@oj-module/cli 0.2.43 → 0.2.45

package/templates/src/auth/api/migrations/0001__wecom.pg.sql

@@ -0,0 +1,33 @@
+-- 企微代开发三表 pg 方言覆盖（方言覆盖必胜，通用兜底；oj-bin docs/migration.md §3.1）。
+-- 差异：INTEGER → BIGINT（秒级 epoch）；TEXT 在 pg 合法，主键/密文列保留 TEXT。
+CREATE TABLE IF NOT EXISTS wecom_app_profile (
+  suite_id TEXT NOT NULL,
+  corp_id TEXT NOT NULL,
+  agent_id TEXT NOT NULL,
+  auth_corp_id TEXT NOT NULL,
+  env TEXT NOT NULL DEFAULT 'prod',
+  corp_name TEXT,
+  status TEXT NOT NULL DEFAULT 'active',
+  permanent_code_enc TEXT NOT NULL,
+  installed_at BIGINT NOT NULL,
+  update_time BIGINT NOT NULL,
+  PRIMARY KEY (suite_id, corp_id, agent_id)
+);
+
+CREATE TABLE IF NOT EXISTS wecom_suite_ticket (
+  suite_id TEXT NOT NULL PRIMARY KEY,
+  suite_ticket TEXT NOT NULL,
+  expires_at BIGINT NOT NULL,
+  update_time BIGINT NOT NULL
+);
+
+CREATE TABLE IF NOT EXISTS wecom_login_ticket (
+  ticket_hash TEXT NOT NULL PRIMARY KEY,
+  uid BIGINT NOT NULL,
+  owner_tenant TEXT NOT NULL,
+  expires_at BIGINT NOT NULL,
+  used INTEGER NOT NULL DEFAULT 0,
+  created_at BIGINT NOT NULL
+);
+
+CREATE INDEX IF NOT EXISTS idx_wecom_login_ticket_expires ON wecom_login_ticket (expires_at);

package/templates/src/auth/api/migrations/0001__wecom.sql

@@ -0,0 +1,47 @@
+-- 企微代开发 connector 的三张表（阶段 P1）。结构只进 migrations（S006），列集与 schema.yaml 一致。
+--
+-- 定性（三处必须一致：本文件头 / schema.yaml `tenant: false` / config.yaml `tenant.shared_allow`）：
+--   三张表全部**共享表**——它们在「还没有租户上下文」的时刻被读写：
+--     · wecom_app_profile 本身就是 corp → 租户的映射权威（查它的时候必然不知道租户）；
+--     · wecom_suite_ticket 是套件级凭证，按 suite_id 全局唯一；
+--     · wecom_login_ticket 跨「匿名 302 回跳」与「已认证换取」两段，票据本身携带租户。
+--   共享 = 不受 sql_guard 约束，故只放映射/凭证/一次性票据，不放任何租户业务数据。
+--
+-- 凭证保密（§7.5）：permanent_code 即代开发应用的 secret（具备全 corp 数据权限），
+-- 只以 AES-GCM 密文落库（crypto.aesGcmEncrypt，密钥取部署常量 wecom_enc_key），列名带 _enc 后缀。
+CREATE TABLE IF NOT EXISTS wecom_app_profile (
+  suite_id TEXT NOT NULL,
+  corp_id TEXT NOT NULL,
+  agent_id TEXT NOT NULL,
+  auth_corp_id TEXT NOT NULL,
+  env TEXT NOT NULL DEFAULT 'prod',
+  corp_name TEXT,
+  status TEXT NOT NULL DEFAULT 'active',
+  permanent_code_enc TEXT NOT NULL,
+  installed_at INTEGER NOT NULL,
+  update_time INTEGER NOT NULL,
+  PRIMARY KEY (suite_id, corp_id, agent_id)
+);
+
+CREATE TABLE IF NOT EXISTS wecom_suite_ticket (
+  suite_id TEXT NOT NULL PRIMARY KEY,
+  suite_ticket TEXT NOT NULL,
+  expires_at INTEGER NOT NULL,
+  update_time INTEGER NOT NULL
+);
+
+-- 一次性登录票据：302 的 URL 里只能放票，不能放 access/refresh token（会被浏览器历史、
+-- Referer、反代日志留存）。只存 SHA-256，明文仅存在于 302 Location 与 SPA 内存。
+-- 列名用 owner_tenant 而不是 tenant_id：本表是共享表，出现 tenant_id 列会被
+-- 「tenant:false 却声明隔离列」的定性红线判为自相矛盾，而它的语义是「票据绑定的租户」。
+CREATE TABLE IF NOT EXISTS wecom_login_ticket (
+  ticket_hash TEXT NOT NULL PRIMARY KEY,
+  uid INTEGER NOT NULL,
+  owner_tenant TEXT NOT NULL,
+  expires_at INTEGER NOT NULL,
+  used INTEGER NOT NULL DEFAULT 0,
+  created_at INTEGER NOT NULL
+);
+
+-- 过期票清理按 expires_at 扫（签发时顺手删）；无索引会全表扫
+CREATE INDEX IF NOT EXISTS idx_wecom_login_ticket_expires ON wecom_login_ticket (expires_at);

package/templates/src/auth/api/schema.yaml

@@ -0,0 +1,48 @@
+# 声明式表结构（§4.2 / D1-C）：auth 模块自有表——企微代开发 connector 的三张表。
+# 结构真源是 migrations/0001__wecom*.sql（S006）；本文件负责「列集/主键/租户定性」的运行时元数据，
+# 与迁移逐列对齐（列集不一致时 oj 的 schema 校验会 fail-fast）。
+#
+# 定性（三处一致：这里 / config.yaml `tenant.shared_allow` / 迁移文件头注释）：
+# 三张表都是**共享表**（`tenant: false`）——它们在「还没有租户上下文」的时刻被读写，
+# 而且本身就是 corp → 租户的映射权威。只放映射/凭证/一次性票据，不放租户业务数据。
+tables:
+  wecom_app_profile:
+    # 共享表：corp → 租户的映射权威，查它时必然还不知道租户（D9）
+    tenant: false
+    pk: [suite_id, corp_id, agent_id]
+    columns:
+      suite_id: {type: text, null: false}
+      corp_id: {type: text, null: false}
+      agent_id: {type: text, null: false}
+      # 企微事件里的 AuthCorpId：第三方应用体系下可能是 open_corpid，故与 corp_id 分列存
+      auth_corp_id: {type: text, null: false}
+      # 测试/正式等部署标签（D5：只作标签，不参与主键）
+      env: {type: text, null: false}
+      corp_name: {type: text}
+      # active / disabled：取消授权只改状态不删行（留痕）
+      status: {type: text, null: false}
+      # permanent_code（= 代开发应用的 secret）的 AES-GCM 密文，禁止明文落库
+      permanent_code_enc: {type: text, null: false}
+      installed_at: {type: integer, null: false}
+      update_time: {type: integer, null: false}
+  wecom_suite_ticket:
+    # 共享表：套件级凭证，按 suite_id 全局唯一（每 10 分钟被企微覆盖一次）
+    tenant: false
+    pk: suite_id
+    columns:
+      suite_id: {type: text, null: false}
+      suite_ticket: {type: text, null: false}
+      expires_at: {type: integer, null: false}
+      update_time: {type: integer, null: false}
+  wecom_login_ticket:
+    # 共享表：一次性登录票据，跨「匿名 302 回跳」与「已认证换取」两段
+    tenant: false
+    pk: ticket_hash
+    columns:
+      ticket_hash: {type: text, null: false}
+      uid: {type: integer, null: false}
+      # 票据绑定的租户。不叫 tenant_id：共享表出现隔离列会被定性红线判为自相矛盾
+      owner_tenant: {type: text, null: false}
+      expires_at: {type: integer, null: false}
+      used: {type: integer, null: false}
+      created_at: {type: integer, null: false}

package/templates/src/auth/api/wecom/admin/api.ts

@@ -0,0 +1,121 @@
+// 代开发后台（服务商运营面）：GET /auth/wecom/admin/apps · POST /auth/wecom/admin/status · GET /auth/wecom/admin/install
+//
+// 权限：仅超级管理员（`assertSuperAdmin`）。这三件事都是**跨租户**的站点级操作
+// （看所有已授权企业、停用某企业、生成安装链接），不是某个租户的管理员能做的；
+// 用 `assertSystemAdmin` 会把 admin 也放进来，而 admin 属于某个租户，等于让他看别家企业的 corp_id。
+//
+// 三个端点都不挂在 `tenant.anonymous_paths` 里：它们是正常登录后的管理面，必须带租户头，
+// 也就不会走 `db.asTenant`（见 _shared/wecom/admin.ts 头注释第 2 点）。
+import { respond } from "#/_platform/_shared/respond";
+import { assertSuperAdmin } from "#/_platform/_shared/service/infra/access";
+import { recordOp } from "#/_platform/_shared/service/infra/audit";
+import { createInstall, listApps, setAppStatus } from "../../_shared/wecom/admin";
+import { createWecomClient, runtimeCache, runtimeHttp } from "../../_shared/wecom/client";
+import { readWecomConfig } from "../../_shared/wecom/config";
+import { runtimeStoreDeps } from "../../_shared/wecom/store";
+
+/** 清单：已授权企业 × 应用（不含 permanent_code，secret 不出库） */
+async function get() {
+	await respond(async () => {
+		await assertSuperAdmin();
+		return listApps();
+	});
+}
+get.response = {
+	type: "array",
+	items: {
+		type: "object",
+		required: ["suite_id", "corp_id", "agent_id", "auth_corp_id", "env", "status", "installed_at", "update_time"],
+		properties: {
+			suite_id: { type: "string" },
+			corp_id: { type: "string" },
+			agent_id: { type: "string" },
+			auth_corp_id: { type: "string" },
+			env: { type: "string" },
+			corp_name: { type: ["string", "null"] },
+			status: { type: "string", enum: ["active", "disabled"] },
+			installed_at: { type: "number" },
+			update_time: { type: "number" },
+		},
+	},
+};
+
+const status = {
+	// 启停某个企业的一个应用。停用是安全动作：企业整体停用时同步吊销其会话（见 admin.ts）。
+	async post() {
+		await respond(async () => {
+			await assertSuperAdmin();
+			const body = (http.body ?? {}) as { corpId?: unknown, agentId?: unknown, status?: unknown };
+			const corpId = String(body.corpId ?? "").trim();
+			const agentId = String(body.agentId ?? "").trim();
+			const next = String(body.status ?? "").trim();
+			if (!corpId || !agentId)
+				throw Object.assign(new Error("缺少企业代码或应用 id"), { status: 400 });
+			if (next !== "active" && next !== "disabled")
+				throw Object.assign(new Error("status 只能是 active 或 disabled"), { status: 400 });
+
+			const result = await setAppStatus(corpId, agentId, next, {
+				client: createWecomClient({ http: runtimeHttp(), cache: runtimeCache() }),
+				// 只有 update_time 用到 now，加解密用不上：这里给空实现，避免为一个时间戳去读部署常量
+				store: { encrypt: () => "", decrypt: () => "", now: () => Math.floor(Date.now() / 1000) },
+			});
+			await recordOp({
+				action: next === "active" ? "wecom.admin.enable" : "wecom.admin.disable",
+				module: "auth",
+				target: corpId,
+				detail: { agentId, revokedSessions: result.revokedSessions },
+				// 停用是断人访问的动作，按安全事件留痕（与 cancel_auth 同级）
+				level: next === "active" ? 2 : 4,
+			});
+			return result;
+		});
+	},
+};
+status.post.schema = {
+	body: {
+		type: "object",
+		required: ["corpId", "agentId", "status"],
+		properties: {
+			corpId: { type: "string", minLength: 1 },
+			agentId: { type: "string", minLength: 1 },
+			status: { type: "string", enum: ["active", "disabled"] },
+		},
+	},
+};
+status.post.response = {
+	type: "object",
+	required: ["updated", "revokedSessions"],
+	properties: {
+		updated: { type: "number" },
+		revokedSessions: { type: "number" },
+	},
+};
+
+const install = {
+	// 开通入口：生成 install URL（预授权码 10 分钟有效，故不缓存，每次点都重新换）。
+	// 顺带回「指令回调 URL」——服务商后台要把它逐字填进企微「代开发」配置页。
+	async get() {
+		await respond(async () => {
+			await assertSuperAdmin();
+			const cfg = readWecomConfig();
+			const state = String((http.query as Record<string, unknown>)?.state ?? "").trim();
+			return createInstall(
+				cfg,
+				createWecomClient({ http: runtimeHttp(), cache: runtimeCache() }),
+				runtimeStoreDeps(cfg),
+				state,
+			);
+		});
+	},
+};
+install.get.response = {
+	type: "object",
+	required: ["installUrl", "callbackUrl", "expiresIn"],
+	properties: {
+		installUrl: { type: "string" },
+		callbackUrl: { type: "string" },
+		expiresIn: { type: "number" },
+	},
+};
+
+export default { apps: { get }, status, install };

package/templates/src/auth/api/wecom/api.ts

@@ -0,0 +1,226 @@
+import type { WecomConfig } from "../_shared/wecom/config";
+import type { WecomStoreDeps } from "../_shared/wecom/store";
+// GET  /api/auth/wecom/login?corp=&agent=&env=  —— 发起企微授权（企微内静默 / 浏览器扫码）
+// GET  /api/auth/wecom/callback?code=&state=     —— 企微回跳：code→userid→JIT→一次性票据→302 SPA
+// POST /api/auth/wecom/ticket  {ticket}          —— 一次性票据换 TokenBundle（token 不进 URL）
+// GET  /api/auth/wecom/event                     —— 企微回调 URL 验证（echostr 解出后原样回）
+// POST /api/auth/wecom/event                     —— 企微指令回调（suite_ticket / 授权 / 解绑）
+//
+// 三处纪律：
+//   1. 两个 302 端点**不能**用 respond（它末尾无脑 json.ok，会把 302 覆盖成 200 信封）——
+//      异常统一交 failWith（respond.ts 同一个信封收口）。
+//   2. 企微事件端点必须回**纯文本** `success` / 解出的 `echostr`（信封会被企微判成失败并重推三次），
+//      故走 json.stream 的 text/plain 通道（json.raw 是 JSON 通道，会把 echostr 加引号）。
+//   3. 这四个端点都在 `auth.anonymous_paths`（无 Bearer）与 `tenant.anonymous_paths`（浏览器带不了
+//      `X-TENANT-ID`）里：租户只能由服务端从 profile / 票据推导（db.asTenant，见 store.ts::ensureTenant）。
+import { failWith, respond } from "#/_platform/_shared/respond";
+import { clientIp, guardLoginThrottle, noteLoginFailed, noteLoginSucceeded } from "../_shared/login-throttle";
+import { createSession } from "../_shared/session";
+import { createWecomClient, runtimeCache, runtimeHttp } from "../_shared/wecom/client";
+import { loginRedirectOf, readWecomConfig, siteRootOf } from "../_shared/wecom/config";
+import { unwrapWecomMessage, wecomSignature } from "../_shared/wecom/crypt";
+import { handleSuiteEvent } from "../_shared/wecom/events";
+import {
+	assertUserActive,
+	buildAuthorizeUrl,
+	ensureWecomUser,
+	LOGIN_TICKET_TTL_SECS,
+	loginLandingUrl,
+	putLoginState,
+	takeLoginState,
+} from "../_shared/wecom/login";
+import { guardReplay, runtimeReplayGate } from "../_shared/wecom/replay";
+import { claimLoginTicket, ensureTenant, findProfile, issueLoginTicket, runtimeStoreDeps, tenantOfCorp } from "../_shared/wecom/store";
+import { xmlField } from "../_shared/wecom/xml";
+
+// 模块级禁止 readWecomConfig()/createSession()/runtimeHttp()：oj build 的 introspect 在空沙箱里
+// 评估模块（无 vars/jwt/fetch），一律在 handler 内按需构造（§9.4）。
+
+/** 请求头的读取按大小写不敏感处理（http.headers 的键大小写随客户端） */
+function header(name: string): string {
+	const all = (http.headers ?? {}) as Record<string, string>;
+	const key = Object.keys(all).find(k => k.toLowerCase() === name);
+	return key ? String(all[key] ?? "") : "";
+}
+
+function query(name: string): string {
+	return String(((http.query ?? {}) as Record<string, unknown>)[name] ?? "").trim();
+}
+
+/** 纯文本 200（企微事件回执专用；信封会被判失败并触发重推） */
+function plainText(body: string): void {
+	const stream = json.stream({ contentType: "text/plain; charset=utf-8" });
+	stream.write(body);
+	stream.end();
+}
+
+function badRequest(message: string): Error {
+	return Object.assign(new Error(message), { status: 400 });
+}
+
+/**
+ * 校验企微回调签名并解出明文。签名不合法 → 400（不是 401：调用方是企微服务器，
+ * 401 会被当成「本站需要鉴权」误导排查）；信封里的原文不回显，避免给探测者提供比对材料。
+ *
+ * 三道顺序不可换：先验签（不给未鉴权请求写 kv）→ 再拦重放（省一次解密，也让
+ * cancel_auth 这种危险性最高的报文止步在落库之前）→ 最后解密。
+ */
+async function decryptVerified(encrypted: string): Promise<{ cfg: WecomConfig, plain: string }> {
+	const cfg = readWecomConfig();
+	const expected = wecomSignature(cfg.token, query("timestamp"), query("nonce"), encrypted);
+	if (expected !== query("msg_signature"))
+		throw badRequest("回调签名校验失败");
+	await guardReplay(query("timestamp"), query("nonce"), runtimeReplayGate());
+	try {
+		return { cfg, plain: unwrapWecomMessage(encrypted, cfg.encodingAesKey, cfg.suiteId) };
+	}
+	catch (e) {
+		// 解密失败只透出「失败」：错钥/错套件/被篡改三者不可区分，也不该让外部据此判断哪一环配错
+		log.warn("wecom callback decrypt failed", "reason", (e as Error).message);
+		throw badRequest("回调消息解密失败");
+	}
+}
+
+const login = {
+	// 企微内打开（UA 含 wxwork）→ oauth2 静默授权；普通浏览器 → qrConnect 扫码。
+	// corp 必填（D10：企业代码 = corp_id，服务商后台可生成带码的专属登录链接）。
+	async get() {
+		try {
+			const cfg = readWecomConfig();
+			const corp = query("corp");
+			const agent = query("agent");
+			if (!corp)
+				throw badRequest("缺少企业代码（corp）：请使用企业管理员收到的登录链接，或在登录页填写企业代码");
+
+			// 企业代码解析是**未登录可调的枚举面**（§5.3）：复用登录节流，维度 (IP, 企业代码)
+			const ip = await clientIp();
+			await guardLoginThrottle(ip, corp);
+
+			const deps = runtimeStoreDeps(cfg);
+			const profile = await findProfile(corp, agent || null, deps).catch(async (e: Error & { status?: number }) => {
+				// 只有「企业代码无效/多应用未指定」计失败；配置类错误（缺 vars）不该污染节流计数
+				if (e.status === 400)
+					await noteLoginFailed(ip, corp);
+				throw e;
+			});
+
+			const state = crypto.randomHex(16);
+			await putLoginState(state, { corpId: profile.corpId, agentId: profile.agentId, env: profile.env }, runtimeCache());
+			const url = buildAuthorizeUrl({
+				corpId: profile.corpId,
+				agentId: profile.agentId,
+				redirectUri: loginRedirectOf(cfg),
+				state,
+				inWecom: /wxwork/i.test(header("user-agent")),
+			});
+			json.redirect.found(url);
+		}
+		catch (e) {
+			failWith(e); // 302 不在错误通道里：异常同样走统一信封，不能让浏览器看到裸 500
+		}
+	},
+};
+
+const callback = {
+	// 企微回跳：state 一次性（kv 取即删）→ profile → 绑租户 → code 换 userid → JIT 建档 → 发票 → 302。
+	async get() {
+		try {
+			const cfg = readWecomConfig();
+			const code = query("code");
+			const state = query("state");
+			// 用户在企业微信里点了「拒绝」时企微不回 code，只回 state
+			if (!code)
+				throw badRequest("授权未完成：企业微信未返回 code（可能已在授权页取消）");
+			if (!state)
+				throw badRequest("登录状态缺失：请从企业微信重新进入");
+
+			const deps = runtimeStoreDeps(cfg);
+			const pending = await takeLoginState(state, runtimeCache());
+			const profile = await findProfile(pending.corpId, pending.agentId, deps);
+			// 顺序刚性：先绑租户再碰 users（JIT 建号是租户表写入，守卫 deny 下缺上下文即拒）
+			ensureTenant(tenantOfCorp(profile.corpId));
+
+			const client = createWecomClient({ http: runtimeHttp(), cache: runtimeCache() });
+			const userid = await client.userIdByCode(profile.corpId, profile.agentId, profile.permanentCode, code);
+			// 名字是惰性取的：只有首次建档才多打一次 user/get（老用户零开销），拿不到就用工号兜底
+			const { uid, forbidden } = await ensureWecomUser(profile.corpId, userid, () =>
+				client.userNameById(profile.corpId, profile.agentId, profile.permanentCode, userid));
+			if (forbidden)
+				throw Object.assign(new Error("账号已被停用，请联系管理员"), { status: 403 });
+
+			// 票据而不是 token 进 URL：token 会留在浏览器历史/Referer/反代日志里
+			const ticket = crypto.randomHex(32);
+			const tenant = tenantOfCorp(profile.corpId);
+			await issueLoginTicket(crypto.sha256Hex(ticket), uid, tenant, LOGIN_TICKET_TTL_SECS, deps);
+			await noteLoginSucceeded(await clientIp(), profile.corpId);
+			log.info("wecom login ok", "tenant", tenant, "agentId", profile.agentId);
+			json.redirect.found(loginLandingUrl({ origin: siteRootOf(cfg), ticket, tenant }));
+		}
+		catch (e) {
+			failWith(e);
+		}
+	},
+};
+
+const ticket = {
+	// 一次性票据换会话。票据即凭证：先抢所有权（原子 used 0→1）再校验过期，重放与并发双花都只会成功一次。
+	async post() {
+		await respond(async () => {
+			const raw = String((http.body as { ticket?: string } | null)?.ticket ?? "");
+			if (!raw)
+				throw badRequest("缺少 ticket");
+			// 换票只碰 DB 与会话：**不读部署凭据**——加解密在这条路径上用不到，而套件凭据没配好
+			// 时把「已签发的票」判成登录失败，等于把配置事故伪装成票据失效（admin 的 status 同处理）。
+			const storeDeps: WecomStoreDeps = { encrypt: () => "", decrypt: () => "", now: () => Math.floor(Date.now() / 1000) };
+			const claimed = await claimLoginTicket(crypto.sha256Hex(raw), storeDeps);
+			// 票据里的租户是权威：前端落地页必须先 bootstrapTenant（`?tenant=` 由 callback 的 302 带上），
+			// 否则这里拿到的是默认租户头，ensureTenant 会以 403 明确拒绝（而不是悄悄落到 default）
+			ensureTenant(claimed.ownerTenant);
+			await assertUserActive(claimed.uid);
+			return createSession().issueExternal(claimed.uid);
+		});
+	},
+};
+ticket.post.schema = {
+	body: {
+		type: "object",
+		required: ["ticket"],
+		properties: {
+			ticket: { type: "string", minLength: 32, maxLength: 128 },
+		},
+	},
+};
+
+const event = {
+	// 企微后台「保存回调 URL」时会 GET 一次：解出 echostr 后**原样明文回**（不套信封、不加引号）
+	async get() {
+		try {
+			const { plain } = await decryptVerified(query("echostr"));
+			plainText(plain);
+		}
+		catch (e) {
+			failWith(e);
+		}
+	},
+
+	// 指令回调：验签 → 解密 → 分发（suite_ticket / create_auth / change_auth / cancel_auth /
+	// reset_permanent_code）。回 `success` 才算收下，否则企微 5 秒后重推三次。
+	async post() {
+		try {
+			const xml = typeof http.body === "string" ? http.body : "";
+			const encrypted = xmlField(xml, "Encrypt");
+			if (!encrypted)
+				throw badRequest("回调报文缺少 Encrypt");
+			const { cfg, plain } = await decryptVerified(encrypted);
+			const client = createWecomClient({ http: runtimeHttp(), cache: runtimeCache() });
+			await handleSuiteEvent(plain, { cfg, client, store: runtimeStoreDeps(cfg) });
+			plainText("success");
+		}
+		catch (e) {
+			// 失败必须让企微看到非 success：它重推三次，正好覆盖「suite_ticket 未到/上游抖」这类瞬态
+			failWith(e);
+		}
+	},
+};
+
+export default { login, callback, ticket, event };

package/templates/src/auth/web/__client/api.schemas.ts

@@ -8,6 +8,42 @@ export const schemas = {
 		body: z.object({
 	"old_password": z.string().min(1),
 	"new_password": z.string().min(6)
+}),
+	},
+	"authWecomAdminAppsGet": {
+		data: z.array(z.object({
+	"suite_id": z.string(),
+	"corp_id": z.string(),
+	"agent_id": z.string(),
+	"auth_corp_id": z.string(),
+	"env": z.string(),
+	"corp_name": z.string().nullable().optional(),
+	"status": z.enum(["active", "disabled"]),
+	"installed_at": z.number(),
+	"update_time": z.number()
+})),
+	},
+	"authWecomAdminStatusPost": {
+		body: z.object({
+	"corpId": z.string().min(1),
+	"agentId": z.string().min(1),
+	"status": z.enum(["active", "disabled"])
+}),
+		data: z.object({
+	"updated": z.number(),
+	"revokedSessions": z.number()
+}),
+	},
+	"authWecomAdminInstallGet": {
+		data: z.object({
+	"installUrl": z.string(),
+	"callbackUrl": z.string(),
+	"expiresIn": z.number()
+}),
+	},
+	"authWecomTicketPost": {
+		body: z.object({
+	"ticket": z.string().min(32).max(128)
 }),
 	},
 };