dsh-agentone 0.5.37 → 0.5.38

package/README.md

@@ -1,14 +1,15 @@
 # dsh-agentone
 
 AgentOne 平台集成插件（dsh web 版 / 桌面版通用）。安装后让独立 dsh 接入公司
-AgentOne 平台：飞书登录、平台模型、SkillHub 技能、套餐申请、dsh 插件管理、
+AgentOne 平台：IDOne 登录、平台模型、SkillHub 技能、套餐申请、dsh 插件管理、
 lark-cli / ccpg-cli 状态探测。
 
 ## 能力总览（M1–M4 已全部交付）
 
-- **飞书登录（M1）**：设备登录流（一次性授权码），凭据保存在本机
-  `$DSH_HOME/agentone/credentials.json`（0600）。access 令牌临期自动轮换
-  （single-flight），refresh 失效自动回到未登录态。
+- **平台登录（M1）**：设备登录流（一次性授权码），入口按平台能力面自动
+  路由——平台开启邮箱锚点模式（IDOne 统一登录）时走 IDOne，否则回退
+  飞书；凭据保存在本机 `$DSH_HOME/agentone/credentials.json`（0600）。
+  access 令牌临期自动轮换（single-flight），refresh 失效自动回到未登录态。
 - **平台模型（M2）**：登录后自动把 dsh 的 llm provider 指向 AgentOne
   OpenAI 兼容代理（`/api/plugin/v1`），模型密钥不下发到本机；对话经平台
   走 TokenHub 按用户计量。平台 403 的 `plan_required` 错误码原样透传，
@@ -46,7 +47,7 @@ lark-cli / ccpg-cli 状态探测。
   每个会话基线加载，project 级指令优先）；幂等不重复注入，用户已有语言
   偏好或删除标记块后不再介入（本机只做一次决策，记录于
   `$DSH_HOME/agentone/language-default.json`）。
-- **首启引导**：dsh 首次启动弹出飞书登录引导（order -50，早于官方
+- **首启引导**：dsh 首次启动弹出平台登录引导（order -50，早于官方
   「添加 API Key」），登录一次即跳过官方密钥引导；暗色主题适配。
 
 所有平台请求统一走 `lib/http.js`（默认 10s 超时、技能包下载 60s），
@@ -63,8 +64,9 @@ dsh plugin --profile web add dsh-agentone
 
 ## 使用
 
-打开 dsh web 的 `/agentone/` 页面（或 dsh 设置 → AgentOne）→「飞书登录」→
-浏览器完成平台飞书 OAuth → 自动跳回并显示已登录账号。授权完成页会等待
+打开 dsh web 的 `/agentone/` 页面（或 dsh 设置 → AgentOne）→「IDOne 登录」
+（平台未开启统一登录时为「飞书登录」）→ 浏览器完成平台 OAuth → 自动跳回
+并显示已登录账号。授权完成页会等待
 模型配置就绪后自动关闭；配置失败时展示原因并提供「重试同步」。
 
 登录成功后插件自动完成模型配置（也可点「重新同步模型」手动触发）：
@@ -88,8 +90,8 @@ dsh plugin --profile web add dsh-agentone
 
 ```
 插件页 ──POST /agentone/api/login──▶ 本插件后端
-       ◀─ {login_url} ──
-浏览器 ──login_url──▶ 平台飞书 OAuth ──▶ /api/auth/plugin/landing
+       ◀─ {login_url, provider} ──
+浏览器 ──login_url──▶ 平台 OAuth（IDOne 优先，飞书兜底）──▶ /api/auth/plugin/landing
        landing(JS, Bearer) ──POST /api/auth/plugin/grant──▶ {redirect_url(一次性 code)}
 浏览器 ──redirect_url──▶ 本插件 /agentone/callback?code
        插件后端 ──POST /api/auth/plugin/exchange──▶ {access_token}

package/lib/auth.js

@@ -1,10 +1,12 @@
 // AgentOne 设备登录流（一次性授权码）。
 //
 // 流程（与平台 app/api/plugin_auth.py 契约对应）：
-//   1. buildLoginUrl：拼平台飞书 OAuth 入口，redirect 指向平台 landing 页并
-//      携带 callback_url/state（经飞书 OAuth state 往返透传）；
-//   2. 浏览器完成飞书登录 → landing 页用平台令牌换一次性 code → 跳转
-//      callback_url（即本插件的 /agentone/callback 路由）；
+//   1. buildLoginUrl：拼平台 OAuth 入口（IDOne 优先、飞书兜底，见
+//      pickLoginProvider），redirect 指向平台 landing 页并携带
+//      callback_url/state（经 OAuth state 往返透传）；
+//   2. 浏览器完成登录 → 平台回调页写 hermeshub_token → landing 页用平台
+//      令牌换一次性 code → 跳转 callback_url（即本插件的 /agentone/callback
+//      路由）；
 //   3. exchangeCode：code 换新签发的平台访问令牌。
 import { randomBytes } from 'node:crypto';
 
@@ -14,10 +16,37 @@ export function newLoginState() {
   return randomBytes(16).toString('hex');
 }
 
-export function buildLoginUrl(platformUrl, callbackUrl, state) {
+export function buildLoginUrl(platformUrl, callbackUrl, state, provider = 'feishu') {
   const landing = `/api/auth/plugin/landing?callback_url=${encodeURIComponent(callbackUrl)}&state=${encodeURIComponent(state)}`;
   const redirect = encodeURIComponent(landing);
-  return `${platformUrl.replace(/\/+$/, '')}/api/auth/feishu/login?redirect=${redirect}`;
+  const entry = provider === 'idone' ? '/api/auth/casdoor/login' : '/api/auth/feishu/login';
+  return `${platformUrl.replace(/\/+$/, '')}${entry}?redirect=${redirect}`;
+}
+
+/**
+ * 匿名拉取平台能力面（登录入口开关）。登录前无令牌，走公开的
+ * /api/auth/capabilities（门户登录页同源依赖）。任何失败（超时/非 2xx/
+ * 解析错）返回 null，调用方按能力未知处理。
+ */
+export async function fetchAuthCapabilities(platformUrl) {
+  try {
+    const response = await platformFetch(`${platformUrl.replace(/\/+$/, '')}/api/auth/capabilities`, {}, 3000);
+    if (!response.ok) return null;
+    return await response.json();
+  } catch {
+    return null;
+  }
+}
+
+/**
+ * 按 capabilities 选登录入口：仅当 IDOne 已启用且邮箱锚点模式开启
+ * （平台统一登录语义，未绑定用户由后端按邮箱自动认人）才走 IDOne；
+ * 其余情况（未启用 / 非锚点 / 查询失败）一律回退飞书。
+ */
+export function pickLoginProvider(caps) {
+  return caps?.casdoor_oauth_enabled === true && caps?.casdoor_email_anchor_enabled === true
+    ? 'idone'
+    : 'feishu';
 }
 
 export async function exchangeCode(platformUrl, code) {

package/lib/client.js

@@ -176,6 +176,8 @@ window.__ModuleLoader__.load({
       const { complete } = props;
       const [phase, setPhase] = React.useState('checking'); // checking | idle | waiting
       const [error, setError] = React.useState('');
+      // 登录入口名（服务端按平台能力面路由：IDOne 优先、飞书兜底）
+      const [providerName, setProviderName] = React.useState('飞书');
 
       React.useEffect(() => {
         let cancelled = false;
@@ -183,8 +185,10 @@ window.__ModuleLoader__.load({
           try {
             const response = await fetch('/agentone/api/status');
             const status = await response.json();
-            if (!cancelled && status?.logged_in) complete();
-            else if (!cancelled) setPhase('idle');
+            if (cancelled) return;
+            if (status?.login_provider === 'idone') setProviderName('IDOne');
+            if (status?.logged_in) complete();
+            else setPhase('idle');
           } catch {
             if (!cancelled) setPhase('idle');
           }
@@ -245,8 +249,8 @@ window.__ModuleLoader__.load({
             'p',
             { style: bodyStyle },
             phase === 'waiting'
-              ? '已打开授权窗口，完成飞书授权后这里会自动继续…'
-              : '使用公司飞书账号登录，公司托管的模型与技能会自动配置，无需任何 API Key。',
+              ? `已打开授权窗口，完成${providerName}授权后这里会自动继续…`
+              : `使用公司${providerName}账号登录，公司托管的模型与技能会自动配置，无需任何 API Key。`,
           ),
           error
             ? React.createElement('p', { style: { ...bodyStyle, color: '#c0392b' } }, error)
@@ -261,7 +265,7 @@ window.__ModuleLoader__.load({
                 onClick: startLogin,
                 disabled: phase === 'waiting',
               },
-              phase === 'waiting' ? '等待授权…' : '飞书登录',
+              phase === 'waiting' ? '等待授权…' : `${providerName}登录`,
             ),
             React.createElement(
               'button',

package/lib/index.js

@@ -1,9 +1,9 @@
 // dsh-agentone 主入口：挂 /agentone/* 路由（dsh webServer 原生 Node handler）。
 //
-// M1（飞书登录）页面与 API：
+// M1（登录，IDOne 优先、飞书兜底）页面与 API：
 //   GET  /agentone/                      状态页（登录/登出/模型同步状态）
-//   GET  /agentone/api/status            {platform_url, logged_in, user_email, model}
-//   POST /agentone/api/login             {callback_url} → {login_url}（浏览器打开）
+//   GET  /agentone/api/status            {platform_url, logged_in, user_email, model, login_provider}
+//   POST /agentone/api/login             {callback_url} → {login_url, provider}（浏览器打开）
 //   GET  /agentone/callback?code&state   平台 landing 跳回：换令牌后自动配置模型
 //   POST /agentone/api/logout            清除本地凭据并移除平台模型配置
 //   POST /agentone/api/model/sync        重新拉取平台模型并写入 settings.yaml
@@ -21,10 +21,12 @@ import {
   applyPlatformPlan,
   buildLoginUrl,
   exchangeCode,
+  fetchAuthCapabilities,
   fetchPlatformCapabilities,
   fetchPlatformPlan,
   fetchPlatformProfile,
   newLoginState,
+  pickLoginProvider,
   refreshPlatformToken,
   revokePlatformToken,
 } from './auth.js';
@@ -61,6 +63,29 @@ export const Config = z.object({
 /** 本次进程内的登录 CSRF state（/callback 比对后即失效）。 */
 const pendingStates = new Set();
 
+// 登录入口判定缓存：key = platformUrl（避免切换平台后沿用旧判定）。
+// 成功缓存 5 分钟（平台配置热重载后慢收敛可接受）；查询失败只缓存 30 秒
+// （避免平台瞬时抖动把入口钉死在飞书，也不让未登录状态轮询反复吃超时）。
+const PROVIDER_CACHE_OK_MS = 5 * 60 * 1000;
+const PROVIDER_CACHE_FAIL_MS = 30 * 1000;
+const loginProviderCache = new Map();
+
+/** 查平台能力面决定登录入口（'idone' | 'feishu'），永抛错、永阻断登录。 */
+async function resolveLoginProvider(platformUrl, log) {
+  const key = String(platformUrl || '').replace(/\/+$/, '');
+  const cached = loginProviderCache.get(key);
+  if (cached && Date.now() - cached.at < cached.ttl) return cached.provider;
+  const caps = await fetchAuthCapabilities(key);
+  const provider = pickLoginProvider(caps);
+  loginProviderCache.set(key, {
+    provider,
+    at: Date.now(),
+    ttl: caps ? PROVIDER_CACHE_OK_MS : PROVIDER_CACHE_FAIL_MS,
+  });
+  if (!caps) log?.warn?.(`[dsh-agentone] capabilities unavailable, login falls back to feishu: ${key}`);
+  return provider;
+}
+
 function sendJson(response, status, data) {
   response.writeHead(status, { 'Content-Type': 'application/json; charset=utf-8' });
   response.end(JSON.stringify(data));
@@ -451,7 +476,7 @@ const BUILTIN_PLUGIN_DESCRIPTIONS = {
   'dsh-im':
     'IM 桥核心：让 dsh 接入飞书等聊天工具——群内 @机器人 干活、收通知与审批卡片',
   [PLUGIN_PACKAGE_NAME]:
-    'AgentOne 平台集成：飞书登录、平台模型、SkillHub 技能与 CLI 授权（本插件）',
+    'AgentOne 平台集成：IDOne 登录、平台模型、SkillHub 技能与 CLI 授权（本插件）',
 };
 
 /** 汇总 profile 插件状态：dependencies（去掉 in-box）+ 已装版本 + 激活态。 */
@@ -880,10 +905,13 @@ export function apply(ctx, config) {
             modelRetryAttempts = 0;
           }
         }
+        // 登录入口判定：UI 登录卡文案需要；托管实例不显示登录入口，跳过查询
+        const loginProvider = isInstanceManaged() ? 'feishu' : await resolveLoginProvider(config.platformUrl, log);
         sendJson(response, 200, {
           platform_url: config.platformUrl,
           logged_in: Boolean(userEmail),
           user_email: userEmail,
+          login_provider: loginProvider,
           // 托管实例：凭据由平台注入，页面据此显示「平台托管」并隐藏登录/登出
           managed: isInstanceManaged(),
           source: credentials?.source ?? null,
@@ -940,7 +968,12 @@ export function apply(ctx, config) {
         }
         const state = newLoginState();
         pendingStates.add(state);
-        sendJson(response, 200, { login_url: buildLoginUrl(config.platformUrl, callbackUrl, state) });
+        // 入口按平台能力面路由：IDOne（锚点模式）优先，飞书兜底
+        const provider = await resolveLoginProvider(config.platformUrl, log);
+        sendJson(response, 200, {
+          login_url: buildLoginUrl(config.platformUrl, callbackUrl, state, provider),
+          provider,
+        });
       } catch (error) {
         log.warn(`[dsh-agentone] login failed: ${error?.message || error}`);
         sendJson(response, 500, { error: '发起登录失败' });
@@ -1030,7 +1063,7 @@ export function apply(ctx, config) {
       try {
         const credentials = await ensureFreshToken(config, log);
         if (!credentials) {
-          sendJson(response, 401, { error: '请先完成飞书登录' });
+          sendJson(response, 401, { error: '请先完成 AgentOne 登录' });
           return;
         }
         const result = await syncPlatformSkillhub(config, log, credentials);
@@ -1049,7 +1082,7 @@ export function apply(ctx, config) {
       try {
         const credentials = await ensureFreshToken(config, log);
         if (!credentials) {
-          sendJson(response, 401, { error: '请先完成飞书登录' });
+          sendJson(response, 401, { error: '请先完成 AgentOne 登录' });
           return;
         }
         const body = await readJsonBody(request);
@@ -1082,7 +1115,7 @@ export function apply(ctx, config) {
       try {
         const credentials = await ensureFreshToken(config, log);
         if (!credentials) {
-          sendJson(response, 401, { error: '请先完成飞书登录' });
+          sendJson(response, 401, { error: '请先完成 AgentOne 登录' });
           return;
         }
         const result = await syncPlanSkills(config, log, credentials);
@@ -1102,7 +1135,7 @@ export function apply(ctx, config) {
       try {
         const credentials = await ensureFreshToken(config, log);
         if (!credentials) {
-          sendJson(response, 401, { error: '请先完成飞书登录' });
+          sendJson(response, 401, { error: '请先完成 AgentOne 登录' });
           return;
         }
         const query = new URL(request.url, 'http://localhost').searchParams.get('q') || '';
@@ -1136,7 +1169,7 @@ export function apply(ctx, config) {
       try {
         const credentials = await loadCredentials(config);
         if (!credentials) {
-          sendJson(response, 401, { error: '请先完成飞书登录' });
+          sendJson(response, 401, { error: '请先完成 AgentOne 登录' });
           return;
         }
         const body = await readJsonBody(request);
@@ -1583,7 +1616,7 @@ export function apply(ctx, config) {
       try {
         const credentials = await loadCredentials(config);
         if (!credentials) {
-          sendJson(response, 401, { error: '请先完成飞书登录' });
+          sendJson(response, 401, { error: '请先完成 AgentOne 登录' });
           return;
         }
         const plan = await fetchPlatformPlan(config.platformUrl, credentials.access_token);
@@ -1602,7 +1635,7 @@ export function apply(ctx, config) {
       try {
         const credentials = await loadCredentials(config);
         if (!credentials) {
-          sendJson(response, 401, { error: '请先完成飞书登录' });
+          sendJson(response, 401, { error: '请先完成 AgentOne 登录' });
           return;
         }
         const body = await readJsonBody(request);

package/lib/page.js

@@ -1115,7 +1115,7 @@ const renderAbout = (s) => {
   const lines = [
     aboutVersionRow(),
     '<div class="kv"><span class="k">登录账号</span><span class="v">' + esc(s.user_email || '未登录') + '</span></div>',
-    '<div class="kv"><span class="k">授权方式</span><span class="v muted">' + (s.managed ? '平台托管（实例内自动授权，无需登录）' : '飞书登录') + '</span></div>',
+    '<div class="kv"><span class="k">授权方式</span><span class="v muted">' + (s.managed ? '平台托管（实例内自动授权，无需登录）' : (s.login_provider === 'idone' ? 'IDOne 登录' : '飞书登录')) + '</span></div>',
     '<div class="kv"><span class="k">所属套餐</span><span class="v">' + esc(s.capabilities?.plan_name || '—') + '</span></div>',
     '<div class="kv"><span class="k">平台地址</span><span class="v muted">' + esc(s.platform_url || '—') + '</span></div>',
     '<div class="kv"><span class="k">开发者</span><span class="v"><a href="mailto:chumingjun@cc-pg.cn">chumingjun@cc-pg.cn</a></span></div>',
@@ -1173,6 +1173,16 @@ const syncModelNow = (btn) => withLoading(
   },
   null,
 );
+// 登录入口文案：平台统一登录（IDOne）时覆盖静态默认的飞书文案。静态默认
+// 「飞书登录」保留——capabilities 失败回退飞书的场景它就是正确文案（smoke
+// 也断言状态页 HTML 含该默认值）。已点「发起登录」的按钮不回写（dataset.opened）。
+const applyLoginProvider = (s) => {
+  if (s?.login_provider !== 'idone') return;
+  const btn = $('login-btn');
+  if (btn && !btn.dataset.opened) btn.textContent = 'IDOne 登录';
+  const sub = loginCard.querySelector('p:not(.big)');
+  if (sub) sub.textContent = 'IDOne 账号一键授权，无需任何 API Key；套餐审批通过后模型自动配置。';
+};
 const refresh = async () => {
   let s;
   try {
@@ -1206,6 +1216,7 @@ const refresh = async () => {
   bootCard.hidden = true;
   loginCard.hidden = s.logged_in;
   mainCards.hidden = !s.logged_in;
+  applyLoginProvider(s);
   // 托管态不给登出按钮：授权来自容器 env，登出既清不掉根因、重启又会自动登录
   logoutBtn.hidden = !s.logged_in || Boolean(s.managed);
   if (s.logged_in && s.model) {
@@ -1286,7 +1297,9 @@ $('login-btn').onclick = async () => {
   if (!resp.ok) { notify(data.error || '发起登录失败', 'err'); return; }
   // 新标签页（顶层上下文）打开：iframe 内跨源 localStorage 被浏览器分区隔离
   window.open(data.login_url, '_blank');
-  // 按钮保持可点：授权窗被用户关掉后可立即重新发起，无需等 2 分钟
+  // 按钮保持可点：授权窗被用户关掉后可立即重新发起，无需等 2 分钟；
+  // 标记已发起，避免 5s 轮询的 applyLoginProvider 把提示文案改回入口名
+  btn.dataset.opened = '1';
   btn.textContent = '已打开授权窗口，完成后自动继续（可重开）';
 };
 $('sync-btn').onclick = () => syncModelNow($('sync-btn'));

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "dsh-agentone",
-  "version": "0.5.37",
-  "description": "AgentOne 平台集成：平台模型、SkillHub 技能、套餐与 CLI；lark-cli 首装一键初始化飞书应用；平台托管实例免登录自动授权",
+  "version": "0.5.38",
+  "description": "AgentOne 平台集成：IDOne 登录（飞书兜底）、平台模型、SkillHub 技能、套餐与 CLI；lark-cli 首装一键初始化飞书应用；平台托管实例免登录自动授权",
   "type": "module",
   "scripts": {
     "smoke": "node scripts/env-matrix-smoke.mjs"