@qzsy/dsh-bridge 3.0.0 → 3.0.2

package/CHANGELOG.md

@@ -1,5 +1,18 @@
 # 更新日志
 
+## [v3.0.2] - 2026-11-01
+
+### 🐛 修复
+
+- 兼容部分 DSH 版本 connection 服务注册 RPC 通道时的 `webServer without inject` 异常（lib/rpc-compat.js）；此前通道注册失败会让面板所有操作返回 HTTP 405。
+
+## [v3.0.1] - 2026-11-01
+
+### 🔒 安全
+
+- 改/清访问口令时轮换会话密钥，旧远程会话立即失效。
+- 门禁登录限流：同一 IP 连续 5 次失败锁定 60 秒（锁定期内正确口令也返回 429）。
+
 ## [v3.0.0] - 2026-11-01
 
 > DSH 远程隧道云官方客户端插件的**首个独立实现版本**。包内所有代码均为本仓库自研，不包含或依赖任何第三方 dsh-bridge 代码。
@@ -14,7 +27,7 @@
 
 ### ⚠️ 已知限制
 
-- `getStatus` 免 admin 引导但只返回脱敏状态；adminToken 进程级随机、仅物理回环可领；登录页暂无速率限制；`access.token` 固定可复用（泄露后解绑重绑轮换设备密钥）。
+- `getStatus` 免 admin 引导但只返回脱敏状态；adminToken 进程级随机、仅物理回环可领；登录限流 5 次/60 秒；改/清口令会轮换会话密钥（旧会话立即失效）；`access.token` 固定可复用（泄露后解绑重绑轮换设备密钥）。
 
 ### 🔧 工程
 

package/README.md

@@ -86,7 +86,8 @@ loopback 会话 cookie。来源判定：
 
 - `getStatus` 为面板引导接口，免 adminToken，只返回脱敏状态（设备 id/secret 均掩码，不含访问令牌与二维码）。
 - adminToken 每次进程启动随机生成，只经物理回环 `/__qzsy_bridge__/loopback-token` 签发；重启 DSH 后需重新领取（面板自动完成）。
-- 访问口令登录页暂无失败速率限制；请使用足够强的口令，并只在内网/可信网络暴露本地端口。
+- 访问口令登录已内置限流（同一 IP 连续 5 次失败锁定 60 秒）；请使用足够强的口令，并只在内网/可信网络暴露本地端口。
+- 修改或清除访问口令会轮换会话签名密钥，所有已登录的远程访客会立即失效。
 - `access.token` 为固定本地令牌（`?auth=` 链接可重复使用），README 已说明泄露处置方式；吊销设备后请解绑并重新绑定以轮换设备密钥。
 
 ## 开发与测试

package/lib/config.js

@@ -35,7 +35,7 @@ export function normalizeConfig(raw = {}) {
   const access = input.access && typeof input.access === 'object' ? input.access : {};
   const port = Number(input.port);
   return {
-    port: Number.isInteger(port) && port > 0 && port < 65536 ? port : DEFAULT_PORT,
+    port: Number.isInteger(port) && port > 0 && port < 65_536 ? port : DEFAULT_PORT,
     gatewayUrl: typeof input.gatewayUrl === 'string' && input.gatewayUrl.trim()
       ? input.gatewayUrl.trim()
       : DEFAULT_GATEWAY_URL,

package/lib/dsh-cookie.js

@@ -15,7 +15,7 @@ import { readFileSync, existsSync } from 'node:fs';
 import { join } from 'node:path';
 import { resolveDshHome } from './data-dir.js';
 
-const COOKIE_SPEC = { prefix: 'dsh-auth-', version: 1, ttlMs: 2592000000 };
+const COOKIE_SPEC = { prefix: 'dsh-auth-', version: 1, ttlMs: 2_592_000_000 };
 export const DSH_AUTH_COOKIE_PREFIX = COOKIE_SPEC.prefix;
 export const DSH_AUTH_COOKIE_VERSION = COOKIE_SPEC.version;
 export const DSH_AUTH_COOKIE_MAX_AGE_MS = COOKIE_SPEC.ttlMs;

package/lib/gate.js

@@ -20,6 +20,8 @@ export const AUTH_COOKIE = 'qzsy_bridge_auth';
 export const TUNNEL_HEADER = 'x-dsh-internal-tunnel';
 export const SAAS_USER_HEADER = 'x-saas-user';
 const SESSION_MAX_AGE_MS = 30 * 24 * 60 * 60 * 1000;
+const LOGIN_MAX_FAILURES = 5;
+const LOGIN_LOCK_MS = 60 * 1000;
 const LOOPBACK_ADDRESSES = new Set(['127.0.0.1', '::1', '::ffff:127.0.0.1']);
 const HOP_BY_HOP = new Set(['connection', 'keep-alive', 'proxy-authenticate', 'proxy-authorization', 'te', 'trailer', 'transfer-encoding', 'upgrade']);
 
@@ -93,6 +95,7 @@ export class GateProxy {
     this.adminToken = adminToken || `adm_${randomBytes(24).toString('base64url')}`;
     this.server = null;
     this.listeningPort = null;
+    this.loginFailures = new Map();
   }
 
   /** 关闭会话签名：v1.<expiresAt>.<hmac(expiresAt)>；不落盘、无服务端会话表。 */
@@ -168,6 +171,27 @@ export class GateProxy {
 <div><h1>尚未设置访问口令</h1><p>DSH 远程隧道云默认拒绝未认证的远程/隧道访客。</p><p>请先在<b>本机</b> DSH 设置页「远程访问」中设置访问口令，再把「带访问令牌的链接」发给需要访问的人。</p></div></html>`;
   }
 
+  _loginBlocked(address) {
+    const entry = this.loginFailures.get(address);
+    if (!entry) return false;
+    if (entry.lockedUntil && entry.lockedUntil > this.now()) return true;
+    if (entry.lockedUntil && entry.lockedUntil <= this.now()) {
+      this.loginFailures.delete(address);
+    }
+    return false;
+  }
+
+  _recordLoginFailure(address) {
+    const now = this.now();
+    const entry = this.loginFailures.get(address);
+    if (!entry || now - entry.firstAt > LOGIN_LOCK_MS) {
+      this.loginFailures.set(address, { count: 1, firstAt: now, lockedUntil: 0 });
+      return;
+    }
+    entry.count += 1;
+    if (entry.count >= LOGIN_MAX_FAILURES) entry.lockedUntil = now + LOGIN_LOCK_MS;
+  }
+
   _corsHeaders(req) {
     const origin = String(req?.headers?.origin ?? '');
     if (!origin) return {};
@@ -218,13 +242,21 @@ export class GateProxy {
         return true;
       }
       if (req.method === 'POST') {
+        const address = String(req.socket?.remoteAddress ?? 'unknown');
+        if (this._loginBlocked(address)) {
+          res.writeHead(429, { 'content-type': 'text/html; charset=utf-8', 'cache-control': 'no-store', 'retry-after': '60' });
+          res.end(this._loginPage(url.searchParams.get('next') || '/', '尝试次数过多，请 60 秒后再试'));
+          return true;
+        }
         const body = await this._readBody(req);
         const password = new URLSearchParams(body).get('password') ?? '';
         if (!verifyPassword(password, this.config?.access ?? {})) {
+          this._recordLoginFailure(address);
           res.writeHead(401, { 'content-type': 'text/html; charset=utf-8', 'cache-control': 'no-store' });
           res.end(this._loginPage(url.searchParams.get('next') || '/', '口令不正确'));
           return true;
         }
+        this.loginFailures.delete(address);
         this._setSessionCookie(res);
         res.writeHead(302, { location: url.searchParams.get('next') || '/', 'cache-control': 'no-store' });
         res.end();

package/lib/index.js

@@ -1,23 +1,17 @@
-// DSH 远程隧道云 · 官方客户端插件（Host 侧）
-//
-// 职责（保持精简，全部为独立实现）：
-//   1. 本地门禁代理：监听本机端口 → 转发 DSH 本体，注入 DSH 原生 loopback cookie；
-//   2. SaaS 隧道客户端：设备码绑定 → 短期令牌 → v2 控制通道（转发 HTTP / SSE / WS）；
-//   3. 设置页面的 RPC 控制面：状态、绑定、解绑、启停、访问链接。
-import { randomBytes } from 'node:crypto';
+
 import { readFileSync } from 'node:fs';
 import { hostname, platform as osPlatform, arch as osArch } from 'node:os';
 import { join, dirname } from 'node:path';
 import { fileURLToPath } from 'node:url';
 import QRCode from 'qrcode';
 
+import { registerRpcChannel } from './rpc-compat.js';
 import { PLUGIN_ID, PACKAGE_NAME, DEFAULT_PORT, RPC_CHANNEL, RPC_ENDPOINTS, GATEWAY_PATH } from './identity.js';
 import { resolveConfigPath } from './data-dir.js';
 import {
   ensureConfigSecrets,
   loadConfig,
   maskSecret,
-  normalizeConfig,
   saveConfig,
   createSecret,
   hashPassword,
@@ -55,21 +49,20 @@ function errorPayload(err) {
 }
 
 function registerRpc(ctx, handler, logger) {
-  const rpc = ctx?.connection?.rpc;
-  if (!rpc?.handle) {
+  if (!ctx?.connection?.rpc?.handle) {
     logger?.warn?.('connection RPC unavailable — panel will stay disabled');
     return () => {};
   }
   try {
-    const dispose = rpc.handle(RPC_CHANNEL, handler, { authority: 'loopback' });
+    const dispose = registerRpcChannel(ctx, RPC_CHANNEL, handler, { authority: 'loopback' }, logger);
     return typeof dispose === 'function' ? dispose : () => {};
   } catch (err) {
     logger?.warn?.(`RPC register with options failed, retrying without: ${err?.message ?? err}`);
     try {
-      const dispose = rpc.handle(RPC_CHANNEL, handler);
+      const dispose = registerRpcChannel(ctx, RPC_CHANNEL, handler, undefined, logger);
       return typeof dispose === 'function' ? dispose : () => {};
     } catch (retryErr) {
-      logger?.error?.(`RPC register failed: ${retryErr?.message ?? retryErr}`);
+      logger?.error?.(`RPC register failed, panel buttons will return 405: ${retryErr?.message ?? retryErr}`);
       return () => {};
     }
   }
@@ -323,11 +316,12 @@ export async function apply(ctx, pluginConfig = {}) {
           const password = String(payload?.password ?? '');
           if (password.length < 6) return fail('bad-request', '访问密码至少 6 位');
           const digest = hashPassword(password);
-          persist({ access: { ...config.access, ...digest } });
+          // 轮换会话签名密钥：改口令后所有已登录的远程访客立即失效
+          persist({ access: { ...config.access, ...digest, sessionSecret: createSecret(32) } });
           return ok({ passwordSet: true });
         }
         case RPC_ENDPOINTS.clearAccessPassword: {
-          persist({ access: { ...config.access, passwordHash: '', passwordSalt: '' } });
+          persist({ access: { ...config.access, passwordHash: '', passwordSalt: '', sessionSecret: createSecret(32) } });
           return ok({ passwordSet: false });
         }
         default:

package/lib/rpc-compat.js

@@ -0,0 +1,46 @@
+// RPC 通道注册兼容层（自研）。
+//
+// 部分 DSH 版本的 connection 服务在注册 RPC 通道时，会在它自己的 ctx 上读取 webServer，
+// 而该 ctx 没有声明 inject，cordis 抛出 `cannot get property "webServer" without inject`。
+// 若不处理，通道注册失败，面板仍能渲染，但所有 RPC 调用在宿主侧得到 HTTP 405。
+//
+// 做法：先走公开的 rpc.handle；仅当抛出上述错误时，在 `internal/get` 事件上临时挂一个
+// 监听器，默认解析失败才补上本插件已 inject 的 webServer 单例，调用结束立即摘除。
+
+const MISSING_INJECT = /without inject/;
+
+export function isMissingWebServerInject(err) {
+  return err instanceof Error && MISSING_INJECT.test(err.message) && /webServer/.test(err.message);
+}
+
+function installFallback(ctx) {
+  const webServer = ctx?.webServer;
+  if (webServer === undefined || typeof ctx.on !== 'function') return () => {};
+  const listener = (lookupCtx, prop, error, next) => {
+    if (prop !== 'webServer') return next();
+    try {
+      return next();
+    } catch (err) {
+      if (err !== error) throw err;
+      return webServer;
+    }
+  };
+  const off = ctx.on('internal/get', listener, { global: true });
+  return typeof off === 'function' ? off : () => {};
+}
+
+export function registerRpcChannel(ctx, channel, handler, options, logger) {
+  const call = () => ctx.connection.rpc.handle(channel, handler, options);
+  try {
+    return call();
+  } catch (err) {
+    if (!isMissingWebServerInject(err)) throw err;
+    logger?.warn?.('connection RPC hit webServer inject regression, retrying with fallback');
+    const off = installFallback(ctx);
+    try {
+      return call();
+    } finally {
+      off();
+    }
+  }
+}

package/lib/saas/tunnel-client.mjs

@@ -7,7 +7,6 @@
 import { WebSocket } from 'ws';
 import { request as httpRequest } from 'node:http';
 import { connect as netConnect } from 'node:net';
-import { randomBytes } from 'node:crypto';
 
 export const SAAS_HEARTBEAT_INTERVAL_MS = 30_000;
 export const SAAS_HEARTBEAT_MAX_MISSED = 3;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@qzsy/dsh-bridge",
-  "version": "3.0.0",
+  "version": "3.0.2",
   "description": "DSH 远程隧道云官方客户端插件：一条命令把本机 DeepSeek Harness 接入云端隧道（设备码绑定、短期令牌、本地门禁代理、HTTP/SSE/WebSocket 反向隧道）。",
   "releaseNotes": "【v3.0.0】官方客户端插件首个独立实现版本\n• 全新自研代码：插件骨架、本地门禁代理、SaaS 隧道客户端与设置面板均独立实现\n• 设备码绑定 + 短期设备令牌 + v2 控制通道（心跳/路由热更新/drain/终态吊销）\n• 本地门禁：回环免认证、隧道来源用进程内随机密钥标记、局域网访问需本地口令\n• 支持 HTTP / SSE 流式 / WebSocket 转发，公网地址复制与二维码\n• 数据目录 ~/.dsh/qzsy-dsh-bridge，默认本地端口 3092（可配置）",
   "type": "module",