@mrrisega/dsh-remote 0.6.7-beta.2 → 0.6.7-beta.4

package/README.md

@@ -30,6 +30,12 @@ dsh-remote 是一个轻量的**隧道模式**远程控制方案：电脑端运
 
 ## 0.6.7 速览（Windows 可用版）
 
+> **预发中**：先以 `0.6.7-beta.x` 发布在 npm `beta` 通道（`latest` 仍是 0.6.6），
+> 待 Windows 真机验证通过后转正式版。安装预发版：
+> `npx @mrrisega/dsh-remote@0.6.7-beta.3`；若 dsh web 已起不来，用
+> `npx @mrrisega/dsh-remote@0.6.7-beta.3 repair`（只修 profile，不联网）。
+
+
 0.6.6 及更早的插件半整套「服务状态 / 启停 / 重启」是按 macOS/Linux 写死的
 （launchctl / systemd / pgrep / ps / /bin/sh），**在 Windows 上安装一切正常、运行期必死**：
 面板红字「读取状态失败: process.getuid is not a function」、状态永远停在「查询中…」、
@@ -154,8 +160,16 @@ npx @mrrisega/dsh-remote setup --server wss://<你的域名>:端口 --key <访
   校验值用于登录，与加密密钥域分离（详见 [docs/e2ee-protocol.md](docs/e2ee-protocol.md)）。
 - 请**牢记账号密码**：修改/重置密码会使全部旧设备会话失效，且服务端不保存你的内容、
   无法代为解密旧会话；改密后需在电脑端面板重新登录并重启 bridge，手机端重新解锁。
-- 电脑端本机配置（`.dsh-config.json`，0600）会保存账号密码用于自动登录，等于该账号
+- 电脑端本机配置（`.dsh-config.json`）会保存账号密码用于自动登录，等于该账号
   内容的“解密权”，请妥善保护电脑；电脑被他人使用期间请退出登录。
+  - macOS / Linux：文件权限 **0600**（仅本人可读写）。
+  - Windows：**`0600` 在 Windows 上无效**（Windows 用 ACL，不是 POSIX 权限位）——
+    早期版本只写了 `mode: 0o600`，实测该文件拿到的仍是用户目录的**默认继承 ACL**，
+    等于没有这层保护。0.6.7-beta.3 起安装器/插件/bridge 都会显式收紧：`icacls` 断开继承、
+    只授予当前用户。若收紧失败（无 icacls / 权限异常），安装日志会明确告警，不会假装成功。
+  - 无论哪个平台：**不要把 `.dsh-remote` 目录交给备份/同步盘/他人排查**——
+    里面的 `.dsh-config.json`（明文账号密码）与 `.harness-cookie.json`（dsh web 会话 Cookie，
+    等于该会话的完整访问权）被复制走就等于把钥匙一起给了对方。发支持包前请先删除这两项。
 
 **边界与建议（如实告知）**
 

package/clients/dsh-remote/dsh-bridge.mjs

@@ -65,7 +65,7 @@ import WebSocket from "ws";
 import fs from "node:fs";
 import os from "node:os";
 import path from "node:path";
-import { execSync } from "node:child_process";
+import { execSync, spawnSync } from "node:child_process";
 import { randomBytes, generateKeyPairSync, createHash } from "node:crypto";
 import { pathToFileURL, fileURLToPath } from "node:url";
 import { promisify } from "node:util";
@@ -200,10 +200,40 @@ function loadLocalConfig() {
   try { return JSON.parse(fs.readFileSync(CONFIG_PATH, "utf8")); } catch { return {}; }
 }
 
+/**
+ * 把文件权限收紧到「只有本人可读写」。
+ *
+ * ⚠️ Windows 上 `{ mode: 0o600 }` 是**空操作**（Windows 用 ACL，不是 POSIX mode 位）：
+ * 实测 .dsh-config.json 拿到的是用户目录的默认**继承 ACL**（AreAccessRulesProtected=False），
+ * 也就是说代码里那句 0600 对 Windows 用户完全没效果 —— 而文件里是**明文账号密码**。
+ * 风险不在"同机他人可读"（默认 ACL 下其实读不到），而在**任何按文件复制的场景**
+ * （备份/同步盘/杀软上报/崩溃转储/用户发给作者的支持包）都会连钥匙一起被带走，
+ * 而文档里的"0600 请妥善保护"会让用户误以为 Windows 上已有这层保护。
+ * 这里显式断开继承、只授予当前用户；失败只警告一次，绝不影响主流程。
+ */
+let hardenWarned = false;
+function hardenFile(file) {
+  try { fs.chmodSync(file, 0o600); } catch { /* POSIX 上失败不致命 */ }
+  if (process.platform !== "win32") return;
+  const who = [process.env.USERDOMAIN, process.env.USERNAME].filter(Boolean).join("\\");
+  if (!who) return;
+  let r;
+  try {
+    r = spawnSync("icacls", [file, "/inheritance:r", "/grant:r", `${who}:F`],
+      { windowsHide: true, encoding: "utf8", timeout: 8000 });
+  } catch (e) { r = { status: -1, stderr: e.message }; }
+  if (r.status !== 0 && !hardenWarned) {
+    hardenWarned = true;
+    console.warn(`⚠️ 收紧文件权限失败（${who}）：${String(r.stderr || "").trim() || `icacls 退出码 ${r.status}`}`);
+    console.warn("   配置文件可能仍可被其它账户/备份工具读取，请自行确认其存放位置。");
+  }
+}
+
 function saveLocalConfig(cfg) {
   try {
     fs.mkdirSync(path.dirname(CONFIG_PATH), { recursive: true });
     fs.writeFileSync(CONFIG_PATH, JSON.stringify(cfg, null, 2), { mode: 0o600 });
+    hardenFile(CONFIG_PATH); // Windows 上 mode 是空操作 → 显式收紧 ACL（内含明文账号密码）
   } catch (e) {
     console.warn(`[bridge] 无法写配置 ${CONFIG_PATH}: ${e.message}`);
   }
@@ -943,8 +973,24 @@ async function resolveToken(refresh = false) {
       const d = await r.json();
       if (r.status === 200 && d.token) {
         console.log("[bridge] 登录成功,已获取 JWT");
+        // 登录成功 = 限流窗口已结束（服务端成功即清零），把退避提示删掉让 watcher 恢复正常节奏
+        try { fs.rmSync(path.join(path.dirname(CONFIG_PATH), ".dsh-login-ratelimited"), { force: true }); } catch { /* 非关键 */ }
         return d.token;
       }
+      if (r.status === 429) {
+        // 服务端登录限流（每 IP 5 次失败 / 15 分钟）。**这不是密码错**：
+        // 旧文案一律提示"请检查 DSH_BRIDGE_EMAIL / DSH_BRIDGE_PASSWORD"，把限流误报成凭据问题，
+        // 用户会去反复改密码、反而把窗口拖长（2026-09-19 实测）。
+        const waitMs = Number(d.retry_after_ms) > 0 ? Number(d.retry_after_ms) : 0;
+        console.error(`[bridge] 登录被服务端限流（429）${waitMs ? `，约 ${Math.ceil(waitMs / 1000)} 秒后自动重试` : "，请稍后自动重试"}`);
+        console.error("[bridge] 凭据没错，是这台机器的出口 IP 短时间登录失败过多被临时限制；无需改密码。");
+        // 把"最早可重试时刻"落盘：watcher 据此退避，避免 10 秒一次空撞限流
+        try {
+          const until = Date.now() + (waitMs || 5 * 60 * 1000);
+          fs.writeFileSync(path.join(path.dirname(CONFIG_PATH), ".dsh-login-ratelimited"), String(until));
+        } catch { /* 非关键 */ }
+        process.exit(3);
+      }
       console.error(`[bridge] 登录失败(${r.status}): ${d.error?.message || "未知错误"}`);
       console.error("[bridge] 请检查 DSH_BRIDGE_EMAIL / DSH_BRIDGE_PASSWORD,或直接设 DSH_BRIDGE_TOKEN");
       process.exit(1);

package/clients/dsh-remote/e2ee-shim-script.js

@@ -599,6 +599,14 @@
 
   /* ---- 状态徽标 ---- */
   var _badgeCollapseTimer = null; // 自动收缩(仅 ok 态):展示几秒后缩成仅 🔒,不挡界面
+  var _badgeState = null;         // 最近一次状态 {mode,text,note} —— 供合并后的悬浮菜单读取
+  /** 对外只读接口:让统一的「远程控制」悬浮按钮显示加密状态（不暴露任何密钥/会话材料）。 */
+  try {
+    window.__dshE2eeBadge = {
+      state: function () { return _badgeState; },
+      open: function () { var el = document.getElementById("dsh-e2ee-badge"); if (el && el.click) el.click(); return !!el; }
+    };
+  } catch (e) { /* ignore */ }
   function _badgeClearCollapse() {
     try { if (_badgeCollapseTimer) { clearTimeout(_badgeCollapseTimer); _badgeCollapseTimer = null; } } catch (e) {}
   }
@@ -643,8 +651,17 @@
   }
   function _badge(mode, text, note) {
     try {
-      // 桌面宽屏(>820)明文/告警态不加徽标 —— 与 mobile-adapter 的“桌面零打扰”契约一致;
+      // 合并给「远程控制悬浮菜单」(2026-09-19):状态挂到 window.__dshE2eeBadge 并广播事件,
+      // 让 mobile-adapter 的统一悬浮按钮显示加密状态、并把独立药丸收起来（只读、不碰加解密逻辑）。
+      _badgeState = { mode: String(mode), text: String(text == null ? "" : text), note: String(note == null ? "" : note) };
+      try {
+        var ev = new CustomEvent("dsh-e2ee-badge", { detail: _badgeState });
+        document.dispatchEvent(ev);
+        if (window !== document) window.dispatchEvent(ev);
+      } catch (e0) { /* 老浏览器:忽略 */ }
+      // 桌面宽屏(>820)明文/告警态不加**独立**徽标 —— 与 mobile-adapter 的“桌面零打扰”契约一致;
       // 加密态(ok)或窄屏始终给出明确状态(协议 §2.4“不静默”)。
+      // 状态本身照常发布，合并后的悬浮菜单无论宽窄都能看到它。
       if (mode !== "ok" && window.innerWidth > 820) return;
       var el = _badgeEl();
       if (!el) return;