dsh-folia 4.12.4 → 4.12.6

package/cordis.patch.yml

@@ -33,5 +33,11 @@
     #    ⇒ 自检去仓库 node_modules 里解析它，开发树里没有这个依赖就直接抛，整个 apply 失败。
     #    所以这里用不撞前缀的 `skin-center`（也与 web-all 的 `web-ui-skin-center`、
     #    官方包的 `ui-skin-center` 都不同名）。
+    #
+    # ⚠️ 版本**钉死 0.4.8**（package.json 里也是 exact）：0.4.9+ 起的 peer 要求
+    #    `@deepseek-ai/dsh >= 0.2.1-rc.3`，而当前桌面端跑的是 0.2.1-rc.2 —— 于是市场把这条行
+    #    **保持为 off**（`.dsh-market/log.ndjson` 里写着 "plugin kept off: …skin-center"），
+    #    皮肤中心的 /api/skin-center/v2/* 全部变成路由 miss（401/404），页签里点「应用」必失败。
+    #    0.4.8 的 peer 是 `>=0.2.1-rc.2`，与现在的宿主匹配。等桌面端升到 rc.3 再放开版本范围。
     - id: skin-center
       name: '@linxin666/dsh-client-ui-skin-center'

package/lib/client.js

@@ -18317,14 +18317,13 @@ window.__ModuleLoader__.load({
 				      const resp = await apiJson("/skins/list" + (force ? "?refresh=1" : ""), { parse: "always" });
 				      const doc = (resp && resp.data) || null;
 				      if (resp && resp.ok && doc && doc.ok) {
-				        // 读"当前在用哪套皮肤"必须**由浏览器发**，不能走宿主代理：
-				        // `/api/skin-center/v2/*` 的读写被 DSH 自己的会话鉴权挡着，宿主 fetch 没有 cookie ⇒ 401。
-				        // 路径用**相对 `/api/...`**：不要拼 `location.origin` —— 我们跑在宿主页面里，origin 不一定
-				        // 等于宿主 HTTP API 的源；拼错会得到一个不存在的地址，而它的 404 还会被误读成业务 404。
-				        // api-client 对 `/api/**` 原样放行（不补 /folia 前缀）。
+				        // 读"当前在用哪套皮肤"：**先直连**（同源相对路径 `/api/**`，凭据天然带全），
+				        // 直连不通（页面的 origin 可能不等于宿主 HTTP 服务的 origin ⇒ 路由没到）再退回宿主代理
+				        // `/folia/skins/active` —— 代理会把浏览器这一侧的 cookie 与同源头转发过去。
 				        if (doc.skinCenter === "present") {
 				          try {
-				            const a = await apiJson("/api/skin-center/v2/active", { parse: "always" });
+				            let a = await apiJson("/api/skin-center/v2/active", { parse: "always" });
+				            if (!(a && a.ok)) a = await apiJson("/skins/active", { parse: "always" });
 				            if (a && a.ok) doc.active = (a.data && a.data.active) || "";
 				          } catch { /* 读不到就显示"无使用中" */ }
 				        }
@@ -18361,16 +18360,27 @@ window.__ModuleLoader__.load({
 				            return;
 				          }
 				        }
-				        // 切换皮肤**由浏览器直接写**皮肤中心自己的端点（同源、自带会话）；
-				        // 走宿主代理会 401 —— DSH 对 `/api/skin-center/v2/*` 的读写都做会话鉴权，宿主 fetch 没有 cookie。
-				        // 统一走 api-client（不裸 fetch），路径用相对 `/api/...`（不拼 location.origin ——
-				        // 拼错会得到一个不存在的地址，404 又会被误读成业务 404）。
-				        const resp = await apiPostJson("/api/skin-center/v2/active", { active: wantId }, { parse: "always" });
+				        // 写入有两条路，**先直连、再代理**：
+				        //   ① 直连：相对 `/api/skin-center/v2/active`（同源、凭据天然带全）。
+				        //      前提是页面的 origin 就是宿主 HTTP 服务那个源；桌面端内嵌页面的 origin 未必是它 ⇒ 路由没到 ⇒ 404。
+				        //   ② 代理：`/folia/skins/activate`，宿主把浏览器这侧的 cookie 与同源头转发给皮肤中心。
+				        //      这条在"origin 不一致"时仍然成立，所以作为兜底存在。
+				        // 两条都失败时把两边的状态码都显示出来 —— 下一次不用再猜是哪一段断的。
+				        const direct = await apiPostJson("/api/skin-center/v2/active", { active: wantId }, { parse: "always" });
+				        let resp = direct;
 				        if (!(resp && resp.ok)) {
-				          // 把响应体里的 error 一起显示：`skin-not-found`（它的 catalog 不收）与"路径不对"
-				          // 从状态码上看都是 404，只有 body 能分开（实测踩过：把 URL 拼错当成了业务 404）。
-				          const detail = (resp && resp.data && resp.data.error) ? ":" + resp.data.error : "";
-				          setNote({ ok: false, text: weT("操作失败：{code}", { code: "skin-center-" + ((resp && resp.status) || 0) + detail }) });
+				          resp = await apiPostJson("/skins/activate", { id: wantId || "" }, { parse: "always" });
+				        }
+				        if (!(resp && resp.ok)) {
+				          const up = (resp && resp.data && resp.data.upstream) || null;
+				          const det = (up && up.error) ? ":" + up.error
+				            : ((resp && resp.data && resp.data.error) ? ":" + resp.data.error : "");
+				          setNote({
+				            ok: false,
+				            text: weT("操作失败：{code}", {
+				              code: "direct=" + ((direct && direct.status) || 0) + " proxy=" + ((resp && resp.status) || 0) + det,
+				            }),
+				          });
 				          return;
 				        }
 				        // 两条收敛路径：① 广播皮肤中心自己监听的 `dsh-skin-applied`（立即就地切换）；
@@ -18436,21 +18446,33 @@ window.__ModuleLoader__.load({
 				  //   不在 → 明说它是个**独立插件**（不在 dsh-web-all 里），给一条可复制的安装命令
 				  //   unknown（探测失败）→ 保守地按"在"讲，不吓唬用户
 				  const skinCenter = (state && state.skinCenter) || "unknown";
+				  // `present` 是**唯一**允许点「应用」的状态：只有真的拿到 catalog JSON 才算它在跑。
+				  // `absent`=路由不存在（插件没装/未启用）；`auth-gated`=鉴权在路由前面挡住（无法判定）；
+				  // `unknown`=探测失败。后三种都如实告诉用户"现在点应用不会成功"，而不是让他点了看 404。
+				  const canApply = skinCenter === "present";
 				  if (skinCenter === "absent") {
 				    children.push(React.createElement("div", {
 				      key: "hint-absent",
 				      className: "we-picker__hint",
 				      style: { margin: "6px 0 4px", color: "#ffd08a", lineHeight: "1.6" },
-				    }, weT("皮肤中心没装：它是**独立插件** @linxin666/dsh-client-ui-skin-center（不在 dsh-web-all 里，那个只是聚合包）。装它才能启用皮肤：")));
+				    }, weT("皮肤中心**没在运行**（它的 /api/skin-center/v2/* 路由不存在）。它是独立插件 @linxin666/dsh-client-ui-skin-center；常见原因是版本与当前桌面端不匹配 —— 0.4.9+ 要求 dsh ≥ 0.2.1-rc.3，而本机是 rc.2，市场会把这条行保持为 off。装/降级到 0.4.8 即可：")));
 				    children.push(React.createElement("div", { key: "cmd", style: { display: "flex", gap: "8px", alignItems: "center", margin: "0 0 6px" } },
 				      React.createElement("code", {
 				        style: { fontSize: "11px", padding: "3px 8px", borderRadius: "6px", background: "rgba(255,255,255,0.08)" },
-				      }, "dsh plugin --profile web add @linxin666/dsh-client-ui-skin-center"),
+				      }, "dsh plugin --profile web add @linxin666/dsh-client-ui-skin-center@0.4.8"),
 				      React.createElement("button", {
 				        className: "we-picker__btn", type: "button",
-				        onClick: () => { try { navigator.clipboard.writeText("dsh plugin --profile web add @linxin666/dsh-client-ui-skin-center"); setNote({ ok: true, text: weT("已复制安装命令") }); } catch { setNote({ ok: false, text: weT("复制失败，请手动选中上面的命令") }); } },
+				        onClick: () => { try { navigator.clipboard.writeText("dsh plugin --profile web add @linxin666/dsh-client-ui-skin-center@0.4.8"); setNote({ ok: true, text: weT("已复制安装命令") }); } catch { setNote({ ok: false, text: weT("复制失败，请手动选中上面的命令") }); } },
 				      }, weT("复制命令")),
 				    ));
+				  } else if (skinCenter === "auth-gated" || skinCenter === "unknown") {
+				    children.push(React.createElement("div", {
+				      key: "hint-unknown",
+				      className: "we-picker__hint",
+				      style: { margin: "6px 0 4px", color: "#ffd08a", lineHeight: "1.6" },
+				    }, skinCenter === "auth-gated"
+				      ? weT("探测不到皮肤中心的状态（它的接口被会话鉴权挡住了，宿主拿不到会话）。先点一次「刷新」；若下面点「应用」仍报错，就按 0.4.8 版本重装它。")
+				      : weT("皮肤中心状态未知（探测超时/网络错误）。点「刷新」重试。")));
 				  } else {
 				    children.push(React.createElement("div", {
 				      key: "hint",
@@ -18458,6 +18480,8 @@ window.__ModuleLoader__.load({
 				      style: { margin: "6px 0 4px", opacity: 0.8 },
 				    }, weT("本页签可以直接切换皮肤：装完点「应用」即可，无需打开设置页。皮肤包落在皮肤中心目录，两边读同一份。")));
 				  }
+				  // 皮肤中心不在跑时，「应用」按钮直接禁用并给出原因 —— 比"点了报错"诚实。
+				  const applyBlockedReason = canApply ? "" : weT("皮肤中心没在运行，先按上面的命令装/降级到 0.4.8");
 
 				  // 提示行常驻占位（与开机动画/桌宠页签同一条纪律：不因 note 出现/消失让面板跳高度）
 				  children.push(React.createElement("div", {
@@ -18526,7 +18550,8 @@ window.__ModuleLoader__.load({
 				              ? React.createElement("span", { style: { ...SKIN_STYLE.badge, background: "rgba(60,160,90,0.55)" } }, weT("使用中"))
 				              : React.createElement("button", {
 				                className: "we-picker__btn", type: "button",
-				                disabled: Boolean(busy),
+				                disabled: Boolean(busy) || !canApply,
+				                title: applyBlockedReason || undefined,
 				                onClick: () => act("activate", { id: s.id }, s.name),
 				              }, busyThis ? weT("切换中…") : weT("应用")),
 				            React.createElement("button", {
@@ -18572,7 +18597,8 @@ window.__ModuleLoader__.load({
 				                  : React.createElement("button", {
 				                    key: "apply",
 				                    className: "we-picker__btn", type: "button",
-				                    disabled: Boolean(busy),
+				                    disabled: Boolean(busy) || !canApply,
+				                    title: applyBlockedReason || undefined,
 				                    onClick: () => act("activate", { id: localId }, s.title),
 				                  }, busy === "activate:" + localId ? weT("切换中…") : weT("应用")),
 				                React.createElement("span", { key: "done", style: SKIN_STYLE.badge }, weT("已安装")),

package/lib/routes/skins.js

@@ -20,7 +20,7 @@
  */
 import { createHash } from 'node:crypto';
 import { inflateRawSync } from 'node:zlib';
-import { existsSync, mkdirSync, readFileSync, readdirSync, realpathSync, rmSync, statSync, writeFileSync } from 'node:fs';
+import { existsSync, mkdirSync, readFileSync, readdirSync, realpathSync, renameSync, rmSync, statSync, writeFileSync } from 'node:fs';
 import { homedir } from 'node:os';
 import { join } from 'node:path';
 
@@ -42,6 +42,32 @@ function dshHome() {
 /** 皮肤根：与皮肤中心同一个目录（它读 `$DSH_HOME/skins`）。 */
 function skinsRoot() { return join(dshHome(), 'skins'); }
 
+/**
+ * 皮肤中心持久化"当前皮肤"的那个文件。
+ *
+ * 为什么我们会直接写它（兜底路径）：切换皮肤要落到 `/api/skin-center/v2/active`，
+ * 而那条路径 ① 需要 DSH 会话；② 必须打到宿主 HTTP 服务那个源。实测这两点在桌面端内嵌页面里
+ * 都可能不成立（401 / 路由没到），于是"点应用"根本没有可靠的写入通道。
+ * 这个文件是**它自己的持久层**（`{ active, initialized, background }`），它每次 GET 都重新读它，
+ * 并且客户端每 2 秒轮询一次 GET 收敛 —— 所以写这个文件等价于"替它记下选择"，可靠且即时。
+ * 语义上只改 `active` 一个键，其余原样保留。
+ */
+function activeStatePath() { return join(dshHome(), 'skin-center-active.json'); }
+
+/** 把 `active` 写进皮肤中心的持久层（保留其它字段；原子替换，失败不破坏原文件）。 */
+function writeActiveStateFile(id) {
+  const p = activeStatePath();
+  let doc = {};
+  try { doc = JSON.parse(readFileSync(p, 'utf8')) || {}; } catch { doc = {}; }
+  if (typeof doc !== 'object' || Array.isArray(doc)) doc = {};
+  doc.active = id === undefined ? null : id;
+  if (doc.initialized === undefined) doc.initialized = true;
+  const tmp = p + '.folia-tmp';
+  writeFileSync(tmp, JSON.stringify(doc, null, 2) + '\n', 'utf8');
+  renameSync(tmp, p);
+  return doc;
+}
+
 function siteBase() {
   const raw = process.env.DSH_FOLIA_SITE;
   if (typeof raw === 'string' && raw.trim().toLowerCase() === 'off') return null;
@@ -56,20 +82,43 @@ function siteBase() {
  * 前端也能问，但宿主这一侧拿到的结果与"装没装"一一对应，而且不受浏览器缓存/跨源策略影响。
  * 判据用**它自己的 catalog 路由**：该路由不需要鉴权（实测 200），404 就是没装。
  */
-const skinCenterProbe = { at: 0, state: 'unknown' };
+const skinCenterProbe = { at: 0, state: 'unknown', detail: '' };
 async function probeSkinCenter(hostHeader, force) {
   const now = Date.now();
   if (!force && skinCenterProbe.at && now - skinCenterProbe.at < 30000) return skinCenterProbe.state;
   let state = 'unknown';
+  let detail = '';
   if (hostHeader) {
     try {
       const r = await fetch('http://' + hostHeader + '/api/skin-center/v2/catalog', { signal: AbortSignal.timeout(4000) });
-      state = r.status === 404 ? 'absent' : (r.ok ? 'present' : 'present');
-      // 401/403 也说明插件在（只是该路由被别的版本加了鉴权）；只有 404 才代表没装。
-    } catch { state = 'unknown'; }
+      if (r.ok) {
+        // 只有**真的拿到 catalog JSON** 才算在跑。这个判据以前写成"非 404 即 present"，
+        // 而 401 也会落到那一支 —— 但宿主进程没有会话，拿到的 401 只代表"鉴权挡在前面"，
+        // 完全可能是插件被禁用（路由根本没注册）。实测就被它骗过：面板显示"皮肤中心在"，
+        // 点应用却永远 404（真实原因：插件被市场保持为 off）。
+        let doc = null;
+        try { doc = await r.json(); } catch { doc = null; }
+        state = doc && doc.ok ? 'present' : 'auth-gated';
+        detail = state === 'present' ? '' : 'catalog-not-json';
+      } else if (r.status === 401 || r.status === 403) {
+        // 鉴权挡在前面 ⇒ **无法判定**它到底有没有挂载；如实说"不确定"，不要冒充 present。
+        state = 'auth-gated';
+        detail = 'http-' + r.status;
+      } else if (r.status === 404) {
+        state = 'absent';
+        detail = 'route-missing';
+      } else {
+        state = 'unknown';
+        detail = 'http-' + r.status;
+      }
+    } catch (e) {
+      state = 'unknown';
+      detail = (e && e.name) || 'network';
+    }
   }
   skinCenterProbe.at = now;
   skinCenterProbe.state = state;
+  skinCenterProbe.detail = detail;
   return state;
 }
 
@@ -274,6 +323,13 @@ export function registerSkinsRoutes(webServer, c) {
       sendJson(res, 200, {
         ok: true,
         skinCenter,
+        skinCenterDetail: skinCenterProbe.detail || '',
+        // 皮肤中心被"保持为 off"时（peer 版本不匹配等），用户需要知道去改什么。
+        // 这里不动它，只把"它为什么可能不在"说清楚：我们钉的是 0.4.8（peer dsh >= 0.2.1-rc.2），
+        // 0.4.9+ 要求 rc.3，装了更高版本就会被市场关掉。
+        skinCenterHint: skinCenter === 'present'
+          ? ''
+          : 'skin-center-0.4.8',
         siteBase: siteBase(),
         siteError: site.error,
         installed,
@@ -392,6 +448,114 @@ export function registerSkinsRoutes(webServer, c) {
     },
   }));
 
-  // 切换皮肤与"当前皮肤"都由**浏览器**直接读写皮肤中心的 /api/skin-center/v2/active：
-  // DSH 对该路径的读写做会话鉴权（cookie），宿主 fetch 没有会话 ⇒ 代理只会得到 401（实测）。
+  /* ④ 代理皮肤中心的 active 端点（**转发浏览器凭据**）。
+   *
+   * 为什么需要它：写入 `/api/skin-center/v2/active` 有两个前提 ——
+   *   ① 会话（DSH 对这条路径做鉴权）；② 请求打到**宿主 HTTP 服务**那个源。
+   * 浏览器直连是首选（同源相对路径，凭据天然带全）；但当页面的 origin 与宿主 API 的 origin
+   * 不同（桌面端内嵌页面可能是自定义协议或另一个端口），直连会 404 —— 那是**路由没到**，
+   * 而它的 body 里没有 `error` 字段，正好和皮肤中心自己的 404 `skin-not-found` 区分开。
+   *
+   * 所以这里做**兜底**：把浏览器这一侧的 cookie 与同源头一起转发过去。
+   * 只转发必要的头，不转发 `authorization`（避免把别的凭据带进第三方插件）。
+   */
+  const FORWARD_HEADERS = ['cookie', 'origin', 'referer', 'sec-fetch-site', 'sec-fetch-mode'];
+  function forwardedHeaders(req) {
+    const out = {};
+    const src = (req && req.headers) || {};
+    for (const k of FORWARD_HEADERS) {
+      const v = src[k];
+      if (typeof v === 'string' && v) out[k] = v;
+    }
+    // 同源栅栏看的是 Sec-Fetch-Site / Origin 与 Host 的一致性：我们代理出去时 Host 变了，
+    // 所以显式把它标成 same-origin（这正是事实：浏览器是发给"自己这台的宿主"的）。
+    out['sec-fetch-site'] = 'same-origin';
+    return out;
+  }
+
+  disposers.push(webServer.register({
+    kind: 'exact',
+    path: `${base}/skins/activate`,
+    handler: async (req, res) => {
+      if ((req.method || 'GET').toUpperCase() !== 'POST') { sendJson(res, 405, { ok: false, error: 'method-not-allowed' }); return; }
+      const host = req.headers && req.headers.host;
+      if (!host) { sendJson(res, 400, { ok: false, error: 'no-host' }); return; }
+      const body = await readJsonBody(req);
+      const raw = body && body.id;
+      const requested = (raw === null || raw === undefined || String(raw) === '') ? null : safeSkinId(raw);
+      if (raw !== null && raw !== undefined && String(raw) !== '' && !requested) {
+        sendJson(res, 400, { ok: false, error: 'bad-id' });
+        return;
+      }
+      if (requested && !existsSync(join(skinsRoot(), requested))) {
+        sendJson(res, 404, { ok: false, error: 'not-installed' });
+        return;
+      }
+      let upstream = { status: 0, error: null };
+      try {
+        const r = await fetch('http://' + host + '/api/skin-center/v2/active', {
+          method: 'POST',
+          headers: { 'content-type': 'application/json', ...forwardedHeaders(req) },
+          body: JSON.stringify({ active: requested }),
+          signal: AbortSignal.timeout(6000),
+        });
+        const text = await r.text();
+        let doc = null;
+        try { doc = JSON.parse(text); } catch { /* 非 JSON（路由 miss 时常见） */ }
+        upstream = { status: r.status, error: (doc && doc.error) || null };
+        if (r.ok) {
+          sendJson(res, 200, { ok: true, active: requested, via: 'http', upstream });
+          return;
+        }
+      } catch (e) {
+        upstream = { status: 0, error: e && e.name === 'TimeoutError' ? 'timeout' : 'network' };
+      }
+
+      // ── 兜底：直接写它自己的持久层 ────────────────────────────────────────
+      // HTTP 写入不可用（无会话 / 源不一致 / 端点不在）时，写 `skin-center-active.json` 的
+      // `active` 字段：皮肤中心每次 GET 都重读这个文件，客户端又每 2 秒轮询一次 GET，
+      // 所以写文件等价于"替它记下选择"，最迟 2 秒生效；我们同时还会广播 dsh-skin-applied 立即生效。
+      try {
+        writeActiveStateFile(requested);
+        sendJson(res, 200, { ok: true, active: requested, via: 'state-file', upstream });
+      } catch (e) {
+        sendJson(res, 502, {
+          ok: false,
+          error: 'activate-failed',
+          upstream,
+          detail: String((e && e.message) || e).slice(0, 160),
+        });
+      }
+    },
+  }));
+
+  disposers.push(webServer.register({
+    kind: 'exact',
+    path: `${base}/skins/active`,
+    handler: async (req, res) => {
+      const host = req.headers && req.headers.host;
+      // 先问皮肤中心自己（HTTP），问不到就**读它的持久层** —— 后者是写路径的兜底，
+      // 两边都必须能回答"现在用的是哪套"，否则面板的"使用中"标记会随写入方式漂移。
+      if (host) {
+        try {
+          const r = await fetch('http://' + host + '/api/skin-center/v2/active', {
+            headers: { accept: 'application/json', ...forwardedHeaders(req) },
+            signal: AbortSignal.timeout(5000),
+          });
+          if (r.ok) {
+            const doc = await r.json().catch(() => null);
+            sendJson(res, 200, { ok: true, active: (doc && doc.active) || null, via: 'http' });
+            return;
+          }
+        } catch { /* 落到文件读 */ }
+      }
+      try {
+        let doc = {};
+        try { doc = JSON.parse(readFileSync(activeStatePath(), 'utf8')) || {}; } catch { doc = {}; }
+        sendJson(res, 200, { ok: true, active: doc.active || null, via: 'state-file' });
+      } catch (e) {
+        sendJson(res, 502, { ok: false, error: 'read-failed', detail: String((e && e.message) || e).slice(0, 120) });
+      }
+    },
+  }));
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-folia",
-  "version": "4.12.4",
+  "version": "4.12.6",
   "description": "Folia 壁纸引擎：把本机 Wallpaper Engine 壁纸搬进 DSH 界面（场景实时渲染 / 视频 / 网页），内置液态玻璃与 Folia 吉祥物，并可从自建站点拉取壁纸。单包形态（组件已合并）。",
   "type": "module",
   "engines": {
@@ -193,7 +193,7 @@
     }
   },
   "dependencies": {
-    "@linxin666/dsh-client-ui-skin-center": "^0.4.8",
+    "@linxin666/dsh-client-ui-skin-center": "0.4.8",
     "webwallgl": "^3.0.0",
     "x11": "^4.3.1"
   },