@hubex/mcp 0.7.0 → 0.8.20260919

package/CONNECTING.md

@@ -92,6 +92,8 @@ npm run build
 > покажут поле ввода; остальным нужно вызвать инструмент `hubex_set_token` и
 > передать токен в него. По токену запрашивается refresh, дальше сессия
 > продлевается сама; после перезапуска сервера токен спрашивается заново.
+> Если HubEx отверг токен (ошибка 401), следующий запрос получит новый — по
+> refresh, а если не выйдет, сервер снова попросит токен.
 
 > Сервисный токен выпускается один раз администратором:
 > `POST /fsm/AUTHZ/ServiceTokens` с Bearer и полномочием `ServiceTokenAdd`, тело — массив id

package/README.md

@@ -145,6 +145,27 @@ claude mcp add hubex --scope user \
 Всё перечисленное вписывается в тот же блок `"env"` из шага 2 (в Codex — в секцию
 `[mcp_servers.hubex.env]`). Значения всегда пишутся в кавычках, даже числа.
 
+### Коротко обо всех
+
+| Переменная | По умолчанию | Описание |
+|---|---|---|
+| `HUBEX_ENV` | `dev` | Окружение: `dev` \| `stg` \| `prod`. От него зависят базовый URL и то, какой кэш swagger-схем берётся (`prod` или `dev`) |
+| `HUBEX_APPLICATION_ID` | — (**обязательный**) | Значение заголовка `X-Application-ID` (`5` — Api/интеграции, `3` — MainWeb) |
+| `HUBEX_TENANT_ID` | из JWT (`TenantID`) | Задаёт тенант явно. В режиме `service` не нужен |
+| `HUBEX_AUTH_MODE` | `token` | Режим авторизации: `token` \| `login` \| `service` |
+| `HUBEX_USERNAME` | — | Логин. Обязателен при `login` |
+| `HUBEX_PASSWORD` | — | Пароль. Обязателен при `login` |
+| `HUBEX_SERVICE_TOKEN` | — | Интеграционный токен. Обязателен при `service` |
+| `HUBEX_METHODS` | все: `GET,POST,PUT,PATCH,DELETE,HEAD` | Какие HTTP-методы разрешены. Инструменты для остальных методов не регистрируются |
+| `HUBEX_READONLY` | `false` | То же, что `HUBEX_METHODS=GET,HEAD`. Если задан вместе с `HUBEX_METHODS`, действует более узкий набор |
+| `HUBEX_SERVICES` | все 22 | Список сервисов, с которыми можно работать, например `WORK,ES,ADM` |
+| `HUBEX_MASK_PII` | `true` | Скрывает персональные данные в ответах. Отключается только явным `false` |
+| `HUBEX_DEFAULT_REQUEST_METHOD_ID` | — | Подставляется в тело запросов на запись, если поле не заполнено |
+| `HUBEX_DEFAULT_TASK_TYPE_ID` | — | То же |
+| `HUBEX_DEFAULT_COMPANY_ID` | — | То же |
+
+Подробнее о каждой — ниже.
+
 ### Обязательная — одна
 
 | Настройка | Что делает |

package/dist/auth.js

@@ -51,6 +51,11 @@ class RefreshingAuth {
     prompter;
     accessToken;
     accessExp; // seconds since epoch
+    /**
+     * Set by `invalidate`. The rejected token is kept rather than dropped: `renew`
+     * still has to send it as `accessJwt` to preserve the token lifetime.
+     */
+    accessRejected = false;
     refreshToken;
     refreshExp; // seconds since epoch
     tenantId;
@@ -74,8 +79,12 @@ class RefreshingAuth {
         this.absorb({ access_token: trimmed });
         await this.acquireRefreshToken();
     }
+    invalidate(token) {
+        if (token === this.accessToken)
+            this.accessRejected = true;
+    }
     async getAccessToken() {
-        if (this.accessToken && !isExpired(this.accessExp)) {
+        if (this.accessToken && !this.accessRejected && !isExpired(this.accessExp)) {
             return this.accessToken;
         }
         // De-duplicate concurrent acquisitions.
@@ -222,6 +231,7 @@ class RefreshingAuth {
     absorb(result) {
         if (result.access_token) {
             this.accessToken = result.access_token;
+            this.accessRejected = false;
             const claims = decodeJwt(result.access_token);
             this.accessExp = claims?.exp;
             if (!this.tenantId)

package/dist/http.js

@@ -122,6 +122,11 @@ export class HubexClient {
                 exposed[name] = value;
         }
         if (!res.ok) {
+            // 401 — токен отвергнут (отозван, другое окружение), хотя по exp ещё жив.
+            // Без сброса провайдер отдавал бы его до истечения срока, и каждый запрос
+            // падал бы так же. Сам запрос не повторяем: POST не идемпотентен.
+            if (res.status === 401)
+                this.auth.invalidate(token);
             throw new HubexApiError(res.status, req.service, req.path, visible ?? text, this.config.env);
         }
         return { status: res.status, data: visible, headers: exposed };