@puyinkai/xiaobao-cli 0.1.6 → 0.1.9

package/skills/wangxiaobao-quick-qa/SKILL.md

@@ -17,7 +17,7 @@ metadata:
 
 ## 执行前必读
 
-- 必须有有效 token：先调 `xiaobao-cli auth whoami`；未登录 / 过期就调 `xiaobao-cli auth login`
+- 必须有有效 token：先调 `xiaobao-cli auth whoami`；未登录 / 过期就走 `auth login --no-wait` split-flow（见 wangxiaobao-shared）
 - **必须有激活项目**：命令内部自动从激活项目状态读 tenant/project，
   调用方**不要传** tenant/project 参数。如果 命令 返回
   `error: 'NO_ACTIVE_PROJECT'`，让用户跑 `wangxiaobao-switch-project` skill
@@ -178,7 +178,7 @@ xiaobao-cli qa "评估一下客户 12345 的成交概率，相关录音 audioId:
 
 - **`error: 'NO_ACTIVE_PROJECT'`** — 还没设过激活项目 → 跑
   `wangxiaobao-switch-project` skill 后重试
-- **401 / token 过期** — 调 `xiaobao-cli auth login --force` 重登，重试一次
+- **401 / token 过期** — 走 `auth login --no-wait --force` split-flow 重登，重试一次
 - **响应耗时 > 30 分钟** — 后端慢到打满 CLI timeout → 告诉用户"上游慢，稍后重试"
 - **answer 为空** — 上游这一轮没产出最终文本 → 让用户换个 prompt 重试
 - **用户想"批量出报告"** — 拦住：本期 CLI 没有报告生成 skill，

package/skills/wangxiaobao-shared/SKILL.md

@@ -30,8 +30,8 @@ npx -y @puyinkai/xiaobao-cli <subcommand>...
 任何 xiaobao-cli 命令的**前置 3 步**：
 
 ```bash
-# 1. 登录（OAuth device flow，5 分钟内浏览器授权一次，token 自动缓存）
-xiaobao-cli auth login
+# 1. 登录（OAuth device flow 非阻塞 split-flow，token 自动缓存）—— 见下方
+xiaobao-cli auth login --no-wait
 
 # 2. 选激活项目（多租户 / 多项目场景必做；旺小宝是多租户业务）
 xiaobao-cli project list                # 列可选
@@ -44,6 +44,34 @@ xiaobao-cli customer list --portrait 高意向
 # ...
 ```
 
+### 登录 —— 用 `--no-wait` split-flow（两步、不阻塞）
+
+登录走 OAuth device flow，固定用下面的两步、全程不阻塞。**不要跑裸
+`xiaobao-cli auth login`** —— 它会阻塞轮询、卡满一整轮对话。
+
+```bash
+# 步骤 A：发起，立即返回（约 0.5s），拿到 verification_uri
+xiaobao-cli auth login --no-wait
+# stdout: { "awaiting_authorization": true, "verification_uri": "...",
+#           "user_code": "...", "expires_in": 300, "interval": 5, ... }
+# device_code 不在 stdout —— 已安全存到 ~/.xiaobao/pending-auth.json（0600）
+```
+
+agent 拿到后：把 `verification_uri` **原样**发给用户（放进只含 URL 的代码块，
+不要改写不要做 URL 编码），让用户浏览器打开授权，然后**结束本轮**，把控制权
+交还用户。
+
+```bash
+# 步骤 B：用户回复"授权完成"后，直接换 token（秒级）——
+# device_code 已由步骤 A 存在本地，--resume 自动读取，agent 无需持有 / 传递它
+xiaobao-cli auth login --resume
+# stdout: { "source": "device-flow", "expires_at": ..., "scope": "..." }
+```
+
+device_code 有效期 `expires_in` 秒（约 5 分钟）。超时就重跑步骤 A。
+若 token 仍有效 / refresh_token 可用，`--no-wait` 会直接走 cache/refresh
+快速返回（`source: cache` / `refresh`），不发起新的 device flow，也无需步骤 B。
+
 查身份 / 当前激活项目（任何时候都可以）：
 
 ```bash
@@ -90,12 +118,12 @@ Agent 消费时**只 parse stdout JSON**，stderr 是辅助。
 
 ### 常见错误码
 
-| code | 触发场景 | hint 内 actionable 命令 |
-| --- | --- | --- |
-| `NOT_AUTHENTICATED` | 未登录 / token 过期且 refresh_token 也失效 | `xiaobao-cli auth login` |
-| `NO_ACTIVE_PROJECT` | 没设激活项目就跑了需要 tenant/project 的命令 | `xiaobao-cli project list` + `xiaobao-cli project use ...` |
+| code | 触发场景 | hint 内 actionable 命令                                          |
+| --- | --- |---------------------------------------------------------------|
+| `NOT_AUTHENTICATED` | 未登录 / token 过期且 refresh_token 也失效 | `xiaobao-cli auth login --no-wait`（split-flow，见上方登录段） |
+| `NO_ACTIVE_PROJECT` | 没设激活项目就跑了需要 tenant/project 的命令 | `xiaobao-cli project list` + `xiaobao-cli project use ...`    |
 | `API_ERROR` | 上游 ai-open / saas API 返非 2xx | 看 `details.status` 和 `details.body`，可能 token scope 不够 / 上游临时挂 |
-| `BAD_METHOD` | `api` 命令传错 HTTP method | 用 GET / POST / PUT / PATCH / DELETE |
+| `BAD_METHOD` | `api` 命令传错 HTTP method | 用 GET / POST / PUT / PATCH / DELETE                           |
 
 遇到 `NOT_AUTHENTICATED` 或 `NO_ACTIVE_PROJECT` 时**立即按 hint 走**，不要追问用户。
 
@@ -106,6 +134,11 @@ Agent 消费时**只 parse stdout JSON**，stderr 是辅助。
 | OAuth tokens | access_token + refresh_token + id_token + expires_at | `~/.xiaobao/token.json` | 0600 |
 | Active project | tenantId / tenantName / projectId / projectName / updatedAt | `~/.xiaobao/active-project.json` | 0600 |
 | User config（可选） | 覆盖 authBase / apiBase / scopes | `~/.xiaobao/config.json` | 0600 |
+| Pending auth（临时） | `--no-wait` split-flow 进行中的 device_code / user_code / 过期时间 | `~/.xiaobao/pending-auth.json` | 0600 |
+
+`pending-auth.json` 是 split-flow 的临时凭据中转：`--no-wait` 写入、`--resume`
+成功换到 token 后删除，`auth logout` 或 device_code 过期时也会清掉。device_code
+属凭据级数据，**只落本地文件、绝不进 stdout / agent 上下文**。
 
 ### `~/.openclaw/state/wangxiaobao/` fallback（向后兼容 openclaw-xiaobao plugin 用户）
 

package/skills/wangxiaobao-switch-project/SKILL.md

@@ -17,7 +17,7 @@ metadata:
 
 ## 执行前必读
 
-- 必须先通过 `xiaobao-cli auth login` 完成 OAuth 登录；token 没拿到时本 skill 不能继续
+- 必须先走 `auth login --no-wait` split-flow 完成 OAuth 登录（见 wangxiaobao-shared）；token 没拿到时本 skill 不能继续
 - **不要**自己 fs.writeFile 写 `.env` 或任何文件——状态落地走
   `xiaobao-cli project use`，由 CLI 统一管理权限和路径
 - 多个项目时**必须让用户挑**，绝对不要自动选择第一个；只有一个项目时才可以自动选
@@ -58,7 +58,7 @@ metadata:
   或不带 keyword 看全量；**不要**直接说"没有项目"
 - **没带 `--keyword`** → 账号确实没有可访问的项目，结束
 
-如果 命令 报错（401 / token 过期等），先调 `xiaobao-cli auth login --force` 重新登录，再重试一次。
+如果 命令 报错（401 / token 过期等），先走 `auth login --no-wait --force` split-flow 重新登录，再重试一次。
 
 ### 第 2 步：展示并让用户选
 
@@ -146,7 +146,7 @@ tenant/project + `updatedAt`。如果用户问"现在是哪个项目""当前激
 
 | 错误现象 | 根本原因 | 解决方案 |
 |---|---|---|
-| `xiaobao-cli project list` 返回 401 / token 过期 | 没登录或 refresh 失败 | 调 `xiaobao-cli auth login --force` 重新走 device flow |
+| `xiaobao-cli project list` 返回 401 / token 过期 | 没登录或 refresh 失败 | 走 `auth login --no-wait --force` split-flow 重登 |
 | `count == 0`（没带 keyword） | 账号无任何租户/项目权限 | 让用户找管理员加权限，本 skill 不继续 |
 | `count == 0`（带了 keyword） | 关键字没匹配到任何项目 | 换更短关键字 / 不带 keyword 看全量，别直接说"没项目" |
 | 用户输入的编号超出范围 | 选错了 | 重新提示当前可选编号区间 |

package/skills/wangxiaobao-visit-query/SKILL.md

@@ -16,7 +16,7 @@ metadata:
 
 ## 执行前必读
 
-- 必须有有效 token：先调 `xiaobao-cli auth whoami`；未登录就 `xiaobao-cli auth login`
+- 必须有有效 token：先调 `xiaobao-cli auth whoami`；未登录就走 `auth login --no-wait` split-flow（见 wangxiaobao-shared）
 - **必须有激活项目**：命令内部自动读，缺失返回 `NO_ACTIVE_PROJECT`
 - **数据权限隔离**：跟客户接口一样，按当前用户授权可见顾问范围过滤
 - LocalDateTime 格式：`yyyy-MM-dd HH:mm:ss`（空格分隔），CLI 自动转
@@ -194,7 +194,7 @@ xiaobao-cli visit list --customer-id 1685535452481236993 --page 1 --size 5
 ## 常见错误与排查
 
 - **`error: 'NO_ACTIVE_PROJECT'`** — 跑 `wangxiaobao-switch-project` skill
-- **401 / token 过期** — 调 `xiaobao-cli auth login --force` 重登
+- **401 / token 过期** — 走 `auth login --no-wait --force` split-flow 重登
 - **`total: 0`** — 时间窗内确实没数据，或当前用户授权范围内没有匹配的接待顾问
 - **customerName 模糊但没匹到** — 客户名拼写差异（"李女士" vs "李小姐"）；
   改用 `xiaobao-cli customer list` 反查精确 customerId

package/dist/login-DtDxISE8.mjs

@@ -1,91 +0,0 @@
-import { a as resolveConfig, n as pollForToken, r as refreshToken, t as initiateDeviceAuthorization } from "./device-flow-D6JVcEap.mjs";
-import { a as writeToken, i as readToken, r as isAccessTokenValid, t as clearToken } from "./token-store-D2umpIk-.mjs";
-import { n as writeResult, t as writeError } from "./format-yjmxrbNm.mjs";
-import { defineCommand } from "citty";
-//#region src/commands/auth/login.ts
-/**
-* `xiaobao-cli auth login` — OAuth 2.0 Device Authorization Grant.
-*
-* Behaviour:
-*   1. Cache hit (valid access_token, no --force) → return immediately.
-*   2. Refresh path (cached refresh_token, no --force) → refresh & store.
-*   3. Device flow → print verification URL + user_code to stderr (humans see
-*      it in the terminal), and synchronously poll until success/denial/expiry.
-*      Polls foreground so the CLI exits with a final structured result on
-*      stdout (agents waiting on stdout JSON get a definitive answer).
-*/
-var login_default = defineCommand({
-	meta: {
-		name: "login",
-		description: "走 OAuth device flow 登录"
-	},
-	args: {
-		force: {
-			type: "boolean",
-			description: "强制清除缓存并重新发起设备授权流程"
-		},
-		"api-base": {
-			type: "string",
-			description: "覆盖 API base URL"
-		},
-		"auth-base": {
-			type: "string",
-			description: "覆盖 auth base URL"
-		},
-		format: {
-			type: "string",
-			default: "json"
-		}
-	},
-	async run({ args }) {
-		const config = resolveConfig({
-			apiBase: args["api-base"],
-			authBase: args["auth-base"]
-		});
-		const fmt = args.format;
-		try {
-			if (!args.force) {
-				const cached = await readToken();
-				if (isAccessTokenValid(cached)) {
-					writeResult({
-						source: "cache",
-						expires_at: cached.expires_at,
-						scope: cached.scope
-					}, fmt);
-					return;
-				}
-				if (cached?.refresh_token) try {
-					const saved = await writeToken(await refreshToken(config, cached.refresh_token));
-					writeResult({
-						source: "refresh",
-						expires_at: saved.expires_at,
-						scope: saved.scope
-					}, fmt);
-					return;
-				} catch {
-					await clearToken();
-				}
-			} else await clearToken();
-			const init = await initiateDeviceAuthorization(config);
-			const verificationUri = init.verification_uri_complete || init.verification_uri;
-			const expiresMinutes = Math.max(1, Math.round(init.expires_in / 60));
-			const interval = init.interval ?? 5;
-			process.stderr.write(`
-请在浏览器中打开以下链接完成登录并授权访问你的旺小宝账号:
-\n  🔗 ${verificationUri}\n\n  设备验证码: ${init.user_code}\n  有效期约 ${expiresMinutes} 分钟\n\n等待你在浏览器中确认 ...
-`);
-			const saved = await writeToken(await pollForToken(config, init.device_code, interval, init.expires_in));
-			writeResult({
-				source: "device-flow",
-				expires_at: saved.expires_at,
-				scope: saved.scope,
-				message: "登录成功，token 已缓存到 ~/.xiaobao/token.json"
-			}, fmt);
-		} catch (err) {
-			writeError(err, fmt);
-			process.exit(1);
-		}
-	}
-});
-//#endregion
-export { login_default as default };