dsh-agentone 0.5.0

package/README.md

@@ -0,0 +1,104 @@
+# dsh-agentone
+
+AgentOne 平台集成插件（dsh web 版 / 桌面版通用）。安装后让独立 dsh 接入公司
+AgentOne 平台：飞书登录、平台模型、SkillHub 技能、套餐申请、dsh 插件管理、
+lark-cli / ccpg-cli 状态探测。
+
+## 能力总览（M1–M4 已全部交付）
+
+- **飞书登录（M1）**：设备登录流（一次性授权码），凭据保存在本机
+  `$DSH_HOME/agentone/credentials.json`（0600）。access 令牌临期自动轮换
+  （single-flight），refresh 失效自动回到未登录态。
+- **平台模型（M2）**：登录后自动把 dsh 的 llm provider 指向 AgentOne
+  OpenAI 兼容代理（`/api/plugin/v1`），模型密钥不下发到本机；对话经平台
+  走 TokenHub 按用户计量。平台 403 的 `plan_required` 错误码原样透传，
+  前端据此引导申请套餐（不依赖中文文案匹配）。
+- **SkillHub 技能（M3）**：套餐技能启动/登录时自动装齐；技能市场搜索、
+  手动安装/卸载；技能包 zip 走平台代理下载（穿越清洗 + 原子落盘）。
+- **套餐申请（M3+）**：状态页「套餐」tab 展示当前套餐/审批中/可申请列表，
+  一键提交申请；审批通过后前端轮询检测到 active 自动同步模型。
+- **dsh 插件管理（M3+）**：列出镜像内置与用户自装插件（版本/升级/激活态），
+  内置插件缺失时启动自动重装；自身随平台镜像升级（列表中不提供按钮）。
+- **CLI 探测（M4）**：`lark-cli` / `ccpg-cli` 安装与授权态三态探测。
+- **首启引导**：dsh 首次启动弹出飞书登录引导（order -50，早于官方
+  「添加 API Key」），登录一次即跳过官方密钥引导；暗色主题适配。
+
+所有平台请求统一走 `lib/http.js`（默认 10s 超时、技能包下载 60s），
+平台挂起时快速失败并给出中文提示，不会吊死状态页轮询。
+
+## 安装
+
+```bash
+dsh plugin --profile web add dsh-agentone
+```
+
+平台托管镜像集成：`docker/dsh/Dockerfile.default` 默认插件块（见
+`plugins/README.md` 全流程）。
+
+## 使用
+
+打开 dsh web 的 `/agentone/` 页面（或 dsh 设置 → AgentOne）→「飞书登录」→
+浏览器完成平台飞书 OAuth → 自动跳回并显示已登录账号。授权完成页会等待
+模型配置就绪后自动关闭；配置失败时展示原因并提供「重试同步」。
+
+登录成功后插件自动完成模型配置（也可点「重新同步模型」手动触发）：
+
+- `$DSH_HOME/settings.yaml` 写入 `llm-pi-ai.providers.platform`（指向平台
+  `/api/plugin/v1` 代理）与 `agent-default-model`，dsh 模型选择器出现
+  「平台模型」；
+- `$DSH_HOME/.credentials.yaml` 写入 `refs.AGENTONE_API_KEY`（0600），内容
+  是 30 天插件令牌而非真实模型密钥——密钥不出平台，TokenHub 按用户计量；
+- 只覆盖 `platform` 命名空间，用户自己配置的其它 provider 原样保留；
+- 「退出登录」（页头按钮）会吊销平台令牌、移除凭据引用与 platform
+  provider（其它 provider 的默认模型设置不受影响）；凭据文件损坏时也能
+  正常退出（坏文件移开为 `credentials.json.corrupt`）。
+
+登录流（与平台 `app/api/plugin_auth.py` 契约）：
+
+```
+插件页 ──POST /agentone/api/login──▶ 本插件后端
+       ◀─ {login_url} ──
+浏览器 ──login_url──▶ 平台飞书 OAuth ──▶ /api/auth/plugin/landing
+       landing(JS, Bearer) ──POST /api/auth/plugin/grant──▶ {redirect_url(一次性 code)}
+浏览器 ──redirect_url──▶ 本插件 /agentone/callback?code
+       插件后端 ──POST /api/auth/plugin/exchange──▶ {access_token}
+       （存本机 0600，state 比对防 CSRF）
+```
+
+所有写操作接口仅接受 `Content-Type: application/json` 的请求，阻止跨站
+表单伪造 JSON POST。
+
+## 配置（dsh settings）
+
+| 字段 | 默认 | 说明 |
+| --- | --- | --- |
+| `platformUrl` | `https://ccpg.one.agentone.work` | AgentOne 平台地址（本地开发用 profile `cordis.patch.yml` 覆盖为 `http://127.0.0.1:8558`） |
+| `storeDir` | `$DSH_HOME/agentone` | 凭据目录 |
+
+密钥类值一律不进 settings，仅落 `credentials.json`（0600）。
+
+## 模块结构
+
+```
+lib/
+  index.js   路由与业务编排（登录/状态/技能/套餐/插件/CLI）
+  page.js    状态页与授权完成页的 HTML/CSS/JS 模板（纯静态）
+  http.js    平台请求统一通道（超时、错误码透传）
+  auth.js    登录流、令牌轮换/吊销、能力面/套餐 API
+  model.js   平台模型 → settings.yaml / .credentials.yaml
+  skill.js   技能下载/解包/卸载（zip 穿越清洗、原子落盘）
+  store.js   凭据持久化（0600；损坏自动移开）
+  proc.js    dsh/pnpm CLI 转发与 lark-cli/ccpg-cli 探测
+  client.js  dsh 浏览器端 bundle（设置菜单 iframe + 首启引导）
+```
+
+## 开发
+
+```bash
+# 本地路径安装调试（无需发包）
+dsh plugin --profile web add /path/to/plugins/dsh/dsh-agentone
+```
+
+无构建步骤（纯 ESM JS）；运行时 peer 依赖 `@deepseek-ai/cordis` /
+`@deepseek-ai/schemastery` 由 dsh host 提供。测试：`npm install && node --test`
+（YAML 合并/登出清理语义、路由冒烟、凭据容错、令牌轮换等）。

package/cordis.patch.yml

@@ -0,0 +1,5 @@
+# dsh-agentone bundle patch：把插件插入 profile 的 layer stack。
+# 安装：dsh plugin --profile web add dsh-agentone
+- insert:
+    - id: agentone
+      name: dsh-agentone

package/lib/auth.js

@@ -0,0 +1,111 @@
+// AgentOne 设备登录流（一次性授权码）。
+//
+// 流程（与平台 app/api/plugin_auth.py 契约对应）：
+//   1. buildLoginUrl：拼平台飞书 OAuth 入口，redirect 指向平台 landing 页并
+//      携带 callback_url/state（经飞书 OAuth state 往返透传）；
+//   2. 浏览器完成飞书登录 → landing 页用平台令牌换一次性 code → 跳转
+//      callback_url（即本插件的 /agentone/callback 路由）；
+//   3. exchangeCode：code 换新签发的平台访问令牌。
+import { randomBytes } from 'node:crypto';
+
+import { PlatformError, platformError, platformFetch } from './http.js';
+
+export function newLoginState() {
+  return randomBytes(16).toString('hex');
+}
+
+export function buildLoginUrl(platformUrl, callbackUrl, state) {
+  const landing = `/api/auth/plugin/landing?callback_url=${encodeURIComponent(callbackUrl)}&state=${encodeURIComponent(state)}`;
+  const redirect = encodeURIComponent(landing);
+  return `${platformUrl.replace(/\/+$/, '')}/api/auth/feishu/login?redirect=${redirect}`;
+}
+
+export async function exchangeCode(platformUrl, code) {
+  const response = await platformFetch(`${platformUrl.replace(/\/+$/, '')}/api/auth/plugin/exchange`, {
+    method: 'POST',
+    headers: { 'Content-Type': 'application/json' },
+    body: JSON.stringify({ code }),
+  });
+  if (!response.ok) {
+    throw await platformError(response, '授权码校验失败，请重新登录');
+  }
+  return response.json();
+}
+
+/** refresh token 轮换：返回新 access/refresh；401 时 error.status=401（会话已死）。 */
+export async function refreshPlatformToken(platformUrl, refreshToken) {
+  const response = await platformFetch(`${platformUrl.replace(/\/+$/, '')}/api/plugin/v1/token/refresh`, {
+    method: 'POST',
+    headers: { 'Content-Type': 'application/json' },
+    body: JSON.stringify({ refresh_token: refreshToken }),
+  });
+  if (!response.ok) {
+    throw await platformError(response, '刷新登录失败');
+  }
+  return response.json();
+}
+
+/** 登出吊销 refresh token（尽力而为，失败不阻断登出）。 */
+export async function revokePlatformToken(platformUrl, refreshToken) {
+  try {
+    await platformFetch(`${platformUrl.replace(/\/+$/, '')}/api/plugin/v1/token/revoke`, {
+      method: 'POST',
+      headers: { 'Content-Type': 'application/json' },
+      body: JSON.stringify({ refresh_token: refreshToken }),
+    });
+  } catch {
+    // 平台不可达时本地凭据仍会清除；下次登录会签发新 token
+  }
+}
+
+/** 拉取平台能力面（开关/套餐）；失败返回 null，调用方按能力未知处理。 */
+export async function fetchPlatformCapabilities(platformUrl, accessToken) {
+  try {
+    const response = await platformFetch(`${platformUrl.replace(/\/+$/, '')}/api/plugin/v1/capabilities`, {
+      headers: { Authorization: `Bearer ${accessToken}` },
+    });
+    if (!response.ok) return null;
+    return await response.json();
+  } catch {
+    return null;
+  }
+}
+
+/** 用平台令牌调 /api/me 取账号信息；失败返回 null（令牌可能已过期）。 */
+export async function fetchPlatformProfile(platformUrl, accessToken) {
+  try {
+    const response = await platformFetch(`${platformUrl.replace(/\/+$/, '')}/api/me`, {
+      headers: { Authorization: `Bearer ${accessToken}` },
+    });
+    if (!response.ok) return null;
+    return await response.json();
+  } catch {
+    return null;
+  }
+}
+
+/** 套餐状态聚合（state ∈ none|pending|active|expired + 可申请套餐）。失败抛中文错误。 */
+export async function fetchPlatformPlan(platformUrl, accessToken) {
+  const response = await platformFetch(`${platformUrl.replace(/\/+$/, '')}/api/plugin/v1/plan`, {
+    headers: { Authorization: `Bearer ${accessToken}` },
+  });
+  if (!response.ok) {
+    throw await platformError(response, '获取套餐状态失败');
+  }
+  return response.json();
+}
+
+/** 提交套餐申请；平台规则冲突（重复待审/已有套餐等）抛其中文错误。 */
+export async function applyPlatformPlan(platformUrl, accessToken, planId, message) {
+  const response = await platformFetch(`${platformUrl.replace(/\/+$/, '')}/api/plugin/v1/plan/apply`, {
+    method: 'POST',
+    headers: { Authorization: `Bearer ${accessToken}`, 'Content-Type': 'application/json' },
+    body: JSON.stringify({ plan_id: planId, message }),
+  });
+  if (!response.ok) {
+    throw await platformError(response, '套餐申请提交失败');
+  }
+  return response.json();
+}
+
+export { PlatformError };

package/lib/client.js

@@ -0,0 +1,218 @@
+// dsh-agentone 浏览器端 bundle：设置菜单 + 首启引导。
+//
+// 两个 slot 注册（fiber inject 只声明短服务名 'slots'——写包名会让 web boot
+// 挂起；包名级依赖在 package.json dsh.client.inject，两套语义不能混）：
+//
+//   settings.section    设置弹窗「AgentOne」区（iframe 嵌宿主 /agentone/ 页）
+//   settings.onboarding 首启引导步骤（order -50，早于官方「添加 API Key」
+//                       的 order 0）——平台用户登录一次，官方引导因已有可用
+//                       provider 自动跳过，不再被要求填 DeepSeek 官方密钥。
+//
+// 引导组件运行在 dsh web 原生 origin（非 iframe），直接 fetch 插件路由；
+// 登录在新标签页完成（顶层上下文，避开跨源 iframe localStorage 分区），
+// 本组件轮询 /agentone/api/status，登录成功即 complete()。
+window.__ModuleLoader__.load({
+  id: 'dsh-agentone',
+  factory: (require) => {
+    const React = require('react');
+
+    function AgentOneSection() {
+      return React.createElement('iframe', {
+        src: '/agentone/',
+        title: 'AgentOne',
+        style: {
+          border: 'none',
+          width: '100%',
+          height: '100%',
+          minHeight: '480px',
+          borderRadius: '12px',
+          background: 'transparent',
+        },
+      });
+    }
+
+    // 暗色适配：跟随系统 prefers-color-scheme（dsh 主题跟随系统时口径一致）
+    const overlayStyle = {
+      position: 'fixed',
+      inset: '0',
+      zIndex: '60',
+      display: 'flex',
+      alignItems: 'center',
+      justifyContent: 'center',
+      background: 'rgba(15, 18, 25, 0.55)',
+      fontFamily: 'system-ui, -apple-system, "PingFang SC", sans-serif',
+    };
+    const cardStyle = {
+      width: 'min(460px, calc(100vw - 48px))',
+      background: 'var(--agentone-card, #ffffff)',
+      color: 'var(--agentone-text, #1f2328)',
+      borderRadius: '16px',
+      padding: '28px 28px 24px',
+      boxShadow: '0 24px 64px rgba(15, 18, 25, 0.28)',
+    };
+    const titleStyle = { margin: '0 0 10px', fontSize: '19px', fontWeight: '600' };
+    const bodyStyle = {
+      margin: '0 0 20px',
+      fontSize: '14px',
+      lineHeight: '1.7',
+      color: 'var(--agentone-muted, #57606a)',
+    };
+    const primaryBtn = {
+      padding: '9px 22px',
+      fontSize: '14px',
+      borderRadius: '10px',
+      border: 'none',
+      cursor: 'pointer',
+      background: '#2f6feb',
+      color: '#fff',
+      marginRight: '10px',
+    };
+    const secondaryBtn = {
+      ...primaryBtn,
+      background: 'var(--agentone-hover, #f2f3f5)',
+      color: 'var(--agentone-text, #3c434d)',
+      marginRight: '0',
+    };
+    // 变量注入一次：暗色下换一套卡片/文字颜色，亮色维持原值
+    let themeInjected = false;
+    function injectTheme() {
+      if (themeInjected) return;
+      themeInjected = true;
+      const style = document.createElement('style');
+      style.textContent = [
+        '@media (prefers-color-scheme: dark) { .agentone-onboarding-root {',
+        '  --agentone-card: #161b22; --agentone-text: #e6edf3;',
+        '  --agentone-muted: #9ea7b3; --agentone-hover: #21262d;',
+        '} }',
+      ].join('');
+      document.head.appendChild(style);
+    }
+
+    function AgentOneOnboarding(props) {
+      const { complete } = props;
+      const [phase, setPhase] = React.useState('checking'); // checking | idle | waiting
+      const [error, setError] = React.useState('');
+
+      React.useEffect(() => {
+        let cancelled = false;
+        (async () => {
+          try {
+            const response = await fetch('/agentone/api/status');
+            const status = await response.json();
+            if (!cancelled && status?.logged_in) complete();
+            else if (!cancelled) setPhase('idle');
+          } catch {
+            if (!cancelled) setPhase('idle');
+          }
+        })();
+        return () => {
+          cancelled = true;
+        };
+      }, [complete]);
+
+      const startLogin = async () => {
+        setError('');
+        try {
+          const response = await fetch('/agentone/api/login', {
+            method: 'POST',
+            headers: { 'Content-Type': 'application/json' },
+            body: JSON.stringify({ callback_url: `${location.origin}/agentone/callback` }),
+          });
+          const data = await response.json();
+          if (!response.ok) {
+            setError(data.error || '发起登录失败');
+            return;
+          }
+          window.open(data.login_url, '_blank');
+          setPhase('waiting');
+        } catch {
+          setError('发起登录失败，请检查本机插件是否运行');
+        }
+      };
+
+      React.useEffect(() => {
+        if (phase !== 'waiting') return;
+        const timer = setInterval(async () => {
+          try {
+            const response = await fetch('/agentone/api/status');
+            const status = await response.json();
+            if (status?.logged_in) {
+              clearInterval(timer);
+              complete();
+            }
+          } catch {
+            /* 平台暂不可达时继续等 */
+          }
+        }, 2000);
+        return () => clearInterval(timer);
+      }, [phase, complete]);
+
+      if (phase === 'checking') return null;
+
+      injectTheme();
+      return React.createElement(
+        'div',
+        { style: overlayStyle, className: 'agentone-onboarding-root' },
+        React.createElement(
+          'div',
+          { style: cardStyle },
+          React.createElement('h2', { style: titleStyle }, '登录 AgentOne 平台'),
+          React.createElement(
+            'p',
+            { style: bodyStyle },
+            phase === 'waiting'
+              ? '已打开授权窗口，完成飞书授权后这里会自动继续…'
+              : '使用公司飞书账号登录，公司托管的模型与技能会自动配置，无需任何 API Key。',
+          ),
+          error
+            ? React.createElement('p', { style: { ...bodyStyle, color: '#c0392b' } }, error)
+            : null,
+          React.createElement(
+            'div',
+            null,
+            React.createElement(
+              'button',
+              {
+                style: phase === 'waiting' ? { ...primaryBtn, opacity: 0.7 } : primaryBtn,
+                onClick: startLogin,
+                disabled: phase === 'waiting',
+              },
+              phase === 'waiting' ? '等待授权…' : '飞书登录',
+            ),
+            React.createElement(
+              'button',
+              { style: secondaryBtn, onClick: complete },
+              '暂不登录',
+            ),
+          ),
+        ),
+      );
+    }
+
+    function apply(ctx) {
+      ctx.slots.inject('settings.section', () =>
+        ctx.slots.register(
+          {
+            name: 'settings.section',
+            id: 'agentone',
+            order: 90,
+            label: () => 'AgentOne',
+          },
+          AgentOneSection,
+        ),
+      );
+      ctx.slots.inject('settings.onboarding', () =>
+        ctx.slots.register(
+          {
+            name: 'settings.onboarding',
+            id: 'agentone-login',
+            order: -50,
+          },
+          AgentOneOnboarding,
+        ),
+      );
+    }
+
+    return { name: 'agentone', inject: ['slots'], apply };
+  },
+});

package/lib/http.js

@@ -0,0 +1,41 @@
+// 平台请求统一通道：所有访问 AgentOne 平台的 fetch 都过这里。
+// 之前各模块裸 fetch，平台一旦挂起，状态页 5s 轮询与启动同步链全部吊死；
+// 这里统一挂超时中止（默认 10s，技能包下载单独放宽到 60s），并把平台
+// 错误体的 code（如 plan_required）带回调用方，不再只留中文文案。
+const DEFAULT_TIMEOUT_MS = 10_000;
+
+/** 平台错误：message 面向用户（中文），status/code 供调用方分支判断。 */
+export class PlatformError extends Error {
+  constructor(message, { status = 0, code = null } = {}) {
+    super(message);
+    this.name = 'PlatformError';
+    this.status = status;
+    this.code = code;
+  }
+}
+
+/**
+ * 从平台错误响应体解析错误。平台同时存在 FastAPI detail 形态与 OpenAI
+ * 兼容 error 形态（plugin_gateway），两种都认，取 message/code。
+ */
+export async function platformError(response, fallbackMessage) {
+  const data = await response.json().catch(() => ({}));
+  return new PlatformError(data?.detail || data?.error?.message || fallbackMessage, {
+    status: response.status,
+    code: data?.error?.code || data?.code || null,
+  });
+}
+
+/** 带超时的平台请求：超时/中止转成中文 PlatformError，其余原样抛出。 */
+export async function platformFetch(url, options = {}, timeoutMs = DEFAULT_TIMEOUT_MS) {
+  let response;
+  try {
+    response = await fetch(url, { ...options, signal: AbortSignal.timeout(timeoutMs) });
+  } catch (error) {
+    if (error?.name === 'TimeoutError' || error?.name === 'AbortError') {
+      throw new PlatformError('连接 AgentOne 平台超时，请稍后重试');
+    }
+    throw error;
+  }
+  return response;
+}