@feiyang666/dsh-mobile-remote 1.7.1 → 1.9.0

package/lib/external.js

@@ -24,6 +24,7 @@ import {
 } from 'node:fs'
 import { spawn } from 'node:child_process'
 import { createWsStatusClient } from './ws-client.js'
+import { ensureTrustedAuthority } from './patch.js'
 
 /** 默认中转服务地址（自建 dsh-update-server，Nginx 反代 443→3200，对外无端口）。
  *  可用 DSH_REMOTE_SERVER 覆盖。 */
@@ -192,44 +193,22 @@ async function downloadFrpc(base) {
 }
 
 /**
- * 写 profile 的 connection trustedHosts，放行外网域名。
+ * 放行外网域名（加入受管区域的 connection.trustedHosts）。
+ *
+ * 旧实现写的是 `trustedHosts: !!js "['域名', ...ctx.webRuntime.trustedHosts]"`，
+ * 但 dsh 0.1.7 / 0.2.x 的 `webStartup` 服务（见 dsh-web-app/lib/startup.js）只提供
+ * `openBrowser / host / port / trustedHosts`，**并不存在 `webRuntime`**。该表达式
+ * 因此会抛错或求值成一个对象而非数组，被 connection 的 `z.array(String)` 拒绝，
+ * 信任围栏等于从未真正放行——这正是「外网/局域网能打开页面但功能全 403」的根因。
+ *
+ * 现在改为由 lib/patch.js 统一维护：写出真实的字符串数组，并与 webserver 开关
+ * 同处一个受管区域，避免多次追加产生冲突块。
  * @param {string} patchFile - profile 的 cordis.patch.yml 绝对路径
  * @param {string} domain - 外网域名（不带端口）
  * @returns {boolean}
  */
-/**
- * 写 profile 的 connection trustedHosts，放行外网域名。
- * 必须使用 loader 中的正确插件 id `connection`，并用 !!js 表达式保留
- * webRuntime 自动推导的 LAN/CLI trusted hosts，否则 patch 不生效 / 覆盖损坏。
- */
 function ensureTrustedHost(patchFile, domain) {
-  let content = existsSync(patchFile) ? readFileSync(patchFile, 'utf8') : ''
-  // 移除官方模板的空数组占位行 `[]`（与 index.js setPatchEnabled 同理）：
-  // 它单独构成一个 YAML 文档，与追加的列表块拼接会形成无分隔符的多文档流，
-  // js-yaml 解析报 "end of the stream or a document separator is expected"。
-  content = content.replace(/^\s*\[\s*\]\s*$/gm, '')
-  // 1) 清理旧的错误块（id: client-connection 或旧格式的纯数组），避免堆积/语法冲突
-  content = content.replace(/\n*(# --- dsh-mobile-remote external trusted-host ---)\n[\s\S]*?(# --- end dsh-mobile-remote external trusted-host ---)\n*/g, '\n')
-  content = content.replace(/\n{3,}/g, '\n\n').replace(/\s*$/, '\n')
-  // 2) 若已含目标域名的正确配置则直接返回
-  if (content.includes(`'${domain}'`)) return true
-  // 3) 追加正确块：id=connection + !!js 表达式（保留 webRuntime.trustedHosts）
-  // 注意：dsh-app-boot 的 entryListSchema（js-yaml JSON_SCHEMA + JsExpr）中 !!js 为
-  // scalar kind，只能修饰标量字符串。若直接写在 flow sequence 前（!!js [...]），
-  // js-yaml 会报 `unknown tag !<tag:yaml.org,2002:js>`，导致 profile 无法启动。
-  // 因此表达式必须用双引号包成 YAML 标量，loader 求值时再还原为数组。
-  const block = [
-    '',
-    '# --- dsh-mobile-remote external trusted-host ---',
-    '- id: connection',
-    '  config:',
-    `    trustedHosts: !!js "['${domain}', ...ctx.webRuntime.trustedHosts]"`,
-    '# --- end dsh-mobile-remote external trusted-host ---',
-    '',
-  ]
-  const next = (content + '\n' + block.join('\n')).replace(/\n{3,}/g, '\n\n').replace(/\s*$/, '\n')
-  writeFileSync(patchFile, next, 'utf8')
-  return true
+  return ensureTrustedAuthority(patchFile, domain)
 }
 
 /** frpc 进程 pid 文件路径（用于清理残留实例，避免多进程抢同一代理名）。 */
@@ -395,7 +374,10 @@ async function startExternal(state, body, patchFile, defaultLocalPort) {
 }
 
 async function startExternalInner(state, body, patchFile, defaultLocalPort) {
-  const data = await bindToServer(body, Number((body && body.localPort) || defaultLocalPort))
+  // 端口优先级：调用方显式指定 > 当前真实监听端口。
+  // 不再让过期的持久化 localPort 覆盖当前端口（否则 frpc 会转发到无人监听的端口）。
+  const localPort = Number((body && body.localPort) || defaultLocalPort || 0)
+  const data = await bindToServer(body, localPort)
   const base = serverBase(body)
   const domain = data.externalDomain
     || String(data.externalUrl || '').replace(/^https?:\/\//, '').split(':')[0]
@@ -419,7 +401,17 @@ async function startExternalInner(state, body, patchFile, defaultLocalPort) {
 
   // 2) 写 frpc.toml（含 loginFailExit=false 与回环地址覆写）
   const cfgPath = frpcConfigPath()
-  writeFileSync(cfgPath, finalizeFrpcConfig(data.frpcConfig), 'utf8')
+  const frpcConfig = finalizeFrpcConfig(data.frpcConfig)
+  // 防线：确认代理确实指向当前监听端口。错配时 frpc 会连不上本地服务，
+  // 表现为外网域名 502 Bad Gateway（日志：connect to local service ... refused）。
+  if (localPort) {
+    const m = /localPort\s*=\s*(\d+)/.exec(frpcConfig)
+    const proxyPort = m ? Number(m[1]) : 0
+    if (proxyPort && proxyPort !== localPort) {
+      throw new Error(`frpc 配置的 localPort=${proxyPort} 与当前监听端口 ${localPort} 不一致，已中止以避免外网 502`)
+    }
+  }
+  writeFileSync(cfgPath, frpcConfig, 'utf8')
 
   // 2.5) 清理残留旧 frpc 实例，避免多个进程抢同一代理名（proxy already exists）
   killStaleFrpc()
@@ -480,7 +472,7 @@ async function startExternalInner(state, body, patchFile, defaultLocalPort) {
       // 记录实际生效的绑定参数并持久化，dsh 重启后由 autoRestoreExternal 自动恢复
       state.bindCode = (body && body.bindCode) || state.bindCode || ''
       state.serverBase = base
-      state.localPort = Number((body && body.localPort) || defaultLocalPort)
+      state.localPort = localPort
       savePersistedState(state)
       // 建立 WS 长连接接收隧道状态推送（替代每 5s HTTP 轮询中转服务器）；
       // ws 依赖缺失（离线安装）时 wsClient.connect() 自动 no-op，心跳走 HTTP 兜底
@@ -613,12 +605,22 @@ async function autoRestoreExternal(state, patchFile, defaultLocalPort) {
   const saved = loadPersistedState()
   if (!saved) return
   try {
+    // 端口以「当前真实监听端口」为准。
+    // 持久化的 localPort 可能来自上一次运行（例如默认 3080，或用户改过 --port），
+    // 若直接当成显式端口传下去，会覆盖当前端口，让 frpc 转发到一个没人监听的
+    // 端口上——表现为外网域名 502 Bad Gateway（frpc 日志：connect to local
+    // service 127.0.0.1:3080 refused）。这里只沿用与当前端口一致的旧值，
+    // 不一致时改用当前端口。
+    const live = Number(defaultLocalPort) || 0
+    const stale = Number(saved.localPort) || 0
     const body = {
       bindCode: saved.bindCode,
       serverBase: saved.serverBase || undefined,
-      localPort: saved.localPort,
     }
-    await startExternal(state, body, patchFile, defaultLocalPort)
+    if (stale && live && stale !== live) {
+      state.lastLog = `检测到端口变化（持久化 ${stale} → 当前 ${live}），外网隧道已改用当前端口`
+    }
+    await startExternal(state, body, patchFile, live || stale)
   } catch (e) {
     state.status = 'error'
     state.error = `自动恢复外网访问失败：${String((e && e.message) || e)}`