dsh-enhancement 1.1.0 → 1.1.1

package/lib/gateway.d.ts

@@ -19,6 +19,16 @@ export declare class Gateway {
     stop(): Promise<void>;
     restart(): Promise<void>;
     status(interfaces: NetworkInterfaceInfo[]): Status;
+    /**
+     * 请求是否携带有效的网关会话。
+     *
+     * 必须遍历**所有**同名 cookie，不能只看第一个：浏览器在 path / 域重叠、或
+     * 同一个地址先后被不同版本写入过时，Cookie 头里会出现多个同名项，顺序由浏览器
+     * 决定（通常按创建时间或 path 长度）。旧实现取 `find(...)` 的第一个，一旦过期
+     * 的旧 cookie 排在前面就永久认证失败 —— 表现为「密码正确、登录页刷新一下又回
+     * 到登录页，且不报密码错误」，用户无法自愈（除非手动清 cookie）。
+     * 现在任何一个值验签通过即视为已认证。
+     */
     private isAuthenticated;
     private isSameOrigin;
     private gatewayOrigin;

package/lib/gateway.js

@@ -343,12 +343,26 @@ export class Gateway {
     // -------------------------------------------------------------------------
     // 认证
     // -------------------------------------------------------------------------
+    /**
+     * 请求是否携带有效的网关会话。
+     *
+     * 必须遍历**所有**同名 cookie，不能只看第一个：浏览器在 path / 域重叠、或
+     * 同一个地址先后被不同版本写入过时，Cookie 头里会出现多个同名项，顺序由浏览器
+     * 决定（通常按创建时间或 path 长度）。旧实现取 `find(...)` 的第一个，一旦过期
+     * 的旧 cookie 排在前面就永久认证失败 —— 表现为「密码正确、登录页刷新一下又回
+     * 到登录页，且不报密码错误」，用户无法自愈（除非手动清 cookie）。
+     * 现在任何一个值验签通过即视为已认证。
+     */
     isAuthenticated(req) {
         if (!this.store.passwordSet)
             return false;
-        const cookies = parseCookies(req.headers.cookie);
-        const raw = cookies.find(([name]) => name === SESSION_COOKIE)?.[1];
-        return verifySession(this.store.gateSecret, raw) !== null;
+        for (const [name, value] of parseCookies(req.headers.cookie)) {
+            if (name !== SESSION_COOKIE)
+                continue;
+            if (verifySession(this.store.gateSecret, value) !== null)
+                return true;
+        }
+        return false;
     }
     isSameOrigin(req) {
         const host = req.headers.host;

package/lib/state.d.ts

@@ -129,7 +129,15 @@ export interface SessionPayload {
 export declare function signSession(secret: string, days: number): string;
 export declare function verifySession(secret: string, value: string | undefined): SessionPayload | null;
 export declare function sessionCookie(value: string, days: number, secure: boolean): string;
-export declare function clearSessionCookie(secure: boolean): string;
+/**
+ * 清空会话 cookie 的 Set-Cookie 头（返回**多条**）。
+ *
+ * 浏览器按 (name, domain, path) 三元组存 cookie：同一个名字挂在不同 path 下就是
+ * 不同条目，每个都会出现在同一条 Cookie 请求头里。历史版本或人工改动可能留下
+ * `/__enhancement` 等其它 path 的残值，只清 `Path=/` 清不掉它们；这些验签失败的
+ * 死值会让请求携带多份同名 cookie（见 Gateway#isAuthenticated 的注释）。
+ */
+export declare function clearSessionCookie(secure: boolean): string[];
 export declare function requestAuthority(host: string, protocol: 'http:' | 'https:'): string;
 export declare function mintDshCookie(secret: Buffer, authority: string, ttlMs: number): string;
 export declare function readDshSecret(ctx: {

package/lib/state.js

@@ -323,8 +323,17 @@ export function sessionCookie(value, days, secure) {
         attrs.push('Secure');
     return attrs.join('; ');
 }
+/**
+ * 清空会话 cookie 的 Set-Cookie 头（返回**多条**）。
+ *
+ * 浏览器按 (name, domain, path) 三元组存 cookie：同一个名字挂在不同 path 下就是
+ * 不同条目，每个都会出现在同一条 Cookie 请求头里。历史版本或人工改动可能留下
+ * `/__enhancement` 等其它 path 的残值，只清 `Path=/` 清不掉它们；这些验签失败的
+ * 死值会让请求携带多份同名 cookie（见 Gateway#isAuthenticated 的注释）。
+ */
 export function clearSessionCookie(secure) {
-    return `${SESSION_COOKIE}=; Max-Age=0; Path=/; HttpOnly; SameSite=Strict${secure ? '; Secure' : ''}`;
+    const tail = `Max-Age=0; HttpOnly; SameSite=Strict${secure ? '; Secure' : ''}`;
+    return ['/', '/__enhancement', '/__enhancement/login'].map((path) => `${SESSION_COOKIE}=; Path=${path}; ${tail}`);
 }
 // ---------------------------------------------------------------------------
 // DSH 会话 cookie 签发（与 @deepseek-ai/dsh-client-connection 的 v1 格式一致）

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-enhancement",
-  "version": "1.1.0",
+  "version": "1.1.1",
   "description": "DSH 增强套件：远程安全访问网关（密码/HTTPS）、PWA 安装与图标、桌面通知与 Web Push、会话请求头、设置页。",
   "type": "module",
   "main": "./lib/index.js",
@@ -48,12 +48,12 @@
   },
   "devDependencies": {
     "@types/node": "^22.20.1",
-    "@types/react": "~18.3.12",
-    "react": "^18.2.0",
-    "typescript": "^6.0.3",
     "@types/node-forge": "^1.3.14",
     "@types/node-notifier": "^8.0.5",
-    "@types/web-push": "^3.6.4"
+    "@types/react": "~18.3.12",
+    "@types/web-push": "^3.6.4",
+    "react": "^18.2.0",
+    "typescript": "^6.0.3"
   },
   "engines": {
     "node": ">=22.18.0"
@@ -74,10 +74,10 @@
     "deepseek"
   ],
   "dependencies": {
+    "dsh-vertical-layout": "^1.1.0",
+    "dsh-web-mobile": "^3.1.0",
     "node-forge": "^1.4.0",
     "node-notifier": "^11.0.0",
-    "web-push": "^3.6.7",
-    "dsh-web-mobile": "^3.1.0",
-    "dsh-vertical-layout": "^1.1.0"
+    "web-push": "^3.6.7"
   }
 }

package/src/gateway.ts

@@ -368,11 +368,23 @@ export class Gateway {
   // 认证
   // -------------------------------------------------------------------------
 
+  /**
+   * 请求是否携带有效的网关会话。
+   *
+   * 必须遍历**所有**同名 cookie，不能只看第一个：浏览器在 path / 域重叠、或
+   * 同一个地址先后被不同版本写入过时，Cookie 头里会出现多个同名项，顺序由浏览器
+   * 决定（通常按创建时间或 path 长度）。旧实现取 `find(...)` 的第一个，一旦过期
+   * 的旧 cookie 排在前面就永久认证失败 —— 表现为「密码正确、登录页刷新一下又回
+   * 到登录页，且不报密码错误」，用户无法自愈（除非手动清 cookie）。
+   * 现在任何一个值验签通过即视为已认证。
+   */
   private isAuthenticated(req: IncomingMessage): boolean {
     if (!this.store.passwordSet) return false
-    const cookies = parseCookies(req.headers.cookie)
-    const raw = cookies.find(([name]) => name === SESSION_COOKIE)?.[1]
-    return verifySession(this.store.gateSecret, raw) !== null
+    for (const [name, value] of parseCookies(req.headers.cookie)) {
+      if (name !== SESSION_COOKIE) continue
+      if (verifySession(this.store.gateSecret, value) !== null) return true
+    }
+    return false
   }
 
   private isSameOrigin(req: IncomingMessage): boolean {

package/src/state.ts

@@ -424,8 +424,19 @@ export function sessionCookie(value: string, days: number, secure: boolean): str
   return attrs.join('; ')
 }
 
-export function clearSessionCookie(secure: boolean): string {
-  return `${SESSION_COOKIE}=; Max-Age=0; Path=/; HttpOnly; SameSite=Strict${secure ? '; Secure' : ''}`
+/**
+ * 清空会话 cookie 的 Set-Cookie 头（返回**多条**）。
+ *
+ * 浏览器按 (name, domain, path) 三元组存 cookie：同一个名字挂在不同 path 下就是
+ * 不同条目，每个都会出现在同一条 Cookie 请求头里。历史版本或人工改动可能留下
+ * `/__enhancement` 等其它 path 的残值，只清 `Path=/` 清不掉它们；这些验签失败的
+ * 死值会让请求携带多份同名 cookie（见 Gateway#isAuthenticated 的注释）。
+ */
+export function clearSessionCookie(secure: boolean): string[] {
+  const tail = `Max-Age=0; HttpOnly; SameSite=Strict${secure ? '; Secure' : ''}`
+  return ['/', '/__enhancement', '/__enhancement/login'].map(
+    (path) => `${SESSION_COOKIE}=; Path=${path}; ${tail}`,
+  )
 }
 
 // ---------------------------------------------------------------------------

package/test/gateway-auth.test.mjs

@@ -0,0 +1,149 @@
+// 网关会话认证的回归测试。
+//
+// 覆盖两个真实缺陷（与任何 PWA / 样式改动无关，属独立 bug 修复）：
+//
+// 1. **同名 cookie 只读第一个**：浏览器按 (name, domain, path) 存 cookie，重复项
+//    顺序由浏览器决定。旧实现用 `find()` 取第一个，一旦过期的旧值排在前面就永久
+//    认证失败 —— 表现是「密码正确、刷新又回登录页，且不报密码错误」，用户无法
+//    自愈（除非手动清 cookie）。
+//
+// 2. **清除 cookie 只清 Path=/**：`/__enhancement` 等其它 path 上的残值清不掉，
+//    它们会一直跟着每个请求，让上面的问题复现。
+//
+// 运行：node --test test/gateway-auth.test.mjs
+import { test } from 'node:test'
+import assert from 'node:assert/strict'
+import {
+  clearSessionCookie,
+  sessionCookie,
+  signSession,
+  verifySession,
+  SESSION_COOKIE,
+} from '../lib/state.js'
+
+const SECRET = Buffer.from('test-gate-secret-0123456789abcdef').toString('base64url')
+
+/** 复刻网关的 cookie 解析：保序、保留重复项。 */
+function parseCookies(header) {
+  if (!header) return []
+  const out = []
+  for (const segment of header.split(';')) {
+    const at = segment.indexOf('=')
+    if (at === -1) continue
+    const name = segment.slice(0, at).trim()
+    if (!name) continue
+    out.push([name, segment.slice(at + 1).trim()])
+  }
+  return out
+}
+
+/** 修复后的判定（与 Gateway#isAuthenticated 一致）：任一同名项验签通过即认证。 */
+function isAuthenticated(header) {
+  for (const [name, value] of parseCookies(header)) {
+    if (name !== SESSION_COOKIE) continue
+    if (verifySession(SECRET, value) !== null) return true
+  }
+  return false
+}
+
+/** 修复前的行为：只看第一个同名项。仅用于证明用例抓得住回归。 */
+function isAuthenticatedLegacy(header) {
+  const raw = parseCookies(header).find(([name]) => name === SESSION_COOKIE)?.[1]
+  return verifySession(SECRET, raw) !== null
+}
+
+// ---------------------------------------------------------------------------
+// 1. 核心回归：同名 cookie 的顺序不能决定认证结果
+// ---------------------------------------------------------------------------
+
+test('Cookie 头里有多个同名项时，任意一个有效即认证通过', () => {
+  const valid = signSession(SECRET, 30)
+  const bogus = `${SESSION_COOKIE}=v1.bogus.sig`
+  const good = `${SESSION_COOKIE}=${valid}`
+
+  for (const header of [`${bogus}; ${good}`, `${good}; ${bogus}`, good]) {
+    assert.equal(
+      isAuthenticated(header),
+      true,
+      `应通过：${header.replace(valid, '<valid>')}`,
+    )
+  }
+})
+
+test('回归护栏：旧实现（只取第一个同名 cookie）在坏值排前时失败', () => {
+  const valid = signSession(SECRET, 30)
+  const staleFirst = `${SESSION_COOKIE}=v1.bogus.sig; ${SESSION_COOKIE}=${valid}`
+
+  // 这条断言是「测试有效性」的证明：它红了说明回归被引入。
+  assert.equal(isAuthenticatedLegacy(staleFirst), false, '旧实现应失败（证明用例有效）')
+  assert.equal(isAuthenticated(staleFirst), true, '新实现应通过')
+})
+
+test('全部无效时仍然拒绝（遍历不能放宽认证）', () => {
+  for (const header of [
+    `${SESSION_COOKIE}=v1.bogus.sig`,
+    `${SESSION_COOKIE}=v1.bogus.sig; ${SESSION_COOKIE}=v1.other.sig`,
+    `${SESSION_COOKIE}=`,
+    '',
+    'other=1',
+  ]) {
+    assert.equal(isAuthenticated(header), false, `应拒绝：${JSON.stringify(header)}`)
+  }
+})
+
+test('过期会话即使验签合法也拒绝', () => {
+  assert.equal(isAuthenticated(`${SESSION_COOKIE}=${signSession(SECRET, -1)}`), false)
+})
+
+test('换一把密钥签出的会话不再有效（改密码后旧会话失效的机制）', () => {
+  const other = Buffer.from('another-gate-secret-value').toString('base64url')
+  assert.equal(isAuthenticated(`${SESSION_COOKIE}=${signSession(other, 30)}`), false)
+})
+
+// ---------------------------------------------------------------------------
+// 2. 清除 cookie 必须覆盖多个 path（否则残值永远清不掉）
+// ---------------------------------------------------------------------------
+
+test('clearSessionCookie 覆盖多个 path，且都是立即过期的空值', () => {
+  const headers = clearSessionCookie(false)
+  assert.ok(Array.isArray(headers), '应返回多条 Set-Cookie')
+  assert.ok(headers.length >= 2, `应覆盖至少 2 个 path，实际 ${headers.length}`)
+
+  const paths = headers.map((h) => (/Path=([^;]+)/.exec(h) ?? [])[1])
+  assert.ok(paths.includes('/'), '必须包含 Path=/')
+  assert.ok(paths.includes('/__enhancement'), '必须包含 /__enhancement（登录页残值）')
+
+  for (const header of headers) {
+    assert.match(header, new RegExp(`^${SESSION_COOKIE}=;`), '清除头必须是空值')
+    assert.match(header, /Max-Age=0/, '清除头必须立即过期')
+    assert.match(header, /HttpOnly/, '清除头必须保持 HttpOnly')
+  }
+})
+
+test('HTTPS 下的清除头必须带 Secure，否则浏览器拒绝覆盖', () => {
+  for (const header of clearSessionCookie(true)) assert.match(header, /; Secure/)
+  for (const header of clearSessionCookie(false)) assert.doesNotMatch(header, /; Secure/)
+})
+
+// ---------------------------------------------------------------------------
+// 3. 下发的新会话 cookie 属性
+// ---------------------------------------------------------------------------
+
+test('登录成功后下发的会话 cookie 属性正确', () => {
+  const token = signSession(SECRET, 30)
+  const header = sessionCookie(token, 30, false)
+  assert.match(header, new RegExp(`^${SESSION_COOKIE}=`))
+  assert.match(header, /Max-Age=2592000/, '30 天对应 2592000 秒')
+  assert.match(header, /Path=\//)
+  assert.match(header, /HttpOnly/)
+  assert.match(header, /SameSite=Strict/)
+  assert.doesNotMatch(header, /; Secure/)
+  assert.match(sessionCookie(token, 30, true), /; Secure/)
+})
+
+test('sessionDays 非正数时 Max-Age 仍为正（不退化成会话级 cookie）', () => {
+  const token = signSession(SECRET, 1)
+  for (const days of [0, -5]) {
+    assert.match(sessionCookie(token, days, false), /Max-Age=1(;|$)/)
+  }
+})