@yufengtadian/freedom-cli 1.13.3 → 1.14.0-preview

package/lib/shell.js

@@ -176,6 +176,78 @@ function hasShell(plat) {
   return fs.existsSync(localShellPath(plat));
 }
 
+// ---- 发布代际预检（npm publish 前置门）----
+// 随包壳是三平台预编译二进制、不随 git 入库；改了框架源却忘了重新同步壳，就会发出
+// 「新 CLI + 旧壳」的混合代 tarball——FRDM3 断代下新 CLI 产的产物被旧壳直接拒跑
+// （1.14.0-preview 发布前实测：三只壳的生成时间全部早于当时 security.go 的改动时间）。
+// 判据取 mtime：壳文件的时间是「最后一次 download/build 同步」的证据，框架源比它新即可疑。
+// 盲区如实说明：全新克隆里壳刚下载完必然最新，此时本门只证明「同步之后没再改过源」。
+const PUBLISH_PLATFORMS = ['win-x64', 'darwin-arm64', 'linux-x64'];
+
+// newestSourceMtime 遍历将编进壳的框架源（*.go / go.mod / go.sum，排除 _test.go）。
+function newestSourceMtime(dir) {
+  let newest = 0;
+  let file = null;
+  const stack = [dir];
+  while (stack.length) {
+    const d = stack.pop();
+    for (const e of fs.readdirSync(d, { withFileTypes: true })) {
+      const p = path.join(d, e.name);
+      if (e.isDirectory()) {
+        stack.push(p);
+        continue;
+      }
+      if (!/\.(go|mod|sum)$/.test(e.name) || e.name.endsWith('_test.go')) continue;
+      const t = fs.statSync(p).mtimeMs;
+      if (t > newest) {
+        newest = t;
+        file = p;
+      }
+    }
+  }
+  return { newest, file };
+}
+
+function checkBundledShells(opts = {}) {
+  const plats = opts.platforms || PUBLISH_PLATFORMS;
+  const tplDir = opts.goTemplateDir || goTemplateDir();
+  const shellsDir = opts.shellsDir || shellDir();
+  const iso = (ms) => new Date(ms).toISOString();
+  const rel = (p, base) => path.relative(base, p).split(path.sep).join('/');
+  const problems = [];
+  const src = newestSourceMtime(tplDir);
+  if (!src.newest) problems.push(`预检无法判定代际：${tplDir} 下找不到 *.go 框架源`);
+  for (const plat of plats) {
+    const exe = path.join(shellsDir, plat, SHELL_EXE_NAME[plat] || 'freedom-shell');
+    if (!fs.existsSync(exe)) {
+      problems.push(`${plat}: 缺随包壳 ${rel(exe, shellsDir)}`);
+      continue;
+    }
+    const t = fs.statSync(exe).mtimeMs;
+    if (src.newest && t < src.newest) {
+      problems.push(`${plat}: 壳生成于 ${iso(t)}，早于框架源最新改动 ${iso(src.newest)}（${rel(src.file, tplDir)}）`);
+    }
+  }
+  return problems;
+}
+
+function preflightBundledShells(opts = {}) {
+  const problems = checkBundledShells(opts);
+  if (!problems.length) {
+    process.stdout.write('[freedom] 发布预检通过：随包壳不早于框架源\n');
+    return;
+  }
+  // 走 stderr + 退出码而非抛错：本函数由 npm 的 prepublishOnly 直接调用，抛错会带一串
+  // 对用户无用的堆栈，把「该重编哪几只壳」这句关键信息挤到屏幕外。
+  process.stderr.write(
+    'freedom: 随包壳与框架源代际不一致，禁止发布（发出即成混合代 tarball，新 CLI 的产物会被旧壳拒跑）：\n  - ' +
+      problems.join('\n  - ') +
+      '\n处置：先推 tag 让 CI 产壳，再 freedom shell download <plat> 覆盖 shell/<plat>' +
+      '（本机有工具链时 freedom shell build <plat>），然后重跑发布。\n'
+  );
+  process.exit(1);
+}
+
 // ---- 代理支持（修复：本地无 linux/mac 壳时自动下载必失败的历史根因） ----
 // 背景：GitHub Releases 资产重定向到 S3，Node 内置 fetch 直连在受限网络下
 // body 下载会卡死（可拿到 200 响应头但 arrayBuffer 永远不结束）。本机若跑
@@ -387,7 +459,16 @@ async function fetchShellDirect(plat, url, dest) {
 
 // 本地用 Go 编译指定平台壳（需要 Go + 该平台编译环境）。
 // Windows 产物以 GUI 子系统编译（-H windowsgui），运行时无 cmd 黑窗。
-function buildShell(plat) {
+//
+// opts.dest：产物落点（默认为包内通用壳位置）。high 模式传临时路径，编出的是
+// 本应用专属壳（Tier B），不得覆盖通用壳缓存。
+// opts.inject：{-X 符号路径: 值} 映射，用于把信任锚编进壳（见 lib/security.js shellInject）。
+// 值必须是命令行安全字符集——这里拼进单个 -ldflags 字符串，含空格即串味。
+// opts.stageGoFiles：{文件名: Go 源码} —— 编壳时**本次构建专属**的 Go 源文件（Tier B 的
+// keyslot 装配码），经 `go build -overlay` 虚拟进 pkg/freedom。刻意不落进 templates/go：
+// 那是随 npm 包分发的公共树，写进去一次就等于把某个产物的主密钥编进之后所有壳（含通用壳），
+// 还会撞上 CI 的 Template mirror 门。overlay 让它只活在这次构建的这一个进程里。
+function buildShell(plat, opts = {}) {
   plat = requirePlatform(plat);
   // 本机只能编译本机平台（webview_go 依赖系统 WebView 框架，无法交叉编译）。
   // 这道判断刻意前置于 Go 探测：平台不匹配是与工具有关的硬事实，先报工具有关
@@ -407,34 +488,71 @@ function buildShell(plat) {
         '或手动获取 https://go.dev/dl/ ，或改用 freedom shell download 拉取预编译壳。'
     );
   }
-  const dest = localShellPath(plat);
+  const dest = opts.dest ? path.resolve(opts.dest) : localShellPath(plat);
   fs.mkdirSync(path.dirname(dest), { recursive: true });
 
   const buildDir = goTemplateDir();
   // 剥离符号与调试信息（-s -w）+ 抹掉构建期绝对路径（-trimpath）：
   // 通用壳里编译进了 high 模式的密钥派生逻辑，函数名/DWARF 是给逆向者的地图。
   const ldflags = ['-s', '-w'];
+  for (const [sym, val] of Object.entries(opts.inject || {})) {
+    if (!/^[A-Za-z0-9_./:-]+$/.test(val)) {
+      throw new Error(`-X 注入值含非法字符（仅允许字母数字与 _./:-）：${sym}`);
+    }
+    ldflags.push('-X', `${sym}=${val}`);
+  }
   if (plat.startsWith('win')) ldflags.push('-H', 'windowsgui');
   // Linux：新发行版只有 webkit2gtk-4.1，需要 -tags webkit2_41（探测与注入见 lib/webkit.js）。
   const webkit = applyWebkitTags(process.env);
   if (webkit.tags.length) {
     process.stdout.write(`[freedom] 本机 WebKitGTK 仅有 4.1，构建加 -tags ${webkit.tags.join(',')}\n`);
   }
-  const build = spawnSync('go', ['build', '-trimpath', '-ldflags', ldflags.join(' '), '-o', dest, '.'], {
+  // 本次构建专属的 Go 源文件经 overlay 虚拟进壳的包目录（见函数注释）。
+  const staged = stageOverlayFiles(buildDir, opts.stageGoFiles);
+  const args = ['build', '-trimpath'];
+  if (staged.overlayPath) args.push(`-overlay=${staged.overlayPath}`);
+  args.push('-ldflags', ldflags.join(' '), '-o', dest, '.');
+  const build = spawnSync('go', args, {
     cwd: buildDir,
     encoding: 'utf8',
     env: Object.assign({ CGO_ENABLED: '1' }, webkit.env),
   });
-  if (build.error || build.status !== 0) {
-    const hint = plat.startsWith('linux') && /webkit2gtk-4\.0/.test(`${build.stdout}${build.stderr}`)
-      ? `\n提示：本机未装 webkit2gtk-4.0/4.1 开发库。Ubuntu/Debian 执行 ` +
-        `sudo apt install libgtk-3-dev libwebkit2gtk-4.1-dev（老发行版用 4.0）后重试。`
-      : '';
-    throw new Error(`Go 编译失败：\n${build.stdout}\n${build.stderr}${hint}`);
+  try {
+    if (build.error || build.status !== 0) {
+      const hint = plat.startsWith('linux') && /webkit2gtk-4\.0/.test(`${build.stdout}${build.stderr}`)
+        ? `\n提示：本机未装 webkit2gtk-4.0/4.1 开发库。Ubuntu/Debian 执行 ` +
+          `sudo apt install libgtk-3-dev libwebkit2gtk-4.1-dev（老发行版用 4.0）后重试。`
+        : '';
+      throw new Error(`Go 编译失败：\n${build.stdout}\n${build.stderr}${hint}`);
+    }
+  } finally {
+    staged.cleanup();
   }
   return dest;
 }
 
+// stageOverlayFiles 把 {文件名: 源码} 写成临时文件并产出一份 go command 认的 overlay 清单
+// （Replace: 虚拟路径 → 真实路径）。返回 { overlayPath, cleanup }；无文件时 overlayPath 为 null。
+// 虚拟路径必须落在目标包目录下，否则不会被视为该包的源文件。
+function stageOverlayFiles(buildDir, files) {
+  const entries = Object.entries(files || {});
+  if (!entries.length) return { overlayPath: null, cleanup() {} };
+  const dir = fs.mkdtempSync(path.join(os.tmpdir(), 'freedom-stage-'));
+  const replace = {};
+  for (const [name, src] of entries) {
+    if (!/^keyslot_[0-9a-f]{6}\.go$/.test(name)) {
+      fs.rmSync(dir, { recursive: true, force: true });
+      throw new Error(`internal: 不接受的壳源文件名 ${name}（只允许 keyslot_<tag>.go）`);
+    }
+    const real = path.join(dir, name);
+    fs.writeFileSync(real, src, 'utf8');
+    replace[path.join(buildDir, 'pkg', 'freedom', name)] = real;
+  }
+  const overlayPath = path.join(dir, 'overlay.json');
+  fs.writeFileSync(overlayPath, JSON.stringify({ Replace: replace }), 'utf8');
+  return { overlayPath, cleanup: () => fs.rmSync(dir, { recursive: true, force: true }) };
+}
+
 function nativePlatformKey() {
   // 已废弃：统一使用 utils.nativePlatform（B44），本函数保留仅作内部兜底，勿再调用。
   return nativePlatform();
@@ -450,4 +568,6 @@ module.exports = {
   detectShellFormat,
   expectedFormat,
   validateLocalShell,
+  checkBundledShells,
+  preflightBundledShells,
 };

package/lib/verify.js

@@ -9,8 +9,18 @@
 
 const fs = require('fs');
 const path = require('path');
+const crypto = require('crypto');
 const { isWinPlat, platformExeName } = require('./utils');
-const { APP_BIN_MAGIC, decryptApp, buildIntegrity } = require('./security');
+const {
+  APP_BIN_MAGIC,
+  APP_BIN_MAGIC3,
+  decryptAppV3,
+  loadProductKey,
+  verifyIntegrityV3,
+  signingKeyPath,
+  rawPubHexFromKey,
+  sha256hex,
+} = require('./security');
 
 // ---- 产物定位 ----
 
@@ -67,8 +77,66 @@ function fmtSize(n) {
   return `${(n / 1024 / 1024).toFixed(2)} MB`;
 }
 
+// checkSignedProduct —— FRDM3 high 产物的签名链复核，返回解密载荷（失败返回 null）。
+//
+// 三步与壳的启动校验同源同序（先比锚、再验签、后解密），verify 绿即启动必绿：
+//   1) .integrity 用发布方公钥验签，并把 appBin/identity/salt 与真实产物逐项比对；
+//   2) claims.self 与 exe 本体哈希比对（壳被替换或 build 后改写 exe 即红）；
+//   3) 用每产物主密钥真解一次容器（认证失败 = 内容被篡改）。
+// 信任锚来自项目内的发布方私钥（freedom keygen 资产）：私钥不在就无从判真伪，
+// 按红处理而不是跳过——"没钥匙所以当作没问题"正是降级攻击要走的那一步。
+function checkSignedProduct({ projectDir, resDir, bin, appName, exePath, fail, okc }) {
+  let manifest;
+  try {
+    manifest = JSON.parse(fs.readFileSync(path.join(resDir, '.integrity'), 'utf8'));
+  } catch (e) {
+    fail('签名清单', `.integrity 读取/解析失败：${e.message}`);
+    return null;
+  }
+  const privPath = signingKeyPath(projectDir);
+  if (!fs.existsSync(privPath)) {
+    fail('签名清单', `缺信任锚（发布方私钥 ${privPath} 不存在）：无法判定清单真伪，请先 freedom keygen 或用同钥匙重新构建`);
+    return null;
+  }
+  let anchorPubHex;
+  try {
+    anchorPubHex = rawPubHexFromKey(crypto.createPrivateKey(fs.readFileSync(privPath)));
+  } catch (e) {
+    fail('签名清单', `发布方私钥不可用：${e.message}`);
+    return null;
+  }
+  let claims;
+  try {
+    claims = verifyIntegrityV3({ manifest, anchorPubHex, name: appName, appBin: bin });
+    okc('签名清单', `ed25519 验签通过，且清单与 app.bin/应用标识/容器盐逐项吻合（built ${claims.built}）`);
+  } catch (e) {
+    fail('签名清单', e.message);
+    return null;
+  }
+  if (claims.self) {
+    try {
+      const got = sha256hex(fs.readFileSync(exePath));
+      if (got !== claims.self.toLowerCase()) {
+        fail('exe 自绑定', `exe 哈希与清单不符（清单 ${claims.self.slice(0, 8)}…，实际 ${got.slice(0, 8)}…）：壳被替换，或 build 之后改写过 exe（含事后补做代码签名）`);
+      } else {
+        okc('exe 自绑定', `exe 哈希与签名清单一致（${got.slice(0, 8)}…）`);
+      }
+    } catch (e) {
+      fail('exe 自绑定', e.message);
+    }
+  }
+  try {
+    const p = decryptAppV3(loadProductKey(projectDir, appName), appName, bin);
+    okc('容器解密', `认证通过，html ${fmtSize(p.html.length)} / config ${fmtSize(p.config.length)}`);
+    return p;
+  } catch (e) {
+    fail('容器解密', e.message);
+    return null;
+  }
+}
+
 // 单平台产物校验，返回 [{ name, pass, detail }]。
-function checkPlatformProduct({ targetDir, plat, appName, hasBackend }) {
+function checkPlatformProduct({ projectDir, targetDir, plat, appName, hasBackend }) {
   const checks = [];
   const fail = (name, detail) => checks.push({ name, pass: false, detail });
   const okc = (name, detail) => checks.push({ name, pass: true, detail });
@@ -117,34 +185,20 @@ function checkPlatformProduct({ targetDir, plat, appName, hasBackend }) {
     }
     if (!hasIntegrity) fail('完整性清单', '缺失 .integrity');
     else okc('完整性清单', '.integrity 存在');
-    // app.bin 容器头校验（FRDM2）
+    // app.bin 容器代际校验。FRDM2 及其以前一律红：壳侧同样拒收旧代际（其主密钥与清单
+    // 密钥都随 npm 包公开，人人可伪造），verify 放行就会出现"自检绿、启动红"。
     let bin = Buffer.alloc(0);
     try {
       bin = fs.readFileSync(path.join(resDir, 'app.bin'));
     } catch (e) { /* 读取失败按不通过处理 */ }
-    const head = bin.subarray(0, APP_BIN_MAGIC.length).toString('latin1');
-    if (head !== APP_BIN_MAGIC) {
-      fail('app.bin 容器', `容器头不是 ${APP_BIN_MAGIC}（实际 "${head}"），文件损坏、非本工具产物或旧版产物`);
+    const head = bin.subarray(0, APP_BIN_MAGIC3.length).toString('latin1');
+    if (head === APP_BIN_MAGIC) {
+      fail('app.bin 容器', `${APP_BIN_MAGIC} 属旧代际（密钥在公开源里，清单可被任意伪造）：请用 freedom-cli 1.14.0-preview 及以上重新 build（预览代走 preview 通道：npm i -D @yufengtadian/freedom-cli@preview）`);
+    } else if (head !== APP_BIN_MAGIC3) {
+      fail('app.bin 容器', `容器头不是 ${APP_BIN_MAGIC3}（实际 "${head}"），文件损坏、非本工具产物或旧代产物`);
     } else {
-      okc('app.bin 容器', `${APP_BIN_MAGIC} 头有效（${fmtSize(bin.length)}）`);
-      // 真解一次容器：认证失败 = 产物被篡改或 name 与容器不匹配；同时拿到 backend 供后端检查。
-      try {
-        securePayload = decryptApp(appName, bin);
-        okc('容器解密', `认证通过，html ${fmtSize(securePayload.html.length)} / config ${fmtSize(securePayload.config.length)}`);
-      } catch (e) {
-        fail('容器解密', e.message);
-      }
-      // .integrity 与容器一致（防整体替换：清单值由构建期容器盐派生密钥签名）
-      if (hasIntegrity) {
-        try {
-          const list = JSON.parse(fs.readFileSync(path.join(resDir, '.integrity'), 'utf8'));
-          const want = buildIntegrity(appName, bin).appBin;
-          if (list.appBin !== want) fail('完整性清单', '.integrity 与 app.bin 不一致（产物可能被替换）');
-          else okc('完整性清单', '.integrity 与 app.bin 一致');
-        } catch (e) {
-          fail('完整性清单', e.message);
-        }
-      }
+      okc('app.bin 容器', `${APP_BIN_MAGIC3} 头有效（${fmtSize(bin.length)}）`);
+      securePayload = checkSignedProduct({ projectDir, resDir, bin, appName, exePath, fail, okc });
     }
   } else {
     if (hasIntegrity) {
@@ -209,7 +263,7 @@ async function verifyProduct(projectDir, opts = {}) {
 
   const targets = findProducts(dir, cfg)
     .filter((t) => !opts.platform || t.plat === opts.platform)
-    .map((t) => ({ ...t, checks: checkPlatformProduct({ targetDir: t.dir, plat: t.plat, appName, hasBackend: hasBackendDir }) }));
+    .map((t) => ({ ...t, checks: checkPlatformProduct({ projectDir: dir, targetDir: t.dir, plat: t.plat, appName, hasBackend: hasBackendDir }) }));
 
   const ok = targets.length > 0 && targets.every((t) => t.checks.every((c) => c.pass));
   return { ok, targets, appName };

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@yufengtadian/freedom-cli",
-  "version": "1.13.3",
+  "version": "1.14.0-preview",
   "description": "Freedom WebView desktop shell packaging tool - no Go toolchain required, one command packs three-platform desktop apps",
   "repository": {
     "type": "git",
@@ -33,7 +33,8 @@
     "README.md"
   ],
   "scripts": {
-    "postinstall": "node postinstall.js"
+    "postinstall": "node postinstall.js",
+    "prepublishOnly": "node -e \"require('./lib/shell').preflightBundledShells()\""
   },
   "engines": {
     "node": ">=18"

package/templates/go/pkg/freedom/freedom.go

@@ -251,7 +251,10 @@ func (a *App) Run() {
 		var se *secureFatalError
 		if errors.As(err, &se) {
 			fmt.Printf("freedom: 安全模式资源校验失败，拒绝运行：%v\n", err)
-			return
+			// 退出码必须非零：Run 返回 nil 会让"拒跑"与"正常退出"在脚本与 CI 眼里同形，
+			// 而这条分支存在的意义正是"不能让它悄悄跑起来"。此处尚无 defer 注册
+			// （cleanupSecureBackend 在下一行才 defer），os.Exit 不会跳过清理。
+			os.Exit(exitSecureFatal)
 		}
 		fmt.Printf("freedom: warning: %v\n", err)
 	}

package/templates/go/pkg/freedom/resources.go

@@ -34,6 +34,11 @@ func secureFatal(err error) error {
 	return &secureFatalError{err: err}
 }
 
+// exitSecureFatal 是 high 模式拒绝运行时的进程退出码（见 freedom.go Run）。
+// 取 70 —— BSD sysexits 的 EX_SOFTWARE："这份产物本身不可信"，与 1（一般失败）、
+// 130（Ctrl+C 收尾）区分开，发布脚本据此认出这一具体事件。
+const exitSecureFatal = 70
+
 // runtimeBackend 描述 config.json 中的后端进程配置（任意语言，经 stdio NDJSON 桥接）。
 type runtimeBackend struct {
 	Command string   `json:"command"`
@@ -106,6 +111,8 @@ func (a *App) loadRuntimeConfig() error {
 				return secureFatal(fmt.Errorf("后端源码解密落地失败：%w", err))
 			}
 			a.secureBackendDir = bdir
+			// 落盘完成即擦：载荷缓存会活到进程结束，后端源码没有理由跟着一起常驻。
+			scrubSecureBackendPayload(p)
 		}
 		a.applyRuntimeConfig(&rc)
 		// high 模式强制关闭 WebView 开发者工具，防止前端源码经 devtools 直接查看。