@co0ontty/wand 1.29.0 → 1.29.1

package/dist/cli.js

@@ -78,14 +78,20 @@ async function main() {
             break;
         }
         case "config:show": {
-            // 展示合并后的视图（JSON 部署字段 + DB 偏好字段）。
+            // 展示合并后的视图（JSON 部署字段 + DB 偏好字段）。password 脱敏：
+            // 显示是否已自定义（"<set>" / "change-me"），避免误把真密码截图分享出去；
+            // 想看真值就直接读 DB（sqlite3 wand.db "SELECT * FROM app_config WHERE key='password'"）。
             const { ensureDatabaseFile, resolveDatabasePath, WandStorage } = await import("./storage.js");
             const dbPath = resolveDatabasePath(configPath);
             ensureDatabaseFile(dbPath);
             const storage = new WandStorage(dbPath);
             try {
                 const config = await loadConfigWithStorage(configPath, storage);
-                process.stdout.write(`${JSON.stringify(config, null, 2)}\n`);
+                const display = {
+                    ...config,
+                    password: config.password === "change-me" ? "change-me" : "<set>",
+                };
+                process.stdout.write(`${JSON.stringify(display, null, 2)}\n`);
             }
             finally {
                 storage.close();
@@ -109,6 +115,16 @@ async function main() {
                     writePreferenceToStorage(config, storage, key, value);
                     process.stdout.write(`[wand] Updated preference ${key} in ${dbPath}\n`);
                 }
+                else if (key === "password") {
+                    // password 走 SQLite，和 Web UI 设置面板保持同一个源。
+                    // 历史上 setConfigValue("password") 只写 config.json，但登录用 dbPassword ?? config.password，
+                    // 一旦 DB 里有值，写 JSON 完全不生效，命令静默返回成功 → 用户以为改了密码其实没改。
+                    if (typeof value !== "string" || value.length < 6) {
+                        throw new Error("password 长度至少为 6 个字符");
+                    }
+                    storage.setPassword(value);
+                    process.stdout.write(`[wand] Updated password in ${dbPath}\n`);
+                }
                 else {
                     const nextConfig = setConfigValue(config, key, value);
                     await saveConfig(configPath, nextConfig);
@@ -296,10 +312,10 @@ async function runAttach(live, configPath, useTui) {
     process.on("SIGTERM", onSignal);
 }
 function setConfigValue(config, key, value) {
-    // 偏好字段（defaultMode/defaultCwd/...）由调用方分流到 storage，这里只处理 JSON 字段。
+    // 偏好字段（defaultMode/defaultCwd/...）由调用方分流到 storage，password 也走 DB
+    // （由 case "config:set" 直接处理），这里只剩纯 JSON 字段。
     switch (key) {
         case "host":
-        case "password":
         case "shell":
             return {
                 ...config,

package/dist/config.js

@@ -1,6 +1,6 @@
 import crypto from "node:crypto";
 import { existsSync } from "node:fs";
-import { mkdir, readFile, writeFile } from "node:fs/promises";
+import { mkdir, readFile, rename, unlink, writeFile } from "node:fs/promises";
 import path from "node:path";
 import process from "node:process";
 const DEFAULT_CONFIG_DIR = ".wand";
@@ -86,6 +86,27 @@ export function resolveConfigDir(configPath) {
 export function hasConfigFile(configPath) {
     return existsSync(configPath);
 }
+/**
+ * 原子写入：先写 `<dir>/.<file>.tmp-<rand>`，再 rename 覆盖目标。
+ * 防止 kill -9 / 断电 / 磁盘满导致 config.json 半截损坏 → 下次启动 catch 路径
+ * 把 defaults 写回去 → appSecret 重生成 → 已分发的 APK appToken 全部作废。
+ */
+async function atomicWriteFile(filePath, content) {
+    const dir = path.dirname(filePath);
+    const base = path.basename(filePath);
+    const tmpPath = path.join(dir, `.${base}.tmp-${crypto.randomBytes(6).toString("hex")}`);
+    await writeFile(tmpPath, content, "utf8");
+    try {
+        await rename(tmpPath, filePath);
+    }
+    catch (err) {
+        try {
+            await unlink(tmpPath);
+        }
+        catch { /* noop */ }
+        throw err;
+    }
+}
 export async function ensureConfig(configPath) {
     const dir = path.dirname(configPath);
     await mkdir(dir, { recursive: true });
@@ -95,20 +116,20 @@ export async function ensureConfig(configPath) {
         const normalized = `${JSON.stringify(merged, null, 2)}\n`;
         // Only write if the file content actually changed
         if (raw.trimEnd() !== normalized.trimEnd()) {
-            await writeFile(configPath, normalized, "utf8");
+            await atomicWriteFile(configPath, normalized);
         }
         return merged;
     }
     catch {
         const config = defaultConfig();
-        await writeFile(configPath, `${JSON.stringify(config, null, 2)}\n`, "utf8");
+        await atomicWriteFile(configPath, `${JSON.stringify(config, null, 2)}\n`);
         return config;
     }
 }
 /** saveConfig 写出时去掉偏好字段——这些已经移到 SQLite。 */
 export async function saveConfig(configPath, config) {
     await mkdir(path.dirname(configPath), { recursive: true });
-    await writeFile(configPath, `${JSON.stringify(stripPreferenceFields(config), null, 2)}\n`, "utf8");
+    await atomicWriteFile(configPath, `${JSON.stringify(stripPreferenceFields(config), null, 2)}\n`);
 }
 /**
  * 启动期合并 JSON + DB 偏好。语义：
@@ -129,11 +150,21 @@ export async function loadConfigWithStorage(configPath, storage) {
         hadFile = true;
     }
     catch {
+        // 文件缺失 或 JSON 损坏：保留空 rawInput；reconcileAppSecret 会优先用 DB 里那份，
+        // 避免已分发 APK 被踢下线。
         rawInput = {};
     }
     migrateLegacyPreferencesToDb(rawInput, storage);
+    migrateLegacyPasswordToDb(rawInput, storage);
     const config = mergeWithDefaults(rawInput);
     applyStoragePreferences(config, storage);
+    // appSecret: DB 是权威源。
+    // - DB 有 → 直接覆盖 runtime config（即使 mergeWithDefaults 临时生成了新的，也以 DB 为准）
+    // - DB 无、config 有 → 老用户首次升级，把 config.json 里的 appSecret 落到 DB
+    // - 都没 → 用 config 当前那个（mergeWithDefaults 已经生成），落到 DB
+    reconcileAppSecret(config, storage);
+    // password: DB 优先映射到 runtime config，让 config:show 与 server.ts 都看到真值
+    applyStoragePassword(config, storage);
     // 如果 JSON 里有偏好字段（说明是老版本配置或刚迁移），重写一次干净版本
     const hasLegacyPrefs = PREFERENCE_KEYS.some((key) => key in rawInput);
     if (!hadFile || hasLegacyPrefs) {
@@ -141,6 +172,46 @@ export async function loadConfigWithStorage(configPath, storage) {
     }
     return config;
 }
+/**
+ * 把 DB 里的 appSecret 同步到 runtime config，缺失时反向回填，保证 DB 永远有备份。
+ * 这条路径修掉了之前的 bug：mergeWithDefaults 在缺失 appSecret 时会随机生成一个新的，
+ * 一旦 config.json 因为任何原因丢字段（损坏/手动编辑/catch fallback），所有 APK appToken 立刻作废。
+ */
+function reconcileAppSecret(config, storage) {
+    const dbSecret = storage.getAppSecret();
+    if (dbSecret && dbSecret.length >= 32) {
+        config.appSecret = dbSecret;
+        return;
+    }
+    if (config.appSecret && config.appSecret.length >= 32) {
+        storage.setAppSecret(config.appSecret);
+        return;
+    }
+    const fresh = crypto.randomBytes(32).toString("hex");
+    config.appSecret = fresh;
+    storage.setAppSecret(fresh);
+}
+/** 把 DB 里设置过的 password 映射到 runtime config 字段，让 config:show 不再展示 "change-me" 假象。 */
+function applyStoragePassword(config, storage) {
+    const dbPassword = storage.getPassword();
+    if (dbPassword !== null) {
+        config.password = dbPassword;
+    }
+}
+/**
+ * 老用户如果曾经手动编辑 config.json 设过非默认密码，但从没用 Web UI 改过密码
+ * （DB 里没有 password 行），那个 JSON 字段就是当前生效密码。升级到 DB 权威源之前
+ * 必须把它搬到 DB，否则后续如果 saveConfig 路径剥离 password 字段或 JSON 被截断，
+ * 用户会被锁在门外。DB 已经有 password 行的情况下不覆盖。
+ */
+function migrateLegacyPasswordToDb(rawInput, storage) {
+    if (storage.hasCustomPassword())
+        return;
+    const legacy = rawInput.password;
+    if (typeof legacy === "string" && legacy.length >= 6 && legacy !== "change-me") {
+        storage.setPassword(legacy);
+    }
+}
 /** Build a JSON-safe view of WandConfig that excludes preference fields (which live in DB). */
 function stripPreferenceFields(config) {
     const out = { ...config };

package/dist/storage.d.ts

@@ -28,6 +28,11 @@ export declare class WandStorage {
     setPassword(password: string): void;
     /** Check if password has been set (not default) */
     hasCustomPassword(): boolean;
+    /** Get appSecret from database (used to mint Android appTokens) */
+    getAppSecret(): string | null;
+    /** Persist appSecret in database (DB is the authoritative source after first migration) */
+    setAppSecret(value: string): void;
+    hasAppSecret(): boolean;
     saveAuthSession(token: string, expiresAt: number): void;
     getAuthSession(token: string): PersistedAuthSession | null;
     deleteAuthSession(token: string): void;

package/dist/storage.js

@@ -302,6 +302,17 @@ export class WandStorage {
     hasCustomPassword() {
         return this.getPassword() !== null;
     }
+    /** Get appSecret from database (used to mint Android appTokens) */
+    getAppSecret() {
+        return this.getConfigValue("appSecret");
+    }
+    /** Persist appSecret in database (DB is the authoritative source after first migration) */
+    setAppSecret(value) {
+        this.setConfigValue("appSecret", value);
+    }
+    hasAppSecret() {
+        return this.getAppSecret() !== null;
+    }
     // ============ Auth Session Methods ============
     saveAuthSession(token, expiresAt) {
         this.db

package/dist/web-ui/content/scripts.js

@@ -1467,15 +1467,6 @@
                   '</button>' +
                 '</div>' +
               '</div>' +
-              '<div class="sidebar-rail" id="sidebar-rail" aria-hidden="true">' +
-                '<button class="sidebar-rail-expand" id="sidebar-rail-expand" type="button" title="展开侧栏" aria-label="展开侧栏">' +
-                  '<svg width="16" height="16" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2.4" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><polyline points="10 6 16 12 10 18"/><line x1="20" y1="5" x2="20" y2="19"/></svg>' +
-                '</button>' +
-                '<div class="sidebar-rail-list" id="sidebar-rail-list">' + renderRailSessions() + '</div>' +
-                '<button class="sidebar-rail-new" id="sidebar-rail-new" type="button" title="新会话" aria-label="新会话">' +
-                  '<svg width="18" height="18" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2.2" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><line x1="12" y1="5" x2="12" y2="19"/><line x1="5" y1="12" x2="19" y2="12"/></svg>' +
-                '</button>' +
-              '</div>' +
             '</aside>' +
             '<main class="main-content">' +
               '<div class="main-header-row">' +

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@co0ontty/wand",
-  "version": "1.29.0",
+  "version": "1.29.1",
   "description": "A web terminal for local CLI tools like Claude.",
   "type": "module",
   "bin": {