dsh-crossterm 0.7.6 → 0.8.0

package/CHANGELOG.md

@@ -1,5 +1,39 @@
 # dsh-crossterm 变更记录
 
+## 0.8.0 — 2026-10-19
+
+### 安全加固：堵住路径穿越、接口裸奔、伪造发件人（来源：YOCE_C 复核报告）
+
+辅助机 YOCE_C 对 0.7.4 做了一次跨设备模块复核（13 项：3 高危 / 4 中危，附可复现 PoC）。
+本版按 P0 + P1 先修六条，其余（备份加密、nodeId 碰撞、首台设备自动 admin 等）留在路线图上。
+
+- **F1（高危）附件名路径穿越 → 任意路径写文件**：`lib/cloud/relay.js` 原来直接 `path.join(destDir, file.name)`，
+  信封里写 `../../..\evil.txt` 就能落到收件箱外面。现在附件名一律过 `safeFileName()`（只留纯文件名、去控制字符、
+  挡 Windows 非法字符、限长 180），再用 `safeJoin()` 校验解析后的路径仍在目标目录内，越界直接抛错。
+- **F2（高危）本地 HTTP 接口没有鉴权**：10 条 `/crossterm/api/*` 谁都能 POST（含会跑 pnpm 的 `/update`、
+  会弹记事本和浏览器的 `/cloud/setup`）。现在：
+  - 令牌存在 `<busDir>\http-token`（首次自动生成，权限 0600），请求要带 `x-crossterm-token`；
+  - 6 条写操作路由（backup / check / update / cloud/start / cloud/stop / cloud/setup）第一个判断就是令牌，缺了回 401；
+  - 带 `Origin` 且不是 `127.0.0.1`/`localhost`/`[::1]` 的一律 403（挡跨站 CSRF）；
+  - 卡片通过同源 `GET /crossterm/api/token` 取令牌后带上（跨站页面读不到响应，因为没有 CORS 头）。
+- **F3（高危）信封没有签名、可伪造任意发件人**：现在发信侧用账号级密钥做 HMAC-SHA256 签名
+  （`sig` 字段，规范串固定为 `[id, from, to, subject, text, files, createdAt]`），收信侧逐封验签，
+  签名缺失或不符**留件拒收**（记 `state.failed`，不投递）。
+  密钥 `relaySecret` 存在账号目录 `_account.json` 里，首个建出账号目录的设备生成，其他设备读用。
+- **F4（中危）入站没有大小/数量上限**：信封超过 512 KB 直接跳过、附件最多取 20 个、
+  单个附件超过 64 MB 拒收（先看云端返回的 size，再决定是否下载）。
+- **F5（中危）信封可用 `cloudPath` 读云端任意路径**：候选路径只剩「`files/<邮件id>/` 下」和「收件箱同级」两种，
+  信封自带的路径字段一律忽略。
+- **F7/F8（中危）去重与归档顺序**：已处理记录改按**信封 id** 记，并把「先归档 `done/` 成功、再记 state」的顺序改正 ——
+  归档失败时不记已处理，下一轮重试，不会出现「投过但没归档」被重复投递、或归档失败后信件永久滞留。
+- 附带的显示修复：附件行原来渲染 `undefined（17.1 KB）`（渲染读 `file.dst`，中转站给的是 `file.local`），
+  现在 `file.dst || file.local || file.name`，并让中转站同时给出 `dst`。
+- 探针 `probe-security-080.mjs`：**21 项全 PASS**（文件名净化 8 项、`safeJoin` 2 项、签名 4 项、
+  上限常量、以及中转站整链路：未签名拒收 / 签名正确投递并归档 / 篡改拒收 / 穿越附件只落本目录 / 超大信封跳过 / 附件数截断）。
+- 要不要跟着动手：**要** —— 账号里一旦生成了 `relaySecret`，**<0.8.0 的设备发出的未签名信封会被拒收**。
+  请把每台设备都升到 0.8.0；升级后新密钥自动生成，老设备升上来即恢复正常。
+
+
 ## 0.7.6 — 2026-10-19
 
 ### 收信尾行不再重复：跨设备邮件只给一条回信提示

package/client/client.js

@@ -126,8 +126,21 @@ window.__ModuleLoader__.load({
 			},
 		};
 
+		let apiToken = "";
+		async function ensureToken() {
+			if (apiToken) return apiToken;
+			try {
+				const res = await fetch("/crossterm/api/token");
+				const data = await res.json();
+				if (data && data.token) apiToken = data.token;
+			} catch {}
+			return apiToken;
+		}
+
 		async function call(pathname, method) {
-			const res = await fetch(pathname, { method: method || "GET" });
+			const token = await ensureToken();
+			const headers = token ? { "x-crossterm-token": token } : {};
+			const res = await fetch(pathname, { method: method || "GET", headers });
 			const text = await res.text();
 			let data;
 			try {

package/lib/bus.js

@@ -22,7 +22,7 @@ import os from 'node:os'
 import path from 'node:path'
 import crypto from 'node:crypto'
 
-export const VERSION = '0.7.6'
+export const VERSION = '0.8.0'
 
 /** DSH 的家目录：与宿主其它状态（sessions / profiles）同一个根，多终端天然共享 */
 export function dshHome() {

package/lib/cloud/home.js

@@ -42,6 +42,10 @@ export function createCloudHome({ cfg, device, deviceInfo, pan, busDir, deliver,
   const relay = createRelay({
     pan,
     getLayout: () => getLayout(false),
+    getSecret: async () => {
+      const l = await getLayout(false)
+      return (l && l.secret) || ''
+    },
     localDir: relayDir,
     stateFile: relayState,
     deliver,

package/lib/cloud/layout.js

@@ -6,6 +6,7 @@
 //   <大文件夹>/<账号>/shared/<设备>/done/     已投递归档
 import fs from 'node:fs'
 import path from 'node:path'
+import crypto from 'node:crypto'
 
 export const LAYOUT_VERSION = 1
 export const DEFAULT_HOME = 'dsh'
@@ -334,6 +335,14 @@ export async function ensureLayout({ pan, cfg = {}, device = {}, cacheFile, forc
     role = accountInfo.ownerDevice === nodeId ? 'admin' : 'member'
   }
 
+  // 0.8.0：中转站签名密钥（账号级共享）。首个建出 _account.json 的设备生成，成员读用；缺了补写。
+  if (!accountInfo.relaySecret) {
+    accountInfo.relaySecret = crypto.randomBytes(32).toString('hex')
+    accountInfo.relaySecretAt = iso()
+    await pan.putBuffer(Buffer.from(JSON.stringify(accountInfo, null, 2), 'utf8'), paths.accountFile)
+    log('账号签名密钥已生成（relaySecret）')
+  }
+
   const oldDevice = (await readJson(pan, paths.deviceFile, () => {})) || {}
   const deviceInfo = {
     nodeId,
@@ -376,6 +385,7 @@ export async function ensureLayout({ pan, cfg = {}, device = {}, cacheFile, forc
     accountSource: who.source,
     home: cfg.cloudHome || DEFAULT_HOME,
     role,
+    secret: accountInfo.relaySecret || '',
     // 有文档没写成功就不要把版本号标上去，下次 ensure 还会重试
     rulesVersion: rules.failed ? 0 : RULES_VERSION,
     rulesWritten: rules.written,

package/lib/cloud/relay.js

@@ -28,6 +28,37 @@ function saveState(file, state) {
 
 const isTmp = (name) => /\.tmp$/.test(name) || name.startsWith('.')
 
+// ── 0.8.0 安全加固：入站边界与签名 ──────────────────────────
+// F1：附件名一律当纯文件名处理，绝不接受信封里的路径
+// F3：信封用账号级 relaySecret 做 HMAC-SHA256 签名
+export const MAX_ENVELOPE_BYTES = 512 * 1024
+export const MAX_FILES = 20
+export const MAX_FILE_BYTES = 64 * 1024 * 1024
+
+/** 只取纯文件名：剥路径、去控制字符、挡掉 Windows 非法字符；非法返回 '' */
+export function safeFileName(raw) {
+  let name = String(raw == null ? '' : raw).replace(/[\u0000-\u001f\u007f]/g, '')
+  name = path.basename(name.replace(/\\/g, '/'))
+  name = name.replace(/[<>:"|?*]/g, '_').replace(/^\.+/, '').trim()
+  if (!name || name === '.' || name === '..') return ''
+  return name.slice(0, 180)
+}
+
+/** 拼到目录里并确认没跑出目录（防 ../ 穿越） */
+export function safeJoin(dir, name) {
+  const base = path.resolve(dir)
+  const target = path.resolve(base, name)
+  if (target !== base && !target.startsWith(base + path.sep)) throw new Error('路径越界：' + name)
+  return target
+}
+
+const canonicalEnvelope = (e) =>
+  JSON.stringify([e.id || '', e.from || {}, e.to, e.subject || '', e.text || '', e.files || [], e.createdAt || 0])
+
+/** 签名（发信侧与收信侧共用同一个规范串） */
+export const signEnvelope = (secret, e) =>
+  crypto.createHmac('sha256', String(secret)).update(canonicalEnvelope(e)).digest('hex')
+
 /** 只处理信封 json：跳过 .tmp / 隐藏文件 / 以 _ 开头的系统说明（如 _说明.md、_inbox.json） */
 export const isEnvelopeFile = (name) =>
   /\.json$/i.test(name) && !isTmp(name) && !String(name).startsWith('_')
@@ -43,6 +74,7 @@ function parseEnvelope(text) {
     subject: String(j.subject || ''),
     files: Array.isArray(j.files) ? j.files : [],
     createdAt: j.createdAt || Date.now(),
+    sig: String(j.sig || ''),
   }
 }
 
@@ -55,25 +87,57 @@ function parseEnvelope(text) {
  * @param {Function} opts.deliver async ({ to, envelope, files }) => { ok, sessionId, reason }
  * @param {Function} [opts.log]
  */
-export function createRelay({ pan, getLayout, localDir, stateFile, deliver, log = () => {} }) {
+export function createRelay({ pan, getLayout, localDir, stateFile, deliver, getSecret, log = () => {} }) {
   let running = false
+  let secretCache = ''
+
+  // 账号密钥：优先用 getSecret()，拿不到就直接读账号文件；本进程内缓存
+  async function secretNow() {
+    if (secretCache) return secretCache
+    if (typeof getSecret === 'function') {
+      try {
+        const s = await getSecret()
+        if (s) {
+          secretCache = String(s)
+          return secretCache
+        }
+      } catch { /* 继续读账号文件 */ }
+    }
+    try {
+      const layout = await getLayout()
+      if (layout && layout.paths && layout.paths.accountFile && typeof pan.getBuffer === 'function') {
+        const buf = await pan.getBuffer(layout.paths.accountFile)
+        const info = JSON.parse(buf.toString('utf8'))
+        if (info && info.relaySecret) {
+          secretCache = String(info.relaySecret)
+          return secretCache
+        }
+      }
+    } catch { /* 没有密钥就按未签名处理 */ }
+    return ''
+  }
   const stats = { at: 0, scanned: 0, delivered: 0, failed: 0, pending: 0, sent: 0, lastError: '' }
 
   async function downloadAttachment(layout, mailId, file, destDir) {
-    // 附件既可能在 files/<id>/ 下，也可能就在 inbox/ 同级（老信封）
+    // 0.8.0 F1：附件名一律按纯文件名处理，绝不信任信封里的路径
+    const safe = safeFileName(file && file.name)
+    if (!safe) return { name: String((file && file.name) || ''), local: '', dst: '', remote: '', error: '附件名非法，已拒绝' }
+    if (Number((file && file.size) || 0) > MAX_FILE_BYTES) {
+      return { name: safe, local: '', dst: '', remote: '', error: '附件超过大小上限，已拒绝' }
+    }
+    // 附件既可能在 files/<id>/ 下，也可能就在 inbox/ 同级（老信封）；0.8.0 F5：不接受信封自带的云端路径
     const candidates = [
-      `${layout.paths.sharedDir}/${layout.deviceId}/files/${mailId}/${file.name}`,
-      `${layout.paths.inboxDir}/${file.name}`,
-      file.cloudPath || '',
-    ].filter(Boolean)
+      `${layout.paths.sharedDir}/${layout.deviceId}/files/${mailId}/${safe}`,
+      `${layout.paths.inboxDir}/${safe}`,
+    ]
     for (const remote of candidates) {
       try {
-        const dst = path.join(destDir, file.name)
+        const dst = safeJoin(destDir, safe)
         await pan.get(remote, dst)
-        return { name: file.name, local: dst, remote, bytes: fs.statSync(dst).size }
+        return { name: safe, local: dst, dst, remote, bytes: fs.statSync(dst).size }
       } catch { /* try next */ }
     }
-    return { name: file.name, local: '', remote: candidates[0] || '', error: '下载失败' }
+    return { name: safe, local: '', dst: '', remote: candidates[0] || '', error: '下载失败' }
   }
 
   async function poll() {
@@ -98,6 +162,13 @@ export function createRelay({ pan, getLayout, localDir, stateFile, deliver, log
 
       for (const f of files) {
         const name = f.server_filename
+        // 0.8.0 F4：先看大小再下载，超大信封直接拒收
+        if (Number(f.size || 0) > MAX_ENVELOPE_BYTES) {
+          stats.failed += 1
+          stats.lastError = `信封过大，已跳过：${name}（${f.size} B）`
+          log(stats.lastError)
+          continue
+        }
         if (state.processed[name]) continue
         const localJson = path.join(incomingDir, name)
         let envelope
@@ -111,10 +182,25 @@ export function createRelay({ pan, getLayout, localDir, stateFile, deliver, log
           continue
         }
         const mailId = envelope.id || path.basename(name, '.json')
+        // 0.8.0 F3：有账号密钥就要求签名对得上，否则拒收（防伪造发件人 / 提示注入）
+        const secret = await secretNow()
+        if (secret) {
+          if (!envelope.sig || envelope.sig !== signEnvelope(secret, envelope)) {
+            stats.failed += 1
+            stats.lastError = `信封签名无效，已拒收：${name}`
+            log(stats.lastError)
+            state.failed[mailId] = { at: nowIso(), reason: '签名无效', tries: Number(state.failed?.[mailId]?.tries || 0) + 1 }
+            saveState(stateFile, { ...state, at: Date.now() })
+            continue
+          }
+        } else if (!envelope.sig) {
+          log(`信封未签名（账号密钥还没就绪）：${name}`)
+        }
         const fileDir = path.join(localDir, 'files', mailId)
         fs.mkdirSync(fileDir, { recursive: true })
         const landed = []
-        for (const file of envelope.files) {
+        // 0.8.0 F4：附件数量上限
+        for (const file of envelope.files.slice(0, MAX_FILES)) {
           const got = await downloadAttachment(layout, mailId, file, fileDir)
           landed.push(got)
         }
@@ -126,15 +212,17 @@ export function createRelay({ pan, getLayout, localDir, stateFile, deliver, log
         }
         if (result && result.ok) {
           stats.delivered += 1
-          state.processed[name] = { at: nowIso(), mailId, sessionId: result.sessionId || '', to: String(envelope.to) }
-          // 云端归档：先放 done/，再删收件箱里的原件
+          // 0.8.0 F7/F8：先把信归档到 done/，归档结果记进 state，之后才允许按 state 跳过
+          let archived = false
           try {
             await pan.mkdir(layout.paths.doneDir)
             await pan.put(localJson, `${layout.paths.doneDir}/${name}`)
             await pan.rm(`${layout.paths.inboxDir}/${name}`)
+            archived = true
           } catch (e) {
             log(`归档 ${name} 失败：${(e && e.message) || String(e)}`)
           }
+          state.processed[mailId] = { at: nowIso(), name, mailId, archived, sessionId: result.sessionId || '', to: String(envelope.to) }
           log(`中转站投递 ${mailId} → ${result.sessionId || String(envelope.to)}`)
         } else {
           stats.pending += 1
@@ -180,6 +268,9 @@ export function createRelay({ pan, getLayout, localDir, stateFile, deliver, log
       createdAt: Date.now(),
       via: 'crossterm-relay',
     }
+    // 0.8.0 F3：发信侧签名（收信侧用同一个账号密钥验签）
+    const signSecret = await secretNow()
+    if (signSecret) envelope.sig = signEnvelope(signSecret, envelope)
     if (files.length) {
       const fileDir = `${layout.paths.sharedDir}/${target}/files/${mailId}`
       await pan.mkdir(fileDir)

package/lib/index.js

@@ -498,7 +498,7 @@ class CrossTerm {
     })
     if (landed.length) {
       lines.push('', '附件已保存到本机：')
-      for (const file of landed) lines.push(`- ${file.dst}（${formatBytes(file.bytes)}）`)
+      for (const file of landed) lines.push(`- ${file.dst || file.local || file.name || '附件'}（${formatBytes(file.bytes)}）`)
     }
     if (total > 1) {
       lines.push('', `（读法：上面 ${total} 封各有各的正文文件，先逐个 read 全部读完，再统一回一封；不要读一封回一封。）`)

package/lib/web.js

@@ -2,6 +2,7 @@
 // 状态、检查 npm 上的新版本、一键更新（仅 registry 安装模式可用）。
 import fs from 'node:fs'
 import os from 'node:os'
+import crypto from 'node:crypto'
 import path from 'node:path'
 import { fileURLToPath } from 'node:url'
 import { spawn } from 'node:child_process'
@@ -28,6 +29,53 @@ function json(res, code, data) {
   res.end(body)
 }
 
+// ── 0.8.0 F2：本地 HTTP 接口加令牌，挡网页 CSRF ──────────────
+const TOKEN_HEADER = 'x-crossterm-token'
+const LOOPBACK_ORIGIN = /^https?:\/\/(127\.0\.0\.1|localhost|\[::1\])(:\d+)?$/i
+let httpToken = ''
+
+function tokenFile(cfg) {
+  const dir = (cfg && cfg.busDir) || path.join(os.homedir(), '.dsh', 'crossterm')
+  return path.join(dir, 'http-token')
+}
+
+function ensureHttpToken(cfg, log = () => {}) {
+  if (httpToken) return httpToken
+  if (process.env.CROSSTERM_HTTP_TOKEN) {
+    httpToken = String(process.env.CROSSTERM_HTTP_TOKEN)
+    return httpToken
+  }
+  const file = tokenFile(cfg)
+  try {
+    httpToken = fs.readFileSync(file, 'utf8').trim()
+  } catch { httpToken = '' }
+  if (!httpToken) {
+    httpToken = crypto.randomBytes(24).toString('hex')
+    try {
+      fs.mkdirSync(path.dirname(file), { recursive: true })
+      fs.writeFileSync(file, httpToken, { encoding: 'utf8', mode: 0o600 })
+    } catch (e) {
+      log(`写 http-token 失败：${(e && e.message) || e}`)
+    }
+  }
+  return httpToken
+}
+
+/** 跨站 Origin 一律拒；令牌对得上才放行（同源页面可先 GET /crossterm/api/token 取令牌） */
+function checkHttp(req, res, cfg) {
+  const origin = String((req.headers && req.headers.origin) || '')
+  if (origin && !LOOPBACK_ORIGIN.test(origin)) {
+    json(res, 403, { ok: false, message: '拒绝跨站请求' })
+    return false
+  }
+  const got = String((req.headers && req.headers[TOKEN_HEADER]) || '')
+  if (got !== ensureHttpToken(cfg)) {
+    json(res, 401, { ok: false, message: '缺少或错误的接口令牌（' + TOKEN_HEADER + '）' })
+    return false
+  }
+  return true
+}
+
 /** 找到装着本插件的 profile（<dsh-home>/profiles/<name>/package.json） */
 function profileInfo(busDir) {
   // 先找「正在运行的那个 profile」：桌面宿主把 profile 目录作为 argv 传给自己，
@@ -455,6 +503,21 @@ export function registerWeb(ctx, term, log) {
             handler: (req, res) => json(res, 200, statusOf(term)),
           }),
         )
+        // 同源页面从这里取接口令牌（跨站页面读不到响应，因为没有 CORS 头）
+        disposers.push(
+          webCtx.webServer.register({
+            kind: 'exact',
+            path: '/crossterm/api/token',
+            handler: (req, res) => {
+              const origin = String((req.headers && req.headers.origin) || '')
+              if (origin && !LOOPBACK_ORIGIN.test(origin)) {
+                json(res, 403, { ok: false, message: '拒绝跨站请求' })
+                return
+              }
+              json(res, 200, { ok: true, token: ensureHttpToken(term.cfg, log) })
+            },
+          }),
+        )
         disposers.push(
           webCtx.webServer.register({
             kind: 'exact',
@@ -567,6 +630,7 @@ export function registerWeb(ctx, term, log) {
             kind: 'exact',
             path: '/crossterm/api/backup',
             handler: async (req, res) => {
+              if (!checkHttp(req, res, term.cfg)) return
               try {
                 if (!term.home) term.enableCloud()
                 if (!term.home) {
@@ -587,6 +651,7 @@ export function registerWeb(ctx, term, log) {
             kind: 'exact',
             path: '/crossterm/api/check',
             handler: async (req, res) => {
+              if (!checkHttp(req, res, term.cfg)) return
               try {
                 const latest = await latestVersion()
                 // 只有 npm 上的版本「更新」才算有更新：本地源码版常领先于已发布版，
@@ -605,6 +670,7 @@ export function registerWeb(ctx, term, log) {
             kind: 'exact',
             path: '/crossterm/api/cloud/start',
             handler: (req, res) => {
+              if (!checkHttp(req, res, term.cfg)) return
               try {
                 const before = statusOf(term).cloud
                 if (!before.configured) {
@@ -628,6 +694,7 @@ export function registerWeb(ctx, term, log) {
             kind: 'exact',
             path: '/crossterm/api/cloud/stop',
             handler: (req, res) => {
+              if (!checkHttp(req, res, term.cfg)) return
               try {
                 term.disableCloud()
                 json(res, 200, { ok: true, message: '云同步已关闭（本进程内生效，重启后按配置恢复）', cloud: statusOf(term).cloud })
@@ -642,6 +709,7 @@ export function registerWeb(ctx, term, log) {
             kind: 'exact',
             path: '/crossterm/api/cloud/setup',
             handler: (req, res) => {
+              if (!checkHttp(req, res, term.cfg)) return
               if (setupRunning) {
                 json(res, 200, { ok: false, running: true, message: '配置流程已经在进行中（看任务栏里的记事本）' })
                 return
@@ -678,6 +746,7 @@ export function registerWeb(ctx, term, log) {
             kind: 'exact',
             path: '/crossterm/api/update',
             handler: async (req, res) => {
+              if (!checkHttp(req, res, term.cfg)) return
               const info = profileInfo(term.cfg && term.cfg.busDir)
               if (!info) {
                 json(res, 200, { ok: false, message: '找不到安装本插件的 profile' })

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-crossterm",
-  "version": "0.7.6",
+  "version": "0.8.0",
   "description": "跨端互通：同一 DSH 账号下的会话、终端、设备之间互通 —— 特征码链、内联邮件、云端中转站与自动备份",
   "type": "module",
   "main": "./lib/index.js",