@yufengtadian/freedom-cli 1.13.1 → 1.13.3

package/templates/go/pkg/freedom/resources.go

@@ -40,19 +40,34 @@ type runtimeBackend struct {
 	Args    []string `json:"args"`
 }
 
+// runtimeUpdater 描述 config.json 中的自动更新配置（对应 updater.go 的 UpdateConfig；
+// 公钥为 base64 std 的 ed25519 32 字节公钥，私钥属发布方资产——签名由 freedom CLI 生成）。
+type runtimeUpdater struct {
+	ManifestURL      string `json:"manifestURL"`
+	PublicKey        string `json:"publicKey"`
+	RequireSignature *bool  `json:"requireSignature"`
+}
+
 // runtimeConfigFile 描述 resources/config.json 的磁盘结构。
 // 由 freedom CLI 在 build 阶段根据 freedom.config.js 生成；Name 仅作来源标记不应用。
 type runtimeConfigFile struct {
-	Name      string          `json:"name"`
-	Title     string          `json:"title"`
-	TitleBar  string          `json:"titlebar"`
-	Width     int             `json:"width"`
-	Height    int             `json:"height"`
-	MinWidth  int             `json:"minWidth"`
-	MinHeight int             `json:"minHeight"`
-	Center    *bool           `json:"center"`
-	Debug     *bool           `json:"debug"`
-	Backend   *runtimeBackend `json:"backend"`
+	Name           string          `json:"name"`
+	Version        string          `json:"version"`
+	Title          string          `json:"title"`
+	TitleBar       string          `json:"titlebar"`
+	Width          int             `json:"width"`
+	Height         int             `json:"height"`
+	MinWidth       int             `json:"minWidth"`
+	MinHeight      int             `json:"minHeight"`
+	Center         *bool           `json:"center"`
+	Debug          *bool           `json:"debug"`
+	Backend        *runtimeBackend `json:"backend"`
+	URL            string          `json:"url"`
+	SingleInstance *bool           `json:"singleInstance"`
+	Updater        *runtimeUpdater `json:"updater"`
+	// Capabilities 收口前端可调用面。通用壳里编译不进应用作者的 Config 字面量，
+	// 没有这条透传则 freedom.config.js 写 capabilities 会被静默忽略（= 全开）。
+	Capabilities *Capabilities `json:"capabilities"`
 }
 
 // resourcesDirOverride 是单测缝：非空时替代 exe 同目录的 resources 定位。
@@ -82,10 +97,19 @@ func (a *App) loadRuntimeConfig() error {
 		if err := json.Unmarshal([]byte(p.Config), &rc); err != nil {
 			return fmt.Errorf("parse encrypted config: %w", err)
 		}
+		a.secure = true
+		// high 模式的后端源码在容器内（磁盘无 resources/backend 明文）：解密到进程私有
+		// 临时目录供子进程执行，Run 退出时删除。
+		if len(p.Backend) > 0 {
+			bdir, err := materializeSecureBackend(p.Backend)
+			if err != nil {
+				return secureFatal(fmt.Errorf("后端源码解密落地失败：%w", err))
+			}
+			a.secureBackendDir = bdir
+		}
 		a.applyRuntimeConfig(&rc)
 		// high 模式强制关闭 WebView 开发者工具，防止前端源码经 devtools 直接查看。
 		a.cfg.Debug = false
-		a.secure = true
 		return nil
 	}
 	return a.loadRuntimeConfigPlain()
@@ -115,6 +139,15 @@ func (a *App) loadRuntimeConfigPlain() error {
 
 // applyRuntimeConfig 把解析后的运行时配置覆盖到应用配置（明文与加密路径共用）。
 func (a *App) applyRuntimeConfig(rc *runtimeConfigFile) {
+	// 应用版本：通用壳编译期注入的 Version 是「壳」的版本，不是「这个应用」的版本。
+	// 自更新比较必须用后者，否则要么永远报 uncomparable（壳未打戳时是 "dev"），
+	// 要么拿壳的版本号跟应用的清单比——换来的仍是同一个壳，更新永远收敛不了。
+	if rc.Version != "" {
+		a.runtimeVersion = rc.Version
+	}
+	if rc.Capabilities != nil && a.cfg.Capabilities == nil {
+		a.cfg.Capabilities = rc.Capabilities
+	}
 	// 窗口标题：config.json 的 title 覆盖编译期默认（"Freedom App"）。
 	if rc.Title != "" {
 		a.cfg.Title = rc.Title
@@ -143,14 +176,29 @@ func (a *App) applyRuntimeConfig(rc *runtimeConfigFile) {
 	if rc.Debug != nil {
 		a.cfg.Debug = *rc.Debug
 	}
+	if rc.URL != "" {
+		a.cfg.URL = rc.URL
+	}
+	if rc.SingleInstance != nil {
+		a.cfg.SingleInstance = *rc.SingleInstance
+	}
+	// 自动更新：manifestURL 与 publicKey 缺一即视为未配置（半截配置宁可不启用，
+	// 也不让壳带着空公钥去更新）。
+	if rc.Updater != nil && rc.Updater.ManifestURL != "" && rc.Updater.PublicKey != "" {
+		uc := &UpdateConfig{ManifestURL: rc.Updater.ManifestURL, PublicKey: rc.Updater.PublicKey}
+		if rc.Updater.RequireSignature != nil {
+			uc.RequireSignature = *rc.Updater.RequireSignature
+		}
+		a.cfg.Update = uc
+	}
 	// 外部后端进程配置：仅在壳未显式绑定后端时生效（用户 Bind 过内嵌方法 =
 	// 显式内嵌后端，config.json 不得静默替换，否则其方法全部失效）。
-	// 工作目录设为 resources 目录，使相对路径参数（backend/main.mjs）按
-	// resources/ 解析（CLI 会把项目 backend/ 目录分发到 resources/backend/）。
+	// 工作目录取 backendWorkDir()：明文模式 = resources 目录（相对路径 backend/main.mjs
+	// 由其解析）；high 模式 = 容器解出的私有临时目录（resources 下没有明文后端）。
 	if rc.Backend != nil && rc.Backend.Command != "" && !a.backendExplicit {
 		args := append([]string{rc.Backend.Command}, rc.Backend.Args...)
 		pb := NewProcBackend(args...)
-		if dir, err := resourcesDir(); err == nil && dir != "" {
+		if dir, err := a.backendWorkDir(); err == nil && dir != "" {
 			pb.SetDir(dir)
 		}
 		a.cfg.Backend = pb
@@ -158,6 +206,63 @@ func (a *App) applyRuntimeConfig(rc *runtimeConfigFile) {
 	}
 }
 
+// appVersion 返回「本应用」的版本：优先用 config.json / app.bin 容器里声明的值，
+// 回落编译期 Version（examples 自建壳走 ldflags 注入）。通用壳的 Version 是壳自己的
+// 版本域，拿它跟应用发布清单比是两个数在比——见 updater.go 的 CheckUpdate。
+func (a *App) appVersion() string {
+	if a != nil && a.runtimeVersion != "" {
+		return a.runtimeVersion
+	}
+	return Version
+}
+
+// backendWorkDir 返回后端进程的工作目录。
+func (a *App) backendWorkDir() (string, error) {
+	if a.secureBackendDir != "" {
+		return a.secureBackendDir, nil
+	}
+	return resourcesDir()
+}
+
+// installSecureShutdown 注册信号退出通道（Run 调用）。
+//
+// 清扫顺序刻意是「先后端、后目录」：后端子进程的工作目录就是 high 模式解出的那个明文临时
+// 目录，它还活着时 Windows 会因文件被占用让 RemoveAll 静默失败——明文源码继续留在 %TEMP%，
+// 而信号路径紧接着就 os.Exit，下次启动的 GC 也帮不上（PID 仍存活）。ProcBackend.Close 自带
+// closed 幂等与 3s 等待上界，与 Run 正常退出的 defer 双跑无害。
+// 非 high 模式下 cleanupSecureBackend 是 no-op，但后端该停照样得停，故不再判安全档。
+func (a *App) installSecureShutdown() {
+	secureCleanup = func() {
+		a.closeBackendForShutdown()
+		a.cleanupSecureBackend()
+	}
+	installShutdownCleanup()
+}
+
+// closeBackendForShutdown 停后端子进程；未配置后端（nil）时为空操作。
+func (a *App) closeBackendForShutdown() {
+	if a.backend == nil {
+		return
+	}
+	if err := a.backend.Close(); err != nil {
+		fmt.Fprintf(os.Stderr, "freedom: shutdown backend close: %v\n", err)
+	}
+}
+
+// cleanupSecureBackend 删除 high 模式解出的临时后端目录（Run 退出时调用）。
+// 进程被强杀时目录会残留在系统临时区——内容仍可被下一次启动的壳重新解出，
+// 且明文源码本就来自内存，故不引入跨进程清扫。
+func (a *App) cleanupSecureBackend() {
+	if a.secureBackendDir == "" {
+		return
+	}
+	// 删不掉必须在退出前喊出来：这是「磁盘不留明文」承诺当场失守的时刻，静默等于隐瞒。
+	if err := os.RemoveAll(a.secureBackendDir); err != nil {
+		fmt.Fprintf(os.Stderr, "freedom: 明文后端临时目录未清除（后端源码可能仍可读取）：%s: %v\n", a.secureBackendDir, err)
+	}
+	a.secureBackendDir = ""
+}
+
 // loadRuntimeHTML 返回前端页面内容（high 模式：解密 app.bin 内的 html；
 // 否则读取 exe 同目录 resources/index.html）。文件不存在时返回空串。
 func loadRuntimeHTML() (string, error) {

package/templates/go/pkg/freedom/securetemp.go

@@ -0,0 +1,61 @@
+package freedom
+
+// high 模式后端源码临时目录的启动期回收。
+//
+// 正常退出由 App.cleanupSecureBackend 删除；进程崩溃或被 taskkill /F 强杀时
+// defer 不会执行，解密的明文源码就留在临时目录里（同用户的逆向者可直接读走）。
+// 这里在每次物化前扫一遍临时目录，回收"同应用且属主进程已不在"的历史目录。
+//
+// 目录名格式：freedom-<app>-<pid>-<MkdirTemp 随机后缀>。按应用名精确匹配，
+// 因此只可能删到同一应用自己的残留目录；判据失败（PID 解析不出、进程仍活着）
+// 一律保留，宁留残留不误删。
+
+import (
+	"os"
+	"path/filepath"
+	"strconv"
+	"strings"
+)
+
+// secureTempDirName 生成物化目录名前缀（含应用标识与当前 PID）。
+func secureTempDirName(app string) string {
+	return "freedom-" + app + "-" + strconv.Itoa(os.Getpid()) + "-"
+}
+
+// gcStaleSecureBackendDirs 删除 dir 下属于 appName、且属主进程已退出的物化目录。
+func gcStaleSecureBackendDirs(dir, appName string) {
+	entries, err := os.ReadDir(dir)
+	if err != nil {
+		return // 临时目录不可读：跳过回收，不影响本次启动
+	}
+	prefix := "freedom-" + appName + "-"
+	for _, e := range entries {
+		if !e.IsDir() {
+			continue
+		}
+		pid, ok := parseSecureTempName(e.Name(), prefix)
+		if !ok || backendProcessAlive(pid) {
+			continue
+		}
+		_ = os.RemoveAll(filepath.Join(dir, e.Name()))
+	}
+}
+
+// parseSecureTempName 从 "freedom-<app>-<pid>-<rand>" 取出 pid。
+// 要求 rand 段存在（我们自建的目录必然带 MkdirTemp 后缀），据此排除
+// 手工命名的同前缀目录。
+func parseSecureTempName(name, prefix string) (int, bool) {
+	rest, ok := strings.CutPrefix(name, prefix)
+	if !ok {
+		return 0, false
+	}
+	pidStr, randStr, ok := strings.Cut(rest, "-")
+	if !ok || randStr == "" {
+		return 0, false
+	}
+	pid, err := strconv.Atoi(pidStr)
+	if err != nil || pid <= 0 {
+		return 0, false
+	}
+	return pid, true
+}

package/templates/go/pkg/freedom/securetemp_other.go

@@ -0,0 +1,20 @@
+//go:build !windows
+
+package freedom
+
+import (
+	"errors"
+	"os"
+	"syscall"
+)
+
+// backendProcessAlive 用 signal 0 探测进程存在性：
+// 成功=存活；EPERM=存活但非本人所有（保守判存活）；ESRCH 等=已退出。
+func backendProcessAlive(pid int) bool {
+	p, err := os.FindProcess(pid)
+	if err != nil {
+		return false
+	}
+	err = p.Signal(syscall.Signal(0))
+	return err == nil || errors.Is(err, syscall.EPERM)
+}

package/templates/go/pkg/freedom/securetemp_windows.go

@@ -0,0 +1,25 @@
+//go:build windows
+
+package freedom
+
+import "syscall"
+
+var (
+	kernel32SecureTemp = syscall.NewLazyDLL("kernel32.dll")
+	procOpenProcess    = kernel32SecureTemp.NewProc("OpenProcess")
+	procCloseHandle    = kernel32SecureTemp.NewProc("CloseHandle")
+)
+
+// processQueryLimitedInformation 是最低权限的进程存在性探测（不需要任何特权，
+// 对已退出但句柄未回收的进程仍返回真，属安全方向的保守判定）。
+const processQueryLimitedInformation = 0x1000
+
+// backendProcessAlive 判断 PID 是否仍存活；OpenProcess 失败（含权限不足）即判为不存活。
+func backendProcessAlive(pid int) bool {
+	h, _, _ := procOpenProcess.Call(processQueryLimitedInformation, 0, uintptr(pid))
+	if h == 0 {
+		return false
+	}
+	procCloseHandle.Call(h)
+	return true
+}