@yufengtadian/freedom-cli 1.13.0 → 1.13.2

package/templates/desktop/backend/desktop.mjs

@@ -0,0 +1,317 @@
+// Freedom Desktop 后端（零依赖 Node，NDJSON over stdio 进程后端）。
+//
+// 职责：把 freedom CLI 的能力包成界面可调用的方法。所有实际操作都经"子进程调用 CLI"完成，
+// 而不是 require 内部模块——这样界面走的正是用户手册里那条命令路径，CLI 升级即界面升级，
+// 且子进程输出不会污染本进程与壳之间的 NDJSON 协议通道（日志改经 event 帧转发）。
+//
+// 协议：入 {id, method, params:[...]}；出 {id, result, error}；推送 {event, data}。
+// 日志：每次调用先回 {event:'call', data:{id, label}}，再逐行 {event:'log', data:{id, line}}。
+
+import readline from 'node:readline';
+import fs from 'node:fs';
+import os from 'node:os';
+import path from 'node:path';
+import { spawn } from 'node:child_process';
+import { fileURLToPath } from 'node:url';
+
+const __dirname = path.dirname(fileURLToPath(import.meta.url));
+
+function write(msg) {
+  process.stdout.write(JSON.stringify(msg) + '\n');
+}
+
+// ---- CLI 定位：优先 cli-entry.json（freedom desktop 打包时写入），再退到环境变量 ----
+function cliEntry() {
+  const candidates = [];
+  try {
+    const meta = JSON.parse(fs.readFileSync(path.join(__dirname, 'cli-entry.json'), 'utf8'));
+    if (meta && meta.entry) candidates.push(meta.entry);
+  } catch { /* 缺文件走后续回退 */ }
+  if (process.env.FREEDOM_CLI_ENTRY) candidates.push(process.env.FREEDOM_CLI_ENTRY);
+  for (const c of candidates) {
+    if (c && fs.existsSync(c)) return c;
+  }
+  return null;
+}
+
+// 子进程跑 CLI：逐行转发输出，返回 {code, lines}。
+function runCli(args, cwd) {
+  return new Promise((resolve) => {
+    const entry = cliEntry();
+    const id = args.join(' ');
+    if (!entry) {
+      write({ event: 'log', data: { id, line: '未找到 freedom CLI 入口（cli-entry.json 缺失），请重新运行 freedom desktop。' } });
+      return resolve({ code: 1, lines: [] });
+    }
+    const child = spawn(process.execPath, [entry, ...args], {
+      cwd: cwd || os.homedir(),
+      env: { ...process.env, FREEDOM_AUTO_UPDATE: '0', NO_COLOR: '1', FORCE_COLOR: '0' },
+      shell: false,
+    });
+    const lines = [];
+    let buf = '';
+    const onData = (chunk) => {
+      buf += String(chunk);
+      let i;
+      while ((i = buf.indexOf('\n')) >= 0) {
+        const line = buf.slice(0, i).replace(/\r$/, '');
+        buf = buf.slice(i + 1);
+        if (!line) continue;
+        lines.push(line);
+        write({ event: 'log', data: { id, line } });
+      }
+    };
+    child.stdout.on('data', onData);
+    child.stderr.on('data', onData);
+    child.on('exit', (code) => {
+      if (buf) { lines.push(buf); write({ event: 'log', data: { id, line: buf } }); }
+      resolve({ code: code === null ? -1 : code, lines });
+    });
+    child.on('error', (err) => {
+      write({ event: 'log', data: { id, line: `启动 CLI 失败：${err.message}` } });
+      resolve({ code: 1, lines: [] });
+    });
+  });
+}
+
+// ---- 最近项目状态（存 ~/.freedom/desktop-state.json） ----
+function statePath() {
+  return path.join(os.homedir(), '.freedom', 'desktop-state.json');
+}
+function readState() {
+  try {
+    const s = JSON.parse(fs.readFileSync(statePath(), 'utf8'));
+    if (Array.isArray(s.recent)) return s;
+  } catch { /* 首次运行无状态文件 */ }
+  return { recent: [], current: null };
+}
+function writeState(s) {
+  fs.mkdirSync(path.dirname(statePath()), { recursive: true });
+  fs.writeFileSync(statePath(), JSON.stringify(s, null, 2), 'utf8');
+}
+function isProject(dir) {
+  return !!(dir && fs.existsSync(path.join(dir, 'freedom.config.js')));
+}
+
+let devChild = null;
+function stopDev() {
+  if (!devChild) return false;
+  const c = devChild;
+  devChild = null;
+  try {
+    if (process.platform === 'win32') spawn('taskkill', ['/pid', String(c.pid), '/T', '/F'], { stdio: 'ignore' });
+    else c.kill('SIGTERM');
+  } catch { /* 已退出 */ }
+  return true;
+}
+
+const api = {
+  async 'app.info'() {
+    const entry = cliEntry();
+    const pkg = entry ? (() => { try { return JSON.parse(fs.readFileSync(path.join(path.dirname(entry), '..', 'package.json'), 'utf8')); } catch { return {}; } })() : {};
+    return {
+      cliEntry: entry,
+      cliVersion: pkg.version || null,
+      platform: `${process.platform}-${process.arch}`,
+      nodeVersion: process.version,
+      home: os.homedir(),
+      desktopDir: process.env.FREEDOM_DESKTOP_DIR || null,
+      hasConfig: !!isProject(process.cwd()),
+    };
+  },
+
+  async 'project.list'() {
+    const s = readState();
+    return {
+      recent: s.recent.filter(isProject),
+      current: isProject(s.current) ? s.current : (s.recent.find(isProject) || null),
+    };
+  },
+
+  async 'project.open'([dir]) {
+    const abs = path.resolve(String(dir || ''));
+    if (!isProject(abs)) throw new Error(`不是 freedom 项目（缺 freedom.config.js）：${abs}`);
+    const s = readState();
+    s.recent = [abs, ...s.recent.filter((p) => p !== abs)].slice(0, 12);
+    s.current = abs;
+    writeState(s);
+    return { current: abs, recent: s.recent };
+  },
+
+  async 'project.forget'([dir]) {
+    const abs = path.resolve(String(dir || ''));
+    const s = readState();
+    s.recent = s.recent.filter((p) => p !== abs);
+    if (s.current === abs) s.current = s.recent[0] || null;
+    writeState(s);
+    return { recent: s.recent, current: s.current };
+  },
+
+  async 'project.init'([dir, template]) {
+    const target = path.resolve(String(dir || ''));
+    const args = ['init', target];
+    if (template === 'minimal') args.push('--template', 'minimal');
+    const r = await runCli(args, path.dirname(target));
+    return { code: r.code };
+  },
+
+  async 'project.build'([opts]) {
+    const o = opts || {};
+    const dir = path.resolve(String(o.dir || ''));
+    if (!isProject(dir)) throw new Error(`不是 freedom 项目：${dir}`);
+    const args = ['build'];
+    if (o.platform) args.push('--platform', String(o.platform));
+    if (o.security) args.push('--security', String(o.security));
+    if (o.installer) args.push('--installer');
+    if (o.noCache) args.push('--no-cache');
+    const r = await runCli(args, dir);
+    return { code: r.code };
+  },
+
+  async 'project.verify'([dir]) {
+    const target = path.resolve(String(dir || ''));
+    const r = await runCli(['verify'], target);
+    return { code: r.code };
+  },
+
+  async 'project.dev'([opts]) {
+    const o = opts || {};
+    const dir = path.resolve(String(o.dir || ''));
+    if (!isProject(dir)) throw new Error(`不是 freedom 项目：${dir}`);
+    if (devChild) stopDev();
+    const entry = cliEntry();
+    if (!entry) throw new Error('未找到 freedom CLI 入口');
+    const args = ['dev', ...(o.port ? ['--port', String(o.port)] : [])];
+    devChild = spawn(process.execPath, [entry, ...args], {
+      cwd: dir,
+      env: { ...process.env, FREEDOM_AUTO_UPDATE: '0', NO_COLOR: '1' },
+      shell: false,
+    });
+    const id = 'dev';
+    let buf = '';
+    const onData = (chunk) => {
+      buf += String(chunk);
+      let i;
+      while ((i = buf.indexOf('\n')) >= 0) {
+        const line = buf.slice(0, i).replace(/\r$/, '');
+        buf = buf.slice(i + 1);
+        if (line) write({ event: 'log', data: { id, line } });
+      }
+    };
+    devChild.stdout.on('data', onData);
+    devChild.stderr.on('data', onData);
+    devChild.on('exit', (code) => {
+      devChild = null;
+      write({ event: 'log', data: { id, line: `[dev] 结束（code=${code}）` } });
+      write({ event: 'dev.exit', data: { code } });
+    });
+    return { started: true };
+  },
+
+  async 'project.devStop'() {
+    return { stopped: stopDev() };
+  },
+
+  async 'project.config'([dir]) {
+    const target = path.resolve(String(dir || ''));
+    const r = await runCli(['config'], target);
+    return { text: r.lines.join('\n'), code: r.code };
+  },
+
+  async 'project.configSet'([dir, key, value]) {
+    const target = path.resolve(String(dir || ''));
+    const r = await runCli(['config', 'set', String(key), String(value)], target);
+    return { code: r.code, text: r.lines.join('\n') };
+  },
+
+  async 'shell.list'() {
+    const r = await runCli(['shell', 'list'], os.homedir());
+    return { text: r.lines.join('\n') };
+  },
+
+  async 'shell.download'([plat]) {
+    const r = await runCli(['shell', 'download', String(plat)], os.homedir());
+    return { code: r.code };
+  },
+
+  async 'release.keygen'([dir]) {
+    const r = await runCli(['keygen'], path.resolve(String(dir || '')));
+    return { code: r.code, text: r.lines.join('\n') };
+  },
+
+  async 'release.manifest'([opts]) {
+    const o = opts || {};
+    const args = ['manifest', '--artifact', String(o.artifact || ''), '--url', String(o.url || '')];
+    if (o.version) args.push('--version', String(o.version));
+    if (o.notes) args.push('--notes', String(o.notes));
+    const r = await runCli(args, path.resolve(String(o.dir || '')));
+    return { code: r.code, text: r.lines.join('\n') };
+  },
+
+  async 'agents.list'() {
+    const r = await runCli(['agents'], os.homedir());
+    return { text: r.lines.join('\n') };
+  },
+
+  async 'agents.install'([opts]) {
+    const o = opts || {};
+    const what = o.what === 'mcp' ? 'mcp' : 'skill';
+    const args = [what, 'install'];
+    if (Array.isArray(o.agents) && o.agents.length) args.push('--agent', o.agents.join(','));
+    else args.push('--agent', 'all');
+    if (o.dryRun) args.push('--dry-run');
+    const r = await runCli(args, os.homedir());
+    return { code: r.code };
+  },
+
+  async 'desktop.rebuild'() {
+    const r = await runCli(['desktop', '--rebuild'], os.homedir());
+    return { code: r.code };
+  },
+
+  async 'docs.open'() {
+    const r = await runCli(['tutorial'], os.homedir());
+    return { code: r.code };
+  },
+};
+
+const rl = readline.createInterface({ input: process.stdin, terminal: false });
+
+// stdin EOF 不等于可以立刻退出：在途请求（如经子进程跑 CLI 的调用）还没回帧，
+// 直接 exit 会让调用方永远等不到响应。等在途清零后再收尾。
+let inflight = 0;
+let stdinClosed = false;
+function maybeExit() {
+  if (stdinClosed && inflight === 0) {
+    stopDev();
+    process.exit(0);
+  }
+}
+rl.on('close', () => {
+  stdinClosed = true;
+  maybeExit();
+});
+
+rl.on('line', async (line) => {
+  let req;
+  try {
+    req = JSON.parse(line);
+  } catch {
+    return;
+  }
+  inflight++;
+  try {
+    const fn = api[req.method];
+    if (!fn) {
+      write({ id: req.id, result: null, error: `unknown method ${req.method}` });
+      return;
+    }
+    const result = await fn(req.params || []);
+    write({ id: req.id, result, error: '' });
+  } catch (e) {
+    write({ id: req.id, result: null, error: String((e && e.message) || e) });
+  } finally {
+    inflight--;
+    maybeExit();
+  }
+});

package/templates/desktop/freedom.config.js

@@ -0,0 +1,29 @@
+// Freedom Desktop 应用配置（自举：本项目的界面由 freedom 自己打包成桌面应用）。
+// 由 `freedom desktop` 自动同步到 ~/.freedom/desktop/ 并自动打包，一般无需手改。
+export default {
+  name: 'freedom-desktop',
+  title: 'Freedom Desktop',
+
+  width: 1180,
+  height: 780,
+  minWidth: 920,
+  minHeight: 560,
+  center: true,
+  debug: false,
+
+  // 静态单文件前端直通：不跑 npm install / vite（自举工具不应依赖网络与构建链）。
+  staticHtml: 'app.html',
+
+  titlebar: 'native',
+  security: 'none',
+  outDir: 'dist',
+
+  // 应用图标：构建时注入 exe（Windows 用 rcedit 写 PE 资源），运行时壳层经
+  // WM_SETICON 同步到标题栏与任务栏。由 tools/freedomres -ico-out 从
+  // assets/freedom-desktop.png 生成（多尺寸阶梯 16/24/32/48/64/128/256）。
+  icon: 'icon.ico',
+
+  // 后端 = Node 进程（零依赖），经 NDJSON/stdio 桥将 freedom CLI 能力暴露给界面。
+  // 相对路径以 resources/ 为工作目录解析；CLI 入口由 freedom desktop 写入 cli-entry.json。
+  backend: { command: 'node', args: ['backend/desktop.mjs'] },
+};

package/templates/go/pkg/freedom/anti_debug_windows.go

@@ -2,9 +2,26 @@
 
 package freedom
 
-// 反调试（Windows 实现）：high 安全模式下由 Run() 调用。
-// 检测常见调试器，命中时静默退出，防止攻击者在调试器下单步追踪
-// 资源解密 / 密钥派生逻辑。
+// 反调试（Windows 实现）：high 安全模式下由 Run() 在资源解密前后各调用一次。
+// 命中时静默退出（退出码 77，无提示），防止攻击者在调试器下单步追踪
+// 密钥派生 / 容器解密逻辑，或直接读内存里的明文密钥。
+//
+// 六道独立信号（任一命中即判定被调试），覆盖不同层次的附加手段：
+//   1. IsDebuggerPresent          —— 读 PEB.BeingDebugged 的快捷 API（最易被 hook 篡改）；
+//   2. CheckRemoteDebuggerPresent —— 内核调试器 / 远程调试器；
+//   3. 直接读 PEB.BeingDebugged    —— 不经 API，绕过"只 patch API 返回值"的调试辅助；
+//   4. NtQueryInformationProcess(ProcessDebugPort)          —— 调试端口句柄；
+//   5. NtQueryInformationProcess(ProcessDebugObjectHandle)  —— 调试对象（无端口也命中）；
+//   6. NtQueryInformationProcess(ProcessDebugFlags)         —— 标志位反向确认。
+//
+// 未纳入的信号及原因：硬件断点（Dr7）需先 SuspendThread 再 GetThreadContext，
+// 对本线程调用实测返回 ERROR_ACCESS_DENIED（非挂起线程读不到上下文），
+// 为一次启动期检测去挂起自建线程不划算；时间差检测在 CI/低配机误判率高，
+// 误杀正常用户的代价高于其收益。所有信号都遵循"探测失败即视为未命中"，
+// 只在确证被调试时退出，杜绝误杀。
+//
+// 诚实边界：这些是抬升成本的对抗，不是不可绕过的墙。绕开者仍需逆向壳二进制、
+// 复现掩码后的主密钥与 PBKDF2 参数，并在无调试器环境下取密钥。
 
 import (
 	"os"
@@ -13,25 +30,111 @@ import (
 )
 
 var (
-	kernel32AntiDebug              = syscall.NewLazyDLL("kernel32.dll")
+	kernel32AntiDebug = syscall.NewLazyDLL("kernel32.dll")
+	ntdllAntiDebug    = syscall.NewLazyDLL("ntdll.dll")
+
 	procIsDebuggerPresent          = kernel32AntiDebug.NewProc("IsDebuggerPresent")
 	procCheckRemoteDebuggerPresent = kernel32AntiDebug.NewProc("CheckRemoteDebuggerPresent")
+	procNtQueryInformationProcess  = ntdllAntiDebug.NewProc("NtQueryInformationProcess")
+)
+
+// 进程信息类别（PROCESSINFOCLASS）与各类别的返回长度，编号与长度均为本机实测校准：
+// 	ProcessBasicInformation(0)  48 字节（x64，PEB 在偏移 8）
+// 	ProcessDebugPort(7)          8 字节（HANDLE）；len 给 4 会返回 STATUS_INFO_LENGTH_MISMATCH
+// 	ProcessDebugObjectHandle(30) 8 字节；未被调试时返回 STATUS_PORT_NOT_SET(0xC0000353)
+// 	ProcessDebugFlags(31)        4 字节（ULONG）；未被调试时返回 1
+// 注意 30/31 两号易写成 32/33（那是 LUIDDeviceMapsEnabled / BreakOnTermination），
+// 编号或长度写错不会报错、只会静默失去一路信号，故此处配套测试锁死。
+const (
+	processBasicInformation  = 0
+	processDebugPort         = 7
+	processDebugObjectHandle = 30
+	processDebugFlags        = 31
+
+	basicInfoSize   = unsafe.Sizeof(processBasicInfo{}) // 48B（x64）
+	debugPortSize   = 8
+	debugObjectSize = 8
+	debugFlagsSize  = 4
+
+	pebBeingDebuggedOff = 2 // PEB+0x02：BYTE BeingDebugged
 )
 
-// antiDebugCheck 检测调试器；发现则立即退出进程（退出码 77，无提示）。
+// antiDebugCheck 检测调试器；确证被调试则立即结束进程（不显示窗口、不回显原因）。
 func antiDebugCheck() {
-	if isBeingDebugged() {
+	if debuggerPresent() {
 		os.Exit(77)
 	}
 }
 
-// isBeingDebugged 同时检测用户态调试器（IsDebuggerPresent）与远程/内核调试器
-// （CheckRemoteDebuggerPresent）。hProcess 用 GetCurrentProcess 伪句柄（-1）。
-func isBeingDebugged() bool {
+// debuggerPresent 汇总六道信号。lazy DLL 加载失败（Proc.Find 出错）时该信号记为未命中。
+func debuggerPresent() bool {
 	if r, _, _ := procIsDebuggerPresent.Call(); r != 0 {
 		return true
 	}
 	var present int32
-	procCheckRemoteDebuggerPresent.Call(^uintptr(0), uintptr(unsafe.Pointer(&present)))
-	return present != 0
+	if r, _, _ := procCheckRemoteDebuggerPresent.Call(^uintptr(0), uintptr(unsafe.Pointer(&present))); r != 0 {
+		return present != 0
+	}
+	if pebBeingDebuggedSet() {
+		return true
+	}
+	if r, ok := ntQueryProcessInfo(processDebugPort, debugPortSize); ok && r != 0 {
+		return true // 调试端口非 0
+	}
+	// 调试对象：未被调试时返回 STATUS_PORT_NOT_SET（查询失败即未命中），
+	// 能成功取到句柄说明挂了调试对象。
+	if _, ok := ntQueryProcessInfo(processDebugObjectHandle, debugObjectSize); ok {
+		return true
+	}
+	// DebugFlags：1 = 无调试器；0 = 有。
+	if r, ok := ntQueryProcessInfo(processDebugFlags, debugFlagsSize); ok && r == 0 {
+		return true
+	}
+	return false
+}
+
+// ntQueryProcessInfo 以 GetCurrentProcess 伪句柄（-1）查询进程信息，size 必须与
+// class 的约定结构体大小一致（见上方常量表），否则系统直接返回长度不匹配。
+// 返回查询成功时的数值；API 不可用、状态非 SUCCESS 时 ok=false（调用方按未命中处理）。
+func ntQueryProcessInfo(class, size uintptr) (uint64, bool) {
+	if err := procNtQueryInformationProcess.Find(); err != nil {
+		return 0, false
+	}
+	var buf [8]byte
+	r, _, _ := procNtQueryInformationProcess.Call(
+		^uintptr(0), class, uintptr(unsafe.Pointer(&buf[0])), size, 0)
+	if r != 0 { // 非 STATUS_SUCCESS 一律按未命中，避免误杀
+		return 0, false
+	}
+	if size >= 8 {
+		return *(*uint64)(unsafe.Pointer(&buf[0])), true
+	}
+	return uint64(*(*uint32)(unsafe.Pointer(&buf[0]))), true
+}
+
+// processBasicInfo 是 PROCESS_BASIC_INFORMATION 的 x64 布局（字段按指针宽度对齐）。
+type processBasicInfo struct {
+	exitStatus             uintptr
+	pebAddress             uintptr
+	affinityMask           uintptr
+	basePriority           uintptr
+	uniqueProcessId        uintptr
+	inheritedFromUniquePid uintptr
+}
+
+// pebBeingDebuggedSet 不经 API 直接读自身 PEB.BeingDebugged。
+// 与 IsDebuggerPresent 读同一字段，但绕过对该 API 的 hook / patch。
+// 本进程内解引用自身 PEB 指针，无并发与生命周期问题。
+func pebBeingDebuggedSet() bool {
+	var info processBasicInfo
+	if err := procNtQueryInformationProcess.Find(); err != nil {
+		return false
+	}
+	r, _, _ := procNtQueryInformationProcess.Call(
+		^uintptr(0), processBasicInformation,
+		uintptr(unsafe.Pointer(&info)), unsafe.Sizeof(info), 0)
+	if r != 0 || info.pebAddress == 0 {
+		return false
+	}
+	return *(*byte)(unsafe.Pointer(info.pebAddress + pebBeingDebuggedOff)) != 0
 }

package/templates/go/pkg/freedom/assets/freedom.js

@@ -127,6 +127,9 @@
       // 聚合信息：title/outerX/outerY/outerWidth/outerHeight/innerWidth/innerHeight/
       // scaleFactor/visible/focused/maximized/minimized/alwaysOnTop/skipTaskbar/frameless/fullscreen。
       getInfo: function () { return windowAction('getInfo'); },
+      // appIcon()：exe 内嵌图标 → PNG data URL（无边框自绘标题栏用）；
+      // 未注入图标或非 Windows 平台返回空字符串。
+      appIcon: function () { return windowAction('appIcon'); },
       // 显示器列表（经 sys 桥接）：[{x,y,width,height,workX,workY,workWidth,workHeight,scaleFactor,isPrimary}]
       monitors: function () { return sysCall('window.monitors', {}); },
       // 窗口视觉效果（Win11）：backdrop: auto|none|solid|mica|acrylic；corner: round|roundSmall|square|default；borderColor: 0x00BBGGRR

package/templates/go/pkg/freedom/freedom.go

@@ -22,6 +22,7 @@ import (
 	"errors"
 	"fmt"
 	"os"
+	"strings"
 	"sync"
 	"sync/atomic"
 
@@ -69,6 +70,14 @@ type Config struct {
 	// HTML 返回要加载到窗口的前端页面内容（内存加载，无本地端口）。
 	// 为 nil 时使用框架内置的默认占位页。
 	HTML func() (string, error)
+	// URL 非空时主窗口直接 Navigate 到该地址（如 `freedom dev` 的 vite 服务器），
+	// 优先于 HTML/resources 页面。SDK 经 Init 在每次导航前注入，桥接不失效。
+	// 仅放行 http/https（dev/HMR 走 localhost ws，页面源本身不许 file:// 等面）。
+	URL string
+	// SingleInstance 启用单实例：二次启动把命令行参数转发给主实例后自行退出；
+	// 主实例前端收 `app.secondInstance` 事件（{args}）。Windows 生效，
+	// 其他平台为无操作（始终视为唯一实例）。
+	SingleInstance bool
 	// AppID 是应用标识，决定数据/配置目录名与单实例窗口类标题。
 	// 为空时回退可执行文件名（去扩展名）。一经发布不要更改，否则用户数据"丢失"。
 	AppID string
@@ -83,6 +92,11 @@ type Config struct {
 	Capabilities *Capabilities
 }
 
+// pageURLAllowed 校验主窗口 URL 页面源：仅 http/https 放行（file:// 等本地面拒绝）。
+func pageURLAllowed(raw string) bool {
+	return strings.HasPrefix(raw, "http://") || strings.HasPrefix(raw, "https://")
+}
+
 // App 是 Freedom 应用实例。
 type App struct {
 	cfg     Config
@@ -93,9 +107,11 @@ type App struct {
 	onReady func(a *App)
 
 	// 运行时资源覆盖（resources.go）：secure = high 模式（app.bin 解密成功），
-	// backendExplicit = 用户经 Bind 显式使用内嵌后端（config.json 的 backend 不得再替换）。
-	secure          bool
-	backendExplicit bool
+	// backendExplicit = 用户经 Bind 显式使用内嵌后端（config.json 的 backend 不得再替换），
+	// secureBackendDir = high 模式容器内后端源码解密落地用的私有临时目录（退出即删）。
+	secure           bool
+	backendExplicit  bool
+	secureBackendDir string
 
 	// upMu 保护 upPending：CheckUpdate 验签通过的更新条目，install 桥接只认它
 	//（前端无法注入未验签的 URL/哈希）。见 updater.go。
@@ -213,6 +229,11 @@ func (a *App) Unbind(name string) {
 
 // Run 启动窗口并进入主事件循环，阻塞直到窗口被关闭。
 func (a *App) Run() {
+	// high 产物：解密前先跑一次反调试（此时密钥与明文都还没进内存），
+	// 解密后再跑一次（兜住"启动后才附加调试器"）。非 high 应用不受影响。
+	if hasSecureResources() {
+		antiDebugCheck()
+	}
 	// 通用壳：先加载 exe 同目录 resources/ 覆盖窗口与后端配置（CLI build 写入；
 	// 缺失则使用编译期/默认配置）。配置存在但非法时打印告警不中断启动。
 	if err := a.loadRuntimeConfig(); err != nil {
@@ -225,13 +246,20 @@ func (a *App) Run() {
 		}
 		fmt.Printf("freedom: warning: %v\n", err)
 	}
-	// high 模式：反调试检测（调试器下静默退出，防止逆向解密逻辑）。
+	// high 模式的临时后端目录随进程退出清理（defer 早于后端 Close 注册 → 后于其执行）。
+	defer a.cleanupSecureBackend()
+	// high 模式：解密后复查调试器（见 Run 开头的"解密前一次"）。
 	if a.secure {
 		antiDebugCheck()
 	}
 	// 平台层回调（单实例转发/热键）经 currentApp 找到本实例推送事件。
 	appForEvents.Store(a)
 	defer appForEvents.Store(nil)
+	// 单实例：二次启动的参数已在 RequestSingleInstance 内转发给主实例，
+	// 本进程不建窗直接返回（主实例前端收 app.secondInstance 事件）。
+	if a.cfg.SingleInstance && !RequestSingleInstance(a.effectiveAppID()) {
+		return
+	}
 	// M2：标记运行中（NewWindow 的前置条件）并登记主窗口；退出前回收次级窗口。
 	a.winMu.Lock()
 	a.running = true
@@ -247,10 +275,19 @@ func (a *App) Run() {
 		a.running = false
 		a.winMu.Unlock()
 	}()
-	html, err := a.resolveHTML()
-	if err != nil {
-		fmt.Printf("freedom: failed to resolve HTML: %v\n", err)
-		return
+	// URL 模式（dev 服务器/远程页）：跳过页面内容解析，稍后 Navigate。
+	// scheme 白名单：只放行 http/https，file:// 等本地面一律拒绝。
+	if a.cfg.URL != "" && !pageURLAllowed(a.cfg.URL) {
+		fmt.Printf("freedom: 拒绝非 http/https 的 URL %q，回退页面源\n", a.cfg.URL)
+		a.cfg.URL = ""
+	}
+	var html string
+	if a.cfg.URL == "" {
+		var err error
+		if html, err = a.resolveHTML(); err != nil {
+			fmt.Printf("freedom: failed to resolve HTML: %v\n", err)
+			return
+		}
 	}
 
 	w := webview.New(a.cfg.Debug)
@@ -288,6 +325,8 @@ func (a *App) Run() {
 	}
 	a.applyCenter()
 	a.applyTitleBar()
+	// 标题栏 / 任务栏图标同步为 exe 内嵌图标（Windows；其他平台 no-op）。
+	a.setWindowIcon()
 	// 窗口事件与关闭拦截（Windows 经 WndProc 子类化；其他平台 no-op）。
 	a.installWindowEvents()
 	// 恢复上次退出的窗口几何（仅 Config.RememberWindowState 时生效）。
@@ -352,7 +391,11 @@ func (a *App) Run() {
 
 	// 注：onReady 不再在 SetHtml 前触发（H3），改由前端 SDK 在页面
 	// DOMContentLoaded 后经 __freedom__ready 回调，保证初始化事件不丢失。
-	w.SetHtml(html)
+	if a.cfg.URL != "" {
+		w.Navigate(a.cfg.URL) // Init 注入对每次导航生效，URL 模式桥接同样可用
+	} else {
+		w.SetHtml(html)
+	}
 	w.Run()
 }