dsh-deepseek-web-login 0.7.2 → 0.7.4

package/CHANGELOG.md

@@ -2,6 +2,77 @@
 
 本项目大致遵循语义化版本；日期为本地时间。
 
+## 0.7.4 — 2026-10-10
+
+**收窄 0.7.3 的 `--no-sandbox`：只给 headless 传输层，登录窗口保持 sandbox。**
+
+### 0.7.3 的问题
+
+`--no-sandbox` 被加进 `buildBrowserArgs()`，而那个函数**被两处共用**：
+
+| 调用点 | 用途 | 该不该关 sandbox |
+|---|---|---|
+| `browser-login.ts:538` | **登录窗口**（可见真实浏览器，用户在里面手动输密码） | ❌ 不该 |
+| `browser-transport.ts:193` | 请求代理（headless 后台，只请求 `about:blank`） | ✅ Linux/CI 需要 |
+
+⇒ 0.7.3 **连登录窗口的 sandbox 也关了**。sandbox 是浏览器跑第三方网页代码时的进程隔离，
+而登录窗口要加载 DeepSeek 真实页面 —— **那才是真正扩大攻击面**。
+（0.7.3 的 CHANGELOG 写"攻击面不因此变大"，**那句话不准确**，这里更正。）
+
+### 现在
+
+`--no-sandbox` 移到新函数 `transportExtraArgs()`，**只有 headless 传输层**调用它。
+传输层不加载任何第三方页面、只发 HTTP ⇒ 关 sandbox 的收益（Linux/CI 可用）大于代价。
+
+### 守卫
+
+三条，缺一不可：
+
+1. `transportExtraArgs()` 里**必须**有 `--no-sandbox`（否则 Linux/CI 起不来）；
+2. `buildBrowserArgs()` 里**必须没有**（登录窗口要用）；
+3. **传输层的 spawn 必须真的调用它** —— 前两条只断函数内容，断不了"调用点被删"。
+
+三条都做过变异验证（挪位置 / 拿掉内容 / 删调用行，各自打红）。
+
+### 验证
+
+`tsc` / build / 产物 / 17 项登录 / 8 项新守卫 / 隔离 / `check-browser-transport`（真启浏览器）/ **67/67** 全过。
+
+## 0.7.3 — 2026-10-10
+
+**修好 Linux/CI 上浏览器起不来的问题**（0.7.2 只在 ubuntu-latest 上挂，macOS / Windows 同 commit 通过）。
+
+### 根因：启动参数缺 `--no-sandbox`
+
+`buildBrowserArgs`（`browser-login.ts:75`）没有 `--no-sandbox`。
+而**在 Linux 上跑浏览器的人只有两种**：root（容器 / CI runner）
+或没有 user namespace 权限的普通用户 —— **两种都起不来**。
+
+症状极具误导性：
+
+```
+x 浏览器 fetch 可发送 POST 并读取响应: 浏览器调试端口未就绪
+```
+
+看起来像超时，实际是**启动失败** —— `waitForTransportDebugPort` 等满 25s 拿不到
+`DevToolsActivePort`。⚠️ **调大那个超时只会掩盖真问题**（本次就没那样做）。
+
+该 flag 在 Windows / macOS 上无害（会被忽略），所以无条件带上。
+
+⚠️ 它降低的是**本机**进程隔离强度；本插件本来就用自己的 profile 跑 headless 浏览器、
+不加载用户日常 profile，攻击面不因此变大。
+
+### 顺带：那条用例加了重试（双保险）
+
+`check-browser-transport.mjs` 的第 4 条是**第一个真拉浏览器**的用例（后面的 FormData 复用同一实例），
+冷启动开销全压在这里。按项目既有约定（`check-devtools.mjs:132`）加了「重试两次、两次都失败才算坏」，
+并在改造时**漏掉了 `finally` 收尾**（⇒ 端口与浏览器进程泄漏），已补回 try/finally。
+
+### 验证
+
+`buildBrowserArgs` 新增行为断言（变异验证：拿掉 `--no-sandbox` 立刻红）。
+`tsc` / build / 产物 / 隔离 / **67/67** 全过。
+
 ## 0.7.2 — 2026-10-10
 
 **修好外部审查报出的 8 条缺陷**（P1×3 / P2×4 / P3×1）。审查给了行号、复现脚本与置信度标注，

package/lib/index.js

@@ -3994,6 +3994,29 @@ function buildBrowserArgs(profileDir, url) {
 		url
 	];
 }
+/**
+* 只给 **headless 请求代理**追加的启动参数（0.7.3）。
+*
+* ## 为什么需要 `--no-sandbox`
+*
+* headless Chrome 在 Linux 上默认要 sandbox，而 Linux 上跑浏览器的人只有两种：
+* root（容器 / CI runner）或没有 user namespace 权限的普通用户 —— **两种都起不来**。
+* 症状伪装成「浏览器调试端口未就绪」（等满 25s 拿不到 `DevToolsActivePort`），
+* 看起来像超时、实际是启动失败 ⇒ **别去调大那个超时**，那只会掩盖真问题。
+*
+* ## 为什么只给传输层
+*
+* sandbox 是浏览器里跑第三方网页代码时的进程隔离。**登录窗口会加载 DeepSeek 的真实页面、
+* 用户还在里面手动输密码** —— 关掉它的 sandbox 才是真正扩大攻击面。
+* 传输层只请求 `about:blank` + 发 HTTP、**不加载任何第三方页面**，
+* 所以关掉它的 sandbox 换来的收益（Linux/CI 可用）大于代价。
+*
+* ⚠️ 若哪天登录窗口也要在 Linux 上跑，应在这里按 `headless` 判定，
+* **而不是把 flag 挪进 `buildBrowserArgs`**（那会连带关掉登录窗口的）。
+*/
+function transportExtraArgs() {
+	return ["--no-sandbox"];
+}
 /** 解析 `<profile>/DevToolsActivePort`：第一行是端口；容忍 CRLF 与附带内容。 */
 function parseDevToolsActivePort(text) {
 	const first = String(text ?? "").split(/\r?\n/)[0]?.trim();
@@ -4676,6 +4699,7 @@ async function launchBrowserTransport() {
 		}
 		const child = spawn(browser.path, [
 			...buildBrowserArgs(PROFILE_DIR, "about:blank"),
+			...transportExtraArgs(),
 			"--headless=new",
 			"--disable-gpu",
 			"--disable-dev-shm-usage",
@@ -10911,7 +10935,7 @@ async function checkForUpdate(current, fetchImpl) {
 * 兜底常量与 package.json 的一致性由 `tests/check-smoke.mjs` 守着，不会漂。
 */
 /** 与 package.json 保持一致的兜底版本（由测试保证不会漂）。 */
-const FALLBACK_VERSION = "0.7.2";
+const FALLBACK_VERSION = "0.7.4";
 let cached;
 /** 本插件版本（如 `0.1.26`）。 */
 function pluginVersion() {