@cloudbase/cloudbase-mcp 2.32.4 → 2.32.5

package/dist/index.cjs

@@ -4195,15 +4195,20 @@ async function fetchAccountEnvCandidates(cloudBaseOptions) {
 function isApiKeyCredentialMode() {
     return Boolean((0, auth_js_1.getCloudBaseApiKeyFromEnv)() && process.env.CLOUDBASE_ENV_ID);
 }
-function getCredentialScope() {
+function getCredentialScope(cloudBaseOptions) {
+    // 只认宿主的显式声明 credentialScope: 'env'（如 tcb-bff hosted OAuth 签发的
+    // 环境级 federated STS）。账号级 DescribeEnvs（不带 EnvId）会被后端拒绝（invalid token）。
+    // 注意：不能用 token 字段的有无推断范围——sessionToken 本身不携带权限范围语义。
+    if (cloudBaseOptions?.credentialScope === "env")
+        return "single_env";
     return isApiKeyCredentialMode() ? "single_env" : "account";
 }
 function buildCredentialBoundaryPayload(cloudBaseOptions) {
-    const credentialScope = getCredentialScope();
+    const credentialScope = getCredentialScope(cloudBaseOptions);
     const currentRegion = (0, site_map_js_1.resolveSiteAndRegion)(cloudBaseOptions ?? {}).region;
     const pinnedEnvId = process.env.CLOUDBASE_ENV_ID || cloudBaseOptions?.envId || null;
     const scopeNote = credentialScope === "single_env"
-        ? `当前为环境级 API Key 登录（单环境权限）。只能访问已绑定的 envId${pinnedEnvId ? ` ${pinnedEnvId}` : ""}，看不到账号下其他环境或其他地域。这是凭据权限边界，不是环境不存在。`
+        ? `当前为环境级凭证登录（单环境权限，API Key 或托管授权 token）。只能访问已绑定的 envId${pinnedEnvId ? ` ${pinnedEnvId}` : ""}，看不到账号下其他环境或其他地域。这是凭据权限边界，不是环境不存在。queryEnv(action="list") 会自动降级为仅返回绑定环境的信息。`
         : `当前为账号级登录。DescribeEnvs 按地域查询；未传 region 时使用当前地域 ${currentRegion}。其他地域请用 queryEnv(action="list", region="ap-singapore")，或 CLI: tcb env list -r ap-singapore。`;
     return {
         credential_scope: credentialScope,
@@ -4322,6 +4327,24 @@ function buildAuthEnvSetupPayload(preparation) {
         ...buildEnvCandidatePayload(preparation.envCandidates),
     };
 }
+// API Key 登录态 CAM 能力受限时的用户提示（实测：部分 API Key 换出的 STS 不带 CAM 策略）
+const API_KEY_CAM_LIMITATION_WARNING = "\n\n⚠️ 注意：该 API Key 换取的临时凭据无法调用管理面 API（CAM 鉴权不通过），管理类工具（queryEnv、queryAppAuth、manageAppAuth 等）将不可用。如需完整能力，请改用长期密钥 TENCENTCLOUD_SECRETID / TENCENTCLOUD_SECRETKEY 认证。";
+/**
+ * API Key 登录态 AUTH_READY 出口统一追加 CAM 能力探测警告。
+ * 仅在探测明确返回 limited（CAM 拒绝）时追加；capable/unknown 静默通过。
+ */
+async function appendApiKeyCamWarningIfNeeded(loginState, message) {
+    try {
+        const probe = await (0, cloudbase_manager_js_1.probeApiKeyCamCapability)(loginState);
+        return probe === "limited" ? message + API_KEY_CAM_LIMITATION_WARNING : message;
+    }
+    catch (e) {
+        (0, logger_js_1.debug)("appendApiKeyCamWarningIfNeeded: probe threw", {
+            error: e instanceof Error ? e.message : String(e),
+        });
+        return message;
+    }
+}
 async function prepareAuthEnvironment(params) {
     const { server, cloudBaseOptions, loginState } = params;
     const currentEnvId = (0, cloudbase_manager_js_1.getCachedEnvId)() ||
@@ -4870,10 +4893,11 @@ function buildEnvQueryErrorMessage(error, action) {
     const hasEnvNotFoundError = /env|environment|环境.*不存在|not found/i.test(baseMessage);
     const suggestions = [];
     if (hasInvalidParameterError) {
-        suggestions.push("参数错误：可能是认证信息无效或已过期，请尝试以下步骤：");
-        suggestions.push("1. 先调用 auth(action=\"status\") 检查当前登录状态");
-        suggestions.push("2. 如果未登录，调用 auth(action=\"start_auth\", authMode=\"device\") 完成登录");
-        suggestions.push("3. 登录完成后再次调用 queryEnv(action=\"list\")");
+        suggestions.push("参数错误：请求未通过服务端的参数校验，请检查本次调用的入参：");
+        suggestions.push("1. 各参数取值是否在允许范围内（枚举值、时间粒度、数量上限等）");
+        suggestions.push("2. 各参数格式是否正确，需要成对传入的参数是否齐全");
+        suggestions.push("3. 必填参数是否都已提供，参数名与类型是否正确");
+        suggestions.push(`4. 修正参数后重新调用 queryEnv(action=\"${action}\")`);
     }
     if (hasAuthError) {
         suggestions.push("认证错误：当前未登录或认证已过期。");
@@ -5409,7 +5433,7 @@ function registerEnvTools(server) {
                                 return (0, tool_result_js_1.buildJsonToolResult)({
                                     ok: true,
                                     code: "AUTH_READY",
-                                    message: "当前使用 API Key 认证模式，已自动完成登录，无需手动授权。",
+                                    message: await appendApiKeyCamWarningIfNeeded(existingLoginState, "当前使用 API Key 认证模式，已自动完成登录，无需手动授权。"),
                                     auth_mode: "api_key",
                                     envId: process.env.CLOUDBASE_ENV_ID,
                                 });
@@ -5420,16 +5444,21 @@ function registerEnvTools(server) {
                             (0, logger_js_1.debug)("start_auth: peekLoginState threw", { error: e instanceof Error ? e.message : String(e) });
                         }
                         // API Key exchange failed: return diagnostic details
+                        const exchangeRegion = (0, site_map_js_1.resolveApiKeyExchangeRegion)();
                         let diagMessage = "当前配置了 API Key 认证模式，但换取临时密钥失败。";
-                        const endpoint = process.env.CLOUDBASE_API_ENDPOINT || `https://${process.env.CLOUDBASE_ENV_ID}.ap-shanghai.tcb-api.tencentcloudapi.com`;
+                        const endpoint = process.env.CLOUDBASE_API_ENDPOINT ||
+                            `https://${process.env.CLOUDBASE_ENV_ID}.${exchangeRegion ?? "ap-shanghai"}.tcb-api.tencentcloudapi.com`;
                         diagMessage += `\n\n诊断信息：`;
                         diagMessage += `\n- CLOUDBASE_ENV_ID: ${process.env.CLOUDBASE_ENV_ID}`;
                         diagMessage += `\n- CLOUDBASE_API_KEY: ${apiKeyFromEnv.slice(0, 20)}...（已截断）`;
+                        diagMessage += `\n- TCB_SITE: ${process.env.TCB_SITE || "(未设置)"}`;
+                        diagMessage += `\n- 换取网关地域: ${exchangeRegion ?? "ap-shanghai（国内站默认，多地域环境均经其路由）"}`;
                         diagMessage += `\n- Endpoint: ${endpoint}`;
                         diagMessage += `\n\n可能原因：`;
                         diagMessage += `\n1. API Key 已过期或被删除`;
                         diagMessage += `\n2. Endpoint 不可达（网络/DNS 问题）`;
                         diagMessage += `\n3. CLOUDBASE_ENV_ID 与 API Key 所属环境不匹配`;
+                        diagMessage += `\n4. API Key 与站点不匹配：国际站环境的 Key 需配置 TCB_SITE=intl（走 ap-singapore 网关）；国内站环境（含 ap-guangzhou/ap-singapore 地域）不要配置 intl`;
                         diagMessage += `\n\n建议：检查 MCP 配置中的 CLOUDBASE_API_KEY（或兼容的 CLOUDBASE_APIKEY）和 CLOUDBASE_ENV_ID 环境变量是否正确。`;
                         return (0, tool_result_js_1.buildJsonToolResult)({
                             ok: false,
@@ -5640,7 +5669,7 @@ function registerEnvTools(server) {
                             return (0, tool_result_js_1.buildJsonToolResult)({
                                 ok: true,
                                 code: "AUTH_READY",
-                                message: "API Key 认证成功，已获取临时密钥。",
+                                message: await appendApiKeyCamWarningIfNeeded(loginState, "API Key 认证成功，已获取临时密钥。"),
                                 auth_mode: "api_key",
                                 ...buildAuthEnvSetupPayload(envPreparation),
                                 next_step: envPreparation.nextStep,
@@ -5653,10 +5682,12 @@ function registerEnvTools(server) {
                         diagMessage += `\n\n诊断信息：`;
                         diagMessage += `\n- CLOUDBASE_ENV_ID: ${toolApiKeyEnvId}`;
                         diagMessage += `\n- CLOUDBASE_API_KEY: ${toolApiKey.slice(0, 20)}...（已截断）`;
+                        diagMessage += `\n- TCB_SITE: ${process.env.TCB_SITE || "(未设置)"}`;
                         diagMessage += `\n\n可能原因：`;
                         diagMessage += `\n1. API Key 已过期或被删除`;
                         diagMessage += `\n2. CLOUDBASE_ENV_ID 与 API Key 所属环境不匹配`;
-                        diagMessage += `\n3. 网络连接问题`;
+                        diagMessage += `\n3. API Key 与站点不匹配：国际站环境的 Key 需配置 TCB_SITE=intl（走 ap-singapore 网关）；国内站环境（含 ap-guangzhou/ap-singapore 地域）不要配置 intl`;
+                        diagMessage += `\n4. 网络连接问题`;
                         diagMessage += `\n\n建议：请检查 API Key 和环境 ID 是否正确。`;
                         return (0, tool_result_js_1.buildJsonToolResult)({
                             ok: false,
@@ -5880,9 +5911,19 @@ function registerEnvTools(server) {
                         // API Key / env-var pin: skip DescribeEnvs (STS often cannot list).
                         // Account-level sessions that only pinned CLOUDBASE_ENV_ID via set_env
                         // can still pass region/alias/envId to list other environments.
-                        const envIdFromEnv = !cloudBaseOptions?.requestFn && process.env.CLOUDBASE_ENV_ID;
+                        // Hosted OAuth: 宿主（tcb-bff）显式声明 credentialScope: 'env'，签发的
+                        // 环境级 federated STS 调账号级 DescribeEnvs 会被拒（"invalid token"），
+                        // 同样 pin 到绑定 envId 降级为 describeEnvInfo。
+                        const isEnvScopedCredential = cloudBaseOptions?.credentialScope === "env" &&
+                            typeof cloudBaseOptions?.envId === "string" &&
+                            cloudBaseOptions.envId.length > 0;
+                        const envIdFromEnv = !cloudBaseOptions?.requestFn &&
+                            (process.env.CLOUDBASE_ENV_ID ||
+                                (isEnvScopedCredential ? cloudBaseOptions.envId : undefined));
                         const shouldPinToEnvVar = Boolean(envIdFromEnv &&
-                            (isApiKeyCredentialMode() || (!region && !alias && !envId)));
+                            (isApiKeyCredentialMode() ||
+                                isEnvScopedCredential ||
+                                (!region && !alias && !envId)));
                         if (shouldPinToEnvVar && envIdFromEnv) {
                             try {
                                 const envInfo = await cloudbaseList.env.describeEnvInfo({ EnvId: envIdFromEnv });
@@ -5905,6 +5946,13 @@ function registerEnvTools(server) {
                                 (0, logger_js_1.debug)("DescribeEnvInfo 失败，返回基础环境信息:", envInfoError instanceof Error ? envInfoError : new Error(String(envInfoError)));
                                 result = { EnvList: [{ EnvId: envIdFromEnv }] };
                             }
+                            // 给调用方 AI 说明降级原因，避免误判为"账号只有一个环境"
+                            if (isEnvScopedCredential) {
+                                result = {
+                                    ...result,
+                                    scope_note: `当前凭证为环境级（托管授权凭证绑定 ${envIdFromEnv}），账号级环境列表接口无权限，已降级为仅返回绑定环境的信息。如需查看账号下全部环境，请用有账号级权限的凭证登录。`,
+                                };
+                            }
                         }
                         else {
                             // Use commonService to call DescribeEnvs with filter parameters
@@ -29421,6 +29469,7 @@ var __importDefault = (this && this.__importDefault) || function (mod) {
 };
 Object.defineProperty(exports, "__esModule", ({ value: true }));
 exports.envManager = void 0;
+exports.probeApiKeyCamCapability = probeApiKeyCamCapability;
 exports.listAvailableEnvCandidates = listAvailableEnvCandidates;
 exports.resolveEnvCandidateByEnvId = resolveEnvCandidateByEnvId;
 exports.getEnvId = getEnvId;
@@ -29465,6 +29514,53 @@ function createManagerFromLoginState(loginState, region) {
         region: region ?? (0, site_map_js_1.resolveSiteAndRegion)().region,
     });
 }
+// 仅缓存确定性结果（capable/limited），unknown 不缓存以便下次重试
+const apiKeyCamProbeCache = new Map();
+const CAM_PROBE_TIMEOUT_MS = 8000;
+/**
+ * 轻量探测 API Key 登录态能否调用管理面（CAM）API。
+ * 背景：部分 API Key（如"AI 开发套件"形态的 JWT key）只能完成 tcb-api 网关的登录态换取，
+ * 换出的 STS 凭据不带 CAM 策略，queryEnv/queryAppAuth 等管理类工具会全部失败。
+ * 实测凭据：2026-09-01 国际站认证排查（specs/intl-auth-investigation）。
+ */
+async function probeApiKeyCamCapability(loginState) {
+    if (!loginState.secretId || !loginState.secretKey || !loginState.envId) {
+        return "unknown";
+    }
+    const cacheKey = `${loginState.secretId}:${loginState.envId}`;
+    const cached = apiKeyCamProbeCache.get(cacheKey);
+    if (cached !== undefined) {
+        return cached ? "capable" : "limited";
+    }
+    try {
+        const manager = createManagerFromLoginState(loginState);
+        // 查询环境详情（DescribeEnvInfo）：单环境、入参仅 EnvId，比 DescribeEnvs 更贴合
+        // "登录后查环境" 的首个真实调用；Action 名已对照 CAM 资源级策略文档确认
+        const probeCall = manager.commonService("tcb").call({
+            Action: "DescribeEnvInfo",
+            Param: { EnvId: loginState.envId },
+        });
+        const timeout = new Promise((_, reject) => {
+            const timer = setTimeout(() => reject(new Error("probe timeout")), CAM_PROBE_TIMEOUT_MS);
+            // 不阻塞进程退出
+            timer.unref?.();
+        });
+        await Promise.race([probeCall, timeout]);
+        apiKeyCamProbeCache.set(cacheKey, true);
+        return "capable";
+    }
+    catch (e) {
+        const code = e?.code ?? (e instanceof Error ? e.message : String(e));
+        // 仅把 CAM 明确拒绝判定为 limited；超时/网络等 inconclusive 失败归为 unknown
+        if (code.includes("UnauthorizedOperation") || code.includes("invalid token")) {
+            (0, logger_js_1.debug)("probeApiKeyCamCapability: CAM rejected", { code });
+            apiKeyCamProbeCache.set(cacheKey, false);
+            return "limited";
+        }
+        (0, logger_js_1.debug)("probeApiKeyCamCapability: inconclusive failure", { code });
+        return "unknown";
+    }
+}
 async function listAvailableEnvCandidates(options) {
     const { cloudBaseOptions, loginState: providedLoginState, region: regionOverride, ignorePinnedEnvId, } = options ?? {};
     if (!ignorePinnedEnvId) {
@@ -95078,10 +95174,11 @@ var __importDefault = (this && this.__importDefault) || function (mod) {
     return (mod && mod.__esModule) ? mod : { "default": mod };
 };
 Object.defineProperty(exports, "__esModule", ({ value: true }));
-exports.CUSTOM_IMAGE_RUNTIME = exports.LAYER_SOFT_WARN = exports.MANAGE_FUNCTION_ACTIONS = exports.QUERY_FUNCTION_ACTIONS = exports.TRIGGER_CONFIG_EXAMPLES = exports.SUPPORTED_TRIGGER_TYPES = exports.DEFAULT_NODEJS_RUNTIME = exports.SUPPORTED_NODEJS_RUNTIMES = exports.RECOMMENDED_RUNTIMES = exports.DEFAULT_RUNTIME = exports.ALL_SUPPORTED_RUNTIMES = exports.SUPPORTED_RUNTIMES = void 0;
+exports.CUSTOM_IMAGE_RUNTIME = exports.MASKED_ENV_VALUE = exports.LAYER_SOFT_WARN = exports.MANAGE_FUNCTION_ACTIONS = exports.QUERY_FUNCTION_ACTIONS = exports.TRIGGER_CONFIG_EXAMPLES = exports.SUPPORTED_TRIGGER_TYPES = exports.DEFAULT_NODEJS_RUNTIME = exports.SUPPORTED_NODEJS_RUNTIMES = exports.RECOMMENDED_RUNTIMES = exports.DEFAULT_RUNTIME = exports.ALL_SUPPORTED_RUNTIMES = exports.SUPPORTED_RUNTIMES = void 0;
 exports.formatRuntimeList = formatRuntimeList;
 exports.layerNameIncludesEnvId = layerNameIncludesEnvId;
 exports.buildCreateLayerNameWarning = buildCreateLayerNameWarning;
+exports.maskFunctionDetailEnvValues = maskFunctionDetailEnvValues;
 exports.validateTimerCron = validateTimerCron;
 exports.pickManageFunctionName = pickManageFunctionName;
 exports.shouldInstallDependencyForFunction = shouldInstallDependencyForFunction;
@@ -95206,8 +95303,33 @@ function buildCreateLayerNameWarning(layerName, envId) {
     }
     return exports.LAYER_SOFT_WARN.createNameFormat(envId);
 }
-const VPC_SCHEMA = zod_1.z.object({
-    vpcId: zod_1.z
+/** 环境变量脱敏后的占位值（不保留任何明文片段）。 */
+exports.MASKED_ENV_VALUE = "***";
+/**
+ * 对 getFunctionDetail 返回的 Environment.Variables 做脱敏：
+ * 保留 Key 与原始值长度（ValueLength），Value 置为占位符。
+ * 用于默认工具返回与日志落盘，避免明文进入模型上下文 / 持久化日志。
+ */
+function maskFunctionDetailEnvValues(detail) {
+    const variables = detail?.Environment?.Variables;
+    if (!Array.isArray(variables) || variables.length === 0) {
+        return detail;
+    }
+    return {
+        ...detail,
+        Environment: {
+            ...detail.Environment,
+            Variables: variables.map((item) => ({
+                ...item,
+                Value: exports.MASKED_ENV_VALUE,
+                ...(typeof item.Value === "string"
+                    ? { ValueLength: item.Value.length }
+                    : {}),
+            })),
+        },
+    };
+}
+const VPC_SCHEMA = zod_1.z.object({ vpcId: zod_1.z
         .string()
         .describe("VPC ID from the real database/network console (e.g. vpc-xxxxxxxx). Required for non-native TCP DB access. Do NOT invent or use placeholders."),
     subnetId: zod_1.z
@@ -95577,15 +95699,19 @@ function registerFunctionTools(server) {
                 }
                 const cloudbase = await getManager();
                 const result = await cloudbase.functions.getFunctionDetail(input.functionName, input.codeSecret);
-                (0, cloudbase_manager_js_1.logCloudBaseResult)(server.logger, result);
+                // 日志侧一律脱敏（持久化，不提供明文口子）；工具返回侧按 revealEnvValues 决定
+                (0, cloudbase_manager_js_1.logCloudBaseResult)(server.logger, maskFunctionDetailEnvValues(result));
+                const functionDetail = input.revealEnvValues === true
+                    ? result
+                    : maskFunctionDetailEnvValues(result);
                 return buildEnvelope({
                     action: input.action,
                     functionName: input.functionName,
-                    functionDetail: result,
+                    functionDetail,
                     layers: normalizeFunctionLayers(result.Layers),
                     triggers: result.Triggers || [],
                     requestId: result.RequestId,
-                    raw: result,
+                    raw: functionDetail,
                 }, `已获取函数 ${input.functionName} 的详情`, [
                     {
                         tool: "queryFunctions",
@@ -95803,13 +95929,16 @@ function registerFunctionTools(server) {
                 }
                 const cloudbase = await getManager();
                 const result = await cloudbase.functions.getFunctionDetail(input.functionName, input.codeSecret);
-                (0, cloudbase_manager_js_1.logCloudBaseResult)(server.logger, result);
+                (0, cloudbase_manager_js_1.logCloudBaseResult)(server.logger, maskFunctionDetailEnvValues(result));
+                const detail = input.revealEnvValues === true
+                    ? result
+                    : maskFunctionDetailEnvValues(result);
                 return buildEnvelope({
                     action: input.action,
                     functionName: input.functionName,
-                    triggers: result.Triggers || [],
-                    requestId: result.RequestId,
-                    raw: result,
+                    triggers: detail.Triggers || [],
+                    requestId: detail.RequestId,
+                    raw: detail,
                 }, `已获取函数 ${input.functionName} 的触发器列表`, [
                     {
                         tool: "manageFunctions",
@@ -96563,6 +96692,10 @@ function registerFunctionTools(server) {
             limit: zod_1.z.number().optional().describe("分页数量（limit）。列表类 action 可选，默认值由后端决定"),
             offset: zod_1.z.number().optional().describe("分页偏移（offset）。列表类 action 可选，默认 0"),
             codeSecret: zod_1.z.string().optional().describe("代码保护密钥，用于解密函数代码"),
+            revealEnvValues: zod_1.z
+                .boolean()
+                .optional()
+                .describe("getFunctionDetail / listFunctionTriggers 时是否返回环境变量明文值。默认 false：Value 脱敏为 ***，仅保留 Key 与 ValueLength，足以确认配置了哪些变量及变更是否生效；true 时返回明文，敏感变量会进入模型上下文，谨慎使用。如需查看明文，建议优先使用控制台或 CLI"),
             startTime: zod_1.z
                 .string()
                 .optional()
@@ -121607,7 +121740,8 @@ var __importDefault = (this && this.__importDefault) || function (mod) {
     return (mod && mod.__esModule) ? mod : { "default": mod };
 };
 Object.defineProperty(exports, "__esModule", ({ value: true }));
-exports.CLOUDRUN_ENV_TYPE = exports.CLOUDRUN_DEPLOY_REGISTRATION_INTERVAL_MS = exports.CLOUDRUN_DEPLOY_REGISTRATION_MAX_WAIT_MS = exports.CLOUDRUN_PACKAGE_TYPES = exports.CLOUDRUN_ACCESS_TYPES = exports.CLOUDRUN_SERVICE_TYPES = void 0;
+exports.CLOUDRUN_ENV_TYPE = exports.CLOUDRUN_DEPLOY_REGISTRATION_INTERVAL_MS = exports.CLOUDRUN_DEPLOY_REGISTRATION_MAX_WAIT_MS = exports.MASKED_CLOUDRUN_ENV_VALUE = exports.CLOUDRUN_PACKAGE_TYPES = exports.CLOUDRUN_ACCESS_TYPES = exports.CLOUDRUN_SERVICE_TYPES = void 0;
+exports.maskCloudRunDetailEnvParams = maskCloudRunDetailEnvParams;
 exports.buildManageCloudRunErrorMessage = buildManageCloudRunErrorMessage;
 exports.isValidCloudRunBuildId = isValidCloudRunBuildId;
 exports.isValidCloudRunRunId = isValidCloudRunRunId;
@@ -121641,6 +121775,40 @@ exports.CLOUDRUN_SERVICE_TYPES = ['function', 'container'];
 exports.CLOUDRUN_ACCESS_TYPES = ['OA', 'PUBLIC', 'MINIAPP', 'VPC'];
 // CloudRun env package types (CreateCloudRunEnv.PackageType)
 exports.CLOUDRUN_PACKAGE_TYPES = ['Trial', 'Standard', 'Professional', 'Enterprise'];
+/** 环境变量脱敏后的占位值（不保留任何明文片段）。 */
+exports.MASKED_CLOUDRUN_ENV_VALUE = "***";
+/**
+ * 对云托管 detail 返回的 ServerConfig.EnvParams（JSON 字符串）做脱敏：
+ * 解析后把所有 value 置为占位符、保留 key，再序列化回 JSON 字符串。
+ * 解析失败（非 JSON）时整串替换为占位符，避免任何明文片段外泄。
+ * 用于默认工具返回，避免明文进入模型上下文。
+ */
+function maskCloudRunDetailEnvParams(detail) {
+    const envParams = detail?.ServerConfig?.EnvParams;
+    if (typeof envParams !== "string" || envParams === "") {
+        return detail;
+    }
+    let masked;
+    try {
+        const parsed = JSON.parse(envParams);
+        if (parsed && typeof parsed === "object" && !Array.isArray(parsed)) {
+            masked = JSON.stringify(Object.fromEntries(Object.entries(parsed).map(([key]) => [key, exports.MASKED_CLOUDRUN_ENV_VALUE])));
+        }
+        else {
+            masked = exports.MASKED_CLOUDRUN_ENV_VALUE;
+        }
+    }
+    catch {
+        masked = exports.MASKED_CLOUDRUN_ENV_VALUE;
+    }
+    return {
+        ...detail,
+        ServerConfig: {
+            ...detail.ServerConfig,
+            EnvParams: masked,
+        },
+    };
+}
 // Input schema for queryCloudRun tool
 const queryCloudRunInputSchema = {
     action: zod_1.z.enum(['list', 'detail', 'templates', 'getDeployLog', 'getProcessLog', 'getDeployRecords', 'envStatus']).describe('查询操作类型：list=获取云托管服务列表（支持分页和筛选），detail=查询指定服务的详细信息（包含服务配置和最新部署状态），templates=获取可用的项目模板列表（用于初始化新项目），getDeployLog=获取构建日志（仅云端源码构建有意义，走 CODING/DescribeCloudRunBuildLog；已有镜像部署无构建过程；未登录 CODING 的账号会报错），getProcessLog=获取运行日志（部署阶段步骤+容器启动/运行日志，走 tcbr/DescribeCloudRunProcessLog；镜像部署与源码构建均可用，不依赖 CODING；RunId 来自 detail/getDeployRecords 的 latestDeploy.RunId），getDeployRecords=获取指定服务的部署记录列表（按部署时间倒序，含 BuildId/RunId/FlowRatio/Status 等字段，用于查看历史发布与回滚上下文），envStatus=查询当前环境云托管是否已开通及开通状态（Status=creating开通中/normal已开通），用于initEnv之后轮询进度或deploy之前确认环境是否就绪'),
@@ -121654,6 +121822,7 @@ const queryCloudRunInputSchema = {
     detailServerName: zod_1.z.string().optional().describe('要查询详细信息、部署记录、构建日志或运行日志的服务名称。当action为detail、getDeployLog、getProcessLog或getDeployRecords时建议提供，必须是已存在的服务名称。可通过list操作获取可用的服务名称列表'),
     buildId: zod_1.z.number().optional().describe('构建ID，仅在action=getDeployLog时使用（构建日志，仅云端源码构建）。不传时默认返回最近一次部署的构建日志'),
     runId: zod_1.z.string().optional().describe('运行ID（RunId），仅在action=getProcessLog时使用。不传时默认取该服务最近一次部署记录的 RunId（与 detail/getDeployRecords 的 latestDeploy.RunId 同源）。镜像部署与源码构建均可查询运行日志'),
+    revealEnvParams: zod_1.z.boolean().optional().default(false).describe('是否返回服务环境变量（ServerConfig.EnvParams）明文值（仅 action=detail 时生效）。默认 false，值脱敏为 "***"（保留 key，足够排查配置了哪些变量、变更是否生效）；true 时返回明文，敏感变量（如带密码的 DATABASE_URL）可能暴露给模型上下文，谨慎使用'),
 };
 // Input schema for manageCloudRun tool
 const ManageCloudRunInputSchema = {
@@ -122519,7 +122688,8 @@ function registerCloudRunTools(server) {
                             text: JSON.stringify({
                                 success: true,
                                 data: {
-                                    service: result,
+                                    // 默认脱敏 ServerConfig.EnvParams 的值（保留 key）；revealEnvParams=true 时返回明文
+                                    service: input.revealEnvParams === true ? result : maskCloudRunDetailEnvParams(result),
                                     latestDeploy,
                                     // 若最新部署记录带镜像信息（镜像部署），透出便于展示
                                     ...(extractCloudRunImageInfo(result, latestDeploy)
@@ -129798,10 +129968,33 @@ function buildFailureResult(action, error) {
         message: enrichRateLimitMessage(error instanceof Error ? error.message : String(error)),
     });
 }
+function extractFileList(files) {
+    // hosting.listFiles 直接返回文件数组
+    if (Array.isArray(files))
+        return files;
+    // hosting.findFiles 返回 COS 风格对象，文件列表在 Contents 里
+    if (typeof files === 'object' && files !== null) {
+        const record = files;
+        if (Array.isArray(record.Contents))
+            return record.Contents;
+        if (Array.isArray(record.contents))
+            return record.contents;
+    }
+    return [];
+}
+function extractFilePagination(result) {
+    if (typeof result !== 'object' || result === null)
+        return {};
+    const record = result;
+    const isTruncated = record.IsTruncated ?? record.isTruncated;
+    const nextMarker = record.NextMarker ?? record.nextMarker;
+    return {
+        isTruncated: typeof isTruncated === 'boolean' ? isTruncated : undefined,
+        nextMarker: typeof nextMarker === 'string' && nextMarker.length > 0 ? nextMarker : undefined,
+    };
+}
 function normalizeFileFields(files) {
-    if (!Array.isArray(files))
-        return [];
-    return files.map(file => {
+    return extractFileList(files).map((file) => {
         if (typeof file !== 'object' || file === null)
             return file;
         const record = file;
@@ -129890,6 +130083,8 @@ function registerHostingTools(server) {
                     });
                     (0, cloudbase_manager_js_1.logCloudBaseResult)(server.logger, result);
                     const normalizedFiles = normalizeFileFields(result);
+                    // findFiles 的 marker 是 COS 游标字符串，与 listFiles 的数字 offset 语义不同，此处只透传不做解析
+                    const { isTruncated, nextMarker } = extractFilePagination(result);
                     return (0, tool_result_js_1.buildJsonToolResult)({
                         success: true,
                         data: {
@@ -129898,9 +130093,11 @@ function registerHostingTools(server) {
                             marker: input.marker,
                             maxKeys: input.maxKeys,
                             files: normalizedFiles,
+                            nextMarker,
+                            isTruncated,
                             result,
                         },
-                        message: `已按前缀 \`${input.prefix}\` 查询静态托管文件，共 ${Array.isArray(normalizedFiles) ? normalizedFiles.length : 0} 个。`,
+                        message: `已按前缀 \`${input.prefix}\` 查询静态托管文件，共 ${normalizedFiles.length} 个。${nextMarker ? ' 还有更多文件，可使用 nextMarker 继续查询。' : ''}`,
                     });
                 }
                 case 'listFiles': {
@@ -149548,7 +149745,7 @@ class TelemetryReporter {
         const arch = os_1.default.arch(); // 系统架构
         // Build-time injected version; guard for vitest / non-webpack runtimes.
         const mcpVersion = process.env.npm_package_version ||
-            ( true ? "2.32.4" : 0);
+            ( true ? "2.32.5" : 0);
         return {
             userAgent: `${osType} ${osRelease} ${arch} ${nodeVersion} CloudBase-MCP/${mcpVersion}`,
             deviceId: this.deviceId,
@@ -178606,7 +178803,7 @@ async function handleReadOnlySql(args, context, deps) {
             message: `PostgreSQL read-only SQL execution failed: ${reason}`,
             data: {
                 role: context.role,
-                sqlPreview: limitedSql.trim().slice(0, 500),
+                sqlPreview: args.sql.trim().slice(0, 500),
             },
         });
     }
@@ -217980,8 +218177,7 @@ const cloudbase_manager_js_1 = __webpack_require__(3431);
 const json_content_js_1 = __webpack_require__(4365);
 const logger_js_1 = __webpack_require__(13039);
 // 1. 枚举定义
-const KnowledgeBaseEnum = zod_1.z.enum(["cloudbase", "scf", "miniprogram"]);
-const SearchKnowledgeModeEnum = zod_1.z.enum(["vector", "skill", "openapi", "docs"]);
+const SearchKnowledgeModeEnum = zod_1.z.enum(["skill", "openapi", "docs"]);
 const CloudBaseDocsActionEnum = zod_1.z.enum([
     "listModules",
     "listModuleDocs",
@@ -217989,12 +218185,6 @@ const CloudBaseDocsActionEnum = zod_1.z.enum([
     "readDoc",
     "searchDocs",
 ]);
-// 2. 枚举到后端 id 的映射
-const KnowledgeBaseIdMap = {
-    cloudbase: "ykfzskv4_ad28",
-    scf: "scfsczskzyws_4bdc",
-    miniprogram: "xcxzskws_25d8",
-};
 // ============ 缓存配置 ============
 const CACHE_BASE_DIR = path.join(os.homedir(), ".cloudbase-mcp");
 const CACHE_META_FILE = path.join(CACHE_BASE_DIR, "cache-meta.json");
@@ -218118,32 +218308,6 @@ async function updateCache() {
     await fs.mkdir(CACHE_BASE_DIR, { recursive: true });
     await fs.writeFile(CACHE_META_FILE, JSON.stringify({ timestamp: Date.now() }, null, 2), "utf8");
 }
-// 安全 JSON.parse
-function safeParse(str) {
-    try {
-        return JSON.parse(str);
-    }
-    catch (e) {
-        return {};
-    }
-}
-// 安全 JSON.stringify，处理循环引用
-function safeStringify(obj) {
-    const seen = new WeakSet();
-    try {
-        return JSON.stringify(obj, function (key, value) {
-            if (typeof value === "object" && value !== null) {
-                if (seen.has(value))
-                    return;
-                seen.add(value);
-            }
-            return value;
-        });
-    }
-    catch (e) {
-        return "";
-    }
-}
 function buildDocsEnvelope(action, data, message) {
     return {
         success: true,
@@ -218405,9 +218569,13 @@ async function registerRagTools(server) {
         ?.docs;
     server.registerTool?.("searchKnowledgeBase", {
         title: "云开发知识库检索",
-        description: `云开发知识库智能检索工具，支持向量查询 (vector)、固定技能文档 (skill)、OpenAPI 文档 (openapi) 和 CloudBase 官方文档 (docs) 查询。
+        description: `云开发知识库检索工具，支持 CloudBase 官方文档 (docs)、固定技能文档 (skill) 和 OpenAPI 文档 (openapi) 查询。
 
-      强烈推荐始终优先使用固定技能文档 (skill)、OpenAPI 文档 (openapi) 或 CloudBase 官方文档 (docs) 模式进行检索，仅当固定文档无法覆盖你的问题时，再使用向量查询 (vector) 模式。
+      按场景选择 mode：
+      - 不确定答案在哪、需要对官方文档做全文检索时：mode=docs + action=searchDocs（传 query 关键词）
+      - 已知文档标题、层级路径或 URL 时：mode=docs + action=findByName（传 input）或 action=readDoc（传 docPath）
+      - 需要某个场景的落地指南 / 最佳实践时：mode=skill + skillName
+      - 需要 HTTP API 的接口定义时：mode=openapi + apiName
 
       ⚠️ 重要：当 CloudBase skills 处于禁用状态或当前 IDE 不支持 skill 文件读取时，必须使用 searchKnowledgeBase(mode=skill, skillName=...) 来获取 CloudBase 技能文档内容，而不是尝试直接读取 skill 文件。直接读取可能返回 400 错误。示例：
       - 需要最小 Web+数据库 Demo 路径时：searchKnowledgeBase(mode=skill, skillName=minimal-web-baas-demo)
@@ -218445,37 +218613,13 @@ async function registerRagTools(server) {
                 .string()
                 .optional()
                 .describe("mode=docs 且 action=searchDocs 时指定。全文检索关键词。"),
-            threshold: zod_1.z
-                .number()
-                .default(0.5)
-                .optional()
-                .describe("mode=vector 时指定。相似性检索阈值"),
-            id: KnowledgeBaseEnum.default("cloudbase").optional().describe("mode=vector 时指定。知识库范围，默认 cloudbase。cloudbase=云开发全量知识，scf=云开发的云函数知识, miniprogram=小程序知识（不包含云开发与云函数知识）"),
-            content: zod_1.z.string().describe("mode=vector 时指定。检索内容").optional(),
-            options: zod_1.z
-                .object({
-                chunkExpand: zod_1.z
-                    .array(zod_1.z.number())
-                    .min(2)
-                    .max(2)
-                    .default([3, 3])
-                    .describe("指定返回的文档内容的展开长度,例如 [3,3]代表前后展开长度"),
-            })
-                .optional()
-                .describe("mode=vector 时指定。其他选项"),
-            limit: zod_1.z
-                .number()
-                .default(5)
-                .optional()
-                .describe("mode=vector 时指定。指定返回最相似的 Top K 的 K 的值"),
         },
         annotations: {
             readOnlyHint: true,
             openWorldHint: true,
             category: "rag",
         },
-    }, async ({ id, content, options, limit = 5, threshold = 0.5, mode, skillName, apiName, action, moduleName, input, docPath, query, }) => {
-        const chunkExpand = options?.chunkExpand ?? [3, 3];
+    }, async ({ mode, skillName, apiName, action, moduleName, input, docPath, query, }) => {
         if (mode === "docs") {
             try {
                 const resolvedAction = action;
@@ -218555,76 +218699,8 @@ async function registerRagTools(server) {
                 ],
             };
         }
-        // 向量检索模式下必须提供 id 和 content，避免后端报「知识库名称不能为空」
-        const vectorKnowledgeBaseId = id ?? "cloudbase";
-        if (mode === "vector") {
-            if (!content || !content.trim()) {
-                throw new Error("检索内容不能为空: please provide non-empty `content` when mode=vector.");
-            }
-        }
-        // 枚举到后端 id 映射
-        const backendId = KnowledgeBaseIdMap[vectorKnowledgeBaseId] ||
-            vectorKnowledgeBaseId;
-        const signInRes = await fetch("https://tcb-advanced-a656fc.api.tcloudbasegateway.com/auth/v1/signin/anonymously", {
-            method: "POST",
-            headers: {
-                "Content-Type": "application/json",
-                Accept: "application/json",
-                "x-device-id": "cloudbase-ai-toolkit",
-            },
-            body: safeStringify({
-                collectionView: backendId,
-                options: {
-                    chunkExpand,
-                },
-                search: {
-                    content: content,
-                    limit,
-                },
-            }),
-        });
-        const token = (await signInRes.json()).access_token;
-        const res = await fetch(`https://tcb-advanced-a656fc.api.tcloudbasegateway.com/v1/knowledge/search`, {
-            method: "POST",
-            headers: {
-                "Content-Type": "application/json",
-                Authorization: `Bearer ${token}`,
-            },
-            body: safeStringify({
-                collectionView: backendId,
-                options: {
-                    chunkExpand,
-                },
-                search: {
-                    content: content,
-                    limit,
-                },
-            }),
-        });
-        const result = await res.json();
-        if (result.code) {
-            throw new Error(result.message);
-        }
-        return {
-            content: [
-                {
-                    type: "text",
-                    text: safeStringify(result.data.documents
-                        .filter((item) => item.score >= threshold)
-                        .map((item) => {
-                        return {
-                            score: item.score,
-                            fileTile: item.documentSet.fileTitle,
-                            url: safeParse(item.documentSet.fileMetaData).url,
-                            paragraphTitle: item.data.paragraphTitle,
-                            text: `${item.data.pre?.join("\n") || ""}
-    ${item.data.text}
-    ${item.data.next?.join("\n") || ""}`,
-                        };
-                    })),
-                },
-            ],
-        };
+        // mode 是枚举，docs / skill / openapi 三个分支已在上面全部返回，这里不可达
+        throw new Error(`unsupported mode: ${String(mode)}`);
     });
 }
 function extractDescriptionFromFrontMatter(content) {
@@ -227825,6 +227901,7 @@ exports.TCB_QUERY_REGIONS = exports.SITE_IDS = exports.SITE_REGION_MAP = void 0;
 exports.isSiteId = isSiteId;
 exports.normalizeSite = normalizeSite;
 exports.getSite = getSite;
+exports.resolveApiKeyExchangeRegion = resolveApiKeyExchangeRegion;
 exports.resolveSite = resolveSite;
 exports.resolveSiteAndRegion = resolveSiteAndRegion;
 const project_config_js_1 = __webpack_require__(68445);
@@ -227834,6 +227911,7 @@ exports.SITE_REGION_MAP = {
         label: "国内站",
         authHost: "tcb.cloud.tencent.com",
         consoleHost: "tcb.cloud.tencent.com",
+        oauthEndpoint: "https://tcb-api.cloud.tencent.com/qcloud-tcb/v1/oauth",
         defaultRegion: "ap-shanghai",
         regions: ["ap-shanghai", "ap-guangzhou", "ap-singapore"],
         capabilities: { noSql: true },
@@ -227843,6 +227921,9 @@ exports.SITE_REGION_MAP = {
         label: "国际站",
         authHost: "tcb.tencentcloud.com",
         consoleHost: "tcb.tencentcloud.com",
+        // 2026-09-01 实测：device/code + token 端点可用，且 device-code 注册表与国内站隔离
+        // （国内站有效期内的 code 在该端点轮询返回 expired_token）
+        oauthEndpoint: "https://tcb-api.tencentcloud.com/qcloud-tcb/v1/oauth",
         defaultRegion: "ap-singapore",
         regions: ["ap-singapore"],
         capabilities: { noSql: false },
@@ -227897,8 +227978,24 @@ function getSite(region, explicitSite) {
     return "domestic";
 }
 /**
- * 认证/路由场景下解析站点：歧义（如 ap-singapore 未配 site）时默认 intl，保持既有国际站行为。
+ * API Key 换取网关（POST /capi/credential 的 host）地域选型。
+ *
+ * 2026-09-01 同一把国内站 key 三地域网关实测：
+ * - ap-shanghai / ap-guangzhou host 均换取成功（国内站集群共享 key 注册表，
+ *   URL 中的 region 段在国内站内部等价，互换可用）
+ * - ap-singapore host 拒绝（SIGN_PARAM_INVALID：sg 网关为国际站独立部署，
+ *   key 注册表与国内站隔离）
+ *
+ * 因此换取 host 按**站点**选择，而非按环境所属地域：
+ * - 显式 intl 站点（如 TCB_SITE=intl）→ 返回 intl 地域（ap-singapore）
+ * - domestic / 歧义（如仅设 TCB_REGION=ap-singapore）/ 未配置 → 返回 undefined，
+ *   toolbox 回落默认 ap-shanghai；国内站多地域环境（ap-guangzhou / ap-singapore）
+ *   经默认域名均可换取，盲目传环境地域反而会把国内站 key 打到 sg 网关导致换取失败
  */
+function resolveApiKeyExchangeRegion(opts = {}) {
+    const resolved = resolveSiteAndRegion(opts);
+    return resolved.site === "intl" && !resolved.ambiguous ? resolved.region : undefined;
+}
 function resolveSite(region, explicitSite) {
     const site = getSite(region, explicitSite);
     return site === "ambiguous" ? "intl" : site;
@@ -233414,7 +233511,7 @@ ${envIdSection}
 ## 环境信息
 - 操作系统: ${os_1.default.type()} ${os_1.default.release()}
 - Node.js版本: ${process.version}
-- MCP 版本：${process.env.npm_package_version || ( true ? "2.32.4" : 0)}
+- MCP 版本：${process.env.npm_package_version || ( true ? "2.32.5" : 0)}
 - 系统架构: ${os_1.default.arch()}
 - 时间: ${new Date().toISOString()}
 - 请求ID: ${requestId}
@@ -233499,7 +233596,7 @@ function createWrappedHandler(name, handler, server) {
                 requestId: (typeof error === 'object' && error && 'requestId' in error) ? error.requestId : '',
                 ide: server.ide || process.env.INTEGRATION_IDE || ''
             });
-            const mcpVersion =  true ? "2.32.4" : 0;
+            const mcpVersion =  true ? "2.32.5" : 0;
             const requestIdSuffix = requestId ? `\n🆔 RequestId: ${requestId}` : '';
             const enhancedErrorMessage = `${errorMessage}${requestIdSuffix}\n\n📦 CloudBase MCP v${mcpVersion}\n🔗 遇到问题？请复制以下链接到浏览器打开\n即可自动携带错误详情快速创建 GitHub Issue：\n${issueLink}`;
             // 创建新的错误对象，保持原有的错误类型但更新消息
@@ -252888,7 +252985,7 @@ function registerSetupTools(server) {
     server.registerTool("downloadTemplate", {
         title: "下载项目模板",
         description: `自动下载并部署CloudBase项目模板。
-**Note**: Call this tool when the user requests to create a new project using a CloudBase template.\n\n支持的模板:\n- react: React + CloudBase 全栈应用模板\n- vue: Vue + CloudBase 全栈应用模板\n- miniprogram: 微信小程序 + 云开发模板  \n- uniapp: UniApp + CloudBase 跨端应用模板\n- rules: 只包含AI编辑器配置文件（包含Cursor、WindSurf、CodeBuddy等所有主流编辑器配置），适合在已有项目中补充AI编辑器配置\n\n支持的IDE类型:\n- all: 下载所有IDE配置\n- cursor: Cursor AI编辑器\n- 其他IDE类型见下方列表\n\n注意：如果未传入 ide 参数且无法从环境变量检测到 IDE，将提示错误并要求传入 ide 参数\n- windsurf: WindSurf AI编辑器\n- codebuddy: CodeBuddy AI编辑器\n- claude-code: Claude Code AI编辑器\n- cline: Cline AI编辑器\n- gemini-cli: Gemini CLI\n- opencode: OpenCode AI编辑器\n- qwen-code: 通义灵码\n- baidu-comate: 百度Comate\n- openai-codex-cli: OpenAI Codex CLI\n- augment-code: Augment Code\n- github-copilot: GitHub Copilot\n- roocode: RooCode AI编辑器\n- tongyi-lingma: 通义灵码\n- trae: Trae AI编辑器\n- qoder: Qoder AI编辑器\n- antigravity: Google Antigravity AI编辑器\n- vscode: Visual Studio Code\n- kiro: Kiro AI编辑器\n- aider: Aider AI编辑器\n\n特别说明：\n- rules 模板会自动包含当前 mcp 版本号信息（版本号：${ true ? "2.32.4" : 0}），便于后续维护和版本追踪\n- 下载 rules 模板时，如果项目中已存在 README.md 文件，系统会自动保护该文件不被覆盖（除非设置 overwrite=true）`,
+**Note**: Call this tool when the user requests to create a new project using a CloudBase template.\n\n支持的模板:\n- react: React + CloudBase 全栈应用模板\n- vue: Vue + CloudBase 全栈应用模板\n- miniprogram: 微信小程序 + 云开发模板  \n- uniapp: UniApp + CloudBase 跨端应用模板\n- rules: 只包含AI编辑器配置文件（包含Cursor、WindSurf、CodeBuddy等所有主流编辑器配置），适合在已有项目中补充AI编辑器配置\n\n支持的IDE类型:\n- all: 下载所有IDE配置\n- cursor: Cursor AI编辑器\n- 其他IDE类型见下方列表\n\n注意：如果未传入 ide 参数且无法从环境变量检测到 IDE，将提示错误并要求传入 ide 参数\n- windsurf: WindSurf AI编辑器\n- codebuddy: CodeBuddy AI编辑器\n- claude-code: Claude Code AI编辑器\n- cline: Cline AI编辑器\n- gemini-cli: Gemini CLI\n- opencode: OpenCode AI编辑器\n- qwen-code: 通义灵码\n- baidu-comate: 百度Comate\n- openai-codex-cli: OpenAI Codex CLI\n- augment-code: Augment Code\n- github-copilot: GitHub Copilot\n- roocode: RooCode AI编辑器\n- tongyi-lingma: 通义灵码\n- trae: Trae AI编辑器\n- qoder: Qoder AI编辑器\n- antigravity: Google Antigravity AI编辑器\n- vscode: Visual Studio Code\n- kiro: Kiro AI编辑器\n- aider: Aider AI编辑器\n\n特别说明：\n- rules 模板会自动包含当前 mcp 版本号信息（版本号：${ true ? "2.32.5" : 0}），便于后续维护和版本追踪\n- 下载 rules 模板时，如果项目中已存在 README.md 文件，系统会自动保护该文件不被覆盖（除非设置 overwrite=true）`,
         inputSchema: {
             template: zod_1.z
                 .enum(["react", "vue", "miniprogram", "uniapp", "rules"])
@@ -255298,7 +255395,13 @@ async function peekLoginState(options) {
             try {
                 // 优先使用 IDE 注入的工作目录，其次 process.cwd()
                 const projectCwd = process.env.WORKSPACE_FOLDER_PATHS || process.cwd();
-                const credential = await auth.loginByApiKey(envVarLoginState.apiKey, envVarLoginState.envId, { cwd: projectCwd });
+                // 换取网关按站点选型：显式 intl → ap-singapore；domestic/歧义 → toolbox 默认
+                // ap-shanghai（国内站多地域环境均经其全局路由，详见 resolveApiKeyExchangeRegion）
+                const exchangeRegion = (0, site_map_js_1.resolveApiKeyExchangeRegion)({
+                    site: options?.site,
+                    region: options?.region,
+                });
+                const credential = await auth.loginByApiKey(envVarLoginState.apiKey, envVarLoginState.envId, { cwd: projectCwd, ...(exchangeRegion ? { region: exchangeRegion } : {}) });
                 return credential;
             }
             catch (e) {
@@ -255393,6 +255496,18 @@ async function ensureLogin(options) {
             if (resolvedAuthOptions.oauthEndpoint) {
                 loginOptions.getOAuthEndpoint = () => resolvedAuthOptions.oauthEndpoint;
             }
+            else if (resolvedSite === "intl") {
+                // 国际站 OAuth 后端独立部署（2026-09-01 实测 device/code+token 可用，注册表与国内站隔离）；
+                // 不覆写时 toolbox 默认打国内站端点，国际站账号无法完成授权
+                loginOptions.getOAuthEndpoint = () => site_map_js_1.SITE_REGION_MAP.intl.oauthEndpoint;
+            }
+            if (resolvedSite === "intl") {
+                // device 模式的 verification_uri 标准模式下由客户端拼接，指向国内站授权页；
+                // 与 web 模式同款 host 改写，把授权页切到国际站
+                loginOptions.getAuthUrl = (url) => url
+                    .replace(`${site_map_js_1.SITE_REGION_MAP.domestic.authHost}/dev`, `${site_map_js_1.SITE_REGION_MAP.intl.authHost}/dev`)
+                    .replace(site_map_js_1.SITE_REGION_MAP.domestic.authHost, site_map_js_1.SITE_REGION_MAP.intl.authHost);
+            }
             if (resolvedAuthOptions.oauthCustom) {
                 loginOptions.custom = true;
             }