@qzsy/dsh-bridge 3.0.0 → 3.0.1

package/CHANGELOG.md

@@ -1,5 +1,12 @@
 # 更新日志
 
+## [v3.0.1] - 2026-11-01
+
+### 🔒 安全
+
+- 改/清访问口令时轮换会话密钥，旧远程会话立即失效。
+- 门禁登录限流：同一 IP 连续 5 次失败锁定 60 秒（锁定期内正确口令也返回 429）。
+
 ## [v3.0.0] - 2026-11-01
 
 > DSH 远程隧道云官方客户端插件的**首个独立实现版本**。包内所有代码均为本仓库自研，不包含或依赖任何第三方 dsh-bridge 代码。
@@ -14,7 +21,7 @@
 
 ### ⚠️ 已知限制
 
-- `getStatus` 免 admin 引导但只返回脱敏状态；adminToken 进程级随机、仅物理回环可领；登录页暂无速率限制；`access.token` 固定可复用（泄露后解绑重绑轮换设备密钥）。
+- `getStatus` 免 admin 引导但只返回脱敏状态；adminToken 进程级随机、仅物理回环可领；登录限流 5 次/60 秒；改/清口令会轮换会话密钥（旧会话立即失效）；`access.token` 固定可复用（泄露后解绑重绑轮换设备密钥）。
 
 ### 🔧 工程
 

package/README.md

@@ -86,7 +86,8 @@ loopback 会话 cookie。来源判定：
 
 - `getStatus` 为面板引导接口，免 adminToken，只返回脱敏状态（设备 id/secret 均掩码，不含访问令牌与二维码）。
 - adminToken 每次进程启动随机生成，只经物理回环 `/__qzsy_bridge__/loopback-token` 签发；重启 DSH 后需重新领取（面板自动完成）。
-- 访问口令登录页暂无失败速率限制；请使用足够强的口令，并只在内网/可信网络暴露本地端口。
+- 访问口令登录已内置限流（同一 IP 连续 5 次失败锁定 60 秒）；请使用足够强的口令，并只在内网/可信网络暴露本地端口。
+- 修改或清除访问口令会轮换会话签名密钥，所有已登录的远程访客会立即失效。
 - `access.token` 为固定本地令牌（`?auth=` 链接可重复使用），README 已说明泄露处置方式；吊销设备后请解绑并重新绑定以轮换设备密钥。
 
 ## 开发与测试

package/lib/gate.js

@@ -20,6 +20,8 @@ export const AUTH_COOKIE = 'qzsy_bridge_auth';
 export const TUNNEL_HEADER = 'x-dsh-internal-tunnel';
 export const SAAS_USER_HEADER = 'x-saas-user';
 const SESSION_MAX_AGE_MS = 30 * 24 * 60 * 60 * 1000;
+const LOGIN_MAX_FAILURES = 5;
+const LOGIN_LOCK_MS = 60 * 1000;
 const LOOPBACK_ADDRESSES = new Set(['127.0.0.1', '::1', '::ffff:127.0.0.1']);
 const HOP_BY_HOP = new Set(['connection', 'keep-alive', 'proxy-authenticate', 'proxy-authorization', 'te', 'trailer', 'transfer-encoding', 'upgrade']);
 
@@ -93,6 +95,7 @@ export class GateProxy {
     this.adminToken = adminToken || `adm_${randomBytes(24).toString('base64url')}`;
     this.server = null;
     this.listeningPort = null;
+    this.loginFailures = new Map();
   }
 
   /** 关闭会话签名：v1.<expiresAt>.<hmac(expiresAt)>；不落盘、无服务端会话表。 */
@@ -168,6 +171,27 @@ export class GateProxy {
 <div><h1>尚未设置访问口令</h1><p>DSH 远程隧道云默认拒绝未认证的远程/隧道访客。</p><p>请先在<b>本机</b> DSH 设置页「远程访问」中设置访问口令，再把「带访问令牌的链接」发给需要访问的人。</p></div></html>`;
   }
 
+  _loginBlocked(address) {
+    const entry = this.loginFailures.get(address);
+    if (!entry) return false;
+    if (entry.lockedUntil && entry.lockedUntil > this.now()) return true;
+    if (entry.lockedUntil && entry.lockedUntil <= this.now()) {
+      this.loginFailures.delete(address);
+    }
+    return false;
+  }
+
+  _recordLoginFailure(address) {
+    const now = this.now();
+    const entry = this.loginFailures.get(address);
+    if (!entry || now - entry.firstAt > LOGIN_LOCK_MS) {
+      this.loginFailures.set(address, { count: 1, firstAt: now, lockedUntil: 0 });
+      return;
+    }
+    entry.count += 1;
+    if (entry.count >= LOGIN_MAX_FAILURES) entry.lockedUntil = now + LOGIN_LOCK_MS;
+  }
+
   _corsHeaders(req) {
     const origin = String(req?.headers?.origin ?? '');
     if (!origin) return {};
@@ -218,13 +242,21 @@ export class GateProxy {
         return true;
       }
       if (req.method === 'POST') {
+        const address = String(req.socket?.remoteAddress ?? 'unknown');
+        if (this._loginBlocked(address)) {
+          res.writeHead(429, { 'content-type': 'text/html; charset=utf-8', 'cache-control': 'no-store', 'retry-after': '60' });
+          res.end(this._loginPage(url.searchParams.get('next') || '/', '尝试次数过多，请 60 秒后再试'));
+          return true;
+        }
         const body = await this._readBody(req);
         const password = new URLSearchParams(body).get('password') ?? '';
         if (!verifyPassword(password, this.config?.access ?? {})) {
+          this._recordLoginFailure(address);
           res.writeHead(401, { 'content-type': 'text/html; charset=utf-8', 'cache-control': 'no-store' });
           res.end(this._loginPage(url.searchParams.get('next') || '/', '口令不正确'));
           return true;
         }
+        this.loginFailures.delete(address);
         this._setSessionCookie(res);
         res.writeHead(302, { location: url.searchParams.get('next') || '/', 'cache-control': 'no-store' });
         res.end();

package/lib/index.js

@@ -323,11 +323,12 @@ export async function apply(ctx, pluginConfig = {}) {
           const password = String(payload?.password ?? '');
           if (password.length < 6) return fail('bad-request', '访问密码至少 6 位');
           const digest = hashPassword(password);
-          persist({ access: { ...config.access, ...digest } });
+          // 轮换会话签名密钥：改口令后所有已登录的远程访客立即失效
+          persist({ access: { ...config.access, ...digest, sessionSecret: createSecret(32) } });
           return ok({ passwordSet: true });
         }
         case RPC_ENDPOINTS.clearAccessPassword: {
-          persist({ access: { ...config.access, passwordHash: '', passwordSalt: '' } });
+          persist({ access: { ...config.access, passwordHash: '', passwordSalt: '', sessionSecret: createSecret(32) } });
           return ok({ passwordSet: false });
         }
         default:

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@qzsy/dsh-bridge",
-  "version": "3.0.0",
+  "version": "3.0.1",
   "description": "DSH 远程隧道云官方客户端插件：一条命令把本机 DeepSeek Harness 接入云端隧道（设备码绑定、短期令牌、本地门禁代理、HTTP/SSE/WebSocket 反向隧道）。",
   "releaseNotes": "【v3.0.0】官方客户端插件首个独立实现版本\n• 全新自研代码：插件骨架、本地门禁代理、SaaS 隧道客户端与设置面板均独立实现\n• 设备码绑定 + 短期设备令牌 + v2 控制通道（心跳/路由热更新/drain/终态吊销）\n• 本地门禁：回环免认证、隧道来源用进程内随机密钥标记、局域网访问需本地口令\n• 支持 HTTP / SSE 流式 / WebSocket 转发，公网地址复制与二维码\n• 数据目录 ~/.dsh/qzsy-dsh-bridge，默认本地端口 3092（可配置）",
   "type": "module",