dsh-db-tool 1.2.0 → 1.3.0

package/README.md

@@ -40,7 +40,7 @@ GaussDB 官方驱动未发布 npm，需先构建 vendor：`npm run build:gaussdb
 
 ## 安全模型
 
-- HTTP API 仅同源（`ctx.webServer` prefix `/dsh-db-tool/api`）+ loopback/Origin trust 校验（等价 ssh-tunnel `http-trust`），body 限 2MB
+- HTTP API 仅同源（`ctx.webServer` prefix `/dsh-db-tool/api`）+ 宿主 Connection 栅栏（`ctx.connection.requestRejection`：Host/Origin + 浏览器 token 鉴权。0.2.0-rc.1 起插件前缀路由不经宿主栅栏，故在 handler 顶层显式应用；宿主无 connection 服务时回退 loopback/Origin trust 校验，等价 ssh-tunnel `http-trust`），body 限 2MB
 - ro 双保险：服务层拦截 + 驱动会话级 `SET SESSION CHARACTERISTICS AS TRANSACTION READ ONLY`（pg/gaussdb）、readonly 打开（SQLite）
 - SQL 参数绑定 + 标识符白名单（`[A-Za-z0-9_$]+` + 引用包裹）；MySQL `multipleStatements:false`；Redis 元数据走 `SCAN`（禁 `KEYS`）；Mongo 递归拒 `$where`
 - `run_script`：node:vm 独立 context、60s 超时、无 require/process/网络/文件系统，仅注入受限 `db.{query,execute}` 句柄
@@ -52,7 +52,7 @@ GaussDB 官方驱动未发布 npm，需先构建 vendor：`npm run build:gaussdb
 
 症状：DSH 启动后插件加载报 `failed to import`，伴随 `TypeError: Cannot read properties of null (reading 'Symbol(Symbol.iterator)')`，栈指向 `dsh-app-boot` 的 `routeScoped`。
 
-根因：上游 `@deepseek-ai/dsh-app-boot` 对 `createRequire(parent).resolve.paths(name)` 直接做 `for..of`，而 Node 对 core-module 同名包（`punycode` 等）返回 `null`，hoisted profile 下凡依赖树含此类 npm 包的插件都会炸。`0.1.7-rc.2` 中共两处同型缺陷：`routeScoped()` 与 `nativePackageDir()`，本补丁一并修复（两处分别独立判定，已打过旧版单处补丁的机器只会补上缺的那处）。
+根因：上游 `@deepseek-ai/dsh-app-boot` 对 `createRequire(parent).resolve.paths(name)` 直接做 `for..of`，而 Node 对 core-module 同名包（`punycode` 等）返回 `null`，hoisted profile 下凡依赖树含此类 npm 包的插件都会炸。`0.1.7-rc.2` 与 `0.2.0-rc.1` 中同型缺陷两处（锚点行逐字节一致，仅整体行号偏移 1 行）：`routeScoped()` 与 `nativePackageDir()`，本补丁一并修复（两处分别独立判定，已打过旧版单处补丁的机器只会补上缺的那处）。
 
 一键修复（幂等，应用前自动备份为 `index.js.bak-hotfix`；`--revert` 可还原）：
 
@@ -61,7 +61,7 @@ npm run patch:dsh        # Windows（PowerShell）
 npm run patch:dsh:sh     # macOS / Linux
 ```
 
-脚本自动探测 DSH 安装根（`--dsh-root` 可显式指定）；补丁文件见 `patches/dsh-app-boot-route-scoped-hotfix.patch`，仅对 `0.1.7-rc.2` 声明兼容，其他版本会警告（`--force` 覆盖）。上游 issue：<https://github.com/mengqi1436/dsh-db-tool/issues>（占位，待上游仓库开放后替换）。
+脚本自动探测 DSH 安装根（`--dsh-root` 可显式指定）；补丁文件按安装版本自动选择：`patches/dsh-app-boot-route-scoped-hotfix.patch`（`0.1.7-rc.2`）、`patches/dsh-app-boot-route-scoped-hotfix-0.2.0-rc.1.patch`（`0.2.0-rc.1`，与内建替换路径逐字节等价已验证）；不支持的版本会警告（`--force` 覆盖）。上游 issue：<https://github.com/mengqi1436/dsh-db-tool/issues>（占位，待上游仓库开放后替换）。
 
 **本插件的免补丁路径（0.1.9+）**：该 bug 的触发条件是依赖树中出现 core-module 同名包，mongodb 链（`mongodb-connection-string-url → whatwg-url → tr46 → punycode`）正是元凶。0.1.9 起 mongodb 驱动经 esbuild bundle 为 `vendor/mongodb-driver.cjs` 随包发布，生产依赖树不再含 mongodb 与 punycode——在**未修复宿主**（含桌面版 app.asar，无法打补丁）上也能正常安装加载。守卫测试 `tests/guard/deps-core-collision.spec.ts` 断言依赖树永不回退（dependencies 白名单 + lockfile 生产树 core 同名包零交集）。`patch:dsh` 仍保留，用于修复**其他**含同类依赖的插件或宿主自身报错。
 

package/dist/index.js

@@ -4,15 +4,17 @@
  *  - 注册 DatabaseManager 模型工具（单工具多 action），projectPath 取自
  *    session header.cwd（不信任模型自报），业务操作经 GrantStore 授权。
  *  - HTTP API 挂载在 DSH webServer（prefix /dsh-db-tool/api）：前端同源
- *    相对路径 fetch('/dsh-db-tool/api/...') 即可达；trust 校验移植
- *    http-trust 逻辑（Host loopback / trustedHosts + Origin 同源校验）。
+ *    相对路径 fetch('/dsh-db-tool/api/...') 即可达；0.2.0-rc.1 起插件前缀路由
+ *    不经宿主 Connection 栅栏，故在 handler 顶层先应用 ctx.connection.requestRejection
+ *    （Host/Origin + 浏览器 token 鉴权，401/403）；宿主无 connection 服务时退回
+ *    http-trust 本地校验（Host loopback / trustedHosts + Origin 同源校验）。
  *  - ctx.effect 收尾：注销 HTTP 路由、关适配器、停 challenge 清理。
  */
 import { DbToolStore, normalizeProjectKey } from './store/index.js';
 import { DbToolService, handleToolAction } from './manager.js';
 import { handleDbToolRequest } from './http/index.js';
-/** cordis 注入清单（服务名以 dsh-ssh-tunnel 为准） */
-export const inject = ['webServer', 'sessions', 'tools', 'webRuntime'];
+/** cordis 注入清单（服务名以 dsh-ssh-tunnel 为准；connection 用于宿主鉴权栅栏） */
+export const inject = ['webServer', 'sessions', 'tools', 'webRuntime', 'connection'];
 const TOOL_DESCRIPTION = `数据库管理工具（dsh-db-tool）：在已配置的数据库连接上执行查询/写操作/脚本。
 
 权限模型（务必遵守）：
@@ -50,6 +52,21 @@ export function apply(ctx) {
         kind: 'prefix',
         path: '/dsh-db-tool/api',
         handler: async (req, res) => {
+            // 宿主 Connection 栅栏优先：0.2.0-rc.1 起插件前缀路由不经宿主鉴权，
+            // 必须显式应用 requestRejection（Host/Origin + 浏览器 token）；
+            // 401/403 时由本处兜底写出 JSON 响应（宿主只返回状态码）。
+            const rejection = ctx.connection?.requestRejection?.(req);
+            if (rejection !== undefined) {
+                const httpRes = res;
+                httpRes.statusCode = rejection;
+                httpRes.setHeader('Content-Type', 'application/json; charset=utf-8');
+                httpRes.end(JSON.stringify({
+                    ok: false,
+                    error: rejection === 401 ? 'unauthorized: browser authentication required' : 'forbidden: untrusted request',
+                    code: rejection === 401 ? 'UNAUTHORIZED' : 'FORBIDDEN',
+                }));
+                return;
+            }
             await handleDbToolRequest(req, res, service, {
                 trustedHosts: trustedHosts(),
                 // 项目上下文权威解析：会话 header.cwd 优先，回退前端 cwd（对齐 ssh-tunnel getProjectContext）

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-db-tool",
-  "version": "1.2.0",
+  "version": "1.3.0",
   "description": "DSH community plugin: chat-operated multi-database admin tool with sidebar management, project-scoped grants, ro/rw modes and dangerous-operation confirmation",
   "type": "module",
   "license": "MIT",
@@ -14,7 +14,7 @@
   "homepage": "https://github.com/mengqi1436/dsh-db-tool#readme",
   "engines": {
     "node": ">=20",
-    "dsh": ">=0.1.0-rc.6"
+    "dsh": ">=0.1.0-rc.6 <0.2.0-0 || 0.1.7-rc.2 || >=0.2.0-rc.1 <0.3.0-0"
   },
   "main": "dist/index.js",
   "exports": {
@@ -55,10 +55,12 @@
     "redis": "^6.2.1"
   },
   "devDependencies": {
+    "@deepseek-ai/cordis": "^4.0.4",
     "@stryker-mutator/core": "^10.0.0",
     "@stryker-mutator/vitest-runner": "^10.0.0",
     "@types/better-sqlite3": "latest",
     "@types/node": "latest",
+    "dsh-better-sidebar": "^0.24.1",
     "esbuild": "^0.28.0",
     "mongodb": "^7.6.0",
     "stryker-cli": "^1.1.0",

package/patches/dsh-app-boot-route-scoped-hotfix-0.2.0-rc.1.patch

@@ -0,0 +1,40 @@
+# DSH dsh-app-boot resolve.paths hotfix (upstream bug: createRequire(parent).resolve.paths(name)
+# returns null for core-module names like "punycode", breaking hoisted profile installs).
+# Covers BOTH unguarded for..of sites in 0.2.0-rc.1: routeScoped() (@@ -1423,14) and
+# nativePackageDir() (@@ -1245,10). Anchor lines are byte-identical to 0.1.7-rc.2 (overall +1 shift).
+# Target-Version: 0.2.0-rc.1
+# Apply manually:  git apply -p1 -d <dsh-app-boot package root> <this file>
+# Or one command:  npm run patch:dsh    (scripts/apply-dsh-hotfix.ps1)
+# Generated from @deepseek-ai/dsh-app-boot@0.2.0-rc.1 npm tarball vs patched local copy.
+diff --git a/lib/index.js b/lib/index.js
+index e60aac4..fcd1a38 100644
+--- a/lib/index.js
++++ b/lib/index.js
+@@ -1245,7 +1245,10 @@ function profileChild(path, treePrefix) {
+ 	return treePrefix + (end < 0 ? rest : rest.slice(0, end));
+ }
+ function nativePackageDir(parent, name) {
+-	for (const searchPath of createRequire(parent).resolve.paths(name)) {
++	/* local hotfix: nativePackageDir: resolve.paths returns null for core-module names
++	   (fs, node:fs, ...); an empty list means no local candidate, matching the
++	   guard in profile.ts:596. */
++	for (const searchPath of createRequire(parent).resolve.paths(name) ?? []) {
+ 		const candidate = join(searchPath, name);
+ 		if (existsSync(join(candidate, "package.json"))) return candidate;
+ 	}
+@@ -1420,7 +1423,14 @@ var ResolutionRouter = class {
+ 		const target = resolution.entries.get(name);
+ 		const candidates = [];
+ 		const localSearchPaths = [];
+-		for (const searchPath of createRequire(parent).resolve.paths(name)) {
++		/* local hotfix: resolve.paths returns null for core-module names (e.g. "punycode"),
++		   which made the for..of throw TypeError and broke every hoisted profile install
++		   whose dependency tree requires such an npm package. Fall back to the standard
++		   node_modules search chain so the local candidate can still be found. */
++		const _hotReq = createRequire(parent);
++		const _hotPaths = _hotReq.resolve.paths(name)
++			?? _hotReq("node:module")._nodeModulePaths(_hotReq("node:path").dirname(parent));
++		for (const searchPath of _hotPaths) {
+ 			if (!searchPath.startsWith(layer.localPrefix)) break;
+ 			localSearchPaths.push(searchPath);
+ 			const candidate = localPackageCandidate(searchPath, name, flavor);

package/scripts/hotfix-core.d.mts

@@ -2,6 +2,8 @@
  * 类型声明：scripts/hotfix-core.mjs（无 allowJs，为 tests/scripts/hotfix.spec.ts 提供 import 类型）。
  */
 export declare const TARGET_VERSION: string;
+export declare const TARGET_VERSIONS: string[];
+export declare const PATCH_BY_VERSION: Record<string, string>;
 export declare const HOTFIX_MARKER: string;
 export declare const BOOT_INDEX_REL: string;
 export declare const BACKUP_SUFFIX: string;

package/scripts/hotfix-core.mjs

@@ -2,12 +2,15 @@
 /**
  * DSH dsh-app-boot resolve.paths hotfix —— 核心逻辑（纯 Node、零依赖、可被测试 import）。
  *
- * 修复的 bug：@deepseek-ai/dsh-app-boot@0.1.7-rc.2 对
+ * 修复的 bug：@deepseek-ai/dsh-app-boot 对
  * `createRequire(parent).resolve.paths(name)` 的 for..of 无保护，而 Node 对
  * core-module 同名包（punycode 等）返回 null，for..of null 直接抛 TypeError，
- * 导致 hoisted profile 下 npm 安装插件导入失败。rc.2 中共两处同型缺陷：
- * 1. routeScoped()（L1419 区域）—— 症状直接暴露；
- * 2. nativePackageDir()（L1246 区域）—— 第二处，症状相同，一并修复。
+ * 导致 hoisted profile 下 npm 安装插件导入失败。rc.2 起共两处同型缺陷：
+ * 1. routeScoped()（rc.2 L1419 区域 / 0.2.0-rc.1 L1423 区域）—— 症状直接暴露；
+ * 2. nativePackageDir()（rc.2 L1244 区域 / 0.2.0-rc.1 L1248 区域）—— 症状相同，一并修复。
+ *
+ * 版本支持：锚点行在 TARGET_VERSIONS 列出的版本中逐字节一致（仅整体行号偏移），
+ * 内建替换路径与版本无关；git-apply 路径按安装版本选择 patches/ 下行号匹配的补丁。
  *
  * 用法：node scripts/hotfix-core.mjs [--dsh-root <dir>] [--patch-file <file>]
  *           [--force] [--revert] [--dry-run]
@@ -20,6 +23,13 @@ import { fileURLToPath, pathToFileURL } from 'node:url';
 
 /** 补丁文件里的目标版本声明行（patches/*.patch 注释头）。 */
 export const TARGET_VERSION = '0.1.7-rc.2';
+/** 锚点行逐字节一致的受支持版本列表（仅整体行号偏移；0.2.0-rc.1 = rc.2 行号 +1）。 */
+export const TARGET_VERSIONS = ['0.1.7-rc.2', '0.2.0-rc.1'];
+/** 各受支持版本对应的默认补丁文件名（patches/ 下；git-apply 路径按版本选择）。 */
+export const PATCH_BY_VERSION = {
+	'0.1.7-rc.2': 'dsh-app-boot-route-scoped-hotfix.patch',
+	'0.2.0-rc.1': 'dsh-app-boot-route-scoped-hotfix-0.2.0-rc.1.patch',
+};
 /** 判断目标文件是否已打补丁的标识串（hotfix 注释首行片段）。 */
 export const HOTFIX_MARKER = 'local hotfix: resolve.paths returns null';
 /** dsh-app-boot 内 lib/index.js 相对包根的路径。 */
@@ -287,15 +297,18 @@ function isGitApplyable(indexFile, patchFile) {
 /** 命令行主入口。@returns {number} 退出码 */
 export function run(argv = process.argv.slice(2)) {
 	let dshRoot;
-	let patchFile = path.join(path.dirname(fileURLToPath(import.meta.url)), '..', 'patches', 'dsh-app-boot-route-scoped-hotfix.patch');
+	let patchFile = path.join(path.dirname(fileURLToPath(import.meta.url)), '..', 'patches', PATCH_BY_VERSION[TARGET_VERSION]);
+	let patchFileExplicit = false;
 	let force = false;
 	let revert = false;
 	let dryRun = false;
 	for (let i = 0; i < argv.length; i++) {
 		const arg = argv[i];
 		if (arg === '--dsh-root') dshRoot = argv[++i];
-		else if (arg === '--patch-file') patchFile = argv[++i];
-		else if (arg === '--force') force = true;
+		else if (arg === '--patch-file') {
+			patchFile = argv[++i];
+			patchFileExplicit = true;
+		} else if (arg === '--force') force = true;
 		else if (arg === '--revert') revert = true;
 		else if (arg === '--dry-run') dryRun = true;
 		else if (arg === '--help' || arg === '-h') {
@@ -324,11 +337,25 @@ export function run(argv = process.argv.slice(2)) {
 	} catch {
 		/* 读不到版本号时跳过比对 */
 	}
+	// 按安装版本选择行号匹配的补丁（未显式指定 --patch-file 时）；
+	// 锚点内容各版本一致，选错补丁只会让 git-apply 路径失配回退内建替换，但优先选对。
+	if (!patchFileExplicit && actualVersion && PATCH_BY_VERSION[actualVersion]) {
+		patchFile = path.join(path.dirname(fileURLToPath(import.meta.url)), '..', 'patches', PATCH_BY_VERSION[actualVersion]);
+	}
 	const patchText = fs.existsSync(patchFile) ? fs.readFileSync(patchFile, 'utf8') : '';
-	const declared = parsePatchTargetVersion(patchText) ?? TARGET_VERSION;
-	if (actualVersion && actualVersion !== declared && !force) {
-		console.warn(`[dsh-hotfix] version mismatch: installed ${actualVersion} != patch target ${declared}. Use --force to apply anyway.`);
-		return 2;
+	const declared = parsePatchTargetVersion(patchText);
+	if (actualVersion && !force) {
+		if (declared) {
+			if (declared !== actualVersion) {
+				console.warn(`[dsh-hotfix] version mismatch: installed ${actualVersion} != patch target ${declared}. Use --force to apply anyway.`);
+				return 2;
+			}
+		} else if (!TARGET_VERSIONS.includes(actualVersion)) {
+			console.warn(
+				`[dsh-hotfix] version mismatch: installed ${actualVersion} is not supported (supported: ${TARGET_VERSIONS.join(', ')}) and patch declares no Target-Version. Use --force to apply anyway.`,
+			);
+			return 2;
+		}
 	}
 
 	let content;