@yufengtadian/freedom-cli 1.13.1 → 1.13.3

package/lib/build.js

@@ -32,6 +32,7 @@ const {
   isMacPlat,
   platformExeName,
   nativePlatform,
+  normalizePlatform,
   localShellPath,
 } = require('./utils');
 const { hasShell, downloadShell, validateLocalShell } = require('./shell');
@@ -60,12 +61,12 @@ function run(cmd, args, opts = {}) {
   return res;
 }
 
-// --platform 解析：支持逗号 / 中英文逗号 / 空白分隔多平台；win|mac|linux|all 或平台 key（win-x64 等）。
+// --platform 解析：支持逗号 / 中英文逗号 / 空白分隔多平台；win|mac|linux|all 或平台 key
+// （win-x64 等，别名口径与 freedom shell 子命令统一走 utils.normalizePlatform）。
 // 多平台去重保留顺序。all 仅取可分发平台（DIST_PLATFORMS）：linux-arm64 无 CI 资产，
 // 若列入 all 会在 build 时 404 拖垮整个全量构建（历史 bug B41）。
 function parsePlatforms(raw) {
   if (!raw) return [nativePlatform()];
-  const keyMap = { win: 'win-x64', mac: 'darwin-arm64', linux: 'linux-x64' };
   const seen = [];
   const push = (p) => {
     if (!ALL_PLATFORMS.includes(p)) {
@@ -81,7 +82,7 @@ function parsePlatforms(raw) {
     if (v === 'all') {
       for (const p of DIST_PLATFORMS) push(p);
     } else {
-      push(keyMap[v] || v);
+      push(normalizePlatform(v) || v);
     }
   }
   if (seen.length === 0) {
@@ -107,28 +108,40 @@ async function build(projectDir, opts = {}) {
   const autoDownload = opts.autoDownload !== false;
 
   // 1) 前端打包（带缓存：源码未变更时复用上次 vite 产物，跳过 npm run build）
-  ensureNodeModules(dir);
-  const useCache = opts.noCache !== true;
-  if (useCache && !viteNeedsRebuild(dir)) {
-    process.stdout.write('[freedom] 前端源码无改动，复用构建缓存...\n');
+  // cfg.staticHtml：静态单文件页面直通——不跑 npm install / vite，用于 freedom 自己的
+  // Desktop 界面自举打包（以及纯静态页项目），零网络、零依赖。
+  let html;
+  if (cfg.staticHtml) {
+    const staticPath = path.resolve(dir, String(cfg.staticHtml));
+    if (!fs.existsSync(staticPath)) {
+      throw new Error(`staticHtml 指向的文件不存在：${staticPath}（freedom.config.js 配置项）`);
+    }
+    html = fs.readFileSync(staticPath, 'utf8');
+    warnIfNotSingleFile(html, staticPath);
   } else {
-    process.stdout.write('[freedom] 前端打包中（npm run build）...\n');
-    // 全量构建时 npm/vite 输出必须实时透传（stdio: inherit），
-    // 此前 pipe 缓冲会吞掉构建全程输出，Node 主线程被 spawnSync 同步阻塞，
-    // 大前端全量构建时终端长时间零输出，表现如"未响应/卡死"。
-    const vite = run('npm', ['run', 'build'], { cwd: dir, stdio: 'inherit' });
-    if (vite.status !== 0) {
-      throw new Error(`前端打包失败（退出码 ${vite.status}），详见上方构建输出。`);
+    ensureNodeModules(dir);
+    const useCache = opts.noCache !== true;
+    if (useCache && !viteNeedsRebuild(dir)) {
+      process.stdout.write('[freedom] 前端源码无改动，复用构建缓存...\n');
+    } else {
+      process.stdout.write('[freedom] 前端打包中（npm run build）...\n');
+      // 全量构建时 npm/vite 输出必须实时透传（stdio: inherit），
+      // 此前 pipe 缓冲会吞掉构建全程输出，Node 主线程被 spawnSync 同步阻塞，
+      // 大前端全量构建时终端长时间零输出，表现如"未响应/卡死"。
+      const vite = run('npm', ['run', 'build'], { cwd: dir, stdio: 'inherit' });
+      if (vite.status !== 0) {
+        throw new Error(`前端打包失败（退出码 ${vite.status}），详见上方构建输出。`);
+      }
+      writeViteCacheMarker(dir);
     }
-    writeViteCacheMarker(dir);
-  }
-  const distHtml = path.join(dir, '.freedom', 'vite-dist', 'index.html');
-  if (!fs.existsSync(distHtml)) {
-    throw new Error(`前端打包完成但未找到 ${distHtml}，请检查 vite 配置（vite-plugin-singlefile）。`);
+    const distHtml = path.join(dir, '.freedom', 'vite-dist', 'index.html');
+    if (!fs.existsSync(distHtml)) {
+      throw new Error(`前端打包完成但未找到 ${distHtml}，请检查 vite 配置（vite-plugin-singlefile）。`);
+    }
+    html = fs.readFileSync(distHtml, 'utf8');
+    warnIfNotSingleFile(html, distHtml);
   }
-  const html = fs.readFileSync(distHtml, 'utf8');
-  warnIfNotSingleFile(html, distHtml);
-  const configJSON = renderConfigJSON(cfg, name);
+  const configJSON = renderConfigJSON(cfg, name, version);
   // 安全模式：--security 优先于 freedom.config.js 的 security 字段，默认 none。
   //   none  = 明文资源（默认，兼容历史产物）
   //   basic = 明文资源 + 构建期安全提示（剥符号 / 混淆，后续可用高模式加密）
@@ -149,8 +162,8 @@ async function build(projectDir, opts = {}) {
   const results = await Promise.all(
     platforms.map(async (plat) => {
       const targetDir = multi ? path.join(outDirPath, plat) : outDirPath;
-      const outFile = await emitPlatform({ plat, name, version, targetDir, html, configJSON, backendDir, hasBackend, autoDownload, icon, security });
-      return { plat, outFile };
+      const emitted = await emitPlatform({ plat, name, version, targetDir, html, configJSON, backendDir, hasBackend, autoDownload, icon, security, installer: opts.installer === true });
+      return { plat, ...emitted };
     })
   );
 
@@ -184,7 +197,7 @@ async function build(projectDir, opts = {}) {
   return { results };
 }
 
-async function emitPlatform({ plat, name, version, targetDir, html, configJSON, backendDir, hasBackend, autoDownload, icon, security }) {
+async function emitPlatform({ plat, name, version, targetDir, html, configJSON, backendDir, hasBackend, autoDownload, icon, security, installer }) {
   // 取预编译壳二进制
   const shell = localShellPath(plat);
   if (!fs.existsSync(shell)) {
@@ -233,14 +246,24 @@ async function emitPlatform({ plat, name, version, targetDir, html, configJSON,
       const p = path.join(resDir, legacy);
       if (fs.existsSync(p)) await fsp.rm(p, { force: true });
     }
-    const appBin = encryptApp(name, html, configJSON);
-    await fsp.writeFile(path.join(resDir, 'app.bin'), appBin);
-    const backendRelMap = {};
+    // 后端源码同样进容器：high 模式磁盘上不留 resources/backend 明文目录，
+    // 壳启动时把容器内 backend/* 解密到一次性临时目录（退出即删）。
+    const legacyBackend = path.join(resDir, 'backend');
+    if (fs.existsSync(legacyBackend)) await fsp.rm(legacyBackend, { recursive: true, force: true });
+    const backendFiles = {};
     if (hasBackend && fs.existsSync(backendDir)) {
-      collectDirFiles(backendDir, '', backendRelMap);
+      for (const [rel, buf] of Object.entries(collectDirFiles(backendDir, '', {}))) {
+        backendFiles['backend/' + rel] = { data: buf, mode: fileMode(path.join(backendDir, rel)) };
+      }
     }
-    const integrityText = renderIntegrity(buildIntegrity(name, appBin, backendRelMap));
-    await fsp.writeFile(path.join(resDir, '.integrity'), integrityText, 'utf8');
+    // 加密前先抹掉 source map 引用：内联 sourceMappingURL 里往往直接嵌着前端原始源码，
+    // 容器解密即还原，等于给 high 模式留了个明文后门。
+    const { html: secureHtml, stripped } = stripSourceMapRefs(html);
+    if (stripped > 0) {
+      process.stdout.write(`[freedom] high 模式：已抹去前端页内 ${stripped} 处 source map 引用（可能含原始源码）。\n`);
+    }
+    const appBin = encryptApp(name, secureHtml, configJSON, backendFiles);    await fsp.writeFile(path.join(resDir, 'app.bin'), appBin);
+    await fsp.writeFile(path.join(resDir, '.integrity'), renderIntegrity(buildIntegrity(name, appBin)), 'utf8');
   } else {
     for (const legacy of ['app.bin', '.integrity']) {
       const p = path.join(resDir, legacy);
@@ -256,10 +279,14 @@ async function emitPlatform({ plat, name, version, targetDir, html, configJSON,
       );
     }
   }
-  if (hasBackend) {
+  if (hasBackend && security !== 'high') {
     copyDir(backendDir, path.join(resDir, 'backend'));
   }
 
+  // --installer：便携 zip + Windows NSIS 安装器。先于 mac 的 .app 生成，
+  // 使 zip 内容只含「exe + resources」，不把 .app 与 .app.zip 二次打包进去。
+  const installers = installer ? await buildInstaller({ plat, name, version, targetDir, exeName }) : [];
+
   // macOS：额外生成 .app bundle + .app.zip（供 mac 用户解压即用）
   // 壳加载 exe 同目录 resources/，故把 resources 放进 Contents/MacOS/ 即可运行，无需改壳。
   if (isMacPlat(plat)) {
@@ -269,7 +296,7 @@ async function emitPlatform({ plat, name, version, targetDir, html, configJSON,
     );
   }
 
-  return outFile;
+  return { outFile, installers };
 }
 
 // 把 .ico 图标注入到 Windows exe 的 PE 资源（RT_ICON + RT_GROUP_ICON），
@@ -290,7 +317,16 @@ async function applyWindowsIcon(exePath, iconPath, name, version) {
     );
     return;
   }
-  const rcedit = require('rcedit'); // 惰性加载，避免未配置 icon 时增加启动开销
+  let rcedit;
+  try {
+    rcedit = require('rcedit'); // 惰性加载，避免未配置 icon 时增加启动开销
+  } catch (e) {
+    throw new Error(
+      'exe 图标注入需要依赖 rcedit，但未能加载（npm 安装不完整）。'
+      + '请在 freedom-cli 安装目录执行 npm install 后重试；'
+      + '或临时移除 freedom.config.js 的 icon 配置以跳过注入。'
+    );
+  }
   const info = { icon: iconPath };
   // rcedit 4.x 参数结构：FileDescription/ProductName 等字符串必须走
   // version-string（--set-version-string 键值对），file-version/product-version
@@ -402,21 +438,25 @@ ${iconEntry}  <key>CFBundleExecutable</key>
 }
 
 // 把目录压成 .zip：跨平台零额外依赖（历史 bug B27）
-// - Windows：系统 tar 为 bsdtar，`-a` 按扩展名自动选 zip 压缩器，可用；
-// - Linux/macOS：GNU tar 的 `-a` 不支持 .zip（仅 gzip/bzip2/xz 等），
-//   改用系统 zip 命令（Linux/macOS 自带或常见，缺失时给出安装提示）。
+// - Windows：bsdtar 的 `-a` 按扩展名自动选 zip 压缩器，可用；但必须绝对路径锁定系统
+//   tar.exe —— Git Bash / MSYS 会把 GNU tar 塞进 PATH 前面，GNU tar 不认 `-a` 且把
+//   `D:\...` 当远程主机（`Cannot connect to D: resolve failed`）。
+// - Linux/macOS：GNU tar 的 `-a` 不支持 .zip，改用系统 zip 命令（缺失时给出安装提示）。
 function zipDir(zipPath, dir) {
   const parent = path.dirname(dir);
   const base = path.basename(dir);
   if (fs.existsSync(zipPath)) fs.unlinkSync(zipPath);
-  let res;
+  let cmd = 'zip';
+  let args = ['-r', '-q', zipPath, base];
   if (process.platform === 'win32') {
-    res = spawnSync('tar', ['-a', '-c', '-f', zipPath, base], { cwd: parent, encoding: 'utf8' });
-  } else {
-    res = spawnSync('zip', ['-r', '-q', zipPath, base], { cwd: parent, encoding: 'utf8' });
+    const sysRoot = process.env.SystemRoot || 'C:\\Windows';
+    const bsdtar = path.join(sysRoot, 'System32', 'tar.exe');
+    cmd = fs.existsSync(bsdtar) ? bsdtar : 'tar';
+    args = ['-a', '-c', '-f', zipPath, base];
   }
+  const res = spawnSync(cmd, args, { cwd: parent, encoding: 'utf8', windowsHide: true });
   if (res.error || res.status !== 0) {
-    const detail = (res.stderr || res.stdout || '').trim() || res.error.message;
+    const detail = (res.stderr || res.stdout || (res.error && res.error.message) || '').trim();
     const hint = process.platform !== 'win32'
       ? '\n（Linux/macOS 打包 zip 需要 zip 命令：Ubuntu: sudo apt install zip / macOS: brew install zip）'
       : '';
@@ -424,6 +464,65 @@ function zipDir(zipPath, dir) {
   }
 }
 
+// --installer 产物：便携 zip 恒产出；Windows 额外填充 NSIS 模板，本机有 makensis
+// 时直接编译 setup.exe，无则产出已填充的 .nsi（缺 makensis 属环境能力而非代码缺陷）。
+// 顺序即排除策略：先压 zip 再写 .nsi/setup.exe，免维护"排除安装器中间物"清单。
+async function buildInstaller({ plat, name, version, targetDir, exeName }) {
+  const artifacts = [];
+
+  const zipPath = path.join(targetDir, `${name}-${plat}-portable.zip`);
+  // 中间 zip 必须带平台后缀：多平台打包是并发的（emitPlatform 跑在 Promise.all 里），
+  // 而各 plat 的 targetDir 同级，只按 pid 命名会让 A 平台的 zipDir 覆写 B 平台正在 rename 的
+  // 临时文件——结果是 A 的 portable.zip 里装着 B 的二进制（静默错平台产物）或 ENOENT 崩在成功提示之后。
+  const tmpPath = path.join(path.dirname(targetDir), `.freedom-portable-${plat}-${process.pid}.zip`);
+  zipDir(tmpPath, targetDir);
+  await fsp.rename(tmpPath, zipPath);
+  artifacts.push(zipPath);
+
+  if (!isWinPlat(plat)) return artifacts;
+
+  const tplPath = path.join(__dirname, '..', 'templates', 'installer', 'app.nsi');
+  if (!fs.existsSync(tplPath)) {
+    process.stdout.write(`[freedom] 提示：缺少安装包模板 ${tplPath}，已跳过 NSIS。\n`);
+    return artifacts;
+  }
+  const fill = (s) =>
+    s.replace(/@NAME@/g, name)
+      .replace(/@VERSION@/g, version)
+      .replace(/@SRC@/g, targetDir)
+      .replace(/@OUT@/g, targetDir)
+      .replace(/@EXE@/g, exeName);
+  // NSIS 3 对无 BOM 的 UTF-8 脚本按代码页解释，模板含中文注释与 SimpChinese 文案，
+  // 故补 BOM（与 build.ps1 的 [Text.Encoding]::UTF8 写出行为一致）。
+  const body = fill(fs.readFileSync(tplPath, 'utf8'));
+  const nsiPath = path.join(targetDir, `${name}-setup-${version}.nsi`);
+  await fsp.writeFile(nsiPath, Buffer.concat([Buffer.from([0xef, 0xbb, 0xbf]), Buffer.from(body, 'utf8')]));
+  artifacts.push(nsiPath);
+
+  if (!hasTool('makensis')) {
+    process.stdout.write(
+      '[freedom] 未检测到 makensis（NSIS）：已产出填充好的 .nsi，在装有 NSIS 的机器上执行\n' +
+      `          makensis "${nsiPath}" 即可编译安装器。\n`
+    );
+    return artifacts;
+  }
+  const res = spawnSync('makensis', ['-V2', nsiPath], { encoding: 'utf8' });
+  if (res.status !== 0) {
+    const detail = (res.stderr || res.stdout || '').trim().slice(0, 600);
+    throw new Error(`makensis 编译失败（退出码 ${res.status}）：${detail}`);
+  }
+  const setupPath = path.join(targetDir, `${name}-setup-${version}.exe`);
+  process.stdout.write(`[freedom] NSIS 安装器已生成：${setupPath}\n`);
+  artifacts.push(setupPath);
+  return artifacts;
+}
+
+// 外部命令可用性探测（不影响主流程，仅决定是否尝试调用）。
+function hasTool(cmd) {
+  const res = spawnSync(cmd, ['-VERSION'], { encoding: 'utf8', windowsHide: true });
+  return !res.error;
+}
+
 // 从项目 package.json 取版本号（cfg.version 优先）
 function appVersionFromPkg(dir) {
   try {
@@ -435,9 +534,12 @@ function appVersionFromPkg(dir) {
 }
 
 // 渲染 resources/config.json（与壳 resources.go 的 runtimeConfigFile 字段对齐）
-function renderConfigJSON(cfg, name) {
+function renderConfigJSON(cfg, name, version) {
   const obj = {
     name,
+    // 应用自己的版本必须随产物落盘：通用壳编译期注入的 freedom.Version 是「壳」的版本域，
+    // 自更新拿它跟应用清单比，结果是「永远 uncomparable」或「下完更新还是同一个壳」。
+    version: version || undefined,
     title: cfg.title || cfg.name || name,
     titlebar: cfg.titlebar || 'frameless',
     width: intVal(cfg.width, 1024),
@@ -456,6 +558,25 @@ function renderConfigJSON(cfg, name) {
       args: Array.isArray(cfg.backend.args) ? cfg.backend.args : [],
     };
   }
+  // 能力透传（与壳 resources.go 对齐）：URL 直载 / 单实例 / 自动更新。
+  if (typeof cfg.url === 'string' && cfg.url) obj.url = cfg.url;
+  if (cfg.singleInstance === true) obj.singleInstance = true;
+  if (cfg.updater && typeof cfg.updater.manifestURL === 'string' && typeof cfg.updater.publicKey === 'string'
+      && cfg.updater.manifestURL && cfg.updater.publicKey) {
+    obj.updater = {
+      manifestURL: cfg.updater.manifestURL,
+      publicKey: cfg.updater.publicKey,
+      requireSignature: cfg.updater.requireSignature === true ? true : undefined,
+    };
+  }
+  // 能力收口透传：壳在 Config.Capabilities 未编译设置时才采用这里的白/黑名单
+  // （capability.go 在 sys/tray/window 三桥派发前判定，拒绝零副作用）。
+  const caps = cfg.capabilities;
+  if (caps && (Array.isArray(caps.allow) || Array.isArray(caps.deny))) {
+    const allow = (caps.allow || []).filter((s) => typeof s === 'string' && s);
+    const deny = (caps.deny || []).filter((s) => typeof s === 'string' && s);
+    if (allow.length || deny.length) obj.capabilities = { allow, deny };
+  }
   return JSON.stringify(obj, null, 2);
 }
 
@@ -579,7 +700,7 @@ function warnIfNotSingleFile(html, distHtml) {
   }
 }
 
-// 递归收集目录内所有文件：relPath（POSIX 相对路径）-> Buffer 内容，供 .integrity 完整性清单使用。
+// 递归收集目录内所有文件：relPath（POSIX 相对路径）-> Buffer 内容，供 high 模式入容器。
 function collectDirFiles(dir, prefix, out) {
   for (const entry of fs.readdirSync(dir, { withFileTypes: true })) {
     const abs = path.join(dir, entry.name);
@@ -592,4 +713,27 @@ function collectDirFiles(dir, prefix, out) {
   return out;
 }
 
-module.exports = { build, parsePlatforms };
+// 文件权限位（POSIX mode 低 12 位）：进容器后由壳在临时目录还原（执行位决定后端能否直接跑）。
+function fileMode(abs) {
+  try {
+    return fs.statSync(abs).mode & 0o7777;
+  } catch (e) {
+    return 0o644;
+  }
+}
+
+// 抹掉前端页内的 source map 引用（JS 的 //# sourceMappingURL=…、CSS 的 /*# … */）。
+// 返回 { html, stripped }。
+function stripSourceMapRefs(html) {
+  let stripped = 0;
+  const out = String(html).replace(
+    /\/\/[#@]\s*sourceMappingURL=[^\r\n]*|\/\*#\s*sourceMappingURL=[\s\S]*?\*\//g,
+    () => {
+      stripped += 1;
+      return '';
+    },
+  );
+  return { html: out, stripped };
+}
+
+module.exports = { build, parsePlatforms, renderConfigJSON };