agentworkshop 0.8.6 → 0.8.8

package/server/schemas/user.schema.ts

@@ -1,74 +1,74 @@
-import { z } from 'zod'
-
-/**
- * 用户模块请求契约（Zod 校验）
- * 路由层通过 getValidatedQuery / readValidatedBody 消费。
- */
-
-export const userRoleSchema = z.enum(['admin', 'editor', 'user'])
-export const userStatusSchema = z.enum(['active', 'disabled'])
-
-/** 密码规则（注册/登录共用）：6-128 位，至少含字母与数字 */
-export const passwordSchema = z
-  .string()
-  .min(6, '密码至少 6 位')
-  .max(128, '密码最多 128 位')
-  .regex(/[A-Za-z]/, '密码需包含字母')
-  .regex(/[0-9]/, '密码需包含数字')
-
-/** 创建用户请求体（管理面；password 可选——缺省随机，供登录使用） */
-export const userCreateSchema = z.object({
-  name: z.string().trim().min(2, '用户名至少 2 个字符').max(32, '用户名最多 32 个字符'),
-  email: z.string().trim().email('邮箱格式不正确').max(128, '邮箱过长'),
-  password: passwordSchema.optional(),
-  role: userRoleSchema.default('user'),
-  status: userStatusSchema.default('active'),
-})
-
-/** 更新用户请求体（部分更新） */
-export const userUpdateSchema = userCreateSchema.partial()
-
-/** 用户列表查询参数（query string 由 h3 coerce 处理） */
-export const userListQuerySchema = z.object({
-  page: z.coerce.number().int().min(1).default(1),
-  pageSize: z.coerce.number().int().min(1).optional(),
-  keyword: z.string().trim().max(64, '关键词过长').optional(),
-})
-
-/** 公开注册请求体（name + email + password） */
-export const userRegisterSchema = z.object({
-  name: z.string().trim().min(2, '用户名至少 2 个字符').max(32, '用户名最多 32 个字符'),
-  email: z.string().trim().email('邮箱格式不正确').max(128, '邮箱过长'),
-  password: passwordSchema,
-})
-
-/** 登录请求体（account = 邮箱或用户名均可;字段名保留 email 兼容既有客户端） */
-export const userLoginSchema = z.object({
-  email: z.string().trim().min(1, '请输入邮箱或用户名').max(128, '过长'),
-  password: z.string().min(1, '密码不能为空').max(128, '密码过长'),
-})
-
-/** 修改本人密码请求体（首登强制改密走同一端点；需当前密码验证） */
-export const userChangePasswordSchema = z.object({
-  currentPassword: z.string().min(1, '密码不能为空').max(128, '密码过长'),
-  newPassword: passwordSchema,
-})
-
-/** 创建 API Token 请求体 */
-export const userTokenCreateSchema = z.object({
-  label: z.string().trim().max(64, '标签最多 64 字符').default(''),
-})
-
-/** 更新 API Token 请求体 */
-export const userTokenUpdateSchema = z.object({
-  label: z.string().trim().max(64, '标签最多 64 字符').min(1, '标签不能为空'),
-})
-
-export type UserCreate = z.infer<typeof userCreateSchema>
-export type UserUpdate = z.infer<typeof userUpdateSchema>
-export type UserListQueryInput = z.infer<typeof userListQuerySchema>
-export type UserRegister = z.infer<typeof userRegisterSchema>
-export type UserLogin = z.infer<typeof userLoginSchema>
-export type UserChangePassword = z.infer<typeof userChangePasswordSchema>
-export type UserTokenCreate = z.infer<typeof userTokenCreateSchema>
-export type UserTokenUpdate = z.infer<typeof userTokenUpdateSchema>
+import { z } from 'zod'
+
+/**
+ * 用户模块请求契约（Zod 校验）
+ * 路由层通过 getValidatedQuery / readValidatedBody 消费。
+ */
+
+export const userRoleSchema = z.enum(['admin', 'editor', 'user'])
+export const userStatusSchema = z.enum(['active', 'disabled'])
+
+/** 密码规则（注册/登录共用）：8-128 位，至少含字母与数字(2026-10-30 由 6 位提升) */
+export const passwordSchema = z
+  .string()
+  .min(8, '密码至少 8 位')
+  .max(128, '密码最多 128 位')
+  .regex(/[A-Za-z]/, '密码需包含字母')
+  .regex(/[0-9]/, '密码需包含数字')
+
+/** 创建用户请求体（管理面；password 可选——缺省随机，供登录使用） */
+export const userCreateSchema = z.object({
+  name: z.string().trim().min(2, '用户名至少 2 个字符').max(32, '用户名最多 32 个字符'),
+  email: z.string().trim().email('邮箱格式不正确').max(128, '邮箱过长'),
+  password: passwordSchema.optional(),
+  role: userRoleSchema.default('user'),
+  status: userStatusSchema.default('active'),
+})
+
+/** 更新用户请求体（部分更新） */
+export const userUpdateSchema = userCreateSchema.partial()
+
+/** 用户列表查询参数（query string 由 h3 coerce 处理） */
+export const userListQuerySchema = z.object({
+  page: z.coerce.number().int().min(1).default(1),
+  pageSize: z.coerce.number().int().min(1).optional(),
+  keyword: z.string().trim().max(64, '关键词过长').optional(),
+})
+
+/** 公开注册请求体（name + email + password） */
+export const userRegisterSchema = z.object({
+  name: z.string().trim().min(2, '用户名至少 2 个字符').max(32, '用户名最多 32 个字符'),
+  email: z.string().trim().email('邮箱格式不正确').max(128, '邮箱过长'),
+  password: passwordSchema,
+})
+
+/** 登录请求体（account = 邮箱或用户名均可;字段名保留 email 兼容既有客户端） */
+export const userLoginSchema = z.object({
+  email: z.string().trim().min(1, '请输入邮箱或用户名').max(128, '过长'),
+  password: z.string().min(1, '密码不能为空').max(128, '密码过长'),
+})
+
+/** 修改本人密码请求体（首登强制改密走同一端点；需当前密码验证） */
+export const userChangePasswordSchema = z.object({
+  currentPassword: z.string().min(1, '密码不能为空').max(128, '密码过长'),
+  newPassword: passwordSchema,
+})
+
+/** 创建 API Token 请求体 */
+export const userTokenCreateSchema = z.object({
+  label: z.string().trim().max(64, '标签最多 64 字符').default(''),
+})
+
+/** 更新 API Token 请求体 */
+export const userTokenUpdateSchema = z.object({
+  label: z.string().trim().max(64, '标签最多 64 字符').min(1, '标签不能为空'),
+})
+
+export type UserCreate = z.infer<typeof userCreateSchema>
+export type UserUpdate = z.infer<typeof userUpdateSchema>
+export type UserListQueryInput = z.infer<typeof userListQuerySchema>
+export type UserRegister = z.infer<typeof userRegisterSchema>
+export type UserLogin = z.infer<typeof userLoginSchema>
+export type UserChangePassword = z.infer<typeof userChangePasswordSchema>
+export type UserTokenCreate = z.infer<typeof userTokenCreateSchema>
+export type UserTokenUpdate = z.infer<typeof userTokenUpdateSchema>

package/server/services/system-config/mutate.ts

@@ -6,6 +6,7 @@ import { SystemConfigServiceSnapshot } from './snapshot'
 import type { ConfigEventPayload, Listener } from './types'
 import { AppError } from '../../utils/errors'
 import { saveSettings, validateValue } from '@/shared/config/engine.mjs'
+import { maskSecretSettings, stripMaskedSettings } from './secrets'
 
 export abstract class SystemConfigServiceMutate extends SystemConfigServiceSnapshot {
   /**
@@ -14,10 +15,15 @@ export abstract class SystemConfigServiceMutate extends SystemConfigServiceSnaps
    * @returns { changed, restartRequired, effective, sources }
    */
   patch(patch: Record<string, unknown>): { changed: string[], restartRequired: string[], effective: Record<string, unknown>, sources: Record<string, unknown> } {
+    // 前端把掩码值(***)原样回传时不得覆盖真实凭据
+    const { clean: incoming, skipped } = stripMaskedSettings(patch)
+    if (skipped.length) {
+      console.log(`[system-config] 忽略回传的掩码值(保留原凭据):${skipped.join(', ')}`)
+    }
     const errors: Record<string, string[]> = {}
     const next = { ...this.overrides }
     const changed: string[] = []
-    for (const [key, rawValue] of Object.entries(patch)) {
+    for (const [key, rawValue] of Object.entries(incoming)) {
       const desc = this.map[key]
       if (!desc) {
         errors[key] = ['未知设置项（不在 shared/config/schema.json 中）']
@@ -76,7 +82,8 @@ export abstract class SystemConfigServiceMutate extends SystemConfigServiceSnaps
   }
 
   protected eventTail() {
-    return { restartRequired: this.restartRequiredKeys(), effective: { ...this.effective }, sources: { ...this.sources }, overrides: { ...this.overrides }, at: new Date().toISOString() }
+    // 事件/返回值同样掩码:WS 订阅方与 PATCH 响应不得泄露明文凭据
+    return { restartRequired: this.restartRequiredKeys(), effective: maskSecretSettings(this.effective), sources: { ...this.sources }, overrides: maskSecretSettings(this.overrides), at: new Date().toISOString() }
   }
 
   protected result(changed: string[]): { changed: string[], restartRequired: string[], effective: Record<string, unknown>, sources: Record<string, unknown> } {

package/server/services/system-config/secrets.ts

@@ -0,0 +1,50 @@
+/**
+ * 设置面的凭据掩码(2026-10-30 安全审计 P1-3)。
+ *
+ * 缺陷原状:GET /api/system/settings 对 admin/editor 原样返回 effective,
+ * 其中 daq.mqtt.password / daq.objectstore.secretKey / memory.embed_api_key 等为明文;
+ * editor 因此可读全部运行时密钥。
+ *
+ * 语义(与 driverConfig 掩码同口径,见 shared/daq-protocol.ts maskDriverConfigSecrets):
+ *  - 出口一律掩码(admin 也只看 ***);真实值仍在服务端内部使用;
+ *  - 入口 stripMasked:前端把掩码值原样回传时**不覆盖**真实值(否则一保存就毁密钥)。
+ */
+
+/** 出口掩码值(前端原样回传时由 stripMasked 识别) */
+export const SECRET_MASK = '***'
+
+/**
+ * 键名判定:最后一段以凭据语义结尾。
+ * 用后缀匹配而非整段相等 —— `memory.embed_api_key` 的段名是 `embed_api_key`,
+ * 整段白名单会漏掉这类"前缀 + 凭据词"的键。
+ */
+const SECRET_SEGMENT = /(password|passwd|secret|token|(api|access|private|secret)_?key)$/i
+
+export function isSecretSettingKey(key: string): boolean {
+  const last = key.split('.').pop() ?? key
+  // 驼峰归一:secretKey → secretkey
+  return SECRET_SEGMENT.test(last.replace(/[A-Z]/g, c => c.toLowerCase()))
+}
+
+/** 对键值表做出口掩码(仅当值是非空字符串;其余原样) */
+export function maskSecretSettings(values: Record<string, unknown>): Record<string, unknown> {
+  const out: Record<string, unknown> = {}
+  for (const [k, v] of Object.entries(values)) {
+    out[k] = isSecretSettingKey(k) && typeof v === 'string' && v !== '' ? SECRET_MASK : v
+  }
+  return out
+}
+
+/** 入口:剔除回传的掩码值(保留键本身不动,避免误删真实覆盖) */
+export function stripMaskedSettings(patch: Record<string, unknown>): { clean: Record<string, unknown>, skipped: string[] } {
+  const clean: Record<string, unknown> = {}
+  const skipped: string[] = []
+  for (const [k, v] of Object.entries(patch)) {
+    if (v === SECRET_MASK) {
+      skipped.push(k)
+      continue
+    }
+    clean[k] = v
+  }
+  return { clean, skipped }
+}

package/server/services/system-config/snapshot.ts

@@ -4,6 +4,7 @@
  */
 import { SystemConfigServiceRecompute } from './recompute'
 import type { PublicSnapshot } from './types'
+import { maskSecretSettings } from './secrets'
 import { errorText } from './helpers'
 import { existsSync, watch } from 'node:fs'
 import { join } from 'node:path'
@@ -36,11 +37,12 @@ export abstract class SystemConfigServiceSnapshot extends SystemConfigServiceRec
   /* ---------------- 公共 API ---------------- */
 
   snapshot(): PublicSnapshot {
+    // 凭据类键一律掩码出口(admin 也只看 ***):明文只在服务端内部使用。
     return {
       descriptors: this.allDescriptors,
       groups: this.listGroups(),
-      effective: { ...this.effective },
-      overrides: { ...this.overrides },
+      effective: maskSecretSettings(this.effective),
+      overrides: maskSecretSettings(this.overrides),
       sources: { ...this.sources },
       settingsPath: this.settingsPath,
       configPath: this.configPath,
@@ -52,6 +54,15 @@ export abstract class SystemConfigServiceSnapshot extends SystemConfigServiceRec
     return this.groupsPath
   }
 
+  /**
+   * 内部消费面:未掩码的 effective(仅进程内调用方,如插件宿主 ctx.config)。
+   * 与 snapshot() 的出口掩码语义严格区分 —— 插件桥接出站凭据需要真值;
+   * 任何 HTTP/WS 出口必须继续走 snapshot()/eventTail() 的掩码面。
+   */
+  internalEffective(): Record<string, unknown> {
+    return { ...this.effective }
+  }
+
   /** 生效的运行时设置文件路径(启动日志/排障用;经 resolveRunMode 解析,非写死的 <cwd>/data) */
   get effectiveSettingsPath(): string {
     return this.settingsPath