@hupan56/wlkj 2.0.0

package/templates/qoder/scripts/common/identity.py

@@ -0,0 +1,285 @@
+# -*- coding: utf-8 -*-
+"""
+identity.py - 零信任身份层: 可验证身份 + HMAC 操作签名
+
+解决"身份可伪造、操作无归属、审计可篡改"三类治理问题。
+
+设计:
+    - 每个成员注册时生成一个本地签名密钥 (32 字节 hex), 存在
+      workspace/members/{name}/.signing_key (gitignore, 永不离开本机)
+    - member.json 是团队共享的注册表, 只含 member_id / git_author / role
+      (不含密钥), 提交到 git 让全员可查
+    - 关键操作 (push / publish / finish / eval) 用密钥对 payload 做 HMAC-SHA256
+      签名, 审计日志里每行带 sig, 篡改即检出
+    - git 作者强制: member.json 的 git_author 与本地 git config 不一致则拒绝 push
+
+核心 API:
+    register_member(name, role, git_author)  # 首次注册, 生成密钥
+    get_member(name) -> dict | None          # 查注册表
+    verify_member(name) -> bool              # 本机有密钥 + 注册表有记录
+    get_signing_key(name) -> bytes           # 读本地密钥
+    sign(name, payload: dict) -> str         # HMAC 签名
+    verify_signature(name, sig, payload) -> bool
+    require_member(name)                     # 不存在则 exit(4) authz_denied
+
+安全模型说明:
+    - 这是内部 20 人工具, 用对称密钥 (HMAC) 而非 PKI。够用且零依赖。
+    - 密钥泄露 = 该成员身份被冒用; 但 member.json 在 git 历史里,
+      注册表本身的完整性靠 git 保护。
+    - 不防"管理员作恶"(admin 可改任意 member.json), 这是内部信任边界内可接受的。
+"""
+
+import hashlib
+import hmac
+import os
+import re
+import secrets
+import sys
+from datetime import datetime
+from pathlib import Path
+from typing import Optional, Dict, Any, Union
+
+# 相对导入兄弟模块
+try:
+    from .atomicio import atomic_write_json, safe_read_json
+    from .paths import get_repo_root, MEMBERS_DIR
+except ImportError:
+    _COMMON_DIR = os.path.dirname(os.path.abspath(__file__))
+    if _COMMON_DIR not in sys.path:
+        sys.path.insert(0, _COMMON_DIR)
+    from atomicio import atomic_write_json, safe_read_json
+    # paths 可能不在 common/ (在 scripts/common/paths.py)
+    _SCRIPTS_DIR = os.path.dirname(_COMMON_DIR)
+    if _SCRIPTS_DIR not in sys.path:
+        sys.path.insert(0, _SCRIPTS_DIR)
+    from common.paths import get_repo_root, MEMBERS_DIR
+
+__all__ = [
+    "IdentityError",
+    "register_member",
+    "get_member",
+    "list_members",
+    "verify_member",
+    "get_signing_key",
+    "sign",
+    "verify_signature",
+    "require_member",
+    "ensure_current_member",
+]
+
+# 退出码 (全脚本统一): 4 = authz_denied
+EXIT_AUTHZ = 4
+
+# 名字合法字符: 字母/数字/中文/下划线/短横, 2-32 字符
+_NAME_RE = re.compile(r"^[\w\u4e00-\u9fa5\-]{2,32}$")
+
+# git_author 格式: "Name <email@example.com>"
+_AUTHOR_RE = re.compile(r"^[^<>]+ <[^<>]+@[^<>]+>$")
+
+
+class IdentityError(Exception):
+    """身份相关错误。"""
+
+
+# ============================================================
+# 路径辅助
+# ============================================================
+
+def _member_dir(name: str, repo_root: Optional[Union[str, Path]] = None) -> Path:
+    if repo_root is None:
+        repo_root = get_repo_root()
+    return Path(repo_root) / "workspace" / "members" / name
+
+
+def _member_json(name: str, repo_root: Optional[Union[str, Path]] = None) -> Path:
+    return _member_dir(name, repo_root) / "member.json"
+
+
+def _key_file(name: str, repo_root: Optional[Union[str, Path]] = None) -> Path:
+    return _member_dir(name, repo_root) / ".signing_key"
+
+
+# ============================================================
+# 注册表读写
+# ============================================================
+
+def get_member(name: str, repo_root: Optional[Union[str, Path]] = None) -> Optional[Dict[str, Any]]:
+    """查注册表。返回 member.json 内容 (不含密钥) 或 None。"""
+    if not name or not _NAME_RE.match(name):
+        return None
+    mp = _member_json(name, repo_root)
+    data = safe_read_json(mp, default=None)
+    if data and data.get("name") == name:
+        return data
+    return None
+
+
+def list_members(repo_root: Optional[Union[str, Path]] = None) -> Dict[str, Dict[str, Any]]:
+    """列出所有注册成员 {name: member_json}。"""
+    if repo_root is None:
+        repo_root = get_repo_root()
+    members_dir = Path(repo_root) / "workspace" / "members"
+    out = {}
+    if not members_dir.is_dir():
+        return out
+    for child in members_dir.iterdir():
+        if not child.is_dir():
+            continue
+        mj = child / "member.json"
+        if mj.is_file():
+            data = safe_read_json(mj, default=None)
+            if data and data.get("name"):
+                out[data["name"]] = data
+    return out
+
+
+def register_member(
+    name: str,
+    role: str = "pm",
+    git_author: Optional[str] = None,
+    repo_root: Optional[Union[str, Path]] = None,
+) -> Dict[str, Any]:
+    """注册/升级一个成员。
+
+    - 首次注册: 生成密钥, 写 member.json + .signing_key
+    - 已存在: 仅更新 role/git_author (密钥不动), 保留 member_id 和 joined_at
+
+    Args:
+        name: 成员名 (2-32 字符, 字母数字中文下划线短横)
+        role: 角色 (pm/design/dev/admin)
+        git_author: git 作者 "Name <email>", 用于强制 git config 一致
+    """
+    if not name or not _NAME_RE.match(name):
+        raise IdentityError("非法成员名 (需 2-32 字符): %r" % name)
+    if git_author and not _AUTHOR_RE.match(git_author):
+        raise IdentityError("git_author 格式应为 'Name <email>': %r" % git_author)
+
+    mdir = _member_dir(name, repo_root)
+    mdir.mkdir(parents=True, exist_ok=True)
+    mj = _member_json(name, repo_root)
+    kf = _key_file(name, repo_root)
+
+    existing = safe_read_json(mj, default=None)
+
+    # 生成或保留密钥
+    if existing and kf.is_file():
+        # 已注册 —— 保留密钥和 ID
+        signing_key_hex = kf.read_text(encoding="utf-8").strip()
+        member_id = existing.get("member_id") or "u_%s_%s" % (
+            name.lower()[:16], datetime.now().strftime("%Y")
+        )
+        joined_at = existing.get("joined_at") or datetime.now().isoformat(timespec="seconds")
+    else:
+        # 首次注册
+        signing_key_hex = secrets.token_hex(32)
+        kf.write_text(signing_key_hex + "\n", encoding="utf-8")
+        # 尽量只本用户可读 (POSIX); Windows 上 chmod 影响有限但不报错
+        try:
+            os.chmod(str(kf), 0o600)
+        except OSError:
+            pass
+        member_id = "u_%s_%s" % (name.lower()[:16], datetime.now().strftime("%Y"))
+        joined_at = datetime.now().isoformat(timespec="seconds")
+
+    record = {
+        "name": name,
+        "member_id": member_id,
+        "role": role,
+        "git_author": git_author or existing.get("git_author") or "%s <unknown@local>" % name,
+        "joined_at": joined_at,
+    }
+    atomic_write_json(mj, record)
+    return record
+
+
+# ============================================================
+# 密钥与签名
+# ============================================================
+
+def get_signing_key(name: str, repo_root: Optional[Union[str, Path]] = None) -> bytes:
+    """读本地签名密钥。不存在则抛 IdentityError。"""
+    kf = _key_file(name, repo_root)
+    if not kf.is_file():
+        raise IdentityError("成员 %s 在本机无签名密钥 (未注册或换机器)" % name)
+    return bytes.fromhex(kf.read_text(encoding="utf-8").strip())
+
+
+def verify_member(name: str, repo_root: Optional[Union[str, Path]] = None) -> bool:
+    """本机有密钥 + 注册表有记录 = 可验证身份。"""
+    if not get_member(name, repo_root):
+        return False
+    return _key_file(name, repo_root).is_file()
+
+
+def _canonical(payload: Any) -> bytes:
+    """payload 规范化为稳定字节串 (sorted keys, 无 ascii 转义, 无空格)。"""
+    import json
+    return json.dumps(payload, sort_keys=True, ensure_ascii=False, separators=(",", ":")).encode("utf-8")
+
+
+def sign(name: str, payload: Any, repo_root: Optional[Union[str, Path]] = None) -> str:
+    """用成员密钥对 payload 做 HMAC-SHA256, 返回 hex 签名。
+
+    payload 会被规范化 (sorted keys), 同样的 payload 签名稳定。
+    """
+    key = get_signing_key(name, repo_root)
+    return hmac.new(key, _canonical(payload), hashlib.sha256).hexdigest()
+
+
+def verify_signature(
+    name: str,
+    signature: str,
+    payload: Any,
+    repo_root: Optional[Union[str, Path]] = None,
+) -> bool:
+    """校验签名。密钥不在本机则返回 False (不抛错, 让调用方决定)。"""
+    try:
+        expected = sign(name, payload, repo_root)
+    except IdentityError:
+        return False
+    return hmac.compare_digest(expected, signature)
+
+
+# ============================================================
+# 守卫函数 (给 CLI 脚本用)
+# ============================================================
+
+def require_member(name: Optional[str] = None, repo_root: Optional[Union[str, Path]] = None) -> str:
+    """要求当前身份已注册且本机有密钥。不满足则 exit(EXIT_AUTHZ)。
+
+    Args:
+        name: 指定名字; 不传则从 .developer 读。
+
+    Returns:
+        已验证的成员名。
+    """
+    if name is None:
+        try:
+            from .developer_paths import get_developer
+        except ImportError:
+            _this = os.path.dirname(os.path.abspath(__file__))
+            sys.path.insert(0, _this)
+            from paths import get_developer  # type: ignore
+        name = get_developer(repo_root)
+    if not name:
+        sys.stderr.write("[authz] 拒绝: 未设置开发者身份。先跑 /wl-init 注册。\n")
+        sys.exit(EXIT_AUTHZ)
+    if not verify_member(name, repo_root):
+        sys.stderr.write(
+            "[authz] 拒绝: 成员 %s 未注册或本机无密钥。先跑 /wl-init %s 注册。\n" % (name, name)
+        )
+        sys.exit(EXIT_AUTHZ)
+    return name
+
+
+def ensure_current_member(repo_root: Optional[Union[str, Path]] = None) -> Optional[str]:
+    """软检查: 返回当前已验证的成员名, 或 None (不 exit)。给非破坏性命令用。"""
+    try:
+        from paths import get_developer
+    except ImportError:
+        sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+        from paths import get_developer  # type: ignore
+    name = get_developer(repo_root)
+    if name and verify_member(name, repo_root):
+        return name
+    return None

package/templates/qoder/scripts/common/mentions.py

@@ -0,0 +1,134 @@
+# -*- coding: utf-8 -*-
+"""
+mentions.py - @提及解析与飞书通知 (阶段 D4)
+
+从 PRD 评审/任务评论/报告内容里提取 @用户名, 映射到飞书 user_key,
+通过飞书机器人推送提及通知。
+
+触发点:
+    - PRD 评审意见里有 @某人
+    - 任务评论 (task.py comment, 未来) 有 @某人
+    - 报告里 @某人
+
+member.json 扩展字段: feishu_user_key (可选, 飞书 open_id/user_id)
+"""
+
+import os
+import re
+import sys
+from typing import List, Tuple, Optional
+
+_THIS_DIR = os.path.dirname(os.path.abspath(__file__))
+if _THIS_DIR not in sys.path:
+    sys.path.insert(0, _THIS_DIR)
+
+try:
+    from .identity import get_member, list_members
+    from .feishu import send_card, is_enabled
+except ImportError:
+    from identity import get_member, list_members
+    from feishu import send_card, is_enabled
+
+__all__ = [
+    "extract_mentions",
+    "resolve_to_feishu_keys",
+    "notify_mentions",
+]
+
+# @提及模式: @用户名 (支持中文/英文/数字/下划线, 2-32 字符)
+MENTION_RE = re.compile(r'@([\w\u4e00-\u9fa5\-]{2,32})')
+
+
+def extract_mentions(text: str, exclude: Optional[str] = None) -> List[str]:
+    """从文本提取 @提及的用户名。
+
+    Args:
+        text: 要扫描的文本。
+        exclude: 排除的用户名 (通常是作者自己, 避免自提及)。
+
+    Returns:
+        去重后的用户名列表 (只保留在注册表里的成员)。
+    """
+    raw = set(m.group(1) for m in MENTION_RE.finditer(text))
+    if exclude:
+        raw.discard(exclude)
+    # 只保留已注册的成员 (避免 @system @all 等噪音)
+    members = list_members()
+    return sorted(name for name in raw if name in members)
+
+
+def resolve_to_feishu_keys(names: List[str]) -> List[Tuple[str, str]]:
+    """把用户名映射到飞书 user_key。
+
+    Args:
+        names: 用户名列表。
+
+    Returns:
+        [(name, feishu_user_key), ...] 只含配了 feishu_user_key 的成员。
+    """
+    out = []
+    for name in names:
+        m = get_member(name)
+        if m and m.get('feishu_user_key'):
+            out.append((name, m['feishu_user_key']))
+    return out
+
+
+def notify_mentions(
+    text: str,
+    context: str,
+    author: Optional[str] = None,
+    link: Optional[str] = None,
+) -> int:
+    """扫描文本里的 @提及, 给每个被提及者发飞书通知。
+
+    Args:
+        text: 含 @提及的文本 (如 PRD 评审意见)。
+        context: 上下文描述 (如 "REQ-2026-007 评审")。
+        author: 提及的发起人 (从 .developer 读)。
+        link: 相关链接 (可选)。
+
+    Returns:
+        成功通知的人数。
+    """
+    if not is_enabled():
+        return 0
+
+    names = extract_mentions(text, exclude=author)
+    if not names:
+        return 0
+
+    # 解析到飞书 user_key
+    keyed = resolve_to_feishu_keys(names)
+    # 未配 feishu_user_key 的成员, 仍然在通知内容里显示名字 (但不定向)
+    unkeyed = [n for n in names if n not in dict(keyed)]
+
+    sent = 0
+    for name, user_key in keyed:
+        lines = [
+            f'**你被 @{author or "某人"} 提及了**',
+            f'上下文: {context}',
+        ]
+        if link:
+            lines.append(f'链接: {link}')
+        lines.append(f'飞书 ID: {user_key}')
+        try:
+            if send_card(f'@提及: {context}', lines, event_type=None, theme='orange'):
+                sent += 1
+        except Exception:
+            pass
+
+    # 未配 key 的合并发一条到群 (作为 fallback)
+    if unkeyed and not keyed:
+        lines = [
+            f'**{", ".join(unkeyed)} 被 @{author or "某人"} 提及**',
+            f'(以上成员未配置 feishu_user_key, 此为群广播)',
+            f'上下文: {context}',
+        ]
+        try:
+            send_card(f'@提及: {context}', lines, event_type=None, theme='grey')
+            sent += 1
+        except Exception:
+            pass
+
+    return sent