sycommon-python-lib 0.2.7a55__tar.gz → 0.2.7a56__tar.gz

{sycommon_python_lib-0.2.7a55 → sycommon_python_lib-0.2.7a56}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: sycommon-python-lib
-Version: 0.2.7a55
+Version: 0.2.7a56
 Summary: Add your description here
 Requires-Python: >=3.11
 Description-Content-Type: text/markdown

{sycommon_python_lib-0.2.7a55 → sycommon_python_lib-0.2.7a56}/pyproject.toml

@@ -1,6 +1,6 @@
 [project]
 name = "sycommon-python-lib"
-version = "0.2.7a55"
+version = "0.2.7a56"
 description = "Add your description here"
 readme = "README.md"
 requires-python = ">=3.11"

{sycommon_python_lib-0.2.7a55 → sycommon_python_lib-0.2.7a56}/src/sycommon/auth/wecom_ldap_service.py

@@ -26,6 +26,7 @@ from pydantic import BaseModel
 
 from sycommon.config.Config import SingletonMeta
 from sycommon.logging.kafka_log import SYLogger
+from sycommon.tools.user_id import normalize_user_id
 
 
 # ─── 模型定义 ───
@@ -70,6 +71,16 @@ class LDAPFullUser(BaseModel):
     ou_chain: List[str] = []  # OU 层级路径
 
 
+# match_method -> 可信度（越大越可信）。用于域账号冲突时择优保留正确映射。
+# 中文名唯一命中(by_cn len==1)最可信；英文名前缀(by_sam_prefix)最易误命中。
+_MATCH_TRUST: dict = {
+    "chinese_name": 30,
+    "english_name_surname": 20,
+    "english_name_position": 15,
+    "english_name": 10,
+}
+
+
 class WeComLDAPUser(BaseModel):
     """企微-LDAP 关联用户（最终返回结果）"""
 
@@ -92,7 +103,7 @@ class _LDAPIndex:
 
     def __init__(self):
         # cn(中文名) -> LDAPFullUser
-        self.by_cn: Dict[str, LDAPFullUser] = {}
+        self.by_cn: Dict[str, List[LDAPFullUser]] = defaultdict(list)
         # sAMAccountName 前缀(小写) -> [LDAPFullUser]
         self.by_sam_prefix: Dict[str, List[LDAPFullUser]] = defaultdict(list)
         # "en_prefix.sn_pinyin" -> [LDAPFullUser]
@@ -130,8 +141,9 @@ class _LDAPIndex:
                 dn=dn or None,
                 ou_chain=ou_chain,
             )
-            # 中文名 key 小写化
-            self.by_cn[cn.lower()] = ldap_user
+            # 中文名 key 小写化；同名（如两个"张伟"、内地+香港重复账号）保留多候选，
+            # 由 lookup 做唯一性校验，避免后写覆盖前写导致同名两人 resolve 到同一域账号串会话。
+            self.by_cn[cn.lower()].append(ldap_user)
 
             # sAMAccountName 如 "sussie.xia" -> 前缀 "sussie"（小写）
             prefix = sam.split(".")[0].lower()
@@ -164,9 +176,13 @@ class _LDAPIndex:
         Returns:
             (LDAPFullUser | None, match_method | None)
         """
-        # 第一优先级：中文名直接匹配（小写化比较）
-        if chinese_name.lower() in self.by_cn:
-            return self.by_cn[chinese_name.lower()], "chinese_name"
+        # 第一优先级：中文名直接匹配（小写化比较）。
+        # 🔑 唯一性校验：LDAP 里同名（cn 相同）多人时返回 None，绝不让"后写覆盖前写"
+        # 把同名两人 resolve 到同一个域账号——那会导致企微 agent/沙箱/checkpoint 全维度串。
+        # 多候选时不命中，由调用方回退到各自原始 wecom_userid（独立、不串）。
+        cn_candidates = self.by_cn.get(chinese_name.lower(), [])
+        if len(cn_candidates) == 1:
+            return cn_candidates[0], "chinese_name"
 
         en_first = english_name.lower().split()[0] if english_name else ""
 
@@ -660,12 +676,74 @@ class WeComLDAPService(metaclass=SingletonMeta):
             result.employee_id = result.wecom_userid
             results.append(result)
 
+        # 3. 🔑 全量域账号唯一性校验（根治串会话）：
+        #   单看每个用户的匹配都没错，但多个企微用户可能因中文名/英文名交叉匹配撞到
+        #   同一 LDAP 域账号（实测 Derrick.zhang 被「张仲都」中文名匹配 +「Derrick Du」
+        #   英文名匹配同时占用）。扫一遍匹配结果，若同一域账号被 ≥2 个企微用户占用，
+        #   把这些人的 matched 全部降级为 False（回退各自工号，独立、不串）。
+        self._dedup_ldap_conflicts(results)
+
         matched = sum(1 for r in results if r.matched)
         logging.info(
-            f"[WeComLDAP] 全量匹配完成: {matched}/{len(results)} 已关联"
-        )
+            f"[WeComLDAP] 全量匹配完成: {matched}/{len(results)} 已关联")
         return results
 
+    @staticmethod
+    def _dedup_ldap_conflicts(results: List["WeComLDAPUser"]) -> None:
+        """就地消解「同一域账号被多个企微用户占用」的匹配，保证域账号唯一占用。
+
+        策略：按匹配可信度择优保留，只降级不可信者（而非全部降级）——这样既治串
+        （误命中者不再占用别人的域账号），又不误伤正确映射（保企微/Web 沙箱一致）。
+
+        可信度排序（match_method 决定）：
+          chinese_name(中文名唯一命中) > english_name_surname(英文名+姓拼音)
+          > english_name_position > english_name(英文名前缀,最易误命中)
+        冲突组内：保留可信度最高者；若最高者并列(如两人都是中文名，不可能——中文名
+        同名已被 by_cn 唯一性校验挡掉)或最高也是低可信(都是 english_name)，则全部降级。
+
+        为什么不全降级：企微与 Web 共用域账号体系，同一人企微/Web userid 必须一致
+        （沙箱目录、文件互通）。中文名唯一匹配者几乎确定是真主，降级他会破坏跨端一致性。
+        """
+        from collections import defaultdict
+        # match_method -> 可信度，复用模块级 _MATCH_TRUST（与 resolve_unified_user_id
+        # 单点校验用同一份，避免两条择优路径阈值漂移导致「实时降级、全量保留」抖动）
+        TRUST = _MATCH_TRUST
+        ldap_to_users: dict = defaultdict(list)
+        for r in results:
+            if r.matched and r.ldap_user and r.ldap_user.username:
+                ldap_to_users[r.ldap_user.username.lower()].append(r)
+        for ldap_uname, group in ldap_to_users.items():
+            if len(group) <= 1:
+                continue
+            # 计算每人可信度，找最高
+            scored = [(TRUST.get(r.match_method, 0), idx, r)
+                      for idx, r in enumerate(group)]
+            max_trust = max(s[0] for s in scored)
+            # 仅当「最高可信者唯一」且「最高可信度 >= chinese_name」才保留它
+            # （中文名唯一命中几乎确定真主；英文名前缀即使唯一也不足以独占，全降级）
+            winners = [s[2] for s in scored if s[0] == max_trust]
+            if len(winners) == 1 and max_trust >= TRUST["chinese_name"]:
+                keep = winners[0]
+                downgraded = [r for r in group if r is not keep]
+                owners = ", ".join(
+                    f"{r.wecom_userid}({r.wecom_name}/{r.match_method})" for r in group)
+                SYLogger.warning(
+                    f"[WeComLDAP] 🟡域账号冲突择优: ldap={ldap_uname} [{owners}]，"
+                    f"保留可信度最高 {keep.wecom_userid}({keep.match_method})，"
+                    f"降级其余 {len(downgraded)} 人回退工号")
+            else:
+                # 最高者并列、或最高也是低可信 → 全部降级（无法判断真主）
+                downgraded = list(group)
+                owners = ", ".join(
+                    f"{r.wecom_userid}({r.wecom_name}/{r.match_method})" for r in group)
+                SYLogger.warning(
+                    f"[WeComLDAP] 🔴域账号冲突全降级: ldap={ldap_uname} [{owners}]，"
+                    f"最高可信度={max_trust}不足，全部降级回退工号（不串）")
+            for r in downgraded:
+                r.matched = False
+                r.match_method = None
+                r.ldap_user = None
+
     async def refresh_cache(self):
         """手动刷新缓存（access_token + LDAP 索引 + 部门映射）"""
         self._access_token = None
@@ -732,6 +810,21 @@ class WeComLDAPService(metaclass=SingletonMeta):
             pass
         return None
 
+    async def _get_cached_mapping_reverse(self, unified_id: str) -> Optional[str]:
+        """从 Redis 反查 unified_id(域账号) -> 占用它的 wecom_userid(工号)。
+
+        用于 resolve_unified_user_id 的域账号唯一性校验：若某域账号已被别的企微工号
+        占用，说明多人撞到同一域账号（串会话风险），需降级。
+        """
+        try:
+            rs = self._get_redis()
+            val = await rs.get(f"{self._LDAP_TO_WECOM_PREFIX}{unified_id}")
+            if val:
+                return val
+        except Exception:
+            pass
+        return None
+
     async def _set_cached_mapping(self, wecom_userid: str, unified_id: str):
         """将 wecom_userid <-> unified_id 双向映射写入 Redis，同时保存工号"""
         try:
@@ -800,13 +893,17 @@ class WeComLDAPService(metaclass=SingletonMeta):
             # 2. 查企微 + LDAP
             unified_id = wecom_userid
             employee_id = wecom_userid  # 默认用工号就是原始 userid
+            matched_ldap_username = None  # 真正匹配到的域账号（用于唯一性校验）
+            match_method = None  # 匹配方法（决定可信度）
             try:
                 result = await self.get_user_info(wecom_userid)
                 employee_id = result.wecom_userid  # get_user_info 返回解码后的明文工号
                 if result.matched and result.ldap_user and result.ldap_user.username:
-                    unified_id = result.ldap_user.username
+                    matched_ldap_username = result.ldap_user.username
+                    match_method = result.match_method
+                    unified_id = matched_ldap_username
                     SYLogger.info(
-                        f"[WeComLDAP] 用户映射: wecom={wecom_userid} -> ldap={unified_id}")
+                        f"[WeComLDAP] 用户映射: wecom={wecom_userid} -> ldap={unified_id} ({match_method})")
                 else:
                     SYLogger.info(
                         f"[WeComLDAP] 用户映射: wecom={wecom_userid} -> 未匹配LDAP，回退={unified_id}")
@@ -814,9 +911,51 @@ class WeComLDAPService(metaclass=SingletonMeta):
                 SYLogger.warning(
                     f"[WeComLDAP] 解析统一 user_id 失败: wecom_userid={wecom_userid}, error={e}")
 
-            # 3. 写入 Redis 缓存（统一小写）
-            unified_id = unified_id.lower().replace(" ", "")
-            await self._set_cached_mapping(employee_id, unified_id)
+            # 3. 🔑 域账号唯一性校验（根治串会话，按可信度择优）：
+            #   多个企微用户可能因中文名/英文名交叉匹配撞到同一域账号。这里在写入缓存前
+            #   做反向校验：查 Redis 该域账号是否已被别的企微工号占用。若被占用，按可信度
+            #   择优——中文名唯一匹配(最可信)优先保留，英文名前缀(最易误命中)让步降级。
+            #   这样既治串又不误伤正确映射（保企微/Web 沙箱一致）。
+            if matched_ldap_username:
+                normalized_ldap = normalize_user_id(matched_ldap_username)
+                owner = await self._get_cached_mapping_reverse(normalized_ldap)
+                if owner and owner != employee_id:
+                    # 该域账号已被别的企微工号占用 → 冲突，按可信度择优
+                    my_trust = _MATCH_TRUST.get(match_method, 0)
+                    if my_trust >= _MATCH_TRUST["chinese_name"]:
+                        # 我是高可信(中文名唯一命中)→ 我才是真主，保留本次映射。
+                        # 🔑 必须同时 DEL 掉低可信者(owner)残留在 Redis 的【正向】映射
+                        #   wecom_uid_map:{owner}=ldap，否则 owner 下次 resolve 会 L2 正向命中
+                        #   直接返回 ldap、跳过本段反向校验 → 错误映射存活到次日定时任务才修
+                        #   → 期间两人共享 thread_id 串会话（最长 24h）。删后 owner 下次 L2 miss
+                        #   走慢路径自查、发现自己被高可信者占用而降级。
+                        try:
+                            rs = self._get_redis()
+                            await rs.delete(f"{self._UID_MAP_PREFIX}{owner}")
+                            # L1 是进程内、无法跨进程清，但 owner 多半是别的请求/进程；
+                            # 其 L1 5min TTL 自然过期即可。
+                        except Exception:
+                            pass
+                        SYLogger.warning(
+                            f"[WeComLDAP] 🟡域账号冲突择优: ldap={normalized_ldap} "
+                            f"已被 wecom={owner} 占用，但本次 wecom={employee_id} "
+                            f"可信度更高({match_method})，保留本次映射并清除 {owner} 的正向缓存")
+                    else:
+                        # 我是低可信(英文名前缀等)→ 让步降级，回退自己的工号
+                        SYLogger.warning(
+                            f"[WeComLDAP] 🔴域账号冲突降级: ldap={normalized_ldap} "
+                            f"已被 wecom={owner} 占用，本次 wecom={employee_id} "
+                            f"可信度不足({match_method})，降级回退工号（不串）")
+                        unified_id = employee_id
+                        matched_ldap_username = None
+
+            # 4. 写入 Redis 缓存（统一小写）
+            #    降级时不写正向 wecom→ldap（避免错误映射固化），只写 wecom→工号。
+            unified_id = normalize_user_id(unified_id)
+            if matched_ldap_username:
+                await self._set_cached_mapping(employee_id, unified_id)
+            else:
+                await self._set_cached_mapping(employee_id, employee_id)
 
             # 写入 L1
             self._resolve_cache[wecom_userid] = (
@@ -834,7 +973,7 @@ class WeComLDAPService(metaclass=SingletonMeta):
         """
         try:
             rs = self._get_redis()
-            uid = unified_id.lower().replace(" ", "")
+            uid = normalize_user_id(unified_id)
             val = await rs.get(f"{self._EMPLOYEE_ID_PREFIX}{uid}")
             if val:
                 return val
@@ -855,7 +994,7 @@ class WeComLDAPService(metaclass=SingletonMeta):
             client = rs.get_client()
             async with client.pipeline(transaction=True) as pipe:
                 for wecom_userid, unified_id in mapping.items():
-                    uid = unified_id.lower().replace(" ", "")
+                    uid = normalize_user_id(unified_id)
                     # 正向
                     pipe.set(f"{self._UID_MAP_PREFIX}{wecom_userid}",
                              uid, ex=self._MAP_TTL)

{sycommon_python_lib-0.2.7a55 → sycommon_python_lib-0.2.7a56}/src/sycommon/middleware/sandbox.py

@@ -443,9 +443,16 @@ cd "$SANDBOX_ROOT"
 '''
 
 def _sanitize_user_id(user_id: str) -> str:
-    """将用户名中的空格等特殊字符替换为下划线，确保路径安全。统一小写。"""
+    """将用户名归一化（lower + 去空格）并把其余特殊字符替换为下划线，确保路径安全。
+
+    用 normalize_user_id 做第一步（与主项目/企微端同一份归一化，保证同一人在
+    沙箱侧的工作目录与主项目侧的 user_id 一致 → 企微/Web 沙箱目录互通），
+    再把剩余不安全字符替换为下划线。
+    """
     import re
-    return re.sub(r'[^a-zA-Z0-9._\-]', '_', user_id.lower().replace(" ", ""))
+    from sycommon.tools.user_id import normalize_user_id
+    norm = normalize_user_id(user_id)
+    return re.sub(r'[^a-zA-Z0-9._\-]', '_', norm)
 
 
 def get_user_workspace(user_id: str) -> str:

sycommon_python_lib-0.2.7a56/src/sycommon/tools/user_id.py

@@ -0,0 +1,106 @@
+"""用户标识派生（跨服务共享）。
+
+本模块是【唯一】的用户标识派生入口，主项目和沙箱项目都必须从这里导入，保证
+同一人在不同服务/不同接口派生出【同一个】标识：
+
+- 沙箱目录一致（企微传的文件 Web 能看到，反之亦然）
+- MinIO 对象 key / PG checkpointer thread_id / Redis key 全部一致
+
+提供两类标识：
+
+1. **常规标识 user_id**（``normalize_user_id``）：取自 LDAP 域账号，用于沙箱目录、
+   MinIO key、PG thread_id、LLM apiKey、大部分 Redis key。
+   规则：``lower()`` + 去全部空格。
+
+2. **边界标识 redis_uid**（``redis_uid_from_str`` / ``redis_uid_from_user``）：用于
+   跨越「登录侧」与「POST /api/token 回调侧」的两个 Redis key ——
+   ``digital_work:user_token:{redis_uid}`` 和 ``digital_work:pending_auth_retry:{redis_uid}``。
+   为什么单独一层：``/api/token`` 是无登录态回调，只能从请求体 email 反推用户
+   （``email.split("@")[0]``）；而登录侧拿到的是 ``LDAPUser.username``（域账号）。
+   两者要落到同一个 Redis key，必须用同一套归一化规则。历史上两边各自写死，靠
+   「域账号 == 邮箱本地名」的隐含约定；一旦某员工两者不一致（域账号 ``lisi``、
+   邮箱 ``li.si@…``）就断链——token 写到了读侧永远查不到的 key 下，表现为
+   「已授权却报未授权」。集中到一处彻底消除该隐含约定。
+"""
+from __future__ import annotations
+
+from typing import Any
+
+
+def normalize_user_id(s: str | None) -> str:
+    """把域账号/登录名归一化成统一的 user_id：lower() + 去全部空格。
+
+    主项目(api/chat.py、files.py、redis_session.py、health.py)与企微
+    (wecom_ldap_service.resolve_unified_user_id)都用它，消除各自硬编码
+    ``.lower().replace(" ","")`` 的散落写法，避免一处漏改导致两端不一致
+    → 沙箱目录错位 → 企微/Web 文件不互通。
+
+    Args:
+        s: 域账号(sAMAccountName)或登录名，可能带大小写/空格。
+
+    Returns:
+        归一化后的 user_id（小写、无空格）；入参为空返回 ``""``。
+    """
+    if not s:
+        return ""
+    return s.lower().replace(" ", "")
+
+
+def redis_uid_from_str(s: str | None) -> str:
+    """把字符串归一化成边界键用的 redis_uid。
+
+    规则：取 ``@`` 前的邮箱本地名，再 ``lower()`` + 去空格。
+    与 ``POST /api/token`` 写入侧（``email.split("@")[0]``）完全对齐。
+
+    - ``"Zhang.San@shengye.com"`` → ``"zhang.san"``
+    - ``"lisi@shengye.com"``      → ``"lisi"``
+    - ``"lisi"``（无 @）          → ``"lisi"``（原样归一化）
+    - ``""`` / ``None``           → ``""``
+    """
+    if not s:
+        return ""
+    return s.split("@")[0].lower().replace(" ", "")
+
+
+def redis_uid_from_user(user: Any) -> str:
+    """从 LDAPUser（或带 email/username 属性的对象）派生边界键用的 redis_uid。
+
+    优先取 ``email`` 的本地名；无 email 时回退 ``username``（= 现状，
+    不会比改动前更差——改动前所有读侧本来就用 username）。
+
+    Args:
+        user: ``sycommon.auth.LDAPUser`` 实例，或 ``None``。
+
+    Returns:
+        归一化后的 redis_uid 字符串；入参为 ``None`` 时返回 ``""``。
+    """
+    if user is None:
+        return ""
+    raw = getattr(user, "email", None) or getattr(user, "username", "") or ""
+    return redis_uid_from_str(raw)
+
+
+def make_thread_id(user_id: str, session_id: str | None) -> str:
+    """构造 LangGraph checkpointer 的 thread_id（Web 端会话隔离核心）。
+
+    规则：``session_id`` 非空 → ``f"{user_id}:{session_id}"``；为空 → ``user_id``。
+    这是 PG checkpoint 表里【唯一】的用户隔离维度（langgraph 按
+    ``WHERE thread_id = %s`` 读写），两个请求 thread_id 相同 = 共用同一对话历史。
+
+    Args:
+        user_id: 已归一化的 user_id（``normalize_user_id`` 产物）。
+        session_id: 前端会话 ID。为空/None 时退化为单会话模式（thread_id=user_id）。
+
+    Returns:
+        thread_id 字符串。
+
+    ⚠️ 调用方职责：
+      - user_id 必须先经 normalize_user_id 归一化（否则大小写/空格漂移会串）。
+      - session_id 的唯一性由前端保证；后端不强制，但若前端重复传同一 session_id，
+        同一用户的两会话会合并历史（前端 bug 即后端串）。如需更强隔离，可在
+        session_id 为空时强制生成 uuid（当前保持「退化为 user_id」的旧行为，不破坏
+        既有单会话语义）。
+    """
+    if session_id:
+        return f"{user_id}:{session_id}"
+    return user_id

{sycommon_python_lib-0.2.7a55 → sycommon_python_lib-0.2.7a56}/src/sycommon_python_lib.egg-info/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: sycommon-python-lib
-Version: 0.2.7a55
+Version: 0.2.7a56
 Summary: Add your description here
 Requires-Python: >=3.11
 Description-Content-Type: text/markdown

{sycommon_python_lib-0.2.7a55 → sycommon_python_lib-0.2.7a56}/src/sycommon_python_lib.egg-info/SOURCES.txt

@@ -325,6 +325,7 @@ src/sycommon/tools/merge_headers.py
 src/sycommon/tools/snowflake.py
 src/sycommon/tools/syemail.py
 src/sycommon/tools/timing.py
+src/sycommon/tools/user_id.py
 src/sycommon/xxljob/__init__.py
 src/sycommon/xxljob/xxljob_service.py
 src/sycommon_python_lib.egg-info/PKG-INFO