@newbeebox/newbeebox-app-engine-cli 1.6.0 → 1.7.1

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@newbeebox/newbeebox-app-engine-cli",
-  "version": "1.6.0",
+  "version": "1.7.1",
   "description": "NewBee App Engine 命令行客户端（nae）——参数直达、默认人类可读（加 -o json 出 JSON），便于在终端使用与脚本/管道里解析。",
   "type": "module",
   "bin": {

package/src/forward.js

@@ -1,9 +1,10 @@
-// 转发：把内网资源转发到本地调试。
-//   - app 端口转发：本地 TCP server，每条连接开一条 WS 到平台 /apps/<id>/forward，双向对拷字节。
-//     平台 Pod 是唯一外网可达的桥；笔记本够不到 ClusterIP，故经平台中转（类 kubectl port-forward）。
-//   - LLM 转发：把内置网关经平台 PAT 代理端点暴露回本地，写全局环境变量 NAE_LLM_GATEWAY/NAE_LLM_API_KEY，
-//     本地代码用同款变量直接调试；off 清除。真实网关令牌不出平台——本地填的是 PAT。
+// 转发：把内网资源转发到本地调试。两条命令同一套机制——本地 TCP server，每条连接桥到平台一条 WS 隧道、
+// 双向对拷字节；都要求当前登录态有效（启动先验活），都前台常驻、Ctrl-C 即停。
+//   - app 端口转发：隧道到指定应用的 Service:port。
+//   - LLM 转发：隧道到平台为本人开的 LLM 反代；写全局 NAE_LLM_GATEWAY(=本地址)/NAE_LLM_API_KEY(=本地占位令牌)，退出即清除。
+//     真实网关令牌只在集群内注入、不出本机；隧道随本命令退出即断，地址是 127.0.0.1——key 拿到别处连不上集群。
 import net from 'node:net'
+import { randomBytes } from 'node:crypto'
 import { spawnSync } from 'node:child_process'
 import { homedir, platform } from 'node:os'
 import { join } from 'node:path'
@@ -11,17 +12,37 @@ import { readFileSync, writeFileSync } from 'node:fs'
 import WebSocket from 'ws'
 import { apiBase } from './config.js'
 import { CLI_VERSION } from './version.js'
-import { AuthError } from './http.js'
+import { request, ApiError } from './http.js'
 import * as out from './output.js'
 
 const isWin = platform() === 'win32'
 
+// ensureLoggedIn 启动前验活：登录态无效（无令牌/过期）直接抛 AuthError，由 run() 提示 nae login，绝不开隧道。
+async function ensureLoggedIn(cfg) {
+  await request(cfg, 'GET', '/me')
+}
+
+// ensureAppReachable app 转发启动前的一次预检：GET /apps/:id 同时走 AuthRequired(验登录)
+// 与 AppOwnership(验存在+归属)。应用不存在/不归本人 → 抛错，绝不开监听。
+// 一次调用顶「验活 + 验目标」两件事——避免凭空对垃圾 appid 起一个永远连不通的本地监听。
+async function ensureAppReachable(cfg, appid) {
+  try {
+    await request(cfg, 'GET', `/apps/${encodeURIComponent(appid)}`)
+  } catch (e) {
+    // 应用不存在/无权访问：给清晰提示，不外泄后端内部错误串。
+    // 鉴权(AuthError)/网络(NetworkError)错误原样上抛，交 run() 分类（提示 nae login / 网络）。
+    if (e instanceof ApiError) throw new Error(`应用 ${appid} 不存在或无权访问（用 nae apps 查看你的应用）`)
+    throw e
+  }
+}
+
 // --- app 端口转发 ---
 
-// forwardApp 在本地起 TCP server，把每条连接桥到平台 WS 隧道。前台常驻，Ctrl-C 退出。
-export function forwardApp(cfg, appid, opts) {
-  if (!cfg.token) throw new AuthError('未登录')
+// forwardApp 在本地起 TCP server，把每条连接桥到平台隧道。前台常驻，Ctrl-C 退出。
+export async function forwardApp(cfg, appid, opts) {
+  await ensureAppReachable(cfg, appid)
   const remotePort = opts.port // undefined → 平台取应用容器端口
+  const path = `/apps/${appid}/forward` + (remotePort ? `?port=${remotePort}` : '')
   let active = 0
   let up = 0
   let down = 0
@@ -29,7 +50,7 @@ export function forwardApp(cfg, appid, opts) {
   return new Promise((resolve, reject) => {
     const server = net.createServer((sock) => {
       active++
-      bridge(cfg, appid, remotePort, sock, {
+      bridge(cfg, path, sock, {
         onUp: (n) => (up += n),
         onDown: (n) => (down += n),
         onClose: () => (active = Math.max(0, active - 1)),
@@ -44,25 +65,67 @@ export function forwardApp(cfg, appid, opts) {
       out.info('前台常驻转发中，Ctrl-C 退出。')
     })
 
-    // 实时流量行（覆盖式单行，写 stderr 不污染可能被重定向的 stdout）。
-    const timer = setInterval(() => {
-      process.stderr.write(`\r活动连接 ${active} | ↑ ${humanBytes(up)} | ↓ ${humanBytes(down)}    `)
-    }, 1000)
-
-    process.on('SIGINT', () => {
+    const timer = liveLine(() => `活动连接 ${active} | ↑ ${humanBytes(up)} | ↓ ${humanBytes(down)}`)
+    onShutdown(() => {
       clearInterval(timer)
       process.stderr.write('\n已停止转发。\n')
       server.close(() => resolve())
-      // server.close 只停新连接；已建连接由进程退出收尾。
       process.exit(0)
     })
   })
 }
 
-// bridge 一条本地 TCP 连接 ↔ 一条平台 WS 隧道：本地数据缓冲到 WS open 后发，WS 二进制帧写回本地。
-function bridge(cfg, appid, remotePort, sock, cb) {
-  const url = wsBase(cfg) + `/apps/${appid}/forward` + (remotePort ? `?port=${remotePort}` : '')
-  const ws = new WebSocket(url, {
+// --- LLM 转发 ---
+
+// forwardLLM 在本地起 TCP server，每条连接桥到平台为本人开的 LLM 反代隧道。前台常驻，Ctrl-C 退出。
+// 写全局 env：NAE_LLM_GATEWAY=本地址、NAE_LLM_API_KEY=本地占位令牌；退出即清除。
+// 安全：真实网关令牌只在集群内注入、不出本机；隧道随本命令退出即断，地址 127.0.0.1——key 拿到别处连不上集群。
+export async function forwardLLM(cfg, opts) {
+  await ensureLoggedIn(cfg)
+  const localKey = 'naelocal_' + randomBytes(18).toString('hex') // 本地占位，真实鉴权在集群内完成
+  let active = 0
+  let up = 0
+  let down = 0
+
+  return new Promise((resolve, reject) => {
+    const server = net.createServer((sock) => {
+      active++
+      bridge(cfg, '/me/llm/forward', sock, {
+        onUp: (n) => (up += n),
+        onDown: (n) => (down += n),
+        onClose: () => (active = Math.max(0, active - 1)),
+      })
+    })
+
+    server.on('error', reject)
+    server.listen(opts.local || 0, '127.0.0.1', () => {
+      const port = server.address().port
+      const gateway = `http://127.0.0.1:${port}`
+      applyEnv({ NAE_LLM_GATEWAY: gateway, NAE_LLM_API_KEY: localKey })
+      out.info('本地 LLM 转发已就绪（前台常驻，Ctrl-C 退出即停止并清除变量）：')
+      out.info(`  本地网关  ${gateway}`)
+      out.info(`  NAE_LLM_GATEWAY = ${gateway}`)
+      out.info(`  NAE_LLM_API_KEY = ${localKey}`)
+      out.info('OpenAI 客户端 base=${NAE_LLM_GATEWAY}/v1；Anthropic SDK base=${NAE_LLM_GATEWAY}。')
+      out.info(reloadHint())
+    })
+
+    const timer = liveLine(() => `活动连接 ${active} | ↑ ${humanBytes(up)} | ↓ ${humanBytes(down)}`)
+    onShutdown(() => {
+      clearInterval(timer)
+      clearEnv(['NAE_LLM_GATEWAY', 'NAE_LLM_API_KEY'])
+      process.stderr.write('\n已停止 LLM 转发，全局环境变量已清除。\n')
+      server.close(() => resolve())
+      process.exit(0)
+    })
+  })
+}
+
+// --- 隧道 ---
+
+// bridge 一条本地 TCP 连接 ↔ 一条平台 WS 隧道：本地数据缓冲到隧道就绪后发，回包写回本地。
+function bridge(cfg, path, sock, cb) {
+  const ws = new WebSocket(wsBase(cfg) + path, {
     headers: { Authorization: `Bearer ${cfg.token}`, 'X-NAE-CLI-Version': CLI_VERSION },
   })
   ws.binaryType = 'nodebuffer'
@@ -105,6 +168,31 @@ function bridge(cfg, appid, remotePort, sock, cb) {
   })
 }
 
+// onShutdown 在所有可捕获的退出信号上跑一次清理（Ctrl-C=SIGINT、Ctrl-Break=SIGBREAK、kill=SIGTERM、挂断=SIGHUP）。
+// 多注册一次只跑一次（once 兜底），尽量不给用户留下指向死端口的残留环境变量。SIGKILL/强杀无法捕获，认栽。
+function onShutdown(fn) {
+  let ran = false
+  const once = () => {
+    if (ran) return
+    ran = true
+    fn()
+  }
+  for (const sig of ['SIGINT', 'SIGTERM', 'SIGBREAK', 'SIGHUP']) {
+    try {
+      process.on(sig, once)
+    } catch {
+      // 个别平台不支持某信号，忽略。
+    }
+  }
+}
+
+// liveLine 实时流量行（覆盖式单行，写 stderr 不污染可能被重定向的 stdout）。
+function liveLine(text) {
+  return setInterval(() => {
+    process.stderr.write(`\r${text()}    `)
+  }, 1000)
+}
+
 // wsBase 把 apiBase 的 http(s):// 换成 ws(s)://。
 function wsBase(cfg) {
   return apiBase(cfg).replace(/^http/, 'ws')
@@ -122,36 +210,17 @@ function humanBytes(n) {
   return (i === 0 ? v : v.toFixed(1)) + u[i]
 }
 
-// --- LLM 转发（全局环境变量）---
-
-// forwardLLM on/off：把内置 LLM 网关经平台 PAT 代理端点暴露回本地，写/清全局环境变量。
-export function forwardLLM(cfg, action) {
-  if (action !== 'on' && action !== 'off') {
-    throw new Error('用法：nae forward llm on|off')
-  }
-  const gateway = `${apiBase(cfg)}/me/llm/proxy`
-  if (action === 'on') {
-    if (!cfg.token) throw new AuthError('未登录：先 nae login 再开启 LLM 转发')
-    applyEnv({ NAE_LLM_GATEWAY: gateway, NAE_LLM_API_KEY: cfg.token })
-    out.info('已开启本地 LLM 转发，全局环境变量已写入：')
-    out.info(`  NAE_LLM_GATEWAY = ${gateway}`)
-    out.info(`  NAE_LLM_API_KEY = ${cfg.token.slice(0, 12)}…`)
-    out.info(reloadHint())
-    out.info('本地用 OpenAI 客户端 base=${NAE_LLM_GATEWAY}/v1；Anthropic SDK base=${NAE_LLM_GATEWAY}。')
-  } else {
-    clearEnv(['NAE_LLM_GATEWAY', 'NAE_LLM_API_KEY'])
-    out.info('已关闭本地 LLM 转发，全局环境变量已清除。')
-    out.info(reloadHint())
-  }
-}
+// --- 全局环境变量读写（跨平台）---
 
-// applyEnv 写用户级全局环境变量。Windows: setx；Unix: 重写 profile 内的托管块。
+// applyEnv 写用户级全局环境变量（新开终端生效）。
+// Windows 用 reg add 直写 HKCU\Environment——不用 setx：setx 会同步广播 WM_SETTINGCHANGE 给所有窗口，
+// 某个窗口不响应就把本进程的事件循环卡死，转发随之假死。reg add 不广播、瞬时返回，与 clearEnv 的 reg delete 对称。
 function applyEnv(pairs) {
   if (isWin) {
     for (const [k, v] of Object.entries(pairs)) {
-      const r = spawnSync('setx', [k, v], { encoding: 'utf8' })
+      const r = spawnSync('reg', ['add', 'HKCU\\Environment', '/v', k, '/t', 'REG_SZ', '/d', v, '/f'], { encoding: 'utf8' })
       if (r.status !== 0) {
-        throw new Error(`setx ${k} 失败：${(r.stderr || r.stdout || r.error?.message || '').trim()}`)
+        throw new Error(`写入环境变量 ${k} 失败：${(r.stderr || r.stdout || r.error?.message || '').trim()}`)
       }
     }
   } else {
@@ -215,6 +284,6 @@ function shellQuote(s) {
 // reloadHint 提示新值在新终端才生效。
 function reloadHint() {
   return isWin
-    ? '提示：已写入用户级环境变量（setx），新开一个终端窗口生效。'
-    : `提示：已写入 ${unixProfile()}，执行 source 它或新开终端生效。`
+    ? '提示：已写入用户级环境变量，在另开的新终端里生效（已打开的终端不会自动刷新）。'
+    : `提示：已写入 ${unixProfile()}，在另开的新终端或 source 后生效。`
 }

package/src/index.js

@@ -455,21 +455,21 @@ forward
   )
 
 forward
-  .command('llm <action>')
-  .description('本地 LLM 转发开关：on 写全局 env(NAE_LLM_GATEWAY/NAE_LLM_API_KEY) 把内置网关转发回本地，off 清除')
+  .command('llm')
+  .description('把内置 LLM 网关转发到本地（前台常驻，类 forward app）：写全局 env(NAE_LLM_GATEWAY/NAE_LLM_API_KEY)，Ctrl-C 退出即停止并清除')
+  .option('--local <n>', '本地监听端口（缺省自动选空闲端口）', (v) => parseInt(v, 10))
   .addHelpText(
     'after',
     `
 示例：
-  nae forward llm on    # 开启：写全局环境变量，新终端里本地代码即可直连内置网关调试
-  nae forward llm off   # 关闭：清除这两个全局环境变量
+  nae forward llm                 # 前台常驻，另开终端里本地代码即可经环境变量调试内置网关
 
-说明：本地 NAE_LLM_API_KEY 填的是你的 CLI 访问密钥（PAT），真实网关令牌不出平台；
-请求经平台 PAT 代理端点转到内网网关，配额/计量与应用内调用完全一致。`
+说明：转发到 127.0.0.1，仅本命令运行期间有效，Ctrl-C 退出即失效；
+NAE_LLM_API_KEY 是本次会话的临时本地令牌，只能连本地端点，拿到别处连不上集群；需先登录。`
   )
   .action(
-    run(async (action) => {
-      forwardLLM(cfg(), action)
+    run(async (opts) => {
+      await forwardLLM(cfg(), opts)
     })
   )