@bolloon/bolloon-agent 0.4.33 → 0.5.0

package/dist/utils/version-info.js

@@ -47,6 +47,58 @@ export function resolveUpdateChannel(explicit) {
 export function distTagForChannel(channel) {
     return channel === 'beta' ? 'beta' : 'latest';
 }
+// ── 双源 (update-protocol §12, 2026-09-25) ──────────────────────────────────
+//
+// stable: npm registry (`dist-tags.latest`) 是**权威**, GitHub Release/Tag 是**交叉校验源**;
+// dev   : GitHub `master` HEAD 是**唯一源**, 版本身份 = `<package.json 版本>+dev.<commit sha 前 7>`。
+//
+// 两条硬口径 (从这里开始, 全局只有这一份):
+//   ① 两套版本比较语义**显式分开** —— stable 比 semver, dev 比 commit sha (`ChannelKind`)
+//   ② 源不可达 / 版本不存在 → **拒绝并说清**, 不许静默装回旧版 (§12.5)
+/** GitHub 上游 (owner/repo) —— 与 UPSTREAM_REPO 同一处, 这里给 API 用。 */
+export const GITHUB_UPSTREAM_SLUG = 'logos-42/bolloon';
+/** GitHub API 根 (可被 BOLLOON_GITHUB_API 覆盖 → 受控假 API / 企业实例)。 */
+export const GITHUB_API_BASE = (process.env.BOLLOON_GITHUB_API || 'https://api.github.com').replace(/\/+$/, '');
+/** dev 通道盯的分支 (冻结: master)。 */
+export const DEV_BRANCH = 'master';
+export const DEV_REF = `refs/heads/${DEV_BRANCH}`;
+/**
+ * 版本比较语义 (显式, 不是隐含约定):
+ *   semver  —— stable: 按 semver 数值段比大小
+ *   git-ref —— dev: **不用 semver**, 只判"是否同一 commit / 是否落后"
+ */
+export const CHANNEL_KINDS = ['semver', 'git-ref'];
+export function channelKindOf(channel) {
+    return channel === 'dev' ? 'git-ref' : 'semver';
+}
+/** dev 快照身份里的后缀标记 (`0.4.33+dev.a1b2c3d`)。 */
+export const DEV_IDENTITY_SEP = '+dev.';
+/** dev 快照身份 —— 用 commit sha (不是 semver) 当身份, 版本号只作参考展示。 */
+export function devIdentity(baseVersion, sha) {
+    return `${baseVersionOf(baseVersion)}${DEV_IDENTITY_SEP}${String(sha).slice(0, 7)}`;
+}
+/**
+ * dev 通道的**唯一一句警告** (§12.4 硬约束 1) —— 检查 / 计划 / 执行三处打印同一句话。
+ * 定义在这里 (唯一事实层), 由 dual-source / update-manager / CLI 复用, 不允许各处自己造一句。
+ */
+export const DEV_CHANNEL_WARNING = '⚠️ dev 通道 = GitHub master HEAD 的即时快照 (未走发布门): 可能中断正在跑的 Goal/Run, 且不保证可回滚到上一个 dev 版。';
+/** 一键回 stable 的提示语 (同一份措辞)。 */
+export const DEV_BACK_TO_STABLE_HINT = '一键回稳定版: bolloon update now --channel stable';
+/** 去掉 `+dev.<sha>` 后缀, 拿到基础版本号 (stable 目标的比对基准)。 */
+export function baseVersionOf(v) {
+    return String(v || '').split(DEV_IDENTITY_SEP)[0].trim();
+}
+/** 这个版本号是不是一个 dev 快照身份。 */
+export function isDevIdentity(v) {
+    return String(v || '').includes(DEV_IDENTITY_SEP);
+}
+/** 从 dev 身份里取 commit sha (前 7 位); 不是 dev 身份返回 null。 */
+export function devShaFromIdentity(v) {
+    if (!isDevIdentity(v))
+        return null;
+    const sha = String(v).split(DEV_IDENTITY_SEP)[1]?.trim();
+    return sha ? sha : null;
+}
 // ── 包根定位 ────────────────────────────────────────────────────────────────
 /**
  * 从当前模块 URL 定位**运行中的**包根。
@@ -385,6 +437,11 @@ export function collectVersionInfo(opts = {}) {
     }
     if (!gitCommit)
         gitCommitSource = 'unknown';
+    // dev 身份从**磁盘上的版本号**读 (不是从状态文件猜): `0.4.33+dev.a1b2c3d` → sha=a1b2c3d
+    const installedDevSha = devShaFromIdentity(pkg?.version) || (opts.update?.installedDevSha ?? null);
+    const switchableTo = opts.update?.switchableTo ?? (installedDevSha
+        ? { channel: 'stable', source: 'npm', target: null }
+        : null);
     return {
         schema: 'bolloon-version/1',
         packageName: pkg?.name || PKG_NAME,
@@ -406,11 +463,14 @@ export function collectVersionInfo(opts = {}) {
         binPath: install.binPath,
         configDir: home,
         channel,
+        channelKind: channelKindOf(channel),
         upstream: UPSTREAM_REPO,
         registry: `${NPM_REGISTRY_BASE}/${PKG_NAME}`,
         updateSource: install.updateSource,
         autoUpdatable: install.autoUpdatable,
         installReason: install.reason,
+        installedDevSha,
+        switchableTo,
         update: opts.update ?? null,
         runtime: opts.runtime ?? null,
         runtimeConfigBacked: opts.runtimeConfigBacked ?? false,
@@ -444,9 +504,18 @@ export function describeUpdateLine(info) {
         case 'registry_unavailable': return `更新检查: registry 不可用${u.lastCheckReason ? ` (${u.lastCheckReason})` : ''} (不等于最新)`;
         case 'local_version_unknown': return '更新检查: 读不到本地版本 — 不判断是否有更新';
         case 'unsupported_installation': return '更新检查: 当前安装方式不支持自动更新';
+        case 'github_unavailable': return `更新检查: GitHub 源不可用${u.lastCheckReason ? ` (${u.lastCheckReason})` : ''} (不等于最新)`;
+        case 'cross_check_mismatch': return `更新检查: 两个源不一致 (npm ↔ GitHub) — 不执行更新`;
         default: return `更新检查: ${u.lastCheckStatus}`;
     }
 }
+/** 双源身份那一行 (谁装的 / 哪个 sha / 能切回哪) —— `--version` 与 `update status` 共用同一份措辞。 */
+export function describeSourceIdentity(info) {
+    const src = info.installedDevSha ? 'dev (GitHub master 快照)' : 'stable (npm registry)';
+    const ident = info.installedDevSha ? `commit ${info.installedDevSha}` : baseVersionOf(info.packageVersion);
+    const back = info.switchableTo ? ` · 可切回 ${info.switchableTo.channel} (${info.switchableTo.source})` : '';
+    return `当前安装源: ${src} · 版本/commit: ${ident} · 比较语义: ${info.channelKind}${back}`;
+}
 export function renderVersionText(info, opts = {}) {
     if (opts.verbose) {
         const lines = [
@@ -464,10 +533,12 @@ export function renderVersionText(info, opts = {}) {
             `运行入口:    ${info.entryPath}`,
             `bin shim:    ${info.binPath || 'unknown'}`,
             `配置目录:    ${info.configDir}`,
-            `更新通道:    ${info.channel}`,
+            `更新通道:    ${info.channel} (比较语义: ${info.channelKind})`,
             `更新来源:    ${info.updateSource}${info.autoUpdatable ? '' : ' (不支持自动更新)'}`,
+            describeSourceIdentity(info),
             `上游地址:    ${info.upstream}`,
             `registry:    ${info.registry}`,
+            `GitHub:      ${GITHUB_UPSTREAM_SLUG} (${DEV_BRANCH} HEAD = dev 通道的源)`,
             describeUpdateLine(info),
             `上次检查:    ${fmtTime(info.update?.lastCheckAt)}`,
         ];
@@ -493,12 +564,15 @@ export function renderVersionText(info, opts = {}) {
         `安装目录: ${info.installDir}`,
         `运行入口: ${info.binPath || info.entryPath}`,
         `更新通道: ${info.channel}`,
+        describeSourceIdentity(info),
         `Node.js: ${info.nodeVersion}`,
         `平台: ${info.platform} ${info.arch}`,
         `上游提交: ${info.gitCommit || 'unknown'}`,
         describeUpdateLine(info),
         `上次检查: ${fmtTime(info.update?.lastCheckAt)}`,
     ];
+    if (info.installedDevSha)
+        lines.push(DEV_CHANNEL_WARNING, DEV_BACK_TO_STABLE_HINT);
     if (info.runtime) {
         lines.push('');
         lines.push(...renderRuntimeLines(info.runtime, { verbose: false, configBacked: info.runtimeConfigBacked }));

package/dist/web/mobile-contacts.js

@@ -89,21 +89,54 @@ async function importPrivate(storage, c) {
 }
 /** 用设备私钥签一条 Grant (核心: 手机确认 → 桌面才认) */
 export async function signGrantOnDevice(grant, storage, c) {
-    const cobj = cryptoOf(c);
-    const key = await importPrivate(storage, cobj);
-    const payload = canonicalGrantPayload(grant);
-    const sig = await cobj.subtle.sign({ name: 'Ed25519' }, key, bytesOf(payload));
-    const dev = await loadOrCreateDeviceKey(storage, cobj);
-    return { deviceId: dev.deviceId, alg: 'ed25519', payloadHash: await sha256Hex(cobj, payload), sig: b64(sig) };
+    return signPayloadOnDevice(canonicalGrantPayload(grant), storage, c);
 }
 /** 撤销也要签名 (桌面拒收未登记设备的撤销) */
 export async function signRevocationOnDevice(rev, storage, c) {
+    return signPayloadOnDevice(canonicalRevocationPayload(rev), storage, c);
+}
+/**
+ * 通用: 用**同一把设备私钥**签任意规范载荷 (2026-09-25)。
+ *
+ * 抽出来的原因: 手机上所有"要桌面认账"的动作 (长期授权 · 撤销 · 高风险任务动作
+ * 入群/发公告/过程留痕) 必须是**同一把设备密钥 + 同一套验签纪律** ——
+ * 各写一份签名实现迟早出现"某条路径没签名也能过"的缝。
+ * 载荷的规范化由调用方提供 (grant-payload / mobile-task-actions), 本函数只管签。
+ */
+export async function signPayloadOnDevice(payload, storage, c) {
+    const cobj = cryptoOf(c);
+    if (!cobj?.subtle)
+        throw new Error('device_signing_unavailable: 本机没有 WebCrypto');
+    // 只加载一次设备材料: deviceId 与签名必须来自**同一份**密钥
+    // (2026-09-25 修: 之前在这里二次 loadOrCreateDeviceKey, storage 不持久化时会生成另一把密钥
+    //  → 桌面 device_mismatch 403。真机 localStorage 下看不出来, 但那是运气不是设计。)
+    const material = await loadOrCreateDeviceKey(storage, cobj);
+    const key = await cobj.subtle.importKey('jwk', material.privateKeyJwk, { name: 'Ed25519' }, false, ['sign']);
+    const bytes = bytesOf(String(payload ?? ''));
+    const sig = await cobj.subtle.sign({ name: 'Ed25519' }, key, bytes);
+    return { deviceId: material.deviceId, alg: 'ed25519', payloadHash: await sha256Hex(cobj, String(payload ?? '')), sig: b64(sig) };
+}
+/** sha256 hex (手机侧与桌面 Node 同值) —— 任务动作的内容摘要用它算 */
+export async function sha256HexOf(text, c) {
     const cobj = cryptoOf(c);
-    const key = await importPrivate(storage, cobj);
-    const payload = canonicalRevocationPayload(rev);
-    const sig = await cobj.subtle.sign({ name: 'Ed25519' }, key, bytesOf(payload));
-    const dev = await loadOrCreateDeviceKey(storage, cobj);
-    return { deviceId: dev.deviceId, alg: 'ed25519', payloadHash: await sha256Hex(cobj, payload), sig: b64(sig) };
+    if (!cobj?.subtle)
+        throw new Error('device_signing_unavailable: 本机没有 WebCrypto');
+    return sha256Hex(cobj, String(text ?? ''));
+}
+/**
+ * 用**已经加载好的**设备材料签名 (调用方自己拿 deviceId)。
+ *
+ * 为什么留这个口: 高风险任务动作的载荷里含 deviceId, 签名必须与那个 deviceId 同源。
+ * 若"取 deviceId"与"签名"各调一次 loadOrCreateDeviceKey, 在 storage 不持久化的环境
+ * (隐私模式 / storage 被禁) 会拿到两把不同密钥 → 桌面 device_mismatch 403。
+ */
+export async function signPayloadWithMaterial(payload, material, c) {
+    const cobj = cryptoOf(c);
+    if (!cobj?.subtle)
+        throw new Error('device_signing_unavailable: 本机没有 WebCrypto');
+    const key = await cobj.subtle.importKey('jwk', material.privateKeyJwk, { name: 'Ed25519' }, false, ['sign']);
+    const sig = await cobj.subtle.sign({ name: 'Ed25519' }, key, bytesOf(String(payload ?? '')));
+    return { deviceId: material.deviceId, alg: 'ed25519', payloadHash: await sha256Hex(cobj, String(payload ?? '')), sig: b64(sig) };
 }
 async function post(base, path, body, f) {
     const res = await f(`${String(base).replace(/\/+$/, '')}${path}`, {