@lyhue1991/dsh-soup 0.2.0 → 0.4.0

package/lib/index.js

@@ -533,6 +533,65 @@ export function apply(ctx) {
     'dsh-soup: streaming download route',
   )
 
+  /**
+   * 图片内联端点：GET /api/dsh-soup/img?p=<路径>。
+   * 浏览器端 Markdown 预览会把「相对路径图片」改写为这里的绝对 URL，
+   * 由 <img> 内联加载真实图片字节（JupyterLab md 图片同思路）。只读、无
+   * Content-Disposition（内联显示而非下载）。
+   * 安全模型：confine 围栏（只读工作区/会话目录）+ 仅图片类型 + 大小上限 +
+   * 不返回任何 CORS 头 + 拒绝跨站（Sec-Fetch-Site: cross-site 与不同源 Origin）。
+   * 注意 <img> 只能确认「是否 200/404」，无法读取像素，跨站利用面很小。
+   */
+  async function imageHandler(req, res) {
+    try {
+      const site = String(req.headers['sec-fetch-site'] || '')
+      if (site === 'cross-site') {
+        writeJson(res, 403, { ok: false, error: '跨站图片请求已拒绝' })
+        return
+      }
+      const origin = req.headers.origin
+      if (typeof origin === 'string' && origin !== '') {
+        let originHost = ''
+        try { originHost = new URL(origin).host } catch { originHost = '' }
+        const host = typeof req.headers.host === 'string' ? req.headers.host : ''
+        if (!originHost || originHost !== host) {
+          writeJson(res, 403, { ok: false, error: '跨源图片请求已拒绝' })
+          return
+        }
+      }
+      let p = ''
+      try { p = new URL(req.url || '/img?', 'http://local').searchParams.get('p') || '' } catch { p = '' }
+      if (!p) { writeJson(res, 400, { ok: false, error: '缺少图片路径' }); return }
+      const rp = await confine(p, '图片路径')
+      const mime = IMAGE_MIME[extOf(rp)]
+      if (!mime) { writeJson(res, 415, { ok: false, error: '不是可预览的图片类型' }); return }
+      let st
+      try { st = await stat(rp) } catch { writeJson(res, 404, { ok: false, error: '图片不可读' }); return }
+      if (st.isDirectory() || st.size > IMAGE_MAX_BYTES) {
+        writeJson(res, 413, { ok: false, error: '图片过大或目标为目录' }); return
+      }
+      const fh = await openFile(rp, 'r')
+      let buf
+      try {
+        buf = Buffer.alloc(st.size)
+        await fh.read(buf, 0, st.size, 0)
+      } finally { await fh.close() }
+      res.writeHead(200, {
+        'content-type': mime,
+        'content-length': String(st.size),
+        'cache-control': 'no-store',
+      })
+      res.end(buf)
+    } catch (err) {
+      if (!res.headersSent) writeJson(res, (err && err.statusCode) || 500, { ok: false, error: String((err && err.message) || err) })
+      else res.end()
+    }
+  }
+  ctx.effect(
+    () => ctx.webServer.register({ kind: 'exact', path: '/api/dsh-soup/img', handler: imageHandler }),
+    'dsh-soup: inline image route',
+  )
+
   /** 统一路由 dispatch：每个 action 返回可 JSON 序列化的结果。 */
   async function handleAction(body) {
     const action = body && body.action
@@ -657,6 +716,25 @@ export function apply(ctx) {
         downloadTickets.set(token, { path: rp, name: path.basename(rp), exp: Date.now() + 120000 })
         return { ok: true, name: path.basename(rp), size: dst.size, url: `/api/dsh-soup/dl?t=${token}` }
       }
+      case 'mtime': {
+        // 轻量变更探测：对一批路径返回 mtime(+size/目录标志)，供浏览器端
+        // 低频轮询比较、变了才真正重拉——避免引入跨平台文件 watcher。
+        // 上限 64 个路径；越界/不可达的路径返回 null（客户端视为消失）。
+        const paths = Array.isArray(args && args.paths) ? args.paths.slice(0, 64) : []
+        const mtimes = {}
+        for (const raw of paths) {
+          const p = String(raw || '')
+          if (!p) continue
+          try {
+            const rp = await confine(p, '探测路径', sessionIdArg)
+            const st = await stat(rp)
+            mtimes[p] = st.isDirectory() ? { m: st.mtimeMs, d: 1 } : { m: st.mtimeMs, s: st.size }
+          } catch {
+            mtimes[p] = null
+          }
+        }
+        return { ok: true, mtimes }
+      }
       case 'speed-status': {
         const sid = args && args.sessionId ? String(args.sessionId) : ''
         return { ok: true, ...speedStatus(sid) }

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@lyhue1991/dsh-soup",
   "description": "DSH 项目资源管理器：右侧 details 列文件树（并列网格、宽度与左侧工作区一致 264-420px），有 Session log 时在其右侧、空白新会话在输入框上方右端提供 📁 切换按钮；支持多选、双击展开/打开、右键菜单（打开/系统打开/重命名/废纸篓/新建/复制路径）、拖拽移动、上传。文件「打开」在会话区新增「文件」标签页（原生 conversation.view，与对话/轨迹同级）：文本可编辑 ⌘S 保存、图片预览、二进制提示。附带模型吞吐徽标：输入框正上方显示「正在等待模型...」与彩色 t/s 徽标（数据来自 llm/stream 真实流）。附带 GoalBar 多行展示：把原生单行截断 GoalBar 放开为多行完整显示，编辑用 textarea，工具与数据仍走原生 goal。",
-  "version": "0.2.0",
+  "version": "0.4.0",
   "type": "module",
   "main": "lib/index.js",
   "exports": {