@oj-module/cli 0.2.66 → 0.2.68

package/templates/src/app/api/publish/manifest.yaml

@@ -0,0 +1,8 @@
+name: publish
+desc: 发布凭证与发布身份（业务路由）：申请 / 列表 / 撤销 / 一次性兑换。凭证兑换即作废，Ed25519 密钥长期有效；身份只由服务端推导，CLI 不重复实现编码规则。
+version: 0.1.0
+tables:
+  # 共享表（B 组）：兑换发生在 CLI，无业务租户语义；租户归属走 owner_tenant 列
+  - publish_credential
+deps: # 判权（currentAccess）、统一信封（respond）、分页与限速都来自平台内核
+  _platform: ^0.1.0

package/templates/src/app/api/publish/migrations/0001__publish_credential.mysql.sql

@@ -0,0 +1,23 @@
+-- 0001__publish_credential（mysql 方言）：列语义同 0001__publish_credential.sql 头注释。
+-- 差异（沿用 _platform 基线的既有惯例）：键列/短文本收窄为 VARCHAR；秒级 epoch 取 BIGINT；
+-- 索引写在 CREATE TABLE 内（mysql 无 CREATE INDEX IF NOT EXISTS）。
+CREATE TABLE IF NOT EXISTS publish_credential (
+  id BIGINT AUTO_INCREMENT PRIMARY KEY,
+  token_hash VARCHAR(255) NOT NULL,
+  token_hint VARCHAR(64) NOT NULL,
+  uid BIGINT NOT NULL,
+  username VARCHAR(255) NOT NULL,
+  display_name TEXT,
+  product VARCHAR(255) NOT NULL,
+  key_id VARCHAR(255) NOT NULL,
+  owner_tenant VARCHAR(255) NOT NULL,
+  expires_at BIGINT NOT NULL,
+  used BIGINT NOT NULL DEFAULT 0,
+  used_at BIGINT,
+  revoked BIGINT NOT NULL DEFAULT 0,
+  created_at BIGINT NOT NULL,
+  created_ip VARCHAR(64),
+  UNIQUE KEY uk_publish_credential_token (token_hash),
+  KEY idx_publish_credential_owner (owner_tenant, uid, created_at),
+  KEY idx_publish_credential_key (key_id)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

package/templates/src/app/api/publish/migrations/0001__publish_credential.pg.sql

@@ -0,0 +1,23 @@
+-- 0001__publish_credential（postgres 方言）：列语义同 0001__publish_credential.sql 头注释。
+-- 差异（沿用 _platform 基线的既有惯例）：TEXT 全保留，秒级 epoch 取 BIGINT。
+CREATE TABLE IF NOT EXISTS publish_credential (
+  id BIGSERIAL PRIMARY KEY,
+  token_hash TEXT NOT NULL,
+  token_hint TEXT NOT NULL,
+  uid BIGINT NOT NULL,
+  username TEXT NOT NULL,
+  display_name TEXT,
+  product TEXT NOT NULL,
+  key_id TEXT NOT NULL,
+  owner_tenant TEXT NOT NULL,
+  expires_at BIGINT NOT NULL,
+  used INTEGER NOT NULL DEFAULT 0,
+  used_at BIGINT,
+  revoked INTEGER NOT NULL DEFAULT 0,
+  created_at BIGINT NOT NULL,
+  created_ip TEXT
+);
+CREATE UNIQUE INDEX IF NOT EXISTS uk_publish_credential_token ON publish_credential (token_hash);
+CREATE INDEX IF NOT EXISTS idx_publish_credential_owner
+  ON publish_credential (owner_tenant, uid, created_at);
+CREATE INDEX IF NOT EXISTS idx_publish_credential_key ON publish_credential (key_id);

package/templates/src/app/api/publish/migrations/0001__publish_credential.sql

@@ -0,0 +1,39 @@
+-- 0001__publish_credential（sqlite 方言）：发布凭证表。
+--
+-- 定性：**共享表**（schema.yaml `tenant: false` + config.yaml `tenant.shared_allow` 双声明）。
+-- 理由：兑换是 CLI 发起的，那一刻没有业务租户上下文；建成租户表会让 sql_guard: deny 给
+-- 按 token_hash 的查询强加 tenant_id 过滤，换个租户头就查不到。租户归属由 owner_tenant
+-- 显式承载（命名同 wecom_login_ticket：共享表出现 tenant_id 会被定性红线判为自相矛盾）。
+--
+-- 语义：
+--   · 一次性兑换令牌：兑换成功后 used=1，再兑即拒；未兑换前可用 revoked 手动作废
+--   · key_id 在**申请时**就算好落库，兑换只回读——CLI 不实现任何编码规则（单一真源）
+--   · 只存 token_hash（sha256），明文只在申请响应里出现一次
+--
+-- 主键用自增 id 而非 token_hash：列表分页与撤销都按行 id 操作（pagedFactory 也按 id 排序），
+-- 用 hash 做主键会让这两件事都得先算 hash 再反查。token_hash 仍唯一。
+CREATE TABLE IF NOT EXISTS publish_credential (
+  id INTEGER PRIMARY KEY AUTOINCREMENT,
+  token_hash TEXT NOT NULL,
+  token_hint TEXT NOT NULL,
+  uid INTEGER NOT NULL,
+  username TEXT NOT NULL,
+  display_name TEXT,
+  product TEXT NOT NULL,
+  key_id TEXT NOT NULL,
+  owner_tenant TEXT NOT NULL,
+  expires_at INTEGER NOT NULL,
+  used INTEGER NOT NULL DEFAULT 0,
+  used_at INTEGER,
+  revoked INTEGER NOT NULL DEFAULT 0,
+  created_at INTEGER NOT NULL,
+  created_ip TEXT
+);
+CREATE UNIQUE INDEX IF NOT EXISTS uk_publish_credential_token ON publish_credential (token_hash);
+
+-- 「发布管理」页的主查询：按租户 + 本人 + 时间倒序
+CREATE INDEX IF NOT EXISTS idx_publish_credential_owner
+  ON publish_credential (owner_tenant, uid, created_at);
+
+-- 撞号检查（同 key_id 是否已属于别人）
+CREATE INDEX IF NOT EXISTS idx_publish_credential_key ON publish_credential (key_id);

package/templates/src/app/api/publish/schema.yaml

@@ -0,0 +1,33 @@
+# 声明式表结构（S006 纪律：结构真源是 migrations/0001__publish_credential*，本文件只负责
+# 「列集/主键/租户定性」的运行时元数据，与迁移逐列对齐；templates-migration-schema-parity 双双守着）。
+#
+# 定性（三处一致：这里 / config.yaml `tenant.shared_allow` / 迁移文件头注释）：
+# **共享表**（tenant: false）。凭证在 CLI 兑换那一跳被执行，此刻没有业务租户语义——
+# 若建成租户表，sql_guard: deny 会给按 token_hash 的查询强加 tenant_id 过滤，换个租户头即查不到。
+# 租户归属由 `owner_tenant` 列显式承载（语义同 wecom_login_ticket：共享表出现 tenant_id
+# 会被定性红线判为自相矛盾）。
+tables:
+  publish_credential:
+    tenant: false
+    pk: id
+    columns:
+      id: {type: integer, null: false, autoincrement: true}
+      # 只存 sha256(明文)：明文只在申请响应里出现一次
+      token_hash: {type: text, null: false}
+      # 明文前 8 位，仅供「发布管理」页识别是哪一张，不参与任何校验
+      token_hint: {type: text, null: false}
+      uid: {type: integer, null: false}
+      # 申请时快照：改名不影响已签发的凭证与已推导的 key_id
+      username: {type: text, null: false}
+      display_name: {type: text}
+      # 申请时填写的产品名（NAME_RE 校验，落库即定）
+      product: {type: text, null: false}
+      # 服务端推导并落库的发布身份；兑换时原样下发，CLI 零推导
+      key_id: {type: text, null: false}
+      owner_tenant: {type: text, null: false}
+      expires_at: {type: integer, null: false}
+      used: {type: integer, null: false}
+      used_at: {type: integer}
+      revoked: {type: integer, null: false}
+      created_at: {type: integer, null: false}
+      created_ip: {type: text}

package/templates/src/app/api/system/login-methods/api.ts

@@ -10,9 +10,10 @@ async function get() {
 }
 get.response = {
 	type: "object",
-	required: ["methods"],
+	required: ["methods", "site_title"],
 	properties: {
 		methods: { type: "array", items: { type: "string" } },
+		site_title: { type: "string" },
 	},
 };
 

package/templates/src/app/web/_platform/__client/api.schemas.ts

@@ -124,6 +124,21 @@ export const schemas = {
 		data: z.array(z.object({
 
 }).catchall(z.unknown())),
+	},
+	"platformMarketReleasesGet": {
+		query: z.object({
+	"page": z.number().min(1).optional(),
+	"limit": z.number().min(1).max(200).optional()
+}),
+		data: z.object({
+	"list": z.array(z.object({
+
+}).catchall(z.unknown())),
+	"total": z.number(),
+	"page": z.number(),
+	"size": z.number(),
+	"syncError": z.string().nullable().optional()
+}),
 	},
 	"platformOrgDepartmentsGet": {
 		query: z.object({

package/templates/src/app/web/_platform/__client/index.ts

@@ -36,7 +36,7 @@ export function create_platformClient(ctx: ModuleContext) {
 	}
 	ctx.register.apiPrefix(API_PREFIX);
 	bindRequest(ctx.utils.request);
-	return { platformContactsGet, platformContactsDetailGet, platformMarketInstallPost, platformMarketInstallCancelPost, platformMarketTaskGet, platformMarketEnablePost, platformMarketMetaGet, platformMarketTrustGet, platformMarketTrustPost, platformMarketTrustKeyPost, platformMarketTrustKeyDelete, platformMarketIndexGet, platformMarketUninstallImpactGet, platformMarketUninstallPost, platformMarketHistoryGet, platformOrgDepartmentsGet, platformOrgIsMemberGet, platformOrgMembersGet, platformOrgPickerGet, platformOrgResolvePost, platformOrgTreeGet, platformOrgUserGet, platformSolutionsRoutesGet, platformSolutionsVerifyPost, platformSolutionsVerifyLastGet };
+	return { platformContactsGet, platformContactsDetailGet, platformMarketInstallPost, platformMarketInstallCancelPost, platformMarketTaskGet, platformMarketEnablePost, platformMarketMetaGet, platformMarketTrustGet, platformMarketTrustPost, platformMarketTrustKeyPost, platformMarketTrustKeyDelete, platformMarketIndexGet, platformMarketUninstallImpactGet, platformMarketUninstallPost, platformMarketHistoryGet, platformMarketReleasesGet, platformOrgDepartmentsGet, platformOrgIsMemberGet, platformOrgMembersGet, platformOrgPickerGet, platformOrgResolvePost, platformOrgTreeGet, platformOrgUserGet, platformSolutionsRoutesGet, platformSolutionsVerifyPost, platformSolutionsVerifyLastGet };
 }
 
 /**
@@ -423,6 +423,30 @@ export async function platformMarketHistoryGet(): Promise<PlatformMarketHistoryG
 	}
 }
 
+export type PlatformMarketReleasesGetQuery = z.input<(typeof schemas)["platformMarketReleasesGet"]["query"]>;
+export type PlatformMarketReleasesGetData = z.infer<(typeof schemas)["platformMarketReleasesGet"]["data"]>;
+
+export async function platformMarketReleasesGet(query: PlatformMarketReleasesGetQuery): Promise<PlatformMarketReleasesGetData> {
+	const client = ensureReq();
+	try {
+		const env = await client.get(`_platform/market/releases`, { searchParams: query as Record<string, string | number | boolean> }).json<OjEnvelope<PlatformMarketReleasesGetData>>();
+		// 2xx + code!==0 也是业务错误（§6.2 通道 a）：oj 不会这么发，但契约机制的价值恰是防漂移
+		if (typeof env.code === "number" && env.code !== 0)
+			throw new ContractApiError(env.code, env.msg ?? "业务错误（信封 code 非 0）");
+		const data = env.data as PlatformMarketReleasesGetData;
+		if (import.meta.env.DEV) {
+			const { schemas } = await import("./api.schemas");
+			const r = schemas["platformMarketReleasesGet"].data.safeParse(data);
+			if (!r.success)
+				throw new ContractApiError(-1, `[契约违例] platformMarketReleasesGet 响应与契约不符：${r.error.issues.map(i => `${i.path.join(".") || "(root)"}: ${i.message}`).join("; ")}`);
+		}
+		return data;
+	}
+	catch (e) {
+		throw await toApiError(e);
+	}
+}
+
 export type PlatformOrgDepartmentsGetQuery = z.input<(typeof schemas)["platformOrgDepartmentsGet"]["query"]>;
 export type PlatformOrgDepartmentsGetData = z.infer<(typeof schemas)["platformOrgDepartmentsGet"]["data"]>;
 

package/templates/src/app/web/entry.ts

@@ -8,13 +8,16 @@ import { onInit as personalCenterOnInit, routes as personalCenterRoutes } from "
 import { onInit as systemOnInit, routes as systemRoutes } from "./system/routes";
 
 /**
- * 应用模块（多根聚合）：一个 entry 承载六个业务根，各根独立成一级菜单。
+ * 应用模块（多根聚合）：一个 entry 承载五个业务根，各根独立成一级菜单。
  *
- * 为什么聚合：这六个根（首页/登录/个人中心/通知/系统管理）是脚手架的框架内置页面，
- * 同版本发布、同生命周期、缺一不可，拆成六个模块只会把工程目录、web.config 登记、
- * modules.json 与首屏模块入口请求都放大六倍。聚合后仍是「一目录一模块」，但模块内
+ * 为什么聚合：这五个根（首页/登录/个人中心/通知/系统管理）是脚手架的框架内置页面，
+ * 同版本发布、同生命周期、缺一不可，拆成五个模块只会把工程目录、web.config 登记、
+ * modules.json 与首屏模块入口请求都放大五倍。聚合后仍是「一目录一模块」，但模块内
  * 按根分目录（`<root>/routes.ts` + `pages/` + `__client/`），页面相对导入不变。
  *
+ * 发布管理不在这里：它属于方案市场，随 `src/oj-market/web/publish` 走市场模块
+ * （`/publish` 仍是独立一级菜单，URL 与菜单 key 不变）。
+ *
  * 结构约定（多根模块）：
  *   - 顶层路由首段去重 > 1 → runtime 判为多根（`isMultiRoot`），各根按 entry 里的
  *     **绝对路径**原样注册，不被 `routePrefix` 改写——URL 与菜单 key 都不变；
@@ -24,7 +27,8 @@ import { onInit as systemOnInit, routes as systemRoutes } from "./system/routes"
  *
  * i18n 用 `i18nNamespaces` 沿用各根**原命名空间**（home / login / personal-center /
  * notification / system），因此 `t("system:menu.users")`、`useTranslation("system")`
- * 与菜单标题 `<ns>:menu.<key>` 全部零改动。
+ * 与菜单标题 `<ns>:menu.<key>` 全部零改动。发布管理的 `publish` 命名空间随页面
+ * 在 oj-market 侧登记。
  */
 const i18nNamespaces: Record<string, ModuleI18n> = {
 	"home": {

package/templates/src/app/web/home/routes.ts

@@ -35,6 +35,11 @@ export const routes: AppRouteRecordRaw[] = [
 				handle: {
 					title: "home:menu.home",
 					icon: createElement(HomeOutlined),
+					// 首页是 /home 根的 index 子路由，运行时匹配到的叶子路由 id 为 `/home/`（带尾斜杠），
+					// 而菜单项 key 是父级 `/home`，selectedKeys 取叶子 id 导致高亮对不上——
+					// 复刻 react-antd-admin 时「首页」菜单项不亮。用 currentActiveMenu 显式声明高亮 /home
+					// （框架既定机制：页面指定高亮哪个菜单），对齐 playground / react-antd-admin 的选中态。
+					currentActiveMenu: "/home",
 				},
 			},
 		],

package/templates/src/app/web/login/locales/en-US.json

@@ -30,9 +30,15 @@
 		"sso.action": "Sign in with SSO",
 		"wecom": "WeCom",
 		"wecom.action": "Sign in with WeCom",
+		"wecomPending": "WeCom login will be available in a later stage",
 		"wecom.hint": "Enter the enterprise code (corp_id, visible in the WeCom console), or use the dedicated sign-in link from your admin",
 		"wecom.agent": "App ID (agentid)",
 		"wecom.agentHint": "Leave empty if the corp has a single app; otherwise use the agentid provided by your admin",
-		"wecom.exchanging": "Completing WeCom sign-in…"
+		"wecom.exchanging": "Completing WeCom sign-in…",
+		"wecom.scan.hint": "Open the WeCom app, scan with 「Scan」 and confirm — no username or password needed",
+		"wecom.scan.action": "One-tap sign in with WeCom",
+		"wecom.otherCorp": "Another enterprise? Sign in with an enterprise code",
+		"wecom.otherCorpHide": "Hide enterprise code"
+
 	}
 }

package/templates/src/app/web/login/locales/zh-CN.json

@@ -30,9 +30,15 @@
 		"sso.action": "使用 SSO 登录",
 		"wecom": "企业微信",
 		"wecom.action": "使用企业微信登录",
+		"wecomPending": "企业微信登录将在后续阶段提供",
 		"wecom.hint": "填写企业代码（企微后台可见的 corp_id），或直接使用管理员收到的专属登录链接",
 		"wecom.agent": "应用 ID（agentid）",
 		"wecom.agentHint": "留空使用该企业下唯一应用；多应用部署请填管理员提供的 agentid",
-		"wecom.exchanging": "正在完成企业微信登录…"
+		"wecom.exchanging": "正在完成企业微信登录…",
+		"wecom.scan.hint": "打开企业微信 App，用「扫一扫」扫码确认后自动进入，无需输入账号密码",
+		"wecom.scan.action": "使用企业微信一键登录",
+		"wecom.otherCorp": "其他企业？使用企业代码登录",
+		"wecom.otherCorpHide": "收起企业代码"
+
 	}
 }

package/templates/src/app/web/login/pages/login.tsx

@@ -6,10 +6,11 @@ import {
 	useAuthStore,
 	useTenantStore,
 } from "@oj-module/runtime";
-import { Alert, Button, Form, Input, Tabs, Typography } from "antd";
+import { Alert, Button, Form, Input, Skeleton, Tabs, Typography } from "antd";
 import { useEffect, useRef, useState } from "react";
 import { useTranslation } from "react-i18next";
 import { useLocation, useNavigate } from "react-router";
+import { getWecomBootError } from "../routes";
 import { parseWecomLanding, wecomAuthorizePath } from "../wecom";
 
 type LoginMethod = "local" | "ldap" | "sso" | "wecom";
@@ -19,7 +20,7 @@ type LoginMethod = "local" | "ldap" | "sso" | "wecom";
  * 后端 `methods` 是**发现结果**、这里是**渲染能力**：后端多报一种而本页没有对应
  * renderer 时宁可不显示（点了也没实现），新增方式 = 这里加一项 + 渲染分支加一路。
  */
-const KNOWN_METHODS: LoginMethod[] = ["local", "ldap", "sso", "wecom"];
+const KNOWN_METHODS: LoginMethod[] = ["wecom", "local", "ldap", "sso"];
 
 function isKnownMethod(x: string): x is LoginMethod {
 	return (KNOWN_METHODS as string[]).includes(x);
@@ -52,12 +53,14 @@ export default function LoginPage() {
 	const navigate = useNavigate();
 	const { search } = useLocation();
 	const login = useAuthStore(s => s.login);
-	const [error, setError] = useState<string>();
+	// onInit 阶段换票若失败，首帧直接显示表单与错误（不再闪「认证中」）
+	const bootError = getWecomBootError();
+	const [error, setError] = useState<string | undefined>(bootError || undefined);
 	const [loading, setLoading] = useState(false);
 	const [known, setKnown] = useState(false);
 	const inWecom = typeof navigator !== "undefined" && /wxwork/i.test(navigator.userAgent);
 	const [methods, setMethods] = useState<LoginMethod[]>(["local"]);
-	const [active, setActive] = useState<LoginMethod>("local");
+	const [active, setActive] = useState<LoginMethod>("wecom");
 	// 企业代码入口默认收起：单租户部署（绝大多数）保持今天的登录页外观，
 	// 只有服务商/客户带 `?tenant=` 或手工展开时才需要填。
 	// 例外一：持久化租户不是部署默认值时必须展开——租户头是**隐式**跟着请求走的
@@ -68,6 +71,8 @@ export default function LoginPage() {
 	//   判据用「wecom 是否在登录方式里」而不是去数租户：匿名请求没有租户上下文，
 	//   统计租户要动用 db.asSystem（全仓仅 tenant-admin.ts 一处，不为此破例）。
 	const [showTenant, setShowTenant] = useState(() => useTenantStore.getState().tenant !== DEFAULT_TENANT);
+	// 「其他企业」折叠：仅服务商 / 多企业共存部署才需要手填企业代码
+	const [showOtherCorp, setShowOtherCorp] = useState(false);
 	// 表单里的企业代码：带上 persisted 值（URL `?tenant=` 已先落到 store），用户看得见才改得动
 	const [tenant] = useState(() => {
 		const current = useTenantStore.getState().tenant;
@@ -83,29 +88,32 @@ export default function LoginPage() {
 
 	// 企微 302 落地参数：只在首次渲染解析一次（ticket 一次性，解析结果必须稳定）
 	const [landing] = useState(() => parseWecomLanding(search));
-	const exchangedRef = useRef(false);
 	// 仅「认证中 / 已失败」两态：企微内、回跳落地、或 ?corp 深链即进入认证态，
 	// 直接展示「认证中」，不渲染登录表单；只有认证失败（换票失败 / 企微方式不可用）才回落表单。
+	// 换票成功时 onInit 已把 URL 改到首页，路由首帧就落在 /home，本组件根本不会挂载；bootError 非空即换票失败。
 	const [phase, setPhase] = useState<"auth" | "form">(
-		inWecom || landing || urlCorp ? "auth" : "form",
+		bootError ? "form" : inWecom || landing || urlCorp ? "auth" : "form",
 	);
 
 	useEffect(() => {
 		fetchLoginMethods()
 			.then((r) => {
 				setKnown(true);
+				// 站点标题（framework.site_title）经匿名端点回传，登录页即可设置浏览器标签；
+				// 其他已登录页保持随菜单（layout-effects 的路由标题），此处仅在登录页生效。
+				if (r.site_title)
+					document.title = r.site_title;
 				// 先按 string[] 看一眼：runtime 的返回类型把 wecom 排除在外，而这里恰恰要认它
 				const raw: string[] = r.methods;
-				const m = raw.filter(isKnownMethod);
+				// 按 KNOWN_METHODS 排序：企微是主入口，排第一个 tab 并默认选中，
+				// 「使用企业微信一键登录」首帧即可见，点一次就走。
+				const m = raw.filter(isKnownMethod).sort(
+					(a, b) => KNOWN_METHODS.indexOf(a) - KNOWN_METHODS.indexOf(b),
+				);
 				if (!m.length)
 					return;
 				setMethods(m);
-				// 有企微登录 ⇒ 有企业租户（租户键 = corp_id）⇒ 默认展开企业代码，
-				// 否则平台/企业两类管理员没法切换登录目标（用户仍可点「收起」手动折叠）。
-				if (raw.includes("wecom"))
-					setShowTenant(true);
-				if (!m.includes("local"))
-					setActive(m[0]);
+				setActive(m.includes("wecom") ? "wecom" : m[0]);
 			})
 			.catch(() => {
 				setKnown(true);
@@ -113,28 +121,9 @@ export default function LoginPage() {
 			});
 	}, []);
 
-	useEffect(() => {
-		// 换票只做一次：ticket 单次有效，重复 POST 只会拿到 401 并盖掉真正的错误
-		if (!landing || exchangedRef.current)
-			return;
-		exchangedRef.current = true;
-		void (async () => {
-			setLoading(true);
-			setError(undefined);
-			try {
-				// 租户先落 store：provider 每请求读 getState，服务端会比对「头值 == 票据租户」
-				if (landing.tenant)
-					useTenantStore.getState().setTenant(landing.tenant);
-				await login({ username: "", password: "", method: "wecom", ticket: landing.ticket });
-				navigate(getRedirectPath(search), { replace: true });
-			}
-			catch (e) {
-				setError(e instanceof Error ? e.message : String(e));
-				setPhase("form");
-				setLoading(false);
-			}
-		})();
-	}, [landing, login, navigate, search]);
+	// 企微票据换会话已提前到模块 onInit（见 login/routes.ts::exchangeWecomTicketOnBoot）：
+	// 成功时 URL 已在首帧前改到首页，本页不挂载；失败时 bootError 已在上面落成表单 + 错误态。
+	// 这里不再发第二次 POST——票据一次性，重复换只会拿到 401 并盖掉真正的错误。
 
 	// 企微深链自动入口：带 ?corp= 到达（且非回跳落地 / 非出错）且企微方式可用时，
 	// 直接整页发起授权——「点开即登录」，无需手动点「企业微信」tab。
@@ -142,7 +131,8 @@ export default function LoginPage() {
 	useEffect(() => {
 		const c = new URLSearchParams(search).get("corp")?.trim() ?? "";
 		// 企微内（wxwork UA）从「应用主页」点开即自动发起授权；带 ?corp= 的深链同样自动发起。
-		if ((!c && !inWecom) || landing || autoFiredRef.current)
+		// 换票失败后不再自动重发授权：否则废票 → 重新授权 → 再换一次废票会原地打转。
+		if ((!c && !inWecom) || landing || getWecomBootError() || autoFiredRef.current)
 			return;
 		if (new URLSearchParams(search).get("error")) {
 			setPhase("form");
@@ -185,14 +175,22 @@ export default function LoginPage() {
 		window.location.assign(`${resolveApiBase()}/auth/sso`);
 	}
 
-	function wecomLogin() {
+	/**
+	 * 一键扫码登录：默认不传 corp/agent，后端 `corpSelf()` 从部署常量 `wecom_corp_*`
+	 * 自动解析本企业（api.ts::login → resolveWecomProfile），用户不必填企业代码。
+	 * 普通浏览器 UA 下后端 302 到企微 qrConnect 扫码页；企微内 UA 走 oauth2 静默。
+	 * 只有「其他企业」折叠里才带 corp/agent（服务商 / 多企业共存部署）。
+	 */
+	function wecomLogin(withCorp = false) {
 		// 整页跳转（拿不到 302 的 opaque redirect）：授权入口是**后端端点**，
 		// 必须拼 API base（部署期可为 /api 或网关前缀）；拼站点 base 只会落到
 		// SPA 兜底页——点击后页面原地重载、一个 auth 请求都不发。
 		// 企业代码不在这里写 store——只有服务端回跳带的 tenant 才是权威值。
-		window.location.assign(`${resolveApiBase()}${wecomAuthorizePath(corp, agent)}`);
+		window.location.assign(`${resolveApiBase()}${wecomAuthorizePath(withCorp ? corp : "", withCorp ? agent : "")}`);
 	}
 
+	// 所有登录方式收进同一组 Tabs，同一时刻只渲染当前面板；默认选中企微（见上方 effect），
+	// 一键按钮首帧即可见、点一次就走，账号密码收在另一个 tab，不再上下平铺。
 	const showTabs = methods.length > 1;
 
 	const form = (method: LoginMethod) => (
@@ -222,50 +220,40 @@ export default function LoginPage() {
 		</Form>
 	);
 
-	// 企微：只需企业代码（服务商后台生成的专属链接会预填，客户也可手输）
-	// 受控值不走 antd 表单（Form.Item 无 name），故显式给 id/htmlFor：
-	// 少了这层关联，标签只是视觉文本，读屏与 getByLabel 都取不到输入框。
+	// 企微一键扫码：默认可见、不藏在 tab 里，点一次即进入企微授权（浏览器扫码 / 企微内静默）。
+	// 企业代码 / 应用 ID 收进折叠，只服务服务商多企业场景；单企业部署用户什么都不用填。
 	const wecomCorpId = "wecom-corp";
 	const wecomAgentId = "wecom-agent";
-	const wecomPanel = (
-		<Form layout="vertical" onFinish={wecomLogin}>
-			<Form.Item
-				label={t("login:page.tenant.label")}
-				htmlFor={wecomCorpId}
-				extra={t("login:method.wecom.hint")}
-			>
-				<Input
-					id={wecomCorpId}
-					autoComplete="off"
-					placeholder="ww..."
-					value={corp}
-					onChange={e => setCorp(e.target.value)}
-				/>
-			</Form.Item>
-			<Form.Item
-				label={t("login:method.wecom.agent")}
-				htmlFor={wecomAgentId}
-				extra={t("login:method.wecom.agentHint")}
-			>
-				<Input
-					id={wecomAgentId}
-					autoComplete="off"
-					placeholder="1000..."
-					value={agent}
-					onChange={e => setAgent(e.target.value)}
-				/>
-			</Form.Item>
-			<Button type="primary" htmlType="submit" block>
-				{t("login:method.wecom.action")}
+	const wecomQuickPanel = (
+		<>
+			<Typography.Paragraph type="secondary">
+				{t("login:method.wecom.scan.hint")}
+			</Typography.Paragraph>
+			<Button type="primary" block size="large" onClick={() => wecomLogin()}>
+				{t("login:method.wecom.scan.action")}
 			</Button>
-		</Form>
+			<Button type="link" size="small" block onClick={() => setShowOtherCorp(v => !v)}>
+				{t(showOtherCorp ? "login:method.wecom.otherCorpHide" : "login:method.wecom.otherCorp")}
+			</Button>
+			{showOtherCorp && (
+				<Form layout="vertical" onFinish={() => wecomLogin(true)} style={{ marginTop: 8 }}>
+					<Form.Item label={t("login:page.tenant.label")} htmlFor={wecomCorpId} extra={t("login:method.wecom.hint")}>
+						<Input id={wecomCorpId} autoComplete="off" placeholder="ww..." value={corp} onChange={e => setCorp(e.target.value)} />
+					</Form.Item>
+					<Form.Item label={t("login:method.wecom.agent")} htmlFor={wecomAgentId} extra={t("login:method.wecom.agentHint")}>
+						<Input id={wecomAgentId} autoComplete="off" placeholder="1000..." value={agent} onChange={e => setAgent(e.target.value)} />
+					</Form.Item>
+					<Button htmlType="submit" block>{t("login:method.wecom.action")}</Button>
+				</Form>
+			)}
+		</>
 	);
 
 	function panelOf(m: LoginMethod) {
 		if (m === "sso")
 			return <Button type="primary" block onClick={ssoLogin}>{t("login:method.sso.action")}</Button>;
 		if (m === "wecom")
-			return wecomPanel;
+			return wecomQuickPanel;
 		return form(m);
 	}
 
@@ -290,19 +278,24 @@ export default function LoginPage() {
 				{t("login:page.subtitle")}
 			</Typography.Paragraph>
 			{error && <Alert style={{ marginBottom: 16 }} type="error" message={error} showIcon />}
-			{showTabs
-				? (
-					<Tabs
-						activeKey={active}
-						onChange={key => setActive(key as LoginMethod)}
-						items={methods.map(m => ({
-							key: m,
-							label: t(`login:method.${m}`),
-							children: panelOf(m),
-						}))}
-					/>
-				)
-				: panelOf(methods[0] ?? "local")}
+			{/* 登录方式发现完成前不渲染表单区：否则首帧先画账号密码、再切成默认企微 tab，
+			    工作台用户会看到一次无谓的闪动（见 8b06d4e1 的闪屏回归）。 */}
+			{!known
+				? <Skeleton active paragraph={{ rows: 4 }} />
+				: showTabs
+					? (
+						<Tabs
+							destroyInactiveTabPane
+							activeKey={active}
+							onChange={key => setActive(key as LoginMethod)}
+							items={methods.map(m => ({
+								key: m,
+								label: t(`login:method.${m}`),
+								children: panelOf(m),
+							}))}
+						/>
+					)
+					: panelOf(methods[0] ?? "local")}
 		</>
 	);
 }

package/templates/src/app/web/login/routes.ts

@@ -1,9 +1,59 @@
 import type { AppRouteRecordRaw, ModuleContext } from "@oj-module/runtime";
 
-import { useAuthStore, useTenantStore } from "@oj-module/runtime";
+import { getRedirectPath, resolveSiteBase, useAuthStore, useTenantStore } from "@oj-module/runtime";
 import { lazy } from "react";
 
 import { authProvider } from "./auth-provider";
+import { parseWecomLanding } from "./wecom";
+
+/**
+ * onInit 阶段「企微票据换会话」失败的原因。登录页首帧读一次：非空就直接显示表单与错误，
+ * 不再进「认证中」态，也不再自动重发授权（避免废票 → 重授权 → 再失败的循环）。
+ */
+let wecomBootError = "";
+
+export function getWecomBootError(): string {
+	return wecomBootError;
+}
+
+/**
+ * 企微回跳落地（`/login?wecom_ticket=…`）的换票**提前到首帧 render 之前**。
+ *
+ * 原来放在 LoginPage 的 useEffect 里：路由先把登录页（全屏外壳 + 品牌位 + 「认证中」）
+ * 画出来，等一个 POST 换完票、token 落 store 后才 Navigate 到首页——工作台进入时
+ * 登录页明显闪一下。模块 onInit 在宿主建路由之前被 await，在这里换完票即把 URL 改成
+ * 首页（见下方 shell 无 AuthGuard 的说明），路由首帧就落在 /home，登录页一次都不挂载。
+ *
+ * 失败不阻断启动：保持 /login，错误记下来交给登录页首帧显示表单与错误，用户可改用
+ * 本地登录 / 重新授权；一次性票据在成功改 URL 时一并从地址栏与历史里抹掉。
+ */
+async function exchangeWecomTicketOnBoot(): Promise<void> {
+	const landing = parseWecomLanding(window.location.search);
+	if (!landing)
+		return;
+	try {
+		// 租户由 tenant.ts::bootstrapTenant 在模块作用域从 ?tenant= 落地；这里补一次，
+		// 让换票请求的 X-TENANT-ID 与票据租户严格一致（服务端会比对两者）。
+		if (landing.tenant)
+			useTenantStore.getState().setTenant(landing.tenant);
+		await useAuthStore.getState().login({
+			username: "",
+			password: "",
+			method: "wecom",
+			ticket: landing.ticket,
+		});
+		// 宿主 shell 链**没有 AuthGuard**（免登录演示能力绕开 LayoutRoot），所以「已登录」
+		// 不会自动把 /login 跳走。宿主在 loadAll（即本 onInit）之后才 createBrowserRouter，
+		// 此刻先把 URL 换成首页，路由首帧就落在 /home，登录页一次都不挂载。
+		// runtime 自有链带 AuthGuard，这处 replace 也无害（守卫同样跳首页）。
+		const base = resolveSiteBase().replace(/\/+$/, "");
+		window.history.replaceState(null, "", `${base}${getRedirectPath(window.location.search)}`);
+	}
+	catch (e) {
+		// 失败保持 /login：bootError 交给登录页首帧显示表单与错误，不再闪「认证中」
+		wecomBootError = e instanceof Error ? e.message : String(e);
+	}
+}
 
 /**
  * 登录根 `/login`（+ 强制改密 `/change-password`）。
@@ -68,4 +118,7 @@ export async function onInit(ctx: ModuleContext) {
 		if (prev.token && !state.token)
 			useTenantStore.getState().clear();
 	});
+	// 必须在 provider 注册之后、首帧 render 之前：企微回跳的票据在这里换完，
+	// 登录页就不会先闪一下再跳首页（见 exchangeWecomTicketOnBoot 注释）。
+	await exchangeWecomTicketOnBoot();
 }

package/templates/src/app/web/personal-center/locales/en-US.json

@@ -9,6 +9,7 @@
 		"avatarRequired": "Please upload an avatar!",
 		"username": "Username",
 		"usernameRequired": "Please enter your username!",
+		"displayName": "Display name",
 		"email": "Email",
 		"emailRequired": "Please enter your email!",
 		"phoneNumber": "Phone",

package/templates/src/app/web/personal-center/locales/zh-CN.json

@@ -9,6 +9,7 @@
 		"avatarRequired": "请上传头像!",
 		"username": "用户名",
 		"usernameRequired": "请输入您的用户名!",
+		"displayName": "显示名",
 		"email": "邮箱",
 		"emailRequired": "请输入您的邮箱!",
 		"phoneNumber": "联系电话",