dsh-composer-ux 0.15.1 → 0.15.2

package/CHANGELOG.md

@@ -2,6 +2,22 @@
 
 本项目遵循 [语义化版本](https://semver.org/lang/zh-CN/)。
 
+## [0.15.2] — 2026-09-30（重启被挡时，现在会说清是哪一条不满足）
+
+起因（用户截图）：**侧边栏与设置页两枚「重启」都报** `restart is limited to same-origin loopback requests`。
+
+那条守卫有四道（回环 peer / 无转发头 / 有 Origin / Origin 与 Host 同源），但失败时只给一句话 —— 用户与我
+都只能猜是哪一道。这一版**不放松任何检查**，只把判据拆成具名步骤（`explainRestartTrust`）并把原因与
+当时看到的事实（peer / origin / host / 有没有转发头）写进 403。
+
+这一版**不保证修好重启**：先拿到那句原因，才知道该改客户端、改守卫，还是这台机器上换了打开方式。
+（在此之前可以先手动重启一次 DSH —— 关掉再打开即可。）
+
+## 验证
+
+- `npm test`：**2351 passed / 0 failed**（23 个套件；新增 9 条守卫原因断言）。
+- 变异测试：**160/160 全部被咬住**（新增 FG 原因文案不许空着 / FH 不许把 localhost 与 127.0.0.1 当同源）。
+
 ## [0.15.1] — 2026-09-30（与 0.15.0 同样的代码：只是换个版本号重发）
 
 **这一版没有代码改动。** 0.15.0 推到 npm 之后，registry 把它留在了「已暂存」态：版本元数据先 404，

package/README.md

@@ -506,7 +506,7 @@ Windows 上 DSH 给模型的终端工具是 **PowerShell**（工具名 `pwsh`）
 | 工具循环的消息形状 / 轮次封顶 / 异常必须降级 | 同上第 6 节（假 llm 驱动整条循环，逐条检查 `role:'tool'` 与 `toolCallId`） |
 | 工具路径：默认关、开了才派、**查完吐散文必须回落**、拿不到工作目录就不派 | `test/quick-commands.mjs` 5g 节（13 条，真路由 + 假 llm） |
 | 工具读到的内容不进台账 | 同 5g 节：断言台账里只有工具名与次数、没有读到的文件内容 |
-| 变异守卫真的会咬人，且**必须是指定的那条测试变红** | `npm run test:mutations`：**158 条全部咬住**（判据是 `red.some(line => line.includes(item.expect))`，不是"有红就行"） |
+| 变异守卫真的会咬人，且**必须是指定的那条测试变红** | `npm run test:mutations`：**160 条全部咬住**（判据是 `red.some(line => line.includes(item.expect))`，不是"有红就行"） |
 | 发布门禁三条判据 | `npm run gates` 全过；`check:tag` 实测 `v0.12.0` 的 tag 名与所指提交里的版本一致 |
 | 三平台 CI | GitHub Actions：ubuntu / windows / macos × Node 20（`npm ci → typecheck → build → test → check:pack → check:docs`） |
 
@@ -640,9 +640,9 @@ node build.mjs                    # 产出 lib/index.js + lib/client.js
                                   #   ⚠️ 宿主半会**内联** schemastery / cosmokit：
                                   #   优先用 DSH 检出里的 vendor 副本，检出不在时退到 node_modules
                                   #   里同版本的 npm 包（两者逐字节相同）——CI 上走的就是退路
-npm test                          # 23 个套件；当前 2342 passed, 0 failed（2026-09-29 实测；CI 三平台同样全绿）
+npm test                          # 23 个套件；当前 2351 passed, 0 failed（2026-09-29 实测；CI 三平台同样全绿）
                                   #   走 scripts/run-tests.mjs：顺带把"多少套件/多少条"记进 test/.last-run.json
-npm run test:mutations            # 手动跑：变异测试，证明那套护栏真的在咬人（158 条，须单独跑）
+npm run test:mutations            # 手动跑：变异测试，证明那套护栏真的在咬人（160 条，须单独跑）
                                   #   同样记录结果，供下面的文档门禁核对
 npm run gates                     # 发版门禁三条一起跑：tag 指向 / 包内容 / 文档数字
 npm run check:tag                 #   ① tag 名里的版本 == 该 tag 所指提交里的 package.json 版本

package/lib/index.js

@@ -3915,19 +3915,40 @@ function servingPort(hostHeader) {
 function isLoopbackAddress(address) {
   return address === "127.0.0.1" || address === "::1" || address === "::ffff:127.0.0.1";
 }
-function trustedRestartRequest(request) {
-  if (!isLoopbackAddress(request.remoteAddress)) return false;
+function explainRestartTrust(request) {
   const headers = request.headers;
-  if (headers.forwarded !== void 0 || headers["x-forwarded-for"] !== void 0 || headers["x-real-ip"] !== void 0) return false;
-  const origin = firstHeader(headers.origin);
-  const host = firstHeader(headers.host);
-  if (origin === void 0 || host === void 0) return false;
+  const origin = firstHeader(headers.origin) ?? "";
+  const host = firstHeader(headers.host) ?? "";
+  const peer = request.remoteAddress ?? "";
+  const forwarded = firstHeader(headers.forwarded) ?? firstHeader(headers["x-forwarded-for"]) ?? firstHeader(headers["x-real-ip"]) ?? "";
+  const base = { peer, origin, host, forwarded };
+  if (!isLoopbackAddress(request.remoteAddress)) return { ...base, reason: "peer-not-loopback" };
+  if (forwarded !== "") return { ...base, reason: "forwarded-header" };
+  if (origin === "") return { ...base, reason: "no-origin" };
+  if (host === "") return { ...base, reason: "no-host" };
   try {
     const parsed = new URL(origin);
-    return (parsed.protocol === "http:" || parsed.protocol === "https:") && parsed.host === host;
+    if (parsed.protocol !== "http:" && parsed.protocol !== "https:") return { ...base, reason: "origin-unparsable" };
+    return { ...base, reason: parsed.host === host ? "ok" : "origin-host-mismatch" };
   } catch {
-    return false;
-  }
+    return { ...base, reason: "origin-unparsable" };
+  }
+}
+function restartTrustText(facts) {
+  if (facts.reason === "ok") return "";
+  const why = {
+    "peer-not-loopback": "\u8BF7\u6C42\u4E0D\u662F\u4ECE\u672C\u673A\u56DE\u73AF\u5730\u5740\u6765\u7684",
+    "forwarded-header": "\u8BF7\u6C42\u5E26\u7740\u8F6C\u53D1\u5934\uFF08\u4E2D\u95F4\u6709\u4EE3\u7406\uFF0C\u4E0D\u662F\u4F60\u7684\u6D4F\u89C8\u5668\u76F4\u8FDE\uFF09",
+    "no-origin": "\u8BF7\u6C42\u6CA1\u6709 Origin \u5934\uFF08\u6D4F\u89C8\u5668\u540C\u6E90 POST \u5E94\u5F53\u4F1A\u5E26\uFF09",
+    "no-host": "\u8BF7\u6C42\u6CA1\u6709 Host \u5934",
+    "origin-unparsable": "Origin \u5934\u89E3\u6790\u4E0D\u51FA http/https \u6765\u6E90",
+    "origin-host-mismatch": "Origin \u4E0E Host \u4E0D\u662F\u540C\u4E00\u4E2A\u6765\u6E90"
+  };
+  const peer = facts.peer === "" ? "\u7A7A" : facts.peer;
+  const origin = facts.origin === "" ? "\u7A7A" : facts.origin;
+  const host = facts.host === "" ? "\u7A7A" : facts.host;
+  const fwd = facts.forwarded === "" ? "\u65E0" : facts.forwarded;
+  return why[facts.reason] + "\uFF08peer=" + peer + " \xB7 origin=" + origin + " \xB7 host=" + host + " \xB7 \u8F6C\u53D1\u5934=" + fwd + "\uFF09";
 }
 function firstHeader(value) {
   if (value === void 0) return void 0;
@@ -7444,11 +7465,15 @@ function apply(ctx, config) {
           send(200, { ok: true, ...plan, running, blocked, boot: BOOT_ID });
           return;
         }
-        if (!trustedRestartRequest({
+        const trust = explainRestartTrust({
           remoteAddress: req.socket?.remoteAddress,
           headers: req.headers ?? {}
-        })) {
-          send(403, { ok: false, error: "restart is limited to same-origin loopback requests" });
+        });
+        if (trust.reason !== "ok") {
+          send(403, {
+            ok: false,
+            error: "restart is limited to same-origin loopback requests \u2014\u2014 " + restartTrustText(trust)
+          });
           return;
         }
         if (blocked !== null) {