@mrrisega/dsh-remote 0.6.9 → 0.6.10-beta.10

package/README.md

@@ -185,7 +185,8 @@ npx @mrrisega/dsh-remote setup --server wss://<你的域名>:端口 --key <访
 生产诊断发现「注册了但设备一直没连上」的用户没有任何账号数据、无法归因，因此插件内置了一条
 **匿名装机统计**通道，只上报**装机与连接是否成功**：
 
-- **采**：事件名（安装开始/失败原因/运行环境就绪/bridge 是否注册成功/首次远程打通/面板打开/重启/更新）、
+- **采**：事件名（安装开始/失败原因/运行环境就绪/bridge 是否注册成功/首次远程打通/面板打开/重启/更新、
+  **微信机器人通道的绑定/解绑**）、
   失败码（白名单，如 `npm_unreachable`、`npm_eacces`、`runtime_install_timeout`）、插件版本号、
   系统平台（`darwin`/`linux`/`win32`）、架构（`arm64`/`x64`）、node 主版本号，
   以及一个**本机随机 ID**（`crypto.randomUUID()`，非硬件派生、重装即变、不可跨机器关联）；

package/clients/dsh-remote/dsh-bridge.mjs

@@ -23,7 +23,11 @@
  *     bridge 转发时:Host 由 fetch/ws 自动取上游 authority(127.0.0.1:3080,满足 loopback 围栏),
  *     显式剥离 Origin、Sec-Fetch-*、Cookie、Referer 等浏览器标记,保证通过 dsh web 的信任围栏。
  *
- *   ── WebSocket 透传(覆盖 /api/events.mux|host 下行流) ──
+ *   ── WebSocket 透传(覆盖 /api/remote.mux|host 下行流) ──
+ *     ⚠️ 修正(2026-09-20):此处原写 /api/events.mux —— 该路径在本版 DSH 里**不存在**
+ *     (全包 grep 零命中),真路径是 /api/remote.mux(@deepseek-ai/dsh-api-gateway 的
+ *     REMOTE_STREAM_MUX_PATH)。线上未出问题是因为本文件对路径**透明透传**、由浏览器决定
+ *     请求哪个路径;但错的注释会把后来者带沟里(微信通道订阅事件流时会照着它写)。
  *     → { "id", "type":"ws-open", "path", "headers":{...} }      ← { "id","type":"ws-open","ok":true|false,"code"?,"reason"? }
  *     → { "id", "type":"ws-msg",  "data":<文本|base64>, "binary"? }
  *     ← { "id", "type":"ws-msg",  "data":<文本|base64>, "binary"? }
@@ -86,6 +90,10 @@ import {
   parseWsE2eeParams,
   writeE2eeStateFile
 } from "./e2ee-client.mjs";
+// 微信机器人通道(编排层):绑定控制面 + 出站通知路由 + 入站长轮询。
+// ⚠️ 微信流量只走「腾讯 ilink ↔ 本机」,**不经我们的 relay**;DSH 事件走本机回环。
+// 总开关 DSH_WECHAT=0(默认开启);未绑定时只起控制面,不起长轮询。
+import { createWeChatRuntime } from "./wechat-runtime.mjs";
 
 // ---------- 强制直连:清除代理环境变量 ----------
 // 家庭网络常配 Clash 等代理(127.0.0.1:7890),node 的 ws/fetch 会继承
@@ -107,6 +115,8 @@ const CONFIG_PATH = process.env.DSH_BRIDGE_CONFIG || DEFAULT_CONFIG;
 const TUNNEL_URL = (process.env.DSH_BRIDGE_TUNNEL_URL || "").replace(/\/+$/, "");
 const TUNNEL_HEARTBEAT_MS = Math.max(100, Number(process.env.DSH_BRIDGE_HEARTBEAT_MS) || 15_000);
 const UPSTREAM = process.env.DSH_BRIDGE_UPSTREAM || "http://127.0.0.1:3080";
+// 微信机器人通道总开关:DSH_WECHAT=0 关闭(默认开启)。控制面只 bind 回环,且必须带 bridge_secret。
+const WECHAT_DISABLED = String(process.env.DSH_WECHAT || "") === "0";
 // 默认云端服务地址（dsh-remote setup 会显式传入；自建模式无需账号 API）
 const API_BASE = (process.env.DSH_BRIDGE_API || "https://n.risegao.cn:13443/relay-api").replace(/\/+$/, "");
 const EMAIL = process.env.DSH_BRIDGE_EMAIL || "";
@@ -117,15 +127,25 @@ const TOKEN = process.env.DSH_BRIDGE_TOKEN || "";
 
 // ---------- 本机稳定指纹(同机重装识别;供服务端自动顶替旧设备) ----------
 
-/** 读取与安装无关的机器级唯一值:macOS IOPlatformUUID / Linux machine-id。 */
+/**
+ * 读取与安装无关的机器级唯一值：macOS IOPlatformUUID / Linux machine-id / Windows MachineGuid。
+ * 用途只有一个：同机卸载重装后被服务端认成同一台设备（自动顶替旧设备记录）。
+ * 拿到的值**只在本机哈希**（见 machineFingerprint），原文绝不上报。
+ */
 function machineUniqueId() {
   if (process.env.DSH_BRIDGE_MACHINE_FP) return String(process.env.DSH_BRIDGE_MACHINE_FP).slice(0, 64);
   if (process.platform === "darwin") {
-    try {
-      const out = execSync("ioreg -rd1 -c IOPlatformExpertDevice", { encoding: "utf8", timeout: 5000 });
-      const m = /"IOPlatformUUID"\s*=\s*"([^"]+)"/.exec(out);
-      if (m && m[1]) return m[1];
-    } catch { /* 兜底 */ }
+    // ⚠️ 必须用**绝对路径**：由 launchd 拉起时 PATH 来自 plist（实测 /usr/local/bin:/opt/homebrew/bin:/usr/bin:/bin），
+    // **不含 /usr/sbin** —— 而 ioreg 恰好就在那里。用裸名会得到
+    // "/bin/sh: ioreg: command not found"（真机日志实测），于是这里静默返回 ""，
+    // 指纹退化成 hostname 哈希：用户改一次主机名就被服务端当成新设备 —— 与 Windows 那条是同一个 bug。
+    for (const ioreg of ["/usr/sbin/ioreg", "ioreg"]) {
+      try {
+        const out = execSync(`${ioreg} -rd1 -c IOPlatformExpertDevice`, { encoding: "utf8", timeout: 5000 });
+        const m = /"IOPlatformUUID"\s*=\s*"([^"]+)"/.exec(out);
+        if (m && m[1]) return m[1];
+      } catch { /* 换下一个候选 */ }
+    }
   } else if (process.platform === "linux") {
     for (const f of ["/etc/machine-id", "/var/lib/dbus/machine-id"]) {
       try {
@@ -133,8 +153,32 @@ function machineUniqueId() {
         if (s) return s;
       } catch { /* 继续 */ }
     }
+  } else if (process.platform === "win32") {
+    // Windows 既没有 IOPlatformUUID 也没有 machine-id，取注册表 MachineGuid
+    //（Windows 安装时生成、之后稳定）—— 语义与 Linux 的 machine-id 一致：都是"每次安装一个"，
+    // 所以"重装 dsh-remote 后仍认成同一台设备"这个唯一用途完全成立。
+    //
+    // 为什么不用 PowerShell/WMI 的 Win32_ComputerSystemProduct.UUID：
+    //   · reg.exe 恒定存在于 System32，启动约 20ms；PowerShell 启动要几百毫秒；
+    //   · PowerShell 在受限语言模式 / AppLocker 的企业机器上可能被策略直接禁掉，
+    //     而拿不到指纹时只能退回 hostname（用户一改主机名就被当成新设备）—— 正是要修的问题；
+    //   · 走 spawnSync 传数组参数，不经过 cmd.exe，因而没有引号/空格/中文路径的转义坑。
+    // 同样不赌 PATH：优先 System32 下的绝对路径，取不到再退回裸名（macOS 那条就是这么栽的）。
+    const regCandidates = [];
+    if (process.env.SystemRoot) regCandidates.push(`${process.env.SystemRoot}\\System32\\reg.exe`);
+    regCandidates.push("reg");
+    for (const reg of regCandidates) {
+      try {
+        const r = spawnSync(reg, ["query", "HKLM\\SOFTWARE\\Microsoft\\Cryptography", "/v", "MachineGuid"],
+          { encoding: "utf8", timeout: 5000, windowsHide: true });
+        const m = r && r.status === 0
+          ? /MachineGuid\s+REG_SZ\s+([0-9a-fA-F-]{16,})/.exec(String(r.stdout || ""))
+          : null;
+        if (m && m[1]) return m[1];
+      } catch { /* 换下一个候选 */ }
+    }
   }
-  return ""; // 读不到(如容器) → 回退宿主名指纹
+  return ""; // 读不到(如容器/受限环境) → 回退宿主名指纹
 }
 /** 稳定指纹:机器唯一值哈希;同机卸载重装后不变。 */
 function machineFingerprint() {
@@ -216,7 +260,15 @@ function hardenFile(file) {
   try { fs.chmodSync(file, 0o600); } catch { /* POSIX 上失败不致命 */ }
   if (process.platform !== "win32") return;
   const who = [process.env.USERDOMAIN, process.env.USERNAME].filter(Boolean).join("\\");
-  if (!who) return;
+  // 两个环境变量都取不到时**绝不能静默返回**：那会让人以为文件已加固，实际仍是继承 ACL。
+  // 正常 Windows 会话不会走到这里（USERNAME 必然存在），但受限令牌/服务账户下有可能。
+  if (!who) {
+    if (!hardenWarned) {
+      hardenWarned = true;
+      console.warn(`⚠️ 无法收紧文件权限（USERDOMAIN/USERNAME 均未设置）：${file}`);
+    }
+    return;
+  }
   let r;
   try {
     r = spawnSync("icacls", [file, "/inheritance:r", "/grant:r", `${who}:F`],
@@ -1158,17 +1210,205 @@ async function initE2ee(token) {
   }
 }
 
+/**
+ * 启动微信通道(控制面 + 已绑定时的事件通知/入站长轮询)。
+ *
+ * ★ 为什么**不 await**、且放在 connectTunnel 之后:
+ *   微信侧是"锦上添花"的能力(发通知)。它必须**永远不能**拖慢或拖挂远程访问本身 ——
+ *   所以先让隧道连上,再 fire-and-forget 起微信;任何异常只记日志,不冒泡、不 exit。
+ *   与 e2ee/mobile-adapter 的定位一致:主链路优先。
+ */
+/** 给没自带前缀的微信日志补上 `[wechat] `;已带的原样返回(避免双重前缀)。 */
+function tagWeChat(m) {
+  const s = String(m);
+  return s.startsWith("[") ? s : `[wechat] ${s}`;
+}
+
+/**
+ * 微信通道的档位来源(免费/付费分层)。
+ *
+ * 取值 = 账号的**生效套餐**,服务端只有三种:free / pro / pro_max
+ * (见企业端 auth.js 的 PLAN_PRIORITY;试用期服务端已折算成 pro,这里不必自己判断)。
+ *
+ * ★ 返回**两种契约**(见 docs/entitlements-contract.md §5/§6.1):
+ *   · 服务端 `/api/me` 带了 `entitlements`(后台可配置的权益包)→ 返回**对象**
+ *     `{plan, caps, limits, rev}`,runtime 以它为准判定能力 —— 这样「后台改配置 = 用户侧实时生效」
+ *     才成立(无需发版)。caps/limits **原样透传**:权限判定以服务端为唯一真相源,
+ *     客户端任何"二次加工/本地过滤"都会让展示与判定分叉,也会让后台配置失效(红线 §8.1/§8.2)。
+ *   · 服务端**没带** `entitlements`(灰度期的旧服务端)→ 保持今天的行为、返回**字符串**档位:
+ *     runtime 有上次的包就继续用它,一份包都没有才按内置表解析。新旧服务端都要能跑,
+ *     所以这里不能只认新契约。
+ *
+ * ⚠️ 取不到时返回**空串**,而不是 "free":空串让 runtime 沿用上次成功取到的档位。
+ *    一次网络抖动就把付过钱的用户降级成免费、还提示他去升级,比多给几分钟权限糟糕得多。
+ * ⚠️ 自建部署直接给最高档:用户跑的是自己的服务器,不存在"会员"这回事,
+ *    不能拿 SaaS 的分层去卡自建用户。
+ */
+/**
+ * 档位查询专用的 token 缓存(理由见 resolveWechatTier 里的注释)。
+ * TTL 取 5 分钟:远小于 JWT 有效期,又足以把「每 10 分钟一次定时校准 + 被拒即重查」
+ * 全部挡在网络之外 —— 不缓存的话,免费用户连着发几条消息就会触发一串 device-login。
+ */
+const WECHAT_TIER_TOKEN_TTL_MS = 5 * 60_000;
+let WECHAT_TIER_TOKEN = { value: "", at: 0 };
+/**
+ * 最近一次 `/api/me` 的账号快照(查档位时顺手记下来)。
+ *
+ * 为什么需要:微信通道要做"会员临近到期"提醒,而它**不该再单独打一次** `/api/me` ——
+ * 档位每 10 分钟本来就会查一次,顺手记住即可。查失败时**保持上次的值**(与档位同一策略:
+ * 一次网络抖动不该让提醒凭空消失或变成乱猜)。
+ */
+let WECHAT_ACCOUNT_SNAPSHOT = null;
+/** 供微信通道取账号快照(到期提醒用)。没查过就返回 null → 上层什么都不发。 */
+async function wechatAccountInfo() {
+  return WECHAT_ACCOUNT_SNAPSHOT;
+}
+
+async function resolveWechatTier() {
+  if (process.env.DSH_BRIDGE_LOCAL_KEY) return "pro_max";
+  try {
+    // ⚠️ `resolveToken()` **不带缓存**:账号模式下每调一次就重新 device-login 一次
+    //    (见它的第一行,只有 DSH_BRIDGE_TOKEN / 自建模式才短路)。
+    //    而档位会被反复查询:每 10 分钟一次定时校准 + 免费用户**每次被拒**都重查(最快 5 秒一次)。
+    //    拿它直接查 = 用户连着发几条消息就把自己打到登录限流里 —— 而 /api/device-login
+    //    是**按出口 IP 限流**的(15 分钟 5 次),连累的不只是他自己。
+    //    所以这里自己缓存 token。
+    const now = Date.now();
+    if (!WECHAT_TIER_TOKEN.value || now - WECHAT_TIER_TOKEN.at > WECHAT_TIER_TOKEN_TTL_MS) {
+      const t = await resolveToken();
+      if (!t) return "";
+      WECHAT_TIER_TOKEN = { value: t, at: now };
+    }
+    const r = await fetch(`${API_BASE}/api/me`, {
+      headers: { authorization: `Bearer ${WECHAT_TIER_TOKEN.value}` },
+      signal: AbortSignal.timeout(6000)
+    });
+    // token 过期/被吊销 → 丢掉缓存,下一次查询重新登录(而不是一直拿坏 token 打)
+    if (r.status === 401 || r.status === 403) {
+      WECHAT_TIER_TOKEN = { value: "", at: 0 };
+      return "";
+    }
+    if (!r.ok) return "";
+    const j = await r.json().catch(() => null);
+    const u = (j && j.user) || null;
+    // 顺手记账号快照(到期提醒用)。⚠️ 只在**真拿到了 user** 时覆盖 —— 否则保持上次。
+    if (u) {
+      WECHAT_ACCOUNT_SNAPSHOT = {
+        plan: String(u.plan || ""),
+        plan_ends_at: u.plan_ends_at ?? null,
+        trial_expires_at: u.trial_expires_at ?? null
+      };
+    }
+    // ★ 服务端权益包(契约 §5):有它就返回对象,runtime 以服务端 caps/limits 为准。
+    //
+    // 🔴 判据是「`caps` 是**数组**」,**空数组也算给了**(2026-09-23 修):
+    //   后台「明确清空」某档(契约 §4.1 的 `EMPTY_CAPS_VALUE`,下发即 `caps: []`)表达的是
+    //   **这个档位什么能力都没有**。如果这里把空数组当成"没给",runtime 就会沿用上次那份包
+    //   (一份都没有时回退**内置表**)—— 于是"我清空了 pro"变成"pro 拿回内置的一整套付费能力",
+    //   比后台意图**更多**权限。那是 fail-open,方向正好反了(契约 §8 红线 2)。
+    //   所以:数组(含空) = 权威;不是数组/字段缺失 = 这次没拿到 → 退回字符串契约沿用上次。
+    const ent = j && j.entitlements;
+    if (ent && typeof ent === "object" && Array.isArray(ent.caps)) {
+      return {
+        // plan 也原样取服务端的值;只有权益包里缺 plan 时才退回 user.plan(同一份真相的旧字段)。
+        plan: String(ent.plan || (u && u.plan) || ""),
+        caps: ent.caps,
+        // ⚠️ limits 缺失时必须给 null,**不能补 `{}`**:runtime 里 `{}` 是"有效的一张限制表",
+        //    于是 messages_per_month 读成 0 = 不限 → 免费用户当场变成无限额度(等于放权)。
+        //    null 才会让 runtime 沿用上次的值 / 回退内置表 —— 缺字段绝不等于放开(契约 §8.2 fail-closed)。
+        limits: ent.limits && typeof ent.limits === "object" ? ent.limits : null,
+        rev: String(ent.rev || "")
+      };
+    }
+    // 没有权益包(旧服务端 / 灰度期)→ 保持旧契约:只给档位字符串。
+    // runtime 收到字符串后:有上次的包就继续用它,一份包都没有才按内置表解析(冷启动兜底)。
+    return String((u && u.plan) || "");
+  } catch {
+    return "";
+  }
+}
+
+/**
+ * App 入口(免费用户越界时给的转化链接)。
+ * 由账号 API 地址推导:去掉 `/relay-api` 再加 `/app/` —— 与插件半的 DEFAULT_APP_URL 同一口径
+ * (https://host:port/relay-api → https://host:port/app/)。
+ */
+function wechatAppUrl() {
+  return `${API_BASE.replace(/\/relay-api\/?$/, "")}/app/`;
+}
+
+let wechatRuntime = null;
+function startWeChat() {
+  if (WECHAT_DISABLED) {
+    console.log("[bridge] 微信通道已禁用(DSH_WECHAT=0)");
+    return;
+  }
+  try {
+    const relayDir = path.dirname(CONFIG_PATH);
+    const cfg = loadLocalConfig();
+    wechatRuntime = createWeChatRuntime({
+      relayDir,
+      upstream: UPSTREAM,
+      cookieOf: harnessCookieOf,
+      secret: process.env.DSH_BRIDGE_SECRET || (typeof cfg.bridge_secret === "string" ? cfg.bridge_secret : ""),
+      // 免费/付费分层:档位来自账号的生效套餐,App 链接是免费用户越界时的转化入口。
+      tierProvider: resolveWechatTier,
+      // 到期提醒的数据来源(复用上面那次 /api/me,不额外打网络)
+      accountInfo: wechatAccountInfo,
+      appUrl: wechatAppUrl(),
+      // 模块自己的消息已带 `[wechat]` / `[wechat/events]` 前缀,这里**不能再加一次**
+      // (真机日志里出现过 `[wechat] [wechat] 控制面已就绪`)。没前缀的兜底补一个。
+      logger: {
+        info: (m) => console.log(tagWeChat(m)),
+        warn: (m) => console.warn(tagWeChat(m)),
+        error: (m) => console.warn(tagWeChat(m)),
+        debug: () => {},
+        // WeChatChannel 构造时会给 token 登记脱敏;这里保持同样契约(日志不落 token)
+        addSecret: () => {}
+      }
+    });
+    wechatRuntime.start().catch((e) => {
+      console.warn(`[bridge] 微信通道启动失败(不影响远程访问): ${redactText(e)}`);
+    });
+  } catch (e) {
+    console.warn(`[bridge] 微信通道初始化失败(不影响远程访问): ${redactText(e)}`);
+    wechatRuntime = null;
+  }
+}
+
+/** 优雅退出微信通道(notifystop + 关控制面)。失败只记日志。 */
+async function stopWeChat() {
+  const rt = wechatRuntime;
+  wechatRuntime = null;
+  if (!rt) return;
+  try {
+    await rt.stop();
+  } catch (e) {
+    console.warn(`[bridge] 微信通道停止失败(忽略): ${redactText(e)}`);
+  }
+}
+
+function redactText(e) {
+  return String(e && e.message ? e.message : e).slice(0, 200);
+}
+
 async function runTunnel() {
   const token = await resolveToken();
   if (!token) {
     console.error("[bridge] 隧道模式需要账号认证:请设 DSH_BRIDGE_TOKEN,或 DSH_BRIDGE_PHONE+DSH_BRIDGE_PASSWORD");
     process.exit(1);
   }
+  // 把刚拿到的 JWT 喂给档位查询的缓存:否则 startWeChat 里的档位校准会**再登录一次**
+  // (真机日志实测:同一个桥接启动里出现两条并发的 device-login)。
+  // 而 /api/device-login 是按出口 IP 限流的 —— 每次启动都多花一份登录额度没有道理。
+  WECHAT_TIER_TOKEN = { value: token, at: Date.now() };
   // 新进程开始:重置状态文件(上一轮的成功记录不能代表这一轮,面板据此判定 online)
   persistBridgeState({ device_id: DEVICE_ID, started_at: Date.now(), phase: "connecting", last_error: null }, { reset: true });
   await initE2ee(token);
   await registerDeviceInAccount(token);
   connectTunnel(token);
+  // 隧道已发起后再起微信:主链路优先,微信永不阻塞远程访问
+  startWeChat();
   setTimeout(() => {
     console.log(`[bridge] 隧道模式运行中(上游 ${UPSTREAM},Ctrl-C 退出)`);
   }, 1000);
@@ -1180,6 +1420,27 @@ async function main() {
     console.error("[bridge] 缺少 DSH_BRIDGE_TUNNEL_URL:隧道模式是唯一模式(请设 relay-router 地址)");
     process.exit(1);
   }
+  // ⚠️ 本文件此前**一个 process.on 都没有** —— 被 launchd/systemd/schtasks 杀掉时,
+  // 微信长轮询不会收到信号,腾讯侧会一直以为通道在线(notifystop 永远不发)。
+  // 只注册在 main() 里(被测试 import 时不污染测试进程)。
+  let shuttingDown = false;
+  const shutdown = async (sig) => {
+    if (shuttingDown) return;
+    shuttingDown = true;
+    console.log(`[bridge] 收到 ${sig},正在优雅退出...`);
+    await stopWeChat();
+    process.exit(0);
+  };
+  process.on("SIGTERM", () => { shutdown("SIGTERM"); });
+  process.on("SIGINT", () => { shutdown("SIGINT"); });
+  // 【Windows 的关键一条】Windows 上 process.kill() 是**无条件 TerminateProcess**：
+  // 上面的 SIGTERM/SIGINT 处理函数在 Windows 上**永远不会被执行**，
+  // 于是 notifystop（微信通道下线通知）永远发不出去，腾讯侧一直以为通道还在线。
+  // watcher 通过 IPC 发来的 shutdown 消息是 Windows 上唯一能真正跑到的优雅退出路径
+  //（POSIX 上也一并走这条，比信号更可靠）。见 src/lifecycle.mjs 的 stopChildGracefully。
+  process.on("message", (m) => {
+    if (m && m.type === "shutdown") shutdown("IPC shutdown");
+  });
   return runTunnel();
 }