@mrrisega/dsh-remote 0.7.0-beta.2 → 0.7.0-beta.4

package/packages/dsh-remote-web/lib/index.js

@@ -21,7 +21,7 @@
 //
 // 不依赖任何第三方包：只使用 node 内置模块与 cordis 注入的 webServer 服务。
 import { readFileSync, writeFileSync, mkdirSync, existsSync, realpathSync, accessSync, chmodSync, openSync, closeSync, readSync, fstatSync, rmSync, renameSync, statSync, copyFileSync, cpSync, constants as fsConstants } from "node:fs";
-import { join, dirname, sep, delimiter } from "node:path";
+import { join, dirname, sep, delimiter, isAbsolute, relative } from "node:path";
 import { execSync, spawn, spawnSync } from "node:child_process";
 import { randomUUID } from "node:crypto";
 import { homedir, tmpdir } from "node:os";
@@ -740,6 +740,24 @@ function applySaaSMode(cfg) {
  * 老版本(无该鉴权)下 connection 服务没有 authenticatedUrl → 静默跳过,行为不变。
  */
 const HARNESS_COOKIE_FILE = ".harness-cookie.json";
+/**
+ * fetch 失败时**把真实原因带出来**（2026-10-10）。
+ * undici 只给一句 "fetch failed"，真因藏在 `e.cause`（ECONNREFUSED / ENOTFOUND /
+ * CERT_HAS_EXPIRED / UND_ERR_CONNECT_TIMEOUT / 代理相关…）。以前这层被吞掉，
+ * 于是面板上只有"验证码服务不可达: fetch failed"，排查只能猜。
+ */
+function fetchFailReason(e) {
+  const parts = [String((e && e.message) || e)];
+  let c = e && e.cause;
+  for (let i = 0; c && i < 3; i += 1) {
+    const bit = c.code || c.message || c.name;
+    if (bit) parts.push(String(bit));
+    c = c.cause;
+  }
+  try { if (e && e.name && !parts.includes(e.name)) parts.push(String(e.name)); } catch { /* 忽略 */ }
+  return [...new Set(parts)].join(" ← ");
+}
+
 /**
  * Cookie 按 **authority 分文件**(0.7.0-beta.2 起,2026-10-09 事故根治)。
  *
@@ -995,6 +1013,14 @@ function runtimeManifest(relayDir) {
  */
 function missingRuntimeFiles(relayDir) {
   if (!existsSync(join(relayDir, "dsh-setup.mjs"))) return ["dsh-setup.mjs"];
+  /* ⚠️ 已知盲区（2026-10-10 发现，**暂不做 gating**）：bridge 顶层 `import WebSocket from "ws"` 是裸依赖，
+     而 runtimeManifest 只跟**相对路径 import**，所以"运行环境里有没有 ws"从未进过这份自检。
+     试过把 `node_modules/ws` 加进必需清单，但真实语义是 **Node 会向上找 node_modules**
+     （~/.dsh-remote/node_modules/ws 与宿主/父级 node_modules 都可能提供它），
+     按"某个固定路径必须存在"判会误伤 —— 实测直接打挂 17 个连接流程用例，且真实机器上
+     ws 本来就解析得到（已验证）。所以这里保持"只判入口点名的相对文件"，
+     根治放在**源头**：安装器拷贝插件时必须保留 `runtime/node_modules`（已修 + 有用例），
+     以及 `npm run sync:local` 会把 ws 一并同步到 relayDir。 */
   return runtimeManifest(relayDir).filter((rel) => !existsSync(join(relayDir, rel)));
 }
 
@@ -1020,6 +1046,23 @@ function launchAgentPath() {
   if (isDarwin()) return join(homedir(), "Library/LaunchAgents/com.dshremote.bridge.plist");
   return null;
 }
+/**
+ * ★ 这份自启动 plist 是否**确实是为本 relayDir 装的**（内容里写着 `<relayDir>/dsh-setup.mjs`）。
+ *
+ * 🔴 2026-10-10 事故（两次，同一根因）：`reapBrokenAutostart()` 用**当前 relayDir** 判断
+ *   "入口脚本缺失"（测试的临时 relayDir 当然没有 dsh-setup.mjs → 判 true），
+ *   但删除的却是 `launchAgentPath()` = **真实 HOME 下那份 plist** → 把开发者本机的自启动
+ *   连 bootout 带删文件一起干掉了（远程访问中断，且日志里看不出异常）。
+ *   判据与删除目标必须是**同一个东西**：先确认这份 plist 属于本 relayDir，再动手。
+ */
+function plistOwnedByRelayDir(relayDir) {
+  try {
+    const p = launchAgentPath();
+    if (!p || !existsSync(p)) return false;
+    return readFileSync(p, "utf8").includes(join(relayDir, "dsh-setup.mjs"));
+  } catch { return false; }
+}
+
 
 /**
  * Linux 的 systemd user unit 路径（与 dsh-setup.mjs 的 `autostartFilePath()` **同一路径**）。
@@ -1075,6 +1118,7 @@ Environment=PATH=${SERVICE_PATH}
 ${SERVICE_NODE_ENV_UNIT}Environment=DSH_BRIDGE_UPSTREAM=${upstreamUrl()}
 Environment=DSH_BRIDGE_INSTALL_SOURCE=${installSourceOf(relayDir)}
 Environment=DSH_BRIDGE_INSTALL_VERSION=${PLUGIN_VERSION}
+Environment=DSH_BRIDGE_HARNESS_VERSION=${harnessVersion()}
 
 [Install]
 WantedBy=default.target
@@ -1557,7 +1601,8 @@ function ensureRuntime(relayDir) {
       windowsHide: true,
       // DSH_BRIDGE_INSTALL_SOURCE：本机运行环境是插件自愈补的 → 安装器原样透传到 plist/bridge env，
       // 于是设备行上的 install_source 如实记成 plugin_market（而不是安装器默认的 npx）。
-      env: spawnEnv({ npm_config_registry: "https://registry.npmjs.org", DSH_BRIDGE_INSTALL_SOURCE: "plugin_market" }),
+      // DSH_BRIDGE_HARNESS_VERSION 同理：安装器会把它写进 plist；不给的话，桥重启后就丢了宿主版本。
+      env: spawnEnv({ npm_config_registry: "https://registry.npmjs.org", DSH_BRIDGE_INSTALL_SOURCE: "plugin_market", DSH_BRIDGE_HARNESS_VERSION: harnessVersion() }),
       stdio: ["ignore", openSync(log, "a"), openSync(log, "a")],
       onError: (e) => failSpawn(e, npx.kind),
     });
@@ -1653,7 +1698,7 @@ function writeAutostartFile(relayDir) {
   <key>LimitLoadToSessionType</key><array><string>Aqua</string><string>Background</string></array>
   <key>StandardOutPath</key><string>${join(relayDir, ".dsh-bridge.log")}</string>
   <key>StandardErrorPath</key><string>${join(relayDir, ".dsh-bridge.log")}</string>
-  <key>EnvironmentVariables</key><dict><key>PATH</key><string>${SERVICE_PATH}</string>${SERVICE_NODE_ENV_PLIST}<key>DSH_BRIDGE_INSTALL_SOURCE</key><string>${installSourceOf(relayDir)}</string><key>DSH_BRIDGE_INSTALL_VERSION</key><string>${PLUGIN_VERSION}</string></dict>
+  <key>EnvironmentVariables</key><dict><key>PATH</key><string>${SERVICE_PATH}</string>${SERVICE_NODE_ENV_PLIST}<key>DSH_BRIDGE_INSTALL_SOURCE</key><string>${installSourceOf(relayDir)}</string><key>DSH_BRIDGE_INSTALL_VERSION</key><string>${PLUGIN_VERSION}</string><key>DSH_BRIDGE_HARNESS_VERSION</key><string>${harnessVersion()}</string></dict>
 </dict></plist>`;
   mkdirSync(dirname(plistPath), { recursive: true });
   writeFileSync(plistPath, plist, { mode: 0o644 });
@@ -1689,6 +1734,8 @@ function reapBrokenAutostart(relayDir) {
   // 只有 macOS 有 launchd 自启动项可摘；Windows/Linux 走的是 systemd/无自启动，判据不适用。
   if (!isDarwin()) return false;
   if (!plistEntryMissing()) return false;
+  // 归属校验：这份 plist 不是给本 relayDir 装的 → 一个字节都不动（见 plistOwnedByRelayDir）
+  if (!plistOwnedByRelayDir(relayDir)) return false;
   const st = launchdStatus();
   if (!st.running && !st.crashing && !st.state) return false; // 作业未被 launchd 加载、无可摘的东西
   for (const target of launchTargets()) sh(`launchctl bootout ${target}`);
@@ -1763,6 +1810,8 @@ function startBridgeDetached(relayDir, fallbackReason = "") {
     env: spawnEnv({
       DSH_BRIDGE_INSTALL_SOURCE: installSourceOf(relayDir),
       DSH_BRIDGE_INSTALL_VERSION: PLUGIN_VERSION,
+      // 宿主版本：bridge 自己推不出来（它是另一个进程），只能由插件在宿主进程内问出来再注入。
+      DSH_BRIDGE_HARNESS_VERSION: harnessVersion(),
       // 上游端口**必须**透传：watcher 用它判断「dsh web 在线吗」，bridge 用它做转发目标。
       // 不传的话两边都回落到写死的 3080 —— dsh web 不在默认端口时 bridge 永远不启动（0.6.12 修）。
       DSH_BRIDGE_UPSTREAM: upstreamUrl(),
@@ -2016,9 +2065,36 @@ function uninstallRuntime(relayDir, protectedPath) {
     // a) 停服务 + 移除自启动文件
     try {
       if (isDarwin()) {
+        /* 🔴 2026-10-10 事故护栏：**relayDir 不在当前 HOME 之下时，绝不碰真实自启动**。
+           当天某个用例用「真 HOME + 临时 relayDir」调到了这里：plist 路径解析到真实的
+           ~/Library/LaunchAgents/com.dshremote.bridge.plist → 先 bootout 真桥、再把 plist 删了
+           → **开发者本机的远程访问被测试整个卸掉**（job 消失、桥停摆）。
+           判据：生产部署里 relayDir 一定在 HOME 之下（~/.dsh-remote）；
+           测试夹具的 relayDir 在 /var/folders/... 而 HOME 是真实的 —— 这个不一致必须拒绝。
+           显式要跨目录操作时设 DSH_RELAY_ALLOW_FOREIGN_SERVICE=1。 */
+        const underHome = (() => {
+          try {
+            const rel = relative(homedir(), relayDir);
+            return rel === "" || (!rel.startsWith("..") && !isAbsolute(rel));
+          } catch { return false; }
+        })();
+        if (!underHome && process.env.DSH_RELAY_ALLOW_FOREIGN_SERVICE !== "1") {
+          out.serviceSkipped = `relayDir 不在 HOME 之下（${relayDir}），拒绝改动真实自启动服务`;
+          return out;
+        }
         // 只处理「plist 位于当前 HOME」的服务：本插件/dsh-setup.mjs 安装的服务一定在此
         const plistPath = launchAgentPath();
         if (plistPath && existsSync(plistPath)) {
+          /* ★★ 归属校验（2026-10-10 事故的最终护栏）：
+             这份 plist 必须**确实是为本 relayDir 装的**（内容里写着 <relayDir>/dsh-setup.mjs）。
+             不校验的话，只要有用例拿「真 HOME + 临时 relayDir」走到这里，就会把开发者本机
+             真实的服务**先 bootout 再删文件**（当天实测发生：桥停摆、远程访问中断）。
+             归属不符 → 整个服务分支跳过（并如实说明），绝不越界。 */
+          const ownedByThisDir = plistOwnedByRelayDir(relayDir);
+          if (!ownedByThisDir) {
+            out.serviceSkipped = `plist 不属于本 relayDir，拒绝改动：${plistPath}`;
+            return out;
+          }
           // crashing 也要 bootout：崩溃循环中的作业在 launchd 里仍是「已加载」，
           // 只删 plist 文件它照样被 KeepAlive 反复重拉（见 launchdStatus 注释）。
           const st = launchdStatus();
@@ -3112,6 +3188,12 @@ async function proxyFeedback(relayDir, req, res, pathname) {
   const headers = {
     "x-dsh-device": cfg.device_id || "",
     "x-dsh-client": `dsh-remote-web/${PLUGIN_VERSION}`,
+    // 真实 UA 必须**转发**：以前不转发，上游 fetch 就用 undici 默认 UA（`node`），
+    // 后台「机型」列对每条真实反馈都显示同一个没用值（生产实测 fb_* 全是 user_agent=node），
+    // 于是「Windows 还是 Linux 出的问题」只能靠翻安装日志考古。同时补一个结构化平台字段
+    // （x-dsh-platform），比让后台解析 UA 可靠得多。
+    "user-agent": String(req.headers["user-agent"] || `dsh-remote-web/${PLUGIN_VERSION}`),
+    "x-dsh-platform": process.platform,
   };
   if (cfg.phone) headers["x-dsh-phone"] = String(cfg.phone);
   const auth = req.headers.authorization;
@@ -3234,7 +3316,7 @@ async function proxyAnnouncements(relayDir, req, res, pathname) {
     res.end(text);
   } catch (e) {
     // 网络不可达 / 超时 / JSON 异常：一律 502 + 人话，绝不把异常抛回 webServer（那会变成 500 堆栈）
-    return sendJson(res, 502, { ok: false, error: `公告服务不可达: ${e.message}` });
+    return sendJson(res, 502, { ok: false, error: `公告服务不可达: ${fetchFailReason(e)}` });
   }
 }
 
@@ -3527,7 +3609,14 @@ function spawnUpdater(relayDir, extraEnv, onError, spec = UPDATE_SPEC) {
     windowsHide: true, // Windows：不弹控制台窗口（POSIX 上该选项被忽略）
     // PATH 补 node 目录：App 最小 PATH 下也能跑 npx；同时保持本机既有的安装来源口径
     // （在线更新会重跑安装器并重写 plist，若不带来源就会把 plugin_market 误记成 npx）。
-    env: spawnEnv({ DSH_BRIDGE_INSTALL_SOURCE: installSourceOf(relayDir), ...(extraEnv || {}) }),
+    env: spawnEnv({
+      DSH_BRIDGE_INSTALL_SOURCE: installSourceOf(relayDir),
+      // 安装器会把这些环境变量原样写进 plist/systemd 单元，所以宿主版本也要一起给它 ——
+      // 否则安装器重启桥之后，新写的自启动项里就没有 harness 版本了。
+      DSH_BRIDGE_INSTALL_VERSION: PLUGIN_VERSION,
+      DSH_BRIDGE_HARNESS_VERSION: harnessVersion(),
+      ...(extraEnv || {}),
+    }),
     stdio: ["ignore", openSync(log, "a"), openSync(log, "a")],
     onError,
   });
@@ -3607,6 +3696,7 @@ async function runOnlineUpdate(relayDir) {
         env: spawnEnv({
           DSH_BRIDGE_INSTALL_SOURCE: installSourceOf(relayDir),
           DSH_BRIDGE_INSTALL_VERSION: PLUGIN_VERSION,
+          DSH_BRIDGE_HARNESS_VERSION: harnessVersion(),
           npm_config_registry: "https://registry.npmjs.org",
         }),
         stdio: ["ignore", out, out],
@@ -3869,13 +3959,22 @@ function writePatchDocument(patchFile, text) {
  * 助手做的是「宁可少做也不卡住」的有界清理：杀残留进程 → 删自启动 → 清配置目录，每步独立 try/catch。
  */
 function buildRuntimeCleanupHelper(relayDir, protectedPath) {
+  /* ★ 归属校验（2026-10-10 事故第三条路径）：计划里的 plistPath 用的是**当前 homedir**，
+     而 relayDir 来自调用方 —— 两者不必是同一个目录。曾有测试用「真 HOME + 临时 relayDir」
+     走到这里，于是这个 detached 助手把**开发者本机真实的自启动 plist 删了**（异步删，
+     所以在进程内插桩根本抓不到）。现在：plist 里没写着本 relayDir 的入口脚本 → **不给路径**，
+     助手自然一个字节都不动。 */
+  const homePlist = join(homedir(), "Library", "LaunchAgents", "com.dshremote.bridge.plist");
+  const ownsHomePlist = (() => {
+    try { return existsSync(homePlist) && readFileSync(homePlist, "utf8").includes(join(relayDir, "dsh-setup.mjs")); } catch { return false; }
+  })();
   const plan = JSON.stringify({
     relayDir,
     protectedPath: protectedPath || "",
     platform: osPlatform(),
     taskName: WIN_TASK_NAME,
     pidFiles: [WATCHER_PID_FILE, BRIDGE_PID_FILE],
-    plistPath: join(homedir(), "Library", "LaunchAgents", "com.dshremote.bridge.plist"),
+    plistPath: ownsHomePlist ? homePlist : "",
     unitPath: join(homedir(), ".config", "systemd", "user", "dsh-bridge.service"),
     log: join(tmpdir(), "dsh-remote-uninstall.log"),
   });
@@ -4613,6 +4712,8 @@ function buildConnectDiagnostics(relayDir, conn, log) {
   const rows = [
     "dsh-remote 连接诊断",
     `插件版本: ${PLUGIN_VERSION}`,
+    // 宿主版本：生产反馈里最缺的就是这个数 —— 只报插件版本时，「是不是 DSH 升级导致的兼容故障」答不出来
+    `宿主版本: ${harnessVersion() || "未知"}`,
     `配置目录: ${relayDir}`,
     `连接阶段: ${conn.phase}（${conn.text}）`,
     `设备 ID: ${conn.deviceId || "（未生成）"}`,
@@ -4678,7 +4779,7 @@ async function buildDiagReport(relayDir, opts = {}) {
   const conn = await composeConnect(relayDir, { manual });
   const cfg = loadConfig(relayDir);
   const head = redactForDiagnostics([
-    `【插件】v${PLUGIN_VERSION}　运行时 ${runtimeVersionOf(relayDir) || "未知"}　${osPlatform()}/${process.arch}　node ${String(process.versions.node).split(".")[0]}`,
+    `【插件】v${PLUGIN_VERSION}　运行时 ${runtimeVersionOf(relayDir) || "未知"}　宿主 ${harnessVersion() || "未知"}　${osPlatform()}/${process.arch}　node ${String(process.versions.node).split(".")[0]}`,
     `【阶段】${conn.phase}（${conn.text}）`,
     `【设备】ID=${conn.deviceId || "（未生成）"}　运行环境=${conn.runtimeReady ? "就绪" : `缺失${conn.runtimeMissing && conn.runtimeMissing.length ? `（缺 ${conn.runtimeMissing.slice(0, 3).join("、")}）` : ""}`}`,
     `【bridge】${conn.bridgeRunning ? `在运行 pid=${conn.bridgePids.join(",")}` : "未运行"}　守护=${conn.watcherRunning ? `在运行 pid=${conn.watcherPids.join(",")}${conn.watcherAgeMs ? `（${Math.round(conn.watcherAgeMs / 1000)}s）` : ""}` : "未运行"}${conn.watcherWedged ? " ⚠️活着但拉不起 bridge" : ""}${conn.watcherRestarts ? ` 已自动重启 ${conn.watcherRestarts} 次` : ""}`,
@@ -4714,6 +4815,10 @@ async function submitFeedback(relayDir, payload) {
     "content-type": "application/json",
     "x-dsh-device": cfg.device_id || "",
     "x-dsh-client": `dsh-remote-web/${PLUGIN_VERSION}`,
+    // 与 proxyFeedback 同一口径：结构化平台字段 + 真实 UA（此处没有浏览器请求可转发，
+    // 就如实写本机平台，绝不冒充浏览器 UA）。
+    "user-agent": `dsh-remote-web/${PLUGIN_VERSION} (${process.platform}; ${process.arch})`,
+    "x-dsh-platform": process.platform,
   };
   if (cfg.phone) headers["x-dsh-phone"] = String(cfg.phone);
   const t = await feedbackAuthToken(relayDir).catch(() => "");
@@ -5180,9 +5285,51 @@ function harnessVersionFromEntry(entry) {
   }
 }
 
+/**
+ * 由**宿主根目录**解析版本：`<root>/node_modules/@deepseek-ai/dsh/package.json`。
+ *
+ * 【为什么还要这一条（2026-10-09 真机）】桌面端（DeepSeek Harness 0.2，Electron）的宿主进程 argv 是：
+ *   [0] …/MacOS/DeepSeek Harness
+ *   [1] --expose-internals                                  ← **是开关，不是路径**
+ *   [2] …/app.asar/dsh/node_modules/@deepseek-ai/dsh-desktop-host/lib/index.js
+ *   [3] …/app.asar/dsh                                      ← **宿主根目录**
+ * 于是「取 argv[1] 的上一级 package.json」在桌面端**必然拿不到**（argv[1] 是 `--expose-internals`），
+ * 这就是桌面用户全部上报 harness 版本为空的原因。好在 argv[3] 就是宿主根，其
+ * `node_modules/@deepseek-ai/dsh/package.json` 正是宿主版本（实测 0.2.0-rc.2）。
+ * 桌面端是 Electron，`readFileSync` 能透明读 asar 内的路径，所以这条在真实宿主里可读。
+ */
+function harnessVersionFromRoot(root) {
+  try {
+    const manifest = JSON.parse(readFileSync(join(String(root), "node_modules", HARNESS_PACKAGE_NAME, "package.json"), "utf8"));
+    if (!manifest || manifest.name !== HARNESS_PACKAGE_NAME) return "";
+    return telemetryToken(manifest.version);
+  } catch {
+    return "";   // 不是宿主根 / 读不到 → 交给下一条候选，绝不抛
+  }
+}
+
+/**
+ * 从整条 argv 里找出宿主版本（**顺序试探，先命中先返回**）。三条来源都不联网、不起子进程：
+ *   ① 目录形态：某参数本身就是宿主根（桌面端 argv[3]）；
+ *   ② 文件形态：某参数是 DSH 主模块（Web 版 argv[1]），取它上一级的 package.json；
+ * 开关（`-` 开头）与非绝对路径一律跳过 —— 绝不把 `--expose-internals` 当路径去 realpath。
+ */
+function harnessVersionFromArgv(argv) {
+  const list = Array.isArray(argv) ? argv : [];
+  for (const raw of list) {
+    const p = String(raw ?? "");
+    if (p === "" || p.startsWith("-") || !isAbsolute(p)) continue;
+    const viaRoot = harnessVersionFromRoot(p);
+    if (viaRoot) return viaRoot;
+    const viaEntry = harnessVersionFromEntry(p);
+    if (viaEntry) return viaEntry;
+  }
+  return "";
+}
+
 /** 本进程运行所在的宿主版本（未知 = ""）。每次调用现读：事件量很小，且绝不该缓存出过期结论。 */
 function harnessVersion() {
-  return harnessVersionFromEntry(process.argv[1]);
+  return harnessVersionFromArgv(process.argv);
 }
 
 /**
@@ -5556,6 +5703,8 @@ export const __telemetryInternals = {
   // 必须能被用例逐条锁住（含未知/非法值的降级行为）。
   harnessVersion: () => harnessVersion(),
   harnessVersionFromEntry: (entry) => harnessVersionFromEntry(entry),
+  harnessVersionFromRoot: (root) => harnessVersionFromRoot(root),
+  harnessVersionFromArgv: (argv) => harnessVersionFromArgv(argv),
   harnessToken: (v) => telemetryToken(v),
   updateTag: UPDATE_TAG,
   eventNames: [...TELEMETRY_EVENT_NAMES],
@@ -5582,7 +5731,7 @@ export const __telemetryInternals = {
  * 安装信息上报（插件侧通道）：登录后把本机安装信息发给企业端，供「已登录用户升级插件后刷新版本号」
  * 之类的口径统计。无账号凭据不上报；失败静默（绝不阻塞面板、不弹错误）。
  * 契约：POST <api_url>/api/install-report，头 `authorization: Bearer <device-login JWT>`，
- * body { device_id?, install_source, install_version, host_os, host_arch }，成功 200 {ok:true}；
+ * body { device_id?, install_source, install_version, harness_version, host_os, host_arch }，成功 200 {ok:true}；
  * 404/400 一律忽略（老服务端没有该接口时不能报错）。
  */
 const INSTALL_REPORT_FILE = ".dsh-install-report.json";
@@ -5617,6 +5766,9 @@ async function reportInstallOnce(relayDir, cfgOverride, opts = {}) {
     ...(cfg.device_id ? { device_id: String(cfg.device_id) } : {}),
     install_source: source,
     install_version: version,
+    // 宿主（DeepSeek Harness）版本：与 install_version（插件版本）是两个数，
+    // 只报插件版本时「是不是 DSH 升级导致的故障」答不出来（2026-10 生产反馈的普遍缺口）。
+    harness_version: harnessVersion(),
     host_os: process.platform,
     host_arch: process.arch,
   };
@@ -6572,7 +6724,7 @@ function registerRoutes(ctx, relayDir) {
           res.writeHead(200, { "content-type": type || "application/json; charset=utf-8", "cache-control": "no-store" });
           res.end(buf);
         } catch (e) {
-          sendJson(res, 502, { ok: false, error: `验证码服务不可达: ${e.message}` });
+          sendJson(res, 502, { ok: false, error: `验证码服务不可达: ${fetchFailReason(e)}` });
         }
       },
     },

package/packages/dsh-remote-web/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-remote-web",
-  "version": "0.7.0-beta.2",
+  "version": "0.7.0-beta.4",
   "description": "公网远程控制 DeepSeek Harness（dsh web）：安装即得专属加密地址，人在外面也能用手机访问电脑上的 dsh——无需同一局域网/WiFi、无需公网 IP 与内网穿透，全程加密；手机端 100% 还原电脑体验（对话/工具/审批/设置）。技术用户可选自建服务，流量走自己的服务器。Remote control DeepSeek Harness (dsh web) from anywhere over the public internet — install, get an encrypted URL, use it from your phone on any network (dual-half cordis plugin: Settings panel + same-origin /dsh-remote routes). (2026-09 由 dsh-remote-ui 更名 / renamed from dsh-remote-ui; dsh-remote 的 dsh web 插件半，不是纯 UI/皮肤插件)",
   "type": "module",
   "main": "lib/index.js",

package/packages/dsh-remote-web/runtime/clients/dsh-remote/dsh-bridge.mjs

@@ -254,8 +254,25 @@ function resolveInstallVersion() {
     return JSON.parse(fs.readFileSync(path.join(ROOT, "package.json"), "utf8")).version || "";
   } catch { return ""; }
 }
+/**
+ * 宿主（DeepSeek Harness）版本：**由插件注入**，bridge 自己算不出来。
+ *
+ * 为什么必须是注入：宿主版本要从"宿主进程的 argv / 安装目录"推出来，而 bridge 是插件
+ * **另外拉起的独立进程**（脱离宿主，见 dsh-setup.mjs 的守护），它的 argv 与宿主毫无关系。
+ * 插件跑在宿主进程内，能拿到真实版本（见 packages/dsh-remote-web/lib/index.js 的
+ * harnessVersion()），所以由它经 DSH_BRIDGE_HARNESS_VERSION 传下来。
+ *
+ * 与 INSTALL_VERSION 的区别（曾经把这两个数混为一谈，导致版本问题答不出来）：
+ *   install_version = **本插件**的版本（用户装的 dsh-remote-web 是哪个版本）
+ *   harness_version = **宿主**的版本（用户跑的 DeepSeek Harness 是哪个版本）
+ * 只知其一都定位不了"是不是宿主升级导致的兼容性故障"。
+ */
+function resolveHarnessVersion() {
+  return String(process.env.DSH_BRIDGE_HARNESS_VERSION || "").trim();
+}
 const INSTALL_SOURCE = resolveInstallSource();
 const INSTALL_VERSION = resolveInstallVersion();
+const HARNESS_VERSION = resolveHarnessVersion();
 
 // ---------- 稳定设备身份(.dsh-config.json) ----------
 
@@ -1399,6 +1416,9 @@ async function registerDeviceInAccount(token) {
         //   install_source: npx(安装器注入) | plugin_market(插件拉起/自愈,默认) | unknown(白名单外)
         install_source: INSTALL_SOURCE,
         install_version: INSTALL_VERSION,
+        // v15 宿主版本(由插件注入;老插件不注入 → 空串 = 未上报)。服务端 devices.harness_version。
+        // 与 install_version 是两个不同的数:前者是"插件版本",这个是"DeepSeek Harness 版本"。
+        harness_version: HARNESS_VERSION,
         host_os: process.platform,
         host_arch: process.arch
       })

package/packages/dsh-remote-web/runtime/clients/dsh-remote/mobile-adapter.mjs

@@ -1028,6 +1028,74 @@ const SCRIPT = `(() => {
    窄屏还会自动收起左栏（viewportWidth < 1024 → narrowExpanded = false）。
    我们插一脚只会把官方推到相反方向（这正是「点开变黑遮罩」那条链的起点）。 */
     let fabDone = false;
+
+    /* ===== 📶 网络延迟采样器（2026-10-10 二修，与"某一代菜单 DOM"彻底解耦）=================
+       一修（0.7.0-beta.3）改掉了"亚毫秒样本被丢弃"，但业主实测**仍然一直「测速中」**，
+       而同一时段镜像页打了 69 次 /api/agentPresets/list 这类**完全合格**的请求 ——
+       说明真根因不是样本被过滤，而是**采样根本没接上**（或渲染写进了已被替换的旧节点）。
+
+       所以这次不再依赖"建菜单时顺手包装一次 fetch"：
+         · 安装独立成 maInstallNetSampler()，幂等、**自愈**（发现 window.fetch 上不是我们的采样器
+           就重新包一层）—— 谁在这之后把 fetch 换掉（我们自己注入的 E2EE shim 会在解锁时再包一次）
+           都能兜住；
+         · 样本挂 window（跨"菜单被 SPA 重建"共享）；
+         · 渲染**每次现查实时 DOM**，不再抱着建菜单时的旧引用（旧引用可能已脱离文档，
+           于是样本明明在涨、界面却永远停在初始文案）；
+         · 空态**直接说明原因**，下次再出问题不用猜：一眼看出是"没接上"还是"接上了但没请求"。 */
+    const maNetPatch = { ok: false, samples: 0, lastUrl: "", lastAt: 0 };
+    try { window.__dshMaNet = maNetPatch; } catch (eNet0) { /* 忽略 */ }
+    /** 当前这一代菜单注册的渲染器（可能为 null：菜单还没建）。 */
+    let maNetRender = null;
+    const maNoteRtt = (ms, url) => {
+      try {
+        if (typeof ms !== "number" || !isFinite(ms)) return;
+        const r = Math.round(ms);
+        // 只拒绝负数与超时；0（本机/回环的真实往返不足 1ms）照收，展示层再夹到 ≥1ms。
+        if (r < 0 || r > 20000) return;
+        const bag = (window.__dshMaRttSamples || (window.__dshMaRttSamples = []));
+        bag.push(r);
+        while (bag.length > 8) bag.shift();
+        maNetPatch.samples = bag.length;
+        maNetPatch.lastUrl = String(url || "").slice(0, 80);
+        maNetPatch.lastAt = Date.now();
+        if (maNetRender) { try { maNetRender(); } catch (eR) { /* 忽略 */ } }
+      } catch (eN) { /* 忽略 */ }
+    };
+    /** 把采样器挂到 window.fetch 上（**只挂一次**）。返回是否已就绪。 */
+    const maInstallNetSampler = () => {
+      try {
+        if (typeof window.fetch !== "function") return false;
+        /* ⚠️ 幂等判据必须是**稳定标志**，不能拿 window.fetch.__dshMaNetSampler 当判据（2026-10-10 自测抓到）：
+           "会话过期探测"那层包装会在本采样器**外面**再包一层（它建菜单时才装，晚于这里），
+           于是最外层 window.fetch 上没有我们的标记 → 若用函数标记当判据，每一拍都会再包一层，
+           秒级泄漏（请求穿过 N 层、同一趟被记 N 个样本）。 */
+        if (maNetPatch.installed === true) { maNetPatch.ok = true; return true; }
+        const orig = window.fetch;
+        const wrapped = function (input, init) {
+          let url = "";
+          try { url = typeof input === "string" ? input : (input && input.url) || ""; } catch (eU) { url = ""; }
+          const t0 = maNowMs();
+          const p = orig.apply(this, arguments);
+          try {
+            const abs = url.slice(0, 8).toLowerCase();
+            const absolute = abs.indexOf("http://") === 0 || abs.indexOf("https://") === 0;
+            const sameOrigin = !absolute || url.indexOf(window.location.origin) === 0;
+            const apiish = url.indexOf("/api/") >= 0 || url.indexOf("/remote/") >= 0
+              || url.indexOf("_devices") >= 0 || url.indexOf("_quota") >= 0;
+            if (sameOrigin && apiish && p && typeof p.then === "function") {
+              p.then(() => { maNoteRtt(maNowMs() - t0, url); }, () => { /* 网络错误不算延迟 */ });
+            }
+          } catch (eW) { /* 忽略 */ }
+          return p;
+        };
+        wrapped.__dshMaNetSampler = true;   // 只作记号便于人造排查（**不作**幂等判据）
+        maNetPatch.installed = true;        // 稳定幂等判据
+        window.fetch = wrapped;
+        maNetPatch.ok = true;
+        return true;
+      } catch (eI) { return false; }
+    };
+
     const buildRemoteMenu = () => {
       /* ===== 统一「远程控制」悬浮按钮：字号 + 加密状态 + 返回设备列表 =====
          2026-09-19 用户要求原话：「把字体的菜单和加密小锁的菜单合并成一个小悬浮按钮；点击后可以弹菜单
@@ -1244,9 +1312,11 @@ const SCRIPT = `(() => {
          旧的 120/300 分档是照"网页首屏"的体感定的，会把大量正常可用的移动网络误报成"较慢"，
          反而让用户以为哪里坏了。 */
       const RTT_KEEP = 8, RTT_MAX_MS = 20000;
-      const rttSamples = [];
+      /* 建菜单时的引用只作**兜底**：正常路径每次渲染都现查实时 DOM（见 liveNetEl/liveRttEl）。 */
       const rttEl = fab.querySelector('[data-role="rtt"]');
       const netEl = menu.querySelector('[data-role="net"]');
+      /* 样本一律读 window 上那一份（由上面的 maNoteRtt 写入，跨"菜单被重建"共享）。 */
+      const rttSamples = (window.__dshMaRttSamples || (window.__dshMaRttSamples = []));
       const rttValue = () => {
         if (!rttSamples.length) return null;
         const s = rttSamples.slice().sort((a, b) => a - b);
@@ -1258,37 +1328,45 @@ const SCRIPT = `(() => {
       const rttGrade = (ms) => (ms <= 500 ? "ok" : ms <= 1000 ? "mid" : ms <= 2000 ? "slow" : "bad");
       const rttLabel = (g) => (g === "ok" ? "顺畅" : g === "mid" ? "正常" : g === "slow" ? "偏慢" : "很慢");
       const FAB_TITLE_BASE = "远程控制：字号 / 网络延迟 / 加密状态 / 返回设备列表（可拖动移动位置）";
+      /* 🔴 每次渲染都**现查实时 DOM**（2026-10-10 二修）。
+         抱着建菜单时的旧引用是"样本在涨、界面却永远停在初始文案"的经典成因：官方 SPA 换掉 body
+         子树后旧引用脱离文档，更新写进了看不见的节点。现查则永远写用户真正看得见的那一个；
+         查不到才退回旧引用（宽屏/菜单未开时本来就没有可写的节点）。 */
+      const liveNetEl = () => { try { return document.querySelector(".dsh-ma-menu-net") || netEl; } catch (eQ) { return netEl; } };
+      const liveRttEl = () => { try { return fab.querySelector('[data-role="rtt"]') || rttEl; } catch (eQ2) { return rttEl; } };
       const renderRtt = () => {
         try {
           const ms = rttValue();
           const g = ms === null ? "" : rttGrade(ms);
-          if (rttEl) {
-            if (ms === null) { rttEl.hidden = true; rttEl.textContent = ""; rttEl.removeAttribute("data-rtt"); }
+          // 0ms 是句谎话（不足 1ms 的真实往返会被四舍五入成 0）→ 展示层夹到 ≥1ms。
+          const shown = ms === null ? null : Math.max(1, Math.round(ms));
+          const rEl = liveRttEl();
+          if (rEl) {
+            if (shown === null) { rEl.hidden = true; rEl.textContent = ""; rEl.removeAttribute("data-rtt"); }
             else {
-              rttEl.hidden = false;
-              rttEl.textContent = ms + "ms";
-              rttEl.setAttribute("data-rtt", g);
+              rEl.hidden = false;
+              rEl.textContent = shown + "ms";
+              rEl.setAttribute("data-rtt", g);
             }
           }
-          if (netEl) {
-            netEl.setAttribute("data-rtt", g || "");
-            const ico = netEl.querySelector(".ico");
-            const txt = netEl.querySelector(".txt");
-            if (ico) ico.textContent = ms === null ? "📶" : (g === "bad" ? "📵" : "📶");
-            if (txt) txt.textContent = ms === null ? "测速中…（等一次网络请求后显示）" : (ms + " ms · " + rttLabel(g));
+          const nEl = liveNetEl();
+          if (nEl) {
+            nEl.setAttribute("data-rtt", g || "");
+            const ico = nEl.querySelector(".ico");
+            const txt = nEl.querySelector(".txt");
+            if (ico) ico.textContent = shown === null ? "📶" : (g === "bad" ? "📵" : "📶");
+            if (txt) {
+              /* 空态**说清原因**（2026-10-10）：以前只有一句「等一次网络请求后显示」，
+                 于是"采样器压根没接上"和"接上了但还没有请求"长得一模一样，业主两次反馈
+                 我们都只能猜。现在一眼可分。 */
+              txt.textContent = shown !== null ? (shown + " ms · " + rttLabel(g))
+                : (maNetPatch.ok ? "测速中…（已接上，等一次请求）" : "测速中…（采样器未接上）");
+            }
           }
-          try { fab.title = ms === null ? FAB_TITLE_BASE : ("远程控制：网络延迟 " + ms + "ms（" + rttLabel(g) + "） / 字号 / 加密状态 / 返回设备列表（可拖动）"); } catch (e) { /* 忽略 */ }
+          try { fab.title = shown === null ? FAB_TITLE_BASE : ("远程控制：网络延迟 " + shown + "ms（" + rttLabel(g) + "） / 字号 / 加密状态 / 返回设备列表（可拖动）"); } catch (e) { /* 忽略 */ }
         } catch (e) { /* 延迟显示失败绝不影响主功能 */ }
       };
-      /** 记一个成功样本（由 fetch 包装在**响应到达**时调用；失败/超时不调用）。 */
-      const noteRtt = (ms) => {
-        if (typeof ms !== "number" || !isFinite(ms)) return;
-        const r = Math.round(ms);
-        if (r < 1 || r > RTT_MAX_MS) return;      // 亚毫秒=同帧缓存命中；>20s=卡住/超时 → 都不是"网络延迟"
-        rttSamples.push(r);
-        while (rttSamples.length > RTT_KEEP) rttSamples.shift();
-        renderRtt();
-      };
+      maNetRender = renderRtt;   // 注册给采样器（样品到达时回调它）
       renderRtt();
 
       /* ❌ 这里曾有「打开右侧栏」这一段与 maRightPane* 三件套 —— 2026-09-27 根治时整条删除。
@@ -1437,14 +1515,9 @@ const SCRIPT = `(() => {
             window.fetch = function (input, init) {
               let url = "";
               try { url = typeof input === "string" ? input : (input && input.url) || ""; } catch (e5) { url = ""; }
-              /* 网络延迟采样（0.6.18）：**复用这处已有的包装**，零新增请求。
-                 t0 取在真正发请求之前、响应到达之后读差值 —— 量到的就是这一趟的真实往返。
-                 ⚠️ 只在同源且"像 API"的请求上量（与下面会话过期探测同一组判定）：
-                    静态壳/图片/字体不该代表"网络延迟"；telemetry 那条 /dsh-remote/telemetry/... 也
-                    不在 apiish 里（它既不含 "/api/" 也不含 "/remote/"，只有 "-remote/"），
-                    所以一次性的遥测上报不会污染样本。
-                 ⚠️ 失败(reject)/超时(>20s)不进样本 —— 那不是"延迟"，是"没通"（noteRtt 里已过滤）。 */
-              const t0 = maNowMs();
+              /* ⚠️ 2026-10-10：这里**不再**做网络延迟采样 —— 采样已独立成 maInstallNetSampler()
+                 （与菜单 DOM 解耦、幂等、自愈）。本包装只负责「会话过期探测」这一件事，
+                 否则同一趟请求会被量两次。 */
               const p = origFetch.call(this, input, init);
               try {
                 const abs = url.slice(0, 8).toLowerCase();
@@ -1453,7 +1526,7 @@ const SCRIPT = `(() => {
                 if (sameOrigin && apiish && p && typeof p.then === "function") {
                   p.then((res) => {
                     try { noteStatus(res && res.status); } catch (e6) { /* 忽略 */ }
-                    try { noteRtt(maNowMs() - t0); } catch (e6b) { /* 忽略 */ }
+                    /* 延迟采样已移到 maInstallNetSampler，这里只报会话过期 */
                   }, () => { /* 网络错误不算会话过期，也不算延迟样本 */ });
                 }
               } catch (e7) { /* 忽略 */ }
@@ -1497,6 +1570,11 @@ const SCRIPT = `(() => {
     let done = false;
     const boot = () => {
       if (!HOSTISH()) return;
+      /* 📶 **先**把延迟采样器挂上（2026-10-10）：它必须在"任何请求发生之前"就位。
+         即便 buildRemoteMenu() 因为任何原因没能建出菜单（或抛错），采样器也照挂不误 ——
+         旧实现把包装写在 buildRemoteMenu 内部的一次性分支里，那正是"请求明明在打、
+         界面却永远测速中"的结构性原因。 */
+      try { maInstallNetSampler(); } catch (eSampler0) { /* 忽略 */ }
       /* 悬浮按钮/菜单：任何宽度都要有（电脑端访问镜像页时同样需要返回设备列表的出口）。
          失败也不影响手机端布局适配 —— 两条链路各自独立。 */
       if (!fabDone) { fabDone = true; try { buildRemoteMenu(); } catch (eFabDone) { /* 忽略 */ } }
@@ -1964,6 +2042,12 @@ const SCRIPT = `(() => {
     const pump = () => {
       if (maTorn) return;
       if (bootUseful()) { try { boot(); } catch (eBoot) { /* 幂等重试 */ } }
+      /* 📶 采样器**自愈**（2026-10-10）：本函数每拍都跑（MutationObserver/1s 兜底），
+         所以只要 window.fetch 被谁换掉（我们自己注入的 E2EE shim 会在"解锁"时再包一层、
+         官方若在运行期替换 fetch 同理），下一拍就会把采样器重新挂回去 —— 幂等，已挂上时零开销。
+         同时顺手重绘一次：官方 SPA 换掉菜单子树后，数字不必等下一次请求才回来。 */
+      try { maInstallNetSampler(); } catch (eSampler) { /* 忽略 */ }
+      try { if (maNetRender) maNetRender(); } catch (eNetRender) { /* 忽略 */ }
       try { ensureDrawerChrome(); } catch (eChrome2) { /* 忽略 */ }
       /* 镜像页就绪探测（mirror_load 的量测终点）：pump 本来就被 MutationObserver(子树) + 1s 兜底表
          驱动，官方 frame/输入框一挂上就会在**这一拍或下一拍**（≤1s）命中 —— 这正是契约要求的