@oj-module/cli 0.2.43 → 0.2.46

package/templates/src/login/web/pages/login.tsx

@@ -1,27 +1,51 @@
-import { fetchLoginMethods, getRedirectPath, useAuthStore } from "@oj-module/runtime";
+import {
+	DEFAULT_TENANT,
+	fetchLoginMethods,
+	getRedirectPath,
+	resolveApiBase,
+	useAuthStore,
+	useTenantStore,
+} from "@oj-module/runtime";
 import { Alert, Button, Form, Input, Tabs, Typography } from "antd";
-import { useEffect, useState } from "react";
+import { useEffect, useRef, useState } from "react";
 import { useTranslation } from "react-i18next";
 import { useLocation, useNavigate } from "react-router";
+import { parseWecomLanding, wecomAuthorizePath } from "../wecom";
 
-type LoginMethod = "local" | "ldap" | "sso";
+type LoginMethod = "local" | "ldap" | "sso" | "wecom";
+
+/**
+ * 已实现的登录方式（顺序即 tab 顺序）。
+ * 后端 `methods` 是**发现结果**、这里是**渲染能力**：后端多报一种而本页没有对应
+ * renderer 时宁可不显示（点了也没实现），新增方式 = 这里加一项 + 渲染分支加一路。
+ */
+const KNOWN_METHODS: LoginMethod[] = ["local", "ldap", "sso", "wecom"];
+
+function isKnownMethod(x: string): x is LoginMethod {
+	return (KNOWN_METHODS as string[]).includes(x);
+}
 
 interface LoginFormValues {
 	username: string
 	password: string
+	/** 企业代码（多租户部署才需要，L2：登录带租户） */
+	tenant?: string
 }
 
 /**
  * 登录页内容区。
  *
  * 只写内容区：视口/品牌区/工具区/页脚由框架 FullscreenLayout 兜住。
- * 只依赖框架出口（useAuthStore / getRedirectPath / fetchLoginMethods）与共享依赖
+ * 只依赖框架出口（useAuthStore / getRedirectPath / fetchLoginMethods / withSiteBase）与共享依赖
  * （antd / react-router），零框架内部 import。
  *
  * 登录方式由后端匿名端点 `GET /system/login-methods` 发现（local 恒在，
- * ldap/sso 由系统设置开关）。多于一种方式时渲染切换 tab；local/ldap 走同一表单，
- * 仅把 `method` 透传给运行时 `login()`（其按 method 路由到 auth/login / auth/ldap-login）；
- * sso 走重定向（端点由宿主/平台提供，模板仅负责跳转）。
+ * ldap/sso/wecom 由系统设置开关）。多于一种方式时渲染切换 tab；local/ldap 走同一表单，
+ * 仅把 `method` 透传给运行时 `login()`；sso 与 wecom 走整页跳转（拿不到 302 的
+ * opaque redirect，不能用 XHR）。
+ *
+ * 企微回跳落地：`/login?wecom_ticket=&tenant=` —— 先落租户再换票（服务端要求头与票据
+ * 租户一致），票换出的 token 由 runtime 统一写库（见 ../auth-provider.ts）。
  */
 export default function LoginPage() {
 	const { t } = useTranslation();
@@ -32,11 +56,27 @@ export default function LoginPage() {
 	const [loading, setLoading] = useState(false);
 	const [methods, setMethods] = useState<LoginMethod[]>(["local"]);
 	const [active, setActive] = useState<LoginMethod>("local");
+	// 企业代码入口默认收起：单租户部署（绝大多数）保持今天的登录页外观，
+	// 只有服务商/客户带 `?tenant=` 或手工展开时才需要填。
+	// 例外：持久化租户不是部署默认值时必须展开——租户头是**隐式**跟着请求走的
+	// （runtime 每请求注入），藏起来等于让上一次的租户无声地把这次登录带走。
+	const [showTenant, setShowTenant] = useState(() => useTenantStore.getState().tenant !== DEFAULT_TENANT);
+	// 表单里的企业代码：带上 persisted 值（URL `?tenant=` 已先落到 store），用户看得见才改得动
+	const [tenant] = useState(() => {
+		const current = useTenantStore.getState().tenant;
+		return current === DEFAULT_TENANT ? "" : current;
+	});
+	// 企微 tab 的企业代码（优先用已持久化的值，单租户的 default 不预填）
+	const [corp, setCorp] = useState(() => tenant);
+
+	// 企微 302 落地参数：只在首次渲染解析一次（ticket 一次性，解析结果必须稳定）
+	const [landing] = useState(() => parseWecomLanding(search));
+	const exchangedRef = useRef(false);
 
 	useEffect(() => {
 		fetchLoginMethods()
 			.then((r) => {
-				const m = r.methods.filter((x): x is LoginMethod => x === "local" || x === "ldap" || x === "sso");
+				const m = r.methods.filter(isKnownMethod);
 				if (!m.length)
 					return;
 				setMethods(m);
@@ -48,11 +88,40 @@ export default function LoginPage() {
 			});
 	}, []);
 
+	useEffect(() => {
+		// 换票只做一次：ticket 单次有效，重复 POST 只会拿到 401 并盖掉真正的错误
+		if (!landing || exchangedRef.current)
+			return;
+		exchangedRef.current = true;
+		void (async () => {
+			setLoading(true);
+			setError(undefined);
+			try {
+				// 租户先落 store：provider 每请求读 getState，服务端会比对「头值 == 票据租户」
+				if (landing.tenant)
+					useTenantStore.getState().setTenant(landing.tenant);
+				await login({ username: "", password: "", method: "wecom", ticket: landing.ticket });
+				navigate(getRedirectPath(search), { replace: true });
+			}
+			catch (e) {
+				setError(e instanceof Error ? e.message : String(e));
+				setLoading(false);
+			}
+		})();
+	}, [landing, login, navigate, search]);
+
 	async function onFinish(values: LoginFormValues, method: LoginMethod) {
 		setLoading(true);
 		setError(undefined);
 		try {
-			await login({ ...values, method });
+			// L2：登录请求必须带租户头。先落 store（provider 每请求读 getState），再登录。
+			// 字段留空即「回到部署默认」——否则上一个用户/上一次企微登录留下的租户头
+			// 会把这次本地登录静默带到别家企业（表现为账号不存在，界面上看不出原因）。
+			if (values.tenant?.trim())
+				useTenantStore.getState().setTenant(values.tenant);
+			else
+				useTenantStore.getState().clear();
+			await login({ username: values.username, password: values.password, method });
 			navigate(getRedirectPath(search));
 		}
 		catch (e) {
@@ -65,7 +134,17 @@ export default function LoginPage() {
 
 	function ssoLogin() {
 		// SSO 重定向端点由宿主/平台提供（如 GET /auth/sso），模板侧仅跳转。
-		window.location.assign("/auth/sso");
+		// 与企微同口径拼 API base：它是**后端端点**（要发 302 到 IdP），拼站点 base
+		// 只会落到 SPA 兜底页（点了没反应，一个请求都不发）。
+		window.location.assign(`${resolveApiBase()}/auth/sso`);
+	}
+
+	function wecomLogin() {
+		// 整页跳转（拿不到 302 的 opaque redirect）：授权入口是**后端端点**，
+		// 必须拼 API base（部署期可为 /api 或网关前缀）；拼站点 base 只会落到
+		// SPA 兜底页——点击后页面原地重载、一个 auth 请求都不发。
+		// 企业代码不在这里写 store——只有服务端回跳带的 tenant 才是权威值。
+		window.location.assign(`${resolveApiBase()}${wecomAuthorizePath(corp)}`);
 	}
 
 	const showTabs = methods.length > 1;
@@ -78,12 +157,58 @@ export default function LoginPage() {
 			<Form.Item name="password" label={t("login:page.password")} rules={[{ required: true }]}>
 				<Input.Password />
 			</Form.Item>
+			{showTenant && (
+				<Form.Item
+					name="tenant"
+					label={t("login:page.tenant.label")}
+					extra={t("login:page.tenant.hint")}
+					initialValue={tenant}
+				>
+					<Input autoComplete="off" placeholder="ww..." />
+				</Form.Item>
+			)}
 			<Button type="primary" htmlType="submit" block loading={loading}>
 				{t("login:page.submit")}
 			</Button>
+			<Button type="link" size="small" block onClick={() => setShowTenant(v => !v)}>
+				{t(showTenant ? "login:page.tenant.hide" : "login:page.tenant.toggle")}
+			</Button>
 		</Form>
 	);
 
+	// 企微：只需企业代码（服务商后台生成的专属链接会预填，客户也可手输）
+	// 受控值不走 antd 表单（Form.Item 无 name），故显式给 id/htmlFor：
+	// 少了这层关联，标签只是视觉文本，读屏与 getByLabel 都取不到输入框。
+	const wecomCorpId = "wecom-corp";
+	const wecomPanel = (
+		<Form layout="vertical" onFinish={wecomLogin}>
+			<Form.Item
+				label={t("login:page.tenant.label")}
+				htmlFor={wecomCorpId}
+				extra={t("login:method.wecom.hint")}
+			>
+				<Input
+					id={wecomCorpId}
+					autoComplete="off"
+					placeholder="ww..."
+					value={corp}
+					onChange={e => setCorp(e.target.value)}
+				/>
+			</Form.Item>
+			<Button type="primary" htmlType="submit" block>
+				{t("login:method.wecom.action")}
+			</Button>
+		</Form>
+	);
+
+	function panelOf(m: LoginMethod) {
+		if (m === "sso")
+			return <Button type="primary" block onClick={ssoLogin}>{t("login:method.sso.action")}</Button>;
+		if (m === "wecom")
+			return wecomPanel;
+		return form(m);
+	}
+
 	return (
 		<>
 			<Typography.Title level={3}>
@@ -92,22 +217,26 @@ export default function LoginPage() {
 			<Typography.Paragraph type="secondary">
 				{t("login:page.subtitle")}
 			</Typography.Paragraph>
+			{landing && loading && (
+				<Alert style={{ marginBottom: 16 }} type="info" message={t("login:method.wecom.exchanging")} showIcon />
+			)}
 			{error && <Alert style={{ marginBottom: 16 }} type="error" message={error} showIcon />}
-			{showTabs
-				? (
-					<Tabs
-						activeKey={active}
-						onChange={key => setActive(key as LoginMethod)}
-						items={methods.map(m => ({
-							key: m,
-							label: t(`login:method.${m}`),
-							children: m === "sso"
-								? <Button type="primary" block onClick={ssoLogin}>{t("login:method.sso.action")}</Button>
-								: form(m),
-						}))}
-					/>
-				)
-				: form("local")}
+			{/* 换票期间不渲染 tab：避免用户在跳转前又点一次登录 */}
+			{landing && loading
+				? null
+				: showTabs
+					? (
+						<Tabs
+							activeKey={active}
+							onChange={key => setActive(key as LoginMethod)}
+							items={methods.map(m => ({
+								key: m,
+								label: t(`login:method.${m}`),
+								children: panelOf(m),
+							}))}
+						/>
+					)
+					: panelOf(methods[0] ?? "local")}
 		</>
 	);
 }

package/templates/src/login/web/wecom.ts

@@ -0,0 +1,51 @@
+/**
+ * 企微登录的**纯逻辑**（无 react / 无 request / 无 runtime 依赖），便于 node 侧回归：
+ * 授权入口 URL 拼装、回跳落地参数解析。
+ *
+ * 与后端的分工（§5.4/§11.5）：
+ *   · 发起：浏览器整页跳 `/auth/wecom/login?corp=` → 后端 302 到企微（前端拿不到 opaque redirect，
+ *     所以必须 window.location.assign，不能用 XHR/fetch）；
+ *   · 回跳：后端 302 回 `/login?wecom_ticket=&tenant=`，本文件把这两个参数解析出来；
+ *   · 换票：ticket → POST /auth/wecom/ticket（由 auth-provider 完成，store 写入仍归 runtime）。
+ */
+
+/** 回跳落地参数名（后端 loginLandingUrl 拼的，改这里必须同时改后端） */
+export const WECOM_TICKET_PARAM = "wecom_ticket";
+export const WECOM_TENANT_PARAM = "tenant";
+
+export interface WecomLanding {
+	/** 一次性登录票据（180 秒、只能用一次） */
+	ticket: string
+	/** 票据所属企业代码；空串表示后端没带（此时沿用本地已存的租户） */
+	tenant: string
+}
+
+/**
+ * 解析回跳落地参数。非企微落地（普通打开登录页）返回 null——
+ * 调用方据此决定「走表单」还是「直接换票」。
+ */
+export function parseWecomLanding(search: string): WecomLanding | null {
+	const params = new URLSearchParams(search);
+	const ticket = params.get(WECOM_TICKET_PARAM)?.trim() ?? "";
+	if (!ticket)
+		return null;
+	return { ticket, tenant: params.get(WECOM_TENANT_PARAM)?.trim() ?? "" };
+}
+
+/**
+ * 授权入口（**后端端点**路径，调用方负责拼 `resolveApiBase()` 后整页跳转）。
+ * 拼站点 base 是错的：请求会落到 SPA 兜底页，点了不动且无从排查——
+ * `/auth/wecom/login` 的真实前缀由部署的 API base 决定（可为 /api 或网关前缀）。
+ * `corp` 为空时**照样跳**：后端会回 400 并说明缺企业代码，比前端静默不动更容易排查。
+ */
+export function wecomAuthorizePath(corp: string, agent?: string): string {
+	const params = new URLSearchParams();
+	const c = corp.trim();
+	if (c)
+		params.set("corp", c);
+	const a = agent?.trim();
+	if (a)
+		params.set("agent", a);
+	const qs = params.toString();
+	return `/auth/wecom/login${qs ? `?${qs}` : ""}`;
+}

package/templates/src/notification/api/_shared/notify.ts

@@ -220,9 +220,12 @@ export async function markAllRead(userId: string | number): Promise<void> {
 	// oj 0.1.81 的 orIgnore 仅跟随 VALUES 的 upsert 子句，不与 fromSelect(SELECT 源) 组合
 	// （实测：code 500 "orIgnore with fromSelect is not supported on sqlite"）。原 SQL 三方言通用
 	// （sqlite OR IGNORE / pg ON CONFLICT DO NOTHING / mysql ON DUPLICATE KEY），退回裸 SQL。
+	// 多租户（0015）：裸 SQL 必须显式写 tenant_id 且把当前租户作为绑定参数传进去，
+	// 否则 sql_guard=deny 直接拒（缺列 / 参数不含租户值两种都会被拦）。
+	const tenant = http.tenantId;
 	await db.exec(
-		"INSERT OR IGNORE INTO notifications_broadcast_read (broadcast_id, user_id, read_time) SELECT id, ?, ? FROM notifications_broadcast",
-		[uid, now],
+		"INSERT OR IGNORE INTO notifications_broadcast_read (tenant_id, broadcast_id, user_id, read_time) SELECT tenant_id, id, ?, ? FROM notifications_broadcast WHERE tenant_id = ?",
+		[uid, now, tenant],
 	);
 }
 
@@ -231,9 +234,10 @@ export async function clearNotices(userId: string | number): Promise<void> {
 	const uid = Number(userId);
 	await db.table("notifications").where({ field: "user_id", op: "eq", value: uid }).delete().run();
 	// 保留 db.exec：INSERT OR IGNORE ... SELECT 同 markAllRead（构造器 orIgnore 不与
-	// fromSelect 组合，实测 500），原 SQL 三方言通用。
+	// fromSelect 组合，实测 500），原 SQL 三方言通用。多租户同上：tenant_id 显式 + 绑定参数。
+	const tenant = http.tenantId;
 	await db.exec(
-		"INSERT OR IGNORE INTO notifications_broadcast_hidden (broadcast_id, user_id, create_time) SELECT id, ?, ? FROM notifications_broadcast",
-		[uid, nowStr()],
+		"INSERT OR IGNORE INTO notifications_broadcast_hidden (tenant_id, broadcast_id, user_id, create_time) SELECT tenant_id, id, ?, ? FROM notifications_broadcast WHERE tenant_id = ?",
+		[uid, nowStr(), tenant],
 	);
 }

package/templates/src/notification/api/api.ts

@@ -7,6 +7,7 @@
 // 出参挂平级 `.response`（动词级优先于组级，组级沿嵌套继承）——oj 运行期据此校验入参、
 // 并供 `oj openapi` 生成 openapi.json → 前端 `ojm api` 生成 __client。
 // `.schema` 是 JSON Schema 严格子集（关键字白名单），union 用类型数组表达（见 userId）。
+import { isSelfTenant } from "#/_platform/_shared/service/infra/access";
 import { clearNotices, markAllRead, markRead, noticesFor, pushBroadcastNotice, pushNotice } from "./_shared/notify";
 
 const notifications = {
@@ -19,6 +20,10 @@ const notifications = {
 			json.fail(401, "unauthorized");
 			return;
 		}
+		if (!(await isSelfTenant())) {
+			json.fail(403, "forbidden");
+			return;
+		}
 		try {
 			json.ok(await noticesFor(uid));
 		}
@@ -35,6 +40,10 @@ const notifications = {
 				json.fail(401, "unauthorized");
 				return;
 			}
+			if (!(await isSelfTenant())) {
+				json.fail(403, "forbidden");
+				return;
+			}
 			const body = (http.body ?? {}) as { id?: unknown };
 			const id = String(body.id ?? "");
 			if (!id) {
@@ -62,6 +71,10 @@ const notifications = {
 				json.fail(401, "unauthorized");
 				return;
 			}
+			if (!(await isSelfTenant())) {
+				json.fail(403, "forbidden");
+				return;
+			}
 			try {
 				await markAllRead(uid);
 				json.ok(null);
@@ -80,6 +93,10 @@ const notifications = {
 				json.fail(401, "unauthorized");
 				return;
 			}
+			if (!(await isSelfTenant())) {
+				json.fail(403, "forbidden");
+				return;
+			}
 			try {
 				await clearNotices(uid);
 				json.ok(null);
@@ -133,6 +150,10 @@ const push = {
 			json.fail(401, "unauthorized");
 			return;
 		}
+		if (!(await isSelfTenant())) {
+			json.fail(403, "forbidden");
+			return;
+		}
 		const b = (http.body ?? {}) as {
 			userId?: unknown
 			title?: unknown
@@ -187,6 +208,10 @@ const broadcast = {
 			json.fail(401, "unauthorized");
 			return;
 		}
+		if (!(await isSelfTenant())) {
+			json.fail(403, "forbidden");
+			return;
+		}
 		const b = (http.body ?? {}) as {
 			title?: unknown
 			message?: unknown

package/templates/src/notification/api/del/api.ts

@@ -1,5 +1,6 @@
 // POST /api/notification/del —— 删除一条通知（发射原语 HTTP 入口）。
 // 按人项校验归属，非本人返回 403；广播项仅删本人回执。Bearer 守卫保护。
+import { isSelfTenant } from "#/_platform/_shared/service/infra/access";
 import { delNotice } from "../_shared/notify";
 
 // POST /api/notification/del —— 删除一条通知（发射原语 HTTP 入口）。
@@ -12,6 +13,10 @@ const handler = {
 			json.fail(401, "unauthorized");
 			return;
 		}
+		if (!(await isSelfTenant())) {
+			json.fail(403, "forbidden");
+			return;
+		}
 		const b = (http.body ?? {}) as { id?: unknown, userId?: unknown };
 		const id = String(b.id ?? "");
 		if (!id) {

package/templates/src/notification/api/manifest.yaml

@@ -1,6 +1,9 @@
 name: notification
 desc: 通知模块（契约化通知读写：读 + 单条已读 + 全部已读 + 清空 + 广播；表与种子归属本模块）
 version: 0.1.0
+deps: # 租户自洽守卫（isSelfTenant）读 _platform 的 users 判定「token 的 sub 是否在本租户」；
+  # 跨模块别名 `#/_platform/…` 的依赖门禁（oj build S008）
+  _platform: ^0.1.0
 tables:
   - notifications
   - notifications_broadcast

package/templates/src/notification/api/migrations/0005__tenant.mysql.sql

@@ -0,0 +1,6 @@
+-- 0005__tenant（mysql 方言）：通知四表租户化。
+-- 差异：TEXT 不能带字面默认值 → 租户列用 VARCHAR(255)。
+ALTER TABLE notifications ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';
+ALTER TABLE notifications_broadcast ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';
+ALTER TABLE notifications_broadcast_read ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';
+ALTER TABLE notifications_broadcast_hidden ADD COLUMN tenant_id VARCHAR(255) NOT NULL DEFAULT 'default';

package/templates/src/notification/api/migrations/0005__tenant.sql

@@ -0,0 +1,6 @@
+-- 0005__tenant：通知四表租户化（企微代开发 v3 Phase 0 的 A 组）。
+-- 广播/按人通知都是租户内数据：不同 corp 的公告与已读回执必须互不可见。
+ALTER TABLE notifications ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';
+ALTER TABLE notifications_broadcast ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';
+ALTER TABLE notifications_broadcast_read ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';
+ALTER TABLE notifications_broadcast_hidden ADD COLUMN tenant_id TEXT NOT NULL DEFAULT 'default';

package/templates/src/notification/api/schema.yaml

@@ -5,6 +5,7 @@ tables:
     pk: id
     columns:
       id: {type: integer, autoincrement: true}
+      tenant_id: {type: text, null: false}
       user_id: {type: integer, null: true}
       avatar: {type: text, null: false}
       date: {type: text, null: false}
@@ -17,6 +18,7 @@ tables:
     pk: id
     columns:
       id: {type: integer, autoincrement: true}
+      tenant_id: {type: text, null: false}
       avatar: {type: text, null: false}
       date: {type: text, null: false}
       message: {type: text, null: false}
@@ -28,6 +30,7 @@ tables:
     pk: id
     columns:
       id: {type: integer, autoincrement: true}
+      tenant_id: {type: text, null: false}
       broadcast_id: {type: integer, null: false}
       user_id: {type: integer, null: false}
       read_time: {type: text, null: false}
@@ -35,6 +38,7 @@ tables:
     pk: id
     columns:
       id: {type: integer, autoincrement: true}
+      tenant_id: {type: text, null: false}
       broadcast_id: {type: integer, null: false}
       user_id: {type: integer, null: false}
       create_time: {type: text, null: false}

package/templates/src/personal-center/api/profile/api.ts

@@ -1,6 +1,9 @@
+import { RESERVED_USERNAME_PREFIX } from "#/_platform/_shared/service/domain/users";
 // POST /api/personal-center/profile —— 保存「我的资料」（个人中心表单入库端点）。
 // 只允许改本人行（http.user.id 权威，不接受 body 传 id）；username 全局唯一，
 // 重名 400；avatar 走 upload 端点（multipart），不在此通道。
+import { isSelfTenant } from "#/_platform/_shared/service/infra/access";
+
 const handler = {
 	async post() {
 		const uid = http.user?.id;
@@ -8,6 +11,10 @@ const handler = {
 			json.fail(401, "unauthorized");
 			return;
 		}
+		if (!(await isSelfTenant())) {
+			json.fail(403, "forbidden");
+			return;
+		}
 		const b = (http.body ?? {}) as {
 			username?: unknown
 			email?: unknown
@@ -17,6 +24,12 @@ const handler = {
 		const patch: Record<string, string> = {};
 		if (b.username != null && String(b.username).trim() !== "") {
 			const username = String(b.username).trim();
+			// 与建号同红线（B6）：自助改名不能抢占 ldap:/sso:/wecom: 命名空间——
+			// 否则该外部成员首次登录时 ensureXXXUser 按用户名查到的是**别人那一行**，直接签发别人的 uid。
+			if (RESERVED_USERNAME_PREFIX.test(username)) {
+				json.fail(400, "username prefix reserved for external identity sources");
+				return;
+			}
 			const dup = await db.table("users").select(["id"]).where({ field: "username", op: "eq", value: username }).all();
 			if (dup.some(r => Number(r.id) !== Number(uid))) {
 				json.fail(400, "username already taken");

package/templates/src/personal-center/api/upload/api.ts

@@ -6,6 +6,8 @@
 //   · 大文件（> max_upload）：服务端已流式直落 blob、字节不进 handler，此时
 //     http.file(0) 会**报错**，必须改走 files[0].key + blob.get(key)。
 // 头像通常远小于阈值，但别写成「只会一种」——换了上传组件/放开体积就会 500。
+import { isSelfTenant } from "#/_platform/_shared/service/infra/access";
+
 function toBase64(bytes: Uint8Array): string {
 	const chars = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/";
 	let out = "";
@@ -23,7 +25,6 @@ function toBase64(bytes: Uint8Array): string {
 	return out;
 }
 
-// POST /api/personal-center/upload —— 头像上传（multipart→base64，P4-3，D7/F4）。
 const handler = {
 	async post() {
 		const uid = http.user?.id;
@@ -31,6 +32,12 @@ const handler = {
 			json.fail(401, "unauthorized");
 			return;
 		}
+		// 写入目标按 uid 定位 users 行：伪造 X-TENANT-ID 时该行在本租户不存在，
+		// 不拦就会「更新 0 行却回 200」，还顺带在 blob 里留下垃圾文件
+		if (!(await isSelfTenant())) {
+			json.fail(403, "forbidden");
+			return;
+		}
 		if (!http.files || http.files.length === 0) {
 			json.fail(400, "no file");
 			return;

package/templates/src/system/web/entry.ts

@@ -13,6 +13,7 @@ const Roles = lazy(() => import("./pages/roles"));
 const Oplog = lazy(() => import("./pages/oplog"));
 const Settings = lazy(() => import("./pages/settings"));
 const LoginMethods = lazy(() => import("./pages/login-methods"));
+const WecomAdmin = lazy(() => import("./pages/wecom"));
 
 const routes: AppRouteRecordRaw[] = [
 	{
@@ -56,6 +57,13 @@ const routes: AppRouteRecordRaw[] = [
 				Component: LoginMethods,
 				handle: { title: "system:menu.loginMethods" },
 			},
+			{
+				// 企微代开发后台（服务商运营面）：页面内再判一次 superadmin（路由级不做角色门禁，
+				// 与 users/roles 页同策略——403 面板比路由消失更容易解释）
+				path: "/system/wecom",
+				Component: WecomAdmin,
+				handle: { title: "system:menu.wecom" },
+			},
 		],
 	},
 ];

package/templates/src/system/web/locales/en-US.json

@@ -6,7 +6,8 @@
 		"roles": "Roles & Permissions",
 		"oplog": "Audit Log",
 		"settings": "Site Settings",
-		"loginMethods": "Login Methods"
+		"loginMethods": "Login Methods",
+		"wecom": "WeCom Integration"
 	},
 	"common": {
 		"confirm": "Confirm",
@@ -73,7 +74,36 @@
 		"title": "Enabled login methods",
 		"methodLocal": "Local password",
 		"methodLdap": "LDAP",
-		"methodSso": "SSO"
+		"methodSso": "SSO",
+		"methodWecom": "WeCom"
+	},
+	"wecom": {
+		"title": "Onboard a corporation",
+		"hint": "Click \"Generate install link\" and send the link or QR code to the corporation's admin for approval. The callback on the corporation side writes the row into this table after approval. The link expires in 10 minutes and works once; the QR code greys out when it does, so regenerate it.",
+		"appsTitle": "Onboarded corporations",
+		"genInstall": "Generate install link",
+		"installOk": "Generated. Send the link to the corporation's admin.",
+		"installUrl": "Install link",
+		"callbackUrl": "Callback URL",
+		"expiresIn": "Valid for",
+		"expiresValue": "{{count}} minutes",
+		"col": {
+			"corp": "Corporation",
+			"agent": "App",
+			"env": "Env",
+			"status": "Status",
+			"installedAt": "Onboarded at",
+			"action": "Actions"
+		},
+		"statusActive": "Active",
+		"statusDisabled": "Disabled",
+		"statusOk": "Status updated",
+		"statusOkRevoked": "Status updated; {{count}} login sessions of this corporation were revoked",
+		"disable": "Disable",
+		"enable": "Enable",
+		"disableConfirm": "Disable this app? Members of this corporation will no longer be able to sign in with it.",
+		"enableConfirm": "Enable this app?",
+		"empty": "No corporations onboarded yet"
 	},
 	"err": {
 		"forbidden": "Forbidden",
@@ -91,6 +121,7 @@
 		"site_title": "Site Title",
 		"ldap_enabled": "Enable LDAP login",
 		"sso_enabled": "Enable SSO login",
+		"wecom_enabled": "Enable WeCom login",
 		"ldap_base_dn": "LDAP Base DN",
 		"ldap_uid_attr": "LDAP UID Attribute",
 		"ldap_email_attr": "LDAP Email Attribute"