@oj-module/cli 0.2.47 → 0.2.49

package/src/build.ts

@@ -584,6 +584,9 @@ export async function buildBackend(projectRoot: string): Promise<boolean> {
 	// v0.1.85：`--module-root <dir>` 与 `-d` 互斥（都是「源码树根」）。新布局给 src，
 	// oj 在子树内递归找 manifest.yaml（命中 src/<name>/api/manifest.yaml 即停）。
 	const sourceArgs = layout?.moduleRoot ? ["--module-root", layout.moduleRoot] : ["-d", apiSrc];
+	// 出包前先自己确认 config 能读：读不动时 oj build 会静默关掉 sql_guard（见函数注释）
+	if (configArgs.length)
+		assertSealedValuesOpenable(oj, configPath);
 	execFileSync(oj, [
 		"build",
 		...configArgs,
@@ -604,6 +607,53 @@ export async function buildBackend(projectRoot: string): Promise<boolean> {
 	return true;
 }
 
+/**
+ * config 里的密封值（`oj secret seal` 产物）在 build 前试解一把——fail-closed。
+ *
+ * **为什么不能只信 oj 的 warn**：实测（oj 0.1.115）config 读不动时 `oj build` **退出码仍是 0**，
+ * 只往 stderr 甩两行「读配置失败 → 镜像目录回落默认 tasks / 本次 build 按 sql_guard=off 处理」，
+ * 然后照常出包。那两行夹在模块清单里极易被忽略，而关掉的 `sql_guard` 正是 tenant 声明校验
+ * （跨模块 SQL 的唯一守卫）——包看起来完好，检查其实没跑。
+ *
+ * 探法就是 oj 自己的排障命令 `oj secret open`：它和 `oj serve` / `oj build` 用同一套密钥解析
+ * （`OJ_SECRET_KEY` → `OJ_SECRET_KEY_FILE` → config 的 `secrets.private_key_path`），
+ * 解不开就非零退出。明文只可能出现在它的 stdout，这里直接丢弃，不落终端也不落日志。
+ */
+function assertSealedValuesOpenable(oj: string, configPath: string): void {
+	// 注释行不算：config 里留着注释掉的旧密文很常见，naive 匹配会让 build 因为一行 `#` 而失败
+	const live = fs.readFileSync(configPath, "utf-8")
+		.split("\n")
+		.filter(line => !line.trimStart().startsWith("#"))
+		.join("\n");
+	const sealed = [...new Set(live.match(/ENC\[[^\]\n]+\]/g) ?? [])];
+	for (const value of sealed) {
+		try {
+			execFileSync(oj, ["secret", "open", "-c", configPath, value], { stdio: ["ignore", "ignore", "pipe"] });
+		}
+		catch (e) {
+			const stderr = String((e as { stderr?: unknown }).stderr ?? "").trim();
+			const detail = stderr || (e as Error).message;
+			throw new Error(
+				`[ojm] config 里的密封值解不开，已停在出包前：${configPath}\n`
+				+ `      oj 说：${detail}\n`
+				+ "\n"
+				+ "不能放行：oj build 遇到读不动的 config 不会失败（退出码 0），只 warn 两行就继续——\n"
+				+ "tasks 镜像目录回落默认值，sql_guard（tenant 声明校验）直接关掉。那种包看着正常，\n"
+				+ "跨模块 SQL 的守卫却没跑过。\n"
+				+ "\n"
+				+ "两类原因，都修得了：\n"
+				+ "  1) 本机加载的私钥与密封时用的公钥不是一对——最常见是换机器/换部署目录时只带了\n"
+				+ "     config.yaml，没带 config/secrets-private.pem；\n"
+				+ "  2) 密文被改过——手工编辑、复制被截断、编辑器把长行折了。\n"
+				+ "\n"
+				+ "单独验一条：oj secret open -c <config> '<那个 ENC[...] 值>'（成功=这条没问题，失败=就是它）\n"
+				+ "修法：把配对私钥带到本机（OJ_SECRET_KEY / OJ_SECRET_KEY_FILE / config 的 secrets.private_key_path\n"
+				+ "      三选一）；密钥确实换了，就在本机重新 oj secret seal 覆写该值（明文走 stdin，别上命令行）。",
+			);
+		}
+	}
+}
+
 /**
  * 全站合并（仅 `ojm build` 调用，设计 §5）：清场后拷 shell dist 全量，
  * 再由模块构建写入 modules.json 与 modules/。清场防旧哈希资产无限累积

package/src/init.ts

@@ -245,7 +245,7 @@ export async function initProject(destDir: string, opts: InitOptions = {}): Prom
 		console.log(`[ojm]   · 跳过 ${item}`);
 	for (const item of report.warnings)
 		console.warn(`[ojm]   ! ${item}`);
-	console.log("[ojm] 下一步：pnpm install && pnpm dev（登录 superadmin / 123456，角色账号见 devkit 手册 §1.1）");
+	console.log("[ojm] 下一步：pnpm install && pnpm dev（登录 superadmin / aA123456，角色账号见 devkit 手册 §1.1）");
 }
 
 /** 默认密封器：bin/oj secret keygen + seal（失败返回 null，不抛） */

package/src/market/__tests__/bootstrap.test.ts

@@ -120,7 +120,7 @@ describe("given 一个装了 oj 二进制的源工程 When 自举隔离站点",
 		const site = await bootstrapIsolatedSite({ projectRoot: src, starter });
 
 		expect(site.admin.user).toBe("superadmin");
-		expect(site.admin.pass).toBe("123456");
+		expect(site.admin.pass).toBe("aA123456");
 		await site.cleanup();
 	});
 

package/src/market/__tests__/setup.test.ts

@@ -62,7 +62,7 @@ describe("given 站点可直连且凭据未悬挂 When setup", () => {
 		const root = newProject();
 		const site = fakeSite();
 
-		const result = await setupMarketUrl({ projectRoot: root, user: "admin", pass: "123456", siteUrl: "http://127.0.0.1:9778", fetchFn: site.fetchFn });
+		const result = await setupMarketUrl({ projectRoot: root, user: "admin", pass: "aA123456", siteUrl: "http://127.0.0.1:9778", fetchFn: site.fetchFn });
 
 		expect(result.cdnBaseUrl).toBe("http://127.0.0.1:9778/cdn");
 		const put = site.calls.find(c => c.url.endsWith("/api/system/settings"))!;
@@ -77,12 +77,12 @@ describe("given seed admin 处于 must_change 悬挂期 When setup", () => {
 		const root = newProject();
 		const site = fakeSite({ restricted: true });
 
-		const result = await setupMarketUrl({ projectRoot: root, user: "admin", pass: "123456", newPass: "newpass-123", siteUrl: "http://127.0.0.1:9778", fetchFn: site.fetchFn });
+		const result = await setupMarketUrl({ projectRoot: root, user: "admin", pass: "aA123456", newPass: "newpass-123", siteUrl: "http://127.0.0.1:9778", fetchFn: site.fetchFn });
 
 		expect(result.changedPassword).toBe(true);
 		const pwd = site.calls.find(c => c.url.endsWith("/api/auth/password"))!;
 		expect(pwd.method).toBe("PUT");
-		expect(pwd.body).toEqual({ old_password: "123456", new_password: "newpass-123" });
+		expect(pwd.body).toEqual({ old_password: "aA123456", new_password: "newpass-123" });
 		const put = site.calls.find(c => c.url.endsWith("/api/system/settings"))!;
 		expect(put.auth).toBe("Bearer token-full");
 	});
@@ -96,7 +96,7 @@ describe("given 站点不可达 When setup", () => {
 		};
 		const fetchFn = failing as unknown as typeof fetch;
 
-		await expect(setupMarketUrl({ projectRoot: root, user: "admin", pass: "123456", siteUrl: "http://127.0.0.1:9778", fetchFn }))
+		await expect(setupMarketUrl({ projectRoot: root, user: "admin", pass: "aA123456", siteUrl: "http://127.0.0.1:9778", fetchFn }))
 			.rejects
 			.toThrow(/ojm dev/);
 	});
@@ -107,7 +107,7 @@ describe("given 改密后写设置仍被拒 When setup", () => {
 		const root = newProject();
 		const site = fakeSite({ restricted: true, rejectSettings: true });
 
-		await expect(setupMarketUrl({ projectRoot: root, user: "admin", pass: "123456", newPass: "newpass-123", siteUrl: "http://127.0.0.1:9778", fetchFn: site.fetchFn }))
+		await expect(setupMarketUrl({ projectRoot: root, user: "admin", pass: "aA123456", newPass: "newpass-123", siteUrl: "http://127.0.0.1:9778", fetchFn: site.fetchFn }))
 			.rejects
 			.toThrow(/must_change|权限|设置/);
 	});
@@ -115,7 +115,7 @@ describe("given 改密后写设置仍被拒 When setup", () => {
 
 describe("given setup 返回 changedPassword When 选 setup 后的登录口令", () => {
 	it("then 改密已发生用 newPass，未改密用原种子口令（must_change=0 是当前 seed 常态）", () => {
-		expect(loginPasswordAfterSetup({ siteUrl: "", cdnBaseUrl: "", changedPassword: true }, "new-pass", "123456")).toBe("new-pass");
-		expect(loginPasswordAfterSetup({ siteUrl: "", cdnBaseUrl: "", changedPassword: false }, "new-pass", "123456")).toBe("123456");
+		expect(loginPasswordAfterSetup({ siteUrl: "", cdnBaseUrl: "", changedPassword: true }, "new-pass", "aA123456")).toBe("new-pass");
+		expect(loginPasswordAfterSetup({ siteUrl: "", cdnBaseUrl: "", changedPassword: false }, "new-pass", "aA123456")).toBe("aA123456");
 	});
 });

package/src/market/bootstrap.ts

@@ -39,7 +39,7 @@ import { publishPackage } from "./publish";
 // 种子管理员 = superadmin：模板 seed 账号名=角色名（3d93063f 起 admin 被幂等解绑 superadmin
 // 角色），写 market 安全设置要求 actor 持 superadmin 角色——用 admin 会 403（2026-10-23 演练实踩）。
 const SEED_ADMIN_USER = "superadmin";
-const SEED_ADMIN_PASS = "123456";
+const SEED_ADMIN_PASS = "aA123456";
 
 /** Ed25519 PKCS#8 DER 前缀（RFC 8410 固定头；与 gen-signed-fixtures.mjs 同一手法） */
 const ED25519_PKCS8_PREFIX = "302e020100300506032b657004220420";

package/templates/README.md

@@ -11,7 +11,7 @@ pnpm build      # 构建：oj build + 前端全站合并到 dist/web
 pnpm preview    # 预览：oj migrate + server（release 产物）
 ```
 
-登录账号：`admin` / `123456`（见 `api/src/_platform/seed.sql`）。
+登录账号：`admin` / `aA123456`（见 `api/src/_platform/seed.sql`）。
 
 ## 系统管理模块
 

package/templates/init.include.yaml

@@ -59,6 +59,8 @@ include:
   - tests/auth-throttle.spec.ts
   - tests/guard.spec.ts
   - tests/l1-builder.test.ts
+  - tests/org-departments.spec.ts
+  - tests/org-read.spec.ts
   - tests/query-utils.spec.ts
   - tests/rbac-audit.spec.ts
   - tests/rbac-contacts.spec.ts
@@ -70,6 +72,16 @@ include:
   - tests/rbac-tables.spec.ts
   - tests/rbac-users.spec.ts
   - tests/seed-role-accounts.spec.ts
+  # 企微连接器与组织同步：源码本就分发（src/auth/api），对应回归也必须跟着走，
+  # 否则用户工程升级后改配置/换套件时没有任何本地自检手段。
+  - tests/wecom-admin.spec.ts
+  - tests/wecom-client-timeout.spec.ts
+  - tests/wecom-connector.spec.ts
+  - tests/wecom-crypt.spec.ts
+  - tests/wecom-endpoints.spec.ts
+  - tests/wecom-landing.spec.ts
+  - tests/wecom-org-sync.spec.ts
+  - tests/wecom-sync.spec.ts
   - tests/lifecycle/atomic-state.spec.ts
   - tests/lifecycle/deploy-smoke.spec.ts
   - tests/lifecycle/migrate.spec.ts