@wenbin_wb/dsh-bridge 2.10.2 → 2.10.4

package/CHANGELOG.md

@@ -4,6 +4,51 @@
 
 ---
 
+## [v2.10.4] - 2026-09-05
+
+### 🐞 修复
+
+- **全新安装未设密码时远程访问不再被假锁屏挡住**：此前远程打开设置面板会强制要求输入"管理密码"，而系统尚无任何密码可校验（任意输入都放行）；现仅当已配置密码或策略为「仅限本机管理」时才上锁，无密码时直接进入面板并引导先设置访问密码（issue 反馈）。
+- **修复 Telegram 代理在 Node ≥ 24 下不生效**（issue #32）：自定义 `createConnection` 作为 `https.Agent` 构造参数会被 Node ≥24 静默忽略（回退到直连），导致需代理才能访问 api.telegram.org 的网络环境下网关永远连不上且无任何报错。改为构造后赋值实例属性，CONNECT 隧道在 Node 22/24 均生效。
+- **修复移动端抽屉误关**（issue #31）：点击 workspace 分组名（projectRow 同样带 `role="treeitem"`）会误触发会话行收起逻辑，抽屉在 ~100ms 后自动关闭。closest 选择器移除 `div[role="treeitem"]`，会话行收起、分组展开/收起的交互恢复正常（长按检测同步修复）。
+- **自建隧道会话剥离支持 gzip 响应**（PR #29）：DSH web 默认 gzip 压缩，此前 `session.list`/`session.history` 的 gzip 响应直接 `JSON.parse` 失败导致大字段剥离失效、完整巨响应原样传输；现先 gunzip 再剥离。
+- **目录选择弹窗深色模式适配**（PR #29）：`--dsw-alias-brand-primary` 在深色模式下为白色导致按钮/提示背景错乱，改用静态蓝并补齐深色变量覆盖。
+- **WebSocket Ping/Pong keepalive**（PR #29）：自建隧道裸 TCP 转发不再透传 Ping 帧，DSH 每 2s 发 Ping 收不到 Pong 会 terminate；现于帧层自动回 Pong 保持长连接。
+
+### ✨ 新功能
+
+- **自建隧道 SSE 流式传输**（PR #29）：隧道协议新增 `response-start/chunk/end` 流式分片，SSE 事件流不再因"永不 end"而超时截断；安装脚本同步支持。
+- **远程/移动端禁用下拉刷新**（issue #30）：注入 `overscroll-behavior-y: none`，避免移动浏览器下拉误触导致整页重载丢失会话与输入。
+
+---
+
+## [v2.10.3] - 2026-09-03
+
+### ✨ 新功能
+
+- **兼容 DSH 原生端口直连（3080）**（issue #28）：此前本机用 `http://127.0.0.1:3080`（DSH 原生端口）打开面板时，因 loopback-token 端点仅暴露在代理端口 3082、且 CORS 白名单不含原生端口来源，管理功能会被误判为「远程」而锁定（local_only 策略下）。现在原生端口页面可跨域回读管理员令牌，直连与走代理行为一致；CORS 仍收敛，仅回显白名单来源。
+
+### 🐞 修复
+
+- **修复代理响应头透传问题**：反向代理与 WebSocket 升级路径现会剥离 hop-by-hop 头（transfer-encoding/connection 等），并对 WS 101 响应做白名单过滤，避免上游注入任意头或客户端解析异常。
+- **修复 QQ 流式消息发送**：首片失败时不再补发「全新流式消息」造成重复，直接降级单条 Markdown；引用机器人消息自动开新会话不再依赖固定 100ms 等待（消除竞态）。
+- **修复微信网关轮询竞态**：stop/restart 时通过 AbortController 立即中断进行中的长轮询，避免新旧 poller 并存触发 iLink 独占锁（403）。
+- **修复飞书群聊审批按钮被误拦**：群聊按「群」整体授权（与 QQ 群模型一致），群内成员可点按钮决议；单聊仍严格校验发起者本人。
+- **会话列表/历史大字段剥离覆盖全部公网入口**：session.list / session.history 的大字段剥离不再仅限自建隧道，Cloudflare 隧道、局域网、外部登记隧道同样生效（社区 PR #27 扩展）。
+
+### 🔒 安全
+
+- **[SEND_FILE] 外发白名单**：AI 输出携带的 `[SEND_FILE: 路径]` 指令现仅允许发送会话工作目录内的文件，并拦截 `.ssh`/`.credentials`/`.env` 等敏感路径，防止模型被诱导后外发任意本地文件。
+
+### 🧹 内部优化
+
+- **未设密码高危告警**：开启访问认证但尚未设置任何密码时，设置页顶部显示醒目风险提示。
+- **自建隧道安全须知**：README（中/英）明确隧道公网入口无独立认证、必须配合本地访问认证使用。
+- 版本探测失败改为 10 分钟退避重试；版本检查结果 10 分钟 TTL 缓存，减少外网请求。
+- 清理 Telegram 死代码（无调用点的审批卡片方法）。
+- 新增 issue #28 回归测试，全量单测通过。
+---
+
 ## [v2.10.2] - 2026-09-01
 
 ### ✨ 新功能

package/README.en.md

@@ -138,6 +138,8 @@ Access DeepSeek Harness from anywhere outside your home network without public I
 - **Mode 3: Custom WebSocket Tunnel**:
   - Connect to your personal VPS reverse proxy server ([View Setup Guide](docs/custom-tunnel.md)), equipped with per-message gzip and SSE optimization.
 
+> **Custom tunnel security note**: The tunnel server (`scripts/install-tunnel-server.sh`) only authenticates the *tunnel client control channel* with `TOKEN`; public HTTP/WebSocket requests forwarded through the tunnel domain are **not independently authenticated** — security relies entirely on the plugin's local Access Auth (the `x-dsh-internal-tunnel` marker prevents tunnel traffic from using the loopback exemption). Always enable **Access Auth** with a password/QR Token in the plugin settings (especially with `scope=all` or when exposed publicly); with no password set, anyone who knows the tunnel URL can reach your DSH.
+
 ---
 
 ### 3. 📱 Mobile Experience & Standalone PWA

package/README.md

@@ -146,6 +146,8 @@ dsh plugin --profile web add @wenbin_wb/dsh-bridge@latest
 - **模式 3：自建 WebSocket 隧道**
   * 支持连接个人 VPS 隧道中转服务器（[查看自建隧道部署教程](docs/custom-tunnel.md)），具备数据端到端 gzip 压缩与 SSE 响应优化。
 
+> **自建隧道安全须知**：隧道服务端（`scripts/install-tunnel-server.sh`）只对「隧道客户端控制通道」校验 `TOKEN`；公网访客对隧道域名的 HTTP/WebSocket 转发**不再做独立认证**，安全完全依赖插件本地的「访问认证」（`x-dsh-internal-tunnel` 标识使隧道流量无法享受本机回环保留）。请务必在插件设置中开启「安全认证」并设置访问密码/二维码 Token（尤其 `scope=all` 或公网使用时）；未设置任何密码时，任何知道隧道地址的访客都能直接访问您的 DSH。
+
 ---
 
 ### 3. 📱 移动端交互与 PWA 独立全屏 App

package/client/client.js

@@ -823,6 +823,38 @@ var MOBILE_STYLES_CSS = `
       to { transform: translateY(0); }
     }
 
+    /* \u6DF1\u8272\u6A21\u5F0F\u9002\u914D\uFF1Adsh-bridge \u76EE\u5F55\u6D4F\u89C8\u5668\u5F39\u7A97\u4F7F\u7528\u4E86 DSH \u4E3B\u9898\u7CFB\u7EDF\u672A\u5B9A\u4E49\u7684
+       state-*-bg / state-*-border / state-*-primary \u53D8\u91CF\uFF0C\u8865\u4E0A\u6DF1\u8272\u6A21\u5F0F\u503C\uFF0C\u907F\u514D\u6D45\u8272 fallback \u6C38\u8FDC\u751F\u6548 */
+    body[data-ds-dark-theme] {
+      --dsw-alias-state-info-bg: rgba(65, 118, 230, 0.12);
+      --dsw-alias-state-info-border: rgba(65, 118, 230, 0.25);
+      --dsw-alias-state-info-primary: #60a5fa;
+      --dsw-alias-state-success-bg: rgba(34, 197, 94, 0.12);
+      --dsw-alias-state-success-border: rgba(34, 197, 94, 0.25);
+      --dsw-alias-state-success-primary: #4ade80;
+      --dsw-alias-state-warn-bg: rgba(245, 158, 11, 0.12);
+      --dsw-alias-state-warn-border: rgba(245, 158, 11, 0.25);
+      --dsw-alias-state-warn-primary: #fbbf24;
+      --dsw-alias-state-error-bg: rgba(239, 68, 68, 0.12);
+      --dsw-alias-state-error-border: rgba(239, 68, 68, 0.25);
+      --dsw-alias-state-error-primary: #f87171;
+    }
+
+    /* \u6DF1\u8272\u6A21\u5F0F\uFF1A\u76F4\u63A5\u8986\u76D6\u5F39\u7A97\u5185\u6240\u6709\u4F7F\u7528 #fff/#ffffff fallback \u7684\u5185\u8054\u80CC\u666F\uFF0C
+       \u786E\u4FDD\u5373\u4F7F CSS \u53D8\u91CF\u672A\u6B63\u786E\u7EE7\u627F\uFF0C\u5F39\u7A97\u4E5F\u4E0D\u4F1A\u663E\u793A\u767D\u8272\u80CC\u666F */
+    body[data-ds-dark-theme] #dsh-remote-workspace-modal .dsh-ws-dialog-card,
+    body[data-ds-dark-theme] #dsh-remote-workspace-modal .dsh-ws-dialog-card * {
+      --dsw-alias-bg-layer-1: #1b1b1c;
+      --dsw-alias-bg-layer-2: #2c2c2e;
+      --dsw-alias-bg-layer-3: #353638;
+      --dsw-alias-border-l2: #3c3c3d;
+      --dsw-alias-label-primary: #f9fafb;
+      --dsw-alias-label-secondary: #adb2b8;
+      --dsw-alias-label-tertiary: #81858c;
+      --dsw-alias-brand-primary: #f9fafb;
+      --dsw-alias-label-primary-foreground: #0f1115;
+    }
+
     @media (min-width: 769px) {
       .dsh-mobile-app-header,
       .dsh-mobile-backdrop,
@@ -1786,11 +1818,18 @@ var AccessAuthCard = React.memo(function AccessAuthCard2({ auth, rpcCall, onUpda
   const handleToggleEnabled = async () => {
     const prev = enabled;
     const next = !enabled;
+    const noPasswordYet = !auth?.hasPassword && !auth?.hasAdminPassword;
+    if (next && noPasswordYet && mode !== "token_only") {
+      const go = window.confirm(
+        '\u26A0\uFE0F \u60A8\u5C1A\u672A\u8BBE\u7F6E\u4EFB\u4F55\u8BBF\u95EE\u5BC6\u7801\u6216\u7BA1\u7406\u5BC6\u7801\u3002\n\n\u5F00\u542F\u5B89\u5168\u9632\u62A4\u540E\uFF0C\u4EFB\u4F55\u77E5\u9053\u5C40\u57DF\u7F51 IP / \u96A7\u9053\u5730\u5740\u7684\u8BBF\u5BA2\u4ECD\u53EF\u76F4\u63A5\u8FDB\u5165\uFF08\u5F53\u524D\u76F8\u5F53\u4E8E"\u514D\u5BC6\u5F00\u653E"\u72B6\u6001\uFF09\u3002\n\n\u662F\u5426\u4ECD\u8981\u5F00\u542F\uFF1F\u5EFA\u8BAE\u5148\u5173\u95ED\uFF0C\u5728\u4E0B\u65B9\u300C\u8BBE\u7F6E\u5916\u90E8\u8BBF\u5BA2\u8BBF\u95EE\u5BC6\u7801\u300D\u5904\u8BBE\u7F6E\u5BC6\u7801\u540E\u518D\u5F00\u542F\u3002'
+      );
+      if (!go) return;
+    }
     setEnabled(next);
     try {
       const res = await rpcCall(BRIDGE_ENDPOINTS.authUpdateConfig, { enabled: next });
       if (!res?.ok) throw new Error(res?.error?.message || "\u66F4\u65B0\u5931\u8D25");
-      setTopMsg({ ok: true, text: next ? "\u2713 \u8BBF\u95EE\u5B89\u5168\u8BA4\u8BC1\u5DF2\u5F00\u542F\uFF08\u73B0\u6709\u767B\u5F55\u6001\u5DF2\u5237\u65B0\uFF09" : "\u2713 \u8BBF\u95EE\u5B89\u5168\u8BA4\u8BC1\u5DF2\u5173\u95ED\uFF08\u8BBF\u95EE\u514D\u5BC6\uFF0C\u7BA1\u7406\u4FDD\u62A4\u4E0D\u53D7\u5F71\u54CD\uFF09" });
+      setTopMsg({ ok: true, text: next ? noPasswordYet ? "\u2713 \u5B89\u5168\u9632\u62A4\u5DF2\u5F00\u542F\uFF08\u6CE8\u610F\uFF1A\u5C1A\u672A\u8BBE\u7F6E\u5BC6\u7801\uFF0C\u8BBF\u5BA2\u4ECD\u53EF\u514D\u5BC6\u8FDB\u5165\uFF0C\u8BF7\u7ACB\u5373\u5728\u4E0B\u65B9\u8BBE\u7F6E\u8BBF\u95EE\u5BC6\u7801\uFF09" : "\u2713 \u8BBF\u95EE\u5B89\u5168\u8BA4\u8BC1\u5DF2\u5F00\u542F\uFF08\u73B0\u6709\u767B\u5F55\u6001\u5DF2\u5237\u65B0\uFF09" : "\u2713 \u8BBF\u95EE\u5B89\u5168\u8BA4\u8BC1\u5DF2\u5173\u95ED\uFF08\u8BBF\u95EE\u514D\u5BC6\uFF0C\u7BA1\u7406\u4FDD\u62A4\u4E0D\u53D7\u5F71\u54CD\uFF09" });
       onUpdate?.();
     } catch (e) {
       setEnabled(prev);
@@ -1993,7 +2032,31 @@ var AccessAuthCard = React.memo(function AccessAuthCard2({ auth, rpcCall, onUpda
           background: topMsg.ok ? "var(--dsw-alias-state-success-bg,#ecfdf5)" : "var(--dsw-alias-state-error-bg,#fef2f2)",
           color: topMsg.ok ? "var(--dsw-alias-state-success-primary,#059669)" : "var(--dsw-alias-state-error-primary,#dc2626)"
         }
-      }, topMsg.text)
+      }, topMsg.text),
+      // 访问认证已开启但尚未设置任何密码/Token 保护：局域网/公网访客可免密进入，高危提示
+      enabled && !auth?.hasPassword && !auth?.hasAdminPassword && React.createElement(
+        "div",
+        {
+          style: {
+            marginTop: 12,
+            padding: "10px 14px",
+            borderRadius: 6,
+            fontSize: 12,
+            background: "var(--dsw-alias-state-error-bg,#fef2f2)",
+            border: "1px solid var(--dsw-alias-state-error-border,#fecaca)",
+            color: "var(--dsw-alias-state-error-primary,#dc2626)",
+            lineHeight: 1.6
+          }
+        },
+        "\u26A0\uFE0F ",
+        React.createElement("strong", null, "\u5C1A\u672A\u8BBE\u7F6E\u4EFB\u4F55\u8BBF\u95EE\u5BC6\u7801\u6216\u7BA1\u7406\u5BC6\u7801"),
+        " \u2014\u2014 \u6B64\u65F6\u201C\u8BBF\u95EE\u8BA4\u8BC1\u5DF2\u5F00\u542F\u201D\u4F46\u4EFB\u4F55\u77E5\u9053\u5C40\u57DF\u7F51 IP / \u96A7\u9053\u5730\u5740\u7684\u4EBA\u90FD\u80FD\u76F4\u63A5\u8FDB\u5165\uFF08\u96A7\u9053\u5165\u53E3\u81EA\u8EAB\u4E0D\u8BBE\u9632\uFF0C\u8BE6\u89C1\u4E0B\u65B9\u5B89\u5168\u987B\u77E5\uFF09\u3002",
+        "\u5EFA\u8BAE\u7ACB\u5373\u5728\u4E0B\u65B9\u8BBE\u7F6E",
+        React.createElement("strong", null, "\u8BBF\u5BA2\u8BBF\u95EE\u5BC6\u7801"),
+        "\u6216",
+        React.createElement("strong", null, "\u7BA1\u7406\u5BC6\u7801"),
+        "\u540E\u518D\u5BF9\u5916\u5F00\u653E\u3002"
+      )
     ),
     React.createElement(
       React.Fragment,
@@ -4172,7 +4235,8 @@ function BridgePanel({ rpcCall }) {
   }
   const auth = status?.auth;
   const policy = auth?.adminPolicy ?? "password_unlock";
-  const isLocked = !isLocalhost && auth?.adminProtection !== false && policy !== "open" && !adminUnlocked;
+  const hasAnyPassword = !!(auth?.hasPassword || auth?.hasAdminPassword);
+  const isLocked = !isLocalhost && auth?.adminProtection !== false && policy !== "open" && !adminUnlocked && (policy === "local_only" || hasAnyPassword);
   if (isLocked) {
     return React.createElement(
       "div",
@@ -4343,7 +4407,7 @@ function BridgePanel({ rpcCall }) {
         onClick: handleLockAdmin
       }, "\u{1F512} \u91CD\u65B0\u9501\u5B9A\u540E\u53F0")
     ),
-    // 未解锁时的顶部引导条
+    // 未解锁时的顶部引导条：未设密码 → 提示先设密码；已设密码 → 提示解锁
     !isLocalhost && !adminUnlocked && auth?.enabled && policy !== "open" && React.createElement(
       "div",
       {
@@ -4360,12 +4424,20 @@ function BridgePanel({ rpcCall }) {
           color: "var(--dsw-alias-state-warn-primary,#92400e)"
         }
       },
-      React.createElement("span", null, "\u{1F512} \u540E\u53F0\u7BA1\u7406\u6743\u9650\u672A\u89E3\u9501\uFF08\u4FEE\u6539\u654F\u611F\u914D\u7F6E\u9700\u5148\u89E3\u9501\uFF09"),
-      React.createElement("button", {
+      React.createElement(
+        "span",
+        null,
+        hasAnyPassword ? "\u{1F512} \u540E\u53F0\u7BA1\u7406\u6743\u9650\u672A\u89E3\u9501\uFF08\u4FEE\u6539\u654F\u611F\u914D\u7F6E\u9700\u5148\u89E3\u9501\uFF09" : "\u26A0\uFE0F \u5C1A\u672A\u8BBE\u7F6E\u4EFB\u4F55\u8BBF\u95EE\u5BC6\u7801 / \u7BA1\u7406\u5BC6\u7801\uFF0C\u8FDC\u7A0B\u8BBF\u5BA2\u53EF\u514D\u5BC6\u8FDB\u5165\uFF01"
+      ),
+      hasAnyPassword ? React.createElement("button", {
         type: "button",
         style: { ...s.btnPri, height: 24, fontSize: 11, padding: "0 10px", background: "#d97706" },
         onClick: () => setShowUnlockModal(true)
-      }, "\u{1F511} \u89E3\u9501\u7BA1\u7406\u6743\u9650")
+      }, "\u{1F511} \u89E3\u9501\u7BA1\u7406\u6743\u9650") : React.createElement("button", {
+        type: "button",
+        style: { ...s.btnPri, height: 24, fontSize: 11, padding: "0 10px", background: "#d97706" },
+        onClick: () => setActiveTab("security")
+      }, "\u{1F510} \u7ACB\u5373\u8BBE\u7F6E\u5BC6\u7801")
     ),
     React.createElement(VersionBanner, { rpcCall: authRpcCall }),
     React.createElement(TabBar, { active: activeTab, onChange: setActiveTab, dots }),
@@ -4629,7 +4701,7 @@ function setupMobileExperience(rpcCall, ctx) {
           return;
         }
       }
-      const sessionRow = e.target.closest('a, div[class*="sessionRow"], div[role="treeitem"]');
+      const sessionRow = e.target.closest('a, div[class*="sessionRow"]');
       if (sessionRow) {
         setTimeout(() => {
           if (document.body.classList.contains("dsh-drawer-open")) {
@@ -4652,7 +4724,7 @@ function setupMobileExperience(rpcCall, ctx) {
     if (!document.body.classList.contains("dsh-drawer-open")) return;
     const sidebar = document.querySelector('div[class*="_sidebarCol"]');
     if (!sidebar || !sidebar.contains(e.target)) return;
-    const sessionRow = e.target.closest('div[class*="sessionRow"], div[role="treeitem"]');
+    const sessionRow = e.target.closest('div[class*="sessionRow"]');
     if (!sessionRow) return;
     longPressTimer = setTimeout(() => {
       lastLongPressTime = Date.now();
@@ -4805,7 +4877,7 @@ function showRemoteWorkspaceDialog(rpcCall, onWorkspaceAdded, clientCtx, onPicke
           <form id="dsh-ws-unlock-form" style="display: flex; gap: 8px;">
             <input id="dsh-ws-unlock-input" type="password" placeholder="\u8BF7\u8F93\u5165\u540E\u53F0\u7BA1\u7406\u5BC6\u7801" value="${escapeHtml(unlockInput)}"
               style="flex: 1; font: inherit; font-size: 13px; padding: 7px 10px; border-radius: 8px; border: 1px solid var(--dsw-alias-border-l2, #d1d5db); background: var(--dsw-alias-bg-layer-1, #fff); color: var(--dsw-alias-label-primary, currentColor); outline: none; box-sizing: border-box;" />
-            <button type="submit" style="border: none; background: var(--dsw-alias-brand-primary, #4f6ef7); color: #fff; border-radius: 8px; padding: 0 14px; font-size: 12px; font-weight: 600; cursor: pointer; flex-shrink: 0;" ${unlocking ? "disabled" : ""}>${unlocking ? "\u89E3\u9501\u4E2D\u2026" : "\u89E3\u9501"}</button>
+            <button type="submit" style="border: none; background: var(--dsw-static-blue-600, #4f6ef7); color: #fff; border-radius: 8px; padding: 0 14px; font-size: 12px; font-weight: 600; cursor: pointer; flex-shrink: 0;" ${unlocking ? "disabled" : ""}>${unlocking ? "\u89E3\u9501\u4E2D\u2026" : "\u89E3\u9501"}</button>
           </form>
           ${unlockErr ? `<div style="font-size: 11px; color: var(--dsw-alias-state-error-primary, #dc2626); margin-top: 6px;">${escapeHtml(unlockErr)}</div>` : ""}
         </div>
@@ -4825,7 +4897,7 @@ function showRemoteWorkspaceDialog(rpcCall, onWorkspaceAdded, clientCtx, onPicke
           ${(drives || []).map((d) => {
       const isActive = currentPath.startsWith(d.path) || currentPath === d.path;
       return `
-              <button class="dsh-ws-quick-btn" data-path="${escapeHtml(d.path)}" style="border: 1px solid ${isActive ? "var(--dsw-alias-brand-primary, #4f6ef7)" : "var(--dsw-alias-border-l2, #d1d5db)"}; background: ${isActive ? "var(--dsw-alias-brand-primary, #4f6ef7)" : "var(--dsw-alias-bg-layer-2, #f9fafb)"}; color: ${isActive ? "#fff" : "var(--dsw-alias-label-primary, #111827)"}; border-radius: 14px; padding: 4px 10px; font-size: 11px; cursor: pointer; font-weight: 500; flex-shrink: 0; transition: all 0.1s;">
+              <button class="dsh-ws-quick-btn" data-path="${escapeHtml(d.path)}" style="border: 1px solid ${isActive ? "var(--dsw-static-blue-600, #4f6ef7)" : "var(--dsw-alias-border-l2, #d1d5db)"}; background: ${isActive ? "var(--dsw-static-blue-600, #4f6ef7)" : "var(--dsw-alias-bg-layer-2, #f9fafb)"}; color: ${isActive ? "#fff" : "var(--dsw-alias-label-primary, #111827)"}; border-radius: 14px; padding: 4px 10px; font-size: 11px; cursor: pointer; font-weight: 500; flex-shrink: 0; transition: all 0.1s;">
                 \u{1F4BE} ${escapeHtml(d.name)}
               </button>
             `;
@@ -4872,9 +4944,9 @@ function showRemoteWorkspaceDialog(rpcCall, onWorkspaceAdded, clientCtx, onPicke
         <div style="background: var(--dsw-alias-state-info-bg, #eff6ff); border: 1px solid var(--dsw-alias-state-info-border, #bfdbfe); border-radius: 10px; padding: 10px 12px; display: flex; flex-direction: column; gap: 6px;">
           <div style="display: flex; align-items: center; justify-content: space-between; gap: 6px;">
             <span style="font-size: 11px; font-weight: 600; color: var(--dsw-alias-brand-primary, #2563eb); flex-shrink: 0;">\u5F53\u524D\u76EE\u5F55:</span>
-            <span style="font-family: ui-monospace, Menlo, monospace; font-size: 11px; color: var(--dsw-alias-label-primary, #1e3a8a); overflow: hidden; text-overflow: ellipsis; white-space: nowrap; flex: 1; text-align: right; font-weight: 600;">${escapeHtml(currentPath)}</span>
+            <span style="font-family: ui-monospace, Menlo, monospace; font-size: 11px; color: var(--dsw-alias-label-primary, var(--dsw-alias-brand-primary, #1e3a8a)); overflow: hidden; text-overflow: ellipsis; white-space: nowrap; flex: 1; text-align: right; font-weight: 600;">${escapeHtml(currentPath)}</span>
           </div>
-          <button id="dsh-ws-add-current-btn" style="border: none; background: var(--dsw-alias-brand-primary, #2563eb); color: #fff; height: 36px; border-radius: 8px; font-size: 13px; font-weight: 600; cursor: pointer; display: flex; align-items: center; justify-content: center; gap: 6px; width: 100%; box-shadow: 0 2px 4px rgba(37,99,235,0.25); transition: opacity 0.1s;" ${isSubmitting ? "disabled" : ""}>
+          <button id="dsh-ws-add-current-btn" style="border: none; background: var(--dsw-static-blue-600, #2563eb); color: #fff; height: 36px; border-radius: 8px; font-size: 13px; font-weight: 600; cursor: pointer; display: flex; align-items: center; justify-content: center; gap: 6px; width: 100%; box-shadow: 0 2px 4px rgba(37,99,235,0.25); transition: opacity 0.1s;" ${isSubmitting ? "disabled" : ""}>
             ${isSubmitting ? "\u6B63\u5728\u6DFB\u52A0\u5E76\u5207\u6362\u2026" : "\u{1F449} \u8BBE\u4E3A\u5F53\u524D\u5DE5\u4F5C\u533A\u5E76\u8FDB\u5165"}
           </button>
         </div>
@@ -4933,7 +5005,7 @@ function showRemoteWorkspaceDialog(rpcCall, onWorkspaceAdded, clientCtx, onPicke
               <button id="dsh-ws-manual-jump-btn" style="border: 1px solid var(--dsw-alias-border-l2, #d1d5db); background: var(--dsw-alias-bg-layer-2, #f9fafb); color: var(--dsw-alias-label-primary, #111827); padding: 0 10px; border-radius: 8px; font-size: 11px; cursor: pointer; white-space: nowrap;">
                 \u524D\u5F80
               </button>
-              <button id="dsh-ws-manual-add-btn" style="border: none; background: var(--dsw-alias-brand-primary, #4f6ef7); color: #fff; padding: 0 12px; border-radius: 8px; font-size: 11px; font-weight: 500; cursor: pointer; white-space: nowrap;">
+              <button id="dsh-ws-manual-add-btn" style="border: none; background: var(--dsw-static-blue-600, #4f6ef7); color: #fff; padding: 0 12px; border-radius: 8px; font-size: 11px; font-weight: 500; cursor: pointer; white-space: nowrap;">
                 \u6DFB\u52A0\u5E76\u8FDB\u5165
               </button>
             </div>

package/client/index.js

@@ -758,11 +758,23 @@ const AccessAuthCard = React.memo(function AccessAuthCard({ auth, rpcCall, onUpd
   const handleToggleEnabled = async () => {
     const prev = enabled;
     const next = !enabled;
+    // 开启安全防护但尚未设置任何密码：明确提示当前是"裸奔"状态，避免用户误以为已受密码保护
+    const noPasswordYet = !auth?.hasPassword && !auth?.hasAdminPassword;
+    if (next && noPasswordYet && mode !== 'token_only') {
+      const go = window.confirm(
+        '⚠️ 您尚未设置任何访问密码或管理密码。\n\n开启安全防护后，任何知道局域网 IP / 隧道地址的访客仍可直接进入（当前相当于"免密开放"状态）。\n\n是否仍要开启？建议先关闭，在下方「设置外部访客访问密码」处设置密码后再开启。'
+      );
+      if (!go) return;
+    }
     setEnabled(next);
     try {
       const res = await rpcCall(BRIDGE_ENDPOINTS.authUpdateConfig, { enabled: next });
       if (!res?.ok) throw new Error(res?.error?.message || '更新失败');
-      setTopMsg({ ok: true, text: next ? '✓ 访问安全认证已开启（现有登录态已刷新）' : '✓ 访问安全认证已关闭（访问免密，管理保护不受影响）' });
+      setTopMsg({ ok: true, text: next
+        ? (noPasswordYet
+          ? '✓ 安全防护已开启（注意：尚未设置密码，访客仍可免密进入，请立即在下方设置访问密码）'
+          : '✓ 访问安全认证已开启（现有登录态已刷新）')
+        : '✓ 访问安全认证已关闭（访问免密，管理保护不受影响）' });
       onUpdate?.();
     } catch (e) {
       setEnabled(prev);
@@ -943,6 +955,19 @@ const AccessAuthCard = React.memo(function AccessAuthCard({ auth, rpcCall, onUpd
           color: topMsg.ok ? 'var(--dsw-alias-state-success-primary,#059669)' : 'var(--dsw-alias-state-error-primary,#dc2626)',
         },
       }, topMsg.text),
+
+      // 访问认证已开启但尚未设置任何密码/Token 保护：局域网/公网访客可免密进入，高危提示
+      enabled && !auth?.hasPassword && !auth?.hasAdminPassword && React.createElement('div', {
+        style: {
+          marginTop: 12, padding: '10px 14px', borderRadius: 6, fontSize: 12,
+          background: 'var(--dsw-alias-state-error-bg,#fef2f2)',
+          border: '1px solid var(--dsw-alias-state-error-border,#fecaca)',
+          color: 'var(--dsw-alias-state-error-primary,#dc2626)',
+          lineHeight: 1.6,
+        },
+      }, '⚠️ ', React.createElement('strong', null, '尚未设置任何访问密码或管理密码'),
+        ' —— 此时“访问认证已开启”但任何知道局域网 IP / 隧道地址的人都能直接进入（隧道入口自身不设防，详见下方安全须知）。',
+        '建议立即在下方设置', React.createElement('strong', null, '访客访问密码'), '或', React.createElement('strong', null, '管理密码'), '后再对外开放。'),
     ),
 
     React.createElement(React.Fragment, null,
@@ -2948,11 +2973,18 @@ function BridgePanel({ rpcCall }) {
 
   const auth = status?.auth;
   const policy = auth?.adminPolicy ?? 'password_unlock';
+  // 系统是否已配置任何密码（访客访问密码 或 独立管理密码）。
+  const hasAnyPassword = !!(auth?.hasPassword || auth?.hasAdminPassword);
   // 锁屏条件：远程 + 管理保护开启（adminProtection）+ 未解锁 + 非宽松策略。
   // 不依赖 auth.enabled：即使访问认证关闭，管理保护仍独立生效，上锁后必须显示锁屏。
   // local_only 也锁定（显示"仅限本机管理"专属锁屏）。
+  // 关键修正：仅当系统【已配置密码】时才需要输入密码解锁——全新安装（无任何密码）时
+  // 服务端没有可校验的哈希，任何输入都会被放行（宽松降级），此时展示"输入管理密码"
+  // 锁屏只会误导用户输一个假密码；应直接放行进入面板并提示先设置密码。
+  // local_only 例外：无论是否已设密码，远程一律禁止管理（策略语义高于空密码豁免）。
   const isLocked = !isLocalhost && auth?.adminProtection !== false
-    && policy !== 'open' && !adminUnlocked;
+    && policy !== 'open' && !adminUnlocked
+    && (policy === 'local_only' || hasAnyPassword);
 
   // 远程设备被锁定：全局展示锁定页面，阻断所有 Tab 的查看与操作
   if (isLocked) {
@@ -3085,7 +3117,7 @@ function BridgePanel({ rpcCall }) {
       }, '🔒 重新锁定后台'),
     ),
 
-    // 未解锁时的顶部引导条
+    // 未解锁时的顶部引导条：未设密码 → 提示先设密码；已设密码 → 提示解锁
     !isLocalhost && !adminUnlocked && auth?.enabled && policy !== 'open' && React.createElement('div', {
       style: {
         display: 'flex', alignItems: 'center', justifyContent: 'space-between',
@@ -3094,12 +3126,20 @@ function BridgePanel({ rpcCall }) {
         marginBottom: 14, fontSize: 12, color: 'var(--dsw-alias-state-warn-primary,#92400e)',
       },
     },
-      React.createElement('span', null, '🔒 后台管理权限未解锁（修改敏感配置需先解锁）'),
-      React.createElement('button', {
+      React.createElement('span', null,
+        hasAnyPassword
+          ? '🔒 后台管理权限未解锁（修改敏感配置需先解锁）'
+          : '⚠️ 尚未设置任何访问密码 / 管理密码，远程访客可免密进入！'
+      ),
+      hasAnyPassword ? React.createElement('button', {
         type: 'button',
         style: { ...s.btnPri, height: 24, fontSize: 11, padding: '0 10px', background: '#d97706' },
         onClick: () => setShowUnlockModal(true),
-      }, '🔑 解锁管理权限'),
+      }, '🔑 解锁管理权限') : React.createElement('button', {
+        type: 'button',
+        style: { ...s.btnPri, height: 24, fontSize: 11, padding: '0 10px', background: '#d97706' },
+        onClick: () => setActiveTab('security'),
+      }, '🔐 立即设置密码'),
     ),
 
     React.createElement(VersionBanner, { rpcCall: authRpcCall }),
@@ -3391,8 +3431,11 @@ function setupMobileExperience(rpcCall, ctx) {
         }
       }
 
-      // 点击会话项后平滑收起抽屉
-      const sessionRow = e.target.closest('a, div[class*="sessionRow"], div[role="treeitem"]');
+      // 点击会话项后平滑收起抽屉。
+      // 注意：不能匹配 div[role="treeitem"] —— DSH 的 workspace 分组行（projectRow）
+      // 同样带 role="treeitem"，会误伤"点击分组名展开/收起"的手势（issue #31）。
+      // 会话行已被 div[class*="sessionRow"] 覆盖；搜索结果行是 <button>，不匹配 div。
+      const sessionRow = e.target.closest('a, div[class*="sessionRow"]');
       if (sessionRow) {
         setTimeout(() => {
           if (document.body.classList.contains('dsh-drawer-open')) {
@@ -3421,7 +3464,8 @@ function setupMobileExperience(rpcCall, ctx) {
     const sidebar = document.querySelector('div[class*="_sidebarCol"]');
     if (!sidebar || !sidebar.contains(e.target)) return;
 
-    const sessionRow = e.target.closest('div[class*="sessionRow"], div[role="treeitem"]');
+    // 长按会话项呼出操作菜单。同样不能匹配 div[role="treeitem"]（分组行同标签，issue #31）。
+    const sessionRow = e.target.closest('div[class*="sessionRow"]');
     if (!sessionRow) return;
 
     longPressTimer = setTimeout(() => {
@@ -3620,7 +3664,7 @@ function showRemoteWorkspaceDialog(rpcCall, onWorkspaceAdded, clientCtx, onPicke
           <form id="dsh-ws-unlock-form" style="display: flex; gap: 8px;">
             <input id="dsh-ws-unlock-input" type="password" placeholder="请输入后台管理密码" value="${escapeHtml(unlockInput)}"
               style="flex: 1; font: inherit; font-size: 13px; padding: 7px 10px; border-radius: 8px; border: 1px solid var(--dsw-alias-border-l2, #d1d5db); background: var(--dsw-alias-bg-layer-1, #fff); color: var(--dsw-alias-label-primary, currentColor); outline: none; box-sizing: border-box;" />
-            <button type="submit" style="border: none; background: var(--dsw-alias-brand-primary, #4f6ef7); color: #fff; border-radius: 8px; padding: 0 14px; font-size: 12px; font-weight: 600; cursor: pointer; flex-shrink: 0;" ${unlocking ? 'disabled' : ''}>${unlocking ? '解锁中…' : '解锁'}</button>
+            <button type="submit" style="border: none; background: var(--dsw-static-blue-600, #4f6ef7); color: #fff; border-radius: 8px; padding: 0 14px; font-size: 12px; font-weight: 600; cursor: pointer; flex-shrink: 0;" ${unlocking ? 'disabled' : ''}>${unlocking ? '解锁中…' : '解锁'}</button>
           </form>
           ${unlockErr ? `<div style="font-size: 11px; color: var(--dsw-alias-state-error-primary, #dc2626); margin-top: 6px;">${escapeHtml(unlockErr)}</div>` : ''}
         </div>
@@ -3640,7 +3684,7 @@ function showRemoteWorkspaceDialog(rpcCall, onWorkspaceAdded, clientCtx, onPicke
           ${(drives || []).map(d => {
             const isActive = currentPath.startsWith(d.path) || currentPath === d.path;
             return `
-              <button class="dsh-ws-quick-btn" data-path="${escapeHtml(d.path)}" style="border: 1px solid ${isActive ? 'var(--dsw-alias-brand-primary, #4f6ef7)' : 'var(--dsw-alias-border-l2, #d1d5db)'}; background: ${isActive ? 'var(--dsw-alias-brand-primary, #4f6ef7)' : 'var(--dsw-alias-bg-layer-2, #f9fafb)'}; color: ${isActive ? '#fff' : 'var(--dsw-alias-label-primary, #111827)'}; border-radius: 14px; padding: 4px 10px; font-size: 11px; cursor: pointer; font-weight: 500; flex-shrink: 0; transition: all 0.1s;">
+              <button class="dsh-ws-quick-btn" data-path="${escapeHtml(d.path)}" style="border: 1px solid ${isActive ? 'var(--dsw-static-blue-600, #4f6ef7)' : 'var(--dsw-alias-border-l2, #d1d5db)'}; background: ${isActive ? 'var(--dsw-static-blue-600, #4f6ef7)' : 'var(--dsw-alias-bg-layer-2, #f9fafb)'}; color: ${isActive ? '#fff' : 'var(--dsw-alias-label-primary, #111827)'}; border-radius: 14px; padding: 4px 10px; font-size: 11px; cursor: pointer; font-weight: 500; flex-shrink: 0; transition: all 0.1s;">
                 💾 ${escapeHtml(d.name)}
               </button>
             `;
@@ -3687,9 +3731,9 @@ function showRemoteWorkspaceDialog(rpcCall, onWorkspaceAdded, clientCtx, onPicke
         <div style="background: var(--dsw-alias-state-info-bg, #eff6ff); border: 1px solid var(--dsw-alias-state-info-border, #bfdbfe); border-radius: 10px; padding: 10px 12px; display: flex; flex-direction: column; gap: 6px;">
           <div style="display: flex; align-items: center; justify-content: space-between; gap: 6px;">
             <span style="font-size: 11px; font-weight: 600; color: var(--dsw-alias-brand-primary, #2563eb); flex-shrink: 0;">当前目录:</span>
-            <span style="font-family: ui-monospace, Menlo, monospace; font-size: 11px; color: var(--dsw-alias-label-primary, #1e3a8a); overflow: hidden; text-overflow: ellipsis; white-space: nowrap; flex: 1; text-align: right; font-weight: 600;">${escapeHtml(currentPath)}</span>
+            <span style="font-family: ui-monospace, Menlo, monospace; font-size: 11px; color: var(--dsw-alias-label-primary, var(--dsw-alias-brand-primary, #1e3a8a)); overflow: hidden; text-overflow: ellipsis; white-space: nowrap; flex: 1; text-align: right; font-weight: 600;">${escapeHtml(currentPath)}</span>
           </div>
-          <button id="dsh-ws-add-current-btn" style="border: none; background: var(--dsw-alias-brand-primary, #2563eb); color: #fff; height: 36px; border-radius: 8px; font-size: 13px; font-weight: 600; cursor: pointer; display: flex; align-items: center; justify-content: center; gap: 6px; width: 100%; box-shadow: 0 2px 4px rgba(37,99,235,0.25); transition: opacity 0.1s;" ${isSubmitting ? 'disabled' : ''}>
+          <button id="dsh-ws-add-current-btn" style="border: none; background: var(--dsw-static-blue-600, #2563eb); color: #fff; height: 36px; border-radius: 8px; font-size: 13px; font-weight: 600; cursor: pointer; display: flex; align-items: center; justify-content: center; gap: 6px; width: 100%; box-shadow: 0 2px 4px rgba(37,99,235,0.25); transition: opacity 0.1s;" ${isSubmitting ? 'disabled' : ''}>
             ${isSubmitting ? '正在添加并切换…' : '👉 设为当前工作区并进入'}
           </button>
         </div>
@@ -3748,7 +3792,7 @@ function showRemoteWorkspaceDialog(rpcCall, onWorkspaceAdded, clientCtx, onPicke
               <button id="dsh-ws-manual-jump-btn" style="border: 1px solid var(--dsw-alias-border-l2, #d1d5db); background: var(--dsw-alias-bg-layer-2, #f9fafb); color: var(--dsw-alias-label-primary, #111827); padding: 0 10px; border-radius: 8px; font-size: 11px; cursor: pointer; white-space: nowrap;">
                 前往
               </button>
-              <button id="dsh-ws-manual-add-btn" style="border: none; background: var(--dsw-alias-brand-primary, #4f6ef7); color: #fff; padding: 0 12px; border-radius: 8px; font-size: 11px; font-weight: 500; cursor: pointer; white-space: nowrap;">
+              <button id="dsh-ws-manual-add-btn" style="border: none; background: var(--dsw-static-blue-600, #4f6ef7); color: #fff; padding: 0 12px; border-radius: 8px; font-size: 11px; font-weight: 500; cursor: pointer; white-space: nowrap;">
                 添加并进入
               </button>
             </div>