@yoonion/mimi-seed-mcp 0.13.1 → 0.13.3

package/dist/auth/playstore-auth.js

@@ -2,6 +2,7 @@ import { JWT } from 'google-auth-library';
 import fs from 'node:fs';
 import path from 'node:path';
 import os from 'node:os';
+import { PLAY_DEVELOPER_REPORTING_SCOPE } from './scopes.js';
 const CONFIG_DIR = path.join(os.homedir(), '.mimi-seed');
 const SA_DIR = path.join(CONFIG_DIR, 'play-service-accounts');
 const LEGACY_SA_PATH = path.join(CONFIG_DIR, 'play-service-account.json');
@@ -112,7 +113,12 @@ export function getServiceAccountClient(packageName) {
         return new JWT({
             email: parsed.client_email,
             key: parsed.private_key,
-            scopes: ['https://www.googleapis.com/auth/androidpublisher'],
+            // androidpublisher(edits/리스팅 등) + Developer Reporting(vitals 통계). 통계 도구가
+            // Reporting API 를 쓰므로 이 스코프가 없으면 SA 경로에서도 통계만 403 으로 죽는다.
+            scopes: [
+                'https://www.googleapis.com/auth/androidpublisher',
+                PLAY_DEVELOPER_REPORTING_SCOPE,
+            ],
         });
     }
     catch {

package/dist/auth/scopes.d.ts

@@ -41,8 +41,8 @@ export declare const AUTH_DOMAINS: {
     };
     readonly playstore: {
         readonly label: "Play Store";
-        readonly scopes: readonly ["https://www.googleapis.com/auth/androidpublisher"];
-        readonly summary: "playstore_* — 서비스 계정 없이 OAuth 로 하는 Play Console 작업";
+        readonly scopes: readonly ["https://www.googleapis.com/auth/androidpublisher", "https://www.googleapis.com/auth/playdeveloperreporting"];
+        readonly summary: "playstore_* — OAuth 로 하는 Play Console 작업 + Android vitals 통계";
     };
     readonly googleads: {
         readonly label: "Google Ads";
@@ -69,6 +69,16 @@ export type AuthDomainId = keyof typeof AUTH_DOMAINS;
 /** z.enum 등 튜플이 필요한 자리에 쓰는 도메인 id 목록 (선언 순서 유지). */
 export declare const DOMAIN_IDS: [AuthDomainId, ...AuthDomainId[]];
 export declare const CLOUD_PLATFORM_SCOPE: "https://www.googleapis.com/auth/cloud-platform";
+/**
+ * Play Developer Reporting API(Android vitals 통계) 전용 스코프. androidpublisher 와
+ * 별개다 — SA JWT 와 OAuth playstore 도메인 양쪽에 함께 실어야 통계 도구가 동작한다.
+ *
+ * CLOUD_PLATFORM_SCOPE 처럼 도메인 정의에서 **파생**한다(리터럴을 두 번 적지 않는다).
+ * 별도 리터럴로 두면 도메인 배열과 어긋나도 어떤 테스트도 못 잡고, SA(const 사용)와
+ * OAuth pre-flight(도메인 리터럴)가 다른 문자열을 봐 정상 로그인이 INSUFFICIENT_SCOPE 로
+ * 죽는 함정이 된다. auth-scopes.test.ts 가 값과 도메인 포함 여부를 함께 고정한다.
+ */
+export declare const PLAY_DEVELOPER_REPORTING_SCOPE: "https://www.googleapis.com/auth/playdeveloperreporting";
 /**
  * 공백 구분 scope 문자열들의 합집합. tokens.json 의 scope 는 누적(monotonic)이어야 하므로
  * 로그인/갱신 시 기존 기록 + 새 응답을 합쳐 저장하는 데 쓴다. undefined/빈 문자열은 무시.

package/dist/auth/scopes.js

@@ -37,8 +37,14 @@ export const AUTH_DOMAINS = {
     },
     playstore: {
         label: 'Play Store',
-        scopes: ['https://www.googleapis.com/auth/androidpublisher'],
-        summary: 'playstore_* — 서비스 계정 없이 OAuth 로 하는 Play Console 작업',
+        scopes: [
+            'https://www.googleapis.com/auth/androidpublisher',
+            // Android vitals 통계(playstore_get_statistics)는 Play Developer Reporting API 를
+            // 쓰는데 androidpublisher 와 별개 스코프가 필요하다. 빠져 있으면 통계만 런타임
+            // 403(ACCESS_TOKEN_SCOPE_INSUFFICIENT)으로 죽고, 다른 Play 도구는 멀쩡해 원인 추적이 어렵다.
+            'https://www.googleapis.com/auth/playdeveloperreporting',
+        ],
+        summary: 'playstore_* — OAuth 로 하는 Play Console 작업 + Android vitals 통계',
     },
     googleads: {
         label: 'Google Ads',
@@ -70,6 +76,16 @@ export const AUTH_DOMAINS = {
 /** z.enum 등 튜플이 필요한 자리에 쓰는 도메인 id 목록 (선언 순서 유지). */
 export const DOMAIN_IDS = Object.keys(AUTH_DOMAINS);
 export const CLOUD_PLATFORM_SCOPE = AUTH_DOMAINS.gcp.scopes[0];
+/**
+ * Play Developer Reporting API(Android vitals 통계) 전용 스코프. androidpublisher 와
+ * 별개다 — SA JWT 와 OAuth playstore 도메인 양쪽에 함께 실어야 통계 도구가 동작한다.
+ *
+ * CLOUD_PLATFORM_SCOPE 처럼 도메인 정의에서 **파생**한다(리터럴을 두 번 적지 않는다).
+ * 별도 리터럴로 두면 도메인 배열과 어긋나도 어떤 테스트도 못 잡고, SA(const 사용)와
+ * OAuth pre-flight(도메인 리터럴)가 다른 문자열을 봐 정상 로그인이 INSUFFICIENT_SCOPE 로
+ * 죽는 함정이 된다. auth-scopes.test.ts 가 값과 도메인 포함 여부를 함께 고정한다.
+ */
+export const PLAY_DEVELOPER_REPORTING_SCOPE = AUTH_DOMAINS.playstore.scopes[1];
 function dedupe(scopes) {
     return [...new Set(scopes)];
 }

package/dist/helpers.d.ts

@@ -18,6 +18,6 @@ export declare const APPSTORE_AUTH_HINT: string;
  * 별도 서비스 계정 JSON 을 받지 않아도 대부분의 Play 작업이 가능하다.
  * (서비스 계정은 서버/헤드리스 — onesub 영수증 검증 등 — 용도로 계속 우선 적용.)
  */
-export declare function requirePlayStoreAuth(packageName?: string): import("google-auth-library").OAuth2Client;
+export declare function requirePlayStoreAuth(packageName?: string, requiredScope?: string): import("google-auth-library").OAuth2Client;
 export declare function requireServiceAccountJson(packageName?: string): string;
 export declare function requireAppStoreCreds(): import("./appstore/auth.js").AppStoreCredentials;

package/dist/helpers.js

@@ -15,6 +15,39 @@ function formatAuthError(p) {
         .filter((l) => l !== '')
         .join('\n');
 }
+/**
+ * 도구가 요구하는 스코프의 pre-flight 검사. expiry 만 보는 ensureFreshAccessToken 은
+ * 스코프 미보유를 못 걸러내므로(런타임 ACCESS_TOKEN_SCOPE_INSUFFICIENT), 저장된 scope 로
+ * 결정적인 안내를 던진다. 도메인 선택형 로그인 도입 후에는 "전체 재로그인"이 아니라
+ * "--domains <해당 도메인> 으로 추가 부여(기존 권한 유지)"가 올바른 해법이다.
+ *
+ * scope 가 undefined 인 구 토큰(스코프 추적 도입 전 full-scope 로그인)은 추적 도입
+ * 이전부터 있던 스코프는 보유한 게 확실하므로 통과시킨다 — 안 그러면 pre-flight 를 새로
+ * 다는 순간 멀쩡한 기존 사용자에게 재로그인을 강제한다. 추적 이후 추가된 스코프(GA4,
+ * Play Developer Reporting)만 미보유 확정으로 본다.
+ *
+ * OAuth 토큰에만 적용된다 — SA JWT 는 자체 scopes 로 토큰을 받으므로 이 검사 대상이 아니다.
+ */
+function assertStoredScope(requiredScope) {
+    if (!requiredScope)
+        return;
+    const scopeStr = getStoredTokens()?.scope;
+    const missing = scopeStr === undefined
+        ? !isPreTrackingScope(requiredScope)
+        : !scopeStr.split(' ').filter(Boolean).includes(requiredScope);
+    if (!missing)
+        return;
+    const domainArg = domainsForScope(requiredScope).join(',');
+    throw new Error(formatAuthError({
+        code: 'INSUFFICIENT_SCOPE',
+        message: `이 도구는 추가 권한이 필요해 (${requiredScope}). 현재 로그인에 그 권한이 없어.`,
+        hint: domainArg
+            ? `mimi-seed-auth --domains ${domainArg} 로 재로그인하면 기존 권한은 유지한 채 이 권한만 추가돼.`
+            : 'mimi-seed-auth 로 재로그인하면 새 권한이 부여돼.',
+        retriable: false,
+        needsReauth: true,
+    }));
+}
 /**
  * OAuth 클라이언트 확보 — 호출 전에 access_token 을 사전 갱신하고,
  * refresh_token 이 만료/누락이면 raw googleapis 에러(invalid_grant 등) 대신
@@ -38,33 +71,7 @@ export async function requireAuth(requiredScope) {
             needsReauth: true,
         }));
     }
-    // 도구가 요구하는 스코프의 pre-flight 검사. expiry 만 보는 ensureFreshAccessToken 은
-    // 스코프 미보유를 못 걸러내므로(런타임 ACCESS_TOKEN_SCOPE_INSUFFICIENT), 저장된 scope 로
-    // 결정적인 안내를 던진다. 도메인 선택형 로그인 도입 후에는 "전체 재로그인"이 아니라
-    // "--domains <해당 도메인> 으로 추가 부여(기존 권한 유지)"가 올바른 해법이다.
-    //
-    // scope 가 undefined 인 구 토큰(스코프 추적 도입 전 full-scope 로그인)은 추적 도입
-    // 이전부터 있던 스코프는 보유한 게 확실하므로 통과시킨다 — 안 그러면 pre-flight 를 새로
-    // 다는 순간 멀쩡한 기존 사용자에게 재로그인을 강제한다. 추적 이후 추가된 스코프(GA4)만
-    // 미보유 확정으로 본다.
-    if (requiredScope) {
-        const scopeStr = getStoredTokens()?.scope;
-        const missing = scopeStr === undefined
-            ? !isPreTrackingScope(requiredScope)
-            : !scopeStr.split(' ').filter(Boolean).includes(requiredScope);
-        if (missing) {
-            const domainArg = domainsForScope(requiredScope).join(',');
-            throw new Error(formatAuthError({
-                code: 'INSUFFICIENT_SCOPE',
-                message: `이 도구는 추가 권한이 필요해 (${requiredScope}). 현재 로그인에 그 권한이 없어.`,
-                hint: domainArg
-                    ? `mimi-seed-auth --domains ${domainArg} 로 재로그인하면 기존 권한은 유지한 채 이 권한만 추가돼.`
-                    : 'mimi-seed-auth 로 재로그인하면 새 권한이 부여돼.',
-                retriable: false,
-                needsReauth: true,
-            }));
-        }
-    }
+    assertStoredScope(requiredScope);
     return client;
 }
 export const PLAY_AUTH_HINT = [
@@ -95,13 +102,17 @@ export const APPSTORE_AUTH_HINT = [
  * 별도 서비스 계정 JSON 을 받지 않아도 대부분의 Play 작업이 가능하다.
  * (서비스 계정은 서버/헤드리스 — onesub 영수증 검증 등 — 용도로 계속 우선 적용.)
  */
-export function requirePlayStoreAuth(packageName) {
+export function requirePlayStoreAuth(packageName, requiredScope) {
     const sa = getServiceAccountClient(packageName);
     if (sa)
         return sa;
     const oauth = getAuthenticatedClient();
-    if (oauth)
+    if (oauth) {
+        // OAuth 폴백일 때만 스코프 pre-flight — SA JWT 는 자체 scopes 로 토큰을 받으므로
+        // (getServiceAccountClient 가 reporting 스코프를 이미 싣는다) 해당 없음.
+        assertStoredScope(requiredScope);
         return oauth;
+    }
     throw new Error(PLAY_AUTH_HINT);
 }
 export function requireServiceAccountJson(packageName) {

package/dist/registers/playstore.js

@@ -4,6 +4,7 @@ import { friendlyPlayError } from '../playstore/errors.js';
 import { saveServiceAccountJsonForPackage, listRegisteredServiceAccounts, deleteServiceAccountJsonForPackage, } from '../auth/playstore-auth.js';
 import { createGoogleOneTimePurchase, createGoogleSubscription, updateGoogleProduct, deleteGoogleProduct, listGoogleProducts, } from '@onesub/providers';
 import { requirePlayStoreAuth, requireServiceAccountJson, requireAuth } from '../helpers.js';
+import { PLAY_DEVELOPER_REPORTING_SCOPE } from '../auth/scopes.js';
 import * as iam from '../iam/tools.js';
 import { buildPlayStoreReleasePlan } from '../checks/plan.js';
 import { validatePlayReleaseNotes, formatIssuesForUser } from '../lib/text-validators.js';
@@ -115,7 +116,9 @@ export function registerPlaystoreTools(server) {
         userCohort: z.enum(['OS_PUBLIC', 'APP_TESTERS', 'OS_BETA']).optional().describe('사용자 cohort'),
         timeZone: z.string().optional().describe('날짜 기준 timezone. 기본: America/Los_Angeles (Play Reporting API 샘플/지원 기준)'),
     }, async (args) => {
-        const auth = requirePlayStoreAuth(args.packageName);
+        // 통계는 Play Developer Reporting API 를 쓰므로 OAuth 폴백 시 reporting 스코프를
+        // 요구한다. 미보유면 generic 403 대신 "--domains playstore 재로그인" 안내가 나간다.
+        const auth = requirePlayStoreAuth(args.packageName, PLAY_DEVELOPER_REPORTING_SCOPE);
         const result = await playstore.getStatistics(auth, args.packageName, args);
         return { content: [{ type: 'text', text: JSON.stringify(result, null, 2) }] };
     });

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@yoonion/mimi-seed-mcp",
-  "version": "0.13.1",
+  "version": "0.13.3",
   "description": "Mimi Seed MCP server — Firebase + AdMob + Google Play + App Store management for Claude Code / Codex / Cursor / any MCP client.",
   "type": "module",
   "bin": {