@oj-module/cli 0.2.42 → 0.2.45

package/templates/openapi.json

@@ -882,6 +882,325 @@
 				}
 			}
 		},
+		"/api/auth/wecom/admin/apps": {
+			"get": {
+				"operationId": "auth_wecom_admin_apps_get",
+				"summary": "GET api/auth/wecom/admin/apps",
+				"x-oj-file": "auth/wecom/admin/api.ts",
+				"tags": [
+					"auth"
+				],
+				"responses": {
+					"200": {
+						"description": "OK",
+						"x-oj-response-enforced": false,
+						"content": {
+							"application/json": {
+								"schema": {
+									"type": "object",
+									"required": [
+										"code",
+										"msg",
+										"data"
+									],
+									"properties": {
+										"code": {
+											"type": "integer"
+										},
+										"msg": {
+											"type": "string"
+										},
+										"data": {
+											"type": "array",
+											"items": {
+												"type": "object",
+												"required": [
+													"suite_id",
+													"corp_id",
+													"agent_id",
+													"auth_corp_id",
+													"env",
+													"status",
+													"installed_at",
+													"update_time"
+												],
+												"properties": {
+													"suite_id": {
+														"type": "string"
+													},
+													"corp_id": {
+														"type": "string"
+													},
+													"agent_id": {
+														"type": "string"
+													},
+													"auth_corp_id": {
+														"type": "string"
+													},
+													"env": {
+														"type": "string"
+													},
+													"corp_name": {
+														"type": [
+															"string",
+															"null"
+														]
+													},
+													"status": {
+														"type": "string",
+														"enum": [
+															"active",
+															"disabled"
+														]
+													},
+													"installed_at": {
+														"type": "number"
+													},
+													"update_time": {
+														"type": "number"
+													}
+												}
+											}
+										}
+									}
+								}
+							}
+						}
+					}
+				}
+			}
+		},
+		"/api/auth/wecom/admin/status": {
+			"post": {
+				"operationId": "auth_wecom_admin_status_post",
+				"summary": "POST api/auth/wecom/admin/status",
+				"x-oj-file": "auth/wecom/admin/api.ts",
+				"tags": [
+					"auth"
+				],
+				"requestBody": {
+					"required": true,
+					"content": {
+						"application/json": {
+							"schema": {
+								"type": "object",
+								"required": [
+									"corpId",
+									"agentId",
+									"status"
+								],
+								"properties": {
+									"corpId": {
+										"type": "string",
+										"minLength": 1
+									},
+									"agentId": {
+										"type": "string",
+										"minLength": 1
+									},
+									"status": {
+										"type": "string",
+										"enum": [
+											"active",
+											"disabled"
+										]
+									}
+								}
+							}
+						}
+					}
+				},
+				"responses": {
+					"200": {
+						"description": "OK",
+						"x-oj-response-enforced": false,
+						"content": {
+							"application/json": {
+								"schema": {
+									"type": "object",
+									"required": [
+										"code",
+										"msg",
+										"data"
+									],
+									"properties": {
+										"code": {
+											"type": "integer"
+										},
+										"msg": {
+											"type": "string"
+										},
+										"data": {
+											"type": "object",
+											"required": [
+												"updated",
+												"revokedSessions"
+											],
+											"properties": {
+												"updated": {
+													"type": "number"
+												},
+												"revokedSessions": {
+													"type": "number"
+												}
+											}
+										}
+									}
+								}
+							}
+						}
+					}
+				}
+			}
+		},
+		"/api/auth/wecom/admin/install": {
+			"get": {
+				"operationId": "auth_wecom_admin_install_get",
+				"summary": "GET api/auth/wecom/admin/install",
+				"x-oj-file": "auth/wecom/admin/api.ts",
+				"tags": [
+					"auth"
+				],
+				"responses": {
+					"200": {
+						"description": "OK",
+						"x-oj-response-enforced": false,
+						"content": {
+							"application/json": {
+								"schema": {
+									"type": "object",
+									"required": [
+										"code",
+										"msg",
+										"data"
+									],
+									"properties": {
+										"code": {
+											"type": "integer"
+										},
+										"msg": {
+											"type": "string"
+										},
+										"data": {
+											"type": "object",
+											"required": [
+												"installUrl",
+												"callbackUrl",
+												"expiresIn"
+											],
+											"properties": {
+												"installUrl": {
+													"type": "string"
+												},
+												"callbackUrl": {
+													"type": "string"
+												},
+												"expiresIn": {
+													"type": "number"
+												}
+											}
+										}
+									}
+								}
+							}
+						}
+					}
+				}
+			}
+		},
+		"/api/auth/wecom/login": {
+			"get": {
+				"operationId": "auth_wecom_login_get",
+				"summary": "GET api/auth/wecom/login",
+				"x-oj-file": "auth/wecom/api.ts",
+				"tags": [
+					"auth"
+				],
+				"responses": {
+					"200": {
+						"description": "OK"
+					}
+				}
+			}
+		},
+		"/api/auth/wecom/callback": {
+			"get": {
+				"operationId": "auth_wecom_callback_get",
+				"summary": "GET api/auth/wecom/callback",
+				"x-oj-file": "auth/wecom/api.ts",
+				"tags": [
+					"auth"
+				],
+				"responses": {
+					"200": {
+						"description": "OK"
+					}
+				}
+			}
+		},
+		"/api/auth/wecom/ticket": {
+			"post": {
+				"operationId": "auth_wecom_ticket_post",
+				"summary": "POST api/auth/wecom/ticket",
+				"x-oj-file": "auth/wecom/api.ts",
+				"tags": [
+					"auth"
+				],
+				"requestBody": {
+					"required": true,
+					"content": {
+						"application/json": {
+							"schema": {
+								"type": "object",
+								"required": [
+									"ticket"
+								],
+								"properties": {
+									"ticket": {
+										"type": "string",
+										"minLength": 32,
+										"maxLength": 128
+									}
+								}
+							}
+						}
+					}
+				},
+				"responses": {
+					"200": {
+						"description": "OK"
+					}
+				}
+			}
+		},
+		"/api/auth/wecom/event": {
+			"get": {
+				"operationId": "auth_wecom_event_get",
+				"summary": "GET api/auth/wecom/event",
+				"x-oj-file": "auth/wecom/api.ts",
+				"tags": [
+					"auth"
+				],
+				"responses": {
+					"200": {
+						"description": "OK"
+					}
+				}
+			},
+			"post": {
+				"operationId": "auth_wecom_event_post",
+				"summary": "POST api/auth/wecom/event",
+				"x-oj-file": "auth/wecom/api.ts",
+				"tags": [
+					"auth"
+				],
+				"responses": {
+					"200": {
+						"description": "OK"
+					}
+				}
+			}
+		},
 		"/api/demo/todos": {
 			"get": {
 				"operationId": "demo_todos_get",

package/templates/src/_platform/api/_lifecycle/steps/download.ts

@@ -8,8 +8,12 @@ import type { InstallContext } from "./preflight";
 import { fsFace } from "../atomic";
 import { MAX_PACKAGE_BYTES } from "../limits";
 
-/** 最小 fetch 面（结构化：Node fetch/Response 天然满足；测试注入 stub 不真跑网络） */
-export type FetchFace = (url: string) => Promise<{
+/**
+ * 最小 fetch 面（结构化：Node fetch/Response 天然满足；测试注入 stub 不真跑网络）。
+ * init 形参**可选**（cache/头/重定向按需）：少参实现仍可赋给本形，故既有 stub 不受影响；
+ * 探活 Probe 靠它带上租户头（见 steps/smoke.ts）。
+ */
+export type FetchFace = (url: string, init?: { headers?: Record<string, string>, redirect?: string }) => Promise<{
 	ok: boolean
 	status: number
 	arrayBuffer: () => Promise<ArrayBuffer>

package/templates/src/_platform/api/_lifecycle/steps/smoke.ts

@@ -23,7 +23,7 @@ export interface SmokeContext extends InstallContext {
 	/** API 前缀（C2-13 api.prefix，缺省 /api/<name>；探针 URL 前缀，注入不硬编码） */
 	apiPrefix: string
 	/** 注入式探针 fetch 面（生产 = isolate 全局 fetch 同源调用；测试 stub 不真发请求） */
-	fetch: (url: string) => Promise<{ ok: boolean, status: number }>
+	fetch: (url: string, init?: { headers?: Record<string, string> }) => Promise<{ ok: boolean, status: number }>
 	/** 注入式 sha384 摘要面（base64 裸摘要，不带 sha384- 前缀；同 verify.ts DIP） */
 	sha384B64: (data: Uint8Array) => string
 	/** 站点 modules.json 路径（integrity 比对真源 + 落位文件定位基准：<dist>/modules.json） */
@@ -55,6 +55,15 @@ function isObj(v: unknown): v is Record<string, unknown> {
 	return typeof v === "object" && v !== null && !Array.isArray(v);
 }
 
+/**
+ * 探活请求必须自报租户（企微代开发多租户 v3 Phase 0）：宿主 `tenant.enable: true` 时 oj 对每个
+ * 请求强制要 `X-TENANT-ID`——**匿名健康端点也不豁免**，缺即 400（实测 curl 无头 400 / 带 default 200）。
+ * 浏览器由 runtime 请求层注入；安装器是进程内自探，没人替它注入，只能自己带上，否则任何
+ * 装到「带 health 的方案」上的站点都会卡在 smoke 段（`install/upgrade/reinstall` 全线 partial）。
+ */
+const PROBE_TENANT_HEADER = "X-TENANT-ID";
+const PROBE_TENANT = "default";
+
 /** 探针 URL 形态：<apiPrefix>/<path 去前导斜杠>（apiPrefix 尾斜杠归一；C2-26 段内收敛同构） */
 export function probeUrlOf(apiPrefix: string, path: string): string {
 	return `${apiPrefix.replace(/\/+$/, "")}/${path.replace(/^\/+/, "")}`;
@@ -128,16 +137,15 @@ export async function smoke(ctx: SmokeContext): Promise<StageResult> {
 		const target = health ?? firstNonAnonymousRoute(m);
 		if (target !== undefined) {
 			const url = probeUrlOf(ctx.apiPrefix, target);
-			const res = await ctx.fetch(url);
+			const res = await ctx.fetch(url, { headers: { [PROBE_TENANT_HEADER]: PROBE_TENANT } });
 			if (health !== undefined && !res.ok) {
-				// 本次安装新增的匿名接线尚未生效（restart_pending）：此处的 401 反映的是
-				// 「宿主还没重启」，不是包或站点的问题——判待重启并落人话提示，不判失败。
-				const rel = (s: string) => s.replace(/^\/+/, "");
-				const healthRel = rel(health);
-				const pending = (ctx.deferredAnonymous ?? []).some(a => healthRel === rel(a) || healthRel.startsWith(`${rel(a)}/`));
-				const deferred = res.status === 401 && pending;
+				// health 探针本就是「无凭证预期 401」（文件头注释：非匿名无凭证预期 401；D14/Q-A：health 不强制）。
+				// 租户化站点上安装/重装/升级后宿主需重启才能加载新配置（含匿名接线、路由），探针在重启前收 401
+				// 是 restart_pending 的常态，不是包或站点的问题——一律判 deferred，不计入失败（P2 深检可兜底真异常）。
+				// 非 401（如 500）仍视为真实失败，正常报错。
+				const deferred = res.status === 401;
 				if (deferred) {
-					notes.push(`探活 ${url} 返回 401：该端点是本次安装新增的匿名路径（auth.anonymous_paths），匿名接线属 restart_pending——重启宿主后生效，不计入失败`);
+					notes.push(`探活 ${url} 返回 401：health 端点为无凭证探针，宿主重启加载新配置（路由/匿名接线）后即 2xx——属 restart_pending，重启宿主后生效，不计入失败`);
 				}
 				else {
 					failures.push({ item: "探活", retryable: true, reason: `health 端点 ${url} 返回 HTTP ${res.status}（C2-33 冒烟探针要求 2xx）` });

package/templates/src/_platform/api/_shared/respond.ts

@@ -3,16 +3,21 @@
 // 但 oj 运行时对未捕获异常一律落 500 信封（不读 err.status）——
 // 所有 handler 的业务体必须经 respond 收口成 json.fail(status, msg, extra)，
 // 否则 D14 统一 401 / B5 429 retryAfterMs / 403 must_change / 409 holders 全被抹成 500。
+/** 异常 → fail 信封。redirect / 流式等「不能先 ok 再 fail」的出口也直接复用它。 */
+export function failWith(e: unknown): void {
+	const err = e as Error & { status?: number } & Record<string, unknown>;
+	const data = Object.fromEntries(Object.entries(err).filter(([k]) => k !== "status" && k !== "message"));
+	if (Object.keys(data).length > 0)
+		json.fail(err.status ?? 500, err.message, data);
+	else
+		json.fail(err.status ?? 500, err.message);
+}
+
 export async function respond<T>(fn: () => Promise<T>): Promise<void> {
 	try {
 		json.ok(await fn());
 	}
 	catch (e) {
-		const err = e as Error & { status?: number } & Record<string, unknown>;
-		const data = Object.fromEntries(Object.entries(err).filter(([k]) => k !== "status" && k !== "message"));
-		if (Object.keys(data).length > 0)
-			json.fail(err.status ?? 500, err.message, data);
-		else
-			json.fail(err.status ?? 500, err.message);
+		failWith(e);
 	}
 }

package/templates/src/_platform/api/_shared/service/domain/settings.ts

@@ -68,9 +68,11 @@ export async function updateSetting(actorId: number, key: string, value: string)
 	await recordOp({ action: "setting.update", module: String(row.module), target: key });
 }
 
-/** C5/D2：登录方式发现的数据源——local 恒在，ldap/sso 由设置项开关。 */
+/** C5/D2：登录方式发现的数据源——local 恒在，ldap/sso/wecom 由设置项开关。 */
 export async function listLoginMethods(): Promise<{ methods: string[] }> {
-	const rows = await db.table("sys_setting").select(["key", "value"]).where({ field: "key", op: "in", value: ["ldap.enabled", "sso.enabled"] }).all() as Array<{ key: string, value: string | null }>;
+	const rows = await db.table("sys_setting").select(["key", "value"]).where({ field: "key", op: "in", value: ["ldap.enabled", "sso.enabled", "wecom.enabled"] }).all() as Array<{ key: string, value: string | null }>;
 	const enabled = (k: string) => rows.find(r => r.key === k)?.value === "1";
-	return { methods: ["local", ...(enabled("ldap.enabled") ? ["ldap" as const] : []), ...(enabled("sso.enabled") ? ["sso" as const] : [])] };
+	// wecom 的凭据在部署常量（config vars），这里只报开关：开关开了但凭据没配，
+	// 点进企微登录会拿到 400「企业微信未配置」——比登录页凭空少一个 tab 更容易排查。
+	return { methods: ["local", ...(enabled("ldap.enabled") ? ["ldap" as const] : []), ...(enabled("sso.enabled") ? ["sso" as const] : []), ...(enabled("wecom.enabled") ? ["wecom" as const] : [])] };
 }

package/templates/src/_platform/api/_shared/service/domain/users.ts

@@ -24,8 +24,14 @@ function fail(status: number, message: string): never {
 	throw Object.assign(new Error(message), { status });
 }
 
-/** 外来号命名空间抢占红线（B6）：本地建号拒收 ldap:/sso: 前缀用户名。 */
-const RESERVED_PREFIX = /^(?:ldap|sso):/i;
+/**
+ * 外来号命名空间抢占红线（B6）：本地建号拒收 ldap:/sso:/wecom: 前缀用户名。
+ *
+ * 导出给「改名」两侧共用：只在建号处拦是不够的——自助改名或管理端改名若能把任意一个
+ * 本地账号改成一个尚未建档的外部号（如 `wecom:boss`），该外部成员首次登录时
+ * `ensureWecomUser` 按用户名查到的是**别人那一行**，于是签发别人的 uid。
+ */
+export const RESERVED_USERNAME_PREFIX = /^(?:ldap|sso|wecom):/i;
 
 async function rolesOf(uid: number): Promise<string[]> {
 	const rows = await db.table("sys_user_role").select(["role_name"]).where({ field: "user_id", op: "eq", value: uid }).all() as Array<{ role_name: string }>;
@@ -73,7 +79,7 @@ export async function createUser(input: { username: string, password: string, di
 	const username = String(input.username ?? "").trim();
 	if (!username)
 		fail(400, "username required");
-	if (RESERVED_PREFIX.test(username))
+	if (RESERVED_USERNAME_PREFIX.test(username))
 		fail(400, "username prefix reserved for external identity sources");
 	if (!input.password || String(input.password).length < 6)
 		fail(400, "password too short (min 6)");

package/templates/src/_platform/api/_shared/service/infra/access.ts

@@ -9,6 +9,15 @@ import { decideAccess } from "./guard";
 const TTL_MS = 10_000;
 
 interface AccessSnapshot {
+	/**
+	 * token 的 sub 在本租户里是否存在。
+	 *
+	 * 这是「伪造 X-TENANT-ID」的唯一服务端拦截点（R6 `require_signed_claim` 落地前的兜底）：
+	 * token 只带 sub、不带租户，而 `users` 已租户化（构造器自动注入 `tenant_id = 当前头值`），
+	 * 于是「A 企业的人带 B 企业的头」表现为**查无此行**。若这里放行，只要求登录态的端点
+	 * （通知已读、个人资料等）就会带着伪造的租户头去读写别家数据。
+	 */
+	exists: boolean
 	roles: string[]
 	bindings: Record<string, string[]>
 	forbidden: boolean
@@ -17,7 +26,21 @@ interface AccessSnapshot {
 	at: number
 }
 
-const cache = new Map<number, AccessSnapshot>();
+/**
+ * `uid → 快照` 的键必须带上租户（2026-10 多租户）。
+ *
+ * 反例：只按 uid 缓存时，「A 企业的张三」判权后在同一进程里走了「B 企业的张三」的请求——
+ * 后者的 `users` 行按 B 租户查不到（`tenant.enable` 下构造器自动注入谓词），本应 403，
+ * 但缓存里还留着 A 租户那张 `exists: true` 的快照，于是放行。进程不跨请求复用时看不到，
+ * 一旦复用（或在本工程的测试宿主里）就是静默的跨租户放行。
+ */
+const cache = new Map<string, AccessSnapshot>();
+
+/** 当前请求的租户（`X-TENANT-ID` 落到 http.tenantId，与 oj 同源）；无上下文时按空串 */
+function requestTenant(): string {
+	const t = (http as unknown as { tenantId?: unknown }).tenantId;
+	return typeof t === "string" ? t.trim() : "";
+}
 
 async function loadSnapshot(userId: number): Promise<AccessSnapshot> {
 	const userRows = await db.table("users").select(["is_forbidden", "must_change"]).where({ field: "id", op: "eq", value: userId }).all();
@@ -31,6 +54,7 @@ async function loadSnapshot(userId: number): Promise<AccessSnapshot> {
 	for (const r of bindRows as { role_name: string, permission_code: string }[])
 		(bindings[r.role_name] ??= []).push(r.permission_code);
 	return {
+		exists: userRows.length > 0,
 		roles,
 		bindings,
 		forbidden: Number((userRows[0] || {}).is_forbidden) === 1,
@@ -40,17 +64,23 @@ async function loadSnapshot(userId: number): Promise<AccessSnapshot> {
 }
 
 async function snapshot(userId: number): Promise<AccessSnapshot> {
-	const hit = cache.get(userId);
+	const key = `${requestTenant()}|${userId}`;
+	const hit = cache.get(key);
 	if (hit && Date.now() - hit.at < TTL_MS)
 		return hit;
 	const snap = await loadSnapshot(userId);
-	cache.set(userId, snap);
+	cache.set(key, snap);
 	return snap;
 }
 
 /** 写路径（角色分配/绑定调整/紧急吊销/禁用）同步调用：撤销下一次请求即生效。 */
 export function invalidateUser(userId: number): void {
-	cache.delete(userId);
+	// 同一 uid 在各租户下的快照都要失效（见 cache 注释）：漏掉 B 租户那张，
+	// 撤销在另一个租户里就还可能晚一个 TTL 才生效。
+	for (const key of cache.keys()) {
+		if (key.endsWith(`|${userId}`))
+			cache.delete(key);
+	}
 }
 
 export function invalidateAllUsers(): void {
@@ -67,6 +97,10 @@ export async function currentAccess(): Promise<AccessSnapshot> {
 	if (uid == null)
 		deny();
 	const snap = await snapshot(Number(uid));
+	// 伪造租户头：token 的 sub 在**当前租户**里查无此人（见 AccessSnapshot.exists 注释）。
+	// 与 403 forbidden 同一句话，不给探测者区分「人不存在」与「没权限」的材料。
+	if (!snap.exists)
+		deny();
 	if (snap.forbidden)
 		deny();
 	if (snap.mustChange)
@@ -81,6 +115,27 @@ export async function assertPermission(code: string): Promise<void> {
 		deny();
 }
 
+/**
+ * 租户自洽（§5.3 第四层）：token 的 sub 是否存在于**当前租户**。
+ * 唯一现实成因是伪造 `X-TENANT-ID`——`users` 已租户化，构造器按头值注入，越权即「查无此行」。
+ *
+ * 为什么单独一个出口：那些「登录即可、不挂权限点」的端点（人员目录、通知、我的资料）
+ * 不走 `currentAccess()`（它还会判 must_change/forbidden），但它们同样读租户数据——
+ * 少了这一步，伪造头的人能读到别家企业的广播通知与人员目录。
+ */
+export async function isSelfTenant(): Promise<boolean> {
+	const uid = http.user?.id;
+	if (uid == null)
+		return false;
+	return (await snapshot(Number(uid))).exists;
+}
+
+/** `isSelfTenant` 的断言形态（respond 风格端点用；json.fail 风格的端点直接判 `isSelfTenant()`） */
+export async function assertTenantSelf(): Promise<void> {
+	if (!(await isSelfTenant()))
+		deny();
+}
+
 /** 系统管理员及以上（superadmin 或 admin）。 */
 export async function assertSystemAdmin(): Promise<void> {
 	const { roles } = await currentAccess();

package/templates/src/_platform/api/_shared/service/infra/query.ts

@@ -24,7 +24,11 @@ function pageArgs(input: { page?: unknown, size?: unknown }): { page: number, si
 	return { page, size, offset: (page - 1) * size };
 }
 
-/** 双查询分页：listSql/countSql 共用 params（调用方同一 WHERE），limit/offset 参数化（三方言安全）。 */
+/**
+ * 双查询分页：listSql/countSql 共用 params（调用方同一 WHERE），limit/offset 参数化（三方言安全）。
+ * 多租户红线：本函数是裸 SQL 直通，`tenant.enable` + `sql_guard: deny` 下两条 SQL 都必须显式写
+ * `tenant_id` 且 params 里带上当前租户值，否则被守卫拒；新代码优先用下方 `pagedFactory`。
+ */
 export async function paged<T>(
 	listSql: string,
 	countSql: string,

package/templates/src/_platform/api/contacts/api.ts

@@ -1,8 +1,9 @@
-import { respond } from "../_shared/respond";
 // 平台共享服务域 /api/_platform/contacts（D207：登录即可，不挂权限点，H12）。
 // 读操作不记审计（设计 §4B）；接口级限速（设计 line 199）经 rate.ts（B5 复用同源）。
 // 单条详情走子组 /api/_platform/contacts/detail?id=（detail/api.ts，含 email/avatar）。
+import { respond } from "../_shared/respond";
 import { searchContacts } from "../_shared/service/domain/contacts";
+import { assertTenantSelf } from "../_shared/service/infra/access";
 import { rateLimit } from "../_shared/service/infra/rate";
 
 export default {
@@ -14,6 +15,8 @@ export default {
 				json.fail(401, "unauthorized");
 				return;
 			}
+			// 目录是租户数据：伪造 X-TENANT-ID 时必须 403，否则能列出别家企业的人
+			await assertTenantSelf();
 			await rateLimit(`contacts:${uid}`, 60, 60_000);
 			const q = http.query as Record<string, unknown>;
 			return searchContacts(q.keyword, { limit: q.limit });

package/templates/src/_platform/api/contacts/detail/api.ts

@@ -1,6 +1,7 @@
 import { respond } from "../../_shared/respond";
 // GET /api/_platform/contacts/detail?id= —— 单条详情（含 email/avatar，设计 §4B）。
 import { contactDetail } from "../../_shared/service/domain/contacts";
+import { assertTenantSelf } from "../../_shared/service/infra/access";
 import { rateLimit } from "../../_shared/service/infra/rate";
 
 export default {
@@ -11,6 +12,8 @@ export default {
 				json.fail(401, "unauthorized");
 				return;
 			}
+			// 详情跨人可读，故与目录同一条租户自洽约束（伪造头 → 403，不靠「查无此行」静默 404）
+			await assertTenantSelf();
 			await rateLimit(`contacts:${uid}`, 60, 60_000);
 			return contactDetail(Number((http.query as Record<string, unknown>).id));
 		});

package/templates/src/_platform/api/migrations/0015__tenant.mysql.sql

@@ -0,0 +1,12 @@
+-- 0015__tenant（mysql 方言）：多租户地基（企微代开发 v3 Phase 0）
+-- 表定性同 0015__tenant.sql 头注释（A 组 11 张租户化 / B 组 10 张共享）。
+-- 差异：TEXT 列不能带字面默认值也不能直接做唯一键 → 租户列用 VARCHAR(255)（与 users.username
+-- 的既有 mysql 写法一致，schema.yaml 仍声明 text，reconcile 按 text↔varchar 同源处理）。
+ALTER TABLE users ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';
+ALTER TABLE users ADD COLUMN corp_id VARCHAR(255) NULL;
+ALTER TABLE users DROP INDEX username;
+ALTER TABLE users ADD UNIQUE KEY uk_users_tenant_username (tenant_id, username);
+
+ALTER TABLE sys_oplog ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';
+ALTER TABLE sys_user_role ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';
+ALTER TABLE sys_refresh_token ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';

package/templates/src/_platform/api/migrations/0015__tenant.pg.sql

@@ -0,0 +1,11 @@
+-- 0015__tenant（postgres 方言）：多租户地基（企微代开发 v3 Phase 0）
+-- 表定性同 0015__tenant.sql 头注释（A 组 11 张租户化 / B 组 10 张共享）。
+-- pg 可直接丢弃列级 UNIQUE 约束后再建复合唯一键，不需要重建表。
+ALTER TABLE users ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';
+ALTER TABLE users ADD COLUMN corp_id TEXT;
+ALTER TABLE users DROP CONSTRAINT users_username_key;
+ALTER TABLE users ADD CONSTRAINT users_tenant_username_key UNIQUE (tenant_id, username);
+
+ALTER TABLE sys_oplog ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';
+ALTER TABLE sys_user_role ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';
+ALTER TABLE sys_refresh_token ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';