@pachca/cli 2026.8.1 → 2026.8.3

package/CHANGELOG.md

@@ -1,6 +1,23 @@
 # Changelog
 
-## 2026.8.1  (6 августа 2026)
+## 2026.8.3  (28 августа 2026)
+
+- **Добавлено** (security list): Флаг `--event-key` принимает значение `user_2fa_disabled` — сотрудник отключил себе двухфакторную аутентификацию
+- **Исправлено** (api): `api POST /messages --spec` и `--docs`: размер файла `size` описан 64-битным числом, у ссылки `url` указан срок действия до 7 дней, а у кнопок появились пределы — `url` до 1024 символов и не больше 32 строк в `buttons`
+- **Исправлено** (api): `api POST /views/open --spec` и `--docs`: у радиокнопки блока `radio` изначальный выбор задаётся полем `checked`, как у чекбоксов, а не `selected`. У пункта списка предел `value` — 255 символов, а сам `options` стал обязательным
+- **Исправлено** (api): `api POST /tasks --spec` и `api PUT /tasks/{id} --spec`: у `priority` показаны границы 1–3, которые проверяет API
+- **Исправлено** (api): `api GET /tasks --spec`: у `chat_ids` и `performer_ids` показан предел в 100 идентификаторов, который проверяет API
+- **Добавлено** (api): `api --spec` показывает ответ `409` у методов сотрудника, тега и закрепления сообщения и ответ `429` у `POST /messages` — суточный предел сообщений в чат
+
+## 2026.8.2  (12 августа 2026)
+
+- **Добавлено** (chats list-company): Новая команда — все беседы и каналы пространства, включая закрытые, где вы не состоите. Флаг `--activity` со значением `active` или `archived` оставляет одно состояние, по умолчанию отдаются оба. Нужна роль владельца пространства, тариф «Корпорация» и право `company_chats:read`
+- **Добавлено** (bots list-company): Новая команда — все боты пространства, включая недоступные вам для редактирования. У таких ботов заполнены только имя и никнейм, остальные настройки приходят пустыми. Фильтр по имени — флаг `--query`. Нужна роль владельца пространства, тариф «Корпорация» и право `company_bots:read`
+- **Добавлено** (tasks list): Флаги `--status`, `--chat-ids`, `--performer-ids` и `--author-id` для фильтрации напоминаний. С `--chat-ids` выдача расширяется до всех напоминаний указанных чатов, а не только ваших
+- **Добавлено** (security list): Фильтр `--event-key` принимает `company_chats_accessed` и `company_bots_accessed`
+- **Исправлено**: Недостающий скоуп в ошибке `insufficient_scope` берётся из заголовка `WWW-Authenticate` — раньше его вытаскивали регуляркой из текста сообщения, и он терялся при любой смене формулировки. Разбор текста остался запасным путём
+
+## 2026.8.1  (7 августа 2026)
 
 - **Добавлено** (auth login): Вход через браузер — без ручной вставки токена. CLI показывает адрес и код, открывает браузер и ждёт подтверждения. Токен такого входа живёт час и продлевается сам перед каждой командой; при параллельных процессах обновляет только один, остальные ждут результат. Флаг `--no-browser` печатает адрес и код, не открывая браузер. `--token` и `PACHCA_TOKEN` работают как раньше — это путь для CI и агентов
 - **Добавлено** (auth login): Токен хранится в хранилище ключей ОС — Keychain на macOS, Secret Service на Linux, Диспетчер учётных данных на Windows; в файле конфигурации остаются только имя, почта и права. Где хранилища нет (headless-машина, контейнер), CLI сохраняет токен в файл и сообщает об этом при входе. Отказаться от хранилища: флаг `--insecure-storage` или переменная `PACHCA_SECRET_STORE=file`

package/README.md

@@ -86,6 +86,7 @@ pachca guide            # список всех сценариев
 | `pachca bots update` | Редактирование бота |
 | `pachca bots delete` | Удаление бота |
 | `pachca bots recreate-token` | Ротация токена бота |
+| `pachca bots list-company` | Список ботов пространства |
 | `pachca bots list-events` | История событий |
 | `pachca bots remove-event` | Удаление события |
 
@@ -101,6 +102,7 @@ pachca guide            # список всех сценариев
 | `pachca chats update` | Редактирование чата |
 | `pachca chats archive` | Архивация чата |
 | `pachca chats unarchive` | Разархивация чата |
+| `pachca chats list-company` | Список чатов пространства |
 
 ### members
 

package/dist/client.js

@@ -195,7 +195,8 @@ export async function request(opts, clientFlags) {
             if (!response.ok) {
                 s?.stop('');
                 const requestId = response.headers.get('x-request-id') || undefined;
-                throw createApiError(response.status, data, requestId);
+                const authenticate = response.headers.get('www-authenticate') || undefined;
+                throw createApiError(response.status, data, requestId, authenticate);
             }
             s?.stop('');
             return { data, status: response.status, headers: response.headers };
@@ -228,12 +229,21 @@ export async function request(opts, clientFlags) {
         message: lastError?.message || 'Failed to connect to server',
     });
 }
-function createApiError(status, body, requestId) {
+// Недостающий скоуп по RFC 6750 приходит в параметре scope заголовка
+// WWW-Authenticate: Bearer error="insufficient_scope", …, scope="profile:read"
+function scopeFromChallenge(header) {
+    if (!header)
+        return undefined;
+    return /(?:^|[\s,])scope="([^"]*)"/.exec(header)?.[1] || undefined;
+}
+function createApiError(status, body, requestId, authenticate) {
     // Scope refusal is a distinct case from "token is bad": the token works, it
     // just may not do this. Pull the missing scope out so the command can name it.
     if (isRecord(body) && body.error === 'insufficient_scope') {
         const description = typeof body.error_description === 'string' ? body.error_description : '';
-        const scope = /Required:\s*([\w:]+)/.exec(description)?.[1];
+        // Заголовок — источник по умолчанию: там скоуп лежит отдельным параметром.
+        // Разбор error_description оставлен запасным путём для версий API без заголовка.
+        const scope = scopeFromChallenge(authenticate) || /Required:\s*([\w:]+)/.exec(description)?.[1];
         return new ApiError({
             error: description || 'Insufficient scope',
             code: status,

package/dist/commands/bots/list-company.js

@@ -0,0 +1,98 @@
+// Auto-generated from openapi.yaml — DO NOT EDIT
+import { Flags } from '@oclif/core';
+import { BaseCommand } from '../../base-command.js';
+export default class BotsListCompany extends BaseCommand {
+    static description = "Список ботов пространства";
+    static examples = [
+        "Инвентаризация всех ботов пространства — Получи всех ботов пространства, а не только доступных для редактирования:\n  $ pachca bots list-company"
+    ];
+    static scope = "company_bots:read";
+    static plan = "corporation";
+    static apiMethod = "GET";
+    static apiPath = "/company/bots";
+    static defaultColumns = ["id", "webhook"];
+    static args = {};
+    static flags = {
+        ...BaseCommand.baseFlags,
+        'query': Flags.string({
+            description: "Поисковая фраза для фильтрации ботов по имени",
+        }),
+        limit: Flags.integer({
+            description: 'Количество результатов на страницу',
+        }),
+        cursor: Flags.string({
+            description: 'Курсор для следующей страницы',
+        }),
+        all: Flags.boolean({
+            description: 'Загрузить все страницы автоматически',
+            default: false,
+        }),
+    };
+    async run() {
+        const { args, flags } = await this.parse(BotsListCompany);
+        this.parsedFlags = flags;
+        if (flags.all) {
+            // Auto-pagination
+            const allData = [];
+            let nextCursor = undefined;
+            let pages = 0;
+            const seenCursors = new Set();
+            while (pages < 500) {
+                const query = {
+                    query: flags['query'],
+                    limit: flags.limit,
+                    cursor: nextCursor,
+                };
+                const response = await this.apiRequest({ method: 'GET', path: '/company/bots', query });
+                const body = response.data;
+                const items = body.data;
+                if (items)
+                    allData.push(...items);
+                const meta = body.meta;
+                const paginate = meta?.paginate;
+                nextCursor = paginate?.next_page;
+                pages++;
+                // Условие конца: списочные методы — has_next === false; методы поиска и /users?query= (без has_next) — пустой data
+                const hasNext = paginate?.has_next;
+                if (typeof hasNext === 'boolean') {
+                    if (!hasNext)
+                        break;
+                }
+                else if (!items || items.length === 0) {
+                    break;
+                }
+                if (process.stderr.isTTY) {
+                    const total = paginate?.total;
+                    const progress = total ? `${allData.length} / ${total}` : String(allData.length);
+                    process.stderr.write(`\r  Загружено: ${progress}...`);
+                }
+                if (!nextCursor)
+                    break;
+                if (seenCursors.has(nextCursor)) {
+                    process.stderr.write('\n⚠ Обнаружен цикл пагинации, остановка.\n');
+                    break;
+                }
+                seenCursors.add(nextCursor);
+            }
+            if (pages >= 500) {
+                process.stderr.write('\n⚠ Достигнут лимит 500 страниц.\n');
+            }
+            if (process.stderr.isTTY)
+                process.stderr.write('\n');
+            this.output(allData);
+            return;
+        }
+        const { data } = await this.apiRequest({
+            method: 'GET',
+            path: '/company/bots',
+            query: {
+                query: flags['query'],
+                limit: flags.limit,
+                cursor: flags.cursor,
+            },
+        });
+        const responseBody = (data ?? {});
+        const items = responseBody.data ?? responseBody;
+        this.output(items);
+    }
+}

package/dist/commands/chats/list-company.js

@@ -0,0 +1,99 @@
+// Auto-generated from openapi.yaml — DO NOT EDIT
+import { Flags } from '@oclif/core';
+import { BaseCommand } from '../../base-command.js';
+export default class ChatsListCompany extends BaseCommand {
+    static description = "Список чатов пространства";
+    static examples = [
+        "Выгрузить все чаты пространства, включая закрытые — Получи беседы и каналы всего пространства, включая закрытые, где владелец токена не состоит:\n  $ pachca chats list-company"
+    ];
+    static scope = "company_chats:read";
+    static plan = "corporation";
+    static apiMethod = "GET";
+    static apiPath = "/company/chats";
+    static defaultColumns = ["id", "name", "created_at", "owner_id", "channel"];
+    static args = {};
+    static flags = {
+        ...BaseCommand.baseFlags,
+        'activity': Flags.string({
+            description: "Состояние чатов. Если параметр не указан, возвращаются и активные, и архивные чаты.",
+            options: ["active", "archived"],
+        }),
+        limit: Flags.integer({
+            description: 'Количество результатов на страницу',
+        }),
+        cursor: Flags.string({
+            description: 'Курсор для следующей страницы',
+        }),
+        all: Flags.boolean({
+            description: 'Загрузить все страницы автоматически',
+            default: false,
+        }),
+    };
+    async run() {
+        const { args, flags } = await this.parse(ChatsListCompany);
+        this.parsedFlags = flags;
+        if (flags.all) {
+            // Auto-pagination
+            const allData = [];
+            let nextCursor = undefined;
+            let pages = 0;
+            const seenCursors = new Set();
+            while (pages < 500) {
+                const query = {
+                    activity: flags['activity'],
+                    limit: flags.limit,
+                    cursor: nextCursor,
+                };
+                const response = await this.apiRequest({ method: 'GET', path: '/company/chats', query });
+                const body = response.data;
+                const items = body.data;
+                if (items)
+                    allData.push(...items);
+                const meta = body.meta;
+                const paginate = meta?.paginate;
+                nextCursor = paginate?.next_page;
+                pages++;
+                // Условие конца: списочные методы — has_next === false; методы поиска и /users?query= (без has_next) — пустой data
+                const hasNext = paginate?.has_next;
+                if (typeof hasNext === 'boolean') {
+                    if (!hasNext)
+                        break;
+                }
+                else if (!items || items.length === 0) {
+                    break;
+                }
+                if (process.stderr.isTTY) {
+                    const total = paginate?.total;
+                    const progress = total ? `${allData.length} / ${total}` : String(allData.length);
+                    process.stderr.write(`\r  Загружено: ${progress}...`);
+                }
+                if (!nextCursor)
+                    break;
+                if (seenCursors.has(nextCursor)) {
+                    process.stderr.write('\n⚠ Обнаружен цикл пагинации, остановка.\n');
+                    break;
+                }
+                seenCursors.add(nextCursor);
+            }
+            if (pages >= 500) {
+                process.stderr.write('\n⚠ Достигнут лимит 500 страниц.\n');
+            }
+            if (process.stderr.isTTY)
+                process.stderr.write('\n');
+            this.output(allData);
+            return;
+        }
+        const { data } = await this.apiRequest({
+            method: 'GET',
+            path: '/company/chats',
+            query: {
+                activity: flags['activity'],
+                limit: flags.limit,
+                cursor: flags.cursor,
+            },
+        });
+        const responseBody = (data ?? {});
+        const items = responseBody.data ?? responseBody;
+        this.output(items);
+    }
+}

package/dist/commands/chats/list.js

@@ -6,7 +6,7 @@ export default class ChatsList extends BaseCommand {
     static examples = [
         "Найти активные чаты за период — Получи чаты с активностью после указанной даты:\n  $ pachca chats list",
         "Найти и заархивировать неактивные чаты — Получи чаты без активности с нужной даты:\n  $ pachca chats list",
-        "Создать гостя в чат — Выбери активный чат, в который добавить гостя — узнай его ID:\n  $ pachca chats list"
+        "Выгрузить все чаты пространства, включая закрытые — Если метод ответил `403` — у токена нет скоупа `company_chats:read`, либо владелец токена не владелец пространства, либо у пространства нет тарифа «Корпорация». Тогда возьми открытые чаты обычным списком:\n  $ pachca chats list"
     ];
     static scope = "chats:read";
     static apiMethod = "GET";

package/dist/commands/security/list.js

@@ -6,7 +6,7 @@ export default class SecurityList extends BaseCommand {
     static examples = [
         "Получить журнал аудита событий — Получи журнал аудита:\n  $ pachca security list",
         "Мониторинг подозрительных входов — Получи события неудачных 2FA за период:\n  $ pachca security list",
-        "Экспорт логов за период — Получи все события за период с пагинацией:\n  $ pachca security list"
+        "Мониторинг подозрительных входов — Повтори запрос с `--event-key=user_2fa_disabled` — отключение второго фактора у сотрудника:\n  $ pachca security list"
     ];
     static scope = "audit_events:read";
     static plan = "corporation";
@@ -24,7 +24,7 @@ export default class SecurityList extends BaseCommand {
         }),
         'event-key': Flags.string({
             description: "Фильтр по конкретному типу события",
-            options: ["user_login", "user_logout", "user_2fa_fail", "user_2fa_success", "user_created", "user_deleted", "user_role_changed", "user_updated", "tag_created", "tag_deleted", "user_added_to_tag", "user_removed_from_tag", "chat_created", "chat_renamed", "chat_permission_changed", "user_chat_join", "user_chat_leave", "tag_added_to_chat", "tag_removed_from_chat", "message_updated", "message_deleted", "message_created", "reaction_created", "reaction_deleted", "thread_created", "access_token_created", "access_token_updated", "access_token_destroy", "kms_encrypt", "kms_decrypt", "audit_events_accessed", "dlp_violation_detected", "search_users_api", "search_chats_api", "search_messages_api", "bot_scopes_updated", "bot_webhook_settings_updated", "bot_token_recreated", "bot_deleted", "bot_oauth_client_updated", "oauth_authorization_granted", "oauth_authorization_revoked", "video_call_started", "video_call_finished", "video_call_recording_ready"],
+            options: ["user_login", "user_logout", "user_2fa_fail", "user_2fa_success", "user_2fa_disabled", "user_created", "user_deleted", "user_role_changed", "user_updated", "tag_created", "tag_deleted", "user_added_to_tag", "user_removed_from_tag", "chat_created", "chat_renamed", "chat_permission_changed", "user_chat_join", "user_chat_leave", "tag_added_to_chat", "tag_removed_from_chat", "message_updated", "message_deleted", "message_created", "reaction_created", "reaction_deleted", "thread_created", "access_token_created", "access_token_updated", "access_token_destroy", "kms_encrypt", "kms_decrypt", "audit_events_accessed", "company_chats_accessed", "company_bots_accessed", "dlp_violation_detected", "search_users_api", "search_chats_api", "search_messages_api", "bot_scopes_updated", "bot_webhook_settings_updated", "bot_token_recreated", "bot_deleted", "bot_oauth_client_updated", "oauth_authorization_granted", "oauth_authorization_revoked", "video_call_started", "video_call_finished", "video_call_recording_ready"],
         }),
         'actor-id': Flags.string({
             description: "Идентификатор пользователя, выполнившего действие",

package/dist/commands/tasks/list.js

@@ -4,7 +4,9 @@ import { BaseCommand } from '../../base-command.js';
 export default class TasksList extends BaseCommand {
     static description = "Список напоминаний";
     static examples = [
-        "Получить список предстоящих задач — Получи все задачи, фильтруй по `status` на клиенте:\n  $ pachca tasks list"
+        "Получить список предстоящих задач — Получи невыполненные задачи:\n  $ pachca tasks list",
+        "Собрать задачи по чатам проекта — Запроси задачи нужных чатов:\n  $ pachca tasks list",
+        "Собрать задачи по чатам проекта — Сузь выборку по автору, ответственным и состоянию:\n  $ pachca tasks list"
     ];
     static scope = "tasks:read";
     static apiMethod = "GET";
@@ -13,6 +15,19 @@ export default class TasksList extends BaseCommand {
     static args = {};
     static flags = {
         ...BaseCommand.baseFlags,
+        'status': Flags.string({
+            description: "Фильтр по состоянию. Если параметр не указан, возвращаются напоминания в любом состоянии.",
+            options: ["done", "undone"],
+        }),
+        'chat-ids': Flags.string({
+            description: "Фильтр по чатам, к которым привязаны напоминания. Доступными считаются чаты, где вы состоите участником, открытые беседы и каналы пространства, а также треды, доступные вам по родительскому чату. Остальные переданные идентификаторы игнорируются без ошибки. Не более 100 идентификаторов." + " (через запятую)",
+        }),
+        'performer-ids': Flags.string({
+            description: "Фильтр по ответственным за напоминание. Не более 100 идентификаторов." + " (через запятую)",
+        }),
+        'author-id': Flags.integer({
+            description: "Фильтр по автору напоминания",
+        }),
         limit: Flags.integer({
             description: 'Количество результатов на страницу',
         }),
@@ -35,6 +50,10 @@ export default class TasksList extends BaseCommand {
             const seenCursors = new Set();
             while (pages < 500) {
                 const query = {
+                    status: flags['status'],
+                    'chat_ids': flags['chat-ids']?.split(','),
+                    'performer_ids': flags['performer-ids']?.split(','),
+                    'author_id': flags['author-id'],
                     limit: flags.limit,
                     cursor: nextCursor,
                 };
@@ -81,6 +100,10 @@ export default class TasksList extends BaseCommand {
             method: 'GET',
             path: '/tasks',
             query: {
+                status: flags['status'],
+                'chat_ids': flags['chat-ids']?.split(','),
+                'performer_ids': flags['performer-ids']?.split(','),
+                'author_id': flags['author-id'],
                 limit: flags.limit,
                 cursor: flags.cursor,
             },

package/dist/data/alternatives.json

@@ -23,6 +23,8 @@
     "members:remove": "Исключение пользователя",
     "members:update": "Редактирование роли",
     "chats:unarchive": "Разархивация чата",
+    "bots:list-company": "Список ботов пространства",
+    "chats:list-company": "Список чатов пространства",
     "custom-properties:list": "Список дополнительных полей",
     "files:direct-url": "Загрузка файла",
     "group-tags:create": "Новый тег",

package/dist/data/changelog.json

@@ -1,7 +1,73 @@
 [
+    {
+        "version": "2026.8.3",
+        "date": "28 августа 2026",
+        "changes": [
+            {
+                "type": "+",
+                "command": "security list",
+                "description": "Флаг `--event-key` принимает значение `user_2fa_disabled` — сотрудник отключил себе двухфакторную аутентификацию"
+            },
+            {
+                "type": "-",
+                "command": "api",
+                "description": "`api POST /messages --spec` и `--docs`: размер файла `size` описан 64-битным числом, у ссылки `url` указан срок действия до 7 дней, а у кнопок появились пределы — `url` до 1024 символов и не больше 32 строк в `buttons`"
+            },
+            {
+                "type": "-",
+                "command": "api",
+                "description": "`api POST /views/open --spec` и `--docs`: у радиокнопки блока `radio` изначальный выбор задаётся полем `checked`, как у чекбоксов, а не `selected`. У пункта списка предел `value` — 255 символов, а сам `options` стал обязательным"
+            },
+            {
+                "type": "-",
+                "command": "api",
+                "description": "`api POST /tasks --spec` и `api PUT /tasks/{id} --spec`: у `priority` показаны границы 1–3, которые проверяет API"
+            },
+            {
+                "type": "-",
+                "command": "api",
+                "description": "`api GET /tasks --spec`: у `chat_ids` и `performer_ids` показан предел в 100 идентификаторов, который проверяет API"
+            },
+            {
+                "type": "+",
+                "command": "api",
+                "description": "`api --spec` показывает ответ `409` у методов сотрудника, тега и закрепления сообщения и ответ `429` у `POST /messages` — суточный предел сообщений в чат"
+            }
+        ]
+    },
+    {
+        "version": "2026.8.2",
+        "date": "12 августа 2026",
+        "changes": [
+            {
+                "type": "+",
+                "command": "chats list-company",
+                "description": "Новая команда — все беседы и каналы пространства, включая закрытые, где вы не состоите. Флаг `--activity` со значением `active` или `archived` оставляет одно состояние, по умолчанию отдаются оба. Нужна роль владельца пространства, тариф «Корпорация» и право `company_chats:read`"
+            },
+            {
+                "type": "+",
+                "command": "bots list-company",
+                "description": "Новая команда — все боты пространства, включая недоступные вам для редактирования. У таких ботов заполнены только имя и никнейм, остальные настройки приходят пустыми. Фильтр по имени — флаг `--query`. Нужна роль владельца пространства, тариф «Корпорация» и право `company_bots:read`"
+            },
+            {
+                "type": "+",
+                "command": "tasks list",
+                "description": "Флаги `--status`, `--chat-ids`, `--performer-ids` и `--author-id` для фильтрации напоминаний. С `--chat-ids` выдача расширяется до всех напоминаний указанных чатов, а не только ваших"
+            },
+            {
+                "type": "+",
+                "command": "security list",
+                "description": "Фильтр `--event-key` принимает `company_chats_accessed` и `company_bots_accessed`"
+            },
+            {
+                "type": "-",
+                "description": "Недостающий скоуп в ошибке `insufficient_scope` берётся из заголовка `WWW-Authenticate` — раньше его вытаскивали регуляркой из текста сообщения, и он терялся при любой смене формулировки. Разбор текста остался запасным путём"
+            }
+        ]
+    },
     {
         "version": "2026.8.1",
-        "date": "6 августа 2026",
+        "date": "7 августа 2026",
         "changes": [
             {
                 "type": "+",