dsh-config-manager 0.1.69 → 0.1.71

package/lib/cli/web/page.d.ts

@@ -9,15 +9,22 @@ export interface PageChrome {
     paths: RescuePaths;
     active: 'home' | 'disk' | 'sessions' | 'profiles' | 'unlock' | 'restore' | 'export' | 'reinstall';
 }
+export declare function esc(value: string): string;
 /**
- * HTML 转义 + **脱敏**（唯一出口）。
+ * **只转义、不脱敏**的展示出口：唯一用途是救急台**有意**回传给终端用户的「能力 URL」
+ * （启动器从子进程日志抓到的带 token 的认证 URL）。
  *
- * 两件事必须一起做，且顺序固定：先 `redact()` 再转义 —— 救急台会把磁盘上的路径、日志尾部、
- * 失败原因直接渲染出来，里面可能夹带形如 `"apiKey": "…"` / `?token=…` 的内容（§7 纪律：
- * 展示文本渲染前一律过 `redact()`，插件 UI 与 CLI 都遵守，这里不能例外）。
+ * 为什么必须与 esc() 分开（cli-F1）：esc() 先过安全侧 redact()，而 redact 的 URL_QUERY_RE
+ * 会把 `?token=…` 的值抹成 ***REDACTED*** —— 那正是认证 URL 的形态，于是页面给出一条必然
+ * 401 的死链（/profiles 的「打开实例」入口 + 启动结果页）。这些 URL 与终端里打印的 bootstrap
+ * URL 同一性质：只给拿到会话 cookie 的人，本来就该原样可见。
+ * 纪律：**只允许**用于本层自己签发/抓取的能力 URL；其余一切文本仍走 esc()。
  */
-export declare function esc(value: string): string;
+export declare function escCapability(value: string): string;
 export declare function formatBytes(bytes: number): string;
+type Cell = string | {
+    html: string;
+};
 export declare function renderLayout(chrome: PageChrome, body: string, subtitle?: string): string;
 /** 独立极简页（403/404 用；不依赖任何目录事实，避免在错误路径上再读盘）。 */
 export declare function renderMessagePage(title: string, message: string, hint?: string): string;
@@ -113,7 +120,9 @@ export declare function renderConfirmForm(options: {
     note?: string;
 }): string;
 /** 写动作结果页（完成 / 失败共用；结果如实逐条列）。 */
-export declare function renderResultPage(title: string, lines: readonly string[], version: string, paths: RescuePaths, kind: 'ok' | 'bad' | 'warn' | string, 
+export declare function renderResultPage(title: string, 
+/** 逐条结果：默认过 esc()（脱敏+转义）；`{ html }` 仅用于已自行转义的能力 URL 行 */
+lines: readonly Cell[], version: string, paths: RescuePaths, kind: 'ok' | 'bad' | 'warn' | string, 
 /** 「返回上一页」在禁用 JS 时的落点（有 JS 时走 history.back()，回到列表页并由状态恢复脚本定位） */
 backHref?: string): string;
 /** 残留锁页：展示锁状态 + 显式回收表单（活锁一律不给可点的回收理由）。 */
@@ -135,3 +144,4 @@ export declare function renderReinstallPage(items: ReadonlyArray<{
 export declare function renderVerifyPage(result: BackupVerifyResult, version: string, paths: RescuePaths): string;
 /** 档案页：列表 + 启停表单（每个可启动档案一张卡；不可启动的写明原因）。 */
 export declare function renderProfilesPage(outcome: ProfilesOutcome, version: string, paths: RescuePaths, actionToken: string, done: string, result: string): string;
+export {};

package/lib/cli/web/page.js

@@ -157,13 +157,29 @@ const SKELETON = '<div class="skeleton" aria-hidden="true">'
  * 失败原因直接渲染出来，里面可能夹带形如 `"apiKey": "…"` / `?token=…` 的内容（§7 纪律：
  * 展示文本渲染前一律过 `redact()`，插件 UI 与 CLI 都遵守，这里不能例外）。
  */
-export function esc(value) {
-    return redact(value)
+function escapeHtml(value) {
+    return value
         .replace(/&/g, '&amp;')
         .replace(/</g, '&lt;')
         .replace(/>/g, '&gt;')
         .replace(/"/g, '&quot;');
 }
+export function esc(value) {
+    return escapeHtml(redact(value));
+}
+/**
+ * **只转义、不脱敏**的展示出口：唯一用途是救急台**有意**回传给终端用户的「能力 URL」
+ * （启动器从子进程日志抓到的带 token 的认证 URL）。
+ *
+ * 为什么必须与 esc() 分开（cli-F1）：esc() 先过安全侧 redact()，而 redact 的 URL_QUERY_RE
+ * 会把 `?token=…` 的值抹成 ***REDACTED*** —— 那正是认证 URL 的形态，于是页面给出一条必然
+ * 401 的死链（/profiles 的「打开实例」入口 + 启动结果页）。这些 URL 与终端里打印的 bootstrap
+ * URL 同一性质：只给拿到会话 cookie 的人，本来就该原样可见。
+ * 纪律：**只允许**用于本层自己签发/抓取的能力 URL；其余一切文本仍走 esc()。
+ */
+export function escCapability(value) {
+    return escapeHtml(value);
+}
 export function formatBytes(bytes) {
     if (bytes < 1024)
         return String(bytes) + ' B';
@@ -203,13 +219,19 @@ function section(title, body) {
     return '<h2>' + esc(title) + '</h2><section class="card">' + body + '</section>';
 }
 /* ------------------------------------------------------------ 布局 */
+/**
+ * 救急台是**多页**的（首页 / 会话 / 恢复 / 磁盘 …），所以「本页」这个词必须能落地：
+ * 要么指向**本页内真实存在**的入口，要么**点名到页**（C1d 口径，captain 裁决）。
+ * 页面名在这里只定义一次，导航与跨页指引共用，免得两处说法漂移。
+ */
+const RESTORE_PAGE_LABEL = '恢复';
 function renderHeader(chrome, subtitle) {
     const items = [
         ['home', '/', '首页'],
         ['disk', '/disk', '磁盘占用'],
         ['sessions', '/sessions', '会话体检'],
         ['profiles', '/profiles', '档案与实例'],
-        ['restore', '/restore', '恢复'],
+        ['restore', '/restore', RESTORE_PAGE_LABEL],
         ['export', '/export', '导出'],
         ['unlock', '/unlock', '解锁'],
         ['reinstall', '/reinstall', '重装'],
@@ -287,6 +309,8 @@ export function renderHomePage(input) {
  * 用户找不到某个按钮时会以为是坏了，而不是「这台机器离线做不到」。把边界写在最上面最省事。
  */
 function capabilityBody() {
+    // 两段文案都经 rows() 的 esc(note) 渲染（HTML 转义）：这里写 <strong> 会被转义成字面标签、
+    // 写 ** 会显示成字面星号 —— 两种都不行，所以这些说明里不放任何强调标记（C1d）。
     const can = [
         ['看', '实例心跳 / SAFE MODE / 残留锁 / 快照 / 备份产物 / 磁盘占用 / 会话体检 / 档案'],
         ['自检备份', '每个导出产物一键做结构与完整性校验（与命令行 verify 同一实现）'],
@@ -297,11 +321,11 @@ function capabilityBody() {
         ['清磁盘', '可重建缓存与过期导出产物（导入前快照与同步数据永不在候选集内）'],
         ['回收残留锁', '仅当持有进程被确证不存在时（活锁一律拒绝）'],
         ['启停实例', '把某个档案作为独立实例启动，或停止它（含手动启动的外部实例）'],
-        ['重装 DSH', '卸载并重装全局 DSH —— **需要终端里打印的 6 位确认码**，页面里看不到它'],
+        ['重装 DSH', '卸载并重装全局 DSH —— 需要终端里打印的 6 位确认码，页面里看不到它'],
     ];
     const cannot = [
-        ['导入配置（把包写回本机）', '结构化分区的**值**必须经 DSH 服务门面写入 —— 用 GUI（本页能做导出与恢复，不做导入）'],
-        ['看运行中 DSH 的配置值', '离线读不到 settings / plugins / mcp 等结构化分区的值；但**加密备份解锁后能看到包内文件清单**'],
+        ['导入配置（把包写回本机）', '结构化分区的值必须经 DSH 服务门面写入 —— 用 GUI（本页能做导出与恢复，不做导入）'],
+        ['看运行中 DSH 的配置值', '离线读不到 settings / plugins / mcp 等结构化分区的值；但加密备份解锁后能看到包内文件清单'],
         ['同步通道（git / WebDAV）', '通道密码与令牌存在 DSH credentials 里，离线取不到'],
         ['凭据值', '凭据不可回读，任何时候都不显示'],
     ];
@@ -378,7 +402,10 @@ function snapshotsBody(snapshots, unreadable = false) {
         String(s.entryCount),
     ]);
     return renderTable(['ID', '创建时间', '来源备份', '状态', '条目数'], rows)
-        + '<p class="muted">恢复（restore）是写动作，本页不提供；先用 <code>dsh-config-manager restore --dry-run</code> 看计划。</p>';
+        // C1d 口径：救急台是多页的 ⇒ 这里必须**点名到页**，不能再用空泛的「本页不提供」
+        // 抹掉用户在本工具里已经能做的事（恢复写入口在 「恢复」页，POST /restore/run）。
+        + '<p class="muted">恢复（restore）是写动作，本页（首页）不提供；请在「' + RESTORE_PAGE_LABEL
+        + '」页执行（先看逐项计划，确认后才落盘）。命令行侧可用 <code>dsh-config-manager restore --dry-run</code> 先看计划。</p>';
 }
 /**
  * 备份名 → 不透明校验 id（sha256 前 16 位 hex）。
@@ -418,6 +445,8 @@ function offlineBody() {
         + '导入后的工作区登记（必须经 workspace registry）——「看不到」不等于「没有」。</p>';
 }
 /* ------------------------------------------------------------ 磁盘占用 */
+/** 磁盘清理卡的标题：保留期说明要按名字指向它 —— 同一事实只有一处措辞（C1d）。 */
+const DISK_CLEANUP_SECTION_TITLE = '清理磁盘（写动作）';
 export function renderDiskPage(report, version, paths, actionToken, done) {
     const chrome = { version, paths, active: 'disk' };
     const rows = DISK_USAGE_AREAS.map((area) => {
@@ -441,16 +470,20 @@ export function renderDiskPage(report, version, paths, actionToken, done) {
                 + unreadableAreas.map((area) => '<code>' + esc(area) + '</code>').join('、') + '。</p>');
     const retention = '<p class="muted">定时备份保留最近 ' + String(report.backupRetention.keepLast)
         + ' 个（最新一份 ' + esc(formatBytes(report.backupRetention.latestBackupBytes)) + '，'
-        + esc(formatIso(report.backupRetention.latestBackupAt)) + '）。清理是写动作，本页不提供。</p>';
+        // C1d：清理的写入口**就在本页下一张卡**（/disk/cleanup，见 :DISK_CLEANUP_SECTION_TITLE），
+        // 旧文案「本页不提供」与它自相矛盾。按裁决 (a) 指向本页真实存在的入口。
+        + esc(formatIso(report.backupRetention.latestBackupAt)) + '）。清理是写动作，就在本页下方「'
+        + DISK_CLEANUP_SECTION_TITLE + '」卡里执行（需显式确认）。</p>';
     const parts = [section('磁盘占用（只读体检）', summary + renderTable(['子区', '体积', '文件数', '回收策略', '已超期'], rows) + retention)];
     if (done === 'cleaned')
         parts.unshift(banner('ok', '清理已完成', '结果见下方逐条明细（本次操作的回执）。'));
     const cleanable = report.reclaimableBytes + report.expiredBytes;
-    parts.push(section('清理磁盘（写动作）', renderConfirmForm({
+    parts.push(section(DISK_CLEANUP_SECTION_TITLE, renderConfirmForm({
         action: '/disk/cleanup',
         token: actionToken,
         title: '清理缓存与过期导出产物',
-        consequence: '可重建区（tmp / 市场缓存 / 市场工作副本）按勾选整块清理；导出产物**只在勾选时、且只按保留期**回收。'
+        // 本行经 renderConfirmForm 的 esc()：不能写 markup（会被转义），也不能写 **（会显示字面星号）⇒ 去标记
+        consequence: '可重建区（tmp / 市场缓存 / 市场工作副本）按勾选整块清理；导出产物只在勾选时、且只按保留期回收。'
             + '导入前快照与同步数据永远不在候选集内。当前可回收约 ' + formatBytes(report.reclaimableBytes)
             + '，已超保留期约 ' + formatBytes(report.expiredBytes) + '。',
         submitLabel: '按勾选执行清理',
@@ -524,8 +557,39 @@ function repairBody(plan, actionToken) {
  *
  * 能力边界（不得放宽）：应用内/页面侧只做「字节相同 + seq 相同的重放重复行」这一零损失类；
  * 合成 closer / seq 空洞 / 不可解析行 / 容器非法 / header 不可读 / 子代理缺父 一律只报告，
- * 出路是离线 `sessions repair`（或保留原样）。这条界线来自设计稿 §10.3/§10.4，页面必须照实呈现。
+ * 出路是本页的就地修复入口（可零损失修项会给出按钮）或**保留原样**。这条界线来自设计稿 §10.3/§10.4，
+ * 页面必须照实呈现。
+ *
+ * 说法纪律（C1b，与 src/cli/actions.ts 的 C1 修复同源）：`sessions repair [--fix]` **不改写会话字节**
+ * （只做会话布局归位与重复 id 隔离），因此本段**绝不**能把它写成「重放去重」的等价命令 —— 那是把两件
+ * 不同的事说成一条通道，用户会以为「修不了重放重复行是因为命令没敲对」。反过来，
+ * 「修复一：会话布局归位」卡里的等价命令是**成立**的（本页与 CLI 走同一实现），**刻意保留**，
+ * 别在收尾时一刀切删掉。
+ *
+ * C1c：会话页顶部的 fixHint 此前写着「本页不提供」，与这一段、「修复一」卡（:591「本页按同一实现执行」）
+ * **自相矛盾** —— 同一事实两处说法必然漂移。这里把「本页提供哪些写入口」也收成单一事实源
+ * （PAGE_SESSION_WRITE_ENTRIES），fixHint 只渲染它；同时把本段里当强调用的字面 `**` 改成真 <strong>。
+ */
+/**
+ * 会话页写入口的**单一事实源**（C1c）。
+ *
+ * 只允许这一处说「本页提供/不提供哪些写动作」；任何页面文案要提这件事，都必须引用本常量。
+ */
+const PAGE_SESSION_WRITE_ENTRIES = '修复是写动作，须先把 DSH 停掉。本页<strong>提供</strong>两个写入口：'
+    + '「修复一：会话布局归位」（布局归位与重复 id 隔离，与本机 CLI 的 <code>sessions repair --apply</code> 同一实现）与'
+    + '「修复二：重放重复行」（字节级零损失就地修复，发现可修项时才给出按钮）；'
+    + '两者都要过与 CLI 同源的写入门（SAFE MODE / 残留锁 / DSH 已停止）。'
+    + '其余类别（合成 closer / seq 空洞 / 子代理缺父 …）本页只报告，原因见「修复二」段的职责边界。';
+/**
+ * `sessions repair [--fix]` 的**职责边界**（C1b 立的说法，C1c 抽成常量以便多处引用而只有一处措辞）。
+ *
+ * 渲染逐字不变（R1-02b 断言 /职责边界/、/sessions repair \[--fix\]/、/不改写会话字节/、/dcm web/、
+ * /修复选中的会话（零损失）/）。
  */
+const SESSIONS_REPAIR_BOUNDARY = '<code>sessions repair [--fix]</code> 只做会话'
+    + '<strong>布局归位</strong>与<strong>重复 id 隔离</strong>，<strong>不改写会话字节</strong>，'
+    + '所以修不了重放重复行；离线<strong>字节级</strong>通道就是本救急台（<code>dcm web</code> 打开的这一页）：'
+    + '发现可零损失修项时，本段会列出清单并给出「修复选中的会话（零损失）」按钮，无需任何命令行动作。';
 function inlineRepairBody(view, gate, actionToken) {
     if (view === null) {
         return '<p class="muted">未探测（本次体检没有跑到可修项扫描）。</p>';
@@ -533,13 +597,15 @@ function inlineRepairBody(view, gate, actionToken) {
     const head = '<p class="muted">探测了 <strong>' + String(view.probed) + '</strong> 条存在深档问题的会话：'
         + '其中 <strong>' + String(view.fixable.length) + '</strong> 条存在<strong>零损失</strong>可修项'
         + '（重放重复行 —— 字节相同且 seq 相同的副本，丢弃即恢复）。</p>';
+    // 本段的出口只指向**本救急台自己**的就地修复入口：sessions repair 不改写会话字节，不能当等价通道。
+    // 文案取自单一事实源（C1c）——别在这里另写一套说法。
+    const boundary = '<p class="muted">职责边界：' + SESSIONS_REPAIR_BOUNDARY + '</p>';
     if (view.fixable.length === 0) {
         const why = view.blocked.length === 0 ? ''
             : '<p class="muted">其余不可修的原因分布：'
                 + view.blocked.map((b) => '<code>' + esc(b.reason) + '</code> × ' + String(b.count)).join('、')
-                + '。这些类别按设计**只报告**，不解压改写会话字节。</p>';
-        return head + '<p class="muted">本次没有发现可零损失修复的会话。</p>' + why
-            + '<p class="muted">等价命令：<code>dsh-config-manager sessions repair --apply</code></p>';
+                + '。这些类别按设计<strong>只报告</strong>，不解压改写会话字节。</p>';
+        return head + '<p class="muted">本次没有发现可零损失修复的会话。</p>' + why + boundary;
     }
     const gateNote = gate !== null && !gate.ok
         ? '<p class="muted">注意：写入门当前是关闭状态（见上方「写入门状态」），提交会被如实拒绝。</p>'
@@ -552,9 +618,11 @@ function inlineRepairBody(view, gate, actionToken) {
             action: '/sessions/inline-repair',
             token: actionToken,
             title: '就地修复重放重复行',
-            consequence: '对**选中的那一条**会话：丢弃字节相同且 seq 相同的重放重复事件，写前重跑连续性/引用完整性校验'
+            // 本段走 renderConfirmForm 的 esc()：consequence 里写 markup 会被转义、写 ** 会渲染成字面星号
+            // （C1c 修的就是这个），所以这里不带任何强调标记，事实措辞不变。
+            consequence: '对选中的那一条会话：丢弃字节相同且 seq 相同的重放重复事件，写前重跑连续性/引用完整性校验'
                 + '（不过就拒绝），时间戳备份就地保留，临时文件 + rename 原子换入，写后复验。'
-                + '合成 closer / seq 空洞 / 子代理缺父**不在**本入口的修复范围内（只报告）。',
+                + '合成 closer / seq 空洞 / 子代理缺父不在本入口的修复范围内（只报告）。',
             submitLabel: '修复选中的会话（零损失）',
             danger: false,
             checklist: view.fixable.map((f, i) => ({
@@ -565,6 +633,7 @@ function inlineRepairBody(view, gate, actionToken) {
             })),
             note: '前置条件：SAFE MODE 未激活、无残留锁、DSH 已停止、会话目录无 session.lock、日志不在最近 30s 内被写过。',
         })
+        + boundary
         + gateNote;
 }
 function policyLabel(policy) {
@@ -611,9 +680,9 @@ inline = null) {
         row.sizeBytes === undefined ? '—' : formatBytes(row.sizeBytes),
         row.issues.map((i) => i.code + (i.detail === undefined ? '' : '(' + i.detail + ')')).join(' '),
     ]);
+    // C1c：旧文案说「本页不提供」，与同页「修复一」卡（本页确实提供该写动作）自相矛盾 —— 改为单一事实源。
     const fixHint = problems.length > 0
-        ? '<p class="muted">修复（sessions repair）是写动作且必须在 DSH 停止后进行，本页不提供；'
-            + '先用 <code>dsh-config-manager sessions repair</code> 看计划，加 <code>--apply</code> 才落盘。</p>'
+        ? '<p class="muted">' + PAGE_SESSION_WRITE_ENTRIES + '</p>'
         : '';
     parts.push(section('需要处理的会话（' + String(problems.length) + '）', renderTable(['严重级', '会话单元', '格式版本', '体积', '问题'], rows) + fixHint));
     if (done === 'repaired')
@@ -670,13 +739,15 @@ export function renderConfirmForm(options) {
         + '</details>';
 }
 /** 写动作结果页（完成 / 失败共用；结果如实逐条列）。 */
-export function renderResultPage(title, lines, version, paths, kind, 
+export function renderResultPage(title, 
+/** 逐条结果：默认过 esc()（脱敏+转义）；`{ html }` 仅用于已自行转义的能力 URL 行 */
+lines, version, paths, kind, 
 /** 「返回上一页」在禁用 JS 时的落点（有 JS 时走 history.back()，回到列表页并由状态恢复脚本定位） */
 backHref = '/') {
     const chrome = { version, paths, active: 'home' };
     const tone = kind === 'ok' ? 'ok' : kind === 'bad' ? 'bad' : 'warn';
     const body = banner(tone, title, lines.length === 0 ? '（无更多信息）' : '')
-        + section('逐条结果', '<ul class="resultList">' + lines.map((l) => '<li>' + esc(l) + '</li>').join('') + '</ul>')
+        + section('逐条结果', '<ul class="resultList">' + lines.map((l) => '<li>' + cellHtml(l) + '</li>').join('') + '</ul>')
         + '<p class="backRow"><a href="' + esc(backHref) + '" data-dcm-back>← 返回上一页并恢复原位置</a>'
         + ' · <a href="/">返回首页</a> · <a href="/sessions">会话体检</a> · <a href="/disk">磁盘占用</a></p>';
     return renderLayout(chrome, body, paths.homeDir + ' · 写动作结果');
@@ -705,7 +776,8 @@ export function renderLockPage(lock, version, paths, actionToken, done) {
     const stale = lock.state === 'STALE_LOCK_DETECTED';
     parts.push(banner(stale ? 'warn' : 'info', '锁状态：' + lock.state, stale
         ? '持有进程已被确证不存在（或 ownership 是崩溃残留）：可以显式回收。'
-        : '非残留（活锁或无法判定）：**不会**自动回收。'));
+        // banner() 的 text 走 esc() ⇒ 不放强调标记（写 markup 会被转义、写 ** 会显示星号，C1d）
+        : '非残留（活锁或无法判定）：不会自动回收。'));
     parts.push(section('明细', kv([
         ['锁目录', lock.locksDir],
         ['状态', lock.state],
@@ -747,7 +819,8 @@ export function renderUnlockPage(encrypted, version, paths, actionToken, done) {
             action: '/unlock/run',
             token: actionToken,
             title: '解锁加密备份',
-            consequence: '会在**内存**中解出明文 ZIP 并列出条目清单；不写盘、不回传内容、不自动导入。密码区分大小写，忘记无法找回。',
+            // 本行经 renderConfirmForm 的 esc()：去标记（C1d，理由同上）
+            consequence: '会在内存中解出明文 ZIP 并列出条目清单；不写盘、不回传内容、不自动导入。密码区分大小写，忘记无法找回。',
             submitLabel: '解锁并列出清单',
             danger: false,
             hidden: { id: verifyIdOf(b.name) },
@@ -824,7 +897,9 @@ export function renderExportPage(sections, unavailable, version, paths, actionTo
         description: '该分区的文件类内容（凭据类文件永不进备份）',
         checked: true,
     }));
-    const body = banner('info', '只导出离线能读到的分区', 'DSH 没在跑时，settings / providers / mcp 等结构化分区的**值**必须经 DSH 服务读取，因此不在归档里。'
+    // C1d：banner 的 text 走 esc() —— 写 markup 会被转义成字面标签、写 ** 会渲染成字面星号，
+    // 所以这两种强调标记都不能用，只能去标记（与 :544 / :685 / :918 同一口径）。
+    const body = banner('info', '只导出离线能读到的分区', 'DSH 没在跑时，settings / providers / mcp 等结构化分区的值必须经 DSH 服务读取，因此不在归档里。'
         + '宁可如实少导，也不给一个「声称含设置、实际为空」的假备份。')
         + '<p class="muted">离线不可收集：' + unavailable.map((id) => '<code>' + esc(id) + '</code>').join('、') + '</p>'
         + renderConfirmForm({
@@ -849,7 +924,8 @@ export function renderReinstallPage(items, version, paths, actionToken) {
         checked: it.defaultOn,
     }));
     const body = banner('bad', '这是本页最危险的动作', '它会卸载全局 @deepseek-ai/dsh 再重装（程序步），勾选数据类还会清空 ~/.dsh 的设置 / 插件 / 会话与凭据。'
-        + '执行需要输入**只在终端里打印**的 6 位确认码 —— 页面里看不到它。')
+        // banner() 的 text 走 esc() ⇒ 去标记（C1d）
+        + '执行需要输入只在终端里打印的 6 位确认码 —— 页面里看不到它。')
         + renderConfirmForm({
             action: '/reinstall/plan',
             token: actionToken,
@@ -903,7 +979,8 @@ export function renderProfilesPage(outcome, version, paths, actionToken, done, r
         row.running
             ? (row.owned ? '运行中（本插件启动）' : '运行中（外部实例）') + (row.port === null ? '' : ' · :' + String(row.port))
             : '未运行',
-        { html: row.url === null ? '—' : '<a href="' + esc(row.url) + '">打开实例</a>' },
+        // 能力 URL：必须原样（含 token）—— 过 esc() 会被 redact 抹掉，链接点开必然 401（cli-F1）
+        { html: row.url === null ? '—' : '<a href="' + escCapability(row.url) + '">打开实例</a>' },
     ]);
     parts.push(section('本机档案（' + String(outcome.rows.length) + '）', renderTable(['档案', '形态', '构成', '依赖', '实例状态', '入口'], rows)));
     if (outcome.rows.length === 0) {

package/lib/cli/web/routes.js

@@ -1,5 +1,6 @@
 /**
- * 救急台路由（阶段 2）：**只读页面 + 三个显式写动作**。
+ * 救急台路由（阶段 2）：**只读页面 + 一组显式写动作**（写路由不在此处计数 —— 清单以
+ * `GET /healthz` 的 `writeRoutes` 为准：它由路由声明派生，与实现同源、不会漂移）。
  *
  * 每条路由都经 `src/routes/kit.ts` 的 `endpoint()` 声明（围栏 / 方法白名单 / 统一错误映射一份实现）。
  *
@@ -11,12 +12,12 @@
  * 副作用描述与确认文案都在服务端渲染，前端 JS 不参与决策（原本也没有前端 JS）。
  */
 import { randomUUID } from 'node:crypto';
-import { endpoint, RouteError, writeJson } from '../../routes/kit.js';
+import { endpoint, routeSpecOf, RouteError, writeJson } from '../../routes/kit.js';
 import { checkWriteGates, cleanupDisk, collectVerifyResults, exportOfflineBackup, repairSessionLogInline, launchProfile, planDshReinstall, planSnapshotRestore, readBackups, readDiskUsage, readProfiles, readRescueStatus, readSessionsHealth, recoverStaleEnvironmentLock, repairSessions, runDshReinstall, runSnapshotRestore, stopProfile, unlockEncryptedBackup, } from '../actions.js';
 import { REINSTALL_ITEMS } from '../../core/reinstall.js';
 import { createExec } from './exec.js';
 import { writeHtml } from './http.js';
-import { renderDiskPage, renderExportPage, renderHomePage, renderLockPage, renderMessagePage, renderProfilesPage, renderReinstallPage, renderRestorePage, renderResultPage, renderSessionsPage, renderUnlockPage, renderVerifyPage, verifyIdOf, } from './page.js';
+import { escCapability, renderDiskPage, renderExportPage, renderHomePage, renderLockPage, renderMessagePage, renderProfilesPage, renderReinstallPage, renderRestorePage, renderResultPage, renderSessionsPage, renderUnlockPage, renderVerifyPage, verifyIdOf, } from './page.js';
 /**
  * 救急台的错误渲染器：把 RouteError 渲染成 **HTML 错误页**（而不是插件 API 形状的裸 JSON）。
  * 页面是给人看的，用户在浏览器里收到 `{"error":"…"}` 只会以为坏了（验收 F3）。
@@ -98,13 +99,20 @@ export function buildConsoleRoutes(context) {
     const token = () => issueActionToken(context);
     // 本地别名：救急台的每条路由都带上 HTML 错误渲染器（kit 的统一出口仍在，只是形状换成页面）
     const consoleEndpoint = (spec, handler) => endpoint({ ...spec, errorRenderer: renderConsoleError }, handler);
-    return [
+    /**
+     * /healthz 的写路由自述：**由已声明的路由派生**（数组构造完再赋值），杜绝手写清单漂移（cli-F6：
+     * 此前只列 3 项能力名，与真实 11 条写路由不符）。
+     */
+    let writeRoutes = [];
+    const routes = [
         // ---------------------------------------------------------------- 只读
         consoleEndpoint({ path: '/healthz', methods: ['GET'] }, (_req, res) => {
             writeJson(res, 200, {
                 ok: true, service: 'dcm-rescue-console', readOnly: false, version, startedAt: context.startedAt,
                 // 写能力与只读页的区分：脚本/自检据此判断这台服务能做什么
                 writes: ['sessions-repair', 'disk-cleanup', 'recover-stale-lock'],
+                // 全部写路由（由声明派生，cli-F6）
+                writeRoutes,
             });
         }),
         consoleEndpoint({ path: '/', methods: ['GET'] }, async (_req, res) => {
@@ -274,7 +282,8 @@ export function buildConsoleRoutes(context) {
             const lines = result.ok
                 ? [
                     result.message,
-                    ...(result.url === undefined ? [] : ['认证 URL：' + result.url]),
+                    // 能力 URL：必须原样（含 token）—— 过 esc() 会被 redact 抹掉，链接点开必然 401（cli-F1）
+                    ...(result.url === undefined ? [] : [{ html: '认证 URL：<code>' + escCapability(result.url) + '</code>' }]),
                     ...(result.port === undefined ? [] : ['端口：' + String(result.port)]),
                     ...(result.pid === undefined ? [] : ['PID：' + String(result.pid)]),
                     ...(result.logFile === undefined ? [] : ['日志：' + result.logFile]),
@@ -402,6 +411,16 @@ export function buildConsoleRoutes(context) {
             res.end();
         }),
     ];
+    // 自述与实现同源：从已声明的路由读回（routeSpecOf），非 GET 方法按声明原样列出
+    writeRoutes = routes
+        .flatMap((route) => {
+        const spec = routeSpecOf(route);
+        if (spec === undefined)
+            return [];
+        return spec.methods.filter((method) => method !== 'GET').map((method) => method + ' ' + spec.path);
+    })
+        .sort();
+    return routes;
 }
 export { renderMessagePage };
 //# sourceMappingURL=routes.js.map

package/lib/cli/web/server.js

@@ -12,7 +12,7 @@
  */
 import { randomBytes, timingSafeEqual } from 'node:crypto';
 import http from 'node:http';
-import { isLoopbackRequest, registerRoutes, RouteError } from '../../routes/kit.js';
+import { isLoopbackRequest, registerRoutes, routeSpecOf, RouteError } from '../../routes/kit.js';
 import { openInBrowser } from './browser.js';
 import { writeHtml } from './http.js';
 import { renderMessagePage } from './page.js';
@@ -33,6 +33,19 @@ function readCookie(req, name) {
     }
     return undefined;
 }
+/**
+ * 把请求目标解析成救急台自己的 URL（**唯一**入口）。
+ *
+ * 为什么不能直接 new URL(req.url, 'http://127.0.0.1')：以 `//` 开头的目标是**协议相对 URL**，
+ * 会被解析成 authority=x / pathname='/' —— 于是 `GET //evil` 悄悄落到首页（cli-F7），
+ * absolute-form（`http://host/x`）同理。这里先折叠成 origin-form 再解析：任何非
+ * `/path?query` 形态都落到「未知路径」（404），而不是被当成首页。
+ */
+function consoleRequestUrl(raw) {
+    const target = raw ?? '/';
+    const pathOnly = target.startsWith('/') && !target.startsWith('//') ? target : '/' + target.replace(/^\/+/, '');
+    return new URL(pathOnly, 'http://127.0.0.1');
+}
 function constantTimeEquals(a, b) {
     const left = Buffer.from(a, 'utf8');
     const right = Buffer.from(b, 'utf8');
@@ -85,7 +98,7 @@ export async function startConsoleServer(options) {
         }, options.idleTimeoutMs);
     };
     const handle = async (req, res) => {
-        const url = new URL(req.url ?? '/', 'http://127.0.0.1');
+        const url = consoleRequestUrl(req.url);
         touchIdle();
         // 第一道：与宿主路由同一套 loopback + 同源围栏（连 bootstrap 也过）
         if (!isLoopbackRequest(req)) {
@@ -119,6 +132,14 @@ export async function startConsoleServer(options) {
             writeHtml(res, 404, renderMessagePage('页面不存在', '没有这个路径：' + url.pathname, '可用页面：/（首页）、/disk、/sessions、/healthz'));
             return;
         }
+        // 方法白名单（cli-F4）：kit 的 405 出口写的是 **JSON**（给插件 API 客户端用），而救急台是
+        // 人看的页面。这里按**同一条声明**（routeSpecOf 读回的方法白名单）先判一次，让 405 也走 HTML；
+        // kit handler 内那道判定仍在（纵深防御，不依赖本处）。
+        const spec = routeSpecOf(route);
+        if (spec !== undefined && !spec.methods.includes(req.method)) {
+            writeHtml(res, 405, renderMessagePage('方法不被允许', '这个地址只接受 ' + spec.methods.join(' / ') + ' 请求（收到 ' + String(req.method ?? '') + '）。', '可用页面：/（首页）、/disk、/sessions、/lock、/profiles、/healthz'));
+            return;
+        }
         // kit 的 handler 自带方法白名单 + 顶层错误映射。
         // 但 kit 的错误出口写的是 **JSON**（那是给 API 客户端用的形状）——救急台是人看的页面，
         // 因此这里把 RouteError 的语义包成 HTML 错误页（验收 F3：页面不该吐裸 JSON）。