@feiyang666/dsh-mobile-remote 1.9.0 → 2.0.0

package/lib/lanproxy.js

@@ -59,6 +59,12 @@ export function createLanProxy(options = {}) {
   let listenPort = 0
   /** 转发目标端口（宿主端口；监听建立前就已确定，避免启动窗口内 503）。 */
   let targetPort = 0
+  /**
+   * 转发目标地址。宿主可能只绑定了某块局域网网卡（例如官方桌面端用
+   * `--host 192.168.x.x` 启动），此时 127.0.0.1 上没有任何监听，转发必须打到
+   * 宿主真实绑定的那块网卡，否则旁挂听众自己也会 502。
+   */
+  let upstreamHost = '127.0.0.1'
   /** 当前对外提供的局域网地址列表。 */
   let hosts = []
   /** 每次 start/stop 递增，用于丢弃过期的启动结果。 */
@@ -68,6 +74,7 @@ export function createLanProxy(options = {}) {
     running: listeners.length > 0,
     hosts: hosts.slice(),
     port: listenPort,
+    upstream: `${upstreamHost}:${listenPort || targetPort || 0}`,
   })
 
   function targetPortOf() {
@@ -92,7 +99,7 @@ export function createLanProxy(options = {}) {
     headers['x-forwarded-proto'] = 'http'
     if (realHost) headers['x-forwarded-host'] = realHost
     const upstream = http.request({
-      host: '127.0.0.1',
+      host: upstreamHost,
       port,
       method: req.method,
       path: req.url,
@@ -125,7 +132,7 @@ export function createLanProxy(options = {}) {
     headers['x-forwarded-proto'] = 'http'
     if (realHost) headers['x-forwarded-host'] = realHost
 
-    const upstream = net.connect(port, '127.0.0.1', () => {
+    const upstream = net.connect(port, upstreamHost, () => {
       const lines = [`${req.method || 'GET'} ${req.url || '/'} HTTP/1.1`]
       for (const [key, value] of Object.entries(headers)) {
         if (value === undefined) continue
@@ -172,21 +179,37 @@ export function createLanProxy(options = {}) {
    * 在给定局域网地址上开启监听。
    * @param {string[]} lanHosts - 局域网 IPv4 列表（按优先级排序）
    * @param {number} port - 宿主当前监听端口
-   * @returns {Promise<{running: boolean, hosts: string[], port: number, failures: Array<{host: string, error: string}>}>}
+   * @param {{upstreamHost?: string, skipHosts?: string[]}} [startOptions]
+   *   upstreamHost：转发目标（宿主真实监听的地址，未绑回环时是网卡 IP）；
+   *   skipHosts：宿主已经自己占用的地址（旁挂听众不能再绑，否则 EADDRINUSE）。
+   * @returns {Promise<{running: boolean, hosts: string[], port: number, upstream: string, failures: Array<{host: string, error: string}>}>}
    */
-  async function start(lanHosts, port) {
-    const wanted = [...new Set((lanHosts || []).filter(Boolean))]
+  async function start(lanHosts, port, startOptions = {}) {
+    const skip = new Set((startOptions.skipHosts || []).filter(Boolean))
+    const wanted = [...new Set((lanHosts || []).filter((h) => h && !skip.has(h)))]
+    const nextUpstream = String(startOptions.upstreamHost || '127.0.0.1')
     if (!wanted.length) {
-      return { running: false, hosts: [], port: 0, failures: [{ host: '', error: '没有可用的局域网 IPv4 地址' }] }
+      return {
+        running: false,
+        hosts: [],
+        port: 0,
+        upstream: `${nextUpstream}:${port || 0}`,
+        failures: [],
+        skipped: [...skip],
+      }
     }
-    if (listeners.length > 0 && listenPort === port && hosts.join(',') === wanted.join(',')) {
-      return { running: true, hosts: hosts.slice(), port: listenPort, failures: [] }
+    if (
+      listeners.length > 0 && listenPort === port && upstreamHost === nextUpstream
+      && hosts.join(',') === wanted.join(',')
+    ) {
+      return { running: true, hosts: hosts.slice(), port: listenPort, upstream: state().upstream, failures: [] }
     }
     await stop()
     // stop() 已推进代次；此刻记录本轮的代次，后续任何 stop() 都会让它过期
     const mark = generation
     // 先确定转发目标：监听建立期间到达的请求也能正确转发
     targetPort = port
+    upstreamHost = nextUpstream
     const opened = []
     const failures = []
     for (const host of wanted) {
@@ -201,13 +224,19 @@ export function createLanProxy(options = {}) {
       for (const item of opened) { try { item.server.close() } catch { /* ignore */ } }
       return state().running
         ? { ...state(), failures }
-        : { running: false, hosts: [], port: 0, failures }
+        : { running: false, hosts: [], port: 0, upstream: `${nextUpstream}:${port || 0}`, failures }
     }
     listeners = opened
     listenPort = opened.length > 0 ? port : 0
     hosts = opened.map((item) => item.host)
     if (!opened.length) log('lan proxy: no listener could bind', failures)
-    return { running: opened.length > 0, hosts: hosts.slice(), port: listenPort, failures }
+    return {
+      running: opened.length > 0,
+      hosts: hosts.slice(),
+      port: listenPort,
+      upstream: `${nextUpstream}:${listenPort || port || 0}`,
+      failures,
+    }
   }
 
   /** 关闭全部监听。 */
@@ -217,6 +246,7 @@ export function createLanProxy(options = {}) {
     listeners = []
     listenPort = 0
     targetPort = 0
+    upstreamHost = '127.0.0.1'
     hosts = []
     await Promise.all(closing.map(({ server }) => new Promise((resolve) => {
       try { server.close(() => resolve()) } catch { resolve() }

package/lib/password.js

@@ -1,245 +1,245 @@
-// dsh-mobile-remote — 远程访问密码（本模块，host 侧）。
-//
-// 职责：
-//   1. **远程访问密码的本地安全存储与会话管理**。密码由管理员在本机设置面板
-//      设置（本模块路径 ~/.dsh/plugins/dsh-mobile-remote/config.json）。
-//      存储时**只存 scrypt 哈希 + 随机盐**，绝不落盘明文。
-//   2. **认证会话**：远程访问者输入正确密码后，向浏览器下发一个随机 token，
-//      host 侧在内存中维护该 token 的过期时间；后续带有效 token 的请求视为
-//      已认证，无需重复输入。
-//
-// 设计要点（通用 / 可自托管）：
-//   - 完全本地，**不依赖任何中转后端**（dsh-update-server / frps / frpc）。
-//     任何部署者——包括自建中转服务的用户——都能用本模块给远程访问加密码。
-//   - 全部使用 Node 内置 crypto，零第三方依赖。
-//   - 校验采用 timingSafeEqual，避免时序攻击；登录做简单频率限制防爆破。
-
-import { randomBytes, scryptSync, timingSafeEqual, createHash } from 'node:crypto'
-import { homedir } from 'node:os'
-import { join } from 'node:path'
-import { existsSync, readFileSync, writeFileSync, mkdirSync, rmSync } from 'node:fs'
-
-/** 本模块配置目录（与 external.js 的 externalDir 同级，放 config.json）。 */
-function configDir() {
-  const home = process.env.DSH_HOME || join(homedir(), '.dsh')
-  return join(home, 'plugins', 'dsh-mobile-remote')
-}
-
-/** 配置文件绝对路径。 */
-function configFilePath() {
-  return join(configDir(), 'config.json')
-}
-
-/** scrypt 派生参数（成本因子，本机校验，取适中值保证安全与速度平衡）。 */
-const SCRYPT_N = 16384
-const SCRYPT_R = 8
-const SCRYPT_P = 1
-const KEY_LEN = 32
-
-/** 会话有效期（毫秒）：认证通过后的一段时间内免重复输入。 */
-const SESSION_TTL = 24 * 60 * 60 * 1000 // 24h
-
-/** 登录防爆破：同一 IP 连续失败上限与封禁窗口。 */
-const MAX_ATTEMPTS = 8
-const LOCK_WINDOW = 10 * 60 * 1000 // 10 分钟
-
-/* ------------------------------------------------------------------ */
-/* 底层读写                                                             */
-/* ------------------------------------------------------------------ */
-
-function readRawConfig() {
-  try {
-    const file = configFilePath()
-    if (!existsSync(file)) return {}
-    return JSON.parse(readFileSync(file, 'utf8'))
-  } catch {
-    return {}
-  }
-}
-
-function writeRawConfig(obj) {
-  mkdirSync(configDir(), { recursive: true })
-  writeFileSync(configFilePath(), JSON.stringify(obj, null, 2), 'utf8')
-}
-
-/* ------------------------------------------------------------------ */
-/* 密码设置 / 校验                                                      */
-/* ------------------------------------------------------------------ */
-
-/**
- * 推导口令哈希。scrypt(password, salt, KEY_LEN, { N, r, p })。
- * 用 HMAC 风格再叠加一个本地 pepper 常量，避免直接逆向比对（可选增强）。
- */
-function derive(password, salt) {
-  return scryptSync(String(password), Buffer.from(salt, 'hex'), KEY_LEN, {
-    N: SCRYPT_N, r: SCRYPT_R, p: SCRYPT_P,
-  })
-}
-
-/** 判断是否已设置远程访问密码。 */
-export function hasPassword() {
-  const cfg = readRawConfig()
-  return !!(cfg && cfg.pwdHash && cfg.pwdSalt)
-}
-
-/**
- * 校验口令是否正确。返回 boolean。使用 timingSafeEqual 防时序攻击。
- * @param {string} password
- */
-export function verifyPassword(password) {
-  const cfg = readRawConfig()
-  if (!cfg || !cfg.pwdHash || !cfg.pwdSalt) return false
-  if (typeof password !== 'string' || !password) return false
-  try {
-    const expected = Buffer.from(cfg.pwdHash, 'hex')
-    const actual = derive(password, cfg.pwdSalt)
-    if (expected.length !== actual.length) return false
-    return timingSafeEqual(expected, actual)
-  } catch {
-    return false
-  }
-}
-
-/**
- * 设置 / 修改远程访问密码。未传或为空表示清除密码（关闭门禁）。
- * 仅存哈希 + 盐，绝不落盘明文。
- * @param {string|null} password
- */
-export function setPassword(password) {
-  const cfg = readRawConfig()
-  if (!password) {
-    delete cfg.pwdHash
-    delete cfg.pwdSalt
-    // 清除密码的同时清空所有已签发会话
-    sessions.clear()
-    // 兼容旧字段
-    delete cfg.pwdSetAt
-    writeRawConfig(cfg)
-    return { ok: true, enabled: false }
-  }
-  const salt = randomBytes(16).toString('hex')
-  const hash = derive(password, salt).toString('hex')
-  cfg.pwdHash = hash
-  cfg.pwdSalt = salt
-  cfg.pwdSetAt = new Date().toISOString()
-  // 修改密码后旧会话全部失效
-  sessions.clear()
-  writeRawConfig(cfg)
-  return { ok: true, enabled: true }
-}
-
-/** 是否启用远程访问密码门禁。 */
-export function isEnabled() {
-  return hasPassword()
-}
-
-/* ------------------------------------------------------------------ */
-/* 插件本地配置（与密码共用 config.json，未知字段原样保留）              */
-/* ------------------------------------------------------------------ */
-
-/**
- * 读取插件配置里的一个值（不存在返回 fallback）。
- * @param {string} key
- * @param {*} [fallback]
- */
-export function getSetting(key, fallback = null) {
-  const cfg = readRawConfig()
-  return Object.prototype.hasOwnProperty.call(cfg, key) ? cfg[key] : fallback
-}
-
-/**
- * 写入插件配置里的一个值（保留其它字段，例如密码哈希）。
- * @param {string} key
- * @param {*} value
- */
-export function setSetting(key, value) {
-  const cfg = readRawConfig()
-  if (value === undefined) delete cfg[key]
-  else cfg[key] = value
-  writeRawConfig(cfg)
-  return value
-}
-
-/* ------------------------------------------------------------------ */
-/* 认证会话（内存）                                                     */
-/* ------------------------------------------------------------------ */
-
-const sessions = new Map() // token -> expiry(ms)
-
-/** 清掉所有会话（改密 / 重启时调用）。 */
-export function clearSessions() {
-  sessions.clear()
-}
-
-/** 签发一个会话 token。 */
-function issueToken() {
-  return randomBytes(24).toString('base64url')
-}
-
-/**
- * 校验口令并签发会话 token（若需要）。成功返回 { ok:true, token }；
- * 失败返回 { ok:false, error }。
- * @param {string} password
- * @param {string} [clientIp] 用于防爆破计数
- */
-export function login(password, clientIp) {
-  const ip = clientIp || 'unknown'
-  if (!hasPassword()) {
-    return { ok: false, error: '远程访问密码尚未设置' }
-  }
-  if (isLocked(ip)) {
-    return { ok: false, error: '尝试次数过多，请稍后再试' }
-  }
-  if (!verifyPassword(password)) {
-    registerFailure(ip)
-    return { ok: false, error: '密码错误' }
-  }
-  clearFailures(ip)
-  const token = issueToken()
-  sessions.set(token, Date.now() + SESSION_TTL)
-  return { ok: true, token }
-}
-
-/** 校验一个会话 token 是否有效（未过期）。 */
-export function verifyToken(token) {
-  if (!token || typeof token !== 'string') return false
-  const exp = sessions.get(token)
-  if (!exp) return false
-  if (Date.now() > exp) {
-    sessions.delete(token)
-    return false
-  }
-  return true
-}
-
-/** 移除一个会话 token（登出）。 */
-export function revokeToken(token) {
-  if (token) sessions.delete(token)
-}
-
-/* ------------------------------------------------------------------ */
-/* 防爆破（按 IP）                                                      */
-/* ------------------------------------------------------------------ */
-
-const attempts = new Map() // ip -> { count, lockUntil }
-
-function isLocked(ip) {
-  const a = attempts.get(ip)
-  return a ? (a.lockUntil && Date.now() < a.lockUntil) : false
-}
-
-function registerFailure(ip) {
-  const now = Date.now()
-  const prev = attempts.get(ip)
-  let count = prev ? prev.count : 0
-  count += 1
-  if (count >= MAX_ATTEMPTS) {
-    attempts.set(ip, { count, lockUntil: now + LOCK_WINDOW })
-  } else {
-    attempts.set(ip, { count })
-  }
-}
-
-function clearFailures(ip) {
-  attempts.delete(ip)
-}
+// dsh-mobile-remote — 远程访问密码（本模块，host 侧）。
+//
+// 职责：
+//   1. **远程访问密码的本地安全存储与会话管理**。密码由管理员在本机设置面板
+//      设置（本模块路径 ~/.dsh/plugins/dsh-mobile-remote/config.json）。
+//      存储时**只存 scrypt 哈希 + 随机盐**，绝不落盘明文。
+//   2. **认证会话**：远程访问者输入正确密码后，向浏览器下发一个随机 token，
+//      host 侧在内存中维护该 token 的过期时间；后续带有效 token 的请求视为
+//      已认证，无需重复输入。
+//
+// 设计要点（通用 / 可自托管）：
+//   - 完全本地，**不依赖任何中转后端**（dsh-update-server / frps / frpc）。
+//     任何部署者——包括自建中转服务的用户——都能用本模块给远程访问加密码。
+//   - 全部使用 Node 内置 crypto，零第三方依赖。
+//   - 校验采用 timingSafeEqual，避免时序攻击；登录做简单频率限制防爆破。
+
+import { randomBytes, scryptSync, timingSafeEqual, createHash } from 'node:crypto'
+import { homedir } from 'node:os'
+import { join } from 'node:path'
+import { existsSync, readFileSync, writeFileSync, mkdirSync, rmSync } from 'node:fs'
+
+/** 本模块配置目录（与 external.js 的 externalDir 同级，放 config.json）。 */
+function configDir() {
+  const home = process.env.DSH_HOME || join(homedir(), '.dsh')
+  return join(home, 'plugins', 'dsh-mobile-remote')
+}
+
+/** 配置文件绝对路径。 */
+function configFilePath() {
+  return join(configDir(), 'config.json')
+}
+
+/** scrypt 派生参数（成本因子，本机校验，取适中值保证安全与速度平衡）。 */
+const SCRYPT_N = 16384
+const SCRYPT_R = 8
+const SCRYPT_P = 1
+const KEY_LEN = 32
+
+/** 会话有效期（毫秒）：认证通过后的一段时间内免重复输入。 */
+const SESSION_TTL = 24 * 60 * 60 * 1000 // 24h
+
+/** 登录防爆破：同一 IP 连续失败上限与封禁窗口。 */
+const MAX_ATTEMPTS = 8
+const LOCK_WINDOW = 10 * 60 * 1000 // 10 分钟
+
+/* ------------------------------------------------------------------ */
+/* 底层读写                                                             */
+/* ------------------------------------------------------------------ */
+
+function readRawConfig() {
+  try {
+    const file = configFilePath()
+    if (!existsSync(file)) return {}
+    return JSON.parse(readFileSync(file, 'utf8'))
+  } catch {
+    return {}
+  }
+}
+
+function writeRawConfig(obj) {
+  mkdirSync(configDir(), { recursive: true })
+  writeFileSync(configFilePath(), JSON.stringify(obj, null, 2), 'utf8')
+}
+
+/* ------------------------------------------------------------------ */
+/* 密码设置 / 校验                                                      */
+/* ------------------------------------------------------------------ */
+
+/**
+ * 推导口令哈希。scrypt(password, salt, KEY_LEN, { N, r, p })。
+ * 用 HMAC 风格再叠加一个本地 pepper 常量，避免直接逆向比对（可选增强）。
+ */
+function derive(password, salt) {
+  return scryptSync(String(password), Buffer.from(salt, 'hex'), KEY_LEN, {
+    N: SCRYPT_N, r: SCRYPT_R, p: SCRYPT_P,
+  })
+}
+
+/** 判断是否已设置远程访问密码。 */
+export function hasPassword() {
+  const cfg = readRawConfig()
+  return !!(cfg && cfg.pwdHash && cfg.pwdSalt)
+}
+
+/**
+ * 校验口令是否正确。返回 boolean。使用 timingSafeEqual 防时序攻击。
+ * @param {string} password
+ */
+export function verifyPassword(password) {
+  const cfg = readRawConfig()
+  if (!cfg || !cfg.pwdHash || !cfg.pwdSalt) return false
+  if (typeof password !== 'string' || !password) return false
+  try {
+    const expected = Buffer.from(cfg.pwdHash, 'hex')
+    const actual = derive(password, cfg.pwdSalt)
+    if (expected.length !== actual.length) return false
+    return timingSafeEqual(expected, actual)
+  } catch {
+    return false
+  }
+}
+
+/**
+ * 设置 / 修改远程访问密码。未传或为空表示清除密码（关闭门禁）。
+ * 仅存哈希 + 盐，绝不落盘明文。
+ * @param {string|null} password
+ */
+export function setPassword(password) {
+  const cfg = readRawConfig()
+  if (!password) {
+    delete cfg.pwdHash
+    delete cfg.pwdSalt
+    // 清除密码的同时清空所有已签发会话
+    sessions.clear()
+    // 兼容旧字段
+    delete cfg.pwdSetAt
+    writeRawConfig(cfg)
+    return { ok: true, enabled: false }
+  }
+  const salt = randomBytes(16).toString('hex')
+  const hash = derive(password, salt).toString('hex')
+  cfg.pwdHash = hash
+  cfg.pwdSalt = salt
+  cfg.pwdSetAt = new Date().toISOString()
+  // 修改密码后旧会话全部失效
+  sessions.clear()
+  writeRawConfig(cfg)
+  return { ok: true, enabled: true }
+}
+
+/** 是否启用远程访问密码门禁。 */
+export function isEnabled() {
+  return hasPassword()
+}
+
+/* ------------------------------------------------------------------ */
+/* 插件本地配置（与密码共用 config.json，未知字段原样保留）              */
+/* ------------------------------------------------------------------ */
+
+/**
+ * 读取插件配置里的一个值（不存在返回 fallback）。
+ * @param {string} key
+ * @param {*} [fallback]
+ */
+export function getSetting(key, fallback = null) {
+  const cfg = readRawConfig()
+  return Object.prototype.hasOwnProperty.call(cfg, key) ? cfg[key] : fallback
+}
+
+/**
+ * 写入插件配置里的一个值（保留其它字段，例如密码哈希）。
+ * @param {string} key
+ * @param {*} value
+ */
+export function setSetting(key, value) {
+  const cfg = readRawConfig()
+  if (value === undefined) delete cfg[key]
+  else cfg[key] = value
+  writeRawConfig(cfg)
+  return value
+}
+
+/* ------------------------------------------------------------------ */
+/* 认证会话（内存）                                                     */
+/* ------------------------------------------------------------------ */
+
+const sessions = new Map() // token -> expiry(ms)
+
+/** 清掉所有会话（改密 / 重启时调用）。 */
+export function clearSessions() {
+  sessions.clear()
+}
+
+/** 签发一个会话 token。 */
+function issueToken() {
+  return randomBytes(24).toString('base64url')
+}
+
+/**
+ * 校验口令并签发会话 token（若需要）。成功返回 { ok:true, token }；
+ * 失败返回 { ok:false, error }。
+ * @param {string} password
+ * @param {string} [clientIp] 用于防爆破计数
+ */
+export function login(password, clientIp) {
+  const ip = clientIp || 'unknown'
+  if (!hasPassword()) {
+    return { ok: false, error: '远程访问密码尚未设置' }
+  }
+  if (isLocked(ip)) {
+    return { ok: false, error: '尝试次数过多，请稍后再试' }
+  }
+  if (!verifyPassword(password)) {
+    registerFailure(ip)
+    return { ok: false, error: '密码错误' }
+  }
+  clearFailures(ip)
+  const token = issueToken()
+  sessions.set(token, Date.now() + SESSION_TTL)
+  return { ok: true, token }
+}
+
+/** 校验一个会话 token 是否有效（未过期）。 */
+export function verifyToken(token) {
+  if (!token || typeof token !== 'string') return false
+  const exp = sessions.get(token)
+  if (!exp) return false
+  if (Date.now() > exp) {
+    sessions.delete(token)
+    return false
+  }
+  return true
+}
+
+/** 移除一个会话 token（登出）。 */
+export function revokeToken(token) {
+  if (token) sessions.delete(token)
+}
+
+/* ------------------------------------------------------------------ */
+/* 防爆破（按 IP）                                                      */
+/* ------------------------------------------------------------------ */
+
+const attempts = new Map() // ip -> { count, lockUntil }
+
+function isLocked(ip) {
+  const a = attempts.get(ip)
+  return a ? (a.lockUntil && Date.now() < a.lockUntil) : false
+}
+
+function registerFailure(ip) {
+  const now = Date.now()
+  const prev = attempts.get(ip)
+  let count = prev ? prev.count : 0
+  count += 1
+  if (count >= MAX_ATTEMPTS) {
+    attempts.set(ip, { count, lockUntil: now + LOCK_WINDOW })
+  } else {
+    attempts.set(ip, { count })
+  }
+}
+
+function clearFailures(ip) {
+  attempts.delete(ip)
+}

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@feiyang666/dsh-mobile-remote",
-  "version": "1.9.0",
-  "description": "DeepSeek Harness mobile remote-control plugin: LAN access through a side-car listener (dsh 0.2.1+ rejects wildcard binds, so the host listener is never touched: no restart, no port drift, local window keeps working), external tunnel with real status detection, QR / on-off toggle / remote-access password gate, rich telemetry and mobile-first UI polish.",
+  "version": "2.0.0",
+  "description": "DeepSeek Harness remote-access plugin: LAN access that adapts to how dsh binds (loopback side-car listener, or directly reusing the `--host <nic>` listener that dsh already owns), external tunnel through a relay server with real reachability probing (502 detection), QR code / on-off toggle / remote-access password gate and device telemetry. No mobile UI patches: dsh 0.2.2+ ships its own responsive/mobile layout.",
   "keywords": [
     "deepseek",
     "harness",