@goodandready/dsh-image-gen 0.10.14 → 0.10.15

package/README.md

@@ -84,6 +84,16 @@
 * **Subscription Aspect Ratio Mapping**: maps aspect ratios (`16:9`, `3:2`, `9:16`, `2:3`) to appropriate subscription dimensions (`1536x1024` / `1024x1536`) instead of falling back to default square `1024x1024`.
 
 
+### 🚀 What's New in v0.10.15
+* **Loop Guard Zero-Limit Bypass (#212)**: Fixed an edge case where setting `loopGuardLimit: 0` (configured to disable protection) enforced a limit of 1 due to `Math.max(1, limit)`. Setting limit to 0 now properly bypasses loop checks.
+* **Security Hardening (Token Masking)**: Added automatic pattern masking for Replicate API tokens (`r8_...`) and Google Gemini API keys (`AIza...`) in `sanitizeErrorAndLogs`.
+* **Cache Resilience**: Isolated LRU touch updates in `getCachedGeneration` so that metadata write contention does not discard valid image bytes on cache hits.
+* **Defensive File Safety**: Added explicit file existence, empty file (0 bytes), and 50 MB maximum size cap checks in `resolveConversationImage` preventing OOM crashes on huge files.
+* **Vectorize Image Attachment & Toolview Preview**: `vectorize_image` now registers the SVG in `ctx.attachments` and provides `url`, enabling interactive preview in `tool.call.toolview`.
+* **SVG Markup Validation**: Added strict validation in `optimizeSvgContent` rejecting non-SVG strings with descriptive errors.
+* **Cost Meter Safety**: Hardened `assertBudgetAvailable` to handle string/undefined/NaN values safely.
+* **Expanded Test Suite**: Added `test/batch3-quality.test.mjs` expanding suite to **126 automated tests (100% pass)**.
+
 ### 🚀 What's New in v0.10.14
 * **dsh-clinebot Unified Visual Overhaul (#210)**: Redesigned client settings card following the high-end `dsh-clinebot` unified design system. Added top quick stats row (`.ig-grid-4`, `.ig-stat-box`) showing active provider, default specs, safety/loop guard, and daily budget/cache status. Integrated status badges (`.ig-badge-ok/warn/bad`).
 * **5 Categorized Settings Tabs**: Settings fields organized into intuitive tabs: ⚙️ General, 🔌 Provider, ✨ Prompt & Styles, 🛡️ Safety & Budget, ⚡ Cache & Storage.

package/README.ru.md

@@ -130,6 +130,16 @@ graph LR
 - **100% интернационализация (#140)**: устранены захардкоженные русские строки, добавлены переводы на русский, английский и китайский языки.
 
 
+### 🚀 Что нового в v0.10.15
+* **Обход Loop Guard при нулевом лимите (#212)**: Исправлена ошибка, когда при значении `loopGuardLimit: 0` (отключение защиты) срабатывал `Math.max(1, 0) = 1` и блокировал вызовы на 2-й итерации. При значении 0 лимит теперь полностью отключается.
+* **Усиление безопасности токенов**: В `sanitizeErrorAndLogs` добавлено маскирование токенов Replicate (`r8_...`) и ключей Google Gemini (`AIza...`).
+* **Устойчивость дискового кэша**: Изолировано обновление метаданных LRU при чтении из кэша — ошибки записи метаданных больше не приводят к сбросу валидных байтов кэша.
+* **Безопасность загрузки файлов**: В `resolveConversationImage` добавлены проверки существования файла, запрет 0-байтных файлов и ограничение 50 МБ для предотвращения переполнения памяти.
+* **Вложения и Toolview для векторизации**: Инструмент `vectorize_image` теперь сохраняет SVG во вложения `ctx.attachments` и возвращает `url`, что активирует карточку интерактивного предпросмотра в чате.
+* **Валидация SVG-разметки**: `optimizeSvgContent` теперь строго проверяет наличие корневого тега `<svg>` и выдает понятную ошибку при передаче не-SVG текста.
+* **Безопасная обработка бюджета**: `assertBudgetAvailable` защищен от `NaN`, нечисловых и неопределенных значений стоимости.
+* **Расширенное тестирование**: Добавлен набор тестов `test/batch3-quality.test.mjs`, общее число тестов выросло до **126 (100% pass)**.
+
 ### 🚀 Что нового в v0.10.14
 * **Единый дизайн в стиле dsh-clinebot (#210)**: Интерфейс настроек переработан в соответствии со стандартами `dsh-clinebot`. Добавлен верхний дашборд быстрой статистики (`.ig-grid-4`, `.ig-stat-box`), отображающий активного провайдера, формат и размер, статус Quality Gate и лимит Loop Guard, дневной бюджет и состояние кэша.
 * **5 категорий настроек (табы)**: Поля сгруппированы по вкладкам: ⚙️ Основные, 🔌 Провайдер, ✨ Промпт и стили, 🛡️ Безопасность и бюджет, ⚡ Кэш и хранение.

package/lib/cost-meter.js

@@ -135,11 +135,12 @@ export function assertBudgetAvailable(estimatedCost, dailyBudgetUsd) {
   const budget = Number(dailyBudgetUsd) || 0
   if (budget <= 0) return true // Budget 0 = unlimited
 
+  const cost = Number(estimatedCost) || 0
   const current = loadDailySpend()
-  const projected = +(current.totalSpendUsd + estimatedCost).toFixed(4)
+  const projected = +(current.totalSpendUsd + cost).toFixed(4)
   if (projected > budget) {
     throw new Error(
-      `Daily image generation budget exceeded: current spend $${current.totalSpendUsd.toFixed(2)} + estimated $${estimatedCost.toFixed(2)} exceeds limit $${budget.toFixed(2)} (Settings → Image generation → dailyBudgetUsd)`
+      `Daily image generation budget exceeded: current spend $${current.totalSpendUsd.toFixed(2)} + estimated $${cost.toFixed(2)} exceeds limit $${budget.toFixed(2)} (Settings → Image generation → dailyBudgetUsd)`
     )
   }
   return true

package/lib/frontend-assets.js

@@ -306,6 +306,9 @@ export function optimizeSvgContent(svgString, options = {}) {
   }
 
   let cleaned = svgString.trim()
+  if (!cleaned.includes('<svg')) {
+    throw new Error('Content does not contain valid SVG markup (<svg ...>)')
+  }
 
   cleaned = cleaned.replace(/<\?xml[\s\S]*?\?>/gi, '')
   cleaned = cleaned.replace(/<!DOCTYPE[\s\S]*?>/gi, '')

package/lib/generation-cache.js

@@ -33,9 +33,13 @@ export function getCachedGeneration(hash, { force = false } = {}) {
     const meta = JSON.parse(readFileSync(metaPath, 'utf8'))
     const bytes = readFileSync(dataPath)
 
-    // Touch meta file for LRU update
-    meta.lastAccessed = Date.now()
-    writeFileSync(metaPath, JSON.stringify(meta, null, 2), 'utf8')
+    // Touch meta file for LRU update in isolated block
+    try {
+      meta.lastAccessed = Date.now()
+      writeFileSync(metaPath, JSON.stringify(meta, null, 2), 'utf8')
+    } catch {
+      // Non-fatal touch failure: still return valid cache entry
+    }
 
     return {
       bytes,

package/lib/index.js

@@ -1343,24 +1343,42 @@ export function apply(ctx, config) {
         },
       },
       async execute(args, exec) {
-        const source = await resolveSource(ctx, exec, args.image)
-        if (!source || !source.bytes) throw new Error('Source image not found: ' + args.image)
-        const cfg = live()
-        const res = traceToSvg(source.bytes, { colorMode: args.color_mode })
-        const stem = `${slugify(args.output_name || 'vector')}-${Date.now().toString(36)}`
-        const name = `${stem}.svg`
-        const sessionCwd = exec.agent?.session?.header?.cwd
-        const outDir = path.resolve(sessionCwd || process.cwd(), cfg.outputDir || 'generated/images')
-        await mkdir(outDir, { recursive: true })
-        const filePath = path.join(outDir, name)
-        await writeFile(filePath, res.bytes)
-        const summary = `### Vectorized SVG Export\n- **File**: ${filePath}\n- **Format**: SVG (XML vector)\n- **Color mode**: ${args.color_mode || 'color'}\n- **Palette size**: ${res.palette ? res.palette.length : 16} colors\n`
-        return toLosslessJson({
-          summary,
-          path: filePath,
-          svg: res.svg,
-          format: 'svg',
-        })
+        try {
+          const source = await resolveSource(ctx, exec, args.image)
+          if (!source || !source.bytes) throw new Error('Source image not found: ' + args.image)
+          const cfg = live()
+          const res = traceToSvg(source.bytes, { colorMode: args.color_mode })
+          const stem = `${slugify(args.output_name || 'vector')}-${Date.now().toString(36)}`
+          const name = `${stem}.svg`
+          const sessionCwd = exec.agent?.session?.header?.cwd
+          const outDir = path.resolve(sessionCwd || process.cwd(), cfg.outputDir || 'generated/images')
+          await mkdir(outDir, { recursive: true })
+          const filePath = path.join(outDir, name)
+          await writeFile(filePath, res.bytes)
+
+          let attachment = null
+          let localUrl = ''
+          if (ctx.attachments?.saveImage) {
+            attachment = await ctx.attachments.saveImage({
+              data: new Uint8Array(res.bytes),
+              mediaType: 'image/svg+xml',
+              name,
+            })
+            localUrl = '/dsh-image-gen/image?id=' + encodeURIComponent(attachment.attachmentId)
+          }
+
+          const summary = `### Vectorized SVG Export\n- **File**: ${filePath}\n- **Format**: SVG (XML vector)\n- **Color mode**: ${args.color_mode || 'color'}\n- **Palette size**: ${res.palette ? res.palette.length : 16} colors\n`
+          return toLosslessJson({
+            summary,
+            path: filePath,
+            url: localUrl,
+            svg: res.svg,
+            format: 'svg',
+            attachment,
+          })
+        } catch (err) {
+          throw new Error(sanitizeErrorAndLogs(err.message || err))
+        }
       },
     }),
   )

package/lib/loop-guard.js

@@ -29,8 +29,13 @@ export function trackAndAssertLoopGuard(sessionId, {
     return { count: 0, allowed: true }
   }
 
+  // A limit of 0 explicitly disables loop guard protection
+  if (limit === 0 || limit === '0') {
+    return { count: 0, remaining: Infinity, allowed: true }
+  }
+
   const current = sessionStates.get(sid) || { count: 0, lastPrompt: '', lastTimestamp: 0 }
-  const maxLimit = Math.max(1, limit)
+  const maxLimit = Math.max(1, Number(limit) || DEFAULT_MAX_CONSECUTIVE_GENERATIONS)
 
   if (current.count >= maxLimit) {
     throw new Error(

package/lib/resolve-image.js

@@ -1,4 +1,4 @@
-import { readFile } from 'node:fs/promises'
+import { readFile, stat } from 'node:fs/promises'
 import path from 'node:path'
 import { estimateSharpnessAndVariance } from './providers.js'
 
@@ -158,6 +158,17 @@ export async function resolveConversationImage(ctx, exec, targetRef) {
     ? effectiveRef
     : path.resolve(sessionCwd, effectiveRef)
 
+  const fileStat = await stat(absPath).catch(() => null)
+  if (!fileStat) {
+    throw new Error(`Image file not found: ${effectiveRef}`)
+  }
+  if (fileStat.size === 0) {
+    throw new Error(`Image file is empty (0 bytes): ${effectiveRef}`)
+  }
+  if (fileStat.size > 50 * 1024 * 1024) {
+    throw new Error(`Image file too large (${(fileStat.size / (1024 * 1024)).toFixed(1)} MB). Maximum allowed size is 50 MB.`)
+  }
+
   const bytes = await readFile(absPath)
   const mediaType = detectMediaType(absPath, bytes)
   return {

package/lib/security.js

@@ -42,6 +42,16 @@ export function sanitizeErrorAndLogs(input) {
     return maskApiKey(token)
   })
 
+  // Mask Replicate tokens r8_...
+  text = text.replace(/(r8_[a-zA-Z0-9_\-]{8,})/gi, (match, token) => {
+    return maskApiKey(token)
+  })
+
+  // Mask Google Gemini API keys (starts with AIza and ~35-45 chars)
+  text = text.replace(/(AIza[0-9A-Za-z\-_]{30,45})/g, (match, token) => {
+    return maskApiKey(token)
+  })
+
   return text
 }
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@goodandready/dsh-image-gen",
-  "version": "0.10.14",
+  "version": "0.10.15",
   "description": "Image generation for DeepSeek Harness: a generate_image tool with pluggable providers — the FAL queue, any OpenAI-compatible images API, or a ChatGPT/Grok subscription with no API key at all. The picture is shown inline in the conversation; the model receives either a link (works with any chat model) or the image itself (needs dsh-vision-bridge or a vision-capable model).",
   "keywords": [
     "deepseek-harness",