@m2canvas/connect 0.6.0 → 0.7.1

package/dist/bridge/pairing.js

@@ -18,6 +18,9 @@
  *   不要为了「方便」放宽次数、延长有效期或加一个页面能触发的解锁：码是唯一挡住本机恶意页面的东西。
  *   也不要改成「在终端按回车解锁」：那需要读终端，而 bridge 放到后台（`… bridge &`）时读终端会被系统挂起（review r2 实测）。
  * - 比较用常量时间（timingSafeEqual），不要改回 ===。
+ * - 后台模式（`issueCodes: false`，`bridge --background`，change acp-bridge-one-time-install D17）不出码：没有终端，stdout 写的是日志文件，
+ *   出码就等于把码写盘。这时 `issueCode` / `ensureCode` 什么都不做，`pair` 一律 pairing_code_unavailable，配对只剩命令承诺与已有 token。
+ *   不要给后台模式另开出码通道（文件、系统对话框）：「把码写进文件」已被否决过（`connect/local-bridge` 契约 2 / 13）。
  */
 import { createHash, randomBytes, randomInt, randomUUID, timingSafeEqual } from 'node:crypto';
 import { chmodSync, existsSync, mkdirSync, readFileSync, rmSync, writeFileSync } from 'node:fs';
@@ -84,6 +87,7 @@ export class PairingManager {
     lastPrompt = new Map();
     store;
     now;
+    issueCodes;
     onCodeIssued;
     onLocked;
     onProblem;
@@ -91,13 +95,16 @@ export class PairingManager {
     constructor(options) {
         this.store = options.store;
         this.now = options.now ?? Date.now;
+        this.issueCodes = options.issueCodes ?? true;
         this.onCodeIssued = options.onCodeIssued;
         this.onLocked = options.onLocked ?? (() => undefined);
         this.onProblem = options.onProblem ?? (() => undefined);
         this.onCommitmentReused = options.onCommitmentReused ?? (() => undefined);
     }
-    /** 生成新码（旧码立即失效）并通知调用方打印，返回显示形式 */
+    /** 生成新码（旧码立即失效）并通知调用方打印，返回显示形式；后台模式不出码，返回 null */
     issueCode(reason, origin = null) {
+        if (!this.issueCodes)
+            return null;
         let code = '';
         for (let i = 0; i < CODE_LENGTH; i++)
             code += ALPHABET[randomInt(ALPHABET.length)];
@@ -118,10 +125,10 @@ export class PairingManager {
      * 未配对页面连上时调用。没有有效码就出新码；有有效码也把它连同发起方 Origin 再提示一次 ——
      * 最常见的首次流程是「启动 bridge 后马上打开页面」，终端里只有一个不带 Origin 的启动码，
      * 不再提示的话用户看不到是哪个页面在请求配对。同一 Origin、同一个码一分钟内只提示一次（页面重连不刷屏）。
-     * 锁定期间什么都不做。
+     * 锁定期间、后台模式下什么都不做。
      */
     ensureCode(origin) {
-        if (this.locked)
+        if (this.locked || !this.issueCodes)
             return;
         if (!this.hasValidCode() || !this.active) {
             this.issueCode('requested', origin);
@@ -141,6 +148,9 @@ export class PairingManager {
      * （review r1 实测 1.6 秒 20000 次），还会让陌生页面把用户的配对码一直刷掉。
      */
     pair(input, origin) {
+        // 后台模式没有码可比：在锁定检查之前返回，也不计入错码次数（页面并没有猜码，只是不知道这个 bridge 不出码）
+        if (!this.issueCodes)
+            return { ok: false, code: 'pairing_code_unavailable' };
         if (this.locked)
             return { ok: false, code: 'pairing_locked' };
         if (!this.active) {
@@ -238,7 +248,10 @@ export class PairingManager {
         this.store.save(records.slice(0, MAX_PAIRINGS));
         return token;
     }
-    /** 读出未过期的记录；顺带把过期的从存储里删掉（删不掉只告警：不影响本次判定） */
+    /**
+     * 读出未过期的记录；顺带把过期的从存储里删掉（删不掉只告警：不影响本次判定）。
+     * 每次都从存储读（不缓存）：交接 socket 的门槛论证依赖这一点（`handoff.ts` 文件头），改成缓存时要一起重新评估。
+     */
     liveRecords() {
         const all = this.store.load();
         const live = all.filter((record) => this.now() - Date.parse(record.lastUsedAt) <= TOKEN_IDLE_MS);

package/dist/bridge/release-manifest.js

@@ -0,0 +1,80 @@
+/**
+ * 更新清单 `https://m2ui.ai/connect/manifest.json` 的格式、解析与下载地址（change acp-bridge-one-time-install D13 / D14 / R7）。
+ *
+ * 清单由仓库的 `packages/connect/install/release.json` 生成，随 App 部署发布；部署 App 才是放量开关，发 npm 不等于推给所有用户。
+ * 清单**只提供版本号与哈希**：下载地址在这里由版本号拼出，固定指向官方源与 npmmirror。
+ * 不要在清单里加 URL 字段 —— 那会让清单（或篡改清单的人）把下载指到任意地方，信任根就不止 m2ui.ai 加哈希了。
+ *
+ * 跨版本兼容：已安装的旧版本 bridge 会读新部署的清单（`--check-update` 跑的是当前版本的代码）。
+ * - 同一 `schema` 内只加字段；本解析器忽略不认识的字段。
+ * - 要改语义就升 `schema`；旧版本认不出新 schema 时按「读清单失败」处理，用当前版本继续（不会误装）。
+ * - 版本号与哈希一律严格校验格式：它们会进入文件路径与下载地址。
+ */
+export const MANIFEST_URL = 'https://m2ui.ai/connect/manifest.json';
+export const MANIFEST_SCHEMA = 1;
+/** 只认纯 x.y.z（不接受预发布、构建元数据）：版本号会拼进目录名与下载地址 */
+const VERSION_RE = /^\d{1,4}\.\d{1,4}\.\d{1,6}$/;
+const SHA512_RE = /^[0-9a-f]{128}$/;
+const SHA256_RE = /^[0-9a-f]{64}$/;
+export function isReleaseVersion(value) {
+    return typeof value === 'string' && VERSION_RE.test(value);
+}
+function record(value) {
+    return typeof value === 'object' && value !== null && !Array.isArray(value) ? value : null;
+}
+function pinned(value, hash) {
+    const entry = record(value);
+    if (!entry || !isReleaseVersion(entry.version) || typeof entry.sha512 !== 'string' || !hash.test(entry.sha512))
+        return null;
+    return { version: entry.version, sha512: entry.sha512 };
+}
+/** 解析清单正文；格式不对时返回原因（英文，写进 update.log） */
+export function parseReleaseManifest(text) {
+    let parsed;
+    try {
+        parsed = JSON.parse(text);
+    }
+    catch {
+        return 'manifest is not valid JSON';
+    }
+    const root = record(parsed);
+    if (!root)
+        return 'manifest is not a JSON object';
+    if (root.schema !== MANIFEST_SCHEMA)
+        return `unsupported manifest schema ${JSON.stringify(root.schema)}`;
+    const connect = pinned(root.connect, SHA512_RE);
+    if (!connect)
+        return 'manifest has no valid connect version / sha512';
+    const ws = pinned(root.ws, SHA512_RE);
+    if (!ws)
+        return 'manifest has no valid ws version / sha512';
+    const node = record(root.node);
+    const sha256 = record(node?.sha256);
+    const arm64 = sha256?.arm64;
+    const x64 = sha256?.x64;
+    if (!node || !isReleaseVersion(node.version) || typeof arm64 !== 'string' || !SHA256_RE.test(arm64) || typeof x64 !== 'string' || !SHA256_RE.test(x64)) {
+        return 'manifest has no valid node version / sha256';
+    }
+    return { schema: MANIFEST_SCHEMA, connect, ws, node: { version: node.version, sha256: { arm64, x64 } } };
+}
+/**
+ * 下载源：官方优先，失败（含校验不符）再退 npmmirror（D14）。顺序有意义，不要打乱。
+ * 安装脚本的生成块用的是同一组基址（src/install/assets.ts），两边只此一处。
+ */
+export const NPM_REGISTRY_BASES = ['https://registry.npmjs.org', 'https://registry.npmmirror.com'];
+export const NODE_DIST_BASES = ['https://nodejs.org/dist', 'https://npmmirror.com/mirrors/node'];
+export function connectTarballUrls(version) {
+    return NPM_REGISTRY_BASES.map((base) => `${base}/@m2canvas/connect/-/connect-${version}.tgz`);
+}
+export function wsTarballUrls(version) {
+    return NPM_REGISTRY_BASES.map((base) => `${base}/ws/-/ws-${version}.tgz`);
+}
+/** 私有 Node 的目录名，也是官方包解开后的顶层目录名 */
+export function nodeDirName(version, arch) {
+    return `node-v${version}-darwin-${arch}`;
+}
+/** `.tar.xz`：只有 `.tar.gz` 的一半大小，macOS 自带的 bsdtar 能解（R9） */
+export function nodeTarballUrls(version, arch) {
+    const file = `${nodeDirName(version, arch)}.tar.xz`;
+    return NODE_DIST_BASES.map((base) => `${base}/v${version}/${file}`);
+}

package/dist/bridge/self-test.js

@@ -0,0 +1,30 @@
+/**
+ * `bridge --self-test`：自动更新时对新版本的冒烟测试（change acp-bridge-one-time-install D20 ④、N4）。
+ *
+ * 当前版本的 `--check-update` 用新版本自己的 Node 运行新版本的 cli.js。能走到这里，说明 cli.js → bridge/main.js
+ * 及其全部静态依赖（含 ws）都加载成功；这里再核对几种「能加载、但装得不全」的情况，任何一项不满足就退出 1，
+ * 更新流程就不会切换到这个版本。
+ *
+ * 不监听端口、不写文件、不联网：它在旧版本 bridge 还在运行时执行。
+ * 检测不到「起来了但功能坏了」（例如协议处理有 bug）：那种情况靠改清单回滚（`connect/local-bridge` 契约 16 delta）。
+ */
+import { existsSync } from 'node:fs';
+import { join } from 'node:path';
+import { ADAPTERS } from './adapters.js';
+import { bundledNpmCli } from './npm-command.js';
+/** 返回发现的问题（英文，写进 update.log）；空数组 = 通过 */
+export function selfTestProblems(input) {
+    const exists = input.exists ?? existsSync;
+    const problems = [];
+    if (!/^\d+\.\d+\.\d+/.test(input.version) || input.version === '0.0.0')
+        problems.push(`unreadable package version (${input.version})`);
+    for (const spec of Object.values(ADAPTERS)) {
+        const lock = join(input.packageRoot, 'adapters', spec.dir, 'package-lock.json');
+        if (!exists(lock))
+            problems.push(`missing ${lock}`);
+    }
+    const npm = bundledNpmCli(input.execPath);
+    if (!exists(npm))
+        problems.push(`missing ${npm}`);
+    return problems;
+}

package/dist/bridge/server.js

@@ -22,6 +22,7 @@ import { TOKEN_IDLE_DAYS } from './pairing.js';
 import { ProcessError, ProcessManager } from './processes.js';
 import { isBridgeAgentId } from './agents.js';
 import { handleAuthCall } from './auth-call.js';
+import { handlePairCall } from './pair-call.js';
 import { AuthorizationManager } from './authorize.js';
 import { BRIDGE_CLOSE_CODES, BRIDGE_METHODS, BRIDGE_SUPPORTED_PROTOCOLS, } from './protocol.js';
 import { checkPageAcpLine } from './acp-guard.js';
@@ -105,20 +106,10 @@ export function startBridgeServer(options) {
     };
     async function handleCall(conn, id, method, params) {
         if (method === 'pair') {
-            const code = params.code;
-            if (typeof code !== 'string')
-                throw new BridgeFailure('bad_message', 'pair needs a string "code"');
-            const result = options.pairing.pair(code, conn.origin);
-            if (!result.ok) {
-                if (result.code === 'pairing_invalid')
-                    throw new BridgeFailure('pairing_invalid', 'wrong pairing code', { attemptsLeft: result.attemptsLeft });
-                if (result.code === 'pairing_locked')
-                    throw new BridgeFailure('pairing_locked', 'too many wrong pairing codes; new pages cannot pair until the bridge is restarted');
-                throw new BridgeFailure('pairing_code_rotated', 'pairing code expired or used up; a new one is shown in the terminal');
-            }
+            const token = handlePairCall(options.pairing, conn.origin, params);
             markPaired(conn);
             log(`Paired with ${conn.origin}.`);
-            return { token: result.token, cwd: options.cwd, idleExpiryDays: TOKEN_IDLE_DAYS };
+            return { token, cwd: options.cwd, idleExpiryDays: TOKEN_IDLE_DAYS };
         }
         if (!conn.paired)
             throw new BridgeFailure('not_paired', 'pair this page first');

package/dist/bridge/update-io.js

@@ -0,0 +1,118 @@
+/**
+ * `bridge --check-update` 的真实 IO 与命令入口（change acp-bridge-one-time-install D20、R7）。更新的判断都在 update.ts，这里只做外部调用：
+ * - 读清单、下载：一律 `/usr/bin/curl`。安装脚本也用 curl，两边代理行为相同 —— curl 读 HTTPS_PROXY / ALL_PROXY / NO_PROXY 与
+ *   `~/.curlrc`，Node 的 fetch 默认不读代理变量。`-f`：HTTP 错误码当失败，不把错误页写成「下载好的文件」。
+ * - 解压：`/usr/bin/tar`（macOS 的 bsdtar 自带 xz；内容已按清单哈希校验过）。
+ * - 冒烟：用新版本自己的 Node 跑新版本的 `cli.js bridge --self-test`。
+ * 子进程环境由调用方给：生产用 env.ts 的白名单（代理与证书变量都在里面），不把宿主注入的变量带给 curl。
+ *
+ * 不提供清单地址、下载地址的覆盖参数或环境变量（design R8）：测试经 UpdateDeps 注入，或直接对本模块的原语传本机地址。
+ */
+import { appendFileSync, chmodSync, existsSync, mkdirSync, renameSync, rmSync, statSync } from 'node:fs';
+import { home } from '../system.js';
+import { buildAgentEnv } from './env.js';
+import { combinedOutput, execCommand } from './exec.js';
+import { installLayout } from './install-layout.js';
+import { tail } from './precheck-parse.js';
+import { checkForUpdate } from './update.js';
+const CURL = '/usr/bin/curl';
+const TAR = '/usr/bin/tar';
+/** 单个文件的下载上限：Node 包约 27MB，慢网（约 100KB/s）也要下得完 */
+const DOWNLOAD_TIMEOUT_MS = 10 * 60 * 1000;
+const EXTRACT_TIMEOUT_MS = 2 * 60 * 1000;
+/** 冒烟时限（D20 ④） */
+const SELF_TEST_TIMEOUT_MS = 20_000;
+/** update.log 超过这个大小先轮转成 `.1`（每次启动只写几行，很少触发） */
+const UPDATE_LOG_MAX_BYTES = 1024 * 1024;
+function failure(what, result) {
+    const reason = result.timedOut ? 'timed out' : result.code === null ? (result.error ?? 'did not start') : `exited ${result.code}`;
+    const output = tail(combinedOutput(result).trim());
+    return new Error(`${what} ${reason}${output ? `: ${output}` : ''}`);
+}
+export function createUpdateIO(options) {
+    const { exec, env } = options;
+    return {
+        async fetchText(url, timeoutMs) {
+            const seconds = String(Math.max(1, Math.ceil(timeoutMs / 1000)));
+            const result = await exec(CURL, ['-fsSL', '--connect-timeout', '5', '--max-time', seconds, url], { env, timeoutMs: timeoutMs + 2_000, maxOutput: 256 * 1024 });
+            if (result.code !== 0)
+                throw failure('curl', result);
+            return result.stdout;
+        },
+        async download(url, dest) {
+            const seconds = String(DOWNLOAD_TIMEOUT_MS / 1000);
+            // 低于 10KB/s 持续 30 秒就放弃、换下一个源：官方源只有涓流速度时不能拖到总时限（review r1 R1-S4，与安装脚本相同）
+            const result = await exec(CURL, ['-fsSL', '--connect-timeout', '10', '--speed-limit', '10240', '--speed-time', '30', '--max-time', seconds, '-o', dest, url], {
+                env,
+                timeoutMs: DOWNLOAD_TIMEOUT_MS + 5_000,
+                maxOutput: 16 * 1024,
+            });
+            if (result.code !== 0) {
+                // curl 失败时可能留下半截或空文件：删掉，免得被当成下载好的内容
+                rmSync(dest, { force: true });
+                throw failure('curl', result);
+            }
+        },
+        async extract(archive, dir) {
+            const result = await exec(TAR, ['-xf', archive, '-C', dir], { env, timeoutMs: EXTRACT_TIMEOUT_MS, maxOutput: 16 * 1024 });
+            if (result.code !== 0)
+                throw failure('tar', result);
+        },
+        async selfTest(nodePath, cliPath) {
+            const result = await exec(nodePath, [cliPath, 'bridge', '--self-test'], { env, timeoutMs: SELF_TEST_TIMEOUT_MS, maxOutput: 16 * 1024 });
+            return { ok: result.code === 0, output: result.timedOut ? `self-test timed out after ${SELF_TEST_TIMEOUT_MS / 1000}s` : combinedOutput(result) };
+        },
+    };
+}
+/** 追加一行到 `logs/update.log`（目录 0700、文件 0600，与 bridge.log 相同）；超过上限先轮转 */
+export function appendUpdateLog(layout, line, maxBytes = UPDATE_LOG_MAX_BYTES) {
+    mkdirSync(layout.logs, { recursive: true, mode: 0o700 });
+    chmodSync(layout.logs, 0o700);
+    if (existsSync(layout.updateLog) && statSync(layout.updateLog).size > maxBytes)
+        renameSync(layout.updateLog, `${layout.updateLog}.1`);
+    appendFileSync(layout.updateLog, `${new Date().toISOString()} ${line}\n`, { mode: 0o600 });
+    chmodSync(layout.updateLog, 0o600);
+}
+function describeOutcome(outcome) {
+    switch (outcome.kind) {
+        case 'unsupported':
+            return 'skipped (only macOS is supported)';
+        case 'not_installed':
+            return 'skipped (not installed by the M2 installer)';
+        case 'manifest_failed':
+            return `kept the current version (couldn't read the manifest: ${outcome.reason})`;
+        case 'up_to_date':
+            return `up to date (${outcome.version})`;
+        case 'rejected':
+            return `kept the current version (${outcome.version} failed to start before)`;
+        case 'failed':
+            return `kept the current version (update to ${outcome.version} failed: ${outcome.reason})`;
+        case 'updated':
+            return `updated ${outcome.from} -> ${outcome.to}`;
+    }
+}
+/**
+ * 命令入口（由启动器调用）。日志写进 update.log；标准输出只打一行摘要（启动器把它追加进 bridge.log）。
+ * 退出码只供排障：启动器不论成败都用 current 继续，是否刚切换过版本由它自己比较 current 的前后指向得出。
+ */
+export async function runCheckUpdate() {
+    const layout = installLayout(home);
+    const io = createUpdateIO({ exec: execCommand, env: buildAgentEnv() });
+    const outcome = await checkForUpdate({
+        layout,
+        platform: process.platform,
+        arch: process.arch,
+        ...io,
+        log: (line) => {
+            try {
+                appendUpdateLog(layout, line);
+            }
+            catch {
+                // 日志写不进（磁盘满、权限）不能拦住更新判断；摘要仍会打到标准输出
+            }
+        },
+        now: Date.now,
+    });
+    console.log(`M2 bridge update: ${describeOutcome(outcome)}`);
+    return outcome.kind === 'failed' || outcome.kind === 'manifest_failed' ? 1 : 0;
+}