@allbluecn/web-app 0.23.1 → 0.23.3

package/src/server/serverFns/auth/session.ts

@@ -15,18 +15,17 @@
 // You should have received a copy of the GNU Affero General Public License
 // along with this program. If not, see <https://www.gnu.org/licenses/>.
 
-import { DEFAULT_AI_MODEL, DEFAULT_AI_PROVIDER } from '@/lib/ai/default-model'
 import { createServerFn } from '@tanstack/react-start'
 import { z } from 'zod'
 import { getRequest } from '@tanstack/react-start/server'
 import type { FeatureKey } from '@allbluecn/kernel'
-import type { Session } from '@/lib/session'
 import { getCurrentSession } from '@/lib/session'
+import { resetProfileCache } from '@/lib/auth/auth.config'
 import { buildGuestSession, isDesktopServer } from '@/server/desktop-guest'
 import { ensureLocalShadowUser } from '@/server/desktop-bootstrap'
 import { readRemoteAuth, writeRemoteAuth, writeRemoteSession, clearRemoteAuth } from '@/server/remote-auth'
 import { generateEntitlementsToken } from '@/server/entitlements-token'
-import type { RemoteAuthData } from '@/server/remote-auth'
+import { buildRemoteSession } from '@/server/desktop-session-merge'
 import { checkAuthRateLimit } from '@/server/middlewares/rate-limit'
 
 const SAAS_URL = process.env.DESKTOP_SAAS_URL || 'https://allblue.litsex.cn'
@@ -48,26 +47,9 @@ const saasProfileSchema = z.object({
   signedToken: z.string().optional(),
 })
 
-function buildRemoteSession(data: RemoteAuthData): Session {
-  return {
-    user: {
-      id: data.userId,
-      name: data.username ?? data.userId,
-      email: data.email,
-      role: (data.role ?? 'USER') as 'USER' | 'ADMIN' | 'SUPER_ADMIN',
-      isGuest: false,
-      // 云端头像透传（SaaS desktop-callback 下发；缺省回落首字母，修复桌面端
-      // 当前用户头像不显示）
-      avatarConfig: data.avatarConfig,
-      bgShape: data.bgShape,
-      bgColor: data.bgColor,
-      aiProvider: DEFAULT_AI_PROVIDER,
-      aiModel: DEFAULT_AI_MODEL,
-      hasAiKey: false,
-    },
-    expires: 'never',
-  }
-}
+// buildRemoteSession 已抽出共享至 @/server/desktop-session-merge（A10）：
+// getCurrentSession 桌面回落需复用同一组装，且 lib/session 不得 import
+// serverFns/**（循环依赖），组装点移至 server 域纯模块。
 
 export const getSessionFn = createServerFn({ method: 'GET' })
   .handler(async () => {
@@ -141,13 +123,18 @@ export const exchangeRemoteTokenFn = createServerFn({ method: 'POST' })
         email: profile.user.email,
         role: profile.user.role,
       })
-      if (!signedToken) {
-        console.warn('[exchangeRemoteTokenFn] 无法签发权益 token（缺少 ENTITLEMENTS_SIGNING_SECRET），降级 OSS')
-        await writeRemoteSession(profile.user.id, planName, token)
-        return { success: true, userId: profile.user.id, planName, degraded: true }
-      }
     }
 
+    // session 块双路径无条件落盘（A10 修复，控制者核实的激活缺口）：readRemoteAuth
+    // 以 data.session.userId 为登录态唯一依据，原先仅降级路径写 session——生产
+    // SaaS 恒发 signedToken，signedToken 路径云身份 100% 不激活、云态写入属主错
+    // 为 guest。writeRemoteSession / writeRemoteAuth 均 merge 语义（{...prev,
+    // ...}），先 session 后 token 不互踩。
+    await writeRemoteSession(profile.user.id, planName, token)
+    if (!signedToken) {
+      console.warn('[exchangeRemoteTokenFn] 无法签发权益 token（缺少 ENTITLEMENTS_SIGNING_SECRET），降级 OSS')
+      return { success: true, userId: profile.user.id, planName, degraded: true }
+    }
     await writeRemoteAuth(signedToken, token)
     return { success: true, userId: profile.user.id, planName }
   })
@@ -159,3 +146,16 @@ export const logoutRemoteFn = createServerFn({ method: 'POST' }).validator(z.obj
   }
   throw new Error('logoutRemoteFn 仅桌面端可用')
 })
+
+// 身份切换缓存三件套之「服务端模块缓存」（A11，设计 D1）：desktop-state 身份切换
+// 事件（guest↔cloud）到达 renderer 时调用——auth.config.ts 的 profileCache 是
+// backend 进程内存缓存，renderer 无法直清，本 serverFn 是唯一载体。公开端点理由
+// （serverfn-public-allowlist）：调用时机是身份切换（登出语义延伸，会话可能已
+// 失效），且只清进程内 Map、不暴露任何用户数据——与 logoutRemoteFn 同形态。
+// 幂等无副作用（缓存 miss 自然回源），非桌面端调用同样安全（clear 无害）。
+export const resetAuthProfileCacheFn = createServerFn({ method: 'POST' })
+  .validator(z.object({}))
+  .handler(async () => {
+    resetProfileCache()
+    return { success: true }
+  })

package/src/server/serverFns/harness/attach-to-kb.ts

@@ -44,7 +44,7 @@ export const attachToKbFn = createServerFn({ method: "POST" })
     const userId = context.user.id
 
     const run = await assertRunOwnership(data.generationRunId, userId)
-    await assertKbOwnership(data.kbId, userId)
+    const kb = await assertKbOwnership(data.kbId, userId)
 
     const text = extractText(run.result)
     if (!text?.trim()) throw new Error("Generation run has no extractable text")
@@ -63,6 +63,8 @@ export const attachToKbFn = createServerFn({ method: "POST" })
         properties: {},
         content: { markdown: text },
         createdBy: userId,
+        // 冗余同步 scope 列（P2 A7）：kb.workspaceId 写时快照，null = stay local
+        syncWorkspaceId: kb.workspaceId,
       },
       select: { id: true },
     })

package/src/server/serverFns/knowledge.ts

@@ -219,7 +219,8 @@ export const createDocumentFn = createServerFn({ method: 'POST' })
     await requirePermission(userId, 'knowledge', 'write')
     const kb = await prisma.knowledgeBase.findFirst({
       where: { id: data.kbId, ...READABLE_KB(context.user.id) },
-      select: { id: true },
+      // workspaceId：文档冗余同步 scope 列（syncWorkspaceId）的来源（P2 A7）
+      select: { id: true, workspaceId: true },
     })
     if (!kb) throw new Error('未找到或无权限')
     // parentId 必须存在且属于同一 KB（审计 2026-10-25：防把文档挂到他人 KB 节点下）
@@ -247,6 +248,8 @@ export const createDocumentFn = createServerFn({ method: 'POST' })
           sortOrder: nextSort,
           properties: {},
           createdBy: userId,
+          // 同步 scope 写时快照：null（个人库）= 一期不进同步面（stay local）
+          syncWorkspaceId: kb.workspaceId,
         },
         select: { id: true, title: true, type: true, parentId: true },
       })

package/src/server/serverFns/sync/transfer.ts

@@ -0,0 +1,168 @@
+// SPDX-License-Identifier: AGPL-3.0-or-later
+// AllBlue - 理想之海
+// Copyright (C) 2026 AllBlue Contributors
+
+// 归属转移 serverFn（桌面本地优先 P2-A8a）：renderer 在云登录成功回调链发起
+// （cloudLogin(main) → exchangeRemoteTokenFn(A10) → 本 serverFn），localhost
+// cookie 天然过鉴权（backend 进程无 cookie，不得由 bind-flow 直调——复审⑥ P1-8）。
+// 校验链：① readRemoteAuth().userId 必须等于 data.cloudUserId（转移目标必须等于
+// 已交换登录的云账号，防参数伪造；非 desktop / 无 remoteAuth 时 readRemoteAuth
+// 恒 null → 拒绝）；② 复核目标为空账号（isAccountEmpty，与
+// /api/sync/account-status 端点同源）；③ 调 transferOwnership 执行
+// GUEST_USER_ID → cloudUserId 的单事务转移。outbox 语义由触发器自然产出
+// （op='upsert' + base_version=0），本 serverFn 不触碰同步两表。
+// 身份字段（A8b 裁定）：name/avatarConfig 等可省略——云昵称/头像仅 SaaS 权威
+// （remote-auth.json session 块不存 profile，renderer 拿不到），省略时 handler
+// 以 remoteAuth.sessionToken 自取 SaaS profile 补齐；字段全传则用传入值（向后
+// 兼容，A8a 老调用形态不变）。
+// 同文件第二端点 probeCloudAccountStatusFn（claim 探测）：renderer 在 exchange
+// 激活后、bind:begin 前调用，代持云会话 token 探测目标账号是否空账号（云账号
+// 资料与账号状态只有 SaaS 权威）——探测失败按非空处理（宁可不转不可错转）。
+// 同文件第三端点 reverseTransferOwnershipFn（A9 登出反向转移）：登出时把云身份
+// 数据翻回 guest，详见其实现处注释。
+import { z } from "zod"
+import { createServerFn } from "@tanstack/react-start"
+import { getPrisma } from "@allbluecn/database/get-prisma"
+import { authContextMiddleware } from "@/server/middlewares/auth-context"
+import { checkAuthRateLimit } from "@/server/middlewares/rate-limit"
+import { readRemoteAuth, clearRemoteAuth } from "@/server/remote-auth"
+import { GUEST_USER_ID, isDesktopServer } from "@/server/desktop-guest"
+import { isAccountEmpty } from "@/server/sync/account-status"
+import { reverseTransferOwnership, transferOwnership } from "@/server/sync/ownership-transfer"
+import { fetchSaasProfile, DESKTOP_SAAS_URL } from "@/server/sync/saas-profile"
+
+const transferInputSchema = z.object({
+  cloudUserId: z.string().min(1),
+  name: z.string().min(1).optional(),
+  email: z.string().email().nullish(),
+  avatarConfig: z.record(z.string(), z.unknown()).nullish(),
+  bgShape: z.string().nullish(),
+  bgColor: z.string().nullish(),
+})
+
+export const transferOwnershipFn = createServerFn({ method: "POST" })
+  .middleware([authContextMiddleware])
+  .validator(transferInputSchema)
+  .handler(async ({ data }) => {
+    // ① 转移目标必须等于已交换登录的云账号（readRemoteAuth 非 desktop 恒 null）
+    const remoteAuth = await readRemoteAuth()
+    if (!remoteAuth || remoteAuth.userId !== data.cloudUserId) {
+      throw new Error(
+        `[sync/transfer] 转移目标与已登录云账号不匹配（remoteAuth.userId=${remoteAuth?.userId ?? "null"}）`,
+      )
+    }
+
+    // ② 复核目标为空账号（仅空账号才允许归属转移，一期唯一路径）
+    const prisma = await getPrisma()
+    if (!(await isAccountEmpty(prisma, data.cloudUserId))) {
+      throw new Error("[sync/transfer] 目标云账号非空账号，拒绝归属转移")
+    }
+
+    // ②b 身份字段补齐（A8b 裁定）：name 省略 = renderer 未传身份字段（一期主
+    // 路径），以 remoteAuth.sessionToken 自取 SaaS profile；资料获取失败抛错走
+    // bind:fail——绝不以空/错资料落云身份行。字段全传则用传入值（向后兼容）。
+    let name = data.name
+    let email = data.email ?? null
+    let avatarConfig = (data.avatarConfig ?? null) as Record<string, unknown> | null
+    let bgShape = data.bgShape ?? null
+    let bgColor = data.bgColor ?? null
+    if (name === undefined) {
+      const profile = await fetchSaasProfile(remoteAuth.sessionToken)
+      name = profile.name?.trim() || data.cloudUserId
+      email = data.email ?? profile.email
+      avatarConfig = data.avatarConfig ?? profile.avatarConfig
+      bgShape = data.bgShape ?? profile.bgShape
+      bgColor = data.bgColor ?? profile.bgColor
+    }
+
+    // ③ 单事务转移 GUEST → cloudUserId（失败整体回滚，调用方走 bind:fail 恢复）
+    return transferOwnership(prisma, GUEST_USER_ID, {
+      id: data.cloudUserId,
+      name,
+      email,
+      avatarConfig,
+      bgShape,
+      bgColor,
+    })
+  })
+
+// 登出反向转移（A9）：renderer 用户菜单登出时发起，把云身份名下数据翻回 guest
+// （数据保留本机且 guest 可访问）。校验链：① 桌面守卫（非 desktop 一律拒绝，同
+// exchange/logoutRemote 口径）；② readRemoteAuth().userId === data.cloudUserId
+// （登出者必须是当前云身份本人；无 remoteAuth = 已登出/非云态 → 拒绝）；③ 会话
+// 身份 === data.cloudUserId（防「本地凭据会话与云身份并存」时误触发反向转移——
+// authjs 会话有效时 session.user.id 是本地用户而非云 id）；④ 单事务
+// cloud → GUEST 反向转移（outbox/row_state 同事务清空防反向 op 上云）。
+// 事务提交成功后立即清 remote-auth（幂等）：反向转移一旦提交数据已 guest 属主，
+// 云身份残留会让 fallback 会话显示「云态零数据」假丢数据窗口（A8b 发现 2 的镜像
+// ——正向是转移成功 + 云身份未写，反向是转移成功 + 云身份未清）。renderer 侧的
+// logoutRemoteFn 保留为登出编排第二步（幂等 re-clear，裁定顺序不变）。
+export const reverseTransferOwnershipFn = createServerFn({ method: "POST" })
+  .middleware([authContextMiddleware])
+  .validator(z.object({ cloudUserId: z.string().min(1) }))
+  .handler(async ({ data, context }) => {
+    // ① 桌面守卫（远端部署下本端点可被任意会话调来清他人 remote-auth / 翻转数据）
+    if (!isDesktopServer()) {
+      throw new Error("reverseTransferOwnershipFn 仅桌面端可用")
+    }
+
+    // ② 登出者必须是当前云身份本人
+    const remoteAuth = await readRemoteAuth()
+    if (!remoteAuth || remoteAuth.userId !== data.cloudUserId) {
+      throw new Error(
+        `[sync/transfer] 登出目标与已激活云身份不匹配（remoteAuth.userId=${remoteAuth?.userId ?? "null"}）`,
+      )
+    }
+
+    // ③ 会话身份必须是云身份本人（云态下 fallback 会话 user.id 即云 id）
+    if (context.user.id !== data.cloudUserId) {
+      throw new Error(
+        `[sync/transfer] 会话身份与登出目标不匹配（session.userId=${context.user.id}）`,
+      )
+    }
+
+    // ④ 单事务反向转移 cloud → guest（失败整体回滚留在云态，renderer 解锁后可重试）
+    const prisma = await getPrisma()
+    return reverseTransferOwnership(prisma, data.cloudUserId, GUEST_USER_ID)
+      .then(async (result) => {
+        // 提交成功后清 remote-auth（幂等；clearRemoteAuth 内部吞错仅 warn，不反噬主流程）
+        await clearRemoteAuth()
+        return result
+      })
+  })
+
+// claim 探测（A8b 编排时序第 3 步）：exchange 激活后、bind:begin 前，renderer
+// 经本端点代持云会话 token 探测目标云账号是否空账号（isAccountEmpty 口径在 SaaS
+// 侧执行——账号状态只有 SaaS 权威，本地库看不到云端数据）。探测失败（SaaS 不可
+// 达/非 200/形状漂移）一律按非空处理（宁可不转不可错转），unreachable 标记供
+// renderer 区分提示；非空账号一期不支持转移。
+export const probeCloudAccountStatusFn = createServerFn({ method: "POST" })
+  .middleware([authContextMiddleware])
+  .handler(async () => {
+    // 与 exchangeRemoteTokenFn 同口径：非桌面部署下任何客户端都能借本服务探测
+    // 任意 token 的账号状态（审计 2026-10-25 形态）
+    if (!isDesktopServer()) {
+      throw new Error("probeCloudAccountStatusFn 仅桌面端可用")
+    }
+    // 防把账号状态探测代理成对上游 SaaS 的暴力面
+    await checkAuthRateLimit("probeCloudAccountStatus", 20, 15 * 60 * 1000)
+
+    const remoteAuth = await readRemoteAuth()
+    if (!remoteAuth?.sessionToken) {
+      throw new Error("[sync/transfer] 无云会话（未交换登录），无法探测账号状态")
+    }
+
+    try {
+      const res = await fetch(`${DESKTOP_SAAS_URL}/api/sync/account-status`, {
+        headers: { Cookie: `auth.session-token=${remoteAuth.sessionToken}` },
+        credentials: "omit",
+        signal: AbortSignal.timeout(10_000),
+      })
+      if (!res.ok) return { empty: false, unreachable: true }
+      const json = (await res.json().catch(() => null)) as { empty?: unknown } | null
+      if (typeof json?.empty !== "boolean") return { empty: false, unreachable: true }
+      return json.empty ? { empty: true } : { empty: false }
+    } catch {
+      return { empty: false, unreachable: true }
+    }
+  })

package/src/server/serverFns/workspace.ts

@@ -303,10 +303,25 @@ export const deleteWorkspaceFn = createServerFn({ method: "POST" })
           where: { workspaceId: data.workspaceId },
         });
       } else {
+        // 冗余同步 scope 级联（P2 A7）：kb 解绑工作区（workspaceId → null）时，
+        // 其文档的 syncWorkspaceId 必须同步置空，否则文档残留已消失的 scope
+        // （同步面按快照列归属，不回查 kb）。delete 分支文档随 FK 级联硬删，无需处理。
+        const unlinkedKbIds = (
+          await tx.knowledgeBase.findMany({
+            where: { workspaceId: data.workspaceId },
+            select: { id: true },
+          })
+        ).map((kb) => kb.id);
         await tx.knowledgeBase.updateMany({
           where: { workspaceId: data.workspaceId },
           data: { workspaceId: null },
         });
+        if (unlinkedKbIds.length > 0) {
+          await tx.knowledgeDocument.updateMany({
+            where: { kbId: { in: unlinkedKbIds } },
+            data: { syncWorkspaceId: null },
+          });
+        }
       }
 
       // 清理无 onDelete 级联的关联记录，避免外键约束阻止删除

package/src/server/serverfn-public-allowlist.ts

@@ -24,6 +24,10 @@ export const SERVERFN_PUBLIC_ALLOWLIST = [
   'exchangeRemoteTokenFn',
   // 清除桌面端 remote-auth 持久化状态（登出语义，无会话也可调用）
   'logoutRemoteFn',
+  // 全量清空 profileCache 进程内缓存（A11 身份切换缓存三件套之一）：调用时机是
+  // desktop-state 身份切换（登出语义延伸，会话可能已失效），只清进程内 Map
+  // 不暴露任何用户数据，与 logoutRemoteFn 同形态
+  'resetAuthProfileCacheFn',
 
   // ── 登录/注册/初始化流程（鉴权前的入口）──
   // 登录页读取可用 OAuth provider 列表（未登录场景）