zcbot

Commit Graph

Author	SHA1	Message	Date
caoqianming	b0a8802d35	feat(wecom): 企业微信应用主页免登进 embed 控制台(bump 0.44.0) - 新端点 GET /v1/wecom/entry:企微客户端内走网页授权 snsapi_base 静默无感,外部浏览器退 wwlogin 扫码,同一 URL 两端可用;state 签 login 哨兵防 CSRF(绑定回调显式拒绝该哨兵,两条流程不串) - 新端点 GET /v1/wecom/entry/callback:code→userid→反查绑定→签 JWT→ 302 dev.html?embed=1&wecom=1,token 走 URL fragment 不进日志; 未绑定成员提示先在控制台绑定,不自动建号(避免重复账号) - 前端 wecom 变体:fragment 吃 token 即清 hash,不需要 parent_origin; 401/logout 回 entry 静默重签;iframe embed 与 postMessage 协议零改动 - wecom.py 新增 oauth_inclient_url();提示页 helper 提出共用 - EMBED.md §9 + RUN.md 企微段(应用主页 + 网页授权可信域名两项设置) Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-07 10:09:52 +08:00
caoqianming	72ae0ded0a	feat(web): embed 模式接受 ?task_id=<uuid> URL 参数自动定位 task 首次签发 token / 已有缓存 token 两条进入路径都覆盖; 401 重签不重置选择,尊重用户中间 UI 切过的 task。 EMBED.md URL 参数表 + 故障兜底同步更新。 Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-05-22 15:27:19 +08:00
caoqianming	76f4c45350	feat(web): dev.html 加 iframe embed 模式 (?embed=1&parent_origin=...) + EMBED.md embed 模式藏左上 brand / 用户名 / 退出登录,桌面整层 header 移除,移动端保留 header 给 mobile-tabs;"+ 新建任务" JS 移到任务面板 pane-head。postMessage 双向握手:iframe 发 zcbot-ready / zcbot-401,父端回 zcbot-token{token,user_id, user_name?};双向 event.origin 校验(parent_origin URL 参数白名单)。401 改写 logout 不 reload,而是通知父端 + 显灰底 spinner 等待层。复用已有 /v1/auth/login SSO 入口,platform 后端 PLATFORM_KEY 代换 JWT,不下放浏览器。EMBED.md 写给 platform 工程的对接手册(URL / 协议 / Node+Python 后端示例 / 父端前端示例 / CORS + CSP frame-ancestors 收紧建议 / 调试 + 故障兜底)。 Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-05-22 14:32:16 +08:00

Author

SHA1

Message

Date

caoqianming

b0a8802d35

feat(wecom): 企业微信应用主页免登进 embed 控制台(bump 0.44.0)

- 新端点 GET /v1/wecom/entry:企微客户端内走网页授权 snsapi_base 静默
  无感,外部浏览器退 wwlogin 扫码,同一 URL 两端可用;state 签 login
  哨兵防 CSRF(绑定回调显式拒绝该哨兵,两条流程不串)
- 新端点 GET /v1/wecom/entry/callback:code→userid→反查绑定→签 JWT→
  302 dev.html?embed=1&wecom=1,token 走 URL fragment 不进日志;
  未绑定成员提示先在控制台绑定,不自动建号(避免重复账号)
- 前端 wecom 变体:fragment 吃 token 即清 hash,不需要 parent_origin;
  401/logout 回 entry 静默重签;iframe embed 与 postMessage 协议零改动
- wecom.py 新增 oauth_inclient_url();提示页 helper 提出共用
- EMBED.md §9 + RUN.md 企微段(应用主页 + 网页授权可信域名两项设置)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

2026-07-07 10:09:52 +08:00

caoqianming

72ae0ded0a

feat(web): embed 模式接受 ?task_id=<uuid> URL 参数自动定位 task

首次签发 token / 已有缓存 token 两条进入路径都覆盖;
401 重签不重置选择,尊重用户中间 UI 切过的 task。
EMBED.md URL 参数表 + 故障兜底同步更新。

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

2026-05-22 15:27:19 +08:00

caoqianming

76f4c45350

feat(web): dev.html 加 iframe embed 模式 (?embed=1&parent_origin=...) + EMBED.md

embed 模式藏左上 brand / 用户名 / 退出登录,桌面整层 header 移除,移动端保留
header 给 mobile-tabs;"+ 新建任务" JS 移到任务面板 pane-head。postMessage 双向
握手:iframe 发 zcbot-ready / zcbot-401,父端回 zcbot-token{token,user_id,
user_name?};双向 event.origin 校验(parent_origin URL 参数白名单)。401 改写
logout 不 reload,而是通知父端 + 显灰底 spinner 等待层。复用已有 /v1/auth/login
SSO 入口,platform 后端 PLATFORM_KEY 代换 JWT,不下放浏览器。EMBED.md 写给
platform 工程的对接手册(URL / 协议 / Node+Python 后端示例 / 父端前端示例 / CORS
+ CSP frame-ancestors 收紧建议 / 调试 + 故障兜底)。

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

2026-05-22 14:32:16 +08:00

3 Commits