@yufengtadian/freedom-cli 1.13.1 → 1.13.3

package/templates/go/pkg/freedom/anti_debug_windows.go

@@ -2,9 +2,29 @@
 
 package freedom
 
-// 反调试（Windows 实现）：high 安全模式下由 Run() 调用。
-// 检测常见调试器，命中时静默退出，防止攻击者在调试器下单步追踪
-// 资源解密 / 密钥派生逻辑。
+// 反调试（Windows 实现）：high 安全模式下由 Run() 在资源解密前后各调用一次。
+// 命中时静默退出（退出码 77，无提示），防止攻击者在调试器下单步追踪
+// 密钥派生 / 容器解密逻辑，或直接读内存里的明文密钥。
+//
+// 七道独立信号（任一命中即判定被调试），覆盖不同层次的附加手段：
+//   1. IsDebuggerPresent          —— 读 PEB.BeingDebugged 的快捷 API（最易被 hook 篡改）；
+//   2. CheckRemoteDebuggerPresent —— 内核调试器 / 远程调试器；
+//   3. 直接读 PEB.BeingDebugged    —— 不经 API，绕过"只 patch API 返回值"的调试辅助；
+//   4. NtQueryInformationProcess(ProcessDebugPort)          —— 调试端口句柄；
+//   5. NtQueryInformationProcess(ProcessDebugObjectHandle)  —— 调试对象（无端口也命中）；
+//   6. NtQueryInformationProcess(ProcessDebugFlags)         —— 标志位反向确认；
+//   7. 线程上下文 DR0–DR3         —— 硬件断点（数据/内存断点常常不落在前六道上）。
+//
+// 第七道的实现约束：对本线程直接 GetThreadContext 会返回 ERROR_ACCESS_DENIED，
+// 故用 Toolhelp 枚举进程内线程、以 THREAD_GET_CONTEXT 打开后读取（不挂起任何线程），
+// 读不到上下文一律记未命中。只在启动期跑、只在 high 模式跑；
+// 已知局限：抓的是"检测时刻已设下的硬件断点"，运行中途 attach 再下断点不在射程内。
+//
+// 未纳入：时间差检测在 CI/低配机误判率高，误杀正常用户的代价高于其收益。
+// 所有信号都遵循"探测失败即视为未命中"，只在确证被调试时退出，杜绝误杀。
+//
+// 诚实边界：这些是抬升成本的对抗，不是不可绕过的墙。绕开者仍需逆向壳二进制、
+// 复现掩码后的主密钥与 PBKDF2 参数，并在无调试器环境下取密钥。
 
 import (
 	"os"
@@ -13,25 +33,232 @@ import (
 )
 
 var (
-	kernel32AntiDebug              = syscall.NewLazyDLL("kernel32.dll")
+	kernel32AntiDebug = syscall.NewLazyDLL("kernel32.dll")
+	ntdllAntiDebug    = syscall.NewLazyDLL("ntdll.dll")
+
 	procIsDebuggerPresent          = kernel32AntiDebug.NewProc("IsDebuggerPresent")
 	procCheckRemoteDebuggerPresent = kernel32AntiDebug.NewProc("CheckRemoteDebuggerPresent")
+	procNtQueryInformationProcess  = ntdllAntiDebug.NewProc("NtQueryInformationProcess")
+)
+
+// 进程信息类别（PROCESSINFOCLASS）与各类别的返回长度，编号与长度均为本机实测校准：
+//
+//	ProcessBasicInformation(0)  48 字节（x64，PEB 在偏移 8）
+//	ProcessDebugPort(7)          8 字节（HANDLE）；len 给 4 会返回 STATUS_INFO_LENGTH_MISMATCH
+//	ProcessDebugObjectHandle(30) 8 字节；未被调试时返回 STATUS_PORT_NOT_SET(0xC0000353)
+//	ProcessDebugFlags(31)        4 字节（ULONG）；未被调试时返回 1
+//
+// 注意 30/31 两号易写成 32/33（那是 LUIDDeviceMapsEnabled / BreakOnTermination），
+// 编号或长度写错不会报错、只会静默失去一路信号，故此处配套测试锁死。
+const (
+	processBasicInformation  = 0
+	processDebugPort         = 7
+	processDebugObjectHandle = 30
+	processDebugFlags        = 31
+
+	basicInfoSize   = unsafe.Sizeof(processBasicInfo{}) // 48B（x64）
+	debugPortSize   = 8
+	debugObjectSize = 8
+	debugFlagsSize  = 4
+
+	pebBeingDebuggedOff = 2 // PEB+0x02：BYTE BeingDebugged
 )
 
-// antiDebugCheck 检测调试器；发现则立即退出进程（退出码 77，无提示）。
+// antiDebugCheck 检测调试器；确证被调试则立即结束进程（不显示窗口、不回显原因）。
 func antiDebugCheck() {
-	if isBeingDebugged() {
+	if debuggerPresent() {
 		os.Exit(77)
 	}
 }
 
-// isBeingDebugged 同时检测用户态调试器（IsDebuggerPresent）与远程/内核调试器
-// （CheckRemoteDebuggerPresent）。hProcess 用 GetCurrentProcess 伪句柄（-1）。
-func isBeingDebugged() bool {
+// debuggerPresent 汇总七道信号。lazy DLL 加载失败（Proc.Find 出错）时该信号记为未命中。
+func debuggerPresent() bool {
 	if r, _, _ := procIsDebuggerPresent.Call(); r != 0 {
 		return true
 	}
 	var present int32
-	procCheckRemoteDebuggerPresent.Call(^uintptr(0), uintptr(unsafe.Pointer(&present)))
-	return present != 0
+	if r, _, _ := procCheckRemoteDebuggerPresent.Call(^uintptr(0), uintptr(unsafe.Pointer(&present))); r != 0 {
+		return present != 0
+	}
+	if pebBeingDebuggedSet() {
+		return true
+	}
+	if r, ok := ntQueryProcessInfo(processDebugPort, debugPortSize); ok && r != 0 {
+		return true // 调试端口非 0
+	}
+	// 调试对象：未被调试时返回 STATUS_PORT_NOT_SET（查询失败即未命中），
+	// 能成功取到句柄说明挂了调试对象。
+	if _, ok := ntQueryProcessInfo(processDebugObjectHandle, debugObjectSize); ok {
+		return true
+	}
+	// DebugFlags：1 = 无调试器；0 = 有。
+	if r, ok := ntQueryProcessInfo(processDebugFlags, debugFlagsSize); ok && r == 0 {
+		return true
+	}
+	// 硬件断点：数据断点 / 内存断点常不改动上面任何一处状态，只能看 DR0–DR3。
+	if hardwareBreakpointSet() {
+		return true
+	}
+	return false
+}
+
+// ntQueryProcessInfo 以 GetCurrentProcess 伪句柄（-1）查询进程信息，size 必须与
+// class 的约定结构体大小一致（见上方常量表），否则系统直接返回长度不匹配。
+// 返回查询成功时的数值；API 不可用、状态非 SUCCESS 时 ok=false（调用方按未命中处理）。
+func ntQueryProcessInfo(class, size uintptr) (uint64, bool) {
+	if err := procNtQueryInformationProcess.Find(); err != nil {
+		return 0, false
+	}
+	var buf [8]byte
+	r, _, _ := procNtQueryInformationProcess.Call(
+		^uintptr(0), class, uintptr(unsafe.Pointer(&buf[0])), size, 0)
+	if r != 0 { // 非 STATUS_SUCCESS 一律按未命中，避免误杀
+		return 0, false
+	}
+	if size >= 8 {
+		return *(*uint64)(unsafe.Pointer(&buf[0])), true
+	}
+	return uint64(*(*uint32)(unsafe.Pointer(&buf[0]))), true
+}
+
+// processBasicInfo 是 PROCESS_BASIC_INFORMATION 的 x64 布局（字段按指针宽度对齐）。
+type processBasicInfo struct {
+	exitStatus             uintptr
+	pebAddress             uintptr
+	affinityMask           uintptr
+	basePriority           uintptr
+	uniqueProcessId        uintptr
+	inheritedFromUniquePid uintptr
+}
+
+// pebBeingDebuggedSet 不经 API 直接读自身 PEB.BeingDebugged。
+// 与 IsDebuggerPresent 读同一字段，但绕过对该 API 的 hook / patch。
+// 本进程内解引用自身 PEB 指针，无并发与生命周期问题。
+func pebBeingDebuggedSet() bool {
+	var info processBasicInfo
+	if err := procNtQueryInformationProcess.Find(); err != nil {
+		return false
+	}
+	r, _, _ := procNtQueryInformationProcess.Call(
+		^uintptr(0), processBasicInformation,
+		uintptr(unsafe.Pointer(&info)), unsafe.Sizeof(info), 0)
+	if r != 0 || info.pebAddress == 0 {
+		return false
+	}
+	return *(*byte)(unsafe.Pointer(info.pebAddress + pebBeingDebuggedOff)) != 0
+}
+
+// ---- 第七道信号：硬件断点（DR0–DR3）----
+//
+// 数据断点与部分内存断点不改 PEB、不建调试端口，只写在线程上下文的调试寄存器里。
+// 对本线程调 GetThreadContext 会被拒（ERROR_ACCESS_DENIED），因此走 Toolhelp 枚举
+// 进程内线程 + THREAD_GET_CONTEXT 读取；任何一步失败都记未命中（宁漏不误杀）。
+
+const (
+	th32csSnapThread = 0x00000002
+	threadQueryInfo  = 0x0040
+	threadGetContext = 0x0010
+	threadAllAccess  = threadQueryInfo | threadGetContext
+	// CONTEXT_AMD64(0x00100000) | CONTEXT_DEBUG_REGISTERS(0x10)：不置此标志，
+	// GetThreadContext 根本不回填 Dr0–Dr7（读到的只是栈上残值，会误报）。
+	contextDebugRegisters = 0x00100000 | 0x10
+	dr7LocalBitsMask      = 0b1111
+	invalidHandleVal      = ^uintptr(0)
+	threadEntrySize       = unsafe.Sizeof(threadEntry32{})
+)
+
+var (
+	procCreateToolhelp32Snapshot = kernel32AntiDebug.NewProc("CreateToolhelp32Snapshot")
+	procThread32First            = kernel32AntiDebug.NewProc("Thread32First")
+	procThread32Next             = kernel32AntiDebug.NewProc("Thread32Next")
+	procOpenThread               = kernel32AntiDebug.NewProc("OpenThread")
+	procGetThreadContext         = kernel32AntiDebug.NewProc("GetThreadContext")
+)
+
+// threadEntry32 是 Toolhelp 线程快照项（x64 布局：32 字节，末尾有对齐填充）。
+type threadEntry32 struct {
+	dwSize       uint32
+	cntUsage     uint32
+	th32ThreadID uint32
+	th32OwnerPID uint32
+	tpBasePrio   int32
+	dwFlags      uint32
+	hModule      uintptr
+	_pad         uint32
+}
+
+// contextAMD64 是 Windows x64 CONTEXT 的局部视图，偏移严格按 winnt.h：
+// P1Home–P6Home 占 0x00–0x2F，ContextFlags@0x30，MxCsr@0x34，段寄存器 0x38–0x43，
+// EFlags@0x44，Dr0@0x48、Dr1@0x50、Dr2@0x58、Dr3@0x60、Dr6@0x68、Dr7@0x70，
+// 其后寄存器/XMM/XSTATE 一并归入 padding（总长取 0x400）。
+// 偏移错一位就会把 EFlags/残值当成断点地址（误杀），故 anti_debug_windows_test.go 逐字段挂断言。
+type contextAMD64 struct {
+	_            [48]byte
+	contextFlags uint32
+	_            [20]byte // MxCsr + 6 个段寄存器 + EFlags
+	dr0          uint64
+	dr1          uint64
+	dr2          uint64
+	dr3          uint64
+	dr6          uint64
+	dr7          uint64
+	_            [1024 - 120]byte
+}
+
+func hardwareBreakpointSet() bool {
+	for _, fn := range []uintptr{
+		procCreateToolhelp32Snapshot.Addr(), procThread32First.Addr(), procThread32Next.Addr(),
+		procOpenThread.Addr(), procGetThreadContext.Addr(),
+	} {
+		if fn == 0 {
+			return false // DLL 未加载成功：本信号记未命中
+		}
+	}
+	snap, _, _ := procCreateToolhelp32Snapshot.Call(th32csSnapThread, 0)
+	if snap == invalidHandleVal || snap == 0 {
+		return false
+	}
+	defer syscall.CloseHandle(syscall.Handle(snap))
+	pid := uintptr(syscall.Getpid())
+	var te threadEntry32
+	te.dwSize = uint32(threadEntrySize)
+	for ok, _, _ := procThread32First.Call(snap, uintptr(unsafe.Pointer(&te))); ok != 0; ok, _, _ = procThread32Next.Call(snap, uintptr(unsafe.Pointer(&te))) {
+		if te.th32OwnerPID != uint32(pid) {
+			continue // 只看本进程的线程
+		}
+		if threadHasHardwareBreakpoint(uintptr(te.th32ThreadID)) {
+			return true
+		}
+	}
+	return false
+}
+
+// threadHasHardwareBreakpoint 读一个线程的调试寄存器；读不到即未命中。
+// 刻意不 SuspendThread：挂起 Go 运行时线程有死锁风险，而调试器 attach 时本就把线程挂住了
+// ——那种状态下 GetThreadContext 才会成功并带回 Dr0–Dr7，正是这一路要抓的场景。
+func threadHasHardwareBreakpoint(tid uintptr) bool {
+	h, _, _ := procOpenThread.Call(threadAllAccess, 0, tid)
+	if h == invalidHandleVal || h == 0 {
+		return false
+	}
+	defer syscall.CloseHandle(syscall.Handle(h))
+	// 16 字节留白供 round16 向上对齐（GetThreadContext 要求 CONTEXT 16 字节对齐）。
+	var ctxRaw [unsafe.Sizeof(contextAMD64{}) + 16]byte
+	ctx := (*contextAMD64)(unsafe.Pointer(round16(&ctxRaw[0])))
+	ctx.contextFlags = contextDebugRegisters // 输入：只取调试寄存器
+	r, _, _ := procGetThreadContext.Call(h, uintptr(unsafe.Pointer(ctx)))
+	if r == 0 || ctx.contextFlags&contextDebugRegisters == 0 {
+		return false // 线程在跑 / 权限不足 / 未回填：一律未命中
+	}
+	return (ctx.dr7&dr7LocalBitsMask) != 0 &&
+		(ctx.dr0 != 0 || ctx.dr1 != 0 || ctx.dr2 != 0 || ctx.dr3 != 0)
+}
+
+// round16 把切片首地址向上对齐到 16 字节（GetThreadContext 要求 CONTEXT 16 字节对齐）。
+func round16(p *byte) *byte {
+	a := uintptr(unsafe.Pointer(p))
+	if d := a % 16; d != 0 {
+		a += 16 - d
+	}
+	return (*byte)(unsafe.Pointer(a))
 }

package/templates/go/pkg/freedom/assets/freedom.js

@@ -127,6 +127,9 @@
       // 聚合信息：title/outerX/outerY/outerWidth/outerHeight/innerWidth/innerHeight/
       // scaleFactor/visible/focused/maximized/minimized/alwaysOnTop/skipTaskbar/frameless/fullscreen。
       getInfo: function () { return windowAction('getInfo'); },
+      // appIcon()：exe 内嵌图标 → PNG data URL（无边框自绘标题栏用）；
+      // 未注入图标或非 Windows 平台返回空字符串。
+      appIcon: function () { return windowAction('appIcon'); },
       // 显示器列表（经 sys 桥接）：[{x,y,width,height,workX,workY,workWidth,workHeight,scaleFactor,isPrimary}]
       monitors: function () { return sysCall('window.monitors', {}); },
       // 窗口视觉效果（Win11）：backdrop: auto|none|solid|mica|acrylic；corner: round|roundSmall|square|default；borderColor: 0x00BBGGRR

package/templates/go/pkg/freedom/assets_embed.go

@@ -12,6 +12,7 @@ import _ "embed"
 //	window.freedom.emit(event, data)                  // 应用内事件广播（后端 Eval 亦使用）
 //
 // bridge 由 go-webview2 的 Bind 机制注册，返回 Promise，Go 侧自动 JSON 编解码。
+//
 //go:embed assets/freedom.js
 var jsSDK string
 

package/templates/go/pkg/freedom/backend_proc.go

@@ -42,11 +42,11 @@ type ProcBackend struct {
 	maxLine int // 单条 stdout 行（一次响应）上限字节；超限即那条响应过大，不得中断整个通道
 
 	// —— W4 崩溃自愈（对标 Tauri shell spawn 的失败处理 / sidecar 重启）——
-	rp        RestartPolicy   // 重启策略（零值=不重启，保持旧行为）
-	gen       int             // 每次拉起递增；readLoop 据此识别"自己那一期"，过期实例不触发重启
-	pdone     chan struct{}   // 当前这期进程 Wait 完成后由 readLoop 关闭（Close 等它，不再自己 Wait，避免双重 Wait）
-	attempts  int             // 连续崩溃重启计数
-	startedAt time.Time       // 本期进程启动时刻（存活够久则重置 attempts）
+	rp        RestartPolicy // 重启策略（零值=不重启，保持旧行为）
+	gen       int           // 每次拉起递增；readLoop 据此识别"自己那一期"，过期实例不触发重启
+	pdone     chan struct{} // 当前这期进程 Wait 完成后由 readLoop 关闭（Close 等它，不再自己 Wait，避免双重 Wait）
+	attempts  int           // 连续崩溃重启计数
+	startedAt time.Time     // 本期进程启动时刻（存活够久则重置 attempts）
 }
 
 // RestartPolicy 是后端进程崩溃后的自动重启策略（经 SetRestartPolicy 启用）。

package/templates/go/pkg/freedom/events_windows.go

@@ -18,10 +18,10 @@ import (
 
 const (
 	wmSize         = 0x0005
-	wmMove           = 0x0003
+	wmMove         = 0x0003
 	wmExitSizeMove = 0x0212
-	wmSetFocus       = 0x0007
-	wmKillFocus      = 0x0008
+	wmSetFocus     = 0x0007
+	wmKillFocus    = 0x0008
 
 	sizeMaximized = 1
 	sizeMinimized = 2
@@ -244,8 +244,8 @@ func enumMonitorsProc(hmon, hdc, lprci, data uintptr) uintptr {
 			Width:  int(mi.rcMonitor.right - mi.rcMonitor.left),
 			Height: int(mi.rcMonitor.bottom - mi.rcMonitor.top),
 			WorkX:  int(mi.rcWork.left), WorkY: int(mi.rcWork.top),
-			WorkWidth:  int(mi.rcWork.right - mi.rcWork.left),
-			WorkHeight: int(mi.rcWork.bottom - mi.rcWork.top),
+			WorkWidth:   int(mi.rcWork.right - mi.rcWork.left),
+			WorkHeight:  int(mi.rcWork.bottom - mi.rcWork.top),
 			ScaleFactor: scale,
 			IsPrimary:   mi.dwFlags&monitorInfofPrimary != 0,
 		})

package/templates/go/pkg/freedom/freedom.go

@@ -22,6 +22,7 @@ import (
 	"errors"
 	"fmt"
 	"os"
+	"strings"
 	"sync"
 	"sync/atomic"
 
@@ -64,11 +65,24 @@ type Config struct {
 	MinHeight int
 	// Debug 为 true 时开启 WebView 开发者工具（目标平台支持时）。
 	Debug bool
+	// DisableAntiDebug 关闭 high 安全模式的调试器探测（见 antiDebugEnabled）。
+	// 默认 false：探测在位。仅在合法运行环境被误判（部分沙箱 / EDR / 虚拟化环境会让
+	// NtQueryInformationProcess 一类调用给出命中值）时由发布方显式置真。
+	// 关闭不影响容器解密与 .integrity 校验——那两道才是源码保护的本体。
+	DisableAntiDebug bool
 	// Backend 指定后端适配器。为空时默认使用内嵌 Go 后端（配合 Bind 使用）。
 	Backend Backend
 	// HTML 返回要加载到窗口的前端页面内容（内存加载，无本地端口）。
 	// 为 nil 时使用框架内置的默认占位页。
 	HTML func() (string, error)
+	// URL 非空时主窗口直接 Navigate 到该地址（如 `freedom dev` 的 vite 服务器），
+	// 优先于 HTML/resources 页面。SDK 经 Init 在每次导航前注入，桥接不失效。
+	// 仅放行 http/https（dev/HMR 走 localhost ws，页面源本身不许 file:// 等面）。
+	URL string
+	// SingleInstance 启用单实例：二次启动把命令行参数转发给主实例后自行退出；
+	// 主实例前端收 `app.secondInstance` 事件（{args}）。Windows 生效，
+	// 其他平台为无操作（始终视为唯一实例）。
+	SingleInstance bool
 	// AppID 是应用标识，决定数据/配置目录名与单实例窗口类标题。
 	// 为空时回退可执行文件名（去扩展名）。一经发布不要更改，否则用户数据"丢失"。
 	AppID string
@@ -83,6 +97,11 @@ type Config struct {
 	Capabilities *Capabilities
 }
 
+// pageURLAllowed 校验主窗口 URL 页面源：仅 http/https 放行（file:// 等本地面拒绝）。
+func pageURLAllowed(raw string) bool {
+	return strings.HasPrefix(raw, "http://") || strings.HasPrefix(raw, "https://")
+}
+
 // App 是 Freedom 应用实例。
 type App struct {
 	cfg     Config
@@ -93,9 +112,15 @@ type App struct {
 	onReady func(a *App)
 
 	// 运行时资源覆盖（resources.go）：secure = high 模式（app.bin 解密成功），
-	// backendExplicit = 用户经 Bind 显式使用内嵌后端（config.json 的 backend 不得再替换）。
-	secure          bool
-	backendExplicit bool
+	// backendExplicit = 用户经 Bind 显式使用内嵌后端（config.json 的 backend 不得再替换），
+	// secureBackendDir = high 模式容器内后端源码解密落地用的私有临时目录（退出即删）。
+	secure           bool
+	backendExplicit  bool
+	secureBackendDir string
+
+	// runtimeVersion = config.json / app.bin 容器里声明的「本应用」版本。
+	// 与编译期的 Version（通用壳的版本）分属两个版本域，自更新比较只认前者。
+	runtimeVersion string
 
 	// upMu 保护 upPending：CheckUpdate 验签通过的更新条目，install 桥接只认它
 	//（前端无法注入未验签的 URL/哈希）。见 updater.go。
@@ -213,6 +238,11 @@ func (a *App) Unbind(name string) {
 
 // Run 启动窗口并进入主事件循环，阻塞直到窗口被关闭。
 func (a *App) Run() {
+	// high 产物：解密前先跑一次反调试（此时密钥与明文都还没进内存），
+	// 解密后再跑一次（兜住"启动后才附加调试器"）。非 high 应用不受影响。
+	if hasSecureResources() && a.antiDebugEnabled() {
+		antiDebugCheck()
+	}
 	// 通用壳：先加载 exe 同目录 resources/ 覆盖窗口与后端配置（CLI build 写入；
 	// 缺失则使用编译期/默认配置）。配置存在但非法时打印告警不中断启动。
 	if err := a.loadRuntimeConfig(); err != nil {
@@ -225,13 +255,22 @@ func (a *App) Run() {
 		}
 		fmt.Printf("freedom: warning: %v\n", err)
 	}
-	// high 模式：反调试检测（调试器下静默退出，防止逆向解密逻辑）。
-	if a.secure {
+	// high 模式的临时后端目录随进程退出清理（defer 早于后端 Close 注册 → 后于其执行）。
+	defer a.cleanupSecureBackend()
+	// Ctrl+C / SIGTERM / 控制台关闭：defer 不会执行，须显式清扫（见 installSecureShutdown）。
+	a.installSecureShutdown()
+	// high 模式：解密后复查调试器（见 Run 开头的"解密前一次"）。
+	if a.secure && a.antiDebugEnabled() {
 		antiDebugCheck()
 	}
 	// 平台层回调（单实例转发/热键）经 currentApp 找到本实例推送事件。
 	appForEvents.Store(a)
 	defer appForEvents.Store(nil)
+	// 单实例：二次启动的参数已在 RequestSingleInstance 内转发给主实例，
+	// 本进程不建窗直接返回（主实例前端收 app.secondInstance 事件）。
+	if a.cfg.SingleInstance && !RequestSingleInstance(a.effectiveAppID()) {
+		return
+	}
 	// M2：标记运行中（NewWindow 的前置条件）并登记主窗口；退出前回收次级窗口。
 	a.winMu.Lock()
 	a.running = true
@@ -247,10 +286,19 @@ func (a *App) Run() {
 		a.running = false
 		a.winMu.Unlock()
 	}()
-	html, err := a.resolveHTML()
-	if err != nil {
-		fmt.Printf("freedom: failed to resolve HTML: %v\n", err)
-		return
+	// URL 模式（dev 服务器/远程页）：跳过页面内容解析，稍后 Navigate。
+	// scheme 白名单：只放行 http/https，file:// 等本地面一律拒绝。
+	if a.cfg.URL != "" && !pageURLAllowed(a.cfg.URL) {
+		fmt.Printf("freedom: 拒绝非 http/https 的 URL %q，回退页面源\n", a.cfg.URL)
+		a.cfg.URL = ""
+	}
+	var html string
+	if a.cfg.URL == "" {
+		var err error
+		if html, err = a.resolveHTML(); err != nil {
+			fmt.Printf("freedom: failed to resolve HTML: %v\n", err)
+			return
+		}
 	}
 
 	w := webview.New(a.cfg.Debug)
@@ -288,6 +336,8 @@ func (a *App) Run() {
 	}
 	a.applyCenter()
 	a.applyTitleBar()
+	// 标题栏 / 任务栏图标同步为 exe 内嵌图标（Windows；其他平台 no-op）。
+	a.setWindowIcon()
 	// 窗口事件与关闭拦截（Windows 经 WndProc 子类化；其他平台 no-op）。
 	a.installWindowEvents()
 	// 恢复上次退出的窗口几何（仅 Config.RememberWindowState 时生效）。
@@ -352,7 +402,11 @@ func (a *App) Run() {
 
 	// 注：onReady 不再在 SetHtml 前触发（H3），改由前端 SDK 在页面
 	// DOMContentLoaded 后经 __freedom__ready 回调，保证初始化事件不丢失。
-	w.SetHtml(html)
+	if a.cfg.URL != "" {
+		w.Navigate(a.cfg.URL) // Init 注入对每次导航生效，URL 模式桥接同样可用
+	} else {
+		w.SetHtml(html)
+	}
 	w.Run()
 }
 

package/templates/go/pkg/freedom/msgwindow_windows.go

@@ -35,14 +35,14 @@ func validCopyData(dwData uintptr, cbData uint32, lpData uintptr) bool {
 }
 
 type msgWindow struct {
-	mu        sync.Mutex
-	hwnd      uintptr
-	ready     chan struct{}
-	created   bool
-	hotkeys   map[string]uint32 // 前端 id → 热键数值 id
-	nextHKID  uint32
-	onHotkey  func(id string)
-	onData    func(payload []byte)
+	mu       sync.Mutex
+	hwnd     uintptr
+	ready    chan struct{}
+	created  bool
+	hotkeys  map[string]uint32 // 前端 id → 热键数值 id
+	nextHKID uint32
+	onHotkey func(id string)
+	onData   func(payload []byte)
 }
 
 var (