同舟金融研究专家 npm 安装器

本包从同舟 OSS Release Manifest 读取最新发布文件，校验 SHA256 后安装专家包、插件、扩展或四个 L1 Agent Skills，并为受支持的 Agent 写入一个统一研究连接。默认使用 OAuth；只有显式传入 --legacy-api-key 才保留旧四服务配置。

快速安装

macOS、Linux、WSL 与 Windows PowerShell 使用同一条命令。安装器会识别本机已有客户端，并自动判断首次安装或升级：

npx --yes tongzhou-fin-research-expert@latest setup

只查看识别结果，不修改本机：

npx --yes tongzhou-fin-research-expert@latest setup --dry-run

查看目标：

npx --yes tongzhou-fin-research-expert targets

支持 workbuddy、codex、claude-code、cursor、windsurf、opencode、gemini-cli、copilot-cli、vscode-copilot、cline 与 hermes-agent。

客户端安装形态：

• WorkBuddy：安装完整专家包到 .workbuddy/plugins/marketplaces/my-experts/plugins/fin-research-expert；若本机尚无可用的 tongzhou-fin-research Connector，则从同一 Release Manifest 下载独立 Connector 包、校验 SHA256 后注册到本地 Connector marketplace。已经完整注册的官方 Connector 不会被覆盖。
• Codex：安装完整插件到 .codex/plugins/tongzhou-fin-research-expert，并注册 personal marketplace 与启用配置。
• Claude Code：安装本地 skills-directory plugin 到 .claude/skills/tongzhou-fin-research-expert，插件内包含 .claude-plugin/plugin.json 与四个 L1 skills。
• Gemini CLI：安装 extension 到 .gemini/extensions/tongzhou-fin-research-expert，扩展内包含 gemini-extension.json 与四个 L1 skills。
• Cursor：安装四个 L1 Agent Skills 到 ~/.cursor/skills，并写入 ~/.cursor/mcp.json 的 mcpServers 远程 MCP 配置。
• OpenCode：安装四个 L1 Agent Skills 到 ~/.config/opencode/skills，并写入 ~/.config/opencode/opencode.json 的 mcp 远程 MCP 配置；如设置了 OPENCODE_CONFIG_DIR，安装器会改写该自定义目录。
• VS Code / GitHub Copilot：安装四个 L1 Agent Skills 到 ~/.copilot/skills，并写入 VS Code 用户级 mcp.json 的 servers 远程 MCP 配置。
• GitHub Copilot CLI：安装四个 L1 Agent Skills 到 ~/.copilot/skills，并写入 ~/.copilot/mcp-config.json 的 mcpServers 远程 MCP 配置。
• Cline：安装四个 L1 Agent Skills 到 ~/.cline/skills，并写入 ~/.cline/mcp.json 的 mcpServers 远程 MCP 配置，远程传输显式使用 streamableHttp。
• Windsurf：安装四个 L1 Agent Skills 到 ~/.codeium/windsurf/skills，并写入 ~/.codeium/windsurf/mcp_config.json 的 mcpServers 远程 MCP 配置。
• Hermes Agent：安装四个 L1 Agent Skills 到 Hermes profile 的 Skill 目录，并写入远程 MCP 配置。

Hermes Agent 默认使用 ~/.hermes/skills/ 与 ~/.hermes/config.yaml；如设置了 HERMES_HOME，安装器会使用该 profile 根目录。安装器写入单一 tongzhou-fin-research stdio OAuth proxy，不创建 API Key .env 文件。

API Key

以下 API Key 说明仅适用于 --legacy-api-key 回滚模式。默认安装会根据客户端能力使用 direct OAuth 或 stdio OAuth proxy，通过 auth login/status/logout 管理可续期设备会话，不要求把 API Key 写入客户端配置。

安装器按以下顺序读取 API Key：

1. FIN_MCP_GATEWAY_API_KEY 环境变量；
2. 用户目录下 .config/fin-mcp-gateway/api_key；
3. 终端隐藏输入。

自动化环境使用 stdin，避免凭证进入命令历史和进程参数：

password-manager read tongzhou-gateway | npx --yes tongzhou-fin-research-expert configure --target opencode --api-key-stdin

安装器拒绝 --api-key 参数，不打印完整 Key，并将本机凭证与包含认证头的 JSON 配置限制为当前用户可读。Windows 使用用户配置目录的 ACL，Unix-like 系统额外设置 0600。

安全边界

• 下载地址只来自当前 Release Manifest，并校验发布 SHA256。
• WorkBuddy 专家包与 Connector 独立发布；安装器要求二者版本一致，并在 doctor 中同时检查专家与 Connector 注册状态。
• 覆盖专家、Skill 或 MCP 配置前保留时间戳备份。
• 已有 JSON 的其他字段和其他 MCP Server 保持不变。
• JSON 格式损坏或发布包结构不完整时停止，不覆盖旧版本。
• --skip-check 只用于离线安装验证，普通用户不应使用。