新增

2026-04-07 18:13:03 +08:00
parent a780356908
commit fdf714f833
397 changed files with 15086 additions and 1043 deletions
@@ -29,6 +29,83 @@ use think\facade\Log;
 */
 class LoginLogic extends BaseLogic
 {
+    /** 非 root 未绑定企微时接口返回，与 axios 约定一致 */
+    public const CODE_NEED_BIND_WORK_WECHAT = 10;
+
+    /**
+     * 企业微信网页授权 / 扫码绑定所需配置是否齐全
+     */
+    public static function isWorkWechatOAuthConfigured(): bool
+    {
+        $corpId  = (string) env('work_wechat.corp_id', '');
+        $secret  = (string) env('work_wechat.secret', '');
+        $agentId = (string) env('work_wechat.agent_id', '');
+
+        return $corpId !== '' && $secret !== '' && $agentId !== '';
+    }
+
+    /**
+     * .env 是否开启「非 root 须绑定企微」。
+     * 推荐在 [work_wechat] 下写 FORCE_BIND_LOGIN=true；勿在节内写 WORK_WECHAT_FORCE_BIND_LOGIN（会变成双前缀键读不到）。
+     */
+    public static function isForceBindWorkWechatFromEnv(): bool
+    {
+        $candidates = [
+            env('WORK_WECHAT_FORCE_BIND_LOGIN', false),
+            env('work_wechat.force_bind_login', false),
+            env('work_wechat.work_wechat_force_bind_login', false),
+        ];
+        $v = false;
+        foreach ($candidates as $c) {
+            if ($c !== false && $c !== null && $c !== '') {
+                $v = $c;
+                break;
+            }
+        }
+        if (is_bool($v)) {
+            return $v;
+        }
+        $v = strtolower(trim((string) $v));
+
+        return in_array($v, ['1', 'true', 'yes', 'on'], true);
+    }
+
+    /**
+     * .env 开启强制绑定 + 企微 OAuth 已配置 + 非 root + 未绑定 work_wechat_userid
+     *
+     * @param array{root?:int|string,work_wechat_userid?:string} $adminInfo
+     */
+    public static function adminMustBindWorkWechat(array $adminInfo): bool
+    {
+        if (!self::isForceBindWorkWechatFromEnv()) {
+            return false;
+        }
+        if (!self::isWorkWechatOAuthConfigured()) {
+            return false;
+        }
+        if ((int) ($adminInfo['root'] ?? 0) === 1) {
+            return false;
+        }
+
+        return trim((string) ($adminInfo['work_wechat_userid'] ?? '')) === '';
+    }
+
+    /**
+     * 开启「须绑定企微」时，这些 action 仍须放行（与 $request->action() 比较，不区分大小写）。
+     * 路由/网关若把 action 变成全小写，严格 in_array('bindWorkWechat') 会失败，导致绑定接口被误判为 code=10，扫码页反复刷新。
+     */
+    public static function isWorkWechatBindExemptActionName(string $action): bool
+    {
+        $a = strtolower(trim($action));
+
+        return in_array($a, [
+            'bindworkwechat',
+            'unbindworkwechat',
+            'myself',
+            'logout',
+        ], true);
+    }
+
    /**
     * @notes 管理员账号登录
     * @param $params
@@ -55,15 +132,29 @@ class LoginLogic extends BaseLogic
        //返回登录信息
        $avatar = $admin->avatar ? $admin->avatar : Config::get('project.default_image.admin_avatar');
        $avatar = FileService::getFileUrl($avatar);
-        return [
+        $row = [
            'name' => $adminInfo['name'],
            'avatar' => $avatar,
            'role_name' => $adminInfo['role_name'],
            'token' => $adminInfo['token'],
            'is_paw' => $admin->is_paw ?? 1, // 0=需要修改密码，1=正常
        ];
+        $row['need_bind_work_wechat'] = self::adminMustBindWorkWechat([
+            'root'               => (int) ($admin->root ?? 0),
+            'work_wechat_userid' => (string) ($admin->work_wechat_userid ?? ''),
+        ]);
+
+        return $row;
    }

+    /**
+     * 从 auth/getuserinfo 响应解析企业成员 userid。
+     * 非通讯录成员时接口可能只返回 openid / external_userid，无 userid。
+     */
+    public static function workWechatUserIdFromAuthResponse(array $response): string
+    {
+        return trim((string) ($response['userid'] ?? $response['UserId'] ?? ''));
+    }

    /**
     * @notes 企业微信授权登录
@@ -98,9 +189,14 @@ class LoginLogic extends BaseLogic
            return false;
        }

-        $wxUserId = $response['userid'] ?? '';
-        if (empty($wxUserId)) {
-            self::setError('未获取到企业微信用户身份，可能是外部联系人');
+        $wxUserId = self::workWechatUserIdFromAuthResponse($response);
+        if ($wxUserId === '') {
+            $hasOpenId = trim((string) ($response['openid'] ?? $response['OpenId'] ?? '')) !== '';
+            self::setError(
+                $hasOpenId
+                    ? '当前身份非企业通讯录成员（或未同步到通讯录），无法用此账号登录后台，请使用企业内成员账号或联系管理员将你加入通讯录'
+                    : '未获取到企业微信成员 userid，请检查自建应用 Secret、可信域名是否与当前扫码应用一致'
+            );
            return false;
        }

@@ -135,6 +231,8 @@ class LoginLogic extends BaseLogic
            'role_name' => $adminInfo['role_name'],
            'token'     => $adminInfo['token'],
            'is_paw'    => $admin->is_paw ?? 1, // 0=需要修改密码，1=正常
+            // 企微扫码登录即已绑定 userid
+            'need_bind_work_wechat' => false,
        ];
    }