@hubex/mcp 0.6.20260910 → 0.8.0

package/CONNECTING.md

@@ -92,6 +92,8 @@ npm run build
 > покажут поле ввода; остальным нужно вызвать инструмент `hubex_set_token` и
 > передать токен в него. По токену запрашивается refresh, дальше сессия
 > продлевается сама; после перезапуска сервера токен спрашивается заново.
+> Если HubEx отверг токен (ошибка 401), следующий запрос получит новый — по
+> refresh, а если не выйдет, сервер снова попросит токен.
 
 > Сервисный токен выпускается один раз администратором:
 > `POST /fsm/AUTHZ/ServiceTokens` с Bearer и полномочием `ServiceTokenAdd`, тело — массив id

package/dist/auth.js

@@ -51,6 +51,11 @@ class RefreshingAuth {
     prompter;
     accessToken;
     accessExp; // seconds since epoch
+    /**
+     * Set by `invalidate`. The rejected token is kept rather than dropped: `renew`
+     * still has to send it as `accessJwt` to preserve the token lifetime.
+     */
+    accessRejected = false;
     refreshToken;
     refreshExp; // seconds since epoch
     tenantId;
@@ -74,8 +79,12 @@ class RefreshingAuth {
         this.absorb({ access_token: trimmed });
         await this.acquireRefreshToken();
     }
+    invalidate(token) {
+        if (token === this.accessToken)
+            this.accessRejected = true;
+    }
     async getAccessToken() {
-        if (this.accessToken && !isExpired(this.accessExp)) {
+        if (this.accessToken && !this.accessRejected && !isExpired(this.accessExp)) {
             return this.accessToken;
         }
         // De-duplicate concurrent acquisitions.
@@ -175,7 +184,12 @@ class RefreshingAuth {
     }
     /**
      * A service-token login never carries a refresh token, so ask for one.
-     * Best-effort: without it we simply re-authenticate when the access token expires.
+     * Best-effort for "service"/"login": credentials were already proven by the
+     * preceding login call, so a failure here just means retrying at expiry.
+     * Fatal for "token": the user-typed token is otherwise never round-tripped
+     * against the server, so this request is the only thing that can catch a
+     * token issued for the wrong environment (dev/stg/prod) — swallowing it
+     * would report success on a token that doesn't actually work.
      */
     async acquireRefreshToken() {
         try {
@@ -186,6 +200,8 @@ class RefreshingAuth {
             this.absorb(result);
         }
         catch (err) {
+            if (this.config.authMode === "token")
+                throw err;
             console.error("[hubex-mcp] could not obtain a refresh token; will re-authenticate on expiry: " +
                 `${err.message}`);
         }
@@ -201,7 +217,13 @@ class RefreshingAuth {
         const res = await fetch(url, init);
         if (!res.ok) {
             const body = await res.text().catch(() => "");
-            throw new Error(`${init.method ?? "GET"} ${url} failed (HTTP ${res.status}): ${body.slice(0, 500)}`);
+            let message = `${init.method ?? "GET"} ${url} failed (HTTP ${res.status}): ${body.slice(0, 500)}`;
+            if (res.status === 401 || res.status === 403) {
+                message +=
+                    ` Сейчас выбрано окружение HUBEX_ENV=${this.config.env}. Если токен получен в другом ` +
+                        `окружении (dev/stg/prod), авторизация не пройдёт — проверь, что токен именно из ${this.config.env}.`;
+            }
+            throw new Error(message);
         }
         return (await res.json());
     }
@@ -209,6 +231,7 @@ class RefreshingAuth {
     absorb(result) {
         if (result.access_token) {
             this.accessToken = result.access_token;
+            this.accessRejected = false;
             const claims = decodeJwt(result.access_token);
             this.accessExp = claims?.exp;
             if (!this.tenantId)