@steerable/agent-shell 0.6.18 → 0.6.20

package/dist/local-backend/router.js

@@ -2917,9 +2917,14 @@ export class LocalBackendRouter {
                 onNotice: (kind, notice) => {
                     if (kind === 'budget_exhausted') {
                         // 预算维度（rounds/tokens）在 notice.budget；notice.kind 是信封
-                        // 类型（loop 事件 data 里的 budget 键经 sidecar 透传）。
+                        // 类型（loop 事件 data 里的 budget 键经 sidecar 透传）。message
+                        // 是客户端读取的人类可读原因（chat-transport 的 reason 字段）。
                         const budgetKind = typeof notice?.budget === 'string' ? notice.budget : undefined;
-                        emit(this.sseData({ type: 'budget_exhausted', budget: { kind: budgetKind } }));
+                        emit(this.sseData({
+                            type: 'budget_exhausted',
+                            budget: { kind: budgetKind },
+                            message: budgetKind ? `budget_exhausted: ${budgetKind}` : 'budget_exhausted',
+                        }));
                     }
                 },
                 onChildEvent: (event) => {

package/dist/preload.cjs

@@ -122,14 +122,14 @@ function buildPreloadApi(packContributions = {}) {
     },
     /**
      * 4.6a 后台任务状态推送：任务到达终态（completed/failed）或 worktree
-     * 合并/丢弃完成时，主进程广播 `task-updated`。载荷只带 chatId/taskId/
-     * status——renderer 收到后重新拉任务列表（GET /chats/:id/tasks），
+     * 合并/丢弃完成时，主进程广播 `task-updated`。载荷只带 chatId/taskId
+     * ——renderer 收到后重新拉任务列表（GET /chats/:id/tasks），
      * 不把整条任务记录塞进 IPC（避免与 SQLite 双写漂移）。
      */
     onTaskUpdated: (callback) => {
       const handler = (_event, payload) => {
-        if (typeof payload?.chatId === "string" && typeof payload?.taskId === "string" && typeof payload?.status === "string") {
-          callback({ chatId: payload.chatId, taskId: payload.taskId, status: payload.status });
+        if (typeof payload?.chatId === "string" && typeof payload?.taskId === "string") {
+          callback({ chatId: payload.chatId, taskId: payload.taskId });
         }
       };
       import_electron.ipcRenderer.on("task-updated", handler);

package/dist/preload.js

@@ -138,16 +138,14 @@ export function buildPreloadApi(packContributions = {}) {
         },
         /**
          * 4.6a 后台任务状态推送：任务到达终态（completed/failed）或 worktree
-         * 合并/丢弃完成时，主进程广播 `task-updated`。载荷只带 chatId/taskId/
-         * status——renderer 收到后重新拉任务列表（GET /chats/:id/tasks），
+         * 合并/丢弃完成时，主进程广播 `task-updated`。载荷只带 chatId/taskId
+         * ——renderer 收到后重新拉任务列表（GET /chats/:id/tasks），
          * 不把整条任务记录塞进 IPC（避免与 SQLite 双写漂移）。
          */
         onTaskUpdated: (callback) => {
             const handler = (_event, payload) => {
-                if (typeof payload?.chatId === 'string' &&
-                    typeof payload?.taskId === 'string' &&
-                    typeof payload?.status === 'string') {
-                    callback({ chatId: payload.chatId, taskId: payload.taskId, status: payload.status });
+                if (typeof payload?.chatId === 'string' && typeof payload?.taskId === 'string') {
+                    callback({ chatId: payload.chatId, taskId: payload.taskId });
                 }
             };
             ipcRenderer.on('task-updated', handler);

package/dist/server/http-server.d.ts

@@ -12,9 +12,16 @@
  *                          （terminal / local / approval 为宿主自带；
  *                          场景包路由经 host/http-routes 注册表匹配）。
  *
- * 安全约定：默认绑定 127.0.0.1、无认证——本机自用定位（与 Electron 版相同
- * 的信任模型：能到端口 = 本机用户）。不要绑到非回环地址，那会把 shell /
- * 文件读写 / 场景包工具控制暴露给整个网络。
+ * 安全约定：默认绑定 127.0.0.1。仅绑回环挡不住 DNS rebinding（恶意网站
+ * 重绑定后受害者浏览器即同源驱动本服务），所以有两道门：
+ *   1. Host 白名单——所有请求（含静态）的 Host 必须是 127.0.0.1 /
+ *      localhost / [::1]，浏览器无法伪造 Host，rebinding 在此被拒；
+ *   2. Bearer token——每次启动随机生成，经 index.html 注入
+ *      `window.__DEEPPATH_BS__.token`；`/api/v2/*` 与 `/host/*` 全部要求
+ *      `Authorization: Bearer <token>`（EventSource 不能设头，SSE 走
+ *      `?token=` query）。静态资源不验 token（浏览器要靠它拿到 token）。
+ * 不要绑到非回环地址，那会把 shell / 文件读写 / 场景包工具控制暴露给整个
+ * 网络（token 只能挡没有 token 的人）。
  */
 import { type Server } from 'node:http';
 import type { LocalBackendRouter } from '../local-backend/router.js';
@@ -35,5 +42,7 @@ export interface BsServerDeps {
     bus: SseBus;
     /** apps/web/dist 的绝对路径。 */
     webDistDir: string;
+    /** Bearer token；缺省每次启动随机生成。测试注入固定值。 */
+    authToken?: string;
 }
 export declare function createBsServer(deps: BsServerDeps): Server;

package/dist/server/http-server.js

@@ -12,11 +12,19 @@
  *                          （terminal / local / approval 为宿主自带；
  *                          场景包路由经 host/http-routes 注册表匹配）。
  *
- * 安全约定：默认绑定 127.0.0.1、无认证——本机自用定位（与 Electron 版相同
- * 的信任模型：能到端口 = 本机用户）。不要绑到非回环地址，那会把 shell /
- * 文件读写 / 场景包工具控制暴露给整个网络。
+ * 安全约定：默认绑定 127.0.0.1。仅绑回环挡不住 DNS rebinding（恶意网站
+ * 重绑定后受害者浏览器即同源驱动本服务），所以有两道门：
+ *   1. Host 白名单——所有请求（含静态）的 Host 必须是 127.0.0.1 /
+ *      localhost / [::1]，浏览器无法伪造 Host，rebinding 在此被拒；
+ *   2. Bearer token——每次启动随机生成，经 index.html 注入
+ *      `window.__DEEPPATH_BS__.token`；`/api/v2/*` 与 `/host/*` 全部要求
+ *      `Authorization: Bearer <token>`（EventSource 不能设头，SSE 走
+ *      `?token=` query）。静态资源不验 token（浏览器要靠它拿到 token）。
+ * 不要绑到非回环地址，那会把 shell / 文件读写 / 场景包工具控制暴露给整个
+ * 网络（token 只能挡没有 token 的人）。
  */
 import { createServer } from 'node:http';
+import { randomBytes } from 'node:crypto';
 import { readFile } from 'node:fs/promises';
 import { existsSync } from 'node:fs';
 import path from 'node:path';
@@ -52,6 +60,8 @@ const MIME = {
     '.ttf': 'font/ttf',
     '.txt': 'text/plain; charset=utf-8',
 };
+/** Host 白名单：仅回环（可带端口）。浏览器禁止伪造 Host，rebinding 到此为止。 */
+const LOOPBACK_HOST = /^(127\.0\.0\.1|localhost|\[::1\])(:\d+)?$/;
 function sendJson(res, status, data) {
     const body = JSON.stringify(data ?? null);
     res.writeHead(status, {
@@ -81,6 +91,13 @@ function asRecord(body) {
 }
 export function createBsServer(deps) {
     const { localBackendRouter, localExecutor, localScriptRegistry, terminalManager, approvalBridge, askUserBridge, maybeExecInTerminal, bus, webDistDir, } = deps;
+    const authToken = deps.authToken ?? randomBytes(24).toString('base64url');
+    /** `/api/v2/*` 与 `/host/*` 的 Bearer 门；EventSource 不能设头，收 query token。 */
+    function isAuthorized(req, url) {
+        if (req.headers.authorization === `Bearer ${authToken}`)
+            return true;
+        return url.searchParams.get('token') === authToken;
+    }
     async function handleApi(req, res, pathname) {
         const isStream = req.method === 'POST' && STREAM_PATH_PATTERNS.some((p) => p.test(pathname));
         const body = req.method === 'POST' || req.method === 'PATCH' || req.method === 'PUT'
@@ -315,6 +332,7 @@ export function createBsServer(deps) {
                     platform: process.platform,
                     flavor: brand.flavor,
                     brandName: brand.displayName,
+                    token: authToken,
                 })};</script>`;
                 content = content.toString('utf8').replace('<head>', `<head>${bootstrap}`);
             }
@@ -331,8 +349,21 @@ export function createBsServer(deps) {
     }
     return createServer((req, res) => {
         void (async () => {
+            // 门 1：Host 白名单（含静态——rebound 浏览器连 index.html 里的
+            // token 都不许拿到）。
+            if (!LOOPBACK_HOST.test(req.headers.host ?? '')) {
+                sendJson(res, 403, { detail: 'forbidden host' });
+                return;
+            }
             const url = new URL(req.url ?? '/', 'http://bs.local');
             const pathname = url.pathname;
+            // 门 2：API 与宿主能力要 Bearer token；静态资源不验（浏览器靠它
+            // 拿 token），静态面不暴露任何能力。
+            const needsAuth = pathname.startsWith('/api/v2/') || pathname.startsWith('/host/');
+            if (needsAuth && !isAuthorized(req, url)) {
+                sendJson(res, 401, { detail: 'unauthorized' });
+                return;
+            }
             if (pathname === '/api/v2/events' && req.method === 'GET') {
                 bus.attach(res);
                 return;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@steerable/agent-shell",
-  "version": "0.6.18",
+  "version": "0.6.20",
   "description": "Steerable framework — product-neutral desktop/headless agent host (Tier 5). Electron main + preload + headless HTTP server (BS) sharing one storage/sidecar/tooling core; scenario packs extend it through the @steerable/pack-sdk contract and are composed at build time by the consuming product.",
   "license": "Apache-2.0",
   "homepage": "https://steerableframework.com/",
@@ -41,9 +41,9 @@
     "electron-store": "^8.1.0",
     "he": "^1.2.0",
     "node-pty": "^1.1.0",
-    "@steerable/pack-sdk": "0.6.18",
-    "@steerable/agent-harness": "0.6.18",
-    "@steerable/agent-protocol": "0.6.18"
+    "@steerable/agent-protocol": "0.6.20",
+    "@steerable/agent-harness": "0.6.20",
+    "@steerable/pack-sdk": "0.6.20"
   },
   "devDependencies": {
     "@types/better-sqlite3": "^7.6.13",