@oj-module/cli 0.2.50 → 0.2.53

package/templates/src/system/web/locales/zh-CN.json

@@ -228,6 +228,20 @@
 			"connectConfirm": "接入会依次校验：应用 Secret 能否换 token、能否读通讯录、可见范围内能否读到人。改过企业ID / AgentId 或换过 Secret 都必须重新点一次。",
 			"connectOk": "接入成功：可见范围内 {{depts}} 个部门，示例部门 {{members}} 人",
 			"connectHint": "换过应用 Secret 后必须重新「验证并接入」，否则所有调用都会 40001；同步到多少人取决于「应用可见范围」，要全量请设为全公司。"
+		},
+		"tenantAdmin": {
+			"title": "租户管理员",
+			"hint": "每个企业租户（租户键＝企业ID）在开通时会自动建一个 admin 账号，用于管理本租户的组织架构、成员与角色。它是**租户级**管理员，看不到别家企业。初始口令随机且无人知晓——需要接管时由你在这里重设一个已知口令，交给对方后对方首次登录会被强制改密。",
+			"username": "管理员账号",
+			"state": "状态",
+			"exists": "已开通",
+			"missing": "未开通",
+			"action": "操作",
+			"reset": "重设口令",
+			"resetTitle": "重设租户管理员口令",
+			"resetHint": "将重设企业 {{corpId}} 的租户管理员口令。新口令请自行设定并线下告知对方——系统只存 bcrypt，不会也无法回显任何已有口令。重设后对方首次登录必须改密，其旧会话立即失效。",
+			"resetPlaceholder": "新口令（至少 6 位）",
+			"resetOk": "租户管理员口令已重设"
 		}
 	},
 	"err": {

package/templates/src/system/web/pages/users/index.tsx

@@ -19,7 +19,8 @@ type UserRow = SystemUsersGetData[number];
 /**
  * 用户管理（C1）：GET /system/users 列表 + 建号 / 禁用切换 / 重置口令。
  * 本人行禁用一切自操作（后端 assertNotSelf 400 兜底，前端不给会失败的按钮，R3）；
- * 成员资格入口仅 superadmin 可见（成员资格写是 superadmin-only，规格 §4）。
+ * 成员资格入口：superadmin 与 **本租户 admin** 均可见（授予 admin 已下放到租户内，
+ * 但授予 superadmin 仍只许 superadmin——见 domain/users.ts::assertMembershipAllowed）。
  * 部门列标出主部门，顶部可按部门筛选（含子部门）——筛选在前端做，名单本来就是一页全量。
  */
 export default function UsersPage() {
@@ -30,6 +31,8 @@ export default function UsersPage() {
 	const me = useUserStore(s => s.id);
 	const myRoles = useUserStore(s => s.roles);
 	const isSuper = myRoles.includes("superadmin");
+	// 任命本租户管理员已下放到租户内的 admin（提权到 superadmin 仍只许 superadmin）
+	const canManageMembership = isSuper || myRoles.includes("admin");
 
 	const [createOpen, setCreateOpen] = useState(false);
 	const [createForm] = Form.useForm<{ username: string, password: string, displayName?: string, email?: string }>();
@@ -129,9 +132,9 @@ export default function UsersPage() {
 					<Button size="small" disabled={String(row.id) === me} onClick={() => setPwdTarget(row)}>
 						{t("system:users.resetPwd")}
 					</Button>
-					{isSuper
-						? (
-							<Button size="small" type="link" onClick={() => navigate(`/system/users/${row.id}/roles`)}>
+						{canManageMembership
+							? (
+								<Button size="small" type="link" onClick={() => navigate(`/system/users/${row.id}/roles`)}>
 								{t("system:users.membership")}
 							</Button>
 						)

package/templates/src/system/web/pages/users/roles.tsx

@@ -11,9 +11,13 @@ import { explainError, isForbidden } from "../errors";
 import { ForbiddenPanel } from "../forbidden";
 
 /**
- * 成员资格（AC1-7，superadmin-only）：整集替换某用户角色。后端无 GET 单用户端点，
+ * 成员资格（AC1-7）：整集替换某用户角色。后端无 GET 单用户端点，
  * 当前角色从 GET /system/users 列表按 uid 回显；写走 PUT /system/users/roles?uid=。
- * admin（非 superadmin）手输 URL 进入后提交会被 service 层 403 → 页面渲染无权限（§3.2）。
+ *
+ * 可见性已从「superadmin-only」放宽到「本租户 admin 也可以」（见 users/index.tsx 的入口）：
+ * 授予 admin 已下放到租户内，否则企业租户永远配不出管理员（平台 superadmin 因租户
+ * 隔离查不到企业租户的用户）。但 **superadmin 仍只许 superadmin 授**——它握着跨租户
+ * 权限，故这里对非 superadmin 直接把该选项置灰，比让他提交后吃 403 清楚。
  */
 export default function UserRolesPage() {
 	const { t } = useTranslation();
@@ -22,6 +26,8 @@ export default function UserRolesPage() {
 	const { uid } = useParams();
 	const queryClient = useQueryClient();
 	const me = useUserStore(s => s.id);
+	const myRoles = useUserStore(s => s.roles);
+	const isSuper = myRoles.includes("superadmin");
 
 	// null = 尚未改动，回显服务端值；一旦勾选即持本地整集
 	const [selected, setSelected] = useState<string[] | null>(null);
@@ -51,7 +57,12 @@ export default function UserRolesPage() {
 		<Card title={`${t("system:userRoles.title")}: ${user?.username ?? `#${uid}`}`}>
 			<Space direction="vertical">
 				<Checkbox.Group
-					options={(rolesQuery.data ?? []).map(r => ({ label: `${r.name}${r.deprecated ? "（已废弃）" : ""}`, value: r.name }))}
+					options={(rolesQuery.data ?? []).map(r => ({
+						label: `${r.name}${r.deprecated ? "（已废弃）" : ""}`,
+						value: r.name,
+						// 非 superadmin 授不了平台级角色：置灰，提交后 403 太晚也太含糊
+						disabled: r.name === "superadmin" && !isSuper,
+					}))}
 					value={value}
 					onChange={v => setSelected(v)}
 				/>

package/templates/src/system/web/pages/wecom/index.tsx

@@ -1,6 +1,6 @@
 import { request, useUserStore } from "@oj-module/runtime";
 import { useMutation, useQuery, useQueryClient } from "@tanstack/react-query";
-import { Alert, App, Button, Card, Descriptions, Popconfirm, QRCode, Space, Table, Tag, Typography } from "antd";
+import { Alert, App, Button, Card, Descriptions, Input, Modal, Popconfirm, QRCode, Space, Table, Tag, Typography } from "antd";
 import { useEffect, useState } from "react";
 import { useTranslation } from "react-i18next";
 
@@ -47,6 +47,16 @@ interface ConnectResult {
 	members: number
 }
 
+/** GET /auth/wecom/admin/tenant-admin：某企业的租户管理员状态 */
+interface TenantAdminState {
+	corpId: string
+	username: string
+	/** 该租户是否已有一个握着 admin 角色的账号 */
+	exists: boolean
+	/** 是否须改密（开通后恒 true，直到本人改过一次） */
+	mustChange: boolean
+}
+
 /**
  * 端点不在本模块的生成 client 里（`__client` 按模块切分），故直接用 runtime 的 ky 出口。
  * 路径不带前导 `/`：与 request 的 baseURL 拼接口径一致（fetchLogin 同款）。
@@ -80,6 +90,24 @@ async function connectCorp(): Promise<ConnectResult> {
 	return env.data;
 }
 
+async function fetchTenantAdmin(corpId: string): Promise<TenantAdminState> {
+	const env = await request.get("auth/wecom/admin/tenant-admin", { searchParams: { corpId } }).json<{ code: number, data?: TenantAdminState }>();
+	return env.data ?? { corpId, username: "admin", exists: false, mustChange: false };
+}
+
+/**
+ * 重设租户管理员口令。
+ *
+ * 口令**不由系统生成**：让 superadmin 自己输入，他知道这个值 → 直接告知对方即可。
+ * 后端只存 bcrypt，没有任何可逆副本，所以「系统生成后回显」这条路本来也走不通。
+ */
+async function resetTenantAdminPassword(input: { corpId: string, password: string }): Promise<TenantAdminState> {
+	const env = await request.post("auth/wecom/admin/tenant-admin/password", { json: input }).json<{ code: number, data?: TenantAdminState }>();
+	if (!env.data)
+		throw new Error("企业微信未返回重设结果");
+	return env.data;
+}
+
 /**
  * 企微后台（superadmin 独占），两块卡片按「本部署配了哪套凭据」决定显不显示：
  *   · 代开发：已授权企业 × 应用清单、启停、开通入口（点「生成开通链接」→ 后端调
@@ -155,6 +183,74 @@ export default function WecomAdminPage() {
 		onError: e => message.error(explainError(e, t)),
 	});
 
+	// 企业清单按 corp_id 去重：租户键就是 corp_id，同一企业的多个应用共用一个租户管理员
+	const corps = [...new Map((appsQuery.data ?? []).map(r => [r.corp_id, { corpId: r.corp_id, name: r.corp_name }])).values()];
+
+	// 租户管理员状态：一个企业一条查询并并发取（企业数量级很小，不值得为它加批量端点）
+	const tenantAdminQuery = useQuery({
+		queryKey: ["system", "wecom-tenant-admin", corps.map(c => c.corpId).join(",")],
+		queryFn: async () => {
+			const out: Record<string, TenantAdminState> = {};
+			await Promise.all(corps.map(async c => {
+				out[c.corpId] = await fetchTenantAdmin(c.corpId);
+			}));
+			return out;
+		},
+		enabled: isSuper && corps.length > 0,
+		retry: false,
+	});
+
+	const [resetTarget, setResetTarget] = useState<{ corpId: string, name: string | null } | null>(null);
+	const [resetPwd, setResetPwd] = useState("");
+
+	const resetMut = useMutation({
+		mutationFn: resetTenantAdminPassword,
+		onSuccess: () => {
+			message.success(t("system:wecom.tenantAdmin.resetOk"));
+			setResetTarget(null);
+			setResetPwd("");
+			queryClient.invalidateQueries({ queryKey: ["system", "wecom-tenant-admin"] });
+		},
+		onError: e => message.error(explainError(e, t)),
+	});
+
+	const tenantAdminColumns = [
+		{
+			title: t("system:wecom.col.corp"),
+			dataIndex: "corpId",
+			render: (_: string, row: { corpId: string, name: string | null }) => (
+				<div>
+					<div>{row.corpId}</div>
+					{row.name && <Typography.Text type="secondary">{row.name}</Typography.Text>}
+				</div>
+			),
+		},
+		{
+			title: t("system:wecom.tenantAdmin.username"),
+			dataIndex: "username",
+			render: (_: unknown, row: { corpId: string }) => tenantAdminQuery.data?.[row.corpId]?.username ?? "-",
+		},
+		{
+			title: t("system:wecom.tenantAdmin.state"),
+			dataIndex: "exists",
+			render: (_: unknown, row: { corpId: string }) => {
+				const s = tenantAdminQuery.data?.[row.corpId];
+				return s?.exists
+					? <Tag color="green">{t("system:wecom.tenantAdmin.exists")}</Tag>
+					: <Tag color="orange">{t("system:wecom.tenantAdmin.missing")}</Tag>;
+			},
+		},
+		{
+			title: t("system:wecom.tenantAdmin.action"),
+			key: "action",
+			render: (_: unknown, row: { corpId: string, name: string | null }) => (
+				<Button size="small" onClick={() => { setResetTarget(row); setResetPwd(""); }}>
+					{t("system:wecom.tenantAdmin.reset")}
+				</Button>
+			),
+		},
+	];
+
 	if (!isSuper)
 		return <ForbiddenPanel t={t} />;
 
@@ -319,6 +415,39 @@ export default function WecomAdminPage() {
 					</Typography.Paragraph>
 				</Card>
 			)}
+			{corps.length > 0 && (
+				<Card title={t("system:wecom.tenantAdmin.title")}>
+					<Typography.Paragraph type="secondary">
+						{t("system:wecom.tenantAdmin.hint")}
+					</Typography.Paragraph>
+					<Table
+						rowKey={row => row.corpId}
+						size="small"
+						loading={tenantAdminQuery.isLoading}
+						dataSource={corps}
+						columns={tenantAdminColumns}
+						pagination={false}
+					/>
+				</Card>
+			)}
+			<Modal
+				open={resetTarget != null}
+				title={t("system:wecom.tenantAdmin.resetTitle")}
+				onCancel={() => { setResetTarget(null); setResetPwd(""); }}
+				onOk={() => resetMut.mutate({ corpId: resetTarget!.corpId, password: resetPwd })}
+				confirmLoading={resetMut.isPending}
+				okButtonProps={{ disabled: resetPwd.length < 6 }}
+				destroyOnHidden
+			>
+				<Typography.Paragraph type="secondary">
+					{t("system:wecom.tenantAdmin.resetHint", { corpId: resetTarget?.corpId ?? "" })}
+				</Typography.Paragraph>
+				<Input.Password
+					value={resetPwd}
+					onChange={e => setResetPwd(e.target.value)}
+					placeholder={t("system:wecom.tenantAdmin.resetPlaceholder")}
+				/>
+			</Modal>
 			<Card title={t("system:wecom.appsTitle")}>
 				<Typography.Paragraph type="secondary" style={{ marginBottom: 12 }}>
 					{t("system:wecom.authModeHint")}

package/templates/tsconfig.paths.json

@@ -8,7 +8,6 @@
 		"paths": {
 			"#/_platform/*": ["./src/_platform/api/*"],
 			"#/auth/*": ["./src/auth/api/*"],
-			"#/demo/*": ["./src/demo/api/*"],
 			"#/home/*": ["./src/home/api/*"],
 			"#/notification/*": ["./src/notification/api/*"],
 			"#/personal-center/*": ["./src/personal-center/api/*"],

package/templates/web.config.ts

@@ -30,14 +30,13 @@ const allModules = [
 	// R29：第三方方案不得仿照此调用面），默认随脚手架下发
 	{ name: "oj-market", entry: "src/oj-market/web/entry.ts" },
 	// #region demo-only
-	// 以下为模板内置的演示模块（demo/about/access/exception/outside/route-nest），
+	// 以下为模板内置的演示模块（about/access/exception/outside/route-nest），
 	// 用于把 templates 当可运行 demo 直接跑；其文件不在 `ojm init` 的
 	// init.include.yaml 白名单里，不拷入新工程，故本区间连同这些条目会被
 	// init 一并剥离，脚手架产出的配置不会残留指向缺失文件的死条目。
 	//
 	// 注意：新布局的清单是「扫描 + 覆盖」并集——注释掉不会让它们消失，
 	// 扫描仍会捡到 `src/<name>/web/entry.ts`。要「不构建」必须写 `enabled: false`。
-	{ name: "demo", entry: "src/demo/web/entry.ts", enabled: false },
 	{ name: "about", entry: "src/about/web/entry.ts", enabled: false },
 	{ name: "access", entry: "src/access/web/entry.ts", enabled: false },
 	{ name: "exception", entry: "src/exception/web/entry.ts", enabled: false },

package/vendor/host-versions.json

@@ -8,9 +8,9 @@
 		"react-router": "7.18.2",
 		"react-router/dom": "7.18.2",
 		"@tanstack/react-query": "5.102.8",
-		"@oj-module/runtime": "0.2.50",
-		"@oj-module/runtime/contract": "0.2.50",
-		"@oj-module/runtime/contract/errors": "0.2.50",
+		"@oj-module/runtime": "0.2.53",
+		"@oj-module/runtime/contract": "0.2.53",
+		"@oj-module/runtime/contract/errors": "0.2.53",
 		"@plane/kit": "0.1.20",
 		"@plane/editor": "0.1.20",
 		"antd": "6.6.1",