dsh-folia 4.0.1 → 4.0.2

package/lib/boot/index.js

@@ -8,6 +8,7 @@
  *     内联 JSON，启动时连一次请求都不发。
  *  3. **任何异常都必须放行**。注入的脚本顶层 try/catch，超时自毁，绝不把用户挡在门外。
  */
+import { createHash } from 'node:crypto';
 import { existsSync, mkdirSync, readFileSync, readdirSync, rmSync, statSync, writeFileSync } from 'node:fs';
 import { homedir } from 'node:os';
 import { extname, join } from 'node:path';
@@ -67,12 +68,33 @@ export function writeBoot(patch) {
   return readBoot();
 }
 
-/** 允许的 id：目录名安全字符，防止拿它拼路径时被穿越。 */
-const ID_RE = /^[a-z0-9][a-z0-9._-]*$/i;
+/**
+ * id → **磁盘文件名**：ASCII 化 + 短哈希。
+ *
+ * 为什么不再拿 id 直接当文件名：站点上的 slug 允许中文（实测有一条叫「痘印」），
+ * 而严格的正则把它判成非法 ⇒ 用户点下载永远是 `bad-id`。id 可以任意宽容，
+ * **文件名必须安全** —— 这两件事不该绑在一起。
+ *
+ * 规则：非 `[a-zA-Z0-9._-]` 一律折成 `-`，再拼 8 位 sha1 前缀，保证
+ *   · 永远不会出现路径分隔符 / `..` / 控制字符；
+ *   · 不同 id 即使折成同一个 ASCII 名也不会互相覆盖；
+ *   · 原始 id 存在同名 `.json` 里，列表读回来还是原来那个。
+ */
+function clipStem(id) {
+  const raw = String(id || '');
+  const ascii = raw.replace(/[^a-zA-Z0-9._-]+/g, '-').replace(/^[-.]+|[-.]+$/g, '').slice(0, 40) || 'clip';
+  const hash = createHash('sha1').update(raw).digest('hex').slice(0, 8);
+  return ascii + '-' + hash;
+}
+/** 片段文件。id 可以是任意字符串（含中文），只有磁盘名会被 ASCII 化。 */
 export function clipFile(id) {
-  if (!ID_RE.test(String(id || ''))) return null;
-  const p = join(bootDir(), String(id) + '.mp4');
-  return p;
+  if (!String(id || '')) return null;
+  return join(bootDir(), clipStem(id) + '.mp4');
+}
+/** 片段元数据文件（存原始 id / 标题 / 时长）。 */
+export function clipMetaFile(id) {
+  if (!String(id || '')) return null;
+  return join(bootDir(), clipStem(id) + '.json');
 }
 export function clipExists(id) {
   const p = clipFile(id);
@@ -85,14 +107,21 @@ export function listLocalClips() {
   const out = [];
   let names = [];
   try { names = readdirSync(dir); } catch { return out; }
+  // 以 `.json` 为主：里面有**原始 id**（可能是中文），文件名只是它的 ASCII 代理。
+  const stems = new Set();
   for (const n of names) {
-    if (extname(n).toLowerCase() !== '.mp4') continue;
-    const id = n.slice(0, -4);
-    const abs = join(dir, n);
+    if (extname(n).toLowerCase() === '.json') stems.add(n.slice(0, -5));
+    if (extname(n).toLowerCase() === '.mp4') stems.add(n.slice(0, -4));
+  }
+  for (const stem of stems) {
+    const abs = join(dir, stem + '.mp4');
+    if (!existsSync(abs)) continue;
     let bytes = 0;
     try { bytes = statSync(abs).size; } catch { continue; }
+    if (bytes <= 0) continue;
     let meta = {};
-    try { meta = JSON.parse(readFileSync(join(dir, id + '.json'), 'utf8')) || {}; } catch { /* 没 meta 也能用 */ }
+    try { meta = JSON.parse(readFileSync(join(dir, stem + '.json'), 'utf8')) || {}; } catch { /* 没 meta 也能用 */ }
+    const id = String(meta.id || stem);
     out.push({ id, bytes, title: meta.title || id, durationSec: meta.durationSec || null });
   }
   return out;
@@ -102,7 +131,7 @@ export function removeClip(id) {
   const p = clipFile(id);
   if (!p) return false;
   try { if (existsSync(p)) rmSync(p); } catch { return false; }
-  try { const m = join(bootDir(), String(id) + '.json'); if (existsSync(m)) rmSync(m); } catch { /* ignore */ }
+  try { const m = clipMetaFile(id); if (m && existsSync(m)) rmSync(m); } catch { /* ignore */ }
   return true;
 }
 

package/lib/routes/boot.js

@@ -14,7 +14,7 @@ import { join } from 'node:path';
 import { sendJson } from '../json-response.js';
 import { bodyReader } from '../http-body.js';
 import { resolveModules } from './modules.js';
-import { bootDir, clipExists, clipFile, listLocalClips, readBoot, removeClip, writeBoot } from '../boot/index.js';
+import { clipExists, clipFile, clipMetaFile, listLocalClips, readBoot, removeClip, writeBoot } from '../boot/index.js';
 
 /**
  * 站点基址。开机动画的候选**从站点分类取**（`?category=boot-animation`），
@@ -118,7 +118,12 @@ async function readIdBody(req) {
     const text = await readBodyText(req, 64 * 1024);
     const doc = JSON.parse(text || '{}');
     const id = String((doc && doc.id) || '').trim();
-    return /^[a-z0-9][a-z0-9._-]*$/i.test(id) ? id : null;
+    // id 来自站点 slug，**可以是中文**（实测有「痘印」）。这里只挡真正的危险输入：
+    // 路径分隔符、控制字符、`..`、超长 —— 其余一律放行，文件名由宿主安全化。
+    if (!id || id.length > 200) return null;
+    if (/[\u0000-\u001f\u007f/\\]/.test(id)) return null;
+    if (id === '.' || id === '..' || id.includes('..')) return null;
+    return id;
   } catch {
     return null;
   }
@@ -273,7 +278,8 @@ export function registerBootRoutes(webServer, c) {
         if (buf.length > CLIP_MAX_BYTES) { sendJson(res, 413, { ok: false, error: 'too-large' }); return; }
         writeFileSync(dest, buf);
         try {
-          writeFileSync(join(bootDir(), id + '.json'), JSON.stringify({
+          writeFileSync(clipMetaFile(id), JSON.stringify({
+            id,
             title: item.title, durationSec: item.durationSec, bytes: buf.length, sha256: item.sha256 || null,
           }, null, 2) + '\n');
         } catch { /* meta 只是锦上添花 */ }

package/package.json

@@ -1,6 +1,6 @@
 {
     "name":  "dsh-folia",
-    "version":  "4.0.1",
+    "version":  "4.0.2",
     "description":  "Folia 壁纸引擎：把本机 Wallpaper Engine 壁纸搬进 DSH 界面（场景实时渲染 / 视频 / 网页），内置液态玻璃与 Folia 吉祥物，并可从自建站点拉取壁纸。单包形态（组件已合并）。",
     "type":  "module",
     "engines":  {