@yufengtadian/freedom-cli 1.13.1 → 1.13.3

package/templates/desktop/backend/desktop.mjs

@@ -0,0 +1,327 @@
+// Freedom Desktop 后端（零依赖 Node，NDJSON over stdio 进程后端）。
+//
+// 职责：把 freedom CLI 的能力包成界面可调用的方法。所有实际操作都经"子进程调用 CLI"完成，
+// 而不是 require 内部模块——这样界面走的正是用户手册里那条命令路径，CLI 升级即界面升级，
+// 且子进程输出不会污染本进程与壳之间的 NDJSON 协议通道（日志改经 event 帧转发）。
+//
+// 协议：入 {id, method, params:[...]}；出 {id, result, error}；推送 {event, data}。
+// 日志：每次调用先回 {event:'call', data:{id, label}}，再逐行 {event:'log', data:{id, line}}。
+
+import readline from 'node:readline';
+import fs from 'node:fs';
+import os from 'node:os';
+import path from 'node:path';
+import { spawn } from 'node:child_process';
+import { fileURLToPath } from 'node:url';
+
+const __dirname = path.dirname(fileURLToPath(import.meta.url));
+
+function write(msg) {
+  process.stdout.write(JSON.stringify(msg) + '\n');
+}
+
+// ---- CLI 定位：优先 cli-entry.json（freedom desktop 打包时写入），再退到环境变量 ----
+// cliMeta.root 一并带出：high 模式下本文件被解到系统临时目录，
+// 不能再靠 `__dirname/../package.json` 反推 CLI 包版本，只能读容器里的 root。
+const cliMeta = { entry: null, root: null };
+function cliEntry() {
+  const candidates = [];
+  if (!cliMeta.entry) {
+    try {
+      const meta = JSON.parse(fs.readFileSync(path.join(__dirname, 'cli-entry.json'), 'utf8'));
+      if (meta && meta.entry) { cliMeta.entry = meta.entry; cliMeta.root = meta.root || null; }
+    } catch { /* 缺文件走后续回退 */ }
+  }
+  if (cliMeta.entry && fs.existsSync(cliMeta.entry)) return cliMeta.entry;
+  if (process.env.FREEDOM_CLI_ENTRY) candidates.push(process.env.FREEDOM_CLI_ENTRY);
+  for (const c of candidates) {
+    if (c && fs.existsSync(c)) return c;
+  }
+  return null;
+}
+
+// 子进程跑 CLI：逐行转发输出，返回 {code, lines}。
+function runCli(args, cwd) {
+  return new Promise((resolve) => {
+    const entry = cliEntry();
+    const id = args.join(' ');
+    if (!entry) {
+      write({ event: 'log', data: { id, line: '未找到 freedom CLI 入口（cli-entry.json 缺失），请重新运行 freedom desktop。' } });
+      return resolve({ code: 1, lines: [] });
+    }
+    const child = spawn(process.execPath, [entry, ...args], {
+      cwd: cwd || os.homedir(),
+      env: { ...process.env, FREEDOM_AUTO_UPDATE: '0', NO_COLOR: '1', FORCE_COLOR: '0' },
+      shell: false,
+    });
+    const lines = [];
+    let buf = '';
+    const onData = (chunk) => {
+      buf += String(chunk);
+      let i;
+      while ((i = buf.indexOf('\n')) >= 0) {
+        const line = buf.slice(0, i).replace(/\r$/, '');
+        buf = buf.slice(i + 1);
+        if (!line) continue;
+        lines.push(line);
+        write({ event: 'log', data: { id, line } });
+      }
+    };
+    child.stdout.on('data', onData);
+    child.stderr.on('data', onData);
+    child.on('exit', (code) => {
+      if (buf) { lines.push(buf); write({ event: 'log', data: { id, line: buf } }); }
+      resolve({ code: code === null ? -1 : code, lines });
+    });
+    child.on('error', (err) => {
+      write({ event: 'log', data: { id, line: `启动 CLI 失败：${err.message}` } });
+      resolve({ code: 1, lines: [] });
+    });
+  });
+}
+
+// ---- 最近项目状态（存 ~/.freedom/desktop-state.json） ----
+function statePath() {
+  return path.join(os.homedir(), '.freedom', 'desktop-state.json');
+}
+function readState() {
+  try {
+    const s = JSON.parse(fs.readFileSync(statePath(), 'utf8'));
+    if (Array.isArray(s.recent)) return s;
+  } catch { /* 首次运行无状态文件 */ }
+  return { recent: [], current: null };
+}
+function writeState(s) {
+  fs.mkdirSync(path.dirname(statePath()), { recursive: true });
+  fs.writeFileSync(statePath(), JSON.stringify(s, null, 2), 'utf8');
+}
+function isProject(dir) {
+  return !!(dir && fs.existsSync(path.join(dir, 'freedom.config.js')));
+}
+
+let devChild = null;
+function stopDev() {
+  if (!devChild) return false;
+  const c = devChild;
+  devChild = null;
+  try {
+    if (process.platform === 'win32') spawn('taskkill', ['/pid', String(c.pid), '/T', '/F'], { stdio: 'ignore' });
+    else c.kill('SIGTERM');
+  } catch { /* 已退出 */ }
+  return true;
+}
+
+const api = {
+  async 'app.info'() {
+    const entry = cliEntry();
+    const readVersion = (base) => {
+      try { return JSON.parse(fs.readFileSync(path.join(base, 'package.json'), 'utf8')).version || null; } catch { return null; }
+    };
+    const cliVersion = (entry ? readVersion(path.join(path.dirname(entry), '..')) : null)
+      || (cliMeta.root ? readVersion(cliMeta.root) : null);
+    return {
+      cliEntry: entry,
+      cliVersion,
+      platform: `${process.platform}-${process.arch}`,
+      nodeVersion: process.version,
+      home: os.homedir(),
+      desktopDir: process.env.FREEDOM_DESKTOP_DIR || null,
+      hasConfig: !!isProject(process.cwd()),
+    };
+  },
+
+  async 'project.list'() {
+    const s = readState();
+    return {
+      recent: s.recent.filter(isProject),
+      current: isProject(s.current) ? s.current : (s.recent.find(isProject) || null),
+    };
+  },
+
+  async 'project.open'([dir]) {
+    const abs = path.resolve(String(dir || ''));
+    if (!isProject(abs)) throw new Error(`不是 freedom 项目（缺 freedom.config.js）：${abs}`);
+    const s = readState();
+    s.recent = [abs, ...s.recent.filter((p) => p !== abs)].slice(0, 12);
+    s.current = abs;
+    writeState(s);
+    return { current: abs, recent: s.recent };
+  },
+
+  async 'project.forget'([dir]) {
+    const abs = path.resolve(String(dir || ''));
+    const s = readState();
+    s.recent = s.recent.filter((p) => p !== abs);
+    if (s.current === abs) s.current = s.recent[0] || null;
+    writeState(s);
+    return { recent: s.recent, current: s.current };
+  },
+
+  async 'project.init'([dir, template]) {
+    const target = path.resolve(String(dir || ''));
+    const args = ['init', target];
+    if (template === 'minimal') args.push('--template', 'minimal');
+    const r = await runCli(args, path.dirname(target));
+    return { code: r.code };
+  },
+
+  async 'project.build'([opts]) {
+    const o = opts || {};
+    const dir = path.resolve(String(o.dir || ''));
+    if (!isProject(dir)) throw new Error(`不是 freedom 项目：${dir}`);
+    const args = ['build'];
+    if (o.platform) args.push('--platform', String(o.platform));
+    if (o.security) args.push('--security', String(o.security));
+    if (o.installer) args.push('--installer');
+    if (o.noCache) args.push('--no-cache');
+    const r = await runCli(args, dir);
+    return { code: r.code };
+  },
+
+  async 'project.verify'([dir]) {
+    const target = path.resolve(String(dir || ''));
+    const r = await runCli(['verify'], target);
+    return { code: r.code };
+  },
+
+  async 'project.dev'([opts]) {
+    const o = opts || {};
+    const dir = path.resolve(String(o.dir || ''));
+    if (!isProject(dir)) throw new Error(`不是 freedom 项目：${dir}`);
+    if (devChild) stopDev();
+    const entry = cliEntry();
+    if (!entry) throw new Error('未找到 freedom CLI 入口');
+    const args = ['dev', ...(o.port ? ['--port', String(o.port)] : [])];
+    devChild = spawn(process.execPath, [entry, ...args], {
+      cwd: dir,
+      env: { ...process.env, FREEDOM_AUTO_UPDATE: '0', NO_COLOR: '1' },
+      shell: false,
+    });
+    const id = 'dev';
+    let buf = '';
+    const onData = (chunk) => {
+      buf += String(chunk);
+      let i;
+      while ((i = buf.indexOf('\n')) >= 0) {
+        const line = buf.slice(0, i).replace(/\r$/, '');
+        buf = buf.slice(i + 1);
+        if (line) write({ event: 'log', data: { id, line } });
+      }
+    };
+    devChild.stdout.on('data', onData);
+    devChild.stderr.on('data', onData);
+    devChild.on('exit', (code) => {
+      devChild = null;
+      write({ event: 'log', data: { id, line: `[dev] 结束（code=${code}）` } });
+      write({ event: 'dev.exit', data: { code } });
+    });
+    return { started: true };
+  },
+
+  async 'project.devStop'() {
+    return { stopped: stopDev() };
+  },
+
+  async 'project.config'([dir]) {
+    const target = path.resolve(String(dir || ''));
+    const r = await runCli(['config'], target);
+    return { text: r.lines.join('\n'), code: r.code };
+  },
+
+  async 'project.configSet'([dir, key, value]) {
+    const target = path.resolve(String(dir || ''));
+    const r = await runCli(['config', 'set', String(key), String(value)], target);
+    return { code: r.code, text: r.lines.join('\n') };
+  },
+
+  async 'shell.list'() {
+    const r = await runCli(['shell', 'list'], os.homedir());
+    return { text: r.lines.join('\n') };
+  },
+
+  async 'shell.download'([plat]) {
+    const r = await runCli(['shell', 'download', String(plat)], os.homedir());
+    return { code: r.code };
+  },
+
+  async 'release.keygen'([dir]) {
+    const r = await runCli(['keygen'], path.resolve(String(dir || '')));
+    return { code: r.code, text: r.lines.join('\n') };
+  },
+
+  async 'release.manifest'([opts]) {
+    const o = opts || {};
+    const args = ['manifest', '--artifact', String(o.artifact || ''), '--url', String(o.url || '')];
+    if (o.version) args.push('--version', String(o.version));
+    if (o.notes) args.push('--notes', String(o.notes));
+    const r = await runCli(args, path.resolve(String(o.dir || '')));
+    return { code: r.code, text: r.lines.join('\n') };
+  },
+
+  async 'agents.list'() {
+    const r = await runCli(['agents'], os.homedir());
+    return { text: r.lines.join('\n') };
+  },
+
+  async 'agents.install'([opts]) {
+    const o = opts || {};
+    const what = o.what === 'mcp' ? 'mcp' : 'skill';
+    const args = [what, 'install'];
+    if (Array.isArray(o.agents) && o.agents.length) args.push('--agent', o.agents.join(','));
+    else args.push('--agent', 'all');
+    if (o.dryRun) args.push('--dry-run');
+    const r = await runCli(args, os.homedir());
+    return { code: r.code };
+  },
+
+  async 'desktop.rebuild'() {
+    const r = await runCli(['desktop', '--rebuild'], os.homedir());
+    return { code: r.code };
+  },
+
+  async 'docs.open'() {
+    const r = await runCli(['tutorial'], os.homedir());
+    return { code: r.code };
+  },
+};
+
+const rl = readline.createInterface({ input: process.stdin, terminal: false });
+
+// stdin EOF 不等于可以立刻退出：在途请求（如经子进程跑 CLI 的调用）还没回帧，
+// 直接 exit 会让调用方永远等不到响应。等在途清零后再收尾。
+let inflight = 0;
+let stdinClosed = false;
+function maybeExit() {
+  if (stdinClosed && inflight === 0) {
+    stopDev();
+    process.exit(0);
+  }
+}
+rl.on('close', () => {
+  stdinClosed = true;
+  maybeExit();
+});
+
+rl.on('line', async (line) => {
+  let req;
+  try {
+    req = JSON.parse(line);
+  } catch {
+    return;
+  }
+  inflight++;
+  try {
+    const fn = api[req.method];
+    if (!fn) {
+      write({ id: req.id, result: null, error: `unknown method ${req.method}` });
+      return;
+    }
+    const result = await fn(req.params || []);
+    write({ id: req.id, result, error: '' });
+  } catch (e) {
+    write({ id: req.id, result: null, error: String((e && e.message) || e) });
+  } finally {
+    inflight--;
+    maybeExit();
+  }
+});

package/templates/desktop/freedom.config.js

@@ -0,0 +1,32 @@
+// Freedom Desktop 应用配置（自举：本项目的界面由 freedom 自己打包成桌面应用）。
+// 由 `freedom desktop` 自动同步到 ~/.freedom/desktop/ 并自动打包，一般无需手改。
+export default {
+  name: 'freedom-desktop',
+  title: 'Freedom Desktop',
+
+  width: 1180,
+  height: 780,
+  minWidth: 920,
+  minHeight: 560,
+  center: true,
+  debug: false,
+
+  // 静态单文件前端直通：不跑 npm install / vite（自举工具不应依赖网络与构建链）。
+  staticHtml: 'app.html',
+
+  titlebar: 'native',
+  // 闭源自举：Desktop 自身也要经得起逆向——前端 app.html、config.json 与后端
+  // backend/*（含 cli-entry.json）整体进 FRDM2 容器，磁盘只留 app.bin + .integrity，
+  // 运行期由壳解密到私有临时目录（退出即删，崩溃残留由下次启动回收）。
+  security: 'high',
+  outDir: 'dist',
+
+  // 应用图标：构建时注入 exe（Windows 用 rcedit 写 PE 资源），运行时壳层经
+  // WM_SETICON 同步到标题栏与任务栏。由 tools/freedomres -ico-out 从
+  // assets/freedom-desktop.png 生成（多尺寸阶梯 16/24/32/48/64/128/256）。
+  icon: 'icon.ico',
+
+  // 后端 = Node 进程（零依赖），经 NDJSON/stdio 桥将 freedom CLI 能力暴露给界面。
+  // 相对路径以 resources/ 为工作目录解析；CLI 入口由 freedom desktop 写入 cli-entry.json。
+  backend: { command: 'node', args: ['backend/desktop.mjs'] },
+};

package/templates/go/go.mod

@@ -3,3 +3,6 @@ module freedom-cli-shell
 go 1.26.5
 
 require github.com/webview/webview_go v0.0.0-20240831120633-6173450d4dd6
+
+// 与仓库根 go.mod 同步的本地补丁副本：WebKitGTK 4.0/4.1 依赖名按构建标签选择。
+replace github.com/webview/webview_go => ./third_party/webview_go

package/templates/go/pkg/freedom/anti_debug_linux.go

@@ -0,0 +1,69 @@
+//go:build linux
+
+package freedom
+
+// 反调试（Linux 实现）：high 安全模式下由 Run() 在资源解密前后各调用一次，
+// 与 Windows 侧同一语义——**探测失败一律记未命中**，只在确证被附加调试器时退出，
+// 误杀正常用户的代价高于多一路信号的收益。
+//
+// 两道信号：
+//  1. ptrace(PTRACE_TRACEME)：本进程已被别的进程 attach 时返回 EPERM —— 这是
+//     "GDB 已挂上来"的确证。TRACEME 是一次性的（成功后无法再 DETACH 复位），
+//     故整个进程生命周期只探测一次并缓存结论；Run 里的"解密前 / 解密后"两次调用
+//     因此共享同一结论——本就只能挡住「启动时已挂调试器」，运行中途 attach
+//     （gdb -p）要等下次启动才被抓到，这是诚实的能力边界。
+//     **已知边界**：本进程此前处于停止/跟踪-停止状态（被 SIGSTOP 过）时 TRACEME
+//     也会 EPERM，理论上存在误判窗口；桌面壳正常生命周期内不走这条路，且
+//     非 high 模式完全不检测，可用 FREEDOM_DISABLE_ANTIDEBUG=1 关闭。
+//  2. PR_SET_DUMPABLE=0：不是检测而是加固——内核不再产出 core dump，且非属主、
+//     非 ptrace 授权的进程读不到 /proc/<pid>/mem 与 /proc/<pid>/maps。
+//     副作用是本进程写的文件属主不再是 dumpable 语义下的自己（/tmp 下按目录名
+//     隔离的私有临时目录不受影响）。
+//
+// 未纳入：/proc/<pid>/status 的 TracerPid 字段——读它本身没问题，但攻击者 attach
+// 前后改一行 status 即可绕过（同一函数里 ptrace 系统调用才是硬证据），徒增误报源。
+
+import (
+	"os"
+	"sync"
+	"syscall"
+)
+
+// antiDebugCheck 命中即退出（退出码 77，与 Windows 侧一致，不显示窗口、不回显原因）。
+func antiDebugCheck() {
+	if debuggerPresent() {
+		os.Exit(77)
+	}
+}
+
+// debuggerPresent 汇总 Linux 侧信号。
+func debuggerPresent() bool {
+	if ptracemeRejectedOnce() {
+		return true
+	}
+	makeNonDumpable() // 未命中也要落地下一步加固（core dump / /proc 读内存收紧）
+	return false
+}
+
+var (
+	tracemeOnce     = new(sync.Once) // 指针：单测需要可复位的实例
+	tracemeDetected bool
+)
+
+// ptracemeRejectedOnce 缓存一次性 TRACEME 结论（见文件头：TRACEME 不可复位）。
+func ptracemeRejectedOnce() bool {
+	tracemeOnce.Do(func() { tracemeDetected = ptracemeRejected() })
+	return tracemeDetected
+}
+
+// ptracemeRejected 报告 PTRACE_TRACEME 是否被拒（被拒 = 已有调试器附加）；
+// 变量形式便于单测替换，生产路径只会被调用一次。
+var ptracemeRejected = func() bool {
+	r, _, errno := syscall.RawSyscall(syscall.SYS_PTRACE, uintptr(syscall.PTRACE_TRACEME), 0, 0)
+	return r != 0 || errno != 0
+}
+
+// makeNonDumpable 关闭 core dump 并收紧 /proc/<pid>/* 的读取授权；失败按未命中处理。
+var makeNonDumpable = func() {
+	syscall.RawSyscall(syscall.SYS_PRCTL, syscall.PR_SET_DUMPABLE, 0, 0)
+}

package/templates/go/pkg/freedom/anti_debug_other.go

@@ -1,7 +1,9 @@
-//go:build !windows
+//go:build !windows && !linux
 
 package freedom
 
-// 反调试（非 Windows 平台空实现）。macOS/Linux 的调试器检测依赖
-// ptrace / task_for_pid 等平台特定 API，本版本不做；如需加强在对应平台文件扩展。
+// 反调试（macOS 占位实现）。Linux 侧已实装在 anti_debug_linux.go
+// （PTRACE_TRACEME 一次性探测 + PR_SET_DUMPABLE=0 加固）；macOS 需要
+// ptrace(PT_DENY_ATTACH) / task_for_pid 等平台 API，本机无 Apple 设备无法验证，
+// 故留空不装——诚实的"未实现"优于未验证的代码。
 func antiDebugCheck() {}