@sokeai/cli 1.2.1 → 1.3.0

package/package.json

@@ -1,6 +1,6 @@
 {
     "name": "@sokeai/cli",
-    "version": "1.2.1",
+    "version": "1.3.0",
     "description": "授客AI官方CLI工具 - 支持AI Agent Skills",
     "bin": {
         "soke-cli": "scripts/run.js"

package/scripts/build-binaries.sh

@@ -15,6 +15,32 @@ NC='\033[0m' # No Color
 VERSION=$(node -p "require('./package.json').version")
 echo -e "${GREEN}开始编译 soke-cli v${VERSION}${NC}"
 
+# task 11.2 — OAuth 凭证通过 env 注入(替代原 sed 改 Go 源的方式)。
+#
+# 重要:vendor.yaml 的 ${SOKE_CLIENT_ID} / ${SOKE_CLIENT_SECRET} 由
+# sokeai/provider.go 在 init() 阶段 Interpolate,**取的是产物运行时的 env**,
+# 而不是 build 期。因此:
+#
+#   * 本地开发:用户在 shell 里 export SOKE_CLIENT_ID / SOKE_CLIENT_SECRET,
+#     然后 go run / 已 build 的 ./bin/soke-cli 启动时 init() 取到。
+#   * Release 二进制:client_id / client_secret 不在 build 阶段嵌入产物。
+#     发版 CI 应当在制作 NPM 包时附带一个 wrapper(scripts/run.js)在启动
+#     soke-cli 前 setenv 注入(具体方式由 release-lead 在发版 CI 里定),
+#     或要求最终用户自己 export(仅适用于内部分发场景)。
+#
+# 本脚本只做 sanity check + 把当前 shell env 透传到 go build(用于自动化
+# 测试场景中,build 后立即跑 ./bin/soke-cli auth login 走流程)。
+if [ -z "${SOKE_CLIENT_ID:-}" ] || [ -z "${SOKE_CLIENT_SECRET:-}" ]; then
+    if [ "${SOKE_CLI_RELEASE:-}" = "1" ]; then
+        echo -e "${RED}[FATAL] release 模式必须设置 SOKE_CLIENT_ID / SOKE_CLIENT_SECRET${NC}"
+        echo -e "${RED}        二进制本身不嵌入凭证,run.js wrapper 也需要相应的注入逻辑${NC}"
+        exit 1
+    fi
+    echo -e "${YELLOW}[警告] SOKE_CLIENT_ID / SOKE_CLIENT_SECRET 未设置;${NC}"
+    echo -e "${YELLOW}        本地 build 后直接 ./bin/soke-cli auth login 会 fail-fast。${NC}"
+fi
+export SOKE_CLIENT_ID SOKE_CLIENT_SECRET
+
 # 编译参数
 LDFLAGS="-s -w -X main.Version=${VERSION}"
 

package/scripts/ci/check-legacy-constants.sh

@@ -0,0 +1,27 @@
+#!/usr/bin/env bash
+# task 9.1 — 拦截误引入的 dws-cli upstream 旧常量。
+#
+# 故意提一个引入旧常量的 bad PR 时,CI 该步骤应当失败。
+# 允许出现在 openspec/ 历史 doc 与 docs/dead-code-audit-*.md。
+#
+# 用法:bash scripts/ci/check-legacy-constants.sh
+
+set -euo pipefail
+
+PATTERN='OpenDevURL\|AuthorizeURL\|DefaultMCPBaseURL\|DefaultClientID\|DefaultClientSecret\|<YOUR_CLIENT_'
+
+# 只扫源码目录;openspec/docs/scripts 历史档案允许出现。
+hits=$(grep -rn -E "$PATTERN" cmd/ internal/ extension/ 2>/dev/null \
+  | grep -v vendorplugin/ \
+  | grep -v "_test.go" \
+  || true)
+
+if [ -n "$hits" ]; then
+  echo "[FAIL] 检测到 dws-cli 旧常量残留:"
+  echo "$hits"
+  echo
+  echo "请改用 vendor.Active().Endpoints() / OAuth() 读取(见 cmd/user_auth/vendor.go)。"
+  exit 1
+fi
+
+echo "[OK] 无 dws-cli 旧常量残留。"

package/scripts/ci/check-yaml-env-whitelist.sh

@@ -0,0 +1,33 @@
+#!/usr/bin/env bash
+# task 9.2 — 校验 extension/vendorplugin/builtin/**/vendor.yaml 内 ${VAR}
+# 占位符全部符合白名单(^SOKE_[A-Z0-9_]+$)。
+#
+# 故意写一个 ${HOME} 进 vendor.yaml 时,本步骤应当 FAIL。
+#
+# 用法:bash scripts/ci/check-yaml-env-whitelist.sh
+
+set -euo pipefail
+
+WHITELIST_RE='^SOKE_[A-Z0-9_]+$'
+fail=0
+
+for yaml in $(find extension/vendorplugin/builtin -name vendor.yaml 2>/dev/null); do
+  # 抽出所有 ${...} 占位符内层内容(去掉默认值部分)
+  vars=$(grep -oE '\$\{[^{}]+\}' "$yaml" \
+    | sed -E 's/^\$\{([^:}]+)(:-[^}]*)?\}$/\1/' \
+    | sort -u)
+  for v in $vars; do
+    if ! echo "$v" | grep -qE "$WHITELIST_RE"; then
+      echo "[FAIL] $yaml 引用了非白名单 env: $v"
+      fail=1
+    fi
+  done
+done
+
+if [ "$fail" -ne 0 ]; then
+  echo
+  echo "白名单规则:^SOKE_[A-Z0-9_]+\$(见 extension/vendorplugin/env_whitelist.go)"
+  exit 1
+fi
+
+echo "[OK] 所有 vendor.yaml 内 \${VAR} 占位符均符合 SOKE_* 白名单。"

package/scripts/mcp-stdout-scan.sh

@@ -0,0 +1,46 @@
+#!/usr/bin/env bash
+# mcp-stdout-scan.sh — openspec change make-soke-cli-mcp-first §10.3
+#
+# 静态扫描 internal/mcp/ / extension/vendor/builtin/ / internal/courseimport/ 三个
+# 与 mcp stdio 帧纯净性相关的代码树,拦下任何会污染 stdout JSON-RPC 帧的调用:
+#   - fmt.Println / fmt.Printf / fmt.Print
+#   - fmt.Fprintln / Fprintf / Fprint to os.Stdout
+#   - os.Stdout.Write*
+#   - 顶层 print( / println( 内建函数
+#
+# 排除 _test.go (测试代码允许写 stdout);
+# 通过 sed 把 `// ...` 注释剥掉再 grep,避免文档/注释里提到 fmt.Println 触发 false positive。
+#
+# 用法: bash scripts/mcp-stdout-scan.sh
+# 退出码: 0 = 干净;1 = 有命中(并打到 stderr)。
+
+set -e
+
+ROOTS="internal/mcp extension/vendor/builtin internal/courseimport"
+PATTERN='fmt\.(Println|Printf|Print\()|fmt\.(Fprintln|Fprintf|Fprint)\(os\.Stdout|os\.Stdout\.Write|^[[:space:]]*(print|println)\('
+
+have_hits=0
+for d in $ROOTS; do
+  if [ ! -d "$d" ]; then
+    echo "skip 不存在的目录 $d"
+    continue
+  fi
+  files=$(find "$d" -name '*.go' ! -name '*_test.go' 2>/dev/null)
+  for f in $files; do
+    # 把行号前缀附在文件内容上, 再用 sed 剥 // 注释 (单行注释一律剥), 再 grep
+    hits=$(awk '{ printf "%s:%d:%s\n", FILENAME, NR, $0 }' "$f" \
+           | sed 's_//.*$__' \
+           | grep -E "$PATTERN" \
+           || true)
+    if [ -n "$hits" ]; then
+      echo "❌ $f 检测到 stdout-write 调用 (会破坏 mcp stdio JSON-RPC 帧):" >&2
+      echo "$hits" >&2
+      have_hits=1
+    fi
+  done
+done
+
+if [ "$have_hits" -eq 1 ]; then
+  exit 1
+fi
+echo "✓ stdout 纯净性扫描通过"

package/scripts/regress-auth.sh

@@ -0,0 +1,56 @@
+#!/usr/bin/env bash
+# 回归 auth 命令体感 — task 8.1
+#
+# 串行跑:
+#   1. auth status --json   (预期未登录)
+#   2. auth login            (人工:浏览器跳转 + 真账号授权)
+#   3. auth status --json   (预期已登录)
+#   4. auth logout
+#   5. auth status --json   (预期未登录)
+#
+# 用法:
+#   SOKE_CLIENT_ID=... SOKE_CLIENT_SECRET=... bash scripts/regress-auth.sh
+#   首次运行前 build:make install 或 go build -o bin/soke-cli main.go
+#
+# 输出建议用 tee 保存,事后人工对比 baseline:
+#   bash scripts/regress-auth.sh 2>&1 | tee /tmp/regress-after.txt
+#   diff /tmp/regress-before.txt /tmp/regress-after.txt
+
+set -u
+
+BIN="${SOKE_CLI_BIN:-./bin/soke-cli}"
+if [ ! -x "$BIN" ]; then
+  BIN="$(command -v soke-cli 2>/dev/null || echo "$BIN")"
+fi
+
+if [ ! -x "$BIN" ]; then
+  echo "[FATAL] 找不到 soke-cli 二进制(尝试 SOKE_CLI_BIN env 指定路径)" >&2
+  exit 2
+fi
+
+run_step() {
+  local label="$1"; shift
+  echo
+  echo "==== [$label] $* ===="
+  "$@"
+  local rc=$?
+  echo "==== [$label] exit=$rc ===="
+  return $rc
+}
+
+# baseline 时间戳 mask:让 diff 忽略 expires_at / iat / nbf / exp 等时间字段。
+mask_timestamps() {
+  sed -E 's/("(expires_at|iat|nbf|exp|access_token|refresh_token)":\s*)"[^"]*"/\1"<masked>"/g'
+}
+
+run_step "1.before-status" "$BIN" auth status --json | mask_timestamps
+echo
+echo "请在浏览器完成授权后按回车继续…"
+run_step "2.login" "$BIN" auth login
+read -r _
+run_step "3.after-login-status" "$BIN" auth status --json | mask_timestamps
+run_step "4.logout" "$BIN" auth logout
+run_step "5.final-status" "$BIN" auth status --json | mask_timestamps
+
+echo
+echo "[done] 完成。请人工对比 baseline diff(/tmp/regress-before.txt)。"

package/scripts/regress-baseline.md

@@ -0,0 +1,84 @@
+# auth 回归 baseline 流程(task 8.2)
+
+> 配套脚本:`scripts/regress-auth.sh`
+> 用途:在本 change 引入前后两次跑同一脚本,diff 验证零回归。
+
+## 1. baseline 采样(本 change 引入**前**)
+
+在 master 或上一个 release tag 下:
+
+```bash
+git checkout <last-release-tag>
+make install   # 或:go build -o bin/soke-cli main.go
+SOKE_CLIENT_ID=... SOKE_CLIENT_SECRET=... \
+  bash scripts/regress-auth.sh 2>&1 | tee /tmp/regress-before.txt
+```
+
+`/tmp/regress-before.txt` 即 baseline,包含:
+- 各步 stdout/stderr
+- 各步 exit code(脚本内 `==== [label] exit=N ====` 行)
+- timestamps 已 mask,仅保留结构性差异
+
+## 2. 引入后采样
+
+切到本 change 分支,重新 build 跑一次:
+
+```bash
+git checkout worktree-generalize-vendor-plugin
+make install
+SOKE_CLIENT_ID=... SOKE_CLIENT_SECRET=... \
+  bash scripts/regress-auth.sh 2>&1 | tee /tmp/regress-after.txt
+```
+
+## 3. diff
+
+```bash
+diff /tmp/regress-before.txt /tmp/regress-after.txt
+```
+
+期望:**无差异**(允许时间戳 mask 后的剩余 token 字段差异,因每次实际签发的
+token bytes 不同 —— 但 mask 应已覆盖)。
+
+若 diff 显示行为变化,本 change 视为引入回归,**禁止 merge**,
+回到代码层检查 ClientID() / Endpoints() / CallbackPath 取值路径。
+
+## 4. keychain 字段验证(任选其一,平台相关)
+
+macOS:
+```bash
+security find-generic-password -s "soke-cli" -g 2>&1 | grep -E "acct|cdat"
+```
+
+Linux(libsecret):
+```bash
+secret-tool search service soke-cli
+```
+
+字段名(`access_token` / `refresh_token` 等)与 baseline 完全一致。
+
+## 5. 三平台 matrix(task 8.3)
+
+本 change 不接入 GH Actions yml(避免 PR 卡在未跑通的 CI 任务),由 ①
+`make-soke-cli-mcp-first` 在 same release 时一并引入。matrix 草案:
+
+```yaml
+# .github/workflows/regress-auth.yml(草案,在 ① 同 release 一起合)
+strategy:
+  matrix:
+    os: [ubuntu-latest, macos-latest, windows-latest]
+jobs:
+  regress:
+    runs-on: ${{ matrix.os }}
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-go@v5
+        with: { go-version: '1.25' }
+      - run: |
+          go build -o bin/soke-cli main.go
+          # auth login 需要真账号,CI 内只跑 status / logout 路径
+          ./bin/soke-cli auth status --json
+          ./bin/soke-cli auth logout
+          ./bin/soke-cli auth status --json
+```
+
+跑出 CI matrix 三个 job 全绿,本 change 才视为通过 task 8.3 AC。