@goodandready/dsh-lanmode 0.6.1 → 0.6.3

package/lib/bridge.js

@@ -17,6 +17,7 @@
 
 import http from 'node:http'
 import https from 'node:https'
+import { forceLoopback, isConnectionBundle } from './loopback-source.js'
 
 import { allowed } from './access.js'
 import { REFUSED, isPrivileged } from './privileged.js'
@@ -109,17 +110,40 @@ export function startDirectBridge(ctx, options) {
     req.setTimeout(streamTimeoutMs)
     res.setTimeout(streamTimeoutMs)
 
+    // Сборку с признаком «своя машина» правим на лету, всё остальное идёт
+    // кусками как шло. Для неё просим несжатый ответ: иначе пришлось бы
+    // распаковывать ради одной строки.
+    const patching = isConnectionBundle(req.url)
+    const headers = rewritten(req.headers, authority)
+    if (patching) headers['accept-encoding'] = 'identity'
+
     const upstream = http.request({
       host: '127.0.0.1',
       port: upstreamPort,
       method: req.method,
       path: req.url,
-      headers: rewritten(req.headers, authority),
+      headers,
       timeout: streamTimeoutMs || undefined,
     }, (answer) => {
       answer.setTimeout(streamTimeoutMs)
-      res.writeHead(answer.statusCode || 502, answer.headers)
-      answer.pipe(res)
+      if (!patching) {
+        res.writeHead(answer.statusCode || 502, answer.headers)
+        answer.pipe(res)
+        return
+      }
+      const parts = []
+      answer.on('data', (chunk) => parts.push(chunk))
+      answer.on('end', () => {
+        const done = forceLoopback(Buffer.concat(parts).toString('utf8'))
+        if (!done.changed) options.log('сборка соединения пришла без известного вычисления признака: отдаю как есть')
+        const body = Buffer.from(done.source, 'utf8')
+        const out = { ...answer.headers }
+        out['content-length'] = String(body.length)
+        delete out['content-encoding']
+        res.writeHead(answer.statusCode || 502, out)
+        res.end(body)
+      })
+      answer.on('error', () => { if (!res.writableEnded) res.end() })
     })
     upstream.on('error', () => {
       if (!res.headersSent) res.writeHead(502, { 'content-type': 'text/plain; charset=utf-8' })

package/lib/loopback-source.js

@@ -0,0 +1,49 @@
+// Признак «страница открыта с этой же машины» — в самом источнике.
+//
+// Ядро вычисляет его в браузере один раз, при сборке объекта соединения:
+//
+//     isLoopback: pageLocation === void 0 || isLoopbackHostname(pageLocation.hostname)
+//
+// Дальше это обычное свойство обычного объекта, и подменить его на странице
+// можно — плагин так и делает. Но подмена успевает не везде: разделы настроек
+// привязываются в момент своего apply, и тот, кто привязался раньше нашего
+// клиентского кода, уже запомнил «нет». Вкладка «Модели» — как раз такой
+// случай: она читает раздел с провайдерами до нас, получает пустое хранилище
+// вместо файла, и девять заведённых провайдеров исчезают из списка вместе с
+// возможностью их выбрать.
+//
+// Гонку не выиграть перестановкой: порядок загрузки задаёт не плагин. Поэтому
+// значение правится там, где его больше никто не обгонит — в самом файле,
+// пока он идёт через мост. Одна строка, одно вхождение, остальной файл
+// нетронут.
+//
+// Настоящее значение при этом не теряется: клиентская часть плагина отдаёт его
+// тем, кому оно действительно нужно — выдаче результатов работы, где флаг
+// решает, открывать ли путь на своей машине или на серверной.
+
+/** Путь, по которому ядро отдаёт сборку с этим вычислением. */
+export const CONNECTION_BUNDLE = '/plugins/@deepseek-ai/dsh-client-connection/client.js'
+
+/** Ровно то выражение, которое считает признак. */
+const COMPUTED = 'isLoopback: pageLocation === void 0 || isLoopbackHostname(pageLocation.hostname),'
+
+/** Чем его заменяем. */
+const ALWAYS = 'isLoopback: true,'
+
+/** Тот ли это запрос: путь сверяем без строки запроса — там висит ?rev=... */
+export function isConnectionBundle(url) {
+  const path = String(url ?? '').split('?')[0]
+  return path === CONNECTION_BUNDLE
+}
+
+/**
+ * Заменить вычисление признака на «да».
+ *
+ * @param source текст сборки
+ * @returns `{ source, changed }` — исходник и признак того, что замена нашлась
+ */
+export function forceLoopback(source) {
+  const text = String(source)
+  if (!text.includes(COMPUTED)) return { source: text, changed: false }
+  return { source: text.replace(COMPUTED, ALWAYS), changed: true }
+}

package/lib/tls.js

@@ -28,20 +28,50 @@ const RENEW_BEFORE_MS = 30 * 24 * 60 * 60 * 1000
 /** Сколько живёт выпущенный нами сертификат. */
 const LIFETIME_DAYS = 397
 
+/**
+ * Интерфейсы, живущие ровно столько, сколько живёт контейнер.
+ *
+ * Докер заводит виртуальную пару на каждый контейнер и мост на каждую сеть.
+ * Адреса на них видны только изнутри контейнера, а появляются и исчезают по
+ * десятку за день.
+ */
+const EPHEMERAL_INTERFACE = /^(veth|br-|docker|virbr)/i
+
+/**
+ * Связь-локальный адрес: браузеру недоступен в принципе.
+ *
+ * Такому адресу нужен индекс зоны — `[fe80::1%eth0]`, — и ни один человек
+ * этого в строку не набирает.
+ */
+function linkLocal(address) {
+  return /^fe80:/i.test(address) || /^169\.254\./.test(address)
+}
+
 /**
  * Адреса, по которым к этой машине могут обратиться.
  *
- * В сертификат идут все: браузер сверяет тот адрес, который набрали в строке,
- * и сертификат, выписанный на одно имя, ругается на все остальные — даже после
- * того, как его один раз приняли.
+ * В сертификат идут все сразу: браузер сверяет тот адрес, который набрали в
+ * строке, и сертификат, выписанный на одно имя, ругается на все остальные —
+ * даже после того, как его один раз приняли.
+ *
+ * Но «все» — это не каждый адрес из системы. Летучие сюда попадать не должны,
+ * и дело не в размере списка: сертификат считается негодным, как только на
+ * машине появился адрес, которого в нём нет. Один поднятый контейнер — и
+ * сертификат перевыпускается, отпечаток меняется, браузер требует подтвердить
+ * страницу заново. Обещание «подтвердить один раз» держится ровно до
+ * следующего `docker compose up`.
+ *
+ * Кому нужен адрес, которого здесь нет, — для этого есть `tlsHosts`.
  */
 export function localAddresses() {
   const found = new Set(['localhost', '127.0.0.1', '::1'])
   const interfaces = os.networkInterfaces()
-  for (const list of Object.values(interfaces)) {
+  for (const [name, list] of Object.entries(interfaces)) {
+    if (EPHEMERAL_INTERFACE.test(name)) continue
     for (const item of list ?? []) {
       if (!item || item.internal) continue
-      if (item.address) found.add(item.address)
+      if (!item.address || linkLocal(item.address)) continue
+      found.add(item.address)
     }
   }
   const hostname = os.hostname()

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@goodandready/dsh-lanmode",
-  "version": "0.6.1",
+  "version": "0.6.3",
   "description": "LAN and reverse-proxy access for the DeepSeek Harness Web UI: returns the settings service on pages that are not localhost, fills in the Web APIs the browser withholds on plain HTTP, and can open a listener of its own so nothing else is needed.",
   "license": "MIT",
   "type": "module",