@wszhoho/dsh-file-attachment 0.1.0

package/cordis.patch.yml

@@ -0,0 +1,4 @@
+# dsh-fileAttachment 补丁行：挂载本插件（Host 半提供 fileAttachment remote 服务写临时目录；Client 半监听拖拽/粘贴）
+- insert:
+    - id: dsh-fileAttachment
+      name: '@wszhoho/dsh-file-attachment'

package/lib/client.js

@@ -0,0 +1,457 @@
+// @local/dsh-fileAttachment 浏览器半（client 半，全部功能在此）。
+// 拖放/粘贴文件进输入框：
+// 1) 纯图片 —— 不拦截事件，原样交给既有图片拖放路径（行为零变化）；
+// 2) 文档（非图片文件）—— capture 阶段接管：浏览器端读取全文 → base64 →
+//    remote.fileAttachment.save 落盘到 <会话工作区>/.dsh-fileAttachment/ →
+//    在草稿光标处插入 @绝对路径 引用；粘贴文件走同一核心；
+// 3) 目录 —— 拒绝并 toast 提示「不支持拖入目录」（需求确认：不插引用）；
+// 4) 纯文本粘贴（含目录路径字符串）—— 完全原生，不做任何改写。
+// 5) 拖入任何文件时在 capture 阶段拦截应用自带「拖入图片…」DropOverlay 浮层。
+// 通知：shell.overlay 浮动 toast（frame-wide，fixed 定位，点击穿透，不破坏布局）。
+window.__ModuleLoader__.load({
+	id: '@local/dsh-fileAttachment',
+	factory: (require) => {
+		const module = { exports: {} }
+		const exports = module.exports
+		Object.defineProperty(exports, Symbol.toStringTag, { value: 'Module' })
+		const react = require('react')
+
+		// Client 服务依赖：槽位 / 输入机 / 会话（与官方 dsh-upload-file 同范式）。
+		// 保存文件不走 remote，而是 fetch POST 宿主 webServer 路由 /dsh-fileAttachment/save。
+		const inject = [
+			"slots",
+			"conversation",
+			"sessions"
+		]
+
+		// ---- 模块级状态：document 监听器 / dock 槽（同步桥）/ overlay 槽（toast）共享 ----
+		let ctxRef = null // apply 时记下 ctx，供远程调用与降级判断
+		const bridge = {
+			actions: null,        // InputActions（setDraft/addImages...），来自当前会话
+			input: undefined,     // 最新 InputState（draft/phase...），随渲染刷新
+			conversation: undefined, // conversation 服务：登记草稿图片
+			mounted: false,
+			sessionId: '',        // 当前会话 id，宿主据此解析工作区根
+			noticeText: null,     // 当前 toast 文本（模块级广播）
+			noticeSub: null,      // toast 组件订阅的 setter
+		}
+		let noticeTimer = null
+		const NOTICE_MS = 4000
+		const MAX_BYTES = 50 * 1024 * 1024
+
+		// ---- 通知广播：composer/dock 与 overlay toast 之间共享文本，自动消失 ----
+		function publishNotice(text) {
+			bridge.noticeText = text
+			if (bridge.noticeSub !== null) bridge.noticeSub(text)
+		}
+		function announce(text) {
+			publishNotice(text)
+			if (noticeTimer !== null) clearTimeout(noticeTimer)
+			noticeTimer = setTimeout(() => { noticeTimer = null; if (bridge.noticeText === text) publishNotice(null) }, NOTICE_MS)
+		}
+
+		// ---- 宿主保存调用：fetch POST 宿主 webServer 路由（签名同 dsh-upload-file attach）----
+		async function saveFileToHost(fileName, b64, sessionId) {
+			if (typeof fetch !== 'function') throw new Error('当前环境无 fetch，无法上传')
+			let response
+			try {
+				response = await fetch('/dsh-fileAttachment/save', {
+					method: 'POST',
+					headers: { 'content-type': 'application/json' },
+					body: JSON.stringify({ name: fileName, data: b64, sessionId: sessionId }),
+				})
+			} catch (err) {
+				throw new Error('无法连接宿主上传服务（网络错误）')
+			}
+			let envelope
+			try {
+				envelope = await response.json()
+			} catch (err) {
+				throw new Error('宿主返回非 JSON（HTTP ' + response.status + '）')
+			}
+			const record = envelope !== null && typeof envelope === 'object' ? envelope : null
+			if (record !== null && record.ok === true && record.value !== null && typeof record.value === 'object') {
+				const value = record.value
+				if (typeof value.path === 'string' && value.path !== '') return value
+				throw new Error('宿主保存返回缺少 path')
+			}
+			const errMsg = record !== null && typeof record.error === 'string' && record.error !== '' ? record.error : '宿主保存失败（HTTP ' + response.status + '）'
+			throw new Error(errMsg)
+		}
+
+		// 复刻 dsh-file-reference 的 formatFileMention：
+		// 目录补尾斜杠；含不可表示字符返回 undefined；含空白走引号形式（目录引号保持开启）
+		function hasBadChar(p) {
+			for (let i = 0; i < p.length; i++) {
+				const c = p.charCodeAt(i)
+				if (c === 34 || c < 32 || (c >= 127 && c <= 159)) return true
+			}
+			return false
+		}
+		// 等价于 /\s/u 的空白判定（含不可见分隔符）
+		function isSpace(c) {
+			return c === 9 || c === 10 || c === 11 || c === 12 || c === 13 || c === 32 || c === 160 || c === 5760
+				|| (c >= 8192 && c <= 8202) || c === 8232 || c === 8233 || c === 8239 || c === 8287 || c === 12288 || c === 65279
+		}
+		function formatMention(path, isDir) {
+			const p = isDir ? path + '/' : path
+			if (hasBadChar(p)) return undefined
+			for (let i = 0; i < p.length; i++) {
+				if (isSpace(p.charCodeAt(i))) return isDir ? '@"' + p : '@"' + p + '"'
+			}
+			return '@' + p
+		}
+
+		// 把浏览器提供的路径源（webkitGetAsEntry().fullPath / file.path）规范化为绝对路径
+		function isDrivePath(p) {
+			if (p.length < 3) return false
+			const c0 = p.charCodeAt(0); const c1 = p.charCodeAt(1); const c2 = p.charCodeAt(2)
+			const isLetter = (c0 >= 65 && c0 <= 90) || (c0 >= 97 && c0 <= 122)
+			return isLetter && c1 === 58 && (c2 === 47 || c2 === 92)
+		}
+		function resolveDropPath(raw) {
+			if (typeof raw !== 'string' || raw === '') return null
+			// Chrome 虚拟文件系统会给盘符路径加前导斜杠：/C:/... 或 /C:\...
+			let p = raw
+			if (p.length > 3 && p.charCodeAt(0) === 47 && p.charCodeAt(2) === 58
+				&& (p.charCodeAt(3) === 47 || p.charCodeAt(3) === 92)) p = p.slice(1)
+			if (isDrivePath(p) || (p.length > 0 && p.charCodeAt(0) === 47)) return p
+			return null
+		}
+		// 取路径最后一段（等价 split(/[\\/]/).filter(Boolean).pop()，charCode 版防转义损坏）
+		function lastSegment(s) {
+			let seg = ''
+			let cur = ''
+			for (let i = 0; i < s.length; i++) {
+				const c = s.charCodeAt(i)
+				if (c === 47 || c === 92) { if (cur !== '') { seg = cur; cur = '' } }
+				else cur += s.charAt(i)
+			}
+			if (cur !== '') seg = cur
+			return seg
+		}
+
+		// 找可写的 composer textarea：可见、未禁用、未只读、phase 为 plain；
+		// 多个候选时优先 value 与桥内草稿一致的那一个（排除审批弹窗里的同名元素）
+		function findComposerTextarea() {
+			const list = Array.from(document.querySelectorAll('[data-composer-card] textarea'))
+			const live = list.filter((ta) => {
+				if (ta.disabled || ta.readOnly) return false
+				const phase = ta.getAttribute('data-phase')
+				if (phase !== null && phase !== 'plain') return false
+				return ta.getClientRects().length > 0
+			})
+			if (live.length === 0) return null
+			const draft = bridge.input !== void 0 ? bridge.input.draft : undefined
+			if (typeof draft === 'string') {
+				for (let i = 0; i < live.length; i++) {
+					if (live[i].value === draft) return live[i]
+				}
+			}
+			return live[0]
+		}
+
+		// 在光标（或选区）处插入文本；setDraft 是唯一的草稿写路径
+		function insertTextAtCaret(ta, actions, text) {
+			const draft = ta.value
+			let start = ta.selectionStart
+			let end = ta.selectionEnd
+			if (typeof start !== 'number' || start < 0 || start > draft.length) start = draft.length
+			if (typeof end !== 'number' || end < start) end = start
+			const before = draft.slice(0, start)
+			const after = draft.slice(end)
+			const padStart = before.length > 0 && !isSpace(before.charCodeAt(before.length - 1)) ? ' ' : ''
+			const padEnd = after.length > 0 && !isSpace(after.charCodeAt(0)) ? ' ' : ''
+			const next = before + padStart + text + padEnd + after
+			const caret = start + padStart.length + text.length + padEnd.length
+			actions.setDraft(next)
+			// React 重渲染会覆盖光标，下一帧校验写入成功后回填 selectionRange（同既有输入路径模式）
+			if (typeof window !== 'undefined' && typeof window.requestAnimationFrame === 'function') {
+				window.requestAnimationFrame(() => {
+					if (ta.value !== next) return // 写入被输入机拒绝，不动光标
+					try {
+						ta.focus({ preventScroll: true })
+						ta.setSelectionRange(caret, caret)
+					} catch (err) { /* 忽略：光标回填失败不影响草稿内容 */ }
+				})
+			}
+		}
+
+		function hasFiles(dataTransfer) {
+			const types = dataTransfer && dataTransfer.types
+			if (!types) return false
+			for (let i = 0; i < types.length; i++) if (types[i] === 'Files') return true
+			return false
+		}
+
+		// 手动 3 字节 base64（不依赖 btoa，纯 JS；50MB 上限内拼接安全）
+		const B64C = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/'
+		function bytesToBase64(bytes) {
+			let out = ''
+			for (let i = 0; i < bytes.length; i += 3) {
+				const a = bytes[i]
+				const b = i + 1 < bytes.length ? bytes[i + 1] : 0
+				const c = i + 2 < bytes.length ? bytes[i + 2] : 0
+				out += B64C.charAt(a >> 2)
+				out += B64C.charAt(((a & 3) << 4) | (b >> 4))
+				out += i + 1 < bytes.length ? B64C.charAt(((b & 15) << 2) | (c >> 6)) : '='
+				out += i + 2 < bytes.length ? B64C.charAt(c & 63) : '='
+			}
+			return out
+		}
+
+		// 触发应用自身 drop 浮层的关闭：应用在 window 上监听 dragend 执行 reset()。
+		// 从 OS 拖入时浏览器不派发 dragend，且我们拦截 drop 后应用的 drop 监听收不到事件，浮层会残留。
+		function dismissDropOverlay() {
+			try { window.dispatchEvent(new Event('dragend')) } catch (err) { /* 尽力而为 */ }
+		}
+
+		// capture 阶段拦截 dragenter：应用自身 DropOverlay 文案固定为「拖入图片…」，
+		// 拖入任何文件都会误提示；这里阻止应用注册的 dragenter 监听执行。
+		function onDragEnterCap(e) {
+			const dt = e.dataTransfer
+			if (dt === null || dt === undefined || !hasFiles(dt)) return
+			e.preventDefault()
+			e.stopImmediatePropagation()
+		}
+
+		// 拖放/粘贴文件共用核心。source：'drop' | 'paste'
+		// 返回是否已接管事件（false = 纯图片拖放，原样交给既有图片路径）
+		function handleFilesEvent(e, files, items, source) {
+			const images = []
+			const docs = [] // { path, name, isDir, file }
+			for (let i = 0; i < files.length; i++) {
+				const file = files[i]
+				if (file.type && file.type.indexOf('image/') === 0) { images.push(file); continue }
+				let entry = null
+				const item = items ? items[i] : null
+				if (item && typeof item.webkitGetAsEntry === 'function') {
+					try { entry = item.webkitGetAsEntry() } catch (err) { entry = null }
+				}
+				let raw = entry ? entry.fullPath : null
+				if (raw === null || raw === undefined) raw = file.path !== void 0 ? file.path : null
+				const isDir = !!(entry && entry.isDirectory)
+				let name = file.name
+				if (name === '' && typeof raw === 'string') { const seg = lastSegment(raw); if (seg !== '') name = seg }
+				docs.push({ path: resolveDropPath(raw), name, isDir, file })
+			}
+
+			// 纯图片拖放：完全不碰事件，交给既有图片路径（零行为变化）
+			if (docs.length === 0 && source === 'drop') return false
+
+			// 含文档（或纯图片粘贴：应用内无既有 paste 路径，按同一草稿图片机制登记）—— 完全接管
+			e.preventDefault()
+			e.stopImmediatePropagation()
+			dismissDropOverlay()
+			void runBatch(images, docs)
+			return true
+		}
+
+		// 异步批处理：文档读全文→宿主落盘→@引用；目录拒绝；图片沿用原有流程
+		async function runBatch(images, docs) {
+			const actions = bridge.actions
+			if (actions === null || typeof actions.setDraft !== 'function') {
+				announce('无法插入文件引用：当前没有可用的输入框')
+				return
+			}
+			const phase = bridge.input !== void 0 ? bridge.input.phase : 'plain'
+			if (phase !== 'plain') {
+				announce('输入框正忙，完成当前操作后再试')
+				return
+			}
+			const mentions = []
+			const savedNames = []
+			const dirRejected = []
+			let savedDir = ''
+			let savedCount = 0
+			let skipped = 0
+			let lastErr = ''
+			for (let i = 0; i < docs.length; i++) {
+				const d = docs[i]
+				if (d.isDir) {
+					dirRejected.push(d.name !== '' ? d.name : '(未命名目录)')
+					skipped++
+					continue
+				}
+				try {
+					const f = d.file
+					if (f === null || typeof f.size !== 'number' || f.size > MAX_BYTES) throw new Error('size')
+					const buf = await f.arrayBuffer()
+					const b64 = bytesToBase64(new Uint8Array(buf))
+					const res = await saveFileToHost(d.name, b64, bridge.sessionId)
+					const m = formatMention(res.path, false)
+					if (m === undefined) throw new Error('path')
+					mentions.push(m)
+					savedCount++
+					if (typeof res.name === 'string' && res.name !== '') savedNames.push(res.name)
+					if (typeof res.dir === 'string' && res.dir !== '') savedDir = res.dir
+				} catch (err) {
+					lastErr = err && err.message ? err.message : String(err)
+					skipped++
+				}
+			}
+
+			let inserted = 0
+			if (mentions.length > 0) {
+				const ta = findComposerTextarea()
+				if (ta === null) announce('未找到可用的输入框，无法插入文件引用')
+				else { insertTextAtCaret(ta, actions, mentions.join(' ')); inserted = mentions.length }
+			}
+
+			// 图片：与既有图片路径完全相同的调用序列登记（addImages 失败则释放）
+			let imagesAdded = 0
+			const conversation = bridge.conversation
+			if (images.length > 0 && conversation !== void 0
+				&& typeof conversation.createDraftImages === 'function'
+				&& typeof actions.addImages === 'function') {
+				try {
+					const created = conversation.createDraftImages(images)
+					const ids = created.map((a) => a.id)
+					if (actions.addImages(ids)) {
+						imagesAdded = ids.length
+					} else if (typeof conversation.releaseDraftImages === 'function') {
+						conversation.releaseDraftImages(created)
+					}
+				} catch (err) { /* 图片登记失败不阻断文档引用插入 */ }
+			}
+
+			if (inserted === 0 && imagesAdded === 0) {
+				if (savedCount > 0 && skipped === 0) return
+				if (dirRejected.length > 0 && skipped === dirRejected.length && savedCount === 0) {
+					announce('不支持拖入目录：' + dirRejected.slice(0, 3).join('、') + (dirRejected.length > 3 ? ' 等' : '') + '。仅支持文档文件')
+					return
+				}
+				announce('文件处理失败：' + (lastErr !== '' ? lastErr : '全部文件不可用') + '（共 ' + docs.length + ' 个）')
+				return
+			}
+
+			let text = ''
+			if (inserted > 0) {
+				text = '已插入 ' + inserted + ' 个文件引用'
+				if (savedCount > 0) {
+					text += '（已保存 ' + savedCount + ' 个文件'
+					if (savedNames.length > 0) text += '：' + savedNames.slice(0, 3).join('、') + (savedNames.length > 3 ? ' 等' : '')
+					text += '）'
+				}
+				if (savedDir !== '') text += '，保存目录：' + savedDir
+			}
+			if (imagesAdded > 0) text += (text === '' ? '' : '，') + imagesAdded + ' 张图片已按原有方式添加'
+			if (skipped > 0) {
+				text += '（' + skipped + ' 个已跳过'
+				if (dirRejected.length > 0) text += '，不支持拖入目录：' + dirRejected.slice(0, 3).join('、') + (dirRejected.length > 3 ? ' 等' : '')
+				if (dirRejected.length < skipped) text += '，超 50MB、不可读或保存失败'
+				if (lastErr !== '') text += '；原因：' + lastErr
+				text += '）'
+			}
+			announce(text)
+		}
+
+		// document 级 drop（capture）：保证先于图片路径的 document 级 bubble 监听器执行
+		function onDrop(e) {
+			const dt = e.dataTransfer
+			if (!dt || !hasFiles(dt)) return
+			const files = Array.prototype.slice.call(dt.files)
+			if (files.length === 0) return
+			handleFilesEvent(e, files, dt.items, 'drop')
+		}
+
+		// document 级 paste（capture）：仅当粘贴目标就是 composer textarea 时接管文件；
+		// 纯文本（含目录路径字符串）完全原生，不改写。
+		function onPaste(e) {
+			const t = e.target
+			const ta = findComposerTextarea()
+			if (ta === null || t !== ta) return
+			const cd = e.clipboardData
+			if (cd === null || cd === void 0) return
+			const files = Array.prototype.slice.call(cd.files)
+			if (files.length > 0) {
+				handleFilesEvent(e, files, cd.items, 'paste')
+				return
+			}
+			// 纯文本：不干预，走原生行为
+		}
+
+		// shell.overlay 槽：frame-wide 浮动层（官方定位：badge / toast / status pill）。
+		// 通知在此渲染为底部浮动 toast，自动消失、点击穿透、不破坏布局。
+		function FaToast(props) {
+			const state = react.useState(null)
+			const text = state[0]
+			const setText = state[1]
+			react.useEffect(() => {
+				if (bridge.noticeText !== null) setText(bridge.noticeText)
+				bridge.noticeSub = setText
+				return () => { if (bridge.noticeSub === setText) bridge.noticeSub = null }
+			})
+			if (text === null || text === '') return null
+			return react.createElement('div', {
+				style: {
+					position: 'fixed',
+					bottom: '24px',
+					left: '50%',
+					transform: 'translateX(-50%)',
+					zIndex: 2000,
+					maxWidth: 'min(640px, calc(100vw - 48px))',
+					background: 'rgba(20, 24, 35, 0.92)',
+					color: '#f2f4f8',
+					padding: '10px 16px',
+					borderRadius: '10px',
+					fontSize: '13px',
+					lineHeight: '1.5',
+					boxShadow: '0 6px 24px rgba(0, 0, 0, 0.28)',
+					pointerEvents: 'none',
+				},
+			}, text)
+		}
+
+		// composer.dock 槽：仅同步桥（actions/input/sessionId/conversation），不渲染可见文本。
+		function FaBridge(props) {
+			const actions = props.inputActions !== void 0 ? props.inputActions : null
+			const input = props.input !== void 0 ? props.input : undefined
+			const sessionId = props.sessionId !== void 0 ? props.sessionId : ''
+			react.useEffect(() => {
+				bridge.actions = actions
+				bridge.input = input
+				bridge.sessionId = sessionId
+				bridge.mounted = true
+				return () => {
+					bridge.actions = null
+					bridge.input = undefined
+					bridge.sessionId = ''
+					bridge.mounted = false
+				}
+			})
+			return null
+		}
+
+		function apply(ctx) {
+			ctxRef = ctx
+			const slots = ctx.get('slots')
+			if (slots !== undefined) {
+				slots.inject('conversation.composer.dock', () => slots.register(
+					{ name: 'conversation.composer.dock', id: 'dsh-fileAttachment', order: 300 },
+					FaBridge
+				))
+				slots.inject('shell.overlay', () => slots.register(
+					{ name: 'shell.overlay', id: 'dsh-fileAttachment-toast', order: 100 },
+					FaToast
+				))
+			}
+			bridge.conversation = ctx.get('conversation')
+			// document 级 capture 监听：dragenter/drop/paste 都先于既有 bubble 监听器；随 Fiber 停止
+			ctx.effect(() => {
+				document.addEventListener('dragenter', onDragEnterCap, true)
+				document.addEventListener('drop', onDrop, true)
+				document.addEventListener('paste', onPaste, true)
+				return () => {
+					document.removeEventListener('dragenter', onDragEnterCap, true)
+					document.removeEventListener('drop', onDrop, true)
+					document.removeEventListener('paste', onPaste, true)
+				}
+			}, 'dsh-fileAttachment: document dragenter/drop/paste listeners')
+		}
+
+		exports.apply = apply
+		exports.inject = inject
+		return module.exports
+	}
+})

package/lib/index.js

@@ -0,0 +1,187 @@
+// @local/dsh-fileAttachment Host 半：webServer HTTP 路由方案（参考 dsh-upload-file 同架构）。
+// Client 半读取文件全文（base64）后 POST /dsh-fileAttachment/save 到这里，
+// 写入 <会话工作区根>/.dsh-fileAttachment/<时间戳>-<文件名> 并返回 { path, dir, name, size }。
+// 项目根解析：Client 传 sessionId → sessions.get(sessionId).header.cwd →
+// sandboxPolicy.workspaceRoot → process.cwd()（三平台绝对路径，Node path.join 自适应分隔符）。
+// 纯 ESM 无构建：不依赖 TypertRemoteService/装饰器，原生 Node 可直接加载。
+import { access, mkdir, writeFile } from 'node:fs/promises'
+import { join } from 'node:path'
+
+/** 本包声明依赖的 Host 服务。 */
+export const name = 'dsh-fileAttachment'
+export const inject = ['webServer']
+
+// 临时目录名：落在会话工作区根下；每个项目都能看到自己引用过的文档
+const ATTACHMENT_DIR = '.dsh-fileAttachment'
+// 单文件上限 50MB（与 Client 半一致）
+const MAX_BYTES = 50 * 1024 * 1024
+// 请求体上限：base64(50MB) + 信封余量
+const MAX_BODY_BYTES = 68 * 1024 * 1024
+// 文件名非法字符：路径分隔符、Windows 保留字符、控制字符
+const BAD_CHARS = /[/\\:*?"<>|\u0000-\u001f\u007f]/gu
+
+/** 时间戳前缀：2026-02-11T15-04-05（去冒号/毫秒/Z，各平台文件名安全且可排序）。 */
+function stamp() {
+  return new Date().toISOString().slice(0, 19).replace(/[:.]/gu, '-')
+}
+
+async function fileExists(target) {
+  try {
+    await access(target)
+    return true
+  } catch (err) {
+    return false
+  }
+}
+
+/** 解析项目根：会话 cwd → sandboxPolicy.workspaceRoot → process.cwd()。 */
+function projectRoot(ctx, sessionId) {
+  const sessions = typeof ctx.get === 'function' ? ctx.get('sessions') : undefined
+  if (sessions !== undefined && typeof sessions.get === 'function' && typeof sessionId === 'string' && sessionId !== '') {
+    try {
+      const sess = sessions.get(sessionId)
+      if (sess !== undefined && sess.header !== undefined && typeof sess.header.cwd === 'string' && sess.header.cwd !== '') {
+        return sess.header.cwd
+      }
+    } catch (err) { /* 回退下一来源 */ }
+  }
+  if (typeof ctx.get === 'function') {
+    const sp = ctx.get('sandboxPolicy')
+    if (sp !== undefined && typeof sp.workspaceRoot === 'string' && sp.workspaceRoot !== '') {
+      return sp.workspaceRoot
+    }
+  }
+  return process.cwd()
+}
+
+function json(res, payload, status = 200) {
+  const body = JSON.stringify(payload)
+  res.writeHead(status, { 'content-type': 'application/json; charset=utf-8', 'content-length': Buffer.byteLength(body) })
+  res.end(body)
+}
+
+/** 读取 JSON 请求体（带上限）。 */
+async function readJsonBody(req, maxBytes) {
+  let size = 0
+  let data = ''
+  const decoder = new TextDecoder('utf-8')
+  for await (const chunk of req) {
+    const buf = Buffer.isBuffer(chunk) ? chunk : Buffer.from(chunk)
+    size += buf.length
+    if (size > maxBytes) return null
+    data += decoder.decode(buf, { stream: true })
+  }
+  data += decoder.decode()
+  if (data === '') return null
+  try {
+    return JSON.parse(data)
+  } catch (err) {
+    return null
+  }
+}
+
+/** 严格 base64 解码（拒绝畸形输入）。 */
+function decodeBase64(encoded) {
+  if (typeof encoded !== 'string' || encoded === '') return undefined
+  if (encoded.length % 4 !== 0) return undefined
+  if (!/^[A-Za-z0-9+/]*={0,2}$/.test(encoded)) return undefined
+  const bytes = Buffer.from(encoded, 'base64')
+  return bytes
+}
+
+/** 清洗文件名：只取 last segment、去非法字符、空名 → file。 */
+function cleanName(raw) {
+  let s = raw === undefined || raw === null ? '' : String(raw)
+  while (s.length > 0) {
+    const c = s.charCodeAt(s.length - 1)
+    if (c === 47 || c === 92) s = s.slice(0, -1)
+    else break
+  }
+  let seg = ''
+  let cur = ''
+  for (let i = 0; i < s.length; i++) {
+    const c = s.charCodeAt(i)
+    if (c === 47 || c === 92) { if (cur !== '') { seg = cur; cur = '' } }
+    else cur += s.charAt(i)
+  }
+  if (cur !== '') seg = cur
+  const safe = seg.replace(BAD_CHARS, '_').trim() || 'file'
+  return safe
+}
+
+/**
+ * 保存一个上传文件并返回落盘信息。
+ * @param root - 项目根（会话工作区）。
+ * @param body - { name, data, sessionId }。
+ * @returns { path, dir, name, size }。
+ */
+async function handleSave(root, body) {
+  const name = body !== null && typeof body === 'object' ? body.name : undefined
+  const data = body !== null && typeof body === 'object' ? body.data : undefined
+  if (typeof data !== 'string' || data === '') throw new Error('data 必须是非空 base64 字符串')
+  const bytes = decodeBase64(data)
+  if (bytes === undefined) throw new Error('base64 内容非法')
+  if (bytes.length === 0) throw new Error('解码后内容为空')
+  if (bytes.length > MAX_BYTES) throw new Error('文件超过 ' + Math.round(MAX_BYTES / 1024 / 1024) + 'MB 上限')
+
+  const dir = join(root, ATTACHMENT_DIR)
+  await mkdir(dir, { recursive: true })
+  const safe = cleanName(name)
+  const t = stamp()
+  const dot = safe.lastIndexOf('.')
+  const stem = dot > 0 ? safe.slice(0, dot) : safe
+  const ext = dot > 0 ? safe.slice(dot) : ''
+  // 同一秒内重复保存同名文件时追加序号，避免覆盖
+  let target = join(dir, t + '-' + safe)
+  for (let i = 1; await fileExists(target); i += 1) {
+    target = join(dir, t + '-' + stem + '-' + i + ext)
+  }
+  await writeFile(target, bytes)
+  return { path: target, dir, name: t + '-' + safe, size: bytes.length }
+}
+
+/** 注册 /dsh-fileAttachment 前缀路由（save POST）。 */
+function registerRoutes(ctx) {
+  const webserver = ctx.get('webServer')
+  if (webserver === undefined) return
+  webserver.register({
+    kind: 'prefix',
+    path: '/dsh-fileAttachment',
+    handler: async (req, res) => {
+      const pathname = new URL(req.url ?? '/', 'http://x').pathname
+      if (req.method === 'POST' && pathname === '/dsh-fileAttachment/save') {
+        const body = await readJsonBody(req, MAX_BODY_BYTES)
+        if (body === null || typeof body !== 'object') {
+          json(res, { ok: false, error: '请求体必须是 JSON（68MB 内）' }, 400)
+          return
+        }
+        const sessionId = typeof body.sessionId === 'string' ? body.sessionId : ''
+        let root
+        try {
+          root = projectRoot(ctx, sessionId)
+        } catch (err) {
+          json(res, { ok: false, error: '无法解析项目根' }, 500)
+          return
+        }
+        try {
+          const value = await handleSave(root, body)
+          json(res, { ok: true, value })
+          return
+        } catch (err) {
+          const message = err && err.message ? err.message : '保存失败'
+          json(res, { ok: false, error: message }, 400)
+          return
+        }
+      }
+      json(res, { ok: false, error: 'only POST /dsh-fileAttachment/save is allowed' }, 405)
+    },
+  })
+}
+
+/**
+ * @param ctx - 宿主上下文（webServer 注入）。
+ */
+export function apply(ctx, config = {}) {
+  registerRoutes(ctx)
+  console.log('[dsh-fileAttachment] host loaded (webServer routes)')
+}

package/package.json

@@ -0,0 +1,39 @@
+{
+  "name": "@wszhoho/dsh-file-attachment",
+  "version": "0.1.0",
+  "description": "拖拽/粘贴文件进输入框：图片沿用原有草稿图片流程；文档读取内容存入项目根 .dsh-fileAttachment 临时目录并插入 @绝对路径引用",
+  "keywords": [
+    "dsh",
+    "plugin",
+    "file-attachment",
+    "upload",
+    "drag-drop"
+  ],
+  "type": "module",
+  "main": "lib/index.js",
+  "exports": {
+    ".": "./lib/index.js",
+    "./client": "./lib/client.js",
+    "./package.json": "./package.json"
+  },
+  "dsh": {
+    "bundle": {
+      "patch": "./cordis.patch.yml"
+    },
+    "client": {
+      "inject": [],
+      "platform": "web"
+    }
+  },
+  "files": [
+    "lib",
+    "cordis.patch.yml"
+  ],
+  "engines": {
+    "node": ">=18"
+  },
+  "publishConfig": {
+    "registry": "https://registry.npmjs.org/"
+  },
+  "license": "MIT"
+}