@zaofan/dsh-qqbot 1.10.45 → 1.10.46

package/client/qqbot-settings.js

@@ -6476,13 +6476,39 @@ var QQS_THEME_CSS = [
           onChange: function (e) { var v = e.target.value; upd(v === '' ? undefined : Number(v)) } })
       } else if (f.type === 'select') {
         var opts = Array.isArray(f.options) ? f.options : []
-        control = h('select', { style: S.fieldInput, value: val === undefined ? '' : val,
-          onChange: function (e) { upd(e.target.value) } },
-          opts.map(function (o) {
-            var v = (o && typeof o === 'object') ? (o.value !== undefined ? o.value : o.label) : o
-            var t = (o && typeof o === 'object') ? (o.label || o.value) : o
-            return h('option', { key: String(v), value: String(v), style: { background: '#2a2a2e', color: '#e8e8ea' } }, String(t))
-          }))
+        // 统一成 [{v: 实际值, t: 显示文本}]
+        var normOpts = opts.map(function (o) {
+          var v = (o && typeof o === 'object') ? (o.value !== undefined ? o.value : o.label) : o
+          var t = (o && typeof o === 'object') ? (o.label || o.value) : o
+          return { v: String(v), t: String(t) }
+        })
+        if (f.searchable) {
+          // ★ 可搜索下拉（2026-10-26）：选项很多时（比如 294 个 TTS 音色）原生 select 没法找。
+          //   用 <input list=datalist>：浏览器原生支持输入过滤，且允许手填列表外的值。
+          //   datalist 的 option.value 用「显示文本」，这样搜中文名、选中后存进去的也是那一整串；
+          //   读取侧（如 lib/settings.mjs 的 resolveVoice）需要自己从「中文名｜id」里剥出真值。
+          var dlId = 'qqs-dl-' + String(f.key || 'f')
+          control = h('div', null,
+            h('input', {
+              type: 'text',
+              list: dlId,
+              style: Object.assign({}, S.fieldInput, { width: '100%' }),
+              value: val === undefined || val === null ? '' : String(val),
+              placeholder: f.placeholder || ('输入关键字筛选（共 ' + normOpts.length + ' 项，也可直接手填值）'),
+              onInput: function (e) { upd(e.target.value) },
+              onChange: function (e) { upd(e.target.value) },
+            }),
+            h('datalist', { id: dlId },
+              normOpts.map(function (o) {
+                return h('option', { key: o.v, value: o.t })
+              })))
+        } else {
+          control = h('select', { style: S.fieldInput, value: val === undefined ? '' : val,
+            onChange: function (e) { upd(e.target.value) } },
+            normOpts.map(function (o) {
+              return h('option', { key: o.v, value: o.v, style: { background: '#2a2a2e', color: '#e8e8ea' } }, o.t)
+            }))
+        }
       } else if (f.type === 'list') {
         var arr = Array.isArray(val) ? val : []
         control = h('div', null,

package/docs/extension-contract.md

@@ -76,6 +76,37 @@
 | 宿主自重启 | `await env.restart()` | 复用内置 `/bot-restart`（自动识别启动命令、强补 `--no-open`）。默认**仅主人**可触发；要放开写 `env.restart({ requireOwner: false })` |
 | 回调按钮卡 | `env.registerInteractionCard({cardId, buttonIds, expireAt})` | 发**带回调按钮**的卡片必须先登记，否则点了没人认 |
 
+### 扩展设置页的字段类型（schema）
+
+扩展文件里 `export const qqbotSettingsPage = { title, desc, schema: [...] }`，面板就会给它生成设置页。
+`schema` 每项支持：
+
+| type | 控件 | 说明 |
+| --- | --- | --- |
+| `bool` | 开关 | 值 true/false |
+| `number` | 数字框 | 值 number |
+| `string`（默认） | 输入框 | 加 `secret: true` 变密码框 |
+| `list` | 多行文本 | 一行一项，值 string[] |
+| `select` | 下拉 | `options` 可写字符串数组，也可写 `{ value, label }` |
+
+**`select` + `searchable: true`（1.10.46 起）**
+
+选项很多（几十上百条）时，原生 `<select>` 根本没法找。加上这个标记会渲染成
+`<input list="…"> + <datalist>`：浏览器原生**输入过滤**，并且**允许手填列表外的值**。
+
+```js
+{ key: 'defaultSpeaker', type: 'select', searchable: true, label: '默认音色',
+  default: 'Vivi 2.0｜zh_female_vv_uranus_bigtts',
+  options: VOICES.map(v => v.label) }   // ['中文名｜voice_type', ...]
+```
+
+⚠️ 两个必须注意的点：
+
+1. **`select` 取到的值永远是字符串**（`'24000'`，不是 `24000`）。
+   如果你的扩展要把它传给要求严格类型的第三方接口，**自己转数字**，否则会像 TTS 那样撞
+   `55000000 cannot unmarshal string into ... of type int`。
+2. 用 `中文名｜id` 这种复合值时，**读取侧要负责剥出真值**（本项目 TTS 包用 `pickSpeaker()` 统一处理）。
+
 ### 扩展包声明「最低插件版本」（1.10.44 起）
 
 包的清单文件里可以写 `minPluginVersion`，面板会拿它跟当前装的插件版本对照，不满足就标红：

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@zaofan/dsh-qqbot",
-  "version": "1.10.45",
+  "version": "1.10.46",
   "description": "QQ Bot IM channel plugin for deepseek-harness (dsh)",
   "type": "module",
   "main": "./entry.js",

package/settings-host.js

@@ -121,13 +121,72 @@ const COPY_SKIP = /\.(rar|zip|7z|bak|tmp|log|diag)$/i;
 const ID_RE = /^[A-Za-z0-9][A-Za-z0-9_-]*$/;
 
 /** 同源回环 fence: 仅本机 loopback + 同源/无 Origin 放行 */
+/**
+ * 规范化 host：'1.2.3.4:8443' / 'http://a.b' / 'a.b' → 'a.b:8443' 或 'a.b'
+ * 解析失败就原样小写返回，让比较退化成字符串相等。
+ */
+function normHost(v) {
+  const t = String(v || '').trim().toLowerCase();
+  if (!t) return '';
+  try { return new URL(t.includes('://') ? t : `http://${t}`).host; } catch { return t; }
+}
+
+/**
+ * 宿主 dsh web 的 --trusted-host 白名单（issue #22）
+ *
+ * 为什么读 process.argv：插件与 dsh web **同进程**，宿主已经用它放行了远程访问，
+ * 插件这边再自己维护一套 loopback 判断就会两边策略打架 —— 反代场景下
+ * Caddy 保留原始 Host（如 example.com:8443），插件一律 403 而宿主放行。
+ *
+ * 支持两种写法：
+ *   --trusted-host a.com:8443 b.com      （一个参数跟多个值，遇到 - 开头结束）
+ *   --trusted-host=a.com:8443
+ */
+let TRUSTED_HOST_CACHE;
+function trustedHostList() {
+  if (TRUSTED_HOST_CACHE !== undefined) return TRUSTED_HOST_CACHE;
+  const set = new Set();
+  const argv = process.argv || [];
+  for (let i = 0; i < argv.length; i++) {
+    const a = argv[i];
+    if (typeof a !== 'string') continue;
+    if (a === '--trusted-host') {
+      for (let j = i + 1; j < argv.length; j++) {
+        const v = argv[j];
+        if (typeof v !== 'string' || !v || v.startsWith('-')) break;
+        const n = normHost(v);
+        if (n) set.add(n);
+      }
+    } else if (a.startsWith('--trusted-host=')) {
+      const n = normHost(a.slice('--trusted-host='.length));
+      if (n) set.add(n);
+    }
+  }
+  TRUSTED_HOST_CACHE = set;
+  return set;
+}
+
+/** 请求的 host 是否命中 --trusted-host 白名单（带端口精确比；不带端口则比 hostname） */
+function hostAllowed(host, hostname) {
+  const list = trustedHostList();
+  if (!list.size) return false;
+  for (const t of list) {
+    if (t === host) return true;
+    if (!t.includes(':')) {
+      try { if (new URL(`http://${t}`).hostname === hostname) return true; } catch { /* 忽略 */ }
+    }
+  }
+  return false;
+}
+
 function isTrusted(req) {
   const h = req.headers?.host;
   if (typeof h !== 'string') return false;
   let hostname;
   try { hostname = new URL(`http://${h}`).hostname; } catch { return false; }
   const loopback = /^(\[::1\]|localhost|127(\.\d{1,3}){3})$/.test(hostname);
-  if (!loopback) return false;
+  // ★ 2026-10-26（issue #22）：loopback ∪ 宿主 --trusted-host 白名单
+  if (!loopback && !hostAllowed(String(h).toLowerCase(), hostname)) return false;
   if (req.headers?.['sec-fetch-site'] === 'cross-site') return false;
   const o = req.headers?.origin;
   if (o === undefined) return true;
@@ -620,7 +679,13 @@ export function apply(ctx) {
         const wa = await import('./dist/session/workspace-attach.js');
         workspaceAttach = typeof wa.workspaceAttachState === 'function' ? wa.workspaceAttachState() : null;
       } catch { /* 模块未部署时忽略 */ }
-      writeJson(res, 200, { hasSettings, nss, describeErr, workspaceAttach });
+      writeJson(res, 200, {
+        hasSettings, nss, describeErr, workspaceAttach,
+        // ★ issue #22 诊断：远程访问被 403 时看这里 —— 空集合说明 dsh web 没带 --trusted-host
+        trustedHosts: [...trustedHostList()],
+        hostHeader: req.headers?.host || '(无)',
+        hostTrusted: isTrusted(req),
+      });
     } catch (e) { writeJson(res, 500, { error: String(e?.message ?? e) }); }
   });