cicy-desktop 2.1.364 → 2.1.366

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "cicy-desktop",
-  "version": "2.1.364",
+  "version": "2.1.366",
   "description": "CiCy - AI-powered operating system browser",
   "main": "src/main.js",
   "bin": {

package/src/inject/no-passkey.js

@@ -1,39 +1,41 @@
 // Copyright 2026 CiCy AI
 // SPDX-License-Identifier: Apache-2.0
 
-// document-start 注入:让页面认为这台机器没有可用的通行密钥验证器。
+// document-start 注入:让页面认为这台机器没有可用的通行密钥验证器,从而不弹
+// Windows 的「请将安全密钥插入 USB 端口」系统模态框(会卡死矩阵里的自动登录)。
 //
-// 为什么需要:accounts.meta.com 这类站点一进登录页就调 navigator.credentials.get({publicKey}),
-// Windows 随即弹出「使用密钥登录 · 请将安全密钥插入 USB 端口」这个**系统模态框**。机器上
-// 根本没有安全密钥,框又是系统级的、页面脚本关不掉,矩阵里正在跑的自动登录就卡死在那儿。
-//
-// 为什么不用 --disable-features=WebAuthentication:那个 feature 名在现在的 Chromium 里
-// 已经不存在了,开关传得进去但完全不起作用(2026-09-21 在 2.1.362 上实测,PublicKeyCredential
-// 照样是 function)。
-//
-// 为什么不直接 delete PublicKeyCredential:整个对象拿掉会让 Facebook 的两步验证页渲染不出来
-// (Comet 挂载了但树是空的,实测白板)。所以对象保留,只回答「没有验证器」,并让 passkey 请求
-// 以标准的 NotAllowedError(等同用户取消)拒绝 —— 站点对这个错误都有正常的密码回退路径。
+// 关键:必须改**主世界**的 navigator.credentials / PublicKeyCredential。
+// 这个文件既作普通窗口的 session 预加载,也作 <webview> 客机的 preload,两种场景
+// 大多 contextIsolation=true —— 预加载跑在隔离世界,直接改 navigator 改的是隔离世界的副本,
+// 页面(主世界)根本不受影响(实测 2.1.364:webview 里 credentials.get 仍是原生,照弹框)。
+// 所以统一走「往文档里插一个 <script> 让补丁在主世界执行」,隔离/主世界都能生效,
+// 且 document-start 时插入 = 先于页面脚本。
 (function () {
+  const patch = function () {
+    try {
+      if (window.PublicKeyCredential) {
+        const no = function () { return Promise.resolve(false); };
+        try { PublicKeyCredential.isUserVerifyingPlatformAuthenticatorAvailable = no; } catch (e) {}
+        try { PublicKeyCredential.isConditionalMediationAvailable = no; } catch (e) {}
+        try { if (PublicKeyCredential.getClientCapabilities) PublicKeyCredential.getClientCapabilities = function () { return Promise.resolve({}); }; } catch (e) {}
+      }
+      if (navigator.credentials) {
+        const get = navigator.credentials.get ? navigator.credentials.get.bind(navigator.credentials) : null;
+        const create = navigator.credentials.create ? navigator.credentials.create.bind(navigator.credentials) : null;
+        const deny = function () { return Promise.reject(new DOMException("The operation either timed out or was not allowed.", "NotAllowedError")); };
+        if (get) navigator.credentials.get = function (o) { return (o && o.publicKey) ? deny() : get(o); };
+        if (create) navigator.credentials.create = function (o) { return (o && o.publicKey) ? deny() : create(o); };
+      }
+    } catch (e) { /* 不能影响页面 */ }
+  };
   try {
-    if (window.PublicKeyCredential) {
-      const no = () => Promise.resolve(false);
-      try { PublicKeyCredential.isUserVerifyingPlatformAuthenticatorAvailable = no; } catch (e) {}
-      try { PublicKeyCredential.isConditionalMediationAvailable = no; } catch (e) {}
-      try {
-        if (PublicKeyCredential.getClientCapabilities) {
-          PublicKeyCredential.getClientCapabilities = () => Promise.resolve({});
-        }
-      } catch (e) {}
-    }
-    if (navigator.credentials) {
-      const get = navigator.credentials.get.bind(navigator.credentials);
-      const create = navigator.credentials.create ? navigator.credentials.create.bind(navigator.credentials) : null;
-      const deny = () => Promise.reject(
-        new DOMException("The operation either timed out or was not allowed.", "NotAllowedError"));
-      // 只挡 publicKey(通行密钥);密码管理器那套 credentials 不受影响。
-      navigator.credentials.get = (o) => (o && o.publicKey ? deny() : get(o));
-      if (create) navigator.credentials.create = (o) => (o && o.publicKey ? deny() : create(o));
-    }
-  } catch (e) { /* 注入失败不能影响页面 */ }
+    // 主世界执行:把补丁函数体塞进一个 <script>,插到 documentElement 上同步运行,随即移除。
+    const el = document.createElement("script");
+    el.textContent = "(" + patch.toString() + ")();";
+    (document.documentElement || document.head || document).appendChild(el);
+    el.remove();
+  } catch (e) {
+    // 万一 DOM 还没有(极早期),退回直接在当前世界打一遍(contextIsolation=false 时这就够了)
+    try { patch(); } catch (e2) {}
+  }
 })();

package/src/main.js

@@ -37,6 +37,36 @@ function armNoPasskey(ses) {
   } catch (_) {}
 }
 electronApp.on("session-created", armNoPasskey);
+// <webview> 客机不吃 session 级预加载(Electron 机制:那只对普通窗口/BrowserView 生效),
+// 得在客机 attach 时把 no-passkey 设成它自己的 preload,否则矩阵格子(全是 webview)里
+// 的 FB 页照样能调 navigator.credentials.get → Windows 弹安全密钥框(实测 2.1.364)。
+// preload 内部用「插 <script> 改主世界」,所以不用动客机的 contextIsolation。
+// 实测:will-attach-webview 里设 preload、以及 <webview> 元素 preload 属性,在这个
+// Electron + 面板 BrowserView 组合下都被忽略(preload 根本不加载)。唯一可靠的、能在
+// 文档创建前于主世界执行、赢过 FB 页首帧 credentials.get 的办法是 CDP 的
+// Page.addScriptToEvaluateOnNewDocument。给每个 <webview> 客机挂上。
+const NPK_SRC = "(function(){try{"
+  + "if(window.PublicKeyCredential){"
+  + "PublicKeyCredential.isUserVerifyingPlatformAuthenticatorAvailable=function(){return Promise.resolve(false)};"
+  + "PublicKeyCredential.isConditionalMediationAvailable=function(){return Promise.resolve(false)};}"
+  + "if(navigator.credentials&&navigator.credentials.get){"
+  + "var g=navigator.credentials.get.bind(navigator.credentials);"
+  + "navigator.credentials.get=function(o){return (o&&o.publicKey)?"
+  + "Promise.reject(new DOMException('The operation either timed out or was not allowed.','NotAllowedError')):g(o)};}"
+  + "}catch(e){}})();";
+async function armWebviewNoPasskey(wc) {
+  try {
+    if (!wc || wc.isDestroyed() || wc.getType() !== "webview" || wc.__npkArmed) return;
+    wc.__npkArmed = true;
+    if (!wc.debugger.isAttached()) wc.debugger.attach("1.3");
+    await wc.debugger.sendCommand("Page.enable");
+    await wc.debugger.sendCommand("Page.addScriptToEvaluateOnNewDocument", { source: NPK_SRC });
+    try { await wc.executeJavaScript(NPK_SRC, true); } catch (_) {}  // 当前已加载的文档也补一发
+  } catch (_) { try { wc.__npkArmed = false; } catch (e) {} }
+}
+electronApp.on("web-contents-created", (_e, wc) => {
+  try { if (wc.getType() === "webview") armWebviewNoPasskey(wc); } catch (_) {}
+});
 // 默认会话可能在上面这个监听器挂上之前就已经建好了(main.js 里别处也踩过同一个坑,
 // 见启动时那段「默认会话强制直连」的保险),所以 ready 之后再补一次。幂等。
 electronApp.whenReady().then(() => {