npm - @goodandready/dsh-lanmode - Versions diffs - 0.3.1 → 0.5.0 - Mend

@goodandready/dsh-lanmode 0.3.1 → 0.5.0

This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.

Files changed (10) hide show

package/lib/health.js ADDED Viewed

@@ -0,0 +1,104 @@
+// Страница диагностики.
+//
+// Каждый разбор поломки по сети начинался одинаково: непонятно, какой режим,
+// что подменено, видит ли браузер защищённое соединение и почему молчит
+// микрофон. Это выяснялось руками и подолгу.
+//
+// Половину ответов знает хост, половину — только браузер, потому что защищённое
+// соединение и наличие микрофона существуют исключительно на его стороне.
+// Поэтому страница отдаёт и то и другое: серверное как есть, браузерное —
+// скриптом, который выполняется у открывшего.
+//
+// Ничего секретного здесь быть не должно: страница открыта всем, кто дотянулся
+// до харнесса.
+/** Данные, которые знает хост. */
+export function hostReport(state) {
+  return {
+    version: state.version,
+    mode: state.mode,
+    modeReason: state.modeReason ?? '',
+    listener: state.listener ?? null,
+    tls: state.tls ?? { enabled: false },
+    pieces: state.pieces,
+    allow: state.allow ?? [],
+    assumptions: state.assumptions ?? [],
+  }
+}
+const BROWSER_SCRIPT = `
+(function () {
+  var out = document.getElementById('browser')
+  var shim = window.__DSH_LANMODE__ || null
+  var checks = [
+    ['защищённое соединение', window.isSecureContext === true,
+     'без него нет ни микрофона, ни crypto.randomUUID, ни буфера обмена. Лечится HTTPS: настройка tls в прямом режиме или прокси с сертификатом'],
+    ['микрофон доступен браузеру', !!(navigator.mediaDevices && navigator.mediaDevices.getUserMedia),
+     'единственное, чего не лечит подмена: за ним настоящее устройство. Нужен именно HTTPS'],
+    ['crypto.randomUUID', typeof (window.crypto && window.crypto.randomUUID) === 'function',
+     'интерфейс зовёт его при загрузке; на голом HTTP его подставляет заплатка'],
+    ['буфер обмена', !!(navigator.clipboard && navigator.clipboard.writeText),
+     'кнопки «копировать»; на голом HTTP его подставляет заплатка'],
+    ['заплатка отработала', !!shim,
+     'если нет — скрипт не попал на страницу или его выключили через ?lanmode=off'],
+    ['страница считается своей', /^(localhost|\\[::1\\]|::1|127\\.)/.test(location.hostname),
+     'на чужом имени харнесс уводит настройки в режим памяти; это и чинит заплатка']
+  ]
+  var rows = checks.map(function (item) {
+    return '<tr><td>' + (item[1] ? '✔' : '✘') + '</td><td>' + item[0] + '</td><td>'
+      + (item[1] ? '' : item[2]) + '</td></tr>'
+  }).join('')
+  out.innerHTML = '<table>' + rows + '</table>'
+  window.__DSH_LANMODE_BROWSER__ = checks.map(function (item) {
+    return { name: item[0], ok: item[1] }
+  })
+})()
+`
+function row(item) {
+  return '<tr><td>' + (item.ok ? '✔' : '✘') + '</td><td>' + escapeHtml(item.name)
+    + '</td><td>' + (item.ok ? '' : escapeHtml(item.detail || '')) + '</td></tr>'
+}
+function escapeHtml(text) {
+  return String(text)
+    .replace(/&/g, '&amp;')
+    .replace(/</g, '&lt;')
+    .replace(/>/g, '&gt;')
+}
+/** Страница целиком. */
+export function healthPage(state) {
+  const report = hostReport(state)
+  const listener = report.listener
+    ? escapeHtml(report.listener.scheme + '://' + report.listener.host + ':' + report.listener.port)
+    : 'нет — сеть обслуживает кто-то другой'
+  return '<!doctype html><html lang="ru"><head><meta charset="utf-8">'
+    + '<meta name="viewport" content="width=device-width, initial-scale=1">'
+    + '<title>dsh-lanmode</title><style>'
+    + 'body{font:14px/1.5 system-ui,sans-serif;margin:0;padding:24px;max-width:900px}'
+    + 'h1{font-size:20px;margin:0 0 4px}h2{font-size:15px;margin:24px 0 8px}'
+    + 'table{border-collapse:collapse;width:100%}'
+    + 'td{padding:4px 8px;border-top:1px solid rgba(128,128,128,.3);vertical-align:top}'
+    + 'td:first-child{width:1.5em;text-align:center}td:nth-child(2){width:16em}'
+    + 'td:nth-child(3){color:#888}dl{margin:0}dt{color:#888;font-size:12px;margin-top:8px}'
+    + '@media(prefers-color-scheme:dark){body{background:#111;color:#ddd}}'
+    + '</style></head><body>'
+    + '<h1>dsh-lanmode ' + escapeHtml(report.version) + '</h1>'
+    + '<dl><dt>режим</dt><dd>' + escapeHtml(report.mode)
+    + (report.modeReason ? ' — ' + escapeHtml(report.modeReason) : '') + '</dd>'
+    + '<dt>слушатель</dt><dd>' + listener + '</dd>'
+    + '<dt>сертификат</dt><dd>' + (report.tls.enabled
+      ? escapeHtml(report.tls.source + ', отпечаток ' + report.tls.fingerprint)
+      : 'нет') + '</dd>'
+    + '<dt>подменено</dt><dd>' + escapeHtml(Object.entries(report.pieces)
+      .filter(([, on]) => on).map(([name]) => name).join(', ') || 'ничего') + '</dd>'
+    + '<dt>пускаю</dt><dd>' + escapeHtml(report.allow.length ? report.allow.join(', ') : 'всех') + '</dd>'
+    + '</dl>'
+    + '<h2>Точки крепления</h2><table>' + report.assumptions.map(row).join('') + '</table>'
+    + '<h2>Что видит браузер</h2><div id="browser"></div>'
+    + '<h2>Для отчёта об ошибке</h2><p>Те же данные в JSON: '
+    + '<a href="?format=json">?format=json</a></p>'
+    + '<script>' + BROWSER_SCRIPT + '</script></body></html>'
+}

package/lib/index.js CHANGED Viewed

@@ -32,7 +32,13 @@ import z from '@deepseek-ai/schemastery'
 import { readFileSync } from 'node:fs'
 import path from 'node:path'
 import { fileURLToPath } from 'node:url'
+import { parseAllow } from './access.js'
+import { checkAssumptions, summarize } from './assumptions.js'
 import { startDirectBridge } from './bridge.js'
+import { healthPage, hostReport } from './health.js'
+import { detectMode } from './mode.js'
+import { ensureCertificate, localAddresses, readCertificate } from './tls.js'
 export const name = 'dsh-lanmode'
 export const inject = ['webServer']
@@ -44,7 +50,10 @@ export const Config = z.object({
       + '"proxy": something in front of it already listens on the network (nginx and friends) — '
       + 'the plugin only repairs the page. '
       + '"direct": the plugin also opens a listener of its own on the network and forwards to the '
-      + 'harness, so nothing else is needed.')
+      + 'harness, so nothing else is needed. '
+      + '"auto": look whether anything already answers on this machine\'s network address at the '
+      + 'harness port, and pick proxy if something does. When it cannot tell, it picks proxy: '
+      + 'an unnecessary listener on a network address is an open door, and one is not opened on a guess.')
     .default('proxy'),
   directHost: z
     .string()
@@ -69,6 +78,40 @@ export const Config = z.object({
     .description('Provide a fallback for navigator.clipboard.writeText on plain HTTP, '
       + 'so the copy buttons keep working. A no-op where the real one exists.')
     .default(true),
+  tls: z
+    .string()
+    .description('mode=direct: how the listener is secured. "off" — plain HTTP, as before. '
+      + '"self-signed" — the plugin issues a certificate itself (needs openssl) and renews it. '
+      + '"files" — use tlsCert and tlsKey. '
+      + 'This is what the microphone hangs on: a browser hands out navigator.mediaDevices only over '
+      + 'a secure connection, and no page-side substitution can help — there is a real device behind it.')
+    .default('off'),
+  tlsDir: z
+    .string()
+    .description('tls=self-signed: where the issued certificate is kept. '
+      + 'Empty uses a folder next to the harness data.')
+    .default(''),
+  tlsHosts: z
+    .array(z.string())
+    .description('tls=self-signed: extra names and addresses to put into the certificate, '
+      + 'on top of this machine\'s own. A certificate issued for one name is refused for every other, '
+      + 'even after it has been accepted once.')
+    .default([]),
+  tlsCert: z.string().description('tls=files: path to the certificate in PEM.').default(''),
+  tlsKey: z.string().description('tls=files: path to the private key in PEM.').default(''),
+  allow: z
+    .array(z.string())
+    .description('mode=direct: who may connect — addresses and CIDR ranges. Empty means everyone, '
+      + 'as before. This is not a password: whoever is on the list gets in unchecked. It narrows the '
+      + 'circle, nothing more. Behind a reverse proxy it is meaningless — every request arrives from '
+      + 'the proxy.')
+    .default([]),
+  diagnostics: z
+    .boolean()
+    .description('Serve GET /dsh-lanmode/health: what is patched, which mode is on, and what the '
+      + 'browser actually sees. Nothing secret is on that page — it is open to anyone who reached '
+      + 'the harness.')
+    .default(true),
 })
 const here = path.dirname(fileURLToPath(import.meta.url))
@@ -81,9 +124,36 @@ function shimSource() {
 /** Namespace, который плагин объявляет: через него режим правится настройками. */
 const NS = 'dsh-lanmode'
+/** Версия из манифеста: она нужна странице диагностики и отчётам об ошибках. */
+function version() {
+  try {
+    return JSON.parse(readFileSync(path.join(here, '..', 'package.json'), 'utf8')).version
+  } catch (unreadable) {
+    return 'неизвестна'
+  }
+}
+const say = (message) => {
+  // eslint-disable-next-line no-console
+  console.info('[dsh-lanmode] ' + message)
+}
 export function apply(ctx, config) {
-  // Значения берём из сервиса настроек, если он есть: тогда режим правится
-  // в настройках, а не только в дереве плагинов. Смена режима требует
+  // Запуск ровно один. Раньше их было два: путь со службой настроек и путь без
+  // неё срабатывали оба, потому что в момент проверки службы ещё не было. С
+  // одной только вставкой заплатки это сходило с рук — она защищена от повтора.
+  // С появлением слушателя, списка адресов и страницы диагностики перестало:
+  // страница показывала одно состояние, а мост работал по другому.
+  let started = false
+  const once = (usingCtx, effective) => {
+    if (started) return
+    started = true
+    start(usingCtx, effective)
+  }
+  // Значения берём из службы настроек, если она есть: тогда режим правится в
+  // настройках, а не только в дереве плагинов. Смена режима требует
   // перезапуска — слушатель поднимается один раз при старте.
   ctx.inject(['settings'], (sctx) => {
     let effective = config
@@ -93,34 +163,159 @@ export function apply(ctx, config) {
     } catch (alreadyRegistered) {
       effective = config
     }
-    start(sctx, effective)
+    once(sctx, effective)
   })
-  // Без сервиса настроек тоже должно работать — тогда только дерево плагинов.
+  // Без службы настроек тоже должно работать — тогда только дерево плагинов.
+  // Ждём: службы может не быть вовсе, а может не быть ещё. Различить это можно
+  // только временем, и лучше подождать, чем запуститься не тем набором.
   ctx.effect(() => {
-    if (ctx.get && ctx.get('settings')) return () => {}
-    start(ctx, config)
-    return () => {}
-  }, 'dsh-lanmode: запуск без сервиса настроек')
+    const timer = setTimeout(() => once(ctx, config), 2000)
+    return () => clearTimeout(timer)
+  }, 'dsh-lanmode: запуск без службы настроек')
 }
-function start(ctx, config) {
-  // Прямой режим: свой слушатель на сетевом адресе. В режиме прокси не
-  // поднимаем ничего — сеть уже обслуживает кто-то другой.
-  if (config.mode === 'direct') {
-    ctx.effect(() => startDirectBridge(ctx, {
-      host: config.directHost || '0.0.0.0',
-      port: config.directPort || 3088,
-      // eslint-disable-next-line no-console
-      log: (message) => console.info('[dsh-lanmode] ' + message),
-    }), 'dsh-lanmode: слушатель прямого режима')
+/**
+ * Куда складывать выпущенный сертификат.
+ *
+ * Рядом с прочими данными харнесса, если он сказал где; иначе — куда указал
+ * человек. Своего пути плагин не выдумывает: писать в неизвестное место чужой
+ * машины он не вправе.
+ */
+function certificateDir(config) {
+  if (config.tlsDir) return config.tlsDir
+  const home = process.env.DSH_HOME
+  return home ? path.join(home, 'dsh-lanmode') : ''
+}
+/** Поднять слушатель прямого режима: сначала сертификат, потом мост. */
+async function raiseListener(ctx, config, state) {
+  const host = config.directHost || '0.0.0.0'
+  const port = config.directPort || 3088
+  const { rules, dropped } = parseAllow(config.allow)
+  if (dropped.length) say('в списке разрешённых не разобраны записи: ' + dropped.join(', '))
+  let tls = null
+  if (config.tls === 'files') {
+    try {
+      tls = readCertificate(config.tlsCert, config.tlsKey)
+      state.tls = { enabled: true, source: 'свой сертификат', fingerprint: tls.fingerprint }
+    } catch (unreadable) {
+      say('сертификат не прочитан (' + String(unreadable.message || unreadable)
+        + ') — поднимаю без защищённого соединения, микрофон работать не будет')
+    }
+  } else if (config.tls === 'self-signed') {
+    const dir = certificateDir(config)
+    if (!dir) {
+      say('некуда положить сертификат: задайте tlsDir — поднимаю без защищённого соединения')
+    } else {
+      try {
+        const hosts = [...new Set([...(config.tlsHosts ?? []), ...localAddresses()])]
+        const made = await ensureCertificate({ dir, hosts, log: say })
+        tls = made
+        state.tls = { enabled: true, source: 'самоподписанный', fingerprint: made.fingerprint }
+        say((made.issued ? 'выпущен' : 'взят') + ' сертификат на ' + hosts.length
+          + ' имён, отпечаток ' + made.fingerprint)
+        say('браузер предупредит о нём один раз: сверьте отпечаток и подтвердите')
+      } catch (failed) {
+        say('сертификат не выпущен (' + String(failed.message || failed)
+          + '). Обычно это значит, что нет openssl: поставьте его или задайте свой '
+          + 'сертификат через tls=files. Поднимаю без защищённого соединения, '
+          + 'микрофон работать не будет')
+      }
+    }
   }
+  state.listener = { scheme: tls ? 'https' : 'http', host, port }
+  return startDirectBridge(ctx, { host, port, log: say, allow: rules, tls })
+}
+function start(ctx, config) {
   const pieces = {
     settings: config.settings !== false,
     randomUuid: config.randomUuid !== false,
     clipboard: config.clipboard !== false,
   }
+  const state = {
+    version: version(),
+    mode: config.mode,
+    modeReason: '',
+    listener: null,
+    tls: { enabled: false },
+    pieces,
+    allow: Array.isArray(config.allow) ? config.allow : [],
+    assumptions: [],
+  }
+  // Режим: заданный руками — как сказано, `auto` — по тому, обслуживает ли сеть
+  // кто-то другой. Слушатель поднимается один раз, поэтому и решение одно.
+  ctx.effect(() => {
+    let stop = () => {}
+    let alive = true
+    const decide = async () => {
+      let mode = config.mode
+      if (mode === 'auto') {
+        const verdict = await detectMode({
+          addresses: localAddresses(),
+          port: ctx.webServer && ctx.webServer.port,
+          directPort: config.directPort || 3088,
+        })
+        mode = verdict.mode
+        state.mode = mode
+        state.modeReason = verdict.reason
+        say('режим выбран сам: ' + mode + ' — ' + verdict.reason)
+      }
+      if (!alive || mode !== 'direct') return
+      stop = await raiseListener(ctx, config, state)
+    }
+    decide().catch((failed) => say('прямой режим не поднялся: ' + String(failed.message || failed)))
+    return () => { alive = false; stop() }
+  }, 'dsh-lanmode: слушатель прямого режима')
+  // Проверка точек крепления: плагин чинит чужое поведение, и его собственная
+  // поломка обязана быть заметной.
+  ctx.effect(() => {
+    let alive = true
+    const port = ctx.webServer && ctx.webServer.port
+    const fetchIndex = () => fetch('http://127.0.0.1:' + port + '/').then((answer) => answer.text())
+    // Даём харнессу договорить о себе: страница отдаётся не в первый миг.
+    const timer = setTimeout(() => {
+      checkAssumptions({ webServer: ctx.webServer, fetchIndex })
+        .then((results) => {
+          if (!alive) return
+          state.assumptions = results
+          const line = summarize(results)
+          if (results.every((item) => item.ok)) say(line)
+          // eslint-disable-next-line no-console
+          else console.warn('[dsh-lanmode] ' + line)
+        })
+        .catch((failed) => say('проверить точки крепления не вышло: ' + String(failed.message || failed)))
+    }, 3000)
+    return () => { alive = false; clearTimeout(timer) }
+  }, 'dsh-lanmode: проверка точек крепления')
+  if (config.diagnostics !== false) {
+    ctx.effect(() => ctx.webServer.register({
+      kind: 'exact',
+      path: '/dsh-lanmode/health',
+      handler: (req, res) => {
+        const json = String(req.url ?? '').includes('format=json')
+        if (json) {
+          res.writeHead(200, { 'content-type': 'application/json; charset=utf-8' })
+          res.end(JSON.stringify(hostReport(state), null, 2))
+          return
+        }
+        res.writeHead(200, { 'content-type': 'text/html; charset=utf-8' })
+        res.end(healthPage(state))
+      },
+    }), 'dsh-lanmode: страница диагностики')
+  }
   // Ничего не включено — и вставлять нечего.
   if (!pieces.settings && !pieces.randomUuid && !pieces.clipboard) return

package/lib/mode.js ADDED Viewed

@@ -0,0 +1,120 @@
+// Автовыбор режима.
+//
+// Режим сейчас выставляется руками, а при переезде о нём забывают. Ошибка в обе
+// стороны неприятна: лишний слушатель на занятом порту или его отсутствие там,
+// где он нужен.
+//
+// Определяем по одному признаку: отвечает ли что-нибудь на сетевом адресе этой
+// машины по порту харнесса. Харнесс слушает только петлю, поэтому ответ оттуда
+// означает, что сеть уже обслуживает кто-то другой, — то есть прокси.
+//
+// Правило простое и осознанно осторожное: не удалось выяснить — считаем, что
+// прокси есть, и ничего не поднимаем. Лишний слушатель на сетевом адресе — это
+// открытая дверь, и заводить её по догадке нельзя.
+//
+// Чего эта проверка не умеет: заметить прокси, который слушает ДРУГОЙ порт.
+// Такой случай неотличим снаружи от «никого нет», и для него режим задаётся
+// руками. Так и написано в описании плагина.
+import net from 'node:net'
+/** Отвечает ли кто-нибудь по этому адресу и порту. */
+function knock(host, port, timeoutMs) {
+  return new Promise((resolve) => {
+    const socket = net.connect({ host, port })
+    const done = (answer) => {
+      socket.removeAllListeners()
+      try { socket.destroy() } catch (already) { /* уже мертво */ }
+      resolve(answer)
+    }
+    socket.setTimeout(timeoutMs, () => done(false))
+    socket.on('connect', () => done(true))
+    socket.on('error', () => done(false))
+  })
+}
+/** Свой ли это адрес: петля отвечает всегда и для проверки не годится. */
+export function isLoopback(address) {
+  const clean = String(address).trim()
+  return clean === 'localhost' || clean === '::1' || clean === '[::1]' || /^127\./.test(clean)
+}
+/**
+ * Годится ли адрес для опроса.
+ *
+ * Связь-локальные адреса (fe80::) отбрасываются: без указания интерфейса к ним
+ * не подключиться, а с ним они всё равно ничего не говорят о том, обслуживает
+ * ли кто-то сеть.
+ */
+export function worthAsking(address) {
+  const clean = String(address ?? '').trim()
+  if (!clean || isLoopback(clean)) return false
+  if (/^fe80:/i.test(clean)) return false
+  if (/^169\.254\./.test(clean)) return false
+  // Имя машины опрашивать незачем: оно разрешается в один из тех же адресов.
+  return /^[0-9.]+$/.test(clean) || clean.includes(':')
+}
+/**
+ * Выбрать режим.
+ *
+ * Все адреса опрашиваются разом: их у машины бывает под сотню, и опрос по
+ * одному с ожиданием превращает выбор режима в минуты молчания при старте.
+ *
+ * @param options {{addresses: string[], port: number, directPort?: number,
+ *                  timeoutMs?: number, probe?: Function}}
+ * @returns `{ mode: 'proxy'|'direct', reason: string }`
+ */
+export async function detectMode(options) {
+  const probe = options.probe ?? knock
+  const timeoutMs = options.timeoutMs ?? 1000
+  const addresses = (options.addresses ?? []).filter(worthAsking)
+  if (!options.port) {
+    return { mode: 'proxy', reason: 'порт харнесса неизвестен — ничего не поднимаю' }
+  }
+  if (addresses.length === 0) {
+    return { mode: 'proxy', reason: 'сетевых адресов не нашлось — ничего не поднимаю' }
+  }
+  let answers
+  try {
+    answers = await Promise.all(addresses.map((address) => probe(address, options.port, timeoutMs)))
+  } catch (failed) {
+    return {
+      mode: 'proxy',
+      reason: 'проверить не удалось (' + String(failed.message || failed) + ') — ничего не поднимаю',
+    }
+  }
+  const busy = addresses.filter((address, index) => answers[index])
+  if (busy.length) {
+    return {
+      mode: 'proxy',
+      reason: 'по адресу ' + busy[0] + ':' + options.port + ' уже кто-то отвечает — сеть обслуживают без меня',
+    }
+  }
+  // Свой порт уже занят — поднимать нечего, и молчать об этом нельзя: иначе
+  // человек будет искать, почему по нему отвечает не то, что он ждёт.
+  if (options.directPort) {
+    let taken = false
+    try {
+      taken = await probe('127.0.0.1', options.directPort, timeoutMs)
+    } catch (unknown) {
+      taken = false
+    }
+    if (taken) {
+      return {
+        mode: 'proxy',
+        reason: 'порт ' + options.directPort + ' уже занят — свой слушатель не поднимаю',
+      }
+    }
+  }
+  return {
+    mode: 'direct',
+    reason: 'на ' + addresses.length + ' сетевых адресах по порту ' + options.port
+      + ' никто не отвечает — поднимаю свой слушатель',
+  }
+}

package/lib/shim.js CHANGED Viewed

@@ -67,35 +67,83 @@
   // ------------------------------------------------------------- настройки
   if (!options.settings) return
-  // Флаг читают трое, и третьему подменять нельзя: в результатах работы он
-  // решает, можно ли открыть файл локально, и с подменой браузер просил бы
-  // открыть путь на машине сервера. Поэтому — только два настроечных пакета.
-  var TARGETS = [
-    '@deepseek-ai/dsh-client-ui-settings',
-    '@deepseek-ai/dsh-client-ui-settings-general',
+  // Флаг живёт на объекте соединения, и читают его в двух совершенно разных
+  // местах.
+  //
+  // Общий справочник разделов заводится в apply настроечного пакета — там
+  // хватало подмены контекста. Но каждый отдельный раздел привязывается иначе:
+  //
+  //     bind(spec) {
+  //       const ctx = this.ctx                      // контекст вызывающего
+  //       const connection = ctx.get('connection')
+  //       ... connection.isLoopback ? 'host' : 'memory'
+  //     }
+  //
+  // this.ctx — контекст того плагина, который зовёт bind. Подменять контекст
+  // каждому плагину бесполезно: сервис запоминает не заместителя, а исходный
+  // контекст, через который его завели. Поэтому подменяется не контекст, а сам
+  // объект соединения, и ровно один раз: он один на весь интерфейс, и после
+  // подмены одинаковый ответ видят все — и ядро, и любой плагин со своим
+  // разделом настроек.
+  //
+  // Исключение одно: выдача результатов работы. Там флаг решает, можно ли
+  // открыть файл локально, и с подменой браузер просил бы открыть путь на
+  // машине сервера. Этому пакету возвращается настоящее значение. Больше флаг
+  // во всём интерфейсе не читает никто.
+  var EXCLUDED = [
+    '@deepseek-ai/dsh-client-ui-deliverables',
   ]
-  function connectionWithForcedFlag(connection) {
+  /** Настоящий ответ по тому же правилу, что и у ядра: только свои адреса. */
+  function realLoopback() {
+    var host = location.hostname
+    if (host === 'localhost' || host === '[::1]' || host === '::1') return true
+    return /^127\./.test(host)
+  }
+  // Подмена ставится при первой же возможности: как только у кого-то из
+  // пакетов появился контекст, из которого достаётся соединение.
+  var forced = false
+  function forceOnConnection(ctx) {
+    if (forced) return
+    var connection = null
+    try { connection = ctx && ctx.get && ctx.get('connection') } catch (noService) { connection = null }
+    if (!connection || typeof connection !== 'object') return
+    try {
+      Object.defineProperty(connection, 'isLoopback', {
+        configurable: true,
+        get: function () { return loopbackAnswer },
+      })
+      forced = true
+    } catch (cannotDefine) {
+      // Свойство неподатливо — оставляем как было: страница будет вести себя
+      // так же, как без плагина.
+    }
+  }
+  function connectionWithRealFlag(connection) {
     if (!connection || typeof connection !== 'object') return connection
     return new Proxy(connection, {
       get: function (target, prop) {
-        if (prop === 'isLoopback') return loopbackAnswer
+        if (prop === 'isLoopback') return realLoopback()
         var value = Reflect.get(target, prop, target)
         return typeof value === 'function' ? value.bind(target) : value
       },
     })
   }
-  function ctxWithForcedConnection(ctx) {
+  /** Контекст исключённого пакета: ему возвращается настоящее значение. */
+  function ctxWithRealConnection(ctx) {
     return new Proxy(ctx, {
       get: function (target, prop) {
         if (prop === 'get') {
           return function (nameRequested) {
             var value = target.get(nameRequested)
-            return nameRequested === 'connection' ? connectionWithForcedFlag(value) : value
+            return nameRequested === 'connection' ? connectionWithRealFlag(value) : value
           }
         }
-        if (prop === 'connection') return connectionWithForcedFlag(Reflect.get(target, prop, target))
+        if (prop === 'connection') return connectionWithRealFlag(Reflect.get(target, prop, target))
         var value = Reflect.get(target, prop, target)
         return typeof value === 'function' ? value.bind(target) : value
       },
@@ -103,8 +151,8 @@
   }
   function wrap(registration) {
-    if (!registration || TARGETS.indexOf(registration.id) === -1) return registration
-    if (typeof registration.factory !== 'function') return registration
+    if (!registration || typeof registration.factory !== 'function') return registration
+    var excluded = EXCLUDED.indexOf(registration.id) !== -1
     var factory = registration.factory
     var patched = {}
     for (var key in registration) patched[key] = registration[key]
@@ -113,7 +161,12 @@
       if (!moduleExports || typeof moduleExports.apply !== 'function') return moduleExports
       var originalApply = moduleExports.apply
       moduleExports.apply = function (ctx) {
-        return originalApply.call(this, ctxWithForcedConnection(ctx))
+        // Исключённый пакет читает соединение раньше, чем его успели подменить,
+        // — но полагаться на это нельзя, поэтому ему всегда отдаётся
+        // заместитель с настоящим значением.
+        if (excluded) return originalApply.call(this, ctxWithRealConnection(ctx))
+        forceOnConnection(ctx)
+        return originalApply.call(this, ctx)
       }
       return moduleExports
     }