@furongjun1999/dsh-memory 0.4.11 → 0.5.1

package/src/lib/prompt_safety.ts

@@ -1,62 +1,62 @@
-/**
- * prompt_safety.ts · 注入边界文本安全（宿主严格模板的转义）
- *
- * ── 根因（issue #16，2026-09-16）────────────────────────────────────────
- * dsh 宿主 `@deepseek-ai/dsh-system-prompt` 的 `interpolate()` 会对**每个
- * section / context** 文本做严格 `{{variable}}` 插值，且**四类一律 throw**：
- *   ① `{{` 之后能找到 `}}` 但不成简单组（GROUP_AT = /^\{\{([^{}]*)\}\}/ 不匹配）
- *   ② 组成立但名不匹配 /^[a-z][a-z0-9_]*$/（如 `{{.Architecture}}`）
- *   ③ 名合法但未注册（如 `{{name}}`）
- *   ④ 已注册但值为 undefined
- * `renderContextSections()` 逐 context 调用它，throw 直接冒泡到
- * `system-prompt/assemble` → **该轮请求整体失败**。
- *
- * ── 伤害路径 ───────────────────────────────────────────────────────────
- * 自动记忆把用户命令原样沉淀（如 `docker inspect --format '{{.Architecture}}'`）
- * → auto-recall 把含裸 `{{` 的预览推入 `assembly.contexts`
- * → 宿主每轮 assemble 必抛 → **会话永久不可用**（记忆永久在库，非偶发故障）。
- *
- * ── 处置：为何只在注入边界转义，不在写入侧 ────────────────────────────
- *   ① 记忆真源必须保真：`{{.Architecture}}` 是用户命令原文，写入侧转义会
- *      不可逆失真，且 cg(op=read) / 工具面 / 检索都依赖原文（= 污染真源）；
- *   ② 伤害面就是「注入到 prompt 的文本」，在注入边界处理即**最小充分**；
- *   ③ 与写入侧 desensitize 不冲突：脱敏是**隐私**要求（不许落盘），
- *      转义是**渲染安全**要求（落盘保真、渲染时规避）——层次不同。
- *
- * ── 转义策略：确保文本中不出现连续两个 `{` ────────────────────────────
- * 依据（宿主源码 `lib/index.js:109-116`）：`interpolate` 以
- * `text.indexOf("{{")` 为**唯一扫描锚点**；破坏 `{{` 序列后循环不进入，
- * 文本走 `text.slice(last)` 原样返回。
- *   · `}}` 无需处理——它只在 `{{` 成组时参与解析，锚点已破即无意义；
- *   · 逐对打断（而非 `split('{{').join(...)`）：后者对 `{{{a}}}` 会产出
- *     `{ {{a}}}`——新锚点仍在（相邻 `{` 重新合成），不幂等也不安全；
- *   · 跨 context 拼接安全：`joinContextSections` 以 `"\n\n"` 分隔并带固定
- *     前缀（`lib/index.js:85-87`，前缀以 `.` 结尾），边界不会合成新 `{{`；
- *   · 为何不用零宽字符：显示上「看起来一样」但复制会带入不可见字符
- *     （终端粘贴即出错）——诚实性优先，宁可让改写可见。
- *
- * 幂等：结果中不存在 `{{`，重复调用结果不变。
- * 边界：本函数只服务**注入到宿主 prompt 的文本**；记忆真源与工具返回原文
- *       一律不动（工具结果不进 assembly 插值面）。
- */
-
-/** 宿主严格模板的扫描锚点。 */
-const TEMPLATE_OPEN = '{{'
-
-/**
- * 把文本中每一对相邻的 `{` 打断（插入半角空格），使其不再包含 `{{`。
- *
- * 不含 `{{` 的文本**原样返回**（零改写，保真）。
- * 例：`{{.Architecture}}` → `{ {.Architecture}}`；`{{{a}}}` → `{ { {a}}}`。
- */
-export function escapePromptBraces(text: string): string {
-  if (!text.includes(TEMPLATE_OPEN)) return text
-  let out = ''
-  for (let i = 0; i < text.length; i++) {
-    const ch = text.charAt(i)
-    out += ch
-    // 该 `{` 与下一个字符构成锚点 → 立即插入空格打断
-    if (ch === '{' && text.charAt(i + 1) === '{') out += ' '
-  }
-  return out
-}
+/**
+ * prompt_safety.ts · 注入边界文本安全（宿主严格模板的转义）
+ *
+ * ── 根因（issue #16，2026-09-16）────────────────────────────────────────
+ * dsh 宿主 `@deepseek-ai/dsh-system-prompt` 的 `interpolate()` 会对**每个
+ * section / context** 文本做严格 `{{variable}}` 插值，且**四类一律 throw**：
+ *   ① `{{` 之后能找到 `}}` 但不成简单组（GROUP_AT = /^\{\{([^{}]*)\}\}/ 不匹配）
+ *   ② 组成立但名不匹配 /^[a-z][a-z0-9_]*$/（如 `{{.Architecture}}`）
+ *   ③ 名合法但未注册（如 `{{name}}`）
+ *   ④ 已注册但值为 undefined
+ * `renderContextSections()` 逐 context 调用它，throw 直接冒泡到
+ * `system-prompt/assemble` → **该轮请求整体失败**。
+ *
+ * ── 伤害路径 ───────────────────────────────────────────────────────────
+ * 自动记忆把用户命令原样沉淀（如 `docker inspect --format '{{.Architecture}}'`）
+ * → auto-recall 把含裸 `{{` 的预览推入 `assembly.contexts`
+ * → 宿主每轮 assemble 必抛 → **会话永久不可用**（记忆永久在库，非偶发故障）。
+ *
+ * ── 处置：为何只在注入边界转义，不在写入侧 ────────────────────────────
+ *   ① 记忆真源必须保真：`{{.Architecture}}` 是用户命令原文，写入侧转义会
+ *      不可逆失真，且 cg(op=read) / 工具面 / 检索都依赖原文（= 污染真源）；
+ *   ② 伤害面就是「注入到 prompt 的文本」，在注入边界处理即**最小充分**；
+ *   ③ 与写入侧 desensitize 不冲突：脱敏是**隐私**要求（不许落盘），
+ *      转义是**渲染安全**要求（落盘保真、渲染时规避）——层次不同。
+ *
+ * ── 转义策略：确保文本中不出现连续两个 `{` ────────────────────────────
+ * 依据（宿主源码 `lib/index.js:109-116`）：`interpolate` 以
+ * `text.indexOf("{{")` 为**唯一扫描锚点**；破坏 `{{` 序列后循环不进入，
+ * 文本走 `text.slice(last)` 原样返回。
+ *   · `}}` 无需处理——它只在 `{{` 成组时参与解析，锚点已破即无意义；
+ *   · 逐对打断（而非 `split('{{').join(...)`）：后者对 `{{{a}}}` 会产出
+ *     `{ {{a}}}`——新锚点仍在（相邻 `{` 重新合成），不幂等也不安全；
+ *   · 跨 context 拼接安全：`joinContextSections` 以 `"\n\n"` 分隔并带固定
+ *     前缀（`lib/index.js:85-87`，前缀以 `.` 结尾），边界不会合成新 `{{`；
+ *   · 为何不用零宽字符：显示上「看起来一样」但复制会带入不可见字符
+ *     （终端粘贴即出错）——诚实性优先，宁可让改写可见。
+ *
+ * 幂等：结果中不存在 `{{`，重复调用结果不变。
+ * 边界：本函数只服务**注入到宿主 prompt 的文本**；记忆真源与工具返回原文
+ *       一律不动（工具结果不进 assembly 插值面）。
+ */
+
+/** 宿主严格模板的扫描锚点。 */
+const TEMPLATE_OPEN = '{{'
+
+/**
+ * 把文本中每一对相邻的 `{` 打断（插入半角空格），使其不再包含 `{{`。
+ *
+ * 不含 `{{` 的文本**原样返回**（零改写，保真）。
+ * 例：`{{.Architecture}}` → `{ {.Architecture}}`；`{{{a}}}` → `{ { {a}}}`。
+ */
+export function escapePromptBraces(text: string): string {
+  if (!text.includes(TEMPLATE_OPEN)) return text
+  let out = ''
+  for (let i = 0; i < text.length; i++) {
+    const ch = text.charAt(i)
+    out += ch
+    // 该 `{` 与下一个字符构成锚点 → 立即插入空格打断
+    if (ch === '{' && text.charAt(i + 1) === '{') out += ' '
+  }
+  return out
+}

package/src/lib/python_path.ts

@@ -1,71 +1,71 @@
-/**
- * python_path.ts —— Python 解释器的**平台感知**解析（issue #19）
- *
- * 要解决的问题（首次安装即失效，且不自愈）
- * ------------------------------------------------
- * 解释器默认值此前是**字面量 `'python'`**。Linux/macOS 按 PEP 394 只要求提供
- * `python3`——发行版默认状态就是这样，不是用户把环境装坏了。于是 `spawn('python')`
- * 抛 `ENOENT`，桥重试 8 次后进入 failed 终态：插件看起来装好了，工具不注册、
- * 记忆只读（`guest`）、必须重启 DSH 才会再试一次。同时日志被
- * `灵枢调用超时（60000ms）：initialize` 刷屏，把人引向「超时/性能」的错误方向，
- * 而第一因是更早一行不起眼的 `spawn … ENOENT`。
- * Windows 上 `python` 通常存在，所以该缺陷只在作者机器之外暴露。
- *
- * 解析顺序（高 → 低）
- * ------------------------------------------------
- *   ① `config.python` —— 用户显式配置，**原样尊重**（本模块不介入）
- *   ② env `MDCG_PYTHON` —— 容器 / CI 固定解释器；命名风格与既有
- *      `MDCG_ROOT` / `MDCG_CHILD_CWD` 一致
- *   ③ 平台默认：`win32` → `python`（**逐字节保持既有行为**）；其它 → `python3`
- *
- * 边界（诚实声明，勿据此扩大承诺）
- * ------------------------------------------------
- * - **不做** PATH 扫描式候选回退（`python3` → `python3.12` → `python` 取首个存在）：
- *   隐式行为在跨平台/多环境（conda、pyenv、WSL）下难以预测，且失败模式从
- *   「明确 ENOENT」退化为「悄悄选了另一个解释器」。解释器名特殊时请显式配置
- *   或设 `MDCG_PYTHON`。
- * - md_cg 侧**不挑** Python 版本：只要存在解释器即可（issue 复现方实测 conda 的
- *   `python3.12` 亦正常握手）。
- * - 本模块只**解析名字**，不校验可执行文件是否真的存在（校验属调用方职责，
- *   且 `stat` 结果会被 PATH/沙箱差异推翻）。
- */
-
-/** 解释器覆盖的环境变量名（与 MDCG_ROOT 等同风格，便于容器固定）。 */
-export const PYTHON_ENV_VAR = 'MDCG_PYTHON'
-
-/**
- * 解析默认 Python 解释器（issue #19）。
- *
- * 参数刻意做成**可注入**（platform / env）而非直接读全局：默认值此前写死导致的
- * 正是「不可测 → 只在作者机器上成立」，注入后回归测试可在任意平台断言三分支。
- */
-export function defaultPython(
-  platform: string = process.platform,
-  env: Readonly<Record<string, string | undefined>> = process.env,
-): string {
-  const explicit = (env[PYTHON_ENV_VAR] ?? '').trim()
-  if (explicit) return explicit
-  return platform === 'win32' ? 'python' : 'python3'
-}
-
-/** 自检命令文案（按平台给出**可照抄**的写法，issue #19 影响面第 4 条）。 */
-export function selfCheckCommand(python: string = defaultPython()): string {
-  return `${python} -m md_cg.mcp_server`
-}
-
-/**
- * spawn 失败（ENOENT）时的修复指引。
- *
- * 为什么值得单列一条日志：该缺陷的原始日志把「解释器名不匹配」伪装成
- * 「调用超时」，用户按超时方向排查只会浪费一轮；把成因与三条修法写在
- * **同一行**，可诊断性直接闭环。
- */
-export function explainMissingPython(python: string): string {
-  return `解释器「${python}」不可执行（ENOENT）。Linux/macOS 发行版按 PEP 394 只提供 `
-    + 'python3（这是默认状态，不是环境损坏）。修法（任一）：'
-    + "① cordis.yml 的 config.python 设为 'python3'（优先级最高）；"
-    + '② 设环境变量 MDCG_PYTHON=python3（容器/CI 推荐）；'
-    + '③ 确认 python3 在 PATH 中（which python3）。改完需重启 DSH。'
-}
-
-export default { defaultPython, selfCheckCommand, explainMissingPython, PYTHON_ENV_VAR }
+/**
+ * python_path.ts —— Python 解释器的**平台感知**解析（issue #19）
+ *
+ * 要解决的问题（首次安装即失效，且不自愈）
+ * ------------------------------------------------
+ * 解释器默认值此前是**字面量 `'python'`**。Linux/macOS 按 PEP 394 只要求提供
+ * `python3`——发行版默认状态就是这样，不是用户把环境装坏了。于是 `spawn('python')`
+ * 抛 `ENOENT`，桥重试 8 次后进入 failed 终态：插件看起来装好了，工具不注册、
+ * 记忆只读（`guest`）、必须重启 DSH 才会再试一次。同时日志被
+ * `灵枢调用超时（60000ms）：initialize` 刷屏，把人引向「超时/性能」的错误方向，
+ * 而第一因是更早一行不起眼的 `spawn … ENOENT`。
+ * Windows 上 `python` 通常存在，所以该缺陷只在作者机器之外暴露。
+ *
+ * 解析顺序（高 → 低）
+ * ------------------------------------------------
+ *   ① `config.python` —— 用户显式配置，**原样尊重**（本模块不介入）
+ *   ② env `MDCG_PYTHON` —— 容器 / CI 固定解释器；命名风格与既有
+ *      `MDCG_ROOT` / `MDCG_CHILD_CWD` 一致
+ *   ③ 平台默认：`win32` → `python`（**逐字节保持既有行为**）；其它 → `python3`
+ *
+ * 边界（诚实声明，勿据此扩大承诺）
+ * ------------------------------------------------
+ * - **不做** PATH 扫描式候选回退（`python3` → `python3.12` → `python` 取首个存在）：
+ *   隐式行为在跨平台/多环境（conda、pyenv、WSL）下难以预测，且失败模式从
+ *   「明确 ENOENT」退化为「悄悄选了另一个解释器」。解释器名特殊时请显式配置
+ *   或设 `MDCG_PYTHON`。
+ * - md_cg 侧**不挑** Python 版本：只要存在解释器即可（issue 复现方实测 conda 的
+ *   `python3.12` 亦正常握手）。
+ * - 本模块只**解析名字**，不校验可执行文件是否真的存在（校验属调用方职责，
+ *   且 `stat` 结果会被 PATH/沙箱差异推翻）。
+ */
+
+/** 解释器覆盖的环境变量名（与 MDCG_ROOT 等同风格，便于容器固定）。 */
+export const PYTHON_ENV_VAR = 'MDCG_PYTHON'
+
+/**
+ * 解析默认 Python 解释器（issue #19）。
+ *
+ * 参数刻意做成**可注入**（platform / env）而非直接读全局：默认值此前写死导致的
+ * 正是「不可测 → 只在作者机器上成立」，注入后回归测试可在任意平台断言三分支。
+ */
+export function defaultPython(
+  platform: string = process.platform,
+  env: Readonly<Record<string, string | undefined>> = process.env,
+): string {
+  const explicit = (env[PYTHON_ENV_VAR] ?? '').trim()
+  if (explicit) return explicit
+  return platform === 'win32' ? 'python' : 'python3'
+}
+
+/** 自检命令文案（按平台给出**可照抄**的写法，issue #19 影响面第 4 条）。 */
+export function selfCheckCommand(python: string = defaultPython()): string {
+  return `${python} -m md_cg.mcp_server`
+}
+
+/**
+ * spawn 失败（ENOENT）时的修复指引。
+ *
+ * 为什么值得单列一条日志：该缺陷的原始日志把「解释器名不匹配」伪装成
+ * 「调用超时」，用户按超时方向排查只会浪费一轮；把成因与三条修法写在
+ * **同一行**，可诊断性直接闭环。
+ */
+export function explainMissingPython(python: string): string {
+  return `解释器「${python}」不可执行（ENOENT）。Linux/macOS 发行版按 PEP 394 只提供 `
+    + 'python3（这是默认状态，不是环境损坏）。修法（任一）：'
+    + "① cordis.yml 的 config.python 设为 'python3'（优先级最高）；"
+    + '② 设环境变量 MDCG_PYTHON=python3（容器/CI 推荐）；'
+    + '③ 确认 python3 在 PATH 中（which python3）。改完需重启 DSH。'
+}
+
+export default { defaultPython, selfCheckCommand, explainMissingPython, PYTHON_ENV_VAR }

package/src/lib/roleplay_web.ts

@@ -101,6 +101,7 @@ footer button:disabled { opacity:.5; cursor:wait; }
     <button onclick="showNewRole()">+ 新角色</button>
     <button onclick="openRoleDetail()">⚙ 详情</button>
     <button onclick="openTrans()">🌐 翻译</button>
+    <button onclick="setEditKey()" title="编辑密钥：服务端 ROLEPLAY_EDIT_KEY 的值（创建/保存角色与翻译需要；留空清除）">🔑</button>
   </div>
 </header>
 <main id="chat"><div class="hint">选择角色，开始对话。角色回应由灵枢角色扮演引擎生成（白箱优先，LLM 续答）。</div></main>
@@ -191,9 +192,27 @@ try {
     localStorage.setItem('lingshu_client_id', CLIENT_ID);
   }
 } catch (e) { /* localStorage 不可用（隐私模式）→ 空，服务端落 shared */ }
+// V22 修复（缺陷 src/lib/roleplay_web.ts:338）：编辑密钥携带途径——
+// 服务端写操作 fail-closed 要求 x-edit-key 头（P1-2），但此前页面既无输入
+// 密钥的途径、写 POST 又全用裸 headers → 全部编辑恒 403 不可用。现在
+// 🔑 按钮（setEditKey → prompt）把密钥存 localStorage，apiHeaders 统一注入。
+const EDIT_KEY_STORE = 'lingshu_edit_key';
+function editKey() {
+  try { return localStorage.getItem(EDIT_KEY_STORE) || ''; } catch (e) { return ''; }
+}
+function setEditKey() {
+  const k = prompt('编辑密钥（服务端环境变量 ROLEPLAY_EDIT_KEY 的值；留空清除）：', editKey());
+  if (k === null) return;                    // 取消不动
+  try {
+    if (k.trim()) localStorage.setItem(EDIT_KEY_STORE, k.trim());
+    else localStorage.removeItem(EDIT_KEY_STORE);
+  } catch (e) { /* localStorage 不可用 → 忽略 */ }
+}
 function apiHeaders(extra) {
   const h = { 'Content-Type': 'application/json' };
   if (CLIENT_ID) h['x-client-id'] = CLIENT_ID;
+  const ek = editKey();
+  if (ek) h['x-edit-key'] = ek;              // V22：写操作鉴权头（无则服务端 403）
   return Object.assign(h, extra || {});
 }
 // —— 内容分级：年龄门控 + NSFW 检测（法律与协议保护）——
@@ -334,11 +353,18 @@ async function saveRoleDetail() {
   const scenario = $('rd_scenario').value.trim();
   const first_mes = $('rd_first').value.trim();
   const nsfw = $('rd_nsfw_chk').checked;
-  // 基础 meta（name/scenario/first_mes + nsfw 标记）
-  await fetch('/roleplay/api/roles/' + encodeURIComponent(role) + '/meta', {
-    method: 'POST', headers: { 'Content-Type': 'application/json' },
-    body: JSON.stringify({ name, scenario, first_mes, nsfw }),
-  });
+  // V22 修复（缺陷 :338）：此前 meta POST ①裸 headers（无 x-edit-key → 恒 403）
+  // ②响应完全不检查（fetch 对 403 不 reject）→ 无条件「已保存」= 虚假成功
+  // （服务端 403 在写盘之前 return，数据从未落盘）。现在统一走 apiHeaders()
+  // 并逐段检查 ok：任一失败 alert 服务端原因并中止，绝不报「已保存」。
+  let m;
+  try {
+    m = await fetch('/roleplay/api/roles/' + encodeURIComponent(role) + '/meta', {
+      method: 'POST', headers: apiHeaders(),
+      body: JSON.stringify({ name, scenario, first_mes, nsfw }),
+    }).then(x => x.json());
+  } catch (e) { m = { ok: false, error: '网络错误：' + e }; }
+  if (!m || !m.ok) { alert((m && m.error) || '保存失败（角色信息）'); return; }
   // 当前页签的条目
   const items = [];
   document.querySelectorAll('#rd_items .rd-row').forEach(row => {
@@ -347,10 +373,14 @@ async function saveRoleDetail() {
     const tags = row.querySelector('.rd-tags').value.split(/[,，]/).map(s => s.trim()).filter(Boolean);
     if (content) items.push({ content, importance: imp, tags });
   });
-  const r = await fetch('/roleplay/api/roles/' + encodeURIComponent(role) + '/import', {
-    method: 'POST', headers: { 'Content-Type': 'application/json' },
-    body: JSON.stringify({ kind: rdKind, items }),
-  }).then(x => x.json());
+  let r;
+  try {
+    r = await fetch('/roleplay/api/roles/' + encodeURIComponent(role) + '/import', {
+      method: 'POST', headers: apiHeaders(),
+      body: JSON.stringify({ kind: rdKind, items }),
+    }).then(x => x.json());
+  } catch (e) { r = { ok: false, error: '网络错误：' + e }; }
+  if (!r || !r.ok) { alert((r && r.error) || '保存失败（' + rdKind + '）'); return; }
   addMsg('角色「' + role + '」已保存：' + name + ' · ' + rdKind + ' ' + items.length + ' 条' + (nsfw ? ' · NSFW' : ''), 'bot');
   closeRoleDetail();
   await refreshRoles();
@@ -395,21 +425,21 @@ async function saveTrans() {
   });
   const mode = (document.querySelector('input[name="tpmode"]:checked') || {}).value || 'input_only';
   const r = await fetch('/roleplay/api/translate', {
-    method: 'POST', headers: { 'Content-Type': 'application/json' },
+    method: 'POST', headers: apiHeaders(),
     body: JSON.stringify({ role_id: role, pairs, mode }),
   }).then(x => x.json());
   if (r.ok) {
     transMode = r.mode;
     closeTrans();
     addMsg('翻译配置已保存：' + r.pairs.length + ' 组词对 · ' + (r.mode === 'bidirectional' ? '双向翻译' : '仅输入翻译'), 'bot');
-  } else alert(r.error || '保存失败');
+  } else alert((r.error || '保存失败') + (editKey() ? '' : '（可点右上角 🔑 输入编辑密钥）'));
 }
 async function createRole() {
   const body = { role_id: $('nr_id').value.trim(), name: $('nr_name').value.trim(), scenario: $('nr_scenario').value.trim(), first_mes: $('nr_first').value.trim() };
   if (!body.role_id) { alert('需要角色 ID'); return; }
-  const r = await fetch('/roleplay/api/roles', { method:'POST', headers:{'Content-Type':'application/json'}, body: JSON.stringify(body) }).then(x => x.json());
+  const r = await fetch('/roleplay/api/roles', { method:'POST', headers: apiHeaders(), body: JSON.stringify(body) }).then(x => x.json());
   if (r.ok) { closeNewRole(); await refreshRoles(); addMsg('角色「' + (body.name || body.role_id) + '」已创建，可以开始对话了', 'bot'); }
-  else alert(r.error || '创建失败');
+  else alert((r.error || '创建失败') + (editKey() ? '' : '（可点右上角 🔑 输入编辑密钥）'));
 }
 var input = document.getElementById('input');
 var chat = document.getElementById('chat');
@@ -476,7 +506,9 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
         // P1 修复（GPT 审查）：
         // ① 请求体大小限制（此前 for-await 无限累加，恶意请求可制造内存压力）
         const readBody = async (req, maxBytes = 1_000_000) => {
-            let body = '';
+            // P2-12（批次 30）：Buffer 收集后统一 utf-8 解码——旧写法
+            // body += chunk 在多字节字符跨 chunk 时产生替换符截断。
+            const chunks = [];
             let size = 0;
             for await (const chunk of req) {
                 size += chunk.length;
@@ -485,20 +517,28 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
                     err.status = 413;
                     throw err;
                 }
-                body += chunk;
+                chunks.push(chunk);
             }
-            return body;
+            return Buffer.concat(chunks).toString('utf8');
         };
-        // ② 编辑鉴权：README 声称「编辑需 ROLEPLAY_EDIT_KEY」——此前代码未实现。
-        // 配置了 ROLEPLAY_EDIT_KEY 环境变量则写操作（meta/import/translate/创建角色）
-        // 必须带 x-edit-key 头；未配置时保持本地开发默认开放（README 已如实说明）。
+        // ② 编辑鉴权（P1-2，批次 26 外部审查报告）：fail-closed——未配置
+        // ROLEPLAY_EDIT_KEY 时**拒绝全部写操作**（旧语义「未配置=开放」是
+        // 本地开发便利，但网页面板是唯一对浏览器开放的面，默认无鉴权 =
+        // 任意来源可改写角色数据）。403 文案引导配置：设 ROLEPLAY_EDIT_KEY
+        // 并在请求带 x-edit-key 头即可恢复编辑。
         const EDIT_KEY = process.env.ROLEPLAY_EDIT_KEY || '';
         const requireEditKey = (req) => {
             if (!EDIT_KEY)
-                return true;
+                return false;                    // P1-2：未配置 = 拒绝（fail-closed）
             const h = (req.headers && req.headers['x-edit-key']) || '';
             return h === EDIT_KEY;
         };
+        // V21-1（批次 34，外部报告）：真分支此前误写自调用（无限递归 → 配了
+        // key 反而 500 且泄露内部异常文本）。两分支都是终止文案：已配置 =
+        // 「缺 x-edit-key 头」；未配置 = 「服务端需配置」引导。
+        const editKeyHint = () => EDIT_KEY
+            ? '缺少编辑密钥（x-edit-key 头）'
+            : '编辑未开放：服务端需配置环境变量 ROLEPLAY_EDIT_KEY，请求需带 x-edit-key 头（P1-2 fail-closed）';
         const roleDataDir = join(dirname(config.dbPath), 'roleplay_data');
         try {
             mkdirSync(join(roleDataDir, 'roleplay'), { recursive: true });
@@ -512,6 +552,7 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
         }
         catch { /* 忽略 */ }
         const transcriptFile = (roleId, clientId) => join(transcriptsDir, `${roleId.replace(/[^\w.-]/g, '_')}__${clientId}.jsonl`);
+        const TRANSCRIPT_TAIL_MAX = 500;   // P2-9（批次 31）：返回最近 500 条
         const readTranscript = (roleId, clientId = 'shared') => {
             const f = transcriptFile(roleId, clientId);
             if (!existsSync(f))
@@ -525,7 +566,9 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
                 }
                 catch { /* 跳过坏行 */ }
             }
-            return out;
+            // P2-9：无上限返回会让响应体随会话长度线性增长——只回最近尾部。
+            return out.length > TRANSCRIPT_TAIL_MAX
+                ? out.slice(out.length - TRANSCRIPT_TAIL_MAX) : out;
         };
         const appendTranscript = (roleId, entry, clientId = 'shared') => {
             try {
@@ -551,16 +594,28 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
         // 「角色字典」视角；写入保持原顶层结构（嵌套则写回 meta 内），读写一致——
         // 此前读兼容嵌套但写永远写根，保存成功但列表读旧值。
         const roleMetaFile = join(roleDataDir, 'roleplay', '_roles.json');
+        // P1-3（批次 26 外部审查报告）：角色 id 白名单——role 从 URL 提取后
+        // 直接作 meta 对象键，`__proto__` 键会劫持 Object.prototype（污染插件
+        // 与 DSH 宿主共享的同进程对象）。白名单字符集 + 显式拒绝危险键。
+        const _BAD_ROLE_IDS = new Set(['__proto__', 'constructor', 'prototype']);
+        const validRoleId = (role) => typeof role === 'string'
+            && /^[A-Za-z0-9_.-]{1,64}$/.test(role)
+            && !_BAD_ROLE_IDS.has(role);
+        // meta 字典统一 null 原型——即使存量文件已被写入危险键，
+        // meta['__proto__'] 也只是普通 own 属性，不再劫持原型链。
+        const toNullProto = (o) => (o && typeof o === 'object')
+            ? Object.assign(Object.create(null), o)
+            : o;
         const readRoleMeta = () => {
             try {
                 const raw = JSON.parse(readFileSync(roleMetaFile, 'utf8'));
                 if (raw && typeof raw === 'object'
                     && raw.meta && typeof raw.meta === 'object')
-                    return raw.meta;  // 嵌套格式 → meta 内角色字典
-                return raw;
+                    return toNullProto(raw.meta);  // 嵌套格式 → meta 内角色字典
+                return toNullProto(raw);
             }
             catch {
-                return {};
+                return Object.create(null);
             }
         };
         const writeRoleMeta = (flat) => {
@@ -595,8 +650,12 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
             }
         };
         const writeTransSettings = (s) => {
+            // P2-10（批次 31）：tmp+rename 原子写（与 writeRoleMeta 同款）——
+            // 直接 writeFileSync 并发/中断会写坏 JSON，后续读静默丢配置。
             try {
-                writeFileSync(transSettingsFile, JSON.stringify(s, null, 2), 'utf8');
+                const tmp = transSettingsFile + '.tmp';
+                writeFileSync(tmp, JSON.stringify(s, null, 2), 'utf8');
+                renameSync(tmp, transSettingsFile);
             }
             catch { /* 忽略 */ }
         };
@@ -606,6 +665,8 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
             return Array.isArray(t) ? t : [];
         };
         const setTranslations = (roleId, pairs) => {
+            if (!validRoleId(roleId))
+                return;                          // P1-3：非法角色 id 拒写（防原型污染）
             const meta = readRoleMeta();
             if (!meta[roleId])
                 meta[roleId] = { created_at: Date.now() / 1000, name: roleId };
@@ -668,7 +729,7 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
                     // P1 修复（GPT 审查）：写操作鉴权（ROLEPLAY_EDIT_KEY）+ 请求体大小限制
                     if (!requireEditKey(req)) {
                         res.writeHead(403, { 'Content-Type': 'application/json; charset=utf-8' });
-                        res.end(JSON.stringify({ ok: false, error: '缺少编辑密钥（x-edit-key 头）' }));
+                        res.end(JSON.stringify({ ok: false, error: editKeyHint() }));
                         return;
                     }
                     let body;
@@ -726,7 +787,7 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
                     // P1 修复（GPT 审查）：写操作鉴权（ROLEPLAY_EDIT_KEY）+ 请求体大小限制
                     if (!requireEditKey(req)) {
                         res.writeHead(403, { 'Content-Type': 'application/json; charset=utf-8' });
-                        res.end(JSON.stringify({ ok: false, error: '缺少编辑密钥（x-edit-key 头）' }));
+                        res.end(JSON.stringify({ ok: false, error: editKeyHint() }));
                         return;
                     }
                     let body;
@@ -740,6 +801,15 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
                     }
                     const p = JSON.parse(body);
                     const role = decodeURIComponent(url.pathname.split('/')[4]);
+                    if (!validRoleId(role)) {
+                        // P1-3：__proto__/constructor/prototype 及越界字符拒绝
+                        res.writeHead(400, { 'Content-Type': 'application/json; charset=utf-8' });
+                        res.end(JSON.stringify({ ok: false, error: '非法角色 id（白名单 ^[A-Za-z0-9_.-]{1,64}$）' }));
+                        return;
+                    }
+                    // P2-11（批次 30 注记）：本读改写段为同步执行（中间无
+                    // await）——node 单 tick 内不会交错；若未来在此段引入
+                    // await，须先加写队列/文件锁（并发丢更新防线）。
                     const meta = readRoleMeta();
                     if (!meta[role])
                         meta[role] = { created_at: Date.now() / 1000 };
@@ -769,6 +839,14 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
                     }
                     const p = JSON.parse(body);
                     const role = p.role_id || 'protocol-guide';
+                    // P2-23（批次 30）：chat 的 role_id 进 node_id 模板——
+                    // 纵深防御：与 /meta 同款白名单（当前模板前缀使穿越
+                    // 不可达，但模板改动即破——入口统一卡死）
+                    if (!validRoleId(role)) {
+                        res.writeHead(400, { 'Content-Type': 'application/json; charset=utf-8' });
+                        res.end(JSON.stringify({ ok: false, error: '非法角色 id（白名单 ^[A-Za-z0-9_.-]{1,64}$）' }));
+                        return;
+                    }
                     // P1 完善（会话隔离）：按客户端实例隔离 session 与转录
                     const cid = clientIdOf(req);
                     // —— 服务端内容分级硬拦截（不依赖前端，法律与协议保护）——
@@ -823,7 +901,7 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
                     // P1 修复（GPT 审查）：写操作鉴权（ROLEPLAY_EDIT_KEY）+ 请求体大小限制
                     if (!requireEditKey(req)) {
                         res.writeHead(403, { 'Content-Type': 'application/json; charset=utf-8' });
-                        res.end(JSON.stringify({ ok: false, error: '缺少编辑密钥（x-edit-key 头）' }));
+                        res.end(JSON.stringify({ ok: false, error: editKeyHint() }));
                         return;
                     }
                     let body;
@@ -837,6 +915,15 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
                     }
                     const p = JSON.parse(body);
                     const role = p.role_id || 'protocol-guide';
+                    // P1-3 补卡（translate POST）：与 /meta、/chat 同款白名单——
+                    // 此前不校验即 setTranslations（内部白名单不匹配**静默 return**，
+                    // 中文 id 词对永不落盘）+ settings[role] 直接键赋值（'__proto__'
+                    // 走原型 setter 连 mode 都丢），却仍回 ok:true = 虚假成功。
+                    if (!validRoleId(role)) {
+                        res.writeHead(400, { 'Content-Type': 'application/json; charset=utf-8' });
+                        res.end(JSON.stringify({ ok: false, error: '非法角色 id（白名单 ^[A-Za-z0-9_.-]{1,64}$）' }));
+                        return;
+                    }
                     const pairs = (Array.isArray(p.pairs) ? p.pairs : [])
                         .map((x) => ({ real: String(x.real || '').trim(), virtual: String(x.virtual || '').trim(), note: String(x.note || '').trim() }))
                         .filter((x) => x.real && x.virtual);
@@ -859,7 +946,7 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
                     // P1 修复（GPT 审查）：写操作鉴权（ROLEPLAY_EDIT_KEY）+ 请求体大小限制
                     if (!requireEditKey(req)) {
                         res.writeHead(403, { 'Content-Type': 'application/json; charset=utf-8' });
-                        res.end(JSON.stringify({ ok: false, error: '缺少编辑密钥（x-edit-key 头）' }));
+                        res.end(JSON.stringify({ ok: false, error: editKeyHint() }));
                         return;
                     }
                     let body;

package/src/lib/token_store.ts

@@ -29,7 +29,7 @@
 import { spawnSync } from 'node:child_process'
 import { chmodSync, mkdirSync, readFileSync, writeFileSync } from 'node:fs'
 import { homedir } from 'node:os'
-import { dirname, join } from 'node:path'
+import { dirname, join, resolve } from 'node:path'
 import { pythonPathValue, runRoot } from './datapath.js'
 
 /** 凭据来源（用于启动日志与故障定位）。 */
@@ -68,9 +68,19 @@ export interface ResolveTokenOptions {
   keyringPath?: string
 }
 
-/** 默认密钥环路径：与 md_cg 的 `~/.mdcg/` 约定同目录（`_tokens.json` 亦在此）。 */
+/** 辅助存储根（密钥/令牌/信任/理论/心跳）：与 md_cg 的 `datapath.aux_root()` 同口径。
+ *
+ *  默认 `~/.mdcg`（历史值，**逐字保留**——改默认会让存量密钥/令牌失联）；
+ *  `MDCG_AUX_ROOT` 可把它们整体搬走（沙箱/多用户/与记忆真源同处的场景）。
+ *  与 `config.mdcg.root`（记忆真源）有意分离：身份与信任不随认知图迁移。 */
+export function auxRoot(): string {
+  const env = (process.env.MDCG_AUX_ROOT ?? '').trim()
+  return env ? resolve(env) : join(homedir(), '.mdcg')
+}
+
+/** 默认密钥环路径：与 md_cg 的 `_tokens.json` 同目录（aux 根下，见 auxRoot()）。 */
 export function defaultKeyringPath(): string {
-  return join(homedir(), '.mdcg', 'token')
+  return join(auxRoot(), 'token')
 }
 
 /** 读取密钥环；不存在 / 不可读 / 空文件一律返回 undefined（不抛异常）。 */