@oj-module/cli 0.2.49 → 0.2.50

package/templates/src/auth/api/_shared/wecom/store.ts

@@ -7,7 +7,7 @@
 //
 // permanent_code（= 代开发应用的 secret，全 corp 数据权限）只以 AES-GCM 密文落库（§7.5），
 // 加解密经 deps 注入：Node 侧测试用假实现，运行时走 crypto.aesGcmEncrypt/Decrypt。
-import type { WecomConfig } from "./config";
+import type { WecomBase, WecomKind } from "./config";
 
 export interface WecomStoreDeps {
 	encrypt: (plain: string) => string
@@ -26,6 +26,13 @@ export interface AppProfile {
 	env: string
 	corpName: string | null
 	status: "active" | "disabled"
+	/**
+	 * 这一行的凭据来源（0003 列）。**不是标签，是语义**：
+	 *   · suite 行由 create_auth 写入，permanent_code 里是代开发换来的 secret；
+	 *   · corp 行由「验证并接入」写入，里面是应用详情页的 Secret（suite_id 为空串）。
+	 * 同一 corp_id 两行共存时，靠它决定「取消代开发授权该停哪一行」。
+	 */
+	credentialKind: WecomKind
 	permanentCode: string
 	/** 0=管理员授权 / 1=成员授权（成员授权下应用无任何部门权限，组织架构同步必然 60011，§2.3） */
 	authMode: number
@@ -92,6 +99,30 @@ export function corpAgentScope(corpId: string, agentId: string) {
 	};
 }
 
+/**
+ * 企业范围 + 可选的来源过滤。
+ *
+ * 共存部署里**同一家**企业可能同时有代开发行与自建行（迁移期最常见），而「取消代开发授权」
+ * 「复核授权模式」「找 secret」这三件事都只对 suite 行成立。不传 kind = 不过滤（保持
+ * 单来源部署的原行为，`suite_id` 主键天然只有一类行）。
+ */
+function corpKindScope(corpId: string, kind?: WecomKind) {
+	const base = corpScope(corpId);
+	if (!kind)
+		return base;
+	return {
+		and: [
+			base,
+			{ field: "credential_kind", op: "eq", value: kind },
+		],
+	};
+}
+
+/** 行 → 来源（库里的列是 text；只有明确写了 corp 才算自建，其余按代开发） */
+function kindOfRow(r: Record<string, unknown>): WecomKind {
+	return String(r.credential_kind) === "corp" ? "corp" : "suite";
+}
+
 /**
  * 吊销某租户的全部会话（refresh token）。
  *
@@ -121,6 +152,9 @@ export async function saveProfile(p: Omit<AppProfile, "status"> & { status?: App
 		env: p.env,
 		corp_name: p.corpName,
 		status: p.status ?? "active",
+		// 来源同时落在两处：主键里的 suite_id（corp 行为空串）与这一列（可读、可过滤）。
+		// 更新路径也写：存量 suite 行被 corp 接入覆盖时（人工导错）不该留着旧标注。
+		credential_kind: p.credentialKind,
 		permanent_code_enc: deps.encrypt(p.permanentCode),
 		// 授权模式是「该企业应用能不能做组织架构同步」的判据（§2.3）；重授权时必须跟着刷新
 		auth_mode: Number(p.authMode ?? 0),
@@ -146,9 +180,12 @@ export async function saveProfile(p: Omit<AppProfile, "status"> & { status?: App
 /**
  * 按企业代码找应用。`agentId` 为空时要求该企业只有一个启用中的应用。
  * 「企业不存在」与「已停用」返回**同一条文案**（§5.3 枚举风险：不让外部探测哪些企业装过）。
+ *
+ * `agentId` 已唯一确定一行（主键第三段），所以 `kind` 只是**加一层保险**：
+ * 事件路径知道自己验签过的是哪套凭据，带上它就不会在同名 agent 撞车时取错 secret。
  */
-export async function findProfile(corpId: string, agentId: string | null, deps: WecomStoreDeps): Promise<AppProfile> {
-	const rows = await db.table("wecom_app_profile").select(["*"]).where(corpScope(corpId)).all() as Array<Record<string, unknown>>;
+export async function findProfile(corpId: string, agentId: string | null, deps: WecomStoreDeps, kind?: WecomKind): Promise<AppProfile> {
+	const rows = await db.table("wecom_app_profile").select(["*"]).where(corpKindScope(corpId, kind)).all() as Array<Record<string, unknown>>;
 	const active = rows.filter(r => String(r.status) === "active");
 	const picked = agentId ? active.filter(r => String(r.agent_id) === agentId) : active;
 	if (picked.length === 0)
@@ -157,13 +194,14 @@ export async function findProfile(corpId: string, agentId: string | null, deps:
 		fail(400, "该企业开通了多个应用，登录链接必须带 agent 参数");
 	const r = picked[0]!;
 	return {
-		suiteId: String(r.suite_id),
+		suiteId: String(r.suite_id ?? ""),
 		corpId: String(r.corp_id),
 		authCorpId: r.auth_corp_id == null ? String(r.corp_id) : String(r.auth_corp_id),
 		agentId: String(r.agent_id),
 		env: r.env == null ? "prod" : String(r.env),
 		corpName: r.corp_name == null ? null : String(r.corp_name),
 		status: String(r.status) === "disabled" ? "disabled" : "active",
+		credentialKind: kindOfRow(r),
 		permanentCode: deps.decrypt(String(r.permanent_code_enc)),
 		authMode: Number(r.auth_mode ?? 0),
 	};
@@ -174,6 +212,8 @@ export interface ProfileProbe {
 	agentId: string
 	authMode: number
 	status: AppProfile["status"]
+	/** 来源：corp 行没有「授权模式」概念，页面不该给它画成员授权卡片 */
+	credentialKind: WecomKind
 }
 
 /**
@@ -186,8 +226,8 @@ export interface ProfileProbe {
  * 选中口径与 `findProfile` 对齐（优选启用中的应用；全停用时退回停用行，让页面能画
  * 「已取消授权」冻结态），只多一条：没有启用应用时也返回，而不是 400。
  */
-export async function probeProfile(corpId: string, agentId: string | null): Promise<ProfileProbe | null> {
-	const rows = await db.table("wecom_app_profile").select(["agent_id", "auth_mode", "status"]).where(corpScope(corpId)).all() as Array<Record<string, unknown>>;
+export async function probeProfile(corpId: string, agentId: string | null, kind?: WecomKind): Promise<ProfileProbe | null> {
+	const rows = await db.table("wecom_app_profile").select(["agent_id", "auth_mode", "status", "credential_kind"]).where(corpKindScope(corpId, kind)).all() as Array<Record<string, unknown>>;
 	if (rows.length === 0)
 		return null;
 	const active = rows.filter(r => String(r.status) === "active");
@@ -202,12 +242,17 @@ export async function probeProfile(corpId: string, agentId: string | null): Prom
 		agentId: String(r.agent_id),
 		authMode: Number(r.auth_mode ?? 0),
 		status: String(r.status) === "disabled" ? "disabled" : "active",
+		credentialKind: kindOfRow(r),
 	};
 }
 
-/** 停用/解绑：只改状态，不删行（取消授权也要留痕，§7.5 审计） */
-export async function setProfileStatus(corpId: string, status: AppProfile["status"], deps: WecomStoreDeps): Promise<number> {
-	return Number(await db.table("wecom_app_profile").update({ status, update_time: deps.now() }).where(corpScope(corpId)).run());
+/**
+ * 停用/解绑：只改状态，不删行（取消授权也要留痕，§7.5 审计）。
+ * `kind` 缺省 = 该企业的全部行（单来源部署的原行为）；传 `suite` 才是 cancel_auth 该做的——
+ * 代开发被取消授权时不能顺手把同一家企业的自建应用一起停掉。
+ */
+export async function setProfileStatus(corpId: string, status: AppProfile["status"], deps: WecomStoreDeps, kind?: WecomKind): Promise<number> {
+	return Number(await db.table("wecom_app_profile").update({ status, update_time: deps.now() }).where(corpKindScope(corpId, kind)).run());
 }
 
 /**
@@ -217,15 +262,19 @@ export async function setProfileStatus(corpId: string, status: AppProfile["statu
  *
  * 一并返回 `corpId`（真实企业 ID）：事件里给的可能是 `AuthCorpId`（第三方体系下是 open_corpid），
  * 而租户键只能用真实 corp_id（D10），故由这里统一把「事件身份 → 租户身份」的翻译交出来。
+ *
+ * `kind` 由**事件入口**传下来（本次验签命中的是哪套凭据）：同一家企业双应用时，
+ * 取错 kind 就会拿另一套 secret 去换 token，症状是 40001 而不是「配置错了」。
  */
-export async function findCorpAuth(corpId: string, deps: WecomStoreDeps): Promise<{ corpId: string, permanentCode: string, agentIds: string[] } | null> {
-	const rows = await db.table("wecom_app_profile").select(["corp_id", "agent_id", "permanent_code_enc"]).where(corpScope(corpId)).all() as Array<Record<string, unknown>>;
+export async function findCorpAuth(corpId: string, deps: WecomStoreDeps, kind?: WecomKind): Promise<{ corpId: string, permanentCode: string, agentIds: string[], credentialKind: WecomKind } | null> {
+	const rows = await db.table("wecom_app_profile").select(["corp_id", "agent_id", "permanent_code_enc", "credential_kind"]).where(corpKindScope(corpId, kind)).all() as Array<Record<string, unknown>>;
 	if (rows.length === 0)
 		return null;
 	return {
 		corpId: String(rows[0]!.corp_id),
 		permanentCode: deps.decrypt(String(rows[0]!.permanent_code_enc)),
 		agentIds: rows.map(r => String(r.agent_id)),
+		credentialKind: kindOfRow(rows[0]!),
 	};
 }
 
@@ -286,7 +335,7 @@ export async function claimLoginTicket(ticketHash: string, deps: WecomStoreDeps)
 }
 
 /** 运行时依赖：密钥取自部署常量，加密原语取自 oj 运行时全局 */
-export function runtimeStoreDeps(cfg: WecomConfig): WecomStoreDeps {
+export function runtimeStoreDeps(cfg: WecomBase): WecomStoreDeps {
 	return {
 		encrypt: (plain: string) => crypto.aesGcmEncrypt(plain, cfg.encKey),
 		decrypt: (blob: string) => crypto.aesGcmDecrypt(blob, cfg.encKey),

package/templates/src/auth/api/_shared/wecom/sync.ts

@@ -15,6 +15,7 @@
 //     致命类计入熔断（连续 FATAL_LIMIT 次 → job failed）；
 //   · 错误落库只存脱敏结构（`{errcode, phase, deptId, at}`）：异常原文里可能夹带 URL 上的 token。
 import type { WecomClient, WecomMember } from "./client";
+import type { WecomKind } from "./config";
 import type { ProfileProbe } from "./store";
 
 import { markSeen, reconcileHidden, upsertDepartment } from "#/_platform/_shared/service/domain/org";
@@ -75,10 +76,17 @@ export interface SyncJobView {
 export interface SyncView extends SyncJobView {
 	/** 本站是否装过企微（有授权记录，含已停用）——false 时页面整条不显示 */
 	connected: boolean
-	/** 0=管理员授权 / 1=成员授权（1 时任何通讯录调用都是 60011，同步入口直接拒绝） */
+	/** 0=管理员授权 / 1=成员授权（1 时任何通讯录调用都是 60011，同步入口直接拒绝）；自建行恒 0 */
 	authMode: number
 	/** 授权记录的应用状态；disabled = 已取消授权/被停用，同步冻结但数据保留（§7 黄条） */
 	profileStatus: "active" | "disabled" | null
+	/**
+	 * 本次解析到的应用 id：**多应用/共存企业的分辨锚点**。
+	 * 前端 start / cancel / status 必须原样回传，否则同一家企业两行档案时后端只能 400「必须带 agent」。
+	 */
+	agentId: string | null
+	/** 凭据来源：corp 行没有「授权模式」概念，页面不该给它画成员授权卡片 */
+	credentialKind: WecomKind | null
 }
 
 export interface SyncDeps {
@@ -191,6 +199,8 @@ export function attachProfile(view: SyncJobView, probe: ProfileProbe | null): Sy
 		connected: probe !== null,
 		authMode: probe?.authMode ?? 0,
 		profileStatus: probe?.status ?? null,
+		agentId: probe?.agentId ?? null,
+		credentialKind: probe?.credentialKind ?? null,
 	};
 }
 

package/templates/src/auth/api/migrations/0003__credential_kind.mysql.sql

@@ -0,0 +1,3 @@
+-- 应用来源（0003）mysql 方言覆盖（方言覆盖必胜，通用兜底；oj-bin docs/migration.md §3.1）。
+-- 差异：MySQL 的 TEXT 不能带 DEFAULT，故收窄为 VARCHAR(16)。
+ALTER TABLE wecom_app_profile ADD COLUMN credential_kind VARCHAR(16) NOT NULL DEFAULT 'suite';

package/templates/src/auth/api/migrations/0003__credential_kind.pg.sql

@@ -0,0 +1,3 @@
+-- 应用来源（0003）pg 方言覆盖（方言覆盖必胜，通用兜底；oj-bin docs/migration.md §3.1）。
+-- 差异：TEXT 在 pg 合法且可带 DEFAULT，与通用文件同形。
+ALTER TABLE wecom_app_profile ADD COLUMN credential_kind TEXT NOT NULL DEFAULT 'suite';

package/templates/src/auth/api/migrations/0003__credential_kind.sql

@@ -0,0 +1,9 @@
+-- 应用来源（0003）：suite = 代开发（服务商模板授权） / corp = 企业内部应用（自建应用）。
+--
+-- 为什么必须有这一列，而不是靠 `suite_id = ''` 推断：
+--   · 查询要按来源筛（取消代开发授权不能顺手停掉同一家企业自建应用的档案）、后台要按来源展示；
+--   · 空串是「主键里塞了一个隐式语义」，任何一次手写 SQL 漏判都会把两类行混在一起；
+--   · 将来若做「同一企业双应用」，区分只能靠列，不能靠约定。
+--
+-- 现有行全部是代开发授权产生的，故 DEFAULT 'suite' 即正确的历史归属。
+ALTER TABLE wecom_app_profile ADD COLUMN credential_kind TEXT NOT NULL DEFAULT 'suite';

package/templates/src/auth/api/schema.yaml

@@ -23,6 +23,8 @@ tables:
       status: {type: text, null: false}
       # permanent_code（= 代开发应用的 secret）的 AES-GCM 密文，禁止明文落库
       permanent_code_enc: {type: text, null: false}
+      # 应用来源（0003）：suite=代开发 / corp=企业内部应用（自建）。取消代开发授权只停 suite 行
+      credential_kind: {type: text, null: false}
       # 0=管理员授权 / 1=成员授权（0002）：成员授权下应用无任何部门权限，组织架构同步必然 60011
       auth_mode: {type: integer, null: false}
       installed_at: {type: integer, null: false}

package/templates/src/auth/api/wecom/admin/api.ts

@@ -1,17 +1,20 @@
-// 代开发后台（服务商运营面）：GET /auth/wecom/admin/apps · POST /auth/wecom/admin/status · GET /auth/wecom/admin/install
+// 企微后台：GET /auth/wecom/admin/apps · POST /auth/wecom/admin/status · GET /auth/wecom/admin/install
+//          · GET /auth/wecom/admin/overview · POST /auth/wecom/admin/connect
 //
-// 权限：仅超级管理员（`assertSuperAdmin`）。这三件事都是**跨租户**的站点级操作
-// （看所有已授权企业、停用某企业、生成安装链接），不是某个租户的管理员能做的；
-// 用 `assertSystemAdmin` 会把 admin 也放进来，而 admin 属于某个租户，等于让他看别家企业的 corp_id。
+// 权限：仅超级管理员（`assertSuperAdmin`）。这几件事都是**跨租户**的站点级操作
+// （看所有已授权企业、停用某企业、生成安装链接、把本企业自建应用接进来），不是某个租户的
+// 管理员能做的；用 `assertSystemAdmin` 会把 admin 也放进来，而 admin 属于某个租户，
+// 等于让他看别家企业的 corp_id。
 //
-// 三个端点都不挂在 `tenant.anonymous_paths` 里：它们是正常登录后的管理面，必须带租户头，
+// 这些端点都不挂在 `tenant.anonymous_paths` 里：它们是正常登录后的管理面，必须带租户头，
 // 也就不会走 `db.asTenant`（见 _shared/wecom/admin.ts 头注释第 2 点）。
 import { respond } from "#/_platform/_shared/respond";
 import { assertSuperAdmin } from "#/_platform/_shared/service/infra/access";
 import { recordOp } from "#/_platform/_shared/service/infra/audit";
-import { createInstall, listApps, setAppStatus } from "../../_shared/wecom/admin";
+import { connectCorp, createInstall, listApps, setAppStatus } from "../../_shared/wecom/admin";
 import { createWecomClient, runtimeCache, runtimeHttp } from "../../_shared/wecom/client";
-import { readWecomConfig } from "../../_shared/wecom/config";
+import { configuredKinds, corpIdentity, eventUrlOf, readBase, readCorpConfig, readSuiteConfig, wecomKinds } from "../../_shared/wecom/config";
+import { runtimeStoreDeps } from "../../_shared/wecom/store";
 
 /** 清单：已授权企业 × 应用（不含 permanent_code，secret 不出库） */
 async function get() {
@@ -24,7 +27,7 @@ get.response = {
 	type: "array",
 	items: {
 		type: "object",
-		required: ["suite_id", "corp_id", "agent_id", "auth_corp_id", "env", "status", "auth_mode", "installed_at", "update_time"],
+		required: ["suite_id", "corp_id", "agent_id", "auth_corp_id", "env", "status", "credential_kind", "auth_mode", "installed_at", "update_time"],
 		properties: {
 			suite_id: { type: "string" },
 			corp_id: { type: "string" },
@@ -33,7 +36,9 @@ get.response = {
 			env: { type: "string" },
 			corp_name: { type: ["string", "null"] },
 			status: { type: "string", enum: ["active", "disabled"] },
-			// 权限三态（管理员授权 / 成员授权）——服务商一眼看出哪家企业「装了但同步不了」
+			// 来源：代开发 / 企业内部应用（自建）。同一家企业可能两行都有（迁移期）
+			credential_kind: { type: "string", enum: ["suite", "corp"] },
+			// 权限三态（管理员授权 / 成员授权）——服务商一眼看出哪家企业「装了但同步不了」；自建行恒 0
 			auth_mode: { type: "number" },
 			installed_at: { type: "number" },
 			update_time: { type: "number" },
@@ -41,6 +46,62 @@ get.response = {
 	},
 };
 
+const overview = {
+	/**
+	 * 部署概览：后台页据此决定画哪几张卡片、回调地址填什么。
+	 *
+	 * `configError` 而不是直接 400：配错时最需要页面把「配了什么、缺什么」摆出来，
+	 * 抛错只会让管理员看到一片空白加一行红字。
+	 *
+	 * 形态必须是 `{ get }` 组而不是裸函数：oj 的路由表按「组名 = 路径段 + 动词」生成，
+	 * 根层裸函数不产生路由（`ojm api --check` 会报「oj 树缺少 handler」）。
+	 */
+	async get() {
+		await respond(async () => {
+			await assertSuperAdmin();
+			let configError: string | null = null;
+			try {
+				wecomKinds();
+			}
+			catch (e) {
+				configError = (e as Error).message;
+			}
+			let callbackUrl: string | null = null;
+			try {
+				callbackUrl = eventUrlOf(readBase());
+			}
+			catch {
+				// 基址没配：页面要能把「还差 wecom_base_url」显示出来，而不是整页失败
+				callbackUrl = null;
+			}
+			const self = corpIdentity();
+			return {
+				kinds: configuredKinds(),
+				configError,
+				callbackUrl,
+				corpId: self?.corpId ?? null,
+				agentId: self?.agentId ?? null,
+				corpCallbackConfigured: self?.hasCallback ?? false,
+			};
+		});
+	},
+};
+overview.get.response = {
+	type: "object",
+	required: ["kinds", "configError", "callbackUrl", "corpId", "agentId", "corpCallbackConfigured"],
+	properties: {
+		kinds: { type: "array", items: { type: "string", enum: ["suite", "corp"] } },
+		// 部署配置自检的结论（null = 无问题）：共存没显式开启、两套都缺等
+		configError: { type: ["string", "null"] },
+		// 回调地址：代开发填「指令回调」，自建填「通讯录同步 → 接收事件服务器」，同一个 URL
+		callbackUrl: { type: ["string", "null"] },
+		corpId: { type: ["string", "null"] },
+		agentId: { type: ["string", "null"] },
+		// 自建应用的回调凭据是否配齐（不配 = 没有事件增量，全量同步照常）
+		corpCallbackConfigured: { type: "boolean" },
+	},
+};
+
 const status = {
 	// 启停某个企业的一个应用。停用是安全动作：企业整体停用时同步吊销其会话（见 admin.ts）。
 	async post() {
@@ -100,7 +161,7 @@ const install = {
 	async get() {
 		await respond(async () => {
 			await assertSuperAdmin();
-			const cfg = readWecomConfig();
+			const cfg = readSuiteConfig();
 			const state = String((http.query as Record<string, unknown>)?.state ?? "").trim();
 			return createInstall(
 				cfg,
@@ -120,4 +181,44 @@ install.get.response = {
 	},
 };
 
-export default { apps: { get }, status, install };
+const connect = {
+	// 自建应用没有 `create_auth` 回调：档案行只能由这里显式写入（四步校验全过才落库，见 admin.ts）。
+	// 幂等：重复点 = 重写密文 + 清 token 缓存——**换过 Secret 必须重新点**，页面要把这句写出来。
+	// 没配 corp 凭据的部署点这里直接 400：不写「空 suite_id 的怪档案」，那会让清单多一行查不出用途的行。
+	async post() {
+		await respond(async () => {
+			await assertSuperAdmin();
+			if (!configuredKinds().includes("corp"))
+				throw Object.assign(new Error("本部署未配置企业内部应用凭据（wecom_corp_id / wecom_corp_secret / wecom_corp_agent_id）"), { status: 400 });
+			const cfg = readCorpConfig();
+			const result = await connectCorp(
+				cfg,
+				createWecomClient({ http: runtimeHttp(), cache: runtimeCache() }),
+				runtimeStoreDeps(cfg),
+			);
+			await recordOp({
+				action: "wecom.admin.connect",
+				module: "auth",
+				target: result.corpId,
+				detail: { agentId: result.agentId, departments: result.departments, members: result.members },
+				// 接入 = 建立一条新的身份来源，属站点级配置变更
+				level: 2,
+			});
+			return result;
+		});
+	},
+};
+connect.post.response = {
+	type: "object",
+	required: ["corpId", "agentId", "departments", "members"],
+	properties: {
+		corpId: { type: "string" },
+		agentId: { type: "string" },
+		// 可见范围内的部门数：远小于预期 = 应用可见范围没设全公司
+		departments: { type: "number" },
+		// 示例部门读到的人数：0 不会返回（校验失败），>0 才是「通讯录权限真的通了」
+		members: { type: "number" },
+	},
+};
+
+export default { apps: { get }, overview, status, install, connect };