dsh-mini-remote 0.1.7 → 0.1.9

package/lib/page.js

@@ -19,7 +19,9 @@ let template = null
 export function renderPage({ defaultMode = 'minimal', needsToken = false, build = '', maxUpload = 0 } = {}) {
   if (template === null) template = readFileSync(PAGE_PATH, 'utf8')
   return template
-    .replace('__DEFAULT_MODE__', defaultMode === 'chat' ? 'chat' : 'minimal')
+    // 三种显示模式都认（单帧/聊天/完整）；不认识的值一律回落单帧——回落要卡在这一处，
+    // 各处自己挑认哪几个，迟早出现「存得进去、刷新就变回去」的对不上。
+    .replace('__DEFAULT_MODE__', ['chat', 'full'].includes(defaultMode) ? defaultMode : 'minimal')
     .replace('__NEEDS_TOKEN__', needsToken ? 'true' : 'false')
     // 立绘地址带上构建指纹（页面自己拼 ?v=__BUILD__），换了图浏览器就不会一直
     // 拿缓存里那张。只留字母数字，别让它有机会往 HTML 里塞东西。
@@ -67,14 +69,26 @@ const IMAGE_MAX = 20 * 1024 * 1024
  *
  * 2026-09-28 之前这里只认"把图拷进 lib/art 并写裸名字"一种写法，正文里写全路径就成了
  * 破图标——用户第三次为此来问，这是那时的放宽。
+ *
+ * `extraRoots`（2026-09-28 追加）是「额外候选根」，由调用方给——服务那边传的是**当前已
+ * 注册的工作区目录**。理由：正文里的相对路径相对的是**那段对话的工作目录**，而它可能
+ * 是别的项目（实测出图那段对话在 I:\DSH\dsh-jev-ultrafast，正文写 `scratch/x.png`），
+ * 插件只按自己的两个根找就会 404，手机上正是那张破图。这里只放宽"在哪找"：
+ * 能发什么、发多大、要不要令牌，全都没动。相对写法里带 `..` 一律拒绝——要跨目录，
+ * 正文里写绝对路径，那本来就是支持的写法。
  */
-export function readImage(raw) {
+export function readImage(raw, extraRoots = []) {
   if (typeof raw !== 'string') return null
   const p = raw.trim()
   if (!p || p.length > 4096 || p.includes('\0')) return null
   const type = IMAGE_TYPES[extname(p).toLowerCase()]
   if (!type) return null
-  const candidates = isAbsolute(p) ? [p] : [p, join(PROJECT_ROOT, p), join(ART_DIR, p)]
+  const abs = isAbsolute(p)
+  const roots = Array.isArray(extraRoots) ? extraRoots : []
+  if (!abs && p.split(/[\\/]/).includes('..')) return null
+  const candidates = abs
+    ? [p]
+    : [p, join(PROJECT_ROOT, p), join(ART_DIR, p), ...roots.filter((r) => typeof r === 'string' && r).map((r) => join(r, p))]
   for (const file of candidates) {
     try {
       if (statSync(file).size > IMAGE_MAX) continue

package/lib/pairing.js

@@ -140,8 +140,9 @@ async function qr(text) {
  * @param {string[]} [opts.bound] 真正绑定成功的地址；不传则用探测结果
  * @param {{enabled?: boolean, url?: string|null, starting?: boolean, error?: string|null}} [opts.tunnel] 公网隧道状态
  * @param {{installed?: boolean, url?: string|null, urlOfOtherPort?: string|null, error?: string|null}} [opts.serve] Tailscale HTTPS 状态
+ * @param {{enabled?: boolean, appId?: string, openIds?: string, chatIds?: string, hasSecret?: boolean, starting?: boolean, running?: boolean, connected?: boolean, rejected?: {reason: string, at: number}|null, error?: string|null}} [opts.feishu] 飞书那一块的现状（**不含 appSecret**）
  */
-export async function buildPairing({ port, token, bound, tunnel, serve }) {
+export async function buildPairing({ port, token, bound, tunnel, serve, feishu }) {
   const detected = reachableAddresses()
   const usable = bound ? detected.filter((a) => bound.includes(a.address)) : detected
 
@@ -200,6 +201,32 @@ export async function buildPairing({ port, token, bound, tunnel, serve }) {
     error: tunnel?.error ?? null,
   }
 
+  /**
+   * 飞书那一块的现状，**四种返回路径都要带上**（和 `serve` 同一个道理，见下面）。
+   *
+   * 这里**只回答「有没有凭据」**，绝不把 appSecret 本身送出去——这个字段会进浏览器。
+   * `openIds` / `chatIds` 是名单，可以回显：用户得看得见自己填的是什么。
+   */
+  const feishuStatus = {
+    enabled: Boolean(feishu?.enabled),
+    appId: feishu?.appId ?? '',
+    openIds: feishu?.openIds ?? '',
+    chatIds: feishu?.chatIds ?? '',
+    hasSecret: Boolean(feishu?.hasSecret),
+    starting: Boolean(feishu?.starting),
+    running: Boolean(feishu?.running),
+    connected: Boolean(feishu?.connected),
+    /**
+     * 上一次被白名单挡住的来源，原样交给界面。
+     *
+     * 这是**新用户唯一走得通的那条路**：名单默认空着（谁都不认），他不可能凭空知道
+     * 自己的 open_id 长什么样。第一次发消息被挡下时，把「来源是谁」当场显示出来，
+     * 抄进名单再发一次就通了——少了这一步，用户会卡死在「开了但没反应」。
+     */
+    rejected: feishu?.rejected ?? null,
+    error: feishu?.error ?? null,
+  }
+
   /**
    * Tailscale HTTPS 的现状，**四种返回路径都要带上**。
    *
@@ -243,7 +270,7 @@ export async function buildPairing({ port, token, bound, tunnel, serve }) {
     // 一条能用的都没有。三种成因要分开说，否则用户不知道该去改配置、去查网络，
     // 还是去查隧道——这三件事的下一步动作完全不同。
     if (status.enabled && status.error) {
-      return { ok: false, error: `公网访问没起来：${status.error}`, tunnel: status, tailscale, serve: httpsStatus }
+      return { ok: false, error: `公网访问没起来：${status.error}`, tunnel: status, tailscale, serve: httpsStatus, feishu: feishuStatus }
     }
     if (detected.length) {
       return {
@@ -253,6 +280,7 @@ export async function buildPairing({ port, token, bound, tunnel, serve }) {
         tunnel: status,
         tailscale,
         serve: httpsStatus,
+        feishu: feishuStatus,
       }
     }
     return {
@@ -261,8 +289,9 @@ export async function buildPairing({ port, token, bound, tunnel, serve }) {
       tunnel: status,
       tailscale,
       serve: httpsStatus,
+      feishu: feishuStatus,
     }
   }
 
-  return { ok: true, port, token, entries, tunnel: status, tailscale, serve: httpsStatus }
+  return { ok: true, port, token, entries, tunnel: status, tailscale, serve: httpsStatus, feishu: feishuStatus }
 }

package/lib/permissions.js

@@ -57,6 +57,7 @@ export const PRESET_LABELS = {
   'read-only': '仅可查看',
   'workspace-write': '工作区内修改',
   'danger-full-access': '完全权限',
+  'auto': '自动审查',
 }
 
 /**