magicrew-auth 0.3.6 → 0.3.7

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "magicrew-auth",
-  "version": "0.3.6",
+  "version": "0.3.7",
   "description": "超级麦吉 / MagiCrew for magpie and OpenCode — one package, two providers: letsmagic.cn (国内) and magicrew.ai (international). Password or web-JWT sign-in, the account's own live model list, points balance, newcomer rewards, invite codes.",
   "type": "module",
   "main": "./index.mjs",

package/src/hooks/methods.mjs

@@ -18,7 +18,8 @@ import {
   fetchWho,
   fetchOwnInviteCode,
 } from "../api.mjs"
-import { inviteToUse, readSession, writeSession, noteLoginFailure, rollInvite } from "../store.mjs"
+import { inviteToUse, readSession, writeSession, noteLoginFailure, noteOrg, readKnownOrgs, rollInvite } from "../store.mjs"
+import { readLocalCreds } from "../local-browser.mjs"
 import { CLIP_HINT, clipboardText, parseCreds, pollClipboard } from "../clipboard.mjs"
 
 export function makeMethods(c) {
@@ -34,6 +35,53 @@ export function makeMethods(c) {
           : `${c.web}/login`
         const hostFragment = new URL(c.web).hostname
 
+        // ⓿ 本机浏览器里已经有这个站点的登录态 → 直接接上，不开窗口。
+        //
+        //   这是「有的人网页登录了、插件里却没多出账号」的正解：用户平时那个浏览器
+        //   登录完，凭据就已经落在它的 localStorage 里了 —— 读文件就能拿到，
+        //   不用再让他在这个窗口里重登一次。
+        //
+        //   ⚠ 只在这个账号**还没加过**时自动接：否则用户点登录是想加新账号，
+        //     自动接上的会是同一个，magpie 侧（同 accountId + 同 uid）只会替换旧账号。
+        const local = readLocalCreds(hostFragment)
+        if (local && !readKnownOrgs(c.id).includes(local.org)) {
+          return {
+            url,
+            opened: true, // 凭据来自本机浏览器，我们没开页面 —— 别让 magpie 再开一个
+            instructions: `已从本机 ${local.browser} 读到 ${c.SHORT} 的登录态，正在验证…`,
+            method: "auto",
+            async callback() {
+              let r
+              try {
+                // 请求放在 callback 里：authorize 必须立刻返回，而且没被调用时不该打网络
+                await fetchPoints(local.jwt, local.org, c.host)
+                r = await issueGatewayKey(local.jwt, local.org, c.host)
+              } catch (e) {
+                // 本机那把失效了：记进「加过」名单，下次点登录就走窗口
+                noteOrg(c.id, local.org)
+                return {
+                  type: "failed",
+                  error: `本机 ${local.browser} 里的登录态已失效（${String(e?.message ?? e)}）。再点一次登录会打开窗口；或者先去那个浏览器里重新登录。`,
+                }
+              }
+              writeSession(c.id, local.jwt, local.org)
+              noteOrg(c.id, local.org)
+              rollInvite(c.id, local.jwt, local.org, c.host).catch(() => {})
+              const who = await fetchWho(local.jwt, local.org, c.host).catch(() => null)
+              return {
+                type: "success",
+                access: r.apiKey,
+                refresh: r.refreshToken,
+                expires: Date.now() + 2 * 3600_000,
+                accountId: who?.name || local.org,
+                uid: local.org,
+                jwt: local.jwt,
+                org: local.org,
+              }
+            },
+          }
+        }
+
         // 浏览器登录是**可选能力**，按需加载：这个模块用 child_process /
         // WebSocket / 端口探测，环境依赖最重。静态 import 一旦失败，
         // 整个插件都加载不起来 —— 连「登录态」那条备选也没了。
@@ -97,6 +145,7 @@ export function makeMethods(c) {
               await fetchPoints(got.jwt, got.org, c.host)
               const key = await issueGatewayKey(got.jwt, got.org, c.host)
               writeSession(c.id, got.jwt, got.org)
+              noteOrg(c.id, got.org)
               // 滚邀请码：把这个账号自己的码存成下一次用的
               rollInvite(c.id, got.jwt, got.org, c.host).catch(() => {})
               return {
@@ -170,6 +219,7 @@ export function makeMethods(c) {
               return { type: "failed", error: String(e?.message ?? e) }
             }
             writeSession(c.id, jwt, org)
+            noteOrg(c.id, org)
             rollInvite(c.id, jwt, org, c.host).catch(() => {})
             // 卡片上显示手机号/邮箱/昵称，取不到就退回组织码
             const who = await fetchWho(jwt, org, c.host).catch(() => null)

package/src/local-browser.mjs

@@ -0,0 +1,163 @@
+// 从**本机浏览器的 localStorage** 里读 magicrew 登录态 —— 不开窗口、不让用户粘任何东西。
+//
+// ═══ 为什么需要这条路 ═══════════════════════════════════════════════
+//
+// magicrew 没有 OAuth 回调通道（见 docs/internals.md 第九节），所以「用户在网页上
+// 登录成功」这件事，插件原本只能靠「自己起的那个浏览器」知道。于是有一个反复被报的
+// 现象：**用户在自己浏览器里登好了，插件里却没有多出账号** —— 因为那是另一个浏览器。
+//
+// 但凭据其实就躺在本地：Chromium 系（Edge / Chrome / Brave）把 localStorage 明文写在
+//
+//     <User Data>/<Default|Profile N>/Local Storage/leveldb/*.log|*.ldb
+//
+// 里，key 是 `_<origin>\x00\x01<name>`，值是 JSON。直接读文件就行，不用 CDP、不用开窗口。
+//
+// 读法：把 leveldb 目录按 latin1 拼成文本 → 以站点 host 出现的位置开一个窗口 →
+// 在同一个窗口里找 `"key":"authorization"` 与 `"key":"organizationCode2?"`。
+// LevelDB 按 key 排序，同一 origin 的记录挨在一起，所以窗口内配对是可靠的
+// （实测本机 Edge：`www.letsmagic.cn` 命中、`www.magicrew.ai` 不命中，不会串）。
+//
+// 成本：本机 Edge 27 MB / 34 ms。全部浏览器扫一遍通常 < 300 ms。
+//
+// ⚠ 只读。不写文件、不改浏览器数据、不碰 cookie。
+
+import { homedir } from "node:os"
+import { readdirSync, readFileSync } from "node:fs"
+import { join } from "node:path"
+
+/** 同一个 origin 的若干条记录（theme / i18n / userInfo / authorization …）挤在一起，
+ *  2000 字节足够覆盖到 organizationCode；太小会漏、太大可能跨到另一个站点 */
+const WINDOW = 2000
+
+/** 各平台的浏览器 User Data 根目录；不存在就跳过 */
+function roots() {
+  const h = homedir()
+  if (process.platform === "win32") {
+    const local = process.env.LOCALAPPDATA || join(h, "AppData", "Local")
+    return [
+      ["Edge", join(local, "Microsoft", "Edge", "User Data")],
+      ["Chrome", join(local, "Google", "Chrome", "User Data")],
+      ["Brave", join(local, "BraveSoftware", "Brave-Browser", "User Data")],
+      ["Chromium", join(local, "Chromium", "User Data")],
+    ]
+  }
+  if (process.platform === "darwin") {
+    return [
+      ["Chrome", join(h, "Library/Application Support/Google/Chrome")],
+      ["Edge", join(h, "Library/Application Support/Microsoft Edge")],
+      ["Brave", join(h, "Library/Application Support/BraveSoftware/Brave-Browser")],
+      ["Chromium", join(h, "Library/Application Support/Chromium")],
+    ]
+  }
+  return [
+    ["Chrome", join(h, ".config/google-chrome")],
+    ["Chromium", join(h, ".config/chromium")],
+    ["Edge", join(h, ".config/microsoft-edge")],
+    ["Brave", join(h, ".config/BraveSoftware/Brave-Browser")],
+  ]
+}
+
+function profilesOf(root) {
+  try {
+    return readdirSync(root).filter((n) => n === "Default" || /^Profile \d+$/.test(n))
+  } catch {
+    return []
+  }
+}
+
+function leveldbText(root, profile) {
+  const dir = join(root, profile, "Local Storage", "leveldb")
+  let files
+  try {
+    files = readdirSync(dir)
+  } catch {
+    return ""
+  }
+  let text = ""
+  for (const f of files) {
+    try {
+      text += readFileSync(join(dir, f)).toString("latin1")
+    } catch {}
+  }
+  return text
+}
+
+/** jwt 里的 iat / exp；解不出来返回 0 */
+function jwtTimes(jwt) {
+  try {
+    const body = JSON.parse(Buffer.from(String(jwt).split(".")[1] || "", "base64url").toString("utf8"))
+    return { iat: Number(body.iat) || 0, exp: Number(body.exp) || 0 }
+  } catch {
+    return { iat: 0, exp: 0 }
+  }
+}
+
+/** LevelDB 里一条记录的前缀：`_https://<origin>\x00\x01<name>` */
+const ORIGIN_RE = /_https?:\/\/([^\x00\x01"\\]{4,80})\x00\x01/g
+
+/**
+ * 在 host 每一次出现的位置开窗，取窗口内同一 origin 的 jwt × org 组合。
+ *
+ * ⚠ 必须按 origin 截断：两个站点的记录可能相邻（用户两个都登录过），
+ *   2000 字节的窗口会把国际站的 org 配到国内站的 jwt 上。
+ *   截断点 = 「下一个**不同站点**的 origin」，同站点的多条记录不截断。
+ */
+function credsNear(text, host, win = WINDOW) {
+  const bare = host.replace(/^www\./, "")
+  const origins = []
+  for (const m of text.matchAll(ORIGIN_RE)) origins.push({ host: m[1], at: m.index })
+
+  const out = []
+  let at = -1
+  while ((at = text.indexOf(host, at + 1)) !== -1) {
+    let stop = Math.min(text.length, at + win)
+    for (const o of origins) {
+      if (o.at > at && !o.host.includes(bare)) {
+        stop = o.at
+        break
+      }
+    }
+    const w = text.slice(at, stop)
+    // 每把 jwt 配**它自己后面**最近的那个组织码：
+    // LevelDB 按 key 排序（authorization < organizationCode），同一批写入的挨在一起；
+    // 取「窗口内第一个 org」会在同一站点存过多把凭据时配错。
+    for (const m of w.matchAll(/"key":"authorization","value":"(eyJ[^"]+)"/g)) {
+      const tail = w.slice(m.index)
+      const org = (tail.match(/"key":"organizationCode2?","value":"([^"]+)"/) || [])[1]
+      if (org) out.push({ jwt: m[1], org })
+    }
+  }
+  return out
+}
+
+/**
+ * 读本机浏览器里属于这个站点的登录态。
+ *
+ * @param {string} hostname 例如 `www.letsmagic.cn`
+ * @returns {{jwt:string, org:string, browser:string, profile:string, host:string, iat:number} | null}
+ *          取 iat 最新、且未过期的那一把；读不到返回 null（调用方降级到窗口登录）。
+ */
+export function readLocalCreds(hostname, { now = Date.now() } = {}) {
+  const bare = String(hostname || "").trim().replace(/^www\./, "")
+  if (!bare) return null
+  const hosts = [hostname, bare, `www.${bare}`].filter((v, i, a) => v && a.indexOf(v) === i)
+
+  let best = null
+  for (const [browser, root] of roots()) {
+    for (const profile of profilesOf(root)) {
+      const text = leveldbText(root, profile)
+      if (!text) continue
+      for (const host of hosts) {
+        for (const c of credsNear(text, host)) {
+          const { iat, exp } = jwtTimes(c.jwt)
+          if (!iat) continue
+          if (exp && exp * 1000 < now) continue
+          if (!best || iat > best.iat) best = { ...c, iat, browser, profile, host }
+        }
+      }
+    }
+  }
+  return best
+}
+
+export const _internal = { roots, profilesOf, leveldbText, credsNear, jwtTimes, WINDOW }

package/src/store.mjs

@@ -163,6 +163,40 @@ function writeSession(siteId, jwt, org) {
   } catch {}
 }
 
+// ═══ 加过哪些账号（只记 org）═══════════════════════════════════════════
+//
+// 唯一的用途：决定「本机浏览器里读到的登录态要不要自动接上」。
+//
+// 用户点「登录」多数是想加**新**账号；如果本机浏览器里那把属于已经加过的账号，
+// 自动接上只会得到「同一个账号」（magpie 侧同 accountId+uid → 替换，不新增），
+// 看起来又像「登录了却没加账号」。所以已经在名单里的 org，一律改走窗口登录。
+//
+// 记不上也无所谓：最坏是自动接上一个重复账号，magpie 会替换它。
+
+function orgsPath(siteId) {
+  return join(cacheDir(), `magicrew-orgs-${siteId}.json`)
+}
+
+function readKnownOrgs(siteId) {
+  try {
+    const v = JSON.parse(readFileSync(orgsPath(siteId), "utf8"))
+    return Array.isArray(v) ? v.filter((x) => typeof x === "string" && x) : []
+  } catch {
+    return []
+  }
+}
+
+function noteOrg(siteId, org) {
+  if (!org || typeof org !== "string") return
+  try {
+    const list = readKnownOrgs(siteId)
+    if (list.includes(org)) return
+    list.push(org)
+    const f = orgsPath(siteId)
+    mkdirSync(dirname(f), { recursive: true })
+    writeFileSync(f, JSON.stringify(list.slice(-50)))
+  } catch {}
+}
 
 export {
   AUTHOR_INVITE,
@@ -172,7 +206,10 @@ export {
   inviteToUse,
   loginLogPath,
   noteLoginFailure,
+  noteOrg,
+  orgsPath,
   readInvite,
+  readKnownOrgs,
   readSession,
   readSnapshot,
   sessionPath,