e10-data 0.1.8 → 0.1.10

package/README.md

@@ -9,7 +9,7 @@ npm i -g e10-data        # 全局安装
 e10-data --version       # 验证
 ```
 
-> 依赖：认证复用 `weaver-e10-login` 的登录态。**认证单一权威源 = `~/.e10-cli/profiles/<active>/auth`**（e10-login 统一认证，与所有专家/工具共享）；CLI 进程内读取并解密（AES-256-GCM，seed 与 e10-login 一致），随后自动回写同步明文镜像 `~/.workbuddy/e10-login-cache.md`（仅供查看/兜底）。请先安装并登录 weaver-e10-login（`e10-login oidc`），登录态失效时 CLI 会提示重新登录。
+> 依赖：认证复用 `weaver-e10-login` 的登录态。**加解密全部由 `e10-login` 负责，本 CLI 不实现任何加解密**（auth 文件由 e10-login 自己的密钥体系加密：1.5.0 起为「每机随机密钥 + OS keychain」，早期版本为固定 seed，只有 e10-login 解得开）。CLI 通过 e10-login 的命令出口取明文凭据，优先级：**① `e10-login auth --json`**（推荐的正式契约）→ **② `e10-login whoami --json`**（其 JSON 带 `cookies` 时）→ **③ `e10-login whoami`**（文本解析，当前实际路径）→ **④ 明文镜像 `~/.workbuddy/e10-login-cache.md`**（兜底，命中时打印告警）。请先安装并登录 weaver-e10-login（`e10-login oidc`）。
 
 ## 命令总览
 
@@ -19,7 +19,7 @@ e10-data ds      tables|fields|list|chart|stat|count   数据源（业务模块
 e10-data doc     count|list                            文档查询（documentListCount + documentList）
 e10-data noun    list --skill <skillKey>               词库查询（可带 --source-type/--source-group/--source-table 三参数）
 e10-data field   id2name|name2id                       关联字段翻译（testRemoteBrowser / complete）
-e10-data conf    get|batch|batch-file|resolve|resolve-file|add|add-file|update|delete   环境参数配置中心（chatBi config map，替代 config-resolve 脚本 URL 直连；confType 默认按 CONN_/DS_/WF_ 前缀推导，可 --type 显式）
+e10-data conf    get|batch|batch-file|group|group-file|resolve|resolve-file|add|add-file|update|delete   环境参数配置中心（chatBi config map，替代 config-resolve 脚本 URL 直连；confType 默认按 CONN_/DS_/WF_/API_ 前缀推导，可 --type 显式；confType=api 时支持 confGroup 分组，见下）
 e10-data exp     status|manifest|commits|file|pull|init|commit|lock|release|rollback   专家包版本管理
 e10-data attend  statis   考勤假期余额统计 getAttendInfoStatis（hr-attendance 病假/事假等，v0.1.5 新增）
 ```
@@ -29,7 +29,7 @@ e10-data attend  statis   考勤假期余额统计 getAttendInfoStatis（hr-atte
 - `--json`：原样输出接口 JSON（供脚本/Agent 消费）；默认人读输出。
 - 复杂 JSON/中文参数：推荐 `@文件` 承载（如 `--dsl @q.json`、`--where @cond.json`）。
 - ⚠️ 大整数精度（自动处理）：E10 的 ID 多为 19 位，超过 JS 安全整数（2^53-1≈9e15）。CLI 解析 JSON 时**自动把超范围裸整数转成字符串**再发请求/输出（实测后端接受字符串做 =/IN/BETWEEN 数值比较），无需手动加引号，也不误伤字符串正文。
-- 认证：优先读权威源 `~/.e10-cli/profiles/<active>/auth`（进程内 AES-256-GCM 解密）并自动同步明文镜像 `~/.workbuddy/e10-login-cache.md`；两者皆无提示先执行 `e10-login oidc`。
+- 认证：**加解密由 `e10-login` 负责（本 CLI 不参与）**。凭据出口优先级：`e10-login auth --json` → `e10-login whoami --json` → `e10-login whoami`（文本）→ 明文镜像 `~/.workbuddy/e10-login-cache.md`（兜底，命中时告警）。命中的出口会记入 `~/.e10-cli/.e10-data-auth-mode`（只存模式名、不存凭据），下次优先复用。环境变量：`E10_DATA_AUTH_PROBE=1` 强制重新探测、`E10_DATA_AUTH_MODE=<模式名>` 手动指定、`E10_DATA_QUIET=1` 抑制告警（告警只走 stderr）。
 - 版本更新：`npm i -g e10-data@latest`；查看源上最新 `npm view e10-data version`。
 
 ## 用法示例
@@ -47,12 +47,71 @@ e10-data conf get CONN_EC_EDCAPP                                     # 读配置
 e10-data conf resolve '{"connId":"#{CONN_EC_EDCAPP}"}'                # 占位符替换为真实值
 e10-data conf add CONN_EC_EDCAPP --value 10 --name "说明" --attrs '{"schema":"ec_edcapp"}'
 e10-data conf delete CONN_EC_EDCAPP
+# confType=api + confGroup 分组（v0.1.9 新增）
+e10-data conf group api workflow                                     # 按 类型+分组 批量查全部配置
+e10-data conf get GET_WORKFLOW_LIST --type api --group workflow       # 单查（组内定位）
+e10-data conf add GET_WORKFLOW_LIST --type api --group workflow --value /api/workflow/getList --name 查询流程列表 --attrs '{"request":{"pageNo":"页码"},"response":{"list":"流程列表"}}'
+e10-data conf add-file @api-items.json                                # 批量新增（元素含 confGroup，见下）
+e10-data conf update GET_WORKFLOW_LIST --type api --group workflow --value /api/workflow/queryList
+e10-data conf delete GET_WORKFLOW_LIST --type api --group workflow
 e10-data exp status --expert data-assistant
 e10-data exp pull --expert data-assistant --dir <本地专家包目录> [--dry-run] [--force]
 e10-data attend statis                          # 查当前登录用户当月假期余额（病假/事假/年假）
 e10-data attend statis --user 6264843388578732287 --begin 2026-09-01 --end 2026-09-30
 ```
 
+## conf 配置中心与 confGroup 分组（v0.1.9 新增）
+
+`conf` 系列对接 chatBi config map 接口，`confGroup` 是**可选**的二级分组维度：后端在 `confType=api` 时按 `confType + confGroup + confKey` 定位配置（如 `api/workflow/GET_WORKFLOW_LIST`），用于把同类 API 定义归档到同一分组。
+
+**下发规则（重要）**：只有 `confType` 为 `api`（或显式传了 `--group`）时，CLI 才会在请求体/查询串里带上 `confGroup`；其他 confType 一律不带该字段，避免污染既有配置类型。
+
+| 操作 | 命令 | 对应接口 |
+|---|---|---|
+| 新增（批量，可含分组） | `conf add <key> --value v [--type api] [--group g]` / `conf add-file @items.json` | `POST /api/dw/newetl/chatBi/batchAddChatBiConfigMap` |
+| 单查 | `conf get <key> [--type api] [--group g]` | `GET /api/dw/newetl/chatBi/getChatBiConfigMap?confType=&confGroup=&confKey=` |
+| 批量查（按 key） | `conf batch <k1> <k2> ...` / `conf batch-file @items.json` | `POST /api/dw/newetl/chatBi/batchGetChatBiConfigMap` |
+| 批量查（按类型+分组） | `conf group <confType> <confGroup> [--key k]` / `conf group-file @items.json` | `POST /api/dw/newetl/chatBi/batchGetChatBiConfigMapByTypeAndGroup` |
+| 更新 | `conf update <key> [--value v] [--name n] [--attrs a] [--group g]` | `POST /api/dw/newetl/chatBi/updateChatBiConfigMap` |
+| 删除 | `conf delete <key> [--type api] [--group g]` | `DELETE /api/dw/newetl/chatBi/deleteChatBiConfigMap?confType=&confGroup=&confKey=` |
+
+批量新增文件 `api-items.json`（`confType=api` 时元素带 `confGroup`）：
+
+```json
+[
+  {
+    "confType": "api",
+    "confGroup": "workflow",
+    "confKey": "GET_WORKFLOW_LIST",
+    "confValue": "/api/workflow/getList",
+    "confName": "查询流程列表",
+    "confAttrs": "{\"request\":{\"pageNo\":\"页码\",\"pageSize\":\"每页数量\"},\"response\":{\"list\":\"流程列表\"}}"
+  },
+  {
+    "confType": "api",
+    "confGroup": "workflow",
+    "confKey": "GET_WORKFLOW_DETAIL",
+    "confValue": "/api/workflow/getDetail",
+    "confName": "查询流程详情",
+    "confAttrs": "{\"request\":{\"id\":\"流程ID\"},\"response\":{\"id\":\"流程ID\",\"name\":\"流程名称\"}}"
+  }
+]
+```
+
+```bash
+e10-data conf add-file @api-items.json                   # 批量新增（逐条判重：同 组+键 已存在则跳过）
+e10-data conf group api workflow                         # 取回 workflow 分组下全部 API 配置
+e10-data conf group-file @groups.json                    # 多分组一次取回，@groups.json = [{"confType":"api","confGroup":"workflow"}]
+e10-data conf update GET_WORKFLOW_LIST --type api --group workflow --value /api/workflow/queryList
+e10-data conf delete GET_WORKFLOW_LIST --type api --group workflow
+```
+
+补充说明：
+
+- `confKey` 前缀推导 confType：`CONN_→conn`、`DS_→ds`、`WF_→wf`、`API_→api`；其余类型用 `--type` 显式指定（`--type` 与 `--group` 可同时使用）。
+- 同一 `confKey` 可存在于多个 `confGroup`；`conf batch` / `batch-file` 的返回映射在带分组时以 `组|键` 为键，不会互相覆盖。
+- `--json` 输出：`conf group` 返回配置数组（带 `--key` 时返回单条），`conf batch` 返回映射对象。
+
 ## ds --where 过滤条件（v0.1.8 起支持树形 OR）
 
 `e10-data ds list|chart|stat|count --where` 接收**条件数组**或**完整条件树**，均可递归嵌套表达 AND/OR：

package/bin/e10-data.mjs

@@ -9,12 +9,15 @@
  *   e10-data doc    count|list   文档查询 documentListCount / documentList
  *   e10-data noun   list         词库 getChatDocsBySkillKey
  *   e10-data field  id2name|name2id  关联字段翻译 testRemoteBrowser / complete
- *   e10-data conf   get|batch|batch-file|resolve|resolve-file|add|add-file|update|delete
- *                              环境参数配置中心（chatBi config map，替代 config-resolve 脚本 URL 直连）
+ *   e10-data conf   get|batch|batch-file|group|group-file|resolve|resolve-file|add|add-file|update|delete
+ *                              环境参数配置中心（chatBi config map，替代 config-resolve 脚本 URL 直连；
+ *                              confType=api 时支持 confGroup 分组二级定位，见 --group）
  *   e10-data attend statis     考勤假期余额统计 getAttendInfoStatis（hr-attendance 病假/事假，2026-09-07）
  *
  * 通用：--json 原样输出；复杂 JSON 参数支持 @文件 或 内联（中文走 @文件 更稳）
- * 认证：进程内读取权威源 ~/.e10-cli/profiles/<active>/auth（e10-login 统一认证，AES-256-GCM seed 硬编码纯 JS 解密，v0.1.7 起），并自动回写同步明文镜像 ~/.workbuddy/e10-login-cache.md；两者皆无时提示先 e10-login
+ * 认证：加解密全部由 e10-login 负责（本 CLI 不实现任何加解密）。凭据出口优先级：
+ *   ① e10-login auth --json → ② e10-login whoami --json → ③ e10-login whoami（文本解析）
+ *   → ④ 明文镜像 ~/.workbuddy/e10-login-cache.md（兜底，命中时告警）；均不可用时提示先 e10-login oidc 登录
  *
  * 用法示例：
  *   node e10-data.mjs query  --conn 1144919996804022272 --model dw --schema dw --dsl @q.json
@@ -28,6 +31,7 @@ import fs from "node:fs";
 import os from "node:os";
 import path from "node:path";
 import crypto from "node:crypto";
+import { spawnSync } from "node:child_process";
 import { fileURLToPath } from "node:url";
 
 const __dirname = path.dirname(fileURLToPath(import.meta.url));
@@ -39,70 +43,148 @@ function cliVersion() {
 const UA = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/151.0.0.0 Safari/537.36";
 const EB_BIZ_ID = "10000000000000000";
 
-// ---------------- 认证 ----------------
-// 认证单一权威源：~/.e10-cli/profiles/<active>/auth（e10-login / e10-cli 统一认证，与所有专家共享，无需各自存登录信息）。
-//   AES-256-GCM 加密，seed 与 e10-login 一致（ccw_eteams_auth_v1_8a3f2c1b9e4d → sha256），纯 JS 进程内可解、零外部依赖。
-// 明文镜像：~/.workbuddy/e10-login-cache.md（历史遗留，仅供查看/兜底；读到权威源后自动回写同步，不再需要手工维护）。
-const E10_AUTH_SEED = "ccw_eteams_auth_v1_8a3f2c1b9e4d";
-function decryptAuthWrapper(wrapper) {
+// ---------------- 认证（加解密全部交由 e10-login，本 CLI 不再实现任何加解密）----------------
+// 背景：auth 文件由 e10-login 自己的密钥体系加密 —— e10-login 1.5.0 起为「每机随机密钥 + OS keychain
+//   （@napi-rs/keyring，service=e10-cli / account=auth-key；keychain 不可用才落 ~/.e10-cli/.key）」，
+//   早期版本为固定 seed。**只有 e10-login 解得开**，所以本 CLI 只负责「向 e10-login 要明文凭据」，
+//   不再自行解密 —— e10-login 以后更换密钥体系 / 算法 / profile 机制，本 CLI 都无需改动。
+// 凭据出口优先级（命中即返回；命中的"模式名"会记入 ~/.e10-cli/.e10-data-auth-mode，只存模式、不存凭据）：
+//   ① e10-login auth --json      正式契约（推荐 e10-login 侧新增；一旦可用自动优先）
+//   ② e10-login whoami --json    其 JSON 输出带 cookies 字段时可用
+//   ③ e10-login whoami           文本输出解析（当前 e10-login 1.5.0 的实际可用路径）
+//   ④ ~/.workbuddy/e10-login-cache.md 明文镜像 —— 最后兜底，命中时打印告警（该文件可能已过期）
+// 环境变量：E10_DATA_AUTH_PROBE=1 强制重新探测优先级；E10_DATA_AUTH_MODE=<模式名> 手动指定；
+//   E10_DATA_QUIET=1 抑制告警输出（告警一律走 stderr，不污染 --json 的 stdout）。
+const AUTH_MODE_FILE = path.join(os.homedir(), ".e10-cli", ".e10-data-auth-mode");
+
+/** 定位当前 profile 的 auth 文件（仅用于"是否已登录"的判断与报错提示，本 CLI 不读其内容做解密） */
+function authFilePath() {
+  const home = os.homedir();
+  let profile = "default";
   try {
-    const combined = Buffer.from(wrapper.data, "base64");
-    const IV = 12, TAG = 16;
-    if (combined.length < IV + TAG + 1) return null;
-    const key = crypto.createHash("sha256").update(E10_AUTH_SEED).digest();
-    const decipher = crypto.createDecipheriv("aes-256-gcm", key, combined.subarray(0, IV), { authTagLength: TAG });
-    decipher.setAuthTag(combined.subarray(combined.length - TAG));
-    return JSON.parse(Buffer.concat([decipher.update(combined.subarray(IV, combined.length - TAG)), decipher.final()]).toString("utf-8"));
-  } catch { return null; }
-}
-function parseAuthPayload(raw) {
-  try { // 兼容两种形态：加密 wrapper（{enc:true,data:base64}）与明文 JSON（{cookies,userId,...}）
-    const obj = JSON.parse(raw);
-    if (obj && obj.enc === true && typeof obj.data === "string") return decryptAuthWrapper(obj);
-    if (obj && obj.cookies && (obj.userId || obj.cookies.ETEAMSID)) return obj;
+    const activeFile = path.join(home, ".e10-cli", "profile");
+    if (fs.existsSync(activeFile)) { const n = fs.readFileSync(activeFile, "utf-8").trim(); if (n) profile = n; }
   } catch {}
-  return null;
-}
-function cookieFromAuthData(data) { // 组装完整 cookie 串：cookies.raw 优先，逐项补齐 langType/agentType/isAgent
-  const eteamsid = (data && data.cookies && data.cookies.ETEAMSID) || "";
-  const agent = (data && (data.agentType || data.agent_type)) || "workbuddy";
-  let c = (data && data.cookies && data.cookies.raw) || "";
-  if (c && !/langType=/.test(c)) c = "langType=zh_CN; " + c;
-  if (c && agent && !/agentType=/.test(c)) c += "; agentType=" + agent;
-  if (c && !/isAgent=/.test(c)) c += "; isAgent=true";
-  if (!c && eteamsid) c = "langType=zh_CN; ETEAMSID=" + eteamsid + "; agentType=" + agent + "; isAgent=true";
-  return { eteamsid, cookie: c };
-}
-function authFromE10Cli() { // ① 权威源：~/.e10-cli/profiles/<active>/auth
+  return { profile, file: path.join(home, ".e10-cli", "profiles", profile, "auth") };
+}
+
+let lastLoginDiag = "";
+/** 调用 e10-login（凭据的唯一来源）；失败返回 null，并把诊断信息留在 lastLoginDiag */
+function runLoginCli(args) {
   try {
-    const home = os.homedir();
-    let profile = "default";
-    try {
-      const activeFile = path.join(home, ".e10-cli", "profile");
-      if (fs.existsSync(activeFile)) { const n = fs.readFileSync(activeFile, "utf-8").trim(); if (n) profile = n; }
-    } catch {}
-    const p = path.join(home, ".e10-cli", "profiles", profile, "auth");
-    if (!fs.existsSync(p)) return null;
-    const data = parseAuthPayload(fs.readFileSync(p, "utf-8"));
-    if (!data || !data.cookies || !data.cookies.ETEAMSID || !data.baseUrl) return null;
-    const { eteamsid, cookie } = cookieFromAuthData(data);
-    return { baseUrl: data.baseUrl, eteamsid, cookie, userId: data.userId || "", tenantKey: data.tenantKey || "", profile };
-  } catch { return null; }
+    const r = spawnSync("e10-login", args, { shell: true, encoding: "utf-8", timeout: 20000, windowsHide: true });
+    const out = (r.stdout || "").trim();
+    if (r.error || r.status !== 0) {
+      lastLoginDiag = ((r.stderr || "") + out).trim().split(/\r?\n/).slice(0, 2).join(" / ") || (r.error ? String(r.error.message) : "exit=" + r.status);
+      return null;
+    }
+    return out || null;
+  } catch (e) { lastLoginDiag = String((e && e.message) || e); return null; }
 }
-function authFromCacheMd() { // ② 兜底：历史明文缓存 ~/.workbuddy/e10-login-cache.md
+
+/** 归一化 + 校验（缺 baseUrl / eteamsid / cookie 一律视为该出口不可用，继续下一个出口） */
+function normalizeAuth(o) {
+  if (!o) return null;
+  const baseUrl = String(o.baseUrl || "").trim().replace(/\/+$/, "");
+  const eteamsid = String(o.eteamsid || "").trim();
+  const cookie = String(o.cookie || "").trim();
+  if (!baseUrl || !eteamsid || !cookie) return null;
+  if (/^\((未知|空)\)$/.test(eteamsid) || /^\((未知|空)\)$/.test(cookie)) return null;
+  return { baseUrl, eteamsid, cookie, userId: String(o.userId || "").trim(), tenantKey: String(o.tenantKey || "").trim(), source: o.source };
+}
+
+/** ① e10-login auth --json（正式契约：{v,baseUrl,eteamsId,cookie,userAgent,userId,tenantKey,agentType,profile}） */
+function providerAuthJson() {
+  const out = runLoginCli(["auth", "--json"]);
+  if (!out) return null;
+  let j; try { j = JSON.parse(out); } catch { return null; }
+  if (!j || typeof j !== "object" || Array.isArray(j)) return null;
+  return normalizeAuth({
+    baseUrl: j.baseUrl || j.base_url,
+    eteamsid: j.eteamsId || j.eteamsid,
+    cookie: typeof j.cookie === "string" ? j.cookie : "",
+    userId: j.userId || j.employeeId,
+    tenantKey: j.tenantKey,
+    source: "e10-login auth --json",
+  });
+}
+
+/** ② e10-login whoami --json（需其 JSON 带 cookies 字符串；当前 1.5.0 未带 → 自动落到 ③） */
+function providerWhoamiJson() {
+  const out = runLoginCli(["whoami", "--json"]);
+  if (!out) return null;
+  let j; try { j = JSON.parse(out); } catch { return null; }
+  if (!j || typeof j !== "object" || Array.isArray(j)) return null;
+  const cookie = typeof j.cookies === "string" ? j.cookies : (typeof j.cookie === "string" ? j.cookie : "");
+  return normalizeAuth({
+    baseUrl: j.baseUrl,
+    eteamsid: j.eteamsId || j.eteamsid,
+    cookie,
+    userId: j.employeeId || j.userId,
+    tenantKey: j.tenantKey,
+    source: "e10-login whoami --json",
+  });
+}
+
+/** ③ e10-login whoami（文本输出解析：employeeId / tenantKey / baseUrl / ETEAMSID / cookies / User-Agent） */
+function providerWhoamiText() {
+  const out = runLoginCli(["whoami"]);
+  if (!out) return null;
+  const m = {};
+  for (const line of out.split(/\r?\n/)) {
+    const x = line.match(/^\s*([A-Za-z][A-Za-z0-9_-]*)\s*:\s*(.+?)\s*$/);
+    if (x) m[x[1].toLowerCase()] = x[2];
+  }
+  return normalizeAuth({
+    baseUrl: m["baseurl"],
+    eteamsid: m["eteamsid"],
+    cookie: m["cookies"],
+    userId: m["employeeid"] || m["userid"],
+    tenantKey: m["tenantkey"],
+    source: "e10-login whoami（文本）",
+  });
+}
+
+/** ④ 明文镜像（最后兜底：不涉及任何解密，但可能已过期 → 命中时告警） */
+function providerCacheMd() {
   const p = path.join(os.homedir(), ".workbuddy", "e10-login-cache.md");
   if (!fs.existsSync(p)) return null;
   const txt = fs.readFileSync(p, "utf-8");
   const get = (key) => {
-    const m = txt.match(new RegExp("\\*\\*" + key.replace(/[.*+?^${}()|[\]\\]/g, "\\$&") + "\\*\\*\\s*[:：]\\s*`?([^`\\n]+)`?"));
-    return m ? m[1].trim() : "";
+    const mm = txt.match(new RegExp("\\*\\*" + key.replace(/[.*+?^${}()|[\]\\]/g, "\\$&") + "\\*\\*\\s*[:：]\\s*`?([^`\\n]+)`?"));
+    return mm ? mm[1].trim() : "";
   };
-  const auth = { baseUrl: get("baseUrl"), eteamsid: get("ETEAMSID"), cookie: get("完整 Cookie 串"), userId: get("userId") || get("employeeId"), tenantKey: get("tenantKey") };
-  if (!auth.baseUrl || !auth.eteamsid) return null;
-  if (!auth.cookie) auth.cookie = "langType=zh_CN; ETEAMSID=" + auth.eteamsid + "; agentType=workbuddy; isAgent=true";
-  return auth;
+  const eteamsid = get("ETEAMSID");
+  let cookie = get("完整 Cookie 串");
+  if (!cookie && eteamsid) cookie = "langType=zh_CN; ETEAMSID=" + eteamsid + "; agentType=workbuddy; isAgent=true";
+  return normalizeAuth({
+    baseUrl: get("baseUrl"), eteamsid, cookie,
+    userId: get("userId") || get("employeeId"), tenantKey: get("tenantKey"),
+    source: "明文镜像 ~/.workbuddy/e10-login-cache.md（可能已过期）",
+  });
 }
-function syncCacheMd(auth) { // 读到权威源后自动回写明文镜像（内容无变化不写盘），根治"重登后手工同步"问题
+
+const AUTH_PROVIDERS = [
+  ["auth-json", providerAuthJson],
+  ["whoami-json", providerWhoamiJson],
+  ["whoami-text", providerWhoamiText],
+  ["cache-md", providerCacheMd],
+];
+/** 兜底出口不进记忆：否则 e10-login 偶发不可用一次，就会把"用镜像"永久设为首选、次次告警 */
+const AUTH_FALLBACK_PROVIDERS = new Set(["cache-md"]);
+
+function readAuthModeMemo() {
+  try {
+    const s = fs.readFileSync(AUTH_MODE_FILE, "utf-8").trim();
+    return AUTH_PROVIDERS.some(([n]) => n === s) ? s : null;
+  } catch { return null; }
+}
+function writeAuthModeMemo(name) {
+  try { fs.mkdirSync(path.dirname(AUTH_MODE_FILE), { recursive: true }); fs.writeFileSync(AUTH_MODE_FILE, name, "utf-8"); } catch {}
+}
+
+/** 凭据取自 e10-login 时，顺手把明文镜像刷新到最新（保持镜像可用；镜像不参与正常取数） */
+function syncCacheMd(auth) {
   try {
     const p = path.join(os.homedir(), ".workbuddy", "e10-login-cache.md");
     if (!fs.existsSync(p) || !/🔐 登录信息缓存/.test(fs.readFileSync(p, "utf-8"))) return; // 非标准缓存文件不动它
@@ -116,16 +198,47 @@ function syncCacheMd(auth) { // 读到权威源后自动回写明文镜像（内
       txt = n;
     };
     rep("baseUrl", auth.baseUrl); rep("ETEAMSID", auth.eteamsid); rep("完整 Cookie 串", auth.cookie); rep("userId", auth.userId || ""); rep("tenantKey", auth.tenantKey || "");
-    rep("缓存记录时间", ts + "（e10-data 自动同步自 ~/.e10-cli/profiles/" + (auth.profile || "") + "/auth）");
+    rep("缓存记录时间", ts + "（e10-data 自动同步，凭据来源：" + (auth.source || "") + "）");
     if (changed) fs.writeFileSync(p, txt, "utf-8");
   } catch {}
 }
+
+/** 取凭据：按优先级依次尝试各出口；命中的模式会被记住（下次优先尝试它，省一次进程调用） */
 function loadAuth() {
-  const cli = authFromE10Cli();                       // ① 权威源优先（e10-login 统一认证，多专家共享）
-  if (cli) { syncCacheMd(cli); return cli; }
-  const cached = authFromCacheMd();                   // ② 权威源缺失时回退旧明文缓存
-  if (cached) return cached;
-  throw new Error("未找到登录认证（~/.e10-cli/profiles 与 ~/.workbuddy/e10-login-cache.md 均无），请先执行 e10-login oidc / set 登录");
+  const { profile, file } = authFilePath();
+  const override = (process.env.E10_DATA_AUTH_MODE || "").trim();
+  const memo = override || (process.env.E10_DATA_AUTH_PROBE ? null : readAuthModeMemo());
+  const order = memo
+    ? AUTH_PROVIDERS.filter(([n]) => n === memo).concat(AUTH_PROVIDERS.filter(([n]) => n !== memo))
+    : AUTH_PROVIDERS;
+
+  const diag = [];
+  for (const [name, fn] of order) {
+    let got = null;
+    lastLoginDiag = "";
+    try { got = fn(); } catch (e) { diag.push(name + ": " + ((e && e.message) || e)); }
+    if (got) {
+      if (name !== memo && !AUTH_FALLBACK_PROVIDERS.has(name)) writeAuthModeMemo(name);
+      got.profile = profile;
+      if (name === "cache-md") {
+        if (!process.env.E10_DATA_QUIET) {
+          console.error("[e10-data][warn] 凭据来源＝" + got.source + "；正常应由 e10-login 提供凭据，请检查 `e10-login whoami` 是否能输出 cookies。");
+        }
+      } else {
+        syncCacheMd(got);   // 凭据来自 e10-login → 顺便把镜像刷新到最新
+      }
+      return got;
+    }
+    if (lastLoginDiag) diag.push(name + ": " + lastLoginDiag);
+  }
+
+  throw new Error(
+    "未取得登录凭据（解密由 e10-login 负责，本 CLI 不参与）。请依次检查：\n" +
+    "  ① e10-login 是否可用：`e10-login --version`（缺失 → `npm i -g e10-login`）；`e10-login whoami` 应能输出 cookies\n" +
+    "  ② 是否已登录 / 登录态是否失效：`e10-login oidc` 重新登录（当前 profile: " + profile + "）\n" +
+    "  ③ auth 文件：" + (fs.existsSync(file) ? "存在" : "不存在") + "（" + file + "）—— 其加解密由 e10-login 负责\n" +
+    (diag.length ? "  探测诊断：" + diag.join(" ｜ ") + "\n" : "")
+  );
 }
 const auth = loadAuth();
 const BASE = auth.baseUrl.replace(/\/+$/, "");
@@ -134,7 +247,11 @@ const USER = { id: auth.userId || "", tenantKey: auth.tenantKey || "" };
 // ---------------- HTTP ----------------
 function checkAuthFail(resp, text, j) {
   if (resp.status === 401 || (j && String(j.code) === "-1" && /token|登录|失效/i.test(String(j.msg || "")))) {
-    throw new Error("登录态失效(" + (j.msg || resp.status) + ")，请重新 e10-login oidc 登录");
+    const from = (auth && auth.source) || "未知";
+    const hint = /镜像/.test(from)
+      ? "当前用的是明文镜像兜底凭据（可能已过期），请先确认 `e10-login whoami` 能正常导出 cookies，或执行 `e10-login oidc` 重新登录"
+      : "凭据由 e10-login 提供，请执行 `e10-login oidc` 重新登录";
+    throw new Error("登录态失效(" + (j.msg || resp.status) + ")：凭据来源＝" + from + "；" + hint);
   }
 }
 async function postJson(endpoint, bodyObj, extraHeaders = {}) {
@@ -265,6 +382,11 @@ function readJsonArg(val, label) {
   return parseJsonSafe(raw, label);
 }
 function need(arg, args) { if (!args[arg]) throw new Error("缺少必填参数 --" + arg); return args[arg]; }
+// 文件/JSON 参数取值：兼容 --flag <v> 与位置参数 <v>（如 conf add-file @items.json / --add-file @items.json）
+function flagOrPos(args, flag, keys) {
+  if (args[flag] !== undefined) return args[flag];
+  return keys && keys.length ? keys[0] : undefined;
+}
 
 // ---------------- 展示 ----------------
 function fmt(v) {
@@ -553,13 +675,21 @@ async function cmdFieldName2id(args, json) {
 }
 
 // ---------------- conf：环境参数配置中心（chatBi config map） ----------------
-// 覆盖 config-resolve 原 resolve_config.py 的 URL 直连调用：get/batch/batch-file/resolve/resolve-file
+// 覆盖 config-resolve 原 resolve_config.py 的 URL 直连调用：get/batch/batch-file/group/group-file/resolve/resolve-file
 // 与管理 add/add-file/update/delete。认证复用进程内登录缓存（完整 Cookie + eteamsid，同 query/ds/doc），
 // 无内置令牌；baseUrl 取登录缓存（与 executeQueryDsl 同域）。confType 默认由 key 前缀推导
-// （CONN_→conn / DS_→ds / WF_→wf），可用 --type 显式指定任意大类（如 data-source-query / system-config）。
-const CONF_PREFIX_TYPE = [["CONN_", "conn"], ["DS_", "ds"], ["WF_", "wf"]];
+// （CONN_→conn / DS_→ds / WF_→wf / API_→api），可用 --type 显式指定任意大类（如 data-source-query / system-config）。
+//
+// v0.1.9 confGroup（配置分组，可选）：
+//   后端在 confType=api 时支持按分组二次分层（如 api/workflow、api/hr），定位维度变为
+//   「confType + confGroup + confKey」。本 CLI 统一用 --group 传分组：
+//     · confType 为 api（或显式传了 --group）时，新增/更新/删除/单查 才下发 confGroup 字段，
+//       其他 confType 一律不带该字段，避免污染既有（无分组列）的配置类型。
+//     · conf group <confType> <confGroup> 走 batchGetChatBiConfigMapByTypeAndGroup 按类型+分组批量取回。
+const CONF_PREFIX_TYPE = [["CONN_", "conn"], ["DS_", "ds"], ["WF_", "wf"], ["API_", "api"]];
 const CONF_GET_PATH = "/api/dw/newetl/chatBi/getChatBiConfigMap";
 const CONF_BATCH_PATH = "/api/dw/newetl/chatBi/batchGetChatBiConfigMap";
+const CONF_BATCH_GROUP_PATH = "/api/dw/newetl/chatBi/batchGetChatBiConfigMapByTypeAndGroup";
 const CONF_ADD_PATH = "/api/dw/newetl/chatBi/batchAddChatBiConfigMap";
 const CONF_UPDATE_PATH = "/api/dw/newetl/chatBi/updateChatBiConfigMap";
 const CONF_DELETE_PATH = "/api/dw/newetl/chatBi/deleteChatBiConfigMap";
@@ -567,7 +697,25 @@ const CONF_TOKEN_RE = /#\{([A-Z][A-Z0-9_]{2,})\}/g;
 function confKeyType(key, explicitType) {
   if (explicitType) return explicitType;
   for (const [p, t] of CONF_PREFIX_TYPE) if (key.startsWith(p)) return t;
-  throw new Error("无法由 confKey 推导 confType（需 CONN_/DS_/WF_ 前缀或显式 --type）: " + key);
+  throw new Error("无法由 confKey 推导 confType（需 CONN_/DS_/WF_/API_ 前缀或显式 --type）: " + key);
+}
+// confGroup 仅在 confType=api 或调用方显式指定时下发（见上方说明）
+function confUseGroup(ctype, group) {
+  return ctype === "api" || (group !== undefined && group !== null && group !== "");
+}
+function confPutGroup(body, ctype, group) {
+  if (confUseGroup(ctype, group)) body.confGroup = group === undefined || group === null ? "" : String(group);
+  return body;
+}
+function confGroupSuffix(ctype, group) { // GET/DELETE 用的 query 后缀
+  return confUseGroup(ctype, group) ? "&confGroup=" + encodeURIComponent(group === undefined || group === null ? "" : String(group)) : "";
+}
+function confItemId(it) { // 同 confKey 可分布在多个 confGroup，带分组时用「组|键」做映射键，避免互相覆盖
+  const g = it && it.confGroup;
+  return g ? g + "|" + (it.confKey || "") : ((it && it.confKey) || "");
+}
+function confLookup(map, it) { // 兼容后端回包是否带 confGroup：先按「组|键」取，再退化到 confKey
+  return map[confItemId(it)] || map[it.confKey];
 }
 function confFail(j, url) {
   const m = (j && (j.msg || (j.actionMsg && j.actionMsg.message))) || "";
@@ -592,51 +740,62 @@ async function confRequest(method, url, bodyObj) {
   checkAuthFail(resp, text, j);
   return j;
 }
-async function confGetData(ctype, key, silent) {
-  const url = CONF_GET_PATH + "?confType=" + encodeURIComponent(ctype) + "&confKey=" + encodeURIComponent(key);
+async function confGetData(ctype, key, silent, group) {
+  const url = CONF_GET_PATH + "?confType=" + encodeURIComponent(ctype) + "&confKey=" + encodeURIComponent(key) + confGroupSuffix(ctype, group);
   let r;
   try { r = await confRequest("GET", url); }
   catch (e) { if (silent) return null; throw e; }
   const data = (r && r.data) || null;
   if (!silent && (!data || data.confValue === undefined || data.confValue === null || data.confValue === "")) {
-    throw new Error("配置不存在或为空: confType=" + ctype + " confKey=" + key);
+    throw new Error("配置不存在或为空: confType=" + ctype + (group ? " confGroup=" + group : "") + " confKey=" + key);
   }
   return data;
 }
 function confNormalizeBatch(payload) {
   const data = (payload && payload.data) || null;
   const out = {};
-  if (Array.isArray(data)) {
-    for (const row of data) {
-      if (!row || typeof row !== "object") continue;
-      const k = row.confKey || row.conf_key;
-      if (k) out[k] = row;
-    }
-  } else if (data && typeof data === "object") {
-    for (const [k, v] of Object.entries(data)) {
-      if (v && typeof v === "object" && !v.confKey) v.confKey = k;
-      out[k] = v;
-    }
-  }
+  const put = (row, fallbackKey) => {
+    if (!row || typeof row !== "object") return;
+    const k = row.confKey || row.conf_key || fallbackKey;
+    if (!k) return;
+    if (row.confGroup === undefined) { const g = row.conf_group; if (g !== undefined && g !== null && g !== "") row.confGroup = g; }
+    out[confItemId({ confGroup: row.confGroup, confKey: k })] = row;
+  };
+  if (Array.isArray(data)) for (const row of data) put(row);
+  else if (data && typeof data === "object") for (const [k, v] of Object.entries(data)) put(v, k);
   return out;
 }
+// 按类型+分组批量取回（batchGetChatBiConfigMapByTypeAndGroup），payload = [{confType, confGroup}...]
+async function confBatchByTypeAndGroup(pairs) {
+  const payload = pairs.map((p) => ({ confType: p.confType, confGroup: p.confGroup === undefined || p.confGroup === null ? "" : String(p.confGroup) }));
+  const r = await confRequest("POST", CONF_BATCH_GROUP_PATH, payload);
+  return confNormalizeBatch(r);
+}
 async function cmdConfGet(args, json, keys) {
   const key = keys[0];
-  if (!key) throw new Error("conf get 缺少 confKey（用法: conf get <key> [--type t]）");
+  if (!key) throw new Error("conf get 缺少 confKey（用法: conf get <key> [--type t] [--group g]）");
   const ctype = confKeyType(key, args.type);
-  const data = await confGetData(ctype, key);
+  let data;
+  try {
+    data = await confGetData(ctype, key, false, args.group);
+  } catch (e) {
+    if (ctype === "api" && !args.group) {
+      throw new Error(e.message + "（confType=api 建议用 --group 指定分组，如 --group workflow；或用 conf group api <分组> 查看该分组下全部配置）");
+    }
+    throw e;
+  }
   if (json) return data;
   console.log(JSON.stringify(data, null, 1));
 }
 async function cmdConfBatch(args, json, keys) {
-  if (!keys.length) throw new Error("conf batch 缺少 confKey 列表（用法: conf batch <key1> [key2 ...]）");
-  const items = keys.map((k) => ({ confType: confKeyType(k, args.type), confKey: k }));
+  if (!keys.length) throw new Error("conf batch 缺少 confKey 列表（用法: conf batch <key1> [key2 ...] [--type t] [--group g]）");
+  const items = keys.map((k) => { const t = confKeyType(k, args.type); return confPutGroup({ confType: t, confKey: k }, t, args.group); });
   let map = {};
   try {
     const r = await confRequest("POST", CONF_BATCH_PATH, items);
     map = confNormalizeBatch(r);
     for (const it of items) {
-      const c = map[it.confKey];
+      const c = confLookup(map, it);
       if (!c || c.confValue === undefined || c.confValue === null || c.confValue === "") {
         throw new Error("批量响应缺失 confKey=" + it.confKey);
       }
@@ -645,43 +804,82 @@ async function cmdConfBatch(args, json, keys) {
     if (String(e.message).indexOf("批量响应缺失") === 0) throw e;
     console.error("[config-resolve] 批量接口不可用，降级逐条单查: " + e.message);
     map = {};
-    for (const it of items) map[it.confKey] = await confGetData(it.confType, it.confKey);
+    for (const it of items) map[confItemId(it)] = await confGetData(it.confType, it.confKey, false, it.confGroup);
   }
   if (json) return map;
-  printHuman("配置 " + items.length + " 条", keys.map((k) => ({ key: k, confType: items.find((x) => x.confKey === k).confType, confValue: (map[k] || {}).confValue ?? "", confName: (map[k] || {}).confName ?? "" })), ["key", "confType", "confValue", "confName"]);
-}
-async function cmdConfBatchFile(args, json) {
-  if (!args["batch-file"]) throw new Error("conf batch-file 缺少参数（用法: conf batch-file @items.json）");
-  const items = readJsonArg(args["batch-file"], "--batch-file");
+  printHuman("配置 " + items.length + " 条", keys.map((k) => {
+    const it = items.find((x) => x.confKey === k);
+    const c = confLookup(map, it) || {};
+    return { key: k, confType: it.confType, confGroup: it.confGroup ?? "", confValue: c.confValue ?? "", confName: c.confName ?? "" };
+  }), ["key", "confType", "confGroup", "confValue", "confName"]);
+}
+async function cmdConfBatchFile(args, json, keys) {
+  const val = flagOrPos(args, "batch-file", keys);
+  if (val === undefined) throw new Error("conf batch-file 缺少参数（用法: conf batch-file @items.json）");
+  const items = readJsonArg(String(val), "--batch-file");
   const list = Array.isArray(items) ? items : [items];
   const map = {};
+  const meta = {};
   for (const it of list) {
     if (!it.confKey || !it.confType) continue;
-    map[it.confKey] = await confGetData(it.confType, it.confKey);
+    const id = confItemId(it);
+    map[id] = await confGetData(it.confType, it.confKey, false, it.confGroup);
+    meta[id] = it;
   }
   if (json) return map;
-  printHuman("配置 " + Object.keys(map).length + " 条", Object.keys(map).map((k) => ({ key: k, confValue: (map[k] || {}).confValue ?? "", confName: (map[k] || {}).confName ?? "" })), ["key", "confValue", "confName"]);
+  printHuman("配置 " + Object.keys(map).length + " 条", Object.keys(map).map((id) => ({ key: meta[id].confKey, confGroup: meta[id].confGroup ?? "", confValue: (map[id] || {}).confValue ?? "", confName: (map[id] || {}).confName ?? "" })), ["key", "confGroup", "confValue", "confName"]);
+}
+// 按类型+分组批量查（batchGetChatBiConfigMapByTypeAndGroup）：pairs = [{confType, confGroup}...]
+async function cmdConfGroup(args, json, keys) {
+  const ctype = keys[0] || args.type;
+  const group = keys[1] !== undefined ? keys[1] : args.group;
+  if (!ctype) throw new Error("conf group 缺少 confType（用法: conf group <confType> <confGroup> | --type api --group workflow）");
+  if (group === undefined) throw new Error("conf group 缺少 confGroup（用法: conf group <confType> <confGroup>）");
+  const map = await confBatchByTypeAndGroup([{ confType: ctype, confGroup: group }]);
+  const rows = Object.values(map);
+  const onlyKey = args.key;
+  const filtered = onlyKey ? rows.filter((r) => (r.confKey || r.conf_key) === onlyKey) : rows;
+  if (json) return onlyKey ? (filtered[0] ?? null) : filtered;
+  if (onlyKey && !filtered.length) throw new Error("配置不存在: confType=" + ctype + " confGroup=" + group + " confKey=" + onlyKey);
+  printHuman("confType=" + ctype + " confGroup=" + group + " 配置 " + filtered.length + " 条",
+    filtered.map((r) => ({ confKey: r.confKey || r.conf_key || "", confValue: r.confValue ?? "", confName: r.confName ?? "", confAttrs: r.confAttrs ?? "" })),
+    ["confKey", "confValue", "confName", "confAttrs"]);
+  return filtered;
+}
+async function cmdConfGroupFile(args, json, keys) {
+  const val = flagOrPos(args, "group-file", keys);
+  if (val === undefined) throw new Error("conf group-file 缺少参数（用法: conf group-file @items.json，形如 [{\"confType\":\"api\",\"confGroup\":\"workflow\"}]）");
+  const pairs = readJsonArg(String(val), "--group-file");
+  const list = (Array.isArray(pairs) ? pairs : [pairs]).filter((p) => p && p.confType);
+  if (!list.length) throw new Error("conf group-file 内容为空或缺少 confType");
+  const map = await confBatchByTypeAndGroup(list);
+  const rows = Object.values(map);
+  if (json) return map;
+  printHuman("批量分组配置 " + rows.length + " 条",
+    rows.map((r) => ({ confType: r.confType ?? "", confGroup: r.confGroup ?? "", confKey: r.confKey || r.conf_key || "", confValue: r.confValue ?? "", confName: r.confName ?? "" })),
+    ["confType", "confGroup", "confKey", "confValue", "confName"]);
+  return map;
 }
-async function confResolveAll(keys) {
+async function confResolveAll(keys, group) {
   // 多占位符：先批量预取一轮（失败降级逐条单查），返回 {key: data}
-  const items = keys.map((k) => ({ confType: confKeyType(k, ""), confKey: k }));
+  const items = keys.map((k) => confPutGroup({ confType: confKeyType(k, ""), confKey: k }, confKeyType(k, ""), group));
   const map = {};
   try {
     const r = await confRequest("POST", CONF_BATCH_PATH, items);
     const got = confNormalizeBatch(r);
     for (const it of items) {
-      const c = got[it.confKey];
+      const c = confLookup(got, it);
       if (!c || c.confValue === undefined || c.confValue === null || c.confValue === "") throw new Error("缺失 " + it.confKey);
       map[it.confKey] = c;
     }
   } catch {
-    for (const it of items) map[it.confKey] = await confGetData(it.confType, it.confKey);
+    for (const it of items) map[it.confKey] = await confGetData(it.confType, it.confKey, false, it.confGroup);
   }
   return map;
 }
-async function confResolveText(text, json) {
+async function confResolveText(text, json, group) {
   const found = [...new Set([...text.matchAll(CONF_TOKEN_RE)].map((m) => m[1]))];
-  const map = found.length ? await confResolveAll(found) : {};
+  const map = found.length ? await confResolveAll(found, group) : {};
   const out = text.replace(CONF_TOKEN_RE, (m0, k) => {
     const cfg = map[k];
     if (!cfg) throw new Error("配置不存在或为空: " + k);
@@ -692,45 +890,47 @@ async function confResolveText(text, json) {
 }
 async function cmdConfResolve(args, json, keys) {
   let text = keys[0];
-  if (!text) throw new Error("conf resolve 缺少文本（用法: conf resolve '<含#{KEY}文本>' | @file.txt）");
+  if (!text) throw new Error("conf resolve 缺少文本（用法: conf resolve '<含#{KEY}文本>' | @file.txt [--group g]）");
   if (text.startsWith("@")) text = fs.readFileSync(text.slice(1), "utf-8");
-  const out = await confResolveText(text, json);
+  const out = await confResolveText(text, json, args.group);
   if (json) { console.log(JSON.stringify(out, null, 1)); return out; }
   process.stdout.write(out + "\n");
 }
-async function cmdConfResolveFile(args, json) {
-  const p = args["resolve-file"];
-  if (!p) throw new Error("conf resolve-file 缺少文件路径（用法: conf resolve-file <文件路径>）");
+async function cmdConfResolveFile(args, json, keys) {
+  const p = flagOrPos(args, "resolve-file", keys);
+  if (!p) throw new Error("conf resolve-file 缺少文件路径（用法: conf resolve-file <文件路径> [--group g]）");
   if (!fs.existsSync(p)) throw new Error("文件不存在: " + p);
   const text = fs.readFileSync(p, "utf-8");
-  const out = await confResolveText(text, json);
+  const out = await confResolveText(text, json, args.group);
   if (json) { console.log(JSON.stringify(out, null, 1)); return out; }
   process.stdout.write(out + "\n");
 }
 async function cmdConfAdd(args, json, keys) {
   const key = keys[0];
-  if (!key || args.value === undefined) throw new Error("conf add 缺少 confKey/confValue（用法: conf add <key> --value <真实值> [--name] [--attrs] [--type] [--force]）");
+  if (!key || args.value === undefined) throw new Error("conf add 缺少 confKey/confValue（用法: conf add <key> --value <真实值> [--name] [--attrs] [--type] [--group] [--force]）");
   const ctype = confKeyType(key, args.type);
-  if (!args.force && await confGetData(ctype, key, true)) {
+  if (!args.force && await confGetData(ctype, key, true, args.group)) {
     console.error("[config-resolve] 配置已存在，跳过新增（如需修改请用 conf update；确需重建可先 conf delete）: " + key);
     return null;
   }
-  const item = { confType: ctype, confKey: key, confValue: String(args.value), confAttrs: args.attrs || "", confName: args.name || "" };
+  const item = confPutGroup({ confType: ctype, confKey: key, confValue: String(args.value), confAttrs: args.attrs || "", confName: args.name || "" }, ctype, args.group);
   const r = await confRequest("POST", CONF_ADD_PATH, [item]);
   if (json) return r;
-  console.log("新增成功: " + key + " = " + item.confValue);
+  console.log("新增成功: " + (item.confGroup ? item.confGroup + "/" : "") + key + " = " + item.confValue);
 }
-async function cmdConfAddFile(args, json) {
-  if (args["add-file"] === undefined) throw new Error("conf add-file 缺少参数（用法: conf add-file @items.json）");
-  const items = readJsonArg(args["add-file"], "--add-file");
+async function cmdConfAddFile(args, json, keys) {
+  const val = flagOrPos(args, "add-file", keys);
+  if (val === undefined) throw new Error("conf add-file 缺少参数（用法: conf add-file @items.json，元素形如 {confType,confGroup,confKey,confValue,confName,confAttrs}）");
+  const items = readJsonArg(String(val), "--add-file");
   const list = Array.isArray(items) ? items : [items];
   const toAdd = [];
   for (const it of list) {
     if (!it.confKey || it.confValue === undefined) continue;
     const ctype = it.confType || confKeyType(it.confKey, args.type);
-    const dup = await confGetData(ctype, it.confKey, true);
+    const group = it.confGroup !== undefined ? it.confGroup : args.group;
+    const dup = await confGetData(ctype, it.confKey, true, group);
     if (dup) { console.error("[config-resolve] 已存在跳过: " + it.confKey); continue; }
-    toAdd.push({ confType: ctype, confKey: it.confKey, confValue: String(it.confValue), confAttrs: it.confAttrs || "", confName: it.confName || "" });
+    toAdd.push(confPutGroup({ confType: ctype, confKey: it.confKey, confValue: String(it.confValue), confAttrs: it.confAttrs || "", confName: it.confName || "" }, ctype, group));
   }
   if (!toAdd.length) { console.log("全部已存在，无新增"); return null; }
   const r = await confRequest("POST", CONF_ADD_PATH, toAdd);
@@ -739,37 +939,40 @@ async function cmdConfAddFile(args, json) {
 }
 async function cmdConfUpdate(args, json, keys) {
   const key = keys[0];
-  if (!key) throw new Error("conf update 缺少 confKey（用法: conf update <key> [--value v] [--name n] [--attrs a] [--type t]）");
+  if (!key) throw new Error("conf update 缺少 confKey（用法: conf update <key> [--value v] [--name n] [--attrs a] [--type t] [--group g]）");
   if (args.value === undefined && args.name === undefined && args.attrs === undefined) {
     throw new Error("conf update 至少需提供 --value / --name / --attrs 之一");
   }
-  const body = { confType: confKeyType(key, args.type), confKey: key };
+  const ctype = confKeyType(key, args.type);
+  const body = confPutGroup({ confType: ctype, confKey: key }, ctype, args.group);
   if (args.value !== undefined) body.confValue = String(args.value);
   if (args.name !== undefined) body.confName = args.name;
   if (args.attrs !== undefined) body.confAttrs = args.attrs;
   const r = await confRequest("POST", CONF_UPDATE_PATH, body);
   if (json) return r;
-  console.log("更新成功: " + key);
+  console.log("更新成功: " + (body.confGroup ? body.confGroup + "/" : "") + key);
 }
 async function cmdConfDelete(args, json, keys) {
   const key = keys[0];
-  if (!key) throw new Error("conf delete 缺少 confKey（用法: conf delete <key> [--type t]）");
+  if (!key) throw new Error("conf delete 缺少 confKey（用法: conf delete <key> [--type t] [--group g]）");
   const ctype = confKeyType(key, args.type);
-  const url = CONF_DELETE_PATH + "?confType=" + encodeURIComponent(ctype) + "&confKey=" + encodeURIComponent(key);
+  const url = CONF_DELETE_PATH + "?confType=" + encodeURIComponent(ctype) + "&confKey=" + encodeURIComponent(key) + confGroupSuffix(ctype, args.group);
   const r = await confRequest("DELETE", url);
   if (json) return r;
-  console.log("删除成功: " + key);
+  console.log("删除成功: " + (confUseGroup(ctype, args.group) && args.group ? args.group + "/" : "") + key);
 }
 async function cmdConf(sub, args, json, pos) {
   const keys = pos.slice(2);
   switch (sub) {
     case "get": return cmdConfGet(args, json, keys);
     case "batch": return cmdConfBatch(args, json, keys);
-    case "batch-file": return cmdConfBatchFile(args, json);
+    case "batch-file": return cmdConfBatchFile(args, json, keys);
+    case "group": return cmdConfGroup(args, json, keys);
+    case "group-file": return cmdConfGroupFile(args, json, keys);
     case "resolve": return cmdConfResolve(args, json, keys);
-    case "resolve-file": return cmdConfResolveFile(args, json);
+    case "resolve-file": return cmdConfResolveFile(args, json, keys);
     case "add": return cmdConfAdd(args, json, keys);
-    case "add-file": return cmdConfAddFile(args, json);
+    case "add-file": return cmdConfAddFile(args, json, keys);
     case "update": return cmdConfUpdate(args, json, keys);
     case "delete": return cmdConfDelete(args, json, keys);
     default: usage(); process.exit(1);
@@ -1168,16 +1371,21 @@ noun    词库查询
 field   关联字段翻译
   field id2name  --module <m> --type <t> --ids id1,id2 [--form-param '{"fieldId":"..","module":"ebuilderform"}'|--eb-browser-param '{..}'|--property-type x]
   field name2id  --module <m> --type <t> --name 名称 [同上附加参数]
-conf    环境参数配置中心（chatBi config map，替代 config-resolve 脚本 URL 直连；confType 默认由 CONN_/DS_/WF_ 前缀推导，可 --type 显式）
-  conf get <key> [--type t]                       # 单查（confValue/confAttrs/confName 全量 JSON）
-  conf batch <key1> [key2 ...]                    # 批量查（批量接口异常自动降级逐条单查）
-  conf batch-file @items.json                     # 按 [{confType,confKey}..] 显式批量查（支持任意 confType）
-  conf resolve '<含#{KEY}文本>'|@file.txt         # 文本占位符替换为真实值（含中文建议 @file）
-  conf resolve-file <文件路径>                     # 读文件替换全部占位符并打印（不改写原文件）
-  conf add <key> --value <真实值> [--name 说明] [--attrs '{"schema":..}'] [--type t] [--force]  # 新增（默认判重，已存在跳过）
-  conf add-file @items.json                       # JSON 数组批量新增（逐条判重）
-  conf update <key> [--value v] [--name n] [--attrs a] [--type t]   # 更新（confType+confKey 定位，传哪个字段更哪个）
-  conf delete <key> [--type t]                    # 删除
+conf    环境参数配置中心（chatBi config map，替代 config-resolve 脚本 URL 直连；confType 默认由 CONN_/DS_/WF_/API_ 前缀推导，可 --type 显式）
+        confGroup（配置分组，v0.1.9 新增，可选）：confType=api 时后端支持二级分层（如 api/workflow），
+        定位维度 = confType+confGroup+confKey；仅 confType=api（或显式传 --group）时才下发 confGroup，其他类型不带该字段
+  conf get <key> [--type t] [--group g]           # 单查（confValue/confAttrs/confName 全量 JSON）
+  conf batch <key1> [key2 ...] [--type t] [--group g]   # 批量查（批量接口异常自动降级逐条单查）
+  conf batch-file @items.json                     # 按 [{confType,confGroup,confKey}..] 显式批量查（支持任意 confType）
+  conf group <confType> <confGroup> [--key k]     # 按类型+分组批量查（batchGetChatBiConfigMapByTypeAndGroup）
+  conf group-file @items.json                     # 按 [{"confType":"api","confGroup":"workflow"}..] 多分组批量查
+  conf resolve '<含#{KEY}文本>'|@file.txt [--group g]   # 文本占位符替换为真实值（含中文建议 @file）
+  conf resolve-file <文件路径> [--group g]          # 读文件替换全部占位符并打印（不改写原文件）
+  conf add <key> --value <真实值> [--name 说明] [--attrs '{"request":..,"response":..}'] [--type t] [--group g] [--force]  # 新增（默认判重，已存在跳过）
+  conf add-file @items.json                       # JSON 数组批量新增（逐条判重，元素可带 confGroup）
+  conf update <key> [--value v] [--name n] [--attrs a] [--type t] [--group g]   # 更新（confType+confGroup+confKey 定位，传哪个字段更哪个）
+  conf delete <key> [--type t] [--group g]        # 删除
+  示例: conf group api workflow | conf add GET_WORKFLOW_LIST --type api --group workflow --value /api/workflow/getList --name 查询流程列表
 exp     专家包版本管理（expert-repository/v1，响应以 data.actionMsg.code=0 判成功）
   exp status    --expert <code> [--branch main]                       # 仓库状态（headCommitId/headRevision=提交基线）
   exp manifest  --expert <code> [--commit <id>]                       # 文件清单（sha256）

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "e10-data",
-  "version": "0.1.8",
-  "description": "泛微 E10 数据接口统一 CLI（data-assistant 专家配套）：DSL 查询/数据源/文档/词库/关联字段翻译/环境参数配置中心(conf)/专家包版本管理，认证复用 weaver-e10-login 登录态",
+  "version": "0.1.10",
+  "description": "泛微 E10 数据接口统一 CLI（data-assistant 专家配套）：DSL 查询/数据源/文档/词库/关联字段翻译/环境参数配置中心(conf，支持 confGroup 分组)/专家包版本管理；认证加解密全部交由 weaver-e10-login（本 CLI 不再自行解密，通过 e10-login 命令出口获取凭据）",
   "author": "e10-dw",
   "license": "MIT",
   "type": "module",