@dsh-sparrow/dsh-file-manage 0.2.0-rc.2 → 0.2.1-rc.2

package/CHANGELOG.md

@@ -2,6 +2,11 @@
 
 English | [简体中文](CHANGELOG.zh-CN.md)
 
+## 0.2.1-rc.2 (2026-10-17)
+
+- Now adapted to official dsh 0.2.1-rc.2 (web and desktop).
+- Opening Cloud Files from another machine on the LAN works again: requests from a non-loopback address are no longer rejected.
+
 ## 0.2.0-rc.2 (2026-10-08)
 
 - Now adapted to official dsh 0.2.0-rc.2 (web and desktop).

package/CHANGELOG.zh-CN.md

@@ -2,6 +2,11 @@
 
 简体中文 | [English](CHANGELOG.md)
 
+## 0.2.1-rc.2（2026-10-17）
+
+- 适配官方 dsh 0.2.1-rc.2（Web 与桌面端）。
+- 从局域网内另一台机器打开「云端文件」恢复正常：非回环地址的请求不再被拒绝。
+
 ## 0.2.0-rc.2（2026-10-08）
 
 - 适配官方 dsh 0.2.0-rc.2（Web 与桌面端）。

package/README.md

@@ -12,7 +12,7 @@ Large images pasted into DSH are auto-uploaded to the DeepSeek Files API, but DS
 dsh plugin --profile web add @dsh-sparrow/dsh-file-manage
 ```
 
-Requires dsh 0.2.0-rc.2 — the exact official version line this release is built and verified against (newer lines, pre-releases in particular, are not covered) — and a working `pnpm` (`dsh plugin` forwards installation to pnpm).
+Requires dsh 0.2.1-rc.2 — the exact official version line this release is built and verified against (newer lines, pre-releases in particular, are not covered) — and a working `pnpm` (`dsh plugin` forwards installation to pnpm).
 
 > Do **not** run `npm install @dsh-sparrow/dsh-file-manage` directly: that only downloads the package into some `node_modules` and does not register it with the DSH web profile. Use the `dsh plugin` command above, then restart DSH.
 

package/README.zh-CN.md

@@ -12,7 +12,7 @@ DSH 贴图的大图会自动上传到 DeepSeek Files API（云端文件库），
 dsh plugin --profile web add @dsh-sparrow/dsh-file-manage
 ```
 
-适配 dsh 0.2.0-rc.2（本版构建与验证所对齐的确切官方版本线；更新的版本线、尤其是预发布版本不在承诺范围内），并需要可用的 `pnpm`（`dsh plugin` 会把安装操作转发给 pnpm）。
+适配 dsh 0.2.1-rc.2（本版构建与验证所对齐的确切官方版本线；更新的版本线、尤其是预发布版本不在承诺范围内），并需要可用的 `pnpm`（`dsh plugin` 会把安装操作转发给 pnpm）。
 
 > **不要**直接执行 `npm install @dsh-sparrow/dsh-file-manage`：那只会把包下载到某个 `node_modules`，不会注册进 DSH 的 web profile。请使用上面的 `dsh plugin` 命令安装，并在安装后重启 DSH。
 

package/lib/host.js

@@ -115,7 +115,7 @@ export async function apply(ctx) {
             // 浏览器信任栅栏（官方 /api 栅栏同口径，见 trust.ts）：必须在本路由**任何**
             // 分发之前 —— 官方栅栏挂在 /api 前缀上，而本路由 /api/file-manage 更长，
             // 「前缀最长者胜」使请求根本走不到官方那道检查。
-            // 额外信任面复用官方 webRuntime.trustedHosts（故这里在**请求期**读取）。
+            // 额外信任面复用官方 webStartup.trustedHosts（rc.2 起；旧宿主回退 webRuntime），故这里在**请求期**读取。
             if (!isTrustedPluginRequest(req.headers, officialTrustedHosts(ctx))) {
                 sendError(res, new FileManageError('FORBIDDEN', '拒绝跨站来源的请求', 403));
                 return;

package/lib/trust.js

@@ -75,26 +75,57 @@ export function isTrustedPluginRequest(headers, trustedHosts = []) {
         return false;
     }
 }
-/**
- * 官方给出的额外信任面：`webRuntime.trustedHosts` 就是喂给官方 `/api` 栅栏的同一份值 ——
- * 自造白名单会语义漂移，还会把 `--host 0.0.0.0` 的 LAN 用户静默挡成 403；服务缺失时回退空
- * （只认回环，与官方默认同口径）。⚠️ 必须**请求期**读取：webRuntime 与本插件加载顺序不保证
- * 谁先，apply 期读会拿到空值并永久冻结。
- */
-export function officialTrustedHosts(ctx) {
-    let runtime;
+/** 读一个官方服务值里的 `trustedHosts`：服务缺失 / 读取抛错 / 形状不对一律按空处理
+ * （`ctx.get` 可选读取，绝不因此让插件抛穿）。 */
+function trustedHostsOfService(ctx, serviceName) {
+    let service;
     try {
-        runtime = ctx.get('webRuntime');
+        service = ctx.get(serviceName);
     }
     catch {
-        // 宿主不认识该服务名（老版本 / 代理路径）时按「无额外信任」处理，绝不抛穿。
+        // 宿主不认识该服务名（老版本 / 代理路径）时按「无额外信任」处理。
         return [];
     }
-    if (typeof runtime !== 'object' || runtime === null)
+    if (typeof service !== 'object' || service === null)
         return [];
-    const value = runtime.trustedHosts;
+    const value = service.trustedHosts;
     if (!Array.isArray(value))
         return [];
     return value.filter((entry) => typeof entry === 'string');
 }
+/** webServer 的监听绑定地址作为一条 authority：IPv6 字面量加方括号、去掉 `%zone`（接口选择器，不是
+ * 地址文本）；服务缺失 / 读取抛错 / 形状不对时为空。 */
+function bindAddressAuthority(ctx) {
+    let server;
+    try {
+        server = ctx.get('webServer');
+    }
+    catch {
+        return [];
+    }
+    if (typeof server !== 'object' || server === null)
+        return [];
+    const host = server.host;
+    if (typeof host !== 'string' || host === '')
+        return [];
+    const zoneAt = host.indexOf('%');
+    const address = zoneAt === -1 ? host : host.slice(0, zoneAt);
+    return [address.includes(':') ? `[${address}]` : address];
+}
+/**
+ * 官方给出的额外信任面：`webStartup.trustedHosts`（rc.2 起即喂给官方 `/api` 栅栏的同一份值；旧宿主
+ * 回退 `webRuntime`），两份合并去重，再把 webServer 的监听绑定地址纳入（官方 rc.2 栅栏同样接受
+ * 绑定地址本身）—— 自造白名单会语义漂移，还会把 LAN 用户静默挡成 403；服务缺失时回退空
+ * （只认回环，与官方默认同口径）。⚠️ 必须**请求期**读取：`webStartup` 与本插件加载顺序不保证
+ * 谁先，apply 期读会拿到空值并永久冻结。
+ */
+export function officialTrustedHosts(ctx) {
+    return [
+        ...new Set([
+            ...trustedHostsOfService(ctx, 'webStartup'),
+            ...trustedHostsOfService(ctx, 'webRuntime'),
+            ...bindAddressAuthority(ctx),
+        ]),
+    ];
+}
 //# sourceMappingURL=trust.js.map

package/lib/types/trust.d.ts

@@ -17,9 +17,10 @@ export declare function isLoopbackHostname(hostname: string): boolean;
  * 入口不许因畸形输入抛错，也不许在缺头时放行。 */
 export declare function isTrustedPluginRequest(headers: TrustHeaders | undefined, trustedHosts?: readonly string[]): boolean;
 /**
- * 官方给出的额外信任面：`webRuntime.trustedHosts` 就是喂给官方 `/api` 栅栏的同一份值 ——
- * 自造白名单会语义漂移，还会把 `--host 0.0.0.0` 的 LAN 用户静默挡成 403；服务缺失时回退空
- * （只认回环，与官方默认同口径）。⚠️ 必须**请求期**读取：webRuntime 与本插件加载顺序不保证
+ * 官方给出的额外信任面：`webStartup.trustedHosts`（rc.2 起即喂给官方 `/api` 栅栏的同一份值；旧宿主
+ * 回退 `webRuntime`），两份合并去重，再把 webServer 的监听绑定地址纳入（官方 rc.2 栅栏同样接受
+ * 绑定地址本身）—— 自造白名单会语义漂移，还会把 LAN 用户静默挡成 403；服务缺失时回退空
+ * （只认回环，与官方默认同口径）。⚠️ 必须**请求期**读取：`webStartup` 与本插件加载顺序不保证
  * 谁先，apply 期读会拿到空值并永久冻结。
  */
 export declare function officialTrustedHosts(ctx: {

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@dsh-sparrow/dsh-file-manage",
   "description": "Manage DeepSeek Files API cloud files from the sidebar — list with cursor pagination, delete, and copy file_id (reuses the official DeepSeekFilesClient, no extra credentials)",
-  "version": "0.2.0-rc.2",
+  "version": "0.2.1-rc.2",
   "license": "MIT",
   "repository": {
     "type": "git",
@@ -48,26 +48,26 @@
     "verify": "node ../../scripts/verify.mjs"
   },
   "peerDependencies": {
-    "@deepseek-ai/cordis": "^4.0.4",
-    "@deepseek-ai/dsh-credentials": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-host-webserver": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-llm": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-llm-deepseek": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-settings": "0.2.0-rc.2"
+    "@deepseek-ai/cordis": "^4.0.5",
+    "@deepseek-ai/dsh-credentials": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-host-webserver": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-llm": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-llm-deepseek": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-settings": "0.2.1-rc.2"
   },
   "devDependencies": {
-    "@deepseek-ai/cordis": "4.0.4",
-    "@deepseek-ai/dsh-client-locale": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-client-ui-layout": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-client-ui-primitives": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-client-ui-renderer": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-client-ui-sidebar": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-client-ui-slots": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-credentials": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-host-webserver": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-llm": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-llm-deepseek": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-settings": "0.2.0-rc.2",
+    "@deepseek-ai/cordis": "4.0.5",
+    "@deepseek-ai/dsh-client-locale": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-client-ui-layout": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-client-ui-primitives": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-client-ui-renderer": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-client-ui-sidebar": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-client-ui-slots": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-credentials": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-host-webserver": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-llm": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-llm-deepseek": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-settings": "0.2.1-rc.2",
     "@types/node": "^22.20.0",
     "@types/react": "~18.3.1",
     "@types/react-dom": "~18.3.1",