dsh-enhancement 1.1.2 → 1.2.0

package/README.en.md

@@ -27,6 +27,7 @@ Set a password, open the gateway URL, and log in to DSH without carrying around
 - Choose which network interface to listen on.
 - Works with normal DSH chat, files, terminal, WebSocket, and live streams.
 - Configurable login session lifetime; changing the password invalidates all gateway sessions.
+- The gateway session cookie name is scoped by protocol and port, so multiple profiles/gateways on the same host never overwrite each other; changing the port requires logging in again.
 
 ## HTTPS
 
@@ -105,7 +106,7 @@ Clicking a desktop notification opens the matching session. On Linux and Windows
 dsh plugin --profile web add dsh-enhancement
 ```
 
-Restart DSH Web after installation. The plugin brings in the mobile and portrait-layout dependencies automatically; do not install or enable them separately.
+Restart DSH Web after installation. The plugin brings in the portrait-layout dependency automatically; do not install or enable it separately.
 
 ## Getting started
 

package/README.md

@@ -27,6 +27,7 @@
 - 可以选择监听的网卡地址，默认只在你指定的地址上提供服务。
 - 支持 DSH 的正常聊天、文件、终端、WebSocket 和实时流，不只是静态页面。
 - 可以设置登录会话的有效期；修改密码后，所有已登录的网关会话都会失效。
+- 网关会话 cookie 名按「协议 + 端口」区分，同机多 profile / 多网关互不覆盖；换端口需重新登录。
 
 ## HTTPS
 
@@ -106,7 +107,7 @@ DSH 只在直连官方 DeepSeek API 时发送 `x-deepseek-harness-session-id`；
 dsh plugin --profile web add dsh-enhancement
 ```
 
-安装后重启 DSH Web。插件会自动带入手机布局和竖屏布局依赖，不需要再单独安装或启用它们。
+安装后重启 DSH Web。插件会自动带入竖屏布局依赖，不需要再单独安装或启用它。
 
 ## 开始使用
 

package/cordis.patch.yml

@@ -1,10 +1,8 @@
-# dsh-enhancement bundle patch：把本插件依赖的两个外部组件连同插件一起插入。
+# dsh-enhancement bundle patch：把本插件依赖的竖屏布局组件连同插件一起插入。
 # 状态保存在当前 profile 目录下 fengyifan-dsh-enhancement/（state.json 0600）。
 # 是否监听网关端口由设置页控制。
 - insert:
     - id: vertical-layout
       name: dsh-vertical-layout
-    - id: dsh-web-mobile
-      name: dsh-web-mobile
     - id: dsh-enhancement
       name: dsh-enhancement

package/lib/gateway.d.ts

@@ -11,6 +11,8 @@ export declare class Gateway {
     private dshSecretTimer;
     private secure;
     private failures;
+    /** 本实例专属会话 cookie 名（协议 + 端口）。按当前实际监听状态推导：HTTPS 起失败回落 http 时名字也须是 http 变体。 */
+    private get sessionName();
     constructor(ctx: HostContextLike, store: StateStore);
     get running(): boolean;
     private log;

package/lib/gateway.js

@@ -13,7 +13,7 @@ import { createServer as createHttpsServer } from 'node:https';
 import { connect as netConnect } from 'node:net';
 import { URL } from 'node:url';
 import { dirname } from 'node:path';
-import { SESSION_COOKIE, clearSessionCookie, formatHost, mintDshCookie, readDshSecret, requestAuthority, sessionCookie, signSession, verifySession, } from './state.js';
+import { SESSION_COOKIE_ALT, SESSION_COOKIE_LEGACY, clearSessionCookie, formatHost, mintDshCookie, readDshSecret, requestAuthority, sessionCookie, sessionCookieName, signSession, verifySession, } from './state.js';
 import { caCertificatePem, prepareTls, tlsStatus } from './tls.js';
 const LOGIN_WINDOW_MS = 10 * 60 * 1000;
 const LOGIN_LOCK_MS = 60 * 1000;
@@ -131,6 +131,11 @@ export class Gateway {
     dshSecretTimer = null;
     secure = false;
     failures = new Map();
+    /** 本实例专属会话 cookie 名（协议 + 端口）。按当前实际监听状态推导：HTTPS 起失败回落 http 时名字也须是 http 变体。 */
+    get sessionName() {
+        const protocol = this.secure ? 'https:' : 'http:';
+        return sessionCookieName(protocol, this.store.config.port);
+    }
     constructor(ctx, store) {
         this.ctx = ctx;
         this.store = store;
@@ -362,8 +367,9 @@ export class Gateway {
     isAuthenticated(req) {
         if (!this.store.passwordSet)
             return false;
+        const accepted = new Set([this.sessionName, SESSION_COOKIE_LEGACY, SESSION_COOKIE_ALT]);
         for (const [name, value] of parseCookies(req.headers.cookie)) {
-            if (name !== SESSION_COOKIE)
+            if (!accepted.has(name))
                 continue;
             if (verifySession(this.store.gateSecret, value) !== null)
                 return true;
@@ -483,7 +489,7 @@ export class Gateway {
         if (path === '/__enhancement/logout') {
             res.writeHead(303, {
                 location: '/__enhancement/login',
-                'set-cookie': clearSessionCookie(this.secure),
+                'set-cookie': clearSessionCookie(this.sessionName, this.secure),
                 'cache-control': 'no-store',
             });
             res.end();
@@ -585,7 +591,10 @@ export class Gateway {
         const token = signSession(this.store.gateSecret, this.store.config.sessionDays);
         res.writeHead(303, {
             location: next,
-            'set-cookie': sessionCookie(token, this.store.config.sessionDays, this.secure),
+            'set-cookie': [
+                ...clearSessionCookie(this.sessionName, this.secure),
+                ...sessionCookie(this.sessionName, token, this.store.config.sessionDays, this.secure),
+            ],
             'cache-control': 'no-store',
         });
         res.end();

package/lib/state.d.ts

@@ -71,7 +71,21 @@ export interface CredentialRecordLike {
 export interface CredentialsLike {
     readRecord(key: string): Promise<CredentialRecordLike | undefined>;
 }
-export declare const SESSION_COOKIE = "dsh_enhancement_session";
+/**
+ * 会话 cookie 名的前缀。实际名字会带「协议 + 端口」后缀，见 {@link sessionCookieName}。
+ * 浏览器 cookie 身份只有 (name, domain, path)、不含端口；固定名会让同机不同端口
+ * （DSH 主服务 / 本网关 / 另一个 profile 的网关）共用一份 cookie 存储而互相覆盖。
+ */
+export declare const SESSION_COOKIE_PREFIX = "dsh_enhancement_session";
+/**
+ * 组装实例专属会话 cookie 名：https→s、http→i，后缀接端口；只用 RFC6265 token 允许的
+ * [A-Za-z0-9_-]。非法端口退回 'd'。例：dsh_enhancement_session_s3088。
+ */
+export declare function sessionCookieName(protocol: 'http:' | 'https:', port: number): string;
+/** 升级前的固定名：仅用于「读取旧会话」和「清除残值」，新会话一律写实例专属名。 */
+export declare const SESSION_COOKIE_LEGACY = "dsh_enhancement_session";
+/** 历史调试期用过的备用固定名，一并接受与清理。 */
+export declare const SESSION_COOKIE_ALT = "dsh_enhancement_sid";
 export declare const DSH_HOME: string;
 export declare const PROFILE_NAME: string;
 export declare const PROFILE_DIR: string;
@@ -128,7 +142,7 @@ export interface SessionPayload {
 }
 export declare function signSession(secret: string, days: number): string;
 export declare function verifySession(secret: string, value: string | undefined): SessionPayload | null;
-export declare function sessionCookie(value: string, days: number, secure: boolean): string;
+export declare function sessionCookie(name: string, value: string, days: number, secure: boolean): string[];
 /**
  * 清空会话 cookie 的 Set-Cookie 头（返回**多条**）。
  *
@@ -137,7 +151,7 @@ export declare function sessionCookie(value: string, days: number, secure: boole
  * `/__enhancement` 等其它 path 的残值，只清 `Path=/` 清不掉它们；这些验签失败的
  * 死值会让请求携带多份同名 cookie（见 Gateway#isAuthenticated 的注释）。
  */
-export declare function clearSessionCookie(secure: boolean): string[];
+export declare function clearSessionCookie(currentName: string, secure: boolean): string[];
 export declare function requestAuthority(host: string, protocol: 'http:' | 'https:'): string;
 export declare function mintDshCookie(secret: Buffer, authority: string, ttlMs: number): string;
 export declare function readDshSecret(ctx: {

package/lib/state.js

@@ -16,7 +16,25 @@ const SCRYPT_R = 8;
 const SCRYPT_P = 1;
 const KEY_BYTES = 64;
 const SECRET_BYTES = 32;
-export const SESSION_COOKIE = 'dsh_enhancement_session';
+/**
+ * 会话 cookie 名的前缀。实际名字会带「协议 + 端口」后缀，见 {@link sessionCookieName}。
+ * 浏览器 cookie 身份只有 (name, domain, path)、不含端口；固定名会让同机不同端口
+ * （DSH 主服务 / 本网关 / 另一个 profile 的网关）共用一份 cookie 存储而互相覆盖。
+ */
+export const SESSION_COOKIE_PREFIX = 'dsh_enhancement_session';
+/**
+ * 组装实例专属会话 cookie 名：https→s、http→i，后缀接端口；只用 RFC6265 token 允许的
+ * [A-Za-z0-9_-]。非法端口退回 'd'。例：dsh_enhancement_session_s3088。
+ */
+export function sessionCookieName(protocol, port) {
+    const scheme = protocol === 'https:' ? 's' : 'i';
+    const safePort = Number.isInteger(port) && port > 0 && port <= 65535 ? port : 'd';
+    return `${SESSION_COOKIE_PREFIX}_${scheme}${safePort}`;
+}
+/** 升级前的固定名：仅用于「读取旧会话」和「清除残值」，新会话一律写实例专属名。 */
+export const SESSION_COOKIE_LEGACY = SESSION_COOKIE_PREFIX;
+/** 历史调试期用过的备用固定名，一并接受与清理。 */
+export const SESSION_COOKIE_ALT = 'dsh_enhancement_sid';
 export const DSH_HOME = process.env.DSH_HOME || join(homedir(), '.dsh');
 /** 从 CLI 参数解析当前 profile；systemd 默认 web。 */
 function activeProfileName() {
@@ -320,17 +338,10 @@ export function verifySession(secret, value) {
         return null;
     }
 }
-export function sessionCookie(value, days, secure) {
-    const attrs = [
-        `${SESSION_COOKIE}=${value}`,
-        `Max-Age=${Math.max(1, Math.floor(days * 86400))}`,
-        'Path=/',
-        'HttpOnly',
-        'SameSite=Strict',
-    ];
-    if (secure)
-        attrs.push('Secure');
-    return attrs.join('; ');
+export function sessionCookie(name, value, days, secure) {
+    const maxAge = Math.max(1, Math.floor(days * 86400));
+    const tail = `Max-Age=${maxAge}; Path=/; HttpOnly; SameSite=Strict${secure ? '; Secure' : ''}`;
+    return [`${name}=${value}; ${tail}`];
 }
 /**
  * 清空会话 cookie 的 Set-Cookie 头（返回**多条**）。
@@ -340,9 +351,16 @@ export function sessionCookie(value, days, secure) {
  * `/__enhancement` 等其它 path 的残值，只清 `Path=/` 清不掉它们；这些验签失败的
  * 死值会让请求携带多份同名 cookie（见 Gateway#isAuthenticated 的注释）。
  */
-export function clearSessionCookie(secure) {
+export function clearSessionCookie(currentName, secure) {
     const tail = `Max-Age=0; HttpOnly; SameSite=Strict${secure ? '; Secure' : ''}`;
-    return ['/', '/__enhancement', '/__enhancement/login'].map((path) => `${SESSION_COOKIE}=; Path=${path}; ${tail}`);
+    const names = [...new Set([currentName, SESSION_COOKIE_LEGACY, SESSION_COOKIE_ALT])];
+    const out = [];
+    for (const name of names) {
+        for (const path of ['/', '/__enhancement', '/__enhancement/login']) {
+            out.push(`${name}=; Path=${path}; ${tail}`);
+        }
+    }
+    return out;
 }
 // ---------------------------------------------------------------------------
 // DSH 会话 cookie 签发（与 @deepseek-ai/dsh-client-connection 的 v1 格式一致）

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-enhancement",
-  "version": "1.1.2",
+  "version": "1.2.0",
   "description": "DSH 增强套件：远程安全访问网关（密码/HTTPS）、PWA 安装与图标、桌面通知与 Web Push、会话请求头、设置页。",
   "type": "module",
   "main": "./lib/index.js",
@@ -75,7 +75,6 @@
   ],
   "dependencies": {
     "dsh-vertical-layout": "^1.1.0",
-    "dsh-web-mobile": "^3.1.0",
     "node-forge": "^1.4.0",
     "node-notifier": "^11.0.0",
     "web-push": "^3.6.7"

package/src/gateway.ts

@@ -14,7 +14,8 @@ import { connect as netConnect, type Socket } from 'node:net'
 import { URL } from 'node:url'
 import { dirname } from 'node:path'
 import {
-  SESSION_COOKIE,
+  SESSION_COOKIE_ALT,
+  SESSION_COOKIE_LEGACY,
   StateStore,
   clearSessionCookie,
   formatHost,
@@ -22,6 +23,7 @@ import {
   readDshSecret,
   requestAuthority,
   sessionCookie,
+  sessionCookieName,
   signSession,
   verifySession,
 } from './state.js'
@@ -156,6 +158,12 @@ export class Gateway {
   private secure = false
   private failures = new Map<string, LoginFailure>()
 
+  /** 本实例专属会话 cookie 名（协议 + 端口）。按当前实际监听状态推导：HTTPS 起失败回落 http 时名字也须是 http 变体。 */
+  private get sessionName(): string {
+    const protocol = this.secure ? 'https:' : 'http:'
+    return sessionCookieName(protocol, this.store.config.port)
+  }
+
   constructor(
     private readonly ctx: HostContextLike,
     private readonly store: StateStore,
@@ -385,8 +393,9 @@ export class Gateway {
    */
   private isAuthenticated(req: IncomingMessage): boolean {
     if (!this.store.passwordSet) return false
+    const accepted = new Set([this.sessionName, SESSION_COOKIE_LEGACY, SESSION_COOKIE_ALT])
     for (const [name, value] of parseCookies(req.headers.cookie)) {
-      if (name !== SESSION_COOKIE) continue
+      if (!accepted.has(name)) continue
       if (verifySession(this.store.gateSecret, value) !== null) return true
     }
     return false
@@ -498,7 +507,7 @@ export class Gateway {
     if (path === '/__enhancement/logout') {
       res.writeHead(303, {
         location: '/__enhancement/login',
-        'set-cookie': clearSessionCookie(this.secure),
+        'set-cookie': clearSessionCookie(this.sessionName, this.secure),
         'cache-control': 'no-store',
       })
       res.end()
@@ -606,7 +615,10 @@ export class Gateway {
     const token = signSession(this.store.gateSecret, this.store.config.sessionDays)
     res.writeHead(303, {
       location: next,
-      'set-cookie': sessionCookie(token, this.store.config.sessionDays, this.secure),
+      'set-cookie': [
+        ...clearSessionCookie(this.sessionName, this.secure),
+        ...sessionCookie(this.sessionName, token, this.store.config.sessionDays, this.secure),
+      ],
       'cache-control': 'no-store',
     })
     res.end()

package/src/state.ts

@@ -94,7 +94,28 @@ const SCRYPT_P = 1
 const KEY_BYTES = 64
 const SECRET_BYTES = 32
 
-export const SESSION_COOKIE = 'dsh_enhancement_session'
+/**
+ * 会话 cookie 名的前缀。实际名字会带「协议 + 端口」后缀，见 {@link sessionCookieName}。
+ * 浏览器 cookie 身份只有 (name, domain, path)、不含端口；固定名会让同机不同端口
+ * （DSH 主服务 / 本网关 / 另一个 profile 的网关）共用一份 cookie 存储而互相覆盖。
+ */
+export const SESSION_COOKIE_PREFIX = 'dsh_enhancement_session'
+
+/**
+ * 组装实例专属会话 cookie 名：https→s、http→i，后缀接端口；只用 RFC6265 token 允许的
+ * [A-Za-z0-9_-]。非法端口退回 'd'。例：dsh_enhancement_session_s3088。
+ */
+export function sessionCookieName(protocol: 'http:' | 'https:', port: number): string {
+  const scheme = protocol === 'https:' ? 's' : 'i'
+  const safePort = Number.isInteger(port) && port > 0 && port <= 65535 ? port : 'd'
+  return `${SESSION_COOKIE_PREFIX}_${scheme}${safePort}`
+}
+
+/** 升级前的固定名：仅用于「读取旧会话」和「清除残值」，新会话一律写实例专属名。 */
+export const SESSION_COOKIE_LEGACY = SESSION_COOKIE_PREFIX
+
+/** 历史调试期用过的备用固定名，一并接受与清理。 */
+export const SESSION_COOKIE_ALT = 'dsh_enhancement_sid'
 export const DSH_HOME = process.env.DSH_HOME || join(homedir(), '.dsh')
 
 /** 从 CLI 参数解析当前 profile；systemd 默认 web。 */
@@ -420,16 +441,10 @@ export function verifySession(secret: string, value: string | undefined): Sessio
   }
 }
 
-export function sessionCookie(value: string, days: number, secure: boolean): string {
-  const attrs = [
-    `${SESSION_COOKIE}=${value}`,
-    `Max-Age=${Math.max(1, Math.floor(days * 86400))}`,
-    'Path=/',
-    'HttpOnly',
-    'SameSite=Strict',
-  ]
-  if (secure) attrs.push('Secure')
-  return attrs.join('; ')
+export function sessionCookie(name: string, value: string, days: number, secure: boolean): string[] {
+  const maxAge = Math.max(1, Math.floor(days * 86400))
+  const tail = `Max-Age=${maxAge}; Path=/; HttpOnly; SameSite=Strict${secure ? '; Secure' : ''}`
+  return [`${name}=${value}; ${tail}`]
 }
 
 /**
@@ -440,11 +455,16 @@ export function sessionCookie(value: string, days: number, secure: boolean): str
  * `/__enhancement` 等其它 path 的残值，只清 `Path=/` 清不掉它们；这些验签失败的
  * 死值会让请求携带多份同名 cookie（见 Gateway#isAuthenticated 的注释）。
  */
-export function clearSessionCookie(secure: boolean): string[] {
+export function clearSessionCookie(currentName: string, secure: boolean): string[] {
   const tail = `Max-Age=0; HttpOnly; SameSite=Strict${secure ? '; Secure' : ''}`
-  return ['/', '/__enhancement', '/__enhancement/login'].map(
-    (path) => `${SESSION_COOKIE}=; Path=${path}; ${tail}`,
-  )
+  const names = [...new Set([currentName, SESSION_COOKIE_LEGACY, SESSION_COOKIE_ALT])]
+  const out: string[] = []
+  for (const name of names) {
+    for (const path of ['/', '/__enhancement', '/__enhancement/login']) {
+      out.push(`${name}=; Path=${path}; ${tail}`)
+    }
+  }
+  return out
 }
 
 // ---------------------------------------------------------------------------

package/test/gateway-auth.test.mjs

@@ -1,14 +1,16 @@
-// 网关会话认证的回归测试。
+// 网关会话 cookie 的回归测试。
 //
-// 覆盖两个真实缺陷（与任何 PWA / 样式改动无关，属独立 bug 修复）：
+// 覆盖 2026-10-24 真机报障：「密码正确、点进入 DSH 后停在登录页，且不提示密码错误」。
 //
-// 1. **同名 cookie 只读第一个**：浏览器按 (name, domain, path) 存 cookie，重复项
-//    顺序由浏览器决定。旧实现用 `find()` 取第一个，一旦过期的旧值排在前面就永久
-//    认证失败 —— 表现是「密码正确、刷新又回登录页，且不报密码错误」，用户无法
-//    自愈（除非手动清 cookie）。
-//
-// 2. **清除 cookie 只清 Path=/**：`/__enhancement` 等其它 path 上的残值清不掉，
-//    它们会一直跟着每个请求，让上面的问题复现。
+// 两代根因，都在这里钉住：
+// 1. 认证只看**第一个**同名 cookie。浏览器按 (name, domain, path) 存 cookie，重复项
+//    顺序由浏览器决定，坏值排前面就永久认证失败。
+// 2. 会话 cookie 名是**固定**的。HTTP cookie 身份不含端口，于是同一 IP 上的不同
+//    端口（DSH 主服务 / 本网关 / 另一个 profile 的网关）共用一份存储：
+//    - 换端口后旧会话仍被带上（本该重新登录却没有）；
+//    - 混用协议时更糟：https 端口留下的 Secure cookie 在 http 端口既不发送、也无法
+//      被非 Secure 的 Set-Cookie 覆盖 → 新会话永远存不住 → 反复退回登录页。
+//    现在名字带「协议 + 端口」后缀，每实例独立槽位。
 //
 // 运行：node --test test/gateway-auth.test.mjs
 import { test } from 'node:test'
@@ -16,9 +18,12 @@ import assert from 'node:assert/strict'
 import {
   clearSessionCookie,
   sessionCookie,
+  sessionCookieName,
   signSession,
   verifySession,
-  SESSION_COOKIE,
+  SESSION_COOKIE_ALT,
+  SESSION_COOKIE_LEGACY,
+  SESSION_COOKIE_PREFIX,
 } from '../lib/state.js'
 
 const SECRET = Buffer.from('test-gate-secret-0123456789abcdef').toString('base64url')
@@ -37,113 +42,179 @@ function parseCookies(header) {
   return out
 }
 
-/** 修复后的判定（与 Gateway#isAuthenticated 一致）：任一同名项验签通过即认证。 */
-function isAuthenticated(header) {
+/** 复刻修复后的判定：接受实例名与两个历史名，任一同名项验签通过即认证。 */
+function isAuthenticated(header, cookieName) {
+  const accepted = new Set([cookieName, SESSION_COOKIE_LEGACY, SESSION_COOKIE_ALT])
   for (const [name, value] of parseCookies(header)) {
-    if (name !== SESSION_COOKIE) continue
+    if (!accepted.has(name)) continue
     if (verifySession(SECRET, value) !== null) return true
   }
   return false
 }
 
-/** 修复前的行为：只看第一个同名项。仅用于证明用例抓得住回归。 */
+/** 修复前：固定名 + 只看第一个。仅用于证明用例抓得住回归。 */
 function isAuthenticatedLegacy(header) {
-  const raw = parseCookies(header).find(([name]) => name === SESSION_COOKIE)?.[1]
+  const raw = parseCookies(header).find(([name]) => name === SESSION_COOKIE_PREFIX)?.[1]
   return verifySession(SECRET, raw) !== null
 }
 
+const NAME = sessionCookieName('http:', 3089)
+
 // ---------------------------------------------------------------------------
-// 1. 核心回归：同名 cookie 的顺序不能决定认证结果
+// 1. 实例专属名：协议 + 端口进入名字
+// ---------------------------------------------------------------------------
+
+test('cookie 名带协议与端口后缀，不同实例互不冲突', () => {
+  const a = sessionCookieName('http:', 3089)
+  const b = sessionCookieName('http:', 3090)
+  const c = sessionCookieName('https:', 3089)
+
+  assert.notEqual(a, b, '不同端口必须是不同 cookie 名')
+  assert.notEqual(a, c, '不同协议必须是不同 cookie 名')
+  assert.ok(a.startsWith(SESSION_COOKIE_PREFIX), '必须保留可识别的前缀')
+  assert.ok(a.includes('3089'), '名字里要能看出端口')
+})
+
+test('cookie 名只用 RFC 6265 token 允许的字符（Safari 比 Chromium 严格）', () => {
+  for (const [proto, port] of [
+    ['http:', 80], ['http:', 3089], ['https:', 443], ['https:', 3088],
+  ]) {
+    const name = sessionCookieName(proto, port)
+    // token = 1*<any CHAR except CTLs or separators>；这里收紧到最常见的安全子集。
+    assert.match(name, /^[A-Za-z0-9_-]+$/, `${name} 含 RFC 6265 separator 字符`)
+  }
+})
+
+test('非法端口退回占位值而不是生成坏名字', () => {
+  for (const port of [0, -1, 70000, Number.NaN, 3.14]) {
+    const name = sessionCookieName('http:', port)
+    assert.match(name, /^[A-Za-z0-9_-]+$/, `${port} 生成了非法名 ${name}`)
+  }
+})
+
+// ---------------------------------------------------------------------------
+// 2. 端口隔离语义：换端口即换槽位（登录态自然失效）
+// ---------------------------------------------------------------------------
+
+test('在 3089 登录后，3089 的请求带着它，3090 不认', () => {
+  const token = signSession(SECRET, 30)
+  const name3089 = sessionCookieName('http:', 3089)
+  const cookieHeader = `${name3089}=${token}`
+
+  assert.equal(isAuthenticated(cookieHeader, name3089), true, '3089 自己的会话应通过')
+  assert.equal(
+    isAuthenticated(cookieHeader, sessionCookieName('http:', 3090)),
+    false,
+    '3090 不应接受 3089 的会话（换端口必须重新登录）',
+  )
+})
+
+test('同端口不同协议也不互通（http 的会话在 https 上无效）', () => {
+  const token = signSession(SECRET, 30)
+  const httpCookie = `${sessionCookieName('http:', 3089)}=${token}`
+  assert.equal(isAuthenticated(httpCookie, sessionCookieName('https:', 3089)), false)
+})
+
+// ---------------------------------------------------------------------------
+// 3. 同名重复项的顺序不能决定认证结果（第一代根因）
 // ---------------------------------------------------------------------------
 
 test('Cookie 头里有多个同名项时，任意一个有效即认证通过', () => {
   const valid = signSession(SECRET, 30)
-  const bogus = `${SESSION_COOKIE}=v1.bogus.sig`
-  const good = `${SESSION_COOKIE}=${valid}`
-
+  const bogus = `${NAME}=v1.bogus.sig`
+  const good = `${NAME}=${valid}`
   for (const header of [`${bogus}; ${good}`, `${good}; ${bogus}`, good]) {
-    assert.equal(
-      isAuthenticated(header),
-      true,
-      `应通过：${header.replace(valid, '<valid>')}`,
-    )
+    assert.equal(isAuthenticated(header, NAME), true)
   }
 })
 
-test('回归护栏：旧实现（只取第一个同名 cookie）在坏值排前时失败', () => {
+test('回归护栏：旧实现（固定名 + 只取第一个）在坏值排前时失败', () => {
   const valid = signSession(SECRET, 30)
-  const staleFirst = `${SESSION_COOKIE}=v1.bogus.sig; ${SESSION_COOKIE}=${valid}`
-
-  // 这条断言是「测试有效性」的证明：它红了说明回归被引入。
+  const staleFirst = `${SESSION_COOKIE_PREFIX}=v1.bogus.sig; ${SESSION_COOKIE_PREFIX}=${valid}`
   assert.equal(isAuthenticatedLegacy(staleFirst), false, '旧实现应失败（证明用例有效）')
-  assert.equal(isAuthenticated(staleFirst), true, '新实现应通过')
 })
 
-test('全部无效时仍然拒绝（遍历不能放宽认证）', () => {
+test('全部无效时仍然拒绝，且不认无关名字', () => {
   for (const header of [
-    `${SESSION_COOKIE}=v1.bogus.sig`,
-    `${SESSION_COOKIE}=v1.bogus.sig; ${SESSION_COOKIE}=v1.other.sig`,
-    `${SESSION_COOKIE}=`,
+    `${NAME}=v1.bogus.sig`,
+    `${NAME}=v1.a.sig; ${NAME}=v1.b.sig`,
+    `${NAME}=`,
     '',
     'other=1',
+    `not_ours_3089=${signSession(SECRET, 30)}`,
   ]) {
-    assert.equal(isAuthenticated(header), false, `应拒绝：${JSON.stringify(header)}`)
+    assert.equal(isAuthenticated(header, NAME), false, `应拒绝：${JSON.stringify(header)}`)
   }
 })
 
 test('过期会话即使验签合法也拒绝', () => {
-  assert.equal(isAuthenticated(`${SESSION_COOKIE}=${signSession(SECRET, -1)}`), false)
+  assert.equal(isAuthenticated(`${NAME}=${signSession(SECRET, -1)}`, NAME), false)
 })
 
 test('换一把密钥签出的会话不再有效（改密码后旧会话失效的机制）', () => {
   const other = Buffer.from('another-gate-secret-value').toString('base64url')
-  assert.equal(isAuthenticated(`${SESSION_COOKIE}=${signSession(other, 30)}`), false)
+  assert.equal(isAuthenticated(`${NAME}=${signSession(other, 30)}`, NAME), false)
 })
 
 // ---------------------------------------------------------------------------
-// 2. 清除 cookie 必须覆盖多个 path（否则残值永远清不掉）
+// 4. 升级兼容：旧固定名写入的会话仍被接受（不让老用户被迫重登）
 // ---------------------------------------------------------------------------
 
-test('clearSessionCookie 覆盖多个 path，且都是立即过期的空值', () => {
-  const headers = clearSessionCookie(false)
-  assert.ok(Array.isArray(headers), '应返回多条 Set-Cookie')
-  assert.ok(headers.length >= 2, `应覆盖至少 2 个 path，实际 ${headers.length}`)
-
-  const paths = headers.map((h) => (/Path=([^;]+)/.exec(h) ?? [])[1])
-  assert.ok(paths.includes('/'), '必须包含 Path=/')
-  assert.ok(paths.includes('/__enhancement'), '必须包含 /__enhancement（登录页残值）')
-
-  for (const header of headers) {
-    assert.match(header, new RegExp(`^${SESSION_COOKIE}=;`), '清除头必须是空值')
-    assert.match(header, /Max-Age=0/, '清除头必须立即过期')
-    assert.match(header, /HttpOnly/, '清除头必须保持 HttpOnly')
-  }
-})
-
-test('HTTPS 下的清除头必须带 Secure，否则浏览器拒绝覆盖', () => {
-  for (const header of clearSessionCookie(true)) assert.match(header, /; Secure/)
-  for (const header of clearSessionCookie(false)) assert.doesNotMatch(header, /; Secure/)
+test('升级前用旧固定名写入的会话仍然有效', () => {
+  const token = signSession(SECRET, 30)
+  assert.equal(isAuthenticated(`${SESSION_COOKIE_LEGACY}=${token}`, NAME), true)
+  assert.equal(isAuthenticated(`${SESSION_COOKIE_ALT}=${token}`, NAME), true)
 })
 
 // ---------------------------------------------------------------------------
-// 3. 下发的新会话 cookie 属性
+// 5. Set-Cookie 下发与清除
 // ---------------------------------------------------------------------------
 
-test('登录成功后下发的会话 cookie 属性正确', () => {
+test('登录成功时只写实例专属名（不再写固定名）', () => {
   const token = signSession(SECRET, 30)
-  const header = sessionCookie(token, 30, false)
-  assert.match(header, new RegExp(`^${SESSION_COOKIE}=`))
-  assert.match(header, /Max-Age=2592000/, '30 天对应 2592000 秒')
+  const headers = sessionCookie(NAME, token, 30, false)
+
+  assert.equal(headers.length, 1, '只下发一条，避免在别的端口留下可读槽位')
+  const header = headers[0]
+  assert.ok(header.startsWith(`${NAME}=`), `应写实例名，实际：${header}`)
+  assert.ok(header.includes(token))
+  assert.match(header, /Max-Age=2592000/)
   assert.match(header, /Path=\//)
   assert.match(header, /HttpOnly/)
   assert.match(header, /SameSite=Strict/)
   assert.doesNotMatch(header, /; Secure/)
-  assert.match(sessionCookie(token, 30, true), /; Secure/)
+  assert.match(sessionCookie(NAME, token, 30, true)[0], /; Secure/)
+})
+
+test('清除时覆盖实例名 + 两个历史名 × 多个 path', () => {
+  const headers = clearSessionCookie(NAME, false)
+  assert.ok(Array.isArray(headers))
+
+  const combos = headers.map((h) => ({
+    name: h.slice(0, h.indexOf('=')),
+    path: (/Path=([^;]+)/.exec(h) ?? [])[1],
+  }))
+
+  for (const name of [NAME, SESSION_COOKIE_LEGACY, SESSION_COOKIE_ALT]) {
+    const paths = combos.filter((c) => c.name === name).map((c) => c.path)
+    assert.ok(paths.includes('/'), `${name} 必须包含 Path=/`)
+    assert.ok(paths.includes('/__enhancement'), `${name} 必须包含 /__enhancement（登录页残值）`)
+  }
+  for (const header of headers) {
+    assert.match(header, /=\s*;/, '清除头必须是空值')
+    assert.match(header, /Max-Age=0/)
+    assert.match(header, /HttpOnly/)
+  }
+})
+
+test('HTTPS 下的清除头必须带 Secure，否则浏览器拒绝覆盖', () => {
+  for (const header of clearSessionCookie(NAME, true)) assert.match(header, /; Secure/)
+  for (const header of clearSessionCookie(NAME, false)) assert.doesNotMatch(header, /; Secure/)
 })
 
-test('sessionDays 非正数时 Max-Age 仍为正（不退化成会话级 cookie）', () => {
+test('sessionDays 非正数时 Max-Age 仍为正', () => {
   const token = signSession(SECRET, 1)
   for (const days of [0, -5]) {
-    assert.match(sessionCookie(token, days, false), /Max-Age=1(;|$)/)
+    assert.match(sessionCookie(NAME, token, days, false)[0], /Max-Age=1(;|$)/)
   }
 })