@sberpay-cli/cli-diagnostic 0.0.0-stage → 0.4.0-dev.4

package/package/skill/sberpay/scripts/invoice-id.mjs

@@ -0,0 +1,286 @@
+#!/usr/bin/env node
+// Находит id счёта SberPay (bankInvoiceId) в сетевом журнале браузера после нажатия кнопки SberPay.
+// Правило: берём последний id, пришедший до первого шага подтверждения (Сбер ID, 3-D Secure, OTP, оплата в SDK).
+// Вход — наблюдения по порядку: [{ url, body?, redirect? }], вывод page-probe.js ({ observations }), HAR
+// или текст со ссылками (например, список запросов из Chrome DevTools MCP). Вывод — JSON в stdout.
+// Коды выхода: 0 — id найден, 1 — не найден, 2 — вход не прочитан или не разобран.
+import { readFileSync, realpathSync } from "node:fs";
+import { fileURLToPath } from "node:url";
+
+// Хосты SberPay Web SDK («шторка»): ?orderId=<bankInvoiceId>. Хост выбирает runtime-config SDK.
+const SDK_HOSTS = ["platiecom.ru", "ekompay.ru", "emoplati.ru"];
+// Платёжные страницы эквайринга Сбера (payeko.ru, *.sberbank.ru): ?orderId= или ?mdOrder=.
+const ACQUIRING_HOSTS = ["payeko.ru", "sberbank.ru"];
+const PAYMENT_HOSTS = [...SDK_HOSTS, ...ACQUIRING_HOSTS, "sber.ru"];
+// Ключи, которые есть только у Сбера (sberPayOrderId — ЮKassa).
+const STRONG_KEYS = ["bankInvoiceId", "sbolBankInvoiceId", "sberPayOrderId"];
+// Так магазин может назвать и свой заказ: вне хостов Сбера такой кандидат слабый.
+const WEAK_KEYS = ["mdOrder", "invoiceId"];
+const ID_VALUE = "[0-9a-fA-F]{8}-?[0-9a-fA-F]{4}-?[0-9a-fA-F]{4}-?[0-9a-fA-F]{4}-?[0-9a-fA-F]{12}";
+const KEY_RE = new RegExp(`["']?\\b(${[...STRONG_KEYS, ...WEAK_KEYS].join("|")})["']?\\s*[:=]\\s*["']?(${ID_VALUE})(?![0-9a-fA-F-])`, "g");
+const SESSION_ORDER_RE = new RegExp(`"orderId"\\s*:\\s*"(${ID_VALUE})"`, "g");
+const DEEPLINK_RE = /sberpay:\/\/[^\s"'<>\\]+/gi;
+const URL_RE = /https?:\/\/[^\s"'<>\\]+/gi;
+const OBS_URL_RE = /(?:https?|sberpay):\/\/[^\s"'<>\\\]]+/i;
+
+function parseUrl(raw) {
+  try {
+    return new URL(raw);
+  } catch {
+    return null;
+  }
+}
+
+function hostIn(hostname, hosts) {
+  return hosts.some((h) => hostname === h || hostname.endsWith(`.${h}`));
+}
+
+const isPaymentHost = (u) => hostIn(u.hostname, PAYMENT_HOSTS);
+// ACS 3-D Secure: первая метка хоста ровно acs/3ds/tds с цифрами (acs3.bank.ru), но не acsbapp.com.
+const isAcsHost = (u) => /^(acs|3ds|tds)[\d-]*$/i.test(u.hostname.split(".")[0] ?? "");
+
+// Шаги, после которых id уже не меняется, а дальше идёт подтверждение человеком. Проверяются только хост и путь.
+// Общие пути (/challenge, /otp) — только на платёжных хостах: у магазина так бывают антибот и вход по SMS.
+const BOUNDARIES = [
+  { reason: "sberid", test: (u) => u.hostname === "id.sber.ru" || /\/CSAFront\/|\/oidc\/sberbank_id\//i.test(u.pathname) },
+  { reason: "sdk-pay", test: (u) => /\/sdk-gateway\/v\d+\/(authWeb|listCardsWeb|payOnlineWeb|payQrWeb|payBinding|fastPayment)\b/i.test(u.pathname) },
+  {
+    reason: "3ds",
+    test: (u) => isAcsHost(u) || /\/(acs|3ds|3dsecure|threeds)(\/|$)/i.test(u.pathname) || (isPaymentHost(u) && /\/challenge(\/|$)/i.test(u.pathname)),
+  },
+  { reason: "otp", test: (u) => isPaymentHost(u) && /\/(otp|otp-binding|fraudmon-review-otp)(\/|$)/i.test(u.pathname) },
+  { reason: "card-submit", test: (u) => /\/(paymentOrder|paymentOrderBinding|processform)\.do$/i.test(u.pathname) },
+];
+
+/** UUID или 32 hex → 32 hex в нижнем регистре; иначе null. */
+export function normalizeId(raw) {
+  const hex = String(raw ?? "").replace(/-/g, "").toLowerCase();
+  return /^[0-9a-f]{32}$/.test(hex) && !/^0+$/.test(hex) ? hex : null;
+}
+
+export function toUuid(hex) {
+  return `${hex.slice(0, 8)}-${hex.slice(8, 12)}-${hex.slice(12, 16)}-${hex.slice(16, 20)}-${hex.slice(20)}`;
+}
+
+// Снимает экранирование JSON (&, \/), HTML (&amp;) и URL (%26, %3A…, только ASCII).
+function decodeText(text) {
+  return text
+    .replace(/\\u([0-9a-fA-F]{4})/g, (_, hex) => String.fromCharCode(parseInt(hex, 16)))
+    .replace(/\\\//g, "/")
+    .replace(/&amp;/g, "&")
+    .replace(/%([2-7][0-9a-fA-F])/g, (_, hex) => String.fromCharCode(parseInt(hex, 16)));
+}
+
+function idsInUrl(raw) {
+  const u = parseUrl(raw);
+  if (!u) return [];
+  if (hostIn(u.hostname, SDK_HOSTS)) return [{ kind: "sdk-frame", raw: u.searchParams.get("orderId") }];
+  if (hostIn(u.hostname, ACQUIRING_HOSTS)) {
+    return ["mdOrder", "orderId"].map((p) => ({ kind: "acquiring-page", raw: u.searchParams.get(p) }));
+  }
+  return [];
+}
+
+function idsInDeeplink(deeplink) {
+  const m = /[?&]bankInvoiceId=([0-9a-fA-F-]{32,36})/.exec(deeplink);
+  return m ? [{ kind: "deeplink", raw: m[1], deeplink }] : [];
+}
+
+// Диплинки и поля-ключи; bankInvoiceId= внутри самого диплинка отдельным полем не считаем.
+function idsInKeysAndDeeplinks(text, weakKeys) {
+  const found = [];
+  const deeplinks = [...text.matchAll(DEEPLINK_RE)];
+  const insideDeeplink = (pos) => deeplinks.some((d) => pos >= d.index && pos < d.index + d[0].length);
+  for (const m of deeplinks) found.push({ pos: m.index, items: idsInDeeplink(m[0]) });
+  for (const m of text.matchAll(KEY_RE)) {
+    if (insideDeeplink(m.index)) continue;
+    found.push({ pos: m.index, items: [{ kind: `field:${m[1]}`, raw: m[2], weak: weakKeys && WEAK_KEYS.includes(m[1]) }] });
+  }
+  return found;
+}
+
+function idsInText(text, weakKeys) {
+  const found = idsInKeysAndDeeplinks(text, weakKeys);
+  for (const m of text.matchAll(URL_RE)) found.push({ pos: m.index, items: idsInUrl(m[0]) });
+  return found.sort((a, b) => a.pos - b.pos).flatMap((f) => f.items);
+}
+
+function isSessionIdWeb(raw) {
+  return /\/sdk-gateway\/v\d+\/sessionIdWeb\b/i.test(parseUrl(raw)?.pathname ?? "");
+}
+
+// Адрес хоста Сбера разбираем по параметрам; любой другой — ищем внутри диплинки и ключи (в т. ч. URL-кодированные).
+function idsInAddress(raw) {
+  const text = String(raw);
+  if (text.startsWith("sberpay:")) return idsInDeeplink(decodeText(text));
+  const direct = idsInUrl(text).filter((c) => c.raw);
+  return direct.length > 0 ? direct : idsInKeysAndDeeplinks(decodeText(text), true).flatMap((f) => f.items);
+}
+
+/** Кандидаты из одного наблюдения в порядке появления. Тело запроса не смотрим — только ответы и адреса. */
+export function candidatesOf(obs) {
+  const host = parseUrl(obs.url);
+  const weakKeys = !(host && isPaymentHost(host));
+  const items = [obs.url, obs.redirect].filter(Boolean).flatMap(idsInAddress);
+  if (typeof obs.body === "string" && obs.body.length > 0) {
+    const text = decodeText(obs.body);
+    items.push(...idsInText(text, weakKeys));
+    if (isSessionIdWeb(obs.url)) {
+      for (const m of text.matchAll(SESSION_ORDER_RE)) items.push({ kind: "sdk-session", raw: m[1] });
+    }
+  }
+  return items.flatMap((c) => {
+    const value = normalizeId(c.raw);
+    if (!value) return [];
+    return [{ kind: c.kind, value, ...(c.deeplink ? { deeplink: c.deeplink } : {}), ...(c.weak ? { weak: true } : {}) }];
+  });
+}
+
+function boundaryOf(raw) {
+  const u = parseUrl(raw);
+  const b = u && BOUNDARIES.find((x) => x.test(u));
+  return b ? b.reason : null;
+}
+
+function shortUrl(raw) {
+  const u = parseUrl(raw);
+  return u ? `${u.origin}${u.pathname}` : String(raw).slice(0, 120);
+}
+
+function payArgs(winner, seen) {
+  const link = seen.findLast((c) => c.value === winner.value && c.deeplink)?.deeplink;
+  return { deeplink: link ?? null, pay: ["--md-order", winner.value] };
+}
+
+function alternativesOf(winner, seen) {
+  const byValue = new Map();
+  for (const c of seen) if (c.value !== winner.value) byValue.set(c.value, { value: c.value, kind: c.kind, index: c.index });
+  return [...byValue.values()];
+}
+
+/**
+ * Последний id счёта до первого шага подтверждения. Граница засчитывается только после первого кандидата:
+ * вход через Сбер ID на самом сайте (до нажатия SberPay) не обрезает журнал. Слабые кандидаты (invoiceId и
+ * mdOrder с хоста магазина) выигрывают, только если сильных нет.
+ */
+export function findInvoiceId(observations) {
+  const seen = [];
+  let cutoff = null;
+  for (const [index, obs] of observations.entries()) {
+    const reason = boundaryOf(obs.url);
+    if (reason && seen.length > 0) {
+      cutoff = { index, reason, url: shortUrl(obs.url) };
+      break;
+    }
+    seen.push(...candidatesOf(obs).map((c) => ({ ...c, index, url: obs.url })));
+  }
+  if (seen.length === 0) {
+    return {
+      found: false,
+      cutoff,
+      hint: "id счёта не найден. Проверь, что журнал снят после нажатия SberPay и до входа в Сбер ID; если на экране только QR — возьми ссылку sberpay:// из QR или спроси клиента",
+    };
+  }
+  const strong = seen.filter((c) => !c.weak);
+  const winner = (strong.length > 0 ? strong : seen).at(-1);
+  const kinds = [...new Set(seen.filter((c) => c.value === winner.value).map((c) => c.kind))];
+  return {
+    found: true,
+    bankInvoiceId: winner.value,
+    uuid: toUuid(winner.value),
+    ...payArgs(winner, seen),
+    source: { index: winner.index, kind: winner.kind, url: shortUrl(winner.url) },
+    confirmedBy: kinds,
+    alternatives: alternativesOf(winner, seen),
+    cutoff,
+  };
+}
+
+function fromHar(har) {
+  return [...har.log.entries]
+    .sort((a, b) => String(a.startedDateTime).localeCompare(String(b.startedDateTime)))
+    .map((e) => {
+      const content = e.response?.content ?? {};
+      const body = content.encoding === "base64" && content.text ? Buffer.from(content.text, "base64").toString("utf8") : content.text;
+      return { url: e.request?.url, body, redirect: e.response?.redirectURL || undefined };
+    });
+}
+
+function fromText(text) {
+  return text.split(/\r?\n/).flatMap((line) => {
+    const m = OBS_URL_RE.exec(line);
+    return m ? [{ url: m[0] }] : [];
+  });
+}
+
+const MAX_WRAP_DEPTH = 4;
+
+function isUrlList(arr) {
+  return arr.length > 0 && arr.every((x) => (x && typeof x.url === "string") || (typeof x === "string" && OBS_URL_RE.test(x)));
+}
+
+// Вывод инструментов браузера бывает обёрнут: { result: … }, { requests: [...] }, JSON-строка внутри JSON.
+function findObservations(data, depth) {
+  if (depth > MAX_WRAP_DEPTH || data == null) return null;
+  if (typeof data === "string") {
+    try {
+      return findObservations(JSON.parse(data), depth + 1);
+    } catch {
+      return null;
+    }
+  }
+  if (Array.isArray(data)) return isUrlList(data) ? data.map((x) => (typeof x === "string" ? { url: x } : x)) : null;
+  if (typeof data !== "object") return null;
+  if (Array.isArray(data.log?.entries)) return fromHar(data);
+  if (Array.isArray(data.observations)) return data.observations;
+  for (const value of Object.values(data)) {
+    const found = findObservations(value, depth + 1);
+    if (found) return found;
+  }
+  return null;
+}
+
+/** Разбирает вход: массив наблюдений, { observations }, HAR, их обёртки из инструментов браузера или текст со ссылками. */
+export function parseInput(text) {
+  let data;
+  try {
+    data = JSON.parse(text);
+  } catch {
+    return fromText(text);
+  }
+  if (Array.isArray(data) && data.length === 0) return [];
+  const found = findObservations(data, 0);
+  if (found) return found;
+  throw new Error("ожидается массив наблюдений, { observations }, HAR или текст со ссылками");
+}
+
+function badInput(message) {
+  process.stdout.write(`${JSON.stringify({ found: false, error: { code: "BAD_INPUT", message } })}\n`);
+  return 2;
+}
+
+function main(argv) {
+  const file = argv[2];
+  let observations;
+  try {
+    observations = parseInput(file && file !== "-" ? readFileSync(file, "utf8") : readFileSync(0, "utf8"));
+  } catch (e) {
+    return badInput(e instanceof Error ? e.message : String(e));
+  }
+  const result = findInvoiceId(observations.filter((o) => o && typeof o.url === "string"));
+  process.stdout.write(`${JSON.stringify(result, null, 2)}\n`);
+  return result.found ? 0 : 1;
+}
+
+// Сравниваем реальные пути: скилл обычно подключён симлинком в ~/.claude/skills.
+function isEntryPoint() {
+  try {
+    return Boolean(process.argv[1]) && realpathSync(process.argv[1]) === realpathSync(fileURLToPath(import.meta.url));
+  } catch {
+    return false;
+  }
+}
+
+if (isEntryPoint()) {
+  process.exitCode = main(process.argv);
+}

package/package/skill/sberpay/scripts/page-probe.js

@@ -0,0 +1,133 @@
+() => {
+  // Снимок страницы для поиска id счёта SberPay, когда у браузера нет журнала сети с телами ответов.
+  // Передай файл целиком как функцию в evaluate своего браузера. Вызови ДО нажатия SberPay — функция поставит
+  // перехват fetch/XHR и наблюдатель ресурсов во всех фреймах того же origin — и ПОСЛЕ, когда появились шторка
+  // или QR SberPay. Вернёт { observations }: адреса фреймов и ресурсов, ссылки sberpay:// и найденные в ответах id.
+  // Из адресов вырезаны все параметры, кроме orderId, mdOrder и bankInvoiceId; тела ответов не сохраняются.
+  // Результат сохрани в файл и передай в invoice-id.mjs. Внутрь кросс-доменных iframe функция не заглядывает
+  // (их адрес виден); после перехода на другую страницу перехват пропадает, остаётся снимок фреймов и ресурсов.
+  const KEY = "__sberpayProbeV1";
+  const URL_HINT = /orderId=|mdOrder=|bankInvoiceId=|sberpay:|id\.sber\.ru|\/CSAFront\/|sdk-gateway/i;
+  const TEXT_TYPE = /json|text\/plain|text\/html/i;
+  const KEEP_PARAMS = ["orderId", "mdOrder", "bankInvoiceId"];
+  const EXTRACT = [
+    /sberpay:\/\/[^\s"'<>\\]+/gi,
+    /["']?\b(bankInvoiceId|sbolBankInvoiceId|sberPayOrderId|mdOrder|invoiceId|orderId)["']?\s*[:=]\s*["']?[0-9a-fA-F-]{32,36}/g,
+    /https?:\/\/[^\s"'<>\\]*(platiecom|ekompay|emoplati|payeko|sberbank)\.ru[^\s"'<>\\]*/gi,
+  ];
+  const MAX_BODY = 500000;
+  const MAX_EXTRACT = 4000;
+
+  const trimUrl = (raw) => {
+    try {
+      const u = new URL(raw);
+      if (u.protocol === "sberpay:") return raw;
+      const kept = KEEP_PARAMS.filter((p) => u.searchParams.has(p)).map((p) => `${p}=${encodeURIComponent(u.searchParams.get(p))}`);
+      return `${u.origin}${u.pathname}${kept.length ? `?${kept.join("&")}` : ""}`;
+    } catch {
+      return "";
+    }
+  };
+
+  // Только сами id, диплинки и адреса Сбера — без соседних полей ответа.
+  const extract = (text) => {
+    const decoded = text.replace(/\\u0026/gi, "&").replace(/\\\//g, "/").replace(/&amp;/g, "&");
+    const hits = [];
+    for (const re of EXTRACT) {
+      for (const m of decoded.matchAll(re)) hits.push([m.index, m.index + m[0].length, m[0].startsWith("http") ? trimUrl(m[0]) : m[0]]);
+    }
+    const inner = (h) => hits.some((o) => o !== h && o[0] <= h[0] && h[1] <= o[1]);
+    return hits.filter((h) => !inner(h)).sort((a, b) => a[0] - b[0]).map((h) => h[2]).join("\n").slice(0, MAX_EXTRACT);
+  };
+
+  const sameOriginFrames = (win, path, out) => {
+    try {
+      void win.document.body;
+    } catch {
+      return out;
+    }
+    out.push({ win, path });
+    for (let i = 0; i < win.frames.length; i++) sameOriginFrames(win.frames[i], `${path}/${i}`, out);
+    return out;
+  };
+
+  const watchResources = (win, state) => {
+    try {
+      win.performance.setResourceTimingBufferSize(5000);
+    } catch {}
+    try {
+      new win.PerformanceObserver((list) => {
+        for (const e of list.getEntries()) state.resources.push(e);
+      }).observe({ type: "resource", buffered: true });
+    } catch {}
+  };
+
+  const hookFetch = (win, record) => {
+    const origFetch = win.fetch;
+    if (typeof origFetch !== "function") return;
+    win.fetch = async function (...args) {
+      const res = await origFetch.apply(this, args);
+      try {
+        const type = res.headers.get("content-type") || "";
+        const length = Number(res.headers.get("content-length") || 0);
+        if (TEXT_TYPE.test(type) && length <= MAX_BODY) {
+          const url = res.url || (typeof args[0] === "string" ? args[0] : args[0]?.url) || "";
+          res.clone().text().then((t) => record(url, res.status, t), () => {});
+        }
+      } catch {}
+      return res;
+    };
+  };
+
+  const hookXhr = (win, record) => {
+    const origOpen = win.XMLHttpRequest.prototype.open;
+    win.XMLHttpRequest.prototype.open = function (method, url, ...rest) {
+      this.addEventListener("load", () => {
+        try {
+          if (!TEXT_TYPE.test(this.getResponseHeader("content-type") || "")) return;
+          const t = this.responseType === "" || this.responseType === "text" ? this.responseText
+            : this.responseType === "json" ? JSON.stringify(this.response) : null;
+          record(this.responseURL || String(url), this.status, t);
+        } catch {}
+      });
+      return origOpen.call(this, method, url, ...rest);
+    };
+  };
+
+  const arm = (win) => {
+    if (win[KEY]) return win[KEY];
+    const state = { responses: [], resources: [] };
+    Object.defineProperty(win, KEY, { value: state, enumerable: false });
+    const record = (url, status, text) => {
+      if (typeof text !== "string" || text.length > MAX_BODY) return;
+      const body = extract(text);
+      if (body) state.responses.push({ t: win.performance.timeOrigin + win.performance.now(), kind: "response", url: trimUrl(url), status, body });
+    };
+    watchResources(win, state);
+    hookFetch(win, record);
+    hookXhr(win, record);
+    return state;
+  };
+
+  const observations = [];
+  for (const { win, path } of sameOriginFrames(window, "top", [])) {
+    const state = arm(win);
+    const base = win.performance.timeOrigin;
+    const seen = new Set();
+    for (const e of [...win.performance.getEntriesByType("resource"), ...state.resources]) {
+      const id = `${e.name}@${e.startTime}`;
+      if (seen.has(id) || !URL_HINT.test(e.name)) continue;
+      seen.add(id);
+      observations.push({ t: base + e.startTime, kind: `resource:${e.initiatorType}`, url: trimUrl(e.name), frame: path });
+    }
+    for (const r of state.responses) observations.push({ ...r, frame: path });
+    // Время появления элементов DOM неизвестно — ставим их в начало, чтобы граница их не отрезала.
+    observations.push({ t: 0, kind: "location", url: trimUrl(win.location.href), frame: path });
+    for (const f of win.document.querySelectorAll("iframe[src]")) observations.push({ t: 0, kind: "iframe", url: trimUrl(f.src), frame: path });
+    for (const a of win.document.querySelectorAll("a[href]")) {
+      if (/^sberpay:|bankInvoiceId=/i.test(a.href)) observations.push({ t: 0, kind: "link", url: a.href.startsWith("sberpay:") ? a.href : trimUrl(a.href), frame: path });
+    }
+  }
+  observations.sort((a, b) => a.t - b.t);
+  return { observations: observations.map(({ t, ...rest }) => rest).filter((o) => o.url) };
+}

package/package.json

@@ -1,6 +1,33 @@
 {
   "name": "@sberpay-cli/cli-diagnostic",
-  "version": "0.0.0-stage",
-  "stub": true,
-  "description": "Temporary package placeholder for staged publishing"
+  "version": "0.4.0-dev.4",
+  "type": "module",
+  "bin": {
+    "sberpay-cli-diagnostic": "bin/sberpay-cli-diagnostic.mjs"
+  },
+  "engines": {
+    "node": "^22.19.0 || >=24.5.0"
+  },
+  "os": [
+    "darwin",
+    "linux"
+  ],
+  "cpu": [
+    "x64",
+    "arm64"
+  ],
+  "files": [
+    "bin/",
+    "dist/",
+    "package/",
+    "manifest.json",
+    "build-info.json",
+    "THIRD_PARTY_NOTICES.md"
+  ],
+  "license": "UNLICENSED",
+  "publishConfig": {
+    "access": "public",
+    "tag": "pilot",
+    "registry": "https://registry.npmjs.org"
+  }
 }