cicy-desktop 2.1.362 → 2.1.364

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "cicy-desktop",
-  "version": "2.1.362",
+  "version": "2.1.364",
   "description": "CiCy - AI-powered operating system browser",
   "main": "src/main.js",
   "bin": {

package/src/inject/no-passkey.js

@@ -0,0 +1,39 @@
+// Copyright 2026 CiCy AI
+// SPDX-License-Identifier: Apache-2.0
+
+// document-start 注入:让页面认为这台机器没有可用的通行密钥验证器。
+//
+// 为什么需要:accounts.meta.com 这类站点一进登录页就调 navigator.credentials.get({publicKey}),
+// Windows 随即弹出「使用密钥登录 · 请将安全密钥插入 USB 端口」这个**系统模态框**。机器上
+// 根本没有安全密钥,框又是系统级的、页面脚本关不掉,矩阵里正在跑的自动登录就卡死在那儿。
+//
+// 为什么不用 --disable-features=WebAuthentication:那个 feature 名在现在的 Chromium 里
+// 已经不存在了,开关传得进去但完全不起作用(2026-09-21 在 2.1.362 上实测,PublicKeyCredential
+// 照样是 function)。
+//
+// 为什么不直接 delete PublicKeyCredential:整个对象拿掉会让 Facebook 的两步验证页渲染不出来
+// (Comet 挂载了但树是空的,实测白板)。所以对象保留,只回答「没有验证器」,并让 passkey 请求
+// 以标准的 NotAllowedError(等同用户取消)拒绝 —— 站点对这个错误都有正常的密码回退路径。
+(function () {
+  try {
+    if (window.PublicKeyCredential) {
+      const no = () => Promise.resolve(false);
+      try { PublicKeyCredential.isUserVerifyingPlatformAuthenticatorAvailable = no; } catch (e) {}
+      try { PublicKeyCredential.isConditionalMediationAvailable = no; } catch (e) {}
+      try {
+        if (PublicKeyCredential.getClientCapabilities) {
+          PublicKeyCredential.getClientCapabilities = () => Promise.resolve({});
+        }
+      } catch (e) {}
+    }
+    if (navigator.credentials) {
+      const get = navigator.credentials.get.bind(navigator.credentials);
+      const create = navigator.credentials.create ? navigator.credentials.create.bind(navigator.credentials) : null;
+      const deny = () => Promise.reject(
+        new DOMException("The operation either timed out or was not allowed.", "NotAllowedError"));
+      // 只挡 publicKey(通行密钥);密码管理器那套 credentials 不受影响。
+      navigator.credentials.get = (o) => (o && o.publicKey ? deny() : get(o));
+      if (create) navigator.credentials.create = (o) => (o && o.publicKey ? deny() : create(o));
+    }
+  } catch (e) { /* 注入失败不能影响页面 */ }
+})();

package/src/main.js

@@ -24,6 +24,24 @@ const appUpdater = require("./app-updater");
 // and guests fell back to the OS-native menu; this unifies them and adds 重新加载
 // + 切换开发者工具 + 检查元素 everywhere (see utils/context-menu-options.js).
 const { attachContextMenu } = require("./utils/context-menu-options");
+// 每个 session 一建出来就挂上 no-passkey:document-start 运行,先于页面脚本,
+// 这样站点探测通行密钥时拿到的就是「没有验证器」,Windows 那个系统模态框不会弹。
+// 放在 session-created 而不是逐个分区手动注册 —— 矩阵有上百个 persist:sandbox-N,
+// 而且新建 profile 随时会多出来,手动注册必然漏。
+const NO_PASSKEY = require("path").join(__dirname, "inject", "no-passkey.js");
+function armNoPasskey(ses) {
+  try {
+    const has = (ses.getPreloadScripts ? ses.getPreloadScripts() : [])
+      .some((x) => String((x && x.filePath) || "").endsWith("no-passkey.js"));
+    if (!has) ses.registerPreloadScript({ type: "frame", filePath: NO_PASSKEY });
+  } catch (_) {}
+}
+electronApp.on("session-created", armNoPasskey);
+// 默认会话可能在上面这个监听器挂上之前就已经建好了(main.js 里别处也踩过同一个坑,
+// 见启动时那段「默认会话强制直连」的保险),所以 ready 之后再补一次。幂等。
+electronApp.whenReady().then(() => {
+  try { armNoPasskey(require("electron").session.defaultSession); } catch (_) {}
+});
 electronApp.on("web-contents-created", (_e, wc) => {
   attachContextMenu(wc);
   // Security backstop for window.open. createWindow (setupWindowHandlers) and the
@@ -35,8 +53,20 @@ electronApp.on("web-contents-created", (_e, wc) => {
   // an external popup there is an RCE/creds-leak surface. External links go to the
   // system browser instead; trusted/local/about:blank popups are still allowed.
   try {
-    const { windowOpenDecision } = require("./utils/window-utils");
+    const { windowOpenDecision, isWebUrl } = require("./utils/window-utils");
     wc.setWindowOpenHandler(({ url }) => windowOpenDecision(url, { wc }));
+    // 同一件事的另一条入口:直接导航(点链接 / location=)到未知协议。
+    // 开窗那条被拦了,这条不拦照样会把 bitbrowser:// 这类交给系统去弹框。
+    wc.on("will-navigate", (e, url) => {
+      if (isWebUrl(url)) return;
+      e.preventDefault();
+      let from = "";
+      try { from = wc.getURL(); } catch (_) {}
+      try {
+        require("electron-log").warn(
+          `[Navigate] 外部协议已拦截: ${String(url).slice(0, 120)}  来自: ${String(from).slice(0, 120)}`);
+      } catch (_) {}
+    });
   } catch (_) {}
   // Ctrl/Cmd+C inside a <webview> guest: on Windows the application menu's
   // role:"copy" accelerator doesn't reach the focused guest, so a selection
@@ -89,7 +119,9 @@ electronApp.commandLine.appendSwitch("remote-allow-origins", "*");
 // 「使用密钥登录 · 请将安全密钥插入 USB 端口」这个系统模态框 —— 机器上根本没有安全密钥,
 // 框又是系统级的、页面脚本关不掉,自动登录就卡死在那儿(实测 2026-09-21,FB #96)。
 // 关掉这个特性后 navigator.credentials / PublicKeyCredential 直接不存在,站点自动回落到密码。
-electronApp.commandLine.appendSwitch("disable-features", "WebAuthentication,WebAuthenticationRemoteDesktopSupport");
+// 注:这里**不要**再写 disable-features=WebAuthentication —— 那个 feature 名在现在的
+// Chromium 里已经没有了,开关传得进去但毫无作用(2.1.362 实测)。真正起作用的是下面
+// session-created 里注册的 no-passkey 注入脚本。
 if (process.platform === "linux") {
   process.env["ELECTRON_DISABLE_SECURITY_WARNINGS"] = "true";
   // electronApp.commandLine.appendSwitch("disable-setuid-sandbox");

package/src/utils/window-utils.js

@@ -57,8 +57,21 @@ function accountIdxOfWebContents(wc) {
 // sandbox profile 1; an opener already in a sandbox profile N opens the link in
 // its OWN profile N. This mirrors the tab-browser policy (profile 0 link →
 // openTab(1); else same profile) — no dialog, no leak into profile 0.
+// 只有这些协议才允许在应用里导航/开窗。其余(bitbrowser:// tg:// whatsapp:// …)
+// 交给 Chromium 就等于交给系统:Windows 弹「获取打开此链接的应用」那个模态框,
+// 机器上没装对应软件也关不掉,自动化直接卡住(实测 2026-09-21,群消息里的
+// bitbrowser:// 推广链接)。这里直接拒掉,并把来源打进日志,便于回溯是谁发起的。
+const WEB_SCHEME = /^(https?|about|blob|data|file|cicyui|devtools|chrome-extension):/i;
+function isWebUrl(u) { return WEB_SCHEME.test(String(u || "")); }
+
 function windowOpenDecision(url, { wc } = {}) {
   log.info(`[WindowOpen] Intercepted: ${url}`);
+  if (url && !isWebUrl(url)) {
+    let from = "";
+    try { from = wc ? wc.getURL() : ""; } catch (e) {}
+    log.warn(`[WindowOpen] 外部协议已拦截: ${String(url).slice(0, 120)}  来自: ${String(from).slice(0, 120)}`);
+    return { action: "deny" };
+  }
   if (!url || url === "about:blank" || isTrustedUrl(url)) {
     return {
       action: "allow",
@@ -567,6 +580,7 @@ if (app) {
 }
 
 module.exports = {
+  isWebUrl,
   createWindow,
   setupWindowHandlers,
   windowOpenDecision,