cicy-desktop 2.1.363 → 2.1.365

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "cicy-desktop",
-  "version": "2.1.363",
+  "version": "2.1.365",
   "description": "CiCy - AI-powered operating system browser",
   "main": "src/main.js",
   "bin": {

package/src/inject/no-passkey.js

@@ -0,0 +1,41 @@
+// Copyright 2026 CiCy AI
+// SPDX-License-Identifier: Apache-2.0
+
+// document-start 注入:让页面认为这台机器没有可用的通行密钥验证器,从而不弹
+// Windows 的「请将安全密钥插入 USB 端口」系统模态框(会卡死矩阵里的自动登录)。
+//
+// 关键:必须改**主世界**的 navigator.credentials / PublicKeyCredential。
+// 这个文件既作普通窗口的 session 预加载,也作 <webview> 客机的 preload,两种场景
+// 大多 contextIsolation=true —— 预加载跑在隔离世界,直接改 navigator 改的是隔离世界的副本,
+// 页面(主世界)根本不受影响(实测 2.1.364:webview 里 credentials.get 仍是原生,照弹框)。
+// 所以统一走「往文档里插一个 <script> 让补丁在主世界执行」,隔离/主世界都能生效,
+// 且 document-start 时插入 = 先于页面脚本。
+(function () {
+  const patch = function () {
+    try {
+      if (window.PublicKeyCredential) {
+        const no = function () { return Promise.resolve(false); };
+        try { PublicKeyCredential.isUserVerifyingPlatformAuthenticatorAvailable = no; } catch (e) {}
+        try { PublicKeyCredential.isConditionalMediationAvailable = no; } catch (e) {}
+        try { if (PublicKeyCredential.getClientCapabilities) PublicKeyCredential.getClientCapabilities = function () { return Promise.resolve({}); }; } catch (e) {}
+      }
+      if (navigator.credentials) {
+        const get = navigator.credentials.get ? navigator.credentials.get.bind(navigator.credentials) : null;
+        const create = navigator.credentials.create ? navigator.credentials.create.bind(navigator.credentials) : null;
+        const deny = function () { return Promise.reject(new DOMException("The operation either timed out or was not allowed.", "NotAllowedError")); };
+        if (get) navigator.credentials.get = function (o) { return (o && o.publicKey) ? deny() : get(o); };
+        if (create) navigator.credentials.create = function (o) { return (o && o.publicKey) ? deny() : create(o); };
+      }
+    } catch (e) { /* 不能影响页面 */ }
+  };
+  try {
+    // 主世界执行:把补丁函数体塞进一个 <script>,插到 documentElement 上同步运行,随即移除。
+    const el = document.createElement("script");
+    el.textContent = "(" + patch.toString() + ")();";
+    (document.documentElement || document.head || document).appendChild(el);
+    el.remove();
+  } catch (e) {
+    // 万一 DOM 还没有(极早期),退回直接在当前世界打一遍(contextIsolation=false 时这就够了)
+    try { patch(); } catch (e2) {}
+  }
+})();

package/src/main.js

@@ -24,6 +24,39 @@ const appUpdater = require("./app-updater");
 // and guests fell back to the OS-native menu; this unifies them and adds 重新加载
 // + 切换开发者工具 + 检查元素 everywhere (see utils/context-menu-options.js).
 const { attachContextMenu } = require("./utils/context-menu-options");
+// 每个 session 一建出来就挂上 no-passkey:document-start 运行,先于页面脚本,
+// 这样站点探测通行密钥时拿到的就是「没有验证器」,Windows 那个系统模态框不会弹。
+// 放在 session-created 而不是逐个分区手动注册 —— 矩阵有上百个 persist:sandbox-N,
+// 而且新建 profile 随时会多出来,手动注册必然漏。
+const NO_PASSKEY = require("path").join(__dirname, "inject", "no-passkey.js");
+function armNoPasskey(ses) {
+  try {
+    const has = (ses.getPreloadScripts ? ses.getPreloadScripts() : [])
+      .some((x) => String((x && x.filePath) || "").endsWith("no-passkey.js"));
+    if (!has) ses.registerPreloadScript({ type: "frame", filePath: NO_PASSKEY });
+  } catch (_) {}
+}
+electronApp.on("session-created", armNoPasskey);
+// <webview> 客机不吃 session 级预加载(Electron 机制:那只对普通窗口/BrowserView 生效),
+// 得在客机 attach 时把 no-passkey 设成它自己的 preload,否则矩阵格子(全是 webview)里
+// 的 FB 页照样能调 navigator.credentials.get → Windows 弹安全密钥框(实测 2.1.364)。
+// preload 内部用「插 <script> 改主世界」,所以不用动客机的 contextIsolation。
+electronApp.on("web-contents-created", (_e, wc) => {
+  try {
+    wc.on("will-attach-webview", (_ev, webPreferences) => {
+      try {
+        const cur = webPreferences.preload;
+        // 客机原本没有 preload 才设;真有的话不覆盖别人的,改到 preloadScripts 里追加
+        if (!cur) webPreferences.preload = NO_PASSKEY;
+      } catch (_) {}
+    });
+  } catch (_) {}
+});
+// 默认会话可能在上面这个监听器挂上之前就已经建好了(main.js 里别处也踩过同一个坑,
+// 见启动时那段「默认会话强制直连」的保险),所以 ready 之后再补一次。幂等。
+electronApp.whenReady().then(() => {
+  try { armNoPasskey(require("electron").session.defaultSession); } catch (_) {}
+});
 electronApp.on("web-contents-created", (_e, wc) => {
   attachContextMenu(wc);
   // Security backstop for window.open. createWindow (setupWindowHandlers) and the
@@ -101,7 +134,9 @@ electronApp.commandLine.appendSwitch("remote-allow-origins", "*");
 // 「使用密钥登录 · 请将安全密钥插入 USB 端口」这个系统模态框 —— 机器上根本没有安全密钥,
 // 框又是系统级的、页面脚本关不掉,自动登录就卡死在那儿(实测 2026-09-21,FB #96)。
 // 关掉这个特性后 navigator.credentials / PublicKeyCredential 直接不存在,站点自动回落到密码。
-electronApp.commandLine.appendSwitch("disable-features", "WebAuthentication,WebAuthenticationRemoteDesktopSupport");
+// 注:这里**不要**再写 disable-features=WebAuthentication —— 那个 feature 名在现在的
+// Chromium 里已经没有了,开关传得进去但毫无作用(2.1.362 实测)。真正起作用的是下面
+// session-created 里注册的 no-passkey 注入脚本。
 if (process.platform === "linux") {
   process.env["ELECTRON_DISABLE_SECURITY_WARNINGS"] = "true";
   // electronApp.commandLine.appendSwitch("disable-setuid-sandbox");