sycommon-python-lib 0.2.10a14__tar.gz → 0.2.10a15__tar.gz

{sycommon_python_lib-0.2.10a14 → sycommon_python_lib-0.2.10a15}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: sycommon-python-lib
-Version: 0.2.10a14
+Version: 0.2.10a15
 Summary: Add your description here
 Requires-Python: >=3.11
 Description-Content-Type: text/markdown

{sycommon_python_lib-0.2.10a14 → sycommon_python_lib-0.2.10a15}/pyproject.toml

@@ -1,6 +1,6 @@
 [project]
 name = "sycommon-python-lib"
-version = "0.2.10a14"
+version = "0.2.10a15"
 description = "Add your description here"
 readme = "README.md"
 requires-python = ">=3.11"

{sycommon_python_lib-0.2.10a14 → sycommon_python_lib-0.2.10a15}/src/sycommon/middleware/context.py

@@ -4,6 +4,14 @@ current_trace_id = contextvars.ContextVar("trace_id", default=None)
 
 current_headers = contextvars.ContextVar("headers", default=None)
 
+# 请求作用域网关用户(解析后的 SsoUser dict,非 token 原文 — 凭证红线:
+# token 原文不进任何可被日志/异常路径带走的结构)。入口中间件(traceid.py
+# _gateway_user_ctx)写入:token 头解出;缺失时 default_system_sso_user()
+# 兜底(Java UserContextHandlerInterceptor 无 token 分支同款)。feign 出站
+# 读取重签 token 头(sso_token.sign_sso_token,Java FeignRequestInterceptor
+# 对齐)。finally reset(与 current_headers 同生命周期)。
+current_sso_user = contextvars.ContextVar("sso_user", default=None)
+
 # per-user LLM 网关 apiKey：agent 创建入口 set，get_llm 读取，沿 task 树传播。
 # 为 None 时 get_llm 回退到 LLMConfig.apiKey 全局 key。
 current_llm_api_key = contextvars.ContextVar("llm_api_key", default=None)

{sycommon_python_lib-0.2.10a14 → sycommon_python_lib-0.2.10a15}/src/sycommon/middleware/traceid.py

@@ -5,6 +5,7 @@ from typing import Dict, Any
 from fastapi import Request, Response
 from sycommon.logging.kafka_log import SYLogger
 from sycommon.logging.log_masker import masker as _log_masker
+from sycommon.middleware.context import current_sso_user
 from sycommon.tools.merge_headers import merge_headers
 from sycommon.tools.snowflake import Snowflake
 
@@ -35,6 +36,12 @@ _HEADER_WHITELIST = frozenset({
     b"x-role-header",
     b"x-customer-header",
     b"x-host-name",
+    # 🔑 Java FeignRequestInterceptor requestHeaders 列表成员(续,
+    # 2026-10-19 字节码核对):tips/req-type 原样转发;sy-call-source
+    # Java 从 MDC 读(MdcFilter 入站搬进 MDC),此处从头白名单等价承载。
+    b"tips",
+    b"req-type",
+    b"sy-call-source",
 })
 
 
@@ -57,30 +64,50 @@ def _gateway_user_ctx(request) -> list:
     覆写 token 头下发。这里解出 customerId/reqSource 并以合成键返回
     (并入 current_headers 供 _tenant_user_context 读取);token 头本身
     绝不进上下文(凭证红线)。任何失败返回 []。
+
+    🔑 feign 出站重签(2026-10-19 Java FeignRequestInterceptor 对齐):
+    解析成功的 SsoUser dict 同时写入 current_sso_user ContextVar(feign
+    出站 sign_sso_token 重签 token 头用);token 缺失/解析失败时写入
+    default_system_sso_user() 兜底(Java preHandle 无 token 分支的
+    ThreadLocal 填充同款 — 链路上每跳恒有用户)。调用方须在 finally
+    reset(与 header_token 同生命周期,见 setup_trace_id_handler)。
     """
     import base64
     import gzip
     import io
     import json as _json
 
+    from sycommon.tools.sso_token import default_system_sso_user
+
+    sso = None
     try:
         raw_token = request.headers.get("token") or ""
-        if not raw_token:
-            return []
-        decoded = base64.b64decode(raw_token.strip())
-        with gzip.GzipFile(fileobj=io.BytesIO(decoded)) as zf:
-            body = zf.read()
-        sso = _json.loads(body)
-        if not isinstance(sso, dict):
-            return []
-        out = []
-        if sso.get("customerId"):
-            out.append((b"x-customer-header", str(sso["customerId"]).encode()))
-        if sso.get("reqSource"):
-            out.append((b"sy-req-source", str(sso["reqSource"]).encode()))
-        return out
+        if raw_token:
+            decoded = base64.b64decode(raw_token.strip())
+            with gzip.GzipFile(fileobj=io.BytesIO(decoded)) as zf:
+                body = zf.read()
+            parsed = _json.loads(body)
+            if isinstance(parsed, dict):
+                sso = parsed
     except Exception:
+        sso = None
+    # 兜底:无 token/解析失败 → SYSTEM 用户(Java preHandle 同款);
+    # 兜底不产生合成 header(合成键语义 = 从真实 token 提取,兜底用户
+    # 的 customerId 不进日志上下文 — 保持日志字段与旧行为一致)。
+    if sso is None:
+        current_sso_user.set(default_system_sso_user(request.url.path))
         return []
+    # username 派生键:Java getUsername() 返回 userId 且被 Jackson 序列化
+    # (token 恒含该键),网关下发的原始 token 里已有则不动。
+    if sso.get("userId") and not sso.get("username"):
+        sso["username"] = sso["userId"]
+    current_sso_user.set(sso)
+    out = []
+    if sso.get("customerId"):
+        out.append((b"x-customer-header", str(sso["customerId"]).encode()))
+    if sso.get("reqSource"):
+        out.append((b"sy-req-source", str(sso["reqSource"]).encode()))
+    return out
 
 
 def _omit_base64_content(obj: Any) -> None:
@@ -510,6 +537,10 @@ def setup_trace_id_handler(app):
             if not had_exception:
                 SYLogger.reset_trace_id(token)
                 SYLogger.reset_headers(header_token)
+                # current_sso_user 与 header_token 同生命周期重置(feign
+                # 出站重签的请求作用域用户;残留会让下一请求/后台任务拿
+                # 到旧用户 — 6b5ea4d token 残留教训同款)。
+                current_sso_user.set(None)
             # 如果 had_exception 为 True，这里什么都不做，保留 ContextVar 供 Exception Handler 读取
 
     return app

{sycommon_python_lib-0.2.10a14 → sycommon_python_lib-0.2.10a15}/src/sycommon/rabbitmq/rabbitmq_client.py

@@ -613,8 +613,10 @@ class RabbitMQClient:
         # → current_headers 等价物（tenantId/userId 进 Kafka 日志字段）。
         # finally reset —— 对齐 Java 的 MDC.clear()，防止泄漏到同连接的后续回调。
         from sycommon.models.sso_user import SsoUser
+        from sycommon.middleware.context import current_sso_user
         ctx_token = None
         trace_token = None
+        sso_token = None
         try:
             body_dict = json.loads(message.body.decode("utf-8"))
             msg_obj: MQMsgModel = MQMsgModel(**body_dict)
@@ -654,6 +656,22 @@ class RabbitMQClient:
                         (b"x-tenant-header", (sso.tenant_id or "").encode()),
                         (b"x-userid-header", (sso.user_id or "").encode()),
                     ])
+                    # 🔑 完整 SsoUser 进 current_sso_user(对齐 Java
+                    # SimpleMessageListenerContainerHelper 的
+                    # UserContext.putContext):handler 里再发起 feign 调用时
+                    # 出站 token 重签依赖它 — 只 set_headers 的话 feign 出站
+                    # 取不到用户,token 头丢用户上下文。finally reset(与
+                    # ctx_token 同生命周期)。
+                    # model_dump(mode='json'):datetime → ISO 字符串 — feign
+                    # 出站 sign_sso_token 会再 json.dumps,裸 datetime 会
+                    # TypeError 炸掉整个出站调用。username 派生键:Java
+                    # getUsername() 返回 userId 且序列化,显式补齐。
+                    # 不 exclude_none:对齐 Java Jackson ALWAYS — null 字段
+                    # 照样输出,不省略任何键。
+                    sso_dict = sso.model_dump(by_alias=True, mode='json')
+                    if sso.user_id and not sso_dict.get('username'):
+                        sso_dict['username'] = sso.user_id
+                    sso_token = current_sso_user.set(sso_dict)
                 except Exception as ctx_err:
                     logger.debug(f"MQ context header 恢复失败(忽略): {ctx_err}")
 
@@ -702,6 +720,8 @@ class RabbitMQClient:
             SYLogger.reset_trace_id(trace_token)
             if ctx_token is not None:
                 SYLogger.reset_headers(ctx_token)
+            if sso_token is not None:
+                current_sso_user.reset(sso_token)
 
     @staticmethod
     async def _safe_ack(message) -> None:
@@ -731,6 +751,9 @@ class RabbitMQClient:
         JSON 解析失败等「消息本身坏掉」的场景在 _process_message_callback
         里直接 ack 丢弃（重投也不可能成功）。
         """
+        # 🔑 current_sso_user 在本方法内多处使用(同步 handler 线程传递);
+        # 函数内导入与 _process_message_callback 同风格(避免模块级循环依赖)。
+        from sycommon.middleware.context import current_sso_user
         async with self._task_semaphore:
             # 🔑 区分「业务异常」与「ack 网络调用异常」：业务阶段（handler 执行）
             # 抛的任何异常——包括 ConnectionError/TimeoutError（业务调下游 HTTP/DB
@@ -755,6 +778,13 @@ class RabbitMQClient:
                     # 的 Context 拷贝天然带上；同步 handler 必须闭包显式传。
                     trace_id = msg_obj.traceId
                     headers_snapshot = SYLogger.get_headers()
+                    # 🔑 同步 handler 的 sso 快照(2026-10-19 复审缺口修复):
+                    # 与 traceId/headers 同理 —— run_in_executor 不拷贝
+                    # contextvars,线程里 current_sso_user 是 None → 同步
+                    # handler 内发起 feign 出站不带 token 头,下游 Java 拿
+                    # 不到用户。异步 handler 靠 create_task 的 Context 拷贝
+                    # 天然带上,无需此处处理。
+                    sso_snapshot = current_sso_user.get()
                     loop = asyncio.get_running_loop()
 
                     def _sync_wrapper():
@@ -767,9 +797,14 @@ class RabbitMQClient:
                         headers_token = None
                         if headers_snapshot is not None:
                             headers_token = SYLogger.set_headers(headers_snapshot)
+                        sso_token = None
+                        if sso_snapshot is not None:
+                            sso_token = current_sso_user.set(sso_snapshot)
                         try:
                             return handler(msg_obj, message)
                         finally:
+                            if sso_token is not None:
+                                current_sso_user.reset(sso_token)
                             if headers_token is not None:
                                 SYLogger.reset_headers(headers_token)
                             SYLogger.reset_trace_id(token)

{sycommon_python_lib-0.2.10a14 → sycommon_python_lib-0.2.10a15}/src/sycommon/synacos/feign.py

@@ -6,7 +6,9 @@ import atexit
 import weakref
 
 from sycommon.tools.merge_headers import merge_headers
+from sycommon.tools.sso_token import app_name, sign_sso_token
 from sycommon.tools.snowflake import Snowflake
+from sycommon.middleware.context import current_sso_user
 
 import aiohttp
 from sycommon.logging.kafka_log import SYLogger
@@ -139,6 +141,22 @@ async def _feign_internal(service_name, api_path, method='GET', params=None, hea
     if "x-traceId-header" not in headers:
         headers["x-traceId-header"] = SYLogger.get_trace_id() or Snowflake.id
 
+    # 🔑 Java FeignRequestInterceptor 对齐(2026-10-19):服务间调用出站
+    # 三件套 —— Python/Go → Java 时下游 UserContextHandlerInterceptor 只认
+    # token 头里的 SsoUser,此前 Python 侧不带,下游拿不到用户上下文。
+    #   1. token 重签:请求作用域 SsoUser(current_sso_user,入口中间件解
+    #      token 头写入;缺失时 SYSTEM 兜底)覆写 reqSource=本服务名后
+    #      重新 gzip+base64 写 token 头 — 链路每跳改写"是谁在调"
+    #      (Java setReqSource(appName) 同款);
+    #   2. inner=1 无条件附加(显式已传则尊重):标记内部服务间调用,
+    #      下游 InnerHandler 拦截器据此放行(X-Request-Gateway 校验)。
+    # 显式传入的 headers 已在 merge_headers 中以 target 侧胜出,此处
+    # token 只在调用方未显式传时写入(不覆盖显式值)。
+    sso = current_sso_user.get()
+    if sso is not None and "token" not in {k.lower() for k in headers}:
+        headers["token"] = sign_sso_token(sso, app_name())
+    headers.setdefault("inner", "1")
+
     # 处理JSON请求的Content-Type
     is_json_request = method.upper() in ["POST", "PUT", "PATCH"] and not (
         files or form_data or file_path)

{sycommon_python_lib-0.2.10a14 → sycommon_python_lib-0.2.10a15}/src/sycommon/synacos/feign_client.py

@@ -9,7 +9,9 @@ from typing import Any, Dict, Optional, Literal, Type, TypeVar
 from urllib.parse import urljoin
 
 from sycommon.tools.merge_headers import merge_headers
+from sycommon.tools.sso_token import app_name, sign_sso_token
 from sycommon.tools.snowflake import Snowflake
+from sycommon.middleware.context import current_sso_user
 
 import aiohttp
 from pydantic import BaseModel
@@ -250,6 +252,16 @@ def feign_client(
                 headers = merge_headers(SYLogger.get_headers(), headers)
                 headers["x-traceId-header"] = SYLogger.get_trace_id() or Snowflake.id
 
+                # 🔑 Java FeignRequestInterceptor 对齐(2026-10-19,与
+                # feign.py 函数版同语义):token 重签(reqSource=本服务名)
+                # + inner=1。调用方经 @feign_request(headers=...) 或 Header
+                # 参数显式传了 token/inner 时不覆盖(下方 Header 参数注入
+                # 在其后执行,显式值最终胜出)。
+                sso = current_sso_user.get()
+                if sso is not None and "token" not in {k.lower() for k in headers}:
+                    headers["token"] = sign_sso_token(sso, app_name())
+                headers.setdefault("inner", "1")
+
                 # 处理参数中的Header类型
                 for name, meta in param_meta.items():
                     if isinstance(meta, Header) and name in bound_args:

sycommon_python_lib-0.2.10a15/src/sycommon/tools/sso_token.py

@@ -0,0 +1,103 @@
+"""sso_token.py — 网关 token 头签发/兜底(对齐 Java)。
+
+Java 侧两处源码语义:
+1. GzipUtils.zip / FeignRequestInterceptor:服务间调用出站时把当前
+   SsoUser 覆写 reqSource=本服务名(spring.application.name)后重新
+   gzip+base64 写 token 头 —— 链路每跳标识"是谁在调"。
+2. UserContextHandlerInterceptor.preHandle 无 token 分支:System.getenv
+   ("tenantId"/"customerId"/"userId")(缺省 T000001/TRIST/SYSTEM)
+   buildSsoUser 塞进 ThreadLocal —— 无网关入口也恒有用户上下文。
+
+凭证红线:这里只处理【解析后的 SsoUser dict】与【重签产物】,不接收/
+不存储 token 原文进任何上下文结构(日志侧 token 头不进白名单)。
+"""
+import base64
+import gzip
+import io
+import json
+import os
+
+
+def app_name() -> str:
+    """本服务注册名(nacos ServiceName)。
+
+    nacos_client_base.py:154 同源:Config().config.get('Name','')。
+    Java ${spring.application.name} 等价物 — feign 出站 token 重签时
+    覆写 reqSource 用。Config 未初始化/未配置时返回空串(重签仍执行,
+    reqSource 落空串与旧 token 内值无关 — Java appName 空时同款)。
+    """
+    try:
+        from sycommon.config.Config import Config
+        return Config().config.get('Name', '')
+    except Exception:
+        return ''
+
+
+def _java_datetime_form(payload: dict) -> None:
+    """把 MQ 路径带入的 ISO-8601 时间串归一为 Java 格式(原地改)。
+
+    HTTP 路径的 dict 是 Java token json.loads 产物,时间已是
+    yyyy-MM-dd HH:mm:ss.SSS 字符串,原样透传;MQ 路径 model_dump(mode='json')
+    会把 datetime 序列化成 2026-10-19T12:30:01.123000(T 分隔 + 6 位微秒)
+    —— 与 Java 网关 token 不同形。下游 Java CustomLocalDateTimeDeserializer
+    多格式兼容,但按逐字节同形要求归一(2026-10-19 复审发现 2:与 Go 侧
+    javaLocalDateTime.MarshalJSON 的 .000 三位毫秒对齐)。归一失败原样保留
+    (不因形态问题炸掉整条出站)。
+    """
+    import re
+    _iso = re.compile(
+        r'^(\d{4}-\d{2}-\d{2})T(\d{2}:\d{2}:\d{2})(?:\.(\d+))?$')
+    for key in ('lastLogonTime', 'pwdExpiryDate'):
+        v = payload.get(key)
+        if not isinstance(v, str):
+            continue
+        m = _iso.match(v)
+        if m:
+            frac = (m.group(3) or '0')[:3].ljust(3, '0')
+            payload[key] = f"{m.group(1)} {m.group(2)}.{frac}"
+
+
+def sign_sso_token(sso: dict, app_name_str: str) -> str:
+    """SsoUser dict → gzip+base64 token 头形态(Java GzipUtils.zip)。
+
+    reqSource 覆写 app_name_str(FeignRequestInterceptor.setReqSource
+    (appName) 同款)。原 dict 不被修改(浅拷贝后改)。
+    字段不省略:对齐 Java Jackson ALWAYS — 所有 null 键照样输出;唯一
+    剥离的是 password(Java @JsonIgnore,字节码确认是唯一被 Jackson
+    忽略的业务字段;oldPassword/signKey/securityToken/accessToken/mur
+    均无注解,全量保留)。
+    initStatus 补默认:Java 构造器 "N"。
+    时间字段归一为 Java 格式(见 _java_datetime_form)。
+    """
+    payload = dict(sso) if isinstance(sso, dict) else {}
+    payload['reqSource'] = app_name_str
+    payload.pop('password', None)
+    if not payload.get('initStatus'):
+        payload['initStatus'] = 'N'
+    _java_datetime_form(payload)
+    body = json.dumps(payload, ensure_ascii=False).encode('utf-8')
+    buf = io.BytesIO()
+    with gzip.GzipFile(fileobj=buf, mode='wb') as zf:
+        zf.write(body)
+    return base64.b64encode(buf.getvalue()).decode('ascii')
+
+
+def default_system_sso_user(request_path: str = '/') -> dict:
+    """无网关 token 时的 SYSTEM 兜底用户(Java UserContextHandlerInterceptor
+    无 token 分支同款):env tenantId/customerId/userId,缺省
+    T000001/TRIST/SYSTEM;userName 取 userId 同值(Java buildSsoUser
+    字节码 setUserName(userId));requestPath 由调用方给(Java 传
+    requestURI,非 HTTP 入口给 '/')。initStatus='N':Java SsoUser 构造器
+    无条件初始化 + Jackson ALWAYS 包含 — token 恒含该键。
+    """
+    tenant = os.getenv('tenantId') or 'T000001'
+    customer = os.getenv('customerId') or 'TRIST'
+    user = os.getenv('userId') or 'SYSTEM'
+    return {
+        'tenantId': tenant,
+        'customerId': customer,
+        'userId': user,
+        'userName': user,
+        'requestPath': request_path,
+        'initStatus': 'N',
+    }

{sycommon_python_lib-0.2.10a14 → sycommon_python_lib-0.2.10a15}/src/sycommon_python_lib.egg-info/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: sycommon-python-lib
-Version: 0.2.10a14
+Version: 0.2.10a15
 Summary: Add your description here
 Requires-Python: >=3.11
 Description-Content-Type: text/markdown

{sycommon_python_lib-0.2.10a14 → sycommon_python_lib-0.2.10a15}/src/sycommon_python_lib.egg-info/SOURCES.txt

@@ -336,6 +336,7 @@ src/sycommon/tools/docs.py
 src/sycommon/tools/env.py
 src/sycommon/tools/merge_headers.py
 src/sycommon/tools/snowflake.py
+src/sycommon/tools/sso_token.py
 src/sycommon/tools/syemail.py
 src/sycommon/tools/time_utils.py
 src/sycommon/tools/timing.py