@allbluecn/web-app 0.23.1 → 0.23.3

package/src/server/sync/account-status.ts

@@ -0,0 +1,36 @@
+// SPDX-License-Identifier: AGPL-3.0-or-later
+// AllBlue - 理想之海
+// Copyright (C) 2026 AllBlue Contributors
+
+// 空账号探测（桌面本地优先 P2，A8a 从 /api/sync/account-status 路由抽取的
+// 服务端函数形态）：绑定云账号前核对目标账号是否「空账号」——仅空账号才走
+// 归属转移（一期唯一路径）。
+// 空账号口径（复审⑥ P1-9 扩容）：当前用户六表 count 全 0——stories/bugs/testCases
+// /projects 之外计入 knowledgeBases/knowledgeDocuments，防仅有知识库数据的云账号
+// 被误判空而清掉知识库。属主字段：story/bug/testCase → createdById、project →
+// ownerId、knowledgeBase → userId、knowledgeDocument → createdBy（schema 实查）。
+import type { PrismaClient } from "@allbluecn/database"
+
+export async function isAccountEmpty(
+  prisma: PrismaClient,
+  userId: string,
+): Promise<boolean> {
+  const [stories, bugs, testCases, projects, knowledgeBases, knowledgeDocuments] =
+    await Promise.all([
+      prisma.story.count({ where: { createdById: userId } }),
+      prisma.bug.count({ where: { createdById: userId } }),
+      prisma.testCase.count({ where: { createdById: userId } }),
+      prisma.project.count({ where: { ownerId: userId } }),
+      prisma.knowledgeBase.count({ where: { userId } }),
+      prisma.knowledgeDocument.count({ where: { createdBy: userId } }),
+    ])
+
+  return (
+    stories === 0 &&
+    bugs === 0 &&
+    testCases === 0 &&
+    projects === 0 &&
+    knowledgeBases === 0 &&
+    knowledgeDocuments === 0
+  )
+}

package/src/server/sync/ownership-transfer.ts

@@ -0,0 +1,291 @@
+// SPDX-License-Identifier: AGPL-3.0-or-later
+// AllBlue - 理想之海
+// Copyright (C) 2026 AllBlue Contributors
+
+// 归属转移核心（正向，桌面本地优先 P2-A8a）：桌面端绑定「空云账号」时，把本地
+// guest（local-guest）名下全部业务数据一次性翻转到云账号名下，随后删除 guest
+// 影子行——调用方（A8b bind-flow 编排 + transferOwnershipFn）保证已停写快照，
+// 本函数纯 DB：属主翻转 + 云身份行 + 删 guest 行在**单事务**内原子完成，失败
+// 即整体回滚（调用方按 bind:fail 路径恢复快照）。
+//
+// 属主列全集的派生口径（A8 预裁定，A5 实证）：schema **全量 User-relation FK
+// 标量列**（遍历 @relation 到 User 的关系取其 fields 标量列，共 79 处；含
+// ownerId/userId/createdById/createdBy/assignee 类），排除 users 表自身与
+// TRANSFER_EXCLUDED（配置类不转移，规格 Q1①）。为什么必须全量：转移末尾删除
+// guest users 行，任何漏改的 User-FK 列要么触发 onDelete: Cascade **级联删掉
+// 业务数据**，要么留下指向已删用户的孤儿行 / Restrict 直接炸删除——全量翻转是
+// 规格 Q1②「防孤儿行」的唯一安全读法。
+//
+// ⚠ 不触碰 sync_outbox/sync_row_state（简报 ④，审查重点 2）：属主 UPDATE 走
+// 常规 Prisma 写入，已装触发的表自然产出 op='upsert' + base_version=0 的整行
+// change log，推送拓扑 A7 已修为 upsert 正向——转移面因此天然含全部注册表，
+// 本函数手碰同步两表反而会污染版本语义。测试 ④ 以「零触达」断言钉死此边界。
+//
+// 幂等语义：重复调用不抛错——UPDATE where fromUserId 匹配 0 行（已翻转）、
+// 云身份行 upsert update 分支留空（no-op）、guest 行已删（deleteMany 计 0
+// no-op；delete 会抛 P2025 破坏二跑，故删行必须走 deleteMany）。
+// 清单对齐哨兵：__tests__/ownership-transfer.test.ts 内固定清单与本常量逐项
+// 相等——schema 增删 User-relation FK 时该测试红，须同步重扫本清单。
+
+import { randomUUID } from "node:crypto"
+import type { PrismaClient } from "@allbluecn/database"
+import { ensureLocalShadowUserWith } from "@/server/desktop-bootstrap"
+
+/**
+ * 配置类排除清单（规格 Q1①「配置类不转移」）：
+ * - `AiProviderConfig.userId`：用户 AI 配置属配置数据而非业务数据，不随归属
+ *   翻转（转移后 guest 的 AI 配置随 guest 行级联删除——删前 guest 已不再使用）。
+ * - DesktopSetting 无 user 列（桌面设置按设备存储），不在口径内。
+ */
+export const TRANSFER_EXCLUDED: readonly string[] = ["AiProviderConfig.userId"]
+
+/**
+ * 属主列全集：schema 全量 User-relation FK 标量列（79 处）减 TRANSFER_EXCLUDED
+ * = 78 处「表.列」（table 为 Prisma 模型名，delegate 取 lowerFirst）。
+ * 派生方法（复核命令）：
+ *   grep -nE "^\s*\w+\s+User\??\s+@relation" packages/database/schema.prisma
+ * 取各行的 fields: [...] 标量列；与 User 模型反向关系数组（79 项）互为镜像。
+ * 顺序按 schema 声明序排列（对齐测试按排序集合比较，顺序不承载语义）。
+ */
+export const OWNERSHIP_COLUMNS: ReadonlyArray<{ table: string; column: string }> = [
+  { table: "Account", column: "userId" },
+  { table: "Project", column: "ownerId" },
+  { table: "ProjectMember", column: "userId" },
+  { table: "Workspace", column: "ownerId" },
+  { table: "WorkspaceMember", column: "userId" },
+  { table: "TeamMembership", column: "ownerId" },
+  { table: "TeamMembership", column: "memberId" },
+  { table: "TeamInvitation", column: "ownerId" },
+  { table: "TeamJoinRequest", column: "ownerId" },
+  { table: "TeamJoinRequest", column: "userId" },
+  { table: "ProjectActivity", column: "userId" },
+  { table: "ChatThread", column: "userId" },
+  { table: "HarnessPlugin", column: "userId" },
+  { table: "BusinessAgentBinding", column: "userId" },
+  { table: "LoginLog", column: "userId" },
+  { table: "InvitationUse", column: "userId" },
+  { table: "PasswordResetToken", column: "userId" },
+  { table: "EmailVerificationToken", column: "userId" },
+  { table: "EmailPreference", column: "userId" },
+  { table: "KnowledgeBase", column: "userId" },
+  { table: "KnowledgeDocument", column: "createdBy" },
+  { table: "Design", column: "userId" },
+  { table: "AgentConversation", column: "userId" },
+  { table: "DesignVersion", column: "userId" },
+  { table: "Review", column: "reviewerId" },
+  { table: "ReviewComment", column: "userId" },
+  { table: "Comment", column: "userId" },
+  { table: "CommentIgnore", column: "userId" },
+  { table: "AnyHubApp", column: "userId" },
+  { table: "AnyHubMarketApp", column: "userId" },
+  { table: "AnyHubRecommendation", column: "reviewedBy" },
+  { table: "AnyHubRecommender", column: "userId" },
+  { table: "LegalRegulation", column: "userId" },
+  { table: "IndustryCompliance", column: "userId" },
+  { table: "DictionaryTerm", column: "userId" },
+  { table: "WebsiteBookmark", column: "userId" },
+  { table: "BookmarkCategory", column: "userId" },
+  { table: "KnowledgeShareRecord", column: "userId" },
+  { table: "ArticleFavorite", column: "userId" },
+  { table: "Story", column: "assigneeId" },
+  { table: "Story", column: "createdById" },
+  { table: "Story", column: "updatedById" },
+  { table: "Label", column: "createdById" },
+  { table: "StoryActivity", column: "userId" },
+  { table: "StoryComment", column: "userId" },
+  { table: "StoryReaction", column: "userId" },
+  { table: "CommentReaction", column: "userId" },
+  { table: "WorkspaceQuickDoc", column: "createdBy" },
+  { table: "StoryFilterView", column: "userId" },
+  { table: "Subscription", column: "userId" },
+  { table: "AiUsageLog", column: "userId" },
+  { table: "LicenseKey", column: "issuedById" },
+  { table: "SsoMapping", column: "userId" },
+  { table: "RoleAssignment", column: "userId" },
+  { table: "UserAgent", column: "userId" },
+  { table: "UserSkill", column: "userId" },
+  { table: "Notification", column: "userId" },
+  { table: "NotificationPreference", column: "userId" },
+  { table: "Iteration", column: "createdById" },
+  { table: "CodeSnippet", column: "userId" },
+  { table: "HarnessWorkspace", column: "ownerId" },
+  { table: "Blob", column: "userId" },
+  { table: "Bug", column: "assigneeId" },
+  { table: "Bug", column: "createdById" },
+  { table: "Bug", column: "updatedById" },
+  { table: "BugActivity", column: "userId" },
+  { table: "BugComment", column: "userId" },
+  { table: "BugCommentReaction", column: "userId" },
+  { table: "ProjectAccessToken", column: "createdById" },
+  { table: "BugReproRun", column: "createdById" },
+  { table: "BugFilterView", column: "userId" },
+  { table: "TestCase", column: "assigneeId" },
+  { table: "TestCase", column: "createdById" },
+  { table: "TestCaseFilterView", column: "userId" },
+  { table: "TestGenerationRun", column: "createdById" },
+  { table: "TestRunCase", column: "executedById" },
+  { table: "TestAutomationArtifact", column: "createdById" },
+  { table: "AiTask", column: "createdById" },
+]
+
+/** 转移目标云身份（昵称/头像由调用方传入；User 表无独立 name 列，昵称落 username） */
+export interface TransferToUser {
+  id: string
+  name: string
+  email?: string | null
+  avatarConfig?: Record<string, unknown> | null
+  bgShape?: string | null
+  bgColor?: string | null
+}
+
+type OwnerDelegate = {
+  updateMany(args: {
+    where: Record<string, string>
+    data: Record<string, string>
+  }): Promise<{ count: number }>
+}
+
+/** Prisma 模型名 → client delegate 键（AiProviderConfig → aiProviderConfig） */
+function delegateKey(model: string): string {
+  return model.charAt(0).toLowerCase() + model.slice(1)
+}
+
+/**
+ * 归属转移（单事务，纯 DB；停写快照由调用方保证）。
+ *
+ * 返回 `tables`：转移的属主列数（表.列对，即 updateMany 次数，恒等于
+ * OWNERSHIP_COLUMNS 长度）；`rows`：Σ updateMany.count（实际翻转的属主行数，
+ * 幂等二跑为 0）。
+ *
+ * 步序（事务内）：① upsert 云身份行（必须先于属主翻转——后续 FK 写入的合法
+ * 目标；update 分支留空保证幂等不覆盖既有资料，password 随机占位与
+ * desktop-bootstrap 同惯例：本地行凭据登录必失败）；② 全量属主列 UPDATE；
+ * ③ 删除 guest 行（Restrict 列已全部翻转，删除不被 FK 阻塞）。
+ */
+export async function transferOwnership(
+  prisma: PrismaClient,
+  fromUserId: string,
+  toUser: TransferToUser,
+): Promise<{ tables: number; rows: number }> {
+  if (fromUserId === toUser.id) {
+    throw new Error("[ownership-transfer] 转移源与目标相同，拒绝执行")
+  }
+
+  const toUserId = toUser.id
+  const columns = OWNERSHIP_COLUMNS
+
+  return prisma.$transaction(async (tx) => {
+    // ① 云身份行（先于属主翻转：FK 目标必须先存在）
+    await tx.user.upsert({
+      where: { id: toUserId },
+      create: {
+        id: toUserId,
+        email: toUser.email?.trim() || `${toUserId}@cloud.local`,
+        username: toUser.name?.trim() || toUserId,
+        password: randomUUID(),
+        avatarConfig: (toUser.avatarConfig ?? undefined) as object | undefined,
+        bgShape: toUser.bgShape ?? undefined,
+        bgColor: toUser.bgColor ?? undefined,
+        status: "ACTIVE",
+      },
+      // update 留空（同 desktop-bootstrap 惯例）：云身份行已存在时 upsert no-op，
+      // 不覆盖用户后续改名/改头像（幂等）
+      update: {},
+    })
+
+    // ② 全量属主列翻转（清单纯 server 侧数据；配置类 TRANSFER_EXCLUDED 不在内）
+    let rows = 0
+    const delegates = tx as unknown as Record<string, OwnerDelegate | undefined>
+    for (const { table, column } of columns) {
+      const delegate = delegates[delegateKey(table)]
+      if (!delegate?.updateMany) {
+        // 清单与 PrismaClient 漂移（模型改名/删除）：立刻失败回滚，绝不带病翻转
+        throw new Error(
+          `[ownership-transfer] 属主清单与 PrismaClient 不符：缺 ${table} delegate（schema 与客户端漂移？）`,
+        )
+      }
+      const result = await delegate.updateMany({
+        where: { [column]: fromUserId },
+        data: { [column]: toUserId },
+      })
+      rows += result.count
+    }
+
+    // ③ 删除 guest 行（翻转后无任何 FK 指向它：Cascade 无从级联、Restrict 不阻塞）。
+    // 必须用 deleteMany 而非 delete：delete 对已删行抛 P2025 并回滚整个二跑事务
+    // （幂等二跑变确定性失败，renderer 超时重试即误入 bind:fail）——deleteMany
+    // count=0 即 no-op，幂等三要素才全部为真（审查轮 1 修复）。
+    await tx.user.deleteMany({ where: { id: fromUserId } })
+
+    return { tables: columns.length, rows }
+  })
+}
+
+/**
+ * 归属反向转移（桌面本地优先 P2-A9，登出镜像）：云账号登出时把云身份名下全部
+ * 业务数据一次性翻回 guest（local-guest）名下，随后删除云身份行、重建 guest
+ * 影子行——数据保留在本机且 guest 会话立即可访问。与正向 transferOwnership
+ * 同构（同属主清单方向翻转、单事务、deleteMany 幂等），两处正向没有的差异：
+ *
+ * ① guest 影子行**重建**而非删除：正向末尾删了 guest 行（或首启尚未 seed），
+ *    反向翻转的 FK 目标必须先存在——事务内先调 ensureLocalShadowUserWith(tx)
+ *    重建（抽自 desktop-bootstrap，原无参包装直用模块级 prisma 单例会绕过 tx）。
+ * ② sync_outbox / sync_row_state **同事务清空**（正向零触达——正向的 outbox 语义
+ *    由触发器自然产出；反向必须清：属主翻转触发的 upsert ops 若留在 outbox，登出
+ *    后引擎一旦带云会话 tick 就会把「cloud→guest 属主翻转」推上云，污染云端数据
+ *    ——审查重点「防反向 op 推上云」）。两表是 sync-core 客户端原生 SQL 表（无
+ *    Prisma delegate），用 $executeRaw 静态 SQL（表名写死非用户输入，无注入面），
+ *    且与属主 UPDATE 同一 $transaction 闭包（原子化，无 tick 窗口）；行状态重建
+ *    由下次 pull bootstrap 回填。
+ * ③ 云身份行删除后不做快照/恢复编排：单事务自身原子，失败整体回滚即留在云态，
+ *    调用方（reverseTransferOwnershipFn + renderer 登出流程）解锁后可重试。
+ *
+ * 幂等语义与正向一致：二跑 UPDATE 匹配 0 行、guest 行 upsert update 留空、云身份
+ * 行 deleteMany 计 0 no-op、raw 清表照常（DELETE 全表天然幂等）。
+ */
+export async function reverseTransferOwnership(
+  prisma: PrismaClient,
+  fromUserId: string,
+  toUserId: string,
+): Promise<{ tables: number; rows: number }> {
+  if (fromUserId === toUserId) {
+    throw new Error("[ownership-transfer] 转移源与目标相同，拒绝执行")
+  }
+
+  const columns = OWNERSHIP_COLUMNS
+
+  return prisma.$transaction(async (tx) => {
+    // ① guest 影子行重建（先于属主翻转：FK 目标必须先存在；update 留空幂等，
+    //    不覆盖既有影子行资料）
+    await ensureLocalShadowUserWith(tx)
+
+    // ② 全量属主列翻转 cloud → guest（与正向同清单反向；TRANSFER_EXCLUDED 同样不在内）
+    let rows = 0
+    const delegates = tx as unknown as Record<string, OwnerDelegate | undefined>
+    for (const { table, column } of columns) {
+      const delegate = delegates[delegateKey(table)]
+      if (!delegate?.updateMany) {
+        throw new Error(
+          `[ownership-transfer] 属主清单与 PrismaClient 不符：缺 ${table} delegate（schema 与客户端漂移？）`,
+        )
+      }
+      const result = await delegate.updateMany({
+        where: { [column]: fromUserId },
+        data: { [column]: toUserId },
+      })
+      rows += result.count
+    }
+
+    // ③ 删除云身份行（翻转后无 FK 指向它；deleteMany 幂等——二跑已删计 0）
+    await tx.user.deleteMany({ where: { id: fromUserId } })
+
+    // ④ 同事务清空同步两表（防反向 op 推上云污染；表名静态写死无注入面）。
+    //    放在翻转之后：清空前的任何窗口内 outbox ops 都随事务回滚/覆盖，清空后
+    //    引擎 tick 无 op 可推。$executeRaw 仅经 tx（测试以「外层无此方法」钉死同
+    //    闭包语义）。
+    await tx.$executeRaw`DELETE FROM sync_outbox`
+    await tx.$executeRaw`DELETE FROM sync_row_state`
+
+    return { tables: columns.length, rows }
+  })
+}

package/src/server/sync/saas-profile.ts

@@ -0,0 +1,70 @@
+// SPDX-License-Identifier: AGPL-3.0-or-later
+// AllBlue - 理想之海
+// Copyright (C) 2026 AllBlue Contributors
+
+// SaaS 云账号资料自取（桌面本地优先 P2-A8b）：归属转移的云身份行需要昵称/头像
+// 等资料，而 remote-auth.json 的 session 块只存 userId/planName/sessionToken
+// （A10 契约），renderer 侧拿不到 profile——A8b 裁定：transferOwnershipFn 允许
+// 省略身份字段，省略时 handler 以 remoteAuth.sessionToken 向 SaaS exchange 端点
+// 自取 profile 补齐（字段全传则用传入值，入参向后兼容）。
+// 独立模块原因：serverFn 文件禁止 createServerFn 之外的值导出（purity 口径①），
+// serverFns/auth/session.ts 的 saasProfileSchema 无法复用/导出——此处按 transfer
+// 需要的字段子集重建 schema（zod 精确校验，形状漂移即拒绝）。
+// fetch 形态照 exchangeRemoteTokenFn 既有先例（Cookie: auth.session-token=… +
+// credentials: omit + 10s 超时；SAAS_URL 非用户可控，SSRF 守卫不适用）。
+import { z } from "zod"
+
+export const DESKTOP_SAAS_URL = process.env.DESKTOP_SAAS_URL || "https://allblue.litsex.cn"
+
+const saasProfileSchema = z.object({
+  user: z.object({
+    id: z.string().min(1),
+    name: z.string().nullable().optional(),
+    email: z.string().nullable().optional(),
+    // 头像字段可选下发（与 serverFns/auth/session.ts 的 saasProfileSchema 同形）
+    avatarConfig: z.record(z.string(), z.number()).optional(),
+    bgShape: z.string().optional(),
+    bgColor: z.string().optional(),
+  }),
+})
+
+/** 转移云身份行所需的资料子集（缺省字段由调用方兜底） */
+export interface SaasProfileFields {
+  name: string | null
+  email: string | null
+  avatarConfig: Record<string, number> | null
+  bgShape: string | null
+  bgColor: string | null
+}
+
+/**
+ * 以云会话 token 向 SaaS 换取账号资料（归属转移云身份行用）。
+ * 失败（网络/非 200/形状漂移）抛错——调用方（transferOwnershipFn）让 bind:fail
+ * 路径接管，绝不以空/错资料落云身份行。
+ */
+export async function fetchSaasProfile(sessionToken: string | undefined): Promise<SaasProfileFields> {
+  if (!sessionToken) {
+    throw new Error("[sync/transfer] 无云会话 token，无法自取云账号资料")
+  }
+  const res = await fetch(`${DESKTOP_SAAS_URL}/api/auth/desktop-callback?exchange=true`, {
+    headers: { Cookie: `auth.session-token=${sessionToken}` },
+    credentials: "omit",
+    signal: AbortSignal.timeout(10_000),
+  })
+  if (!res.ok) {
+    throw new Error(`[sync/transfer] SaaS 云账号资料获取失败: ${res.status}`)
+  }
+  let profile: z.infer<typeof saasProfileSchema>
+  try {
+    profile = saasProfileSchema.parse(await res.json())
+  } catch {
+    throw new Error("[sync/transfer] SaaS 云账号资料响应格式异常")
+  }
+  return {
+    name: profile.user.name ?? null,
+    email: profile.user.email ?? null,
+    avatarConfig: profile.user.avatarConfig ?? null,
+    bgShape: profile.user.bgShape ?? null,
+    bgColor: profile.user.bgColor ?? null,
+  }
+}