@iola_adm/iola-cli 0.1.32 → 0.1.33

package/README.md

@@ -121,7 +121,7 @@ iola version --check
 - subagents, skill bundles, layered settings, usage/budget accounting и trajectory export;
 - полноценный локальный MCP server по stdio/http: tools, resources и prompts;
 - браузерный runtime через Playwright: чтение страниц, скриншоты, PDF, клики, ввод и eval;
-- локальный OAuth/OIDC-каркас для подключения Госуслуг/ЕСИА через официальный redirect flow;
+- личное локальное подключение Госуслуг с явным согласием пользователя и хранением доступа только на его ПК;
 - управляемые локальные файловые операции с режимами `locked`, `read-only`, `workspace-write`, `full-access`;
 - планы выполнения, traces, tasks, artifacts, snapshots и policy-профили;
 - экспорт отчетов в Excel/Word-совместимые файлы;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@iola_adm/iola-cli",
-  "version": "0.1.32",
+  "version": "0.1.33",
   "description": "CLI и AI-агент для работы с открытыми данными городского округа Йошкар-Ола.",
   "license": "MIT",
   "homepage": "https://github.com/adm-iola/iola-cli#readme",

package/src/cli.js

@@ -31,6 +31,20 @@ const FILE_TOOLS = ["files_tree", "files_read", "files_search", "files_write", "
 const ALL_LOCAL_TOOLS = [...LOCAL_TOOLS, ...FILE_TOOLS];
 const HOOK_EVENTS = ["SessionStart", "BeforeTool", "AfterTool", "PreToolUse", "PostToolUse", "OnError", "AfterSync", "BeforeExport", "SessionEnd"];
 const DAEMON_PORT = Number(process.env.IOLA_DAEMON_PORT || 18790);
+const GOSUSLUGI_CONSENT_VERSION = "2026-05-26-personal-local-v1";
+const GOSUSLUGI_CONSENT_TEXT = `Подключение личных Госуслуг
+
+Вы подключаете личную учетную запись Госуслуг к локальному CLI-агенту iola-cli на этом компьютере.
+
+Нажимая "Да", вы подтверждаете, что:
+- используете собственную учетную запись Госуслуг;
+- понимаете, что все действия, выполненные через CLI-агента после подключения, считаются действиями владельца этой учетной записи;
+- разрешаете iola-cli локально сохранить данные доступа, необходимые для повторного входа или выполнения запросов от вашего имени;
+- понимаете, что данные доступа хранятся только на этом компьютере в локальном хранилище пользователя и не передаются разработчикам CLI, администрации города или третьим лицам;
+- обязуетесь не подключать чужие учетные записи и не передавать локальные файлы доступа другим лицам;
+- понимаете, что перед юридически значимыми действиями, отправкой заявлений, оплатой, подписанием или изменением персональных данных CLI должен запросить отдельное подтверждение.
+
+Продолжить подключение?`;
 const __dirname = path.dirname(fileURLToPath(import.meta.url));
 const BUILTIN_SKILLS_DIR = path.resolve(__dirname, "..", "skills");
 const USER_SKILLS_DIR = path.join(CONFIG_DIR, "skills");
@@ -112,6 +126,7 @@ const DEFAULT_AI_CONFIG = {
   },
   gosuslugi: {
     enabled: false,
+    mode: "personal-local",
     authUrl: "",
     tokenUrl: "",
     userinfoUrl: "",
@@ -402,7 +417,7 @@ Usage:
   iola fork SESSION_ID [TEXT]
   iola features list|enable|disable
   iola settings list|get|validate|doctor|init
-  iola gosuslugi configure|status|login|logout|userinfo
+  iola gosuslugi terms|consent|configure|status|login|logout|userinfo
   iola wiki [open|links]
   iola context list|show|init
   iola skills list|show|paths|enable|disable|bundles|bundle|doctor
@@ -1726,13 +1741,27 @@ async function handleGosuslugi(args) {
   const [action = "status", ...rest] = args;
   const options = parseOptions(rest);
 
+  if (action === "terms") {
+    console.log(GOSUSLUGI_CONSENT_TEXT);
+    return;
+  }
+
+  if (action === "consent") {
+    await acceptGosuslugiConsent(options);
+    return;
+  }
+
   if (action === "status") {
     const config = await loadConfig();
     const secrets = await loadSecrets();
     const tokens = secrets.gosuslugi?.tokens || null;
+    const consent = secrets.gosuslugiConsent || null;
     printKeyValue({
+      mode: config.gosuslugi?.mode || "personal-local",
       enabled: config.gosuslugi?.enabled ? "yes" : "no",
       configured: isGosuslugiConfigured(config) ? "yes" : "no",
+      consent: consent?.version === GOSUSLUGI_CONSENT_VERSION ? "accepted" : "not accepted",
+      consentAt: consent?.acceptedAt || "-",
       clientId: config.gosuslugi?.clientId ? maskSecret(config.gosuslugi.clientId) : "-",
       authUrl: config.gosuslugi?.authUrl || "-",
       tokenUrl: config.gosuslugi?.tokenUrl || "-",
@@ -1750,6 +1779,7 @@ async function handleGosuslugi(args) {
     const next = {
       ...(current.gosuslugi || {}),
       enabled: true,
+      mode: "personal-local",
       authUrl: options["auth-url"] || current.gosuslugi?.authUrl || "",
       tokenUrl: options["token-url"] || current.gosuslugi?.tokenUrl || "",
       userinfoUrl: options["userinfo-url"] || current.gosuslugi?.userinfoUrl || "",
@@ -1761,7 +1791,7 @@ async function handleGosuslugi(args) {
       redirectPath: options["redirect-path"] || current.gosuslugi?.redirectPath || "/gosuslugi/callback",
     };
     await saveConfig({ gosuslugi: next });
-    console.log("Настройки подключения к Госуслугам сохранены.");
+    console.log("Настройки личного локального подключения Госуслуг сохранены.");
     console.log(`Redirect URI: ${gosuslugiRedirectUri({ gosuslugi: next })}`);
     return;
   }
@@ -1787,7 +1817,7 @@ async function handleGosuslugi(args) {
     return;
   }
 
-  throw new Error("Команды gosuslugi: configure, status, login, logout, userinfo.");
+  throw new Error("Команды gosuslugi: terms, consent, configure, status, login, logout, userinfo.");
 }
 
 async function handleWiki(args) {
@@ -2734,8 +2764,9 @@ async function openUrl(url) {
 async function gosuslugiLogin(options = {}) {
   const config = await loadConfig();
   if (!isGosuslugiConfigured(config)) {
-    throw new Error("Подключение не настроено. Пример: iola gosuslugi configure --auth-url URL --token-url URL --client-id ID --scope openid");
+    throw new Error("Личное подключение не настроено. Пример: iola gosuslugi configure --auth-url URL --token-url URL --client-id ID --scope openid");
   }
+  await ensureGosuslugiConsent(options);
 
   const state = randomUrlSafe(24);
   const codeVerifier = randomUrlSafe(64);
@@ -2751,8 +2782,8 @@ async function gosuslugiLogin(options = {}) {
   authUrl.searchParams.set("code_challenge", codeChallenge);
   authUrl.searchParams.set("code_challenge_method", "S256");
 
-  console.log("Открываю официальный экран входа Госуслуг/ЕСИА в браузере.");
-  console.log("После входа CLI примет callback на локальном адресе и сохранит токены только на этом компьютере.");
+  console.log("Открываю экран входа Госуслуг в браузере для личного локального подключения.");
+  console.log("После входа CLI примет callback на локальном адресе и сохранит данные доступа только на этом компьютере.");
   await openUrl(authUrl.toString());
   const params = await callback;
   if (params.error) throw new Error(`Госуслуги вернули ошибку: ${params.error} ${params.error_description || ""}`.trim());
@@ -2781,6 +2812,31 @@ async function gosuslugiLogin(options = {}) {
   };
 }
 
+async function acceptGosuslugiConsent(options = {}) {
+  console.log(GOSUSLUGI_CONSENT_TEXT);
+  if (!options.yes) {
+    const accepted = await confirm("Да, подключить личные Госуслуги к локальному iola-cli? [y/N] ");
+    if (!accepted) {
+      throw new Error("Подключение Госуслуг отменено пользователем.");
+    }
+  }
+  const secrets = await loadSecrets();
+  secrets.gosuslugiConsent = {
+    version: GOSUSLUGI_CONSENT_VERSION,
+    acceptedAt: new Date().toISOString(),
+    user: os.userInfo().username,
+    host: os.hostname(),
+  };
+  await saveSecrets(secrets);
+  console.log("Согласие сохранено локально.");
+}
+
+async function ensureGosuslugiConsent(options = {}) {
+  const secrets = await loadSecrets();
+  if (secrets.gosuslugiConsent?.version === GOSUSLUGI_CONSENT_VERSION) return;
+  await acceptGosuslugiConsent(options);
+}
+
 function waitForOAuthCallback(settings, expectedState, timeoutMs) {
   const host = settings.redirectHost || "127.0.0.1";
   const port = Number(settings.redirectPort || 18791);
@@ -2826,6 +2882,7 @@ async function exchangeGosuslugiCode(config, { code, codeVerifier, redirectUri }
   body.set("redirect_uri", redirectUri);
   body.set("client_id", config.gosuslugi.clientId);
   body.set("code_verifier", codeVerifier);
+  body.set("client_mode", config.gosuslugi.mode || "personal-local");
   if (config.gosuslugi.clientSecret) body.set("client_secret", config.gosuslugi.clientSecret);
 
   const response = await fetch(config.gosuslugi.tokenUrl, {

package/wiki//320/232/320/276/320/274/320/260/320/275/320/264/321/213.md

@@ -93,6 +93,8 @@ iola context list
 iola settings list
 iola settings validate
 iola gosuslugi status
+iola gosuslugi terms
+iola gosuslugi consent
 iola gosuslugi configure --auth-url URL --token-url URL --client-id ID --scope openid
 iola gosuslugi login
 iola gosuslugi userinfo --json

package/wiki//320/237/320/276/320/264/320/272/320/273/321/216/321/207/320/265/320/275/320/270/320/265-/320/223/320/276/321/201/321/203/321/201/320/273/321/203/320/263.md

@@ -1,19 +1,47 @@
-# Подключение Госуслуг
+# Личное подключение Госуслуг
 
-`iola-cli` поддерживает локальный OAuth/OIDC-каркас для подключения учетной записи через официальный flow ЕСИА/Госуслуг.
+`iola-cli` поддерживает локальное подключение личной учетной записи Госуслуг на компьютере пользователя.
 
-Важно: CLI не извлекает cookies, токены или session storage из браузера. Пользователь входит на официальном экране ЕСИА, после чего ЕСИА возвращает `authorization code` на локальный `redirect_uri`, а CLI обменивает его на токены через `token endpoint`.
+Сценарий рассчитан именно на пользователя, который ставит CLI на свой ПК и подключает свою учетную запись. Ключи организации или администрации в публичный пакет не вшиваются.
+
+## Согласие пользователя
+
+Перед входом CLI показывает текст согласия:
+
+```text
+Вы подключаете личную учетную запись Госуслуг к локальному CLI-агенту iola-cli на этом компьютере.
+
+Нажимая "Да", вы подтверждаете, что:
+- используете собственную учетную запись Госуслуг;
+- понимаете, что все действия, выполненные через CLI-агента после подключения, считаются действиями владельца этой учетной записи;
+- разрешаете iola-cli локально сохранить данные доступа, необходимые для повторного входа или выполнения запросов от вашего имени;
+- понимаете, что данные доступа хранятся только на этом компьютере в локальном хранилище пользователя и не передаются разработчикам CLI, администрации города или третьим лицам;
+- обязуетесь не подключать чужие учетные записи и не передавать локальные файлы доступа другим лицам;
+- понимаете, что перед юридически значимыми действиями, отправкой заявлений, оплатой, подписанием или изменением персональных данных CLI должен запросить отдельное подтверждение.
+```
+
+Посмотреть текст:
+
+```bash
+iola gosuslugi terms
+```
+
+Принять заранее:
+
+```bash
+iola gosuslugi consent
+```
 
 ## Настройка
 
-Для работы нужны параметры официально подключенной информационной системы:
+Для работы нужны параметры пользовательского OAuth/OIDC-подключения:
 
 - authorization endpoint;
 - token endpoint;
 - client ID;
 - разрешенный redirect URI;
 - scope;
-- при необходимости client secret или иной официальный способ подписи/аутентификации клиента;
+- optional client secret, если он выдан именно пользователю или локальному приложению;
 - optional userinfo endpoint.
 
 Команда настройки:
@@ -34,7 +62,7 @@ CLI покажет redirect URI:
 http://127.0.0.1:18791/gosuslugi/callback
 ```
 
-Этот URI должен быть разрешен в настройках подключенной информационной системы.
+Этот URI должен быть разрешен в настройках подключения.
 
 ## Вход
 
@@ -45,10 +73,11 @@ iola gosuslugi login
 Что происходит:
 
 1. CLI запускает локальный callback server на `127.0.0.1`.
-2. Открывается официальный экран входа ЕСИА/Госуслуг.
-3. Пользователь сам вводит логин, пароль, SMS/2FA.
-4. ЕСИА возвращает `authorization code` на локальный callback.
-5. CLI обменивает code на токены и сохраняет их локально.
+2. Показывается и сохраняется согласие пользователя.
+3. Открывается экран входа Госуслуг.
+4. Пользователь сам вводит логин, пароль, SMS/2FA.
+5. Госуслуги возвращают `authorization code` на локальный callback.
+6. CLI обменивает code на токены и сохраняет их локально.
 
 Токены хранятся в `~/.iola/secrets.json` на компьютере пользователя.
 
@@ -69,5 +98,4 @@ iola gosuslugi logout
 
 ## Ограничения
 
-Без официальных параметров ЕСИА команда `login` не сможет завершить подключение. Это сделано намеренно: CLI реализует легальный redirect flow, а не копирование живой браузерной сессии.
-
+Без параметров пользовательского подключения команда `login` не сможет завершить подключение. Все ключи, токены и настройки хранятся только локально у пользователя.