磁盘上的会话文件保留。
+9. `issue/patch { handoffBundleKey, handoffFrom, worktreePath: null, worktreeExists: false, …sid: null }` + 成功 toast。
 
-进度 toast 从核对分支开始，同一条提示随步骤改文案（核对分支、检查会话大小、压缩检查、关闭终端、收集会话、打包、上传、写入状态、指派、清理本机）。移交结束前不自动消失。
+进度 toast 从核对分支开始，同一条提示随步骤改文案（核对分支、关闭终端、收集会话、`打包 x MB`、`上传 x MB / y MB`、写入状态、指派、清理本机）。打包时按包文件已写出的大小报，上传时每传完一片报一次。移交结束前不自动消失。
 
 审查列里，负责人不是自己、也没有待接管包的 Gitea 工单，工单详情标题栏可以「申请移交」。同一张工单同时只有一条申请。同事收到提示，打开工单详情可以同意或拒绝。同意走上面的移交，对象就是申请人；申请人仍自己点接管。拒绝后申请消失，申请人看到被拒绝。申请人可以在回应前取消。同意后若移交失败，申请留着，两边都看到原因，修好可以再点同意。工单离开审查列时清掉未处理的申请。共享字段 `handoffRequestFrom` / `handoffRequestError`（拒绝时 error 为 `rejected`）。
 
-回滚：大小检查失败 → 什么都不改；打包/上传失败 → toast 终止（终端已关，无其他改动）；写状态失败 → 删附件；指派失败 → 清回两个共享字段、删附件。结束 `toast/dismiss`。
+回滚：打包/上传失败 → toast 终止（终端已关，无其他改动）；写状态失败 → 删 OSS 对象；指派失败 → 清回两个共享字段、删 OSS 对象。结束 `toast/dismiss`。
 
 ## 接管方：接管
 
-入口：工单 tab 头部「接管」按钮 + 看板卡片「待接管」角标。显示条件：`handoffAttachmentId` 存在且 `assignees` 含 `me`。
+入口：工单 tab 头部「接管」按钮 + 看板卡片「待接管」角标。显示条件：`handoffBundleKey` 存在且 `assignees` 含 `me`。
 
 扩展端 `handleHandoffAccept(panel, issueNumber)` 顺序：
 
-1. 前置同上。读共享 state 取 `handoffAttachmentId`、`branch`、`pr`。
-2. `GET …/assets/{id}` 取 `browser_download_url`，带 `Authorization: token` 下载到 scratch 临时目录，`tar -xzf`，解析并校验 `handoff.json`（`version === 1`、`issue === issueNumber`）。
-3. **重建 worktree**（`manifest.branch ?? state.branch` 存在时）：`ensureWorktreeFromRemote({ workspaceRoot, worktreePath, branch })`——`git fetch origin <branch>`；该分支已有 live worktree → 直接用；模板路径被垃圾目录占着 → kill + 删；`git worktree add -B <branch> <path> origin/<branch>`。模板路径用设置 `worktreeDirectory`，slug = `branch` 去掉 `feature/` 前缀。之后跑 `post-create` 钩子。分支不存在于远端 → toast 终止（附件保留，可重试）。
+1. 前置同上。读共享 state 取 `handoffBundleKey`、`branch`、`pr`。
+2. 从 OSS 边下边写到 scratch 临时目录（文件名固定，不拿 key 拼本机路径；连续 60 秒收不到数据就放弃），`tar -xJf`，解析并校验 `handoff.json`（`version === 1`、`issue === issueNumber`）。
+3. **重建 worktree**（`manifest.branch ?? state.branch` 存在时）：`ensureWorktreeFromRemote({ workspaceRoot, worktreePath, branch })`——`git fetch origin <branch>`；该分支已有 live worktree → 直接用；模板路径被垃圾目录占着 → kill + 删；`git worktree add -B <branch> <path> origin/<branch>`。模板路径用设置 `worktreeDirectory`，slug = `branch` 去掉 `feature/` 前缀。之后跑 `post-create` 钩子。分支不存在于远端 → toast 终止（会话包保留，可重试）。
 4. **安装会话**：`brainstorm` 会话装到 `projectsDirFor(workspaceRoot)`，`implement` / `test` 装到 `projectsDirFor(worktreeAbs)`（无 worktree 时也装到 workspaceRoot）。安装前先删本机所有 `~/.claude/projects/*/<sid>.jsonl` 与 `<sid>/`（避免重复 sid），再拷 jsonl + 目录。codex 文件按 `relPath` 拷到 `~/.codex/sessions/` 下。
 5. 写本机字段：清单里的四个 sid、三个 profile 路径、`worktreePath`。
-6. `mergeIssueState(issueNumber, { handoffAttachmentId: '', handoffFrom: '' })`；`DELETE …/assets/{id}`（失败只 warn）。
+6. `mergeIssueState(issueNumber, { handoffBundleKey: '', handoffFrom: '' })`；删 OSS 对象（失败只 warn）。
 7. `issue/patch`（sid、worktreePath、worktreeExists、两个 handoff 字段置 null）+ 成功 toast。
 
-幂等：3、4 可重复执行；6 之前失败附件仍在，按钮仍显示，用户可重试。
+进度 toast 和发送方一样，同一条提示依次显示 核对指派、`下载 x MB / y MB`、解包、建 worktree、装会话、写入状态，完成前不自动消失，结束时收掉。
+
+幂等：3、4 可重复执行；6 之前失败会话包仍在，按钮仍显示，用户可重试。
 
 ## 附带修正
 
@@ -119,25 +130,26 @@ codex/YYYY/MM/DD/rollout-*.jsonl   审查会话（存在才有）
 | 模块 | 职责 | 测试 |
 |---|---|---|
 | `cc/sessionBundle.ts` | 纯 fs：`findClaudeSessionFiles(sid, projectsRoot)`、`installClaudeSession(sid, srcDir, dstProjectsDir, projectsRoot)`（先删本机所有副本再拷）、`codexRolloutPathFor(sid, codexRoot)`、`installCodexSession(relPath, srcFile, codexRoot)` | 临时目录 vitest |
-| `cc/handoffManifest.ts` | 清单类型、`buildHandoffManifest(...)`、`parseHandoffManifest(json)` | 纯函数 vitest |
-| `cc/handoffArchive.ts` | `packHandoff(stagingDir, outFile)` / `unpackHandoff(file, dstDir)`，`execFile('tar')` | 真 tar 往返 vitest |
+| `cc/handoffManifest.ts` | 清单类型、`buildHandoffManifest(...)`、`parseHandoffManifest(json)`、OSS 对象 key `handoffBundleKey(...)` | 纯函数 vitest |
+| `cc/handoffArchive.ts` | `packHandoff(stagingDir, outFile, { onProgress })` / `unpackHandoff(file, dstDir)`，xz 1 级；另有会话交接（单会话，仍走 Gitea 附件，白名单没有 .xz）用的 gzip 版 `packSessionHandoff` / `unpackSessionHandoff` | 真 tar 往返 vitest |
 | `git/worktreePath.ts` | 从 `panel/handlers/sessions.ts` 抽出 `resolveWorktreeDir`、`deriveSlug`，新增 `slugFromBranch` | 纯函数 vitest |
 | `git/worktree.ts` | 导出 `runGit`、`findLiveWorktreeForBranch`；新增 `ensureWorktreeFromRemote` | `test/git/` mock child_process |
-| `gitea/api.ts` | `listRepoAssignees`、`listIssueAttachments`、`uploadIssueAttachment`（FormData + Blob）、`getIssueAttachment`、`downloadAttachment`（arrayBuffer，不吞错）、`deleteIssueAttachment` | — |
-| `panel/handlers/handoff.ts` | 纯决策：`canStartHandoff(issue)`、`canAcceptHandoff(issue, me)`、`handoffStateExtra` / `handoffUiPatch` 两套 payload、`worktreePushedCheck` 结果判定 | vitest |
+| `gitea/api.ts` | `listRepoAssignees` | — |
+| `oss/handoffStore.ts` | 纯 Node：`uploadHandoffBundle`（分片上传、私有权限、进度）、`downloadHandoffBundle`（流式写文件、进度、空闲超时）、`deleteHandoffBundle` | 真机往返脚本（不进仓库） |
+| `oss/handoffStoreSetup.ts` | `readHandoffStore(ctx)`、「配置移交存储」命令 | — |
+| `panel/handlers/handoff.ts` | 纯决策：`canStartHandoff(issue)`、`canAcceptHandoff(issue, me)`、`handoffStateExtra` / `handoffUiPatch` 两套 payload、`worktreePushedCheck` 结果判定、`transferProgressText` 进度文案 | vitest |
 | `panel/handlers/handoffFlow.ts` | 两个 orchestrator：`handleHandoffStart`、`handleHandoffAccept`、`handleHandoffUsers` | — |
 | webview | `HandoffModal.tsx`、`IssueDetailPanel` 两个按钮、`IssueCard` 角标、`useIssues` 三个 postMessage、`me` 状态 | — |
 
 消息（`src/panel/messages.ts` 与 `webview-ui/src/lib/messages.ts` 镜像）：
 
 - webview → 扩展：`handoff/users { issueNumber }`、`handoff/start { issueNumber, to }`、`handoff/accept { issueNumber }`
-- 扩展 → webview：`handoff/users-result { issueNumber, users: string[] }`；`issues/update` 增 `me`；`issue/patch` 增 `handoffAttachmentId`、`handoffFrom`、四个 sid（可 null）
+- 扩展 → webview：`handoff/users-result { issueNumber, users: string[] }`；`issues/update` 增 `me`；`issue/patch` 增 `handoffBundleKey`、`handoffFrom`、四个 sid（可 null）
 
 ## 验证
 
 - `pnpm test` / `pnpm lint` / `pnpm typecheck`；`cd cli && make test`。
-- 实施第一步先用 curl 验证 `Authorization: token` 能下载 `browser_download_url`（Gitea 私有仓库附件走 web 路由）；不通则改走 `GET /attachments/{uuid}`
-  等价路径，写进 `downloadAttachment`。
+- OSS 真机往返（临时脚本，不进仓库，对象放 `spx-handoff/_selftest/` 下）：上传 → 匿名 `curl` 必须 403 → 下载 → 解包一致 → 删除 → 匿名 `curl` 404、带密钥下载报 NoSuchKey。分片上传（≥100KB）和单次上传（<100KB）两条路都测私有权限。
 - 端到端：本机用两个 VS Code 窗口（不同 Gitea 账号 token）走一遍 移交 → 接管 → 恢复实施会话 → 拖到完成。
 
 ## 不做