@dreamor/atlas-cli 0.7.21 → 0.7.23

package/dist/adapters/atlas/util/portable-store.js

@@ -0,0 +1,153 @@
+/**
+ * 便携登录态 bundle（对齐 dws portableAuthBundleManifest）。
+ *
+ * bundle 结构（gzip + JSON 明文，复用 cookies 已明文的事实）：
+ *
+ *   atlas-auth.tar.gz（实际是 gzip(JSON) 单文件，非真 tar — 简化实现）
+ *   └── { manifest: {...}, cookies: [...] }
+ *
+ * base64 模式 = base64(gzip(JSON))，方便通过 env / 管道传输。
+ *
+ * 安全：--refresh-only 默认开启，剥离短命 token（access_token* / refresh_token*），
+ * 只保留 SSO_REFRESH_TOKEN + buc_* + 身份相关 cookies。导出文件权限 0600
+ * （secureWriteFile）。
+ *
+ * 零运行时依赖：仅用 node:zlib + secure-fs。
+ */
+import { gzip, gunzip } from 'zlib';
+import { promisify } from 'util';
+import { readFile, mkdir } from 'fs/promises';
+import { dirname, resolve } from 'path';
+import { existsSync } from 'fs';
+import { secureWriteFile } from './secure-fs.js';
+import { ConfigError } from './errors.js';
+import { platform } from 'os';
+const gzipAsync = promisify(gzip);
+const gunzipAsync = promisify(gunzip);
+export const BUNDLE_SCHEMA = 'atlas.auth.bundle/v1';
+export const BUNDLE_VERSION = 1;
+/** 短命 token cookie 名集合（--refresh-only 时剥离） */
+const EPHEMERAL_TOKEN_NAMES = new Set([
+    'access_token',
+    'access_token.sig',
+    'refresh_token',
+    'refresh_token.sig',
+]);
+/** 构造 bundle（纯函数） */
+export function buildBundle(cookies, opts) {
+    const filtered = opts.refreshOnly === false
+        ? cookies
+        : cookies.filter((c) => !EPHEMERAL_TOKEN_NAMES.has(c.name));
+    return {
+        manifest: {
+            schema: BUNDLE_SCHEMA,
+            version: BUNDLE_VERSION,
+            os: opts.os ?? platform(),
+            exportedAt: opts.exportedAt,
+            refreshOnly: opts.refreshOnly,
+        },
+        cookies: filtered,
+    };
+}
+/** 序列化为 gzip + base64 字符串（适合 --base64 stdout） */
+export async function serializeBundleBase64(bundle) {
+    const json = JSON.stringify(bundle);
+    const zipped = await gzipAsync(Buffer.from(json, 'utf-8'));
+    return zipped.toString('base64');
+}
+/** 序列化为 gzip Buffer（适合写文件） */
+export async function serializeBundleBuffer(bundle) {
+    const json = JSON.stringify(bundle);
+    return gzipAsync(Buffer.from(json, 'utf-8'));
+}
+/** 校验 manifest schema/version，失败抛 ConfigError */
+function assertManifest(m) {
+    if (!m || typeof m !== 'object') {
+        throw new ConfigError('无效 bundle：manifest 缺失');
+    }
+    const o = m;
+    if (o.schema !== BUNDLE_SCHEMA) {
+        throw new ConfigError(`无效 bundle：schema 不匹配（期望 ${BUNDLE_SCHEMA}，实际 ${String(o.schema)}）`);
+    }
+    if (typeof o.version !== 'number' || o.version > BUNDLE_VERSION) {
+        throw new ConfigError(`无效 bundle：版本不支持（当前 ${BUNDLE_VERSION}，bundle ${String(o.version)}）`);
+    }
+    if (!Array.isArray(o.cookies) === false && !o.cookies === undefined) {
+        // bundles with cookies at top handled below; manifest-only ok
+    }
+}
+/** 解析 base64 字符串 → AuthBundle */
+export async function parseBundleBase64(b64) {
+    const buf = Buffer.from(b64.trim(), 'base64');
+    let json;
+    try {
+        json = (await gunzipAsync(buf)).toString('utf-8');
+    }
+    catch {
+        // 兼容未压缩的纯 base64 JSON（少数手动构造场景）
+        try {
+            json = buf.toString('utf-8');
+        }
+        catch {
+            throw new ConfigError('无效 bundle：base64 解码失败');
+        }
+    }
+    return parseBundleJson(json);
+}
+/** 解析文件（gzip 二进制 或 base64 文本）→ AuthBundle */
+export async function parseBundleFile(path) {
+    if (!existsSync(path)) {
+        throw new ConfigError(`导入文件不存在：${path}`);
+    }
+    const raw = await readFile(path);
+    // 二进制 gzip 文件（前两字节 0x1f 0x8b）
+    if (raw.length >= 2 && raw[0] === 0x1f && raw[1] === 0x8b) {
+        const json = (await gunzipAsync(raw)).toString('utf-8');
+        return parseBundleJson(json);
+    }
+    // 否则按 base64 文本处理
+    return parseBundleBase64(raw.toString('utf-8'));
+}
+function parseBundleJson(json) {
+    let obj;
+    try {
+        obj = JSON.parse(json);
+    }
+    catch {
+        throw new ConfigError('无效 bundle：JSON 解析失败');
+    }
+    if (!obj || typeof obj !== 'object') {
+        throw new ConfigError('无效 bundle：根节点非对象');
+    }
+    const o = obj;
+    assertManifest(o.manifest);
+    if (!Array.isArray(o.cookies)) {
+        throw new ConfigError('无效 bundle：cookies 字段非数组');
+    }
+    const bundle = {
+        manifest: o.manifest,
+        cookies: o.cookies,
+    };
+    const currentOs = platform();
+    return {
+        bundle,
+        warning: {
+            osMismatch: bundle.manifest.os !== currentOs,
+            refreshOnly: bundle.manifest.refreshOnly,
+        },
+    };
+}
+/**
+ * 写 bundle 到文件路径（secureWriteFile 0600）。
+ *
+ * 与 baseline/actual export 的 --out 白名单（resolveSecureExportPath）不同：
+ * auth export 输出的是便携凭证 bundle，用户主动指定任意路径（如 /tmp 方便传输
+ * 到沙盒）是其核心用例，因此放宽为绝对/相对路径均可，但仍以 0600 写入。
+ */
+export async function writeBundleToFile(bundle, outPath, base64) {
+    const resolved = resolve(process.cwd(), outPath);
+    const content = base64 ? await serializeBundleBase64(bundle) : await serializeBundleBuffer(bundle);
+    await mkdir(dirname(resolved), { recursive: true });
+    await secureWriteFile(resolved, content);
+    return resolved;
+}

package/dist/adapters/atlas/util/version.js

@@ -1 +1 @@
-export const ATLAS_VERSION = '0.7.21';
+export const ATLAS_VERSION = '0.7.23';

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dreamor/atlas-cli",
-  "version": "0.7.21",
+  "version": "0.7.23",
   "description": "Atlas CLI - 斑马云图人力基线管理工具",
   "type": "module",
   "bin": {