@shgroup/dsh-serenity-hooks 1.28.0 → 1.28.2

package/dsh.plugin.json

@@ -1,6 +1,6 @@
 {
   "id": "dsh-serenity-hooks",
-  "version": "1.28.0",
+  "version": "1.28.2",
   "main": "lib/index.js",
   "description": "宁静号 ACC harness（Native Cordis 插件）：真实 DSH 工具 cc_fs/session/acc_msm/eap/neat/cce/handyman/session_rebuild/skiff_admin + 拦截缝机械约束（safe-mode/路径守卫）+ 高级设定面板（双端口网关/账号管理）+ Skiff 认知子集角色（实验性）。适配 DSH 公开版（0.1.0-rc，deepseek-ai/deepseek-harness）。",
   "engines": {

package/lib/client.js

@@ -3206,44 +3206,18 @@ window.__ModuleLoader__.load({
 			return null;
 		}
 		const CONFIG_PATH = "/serenity/config";
-		/**
-		* 获取已有工作区列表（需求 1：白名单从已有工作区选择而非手输）。
-		* 走 DSH 原生 RPC `POST /api/workspace.list`（JSON RPC 形态）。
-		* 信封必须是完整 ClientRequest：`{ type: 'client-request', rpcId, method, payload }`
-		* （api/rpc.ts wire 契约——缺 type/method → clientRequestSchema 校验失败 → bad-request）。
-		* 返回 { path, title }[]；失败返回空数组（面板显示"暂无可选工作区"）。
-		*/
-		async function fetchWorkspaces() {
-			try {
-				const res = await fetch("/api/workspace.list", {
-					method: "POST",
-					headers: { "content-type": "application/json" },
-					body: JSON.stringify({
-						type: "client-request",
-						rpcId: `ws-${Date.now().toString(36)}`,
-						method: "workspace.list",
-						payload: {}
-					})
-				});
-				if (!res.ok) return [];
-				const items = (await res.json())?.result?.value?.items;
-				if (!Array.isArray(items)) return [];
-				return items.filter((i) => typeof i.path === "string" && i.path !== "").map((i) => ({
-					path: i.path,
-					title: typeof i.title === "string" && i.title !== "" ? i.title : i.path
-				}));
-			} catch {
-				return [];
-			}
-		}
-		/** GET 配置（含账号列表；无 hash） */
+		/** GET 配置（含账号列表 + knownWorkspaces；无 hash） */
 		async function fetchConfig() {
 			const res = await fetch(CONFIG_PATH, { headers: {
 				accept: "application/json",
 				"x-serenity-ui": "1"
 			} });
 			if (!res.ok) return null;
-			return (await res.json()).config ?? null;
+			const body = await res.json();
+			return {
+				config: body.config ?? null,
+				knownWorkspaces: body.knownWorkspaces ?? []
+			};
 		}
 		/** PUT 配置（账号 patch + 工作区白名单 + persona 彩蛋 + 开放容器白名单）→ 返回保存后的 wire */
 		async function saveConfig(patch) {
@@ -3303,9 +3277,10 @@ window.__ModuleLoader__.load({
 			const [saved, setSaved] = (0, react.useState)(false);
 			(0, react.useEffect)(() => {
 				let alive = true;
-				Promise.all([fetchConfig(), fetchWorkspaces()]).then(([cfg, wss]) => {
+				fetchConfig().then((resp) => {
 					if (!alive) return;
-					setKnownWorkspaces(wss);
+					const cfg = resp?.config ?? null;
+					setKnownWorkspaces(resp?.knownWorkspaces ?? []);
 					if (cfg) {
 						setConfig(cfg);
 						setHost(cfg.gateway.host);
@@ -3734,8 +3709,8 @@ Instruction-following style:
 				let alive = true;
 				fetchConfig().then((cfg) => {
 					if (!alive || !cfg) return;
-					setMode(cfg.persona?.mode ?? "");
-					setOverrideText(cfg.persona?.overrideText ?? "");
+					setMode(cfg.config?.persona?.mode ?? "");
+					setOverrideText(cfg.config?.persona?.overrideText ?? "");
 					setLoaded(true);
 				});
 				return () => {
@@ -3893,7 +3868,7 @@ Instruction-following style:
 					try {
 						const cfg = await fetchConfig();
 						if (!alive) return;
-						setAllowed(cfg?.publicAsk?.allowed ?? []);
+						setAllowed(cfg?.config?.publicAsk?.allowed ?? []);
 					} catch {}
 				})();
 				return () => {

package/lib/config-ops.d.ts

@@ -150,6 +150,19 @@ export interface AdvancedSettingsWire {
 }
 /** 持久化 → wire（剥离 passHash/totpSecret；只留布尔） */
 export declare function toWire(settings: AdvancedSettings): AdvancedSettingsWire;
+/**
+ * 已知工作区投影（v1.28.0 适配 0.1.2-rc.1 A2 方案 A′）：
+ * rc.1 workspace.list unary 删除 → AccountsEditor 白名单下拉的数据源改走 gateway 自有
+ * /serenity/config 的 knownWorkspaces（host workspaceRegistry.list() 投影，白名单过滤）。
+ * 纯函数可单测。allowPrefixes 空 = 全部放行（向后兼容默认）。
+ */
+export declare function projectKnownWorkspaces(workspaces: Array<{
+    path?: string;
+    title?: string;
+}>, allowPrefixes: readonly string[]): Array<{
+    path: string;
+    title: string;
+}>;
 /**
  * wire → 持久化（面板 PUT 用）：
  * accounts 元素可选带 `pass`：非空 → 重新 hash；空/缺省 → 保留现有 hash（按 id 匹配）。

package/lib/gateway-dsh-auth.d.ts

@@ -0,0 +1,47 @@
+/**
+ * gateway-dsh-auth.ts — 3081 网关对 DSH 主端口 BrowserAuth 的适配（v1.28.2，S142 用户 bug）
+ *
+ * 背景：DSH 0.1.2-rc.1 新增 BrowserAuth（browser-auth.ts）——主端口所有 /api 请求与
+ * index 渲染前必须持有 authority 绑定的签名 cookie（`dsh-auth-<sha256(Host)>`）。
+ * 3081 网关反代请求到主端口时 Host 已改写为 loopback（127.0.0.1:<mainPort>，过信任栅栏），
+ * 但**没有 dsh browser cookie** → 上游 401 "dsh web authentication required"。
+ *
+ * 方案（S142 用户拍板：不用 cookie 落盘绕，直接解决——内存换取 + 缓存，用户无感）：
+ * dsp 与 DSH **同进程** → 经 `ctx.connection`（HostConnectionHandle）官方通道
+ * （authenticatedUrl + authorizeIndex——web-app openBrowser 同款）在**内存**换取
+ * authority=127.0.0.1:<mainPort> 的 dsh cookie，缓存后注入所有反代上游请求。
+ * 零落盘、无 HTTP 往返、不复制官方 HMAC 逻辑（版本漂移风险为零）。
+ *
+ * 兼容性：connection 服务缺失（旧 dsh / 非 web 装配）→ cookie 换取不可用 →
+ * getDshCookie 返回 undefined → 反代不注入（旧形态无 BrowserAuth，天然兼容）。
+ */
+import type { IncomingMessage, ServerResponse } from 'node:http';
+/** ctx.connection 服务的最小可测面（HostConnectionHandle 子集；避免硬依赖官方类型） */
+export interface DshConnectionLike {
+    /** 给干净 baseUrl 追加本进程 launch token → 首次登录 URL */
+    authenticatedUrl(baseUrl: string): string;
+    /** 认证一个 index 请求：token 匹配则种 cookie（写 res）并返回 false；cookie 有效返回 true */
+    authorizeIndex(request: IncomingMessage, response: ServerResponse): boolean;
+}
+/** 从一组 set-cookie 头提取 `dsh-auth-*` cookie（browser-auth sessionCookie 首段） */
+export declare function pickDshCookie(setCookieHeader: string | string[] | undefined): string | undefined;
+/**
+ * 把 dsh browser cookie 合并进现有 Cookie 头（保持外部既有 cookie——serenity_session 等）。
+ * 现有头可为 string / string[]（node 头形态）；无现有 → 只返回 dsh cookie。
+ */
+export declare function mergeCookieHeader(existing: string | string[] | number | undefined, dshCookie: string): string;
+/**
+ * 内存换取 authority 绑定的 dsh browser cookie（S142 拍板方案核心）。
+ * 用官方通道在进程内完成 token→cookie 交换：构造一个对 `http://<authority>/?token=…`
+ * 的 index 请求 → connection.authorizeIndex 校验 token → 写 set-cookie → 提取 cookie。
+ * @returns cookie 头值（如 `dsh-auth-xxx=v1.…`）；authority/connection 异常 → undefined
+ */
+export declare function exchangeDshCookie(connection: DshConnectionLike, authority: string): string | undefined;
+/** 可注入的 cookie 提供者（gateway 反代上游请求头用；无 connection/换取失败 → undefined） */
+export type DshCookieProvider = () => string | undefined;
+/**
+ * 构建一个带内存缓存的 dsh cookie 提供者（S142 拍板：内存缓存，不落盘）。
+ * 惰性换取：首次调用才向 connection 换；失败返回 undefined（不缓存失败——下次重试）。
+ * 调用方可周期性失效缓存重换（cookie 30 天有效；进程重启 token 仍在 → 换一次长期可用）。
+ */
+export declare function createDshCookieProvider(connection: DshConnectionLike | undefined, authority: string): DshCookieProvider;

package/lib/gateway-proxy.d.ts

@@ -29,8 +29,25 @@ export declare function filterWorkspaceList(body: string, allowPrefixes: readonl
 export declare function workspaceAllowed(allowPrefixes: readonly string[], path: string | undefined): boolean;
 /** 构造 workspace.create 拒绝的 JSON RPC 响应体（code=forbidden） */
 export declare function workspaceDenyResponse(rpcId: string): string;
-/** 在 HTML 的 </head> 前注入 polyfill（幂等：含 marker 则跳过） */
+/**
+ * 在 HTML 的 </head> 前注入 polyfill（幂等：含 marker 则跳过）
+ */
 export declare function injectPolyfillHtml(html: string): string;
+/**
+ * 反代 HTML 响应注入变换（v1.28.2 修复，S142 白屏根因）：
+ * 上游按 Accept-Encoding 可能返回 gzip/br/deflate 压缩的 HTML——注入必须在**明文**上进行，
+ * 把压缩字节 toString 当文本注入会破坏压缩流（找不到 </head> → polyfill 前置 → HTML 损坏
+ * → 浏览器白屏，用户实测 https://dsh.notfoundhome.cc 登录后白屏）。
+ *
+ * @param raw - 上游响应完整 body（可能压缩）
+ * @param upstreamHeaders - 上游响应头（node IncomingHttpHeaders 形态）
+ * @returns { body, headers } 注入后的明文 body + 修正后的响应头（去 content-encoding/transfer-encoding、
+ *          重算 content-length）；解压失败返回 null（调用方应原样透传避免破坏）
+ */
+export declare function transformHtmlForProxy(raw: Buffer, upstreamHeaders: Record<string, unknown>): {
+    body: string;
+    headers: Record<string, string | number | string[]>;
+} | null;
 /**
  * 反代请求头构造（v1.22.1 信任栅栏修复，纯逻辑可测）：
  * DSH isTrustedApiRequest 要求 Origin.host === Host.host——Host 改写为 loopback 后

package/lib/gateway.d.ts

@@ -27,7 +27,7 @@
  */
 import type { Context } from 'cordis';
 import { type Server } from 'node:http';
-export { RANDOM_UUID_POLYFILL, injectPolyfillHtml, filterWorkspaceList, workspaceAllowed, workspaceDenyResponse, buildProxyHeaders, } from './gateway-proxy.js';
+export { RANDOM_UUID_POLYFILL, injectPolyfillHtml, filterWorkspaceList, workspaceAllowed, workspaceDenyResponse, buildProxyHeaders, transformHtmlForProxy, } from './gateway-proxy.js';
 export { loginPageHtml, verifyGatewayLogin, SESSION_TTL_MS, issueToken, revokeToken, validateToken, FAIL_LOCK_THRESHOLD, FAIL_LOCK_BASE_MS, FAIL_LOCK_MAX_MS, getFailState, resetFailState, isAccountLocked, recordLoginFailure, accountLockRemaining, newCsrfToken, isCsrfValid, csrfFromRequest, safeEqual, originAllowed, cookieValue, } from './gateway-auth.js';
 declare module 'cordis' {
     interface Events {
@@ -66,7 +66,7 @@ export declare function startGateway(config: GatewayConfig, getAccounts: () => r
     user: string;
     passHash: string;
     totpSecret?: string;
-}[]): {
+}[], getDshCookie?: () => string | undefined): {
     server: Server;
     dispose: () => void;
 };

package/lib/index.d.ts

@@ -14,7 +14,8 @@
 import type { Context } from 'cordis';
 import z from '@deepseek-ai/schemastery';
 export declare const name = "dsh-serenity-hooks";
-/** 主动调用的服务；其余（agent 事件）随 harness 装配必然存在 */
+/** 主动调用的服务；其余（agent 事件）随 harness 装配必然存在
+ *  （v1.28.0 适配 0.1.2-rc.1：+ 'settings'——B4 settings 服务由 provider 插件加载后才有） */
 export declare const inject: string[];
 /** 插件配置（cordis.yml 提供；进程级） */
 export interface Config {