Merge pull request #33 from ai-workspace-lab/hotfix/sync-version-1.1.5

hotfix(1.1.5): manual-bridge login-state fix + purge leaked credentials
2026-06-29 10:58:24 +08:00 · 2026-06-29 10:58:24 +08:00 · 642babdb53
commit 642babdb53
parent c09543c234 03c2bd52eb
10 changed files with 284 additions and 22 deletions
--- a/.env.example
+++ b/.env.example
@ -0,0 +1,15 @@
+# 评审 / 测试凭据模板 —— 复制为本地 `.env`（已被 .gitignore 忽略）后填入真实值。
+# 切勿把真实密码 / Token 写进任何被 git 跟踪的文件、日志或截图。
+# 用法：set -a; source .env; set +a
+
+# --- svc.plus 只读评审账号 ---
+REVIEW_ACCOUNT_BASE_URL=https://accounts.svc.plus
+REVIEW_ACCOUNT_LOGIN_EMAIL=review@svc.plus
+REVIEW_ACCOUNT_LOGIN_PASSWORD=
+
+# --- xworkmate-bridge ---
+BRIDGE_SERVER_URL=https://xworkmate-bridge.svc.plus
+# 组合 1：标准 bridge token
+BRIDGE_AUTH_TOKEN=
+# 组合 2：评审专用 bridge token
+BRIDGE_REVIEW_AUTH_TOKEN=
--- a/.gitignore
+++ b/.gitignore
@ -1,5 +1,10 @@
 # Miscellaneous
+# Secrets / local env — never commit real credentials. .env.example is the tracked template.
 .env
+.env.*
+!.env.example
+*.local.env
+secrets.env
 .playwright-mcp/
 *.py
 null/
--- a/.gitleaks.toml
+++ b/.gitleaks.toml
@ -0,0 +1,26 @@
+# gitleaks config for xworkmate-app
+# Keeps all default rules, and allowlists known non-secret findings:
+#   - vendored third-party code (cargokit ships a *public* verification key)
+#   - unit-test fixtures (hardcoded "device-1" / "token" test vectors)
+# Real leaked credentials are NOT allowlisted here — they are purged from
+# history and rotated.
+
+title = "xworkmate-app gitleaks config"
+
+[extend]
+useDefault = true
+
+[allowlist]
+description = "Vendored third-party code and unit-test fixtures (no real secrets)"
+paths = [
+  # cargokit (super_native_extensions) ships a public binary-verification key
+  '''third_party/.*''',
+  # Dart unit-test fixtures: obfuscated "token" / fake TF password assertions
+  '''test/features/workspace_management/workspace_management_unit_test\.dart''',
+  # Go unit-test fixtures: hardcoded "device-1" identity key pair
+  '''go/go_core/internal/gatewayruntime/runtime_test\.go''',
+]
+regexes = [
+  # cargokit public key value, in case it is referenced outside third_party/
+  '''test-public-key-hex''',
+]
--- a/docs/cases/README.md
+++ b/docs/cases/README.md
@ -6,6 +6,7 @@

 - [核心功能集成测试手动 Case](./core-integration-manual-cases.md)
 - [云端账号与 XWorkmate Bridge 连接手动 Case](./cloud-account-and-bridge-manual-cases.md)
+- [手动 Bridge 登录状态误判 Case](./manual-bridge-login-state/README.md)
 - [云原生 Service Mesh 网络科普视频调研场景测试用例](./service-mesh-evolution-video-scenario/README.md)
 - [OpenClaw Gateway 5 并发 E2E 回归场景](./openclaw-gateway-e2e-regression/README.md)

--- a/docs/cases/cloud-account-and-bridge-manual-cases.md
+++ b/docs/cases/cloud-account-and-bridge-manual-cases.md
@ -4,6 +4,10 @@

 ## 1. 测试账号与连接参数

+> **凭据注入约定（必读）**：本文档**不保存任何明文密码或 Token**。所有 secret 从本地 `.env`
+> （已 gitignore）或 secret store 注入，变量名见仓库根目录 `.env.example`。执行用例前先
+> `set -a; source .env; set +a`，下表只记录变量名与非敏感的端点信息。
+
 ### 1.1 云端账号

 | 项目 | 内容 |
@ -11,32 +15,28 @@
 | 账号类型 | 只读评审账号（Apple 审核专用） |
 | 服务地址 | `https://accounts.svc.plus` |
 | 邮箱 / 账号 | `review@svc.plus` |
-| 密码 | 参考 vault.svc.plus kv/data/accounts.svc.plus/REVIEW_ACCOUNT_LOGIN_PASSWORD |
-
+| 密码 | 见 `.env`：`$REVIEW_ACCOUNT_LOGIN_PASSWORD`（勿写明文） |

 ### 1.2 公网 xworkmate-bridge 组合 1

 | 环境变量 | 值 |
 |----------|----|
 | `BRIDGE_SERVER_URL` | `https://xworkmate-bridge.svc.plus` |
-| `BRIDGE_AUTH_TOKEN` | `参考 vault.svc.plus kv/data/accounts.svc.plus/INTERNAL_SERVICE_TOKEN` |
-
+| `BRIDGE_AUTH_TOKEN` | 见 `.env`：`$BRIDGE_AUTH_TOKEN`（勿写明文） |

 ### 1.3 公网 xworkmate-bridge 组合 2

 | 环境变量 | 值 |
 |----------|----|
 | `BRIDGE_SERVER_URL` | `https://xworkmate-bridge.svc.plus` |
-| `BRIDGE_REVIEW_AUTH_TOKEN` | `参考 vault.svc.plus kv/data/accounts.svc.plus/BRIDGE_REVIEW_AUTH_TOKEN` |
-
+| `BRIDGE_REVIEW_AUTH_TOKEN` | 见 `.env`：`$BRIDGE_REVIEW_AUTH_TOKEN`（勿写明文） |

 ### 1.4 本地 xworkmate-bridge

 | 环境变量 | 值 |
 |----------|----|
 | `BRIDGE_SERVER_URL` | `http://127.0.0.1:8787` |
-| `BRIDGE_AUTH_TOKEN` | `cat ~/.ai_workspace_auth_token` |
-
+| `BRIDGE_AUTH_TOKEN` | 见 `.env`：`$BRIDGE_AUTH_TOKEN`（勿写明文） |

 ---

@ -189,7 +189,7 @@
  2. 切换到 `svc.plus 云端同步`
  3. 在 `服务地址` 输入 `https://accounts.svc.plus`
  4. 在 `邮箱或账号` 输入 `review@svc.plus`
-  5. 在 `密码` 输入 `只读评审账号密码`
+  5. 在 `密码` 输入 `$REVIEW_ACCOUNT_LOGIN_PASSWORD`（从 `.env` 读取，勿写明文）
  6. 点击 `登录`
  7. 等待账号同步完成
 - 期望结果
@ -212,7 +212,7 @@
  1. 在设置页退出当前账号
  2. 关闭或返回设置页
  3. 再次进入 `Settings -> Integrations -> svc.plus 云端同步`
-  4. 使用 `review@svc.plus` / `只读评审账号密码` 重新登录
+  4. 使用 `review@svc.plus` / `$REVIEW_ACCOUNT_LOGIN_PASSWORD`（从 `.env` 读取）重新登录
  5. 观察同步状态与本地配置状态
 - 期望结果
  - 退出后不会继续显示已登录状态
@ -260,7 +260,7 @@
  1. 打开 `Settings -> Integrations`
  2. 切换到 `AI 智能体工作空间`
  3. 在 `Bridge 地址` 输入 `https://xworkmate-bridge.svc.plus`
-  4. 在 `鉴权令牌 (TOKEN)` 输入 `对应 BRIDGE_AUTH_TOKEN`
+  4. 在 `鉴权令牌 (TOKEN)` 输入 `$BRIDGE_AUTH_TOKEN`（从 `.env` 读取，勿写明文）
  5. 点击 `保存配置`
  6. 重新进入设置页确认配置仍然存在
  7. 发起一次需要 AI 智能体工作空间的任务，确认可建立连接
@ -284,7 +284,7 @@
 - 操作步骤
  1. 打开 `Settings -> Integrations -> AI 智能体工作空间`
  2. 在 `Bridge 地址` 输入 `https://xworkmate-bridge.svc.plus`
-  3. 在 `鉴权令牌 (TOKEN)` 输入 `BRIDGE_REVIEW_AUTH_TOKEN`
+  3. 在 `鉴权令牌 (TOKEN)` 输入 `$BRIDGE_REVIEW_AUTH_TOKEN`（从 `.env` 读取，勿写明文）
  4. 点击 `保存配置`
  5. 重新进入设置页确认配置稳定
  6. 发起一次 AI 智能体工作空间任务
@ -357,7 +357,7 @@
 - 操作步骤
  1. 打开 `Settings -> Integrations -> AI 智能体工作空间`
  2. 在 `Bridge 地址` 输入 `http://127.0.0.1:8787`
-  3. 在 `鉴权令牌 (TOKEN)` 输入 `BRIDGE_AUTH_TOKEN`
+  3. 在 `鉴权令牌 (TOKEN)` 输入 `$BRIDGE_AUTH_TOKEN`（从 `.env` 读取，勿写明文）
  4. 点击 `保存配置`
  5. 发起一次 AI 智能体工作空间任务
  6. 对照本地 bridge 日志确认请求到达
@ -490,4 +490,5 @@
 | 公网 bridge 组合 2 | ✅ | ✅ | ✅ | ✅ | ✅ |
 | 本地 bridge | ✅ | ✅ | ✅ | ✅ | ✅ |

-> 注意：以上 token 为评审 / 测试用途。执行测试时不得将 token 明文贴入公开 issue、公开日志或截图备注。
+> 注意：以上密码 / token 均为评审 / 测试用途，仅从 `.env`（已 gitignore）或 secret store 注入，
+> **禁止**明文写入本文档、git 历史、公开 issue、公开日志或截图备注。一旦发生明文泄漏，先**轮换凭据**，再清理。
--- a/docs/cases/manual-bridge-login-state/README.md
+++ b/docs/cases/manual-bridge-login-state/README.md
@ -0,0 +1,168 @@
+# 手动 Bridge 登录状态误判 Case
+
+## 目标
+
+验证用户未登录 `svc.plus`、但已经保存有效手动 Bridge 配置时，任务线程应使用手动 Bridge，不应显示“请先登录 svc.plus”或因此阻止发送消息。
+
+## 当前状态
+
+- 状态：已定位并完成最小修复，待设计评估和 UI 手动验收。
+- 影响范围：桌面端任务线程连接状态、顶部连接标签、发送消息前的连接守卫。
+- 不涉及：账号登录协议、Token 存储格式、Bridge ACP 请求协议。
+
+## 问题现象
+
+1. 在 `Settings -> Integrations` 选择“手动 Bridge”。
+2. 填写 Bridge URL 和 Token 并保存。
+3. 设置页显示“手动 Bridge / 已保存”。
+4. 返回任务线程后，顶部仍显示“已退出登录 · 请先登录 svc.plus”。
+5. 发送消息时同样被“请先登录 svc.plus”拦截。
+
+## 根因
+
+`resolveGatewayThreadConnectionStateInternal()` 原先在判断手动 Bridge 是否已配置、是否正在发现能力之前，先检查 `accountSignedIn`：
+
+```dart
+if (!accountSignedIn) {
+  return signedOut;
+}
+```
+
+因此在下面这个合法状态中，账号分支错误覆盖了 Bridge 分支：
+
+```text
+accountSignedIn = false
+bridgeConfigured = true
+bridgeReady = false
+```
+
+手动 Bridge 与 `svc.plus` 托管账号是两种独立连接来源。只有没有任何可用 Bridge 配置时，未登录账号才应产生 `请先登录 svc.plus` 提示。
+
+## 相关调用链
+
+```text
+任务线程状态 / 发送消息
+  -> assistantConnectionStateForSession()
+  -> isBridgeAcpRuntimeConfiguredInternal()
+  -> bridgeCapabilityReadyForExecutionTargetInternal()
+  -> resolveGatewayThreadConnectionStateInternal()
+  -> 已连接 / 正在发现 / 连接失败 / 请先登录
+```
+
+关键代码：
+
+| 文件 | 函数 | 职责 |
+| --- | --- | --- |
+| `lib/app/app_controller_desktop_thread_sessions.dart` | `assistantConnectionStateForSession()` | 汇总账号、Bridge 配置和 capability 状态。 |
+| `lib/app/app_controller_desktop_thread_sessions.dart` | `resolveGatewayThreadConnectionStateInternal()` | 生成任务线程最终连接状态和 UI 文案。 |
+| `lib/app/app_controller_desktop_runtime_helpers.dart` | `resolveBridgeAcpEndpointInternal()` | 在托管和手动配置之间解析 Bridge Endpoint。 |
+| `lib/app/app_controller_desktop_runtime_helpers.dart` | `isBridgeAcpRuntimeConfiguredInternal()` | 判断当前是否存在可运行的 Bridge 配置。 |
+| `lib/app/app_controller_desktop_thread_actions.dart` | `dispatchGatewayChatTurnInternal()` | 发送前刷新 capability，并按连接状态决定是否拦截。 |
+| `lib/runtime/runtime_controllers_settings_account_impl.dart` | `resolveAcpBridgeServerEffectiveConfigInternal()` | 解析当前有效配置来源：cloud、bridge 或 default。 |
+| `lib/runtime/runtime_controllers_settings_account_impl.dart` | `buildSavedAccountProfileSettingsInternal()` | 校验并保存手动 Bridge URL 和 Token 引用。 |
+
+## 当前最小修复
+
+连接状态决策调整为：
+
+```dart
+if (!accountSignedIn && !bridgeConfigured) {
+  return signedOut;
+}
+```
+
+账号同步错误只在确实存在账号会话时参与状态决策：
+
+```dart
+if (accountSignedIn && (tokenMissing || failed || blocked)) {
+  return accountSyncError;
+}
+```
+
+预期状态矩阵：
+
+| 账号登录 | Bridge 配置 | Bridge Ready | 预期状态 |
+| --- | --- | --- | --- |
+| 否 | 否 | 否 | `已退出登录 / 请先登录 svc.plus` |
+| 否 | 手动 | 否，尚未发现 | `正在发现 / 正在加载 Bridge 能力...` |
+| 否 | 手动 | 否，发现失败 | 显示实际 Bridge capability/连接错误 |
+| 否 | 手动 | 是 | `已连接 / <手动 Bridge Host>` |
+| 是 | 托管 | 否，Token 缺失 | `缺少令牌 / xworkmate-bridge 授权不可用` |
+| 是 | 托管 | 是 | `已连接 / xworkmate-bridge.svc.plus` |
+
+## 自动化覆盖
+
+测试文件：`test/features/assistant/assistant_connection_status_test.dart`
+
+新增覆盖：
+
+- `manual bridge discovery does not require a svc.plus account session`
+- `manual bridge discovery failure is shown while signed out`
+
+同时保留原有覆盖，确认没有 Bridge 配置且未登录时仍提示登录。
+
+已执行：
+
+```bash
+flutter test \
+  test/features/assistant/assistant_connection_status_test.dart \
+  test/runtime/assistant_connection_state_test.dart \
+  test/runtime/assistant_execution_target_test.dart
+```
+
+结果：`101` 个测试全部通过。
+
+## 手动验收
+
+### `MANUAL-BRIDGE-LOGIN-001` 未登录账号使用本地 Bridge
+
+前置条件：
+
+- 退出 `svc.plus` 账号。
+- 本地 Bridge 正常运行。
+- 准备有效的测试 Token，文档中不记录明文。
+
+步骤：
+
+1. 打开 `Settings -> Integrations -> 手动 Bridge`。
+2. 输入 `http://127.0.0.1:<port>` 和有效 Token。
+3. 保存并返回任务线程。
+4. 等待 capability 刷新完成。
+5. 选择 Gateway/OpenClaw 并发送一条简单消息。
+
+验收标准：
+
+- 不显示“请先登录 svc.plus”。
+- capability 刷新期间显示“正在加载 Bridge 能力...”。
+- Bridge 可用时显示已连接，并允许发送消息。
+- Bridge 不可用时显示真实连接错误，不退化为账号登录提示。
+
+### `MANUAL-BRIDGE-LOGIN-002` 未配置 Bridge 且未登录
+
+1. 退出账号并清除手动 Bridge 配置。
+2. 返回任务线程并尝试发送消息。
+
+验收标准：
+
+- 继续显示“已退出登录 / 请先登录 svc.plus”。
+- 不尝试向默认托管 Bridge 发送未授权请求。
+
+### `MANUAL-BRIDGE-LOGIN-003` 托管账号回归
+
+1. 清除手动 Bridge 配置。
+2. 登录 `svc.plus` 并完成托管配置同步。
+3. 返回任务线程并发送消息。
+
+验收标准：
+
+- 托管 Bridge Ready 时正常连接。
+- Token 缺失或同步 blocked 时继续显示专用账号同步错误。
+
+## 待设计评估
+
+1. 是否引入明确的连接来源枚举，例如 `managedCloud`、`manualBridge`、`environment`、`none`，避免通过多个布尔值间接推断。
+2. 账号退出后 `AccountSyncState` 是否可能残留，以及是否应在状态模型层主动清除。
+3. 手动 Bridge 和托管 Bridge 同时有效时，当前“托管优先”是否符合产品预期。
+4. UI 状态和发送守卫是否应统一依赖单一 `BridgeConnectionState`，避免状态分叉。
+5. 是否增加完整集成测试：保存手动 Bridge -> 未登录账号 -> capability 刷新 -> 成功发送消息。
+
--- a/docs/testing/api-script-runbook.md
+++ b/docs/testing/api-script-runbook.md
@ -34,11 +34,18 @@ Last Updated: 2026-04-22
 - 可选 `BRIDGE_SERVER_URLS`，用于接口脚本同时验证多个 bridge host
 - 可选 `REVIEW_ACCOUNT_BASE_URL`

-推荐直接在命令前临时注入：
+凭据从本地 `.env`（已 gitignore）或 secret store 注入，**不要把明文密码/Token 写进文档或命令历史**。先准备 `.env`（参考仓库根目录 `.env.example`），再 `source` 后运行：

 ```bash
-REVIEW_ACCOUNT_LOGIN_PASSWORD='***REMOVED-CREDENTIAL***' \
-BRIDGE_AUTH_TOKEN='<bridge token>' \
+set -a; source .env; set +a   # 载入 REVIEW_ACCOUNT_LOGIN_PASSWORD / BRIDGE_AUTH_TOKEN 等
+bash scripts/ci/verify_api_interface_contract.sh
+```
+
+如需单条命令显式注入，使用变量引用而非明文：
+
+```bash
+REVIEW_ACCOUNT_LOGIN_PASSWORD="$REVIEW_ACCOUNT_LOGIN_PASSWORD" \
+BRIDGE_AUTH_TOKEN="$BRIDGE_AUTH_TOKEN" \
 BRIDGE_SERVER_URL='https://xworkmate-bridge.svc.plus' \
 bash scripts/ci/verify_api_interface_contract.sh
 ```
@ -46,7 +53,7 @@ bash scripts/ci/verify_api_interface_contract.sh
 双入口验证示例：

 ```bash
-REVIEW_ACCOUNT_LOGIN_PASSWORD='***REMOVED-CREDENTIAL***' \
+REVIEW_ACCOUNT_LOGIN_PASSWORD="$REVIEW_ACCOUNT_LOGIN_PASSWORD" \
 BRIDGE_SERVER_URLS='https://xworkmate-bridge.svc.plus,https://cn-xworkmate-bridge.svc.plus' \
 bash scripts/ci/verify_api_interface_contract.sh
 ```
--- a/docs/testing/app-external-service-api-test-matrix.md
+++ b/docs/testing/app-external-service-api-test-matrix.md
@ -53,7 +53,7 @@ Last Updated: 2026-04-22

 - `url`: `https://accounts.svc.plus`
 - `login_name`: `review@svc.plus`
- `login_password`: `***REMOVED-CREDENTIAL***`
+- `login_password`: 从 `.env` / secret store 注入 `REVIEW_ACCOUNT_LOGIN_PASSWORD`（勿写明文）

 ### 2.3 鉴权规则

@ -98,7 +98,7 @@ Last Updated: 2026-04-22
 ```json
 {
  "identifier": "review@svc.plus",
-  "password": "***REMOVED-CREDENTIAL***"
+  "password": "${REVIEW_ACCOUNT_LOGIN_PASSWORD}"
 }
 ```

--- a/lib/app/app_controller_desktop_thread_sessions.dart
+++ b/lib/app/app_controller_desktop_thread_sessions.dart
@ -73,7 +73,7 @@ AssistantThreadConnectionState resolveGatewayThreadConnectionStateInternal({
    );
  }

-  if (!accountSignedIn) {
+  if (!accountSignedIn && !bridgeConfigured) {
    return AssistantThreadConnectionState(
      executionTarget: target,
      status: RuntimeConnectionStatus.offline,
@ -93,7 +93,7 @@ AssistantThreadConnectionState resolveGatewayThreadConnectionStateInternal({
  final failed = blocked && !tokenMissing && !endpointMissing;

  // SyncBlocked logic
-  if (tokenMissing || failed || blocked) {
+  if (accountSignedIn && (tokenMissing || failed || blocked)) {
    final status = RuntimeConnectionStatus.error;
    final primaryLabel = tokenMissing
        ? appText('缺少令牌', 'Missing Token')
--- a/test/features/assistant/assistant_connection_status_test.dart
+++ b/test/features/assistant/assistant_connection_status_test.dart
@ -128,6 +128,45 @@ void main() {
      expect(state.gatewayTokenMissing, isFalse);
    });

+    test(
+      'manual bridge discovery does not require a svc.plus account session',
+      () {
+        final state = resolveGatewayThreadConnectionStateInternal(
+          target: AssistantExecutionTarget.gateway,
+          bridgeReady: false,
+          bridgeLabel: 'private-bridge.example.com',
+          accountSyncState: null,
+          accountSignedIn: false,
+          bridgeConfigured: true,
+        );
+
+        expect(state.connected, isFalse);
+        expect(state.status, RuntimeConnectionStatus.offline);
+        expect(state.primaryLabel, '正在发现');
+        expect(state.detailLabel, '正在加载 Bridge 能力...');
+        expect(state.detailLabel, isNot(contains('svc.plus')));
+      },
+    );
+
+    test('manual bridge discovery failure is shown while signed out', () {
+      final state = resolveGatewayThreadConnectionStateInternal(
+        target: AssistantExecutionTarget.gateway,
+        bridgeReady: false,
+        bridgeLabel: 'private-bridge.example.com',
+        accountSyncState: null,
+        accountSignedIn: false,
+        bridgeConfigured: true,
+        bridgeDiscoveryAttempted: true,
+        bridgeDiscoveryError: 'ACP_HTTP_CONNECT_FAILED',
+        providerCatalogEmpty: true,
+      );
+
+      expect(state.status, RuntimeConnectionStatus.error);
+      expect(state.primaryLabel, '连接失败');
+      expect(state.detailLabel, 'ACP_HTTP_CONNECT_FAILED');
+      expect(state.detailLabel, isNot(contains('svc.plus')));
+    });
+
    test('surfaces failed discovery after capability refresh is attempted', () {
      final state = resolveGatewayThreadConnectionStateInternal(
        target: AssistantExecutionTarget.gateway,