@xbongbong/xbbcli 2.4.2 → 2.4.4

package/README.md

@@ -91,9 +91,9 @@ xbbcli auth-login --corpid <CORPID>  # 校验登录的企业，不一致时报
 xbbcli auth-login --keepOpen      # 登录成功后保留浏览器窗口（默认自动关闭）
 ```
 
-执行后与 `token-set` 等价：`--env 0`（默认）写入 `~/.xbbcli/config.env`、刷新表单缓存、命令映射与部门/员工缓存（不写环境变量）；`--env 1` 仅写入 `XBB_*` 环境变量，不写任何本地文件。
+执行后与 `token-set` 等价：`--env 0`（默认）写入 `~/.xbbcli/config.env`、刷新表单缓存、命令映射与部门/员工缓存（不写环境变量）；`--env 1` 仅写入 `XBB_*` 环境变量（供外部系统使用，本 CLI 不读取），不写任何本地文件。
 
-技术实现：零依赖，用 `node:child_process` 以 `--remote-debugging-pipe` 启动浏览器（fd3 写 / fd4 读 CDP，**不开任何调试端口**），profile 固定为 `~/.xbbcli/browser-profile`（与日常浏览器隔离，登录态可复用）；CLI 读取页面 `localStorage` 的 `{corpid, userId, xbbAccessToken}`，再在页面内 `fetch` 网关 `apiToken/getApiToken` 换取个人 token。只支持 Chromium 内核浏览器（Chrome / Edge / Chromium），更多细节见 [`doc/auth-login-command-design.md`](doc/auth-login-command-design.md)。
+技术实现：零依赖，用 `node:child_process` 以 `--remote-debugging-pipe` 启动浏览器（fd3 写 / fd4 读 CDP，**不开任何调试端口**），profile 固定为 `~/.xbbcli/browser-profile`（与日常浏览器隔离，登录态可复用）；CLI 读取页面 `localStorage` 的 `{corpid, userId, xbbAccessToken}`，再在页面内 `fetch` 网关 `apiPersonalToken/generate` 换取个人 token。只支持 Chromium 内核浏览器（Chrome / Edge / Chromium），更多细节见 [`doc/auth-login-command-design.md`](doc/auth-login-command-design.md)。
 
 - `--debug` 输出请求体、返回体与浏览器信息（密钥只显示掩码），`--raw` 输出换取 API token 接口的原始响应
 - 失败时返回合成错误行：`NO_BROWSER`、`BROWSER_CLOSED`、`LOGIN_TIMEOUT`、`API_TOKEN_FAILED`、`CORPID_MISMATCH`、`SAVE_FAILED` 等
@@ -107,9 +107,8 @@ xbbcli auth-refresh-cache -f json
 ```
 
 - 刷新范围（仅当前启用公司）：`~/.xbbcli/<corpid>.formlist.json`（表单清单）、`~/.xbbcli/<corpid>.command-map.md`（命令映射）、`~/.xbbcli/<corpid>.department-user.json`（部门/员工清单），并把 `corpName` / `userName` 回填进 `config.env`
-- 环境变量模式（`XBB_*`）下同样可用：只刷新缓存文件，不回填 `config.env`
 - 只支持当前启用公司：底层接口一律使用启用公司的凭证，切换公司请先用 `xbbcli token-use`
-- `--userId` 覆盖用于匹配 `userName` 的员工 id（默认取配置里的 `userId`）；`--debug` 在 stderr 输出配置来源、corpid 与三份缓存文件路径
+- `--userId` 覆盖用于匹配 `userName` 的员工 id（默认取配置里的 `userId`）；`--debug` 在 stderr 输出 corpid、userId 与三份缓存文件路径
 - 失败时返回 `status=error`、`code=CACHE_REFRESH_FAILED`，`message` 以「步骤 formlist / command-map / department-user / profile」指出中断位置，已完成的部分照常在对应列输出
 
 `token-set` 会按 `corpid` 新增或覆盖一家公司，并把该公司置为 `enable=true`（其余公司自动置为 `false`），同时写入公司名称 `corpName`（取部门 `id` 为 `1` 的部门名称）和操作人姓名 `userName`（从员工列表中按 `userId` 匹配）。除 `token-set`、`token-list`、`token-use`、`token-del`、`auth-status`、`auth-logout` 外，其余命令都使用 `enable` 为 `true` 的公司配置。
@@ -162,7 +161,7 @@ xbbcli auth-logout                # 登出：删除激活的那一家配置 +
 xbbcli auth-logout --env 0        # 只删 config.env，保留环境变量
 ```
 
-- `auth-status` 以 `key` / `value` 两列回显当前生效的配置值，固定 6 行：`corpid`、`corpName`、`userName`、`userId`、`baseurl`、`token`；不再输出 `status`、`source`、`message`、`enable`、`companyCount`、`envActive`、`configFile`、`code`、`msg` 这些元信息列。
+- `auth-status` 以 `key` / `value` 两列回显当前生效的配置值，固定 6 行：`corpid`、`corpName`、`userName`、`userId`、`baseurl`、`token`；随后追加 1 行 `验证`（用一次 `user-list --pageSize 1` 调用实测 token：`有效` / `无效-请重新配置token`）；不再输出 `status`、`source`、`message`、`enable`、`companyCount`、`envActive`、`configFile`、`code`、`msg` 这些元信息列。
 
 ```text
 key       value
@@ -172,21 +171,23 @@ userName  陈会兵
 userId    02415643151585
 baseurl   https://proapi.xbongbong.com
 token     user_6***a7da
-note      以上取值来自环境变量 XBB_*（config.env 中没有启用公司，回落到环境变量）；环境变量模式不支持多公司切换
+验证      有效
+note      config.env 中存在 2 个 enable=true，仅第一条生效，请用 xbbcli token-use 修正
 ```
 
-- 来源（`config.env` 启用公司 还是 `XBB_*`）与冲突提醒只在需要时以 `note` 行追加：环境变量与 `config.env` 同时存在时提示「config.env 启用项优先」；`config.env` 里出现多个 `enable=true` 时提示用 `token-use` 修正。
-- 没有任何生效配置时，6 个值一律留空并给出 `note` 提示下一步命令（即使 `XBB_BASEURL` / `XBB_USERID` 单独残留也不会当成生效值回显）。配置文件路径、公司数量、生效的环境变量名改用 `--debug` 输出到 stderr。
+- 冲突提醒只在需要时以 `note` 行追加：`config.env` 里出现多个 `enable=true` 时提示用 `token-use` 修正；没有任何生效配置时提示下一步命令，若同时检测到 `XBB_*` 环境变量，会追加一条「检测到 XBB_* 环境变量，但本版本不再读取环境变量」。
+- `auth-status` 的 `验证` 行会实打实发起一次 `user-list --pageSize 1` 请求（等价于手工执行 `xbbcli user-list --pageSize 1`）：接口成功（含 `NO_DATA` 空清单）→ `有效`；接口返回业务错误码或请求异常 → `无效-请重新配置token`。没有生效配置或缺少 token 时不再发起请求，直接给出 `无效-请重新配置token`；`--debug` 会输出判定结果与原因。
+- 没有任何生效配置时，6 个配置值一律留空（`验证` 行为 `无效-请重新配置token`）并给出 `note` 提示下一步命令（即使 `XBB_BASEURL` / `XBB_USERID` 单独残留也不会当成生效值回显）；检测到 `XBB_*` 环境变量时追加提示「本版本不再读取环境变量」。配置文件路径、公司数量与检测到的 `XBB_*` 环境变量名改用 `--debug` 输出到 stderr。
 - `auth-status` 默认把 token 掩码为「前 6 + `***` + 后 4」（长度不足 11 时只保留前 2 位），只有 `--showToken` 才输出明文。
-- `auth-logout` 只删除 `enable=true` 的那一条，**不会**把其他公司自动提升为启用：登出后本地可能一个启用公司都没有，需要 `xbbcli token-use --corpid <CORPID>` 或重新 `auth-login` / `token-set`。想保留其他公司并可切换时，用 `xbbcli token-del --corpid <CORPID>`（它会保证剩余配置仍有且仅有一个启用）。
+- `auth-logout` 只删除 `enable=true` 的那一条，**不会**把其他公司自动提升为启用：登出后本地可能一个启用公司都没有，需要 `xbbcli token-use --corpid <CORPID>` 或重新 `auth-login` / `token-set`。想保留其他公司并可切换时，用 `xbbcli token-del --corpid <CORPID>`（它会保证剩余配置仍有且仅有一个启用；默认还会删除 `XBB_*` 环境变量，传 `--env 0` 可保留）。
 - 删除前 `config.env` 会整份备份到 `~/.xbbcli/config.env.bak`（每次登出覆盖），`backupFile` 列给出路径；误删把 `.bak` 复制回 `config.env` 即可恢复。
-- 默认**同时**清除 `XBB_*` 环境变量：Windows 用 `reg delete HKCU\Environment` 删除用户级变量（已打开的终端要重开才生效，`envStored` 为 `user`，原本就不存在时为 `none`）；macOS/Linux 清理 `~/.xbbcli/env.sh` 里的 `export XBB_*` 行（文件清空则删除，`envStored` 为 `cleared` / `removed` / `none`）。传 `--env 0` 时只删 `config.env`，此时若环境变量仍在，`message` 会提示「业务命令会回落到它，本次不算彻底登出」（`XBB_ENV_ONLY=1` 时提示为「已强制只用环境变量」）。
+- 默认**同时**清除 `XBB_*` 环境变量：Windows 用 `reg delete HKCU\Environment` 删除用户级变量（已打开的终端要重开才生效，`envStored` 为 `user`，原本就不存在时为 `none`）；macOS/Linux 清理 `~/.xbbcli/env.sh` 里的 `export XBB_*` 行（文件清空则删除，`envStored` 为 `cleared` / `removed` / `none`）。传 `--env 0` 时只删 `config.env`，此时若环境变量仍在，`message` 会提示环境变量仍存在（供外部系统使用；业务命令不再读取），并给出改用 `--env 1` 一并清除的建议。
 - `config.env` 没有启用公司时：只有在环境变量确实存在时才只清环境变量（`config.env` 保持不动）；两者都不存在则返回 `NO_ACTIVE_CONFIG`，不写任何文件。
 - 任何情况都不改动 `<corpid>.formlist.json` / `<corpid>.command-map.md` / `<corpid>.department-user.json` 三份缓存，重新启用该公司时无需再次拉取。
 
-## 环境变量模式（单公司）
+## 环境变量输出（供外部集成）
 
-除 `config.env` 外，命令也支持从环境变量读取一家公司的凭证，便于 CI、容器与其他工具集成：
+自本版本起，业务命令不再读取 `XBB_*` 环境变量，凭证来源唯一化为 `config.env` 中 `enable=true` 的公司；`token-set` / `auth-login` 的 `--env 1` 仍会把凭证写入环境变量，供 CI、容器与其他外部工具集成消费：
 
 | 环境变量 | 对应字段 |
 | --- | --- |
@@ -197,33 +198,27 @@ note      以上取值来自环境变量 XBB_*（config.env 中没有启用公
 | `XBB_CORPNAME` | `corpName` |
 | `XBB_USERNAME` | `userName` |
 
-读取优先级：
-
-1. `config.env` 中存在 `enable=true` 的公司时，使用该配置（多公司切换行为不变）
-2. `config.env` 缺失、解析失败或没有启用公司时，回落到上述环境变量
-3. 设置 `XBB_ENV_ONLY=1` 可强制只使用环境变量（完全忽略 `config.env`）
-
 `token-set` / `auth-login` 通过 `--env` 控制存储方式：`--env 0`（默认）仅写入本地文件（`config.env` 与各类缓存），`--env 1` 仅写入环境变量（不写任何本地文件）。选 `--env 1` 时会把 `corpid`/`token`/`baseurl`/`userId` 写入环境变量：
 
 - Windows：用 `setx` 写入用户级环境变量，**只对新开的终端生效**
 - macOS/Linux：写入 `~/.xbbcli/env.sh`（`export` 形式，权限 600），需要 `source ~/.xbbcli/env.sh` 才在当前 shell 生效
 
-环境变量模式只支持一家公司：此时 `token-list` 以 `source=env` 单行显示，`token-use` / `token-del` 会返回不支持多公司的错误行，并提示改用 `config.env`。
+`token-list` 会把环境变量行（`source=env`）与 `config.env` 中的公司行（`source=config`）一起列出：环境变量行在 `msg` 列标注「XBB_* 环境变量存在（仅供外部系统，业务命令不再读取）」，`config.env` 的启用行固定标注「来源为 config.env，当前生效」；`token-use` 在切换 `config.env` 启用公司的同时，若检测到 `XBB_*` 有值，会把该公司凭证同步写回环境变量（目标公司缺 `token` 时拒绝切换，避免残留旧 `XBB_TOKEN`），便于外部系统跟随切换；`token-del` 默认在删除公司的同时一并删除 `XBB_*` 环境变量（`--env 0` 可保留），并在 `message` 说明删除后的实际生效来源。
 
-> 注意：`token-del` 不会清理已经写入的环境变量。要连环境变量一起登出，执行 `xbbcli auth-logout`（默认就会清除 `XBB_*`）；也可以手工执行 `setx XBB_TOKEN ""`（其余 `XBB_*` 同理，Windows 需重开终端）或删除 `~/.xbbcli/env.sh` 并 `unset` 当前 shell 中已导出的变量。
+> 注意：`token-del --env 0` 保留环境变量时，`XBB_*` 仍会存在（仅供外部系统使用；业务命令不再读取），`message` 会给出提示；要连环境变量一起清理，用 `token-del` 默认行为（不传 `--env`）或执行 `xbbcli auth-logout`（默认就会清除 `XBB_*`）；也可以手工执行 `setx XBB_TOKEN ""`（其余 `XBB_*` 同理，Windows 需重开终端）或删除 `~/.xbbcli/env.sh` 并 `unset` 当前 shell 中已导出的变量。
 
 ## 当前支持的命令
 
 ### 配置
 
 - `auth-login`：拉起本地浏览器完成交互式登录（账号密码 / 短信 / 扫码均可），自动读取 Web 会话、换取 API token 并复用 `token-set` 落盘；支持 `--browser`、`--timeout`、`--corpid`、`--keepOpen`、`--env`、`--debug`、`--raw`
-- `auth-status`：以 `key` / `value` 两列回显当前激活配置的 `corpid`、`corpName`、`userName`、`userId`、`baseurl`、`token`（token 默认中间掩码，`--showToken` 出明文），来源与冲突提醒以 `note` 行追加，无生效配置时六个值留空并给出 `note`；`--debug` 在 stderr 输出配置文件路径、公司数量与生效的环境变量名
+- `auth-status`：以 `key` / `value` 两列回显当前激活配置的 `corpid`、`corpName`、`userName`、`userId`、`baseurl`、`token`（token 默认中间掩码，`--showToken` 出明文），并追加 `验证` 行（调用一次 `user-list --pageSize 1` 实测 token，`有效` / `无效-请重新配置token`）；来源与冲突提醒以 `note` 行追加（多个 `enable=true`；无生效配置时提示下一步命令，检测到 `XBB_*` 时说明本版本不再读取）；`--debug` 在 stderr 输出配置文件路径、公司数量、检测到的 `XBB_*` 环境变量名与验证结果
 - `auth-logout`：删除 `config.env` 中 `enable=true` 的那一条配置，删除前整份备份为 `~/.xbbcli/config.env.bak`；不自动把其他公司提升为启用；默认同时清除 `XBB_*` 环境变量（`--env 0` 跳过，返回 `envStored` / `envFile`）；既无启用公司又无环境变量时返回 `NO_ACTIVE_CONFIG` 且不改动文件
 - `auth-refresh-cache`：对当前启用公司重新拉取表单缓存、命令映射与部门/员工缓存，并回填 `corpName` / `userName`；失败时返回 `code=CACHE_REFRESH_FAILED`，`message` 注明中断步骤（`formlist` / `command-map` / `department-user` / `profile`），已完成的部分照常输出；支持 `--userId`、`--debug`
-- `token-set`：保存个人 token、`corpid`、`userId`、`baseurl`，并刷新本地表单缓存、命令映射文件与部门/员工缓存；传入的 token 不以 `user_` 开头时，会先为该 `userId` 刷新并保存个人 token；`--env` 控制存储方式：`0`（默认）仅写入本地文件，`1` 仅写入 `XBB_*` 环境变量（Windows 用 `setx`，其他平台写 `~/.xbbcli/env.sh`）且不写任何本地文件；返回 `envStored` / `envFile` 两列
-- `token-list`：列出本地保存的所有公司配置和唯一启用的公司（含 `corpName` 公司名称与 `userName` 操作人姓名，`source` 列标记来源 `config`/`env`）；`--showToken` 显示完整 token（默认脱敏）；环境变量模式下单行显示
-- `token-use`：切换当前启用的公司（`xbbcli token-use --corpid <CORPID>`），保证仅且只有一个公司被启用
-- `token-del`：删除指定公司的本地配置（`xbbcli token-del --corpid <CORPID>`），并保证剩余配置中仅且只有一个公司被启用
+- `token-set`：保存个人 token、`corpid`、`userId`、`baseurl`，并刷新本地表单缓存、命令映射文件与部门/员工缓存；传入的 token 不以 `user_` 开头时，会先为该 `userId` 刷新并保存个人 token；`--env` 控制存储方式：`0`（默认）仅写入本地文件，`1` 仅写入 `XBB_*` 环境变量（供外部系统使用，本 CLI 不读取；Windows 用 `setx`，其他平台写 `~/.xbbcli/env.sh`）且不写任何本地文件；返回 `envStored` / `envFile` 两列
+- `token-list`：同时列出环境变量行（`source=env`，仅 `XBB_CORPID` / `XBB_TOKEN` 有值时出现，`msg` 标注「仅供外部系统，业务命令不再读取」）与 `config.env` 中保存的全部公司（`source=config`，含 `corpName` 公司名称与 `userName` 操作人姓名），config 启用行在 `msg` 列标注「来源为 config.env，当前生效」；`--showToken` 显示完整 token（默认脱敏）
+- `token-use`：切换当前启用的公司（`xbbcli token-use --corpid <CORPID>`），保证仅且只有一个公司被启用；若环境变量 `XBB_*` 有值，同时把该公司凭证（`corpid`/`token`/`baseurl`/`userId`/`corpName`/`userName`，缺 `baseurl` 时按 `corpid` 推导）同步写回环境变量（供外部系统使用，本 CLI 不读取）——Windows 用 `setx`（需重开终端）、macOS/Linux 写 `~/.xbbcli/env.sh`（需重新 `source`）；同步失败时返回 `status=partial`，目标公司缺 `token` 时返回错误且不改动任何配置
+- `token-del`：删除指定公司的本地配置（`xbbcli token-del --corpid <CORPID>`），并保证剩余配置中仅且只有一个公司被启用；默认同时删除 `XBB_*` 环境变量（`--env 0` 保留，返回 `envStored` / `envFile` 两列）
 - `token-generate`：生成/获取个人 token，`--resetToken 0` 获取（默认）、`1` 刷新；`--checkUserId` 未传则用配置中的 `userId`
 
 ### 组织与人员
@@ -467,10 +462,10 @@ note      以上取值来自环境变量 XBB_*（config.env 中没有启用公
 ## 通用行为
 
 - 先执行一次 `token-set`（或 `auth-login`）保存有效的 `corpid`、`token`、`userId`
-- 用 `xbbcli auth-status` 查看当前生效的配置来自 `config.env` 还是环境变量；`xbbcli auth-logout` 删除激活配置并默认清除 `XBB_*` 环境变量（`--env 0` 保留）
+- 用 `xbbcli auth-status` 查看当前生效的配置（`config.env` 中 `enable=true` 的公司）；`xbbcli auth-logout` 删除激活配置并默认清除 `XBB_*` 环境变量（`--env 0` 保留）
 - 除 `token-set` 外，其余命令都会从 `~/.xbbcli/config.env` 读取 `corpid`
 - 大部分命令会从 `~/.xbbcli/config.env` 读取 `token`
-- 未配置 `config.env`（或其中没有启用公司）时，命令会回落到 `XBB_CORPID` / `XBB_TOKEN` / `XBB_BASEURL` / `XBB_USERID` / `XBB_CORPNAME` / `XBB_USERNAME` 环境变量；`XBB_ENV_ONLY=1` 可强制只用环境变量
+- 业务命令不再读取 `XBB_*` 环境变量：凭证来源唯一化为 `config.env` 中 `enable=true` 的公司；`--env 1` 写入的 `XBB_*` 仅供外部系统集成使用
 - 所有命令会从配置中读取 `userId` 并附加到请求 header 中
 - 大部分命令需要 formId 参数，可以根据业务名称或 businessType 从 `~/.xbbcli/<corpid>.formlist.json` 中获取 formId
 - 需要查询部门 id/名称，或员工 userId/所属部门时，可以先查 `~/.xbbcli/<corpid>.department-user.json`（由 `token-set` 分页抓取并缓存全部部门与员工）

package/auth-login.js

@@ -3,7 +3,7 @@ import { cli, Strategy } from './xbb-registry.js';
 import { openBrowser, findBrowserExecutable, LOGIN_PAGE_URL } from './xbb-browser.js';
 import { saveCompanyCredentials } from './xbb-token-store.js';
 
-const API_TOKEN_PATH = '/pro/v1/apiToken/getApiToken';
+const API_TOKEN_PATH = '/pro/v1/apiPersonalToken/generate';
 const PRO_GATEWAY_ORIGIN = 'https://progateway.xbongbong.com';
 const APP_GATEWAY_ORIGIN = 'https://appgateway.xbongbong.com';
 const PLATFORM = 'web';
@@ -39,6 +39,11 @@ function maskSecret(value) {
   return `${text.slice(0, 6)}***(${text.length})`;
 }
 
+// debug 回显换取响应前对 token 字段做掩码（凭证明文只允许走 --raw 出口）
+function maskResponseTokens(text) {
+  return String(text || '').replace(/"(?:personalToken|token)"\s*:\s*"([^"]*)"/gi, (match, value) => match.replace(value, maskSecret(value)));
+}
+
 // 统一输出：成功时与 token-set 的列保持一致，失败时回落到合成错误行（不抛异常）
 function makeRow(fields) {
   return [{
@@ -91,10 +96,11 @@ async function readSession(session) {
   };
 }
 
-// 在页面内调用网关换取 API token：CORS 全开，sign = SHA256(JSON body + xbbAccessToken)
-async function exchangeApiToken(session, loginSession, debug) {
+// 在页面内调用网关换取个人 token：CORS 全开，sign = SHA256(JSON body + xbbAccessToken)
+// resetToken=0 复用已有 token、1 重新生成；checkUserId 为目标人员，自助登录时与登录用户一致
+async function exchangeApiToken(session, loginSession, resetToken, debug) {
   const url = resolveGatewayUrl(loginSession.corpid);
-  const body = JSON.stringify({ corpid: loginSession.corpid, userId: loginSession.userId, platform: PLATFORM });
+  const body = JSON.stringify({ corpid: loginSession.corpid, userId: loginSession.userId, checkUserId: loginSession.userId, platform: PLATFORM, resetToken });
   const sign = buildSign(body, loginSession.accessToken);
   const expression = `(async () => {
   const response = await fetch(${JSON.stringify(url)}, {
@@ -111,7 +117,7 @@ async function exchangeApiToken(session, loginSession, debug) {
 
   const text = await session.evaluate(expression, { attempts: 3, delayMs: 200 });
   const responseText = typeof text === 'string' ? text : JSON.stringify(text);
-  if (debug) process.stderr.write(`[debug] ResponseBody: ${responseText}\n`);
+  if (debug) process.stderr.write(`[debug] ResponseBody: ${maskResponseTokens(responseText)}\n`);
 
   let data;
   try {
@@ -127,10 +133,7 @@ async function exchangeApiToken(session, loginSession, debug) {
   }
 
   const result = data.result;
-  const token = normalizeArg(typeof result === 'string' ? result : (result && result.token));
-  if (!token) {
-    return { error: '接口未返回 API token；可到销帮帮「个人中心 - API 设置」复制 token 后执行 xbbcli token-set' };
-  }
+  const token = normalizeArg(typeof result === 'string' ? result : (result && (result.personalToken || result.token)));
   return {
     token,
     corpid: normalizeArg(result && result.corpid) || loginSession.corpid,
@@ -139,6 +142,18 @@ async function exchangeApiToken(session, loginSession, debug) {
   };
 }
 
+// resetToken=0 复用已有 token；接口返回空 token 时改用 resetToken=1 重新生成，仍未返回则给出合成错误
+async function exchangeApiTokenWithFallback(session, loginSession, debug) {
+  const existing = await exchangeApiToken(session, loginSession, 0, debug);
+  if (existing.error || existing.sessionExpired || existing.token) return existing;
+
+  const regenerated = await exchangeApiToken(session, loginSession, 1, debug);
+  if (!regenerated.error && !regenerated.sessionExpired && !regenerated.token) {
+    return { ...regenerated, error: '接口未返回 API token；可到销帮帮「个人中心 - API 设置」复制 token 后执行 xbbcli token-set' };
+  }
+  return regenerated;
+}
+
 async function clearAccessToken(session) {
   try {
     await session.evaluate(`(() => { localStorage.removeItem('xbbAccessToken'); return 'ok'; })()`, { attempts: 1 });
@@ -224,7 +239,19 @@ async function authLogin(kwargs) {
       continue;
     }
 
-    const exchange = await exchangeApiToken(session, current, debug);
+    let exchange;
+    try {
+      exchange = await exchangeApiTokenWithFallback(session, current, debug);
+    } catch (error) {
+      // 页面导航、执行上下文重建等瞬时失败：记录原因后继续轮询；浏览器已关闭则直接返回
+      if (session.isClosed()) {
+        await finish(session, keepOpen);
+        return makeErrorRow('BROWSER_CLOSED', '浏览器已被关闭，登录未完成');
+      }
+      lastMessage = String(error.message || error);
+      await delay(POLL_INTERVAL_MS);
+      continue;
+    }
     if (exchange.sessionExpired) {
       // 旧会话已过期：清掉后继续等待用户重新登录
       await clearAccessToken(session);
@@ -297,7 +324,7 @@ cli({
     { name: 'timeout', type: 'str', default: '', help: `等待登录完成的秒数（默认 ${DEFAULT_TIMEOUT_SECONDS}）` },
     { name: 'corpid', type: 'str', default: '', help: '期望登录的企业 ID；与实际登录企业不一致时报错（可选）' },
     { name: 'keepOpen', type: 'bool', default: false, help: '登录成功后保留浏览器窗口（默认自动关闭）' },
-    { name: 'env', type: 'str', default: '0', help: '存储方式：0 仅写入 config.env 文件（默认），1 仅写入环境变量（不写任何本地文件）' },
+    { name: 'env', type: 'str', default: '0', help: '存储方式：0 仅写入 config.env 文件（默认）；1 仅写入 XBB_* 环境变量（不写任何本地文件，供外部系统使用，本 CLI 不读取）' },
     { name: 'debug', type: 'bool', default: false, help: '输出请求体、返回体与浏览器信息（密钥只显示掩码）' },
     { name: 'raw', type: 'bool', default: false, help: '输出换取 API token 接口返回的原文' },
   ],

package/auth-logout.js

@@ -2,7 +2,7 @@ import fs from 'node:fs';
 import os from 'node:os';
 import path from 'node:path';
 import { cli, Strategy } from './xbb-registry.js';
-import { clearEnvVars, getEnvVarNames, hasEnvConfig, isEnvOnly, readEnvConfig } from './xbb-config.js';
+import { clearEnvVars, getEnvVarNames, hasEnvConfig, readEnvConfig } from './xbb-config.js';
 
 const CONFIG_DIR = path.join(os.homedir(), '.xbbcli');
 const CONFIG_FILE = path.join(CONFIG_DIR, 'config.env');
@@ -76,7 +76,7 @@ async function authLogout(kwargs) {
       ? `本地共 ${companies.length} 家公司（${previewCorpids(companies)}）且均未启用；要登出某家请先用 xbbcli token-use --corpid <CORPID> 启用，或改用 xbbcli token-del --corpid <CORPID> 直接删除`
       : '本地没有任何公司配置';
     const envNote = envPresent
-      ? '环境变量 XBB_* 仍存在，本次未清除（用 --env 1 或不指定该参数即可一并清除）'
+      ? '环境变量 XBB_* 仍存在（供外部系统使用；业务命令不再读取），本次未清除（用 --env 1 或不指定该参数即可一并清除）'
       : '环境变量 XBB_* 也不存在，本次无可清除内容';
     const hint = `${scope}；${envNote}`;
     return createRow({
@@ -86,7 +86,7 @@ async function authLogout(kwargs) {
       hasActive: 'false',
       envStored: 'skipped',
       code: 'NO_ACTIVE_CONFIG',
-      msg: isEnvOnly() ? `${hint}（当前 XBB_ENV_ONLY=1，config.env 被忽略）` : hint,
+      msg: hint,
     });
   }
 
@@ -138,8 +138,7 @@ async function authLogout(kwargs) {
       parts.push(`清除环境变量失败：${envFile}`);
     }
   } else if (envBefore) {
-    const forced = isEnvOnly() ? '且 XBB_ENV_ONLY=1 已强制只用环境变量' : '业务命令会回落到它';
-    parts.push(`注意：环境变量 XBB_*（corpid=${envBefore}）仍然有效，${forced}，本次不算彻底登出；如需一并清除请改用 --env 1（或不指定该参数，auth-logout 默认会清除环境变量）`);
+    parts.push(`注意：环境变量 XBB_*（corpid=${envBefore}）仍然存在（供外部系统使用；业务命令不再读取），本次不算彻底登出；如需一并清除请改用 --env 1（或不指定该参数，auth-logout 默认会清除环境变量）`);
   }
 
   const remainingCompanies = target ? remaining : readCompanies();

package/auth-refresh-cache.js

@@ -1,5 +1,5 @@
 import { cli, Strategy } from './xbb-registry.js';
-import { readActiveConfig, isEnvActive } from './xbb-config.js';
+import { readActiveConfig } from './xbb-config.js';
 import {
   refreshLocalCaches,
   getFormlistFile,
@@ -43,12 +43,11 @@ async function authRefreshCache(kwargs) {
   const userId = trim(kwargs.userId) || trim(active.userId);
 
   if (kwargs.debug) {
-    const source = isEnvActive() ? 'env' : 'config';
-    process.stderr.write(`[debug] ConfigSource: ${source}\n[debug] Corpid: ${corpid || '(none)'}\n[debug] UserId: ${userId || '(none)'}\n[debug] FormlistFile: ${corpid ? getFormlistFile(corpid) : ''}\n[debug] CommandMapFile: ${corpid ? getCommandMapFile(corpid) : ''}\n[debug] DepartmentUserFile: ${corpid ? getDepartmentUserFile(corpid) : ''}\n`);
+    process.stderr.write(`[debug] Corpid: ${corpid || '(none)'}\n[debug] UserId: ${userId || '(none)'}\n[debug] FormlistFile: ${corpid ? getFormlistFile(corpid) : ''}\n[debug] CommandMapFile: ${corpid ? getCommandMapFile(corpid) : ''}\n[debug] DepartmentUserFile: ${corpid ? getDepartmentUserFile(corpid) : ''}\n`);
   }
 
   if (!corpid) {
-    return makeErrorRow('NO_ACTIVE_CONFIG', '没有生效的配置：config.env 中不存在 enable=true 的公司，环境变量 XBB_* 也为空；请先执行 xbbcli auth-login 或 xbbcli token-set');
+    return makeErrorRow('NO_ACTIVE_CONFIG', '没有生效的配置：config.env 中不存在 enable=true 的公司；请先执行 xbbcli auth-login 或 xbbcli token-set');
   }
 
   let cache;
@@ -79,9 +78,7 @@ async function authRefreshCache(kwargs) {
 
   const message = cache.profileUpdated
     ? '已刷新表单清单缓存、命令映射与部门/员工缓存，并回填 corpName/userName 到 config.env'
-    : isEnvActive()
-      ? '已刷新表单清单缓存、命令映射与部门/员工缓存；当前为环境变量模式，corpName/userName 未回填 config.env'
-      : '已刷新表单清单缓存、命令映射与部门/员工缓存；该公司不在 config.env 中，corpName/userName 未回填';
+    : '已刷新表单清单缓存、命令映射与部门/员工缓存；该公司不在 config.env 中，corpName/userName 未回填';
 
   return makeRow({
     status: 'ok',

package/auth-status.js

@@ -1,8 +1,8 @@
 import fs from 'node:fs';
 import os from 'node:os';
 import path from 'node:path';
-import { cli, Strategy } from './xbb-registry.js';
-import { readActiveConfig, hasEnvConfig, isEnvActive, isEnvOnly, getEnvVarNames } from './xbb-config.js';
+import { cli, Strategy, getRegistry } from './xbb-registry.js';
+import { readActiveConfig, getEnvVarNames } from './xbb-config.js';
 
 const CONFIG_DIR = path.join(os.homedir(), '.xbbcli');
 const CONFIG_FILE = path.join(CONFIG_DIR, 'config.env');
@@ -50,48 +50,79 @@ function withNotes(rows, notes) {
   return [...rows, ...notes.map((value) => ({ key: 'note', value }))];
 }
 
+const VERIFY_VALID = '有效';
+const VERIFY_INVALID = '无效-请重新配置token';
+
+// 用一次轻量调用（等价于 user-list --pageSize 1）验证当前 token 是否有效
+// 判定：业务错误码（code 非空且非 NO_DATA）或请求异常 → 无效；成功（含 NO_DATA 空清单）→ 有效
+async function verifyToken() {
+  const command = getRegistry().get('xbb/user-list');
+  if (!command || typeof command.func !== 'function') {
+    return { valid: false, detail: '找不到 user-list 命令，无法验证' };
+  }
+  try {
+    const rows = await command.func({ page: '1', pageSize: '1' });
+    const list = Array.isArray(rows) ? rows : [];
+    const errorRow = list.find((item) => item && String(item.code ?? '') !== '');
+    if (!errorRow) return { valid: true, detail: 'user-list 调用成功' };
+    // NO_DATA 表示接口成功但清单为空，token 仍然有效
+    if (String(errorRow.code) === 'NO_DATA') return { valid: true, detail: 'user-list 调用成功（无数据）' };
+    return { valid: false, detail: `user-list 返回 ${errorRow.code} ${errorRow.msg || ''}`.trim() };
+  } catch (error) {
+    return { valid: false, detail: `user-list 调用异常：${String(error.message || error)}` };
+  }
+}
+
+function withVerify(rows, verify) {
+  return [...rows, { key: 'token验证', value: verify.valid ? VERIFY_VALID : VERIFY_INVALID }];
+}
+
 async function authStatus(kwargs) {
   const showToken = Boolean(kwargs.showToken);
-  const envActive = hasEnvConfig();
-  const envUsed = isEnvActive();
   const active = readActiveConfig();
   const companies = readCompanies();
   const hasActive = Boolean(trim(active.corpid) || trim(active.token));
-  const source = hasActive ? (envUsed ? 'env' : 'config') : 'none';
+  const source = hasActive ? 'config' : 'none';
+  const envNames = getEnvVarNames().filter((name) => trim(process.env[name]));
 
   if (kwargs.debug) {
-    const envNames = getEnvVarNames().filter((name) => trim(process.env[name])).join(', ');
-    process.stderr.write(`[debug] ConfigFile: ${CONFIG_FILE}\n[debug] Companies: ${companies.length}\n[debug] Source: ${source}\n[debug] XBB_ENV_ONLY: ${trim(process.env.XBB_ENV_ONLY) || 'unset'}\n[debug] EnvVarsSet: ${envNames || 'none'}\n`);
+    process.stderr.write(`[debug] ConfigFile: ${CONFIG_FILE}\n[debug] Companies: ${companies.length}\n[debug] EnvVarsSet: ${envNames.join(', ') || 'none'}\n`);
   }
 
   const token = trim(active.token);
   const rows = toRows({ ...active, token: showToken ? token : maskToken(token) });
 
-  if (source === 'none') {
-    // 没有生效配置时不把残留的环境变量值当真值回显（XBB_BASEURL 等可能单独存在）
-    return withNotes(toRows({}), [
-      '没有处于激活状态的配置：config.env 中不存在 enable=true 的公司，环境变量 XBB_* 也为空；请先执行 xbbcli auth-login 或 xbbcli token-set',
-    ]);
+  // 没有生效配置或缺少 token 时无需发起调用，直接判定为无效
+  let verify;
+  if (source === 'none' || !token) {
+    verify = { valid: false, detail: source === 'none' ? '没有生效配置，无法验证' : '生效配置缺少 token，无法验证' };
+  } else {
+    verify = await verifyToken();
+  }
+  if (kwargs.debug) {
+    process.stderr.write(`[debug] Verify: ${verify.valid ? 'valid' : 'invalid'}（${verify.detail}）\n`);
   }
+  const verifiedRows = withVerify(rows, verify);
 
-  if (source === 'env') {
-    const reason = isEnvOnly() ? 'XBB_ENV_ONLY=1 已强制使用环境变量' : 'config.env 中没有启用公司，回落到环境变量';
-    return withNotes(rows, [
-      `以上取值来自环境变量 XBB_*（${reason}）；环境变量模式不支持多公司切换，配置文件路径与公司数量见 --debug`,
-    ]);
+  if (source === 'none') {
+    // 没有生效配置时不把残留的环境变量值当真值回显；检测到 XBB_* 时提示本版本不再读取
+    const notes = ['没有处于激活状态的配置：config.env 中不存在 enable=true 的公司；请先执行 xbbcli auth-login 或 xbbcli token-set'];
+    if (envNames.length) {
+      notes.push('检测到 XBB_* 环境变量，但本版本不再读取环境变量');
+    }
+    return withNotes(verifiedRows, notes);
   }
 
   const notes = [];
-  if (envActive) notes.push('环境变量 XBB_* 同时存在，但 config.env 启用项优先；如需彻底登出请执行 xbbcli auth-logout');
   const enabledCount = companies.filter((item) => item.enable === true).length;
   if (enabledCount > 1) notes.push(`config.env 中存在 ${enabledCount} 个 enable=true，仅第一条生效，请用 xbbcli token-use 修正`);
-  return withNotes(rows, notes);
+  return withNotes(verifiedRows, notes);
 }
 
 cli({
   site: 'xbb',
   name: 'auth-status',
-  description: '回显当前激活的配置',
+  description: '回显当前激活的配置，并验证 token 是否有效',
   strategy: Strategy.PUBLIC,
   access: 'read',
   browser: false,

package/communicate-list.js

@@ -31,6 +31,15 @@ function buildApiUrl(baseUrl, defaultUrl) {
 }
 
 function buildConditions(kwargs) {
+  const conditions = kwargs.conditions;
+  if (typeof conditions === 'string' && conditions.trim()) {
+    const parsed = JSON.parse(conditions);
+    if (!Array.isArray(parsed)) {
+      throw new Error('INVALID_CONDITIONS:conditions 必须是 JSON 数组');
+    }
+    return parsed;
+  }
+
   if (!(kwargs.attr && kwargs.value)) {
     return [];
   }
@@ -126,6 +135,7 @@ cli({
   args: [
     { name: 'userId', type: 'str', default: '', help: '操作人id（可选）' },
     { name: 'viewApproval', type: 'str', default: '', help: '是否查询审批中数据，1是，0否' },
+    { name: 'conditions', type: 'str', default: '', help: '条件集合 JSON 字符串，例如 [{"attr":"text_1","value":["025554"],"symbol":"equal"}]' },
     { name: 'attr', type: 'str', default: '', help: '筛选字段 attr，例如 text_1' },
     { name: 'value', type: 'str', default: '', help: '筛选值，和 --attr 配合使用' },
     { name: 'symbol', type: 'str', default: 'equal', help: '筛选操作符，默认 equal' },
@@ -139,7 +149,16 @@ cli({
   func: async function (kwargs) {
     const debug = Boolean(kwargs.debug);
     const { corpid, token, baseUrl, userId } = getRuntimeConfig();
-    const payload = buildPayload(kwargs, corpid);
+    let payload;
+    try {
+      payload = buildPayload(kwargs, corpid);
+    } catch (error) {
+      const message = String(error?.message || error);
+      const separatorIndex = message.indexOf(':');
+      const code = separatorIndex > 0 ? message.slice(0, separatorIndex) : 'INVALID_PAYLOAD';
+      const detail = separatorIndex > 0 ? message.slice(separatorIndex + 1) : message;
+      return makeErrorRow(code, detail);
+    }
     const body = JSON.stringify(payload);
 
     const validationError = getValidationError(payload, token);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@xbongbong/xbbcli",
-  "version": "2.4.2",
+  "version": "2.4.4",
   "description": "销帮帮 CRM 的独立命令行工具",
   "type": "module",
   "bin": {

package/token-del.js

@@ -2,7 +2,7 @@ import fs from 'node:fs';
 import os from 'node:os';
 import path from 'node:path';
 import { cli, Strategy } from './xbb-registry.js';
-import { isEnvActive, isEnvOnly, getEnvVarNames } from './xbb-config.js';
+import { clearEnvVars, getEnvVarNames, hasEnvConfig, readEnvConfig } from './xbb-config.js';
 
 const CONFIG_DIR = path.join(os.homedir(), '.xbbcli');
 const CONFIG_FILE = path.join(CONFIG_DIR, 'config.env');
@@ -50,7 +50,7 @@ function maskToken(token) {
   if (value.length <= 12) return `${value.slice(0, 4)}****`;
   return `${value.slice(0, 8)}****${value.slice(-4)}`;
 }
-function createResult(status, message, corpid, enable, companyCount) {
+function createResult(status, message, corpid, enable, companyCount, envStored = 'skipped', envFile = '') {
   return [{
     status,
     message,
@@ -58,6 +58,8 @@ function createResult(status, message, corpid, enable, companyCount) {
     corpid,
     enable,
     companyCount,
+    envStored,
+    envFile,
   }];
 }
 
@@ -67,9 +69,9 @@ async function delCompany(kwargs) {
     return createResult('error', '缺少 --corpid', '', '', '');
   }
 
-  if (isEnvOnly() || isEnvActive()) {
-    return createResult('error', `当前为环境变量模式（${getEnvVarNames().join(', ')}），不支持删除公司配置；如需多公司请改用 config.env`, corpid, '', '');
-  }
+  const alsoEnv = String(kwargs.env ?? '1').trim() !== '0';
+  const envPresent = hasEnvConfig();
+  const envBefore = envPresent ? String(readEnvConfig().corpid || '').trim() : '';
 
   const companies = readCompanies();
   if (!companies.length) {
@@ -84,23 +86,56 @@ async function delCompany(kwargs) {
   const next = remaining.length ? enableSingle(remaining) : [];
   writeCompanies(next);
   const enabledCorpid = next.find((item) => item.enable === true)?.corpid || '';
-  const message = next.length
+  const parts = [next.length
     ? `已删除 corpid=${corpid}，剩余 ${next.length} 家公司，当前启用 corpid=${enabledCorpid}`
-    : `已删除 corpid=${corpid}，本地已无公司配置`;
-  return createResult('ok', message, corpid, next.length ? 'true' : '', next.length);
+    : `已删除 corpid=${corpid}，本地已无公司配置`];
+
+  let envStored = 'skipped';
+  let envFile = '';
+
+  if (alsoEnv) {
+    try {
+      const result = clearEnvVars();
+      envStored = result.stored;
+      envFile = result.file;
+      if (envStored === 'none') {
+        parts.push('未检测到 XBB_* 环境变量，无需删除');
+      } else {
+        const suffix = process.platform === 'win32' ? '（已打开的终端需重开才会消失）' : '';
+        parts.push(`环境变量 ${getEnvVarNames().join('、')} 已删除${suffix}`);
+      }
+      // 环境变量已清空，说明删除后的实际生效来源
+      if (envStored !== 'none' || envBefore) {
+        if (next.length) {
+          parts.push(`此后业务命令使用 config.env 中启用的 corpid=${enabledCorpid}`);
+        } else {
+          parts.push('此后没有可用凭证，请重新执行 xbbcli token-set 或 xbbcli auth-login');
+        }
+      }
+    } catch (error) {
+      envStored = 'failed';
+      envFile = String(error.message || error);
+      return createResult('partial', `${parts.join('；')}；删除环境变量失败：${envFile}`, corpid, next.length ? 'true' : '', next.length, envStored, envFile);
+    }
+  } else if (envPresent) {
+    parts.push(`注意：环境变量 XBB_*（corpid=${envBefore || '未知'}）仍然存在（供外部系统使用；业务命令不再读取）；如需一并删除请改用 --env 1（或不指定该参数）`);
+  }
+
+  return createResult('ok', parts.join('；'), corpid, next.length ? 'true' : '', next.length, envStored, envFile);
 }
 
 cli({
   site: 'xbb',
   name: 'token-del',
-  description: '删除指定的已保存公司配置，并保证剩余配置中仅且只有一个被启用',
+  description: '删除指定的已保存公司配置，并保证剩余配置中仅且只有一个被启用；默认同时删除 XBB_* 环境变量',
   strategy: Strategy.PUBLIC,
   access: 'write',
   browser: false,
   domain: 'proapi.xbongbong.com',
   args: [
     { name: 'corpid', type: 'str', help: '要删除的公司 id，必须是已保存的 corpid（必填）' },
+    { name: 'env', type: 'str', default: '1', help: '是否同时删除 XBB_* 环境变量：1 删除（默认），0 仅删除 config.env 保留环境变量。Windows 删除用户级变量，其他平台清理 ~/.xbbcli/env.sh' },
   ],
-  columns: ['status', 'message', 'configFile', 'corpid', 'enable', 'companyCount'],
+  columns: ['status', 'message', 'configFile', 'corpid', 'enable', 'companyCount', 'envStored', 'envFile'],
   func: delCompany,
 });

package/token-list.js

@@ -2,7 +2,7 @@ import fs from 'node:fs';
 import os from 'node:os';
 import path from 'node:path';
 import { cli, Strategy } from './xbb-registry.js';
-import { readEnvConfig, hasEnvConfig, isEnvOnly } from './xbb-config.js';
+import { readEnvConfig, hasEnvConfig } from './xbb-config.js';
 
 const CONFIG_DIR = path.join(os.homedir(), '.xbbcli');
 const CONFIG_FILE = path.join(CONFIG_DIR, 'config.env');
@@ -67,40 +67,50 @@ cli({
   ],
   columns: ['enable', 'corpid', 'userId', 'baseurl', 'token', 'corpName', 'userName', 'code', 'msg', 'source'],
   func: async (kwargs) => {
+    const showToken = Boolean(kwargs.showToken);
     const companies = readCompanies();
     const envConfig = readEnvConfig();
-    if (isEnvOnly() || (!companies.some((item) => item && item.enable === true) && hasEnvConfig(envConfig))) {
-      return [{
-        enable: 'true',
+    const envPresent = hasEnvConfig(envConfig);
+    const rows = [];
+
+    // 环境变量行：XBB_CORPID / XBB_TOKEN 有值就回显，source=env；仅供外部系统消费，业务命令不再读取
+    if (envPresent) {
+      rows.push({
+        enable: '',
         corpid: String(envConfig.corpid || ''),
         userId: String(envConfig.userId || ''),
         baseurl: String(envConfig.baseurl || ''),
-        token: Boolean(kwargs.showToken) ? String(envConfig.token || '') : maskToken(envConfig.token),
+        token: showToken ? String(envConfig.token || '') : maskToken(envConfig.token),
         corpName: String(envConfig.corpName || ''),
         userName: String(envConfig.userName || ''),
         code: '',
-        msg: '来源为环境变量 XBB_*（环境变量模式不支持多公司切换）',
+        msg: 'XBB_* 环境变量存在（仅供外部系统，业务命令不再读取）',
         source: 'env',
-      }];
+      });
+    }
+
+    const enabledCount = companies.filter((item) => item.enable === true).length;
+    for (const item of companies) {
+      const isEnabled = item.enable === true;
+      rows.push({
+        enable: isEnabled ? 'true' : 'false',
+        corpid: String(item.corpid || ''),
+        userId: String(item.userId || ''),
+        baseurl: String(item.baseurl || ''),
+        token: showToken ? String(item.token || '') : maskToken(item.token),
+        corpName: String(item.corpName || ''),
+        userName: String(item.userName || ''),
+        code: '',
+        msg: isEnabled ? '来源为 config.env，当前生效' : '',
+        source: 'config',
+      });
     }
-    if (!companies.length) {
+
+    if (!rows.length) {
       return makeErrorRow('NO_CONFIG', '缺少本地配置；请先执行 xbbcli token-set --corpid <CORPID> --token <TOKEN> --userId <USERID>');
     }
-    const showToken = Boolean(kwargs.showToken);
-    const enabledCount = companies.filter((item) => item.enable === true).length;
-    const rows = companies.map((item) => ({
-      enable: item.enable === true ? 'true' : 'false',
-      corpid: String(item.corpid || ''),
-      userId: String(item.userId || ''),
-      baseurl: String(item.baseurl || ''),
-      token: showToken ? String(item.token || '') : maskToken(item.token),
-      corpName: String(item.corpName || ''),
-      userName: String(item.userName || ''),
-      code: '',
-      msg: '',
-      source: 'config',
-    }));
-    if (enabledCount !== 1) {
+
+    if (companies.length && enabledCount !== 1) {
       rows.push({
         enable: '',
         corpid: '',

package/token-set.js

@@ -12,7 +12,7 @@ cli({
     { name: 'corpid', type: 'str', help: '公司id（必填）' },
     { name: 'token', type: 'str', help: '要保存的 API token' },
     { name: 'userId', type: 'str', help: '操作人id（必填）' },
-    { name: 'env', type: 'str', default: '0', help: '存储方式：0 仅写入 config.env 文件（默认），1 仅写入环境变量（不写任何本地文件）' },
+    { name: 'env', type: 'str', default: '0', help: '存储方式：0 仅写入 config.env 文件（默认）；1 仅写入 XBB_* 环境变量（不写任何本地文件，供外部系统使用，本 CLI 不读取）' },
   ],
   columns: ['status', 'message', 'configFile', 'corpid', 'baseurl', 'userId', 'enable', 'companyCount', 'formlistFile', 'commandMapFile', 'departmentUserFile', 'corpName', 'userName', 'envStored', 'envFile'],
   func: saveCompanyCredentials,

package/token-use.js

@@ -2,7 +2,8 @@ import fs from 'node:fs';
 import os from 'node:os';
 import path from 'node:path';
 import { cli, Strategy } from './xbb-registry.js';
-import { isEnvActive, isEnvOnly, getEnvVarNames } from './xbb-config.js';
+import { hasEnvConfig, persistEnvVars } from './xbb-config.js';
+import { resolveBaseUrl } from './xbb-token-store.js';
 
 const CONFIG_DIR = path.join(os.homedir(), '.xbbcli');
 const CONFIG_FILE = path.join(CONFIG_DIR, 'config.env');
@@ -67,9 +68,7 @@ async function useCompany(kwargs) {
     return createResult('error', '缺少 --corpid', '', '', '');
   }
 
-  if (isEnvOnly() || isEnvActive()) {
-    return createResult('error', `当前为环境变量模式（${getEnvVarNames().join(', ')}），不支持切换公司；如需多公司请改用 config.env`, corpid, '', '');
-  }
+  const envPresent = hasEnvConfig();
 
   const companies = readCompanies();
   if (!companies.length) {
@@ -81,15 +80,45 @@ async function useCompany(kwargs) {
     return createResult('error', `未找到 corpid=${corpid} 的本地配置`, corpid, '', companies.length);
   }
 
+  const target = companies[index];
+  // XBB_* 有值时会同步覆盖环境变量，需要完整凭证：缺 token 时直接拒绝，避免残留上一家公司的 XBB_TOKEN
+  if (envPresent && !String(target.token || '').trim()) {
+    return createResult('error', `corpid=${corpid} 的本地配置缺少 token，无法同步到 XBB_* 环境变量；请先执行 xbbcli token-set --corpid ${corpid} --token <TOKEN> --userId <USERID>`, corpid, '', companies.length);
+  }
+
   const next = enableOnly(companies, index);
   writeCompanies(next);
-  return createResult('ok', `已启用 corpid=${corpid}，其余公司已标记为 enable=false`, corpid, 'true', next.length);
+
+  const parts = [`已启用 corpid=${corpid}，其余公司已标记为 enable=false`];
+
+  // 环境变量中有值时把启用公司凭证同步写回 XBB_*（供外部系统消费，本 CLI 不再读取）
+  if (envPresent) {
+    try {
+      persistEnvVars({
+        corpid: target.corpid,
+        token: target.token,
+        // 条目缺少 baseurl 时按 corpid 规则推导，避免残留上一家公司的 XBB_BASEURL
+        baseurl: target.baseurl || resolveBaseUrl(target.corpid),
+        userId: target.userId,
+        corpName: target.corpName,
+        userName: target.userName,
+      });
+      const suffix = process.platform === 'win32'
+        ? '（Windows 需重开终端后才生效）'
+        : '（重新 source ~/.xbbcli/env.sh 后才生效）';
+      parts.push(`检测到环境变量 XBB_* 有值，已同步更新为该公司凭证（供外部系统使用，本 CLI 不读取）${suffix}`);
+    } catch (error) {
+      return createResult('partial', `已启用 corpid=${corpid}，但同步更新环境变量失败：${String(error.message || error)}`, corpid, 'true', next.length);
+    }
+  }
+
+  return createResult('ok', parts.join('；'), corpid, 'true', next.length);
 }
 
 cli({
   site: 'xbb',
   name: 'token-use',
-  description: '切换当前启用的公司（enable），保证仅且只有一个公司被启用',
+  description: '切换当前启用的公司（enable），保证仅且只有一个公司被启用；XBB_* 环境变量有值时同步更新为该公司凭证（供外部系统使用，本 CLI 不读取）',
   strategy: Strategy.PUBLIC,
   access: 'write',
   browser: false,

package/xbb-config.js

@@ -7,7 +7,7 @@ const CONFIG_DIR = path.join(os.homedir(), '.xbbcli');
 const CONFIG_FILE = path.join(CONFIG_DIR, 'config.env');
 const ENV_FILE = path.join(CONFIG_DIR, 'env.sh');
 
-// config.env 字段名 -> 对应环境变量名（环境变量模式只支持单公司）
+// config.env 字段名 -> 对应环境变量名；仅供写入、同步、清除与展示类命令检测使用，业务命令不再读取
 export const ENV_VAR_NAMES = Object.freeze({
   corpid: 'XBB_CORPID',
   token: 'XBB_TOKEN',
@@ -21,10 +21,6 @@ function trim(value) {
   return String(value ?? '').trim();
 }
 
-function isTruthy(value) {
-  return ['1', 'true', 'yes', 'on'].includes(trim(value).toLowerCase());
-}
-
 // 读取环境中非空的 XBB_* 变量，返回与 config.env 单条配置同构的对象
 export function readEnvConfig() {
   const config = {};
@@ -39,12 +35,7 @@ export function hasEnvConfig(config = readEnvConfig()) {
   return Boolean(trim(config.corpid) || trim(config.token));
 }
 
-// XBB_ENV_ONLY=1 时强制只使用环境变量，忽略 config.env
-export function isEnvOnly() {
-  return isTruthy(process.env.XBB_ENV_ONLY);
-}
-
-// 与旧版每个命令内联的 readConfig 行为保持一致：优先返回 enable=true 的公司
+// 与旧版每个命令内联的 readConfig 行为保持一致：返回 enable=true 的公司
 function readFileConfig() {
   try {
     const parsed = JSON.parse(fs.readFileSync(CONFIG_FILE, 'utf8'));
@@ -62,25 +53,9 @@ function readFileConfig() {
   }
 }
 
-// 配置文件优先：有启用公司就用配置，否则回落到环境变量
+// 业务命令统一从 config.env 读取 enable=true 的公司；XBB_* 环境变量不再参与读取
 export function readActiveConfig() {
-  const envConfig = readEnvConfig();
-  if (isEnvOnly()) {
-    return envConfig;
-  }
-  const fileConfig = readFileConfig();
-  if (Object.keys(fileConfig).length > 0) {
-    return fileConfig;
-  }
-  return envConfig;
-}
-
-// 当前生效来源是否为环境变量
-export function isEnvActive() {
-  if (isEnvOnly()) {
-    return hasEnvConfig();
-  }
-  return Object.keys(readFileConfig()).length === 0 && hasEnvConfig();
+  return readFileConfig();
 }
 
 export function getEnvVarNames() {