weaver-e9-assistant-cli 1.0.0 → 1.1.2

package/dist/client.js

@@ -174,15 +174,36 @@ export class E9Api {
             throw new Error(`请求失败：${method} ${url}。服务器可能不可达或网络不通。`);
         return er;
     }
-    /** GET。URL+query 拼好后委托 requestWithRetry。 */
-    async get(path, query) {
-        return this.requestWithRetry('GET', buildUrl(this.baseUrl, path, query));
+    /**
+     * GET。URL+query 拼好后委托 requestWithRetry。
+     * opts.forceCookie=true 时强制走 cookie 头裸发一次（跳过 token/ensureValid）——
+     * 供 token 通道 no-op（200 但业务空、非 401 不走重试）的接口逃生，如 /api/ec/dev/app/getUserInfo。
+     */
+    async get(path, query, opts = {}) {
+        const url = buildUrl(this.baseUrl, path, query);
+        if (opts?.forceCookie) {
+            const headers = await this.getHeaders(undefined, { forceCookie: true });
+            const res = await fetch(url, { method: 'GET', headers, signal: AbortSignal.timeout(30000) }).catch(() => null);
+            return res ? await toE9Response(res) : null;
+        }
+        return this.requestWithRetry('GET', url, undefined, 30000);
     }
-    /** POST。body 用 URLSearchParams（与原 e9Request 编码一致），委托 requestWithRetry。 */
-    async post(path, body) {
+    /**
+     * POST。body 用 URLSearchParams（与原 e9Request 编码一致），委托 requestWithRetry。
+     * opts.forceCookie=true 时强制走 cookie 头裸发一次（跳过 token/ensureValid）——
+     * 供 token 通道 no-op（200 但业务空、非 401 不走重试）的接口逃生，如 hrm 下属查询。
+     */
+    async post(path, body, opts = {}) {
         const form = new URLSearchParams();
         for (const [k, v] of Object.entries(body ?? {}))
             form.append(k, v);
+        if (opts?.forceCookie) {
+            const headers = await this.getHeaders('application/x-www-form-urlencoded; charset=utf-8', { forceCookie: true });
+            const res = await fetch(buildUrl(this.baseUrl, path), {
+                method: 'POST', headers, body: form.toString(), signal: AbortSignal.timeout(30000),
+            }).catch(() => null);
+            return res ? await toE9Response(res) : null;
+        }
         return this.requestWithRetry('POST', buildUrl(this.baseUrl, path), form.toString(), 30000);
     }
 }

package/dist/cube.js

@@ -79,6 +79,74 @@ export async function getCubeCondition(cfg, opts = {}) {
         .filter((it) => it.label);
     return { items, raw: j };
 }
+/**
+ * ★越权防护 人员条件 label 白名单（专项守卫正则，不复用 wfuser.js PERSON_LABEL——
+ *   它漏了 审批人/接收人/操作人/下属，且含 联系人 会误伤 联系人电话）。
+ * 判定前先剔除含 电话/手机/邮箱/号码/传真/部门/日期/时间 的字段（非人筛选）。
+ * 说明：方案A（label 正则）为主判据；conditionType 码未知，实跑校准后补 type 码 OR。
+ */
+/**
+ * 明确排除的非人字段：联系方式（联系人电话…）/ 日期时间（填报日期…）/ 计数单位（人数/人次/人天…）。
+ * 不排除「部门」——部门负责人/部门经办人/部门审批人仍是人员，后缀「人」判据应当命中。
+ */
+const NON_PERSON_LABEL = /电话|手机|邮箱|号码|传真|日期|时间|区间|人数|人次|人天/;
+/** 明确的人员白名单（不含「人」字或不在后缀规则内的：姓名/人员/联系人/下属/上级）。 */
+export const PERSON_CONDITION_LABEL =
+    /^(姓名|人员|联系人|下属|上级|领导)$/u;
+/** 人员后缀判据（先剔除 NON_PERSON 后）：X人/ X人员/ X员/ X者（报销人/值班人员/采购员/阅读者…）。
+ * 人员类别/人员类型等「人员+名词」不是人员过滤（人员类别=正式工），靠「末尾字符∈人者员」排除。 */
+const PERSON_SUFFIX = /[人者员]$/u;
+
+/**
+ * 该 label 是否属于「按人过滤」查询条件（fail-closed：宁可多拦）。
+ * 判据 = 后缀启发式「X人」（报销人/使用人/领用人/申请人/审批人/经办人/填报人…全部覆盖）+
+ *        白名单（姓名/人员/联系人/下属/上级）；先剔除联系方式/日期时间/计数单位。
+ * 后缀启发式替代旧白名单枚举——旧白名单漏「报销人/使用人/领用人」等，会放行越权查询。
+ */
+export function isPersonConditionLabel(label) {
+    if (typeof label !== 'string' || !label.trim())
+        return false;
+    const l = label.trim();
+    if (NON_PERSON_LABEL.test(l))
+        return false;
+    if (PERSON_SUFFIX.test(l))
+        return true;
+    if (l.includes('姓名'))
+        return true;
+    return PERSON_CONDITION_LABEL.test(l);
+}
+
+/**
+ * ★越权防护 人员条件分类（纯函数，便于单测）。
+ * condItems：getCubeCondition 返回的条件项 [{label, domkey, type}]。
+ * rawPairs：[["键","值"],...]（键可能是 domkey 也可能是中文 label）。
+ * 返回 [{label, domkey, value}]——命中人员条件白名单的键值对。
+ */
+export function classifyPersonConditions(condItems, rawPairs) {
+    if (!Array.isArray(rawPairs) || rawPairs.length === 0)
+        return [];
+    // domkey → label 索引（label 键也能命中 condItems 的 label）
+    const domToLabel = {};
+    for (const it of condItems || [])
+        for (const dk of (it.domkey ?? []))
+            if (it.label && !(dk in domToLabel))
+                domToLabel[dk] = it.label;
+    const labels = new Set((condItems || []).map((it) => it.label).filter(Boolean));
+    const personConditions = [];
+    for (const [k, v] of rawPairs) {
+        const key = String(k ?? '').trim();
+        const val = String(v ?? '').trim();
+        if (!key || !val)
+            continue;
+        const label = domToLabel[key] ?? (labels.has(key) ? key : null);
+        // 后缀启发式直接判按键名（即使条件定义缺失，也能拦「报销人=王五」）；
+        // domkey 依赖 domToLabel 反查；两者皆无则落到 unverifiablePerson 由调用方 fail-closed 拒绝。
+        if (isPersonConditionLabel(label ?? key))
+            personConditions.push({ label: label ?? key, domkey: key, value: val });
+    }
+    return personConditions;
+}
+
 /**
  * ★新 条件字符串 → conditionValues 映射（P2-3，0.4.8）。
  *
@@ -86,7 +154,10 @@ export async function getCubeCondition(cfg, opts = {}) {
  *   - 键以 `con_`/`dom_`/`field`/`col` 开头 → 视为合法 domkey，原样透传（向后兼容）。
  *   - 其它 → 视为中文 label，用 getCubeCondition 的 label→domkey 映射自动转换；
  *     未匹配时返回 unresolved（含候选 label 列表），由调用方报错提示，不静默放空。
- * 返回 { conditionValues, unresolved:[{label, candidates:[...]}] }。
+ * ★越权防护（1.1.0）：只要传了条件就取一次条件定义——含 domkey 直传也要反查 label 分类，
+ *   堵 `con_7261=...` 直接给 domkey 绕开中文 label 的越权口；getCubeCondition 抛错 → 透传不阻断
+ *   但打 stderr 警告「本次未做人员越权校验」。
+ * 返回 { conditionValues, unresolved:[{label, candidates:[...]}], personConditions:[{label, domkey, value}] }。
  */
 export async function resolveCubeCondition(cfg, opts = {}) {
     const customid = String(opts.customid);
@@ -100,21 +171,27 @@ export async function resolveCubeCondition(cfg, opts = {}) {
                 pairs.push([kv.slice(0, i).trim(), kv.slice(i + 1).trim()]);
         }
     if (pairs.length === 0)
-        return { conditionValues, unresolved: [] };
+        return { conditionValues, unresolved: [], personConditions: [] };
     // 判断是否含中文 label 键
     const needsLabelMap = pairs.some(([k]) => !/^(con|dom|field|col)[-_]?/i.test(k));
-    let labelToDom = {};
-    let mappingFailed = false;
-    if (needsLabelMap) {
-        try {
-            const cond = await getCubeCondition(cfg, { customid });
-            for (const it of cond.items)
-                for (const dk of (it.domkey ?? []))
-                    if (it.label && !(it.label in labelToDom))
-                        labelToDom[it.label] = dk;
-        }
-        catch { mappingFailed = true; }
+    let condItems = [];
+    let condFetched = false;
+    // ★越权防护：只要传了条件就取一次条件定义（含 domkey 直传也要反查 label 分类）
+    try {
+        const cond = await getCubeCondition(cfg, { customid });
+        condItems = cond.items;
+        condFetched = true;
+    }
+    catch {
+        // fail-closed：定义读不到时 domkey 无法反查 → 由下方 unverifiablePerson 拒绝；中文 label 按名称判定不受影响
+        if (pairs.some(([k]) => /^(con|dom|field|col)[-_]?/i.test(k)))
+            process.stderr.write('⚠ 无法读取台账查询条件定义：domkey 类条件将被拒绝（无法确认是否按人过滤），中文字段名条件按名称判定。\n');
     }
+    const labelToDom = {};
+    for (const it of condItems)
+        for (const dk of (it.domkey ?? []))
+            if (it.label && !(it.label in labelToDom))
+                labelToDom[it.label] = dk;
     const unresolved = [];
     for (const [k, v] of pairs) {
         if (/^(con|dom|field|col)[-_]?/i.test(k)) {
@@ -125,8 +202,8 @@ export async function resolveCubeCondition(cfg, opts = {}) {
         if (domkey) {
             conditionValues[domkey] = v;
         }
-        else if (mappingFailed) {
-            // 映射接口本身失败（网络抖动/无权限）：按原样透传，不阻断（用户可能直接给了 domkey）
+        else if (!condFetched) {
+            // 条件定义接口本身失败（网络抖动/无权限）：按原样透传，不阻断（用户可能直接给了 domkey）——但已打越权警告
             conditionValues[k] = v;
         }
         else {
@@ -135,7 +212,21 @@ export async function resolveCubeCondition(cfg, opts = {}) {
             unresolved.push({ label: k, candidates });
         }
     }
-    return { conditionValues, unresolved };
+    // ★越权防护（fail-closed）：无法确认是否按人过滤的条件 → 调用方硬拒绝。
+    //   - 条件定义读取失败：domkey 类键无法反查 label → 无法确认；
+    //   - 定义读取成功但 domkey 不在定义中：可能是未进筛选定义的人员字段 → 无法确认；
+    //   中文 label 键可经后缀启发式直接判定，不依赖定义。
+    const knownDom = new Set();
+    for (const it of condItems)
+        for (const dk of (it.domkey ?? []))
+            knownDom.add(dk);
+    let unverifiablePerson = false;
+    for (const [k, v] of pairs)
+        if (v && /^(con|dom|field|col)[-_]?/i.test(String(k)) && !knownDom.has(String(k).trim()))
+            unverifiablePerson = true;
+    // ★越权防护：人员条件分类（供调用方 assertNamesInScope 校验）
+    const personConditions = classifyPersonConditions(condItems, pairs);
+    return { conditionValues, unresolved, unverifiablePerson, personConditions };
 }
 /**
  * ★新 字段下拉选项全表。GET /api/cube/search/getSearchColumnInfo?customid=<id>。
@@ -1112,9 +1203,13 @@ export async function submitCubeCard(cfg, opts = {}) {
     await e9Request(ep, { method: 'POST', path: '/api/cube/new/card/cubeVerifyRepeat', body: { billid, type: '1', modeId, formId, _key, guid: 'card', verifys: '{}' } });
     await e9Request(ep, { method: 'POST', path: '/api/cube/new/card/checkCardDataChange', body: { billid, type: '1', modeId, formId, _key, guid: 'card', changeDataTime: cdt, iscreate } });
     // ④ JSONStr 全字段（cf.fields 所有 id，values 覆盖，未填给空）
+    // 修复 #37：只读字段（isedit=false）未填时优先带 mainFields 返回的默认值 f.value——
+    //   填报人(dkr)/填报日期(dkrq)/填报时间(dksj)/员工类型(yglx) 等由后端在新建态 mainFields
+    //   预填当前用户/今天/当前时间，旧实现兜底 '' 覆盖为空格，实测 billid=35 这些字段提交后为空。
+    //   f.value 兜底同样修复 edit：编辑态 mainFields 带当前值，未传字段不再被清空。
     const jsonObj = {};
     for (const f of fields)
-        jsonObj[`field${f.id}`] = String(values[f.id] ?? values[`field${f.id}`] ?? '');
+        jsonObj[`field${f.id}`] = String(values[f.id] ?? values[`field${f.id}`] ?? f.value ?? '');
     // ⑤ doSubmit（cookie，同 session）
     const body = {
         billid, type: '1', modeId, formId, _key, guid: 'card', token: cardToken,
@@ -1157,7 +1252,15 @@ export async function previewCubeCard(cfg, opts = {}) {
             return { fieldId: String(fid), label: f?.label ?? `field${fid}`, value: so?.name ?? info.value };
         });
     }
-    return { modeId, formId, billid, layoutid, fields, finalValues: values, linked, files };
+    // 未填字段并入 mainFields 默认值（只读字段填报人/填报日期等后端预填），
+    // 保证 dry-run 确认表与真实提交字段集一致（同 submitCubeCard 的 f.value ?? '' 兜底）。
+    const finalValues = { ...values };
+    for (const f of fields) {
+        const fid = String(f.id);
+        if (finalValues[fid] === undefined && finalValues[`field${fid}`] === undefined && f.value !== undefined && f.value !== null && f.value !== '')
+            finalValues[fid] = f.value;
+    }
+    return { modeId, formId, billid, layoutid, fields, finalValues, linked, files };
 }
 /** 删除台账记录（cookie）。GET /api/cube/expand/deleteData?operate=DeleteAction&billids=。 */
 export async function deleteCubeData(cfg, opts = {}) {

package/dist/email.js

@@ -773,7 +773,10 @@ export async function uploadEmailAttachment(cfg, filePath, { name } = {}) {
     catch {
         j = null;
     }
-    return { ok: j?.status === '1' || r.ok, data: j?.data ?? null, raw: j };
+    // 修复 #3：cookie 过期时后端返回 HTTP 200 + {msg:"登录信息超时",errorCode:"002",status:false}，
+    // 旧判断把 r.ok（HTTP 200）当成功 → 附件实际未上传却显示成功。只认 body 的 status 成功标志。
+    const ok = j?.status === '1' || j?.status === 1 || j?.status === true;
+    return { ok, data: j?.data ?? null, raw: j };
 }
 /**
  * 附件列表。链路：GET /api/email/attachment/list?filename=&subject= → sessionkey