dsh-bili-scroll 0.1.7 → 2.0.4

package/lib/asr.py

@@ -65,6 +65,9 @@ def fetch_audio(url: str, tmp: str, tag: str) -> str:
         # ⭐ nopart：不写 .part 再改名，直接落最终文件。
         #    沙箱里"新建文件 + 改名"会被拒，而这条能绕开（2026-10-14 值班那一轮自己试出来的）
         'nopart': True,
+      # [2026-10-20 · 参考社区 PR #23] 进度条默认打到 stdout ⇒ 调用方"stdout 非空=成功"恒真 ✗
+      #   我们是读文件走的，把进度关掉，别污染输出
+      'noprogress': True,
         'quiet': True,
         'no_warnings': True,
         'noplaylist': True,

package/lib/dm.mjs

@@ -0,0 +1,101 @@
+/**
+ * lib/dm.mjs —— B站 私信：读会话 / 读消息 / 发消息
+ *
+ * 为什么要它（2026-10-21 起）：「私信双向」= 使用者在 B站 私信里跟它说话，它能看见并回一句。
+ *   接口是 2026-10-19 实测通过的（见记忆）：**只读、纯代码**，不花 token；
+ *   只有真有人发来新消息时才去唤醒模型，所以平时零成本 ✓
+ *
+ * 接口（都要带登录 Cookie，且 GET）：
+ *   ① 列会话：/session_svr/v1/session_svr/get_sessions?session_type=1&group_id=0&Build=0&mobi_app=web
+ *   ② 读消息：/svr_sync/v1/svr_sync/fetch_session_msgs?talker_id=<uid>&session_type=1&size=<n>&build=0&mobi_app=web
+ *   ③ 发消息：走 vendor 里的 bili_send_message（不在这份文件里）
+ * ⚠️ 别用 /x/im/web/session/list（404）、/get_msgs（404）、fetch_session_msgs 用 POST（405）
+ */
+import { existsSync, readFileSync } from 'node:fs'
+import { join } from 'node:path'
+
+const UA = 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 Chrome/124.0 Safari/537.36'
+
+export function loadCred(stateDir) {
+  const f = join(stateDir, 'bili_credential.json')
+  if (!existsSync(f)) return null
+  try {
+    const c = JSON.parse(readFileSync(f, 'utf8'))
+    return c?.sessdata ? c : null
+  } catch { return null }
+}
+
+function headers(cred) {
+  return {
+    'User-Agent': UA,
+    Referer: 'https://message.bilibili.com/',
+    Origin: 'https://message.bilibili.com',
+    Cookie: `SESSDATA=${cred.sessdata}; bili_jct=${cred.bili_jct}; buvid3=${cred.buvid3}`,
+  }
+}
+
+async function jget(url, cred) {
+  const r = await fetch(url, { headers: headers(cred) })
+  const j = await r.json().catch(() => null)
+  if (!j || j.code !== 0) throw new Error(`HTTP ${r.status} code=${j?.code} msg=${j?.message || ''}`)
+  return j.data || {}
+}
+
+/** 会话列表：[{ uid, unread, lastTs, preview }] */
+export async function listSessions(cred) {
+  const d = await jget('https://api.vc.bilibili.com/session_svr/v1/session_svr/get_sessions?session_type=1&group_id=0&Build=0&mobi_app=web', cred)
+  const list = d.session_list || []
+  return list.map((s) => {
+    let preview = ''
+    try {
+      const c = s.last_msg?.content ? JSON.parse(s.last_msg.content) : null
+      preview = String(c?.content || c?.text || '').slice(0, 80)
+    } catch { /* 非 JSON 就留空 */ }
+    return {
+      uid: Number(s.talker_id) || 0,
+      unread: Number(s.unread_count) || 0,
+      lastTs: Number(s.last_msg?.timestamp) || 0,
+      preview,
+    }
+  }).filter((x) => x.uid > 0)
+}
+
+/** 读某个会话最近的 n 条：[{ key, ts, fromMe, text }] */
+export async function fetchMsgs(cred, talkerId, size = 10) {
+  const url = `https://api.vc.bilibili.com/svr_sync/v1/svr_sync/fetch_session_msgs?talker_id=${Number(talkerId)}`
+    + `&session_type=1&size=${Math.max(1, Math.min(50, size))}&build=0&mobi_app=web`
+  const d = await jget(url, cred)
+  const list = (d.messages || []).slice().reverse()   // 接口是倒序的
+  return list.map((m) => {
+    const mt = Number(m.msg_type) || 1
+    let text = ''
+    let isCard = false
+    try {
+      const c = JSON.parse(m.content || '{}')
+      // ⭐ 2026-10-21：分享卡片是 msg_type=7（视频）/ 8，它的 content 里**没有 content 字段**，
+      //    只有 author / title / jump_url / thumb ⇒ 以前被当成"空消息"直接过滤掉，等于收不到分享 ✗
+      if ((mt === 7 || mt === 8) && (c.jump_url || c.bvid || c.author || c.title)) {
+        isCard = true
+        const bv = String(c.bvid || '') || (String(c.jump_url || '').match(/BV[0-9A-Za-z]{10}/) || [])[0] || ''
+        const title = String(c.title || c.headline || c.desc || '').slice(0, 80)
+        const who = String(c.author || '').slice(0, 30)
+        text = '[分享视频] ' + (title || '(无标题)') + (who ? ' / ' + who : '') + (bv ? ' ' + bv : '')
+      } else {
+        text = String(c.content || c.text || '')
+      }
+    } catch { text = String(m.content || '') }
+    if (!text) text = '[非文字消息]'
+    return {
+      key: String(m.msg_key || m.msg_seqno || m.timestamp),
+      ts: Number(m.timestamp) || 0,
+      fromMe: Number(m.sender_uid) === Number(cred.dedeuserid),
+      kind: isCard ? mt : 1,
+      text: text.slice(0, 500),
+    }
+  })
+}
+
+/** 我自己的 uid（凭证里有） */
+export function myUid(cred) {
+  return Number(cred?.dedeuserid) || 0
+}

package/lib/favops.py

@@ -0,0 +1,84 @@
+#!/usr/bin/env python3
+"""favops.py —— 「刷B站」的收藏边车（宿主直接调，不经过 MCP，模型拿不到这只手）
+
+用法：
+  python favops.py folders            # 列收藏夹 → 末行 JSON {"ok":true,"folders":[{id,title,count}]}
+  python favops.py add <bvid> <fid>   # 收藏 → {"ok":true} / {"ok":false,"error":"..."}
+"""
+import asyncio
+import json
+import os
+import sys
+
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+
+# 凭证找两处：优先**当前工作目录**（宿主 spawn 时 cwd = 插件家，凭证就在那儿），
+# 退回脚本旁边（脚本被铺到插件家后两者一致）
+CRED_CANDIDATES = [
+    os.path.join(os.getcwd(), 'bili_credential.json'),
+    os.path.join(os.path.dirname(os.path.abspath(__file__)), 'bili_credential.json'),
+]
+CRED_FILE = next((p for p in CRED_CANDIDATES if os.path.exists(p)), CRED_CANDIDATES[0])
+
+
+def out(obj):
+    print(json.dumps(obj, ensure_ascii=False))
+    sys.exit(0)
+
+
+def load():
+    from bilibili_api import Credential
+    if not os.path.exists(CRED_FILE):
+        out({'ok': False, 'error': '还没扫码登录（bili_credential.json 不存在）'})
+    d = json.load(open(CRED_FILE, encoding='utf-8'))
+    return Credential(
+        sessdata=d['sessdata'],
+        bili_jct=d['bili_jct'],
+        buvid3=d.get('buvid3', ''),
+        dedeuserid=str(d['dedeuserid']),
+    ), int(d['dedeuserid'])
+
+
+async def folders():
+    from bilibili_api import favorite_list
+    cred, uid = load()
+    res = await favorite_list.get_video_favorite_list(uid, credential=cred)
+    items = (res or {}).get('list') or []
+    out({'ok': True, 'folders': [{'id': it.get('id'), 'title': it.get('title'), 'count': it.get('media_count', 0)} for it in items]})
+
+
+async def add(bvid, fid):
+    from bilibili_api import video as ba_video
+    cred, _ = load()
+    v = ba_video.Video(bvid=bvid, credential=cred)
+    info = await v.get_info()
+    aid = int(info['aid'])
+    res = await favorite_list.FavoriteList(aid, credential=cred).get_info()
+    try:
+        await favorite_list.FavoriteListResource(aid, type_=2, credential=cred).add(fid)
+    except Exception as error:  # noqa: BLE001
+        msg = str(error)
+        # 已经收藏过不算失败
+        if '已经' in msg or 'already' in msg.lower():
+            out({'ok': True, 'already': True})
+        out({'ok': False, 'error': msg[:200]})
+    out({'ok': True})
+
+
+def main():
+    args = sys.argv[1:]
+    if not args:
+        out({'ok': False, 'error': '没有子命令（folders / add）'})
+    try:
+        if args[0] == 'folders':
+            asyncio.run(folders())
+        elif args[0] == 'add' and len(args) >= 3:
+            asyncio.run(add(args[1], int(args[2])))
+        else:
+            out({'ok': False, 'error': '子命令不认识：' + ' '.join(args)})
+    except Exception as error:  # noqa: BLE001
+        out({'ok': False, 'error': str(error)[:300]})
+
+
+if __name__ == '__main__':
+    main()

package/lib/login.mjs

@@ -16,6 +16,7 @@
  */
 import { spawn } from 'node:child_process'
 import { existsSync, mkdirSync, writeFileSync } from 'node:fs'
+import { execFileSync } from 'node:child_process'
 import { join } from 'node:path'
 
 const UA = 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0 Safari/537.36'
@@ -75,6 +76,23 @@ export async function loginPoll(key) {
 }
 
 /** 把凭证写进 MCP 读的那个文件（家目录里的 bili_credential.json） */
+/**
+ * ⭐ 2026-10-23 安全加固（审计 + issue #67）：凭证文件权限收紧到"只有自己能读" ——
+ *    Linux/macOS: chmod 0600；Windows: icacls 去掉继承（只留当前用户）。
+ *    失败也不报错（有些文件系统不支持），但会返回 false 让调用方可以说明。
+ */
+export function hardenPerms(file) {
+  try {
+    if (process.platform === 'win32') {
+      const user = process.env.USERNAME || ''
+      execFileSync('icacls', [file, '/inheritance:r', '/grant:r', user + ':F'], { stdio: 'ignore', windowsHide: true })
+    } else {
+      execFileSync('chmod', ['600', file], { stdio: 'ignore' })
+    }
+    return true
+  } catch { return false }
+}
+
 export function saveCredential(stateDir, credential) {
   mkdirSync(stateDir, { recursive: true })
   const file = join(stateDir, 'bili_credential.json')
@@ -84,6 +102,7 @@ export function saveCredential(stateDir, credential) {
     buvid3: credential.buvid3 || '',
     dedeuserid: credential.dedeuserid ?? '',
   }, null, 2), 'utf8')
+  try { hardenPerms(file) } catch { /* 收紧失败也不影响登录 */ }
   return file
 }
 

package/lib/state.mjs

@@ -10,6 +10,7 @@
  * ============================================================================
  */
 import { existsSync, mkdirSync, readFileSync, writeFileSync, copyFileSync } from 'node:fs'
+import { createHash as nodeCreateHash } from 'node:crypto'
 import { createHash } from 'node:crypto'
 import { join } from 'node:path'
 import { homedir } from 'node:os'
@@ -56,19 +57,49 @@ export function writeJson(file, value) {
   writeFileSync(file, JSON.stringify(value, null, 2), 'utf8')
 }
 
-/** 首次运行：把 vendored 的脚本拷进家里（脚本变了就覆盖）。章程不在这里 —— 它走下面的 ensureCharter */
+/**
+ * 把 vendored 的脚本铺进家里。
+ *
+ * ⭐ 2026-10-22（用户 @俺爱啃猪蹄子 指出策略不一致）：以前是"内容不一样就覆盖" ⇒ **用户改过的直接丢** ✗，
+ *    而章程 duty.md 是"改过就保留" —— 同一个插件两套规矩，很怪。
+ *    现在改成**记住"上次我们发出去那份的指纹"**（`.shipped-<文件名>.sha`）：
+ *      · 家里那份 == 我们发的 ⇒ 正常升级覆盖 ✓
+ *      · 家里那份 ≠ 我们发的 ⇒ **说明用户改过** ⇒ 不覆盖，新版写到 `<文件>.new` 并提示 ✓
+ *      · 没有指纹（老版本升级上来）⇒ 按老行为覆盖一次并记指纹（从这一版起才有"改过"的概念）✓
+ */
 export function ensureHomeFiles(pluginDir, stateDir, log = () => {}) {
   const copies = [
-    [join(pluginDir, 'vendor', 'bilibili-mcp', 'mcp_server.py'), join(stateDir, 'mcp_server.py'), true],
-    [join(pluginDir, 'lib', 'asr.py'), join(stateDir, 'asr.py'), true],
+    [join(pluginDir, 'vendor', 'bilibili-mcp', 'mcp_server.py'), join(stateDir, 'mcp_server.py')],
+    [join(pluginDir, 'lib', 'asr.py'), join(stateDir, 'asr.py')],
+    [join(pluginDir, 'lib', 'favops.py'), join(stateDir, 'favops.py')],
   ]
-  for (const [from, to, overwrite] of copies) {
+  const sha = (buf) => {
+    try { return nodeCreateHash('sha256').update(buf).digest('hex') } catch { return '' }
+  }
+  for (const [from, to] of copies) {
     try {
       if (!existsSync(from)) { log(`缺文件：${from}`); continue }
-      if (!overwrite && existsSync(to)) continue
-      if (overwrite && existsSync(to) && readFileSync(from, 'utf8') === readFileSync(to, 'utf8')) continue
-      copyFileSync(from, to)
-      log(`已铺好：${to}`)
+      const incoming = readFileSync(from, 'utf8')
+      const markFile = join(stateDir, '.shipped-' + to.split(/[\\/]/).pop() + '.sha')
+      const shipped = existsSync(markFile) ? readFileSync(markFile, 'utf8').trim() : ''
+      const writeMark = (txt) => { try { writeFileSync(markFile, sha(Buffer.from(txt, 'utf8')), 'utf8') } catch { /* 记不上就下次再说 */ } }
+      if (!existsSync(to)) {
+        copyFileSync(from, to); writeMark(incoming); log(`已铺好：${to}`); continue
+      }
+      const onDisk = readFileSync(to, 'utf8')
+      if (onDisk === incoming) { if (!shipped) writeMark(incoming); continue }   // 本来就是同一份
+      if (shipped && sha(Buffer.from(onDisk, 'utf8')) === shipped) {
+        // 家里那份就是我们上次发的 ⇒ 正常升级
+        copyFileSync(from, to); writeMark(incoming); log(`已更新：${to}`)
+      } else if (!shipped) {
+        // 老版本升级上来，没有指纹：按老行为覆盖一次，从此开始记指纹
+        copyFileSync(from, to); writeMark(incoming); log(`已更新（首次记录指纹）：${to}`)
+      } else {
+        // 用户改过 ⇒ 不覆盖，新版放旁边
+        const side = to + '.new'
+        try { writeFileSync(side, incoming, 'utf8') } catch { /* 写不了就算了 */ }
+        log(`注意：${to} 你改过，这次没覆盖；新版放在 ${side}`)
+      }
     } catch (e) { log(`铺 ${to} 失败：${e?.message ?? e}`) }
   }
 }

package/lib/uid.mjs

@@ -0,0 +1,61 @@
+/** lib/uid.mjs —— 用昵称查 B站 UID（私信默认化之后，用户只填「@ 谁」就得能发）
+ *  为什么要它：默认投递改成「私信」以后，如果只认 dmUid，那么没填 UID 的用户会**一条都收不到** ✗
+ *  接口：/x/web-interface/search/type?search_type=bili_user&keyword=<昵称>（要带登录 cookie）
+ *  策略：先精确匹配 uname，再退到第一个结果；结果缓存进 <家>/uid-cache.json，避免每轮都打接口
+ */
+import { existsSync, readFileSync, writeFileSync } from 'node:fs'
+import { join } from 'node:path'
+
+const UA = 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 Chrome/124.0 Safari/537.36'
+
+function loadCred(stateDir) {
+  const f = join(stateDir, 'bili_credential.json')
+  if (!existsSync(f)) return null
+  try {
+    const c = JSON.parse(readFileSync(f, 'utf8'))
+    return c?.sessdata ? c : null
+  } catch { return null }
+}
+
+function readCache(stateDir) {
+  try { return JSON.parse(readFileSync(join(stateDir, 'uid-cache.json'), 'utf8')) || {} } catch { return {} }
+}
+function writeCache(stateDir, obj) {
+  try { writeFileSync(join(stateDir, 'uid-cache.json'), JSON.stringify(obj, null, 2), 'utf8') } catch { /* 写不了就算了 */ }
+}
+
+/** @returns {Promise<number>} 0 = 没查到 */
+export async function resolveUid(stateDir, name, log = () => {}) {
+  const q = String(name || '').trim()
+  if (!q) return 0
+  const cache = readCache(stateDir)
+  if (Number(cache[q]) > 0) return Number(cache[q])
+  const cred = loadCred(stateDir)
+  if (!cred) { log('查 UID 失败：还没扫码登录 B站'); return 0 }
+  const url = 'https://api.bilibili.com/x/web-interface/search/type?search_type=bili_user&page=1&keyword='
+    + encodeURIComponent(q)
+  try {
+    const r = await fetch(url, {
+      headers: {
+        'User-Agent': UA,
+        Referer: 'https://search.bilibili.com/',
+        Cookie: `SESSDATA=${cred.sessdata}; bili_jct=${cred.bili_jct}; buvid3=${cred.buvid3}`,
+      },
+    })
+    const j = await r.json().catch(() => null)
+    const list = j?.data?.result || []
+    if (!list.length) { log(`查 UID：搜「${q}」没有结果`); return 0 }
+    const exact = list.find((u) => String(u.uname) === q)
+    const pick = exact || list[0]
+    const mid = Number(pick.mid) || 0
+    if (mid > 0) {
+      cache[q] = mid
+      writeCache(stateDir, cache)
+      log(`查 UID：「${q}」→ ${mid}（${pick.uname}${exact ? '，精确匹配' : '，第一个结果'}）`)
+    }
+    return mid
+  } catch (e) {
+    log('查 UID 失败：' + String(e?.message ?? e))
+    return 0
+  }
+}

package/lib/verify.mjs

@@ -122,7 +122,7 @@ export async function verifyRecent(stateDir, { max = 6, log = () => {} } = {}) {
   if (!cred) return { checked: [], skipped: 0, text: '⚠️ 还没扫码登录，没法复核（复核要用你自己的登录态）' }
 
   const rows = parseSeen(readFileSync(seenFile, 'utf8'))
-  if (!rows.length) return { checked: [], skipped: 0, text: '判重表里还没有「我们发过的评论」记录' }
+  if (!rows.length) return { checked: [], skipped: 0, text: '还没发过评论，暂时不用核（等你开了「自动评论并 @ 你」、并且真的发出去过一条之后，这里才有东西可核）' }
 
   // 状态账本：已经确认真见过的，7 天内不重复查
   const stateFile = join(stateDir, 'verify-state.json')

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-bili-scroll",
-  "version": "0.1.7",
+  "version": "2.0.4",
   "description": "DSH 插件：每天替你刷一轮 B站 —— 读字幕挑出值得的、写一份日报，值得的就 @ 你",
   "keywords": [
     "dsh",
@@ -31,7 +31,9 @@
     "README.md",
     "AGENTS.md",
     "selfcheck.mjs",
-    "LICENSE"
+    "LICENSE",
+    "NOTICE.md",
+    "CONTRIBUTORS.md"
   ],
   "engines": {
     "dsh": ">=0.1.7-rc.1",

package/prompts/duty.md

@@ -90,7 +90,10 @@
    - 顺手翻一眼评论
 4. 写一份 Markdown 报告：
    ⭐⭐ **每条挑中的视频单独一段，这一段的第一行固定写成 `### BV号`**（例：`### BV1xxxxxxxxx` —— BV 号就写在
-   `###` 后面、顶格）；下一行再写 **标题 / UP / 链接 / 播放量 / 为什么值得（两三句）/ 你自己的一句话**，
+   `###` 后面、顶格）；下一行再写 **标题 / UP / 链接 / 播放量 / **档位** / 为什么值得（两三句）/ 你自己的一句话**，
+        ⭐ **`**档位**：<值得看 | 可以看 | 不值当>` 这一行必须写、而且只能用这三个词**（不许自己编、不许写分数）——
+        宿主会把它读进「它刷过的视频」列表，用来筛选。判据：**值得看** = 我真心希望他花这十几分钟；
+        **可以看** = 有信息但不看也不亏；**不值当** = 标题党 / 复读 / 水分大（这种通常根本不会进报告，进了就要标出来）。
    结尾给一句总结。
    ⭐⭐ **这一行是宿主数配额用的**：`### BV…` 的行数 = 你这一轮挑中的条数（宿主拿它跟「每天最多几条」对账，
    也算你下一轮还能挑几条）⇒ **挑中的一条都不能漏写这行**；