@kne/fastify-app-manager 0.1.2 → 0.1.4

package/README.md

@@ -23,6 +23,8 @@ npm i --save @kne/fastify-app-manager
 适用场景：内网/堡垒机上的业务应用集中托管；不负责多机编排、硬磁盘配额或 WebSocket 升级。
 
 > **关键设计**：子应用前端通过部署时注入的 `runtimePublicUrl` / `runtimeApiUrl` 感知对外前缀；网关对路径模式剥前缀反代，并改写 Location / Cookie / 文本 body 兜底。Scheme B（子进程挂 `APP_BASE_PATH`）已弃用。
+>
+> **存储隔离**：同时注入 `window.__LOCAL_STORAGE_PREFIX="<应用名>"`，`@kne/local-storage`（≥0.1.2，`@kne/token-storage` 底层依赖）读到后自动给 key 加 `<应用名>:` 前缀，避免同源挂载的子应用与宿主、其它子应用互相覆盖登录 token 等本地存储。
 
 #### 核心架构与流程
 
@@ -115,7 +117,7 @@ deploy(versionId)
 
 | 特性 | 说明 |
 |------|------|
-| 版本上传 | Zip Slip 防护、条目数/体积上限、Fullstack 包格式校验、server 生产依赖安装 |
+| 版本上传 | Zip Slip 防护、条目数/体积上限、解压丢弃任意层级 `node_modules`、Fullstack 包格式校验、server 生产依赖安装 |
 | 短部署 | `deploy` / `start` / `restart` 立即返回 `deploying`，后台按 PM2 真实状态 + healthCheck 写回 `running`/`error`/`stopped` |
 | 生命周期 | `start` / `stop` / `restart` / `remove`；父应用重启后异步 `syncAllStatuses` 对齐 PM2 |
 | 双通道访问 | 自定义域名透明反代 + `/app/{name}` 剥前缀反代 |
@@ -194,7 +196,7 @@ await fastify.listen({ port: 3000 });
 | `healthCheckTimeoutMs` | number | 否 | `30000` | 探测总超时（毫秒） |
 | `healthCheckIntervalMs` | number | 否 | `1000` | 探测轮询间隔（毫秒） |
 | `maxZipSize` | number | 否 | `209715200` | zip 最大字节（200MB）；同步 multipart 限制 |
-| `maxZipEntries` | number | 否 | `20000` | zip 最大条目数 |
+| `maxZipEntries` | number | 否 | `20000` | zip 最大条目数（不含被丢弃的 `node_modules` 条目） |
 | `npmInstallTimeoutMs` | number | 否 | `600000` | `server` 目录 `npm install` 超时 |
 | `sseReplayLines` | number | 否 | `100` | SSE 连接时回放最近行数 |
 | `sseHeartbeatMs` | number | 否 | `15000` | SSE 心跳间隔 |

package/libs/utils/entryInject.js

@@ -60,7 +60,8 @@ const injectEntryHtml = async ({ buildDir, appName, publicUrl, apiUrl }) => {
       `window.runtimeAppName=${JSON.stringify(appName || '')};` +
       `window.runtimePublicUrl=${JSON.stringify(normalizedPublic)};` +
       `window.runtimeApiUrl=${JSON.stringify(normalizedApi)};` +
-      `window.__webpack_public_path__=${JSON.stringify(publicPath)};`;
+      `window.__webpack_public_path__=${JSON.stringify(publicPath)};` +
+      `window.__LOCAL_STORAGE_PREFIX=${JSON.stringify(appName || '')};`;
     doc.head.insertBefore(scriptEl, doc.head.firstChild);
 
     await fs.writeFile(filePath, dom.serialize());

package/libs/utils/zip.js

@@ -7,6 +7,10 @@ const isPathInside = (parent, child) => {
   return relative === '' || (!relative.startsWith('..') && !path.isAbsolute(relative));
 };
 
+const normalizeEntryName = name => name.replace(/^[/\\]+/, '').replace(/\\/g, '/');
+
+const isNodeModulesEntry = name => normalizeEntryName(name).split('/').includes('node_modules');
+
 const extractZipSafe = async (zipBuffer, destDir, { maxZipSize, maxZipEntries }) => {
   if (!Buffer.isBuffer(zipBuffer)) {
     throw new Error('zip content must be a Buffer');
@@ -17,13 +21,14 @@ const extractZipSafe = async (zipBuffer, destDir, { maxZipSize, maxZipEntries })
 
   await fs.ensureDir(destDir);
   const zip = new AdmZip(zipBuffer);
-  const entries = zip.getEntries();
+  // Dependencies are reinstalled after extraction, so bundled node_modules are dropped before the entry limit applies.
+  const entries = zip.getEntries().filter(entry => !isNodeModulesEntry(entry.entryName));
   if (entries.length > maxZipEntries) {
     throw new Error(`zip has too many entries (${entries.length} > ${maxZipEntries})`);
   }
 
   for (const entry of entries) {
-    const entryName = entry.entryName.replace(/^[/\\]+/, '').replace(/\\/g, '/');
+    const entryName = normalizeEntryName(entry.entryName);
     if (!entryName || entryName.includes('\0')) {
       throw new Error('invalid zip entry name');
     }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@kne/fastify-app-manager",
-  "version": "0.1.2",
+  "version": "0.1.4",
   "description": "Fastify 单机应用市场插件：版本上传、PM2 托管、路径/域名反代与日志 SSE",
   "main": "index.js",
   "scripts": {