@dsh-plus/access-gate 0.3.33 → 0.3.34

package/lib/index.d.ts

@@ -3,12 +3,10 @@ import { UnwrapVolatile } from "@dsh-plus/shared";
 import z from "@deepseek-ai/schemastery";
 //#region src/config.d.ts
 declare const Config: z<Schemastery.ObjectS<NoInfer<{
-  enabled: z<boolean, boolean, "volatile-defined">;
   allowedIps: z<NoInfer<string[]>, NoInfer<string[]>, "volatile-defined">;
   trustForwardedFor: z<boolean, boolean, "volatile-defined">;
   autoLoginTrustedIps: z<boolean, boolean, "volatile-defined">;
 }>>, Schemastery.ObjectT<NoInfer<{
-  enabled: z<boolean, boolean, "volatile-defined">;
   allowedIps: z<NoInfer<string[]>, NoInfer<string[]>, "volatile-defined">;
   trustForwardedFor: z<boolean, boolean, "volatile-defined">;
   autoLoginTrustedIps: z<boolean, boolean, "volatile-defined">;
@@ -29,17 +27,21 @@ declare module '@deepseek-ai/cordis' {
 /** 围栏服务：持有当前配置读取器（volatile 活动引用的平面解包，读即最新）。 */
 declare class AccessGateService extends Service {
   private current;
-  /** 官方 browser-auth 签名密钥（惰性读取缓存；读取失败 = null，autoLogin fail-safe 降级）。 */
+  /**
+   * 官方 browser-auth 签名密钥（经官方凭据服务的记录读接口取，成功即缓存；
+   * 读不到 = null，autoLogin fail-safe 降级为 token 输入页）。
+   */
   private signingSecret;
   constructor(ctx: Context, config: AccessGateConfig | AccessGateConfigFields);
   /** 当前生效配置（诊断用）。 */
   policy(): AccessGateConfig;
-  /** 官方签名密钥（惰性缓存；失败返回 null 并记录，autoLogin 降级 fail-safe）。 */
-  private readSigningSecret;
+  /**
+   * 读取官方签名密钥并缓存：记录缺席/未挂凭据服务时保持未就绪（不缓存失败，
+   * 记录建立后由 credentials/record-updated 触发重读）。
+   */
+  private loadSigningSecret;
   /** IP 信任自动登录可用性（诊断用）：签名密钥可读即为可用。 */
-  autoLoginSecretReady(logger: {
-    warn(message: string): void;
-  }): boolean;
+  autoLoginSecretReady(): boolean;
 }
 declare function apply(ctx: Context, config: AccessGateConfig | AccessGateConfigFields): void;
 //#endregion

package/lib/index.js

@@ -1,10 +1,8 @@
 import { Service } from "@deepseek-ai/cordis";
-import { dshHomePath } from "@deepseek-ai/dsh-home-paths";
+import { credentialKey } from "@deepseek-ai/dsh-credentials";
 import { unwrapVolatile } from "@dsh-plus/shared";
 import z from "@deepseek-ai/schemastery";
 import { createHash, createHmac } from "node:crypto";
-import { readFileSync } from "node:fs";
-import { join } from "node:path";
 //#region src/config.ts
 /**
 * 配置单一事实源：cordis 行级 Config（组合默认值，dev/prod patch 层可覆盖）
@@ -13,13 +11,11 @@ import { join } from "node:path";
 *
 * 与官方认证合并后：访问凭据唯一化为官方 browser-auth cookie（dsh-auth-*，
 * 由 client-connection 的 ?token= 启动令牌交换签发），本插件不再持有自有
-* token/cookie；allowedIps 降级为可选的附加 IP 围栏。
-* 旧配置中的 token/cookieMaxAgeHours/loginFailLimit/loginCooldownMs 键由
-* schemastery 透传忽略，不阻断加载（已实测验证）。
+* token/cookie；allowedIps 降级为可选的附加 IP 围栏。整行开关由官方行开关
+* 承担（bundle 层默认 `disabled: true` = 一切放行），配置内无第二套总开关。
 * @module access-gate/config
 */
 const Config = z.object({
-	enabled: z.boolean().description("访问围栏总开关（false = 一切放行，等价插件缺席）").default(false).volatile(),
 	allowedIps: z.array(z.string()).description("附加 IP 围栏：非空时仅白名单条目（精确 IP 或 CIDR，IPv4/IPv6 皆可）可通行与登录；空 = 不限制来源 IP（仅官方登录保护）").default([]).volatile(),
 	trustForwardedFor: z.boolean().description("是否信任 x-forwarded-for 还原真实客户端 IP（仅当入口代理强制覆盖该头时开启；tailscale serve 满足）").default(true).volatile(),
 	autoLoginTrustedIps: z.boolean().description("IP 信任自动登录：来源命中 allowedIps 白名单且未认证时，服务端自动签发官方登录 cookie（免启动 token，仅对白名单来源生效）；默认关闭，需显式开启").default(false).volatile()
@@ -35,10 +31,10 @@ const Config = z.object({
 * 用户全程无感、免启动 token。
 *
 * 契约（对官方 client-connection browser-auth 逐行核实，见 docs/README.md
-* 「信任模型」；0.2.1-alpha.2 复核不变）：
-* - 签名密钥持久化于 $DSH_HOME/.credentials.yaml
-*   （records → client-connection/browser-session → payload.secret，
-*   base64url 无填充 32B；跨重启不变）；
+* 「信任模型」；0.2.1-rc.2 复核不变）：
+* - 签名密钥由官方凭据服务持有：记录键 `client-connection/browser-session`，
+*   grant payload `{version: 1, secret: <base64url 无填充 32B>}`（跨重启不变）；
+*   本模块只解析官方 readRecord 交回的记录，不再自行读文件；
 * - cookie 名 = `dsh-auth-<base64url(sha256(authority))>`，
 *   authority = 请求 Host 经 `new URL('http://'+host).host` 归一化
 *   （host:port，含端口；与官方 requestAuthority() 同实现）；
@@ -49,8 +45,9 @@ const Config = z.object({
 * - 服务端校验 `expiresAt - issuedAt <= cookieMaxAgeDays`（默认 30 天）且
 *   下界 1 天；本模块取官方默认 30 天。
 *
-* 本模块不 import 官方包：密钥从文件读取（dshctl auth.py 同款定向文本
-* 解析），crypto 用 node: 内置。全部为纯函数/可注入，测试零网络零依赖。
+* 本模块不 import 官方包：密钥以「已读出的记录值」入参（调用方经
+* ctx.get('credentials').readRecord 取，见 index.ts），crypto 用 node: 内置。
+* 全部为纯函数/可注入，测试零网络零依赖。
 * 安全：任何解析失败都返回明确错误（fail-loud / fail-safe），绝不产出
 * 半成品 cookie。
 * @module access-gate/cookie
@@ -63,8 +60,10 @@ const PAYLOAD_VERSION = 1;
 const SECRET_BYTES = 32;
 /** 自签 cookie 有效期：官方默认 cookieMaxAgeDays。 */
 const COOKIE_MAX_AGE_MS = 2592e6;
-/** .credentials.yaml 中 browser-session 段名（AUTH_RECORD_KEY 的 id）。 */
+/** 官方记录键（credentialKey('client-connection', 'browser-session') 的联合形态）。 */
 const SECRET_SECTION = "client-connection/browser-session";
+/** 官方 grant payload 版本（官方 STORED_SECRET_VERSION）。 */
+const STORED_SECRET_VERSION = 1;
 /** payload 键序（官方 encodeCookie 的 JSON.stringify 紧凑序列化键序）。 */
 const PAYLOAD_KEYS = [
 	"version",
@@ -89,33 +88,29 @@ function requestAuthority(headers) {
 function cookieName(authority) {
 	return COOKIE_PREFIX + base64url(createHash("sha256").update(authority).digest());
 }
-/** 定向解析 .credentials.yaml 中 browser-session 段（dshctl auth.py 同款）。 */
-function readSigningSecretFromFile(credentialsYamlPath) {
-	let text;
-	try {
-		text = readFileSync(credentialsYamlPath, "utf8");
-	} catch (error) {
-		const detail = error instanceof Error ? error.message : String(error);
-		throw new Error(`read .credentials.yaml failed (${credentialsYamlPath}): ${detail}`);
-	}
-	let inSection = false;
-	for (const line of text.split(/\r?\n/)) {
-		const stripped = line.trim();
-		if (stripped === "" || stripped.startsWith("#")) continue;
-		if (line.length - line.replace(/^\s*/, "").length <= 2) {
-			inSection = stripped === `${SECRET_SECTION}:`;
-			continue;
-		}
-		if (inSection) {
-			const match = /^secret:\s*(\S+)\s*$/.exec(stripped);
-			if (match !== null) {
-				const secret = Buffer.from(match[1] ?? "", "base64url");
-				if (secret.byteLength !== SECRET_BYTES) throw new Error(`browser-session secret has invalid length (${secret.byteLength}, want ${SECRET_BYTES})`);
-				return secret;
-			}
-		}
-	}
-	throw new Error(`browser-session secret not found in ${credentialsYamlPath}`);
+/**
+* 从官方记录里取签名密钥：只认 grant + payload.version === 1 + 32 字节
+* base64url secret（与官方 storedSecret() 同判据）；任何不符即抛错，
+* 由调用方降级 fail-safe（不铸 cookie）。
+* @param record - `ctx.credentials.readRecord(credentialKey('client-connection', 'browser-session'))` 的返回值。
+* @returns 32 字节签名密钥。
+*/
+function signingSecretOfRecord(record) {
+	const payload = grantPayloadOf(record);
+	if (payload?.version !== STORED_SECRET_VERSION) throw new Error(`${SECRET_SECTION}: credential record has an unsupported format (want version ${STORED_SECRET_VERSION})`);
+	const raw = payload.secret;
+	if (typeof raw !== "string" || !/^[A-Za-z0-9_-]+$/.test(raw)) throw new Error(`${SECRET_SECTION}: credential record has an invalid secret`);
+	const secret = Buffer.from(raw, "base64url");
+	if (secret.byteLength !== SECRET_BYTES) throw new Error(`browser-session secret has invalid length (${secret.byteLength}, want ${SECRET_BYTES})`);
+	return secret;
+}
+/** 取 grant 记录的 payload 对象；非 grant/非对象返回 undefined。 */
+function grantPayloadOf(record) {
+	if (typeof record !== "object" || record === null) return void 0;
+	const candidate = record;
+	if (candidate.kind !== "grant") return void 0;
+	const payload = candidate.payload;
+	return typeof payload === "object" && payload !== null && !Array.isArray(payload) ? payload : void 0;
 }
 /** 官方 sessionCookie() 序列化（属性逐字同款；nowMs 注入保持纯函数可测）。 */
 function serializeSessionCookie(name, value, expiresAt, nowMs) {
@@ -134,14 +129,6 @@ function mintSessionCookie(secret, authority, nowMs) {
 	const signature = base64url(createHmac("sha256", secret).update(body).digest());
 	return serializeSessionCookie(cookieName(authority), `v1.${body}.${signature}`, expiresAt, nowMs);
 }
-/** 拼接 DSH_HOME 下凭据文件路径（默认 home 与 $DSH_HOME 语义同官方 home-paths）。 */
-function credentialsPath(dshHome) {
-	return join(dshHome, ".credentials.yaml");
-}
-/** 完整铸造入口：读密钥 + 铸造；任何失败抛带上下文错误（调用方降级 fail-safe）。 */
-function mintAutoLoginCookie(credentialsYamlPath, authority, nowMs) {
-	return mintSessionCookie(readSigningSecretFromFile(credentialsYamlPath), authority, nowMs);
-}
 //#endregion
 //#region src/ip.ts
 /** 解析 IPv4 十进制点分字面量；非法返回 null。 */
@@ -295,7 +282,7 @@ function compileAllowlist(entries) {
 }
 /**
 * 围栏判定（纯函数，无任何副作用与 IO）。
-* 逻辑次序：豁免路径由调用方前置处理；enabled=false 直通；确定有效来源
+* 逻辑次序：豁免路径由调用方前置处理；确定有效来源
 * （受信 XFF 优先，否则 remoteAddress）；来源为 loopback 直连 → 放行；
 * 白名单非空时作附加 IP 围栏，不命中即拒；autoLoginTrustedIps=true 且
 * 白名单命中但官方未认证 → autologin（拦截器负责落官方 cookie）；
@@ -312,10 +299,6 @@ function compileAllowlist(entries) {
 *   视同未认证）。
 */
 function decideGate(req, policy, officialAuthed) {
-	if (!policy.enabled) return {
-		verdict: "pass",
-		reason: "local"
-	};
 	const forwarded = forwardedIp(req.headers);
 	const trustedForwarded = policy.trustForwardedFor ? forwarded : void 0;
 	const clientIpText = trustedForwarded ?? req.remoteAddress;
@@ -389,7 +372,6 @@ function createGateRoutes(deps) {
 			remoteAddress: req.socket?.remoteAddress
 		}, config, deps.officialAuth(req));
 		sendJson(res, 200, {
-			enabled: config.enabled,
 			verdict: decision.verdict,
 			clientIp: decision.clientIp ?? resolveIp(req) ?? null,
 			reason: decision.reason ?? null,
@@ -685,7 +667,6 @@ function installGateInterceptor(ctx, server, deps) {
 	const originalMatch = server.match.bind(server);
 	const gatedMatch = (pathname) => {
 		if (isExemptPath(pathname)) return originalMatch(pathname);
-		if (!deps.config().enabled) return originalMatch(pathname);
 		const route = originalMatch(pathname);
 		if (route === void 0) return void 0;
 		return {
@@ -744,24 +725,30 @@ function assertGateStructure(server) {
 //#endregion
 //#region src/index.ts
 const name = "dsh-plus-access-gate";
+/** 官方 browser-auth 签名密钥记录键（官方 AUTH_RECORD_KEY 同值）。 */
+const AUTH_RECORD_KEY = credentialKey("client-connection", "browser-session");
 const inject = ["webServer", "connection"];
 /** 围栏服务：持有当前配置读取器（volatile 活动引用的平面解包，读即最新）。 */
 var AccessGateService = class extends Service {
 	current;
-	/** 官方 browser-auth 签名密钥（惰性读取缓存；读取失败 = null，autoLogin fail-safe 降级）。 */
+	/**
+	* 官方 browser-auth 签名密钥（经官方凭据服务的记录读接口取，成功即缓存；
+	* 读不到 = null，autoLogin fail-safe 降级为 token 输入页）。
+	*/
 	signingSecret;
 	constructor(ctx, config) {
 		super(ctx, "accessGate");
 		this.current = () => unwrapVolatile(config);
 		const logger = ctx.logger("access-gate");
 		const officialAuth = (req) => ctx.connection.requestRejection({ headers: req.headers }) === void 0;
-		const secretOf = () => this.readSigningSecret(logger);
+		const secretOf = () => this.signingSecret ?? null;
+		this.loadSigningSecret(ctx, logger);
 		const autoLoginCookie = (req) => {
 			const secret = secretOf();
 			const authority = requestAuthority(req.headers);
 			if (secret === null || authority === void 0) return null;
 			try {
-				return mintAutoLoginCookie(credentialsPath(dshHomePath()), authority, Date.now());
+				return mintSessionCookie(secret, authority, Date.now());
 			} catch (error) {
 				const message = error instanceof Error ? error.message : String(error);
 				logger.warn(`auto-login cookie mint failed: ${message}`);
@@ -772,7 +759,7 @@ var AccessGateService = class extends Service {
 			config: () => this.current(),
 			officialAuth,
 			authenticatedUrl: (baseUrl) => ctx.connection.authenticatedUrl(baseUrl),
-			autoLoginReady: () => this.autoLoginSecretReady(logger),
+			autoLoginReady: () => this.autoLoginSecretReady(),
 			onError: (message) => logger.warn(message)
 		});
 		const undo = installGateInterceptor(ctx, ctx.webServer, {
@@ -787,21 +774,33 @@ var AccessGateService = class extends Service {
 	policy() {
 		return this.current();
 	}
-	/** 官方签名密钥（惰性缓存；失败返回 null 并记录，autoLogin 降级 fail-safe）。 */
-	readSigningSecret(logger) {
-		if (this.signingSecret !== void 0) return this.signingSecret;
+	/**
+	* 读取官方签名密钥并缓存：记录缺席/未挂凭据服务时保持未就绪（不缓存失败，
+	* 记录建立后由 credentials/record-updated 触发重读）。
+	*/
+	async loadSigningSecret(ctx, logger) {
+		if (this.signingSecret != null) return;
+		const credentials = ctx.get("credentials");
+		if (credentials === void 0) {
+			logger.warn("auto-login disabled: 当前组合未挂载凭据服务（dsh-credentials-local）");
+			return;
+		}
 		try {
-			this.signingSecret = readSigningSecretFromFile(credentialsPath(dshHomePath()));
+			const record = await credentials.readRecord(AUTH_RECORD_KEY);
+			this.signingSecret = signingSecretOfRecord(record);
+			return;
 		} catch (error) {
 			const message = error instanceof Error ? error.message : String(error);
-			logger.warn(`auto-login disabled: ${message}`);
-			this.signingSecret = null;
+			logger.warn(`auto-login secret unavailable: ${message}`);
 		}
-		return this.signingSecret;
+		ctx.on("credentials/record-updated", (key) => {
+			if (String(key) !== String(AUTH_RECORD_KEY) || this.signingSecret != null) return;
+			this.loadSigningSecret(ctx, logger);
+		});
 	}
 	/** IP 信任自动登录可用性（诊断用）：签名密钥可读即为可用。 */
-	autoLoginSecretReady(logger) {
-		return this.readSigningSecret(logger) !== null;
+	autoLoginSecretReady() {
+		return this.signingSecret != null;
 	}
 };
 function apply(ctx, config) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dsh-plus/access-gate",
-  "version": "0.3.33",
+  "version": "0.3.34",
   "description": "dsh-plus service+ui plugin: dsh web 全量访问围栏——与官方 browser-auth 合并：官方 cookie 为唯一凭据，可选 IP 附加围栏，未认证导航渲染 token 输入页（PWA 可恢复），loopback 管理通道",
   "type": "module",
   "main": "lib/index.js",
@@ -31,10 +31,11 @@
     }
   },
   "dependencies": {
-    "@dsh-plus/shared": "0.1.43"
+    "@dsh-plus/shared": "0.1.44"
   },
   "peerDependencies": {
     "@deepseek-ai/cordis": "^4.0.5",
+    "@deepseek-ai/dsh-credentials": "^0.2.1-rc.2",
     "@deepseek-ai/dsh-home-paths": "^0.2.1-rc.2",
     "@deepseek-ai/dsh-settings": "^0.2.1-rc.2",
     "@deepseek-ai/schemastery": "^3.18.5"
@@ -42,6 +43,7 @@
   "devDependencies": {
     "@deepseek-ai/cordis": "4.0.5",
     "@deepseek-ai/dsh-client-connection": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-credentials": "0.2.1-rc.2",
     "@deepseek-ai/dsh-home-paths": "0.2.1-rc.2",
     "@deepseek-ai/dsh-host-webserver": "0.2.1-rc.2",
     "@deepseek-ai/dsh-settings": "0.2.1-rc.2",

package/src/client/card.tsx

@@ -1,7 +1,7 @@
 /**
  * 「访问控制」配置卡片：经 injectPluginConfigCard 注册（插件页 plugins.row.config /
  * plugins.bundle.config，view 分发 summary/page）。
- * 外壳与基础控件走 @dsh-plus/shared/client 套件（CardChrome/TextField/CheckRow），
+ * 外壳与基础控件走 @dsh-plus/shared/client 套件（ConfigShell/TextField/CheckRow），
  * 本文件保留业务字段（白名单 textarea/诊断面板）与保存逻辑。
  * 配置读写经共享层 ctx.remote.settings 直连（settingsScope 已由
  * configForms 取代）：value 为 schema 解析后的视图，保存经 settings.update 深合并。
@@ -14,10 +14,10 @@
  */
 
 import {
-  CardChrome,
   CardLoading,
   type CardStatusState,
   CheckRow,
+  ConfigShell,
   IDLE_STATUS,
   type NamespaceSettingsApi,
   type PluginConfigViewProps,
@@ -35,21 +35,18 @@ export interface CardProps extends PluginConfigViewProps {
 
 /** settings 命名空间的解析值。 */
 export interface ConfigValue {
-  enabled: boolean
   allowedIps: string[]
   trustForwardedFor: boolean
   autoLoginTrustedIps: boolean
 }
 
 interface Draft {
-  enabled: boolean
   allowedIpsText: string
   trustForwardedFor: boolean
   autoLoginTrustedIps: boolean
 }
 
 interface Diag {
-  enabled: boolean
   verdict: string
   clientIp: string | null
   reason: string | null
@@ -63,7 +60,6 @@ interface Diag {
 
 function draftFromValue(value: ConfigValue): Draft {
   return {
-    enabled: value.enabled,
     allowedIpsText: value.allowedIps.join('\n'),
     trustForwardedFor: value.trustForwardedFor,
     autoLoginTrustedIps: value.autoLoginTrustedIps,
@@ -72,7 +68,6 @@ function draftFromValue(value: ConfigValue): Draft {
 
 function toPatch(draft: Draft): Record<string, unknown> {
   return {
-    enabled: draft.enabled,
     allowedIps: draft.allowedIpsText
       .split('\n')
       .map((s) => s.trim())
@@ -96,7 +91,6 @@ function reasonText(t: Translate, reason: string): string {
 }
 
 function verdictLabel(t: Translate, diag: Diag): string {
-  if (!diag.enabled) return t('diagOff')
   if (diag.verdict === 'pass') return t('diagPass')
   if (diag.verdict === 'token-page') return t('diagTokenPage')
   if (diag.verdict === 'autologin') return t('diagAutoLogin')
@@ -226,11 +220,10 @@ export function AccessGateCard(props: CardProps): ReactElement | string | null {
 
   const disabled = !snapshot.writable
   return (
-    <CardChrome
+    <ConfigShell
       prefix="dag"
       title={t('title')}
       description={t('description')}
-      statusBadge={{ text: t(draft.enabled ? 'enabledOn' : 'enabledOff'), on: draft.enabled }}
       dirty={dirty}
       dirtyLabel={t('unsaved')}
       readOnlyNotice={disabled ? t('readOnly') : undefined}
@@ -255,14 +248,6 @@ export function AccessGateCard(props: CardProps): ReactElement | string | null {
       ]}
     >
       <p className="dag-hint">{t('mergedHint')}</p>
-      <CheckRow
-        prefix="dag"
-        id="dag-enabled"
-        label={t('enabledHint')}
-        checked={draft.enabled}
-        disabled={disabled}
-        onEdit={(v) => edit('enabled', v)}
-      />
       <div className="dag-field">
         <div className="dag-head">
           <label className="dag-label" htmlFor="dag-allowed">
@@ -296,6 +281,6 @@ export function AccessGateCard(props: CardProps): ReactElement | string | null {
         onEdit={(v) => edit('trustForwardedFor', v)}
       />
       <DiagPanel t={t} diag={diag} />
-    </CardChrome>
+    </ConfigShell>
   )
 }

package/src/client/i18n.ts

@@ -12,8 +12,6 @@ const ownZh = {
   description:
     'Web 访问围栏：与官方登录合并——官方 cookie 为唯一凭据；未认证导航显示启动令牌输入页（PWA 内可用）；可选 IP 附加围栏。',
   summaryLine: 'Web 访问围栏：官方登录合并、启动令牌页与可选 IP 白名单。',
-  enabled: '启用访问围栏',
-  enabledHint: '关闭即完全旁路（等价插件缺席）；启用后未认证流量被拦截到令牌输入页或拒绝。',
   mergedHint:
     '登录凭据由官方认证持有（启动令牌换 30 天 cookie）。获取当前令牌：服务器执行 dshctl url，或本机访问 /dsh-plus/gate/launch-url。',
   allowedIps: '附加 IP 围栏白名单',
@@ -41,7 +39,6 @@ const ownZh = {
   diagAutoLoginVerdict: '自动登录（免 token 进入）',
   diagAutoLoginReady: '已就绪（签名密钥可读）',
   diagAutoLoginNoSecret: '不可用（签名密钥读取失败，已降级）',
-  diagOff: '围栏未启用',
   diagInvalid: '白名单存在无法解析的条目：',
 } as const
 
@@ -50,9 +47,6 @@ const ownEn = {
   description:
     'Web access gate merged with official auth: the official cookie is the sole credential; unauthenticated navigations get a launch-token page (works inside the PWA); optional IP fence.',
   summaryLine: 'Web access gate: merged official auth, launch-token page, optional IP allowlist.',
-  enabled: 'Enable access gate',
-  enabledHint:
-    'Off means full bypass (as if absent); on, unauthenticated traffic hits the token page or is refused.',
   mergedHint:
     'Credentials are owned by official auth (launch token exchange, 30-day cookie). Get the current token: run dshctl url on the server, or visit /dsh-plus/gate/launch-url locally.',
   allowedIps: 'Additional IP fence allowlist',
@@ -80,7 +74,6 @@ const ownEn = {
   diagAutoLoginVerdict: 'auto login (token-free entry)',
   diagAutoLoginReady: 'ready (signing secret readable)',
   diagAutoLoginNoSecret: 'unavailable (signing secret unreadable, degraded)',
-  diagOff: 'gate disabled',
   diagInvalid: 'Allowlist entries that failed to parse:',
 } as const
 

package/src/config.ts

@@ -5,9 +5,8 @@
  *
  * 与官方认证合并后：访问凭据唯一化为官方 browser-auth cookie（dsh-auth-*，
  * 由 client-connection 的 ?token= 启动令牌交换签发），本插件不再持有自有
- * token/cookie；allowedIps 降级为可选的附加 IP 围栏。
- * 旧配置中的 token/cookieMaxAgeHours/loginFailLimit/loginCooldownMs 键由
- * schemastery 透传忽略，不阻断加载（已实测验证）。
+ * token/cookie；allowedIps 降级为可选的附加 IP 围栏。整行开关由官方行开关
+ * 承担（bundle 层默认 `disabled: true` = 一切放行），配置内无第二套总开关。
  * @module access-gate/config
  */
 import z from '@deepseek-ai/schemastery'
@@ -22,11 +21,6 @@ export const SETTINGS_NS = NS_LITERAL
 // 行级 config，GUI 写入原位提交热生效），同时使本条目进入 settings describe
 // 视图（配置卡片可读写）；缺 volatile 标记的条目会被 describe 跳过。
 export const Config = z.object({
-  enabled: z
-    .boolean()
-    .description('访问围栏总开关（false = 一切放行，等价插件缺席）')
-    .default(false)
-    .volatile(),
   allowedIps: z
     .array(z.string())
     .description(
@@ -55,9 +49,11 @@ export type AccessGateConfigFields = Schemastery.TypeT<typeof Config>
 /** 平面配置形态（服务与判定面的消费形态，由活动引用解包得到）。 */
 export type AccessGateConfig = UnwrapVolatile<AccessGateConfigFields>
 
-/** 判定所需的最小配置视图（测试与决策函数共用窄面）。 */
+/**
+ * 判定所需的最小配置视图（测试与决策函数共用窄面）。
+ * 整行开关由官方行开关承担（bundle 层默认 `disabled: true`，等价「一切放行」）。
+ */
 export interface GatePolicy {
-  readonly enabled: boolean
   readonly allowedIps: readonly string[]
   readonly trustForwardedFor: boolean
   readonly autoLoginTrustedIps: boolean

package/src/cookie.ts

@@ -7,10 +7,10 @@
  * 用户全程无感、免启动 token。
  *
  * 契约（对官方 client-connection browser-auth 逐行核实，见 docs/README.md
- * 「信任模型」；0.2.1-alpha.2 复核不变）：
- * - 签名密钥持久化于 $DSH_HOME/.credentials.yaml
- *   （records → client-connection/browser-session → payload.secret，
- *   base64url 无填充 32B；跨重启不变）；
+ * 「信任模型」；0.2.1-rc.2 复核不变）：
+ * - 签名密钥由官方凭据服务持有：记录键 `client-connection/browser-session`，
+ *   grant payload `{version: 1, secret: <base64url 无填充 32B>}`（跨重启不变）；
+ *   本模块只解析官方 readRecord 交回的记录，不再自行读文件；
  * - cookie 名 = `dsh-auth-<base64url(sha256(authority))>`，
  *   authority = 请求 Host 经 `new URL('http://'+host).host` 归一化
  *   （host:port，含端口；与官方 requestAuthority() 同实现）；
@@ -21,15 +21,14 @@
  * - 服务端校验 `expiresAt - issuedAt <= cookieMaxAgeDays`（默认 30 天）且
  *   下界 1 天；本模块取官方默认 30 天。
  *
- * 本模块不 import 官方包：密钥从文件读取（dshctl auth.py 同款定向文本
- * 解析），crypto 用 node: 内置。全部为纯函数/可注入，测试零网络零依赖。
+ * 本模块不 import 官方包：密钥以「已读出的记录值」入参（调用方经
+ * ctx.get('credentials').readRecord 取，见 index.ts），crypto 用 node: 内置。
+ * 全部为纯函数/可注入，测试零网络零依赖。
  * 安全：任何解析失败都返回明确错误（fail-loud / fail-safe），绝不产出
  * 半成品 cookie。
  * @module access-gate/cookie
  */
 import { createHash, createHmac, timingSafeEqual } from 'node:crypto'
-import { readFileSync } from 'node:fs'
-import { join } from 'node:path'
 
 /** 官方 cookie 名前缀（client-connection browser-auth 常量）。 */
 export const COOKIE_PREFIX = 'dsh-auth-'
@@ -39,8 +38,10 @@ const PAYLOAD_VERSION = 1
 const SECRET_BYTES = 32
 /** 自签 cookie 有效期：官方默认 cookieMaxAgeDays。 */
 export const COOKIE_MAX_AGE_MS = 30 * 24 * 60 * 60 * 1000
-/** .credentials.yaml 中 browser-session 段名（AUTH_RECORD_KEY 的 id）。 */
+/** 官方记录键（credentialKey('client-connection', 'browser-session') 的联合形态）。 */
 const SECRET_SECTION = 'client-connection/browser-session'
+/** 官方 grant payload 版本（官方 STORED_SECRET_VERSION）。 */
+const STORED_SECRET_VERSION = 1
 /** payload 键序（官方 encodeCookie 的 JSON.stringify 紧凑序列化键序）。 */
 const PAYLOAD_KEYS = ['version', 'authority', 'issuedAt', 'expiresAt'] as const
 
@@ -135,38 +136,42 @@ export function isAuthenticatedCookie(
   return false
 }
 
-/** 定向解析 .credentials.yaml 中 browser-session 段（dshctl auth.py 同款）。 */
-export function readSigningSecretFromFile(credentialsYamlPath: string): Buffer {
-  let text: string
-  try {
-    text = readFileSync(credentialsYamlPath, 'utf8')
-  } catch (error) {
-    const detail = error instanceof Error ? error.message : String(error)
-    throw new Error(`read .credentials.yaml failed (${credentialsYamlPath}): ${detail}`)
+/**
+ * 从官方记录里取签名密钥：只认 grant + payload.version === 1 + 32 字节
+ * base64url secret（与官方 storedSecret() 同判据）；任何不符即抛错，
+ * 由调用方降级 fail-safe（不铸 cookie）。
+ * @param record - `ctx.credentials.readRecord(credentialKey('client-connection', 'browser-session'))` 的返回值。
+ * @returns 32 字节签名密钥。
+ */
+export function signingSecretOfRecord(record: unknown): Buffer {
+  const payload = grantPayloadOf(record)
+  if (payload?.version !== STORED_SECRET_VERSION) {
+    throw new Error(
+      `${SECRET_SECTION}: credential record has an unsupported format (want version ${STORED_SECRET_VERSION})`,
+    )
+  }
+  const raw = payload.secret
+  if (typeof raw !== 'string' || !/^[A-Za-z0-9_-]+$/.test(raw)) {
+    throw new Error(`${SECRET_SECTION}: credential record has an invalid secret`)
   }
-  let inSection = false
-  for (const line of text.split(/\r?\n/)) {
-    const stripped = line.trim()
-    if (stripped === '' || stripped.startsWith('#')) continue
-    const indent = line.length - line.replace(/^\s*/, '').length
-    if (indent <= 2) {
-      inSection = stripped === `${SECRET_SECTION}:`
-      continue
-    }
-    if (inSection) {
-      const match = /^secret:\s*(\S+)\s*$/.exec(stripped)
-      if (match !== null) {
-        const secret = Buffer.from(match[1] ?? '', 'base64url')
-        if (secret.byteLength !== SECRET_BYTES) {
-          throw new Error(
-            `browser-session secret has invalid length (${secret.byteLength}, want ${SECRET_BYTES})`,
-          )
-        }
-        return secret
-      }
-    }
+  const secret = Buffer.from(raw, 'base64url')
+  if (secret.byteLength !== SECRET_BYTES) {
+    throw new Error(
+      `browser-session secret has invalid length (${secret.byteLength}, want ${SECRET_BYTES})`,
+    )
   }
-  throw new Error(`browser-session secret not found in ${credentialsYamlPath}`)
+  return secret
+}
+
+/** 取 grant 记录的 payload 对象；非 grant/非对象返回 undefined。 */
+function grantPayloadOf(record: unknown): Record<string, unknown> | undefined {
+  if (typeof record !== 'object' || record === null) return undefined
+  const candidate = record as { kind?: unknown; payload?: unknown }
+  if (candidate.kind !== 'grant') return undefined
+  const payload = candidate.payload
+  return typeof payload === 'object' && payload !== null && !Array.isArray(payload)
+    ? (payload as Record<string, unknown>)
+    : undefined
 }
 
 /** 官方 sessionCookie() 序列化（属性逐字同款；nowMs 注入保持纯函数可测）。 */
@@ -195,18 +200,3 @@ export function mintSessionCookie(secret: Buffer, authority: string, nowMs: numb
   const signature = base64url(createHmac('sha256', secret).update(body).digest())
   return serializeSessionCookie(cookieName(authority), `v1.${body}.${signature}`, expiresAt, nowMs)
 }
-
-/** 拼接 DSH_HOME 下凭据文件路径（默认 home 与 $DSH_HOME 语义同官方 home-paths）。 */
-export function credentialsPath(dshHome: string): string {
-  return join(dshHome, '.credentials.yaml')
-}
-
-/** 完整铸造入口：读密钥 + 铸造；任何失败抛带上下文错误（调用方降级 fail-safe）。 */
-export function mintAutoLoginCookie(
-  credentialsYamlPath: string,
-  authority: string,
-  nowMs: number,
-): string {
-  const secret = readSigningSecretFromFile(credentialsYamlPath)
-  return mintSessionCookie(secret, authority, nowMs)
-}