dsh-helper 0.16.7 → 0.16.8

package/CHANGELOG.md

@@ -8,6 +8,36 @@
 > （`package-lock.json` 根节点跟齐）与本文件顶部段落，两者连同提交一起走；发布只补 annotated tag，
 > 不再用 `npm version` 升版。
 
+## [0.16.8] — 未发布
+
+**桌面端的重启按钮不再骗人** —— 原先在 DSH Desktop 里它显示为可点，一点就报「重启失败：untrusted」。
+
+### 修复
+
+- **根因**：桌面窗口跑在 `dsh-app://app`，请求由 Electron 主进程的 `forwardWebRequest` 转发给宿主，
+  而它转发前会删掉 `origin` / `host` / `cookie` / `sec-fetch-site`。重启闸 `trustedRestartRequest`
+  要求 `Origin` 存在且与 `Host` 同源，于是桌面端恒为 false；而状态接口走的是松一档的
+  `trustedLocalRequest`（放行无 Origin），按钮因此显示成"可点" —— 两者不一致，成了
+  「看起来能用、一点就 403」。
+- 新增 `detectedDesktopHost()`（判据 `DSH_CLIENT_VERSION`，Electron 主进程只发给桌面端宿主；
+  刻意不吃 `ELECTRON_RUN_AS_NODE` —— 那是「Electron 当 Node 用」的通用标记，会误伤别的 Electron 应用）：
+  桌面端 `/restart/status` 返回 `allowed: false, reason: 'desktop'`，按钮置灰并提示
+  「桌面端宿主由 DeepSeek Harness App 管理：退出 App 后重新打开即可」；`POST /restart` 补上同一档 403，
+  且**排在来源闸之前**，免得用户继续看到没头没尾的 untrusted。
+- 与上游 dshmarket 口径一致：它在桌面端把重启标成 `supported: false` / `managedBy: 'desktop-host'`。
+  桌面端也确实不该自己重启 —— 宿主一退出，Electron 主进程立刻 `fail("dsh desktop host stopped")`
+  进 fatal 恢复；插件另起的替代进程还拿不到主进程持有的 hostCookie（窗口会 401）。
+- 冒烟：新增 4 条桌面端断言（含「只认 `DSH_CLIENT_VERSION`」与「非桌面端的无 Origin 请求仍被来源闸拒掉」
+  两条边界，后者保证这一档没把来源闸整体顶掉），host-smoke 114 → 118 项；`docs/DEVELOPMENT.md`
+  自检表的项数同步。
+
+### 备注
+
+- **桌面端其余功能不受影响**：`/config`、`/send-file`、`/restart/status` 走的都是放行无 Origin 的那道闸，
+  一直是正常的；桌面端只有「重启」这一项走不通。
+- 桌面端要重启宿主，用 App 自己的方式：退出 App 后重新打开（开发模式下 App 菜单里另有
+  「重启应用与 Host」，正式版没有这一项）。
+
 ## [0.16.7] — 未发布
 
 **README 精简** —— 357 行 → 55 行。

package/docs/DEVELOPMENT.md

@@ -53,7 +53,7 @@ npm run build     # tools/build-client.mjs → lib/client.js（esbuild）
 | --- | --- | --- |
 | `npm run typecheck` | `tsc -p tsconfig.json`：只检查标了 `// @ts-check` 的自研 Host 文件（`lib/schedule*.js`），不碰构建产物 | 见下 |
 | `npm run smoke` | 模拟 `__ModuleLoader__` + 假 React/DOM 跑客户端逻辑：打标、未读判定、cron 模型往返、样式表结构、布局度量、remote 方法集合、提示音、界面外观覆盖规则、设置卡片分组与投递加固两项的呈现、apply 分阶段降级 | 81 项 |
-| `npm run host-smoke` | host 侧纯函数与真实引擎：图片嗅探、投递方式、错误翻译、投递加固（口令 / 目录白名单）、重启安全闸、平台适配 spawn、文案表、来源闸，以及用真实调度引擎跑的定时任务用例（执行窗口并发变更、迁移诊断自动合并 / 仍搁浅、合并幂等性 = 删任务后提示消失 / migration 字段穿过 persist、损坏文件留存、改名迁移与幂等） | 114 项 |
+| `npm run host-smoke` | host 侧纯函数与真实引擎：图片嗅探、投递方式、错误翻译、投递加固（口令 / 目录白名单）、重启安全闸、平台适配 spawn、文案表、来源闸，以及用真实调度引擎跑的定时任务用例（执行窗口并发变更、迁移诊断自动合并 / 仍搁浅、合并幂等性 = 删任务后提示消失 / migration 字段穿过 persist、损坏文件留存、改名迁移与幂等） | 118 项 |
 | `npm run render-smoke` | 客户端组件真实渲染断言（配置卡片、定时任务面板、界面外观组、标题栏刷新按钮） | 10 项 |
 | `npm run preview` | 把呼吸灯样式抽成预览页，调动画参数用 | — |
 | `npm run verify` | `typecheck` + `build` + 上面三个冒烟 | — |

package/lib/client.js

@@ -23481,6 +23481,8 @@ function restartDisabledTitle(reason) {
       return "\u5BBF\u4E3B\u6B63\u88AB\u8C03\u8BD5\u5668\u9644\u7740\uFF0C\u4E0D\u80FD\u91CD\u542F";
     case "supervisor":
       return "\u5BBF\u4E3B\u7531 systemd \u7B49\u76D1\u7763\u5668\u7BA1\u7406\uFF0C\u91CD\u542F\u529F\u80FD\u5DF2\u7981\u7528";
+    case "desktop":
+      return "\u684C\u9762\u7AEF\u5BBF\u4E3B\u7531 DeepSeek Harness App \u7BA1\u7406\uFF1A\u9000\u51FA App \u540E\u91CD\u65B0\u6253\u5F00\u5373\u53EF";
     case "untrusted":
       return "\u8BF7\u6C42\u6765\u6E90\u4E0D\u662F\u540C\u6E90\u73AF\u56DE";
     default:

package/lib/index.js

@@ -33,6 +33,7 @@ import {
 import { IMAGE_EXTENSIONS, sniffImageKind } from '../src/host/image-sniff.js';
 import {
   detectedDebugger,
+  detectedDesktopHost,
   detectedSupervisor,
   scheduleRestart,
   servingPort,
@@ -713,8 +714,13 @@ async function handleRestartStatusRequest(request, response) {
   const restartEnabled = settings.restartEnabled !== false;
   const supervisor = detectedSupervisor();
   const debuggerAttached = detectedDebugger();
+  const desktopHost = detectedDesktopHost();
   let reason = null;
+  // 桌面端排在 debugger / supervisor 之前：它是"这一档从根本上不该点"，
+  // 而调试器/监督器是"这台机器上的偶然状态"。桌面端打开宿主调试端口时两者会同时命中，
+  // 那时该告诉用户的是前者。
   if (!restartEnabled) reason = 'disabled-in-config';
+  else if (desktopHost !== null) reason = 'desktop';
   else if (debuggerAttached !== null) reason = 'debugger';
   else if (supervisor !== null) reason = 'supervisor';
   json(response, 200, {
@@ -722,14 +728,15 @@ async function handleRestartStatusRequest(request, response) {
     reason,
     supervisor,
     debugger: debuggerAttached,
+    desktopHost,
     restartEnabled,
   });
 }
 
 /**
  * POST /api/dsh-helper/restart
- * 过四道闸：restartEnabled / trustedRestartRequest / detectedDebugger / detectedSupervisor
- * 通过则 scheduleRestart(port)，本进程 500ms 后自杀。
+ * 过五道闸：restartEnabled / detectedDesktopHost / trustedRestartRequest /
+ * detectedDebugger / detectedSupervisor，通过则 scheduleRestart(port)，本进程 500ms 后自杀。
  */
 async function handleRestartRequest(request, response) {
   if (request.method !== 'POST') {
@@ -742,6 +749,13 @@ async function handleRestartRequest(request, response) {
       json(response, 403, { error: 'disabled-in-config', reason: 'disabled-in-config' });
       return;
     }
+    // 桌面端必须排在 trustedRestartRequest **之前**：Electron 的 forwardWebRequest 转发时
+    // 会剥掉 Origin，这一档在桌面端永远过不了来源闸，先判桌面端才能给出说得通的理由
+    // （否则用户看到的是没头没尾的 untrusted，而按钮又是亮的）。
+    if (detectedDesktopHost() !== null) {
+      json(response, 403, { error: 'desktop', reason: 'desktop' });
+      return;
+    }
     if (!trustedRestartRequest(request)) {
       json(response, 403, { error: 'untrusted', reason: 'untrusted' });
       return;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-helper",
-  "version": "0.16.7",
+  "version": "0.16.8",
   "type": "module",
   "description": "给 DeepSeek Harness 打补丁：在任意会话把文件主动投递到 IM（微信）、按 cron 跑定时任务、工作区活动呼吸灯（含折叠未读提示）、会话标题栏活跃指示、对话完成提示音，另有一键重启按钮。",
   "icon": "icon.svg",

package/src/host/restart.js

@@ -7,10 +7,13 @@
  *   - scheduleRestart 不接受 recovery 参数（不写 .recovery.json）
  *   - restartHelperSource 不带 recovery 移交分支
  *   - 删除 recoveryScriptPath（依赖 lib/recovery.js 产物，本插件无产物）
+ *   - 新增 detectedDesktopHost：dshmarket 靠配置里的 desktopHost 标记达成同一件事，
+ *     本插件没有那份配置，改成从宿主环境自己认
  *
  * 安全闸逻辑一行不漏照搬：
  *   - supervisor: INVOCATION_ID||JOURNAL_STREAM 且 (ppid===1 || comm==='systemd')
  *   - debugger:   inspector.url() || execArgv/NODE_OPTIONS 按 token 前缀匹配
+ *   - desktop:    DSH_CLIENT_VERSION 非空（Electron 主进程只发给桌面端宿主）
  *   - 请求来源:   trustedRestartRequest（独立文件）
  */
 
@@ -81,6 +84,35 @@ export function detectedSupervisor(
   return null;
 }
 
+/**
+ * 桌面端宿主检测（DSH Desktop）。
+ *
+ * 判据取 `DSH_CLIENT_VERSION`：Electron 主进程在 spawn 宿主进程时注入它
+ * （app.asar/lib/main.js 里构造 DesktopHostProcess 的那处 env），`dsh web`、
+ * 内置 CLI、headless 都不会有。比 `ELECTRON_RUN_AS_NODE` 精确 —— 后者是所有
+ * "把 Electron 当 Node 用"的通用标记，别的 Electron 应用里跑 dsh 也会命中。
+ *
+ * 为什么桌面端要单独判一档（2026-10-06 实测定案）：桌面窗口跑在 `dsh-app://app`，
+ * 请求由 Electron 主进程的 forwardWebRequest 转发给宿主，而它**转发前会删掉
+ * origin / host / cookie / sec-fetch-site**。于是重启闸（trustedRestartRequest
+ * 要求 Origin 存在且与 Host 同源）在桌面端恒为 false，用户点按钮只会拿到
+ * `403 untrusted`；而 status 走的是松一档的 trustedLocalRequest（放行无 Origin），
+ * 按钮反倒显示成"可点"——两者不一致，就成了"看起来能用、一点就报错"。
+ * 上游 dshmarket 在 routes.ts 里把桌面端的 restart 直接标成
+ * `supported: false` / `managedBy: 'desktop-host'`，本插件补上同一档。
+ *
+ * 桌面端也确实不该自己重启：宿主一退出，Electron 主进程立刻
+ * `fail("dsh desktop host stopped")` 进 fatal 恢复；插件另起的替代进程还拿不到
+ * 主进程持有的 hostCookie（窗口会 401）。正确做法是让用户从 App 侧退出后重开。
+ *
+ * @returns {'desktop' | null}
+ */
+export function detectedDesktopHost(env = process.env) {
+  const version = env.DSH_CLIENT_VERSION;
+  if (typeof version !== 'string' || version.trim() === '') return null;
+  return 'desktop';
+}
+
 /**
  * 检测器附着检测。按以下优先级：
  *   1. inspector.url() 已设置（覆盖 --inspect 启动 / inspector.open() / SIGUSR1 attach）