@oj-module/cli 0.2.43 → 0.2.45

package/templates/src/auth/web/__client/api.ts

@@ -33,7 +33,7 @@ export function createAuthClient(ctx: ModuleContext) {
 	}
 	ctx.register.apiPrefix(API_PREFIX);
 	bindRequest(ctx.utils.request);
-	return { authLoginPost, authLogoutPost, authRefreshPost, authPasswordPut, authLdapLoginPost };
+	return { authLoginPost, authLogoutPost, authRefreshPost, authPasswordPut, authLdapLoginPost, authWecomAdminAppsGet, authWecomAdminStatusPost, authWecomAdminInstallGet, authWecomLoginGet, authWecomCallbackGet, authWecomTicketPost, authWecomEventGet, authWecomEventPost };
 }
 
 /**
@@ -140,3 +140,150 @@ export async function authLdapLoginPost(): Promise<unknown> {
 		throw await toApiError(e);
 	}
 }
+
+export type AuthWecomAdminAppsGetData = z.infer<(typeof schemas)["authWecomAdminAppsGet"]["data"]>;
+
+export async function authWecomAdminAppsGet(): Promise<AuthWecomAdminAppsGetData> {
+	const client = ensureReq();
+	try {
+		const env = await client.get(`auth/wecom/admin/apps`).json<OjEnvelope<AuthWecomAdminAppsGetData>>();
+		// 2xx + code!==0 也是业务错误（§6.2 通道 a）：oj 不会这么发，但契约机制的价值恰是防漂移
+		if (typeof env.code === "number" && env.code !== 0)
+			throw new ContractApiError(env.code, env.msg ?? "业务错误（信封 code 非 0）");
+		const data = env.data as AuthWecomAdminAppsGetData;
+		if (import.meta.env.DEV) {
+			const { schemas } = await import("./api.schemas");
+			const r = schemas["authWecomAdminAppsGet"].data.safeParse(data);
+			if (!r.success)
+				throw new ContractApiError(-1, `[契约违例] authWecomAdminAppsGet 响应与契约不符：${r.error.issues.map(i => `${i.path.join(".") || "(root)"}: ${i.message}`).join("; ")}`);
+		}
+		return data;
+	}
+	catch (e) {
+		throw await toApiError(e);
+	}
+}
+
+export type AuthWecomAdminStatusPostBody = z.input<(typeof schemas)["authWecomAdminStatusPost"]["body"]>;
+export type AuthWecomAdminStatusPostData = z.infer<(typeof schemas)["authWecomAdminStatusPost"]["data"]>;
+
+export async function authWecomAdminStatusPost(body: AuthWecomAdminStatusPostBody): Promise<AuthWecomAdminStatusPostData> {
+	const client = ensureReq();
+	try {
+		const env = await client.post(`auth/wecom/admin/status`, { json: body }).json<OjEnvelope<AuthWecomAdminStatusPostData>>();
+		// 2xx + code!==0 也是业务错误（§6.2 通道 a）：oj 不会这么发，但契约机制的价值恰是防漂移
+		if (typeof env.code === "number" && env.code !== 0)
+			throw new ContractApiError(env.code, env.msg ?? "业务错误（信封 code 非 0）");
+		const data = env.data as AuthWecomAdminStatusPostData;
+		if (import.meta.env.DEV) {
+			const { schemas } = await import("./api.schemas");
+			const r = schemas["authWecomAdminStatusPost"].data.safeParse(data);
+			if (!r.success)
+				throw new ContractApiError(-1, `[契约违例] authWecomAdminStatusPost 响应与契约不符：${r.error.issues.map(i => `${i.path.join(".") || "(root)"}: ${i.message}`).join("; ")}`);
+		}
+		return data;
+	}
+	catch (e) {
+		throw await toApiError(e);
+	}
+}
+
+export type AuthWecomAdminInstallGetData = z.infer<(typeof schemas)["authWecomAdminInstallGet"]["data"]>;
+
+export async function authWecomAdminInstallGet(): Promise<AuthWecomAdminInstallGetData> {
+	const client = ensureReq();
+	try {
+		const env = await client.get(`auth/wecom/admin/install`).json<OjEnvelope<AuthWecomAdminInstallGetData>>();
+		// 2xx + code!==0 也是业务错误（§6.2 通道 a）：oj 不会这么发，但契约机制的价值恰是防漂移
+		if (typeof env.code === "number" && env.code !== 0)
+			throw new ContractApiError(env.code, env.msg ?? "业务错误（信封 code 非 0）");
+		const data = env.data as AuthWecomAdminInstallGetData;
+		if (import.meta.env.DEV) {
+			const { schemas } = await import("./api.schemas");
+			const r = schemas["authWecomAdminInstallGet"].data.safeParse(data);
+			if (!r.success)
+				throw new ContractApiError(-1, `[契约违例] authWecomAdminInstallGet 响应与契约不符：${r.error.issues.map(i => `${i.path.join(".") || "(root)"}: ${i.message}`).join("; ")}`);
+		}
+		return data;
+	}
+	catch (e) {
+		throw await toApiError(e);
+	}
+}
+
+export async function authWecomLoginGet(): Promise<unknown> {
+	const client = ensureReq();
+	try {
+		const env = await client.get(`auth/wecom/login`).json<OjEnvelope<unknown>>();
+		// 2xx + code!==0 也是业务错误（§6.2 通道 a）：oj 不会这么发，但契约机制的价值恰是防漂移
+		if (typeof env.code === "number" && env.code !== 0)
+			throw new ContractApiError(env.code, env.msg ?? "业务错误（信封 code 非 0）");
+		const data = env.data as unknown;
+		return data;
+	}
+	catch (e) {
+		throw await toApiError(e);
+	}
+}
+
+export async function authWecomCallbackGet(): Promise<unknown> {
+	const client = ensureReq();
+	try {
+		const env = await client.get(`auth/wecom/callback`).json<OjEnvelope<unknown>>();
+		// 2xx + code!==0 也是业务错误（§6.2 通道 a）：oj 不会这么发，但契约机制的价值恰是防漂移
+		if (typeof env.code === "number" && env.code !== 0)
+			throw new ContractApiError(env.code, env.msg ?? "业务错误（信封 code 非 0）");
+		const data = env.data as unknown;
+		return data;
+	}
+	catch (e) {
+		throw await toApiError(e);
+	}
+}
+
+export type AuthWecomTicketPostBody = z.input<(typeof schemas)["authWecomTicketPost"]["body"]>;
+
+export async function authWecomTicketPost(body: AuthWecomTicketPostBody): Promise<unknown> {
+	const client = ensureReq();
+	try {
+		const env = await client.post(`auth/wecom/ticket`, { json: body }).json<OjEnvelope<unknown>>();
+		// 2xx + code!==0 也是业务错误（§6.2 通道 a）：oj 不会这么发，但契约机制的价值恰是防漂移
+		if (typeof env.code === "number" && env.code !== 0)
+			throw new ContractApiError(env.code, env.msg ?? "业务错误（信封 code 非 0）");
+		const data = env.data as unknown;
+		return data;
+	}
+	catch (e) {
+		throw await toApiError(e);
+	}
+}
+
+export async function authWecomEventGet(): Promise<unknown> {
+	const client = ensureReq();
+	try {
+		const env = await client.get(`auth/wecom/event`).json<OjEnvelope<unknown>>();
+		// 2xx + code!==0 也是业务错误（§6.2 通道 a）：oj 不会这么发，但契约机制的价值恰是防漂移
+		if (typeof env.code === "number" && env.code !== 0)
+			throw new ContractApiError(env.code, env.msg ?? "业务错误（信封 code 非 0）");
+		const data = env.data as unknown;
+		return data;
+	}
+	catch (e) {
+		throw await toApiError(e);
+	}
+}
+
+export async function authWecomEventPost(): Promise<unknown> {
+	const client = ensureReq();
+	try {
+		const env = await client.post(`auth/wecom/event`).json<OjEnvelope<unknown>>();
+		// 2xx + code!==0 也是业务错误（§6.2 通道 a）：oj 不会这么发，但契约机制的价值恰是防漂移
+		if (typeof env.code === "number" && env.code !== 0)
+			throw new ContractApiError(env.code, env.msg ?? "业务错误（信封 code 非 0）");
+		const data = env.data as unknown;
+		return data;
+	}
+	catch (e) {
+		throw await toApiError(e);
+	}
+}

package/templates/src/demo/api/migrations/0002__tenant.mysql.sql

@@ -0,0 +1,2 @@
+-- 0002__tenant（mysql 方言）：demo.todos 租户化。TEXT 不能带字面默认值 → VARCHAR(255)。
+ALTER TABLE todos ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';

package/templates/src/demo/api/migrations/0002__tenant.sql

@@ -0,0 +1,2 @@
+-- 0002__tenant：demo.todos 租户化（企微代开发 v3 Phase 0 的 A 组）。
+ALTER TABLE todos ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';

package/templates/src/demo/api/schema.yaml

@@ -5,6 +5,7 @@ tables:
     pk: id
     columns:
       id: {type: integer, autoincrement: true}
+      tenant_id: {type: text, null: false}
       title: {type: text, null: false}
       done: {type: integer, null: false}
       create_time: {type: integer, null: false}

package/templates/src/home/api/migrations/0002__tenant.mysql.sql

@@ -0,0 +1,3 @@
+-- 0002__tenant（mysql 方言）：首页图表两表租户化。TEXT 不能带字面默认值 → VARCHAR(255)。
+ALTER TABLE home_pie ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';
+ALTER TABLE home_line ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';

package/templates/src/home/api/migrations/0002__tenant.sql

@@ -0,0 +1,3 @@
+-- 0002__tenant：首页图表两表租户化（企微代开发 v3 Phase 0 的 A 组）。
+ALTER TABLE home_pie ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';
+ALTER TABLE home_line ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';

package/templates/src/home/api/schema.yaml

@@ -4,11 +4,13 @@ tables:
     pk: id
     columns:
       id: {type: integer, autoincrement: true}
+      tenant_id: {type: text, null: false}
       category: {type: text, null: false}
       value: {type: integer, null: false}
   home_line:
     pk: id
     columns:
       id: {type: integer, autoincrement: true}
+      tenant_id: {type: text, null: false}
       day: {type: integer, null: false}
       value: {type: integer, null: false}

package/templates/src/login/web/auth-provider.ts

@@ -0,0 +1,48 @@
+import type { AuthProvider, AuthType } from "@oj-module/runtime";
+
+import { fetchLogin, fetchLogout, fetchUserInfo, request, useAuthStore } from "@oj-module/runtime";
+
+/**
+ * 登录模块的认证 provider（P5 接缝）。
+ *
+ * 为什么必须注册：`useAuthStore.login()` 只认两条路——provider 或内置 `auth/login`。
+ * 企微登录拿到的是**票据**而不是口令，走不了内置路；而 store 的写入（token 持久化、
+ * 之后 guard 拉用户信息）必须只有一个入口，所以由本 provider 接管并把其余方式
+ * **原样委托**回内置实现（`fetchLogin/fetchLogout/fetchUserInfo`，行为零变化）。
+ *
+ * 契约（见 runtime `store/auth-provider.ts`）：provider 对返回值自负责，失败请直接
+ * reject——runtime 原样透传，错误提示归登录页。
+ */
+export const authProvider: AuthProvider = {
+	async login(payload): Promise<AuthType> {
+		if (payload.method !== "wecom")
+			return fetchLogin(payload);
+
+		const ticket = payload.ticket?.trim() ?? "";
+		if (!ticket)
+			throw new Error("缺少企业微信登录票据，请从企业微信重新进入");
+
+		// 服务端只认 `{ ticket }`（schema 校验 minLength 32）：它由 302 落地点带过来，
+		// 只在内存里存在一瞬间，不落 localStorage。
+		//
+		// throwHttpErrors:false —— ky 默认把非 2xx 抛成 HTTPError，message 是
+		// "Request failed with status code 401"，登录页只能原样贴给用户看。
+		// 这里自己读信封，把后端 `fail(401, "登录票据无效或已使用")` 的 msg 透上去。
+		const res = await request.post("auth/wecom/ticket", { json: { ticket }, throwHttpErrors: false });
+		const env = await res
+			.json<{ code: number, msg?: string, data?: { access_token?: string, refresh_token?: string } }>()
+			.catch(() => undefined);
+		if (!res.ok)
+			throw new Error(env?.msg || `企业微信登录失败（HTTP ${res.status}）`);
+		return {
+			token: env?.data?.access_token ?? "",
+			refreshToken: env?.data?.refresh_token ?? "",
+		};
+	},
+
+	async logout(): Promise<void> {
+		await fetchLogout({ refreshToken: useAuthStore.getState().refreshToken });
+	},
+
+	getUserInfo: () => fetchUserInfo(),
+};

package/templates/src/login/web/entry.ts

@@ -1,5 +1,6 @@
-import { defineModule } from "@oj-module/runtime";
+import { defineModule, useAuthStore, useTenantStore } from "@oj-module/runtime";
 import { lazy } from "react";
+import { authProvider } from "./auth-provider";
 
 /**
  * 登录模块：提供 `/login` 路由与内容区。
@@ -56,4 +57,23 @@ export default defineModule({
 		"zh-CN": () => import("./locales/zh-CN.json"),
 		"en-US": () => import("./locales/en-US.json"),
 	},
+	lifecycle: {
+		/**
+		 * 租户上下文（L2）：请求头由**运行时**注入（`runtime/store/tenant.ts`），模块不再注册
+		 * headerProvider——宿主 shell 的 hydrateUser / solution-routes 都在任何模块 onInit 之前
+		 * 就发请求，模块注册必然晚一步（2026-10-30 冷启动 e2e 实测两个 400 missing tenant header）。
+		 * 模块这里只保留「登出清租户」这一业务语义。
+		 */
+		async onInit(ctx) {
+			// 认证 provider：仅接管「企微票据换会话」，其余方式原样委托内置链（见 auth-provider.ts）。
+			// 注册时机必须在任何登录动作之前——onInit 先于路由渲染。
+			ctx.register.authProvider(authProvider);
+			// 登出必须清租户：否则下一个用户会带着上一个用户的租户头（跨租户请求 fail-closed 403，
+			// 但单租户部署会静默落到别人的 default 视图）。token 由非空转空即视为登出。
+			useAuthStore.subscribe((state, prev) => {
+				if (prev.token && !state.token)
+					useTenantStore.getState().clear();
+			});
+		},
+	},
 });

package/templates/src/login/web/locales/en-US.json

@@ -6,6 +6,12 @@
 		"password": "Password",
 		"submit": "Sign in",
 		"success": "Signed in",
+		"tenant": {
+			"label": "Enterprise code",
+			"hint": "Only needed on multi-tenant deployments (e.g. WeCom corp_id); leave empty otherwise",
+			"toggle": "Sign in with enterprise code",
+			"hide": "Hide enterprise code"
+		},
 		"changePwd": {
 			"title": "Change Password",
 			"hint": "After first login or an admin reset, you must change your password before using the system.",
@@ -21,6 +27,10 @@
 		"local": "Password",
 		"ldap": "LDAP",
 		"sso": "SSO",
-		"sso.action": "Sign in with SSO"
+		"sso.action": "Sign in with SSO",
+		"wecom": "WeCom",
+		"wecom.action": "Sign in with WeCom",
+		"wecom.hint": "Enter the enterprise code (corp_id, visible in the WeCom console), or use the dedicated sign-in link from your admin",
+		"wecom.exchanging": "Completing WeCom sign-in…"
 	}
 }

package/templates/src/login/web/locales/zh-CN.json

@@ -6,6 +6,12 @@
 		"password": "密码",
 		"submit": "登 录",
 		"success": "登录成功",
+		"tenant": {
+			"label": "企业代码",
+			"hint": "多租户部署才需要填（如企微 corp_id）；单租户部署留空即可",
+			"toggle": "使用企业代码登录",
+			"hide": "收起企业代码"
+		},
 		"changePwd": {
 			"title": "修改密码",
 			"hint": "首次登录或管理员重置口令后，需先修改密码才能使用系统。",
@@ -21,6 +27,10 @@
 		"local": "账号密码",
 		"ldap": "LDAP",
 		"sso": "SSO",
-		"sso.action": "使用 SSO 登录"
+		"sso.action": "使用 SSO 登录",
+		"wecom": "企业微信",
+		"wecom.action": "使用企业微信登录",
+		"wecom.hint": "填写企业代码（企微后台可见的 corp_id），或直接使用管理员收到的专属登录链接",
+		"wecom.exchanging": "正在完成企业微信登录…"
 	}
 }

package/templates/src/login/web/pages/login.tsx

@@ -1,27 +1,51 @@
-import { fetchLoginMethods, getRedirectPath, useAuthStore } from "@oj-module/runtime";
+import {
+	DEFAULT_TENANT,
+	fetchLoginMethods,
+	getRedirectPath,
+	resolveApiBase,
+	useAuthStore,
+	useTenantStore,
+} from "@oj-module/runtime";
 import { Alert, Button, Form, Input, Tabs, Typography } from "antd";
-import { useEffect, useState } from "react";
+import { useEffect, useRef, useState } from "react";
 import { useTranslation } from "react-i18next";
 import { useLocation, useNavigate } from "react-router";
+import { parseWecomLanding, wecomAuthorizePath } from "../wecom";
 
-type LoginMethod = "local" | "ldap" | "sso";
+type LoginMethod = "local" | "ldap" | "sso" | "wecom";
+
+/**
+ * 已实现的登录方式（顺序即 tab 顺序）。
+ * 后端 `methods` 是**发现结果**、这里是**渲染能力**：后端多报一种而本页没有对应
+ * renderer 时宁可不显示（点了也没实现），新增方式 = 这里加一项 + 渲染分支加一路。
+ */
+const KNOWN_METHODS: LoginMethod[] = ["local", "ldap", "sso", "wecom"];
+
+function isKnownMethod(x: string): x is LoginMethod {
+	return (KNOWN_METHODS as string[]).includes(x);
+}
 
 interface LoginFormValues {
 	username: string
 	password: string
+	/** 企业代码（多租户部署才需要，L2：登录带租户） */
+	tenant?: string
 }
 
 /**
  * 登录页内容区。
  *
  * 只写内容区：视口/品牌区/工具区/页脚由框架 FullscreenLayout 兜住。
- * 只依赖框架出口（useAuthStore / getRedirectPath / fetchLoginMethods）与共享依赖
+ * 只依赖框架出口（useAuthStore / getRedirectPath / fetchLoginMethods / withSiteBase）与共享依赖
  * （antd / react-router），零框架内部 import。
  *
  * 登录方式由后端匿名端点 `GET /system/login-methods` 发现（local 恒在，
- * ldap/sso 由系统设置开关）。多于一种方式时渲染切换 tab；local/ldap 走同一表单，
- * 仅把 `method` 透传给运行时 `login()`（其按 method 路由到 auth/login / auth/ldap-login）；
- * sso 走重定向（端点由宿主/平台提供，模板仅负责跳转）。
+ * ldap/sso/wecom 由系统设置开关）。多于一种方式时渲染切换 tab；local/ldap 走同一表单，
+ * 仅把 `method` 透传给运行时 `login()`；sso 与 wecom 走整页跳转（拿不到 302 的
+ * opaque redirect，不能用 XHR）。
+ *
+ * 企微回跳落地：`/login?wecom_ticket=&tenant=` —— 先落租户再换票（服务端要求头与票据
+ * 租户一致），票换出的 token 由 runtime 统一写库（见 ../auth-provider.ts）。
  */
 export default function LoginPage() {
 	const { t } = useTranslation();
@@ -32,11 +56,27 @@ export default function LoginPage() {
 	const [loading, setLoading] = useState(false);
 	const [methods, setMethods] = useState<LoginMethod[]>(["local"]);
 	const [active, setActive] = useState<LoginMethod>("local");
+	// 企业代码入口默认收起：单租户部署（绝大多数）保持今天的登录页外观，
+	// 只有服务商/客户带 `?tenant=` 或手工展开时才需要填。
+	// 例外：持久化租户不是部署默认值时必须展开——租户头是**隐式**跟着请求走的
+	// （runtime 每请求注入），藏起来等于让上一次的租户无声地把这次登录带走。
+	const [showTenant, setShowTenant] = useState(() => useTenantStore.getState().tenant !== DEFAULT_TENANT);
+	// 表单里的企业代码：带上 persisted 值（URL `?tenant=` 已先落到 store），用户看得见才改得动
+	const [tenant] = useState(() => {
+		const current = useTenantStore.getState().tenant;
+		return current === DEFAULT_TENANT ? "" : current;
+	});
+	// 企微 tab 的企业代码（优先用已持久化的值，单租户的 default 不预填）
+	const [corp, setCorp] = useState(() => tenant);
+
+	// 企微 302 落地参数：只在首次渲染解析一次（ticket 一次性，解析结果必须稳定）
+	const [landing] = useState(() => parseWecomLanding(search));
+	const exchangedRef = useRef(false);
 
 	useEffect(() => {
 		fetchLoginMethods()
 			.then((r) => {
-				const m = r.methods.filter((x): x is LoginMethod => x === "local" || x === "ldap" || x === "sso");
+				const m = r.methods.filter(isKnownMethod);
 				if (!m.length)
 					return;
 				setMethods(m);
@@ -48,11 +88,40 @@ export default function LoginPage() {
 			});
 	}, []);
 
+	useEffect(() => {
+		// 换票只做一次：ticket 单次有效，重复 POST 只会拿到 401 并盖掉真正的错误
+		if (!landing || exchangedRef.current)
+			return;
+		exchangedRef.current = true;
+		void (async () => {
+			setLoading(true);
+			setError(undefined);
+			try {
+				// 租户先落 store：provider 每请求读 getState，服务端会比对「头值 == 票据租户」
+				if (landing.tenant)
+					useTenantStore.getState().setTenant(landing.tenant);
+				await login({ username: "", password: "", method: "wecom", ticket: landing.ticket });
+				navigate(getRedirectPath(search), { replace: true });
+			}
+			catch (e) {
+				setError(e instanceof Error ? e.message : String(e));
+				setLoading(false);
+			}
+		})();
+	}, [landing, login, navigate, search]);
+
 	async function onFinish(values: LoginFormValues, method: LoginMethod) {
 		setLoading(true);
 		setError(undefined);
 		try {
-			await login({ ...values, method });
+			// L2：登录请求必须带租户头。先落 store（provider 每请求读 getState），再登录。
+			// 字段留空即「回到部署默认」——否则上一个用户/上一次企微登录留下的租户头
+			// 会把这次本地登录静默带到别家企业（表现为账号不存在，界面上看不出原因）。
+			if (values.tenant?.trim())
+				useTenantStore.getState().setTenant(values.tenant);
+			else
+				useTenantStore.getState().clear();
+			await login({ username: values.username, password: values.password, method });
 			navigate(getRedirectPath(search));
 		}
 		catch (e) {
@@ -65,7 +134,17 @@ export default function LoginPage() {
 
 	function ssoLogin() {
 		// SSO 重定向端点由宿主/平台提供（如 GET /auth/sso），模板侧仅跳转。
-		window.location.assign("/auth/sso");
+		// 与企微同口径拼 API base：它是**后端端点**（要发 302 到 IdP），拼站点 base
+		// 只会落到 SPA 兜底页（点了没反应，一个请求都不发）。
+		window.location.assign(`${resolveApiBase()}/auth/sso`);
+	}
+
+	function wecomLogin() {
+		// 整页跳转（拿不到 302 的 opaque redirect）：授权入口是**后端端点**，
+		// 必须拼 API base（部署期可为 /api 或网关前缀）；拼站点 base 只会落到
+		// SPA 兜底页——点击后页面原地重载、一个 auth 请求都不发。
+		// 企业代码不在这里写 store——只有服务端回跳带的 tenant 才是权威值。
+		window.location.assign(`${resolveApiBase()}${wecomAuthorizePath(corp)}`);
 	}
 
 	const showTabs = methods.length > 1;
@@ -78,12 +157,58 @@ export default function LoginPage() {
 			<Form.Item name="password" label={t("login:page.password")} rules={[{ required: true }]}>
 				<Input.Password />
 			</Form.Item>
+			{showTenant && (
+				<Form.Item
+					name="tenant"
+					label={t("login:page.tenant.label")}
+					extra={t("login:page.tenant.hint")}
+					initialValue={tenant}
+				>
+					<Input autoComplete="off" placeholder="ww..." />
+				</Form.Item>
+			)}
 			<Button type="primary" htmlType="submit" block loading={loading}>
 				{t("login:page.submit")}
 			</Button>
+			<Button type="link" size="small" block onClick={() => setShowTenant(v => !v)}>
+				{t(showTenant ? "login:page.tenant.hide" : "login:page.tenant.toggle")}
+			</Button>
 		</Form>
 	);
 
+	// 企微：只需企业代码（服务商后台生成的专属链接会预填，客户也可手输）
+	// 受控值不走 antd 表单（Form.Item 无 name），故显式给 id/htmlFor：
+	// 少了这层关联，标签只是视觉文本，读屏与 getByLabel 都取不到输入框。
+	const wecomCorpId = "wecom-corp";
+	const wecomPanel = (
+		<Form layout="vertical" onFinish={wecomLogin}>
+			<Form.Item
+				label={t("login:page.tenant.label")}
+				htmlFor={wecomCorpId}
+				extra={t("login:method.wecom.hint")}
+			>
+				<Input
+					id={wecomCorpId}
+					autoComplete="off"
+					placeholder="ww..."
+					value={corp}
+					onChange={e => setCorp(e.target.value)}
+				/>
+			</Form.Item>
+			<Button type="primary" htmlType="submit" block>
+				{t("login:method.wecom.action")}
+			</Button>
+		</Form>
+	);
+
+	function panelOf(m: LoginMethod) {
+		if (m === "sso")
+			return <Button type="primary" block onClick={ssoLogin}>{t("login:method.sso.action")}</Button>;
+		if (m === "wecom")
+			return wecomPanel;
+		return form(m);
+	}
+
 	return (
 		<>
 			<Typography.Title level={3}>
@@ -92,22 +217,26 @@ export default function LoginPage() {
 			<Typography.Paragraph type="secondary">
 				{t("login:page.subtitle")}
 			</Typography.Paragraph>
+			{landing && loading && (
+				<Alert style={{ marginBottom: 16 }} type="info" message={t("login:method.wecom.exchanging")} showIcon />
+			)}
 			{error && <Alert style={{ marginBottom: 16 }} type="error" message={error} showIcon />}
-			{showTabs
-				? (
-					<Tabs
-						activeKey={active}
-						onChange={key => setActive(key as LoginMethod)}
-						items={methods.map(m => ({
-							key: m,
-							label: t(`login:method.${m}`),
-							children: m === "sso"
-								? <Button type="primary" block onClick={ssoLogin}>{t("login:method.sso.action")}</Button>
-								: form(m),
-						}))}
-					/>
-				)
-				: form("local")}
+			{/* 换票期间不渲染 tab：避免用户在跳转前又点一次登录 */}
+			{landing && loading
+				? null
+				: showTabs
+					? (
+						<Tabs
+							activeKey={active}
+							onChange={key => setActive(key as LoginMethod)}
+							items={methods.map(m => ({
+								key: m,
+								label: t(`login:method.${m}`),
+								children: panelOf(m),
+							}))}
+						/>
+					)
+					: panelOf(methods[0] ?? "local")}
 		</>
 	);
 }

package/templates/src/login/web/wecom.ts

@@ -0,0 +1,51 @@
+/**
+ * 企微登录的**纯逻辑**（无 react / 无 request / 无 runtime 依赖），便于 node 侧回归：
+ * 授权入口 URL 拼装、回跳落地参数解析。
+ *
+ * 与后端的分工（§5.4/§11.5）：
+ *   · 发起：浏览器整页跳 `/auth/wecom/login?corp=` → 后端 302 到企微（前端拿不到 opaque redirect，
+ *     所以必须 window.location.assign，不能用 XHR/fetch）；
+ *   · 回跳：后端 302 回 `/login?wecom_ticket=&tenant=`，本文件把这两个参数解析出来；
+ *   · 换票：ticket → POST /auth/wecom/ticket（由 auth-provider 完成，store 写入仍归 runtime）。
+ */
+
+/** 回跳落地参数名（后端 loginLandingUrl 拼的，改这里必须同时改后端） */
+export const WECOM_TICKET_PARAM = "wecom_ticket";
+export const WECOM_TENANT_PARAM = "tenant";
+
+export interface WecomLanding {
+	/** 一次性登录票据（180 秒、只能用一次） */
+	ticket: string
+	/** 票据所属企业代码；空串表示后端没带（此时沿用本地已存的租户） */
+	tenant: string
+}
+
+/**
+ * 解析回跳落地参数。非企微落地（普通打开登录页）返回 null——
+ * 调用方据此决定「走表单」还是「直接换票」。
+ */
+export function parseWecomLanding(search: string): WecomLanding | null {
+	const params = new URLSearchParams(search);
+	const ticket = params.get(WECOM_TICKET_PARAM)?.trim() ?? "";
+	if (!ticket)
+		return null;
+	return { ticket, tenant: params.get(WECOM_TENANT_PARAM)?.trim() ?? "" };
+}
+
+/**
+ * 授权入口（**后端端点**路径，调用方负责拼 `resolveApiBase()` 后整页跳转）。
+ * 拼站点 base 是错的：请求会落到 SPA 兜底页，点了不动且无从排查——
+ * `/auth/wecom/login` 的真实前缀由部署的 API base 决定（可为 /api 或网关前缀）。
+ * `corp` 为空时**照样跳**：后端会回 400 并说明缺企业代码，比前端静默不动更容易排查。
+ */
+export function wecomAuthorizePath(corp: string, agent?: string): string {
+	const params = new URLSearchParams();
+	const c = corp.trim();
+	if (c)
+		params.set("corp", c);
+	const a = agent?.trim();
+	if (a)
+		params.set("agent", a);
+	const qs = params.toString();
+	return `/auth/wecom/login${qs ? `?${qs}` : ""}`;
+}

package/templates/src/notification/api/_shared/notify.ts

@@ -220,9 +220,12 @@ export async function markAllRead(userId: string | number): Promise<void> {
 	// oj 0.1.81 的 orIgnore 仅跟随 VALUES 的 upsert 子句，不与 fromSelect(SELECT 源) 组合
 	// （实测：code 500 "orIgnore with fromSelect is not supported on sqlite"）。原 SQL 三方言通用
 	// （sqlite OR IGNORE / pg ON CONFLICT DO NOTHING / mysql ON DUPLICATE KEY），退回裸 SQL。
+	// 多租户（0015）：裸 SQL 必须显式写 tenant_id 且把当前租户作为绑定参数传进去，
+	// 否则 sql_guard=deny 直接拒（缺列 / 参数不含租户值两种都会被拦）。
+	const tenant = http.tenantId;
 	await db.exec(
-		"INSERT OR IGNORE INTO notifications_broadcast_read (broadcast_id, user_id, read_time) SELECT id, ?, ? FROM notifications_broadcast",
-		[uid, now],
+		"INSERT OR IGNORE INTO notifications_broadcast_read (tenant_id, broadcast_id, user_id, read_time) SELECT tenant_id, id, ?, ? FROM notifications_broadcast WHERE tenant_id = ?",
+		[uid, now, tenant],
 	);
 }
 
@@ -231,9 +234,10 @@ export async function clearNotices(userId: string | number): Promise<void> {
 	const uid = Number(userId);
 	await db.table("notifications").where({ field: "user_id", op: "eq", value: uid }).delete().run();
 	// 保留 db.exec：INSERT OR IGNORE ... SELECT 同 markAllRead（构造器 orIgnore 不与
-	// fromSelect 组合，实测 500），原 SQL 三方言通用。
+	// fromSelect 组合，实测 500），原 SQL 三方言通用。多租户同上：tenant_id 显式 + 绑定参数。
+	const tenant = http.tenantId;
 	await db.exec(
-		"INSERT OR IGNORE INTO notifications_broadcast_hidden (broadcast_id, user_id, create_time) SELECT id, ?, ? FROM notifications_broadcast",
-		[uid, nowStr()],
+		"INSERT OR IGNORE INTO notifications_broadcast_hidden (tenant_id, broadcast_id, user_id, create_time) SELECT tenant_id, id, ?, ? FROM notifications_broadcast WHERE tenant_id = ?",
+		[uid, nowStr(), tenant],
 	);
 }