dsh-db-tool 1.8.3 → 1.8.5

package/dist/http/index.js

@@ -5,7 +5,9 @@
  * 调用 handleDbToolRequest——前端同源相对路径 fetch 即可达。
  *
  * trust 校验（等价移植 dsh-ssh-tunnel lib/shared/http-trust.js，自包含）：
- *  - Host 必须是 loopback（或 ctx.webRuntime.trustedHosts 中的条目）；
+ *  - Host 必须是 loopback（或受信条目）：0.2.1-rc.3 起来自 ctx.webStartup.trustedHosts
+ *    加监听 bind 地址（Connection 的 isBindAddressAuthority 语义），旧宿主来自已删除的
+ *    ctx.webRuntime.trustedHosts；
  *  - 带 Origin/Referer 时其 host 必须是 loopback（且同端口）或受信条目。
  *  - 0.0.0.0 不是 loopback。违者 403 FORBIDDEN。
  *

package/dist/index.js

@@ -10,11 +10,21 @@
  *    http-trust 本地校验（Host loopback / trustedHosts + Origin 同源校验）。
  *  - ctx.effect 收尾：注销 HTTP 路由、关适配器、停 challenge 清理。
  */
+import { isIP } from 'node:net';
 import { DbToolStore, normalizeProjectKey } from './store/index.js';
 import { DbToolService, handleToolAction } from './manager.js';
 import { handleDbToolRequest } from './http/index.js';
-/** cordis 注入清单（服务名以 dsh-ssh-tunnel 为准；connection 用于宿主鉴权栅栏） */
-export const inject = ['webServer', 'sessions', 'tools', 'webRuntime', 'connection'];
+/**
+ * cordis 注入清单（服务名以 dsh-ssh-tunnel 为准；connection 用于宿主鉴权栅栏）。
+ *
+ * 注意：不要把 webRuntime 写进来。宿主 @deepseek-ai/dsh-web-app 提供的是
+ * webApp，从不注册 webRuntime；cordis 的 inject 是硬依赖，缺失服务会让 fiber
+ * 永久 pending、apply() 不执行，HTTP 路由也就不会注册（前端表现为 HTTP 404）。
+ * trustedHosts 改用 ctx.get('webStartup' | 'webRuntime', true) 可选读取：
+ * 0.2.1-rc.3 删除了 webRuntime 服务、信任权威改为 webStartup.trustedHosts，
+ * 旧宿主仍用 webRuntime，故按新优先、旧回退读取。
+ */
+export const inject = ['webServer', 'sessions', 'tools', 'connection'];
 const TOOL_DESCRIPTION = `数据库管理工具（dsh-db-tool）：在已配置的数据库连接上执行查询/写操作/脚本。
 
 权限模型（务必遵守）：
@@ -40,9 +50,37 @@ export function apply(ctx) {
     const store = new DbToolStore();
     const service = new DbToolService(store);
     // HTTP API：挂在 DSH webServer 的 /dsh-db-tool/api 前缀下（同源访问）
+    /**
+     * rc.3 的 Connection 在 trustedHosts 之外还单独接受监听 bind 地址
+     * （isBindAddressAuthority）。本地兜底对齐该语义，但只补具体单播字面量：
+     * wildcard（0.0.0.0/::/*）与 loopback 一律跳过，不放宽 DNS rebinding 攻击面。
+     */
+    const bindAuthorities = () => {
+        const host = ctx.webServer?.host;
+        if (typeof host !== 'string')
+            return [];
+        const h = host.trim();
+        if (h === '' || h === '*' || h === '0.0.0.0' || h === '::')
+            return [];
+        if (isIP(h) === 0)
+            return [];
+        if (h === '::1' || h === '::ffff:127.0.0.1' || /^127\./.test(h))
+            return [];
+        const port = ctx.webServer?.port;
+        if (typeof port !== 'number' || !(port > 0))
+            return [h];
+        return [h, `${h.includes(':') ? `[${h}]` : h}:${port}`];
+    };
     const trustedHosts = () => {
         try {
-            return ctx.webRuntime?.trustedHosts ?? [];
+            // webRuntime 不在 inject 内：缺失服务会让插件永不激活，故可选读取。
+            // 0.2.1-rc.3 删除了 webRuntime，改由 webStartup.trustedHosts 提供信任权威。
+            const startup = ctx.get?.('webStartup', true);
+            const declared = startup?.trustedHosts ??
+                ctx.get?.('webRuntime', true)?.trustedHosts ??
+                [];
+            // 仅 rc.3（webStartup 存在）补 bind 地址；旧宿主的 webRuntime 已含 bind 派生的 LAN 地址。
+            return startup === undefined ? declared : [...bindAuthorities(), ...declared];
         }
         catch {
             return [];

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-db-tool",
-  "version": "1.8.3",
+  "version": "1.8.5",
   "description": "DSH community plugin: chat-operated multi-database admin tool with sidebar management, project-scoped grants, ro/rw modes and dangerous-operation confirmation",
   "type": "module",
   "license": "MIT",
@@ -14,7 +14,7 @@
   "homepage": "https://github.com/mengqi1436/dsh-db-tool#readme",
   "engines": {
     "node": ">=20",
-    "dsh": ">=0.1.0-rc.6 <0.2.0-0 || 0.1.7-rc.2 || >=0.2.0-rc.1 <0.3.0-0"
+    "dsh": ">=0.1.0-rc.6 <0.2.0-0 || 0.1.7-rc.2 || >=0.2.0-rc.1 <0.3.0-0 || >=0.2.1-rc.2 <0.3.0-0"
   },
   "main": "dist/index.js",
   "exports": {

package/patches/dsh-app-boot-route-scoped-hotfix-0.2.1-rc.3.patch

@@ -0,0 +1,44 @@
+# DSH dsh-app-boot resolve.paths hotfix (upstream bug: createRequire(parent).resolve.paths(name)
+# returns null for core-module names like "punycode", breaking hoisted profile installs).
+# Covers BOTH unguarded for..of sites in 0.2.1-rc.3 lib/index.js (extracted from the
+# shipped asar; CR=0, 4566 lines):
+#   nativePackageDir()  for-line at 1371  -> hunk @@ -1368,7 +1368,10 @@
+#   routeScoped()       for-line at 1628  -> hunk @@ -1625,7 +1628,14 @@
+# Anchor lines are byte-identical to the 0.2.0-rc.2 patch (whole-file line shift only);
+# hunk bodies are shared verbatim with 0.2.0-rc.1/rc.2.
+# Target-Version: 0.2.1-rc.3
+# Apply manually:  git apply -p1 -d <dsh-app-boot package root> <this file>
+# Or one command:  npm run patch:dsh    (scripts/apply-dsh-hotfix.ps1)
+# Generated from @deepseek-ai/dsh-app-boot@0.2.1-rc.3 (asar) vs patched local copy.
+diff --git a/lib/index.js b/lib/index.js
+index 39401ea..8c053c3 100644
+--- a/lib/index.js
++++ b/lib/index.js
+@@ -1368,7 +1368,10 @@ function profileChild(path, treePrefix) {
+ 	return treePrefix + (end < 0 ? rest : rest.slice(0, end));
+ }
+ function nativePackageDir(parent, name) {
+-	for (const searchPath of createRequire(parent).resolve.paths(name)) {
++	/* local hotfix: nativePackageDir: resolve.paths returns null for core-module names
++	   (fs, node:fs, ...); an empty list means no local candidate, matching the
++	   guard in profile.ts:596. */
++	for (const searchPath of createRequire(parent).resolve.paths(name) ?? []) {
+ 		const candidate = join(searchPath, name);
+ 		if (existsSync(join(candidate, "package.json"))) return candidate;
+ 	}
+@@ -1625,7 +1628,14 @@ var ResolutionRouter = class {
+ 		const target = resolution.entries.get(name);
+ 		const candidates = [];
+ 		const localSearchPaths = [];
+-		for (const searchPath of createRequire(parent).resolve.paths(name)) {
++		/* local hotfix: resolve.paths returns null for core-module names (e.g. "punycode"),
++		   which made the for..of throw TypeError and broke every hoisted profile install
++		   whose dependency tree requires such an npm package. Fall back to the standard
++		   node_modules search chain so the local candidate can still be found. */
++		const _hotReq = createRequire(parent);
++		const _hotPaths = _hotReq.resolve.paths(name)
++			?? _hotReq("node:module")._nodeModulePaths(_hotReq("node:path").dirname(parent));
++		for (const searchPath of _hotPaths) {
+ 			if (!searchPath.startsWith(layer.localPrefix)) break;
+ 			localSearchPaths.push(searchPath);
+ 			const candidate = localPackageCandidate(searchPath, name, flavor);

package/scripts/hotfix-core.mjs

@@ -23,13 +23,15 @@ import { fileURLToPath, pathToFileURL } from 'node:url';
 
 /** 补丁文件里的目标版本声明行（patches/*.patch 注释头）。 */
 export const TARGET_VERSION = '0.1.7-rc.2';
-/** 锚点行逐字节一致的受支持版本列表（仅整体行号偏移；0.2.0-rc.1/0.2.0-rc.2 的 lib/index.js 逐字节相同）。 */
-export const TARGET_VERSIONS = ['0.1.7-rc.2', '0.2.0-rc.1', '0.2.0-rc.2'];
+/** 锚点行逐字节一致的受支持版本列表（仅整体行号偏移；0.2.0-rc.1/0.2.0-rc.2 的 lib/index.js 逐字节相同；
+ * 0.2.1-rc.3 锚点内容同样逐字节一致，仅整体行号偏移（npd +123 / routeScoped +205）。 */
+export const TARGET_VERSIONS = ['0.1.7-rc.2', '0.2.0-rc.1', '0.2.0-rc.2', '0.2.1-rc.3'];
 /** 各受支持版本对应的默认补丁文件名（patches/ 下；git-apply 路径按版本选择）。 */
 export const PATCH_BY_VERSION = {
 	'0.1.7-rc.2': 'dsh-app-boot-route-scoped-hotfix.patch',
 	'0.2.0-rc.1': 'dsh-app-boot-route-scoped-hotfix-0.2.0-rc.1.patch',
 	'0.2.0-rc.2': 'dsh-app-boot-route-scoped-hotfix-0.2.0-rc.2.patch',
+	'0.2.1-rc.3': 'dsh-app-boot-route-scoped-hotfix-0.2.1-rc.3.patch',
 };
 /** 判断目标文件是否已打补丁的标识串（hotfix 注释首行片段）。 */
 export const HOTFIX_MARKER = 'local hotfix: resolve.paths returns null';