Indiana CLI

CLI 暂为私有工作区包，尚未发布 npm。从 Indiana 仓库根目录构建并运行；下面所有命令均使用仓库入口 pnpm --silent grow。

将占位 UUID 替换成你已有组织和 App 的真实 ID。登录前必须明确选择 Org、App 和环境；context use 只保存选择，服务端仍会检查归属、当前成员资格和审批范围。

config init 在当前目录创建 grow.config.json，已有文件不会被覆盖。作用域优先级为显式参数、项目配置、所选 profile；context use 优先写入已有项目配置，否则写入所选 profile。配置可提交，但不要写令牌或 SDK Key。

• CLI 打开系统浏览器，以现有控制台账号登录并确认 OAuth 身份授权。
• 浏览器再显示本设备请求的 App、环境和 project.read。核对设备说明与终端配对码后确认。
• CLI 等待审批通过，随后保存凭据。待审批请求有效期为 10 分钟，管理授权有效期为 30 天；刷新令牌不延长授权期限。

登录采用 Authorization Code + PKCE S256。回调固定为 http://127.0.0.1:43187/callback，只供本机 CLI 接收 OAuth 回调；管理服务和审批页面仍使用线上地址。端口占用时登录失败，不会更换回调或放宽匹配。

CLI 使用用户 OAuth 凭据，不接收浏览器 Cookie、client secret 或 SDK Key。每次远端查询都重新检查账号、Auth 会话、客户端、授权及成员资格。当前不支持无浏览器的新登录或 CI 服务账号。

凭据默认写入系统凭据库，并绑定管理 origin、profile、issuer、客户端、用户和会话。系统凭据库不可用时明确失败，不会自动回退到文件。仅 POSIX 系统可显式选择 --credential-store file，目录权限为 0700、文件权限为 0600；Windows 不支持此文件模式。

logout 先撤销服务端的本设备授权，再删除本地凭据。网络失败时保留凭据并报告撤销未完成。logout --local 仅清理本地，服务端授权仍可能有效。浏览器打开 https://groove-grow.vercel.app/cli/sessions 可逐设备查看和撤销；撤销一台设备不影响其他设备。

使用当前 schemaVersion 1 的 FunnelDocument / PaywallDocument，严格校验 UTF-8 和 JSON，最大 1,000,000 字节。draft 允许未完成草稿，publish 检查发布结构；validate 的 --file - 可从 stdin 读取。旧格式被明确拒绝。

校验结果标注 validation=local 和 serverChecks=not_run。结构通过不代表可以发布；租户权限、固定引用、提供商和当前状态仍需服务端校验。diff 输出 JSON Pointer、改动种类和稳定 SHA-256，不输出文档值；最多显示 100 项，并提供 total / truncated。