@allbluecn/web-app 0.23.2 → 0.23.4

package/src/server/remote-auth.ts

@@ -3,6 +3,14 @@
 // backend serverFn 进程内 fs 直达，无 IPC）。Tauri invoke 实现已随
 // Tauri 2 → Electron 迁移清除（2026-10-31）；云/Web 部署（DEPLOY_TARGET
 // 非 desktop）恒 null / no-op，行为与旧版一致。
+//
+// A12 敏感文件加密（desktop 本地优先 P2）：文件含云会话 token（敏感），
+// 内部 fs IO 经 globalThis.__allblueDesktopCodec 透明加解密（codec 由 Electron
+// Pro 域注入：main 直连 safeStorage，backend 经 entry.cjs parentPort IPC 请求
+// main——safeStorage 是 main 进程 API，复审⑥ P2-13）。接缝缺省（web/OSS/云/
+// dev 非 desktop/旧壳）行为逐字节不变：明文落盘、明文可读。密文格式
+// enc:v1:<base64>（与 Pro 仓 cloud-session.json 同前缀）；无前缀旧文件直通
+// （平滑迁移：读取兼容，下次写入自然升级密文）。
 import { promises as fs } from "node:fs"
 import path from "node:path"
 
@@ -39,13 +47,59 @@ function filePath(): string | null {
   return path.join(dir, "remote-auth.json")
 }
 
+// ---------- A12 desktop codec 接缝（与 Pro 仓 login.ts 同型） ----------
+
+/** 密文前缀标记（Pro 仓 electron/sync/encfile.ts ENC_PREFIX，两仓统一） */
+const DESKTOP_ENC_PREFIX = "enc:v1:"
+
+/**
+ * desktop codec 接缝契约：encrypt(plain) 返回最终落盘内容（enc:v1: 密文，
+ * 或 safeStorage 不可用时降级明文——不二次加前缀）；decrypt(raw) 收磁盘原文
+ * （识别前缀解密，旧明文直通）。Pro 域注入：main 直连 safeStorage（globalThis
+ * 自持），backend 经 entry.cjs parentPort IPC 请求 main（同 conflict-rpc 模型）。
+ */
+interface DesktopCodec {
+  encrypt(plain: string): Promise<string | Buffer>
+  decrypt(cipher: string): Promise<string>
+}
+
+// 调用时点读取（非模块加载期捕获）——backend entry.cjs 在 nitro 动态 import
+// 前顶装，规避注入时序；写放如返回 Buffer（原始密文字节）则补前缀 + base64。
+declare global {
+  var __allblueDesktopCodec: DesktopCodec | undefined
+}
+
+async function encodeDiskContent(plain: string): Promise<string> {
+  const codec = globalThis.__allblueDesktopCodec
+  if (!codec) return plain
+  const out = await codec.encrypt(plain)
+  if (typeof out === "string") return out
+  return `${DESKTOP_ENC_PREFIX}${Buffer.from(out).toString("base64")}`
+}
+
+async function decodeDiskContent(raw: string): Promise<string> {
+  if (!raw.startsWith(DESKTOP_ENC_PREFIX)) return raw
+  const codec = globalThis.__allblueDesktopCodec
+  if (!codec) throw new Error("密文 remote-auth 但 codec 未注入")
+  return await codec.decrypt(raw)
+}
+
 async function readFile(): Promise<RemoteAuthFile | null> {
   const file = filePath()
   if (!file) return null
   try {
-    return JSON.parse(await fs.readFile(file, "utf8")) as RemoteAuthFile
+    const raw = await fs.readFile(file, "utf8")
+    // 密文形态（带前缀）必须经 codec 解密；旧明文按原样解析（迁移兼容，
+    // 不依赖 codec 在场）。密文但 codec 缺失（旧壳/异常态）→ 警告并视为
+    // 未登录（下次登录写入自愈），不抛错反噬调用方。
+    if (!raw.startsWith(DESKTOP_ENC_PREFIX)) return JSON.parse(raw) as RemoteAuthFile
+    if (!globalThis.__allblueDesktopCodec) {
+      console.warn("[remote-auth] 密文 remote-auth 但 codec 未注入（视为未登录，下次写入自愈）")
+      return null
+    }
+    return JSON.parse(await decodeDiskContent(raw)) as RemoteAuthFile
   } catch {
-    // 文件不存在/损坏均视为未登录（损坏文件在下次写入时被覆盖自愈）
+    // 文件不存在/损坏/解密失败均视为未登录（损坏文件在下次写入时被覆盖自愈）
     return null
   }
 }
@@ -53,9 +107,13 @@ async function readFile(): Promise<RemoteAuthFile | null> {
 async function writeFile(next: RemoteAuthFile): Promise<void> {
   const file = filePath()
   if (!file) return
+  // codec 在场 → 密文落盘（encodeDiskContent 可能因 IPC 异常抛错：宁可不写
+  // ——由 writeRemoteAuth/writeRemoteSession 的既有 catch 吞掉并告警——不做
+  // 明文兜底）；无 codec → 明文（行为=现状）。
+  const content = await encodeDiskContent(JSON.stringify(next, null, 2))
   const tmp = `${file}.tmp`
   // 0600：文件含云会话 token（敏感），限属主读写；tmp+rename 原子替换防半写
-  await fs.writeFile(tmp, JSON.stringify(next, null, 2), { mode: 0o600 })
+  await fs.writeFile(tmp, content, { mode: 0o600 })
   await fs.rename(tmp, file)
 }
 

package/src/server/serverFns/auth/session.ts

@@ -15,18 +15,17 @@
 // You should have received a copy of the GNU Affero General Public License
 // along with this program. If not, see <https://www.gnu.org/licenses/>.
 
-import { DEFAULT_AI_MODEL, DEFAULT_AI_PROVIDER } from '@/lib/ai/default-model'
 import { createServerFn } from '@tanstack/react-start'
 import { z } from 'zod'
 import { getRequest } from '@tanstack/react-start/server'
 import type { FeatureKey } from '@allbluecn/kernel'
-import type { Session } from '@/lib/session'
 import { getCurrentSession } from '@/lib/session'
+import { resetProfileCache } from '@/lib/auth/auth.config'
 import { buildGuestSession, isDesktopServer } from '@/server/desktop-guest'
 import { ensureLocalShadowUser } from '@/server/desktop-bootstrap'
 import { readRemoteAuth, writeRemoteAuth, writeRemoteSession, clearRemoteAuth } from '@/server/remote-auth'
 import { generateEntitlementsToken } from '@/server/entitlements-token'
-import type { RemoteAuthData } from '@/server/remote-auth'
+import { buildRemoteSession } from '@/server/desktop-session-merge'
 import { checkAuthRateLimit } from '@/server/middlewares/rate-limit'
 
 const SAAS_URL = process.env.DESKTOP_SAAS_URL || 'https://allblue.litsex.cn'
@@ -48,26 +47,9 @@ const saasProfileSchema = z.object({
   signedToken: z.string().optional(),
 })
 
-function buildRemoteSession(data: RemoteAuthData): Session {
-  return {
-    user: {
-      id: data.userId,
-      name: data.username ?? data.userId,
-      email: data.email,
-      role: (data.role ?? 'USER') as 'USER' | 'ADMIN' | 'SUPER_ADMIN',
-      isGuest: false,
-      // 云端头像透传（SaaS desktop-callback 下发；缺省回落首字母，修复桌面端
-      // 当前用户头像不显示）
-      avatarConfig: data.avatarConfig,
-      bgShape: data.bgShape,
-      bgColor: data.bgColor,
-      aiProvider: DEFAULT_AI_PROVIDER,
-      aiModel: DEFAULT_AI_MODEL,
-      hasAiKey: false,
-    },
-    expires: 'never',
-  }
-}
+// buildRemoteSession 已抽出共享至 @/server/desktop-session-merge（A10）：
+// getCurrentSession 桌面回落需复用同一组装，且 lib/session 不得 import
+// serverFns/**（循环依赖），组装点移至 server 域纯模块。
 
 export const getSessionFn = createServerFn({ method: 'GET' })
   .handler(async () => {
@@ -141,13 +123,18 @@ export const exchangeRemoteTokenFn = createServerFn({ method: 'POST' })
         email: profile.user.email,
         role: profile.user.role,
       })
-      if (!signedToken) {
-        console.warn('[exchangeRemoteTokenFn] 无法签发权益 token（缺少 ENTITLEMENTS_SIGNING_SECRET），降级 OSS')
-        await writeRemoteSession(profile.user.id, planName, token)
-        return { success: true, userId: profile.user.id, planName, degraded: true }
-      }
     }
 
+    // session 块双路径无条件落盘（A10 修复，控制者核实的激活缺口）：readRemoteAuth
+    // 以 data.session.userId 为登录态唯一依据，原先仅降级路径写 session——生产
+    // SaaS 恒发 signedToken，signedToken 路径云身份 100% 不激活、云态写入属主错
+    // 为 guest。writeRemoteSession / writeRemoteAuth 均 merge 语义（{...prev,
+    // ...}），先 session 后 token 不互踩。
+    await writeRemoteSession(profile.user.id, planName, token)
+    if (!signedToken) {
+      console.warn('[exchangeRemoteTokenFn] 无法签发权益 token（缺少 ENTITLEMENTS_SIGNING_SECRET），降级 OSS')
+      return { success: true, userId: profile.user.id, planName, degraded: true }
+    }
     await writeRemoteAuth(signedToken, token)
     return { success: true, userId: profile.user.id, planName }
   })
@@ -159,3 +146,16 @@ export const logoutRemoteFn = createServerFn({ method: 'POST' }).validator(z.obj
   }
   throw new Error('logoutRemoteFn 仅桌面端可用')
 })
+
+// 身份切换缓存三件套之「服务端模块缓存」（A11，设计 D1）：desktop-state 身份切换
+// 事件（guest↔cloud）到达 renderer 时调用——auth.config.ts 的 profileCache 是
+// backend 进程内存缓存，renderer 无法直清，本 serverFn 是唯一载体。公开端点理由
+// （serverfn-public-allowlist）：调用时机是身份切换（登出语义延伸，会话可能已
+// 失效），且只清进程内 Map、不暴露任何用户数据——与 logoutRemoteFn 同形态。
+// 幂等无副作用（缓存 miss 自然回源），非桌面端调用同样安全（clear 无害）。
+export const resetAuthProfileCacheFn = createServerFn({ method: 'POST' })
+  .validator(z.object({}))
+  .handler(async () => {
+    resetProfileCache()
+    return { success: true }
+  })

package/src/server/serverFns/sync/transfer.ts

@@ -0,0 +1,168 @@
+// SPDX-License-Identifier: AGPL-3.0-or-later
+// AllBlue - 理想之海
+// Copyright (C) 2026 AllBlue Contributors
+
+// 归属转移 serverFn（桌面本地优先 P2-A8a）：renderer 在云登录成功回调链发起
+// （cloudLogin(main) → exchangeRemoteTokenFn(A10) → 本 serverFn），localhost
+// cookie 天然过鉴权（backend 进程无 cookie，不得由 bind-flow 直调——复审⑥ P1-8）。
+// 校验链：① readRemoteAuth().userId 必须等于 data.cloudUserId（转移目标必须等于
+// 已交换登录的云账号，防参数伪造；非 desktop / 无 remoteAuth 时 readRemoteAuth
+// 恒 null → 拒绝）；② 复核目标为空账号（isAccountEmpty，与
+// /api/sync/account-status 端点同源）；③ 调 transferOwnership 执行
+// GUEST_USER_ID → cloudUserId 的单事务转移。outbox 语义由触发器自然产出
+// （op='upsert' + base_version=0），本 serverFn 不触碰同步两表。
+// 身份字段（A8b 裁定）：name/avatarConfig 等可省略——云昵称/头像仅 SaaS 权威
+// （remote-auth.json session 块不存 profile，renderer 拿不到），省略时 handler
+// 以 remoteAuth.sessionToken 自取 SaaS profile 补齐；字段全传则用传入值（向后
+// 兼容，A8a 老调用形态不变）。
+// 同文件第二端点 probeCloudAccountStatusFn（claim 探测）：renderer 在 exchange
+// 激活后、bind:begin 前调用，代持云会话 token 探测目标账号是否空账号（云账号
+// 资料与账号状态只有 SaaS 权威）——探测失败按非空处理（宁可不转不可错转）。
+// 同文件第三端点 reverseTransferOwnershipFn（A9 登出反向转移）：登出时把云身份
+// 数据翻回 guest，详见其实现处注释。
+import { z } from "zod"
+import { createServerFn } from "@tanstack/react-start"
+import { getPrisma } from "@allbluecn/database/get-prisma"
+import { authContextMiddleware } from "@/server/middlewares/auth-context"
+import { checkAuthRateLimit } from "@/server/middlewares/rate-limit"
+import { readRemoteAuth, clearRemoteAuth } from "@/server/remote-auth"
+import { GUEST_USER_ID, isDesktopServer } from "@/server/desktop-guest"
+import { isAccountEmpty } from "@/server/sync/account-status"
+import { reverseTransferOwnership, transferOwnership } from "@/server/sync/ownership-transfer"
+import { fetchSaasProfile, DESKTOP_SAAS_URL } from "@/server/sync/saas-profile"
+
+const transferInputSchema = z.object({
+  cloudUserId: z.string().min(1),
+  name: z.string().min(1).optional(),
+  email: z.string().email().nullish(),
+  avatarConfig: z.record(z.string(), z.unknown()).nullish(),
+  bgShape: z.string().nullish(),
+  bgColor: z.string().nullish(),
+})
+
+export const transferOwnershipFn = createServerFn({ method: "POST" })
+  .middleware([authContextMiddleware])
+  .validator(transferInputSchema)
+  .handler(async ({ data }) => {
+    // ① 转移目标必须等于已交换登录的云账号（readRemoteAuth 非 desktop 恒 null）
+    const remoteAuth = await readRemoteAuth()
+    if (!remoteAuth || remoteAuth.userId !== data.cloudUserId) {
+      throw new Error(
+        `[sync/transfer] 转移目标与已登录云账号不匹配（remoteAuth.userId=${remoteAuth?.userId ?? "null"}）`,
+      )
+    }
+
+    // ② 复核目标为空账号（仅空账号才允许归属转移，一期唯一路径）
+    const prisma = await getPrisma()
+    if (!(await isAccountEmpty(prisma, data.cloudUserId))) {
+      throw new Error("[sync/transfer] 目标云账号非空账号，拒绝归属转移")
+    }
+
+    // ②b 身份字段补齐（A8b 裁定）：name 省略 = renderer 未传身份字段（一期主
+    // 路径），以 remoteAuth.sessionToken 自取 SaaS profile；资料获取失败抛错走
+    // bind:fail——绝不以空/错资料落云身份行。字段全传则用传入值（向后兼容）。
+    let name = data.name
+    let email = data.email ?? null
+    let avatarConfig = (data.avatarConfig ?? null) as Record<string, unknown> | null
+    let bgShape = data.bgShape ?? null
+    let bgColor = data.bgColor ?? null
+    if (name === undefined) {
+      const profile = await fetchSaasProfile(remoteAuth.sessionToken)
+      name = profile.name?.trim() || data.cloudUserId
+      email = data.email ?? profile.email
+      avatarConfig = data.avatarConfig ?? profile.avatarConfig
+      bgShape = data.bgShape ?? profile.bgShape
+      bgColor = data.bgColor ?? profile.bgColor
+    }
+
+    // ③ 单事务转移 GUEST → cloudUserId（失败整体回滚，调用方走 bind:fail 恢复）
+    return transferOwnership(prisma, GUEST_USER_ID, {
+      id: data.cloudUserId,
+      name,
+      email,
+      avatarConfig,
+      bgShape,
+      bgColor,
+    })
+  })
+
+// 登出反向转移（A9）：renderer 用户菜单登出时发起，把云身份名下数据翻回 guest
+// （数据保留本机且 guest 可访问）。校验链：① 桌面守卫（非 desktop 一律拒绝，同
+// exchange/logoutRemote 口径）；② readRemoteAuth().userId === data.cloudUserId
+// （登出者必须是当前云身份本人；无 remoteAuth = 已登出/非云态 → 拒绝）；③ 会话
+// 身份 === data.cloudUserId（防「本地凭据会话与云身份并存」时误触发反向转移——
+// authjs 会话有效时 session.user.id 是本地用户而非云 id）；④ 单事务
+// cloud → GUEST 反向转移（outbox/row_state 同事务清空防反向 op 上云）。
+// 事务提交成功后立即清 remote-auth（幂等）：反向转移一旦提交数据已 guest 属主，
+// 云身份残留会让 fallback 会话显示「云态零数据」假丢数据窗口（A8b 发现 2 的镜像
+// ——正向是转移成功 + 云身份未写，反向是转移成功 + 云身份未清）。renderer 侧的
+// logoutRemoteFn 保留为登出编排第二步（幂等 re-clear，裁定顺序不变）。
+export const reverseTransferOwnershipFn = createServerFn({ method: "POST" })
+  .middleware([authContextMiddleware])
+  .validator(z.object({ cloudUserId: z.string().min(1) }))
+  .handler(async ({ data, context }) => {
+    // ① 桌面守卫（远端部署下本端点可被任意会话调来清他人 remote-auth / 翻转数据）
+    if (!isDesktopServer()) {
+      throw new Error("reverseTransferOwnershipFn 仅桌面端可用")
+    }
+
+    // ② 登出者必须是当前云身份本人
+    const remoteAuth = await readRemoteAuth()
+    if (!remoteAuth || remoteAuth.userId !== data.cloudUserId) {
+      throw new Error(
+        `[sync/transfer] 登出目标与已激活云身份不匹配（remoteAuth.userId=${remoteAuth?.userId ?? "null"}）`,
+      )
+    }
+
+    // ③ 会话身份必须是云身份本人（云态下 fallback 会话 user.id 即云 id）
+    if (context.user.id !== data.cloudUserId) {
+      throw new Error(
+        `[sync/transfer] 会话身份与登出目标不匹配（session.userId=${context.user.id}）`,
+      )
+    }
+
+    // ④ 单事务反向转移 cloud → guest（失败整体回滚留在云态，renderer 解锁后可重试）
+    const prisma = await getPrisma()
+    return reverseTransferOwnership(prisma, data.cloudUserId, GUEST_USER_ID)
+      .then(async (result) => {
+        // 提交成功后清 remote-auth（幂等；clearRemoteAuth 内部吞错仅 warn，不反噬主流程）
+        await clearRemoteAuth()
+        return result
+      })
+  })
+
+// claim 探测（A8b 编排时序第 3 步）：exchange 激活后、bind:begin 前，renderer
+// 经本端点代持云会话 token 探测目标云账号是否空账号（isAccountEmpty 口径在 SaaS
+// 侧执行——账号状态只有 SaaS 权威，本地库看不到云端数据）。探测失败（SaaS 不可
+// 达/非 200/形状漂移）一律按非空处理（宁可不转不可错转），unreachable 标记供
+// renderer 区分提示；非空账号一期不支持转移。
+export const probeCloudAccountStatusFn = createServerFn({ method: "POST" })
+  .middleware([authContextMiddleware])
+  .handler(async () => {
+    // 与 exchangeRemoteTokenFn 同口径：非桌面部署下任何客户端都能借本服务探测
+    // 任意 token 的账号状态（审计 2026-10-25 形态）
+    if (!isDesktopServer()) {
+      throw new Error("probeCloudAccountStatusFn 仅桌面端可用")
+    }
+    // 防把账号状态探测代理成对上游 SaaS 的暴力面
+    await checkAuthRateLimit("probeCloudAccountStatus", 20, 15 * 60 * 1000)
+
+    const remoteAuth = await readRemoteAuth()
+    if (!remoteAuth?.sessionToken) {
+      throw new Error("[sync/transfer] 无云会话（未交换登录），无法探测账号状态")
+    }
+
+    try {
+      const res = await fetch(`${DESKTOP_SAAS_URL}/api/sync/account-status`, {
+        headers: { Cookie: `auth.session-token=${remoteAuth.sessionToken}` },
+        credentials: "omit",
+        signal: AbortSignal.timeout(10_000),
+      })
+      if (!res.ok) return { empty: false, unreachable: true }
+      const json = (await res.json().catch(() => null)) as { empty?: unknown } | null
+      if (typeof json?.empty !== "boolean") return { empty: false, unreachable: true }
+      return json.empty ? { empty: true } : { empty: false }
+    } catch {
+      return { empty: false, unreachable: true }
+    }
+  })

package/src/server/serverfn-public-allowlist.ts

@@ -24,6 +24,10 @@ export const SERVERFN_PUBLIC_ALLOWLIST = [
   'exchangeRemoteTokenFn',
   // 清除桌面端 remote-auth 持久化状态（登出语义，无会话也可调用）
   'logoutRemoteFn',
+  // 全量清空 profileCache 进程内缓存（A11 身份切换缓存三件套之一）：调用时机是
+  // desktop-state 身份切换（登出语义延伸，会话可能已失效），只清进程内 Map
+  // 不暴露任何用户数据，与 logoutRemoteFn 同形态
+  'resetAuthProfileCacheFn',
 
   // ── 登录/注册/初始化流程（鉴权前的入口）──
   // 登录页读取可用 OAuth provider 列表（未登录场景）