@oj-module/cli 0.2.50 → 0.2.54

package/templates/src/app/web/system/routes.ts

@@ -0,0 +1,97 @@
+import type { AppRouteRecordRaw, ModuleContext } from "@oj-module/runtime";
+
+import { SettingOutlined } from "@ant-design/icons";
+
+import { createElement, lazy } from "react";
+
+import { createSystemClient } from "./__client/api";
+
+const Users = lazy(() => import("./pages/users"));
+const UserRoles = lazy(() => import("./pages/users/roles"));
+const Departments = lazy(() => import("./pages/departments"));
+const Roles = lazy(() => import("./pages/roles"));
+const Oplog = lazy(() => import("./pages/oplog"));
+const Settings = lazy(() => import("./pages/settings"));
+const LoginMethods = lazy(() => import("./pages/login-methods"));
+const WecomAdmin = lazy(() => import("./pages/wecom"));
+
+/**
+ * `/system` 根的角色门禁（对齐后端 assertSystemAdmin，access.ts:87）——
+ * superadmin **或** admin 均可，两者必须同时保留：D12（2026-10-22）起账号名=角色名，
+ * admin 与 superadmin 是两个独立账号（seed.sql），只留 ["admin"] 会把 superadmin
+ * 挡在门外（注册期过滤 → 路由消失 → 登录后 404 兜底）。改这两个值前先跑
+ * tests/system-guard.regression.spec.ts。
+ */
+const SYSTEM_ROLES = ["admin", "superadmin"];
+
+/**
+ * 系统管理根 `/system`：框架管理面（用户/成员资格/角色权限/操作日志/站点设置/登录方式），
+ * 数据源为 oj 后端 /api/system/*（模板 api 模块）。__client 由 `ojm api` 生成。
+ *
+ * 路由级门禁（B16）挂在根上：非系统管理员整棵子树不注入、菜单不可见（等价于原先的
+ * 模块级 requiredRoles——聚合后模块级会把 /home 一起挡掉，故必须下移到根路由）；
+ * API 级 403 由 assertSystemAdmin + service 层硬 enforcement 兜底。
+ */
+export const routes: AppRouteRecordRaw[] = [
+	{
+		path: "/system",
+		handle: {
+			icon: createElement(SettingOutlined),
+			title: "system:menu.system",
+			// 负 order = 底部固定区：系统管理 pin 在侧边栏底部（2026-10-20 序轴约定）
+			order: -100,
+			layout: "container",
+			roles: SYSTEM_ROLES,
+		},
+		children: [
+			{
+				path: "/system/users",
+				Component: Users,
+				handle: { title: "system:menu.users" },
+			},
+			{
+				// 成员资格（superadmin 入口从用户管理页进入，菜单不出现）
+				path: "/system/users/:uid/roles",
+				Component: UserRoles,
+				handle: { title: "system:menu.userRoles", hideInMenu: true },
+			},
+			{
+				path: "/system/departments",
+				Component: Departments,
+				handle: { title: "system:menu.departments" },
+			},
+			{
+				path: "/system/roles",
+				Component: Roles,
+				handle: { title: "system:menu.roles" },
+			},
+			{
+				path: "/system/oplog",
+				Component: Oplog,
+				handle: { title: "system:menu.oplog" },
+			},
+			{
+				// 站点设置（证书/站点级开关）：仅超管可见可访问
+				path: "/system/settings",
+				Component: Settings,
+				handle: { title: "system:menu.settings", roles: ["superadmin"] },
+			},
+			{
+				path: "/system/login-methods",
+				Component: LoginMethods,
+				handle: { title: "system:menu.loginMethods" },
+			},
+			{
+				// 企微代开发后台（服务商运营面）：仅超管可见（路由级 roles + 页面内二次判定）
+				path: "/system/wecom",
+				Component: WecomAdmin,
+				handle: { title: "system:menu.wecom", roles: ["superadmin"] },
+			},
+		],
+	},
+];
+
+/** 构造即接线：登记 /system 前缀 + 绑定 scoped request（D11 前缀收敛）。 */
+export async function onInit(ctx: ModuleContext) {
+	createSystemClient(ctx);
+}

package/templates/src/auth/api/_shared/wecom/admin.ts

@@ -13,6 +13,7 @@ import type { WecomConfig, WecomCorpConfig, WecomKind } from "./config";
 import type { WecomStoreDeps } from "./store";
 import { invalidateAllUsers } from "#/_platform/_shared/service/infra/access";
 import { assertProviderConfig, eventUrlOf } from "./config";
+import { provisionTenantAdmin } from "./tenant-admin";
 import { corpScope, revokeTenantSessions, saveProfile, tenantOfCorp } from "./store";
 
 export interface WecomAdminDeps {
@@ -194,6 +195,9 @@ export async function connectCorp(cfg: WecomCorpConfig, client: WecomClient, dep
 		}).run();
 		await client.invalidateCorpToken(cfg.corpId, old);
 	}
+	// 租户具象化：给这个企业配一个本租户的管理员（admin，非 superadmin），否则
+	// 该租户里只有 JIT 出来的员工号，没人能做组织架构同步、也没人能在租户内授权。
+	await provisionTenantAdmin(cfg.corpId);
 	invalidateAllUsers();
 	return { corpId: cfg.corpId, agentId: cfg.agentId, departments: depts.length, members };
 }

package/templates/src/auth/api/_shared/wecom/client.ts

@@ -518,11 +518,18 @@ export function createWecomClient(deps: WecomClientDeps) {
 				await invalidateCorpToken(corpId, agentId);
 				continue;
 			}
-			if (errcode !== 0)
+			if (errcode !== 0) {
+				// 部署侧错误（IP 白名单 / 限流）不是用户凭据问题：按 502 抛，避免被统一成 401 把排查带偏
+				log.warn("wecom getuserinfo rejected", "errcode", String(errcode), "errmsg", String(res.errmsg ?? ""));
+				if (errcode === 60020 || errcode === 45009)
+					throw upstream(`企微 auth/getuserinfo 失败：errcode=${errcode} ${String(res.errmsg ?? "")}`.trim());
 				rejectCode();
+			}
 			const userid = res.userid == null ? "" : String(res.userid);
-			if (!userid)
+			if (!userid) {
+				log.warn("wecom getuserinfo no userid", "keys", Object.keys(res).join(","));
 				rejectCode(); // 非企业成员（外部联系人）时企微只给 openid，不认作本应用用户
+			}
 			return userid;
 		}
 		throw upstream("企微 token 反复失效（40001/42001）");

package/templates/src/auth/api/_shared/wecom/events.ts

@@ -21,6 +21,7 @@ import { invalidateAllUsers } from "#/_platform/_shared/service/infra/access";
 import { recordOp } from "#/_platform/_shared/service/infra/audit";
 import { handleContactChange } from "./contacts";
 import { callbackFields, field, requireField } from "./payload";
+import { provisionTenantAdmin } from "./tenant-admin";
 import { corpScope, ensureTenant, findCorpAuth, getSuiteTicket, putSuiteTicket, revokeTenantSessions, saveProfile, setAuthMode, setProfileStatus, tenantOfCorp } from "./store";
 
 /** suite_ticket 官方有效期 30 分钟（10 分钟推一次）；本地按 30 分钟作废，宁可拒一次也不拿过期票打企微 */
@@ -117,6 +118,8 @@ async function applyAuthCode(authCode: string, state: string | null, deps: Suite
 		// secret 可能已轮换：旧 token 必须立刻作废，否则下一个登录会带着失效 token 打 userinfo
 		await client.invalidateCorpToken(granted.corpId, agentId);
 	}
+	// 租户具象化：代开发企业授权成功即配一个本租户管理员（尽力而为，绝不拖垮 1 秒回调窗口）
+	await provisionTenantAdmin(granted.corpId);
 	await auditAuth("wecom.auth.apply", granted.corpId, { agentIds: granted.agentIds, env });
 	return { corpId: granted.corpId, agentIds: granted.agentIds };
 }

package/templates/src/auth/api/_shared/wecom/tenant-admin.ts

@@ -0,0 +1,194 @@
+// 租户管理员：给每个企业租户（tenant_id = corp_id）配一个**本租户内**的管理员账号。
+//
+// 为什么必须有这一层：
+//   企业租户是企微登录时才由 `ensureTenant()` 隐式具象化的，里面只有 JIT 建出来的
+//   `wecom:<userid>` 员工号，**一个管理员都没有**——于是没人能进 /system/departments
+//   做组织架构同步、也没人能在该租户内授权。平台 superadmin 虽然在 /system/wecom
+//   上看得到所有企业，但管不了租户内的组织/成员/角色（详见下面「越权」一段）。
+//
+// 为什么是 `admin` 而不是 `superadmin`：
+//   `superadmin` 在本系统是**跨租户**的框架级角色——/system/wecom 每个端点都过
+//   `assertSuperAdmin()`，而它列出的 listApps() 是**所有企业**的档案。只要某租户里
+//   有人握着 superadmin，他带自己租户的头访问该页就能看到别家企业的档案，属跨租户
+//   越权。所以：superadmin = 平台级、只留在 default 租户（运维纪律）；
+//   admin = 租户级、每租户一个（本文件负责开的就是这个）。
+//
+// ─────────────────────────────────────────────────────────────────────────────
+// 【db.asSystem 例外说明 —— 全仓唯一，不得复制】
+//
+// 本文件是全代码库**唯一**使用 `db.asSystem()` 的地方。
+//
+// 为什么必须用它：superadmin 的请求自带 `default` 租户头，而 `db.asTenant` 是
+// 「请求级、只能设一次，且要求当时还没有租户」。也就是说平台侧**没有任何正常通道**
+// 能往企业租户里写 users / sys_user_role。而「给新租户配管理员」是平台开通动作，
+// 不是业务写——正是逃生通道的用途（global.d.ts 原文："use db.asSystem() for system tasks"）。
+//
+// 框架红线：同一段注释紧接着写「业务 handler 不得使用」。所以这里是**有意识且被审计
+// 的单一例外**，代价与边界必须写清楚：
+//   · 范围：只在本文件，只服务「开通 / 重设租户管理员」这一件事；
+//   · 写操作必须显式带上 tenant_id 条件（asSystem 绕过自动注入，漏了就是跨租户脏写）；
+//   · 每个入口都在 admin/api.ts 走 recordOp 留痕（开通 level 2、改密 level 4）；
+//   · **不得在本文件之外任何地方复制 db.asSystem()**。
+// ─────────────────────────────────────────────────────────────────────────────
+
+/** 租户管理员的固定账号名（每租户各一个，互不冲突——users 唯一键含 tenant_id） */
+export const TENANT_ADMIN_USERNAME = "admin";
+/** 授予的角色：租户级日常管理（组织/成员/角色/同步），**不是**跨租户的 superadmin */
+const TENANT_ADMIN_ROLE = "admin";
+
+export interface TenantAdminState {
+	/** 租户（= 企业 ID） */
+	corpId: string
+	/** 管理员账号名 */
+	username: string
+	/** 该租户是否已有一个握着 admin 角色的账号 */
+	exists: boolean
+	/** 是否处于「须改密」状态（开通后恒为 true，直到本人改过一次） */
+	mustChange: boolean
+}
+
+/**
+ * 随机初始口令：**任何人都不知道**（bcrypt 单向，也不落库、不打日志）。
+ *
+ * 这不是缺陷而是设计：开通时不需要有人知道口令；平台侧要接管时走
+ * `setTenantAdminPassword()` **自己设一个已知的**——他输入的那个他本来就知道，
+ * 于是「口令需要被传递」这个问题被消掉了，全系统没有任何口令以可逆形式静态存储。
+ */
+function randomPassword(): string {
+	// randomHex 产出 [0-9a-f]，长度 20 > 口令最小长度 6，且数字字母混合
+	return crypto.randomHex(10);
+}
+
+/** 跨租户读：指定租户下的管理员行（asSystem 例外，见文件头） */
+async function adminRow(tenantId: string): Promise<{ id: number, must_change: number } | null> {
+	const rows = await db.asSystem().table("users")
+		.select(["id", "must_change"])
+		.where({
+			and: [
+				{ field: "tenant_id", op: "eq", value: tenantId },
+				{ field: "username", op: "eq", value: TENANT_ADMIN_USERNAME },
+			],
+		})
+		.all() as Array<{ id: number, must_change: number | null }>;
+	if (!rows.length)
+		return null;
+	return { id: Number(rows[0]!.id), must_change: Number(rows[0]!.must_change ?? 0) };
+}
+
+/** 跨租户读：该用户在本租户是否握着 admin 角色（账号存在 ≠ 有角色，可能被收回过） */
+async function hasAdminRole(tenantId: string, uid: number): Promise<boolean> {
+	const roles = await db.asSystem().table("sys_user_role")
+		.select(["role_name"])
+		.where({
+			and: [
+				{ field: "tenant_id", op: "eq", value: tenantId },
+				{ field: "user_id", op: "eq", value: uid },
+			],
+		})
+		.all() as Array<{ role_name: string }>;
+	return roles.some(r => String(r.role_name) === TENANT_ADMIN_ROLE);
+}
+
+/** 查看某租户的管理员状态（幂等、只读；不存在不建） */
+export async function tenantAdminState(tenantId: string): Promise<TenantAdminState> {
+	const row = await adminRow(tenantId);
+	if (!row)
+		return { corpId: tenantId, username: TENANT_ADMIN_USERNAME, exists: false, mustChange: false };
+	return {
+		corpId: tenantId,
+		username: TENANT_ADMIN_USERNAME,
+		exists: await hasAdminRole(tenantId, row.id),
+		mustChange: row.must_change === 1,
+	};
+}
+
+/**
+ * 开通租户管理员（幂等）：没有就建，有就只确认角色还在。
+ *
+ * 只做两件事：建 `admin` 账号（随机口令 + 强制改密）、授予本租户的 `admin` 角色。
+ * 重复调用安全——这正是「验证并接入可以反复点」的前提。
+ */
+export async function ensureTenantAdmin(tenantId: string): Promise<{ created: boolean }> {
+	let row = await adminRow(tenantId);
+
+	if (!row) {
+		// 与 ensureWecomUser 同形状：只填业务关心的列，其余走列默认值
+		await db.asSystem().table("users").insert({
+			tenant_id: tenantId,
+			username: TENANT_ADMIN_USERNAME,
+			display_name: "租户管理员",
+			password_hash: await bcrypt.hash(randomPassword()),
+			avatar_base64: "",
+			source: "local",
+			must_change: 1,
+			is_forbidden: 0,
+			activated: 1,
+		}).run();
+		// 回查拿 id：预查与插入之间有竞态（并发开通），回查是唯一可靠的取 id 方式
+		row = await adminRow(tenantId);
+	}
+	if (!row)
+		throw Object.assign(new Error("租户管理员建档失败"), { status: 500 });
+
+	if (!await hasAdminRole(tenantId, row.id)) {
+		await db.asSystem().table("sys_user_role").insert({
+			user_id: row.id,
+			role_name: TENANT_ADMIN_ROLE,
+			tenant_id: tenantId,
+		}).run();
+		return { created: true };
+	}
+	return { created: false };
+}
+
+/**
+ * 开通租户管理员（**尽力而为**）：开不通只告警，绝不打断调用方。
+ *
+ * 为什么调用方不能因为它失败：
+ *   · create_auth 有约 1 秒响应窗口（超时企业管理员看到「应用安装失败」），而 bcrypt
+ *     是 CPU 密集操作，不该让它有机会拖垮回调；
+ *   · connectCorp 走到这里时档案**已经落库**，抛错只会让界面显示「接入失败」而实际已接入。
+ *
+ * 补开通道：superadmin 随时可走「重设租户管理员口令」入口，该入口内部会先
+ * `ensureTenantAdmin()`，所以一次开通失败不会留下没有管理员的死租户。
+ */
+export async function provisionTenantAdmin(tenantId: string): Promise<void> {
+	try {
+		const r = await ensureTenantAdmin(tenantId);
+		log.info("wecom tenant admin provisioned", "corpId", tenantId, "created", r.created);
+	}
+	catch (e) {
+		log.warn("wecom tenant admin provision skipped", "corpId", tenantId, "reason", (e as Error).message);
+	}
+}
+
+/**
+ * 重设租户管理员口令（平台 superadmin 专用入口）。
+ *
+ * 口令**不存储**：superadmin 自己输入新口令 → 他知道 → 告知租户管理员。
+ * 落库的只有 bcrypt，且置 must_change=1（首次登录必须改），并级联吊销该用户的
+ * refresh token，避免旧会话继续有效。
+ */
+export async function setTenantAdminPassword(tenantId: string, password: string): Promise<TenantAdminState> {
+	// 先确保账号与角色都在：允许「还没人登录过」的租户被平台直接接管
+	await ensureTenantAdmin(tenantId);
+	const row = await adminRow(tenantId);
+	if (!row)
+		throw Object.assign(new Error("租户管理员建档失败"), { status: 500 });
+
+	await db.asSystem().table("users")
+		.update({ password_hash: await bcrypt.hash(password), must_change: 1 })
+		.where({
+			and: [
+				{ field: "tenant_id", op: "eq", value: tenantId },
+				{ field: "username", op: "eq", value: TENANT_ADMIN_USERNAME },
+			],
+		})
+		.run();
+
+	// 改密后旧会话必须失效。跨租户删 refresh 走带 tenant_id 条件的裸 SQL
+	// （先例见 store.ts::revokeTenantSessions：守卫是 check-on-miss，带了租户条件即放行）
+	await db.exec("DELETE FROM sys_refresh_token WHERE tenant_id = ? AND user_id = ?", [tenantId, row.id]);
+
+	return await tenantAdminState(tenantId);
+}

package/templates/src/auth/api/api.ts

@@ -9,6 +9,30 @@ import { createSession } from "./_shared/session";
 // 模块级禁止 createSession()：oj build 的 introspect 在无 jwt 的空沙箱里评估模块（§9.4），
 // runtimeDeps() 读 g.jwt 会直接炸构建——session 在 handler 内按需构造（无状态，纯闭包）。
 
+/** 会话票据（TokenBundle）：登录 / 刷新 / 改密三处同形（D14 + AC1-27） */
+const tokenBundle = {
+	type: "object",
+	required: ["access_token", "refresh_token", "expires_in", "restricted", "user"],
+	properties: {
+		access_token: { type: "string" },
+		refresh_token: { type: "string" },
+		expires_in: { type: "number" },
+		restricted: { type: "boolean" },
+		user: {
+			type: "object",
+			required: ["id", "username", "display_name", "avatar_base64", "must_change", "roles"],
+			properties: {
+				id: { type: "number" },
+				username: { type: "string" },
+				display_name: { type: ["string", "null"] },
+				avatar_base64: { type: ["string", "null"] },
+				must_change: { type: "boolean" },
+				roles: { type: "array", items: { type: "string" } },
+			},
+		},
+	},
+};
+
 const login = {
 	// POST /api/auth/login —— 本地登录（D14：先验口令后查禁用，三种失败统一 401）。
 	// B5/AC1-26：(IP, username) 连败阈值 → 429 + 指数 backoff；粗粒度 per-IP 窗口防撞库扫描。
@@ -73,4 +97,39 @@ password.put.schema = {
 	},
 };
 
+// 入参：本地账号口令（两种失败统一 401，不泄露账号状态——D14）
+login.post.schema = {
+	body: {
+		type: "object",
+		required: ["username", "password"],
+		properties: {
+			username: { type: "string", minLength: 1 },
+			password: { type: "string", minLength: 1 },
+		},
+	},
+};
+login.post.response = tokenBundle;
+
+// 登出：吊销给定 refresh 串（无业务返回体）
+logout.post.schema = {
+	body: {
+		type: "object",
+		required: ["refresh_token"],
+		properties: { refresh_token: { type: "string", minLength: 1 } },
+	},
+};
+logout.post.response = { type: "null" };
+
+// 刷新：旧串轮换（reuse 检测在 service 内）
+refresh.post.schema = {
+	body: {
+		type: "object",
+		required: ["refresh_token"],
+		properties: { refresh_token: { type: "string", minLength: 1 } },
+	},
+};
+refresh.post.response = tokenBundle;
+
+password.put.response = tokenBundle;
+
 export default { login, logout, refresh, password };

package/templates/src/auth/api/ldap-login/api.ts

@@ -7,7 +7,7 @@ import { createSession } from "../_shared/session";
 
 // 模块级禁止 createSession()/runtimeLdapGateway()：oj build introspect 的空沙箱无 jwt/axis（§9.4）。
 
-export default {
+const handler = {
 	async post() {
 		const body = http.body || {};
 		const username = String(body.username ?? "");
@@ -27,3 +27,39 @@ export default {
 		});
 	},
 };
+
+// 入参与本地登录同形（username/password）；出参同 TokenBundle
+handler.post.schema = {
+	body: {
+		type: "object",
+		required: ["username", "password"],
+		properties: {
+			username: { type: "string", minLength: 1 },
+			password: { type: "string", minLength: 1 },
+		},
+	},
+};
+handler.post.response = {
+	type: "object",
+	required: ["access_token", "refresh_token", "expires_in", "restricted", "user"],
+	properties: {
+		access_token: { type: "string" },
+		refresh_token: { type: "string" },
+		expires_in: { type: "number" },
+		restricted: { type: "boolean" },
+		user: {
+			type: "object",
+			required: ["id", "username", "display_name", "avatar_base64", "must_change", "roles"],
+			properties: {
+				id: { type: "number" },
+				username: { type: "string" },
+				display_name: { type: ["string", "null"] },
+				avatar_base64: { type: ["string", "null"] },
+				must_change: { type: "boolean" },
+				roles: { type: "array", items: { type: "string" } },
+			},
+		},
+	},
+};
+
+export default handler;

package/templates/src/auth/api/wecom/admin/tenant-admin/api.ts

@@ -0,0 +1,41 @@
+// GET /api/auth/wecom/admin/tenant-admin?corpId= —— 查某企业的租户管理员状态。
+//
+// 权限：仅 superadmin。这是**跨租户**的平台级视图（查的是别家企业的管理员有没有开通），
+// 与同目录其它端点一致。只读，不存在也不建——建号由开通流程与 password 端点负责。
+import { assertSuperAdmin } from "#/_platform/_shared/service/infra/access";
+import { respond } from "#/_platform/_shared/respond";
+import { tenantAdminState } from "../../../_shared/wecom/tenant-admin";
+
+async function get() {
+	await respond(async () => {
+		await assertSuperAdmin();
+		const corpId = String(((http.query ?? {}) as Record<string, unknown>).corpId ?? "").trim();
+		if (!corpId)
+			throw Object.assign(new Error("缺少企业代码"), { status: 400 });
+		return tenantAdminState(corpId);
+	});
+}
+
+get.schema = {
+	query: {
+		type: "object",
+		required: ["corpId"],
+		properties: { corpId: { type: "string", minLength: 1 } },
+	},
+};
+
+get.response = {
+	type: "object",
+	required: ["corpId", "username", "exists", "mustChange"],
+	properties: {
+		corpId: { type: "string" },
+		// 固定账号名：每租户各一个（users 唯一键含 tenant_id，互不影响）
+		username: { type: "string" },
+		// 该租户是否已有一个握着 admin 角色的账号
+		exists: { type: "boolean" },
+		// 是否须改密（开通后恒 true，直到本人改过一次）
+		mustChange: { type: "boolean" },
+	},
+};
+
+export default { get };

package/templates/src/auth/api/wecom/admin/tenant-admin/password/api.ts

@@ -0,0 +1,66 @@
+// POST /api/auth/wecom/admin/tenant-admin/password —— 重设某企业的租户管理员口令。
+//
+// 权限：仅 superadmin（跨租户的平台级动作）。
+//
+// 为什么做成「superadmin 自己输入新口令」而不是「系统生成后回显」：
+//   口令只以 bcrypt 落库，**没有任何可逆存储**，所以系统无法回显一个已存在的口令。
+//   让 superadmin 自己输入，他知道这个值 → 直接告知租户管理员即可。代价为零，
+//   收益是全系统不存在静态可读的口令副本。
+//
+// 副作用（都是必需的）：
+//   · must_change = 1 —— 管理员首次登录必须改掉这个临时口令；
+//   · 级联删 refresh —— 改密后旧会话立即失效，避免旧 token 继续可用。
+import { assertSuperAdmin } from "#/_platform/_shared/service/infra/access";
+import { recordOp } from "#/_platform/_shared/service/infra/audit";
+import { respond } from "#/_platform/_shared/respond";
+import { setTenantAdminPassword } from "../../../../_shared/wecom/tenant-admin";
+
+async function post() {
+	await respond(async () => {
+		await assertSuperAdmin();
+		const body = (http.body ?? {}) as { corpId?: unknown, password?: unknown };
+		const corpId = String(body.corpId ?? "").trim();
+		const password = String(body.password ?? "");
+		if (!corpId)
+			throw Object.assign(new Error("缺少企业代码"), { status: 400 });
+		// 与 users/password 同下限（6 位）：太短的口令在交接环节泄露风险更高
+		if (password.length < 6)
+			throw Object.assign(new Error("口令至少 6 位"), { status: 400 });
+
+		const state = await setTenantAdminPassword(corpId, password);
+		await recordOp({
+			action: "wecom.admin.tenant_admin_password",
+			module: "auth",
+			target: corpId,
+			// 不记口令本身（连脱敏都不记）：审计只要能回答「谁在何时给哪个企业重设过」
+			detail: { username: state.username },
+			// 重设他人管理员口令＝接管该租户的最高权限，按安全事件留痕
+			level: 4,
+		});
+		return state;
+	});
+}
+
+post.schema = {
+	body: {
+		type: "object",
+		required: ["corpId", "password"],
+		properties: {
+			corpId: { type: "string", minLength: 1 },
+			password: { type: "string", minLength: 6 },
+		},
+	},
+};
+
+post.response = {
+	type: "object",
+	required: ["corpId", "username", "exists", "mustChange"],
+	properties: {
+		corpId: { type: "string" },
+		username: { type: "string" },
+		exists: { type: "boolean" },
+		mustChange: { type: "boolean" },
+	},
+};
+
+export default { post };

package/templates/src/auth/api/wecom/api.ts

@@ -320,6 +320,29 @@ ticket.post.schema = {
 		},
 	},
 };
+// 出参：TicketBundle（issueExternal 签发，同 TokenBundle）
+ticket.post.response = {
+	type: "object",
+	required: ["access_token", "refresh_token", "expires_in", "restricted", "user"],
+	properties: {
+		access_token: { type: "string" },
+		refresh_token: { type: "string" },
+		expires_in: { type: "number" },
+		restricted: { type: "boolean" },
+		user: {
+			type: "object",
+			required: ["id", "username", "display_name", "avatar_base64", "must_change", "roles"],
+			properties: {
+				id: { type: "number" },
+				username: { type: "string" },
+				display_name: { type: ["string", "null"] },
+				avatar_base64: { type: ["string", "null"] },
+				must_change: { type: "boolean" },
+				roles: { type: "array", items: { type: "string" } },
+			},
+		},
+	},
+};
 
 const event = {
 	// 企微后台「保存回调 URL」时会 GET 一次：解出 echostr 后**原样明文回**（不套信封、不加引号）。