dsh-instruction-memory 1.5.0 → 1.5.1

package/CHANGELOG.md

@@ -7,6 +7,43 @@
 > 1.0.13 起由 CI 经 OIDC Trusted Publishing 发布（首个带 provenance 的版本）。
 > 这些历史 tag **不应回填**——npm 上的版本号已被占用。
 
+## [1.5.1] — 2026-11-05
+
+针对 2026-11-05 桌面端 / 网页端复核（架构 / 安全 / 验收三方）的 P1–P3 逐项修复。运行时在
+`0.2.1-rc.5` 与 `0.2.2-rc.1` 上都没有 blocker；这一版修的是**守卫的边界**和**验证工具链本身**。
+
+### 修复
+
+- **写入根（P2）**：`backupDir` 的子树的规则此前只在「设置页」与「导出」两处执行，保存路径
+  （`.bak` 与历史快照）没有——一个手改的、指向 `$DSH_HOME` 之外的 `backupDir`，会在下一次保存时
+  在外目录里留下 `memory.json.bak` 与 `history/*.json`，与 README 的承诺直接矛盾。现在两处写盘
+  路径都过同一条判断，越界值被忽略并在面板披露，备份与快照写回默认位置。
+- **鉴权门对未知形状 fail-open（P3）**：`requestRejection()` 过去只在返回**数字 ≥400** 时拒绝，
+  其余一律当作通过。宿主今天只返回 `undefined | 401 | 403`，所以不可利用；但这是没写进契约的
+  假设。现在 `undefined/null/false` 才算通过，其余（对象、字符串、Error）一律按 401 拒绝并记日志。
+- **版本号类型误导（P3）**：`{"version":"2"}` 会报「声明为格式版本 2，本插件支持的格式版本为 1 / 2」
+  ——自相矛盾。现在按类型区分：非数字版本报「version 字段类型不正确：必须是数字，当前是 "2"」。
+- **拒绝文案泄露绝对路径（P3）**：备份/导出越界的提示里回的是未折叠的 `$DSH_HOME`，现改用
+  与快照一致的 `displayPath()`。
+- **可信主机名不提供认证这件事写进文档与面板（P2）**：README 该节加了醒目说明，快照新增
+  `security.trustedHostCount`；当「非回环绑定 + 无鉴权门 + 配了可信主机名」三者同时成立时，
+  面板显示专门的橙色警告（只放宽主机名校验，不认证任何人）。
+- **`install.mjs` 的优先级写错了（P3）**：注释曾写「profile 由 `$DSH_HOME` 决定」，实际是
+  `$DSH_PROFILE_DIR` > `--profile` > `$DSH_PROFILE` > `web`（`$DSH_HOME` 只决定 profiles 根）。
+  DSH 会把前两个变量导出给子进程，因此"只设了 `DSH_HOME`"的安装会落进**正在运行的 profile**；
+  现在两者不一致时脚本会先打印警告再动手。
+
+### 验收工具链（P1）
+
+- **两条 L3 活体验证脚本在带鉴权门的宿主上已经失效**：`compat-1016-live-check.mjs` 把启动 token
+  只拼在 SSE 的 URL 上、`live-host-smoke.mjs` 完全没有鉴权代码，于是在任何真实宿主上得到
+  **2/20 PASS、18 FAIL** 与「HTTP 401 无法连接」。现在两者都先 `GET /?token=` 换会话 cookie
+  （与 GUI 完全相同的换法），`live-host-smoke.mjs` 新增 `--token <启动 token>`，
+  `compat-1016-live-check.mjs` 的第四个参数即 token。
+- 新增 10 条回归断言：写入根（3 条，含负向对照——把判断退回旧行为时外部目录确实多出
+  `history/` 与 `memory.json.bak`）、版本类型（3 条）、鉴权门形状（4 条：对象/字符串/Error 一律
+  401，`undefined` 仍放行）。全套 7 个套件、lint 13 个文件全绿。
+
 ## [1.5.0] — 2026-11-04
 
 针对 2026-11-04 全面复核（数据安全 / 并发 / 注入 / SMTP / 设置面板）逐项修复。主线是

package/README.md

@@ -66,7 +66,7 @@ profile 的解析顺序是 **`$DSH_PROFILE_DIR` → `--profile <名字>` → `$D
 | `smoke-test.mjs` | 注入渲染逻辑的单元测试（含「只渲染激活配置集」的隔离断言与 cwd 红线） |
 | `host-range-test.mjs` | 宿主版本范围契约测试：固定矩阵 × 两种 semver 判定模式，并把 `peerDependencies`（**被执行的那个**）、`dsh.engines.dsh`、`dsh.compatibility.dsh` 三处声明锁到同一个生成值 |
 | `lint.mjs` | 静态门禁，已并入 `npm test`：`node --check` 解析所有随包发布与本仓库运行的 JS 文件，并断言 `lib/` 里不出现 `@deepseek-ai/*` 的包名导入（插件只该通过宿主传进来的上下文对象接触宿主，按包名 import 会把插件钉死在某个安装位置，在 headless / CI / 检出目录里直接解析失败） |
-| `live-host-smoke.mjs` | 双端冒烟：对**正在运行**的 web / 桌面宿主各测 `state` p50/p95、SSE 首事件、注入注册与字符数，并比对两端快照（除 `injection.pulls` 外须逐字段相同）；`npm run smoke:hosts`，`--require-pulls` 可把「从未经历真实 Agent 回合」判为失败。**刻意不进 `npm test`**——CI 没有桌面端。请求走 Node `http` 直连，绕开 `http_proxy`（否则回环请求也会被代理转发，读数虚高） |
+| `live-host-smoke.mjs` | 双端冒烟（**1.4.8 起宿主有鉴权门，需 `--token <启动 token>` 换会话 cookie**，否则全 401）：对**正在运行**的 web / 桌面宿主各测 `state` p50/p95、SSE 首事件、注入注册与字符数，并比对两端快照（除 `injection.pulls` 外须逐字段相同）；`npm run smoke:hosts`，`--require-pulls` 可把「从未经历真实 Agent 回合」判为失败。**刻意不进 `npm test`**——CI 没有桌面端。请求走 Node `http` 直连，绕开 `http_proxy`（否则回环请求也会被代理转发，读数虚高） |
 | `docs/demo.html` | 离线演示页：桩掉 DSH 外壳、加载真实 Client 半渲染设置页（不随 npm 包发布） |
 | `memory.schema.json` | 手改存储文件用的 JSON Schema（随包发布，并被宿主复制到 `memory.json` 旁边） |
 
@@ -362,6 +362,9 @@ DSH 就会得到第二份空记忆，看起来像"记忆消失"。相对的 `$DS
   把这些设置放在别的盘（比如 Windows 上的 D:）就得显式打开：
   `DSH_INSTRUCTION_MEMORY_ALLOW_EXTERNAL_BACKUP=1`（重启宿主生效）。导出目录受同一条限制；
   手改存储文件把 `backupDir` 指到外面也同样被拒——这条路不能变成创建任意目录的通道。
+  这条规则在**写入时**也执行，不只在校验时：设置页、导出、以及每次保存附带的 `.bak` 与历史
+  快照都走同一个判断（1.5.1 起）。检测到越界的外来 `backupDir` 会被忽略并**在面板上披露**，
+  备份与快照写回默认位置，而不是在外目录里悄悄留下文件。
 - **导出有 2 秒节流**：两次「导出到备份目录」之间要隔 2 秒，否则提示"还需等几秒"。导出写的是
   整份存储（满配约 1.2 M 字符），连点不该变成写放大。
 - 报错文本会折叠路径：自定义备份目录 → `<备份目录>`（云盘路径常带账号名）、记忆目录 →
@@ -638,6 +641,11 @@ DNS 重绑定恰好推翻了它**：`evil.com` 解析到 `127.0.0.1` 之后，
 
 ### 可信主机名（`DSH_INSTRUCTION_MEMORY_TRUSTED_HOSTS`）
 
+> ⚠️ 这一项**只放宽主机名校验，不提供任何身份认证**。在没有宿主 `connection` 服务的 profile
+> 上，如果一个反代把请求转成"合法主机名"，这条路由就是无登录可读写的。面板在该组合
+> （`security.hostGuarded=false`、`security.authFence=false`、`trustedHostCount>0`）下会显示
+> 专门的橙色警告；对外发布请改用隧道，或在代理层自己做认证。
+
 回环绑定下 `Host` 必须是回环名。若你的访问方式让浏览器发出的 `Host` 不是 `127.0.0.1` /
 `localhost` / `[::1]`——`hosts` 里把 `dsh.lan` 指向 127.0.0.1、Tailscale 的 MagicDNS 名、
 或隧道把域名透传进来——可以在启动宿主的环境里显式放行（**仅在没有 `connection` 服务的
@@ -843,7 +851,8 @@ DSH Go（Android 客户端）内置的引擎就是**真实 DSH**，锁定 `@deep
 `HOME` 对引擎无效**，别按字面读 `DshProcess.kt`。
 
 - **兼容性**：`0.2.1-rc.4` 正好是上表①档已实测的版本。2026-10-31 又用同一个 rc.4 在隔离的
-  `DSH_HOME` 上复跑一遍 **21/21**（`compat-1016-live-check.mjs`），注入实测
+  `DSH_HOME` 上复跑一遍 **21/21**（`compat-1016-live-check.mjs`；1.5.1 起该脚本第四个参数给启动
+  token 时会先 `GET /?token=` 换会话 cookie，不再在带鉴权门的宿主上假失败），注入实测
   `chars=292 / budget=4000`、`state` p95 1.09 ms、SSE 首帧 0.71 ms；证据
   `dsh-memory-verification/out/compat-1016-live-rc4-audit.json`。
 - **数据位置**：`/root/.dsh/instruction-memory/memory.json`，在 App 私有目录的 rootfs 内，

package/install.mjs

@@ -5,10 +5,16 @@
  *   node install.mjs --profile superagent     # install into a named profile
  *   node install.mjs --remove                 # roll back completely
  *
- * The profile is resolved in the same order the boot uses:
- * $DSH_PROFILE_DIR (a path), then --profile <name>, then $DSH_PROFILE, then
- * 'web'. A profile that holds no package.json is refused before anything is
- * written, and the profiles that do exist are listed.
+ * The profile is resolved in this order: $DSH_PROFILE_DIR (a path), then
+ * --profile <name>, then $DSH_PROFILE, then 'web' UNDER $DSH_HOME. Note which
+ * variable decides what: $DSH_HOME moves the profiles ROOT, while the name
+ * comes from $DSH_PROFILE_DIR / --profile / $DSH_PROFILE. A DSH that spawned
+ * this shell exports both, so $DSH_PROFILE_DIR wins over the home you just
+ * set — the script warns when the two disagree instead of silently writing
+ * into the live profile.
+ *
+ * A profile that holds no package.json is refused before anything is written,
+ * and the profiles that do exist are listed.
  *
  * Three idempotent steps:
  *   1. make the package resolvable from the profile's node_modules (junction)
@@ -38,6 +44,11 @@ const DSH_HOME = typeof process.env.DSH_HOME === 'string' && process.env.DSH_HOM
 
 // Which profile to install into.
 //
+// $DSH_HOME only moves the profiles ROOT. The NAME comes from the variables
+// below, and DSH exports both to every child process — so a shell that merely
+// sets DSH_HOME to a scratch directory still installs into $DSH_PROFILE_DIR
+// (the live profile). That mismatch is announced rather than silently obeyed.
+//
 // This used to be hardcoded to 'web'. On a machine whose DSH runs the
 // `superagent` profile the script created a junction and a bundle entry inside
 // a profile nothing loads, then printed INSTALLED — the plugin looked installed
@@ -79,6 +90,16 @@ const profileName = profileNameFromArgv()
   ?? 'web'
 const PROF = explicitProfileDir ?? join(PROFILES_ROOT, profileName)
 
+// A DSH that spawned this shell exports BOTH DSH_HOME and DSH_PROFILE_DIR.
+// Setting only DSH_HOME therefore does not redirect the install: the explicit
+// profile directory still wins, and the write lands in the live profile. Say
+// so BEFORE it happens rather than after.
+if (explicitProfileDir !== null && !explicitProfileDir.startsWith(DSH_HOME)) {
+  console.error('warning: DSH_PROFILE_DIR (' + explicitProfileDir + ') is not inside DSH_HOME (' + DSH_HOME + ')')
+  console.error('  the explicit profile directory wins, so this install goes to the profile above,')
+  console.error('  not to the home you may have just set. Unset DSH_PROFILE_DIR to use DSH_HOME.')
+}
+
 /** Profile directories that actually hold a manifest, for the failure message. */
 function visibleProfiles() {
   try {

package/lib/client.js

@@ -419,6 +419,7 @@ window.__ModuleLoader__.load({
         'diag.copyManual': '自动复制不可用；请手动全选复制下方文本。',
         'diag.hostWarn': '安全提示：设置路由当前绑定在非回环地址（{host}），同一网络内的设备可以无鉴权访问此页面，请勿在不可信网络暴露；如需对外发布，请阅读 README 的「经反向代理对外发布」。',
         'diag.hostWarnFence': '安全提示：设置路由当前绑定在非回环地址（{host}），但宿主鉴权门已挂载——访问仍需登录 DSH 后的浏览器会话，未登录请求会被 401/403 拒绝；仍建议只在可信网络暴露。',
+        'diag.hostWarnTrusted': '安全提示：设置路由绑定在非回环地址（{host}），且宿主没有发布鉴权服务；当前唯一放行条件是你配置的 {count} 个可信主机名——那只放宽主机名校验，不提供任何身份认证。请仅在可信网络暴露，或改用隧道方案。',
         'diag.groupStorage': '存储',
         'diag.groupInjection': '注入',
         'diag.groupBackup': '备份与历史',
@@ -706,6 +707,7 @@ window.__ModuleLoader__.load({
         'diag.copyManual': 'Automatic copy is unavailable; select and copy the text below manually.',
         'diag.hostWarn': 'Security notice: the settings route is bound to a non-loopback address ({host}); other devices on the same network can reach this page without authentication. Do not expose it on an untrusted network — for public deployments read “Publishing behind a reverse proxy” in the README.',
         'diag.hostWarnFence': 'Security notice: the settings route is bound to a non-loopback address ({host}), but the host authentication fence is attached — access still requires a signed-in DSH browser session, and unauthenticated requests are refused with 401/403. Keep it on a trusted network anyway.',
+        'diag.hostWarnTrusted': 'Security notice: the settings route is bound to a non-loopback address ({host}) and the host publishes no authentication service; the only thing letting requests in is your {count} trusted hostname(s) — that relaxes a hostname check, it does not authenticate anyone. Keep it on a trusted network or use a tunnel.',
         'diag.groupStorage': 'Storage',
         'diag.groupInjection': 'Injection',
         'diag.groupBackup': 'Backup & history',
@@ -2990,7 +2992,9 @@ window.__ModuleLoader__.load({
           ? h('div', { className: 'im-hostwarn', key: 'hostwarn' },
             security.authFence === true
               ? t('diag.hostWarnFence', { host: security.boundHost !== '' ? security.boundHost : '?' })
-              : t('diag.hostWarn', { host: security.boundHost !== '' ? security.boundHost : '?' }))
+              : security.trustedHostCount > 0
+                ? t('diag.hostWarnTrusted', { host: security.boundHost !== '' ? security.boundHost : '?', count: security.trustedHostCount })
+                : t('diag.hostWarn', { host: security.boundHost !== '' ? security.boundHost : '?' }))
           : null,
         h('div', { className: 'im-row' },
           h('div', null,

package/lib/index.js

@@ -2473,8 +2473,36 @@ export function apply(ctx) {
   }
   /** Where the rolling pre-write copy lives: ALWAYS next to the store (crash recovery). */
   const localBackupPath = () => storePath + BACKUP_FILE_SUFFIX
+  /**
+   * The backup directory the WRITE path may use, or '' when the configured one
+   * must be ignored.
+   *
+   * `setOptions` and `exportToDir` each check the subtree rule, but they are
+   * not the only writers: every save also drops a `.bak` and a history
+   * snapshot into this directory. A store hand-edited to point outside
+   * `$DSH_HOME` therefore escaped the fence on the very next save, which
+   * contradicted the promise that every write stays inside the harness home.
+   * The same rule now runs where the writes actually happen; the refusal is
+   * disclosed once per process instead of silently relocated.
+   */
+  let refusedBackupDir = null
+  const effectiveBackupDir = () => {
+    const configured = backupDirOf()
+    if (configured === '') return ''
+    if (allowExternalBackup() || isInsideDshRoot(configured)) return configured
+    if (refusedBackupDir !== configured) {
+      refusedBackupDir = configured
+      state.storageWarning = '备份位置 ' + displayPath(configured) + ' 不在 DSH 主目录内，已忽略（备份与历史快照一律写回默认位置）；'
+        + '要使用其他磁盘请设置 ' + ALLOW_EXTERNAL_BACKUP_ENV + '=1 后重启宿主'
+      logInfo('ignoring backupDir outside the harness home: ' + configured)
+    }
+    return ''
+  }
   /** The user-facing copy under a custom backup location, or null (F18). */
-  const customBackupPath = () => (backupDirOf() !== '' ? join(backupDirOf(), basename(storePath) + BACKUP_FILE_SUFFIX) : null)
+  const customBackupPath = () => {
+    const dir = effectiveBackupDir()
+    return dir !== '' ? join(dir, basename(storePath) + BACKUP_FILE_SUFFIX) : null
+  }
   /**
    * History snapshots live in a `history/` SUBDIRECTORY of the backup location
    * (default: the store directory). Two reasons for the subdirectory:
@@ -2485,7 +2513,10 @@ export function apply(ctx) {
    *   2. a custom (e.g. cloud-synced) backup directory stays tidy: one known
    *      folder holds the history, nothing else is touched.
    */
-  const historyDirPath = () => join(backupDirOf() !== '' ? backupDirOf() : dirname(storePath), HISTORY_DIR_NAME)
+  const historyDirPath = () => {
+    const dir = effectiveBackupDir()
+    return join(dir !== '' ? dir : dirname(storePath), HISTORY_DIR_NAME)
+  }
 
   /**
    * Cross-process write lock: a `memory.json.lock` marker created exclusively
@@ -3080,7 +3111,13 @@ export function apply(ctx) {
     const rejectVersion = (version, source) => {
       state.versionRejected = true
       state.rejectedVersion = version
-      state.storageError = '存储文件声明为格式版本 ' + version + '，本插件支持的格式版本为 ' + SUPPORTED_VERSIONS.join(' / ')
+      // A string that spells a supported number ("2") produced the absurd
+      // "declared version 2, supported versions 1 / 2". The TYPE is the
+      // problem, so say that instead of comparing it to the list.
+      state.storageError = (typeof version === 'number'
+        ? '存储文件声明为格式版本 ' + version + '，本插件支持的格式版本为 ' + SUPPORTED_VERSIONS.join(' / ')
+        : '存储文件的 version 字段类型不正确：必须是数字，当前是 ' + JSON.stringify(version === undefined ? null : version)
+          + '；本插件支持的格式版本为 ' + SUPPORTED_VERSIONS.join(' / '))
         + '；已拒绝载入以防数据损坏，原文件已保留，修改操作已暂停。请升级插件，或手动将文件改回受支持的版本后点「重新载入」'
       state.loadedFrom = source + ' (unsupported version ' + version + ')'
       state.storeExists = true
@@ -3478,6 +3515,13 @@ export function apply(ctx) {
          * to say which of the two situations it is looking at.
          */
         authFence: connectionGate !== null,
+        /**
+         * How many hostnames DSH_INSTRUCTION_MEMORY_TRUSTED_HOSTS widened the
+         * Host/Origin check to. The list relaxes a HOSTNAME rule; it is not an
+         * identity check, so the panel must be able to say when a widened
+         * allow-list is the only thing standing in front of a fence-less route.
+         */
+        trustedHostCount: trustedHosts.length,
       },
       /**
        * F12: load-side diagnostics that used to be log-only. `loadedFrom` says
@@ -3852,7 +3896,7 @@ export function apply(ctx) {
           return {
             ok: false,
             saved: false,
-            message: '备份位置必须位于 DSH 主目录内（' + dshRootPath() + '）；要使用其他磁盘请设置环境变量 '
+            message: '备份位置必须位于 DSH 主目录内（' + displayPath(dshRootPath()) + '）；要使用其他磁盘请设置环境变量 '
               + ALLOW_EXTERNAL_BACKUP_ENV + '=1 后重启宿主',
             snapshot: snapshot(),
           }
@@ -4486,7 +4530,7 @@ export function apply(ctx) {
       return {
         ok: false,
         saved: false,
-        message: '导出目录必须位于 DSH 主目录内（' + dshRootPath() + '）；要写入其他磁盘请设置环境变量 '
+        message: '导出目录必须位于 DSH 主目录内（' + displayPath(dshRootPath()) + '）；要写入其他磁盘请设置环境变量 '
           + ALLOW_EXTERNAL_BACKUP_ENV + '=1 后重启宿主',
         snapshot: snapshot(),
       }
@@ -5306,9 +5350,16 @@ export function apply(ctx) {
         logInfo('connection fence threw, refusing the request: ' + describeError(err))
         rejection = 401
       }
-      if (typeof rejection === 'number' && rejection >= 400) {
-        logInfo('route refused an unauthenticated request (' + rejection + ')')
-        res.writeHead(rejection, { 'content-type': 'application/json; charset=utf-8', 'cache-control': 'no-store' })
+      // Only the documented "admit" values pass. Anything else — a future
+      // `{status:401}`, an Error, a string — is treated as a refusal, because
+      // an authentication gate that silently opens on an unexpected shape is
+      // not a gate. The numeric status is preserved when it is plausible.
+      const admitted = rejection === undefined || rejection === null || rejection === false
+      if (!admitted) {
+        const status = typeof rejection === 'number' && rejection >= 400 && rejection <= 599 ? rejection : 401
+        logInfo('route refused a request (' + status + ', fence returned '
+          + (typeof rejection === 'number' ? rejection : typeof rejection) + ')')
+        res.writeHead(status, { 'content-type': 'application/json; charset=utf-8', 'cache-control': 'no-store' })
         res.end(JSON.stringify({
           ok: false,
           message: rejection === 403

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-instruction-memory",
-  "version": "1.5.0",
+  "version": "1.5.1",
   "description": "User-only instruction memory for DSH: long-term instructions maintained in the settings UI and auto-injected into every conversation — the model has no write access. 指令记忆：只由用户在设置页维护的长期指令，自动注入此后每轮对话；模型没有任何写入口。",
   "license": "MIT",
   "type": "module",