@oj-module/cli 0.2.49 → 0.2.50

package/templates/src/auth/api/_shared/wecom/config.ts

@@ -1,15 +1,27 @@
-// 企微代开发「服务商侧」部署常量（config `vars:` 段，不进 DB、不进 sys_setting）。
+// 企微连接器的部署常量（config `vars:` 段，不进 DB、不进 sys_setting）。
 //
-// 多租户动态性边界：**套件（suite）是部署级的**——一个部署 = 一个服务商账号下的一套代开发模板
-// （suite_id/suite_secret/callback token/EncodingAESKey 全在这套模板的后台里）。
-// 「哪个企业装了哪个应用」不写配置：企微 create_auth 回调推 AuthCode → 换 permanent_code →
-// 落 wecom_app_profile，新增企业只需企业管理员扫码授权，**不改配置、不重启**。
-// 同一企业两个应用（测试/正式）也无需改配置：profile 主键含 agent_id（D5）。
+// **两种应用来源，可同时启用**（docs/plans/20261101-2044-wecom-internal-app-plan.md §4.10）：
+//   · suite（代开发）：一个部署 = 一个服务商账号下的一套代开发模板。凭据是 suite_id/suite_secret，
+//     「哪个企业装了哪个应用」不写配置：create_auth 回调推 AuthCode → 换 permanent_code →
+//     落 wecom_app_profile，新增企业只需扫码授权，**不改配置、不重启**。
+//   · corp（企业内部应用 / 自建应用）：一套部署 = 一家企业，凭据是 corpid + 应用 Secret + AgentId。
+//     没有套件流程，也没有开通链接；档案行由后台「验证并接入」写入。
+//
+// 两套的来源不同但**企业侧数据链路完全相同**：代开发的 permanent_code 就是当 corpsecret 用的，
+// 所以下面凡是「拿企业 token / 读通讯录 / 换 userid」的代码都只有一份实现。
+//
+// 回声（业务上最容易混）：
+//   · `wecom_callback_token` / `wecom_encoding_aes_key` = 代开发**指令回调**那一组（服务商后台填）；
+//   · `wecom_corp_callback_token` / `wecom_corp_encoding_aes_key` = 自建应用**通讯录同步 → 接收事件服务器**
+//     那一组（企业管理员在自己后台填）。两组不同源，不能互相顶替。
 //
 // 与 ldap 同口径：启用开关走 sys_setting（`wecom.enabled`），凭据走部署常量。
 
 import { b64ToBytes } from "./crypt";
 
+/** 应用来源：代开发（套件） / 企业内部应用（自建） */
+export type WecomKind = "suite" | "corp";
+
 /**
  * 回调引导配置（Tier A）：echostr URL 验证 + 永久码落库加密所需的全部凭据。
  * 这四项**全部由部署方在本地生成**，与企业微信无关——所以可以在「创建代开发模版 / 拿到
@@ -21,12 +33,12 @@ export interface WecomCallbackConfig {
 	token: string
 	/** 回调加密密钥（43 字符 EncodingAESKey） */
 	encodingAesKey: string
-	/** AES-GCM 落库密钥（hex/base64，16 或 32 字节）：加密 permanent_code/secret */
+	/** AES-GCM 落库密钥（hex/base64，16 或 32 字节）：加密永久码 / 应用 Secret */
 	encKey: string
 	/**
 	 * 连接器基址（绝对地址，无尾斜杠），如 `https://site.example.com/api/auth/wecom`。
 	 * 两个派生地址都由它拼出，避免「同一件事配两处、改一处漏一处」：
-	 *   · 指令回调 URL = `<base>/event` → **原样填进企微后台**（须逐字一致，含协议与路径）
+	 *   · 回调 URL = `<base>/event` → **原样填进企微后台**（须逐字一致，含协议与路径）
 	 *   · 网页授权 redirect_uri = `<base>/callback`
 	 */
 	baseUrl: string
@@ -51,6 +63,61 @@ export interface WecomConfig extends WecomCallbackConfig {
 	providerSecret: string
 }
 
+/**
+ * 企业内部应用（自建应用）的部署常量。
+ *
+ * 一套部署只服务一家企业——这是产品定位而非技术妥协：凭据是「企业 × 应用」维度的，
+ * 进配置就意味着单企业；多企业共用一套部署的需求由代开发承担（扫码即装）。
+ */
+export interface WecomCorpConfig {
+	/** 企业 ID（企微后台「我的企业 → 企业信息 → 企业ID」），同时是租户键 */
+	corpId: string
+	/** 应用 Secret（应用详情页）——换过必须重新走「验证并接入」 */
+	corpSecret: string
+	/** 应用 AgentId（应用详情页） */
+	agentId: string
+	/** 通讯录同步「接收事件服务器」的 Token（不配 = 不做事件增量） */
+	callbackToken: string
+	/** 同上 → EncodingAESKey */
+	encodingAesKey: string
+	encKey: string
+	baseUrl: string
+}
+
+/** 与来源无关的两项：登录/同步/回跳都只需要它们 */
+export interface WecomBase {
+	encKey: string
+	baseUrl: string
+}
+
+/** 一次性读出全部部署常量（未 trim 的尾斜杠在此归一） */
+function readWecomVars() {
+	return {
+		token: vars.get("wecom_callback_token") ?? "",
+		encodingAesKey: vars.get("wecom_encoding_aes_key") ?? "",
+		encKey: vars.get("wecom_enc_key") ?? "",
+		baseUrl: (vars.get("wecom_base_url") ?? "").replace(/\/+$/, ""),
+		suiteId: vars.get("wecom_suite_id") ?? "",
+		suiteSecret: vars.get("wecom_suite_secret") ?? "",
+		providerId: vars.get("wecom_provider_id") ?? "",
+		providerSecret: vars.get("wecom_provider_secret") ?? "",
+		corpId: vars.get("wecom_corp_id") ?? "",
+		corpSecret: vars.get("wecom_corp_secret") ?? "",
+		agentId: vars.get("wecom_corp_agent_id") ?? "",
+		corpCallbackToken: vars.get("wecom_corp_callback_token") ?? "",
+		corpEncodingAesKey: vars.get("wecom_corp_encoding_aes_key") ?? "",
+		allowCoexist: vars.get("wecom_allow_coexist") ?? "",
+	};
+}
+
+type WecomVars = ReturnType<typeof readWecomVars>;
+
+/** 与来源无关的两项：登录 / 回跳 / 同步 / 回调验签之外的一切路径都只认它 */
+const REQUIRED_BASE: Array<[keyof WecomBase, string]> = [
+	["encKey", "wecom_enc_key"],
+	["baseUrl", "wecom_base_url"],
+];
+
 // Tier A：部署方本地生成，创建模版前即可配齐（token / EncodingAESKey / 落库密钥 / 基址）。
 const REQUIRED_CALLBACK: Array<[keyof WecomCallbackConfig, string]> = [
 	["token", "wecom_callback_token"],
@@ -66,26 +133,21 @@ const REQUIRED_SUITE: Array<[keyof WecomConfig, string]> = [
 ];
 
 // Tier C：服务商凭证（provider_access_token 源）。**仅「生成授权链接」需要**，不影响
-// login/callback/create_auth 等 suite 流程，故不进 readWecomConfig 的必填集合（readWecomConfig
+// login/callback/create_auth 等 suite 流程，故不进 readSuiteConfig 的必填集合（readSuiteConfig
 // 被登录链路复用，缺 provider 凭证不该让登录 400）。createInstall 单独校验。
 const REQUIRED_PROVIDER: Array<[keyof WecomConfig, string]> = [
 	["providerId", "wecom_provider_id"],
 	["providerSecret", "wecom_provider_secret"],
 ];
 
-/** 一次性读出六处部署常量（未 trim 的尾斜杠在此归一） */
-function readWecomVars(): WecomConfig {
-	return {
-		token: vars.get("wecom_callback_token") ?? "",
-		encodingAesKey: vars.get("wecom_encoding_aes_key") ?? "",
-		encKey: vars.get("wecom_enc_key") ?? "",
-		baseUrl: (vars.get("wecom_base_url") ?? "").replace(/\/+$/, ""),
-		suiteId: vars.get("wecom_suite_id") ?? "",
-		suiteSecret: vars.get("wecom_suite_secret") ?? "",
-		providerId: vars.get("wecom_provider_id") ?? "",
-		providerSecret: vars.get("wecom_provider_secret") ?? "",
-	};
-}
+// 自建应用：三项缺一不可（Secret 换 token，AgentId 既进授权 URL 也进 token 缓存键）。
+// 类型按「变量名」而不是按配置接口来标：`WecomCorpConfig.encodingAesKey` 是**自建应用回调**那把，
+// 而变量里同名字段 `wecom_encoding_aes_key` 是**代开发**那把——按接口标会在这两者之间打错。
+const REQUIRED_CORP: Array<[keyof WecomVars, string]> = [
+	["corpId", "wecom_corp_id"],
+	["corpSecret", "wecom_corp_secret"],
+	["agentId", "wecom_corp_agent_id"],
+];
 
 /**
  * 落库密钥格式校验（fail-fast 在**读配置**处，而不是等 create_auth 时在 crypto 里炸）：
@@ -108,53 +170,201 @@ export function assertEncKey(encKey: string): void {
 		throw Object.assign(new Error("企业微信配置错误：wecom_enc_key 必须是 16 或 32 字节的 hex（32/64 字符）或 base64"), { status: 400 });
 }
 
+/** 缺项文案：一次报全，省掉逐轮补配置的往返 */
+function missingError(names: string[], hint: string): Error {
+	return Object.assign(new Error(`企业微信未配置：config vars 缺少 ${names.join(" / ")}${hint}`), { status: 400 });
+}
+
+function assertBaseUrl(baseUrl: string): void {
+	if (!/^https?:\/\//.test(baseUrl))
+		throw Object.assign(new Error("企业微信配置错误：wecom_base_url 必须是绝对地址（企微回调与 redirect_uri 都要求）"), { status: 400 });
+}
+
 /**
- * 校验服务商凭证（生成授权链接必需）。缺任一即 400 并点名缺哪两项——
- * 区分于 suite 凭证：那是「模版创建后下发」，provider 凭证是「服务商后台通用开发参数」里拿的。
+ * 读与来源无关的两项（落库密钥 + 基址）。
+ *
+ * 登录 / 302 回跳 / 同步只用到这两项，**不该要求 suite 或 corp 的凭据**——这正是两种来源
+ * 能共存的前提：否则自建应用的部署会在「读 wecom_suite_id」处直接 400。
  */
-export function assertProviderConfig(cfg: WecomConfig): void {
-	const missing = REQUIRED_PROVIDER.filter(([field]) => !cfg[field]).map(([, name]) => name);
+export function readBase(): WecomBase {
+	const v = readWecomVars();
+	const missing = REQUIRED_BASE.filter(([field]) => !v[field]).map(([, name]) => name);
 	if (missing.length)
-		throw Object.assign(new Error(`企业微信未配置：生成授权链接需要 ${missing.join(" / ")}（服务商后台「通用开发参数」页获取，与 suite 凭证不同源）`), { status: 400 });
+		throw missingError(missing, "");
+	assertBaseUrl(v.baseUrl);
+	assertEncKey(v.encKey);
+	return { encKey: v.encKey, baseUrl: v.baseUrl };
 }
 
 /**
- * 读 Tier A 凭据（token / aeskey / encKey / baseUrl）。**不依赖 suite 凭据**：这是 echostr
- * URL 验证与永久码落库加密所需的全部东西，部署方本地即可生成。引导期（suite_id 尚未下发）
- * 服务也能靠它启动并响应企微的回调验证（plan §18）。
+ * 读 Tier A 凭据（**代开发**的回调 token / aeskey / 落库密钥 / 基址）。**不依赖 suite 凭据**：
+ * 这是 echostr URL 验证与永久码落库加密所需的全部东西，部署方本地即可生成。引导期（suite_id
+ * 尚未下发）服务也能靠它启动并响应企微的回调验证（plan §18）。
+ *
+ * 缺项校验**不复用 readBase**：那样只会报出最先撞上的那一项，运维得逐轮补配置
+ * （「缺项一次报全」是这套配置体系的既有纪律）。
  */
 export function readCallbackConfig(): WecomCallbackConfig {
 	const v = readWecomVars();
 	const missing = REQUIRED_CALLBACK.filter(([field]) => !v[field]).map(([, name]) => name);
 	if (missing.length)
-		throw Object.assign(new Error(`企业微信未配置：config vars 缺少 ${missing.join(" / ")}`), { status: 400 });
-	if (!/^https?:\/\//.test(v.baseUrl))
-		throw Object.assign(new Error("企业微信配置错误：wecom_base_url 必须是绝对地址（企微回调与 redirect_uri 都要求）"), { status: 400 });
+		throw missingError(missing, "");
+	assertBaseUrl(v.baseUrl);
 	assertEncKey(v.encKey);
 	return { token: v.token, encodingAesKey: v.encodingAesKey, encKey: v.encKey, baseUrl: v.baseUrl };
 }
 
 /**
- * 读完整部署常量。缺任一必需项即 400（「未配置」是运维事实，不是服务端缺陷）。
- * 一次报全 Tier A + Tier B 所有缺失项，省掉逐轮补配置的往返；suite 凭据（Tier B）缺失时
- * 文案点明「由代开发模版创建成功后下发」，避免运维误以为是本地漏配。
+ * 读完整 suite 配置（代开发）。缺任一必需项即 400（「未配置」是运维事实，不是服务端缺陷）。
+ * 一次报全 Tier A + Tier B 所有缺失项；suite 凭据（Tier B）缺失时文案点明「由代开发模版创建成功后
+ * 下发」，避免运维误以为是本地漏配。
  *
  * 注：Tier B 缺失只影响 login/callback/create_auth 等 suite 流程；echostr 验证走
- * `readCallbackConfig()`，不受此约束（见 api.ts::event.get）。
+ * `readCallbackConfig()`，不受此约束。
  */
-export function readWecomConfig(): WecomConfig {
+export function readSuiteConfig(): WecomConfig {
 	const v = readWecomVars();
 	const missing = [...REQUIRED_CALLBACK, ...REQUIRED_SUITE].filter(([field]) => !v[field]).map(([, name]) => name);
 	if (missing.length)
-		throw Object.assign(new Error(`企业微信未配置：config vars 缺少 ${missing.join(" / ")}（suite 凭据由代开发模版创建成功后下发）`), { status: 400 });
-	if (!/^https?:\/\//.test(v.baseUrl))
-		throw Object.assign(new Error("企业微信配置错误：wecom_base_url 必须是绝对地址（企微回调与 redirect_uri 都要求）"), { status: 400 });
+		throw missingError(missing, "（suite 凭据由代开发模版创建成功后下发）");
+	assertBaseUrl(v.baseUrl);
+	assertEncKey(v.encKey);
+	return {
+		token: v.token,
+		encodingAesKey: v.encodingAesKey,
+		encKey: v.encKey,
+		baseUrl: v.baseUrl,
+		suiteId: v.suiteId,
+		suiteSecret: v.suiteSecret,
+		providerId: v.providerId,
+		providerSecret: v.providerSecret,
+	};
+}
+
+/**
+ * 读自建应用配置。回调那两项**不在必填集合**：不配只是没有事件增量，
+ * 全量同步与登录照样能用（见 contacts 的「加速器不是权威」定位）。
+ */
+export function readCorpConfig(): WecomCorpConfig {
+	const v = readWecomVars();
+	const missing = REQUIRED_CORP.filter(([field]) => !v[field]).map(([, name]) => name);
+	if (missing.length)
+		throw missingError(missing, "（自建应用：企业ID / 应用Secret / AgentId，均在企微管理后台取）");
+	assertBaseUrl(v.baseUrl);
 	assertEncKey(v.encKey);
-	return v;
+	return {
+		corpId: v.corpId,
+		corpSecret: v.corpSecret,
+		agentId: v.agentId,
+		callbackToken: v.corpCallbackToken,
+		encodingAesKey: v.corpEncodingAesKey,
+		encKey: v.encKey,
+		baseUrl: v.baseUrl,
+	};
+}
+
+/** 是否显式允许两种来源同时生效 */
+function coexistAllowed(v: WecomVars): boolean {
+	return /^(?:1|true|yes)$/i.test(v.allowCoexist.trim());
+}
+
+/**
+ * 只看「哪套凭据填齐了」，**不做共存校验、不抛错**。
+ * 后台页要能展示「配了什么、还差什么」——配置事故恰恰是最需要它显示清楚的时刻。
+ */
+export function configuredKinds(): WecomKind[] {
+	const v = readWecomVars();
+	const kinds: WecomKind[] = [];
+	if (v.suiteId && v.suiteSecret)
+		kinds.push("suite");
+	if (v.corpId && v.corpSecret && v.agentId)
+		kinds.push("corp");
+	return kinds;
+}
+
+/** 本部署自建应用的三项（后台页展示用；未配齐时为 null） */
+export function corpIdentity(): { corpId: string, agentId: string, hasCallback: boolean } | null {
+	const v = readWecomVars();
+	if (!v.corpId || !v.corpSecret || !v.agentId)
+		return null;
+	return { corpId: v.corpId, agentId: v.agentId, hasCallback: Boolean(v.corpCallbackToken && v.corpEncodingAesKey) };
+}
+
+/**
+ * 本部署已配置的**来源**（凭据齐 = 启用）。这是唯一判定口径，不另设 `wecom_mode`：
+ * 「变量填了没有」是客观事实，不会与运行期实际能力漂移。
+ *
+ * 两种来源都配齐时必须显式 `wecom_allow_coexist: 'true'`——否则 fail-fast。这条不是洁癖：
+ * 两套凭据同时生效会让回调验签多一次尝试、档案里多一类行，配置事故（比如从代开发迁到自建
+ * 却忘了清旧变量）应当被看见，而不是被静默择一。
+ */
+export function wecomKinds(): WecomKind[] {
+	const v = readWecomVars();
+	const kinds = configuredKinds();
+	if (kinds.length === 0) {
+		throw missingError(
+			["wecom_suite_id / wecom_suite_secret", "wecom_corp_id / wecom_corp_secret / wecom_corp_agent_id"],
+			"（二选一：代开发填 suite 两项，企业内部应用填 corp 三项）",
+		);
+	}
+	if (kinds.length > 1 && !coexistAllowed(v))
+		throw missingError(["wecom_allow_coexist: 'true'"], "（检测到代开发与自建应用两套凭据同时配置；确认要共存请显式开启）");
+	return kinds;
+}
+
+/** 一套可用于回调验签的凭据。`receiver` 是明文里的 receiveid（suite=suite_id，corp=corpid） */
+export interface CallbackCreds {
+	kind: WecomKind
+	token: string
+	encodingAesKey: string
+	receiver: string
+}
+
+/**
+ * 列出可用于回调验签的凭据，**按代开发优先**（存量部署行为不变）。
+ *
+ * 两套的 Token/EncodingAESKey 不同源，而验签必须发生在解密之前——所以入口只能逐个试签
+ * （SHA1 一次，成本可忽略），用命中的那把钥匙解密。这比给两种来源各开一条路由更省：
+ * 少一个端点、少一份重复的「验签→重放→解密」接线，且回调地址只有 `/event` 一个。
+ *
+ * **刻意不经过 `wecomKinds()`**：这里列的是「回调钥匙」，不是「启用了哪几种来源」。两者在引导期
+ * 不重合——代开发模版还没建、`suite_id`/`suite_secret` 一项未填，但 Token/EncodingAESKey 已经能填，
+ * 企微正在该 URL 上做保存校验。要是按来源过滤，验证立刻 400，死锁（plan §18）就又回来了。
+ * 所以判据只有一条：**这一组的 token 与 aeskey 是否都填了**。
+ *
+ * 共存守卫单独做：只有**两套身份凭据都齐**（`configuredKinds().length > 1`）才算配置事故，
+ * 引导期的「只有回调钥匙」不算。
+ */
+export function callbackCreds(): CallbackCreds[] {
+	const v = readWecomVars();
+	if (configuredKinds().length > 1 && !coexistAllowed(v))
+		throw missingError(["wecom_allow_coexist: 'true'"], "（检测到代开发与自建应用两套凭据同时配置；确认要共存请显式开启）");
+	const list: CallbackCreds[] = [];
+	if (v.token && v.encodingAesKey)
+		list.push({ kind: "suite", token: v.token, encodingAesKey: v.encodingAesKey, receiver: v.suiteId });
+	if (v.corpCallbackToken && v.corpEncodingAesKey)
+		list.push({ kind: "corp", token: v.corpCallbackToken, encodingAesKey: v.corpEncodingAesKey, receiver: v.corpId });
+	if (list.length === 0) {
+		throw missingError(
+			["wecom_callback_token / wecom_encoding_aes_key", "wecom_corp_callback_token / wecom_corp_encoding_aes_key"],
+			"（回调验签凭据一组都没配；自建应用填「通讯录同步 → 接收事件服务器」那一组）",
+		);
+	}
+	return list;
+}
+
+/**
+ * 校验服务商凭证（生成授权链接必需）。缺任一即 400 并点名缺哪两项——
+ * 区分于 suite 凭证：那是「模版创建后下发」，provider 凭证是「服务商后台通用开发参数」里拿的。
+ */
+export function assertProviderConfig(cfg: WecomConfig): void {
+	const missing = REQUIRED_PROVIDER.filter(([field]) => !cfg[field]).map(([, name]) => name);
+	if (missing.length)
+		throw Object.assign(new Error(`企业微信未配置：生成授权链接需要 ${missing.join(" / ")}（服务商后台「通用开发参数」页获取，与 suite 凭证不同源）`), { status: 400 });
 }
 
 /**
- * 企微后台「指令回调 URL / 应用回调 URL」：原样填这个（base + `/event`）。
+ * 企微后台「指令回调 URL / 通讯录同步接收事件服务器」：原样填这个（base + `/event`）。
  *
  * **不带 `?callback_format=json`**——查过官方文档才这么定的：该参数只在「对外收款」的指令回调
  * 文档（97478）里有说明，而代开发 / 第三方应用所属的**通用回调配置**（96238 §3.2）至今只写
@@ -165,12 +375,12 @@ export function readWecomConfig(): WecomConfig {
  * 代价却是把「企业管理员扫码能否装成功」押在上游实现上。服务端两种包体都认（payload.ts），
  * 上游哪天默认改 JSON 也不用动这里。
  */
-export function eventUrlOf(cfg: WecomConfig): string {
+export function eventUrlOf(cfg: { baseUrl: string }): string {
 	return `${cfg.baseUrl}/event`;
 }
 
 /** 网页授权 redirect_uri（base + /callback） */
-export function loginRedirectOf(cfg: WecomConfig): string {
+export function loginRedirectOf(cfg: { baseUrl: string }): string {
 	return `${cfg.baseUrl}/callback`;
 }
 
@@ -184,7 +394,7 @@ const CONNECTOR_SUFFIX = "/api/auth/wecom";
  * 回跳到 `/login` 会打到宿主机根的别的应用（或 404）。前缀不另配一个变量——它就等于
  * `wecom_base_url` 去掉本连接器的固定后缀，配一处即可，且不匹配时**报错**而不是猜。
  */
-export function siteRootOf(cfg: WecomConfig): string {
+export function siteRootOf(cfg: { baseUrl: string }): string {
 	const url = new URL(cfg.baseUrl);
 	const path = url.pathname.replace(/\/+$/, "");
 	if (!path.endsWith(CONNECTOR_SUFFIX))

package/templates/src/auth/api/_shared/wecom/contacts.ts

@@ -1,4 +1,5 @@
 import type { WecomClient, WecomDept } from "./client";
+import type { WecomKind } from "./config";
 import type { MemberDetail } from "./login";
 import type { CallbackFields } from "./payload";
 import type { WecomStoreDeps } from "./store";
@@ -32,6 +33,11 @@ const ORIGIN = "wecom";
 export interface ContactEventDeps {
 	client: WecomClient
 	store: WecomStoreDeps
+	/**
+	 * 本次回调**验签命中的**凭据来源（由入口从 `callbackCreds()` 传下来）。
+	 * 同一家企业可能有代开发行与自建行，取哪一行的 secret 决定这次事件读通讯录能不能成。
+	 */
+	credentialKind: WecomKind
 }
 
 /** 一条事件的执行上下文：企业已授权 → 应用 与 永久码（= 企业应用 secret） */
@@ -73,7 +79,7 @@ export async function handleContactChange(fields: CallbackFields, deps: ContactE
 async function applyChange(changeType: string, corpId: string, fields: CallbackFields, deps: ContactEventDeps): Promise<boolean> {
 	if (!corpId)
 		throw new Error("报文里没有企业身份（ToUserName / AuthCorpId 皆空）");
-	const auth = await findCorpAuth(corpId, deps.store);
+	const auth = await findCorpAuth(corpId, deps.store, deps.credentialKind);
 	if (!auth)
 		throw new Error("该企业未授权本站（wecom_app_profile 无记录）");
 	const ctx: CorpCtx = {

package/templates/src/auth/api/_shared/wecom/events.ts

@@ -59,16 +59,32 @@ async function auditAuth(action: string, corpId: string, detail?: unknown, level
 	}
 }
 
-/** 该 corp 的所有应用都标记为停用，并吊销其租户下的全部会话 */
+/** 该 corp 的代开发应用全部标记为停用；**只有该企业再没有启用中的应用时才吊销会话 */
 async function disableCorp(corpId: string, deps: SuiteEventDeps): Promise<void> {
 	// 取消授权同样是匿名回调：会话清理走裸 SQL，`sql_guard: deny` 下没有租户上下文会被拒——
 	// 而这里拒掉的后果是「旧 refresh 串仍能续命」，属安全红线，故必须绑成功再往下走。
 	ensureTenant(tenantOfCorp(corpId));
-	const rows = await db.table("wecom_app_profile").select(["agent_id"]).where(corpScope(corpId)).all() as Array<{ agent_id: string }>;
+	// 只取 suite 行：共存部署里同一家企业可能还有自建应用，cancel_auth 与它无关（C4）
+	const rows = await db.table("wecom_app_profile").select(["agent_id"]).where({
+		and: [corpScope(corpId), { field: "credential_kind", op: "eq", value: "suite" }],
+	}).all() as Array<{ agent_id: string }>;
 	for (const r of rows)
 		await deps.client.invalidateCorpToken(corpId, String(r.agent_id));
-	await setProfileStatus(corpId, "disabled", deps.store);
-	// 会话必须与授权同频：解绑后旧 refresh 串不得继续换新 access token。
+	await setProfileStatus(corpId, "disabled", deps.store, "suite");
+	await revokeOrKeep(corpId);
+}
+
+/**
+ * 会话与授权同频：解绑后旧 refresh 串不得继续换新 access token。
+ * 但「还有别的应用在用」时不吊销（同 `admin.ts::setAppStatus` 的语义）——否则取消代开发授权
+ * 会把同一家企业自建应用的在线用户一起踢下线。
+ */
+async function revokeOrKeep(corpId: string): Promise<void> {
+	const still = await db.table("wecom_app_profile").select(["agent_id"]).where({
+		and: [corpScope(corpId), { field: "status", op: "eq", value: "active" }],
+	}).all();
+	if (still.length)
+		return;
 	// tenant 条件写死在 SQL 里（不用 truncate：它的清理范围取决于本请求是否已绑过租户），
 	// 取消授权回调是匿名端点，不该依赖那种隐式前提。
 	await revokeTenantSessions(tenantOfCorp(corpId));
@@ -93,6 +109,8 @@ async function applyAuthCode(authCode: string, state: string | null, deps: Suite
 			agentId,
 			env,
 			corpName: granted.corpName,
+			// 来源由这一条路径决定：能走到 create_auth 的只可能是代开发
+			credentialKind: "suite",
 			permanentCode: granted.permanentCode,
 			authMode: granted.authModes[agentId] ?? 0,
 		}, store);
@@ -112,7 +130,8 @@ async function applyAuthCode(authCode: string, state: string | null, deps: Suite
  */
 async function refreshAuthModes(corpId: string, deps: SuiteEventDeps): Promise<void> {
 	try {
-		const auth = await findCorpAuth(corpId, deps.store);
+		// 只对 suite 行成立：自建应用没有「授权模式」这个概念，给它刷 auth_mode 只会写脏数据（C5）
+		const auth = await findCorpAuth(corpId, deps.store, "suite");
 		if (!auth)
 			return;
 		const ticket = await getSuiteTicket(deps.cfg.suiteId, deps.store);
@@ -147,7 +166,7 @@ export async function handleSuiteEvent(payload: unknown, deps: SuiteEventDeps):
 	// 落进 default 只会被记成「不消费的事件」。
 	// 与下面几个分支的不同：通讯录事件失败**不抛**（事件是加速器，重推补不回来，见 contacts.ts）。
 	if (field(fields, "Event") === "change_contact" || infoType === "change_contact")
-		return await handleContactChange(fields, deps);
+		return await handleContactChange(fields, { client: deps.client, store: deps.store, credentialKind: "suite" });
 
 	switch (infoType) {
 		case "suite_ticket": {

package/templates/src/auth/api/_shared/wecom/login.ts

@@ -62,32 +62,40 @@ export function buildAuthorizeUrl(opts: {
 /**
  * 代开发模板常只服务一家企业：登录入口不传 corp 时，从已安装档案自动解析，
  * 让「应用主页」直接填 https://<域名>/login 即可（无需 ${corpid} 占位符，避开企微后台对非法 URL 字符的校验）。
- * agent 未指定且该企业多应用时，取首个活跃应用以 corp 维度授权。
+ *
+ * `self` = 本部署自己那家企业内部应用（`wecom_corp_*` 配了什么）。
+ * 共存部署里必须传：否则别家企业通过代开发装进来的档案会把「本站默认登录哪家企业」淹掉，
+ * 本站自己的 `/login` 反倒回 400「已授权多家企业」。传了就按「自己的企业优先」解析，
+ * 且默认 agent 也来自配置，不再依赖写死的应用 id。
  */
-// 未指定 agent 且多应用时，优先作为默认登录应用的 agent（按部署需要调整）
-const DEFAULT_WECOM_AGENT = "1000059";
+export interface SelfApp {
+	corpId: string
+	agentId: string
+}
 
-export async function resolveWecomProfile(agentId: string | null): Promise<{ corpId: string, agentId: string, env: string }> {
+export async function resolveWecomProfile(agentId: string | null, self?: SelfApp): Promise<{ corpId: string, agentId: string, env: string }> {
 	const rows = await db.table("wecom_app_profile")
 		.select(["corp_id", "agent_id", "env", "status"])
 		.where({ field: "status", op: "eq", value: "active" })
 		.all() as Array<{ corp_id: string, agent_id: string, env: string | null, status: string }>;
 	const active = rows.filter(r => String(r.status) === "active");
 	if (!active.length)
-		throw Object.assign(new Error("尚未完成企业微信授权（无已安装应用档案），请先走「生成开通链接」完成授权"), { status: 400 });
-	const corps = [...new Set(active.map(r => r.corp_id))];
+		throw Object.assign(new Error("尚未完成企业微信接入（无可用应用档案）：代开发请先扫码开通；企业内部应用请在后台点「验证并接入」"), { status: 400 });
+	const pool = self ? active.filter(r => String(r.corp_id) === self.corpId) : active;
+	if (!pool.length)
+		throw Object.assign(new Error("本次部署配置的企业内部应用尚未接入：请在后台点「验证并接入」"), { status: 400 });
+	const corps = [...new Set(pool.map(r => String(r.corp_id)))];
 	if (corps.length > 1 && !agentId)
 		throw Object.assign(new Error("已授权多家企业，请在登录链接带 corp 参数以区分"), { status: 400 });
-	const corpId = corps[0]!;
-	const agents = active.filter(r => r.corp_id === corpId);
-	// 指定 agent 就必须命中，未指定则退到默认 agent / 首个活跃应用（agents 非空：active 已非空且
-	// 至少有一个属于 corpId——corps 就是按 active 的 corp_id 去重出来的）
+	const corpId = self ? self.corpId : corps[0]!;
+	const agents = pool.filter(r => String(r.corp_id) === corpId);
+	// 指定 agent 就必须命中；未指定时：自建应用优先取配置里的 agent，否则取首个活跃应用
 	const pick = agentId
-		? agents.find(a => a.agent_id === agentId)
-		: (agents.find(a => a.agent_id === DEFAULT_WECOM_AGENT) ?? agents[0]);
+		? agents.find(a => String(a.agent_id) === agentId)
+		: (self ? agents.find(a => String(a.agent_id) === self.agentId) : undefined) ?? agents[0];
 	if (!pick)
 		throw Object.assign(new Error("指定的 agent 在该企业中不存在"), { status: 400 });
-	return { corpId: pick.corp_id, agentId: pick.agent_id, env: pick.env == null ? "prod" : String(pick.env) };
+	return { corpId: String(pick.corp_id), agentId: String(pick.agent_id), env: pick.env == null ? "prod" : String(pick.env) };
 }
 
 export async function putLoginState(nonce: string, pending: PendingLogin, cache: WecomCache): Promise<void> {