@openlibing/openlibing-cli 0.1.8

package/README.md

@@ -0,0 +1,137 @@
+# @openlibing/openlibing-cli
+
+OpenLibing MCP 本地 CLI：把 ops 报告等只读能力包装为 MCP 工具（stdio 传输），供 Trae / OpenCode 等 AI 客户端直接调用。
+
+- **源码仓库**：<https://gitcode.com/w30060144/openlibing-cli>
+- **npm**：<https://www.npmjs.com/package/@openlibing/openlibing-cli>
+- 发布维护：`@openlibing/openlibing-cli`（npmjs latest）
+
+## 特性
+
+- **MCP 工具**（stdio）：`report_listTemplates` / `report_queryData` / `auth_login`
+- **连接即授权**：`mcp start` 启动时自动续期凭证；凭证失效自动弹出浏览器授权，**点一次即完成**
+- **平台选择**：登录时弹出平台选择页（GitCode / Gitee / GitHub / UniPortal / OpenUBMC），点选后跳转对应平台授权
+- **凭证安全**：token/refresh/csrf 本地 AES-256-GCM 加密存储（`~/.openlibing-cli/auth.json`），不落服务端
+- **401 自愈**：工具调用遇 401 自动 refresh 续期重试；续期失败返回明确引导（不依赖外部 cookie）
+
+## 安装
+
+```powershell
+# 直接通过 npx 使用（推荐，AI 客户端配置方式）
+npx -y @openlibing/openlibing-cli --version
+
+# 或全局安装
+npm install -g @openlibing/openlibing-cli
+```
+
+## 客户端配置
+
+### Trae（手动添加 MCP）
+
+```json
+{
+  "mcpServers": {
+    "openlibing-report": {
+      "command": "npx",
+      "args": ["-y", "@openlibing/openlibing-cli", "mcp", "start"],
+      "env": {
+        "OPENLIBING_ENV": "beta",
+        "START_MCP_TIMEOUT_MS": "300000"
+      }
+    }
+  }
+}
+```
+
+> `START_MCP_TIMEOUT_MS` 建议 ≥ 300000（5 分钟），给首次授权留足时间，避免 60 秒默认超时误判失败。
+
+### OpenCode（opencode.jsonc）
+
+```jsonc
+{
+  "mcp": {
+    "openlibing-report": {
+      "type": "local",
+      "command": ["npx", "-y", "@openlibing/openlibing-cli", "mcp", "start"],
+      "environment": { "OPENLIBING_ENV": "beta" },
+      "enabled": true
+    }
+  }
+}
+```
+
+## 登录（点一次授权）
+
+MCP 连接时若本地无有效凭证，会自动弹出浏览器：
+
+1. **平台选择页** → 点选登录平台（默认 GitCode）
+2. 跳转该平台授权页 → 点一次"授权"（首次可能需要先登录平台账号）
+3. 浏览器自动关闭，凭证加密保存，MCP 开始提供工具
+
+命令行方式：
+
+```powershell
+# 自动登录（弹平台选择页，点一次授权）
+npx -y @openlibing/openlibing-cli auth login
+
+# 强制手动粘贴 URL 方式（无浏览器/特殊场景）
+npx -y @openlibing/openlibing-cli auth login --manual
+
+# 查看登录状态 / 续期 / 退出
+npx -y @openlibing/openlibing-cli auth status
+npx -y @openlibing/openlibing-cli auth refresh
+npx -y @openlibing/openlibing-cli auth logout
+```
+
+> 自动登录依赖本机 Chrome 或 Edge（优先 Chrome，失败回退 Edge）。两者都没有时回退手动粘贴方式。
+
+## 环境变量
+
+| 变量 | 默认 | 说明 |
+| --- | --- | --- |
+| `OPENLIBING_ENV` | `beta` | 环境：`beta` / `prod` / `gamma` / `local`，决定网关与 ops 地址 |
+| `OPENLIBING_PLATFORM` | `gitcode` | 默认登录平台（手动模式兜底用；自动模式弹选择页） |
+| `OPENLIBING_GATEWAY_URL` | 按 env | 覆盖网关地址 |
+| `OPENLIBING_OPS_URL` | 按 env | 覆盖 ops 报告接口地址 |
+| `OPENLIBING_PLUGIN_CLIENT` | `agent_arena` | 插件登录 client（须在网关白名单） |
+| `OPENLIBING_PLUGIN_ID` | `openlibing-cli` | 插件标识 |
+| `OPENLIBING_AUTH_FILE` | `~/.openlibing-cli/auth.json` | 覆盖凭证文件路径（测试隔离用） |
+
+## 凭证与安全
+
+- 凭证文件：`~/.openlibing-cli/auth.json`（AES-256-GCM，密钥由本机标识派生，换机器/用户不可解密）
+- token / csrf 有效期约 30 分钟：`mcp start` 启动和 401 时自动用 refresh token 续期，无需手动干预
+- refresh token 失效后需重新授权（自动弹浏览器，点一次即可）
+- 401 错误信息明确指引运行 `auth login` / `auth refresh`，不会引导获取网关 cookie
+
+## 发布与维护
+
+- 版本发布走项目级 `npm-manage` skill（`publish.py` 解密 npm token 发布，token 不落明文）
+- 版本：`0.1.8`（登录平台选择 / 连接即授权 / 401 自愈 / Playwright 自动登录 / 登录态持久化 / 字段命名同步 workflow 与 job 级时间）
+- 包名：`@openlibing/openlibing-cli`（原 `@openlibing/mcp-cli` 已 deprecated，迁移说明见下）
+
+### 迁移说明（mcp-cli → openlibing-cli）
+
+- npm 包：`@openlibing/mcp-cli` → `@openlibing/openlibing-cli`，安装/调用命令同步替换
+- bin 命令：`mcp-cli` → `openlibing-cli`
+- 插件 ID：`openlibing-mcp-cli` → `openlibing-cli`（gateway 插件授权白名单需同步）
+- 凭证目录：`~/.openlibing-mcp-cli/` → `~/.openlibing-cli/`（旧凭证失效，需重新授权一次）
+- 源码仓：`openlibing-mcp-cli` → `openlibing-cli`（git 历史已完整迁移）
+
+## 开发
+
+```powershell
+npm install
+npm run build      # tsc 编译到 dist/
+npm test           # vitest（握手/凭证/工具注册）
+```
+
+关键源码：
+
+| 模块 | 说明 |
+| --- | --- |
+| `src/auth/browser.ts` | 系统浏览器启动（chrome→edge 回退）、平台选择页、回调捕获 |
+| `src/auth/login.ts` | 插件登录 / 自动授权 / 凭证续期 / MCP 启动鉴权 |
+| `src/auth/store.ts` | 凭证 AES-256-GCM 本地加密存储 |
+| `src/client/reportApi.ts` | 报告接口客户端（401 自动续期 + 引导错误） |
+| `src/mcp/server.ts` | MCP stdio server 组装 |

package/dist/auth/browser.d.ts

@@ -0,0 +1,29 @@
+/**
+ * 系统浏览器自动化（登录辅助）：优先复用本机 Chrome，失败回退 Edge。
+ * 用 Playwright 打开授权页并监听跳转，捕获含 code= 的回调 URL，实现"点一次授权即登录"。
+ * 不依赖额外下载的浏览器内核（playwright-core 复用系统浏览器）。
+ *
+ * 登录态持久化：launchPersistentContext 使用专属 profile 目录，平台登录 cookie 落盘
+ * 到 ~/.openlibing-cli/browser-profile，首次输密码后，后续重新授权不再要求重新登录平台账号。
+ */
+import { type BrowserContext } from "playwright-core";
+/** 启动系统浏览器（持久化 profile + headless=false 弹出窗口），全部失败则抛错 */
+export declare function launchBrowser(): Promise<BrowserContext>;
+/**
+ * 打开授权 URL，等待浏览器跳转到含 code= 参数的回调 URL（授权完成），返回完整回调 URL。
+ * 用户完成授权前会一直等待，超时抛错。
+ * 注意：输出走 stderr（console.error），MCP stdio 场景 stdout 被协议占用。
+ */
+export declare function waitForCallbackUrl(authUrl: string, timeoutMs?: number): Promise<string>;
+/** 可登录的三方平台与展示名（顺序即展示顺序） */
+export declare const PLATFORMS: {
+    id: string;
+    label: string;
+}[];
+/** 生成平台选择页 HTML：用户点选平台后跳转对应授权 URL */
+export declare function buildPlatformPickerHtml(buildAuthUrl: (platform: string) => string): string;
+/**
+ * 打开"选择登录平台"页 → 用户点选平台 → 自动跳转该平台授权 → 捕获含 code= 的回调 URL。
+ * 供 MCP 启动/工具调用登录使用（stdout 被 stdio 协议占用，提示走 stderr）。
+ */
+export declare function waitForCallbackUrlWithPicker(buildAuthUrl: (platform: string) => string, timeoutMs?: number): Promise<string>;

package/dist/auth/browser.js

@@ -0,0 +1,123 @@
+/**
+ * 系统浏览器自动化（登录辅助）：优先复用本机 Chrome，失败回退 Edge。
+ * 用 Playwright 打开授权页并监听跳转，捕获含 code= 的回调 URL，实现"点一次授权即登录"。
+ * 不依赖额外下载的浏览器内核（playwright-core 复用系统浏览器）。
+ *
+ * 登录态持久化：launchPersistentContext 使用专属 profile 目录，平台登录 cookie 落盘
+ * 到 ~/.openlibing-cli/browser-profile，首次输密码后，后续重新授权不再要求重新登录平台账号。
+ */
+import { chromium } from "playwright-core";
+import { homedir } from "node:os";
+import { join } from "node:path";
+/** 优先尝试的系统浏览器 channel（按使用率排序） */
+const CHANNELS = ["chrome", "msedge"];
+/** 专属浏览器 profile 目录（登录态持久化，可经 OPENLIBING_BROWSER_PROFILE 覆盖，测试隔离用） */
+const PROFILE_DIR = process.env.OPENLIBING_BROWSER_PROFILE ??
+    join(homedir(), ".openlibing-cli", "browser-profile");
+/** 启动系统浏览器（持久化 profile + headless=false 弹出窗口），全部失败则抛错 */
+export async function launchBrowser() {
+    let lastErr;
+    for (const channel of CHANNELS) {
+        try {
+            return await chromium.launchPersistentContext(PROFILE_DIR, {
+                channel,
+                headless: false,
+            });
+        }
+        catch (err) {
+            lastErr = err;
+            console.error(`未检测到浏览器 ${channel}，尝试下一个...`);
+        }
+    }
+    throw new Error(`未找到可用的系统浏览器（Chrome/Edge）：${lastErr?.message ?? "unknown"}`);
+}
+/**
+ * 打开授权 URL，等待浏览器跳转到含 code= 参数的回调 URL（授权完成），返回完整回调 URL。
+ * 用户完成授权前会一直等待，超时抛错。
+ * 注意：输出走 stderr（console.error），MCP stdio 场景 stdout 被协议占用。
+ */
+export async function waitForCallbackUrl(authUrl, timeoutMs = 5 * 60_000) {
+    const browser = await launchBrowser();
+    try {
+        const page = await browser.newPage();
+        console.error("已打开浏览器，请在窗口中完成授权...");
+        await page.goto(authUrl);
+        await page.waitForURL((url) => url.searchParams.has("code"), { timeout: timeoutMs });
+        return page.url();
+    }
+    finally {
+        await browser.close();
+    }
+}
+/** 可登录的三方平台与展示名（顺序即展示顺序） */
+export const PLATFORMS = [
+    { id: "gitcode", label: "GitCode" },
+    { id: "gitee", label: "Gitee（码云）" },
+    { id: "github", label: "GitHub" },
+    { id: "uniportal", label: "UniPortal" },
+    { id: "openubmc", label: "OpenUBMC" },
+];
+/** 生成平台选择页 HTML：用户点选平台后跳转对应授权 URL */
+export function buildPlatformPickerHtml(buildAuthUrl) {
+    const urls = {};
+    for (const p of PLATFORMS) {
+        urls[p.id] = buildAuthUrl(p.id);
+    }
+    const urlsJson = JSON.stringify(urls);
+    return `<!DOCTYPE html>
+<html lang="zh-CN">
+<head>
+<meta charset="utf-8" />
+<title>OpenLibing 登录</title>
+<style>
+  body { font-family: system-ui, sans-serif; display: flex; flex-direction: column;
+         align-items: center; justify-content: center; height: 100vh; margin: 0;
+         background: #f5f6f8; color: #1f2329; }
+  .card { background: #fff; border-radius: 12px; padding: 40px 48px;
+          box-shadow: 0 2px 12px rgba(0,0,0,.08); text-align: center; }
+  h2 { margin: 0 0 8px; font-size: 20px; }
+  p { margin: 0 0 24px; color: #646a73; font-size: 14px; }
+  button { display: block; width: 260px; margin: 10px auto; padding: 12px;
+           font-size: 15px; border: 1px solid #dcdfe6; border-radius: 8px;
+           background: #fff; cursor: pointer; }
+  button:hover { border-color: #3370ff; color: #3370ff; }
+</style>
+</head>
+<body>
+<div class="card">
+  <h2>选择登录平台</h2>
+  <p>OpenLibing MCP 支持以下平台登录，请选择其一</p>
+  <div id="btns"></div>
+</div>
+<script>
+  const urls = ${urlsJson};
+  const labels = ${JSON.stringify(Object.fromEntries(PLATFORMS.map((p) => [p.id, p.label])))};
+  const wrap = document.getElementById('btns');
+  for (const id of Object.keys(urls)) {
+    const b = document.createElement('button');
+    b.textContent = labels[id] || id;
+    b.onclick = () => { window.location.href = urls[id]; };
+    wrap.appendChild(b);
+  }
+</script>
+</body>
+</html>`;
+}
+/**
+ * 打开"选择登录平台"页 → 用户点选平台 → 自动跳转该平台授权 → 捕获含 code= 的回调 URL。
+ * 供 MCP 启动/工具调用登录使用（stdout 被 stdio 协议占用，提示走 stderr）。
+ */
+export async function waitForCallbackUrlWithPicker(buildAuthUrl, timeoutMs = 5 * 60_000) {
+    const browser = await launchBrowser();
+    try {
+        const page = await browser.newPage();
+        await page.setContent(buildPlatformPickerHtml(buildAuthUrl));
+        console.error("已打开浏览器，请选择登录平台并完成授权...");
+        await page.waitForURL((url) => url.searchParams.has("code"), { timeout: timeoutMs });
+        return page.url();
+    }
+    finally {
+        await browser.close();
+    }
+}
+//# sourceMappingURL=browser.js.map

package/dist/auth/browser.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"browser.js","sourceRoot":"","sources":["../../src/auth/browser.ts"],"names":[],"mappings":"AAAA;;;;;;;GAOG;AACH,OAAO,EAAE,QAAQ,EAAuB,MAAM,iBAAiB,CAAC;AAChE,OAAO,EAAE,OAAO,EAAE,MAAM,SAAS,CAAC;AAClC,OAAO,EAAE,IAAI,EAAE,MAAM,WAAW,CAAC;AAEjC,iCAAiC;AACjC,MAAM,QAAQ,GAAG,CAAC,QAAQ,EAAE,QAAQ,CAAU,CAAC;AAE/C,sEAAsE;AACtE,MAAM,WAAW,GACf,OAAO,CAAC,GAAG,CAAC,0BAA0B;IACtC,IAAI,CAAC,OAAO,EAAE,EAAE,iBAAiB,EAAE,iBAAiB,CAAC,CAAC;AAExD,yDAAyD;AACzD,MAAM,CAAC,KAAK,UAAU,aAAa;IACjC,IAAI,OAAgB,CAAC;IACrB,KAAK,MAAM,OAAO,IAAI,QAAQ,EAAE,CAAC;QAC/B,IAAI,CAAC;YACH,OAAO,MAAM,QAAQ,CAAC,uBAAuB,CAAC,WAAW,EAAE;gBACzD,OAAO;gBACP,QAAQ,EAAE,KAAK;aAChB,CAAC,CAAC;QACL,CAAC;QAAC,OAAO,GAAG,EAAE,CAAC;YACb,OAAO,GAAG,GAAG,CAAC;YACd,OAAO,CAAC,KAAK,CAAC,WAAW,OAAO,WAAW,CAAC,CAAC;QAC/C,CAAC;IACH,CAAC;IACD,MAAM,IAAI,KAAK,CACb,4BAA6B,OAAiB,EAAE,OAAO,IAAI,SAAS,EAAE,CACvE,CAAC;AACJ,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,kBAAkB,CACtC,OAAe,EACf,SAAS,GAAG,CAAC,GAAG,MAAM;IAEtB,MAAM,OAAO,GAAG,MAAM,aAAa,EAAE,CAAC;IACtC,IAAI,CAAC;QACH,MAAM,IAAI,GAAG,MAAM,OAAO,CAAC,OAAO,EAAE,CAAC;QACrC,OAAO,CAAC,KAAK,CAAC,qBAAqB,CAAC,CAAC;QACrC,MAAM,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;QACzB,MAAM,IAAI,CAAC,UAAU,CACnB,CAAC,GAAG,EAAE,EAAE,CAAC,GAAG,CAAC,YAAY,CAAC,GAAG,CAAC,MAAM,CAAC,EACrC,EAAE,OAAO,EAAE,SAAS,EAAE,CACvB,CAAC;QACF,OAAO,IAAI,CAAC,GAAG,EAAE,CAAC;IACpB,CAAC;YAAS,CAAC;QACT,MAAM,OAAO,CAAC,KAAK,EAAE,CAAC;IACxB,CAAC;AACH,CAAC;AAED,4BAA4B;AAC5B,MAAM,CAAC,MAAM,SAAS,GAAoC;IACxD,EAAE,EAAE,EAAE,SAAS,EAAE,KAAK,EAAE,SAAS,EAAE;IACnC,EAAE,EAAE,EAAE,OAAO,EAAE,KAAK,EAAE,WAAW,EAAE;IACnC,EAAE,EAAE,EAAE,QAAQ,EAAE,KAAK,EAAE,QAAQ,EAAE;IACjC,EAAE,EAAE,EAAE,WAAW,EAAE,KAAK,EAAE,WAAW,EAAE;IACvC,EAAE,EAAE,EAAE,UAAU,EAAE,KAAK,EAAE,UAAU,EAAE;CACtC,CAAC;AAEF,qCAAqC;AACrC,MAAM,UAAU,uBAAuB,CAAC,YAA0C;IAChF,MAAM,IAAI,GAA2B,EAAE,CAAC;IACxC,KAAK,MAAM,CAAC,IAAI,SAAS,EAAE,CAAC;QAC1B,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,GAAG,YAAY,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC;IAClC,CAAC;IACD,MAAM,QAAQ,GAAG,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,CAAC;IACtC,OAAO;;;;;;;;;;;;;;;;;;;;;;;;;;iBA0BQ,QAAQ;mBACN,IAAI,CAAC,SAAS,CAAC,MAAM,CAAC,WAAW,CAAC,SAAS,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC;;;;;;;;;;QAUpF,CAAC;AACT,CAAC;AAED;;;GAGG;AACH,MAAM,CAAC,KAAK,UAAU,4BAA4B,CAChD,YAA0C,EAC1C,SAAS,GAAG,CAAC,GAAG,MAAM;IAEtB,MAAM,OAAO,GAAG,MAAM,aAAa,EAAE,CAAC;IACtC,IAAI,CAAC;QACH,MAAM,IAAI,GAAG,MAAM,OAAO,CAAC,OAAO,EAAE,CAAC;QACrC,MAAM,IAAI,CAAC,UAAU,CAAC,uBAAuB,CAAC,YAAY,CAAC,CAAC,CAAC;QAC7D,OAAO,CAAC,KAAK,CAAC,wBAAwB,CAAC,CAAC;QACxC,MAAM,IAAI,CAAC,UAAU,CACnB,CAAC,GAAG,EAAE,EAAE,CAAC,GAAG,CAAC,YAAY,CAAC,GAAG,CAAC,MAAM,CAAC,EACrC,EAAE,OAAO,EAAE,SAAS,EAAE,CACvB,CAAC;QACF,OAAO,IAAI,CAAC,GAAG,EAAE,CAAC;IACpB,CAAC;YAAS,CAAC;QACT,MAAM,OAAO,CAAC,KAAK,EAAE,CAAC;IACxB,CAAC;AACH,CAAC"}

package/dist/auth/login.d.ts

@@ -0,0 +1,30 @@
+import { fingerprint, type AuthCredentials } from "./store.js";
+/** 从用户粘贴的 URL 解析一次性 code */
+export declare function parseCodeFromUrl(url: string): string | null;
+/** 生成指定平台的插件授权发起 URL（platform 缺省用 env.platform） */
+export declare function buildAuthUrl(platform?: string): string;
+/** 用一次性 code 换 token + refresh */
+export declare function exchangeCode(code: string): Promise<AuthCredentials>;
+/**
+ * 通过 check-account-bind 获取 CSRF token（走网关会话初始化，SPA 同款）。
+ * 该接口在网关 csrf.trust.list 内，无 csrf 即可调用；响应头返回 Csrf-Token-Open-Li-Bing。
+ */
+export declare function fetchCsrf(token: string): Promise<string>;
+/** 交互式登录：优先 Playwright 自动（点一次授权），失败/超时降级手动粘贴 URL */
+export declare function login(manual?: boolean): Promise<AuthCredentials>;
+/**
+ * 纯自动授权（不降级手动粘贴）：供 MCP 启动/工具调用场景使用。
+ * stdio 被 MCP 协议占用时不能 readLine，手动粘贴会读走协议字节破坏握手。
+ * 弹出平台选择页，用户点选平台并完成授权。
+ */
+export declare function loginAuto(): Promise<AuthCredentials>;
+/**
+ * MCP 连接前确保有可用凭证：
+ * 1. 已有凭证 → 自动 refresh 续期（成功即复用，不弹窗）；
+ * 2. 无凭证或续期失败 → 弹出浏览器完成授权（点一次即完成）。
+ * 输出全部走 stderr，避免污染 MCP stdio 协议。
+ */
+export declare function ensureAuthenticated(): Promise<void>;
+/** 退出登录：清除本地凭证 */
+export declare function logout(): Promise<void>;
+export { fingerprint };

package/dist/auth/login.js

@@ -0,0 +1,180 @@
+/**
+ * 插件登录：复用 gateway 插件凭证链路（LoginController /oauth2/authorization/plugin/{platform} + /plugin/get/access/token）。
+ *
+ * 流程：
+ * 1. 生成 UUID state + 白名单 client，打开浏览器发起插件授权
+ * 2. 用户完成三方授权，gateway 回调后 302 到前端页并带一次性 code（存 Redis 10 分钟）
+ * 3. 用户把地址栏 URL 粘贴回 CLI，解析 code
+ * 4. POST /plugin/get/access/token 换 token + refresh，本地加密存储
+ */
+import { randomUUID } from "node:crypto";
+import { exec } from "node:child_process";
+import { createInterface } from "node:readline";
+import { env } from "../config/env.js";
+import { request } from "../client/http.js";
+import { refreshToken } from "./refresh.js";
+import { clearAuth, fingerprint, loadAuth, saveAuth } from "./store.js";
+import { waitForCallbackUrlWithPicker } from "./browser.js";
+/** 打开系统浏览器 */
+function openBrowser(url) {
+    const platform = process.platform;
+    const cmd = platform === "win32"
+        ? `start "" "${url}"`
+        : platform === "darwin"
+            ? `open "${url}"`
+            : `xdg-open "${url}"`;
+    exec(cmd, () => undefined);
+}
+/** 从用户粘贴的 URL 解析一次性 code */
+export function parseCodeFromUrl(url) {
+    try {
+        const u = new URL(url);
+        const code = u.searchParams.get("code");
+        return code && code.length > 0 ? code : null;
+    }
+    catch {
+        const m = url.match(/[?&]code=([^&]+)/);
+        return m ? m[1] : null;
+    }
+}
+/** 生成指定平台的插件授权发起 URL（platform 缺省用 env.platform） */
+export function buildAuthUrl(platform = env.platform) {
+    const state = randomUUID();
+    const params = new URLSearchParams({
+        client: env.pluginClient,
+        state,
+        pluginId: env.pluginId,
+    });
+    return `${env.gatewayBaseUrl}/oauth2/authorization/plugin/${platform}?${params.toString()}`;
+}
+/** 用一次性 code 换 token + refresh */
+export async function exchangeCode(code) {
+    const result = await request(`${env.gatewayBaseUrl}/plugin/get/access/token`, { method: "POST", body: { code } });
+    const data = result.data;
+    if (result.code !== 200 || !data?.token) {
+        throw new Error(`换 token 失败: ${result.message ?? "code 无效或已过期"}`);
+    }
+    return {
+        token: data.token,
+        refreshedToken: data.refreshedToken,
+        accountName: data.accountName,
+        accountId: data.accountId,
+        email: data.email,
+        updatedAt: new Date().toISOString(),
+    };
+}
+const BROWSER_UA = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.0.0 Safari/537.36";
+/**
+ * 通过 check-account-bind 获取 CSRF token（走网关会话初始化，SPA 同款）。
+ * 该接口在网关 csrf.trust.list 内，无 csrf 即可调用；响应头返回 Csrf-Token-Open-Li-Bing。
+ */
+export async function fetchCsrf(token) {
+    const origin = new URL(env.gatewayBaseUrl).origin;
+    const resp = await fetch(`${env.gatewayBaseUrl}/user/check-account-bind`, {
+        method: "GET",
+        headers: {
+            Cookie: `token=${token}`,
+            "User-Agent": BROWSER_UA,
+            Accept: "application/json, text/plain, */*",
+            Origin: origin,
+            Referer: `${origin}/`,
+        },
+    });
+    if (!resp.ok) {
+        throw new Error(`获取 csrf 失败: HTTP ${resp.status}`);
+    }
+    const csrf = resp.headers.get("Csrf-Token-Open-Li-Bing");
+    if (!csrf) {
+        throw new Error("check-account-bind 响应未返回 Csrf-Token-Open-Li-Bing");
+    }
+    return csrf;
+}
+function readLine(question) {
+    const rl = createInterface({ input: process.stdin, output: process.stdout });
+    return new Promise((resolve) => {
+        rl.question(question, (answer) => {
+            rl.close();
+            resolve(answer.trim());
+        });
+    });
+}
+/** 交互式登录：优先 Playwright 自动（点一次授权），失败/超时降级手动粘贴 URL */
+export async function login(manual = false) {
+    const url = buildAuthUrl();
+    // 自动模式：Playwright 打开平台选择页（chrome→edge），点选平台后捕获回调 code
+    if (!manual) {
+        try {
+            const callbackUrl = await waitForCallbackUrlWithPicker((platform) => buildAuthUrl(platform));
+            const code = parseCodeFromUrl(callbackUrl);
+            if (code) {
+                return await finishLogin(code);
+            }
+        }
+        catch (err) {
+            console.log(`自动登录未完成（${err.message}），切换为手动粘贴方式...`);
+        }
+    }
+    // 手动兜底：打开系统默认浏览器（缺省平台 env.platform），用户粘贴地址栏 URL
+    openBrowser(buildAuthUrl());
+    console.log(`已打开浏览器发起插件授权（环境 ${env.env}，client=${env.pluginClient}）`);
+    console.log(`若浏览器未自动打开，请手动访问：\n  ${url}\n`);
+    const pasted = await readLine("请完成授权后，把浏览器地址栏 URL 粘贴到这里（含 code= 参数）：");
+    const code = parseCodeFromUrl(pasted);
+    if (!code) {
+        throw new Error("未在 URL 中找到 code 参数，请确认授权流程完整");
+    }
+    return await finishLogin(code);
+}
+/** 用 code 换 token + csrf + 本地存储 */
+async function finishLogin(code) {
+    const auth = await exchangeCode(code);
+    // 走会话初始化获取 CSRF（与浏览器 SPA 同款），使业务接口调用通过标准 CSRF 校验
+    try {
+        auth.csrf = await fetchCsrf(auth.token);
+    }
+    catch (err) {
+        console.error(`提示：获取 csrf 失败（${err.message}），业务接口调用可能被 CSRF 拦截`);
+    }
+    saveAuth(auth);
+    return auth;
+}
+/**
+ * 纯自动授权（不降级手动粘贴）：供 MCP 启动/工具调用场景使用。
+ * stdio 被 MCP 协议占用时不能 readLine，手动粘贴会读走协议字节破坏握手。
+ * 弹出平台选择页，用户点选平台并完成授权。
+ */
+export async function loginAuto() {
+    const callbackUrl = await waitForCallbackUrlWithPicker((platform) => buildAuthUrl(platform));
+    const code = parseCodeFromUrl(callbackUrl);
+    if (!code) {
+        throw new Error("授权回调 URL 中未找到 code 参数");
+    }
+    return await finishLogin(code);
+}
+/**
+ * MCP 连接前确保有可用凭证：
+ * 1. 已有凭证 → 自动 refresh 续期（成功即复用，不弹窗）；
+ * 2. 无凭证或续期失败 → 弹出浏览器完成授权（点一次即完成）。
+ * 输出全部走 stderr，避免污染 MCP stdio 协议。
+ */
+export async function ensureAuthenticated() {
+    const auth = loadAuth();
+    if (auth?.refreshedToken) {
+        try {
+            await refreshToken();
+            console.error("[mcp] 凭证已续期");
+            return;
+        }
+        catch (err) {
+            console.error(`[mcp] 凭证续期失败（${err.message}），需要重新授权`);
+        }
+    }
+    const result = await loginAuto();
+    console.error(`[mcp] 授权完成：${result.accountName ?? "unknown"}`);
+}
+/** 退出登录：清除本地凭证 */
+export async function logout() {
+    clearAuth();
+}
+export { fingerprint };
+//# sourceMappingURL=login.js.map

package/dist/auth/login.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"login.js","sourceRoot":"","sources":["../../src/auth/login.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AACH,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,IAAI,EAAE,MAAM,oBAAoB,CAAC;AAC1C,OAAO,EAAE,eAAe,EAAE,MAAM,eAAe,CAAC;AAChD,OAAO,EAAE,GAAG,EAAE,MAAM,kBAAkB,CAAC;AACvC,OAAO,EAAE,OAAO,EAAE,MAAM,mBAAmB,CAAC;AAC5C,OAAO,EAAE,YAAY,EAAE,MAAM,cAAc,CAAC;AAC5C,OAAO,EAAE,SAAS,EAAE,WAAW,EAAE,QAAQ,EAAE,QAAQ,EAAwB,MAAM,YAAY,CAAC;AAC9F,OAAO,EAAE,4BAA4B,EAAE,MAAM,cAAc,CAAC;AAgB5D,cAAc;AACd,SAAS,WAAW,CAAC,GAAW;IAC9B,MAAM,QAAQ,GAAG,OAAO,CAAC,QAAQ,CAAC;IAClC,MAAM,GAAG,GACP,QAAQ,KAAK,OAAO;QAClB,CAAC,CAAC,aAAa,GAAG,GAAG;QACrB,CAAC,CAAC,QAAQ,KAAK,QAAQ;YACrB,CAAC,CAAC,SAAS,GAAG,GAAG;YACjB,CAAC,CAAC,aAAa,GAAG,GAAG,CAAC;IAC5B,IAAI,CAAC,GAAG,EAAE,GAAG,EAAE,CAAC,SAAS,CAAC,CAAC;AAC7B,CAAC;AAED,4BAA4B;AAC5B,MAAM,UAAU,gBAAgB,CAAC,GAAW;IAC1C,IAAI,CAAC;QACH,MAAM,CAAC,GAAG,IAAI,GAAG,CAAC,GAAG,CAAC,CAAC;QACvB,MAAM,IAAI,GAAG,CAAC,CAAC,YAAY,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC;QACxC,OAAO,IAAI,IAAI,IAAI,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC;IAC/C,CAAC;IAAC,MAAM,CAAC;QACP,MAAM,CAAC,GAAG,GAAG,CAAC,KAAK,CAAC,kBAAkB,CAAC,CAAC;QACxC,OAAO,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;IACzB,CAAC;AACH,CAAC;AAED,mDAAmD;AACnD,MAAM,UAAU,YAAY,CAAC,QAAQ,GAAW,GAAG,CAAC,QAAQ;IAC1D,MAAM,KAAK,GAAG,UAAU,EAAE,CAAC;IAC3B,MAAM,MAAM,GAAG,IAAI,eAAe,CAAC;QACjC,MAAM,EAAE,GAAG,CAAC,YAAY;QACxB,KAAK;QACL,QAAQ,EAAE,GAAG,CAAC,QAAQ;KACvB,CAAC,CAAC;IACH,OAAO,GAAG,GAAG,CAAC,cAAc,gCAAgC,QAAQ,IAAI,MAAM,CAAC,QAAQ,EAAE,EAAE,CAAC;AAC9F,CAAC;AAED,kCAAkC;AAClC,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,IAAY;IAC7C,MAAM,MAAM,GAAG,MAAM,OAAO,CAC1B,GAAG,GAAG,CAAC,cAAc,0BAA0B,EAC/C,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,EAAE,IAAI,EAAE,EAAE,CACnC,CAAC;IACF,MAAM,IAAI,GAAG,MAAM,CAAC,IAAI,CAAC;IACzB,IAAI,MAAM,CAAC,IAAI,KAAK,GAAG,IAAI,CAAC,IAAI,EAAE,KAAK,EAAE,CAAC;QACxC,MAAM,IAAI,KAAK,CAAC,eAAe,MAAM,CAAC,OAAO,IAAI,aAAa,EAAE,CAAC,CAAC;IACpE,CAAC;IACD,OAAO;QACL,KAAK,EAAE,IAAI,CAAC,KAAK;QACjB,cAAc,EAAE,IAAI,CAAC,cAAc;QACnC,WAAW,EAAE,IAAI,CAAC,WAAW;QAC7B,SAAS,EAAE,IAAI,CAAC,SAAS;QACzB,KAAK,EAAE,IAAI,CAAC,KAAK;QACjB,SAAS,EAAE,IAAI,IAAI,EAAE,CAAC,WAAW,EAAE;KACpC,CAAC;AACJ,CAAC;AAED,MAAM,UAAU,GACd,iHAAiH,CAAC;AAEpH;;;GAGG;AACH,MAAM,CAAC,KAAK,UAAU,SAAS,CAAC,KAAa;IAC3C,MAAM,MAAM,GAAG,IAAI,GAAG,CAAC,GAAG,CAAC,cAAc,CAAC,CAAC,MAAM,CAAC;IAClD,MAAM,IAAI,GAAG,MAAM,KAAK,CAAC,GAAG,GAAG,CAAC,cAAc,0BAA0B,EAAE;QACxE,MAAM,EAAE,KAAK;QACb,OAAO,EAAE;YACP,MAAM,EAAE,SAAS,KAAK,EAAE;YACxB,YAAY,EAAE,UAAU;YACxB,MAAM,EAAE,mCAAmC;YAC3C,MAAM,EAAE,MAAM;YACd,OAAO,EAAE,GAAG,MAAM,GAAG;SACtB;KACF,CAAC,CAAC;IACH,IAAI,CAAC,IAAI,CAAC,EAAE,EAAE,CAAC;QACb,MAAM,IAAI,KAAK,CAAC,oBAAoB,IAAI,CAAC,MAAM,EAAE,CAAC,CAAC;IACrD,CAAC;IACD,MAAM,IAAI,GAAG,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,yBAAyB,CAAC,CAAC;IACzD,IAAI,CAAC,IAAI,EAAE,CAAC;QACV,MAAM,IAAI,KAAK,CAAC,kDAAkD,CAAC,CAAC;IACtE,CAAC;IACD,OAAO,IAAI,CAAC;AACd,CAAC;AAED,SAAS,QAAQ,CAAC,QAAgB;IAChC,MAAM,EAAE,GAAG,eAAe,CAAC,EAAE,KAAK,EAAE,OAAO,CAAC,KAAK,EAAE,MAAM,EAAE,OAAO,CAAC,MAAM,EAAE,CAAC,CAAC;IAC7E,OAAO,IAAI,OAAO,CAAC,CAAC,OAAO,EAAE,EAAE;QAC7B,EAAE,CAAC,QAAQ,CAAC,QAAQ,EAAE,CAAC,MAAM,EAAE,EAAE;YAC/B,EAAE,CAAC,KAAK,EAAE,CAAC;YACX,OAAO,CAAC,MAAM,CAAC,IAAI,EAAE,CAAC,CAAC;QACzB,CAAC,CAAC,CAAC;IACL,CAAC,CAAC,CAAC;AACL,CAAC;AAED,oDAAoD;AACpD,MAAM,CAAC,KAAK,UAAU,KAAK,CAAC,MAAM,GAAG,KAAK;IACxC,MAAM,GAAG,GAAG,YAAY,EAAE,CAAC;IAE3B,sDAAsD;IACtD,IAAI,CAAC,MAAM,EAAE,CAAC;QACZ,IAAI,CAAC;YACH,MAAM,WAAW,GAAG,MAAM,4BAA4B,CAAC,CAAC,QAAQ,EAAE,EAAE,CAAC,YAAY,CAAC,QAAQ,CAAC,CAAC,CAAC;YAC7F,MAAM,IAAI,GAAG,gBAAgB,CAAC,WAAW,CAAC,CAAC;YAC3C,IAAI,IAAI,EAAE,CAAC;gBACT,OAAO,MAAM,WAAW,CAAC,IAAI,CAAC,CAAC;YACjC,CAAC;QACH,CAAC;QAAC,OAAO,GAAG,EAAE,CAAC;YACb,OAAO,CAAC,GAAG,CACT,WAAY,GAAa,CAAC,OAAO,gBAAgB,CAClD,CAAC;QACJ,CAAC;IACH,CAAC;IAED,gDAAgD;IAChD,WAAW,CAAC,YAAY,EAAE,CAAC,CAAC;IAC5B,OAAO,CAAC,GAAG,CAAC,mBAAmB,GAAG,CAAC,GAAG,WAAW,GAAG,CAAC,YAAY,GAAG,CAAC,CAAC;IACtE,OAAO,CAAC,GAAG,CAAC,uBAAuB,GAAG,IAAI,CAAC,CAAC;IAC5C,MAAM,MAAM,GAAG,MAAM,QAAQ,CAAC,uCAAuC,CAAC,CAAC;IACvE,MAAM,IAAI,GAAG,gBAAgB,CAAC,MAAM,CAAC,CAAC;IACtC,IAAI,CAAC,IAAI,EAAE,CAAC;QACV,MAAM,IAAI,KAAK,CAAC,8BAA8B,CAAC,CAAC;IAClD,CAAC;IACD,OAAO,MAAM,WAAW,CAAC,IAAI,CAAC,CAAC;AACjC,CAAC;AAED,mCAAmC;AACnC,KAAK,UAAU,WAAW,CAAC,IAAY;IACrC,MAAM,IAAI,GAAG,MAAM,YAAY,CAAC,IAAI,CAAC,CAAC;IACtC,iDAAiD;IACjD,IAAI,CAAC;QACH,IAAI,CAAC,IAAI,GAAG,MAAM,SAAS,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC;IAC1C,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,CAAC,KAAK,CAAC,iBAAkB,GAAa,CAAC,OAAO,qBAAqB,CAAC,CAAC;IAC9E,CAAC;IACD,QAAQ,CAAC,IAAI,CAAC,CAAC;IACf,OAAO,IAAI,CAAC;AACd,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,SAAS;IAC7B,MAAM,WAAW,GAAG,MAAM,4BAA4B,CAAC,CAAC,QAAQ,EAAE,EAAE,CAAC,YAAY,CAAC,QAAQ,CAAC,CAAC,CAAC;IAC7F,MAAM,IAAI,GAAG,gBAAgB,CAAC,WAAW,CAAC,CAAC;IAC3C,IAAI,CAAC,IAAI,EAAE,CAAC;QACV,MAAM,IAAI,KAAK,CAAC,uBAAuB,CAAC,CAAC;IAC3C,CAAC;IACD,OAAO,MAAM,WAAW,CAAC,IAAI,CAAC,CAAC;AACjC,CAAC;AAED;;;;;GAKG;AACH,MAAM,CAAC,KAAK,UAAU,mBAAmB;IACvC,MAAM,IAAI,GAAG,QAAQ,EAAE,CAAC;IACxB,IAAI,IAAI,EAAE,cAAc,EAAE,CAAC;QACzB,IAAI,CAAC;YACH,MAAM,YAAY,EAAE,CAAC;YACrB,OAAO,CAAC,KAAK,CAAC,aAAa,CAAC,CAAC;YAC7B,OAAO;QACT,CAAC;QAAC,OAAO,GAAG,EAAE,CAAC;YACb,OAAO,CAAC,KAAK,CAAC,gBAAiB,GAAa,CAAC,OAAO,UAAU,CAAC,CAAC;QAClE,CAAC;IACH,CAAC;IACD,MAAM,MAAM,GAAG,MAAM,SAAS,EAAE,CAAC;IACjC,OAAO,CAAC,KAAK,CAAC,cAAc,MAAM,CAAC,WAAW,IAAI,SAAS,EAAE,CAAC,CAAC;AACjE,CAAC;AAED,kBAAkB;AAClB,MAAM,CAAC,KAAK,UAAU,MAAM;IAC1B,SAAS,EAAE,CAAC;AACd,CAAC;AAED,OAAO,EAAE,WAAW,EAAE,CAAC"}

package/dist/auth/refresh.d.ts

@@ -0,0 +1,3 @@
+import { type AuthCredentials } from "./store.js";
+/** 用 refresh token 换新 access token；成功后更新本地凭证 */
+export declare function refreshToken(): Promise<AuthCredentials>;

package/dist/auth/refresh.js

@@ -0,0 +1,36 @@
+/**
+ * 凭证续期：refresh token 换新 access（复用 gateway /plugin/get/access/token/by/refresh/token）。
+ * token 过期时由调用方触发，自动刷新后更新本地存储。
+ */
+import { env } from "../config/env.js";
+import { request } from "../client/http.js";
+import { fetchCsrf } from "./login.js";
+import { loadAuth, saveAuth } from "./store.js";
+/** 用 refresh token 换新 access token；成功后更新本地凭证 */
+export async function refreshToken() {
+    const current = loadAuth();
+    if (!current?.refreshedToken) {
+        throw new Error("未登录或缺少 refresh token，请先执行 auth login");
+    }
+    const result = await request(`${env.gatewayBaseUrl}/plugin/get/access/token/by/refresh/token`, { method: "POST", body: { refreshedToken: current.refreshedToken } });
+    const data = result.data;
+    if (result.code !== 200 || !data?.token) {
+        throw new Error(`续期失败: ${result.message ?? "refresh token 无效"}`);
+    }
+    const updated = {
+        ...current,
+        token: data.token,
+        refreshedToken: data.refreshedToken ?? current.refreshedToken,
+        updatedAt: new Date().toISOString(),
+    };
+    // csrf 与 token 同为 30 分钟有效期，续期后同步刷新（失败不阻塞，业务调用时会再次触发续期）
+    try {
+        updated.csrf = await fetchCsrf(updated.token);
+    }
+    catch {
+        // 忽略：csrf 刷新失败仅影响 CSRF 校验，可后续重试
+    }
+    saveAuth(updated);
+    return updated;
+}
+//# sourceMappingURL=refresh.js.map

package/dist/auth/refresh.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"refresh.js","sourceRoot":"","sources":["../../src/auth/refresh.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,GAAG,EAAE,MAAM,kBAAkB,CAAC;AACvC,OAAO,EAAE,OAAO,EAAE,MAAM,mBAAmB,CAAC;AAC5C,OAAO,EAAE,SAAS,EAAE,MAAM,YAAY,CAAC;AACvC,OAAO,EAAE,QAAQ,EAAE,QAAQ,EAAwB,MAAM,YAAY,CAAC;AAetE,gDAAgD;AAChD,MAAM,CAAC,KAAK,UAAU,YAAY;IAChC,MAAM,OAAO,GAAG,QAAQ,EAAE,CAAC;IAC3B,IAAI,CAAC,OAAO,EAAE,cAAc,EAAE,CAAC;QAC7B,MAAM,IAAI,KAAK,CAAC,sCAAsC,CAAC,CAAC;IAC1D,CAAC;IACD,MAAM,MAAM,GAAG,MAAM,OAAO,CAC1B,GAAG,GAAG,CAAC,cAAc,2CAA2C,EAChE,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,EAAE,cAAc,EAAE,OAAO,CAAC,cAAc,EAAE,EAAE,CACrE,CAAC;IACF,MAAM,IAAI,GAAG,MAAM,CAAC,IAAI,CAAC;IACzB,IAAI,MAAM,CAAC,IAAI,KAAK,GAAG,IAAI,CAAC,IAAI,EAAE,KAAK,EAAE,CAAC;QACxC,MAAM,IAAI,KAAK,CAAC,SAAS,MAAM,CAAC,OAAO,IAAI,kBAAkB,EAAE,CAAC,CAAC;IACnE,CAAC;IACD,MAAM,OAAO,GAAoB;QAC/B,GAAG,OAAO;QACV,KAAK,EAAE,IAAI,CAAC,KAAK;QACjB,cAAc,EAAE,IAAI,CAAC,cAAc,IAAI,OAAO,CAAC,cAAc;QAC7D,SAAS,EAAE,IAAI,IAAI,EAAE,CAAC,WAAW,EAAE;KACpC,CAAC;IACF,uDAAuD;IACvD,IAAI,CAAC;QACH,OAAO,CAAC,IAAI,GAAG,MAAM,SAAS,CAAC,OAAO,CAAC,KAAK,CAAC,CAAC;IAChD,CAAC;IAAC,MAAM,CAAC;QACP,gCAAgC;IAClC,CAAC;IACD,QAAQ,CAAC,OAAO,CAAC,CAAC;IAClB,OAAO,OAAO,CAAC;AACjB,CAAC"}

package/dist/auth/store.d.ts

@@ -0,0 +1,19 @@
+export interface AuthCredentials {
+    /** 网关插件 JWT token */
+    token: string;
+    /** 刷新 token（换新 access 用） */
+    refreshedToken: string;
+    /** CSRF token（调业务接口用，30 分钟有效，随 token 一起管理） */
+    csrf?: string;
+    accountName?: string;
+    accountId?: string;
+    email?: string;
+    /** 本地保存时间 ISO */
+    updatedAt: string;
+}
+export declare function authFilePath(): string;
+export declare function loadAuth(): AuthCredentials | null;
+export declare function saveAuth(auth: AuthCredentials): void;
+export declare function clearAuth(): void;
+/** 稳定指纹，用于 UI 展示脱敏（如 accountId 末 4 位） */
+export declare function fingerprint(accountId?: string): string;

package/dist/auth/store.js

@@ -0,0 +1,71 @@
+/**
+ * 凭证本地安全存储：token/refresh 加密落盘（AES-256-GCM），密钥从本机标识派生。
+ * 安全责任在用户侧（方案 D）：CLI 凭证仅存用户本机，不落服务端。
+ */
+import { createCipheriv, createDecipheriv, createHash, randomBytes, scryptSync } from "node:crypto";
+import { homedir, hostname } from "node:os";
+import { mkdirSync, readFileSync, rmSync, writeFileSync } from "node:fs";
+import { join } from "node:path";
+const CONFIG_DIR = join(homedir(), ".openlibing-cli");
+/** 凭证文件路径：测试可用 OPENLIBING_AUTH_FILE 覆盖，避免污染真实凭证 */
+const AUTH_FILE = process.env.OPENLIBING_AUTH_FILE ?? join(CONFIG_DIR, "auth.json");
+const VERSION = "v1";
+const SALT = "openlibing-cli:auth:v1";
+/** 从本机标识派生加密密钥（换机器/用户后无法解密，符合本地凭证语义） */
+function deriveKey() {
+    const identity = `${hostname()}:${process.env.USERNAME ?? process.env.USER ?? "unknown"}`;
+    return scryptSync(identity, SALT, 32);
+}
+function encrypt(plain) {
+    const key = deriveKey();
+    const iv = randomBytes(12);
+    const cipher = createCipheriv("aes-256-gcm", key, iv);
+    const enc = Buffer.concat([cipher.update(plain, "utf8"), cipher.final()]);
+    const tag = cipher.getAuthTag();
+    return `${VERSION}:${iv.toString("base64")}:${tag.toString("base64")}:${enc.toString("base64")}`;
+}
+function decrypt(payload) {
+    const [version, ivB64, tagB64, dataB64] = payload.split(":");
+    if (version !== VERSION)
+        throw new Error("unsupported credential format");
+    const key = deriveKey();
+    const decipher = createDecipheriv("aes-256-gcm", key, Buffer.from(ivB64, "base64"));
+    decipher.setAuthTag(Buffer.from(tagB64, "base64"));
+    return Buffer.concat([
+        decipher.update(Buffer.from(dataB64, "base64")),
+        decipher.final(),
+    ]).toString("utf8");
+}
+export function authFilePath() {
+    return AUTH_FILE;
+}
+export function loadAuth() {
+    try {
+        const raw = readFileSync(AUTH_FILE, "utf8").trim();
+        const parsed = JSON.parse(raw);
+        return JSON.parse(decrypt(parsed.encrypted));
+    }
+    catch {
+        return null;
+    }
+}
+export function saveAuth(auth) {
+    mkdirSync(CONFIG_DIR, { recursive: true });
+    const encrypted = encrypt(JSON.stringify(auth));
+    writeFileSync(AUTH_FILE, JSON.stringify({ encrypted }, null, 2), { mode: 0o600 });
+}
+export function clearAuth() {
+    try {
+        rmSync(AUTH_FILE, { force: true });
+    }
+    catch {
+        // 文件不存在即视为已清除
+    }
+}
+/** 稳定指纹，用于 UI 展示脱敏（如 accountId 末 4 位） */
+export function fingerprint(accountId) {
+    if (!accountId)
+        return "unknown";
+    return createHash("sha256").update(accountId).digest("hex").slice(0, 8);
+}
+//# sourceMappingURL=store.js.map