@oj-module/cli 0.2.68 → 0.2.71

package/templates/src/oj-market/api/cdn/signed-auth.ts

@@ -0,0 +1,75 @@
+// 签名请求共享「验面」（上传端点与 market yank 端点同一鉴权序，勿各写一遍）。
+// 独立成非入口文件：api.ts / cdn/api.ts 都是路由入口（oj S 规则：路由入口不可被模块内 import）。
+//
+// 顺序即计划钉死的 fail-fast 序：头 → 信任库（403，不消费 body）→ 限速（按 key_id）→
+// registry_id（503）。验签（verifyCanonicalSig）由调用方在拿到 canonical 后执行——
+// 上传端点的 canonical 依赖实收字节 sha256（body 后），yank 的 canonical 不依赖 body。
+
+import { createTrustStore } from "#/_platform/_lifecycle/trust";
+import { rateLimit } from "#/_platform/_shared/service/infra/rate";
+import { readSiteVar } from "#/_platform/_shared/site-facade";
+
+/** 上传/推送限速：每 key_id 每 60s 30 次（发布是低频操作；防凭证泄漏后被刷爆磁盘/库） */
+export const UPLOAD_RATE_LIMIT = { limit: 30, windowMs: 60_000 };
+
+export interface SignedAuthEnv {
+	trustPath: string
+	/** 本站点 registry 身份；缺省读 config vars.registry_id */
+	registryId?: string
+	configPath?: string
+	verifyEd25519?: (publicKey: string, msg: string, sigBase64: string) => boolean
+}
+
+/** 带 status 的可读失败（respond 收口成 json.fail，D14/B5 同通道） */
+function fail(status: number, msg: string): never {
+	throw Object.assign(new Error(msg), { status });
+}
+
+/** 请求头读取（大小写不敏感——http.headers 键大小写随客户端，wecom/api.ts 同款） */
+function headerOf(headers: Record<string, unknown>, name: string): string {
+	const lower = name.toLowerCase();
+	for (const [k, v] of Object.entries(headers)) {
+		if (k.toLowerCase() === lower)
+			return String(v).trim();
+	}
+	return "";
+}
+
+/**
+ * 签名请求鉴权（pre-canonical）：返回签名身份三要素。错误口径：
+ * 缺头 401（签名制不经账号口令）；key 不受信 403（附 trust add 指引）；限速 429；
+ * registry_id 未配置 503（指向 vars.registry_id 设置项）。canonical 验签不在此——
+ * 调用方持 canonical 后调 verifyCanonicalSig。
+ */
+export async function authenticateSignedKey(env: SignedAuthEnv, rateBucket: string): Promise<{ keyId: string, publicKey: string, registryId: string, signature: string }> {
+	const headers = ((http as { headers?: Record<string, unknown> }).headers ?? {}) as Record<string, unknown>;
+	const keyId = headerOf(headers, "x-ojm-key-id");
+	const signature = headerOf(headers, "x-ojm-signature");
+	if (keyId === "" || signature === "")
+		fail(401, "缺 X-OJM-Key-Id / X-OJM-Signature 请求头——签名推送须经 ojm keygen --credential 兑换的发布身份（不经账号口令；403 指引的前提是手上已有 key_id）");
+	const publicKey = await createTrustStore(env.trustPath).get(keyId);
+	if (publicKey === null)
+		fail(403, `发布 key「${keyId}」不在本站点信任库——请站点 superadmin 经市场信任确认（或 ojm trust add）入录后重试`);
+	await rateLimit(`${rateBucket}:${keyId}`, UPLOAD_RATE_LIMIT.limit, UPLOAD_RATE_LIMIT.windowMs);
+	const registryId = await resolveRegistryId(env);
+	if (registryId === null)
+		fail(503, "站点未配置 registry_id（签名 canonical 首段 = 站点身份，防跨站重放）：请在 config.yaml vars 增加 registry_id: <站点身份> 后重试");
+	return { keyId, publicKey, registryId, signature };
+}
+
+/** canonical 验签（Ed25519；verifyEd25519 面注入优先，缺省 isolate 全局） */
+export function verifyCanonicalSig(env: { verifyEd25519?: SignedAuthEnv["verifyEd25519"] }, publicKey: string, canonical: string, signature: string): boolean {
+	return verifyEd25519Of({ verifyEd25519: env.verifyEd25519 })(publicKey, canonical, signature);
+}
+
+function verifyEd25519Of(env: { verifyEd25519?: SignedAuthEnv["verifyEd25519"] }): (publicKey: string, msg: string, sigBase64: string) => boolean {
+	const g = globalThis as { crypto?: { verifyEd25519?: (pk: string, msg: string, sig: string) => boolean } };
+	return env.verifyEd25519 ?? ((pk, msg, sig) => g.crypto!.verifyEd25519!(pk, msg, sig));
+}
+
+/** registry_id 解析：注入优先，缺省 config.yaml vars.registry_id；俱缺 → null（调用方 503） */
+async function resolveRegistryId(env: SignedAuthEnv): Promise<string | null> {
+	if (env.registryId !== undefined)
+		return env.registryId;
+	return await readSiteVar(env.configPath, "registry_id");
+}

package/templates/src/oj-market/api/manifest.yaml

@@ -0,0 +1,8 @@
+name: oj-market
+desc: 解决方案市场模块 api 面（市场目录 catalog/detail/yank、发布推送 cdn/upload、方案生命周期编排 install/enable/uninstall、信任库管理 trust）。表（market_release/market_history）与安装引擎归 _platform 内核，本模块经 deps 声明跨模块依赖。
+version: 0.1.0
+deps: # 跨模块别名 `#/_platform/…` 的依赖门禁（oj build S008）+ 表归属守卫：
+  # 读 market_release/market_history（_platform 拥有的 tenant:false 共享目录表）+
+  # import _lifecycle 安装引擎/_shared 服务层原语
+  _platform: ^0.1.0
+tables: [] # 无自有表：目录表归 _platform（平台共享设施，CLI 回填与站点双写同一真相）

package/templates/src/oj-market/solution.yaml

@@ -0,0 +1,21 @@
+# oj-market 第一方方案包契约（Phase B T1，20261106-2122 拍板版本基线 0.2.0）。
+# 市场 UI 以**纯 web 方案包**形态随站分发：包内只有 manifest + web/ 产物——
+# api 编排面（install/catalog/yank/trust 推送，src/oj-market/api）留在平台内置不随包，
+# 市场未装/已卸载时安装编排端点仍在（方案 §2「安装入口（市场外）」）；
+# 无 DB 迁移（catalog/release 等表属平台，不随包）。
+# R29 红线随包：第一方专用，第三方方案不得仿照 /api/oj-market/* 调用面（包 README 同标注）。
+name: oj-market
+version: 0.2.0
+title: 方案市场
+summary: 官方 方案市场 UI——方案清单/发布管理/发布历史（第一方专用，R29）
+description: 第一方专用方案包（R29 红线）：第三方方案不得仿照 /api/oj-market/* 调用面。api 编排面（install/catalog/yank/trust）随站点脚手架内置，本包仅承载市场 UI（纯 web，无 DB 迁移）。出厂未装：superadmin 经 system 域「方案安装」首装；ojm init --yes 落位的随站 bundle 由首个市场编排请求自动收敛（上拉不下拉）。
+changelog:
+  - 0.2.0 Phase B 首包：市场 UI 模块化随站分发（出厂未装，superadmin 经 system 域首装）
+peerRuntime: '>=0.0.0'
+web:
+  entry: modules/oj-market/0.2.0/entry.js
+routes:
+  - path: /oj-market
+    category: main
+    order: 200
+    title_key: oj-market:menu.main

package/templates/src/oj-market/web/__client/api.schemas.ts

@@ -0,0 +1,167 @@
+/* eslint-disable */
+// 生成物：ojm api 从契约生成，勿手改（改动请改契约文件后重跑 ojm api）
+// AC-D15：仅供 DEV 校验动态 import，生产构建不进产物
+import { z } from "@oj-module/runtime";
+
+export const schemas = {
+	"ojMarketInstallPost": {
+		body: z.object({
+	"source": z.enum(["cdn", "file"]),
+	"name": z.string(),
+	"version": z.string().nullable().optional(),
+	"force": z.boolean().optional()
+}),
+		data: z.object({
+	"task_id": z.string().optional()
+}).catchall(z.unknown()),
+	},
+	"ojMarketInstallCancelPost": {
+		body: z.object({
+	"name": z.string()
+}),
+		data: z.object({
+	"ok": z.boolean().optional(),
+	"name": z.string().optional(),
+	"requested": z.boolean().optional()
+}).catchall(z.unknown()),
+	},
+	"ojMarketTaskGet": {
+		query: z.object({
+	"id": z.string()
+}),
+		data: z.object({
+
+}).catchall(z.unknown()),
+	},
+	"ojMarketEnablePost": {
+		body: z.object({
+	"name": z.string(),
+	"enabled": z.boolean()
+}),
+		data: z.object({
+
+}).catchall(z.unknown()),
+	},
+	"ojMarketMetaGet": {
+		data: z.object({
+	"apiVersion": z.string().optional()
+}).catchall(z.unknown()),
+	},
+	"ojMarketTrustGet": {
+		data: z.object({
+
+}).catchall(z.unknown()),
+	},
+	"ojMarketTrustPost": {
+		body: z.object({
+	"task_id": z.string()
+}),
+		data: z.object({
+
+}).catchall(z.unknown()),
+	},
+	"ojMarketTrustKeyPost": {
+		body: z.object({
+	"key_id": z.string(),
+	"public_key": z.string()
+}),
+		data: z.object({
+
+}).catchall(z.unknown()),
+	},
+	"ojMarketTrustKeyDelete": {
+		query: z.object({
+	"key_id": z.string()
+}),
+		data: z.object({
+
+}).catchall(z.unknown()),
+	},
+	"ojMarketIndexGet": {
+		query: z.object({
+	"page": z.number().min(1).optional(),
+	"size": z.number().min(1).max(200).optional()
+}),
+		data: z.object({
+	"list": z.array(z.object({
+
+}).catchall(z.unknown())),
+	"total": z.number(),
+	"page": z.number(),
+	"size": z.number()
+}),
+	},
+	"ojMarketCatalogGet": {
+		query: z.object({
+	"page": z.number().min(1).optional(),
+	"size": z.number().min(1).max(200).optional()
+}),
+		data: z.object({
+
+}).catchall(z.unknown()),
+	},
+	"ojMarketCatalogDetailGet": {
+		query: z.object({
+	"name": z.string(),
+	"version": z.string().optional()
+}),
+		data: z.object({
+
+}).catchall(z.unknown()),
+	},
+	"ojMarketYankPost": {
+		body: z.object({
+	"product": z.string(),
+	"version": z.string(),
+	"reason": z.string().optional(),
+	"by": z.string().optional(),
+	"restore": z.boolean().optional()
+}),
+		data: z.object({
+
+}).catchall(z.unknown()),
+	},
+	"ojMarketUninstallImpactGet": {
+		query: z.object({
+	"name": z.string()
+}),
+		data: z.object({
+
+}).catchall(z.unknown()),
+	},
+	"ojMarketUninstallPost": {
+		body: z.object({
+	"name": z.string()
+}),
+		data: z.object({
+
+}).catchall(z.unknown()),
+	},
+	"ojMarketHistoryGet": {
+		data: z.array(z.object({
+
+}).catchall(z.unknown())),
+	},
+	"ojMarketReleasesGet": {
+		query: z.object({
+	"page": z.number().min(1).optional(),
+	"limit": z.number().min(1).max(200).optional()
+}),
+		data: z.object({
+	"list": z.array(z.object({
+
+}).catchall(z.unknown())),
+	"total": z.number(),
+	"page": z.number(),
+	"size": z.number()
+}),
+	},
+	"ojMarketCdnUploadPost": {
+		query: z.object({
+	"name": z.string()
+}),
+		data: z.object({
+
+}).catchall(z.unknown()),
+	},
+};