@dsh-plus/access-gate 0.1.3 → 0.2.0

package/lib/index.js

@@ -1,26 +1,26 @@
 import { Service } from "@deepseek-ai/cordis";
 import { installSettingsSection, settingsNamespace } from "@deepseek-ai/dsh-settings";
 import z from "@deepseek-ai/schemastery";
-import { createHash, timingSafeEqual } from "node:crypto";
 //#endregion
 //#region src/config.ts
 /**
 * 配置单一事实源：cordis 行级 Config（组合默认值，dev/prod patch 层可覆盖）
 * 与 settings namespace（用户层，经 dsh-settings-file 持久化到 $DSH_HOME/settings.yaml）
 * 共用同一 schemastery schema（notify-email 同款约定）。
-* token 标记 secret 角色：任何读取通道不得回传明文。
+*
+* 与官方认证合并后：访问凭据唯一化为官方 browser-auth cookie（dsh-auth-*，
+* 由 client-connection 的 ?token= 启动令牌交换签发），本插件不再持有自有
+* token/cookie；allowedIps 降级为可选的附加 IP 围栏。
+* 旧配置中的 token/cookieMaxAgeHours/loginFailLimit/loginCooldownMs 键由
+* schemastery 透传忽略，不阻断加载（已实测验证）。
 * @module access-gate/config
 */
 /** settings 命名空间；webui 配置卡片与插件运行期读取同一份（字面量见 ./ns.ts）。 */
 const SETTINGS_NS = settingsNamespace("dsh-plus-access-gate");
 const Config = z.object({
 	enabled: z.boolean().description("访问围栏总开关（false = 一切放行，等价插件缺席）").default(false),
-	token: z.string().role("secret").description("访问令牌；空字符串 = token 通道关闭。经登录页输入后以 HttpOnly cookie 持有").default(""),
-	allowedIps: z.array(z.string()).description("放行 IP 白名单：精确 IP 或 CIDR（IPv4/IPv6 皆可）").default([]),
-	trustForwardedFor: z.boolean().description("是否信任 x-forwarded-for 还原真实客户端 IP（仅当入口代理强制覆盖该头时开启；tailscale serve 满足）").default(true),
-	cookieMaxAgeHours: z.natural().max(8760).description("登录 cookie 有效期（小时）").default(720),
-	loginFailLimit: z.natural().description("登录失败节流阈值（每 IP 冷却窗口内允许的失败次数）").default(10),
-	loginCooldownMs: z.natural().description("登录失败节流冷却毫秒数").default(6e4)
+	allowedIps: z.array(z.string()).description("附加 IP 围栏：非空时仅白名单条目（精确 IP 或 CIDR，IPv4/IPv6 皆可）可通行与登录；空 = 不限制来源 IP（仅官方登录保护）").default([]),
+	trustForwardedFor: z.boolean().description("是否信任 x-forwarded-for 还原真实客户端 IP（仅当入口代理强制覆盖该头时开启；tailscale serve 满足）").default(true)
 });
 //#endregion
 //#region src/ip.ts
@@ -150,40 +150,6 @@ function isLoopbackAddress(remoteAddress) {
 }
 //#endregion
 //#region src/decision.ts
-/**
-* 围栏判定核心：`decideGate` 纯函数。
-*
-* 信任模型（决策记录详见 docs/README.md）：
-* - dsh web 仅绑 127.0.0.1，远程流量必经 tailscale serve → dsh-proxy 两跳，
-*   serve 会**覆盖**（而非追加）x-forwarded-for，客户端无法伪造；
-* - 能直发 loopback 或伪造 XFF 的只有本机进程——与 dsh 官方 /api 围栏的
-*   loopback 信任边界一致，本机直连视为可信管理通道；
-* - 因此 XFF 存在且 trustForwardedFor=true 时取最左条目为真实客户端 IP。
-*
-* token 比较使用 sha256 摘要 + timingSafeEqual 常时比较。
-* @module access-gate/decision
-*/
-const GATE_COOKIE = "dsh_gate";
-/** sha256 摘要为定长 32 字节，常时比较的前提。 */
-function tokenMatches(candidate, expected) {
-	if (candidate === "" || expected === "") return false;
-	const a = createHash("sha256").update(candidate).digest();
-	const b = createHash("sha256").update(expected).digest();
-	return timingSafeEqual(a, b);
-}
-/** 从 cookie 头解析指定名字的值（手写最小解析，零依赖）。 */
-function readCookie(headers, name) {
-	const raw = headers.cookie;
-	if (typeof raw !== "string") return void 0;
-	for (const part of raw.split(";")) {
-		const eq = part.indexOf("=");
-		if (eq === -1) continue;
-		if (part.slice(0, eq).trim() === name) {
-			const value = part.slice(eq + 1).trim();
-			return value === "" ? void 0 : value;
-		}
-	}
-}
 /** 取 XFF 最左条目（serve 单跳覆盖语义下即真实客户端 IP）。 */
 function forwardedIp(headers) {
 	const raw = headers["x-forwarded-for"];
@@ -191,7 +157,7 @@ function forwardedIp(headers) {
 	const first = raw.split(",")[0]?.trim() ?? "";
 	return first === "" ? void 0 : first;
 }
-/** 浏览器导航请求判定：GET + accept 含 text/html（需要返回登录页而非 403）。 */
+/** 浏览器导航请求判定：GET + accept 含 text/html（需要返回 token 输入页而非 403）。 */
 function isNavigationRequest(req) {
 	if (req.method !== "GET" && req.method !== "HEAD") return false;
 	const accept = req.headers.accept;
@@ -208,17 +174,22 @@ function compileAllowlist(entries) {
 	};
 }
 /**
-* 围栏判定（纯函数，除 token 哈希外无任何副作用与 IO）。
+* 围栏判定（纯函数，无任何副作用与 IO）。
 * 逻辑次序：豁免路径由调用方前置处理；enabled=false 直通；确定有效来源
 * （受信 XFF 优先，否则 remoteAddress）；来源为 loopback 直连 → 放行；
-* 否则按白名单/token 判定；无来源 → fail-closed。
+* 白名单非空时作附加 IP 围栏，不命中即拒；官方 cookie 有效 → 放行；
+* 否则导航 → token 输入页，非导航 → 403；无来源 → fail-closed。
 *
 * loopback 语义：XFF 被信任时，存在 XFF 即代表请求经代理（serve→proxy→dsh
 * 全链 loopback，真实客户端只在 XFF 里）——remoteAddress 是 loopback 也不
 * 放行，必须按 XFF 判定；XFF 不被信任时，来源就是 remoteAddress，
 * loopback 即本机直连 → 放行（防锁死兜底优先）。
+*
+* @param officialAuthed - 官方 browser-auth cookie 校验结果（调用方委托
+*   connection.requestRejection() 得出；含官方 Host 信任围栏，403 情形
+*   视同未认证）。
 */
-function decideGate(req, policy) {
+function decideGate(req, policy, officialAuthed) {
 	if (!policy.enabled) return {
 		verdict: "pass",
 		reason: "local"
@@ -226,146 +197,40 @@ function decideGate(req, policy) {
 	const forwarded = forwardedIp(req.headers);
 	const trustedForwarded = policy.trustForwardedFor ? forwarded : void 0;
 	const clientIpText = trustedForwarded ?? req.remoteAddress;
-	if (clientIpText === void 0) return {
-		verdict: "block",
-		reason: void 0
-	};
+	if (clientIpText === void 0) return { verdict: "block" };
 	if (trustedForwarded === void 0 && isLoopbackAddress(req.remoteAddress)) return {
 		verdict: "pass",
 		reason: "local"
 	};
 	const allowlist = compileAllowlist(policy.allowedIps);
-	const clientIp = parseIp(clientIpText);
-	const allowedByIp = clientIp !== null && allowlist.match(clientIp);
-	const cookieToken = readCookie(req.headers, GATE_COOKIE);
-	const allowedByToken = cookieToken !== void 0 && tokenMatches(cookieToken, policy.token);
-	const decision = {
-		verdict: allowedByIp || allowedByToken ? "pass" : isNavigationRequest(req) ? "login" : "block",
-		clientIp: clientIpText
+	const invalidEntries = allowlist.invalid.length > 0 ? allowlist.invalid : void 0;
+	if (policy.allowedIps.length > 0) {
+		const clientIp = parseIp(clientIpText);
+		if (clientIp === null || !allowlist.match(clientIp)) return {
+			verdict: "block",
+			clientIp: clientIpText,
+			invalidEntries
+		};
+	}
+	if (officialAuthed) return {
+		verdict: "pass",
+		reason: "cookie",
+		clientIp: clientIpText,
+		invalidEntries
+	};
+	return {
+		verdict: isNavigationRequest(req) ? "token-page" : "block",
+		clientIp: clientIpText,
+		invalidEntries
 	};
-	if (allowedByToken) decision.reason = "token";
-	else if (allowedByIp) decision.reason = "allowed-ip";
-	if (allowlist.invalid.length > 0) decision.invalidEntries = allowlist.invalid;
-	return decision;
-}
-//#endregion
-//#region src/login-page.ts
-/**
-* 登录页：围栏拦截浏览器导航请求时返回的内联 HTML。
-* 自包含（无外部静态资源依赖）、中文、vanilla JS——输入 token → 调
-* /dsh-plus/gate/login → 成功后 reload 放行。
-* @module access-gate/login-page
-*/
-function renderLoginPage() {
-	return `<!DOCTYPE html>
-<html lang="zh-CN">
-<head>
-<meta charset="utf-8">
-<meta name="viewport" content="width=device-width, initial-scale=1">
-<title>访问校验</title>
-<style>
-  :root { color-scheme: dark; }
-  body {
-    margin: 0; min-height: 100vh; display: flex; align-items: center; justify-content: center;
-    background: #16181d; color: #e6e8ec;
-    font-family: system-ui, -apple-system, "Segoe UI", Roboto, "PingFang SC", "Noto Sans CJK SC", sans-serif;
-  }
-  .card {
-    width: min(92vw, 360px); padding: 32px 28px; border-radius: 14px;
-    background: #1e2128; border: 1px solid #2e323c; box-shadow: 0 8px 32px rgba(0,0,0,.4);
-    box-sizing: border-box;
-  }
-  h1 { margin: 0 0 6px; font-size: 20px; font-weight: 600; }
-  p { margin: 0 0 22px; font-size: 13px; color: #9aa1ad; line-height: 1.6; }
-  input {
-    width: 100%; box-sizing: border-box; padding: 10px 12px; border-radius: 8px;
-    border: 1px solid #3a3f4b; background: #16181d; color: #e6e8ec; font-size: 15px;
-    outline: none;
-  }
-  input:focus { border-color: #5b8cff; }
-  button {
-    width: 100%; margin-top: 14px; padding: 10px 0; border: 0; border-radius: 8px;
-    background: #3d6dff; color: #fff; font-size: 15px; font-weight: 600; cursor: pointer;
-  }
-  button:disabled { opacity: .6; cursor: default; }
-  .msg { min-height: 18px; margin-top: 12px; font-size: 13px; text-align: center; }
-  .err { color: #ff7a76; }
-  .ok { color: #63d17c; }
-</style>
-</head>
-<body>
-  <form class="card" id="form">
-    <h1>此页面受访问控制保护</h1>
-    <p>当前网络不在放行名单内。输入访问令牌以继续；或使用名单内的设备/网络访问。</p>
-    <input id="token" type="password" placeholder="访问令牌" autocomplete="off" autofocus>
-    <button id="btn" type="submit">继续访问</button>
-    <div class="msg" id="msg"></div>
-  </form>
-<script>
-  var form = document.getElementById('form');
-  var input = document.getElementById('token');
-  var btn = document.getElementById('btn');
-  var msg = document.getElementById('msg');
-  form.addEventListener('submit', function (event) {
-    event.preventDefault();
-    var token = input.value;
-    if (!token) { msg.className = 'msg err'; msg.textContent = '请输入访问令牌'; return; }
-    btn.disabled = true;
-    msg.className = 'msg'; msg.textContent = '校验中…';
-    fetch('/dsh-plus/gate/login', {
-      method: 'POST',
-      headers: { 'content-type': 'application/json' },
-      body: JSON.stringify({ token: token })
-    }).then(function (res) {
-      if (res.ok) { msg.className = 'msg ok'; msg.textContent = '校验通过，正在进入…'; location.reload(); }
-      else if (res.status === 429) { msg.className = 'msg err'; msg.textContent = '失败次数过多，请稍后再试'; btn.disabled = false; }
-      else { msg.className = 'msg err'; msg.textContent = '令牌无效'; btn.disabled = false; }
-    }).catch(function () { msg.className = 'msg err'; msg.textContent = '网络错误，请重试'; btn.disabled = false; });
-  });
-<\/script>
-</body>
-</html>`;
 }
 //#endregion
 //#region src/routes.ts
-/**
-* 自有 HTTP 端点（/dsh-plus/gate 前缀，围栏豁免路径）：
-* - POST /dsh-plus/gate/login  — token 换 cookie（HttpOnly + SameSite=Strict）
-* - GET  /dsh-plus/gate/status — 当前客户端判定状态（登录页与卡片诊断）
-*
-* 登录失败节流：按客户端 IP 记录失败次数与冷却截止（惰性清理，无定时器）。
-* handler 工厂与路由注册分离，测试直接驱动 handler（禁起真实服务器）。
-* @module access-gate/routes
-*/
 const GATE_ROUTE = "/dsh-plus/gate";
-function createThrottleState() {
-	return { fails: /* @__PURE__ */ new Map() };
-}
-function sendJson(res, status, body, headers) {
-	res.writeHead(status, {
-		"content-type": "application/json; charset=utf-8",
-		...headers
-	});
+function sendJson(res, status, body) {
+	res.writeHead(status, { "content-type": "application/json; charset=utf-8" });
 	res.end(JSON.stringify(body));
 }
-function readBody(req) {
-	return new Promise((resolve, reject) => {
-		const chunks = [];
-		req.on("data", (chunk) => chunks.push(chunk));
-		req.on("end", () => resolve(Buffer.concat(chunks).toString("utf8")));
-		req.on("error", reject);
-	});
-}
-/** 解析 JSON body；非对象或解析失败返回 null。 */
-async function readJson(req) {
-	if (!req.headers["content-type"]?.includes("application/json")) return null;
-	try {
-		const parsed = JSON.parse(await readBody(req));
-		return parsed !== null && typeof parsed === "object" && !Array.isArray(parsed) ? parsed : null;
-	} catch {
-		return null;
-	}
-}
 /** 默认客户端 IP 还原：XFF 最左优先，否则 socket 地址。 */
 function clientIpOf(req) {
 	const forwarded = req.headers["x-forwarded-for"];
@@ -377,53 +242,16 @@ function clientIpOf(req) {
 	if (remote === void 0 || remote === "") return void 0;
 	return remote.startsWith("::ffff:") ? remote.slice(7) : remote;
 }
-/** 是否处于冷却期；冷却期满的条目惰性清除（计数中条目保留）。 */
-function throttled(state, ip, now) {
-	const entry = state.fails.get(ip);
-	if (entry === void 0) return false;
-	if (entry.until > now) return true;
-	if (entry.until > 0) state.fails.delete(ip);
-	return false;
-}
-/** 记一次失败；达到阈值则进入冷却。 */
-function recordFailure(state, ip, limit, cooldownMs, now) {
-	const entry = state.fails.get(ip) ?? {
-		count: 0,
-		until: 0
-	};
-	entry.count += 1;
-	if (entry.count >= limit) {
-		entry.until = now + cooldownMs;
-		entry.count = 0;
-	}
-	state.fails.set(ip, entry);
+/**
+* 本机直连判定（launch-url 管理通道专用）：socket 为 loopback 且不带
+* XFF（带 XFF 说明经代理，真实客户端在远端，不属本机管理通道）。
+*/
+function isDirectLoopback(req) {
+	if (req.headers["x-forwarded-for"] !== void 0) return false;
+	return isLoopbackAddress(req.socket?.remoteAddress);
 }
 function createGateRoutes(deps) {
-	const throttle = deps.throttle ?? createThrottleState();
-	const clock = deps.clock ?? Date.now;
 	const resolveIp = deps.resolveClientIp ?? clientIpOf;
-	const handleLogin = async (req, res) => {
-		const config = deps.config();
-		const body = await readJson(req);
-		if (body === void 0 || body === null || typeof body.token !== "string") {
-			sendJson(res, 400, { error: "invalid json body" });
-			return;
-		}
-		const ip = resolveIp(req) ?? "unknown";
-		const now = clock();
-		if (throttled(throttle, ip, now)) {
-			sendJson(res, 429, { error: "too many attempts" });
-			return;
-		}
-		if (!verifyToken(body.token, config.token)) {
-			recordFailure(throttle, ip, config.loginFailLimit, config.loginCooldownMs, now);
-			sendJson(res, 403, { error: "invalid token" });
-			return;
-		}
-		throttle.fails.delete(ip);
-		const maxAge = config.cookieMaxAgeHours * 3600;
-		sendJson(res, 200, { ok: true }, { "set-cookie": `dsh_gate=${body.token}; Path=/; HttpOnly; SameSite=Strict; Max-Age=${maxAge}` });
-	};
 	const handleStatus = (req, res) => {
 		const config = deps.config();
 		const decision = decideGate({
@@ -431,29 +259,48 @@ function createGateRoutes(deps) {
 			method: req.method ?? "GET",
 			headers: req.headers,
 			remoteAddress: req.socket?.remoteAddress
-		}, config);
+		}, config, deps.officialAuth(req));
 		sendJson(res, 200, {
 			enabled: config.enabled,
 			verdict: decision.verdict,
-			clientIp: decision.clientIp ?? null,
+			clientIp: decision.clientIp ?? resolveIp(req) ?? null,
 			reason: decision.reason ?? null,
+			officialAuthed: deps.officialAuth(req),
+			ipFenceActive: config.allowedIps.length > 0,
 			invalidEntries: decision.invalidEntries ?? [],
-			tokenConfigured: config.token !== "",
 			allowedCount: config.allowedIps.length
 		});
 	};
+	const handleLaunchUrl = (req, res) => {
+		if (!isDirectLoopback(req)) {
+			sendJson(res, 403, { error: "loopback only" });
+			return;
+		}
+		const url = new URL(req.url ?? "/", "http://localhost");
+		const host = url.searchParams.get("host") ?? req.headers.host;
+		if (typeof host !== "string" || host === "") {
+			sendJson(res, 400, { error: "missing host" });
+			return;
+		}
+		const scheme = url.searchParams.get("scheme") ?? "http";
+		try {
+			sendJson(res, 200, { url: deps.authenticatedUrl(`${scheme}://${host}`) });
+		} catch {
+			sendJson(res, 400, { error: "invalid host" });
+		}
+	};
 	return async (req, res) => {
 		try {
 			const sub = new URL(req.url ?? "/", "http://localhost").pathname.slice(14);
 			const method = req.method ?? "GET";
-			if (sub === "/login") {
-				if (method !== "POST") return sendJson(res, 405, { error: "POST only" });
-				return await handleLogin(req, res);
-			}
 			if (sub === "/status") {
 				if (method !== "GET") return sendJson(res, 405, { error: "GET only" });
 				return handleStatus(req, res);
 			}
+			if (sub === "/launch-url") {
+				if (method !== "GET") return sendJson(res, 405, { error: "GET only" });
+				return handleLaunchUrl(req, res);
+			}
 			sendJson(res, 404, { error: "unknown endpoint" });
 		} catch (error) {
 			const message = error instanceof Error ? error.message : String(error);
@@ -463,13 +310,6 @@ function createGateRoutes(deps) {
 		}
 	};
 }
-/** token 校验（sha256 + 常时比较）；空 token 通道关闭恒 false。 */
-function verifyToken(candidate, expected) {
-	if (candidate === "" || expected === "") return false;
-	const a = createHash("sha256").update(candidate).digest();
-	const b = createHash("sha256").update(expected).digest();
-	return timingSafeEqual(a, b);
-}
 /** 注册路由（webServer 缺失时由调用方保证不调用）。 */
 function registerGateRoutes(ctx, deps) {
 	ctx.webServer.register({
@@ -479,10 +319,107 @@ function registerGateRoutes(ctx, deps) {
 	});
 }
 //#endregion
+//#region src/token-page.ts
+/**
+* token 输入页：围栏拦截未认证浏览器导航时返回的内联 HTML。
+* 自包含（无外部静态资源依赖——静态资产同样受围栏保护）、中文、vanilla JS。
+*
+* 工作方式（与官方 browser-auth 合并后的唯一登录路径）：
+* 用户粘贴当前启动令牌 → fetch `/?token=<令牌>`（同源，跟随 303）→ 官方
+* 交换签发 dsh-auth-* HttpOnly cookie（30 天，按域名:端口分别持有）→
+* 成功后跳回干净 `/`。PWA 内打开本页粘贴一次即可恢复（解决 PWA 无法
+* 携带 ?token= 启动的官方限制）。
+* 本页纯客户端跳转，无服务器端点，令牌校验完全由官方 authorizeIndex 完成。
+* @module access-gate/token-page
+*/
+function renderTokenPage() {
+	return `<!DOCTYPE html>
+<html lang="zh-CN">
+<head>
+<meta charset="utf-8">
+<meta name="viewport" content="width=device-width, initial-scale=1">
+<title>登录 - DeepSeek Harness</title>
+<style>
+  :root { color-scheme: dark; }
+  body {
+    margin: 0; min-height: 100vh; display: flex; align-items: center; justify-content: center;
+    background: #16181d; color: #e6e8ec;
+    font-family: system-ui, -apple-system, "Segoe UI", Roboto, "PingFang SC", "Noto Sans CJK SC", sans-serif;
+  }
+  .card {
+    width: min(92vw, 420px); padding: 32px 28px; border-radius: 14px;
+    background: #1e2128; border: 1px solid #2e323c; box-shadow: 0 8px 32px rgba(0,0,0,.4);
+    box-sizing: border-box;
+  }
+  h1 { margin: 0 0 6px; font-size: 20px; font-weight: 600; }
+  p { margin: 0 0 14px; font-size: 13px; color: #9aa1ad; line-height: 1.7; }
+  p.tip { margin-bottom: 22px; }
+  code {
+    padding: 1px 5px; border-radius: 4px; background: #16181d; border: 1px solid #3a3f4b;
+    font-size: 12px; color: #c9d1e0; word-break: break-all;
+  }
+  input {
+    width: 100%; box-sizing: border-box; padding: 10px 12px; border-radius: 8px;
+    border: 1px solid #3a3f4b; background: #16181d; color: #e6e8ec; font-size: 15px;
+    outline: none;
+  }
+  input:focus { border-color: #5b8cff; }
+  button {
+    width: 100%; margin-top: 14px; padding: 10px 0; border: 0; border-radius: 8px;
+    background: #3d6dff; color: #fff; font-size: 15px; font-weight: 600; cursor: pointer;
+  }
+  button:disabled { opacity: .6; cursor: default; }
+  .msg { min-height: 18px; margin-top: 12px; font-size: 13px; text-align: center; }
+  .err { color: #ff7a76; }
+  .ok { color: #63d17c; }
+</style>
+</head>
+<body>
+  <form class="card" id="form">
+    <h1>需要登录</h1>
+    <p>粘贴当前<strong>启动令牌</strong>完成登录。登录后此设备免令牌 30 天（按域名:端口分别持有）。</p>
+    <p class="tip">令牌随每次 dsh web 重启更新，获取方式：服务器上执行 <code>dshctl url</code>，或查看启动日志 <code>journalctl -u dsh-web | grep "dsh web:"</code>（链接中 token= 后的部分）。PWA 内打开本页粘贴一次即可恢复。</p>
+    <input id="token" type="password" placeholder="启动令牌" autocomplete="off" autofocus>
+    <button id="btn" type="submit">登录</button>
+    <div class="msg" id="msg"></div>
+  </form>
+<script>
+  var form = document.getElementById('form');
+  var input = document.getElementById('token');
+  var btn = document.getElementById('btn');
+  var msg = document.getElementById('msg');
+  form.addEventListener('submit', function (event) {
+    event.preventDefault();
+    var token = input.value.trim();
+    if (!token) { msg.className = 'msg err'; msg.textContent = '请输入启动令牌'; return; }
+    btn.disabled = true;
+    msg.className = 'msg'; msg.textContent = '登录中…';
+    // 官方令牌交换：同源 fetch 跟随 303，交换响应的 Set-Cookie 由浏览器落罐。
+    fetch('/?token=' + encodeURIComponent(token), { redirect: 'follow' })
+      .then(function (res) {
+        if (res.ok) { msg.className = 'msg ok'; msg.textContent = '登录成功，正在进入…'; location.replace('/'); }
+        else if (res.status === 401) { msg.className = 'msg err'; msg.textContent = '令牌无效或已过期（令牌随每次重启更新）'; btn.disabled = false; }
+        else { msg.className = 'msg err'; msg.textContent = '登录失败（HTTP ' + res.status + '）'; btn.disabled = false; }
+      })
+      .catch(function () { msg.className = 'msg err'; msg.textContent = '网络错误，请重试'; btn.disabled = false; });
+  });
+<\/script>
+</body>
+</html>`;
+}
+//#endregion
 //#region src/interceptor.ts
-/** 是否围栏豁免路径（自有登录/状态端点）。 */
+/** PWA 安装/图标资产：未认证也必须可达，否则浏览器无法安装 PWA。 */
+const PWA_ASSETS = /* @__PURE__ */ new Set(["/manifest.webmanifest", "/favicon.svg"]);
+/** 是否围栏豁免路径（自有状态/管理端点 + PWA 安装资产）。 */
 function isExemptPath(pathname) {
-	return pathname === "/dsh-plus/gate" || pathname.startsWith(`/dsh-plus/gate/`);
+	return pathname === "/dsh-plus/gate" || pathname.startsWith(`/dsh-plus/gate/`) || PWA_ASSETS.has(pathname);
+}
+/** 官方令牌交换请求：GET / 且携带 token 查询参数（放行给官方 authorizeIndex 校验）。 */
+function isTokenExchange(req) {
+	if (req.method !== "GET") return false;
+	const url = new URL(req.url ?? "/", "http://x");
+	return url.pathname === "/" && url.searchParams.has("token");
 }
 function toGateRequest(req) {
 	return {
@@ -506,17 +443,17 @@ function rejectUpgrade(socket, clientIp, log) {
 }
 /** 单请求围栏判定；放行 true / 拒绝（已写响应）false。 */
 function passHttp(req, res, deps) {
-	if (isExemptPath(new URL(req.url ?? "/", "http://x").pathname)) return true;
-	const decision = decideGate(toGateRequest(req), deps.config());
+	if (isExemptPath(new URL(req.url ?? "/", "http://x").pathname) || isTokenExchange(req)) return true;
+	const decision = decideGate(toGateRequest(req), deps.config(), deps.officialAuth(req));
 	if (decision.verdict === "pass") return true;
 	const log = deps.onBlock ?? (() => {});
-	if (decision.verdict === "login" && !res.headersSent) {
+	if (decision.verdict === "token-page" && !res.headersSent) {
 		res.writeHead(200, {
 			"content-type": "text/html; charset=utf-8",
 			"cache-control": "no-store"
 		});
-		res.end(renderLoginPage());
-		log(`login page ${req.method ?? "?"} ${req.url ?? "?"}`);
+		res.end(renderTokenPage());
+		log(`token page ${req.method ?? "?"} ${req.url ?? "?"}`);
 		return false;
 	}
 	if (!res.headersSent) {
@@ -529,7 +466,6 @@ function passHttp(req, res, deps) {
 /** HTTP handler 包装体：先判定再派发。 */
 function gatedHttp(handler, deps) {
 	return async (req, res) => {
-		if (isExemptPath(new URL(req.url ?? "/", "http://x").pathname)) return handler(req, res);
 		if (!passHttp(req, res, deps)) return;
 		return handler(req, res);
 	};
@@ -537,7 +473,8 @@ function gatedHttp(handler, deps) {
 /** WS 升级包装体：拒绝时不进协议协商。 */
 function gatedUpgrade(handler, deps) {
 	return (req, socket, head) => {
-		const decision = decideGate(toGateRequest(req), deps.config());
+		if (isExemptPath(new URL(req.url ?? "/", "http://x").pathname)) return handler(req, socket, head);
+		const decision = decideGate(toGateRequest(req), deps.config(), deps.officialAuth(req));
 		if (decision.verdict === "pass") return handler(req, socket, head);
 		rejectUpgrade(socket, decision.clientIp ?? "unknown", deps.onBlock ?? (() => {}));
 	};
@@ -610,24 +547,8 @@ function assertGateStructure(server) {
 }
 //#endregion
 //#region src/index.ts
-/**
-* dsh 插件：访问围栏（access-gate）。
-*
-* 为 dsh web 的全部 HTTP/WebSocket 流量提供访问安全校验与访问控制：
-* - 本机直连（loopback 且无 x-forwarded-for）永久放行——管理通道，防锁死；
-* - 远程流量按 tailscale serve 注入的 x-forwarded-for 还原真实客户端 IP，
-*   命中白名单（精确 IP / CIDR，v4+v6）即放行；
-* - 或持有效 token（登录页换取 HttpOnly cookie）放行；
-* - 其余：浏览器导航返回登录页，API / WS 一律 403 / 拒绝升级。
-*
-* 配置：settings 命名空间 dsh-plus-access-gate（webui 配置卡片同一份，
-* 热生效）；enabled=false 时完全旁路（等价插件缺席）。
-* 安全边界：结构守卫 fail-loud（upstream 形状变化 → 启动失败 → lifeboat
-* 隔离止损，绝不静默 fail-open）。
-* @module @dsh-plus/access-gate
-*/
 const name = "dsh-plus-access-gate";
-const inject = ["webServer"];
+const inject = ["webServer", "connection"];
 /** 围栏服务：持有当前配置读取器（settings 用户层热更新经 setSource 注入）。 */
 var AccessGateService = class extends Service {
 	current;
@@ -641,12 +562,16 @@ var AccessGateService = class extends Service {
 			onChange: () => {}
 		});
 		const logger = ctx.logger("access-gate");
+		const officialAuth = (req) => ctx.connection.requestRejection({ headers: req.headers }) === void 0;
 		registerGateRoutes(ctx, {
 			config: () => this.current(),
+			officialAuth,
+			authenticatedUrl: (baseUrl) => ctx.connection.authenticatedUrl(baseUrl),
 			onError: (message) => logger.warn(message)
 		});
 		const undo = installGateInterceptor(ctx, ctx.webServer, {
 			config: () => this.current(),
+			officialAuth,
 			onBlock: (message) => logger.info(message)
 		});
 		ctx.effect(() => undo, "access-gate: interceptor");

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@dsh-plus/access-gate",
-  "version": "0.1.3",
-  "description": "dsh-plus service+ui plugin: dsh web 全量访问围栏——本机直连永久放行，远程按白名单 IP（XFF 还原）或 token（登录页 + cookie）放行",
+  "version": "0.2.0",
+  "description": "dsh-plus service+ui plugin: dsh web 全量访问围栏——与官方 browser-auth 合并：官方 cookie 为唯一凭据，可选 IP 附加围栏，未认证导航渲染 token 输入页（PWA 可恢复），loopback 管理通道",
   "type": "module",
   "main": "lib/index.js",
   "types": "lib/index.d.ts",
@@ -23,28 +23,28 @@
   "dsh": {
     "client": {
       "inject": [
-        "@deepseek-ai/dsh-client-runtime",
         "@deepseek-ai/dsh-client-locale",
-        "@deepseek-ai/dsh-client-connection",
+        "@deepseek-ai/dsh-client-ui-renderer",
         "@deepseek-ai/dsh-api-remotes"
       ],
       "platform": "web"
     }
   },
   "dependencies": {
-    "@dsh-plus/shared": "0.1.5"
+    "@dsh-plus/shared": "0.1.6"
   },
   "peerDependencies": {
     "@deepseek-ai/cordis": "^4.0.1",
-    "@deepseek-ai/dsh-home-paths": "^0.1.0-rc.8",
-    "@deepseek-ai/dsh-settings": "^0.1.0-rc.8",
+    "@deepseek-ai/dsh-home-paths": "^0.1.2-alpha.1",
+    "@deepseek-ai/dsh-settings": "^0.1.2-alpha.1",
     "@deepseek-ai/schemastery": "^3.18.1"
   },
   "devDependencies": {
     "@deepseek-ai/cordis": "4.0.1",
-    "@deepseek-ai/dsh-home-paths": "0.1.1-rc.2",
-    "@deepseek-ai/dsh-settings": "0.1.1-rc.2",
-    "@deepseek-ai/dsh-host-webserver": "0.1.1-rc.2",
+    "@deepseek-ai/dsh-client-connection": "0.1.2-alpha.1",
+    "@deepseek-ai/dsh-home-paths": "0.1.2-alpha.1",
+    "@deepseek-ai/dsh-settings": "0.1.2-alpha.1",
+    "@deepseek-ai/dsh-host-webserver": "0.1.2-alpha.1",
     "@deepseek-ai/schemastery": "3.18.1",
     "@types/react": "~18.3.1",
     "react": "^18.2.0"