dsh-bili-watch 0.2.16 → 0.2.17

package/auto-trigger.js

@@ -9,7 +9,7 @@
 const RE_FULL = /https?:\/\/(?:www\.|m\.)?bilibili\.com\/video\/(BV[0-9A-Za-z]{10})(?:[/?#][^\s<>"'）)]*)?/gi
 // 短链：能识别，但 look.mjs 不能展开（tools/look.mjs:1249-1251），调用方要单独处理
 const RE_SHORT = /https?:\/\/b23\.tv\/[0-9A-Za-z]{5,12}(?:[/?#][^\s<>"'）)]*)?/gi
-// ?bvid=BV… 形态（tools/look.mjs:1254 支持）
+// ?bvid=BV… 形态（tools/look.mjs:1254 支持）；必须挂在 bilibili.com 域名下，避免任意站点的同名参数被当成视频
 const RE_BVID_Q = /https?:\/\/(?:www\.|m\.)?bilibili\.com\/video\/[^\s<>"'）)]*?[?&]bvid=(BV[0-9A-Za-z]{10})[^\s<>"'）)]*/gi
 // 裸 BV 号：前后不许粘字母数字
 const RE_BARE = /(?<![0-9A-Za-z])BV[0-9A-Za-z]{10}(?![0-9A-Za-z])/g

package/client.js

@@ -99,6 +99,7 @@ window.__ModuleLoader__.load({
     function Panel() {
       const [st, setSt] = React.useState(null)
       const [err, setErr] = React.useState('')
+      const [saveErr, setSaveErr] = React.useState('')
       const [msg, setMsg] = React.useState('')
       const [busy, setBusy] = React.useState('')
       const [days, setDays] = React.useState('7')
@@ -294,15 +295,24 @@ window.__ModuleLoader__.load({
                   const v = e.target.checked
                   try {
                     await jpost('/config', { showInSettings: v })
+                    setSaveErr('')
                     try { window.__biliWatchSyncSettings && window.__biliWatchSyncSettings(v) } catch {}
                     await load()
-                  } catch {}
+                  } catch (e) {
+                    // 用独立状态：load() 成功后会把 err 清空，写进 err 等于这条提示活不过一帧。
+                    setSaveErr(`保存失败：服务端未确认，刷新后可能回滚（${String(e?.message || e)}）`)
+                    await load()
+                  }
                 },
               }),
               h('span', { 'data-bl-name': '' }, '在设置页也显示'),
             ),
           ),
           h('div', { 'data-bl-note': '' }, '关掉只隐藏设置页入口；插件详情页这块面板一直保留。'),
+          saveErr ? h('div', { 'data-bl-note': '', style: { color: '#c0392b' } }, saveErr) : null,
+          (st.warnings || []).length
+            ? h('div', { 'data-bl-note': '', style: { color: '#b36b00' } }, st.warnings.join('；'))
+            : null,
         ),
         h('div', { 'data-bl-head': '' },
           h('span', { 'data-bl-title': '' }, '依赖与状态'),
@@ -390,6 +400,22 @@ window.__ModuleLoader__.load({
       )
     }
 
+    // 多个插件的顶部横幅都固定在 top:0，会互相盖住；按 DOM 顺序统一往下排。
+    function relayoutBanners() {
+      const els = document.querySelectorAll('[data-pmc-banner],[data-ms-overlay],[data-bl-overlay]');
+      let top = 0;
+      for (const el of els) {
+        const height = el.offsetHeight;
+        if (!height) continue;
+        el.style.top = top + 'px';
+        top += height;
+      }
+    }
+    if (typeof window !== 'undefined' && !window.__dshBannerRelayout) {
+      window.__dshBannerRelayout = setInterval(relayoutBanners, 2000);
+      setTimeout(relayoutBanners, 300);
+    }
+
     // 缺依赖横幅（shell.overlay）
     function OverlayBanner() {
       const [st, setSt] = React.useState(null)

package/cordis.patch.yml

@@ -3,3 +3,4 @@
 - insert:
     - id: dsh-bili-watch
       name: dsh-bili-watch
+      disabled: true

package/index.js

@@ -41,19 +41,35 @@ const COMMANDS = ['search', 'hot', 'peek', 'view', 'sub', 'comments', 'danmaku',
 
 // 设置页端点读的落点，与 tools/look.mjs 同源（look.mjs:41/52/54/46/48/51）
 const DEPS = join(HERE, 'deps')
-const PROJ = process.env.BILI_WATCH_PROJ || DEPS
+// 本机路径来源：env 优先，其次 deps\deps-config.json（写文件即生效，不必重启），最后 deps 自身。
+// 配置文件不进包（deps 只留空目录），发布时无需脱敏。
+// 解析失败不写 stdout/stderr（会污染 --format json 与 PowerShell 管道），
+// 而是记进 cfgWarning，由 /status 的 warnings 带给面板；ENOENT（没配过）不算异常。
+let cfgWarning = null
+function depsCfg() {
+  try { return JSON.parse(readFileSync(join(DEPS, 'deps-config.json'), 'utf8')) } catch (e) {
+    if (e?.code !== 'ENOENT') {
+      cfgWarning = `deps-config.json 解析失败，已改用 deps 目录：${String(e?.message || e)}`
+    }
+    return {}
+  }
+}
+function projDir() { return process.env.BILI_WATCH_PROJ || depsCfg().proj || DEPS }
 const CRED_FILE = join(DEPS, 'credential.json')
 const LAST_RUN = join(DEPS, 'last-run.json')
 const CACHE = join(tmpdir(), 'bili-watch')
 const PY_DIR = process.platform === 'win32' ? 'Scripts' : 'bin'
 const PY_EXE = process.platform === 'win32' ? 'python.exe' : 'python'
-const VENV_ASR = [join(DEPS, '.venv-asr', PY_DIR, PY_EXE), join(PROJ, '.venv-asr', PY_DIR, PY_EXE)]
-const VENV_OCR = [join(DEPS, '.venv-ocr', PY_DIR, PY_EXE), join(PROJ, '.venv-ocr', PY_DIR, PY_EXE)]
-const FFMPEG_CANDS = [
-  process.env.BILI_WATCH_FFMPEG,
-  join(DEPS, process.platform === 'win32' ? 'ffmpeg.exe' : 'ffmpeg'),
-].filter(Boolean)
-const HF_HOME = [join(DEPS, '.hf-home'), join(PROJ, '.hf-home')]
+function venvAsr() { const p = projDir(); return [join(DEPS, '.venv-asr', PY_DIR, PY_EXE), join(p, '.venv-asr', PY_DIR, PY_EXE)] }
+function venvOcr() { const p = projDir(); return [join(DEPS, '.venv-ocr', PY_DIR, PY_EXE), join(p, '.venv-ocr', PY_DIR, PY_EXE)] }
+function ffmpegCands() {
+  return [
+    process.env.BILI_WATCH_FFMPEG,
+    depsCfg().ffmpeg,
+    join(DEPS, process.platform === 'win32' ? 'ffmpeg.exe' : 'ffmpeg'),
+  ].filter(Boolean)
+}
+function hfHomes() { const p = projDir(); return [join(DEPS, '.hf-home'), join(p, '.hf-home')] }
 const SCRIPTS = join(HERE, 'scripts')
 const CACHE_CFG = join(DEPS, 'cache-config.json')
 const UI_CFG = join(DEPS, 'ui-config.json')
@@ -209,7 +225,7 @@ async function loginPollOnce(key) {
           null,
           2,
         ),
-        'utf8',
+        { encoding: 'utf8', mode: 0o600 },
       )
     } catch (e) {
       return { ok: false, state: 'error', why: `凭证写入失败：${e?.message ?? e}` }
@@ -230,9 +246,9 @@ function writeLastRun(command, code) {
 function readLastRun() {
   try {
     const j = JSON.parse(readFileSync(LAST_RUN, 'utf8'))
-    return { time: j.time ?? null, command: j.command ?? null, ok: j.ok ?? null }
+    return { time: j.time ?? null, command: j.command ?? null, code: j.code ?? null, ok: j.ok ?? null }
   } catch {
-    return { time: null, command: null, ok: null }
+    return { time: null, command: null, code: null, ok: null }
   }
 }
 
@@ -354,7 +370,7 @@ function autoCleanCache() {
 
 /** 面板上的依赖行：一条依赖一个状态 + 体积 + 是否需要下载。 */
 function depRows() {
-  const ffmpeg = FFMPEG_CANDS.find((p) => existsSync(p)) || ''
+  const ffmpeg = ffmpegCands().find((p) => existsSync(p)) || ''
   let ffmpegSize = 0
   try {
     ffmpegSize = ffmpeg ? statSync(ffmpeg).size : 0
@@ -364,9 +380,9 @@ function depRows() {
   try {
     ytdlpSize = existsSync(ytdlp) ? statSync(ytdlp).size : 0
   } catch {}
-  const asrPython = VENV_ASR.find((p) => existsSync(p)) || ''
-  const ocrPython = VENV_OCR.find((p) => existsSync(p)) || ''
-  const model = HF_HOME.find((d) => existsSync(d)) || ''
+  const asrPython = venvAsr().find((p) => existsSync(p)) || ''
+  const ocrPython = venvOcr().find((p) => existsSync(p)) || ''
+  const model = hfHomes().find((d) => existsSync(d)) || ''
   const rows = [
     {
       id: 'ffmpeg',
@@ -503,10 +519,25 @@ function sendJson(res, code, obj) {
   res.end(JSON.stringify(obj))
 }
 
-/** 写端点的同源闸：Origin 主机名须等于 Host，回环互放；sec-fetch-site 只认 same-origin/none。 */
+/** 写端点的同源闸：Host 必须是回环（挡 DNS rebinding），Origin 主机名须等于 Host，sec-fetch-site 只认 same-origin/none。 */
 const LOOPBACK = new Set(["127.0.0.1", "localhost", "::1", "[::1]"])
+/** 从 Host 头取主机名：同时支持 example.com:3080 与 [::1]:3080。 */
+function hostNameOf(value) {
+  const raw = String(value ?? "").trim().toLowerCase()
+  if (!raw) return ""
+  if (raw.startsWith("[")) {
+    const close = raw.indexOf("]")
+    return close >= 0 ? raw.slice(0, close + 1) : raw
+  }
+  const colon = raw.lastIndexOf(":")
+  return colon >= 0 && /^\d+$/.test(raw.slice(colon + 1)) ? raw.slice(0, colon) : raw
+}
 function sameOriginBlocked(req) {
-  const host = String(req.headers?.host ?? "").split(":")[0]
+  const host = hostNameOf(req.headers?.host)
+  // DNS rebinding：攻击者把自己的域名解析到 127.0.0.1，Origin 与 Host 就都是他自己的域名，
+  // 只比两者相等挡不住（2026-10-24 wb 第二轮实测 Host/Origin 同为 evil.example:3080 返回 200）。
+  // 所以先要求 Host 是回环，再比 Origin。
+  if (!LOOPBACK.has(host)) return "非本机请求被拒绝（Host 必须是回环地址）"
   const origin = req.headers?.origin
   if (origin) {
     let oh = ""
@@ -808,6 +839,7 @@ function apply(ctx) {
                     cache: { ...dirStat(CACHE), ...cacheCfg(), lastAutoClean: cleaned },
                     lastRun: readLastRun(),
                     ui: uiCfg(),
+                    warnings: cfgWarning ? [cfgWarning] : [],
                   },
                 })
               }

package/package.json

@@ -1,6 +1,6 @@
 {
     "name":  "dsh-bili-watch",
-    "version":  "0.2.16",
+    "version":  "0.2.17",
     "private":  false,
     "description":  "Reads Bilibili (and generic URLs via yt-dlp) into text for DSH agents: search, hot, metadata, comments, danmaku, AI subtitles, local ASR, frame OCR.",
     "type":  "module",
@@ -75,4 +75,4 @@
                                                                 "optional":  true
                                                             }
                              }
-}
+}

package/tools/look.mjs

@@ -36,9 +36,17 @@ import { tmpdir } from 'node:os'
 import { fileURLToPath } from 'node:url'
 
 const HERE = dirname(fileURLToPath(import.meta.url))
-// 依赖自包含：优先用插件目录 deps\ 下的环境，缺失时回退 BILI_WATCH_PROJ
+// 依赖自包含：优先用插件目录 deps\ 下的环境，缺失时回退 BILI_WATCH_PROJ / deps\deps-config.json
 const DEPS = join(HERE, '..', 'deps')
-const PROJ = process.env.BILI_WATCH_PROJ || DEPS
+// 解析失败不静默：写 stderr（不进 stdout，JSON 模式安全）；ASCII 前缀避免 PS 管道按 GBK 渲染成乱码。
+function readDepsCfg() {
+  try { return JSON.parse(readFileSync(join(DEPS, 'deps-config.json'), 'utf8')) } catch (e) {
+    if (e?.code !== 'ENOENT') process.stderr.write(`[bili-watch] deps-config.json parse failed, using deps dir: ${String(e?.message || e)}\n`)
+    return {}
+  }
+}
+const depsCfg = readDepsCfg()
+const PROJ = process.env.BILI_WATCH_PROJ || depsCfg.proj || DEPS
 const pick = (...cands) => cands.find((p) => existsSync(p)) ?? cands[cands.length - 1]
 const PY_DIR = process.platform === 'win32' ? 'Scripts' : 'bin'
 const PY_EXE = process.platform === 'win32' ? 'python.exe' : 'python'
@@ -47,7 +55,7 @@ const ASR_SCRIPT = pick(join(DEPS, '_bili-asr.py'), join(PROJ, '_bili-asr.py'))
 const OCR_PY = pick(join(DEPS, '.venv-ocr', PY_DIR, PY_EXE), join(PROJ, '.venv-ocr', PY_DIR, PY_EXE))
 const HF_HOME_DIR = pick(join(DEPS, '.hf-home'), join(PROJ, '.hf-home'))
 const OCR_SCRIPT = join(HERE, 'ocr.py')
-const FFMPEG_CAND = process.env.BILI_WATCH_FFMPEG || ''
+const FFMPEG_CAND = process.env.BILI_WATCH_FFMPEG || depsCfg.ffmpeg || ''
 // 缺 ffmpeg 时的统一指路（一键脚本 / 环境变量 / --ffmpeg 三条出路）
 const FFMPEG_HINT =
   '跑 scripts/fetch-deps.ps1 -Target ffmpeg（macOS/Linux：bash scripts/fetch-deps.sh 或系统包管理器装），或设 BILI_WATCH_FFMPEG，或用 --ffmpeg 传路径'
@@ -1601,11 +1609,13 @@ const B23_DNS_SERVERS = ['223.5.5.5', '119.29.29.29', '1.1.1.1']
 
 /**
  * 展开 b23.tv 短链：绕过系统 DNS，直接问公共 DNS 拿 IP，再按 IP 直连读 30x 的 Location。
- * 失败返回 null，由调用方给出可执行的替代方案（贴 BV 号）。
+ * 返回 { bv } 或 { error }：error 区分 dns（没解析出来）/ network（连不上）/ not-found（短码不存在）/ unknown。
+ * 注意 b23.tv 对不存在的短码返回 HTTP 200 + {"code":-404,...}，所以「没拿到 Location」不等于网络坏
+ * （2026-10-24 wb 第二轮实测，归因错会把用户引向查 DNS）。
  */
 async function expandB23(shortUrl) {
   const m = String(shortUrl).match(/b23\.tv\/([A-Za-z0-9]+)/i)
-  if (!m) return null
+  if (!m) return { error: 'unknown' }
   const code = m[1]
   let ips = []
   try {
@@ -1616,8 +1626,9 @@ async function expandB23(shortUrl) {
   } catch { ips = [] }
   // 31.13.0.0/16 是污染常见落点（Facebook 段），直接剔掉
   ips = (ips || []).filter((ip) => /^\d+\.\d+\.\d+\.\d+$/.test(ip) && !/^31\.13\./.test(ip)).slice(0, 3)
-  if (ips.length === 0) return null
+  if (ips.length === 0) return { error: 'dns' }
   const { request } = await import('node:https')
+  let netErr = false
   for (const ip of ips) {
     let loc = ''
     let body = ''
@@ -1649,24 +1660,75 @@ async function expandB23(shortUrl) {
       })
       loc = got.location
       body = got.body
-    } catch { continue }
+    } catch { netErr = true; continue }
     // 正常短链是 302 + Location；少数短链返回带跳转的 HTML/JS，再从正文里捞一次
     const bv = `${loc}\n${body}`.match(/BV[0-9A-Za-z]{10}/)
-    if (bv) return bv[0]
+    if (bv) return { bv: bv[0] }
+    // P2-3：有的旧视频短链跳到 /video/av<数字>，里面没有 BV 号。先换成 bvid 再返回，
+    // 让下游只认一种标识。
+    const av = `${loc}\n${body}`.match(/\/video\/av(\d+)/i)
+    if (av) {
+      const converted = await aidToBvid(av[1])
+      if (converted) return { bv: converted }
+    }
+    // 没拿到跳转：b23.tv 对不存在的短码回 200 + JSON error body（实测 code=-404），
+    // 这种情况是「链接不对」，不是「DNS 坏了」。
+    let bodyCode = null
+    try {
+      const j = JSON.parse(body)
+      if (j && typeof j.code === 'number') bodyCode = j.code
+    } catch { /* 不是 JSON，继续看下一个 IP */ }
+    if (bodyCode !== null && bodyCode !== 0) return { error: 'not-found', code: bodyCode }
+  }
+  return { error: netErr ? 'network' : 'unknown' }
+}
+
+/** P2-3：av 号转 bvid。view 接口两个都收，但下游只认 bvid，这里一次性换掉。 */
+async function aidToBvid(aid) {
+  try {
+    const r = await fetch(`https://api.bilibili.com/x/web-interface/view?aid=${encodeURIComponent(aid)}`, {
+      headers: { 'user-agent': UA, referer: REF, accept: 'application/json' },
+      signal: AbortSignal.timeout(5000),
+    })
+    const j = await r.json()
+    const bv = j?.data?.bvid
+    return typeof bv === 'string' && /^BV[0-9A-Za-z]{10}$/.test(bv) ? bv : null
+  } catch {
+    return null
   }
-  return null
 }
 
 async function resolveSource(input) {
   const s = String(input ?? '').trim()
   if (!s) return { type: 'empty' }
   if (/^https?:\/\/b23\.tv\//i.test(s)) {
-    const bv = await expandB23(s)
-    if (bv) return { type: 'bilibili', bv }
-    return { type: 'error', message: 'b23.tv 短链展开失败：本机 DNS 把 b23.tv 解析到了错误地址，公共 DNS 也没连上。请在浏览器打开短链，把地址栏里的完整链接复制过来，或直接贴 BV 号。' }
+    const r = await expandB23(s)
+    if (r && r.bv) return { type: 'bilibili', bv: r.bv }
+    const why = r?.error
+    const msg = why === 'not-found'
+      ? `b23.tv 短链展开失败：这个短码不存在（b23.tv 返回 code=${r.code}，不是跳转）。先确认链接有没有复制完整；也可以贴浏览器地址栏里的完整链接或 BV 号。`
+      : why === 'dns'
+        ? 'b23.tv 短链展开失败：本机与公共 DNS 都没解析出 b23.tv 的地址（内网 DNS 会把它答成 31.13.x.x 这类错误地址）。请贴完整链接或 BV 号。'
+        : why === 'network'
+          ? 'b23.tv 短链展开失败：域名解析到了，但连接超时或被拦。请稍后重试，或直接贴完整链接 / BV 号。'
+          : 'b23.tv 短链展开失败：没拿到跳转，原因不明。请贴完整链接或 BV 号。'
+    return { type: 'error', message: msg }
   }
   const direct = s.match(/BV[0-9A-Za-z]{10}/)
   if (direct) return { type: 'bilibili', bv: direct[0] }
+  // 裸 av 号（用户从别处抄来的 aid）：先转 BV，转不出来给出可操作的提示。
+  const bareAv = s.match(/^av(\d+)$/i)
+  if (bareAv) {
+    const converted = await aidToBvid(bareAv[1])
+    if (converted) return { type: 'bilibili', bv: converted }
+    return { type: 'error', message: `av 号 ${s} 转换失败。请贴完整链接 https://www.bilibili.com/video/av${bareAv[1]}，或直接给 BV 号。` }
+  }
+  // 完整链接也可能是 av 型（老视频），一并换成 bv，避免落到 generic 走 yt-dlp
+  const avDirect = s.match(/\/video\/av(\d+)/i)
+  if (avDirect) {
+    const converted = await aidToBvid(avDirect[1])
+    if (converted) return { type: 'bilibili', bv: converted }
+  }
   const q = s.match(/[?&]bvid=([^&#]+)/)
   if (q && /^BV[0-9A-Za-z]{10}$/.test(q[1])) return { type: 'bilibili', bv: q[1] }
   if (/^https?:\/\//i.test(s)) return { type: 'generic', url: s }