@oneentry/mcp-platform-server 0.1.0

package/dist/api/audit.d.ts

@@ -0,0 +1,32 @@
+/** Одна запись аудита изменяющего вызова. */
+export interface AuditEntry {
+    at: string;
+    mode: string;
+    adminId?: number;
+    opId: string;
+    method: string;
+    path: string;
+    argsHash: string;
+    outcome: 'denied' | 'needs-confirm' | 'sent';
+    status?: number;
+}
+/**
+ * Журнал изменяющих вызовов в формате JSONL.
+ * Пишем хэш аргументов, а не сами аргументы: тела запросов содержат
+ * пользовательские данные, а для разбора инцидента достаточно связать вызовы между собой.
+ */
+export declare class AuditLog {
+    private readonly path;
+    private readonly mode;
+    constructor(params: {
+        path?: string;
+        mode: string;
+    });
+    static hashArgs(args: unknown): string;
+    /**
+     * Пишет запись, не роняя вызов при недоступности файла: аудит важен,
+     * но потеря строки лога — не причина провалить операцию, о которой уже отчитались.
+     */
+    record(entry: Omit<AuditEntry, 'at' | 'mode'>): void;
+}
+//# sourceMappingURL=audit.d.ts.map

package/dist/api/audit.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"audit.d.ts","sourceRoot":"","sources":["../../src/api/audit.ts"],"names":[],"mappings":"AAGA,6CAA6C;AAC7C,MAAM,WAAW,UAAU;IACzB,EAAE,EAAE,MAAM,CAAC;IACX,IAAI,EAAE,MAAM,CAAC;IACb,OAAO,CAAC,EAAE,MAAM,CAAC;IACjB,IAAI,EAAE,MAAM,CAAC;IACb,MAAM,EAAE,MAAM,CAAC;IACf,IAAI,EAAE,MAAM,CAAC;IACb,QAAQ,EAAE,MAAM,CAAC;IACjB,OAAO,EAAE,QAAQ,GAAG,eAAe,GAAG,MAAM,CAAC;IAC7C,MAAM,CAAC,EAAE,MAAM,CAAC;CACjB;AAED;;;;GAIG;AACH,qBAAa,QAAQ;IACnB,OAAO,CAAC,QAAQ,CAAC,IAAI,CAAqB;IAC1C,OAAO,CAAC,QAAQ,CAAC,IAAI,CAAS;gBAElB,MAAM,EAAE;QAAE,IAAI,CAAC,EAAE,MAAM,CAAC;QAAC,IAAI,EAAE,MAAM,CAAA;KAAE;IAKnD,MAAM,CAAC,QAAQ,CAAC,IAAI,EAAE,OAAO,GAAG,MAAM;IAItC;;;OAGG;IACH,MAAM,CAAC,KAAK,EAAE,IAAI,CAAC,UAAU,EAAE,IAAI,GAAG,MAAM,CAAC,GAAG,IAAI;CAWrD"}

package/dist/api/audit.js

@@ -0,0 +1,35 @@
+import { appendFileSync } from 'node:fs';
+import { createHash } from 'node:crypto';
+/**
+ * Журнал изменяющих вызовов в формате JSONL.
+ * Пишем хэш аргументов, а не сами аргументы: тела запросов содержат
+ * пользовательские данные, а для разбора инцидента достаточно связать вызовы между собой.
+ */
+export class AuditLog {
+    path;
+    mode;
+    constructor(params) {
+        this.path = params.path;
+        this.mode = params.mode;
+    }
+    static hashArgs(args) {
+        return createHash('sha256').update(JSON.stringify(args ?? null)).digest('hex').slice(0, 16);
+    }
+    /**
+     * Пишет запись, не роняя вызов при недоступности файла: аудит важен,
+     * но потеря строки лога — не причина провалить операцию, о которой уже отчитались.
+     */
+    record(entry) {
+        if (!this.path) {
+            return;
+        }
+        const line = JSON.stringify({ at: new Date().toISOString(), mode: this.mode, ...entry });
+        try {
+            appendFileSync(this.path, `${line}\n`);
+        }
+        catch (error) {
+            process.stderr.write(`oneentry-mcp-platform: audit write failed: ${String(error)}\n`);
+        }
+    }
+}
+//# sourceMappingURL=audit.js.map

package/dist/api/audit.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"audit.js","sourceRoot":"","sources":["../../src/api/audit.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,cAAc,EAAE,MAAM,SAAS,CAAC;AACzC,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AAezC;;;;GAIG;AACH,MAAM,OAAO,QAAQ;IACF,IAAI,CAAqB;IACzB,IAAI,CAAS;IAE9B,YAAY,MAAuC;QACjD,IAAI,CAAC,IAAI,GAAG,MAAM,CAAC,IAAI,CAAC;QACxB,IAAI,CAAC,IAAI,GAAG,MAAM,CAAC,IAAI,CAAC;IAC1B,CAAC;IAED,MAAM,CAAC,QAAQ,CAAC,IAAa;QAC3B,OAAO,UAAU,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,IAAI,CAAC,SAAS,CAAC,IAAI,IAAI,IAAI,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;IAC9F,CAAC;IAED;;;OAGG;IACH,MAAM,CAAC,KAAsC;QAC3C,IAAI,CAAC,IAAI,CAAC,IAAI,EAAE,CAAC;YACf,OAAO;QACT,CAAC;QACD,MAAM,IAAI,GAAG,IAAI,CAAC,SAAS,CAAC,EAAE,EAAE,EAAE,IAAI,IAAI,EAAE,CAAC,WAAW,EAAE,EAAE,IAAI,EAAE,IAAI,CAAC,IAAI,EAAE,GAAG,KAAK,EAAE,CAAC,CAAC;QACzF,IAAI,CAAC;YACH,cAAc,CAAC,IAAI,CAAC,IAAI,EAAE,GAAG,IAAI,IAAI,CAAC,CAAC;QACzC,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YACf,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,8CAA8C,MAAM,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC;QACxF,CAAC;IACH,CAAC;CACF"}

package/dist/api/auth.d.ts

@@ -0,0 +1,53 @@
+import type { Config } from '../config/config.js';
+/** Пара токенов Admin API, как её отдаёт `POST /auth/login`. */
+export interface TokenPair {
+    accessToken: string;
+    refreshToken: string;
+}
+/** Данные аутентифицированного админа, восстановленные из токена и API. */
+export interface AdminIdentity {
+    id: number;
+    login?: string;
+    permissions: string[];
+}
+/** Учётные данные одной сессии. В remote-режиме у каждой сессии свои. */
+export interface Credentials {
+    login?: string;
+    password?: string;
+    token?: string;
+}
+/** Ошибка аутентификации с текстом, пригодным для показа модели. */
+export declare class AuthError extends Error {
+}
+/** Достаёт идентификатор админа из payload access-токена. */
+export declare const adminIdFromToken: (token: string) => number;
+/**
+ * Держит пару токенов для одного набора учётных данных.
+ * Токены живут только в памяти и только внутри сессии: в remote-режиме
+ * это то, что не даёт токену одной сессии утечь в другую.
+ */
+export declare class TokenStore {
+    private pair;
+    private readonly baseUrl;
+    private readonly timeoutMs;
+    private readonly credentials;
+    constructor(params: {
+        baseUrl: string;
+        timeoutMs: number;
+        credentials: Credentials;
+    });
+    /** Есть ли чем аутентифицироваться вообще. */
+    get isConfigured(): boolean;
+    private post;
+    private static readPair;
+    /** Возвращает access-токен, логинясь при первом обращении. */
+    accessToken(): Promise<string>;
+    /**
+     * Обновляет пару после 401. Если refresh невозможен (передан готовый токен
+     * или refresh отвергнут) — пробует полный логин, и только потом сдаётся.
+     */
+    refresh(): Promise<string>;
+}
+/** Учётные данные из конфигурации — источник по умолчанию для local-режима. */
+export declare const credentialsFromConfig: (config: Config) => Credentials;
+//# sourceMappingURL=auth.d.ts.map

package/dist/api/auth.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"auth.d.ts","sourceRoot":"","sources":["../../src/api/auth.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,MAAM,EAAE,MAAM,qBAAqB,CAAC;AAElD,gEAAgE;AAChE,MAAM,WAAW,SAAS;IACxB,WAAW,EAAE,MAAM,CAAC;IACpB,YAAY,EAAE,MAAM,CAAC;CACtB;AAED,2EAA2E;AAC3E,MAAM,WAAW,aAAa;IAC5B,EAAE,EAAE,MAAM,CAAC;IACX,KAAK,CAAC,EAAE,MAAM,CAAC;IACf,WAAW,EAAE,MAAM,EAAE,CAAC;CACvB;AAED,yEAAyE;AACzE,MAAM,WAAW,WAAW;IAC1B,KAAK,CAAC,EAAE,MAAM,CAAC;IACf,QAAQ,CAAC,EAAE,MAAM,CAAC;IAClB,KAAK,CAAC,EAAE,MAAM,CAAC;CAChB;AAED,oEAAoE;AACpE,qBAAa,SAAU,SAAQ,KAAK;CAAG;AAevC,6DAA6D;AAC7D,eAAO,MAAM,gBAAgB,GAAI,OAAO,MAAM,KAAG,MAQhD,CAAC;AAEF;;;;GAIG;AACH,qBAAa,UAAU;IACrB,OAAO,CAAC,IAAI,CAAwB;IACpC,OAAO,CAAC,QAAQ,CAAC,OAAO,CAAS;IACjC,OAAO,CAAC,QAAQ,CAAC,SAAS,CAAS;IACnC,OAAO,CAAC,QAAQ,CAAC,WAAW,CAAc;gBAE9B,MAAM,EAAE;QAAE,OAAO,EAAE,MAAM,CAAC;QAAC,SAAS,EAAE,MAAM,CAAC;QAAC,WAAW,EAAE,WAAW,CAAA;KAAE;IASpF,8CAA8C;IAC9C,IAAI,YAAY,IAAI,OAAO,CAI1B;YAEa,IAAI;IAuBlB,OAAO,CAAC,MAAM,CAAC,QAAQ;IAgBvB,8DAA8D;IACxD,WAAW,IAAI,OAAO,CAAC,MAAM,CAAC;IAkBpC;;;OAGG;IACG,OAAO,IAAI,OAAO,CAAC,MAAM,CAAC;CAgBjC;AAED,+EAA+E;AAC/E,eAAO,MAAM,qBAAqB,GAAI,QAAQ,MAAM,KAAG,WAIrD,CAAC"}

package/dist/api/auth.js

@@ -0,0 +1,126 @@
+/** Ошибка аутентификации с текстом, пригодным для показа модели. */
+export class AuthError extends Error {
+}
+const decodeJwtPayload = (token) => {
+    const part = token.split('.')[1];
+    if (!part) {
+        throw new AuthError('Access token is not a JWT');
+    }
+    const json = Buffer.from(part.replace(/-/g, '+').replace(/_/g, '/'), 'base64').toString('utf8');
+    const parsed = JSON.parse(json);
+    if (typeof parsed !== 'object' || parsed === null) {
+        throw new AuthError('Access token payload is not an object');
+    }
+    return parsed;
+};
+/** Достаёт идентификатор админа из payload access-токена. */
+export const adminIdFromToken = (token) => {
+    const payload = decodeJwtPayload(token);
+    const id = payload['id'] ?? payload['sub'] ?? payload['userId'];
+    const numeric = typeof id === 'string' ? Number(id) : id;
+    if (typeof numeric !== 'number' || !Number.isFinite(numeric)) {
+        throw new AuthError('Access token payload has no numeric admin id');
+    }
+    return numeric;
+};
+/**
+ * Держит пару токенов для одного набора учётных данных.
+ * Токены живут только в памяти и только внутри сессии: в remote-режиме
+ * это то, что не даёт токену одной сессии утечь в другую.
+ */
+export class TokenStore {
+    pair;
+    baseUrl;
+    timeoutMs;
+    credentials;
+    constructor(params) {
+        this.baseUrl = params.baseUrl;
+        this.timeoutMs = params.timeoutMs;
+        this.credentials = params.credentials;
+        if (params.credentials.token) {
+            this.pair = { accessToken: params.credentials.token, refreshToken: '' };
+        }
+    }
+    /** Есть ли чем аутентифицироваться вообще. */
+    get isConfigured() {
+        return Boolean(this.credentials.token || (this.credentials.login && this.credentials.password));
+    }
+    async post(path, body) {
+        const response = await fetch(`${this.baseUrl}${path}`, {
+            method: 'POST',
+            headers: { 'content-type': 'application/json' },
+            body: JSON.stringify(body),
+            signal: AbortSignal.timeout(this.timeoutMs),
+        });
+        const text = await response.text();
+        if (!response.ok) {
+            /**
+             * Admin API отвечает 401 «Login or password incorrect» и на developer-аккаунт:
+             * контроллер отбрасывает админов с isDeveloper. Без этой подсказки агент
+             * будет бесконечно перепроверять пароль.
+             */
+            const hint = response.status === 401
+                ? ' The Admin API also returns 401 for accounts flagged isDeveloper — those belong to the Developer API, which this server does not expose.'
+                : '';
+            throw new AuthError(`${path} failed with ${response.status}: ${text.slice(0, 200)}${hint}`);
+        }
+        return JSON.parse(text);
+    }
+    static readPair(raw) {
+        if (typeof raw !== 'object' || raw === null) {
+            throw new AuthError('Auth response is not an object');
+        }
+        const record = raw;
+        const accessToken = record['accessToken'];
+        const refreshToken = record['refreshToken'];
+        if (typeof accessToken !== 'string') {
+            throw new AuthError('Auth response has no accessToken');
+        }
+        return {
+            accessToken,
+            refreshToken: typeof refreshToken === 'string' ? refreshToken : '',
+        };
+    }
+    /** Возвращает access-токен, логинясь при первом обращении. */
+    async accessToken() {
+        if (this.pair) {
+            return this.pair.accessToken;
+        }
+        if (!this.credentials.login || !this.credentials.password) {
+            throw new AuthError('No credentials: set ONEENTRY_CMS_LOGIN + ONEENTRY_CMS_PASSWORD, or ONEENTRY_CMS_TOKEN.');
+        }
+        this.pair = TokenStore.readPair(await this.post('/auth/login', {
+            login: this.credentials.login,
+            password: this.credentials.password,
+        }));
+        return this.pair.accessToken;
+    }
+    /**
+     * Обновляет пару после 401. Если refresh невозможен (передан готовый токен
+     * или refresh отвергнут) — пробует полный логин, и только потом сдаётся.
+     */
+    async refresh() {
+        const refreshToken = this.pair?.refreshToken;
+        this.pair = undefined;
+        if (refreshToken) {
+            try {
+                this.pair = TokenStore.readPair(await this.post('/auth/refresh', { refreshToken }));
+                return this.pair.accessToken;
+            }
+            catch {
+                this.pair = undefined;
+            }
+        }
+        if (!this.credentials.login || !this.credentials.password) {
+            throw new AuthError('Access token rejected and no login/password available to re-authenticate.');
+        }
+        return this.accessToken();
+    }
+}
+/** Учётные данные из конфигурации — источник по умолчанию для local-режима. */
+export const credentialsFromConfig = (config) => ({
+    ...(config.login ? { login: config.login } : {}),
+    ...(config.password ? { password: config.password } : {}),
+    ...(config.token ? { token: config.token } : {}),
+});
+//# sourceMappingURL=auth.js.map

package/dist/api/auth.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"auth.js","sourceRoot":"","sources":["../../src/api/auth.ts"],"names":[],"mappings":"AAsBA,oEAAoE;AACpE,MAAM,OAAO,SAAU,SAAQ,KAAK;CAAG;AAEvC,MAAM,gBAAgB,GAAG,CAAC,KAAa,EAA2B,EAAE;IAClE,MAAM,IAAI,GAAG,KAAK,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC;IACjC,IAAI,CAAC,IAAI,EAAE,CAAC;QACV,MAAM,IAAI,SAAS,CAAC,2BAA2B,CAAC,CAAC;IACnD,CAAC;IACD,MAAM,IAAI,GAAG,MAAM,CAAC,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,IAAI,EAAE,GAAG,CAAC,CAAC,OAAO,CAAC,IAAI,EAAE,GAAG,CAAC,EAAE,QAAQ,CAAC,CAAC,QAAQ,CAAC,MAAM,CAAC,CAAC;IAChG,MAAM,MAAM,GAAY,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC;IACzC,IAAI,OAAO,MAAM,KAAK,QAAQ,IAAI,MAAM,KAAK,IAAI,EAAE,CAAC;QAClD,MAAM,IAAI,SAAS,CAAC,uCAAuC,CAAC,CAAC;IAC/D,CAAC;IACD,OAAO,MAAiC,CAAC;AAC3C,CAAC,CAAC;AAEF,6DAA6D;AAC7D,MAAM,CAAC,MAAM,gBAAgB,GAAG,CAAC,KAAa,EAAU,EAAE;IACxD,MAAM,OAAO,GAAG,gBAAgB,CAAC,KAAK,CAAC,CAAC;IACxC,MAAM,EAAE,GAAG,OAAO,CAAC,IAAI,CAAC,IAAI,OAAO,CAAC,KAAK,CAAC,IAAI,OAAO,CAAC,QAAQ,CAAC,CAAC;IAChE,MAAM,OAAO,GAAG,OAAO,EAAE,KAAK,QAAQ,CAAC,CAAC,CAAC,MAAM,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;IACzD,IAAI,OAAO,OAAO,KAAK,QAAQ,IAAI,CAAC,MAAM,CAAC,QAAQ,CAAC,OAAO,CAAC,EAAE,CAAC;QAC7D,MAAM,IAAI,SAAS,CAAC,8CAA8C,CAAC,CAAC;IACtE,CAAC;IACD,OAAO,OAAO,CAAC;AACjB,CAAC,CAAC;AAEF;;;;GAIG;AACH,MAAM,OAAO,UAAU;IACb,IAAI,CAAwB;IACnB,OAAO,CAAS;IAChB,SAAS,CAAS;IAClB,WAAW,CAAc;IAE1C,YAAY,MAAwE;QAClF,IAAI,CAAC,OAAO,GAAG,MAAM,CAAC,OAAO,CAAC;QAC9B,IAAI,CAAC,SAAS,GAAG,MAAM,CAAC,SAAS,CAAC;QAClC,IAAI,CAAC,WAAW,GAAG,MAAM,CAAC,WAAW,CAAC;QACtC,IAAI,MAAM,CAAC,WAAW,CAAC,KAAK,EAAE,CAAC;YAC7B,IAAI,CAAC,IAAI,GAAG,EAAE,WAAW,EAAE,MAAM,CAAC,WAAW,CAAC,KAAK,EAAE,YAAY,EAAE,EAAE,EAAE,CAAC;QAC1E,CAAC;IACH,CAAC;IAED,8CAA8C;IAC9C,IAAI,YAAY;QACd,OAAO,OAAO,CACZ,IAAI,CAAC,WAAW,CAAC,KAAK,IAAI,CAAC,IAAI,CAAC,WAAW,CAAC,KAAK,IAAI,IAAI,CAAC,WAAW,CAAC,QAAQ,CAAC,CAChF,CAAC;IACJ,CAAC;IAEO,KAAK,CAAC,IAAI,CAAC,IAAY,EAAE,IAAa;QAC5C,MAAM,QAAQ,GAAG,MAAM,KAAK,CAAC,GAAG,IAAI,CAAC,OAAO,GAAG,IAAI,EAAE,EAAE;YACrD,MAAM,EAAE,MAAM;YACd,OAAO,EAAE,EAAE,cAAc,EAAE,kBAAkB,EAAE;YAC/C,IAAI,EAAE,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC;YAC1B,MAAM,EAAE,WAAW,CAAC,OAAO,CAAC,IAAI,CAAC,SAAS,CAAC;SAC5C,CAAC,CAAC;QACH,MAAM,IAAI,GAAG,MAAM,QAAQ,CAAC,IAAI,EAAE,CAAC;QACnC,IAAI,CAAC,QAAQ,CAAC,EAAE,EAAE,CAAC;YACjB;;;;eAIG;YACH,MAAM,IAAI,GACR,QAAQ,CAAC,MAAM,KAAK,GAAG;gBACrB,CAAC,CAAC,0IAA0I;gBAC5I,CAAC,CAAC,EAAE,CAAC;YACT,MAAM,IAAI,SAAS,CAAC,GAAG,IAAI,gBAAgB,QAAQ,CAAC,MAAM,KAAK,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,GAAG,CAAC,GAAG,IAAI,EAAE,CAAC,CAAC;QAC9F,CAAC;QACD,OAAO,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC;IAC1B,CAAC;IAEO,MAAM,CAAC,QAAQ,CAAC,GAAY;QAClC,IAAI,OAAO,GAAG,KAAK,QAAQ,IAAI,GAAG,KAAK,IAAI,EAAE,CAAC;YAC5C,MAAM,IAAI,SAAS,CAAC,gCAAgC,CAAC,CAAC;QACxD,CAAC;QACD,MAAM,MAAM,GAAG,GAA8B,CAAC;QAC9C,MAAM,WAAW,GAAG,MAAM,CAAC,aAAa,CAAC,CAAC;QAC1C,MAAM,YAAY,GAAG,MAAM,CAAC,cAAc,CAAC,CAAC;QAC5C,IAAI,OAAO,WAAW,KAAK,QAAQ,EAAE,CAAC;YACpC,MAAM,IAAI,SAAS,CAAC,kCAAkC,CAAC,CAAC;QAC1D,CAAC;QACD,OAAO;YACL,WAAW;YACX,YAAY,EAAE,OAAO,YAAY,KAAK,QAAQ,CAAC,CAAC,CAAC,YAAY,CAAC,CAAC,CAAC,EAAE;SACnE,CAAC;IACJ,CAAC;IAED,8DAA8D;IAC9D,KAAK,CAAC,WAAW;QACf,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;YACd,OAAO,IAAI,CAAC,IAAI,CAAC,WAAW,CAAC;QAC/B,CAAC;QACD,IAAI,CAAC,IAAI,CAAC,WAAW,CAAC,KAAK,IAAI,CAAC,IAAI,CAAC,WAAW,CAAC,QAAQ,EAAE,CAAC;YAC1D,MAAM,IAAI,SAAS,CACjB,wFAAwF,CACzF,CAAC;QACJ,CAAC;QACD,IAAI,CAAC,IAAI,GAAG,UAAU,CAAC,QAAQ,CAC7B,MAAM,IAAI,CAAC,IAAI,CAAC,aAAa,EAAE;YAC7B,KAAK,EAAE,IAAI,CAAC,WAAW,CAAC,KAAK;YAC7B,QAAQ,EAAE,IAAI,CAAC,WAAW,CAAC,QAAQ;SACpC,CAAC,CACH,CAAC;QACF,OAAO,IAAI,CAAC,IAAI,CAAC,WAAW,CAAC;IAC/B,CAAC;IAED;;;OAGG;IACH,KAAK,CAAC,OAAO;QACX,MAAM,YAAY,GAAG,IAAI,CAAC,IAAI,EAAE,YAAY,CAAC;QAC7C,IAAI,CAAC,IAAI,GAAG,SAAS,CAAC;QACtB,IAAI,YAAY,EAAE,CAAC;YACjB,IAAI,CAAC;gBACH,IAAI,CAAC,IAAI,GAAG,UAAU,CAAC,QAAQ,CAAC,MAAM,IAAI,CAAC,IAAI,CAAC,eAAe,EAAE,EAAE,YAAY,EAAE,CAAC,CAAC,CAAC;gBACpF,OAAO,IAAI,CAAC,IAAI,CAAC,WAAW,CAAC;YAC/B,CAAC;YAAC,MAAM,CAAC;gBACP,IAAI,CAAC,IAAI,GAAG,SAAS,CAAC;YACxB,CAAC;QACH,CAAC;QACD,IAAI,CAAC,IAAI,CAAC,WAAW,CAAC,KAAK,IAAI,CAAC,IAAI,CAAC,WAAW,CAAC,QAAQ,EAAE,CAAC;YAC1D,MAAM,IAAI,SAAS,CAAC,2EAA2E,CAAC,CAAC;QACnG,CAAC;QACD,OAAO,IAAI,CAAC,WAAW,EAAE,CAAC;IAC5B,CAAC;CACF;AAED,+EAA+E;AAC/E,MAAM,CAAC,MAAM,qBAAqB,GAAG,CAAC,MAAc,EAAe,EAAE,CAAC,CAAC;IACrE,GAAG,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,EAAE,MAAM,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;IAChD,GAAG,CAAC,MAAM,CAAC,QAAQ,CAAC,CAAC,CAAC,EAAE,QAAQ,EAAE,MAAM,CAAC,QAAQ,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;IACzD,GAAG,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,KAAK,EAAE,MAAM,CAAC,KAAK,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;CACjD,CAAC,CAAC"}

package/dist/api/catalog.d.ts

@@ -0,0 +1,39 @@
+import type { Catalog, Operation } from './types.js';
+/** Найденная операция с оценкой релевантности. */
+export interface OperationHit {
+    opId: string;
+    method: string;
+    path: string;
+    tag: string;
+    summary: string;
+    permission?: string;
+    risk: Operation['risk'];
+    score: number;
+}
+/**
+ * Индекс каталога операций.
+ * Поиск здесь примитивный — подсчёт совпадений термов по склеенной строке.
+ * Это осознанно: путей 478, они короткие и хорошо самоописаны,
+ * полнотекстовый движок дал бы ту же выдачу при большем весе.
+ */
+export declare class OperationCatalog {
+    private readonly byOpId;
+    readonly catalog: Catalog;
+    constructor(catalog: Catalog);
+    static load(): OperationCatalog;
+    get(opId: string): Operation | undefined;
+    operations(): readonly Operation[];
+    /**
+     * Подсказывает похожие `opId` — нужна для внятной ошибки, когда модель
+     * угадала имя операции вместо того, чтобы взять его из поиска.
+     */
+    suggest(opId: string, limit?: number): string[];
+    search(params: {
+        query: string;
+        tag?: string;
+        method?: string;
+        mutating?: boolean;
+        limit?: number;
+    }): OperationHit[];
+}
+//# sourceMappingURL=catalog.d.ts.map

package/dist/api/catalog.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"catalog.d.ts","sourceRoot":"","sources":["../../src/api/catalog.ts"],"names":[],"mappings":"AAGA,OAAO,KAAK,EAAE,OAAO,EAAE,SAAS,EAAE,MAAM,YAAY,CAAC;AAErD,kDAAkD;AAClD,MAAM,WAAW,YAAY;IAC3B,IAAI,EAAE,MAAM,CAAC;IACb,MAAM,EAAE,MAAM,CAAC;IACf,IAAI,EAAE,MAAM,CAAC;IACb,GAAG,EAAE,MAAM,CAAC;IACZ,OAAO,EAAE,MAAM,CAAC;IAChB,UAAU,CAAC,EAAE,MAAM,CAAC;IACpB,IAAI,EAAE,SAAS,CAAC,MAAM,CAAC,CAAC;IACxB,KAAK,EAAE,MAAM,CAAC;CACf;AAED;;;;;GAKG;AACH,qBAAa,gBAAgB;IAC3B,OAAO,CAAC,QAAQ,CAAC,MAAM,CAAyB;IAChD,QAAQ,CAAC,OAAO,EAAE,OAAO,CAAC;gBAEd,OAAO,EAAE,OAAO;IAS5B,MAAM,CAAC,IAAI,IAAI,gBAAgB;IAK/B,GAAG,CAAC,IAAI,EAAE,MAAM,GAAG,SAAS,GAAG,SAAS;IAIxC,UAAU,IAAI,SAAS,SAAS,EAAE;IAIlC;;;OAGG;IACH,OAAO,CAAC,IAAI,EAAE,MAAM,EAAE,KAAK,SAAI,GAAG,MAAM,EAAE;IAU1C,MAAM,CAAC,MAAM,EAAE;QACb,KAAK,EAAE,MAAM,CAAC;QACd,GAAG,CAAC,EAAE,MAAM,CAAC;QACb,MAAM,CAAC,EAAE,MAAM,CAAC;QAChB,QAAQ,CAAC,EAAE,OAAO,CAAC;QACnB,KAAK,CAAC,EAAE,MAAM,CAAC;KAChB,GAAG,YAAY,EAAE;CA+CnB"}

package/dist/api/catalog.js

@@ -0,0 +1,108 @@
+import { readFileSync } from 'node:fs';
+import { resolve } from 'node:path';
+import { dataDir } from '../knowledge/loader.js';
+/**
+ * Индекс каталога операций.
+ * Поиск здесь примитивный — подсчёт совпадений термов по склеенной строке.
+ * Это осознанно: путей 478, они короткие и хорошо самоописаны,
+ * полнотекстовый движок дал бы ту же выдачу при большем весе.
+ */
+export class OperationCatalog {
+    byOpId;
+    catalog;
+    constructor(catalog) {
+        if (catalog.version !== 1) {
+            throw new Error(`Unsupported catalog version ${String(catalog.version)}`);
+        }
+        /** Снапшот приходит из файла, поэтому необязательные поля нормализуем на входе. */
+        this.catalog = { ...catalog, warnings: catalog.warnings ?? [] };
+        this.byOpId = new Map(catalog.operations.map((o) => [o.opId, o]));
+    }
+    static load() {
+        const file = resolve(dataDir(), 'catalog.json');
+        return new OperationCatalog(JSON.parse(readFileSync(file, 'utf8')));
+    }
+    get(opId) {
+        return this.byOpId.get(opId);
+    }
+    operations() {
+        return this.catalog.operations;
+    }
+    /**
+     * Подсказывает похожие `opId` — нужна для внятной ошибки, когда модель
+     * угадала имя операции вместо того, чтобы взять его из поиска.
+     */
+    suggest(opId, limit = 5) {
+        const needle = opId.toLowerCase();
+        return this.catalog.operations
+            .map((o) => ({ opId: o.opId, score: overlap(o.opId.toLowerCase(), needle) }))
+            .filter((entry) => entry.score > 0)
+            .sort((a, b) => b.score - a.score)
+            .slice(0, limit)
+            .map((entry) => entry.opId);
+    }
+    search(params) {
+        const terms = params.query
+            .toLowerCase()
+            .split(/[\s/.]+/)
+            .filter((t) => t.length > 1);
+        const hits = [];
+        for (const operation of this.catalog.operations) {
+            if (params.tag && operation.tag.toLowerCase() !== params.tag.toLowerCase()) {
+                continue;
+            }
+            if (params.method && operation.method !== params.method.toLowerCase()) {
+                continue;
+            }
+            if (params.mutating !== undefined && params.mutating !== (operation.risk !== 'read')) {
+                continue;
+            }
+            let score = terms.length === 0 ? 1 : 0;
+            for (const term of terms) {
+                if (operation.path.toLowerCase().includes(term)) {
+                    score += 3;
+                }
+                if (operation.tag.toLowerCase().includes(term)) {
+                    score += 2;
+                }
+                if (operation.searchText.includes(term)) {
+                    score += 1;
+                }
+            }
+            if (score > 0) {
+                hits.push({
+                    opId: operation.opId,
+                    method: operation.method.toUpperCase(),
+                    path: operation.path,
+                    tag: operation.tag,
+                    summary: operation.summary,
+                    ...(operation.permission ? { permission: operation.permission } : {}),
+                    risk: operation.risk,
+                    score,
+                });
+            }
+        }
+        hits.sort((a, b) => b.score - a.score || a.path.length - b.path.length);
+        return hits.slice(0, params.limit ?? 15);
+    }
+}
+/** Доля общих триграмм — грубая, но достаточная мера похожести имён операций. */
+const overlap = (a, b) => {
+    const grams = (value) => {
+        const out = new Set();
+        for (let i = 0; i + 3 <= value.length; i++) {
+            out.add(value.slice(i, i + 3));
+        }
+        return out;
+    };
+    const left = grams(a);
+    const right = grams(b);
+    let shared = 0;
+    for (const gram of right) {
+        if (left.has(gram)) {
+            shared += 1;
+        }
+    }
+    return right.size === 0 ? 0 : shared / right.size;
+};
+//# sourceMappingURL=catalog.js.map

package/dist/api/catalog.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"catalog.js","sourceRoot":"","sources":["../../src/api/catalog.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,YAAY,EAAE,MAAM,SAAS,CAAC;AACvC,OAAO,EAAE,OAAO,EAAE,MAAM,WAAW,CAAC;AACpC,OAAO,EAAE,OAAO,EAAE,MAAM,wBAAwB,CAAC;AAejD;;;;;GAKG;AACH,MAAM,OAAO,gBAAgB;IACV,MAAM,CAAyB;IACvC,OAAO,CAAU;IAE1B,YAAY,OAAgB;QAC1B,IAAI,OAAO,CAAC,OAAO,KAAK,CAAC,EAAE,CAAC;YAC1B,MAAM,IAAI,KAAK,CAAC,+BAA+B,MAAM,CAAC,OAAO,CAAC,OAAO,CAAC,EAAE,CAAC,CAAC;QAC5E,CAAC;QACD,mFAAmF;QACnF,IAAI,CAAC,OAAO,GAAG,EAAE,GAAG,OAAO,EAAE,QAAQ,EAAE,OAAO,CAAC,QAAQ,IAAI,EAAE,EAAE,CAAC;QAChE,IAAI,CAAC,MAAM,GAAG,IAAI,GAAG,CAAC,OAAO,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC;IACpE,CAAC;IAED,MAAM,CAAC,IAAI;QACT,MAAM,IAAI,GAAG,OAAO,CAAC,OAAO,EAAE,EAAE,cAAc,CAAC,CAAC;QAChD,OAAO,IAAI,gBAAgB,CAAC,IAAI,CAAC,KAAK,CAAC,YAAY,CAAC,IAAI,EAAE,MAAM,CAAC,CAAY,CAAC,CAAC;IACjF,CAAC;IAED,GAAG,CAAC,IAAY;QACd,OAAO,IAAI,CAAC,MAAM,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;IAC/B,CAAC;IAED,UAAU;QACR,OAAO,IAAI,CAAC,OAAO,CAAC,UAAU,CAAC;IACjC,CAAC;IAED;;;OAGG;IACH,OAAO,CAAC,IAAY,EAAE,KAAK,GAAG,CAAC;QAC7B,MAAM,MAAM,GAAG,IAAI,CAAC,WAAW,EAAE,CAAC;QAClC,OAAO,IAAI,CAAC,OAAO,CAAC,UAAU;aAC3B,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,IAAI,EAAE,KAAK,EAAE,OAAO,CAAC,CAAC,CAAC,IAAI,CAAC,WAAW,EAAE,EAAE,MAAM,CAAC,EAAE,CAAC,CAAC;aAC5E,MAAM,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,KAAK,CAAC,KAAK,GAAG,CAAC,CAAC;aAClC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,KAAK,GAAG,CAAC,CAAC,KAAK,CAAC;aACjC,KAAK,CAAC,CAAC,EAAE,KAAK,CAAC;aACf,GAAG,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC;IAChC,CAAC;IAED,MAAM,CAAC,MAMN;QACC,MAAM,KAAK,GAAG,MAAM,CAAC,KAAK;aACvB,WAAW,EAAE;aACb,KAAK,CAAC,SAAS,CAAC;aAChB,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC;QAC/B,MAAM,IAAI,GAAmB,EAAE,CAAC;QAEhC,KAAK,MAAM,SAAS,IAAI,IAAI,CAAC,OAAO,CAAC,UAAU,EAAE,CAAC;YAChD,IAAI,MAAM,CAAC,GAAG,IAAI,SAAS,CAAC,GAAG,CAAC,WAAW,EAAE,KAAK,MAAM,CAAC,GAAG,CAAC,WAAW,EAAE,EAAE,CAAC;gBAC3E,SAAS;YACX,CAAC;YACD,IAAI,MAAM,CAAC,MAAM,IAAI,SAAS,CAAC,MAAM,KAAK,MAAM,CAAC,MAAM,CAAC,WAAW,EAAE,EAAE,CAAC;gBACtE,SAAS;YACX,CAAC;YACD,IAAI,MAAM,CAAC,QAAQ,KAAK,SAAS,IAAI,MAAM,CAAC,QAAQ,KAAK,CAAC,SAAS,CAAC,IAAI,KAAK,MAAM,CAAC,EAAE,CAAC;gBACrF,SAAS;YACX,CAAC;YAED,IAAI,KAAK,GAAG,KAAK,CAAC,MAAM,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;YACvC,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;gBACzB,IAAI,SAAS,CAAC,IAAI,CAAC,WAAW,EAAE,CAAC,QAAQ,CAAC,IAAI,CAAC,EAAE,CAAC;oBAChD,KAAK,IAAI,CAAC,CAAC;gBACb,CAAC;gBACD,IAAI,SAAS,CAAC,GAAG,CAAC,WAAW,EAAE,CAAC,QAAQ,CAAC,IAAI,CAAC,EAAE,CAAC;oBAC/C,KAAK,IAAI,CAAC,CAAC;gBACb,CAAC;gBACD,IAAI,SAAS,CAAC,UAAU,CAAC,QAAQ,CAAC,IAAI,CAAC,EAAE,CAAC;oBACxC,KAAK,IAAI,CAAC,CAAC;gBACb,CAAC;YACH,CAAC;YACD,IAAI,KAAK,GAAG,CAAC,EAAE,CAAC;gBACd,IAAI,CAAC,IAAI,CAAC;oBACR,IAAI,EAAE,SAAS,CAAC,IAAI;oBACpB,MAAM,EAAE,SAAS,CAAC,MAAM,CAAC,WAAW,EAAE;oBACtC,IAAI,EAAE,SAAS,CAAC,IAAI;oBACpB,GAAG,EAAE,SAAS,CAAC,GAAG;oBAClB,OAAO,EAAE,SAAS,CAAC,OAAO;oBAC1B,GAAG,CAAC,SAAS,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,SAAS,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;oBACrE,IAAI,EAAE,SAAS,CAAC,IAAI;oBACpB,KAAK;iBACN,CAAC,CAAC;YACL,CAAC;QACH,CAAC;QAED,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,KAAK,GAAG,CAAC,CAAC,KAAK,IAAI,CAAC,CAAC,IAAI,CAAC,MAAM,GAAG,CAAC,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC;QACxE,OAAO,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,MAAM,CAAC,KAAK,IAAI,EAAE,CAAC,CAAC;IAC3C,CAAC;CACF;AAED,iFAAiF;AACjF,MAAM,OAAO,GAAG,CAAC,CAAS,EAAE,CAAS,EAAU,EAAE;IAC/C,MAAM,KAAK,GAAG,CAAC,KAAa,EAAe,EAAE;QAC3C,MAAM,GAAG,GAAG,IAAI,GAAG,EAAU,CAAC;QAC9B,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,CAAC,IAAI,KAAK,CAAC,MAAM,EAAE,CAAC,EAAE,EAAE,CAAC;YAC3C,GAAG,CAAC,GAAG,CAAC,KAAK,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC;QACjC,CAAC;QACD,OAAO,GAAG,CAAC;IACb,CAAC,CAAC;IACF,MAAM,IAAI,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC;IACtB,MAAM,KAAK,GAAG,KAAK,CAAC,CAAC,CAAC,CAAC;IACvB,IAAI,MAAM,GAAG,CAAC,CAAC;IACf,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;QACzB,IAAI,IAAI,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;YACnB,MAAM,IAAI,CAAC,CAAC;QACd,CAAC;IACH,CAAC;IACD,OAAO,KAAK,CAAC,IAAI,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,GAAG,KAAK,CAAC,IAAI,CAAC;AACpD,CAAC,CAAC"}

package/dist/api/client.d.ts

@@ -0,0 +1,60 @@
+import type { TokenStore } from './auth.js';
+import type { Operation } from './types.js';
+/** Аргументы вызова операции, как их присылает модель. */
+export interface CallArgs {
+    path?: Record<string, string | number>;
+    query?: Record<string, string | number | boolean>;
+    body?: unknown;
+}
+/** Нормализованный неуспех вызова. */
+export interface NormalizedError {
+    status: number;
+    message: string;
+    hint?: string;
+}
+/** Результат вызова: либо тело ответа, либо нормализованная ошибка. */
+export type CallResult = {
+    ok: true;
+    status: number;
+    body: unknown;
+} | {
+    ok: false;
+    error: NormalizedError;
+};
+/** Ошибка на стороне вызывающего — до отправки запроса. */
+export declare class RequestBuildError extends Error {
+}
+/**
+ * Возвращает тело в том виде, в каком его надо сериализовать в запрос.
+ * Часть MCP-клиентов передаёт объектный аргумент уже сериализованным в строку;
+ * без этой нормализации `JSON.stringify` завернул бы его второй раз, и на сервер
+ * ушла бы JSON-строка вместо объекта — любая запись падала бы с невнятным 400.
+ * Разворачивается только строка, которая целиком является объектом или массивом:
+ * скалярная строка — законное тело, и трогать её нельзя.
+ */
+export declare const normalizeBody: (body: unknown) => unknown;
+/**
+ * Подставляет path-параметры и собирает query-строку.
+ * Отсутствующий обязательный path-параметр — ошибка здесь, а не 404 от сервера:
+ * иначе агент получает загадочный ответ вместо указания, чего не хватает.
+ */
+export declare const buildUrl: (baseUrl: string, operation: Operation, args: CallArgs) => string;
+/**
+ * HTTP-клиент Admin API.
+ * Единственный ретрай — на 401 после обновления токена: любой другой повтор
+ * на изменяющей операции рискует создать дубль, поэтому его здесь нет.
+ */
+export declare class AdminApiClient {
+    private readonly baseUrl;
+    private readonly tokens;
+    private readonly timeoutMs;
+    constructor(params: {
+        baseUrl: string;
+        tokens: TokenStore;
+        timeoutMs: number;
+    });
+    call(operation: Operation, args: CallArgs): Promise<CallResult>;
+    /** Читает набор прав админа. Пустой массив означает «не удалось выяснить». */
+    fetchPermissions(adminId: number): Promise<string[]>;
+}
+//# sourceMappingURL=client.d.ts.map

package/dist/api/client.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"client.d.ts","sourceRoot":"","sources":["../../src/api/client.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,WAAW,CAAC;AAC5C,OAAO,KAAK,EAAE,SAAS,EAAE,MAAM,YAAY,CAAC;AAE5C,0DAA0D;AAC1D,MAAM,WAAW,QAAQ;IACvB,IAAI,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,MAAM,GAAG,MAAM,CAAC,CAAC;IACvC,KAAK,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,MAAM,GAAG,MAAM,GAAG,OAAO,CAAC,CAAC;IAClD,IAAI,CAAC,EAAE,OAAO,CAAC;CAChB;AAED,sCAAsC;AACtC,MAAM,WAAW,eAAe;IAC9B,MAAM,EAAE,MAAM,CAAC;IACf,OAAO,EAAE,MAAM,CAAC;IAChB,IAAI,CAAC,EAAE,MAAM,CAAC;CACf;AAED,uEAAuE;AACvE,MAAM,MAAM,UAAU,GAClB;IAAE,EAAE,EAAE,IAAI,CAAC;IAAC,MAAM,EAAE,MAAM,CAAC;IAAC,IAAI,EAAE,OAAO,CAAA;CAAE,GAC3C;IAAE,EAAE,EAAE,KAAK,CAAC;IAAC,KAAK,EAAE,eAAe,CAAA;CAAE,CAAC;AAE1C,2DAA2D;AAC3D,qBAAa,iBAAkB,SAAQ,KAAK;CAAG;AAE/C;;;;;;;GAOG;AACH,eAAO,MAAM,aAAa,GAAI,MAAM,OAAO,KAAG,OAc7C,CAAC;AAEF;;;;GAIG;AACH,eAAO,MAAM,QAAQ,GACnB,SAAS,MAAM,EACf,WAAW,SAAS,EACpB,MAAM,QAAQ,KACb,MAkCF,CAAC;AAqDF;;;;GAIG;AACH,qBAAa,cAAc;IACzB,OAAO,CAAC,QAAQ,CAAC,OAAO,CAAS;IACjC,OAAO,CAAC,QAAQ,CAAC,MAAM,CAAa;IACpC,OAAO,CAAC,QAAQ,CAAC,SAAS,CAAS;gBAEvB,MAAM,EAAE;QAAE,OAAO,EAAE,MAAM,CAAC;QAAC,MAAM,EAAE,UAAU,CAAC;QAAC,SAAS,EAAE,MAAM,CAAA;KAAE;IAMxE,IAAI,CAAC,SAAS,EAAE,SAAS,EAAE,IAAI,EAAE,QAAQ,GAAG,OAAO,CAAC,UAAU,CAAC;IAiDrE,8EAA8E;IACxE,gBAAgB,CAAC,OAAO,EAAE,MAAM,GAAG,OAAO,CAAC,MAAM,EAAE,CAAC;CAyB3D"}