e10-data 0.1.9 → 0.1.10

package/README.md

@@ -9,7 +9,7 @@ npm i -g e10-data        # 全局安装
 e10-data --version       # 验证
 ```
 
-> 依赖：认证复用 `weaver-e10-login` 的登录态。**认证单一权威源 = `~/.e10-cli/profiles/<active>/auth`**（e10-login 统一认证，与所有专家/工具共享）；CLI 进程内读取并解密（AES-256-GCM，seed 与 e10-login 一致），随后自动回写同步明文镜像 `~/.workbuddy/e10-login-cache.md`（仅供查看/兜底）。请先安装并登录 weaver-e10-login（`e10-login oidc`），登录态失效时 CLI 会提示重新登录。
+> 依赖：认证复用 `weaver-e10-login` 的登录态。**加解密全部由 `e10-login` 负责，本 CLI 不实现任何加解密**（auth 文件由 e10-login 自己的密钥体系加密：1.5.0 起为「每机随机密钥 + OS keychain」，早期版本为固定 seed，只有 e10-login 解得开）。CLI 通过 e10-login 的命令出口取明文凭据，优先级：**① `e10-login auth --json`**（推荐的正式契约）→ **② `e10-login whoami --json`**（其 JSON 带 `cookies` 时）→ **③ `e10-login whoami`**（文本解析，当前实际路径）→ **④ 明文镜像 `~/.workbuddy/e10-login-cache.md`**（兜底，命中时打印告警）。请先安装并登录 weaver-e10-login（`e10-login oidc`）。
 
 ## 命令总览
 
@@ -29,7 +29,7 @@ e10-data attend  statis   考勤假期余额统计 getAttendInfoStatis（hr-atte
 - `--json`：原样输出接口 JSON（供脚本/Agent 消费）；默认人读输出。
 - 复杂 JSON/中文参数：推荐 `@文件` 承载（如 `--dsl @q.json`、`--where @cond.json`）。
 - ⚠️ 大整数精度（自动处理）：E10 的 ID 多为 19 位，超过 JS 安全整数（2^53-1≈9e15）。CLI 解析 JSON 时**自动把超范围裸整数转成字符串**再发请求/输出（实测后端接受字符串做 =/IN/BETWEEN 数值比较），无需手动加引号，也不误伤字符串正文。
-- 认证：优先读权威源 `~/.e10-cli/profiles/<active>/auth`（进程内 AES-256-GCM 解密）并自动同步明文镜像 `~/.workbuddy/e10-login-cache.md`；两者皆无提示先执行 `e10-login oidc`。
+- 认证：**加解密由 `e10-login` 负责（本 CLI 不参与）**。凭据出口优先级：`e10-login auth --json` → `e10-login whoami --json` → `e10-login whoami`（文本）→ 明文镜像 `~/.workbuddy/e10-login-cache.md`（兜底，命中时告警）。命中的出口会记入 `~/.e10-cli/.e10-data-auth-mode`（只存模式名、不存凭据），下次优先复用。环境变量：`E10_DATA_AUTH_PROBE=1` 强制重新探测、`E10_DATA_AUTH_MODE=<模式名>` 手动指定、`E10_DATA_QUIET=1` 抑制告警（告警只走 stderr）。
 - 版本更新：`npm i -g e10-data@latest`；查看源上最新 `npm view e10-data version`。
 
 ## 用法示例

package/bin/e10-data.mjs

@@ -15,7 +15,9 @@
  *   e10-data attend statis     考勤假期余额统计 getAttendInfoStatis（hr-attendance 病假/事假，2026-09-07）
  *
  * 通用：--json 原样输出；复杂 JSON 参数支持 @文件 或 内联（中文走 @文件 更稳）
- * 认证：进程内读取权威源 ~/.e10-cli/profiles/<active>/auth（e10-login 统一认证，AES-256-GCM seed 硬编码纯 JS 解密，v0.1.7 起），并自动回写同步明文镜像 ~/.workbuddy/e10-login-cache.md；两者皆无时提示先 e10-login
+ * 认证：加解密全部由 e10-login 负责（本 CLI 不实现任何加解密）。凭据出口优先级：
+ *   ① e10-login auth --json → ② e10-login whoami --json → ③ e10-login whoami（文本解析）
+ *   → ④ 明文镜像 ~/.workbuddy/e10-login-cache.md（兜底，命中时告警）；均不可用时提示先 e10-login oidc 登录
  *
  * 用法示例：
  *   node e10-data.mjs query  --conn 1144919996804022272 --model dw --schema dw --dsl @q.json
@@ -29,6 +31,7 @@ import fs from "node:fs";
 import os from "node:os";
 import path from "node:path";
 import crypto from "node:crypto";
+import { spawnSync } from "node:child_process";
 import { fileURLToPath } from "node:url";
 
 const __dirname = path.dirname(fileURLToPath(import.meta.url));
@@ -40,70 +43,148 @@ function cliVersion() {
 const UA = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/151.0.0.0 Safari/537.36";
 const EB_BIZ_ID = "10000000000000000";
 
-// ---------------- 认证 ----------------
-// 认证单一权威源：~/.e10-cli/profiles/<active>/auth（e10-login / e10-cli 统一认证，与所有专家共享，无需各自存登录信息）。
-//   AES-256-GCM 加密，seed 与 e10-login 一致（ccw_eteams_auth_v1_8a3f2c1b9e4d → sha256），纯 JS 进程内可解、零外部依赖。
-// 明文镜像：~/.workbuddy/e10-login-cache.md（历史遗留，仅供查看/兜底；读到权威源后自动回写同步，不再需要手工维护）。
-const E10_AUTH_SEED = "ccw_eteams_auth_v1_8a3f2c1b9e4d";
-function decryptAuthWrapper(wrapper) {
+// ---------------- 认证（加解密全部交由 e10-login，本 CLI 不再实现任何加解密）----------------
+// 背景：auth 文件由 e10-login 自己的密钥体系加密 —— e10-login 1.5.0 起为「每机随机密钥 + OS keychain
+//   （@napi-rs/keyring，service=e10-cli / account=auth-key；keychain 不可用才落 ~/.e10-cli/.key）」，
+//   早期版本为固定 seed。**只有 e10-login 解得开**，所以本 CLI 只负责「向 e10-login 要明文凭据」，
+//   不再自行解密 —— e10-login 以后更换密钥体系 / 算法 / profile 机制，本 CLI 都无需改动。
+// 凭据出口优先级（命中即返回；命中的"模式名"会记入 ~/.e10-cli/.e10-data-auth-mode，只存模式、不存凭据）：
+//   ① e10-login auth --json      正式契约（推荐 e10-login 侧新增；一旦可用自动优先）
+//   ② e10-login whoami --json    其 JSON 输出带 cookies 字段时可用
+//   ③ e10-login whoami           文本输出解析（当前 e10-login 1.5.0 的实际可用路径）
+//   ④ ~/.workbuddy/e10-login-cache.md 明文镜像 —— 最后兜底，命中时打印告警（该文件可能已过期）
+// 环境变量：E10_DATA_AUTH_PROBE=1 强制重新探测优先级；E10_DATA_AUTH_MODE=<模式名> 手动指定；
+//   E10_DATA_QUIET=1 抑制告警输出（告警一律走 stderr，不污染 --json 的 stdout）。
+const AUTH_MODE_FILE = path.join(os.homedir(), ".e10-cli", ".e10-data-auth-mode");
+
+/** 定位当前 profile 的 auth 文件（仅用于"是否已登录"的判断与报错提示，本 CLI 不读其内容做解密） */
+function authFilePath() {
+  const home = os.homedir();
+  let profile = "default";
   try {
-    const combined = Buffer.from(wrapper.data, "base64");
-    const IV = 12, TAG = 16;
-    if (combined.length < IV + TAG + 1) return null;
-    const key = crypto.createHash("sha256").update(E10_AUTH_SEED).digest();
-    const decipher = crypto.createDecipheriv("aes-256-gcm", key, combined.subarray(0, IV), { authTagLength: TAG });
-    decipher.setAuthTag(combined.subarray(combined.length - TAG));
-    return JSON.parse(Buffer.concat([decipher.update(combined.subarray(IV, combined.length - TAG)), decipher.final()]).toString("utf-8"));
-  } catch { return null; }
-}
-function parseAuthPayload(raw) {
-  try { // 兼容两种形态：加密 wrapper（{enc:true,data:base64}）与明文 JSON（{cookies,userId,...}）
-    const obj = JSON.parse(raw);
-    if (obj && obj.enc === true && typeof obj.data === "string") return decryptAuthWrapper(obj);
-    if (obj && obj.cookies && (obj.userId || obj.cookies.ETEAMSID)) return obj;
+    const activeFile = path.join(home, ".e10-cli", "profile");
+    if (fs.existsSync(activeFile)) { const n = fs.readFileSync(activeFile, "utf-8").trim(); if (n) profile = n; }
   } catch {}
-  return null;
-}
-function cookieFromAuthData(data) { // 组装完整 cookie 串：cookies.raw 优先，逐项补齐 langType/agentType/isAgent
-  const eteamsid = (data && data.cookies && data.cookies.ETEAMSID) || "";
-  const agent = (data && (data.agentType || data.agent_type)) || "workbuddy";
-  let c = (data && data.cookies && data.cookies.raw) || "";
-  if (c && !/langType=/.test(c)) c = "langType=zh_CN; " + c;
-  if (c && agent && !/agentType=/.test(c)) c += "; agentType=" + agent;
-  if (c && !/isAgent=/.test(c)) c += "; isAgent=true";
-  if (!c && eteamsid) c = "langType=zh_CN; ETEAMSID=" + eteamsid + "; agentType=" + agent + "; isAgent=true";
-  return { eteamsid, cookie: c };
-}
-function authFromE10Cli() { // ① 权威源：~/.e10-cli/profiles/<active>/auth
+  return { profile, file: path.join(home, ".e10-cli", "profiles", profile, "auth") };
+}
+
+let lastLoginDiag = "";
+/** 调用 e10-login（凭据的唯一来源）；失败返回 null，并把诊断信息留在 lastLoginDiag */
+function runLoginCli(args) {
   try {
-    const home = os.homedir();
-    let profile = "default";
-    try {
-      const activeFile = path.join(home, ".e10-cli", "profile");
-      if (fs.existsSync(activeFile)) { const n = fs.readFileSync(activeFile, "utf-8").trim(); if (n) profile = n; }
-    } catch {}
-    const p = path.join(home, ".e10-cli", "profiles", profile, "auth");
-    if (!fs.existsSync(p)) return null;
-    const data = parseAuthPayload(fs.readFileSync(p, "utf-8"));
-    if (!data || !data.cookies || !data.cookies.ETEAMSID || !data.baseUrl) return null;
-    const { eteamsid, cookie } = cookieFromAuthData(data);
-    return { baseUrl: data.baseUrl, eteamsid, cookie, userId: data.userId || "", tenantKey: data.tenantKey || "", profile };
-  } catch { return null; }
+    const r = spawnSync("e10-login", args, { shell: true, encoding: "utf-8", timeout: 20000, windowsHide: true });
+    const out = (r.stdout || "").trim();
+    if (r.error || r.status !== 0) {
+      lastLoginDiag = ((r.stderr || "") + out).trim().split(/\r?\n/).slice(0, 2).join(" / ") || (r.error ? String(r.error.message) : "exit=" + r.status);
+      return null;
+    }
+    return out || null;
+  } catch (e) { lastLoginDiag = String((e && e.message) || e); return null; }
+}
+
+/** 归一化 + 校验（缺 baseUrl / eteamsid / cookie 一律视为该出口不可用，继续下一个出口） */
+function normalizeAuth(o) {
+  if (!o) return null;
+  const baseUrl = String(o.baseUrl || "").trim().replace(/\/+$/, "");
+  const eteamsid = String(o.eteamsid || "").trim();
+  const cookie = String(o.cookie || "").trim();
+  if (!baseUrl || !eteamsid || !cookie) return null;
+  if (/^\((未知|空)\)$/.test(eteamsid) || /^\((未知|空)\)$/.test(cookie)) return null;
+  return { baseUrl, eteamsid, cookie, userId: String(o.userId || "").trim(), tenantKey: String(o.tenantKey || "").trim(), source: o.source };
+}
+
+/** ① e10-login auth --json（正式契约：{v,baseUrl,eteamsId,cookie,userAgent,userId,tenantKey,agentType,profile}） */
+function providerAuthJson() {
+  const out = runLoginCli(["auth", "--json"]);
+  if (!out) return null;
+  let j; try { j = JSON.parse(out); } catch { return null; }
+  if (!j || typeof j !== "object" || Array.isArray(j)) return null;
+  return normalizeAuth({
+    baseUrl: j.baseUrl || j.base_url,
+    eteamsid: j.eteamsId || j.eteamsid,
+    cookie: typeof j.cookie === "string" ? j.cookie : "",
+    userId: j.userId || j.employeeId,
+    tenantKey: j.tenantKey,
+    source: "e10-login auth --json",
+  });
+}
+
+/** ② e10-login whoami --json（需其 JSON 带 cookies 字符串；当前 1.5.0 未带 → 自动落到 ③） */
+function providerWhoamiJson() {
+  const out = runLoginCli(["whoami", "--json"]);
+  if (!out) return null;
+  let j; try { j = JSON.parse(out); } catch { return null; }
+  if (!j || typeof j !== "object" || Array.isArray(j)) return null;
+  const cookie = typeof j.cookies === "string" ? j.cookies : (typeof j.cookie === "string" ? j.cookie : "");
+  return normalizeAuth({
+    baseUrl: j.baseUrl,
+    eteamsid: j.eteamsId || j.eteamsid,
+    cookie,
+    userId: j.employeeId || j.userId,
+    tenantKey: j.tenantKey,
+    source: "e10-login whoami --json",
+  });
+}
+
+/** ③ e10-login whoami（文本输出解析：employeeId / tenantKey / baseUrl / ETEAMSID / cookies / User-Agent） */
+function providerWhoamiText() {
+  const out = runLoginCli(["whoami"]);
+  if (!out) return null;
+  const m = {};
+  for (const line of out.split(/\r?\n/)) {
+    const x = line.match(/^\s*([A-Za-z][A-Za-z0-9_-]*)\s*:\s*(.+?)\s*$/);
+    if (x) m[x[1].toLowerCase()] = x[2];
+  }
+  return normalizeAuth({
+    baseUrl: m["baseurl"],
+    eteamsid: m["eteamsid"],
+    cookie: m["cookies"],
+    userId: m["employeeid"] || m["userid"],
+    tenantKey: m["tenantkey"],
+    source: "e10-login whoami（文本）",
+  });
 }
-function authFromCacheMd() { // ② 兜底：历史明文缓存 ~/.workbuddy/e10-login-cache.md
+
+/** ④ 明文镜像（最后兜底：不涉及任何解密，但可能已过期 → 命中时告警） */
+function providerCacheMd() {
   const p = path.join(os.homedir(), ".workbuddy", "e10-login-cache.md");
   if (!fs.existsSync(p)) return null;
   const txt = fs.readFileSync(p, "utf-8");
   const get = (key) => {
-    const m = txt.match(new RegExp("\\*\\*" + key.replace(/[.*+?^${}()|[\]\\]/g, "\\$&") + "\\*\\*\\s*[:：]\\s*`?([^`\\n]+)`?"));
-    return m ? m[1].trim() : "";
+    const mm = txt.match(new RegExp("\\*\\*" + key.replace(/[.*+?^${}()|[\]\\]/g, "\\$&") + "\\*\\*\\s*[:：]\\s*`?([^`\\n]+)`?"));
+    return mm ? mm[1].trim() : "";
   };
-  const auth = { baseUrl: get("baseUrl"), eteamsid: get("ETEAMSID"), cookie: get("完整 Cookie 串"), userId: get("userId") || get("employeeId"), tenantKey: get("tenantKey") };
-  if (!auth.baseUrl || !auth.eteamsid) return null;
-  if (!auth.cookie) auth.cookie = "langType=zh_CN; ETEAMSID=" + auth.eteamsid + "; agentType=workbuddy; isAgent=true";
-  return auth;
+  const eteamsid = get("ETEAMSID");
+  let cookie = get("完整 Cookie 串");
+  if (!cookie && eteamsid) cookie = "langType=zh_CN; ETEAMSID=" + eteamsid + "; agentType=workbuddy; isAgent=true";
+  return normalizeAuth({
+    baseUrl: get("baseUrl"), eteamsid, cookie,
+    userId: get("userId") || get("employeeId"), tenantKey: get("tenantKey"),
+    source: "明文镜像 ~/.workbuddy/e10-login-cache.md（可能已过期）",
+  });
 }
-function syncCacheMd(auth) { // 读到权威源后自动回写明文镜像（内容无变化不写盘），根治"重登后手工同步"问题
+
+const AUTH_PROVIDERS = [
+  ["auth-json", providerAuthJson],
+  ["whoami-json", providerWhoamiJson],
+  ["whoami-text", providerWhoamiText],
+  ["cache-md", providerCacheMd],
+];
+/** 兜底出口不进记忆：否则 e10-login 偶发不可用一次，就会把"用镜像"永久设为首选、次次告警 */
+const AUTH_FALLBACK_PROVIDERS = new Set(["cache-md"]);
+
+function readAuthModeMemo() {
+  try {
+    const s = fs.readFileSync(AUTH_MODE_FILE, "utf-8").trim();
+    return AUTH_PROVIDERS.some(([n]) => n === s) ? s : null;
+  } catch { return null; }
+}
+function writeAuthModeMemo(name) {
+  try { fs.mkdirSync(path.dirname(AUTH_MODE_FILE), { recursive: true }); fs.writeFileSync(AUTH_MODE_FILE, name, "utf-8"); } catch {}
+}
+
+/** 凭据取自 e10-login 时，顺手把明文镜像刷新到最新（保持镜像可用；镜像不参与正常取数） */
+function syncCacheMd(auth) {
   try {
     const p = path.join(os.homedir(), ".workbuddy", "e10-login-cache.md");
     if (!fs.existsSync(p) || !/🔐 登录信息缓存/.test(fs.readFileSync(p, "utf-8"))) return; // 非标准缓存文件不动它
@@ -117,16 +198,47 @@ function syncCacheMd(auth) { // 读到权威源后自动回写明文镜像（内
       txt = n;
     };
     rep("baseUrl", auth.baseUrl); rep("ETEAMSID", auth.eteamsid); rep("完整 Cookie 串", auth.cookie); rep("userId", auth.userId || ""); rep("tenantKey", auth.tenantKey || "");
-    rep("缓存记录时间", ts + "（e10-data 自动同步自 ~/.e10-cli/profiles/" + (auth.profile || "") + "/auth）");
+    rep("缓存记录时间", ts + "（e10-data 自动同步，凭据来源：" + (auth.source || "") + "）");
     if (changed) fs.writeFileSync(p, txt, "utf-8");
   } catch {}
 }
+
+/** 取凭据：按优先级依次尝试各出口；命中的模式会被记住（下次优先尝试它，省一次进程调用） */
 function loadAuth() {
-  const cli = authFromE10Cli();                       // ① 权威源优先（e10-login 统一认证，多专家共享）
-  if (cli) { syncCacheMd(cli); return cli; }
-  const cached = authFromCacheMd();                   // ② 权威源缺失时回退旧明文缓存
-  if (cached) return cached;
-  throw new Error("未找到登录认证（~/.e10-cli/profiles 与 ~/.workbuddy/e10-login-cache.md 均无），请先执行 e10-login oidc / set 登录");
+  const { profile, file } = authFilePath();
+  const override = (process.env.E10_DATA_AUTH_MODE || "").trim();
+  const memo = override || (process.env.E10_DATA_AUTH_PROBE ? null : readAuthModeMemo());
+  const order = memo
+    ? AUTH_PROVIDERS.filter(([n]) => n === memo).concat(AUTH_PROVIDERS.filter(([n]) => n !== memo))
+    : AUTH_PROVIDERS;
+
+  const diag = [];
+  for (const [name, fn] of order) {
+    let got = null;
+    lastLoginDiag = "";
+    try { got = fn(); } catch (e) { diag.push(name + ": " + ((e && e.message) || e)); }
+    if (got) {
+      if (name !== memo && !AUTH_FALLBACK_PROVIDERS.has(name)) writeAuthModeMemo(name);
+      got.profile = profile;
+      if (name === "cache-md") {
+        if (!process.env.E10_DATA_QUIET) {
+          console.error("[e10-data][warn] 凭据来源＝" + got.source + "；正常应由 e10-login 提供凭据，请检查 `e10-login whoami` 是否能输出 cookies。");
+        }
+      } else {
+        syncCacheMd(got);   // 凭据来自 e10-login → 顺便把镜像刷新到最新
+      }
+      return got;
+    }
+    if (lastLoginDiag) diag.push(name + ": " + lastLoginDiag);
+  }
+
+  throw new Error(
+    "未取得登录凭据（解密由 e10-login 负责，本 CLI 不参与）。请依次检查：\n" +
+    "  ① e10-login 是否可用：`e10-login --version`（缺失 → `npm i -g e10-login`）；`e10-login whoami` 应能输出 cookies\n" +
+    "  ② 是否已登录 / 登录态是否失效：`e10-login oidc` 重新登录（当前 profile: " + profile + "）\n" +
+    "  ③ auth 文件：" + (fs.existsSync(file) ? "存在" : "不存在") + "（" + file + "）—— 其加解密由 e10-login 负责\n" +
+    (diag.length ? "  探测诊断：" + diag.join(" ｜ ") + "\n" : "")
+  );
 }
 const auth = loadAuth();
 const BASE = auth.baseUrl.replace(/\/+$/, "");
@@ -135,7 +247,11 @@ const USER = { id: auth.userId || "", tenantKey: auth.tenantKey || "" };
 // ---------------- HTTP ----------------
 function checkAuthFail(resp, text, j) {
   if (resp.status === 401 || (j && String(j.code) === "-1" && /token|登录|失效/i.test(String(j.msg || "")))) {
-    throw new Error("登录态失效(" + (j.msg || resp.status) + ")，请重新 e10-login oidc 登录");
+    const from = (auth && auth.source) || "未知";
+    const hint = /镜像/.test(from)
+      ? "当前用的是明文镜像兜底凭据（可能已过期），请先确认 `e10-login whoami` 能正常导出 cookies，或执行 `e10-login oidc` 重新登录"
+      : "凭据由 e10-login 提供，请执行 `e10-login oidc` 重新登录";
+    throw new Error("登录态失效(" + (j.msg || resp.status) + ")：凭据来源＝" + from + "；" + hint);
   }
 }
 async function postJson(endpoint, bodyObj, extraHeaders = {}) {

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "e10-data",
-  "version": "0.1.9",
-  "description": "泛微 E10 数据接口统一 CLI（data-assistant 专家配套）：DSL 查询/数据源/文档/词库/关联字段翻译/环境参数配置中心(conf，支持 confGroup 分组)/专家包版本管理，认证复用 weaver-e10-login 登录态",
+  "version": "0.1.10",
+  "description": "泛微 E10 数据接口统一 CLI（data-assistant 专家配套）：DSL 查询/数据源/文档/词库/关联字段翻译/环境参数配置中心(conf，支持 confGroup 分组)/专家包版本管理；认证加解密全部交由 weaver-e10-login（本 CLI 不再自行解密，通过 e10-login 命令出口获取凭据）",
   "author": "e10-dw",
   "license": "MIT",
   "type": "module",