@uzqw/shared 0.1.6 → 0.1.8

package/dist/index.d.ts

@@ -98,8 +98,18 @@ declare class OAuth {
     private logtoClientId;
     /** logto 模式端点校验：缺省抛错（prod 独立 Logto 未配置时明确报错，不静默连测试实例） */
     private logtoEndpoint;
-    /** 构造授权请求（PKCE S256）。extraParams 用于本地联调注入 user_id（developer 模式，env=local 才接受）。 */
-    createAuthorizationRequest(extraParams?: Record<string, string>): AuthorizationRequest;
+    /** 登出后「下次登录强制重新认证」标志文件（token 文件旁，按环境/实例隔离）。
+     *  解决：logout 只删本地 token，浏览器 Logto 会话仍在 → 下次 login SSO 秒过不弹页。
+     *  置标后下次 createAuthorizationRequest 自动带 prompt=login，登录成功（exchangeCode）自动清除。 */
+    forceLoginFlagPath(): string;
+    /** 是否存在待消费的强制认证标志 */
+    isForceLoginPending(): Promise<boolean>;
+    private setForceLoginPending;
+    private clearForceLoginFlag;
+    /** 构造授权请求（PKCE S256）。extraParams 用于本地联调注入 user_id（developer 模式，env=local 才接受）
+     *  或 logto 强制重新认证 prompt=login（force 登录换号）。
+     *  登出后遗留的强制认证标志也会自动加 prompt=login——用户无需知道 force。 */
+    createAuthorizationRequest(extraParams?: Record<string, string>): Promise<AuthorizationRequest>;
     /** 授权码换凭证并落盘；失败抛 Error（含状态码与响应体）。
      *  developer 模式：直接换 developerOAuth JWT；
      *  logto 模式：先换 Logto access token，再 POST /open/oauth/apikey 换 sk- 长期 key（落盘的是 sk- key）。 */
@@ -110,7 +120,7 @@ declare class OAuth {
     getAccessToken(): Promise<string | null>;
     /** 服务端撤销指定 token（RFC 7009：未知 token 也返回成功）。 */
     revoke(token: string, tokenTypeHint?: string): Promise<void>;
-    /** 清空本地 token（logout 本地侧）。 */
+    /** 本地登出：删 token + 置「下次登录强制重新认证」标志（浏览器 Logto 会话由用户/换号时另处理）。 */
     logout(): Promise<void>;
 }
 
@@ -667,7 +677,13 @@ declare const FileDetailSchema: z.ZodObject<{
     } | undefined;
 }>;
 type RecolxFileDetail = z.infer<typeof FileDetailSchema>;
-declare const LoginInput: z.ZodOptional<z.ZodObject<{}, "strip", z.ZodTypeAny, {}, {}>>;
+declare const LoginInput: z.ZodOptional<z.ZodObject<{
+    force: z.ZodOptional<z.ZodBoolean>;
+}, "strip", z.ZodTypeAny, {
+    force?: boolean | undefined;
+}, {
+    force?: boolean | undefined;
+}>>;
 declare const LogoutInput: z.ZodOptional<z.ZodObject<{}, "strip", z.ZodTypeAny, {}, {}>>;
 declare const GetCurrentUserInput: z.ZodOptional<z.ZodObject<{}, "strip", z.ZodTypeAny, {}, {}>>;
 declare const SetEnvInput: z.ZodObject<{

package/dist/index.js

@@ -109,6 +109,7 @@ var TOKENS_MCP_PATH = join2(homedir2(), ".recolx", "tokens-mcp.json");
 
 // src/oauth.ts
 import { createHash, randomBytes } from "crypto";
+import { mkdir as mkdir2, readFile as readFile2, rm as rm2, writeFile as writeFile2 } from "fs/promises";
 function generateCodeVerifier() {
   return randomBytes(32).toString("base64url");
 }
@@ -159,8 +160,38 @@ var OAuth = class {
     }
     return ep;
   }
-  /** 构造授权请求（PKCE S256）。extraParams 用于本地联调注入 user_id（developer 模式，env=local 才接受）。 */
-  createAuthorizationRequest(extraParams = {}) {
+  /** 登出后「下次登录强制重新认证」标志文件（token 文件旁，按环境/实例隔离）。
+   *  解决：logout 只删本地 token，浏览器 Logto 会话仍在 → 下次 login SSO 秒过不弹页。
+   *  置标后下次 createAuthorizationRequest 自动带 prompt=login，登录成功（exchangeCode）自动清除。 */
+  forceLoginFlagPath() {
+    return `${this.tokenStore.path}.force`;
+  }
+  /** 是否存在待消费的强制认证标志 */
+  async isForceLoginPending() {
+    try {
+      await readFile2(this.forceLoginFlagPath(), "utf8");
+      return true;
+    } catch {
+      return false;
+    }
+  }
+  async setForceLoginPending() {
+    await mkdir2(this.tokenStore.dir, { recursive: true });
+    await writeFile2(this.forceLoginFlagPath(), (/* @__PURE__ */ new Date()).toISOString() + "\n", "utf8");
+  }
+  async clearForceLoginFlag() {
+    try {
+      await rm2(this.forceLoginFlagPath());
+    } catch {
+    }
+  }
+  /** 构造授权请求（PKCE S256）。extraParams 用于本地联调注入 user_id（developer 模式，env=local 才接受）
+   *  或 logto 强制重新认证 prompt=login（force 登录换号）。
+   *  登出后遗留的强制认证标志也会自动加 prompt=login——用户无需知道 force。 */
+  async createAuthorizationRequest(extraParams = {}) {
+    if (!extraParams.prompt && await this.isForceLoginPending()) {
+      extraParams = { ...extraParams, prompt: "login" };
+    }
     const codeVerifier = generateCodeVerifier();
     const state = generateState();
     if (this.mode === "logto") {
@@ -174,7 +205,8 @@ var OAuth = class {
         scope: "openid profile email",
         code_challenge: generateCodeChallenge(codeVerifier),
         code_challenge_method: "S256",
-        state
+        state,
+        ...extraParams
       });
       return { url: `${logtoEndpoint}/oidc/auth?${params2.toString()}`, codeVerifier, state };
     }
@@ -232,6 +264,7 @@ var OAuth = class {
       }
       const tokenSet2 = { access_token: apiKey, token_type: "Bearer" };
       await this.tokenStore.save(tokenSet2);
+      await this.clearForceLoginFlag();
       return tokenSet2;
     }
     const res = await this.fetchImpl(this.tokenUrl, {
@@ -244,6 +277,7 @@ var OAuth = class {
     }
     const tokenSet = toTokenSet(await res.json());
     await this.tokenStore.save(tokenSet);
+    await this.clearForceLoginFlag();
     return tokenSet;
   }
   /** 用 refresh_token 换新 token（后端滚动轮换）；logto 模式无 refresh（sk- key 长期有效），恒返回 null。 */
@@ -286,9 +320,10 @@ var OAuth = class {
       body: new URLSearchParams(body)
     });
   }
-  /** 清空本地 token（logout 本地侧）。 */
+  /** 本地登出：删 token + 置「下次登录强制重新认证」标志（浏览器 Logto 会话由用户/换号时另处理）。 */
   async logout() {
     await this.tokenStore.clear();
+    await this.setForceLoginPending();
   }
 };
 
@@ -458,7 +493,9 @@ var FileDetailSchema = FileSchema.extend({
   presigned_url_expires_at: z.number(),
   transcript: TranscriptSchema.optional()
 });
-var LoginInput = z.object({}).optional();
+var LoginInput = z.object({
+  force: z.boolean().optional().describe("true \u65F6\u5F3A\u5236\u91CD\u65B0\u8BA4\u8BC1\uFF1A\u5373\u4FBF\u6D4F\u89C8\u5668\u5DF2\u6709 Logto \u4F1A\u8BDD\uFF08\u767B\u51FA\u540E\u4ECD\u79D2\u8FC7\uFF09\u4E5F\u5F39\u51FA\u767B\u5F55\u9875\uFF0C\u53EF\u5207\u6362\u8D26\u53F7\uFF1B\u7F3A\u7701 false \u590D\u7528\u6D4F\u89C8\u5668\u4F1A\u8BDD")
+}).optional();
 var LogoutInput = z.object({}).optional();
 var GetCurrentUserInput = z.object({}).optional();
 var SetEnvInput = z.object({

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@uzqw/shared",
-  "version": "0.1.6",
+  "version": "0.1.8",
   "description": "Shared types, zod schemas, token store and API client for recolx MCP/CLI",
   "publishConfig": {
     "access": "public"