@shgroup/dsh-serenity-hooks 1.28.1 → 1.28.2

package/dsh.plugin.json

@@ -1,6 +1,6 @@
 {
   "id": "dsh-serenity-hooks",
-  "version": "1.28.1",
+  "version": "1.28.2",
   "main": "lib/index.js",
   "description": "宁静号 ACC harness（Native Cordis 插件）：真实 DSH 工具 cc_fs/session/acc_msm/eap/neat/cce/handyman/session_rebuild/skiff_admin + 拦截缝机械约束（safe-mode/路径守卫）+ 高级设定面板（双端口网关/账号管理）+ Skiff 认知子集角色（实验性）。适配 DSH 公开版（0.1.0-rc，deepseek-ai/deepseek-harness）。",
   "engines": {

package/lib/gateway-dsh-auth.d.ts

@@ -0,0 +1,47 @@
+/**
+ * gateway-dsh-auth.ts — 3081 网关对 DSH 主端口 BrowserAuth 的适配（v1.28.2，S142 用户 bug）
+ *
+ * 背景：DSH 0.1.2-rc.1 新增 BrowserAuth（browser-auth.ts）——主端口所有 /api 请求与
+ * index 渲染前必须持有 authority 绑定的签名 cookie（`dsh-auth-<sha256(Host)>`）。
+ * 3081 网关反代请求到主端口时 Host 已改写为 loopback（127.0.0.1:<mainPort>，过信任栅栏），
+ * 但**没有 dsh browser cookie** → 上游 401 "dsh web authentication required"。
+ *
+ * 方案（S142 用户拍板：不用 cookie 落盘绕，直接解决——内存换取 + 缓存，用户无感）：
+ * dsp 与 DSH **同进程** → 经 `ctx.connection`（HostConnectionHandle）官方通道
+ * （authenticatedUrl + authorizeIndex——web-app openBrowser 同款）在**内存**换取
+ * authority=127.0.0.1:<mainPort> 的 dsh cookie，缓存后注入所有反代上游请求。
+ * 零落盘、无 HTTP 往返、不复制官方 HMAC 逻辑（版本漂移风险为零）。
+ *
+ * 兼容性：connection 服务缺失（旧 dsh / 非 web 装配）→ cookie 换取不可用 →
+ * getDshCookie 返回 undefined → 反代不注入（旧形态无 BrowserAuth，天然兼容）。
+ */
+import type { IncomingMessage, ServerResponse } from 'node:http';
+/** ctx.connection 服务的最小可测面（HostConnectionHandle 子集；避免硬依赖官方类型） */
+export interface DshConnectionLike {
+    /** 给干净 baseUrl 追加本进程 launch token → 首次登录 URL */
+    authenticatedUrl(baseUrl: string): string;
+    /** 认证一个 index 请求：token 匹配则种 cookie（写 res）并返回 false；cookie 有效返回 true */
+    authorizeIndex(request: IncomingMessage, response: ServerResponse): boolean;
+}
+/** 从一组 set-cookie 头提取 `dsh-auth-*` cookie（browser-auth sessionCookie 首段） */
+export declare function pickDshCookie(setCookieHeader: string | string[] | undefined): string | undefined;
+/**
+ * 把 dsh browser cookie 合并进现有 Cookie 头（保持外部既有 cookie——serenity_session 等）。
+ * 现有头可为 string / string[]（node 头形态）；无现有 → 只返回 dsh cookie。
+ */
+export declare function mergeCookieHeader(existing: string | string[] | number | undefined, dshCookie: string): string;
+/**
+ * 内存换取 authority 绑定的 dsh browser cookie（S142 拍板方案核心）。
+ * 用官方通道在进程内完成 token→cookie 交换：构造一个对 `http://<authority>/?token=…`
+ * 的 index 请求 → connection.authorizeIndex 校验 token → 写 set-cookie → 提取 cookie。
+ * @returns cookie 头值（如 `dsh-auth-xxx=v1.…`）；authority/connection 异常 → undefined
+ */
+export declare function exchangeDshCookie(connection: DshConnectionLike, authority: string): string | undefined;
+/** 可注入的 cookie 提供者（gateway 反代上游请求头用；无 connection/换取失败 → undefined） */
+export type DshCookieProvider = () => string | undefined;
+/**
+ * 构建一个带内存缓存的 dsh cookie 提供者（S142 拍板：内存缓存，不落盘）。
+ * 惰性换取：首次调用才向 connection 换；失败返回 undefined（不缓存失败——下次重试）。
+ * 调用方可周期性失效缓存重换（cookie 30 天有效；进程重启 token 仍在 → 换一次长期可用）。
+ */
+export declare function createDshCookieProvider(connection: DshConnectionLike | undefined, authority: string): DshCookieProvider;

package/lib/gateway-proxy.d.ts

@@ -29,8 +29,25 @@ export declare function filterWorkspaceList(body: string, allowPrefixes: readonl
 export declare function workspaceAllowed(allowPrefixes: readonly string[], path: string | undefined): boolean;
 /** 构造 workspace.create 拒绝的 JSON RPC 响应体（code=forbidden） */
 export declare function workspaceDenyResponse(rpcId: string): string;
-/** 在 HTML 的 </head> 前注入 polyfill（幂等：含 marker 则跳过） */
+/**
+ * 在 HTML 的 </head> 前注入 polyfill（幂等：含 marker 则跳过）
+ */
 export declare function injectPolyfillHtml(html: string): string;
+/**
+ * 反代 HTML 响应注入变换（v1.28.2 修复，S142 白屏根因）：
+ * 上游按 Accept-Encoding 可能返回 gzip/br/deflate 压缩的 HTML——注入必须在**明文**上进行，
+ * 把压缩字节 toString 当文本注入会破坏压缩流（找不到 </head> → polyfill 前置 → HTML 损坏
+ * → 浏览器白屏，用户实测 https://dsh.notfoundhome.cc 登录后白屏）。
+ *
+ * @param raw - 上游响应完整 body（可能压缩）
+ * @param upstreamHeaders - 上游响应头（node IncomingHttpHeaders 形态）
+ * @returns { body, headers } 注入后的明文 body + 修正后的响应头（去 content-encoding/transfer-encoding、
+ *          重算 content-length）；解压失败返回 null（调用方应原样透传避免破坏）
+ */
+export declare function transformHtmlForProxy(raw: Buffer, upstreamHeaders: Record<string, unknown>): {
+    body: string;
+    headers: Record<string, string | number | string[]>;
+} | null;
 /**
  * 反代请求头构造（v1.22.1 信任栅栏修复，纯逻辑可测）：
  * DSH isTrustedApiRequest 要求 Origin.host === Host.host——Host 改写为 loopback 后

package/lib/gateway.d.ts

@@ -27,7 +27,7 @@
  */
 import type { Context } from 'cordis';
 import { type Server } from 'node:http';
-export { RANDOM_UUID_POLYFILL, injectPolyfillHtml, filterWorkspaceList, workspaceAllowed, workspaceDenyResponse, buildProxyHeaders, } from './gateway-proxy.js';
+export { RANDOM_UUID_POLYFILL, injectPolyfillHtml, filterWorkspaceList, workspaceAllowed, workspaceDenyResponse, buildProxyHeaders, transformHtmlForProxy, } from './gateway-proxy.js';
 export { loginPageHtml, verifyGatewayLogin, SESSION_TTL_MS, issueToken, revokeToken, validateToken, FAIL_LOCK_THRESHOLD, FAIL_LOCK_BASE_MS, FAIL_LOCK_MAX_MS, getFailState, resetFailState, isAccountLocked, recordLoginFailure, accountLockRemaining, newCsrfToken, isCsrfValid, csrfFromRequest, safeEqual, originAllowed, cookieValue, } from './gateway-auth.js';
 declare module 'cordis' {
     interface Events {
@@ -66,7 +66,7 @@ export declare function startGateway(config: GatewayConfig, getAccounts: () => r
     user: string;
     passHash: string;
     totpSecret?: string;
-}[]): {
+}[], getDshCookie?: () => string | undefined): {
     server: Server;
     dispose: () => void;
 };

package/lib/index.js

@@ -18,6 +18,7 @@ import { createUserMessage } from "@deepseek-ai/dsh-llm";
 import { createHmac, randomBytes, randomUUID, scryptSync, timingSafeEqual } from "node:crypto";
 import { deriveEventMessage } from "@deepseek-ai/dsh-session";
 import { createServer, request } from "node:http";
+import * as zlib from "node:zlib";
 //#region src/fs-ops.ts
 /**
 * fs-ops.ts — cc_fs 纯操作层（零 DSH 依赖，可独立单测）
@@ -7453,7 +7454,9 @@ function workspaceDenyResponse(rpcId) {
 		}
 	});
 }
-/** 在 HTML 的 </head> 前注入 polyfill（幂等：含 marker 则跳过） */
+/**
+* 在 HTML 的 </head> 前注入 polyfill（幂等：含 marker 则跳过）
+*/
 function injectPolyfillHtml(html) {
 	if (html.includes(POLYFILL_MARKER)) return html;
 	const head = RANDOM_UUID_POLYFILL.replace("<script>", `<script ${POLYFILL_MARKER}="1">`);
@@ -7461,6 +7464,37 @@ function injectPolyfillHtml(html) {
 	return `${head}\n${html}`;
 }
 /**
+* 反代 HTML 响应注入变换（v1.28.2 修复，S142 白屏根因）：
+* 上游按 Accept-Encoding 可能返回 gzip/br/deflate 压缩的 HTML——注入必须在**明文**上进行，
+* 把压缩字节 toString 当文本注入会破坏压缩流（找不到 </head> → polyfill 前置 → HTML 损坏
+* → 浏览器白屏，用户实测 https://dsh.notfoundhome.cc 登录后白屏）。
+*
+* @param raw - 上游响应完整 body（可能压缩）
+* @param upstreamHeaders - 上游响应头（node IncomingHttpHeaders 形态）
+* @returns { body, headers } 注入后的明文 body + 修正后的响应头（去 content-encoding/transfer-encoding、
+*          重算 content-length）；解压失败返回 null（调用方应原样透传避免破坏）
+*/
+function transformHtmlForProxy(raw, upstreamHeaders) {
+	let body = raw;
+	const enc = String(upstreamHeaders["content-encoding"] ?? "").toLowerCase().trim();
+	const outHeaders = { ...upstreamHeaders };
+	if (enc === "gzip" || enc === "x-gzip" || enc === "deflate" || enc === "br") try {
+		if (enc === "br") body = zlib.brotliDecompressSync(body);
+		else if (enc === "deflate") body = zlib.inflateSync(body);
+		else body = zlib.gunzipSync(body);
+		delete outHeaders["content-encoding"];
+	} catch {
+		return null;
+	}
+	const transformed = injectPolyfillHtml(body.toString("utf-8"));
+	outHeaders["content-length"] = Buffer.byteLength(transformed);
+	delete outHeaders["transfer-encoding"];
+	return {
+		body: transformed,
+		headers: outHeaders
+	};
+}
+/**
 * 反代请求头构造（v1.22.1 信任栅栏修复，纯逻辑可测）：
 * DSH isTrustedApiRequest 要求 Origin.host === Host.host——Host 改写为 loopback 后
 * Origin 必须同步改写（浏览器 POST 必带 Origin，透传外部地址 → 403）。
@@ -7475,6 +7509,69 @@ function buildProxyHeaders(reqHeaders, mainPort, bodyOverride) {
 	return headers;
 }
 //#endregion
+//#region src/gateway-dsh-auth.ts
+/** 从一组 set-cookie 头提取 `dsh-auth-*` cookie（browser-auth sessionCookie 首段） */
+function pickDshCookie(setCookieHeader) {
+	const entries = Array.isArray(setCookieHeader) ? setCookieHeader : setCookieHeader === void 0 ? [] : [setCookieHeader];
+	for (const entry of entries) {
+		const first = entry.split(";", 1)[0].trim();
+		if (first.startsWith("dsh-auth-") && first.includes("=")) return first;
+	}
+}
+/**
+* 把 dsh browser cookie 合并进现有 Cookie 头（保持外部既有 cookie——serenity_session 等）。
+* 现有头可为 string / string[]（node 头形态）；无现有 → 只返回 dsh cookie。
+*/
+function mergeCookieHeader(existing, dshCookie) {
+	const existingStr = Array.isArray(existing) ? existing.join("; ") : typeof existing === "string" && existing !== "" ? existing : void 0;
+	return existingStr !== void 0 ? `${existingStr}; ${dshCookie}` : dshCookie;
+}
+/**
+* 内存换取 authority 绑定的 dsh browser cookie（S142 拍板方案核心）。
+* 用官方通道在进程内完成 token→cookie 交换：构造一个对 `http://<authority>/?token=…`
+* 的 index 请求 → connection.authorizeIndex 校验 token → 写 set-cookie → 提取 cookie。
+* @returns cookie 头值（如 `dsh-auth-xxx=v1.…`）；authority/connection 异常 → undefined
+*/
+function exchangeDshCookie(connection, authority) {
+	try {
+		const url = new URL(connection.authenticatedUrl(`http://${authority}`));
+		if (url.searchParams.get("token") === null) return void 0;
+		const headers = { host: authority };
+		const request = {
+			url: `${url.pathname}${url.search}`,
+			method: "GET",
+			headers
+		};
+		let captured;
+		const response = {
+			writeHead(_status, headers) {
+				if (headers !== void 0) captured = headers["set-cookie"];
+				return response;
+			},
+			end: () => response
+		};
+		connection.authorizeIndex(request, response);
+		return pickDshCookie(captured);
+	} catch {
+		return;
+	}
+}
+/**
+* 构建一个带内存缓存的 dsh cookie 提供者（S142 拍板：内存缓存，不落盘）。
+* 惰性换取：首次调用才向 connection 换；失败返回 undefined（不缓存失败——下次重试）。
+* 调用方可周期性失效缓存重换（cookie 30 天有效；进程重启 token 仍在 → 换一次长期可用）。
+*/
+function createDshCookieProvider(connection, authority) {
+	let cached;
+	return () => {
+		if (connection === void 0) return void 0;
+		if (cached !== void 0) return cached;
+		const cookie = exchangeDshCookie(connection, authority);
+		if (cookie !== void 0) cached = cookie;
+		return cookie;
+	};
+}
+//#endregion
 //#region src/gateway.ts
 /** 读取请求体（≤ maxBytes；超限 reject） */
 function readBody$1(req, maxBytes) {
@@ -7497,7 +7594,7 @@ function readBody$1(req, maxBytes) {
 * @param config - 监听/代理配置。
 * @param getAccounts - 运行时读取账号列表（plugin 全局文件；gateway.enabled 开关在调用方判）。
 */
-function startGateway(config, getAccounts) {
+function startGateway(config, getAccounts, getDshCookie) {
 	const { host, port, cookieName, mainPort, loginDelayMs } = config;
 	const allowWorkspaces = config.allowWorkspaces ?? [];
 	const cookieSecure = config.cookieSecure === true;
@@ -7506,6 +7603,18 @@ function startGateway(config, getAccounts) {
 	/** 校验请求 Cookie 是否含有效 token（v1.22.4：滑动过期 + 返回会话供审计） */
 	const authed = (req) => validateToken(cookieValue(req.headers.cookie, cookieName));
 	/**
+	* 构造上游请求头（buildProxyHeaders 基准 + dsh browser cookie 注入）。
+	* v1.28.2（0.1.2-rc.1 BrowserAuth 适配）：主端口 /api + index 需 dsh browser cookie。
+	* 反代 Host 已改写 loopback（过信任栅栏）→ 只缺 cookie → 注入内存换取 cookie
+	*（createDshCookieProvider 官方通道，零落盘）。无 cookie（旧 dsh/换取失败）→ 不注入向后兼容。
+	*/
+	const upstreamHeaders = (req, bodyOverride) => {
+		const headers = buildProxyHeaders(req.headers, mainPort, bodyOverride);
+		const dshCookie = getDshCookie?.();
+		if (dshCookie !== void 0) headers.cookie = mergeCookieHeader(headers.cookie, dshCookie);
+		return headers;
+	};
+	/**
 	* 反向代理：改写 Host + Origin 头 → 主端口（loopback 过信任栅栏）。
 	* v1.22.1 修复：DSH 信任栅栏（api-request-trust.ts isTrustedApiRequest）要求
 	* **Origin.host === Host.host**——仅改写 Host（127.0.0.1:3080）而 Origin 透传
@@ -7516,7 +7625,7 @@ function startGateway(config, getAccounts) {
 	* @param bodyOverride - workspace.create 已读 body 时的重放（白名单检查后转发）
 	*/
 	const proxy = (req, res, bodyOverride) => {
-		const headers = buildProxyHeaders(req.headers, mainPort, bodyOverride);
+		const headers = upstreamHeaders(req, bodyOverride);
 		const target = request({
 			host: "127.0.0.1",
 			port: mainPort,
@@ -7530,13 +7639,15 @@ function startGateway(config, getAccounts) {
 				const chunks = [];
 				upstream.on("data", (c) => chunks.push(c));
 				upstream.on("end", () => {
-					const transformed = injectPolyfillHtml(Buffer.concat(chunks).toString("utf-8"));
-					const out = {
-						...upstream.headers,
-						"content-length": Buffer.byteLength(transformed)
-					};
-					res.writeHead(status, out);
-					res.end(transformed);
+					let raw = Buffer.concat(chunks);
+					const transformedRes = transformHtmlForProxy(raw, upstream.headers);
+					if (transformedRes === null) {
+						res.writeHead(status, upstream.headers);
+						res.end(raw);
+						return;
+					}
+					res.writeHead(status, transformedRes.headers);
+					res.end(transformedRes.body);
 				});
 				upstream.on("error", () => {
 					try {
@@ -7767,7 +7878,7 @@ function startGateway(config, getAccounts) {
 			port: mainPort,
 			path: req.url ?? "/",
 			method: req.method,
-			headers: buildProxyHeaders(req.headers, mainPort)
+			headers: upstreamHeaders(req)
 		});
 		upstream.on("upgrade", (ures, usock, uhead) => {
 			usocket = usock;
@@ -7841,6 +7952,42 @@ function startGateway(config, getAccounts) {
 		}
 	};
 }
+/**
+* 构造 dsh browser cookie 提供者（v1.28.2 0.1.2-rc.1 BrowserAuth 适配）：
+* 经 ctx.connection（HostConnectionHandle）官方通道在内存换取 authority=127.0.0.1:<mainPort>
+* 的 cookie 并缓存（createDshCookieProvider 惰性换取）。connection 缺失（旧 dsh/非 web 装配）
+* → provider 返回 undefined → 反代不注入（旧形态无 BrowserAuth，天然兼容）。
+*
+* v1.28.2 修复：**connection 每次调用现取**（不绑定 sync 时点）——gateway sync 在 apply
+* 早期跑，此时 connection 服务可能尚未装配（web-app 的 URL 打印在其后）；首次反代请求
+* 到达时 connection 必已就绪。cachedProvider 缓存换取结果（同一 connection 实例）。
+*/
+function buildDshCookieProvider(ctx, mainPort) {
+	const authority = `127.0.0.1:${mainPort}`;
+	let cachedProvider;
+	let diagnosed = false;
+	return () => {
+		try {
+			const connection = ctx.get?.("connection");
+			if (!connection || typeof connection.authenticatedUrl !== "function" || typeof connection.authorizeIndex !== "function") {
+				if (!diagnosed) {
+					diagnosed = true;
+					console.log("[serenity-hooks] dsh browser-auth 适配: connection ✗ 不可取（不注入 dsh cookie——旧 dsh/非 web 装配兼容）");
+				}
+				return;
+			}
+			if (cachedProvider === void 0) cachedProvider = createDshCookieProvider(connection, authority);
+			const cookie = cachedProvider();
+			if (!diagnosed) {
+				diagnosed = true;
+				console.log(`[serenity-hooks] dsh browser-auth 适配: connection ✓ 可取 + cookie ${cookie === void 0 ? "✗ 换取失败（上游 401 时检查）" : "✓ 已内存换取（注入反代）"}`);
+			}
+			return cookie;
+		} catch {
+			return;
+		}
+	};
+}
 /** 注册 gateway（index.ts apply 调用）。
 * 归属原则（v1.22）：gateway 是 plugin 全局能力——enabled 开关读 DSH settings
 * （readSimpleSettings().gatewayEnabled），host/port/accounts 读 plugin 全局文件
@@ -7878,7 +8025,7 @@ function registerGateway(ctx) {
 				cookieSecure: settings.gateway.cookieSecure === true,
 				allowWorkspaceCreate: settings.gateway.allowWorkspaceCreate !== false,
 				totpEnabled: settings.gateway.totpEnabled === true
-			}, () => readAdvancedSettings().gateway.accounts);
+			}, () => readAdvancedSettings().gateway.accounts, buildDshCookieProvider(ctx, webServer.port));
 			const accounts = settings.gateway.accounts.length;
 			const wsNote = settings.gateway.workspaces.length === 0 ? "" : `；工作区白名单 ${settings.gateway.workspaces.length} 条`;
 			console.log(`[serenity-hooks] gateway 已启动: http://${settings.gateway.host}:${settings.gateway.port} → 127.0.0.1:${webServer.port}` + (accounts === 0 ? "（⚠️ 未配置账号，登录页将提示）" : `（${accounts} 个账号）`) + wsNote);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@shgroup/dsh-serenity-hooks",
-  "version": "1.28.1",
+  "version": "1.28.2",
   "description": "宁静号 ACC harness — Native Cordis 插件（DeepSeek Harness 运行时）。真实 DSH 工具注册（cc_fs/session/acc_msm 等 9 工具）+ 拦截缝机械约束（safe-mode/路径守卫/会话落盘）+ 系统提示词注入（ACC/CCE/Constraints/SKILL/Session 五块）。适配 DSH 公开版（deepseek-ai/deepseek-harness 0.1.0-rc）。",
   "license": "MIT",
   "repository": {