@goodandready/dsh-subscriptions 0.6.63 → 0.6.64

package/README.md

@@ -102,6 +102,7 @@ graph LR
 * **Dynamic Model Catalog & Live Quota Visualizer (#507)**: Dynamic model catalog with pool-level health calculation (individual quarantine degrades rather than disables the pool), context window badges, capability tags (`vision`, `tools`, `reasoning`, `coding`, `fast`), and live reset countdowns.
 * **Cache-Aware Session Pinning (#520)**: Retains session affinity for prompt-caching providers (Claude, Codex, Antigravity, Grok) to maximize token cache reuse while strictly releasing pins when an account enters cooldown, quarantine, or quota exhaustion.
 * **Guided Diagnostic Wizard (#519)**: Interactive step-by-step checklist verifying credentials, network/proxy connectivity, token freshness, and model catalog reachability without paid inference and with full secret redaction.
+* **Desktop Electron Compatibility (#524)**: Non-HTTP app schemes (`dsh-app://`) bypass web-only host equality checks while strictly preserving loopback socket verification and fail-closed cross-site protection.
 
 ---
 

package/README.ru.md

@@ -102,6 +102,7 @@ graph LR
 * **Динамический каталог моделей с пуловой доступностью и квотами (#507)**: Обогащенная витрина моделей с расчетом здоровья пула (карантин одного аккаунта не блокирует модель при наличии живых), тегами возможностей (`vision`, `tools`, `reasoning`, `coding`, `fast`), размером контекста и таймером сброса квот.
 * **Cache-Aware Session Pinning (#520)**: Сохранение привязки сессии к подходящему аккаунту для провайдеров с поддержкой кэширования промптов (Claude, Codex, Antigravity, Grok) с гарантированным немедленным освобождением при кулдауне, карантине или исчерпании квоты.
 * **Мастер интерактивной диагностики (#519)**: Пошаговый чек-лист состояния аккаунтов (валидность ключей, прокси, токен, доступность каталога) без платного инференса и с автоматическим маскированием секретов.
+* **Совместимость с DSH Desktop (#524)**: Специфичные схемы Electron (`dsh-app://`) пропускаются к проверке loopback-сокета, устраняя ложные блокировки 403 на десктопных клиентах при сохранении полной защиты от cross-site атак.
 
 ---
 

package/lib/http.js

@@ -93,13 +93,17 @@ export function isTrustedSettingsRequest(request, targetCtx) {
   const secFetchSite = String(headers['sec-fetch-site'] || '').toLowerCase()
   if (secFetchSite === 'cross-site') return false
 
-  // 2. If origin header is present, it must match host
+  // 2. If origin header is present, verify origin matches host (#524)
   const host = String(Array.isArray(headers.host) ? headers.host[0] : (headers.host || headers['x-forwarded-host'] || ''))
   const origin = headers.origin
   if (origin) {
     try {
       const u = new URL(origin)
-      if (!host || u.host.toLowerCase() !== host.toLowerCase()) {
+      if (u.protocol === 'http:' || u.protocol === 'https:') {
+        if (!host || u.host.toLowerCase() !== host.toLowerCase()) {
+          return false
+        }
+      } else if (u.protocol !== 'dsh-app:') {
         return false
       }
     } catch {
@@ -107,12 +111,16 @@ export function isTrustedSettingsRequest(request, targetCtx) {
     }
   }
 
-  // 3. If referer header is present and no origin, referer must match host
+  // 3. If referer header is present and no origin, verify http/https referer matches host (#524)
   const referer = headers.referer
   if (!origin && referer) {
     try {
       const u = new URL(referer)
-      if (!host || u.host.toLowerCase() !== host.toLowerCase()) {
+      if (u.protocol === 'http:' || u.protocol === 'https:') {
+        if (!host || u.host.toLowerCase() !== host.toLowerCase()) {
+          return false
+        }
+      } else if (u.protocol !== 'dsh-app:') {
         return false
       }
     } catch {
@@ -166,13 +174,21 @@ export function isTrustedSettingsRequest(request, targetCtx) {
     if (origin && host) {
       try {
         const u = new URL(origin)
-        if (u.host.toLowerCase() === host.toLowerCase()) return true
+        if (u.protocol === 'http:' || u.protocol === 'https:') {
+          if (u.host.toLowerCase() === host.toLowerCase()) return true
+        } else if (u.protocol === 'dsh-app:') {
+          return true
+        }
       } catch { /* bestEffort */ }
     }
     if (referer && host) {
       try {
         const u = new URL(referer)
-        if (u.host.toLowerCase() === host.toLowerCase()) return true
+        if (u.protocol === 'http:' || u.protocol === 'https:') {
+          if (u.host.toLowerCase() === host.toLowerCase()) return true
+        } else if (u.protocol === 'dsh-app:') {
+          return true
+        }
       } catch { /* bestEffort */ }
     }
   }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@goodandready/dsh-subscriptions",
-  "version": "0.6.63",
+  "version": "0.6.64",
   "description": "Use ChatGPT Codex, Claude, Grok, Antigravity, Kimi, GLM, Cursor, Kiro, Copilot, Qwen, ERNIE, Spark, JetBrains, Perplexity, Replit, and Cody subscriptions as DeepSeek Harness LLM providers via OAuth.",
   "license": "MIT",
   "type": "module",