dsh-folia 4.0.1 → 4.0.3

package/lib/boot/index.js

@@ -8,6 +8,7 @@
  *     内联 JSON，启动时连一次请求都不发。
  *  3. **任何异常都必须放行**。注入的脚本顶层 try/catch，超时自毁，绝不把用户挡在门外。
  */
+import { createHash } from 'node:crypto';
 import { existsSync, mkdirSync, readFileSync, readdirSync, rmSync, statSync, writeFileSync } from 'node:fs';
 import { homedir } from 'node:os';
 import { extname, join } from 'node:path';
@@ -67,12 +68,33 @@ export function writeBoot(patch) {
   return readBoot();
 }
 
-/** 允许的 id：目录名安全字符，防止拿它拼路径时被穿越。 */
-const ID_RE = /^[a-z0-9][a-z0-9._-]*$/i;
+/**
+ * id → **磁盘文件名**：ASCII 化 + 短哈希。
+ *
+ * 为什么不再拿 id 直接当文件名：站点上的 slug 允许中文（实测有一条叫「痘印」），
+ * 而严格的正则把它判成非法 ⇒ 用户点下载永远是 `bad-id`。id 可以任意宽容，
+ * **文件名必须安全** —— 这两件事不该绑在一起。
+ *
+ * 规则：非 `[a-zA-Z0-9._-]` 一律折成 `-`，再拼 8 位 sha1 前缀，保证
+ *   · 永远不会出现路径分隔符 / `..` / 控制字符；
+ *   · 不同 id 即使折成同一个 ASCII 名也不会互相覆盖；
+ *   · 原始 id 存在同名 `.json` 里，列表读回来还是原来那个。
+ */
+function clipStem(id) {
+  const raw = String(id || '');
+  const ascii = raw.replace(/[^a-zA-Z0-9._-]+/g, '-').replace(/^[-.]+|[-.]+$/g, '').slice(0, 40) || 'clip';
+  const hash = createHash('sha1').update(raw).digest('hex').slice(0, 8);
+  return ascii + '-' + hash;
+}
+/** 片段文件。id 可以是任意字符串（含中文），只有磁盘名会被 ASCII 化。 */
 export function clipFile(id) {
-  if (!ID_RE.test(String(id || ''))) return null;
-  const p = join(bootDir(), String(id) + '.mp4');
-  return p;
+  if (!String(id || '')) return null;
+  return join(bootDir(), clipStem(id) + '.mp4');
+}
+/** 片段元数据文件（存原始 id / 标题 / 时长）。 */
+export function clipMetaFile(id) {
+  if (!String(id || '')) return null;
+  return join(bootDir(), clipStem(id) + '.json');
 }
 export function clipExists(id) {
   const p = clipFile(id);
@@ -85,14 +107,21 @@ export function listLocalClips() {
   const out = [];
   let names = [];
   try { names = readdirSync(dir); } catch { return out; }
+  // 以 `.json` 为主：里面有**原始 id**（可能是中文），文件名只是它的 ASCII 代理。
+  const stems = new Set();
   for (const n of names) {
-    if (extname(n).toLowerCase() !== '.mp4') continue;
-    const id = n.slice(0, -4);
-    const abs = join(dir, n);
+    if (extname(n).toLowerCase() === '.json') stems.add(n.slice(0, -5));
+    if (extname(n).toLowerCase() === '.mp4') stems.add(n.slice(0, -4));
+  }
+  for (const stem of stems) {
+    const abs = join(dir, stem + '.mp4');
+    if (!existsSync(abs)) continue;
     let bytes = 0;
     try { bytes = statSync(abs).size; } catch { continue; }
+    if (bytes <= 0) continue;
     let meta = {};
-    try { meta = JSON.parse(readFileSync(join(dir, id + '.json'), 'utf8')) || {}; } catch { /* 没 meta 也能用 */ }
+    try { meta = JSON.parse(readFileSync(join(dir, stem + '.json'), 'utf8')) || {}; } catch { /* 没 meta 也能用 */ }
+    const id = String(meta.id || stem);
     out.push({ id, bytes, title: meta.title || id, durationSec: meta.durationSec || null });
   }
   return out;
@@ -102,7 +131,7 @@ export function removeClip(id) {
   const p = clipFile(id);
   if (!p) return false;
   try { if (existsSync(p)) rmSync(p); } catch { return false; }
-  try { const m = join(bootDir(), String(id) + '.json'); if (existsSync(m)) rmSync(m); } catch { /* ignore */ }
+  try { const m = clipMetaFile(id); if (m && existsSync(m)) rmSync(m); } catch { /* ignore */ }
   return true;
 }
 

package/lib/routes/boot.js

@@ -9,12 +9,12 @@
  * 播放走 `/folia/boot/clip`，**支持 Range**：注入的 `<video>` 与浏览器都靠它边下边播。
  * 这也是为什么片段必须先落盘 —— 启动路径上不能有网络。
  */
-import { createReadStream, existsSync, statSync, writeFileSync } from 'node:fs';
+import { createReadStream, existsSync, readFileSync, statSync, writeFileSync } from 'node:fs';
 import { join } from 'node:path';
 import { sendJson } from '../json-response.js';
 import { bodyReader } from '../http-body.js';
 import { resolveModules } from './modules.js';
-import { bootDir, clipExists, clipFile, listLocalClips, readBoot, removeClip, writeBoot } from '../boot/index.js';
+import { clipExists, clipFile, clipMetaFile, listLocalClips, readBoot, removeClip, writeBoot } from '../boot/index.js';
 
 /**
  * 站点基址。开机动画的候选**从站点分类取**（`?category=boot-animation`），
@@ -112,13 +112,40 @@ async function fetchClipBytes(url, chunks = 4) {
   }
 }
 
+/**
+ * 判定一段字节是不是**真的视频**，并给出它的 MIME。
+ *
+ * 为什么必须验文件头而不是 content-type：站点对未知路径会回退 index.html 并以 200 返回，
+ * 这种"伪视频"存成 .mp4 的结果是**每次开机黑屏**。
+ *
+ * 认两种容器（覆盖站点上实际会有的上传）：
+ *   MP4/MOV  ISO BMFF —— 偏移 4..8 是 `ftyp`
+ *   WebM     EBML    —— 开头 4 字节是 1A 45 DF A3
+ */
+export function sniffVideo(buf) {
+  if (!buf || buf.length < 1024) return null;
+  if (buf.length >= 12 && buf.toString('latin1', 4, 8) === 'ftyp') {
+    const brand = buf.toString('latin1', 8, 12);
+    return { mime: 'video/mp4', ext: '.mp4', container: 'mp4', brand };
+  }
+  if (buf.length >= 4 && buf[0] === 0x1a && buf[1] === 0x45 && buf[2] === 0xdf && buf[3] === 0xa3) {
+    return { mime: 'video/webm', ext: '.webm', container: 'webm', brand: null };
+  }
+  return null;
+}
+
 /** 读请求体里的 `{ id }`。 */
 async function readIdBody(req) {
   try {
     const text = await readBodyText(req, 64 * 1024);
     const doc = JSON.parse(text || '{}');
     const id = String((doc && doc.id) || '').trim();
-    return /^[a-z0-9][a-z0-9._-]*$/i.test(id) ? id : null;
+    // id 来自站点 slug，**可以是中文**（实测有「痘印」）。这里只挡真正的危险输入：
+    // 路径分隔符、控制字符、`..`、超长 —— 其余一律放行，文件名由宿主安全化。
+    if (!id || id.length > 200) return null;
+    if (/[\u0000-\u001f\u007f/\\]/.test(id)) return null;
+    if (id === '.' || id === '..' || id.includes('..')) return null;
+    return id;
   } catch {
     return null;
   }
@@ -264,16 +291,19 @@ export function registerBootRoutes(webServer, c) {
         const buf = await fetchClipBytes(item.url, 4);
         const ct = 'video/mp4';   // 并行分段之后没有单一响应头可读，类型下面用 ftyp 验
         // 站点把未知路径回落到 HTML —— 这类"伪 200"绝不能当成视频存下来（否则每次开机黑屏）。
-        // 只认文件头：`ftyp` 在偏移 4。比 content-type 更可靠（站点回退页是 HTML，
-        // 而并行分段之后我们也拿不到单一响应头）。
-        if (buf.length < 1024 || buf.toString('latin1', 4, 8) !== 'ftyp') {
+        // 只认文件头（mp4 的 ftyp / webm 的 EBML）。比 content-type 可靠，
+        // 而且并行分段之后本来也拿不到单一响应头。
+        const sniff = sniffVideo(buf);
+        if (!sniff) {
           sendJson(res, 422, { ok: false, error: 'not-a-video', detail: ct || 'no content-type' });
           return;
         }
         if (buf.length > CLIP_MAX_BYTES) { sendJson(res, 413, { ok: false, error: 'too-large' }); return; }
         writeFileSync(dest, buf);
         try {
-          writeFileSync(join(bootDir(), id + '.json'), JSON.stringify({
+          writeFileSync(clipMetaFile(id), JSON.stringify({
+            id,
+            mime: sniff.mime,
             title: item.title, durationSec: item.durationSec, bytes: buf.length, sha256: item.sha256 || null,
           }, null, 2) + '\n');
         } catch { /* meta 只是锦上添花 */ }
@@ -363,7 +393,12 @@ export function registerBootRoutes(webServer, c) {
       if (!file || !existsSync(file)) { res.statusCode = 404; res.end('no clip'); return; }
       const size = statSync(file).size;
       const range = String((req.headers && req.headers.range) || '');
-      const type = 'video/mp4';
+      // MIME 取自下载时记下的 meta：webm 用 video/webm，否则 video/mp4。
+      let type = 'video/mp4';
+      try {
+        const meta = JSON.parse(readFileSync(clipMetaFile(boot.clipId), 'utf8'));
+        if (meta && typeof meta.mime === 'string' && /^video\//.test(meta.mime)) type = meta.mime;
+      } catch { /* 没 meta 就按 mp4 */ }
       // Range：`bytes=start-end` —— Chromium 播放本地大文件时会先发一小段探测请求。
       const m = /^bytes=(\d*)-(\d*)$/.exec(range.trim());
       if (m) {

package/package.json

@@ -1,6 +1,6 @@
 {
     "name":  "dsh-folia",
-    "version":  "4.0.1",
+    "version":  "4.0.3",
     "description":  "Folia 壁纸引擎：把本机 Wallpaper Engine 壁纸搬进 DSH 界面（场景实时渲染 / 视频 / 网页），内置液态玻璃与 Folia 吉祥物，并可从自建站点拉取壁纸。单包形态（组件已合并）。",
     "type":  "module",
     "engines":  {