@dsh-plus/access-gate 0.3.33 → 0.3.34

package/src/decision.ts

@@ -85,7 +85,7 @@ export function compileAllowlist(entries: readonly string[]): CompiledAllowlist
 
 /**
  * 围栏判定（纯函数，无任何副作用与 IO）。
- * 逻辑次序：豁免路径由调用方前置处理；enabled=false 直通；确定有效来源
+ * 逻辑次序：豁免路径由调用方前置处理；确定有效来源
  * （受信 XFF 优先，否则 remoteAddress）；来源为 loopback 直连 → 放行；
  * 白名单非空时作附加 IP 围栏，不命中即拒；autoLoginTrustedIps=true 且
  * 白名单命中但官方未认证 → autologin（拦截器负责落官方 cookie）；
@@ -106,8 +106,6 @@ export function decideGate(
   policy: GatePolicy,
   officialAuthed: boolean,
 ): GateDecision {
-  if (!policy.enabled) return { verdict: 'pass', reason: 'local' }
-
   const forwarded = forwardedIp(req.headers)
   const trustedForwarded = policy.trustForwardedFor ? forwarded : undefined
   const clientIpText = trustedForwarded ?? req.remoteAddress

package/src/index.ts

@@ -19,7 +19,7 @@
  * 参数生成远程变体）。
  *
  * 配置：settings 命名空间 dsh-plus-access-gate（webui 配置卡片同一份，
- * 热生效）；enabled=false 时完全旁路（等价插件缺席）。
+ * 热生效）；整行开关由官方行开关承担（bundle 层默认 `disabled: true`）。
  * 安全边界：结构守卫 fail-loud（upstream 形状变化 → 启动失败 → lifeboat
  * 隔离止损，绝不静默 fail-open）；autoLogin 依赖官方签名密钥，读取失败
  * 自动降级为不自动登录（fail-safe）。
@@ -30,22 +30,20 @@ import type { IncomingMessage } from 'node:http'
 import { type Context, Service } from '@deepseek-ai/cordis'
 // HostConnectionHandle 的 Context 声明合并（connection 服务类型来源）。
 import type {} from '@deepseek-ai/dsh-client-connection'
-import { dshHomePath } from '@deepseek-ai/dsh-home-paths'
+import { credentialKey } from '@deepseek-ai/dsh-credentials'
 import type {} from '@deepseek-ai/dsh-settings'
 import { unwrapVolatile } from '@dsh-plus/shared'
 
 import { type AccessGateConfig, type AccessGateConfigFields, Config } from './config.ts'
-import {
-  credentialsPath,
-  mintAutoLoginCookie,
-  readSigningSecretFromFile,
-  requestAuthority,
-} from './cookie.ts'
+import { mintSessionCookie, requestAuthority, signingSecretOfRecord } from './cookie.ts'
 import { type GateWebServer, installGateInterceptor } from './interceptor.ts'
 import { registerGateRoutes } from './routes.ts'
 
 export const name = 'dsh-plus-access-gate'
 
+/** 官方 browser-auth 签名密钥记录键（官方 AUTH_RECORD_KEY 同值）。 */
+const AUTH_RECORD_KEY = credentialKey('client-connection', 'browser-session')
+
 export const inject = ['webServer', 'connection'] as const
 
 export { Config }
@@ -59,7 +57,10 @@ declare module '@deepseek-ai/cordis' {
 /** 围栏服务：持有当前配置读取器（volatile 活动引用的平面解包，读即最新）。 */
 export class AccessGateService extends Service {
   private current: () => AccessGateConfig
-  /** 官方 browser-auth 签名密钥（惰性读取缓存；读取失败 = null，autoLogin fail-safe 降级）。 */
+  /**
+   * 官方 browser-auth 签名密钥（经官方凭据服务的记录读接口取，成功即缓存；
+   * 读不到 = null，autoLogin fail-safe 降级为 token 输入页）。
+   */
   private signingSecret: Buffer | null | undefined
 
   constructor(ctx: Context, config: AccessGateConfig | AccessGateConfigFields) {
@@ -73,10 +74,11 @@ export class AccessGateService extends Service {
     const officialAuth = (req: IncomingMessage): boolean =>
       ctx.connection.requestRejection({ headers: req.headers }) === undefined
 
-    // 官方 browser-auth 签名密钥（.credentials.yaml）：与官方 cookie 同源，
-    // 供 IP 信任自动登录铸造等价 cookie。惰性读取并缓存；失败记一次 warn 并
-    // 降级（autoLogin 不生效），围栏本身不受影响。
-    const secretOf = (): Buffer | null => this.readSigningSecret(logger)
+    // 官方 browser-auth 签名密钥：经官方凭据服务读 client-connection/browser-session
+    // 记录（与官方 cookie 同源），供 IP 信任自动登录铸造等价 cookie。启动时异步
+    // 读取并缓存；失败记一次 warn 并降级（autoLogin 不生效），围栏本身不受影响。
+    const secretOf = (): Buffer | null => this.signingSecret ?? null
+    void this.loadSigningSecret(ctx, logger)
     // IP 信任自动登录的 cookie 铸造器（判定 autologin 时调用；不可铸返回 null，
     // 拦截器据此回退 token 输入页/403，绝不 fail-open）。
     const autoLoginCookie = (req: IncomingMessage): string | null => {
@@ -84,7 +86,7 @@ export class AccessGateService extends Service {
       const authority = requestAuthority(req.headers)
       if (secret === null || authority === undefined) return null
       try {
-        return mintAutoLoginCookie(credentialsPath(dshHomePath()), authority, Date.now())
+        return mintSessionCookie(secret, authority, Date.now())
       } catch (error) {
         const message = error instanceof Error ? error.message : String(error)
         logger.warn(`auto-login cookie mint failed: ${message}`)
@@ -97,7 +99,7 @@ export class AccessGateService extends Service {
       config: () => this.current(),
       officialAuth,
       authenticatedUrl: (baseUrl) => ctx.connection.authenticatedUrl(baseUrl),
-      autoLoginReady: () => this.autoLoginSecretReady(logger),
+      autoLoginReady: () => this.autoLoginSecretReady(),
       onError: (message) => logger.warn(message),
     })
 
@@ -116,22 +118,38 @@ export class AccessGateService extends Service {
     return this.current()
   }
 
-  /** 官方签名密钥（惰性缓存；失败返回 null 并记录，autoLogin 降级 fail-safe）。 */
-  private readSigningSecret(logger: { warn(message: string): void }): Buffer | null {
-    if (this.signingSecret !== undefined) return this.signingSecret
+  /**
+   * 读取官方签名密钥并缓存：记录缺席/未挂凭据服务时保持未就绪（不缓存失败，
+   * 记录建立后由 credentials/record-updated 触发重读）。
+   */
+  private async loadSigningSecret(
+    ctx: Context,
+    logger: { warn(message: string): void },
+  ): Promise<void> {
+    if (this.signingSecret != null) return
+    const credentials = ctx.get('credentials')
+    if (credentials === undefined) {
+      logger.warn('auto-login disabled: 当前组合未挂载凭据服务（dsh-credentials-local）')
+      return
+    }
     try {
-      this.signingSecret = readSigningSecretFromFile(credentialsPath(dshHomePath()))
+      const record = await credentials.readRecord(AUTH_RECORD_KEY)
+      this.signingSecret = signingSecretOfRecord(record)
+      return
     } catch (error) {
       const message = error instanceof Error ? error.message : String(error)
-      logger.warn(`auto-login disabled: ${message}`)
-      this.signingSecret = null
+      logger.warn(`auto-login secret unavailable: ${message}`)
     }
-    return this.signingSecret
+    // 记录尚未建立（首启）：等官方写入后重读一次。
+    ctx.on('credentials/record-updated', (key) => {
+      if (String(key) !== String(AUTH_RECORD_KEY) || this.signingSecret != null) return
+      void this.loadSigningSecret(ctx, logger)
+    })
   }
 
   /** IP 信任自动登录可用性（诊断用）：签名密钥可读即为可用。 */
-  autoLoginSecretReady(logger: { warn(message: string): void }): boolean {
-    return this.readSigningSecret(logger) !== null
+  autoLoginSecretReady(): boolean {
+    return this.signingSecret != null
   }
 }
 

package/src/interceptor.ts

@@ -238,8 +238,6 @@ export function installGateInterceptor(
   const originalMatch = server.match.bind(server)
   const gatedMatch = (pathname: string): unknown => {
     if (isExemptPath(pathname)) return originalMatch(pathname)
-    const config = deps.config()
-    if (!config.enabled) return originalMatch(pathname)
     const route = originalMatch(pathname) as { handler: HttpHandler } | undefined
     if (route === undefined) return undefined
     return { ...route, handler: gatedHttp(route.handler, deps) }

package/src/routes.ts

@@ -77,7 +77,6 @@ export function createGateRoutes(
       deps.officialAuth(req),
     )
     sendJson(res, 200, {
-      enabled: config.enabled,
       verdict: decision.verdict,
       clientIp: decision.clientIp ?? resolveIp(req) ?? null,
       reason: decision.reason ?? null,