dsh-folia 3.7.0 → 3.8.0
This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.
- package/lib/client.js +1 -1
- package/lib/routes/skins.js +1074 -1032
- package/package.json +1 -1
package/lib/routes/skins.js
CHANGED
|
@@ -1,1032 +1,1074 @@
|
|
|
1
|
-
/**
|
|
2
|
-
* routes/skins.js — 「皮肤包」数据源：把**自建站点**上的皮肤包列出来、下下来、装上、切换。
|
|
3
|
-
*
|
|
4
|
-
* 与 `routes/inventory.js` 的站点数据源是**同一套思路**（自建站 = 唯一真源，宿主端代取，
|
|
5
|
-
* 浏览器不直连），但落地对象不同：那边是壁纸条目，这边是**整套皮肤包**。
|
|
6
|
-
*
|
|
7
|
-
* 为什么这件事可行而不是"另造一套皮肤引擎"：
|
|
8
|
-
* · 站点已经按市场同一格式产出索引（`<site>/skins/manifest.json`）与 zip
|
|
9
|
-
* （`<site>/skins/<id>.zip`），zip 内就是 `skin.json` + `skin.css` + `assets/`
|
|
10
|
-
* + `dsh-market.provenance.json`；
|
|
11
|
-
* · 本插件**不负责渲染** —— 皮肤中心（dsh-skin-center）读 `harness/skins/<id>/`
|
|
12
|
-
* 自己应用样式与 hooks。我们只做"取、验、落、切"四件事。
|
|
13
|
-
* · 所以皮肤中心的完整性校验仍会照常跑（provenance 在 zip 内原样带着，哈希没被动过）。
|
|
14
|
-
*
|
|
15
|
-
* 四个路由（全部 `${base}/skins` 前缀下，一条 prefix 注册）：
|
|
16
|
-
* GET /skins 索引 + 本机已装/在用状态（合并后下发，客户端一次拿全）
|
|
17
|
-
* POST /skins/install {id} 下载 → sha256 校验 → 解压到 harness/skins/<id>/
|
|
18
|
-
* POST /skins/activate {id} 写 harness/skin-center-active.json 的 `active`
|
|
19
|
-
* POST /skins/remove {id} 删目录（在用 / 不存在的拒绝）
|
|
20
|
-
*
|
|
21
|
-
* 纪律（与库存族同口径）：
|
|
22
|
-
* · 站点不可达**绝不影响**插件其他功能：索引失败返回 503 + 结构化错误，客户端显示"不可达"；
|
|
23
|
-
* · 每次下载都有上限（`SKIN_ZIP_MAX_BYTES`）与超时；
|
|
24
|
-
* · zip 解压是**纯 JS**（node:zlib）—— 不引入新依赖，也不 shell 出去调 Expand-Archive；
|
|
25
|
-
* · 解压路径做 zip-slip 防护：绝对路径、`..`、反斜杠、盘符一律拒绝；
|
|
26
|
-
* · 只认 `^[a-z0-9][a-z0-9-]*$` 的 id（索引来自远端，不能拿它当路径片段直接拼）。
|
|
27
|
-
*/
|
|
28
|
-
import { createHash } from 'node:crypto';
|
|
29
|
-
import { inflateRawSync } from 'node:zlib';
|
|
30
|
-
import {
|
|
31
|
-
cpSync, existsSync, mkdirSync, readFileSync, readdirSync, renameSync, rmSync, statSync, writeFileSync,
|
|
32
|
-
} from 'node:fs';
|
|
33
|
-
import { homedir } from 'node:os';
|
|
34
|
-
import { join, resolve, sep } from 'node:path';
|
|
35
|
-
import { sendJson } from '../json-response.js';
|
|
36
|
-
import { bodyReader } from '../http-body.js';
|
|
37
|
-
|
|
38
|
-
/* ── 站点 ────────────────────────────────────────────────────────────────── */
|
|
39
|
-
|
|
40
|
-
const SKINS_SITE = 'https://folia-major-3t6.pages.dev';
|
|
41
|
-
const SKINS_INDEX_PATH = '/skins/manifest.json';
|
|
42
|
-
const SKINS_TTL_MS = 60000;
|
|
43
|
-
const SKINS_TIMEOUT_MS = 8000;
|
|
44
|
-
/** 单个 zip 上限：站点上最大的是 8 MB 那套（whalechan-harness），留足余量。 */
|
|
45
|
-
const SKIN_ZIP_MAX_BYTES = 32 * 1024 * 1024;
|
|
46
|
-
/** 分卷拼接后的总上限（DIY 手账本 3 段合计约 67 MB，留余量）。 */
|
|
47
|
-
const SKIN_TOTAL_MAX_BYTES = 128 * 1024 * 1024;
|
|
48
|
-
const CONTROL_JSON_MAX_BYTES = 64 * 1024;
|
|
49
|
-
const ACTIVE_FILE = 'skin-center-active.json';
|
|
50
|
-
const SKINS_DIR_NAME = 'skins';
|
|
51
|
-
const ID_RE = /^[a-z0-9][a-z0-9-]*$/;
|
|
52
|
-
|
|
53
|
-
/** `DSH_FOLIA_SKINS_SITE` → 归一化基址；`off`/空串表示停用整条通道。 */
|
|
54
|
-
function skinsSiteBase() {
|
|
55
|
-
const raw = process.env.DSH_FOLIA_SKINS_SITE;
|
|
56
|
-
if (typeof raw === 'string' && raw.trim().toLowerCase() === 'off') return null;
|
|
57
|
-
const base = (typeof raw === 'string' && raw.trim()) ? raw.trim() : SKINS_SITE;
|
|
58
|
-
return base.replace(/\/+$/, '');
|
|
59
|
-
}
|
|
60
|
-
|
|
61
|
-
/**
|
|
62
|
-
* 皮肤中心是否已挂载（60s 缓存）。
|
|
63
|
-
*
|
|
64
|
-
* 判据只有它的路由：`/api/skin-center/v2/active` 存在 ⇒ 挂载（200 / 401 / 403 都算，
|
|
65
|
-
* 网关会先挡一层，401 恰恰证明路由注册过）；404 ⇒ 没装 / 没挂。
|
|
66
|
-
*
|
|
67
|
-
* 为什么要探测：我们不再假装能"完整应用皮肤"。皮肤中心在台时，应用动作应当交回它的
|
|
68
|
-
* 设置页（原生路径，100% 完整）；它不在时我们才用自建兜底，并把"可能不全"说出来。
|
|
69
|
-
*/
|
|
70
|
-
let skinCenterCache = { at: 0, mounted: false };
|
|
71
|
-
async function skinCenterMounted(origin, fwdHeaders) {
|
|
72
|
-
if (Date.now() - skinCenterCache.at < SKINS_TTL_MS) return skinCenterCache.mounted;
|
|
73
|
-
|
|
74
|
-
|
|
75
|
-
|
|
76
|
-
|
|
77
|
-
|
|
78
|
-
|
|
79
|
-
|
|
80
|
-
|
|
81
|
-
|
|
82
|
-
|
|
83
|
-
|
|
84
|
-
|
|
85
|
-
|
|
86
|
-
|
|
87
|
-
|
|
88
|
-
|
|
89
|
-
|
|
90
|
-
|
|
91
|
-
|
|
92
|
-
|
|
93
|
-
|
|
94
|
-
|
|
95
|
-
|
|
96
|
-
|
|
97
|
-
|
|
98
|
-
|
|
99
|
-
|
|
100
|
-
|
|
101
|
-
|
|
102
|
-
|
|
103
|
-
|
|
104
|
-
|
|
105
|
-
|
|
106
|
-
|
|
107
|
-
|
|
108
|
-
|
|
109
|
-
|
|
110
|
-
|
|
111
|
-
|
|
112
|
-
|
|
113
|
-
|
|
114
|
-
|
|
115
|
-
|
|
116
|
-
|
|
117
|
-
|
|
118
|
-
|
|
119
|
-
|
|
120
|
-
|
|
121
|
-
|
|
122
|
-
|
|
123
|
-
|
|
124
|
-
|
|
125
|
-
|
|
126
|
-
|
|
127
|
-
|
|
128
|
-
|
|
129
|
-
|
|
130
|
-
|
|
131
|
-
|
|
132
|
-
|
|
133
|
-
|
|
134
|
-
|
|
135
|
-
|
|
136
|
-
|
|
137
|
-
|
|
138
|
-
|
|
139
|
-
|
|
140
|
-
|
|
141
|
-
|
|
142
|
-
|
|
143
|
-
|
|
144
|
-
|
|
145
|
-
|
|
146
|
-
|
|
147
|
-
|
|
148
|
-
|
|
149
|
-
|
|
150
|
-
|
|
151
|
-
|
|
152
|
-
|
|
153
|
-
|
|
154
|
-
|
|
155
|
-
|
|
156
|
-
|
|
157
|
-
|
|
158
|
-
|
|
159
|
-
|
|
160
|
-
|
|
161
|
-
|
|
162
|
-
|
|
163
|
-
|
|
164
|
-
|
|
165
|
-
|
|
166
|
-
|
|
167
|
-
|
|
168
|
-
|
|
169
|
-
|
|
170
|
-
|
|
171
|
-
|
|
172
|
-
|
|
173
|
-
|
|
174
|
-
|
|
175
|
-
|
|
176
|
-
|
|
177
|
-
|
|
178
|
-
|
|
179
|
-
|
|
180
|
-
|
|
181
|
-
|
|
182
|
-
|
|
183
|
-
|
|
184
|
-
|
|
185
|
-
|
|
186
|
-
|
|
187
|
-
|
|
188
|
-
|
|
189
|
-
|
|
190
|
-
|
|
191
|
-
|
|
192
|
-
|
|
193
|
-
|
|
194
|
-
|
|
195
|
-
|
|
196
|
-
|
|
197
|
-
|
|
198
|
-
|
|
199
|
-
|
|
200
|
-
|
|
201
|
-
|
|
202
|
-
|
|
203
|
-
|
|
204
|
-
|
|
205
|
-
|
|
206
|
-
|
|
207
|
-
|
|
208
|
-
|
|
209
|
-
|
|
210
|
-
|
|
211
|
-
|
|
212
|
-
|
|
213
|
-
|
|
214
|
-
|
|
215
|
-
|
|
216
|
-
|
|
217
|
-
|
|
218
|
-
|
|
219
|
-
|
|
220
|
-
|
|
221
|
-
|
|
222
|
-
|
|
223
|
-
|
|
224
|
-
|
|
225
|
-
|
|
226
|
-
|
|
227
|
-
|
|
228
|
-
|
|
229
|
-
|
|
230
|
-
|
|
231
|
-
|
|
232
|
-
|
|
233
|
-
|
|
234
|
-
|
|
235
|
-
|
|
236
|
-
|
|
237
|
-
|
|
238
|
-
|
|
239
|
-
|
|
240
|
-
}
|
|
241
|
-
|
|
242
|
-
|
|
243
|
-
|
|
244
|
-
|
|
245
|
-
|
|
246
|
-
|
|
247
|
-
|
|
248
|
-
|
|
249
|
-
|
|
250
|
-
|
|
251
|
-
|
|
252
|
-
|
|
253
|
-
|
|
254
|
-
|
|
255
|
-
|
|
256
|
-
|
|
257
|
-
|
|
258
|
-
|
|
259
|
-
|
|
260
|
-
|
|
261
|
-
}
|
|
262
|
-
|
|
263
|
-
|
|
264
|
-
|
|
265
|
-
|
|
266
|
-
|
|
267
|
-
|
|
268
|
-
|
|
269
|
-
|
|
270
|
-
|
|
271
|
-
|
|
272
|
-
|
|
273
|
-
|
|
274
|
-
|
|
275
|
-
|
|
276
|
-
|
|
277
|
-
|
|
278
|
-
|
|
279
|
-
|
|
280
|
-
|
|
281
|
-
|
|
282
|
-
|
|
283
|
-
|
|
284
|
-
|
|
285
|
-
|
|
286
|
-
|
|
287
|
-
for (
|
|
288
|
-
if (
|
|
289
|
-
|
|
290
|
-
|
|
291
|
-
|
|
292
|
-
|
|
293
|
-
|
|
294
|
-
|
|
295
|
-
|
|
296
|
-
|
|
297
|
-
|
|
298
|
-
|
|
299
|
-
|
|
300
|
-
|
|
301
|
-
|
|
302
|
-
|
|
303
|
-
|
|
304
|
-
|
|
305
|
-
|
|
306
|
-
|
|
307
|
-
|
|
308
|
-
|
|
309
|
-
|
|
310
|
-
|
|
311
|
-
|
|
312
|
-
|
|
313
|
-
|
|
314
|
-
|
|
315
|
-
|
|
316
|
-
|
|
317
|
-
|
|
318
|
-
|
|
319
|
-
|
|
320
|
-
|
|
321
|
-
|
|
322
|
-
|
|
323
|
-
|
|
324
|
-
|
|
325
|
-
|
|
326
|
-
|
|
327
|
-
|
|
328
|
-
|
|
329
|
-
|
|
330
|
-
|
|
331
|
-
|
|
332
|
-
|
|
333
|
-
|
|
334
|
-
|
|
335
|
-
|
|
336
|
-
|
|
337
|
-
|
|
338
|
-
|
|
339
|
-
|
|
340
|
-
|
|
341
|
-
|
|
342
|
-
|
|
343
|
-
|
|
344
|
-
|
|
345
|
-
|
|
346
|
-
|
|
347
|
-
|
|
348
|
-
|
|
349
|
-
return
|
|
350
|
-
}
|
|
351
|
-
|
|
352
|
-
/* ──
|
|
353
|
-
|
|
354
|
-
|
|
355
|
-
|
|
356
|
-
*
|
|
357
|
-
|
|
358
|
-
|
|
359
|
-
|
|
360
|
-
const
|
|
361
|
-
|
|
362
|
-
|
|
363
|
-
|
|
364
|
-
|
|
365
|
-
|
|
366
|
-
|
|
367
|
-
|
|
368
|
-
|
|
369
|
-
|
|
370
|
-
|
|
371
|
-
|
|
372
|
-
|
|
373
|
-
|
|
374
|
-
|
|
375
|
-
|
|
376
|
-
|
|
377
|
-
|
|
378
|
-
|
|
379
|
-
|
|
380
|
-
|
|
381
|
-
|
|
382
|
-
|
|
383
|
-
|
|
384
|
-
|
|
385
|
-
|
|
386
|
-
|
|
387
|
-
|
|
388
|
-
|
|
389
|
-
|
|
390
|
-
|
|
391
|
-
|
|
392
|
-
|
|
393
|
-
|
|
394
|
-
|
|
395
|
-
|
|
396
|
-
|
|
397
|
-
|
|
398
|
-
|
|
399
|
-
|
|
400
|
-
|
|
401
|
-
|
|
402
|
-
|
|
403
|
-
|
|
404
|
-
|
|
405
|
-
|
|
406
|
-
|
|
407
|
-
|
|
408
|
-
|
|
409
|
-
|
|
410
|
-
|
|
411
|
-
|
|
412
|
-
|
|
413
|
-
|
|
414
|
-
|
|
415
|
-
|
|
416
|
-
|
|
417
|
-
|
|
418
|
-
|
|
419
|
-
|
|
420
|
-
|
|
421
|
-
|
|
422
|
-
|
|
423
|
-
|
|
424
|
-
|
|
425
|
-
|
|
426
|
-
|
|
427
|
-
|
|
428
|
-
|
|
429
|
-
|
|
430
|
-
|
|
431
|
-
|
|
432
|
-
|
|
433
|
-
|
|
434
|
-
|
|
435
|
-
|
|
436
|
-
|
|
437
|
-
|
|
438
|
-
|
|
439
|
-
|
|
440
|
-
|
|
441
|
-
|
|
442
|
-
|
|
443
|
-
|
|
444
|
-
|
|
445
|
-
|
|
446
|
-
|
|
447
|
-
|
|
448
|
-
|
|
449
|
-
|
|
450
|
-
|
|
451
|
-
|
|
452
|
-
|
|
453
|
-
|
|
454
|
-
|
|
455
|
-
|
|
456
|
-
|
|
457
|
-
|
|
458
|
-
|
|
459
|
-
|
|
460
|
-
|
|
461
|
-
|
|
462
|
-
|
|
463
|
-
|
|
464
|
-
|
|
465
|
-
|
|
466
|
-
|
|
467
|
-
|
|
468
|
-
|
|
469
|
-
|
|
470
|
-
|
|
471
|
-
|
|
472
|
-
|
|
473
|
-
|
|
474
|
-
|
|
475
|
-
|
|
476
|
-
|
|
477
|
-
|
|
478
|
-
|
|
479
|
-
|
|
480
|
-
|
|
481
|
-
|
|
482
|
-
|
|
483
|
-
|
|
484
|
-
|
|
485
|
-
|
|
486
|
-
|
|
487
|
-
|
|
488
|
-
|
|
489
|
-
|
|
490
|
-
|
|
491
|
-
|
|
492
|
-
|
|
493
|
-
|
|
494
|
-
|
|
495
|
-
|
|
496
|
-
|
|
497
|
-
|
|
498
|
-
|
|
499
|
-
|
|
500
|
-
|
|
501
|
-
|
|
502
|
-
}
|
|
503
|
-
|
|
504
|
-
|
|
505
|
-
|
|
506
|
-
|
|
507
|
-
const
|
|
508
|
-
|
|
509
|
-
|
|
510
|
-
|
|
511
|
-
|
|
512
|
-
|
|
513
|
-
|
|
514
|
-
|
|
515
|
-
|
|
516
|
-
|
|
517
|
-
|
|
518
|
-
|
|
519
|
-
|
|
520
|
-
|
|
521
|
-
|
|
522
|
-
|
|
523
|
-
|
|
524
|
-
|
|
525
|
-
|
|
526
|
-
|
|
527
|
-
|
|
528
|
-
|
|
529
|
-
|
|
530
|
-
|
|
531
|
-
|
|
532
|
-
|
|
533
|
-
|
|
534
|
-
|
|
535
|
-
|
|
536
|
-
|
|
537
|
-
|
|
538
|
-
|
|
539
|
-
|
|
540
|
-
|
|
541
|
-
|
|
542
|
-
|
|
543
|
-
|
|
544
|
-
|
|
545
|
-
|
|
546
|
-
|
|
547
|
-
|
|
548
|
-
|
|
549
|
-
|
|
550
|
-
|
|
551
|
-
|
|
552
|
-
|
|
553
|
-
|
|
554
|
-
|
|
555
|
-
|
|
556
|
-
|
|
557
|
-
if (
|
|
558
|
-
try {
|
|
559
|
-
|
|
560
|
-
|
|
561
|
-
|
|
562
|
-
|
|
563
|
-
|
|
564
|
-
|
|
565
|
-
|
|
566
|
-
|
|
567
|
-
|
|
568
|
-
|
|
569
|
-
|
|
570
|
-
|
|
571
|
-
|
|
572
|
-
|
|
573
|
-
|
|
574
|
-
|
|
575
|
-
|
|
576
|
-
|
|
577
|
-
|
|
578
|
-
|
|
579
|
-
|
|
580
|
-
|
|
581
|
-
|
|
582
|
-
|
|
583
|
-
|
|
584
|
-
|
|
585
|
-
|
|
586
|
-
|
|
587
|
-
|
|
588
|
-
|
|
589
|
-
|
|
590
|
-
|
|
591
|
-
return
|
|
592
|
-
|
|
593
|
-
|
|
594
|
-
|
|
595
|
-
|
|
596
|
-
|
|
597
|
-
|
|
598
|
-
|
|
599
|
-
|
|
600
|
-
|
|
601
|
-
|
|
602
|
-
|
|
603
|
-
|
|
604
|
-
|
|
605
|
-
|
|
606
|
-
|
|
607
|
-
}
|
|
608
|
-
|
|
609
|
-
|
|
610
|
-
|
|
611
|
-
|
|
612
|
-
|
|
613
|
-
|
|
614
|
-
|
|
615
|
-
|
|
616
|
-
|
|
617
|
-
|
|
618
|
-
|
|
619
|
-
|
|
620
|
-
|
|
621
|
-
|
|
622
|
-
|
|
623
|
-
|
|
624
|
-
|
|
625
|
-
|
|
626
|
-
|
|
627
|
-
|
|
628
|
-
|
|
629
|
-
|
|
630
|
-
|
|
631
|
-
|
|
632
|
-
|
|
633
|
-
|
|
634
|
-
|
|
635
|
-
|
|
636
|
-
|
|
637
|
-
|
|
638
|
-
|
|
639
|
-
|
|
640
|
-
|
|
641
|
-
|
|
642
|
-
|
|
643
|
-
const
|
|
644
|
-
const
|
|
645
|
-
if (
|
|
646
|
-
const
|
|
647
|
-
if (!
|
|
648
|
-
|
|
649
|
-
|
|
650
|
-
|
|
651
|
-
|
|
652
|
-
|
|
653
|
-
|
|
654
|
-
|
|
655
|
-
|
|
656
|
-
|
|
657
|
-
|
|
658
|
-
|
|
659
|
-
|
|
660
|
-
|
|
661
|
-
|
|
662
|
-
|
|
663
|
-
|
|
664
|
-
|
|
665
|
-
|
|
666
|
-
|
|
667
|
-
|
|
668
|
-
|
|
669
|
-
|
|
670
|
-
|
|
671
|
-
|
|
672
|
-
|
|
673
|
-
|
|
674
|
-
|
|
675
|
-
|
|
676
|
-
|
|
677
|
-
|
|
678
|
-
|
|
679
|
-
|
|
680
|
-
|
|
681
|
-
|
|
682
|
-
|
|
683
|
-
|
|
684
|
-
|
|
685
|
-
|
|
686
|
-
|
|
687
|
-
|
|
688
|
-
|
|
689
|
-
|
|
690
|
-
|
|
691
|
-
|
|
692
|
-
|
|
693
|
-
|
|
694
|
-
|
|
695
|
-
|
|
696
|
-
|
|
697
|
-
|
|
698
|
-
const
|
|
699
|
-
|
|
700
|
-
|
|
701
|
-
|
|
702
|
-
|
|
703
|
-
|
|
704
|
-
|
|
705
|
-
|
|
706
|
-
|
|
707
|
-
|
|
708
|
-
|
|
709
|
-
|
|
710
|
-
|
|
711
|
-
|
|
712
|
-
|
|
713
|
-
|
|
714
|
-
|
|
715
|
-
|
|
716
|
-
|
|
717
|
-
|
|
718
|
-
|
|
719
|
-
|
|
720
|
-
|
|
721
|
-
|
|
722
|
-
|
|
723
|
-
|
|
724
|
-
|
|
725
|
-
|
|
726
|
-
|
|
727
|
-
|
|
728
|
-
|
|
729
|
-
|
|
730
|
-
|
|
731
|
-
|
|
732
|
-
|
|
733
|
-
|
|
734
|
-
|
|
735
|
-
|
|
736
|
-
|
|
737
|
-
|
|
738
|
-
|
|
739
|
-
|
|
740
|
-
|
|
741
|
-
|
|
742
|
-
|
|
743
|
-
|
|
744
|
-
|
|
745
|
-
|
|
746
|
-
|
|
747
|
-
|
|
748
|
-
|
|
749
|
-
|
|
750
|
-
|
|
751
|
-
|
|
752
|
-
|
|
753
|
-
|
|
754
|
-
|
|
755
|
-
|
|
756
|
-
|
|
757
|
-
|
|
758
|
-
|
|
759
|
-
|
|
760
|
-
|
|
761
|
-
|
|
762
|
-
|
|
763
|
-
|
|
764
|
-
|
|
765
|
-
|
|
766
|
-
|
|
767
|
-
|
|
768
|
-
|
|
769
|
-
|
|
770
|
-
|
|
771
|
-
|
|
772
|
-
|
|
773
|
-
|
|
774
|
-
|
|
775
|
-
|
|
776
|
-
|
|
777
|
-
*
|
|
778
|
-
*
|
|
779
|
-
*
|
|
780
|
-
*
|
|
781
|
-
|
|
782
|
-
|
|
783
|
-
|
|
784
|
-
|
|
785
|
-
|
|
786
|
-
|
|
787
|
-
|
|
788
|
-
|
|
789
|
-
|
|
790
|
-
|
|
791
|
-
const
|
|
792
|
-
|
|
793
|
-
|
|
794
|
-
|
|
795
|
-
|
|
796
|
-
|
|
797
|
-
|
|
798
|
-
if (
|
|
799
|
-
|
|
800
|
-
|
|
801
|
-
|
|
802
|
-
|
|
803
|
-
|
|
804
|
-
|
|
805
|
-
|
|
806
|
-
|
|
807
|
-
|
|
808
|
-
|
|
809
|
-
|
|
810
|
-
|
|
811
|
-
|
|
812
|
-
|
|
813
|
-
|
|
814
|
-
|
|
815
|
-
|
|
816
|
-
|
|
817
|
-
|
|
818
|
-
|
|
819
|
-
|
|
820
|
-
|
|
821
|
-
|
|
822
|
-
|
|
823
|
-
|
|
824
|
-
|
|
825
|
-
|
|
826
|
-
|
|
827
|
-
|
|
828
|
-
|
|
829
|
-
|
|
830
|
-
|
|
831
|
-
|
|
832
|
-
|
|
833
|
-
|
|
834
|
-
|
|
835
|
-
|
|
836
|
-
|
|
837
|
-
|
|
838
|
-
|
|
839
|
-
|
|
840
|
-
|
|
841
|
-
|
|
842
|
-
|
|
843
|
-
|
|
844
|
-
|
|
845
|
-
|
|
846
|
-
|
|
847
|
-
|
|
848
|
-
if (
|
|
849
|
-
|
|
850
|
-
|
|
851
|
-
|
|
852
|
-
|
|
853
|
-
|
|
854
|
-
|
|
855
|
-
|
|
856
|
-
|
|
857
|
-
|
|
858
|
-
|
|
859
|
-
|
|
860
|
-
|
|
861
|
-
|
|
862
|
-
|
|
863
|
-
|
|
864
|
-
|
|
865
|
-
|
|
866
|
-
|
|
867
|
-
|
|
868
|
-
|
|
869
|
-
|
|
870
|
-
|
|
871
|
-
|
|
872
|
-
|
|
873
|
-
|
|
874
|
-
}
|
|
875
|
-
|
|
876
|
-
|
|
877
|
-
|
|
878
|
-
|
|
879
|
-
|
|
880
|
-
|
|
881
|
-
|
|
882
|
-
|
|
883
|
-
|
|
884
|
-
|
|
885
|
-
|
|
886
|
-
|
|
887
|
-
|
|
888
|
-
|
|
889
|
-
|
|
890
|
-
|
|
891
|
-
|
|
892
|
-
|
|
893
|
-
|
|
894
|
-
|
|
895
|
-
|
|
896
|
-
|
|
897
|
-
|
|
898
|
-
|
|
899
|
-
|
|
900
|
-
|
|
901
|
-
|
|
902
|
-
|
|
903
|
-
|
|
904
|
-
|
|
905
|
-
|
|
906
|
-
|
|
907
|
-
|
|
908
|
-
|
|
909
|
-
|
|
910
|
-
|
|
911
|
-
|
|
912
|
-
|
|
913
|
-
|
|
914
|
-
|
|
915
|
-
|
|
916
|
-
|
|
917
|
-
|
|
918
|
-
|
|
919
|
-
|
|
920
|
-
|
|
921
|
-
|
|
922
|
-
|
|
923
|
-
|
|
924
|
-
|
|
925
|
-
|
|
926
|
-
|
|
927
|
-
|
|
928
|
-
|
|
929
|
-
|
|
930
|
-
|
|
931
|
-
|
|
932
|
-
|
|
933
|
-
|
|
934
|
-
|
|
935
|
-
|
|
936
|
-
|
|
937
|
-
|
|
938
|
-
|
|
939
|
-
|
|
940
|
-
|
|
941
|
-
|
|
942
|
-
|
|
943
|
-
|
|
944
|
-
|
|
945
|
-
|
|
946
|
-
|
|
947
|
-
|
|
948
|
-
|
|
949
|
-
|
|
950
|
-
|
|
951
|
-
|
|
952
|
-
|
|
953
|
-
const
|
|
954
|
-
|
|
955
|
-
|
|
956
|
-
|
|
957
|
-
|
|
958
|
-
|
|
959
|
-
|
|
960
|
-
|
|
961
|
-
|
|
962
|
-
|
|
963
|
-
|
|
964
|
-
|
|
965
|
-
|
|
966
|
-
|
|
967
|
-
|
|
968
|
-
|
|
969
|
-
|
|
970
|
-
|
|
971
|
-
|
|
972
|
-
|
|
973
|
-
|
|
974
|
-
|
|
975
|
-
|
|
976
|
-
|
|
977
|
-
|
|
978
|
-
|
|
979
|
-
|
|
980
|
-
|
|
981
|
-
|
|
982
|
-
|
|
983
|
-
|
|
984
|
-
|
|
985
|
-
|
|
986
|
-
|
|
987
|
-
|
|
988
|
-
|
|
989
|
-
|
|
990
|
-
const
|
|
991
|
-
|
|
992
|
-
|
|
993
|
-
|
|
994
|
-
|
|
995
|
-
|
|
996
|
-
|
|
997
|
-
res.end(
|
|
998
|
-
|
|
999
|
-
|
|
1000
|
-
|
|
1001
|
-
|
|
1002
|
-
|
|
1003
|
-
|
|
1004
|
-
|
|
1005
|
-
|
|
1006
|
-
|
|
1007
|
-
|
|
1008
|
-
|
|
1009
|
-
|
|
1010
|
-
|
|
1011
|
-
|
|
1012
|
-
|
|
1013
|
-
|
|
1014
|
-
|
|
1015
|
-
|
|
1016
|
-
|
|
1017
|
-
|
|
1018
|
-
|
|
1019
|
-
|
|
1020
|
-
|
|
1021
|
-
|
|
1022
|
-
|
|
1023
|
-
|
|
1024
|
-
|
|
1025
|
-
|
|
1026
|
-
|
|
1027
|
-
|
|
1028
|
-
|
|
1029
|
-
|
|
1030
|
-
|
|
1031
|
-
|
|
1032
|
-
|
|
1
|
+
/**
|
|
2
|
+
* routes/skins.js — 「皮肤包」数据源：把**自建站点**上的皮肤包列出来、下下来、装上、切换。
|
|
3
|
+
*
|
|
4
|
+
* 与 `routes/inventory.js` 的站点数据源是**同一套思路**（自建站 = 唯一真源，宿主端代取，
|
|
5
|
+
* 浏览器不直连），但落地对象不同：那边是壁纸条目，这边是**整套皮肤包**。
|
|
6
|
+
*
|
|
7
|
+
* 为什么这件事可行而不是"另造一套皮肤引擎"：
|
|
8
|
+
* · 站点已经按市场同一格式产出索引（`<site>/skins/manifest.json`）与 zip
|
|
9
|
+
* （`<site>/skins/<id>.zip`），zip 内就是 `skin.json` + `skin.css` + `assets/`
|
|
10
|
+
* + `dsh-market.provenance.json`；
|
|
11
|
+
* · 本插件**不负责渲染** —— 皮肤中心（dsh-skin-center）读 `harness/skins/<id>/`
|
|
12
|
+
* 自己应用样式与 hooks。我们只做"取、验、落、切"四件事。
|
|
13
|
+
* · 所以皮肤中心的完整性校验仍会照常跑（provenance 在 zip 内原样带着，哈希没被动过）。
|
|
14
|
+
*
|
|
15
|
+
* 四个路由（全部 `${base}/skins` 前缀下，一条 prefix 注册）：
|
|
16
|
+
* GET /skins 索引 + 本机已装/在用状态（合并后下发，客户端一次拿全）
|
|
17
|
+
* POST /skins/install {id} 下载 → sha256 校验 → 解压到 harness/skins/<id>/
|
|
18
|
+
* POST /skins/activate {id} 写 harness/skin-center-active.json 的 `active`
|
|
19
|
+
* POST /skins/remove {id} 删目录（在用 / 不存在的拒绝）
|
|
20
|
+
*
|
|
21
|
+
* 纪律（与库存族同口径）：
|
|
22
|
+
* · 站点不可达**绝不影响**插件其他功能：索引失败返回 503 + 结构化错误，客户端显示"不可达"；
|
|
23
|
+
* · 每次下载都有上限（`SKIN_ZIP_MAX_BYTES`）与超时；
|
|
24
|
+
* · zip 解压是**纯 JS**（node:zlib）—— 不引入新依赖，也不 shell 出去调 Expand-Archive；
|
|
25
|
+
* · 解压路径做 zip-slip 防护：绝对路径、`..`、反斜杠、盘符一律拒绝；
|
|
26
|
+
* · 只认 `^[a-z0-9][a-z0-9-]*$` 的 id（索引来自远端，不能拿它当路径片段直接拼）。
|
|
27
|
+
*/
|
|
28
|
+
import { createHash } from 'node:crypto';
|
|
29
|
+
import { inflateRawSync } from 'node:zlib';
|
|
30
|
+
import {
|
|
31
|
+
cpSync, existsSync, mkdirSync, readFileSync, readdirSync, renameSync, rmSync, statSync, writeFileSync,
|
|
32
|
+
} from 'node:fs';
|
|
33
|
+
import { homedir } from 'node:os';
|
|
34
|
+
import { join, resolve, sep } from 'node:path';
|
|
35
|
+
import { sendJson } from '../json-response.js';
|
|
36
|
+
import { bodyReader } from '../http-body.js';
|
|
37
|
+
|
|
38
|
+
/* ── 站点 ────────────────────────────────────────────────────────────────── */
|
|
39
|
+
|
|
40
|
+
const SKINS_SITE = 'https://folia-major-3t6.pages.dev';
|
|
41
|
+
const SKINS_INDEX_PATH = '/skins/manifest.json';
|
|
42
|
+
const SKINS_TTL_MS = 60000;
|
|
43
|
+
const SKINS_TIMEOUT_MS = 8000;
|
|
44
|
+
/** 单个 zip 上限：站点上最大的是 8 MB 那套（whalechan-harness），留足余量。 */
|
|
45
|
+
const SKIN_ZIP_MAX_BYTES = 32 * 1024 * 1024;
|
|
46
|
+
/** 分卷拼接后的总上限（DIY 手账本 3 段合计约 67 MB，留余量）。 */
|
|
47
|
+
const SKIN_TOTAL_MAX_BYTES = 128 * 1024 * 1024;
|
|
48
|
+
const CONTROL_JSON_MAX_BYTES = 64 * 1024;
|
|
49
|
+
const ACTIVE_FILE = 'skin-center-active.json';
|
|
50
|
+
const SKINS_DIR_NAME = 'skins';
|
|
51
|
+
const ID_RE = /^[a-z0-9][a-z0-9-]*$/;
|
|
52
|
+
|
|
53
|
+
/** `DSH_FOLIA_SKINS_SITE` → 归一化基址；`off`/空串表示停用整条通道。 */
|
|
54
|
+
function skinsSiteBase() {
|
|
55
|
+
const raw = process.env.DSH_FOLIA_SKINS_SITE;
|
|
56
|
+
if (typeof raw === 'string' && raw.trim().toLowerCase() === 'off') return null;
|
|
57
|
+
const base = (typeof raw === 'string' && raw.trim()) ? raw.trim() : SKINS_SITE;
|
|
58
|
+
return base.replace(/\/+$/, '');
|
|
59
|
+
}
|
|
60
|
+
|
|
61
|
+
/**
|
|
62
|
+
* 皮肤中心是否已挂载（60s 缓存）。
|
|
63
|
+
*
|
|
64
|
+
* 判据只有它的路由：`/api/skin-center/v2/active` 存在 ⇒ 挂载（200 / 401 / 403 都算，
|
|
65
|
+
* 网关会先挡一层，401 恰恰证明路由注册过）；404 ⇒ 没装 / 没挂。
|
|
66
|
+
*
|
|
67
|
+
* 为什么要探测：我们不再假装能"完整应用皮肤"。皮肤中心在台时，应用动作应当交回它的
|
|
68
|
+
* 设置页（原生路径，100% 完整）；它不在时我们才用自建兜底，并把"可能不全"说出来。
|
|
69
|
+
*/
|
|
70
|
+
let skinCenterCache = { at: 0, mounted: false };
|
|
71
|
+
async function skinCenterMounted(origin, fwdHeaders) {
|
|
72
|
+
if (Date.now() - skinCenterCache.at < SKINS_TTL_MS) return skinCenterCache.mounted;
|
|
73
|
+
// 多个候选 origin：请求自身的 host 最可能是对的，但反向代理/多端口下会落空，
|
|
74
|
+
// 所以再试一次 localhost 与裸 127.0.0.1 的同端口写法。任一返回非 404 就算在台。
|
|
75
|
+
const candidates = [];
|
|
76
|
+
const push = (u) => { if (u && candidates.indexOf(u) === -1) candidates.push(u); };
|
|
77
|
+
push(origin);
|
|
78
|
+
try {
|
|
79
|
+
const u = new URL(origin);
|
|
80
|
+
push("http://127.0.0.1:" + u.port);
|
|
81
|
+
push("http://localhost:" + u.port);
|
|
82
|
+
} catch { /* origin 不合规就只用它自己 */ }
|
|
83
|
+
|
|
84
|
+
let mounted = false;
|
|
85
|
+
const tried = [];
|
|
86
|
+
for (const base of candidates) {
|
|
87
|
+
try {
|
|
88
|
+
const r = await fetch(base + "/api/skin-center/v2/active", {
|
|
89
|
+
headers: fwdHeaders,
|
|
90
|
+
signal: AbortSignal.timeout(2500),
|
|
91
|
+
});
|
|
92
|
+
tried.push(base + "=" + r.status);
|
|
93
|
+
if (r.status !== 404) { mounted = true; break; }
|
|
94
|
+
} catch (err) {
|
|
95
|
+
tried.push(base + "=err");
|
|
96
|
+
}
|
|
97
|
+
}
|
|
98
|
+
skinCenterCache = { at: Date.now(), mounted };
|
|
99
|
+
try {
|
|
100
|
+
// 只在"没探到"时留一行记录，方便下次排查（探测失败不该是静默的）。
|
|
101
|
+
if (!mounted) skinCenterCache.lastTried = tried.join(" ");
|
|
102
|
+
} catch { /* ignore */ }
|
|
103
|
+
return mounted;
|
|
104
|
+
}
|
|
105
|
+
|
|
106
|
+
/** @type {{ at: number, payload: any[] | null, error: string | null }} */
|
|
107
|
+
let indexCache = { at: 0, payload: null, error: null };
|
|
108
|
+
|
|
109
|
+
/**
|
|
110
|
+
* harness 根目录（`skins/` 与 `skin-center-active.json` 所在的那一层）。
|
|
111
|
+
*
|
|
112
|
+
* 桌面版是 `<userData>/harness`（Electron 的 `--user-data-dir` 是 `%APPDATA%\dsh-desktop`）；
|
|
113
|
+
* CLI 版是 `~/.dsh`。两边都没有权威 API 可问，所以按候选逐个试，**以 `skins/` 或
|
|
114
|
+
* `skin-center-active.json` 是否存在为准**。`DSH_FOLIA_HARNESS` 可强制指定（自检/异形安装）。
|
|
115
|
+
* @returns {string | null}
|
|
116
|
+
*/
|
|
117
|
+
export function harnessRoot() {
|
|
118
|
+
const forced = process.env.DSH_FOLIA_HARNESS;
|
|
119
|
+
if (typeof forced === 'string' && forced.trim()) return resolve(forced.trim());
|
|
120
|
+
const home = homedir();
|
|
121
|
+
/** @type {string[]} */
|
|
122
|
+
const candidates = [];
|
|
123
|
+
const appData = process.env.APPDATA;
|
|
124
|
+
const localAppData = process.env.LOCALAPPDATA;
|
|
125
|
+
if (appData) candidates.push(join(appData, 'dsh-desktop', 'harness'));
|
|
126
|
+
if (localAppData) candidates.push(join(localAppData, 'dsh-desktop', 'harness'));
|
|
127
|
+
candidates.push(join(home, '.dsh', 'harness'), join(home, '.dsh'), join(home, '.dsh-desktop', 'harness'));
|
|
128
|
+
for (const c of candidates) {
|
|
129
|
+
try {
|
|
130
|
+
if (existsSync(join(c, SKINS_DIR_NAME)) || existsSync(join(c, ACTIVE_FILE))) return c;
|
|
131
|
+
} catch { /* 单个候选读不到 ⇒ 试下一个 */ }
|
|
132
|
+
}
|
|
133
|
+
return null;
|
|
134
|
+
}
|
|
135
|
+
|
|
136
|
+
/* ── 索引 ────────────────────────────────────────────────────────────────── */
|
|
137
|
+
|
|
138
|
+
/**
|
|
139
|
+
* 列出**所有**提供了皮肤中心行的 bundle（跨 profile 扫 patch 文件）。
|
|
140
|
+
*
|
|
141
|
+
* 为什么必须报出来：我们在自己的 patch 里加了一行内嵌皮肤中心（folia-skin-center）。
|
|
142
|
+
* 如果用户同时还装着 @linxin666/dsh-web-all，它的 patch 里也有一行（web-ui-skin-center）
|
|
143
|
+
* 指向同一个包 ⇒ 同一个插件被挂两次。这种事要显式告诉用户去关掉一处，不能静默。
|
|
144
|
+
*/
|
|
145
|
+
function skinCenterProviders() {
|
|
146
|
+
const out = [];
|
|
147
|
+
try {
|
|
148
|
+
const harness = harnessRoot();
|
|
149
|
+
if (!harness) return out;
|
|
150
|
+
const profilesDir = join(harness, 'profiles');
|
|
151
|
+
if (!existsSync(profilesDir)) return out;
|
|
152
|
+
const SKIN_CENTER = '@linxin666/dsh-client-ui-skin-center';
|
|
153
|
+
for (const prof of readdirSync(profilesDir)) {
|
|
154
|
+
if (prof.startsWith('.')) continue;
|
|
155
|
+
const pkgPath = join(profilesDir, prof, 'package.json');
|
|
156
|
+
if (!existsSync(pkgPath)) continue;
|
|
157
|
+
let doc;
|
|
158
|
+
try { doc = JSON.parse(readFileSync(pkgPath, 'utf8')); } catch { continue; }
|
|
159
|
+
const bundles = (doc && doc.dsh && doc.dsh.profile && doc.dsh.profile.bundles) || [];
|
|
160
|
+
for (const b of bundles) {
|
|
161
|
+
const patchPath = join(profilesDir, prof, 'node_modules', b, 'cordis.patch.yml');
|
|
162
|
+
if (!existsSync(patchPath)) continue;
|
|
163
|
+
let text;
|
|
164
|
+
try { text = readFileSync(patchPath, 'utf8'); } catch { continue; }
|
|
165
|
+
if (!text.includes(SKIN_CENTER)) continue;
|
|
166
|
+
const ids = [];
|
|
167
|
+
const re = /-\s*id:\s*([A-Za-z0-9_-]+)\s*\n\s*name:\s*'([^']+)'/g;
|
|
168
|
+
let m;
|
|
169
|
+
while ((m = re.exec(text)) !== null) {
|
|
170
|
+
if (m[2].includes('dsh-client-ui-skin-center')) ids.push(m[1]);
|
|
171
|
+
}
|
|
172
|
+
if (ids.length) out.push({ profile: prof, bundle: b, rows: ids });
|
|
173
|
+
}
|
|
174
|
+
}
|
|
175
|
+
} catch { /* 扫描失败只是少一条提示，不影响功能 */ }
|
|
176
|
+
return out;
|
|
177
|
+
}
|
|
178
|
+
|
|
179
|
+
/**
|
|
180
|
+
* 拉站点索引并**精简**成客户端要的形状。永不抛；失败返回 `{ items: [], error }`。
|
|
181
|
+
*
|
|
182
|
+
* 为什么精简：原始 manifest 62 KB / 65 条，每条还带完整 description 与 parts 清单；
|
|
183
|
+
* 客户端一次拿全没有意义，只留卡片需要的字段 + `zipRelative`（安装时回传给宿主）。
|
|
184
|
+
*/
|
|
185
|
+
async function fetchIndex(force = false) {
|
|
186
|
+
const base = skinsSiteBase();
|
|
187
|
+
if (!base) return { items: [], error: 'disabled' };
|
|
188
|
+
if (!force && Date.now() - indexCache.at < SKINS_TTL_MS) {
|
|
189
|
+
return { items: indexCache.payload || [], error: indexCache.error };
|
|
190
|
+
}
|
|
191
|
+
|
|
192
|
+
let items = [];
|
|
193
|
+
let error = null;
|
|
194
|
+
try {
|
|
195
|
+
const signal = typeof AbortSignal !== 'undefined' && typeof AbortSignal.timeout === 'function'
|
|
196
|
+
? AbortSignal.timeout(SKINS_TIMEOUT_MS)
|
|
197
|
+
: undefined;
|
|
198
|
+
const res = await fetch(base + SKINS_INDEX_PATH, { headers: { accept: 'application/json' }, signal });
|
|
199
|
+
if (!res.ok) {
|
|
200
|
+
error = 'http-' + res.status;
|
|
201
|
+
} else {
|
|
202
|
+
let doc;
|
|
203
|
+
try {
|
|
204
|
+
doc = await res.json();
|
|
205
|
+
} catch {
|
|
206
|
+
error = 'json';
|
|
207
|
+
}
|
|
208
|
+
if (doc) {
|
|
209
|
+
const list = Array.isArray(doc.skins) ? doc.skins : [];
|
|
210
|
+
for (const s of list) {
|
|
211
|
+
const id = String((s && s.id) || '');
|
|
212
|
+
if (!ID_RE.test(id)) continue;
|
|
213
|
+
// 分卷包（DIY 手账本那种 67 MB 三段）：`parts` 是 **对象数组** `{name, bytes}`，
|
|
214
|
+
// 也兼容纯字符串形态 —— 早期实现只认字符串，把 diy-journal 整条静默丢了
|
|
215
|
+
//（manifest 65 条、列表只出 64 条，就是它）。
|
|
216
|
+
const parts = (Array.isArray(s.parts) ? s.parts : [])
|
|
217
|
+
.map((p) => (typeof p === 'string' ? p : (p && typeof p.name === 'string' ? p.name : '')))
|
|
218
|
+
.filter(Boolean);
|
|
219
|
+
const zip = typeof s.zip === 'string' ? s.zip : '';
|
|
220
|
+
if (!zip && parts.length === 0) continue;
|
|
221
|
+
items.push({
|
|
222
|
+
id,
|
|
223
|
+
name: String(s.name || id),
|
|
224
|
+
nameEn: String(s.nameEn || ''),
|
|
225
|
+
version: String(s.version || ''),
|
|
226
|
+
author: String(s.author || ''),
|
|
227
|
+
accent: typeof s.accent === 'string' ? s.accent : '',
|
|
228
|
+
tagline: String(s.tagline || ''),
|
|
229
|
+
tags: Array.isArray(s.tags) ? s.tags.slice(0, 8).map(String) : [],
|
|
230
|
+
zipBytes: Number(s.zipBytes) || 0,
|
|
231
|
+
sha256: typeof s.sha256 === 'string' ? s.sha256 : '',
|
|
232
|
+
zipRelative: zip,
|
|
233
|
+
parts: parts.slice(0, 16),
|
|
234
|
+
previewLight: (s.preview && typeof s.preview.light === 'string') ? s.preview.light : '',
|
|
235
|
+
previewDark: (s.preview && typeof s.preview.dark === 'string') ? s.preview.dark : '',
|
|
236
|
+
});
|
|
237
|
+
}
|
|
238
|
+
}
|
|
239
|
+
}
|
|
240
|
+
} catch (e) {
|
|
241
|
+
const code = String((e && (e.name || e.code)) || '');
|
|
242
|
+
const msg = String((e && e.message) || '');
|
|
243
|
+
if (/timeout|abort/i.test(code) || /timeout|aborted/i.test(msg)) error = 'timeout';
|
|
244
|
+
else if (/cert|tls|ssl/i.test(msg)) error = 'tls';
|
|
245
|
+
else error = 'network';
|
|
246
|
+
}
|
|
247
|
+
|
|
248
|
+
indexCache = { at: Date.now(), payload: items, error };
|
|
249
|
+
return { items, error };
|
|
250
|
+
}
|
|
251
|
+
|
|
252
|
+
/* ── 本机状态 ─────────────────────────────────────────────────────────────── */
|
|
253
|
+
|
|
254
|
+
/** 本机已装的皮肤 id 集合（`skins/` 下的目录名）。 */
|
|
255
|
+
function installedIds(harness) {
|
|
256
|
+
const dir = join(harness, SKINS_DIR_NAME);
|
|
257
|
+
try {
|
|
258
|
+
return new Set(readdirSync(dir, { withFileTypes: true }).filter((d) => d.isDirectory()).map((d) => d.name));
|
|
259
|
+
} catch {
|
|
260
|
+
return new Set();
|
|
261
|
+
}
|
|
262
|
+
}
|
|
263
|
+
|
|
264
|
+
/** 皮肤中心当前的 `active`（读不到就当没有 —— fail-open，不影响列表）。 */
|
|
265
|
+
function activeSkinId(harness) {
|
|
266
|
+
try {
|
|
267
|
+
const doc = JSON.parse(readFileSync(join(harness, ACTIVE_FILE), 'utf8'));
|
|
268
|
+
return typeof doc.active === 'string' ? doc.active : null;
|
|
269
|
+
} catch {
|
|
270
|
+
return null;
|
|
271
|
+
}
|
|
272
|
+
}
|
|
273
|
+
|
|
274
|
+
/* ── zip 解压（纯 JS，零依赖）────────────────────────────────────────────── */
|
|
275
|
+
|
|
276
|
+
/** 从中央目录读条目表。只支持 store(0) / deflate(8)，够用且不引依赖。 */
|
|
277
|
+
function zipEntries(buf) {
|
|
278
|
+
// 找 EOCD（0x06054b50），从尾部往前扫（注释区最多 65535 字节）
|
|
279
|
+
let eocd = -1;
|
|
280
|
+
for (let i = buf.length - 22; i >= 0 && i >= buf.length - 65558; i--) {
|
|
281
|
+
if (buf.readUInt32LE(i) === 0x06054b50) { eocd = i; break; }
|
|
282
|
+
}
|
|
283
|
+
if (eocd < 0) throw new Error('不是有效的 zip（找不到中央目录）');
|
|
284
|
+
const count = buf.readUInt16LE(eocd + 10);
|
|
285
|
+
let off = buf.readUInt32LE(eocd + 16);
|
|
286
|
+
const out = [];
|
|
287
|
+
for (let i = 0; i < count; i++) {
|
|
288
|
+
if (buf.readUInt32LE(off) !== 0x02014b50) throw new Error('中央目录条目损坏');
|
|
289
|
+
const method = buf.readUInt16LE(off + 10);
|
|
290
|
+
const compSize = buf.readUInt32LE(off + 20);
|
|
291
|
+
const nameLen = buf.readUInt16LE(off + 28);
|
|
292
|
+
const extraLen = buf.readUInt16LE(off + 30);
|
|
293
|
+
const commentLen = buf.readUInt16LE(off + 32);
|
|
294
|
+
const localOff = buf.readUInt32LE(off + 42);
|
|
295
|
+
const name = buf.toString('utf8', off + 46, off + 46 + nameLen);
|
|
296
|
+
out.push({ name, method, compSize, localOff });
|
|
297
|
+
off += 46 + nameLen + extraLen + commentLen;
|
|
298
|
+
}
|
|
299
|
+
return out;
|
|
300
|
+
}
|
|
301
|
+
|
|
302
|
+
/** 校验条目名是安全的相对路径，并返回归一化后的相对段。 */
|
|
303
|
+
function safeRelPath(name) {
|
|
304
|
+
const norm = String(name).replace(/\\/g, '/');
|
|
305
|
+
if (!norm || norm.startsWith('/') || /^[a-zA-Z]:/.test(norm)) return null;
|
|
306
|
+
const segs = norm.split('/').filter((s) => s && s !== '.');
|
|
307
|
+
if (segs.length === 0) return null;
|
|
308
|
+
for (const s of segs) {
|
|
309
|
+
if (s === '..') return null;
|
|
310
|
+
if (s.includes('\0')) return null;
|
|
311
|
+
}
|
|
312
|
+
return segs;
|
|
313
|
+
}
|
|
314
|
+
|
|
315
|
+
/**
|
|
316
|
+
* 解压到 `destDir`。**先解到临时目录再整体改名**，中途失败不留半个皮肤。
|
|
317
|
+
* @returns {{ files: number }}
|
|
318
|
+
*/
|
|
319
|
+
function extractZipTo(buf, destDir, tmpDir) {
|
|
320
|
+
const entries = zipEntries(buf);
|
|
321
|
+
let files = 0;
|
|
322
|
+
for (const e of entries) {
|
|
323
|
+
const segs = safeRelPath(e.name);
|
|
324
|
+
if (!segs) throw new Error('zip 内含不安全路径：' + e.name);
|
|
325
|
+
// 本地文件头长度可变（name/extra 可能与中央目录不同），必须重读
|
|
326
|
+
const lo = e.localOff;
|
|
327
|
+
if (buf.readUInt32LE(lo) !== 0x04034b50) throw new Error('本地文件头损坏：' + e.name);
|
|
328
|
+
const lNameLen = buf.readUInt16LE(lo + 26);
|
|
329
|
+
const lExtraLen = buf.readUInt16LE(lo + 28);
|
|
330
|
+
const dataStart = lo + 30 + lNameLen + lExtraLen;
|
|
331
|
+
const raw = buf.subarray(dataStart, dataStart + e.compSize);
|
|
332
|
+
const isDir = e.name.endsWith('/');
|
|
333
|
+
const target = join(tmpDir, ...segs);
|
|
334
|
+
// 兜底：拼接后必须仍在 tmpDir 里（防 zip-slip 的任何漏网）
|
|
335
|
+
if (!resolve(target).startsWith(resolve(tmpDir) + sep)) throw new Error('zip 路径越界：' + e.name);
|
|
336
|
+
if (isDir) {
|
|
337
|
+
mkdirSync(target, { recursive: true });
|
|
338
|
+
continue;
|
|
339
|
+
}
|
|
340
|
+
let data;
|
|
341
|
+
if (e.method === 0) data = raw;
|
|
342
|
+
else if (e.method === 8) data = inflateRawSync(raw);
|
|
343
|
+
else throw new Error('不支持的 zip 压缩方式 ' + e.method + '：' + e.name);
|
|
344
|
+
mkdirSync(join(target, '..'), { recursive: true });
|
|
345
|
+
writeFileSync(target, data);
|
|
346
|
+
files++;
|
|
347
|
+
}
|
|
348
|
+
if (files === 0) throw new Error('zip 里没有任何文件');
|
|
349
|
+
return { files };
|
|
350
|
+
}
|
|
351
|
+
|
|
352
|
+
/* ── 下载 ────────────────────────────────────────────────────────────────── */
|
|
353
|
+
|
|
354
|
+
async function fetchBytes(url, maxBytes) {
|
|
355
|
+
const signal = typeof AbortSignal !== 'undefined' && typeof AbortSignal.timeout === 'function'
|
|
356
|
+
? AbortSignal.timeout(SKINS_TIMEOUT_MS * 4) // 8 MB 的包在跨境链路上要给足时间
|
|
357
|
+
: undefined;
|
|
358
|
+
const res = await fetch(url, { headers: { accept: '*/*' }, signal });
|
|
359
|
+
if (!res.ok) throw new Error('下载失败：HTTP ' + res.status);
|
|
360
|
+
const len = Number(res.headers.get('content-length'));
|
|
361
|
+
if (Number.isFinite(len) && len > maxBytes) throw new Error('皮肤包过大：' + len + ' 字节');
|
|
362
|
+
const ab = await res.arrayBuffer();
|
|
363
|
+
const buf = Buffer.from(ab);
|
|
364
|
+
if (buf.length > maxBytes) throw new Error('皮肤包过大：' + buf.length + ' 字节');
|
|
365
|
+
if (buf.length === 0) throw new Error('下载到 0 字节');
|
|
366
|
+
return buf;
|
|
367
|
+
}
|
|
368
|
+
|
|
369
|
+
function sha256Hex(buf) {
|
|
370
|
+
return createHash('sha256').update(buf).digest('hex');
|
|
371
|
+
}
|
|
372
|
+
|
|
373
|
+
/* ── 路由 ────────────────────────────────────────────────────────────────── */
|
|
374
|
+
|
|
375
|
+
/**
|
|
376
|
+
* @param {any} webServer
|
|
377
|
+
* @param {{ disposers: Function[], base: string, log?: Function }} c
|
|
378
|
+
*/
|
|
379
|
+
export function registerSkinRoutes(webServer, c) {
|
|
380
|
+
const { disposers, base, log } = c;
|
|
381
|
+
const note = typeof log === 'function' ? log : () => {};
|
|
382
|
+
|
|
383
|
+
/**
|
|
384
|
+
* 读一个小 JSON body（{id}）并校验成合法皮肤 id。解析失败 / 缺 id / 越界一律 null ⇒ 调用方回 400。
|
|
385
|
+
*
|
|
386
|
+
* ⚠️ `bodyReader` 是「处理器 + 取值器」模式（见 lib/http-body.js 文件头的用法），**没有**
|
|
387
|
+
* `await reader.text()` 这种异步形态 —— 监听器由调用点挂，这里包一层 Promise 收口。
|
|
388
|
+
*/
|
|
389
|
+
function readIdBody(req) {
|
|
390
|
+
return new Promise((resolveId) => {
|
|
391
|
+
let settled = false;
|
|
392
|
+
const done = (v) => { if (!settled) { settled = true; resolveId(v); } };
|
|
393
|
+
const reader = bodyReader(req, {
|
|
394
|
+
maxBytes: CONTROL_JSON_MAX_BYTES,
|
|
395
|
+
// 越限当场判失败：body 不该继续占内存，也不该等到 end 才应 400。
|
|
396
|
+
onOverflow: () => done(null),
|
|
397
|
+
});
|
|
398
|
+
req.on('data', reader.onData);
|
|
399
|
+
req.on('end', () => {
|
|
400
|
+
if (reader.overflowed) { done(null); return; }
|
|
401
|
+
let doc;
|
|
402
|
+
try {
|
|
403
|
+
doc = JSON.parse(reader.text());
|
|
404
|
+
} catch {
|
|
405
|
+
done(null);
|
|
406
|
+
return;
|
|
407
|
+
}
|
|
408
|
+
const id = doc && typeof doc.id === 'string' ? doc.id : '';
|
|
409
|
+
done(ID_RE.test(id) ? id : null);
|
|
410
|
+
});
|
|
411
|
+
req.on('error', () => done(null));
|
|
412
|
+
});
|
|
413
|
+
}
|
|
414
|
+
|
|
415
|
+
disposers.push(webServer.register({
|
|
416
|
+
kind: 'exact',
|
|
417
|
+
path: `${base}/skins`,
|
|
418
|
+
handler: async (req, res) => {
|
|
419
|
+
const url = new URL(req.url || '/', 'http://x');
|
|
420
|
+
const force = url.searchParams.get('refresh') === '1';
|
|
421
|
+
const harness = harnessRoot();
|
|
422
|
+
const { items, error } = await fetchIndex(force);
|
|
423
|
+
const installed = harness ? installedIds(harness) : new Set();
|
|
424
|
+
const active = harness ? activeSkinId(harness) : null;
|
|
425
|
+
const merged = items.map((it) => ({
|
|
426
|
+
...it,
|
|
427
|
+
installed: installed.has(it.id),
|
|
428
|
+
active: it.id === active,
|
|
429
|
+
}));
|
|
430
|
+
sendJson(res, 200, {
|
|
431
|
+
ok: error === null,
|
|
432
|
+
error,
|
|
433
|
+
site: skinsSiteBase(),
|
|
434
|
+
harness,
|
|
435
|
+
harnessFound: Boolean(harness),
|
|
436
|
+
skinCenterProviders: skinCenterProviders(),
|
|
437
|
+
// 判据分两层：先探它的路由（最准），探不到再退回"有 bundle 提供了那一行"
|
|
438
|
+
// （用户可能正好在多端口/反代下，探测会落空，但行存在就说明引擎装了）。
|
|
439
|
+
skinCenter: (await skinCenterMounted(
|
|
440
|
+
'http://' + ((req && req.headers && req.headers.host) || '127.0.0.1'),
|
|
441
|
+
(() => {
|
|
442
|
+
const h = { accept: 'application/json', 'sec-fetch-site': 'same-origin' };
|
|
443
|
+
const host = (req && req.headers && req.headers.host) || '';
|
|
444
|
+
if (host) { h.origin = 'http://' + host; h.referer = 'http://' + host + '/'; }
|
|
445
|
+
if (req && req.headers && req.headers.cookie) h.cookie = req.headers.cookie;
|
|
446
|
+
return h;
|
|
447
|
+
})(),
|
|
448
|
+
)) || skinCenterProviders().length > 0,
|
|
449
|
+
active,
|
|
450
|
+
count: merged.length,
|
|
451
|
+
installedCount: [...installed].length,
|
|
452
|
+
skins: merged,
|
|
453
|
+
});
|
|
454
|
+
},
|
|
455
|
+
}));
|
|
456
|
+
|
|
457
|
+
disposers.push(webServer.register({
|
|
458
|
+
kind: 'exact',
|
|
459
|
+
path: `${base}/skins/install`,
|
|
460
|
+
handler: async (req, res) => {
|
|
461
|
+
const id = await readIdBody(req);
|
|
462
|
+
if (!id) { sendJson(res, 400, { ok: false, error: 'bad-id' }); return; }
|
|
463
|
+
const harness = harnessRoot();
|
|
464
|
+
if (!harness) { sendJson(res, 503, { ok: false, error: 'harness-not-found' }); return; }
|
|
465
|
+
const site = skinsSiteBase();
|
|
466
|
+
if (!site) { sendJson(res, 503, { ok: false, error: 'disabled' }); return; }
|
|
467
|
+
|
|
468
|
+
const { items } = await fetchIndex();
|
|
469
|
+
const entry = items.find((x) => x.id === id);
|
|
470
|
+
if (!entry) { sendJson(res, 404, { ok: false, error: 'unknown-skin' }); return; }
|
|
471
|
+
|
|
472
|
+
const skinsDir = join(harness, SKINS_DIR_NAME);
|
|
473
|
+
const destDir = join(skinsDir, id);
|
|
474
|
+
const tmpDir = join(skinsDir, '.' + id + '.tmp-' + Date.now().toString(36));
|
|
475
|
+
try {
|
|
476
|
+
// 分卷包：按顺序拼接成完整 zip
|
|
477
|
+
let buf;
|
|
478
|
+
if (entry.parts.length > 0) {
|
|
479
|
+
const chunks = [];
|
|
480
|
+
for (const p of entry.parts) {
|
|
481
|
+
chunks.push(await fetchBytes(site + '/' + String(p).replace(/^\/+/, ''), SKIN_ZIP_MAX_BYTES));
|
|
482
|
+
}
|
|
483
|
+
buf = Buffer.concat(chunks);
|
|
484
|
+
// 拼接后总量另设一道闸：单包 32 MB 的上限管不住 3 段拼起来的 67 MB。
|
|
485
|
+
if (buf.length > SKIN_TOTAL_MAX_BYTES) {
|
|
486
|
+
throw new Error('分卷拼接后过大：' + buf.length + ' 字节');
|
|
487
|
+
}
|
|
488
|
+
} else {
|
|
489
|
+
buf = await fetchBytes(site + '/' + String(entry.zipRelative).replace(/^\/+/, ''), SKIN_ZIP_MAX_BYTES);
|
|
490
|
+
}
|
|
491
|
+
|
|
492
|
+
// 哈希校验：manifest 里给的是**截断**哈希（16 位十六进制），按前缀比
|
|
493
|
+
if (entry.sha256 && /^[0-9a-f]+$/i.test(entry.sha256)) {
|
|
494
|
+
const actual = sha256Hex(buf);
|
|
495
|
+
if (!actual.toLowerCase().startsWith(entry.sha256.toLowerCase())) {
|
|
496
|
+
throw new Error('校验失败：sha256 不匹配（下载可能被截断）');
|
|
497
|
+
}
|
|
498
|
+
}
|
|
499
|
+
|
|
500
|
+
mkdirSync(skinsDir, { recursive: true });
|
|
501
|
+
rmSync(tmpDir, { recursive: true, force: true });
|
|
502
|
+
mkdirSync(tmpDir, { recursive: true });
|
|
503
|
+
const { files } = extractZipTo(buf, destDir, tmpDir);
|
|
504
|
+
|
|
505
|
+
// zip 顶层就是 `<id>/`：把它里面的内容搬到 destDir
|
|
506
|
+
const inner = join(tmpDir, id);
|
|
507
|
+
const innerExists = existsSync(inner) && statSync(inner).isDirectory();
|
|
508
|
+
const payload = innerExists ? inner : tmpDir;
|
|
509
|
+
rmSync(destDir, { recursive: true, force: true });
|
|
510
|
+
mkdirSync(destDir, { recursive: true });
|
|
511
|
+
for (const name of readdirSync(payload)) {
|
|
512
|
+
const from = join(payload, name);
|
|
513
|
+
const to = join(destDir, name);
|
|
514
|
+
// 同一分区：rename 最快；跨设备时退化为复制
|
|
515
|
+
try {
|
|
516
|
+
renameSyncSafe(from, to);
|
|
517
|
+
} catch {
|
|
518
|
+
cpSyncSafe(from, to);
|
|
519
|
+
}
|
|
520
|
+
}
|
|
521
|
+
rmSync(tmpDir, { recursive: true, force: true });
|
|
522
|
+
|
|
523
|
+
if (!existsSync(join(destDir, 'skin.json'))) {
|
|
524
|
+
throw new Error('装完没有 skin.json —— zip 结构不对');
|
|
525
|
+
}
|
|
526
|
+
note('[skins] installed ' + id + ' (' + files + ' files)');
|
|
527
|
+
sendJson(res, 200, { ok: true, id, files, bytes: buf.length, installed: true });
|
|
528
|
+
} catch (err) {
|
|
529
|
+
try { rmSync(tmpDir, { recursive: true, force: true }); } catch { /* 清理失败不影响应答 */ }
|
|
530
|
+
const msg = String((err && err.message) || err);
|
|
531
|
+
note('[skins] install ' + id + ' failed: ' + msg);
|
|
532
|
+
sendJson(res, 502, { ok: false, error: 'install-failed', detail: msg });
|
|
533
|
+
}
|
|
534
|
+
},
|
|
535
|
+
}));
|
|
536
|
+
|
|
537
|
+
disposers.push(webServer.register({
|
|
538
|
+
kind: 'exact',
|
|
539
|
+
path: `${base}/skins/activate`,
|
|
540
|
+
handler: async (req, res) => {
|
|
541
|
+
const id = await readIdBody(req);
|
|
542
|
+
if (!id) { sendJson(res, 400, { ok: false, error: 'bad-id' }); return; }
|
|
543
|
+
const harness = harnessRoot();
|
|
544
|
+
if (!harness) { sendJson(res, 503, { ok: false, error: 'harness-not-found' }); return; }
|
|
545
|
+
if (!existsSync(join(harness, SKINS_DIR_NAME, id, 'skin.json'))) {
|
|
546
|
+
sendJson(res, 404, { ok: false, error: 'not-installed' });
|
|
547
|
+
return;
|
|
548
|
+
}
|
|
549
|
+
const file = join(harness, ACTIVE_FILE);
|
|
550
|
+
let doc = {};
|
|
551
|
+
try {
|
|
552
|
+
doc = JSON.parse(readFileSync(file, 'utf8')) || {};
|
|
553
|
+
} catch { /* 文件不存在 / 坏掉 ⇒ 用最小骨架重建 */ }
|
|
554
|
+
// 只改 `active`：background 那一段是皮肤中心自己的设置，一个字都不能丢。
|
|
555
|
+
const previous = typeof doc.active === 'string' ? doc.active : null;
|
|
556
|
+
doc.active = id;
|
|
557
|
+
if (typeof doc.initialized !== 'boolean') doc.initialized = true;
|
|
558
|
+
try {
|
|
559
|
+
// ⚠️ 这里必须先写一次 `null`，再写目标 id —— 不是画蛇添足。
|
|
560
|
+
//
|
|
561
|
+
// 皮肤中心客户端的收敛逻辑（lib/client.js，watchPersistedSelection）：
|
|
562
|
+
//
|
|
563
|
+
// applied = persisted === undefined ? undefined
|
|
564
|
+
// : (stamp === null || stamp === persisted ? persisted : undefined);
|
|
565
|
+
// // tick: next === applied ⇒ return ← 相同就永远不动
|
|
566
|
+
//
|
|
567
|
+
// 页面启动时若 `html[data-dsh-skin]` 为空，它会把**持久化的值直接当成已应用**。
|
|
568
|
+
// 于是我们写一个"和它记录里一样"的 id 时，轮询认为没有变化，皮肤永远不上。
|
|
569
|
+
// 先归零（写 null）能让它收敛到"无皮肤"，紧接着写目标 id 就必然是一次变化，
|
|
570
|
+
// 轮询一定会应用 —— 这是绕开它这个初始化的唯一办法，且完全走它自己的路径。
|
|
571
|
+
if (previous === id) {
|
|
572
|
+
doc.active = null;
|
|
573
|
+
writeFileSync(file, JSON.stringify(doc, null, 2) + '\n');
|
|
574
|
+
await new Promise((r) => setTimeout(r, 900));
|
|
575
|
+
doc.active = id;
|
|
576
|
+
}
|
|
577
|
+
writeFileSync(file, JSON.stringify(doc, null, 2) + '\n');
|
|
578
|
+
note('[skins] activated ' + id + (previous === id ? ' (after clearing the same id)' : ''));
|
|
579
|
+
sendJson(res, 200, { ok: true, id, active: id, restartRequired: false, nudged: previous === id });
|
|
580
|
+
} catch (err) {
|
|
581
|
+
sendJson(res, 500, { ok: false, error: 'write-failed', detail: String(err && err.message || err) });
|
|
582
|
+
}
|
|
583
|
+
},
|
|
584
|
+
}));
|
|
585
|
+
|
|
586
|
+
disposers.push(webServer.register({
|
|
587
|
+
kind: 'exact',
|
|
588
|
+
path: `${base}/skins/remove`,
|
|
589
|
+
handler: async (req, res) => {
|
|
590
|
+
const id = await readIdBody(req);
|
|
591
|
+
if (!id) { sendJson(res, 400, { ok: false, error: 'bad-id' }); return; }
|
|
592
|
+
const harness = harnessRoot();
|
|
593
|
+
if (!harness) { sendJson(res, 503, { ok: false, error: 'harness-not-found' }); return; }
|
|
594
|
+
if (activeSkinId(harness) === id) {
|
|
595
|
+
sendJson(res, 409, { ok: false, error: 'skin-active' });
|
|
596
|
+
return;
|
|
597
|
+
}
|
|
598
|
+
const dir = join(harness, SKINS_DIR_NAME, id);
|
|
599
|
+
if (!existsSync(dir)) { sendJson(res, 404, { ok: false, error: 'not-installed' }); return; }
|
|
600
|
+
try {
|
|
601
|
+
rmSync(dir, { recursive: true, force: true });
|
|
602
|
+
note('[skins] removed ' + id);
|
|
603
|
+
sendJson(res, 200, { ok: true, id, removed: true });
|
|
604
|
+
} catch (err) {
|
|
605
|
+
sendJson(res, 500, { ok: false, error: 'remove-failed', detail: String(err && err.message || err) });
|
|
606
|
+
}
|
|
607
|
+
},
|
|
608
|
+
}));
|
|
609
|
+
|
|
610
|
+
/* ── 热切换：把皮肤样式自己喂给浏览器 ──────────────────────────────────────
|
|
611
|
+
* 皮肤中心只在**页面加载时**应用皮肤（它的 host 侧把样式塞进文档、client 侧启动时拉
|
|
612
|
+
* `/api/skin-center/v2/active`），桌面壳里 `location.reload()` 又常常被吞掉 ⇒
|
|
613
|
+
* 用户点「使用」后界面永远不变。
|
|
614
|
+
*
|
|
615
|
+
* 所以这里补两条只读路由，把 `harness/skins/<id>/` 里的样式与素材直接发给页面：
|
|
616
|
+
* GET /skins/css?id=<id> → skin.css（`url()` 已重写成下面那条素材路由）
|
|
617
|
+
* GET /skins/asset?id=<id>&p=<rel> → 皮肤目录里的任意素材（图片/字体）
|
|
618
|
+
* 客户端把 CSS 挂成一个 `<link id="folia-skin-hot">` 追加在 `<head>` 末尾 ——
|
|
619
|
+
* 后加载的规则覆盖先前的，于是**不刷新也能换肤**；hooks（粒子等）不会跑，那部分
|
|
620
|
+
* 仍归皮肤中心管。
|
|
621
|
+
*/
|
|
622
|
+
|
|
623
|
+
/** 读一套皮肤的 manifest，拿 `contributes.stylesheet`。 */
|
|
624
|
+
function skinStylesheetOf(dir) {
|
|
625
|
+
try {
|
|
626
|
+
const doc = JSON.parse(readFileSync(join(dir, 'skin.json'), 'utf8'));
|
|
627
|
+
const rel = doc && doc.contributes && doc.contributes.stylesheet;
|
|
628
|
+
if (typeof rel !== 'string') return null;
|
|
629
|
+
const segs = safeRelPath(rel);
|
|
630
|
+
if (!segs || segs.includes('..')) return null;
|
|
631
|
+
return { rel: segs.join('/'), doc };
|
|
632
|
+
} catch {
|
|
633
|
+
return null;
|
|
634
|
+
}
|
|
635
|
+
}
|
|
636
|
+
|
|
637
|
+
/**
|
|
638
|
+
* 取 manifests 里某个可选的样式类字段（当前用于 `patches`）。
|
|
639
|
+
* 与 stylesheet 同样的安全校验：只接受皮肤目录内的相对路径。
|
|
640
|
+
*/
|
|
641
|
+
function skinAuxFileOf(dir, key) {
|
|
642
|
+
try {
|
|
643
|
+
const doc = JSON.parse(readFileSync(join(dir, 'skin.json'), 'utf8'));
|
|
644
|
+
const rel = doc && doc.contributes && doc.contributes[key];
|
|
645
|
+
if (typeof rel !== 'string' || !rel) return null;
|
|
646
|
+
const segs = safeRelPath(rel);
|
|
647
|
+
if (!segs || segs.includes('..')) return null;
|
|
648
|
+
return segs.join('/');
|
|
649
|
+
} catch {
|
|
650
|
+
return null;
|
|
651
|
+
}
|
|
652
|
+
}
|
|
653
|
+
|
|
654
|
+
const ASSET_TYPES = {
|
|
655
|
+
'.css': 'text/css; charset=utf-8',
|
|
656
|
+
'.js': 'text/javascript; charset=utf-8',
|
|
657
|
+
'.json': 'application/json; charset=utf-8',
|
|
658
|
+
'.svg': 'image/svg+xml',
|
|
659
|
+
'.png': 'image/png',
|
|
660
|
+
'.jpg': 'image/jpeg',
|
|
661
|
+
'.jpeg': 'image/jpeg',
|
|
662
|
+
'.webp': 'image/webp',
|
|
663
|
+
'.gif': 'image/gif',
|
|
664
|
+
'.avif': 'image/avif',
|
|
665
|
+
'.mp4': 'video/mp4',
|
|
666
|
+
'.webm': 'video/webm',
|
|
667
|
+
'.woff': 'font/woff',
|
|
668
|
+
'.woff2': 'font/woff2',
|
|
669
|
+
'.ttf': 'font/ttf',
|
|
670
|
+
'.otf': 'font/otf',
|
|
671
|
+
};
|
|
672
|
+
|
|
673
|
+
/* ── 背景层数据 ────────────────────────────────────────────────────────────
|
|
674
|
+
* 一套皮肤的"背景"不在 CSS 里，而是 `contributes.backgroundMedia`：
|
|
675
|
+
* { light: { type: 'video'|'image', src: 'assets/x.mp4', scrim: '<css 渐变>' }, dark: {...} }
|
|
676
|
+
* 皮肤中心负责把这层画出来；它的 DOM 契约（从各皮肤 CSS 反推）是
|
|
677
|
+
* `body [data-dsh-skin-layer='background']`，z-index -2，视频/图片作为子元素
|
|
678
|
+
*（`future-window` 直接写 `> img`，`frutiger-aero` 用 `::after` 叠气泡）。
|
|
679
|
+
* 热切换时没人建这层 ⇒ 背景全空（"水墨丹青没有背景动画"就是这个原因）。
|
|
680
|
+
*/
|
|
681
|
+
disposers.push(webServer.register({
|
|
682
|
+
kind: 'exact',
|
|
683
|
+
path: `${base}/skins/manifest`,
|
|
684
|
+
handler: async (req, res) => {
|
|
685
|
+
const url = new URL(req.url || '/', 'http://x');
|
|
686
|
+
const id = url.searchParams.get('id') || '';
|
|
687
|
+
if (!ID_RE.test(id)) { sendJson(res, 400, { ok: false, error: 'bad-id' }); return; }
|
|
688
|
+
const harness = harnessRoot();
|
|
689
|
+
if (!harness) { sendJson(res, 503, { ok: false, error: 'harness-not-found' }); return; }
|
|
690
|
+
const dir = join(harness, SKINS_DIR_NAME, id);
|
|
691
|
+
let doc;
|
|
692
|
+
try {
|
|
693
|
+
doc = JSON.parse(readFileSync(join(dir, 'skin.json'), 'utf8'));
|
|
694
|
+
} catch {
|
|
695
|
+
sendJson(res, 404, { ok: false, error: 'no-manifest' });
|
|
696
|
+
return;
|
|
697
|
+
}
|
|
698
|
+
const c = (doc && doc.contributes) || {};
|
|
699
|
+
const media = c.backgroundMedia && typeof c.backgroundMedia === 'object' ? c.backgroundMedia : null;
|
|
700
|
+
/** `src` 相对路径 → 我们的素材路由（浏览器只认这条）。 */
|
|
701
|
+
const abs = (rel) => {
|
|
702
|
+
if (typeof rel !== 'string' || !rel) return '';
|
|
703
|
+
if (/^(?:[a-z]+:|\/)/i.test(rel)) return rel;
|
|
704
|
+
return `${base}/skins/asset?id=${encodeURIComponent(id)}&p=${encodeURIComponent(rel)}`;
|
|
705
|
+
};
|
|
706
|
+
const shape = (m) => (m && typeof m === 'object' ? {
|
|
707
|
+
type: m.type === 'video' ? 'video' : 'image',
|
|
708
|
+
url: abs(m.src),
|
|
709
|
+
scrim: typeof m.scrim === 'string' ? m.scrim : '',
|
|
710
|
+
} : null);
|
|
711
|
+
sendJson(res, 200, {
|
|
712
|
+
ok: true,
|
|
713
|
+
id,
|
|
714
|
+
name: typeof doc.name === 'string' ? doc.name : id,
|
|
715
|
+
backgroundMedia: media ? { light: shape(media.light), dark: shape(media.dark) } : null,
|
|
716
|
+
// ⚠️ hooks 的声明位置是 **`facets.client.entry`**，不是 `contributes.hooks`
|
|
717
|
+
//（契约见皮肤中心 contracts/hooks-api.d.ts：`facets.client.entry (hooks.mjs)`）。
|
|
718
|
+
// 之前读 contributes.hooks ⇒ 28 套带动效的皮肤全部"无动效"，而那正是它们
|
|
719
|
+
// 看起来"显示不全"的部分（粒子/漂浮/交互）。这里两个位置都认，以 facets 为准。
|
|
720
|
+
hooks: (() => {
|
|
721
|
+
const facets = (doc && doc.facets) || null;
|
|
722
|
+
const client = facets && facets.client;
|
|
723
|
+
if (client && typeof client.entry === 'string' && client.entry) return client.entry;
|
|
724
|
+
return typeof c.hooks === 'string' ? c.hooks : '';
|
|
725
|
+
})(),
|
|
726
|
+
});
|
|
727
|
+
},
|
|
728
|
+
}));
|
|
729
|
+
|
|
730
|
+
disposers.push(webServer.register({
|
|
731
|
+
kind: 'exact',
|
|
732
|
+
path: `${base}/skins/css`,
|
|
733
|
+
handler: async (req, res) => {
|
|
734
|
+
const url = new URL(req.url || '/', 'http://x');
|
|
735
|
+
const id = url.searchParams.get('id') || '';
|
|
736
|
+
if (!ID_RE.test(id)) { res.statusCode = 400; res.end(); return; }
|
|
737
|
+
const harness = harnessRoot();
|
|
738
|
+
if (!harness) { res.statusCode = 503; res.end(); return; }
|
|
739
|
+
const dir = join(harness, SKINS_DIR_NAME, id);
|
|
740
|
+
const sheet = skinStylesheetOf(dir);
|
|
741
|
+
if (!sheet) { res.statusCode = 404; res.end(); return; }
|
|
742
|
+
let css;
|
|
743
|
+
try {
|
|
744
|
+
// ⚠️ 一套皮肤通常有**两份样式**：`contributes.stylesheet`（token 与结构）与
|
|
745
|
+
// `contributes.patches`（覆盖补丁）。**很多皮肤把全部改动写在 patches 里，
|
|
746
|
+
// stylesheet 故意留空**（例如 black-gold-vip 的 skin.css 只有一行注释）。
|
|
747
|
+
// 只下发 stylesheet ⇒ 换肤"看起来毫无变化"。两份都读，patches 放在后面覆盖。
|
|
748
|
+
const files = [];
|
|
749
|
+
files.push(sheet.rel);
|
|
750
|
+
const patchesRel = skinAuxFileOf(dir, 'patches');
|
|
751
|
+
if (patchesRel) files.push(patchesRel);
|
|
752
|
+
css = files.map((rel) => {
|
|
753
|
+
try { return readFileSync(join(dir, ...rel.split('/')), 'utf8'); } catch { return ''; }
|
|
754
|
+
}).join('\n/* ---- patches ---- */\n');
|
|
755
|
+
} catch {
|
|
756
|
+
res.statusCode = 404;
|
|
757
|
+
res.end();
|
|
758
|
+
return;
|
|
759
|
+
}
|
|
760
|
+
// `url(...)` 全部改写成素材路由：CSS 是从 `/folia/skins/css` 下发的，相对路径会
|
|
761
|
+
// 解析到错误的前缀；改成绝对路径后，图片/字体才找得到。
|
|
762
|
+
const baseDir = sheet.rel.includes('/') ? sheet.rel.slice(0, sheet.rel.lastIndexOf('/')) : '';
|
|
763
|
+
const abs = (p) => {
|
|
764
|
+
if (/^(?:[a-z]+:|\/|#|data:)/i.test(p)) return p;
|
|
765
|
+
const rel = (baseDir ? baseDir + '/' : '') + p;
|
|
766
|
+
return `${base}/skins/asset?id=${encodeURIComponent(id)}&p=${encodeURIComponent(rel)}`;
|
|
767
|
+
};
|
|
768
|
+
css = css.replace(/url\(\s*(['"]?)([^'")]+)\1\s*\)/gi, (m, q, p) => `url("${abs(p.trim())}")`);
|
|
769
|
+
res.setHeader('Content-Type', 'text/css; charset=utf-8');
|
|
770
|
+
// 不缓存：换皮肤后必须立刻拿到新的一份，否则用户会看到上一套的样式。
|
|
771
|
+
res.setHeader('Cache-Control', 'no-store');
|
|
772
|
+
res.end(css);
|
|
773
|
+
},
|
|
774
|
+
}));
|
|
775
|
+
|
|
776
|
+
/* ── 路径式素材路由 ────────────────────────────────────────────────────────
|
|
777
|
+
* 皮肤的 hooks 契约（`contracts/hooks-api.d.ts`）给的是 `assetBase`：一个**同源 URL
|
|
778
|
+
* 前缀**，hooks 里自己拼 `assetBase + 'assets/x.webp'`。`?id=&p=` 这种查询式前缀拼不出
|
|
779
|
+
* 合法地址，所以这里再提供一条路径式：`/skins/files/<id>/<相对路径>`。
|
|
780
|
+
* 与 asset 完全同一套安全校验（id 白名单 + 路径段 + 越界检查）。
|
|
781
|
+
*/
|
|
782
|
+
disposers.push(webServer.register({
|
|
783
|
+
kind: 'prefix',
|
|
784
|
+
path: `${base}/skins/files`,
|
|
785
|
+
handler: async (req, res) => {
|
|
786
|
+
let pathname = '/';
|
|
787
|
+
try { pathname = new URL(req.url || '/', 'http://x').pathname; } catch { res.statusCode = 400; res.end(); return; }
|
|
788
|
+
const prefix = `${base}/skins/files/`;
|
|
789
|
+
if (!pathname.startsWith(prefix)) { res.statusCode = 404; res.end(); return; }
|
|
790
|
+
const rest = decodeURIComponent(pathname.slice(prefix.length));
|
|
791
|
+
const slash = rest.indexOf('/');
|
|
792
|
+
const id = slash < 0 ? rest : rest.slice(0, slash);
|
|
793
|
+
const rel = slash < 0 ? '' : rest.slice(slash + 1);
|
|
794
|
+
if (!ID_RE.test(id)) { res.statusCode = 400; res.end(); return; }
|
|
795
|
+
const segs = safeRelPath(rel);
|
|
796
|
+
if (!segs || segs.includes('..')) { res.statusCode = 400; res.end(); return; }
|
|
797
|
+
const harness = harnessRoot();
|
|
798
|
+
if (!harness) { res.statusCode = 503; res.end(); return; }
|
|
799
|
+
const root = join(harness, SKINS_DIR_NAME, id);
|
|
800
|
+
const file = join(root, ...segs);
|
|
801
|
+
if (!resolve(file).startsWith(resolve(root) + sep)) { res.statusCode = 400; res.end(); return; }
|
|
802
|
+
if (!existsSync(file) || !statSync(file).isFile()) { res.statusCode = 404; res.end(); return; }
|
|
803
|
+
const ext = (file.slice(file.lastIndexOf('.')).toLowerCase() || '');
|
|
804
|
+
res.setHeader('Content-Type', ASSET_TYPES[ext] || 'application/octet-stream');
|
|
805
|
+
res.setHeader('Cache-Control', 'public, max-age=300');
|
|
806
|
+
res.end(readFileSync(file));
|
|
807
|
+
},
|
|
808
|
+
}));
|
|
809
|
+
|
|
810
|
+
/* ── 自己实现「作用域化」，不再依赖皮肤中心的接口 ────────────────────────────
|
|
811
|
+
*
|
|
812
|
+
* 皮肤中心的 `/api/skin-center/v2/skins/<id>/stylesheet` 会走 `transformSkinCss()`：
|
|
813
|
+
* 把**每条选择器**包进 `html[data-dsh-skin="<id>"]`。这一步决定皮肤能不能压住应用
|
|
814
|
+
* 自身的面板/令牌规则 —— 作用域化之后特异性更高。
|
|
815
|
+
*
|
|
816
|
+
* 但那条路由在网关后面：浏览器直连 401，宿主代发（哪怕透传全部请求头）也可能 401。
|
|
817
|
+
* 而"让每个用户把自己的会话凭证交给插件"不是可交付的方案。所以这里**自己算**：
|
|
818
|
+
* 读皮肤目录里的 CSS，做同一件事，输出等价结果。
|
|
819
|
+
*
|
|
820
|
+
* 转换规则：
|
|
821
|
+
* · 普通规则：`a, b` → `html[data-dsh-skin="x"] a, html[data-dsh-skin="x"] b`
|
|
822
|
+
* · 以 `:root` 开头的：开头换成作用域本身
|
|
823
|
+
* · 以 `html` 开头的：原样保留（作者自己已作用域化，别套两层）
|
|
824
|
+
* · `@media/@supports/@layer/@container`：**递归进去**处理内部规则
|
|
825
|
+
* · `@keyframes/@font-face/@page/@property/@import`：原样保留
|
|
826
|
+
* （关键帧内部是 `0% {}` 这种选择器，套作用域会直接毁掉动画）
|
|
827
|
+
*/
|
|
828
|
+
|
|
829
|
+
/** 从 `openIdx`（指向 `{`）找配对的 `}`，跳过注释与字符串。找不到返回 -1。 */
|
|
830
|
+
function matchBrace(css, openIdx) {
|
|
831
|
+
let depth = 0;
|
|
832
|
+
for (let i = openIdx; i < css.length; i++) {
|
|
833
|
+
const ch = css[i];
|
|
834
|
+
if (ch === '/' && css[i + 1] === '*') {
|
|
835
|
+
const end = css.indexOf('*/', i + 2);
|
|
836
|
+
if (end < 0) return -1;
|
|
837
|
+
i = end + 1;
|
|
838
|
+
continue;
|
|
839
|
+
}
|
|
840
|
+
if (ch === '"' || ch === "'") {
|
|
841
|
+
const quote = ch;
|
|
842
|
+
for (i++; i < css.length; i++) {
|
|
843
|
+
if (css[i] === '\\') { i++; continue; }
|
|
844
|
+
if (css[i] === quote) break;
|
|
845
|
+
}
|
|
846
|
+
continue;
|
|
847
|
+
}
|
|
848
|
+
if (ch === '{') depth++;
|
|
849
|
+
else if (ch === '}') {
|
|
850
|
+
depth--;
|
|
851
|
+
if (depth === 0) return i;
|
|
852
|
+
}
|
|
853
|
+
}
|
|
854
|
+
return -1;
|
|
855
|
+
}
|
|
856
|
+
|
|
857
|
+
/** 单个选择器 → 作用域化后的选择器。 */
|
|
858
|
+
function scopeSelector(sel, scope) {
|
|
859
|
+
const t = sel.trim();
|
|
860
|
+
if (!t) return t;
|
|
861
|
+
if (/^:root\b/.test(t)) return t.replace(/^:root/, scope);
|
|
862
|
+
if (/^html\b/i.test(t)) return t; // 作者已作用域化，别套两层
|
|
863
|
+
return scope + ' ' + t;
|
|
864
|
+
}
|
|
865
|
+
|
|
866
|
+
/** 选择器列表 → 逐项作用域化。**不切括号内的逗号**（:is()/:not()/[a="b,c"]）。 */
|
|
867
|
+
function scopeSelectorList(list, scope) {
|
|
868
|
+
const out = [];
|
|
869
|
+
let depth = 0;
|
|
870
|
+
let cur = '';
|
|
871
|
+
for (const ch of list) {
|
|
872
|
+
if (ch === '(' || ch === '[') depth++;
|
|
873
|
+
else if (ch === ')' || ch === ']') depth = Math.max(0, depth - 1);
|
|
874
|
+
if (ch === ',' && depth === 0) { out.push(cur); cur = ''; continue; }
|
|
875
|
+
cur += ch;
|
|
876
|
+
}
|
|
877
|
+
out.push(cur);
|
|
878
|
+
return out.map((s) => scopeSelector(s, scope)).join(', ');
|
|
879
|
+
}
|
|
880
|
+
|
|
881
|
+
const GROUP_AT = /^@(media|supports|layer|container|scope)\b/i;
|
|
882
|
+
const KEEP_AT = /^@(keyframes|-webkit-keyframes|font-face|page|property|counter-style|import|charset|namespace)\b/i;
|
|
883
|
+
|
|
884
|
+
/** 把整段 CSS 作用域化。看不懂的结构就原样跳过该段（宁可少转，不可转坏）。 */
|
|
885
|
+
function scopeCss(css, id) {
|
|
886
|
+
const scope = `html[data-dsh-skin="${id}"]`;
|
|
887
|
+
let out = '';
|
|
888
|
+
let i = 0;
|
|
889
|
+
while (i < css.length) {
|
|
890
|
+
if (css[i] === '/' && css[i + 1] === '*') { // 注释原样保留
|
|
891
|
+
const end = css.indexOf('*/', i + 2);
|
|
892
|
+
if (end < 0) { out += css.slice(i); break; }
|
|
893
|
+
out += css.slice(i, end + 2);
|
|
894
|
+
i = end + 2;
|
|
895
|
+
continue;
|
|
896
|
+
}
|
|
897
|
+
if (/\s/.test(css[i])) { out += css[i++]; continue; }
|
|
898
|
+
|
|
899
|
+
if (css[i] === '@') {
|
|
900
|
+
const headEnd = css.indexOf('{', i);
|
|
901
|
+
const semi = css.indexOf(';', i);
|
|
902
|
+
if (semi >= 0 && (headEnd < 0 || semi < headEnd)) { // 无块 at-rule
|
|
903
|
+
out += css.slice(i, semi + 1);
|
|
904
|
+
i = semi + 1;
|
|
905
|
+
continue;
|
|
906
|
+
}
|
|
907
|
+
if (headEnd < 0) { out += css.slice(i); break; }
|
|
908
|
+
const head = css.slice(i, headEnd).trim();
|
|
909
|
+
const close = matchBrace(css, headEnd);
|
|
910
|
+
if (close < 0) { out += css.slice(i); break; }
|
|
911
|
+
const inner = css.slice(headEnd + 1, close);
|
|
912
|
+
// 分组 at-rule 递归进去；其余（关键帧/字体面/未知）原样保留
|
|
913
|
+
out += head + '{' + (GROUP_AT.test(head) ? scopeCss(inner, id) : inner) + '}';
|
|
914
|
+
i = close + 1;
|
|
915
|
+
continue;
|
|
916
|
+
}
|
|
917
|
+
|
|
918
|
+
const braceIdx = css.indexOf('{', i); // 普通规则
|
|
919
|
+
if (braceIdx < 0) { out += css.slice(i); break; }
|
|
920
|
+
const selector = css.slice(i, braceIdx);
|
|
921
|
+
const close = matchBrace(css, braceIdx);
|
|
922
|
+
if (close < 0) { out += css.slice(i); break; }
|
|
923
|
+
out += scopeSelectorList(selector, scope) + '{' + css.slice(braceIdx + 1, close) + '}';
|
|
924
|
+
i = close + 1;
|
|
925
|
+
}
|
|
926
|
+
return out;
|
|
927
|
+
}
|
|
928
|
+
|
|
929
|
+
/* ── 皮肤中心「加工后 CSS」的宿主端代理 ──────────────────────────────────────
|
|
930
|
+
* 皮肤中心的 `/skins/<id>/stylesheet|patches` 是 `transformSkinCss()` 的产物：
|
|
931
|
+
* **每条规则被强制包进 `html[data-dsh-skin="<id>"]`**，特异性高于应用自身规则 ——
|
|
932
|
+
* 只有那份 CSS 才能真正把面板压透。皮肤目录里的原始 CSS 压不住，于是"显示不全"。
|
|
933
|
+
*
|
|
934
|
+
* 为什么需要代理：浏览器直接请求 `/api/skin-center/v2/...` 被 DSH 网关挡掉
|
|
935
|
+
*（实测前端一直落到"未作用域化"的降级分支）。宿主端在本机回环上再发一次、并**带上
|
|
936
|
+
* 浏览器这次请求的 Cookie 与同源头**，就能拿到那份产物。
|
|
937
|
+
*
|
|
938
|
+
* 拿不到（皮肤中心没装 / 该皮肤不在它的 catalog 里）一律 404，客户端据此回退到原始 CSS。
|
|
939
|
+
*/
|
|
940
|
+
disposers.push(webServer.register({
|
|
941
|
+
kind: 'exact',
|
|
942
|
+
path: `${base}/skins/scoped-css`,
|
|
943
|
+
handler: async (req, res) => {
|
|
944
|
+
const url = new URL(req.url || '/', 'http://x');
|
|
945
|
+
const id = url.searchParams.get('id') || '';
|
|
946
|
+
if (!ID_RE.test(id)) { res.statusCode = 400; res.end(); return; }
|
|
947
|
+
const host = req && req.headers && req.headers.host;
|
|
948
|
+
if (!host) { res.statusCode = 500; res.end(); return; }
|
|
949
|
+
const origin = 'http://' + host;
|
|
950
|
+
// 透传**全部**入站头（网关认的是这次会话的凭证，可能是 cookie，也可能是某个自定义
|
|
951
|
+
// 头；只挑几个字段必漏），再去掉逐跳头并补上同源语义。
|
|
952
|
+
// 实测：裸请求与"只带 sec-fetch-*"都回 401 ⇒ 凭证不在这几个头里。
|
|
953
|
+
const HOP_BY_HOP = new Set([
|
|
954
|
+
'host', 'connection', 'keep-alive', 'transfer-encoding', 'upgrade', 'te', 'trailer',
|
|
955
|
+
'proxy-authorization', 'proxy-authenticate', 'content-length', 'accept-encoding',
|
|
956
|
+
]);
|
|
957
|
+
const fwdHeaders = {};
|
|
958
|
+
for (const [k, v] of Object.entries(req.headers || {})) {
|
|
959
|
+
const key = k.toLowerCase();
|
|
960
|
+
if (HOP_BY_HOP.has(key)) continue;
|
|
961
|
+
if (typeof v === 'string') fwdHeaders[key] = v;
|
|
962
|
+
else if (Array.isArray(v)) fwdHeaders[key] = v.join(', ');
|
|
963
|
+
}
|
|
964
|
+
fwdHeaders.origin = origin;
|
|
965
|
+
fwdHeaders.referer = origin + '/';
|
|
966
|
+
fwdHeaders['sec-fetch-site'] = 'same-origin';
|
|
967
|
+
fwdHeaders['sec-fetch-mode'] = 'cors';
|
|
968
|
+
fwdHeaders['sec-fetch-dest'] = 'empty';
|
|
969
|
+
fwdHeaders.accept = 'text/css,*/*;q=0.1';
|
|
970
|
+
|
|
971
|
+
for (const part of ['stylesheet', 'patches']) {
|
|
972
|
+
try {
|
|
973
|
+
const r = await fetch(origin + '/api/skin-center/v2/skins/' + encodeURIComponent(id) + '/' + part, {
|
|
974
|
+
headers: fwdHeaders,
|
|
975
|
+
signal: AbortSignal.timeout(SKINS_TIMEOUT_MS),
|
|
976
|
+
});
|
|
977
|
+
if (!r.ok) continue;
|
|
978
|
+
const text = await r.text();
|
|
979
|
+
if (!text || !text.trim()) continue;
|
|
980
|
+
res.setHeader('Content-Type', 'text/css; charset=utf-8');
|
|
981
|
+
res.setHeader('Cache-Control', 'no-store');
|
|
982
|
+
res.setHeader('X-Folia-Scoped', 'skin-center');
|
|
983
|
+
res.end(text);
|
|
984
|
+
return;
|
|
985
|
+
} catch { /* 这一段失败就试下一段 */ }
|
|
986
|
+
}
|
|
987
|
+
|
|
988
|
+
// 代理拿不到（网关拦截 / 没装皮肤中心）⇒ **自己作用域化**。
|
|
989
|
+
// 这条路不依赖任何凭证，也不依赖对方的进程，对所有用户一致成立。
|
|
990
|
+
const harness = harnessRoot();
|
|
991
|
+
if (!harness) { res.statusCode = 503; res.end(); return; }
|
|
992
|
+
const dir = join(harness, SKINS_DIR_NAME, id);
|
|
993
|
+
const sheet = skinStylesheetOf(dir);
|
|
994
|
+
if (!sheet) { res.statusCode = 404; res.end(); return; }
|
|
995
|
+
const raw = [];
|
|
996
|
+
try { raw.push(readFileSync(join(dir, ...sheet.rel.split('/')), 'utf8')); } catch { /* 主样式读不到就不能算成功 */ }
|
|
997
|
+
if (raw.length === 0) { res.statusCode = 404; res.end(); return; }
|
|
998
|
+
const patches = skinAuxFileOf(dir, 'patches');
|
|
999
|
+
if (patches) {
|
|
1000
|
+
try { raw.push(readFileSync(join(dir, ...patches.split('/')), 'utf8')); } catch { /* 补丁缺失可接受 */ }
|
|
1001
|
+
}
|
|
1002
|
+
// url() 先改写成我们的素材路由（作用域化只动选择器，不动声明）。
|
|
1003
|
+
const baseDir = sheet.rel.includes('/') ? sheet.rel.slice(0, sheet.rel.lastIndexOf('/')) : '';
|
|
1004
|
+
const absUrl = (p) => {
|
|
1005
|
+
if (/^(?:[a-z]+:|\/|#|data:)/i.test(p)) return p;
|
|
1006
|
+
const rel = (baseDir ? baseDir + '/' : '') + p;
|
|
1007
|
+
return `${base}/skins/asset?id=${encodeURIComponent(id)}&p=${encodeURIComponent(rel)}`;
|
|
1008
|
+
};
|
|
1009
|
+
const merged = raw.join('\n/* ---- patches ---- */\n')
|
|
1010
|
+
.replace(/url\(\s*(['"]?)([^'")]+)\1\s*\)/gi, (m, q, p) => `url("${absUrl(p.trim())}")`);
|
|
1011
|
+
const scoped = scopeCss(merged, id);
|
|
1012
|
+
note('[skins] scoped locally: ' + id + ' (' + scoped.length + ' bytes)');
|
|
1013
|
+
res.setHeader('Content-Type', 'text/css; charset=utf-8');
|
|
1014
|
+
res.setHeader('Cache-Control', 'no-store');
|
|
1015
|
+
res.setHeader('X-Folia-Scoped', 'local');
|
|
1016
|
+
res.end(scoped);
|
|
1017
|
+
},
|
|
1018
|
+
}));
|
|
1019
|
+
|
|
1020
|
+
disposers.push(webServer.register({
|
|
1021
|
+
kind: 'exact',
|
|
1022
|
+
path: `${base}/skins/asset`,
|
|
1023
|
+
handler: async (req, res) => {
|
|
1024
|
+
const url = new URL(req.url || '/', 'http://x');
|
|
1025
|
+
const id = url.searchParams.get('id') || '';
|
|
1026
|
+
const rel = url.searchParams.get('p') || '';
|
|
1027
|
+
if (!ID_RE.test(id)) { res.statusCode = 400; res.end(); return; }
|
|
1028
|
+
const segs = safeRelPath(rel);
|
|
1029
|
+
if (!segs || segs.includes('..')) { res.statusCode = 400; res.end(); return; }
|
|
1030
|
+
const harness = harnessRoot();
|
|
1031
|
+
if (!harness) { res.statusCode = 503; res.end(); return; }
|
|
1032
|
+
const root = join(harness, SKINS_DIR_NAME, id);
|
|
1033
|
+
const file = join(root, ...segs);
|
|
1034
|
+
if (!resolve(file).startsWith(resolve(root) + sep)) { res.statusCode = 400; res.end(); return; }
|
|
1035
|
+
if (!existsSync(file) || !statSync(file).isFile()) { res.statusCode = 404; res.end(); return; }
|
|
1036
|
+
const ext = (file.slice(file.lastIndexOf('.')).toLowerCase() || '');
|
|
1037
|
+
res.setHeader('Content-Type', ASSET_TYPES[ext] || 'application/octet-stream');
|
|
1038
|
+
res.setHeader('Cache-Control', 'public, max-age=300');
|
|
1039
|
+
res.end(readFileSync(file));
|
|
1040
|
+
},
|
|
1041
|
+
}));
|
|
1042
|
+
|
|
1043
|
+
disposers.push(webServer.register({
|
|
1044
|
+
kind: 'exact',
|
|
1045
|
+
path: `${base}/skins/preview`,
|
|
1046
|
+
handler: async (req, res) => {
|
|
1047
|
+
// 预览图代理：浏览器不能直连站点（跨境），也避免把站点 URL 散到客户端各处。
|
|
1048
|
+
const url = new URL(req.url || '/', 'http://x');
|
|
1049
|
+
const rel = url.searchParams.get('p') || '';
|
|
1050
|
+
const site = skinsSiteBase();
|
|
1051
|
+
if (!site) { res.statusCode = 503; res.end(); return; }
|
|
1052
|
+
const segs = safeRelPath(rel);
|
|
1053
|
+
if (!segs || segs.includes('..')) { res.statusCode = 400; res.end(); return; }
|
|
1054
|
+
try {
|
|
1055
|
+
const r = await fetch(site + '/' + segs.join('/'), {
|
|
1056
|
+
headers: { accept: 'image/*' },
|
|
1057
|
+
signal: AbortSignal.timeout(SKINS_TIMEOUT_MS),
|
|
1058
|
+
});
|
|
1059
|
+
if (!r.ok) { res.statusCode = 404; res.end(); return; }
|
|
1060
|
+
const buf = Buffer.from(await r.arrayBuffer());
|
|
1061
|
+
res.setHeader('Content-Type', r.headers.get('content-type') || 'image/jpeg');
|
|
1062
|
+
res.setHeader('Cache-Control', 'public, max-age=3600');
|
|
1063
|
+
res.end(buf);
|
|
1064
|
+
} catch {
|
|
1065
|
+
res.statusCode = 502;
|
|
1066
|
+
res.end();
|
|
1067
|
+
}
|
|
1068
|
+
},
|
|
1069
|
+
}));
|
|
1070
|
+
}
|
|
1071
|
+
|
|
1072
|
+
/* renameSync / cpSync 的薄封装：统一「同分区 rename、跨设备退化复制」这一处。 */
|
|
1073
|
+
function renameSyncSafe(from, to) { renameSync(from, to); }
|
|
1074
|
+
function cpSyncSafe(from, to) { cpSync(from, to, { recursive: true }); }
|