@xinhehuimeng/cli 0.2.4 → 0.2.5

package/README.md

@@ -13,6 +13,25 @@ npx @xinhehuimeng/cli login --phone 13800000000 --code 123456
 npx @xinhehuimeng/cli me --json
 ```
 
+管理员为普通成员发放 30 分钟临时口令后，可以改用自己的长期口令：
+
+```bash
+# 1) 用临时口令登录
+printf '%s' "$TEMP_PW" | xinhe-oa-cli login --password --account <手机号>
+
+# 2) 首次登录必须改密；改密会吊销该账号全部旧会话
+printf '%s\n%s\n%s\n' "$TEMP_PW" "$NEW_PW" "$NEW_PW" | \
+  xinhe-oa-cli login --change-password
+```
+
+管理员发放临时口令：
+
+```bash
+xinhe-oa-cli member --reset-password <USER_ID> --yes --json
+```
+
+临时口令只显示一次，不要发到工单评论或群聊。
+
 装一次就够（`npm i -g @xinhehuimeng/cli` 之后直接用 `xinhe-oa-cli`）：
 
 ```bash

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@xinhehuimeng/cli",
-  "version": "0.2.4",
+  "version": "0.2.5",
   "description": "心河 OA 客户端 CLI（Node 版）：多维表格 / 应用 / 权限的唯一命令行入口",
   "keywords": [
     "xinhe-oa",

package/src/commands/member.js

@@ -1,4 +1,4 @@
-// 成员域：`member --list|--search|--create|--role|--revoke-role|--remove`（契约 §2、§6.2），
+// 成员域：`member --list|--search|--create|--role|--revoke-role|--remove|--reset-password`，
 // 含 ORG-001 的部门归属三件套（`--set-dept` / `--unset-dept` / `--set-manager|--clear-manager`）、
 // ORG-002 的授权三动作（`--grant|--revoke-grant|--grants`，issue #82）、
 // ORG-004 的离职 / 移交四动作（issue #81）与 MEMBER-001 的 `--search`（issue #99）。
@@ -81,6 +81,8 @@ export async function handleMember({ args, runtime }) {
       return revokeRole(runtime, args, action.role, action.user);
     case 'remove':
       return removeMember(runtime, action.user, args);
+    case 'reset-password':
+      return resetPassword(runtime, action.user);
     case 'set-dept':
       return setDept(runtime, args, action.user, action.deptId, action.primary);
     case 'unset-dept':
@@ -129,6 +131,7 @@ function memberAction(args) {
       ['--role', given('--role') && !on('--create')],
       ['--revoke-role', given('--revoke-role')],
       ['--remove', given('--remove')],
+      ['--reset-password', given('--reset-password')],
       ['--set-dept', given('--set-dept')],
       ['--unset-dept', given('--unset-dept')],
       ['--set-manager', given('--set-manager')],
@@ -396,6 +399,15 @@ function memberAction(args) {
       }
       return { kind: 'transfer-revert', transferId, note: String(note) };
     }
+    case '--reset-password':
+      return {
+        kind: 'reset-password',
+        user: requiredId(
+          val('--reset-password'),
+          '--reset-password',
+          '例：xinhe-oa-cli member --reset-password usr_123 --yes --json',
+        ),
+      };
     default:
       return { kind: 'remove', user: String(val('--remove') ?? '') };
   }
@@ -779,6 +791,32 @@ async function removeMember(runtime, userId, args) {
   });
 }
 
+/** 管理员发放 30 分钟一次性口令，并吊销该成员全部旧会话。 */
+async function resetPassword(runtime, userId) {
+  runtime.requireYes(
+    '重置成员口令',
+    `xinhe-oa-cli member --reset-password ${userId}`,
+  );
+  const path = `/admin/users/${userId}/password/reset`;
+  const spec = requestSpec();
+  if (runtime.dryRun) return runtime.dryRunReport('POST', path, spec);
+  const response = await runtime.sendAuthed('POST', path, spec);
+  const data = dataOf(response);
+  runtime.finishFrom(response, {
+    user: data.user ?? null,
+    temporary_password: data.temporary_password ?? null,
+    expires_at: data.expires_at ?? null,
+    sessions_revoked: data.sessions_revoked ?? null,
+    must_change_password: data.must_change_password ?? null,
+    next_steps: [
+      '通过安全渠道把临时口令单独交给本人，不要发群聊或工单评论',
+      "本人登录：printf '%s' \"$TEMP_PW\" | xinhe-oa-cli login --password --account <手机号>",
+      "本人立即改密：printf '%s\\n%s\\n%s\\n' \"$TEMP_PW\" \"$NEW_PW\" \"$NEW_PW\" | xinhe-oa-cli login --change-password",
+    ],
+    warning: '旧口令与该成员的全部旧会话已失效；临时口令只显示这一次。',
+  });
+}
+
 // ---------------------------------------------------------------------------
 // 部门归属（ORG-001）：set-dept / unset-dept / set-manager
 // ---------------------------------------------------------------------------

package/src/commands/session.js

@@ -33,6 +33,7 @@
 import { flagOn, flagValue } from '../core/args.js';
 import {
   adoptSession,
+  credentialFromTokens,
   envelopeData,
   loginWithPassword,
   logout as logoutSession,
@@ -53,8 +54,9 @@ const SCOPE_CAP = 50;
  * 顺序不是随手写的：clap 的 `ArgGroup(multiple = false)` 保证四选一，
  * 但"既有 code 又 adopt"这种组合在 Rust 里由 adopt 先赢 —— `meta.command` 要一致。
  */
-function loginKind({ adopt, password, hasCode }) {
+function loginKind({ adopt, password, changePassword, hasCode }) {
   if (adopt) return '--adopt-session';
+  if (changePassword) return '--change-password';
   if (password) return '--password';
   if (hasCode) return '--phone --code';
   return '--phone';
@@ -64,6 +66,7 @@ function loginKind({ adopt, password, hasCode }) {
 export async function handleLogin({ args, runtime }) {
   const adopt = flagOn(args, '--adopt-session');
   const password = flagOn(args, '--password');
+  const changePassword = flagOn(args, '--change-password');
   const phone = flagValue(args, '--phone');
   const code = flagValue(args, '--code');
   const account = flagValue(args, '--account');
@@ -72,15 +75,18 @@ export async function handleLogin({ args, runtime }) {
   // （`login --phone` / `login --phone --code` / `login --password` / `login --adopt-session`），
   // 而 Node 的命令表按域名折叠成 `login`。这里在收尾（以及发请求）之前把它校正成
   // Rust 的形态，`--json` 的 `meta.command` 才逐字一致。
-  runtime.command = `login ${loginKind({ adopt, password, hasCode: code !== null })}`;
+  runtime.command = `login ${loginKind({ adopt, password, changePassword, hasCode: code !== null })}`;
 
   // ① 交接会话（install.sh 用）：不联网，只把它写进自己的凭据文件。
   if (adopt) return adoptFromStdin(runtime);
 
-  // ② 口令登录（仅引导账号；口令从 stdin 读，**不进 argv**）。
+  // ② 当前会话改密：先完成临时口令登录，再读取三行口令。
+  if (changePassword) return changeCurrentPassword(runtime);
+
+  // ③ 口令登录（普通成员或引导账号；口令从 stdin 读，**不进 argv**）。
   if (password) return loginByPassword(runtime, account);
 
-  // ③ 拿验证码换凭据。
+  // ④ 拿验证码换凭据。
   //
   // 判空用 `=== null`（而不是 falsy）：`--phone=` 这种显式空串在 Rust 里是
   // `Some("")`，会被原样发给服务端，由服务端回"号码不合法" —— CLI 不替它判。
@@ -91,12 +97,59 @@ export async function handleLogin({ args, runtime }) {
   }
   if (code !== null) return loginByCode(runtime, phone, code);
 
-  // ④ 只给手机号 = 发码。
+  // ⑤ 只给手机号 = 发码。
   return requestOtp(runtime, phone);
 }
 
+async function changeCurrentPassword(runtime) {
+  const raw = await readStdinText();
+  const lines = raw.split(/\r?\n/).map((line) => line.trim());
+  if (lines.length < 3 || lines.slice(0, 3).some((line) => line.length === 0)) {
+    throw CliError.usage('标准输入里需要当前口令、新口令、确认新口令三行').withHint(
+      "用法：printf '%s\\n%s\\n%s\\n' \"$OLD_PW\" \"$NEW_PW\" \"$NEW_PW\" | xinhe-oa-cli login --change-password",
+    );
+  }
+  const [currentPassword, newPassword, confirmation] = lines;
+  if (newPassword !== confirmation) throw CliError.usage('两次输入的新口令不一致');
+  if (newPassword.length < 12) throw CliError.usage('新口令至少需要 12 个字符');
+  if (newPassword === currentPassword) throw CliError.usage('新口令不能与当前口令相同');
+
+  const spec = requestSpec({
+    body: { current_password: currentPassword, new_password: newPassword },
+  });
+  if (runtime.dryRun) {
+    return runtime.dryRunReport('POST', '/auth/password/change', spec);
+  }
+
+  const response = await runtime.sendAuthed('POST', '/auth/password/change', spec);
+  const body = envelopeData(response);
+  const previous = runtime.credentials.get(runtime.profile);
+  const phone = previous?.phone ?? runtime.config.profile(runtime.profile).phone ?? null;
+  const deviceId = runtime.ensureDeviceId();
+  const credential = credentialFromTokens(body, runtime.baseUrl, deviceId, phone);
+  runtime.credentials.put(runtime.profile, credential);
+  if (typeof phone === 'string' && phone.length > 0) {
+    runtime.config.setPhone(phone);
+    runtime.config.save();
+  }
+
+  return runtime.finishFrom(response, {
+    profile: runtime.profile,
+    base_url: credential.base_url,
+    user: credential.user ?? null,
+    auth_method: 'password',
+    sessions_revoked: body.sessions_revoked ?? null,
+    credentials_file: runtime.paths.credentialsFile,
+    access_token: maskToken(credential.tokens?.access_token ?? ''),
+    refresh_token: maskToken(credential.tokens?.refresh_token ?? ''),
+    access_expires_at: credential.tokens?.access_expires_at ?? null,
+    next_step: '口令已更新并保存新会话；现在可以执行 `xinhe-oa-cli me --json` 或每日任务',
+    note: '旧口令、全部旧会话和临时口令均已失效；新令牌未进入 argv 与日志。',
+  });
+}
+
 /**
- * `login --password --account`：仅引导账号，口令从 stdin 读。
+ * `login --password --account`：普通成员或引导账号，口令从 stdin 读。
  *
  * 三步的顺序是刻意的（与 Rust 一致）：**先落盘 device_id，再读口令，最后才碰网络**。
  * 口令读失败（stdin 是空的）时，device_id 已经存好了 —— 用户重跑一次不会换指纹。

package/src/spec/command_surface.json

@@ -299,6 +299,43 @@
         "--password"
       ]
     },
+    {
+      "name": "login --change-password",
+      "flags": {
+        "--change-password": {
+          "takes_value": false,
+          "required": false,
+          "optional_value": false
+        }
+      },
+      "extra_flags": [],
+      "allowed_flags": [],
+      "params_raw": [
+        "--change-password"
+      ],
+      "params": [
+        {
+          "flag": "--change-password"
+        }
+      ],
+      "risk": "write",
+      "requires_yes": false,
+      "endpoints": [
+        "POST /auth/password/change"
+      ],
+      "examples": [
+        "printf '%s\\n%s\\n%s\\n' \"$OLD_PW\" \"$NEW_PW\" \"$NEW_PW\" | xinhe-oa-cli login --change-password"
+      ],
+      "output_schema": "{user, auth_method, sessions_revoked, tokens_saved: true}（旧会话与临时口令失效）",
+      "synonym_flags": [],
+      "rejected_flags": [
+        "--phone",
+        "--code",
+        "--password",
+        "--account",
+        "--adopt-session"
+      ]
+    },
     {
       "name": "logout",
       "flags": {},
@@ -26809,6 +26846,38 @@
         "--primary"
       ]
     },
+    {
+      "name": "member --reset-password",
+      "flags": {
+        "--reset-password": {
+          "takes_value": true,
+          "required": false,
+          "optional_value": false
+        }
+      },
+      "extra_flags": [],
+      "allowed_flags": [],
+      "params_raw": [
+        "--reset-password <USER_ID>"
+      ],
+      "params": [
+        {
+          "flag": "--reset-password",
+          "value": "USER_ID"
+        }
+      ],
+      "risk": "high-risk-write",
+      "requires_yes": true,
+      "endpoints": [
+        "POST /admin/users/{id}/password/reset"
+      ],
+      "examples": [
+        "xinhe-oa-cli member --reset-password usr_123 --yes --json"
+      ],
+      "output_schema": "{user, temporary_password, expires_at, sessions_revoked, must_change_password}（临时口令只显示一次，30 分钟有效）",
+      "synonym_flags": [],
+      "rejected_flags": []
+    },
     {
       "name": "config --list",
       "flags": {

package/src/version.js

@@ -6,7 +6,7 @@
 //
 // 这个常量与 `package.json` 的 `version` **必须一致**：`test/version.test.js`
 // 会逐字比对，`npm version` 之后忘了改这里就会红。
-export const VERSION = '0.2.4';
+export const VERSION = '0.2.5';
 
 /**
  * npm 包名（升级指引 `npm i -g <包名>@latest` 与 `doctor` 的 npm 探测都用它）。