exomind 0.3.2 → 0.3.3

package/README.md

@@ -42,6 +42,20 @@ exomind feedback "entities/Redis.md" positive
 
 加 `--json` 获取机器可读输出(脚本/管道):`exomind --json stats | jq .total_nodes`。
 
+## 凭证管理
+
+`exomind login` 输入的凭证持久化到本地,后续命令自动读取,无需重复登录。
+
+- **存储位置**:`~/.exomind/config.json`(明文 JSON),文件权限 `0600`(仅所有者可读写;Windows 无 POSIX 权限则忽略)。
+- **凭证类型**:服务端 `auth_middleware` 同时接受 **API Key**(从 `d.youhuale.cn/ui/account` 复制)与 **GitHub token**(`gh_` 前缀);两者统一以 `Authorization: Bearer` 发送,CLI 不关心是哪种。
+- **读取优先级**:`config.json` 的 `api_key` → 环境变量 `EXOMIND_API_KEY` → 旧版遗留文件 `~/.claude/scripts/.exomind-api-key`(向后兼容老安装)。三者任一存在即免登录。
+- **CI / 免登录**:只设环境变量 `EXOMIND_API_KEY`(可选 `EXOMIND_BASE_URL`)即可,完全不写本地文件。`config.json` 优先级高于环境变量,故已 `login` 的机器需 `--api-key` 才能临时覆盖。
+- **校验行为**:`login` 先探活 `/keywords` **通过后再落盘**——401/403 时**不写文件**,避免无效凭证覆盖已有有效配置;网络错误无法判定时仍保存并提示"登录成功(未校验)",稍后用 `exomind whoami` 复核。
+- **换号 / 登出**:重新 `exomind login` 覆盖旧凭证;彻底登出删 `~/.exomind/config.json`。
+- **安全提醒**:文件是**明文**,任何能读你 home 目录的进程都能拿到 key。共享机器 / 不信任环境请用环境变量,不要用 `login`。
+
+> 把 API Key 当密码对待:不提交进仓库、不贴进聊天。脚本化登录用 `exomind login --api-key ...`(注意别让 key 进 shell 历史或进程列表);交互式 `exomind login` 的 prompt 读取不走 shell 历史。
+
 ## 接入 Claude Code(一条命令,默认全装)
 
 ```bash

package/dist/cli.js

@@ -3119,7 +3119,7 @@ var {
 // package.json
 var package_default = {
   name: "exomind",
-  version: "0.3.2",
+  version: "0.3.3",
   description: "ExoMind \u8DE8\u5E73\u53F0\u547D\u4EE4\u884C\u5BA2\u6237\u7AEF \u2014 \u901A\u8FC7 REST \u4E0E ExoMind \u77E5\u8BC6\u5E93\u4EA4\u4E92(ingest/query/search/review),\u66FF\u4EE3 Windows \u4E0D\u53EF\u7528\u7684 MCP \u5BA2\u6237\u7AEF\u3002",
   bin: {
     exomind: "dist/cli.js"
@@ -4228,22 +4228,24 @@ async function login(_client, opts) {
     token = await prompt("\u51ED\u8BC1: ");
   }
   if (!token) throw new Error("\u672A\u63D0\u4F9B\u51ED\u8BC1");
-  saveConfig({ base_url: baseUrl, api_key: token });
   const probe = new ApiClient({ base_url: baseUrl, api_key: token });
+  let verified = true;
   try {
     await probe.get("/keywords");
   } catch (e) {
     if (e instanceof ApiError && (e.status === 401 || e.status === 403)) {
       throw new Error(`\u51ED\u8BC1\u6821\u9A8C\u5931\u8D25 (HTTP ${e.status}): ${e.detail}`);
     }
+    verified = false;
     console.log(
       yellow(
-        `\u8B66\u544A: \u65E0\u6CD5\u8FDE\u63A5 ${baseUrl} \u6821\u9A8C\u51ED\u8BC1 (${e instanceof Error ? e.message : String(e)})\u3002\u914D\u7F6E\u5DF2\u4FDD\u5B58,\u7A0D\u540E\u53EF\u7528 exomind whoami \u9A8C\u8BC1\u3002`
+        `\u8B66\u544A: \u65E0\u6CD5\u8FDE\u63A5 ${baseUrl} \u6821\u9A8C\u51ED\u8BC1 (${e instanceof Error ? e.message : String(e)})\u3002\u914D\u7F6E\u4ECD\u5C06\u4FDD\u5B58,\u7A0D\u540E\u53EF\u7528 exomind whoami \u9A8C\u8BC1\u3002`
       )
     );
   }
+  saveConfig({ base_url: baseUrl, api_key: token });
   const hint2 = token.length > 12 ? `${token.slice(0, 8)}\u2026${token.slice(-4)}` : token;
-  console.log(ok("\u767B\u5F55\u6210\u529F"));
+  console.log(ok(verified ? "\u767B\u5F55\u6210\u529F" : "\u767B\u5F55\u6210\u529F(\u672A\u6821\u9A8C)"));
   console.log(dim(`  \u670D\u52A1\u5668: ${baseUrl}`));
   console.log(dim(`  \u51ED\u8BC1: ${hint2} (${token.startsWith("gh_") ? "GitHub token" : "API Key"})`));
 }