@dshfly/remote-connector 0.2.1

package/http-api.js

@@ -0,0 +1,531 @@
+// packages/remote-connector/http-api.js
+// /dshfly 控制路由（loopback-only）：状态 / 配对 / 确认 / 解除 / 权限 / 中继 / 插件。
+// 对齐 orbis http-api.ts：独立前缀路由挂到 webServer，自带 loopback/Host/Origin
+// 栅栏（DNS-rebound 防护），刻意不碰 DSH 的 /api Typert 协议区。
+// 隧道数据面不走本路由——它走插件到中继的出站 WSS；本路由只服务本机 dsh web UI。
+
+import { execFile as defaultExecFile } from 'node:child_process';
+import fs from 'node:fs';
+import path from 'node:path';
+import { createRequire } from 'node:module';
+
+const require = createRequire(import.meta.url);
+
+const MAX_BODY_BYTES = 32 * 1024;
+const LOOPBACK_HOSTS = new Set(['127.0.0.1', '::1', '[::1]', 'localhost']);
+
+function header(req, name) {
+  const value = req.headers[name];
+  return Array.isArray(value) ? value[0] : value;
+}
+
+/** loopback 信任栅栏：Host ∈ {127.0.0.1, ::1, localhost} + Origin 同源 + 非 cross-site。 */
+export function isTrustedLoopbackRequest(req) {
+  const host = header(req, 'host');
+  if (!host) return false;
+  let authority;
+  try {
+    authority = new URL('http://' + host);
+  } catch {
+    return false;
+  }
+  if (
+    authority.pathname !== '/' ||
+    authority.search !== '' ||
+    authority.hash !== '' ||
+    authority.username !== '' ||
+    authority.password !== ''
+  ) {
+    return false;
+  }
+  if (!LOOPBACK_HOSTS.has(authority.hostname.toLowerCase())) return false;
+  if (header(req, 'sec-fetch-site') === 'cross-site') return false;
+  const origin = header(req, 'origin');
+  if (!origin) return true;
+  try {
+    return new URL(origin).host === authority.host;
+  } catch {
+    return false;
+  }
+}
+
+function send(res, status, value) {
+  res.writeHead(status, {
+    'cache-control': 'no-store',
+    'content-type': 'application/json; charset=utf-8',
+  });
+  res.end(JSON.stringify(value));
+}
+
+function fail(res, status, error) {
+  send(res, status, { error: error?.message || 'dshfly operation failed' });
+}
+
+async function readJson(req) {
+  let size = 0;
+  const chunks = [];
+  for await (const chunk of req) {
+    const bytes = Buffer.isBuffer(chunk) ? chunk : Buffer.from(chunk);
+    size += bytes.length;
+    if (size > MAX_BODY_BYTES) {
+      const e = new Error('body too large');
+      e.status = 413;
+      throw e;
+    }
+    chunks.push(bytes);
+  }
+  if (!chunks.length) return {};
+  return JSON.parse(Buffer.concat(chunks).toString('utf8'));
+}
+
+/**
+ * 创建 /dshfly 前缀路由。core 是 ConnectorCore 实例；opts.autoConfirm 为测试
+ * profile 开启"轮询到 completed 自动确认"（生产必须 false，走设置页二次确认）。
+ */
+export function createDshflyHttpRoute(core, opts = {}) {
+  const {
+    // M4.x-c 之后新增注入（apply 传入）：一键安装插件用
+    bridgeCore = null,         // MobileBridgeCore 实例（枚举/注册表）
+    loader = null,             // cordis loader（运行时热加载新插件）
+    recommendedPlugins = [],   // 推荐插件白名单 [{name, spec, id, title, description, icon}]
+    dshBin = '',               // dsh CLI 路径（空 = PATH 的 'dsh'）
+    profileName = 'web',
+    execFile = defaultExecFile, // 测试注入
+    version = '',              // 本插件本地版本（package.json）
+    registryFetch = fetch,     // registry 查询用（测试注入）
+  } = opts;
+  const handler = async (req, res) => {
+    if (!isTrustedLoopbackRequest(req)) {
+      return send(res, 403, { error: 'loopback only' });
+    }
+    try {
+      const url = new URL(req.url, 'http://x');
+      const p = url.pathname;
+      const m = req.method || 'GET';
+
+      if (m === 'GET' && p === '/dshfly/status') {
+        return send(res, 200, {
+          ...core.getState(),
+          relayUrl: core.cfg.relayUrl,
+          version, // 本插件本地版本（设置页显示，2026-08）
+        });
+      }
+
+      if (m === 'POST' && p === '/dshfly/pair') {
+        const pair = await core.createPairing();
+        return send(res, 200, pair);
+      }
+
+      // PC 二次确认（仅 completed 态可确认；幂等——done 后返回当前状态）
+      // body.fullDisk：完整磁盘权限（缺省 false=不允许；配对后可在设备列表修改）
+      const confirmMatch = p.match(/^\/dshfly\/pair\/([^/]+)\/confirm$/);
+      if (confirmMatch && m === 'POST') {
+        const id = decodeURIComponent(confirmMatch[1]);
+        const st = await core.getPairingStatus(id);
+        if (st.status === 'done') return send(res, 200, st);
+        if (st.status !== 'completed') {
+          return send(res, 409, { error: `pairing not confirmable (${st.status})`, status: st.status });
+        }
+        const body = await readJson(req);
+        const phonePk = await core.confirmPairing(id, { fullDisk: body.fullDisk === true });
+        return send(res, 200, { status: 'done', phonePk, permission: core.getPermission(phonePk) });
+      }
+
+      // PC 拒绝配对（仅 completed 态可拒绝）
+      const rejectMatch = p.match(/^\/dshfly\/pair\/([^/]+)\/reject$/);
+      if (rejectMatch && m === 'POST') {
+        const id = decodeURIComponent(rejectMatch[1]);
+        const st = await core.getPairingStatus(id);
+        if (st.status !== 'completed') {
+          return send(res, 409, { error: `pairing not rejectable (${st.status})`, status: st.status });
+        }
+        await core.rejectPairing(id);
+        return send(res, 200, { status: 'rejected' });
+      }
+
+      const pairMatch = p.match(/^\/dshfly\/pair\/([^/]+)$/);
+      if (pairMatch && m === 'GET') {
+        const id = decodeURIComponent(pairMatch[1]);
+        const st = await core.getPairingStatus(id);
+        if (opts.autoConfirm && st.status === 'completed') {
+          try {
+            const phonePk = await core.confirmPairing(id);
+            st.status = 'done';
+            st.phonePk = phonePk;
+          } catch (e) {
+            st.error = e.message;
+          }
+        }
+        return send(res, 200, st);
+      }
+
+      if (m === 'POST' && p === '/dshfly/unpair') {
+        const body = await readJson(req);
+        if (!body.phonePk) return send(res, 400, { error: 'phonePk required' });
+        await core.unpair(body.phonePk);
+        return send(res, 200, { ok: true });
+      }
+
+      // 修改已配对手机的完整磁盘权限（2026-08；配对后可在设置页设备列表调整）
+      if (m === 'POST' && p === '/dshfly/permissions') {
+        const body = await readJson(req);
+        if (!body.phonePk) return send(res, 400, { error: 'phonePk required' });
+        const paired = core.getState().devices.some((d) => d.phonePk === body.phonePk);
+        if (!paired) return send(res, 404, { error: 'device not paired' });
+        core.setPermission(body.phonePk, { fullDisk: body.fullDisk === true });
+        return send(res, 200, { ok: true, permission: core.getPermission(body.phonePk) });
+      }
+
+      // 更换中继地址端点已移除（2026-08 安全收紧：防篡改中继服务器——UI 与后端同时关闭；
+      // 换中继走 keys.relayUrl 文件配置，启动时优先读取，connector-core 的 setRelayUrl 保留未调用）
+
+      // 推荐插件清单（设置页展示）：白名单 + 安装状态（bridge 枚举到的 = 已安装）
+      if (m === 'GET' && p === '/dshfly/plugins/recommended') {
+        const installed = (id) => !!bridgeCore?.entries?.has?.(id);
+        const plugins = (recommendedPlugins || []).map((rp) => ({
+          name: rp.name,
+          id: rp.id,
+          title: rp.title,
+          description: rp.description,
+          icon: rp.icon,
+          installed: installed(rp.id),
+        }));
+        return send(res, 200, { plugins });
+      }
+
+      // 一键安装推荐插件（白名单内）：dsh plugin add（装依赖 + reconcile）→
+      // 重新枚举 → loader.create 运行时热加载（无需重启 dsh web；loader 不可用则提示重启）。
+      if (m === 'POST' && p === '/dshfly/plugins/install') {
+        const body = await readJson(req);
+        try {
+          const r = await installRecommendedPlugin({
+            id: body.id,
+            recommendedPlugins,
+            bridgeCore,
+            loader,
+            dshBin,
+            profileName,
+            execFile,
+          });
+          return send(res, 200, r);
+        } catch (e) {
+          return send(res, e?.code === 'PLUGIN_NOT_FOUND' ? 400 : 500, { error: e?.message || String(e), spec: e?.spec });
+        }
+      }
+
+      // 一键卸载插件（PC 设置页对称入口；App 端走 mobile.plugins.uninstall 同一实现）
+      if (m === 'POST' && p === '/dshfly/plugins/uninstall') {
+        const body = await readJson(req);
+        try {
+          const r = await uninstallPlugin({
+            id: body.id,
+            recommendedPlugins,
+            bridgeCore,
+            loader,
+            dshBin,
+            profileName,
+            execFile,
+          });
+          return send(res, 200, r);
+        } catch (e) {
+          return send(res, e?.code === 'PLUGIN_NOT_FOUND' ? 404 : 500, { error: e?.message || String(e) });
+        }
+      }
+
+      // 检查本插件更新（2026-08）：npm registry 最新版 vs 本地版本（失败 → latest=null，不阻塞）
+      if (m === 'GET' && p === '/dshfly/plugins/checkUpdate') {
+        let latest = null;
+        let error = null;
+        try {
+          const pkgName = require('./package.json').name;
+          const r = await registryFetch(`https://registry.npmjs.org/${encodeURIComponent(pkgName)}/latest`, { signal: AbortSignal.timeout(8000) });
+          if (r.ok) {
+            const j = await r.json();
+            latest = typeof j?.version === 'string' ? j.version : null;
+          } else {
+            error = `registry HTTP ${r.status}`;
+          }
+        } catch (e) {
+          error = e?.message || 'registry 查询失败';
+        }
+        return send(res, 200, {
+          current: version,
+          latest,
+          updateAvailable: !!latest && latest !== version,
+          error,
+        });
+      }
+
+      // 一键升级本插件（2026-08）：dsh plugin add <pkg>@latest + 提示重启（升级不能热加载——替换已加载插件需清模块缓存）
+      if (m === 'POST' && p === '/dshfly/plugins/upgrade') {
+        try {
+          const pkgName = require('./package.json').name;
+          await runDshPluginAdd(dshBin, profileName, `${pkgName}@latest`, execFile);
+          return send(res, 200, { ok: true, package: pkgName, rebootNeeded: true });
+        } catch (e) {
+          return send(res, 500, { error: `升级失败：${e.message}` });
+        }
+      }
+
+      return send(res, 404, { error: 'not found' });
+    } catch (e) {
+      return fail(res, e.status || 500, e);
+    }
+  };
+
+  return { kind: 'prefix', path: '/dshfly', handler };
+}
+
+/**
+ * 解析 dsh CLI 的 bin.js 绝对路径（`node <bin.js>` 直跑，不依赖 PATH/平台 sh/cmd）：
+ * ① 配置显式 dshBin（可指 bin.js 或可执行文件）；② 自动探测常见 npm 全局位置；
+ * ③ 兜底 null（走 PATH 的 'dsh'）。
+ * 修复（2026-08）：GUI 启动的 dsh web 进程 PATH 不含 dsh（Windows spawn ENOENT）——
+ * 一律改用 node 跑 bin.js，跨平台稳定。
+ */
+/** 在 PATH 上找 `dsh` 可执行（当前实际使用的 dsh，`which dsh` 指向），realpath 解析符号链接
+ *  到 @deepseek-ai/dsh/lib/bin.js。找不到返回 null。 */
+function findDshOnPath() {
+  const dirs = (process.env.PATH || '').split(path.delimiter);
+  for (const dir of dirs) {
+    if (!dir) continue;
+    const candidate = path.join(dir, 'dsh');
+    try {
+      if (!fs.existsSync(candidate) || !fs.statSync(candidate).isFile()) continue;
+      const real = fs.realpathSync(candidate);
+      // 仅接受确属 @deepseek-ai/dsh 的 bin.js，避免误抓同名命令
+      if (real.includes(`${path.sep}@deepseek-ai${path.sep}dsh${path.sep}`)) return real;
+    } catch {}
+  }
+  return null;
+}
+
+export function resolveDshBinJs(dshBin) {
+  if (typeof dshBin === 'string' && dshBin) {
+    return fs.existsSync(dshBin) ? dshBin : null;
+  }
+  // ① 当前实际使用的 dsh（PATH 上 `dsh` 的 realpath）——最可靠，命中运行实例
+  const onPath = findDshOnPath();
+  if (onPath) return onPath;
+  // ② 常见全局安装位置（兜底；可能命中非当前实例，仅探测）
+  const candidates = [
+    // Windows npm 全局（%APPDATA%\npm）
+    process.env.APPDATA ? path.join(process.env.APPDATA, 'npm', 'node_modules', '@deepseek-ai', 'dsh', 'lib', 'bin.js') : null,
+    // Homebrew / usr-local / usr（macOS、Linux）
+    '/opt/homebrew/lib/node_modules/@deepseek-ai/dsh/lib/bin.js',
+    '/usr/local/lib/node_modules/@deepseek-ai/dsh/lib/bin.js',
+    '/usr/lib/node_modules/@deepseek-ai/dsh/lib/bin.js',
+  ];
+  for (const c of candidates) {
+    if (c && fs.existsSync(c)) return c;
+  }
+  return null;
+}
+
+/** 从 startDir 向上找到 name==='@deepseek-ai/dsh' 的 package.json 路径；找不到返回 null。 */
+function findDshPkgJson(startDir) {
+  let dir = startDir;
+  while (dir && dir !== path.dirname(dir)) {
+    const pkgJson = path.join(dir, 'package.json');
+    try {
+      if (fs.existsSync(pkgJson)) {
+        const j = JSON.parse(fs.readFileSync(pkgJson, 'utf8'));
+        if (j?.name === '@deepseek-ai/dsh') return pkgJson;
+      }
+    } catch {}
+    dir = path.dirname(dir);
+  }
+  return null;
+}
+
+function readPkgVersion(pkgJson) {
+  try {
+    const j = JSON.parse(fs.readFileSync(pkgJson, 'utf8'));
+    return typeof j.version === 'string' ? j.version : null;
+  } catch {
+    return null;
+  }
+}
+
+/**
+ * 解析**当前运行中**的 DSH 版本：最可靠是取 dsh web 进程入口（process.argv[1] = dsh 的
+ * lib/bin.js）相邻的 @deepseek-ai/dsh package.json —— 命中正在跑的实例，而非其它安装
+ * （此前磁盘候选列 `/opt/homebrew/...` 先命中无关的 0.1.1-rc.2 实例，导致 App 显示错版本）。
+ * 依序：① argv[1] 反查；② require.resolve；③ resolveDshBinJs 磁盘兜底。
+ * 失败返回 null（App 显示空/兜底，不阻塞）。
+ */
+export function resolveDshVersion(dshBin) {
+  // ① 取运行进程入口并解析符号链接：dsh 的 npm 全局 shim（bin/dsh）是指向 <dsh>/lib/bin.js 的
+  //    符号链接，process.argv[1] 是链接路径（bin/ 下祖先链无 @deepseek-ai/dsh）→ 须先 realpath。
+  try {
+    const argv1 = process.argv?.[1];
+    if (argv1) {
+      const real = fs.realpathSync(argv1);
+      const pkgJson = findDshPkgJson(path.dirname(real));
+      if (pkgJson) return readPkgVersion(pkgJson);
+    }
+  } catch {}
+  try {
+    const pkg = require.resolve('@deepseek-ai/dsh/package.json');
+    return readPkgVersion(pkg);
+  } catch {}
+  try {
+    const binJs = resolveDshBinJs(dshBin);
+    return binJs ? readPkgVersion(path.resolve(path.dirname(binJs), '..', 'package.json')) : null;
+  } catch {
+    return null;
+  }
+}
+
+/**
+ * 定位**运行中 DSH 应用**的 node_modules 目录（DSH 内置运行时 bundle @deepseek-ai/dsh-* 所在）。
+ * 与 resolveDshVersion 同法（argv[1] realpath → @deepseek-ai/dsh 包根 → node_modules）。
+ * 供移动插件枚举作为"额外解析根"（profile node_modules 之外），避免把 DSH 内置包误报为解析失败。
+ * 失败返回 null。
+ */
+export function resolveDshNodeModules() {
+  try {
+    const argv1 = process.argv?.[1];
+    if (argv1) {
+      const real = fs.realpathSync(argv1);
+      const pkgJson = findDshPkgJson(path.dirname(real));
+      if (pkgJson) return path.join(path.dirname(pkgJson), 'node_modules');
+    }
+  } catch {}
+  try {
+    const pkg = require.resolve('@deepseek-ai/dsh/package.json');
+    return path.join(path.dirname(pkg), 'node_modules');
+  } catch {}
+  return null;
+}
+
+/** 执行 `dsh plugin --profile <name> add <spec>`（装依赖 + reconcile 进 bundles）。 */
+/** 一键安装推荐插件（白名单内）：dsh plugin add → 重新枚举 → loader 热加载（无需重启；
+ *  loader 不可用 → rebootNeeded）。PC 设置页（/dshfly/plugins/install）与
+ *  App 插件页空状态（mobile.plugins.install，经 bridge 注入）共用同一实现。 */
+export async function installRecommendedPlugin({
+  id, recommendedPlugins = [], bridgeCore = null, loader = null,
+  dshBin = '', profileName = 'web', execFile = defaultExecFile,
+}) {
+  const rp = (recommendedPlugins || []).find((x) => x.id === id || x.name === id);
+  if (!rp) {
+    const err = new Error(`未知插件 id（仅推荐白名单可安装）: ${id}`);
+    err.code = 'PLUGIN_NOT_FOUND';
+    throw err;
+  }
+  if (bridgeCore?.entries?.has?.(rp.id)) return { ok: true, already: true, id: rp.id };
+  const spec = rp.spec || rp.name;
+  // file: 预检：目录不存在时给出明确错误（避免 pnpm 去 registry 拉 npm 名）
+  if (typeof spec === 'string' && spec.startsWith('file:')) {
+    const dir = spec.slice('file:'.length);
+    if (!fs.existsSync(dir)) {
+      const err = new Error(`安装失败：file: 目录不存在（${dir}）——请检查 connector 配置 recommendedPlugins[].spec`);
+      err.code = 'INSTALL_SPEC_MISSING';
+      err.spec = spec;
+      throw err;
+    }
+  }
+  await runDshPluginAdd(dshBin, profileName, spec, execFile);
+  if (bridgeCore?.enumerate) await bridgeCore.enumerate();
+  let loaded = false;
+  if (loader?.create) {
+    try {
+      await loader.create({ name: rp.name });
+      loaded = true;
+    } catch (e) {
+      console.error(`[dshfly] 热加载 ${rp.name} 失败（需重启 dsh web 生效）:`, e?.message);
+    }
+  }
+  return { ok: true, id: rp.id, spec, loaded, rebootNeeded: !loaded };
+}
+
+/** 一键卸载插件：dsh plugin remove（pnpm remove，reconcile 自动清 dsh.profile.bundles）→
+ *  重新枚举 → loader.remove 热卸载（失败 → rebootNeeded 提示重启，重启后依赖已移除自然消失）。
+ *  PC 设置页（/dshfly/plugins/uninstall）与 App 插件详情页（mobile.plugins.uninstall）共用。
+ *  目标解析：推荐白名单 id → name 优先；否则 bridge 注册表 staticSource（可卸任意已装插件）。 */
+export async function uninstallPlugin({
+  id, recommendedPlugins = [], bridgeCore = null, loader = null,
+  dshBin = '', profileName = 'web', execFile = defaultExecFile,
+}) {
+  if (typeof id !== 'string' || !id) {
+    const err = new Error(`插件 id 必填: ${id}`);
+    err.code = 'PLUGIN_NOT_FOUND';
+    throw err;
+  }
+  const pkgName =
+    (recommendedPlugins || []).find((x) => x.id === id)?.name
+    ?? bridgeCore?.entries?.get?.(id)?.staticSource;
+  if (!pkgName) {
+    const err = new Error(`未知插件 id（未安装或无静态来源）: ${id}`);
+    err.code = 'PLUGIN_NOT_FOUND';
+    throw err;
+  }
+  // 幂等：bridge 条目已移除（此前卸载过、依赖已删）→ 不再执行 pnpm remove
+  // （否则 ERR_PNPM_CANNOT_REMOVE_MISSING_DEPS）
+  if (bridgeCore && !bridgeCore.entries.has(id)) {
+    return { ok: true, already: true, id, pkgName };
+  }
+  try {
+    await runDshPluginRemove(dshBin, profileName, pkgName, execFile);
+  } catch (e) {
+    // 依赖已被移除（重复卸载/外部删过）→ 视为已卸载继续（幂等兜底）
+    if (!/ERR_PNPM_CANNOT_REMOVE_MISSING_DEPS/.test(`${e?.message || ''}`)) throw e;
+    console.warn(`[dshfly] 卸载 ${pkgName}：依赖已不存在（幂等容错）`);
+  }
+  // 彻底移除 bridge 条目（静态+动态）→ App 列表立即消失（enumerate 只 upsert 静态、不清动态注册）
+  bridgeCore?.removeEntry?.(id);
+  if (bridgeCore?.enumerate) await bridgeCore.enumerate();
+  // 热卸载：loader.create({name}) 不传 id 时 entry id 是随机的（cordis ensureId），
+  // 从 loader 配置按 name 反查；失败则 rebootNeeded（重启后依赖移除自然消失）
+  let loaded = false;
+  if (loader?.remove && loader?.data) {
+    try {
+      const entry = (loader.data || []).find((o) => o.name === pkgName);
+      if (entry?.id) {
+        await loader.remove(entry.id);
+        loaded = true;
+      }
+    } catch (e) {
+      console.error(`[dshfly] 热卸载 ${pkgName} 失败（需重启 dsh web 生效）:`, e?.message);
+    }
+  }
+  return { ok: true, id, pkgName, loaded, rebootNeeded: !loaded };
+}
+
+/** 插件一键安装/升级共用的 dsh plugin add 执行（超时 120s）。 */
+function runDshPluginAdd(dshBin, profileName, spec, execFile) {
+  const binJs = resolveDshBinJs(dshBin);
+  const bin = binJs ? process.execPath : (dshBin || 'dsh');
+  const args = binJs
+    ? [binJs, 'plugin', '--profile', profileName, 'add', spec]
+    : ['plugin', '--profile', profileName, 'add', spec];
+  return new Promise((resolve, reject) => {
+    execFile(bin, args, { timeout: 120_000 }, (err, stdout, stderr) => {
+      if (err) {
+        const detail = `${stdout || ''}${stderr || ''}`.trim().slice(0, 400);
+        reject(new Error(`${detail || err.message}`));
+        return;
+      }
+      resolve({ stdout, stderr });
+    });
+  });
+}
+
+/** 一键卸载的 dsh plugin remove 执行（转发 pnpm remove；reconcile 自动清 bundles）。 */
+function runDshPluginRemove(dshBin, profileName, pkgName, execFile) {
+  const binJs = resolveDshBinJs(dshBin);
+  const bin = binJs ? process.execPath : (dshBin || 'dsh');
+  const args = binJs
+    ? [binJs, 'plugin', '--profile', profileName, 'remove', pkgName]
+    : ['plugin', '--profile', profileName, 'remove', pkgName];
+  return new Promise((resolve, reject) => {
+    execFile(bin, args, { timeout: 120_000 }, (err, stdout, stderr) => {
+      if (err) {
+        const detail = `${stdout || ''}${stderr || ''}`.trim().slice(0, 400);
+        reject(new Error(`${detail || err.message}`));
+        return;
+      }
+      resolve({ stdout, stderr });
+    });
+  });
+}