@shgroup/dsh-serenity-hooks 1.24.7 → 1.24.9

package/dsh.plugin.json

@@ -1,6 +1,6 @@
 {
   "id": "dsh-serenity-hooks",
-  "version": "1.24.7",
+  "version": "1.24.9",
   "main": "lib/index.js",
   "description": "宁静号 ACC harness（Native Cordis 插件）：真实 DSH 工具 cc_fs/session/acc_msm/eap/neat/cce/handyman/session_rebuild + 拦截缝机械约束（safe-mode/路径守卫）+ 高级设定面板（双端口网关/账号管理）。适配 DSH 公开版（0.1.0-rc，deepseek-ai/deepseek-harness）。",
   "engines": {

package/lib/index.js

@@ -8018,9 +8018,45 @@ function accountLockRemaining(user) {
 	const st = getFailState(user);
 	return st.lockedUntil > 0 && Date.now() < st.lockedUntil ? st.lockedUntil - Date.now() : 0;
 }
-/** 生成 CSRF cookie 值（随机 32B hex） */
+/** CSRF token 有效期（毫秒）：10 分钟窗口（扫码/多标签场景留足时间） */
+const CSRF_TTL_MS = 6e5;
+/**
+* 服务端 CSRF token 集合（v1.24.9 修复：多标签/刷新竞争导致登录死循环）。
+* 背景：每次 GET 登录页都生成新 token 覆盖 cookie——多标签页场景下，早先打开的
+* 标签携带旧 form token 提交时与最新 cookie 不匹配 → "会话校验失败"永远失败
+* （S142 用户实测：cookieCsrf=present formCsrf=present 但不匹配）。
+* 修复：每次 GET 生成的 token 存入集合（TTL 10min），提交时 form/cookie token
+* 只要 ∈ 集合即有效——多标签各自 token 都接受。
+*/
+const csrfTokens = /* @__PURE__ */ new Map();
+/** 生成 CSRF token（随机 32B hex）并入集合 */
 function newCsrfToken() {
-	return randomBytes(32).toString("hex");
+	const token = randomBytes(32).toString("hex");
+	csrfTokens.set(token, Date.now() + CSRF_TTL_MS);
+	if (csrfTokens.size > 50) {
+		const now = Date.now();
+		for (const [t, expiry] of csrfTokens) if (expiry < now) csrfTokens.delete(t);
+		if (csrfTokens.size > 50) {
+			let oldest = null;
+			let oldestExpiry = Infinity;
+			for (const [t, expiry] of csrfTokens) if (expiry < oldestExpiry) {
+				oldest = t;
+				oldestExpiry = expiry;
+			}
+			if (oldest !== null) csrfTokens.delete(oldest);
+		}
+	}
+	return token;
+}
+/** token 是否有效（在集合且未过期；过期自动清理） */
+function isCsrfValid(token) {
+	const expiry = csrfTokens.get(token);
+	if (expiry === void 0) return false;
+	if (expiry < Date.now()) {
+		csrfTokens.delete(token);
+		return false;
+	}
+	return true;
 }
 /** 从请求头取 CSRF token（X-CSRF-Token 或表单字段） */
 function csrfFromRequest(req, body) {
@@ -8029,12 +8065,6 @@ function csrfFromRequest(req, body) {
 	const form = body.get("csrf");
 	return form && form !== "" ? form : null;
 }
-/** 常量时间比较（token 校验用） */
-function safeEqual(a, b) {
-	const ab = Buffer.from(a);
-	const bb = Buffer.from(b);
-	return ab.length === bb.length && timingSafeEqual(ab, bb);
-}
 /**
 * Origin 校验（S3）：跨站 POST 被浏览器强制带 Origin（同源 GET/导航除外）。
 * 允许：① 同源（Origin.host === 网关自身 host）② 主端口 loopback（127.0.0.1:mainPort）。
@@ -8456,20 +8486,26 @@ function startGateway(config, getAccounts) {
 				const remote = req.socket.remoteAddress ?? "unknown";
 				const cookieCsrf = cookieValue(req.headers.cookie, "serenity_csrf");
 				const formCsrf = csrfFromRequest(req, params);
-				if (cookieCsrf === void 0 || formCsrf === null || !safeEqual(cookieCsrf, formCsrf)) {
-					console.warn(`[serenity-hooks] 登录拒绝（CSRF 校验失败）：user=${user} ip=${remote}`);
-					res.writeHead(403, { "content-type": "text/html; charset=utf-8" });
-					res.end(loginPageHtml("会话校验失败，请刷新页面重试"));
+				if (cookieCsrf === void 0 || formCsrf === null || !isCsrfValid(formCsrf) || !isCsrfValid(cookieCsrf)) {
+					console.warn(`[serenity-hooks] 登录拒绝（CSRF 校验失败）：user=${user} ip=${remote} cookieSecure=${cookieSecure ? "on" : "off"} cookieCsrf=${cookieCsrf === void 0 ? "missing" : "present"} formCsrf=${formCsrf === null ? "missing" : "present"}`);
+					const retryCsrf = newCsrfToken();
+					res.writeHead(403, {
+						"content-type": "text/html; charset=utf-8",
+						"set-cookie": `serenity_csrf=${retryCsrf}; HttpOnly; SameSite=Strict; Path=/`
+					});
+					res.end(loginPageHtml("会话校验失败，请刷新页面重试" + (cookieSecure ? "（若仍失败：设置面板关闭 Secure Cookie——明文 HTTP 下必须关闭）" : ""), retryCsrf));
 					return;
 				}
 				const lockedRemaining = accountLockRemaining(user);
 				if (lockedRemaining > 0) {
 					console.warn(`[serenity-hooks] 登录拒绝（账号锁定中）：user=${user} ip=${remote} 剩余=${Math.ceil(lockedRemaining / 6e4)}min`);
+					const retryCsrf = newCsrfToken();
 					res.writeHead(429, {
 						"content-type": "text/html; charset=utf-8",
-						"retry-after": String(Math.ceil(lockedRemaining / 1e3))
+						"retry-after": String(Math.ceil(lockedRemaining / 1e3)),
+						"set-cookie": `serenity_csrf=${retryCsrf}; HttpOnly; SameSite=Strict; Path=/`
 					});
-					res.end(loginPageHtml(`账号已锁定，请 ${Math.ceil(lockedRemaining / 6e4)} 分钟后再试`));
+					res.end(loginPageHtml(`账号已锁定，请 ${Math.ceil(lockedRemaining / 6e4)} 分钟后再试`, retryCsrf));
 					return;
 				}
 				const account = getAccounts().find((a) => a.user === user);
@@ -8495,15 +8531,19 @@ function startGateway(config, getAccounts) {
 				const lockMs = recordLoginFailure(user);
 				console.warn(`[serenity-hooks] 登录失败: user=${user} ip=${remote}${lockMs > 0 ? ` 锁定=${Math.ceil(lockMs / 6e4)}min` : ""}`);
 				const msg = lockMs > 0 ? `尝试过多，账号已锁定 ${Math.ceil(lockMs / 6e4)} 分钟` : "用户名、密码或验证码错误";
-				res.writeHead(401, { "content-type": "text/html; charset=utf-8" });
-				res.end(loginPageHtml(msg));
+				const retryCsrf = newCsrfToken();
+				res.writeHead(401, {
+					"content-type": "text/html; charset=utf-8",
+					"set-cookie": `serenity_csrf=${retryCsrf}; HttpOnly; SameSite=Strict; Path=/`
+				});
+				res.end(loginPageHtml(msg, retryCsrf));
 			});
 			return;
 		}
 		const csrf = newCsrfToken();
 		res.writeHead(200, {
 			"content-type": "text/html; charset=utf-8",
-			"set-cookie": `serenity_csrf=${csrf}; HttpOnly; SameSite=Strict; Path=/${cookieSecure ? "; Secure" : ""}`
+			"set-cookie": `serenity_csrf=${csrf}; HttpOnly; SameSite=Strict; Path=/`
 		});
 		res.end(loginPageHtml("", csrf));
 	});

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@shgroup/dsh-serenity-hooks",
-  "version": "1.24.7",
+  "version": "1.24.9",
   "description": "宁静号 ACC harness — Native Cordis 插件（DeepSeek Harness 运行时）。真实 DSH 工具注册（cc_fs/session/acc_msm 等 9 工具）+ 拦截缝机械约束（safe-mode/路径守卫/会话落盘）+ 系统提示词注入（ACC/CCE/Constraints/SKILL/Session 五块）。适配 DSH 公开版（deepseek-ai/deepseek-harness 0.1.0-rc）。",
   "license": "MIT",
   "repository": {