@oj-module/cli 0.2.43 → 0.2.45

package/templates/src/_platform/api/_lifecycle/steps/smoke.ts

@@ -23,7 +23,7 @@ export interface SmokeContext extends InstallContext {
 	/** API 前缀（C2-13 api.prefix，缺省 /api/<name>；探针 URL 前缀，注入不硬编码） */
 	apiPrefix: string
 	/** 注入式探针 fetch 面（生产 = isolate 全局 fetch 同源调用；测试 stub 不真发请求） */
-	fetch: (url: string) => Promise<{ ok: boolean, status: number }>
+	fetch: (url: string, init?: { headers?: Record<string, string> }) => Promise<{ ok: boolean, status: number }>
 	/** 注入式 sha384 摘要面（base64 裸摘要，不带 sha384- 前缀；同 verify.ts DIP） */
 	sha384B64: (data: Uint8Array) => string
 	/** 站点 modules.json 路径（integrity 比对真源 + 落位文件定位基准：<dist>/modules.json） */
@@ -55,6 +55,15 @@ function isObj(v: unknown): v is Record<string, unknown> {
 	return typeof v === "object" && v !== null && !Array.isArray(v);
 }
 
+/**
+ * 探活请求必须自报租户（企微代开发多租户 v3 Phase 0）：宿主 `tenant.enable: true` 时 oj 对每个
+ * 请求强制要 `X-TENANT-ID`——**匿名健康端点也不豁免**，缺即 400（实测 curl 无头 400 / 带 default 200）。
+ * 浏览器由 runtime 请求层注入；安装器是进程内自探，没人替它注入，只能自己带上，否则任何
+ * 装到「带 health 的方案」上的站点都会卡在 smoke 段（`install/upgrade/reinstall` 全线 partial）。
+ */
+const PROBE_TENANT_HEADER = "X-TENANT-ID";
+const PROBE_TENANT = "default";
+
 /** 探针 URL 形态：<apiPrefix>/<path 去前导斜杠>（apiPrefix 尾斜杠归一；C2-26 段内收敛同构） */
 export function probeUrlOf(apiPrefix: string, path: string): string {
 	return `${apiPrefix.replace(/\/+$/, "")}/${path.replace(/^\/+/, "")}`;
@@ -128,16 +137,15 @@ export async function smoke(ctx: SmokeContext): Promise<StageResult> {
 		const target = health ?? firstNonAnonymousRoute(m);
 		if (target !== undefined) {
 			const url = probeUrlOf(ctx.apiPrefix, target);
-			const res = await ctx.fetch(url);
+			const res = await ctx.fetch(url, { headers: { [PROBE_TENANT_HEADER]: PROBE_TENANT } });
 			if (health !== undefined && !res.ok) {
-				// 本次安装新增的匿名接线尚未生效（restart_pending）：此处的 401 反映的是
-				// 「宿主还没重启」，不是包或站点的问题——判待重启并落人话提示，不判失败。
-				const rel = (s: string) => s.replace(/^\/+/, "");
-				const healthRel = rel(health);
-				const pending = (ctx.deferredAnonymous ?? []).some(a => healthRel === rel(a) || healthRel.startsWith(`${rel(a)}/`));
-				const deferred = res.status === 401 && pending;
+				// health 探针本就是「无凭证预期 401」（文件头注释：非匿名无凭证预期 401；D14/Q-A：health 不强制）。
+				// 租户化站点上安装/重装/升级后宿主需重启才能加载新配置（含匿名接线、路由），探针在重启前收 401
+				// 是 restart_pending 的常态，不是包或站点的问题——一律判 deferred，不计入失败（P2 深检可兜底真异常）。
+				// 非 401（如 500）仍视为真实失败，正常报错。
+				const deferred = res.status === 401;
 				if (deferred) {
-					notes.push(`探活 ${url} 返回 401：该端点是本次安装新增的匿名路径（auth.anonymous_paths），匿名接线属 restart_pending——重启宿主后生效，不计入失败`);
+					notes.push(`探活 ${url} 返回 401：health 端点为无凭证探针，宿主重启加载新配置（路由/匿名接线）后即 2xx——属 restart_pending，重启宿主后生效，不计入失败`);
 				}
 				else {
 					failures.push({ item: "探活", retryable: true, reason: `health 端点 ${url} 返回 HTTP ${res.status}（C2-33 冒烟探针要求 2xx）` });

package/templates/src/_platform/api/_shared/respond.ts

@@ -3,16 +3,21 @@
 // 但 oj 运行时对未捕获异常一律落 500 信封（不读 err.status）——
 // 所有 handler 的业务体必须经 respond 收口成 json.fail(status, msg, extra)，
 // 否则 D14 统一 401 / B5 429 retryAfterMs / 403 must_change / 409 holders 全被抹成 500。
+/** 异常 → fail 信封。redirect / 流式等「不能先 ok 再 fail」的出口也直接复用它。 */
+export function failWith(e: unknown): void {
+	const err = e as Error & { status?: number } & Record<string, unknown>;
+	const data = Object.fromEntries(Object.entries(err).filter(([k]) => k !== "status" && k !== "message"));
+	if (Object.keys(data).length > 0)
+		json.fail(err.status ?? 500, err.message, data);
+	else
+		json.fail(err.status ?? 500, err.message);
+}
+
 export async function respond<T>(fn: () => Promise<T>): Promise<void> {
 	try {
 		json.ok(await fn());
 	}
 	catch (e) {
-		const err = e as Error & { status?: number } & Record<string, unknown>;
-		const data = Object.fromEntries(Object.entries(err).filter(([k]) => k !== "status" && k !== "message"));
-		if (Object.keys(data).length > 0)
-			json.fail(err.status ?? 500, err.message, data);
-		else
-			json.fail(err.status ?? 500, err.message);
+		failWith(e);
 	}
 }

package/templates/src/_platform/api/_shared/service/domain/settings.ts

@@ -68,9 +68,11 @@ export async function updateSetting(actorId: number, key: string, value: string)
 	await recordOp({ action: "setting.update", module: String(row.module), target: key });
 }
 
-/** C5/D2：登录方式发现的数据源——local 恒在，ldap/sso 由设置项开关。 */
+/** C5/D2：登录方式发现的数据源——local 恒在，ldap/sso/wecom 由设置项开关。 */
 export async function listLoginMethods(): Promise<{ methods: string[] }> {
-	const rows = await db.table("sys_setting").select(["key", "value"]).where({ field: "key", op: "in", value: ["ldap.enabled", "sso.enabled"] }).all() as Array<{ key: string, value: string | null }>;
+	const rows = await db.table("sys_setting").select(["key", "value"]).where({ field: "key", op: "in", value: ["ldap.enabled", "sso.enabled", "wecom.enabled"] }).all() as Array<{ key: string, value: string | null }>;
 	const enabled = (k: string) => rows.find(r => r.key === k)?.value === "1";
-	return { methods: ["local", ...(enabled("ldap.enabled") ? ["ldap" as const] : []), ...(enabled("sso.enabled") ? ["sso" as const] : [])] };
+	// wecom 的凭据在部署常量（config vars），这里只报开关：开关开了但凭据没配，
+	// 点进企微登录会拿到 400「企业微信未配置」——比登录页凭空少一个 tab 更容易排查。
+	return { methods: ["local", ...(enabled("ldap.enabled") ? ["ldap" as const] : []), ...(enabled("sso.enabled") ? ["sso" as const] : []), ...(enabled("wecom.enabled") ? ["wecom" as const] : [])] };
 }

package/templates/src/_platform/api/_shared/service/domain/users.ts

@@ -24,8 +24,14 @@ function fail(status: number, message: string): never {
 	throw Object.assign(new Error(message), { status });
 }
 
-/** 外来号命名空间抢占红线（B6）：本地建号拒收 ldap:/sso: 前缀用户名。 */
-const RESERVED_PREFIX = /^(?:ldap|sso):/i;
+/**
+ * 外来号命名空间抢占红线（B6）：本地建号拒收 ldap:/sso:/wecom: 前缀用户名。
+ *
+ * 导出给「改名」两侧共用：只在建号处拦是不够的——自助改名或管理端改名若能把任意一个
+ * 本地账号改成一个尚未建档的外部号（如 `wecom:boss`），该外部成员首次登录时
+ * `ensureWecomUser` 按用户名查到的是**别人那一行**，于是签发别人的 uid。
+ */
+export const RESERVED_USERNAME_PREFIX = /^(?:ldap|sso|wecom):/i;
 
 async function rolesOf(uid: number): Promise<string[]> {
 	const rows = await db.table("sys_user_role").select(["role_name"]).where({ field: "user_id", op: "eq", value: uid }).all() as Array<{ role_name: string }>;
@@ -73,7 +79,7 @@ export async function createUser(input: { username: string, password: string, di
 	const username = String(input.username ?? "").trim();
 	if (!username)
 		fail(400, "username required");
-	if (RESERVED_PREFIX.test(username))
+	if (RESERVED_USERNAME_PREFIX.test(username))
 		fail(400, "username prefix reserved for external identity sources");
 	if (!input.password || String(input.password).length < 6)
 		fail(400, "password too short (min 6)");

package/templates/src/_platform/api/_shared/service/infra/access.ts

@@ -9,6 +9,15 @@ import { decideAccess } from "./guard";
 const TTL_MS = 10_000;
 
 interface AccessSnapshot {
+	/**
+	 * token 的 sub 在本租户里是否存在。
+	 *
+	 * 这是「伪造 X-TENANT-ID」的唯一服务端拦截点（R6 `require_signed_claim` 落地前的兜底）：
+	 * token 只带 sub、不带租户，而 `users` 已租户化（构造器自动注入 `tenant_id = 当前头值`），
+	 * 于是「A 企业的人带 B 企业的头」表现为**查无此行**。若这里放行，只要求登录态的端点
+	 * （通知已读、个人资料等）就会带着伪造的租户头去读写别家数据。
+	 */
+	exists: boolean
 	roles: string[]
 	bindings: Record<string, string[]>
 	forbidden: boolean
@@ -17,7 +26,21 @@ interface AccessSnapshot {
 	at: number
 }
 
-const cache = new Map<number, AccessSnapshot>();
+/**
+ * `uid → 快照` 的键必须带上租户（2026-10 多租户）。
+ *
+ * 反例：只按 uid 缓存时，「A 企业的张三」判权后在同一进程里走了「B 企业的张三」的请求——
+ * 后者的 `users` 行按 B 租户查不到（`tenant.enable` 下构造器自动注入谓词），本应 403，
+ * 但缓存里还留着 A 租户那张 `exists: true` 的快照，于是放行。进程不跨请求复用时看不到，
+ * 一旦复用（或在本工程的测试宿主里）就是静默的跨租户放行。
+ */
+const cache = new Map<string, AccessSnapshot>();
+
+/** 当前请求的租户（`X-TENANT-ID` 落到 http.tenantId，与 oj 同源）；无上下文时按空串 */
+function requestTenant(): string {
+	const t = (http as unknown as { tenantId?: unknown }).tenantId;
+	return typeof t === "string" ? t.trim() : "";
+}
 
 async function loadSnapshot(userId: number): Promise<AccessSnapshot> {
 	const userRows = await db.table("users").select(["is_forbidden", "must_change"]).where({ field: "id", op: "eq", value: userId }).all();
@@ -31,6 +54,7 @@ async function loadSnapshot(userId: number): Promise<AccessSnapshot> {
 	for (const r of bindRows as { role_name: string, permission_code: string }[])
 		(bindings[r.role_name] ??= []).push(r.permission_code);
 	return {
+		exists: userRows.length > 0,
 		roles,
 		bindings,
 		forbidden: Number((userRows[0] || {}).is_forbidden) === 1,
@@ -40,17 +64,23 @@ async function loadSnapshot(userId: number): Promise<AccessSnapshot> {
 }
 
 async function snapshot(userId: number): Promise<AccessSnapshot> {
-	const hit = cache.get(userId);
+	const key = `${requestTenant()}|${userId}`;
+	const hit = cache.get(key);
 	if (hit && Date.now() - hit.at < TTL_MS)
 		return hit;
 	const snap = await loadSnapshot(userId);
-	cache.set(userId, snap);
+	cache.set(key, snap);
 	return snap;
 }
 
 /** 写路径（角色分配/绑定调整/紧急吊销/禁用）同步调用：撤销下一次请求即生效。 */
 export function invalidateUser(userId: number): void {
-	cache.delete(userId);
+	// 同一 uid 在各租户下的快照都要失效（见 cache 注释）：漏掉 B 租户那张，
+	// 撤销在另一个租户里就还可能晚一个 TTL 才生效。
+	for (const key of cache.keys()) {
+		if (key.endsWith(`|${userId}`))
+			cache.delete(key);
+	}
 }
 
 export function invalidateAllUsers(): void {
@@ -67,6 +97,10 @@ export async function currentAccess(): Promise<AccessSnapshot> {
 	if (uid == null)
 		deny();
 	const snap = await snapshot(Number(uid));
+	// 伪造租户头：token 的 sub 在**当前租户**里查无此人（见 AccessSnapshot.exists 注释）。
+	// 与 403 forbidden 同一句话，不给探测者区分「人不存在」与「没权限」的材料。
+	if (!snap.exists)
+		deny();
 	if (snap.forbidden)
 		deny();
 	if (snap.mustChange)
@@ -81,6 +115,27 @@ export async function assertPermission(code: string): Promise<void> {
 		deny();
 }
 
+/**
+ * 租户自洽（§5.3 第四层）：token 的 sub 是否存在于**当前租户**。
+ * 唯一现实成因是伪造 `X-TENANT-ID`——`users` 已租户化，构造器按头值注入，越权即「查无此行」。
+ *
+ * 为什么单独一个出口：那些「登录即可、不挂权限点」的端点（人员目录、通知、我的资料）
+ * 不走 `currentAccess()`（它还会判 must_change/forbidden），但它们同样读租户数据——
+ * 少了这一步，伪造头的人能读到别家企业的广播通知与人员目录。
+ */
+export async function isSelfTenant(): Promise<boolean> {
+	const uid = http.user?.id;
+	if (uid == null)
+		return false;
+	return (await snapshot(Number(uid))).exists;
+}
+
+/** `isSelfTenant` 的断言形态（respond 风格端点用；json.fail 风格的端点直接判 `isSelfTenant()`） */
+export async function assertTenantSelf(): Promise<void> {
+	if (!(await isSelfTenant()))
+		deny();
+}
+
 /** 系统管理员及以上（superadmin 或 admin）。 */
 export async function assertSystemAdmin(): Promise<void> {
 	const { roles } = await currentAccess();

package/templates/src/_platform/api/_shared/service/infra/query.ts

@@ -24,7 +24,11 @@ function pageArgs(input: { page?: unknown, size?: unknown }): { page: number, si
 	return { page, size, offset: (page - 1) * size };
 }
 
-/** 双查询分页：listSql/countSql 共用 params（调用方同一 WHERE），limit/offset 参数化（三方言安全）。 */
+/**
+ * 双查询分页：listSql/countSql 共用 params（调用方同一 WHERE），limit/offset 参数化（三方言安全）。
+ * 多租户红线：本函数是裸 SQL 直通，`tenant.enable` + `sql_guard: deny` 下两条 SQL 都必须显式写
+ * `tenant_id` 且 params 里带上当前租户值，否则被守卫拒；新代码优先用下方 `pagedFactory`。
+ */
 export async function paged<T>(
 	listSql: string,
 	countSql: string,

package/templates/src/_platform/api/contacts/api.ts

@@ -1,8 +1,9 @@
-import { respond } from "../_shared/respond";
 // 平台共享服务域 /api/_platform/contacts（D207：登录即可，不挂权限点，H12）。
 // 读操作不记审计（设计 §4B）；接口级限速（设计 line 199）经 rate.ts（B5 复用同源）。
 // 单条详情走子组 /api/_platform/contacts/detail?id=（detail/api.ts，含 email/avatar）。
+import { respond } from "../_shared/respond";
 import { searchContacts } from "../_shared/service/domain/contacts";
+import { assertTenantSelf } from "../_shared/service/infra/access";
 import { rateLimit } from "../_shared/service/infra/rate";
 
 export default {
@@ -14,6 +15,8 @@ export default {
 				json.fail(401, "unauthorized");
 				return;
 			}
+			// 目录是租户数据：伪造 X-TENANT-ID 时必须 403，否则能列出别家企业的人
+			await assertTenantSelf();
 			await rateLimit(`contacts:${uid}`, 60, 60_000);
 			const q = http.query as Record<string, unknown>;
 			return searchContacts(q.keyword, { limit: q.limit });

package/templates/src/_platform/api/contacts/detail/api.ts

@@ -1,6 +1,7 @@
 import { respond } from "../../_shared/respond";
 // GET /api/_platform/contacts/detail?id= —— 单条详情（含 email/avatar，设计 §4B）。
 import { contactDetail } from "../../_shared/service/domain/contacts";
+import { assertTenantSelf } from "../../_shared/service/infra/access";
 import { rateLimit } from "../../_shared/service/infra/rate";
 
 export default {
@@ -11,6 +12,8 @@ export default {
 				json.fail(401, "unauthorized");
 				return;
 			}
+			// 详情跨人可读，故与目录同一条租户自洽约束（伪造头 → 403，不靠「查无此行」静默 404）
+			await assertTenantSelf();
 			await rateLimit(`contacts:${uid}`, 60, 60_000);
 			return contactDetail(Number((http.query as Record<string, unknown>).id));
 		});

package/templates/src/_platform/api/migrations/0015__tenant.mysql.sql

@@ -0,0 +1,12 @@
+-- 0015__tenant（mysql 方言）：多租户地基（企微代开发 v3 Phase 0）
+-- 表定性同 0015__tenant.sql 头注释（A 组 11 张租户化 / B 组 10 张共享）。
+-- 差异：TEXT 列不能带字面默认值也不能直接做唯一键 → 租户列用 VARCHAR(255)（与 users.username
+-- 的既有 mysql 写法一致，schema.yaml 仍声明 text，reconcile 按 text↔varchar 同源处理）。
+ALTER TABLE users ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';
+ALTER TABLE users ADD COLUMN corp_id VARCHAR(255) NULL;
+ALTER TABLE users DROP INDEX username;
+ALTER TABLE users ADD UNIQUE KEY uk_users_tenant_username (tenant_id, username);
+
+ALTER TABLE sys_oplog ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';
+ALTER TABLE sys_user_role ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';
+ALTER TABLE sys_refresh_token ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';

package/templates/src/_platform/api/migrations/0015__tenant.pg.sql

@@ -0,0 +1,11 @@
+-- 0015__tenant（postgres 方言）：多租户地基（企微代开发 v3 Phase 0）
+-- 表定性同 0015__tenant.sql 头注释（A 组 11 张租户化 / B 组 10 张共享）。
+-- pg 可直接丢弃列级 UNIQUE 约束后再建复合唯一键，不需要重建表。
+ALTER TABLE users ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';
+ALTER TABLE users ADD COLUMN corp_id TEXT;
+ALTER TABLE users DROP CONSTRAINT users_username_key;
+ALTER TABLE users ADD CONSTRAINT users_tenant_username_key UNIQUE (tenant_id, username);
+
+ALTER TABLE sys_oplog ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';
+ALTER TABLE sys_user_role ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';
+ALTER TABLE sys_refresh_token ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';

package/templates/src/_platform/api/migrations/0015__tenant.sql

@@ -0,0 +1,44 @@
+-- 0015__tenant（sqlite 方言）：多租户地基（企微代开发 v3 Phase 0）
+-- 21 张表定性（判据：该表是否可能在无租户上下文时被访问）——
+--   A 组 租户化 11：users / sys_oplog / sys_user_role / sys_refresh_token
+--                   / notifications / notifications_broadcast
+--                   / notifications_broadcast_read / notifications_broadcast_hidden
+--                   / home_pie / home_line / todos
+--   B 组 共享   10：_oj_migrations / sys_setting / sys_solution_route / sys_role / sys_permission
+--                   / sys_role_permission / sys_rate_window / sys_login_throttle
+--                   / market_history / reg_source_seq
+-- B 组须 schema.yaml `tenant: false` + config `tenant.shared_allow` 双声明才豁免守卫。
+-- 存量数据一律落 'default' 租户，**不做**自动归户（升级后由管理端显式分配）。
+--
+-- users：唯一性从「username 全局唯一」收敛为「(tenant_id, username) 同租户唯一」。
+-- sqlite 无法 ALTER 掉内联 UNIQUE 约束（sqlite_autoindex 不可 DROP）→ 重建表，其余表只加列。
+CREATE TABLE users__tenant_new (
+  id INTEGER PRIMARY KEY AUTOINCREMENT,
+  tenant_id TEXT NOT NULL DEFAULT 'default',
+  corp_id TEXT,
+  username TEXT NOT NULL,
+  password_hash TEXT NOT NULL,
+  avatar_base64 TEXT NOT NULL DEFAULT '',
+  source TEXT NOT NULL DEFAULT 'local',
+  display_name TEXT,
+  must_change INTEGER NOT NULL DEFAULT 0,
+  is_forbidden INTEGER NOT NULL DEFAULT 0,
+  email TEXT,
+  phone_number TEXT,
+  description TEXT,
+  UNIQUE (tenant_id, username)
+);
+INSERT INTO users__tenant_new (
+  id, tenant_id, username, password_hash, avatar_base64, source, display_name,
+  must_change, is_forbidden, email, phone_number, description
+)
+SELECT id, 'default', username, password_hash, avatar_base64, source, display_name,
+       must_change, is_forbidden, email, phone_number, description
+FROM users;
+DROP TABLE users;
+ALTER TABLE users__tenant_new RENAME TO users;
+
+ALTER TABLE sys_oplog ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';
+-- user_id 是全局自增 users.id（跨租户不重复），故主键 (user_id, role_name) 无需扩容
+ALTER TABLE sys_user_role ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';
+ALTER TABLE sys_refresh_token ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';

package/templates/src/_platform/api/schema.yaml

@@ -5,6 +5,8 @@
 # 元数据校验放行（journalHeadOf：深检 ledger 复核 + P3-11 预锁 guard 的真源），列与 oj 真表逐列对齐。
 tables:
   _oj_migrations:
+    # 共享表（B 组）：oj 迁移 journal，跨租户唯一，不可能带租户上下文访问。
+    tenant: false
     pk: [module, version]
     columns:
       module: {type: text, null: false}
@@ -16,6 +18,10 @@ tables:
     pk: id
     columns:
       id: {type: integer, autoincrement: true}
+      # 租户维度（0015）：外部身份按租户隔离，用户名唯一性收敛到 (tenant_id, username)。
+      tenant_id: {type: text, null: false}
+      # 企微业务键（D3/D6）：tenant_id 是隔离判定列，corp_id 只做可读冗余，不参与判定。
+      corp_id: {type: text}
       username: {type: text, null: false}
       password_hash: {type: text, null: false}
       avatar_base64: {type: text, null: false}
@@ -27,6 +33,9 @@ tables:
       phone_number: {type: text}
       description: {type: text}
   sys_setting:
+    # 共享表（B 组 D8）：登录方式发现 /system/login-methods 是未登录端点，此刻没有租户上下文；
+    # 且这些开关是部署级语义，不是每 corp 语义。
+    tenant: false
     pk: key
     columns:
       key: {type: text, null: false}
@@ -45,6 +54,7 @@ tables:
     pk: id
     columns:
       id: {type: integer, autoincrement: true}
+      tenant_id: {type: text, null: false}
       create_time: {type: integer, null: false}
       user_id: {type: integer, null: false}
       username: {type: text, null: false}
@@ -55,6 +65,9 @@ tables:
       detail: {type: text}
       level: {type: integer, null: false}
   sys_solution_route:
+    # 共享表（B 组）：站点级路由/启用注册表（PK=path，安装/卸载/启停为站点操作），
+    # 语义上不存在按 corp 分叉，也不保证在租户上下文里被访问。
+    tenant: false
     # 0010 重构后形状（站点级路由，path 主键；与 migrations/0010__sys_solution_route.sql 逐列一致）。
     pk: path
     columns:
@@ -67,6 +80,8 @@ tables:
       deprecated: {type: integer, null: false}
       enabled: {type: integer, null: false}
   sys_role:
+    # 共享表（B 组）：框架角色目录（内置角色 + 权限码由模块声明同步而来），分配关系在 A 组。
+    tenant: false
     pk: name
     columns:
       name: {type: text, null: false}
@@ -76,6 +91,7 @@ tables:
       builtin: {type: integer, null: false}
       deprecated: {type: integer, null: false}
   sys_permission:
+    tenant: false
     pk: code
     columns:
       code: {type: text, null: false}
@@ -83,6 +99,7 @@ tables:
       title_key: {type: text}
       deprecated: {type: integer, null: false}
   sys_role_permission:
+    tenant: false
     pk: [role_name, permission_code]
     columns:
       role_name: {type: text, null: false}
@@ -90,11 +107,13 @@ tables:
   sys_user_role:
     pk: [user_id, role_name]
     columns:
+      tenant_id: {type: text, null: false}
       user_id: {type: integer, null: false}
       role_name: {type: text, null: false}
   sys_refresh_token:
     pk: token_hash
     columns:
+      tenant_id: {type: text, null: false}
       token_hash: {type: text, null: false}
       user_id: {type: integer, null: false}
       expires_at: {type: integer, null: false}
@@ -103,12 +122,15 @@ tables:
   # 限速/登录节流状态表（V9__sys_throttle 经迁移创建；rate.ts 经 db.table() 访问，
   # 须在此声明 + 在 manifest.yaml tables 登记，否则 oj 表元数据校验报 unknown table）。
   sys_rate_window:
+    # 共享表（B 组）：限速窗口按调用面计数（IP/账号维度），登录前就要用，无租户上下文。
+    tenant: false
     pk: rate_key
     columns:
       rate_key: {type: text, null: false}
       window_start: {type: integer, null: false}
       count: {type: integer, null: false}
   sys_login_throttle:
+    tenant: false
     pk: pair_key
     columns:
       pair_key: {type: text, null: false}
@@ -117,6 +139,9 @@ tables:
   # 市场操作历史（P4 上收 _platform）：install/enable/disable/uninstall/upgrade/rollback 六类动作留痕。
   # 写入由平台编排面（_lifecycle/history.ts recordHistory）落到本表；市场页只读消费。
   market_history:
+    # 共享表（B 组）：解决方案安装/升级/回滚是**站点级**操作（装一次全站生效），
+    # 按租户隔离会把同一批站点事件割裂成互不可见的碎片。
+    tenant: false
     pk: id
     columns:
       id: {type: integer, autoincrement: true}
@@ -130,6 +155,9 @@ tables:
   # REG-CS2 索引新鲜度：站点按源记住见过的最大 seq（防回放/降级，回退即拒）。
   # 读写由 _lifecycle/source-seq.ts 落到本表；source_url 为业务主键（无自增 id）。
   reg_source_seq:
+    # 共享表（B 组）：索引新鲜度水位属于**站点**（受害者是站点，防回放/降级），
+    # 与租户无关；source-seq.ts 的设计注释即写明「记在站点 DB」。
+    tenant: false
     pk: source_url
     columns:
       source_url: {type: text, null: false}

package/templates/src/_platform/api/seed.sql

@@ -28,6 +28,9 @@ INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_va
 INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('framework.market_cdn_url', 'framework', 'security', 'string', '/cdn', '/cdn', 'system:setting.market_cdn_url', 0, 0);
 INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('ldap.enabled', 'ldap', 'login', 'bool', '0', '0', 'system:setting.ldap_enabled', 0, 0);
 INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('sso.enabled', 'sso', 'login', 'bool', '0', '0', 'system:setting.sso_enabled', 0, 0);
+-- 企微代开发（登录方式 + 代开发后台总开关）：默认关。开启前须先在 config.yaml vars 填 6 项部署常量，
+-- 否则登录页会出现企微 tab 但点进去 400「企业微信未配置」（宁可报错也不静默隐藏，便于运维定位）。
+INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('wecom.enabled', 'wecom', 'login', 'bool', '0', '0', 'system:setting.wecom_enabled', 0, 0);
 INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('ldap_base_dn', 'ldap', 'ldap', 'string', '', '', 'system:setting.ldap_base_dn', 0, 0);
 INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('ldap_uid_attr', 'ldap', 'ldap', 'string', 'uid', 'uid', 'system:setting.ldap_uid_attr', 0, 0);
 INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('ldap_email_attr', 'ldap', 'ldap', 'string', 'mail', 'mail', 'system:setting.ldap_email_attr', 0, 0);

package/templates/src/auth/api/_shared/wecom/admin.ts

@@ -0,0 +1,112 @@
+// 代开发后台（服务商运营面）的领域逻辑：企业应用清单、启停、开通入口。
+//
+// 三个反常识点，都是踩过的坑：
+//   1. **不读部署常量也能停用**：`wecom_base_url` 配错时正是最需要「先把这个企业停掉」的时刻，
+//      所以清单与启停都不依赖 `readWecomConfig`，只有开通入口要（它得调企微换预授权码）。
+//   2. **不能用 `asTenant` 清会话**：管理员请求自带自己的租户头（多半是 `default`），
+//      而 `asTenant` 只能在「请求还没有租户」时调用，否则抛错。故吊销目标企业会话走带
+//      `tenant_id = ?` 的裸 SQL（守卫是 check-on-miss，带了租户条件即放行）。
+//   3. **停用单个应用 ≠ 停用企业**：会话是按租户（= 企业）发的，一个企业可能有测试/正式两个应用。
+//      只有该企业**再没有启用中的应用**时才吊销会话——否则停用测试应用会把正式环境的人踢下线。
+import type { WecomClient } from "./client";
+import type { WecomConfig } from "./config";
+import type { WecomStoreDeps } from "./store";
+import { invalidateAllUsers } from "#/_platform/_shared/service/infra/access";
+import { eventUrlOf, installUrlOf } from "./config";
+import { corpScope, getSuiteTicket, revokeTenantSessions, tenantOfCorp } from "./store";
+
+export interface WecomAdminDeps {
+	client: WecomClient
+	store: WecomStoreDeps
+}
+
+/** 清单行：不含 `permanent_code_enc`（secret 不出库，连超级管理员也不给看） */
+export interface AppRow {
+	suite_id: string
+	corp_id: string
+	agent_id: string
+	auth_corp_id: string
+	env: string
+	corp_name: string | null
+	status: string
+	installed_at: number
+	update_time: number
+}
+
+export async function listApps(): Promise<AppRow[]> {
+	const rows = await db.table("wecom_app_profile")
+		.select(["suite_id", "corp_id", "agent_id", "auth_corp_id", "env", "corp_name", "status", "installed_at", "update_time"])
+		.all() as unknown as AppRow[];
+	// 稳定序：先按企业、再按应用；同企业多环境并排，运维一眼能看出「哪两个是同一家」
+	return rows.sort((a, b) => a.corp_id.localeCompare(b.corp_id) || a.agent_id.localeCompare(b.agent_id));
+}
+
+export interface StatusResult {
+	/** 影响行数（0 = 该企业没开通这个应用） */
+	updated: number
+	/** 本次顺带吊销的 refresh token 数（0 = 还有别的应用在用，或本来就没有会话） */
+	revokedSessions: number
+}
+
+/**
+ * 启用/停用某个企业的某个应用。
+ * 停用语义包含「不再发放新 token 且旧 refresh 失效（当企业整体停用时）」——授权与会话必须同频。
+ */
+export async function setAppStatus(
+	corpId: string,
+	agentId: string,
+	status: "active" | "disabled",
+	deps: WecomAdminDeps,
+): Promise<StatusResult> {
+	const scope = {
+		and: [
+			corpScope(corpId),
+			{ field: "agent_id", op: "eq", value: agentId },
+		],
+	};
+	const updated = Number(await db.table("wecom_app_profile").update({ status, update_time: deps.store.now() }).where(scope).run());
+	if (!updated)
+		throw Object.assign(new Error("该企业未开通此应用（或企业代码/应用 id 不匹配）"), { status: 404 });
+
+	// secret 可能仍在另一状态被缓存：无论启停都先让企业 token 失效，下一次登录重新换
+	await deps.client.invalidateCorpToken(corpId, agentId);
+	if (status === "active")
+		return { updated, revokedSessions: 0 };
+
+	const others = await db.table("wecom_app_profile").select(["agent_id"]).where({
+		and: [
+			corpScope(corpId),
+			{ field: "status", op: "eq", value: "active" },
+		],
+	}).all();
+	if (others.length)
+		return { updated, revokedSessions: 0 };
+
+	const revoked = await revokeTenantSessions(tenantOfCorp(corpId));
+	invalidateAllUsers();
+	return { updated, revokedSessions: revoked };
+}
+
+export interface InstallResult {
+	installUrl: string
+	/** 企微后台「指令回调 URL」应填这个（逐字） */
+	callbackUrl: string
+	expiresIn: number
+}
+
+/** 生成开通入口：suite_access_token → 预授权码 → install URL（企业管理员点开即进入授权安装向导） */
+export async function createInstall(
+	cfg: WecomConfig,
+	client: WecomClient,
+	store: WecomStoreDeps,
+	state: string,
+): Promise<InstallResult> {
+	const ticket = await getSuiteTicket(cfg.suiteId, store);
+	const token = await client.suiteAccessToken(cfg.suiteId, cfg.suiteSecret, ticket.ticket);
+	const pre = await client.preAuthCode(token);
+	return {
+		installUrl: installUrlOf(cfg, pre.code, state),
+		callbackUrl: eventUrlOf(cfg),
+		expiresIn: pre.expiresIn,
+	};
+}