@chuhe2640/ahsopus-cli 0.1.0

package/README.md

@@ -0,0 +1,84 @@
+# AHSOpsHub CLI
+
+AHSOpsHub 的本机 CLI，对标飞书 `lark-cli` 的认证、信封、Skill 和高风险确认机制。服务端按用户实时权限执行，生产开关默认关闭。
+
+## 用户安装
+
+Windows、macOS 和 Linux 使用同一条命令。安装过程中再选择要把 Skills 写到哪个 AI Agent：
+
+```bash
+npx @chuhe2640/ahsopus-cli@latest install --server <当前 AHSOpsHub 地址> --profile <dev|office|prod>
+```
+
+用户安装只需要 Node.js 18+（npm / npx），与飞书 CLI 一样不需要 Go。`npx` 会下载当前平台的预编译 `ahsops` 并装到 npm 全局命令。Go 1.23+ 只在从源码构建或发布 npm 包时需要。开发和生产共用这一条 CLI，用 profile 指向不同服务地址，不要发第二套包。调试 CLI 源码时不要 `npm publish` 到 `latest`，在 `cli` 目录运行 `npx --yes . install --server <地址> --profile dev`。
+
+发布到 npm（包名挂在当前 npm 账号 `chuhe2640` 下）：
+
+```bash
+cd cli
+npm publish --access public
+```
+
+正式签名发布物仍可使用校验 SHA-256 的仓库安装器，不会静默更新，也不会绕过 macOS 代码签名／Gatekeeper 或 Windows Authenticode：
+
+```bash
+bash install.sh https://release.example.internal/ahsops 0.1.0
+```
+
+```powershell
+.\install.ps1 -ReleaseBaseUrl https://release.example.internal/ahsops -Version 0.1.0
+```
+
+## 首次使用
+
+```bash
+ahsops profile add office --server http://192.168.1.20:3000
+ahsops auth login --recommend
+ahsops skills install --target claude-code --scope user
+ahsops doctor
+```
+
+Agent 登录不要阻塞等用户点浏览器：`ahsops auth login --no-open --no-wait`，把 `verification_uri_complete` 和 `ahsops auth qrcode --url ...` 交给用户，再用 `--device-code` 继续轮询。缺 `--yes` 的写操作退出码是 `10`，不是普通错误。
+
+profile可使用HTTP或HTTPS。部门内网部署直接使用专用Mac的`http://局域网IP:3000`，不需要额外开关、参数或交互确认。服务端`PUBLIC_APP_URL`也必须使用同一个其他电脑可访问的地址；`127.0.0.1`只适用于浏览器和服务都在同一台机器的情况。系统已移除本地密码登录，但HTTP仍会明文传输飞书 OAuth 回调 code、Cookie、CLI Token和业务结果，这是当前部署明确接受的取舍。凭据默认存入 macOS Keychain 或 Windows Credential Manager；系统钥匙串不可用时，必须由用户在交互终端显式执行：
+
+```bash
+ahsops auth storage file-enable
+```
+
+文件存储使用 AES-GCM 和权限为 `0600` 的本机主密钥，但同一系统用户下的其他进程仍可能读取，因此不会自动降级到文件存储。
+
+`file-enable`和`keychain-enable`会迁移全部已配置profile的现有凭据，目标存储回读和配置激活成功后才清理旧存储；切换失败时保留原凭据。若旧存储清理失败，CLI通过`warnings`明确列出受影响profile，但已激活的目标凭据仍可用。
+
+设备 Token 轮询遇到短暂网络中断时会在设备码有效期内继续；如果服务端已经消费设备码但响应丢失，CLI会返回`invalid_grant`并要求重新登录。`auth logout`在远端撤销成功或服务端明确返回401时删除本机凭据；网络中断和临时服务端错误不会清理凭据，避免留下无法从终端撤销的活跃会话。
+
+## 输出和写操作
+
+默认成功输出写 stdout，错误写 stderr，格式均为 JSON 信封。可选 `pretty`、`table`、`ndjson` 和 `csv`，并支持本地 `--jq`。复杂请求使用：
+
+```bash
+ahsops analytics tools search --data @search.json
+ahsops notification preview --data @preview.json --dry-run
+```
+
+受控写操作先运行 `--dry-run`；服务端会执行与真实操作相同的权限、对象、状态、Release和配置版本校验，然后回滚数据库事务。向用户说明实际变化后才可使用 `--yes`。规则正式应用、真实通知发送、资产发布/恢复和平台配置不在 v1 CLI 中开放。
+
+每个真实写请求的幂等记录和业务变更在同一PostgreSQL事务中提交；中途故障会整体回滚，成功重试则在重新检查当前RBAC后返回原结果。CSV对可能被电子表格执行的字符串加入防护，table输出移除ANSI与终端控制字符。
+
+## 本地开发
+
+要求 Go 1.23 或更高版本：
+
+```bash
+go test ./...
+go test -race ./...
+go build ./cmd/ahsops
+```
+
+依赖下载、Go 安装和正式签名需要在受控开发或 CI 环境中执行。本仓库 CI 负责格式、服务端CLI契约、测试、race 和三目标交叉构建；正式 Release 只能从`main`手工触发，要求名为`ahsops-cli-release`的受保护 GitHub Environment、人工审批以及其中配置的macOS与Windows签名Secret。同一SemVer的已发布签名产物不可覆盖。
+
+## 验证边界
+
+- `go test` 和交叉编译不等于 Windows 真机运行验收。
+- 安装器校验 SHA-256 不等于代码签名、公证或公司软件分发审批。
+- 本地 CLI 测试不等于真实 PostgreSQL 迁移、局域网HTTP多设备访问、Claude Code/Codex 前向任务或生产验收。

package/bin/cli.js

@@ -0,0 +1,31 @@
+#!/usr/bin/env node
+import { spawnSync } from 'node:child_process'
+import { existsSync } from 'node:fs'
+import { install } from '../npm/lib/install.js'
+import { nativeBinaryPath, placeBinary } from '../npm/lib/place-binary.js'
+
+const args = process.argv.slice(2)
+if (args[0] === 'install') {
+  try {
+    await install()
+  } catch (error) {
+    const message = error instanceof Error ? error.message : String(error)
+    console.error(message)
+    process.exit(1)
+  }
+  process.exit(0)
+}
+
+let binary = nativeBinaryPath()
+if (!existsSync(binary)) {
+  try {
+    binary = placeBinary()
+  } catch (error) {
+    const message = error instanceof Error ? error.message : String(error)
+    console.error(message)
+    process.exit(1)
+  }
+}
+
+const result = spawnSync(binary, args, { stdio: 'inherit' })
+process.exit(result.status ?? 1)

package/npm/lib/install.js

@@ -0,0 +1,212 @@
+// INPUT: 本机 Node、已安装的 Agent、终端是否可交互
+// OUTPUT: 全局安装 ahsops，多选写入 Skills，并按当前站点配置 profile
+// POS: npx @chuhe2640/ahsopus-cli install 的跨平台入口，对齐飞书 CLI 安装向导，不要求 Go，不打印 Token
+
+import * as p from '@clack/prompts'
+import { spawnSync } from 'node:child_process'
+import { existsSync, readFileSync } from 'node:fs'
+import { homedir, platform } from 'node:os'
+import path from 'node:path'
+import { stdin } from 'node:process'
+import { packageRoot } from './place-binary.js'
+
+export const AGENTS = [
+  { id: 'claude-code', name: 'Claude Code', hint: '~/.claude' },
+  { id: 'codex', name: 'Codex', hint: '~/.codex' },
+  { id: 'cursor', name: 'Cursor', hint: '~/.cursor' },
+  { id: 'grok', name: 'Grok', hint: '~/.grok' },
+]
+
+const pkg = JSON.parse(readFileSync(new URL('../../package.json', import.meta.url), 'utf8'))
+
+export function parseInstallFlags(argv) {
+  let server = ''
+  let profile = ''
+  for (let index = 0; index < argv.length; index += 1) {
+    const value = argv[index]
+    if (value === '--server' && argv[index + 1] && !argv[index + 1].startsWith('-')) {
+      server = argv[index + 1]
+      index += 1
+      continue
+    }
+    if (value.startsWith('--server=')) {
+      server = value.slice('--server='.length)
+      continue
+    }
+    if (value === '--profile' && argv[index + 1] && !argv[index + 1].startsWith('-')) {
+      profile = argv[index + 1]
+      index += 1
+      continue
+    }
+    if (value.startsWith('--profile=')) {
+      profile = value.slice('--profile='.length)
+    }
+  }
+  return { server, profile }
+}
+
+function execFile(command, args, options) {
+  if (platform() === 'win32') {
+    return spawnSync('cmd.exe', ['/c', command, ...args], options)
+  }
+  return spawnSync(command, args, options)
+}
+
+function run(command, args, options = {}) {
+  const result = execFile(command, args, {
+    encoding: 'utf8',
+    stdio: options.stdio ?? 'inherit',
+    shell: false,
+    ...options,
+  })
+  if (result.error) throw result.error
+  if (result.status !== 0) {
+    const detail = String(result.stderr || result.stdout || '').trim()
+    throw new Error(detail || `${command} ${args.join(' ')} 失败（退出码 ${result.status}）`)
+  }
+  return result
+}
+
+function runQuiet(command, args, options = {}) {
+  return run(command, args, { stdio: ['ignore', 'pipe', 'pipe'], ...options })
+}
+
+export function detectedAgents(home = homedir()) {
+  return AGENTS.filter((agent) => existsSync(agent.hint.replace('~', home)))
+}
+
+function globalAhsops() {
+  const prefix = runQuiet('npm', ['prefix', '-g']).stdout.trim()
+  if (platform() === 'win32') {
+    return path.join(prefix, 'ahsops.cmd')
+  }
+  return path.join(prefix, 'bin', 'ahsops')
+}
+
+function globallyInstalledVersion() {
+  try {
+    const out = runQuiet('npm', ['list', '-g', pkg.name], { timeout: 15000 }).stdout
+    const match = String(out).match(/@(\d+\.\d+\.\d+[^\s]*)/)
+    return match ? match[1] : null
+  } catch {
+    return null
+  }
+}
+
+async function installGlobally() {
+  const installed = globallyInstalledVersion()
+  if (installed === pkg.version) {
+    p.log.info(`已安装 (v${installed})，跳过`)
+    return
+  }
+  const spinner = p.spinner()
+  spinner.start(installed ? `正在升级 ${pkg.name} (v${installed} → v${pkg.version})...` : `正在安装 ${pkg.name}...`)
+  try {
+    try {
+      runQuiet('npm', ['install', '-g', `${pkg.name}@${pkg.version}`], { timeout: 120000 })
+    } catch {
+      runQuiet('npm', ['install', '-g', packageRoot()], { timeout: 120000 })
+    }
+    spinner.stop(installed ? `已升级到 v${pkg.version}` : '已全局安装')
+  } catch {
+    spinner.stop(`全局安装失败。运行以下命令重试: npm install -g ${pkg.name}`)
+    process.exit(1)
+  }
+}
+
+async function chooseAgents() {
+  const found = detectedAgents()
+  const selected = await p.multiselect({
+    message: found.length
+      ? `检测到本机已安装：${found.map((agent) => agent.name).join('、')}。空格多选，回车确认`
+      : '未检测到已安装的 AI Agent。空格多选要写入 Skills 的工具，回车确认',
+    options: AGENTS.map((agent) => ({
+      value: agent.id,
+      label: agent.name,
+      hint: found.some((item) => item.id === agent.id) ? '已检测到' : undefined,
+    })),
+    initialValues: found.map((agent) => agent.id),
+    required: false,
+  })
+  if (p.isCancel(selected)) {
+    p.cancel('安装已取消')
+    process.exit(0)
+  }
+  return selected
+}
+
+async function installSkills(binary, targets) {
+  if (!targets.length) {
+    p.log.info('已跳过 Skills 安装')
+    return
+  }
+  const spinner = p.spinner()
+  spinner.start('正在安装 Skills...')
+  try {
+    for (const target of targets) {
+      runQuiet(binary, ['skills', 'install', '--target', target, '--scope', 'user', '--yes'])
+    }
+    spinner.stop(`Skills 已安装（${targets.map((id) => AGENTS.find((agent) => agent.id === id)?.name ?? id).join('、')}）`)
+  } catch (error) {
+    spinner.stop('Skills 安装失败')
+    p.log.error(error instanceof Error ? error.message : String(error))
+    p.log.info('可稍后执行：ahsops skills install --target claude-code --scope user --yes')
+  }
+}
+
+function writeProfile(binary, server, profile) {
+  const profileName = profile || 'office'
+  runQuiet(binary, ['profile', 'add', profileName, '--server', server])
+  runQuiet(binary, ['profile', 'use', profileName])
+  p.log.success(`已写入 profile ${profileName} → ${server}`)
+}
+
+async function maybeLogin(binary) {
+  const yes = await p.confirm({
+    message: '是否现在登录 AHSOpsHub？会打开浏览器，由你本人批准，不要打印或转发 Token',
+    initialValue: true,
+  })
+  if (p.isCancel(yes)) {
+    p.cancel('安装已取消')
+    process.exit(0)
+  }
+  if (!yes) {
+    p.log.info('跳过授权。后续运行 ahsops auth login --recommend 完成登录')
+    return
+  }
+  p.log.step('授权')
+  try {
+    run(binary, ['auth', 'login', '--recommend'])
+    p.log.success('授权完成')
+  } catch {
+    p.log.warn('授权失败。后续运行 ahsops auth login --recommend 重试')
+  }
+}
+
+export async function install() {
+  const { server, profile } = parseInstallFlags(process.argv.slice(2))
+  const interactive = Boolean(stdin.isTTY)
+
+  if (!interactive) {
+    console.error('正在设置 AHSOpsHub CLI...')
+    runQuiet('npm', ['install', '-g', packageRoot()], { timeout: 120000 })
+    const binary = globalAhsops()
+    if (server) {
+      runQuiet(binary, ['profile', 'add', profile || 'office', '--server', server])
+      runQuiet(binary, ['profile', 'use', profile || 'office'])
+    }
+    console.error('当前不是交互终端。请在终端中运行：')
+    console.error('  npx @chuhe2640/ahsopus-cli@latest install --server <当前站点> --profile <dev|office|prod>')
+    console.error('  ahsops auth login --recommend')
+    return
+  }
+
+  p.intro('正在设置 AHSOpsHub CLI...')
+  await installGlobally()
+  const binary = globalAhsops()
+  if (server) writeProfile(binary, server, profile)
+  const targets = await chooseAgents()
+  await installSkills(binary, targets)
+  await maybeLogin(binary)
+  p.outro('安装完成！\n可以和你的 AI 工具（如 Claude Code、Codex、Cursor、Grok）说：“AHSOpsHub CLI 能帮我做什么？”')
+}

package/npm/lib/place-binary.js

@@ -0,0 +1,61 @@
+// INPUT: 当前平台，以及 npm 包内的 prebuilt/ 或本机 Go
+// OUTPUT: native/ahsops 可执行文件路径
+// POS: postinstall 放置预编译二进制；用户安装不要求 Go
+
+import { chmodSync, copyFileSync, existsSync, mkdirSync } from 'node:fs'
+import { spawnSync } from 'node:child_process'
+import path from 'node:path'
+import { fileURLToPath } from 'node:url'
+import { currentTarget } from './platforms.js'
+
+export function packageRoot() {
+  return path.resolve(path.dirname(fileURLToPath(import.meta.url)), '../..')
+}
+
+export function nativeBinaryPath() {
+  const ext = process.platform === 'win32' ? '.exe' : ''
+  return path.join(packageRoot(), 'native', `ahsops${ext}`)
+}
+
+export function resolvePrebuiltPath(nodePlatform = process.platform, nodeArch = process.arch) {
+  const target = currentTarget(nodePlatform, nodeArch)
+  return path.join(packageRoot(), 'prebuilt', target.file)
+}
+
+function commandExists(name) {
+  const probe = process.platform === 'win32' ? 'where' : 'which'
+  return spawnSync(probe, [name], { encoding: 'utf8', stdio: 'pipe' }).status === 0
+}
+
+export function placeBinary() {
+  const destination = nativeBinaryPath()
+  mkdirSync(path.dirname(destination), { recursive: true })
+  const prebuilt = resolvePrebuiltPath()
+  if (existsSync(prebuilt)) {
+    copyFileSync(prebuilt, destination)
+    chmodSync(destination, 0o755)
+    return destination
+  }
+  if (commandExists('go')) {
+    const result = spawnSync('go', ['build', '-o', destination, './cmd/ahsops'], {
+      cwd: packageRoot(),
+      stdio: 'inherit',
+    })
+    if (result.status !== 0) {
+      throw new Error('本机 go build 失败')
+    }
+    return destination
+  }
+  throw new Error(
+    '未找到本平台预编译文件。请执行 npx @chuhe2640/ahsopus-cli@latest install（只需 Node.js）。从源码安装才需要 Go 1.23+。',
+  )
+}
+
+if (process.argv[1] && path.resolve(process.argv[1]) === fileURLToPath(import.meta.url)) {
+  try {
+    placeBinary()
+  } catch (error) {
+    process.stderr.write(`${error instanceof Error ? error.message : String(error)}\n`)
+    process.exit(1)
+  }
+}

package/npm/lib/platforms.js

@@ -0,0 +1,22 @@
+// INPUT: Node 的 process.platform / process.arch
+// OUTPUT: 与预编译文件名对应的 GOOS/GOARCH 目标
+// POS: npm 安装器与交叉编译共用的平台映射，不含 Token
+
+export const TARGETS = [
+  { id: 'darwin-arm64', goos: 'darwin', goarch: 'arm64', file: 'ahsops-darwin-arm64' },
+  { id: 'darwin-amd64', goos: 'darwin', goarch: 'amd64', file: 'ahsops-darwin-amd64' },
+  { id: 'linux-arm64', goos: 'linux', goarch: 'arm64', file: 'ahsops-linux-arm64' },
+  { id: 'linux-amd64', goos: 'linux', goarch: 'amd64', file: 'ahsops-linux-amd64' },
+  { id: 'windows-amd64', goos: 'windows', goarch: 'amd64', file: 'ahsops-windows-amd64.exe' },
+  { id: 'windows-arm64', goos: 'windows', goarch: 'arm64', file: 'ahsops-windows-arm64.exe' },
+]
+
+export function currentTarget(nodePlatform = process.platform, nodeArch = process.arch) {
+  const goos = nodePlatform === 'win32' ? 'windows' : nodePlatform
+  const goarch = nodeArch === 'x64' ? 'amd64' : nodeArch
+  const found = TARGETS.find((target) => target.goos === goos && target.goarch === goarch)
+  if (!found) {
+    throw new Error(`不支持的平台: ${nodePlatform}/${nodeArch}`)
+  }
+  return found
+}

package/package.json

@@ -0,0 +1,44 @@
+{
+  "name": "@chuhe2640/ahsopus-cli",
+  "version": "0.1.0",
+  "description": "Install AHSOpsHub CLI (ahsops) and Agent Skills",
+  "type": "module",
+  "bin": {
+    "ahsops": "bin/cli.js"
+  },
+  "scripts": {
+    "prepublishOnly": "node npm/lib/build-binaries.js",
+    "test": "node --test npm/lib/*.test.js"
+  },
+  "dependencies": {
+    "@clack/prompts": "^1.7.0"
+  },
+  "files": [
+    "bin/cli.js",
+    "npm/lib/install.js",
+    "npm/lib/place-binary.js",
+    "npm/lib/platforms.js",
+    "prebuilt"
+  ],
+  "os": [
+    "darwin",
+    "linux",
+    "win32"
+  ],
+  "cpu": [
+    "x64",
+    "arm64"
+  ],
+  "engines": {
+    "node": ">=18"
+  },
+  "license": "UNLICENSED",
+  "publishConfig": {
+    "access": "public"
+  },
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/chuheridangwua/datalook.git",
+    "directory": "cli"
+  }
+}