@goodandready/dsh-lanmode 0.6.0 → 0.6.2

package/lib/bridge.js

@@ -154,7 +154,17 @@ export function startDirectBridge(ctx, options) {
       const lines = ['HTTP/1.1 101 Switching Protocols']
       for (const [key, value] of Object.entries(answer.headers)) lines.push(key + ': ' + value)
       socket.write(lines.join('\r\n') + '\r\n\r\n')
-      if (upstreamHead && upstreamHead.length) socket.unshift(upstreamHead)
+      // Хвосты рукопожатия — байты, пришедшие в том же пакете, что и ответ. Их
+      // надо переложить в ПРОТИВОПОЛОЖНУЮ сторону, и это то место, где мост
+      // ошибался с первого выпуска: upstreamHead уходил в socket.unshift, то
+      // есть в читающую сторону клиентского сокета. Мост притворялся, будто эти
+      // байты прислал браузер, и по конвейеру возвращал их харнессу. Первый
+      // кадр — а харнесс шлёт его сразу после рукопожатия — до браузера не
+      // доезжал никогда. Снаружи это выглядело так: разговор открыт, сообщение
+      // отправлено, а в чате пусто.
+      if (upstreamHead && upstreamHead.length) socket.write(upstreamHead)
+      if (head && head.length) upstreamSocket.write(head)
+
       upstreamSocket.pipe(socket)
       socket.pipe(upstreamSocket)
       const drop = () => { try { upstreamSocket.destroy() } catch (already) { /* уже мертво */ } }
@@ -162,7 +172,8 @@ export function startDirectBridge(ctx, options) {
       socket.on('close', drop)
     })
     upstream.on('error', () => { try { socket.destroy() } catch (already) { /* уже мертво */ } })
-    if (head && head.length) upstream.write(head)
+    // head сюда не пишем: это байты уже установленного соединения, а не тело
+    // запроса. Их место — в upstreamSocket, сразу после рукопожатия.
     upstream.end()
   }
 

package/lib/tls.js

@@ -28,20 +28,50 @@ const RENEW_BEFORE_MS = 30 * 24 * 60 * 60 * 1000
 /** Сколько живёт выпущенный нами сертификат. */
 const LIFETIME_DAYS = 397
 
+/**
+ * Интерфейсы, живущие ровно столько, сколько живёт контейнер.
+ *
+ * Докер заводит виртуальную пару на каждый контейнер и мост на каждую сеть.
+ * Адреса на них видны только изнутри контейнера, а появляются и исчезают по
+ * десятку за день.
+ */
+const EPHEMERAL_INTERFACE = /^(veth|br-|docker|virbr)/i
+
+/**
+ * Связь-локальный адрес: браузеру недоступен в принципе.
+ *
+ * Такому адресу нужен индекс зоны — `[fe80::1%eth0]`, — и ни один человек
+ * этого в строку не набирает.
+ */
+function linkLocal(address) {
+  return /^fe80:/i.test(address) || /^169\.254\./.test(address)
+}
+
 /**
  * Адреса, по которым к этой машине могут обратиться.
  *
- * В сертификат идут все: браузер сверяет тот адрес, который набрали в строке,
- * и сертификат, выписанный на одно имя, ругается на все остальные — даже после
- * того, как его один раз приняли.
+ * В сертификат идут все сразу: браузер сверяет тот адрес, который набрали в
+ * строке, и сертификат, выписанный на одно имя, ругается на все остальные —
+ * даже после того, как его один раз приняли.
+ *
+ * Но «все» — это не каждый адрес из системы. Летучие сюда попадать не должны,
+ * и дело не в размере списка: сертификат считается негодным, как только на
+ * машине появился адрес, которого в нём нет. Один поднятый контейнер — и
+ * сертификат перевыпускается, отпечаток меняется, браузер требует подтвердить
+ * страницу заново. Обещание «подтвердить один раз» держится ровно до
+ * следующего `docker compose up`.
+ *
+ * Кому нужен адрес, которого здесь нет, — для этого есть `tlsHosts`.
  */
 export function localAddresses() {
   const found = new Set(['localhost', '127.0.0.1', '::1'])
   const interfaces = os.networkInterfaces()
-  for (const list of Object.values(interfaces)) {
+  for (const [name, list] of Object.entries(interfaces)) {
+    if (EPHEMERAL_INTERFACE.test(name)) continue
     for (const item of list ?? []) {
       if (!item || item.internal) continue
-      if (item.address) found.add(item.address)
+      if (!item.address || linkLocal(item.address)) continue
+      found.add(item.address)
     }
   }
   const hostname = os.hostname()

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@goodandready/dsh-lanmode",
-  "version": "0.6.0",
+  "version": "0.6.2",
   "description": "LAN and reverse-proxy access for the DeepSeek Harness Web UI: returns the settings service on pages that are not localhost, fills in the Web APIs the browser withholds on plain HTTP, and can open a listener of its own so nothing else is needed.",
   "license": "MIT",
   "type": "module",