feat: harden install and resumable OAuth login
This commit is contained in:
nac
+4
-3
@@ -16,7 +16,7 @@ nocobase-crm-mcp client-config [--config <path>] [--enable-writes] [--json]
|
||||
- `doctor`：验证凭据和 CRM 映射是否可用。
|
||||
- `client-config`：准备默认 CRM 配置并输出可合并到 MCP 客户端的配置片段；不要求登录，也不包含任何 Token 或 Key。
|
||||
- `--enable-writes`：显式增加受控项目写入工具；默认不启用。
|
||||
- `--no-browser`：不自动启动浏览器，只显示 NocoBase 授权链接和确认码。
|
||||
- `--no-browser`：不自动启动浏览器，只输出可交给发起用户的 NocoBase 授权链接和确认码；搭配 `--json` 时还会在 stderr 输出 `authorization_required` 结构化事件。
|
||||
- `--manual-key`：仅在 OAuth 不可用时，通过安全 TTY 隐藏输入个人 Authorize Key。
|
||||
|
||||
## 默认工具
|
||||
@@ -33,7 +33,7 @@ nocobase-crm-mcp client-config [--config <path>] [--enable-writes] [--json]
|
||||
|
||||
查询结果默认返回经过整理的紧凑字段，而不是完整 NocoBase 原始记录。
|
||||
|
||||
`nocobase_login` 会启动用户确认的 OAuth 授权，并在成功后写入本机私有凭据文件，因此不会被标记为只读；它不会修改任何 CRM 业务数据。该工具只返回可交给用户的 `login_url`、`user_code`、有效期和状态，不返回 Token 或设备码。
|
||||
`nocobase_login` 会启动用户确认的 OAuth 授权，并在成功后写入本机私有凭据文件，因此不会被标记为只读；它不会修改任何 CRM 业务数据。该工具返回 `login_url`、标准别名 `verification_uri_complete`、`user_code`、有效期、状态和机器可读交付边界。链接与确认码应原样发送给发起用户的当前一对一私聊，不返回 Token 或内部设备码，也不需要服务器远程桌面；不得发送到群聊、公开频道或第三方。
|
||||
|
||||
## 可选工具
|
||||
|
||||
@@ -69,13 +69,14 @@ OAuth Token 和 Authorize Key 都不支持也不允许通过环境变量传入
|
||||
|
||||
## OAuth 登录
|
||||
|
||||
推荐在 MCP 注册后调用 `nocobase_login`，把返回的链接和确认码发给用户，再用 `nocobase_login_status` 查询结果。桌面环境会尝试自动打开浏览器；远程或无界面环境使用相同链接，不需要回调端口。已有凭据被 NocoBase 拒绝时，使用 `nocobase_login({"force": true})` 重新授权。CLI 的 `setup --no-browser` 保留为客户端无法在登录前加载连接器时的备用入口。
|
||||
推荐在 MCP 注册后调用 `nocobase_login`，把返回的链接和确认码发给发起用户的当前私聊，再用 `nocobase_login_status` 查询结果。它们属于 OAuth Device Flow 的短期用户验证信息，不是密码、Key、Bearer Token 或内部 `device_code`。待授权状态以短期私有文件保存，因此桌面、远程或无界面环境都不需要回调端口或服务器远程桌面，stdio 进程重启后也能恢复同一个授权。已有凭据被 NocoBase 拒绝时，使用 `nocobase_login({"force": true})` 重新授权。CLI 的 `setup --no-browser` 保留为客户端无法在登录前加载连接器时的持续等待备用入口；运行期间不得关闭该 CLI 进程。
|
||||
|
||||
- 发现地址：`https://justconn.top/api/.well-known/openid-configuration`
|
||||
- 授权模式：OAuth 2.1 Device Authorization
|
||||
- 客户端类型：动态注册的 native public client，不保存 client secret
|
||||
- 请求权限：`api offline_access`
|
||||
- 浏览器只访问 `https://justconn.top`；程序不读取 Cookie 或浏览器存储
|
||||
- 待授权设备码只保存于同一用户的短期私有文件，成功、取消或过期后立即删除
|
||||
- 访问令牌临近过期时自动刷新；并发请求只触发一次刷新
|
||||
- OAuth 端点、浏览器 URL 和 issuer 都必须匹配固定的 `justconn.top` 来源
|
||||
|
||||
|
||||
Reference in New Issue
Block a user