e10-data 0.1.20 → 0.1.21

package/CHANGELOG.md

@@ -1,5 +1,66 @@
 # 变更记录
 
+## 0.1.21（2026-09-28）—— 新增 `module call`：模块配置接口调用（配置中心驱动）
+
+### 1. 新命令族 `module`（子命令 `call`）
+
+**用途**：**已确定「哪个模块的哪条具体接口」之后**，用本命令一条命令完成取数 ——
+定位模块 → 拉接口清单 → 选接口 → **组参调用** 的前三步仍由技能侧完成，第四步「调用」收敛到本命令。
+
+```bash
+e10-data module call --conf-key <confKey> --group <模块> \
+  [--args '<JSON>'|--args @params.json] [--query "k=v&k2=v2"] \
+  [--method GET|POST|FORM] [--header 'K: V'|--headers '<JSON>'|@file] \
+  [--limit 50] [--fields a,b] [--raw] [--show-params] [--dry-run] [--timeout 60] [--json]
+```
+
+内部一次完成：**精取该条 `confAttrs`**（`confType=api`，按 `confGroup` 二级定位）
+→ 按 `http_method` / `input_params` 组参（GET 拼 query；POST 发 JSON body，`FORM` /
+`api_definition` 含 `x-www-form-urlencoded` 时发表单）
+→ 发请求（**自动禁代理** + `Cookie` / `eteamsid` / `User-Agent: AgentType=…,IsAgent=true` 三件套）
+→ 按外层结构（`datajson` / `data` / `records` / 裸数组）提取精简结果（`rows` / `total` / `data`）。
+
+### 2. 与技能自带 `script/call_module.py` 的等价关系
+
+参数名、退出码、提取口径**全对齐**，可互为替换（`--args` 语义一致、`--query` 多对改用 `&` 连接、
+`--header` 单条 + `--headers` JSON 多条）。差异只有两点：
+
+1. **复用本 CLI 的凭据缓存与 `conf` 通道** —— 不额外起 python、不重复取凭据（少 1~2 次进程）；
+2. **零临时文件** —— body 由内存直发，不落盘。
+
+### 3. 退出码（照 `call_module.py` 语义，`main().catch` 按 `e.exitCode` 退出）
+
+| 码 | 含义 |
+|---|---|
+| 0 | 正常（**空结果也算正常**：0 行 / 计数 0 直接交付） |
+| 2 | 未登录 / 凭据失效（HTTP 401 / 凭据取不到）→ 重登 |
+| 3 | 非 JSON / `confAttrs` 解析失败 / 配置不存在 |
+| 4 | 权限受限（`hasSearchRight=false`；终端态：立即终止，不重试、不换参、不交付为「无数据」） |
+| 6 | 命中 HRM 路径黑名单（`/api/hrm/`、`/api/bs/hrm/`、`/api/app/hrm/` → 拒绝调用） |
+| 7 | 请求失败（网络 / 超时 / HTTP 非 2xx 且非 JSON） |
+| 8 | 用法错误（缺必填 / 参数非法 / `--args` 非 JSON 对象） |
+
+### 4. 功能要点
+
+- `--show-params`：只打印该接口的入/出参说明与请求示例（**不调接口**），替代手工 `conf get` dump 用于正确组参；
+- `--dry-run`：只组装请求不发送，**凭据一律脱敏**；
+- `--limit N`（默认 50，`0` = 不截断）/ `--fields a,b`（每行投影）/ `--raw`（原样输出响应体）；
+- **权限/二次验证标志位识别**：`hasSearchRight=false` 与 `pageUid="checkSecondFail"` 在输出 `flags` 中点名
+  （前者同时以退出码 4 收口）；
+- **INVOICE 自动换取发票云 `token`**：`group` / `module_key` 为 `INVOICE` 时先 `GET /api/inc/proxy/getToken?appType=1`
+  取 `data.token` 写入请求头，**Token 只在内存透传，不打印、不落盘**；
+- **HRM 路径黑名单**在发请求前拒绝（退出码 6），杜绝手工直调 HRM 接口。
+
+### 5. 配套改动（非破坏性）
+
+- `normalizeAuth` / weaver-work-cli 出口 / 进程间凭据缓存**补齐 `userAgent`** 字段
+  （来源 `WEAVER_USER_AGENT`），供 `module call` 组 `AgentType` UA；缺失或形态不符时
+  由 `moduleUserAgent()` 从 `cookie` 的 `agentType=` 推导，再退回 `workbuddy`。**取数链路行为不变**；
+- `main().catch` 支持错误对象自带 `exitCode`（未设置仍为 1，既有命令退出码零变化）。
+
+> 📌 命令参数、输出与退出码是本包**对外契约**；技能侧 `references/support/module-api-query/module-api-query.md`
+> 的「组参调用」步骤可切到本命令（`call_module.py` 保留为兜底）。
+
 ## 0.1.20（2026-09-24）—— 凭据来源切换为 `weaver-work-cli`（唯一来源，移除 e10-login 回退）
 
 ### 1. 凭据出口改为 `weaver-work-cli auth export-weaver-env`

package/README.md

@@ -25,6 +25,7 @@ e10-data field   id2name|name2id                       关联字段翻译（test
 e10-data conf    get|batch|batch-file|group|group-file|resolve|resolve-file|add|add-file|update|delete   环境参数配置中心（chatBi config map，替代 config-resolve 脚本 URL 直连；confType 默认按 CONN_/DS_/WF_/API_ 前缀推导，可 --type 显式；confType=api 时支持 confGroup 分组，见下）
 e10-data exp     status|manifest|commits|file|pull|init|commit|lock|release|rollback   专家包版本管理
 e10-data attend  statis   考勤假期余额统计 getAttendInfoStatis（hr-attendance 病假/事假等，v0.1.5 新增）
+e10-data module  call     模块配置接口调用（配置中心驱动；已确定「哪个模块的哪条具体接口」之后的统一取数入口，v0.1.21 新增）
 ```
 
 ## 通用约定
@@ -264,3 +265,52 @@ e10-data attend statis [--user <人员ID>] [--begin 2026-09-01] [--end 2026-09-3
 - `--json`：原样输出接口 JSON（含 `data.attendStatis` 出勤统计 / `data.attendSummary` 汇总 / `data.leaveInfo` 请假 / `data.outAttend` 外出 / `data.vacationBalanceList` 假期余额）；
 - 默认人读输出：仅列出 `data.vacationBalanceList`（按 title 区分假期类型）——带薪病假 `100584850000000003`、带薪事假 `100584850000000010` 含 `lastRemaining`(历年可请)/`remaining`(今年可请)/`total`(总计可请) 三项。
 
+## module call 模块配置接口调用（v0.1.21 新增）
+
+**用途**：**已确定「哪个模块的哪条具体接口」之后**的统一取数入口。定位模块 → 拉接口清单 → 选接口仍由技能侧完成，
+**第四步「组参调用」收敛到本命令**：精取该条 `confAttrs` → 按 `http_method` / `input_params` 组参
+→ 发请求（自动禁代理 + `Cookie` / `eteamsid` / `User-Agent: AgentType=…,IsAgent=true` 三件套）
+→ 按外层结构（`datajson` / `data` / `records` / 裸数组）提取精简结果。
+
+```bash
+e10-data module call --conf-key <confKey> --group <模块> \
+  [--args '<JSON>'|--args @params.json] [--query "k=v&k2=v2"] \
+  [--method GET|POST|FORM] [--header 'K: V'|--headers '<JSON>'|@file] \
+  [--limit 50] [--fields a,b] [--raw] [--show-params] [--dry-run] [--timeout 60] [--json]
+```
+
+| 参数 | 说明 |
+|---|---|
+| `--conf-key` / `--group` | **必填**；`confKey` 取自模块接口清单，`--group` = 模块唯一标识（confGroup，如 `WORKFLOW` / `EHR` / `DOCUMENT`） |
+| `--args` | 业务参数 JSON 对象；**含中文一律用 `--args @文件`**（规避 shell 编码损坏） |
+| `--query` | 追加 query（`k=v&k2=v2`，多对用 `&` 连接；与 `--args` 合并） |
+| `--method` | 覆盖 `confAttrs.http_method`（`FORM` = `x-www-form-urlencoded`） |
+| `--header` / `--headers` | 追加请求头：单条 `'K: V'`，或 JSON 对象（可 `@文件`） |
+| `--show-params` | **只打印该接口的入/出参说明与请求示例、不调接口** —— 替代手工 `conf get` dump，用于正确组参 |
+| `--dry-run` | 只组装请求不发送（**凭据一律脱敏**） |
+| `--limit` / `--fields` | 列表行数上限（默认 50，`0` = 不截断）/ 每行字段投影 |
+| `--raw` | 不提取，原样输出响应体 |
+
+- **与技能自带 `script/call_module.py` 等价**（参数名 / 退出码 / 提取口径全对齐，可互为替换），差异只有两点：
+  ① **复用本 CLI 的凭据缓存与 `conf` 通道**（不额外起 python、不重复取凭据）；② **零临时文件**（body 内存直发，不落盘）。
+- **退出码**（`main().catch` 按 `e.exitCode` 退出）：`0` 正常（**空结果也算正常**）｜`2` 未登录 / 凭据失效 → 重登
+  ｜`3` 非 JSON / `confAttrs` 异常 / 配置不存在 ｜`4` 权限受限（`hasSearchRight=false`，终端态：立即终止）
+  ｜`6` 命中 HRM 路径黑名单（拒绝调用）｜`7` 请求失败 ｜`8` 用法错误。
+- **标志位点名**：`hasSearchRight=false`（权限受限 ≠ 无数据）与 `pageUid="checkSecondFail"`（二次身份验证：
+  `total` 可信、明细恒 0 行）会在输出 `flags` 中列出，前者同时以退出码 `4` 收口。
+- **INVOICE 自动换取发票云 `token`**：`--group` / `module_key` 为 `INVOICE` 时先 `GET /api/inc/proxy/getToken?appType=1`
+  取 `data.token` 写入请求头；**Token 只在内存透传，不打印、不落盘**。
+- **HRM 路径黑名单**：`/api/hrm/`、`/api/bs/hrm/`、`/api/app/hrm/` 的接口在发请求前直接拒绝（退出码 `6`）——
+  人员 / 部门 / 分部 / 岗位一律走 `weaver-work-cli` 的 `hrm` 子命令。
+
+```bash
+# 看某个接口要什么参数（不调接口）
+e10-data module call --conf-key POST_EHR_GET_REPORT_LIST --group EHR --show-params
+
+# 真实取数（含中文参数走 @文件）
+e10-data module call --conf-key POST_EHR_GET_REPORT_LIST --group EHR --args @params.json --json
+
+# GET 接口 + 只看两行、只留三个字段
+e10-data module call --conf-key GET_XXX --group XXX --query "pageNo=1&pageSize=20" --limit 2 --fields id,name --json
+```
+

package/bin/e10-data.mjs

@@ -23,6 +23,11 @@
  *                              环境参数配置中心（chatBi config map，替代 config-resolve 脚本 URL 直连；
  *                              confType=api 时支持 confGroup 分组二级定位，见 --group）
  *   e10-data attend statis     考勤假期余额统计 getAttendInfoStatis（hr-attendance 病假/事假，2026-09-07）
+ *   e10-data module call       模块配置接口调用（配置中心驱动）：**已确定「哪个模块的哪条具体接口」之后**的
+ *                              统一取数入口 —— 精取该条 confAttrs → 按 http_method/input_params 组参 →
+ *                              发请求（禁代理 + Cookie/eteamsid/UA 三件套）→ 提取精简结果（2026-09-28）
+ *                              与技能自带 script/call_module.py 等价（参数/退出码/提取全对齐），
+ *                              复用本 CLI 凭据缓存与 conf 通道、零临时文件
  *
  * 通用：--json 原样输出；复杂 JSON 参数支持 @文件 或 内联（中文走 @文件 更稳）
  * 认证：凭据**唯一来源 = weaver-work-cli**（本 CLI 不实现任何加解密，**不设 e10-login 回退**）：
@@ -200,7 +205,9 @@ function normalizeAuth(o) {
   const cookie = String(o.cookie || "").trim();
   if (!baseUrl || !eteamsid || !cookie) return null;
   if (/^\((未知|空)\)$/.test(eteamsid) || /^\((未知|空)\)$/.test(cookie)) return null;
-  return { baseUrl, eteamsid, cookie, userId: String(o.userId || "").trim(), tenantKey: String(o.tenantKey || "").trim(), source: o.source };
+  // userAgent：模块配置通道的请求头需要 `AgentType=<agentType>,IsAgent=true`（见 module 命令族）。
+  // 属"非凭据"的请求头取值，缺失时由 moduleUserAgent() 从 cookie 的 agentType= 推导，不影响取数。
+  return { baseUrl, eteamsid, cookie, userId: String(o.userId || "").trim(), tenantKey: String(o.tenantKey || "").trim(), userAgent: String(o.userAgent || "").trim(), source: o.source };
 }
 
 /** ① e10-login auth --json（正式契约：{v,baseUrl,eteamsId,cookie,userAgent,userId,tenantKey,agentType,profile}） */
@@ -392,6 +399,7 @@ function providerWeaverWorkCli() {
     baseUrl: env.WEAVER_BASE_URL,
     eteamsid: env.WEAVER_ETEAMSID,
     cookie: env.WEAVER_COOKIE,
+    userAgent: env.WEAVER_USER_AGENT,
     source: "weaver-work-cli auth export-weaver-env",
   });
   if (!auth) return null;
@@ -547,7 +555,7 @@ function credCachePublish(auth) {
       profile: auth.profile || "default",
       auth: {
         baseUrl: auth.baseUrl, eteamsid: auth.eteamsid, cookie: auth.cookie,
-        userId: auth.userId, tenantKey: auth.tenantKey, source: auth.source,
+        userId: auth.userId, tenantKey: auth.tenantKey, userAgent: auth.userAgent, source: auth.source,
       },
     });
     let settled = false;
@@ -699,6 +707,7 @@ const CMD_SUBS = {
   exp: ["status", "manifest", "commits", "file", "pull", "init", "commit", "lock", "release", "rollback"],
   attend: ["statis"],
   eb: ["perm-page"],
+  module: ["call"],
 };
 function commandIsKnown(pos) {
   const family = pos[0], sub = pos[1];
@@ -1993,6 +2002,338 @@ async function cmdConf(sub, args, json, pos) {
   }
 }
 
+// ---------------- module：模块配置接口调用（配置中心驱动，2026-09-28 新增）----------------
+// 用途：**已确定「哪个模块的哪条具体接口」之后**，用本命令一条命令完成取数：
+//   复用本 CLI 已加载的凭据 → 精取该条 confAttrs（confType=api，按 confGroup 二级定位）
+//   → 按 http_method / input_params 组参 → 发请求（自动禁代理 + Cookie/eteamsid/UA 三件套）
+//   → 按外层结构提取精简结果（datajson / data / records / 裸数组皆可）。
+// 与技能自带 python 调用器 call_module.py **等价**（参数名、退出码、提取口径全对齐），区别：
+//   · 复用本 CLI 的凭据缓存与 conf 通道（不额外起 python，也不重复取凭据）；
+//   · 全程零临时文件（body 由内存直发，不落盘）。
+// 退出码（照 call_module.py 语义，见 main().catch 的 exitCode 处理）：
+//   0 正常（**空结果也算正常**）/ 2 未登录·凭据失效 / 3 非 JSON·confAttrs 异常
+//   / 4 权限受限（终端态：立即终止）/ 6 命中 HRM 路径黑名单 / 7 请求失败 / 8 用法错误
+const MODULE_HRM_PATTERNS = ["/api/hrm/", "/api/bs/hrm/", "/api/app/hrm/"];
+const MODULE_PERM_WORDS = ["没有权限", "无权限", "权限不足", "未授权", "无权访问", "无查询权限"];
+const MODULE_INVOICE_TOKEN_PATH = "/api/inc/proxy/getToken?appType=1";
+const MODULE_EXIT = { OK: 0, AUTH: 2, JSON: 3, PERM: 4, HRM: 6, HTTP: 7, USAGE: 8 };
+
+/** 带退出码的错误：main().catch 按 e.exitCode 退出（未设置仍为 1） */
+class ModuleExit extends Error {
+  constructor(code, message) { super(message); this.exitCode = code; }
+}
+
+/** json 模式下先向 stdout 打一份结构化错误信封，再带退出码抛出（对齐 call_module.py 的输出约定） */
+function moduleDie(json, code, msg) {
+  if (json) console.log(JSON.stringify({ ok: false, exit: code, error: msg }, null, 1));
+  throw new ModuleExit(code, msg);
+}
+
+/** 模块接口调用的 User-Agent：`AgentType=<agentType>,IsAgent=true`
+ *  优先取登录态自带的 UA（weaver-work-cli export-weaver-env 的 WEAVER_USER_AGENT），但**必须是 AgentType 形态**；
+ *  缺失 / 形态不符 / 混入非 ASCII（会致请求头编码失败）时，从 cookie 的 agentType= 推导，再退回 workbuddy。 */
+function moduleUserAgent() {
+  const raw = String((auth && auth.userAgent) || "").trim();
+  if (raw && !/[^\x00-\x7F]/.test(raw) && /agenttype=/i.test(raw)) return raw;
+  const m = String((auth && auth.cookie) || "").match(/agentType=([^;]+)/i);
+  return "AgentType=" + (m ? m[1].trim() : "workbuddy") + ",IsAgent=true";
+}
+
+/** 业务参数 → query 串（数组按多值展开、对象 JSON 化；对齐 urlencode(..., doseq=True)） */
+function moduleQueryString(obj) {
+  const sp = new URLSearchParams();
+  for (const [k, v] of Object.entries(obj || {})) {
+    if (v === undefined || v === null) continue;
+    if (Array.isArray(v)) for (const x of v) sp.append(k, x !== null && typeof x === "object" ? JSON.stringify(x) : String(x));
+    else sp.append(k, typeof v === "object" ? JSON.stringify(v) : String(v));
+  }
+  return sp.toString();
+}
+
+/** 发请求（带超时）；网络层失败 → 退出码 7 */
+async function moduleFetch(method, pathAndQuery, headers, body, timeoutMs) {
+  const ctrl = new AbortController();
+  const timer = setTimeout(() => ctrl.abort(), timeoutMs);
+  try {
+    const resp = await fetch(BASE + pathAndQuery, {
+      method,
+      headers,
+      ...(body !== undefined ? { body } : {}),
+      signal: ctrl.signal,
+    });
+    return { status: resp.status, text: await resp.text() };
+  } catch (e) {
+    const aborted = String((e && e.name) || "") === "AbortError";
+    throw new ModuleExit(MODULE_EXIT.HTTP, "请求失败：" + (aborted ? "超时 " + timeoutMs + "ms" : String((e && e.message) || e)));
+  } finally { clearTimeout(timer); }
+}
+
+/** 按已知外层形态找列表：datajson.data / datajson.datas / data.data / data.records / data / datas / list */
+function moduleRowsOf(obj) {
+  const numish = (v) => (typeof v === "number" || typeof v === "string") ? v : null;
+  if (Array.isArray(obj)) return { rows: obj, total: null };
+  if (!obj || typeof obj !== "object") return { rows: null, total: null };
+  for (const k of ["datajson", "data", "result"]) {
+    const v = obj[k];
+    if (Array.isArray(v)) return { rows: v, total: null };
+    if (v && typeof v === "object") {
+      for (const kk of ["data", "datas", "records", "list", "items", "rows"]) {
+        if (Array.isArray(v[kk])) return { rows: v[kk], total: numish(v.total) };
+      }
+      return { rows: null, total: null };
+    }
+  }
+  for (const kk of ["datas", "list", "records", "items", "rows"]) {
+    if (Array.isArray(obj[kk])) return { rows: obj[kk], total: numish(obj.total) };
+  }
+  return { rows: null, total: null };
+}
+
+/** 取载荷（datajson 优先，其次 data，否则根）与来源名 */
+function modulePayloadOf(obj) {
+  if (obj && typeof obj === "object" && !Array.isArray(obj)) {
+    for (const k of ["datajson", "data"]) {
+      if (obj[k] !== undefined && obj[k] !== null) return { value: obj[k], via: k };
+    }
+  }
+  return { value: obj, via: "(root)" };
+}
+
+/** 权限/二次验证标志位识别（权限受限 ≠ 无数据；二次验证 ≠ 无数据） */
+function moduleFlagsOf(obj, payload) {
+  const flags = [];
+  if (payload && typeof payload === "object" && !Array.isArray(payload) && payload.hasSearchRight === false) {
+    flags.push("hasSearchRight=false（权限受限，其余字段必为空 → 立即终止，不得交付为「无数据」）");
+  }
+  if (payload && typeof payload === "object" && !Array.isArray(payload) && payload.pageUid === "checkSecondFail") {
+    flags.push("pageUid=checkSecondFail（二次身份验证：total 可信、明细恒 0 行 → 如实说明，不得当无数据）");
+  }
+  let txt = "";
+  try { txt = JSON.stringify(obj).slice(0, 4000); } catch { txt = ""; }
+  if (MODULE_PERM_WORDS.some((w) => txt.includes(w))) flags.push("响应含权限关键词 → 按「无权限即终止」处理");
+  return flags;
+}
+
+/** INVOICE 业务接口的发票云 Token（内存透传；🚫 不打印、不落盘） */
+async function moduleInvoiceToken(json, timeoutMs) {
+  const headers = {
+    "accept": "application/json, text/plain, */*",
+    "langType": "zh_CN",
+    "cookie": auth.cookie,
+    "eteamsid": auth.eteamsid,
+    "user-agent": moduleUserAgent(),
+  };
+  const { status, text } = await moduleFetch("GET", MODULE_INVOICE_TOKEN_PATH, headers, undefined, timeoutMs);
+  let tk = null;
+  try { const j = parseJsonSafe(text); tk = j && j.data && j.data.token; } catch {}
+  if (!tk) moduleDie(json, MODULE_EXIT.HTTP, "未取到发票云 Token（INVOICE 业务接口必需；HTTP " + status + "）");
+  return tk;
+}
+
+async function cmdModuleCall(args, json) {
+  // ---- 必填与选项（缺参一律退出码 8，对齐 call_module.py）----
+  if (!args["conf-key"] || args["conf-key"] === true) {
+    moduleDie(json, MODULE_EXIT.USAGE, "缺必填参数 --conf-key（用法: module call --conf-key <confKey> --group <模块>）");
+  }
+  if (!args.group || args.group === true) {
+    moduleDie(json, MODULE_EXIT.USAGE, "缺必填参数 --group（模块唯一标识，如 WORKFLOW / EHR / DOCUMENT）");
+  }
+  const confKey = String(args["conf-key"]);
+  const group = String(args.group);
+  const timeoutMs = Math.max(1, parseInt(args.timeout || "60", 10) || 60) * 1000;
+  const limit = (args.limit === undefined || args.limit === true) ? 50 : (parseInt(String(args.limit), 10) || 0);
+  const fields = (typeof args.fields === "string" && args.fields) ? args.fields.split(",").map((s) => s.trim()).filter(Boolean) : null;
+
+  // ---- ① 精取该条接口配置（confType 固定 api；confGroup 二级定位必带）----
+  let rec;
+  try { rec = await confGetData("api", confKey, false, group); }
+  catch (e) {
+    const m = String((e && e.message) || e);
+    moduleDie(json, /登录态失效|未取得登录凭据/.test(m) ? MODULE_EXIT.AUTH : MODULE_EXIT.JSON,
+      "conf get 失败：" + m + "（先核对 confKey / confGroup；登录态问题请重新登录）");
+  }
+  let attrs = rec.confAttrs;
+  if (typeof attrs === "string") {
+    try { attrs = parseJsonSafe(attrs, "confAttrs"); }
+    catch { moduleDie(json, MODULE_EXIT.JSON, "confAttrs 二次解析失败（非 JSON 字符串）: " + confKey); }
+  }
+  if (!attrs || typeof attrs !== "object" || Array.isArray(attrs)) {
+    moduleDie(json, MODULE_EXIT.JSON, "confAttrs 缺失或形态异常: " + confKey + "（--group " + group + "）");
+  }
+  const apiPath = String(attrs.api_path || rec.confValue || "");
+  if (!apiPath) moduleDie(json, MODULE_EXIT.JSON, "confAttrs 未提供 api_path / confValue: " + confKey);
+
+  // ---- ② HRM 路径黑名单（人员/部门/岗位只走 weaver-work-cli 的 hrm 子命令）----
+  if (MODULE_HRM_PATTERNS.some((p) => apiPath.includes(p))) {
+    moduleDie(json, MODULE_EXIT.HRM,
+      "该接口命中 HRM 路径黑名单（" + apiPath + "）→ 人员/部门/岗位一律走 weaver-work-cli 的 hrm 子命令，禁止直调");
+  }
+
+  const apiName = attrs.api_name || rec.confName || confKey;
+
+  // ---- ③ --show-params：只给入/出参说明与请求示例，不调接口（用于正确组参）----
+  if (args["show-params"]) {
+    const out = {
+      confKey, module: group, api_name: apiName,
+      http_method: attrs.http_method ?? null, api_path: apiPath,
+      business_desc: attrs.business_desc ?? null,
+      api_params: attrs.api_params ?? null,
+      input_params: attrs.input_params ?? null,
+      output_params: attrs.output_params ?? null,
+      request_example: attrs.request_example ?? null,
+    };
+    console.log(JSON.stringify(out, null, 1));
+    return;
+  }
+
+  // ---- ④ 组参：--args（@文件 / 内联）+ --query（k=v&k2=v2）+ --header / --headers ----
+  let bizArgs = {};
+  if (args.args !== undefined && args.args !== true) {
+    try { bizArgs = readJsonArg(String(args.args), "--args"); }
+    catch (e) { moduleDie(json, MODULE_EXIT.USAGE, "--args 读取/解析失败：" + ((e && e.message) || e)); }
+  }
+  if (!bizArgs || typeof bizArgs !== "object" || Array.isArray(bizArgs)) {
+    moduleDie(json, MODULE_EXIT.USAGE, "--args 必须是 JSON 对象");
+  }
+  if (typeof args.query === "string" && args.query) {
+    for (const pair of args.query.split("&")) {
+      if (!pair) continue;
+      const i = pair.indexOf("=");
+      if (i > 0) bizArgs[pair.slice(0, i)] = pair.slice(i + 1);
+    }
+  }
+  const extraHeaders = {};
+  if (args.headers !== undefined && args.headers !== true) {
+    let h;
+    try { h = readJsonArg(String(args.headers), "--headers"); }
+    catch (e) { moduleDie(json, MODULE_EXIT.USAGE, "--headers 读取/解析失败：" + ((e && e.message) || e)); }
+    if (h && typeof h === "object" && !Array.isArray(h)) Object.assign(extraHeaders, h);
+  }
+  if (typeof args.header === "string" && args.header.includes(":")) {
+    const i = args.header.indexOf(":");
+    extraHeaders[args.header.slice(0, i).trim()] = args.header.slice(i + 1).trim();
+  }
+
+  const declared = String(args.method || attrs.http_method || "POST").toUpperCase();
+  if (declared !== "GET" && declared !== "POST" && declared !== "FORM") {
+    moduleDie(json, MODULE_EXIT.USAGE, "--method 只支持 GET / POST / FORM（当前: " + args.method + "）");
+  }
+  const effMethod = declared === "FORM" ? "POST" : declared;
+  const isForm = declared === "FORM" || /x-www-form-urlencoded/i.test(String(attrs.api_definition || ""));
+
+  let qs = "", body;
+  if (effMethod === "GET") {
+    const q = moduleQueryString(bizArgs);
+    qs = q ? "?" + q : "";
+  } else {
+    body = isForm ? moduleQueryString(bizArgs) : JSON.stringify(bizArgs);
+  }
+
+  // ---- ⑤ --dry-run：只组装不发送（凭据一律脱敏）----
+  if (args["dry-run"]) {
+    const masked = {};
+    for (const [k, v] of Object.entries(extraHeaders)) masked[k] = /^token$/i.test(k) ? "<脱敏>" : v;
+    const out = {
+      ok: true, confKey, api_name: apiName, method: effMethod,
+      url: "<baseUrl>" + apiPath + qs,
+      body: bizArgs,
+      headers: {
+        Cookie: "<脱敏>", eteamsid: "<脱敏>", "User-Agent": "<AgentType=…,IsAgent=true>",
+        "Content-Type": effMethod === "POST" ? (isForm ? "application/x-www-form-urlencoded" : "application/json;charset=UTF-8") : null,
+        ...masked,
+      },
+      note: "--dry-run：未发送请求",
+    };
+    console.log(JSON.stringify(out, null, 1));
+    return;
+  }
+
+  // ---- ⑥ 发请求 ----
+  const headers = {
+    "accept": "application/json, text/plain, */*",
+    "langType": "zh_CN",
+    "cookie": auth.cookie,
+    "eteamsid": auth.eteamsid,
+    "ebbusinessid": EB_BIZ_ID,
+    "user-agent": moduleUserAgent(),
+    "timezoneoffset": "-480",
+  };
+  if (effMethod === "POST") headers["Content-Type"] = isForm ? "application/x-www-form-urlencoded" : "application/json;charset=UTF-8";
+  // INVOICE：业务接口除通用三件套外必须带发票云 token（先取换、再允许 --header 覆盖）
+  if (group.toUpperCase() === "INVOICE" || String(attrs.module_key || "").toUpperCase() === "INVOICE") {
+    headers["token"] = await moduleInvoiceToken(json, timeoutMs);
+  }
+  Object.assign(headers, extraHeaders);
+
+  const { status, text } = await moduleFetch(effMethod, apiPath + qs, headers, body, timeoutMs);
+
+  if (status === 401) {
+    moduleDie(json, MODULE_EXIT.AUTH,
+      "登录态失效(HTTP 401)：凭据来源＝" + ((auth && auth.source) || "未知") + "；请执行 `weaver-work-cli auth login --base-url <域名>` 重新登录");
+  }
+
+  let obj = null;
+  try { obj = parseJsonSafe(text); } catch {}
+  if (obj === null) {
+    // 非 JSON：原样输出前 2000 字符（2xx 视为正常，其余按请求失败）
+    if (json) console.log(JSON.stringify({ ok: status >= 200 && status < 300, api_name: apiName, http: status, nonJson: text.slice(0, 2000) }, null, 1));
+    else console.log(text.slice(0, 2000));
+    if (status < 200 || status >= 300) throw new ModuleExit(MODULE_EXIT.HTTP, "HTTP " + status + " 且响应非 JSON（已原样输出前 2000 字符）");
+    return;
+  }
+
+  // ---- ⑦ --raw：原样输出响应体 ----
+  if (args.raw) {
+    console.log(JSON.stringify(obj, null, 1));
+    return;
+  }
+
+  // ---- ⑧ 提取精简结果 ----
+  const payload = modulePayloadOf(obj);
+  const flags = moduleFlagsOf(obj, payload.value);
+  const { rows, total } = moduleRowsOf(obj);
+  const out = { ok: true, api_name: apiName, http: status, via: payload.via };
+  let projected = null;
+  if (rows !== null) {
+    const shown = limit > 0 ? rows.slice(0, limit) : rows;
+    projected = fields
+      ? shown.map((r) => {
+        const o = {};
+        if (r && typeof r === "object") for (const k of fields) if (k in r) o[k] = r[k];
+        return o;
+      })
+      : shown;
+    out.total = total;
+    out.rows = rows.length;
+    out.shown = projected.length;
+    out.data = projected;
+  } else {
+    out.data = payload.value;
+  }
+  if (flags.length) out.flags = flags;
+
+  if (json) {
+    console.log(JSON.stringify(out, null, 1));
+  } else {
+    console.log("== " + apiName + " ==");
+    console.log(effMethod + " " + apiPath + " → HTTP " + status + "（via=" + payload.via + "）");
+    if (rows !== null) {
+      console.log("rows=" + rows.length
+        + (total !== null && total !== undefined ? " / total=" + total : "")
+        + (limit > 0 && rows.length > limit ? "（已截断到 " + limit + " 行）" : ""));
+      printHuman("", projected);
+    } else {
+      console.log(JSON.stringify(payload.value, null, 1));
+    }
+    for (const f of flags) console.log("[!] " + f);
+  }
+
+  // 权限受限是终端态：结果照常给出（供调用方留证），但退出码必须是非 0（对齐 call_module.py）
+  if (flags.some((f) => f.startsWith("hasSearchRight=false"))) {
+    throw new ModuleExit(MODULE_EXIT.PERM, "权限受限：hasSearchRight=false（立即终止，不重试、不换参、不交付为「无数据」）");
+  }
+}
+
 // ---------------- attend：考勤 REST 接口 ----------------
 // 2026-09-07：封装 /api/attend/web/attendInfoV2/getAttendInfoStatis（假期余额统计，hr-attendance 场景六病假/事假）。
 // 请求参数 {beginDate, endDate, userId}；返回 data.vacationBalanceList[]：{id,title,data:[{name,value,key}]}，
@@ -2449,6 +2790,20 @@ eb      EB 建模表单权限校验（chatBi EB 配置映射分页查询，替
       # obj-id / form-table 必填（本地强校验；缺失后端只回空、不报错）
       # obj-id / app-id 必须字符串传参（19 位大整数，Number 舍入 → 静默 total=0）
       # total>=1 = 有权限，并回带该行 appId；--require 时 total=0 直接报错退出
+module  模块配置接口调用（配置中心驱动；**已确定「哪个模块的哪条具体接口」之后**用它取数，2026-09-28 新增）
+  module call --conf-key <confKey> --group <模块> [--args '<JSON>'|--args @params.json]
+              [--query "k=v&k2=v2"] [--method GET|POST|FORM] [--header 'K: V'|--headers '<JSON>'|@file]
+              [--limit 50] [--fields a,b] [--raw] [--show-params] [--dry-run] [--timeout 60] [--json]
+      # 一条命令完成：精取该条 confAttrs → 按 http_method/input_params 组参 → 发请求
+      #   （自动禁代理 + Cookie/eteamsid/UA 三件套）→ 按外层结构（datajson/data/records/裸数组）提取精简结果
+      # 与技能自带 python 调用器 call_module.py 等价（参数名/退出码/提取口径全对齐），但复用本 CLI 凭据缓存与
+      #   conf 通道、零临时文件 —— 调用器首选本命令，call_module.py 仅作兜底
+      # --show-params：只打印入/出参说明与请求示例（不调接口），用于正确组参
+      # --dry-run：只组装请求不发送（凭据脱敏）；--limit 0 = 不截断
+      # --query 多对用 & 连接；INVOICE 自动换取发票云 token（内存透传，不打印不落盘）
+      # 退出码：0 正常（**空结果也算正常**）｜2 未登录·凭据失效｜3 非 JSON·confAttrs 异常
+      #         ｜4 权限受限（hasSearchRight=false，终端态）｜6 命中 HRM 路径黑名单｜7 请求失败｜8 用法错误
+      # 示例: module call --conf-key POST_EHR_GET_ATTEND_INFO_STATIS --group EHR --args @params.json --json
 认证: 加解密由 e10-login 负责（本 CLI 不参与）；凭据出口 = e10-login auth/whoami（自动同步镜像）；皆无请先 e10-login oidc
       （无浏览器/无 python 环境：login xiaoe-env 用环境变量 token 直接登录）`);
 }
@@ -2519,7 +2874,17 @@ async function main() {
       case "perm-page": result = await cmdEbPermPage(args, json); break;
       default: usage(); process.exit(1);
     }
+  } else if (family === "module") {
+    if (!sub) { usage(); process.exit(1); }
+    switch (sub) {
+      case "call": result = await cmdModuleCall(args, json); break;
+      default: usage(); process.exit(1);
+    }
   } else { usage(); process.exit(1); }
   if (json && result !== undefined) console.log(JSON.stringify(result, null, 1));
 }
-main().catch((e) => { console.error("ERROR: " + e.message); process.exit(1); });
+// 退出码：默认 1（用法/未知错误）；错误对象带 exitCode 时按其退出（module call 用到 2/3/4/6/7/8）
+main().catch((e) => {
+  console.error("ERROR: " + ((e && e.message) || e));
+  process.exit(Number.isInteger(e && e.exitCode) ? e.exitCode : 1);
+});

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "e10-data",
-  "version": "0.1.20",
-  "description": "泛微 E10 数据接口统一 CLI（data-assistant 专家配套）：登录(login xiaoe-env，环境变量 XiaoE 全局 token 换 ETEAMSID，免浏览器/免 python)/DSL 查询/数据源/文档/词库/关联字段翻译/环境参数配置中心(conf，支持 confGroup 分组)/EB 建模表单权限校验(eb perm-page)/专家包版本管理；ds 取数（list/chart/stat/count）的 appId 由调用方显式传入 --app-id（v0.1.14 起 CLI 不再自动反查；EB 建模表单 weaver-ebuilder-form-service 必须带，appId 取自 eb perm-page 权限校验返回行）；认证凭据**唯一来源 = weaver-work-cli**（通过 `auth export-weaver-env` 命令出口取明文凭据，**不设 e10-login 回退**；加解密由该 CLI 自行负责，本 CLI 不实现任何加解密；仅 login xiaoe-env 在无凭据时自行换 token，写 profile 仍交 e10-login set）。v0.1.17 性能改造：免凭据命令（--version/--help/未知命令）提前返回、直连 e10-login JS 入口（去掉 shell:true 的 cmd.exe 开销）、新增凭据进程间 TTL 缓存（不落明文）；v0.1.19（2026-09-24）新增 ds 发现层聚合 groups/find/describe（进程内并发，全 58 分组扫表实测 ~5.5s），并修复 ds tables --name 因 listByPage 端点切换导致的关键词过滤静默失效；v0.1.18（2026-09-24）新增 ds fields-dsl（接口 /api/dw/newetl/chatBi/ds/fieldsForDSL），并移除凭据明文镜像同步（不再写 ~/.workbuddy/e10-login-cache.md）；v0.1.20（2026-09-24）凭据来源切换为 weaver-work-cli 唯一来源、移除 e10-login 回退，并补齐 userId/tenantKey 传递（修复 attend statis 等命令报「缺少查询人员」的问题）",
+  "version": "0.1.21",
+  "description": "泛微 E10 数据接口统一 CLI（data-assistant 专家配套）：登录(login xiaoe-env，环境变量 XiaoE 全局 token 换 ETEAMSID，免浏览器/免 python)/DSL 查询/数据源/文档/词库/关联字段翻译/环境参数配置中心(conf，支持 confGroup 分组)/EB 建模表单权限校验(eb perm-page)/专家包版本管理；ds 取数（list/chart/stat/count）的 appId 由调用方显式传入 --app-id（v0.1.14 起 CLI 不再自动反查；EB 建模表单 weaver-ebuilder-form-service 必须带，appId 取自 eb perm-page 权限校验返回行）；认证凭据**唯一来源 = weaver-work-cli**（通过 `auth export-weaver-env` 命令出口取明文凭据，**不设 e10-login 回退**；加解密由该 CLI 自行负责，本 CLI 不实现任何加解密；仅 login xiaoe-env 在无凭据时自行换 token，写 profile 仍交 e10-login set）。v0.1.17 性能改造：免凭据命令（--version/--help/未知命令）提前返回、直连 e10-login JS 入口（去掉 shell:true 的 cmd.exe 开销）、新增凭据进程间 TTL 缓存（不落明文）；v0.1.19（2026-09-24）新增 ds 发现层聚合 groups/find/describe（进程内并发，全 58 分组扫表实测 ~5.5s），并修复 ds tables --name 因 listByPage 端点切换导致的关键词过滤静默失效；v0.1.18（2026-09-24）新增 ds fields-dsl（接口 /api/dw/newetl/chatBi/ds/fieldsForDSL），并移除凭据明文镜像同步（不再写 ~/.workbuddy/e10-login-cache.md）；v0.1.20（2026-09-24）凭据来源切换为 weaver-work-cli 唯一来源、移除 e10-login 回退，并补齐 userId/tenantKey 传递（修复 attend statis 等命令报「缺少查询人员」的问题）。v0.1.21（2026-09-28）新增 module call —— 模块配置接口调用（配置中心驱动）：已确定「哪个模块的哪条具体接口」之后的一条命令取数入口（精取该条 confAttrs → 按 http_method/input_params 组参 → 发请求（自动禁代理 + Cookie/eteamsid/UA 三件套）→ 提取精简结果），与技能自带 script/call_module.py 等价（参数名/退出码/提取口径全对齐），复用本 CLI 凭据缓存与 conf 通道、零临时文件；同时 auth 归一化与凭据缓存补齐 userAgent（供 AgentType UA 使用，缺失时从 cookie 的 agentType= 推导）。",
   "author": "e10-dw",
   "license": "MIT",
   "type": "module",