@feiyang666/dsh-mobile-remote 1.4.1 → 1.4.2

package/lib/index.js

@@ -1094,6 +1094,91 @@ html[data-dsh-mobile] input[type='text'],
 html[data-dsh-mobile] input[type='search'] {
   font-size: 16px !important;
 }
+
+/* ----- 移动端 Tooltip 抑制 -----
+ * DSH 原生 Tooltip 气泡由 hover / focus 触发（<span role="tooltip">）。
+ * 触屏设备上没有 hover，点击按钮后焦点停留在按钮上，气泡会一直显示在屏幕上
+ * （点击空白 / 滚动也不会消失）——即“停止 / 开始 / 关闭菜单栏等按钮的提示文字
+ * 常驻屏幕”问题。移动端直接隐藏气泡，按钮仍保留 aria-label 无障碍名。
+ */
+html[data-dsh-mobile] [role='tooltip'] {
+  display: none !important;
+  visibility: hidden !important;
+  opacity: 0 !important;
+  pointer-events: none !important;
+}
+
+/* ----- 移动端设置页适配 -----
+ * 原生设置弹窗是 800px 双栏布局（188px 导航栏 + 内容列），手机上内容被挤得
+ * 几乎没有空间。由 MOBILE_JS 的 MutationObserver 把设置弹窗打上
+ * data-dsh-settings 标记（结构：role=dialog 且首个子元素为 <nav>），这里改为
+ * 全屏单栏：导航栏变顶部横向滚动标签，内容区独占剩余空间。
+ * 不依赖 harness 内部哈希类名，harness 升级后仍能直接适配。
+ */
+html[data-dsh-mobile] [data-dsh-settings] {
+  width: 100vw !important;
+  max-width: 100vw !important;
+  height: 100vh !important;
+  height: 100dvh !important;
+  max-height: 100vh !important;
+  max-height: 100dvh !important;
+  border-radius: 0 !important;
+}
+
+/* 导航栏：横向标签条，可横向滚动 */
+html[data-dsh-mobile] [data-dsh-settings] > nav {
+  display: flex !important;
+  flex-direction: row !important;
+  align-items: center !important;
+  width: 100% !important;
+  flex: none !important;
+  padding: 8px 10px !important;
+  gap: 6px !important;
+  overflow-x: auto !important;
+  -webkit-overflow-scrolling: touch;
+  border-bottom: 1px solid var(--dsw-alias-border-l2, rgba(127,127,127,.18)) !important;
+}
+
+/* 导航标题（设置面板的标题文案）在移动端隐藏，省出空间给标签 */
+html[data-dsh-mobile] [data-dsh-settings] > nav > div:first-child {
+  display: none !important;
+}
+
+/* 导航列表：横向排列、宽度自适应内容 */
+html[data-dsh-mobile] [data-dsh-settings] > nav > div + div {
+  display: flex !important;
+  flex-direction: row !important;
+  width: max-content !important;
+  gap: 6px !important;
+}
+
+/* 导航项：胶囊标签，加大触控目标 */
+html[data-dsh-mobile] [data-dsh-settings] nav button {
+  flex: none !important;
+  height: 36px !important;
+  padding: 0 14px !important;
+  gap: 6px !important;
+  border-radius: 999px !important;
+  white-space: nowrap !important;
+}
+
+/* 内容列：占满剩余空间 */
+html[data-dsh-mobile] [data-dsh-settings] > div {
+  width: 100% !important;
+  flex: 1 1 auto !important;
+  min-width: 0 !important;
+}
+
+/* 顶部 header 的按钮（关闭等）加大触控目标 */
+html[data-dsh-mobile] [data-dsh-settings] > div > div:first-child button {
+  min-width: 36px !important;
+  min-height: 36px !important;
+}
+
+/* 内容区边距收紧，让 section 内容有更多可用宽度 */
+html[data-dsh-mobile] [data-dsh-settings] > div > div:last-child {
+  padding: 0 12px 16px !important;
+}
 `
 
 /* ------------------------------------------------------------------ */
@@ -1190,6 +1275,31 @@ const MOBILE_JS = `
 
   document.documentElement.setAttribute('data-dsh-mobile', '');
 
+  // 标记设置弹窗：原生设置页 = role="dialog" 且首个子元素为 <nav>（双栏弹窗）。
+  // 打上 data-dsh-settings 标记后，上面的移动端 CSS 可精确适配，无需依赖
+  // harness 内部的哈希类名——harness 升级后只要弹窗结构仍是
+  // “dialog 直下 nav + 内容列”，本插件无需修改即可直接适配。
+  function tagSettingsPanel() {
+    var dialogs = document.querySelectorAll('[role="dialog"][aria-modal="true"]');
+    for (var i = 0; i < dialogs.length; i++) {
+      var dlg = dialogs[i];
+      if (dlg.getAttribute('data-dsh-settings') === '1') continue;
+      var kids = dlg.children;
+      var hasNav = false;
+      for (var j = 0; j < kids.length; j++) {
+        if (kids[j].tagName === 'NAV') { hasNav = true; break; }
+      }
+      if (hasNav) dlg.setAttribute('data-dsh-settings', '1');
+    }
+  }
+  tagSettingsPanel();
+  if (typeof MutationObserver !== 'undefined') {
+    // 设置弹窗是动态挂载/卸载的，用 MutationObserver 监听其出现并打标。
+    var obs = new MutationObserver(function () { tagSettingsPanel(); });
+    try { obs.observe(document.documentElement, { childList: true, subtree: true }); } catch (e) {}
+    window.__DSH_MOBILE_REMOTE_SETTINGS_OBSERVER__ = obs;
+  }
+
   // 调试钩子：在控制台暴露状态，便于移动端远程排查。
   window.__DSH_MOBILE_REMOTE_READY__ = {
     mobile: true,

package/lib/password.js

@@ -1,218 +1,218 @@
-// dsh-mobile-remote — 远程访问密码（本模块，host 侧）。
-//
-// 职责：
-//   1. **远程访问密码的本地安全存储与会话管理**。密码由管理员在本机设置面板
-//      设置（本模块路径 ~/.dsh/plugins/dsh-mobile-remote/config.json）。
-//      存储时**只存 scrypt 哈希 + 随机盐**，绝不落盘明文。
-//   2. **认证会话**：远程访问者输入正确密码后，向浏览器下发一个随机 token，
-//      host 侧在内存中维护该 token 的过期时间；后续带有效 token 的请求视为
-//      已认证，无需重复输入。
-//
-// 设计要点（通用 / 可自托管）：
-//   - 完全本地，**不依赖任何中转后端**（dsh-update-server / frps / frpc）。
-//     任何部署者——包括自建中转服务的用户——都能用本模块给远程访问加密码。
-//   - 全部使用 Node 内置 crypto，零第三方依赖。
-//   - 校验采用 timingSafeEqual，避免时序攻击；登录做简单频率限制防爆破。
-
-import { randomBytes, scryptSync, timingSafeEqual, createHash } from 'node:crypto'
-import { homedir } from 'node:os'
-import { join } from 'node:path'
-import { existsSync, readFileSync, writeFileSync, mkdirSync, rmSync } from 'node:fs'
-
-/** 本模块配置目录（与 external.js 的 externalDir 同级，放 config.json）。 */
-function configDir() {
-  const home = process.env.DSH_HOME || join(homedir(), '.dsh')
-  return join(home, 'plugins', 'dsh-mobile-remote')
-}
-
-/** 配置文件绝对路径。 */
-function configFilePath() {
-  return join(configDir(), 'config.json')
-}
-
-/** scrypt 派生参数（成本因子，本机校验，取适中值保证安全与速度平衡）。 */
-const SCRYPT_N = 16384
-const SCRYPT_R = 8
-const SCRYPT_P = 1
-const KEY_LEN = 32
-
-/** 会话有效期（毫秒）：认证通过后的一段时间内免重复输入。 */
-const SESSION_TTL = 24 * 60 * 60 * 1000 // 24h
-
-/** 登录防爆破：同一 IP 连续失败上限与封禁窗口。 */
-const MAX_ATTEMPTS = 8
-const LOCK_WINDOW = 10 * 60 * 1000 // 10 分钟
-
-/* ------------------------------------------------------------------ */
-/* 底层读写                                                             */
-/* ------------------------------------------------------------------ */
-
-function readRawConfig() {
-  try {
-    const file = configFilePath()
-    if (!existsSync(file)) return {}
-    return JSON.parse(readFileSync(file, 'utf8'))
-  } catch {
-    return {}
-  }
-}
-
-function writeRawConfig(obj) {
-  mkdirSync(configDir(), { recursive: true })
-  writeFileSync(configFilePath(), JSON.stringify(obj, null, 2), 'utf8')
-}
-
-/* ------------------------------------------------------------------ */
-/* 密码设置 / 校验                                                      */
-/* ------------------------------------------------------------------ */
-
-/**
- * 推导口令哈希。scrypt(password, salt, KEY_LEN, { N, r, p })。
- * 用 HMAC 风格再叠加一个本地 pepper 常量，避免直接逆向比对（可选增强）。
- */
-function derive(password, salt) {
-  return scryptSync(String(password), Buffer.from(salt, 'hex'), KEY_LEN, {
-    N: SCRYPT_N, r: SCRYPT_R, p: SCRYPT_P,
-  })
-}
-
-/** 判断是否已设置远程访问密码。 */
-export function hasPassword() {
-  const cfg = readRawConfig()
-  return !!(cfg && cfg.pwdHash && cfg.pwdSalt)
-}
-
-/**
- * 校验口令是否正确。返回 boolean。使用 timingSafeEqual 防时序攻击。
- * @param {string} password
- */
-export function verifyPassword(password) {
-  const cfg = readRawConfig()
-  if (!cfg || !cfg.pwdHash || !cfg.pwdSalt) return false
-  if (typeof password !== 'string' || !password) return false
-  try {
-    const expected = Buffer.from(cfg.pwdHash, 'hex')
-    const actual = derive(password, cfg.pwdSalt)
-    if (expected.length !== actual.length) return false
-    return timingSafeEqual(expected, actual)
-  } catch {
-    return false
-  }
-}
-
-/**
- * 设置 / 修改远程访问密码。未传或为空表示清除密码（关闭门禁）。
- * 仅存哈希 + 盐，绝不落盘明文。
- * @param {string|null} password
- */
-export function setPassword(password) {
-  const cfg = readRawConfig()
-  if (!password) {
-    delete cfg.pwdHash
-    delete cfg.pwdSalt
-    // 清除密码的同时清空所有已签发会话
-    sessions.clear()
-    // 兼容旧字段
-    delete cfg.pwdSetAt
-    writeRawConfig(cfg)
-    return { ok: true, enabled: false }
-  }
-  const salt = randomBytes(16).toString('hex')
-  const hash = derive(password, salt).toString('hex')
-  cfg.pwdHash = hash
-  cfg.pwdSalt = salt
-  cfg.pwdSetAt = new Date().toISOString()
-  // 修改密码后旧会话全部失效
-  sessions.clear()
-  writeRawConfig(cfg)
-  return { ok: true, enabled: true }
-}
-
-/** 是否启用远程访问密码门禁。 */
-export function isEnabled() {
-  return hasPassword()
-}
-
-/* ------------------------------------------------------------------ */
-/* 认证会话（内存）                                                     */
-/* ------------------------------------------------------------------ */
-
-const sessions = new Map() // token -> expiry(ms)
-
-/** 清掉所有会话（改密 / 重启时调用）。 */
-export function clearSessions() {
-  sessions.clear()
-}
-
-/** 签发一个会话 token。 */
-function issueToken() {
-  return randomBytes(24).toString('base64url')
-}
-
-/**
- * 校验口令并签发会话 token（若需要）。成功返回 { ok:true, token }；
- * 失败返回 { ok:false, error }。
- * @param {string} password
- * @param {string} [clientIp] 用于防爆破计数
- */
-export function login(password, clientIp) {
-  const ip = clientIp || 'unknown'
-  if (!hasPassword()) {
-    return { ok: false, error: '远程访问密码尚未设置' }
-  }
-  if (isLocked(ip)) {
-    return { ok: false, error: '尝试次数过多，请稍后再试' }
-  }
-  if (!verifyPassword(password)) {
-    registerFailure(ip)
-    return { ok: false, error: '密码错误' }
-  }
-  clearFailures(ip)
-  const token = issueToken()
-  sessions.set(token, Date.now() + SESSION_TTL)
-  return { ok: true, token }
-}
-
-/** 校验一个会话 token 是否有效（未过期）。 */
-export function verifyToken(token) {
-  if (!token || typeof token !== 'string') return false
-  const exp = sessions.get(token)
-  if (!exp) return false
-  if (Date.now() > exp) {
-    sessions.delete(token)
-    return false
-  }
-  return true
-}
-
-/** 移除一个会话 token（登出）。 */
-export function revokeToken(token) {
-  if (token) sessions.delete(token)
-}
-
-/* ------------------------------------------------------------------ */
-/* 防爆破（按 IP）                                                      */
-/* ------------------------------------------------------------------ */
-
-const attempts = new Map() // ip -> { count, lockUntil }
-
-function isLocked(ip) {
-  const a = attempts.get(ip)
-  return a ? (a.lockUntil && Date.now() < a.lockUntil) : false
-}
-
-function registerFailure(ip) {
-  const now = Date.now()
-  const prev = attempts.get(ip)
-  let count = prev ? prev.count : 0
-  count += 1
-  if (count >= MAX_ATTEMPTS) {
-    attempts.set(ip, { count, lockUntil: now + LOCK_WINDOW })
-  } else {
-    attempts.set(ip, { count })
-  }
-}
-
-function clearFailures(ip) {
-  attempts.delete(ip)
-}
+// dsh-mobile-remote — 远程访问密码（本模块，host 侧）。
+//
+// 职责：
+//   1. **远程访问密码的本地安全存储与会话管理**。密码由管理员在本机设置面板
+//      设置（本模块路径 ~/.dsh/plugins/dsh-mobile-remote/config.json）。
+//      存储时**只存 scrypt 哈希 + 随机盐**，绝不落盘明文。
+//   2. **认证会话**：远程访问者输入正确密码后，向浏览器下发一个随机 token，
+//      host 侧在内存中维护该 token 的过期时间；后续带有效 token 的请求视为
+//      已认证，无需重复输入。
+//
+// 设计要点（通用 / 可自托管）：
+//   - 完全本地，**不依赖任何中转后端**（dsh-update-server / frps / frpc）。
+//     任何部署者——包括自建中转服务的用户——都能用本模块给远程访问加密码。
+//   - 全部使用 Node 内置 crypto，零第三方依赖。
+//   - 校验采用 timingSafeEqual，避免时序攻击；登录做简单频率限制防爆破。
+
+import { randomBytes, scryptSync, timingSafeEqual, createHash } from 'node:crypto'
+import { homedir } from 'node:os'
+import { join } from 'node:path'
+import { existsSync, readFileSync, writeFileSync, mkdirSync, rmSync } from 'node:fs'
+
+/** 本模块配置目录（与 external.js 的 externalDir 同级，放 config.json）。 */
+function configDir() {
+  const home = process.env.DSH_HOME || join(homedir(), '.dsh')
+  return join(home, 'plugins', 'dsh-mobile-remote')
+}
+
+/** 配置文件绝对路径。 */
+function configFilePath() {
+  return join(configDir(), 'config.json')
+}
+
+/** scrypt 派生参数（成本因子，本机校验，取适中值保证安全与速度平衡）。 */
+const SCRYPT_N = 16384
+const SCRYPT_R = 8
+const SCRYPT_P = 1
+const KEY_LEN = 32
+
+/** 会话有效期（毫秒）：认证通过后的一段时间内免重复输入。 */
+const SESSION_TTL = 24 * 60 * 60 * 1000 // 24h
+
+/** 登录防爆破：同一 IP 连续失败上限与封禁窗口。 */
+const MAX_ATTEMPTS = 8
+const LOCK_WINDOW = 10 * 60 * 1000 // 10 分钟
+
+/* ------------------------------------------------------------------ */
+/* 底层读写                                                             */
+/* ------------------------------------------------------------------ */
+
+function readRawConfig() {
+  try {
+    const file = configFilePath()
+    if (!existsSync(file)) return {}
+    return JSON.parse(readFileSync(file, 'utf8'))
+  } catch {
+    return {}
+  }
+}
+
+function writeRawConfig(obj) {
+  mkdirSync(configDir(), { recursive: true })
+  writeFileSync(configFilePath(), JSON.stringify(obj, null, 2), 'utf8')
+}
+
+/* ------------------------------------------------------------------ */
+/* 密码设置 / 校验                                                      */
+/* ------------------------------------------------------------------ */
+
+/**
+ * 推导口令哈希。scrypt(password, salt, KEY_LEN, { N, r, p })。
+ * 用 HMAC 风格再叠加一个本地 pepper 常量，避免直接逆向比对（可选增强）。
+ */
+function derive(password, salt) {
+  return scryptSync(String(password), Buffer.from(salt, 'hex'), KEY_LEN, {
+    N: SCRYPT_N, r: SCRYPT_R, p: SCRYPT_P,
+  })
+}
+
+/** 判断是否已设置远程访问密码。 */
+export function hasPassword() {
+  const cfg = readRawConfig()
+  return !!(cfg && cfg.pwdHash && cfg.pwdSalt)
+}
+
+/**
+ * 校验口令是否正确。返回 boolean。使用 timingSafeEqual 防时序攻击。
+ * @param {string} password
+ */
+export function verifyPassword(password) {
+  const cfg = readRawConfig()
+  if (!cfg || !cfg.pwdHash || !cfg.pwdSalt) return false
+  if (typeof password !== 'string' || !password) return false
+  try {
+    const expected = Buffer.from(cfg.pwdHash, 'hex')
+    const actual = derive(password, cfg.pwdSalt)
+    if (expected.length !== actual.length) return false
+    return timingSafeEqual(expected, actual)
+  } catch {
+    return false
+  }
+}
+
+/**
+ * 设置 / 修改远程访问密码。未传或为空表示清除密码（关闭门禁）。
+ * 仅存哈希 + 盐，绝不落盘明文。
+ * @param {string|null} password
+ */
+export function setPassword(password) {
+  const cfg = readRawConfig()
+  if (!password) {
+    delete cfg.pwdHash
+    delete cfg.pwdSalt
+    // 清除密码的同时清空所有已签发会话
+    sessions.clear()
+    // 兼容旧字段
+    delete cfg.pwdSetAt
+    writeRawConfig(cfg)
+    return { ok: true, enabled: false }
+  }
+  const salt = randomBytes(16).toString('hex')
+  const hash = derive(password, salt).toString('hex')
+  cfg.pwdHash = hash
+  cfg.pwdSalt = salt
+  cfg.pwdSetAt = new Date().toISOString()
+  // 修改密码后旧会话全部失效
+  sessions.clear()
+  writeRawConfig(cfg)
+  return { ok: true, enabled: true }
+}
+
+/** 是否启用远程访问密码门禁。 */
+export function isEnabled() {
+  return hasPassword()
+}
+
+/* ------------------------------------------------------------------ */
+/* 认证会话（内存）                                                     */
+/* ------------------------------------------------------------------ */
+
+const sessions = new Map() // token -> expiry(ms)
+
+/** 清掉所有会话（改密 / 重启时调用）。 */
+export function clearSessions() {
+  sessions.clear()
+}
+
+/** 签发一个会话 token。 */
+function issueToken() {
+  return randomBytes(24).toString('base64url')
+}
+
+/**
+ * 校验口令并签发会话 token（若需要）。成功返回 { ok:true, token }；
+ * 失败返回 { ok:false, error }。
+ * @param {string} password
+ * @param {string} [clientIp] 用于防爆破计数
+ */
+export function login(password, clientIp) {
+  const ip = clientIp || 'unknown'
+  if (!hasPassword()) {
+    return { ok: false, error: '远程访问密码尚未设置' }
+  }
+  if (isLocked(ip)) {
+    return { ok: false, error: '尝试次数过多，请稍后再试' }
+  }
+  if (!verifyPassword(password)) {
+    registerFailure(ip)
+    return { ok: false, error: '密码错误' }
+  }
+  clearFailures(ip)
+  const token = issueToken()
+  sessions.set(token, Date.now() + SESSION_TTL)
+  return { ok: true, token }
+}
+
+/** 校验一个会话 token 是否有效（未过期）。 */
+export function verifyToken(token) {
+  if (!token || typeof token !== 'string') return false
+  const exp = sessions.get(token)
+  if (!exp) return false
+  if (Date.now() > exp) {
+    sessions.delete(token)
+    return false
+  }
+  return true
+}
+
+/** 移除一个会话 token（登出）。 */
+export function revokeToken(token) {
+  if (token) sessions.delete(token)
+}
+
+/* ------------------------------------------------------------------ */
+/* 防爆破（按 IP）                                                      */
+/* ------------------------------------------------------------------ */
+
+const attempts = new Map() // ip -> { count, lockUntil }
+
+function isLocked(ip) {
+  const a = attempts.get(ip)
+  return a ? (a.lockUntil && Date.now() < a.lockUntil) : false
+}
+
+function registerFailure(ip) {
+  const now = Date.now()
+  const prev = attempts.get(ip)
+  let count = prev ? prev.count : 0
+  count += 1
+  if (count >= MAX_ATTEMPTS) {
+    attempts.set(ip, { count, lockUntil: now + LOCK_WINDOW })
+  } else {
+    attempts.set(ip, { count })
+  }
+}
+
+function clearFailures(ip) {
+  attempts.delete(ip)
+}