@mrrisega/dsh-remote 0.6.0-beta.8 → 0.6.0

package/README.md

@@ -28,6 +28,13 @@ dsh-remote 是一个轻量的**隧道模式**远程控制方案：电脑端运
                            └→ bridge (电脑端) → 127.0.0.1:3080 (dsh web)
 ```
 
+## 0.6.0 速览（用户最关心的新能力）
+
+- **扫码即加密，不再要求再输一次密码**：用电脑生成的二维码/一次性链接进入后，由电脑自动授权开启端到端加密；密码登录点设备也自动解锁。全程不输 E2EE 密码、不存服务端。
+- **记住本机：刷新/重开不掉回明文**：解锁一次后，手机 App 刷新、镜像页刷新都自动恢复加密（退出登录即清除；浏览器无痕可不用此功能）。
+- **移动端体验**：选完会话抽屉自动收起；加密状态徽标几秒后自动缩成小 🔒 不挡界面；修复了移动端设置里“模型提供方目录加载失败”。
+- **电脑端侧栏**：官方「设置」旁新增「📱 远程访问」快捷按钮（与官方按钮共存、不遮挡），一键进入远程访问面板。
+
 ## 界面预览
 
 | 手机端进入 dsh web，100% 还原电脑端体验 | 手机端密钥登录后的在线设备列表 |
@@ -63,7 +70,7 @@ dsh-remote 是一个轻量的**隧道模式**远程控制方案：电脑端运
 npx @mrrisega/dsh-remote
 ```
 
-安装完成后**无需任何命令**：打开 dsh web → 设置 → 「远程控制」，注册/登录手机号即可
+安装完成后**无需任何命令**：打开 dsh web → 设置 → 「远程访问」，注册/登录手机号即可
 （注册在手机端完成，登录后 bridge 自动启动；自建用户在同一面板切「自建服务」标签）。
 原来的独立设置页（`dsh-remote settings`）已移除，避免与插件面板重复造成困惑。
 
@@ -78,7 +85,7 @@ npx @mrrisega/dsh-remote setup --server wss://<你的域名>:端口 --key <访
 
 > **版本与更新 / 卸载**：dsh 官方插件市场目前不提供更新按钮，也不会改写用户补丁（因此市场
 > 卸载会提示「仍通过 insert 引用 dsh-remote-web」而拒绝）。插件设置面板里已内置管理入口
-> （dsh web → 设置 → 「远程控制」→「🔄 版本与更新」卡片）：显示当前版本、自动检测 npm 新版、
+> （dsh web → 设置 → 「远程访问」→「🔄 版本与更新」卡片）：显示当前版本、自动检测 npm 新版、
 > **一键在线更新**（后台补运行环境并重启 bridge，完成后重启 dsh web 生效）、以及**彻底卸载**
 > （移除补丁 include / 依赖 / bundle 与本地文件，之后市场卸载或直接重启均可完成卸载）。
 
@@ -139,7 +146,7 @@ npx @mrrisega/dsh-remote setup --server wss://<你的域名>:端口 --key <访
 | relay-router | `packages/relay-router/` | 中继服务器：bridge 注册表、实时设备列表、HTTP/WS 透明代理、配额 |
 | bridge | `clients/dsh-remote/` | 电脑端守护进程：连 router 注册，把转发帧代理到本地 `dsh web`；心跳自愈 |
 | PWA | `clients/dsh-web/native.html` | 手机端：登录 / 注册 / 设备选择（单文件，零构建） |
-| dsh web 插件 | `packages/dsh-remote-web/` | 设置页「远程控制」面板：连接模式 / 账号 / bridge 启停 / 反馈 |
+| dsh web 插件 | `packages/dsh-remote-web/` | 设置页「远程访问」面板：连接模式 / 账号 / bridge 启停 / 反馈 |
 | 部署脚本 | `deploy/` | `install-open.sh` 自建引导、nginx 参考配置、Dockerfile / compose |
 
 测试：`npm test`（router 契约 + 插件 + bridge 全部单测与回归）。

package/clients/dsh-remote/dsh-bridge.mjs

@@ -494,6 +494,10 @@ export async function handleHttpFrame(dchOrSend, frame) {
   const send = toSender(dchOrSend);
   const { id, method = "GET", path = "/", headers = {}, body, bodyBase64: isB64 } = frame;
   const t0 = Date.now();
+  // 桌面授权引导(方案A):POST /_e2ee/intro(device/channel 形态归一)—— 本地应答,不连上游
+  if (method === "POST" && path === "/_e2ee/intro") {
+    return answerIntro(send, id);
+  }
   // E2EE 信封标记即信号(§4.3):有标记=加密,无标记=明文 v1。
   // 解封失败绝不静默降级 → 明文错误 + x-dsh-e2ee-error 头 + 日志。
   if (hasEnvelopeMarker(headers)) {
@@ -548,6 +552,32 @@ export async function handleHttpFrame(dchOrSend, frame) {
   }
 }
 
+/** 桌面授权引导(方案A):POST /_e2ee/intro —— 桥端本地应答,不连上游。
+ *  路由层已按 dsh_token cookie 完成同账号授权(device/channel 形态都只到本设备);
+ *  这里仅当桥端 E2EE 启用时一次性下发派生 MK(内存转发,不落盘不写日志)。 */
+function answerIntro(send, id) {
+  let ok = false;
+  let body;
+  try {
+    const g = e2ee.introGrant();
+    body = { ok: true, v: 2, grant: "desktop-intro", mk: g.mk, profile: g.profile, epoch: g.epoch, ts: Date.now() };
+    ok = true;
+    console.log("[bridge] e2ee intro → 手机(同一账号,已授权;MK 仅内存一次性下发)");
+  } catch (e) {
+    const code = e instanceof E2eeError ? e.code : "e2ee_disabled";
+    body = { ok: false, v: 2, error: { code, message: e?.message || "电脑端未启用端到端加密,无法授权引导" } };
+    console.log(`[bridge] e2ee intro 被拒(${code}): ${e?.message || ""}`);
+  }
+  send({
+    id,
+    type: "http",
+    status: ok ? 200 : 409,
+    headers: { "content-type": "application/json; charset=utf-8", "cache-control": "no-store" },
+    body: Buffer.from(JSON.stringify(body)).toString("base64"),
+    bodyBase64: true
+  });
+}
+
 /** E2EE 失败回包:明文(无信封标记)+ x-dsh-e2ee-error,绝不把无法解密的密文当正文转发。 */
 function sendE2eeHttpError(send, id, err) {
   const code = err instanceof E2eeError ? err.code : "e2ee_failed";

package/clients/dsh-remote/e2ee-client.mjs

@@ -590,6 +590,23 @@ export class E2eeService {
     return this.enabled ? [E2EE_CAP] : [];
   }
 
+  /**
+   * 桌面授权引导(方案A,2026-09 用户决策):供同账号手机端在「从未持有密码」的场景(扫码/
+   * 一次性链接登录)下免输密码建立 E2EE。桥端在内存中持有派生 MK,此处一次性下发 MK
+   * (base64url,仅内存转发;不落盘、不写日志)。调用前提:请求已由 relay-router 按
+   * dsh_token cookie 完成「同账号」授权(device/channel 形态都只到本设备)——
+   * 信任模型见 docs/e2ee-protocol.md §5.4 [DECISION]:引导瞬间以「持有效扫码会话=账号本人」
+   * 为准,存在被中继主动冒充的理论窗口(与扫码登录产品一致);引导后数据面照常走
+   * hello/probe 探针(双方已同持 MK)与 AEAD 信封。
+   * @returns {{mk:string, profile:string, epoch:number}}
+   */
+  introGrant() {
+    if (!this.enabled || !Buffer.isBuffer(this.mk) || this.mk.length !== MK_BYTES) {
+      throw new E2eeError(this.reason || "e2ee_disabled", "电脑端未启用端到端加密,无法授权引导(请先在电脑端登录并确认密码已生效)");
+    }
+    return { mk: this.mk.toString("base64url"), profile: this.profile, epoch: this.epoch };
+  }
+
   state() {
     return { enabled: this.enabled, reason: this.reason, profile: this.profile, epoch: this.epoch };
   }

package/clients/dsh-remote/e2ee-shim-script.js

@@ -598,6 +598,19 @@
   }
 
   /* ---- 状态徽标 ---- */
+  var _badgeCollapseTimer = null; // 自动收缩(仅 ok 态):展示几秒后缩成仅 🔒,不挡界面
+  function _badgeClearCollapse() {
+    try { if (_badgeCollapseTimer) { clearTimeout(_badgeCollapseTimer); _badgeCollapseTimer = null; } } catch (e) {}
+  }
+  function _badgeArmCollapse(el) {
+    _badgeClearCollapse();
+    _badgeCollapseTimer = setTimeout(function () {
+      try {
+        if (!el.classList.contains("expanded") && el.classList.contains("ok")) el.classList.add("collapsed");
+      } catch (e) {}
+      _badgeCollapseTimer = null;
+    }, 5000);
+  }
   function _badgeEl() {
     var el = document.getElementById("dsh-e2ee-badge");
     if (el) return el;
@@ -613,7 +626,18 @@
     var note = document.createElement("div");
     note.className = "dsh-e2ee-badge-note";
     el.appendChild(ico); el.appendChild(txt); el.appendChild(note);
-    el.addEventListener("click", function () { el.classList.toggle("expanded"); });
+    el.addEventListener("click", function () {
+      if (el.classList.contains("collapsed")) {
+        // 从仅🔒芯片展开:展示完整文案(文本),不再自动收缩
+        el.classList.remove("collapsed");
+        el.classList.add("expanded");
+        _badgeClearCollapse();
+      } else {
+        el.classList.toggle("expanded");
+        _badgeClearCollapse();
+      }
+    });
+    el.addEventListener("pointerenter", function () { _badgeClearCollapse(); el.classList.remove("collapsed"); });
     host.appendChild(el);
     return el;
   }
@@ -624,7 +648,7 @@
       if (mode !== "ok" && window.innerWidth > 820) return;
       var el = _badgeEl();
       if (!el) return;
-      el.className = mode; // ok | warn | err
+      el.className = mode; // ok | warn | err(重置 expanded/collapsed 由下方状态机管理)
       el.querySelector(".dsh-e2ee-badge-ico").textContent = mode === "ok" ? "🔒" : "⚠";
       el.querySelector(".dsh-e2ee-badge-txt").textContent = text;
       var noteEl = el.querySelector(".dsh-e2ee-badge-note");
@@ -639,6 +663,8 @@
         }
       }
       el.title = text;
+      // 自动收缩:仅加密态(ok)几秒后缩成纯 🔒 芯片(warn/err 属安全提示保持文本,不静默)
+      if (mode === "ok") _badgeArmCollapse(el);
     } catch (e) { /* 徽标失败不阻断页面 */ }
   }
   function _appUrl() {
@@ -669,6 +695,7 @@
     } catch (e) { /* ignore */ }
   }
 
+  /* (刷新恢复见 _boot:优先 localStorage 持久交接单,2026-09) */
   /* ---- 启动 ---- */
   function _boot() {
     try {
@@ -678,7 +705,20 @@
       }
       var raw = _readHandover();
       if (!raw) {
-        _badge("warn", "未加密:未解锁(明文)", "本次为明文连接。密钥只存内存,刷新/离开后即丢失;请返回设备列表重新点选设备并输入密码解锁后,镜像页的数据请求与 WebSocket 将自动加密。");
+        // 刷新/重开:sessionStorage 一次性交接单已被读走 → 尝试 localStorage「记住本机」持久交接单
+        // (2026-09 用户决策;同一解锁会话的 SHK,刷新镜像页后仍能恢复加密)。
+        var lsRaw = null;
+        try { lsRaw = localStorage.getItem(DSH_E2EE_HANDOVER_KEY); } catch (e) { lsRaw = null; }
+        if (lsRaw) {
+          var lsSess = null;
+          try { lsSess = seSessionOfHandover(lsRaw); } catch (e) { lsSess = null; }
+          if (lsSess) {
+            _install(lsSess);
+            _badge("ok", "端到端加密已开启", "刷新后已自动恢复端到端加密(记住本机);密钥仅存内存。");
+            return;
+          }
+        }
+        _badge("warn", "未加密:未解锁(明文)", "本次为明文连接。密钥只存内存;请返回设备列表重新点选设备解锁后,镜像页的数据请求与 WebSocket 将自动加密。");
         return;
       }
       var sess = null;

package/clients/dsh-remote/e2ee-shim.mjs

@@ -84,6 +84,11 @@ const STYLE = `
 }
 #dsh-e2ee-badge.expanded .dsh-e2ee-badge-note { display: block; }
 #dsh-e2ee-badge .dsh-e2ee-badge-note a { color: #0b57d0; text-decoration: underline; }
+/* 自动收缩态(2026-09):加密态展示数秒后缩成仅 🔒 芯片,不挡右上界面;悬停/点击即展开 */
+#dsh-e2ee-badge.collapsed { padding: 5px 7px; gap: 0; max-width: 40px; }
+#dsh-e2ee-badge.collapsed .dsh-e2ee-badge-txt,
+#dsh-e2ee-badge.collapsed .dsh-e2ee-badge-note { display: none; }
+#dsh-e2ee-badge { transition: padding .25s ease, max-width .25s ease; }
 @media (max-width: 480px) {
   #dsh-e2ee-badge { padding: 5px 10px; font-size: 11px; }
 }

package/clients/dsh-remote/mobile-adapter.mjs

@@ -221,6 +221,41 @@ const STYLE = `
 
 const SCRIPT = `(() => {
   "use strict";
+
+  /* —— 主机门解除(2026-09):镜像页(如 n.risegao.cn)经设备流认证回连同一台 127.0.0.1:3080,
+     桥已把 Host 回环化并剥 Origin(不扩大信任面)。官方客户端以 transport.ownsHost 判定
+     「自有主机」,非回环域名下不置 true 会把设置页置为 memory(不可用)镜像 →
+     模型/提供方设置无法加载(“Settings are unavailable in this browser”)。
+     在模块执行前安装定义陷阱:任何 __DSH_TRANSPORT__ 赋值都带 ownsHost=true。 —— */
+  (function () {
+    function forceOwns(v) {
+      try {
+        if (v && typeof v === "object") {
+          const d = Object.getOwnPropertyDescriptor(v, "ownsHost");
+          if (!d || d.configurable || d.writable) {
+            try {
+              Object.defineProperty(v, "ownsHost", { configurable: true, enumerable: true, get() { return true; }, set() {} });
+            } catch (e) { v.ownsHost = true; }
+          } else { v.ownsHost = true; }
+        }
+      } catch (e) { /* 忽略 */ }
+      return v;
+    }
+    let tr = (() => { try { return globalThis.__DSH_TRANSPORT__ || null; } catch (e) { return null; } })();
+    if (tr) { tr = forceOwns(tr); }
+    else { tr = { ownsHost: true }; } // 壳未注入 transport 的镜像页也按「自有主机」处理
+    try {
+      Object.defineProperty(globalThis, "__DSH_TRANSPORT__", {
+        configurable: true,
+        enumerable: true,
+        get() { return tr; },
+        set(v) { tr = v ? forceOwns(v) : tr; }
+      });
+    } catch (e) {
+      try { globalThis.__DSH_TRANSPORT__ = tr; } catch (e2) { /* 忽略 */ }
+    }
+  })();
+
   try {
     const HOST_RE = new RegExp(${JSON.stringify(RUNTIME_HOST_RE.source)});
     const NARROW = () => window.innerWidth <= 820;
@@ -246,8 +281,8 @@ const SCRIPT = `(() => {
 
     /* ================= 鲸鱼挂件手机辅助(仅 ≤820 生效;挂件类名 .dshwv-* 稳定) ========= */
     let whaleGuardsOn = false;
-    let whaleHitMap = null;
-    let whaleUnstuckDone = false;
+    let whaleHitMap = null;    let whaleUnstuckDone = false;
+    let drawerAutoCloseOn = false; // 窄屏“选中会话后自动收抽屉”委托只挂一次
 
     const WHALE_IMG = () => document.querySelector(".dshwv-img");
     const WHALE_ROOT = () => document.querySelector(".dshwv-root");
@@ -477,6 +512,25 @@ const SCRIPT = `(() => {
         new MutationObserver(sync).observe(frame, { attributes: true, attributeFilter: ["data-sidebar-collapsed", "data-details-collapsed"] });
       } catch (e2) { /* 退化:仅在下次 boot 同步 */ }
       sync();
+      /* 窄屏抽屉:点选会话(激活行)/点侧栏内「新建会话」后自动收起(官方不做;适配层点官方 toggle)。
+         仅当:窄屏 && 抽屉展开 && 点击发生在侧栏抽屉内;行内「⋯」按钮 stopPropagation 不会误触。 */
+      if (!drawerAutoCloseOn) {
+        drawerAutoCloseOn = true;
+        document.addEventListener("click", (e) => {
+          try {
+            if (!NARROW() || !expanded()) return;
+            const t = e.target;
+            if (!t || !t.closest) return;
+            if (t.closest(".dsh-ma-scrim, .dsh-ma-hamburger")) return;
+            if (!t.closest(".dsh-ma-sidebar")) return; // 只处理抽屉内的点选
+            const row = t.closest('[role="treeitem"][aria-selected]');
+            const isNew = t.closest('[aria-label*="新建会话"], [aria-label*="New session" i]');
+            if (!row && !isNew) return;
+            const togg = toggleOf();
+            if (togg) setTimeout(() => { try { togg.click(); } catch (e5) { /* ignore */ } }, 0);
+          } catch (e6) { /* 忽略 */ }
+        });
+      }
       whaleHookInit();
       watchSettings();
     };

package/clients/dsh-remote/test/e2ee-client.test.mjs

@@ -294,6 +294,19 @@ test("E2eeService:disabled 状态 caps 为空;enabled 后 caps=['e2ee-v2']", ()
   assert.equal(on.state().reason, "ok");
 });
 
+test("E2eeService.introGrant:启用时一次性下发派生 MK(32B b64url);禁用时抛 e2ee_disabled", () => {
+  const off = new E2eeService({ enabled: false, reason: "server_disabled" });
+  assert.throws(() => off.introGrant(), (e) => e.code === "server_disabled" || e.code === "e2ee_disabled");
+  const mk = deriveMasterKey("unit-password", SALT_B64);
+  const on = new E2eeService({ enabled: true, mk, salt: SALT_B64, profile: "pbkdf2-sha256-600k", epoch: 3 });
+  const g = on.introGrant();
+  assert.equal(g.profile, "pbkdf2-sha256-600k");
+  assert.equal(g.epoch, 3);
+  assert.equal(typeof g.mk, "string");
+  assert.equal(Buffer.from(g.mk, "base64url").length, 32);
+  assert.equal(Buffer.from(g.mk, "base64url").toString("hex"), mk.toString("hex"), "引导下发的 MK 应与桥端派生 MK 一致(否则手机无法通过探针)");
+});
+
 test("E2eeService.init:服务端 enabled=false/401/无密码/禁用开关 → 明文回退原因", async () => {
   // 无密码
   const noPw = await E2eeService.init({ apiBase: "http://127.0.0.1:1", token: "t", password: "" });

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@mrrisega/dsh-remote",
-  "version": "0.6.0-beta.8",
+  "version": "0.6.0",
   "description": "手机远程控制 DeepSeek Harness · Remote control DeepSeek Harness (dsh web) from any phone browser — 100% 全功能 App 级体验：发消息、看工具执行、审批权限、改设置、管凭据，含特权操作，免内网穿透。一条命令安装 npx @mrrisega/dsh-remote。Mobile remote control for DSH, self-host or SaaS, no server needed on LAN.",
   "keywords": [
     "deepseek-harness",