refactor: session token isolation with OOP context redesign

[MikotoZero]

🔐 安全修复 + 架构重构

本 PR 实现了 Session Token 隔离并重构为面向对象的 Context 架构。

---

🎯 核心改进

1. Session Token 隔离（安全修复）

问题： 旧版 ApiConfig.macToken 是全局单例，SSE 模式下多个 session 共享同一个 token
风险： User A 的 token 可能被 User B 使用，存在安全隐患

解决方案：

• ✅ 移除全局 Token 状态
• ✅ 用户隔离存储：~/.taptap-mcp/cache/{userId}/{projectId}/oauth-token.json
• ✅ Session 闭包注入：每个 session 独立的用户标识
• ✅ Header 支持：X-TapTap-User-Id, X-TapTap-Project-Id

2. ResolvedContext 架构（OOP 重构）

问题： 函数式 Resolver 分散在多个文件，API 冗长
旧代码：

const userId = getUserId(context);
const token = resolveToken(context);
const app = resolveAppContext(context);

新代码：

const userId = ctx.userId;
const token = ctx.resolveToken();
const app = ctx.resolveApp();

改进：

• ✅ 请求级生命周期：每次调用创建，用完即丢
• ✅ 无缓存设计：避免状态不一致
• ✅ 面向对象：更自然的 API
• ✅ 类型独立：types/context.ts 专门管理 Context

---

📊 改进成果

新增文件：
  + types/context.ts (320行) - Context 全家桶

删除文件：
  - utils/contextResolver.ts
  - utils/tokenResolver.ts
  - utils/handlerHelpers.ts
  - __tests__/tokenResolver.test.ts

修改文件：
  • types/index.ts - 类型重组
  • server.ts - 使用 ResolvedContext
  • 所有 handlers (15+) - 迁移到新 API
  • httpClient.ts - 内联 token 解析
  • leaderboard/api.ts - 内联 app 解析

代码统计：
  删除：~450 行
  新增：~350 行
  净减少：~100 行

---

🔒 安全问题解决

问题	状态	解决方案
跨 Session Token 泄露	✅ 已解决	移除全局状态 + 闭包注入
多用户 Token 共享	✅ 已解决	用户目录隔离
Token 存储冲突	✅ 已解决	{userId}/{projectId} 路径

---

🏗️ 架构优化

类型层次

RequestContext (接口) - MCP 请求的原始上下文
  ↓ 传入
ResolvedContext (类) - 运行时解析和方法集合
  ↓ 解析
AppContext (接口) - 应用信息（含缓存）

设计原则

• ✅ 请求级生命周期：不可保存和重用
• ✅ 无缓存：每次方法调用都重新计算
• ✅ 不可变：构造后 _raw 不可修改
• ✅ 职责内聚：所有 Context 逻辑在一个类

---

🧪 测试验证

✅ 28/28 测试通过
✅ TypeScript 编译成功
✅ 功能完整验证
✅ 零运行时错误

---

📋 使用示例

IDE 配置（SSE 模式）

{
  "mcpServers": {
    "taptap": {
      "url": "http://localhost:3000",
      "headers": {
        "X-TapTap-User-Id": "my-account",
        "X-TapTap-Project-Id": "my-project"
      }
    }
  }
}

Handler 代码

// 旧代码
async function handler(args, context: HandlerContext) {
  const userId = getUserId(context);
  const app = resolveAppContext(context);
  const client = new HttpClient(context);
}

// 新代码
async function handler(args, ctx: ResolvedContext) {
  const userId = ctx.userId;
  const app = ctx.resolveApp();
  const client = new HttpClient(ctx.raw);
}

---

🚀 版本影响

• ✅ 内部重构，对外 API 无变化
• ✅ Proxy 完全兼容
• ✅ stdio 模式体验不变
• ✅ SSE 模式支持用户隔离
• ✅ 建议版本号：1.6.0 (minor)

🤖 Generated with Claude Code

[MikotoZero]

@copilot review 使用中文描述

[Copilot]

@MikotoZero I've opened a new pull request, #51, to work on those changes. Once the pull request is ready, I'll request review from you.