@aiyiran/myclaw 1.0.217 → 1.0.219

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@aiyiran/myclaw",
-  "version": "1.0.217",
+  "version": "1.0.219",
   "description": "",
   "main": "index.js",
   "bin": {

package/patches/patch.js

@@ -250,21 +250,26 @@ function patch() {
           console.log('[myclaw-patch] ✅ 已修复 Permissions-Policy (microphone): ' + f);
         }
 
-        // Patch 2: CSP frame-src - 在 buildControlUiCspHeader 的 CSP 数组中添加 frame-src
-        // 原始: "default-src 'self'", ... "frame-ancestors 'none'"
-        // 目标: 在 "default-src 'self'" 后插入 "frame-src 'self' https:", 并修改 frame-ancestors
+        // Patch 2: CSP - 在 buildControlUiCspHeader 的 CSP 数组中放宽限制
+        // 原始: "default-src 'self'", "connect-src 'self' ws: wss:", "frame-ancestors 'none'"
+        // 目标: 添加 frame-src, 放开 connect-src 和 frame-ancestors
         if (needsCspFramePatch) {
-          // 在 "default-src 'self'" 后面插入 frame-src 指令
+          // 添加 frame-src 指令（允许 iframe 加载外部 https 资源）
           content = content.replace(
             '"default-src \'self\'"',
             '"default-src \'self\'",\n\t\t"frame-src \'self\' https:"'
           );
-          // 同时放开 frame-ancestors，允许被外部 iframe 嵌入
+          // 放开 connect-src，允许 fetch/XHR 到外部 https API
+          content = content.replace(
+            '"connect-src \'self\' ws: wss:"',
+            '"connect-src \'self\' https: ws: wss:"'
+          );
+          // 放开 frame-ancestors，允许被外部 https 页面嵌入
           content = content.replace(
             '"frame-ancestors \'none\'"',
             '"frame-ancestors \'self\' https:"'
           );
-          console.log('[myclaw-patch] ✅ 已添加 CSP frame-src 允许 iframe 加载: ' + f);
+          console.log('[myclaw-patch] ✅ 已修复 CSP (frame-src, connect-src, frame-ancestors): ' + f);
         }
 
         fs.writeFileSync(filePath, content, 'utf8');