Bố cục gói

Gói là một tệp .zip. Bố cục tối thiểu:

ten-module.zip
├── module.yaml       # bắt buộc — xem "module.yaml"
├── signature.sig      # bắt buộc — chữ ký Ed25519 detached, xem "Ký gói"
├── dist/
│   └── index.js        # điểm vào theo field frontend.remote hoặc lifecycle, tuỳ loại module
├── migrations/         # tệp Flyway khai ở module.yaml:migrations, nếu module có database riêng
└── README.md           # khuyến nghị, không bắt buộc

Ví dụ thật trong kho: modules/bao-cao/ có đủ module.yaml, backend/, migrations/, README.md — dùng làm tham chiếu bố cục một module đã chạy thật trên nền tảng.

cảnh báo

module-registry giải nén gói trong một tiến trình kiểm riêng, không bao giờ coi nội dung gói là đáng tin trước khi kiểm xong — không đặt đường dẫn thoát khỏi thư mục gói (../) trong bất kỳ tên entry nào, gói như vậy bị từ chối.