dsh-code-ui 1.5.0 → 1.5.1

package/lib/client.js

@@ -893,7 +893,12 @@ window.__ModuleLoader__.load({
       if (!store.rootPath || (sid && sid !== store.rootSessionId)) {
         const r = await callHost('get-root', sid ? { sessionId: sid } : {})
         const root = (r && r.root) || null
-        if (!root) { store.error = '未找到工作区根目录'; emit(); return }
+        if (!root) {
+          // 透出真实失败原因（transport failure / RPC 协议错误），不再只给笼统红字：
+          // 通道整体 405（请求落 SPA 静态兜底）这类传输层问题一眼可辨，避免误判成根目录解析问题
+          store.error = (r && r.error) ? ('获取根目录失败：' + r.error) : '未找到工作区根目录'
+          emit(); return
+        }
         await applyRoot(root)
         store.rootSessionId = sid
       } else {

package/lib/index.js

@@ -952,6 +952,69 @@ function registerSnippetsTool(tools) {
 export const name = "dsh-code-ui";
 export const inject = ["tools"];
 
+// —— 兼容兜底：宿主 connection.rpc.handle 不可用时的自挂通道路由 ——
+// 背景（2026-09-11 405 事故）：宿主 connection 的 rpc-host.ts register() 直接访问 owner.webServer，
+// 而 owner 是 connection 插件自己的 ctx（inject 只有 credentials），Cordis guard 抛
+// "cannot get property webServer without inject" → 插件通道路由永不注册 → 客户端全部 405
+//（POST 落 webServer 的 SPA 静态兜底），文件树/更新器等 RPC 功能全挂。
+// 宿主修复前的版本上，插件侧唯一可行的适配就是自己挂同路径前缀路由：
+//  ① 信任/认证门复用宿主公开 API connection.requestRejection（HostConnectionHandle 文档明示
+//     用于「Apply Connection's Host/Origin checks and browser authentication to another Web route」），
+//     因此 Host/Origin 围栏与浏览器会话 cookie 校验和宿主通道完全同策略，不降低安全性；
+//  ② 信封协议（client-request / server-response + rpcId 关联）按 Connection 契约复刻。
+// 宿主修复上线后此兜底不再触发（仅当 handle() 抛错时才启用），可随最低支持版本提升而删除。
+function selfHostedChannelRoute(connection, channel, handler) {
+  const ENDPOINT_SEGMENT = /^[A-Za-z0-9_$.-]+$/;
+  return async (req, res) => {
+    try {
+      const rejection = connection.requestRejection(req);
+      if (rejection !== undefined) {
+        res.writeHead(rejection);
+        res.end(rejection === 401 ? "unauthorized" : "forbidden");
+        return;
+      }
+      const url = new URL(req.url || "/", "http://dsh.invalid");
+      const endpoint = url.pathname.startsWith(channel + "/") ? url.pathname.slice(channel.length + 1) : null;
+      const segments = endpoint === null ? [] : endpoint.split("/");
+      if (req.method !== "POST" || !endpoint
+        || segments.some((s) => !s || s === "." || s === ".." || !ENDPOINT_SEGMENT.test(s))) {
+        res.writeHead(404);
+        res.end("not found");
+        return;
+      }
+      if (String(req.headers["content-type"] || "").split(";")[0].trim().toLowerCase() !== "application/json") {
+        res.writeHead(415);
+        res.end("content type must be application/json");
+        return;
+      }
+      const chunks = [];
+      for await (const chunk of req) chunks.push(chunk);
+      let message;
+      try { message = JSON.parse(Buffer.concat(chunks).toString("utf8")); }
+      catch (_) { res.writeHead(400); res.end("body is not JSON"); return; }
+      const rpcId = message && typeof message.rpcId === "string" ? message.rpcId : "invalid-request";
+      const send = (result) => {
+        res.writeHead(200, { "content-type": "application/json" });
+        res.end(JSON.stringify({ type: "server-response", rpcId, result }));
+      };
+      if (!message || message.type !== "client-request" || typeof message.method !== "string") {
+        send({ ok: false, error: { code: "gateway/bad-request", message: "invalid client-request message", details: {} } });
+        return;
+      }
+      if (message.method !== endpoint) {
+        send({ ok: false, error: { code: "gateway/bad-request", message: "method does not match endpoint", details: {} } });
+        return;
+      }
+      let result;
+      try { result = await handler(endpoint, message.payload, undefined); }
+      catch (err) { res.writeHead(500); res.end("handler failure: " + String(err)); return; }
+      send(result);
+    } catch (err) {
+      try { res.writeHead(500); res.end("channel failure: " + String(err)); } catch (_) {}
+    }
+  };
+}
+
 export function apply(ctx) {
   // 注册 settings 命名空间（插件配置页按命名空间分发卡片；内部自带 ctx.inject(['settings'])，
   // 无 settings 服务的宿主上静默不运行，不影响其它功能）
@@ -966,12 +1029,59 @@ export function apply(ctx) {
     registerSnippetsTool(c.tools);
   });
 
-  // 等待 Connection 服务就绪后注册 RPC 通道
+  // 等待 Connection 服务就绪后注册 RPC 通道。
+  // 注：2026-09-11 的 405 事故根因在宿主侧——connection 的 rpc-host.ts register() 曾直接访问
+  //   owner.webServer，而 owner 是 connection 插件自己的 ctx（inject 列表只有 credentials），
+  //   Cordis guard 抛 "cannot get property webServer without inject" → 前缀路由永不注册 →
+  //   所有插件 RPC 405（POST 落到 SPA 静态兜底；dsh-context 等其它插件同样中招）。
+  //   宿主已修：改经 connection 自己的 webServer 作用域挂载（与 /api 路由同路），
+  //   因此插件侧无需注入 webServer（实测调用方声明也救不了）。
+  // 防御性注册：不同 dsh-client-connection 版本的 handle() 对第三参（options）宽容度不同
+  //（0.1.5-rc.2 为 (channel, handler) 两参、多余参数被忽略；其它版本可能校验/依赖 options）。
+  // 带参注册抛错时回退两参注册；仍失败则向宿主控制台大声报错——通道注册失败时客户端
+  // 所有 RPC 都会 405（POST 落到 SPA 静态兜底），不留日志极难定位。
   ctx.inject(["connection"], (c) => {
     const connection = c.connection;
     if (connection === undefined) return;
-    const dispose = connection.rpc.handle(CHANNEL, rpcHandler(ctx), { authority: "loopback" });
-    c.effect(() => dispose, "dsh-code-ui: rpc channel");
+    const handler = rpcHandler(ctx);
+    let dispose;
+    let hostChannel = false;
+    try {
+      dispose = connection.rpc.handle(CHANNEL, handler, { authority: "loopback" });
+      hostChannel = true;
+    } catch (err) {
+      console.error("[dsh-code-ui] 带 options 注册 RPC 通道失败，回退无 options 注册：" + ((err && err.message) || err));
+      try {
+        dispose = connection.rpc.handle(CHANNEL, handler);
+        hostChannel = true;
+      } catch (err2) {
+        console.error("[dsh-code-ui] 宿主 RPC 通道注册失败（将启用插件自挂路由兜底）：" + ((err2 && err2.message) || err2));
+      }
+    }
+    if (hostChannel) {
+      console.log("[dsh-code-ui] RPC 通道已注册（宿主 connection 通道）：" + CHANNEL);
+      c.effect(() => dispose, "dsh-code-ui: rpc channel");
+    } else if (typeof connection.requestRejection !== "function") {
+      // 安全护栏：拿不到宿主的信任/认证门就绝不自挂路由——否则等于开一条绕过
+      // Host/Origin 围栏与浏览器会话校验的裸路由。
+      console.error("[dsh-code-ui] 宿主通道不可用且无 requestRejection，已放弃自挂路由兜底；请更新 DSH 宿主以修复通道注册 bug");
+    } else {
+      // 兜底：自挂同路径前缀路由（与 vendor 静态路由同款机制），复用 requestRejection 认证门。
+      // 仅在宿主通道不可用时启用，宿主修复后不会走到这里。
+      c.inject(["webServer"], (w) => {
+        try {
+          const disposeSelf = w.webServer.register({
+            kind: "prefix",
+            path: CHANNEL,
+            handler: selfHostedChannelRoute(connection, CHANNEL, handler),
+          });
+          c.effect(() => disposeSelf, "dsh-code-ui: self-hosted rpc channel");
+          console.log("[dsh-code-ui] 已启用插件自挂路由兜底：" + CHANNEL);
+        } catch (err3) {
+          console.error("[dsh-code-ui] 兜底通道路由注册失败：" + ((err3 && err3.message) || err3));
+        }
+      });
+    }
     c.effect(() => () => unwatchAllFiles(), "dsh-code-ui: file watchers");
   });
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-code-ui",
-  "version": "1.5.0",
+  "version": "1.5.1",
   "description": "Cursor 风格的 AI 代码编辑器工作台插件（DSH）：文件树、多标签页编辑、语法高亮、引用/翻译行内标签给 AI、右侧停靠/悬浮窗口双布局",
   "type": "module",
   "main": "lib/index.js",