@yufengtadian/freedom-cli 1.12.16 → 1.12.18

package/templates/go/pkg/freedom/freedom.go

@@ -19,6 +19,7 @@ package freedom
 
 import (
 	"encoding/json"
+	"errors"
 	"fmt"
 	"sync"
 	"unsafe"
@@ -30,9 +31,10 @@ import (
 type TitleBarMode string
 
 const (
-	// TitleBarNative 保留系统原生标题栏（默认），标题栏图标与 exe 图标一致。
+	// TitleBarNative 保留系统原生标题栏，标题栏图标与 exe 图标一致。
 	TitleBarNative TitleBarMode = "native"
 	// TitleBarFrameless 完全无边框，客户区铺满整个窗口。
+	// 为框架默认策略（与 CLI 默认一致，见 M1）。
 	// 标题栏与系统原生最小化 / 最大化 / 关闭按钮均不存在，
 	// 需由前端自绘（通过 window.freedom.window.* 控制），三平台行为一致。
 	TitleBarFrameless TitleBarMode = "frameless"
@@ -42,7 +44,7 @@ const (
 type Config struct {
 	// Title 是窗口标题。
 	Title string
-	// TitleBar 指定标题栏策略（默认 TitleBarNative）。可通过 freedom CLI 一键切换。
+	// TitleBar 指定标题栏策略（默认 TitleBarFrameless，与 CLI 默认一致）。可通过 freedom CLI 一键切换。
 	TitleBar TitleBarMode
 	// Width / Height 是窗口初始尺寸（像素）。
 	Width  int
@@ -69,6 +71,7 @@ type App struct {
 	backend         Backend
 	backendExplicit bool // 调用方是否显式指定了后端（外部 config.json 不应覆盖显式绑定）
 	onReady         func(a *App)
+	secure          bool // high 安全模式：资源加密 + 反调试 + 强制关闭 devtools（loadRuntimeConfig 置位）
 }
 
 // New 创建并初始化一个 Freedom 应用。调用 Run() 之前不会显示窗口。
@@ -76,8 +79,11 @@ func New(cfg Config) *App {
 	if cfg.Title == "" {
 		cfg.Title = "Freedom App"
 	}
+	// M1：Go 侧默认与 CLI 默认（freedom.config.js / build.js 均默认 frameless）统一，
+	// 避免 resources/config.json 缺失时 Go 走 native 而模板前端自绘标题栏，
+	// 造成双标题栏错位。
 	if cfg.TitleBar == "" {
-		cfg.TitleBar = TitleBarNative
+		cfg.TitleBar = TitleBarFrameless
 	}
 	if cfg.Width <= 0 {
 		cfg.Width = 1024
@@ -148,9 +154,21 @@ func (a *App) Run() {
 	//（CLI build 时写入；缺失则使用编译期/默认配置）。
 	// 配置存在但非法时打印告警（不中断启动），避免用户手改配置出错时静默无感。
 	if err := a.loadRuntimeConfig(); err != nil {
+		// H2：high 安全模式资源解密/完整性校验失败必须"拒绝运行"——
+		// 不显示窗口、不回退占位页，防止资源被篡改/替换后静默降级运行。
+		var se *secureFatalError
+		if errors.As(err, &se) {
+			fmt.Printf("freedom: 安全模式资源校验失败，拒绝运行：%v\n", err)
+			return
+		}
 		fmt.Printf("freedom: warning: %v\n", err)
 	}
 
+	// high 安全模式：反调试检测（调试器下静默退出，防止逆向解密逻辑）。
+	if a.secure {
+		antiDebugCheck()
+	}
+
 	html, err := a.resolveHTML()
 	if err != nil {
 		fmt.Printf("freedom: failed to resolve HTML: %v\n", err)
@@ -218,11 +236,38 @@ func (a *App) Run() {
 		fmt.Printf("freedom: failed to bind window control: %v\n", err)
 		return
 	}
-
-	if a.onReady != nil {
-		a.onReady(a)
+	// 框架内置方法：原生系统能力（wails v3 对标层）。
+	// 支持方法：taskbar.*（进度/状态/角标）、window.backdrop/corner/borderColor、
+	// dialog.message/open/save。平台实现分文件：syscap_windows.go / syscap_other.go。
+	if err := w.Bind("__freedom_sys", a.sysCapCall); err != nil {
+		fmt.Printf("freedom: failed to bind sys capability: %v\n", err)
+		return
+	}
+	// 框架内置方法：系统托盘与原生菜单栏。
+	// 支持方法：tray.create/destroy/tooltip/menu、menu.set。
+	// 平台实现分文件：tray_windows.go / tray_other.go。
+	if err := w.Bind("__freedom_tray", a.trayCall); err != nil {
+		fmt.Printf("freedom: failed to bind tray: %v\n", err)
+		return
+	}
+	// 框架内置方法：页面就绪回调（H3）。前端 SDK 在 DOMContentLoaded 后调用，
+	// 保证 onReady 触发时页面已加载、监听器已注册；此前 onReady 在 SetHtml 前
+	// 触发，期间 Emit 的初始化事件因 window.freedom 尚未建立而丢失。
+	// 页面可能因导航/重载多次触发 DOMContentLoaded，用 once 兜底只执行一次。
+	var readyOnce sync.Once
+	if err := w.Bind("__freedom__ready", func() {
+		readyOnce.Do(func() {
+			if a.onReady != nil {
+				a.onReady(a)
+			}
+		})
+	}); err != nil {
+		fmt.Printf("freedom: failed to bind ready: %v\n", err)
+		return
 	}
 
+	// 注：onReady 不再在 SetHtml 前触发（H3），改由前端 SDK 在页面
+	// DOMContentLoaded 后经 __freedom__ready 回调，保证初始化事件不丢失。
 	w.SetHtml(html)
 	w.Run()
 }
@@ -301,16 +346,33 @@ func (a *App) WindowHandle() uintptr {
 
 // windowControl 处理前端 window.freedom.window.* 的窗口控制请求。
 // 具体实现按平台分文件：window_windows.go（Windows）/ window_other.go（macOS、Linux）。
-func (a *App) windowControl(action string) (interface{}, error) {
+func (a *App) windowControl(action string) (result interface{}, err error) {
+	// H1：windowControl 直接经 w.Bind 暴露给前端，不经 bridge 的 recover 兜底；
+	// 平台实现（如 appIcon → dibToPNG 解析越界）一旦 panic 会直接崩掉整个壳进程。
+	// 这里统一加 recover，把 panic 转成错误回传前端（页面 catch 后提示，进程不崩）。
+	defer func() {
+		if r := recover(); r != nil {
+			result = nil
+			err = fmt.Errorf("freedom: window action %q panicked: %v", action, r)
+		}
+	}()
 	return windowControl(a, action)
 }
 
 // resolveHTML 依据配置返回页面内容。
 // 优先级：exe 同目录 resources/index.html（预编译通用壳，CLI build 写入）> cfg.HTML > 内置占位页。
 func (a *App) resolveHTML() (string, error) {
-	if html, err := loadRuntimeHTML(); err == nil && html != "" {
+	html, err := loadRuntimeHTML()
+	if err == nil && html != "" {
 		return html, nil
 	}
+	// H2 双保险：high 安全模式资源解密/完整性校验失败时禁止回退占位页（拒绝运行）。
+	// 正常路径下 Run 已在 loadRuntimeConfig 捕获 secureFatalError 并提前 return，
+	// 此处防御未来调用顺序调整导致的静默降级。
+	var se *secureFatalError
+	if errors.As(err, &se) {
+		return "", err
+	}
 	if a.cfg.HTML != nil {
 		return a.cfg.HTML()
 	}

package/templates/go/pkg/freedom/security.go

@@ -0,0 +1,227 @@
+package freedom
+
+// security.go — 安全加固：high 模式资源加密与完整性校验。
+//
+// 与 lib/security.js 跨语言同步（改任一侧必须同步另一侧，否则无法解密）：
+//   - securityMasterKey / securityDeriveSalt / securityPbkdf2Iter / securityKeyLen
+//   - securityMagic / securityIVLen / securityTagLen（app.bin 容器头格式）
+//   - 派生算法：PBKDF2-HMAC-SHA256（RFC 2898），salt = "freedom:derive:v1:" + 应用标识
+//   - 应用标识 = exe 文件名去扩展名（CLI build 时的 name 与运行时 os.Executable() 一致）
+//
+// 加密算法说明：AES-256-CTR + HMAC-SHA256（Encrypt-then-MAC），
+// 与 Node crypto 的 aes-256-ctr + createHmac('sha256') 跨语言一致。
+// （不采用 GCM：在当前 Windows 环境的 Go 标准库 GCM/GHASH 存在确定性认证失败问题，
+//   经最小复现确认与缓存/CPU 指令无关；CTR+HMAC 语义等价且规避该问题。）
+//
+// high 模式产物布局（CLI build 写入，与明文模式互斥）：
+//   resources/app.bin     加密容器：magic(5B FRDM1)+iv(16B)+tag(16B)+ciphertext
+//                         解密载荷 JSON：{"html": <string>, "config": <string>}
+//   resources/.integrity  HMAC-SHA256 完整性清单（app.bin + backend/**）
+// 壳启动时在内存解密，磁盘无明文；exe 被重命名/资源被篡改 → 解密失败即拒绝运行。
+
+import (
+	"crypto/aes"
+	"crypto/cipher"
+	"crypto/hmac"
+	"crypto/sha256"
+	"encoding/binary"
+	"encoding/hex"
+	"encoding/json"
+	"errors"
+	"fmt"
+	"os"
+	"path/filepath"
+	"strings"
+)
+
+// ---- 与 lib/security.js 同步的派生与容器参数 ----
+const (
+	securityMasterKey  = "freedom-shell::kdf-master::v1::7f4e8c2a9b1d6e3f"
+	securityDeriveSalt = "freedom:derive:v1"
+	securityPbkdf2Iter = 60000
+	securityKeyLen     = 32
+	securityMagic      = "FRDM1"
+	securityIVLen      = 16 // AES-CTR 计数器长度 = AES 块大小
+	securityTagLen     = 16 // HMAC-SHA256 截断为 16 字节
+)
+
+// securePayload 是 app.bin 解密后的载荷（与 JS 侧加密载荷结构一致）。
+type securePayload struct {
+	HTML   string `json:"html"`
+	Config string `json:"config"`
+}
+
+// integrityFile 是 resources/.integrity 的磁盘结构（CLI build 生成）。
+type integrityFile struct {
+	V       int               `json:"v"`
+	AppBin  string            `json:"appBin"`
+	Backend map[string]string `json:"backend"`
+}
+
+// pbkdf2HMACSHA256 自实现 PBKDF2-HMAC-SHA256（RFC 2898），
+// 与 Node 的 crypto.pbkdf2Sync(password, salt, iter, keyLen, 'sha256') 结果一致。
+// 不引入 golang.org/x/crypto（go.mod 为 go 1.22，标准库未含 PBKDF2）。
+func pbkdf2HMACSHA256(password, salt []byte, iter, keyLen int) []byte {
+	hLen := sha256.Size
+	numBlocks := (keyLen + hLen - 1) / hLen
+	var dk []byte
+	for block := 1; block <= numBlocks; block++ {
+		mac := hmac.New(sha256.New, password)
+		mac.Write(salt)
+		var b [4]byte
+		binary.BigEndian.PutUint32(b[:], uint32(block))
+		mac.Write(b[:])
+		u := mac.Sum(nil)
+		t := make([]byte, len(u))
+		copy(t, u)
+		for i := 1; i < iter; i++ {
+			mac = hmac.New(sha256.New, password)
+			mac.Write(u)
+			u = mac.Sum(nil)
+			for j := range t {
+				t[j] ^= u[j]
+			}
+		}
+		dk = append(dk, t...)
+	}
+	return dk[:keyLen]
+}
+
+// appIdentityName 返回应用标识：exe 文件名去扩展名（.exe / .app）。
+func appIdentityName(name string) string {
+	s := strings.TrimSuffix(name, ".exe")
+	s = strings.TrimSuffix(s, ".app")
+	return s
+}
+
+// appIdentity 返回运行时应用标识（当前进程 exe 文件名去扩展名）。
+func appIdentity() (string, error) {
+	exe, err := os.Executable()
+	if err != nil {
+		return "", err
+	}
+	return appIdentityName(filepath.Base(exe)), nil
+}
+
+// deriveSecurityKey 派生 high 模式加密密钥（AES-256-CTR + HMAC-SHA256 共用同一 32B 密钥）。
+// salt 引入应用标识，使不同应用密钥不同；PBKDF2 迭代增加暴力破解成本。
+func deriveSecurityKey(appName string) []byte {
+	salt := []byte(securityDeriveSalt + ":" + appIdentityName(appName))
+	return pbkdf2HMACSHA256([]byte(securityMasterKey), salt, securityPbkdf2Iter, securityKeyLen)
+}
+
+// decryptAppBin 解密 resources/app.bin，返回载荷。
+// 先恒定时间校验 HMAC 认证标签（Encrypt-then-MAC），再 AES-256-CTR 解密。
+// 解密失败（exe 被重命名 / 资源被篡改 / 密钥不匹配）时返回错误。
+func decryptAppBin(appName string, data []byte) (*securePayload, error) {
+	if len(data) < len(securityMagic)+securityIVLen+securityTagLen {
+		return nil, errors.New("app.bin too short")
+	}
+	if string(data[:len(securityMagic)]) != securityMagic {
+		return nil, errors.New("app.bin bad magic")
+	}
+	off := len(securityMagic)
+	iv := data[off : off+securityIVLen]
+	off += securityIVLen
+	tag := data[off : off+securityTagLen]
+	off += securityTagLen
+	ct := data[off:]
+
+	key := deriveSecurityKey(appName)
+
+	// 1) 认证：HMAC-SHA256(ct) 前 16 字节，与容器头 tag 恒定时间比对。
+	mac := hmac.New(sha256.New, key)
+	mac.Write(ct)
+	if !hmac.Equal(tag, mac.Sum(nil)[:securityTagLen]) {
+		return nil, errors.New("app.bin 解密失败（exe 被重命名或资源被篡改？）：认证失败")
+	}
+
+	// 2) 解密：AES-256-CTR。
+	block, err := aes.NewCipher(key)
+	if err != nil {
+		return nil, err
+	}
+	stream := cipher.NewCTR(block, iv)
+	plain := make([]byte, len(ct))
+	stream.XORKeyStream(plain, ct)
+
+	var p securePayload
+	if err := json.Unmarshal(plain, &p); err != nil {
+		return nil, fmt.Errorf("app.bin 载荷无效：%w", err)
+	}
+	return &p, nil
+}
+
+// verifyIntegrity 校验 resources/.integrity 清单（存在时）。
+// 比对 app.bin 与 backend/** 各文件 HMAC-SHA256，防整体替换/篡改。
+// 无 .integrity 文件（CLI 旧版产物）时跳过，保持向后兼容。
+func verifyIntegrity(dir, appName string, appBin []byte) error {
+	raw, err := os.ReadFile(filepath.Join(dir, ".integrity"))
+	if err != nil {
+		if errors.Is(err, os.ErrNotExist) {
+			return nil
+		}
+		return err
+	}
+	var f integrityFile
+	if err := json.Unmarshal(raw, &f); err != nil {
+		return fmt.Errorf(".integrity 无效：%w", err)
+	}
+	key := deriveSecurityKey(appName)
+	if f.AppBin != "" {
+		mac := hmac.New(sha256.New, key)
+		mac.Write(appBin)
+		want, err := hex.DecodeString(f.AppBin)
+		if err != nil {
+			return fmt.Errorf(".integrity appBin 校验值非法：%w", err)
+		}
+		if !hmac.Equal(want, mac.Sum(nil)) {
+			return errors.New(".integrity 校验失败：resources/app.bin 被篡改")
+		}
+	}
+	for rel, wantHex := range f.Backend {
+		b, err := os.ReadFile(filepath.Join(dir, filepath.FromSlash(rel)))
+		if err != nil {
+			return fmt.Errorf(".integrity 校验失败：backend 文件缺失 %s：%w", rel, err)
+		}
+		mac := hmac.New(sha256.New, key)
+		mac.Write(b)
+		want, err := hex.DecodeString(wantHex)
+		if err != nil {
+			return fmt.Errorf(".integrity backend[%s] 校验值非法：%w", rel, err)
+		}
+		if !hmac.Equal(want, mac.Sum(nil)) {
+			return fmt.Errorf(".integrity 校验失败：backend 文件 %s 被篡改", rel)
+		}
+	}
+	return nil
+}
+
+// loadSecureResources 尝试加载 high 模式加密资源。
+// 返回 (载荷, 是否命中, 错误)：resources/app.bin 不存在时命中=false（非 high 产物），
+// 命中但解密/校验失败时返回错误（拒绝静默回退明文，避免降级攻击）。
+func loadSecureResources() (*securePayload, bool, error) {
+	dir, err := resourcesDir()
+	if err != nil {
+		return nil, false, err
+	}
+	data, err := os.ReadFile(filepath.Join(dir, "app.bin"))
+	if err != nil {
+		if errors.Is(err, os.ErrNotExist) {
+			return nil, false, nil
+		}
+		return nil, false, err
+	}
+	name, err := appIdentity()
+	if err != nil {
+		return nil, false, err
+	}
+	if err := verifyIntegrity(dir, name, data); err != nil {
+		return nil, false, err
+	}
+	p, err := decryptAppBin(name, data)
+	if err != nil {
+		return nil, false, err
+	}
+	return p, true, nil
+}

package/templates/go/pkg/freedom/security_test.go

@@ -0,0 +1,153 @@
+package freedom
+
+import (
+	"bytes"
+	"crypto/aes"
+	"crypto/cipher"
+	"crypto/hmac"
+	"crypto/sha256"
+	"encoding/hex"
+	"os"
+	"path/filepath"
+	"testing"
+)
+
+// 跨语言一致性：deriveSecurityKey 的期望值由 Node crypto.pbkdf2Sync 生成
+// （见 lib/security.js 测试 / 开发时用 node -e 复算）。两侧必须一致，
+// 否则 CLI high 模式 build 的加密资源壳无法解密。
+var deriveExpect = map[string]string{
+	"demo":       "87186aa64360bdecb9d87f3bc78c20afabc04ff99abbf04b202d5ead7aea9484",
+	"myapp.exe":  "853b7b028120502eaefae453e05f36df7e4d2948e3d6766272a6965e0401675d",
+	"HelloApp":   "30255eaff0c089efdcb22736ae255a98f5a2bb8e3c00741440102811e1345f9a",
+	"HelloApp.app": "30255eaff0c089efdcb22736ae255a98f5a2bb8e3c00741440102811e1345f9a",
+}
+
+func TestDeriveKeyMatchesNode(t *testing.T) {
+	for name, wantHex := range deriveExpect {
+		got := hex.EncodeToString(deriveSecurityKey(name))
+		if got != wantHex {
+			t.Errorf("deriveSecurityKey(%q) = %s, want %s", name, got, wantHex)
+		}
+	}
+}
+
+func TestAppIdentityName(t *testing.T) {
+	cases := map[string]string{
+		"demo":         "demo",
+		"myapp.exe":    "myapp",
+		"HelloApp.app": "HelloApp",
+		// 与 lib/security.js appIdentityFor 正则语义一致：仅去除最后一个 .exe/.app 后缀
+		"app.exe.app": "app.exe",
+	}
+	for in, want := range cases {
+		if got := appIdentityName(in); got != want {
+			t.Errorf("appIdentityName(%q) = %q, want %q", in, got, want)
+		}
+	}
+}
+
+func TestPBKDF2RFCVector(t *testing.T) {
+	// RFC 6070 向量：PBKDF2-HMAC-SHA1("password", "salt", 1, 20)
+	// 我们实现的 PRF 是 SHA256，此处验证实现不 panic 且长度正确 + 与 SHA256 自我一致。
+	dk := pbkdf2HMACSHA256([]byte("password"), []byte("salt"), 4096, 32)
+	if len(dk) != 32 {
+		t.Fatalf("pbkdf2 len = %d, want 32", len(dk))
+	}
+	// 确定性：同参重复调用结果一致
+	dk2 := pbkdf2HMACSHA256([]byte("password"), []byte("salt"), 4096, 32)
+	if !bytes.Equal(dk, dk2) {
+		t.Fatal("pbkdf2 not deterministic")
+	}
+}
+
+func TestDecryptAppBinRoundtrip(t *testing.T) {
+	payload := []byte(`{"html":"<html>hello</html>","config":"{\"title\":\"demo\"}"}`)
+	name := "demo"
+	key := deriveSecurityKey(name)
+
+	// 用标准 AES-GCM 加密构造 app.bin（模拟 CLI build 产物）
+	data, err := encryptForTest(name, payload)
+	if err != nil {
+		t.Fatalf("encryptForTest: %v", err)
+	}
+	p, err := decryptAppBin(name, data)
+	if err != nil {
+		t.Fatalf("decryptAppBin: %v", err)
+	}
+	if p.HTML != "<html>hello</html>" || p.Config != "{\"title\":\"demo\"}" {
+		t.Fatalf("roundtrip mismatch: %+v", p)
+	}
+	_ = key
+
+	// 篡改测试：改动密文任一位 → 解密失败（HMAC 认证标签校验）
+	bad := append([]byte(nil), data...)
+	bad[len(bad)-1] ^= 0x01
+	if _, err := decryptAppBin(name, bad); err == nil {
+		t.Fatal("tampered ciphertext should fail")
+	}
+}
+
+func TestDecryptAppBinWrongName(t *testing.T) {
+	payload := []byte(`{"html":"x","config":"{}"}`)
+	data, err := encryptForTest("demo", payload)
+	if err != nil {
+		t.Fatalf("encryptForTest: %v", err)
+	}
+	// 用错误应用名（相当于 exe 被重命名）解密 → 必须失败
+	if _, err := decryptAppBin("other", data); err == nil {
+		t.Fatal("decrypt with wrong app name should fail")
+	}
+}
+
+func TestVerifyIntegrity(t *testing.T) {
+	dir := t.TempDir()
+	name := "demo"
+	appBin := []byte("FRDM1-fake-bin-content")
+	key := deriveSecurityKey(name)
+	mac := hmac.New(sha256.New, key)
+	mac.Write(appBin)
+	want := hex.EncodeToString(mac.Sum(nil))
+
+	// 正常：匹配
+	good := `{"v":1,"appBin":"` + want + `","backend":{}}`
+	if err := os.WriteFile(filepath.Join(dir, ".integrity"), []byte(good), 0o644); err != nil {
+		t.Fatal(err)
+	}
+	if err := verifyIntegrity(dir, name, appBin); err != nil {
+		t.Fatalf("verifyIntegrity should pass: %v", err)
+	}
+
+	// 篡改：app.bin 内容变化 → 校验失败
+	if err := verifyIntegrity(dir, name, append(appBin, 0x00)); err == nil {
+		t.Fatal("tampered appBin should fail integrity")
+	}
+
+	// 无 .integrity → 跳过（向后兼容）
+	dir2 := t.TempDir()
+	if err := verifyIntegrity(dir2, name, appBin); err != nil {
+		t.Fatalf("missing .integrity should pass: %v", err)
+	}
+}
+
+// ---- 测试辅助 ----
+
+// encryptForTest 用与 CLI lib/security.js 相同的容器格式加密载荷（供壳单测使用）。
+// 算法与正式流程一致：AES-256-CTR 加密 → HMAC-SHA256(密文) 截 16B 认证标签。
+func encryptForTest(name string, plain []byte) ([]byte, error) {
+	key := deriveSecurityKey(name)
+	block, err := aes.NewCipher(key)
+	if err != nil {
+		return nil, err
+	}
+	iv := make([]byte, securityIVLen) // 固定 iv 便于确定性（仅测试）
+	stream := cipher.NewCTR(block, iv)
+	ct := make([]byte, len(plain))
+	stream.XORKeyStream(ct, plain)
+	mac := hmac.New(sha256.New, key)
+	mac.Write(ct)
+	tag := mac.Sum(nil)[:securityTagLen]
+	out := append([]byte(securityMagic), iv...)
+	out = append(out, tag...)
+	out = append(out, ct...)
+	return out, nil
+}

package/templates/go/pkg/freedom/syscap_other.go

@@ -0,0 +1,10 @@
+//go:build !windows
+
+package freedom
+
+import "fmt"
+
+// sysCapCall 非 Windows 平台暂不提供系统能力（任务栏/窗口效果/对话框）。
+func (a *App) sysCapCall(method string, paramsJSON string) (interface{}, error) {
+	return nil, fmt.Errorf("freedom: sys method %q is not supported on this platform", method)
+}