@imweapp/openclaw-imwe 2026.4.12-alpha.1 → 2026.4.12-alpha.3

package/README.md

@@ -2,86 +2,26 @@
 
 imwe 即时通讯渠道插件，AppKey/AppSecret HMAC-SHA256 签名认证，支持多账号、私聊文字消息。
 
-## 目录结构
-
-```
-extensions/imwe/
-├── proto/                        # Protobuf 消息定义（语言无关的契约文件）
-│   ├── PbPacket.proto            # 传输层：PbPacket / PbRequest / PbResponse
-│   ├── PbChatDeliverMsg.proto    # 投递层：PbChatMsgDeliverBody
-│   ├── PbChatMsg.proto           # 信封层：PbChatMsgEnvelope / PbMsgRspBody
-│   ├── PbChatTextContent.proto   # 内容层：PbChatTextContent / BodyRange
-│   ├── PbSingleChatMsg.proto     # 发送层：PbSingleChatMsgReqBody
-│   └── PbBoxPullProto.proto      # 事件箱：PbBoxPullReq / PbBoxPullRsp
-├── index.ts                      # 插件主入口（defineChannelPluginEntry）
-├── setup-entry.ts                # 轻量入口（setup-only 模式）
-├── package.json                  # npm 包配置
-└── src/
-    ├── proto/                    # Protobuf 编解码层（TypeScript）
-    │   ├── codec.ts              # encode/decode 统一导出入口
-    │   ├── registry.ts           # protobufjs 类型注册表（单例）
-    │   ├── proto-types.ts        # decode 结果的 TypeScript 接口（仅用于类型断言）
-    │   ├── inbound.codec.ts      # 入站消息四层解包
-    │   └── send.codec.ts         # 出站消息编码 + 发送响应解码
-    ├── types.ts                  # 类型定义（三层：Config / ImweConfig / ResolvedAccount）
-    ├── accounts.ts               # 账号解析（listAccountIds / resolveImweAccount）
-    ├── config-schema.ts          # Zod 配置 schema
-    ├── api-client.ts             # HTTP API 客户端（签名 + protobuf 传输）
-    ├── monitor.ts                # 事件箱短轮询消息监听器
-    ├── send.ts                   # 发送文字消息（outbound 适配器入口）
-    ├── setup-core.ts             # setup 适配器（openclaw setup imwe）
-    ├── channel.ts                # ChannelPlugin 主对象（组装所有适配器）
-    └── channel.runtime.ts        # 运行时模块统一导出（懒加载目标）
-```
-
-## 认证方式
-
-每次 HTTP 请求携带以下签名头（对应文档 §1）：
-
-```
-X-Api-Key:   <appKey>
-X-Timestamp: <毫秒时间戳>
-X-Signature: Base64(HMAC-SHA256(appSecret, signString))
-```
-
-签名原文（signString）：
-
-```
-{METHOD}&{PATH}&{TIMESTAMP}&{BODY_HASH}
-```
-
-- `METHOD`：HTTP 方法大写，固定为 `POST`
-- `PATH`：请求路径，如 `/api/im/open/bot/sendMessage`
-- `TIMESTAMP`：与 `X-Timestamp` 相同的毫秒时间戳字符串
-- `BODY_HASH`：`hex(SHA-256(body))`，body 为空时对空字符串 `""` 哈希
-
-无需登录流程，无需持久化任何凭证，AppKey/AppSecret 写入 config 即可。
-
-## 数据流
-
-```
-用户消息
-  → imwe 平台
-    → monitor.ts (long polling POST /messages/poll)
-      → channelRuntime.reply.dispatchReply(...)
-        → OpenClaw AI 推理
-          → outbound.sendText(...)
-            → api-client.sendTextMessage (POST /messages/send + HMAC 签名)
-              → imwe 平台 → 用户
-```
 
 ## 配置示例
 
 ### 单账号
 
+凭证写在 `accounts.default` 内，共享配置（`dmPolicy`、`allowFrom`）放在顶层作为默认值。`apiBaseUrl` 可省略，默认使用 `https://im-pre.imweapi.com`。
+
 ```json
 {
   "channels": {
     "imwe": {
-      "apiBaseUrl": "https://api.imwe.example.com",
-      "appKey": "your-app-key",
-      "appSecret": "your-app-secret",
-      "dmPolicy": "pairing"
+      "defaultAccount": "default",
+      "dmPolicy": "open",
+      "allowFrom": ["*"],
+      "accounts": {
+        "default": {
+          "appKey": "your-app-key",
+          "appSecret": "your-app-secret"
+        }
+      }
     }
   }
 }
@@ -89,23 +29,23 @@ X-Signature: Base64(HMAC-SHA256(appSecret, signString))
 
 ### 多账号
 
+顶层写共享默认值，每个账号只写凭证。
+
 ```json
 {
   "channels": {
     "imwe": {
-      "apiBaseUrl": "https://api.imwe.example.com",
-      "defaultAccount": "bot1",
+      "defaultAccount": "default",
+      "dmPolicy": "open",
+      "allowFrom": ["*"],
       "accounts": {
-        "bot1": {
-          "appKey": "key-a",
-          "appSecret": "secret-a",
-          "dmPolicy": "pairing"
+        "default": {
+          "appKey": "app-key-1",
+          "appSecret": "app-secret-1"
         },
         "bot2": {
-          "appKey": "key-b",
-          "appSecret": "secret-b",
-          "dmPolicy": "allowlist",
-          "allowFrom": ["123456"]
+          "appKey": "app-key-2",
+          "appSecret": "app-secret-2"
         }
       }
     }
@@ -113,60 +53,31 @@ X-Signature: Base64(HMAC-SHA256(appSecret, signString))
 }
 ```
 
-### 环境变量（单账号 default）
-
-```bash
-IMWE_API_BASE_URL=https://api.imwe.example.com
-IMWE_APP_KEY=your-app-key
-IMWE_APP_SECRET=your-app-secret
-```
-
-## E2EE 端到端加密
-
-单聊消息默认启用 E2EE（端到端加密），与 imwe iOS 客户端完全互通。无需额外配置，插件启动时自动完成密钥协商。
-
-### 安全边界
-
-- **加密范围**：单聊文本 / Markdown / 媒体消息的 `PbChatMsgEnvelope`（含 URL、caption、blurHash 等元数据）均经 E2EE 加密
-- **不在加密范围内**：媒体文件正文（CDN 资源本身以明文上传/下载，仅信令层走 E2EE）；typing signal 保持明文
-- 加解密失败时消息**不会降级为明文**发送或投递
+### 使用 SecretRef 引用环境变量
 
-### 本地状态
+凭证字段支持 SecretRef 对象，通过 `{ source: 'env', provider: 'default', id: '...' }` 引用环境变量：
 
-首次启动时，插件会在以下路径创建 E2EE 状态目录：
-
-```
-~/.openclaw/channel-data/imwe/<accountId>/e2ee/
-├── state.json          # 密钥、session、PreKey 批次等持久化状态
-├── state.json.tmp      # 两阶段写临时文件
-└── state.lock          # proper-lockfile 进程锁
+```json
+{
+  "channels": {
+    "imwe": {
+      "accounts": {
+        "default": {
+          "appKey": "your-app-key",
+          "appSecret": { "source": "env", "provider": "default", "id": "IMWE_APP_SECRET" }
+        }
+      }
+    }
+  }
+}
 ```
 
-`state.json` 损坏时会自动重命名为 `state.json.corrupt-<timestamp>` 并重新 bootstrap。
-
-### Mock Server（开发/测试）
-
-项目提供了一个轻量 mock E2EE 服务端，用于本地开发与集成测试：
+### 环境变量（单账号 default）
 
 ```bash
-# 启动（默认端口 3456）
-node tests/mock-server/server.js
-
-# 自定义端口
-PORT=4000 node tests/mock-server/server.js
-```
-
-mock server 覆盖 `getMe` / `pullMessages` / `sendMessage` + 5 个 E2EE 端点（create / replenish / apply / queryRequireNum / query），状态机行为详见 `tests/mock-server/README.md`。
-
-在集成测试中可 programmatic 引入：
-
-```js
-import { server, PORT, resetState } from './tests/mock-server/server.js';
+IMWE_API_BASE_URL=https://api.imwe.example.com
+IMWE_APP_KEY=your-app-key
+IMWE_APP_SECRET=your-app-secret
 ```
 
 ## 安装与配置
-
-```bash
-openclaw plugins install @openclaw/imwe
-openclaw setup imwe --http-url https://api.imwe.example.com --token <appKey> --private-key <appSecret>
-```

package/openclaw.plugin.json

@@ -7,52 +7,6 @@
   "configSchema": {
     "type": "object",
     "additionalProperties": false,
-    "properties": {
-      "accounts": {
-        "type": "object",
-        "description": "多账号配置，key 为 accountId",
-        "additionalProperties": {
-          "type": "object",
-          "additionalProperties": false,
-          "properties": {
-            "name": { "type": "string" },
-            "enabled": { "type": "boolean" },
-            "apiBaseUrl": { "type": "string" },
-            "appKey": { "type": "string" },
-            "appSecret": { "type": "string" },
-            "dmPolicy": {
-              "type": "string",
-              "enum": ["pairing", "allowlist", "open", "disabled"]
-            },
-            "allowFrom": {
-              "type": "array",
-              "items": { "type": ["string", "number"] }
-            },
-            "pollIntervalMs": {
-              "type": "number",
-              "description": "短轮询间隔（毫秒），默认 3000"
-            }
-          }
-        }
-      },
-      "defaultAccount": { "type": "string" },
-      "name": { "type": "string" },
-      "enabled": { "type": "boolean" },
-      "apiBaseUrl": { "type": "string" },
-      "appKey": { "type": "string" },
-      "appSecret": { "type": "string" },
-      "dmPolicy": {
-        "type": "string",
-        "enum": ["pairing", "allowlist", "open", "disabled"]
-      },
-      "allowFrom": {
-        "type": "array",
-        "items": { "type": ["string", "number"] }
-      },
-      "pollIntervalMs": {
-        "type": "number",
-        "description": "短轮询间隔（毫秒），默认 3000"
-      }
-    }
+    "properties": {}
   }
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@imweapp/openclaw-imwe",
-  "version": "2026.4.12-alpha.1",
+  "version": "2026.4.12-alpha.3",
   "description": "OpenClaw imwe 渠道插件 —— AppKey/AppSecret 签名认证，支持多账号、私聊文字消息",
   "type": "module",
   "publishConfig": {
@@ -61,7 +61,7 @@
       "quickstartAllowFrom": true
     },
     "install": {
-      "npmSpec": "@imwe/opencalw-imwe",
+      "npmSpec": "@imweapp/opencalw-imwe",
       "defaultChoice": "npm",
       "minHostVersion": ">=2026.4.11"
     },
@@ -69,5 +69,5 @@
       "pluginApi": ">=2026.4.11"
     }
   },
-  "gitHead": "0feb00ac2bc3a2bbd3e7a5ade033c5319f574a68"
+  "gitHead": "3815a36581e83ca8f98a95d1229b069233c98897"
 }

package/src/accounts.ts

@@ -14,6 +14,7 @@ import {
 } from 'openclaw/plugin-sdk/account-helpers';
 import { normalizeAccountId } from 'openclaw/plugin-sdk/account-id';
 import type { OpenClawConfig } from 'openclaw/plugin-sdk/config-runtime';
+import { coerceSecretRef } from 'openclaw/plugin-sdk/provider-auth';
 import type { ImweAccountConfig, ImweConfig, ResolvedImweAccount } from './types.js';
 
 // ─────────────────────────────────────────────────────────────────────────────
@@ -40,6 +41,28 @@ function mergeImweAccountConfig(cfg: OpenClawConfig, accountId: string): ImweAcc
   });
 }
 
+// ─────────────────────────────────────────────────────────────────────────────
+// SecretRef 解析 helper
+// ─────────────────────────────────────────────────────────────────────────────
+
+/** 将纯字符串或 SecretRef 对象解析为字符串值。env 类型 ref 从 process.env 读取。 */
+function resolveSecretLike(value: unknown): string | undefined {
+  if (value != null && typeof value === 'string') {
+    const trimmed = value.trim();
+    if (trimmed) return trimmed;
+  }
+
+  const ref = coerceSecretRef(value);
+  if (!ref) return undefined;
+
+  // env 类型 SecretRef 从 process.env 读取
+  if (ref.source === 'env') {
+    return process.env[ref.id]?.trim() || undefined;
+  }
+
+  return undefined;
+}
+
 // ─────────────────────────────────────────────────────────────────────────────
 // 凭证解析：优先级 账号级 config > 顶层 config > 环境变量
 // ─────────────────────────────────────────────────────────────────────────────
@@ -48,13 +71,11 @@ function resolveImweCredentials(
   merged: ImweAccountConfig,
   accountId: string,
 ): { appKey: string; appSecret: string; source: ResolvedImweAccount['credentialSource'] } {
-  // 1. config 里的 appKey + appSecret
-  if (merged.appKey?.trim() && merged.appSecret?.trim()) {
-    return {
-      appKey: merged.appKey.trim(),
-      appSecret: merged.appSecret.trim(),
-      source: 'config',
-    };
+  // 1. config 里的 appKey + appSecret（支持 SecretRef）
+  const configKey = resolveSecretLike(merged.appKey);
+  const configSecret = resolveSecretLike(merged.appSecret);
+  if (configKey && configSecret) {
+    return { appKey: configKey, appSecret: configSecret, source: 'config' };
   }
 
   // 2. 环境变量（仅 default 账号，避免多账号混用同一组 env）

package/src/config-schema.ts

@@ -10,13 +10,14 @@ import {
   DmPolicySchema,
 } from 'openclaw/plugin-sdk/channel-config-schema';
 import { z } from 'openclaw/plugin-sdk/zod';
+import { buildSecretInputSchema } from './secret-input.js';
 
 const imweAccountSchema = z.object({
   name: z.string().optional(),
   enabled: z.boolean().optional(),
   apiBaseUrl: z.string().optional(),
-  appKey: z.string().optional(),
-  appSecret: z.string().optional(),
+  appKey: buildSecretInputSchema().optional(),
+  appSecret: buildSecretInputSchema().optional(),
   dmPolicy: DmPolicySchema.optional(),
   allowFrom: AllowFromListSchema,
   /** 短轮询间隔（毫秒），默认 3000 */

package/src/secret-input.ts

@@ -0,0 +1,6 @@
+export {
+  buildSecretInputSchema,
+  hasConfiguredSecretInput,
+  normalizeResolvedSecretInputString,
+  normalizeSecretInputString,
+} from 'openclaw/plugin-sdk/secret-input';

package/src/send.ts

@@ -211,14 +211,15 @@ async function encryptAndSendWithRetry(
     return await encryptAndSend(outbound, to, envelopeBytes, clientMsgId);
   } catch (err) {
     if (err instanceof DeviceNotMatchError && outbound.e2eeService) {
-      // DEVICE_NOT_MATCH 重试：handleDeviceNotMatch → 用同 clientMsgId 重发一次
+      // DEVICE_NOT_MATCH 重试：handleDeviceNotMatch → 生成新 clientMsgId 重发一次
+      const retryClientMsgId = genClientMsgId();
       outbound.log?.info?.(
-        `${prefix}: DEVICE_NOT_MATCH，执行单次重试, to=${to}, clientMsgId=${clientMsgId}, errData=${JSON.stringify(err.data)}`,
+        `${prefix}: DEVICE_NOT_MATCH，执行单次重试, to=${to}, oldClientMsgId=${clientMsgId}, newClientMsgId=${retryClientMsgId}, errData=${JSON.stringify(err.data)}`,
       );
       await outbound.e2eeService.handleDeviceNotMatch(err.data);
-      const result = await encryptAndSend(outbound, to, envelopeBytes, clientMsgId);
+      const result = await encryptAndSend(outbound, to, envelopeBytes, retryClientMsgId);
       outbound.log?.info?.(
-        `${prefix}: DEVICE_NOT_MATCH 重试成功, to=${to}, clientMsgId=${clientMsgId}`,
+        `${prefix}: DEVICE_NOT_MATCH 重试成功, to=${to}, clientMsgId=${retryClientMsgId}`,
       );
       return result;
     }

package/src/types.ts

@@ -12,6 +12,8 @@
  *   无需 token、无需登录流程、无需持久化任何凭证。
  */
 
+import type { SecretInput } from 'openclaw/plugin-sdk/secret-input';
+
 // ─────────────────────────────────────────────────────────────────────────────
 // 第一层：原始配置（对应 openclaw.json 里用户写的内容）
 // ─────────────────────────────────────────────────────────────────────────────
@@ -25,14 +27,14 @@ export type ImweAccountConfig = {
   apiBaseUrl?: string;
   /**
    * 应用 Key，由 imwe 开放平台颁发，用于标识调用方身份。
-   * 也可通过环境变量 IMWE_APP_KEY 提供。
+   * 支持纯字符串或 SecretRef 对象（如 { source: 'env', provider: 'default', id: 'IMWE_APP_KEY' }）。
    */
-  appKey?: string;
+  appKey?: string | SecretInput;
   /**
    * 应用 Secret，与 AppKey 配对，用于 HMAC-SHA256 签名。
-   * 请勿明文提交到版本控制，建议通过环境变量 IMWE_APP_SECRET 提供。
+   * 支持纯字符串或 SecretRef 对象（如 { source: 'env', provider: 'default', id: 'IMWE_APP_SECRET' }）。
    */
-  appSecret?: string;
+  appSecret?: string | SecretInput;
   /** DM 安全策略：pairing（配对审批）| allowlist | open | disabled */
   dmPolicy?: 'pairing' | 'allowlist' | 'open' | 'disabled';
   /** DM 发送者白名单（imwe userId 列表） */