@uzqw/shared 0.1.7 → 0.1.9

package/dist/index.d.ts

@@ -11,7 +11,7 @@ interface RecolxConfig {
     tokenFile?: string;
     /** token 落盘目录；缺省 ~/.recolx */
     tokenDir?: string;
-    /** 环境：local | staging | prod；缺省按 配置文件 > RECOLX_ENV > prod */
+    /** 环境：local | staging | prod；缺省按 配置文件 > RECOLX_ENV > staging */
     env?: RecolxEnv;
     /** 后端地址覆盖（自定义部署逃生舱）；缺省按环境预设 */
     apiBase?: string;
@@ -51,7 +51,7 @@ declare function envConfigPath(): string;
 declare function readEnvConfig(): RecolxEnv | null;
 /** 写入环境配置文件（AI set_env / install --env 共用） */
 declare function writeEnvConfig(env: RecolxEnv): void;
-/** 解析最终环境：实例配置 > 配置文件 > RECOLX_ENV > prod */
+/** 解析最终环境：实例配置 > 配置文件 > RECOLX_ENV > staging */
 declare function resolveEnv(env?: RecolxEnv): RecolxEnv;
 declare function resolveConfig(config: RecolxConfig): Required<Pick<RecolxConfig, "clientId" | "redirectUri" | "tokenFile" | "apiBase" | "authorizationUrl" | "tokenUrl" | "logtoEndpoint" | "logtoClientId">> & {
     env: RecolxEnv;
@@ -98,9 +98,18 @@ declare class OAuth {
     private logtoClientId;
     /** logto 模式端点校验：缺省抛错（prod 独立 Logto 未配置时明确报错，不静默连测试实例） */
     private logtoEndpoint;
+    /** 登出后「下次登录强制重新认证」标志文件（token 文件旁，按环境/实例隔离）。
+     *  解决：logout 只删本地 token，浏览器 Logto 会话仍在 → 下次 login SSO 秒过不弹页。
+     *  置标后下次 createAuthorizationRequest 自动带 prompt=login，登录成功（exchangeCode）自动清除。 */
+    forceLoginFlagPath(): string;
+    /** 是否存在待消费的强制认证标志 */
+    isForceLoginPending(): Promise<boolean>;
+    private setForceLoginPending;
+    private clearForceLoginFlag;
     /** 构造授权请求（PKCE S256）。extraParams 用于本地联调注入 user_id（developer 模式，env=local 才接受）
-     *  或 logto 强制重新认证 prompt=login（force 登录换号）。 */
-    createAuthorizationRequest(extraParams?: Record<string, string>): AuthorizationRequest;
+     *  或 logto 强制重新认证 prompt=login（force 登录换号）。
+     *  登出后遗留的强制认证标志也会自动加 prompt=login——用户无需知道 force。 */
+    createAuthorizationRequest(extraParams?: Record<string, string>): Promise<AuthorizationRequest>;
     /** 授权码换凭证并落盘；失败抛 Error（含状态码与响应体）。
      *  developer 模式：直接换 developerOAuth JWT；
      *  logto 模式：先换 Logto access token，再 POST /open/oauth/apikey 换 sk- 长期 key（落盘的是 sk- key）。 */
@@ -111,7 +120,7 @@ declare class OAuth {
     getAccessToken(): Promise<string | null>;
     /** 服务端撤销指定 token（RFC 7009：未知 token 也返回成功）。 */
     revoke(token: string, tokenTypeHint?: string): Promise<void>;
-    /** 清空本地 token（logout 本地侧）。 */
+    /** 本地登出：删 token + 置「下次登录强制重新认证」标志（浏览器 Logto 会话由用户/换号时另处理）。 */
     logout(): Promise<void>;
 }
 

package/dist/index.js

@@ -2,7 +2,7 @@
 import { readFileSync, writeFileSync, mkdirSync } from "fs";
 import { join } from "path";
 import { homedir } from "os";
-var DEFAULT_ENV = "prod";
+var DEFAULT_ENV = "staging";
 var DEFAULT_CLIENT_ID = process.env.RECOLX_MCP_CLIENT_ID ?? "recolx-mcp";
 var DEFAULT_REDIRECT_URI = "http://localhost:8199/auth/callback";
 var DEFAULT_LOGTO_ENDPOINT = process.env.RECOLX_LOGTO_ENDPOINT ?? "https://test-auth.recolx.ai";
@@ -109,6 +109,7 @@ var TOKENS_MCP_PATH = join2(homedir2(), ".recolx", "tokens-mcp.json");
 
 // src/oauth.ts
 import { createHash, randomBytes } from "crypto";
+import { mkdir as mkdir2, readFile as readFile2, rm as rm2, writeFile as writeFile2 } from "fs/promises";
 function generateCodeVerifier() {
   return randomBytes(32).toString("base64url");
 }
@@ -159,9 +160,38 @@ var OAuth = class {
     }
     return ep;
   }
+  /** 登出后「下次登录强制重新认证」标志文件（token 文件旁，按环境/实例隔离）。
+   *  解决：logout 只删本地 token，浏览器 Logto 会话仍在 → 下次 login SSO 秒过不弹页。
+   *  置标后下次 createAuthorizationRequest 自动带 prompt=login，登录成功（exchangeCode）自动清除。 */
+  forceLoginFlagPath() {
+    return `${this.tokenStore.path}.force`;
+  }
+  /** 是否存在待消费的强制认证标志 */
+  async isForceLoginPending() {
+    try {
+      await readFile2(this.forceLoginFlagPath(), "utf8");
+      return true;
+    } catch {
+      return false;
+    }
+  }
+  async setForceLoginPending() {
+    await mkdir2(this.tokenStore.dir, { recursive: true });
+    await writeFile2(this.forceLoginFlagPath(), (/* @__PURE__ */ new Date()).toISOString() + "\n", "utf8");
+  }
+  async clearForceLoginFlag() {
+    try {
+      await rm2(this.forceLoginFlagPath());
+    } catch {
+    }
+  }
   /** 构造授权请求（PKCE S256）。extraParams 用于本地联调注入 user_id（developer 模式，env=local 才接受）
-   *  或 logto 强制重新认证 prompt=login（force 登录换号）。 */
-  createAuthorizationRequest(extraParams = {}) {
+   *  或 logto 强制重新认证 prompt=login（force 登录换号）。
+   *  登出后遗留的强制认证标志也会自动加 prompt=login——用户无需知道 force。 */
+  async createAuthorizationRequest(extraParams = {}) {
+    if (!extraParams.prompt && await this.isForceLoginPending()) {
+      extraParams = { ...extraParams, prompt: "login" };
+    }
     const codeVerifier = generateCodeVerifier();
     const state = generateState();
     if (this.mode === "logto") {
@@ -234,6 +264,7 @@ var OAuth = class {
       }
       const tokenSet2 = { access_token: apiKey, token_type: "Bearer" };
       await this.tokenStore.save(tokenSet2);
+      await this.clearForceLoginFlag();
       return tokenSet2;
     }
     const res = await this.fetchImpl(this.tokenUrl, {
@@ -246,6 +277,7 @@ var OAuth = class {
     }
     const tokenSet = toTokenSet(await res.json());
     await this.tokenStore.save(tokenSet);
+    await this.clearForceLoginFlag();
     return tokenSet;
   }
   /** 用 refresh_token 换新 token（后端滚动轮换）；logto 模式无 refresh（sk- key 长期有效），恒返回 null。 */
@@ -288,9 +320,10 @@ var OAuth = class {
       body: new URLSearchParams(body)
     });
   }
-  /** 清空本地 token（logout 本地侧）。 */
+  /** 本地登出：删 token + 置「下次登录强制重新认证」标志（浏览器 Logto 会话由用户/换号时另处理）。 */
   async logout() {
     await this.tokenStore.clear();
+    await this.setForceLoginPending();
   }
 };
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@uzqw/shared",
-  "version": "0.1.7",
+  "version": "0.1.9",
   "description": "Shared types, zod schemas, token store and API client for recolx MCP/CLI",
   "publishConfig": {
     "access": "public"