@ws1298191366/cli 0.1.1 → 0.1.2

package/README.md

@@ -50,10 +50,21 @@ jeecg auth logout [--host <地址>]                   # 撤销授权并删除本
 - 被 AI 调用（不在终端里）：命令打印授权链接后退出（退出码 2），用户授权后把地址栏的地址交给 `jeecg auth complete "<地址>"`（5 分钟内有效）；也可以加 `--manual` 主动这样做
 - 本机有浏览器但不想自动打开：加 `--no-open`
 
+## Windows PowerShell
+
+PowerShell 里执行 `jeecg` 报「无法加载文件 ...\jeecg.ps1，因为在此系统上禁止运行脚本」时，执行一次：
+
+```powershell
+Set-ExecutionPolicy -Scope CurrentUser RemoteSigned
+```
+
+只对当前用户生效，npm 全局装的 pnpm、yarn 等命令也需要这一步。不想改的话，用 `jeecg.cmd` 代替 `jeecg`。Git Bash、cmd 和 Python 的 `subprocess(..., shell=True)` 不受影响。
+
 ## 服务器上的地址
 
 - `--host` 填前端调接口用的后端地址（nginx 转发后的外网地址，例如 `https://boot.example.com/jeecgboot`），换 token 也走这个地址
-- 后端要把 `jeecg.domainUrl.pc` 配成前端的外网地址，授权页地址是用它拼出来的；默认值是 `http://localhost:3100`，没改时 CLI 会提示
+- JeecgBoot / 敲敲云的授权页在前端，地址来自后端配置 `jeecg.domainUrl.pc`，最好配成前端的外网地址。它还是默认的 `http://localhost:3100` 而 `--host` 是服务器时，浏览器会打开你自己电脑上的 localhost；CLI 会去 `--host` 同一个域名下找前端（前端根目录的 `_app.config.js` 里记的后端地址和 `--host` 对得上才算），找到就改用它；前端和后端不在同一个域名时，用 `--web <前端地址>` 指定，例如 `--web https://boot.example.com`，指定过会记住
+- 积木的授权页在积木自己的地址下，CLI 直接用 `--host` 拼，经过反向代理改了路径也没问题
 - 授权后浏览器跳回的是你电脑上的 `127.0.0.1`，服务器不需要访问你的电脑，也不用开端口
 - 多个环境各登录一次，用 `--host` 切换，最后登录的是默认地址
 

package/bin/jeecg.js

@@ -5,10 +5,10 @@ const auth = require('../lib/auth');
 const USAGE = `jeecg 命令行工具
 
 用法：
-  jeecg auth token [--host <地址>] [--type <产品>] [--scope <权限>] [--no-open] [--manual]
+  jeecg auth token [--host <地址>] [--type <产品>] [--web <前端地址>] [--scope <权限>] [--no-open] [--manual]
       输出可用的 access_token，给脚本用：--token "$(jeecg auth token)"
       快过期自动刷新；没登录过或登录已失效时自动打开浏览器授权，点「授权」后输出（提示信息打到 stderr，不影响取值）
-  jeecg auth login [--host <地址>] [--type <产品>] [--scope <权限>] [--no-open] [--manual]
+  jeecg auth login [--host <地址>] [--type <产品>] [--web <前端地址>] [--scope <权限>] [--no-open] [--manual]
       只登录（最多等 5 分钟），不输出 token
   jeecg auth complete "<浏览器地址栏里的地址>"
       打不开浏览器时用：授权后浏览器会跳到一个打不开的 127.0.0.1 地址，把它交给这条命令完成登录
@@ -23,11 +23,15 @@ const USAGE = `jeecg 命令行工具
   jimureport    积木报表，地址填应用地址，例如 http://127.0.0.1:8085（带不带 /jmreport 都行）
   不填时按 jeecgboot、jimureport 的顺序自动探测；敲敲云要明确写 --type qiaoqiaoyun
 
+--web 前端地址（JeecgBoot / 敲敲云的授权页在前端）：
+  默认用后端配置 jeecg.domainUrl.pc；它还是 localhost 而 --host 是服务器时，自动改用同一域名下的前端；
+  前端和后端不在同一个域名时用 --web 指定，例如 --web https://boot.example.com
+
 打不开浏览器时（SSH、没有图形界面的 Linux）：
   在终端里：把浏览器地址栏的地址粘贴回终端即可
   被 AI 调用：命令打印授权链接后退出（退出码 2），用户授权后执行 jeecg auth complete "<地址>"；也可以加 --manual 主动这样做`;
 
-const VALUE_OPTIONS = ['host', 'scope', 'type'];
+const VALUE_OPTIONS = ['host', 'scope', 'type', 'web'];
 
 function parseArgs(argv) {
   const args = { _: [] };

package/lib/auth.js

@@ -74,7 +74,7 @@ async function token(args) {
     return;
   }
   console.error(cred ? `登录已过期或已被撤销（${host}），重新授权：` : `还没有登录 ${host}，开始授权：`);
-  const fresh = await browserLogin(host, type || (cred && cred.type), args, AUTO_LOGIN_TIMEOUT_MS);
+  const fresh = await browserLogin(host, type || (cred && cred.type), { ...args, web: args.web || (cred && cred.web) }, AUTO_LOGIN_TIMEOUT_MS);
   if (!fresh) {
     // 打不开浏览器：已经打印了授权链接，等 jeecg auth complete，这次不输出 token
     return;
@@ -178,22 +178,24 @@ async function browserLogin(host, type, args, timeoutMs) {
   // 换 token、撤销直接用用户给的地址拼：nginx 常把外网 /jeecgboot 转发到后端 /jeecg-boot，
   // 后端按请求算出来的 token_endpoint（.../jeecg-boot/oauth2/token）在外网访问不到
   const base = host + PRODUCTS[type].prefix;
+  const web = args.web ? normalizeHost(args.web) : null;
   const login = {
     host,
     type,
+    web,
     verifier: crypto.randomBytes(32).toString('base64url'),
     state: crypto.randomBytes(16).toString('base64url'),
     tokenEndpoint: `${base}/oauth2/token`,
     revocationEndpoint: `${base}/oauth2/revoke`,
+    authorizeEndpoint: await resolveAuthorizeEndpoint(meta, host, type, web),
   };
-  warnLocalAuthorizePage(meta.authorization_endpoint, host);
 
   // 2. 打不开本机浏览器又不在终端里（例如 AI 在服务器上调用）：打印链接后退出，等 jeecg auth complete
   if (args.manual || (!process.stdin.isTTY && !hasLocalBrowser())) {
     login.redirectUri = `http://127.0.0.1:${await freePort()}/callback`;
     login.expiresAt = Date.now() + LOGIN_TIMEOUT_MS;
     store.savePending(login);
-    console.error(`请在自己电脑的浏览器里打开下面的链接，确认授权（${PRODUCTS[type].name}，5 分钟内有效）：\n${authorizeUrl(meta, login, args.scope)}\n`);
+    console.error(`请在自己电脑的浏览器里打开下面的链接，确认授权（${PRODUCTS[type].name}，5 分钟内有效）：\n${authorizeUrl(login, args.scope)}\n`);
     console.error('授权后浏览器会跳到一个打不开的 127.0.0.1 地址，把地址栏里的完整地址交给：jeecg auth complete "<地址>"');
     process.exitCode = MANUAL_EXIT_CODE;
     return null;
@@ -202,10 +204,10 @@ async function browserLogin(host, type, args, timeoutMs) {
   // 3. 本机起回调服务，打开授权页
   const callback = await startCallbackServer(login.state);
   login.redirectUri = `http://127.0.0.1:${callback.port}/callback`;
-  console.error(`请在浏览器中确认授权（${PRODUCTS[type].name}）：\n${authorizeUrl(meta, login, args.scope)}\n`);
+  console.error(`请在浏览器中确认授权（${PRODUCTS[type].name}）：\n${authorizeUrl(login, args.scope)}\n`);
   const browserOpened = args.open !== false && hasLocalBrowser();
   if (browserOpened) {
-    openBrowser(authorizeUrl(meta, login, args.scope));
+    openBrowser(authorizeUrl(login, args.scope));
   }
   // 在终端里又没自动打开浏览器（--no-open、SSH）：浏览器跳回时可能打不开，也可以把地址栏的地址粘贴回来
   const paste = !browserOpened && process.stdin.isTTY ? waitForPaste(login.state) : null;
@@ -235,7 +237,7 @@ async function exchangeCode(login, code) {
     client_id: CLIENT_ID,
   });
   const data = store.load();
-  data.hosts[login.host] = toCredential(t, login.host, login.type, login.tokenEndpoint, login.revocationEndpoint);
+  data.hosts[login.host] = toCredential(t, login.host, login.type, login.tokenEndpoint, login.revocationEndpoint, login.web);
   data.defaultHost = login.host;
   store.save(data);
   return data.hosts[login.host];
@@ -252,7 +254,7 @@ async function refresh(host, cred) {
   try {
     const t = await requestToken(cred.tokenEndpoint, { grant_type: 'refresh_token', refresh_token: refreshToken, client_id: CLIENT_ID });
     const data = store.load();
-    data.hosts[host] = toCredential(t, host, typeOf(cred), cred.tokenEndpoint, cred.revocationEndpoint);
+    data.hosts[host] = toCredential(t, host, typeOf(cred), cred.tokenEndpoint, cred.revocationEndpoint, cred.web);
     store.save(data);
     return data.hosts[host];
   } catch (e) {
@@ -319,7 +321,7 @@ async function fetchMetadata(host, prefix) {
   return res.ok && meta.authorization_endpoint && meta.token_endpoint ? meta : null;
 }
 
-function authorizeUrl(meta, login, scope) {
+function authorizeUrl(login, scope) {
   const params = new URLSearchParams({
     response_type: 'code',
     client_id: CLIENT_ID,
@@ -331,7 +333,59 @@ function authorizeUrl(meta, login, scope) {
   if (scope) {
     params.set('scope', scope);
   }
-  return `${meta.authorization_endpoint}?${params}`;
+  return `${login.authorizeEndpoint}?${params}`;
+}
+
+/**
+ * 授权页地址：
+ * - 积木：授权页就在积木自己的地址下，直接用 --host 拼（反向代理改了路径时，后端按请求算出来的地址外网访问不到）
+ * - JeecgBoot / 敲敲云：授权页在前端，地址来自后端配置 jeecg.domainUrl.pc（默认 http://localhost:3100）。
+ *   服务器上没改这个配置时，浏览器会打开用户自己电脑上的 localhost，而不是服务器上的前端；
+ *   这时看 --host 同一个域名下有没有这个后端的前端，有就改用它；也可以用 --web 直接指定前端地址
+ */
+async function resolveAuthorizeEndpoint(meta, host, type, web) {
+  if (type === 'jimureport') {
+    return `${host}${PRODUCTS.jimureport.prefix}/oauth2/authorize`;
+  }
+  if (web) {
+    return `${web}/oauth2/authorize`;
+  }
+  const endpoint = meta.authorization_endpoint;
+  if (!isLocalUrl(endpoint) || isLocalUrl(host)) {
+    return endpoint;
+  }
+  const origin = new URL(host).origin;
+  if (await isFrontendOf(origin, host)) {
+    console.error(`后端配置的授权页是 ${new URL(endpoint).origin}（服务器上没配 jeecg.domainUrl.pc），已改用同一域名下的前端 ${origin}\n`);
+    return `${origin}/oauth2/authorize`;
+  }
+  console.error(`注意：后端返回的授权页是 ${new URL(endpoint).origin}，服务器上可能没配置 jeecg.domainUrl.pc（要配成前端的外网地址）。`);
+  console.error('可以加 --web <前端地址> 指定前端，例如 --web https://boot.example.com\n');
+  return endpoint;
+}
+
+/**
+ * 前端打包后根目录有 _app.config.js，里面记着前端调用的后端地址（VITE_GLOB_API_URL 是相对路径，例如 /jeecgboot；
+ * VITE_GLOB_DOMAIN_URL 是完整地址），和 --host 对得上才算是这个后端的前端，避免把用户带到别的系统
+ */
+async function isFrontendOf(origin, host) {
+  try {
+    const res = await fetch(`${origin}/_app.config.js`);
+    if (!res.ok) {
+      return false;
+    }
+    const text = await res.text();
+    const apiUrl = (text.match(/"VITE_GLOB_API_URL"\s*:\s*"([^"]*)"/) || [])[1];
+    const domainUrl = (text.match(/"VITE_GLOB_DOMAIN_URL"\s*:\s*"([^"]*)"/) || [])[1];
+    const trim = (u) => u.replace(/\/+$/, '');
+    return (apiUrl != null && trim(origin + apiUrl) === host) || (domainUrl != null && trim(domainUrl) === host);
+  } catch (e) {
+    return false;
+  }
+}
+
+function isLocalUrl(url) {
+  return /^https?:\/\/(localhost|127\.0\.0\.1)(:|\/|$)/i.test(url);
 }
 
 /**
@@ -416,18 +470,6 @@ function typeOf(cred) {
   return PRODUCTS[cred.type] ? cred.type : 'jeecgboot';
 }
 
-/**
- * 授权页地址来自后端配置 jeecg.domainUrl.pc，默认是 http://localhost:3100；部署到服务器没改的话，浏览器会打开本机地址
- */
-function warnLocalAuthorizePage(authorizeEndpoint, host) {
-  const isLocal = (u) => /^https?:\/\/(localhost|127\.0\.0\.1)(:|\/|$)/i.test(u);
-  if (isLocal(authorizeEndpoint) && !isLocal(host)) {
-    const origin = new URL(authorizeEndpoint).origin;
-    console.error(`注意：后端返回的授权页是 ${origin}，服务器上可能没配置 jeecg.domainUrl.pc（要配成前端的外网地址）。`);
-    console.error(`临时办法：把下面链接里的 ${origin} 换成前端地址，再在浏览器里打开。\n`);
-  }
-}
-
 async function requestToken(endpoint, form) {
   const res = await fetch(endpoint, {
     method: 'POST',
@@ -444,9 +486,11 @@ async function requestToken(endpoint, form) {
   return body;
 }
 
-function toCredential(t, host, type, tokenEndpoint, revocationEndpoint) {
+function toCredential(t, host, type, tokenEndpoint, revocationEndpoint, web) {
   return {
     type,
+    // 用 --web 指定过的前端地址，之后自动重新授权时还用它
+    web: web || null,
     username: t.username,
     tenantId: t.tenant_id == null ? null : t.tenant_id,
     scope: t.scope || null,

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@ws1298191366/cli",
-  "version": "0.1.1",
-  "description": "JEECG 命令行工具：在浏览器里授权登录 JeecgBoot / 敲敲云，给 AI skills 提供 token",
+  "version": "0.1.2",
+  "description": "JEECG 命令行工具：在浏览器里授权登录 JeecgBoot / 敲敲云 / 积木报表，给 AI skills 提供 token",
   "publishConfig": {
     "registry": "https://registry.npmjs.org",
     "access": "public"