@xcanwin/manyoyo 8.3.3 → 8.5.0

package/lib/container-exec.js

@@ -0,0 +1,132 @@
+'use strict';
+
+const fs = require('fs');
+const os = require('os');
+const path = require('path');
+const crypto = require('crypto');
+const state = require('./container-state');
+
+const ID_LABEL = 'manyoyo.id';
+
+/**
+ * 读容器的 manyoyo.id 标签；没有标签（旧容器）或容器不存在返回 ''。
+ * @param {(args: string[], options?: object) => string} dockerExecArgs
+ */
+function resolveContainerId(dockerExecArgs, containerName) {
+    try {
+        const out = String(dockerExecArgs(
+            ['inspect', '-f', `{{index .Config.Labels "${ID_LABEL}"}}`, containerName],
+            { stdio: 'pipe' }
+        ) || '').trim();
+        return state.isValidId(out) ? out : '';
+    } catch (e) {
+        return '';
+    }
+}
+
+// managed.env 在只读挂载的 sys/ 里（容器改不了）；box/env 是容器可写的，按不可信输入读取（见 container-state.js）
+function readTextOrEmpty(file, untrusted = false) {
+    if (untrusted) return state.readBoxText(file, state.MAX_ENV_BYTES).text;
+    try {
+        return fs.readFileSync(file, 'utf-8');
+    } catch (e) {
+        return '';
+    }
+}
+
+/**
+ * 合成一次 exec 的 env 行：managed → 用户 env（box/env）→ extra，后者覆盖前者，非法行一律丢弃。
+ * podman 对非法行（1BAD=x、含空格的 key）会原样传进容器，所以必须由宿主机先过滤。
+ * @returns {{lines: string[], invalid: object[]}}
+ */
+function composeEnvLines(managedText, boxText, extraLines = [], fileEntries = []) {
+    const merged = new Map();
+    const invalid = [];
+    const take = (text, source) => {
+        const parsed = state.parseEnvText(text);
+        parsed.entries.forEach(entry => merged.set(entry.key, entry.value));
+        parsed.invalid.forEach(item => invalid.push({ ...item, source }));
+    };
+    take(managedText, 'managed');
+    // 环境变量文件（已解析、已校验的条目）排在 managed 之后、box/env 之前：表格里的变量优先于文件
+    (fileEntries || []).forEach(entry => merged.set(entry.key, entry.value));
+    take(boxText, 'box');
+    // extra 是命令行 / 配置里已经成形的 KEY=VALUE（值是字面量，不再做去引号）
+    (extraLines || []).forEach(line => {
+        const i = String(line).indexOf('=');
+        if (i > 0 && state.ENV_KEY_RE.test(line.slice(0, i))) merged.set(line.slice(0, i), line.slice(i + 1));
+        else invalid.push({ line: 0, text: String(line), reason: '缺少 KEY=VALUE', source: 'extra' });
+    });
+    // 写给 docker / podman 的 --env-file：值是字面量（它们不处理引号），所以这里一律原样输出
+    return { lines: [...merged].map(([key, value]) => `${key}=${value}`), invalid };
+}
+
+function writeTempEnvFile(homeDir, lines) {
+    const dir = path.join(homeDir, '.manyoyo', 'tmp');
+    fs.mkdirSync(dir, { recursive: true, mode: 0o700 });
+    fs.chmodSync(dir, 0o700);
+    const file = path.join(dir, `exec-${process.pid}-${crypto.randomBytes(4).toString('hex')}`);
+    fs.writeFileSync(file, `${lines.join('\n')}\n`, { mode: 0o600, flag: 'wx' });
+    return file;
+}
+
+/**
+ * 所有进入用户容器的 `exec` 都经这里构造参数（Agent、终端、CLI 命令、first 预执行）。
+ * 用户 env 与 manyoyo 注入的 env 放在宿主机文件里，每次 exec 现读，所以改了下一条命令就生效；
+ * 值通过 0600 临时 env 文件传入，不出现在 ps 里；调用方必须在子进程启动后（或结束时）调 cleanup()。
+ *
+ * @param {{homeDir?: string, dockerExecArgs: Function}} ctx
+ * @param {string} containerName
+ * @param {object} options
+ * @param {boolean} [options.interactive] -i
+ * @param {boolean} [options.tty] -t
+ * @param {string} [options.user]
+ * @param {string[]} [options.envs] 非敏感的 KEY=VALUE（TERM 等），以 --env 传入
+ * @param {string[]} [options.extraEnv] 敏感/用户 KEY=VALUE（first.env），进临时文件，优先级最高
+ * @param {boolean} [options.withEnv=true] false 时不加载用户/managed env（读文件等与环境无关的 exec）
+ * @param {string[]} options.command 容器内要运行的命令与参数
+ * @returns {{args: string[], cleanup: () => void, invalid: object[], containerId: string}}
+ */
+function buildExecArgs(ctx, containerName, options = {}) {
+    const homeDir = ctx.homeDir || os.homedir();
+    const withEnv = options.withEnv !== false;
+    const args = ['exec'];
+    if (options.interactive) args.push('-i');
+    if (options.tty) args.push('-t');
+    if (options.user) args.push('--user', options.user);
+
+    let containerId = '';
+    let lines = [];
+    let invalid = [];
+    const extra = options.extraEnv || [];
+    if (withEnv) {
+        containerId = resolveContainerId(ctx.dockerExecArgs, containerName);
+        if (containerId && state.stateExists(homeDir, containerId)) {
+            const p = state.paths(homeDir, containerId);
+            ({ lines, invalid } = composeEnvLines(readTextOrEmpty(p.managedEnv), readTextOrEmpty(p.env, true), extra, state.envFileEntries(homeDir, containerId)));
+        } else {
+            containerId = '';
+            ({ lines, invalid } = composeEnvLines('', '', extra));
+        }
+    } else if (extra.length) {
+        ({ lines, invalid } = composeEnvLines('', '', extra));
+    }
+
+    let envFile = '';
+    if (lines.length) {
+        envFile = writeTempEnvFile(homeDir, lines);
+        args.push('--env-file', envFile);
+    }
+    (options.envs || []).forEach(entry => args.push('--env', entry));
+    args.push(containerName, ...(options.command || []));
+
+    let cleaned = false;
+    const cleanup = () => {
+        if (cleaned || !envFile) return;
+        cleaned = true;
+        try { fs.rmSync(envFile, { force: true }); } catch (e) { /* 尽力清理 */ }
+    };
+    return { args, cleanup, invalid, containerId };
+}
+
+module.exports = { ID_LABEL, resolveContainerId, composeEnvLines, buildExecArgs };

package/lib/container-id.js

@@ -0,0 +1,11 @@
+'use strict';
+
+// 容器 id：随机 16 位十六进制，状态目录、过滤代理的映射与拒绝记录都按它索引。
+// 单独成文件：过滤代理 sidecar 里只带得动这几个无依赖的小文件。
+const ID_RE = /^[0-9a-f]{16}$/;
+
+function isValidId(id) {
+    return typeof id === 'string' && ID_RE.test(id);
+}
+
+module.exports = { ID_RE, isValidId };

package/lib/container-init.sh

@@ -0,0 +1,40 @@
+#!/bin/bash
+# manyoyo 容器 PID 1：回收僵尸、响应 SIGTERM、在（网络规则就绪后）运行自启动脚本。
+# 由宿主机以只读目录挂到 /run/manyoyo-sys/，容器内不可改。
+BOX=/run/manyoyo
+SYS=/run/manyoyo-sys
+GATE=/run/manyoyo-gate
+LOG="$BOX/autostart.log"
+
+log() { printf '%s %s\n' "$(date '+%F %T')" "$*" >> "$LOG" 2>/dev/null; }
+
+trap 'kill -TERM -1 2>/dev/null; exit 0' TERM INT
+
+. "$SYS/env.sh"
+
+# 日志超过 256 KiB 时只保留尾部 128 KiB
+if [ -f "$LOG" ] && [ "$(stat -c %s "$LOG" 2>/dev/null || echo 0)" -gt 262144 ]; then
+    tail -c 131072 "$LOG" > "$LOG.tmp" 2>/dev/null && mv -f "$LOG.tmp" "$LOG"
+fi
+
+run_autostart() {
+    if [ -e "$SYS/net-required" ]; then
+        log "等待 manyoyo 下发网络规则"
+        while [ ! -e "$GATE/ready" ]; do sleep 0.5; done
+        log "网络规则已就绪"
+    fi
+    if [ ! -s "$BOX/autostart.sh" ]; then
+        log "没有自启动命令"
+        exit 0
+    fi
+    load_env "$SYS/managed.env"
+    load_env "$SYS/files.env"
+    load_env "$BOX/env"
+    log "开始运行自启动脚本"
+    /bin/bash "$BOX/autostart.sh" >> "$LOG" 2>&1
+    log "自启动脚本退出，退出码 $?"
+}
+
+setsid bash -c "$(declare -f log load_env run_autostart); BOX=$BOX SYS=$SYS GATE=$GATE LOG=$LOG; run_autostart" >/dev/null 2>&1 &
+
+while :; do sleep 3600 & wait $!; done

package/lib/container-manage-options.js

@@ -0,0 +1,35 @@
+'use strict';
+
+const { normalizePolicy, defaultPolicy } = require('./network-policy');
+
+const MAX_AUTOSTART_BYTES = 256 * 1024;
+
+function isPlainObject(value) {
+    return value && typeof value === 'object' && !Array.isArray(value);
+}
+
+function firstDefined(...values) {
+    return values.find(value => value !== undefined && value !== null);
+}
+
+/**
+ * 新建容器时的自启动与网络：命令行 / Web 请求 > runs.<name> > 全局配置，标量与对象都是整体覆盖。
+ * 字段：`autostart`（脚本文本）、`autostartOnServe`（serve 启动时自动拉起）、`network`（策略，见 lib/network-policy.js）。
+ * @returns {{autostart: string, network: object, fromRequest: boolean}} network 已校验，autostartOnServe 并进 network
+ */
+function resolveManageOptions({ requestOptions = {}, runConfig = {}, globalConfig = {} } = {}) {
+    const layers = [requestOptions, runConfig, globalConfig];
+    const autostart = firstDefined(...layers.map(l => l.autostart));
+    if (autostart !== undefined && typeof autostart !== 'string') throw new Error('autostart 必须是字符串（脚本文本）');
+    if (typeof autostart === 'string' && Buffer.byteLength(autostart) > MAX_AUTOSTART_BYTES) throw new Error('autostart 脚本过大');
+    const network = firstDefined(...layers.map(l => l.network));
+    if (network !== undefined && !isPlainObject(network)) throw new Error('network 必须是对象');
+    const onServe = firstDefined(...layers.map(l => l.autostartOnServe));
+    const policy = normalizePolicy({
+        ...(network || defaultPolicy()),
+        autostartOnServe: onServe === undefined ? (network && network.autostartOnServe) : onServe === true
+    });
+    return { autostart: autostart || '', network: policy, fromRequest: requestOptions.network !== undefined };
+}
+
+module.exports = { resolveManageOptions, MAX_AUTOSTART_BYTES };