magicrew-auth 0.3.32 → 0.3.33

package/src/store.mjs

@@ -7,9 +7,10 @@
 //
 // ⚠ 这不是「状态管理」，是缓存：删掉全部，插件照样能跑（只是要重新登录一次）。
 
-import { readFileSync, writeFileSync, mkdirSync, unlinkSync } from "node:fs"
+import { readFileSync, writeFileSync, mkdirSync, unlinkSync, existsSync } from "node:fs"
 import { homedir } from "node:os"
 import { join, dirname } from "node:path"
+import { fileURLToPath } from "node:url"
 import { fetchOwnInviteCode } from "./api.mjs"
 
 function cacheDir() {
@@ -115,11 +116,45 @@ function writeInvite(siteId, code) {
 
 /** 这次登录该带的邀请码：锁定 → 策略 → 记录 → 作者码 */
 function inviteToUse(siteId, locked = true) {
+  const live = liveOrgs(siteId)
+  // 账号文件读不到 / 一个号都没有时按「不校验」处理，行为与以前一致
+  const known = live !== null && live.size > 0
   if (locked) {
     const pol = readInvitePolicy(siteId)
-    if ((pol.mode === "fixed" || pol.mode === "custom") && pol.code) return pol.code
+    if ((pol.mode === "fixed" || pol.mode === "custom") && pol.code) {
+      // fixed 挂在某个账号上 —— 账号删了码就别再带（新号会注册落空）
+      if (!(known && pol.mode === "fixed" && pol.org && !live.has(pol.org))) return pol.code
+    }
+  }
+  const rolling = readInvite(siteId)
+  if (rolling) {
+    if (!known) return rolling
+    // 滚动码也可能属于已删除的账号：按码反查归属，归属没了就换作者码兜底
+    const codes = readAccountCodes(siteId)
+    const owner = Object.keys(codes).find((o) => codes[o]?.code === rolling)
+    if (!owner || live.has(owner)) return rolling
+  }
+  return AUTHOR_INVITE[siteId] || ""
+}
+
+/**
+ * magpie 账号文件里这个站点还登录着的 org（只读 plugin-auth.json）。
+ * 返回 null 表示读不到 —— 调用方应按「不校验」处理，而不是当空集。
+ */
+export function liveOrgs(siteId) {
+  try {
+    const raw = JSON.parse(readFileSync(join(homedir(), ".config", "magpie", "plugin-auth.json"), "utf8"))
+    const out = new Set()
+    for (const [k, v] of Object.entries(raw || {})) {
+      if (k === siteId || k.startsWith(siteId + "#")) {
+        const org = String(v?.org || "").trim()
+        if (org) out.add(org)
+      }
+    }
+    return out
+  } catch {
+    return null
   }
-  return readInvite(siteId) || AUTHOR_INVITE[siteId] || ""
 }
 
 /** 作者自己的码（「我的」那一项） */
@@ -151,10 +186,12 @@ export function readInvitePolicy(siteId) {
   try {
     const v = JSON.parse(readFileSync(invitePolicyPath(siteId), "utf8"))
     const mode = ["auto", "fixed", "custom"].includes(v?.mode) ? v.mode : "auto"
+    const org = String(v?.org || "").trim()
     return {
       mode,
       code: String(v?.code || "").trim(),
-      org: String(v?.org || "").trim(),
+      // 旧版把作者码存成 org:"author"；作者不是账号，按「无 org」处理
+      org: org === "author" ? "" : org,
       accountId: String(v?.accountId || "").trim(),
       at: String(v?.at || ""),
     }
@@ -173,11 +210,12 @@ export function writeInvitePolicy(siteId, policy) {
       JSON.stringify({
         mode,
         code: String(policy?.code || "").trim(),
-        org: String(policy?.org || "").trim(),
+        org: String(policy?.org || "").trim() === "author" ? "" : String(policy?.org || "").trim(),
         accountId: String(policy?.accountId || "").trim(),
         at: new Date().toISOString(),
       }),
     )
+    syncInvitePage() // 页面上的「当前」跟着刷新
   } catch {}
 }
 
@@ -217,6 +255,109 @@ export function noteAccountCode(siteId, org, code, accountId) {
     const f = inviteCodesPath(siteId)
     mkdirSync(dirname(f), { recursive: true })
     writeFileSync(f, JSON.stringify(all))
+    syncInvitePage() // 页面清单跟着刷新
+  } catch {}
+}
+
+/**
+ * 把「有哪些账号、各自的邀请码、当前策略」写进 page/codes.js。
+ *
+ * 插件页面是沙箱：没有 fetch、读不到磁盘，也读不到账号（magpie 只给它 usage / providers）。
+ * 所以清单靠这里预先生成一份静态脚本，页面 <script src="codes.js"> 直接读 —— 与
+ * agent-purge 的 gen-personas.mjs 是同一个套路。
+ */
+/**
+ * org → 便于辨认的名字（打码手机号 / 邮箱），从 magpie 自己的账号文件**只读**。
+ * 页面要显示「178****697（IV…）」，而 rollInvite 只拿得到 org，所以在这里补。
+ */
+function readAccountLabels() {
+  const out = {}
+  try {
+    const raw = JSON.parse(readFileSync(join(homedir(), ".config", "magpie", "plugin-auth.json"), "utf8"))
+    for (const v of Object.values(raw || {})) {
+      const org = String(v?.org || "")
+      const id = String(v?.accountId || "")
+      if (org && id && !out[org]) out[org] = id
+    }
+  } catch {}
+  return out
+}
+
+/**
+ * 删除账号后的确定性清理：码缓存去掉死号；滚动码若属死号一并清掉
+ * （不清掉的话，缓存一清 inviteToUse 就查不到归属，反判成「归属不明」保留）。
+ *
+ * ⚠ 新号竞态保护（2026-10-29 实测复现）：注册登录时 rollInvite 先记码，
+ *   magpie 把新号写进 plugin-auth.json 在**之后** —— 此刻 liveOrgs 看不到新号，
+ *   直接清理会把刚记的码当死号删掉，页面要等下次登录/签到才有它。
+ *   所以 **10 分钟内记录的条目不参与清理**；这窗口内 inviteToUse 的死号门
+ *   （owner 死→回落）仍然兜底。
+ * 账号文件读不到（liveOrgs === null）时不动，避免误清。
+ */
+const FRESH_ACCOUNT_MS = 10 * 60_000
+
+export function pruneDeadAccounts(siteId) {
+  const live = liveOrgs(siteId)
+  if (!live || !live.size) return null
+  const codes = readAccountCodes(siteId)
+  const fresh = (v) => {
+    try {
+      return Date.now() - Date.parse(v?.at || "") < FRESH_ACCOUNT_MS
+    } catch {
+      return false
+    }
+  }
+  const dead = Object.keys(codes).filter((org) => !live.has(org) && !fresh(codes[org]))
+  if (!dead.length) return { dead: [], rollingCleared: false }
+  let rollingCleared = false
+  const rollingNow = readInvite(siteId)
+  if (rollingNow && dead.some((org) => codes[org]?.code === rollingNow)) {
+    try {
+      unlinkSync(invitePath(siteId))
+      rollingCleared = true
+    } catch {}
+  }
+  const kept = { ...codes }
+  for (const org of dead) delete kept[org]
+  try {
+    const f = inviteCodesPath(siteId)
+    mkdirSync(dirname(f), { recursive: true })
+    writeFileSync(f, JSON.stringify(kept))
+  } catch {}
+  return { dead, rollingCleared }
+}
+
+export function syncInvitePage({ root: target } = {}) {
+  try {
+    const root = target || dirname(dirname(fileURLToPath(import.meta.url)))
+    // 仓库里的测试/开发不生成（否则 page/codes.js 会脏工作区）；发布包装有 .git 才写。
+    // 显式传 root（测试）时不受这个保护限制。
+    if (!target && (process.env.MAGICREW_NO_PAGE_SYNC === "1" || existsSync(join(root, ".git")))) return
+    const labels = readAccountLabels()
+    const sites = {}
+    for (const site of ["magicrew", "magicrew-intl"]) {
+      const live = liveOrgs(site)
+      pruneDeadAccounts(site)
+      let codes = readAccountCodes(site)
+      for (const [org, v] of Object.entries(codes)) {
+        if (v && !v.accountId && labels[org]) v.accountId = labels[org]
+      }
+      const pol = readInvitePolicy(site)
+      const rolling = readInvite(site)
+      const ownerOf = (code) => Object.keys(codes).find((o) => codes[o]?.code === code) || ""
+      sites[site] = {
+        codes,
+        policy: pol,
+        // 当前选择指向已删除的账号 —— 页面据此提示，登录侧已自动回退
+        policyStale: Boolean(live && live.size && pol.mode === "fixed" && pol.org && !live.has(pol.org)),
+        rolling,
+        rollingStale: Boolean(live && live.size && rolling && ownerOf(rolling) && !live.has(ownerOf(rolling))),
+        author: AUTHOR_INVITE[site] || "",
+      }
+    }
+    const f = join(root, "page", "codes.js")
+    mkdirSync(dirname(f), { recursive: true })
+    writeFileSync(f, "window.MAGICREW_CODES = " + JSON.stringify({ at: new Date().toISOString(), sites }) + ";\n")
   } catch {}
 }