npm - z2o-cli - Versions diffs - 0.7.0 → 0.8.0 - Mend

z2o-cli 0.7.0 → 0.8.0

This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.

Files changed (3) hide show

package/index.js +139 -13
package/package.json +1 -1
package/plugin/.claude-plugin/plugin.json +1 -1

package/index.js CHANGED Viewed

@@ -15,9 +15,13 @@
  */
 import { readFileSync, writeFileSync, mkdirSync, chmodSync, existsSync, cpSync, rmSync } from 'node:fs';
-import { homedir } from 'node:os';
+import { homedir, hostname } from 'node:os';
 import { join, dirname } from 'node:path';
 import { fileURLToPath } from 'node:url';
+import { createServer } from 'node:http';
+import { createHash, randomBytes } from 'node:crypto';
+import { spawn } from 'node:child_process';
+import { createInterface } from 'node:readline/promises';
 const DEFAULT_API = 'https://z2o.kr/_/backend';
 // 발급되는 토큰의 모양. `z2o_live_` + base64url.
@@ -81,7 +85,7 @@ async function rpc(method, params, { token: override } = {}) {
   // `login` 은 **아직 저장하지 않은** 토큰으로 확인해야 한다 — 그래서 넘겨받는 길을 둔다.
   const token = override || saved;
   if (!token) {
-    die('연결된 토큰이 없어요.\n  z2o.kr → 오른쪽 위 프로필 → 「연결 토큰」에서 발급한 뒤 `z2o init <토큰>` 하세요.');
+    die('아직 연결 안 됐어요.\n  `z2o login` 을 하면 브라우저에서 「허용」 한 번으로 연결됩니다.');
   }
   if (token && !TOKEN_RE.test(token)) {
@@ -102,7 +106,7 @@ async function rpc(method, params, { token: override } = {}) {
     die(`서버에 닿지 못했어요 (${api}).\n  ${e.message}`);
   }
-  if (res.status === 401) die('토큰이 유효하지 않거나 끊겼어요. `z2o login <토큰>` 으로 다시 연결해 주세요.');
+  if (res.status === 401) die('연결이 끊겼어요(토큰이 끊겼거나 틀림). `z2o login` 으로 다시 연결해 주세요.');
   if (res.status === 403) {
     // 읽기 전용 토큰으로 쓰기를 시도한 경우. 서버 문구를 그대로 전한다.
     let detail = '';
@@ -131,6 +135,119 @@ async function callTool(name, args, opts) {
   return text;
 }
+// ── 브라우저로 붙이기 ────────────────────────────────────
+//
+// 🔑 **사람이 토큰 문자열을 볼 일이 없게 한다.** 터미널에 붙여 넣는 것은 스푸핑·탈취
+//    위험이 있고(2026-09-10 데일리), 비개발자에게는 그 자체가 벽이다. `gh auth login` 과
+//    같은 모양 — 브라우저에서 「허용」을 누르면 여기로 돌아온다.
+//
+// 🔑 **PKCE.** 비밀값은 이 프로세스 밖으로 안 나간다. 브라우저를 오가는 것은 그 해시와
+//    5분짜리 코드뿐이고, 코드는 비밀값 없이는 토큰으로 못 바꾼다.
+const b64url = (buf) => buf.toString('base64').replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
+/** 백엔드 주소에서 웹 주소를 얻는다. 운영은 같은 도메인 뒤에 `/_/backend` 가 붙는다. */
+function webBase(api) {
+  if (process.env.Z2O_WEB) return process.env.Z2O_WEB.replace(/\/+$/, '');
+  if (/^https?:\/\/(localhost|127\.0\.0\.1):8000$/.test(api)) return api.replace(':8000', ':3000');
+  return api.replace(/\/_\/backend$/, '');
+}
+function openBrowser(url) {
+  const [cmd, args] =
+    process.platform === 'darwin' ? ['open', [url]]
+      : process.platform === 'win32' ? ['cmd', ['/c', 'start', '""', url]]
+        : ['xdg-open', [url]];
+  try {
+    const p = spawn(cmd, args, { stdio: 'ignore', detached: true });
+    p.on('error', () => { /* 못 열어도 주소를 찍어 두었으니 사람이 연다 */ });
+    p.unref();
+    return true;
+  } catch {
+    return false;
+  }
+}
+const DONE_HTML = (msg) => `<!doctype html><meta charset="utf-8"><title>제로투원</title>
+<body style="font-family:-apple-system,system-ui,sans-serif;background:#f6f6f2;display:grid;place-items:center;height:100vh;margin:0">
+<div style="text-align:center;color:#34322e"><div style="font-size:18px;font-weight:600">${msg}</div>
+<div style="margin-top:8px;font-size:13px;opacity:.55">이 창은 닫아도 돼요.</div></div></body>`;
+/** 브라우저에서 허용받아 토큰을 저장한다. 워크스페이스를 매었으면 그것도 정해 둔다. */
+async function browserLogin({ paste = false } = {}) {
+  const { api } = settings();
+  const web = webBase(api);
+  const verifier = b64url(randomBytes(32));
+  const challenge = b64url(createHash('sha256').update(verifier).digest());
+  const state = b64url(randomBytes(16));
+  const q = new URLSearchParams({ cc: challenge, state, name: `${hostname().replace(/\.local$/, '')} · z2o` });
+  let code;
+  if (paste) {
+    // 브라우저가 다른 기기에 있다(원격 서버·SSH). 여기로 돌아올 길이 없으니 코드를 옮겨 적는다.
+    q.set('mode', 'paste');
+    console.log(`이 주소를 브라우저에서 열고 「허용」을 누르세요:\n\n  ${web}/cli-login?${q}\n`);
+    const rl = createInterface({ input: process.stdin, output: process.stdout });
+    code = (await rl.question('화면에 뜬 연결 코드를 붙여 넣으세요: ')).trim();
+    rl.close();
+  } else {
+    code = await new Promise((resolve, reject) => {
+      // 🔑 **내 컴퓨터에서만 받는다**(127.0.0.1). 포트는 비어 있는 아무 곳 — 고정하면 겹친다.
+      const server = createServer((req, res) => {
+        const u = new URL(req.url || '/', 'http://127.0.0.1');
+        if (u.pathname !== '/callback') {
+          res.writeHead(404).end();
+          return;
+        }
+        // ⚠️ `state` 가 다르면 이 창에서 시작한 요청이 아니다 — 받지 않는다.
+        const got = u.searchParams.get('state') === state ? u.searchParams.get('code') : null;
+        res.writeHead(got ? 200 : 400, { 'Content-Type': 'text/html; charset=utf-8', Connection: 'close' });
+        res.end(DONE_HTML(got ? '연결됐어요. 터미널로 돌아가세요.' : '요청이 맞지 않아요. 터미널에서 z2o login 을 다시 해 주세요.'));
+        if (!got) return;
+        clearTimeout(timer);
+        server.close();
+        resolve(got);
+      });
+      const timer = setTimeout(() => {
+        server.close();
+        reject(new Error('5분 안에 허용하지 않아 멈췄어요. `z2o login` 을 다시 해 주세요.'));
+      }, 5 * 60 * 1000);
+      server.on('error', reject);
+      server.listen(0, '127.0.0.1', () => {
+        q.set('port', String(server.address().port));
+        const url = `${web}/cli-login?${q}`;
+        console.log(openBrowser(url)
+          ? '브라우저에서 제로투원을 열었어요. 「허용」을 누르면 여기로 돌아옵니다.'
+          : '브라우저를 열지 못했어요.');
+        console.log(`\n안 열리면 이 주소를 직접 여세요:\n  ${url}\n`);
+        console.log('(브라우저가 다른 기기에 있으면 Ctrl+C 로 멈추고 `z2o login --paste`)\n');
+      });
+    });
+  }
+  if (!code) die('연결 코드가 비었어요.');
+  let res;
+  try {
+    res = await fetch(`${api}/api/tokens/cli/exchange`, {
+      method: 'POST',
+      headers: { 'Content-Type': 'application/json' },
+      body: JSON.stringify({ code, code_verifier: verifier }),
+    });
+  } catch (e) {
+    die(`서버에 닿지 못했어요 (${api}).\n  ${e.message}`);
+  }
+  const body = await res.json().catch(() => ({}));
+  if (!res.ok || !body.token) die(body.detail || `서버가 ${res.status} 로 답했어요.`);
+  // 워크스페이스에 매인 토큰이면 그걸 기본으로 — `z2o use` 를 따로 안 해도 된다.
+  saveConf({ ...loadConf(), token: body.token, ...(body.company_id ? { companyId: body.company_id } : {}) });
+  console.log(
+    `연결했어요 — ${body.company_name || '내가 볼 수 있는 워크스페이스 전부'} · ` +
+      `${body.scope === 'write' ? '자료·정리까지' : '읽기만'}`,
+  );
+  return body;
+}
 /** 회사 id 를 정한다. `-c` > 환경변수 > 설정 파일 순. */
 function needCompany(flags) {
   const id = flags.c || settings().companyId;
@@ -245,6 +362,7 @@ function parseArgs(argv) {
     const a = argv[i];
     if (a === '-c' || a === '--company') flags.c = argv[++i];
     else if (a === '-g' || a === '--global') flags.global = true;
+    else if (a === '--paste') flags.paste = true;
     else if (a === '-h' || a === '--help') flags.help = true;
     else rest.push(a);
   }
@@ -253,9 +371,11 @@ function parseArgs(argv) {
 const HELP = `z2o — 회사 온톨로지를 내가 쓰는 AI에서 꺼내 쓴다
-  z2o init [토큰]             한 번에 붙이기 — 로그인 + 워크스페이스 + AI 규칙파일
+  z2o init                    한 번에 붙이기 — 브라우저 로그인 + 워크스페이스 + AI 규칙파일
   z2o init -g                 규칙을 **모든 폴더**에 (~/.claude 등). 폴더마다 안 해도 됨
-  z2o login <토큰>            토큰만 저장
+  z2o login                   브라우저에서 「허용」 한 번으로 연결 (토큰을 볼 일이 없다)
+  z2o login --paste           브라우저가 다른 기기에 있을 때 — 화면의 코드를 붙여 넣는다
+  z2o login <토큰>            발급받은 토큰을 직접 넣기
   z2o logout                  저장한 토큰 지우기
   z2o whoami                  지금 어떻게 붙어 있나
@@ -284,14 +404,23 @@ const HELP = `z2o — 회사 온톨로지를 내가 쓰는 AI에서 꺼내 쓴
   -c, --company <id>          이번만 다른 워크스페이스로
   -g, --global                init 을 모든 폴더에 적용
+      --paste                 login·init 을 코드 붙여넣기로
 환경 변수: Z2O_API · Z2O_TOKEN · Z2O_COMPANY (설정 파일보다 우선)`;
 // ── 명령 ────────────────────────────────────────────────
 const COMMANDS = {
-  async login([token]) {
-    if (!token) die('토큰을 함께 적어 주세요.\n  z2o login z2o_live_...');
+  async login([token], flags = {}) {
+    // 토큰을 안 주면 브라우저로 — 이게 기본 길이다. 토큰을 직접 넣는 길은 남겨 둔다(CI·스크립트).
+    if (!token) {
+      await browserLogin({ paste: flags.paste });
+      if (!settings().companyId) {
+        console.log('\n' + (await callTool('list_companies', {})));
+        console.log('\n`z2o use <id 또는 이름>` 으로 기본 워크스페이스를 정해 두세요.');
+      }
+      return;
+    }
     if (!TOKEN_RE.test(token)) {
       die('토큰 모양이 아니에요. `z2o_live_` 로 시작하는 한 줄이어야 합니다.');
     }
@@ -314,15 +443,12 @@ const COMMANDS = {
     const [token] = args;
     const { token: saved } = settings();
-    // ① 로그인 — 토큰을 줬으면 그걸로, 이미 붙어 있으면 그대로.
+    // ① 로그인 — 토큰을 줬으면 그걸로, 없으면 브라우저로, 이미 붙어 있으면 그대로.
     if (token) {
       await COMMANDS.login([token]);
     } else if (!saved) {
-      die(
-        '먼저 열쇠가 필요해요.\n' +
-          '  1. https://z2o.kr 로그인 → 오른쪽 위 프로필 → 「연결 토큰」 → 발급\n' +
-          '  2. z2o init <발급받은 열쇠>',
-      );
+      await browserLogin({ paste: flags.paste });
+      console.log('');
     } else {
       console.log('이미 연결돼 있어요.\n');
     }

package/package.json CHANGED Viewed

@@ -1,6 +1,6 @@
 {
   "name": "z2o-cli",
-  "version": "0.7.0",
+  "version": "0.8.0",
   "description": "제로투원 — 회사 온톨로지와 슬랙 맥락을 내가 쓰는 AI에서 꺼내 쓴다",
   "keywords": [
     "z2o",

package/plugin/.claude-plugin/plugin.json CHANGED Viewed

@@ -1,7 +1,7 @@
 {
   "$schema": "https://anthropic.com/claude-code/plugin.schema.json",
   "name": "z2o",
-  "version": "0.7.0",
+  "version": "0.8.0",
   "description": "제로투원 — 회사 위키·슬랙·회의록을 읽고(/z2o:read) 위키에 정리해 넣는다(/z2o:ingest). z2o CLI 를 감싼다.",
   "author": {
     "name": "Lindy Operation"