chore: release v1.0.20

.gitignore

@@ -47,3 +47,6 @@ RELEASE_NOTES*.md
 
 tmp-test/
 tmp-test*
+
+# agent session scratch (SDD plans/reports/smoke artifacts)
+.superpowers/

AGENTS.md

@@ -8,7 +8,7 @@ Electron + electron-vite + React 终端工具（本地终端 / SSH / SFTP）。
 - dev 实例使用独立用户数据目录 `%APPDATA%\OpenTerminal-dev` 与独立单实例锁（`src/main/index.ts` 顶部 `!app.isPackaged` 分支），窗口标题带 `(dev)`：**可与已安装的正式版同时运行，互不干扰**，也不会把测试设置/会话写进真实配置
 - 类型检查：`npm run typecheck`（tsconfig.node.json + tsconfig.web.json；只看渲染层可单跑 `npx tsc --noEmit -p tsconfig.web.json`）
 - 测试：`npm test`（**npm 生命周期先自动跑 `pretest` 做类型检查**，再 `node tests/build-bundles.cjs` 重建 esbuild bundle，然后依次跑可离线运行的 11 个测试：ssh-loopback、commands-store、settings-store、lock-store、lock-controller、lock-shortcuts、hl-split-smoke、hl-rules、zmodem-e2e、ssh-session-e2e、sysinfo-e2e；真实服务器测试需 JD_* 凭据，不在此列）
-- 打包：`npm run dist`（**生命周期先自动跑 `predist` → `npm test`，即类型检查 + 11 个离线测试全部通过后才 build/package**，typecheck 全程只跑一次），产物在 `release/`（msi + exe + latest.yml + blockmap）
+- 打包：`npm run dist`（**生命周期先自动跑 `predist` → `npm test`，即类型检查 + 11 个离线测试全部通过后才 build/package**，typecheck 全程只跑一次；predist 末尾的 `npm install --package-lock-only` 会把 `package-lock.json` 根版本号对齐 `package.json`，**发布提交必须带上 package-lock.json**），产物在 `release/`（msi + exe + latest.yml + blockmap）
   - GitHub Actions：`.github/workflows/ci.yml` 在 windows-latest + Node 22 上跑 `npm ci` / `npm test`（含 pretest typecheck）/ `npm run build`，只做验证，不打包安装器、不发布
   - 国内网络需镜像：`ELECTRON_MIRROR=https://npmmirror.com/mirrors/electron/ ELECTRON_BUILDER_BINARIES_MIRROR=https://npmmirror.com/mirrors/electron-builder-binaries/ npm run dist`
 

CHANGELOG.en.md

@@ -1,5 +1,16 @@
 # OpenTerminal Changelog
 
+## v1.0.20 - 2026-10-01
+
+### Input Method Fixes
+- **Fixed the Chinese IME candidate window not following the cursor**: typing Chinese in the terminal (especially in fast-repainting TUI apps such as Kimi Code or Claude Code) previously made the candidate window drift far away from the caret; it now appears right next to it. The bundled terminal component was upgraded to a version containing the upstream IME fixes.
+
+### Lock Screen Hardening
+- **The application menu is removed while locked**: the Alt-revealed menu exposes Reload / DevTools / Zoom items that mouse clicks could use to bypass keyboard interception, so the whole menu is detached during lock and rebuilt on unlock.
+- The Ctrl+L instant-lock key classification was extracted into a dedicated module with 29 table-driven test cases to prevent regressions.
+- The global show/hide shortcut recorder now reserves Ctrl+L, so a global registration can no longer silently disable the panic lock at the OS level.
+- Fixed: after system suspend or window focus loss, the lock screen cooldown countdown could outlive its real deadline, keeping the password input disabled for longer than necessary.
+
 ## v1.0.19 - 2026-09-28
 
 ### Update mechanism change

CHANGELOG.ja.md

@@ -1,5 +1,16 @@
 # OpenTerminal 更新履歴
 
+## v1.0.20 - 2026-10-01
+
+### 入力メソッド修正
+- **中国語 IME の候補ウィンドウがカーソルに追従しない問題を修正**：ターミナルで中国語を入力する際（特に Kimi Code や Claude Code など高頻度で再描画される TUI では）、候補ウィンドウがカーソルから大きく離れた位置に表示されていましたが、カーソルのすぐそばに表示されるようになりました。同梱のターミナルコンポーネントを、上流の IME 修正を含むバージョンに更新しました。
+
+### ロック画面の強化
+- **ロック中はアプリケーションメニューを除去**：Alt キーで表示されるメニューの「再読み込み / 開発者ツール / ズーム」はマウスクリックでキー拦截を回避できたため、ロック中はメニュー全体を外し、ロック解除後に自動復元します。
+- Ctrl+L 即時ロックのキー判定を独立モジュールに切り出し、29 件のテストケースを追加して回帰を防止。
+- グローバル表示/非表示ショートカットの録画面で Ctrl+L を予約済みとして使用不可にし、OS レベルでのグローバル登録が緊急ロックを黙って無効化しないようにしました。
+- 修正：システム休止やウィンドウフォーカス喪失後、ロック画面のパスワード入力クールダウンが実際の期限を超えて続き、入力可能になるまでの時間が不必要に長くなることがあった問題。
+
 ## v1.0.19 - 2026-09-28
 
 ### アップデート機構の変更

CHANGELOG.md

@@ -1,5 +1,16 @@
 # OpenTerminal 更新日志
 
+## v1.0.20 - 2026-10-01
+
+### 输入法修复
+- **修复中文输入法候选窗不跟随光标**：此前在终端里输入中文时（尤其是 Kimi Code、Claude Code 等高频刷新的 TUI 界面），候选窗会漂到远离光标的位置；现已紧贴光标显示。内置终端组件升级至包含上游输入法修复的版本。
+
+### 锁屏加固
+- **锁定期间移除应用菜单**：Alt 键唤出的菜单里「重新加载 / 开发者工具 / 缩放」可通过鼠标点击绕过键盘拦截，锁定期间整个菜单摘除，解锁后自动恢复。
+- Ctrl+L 立即锁屏的按键判定重构为独立模块并补充 29 条测试用例，防止回归。
+- 全局唤起快捷键的录制器保留 Ctrl+L 不允许占用，避免全局注册在系统层静默禁用紧急锁屏。
+- 修复：系统休眠或窗口失焦后，锁屏密码框的冷却倒计时可能超过真实截止时间，导致可输入时间被无谓延长。
+
 ## v1.0.19 - 2026-09-28
 
 ### 更新机制调整

CHANGELOG.zh-TW.md

@@ -1,5 +1,16 @@
 # OpenTerminal 更新日誌
 
+## v1.0.20 - 2026-10-01
+
+### 輸入法修復
+- **修復中文輸入法候選窗不跟隨游標**：此前在終端裡輸入中文時（尤其是 Kimi Code、Claude Code 等高頻刷新的 TUI 介面），候選窗會漂到遠離游標的位置；現已緊貼游標顯示。內建終端元件升級至包含上游輸入法修復的版本。
+
+### 鎖屏加固
+- **鎖定期間移除應用選單**：Alt 鍵喚出的選單裡「重新載入 / 開發者工具 / 縮放」可透過滑鼠點擊繞過鍵盤攔截，鎖定期間整個選單摘除，解鎖後自動恢復。
+- Ctrl+L 立即鎖屏的按鍵判定重構為獨立模組並補充 29 條測試案例，防止回歸。
+- 全域喚起快捷鍵的錄製器保留 Ctrl+L 不允許佔用，避免全域註冊在系統層靜默停用緊急鎖屏。
+- 修復：系統休眠或視窗失焦後，鎖屏密碼框的冷卻倒計時可能超過真實截止時間，導致可輸入時間被無謂延長。
+
 ## v1.0.19 - 2026-09-28
 
 ### 更新機制調整

docs/STATE.md

@@ -4,7 +4,7 @@
 
 ## 当前版本与仓库
 
-- v1.0.13，远程 `git.codingplan.site/admin/OpenTerminal.git`（国内仓）+ `github.com/billowliu2/OpenTerminal.git`（GitHub 镜像仓）；凭据存于 `.env`（已 git 忽略），凭据助手按 host 自动读取
+- v1.0.19，远程 `git.codingplan.site/admin/OpenTerminal.git`（国内仓）+ `github.com/billowliu2/OpenTerminal.git`（GitHub 镜像仓）；凭据存于 `.env`（已 git 忽略），凭据助手按 host 自动读取
 - 开源协议：MIT（LICENSE）
 - 更新通道 = `https://git.codingplan.site/api/packages/admin/generic/openterminal-update/stable/`（公网可读，含 latest.yml/exe/blockmap）
 - 技术栈：Electron + electron-vite + React 19 + TS strict + antd 6（全局深色）+ zustand + dockview-react 8 + @xterm/xterm 6 + @lydell/node-pty + ssh2 + zmodem.js + electron-updater + electron-builder
@@ -48,7 +48,7 @@
 
 ## 发布流程（下一版本照抄）
 
-1. `package.json` version 升位 + 写 `RELEASE_NOTES.md`（可选 `.zh-TW/.en/.ja` 译文）→ `node scripts/sync-changelog.cjs`（**在 dist 之前**：更新日志会打进安装包）→ `npm run dist`（env：ELECTRON_MIRROR + ELECTRON_BUILDER_BINARIES_MIRROR=npmmirror；dist:dir 后先删 release/win-unpacked 避免占用 EPERM）
+1. `package.json` version 升位 + 写 `RELEASE_NOTES.md`（可选 `.zh-TW/.en/.ja` 译文）→ `node scripts/sync-changelog.cjs`（**在 dist 之前**：更新日志会打进安装包）→ `npm run dist`（env：ELECTRON_MIRROR + ELECTRON_BUILDER_BINARIES_MIRROR=npmmirror；dist:dir 后先删 release/win-unpacked 避免占用 EPERM）。`predist` 末尾会 `npm install --package-lock-only` 自动同步锁文件根版本号，**release 提交要包含 package-lock.json**（否则根版本会漂移，v1.0.15–1.0.19 曾漂了 5 个版本）
 2. `node scripts/release.cjs <版本号> --skip-github`：脚本自己建 Gitea release（msi/exe 资产）→ 传更新通道 `exe.blockmap → exe → release-notes.md → latest.yml`（**latest.yml 最后**）；不再先删旧版，latest.yml 生效后才清掉上一版 exe/blockmap
 3. 通道传坏了只补通道：`node scripts/release.cjs <版本号> --channel-only`（同一版本可重复运行：release 复用、已传资产跳过）
 4. 校验：无 token `curl .../generic/openterminal-update/stable/latest.yml` 应 200 且 version 正确
@@ -88,6 +88,7 @@ node tests/sysinfo-e2e.mjs
 8. **electron-updater 不支持 MSI 自动更新** → 更新通道走 NSIS exe；MSI 仅分发
 9. **命令库测试时间戳竞态**：saveLibraryItem 连续保存同一毫秒 createdAt 相同排序不稳 → 测试保存间 wait(2)
 10. **JD 服务器测试凭据已过期**；凭据一律环境变量且不落盘
+11. **`@xterm/xterm` 精确锁定 `6.1.0-beta.304`（不带 ^）**：修中文 IME 候选窗不跟随光标（上游 xtermjs/xterm.js#5759 compositionstart 时同步 textarea 位置 + #5747 composition-view 限宽），stable 6.0.0 未带这两个修复；待 6.1.0 stable 发布后改回 `^` 语义化范围
 
 ## 编排约定
 
@@ -98,5 +99,6 @@ node tests/sysinfo-e2e.mjs
 ## 待办（按优先级）
 
 1. ~~应用图标~~（已完成：build/icon.png，程序生成的原创图标）
-2. 用户实测项：Ctrl+PgUp/PgDn 真实键盘（合成键盘无法验证修饰键）、真实服务器 rz/sz 一轮、全局唤起快捷键
+2. 用户实测项：Ctrl+PgUp/PgDn 真实键盘（合成键盘无法验证修饰键）、真实服务器 rz/sz 一轮、全局唤起快捷键、中文 IME 候选窗跟随光标（每次发版前手测一遍，CI 无法覆盖）
+3. `@xterm/xterm` 6.1.0 stable 发布后把精确锁定的 `6.1.0-beta.304` 改回 `^` 范围并回归验证 IME（背景见已踩坑 11）
 3. 小项：autoWrap=false 固定列宽、OSC 标题跟随、内置 OFL 字体打包、WebGL 终端数上限降级、最近命令历史出现两条命令拼接的记录（广播键入时行捕获合并，低优先级修）

package-lock.json

@@ -1,12 +1,12 @@
 {
   "name": "open-terminal",
-  "version": "1.0.14",
+  "version": "1.0.20",
   "lockfileVersion": 3,
   "requires": true,
   "packages": {
     "": {
       "name": "open-terminal",
-      "version": "1.0.14",
+      "version": "1.0.20",
       "license": "MIT",
       "dependencies": {
         "@lydell/node-pty": "^1.2.0-beta.15",
@@ -14,7 +14,7 @@
         "@xterm/addon-search": "^0.16.0",
         "@xterm/addon-serialize": "^0.14.0",
         "@xterm/addon-webgl": "^0.19.0",
-        "@xterm/xterm": "^6.0.0",
+        "@xterm/xterm": "6.1.0-beta.304",
         "antd": "^6.6.2",
         "dockview-react": "^8.2.0",
         "electron-updater": "^6.8.9",
@@ -2855,9 +2855,9 @@
       "license": "MIT"
     },
     "node_modules/@xterm/xterm": {
-      "version": "6.0.0",
-      "resolved": "https://registry.npmmirror.com/@xterm/xterm/-/xterm-6.0.0.tgz",
-      "integrity": "sha512-TQwDdQGtwwDt+2cgKDLn0IRaSxYu1tSUjgKarSDkUM0ZNiSRXFpjxEsvc/Zgc5kq5omJ+V0a8/kIM2WD3sMOYg==",
+      "version": "6.1.0-beta.304",
+      "resolved": "https://registry.npmmirror.com/@xterm/xterm/-/xterm-6.1.0-beta.304.tgz",
+      "integrity": "sha512-Wq9d4qFYslYQBIan+riXotdyurtREc6v+HWdAwV6Y2JSDI9eJ1dkWm/fzYb2rCGgGnM3baiYuSK4Z6OLNKLzDw==",
       "license": "MIT",
       "workspaces": [
         "addons/*"

package.json

@@ -1,7 +1,7 @@
 {
   "name": "open-terminal",
   "productName": "OpenTerminal",
-  "version": "1.0.19",
+  "version": "1.0.20",
   "description": "Open-source terminal with SSH, split panes, themes and fonts",
   "main": "out/main/index.js",
   "author": "CodingPlan.Site",
@@ -14,7 +14,7 @@
     "typecheck": "tsc --noEmit -p tsconfig.node.json && tsc --noEmit -p tsconfig.web.json",
     "pretest": "npm run typecheck",
     "test": "node tests/build-bundles.cjs && node tests/ssh-loopback.mjs && node tests/commands-store.mjs && node tests/settings-store.mjs && node tests/lock-store.mjs && node tests/lock-controller.mjs && node tests/lock-shortcuts.mjs && node tests/.hl-split-smoke.cjs && node tests/.hl-rules.cjs && node tests/zmodem-e2e.mjs && node tests/ssh-session-e2e.mjs && node tests/sysinfo-e2e.mjs",
-    "predist": "npm test",
+    "predist": "npm test && npm install --package-lock-only",
     "dist": "electron-vite build && electron-builder --win msi nsis",
     "dist:dir": "electron-vite build && electron-builder --win --dir"
   },
@@ -24,7 +24,7 @@
     "@xterm/addon-search": "^0.16.0",
     "@xterm/addon-serialize": "^0.14.0",
     "@xterm/addon-webgl": "^0.19.0",
-    "@xterm/xterm": "^6.0.0",
+    "@xterm/xterm": "6.1.0-beta.304",
     "antd": "^6.6.2",
     "dockview-react": "^8.2.0",
     "electron-updater": "^6.8.9",