@oj-module/cli 0.2.46 → 0.2.48

package/src/market/__tests__/setup.test.ts

@@ -62,7 +62,7 @@ describe("given 站点可直连且凭据未悬挂 When setup", () => {
 		const root = newProject();
 		const site = fakeSite();
 
-		const result = await setupMarketUrl({ projectRoot: root, user: "admin", pass: "123456", siteUrl: "http://127.0.0.1:9778", fetchFn: site.fetchFn });
+		const result = await setupMarketUrl({ projectRoot: root, user: "admin", pass: "aA123456", siteUrl: "http://127.0.0.1:9778", fetchFn: site.fetchFn });
 
 		expect(result.cdnBaseUrl).toBe("http://127.0.0.1:9778/cdn");
 		const put = site.calls.find(c => c.url.endsWith("/api/system/settings"))!;
@@ -77,12 +77,12 @@ describe("given seed admin 处于 must_change 悬挂期 When setup", () => {
 		const root = newProject();
 		const site = fakeSite({ restricted: true });
 
-		const result = await setupMarketUrl({ projectRoot: root, user: "admin", pass: "123456", newPass: "newpass-123", siteUrl: "http://127.0.0.1:9778", fetchFn: site.fetchFn });
+		const result = await setupMarketUrl({ projectRoot: root, user: "admin", pass: "aA123456", newPass: "newpass-123", siteUrl: "http://127.0.0.1:9778", fetchFn: site.fetchFn });
 
 		expect(result.changedPassword).toBe(true);
 		const pwd = site.calls.find(c => c.url.endsWith("/api/auth/password"))!;
 		expect(pwd.method).toBe("PUT");
-		expect(pwd.body).toEqual({ old_password: "123456", new_password: "newpass-123" });
+		expect(pwd.body).toEqual({ old_password: "aA123456", new_password: "newpass-123" });
 		const put = site.calls.find(c => c.url.endsWith("/api/system/settings"))!;
 		expect(put.auth).toBe("Bearer token-full");
 	});
@@ -96,7 +96,7 @@ describe("given 站点不可达 When setup", () => {
 		};
 		const fetchFn = failing as unknown as typeof fetch;
 
-		await expect(setupMarketUrl({ projectRoot: root, user: "admin", pass: "123456", siteUrl: "http://127.0.0.1:9778", fetchFn }))
+		await expect(setupMarketUrl({ projectRoot: root, user: "admin", pass: "aA123456", siteUrl: "http://127.0.0.1:9778", fetchFn }))
 			.rejects
 			.toThrow(/ojm dev/);
 	});
@@ -107,7 +107,7 @@ describe("given 改密后写设置仍被拒 When setup", () => {
 		const root = newProject();
 		const site = fakeSite({ restricted: true, rejectSettings: true });
 
-		await expect(setupMarketUrl({ projectRoot: root, user: "admin", pass: "123456", newPass: "newpass-123", siteUrl: "http://127.0.0.1:9778", fetchFn: site.fetchFn }))
+		await expect(setupMarketUrl({ projectRoot: root, user: "admin", pass: "aA123456", newPass: "newpass-123", siteUrl: "http://127.0.0.1:9778", fetchFn: site.fetchFn }))
 			.rejects
 			.toThrow(/must_change|权限|设置/);
 	});
@@ -115,7 +115,7 @@ describe("given 改密后写设置仍被拒 When setup", () => {
 
 describe("given setup 返回 changedPassword When 选 setup 后的登录口令", () => {
 	it("then 改密已发生用 newPass，未改密用原种子口令（must_change=0 是当前 seed 常态）", () => {
-		expect(loginPasswordAfterSetup({ siteUrl: "", cdnBaseUrl: "", changedPassword: true }, "new-pass", "123456")).toBe("new-pass");
-		expect(loginPasswordAfterSetup({ siteUrl: "", cdnBaseUrl: "", changedPassword: false }, "new-pass", "123456")).toBe("123456");
+		expect(loginPasswordAfterSetup({ siteUrl: "", cdnBaseUrl: "", changedPassword: true }, "new-pass", "aA123456")).toBe("new-pass");
+		expect(loginPasswordAfterSetup({ siteUrl: "", cdnBaseUrl: "", changedPassword: false }, "new-pass", "aA123456")).toBe("aA123456");
 	});
 });

package/src/market/bootstrap.ts

@@ -39,7 +39,7 @@ import { publishPackage } from "./publish";
 // 种子管理员 = superadmin：模板 seed 账号名=角色名（3d93063f 起 admin 被幂等解绑 superadmin
 // 角色），写 market 安全设置要求 actor 持 superadmin 角色——用 admin 会 403（2026-10-23 演练实踩）。
 const SEED_ADMIN_USER = "superadmin";
-const SEED_ADMIN_PASS = "123456";
+const SEED_ADMIN_PASS = "aA123456";
 
 /** Ed25519 PKCS#8 DER 前缀（RFC 8410 固定头；与 gen-signed-fixtures.mjs 同一手法） */
 const ED25519_PKCS8_PREFIX = "302e020100300506032b657004220420";

package/templates/README.md

@@ -11,7 +11,7 @@ pnpm build      # 构建：oj build + 前端全站合并到 dist/web
 pnpm preview    # 预览：oj migrate + server（release 产物）
 ```
 
-登录账号：`admin` / `123456`（见 `api/src/_platform/seed.sql`）。
+登录账号：`admin` / `aA123456`（见 `api/src/_platform/seed.sql`）。
 
 ## 系统管理模块
 

package/templates/config.yaml

@@ -9,7 +9,9 @@
 # 站点挂载：一行 = 一个 URL 前缀 + 一个目录（api/web 二选一）。
 # 这里不放 api 挂载是有意的：本工程是 src/<name>/{api,web} 布局，源码由 ojm dev
 # 以 --module-root src 供给、产物由 ojm preview 以 --api-path dist/api 供给，都不走 mounts。
-# 手写部署（不用 ojm）时才需要加回一条 `- prefix: /api` + `api: dist`。
+# 手写部署（不用 ojm）时才需要加回一条 `- prefix: /api` + `api: dist/api`。
+# 注意：手写部署同时要把下面 platform.root 从 `src` 改成 `dist/api`（二者必须同源），
+# 否则 oj serve 报 `platform.root must be mounted as an api mount`。
 mounts:
   # 本地市场 CDN：直出工程根 cdn/。seed 里 framework.market_cdn_url 缺省就是 /cdn，本站点自供免 setup。
   # 生产删掉这条，并把该设置指向真 CDN（绝对地址）。不能设 spa：缺文件必须 404，
@@ -55,20 +57,33 @@ vars:
   # canonical_origin: "https://your-site.example.com"
 
   # ---- 企业微信代开发（服务商侧，部署级常量）----
-  # 一个部署 = 一个服务商账号下的一套代开发模板，所以这 6 个值是「部署」维度，不进 DB。
+  # 一个部署 = 一个服务商账号下的一套代开发模板，所以这 8 个值是「部署」维度，不进 DB。
   # 「哪个企业装了哪个应用」不写在这里：企微 create_auth 回调推 AuthCode → 换永久授权码 →
   # 落 wecom_app_profile（主键含 agent_id，同一企业测试/正式两个应用天然并存），
   # 新增企业只需企业管理员扫码授权，**不改配置、不重启**。
-  # 六项任一为空 → 企微登录整体 400 拒绝服务（宁可不登录，也不明文存 permanent_code）。
-  #   wecom_suite_id          代开发应用模版 id（企微后台「应用管理 → 代开发」里的 SuiteID）
-  #   wecom_suite_secret      套件密钥（SuiteSecret）
+  # 分三层（来源与必填时序不同，破解「先有 suite 还是先有回调」死锁）：
+  #   · Tier A 本地生成、创建模版前即可配齐：callback_token / encoding_aes_key / enc_key / base_url；
+  #     任一为空 → 启动即 400 拒绝服务（宁可不登录，也不明文存 permanent_code）。
+  #   · Tier B 企微创建模版后下发：suite_id / suite_secret；为空时仍可启动并响应 echostr 验证，
+  #     仅 login/callback/create_auth 等 suite 流程会 400——先配 Tier A 跑通回调、建模版、拿 suite 再补全。
+  #   · Tier C 服务商后台「通用开发参数」页拿（不是企业、也不是 suite）：provider_id / provider_secret；
+  #     只供「生成授权链接」用（get_customized_auth_url 要 provider_access_token）。缺它不影响登录，
+  #     但 /system/wecom 点「生成开通链接」会 400 点名缺这两项。
+  #   wecom_suite_id          代开发应用「模板详情 → 基本信息」页里的「模板ID」（即 SuiteID）；创建模板成功后才出现
+  #   wecom_suite_secret      同页「模板Secret」（即 SuiteSecret，可重置）；不是企业 CorpID/CorpSecret
+  #   wecom_provider_id       服务商的 corpid（服务商自己的，不是企业 corpid）；**位置：服务商后台「服务商信息」页显示的 CorpID**
+  #   wecom_provider_secret   服务商 provider_secret；**位置：服务商后台 → 应用管理 → 通用开发参数（点「编辑」）→ ProviderSecret 字段**，
+  #                           **不在「服务商信息」页**（那里只显示 CorpID），也**不是** suite_secret（suite 那个是另一套）。
   #   wecom_callback_token    「Token」（回调验签用）
   #   wecom_encoding_aes_key  「EncodingAESKey」（43 字符，回调解密用）
   #   wecom_enc_key           permanent_code 落库加密密钥（hex/base64，16 或 32 字节；建议 oj secret keygen）
-  #   wecom_base_url          连接器基址（绝对地址，无尾斜杠），如 https://site.example.com/api/auth/wecom
-  #                           → 企微后台「指令回调URL」填 <base>/event；网页授权 redirect_uri 用 <base>/callback
+  #   wecom_base_url          连接器基址（绝对地址，无尾斜杠，**这是基址、不是回调 URL**），如 https://site.example.com/api/auth/wecom
+  #                           → 企微后台「指令回调URL」填 <base>/event（必须带 /event，裸 <base> 无 handler 会 404）；
+  #                             网页授权 redirect_uri 用 <base>/callback
   wecom_suite_id: ''
   wecom_suite_secret: ''
+  wecom_provider_id: ''
+  wecom_provider_secret: ''
   wecom_callback_token: ''
   wecom_encoding_aes_key: ''
   wecom_enc_key: ''
@@ -77,6 +92,10 @@ vars:
 platform:
   modules: [_platform] # 安装器热更 config 需要 _platform 特权；删了会在装到最后一步报 NotCapable
   root: src # 后端模块源码根（src/<name>/api 的父目录）；preview 派生 config 时改写成 dist
+  # ⚠️ 手写部署（不用 ojm，靠 mounts 起站）时：root 必须等于 api 挂载目录，
+  # 否则 oj serve 直接拒启 `platform.root (…) must be mounted as an api mount`。
+  # 编译产物下把这里改成 `dist/api`（与下面 `- prefix: /api  api: dist/api` 同源）。
+  # ojm dev/preview 不受影响：dev 用 --module-root、preview 派生 config 会重写 root。
   # 信任库默认落在安装子树之外（.solutions/trusted-keys.yaml），第三方方案模块碰不到。
   # U6 加固：第三方模块的 fs 读写范围 = fs.root（= modules/ 安装子树），信任库必须在其外，
   # 否则方案包可写自己的信任锚（伪造签名来源）。部署侧还应补 platform.trusted_paths 授权

package/templates/init.include.yaml

@@ -59,6 +59,8 @@ include:
   - tests/auth-throttle.spec.ts
   - tests/guard.spec.ts
   - tests/l1-builder.test.ts
+  - tests/org-departments.spec.ts
+  - tests/org-read.spec.ts
   - tests/query-utils.spec.ts
   - tests/rbac-audit.spec.ts
   - tests/rbac-contacts.spec.ts
@@ -70,6 +72,16 @@ include:
   - tests/rbac-tables.spec.ts
   - tests/rbac-users.spec.ts
   - tests/seed-role-accounts.spec.ts
+  # 企微连接器与组织同步：源码本就分发（src/auth/api），对应回归也必须跟着走，
+  # 否则用户工程升级后改配置/换套件时没有任何本地自检手段。
+  - tests/wecom-admin.spec.ts
+  - tests/wecom-client-timeout.spec.ts
+  - tests/wecom-connector.spec.ts
+  - tests/wecom-crypt.spec.ts
+  - tests/wecom-endpoints.spec.ts
+  - tests/wecom-landing.spec.ts
+  - tests/wecom-org-sync.spec.ts
+  - tests/wecom-sync.spec.ts
   - tests/lifecycle/atomic-state.spec.ts
   - tests/lifecycle/deploy-smoke.spec.ts
   - tests/lifecycle/migrate.spec.ts