dsh-mobile-plugin 0.5.24 → 0.5.26

package/lib/relay/status.js

@@ -110,6 +110,8 @@ function createStatusView(deps) {
       // 直连隧道（tailcat）：手机据此自己把通道加进来，**不需要重新扫码**。
       // 没开或起不来就是 null，老手机不认识这个字段也无害。
       tailcat: typeof deps.getTailcat === 'function' ? deps.getTailcat() : null,
+      // 点对点隧道那一格：手机轮询 `/status` 时据此知道这条通道在不在、通没通。
+      p2p: typeof deps.getP2P === 'function' ? deps.getP2P() : null,
       // 以本进程解析出的实际端口为准：sidecar 的快照里 `port` 才是最终 bind 成功的
       // 那个（它在 listen 之后才拿得到），而这里在探测阶段就已经知道了，两个值一致
       // 才不会让状态接口和二维码互相打架。

package/lib/routes/control-plane.js

@@ -508,6 +508,13 @@ function registerControlPlaneRoutes(deps) {
   // 为什么白名单是「节点公钥」而不是设备 id：隧道那一层只认 WireGuard 公钥，和移动端
   // 凭据是两套东西 —— 吊销设备凭据并不会把它从隧道白名单里摘掉（见 A3-87）。所以这里
   // 单独给一个出口，否则「踢一台手机」在隧道这一层无法完成。
+  // 点对点隧道只有一格里要说的事：这条通道起没起、打通了没有、走的是谁。
+  // 没有白名单也没有总开关 —— 能连上的前提就是私钥对得上，比白名单更直接；开关那件事
+  // 交给手机侧的档位（`channelMode`），电脑这边不替人做决定。
+  registerRoute({ kind: 'exact', path: '/api/relay/p2p', handler: localOnly('GET', async (_req, res) => {
+    const state = deps.p2p && typeof deps.p2p.status === 'function' ? deps.p2p.status() : null
+    sendJson(res, 200, { ok: true, status: state })
+  }) })
   const tailcatSnapshot = () => {
     const state = deps.tailcat && typeof deps.tailcat.status === 'function' ? deps.tailcat.status() : null
     const allowed = deps.tailcat && typeof deps.tailcat.allowedClients === 'function' ? deps.tailcat.allowedClients() : []
@@ -702,8 +709,22 @@ function registerControlPlaneRoutes(deps) {
         expiresAt: tailcat.expiresAt,
       }
     }
+    // 点对点隧道：二维码多带一段「电脑的公钥 + 电脑自己探到的打洞候选」。两端各持一半密钥，
+    // 之后每次起来都用同一对，不需要窗口、也不需要临时钥匙 —— 与上面那条一次性节点不是一回事。
+    if (deps.p2p && typeof deps.p2p.exchange === 'function') {
+      const exchanged = deps.p2p.exchange(null)
+      if (exchanged && exchanged.ok) {
+        payload.p2p = {
+          version: 1,
+          peerKey: exchanged.publicKey,
+          port: exchanged.port,
+          candidates: Array.isArray(exchanged.candidates) ? exchanged.candidates : [],
+          localCandidates: Array.isArray(exchanged.localCandidates) ? exchanged.localCandidates : [],
+        }
+      }
+    }
     const text = pairingText(payload)
-    if (!payload.relayUrl && payload.lanUrls.length === 0 && !payload.tailcat) {
+    if (!payload.relayUrl && payload.lanUrls.length === 0 && !payload.tailcat && !payload.p2p) {
       sendJson(res, 409, { ok: false, error: '没有可用的局域网或中转连接地址' })
       return
     }
@@ -1148,6 +1169,8 @@ const WEB_ACCESS_ROUTES = new Set([
   '/api/relay/tailcat',
   '/api/relay/tailcat/enabled',
   '/api/relay/tailcat/revoke',
+  // 点对点隧道的现状（只有查看，没有开关也没有白名单：能连上的前提就是密钥对得上）。
+  '/api/relay/p2p',
   '/api/relay/revoke-all',
   '/api/relay/config',
   '/api/relay/check-port',

package/lib/routes/mobile-api.js

@@ -13,6 +13,7 @@
 
 const { sendJson } = require('../http/routing.js');
 const { readJsonBody } = require('../shared/http-util.js');
+const { createP2PRendezvousHandler } = require('../p2p/rendezvous.cjs');
 const { orderCandidates, withManualCandidate, withManualIpv6Candidate } = require('../relay/lan-network.cjs');
 
 const sessions = require('../mobile/sessions.js');
@@ -98,7 +99,7 @@ const API_VERSION = '1';
  *   所以它走 route() 即包 guarded。
  */
 function registerMobileRoutes(deps) {
-  const { registerRoute, tailcat, registerUpgradeRoute, guarded, state, hostMetadata, getSidecarSnapshot, safeLanCandidates, safeIpv6Candidates, lanPortInUse, preview, core, pairingApproval, rotatePairing, terminalService, cliService, phoneService } = deps;
+  const { registerRoute, tailcat, p2p, registerUpgradeRoute, guarded, state, hostMetadata, getSidecarSnapshot, safeLanCandidates, safeIpv6Candidates, lanPortInUse, preview, core, pairingApproval, rotatePairing, terminalService, cliService, phoneService } = deps;
   // CLI 会话（`cli-*`）在这张表上分派一次（见 mobile/cli/mobile.js）：它们是 ACP 子进程、
   // 不是宿主的会话，但手机上必须像普通会话一样可用 —— 列表 / 历史 / 发送 / 停止 / 流 /
   // 审批 / 模型全走宿主那套端点。分派发生在 `route()` 里面，下面每条注册都还是原样一行，
@@ -215,6 +216,16 @@ function registerMobileRoutes(deps) {
       remoteEnabled: Boolean(state.enabled),
       relayUrl: state.enabled ? (state.relayUrl || null) : null,
       ...hostMetadata(),
+      // 点对点隧道这一格。
+      //
+      // **这是 App 知道「这台电脑上这条通道到底有没有」的唯一来源**：早先它没挂在这条心跳上，
+      // 手机每 30 秒问一次、每次都只拿到上面那几格，于是「选择线路」里只能显示「未配置」、
+      // 状态一句也同步不过来 —— 而电脑面板那边明明已经显示「等待手机接入」了。两边说的
+      // 是同一件事，一边有数据一边没有，就是这里漏了一格。
+      //
+      // 形状与 `/api/relay/status` 的 `p2p` 完全一致（同一个 `getP2P()`），手机按该口的
+      // `available / enabled / ready / started / path` 说话，不自己猜。
+      p2p: p2p && typeof p2p.status === 'function' ? p2p.status() : null,
     })
   }) })
   // 地址体检：手机在**配对之前**就要问「这个地址上到底是谁」，那时它手上没有任何
@@ -360,6 +371,11 @@ function registerMobileRoutes(deps) {
     })
   })
 
+  // 点对点隧道的会合：手机把打洞候选报上来，这里把电脑那半边拉起来、并把电脑自己的
+  // 候选还回去。**没有这一步，两端谁也不知道对方的出口地址，这条通道一次都连不上**。
+  // 它走这条路而不是另架服务：这一发就打在我们已经通着的链路上，只传几十个字节。
+  route('/api/mobile/v1/p2p/rendezvous', createP2PRendezvousHandler({ p2p, lanPortInUse }))
+
   route('/api/mobile/v1/sessions', sessions.handleSessions)
   // 后台提醒服务专用：只回「在跑 / 刚完成 / 待回话 / 上一轮失败」这几格，
   // 带 `?rev=` 条件刷新。它要替掉原生那边每 8 秒一发的完整清单（那份还得为 20 个
@@ -731,6 +747,9 @@ function registerMobileRoutes(deps) {
     route('/api/mobile/v1/phone/status', phoneRoutes.status)
     route('/api/mobile/v1/phone/devices', phoneRoutes.devices)
     route('/api/mobile/v1/phone/unbind', phoneRoutes.unbind)
+    // 知识库清单与操作节奏：都只读 / 改设置，同样不发动作。节奏那条 GET 读档、POST 改档。
+    route('/api/mobile/v1/phone/knowledge', phoneRoutes.knowledge)
+    route('/api/mobile/v1/phone/pacing', phoneRoutes.pacing)
     registerUpgradeRoute({ path: '/api/mobile/v1/phone/control', handler: phoneService.handleUpgrade })
   }
 

package/lib/shared/e2ee-request.js

@@ -19,12 +19,34 @@ const { ACCEPT_ENC_HEADER, compressPlain, decompressPlain } = require('../shared
 
 /** 重放窗口：手机时钟可能偏几分钟，5 分钟是给它留的余量，真正的防线是 nonce 表。 */
 const TS_WINDOW_MS = 5 * 60 * 1000;
-/** 每台设备保留最近多少条写请求的 nonce，过期 5 分钟后淘汰。 */
+/**
+ * nonce 表的**软上限**，不是硬驱逐阈值。
+ *
+ * 超过它只是触发一次「淘汰过期项」的清理；清理完若仍高于这条线，宁可让表短暂超出，
+ * 也**不**为了压到上限删掉未过期项 —— 那些 nonce 还在 5 分钟窗口内，删掉它们等于让
+ * 同一个 nonce 再进一次，重放防护就漏了。窗口内的写请求量正常远不到这个数，删完过期项
+ * 后表会自然回落。
+ */
 const NONCE_TABLE_SIZE = 256;
 
 /** keyId → { nonce: ts } 的环形表。GET 不记：换通道重投会复用同一 nonce。 */
 const nonces = new Map();
 
+/**
+ * 淘汰重放表里**真正过期**的 nonce（`now - stamp > TS_WINDOW_MS`）。
+ *
+ * 只按时间删，绝不按数量删：见 `NONCE_TABLE_SIZE` 的注释。抽成纯函数是为了能单独测
+ * 「窗口内一条都不许删」这条判据，不必通过整个信封流程。
+ *
+ * @param {Map<string, number>} table nonce → 请求时间戳（毫秒）
+ * @param {number} now 当前时间（毫秒）
+ */
+function evictExpiredNonces(table, now) {
+  for (const [key, stamp] of table) {
+    if (now - stamp > TS_WINDOW_MS) table.delete(key);
+  }
+}
+
 /**
  * 读一个请求头（大小写不敏感、数组取第一个）。
  *
@@ -137,12 +159,9 @@ function openRequest(req, deps, rawBody) {
     const table = seen || new Map();
     if (table.has(nonce)) return { ok: false, status: 409, code: 'e2ee-replay' };
     table.set(nonce, ts);
-    // 过期淘汰 + 上限：表只增不减的话一台设备长期使用会把它撑大。
-    if (table.size > NONCE_TABLE_SIZE) {
-      for (const [key, stamp] of table) {
-        if (Date.now() - stamp > TS_WINDOW_MS || table.size > NONCE_TABLE_SIZE) table.delete(key);
-      }
-    }
+    // 过期淘汰：表只增不减的话一台设备长期使用会把它撑大。只删真正过期的，
+    // 超出软上限也不硬删未过期项（见 `NONCE_TABLE_SIZE` 与 `evictExpiredNonces`）。
+    if (table.size > NONCE_TABLE_SIZE) evictExpiredNonces(table, Date.now());
     nonces.set(keyId, table);
   }
 
@@ -363,6 +382,7 @@ module.exports = {
   signedPath,
   signedQuery,
   readRawBody,
+  evictExpiredNonces,
   MAX_SEALED_BODY,
   TS_WINDOW_MS,
   NONCE_TABLE_SIZE,

package/lib/tailcat/host-process.cjs

@@ -39,6 +39,10 @@ const BACKOFF_MS = [1_000, 2_000, 5_000, 10_000, 30_000];
 /** 事件里允许出现的键，多一个少一个都当脏数据丢掉（stdout 是私有 IPC）。 */
 const EVENT_KEYS = {
   ready: ['address'],
+  p2pReady: ['url', 'candidates'],
+  p2pStopped: [],
+  p2pStatus: ['running', 'url', 'path', 'active', 'detail', 'candidates'],
+  p2pKeys: ['private', 'public', 'port'],
   pairing: ['address', 'port', 'key', 'proof', 'expiresAt'],
   paired: ['address', 'client'],
   pairingClosed: [],
@@ -235,6 +239,39 @@ function createTailcatHost(options) {
     ack(id, ok) {
       write({ command: 'ack', id, ok: Boolean(ok) });
     },
+    /**
+     * 拉起电脑侧的点对点隧道（P2P）。
+     *
+     * 与 `pair()` 那类「开会合窗口」不同：这条不需要窗口、也不要临时钥匙 —— 电脑的公钥
+     * 与手机的公钥在配对时就换过了，之后每次起来都用同一对。所以它只有「起来 / 停下 / 问现状」
+     * 三个动作。
+     */
+    startP2P(options) {
+      const list = (value) => (Array.isArray(value) ? value.filter(item => typeof item === 'string') : []);
+      write({
+        command: 'p2pStart',
+        p2pPrivateKey: String(options.privateKey || ''),
+        p2pPeerKey: String(options.peerKey || ''),
+        p2pPeerLocal: list(options.peerLocal),
+        p2pPeerPublic: list(options.peerPublic),
+        p2pListenPort: Number(options.listenPort) || 0,
+        p2pTargetPort: Number(options.targetPort) || 0,
+      });
+    },
+    stopP2P() {
+      write({ command: 'p2pStop' });
+    },
+    statusP2P() {
+      write({ command: 'p2pStatus' });
+    },
+    /** 生成一对新密钥（助手负责算，它才懂 WireGuard 的密钥格式）。 */
+    newKeysP2P() {
+      write({ command: 'p2pKeys' });
+    },
+    /** 测试缝：原样写一条命令。 */
+    writeCommand(value) {
+      write(value);
+    },
     async close() {
       if (closed) return;
       closed = true;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-mobile-plugin",
-  "version": "0.5.24",
+  "version": "0.5.26",
   "description": "Mobile API (/api/mobile/v1) and relay client for the DSH mobile app — desktop profile build (dsh 0.2.x, peers resolved by the host)",
   "license": "MIT",
   "icon": "./icon.png",
@@ -43,6 +43,7 @@
     "locale/*.json",
     "icon.png",
     "assets/pets/**",
+    "knowledge/**/*.md",
     "extensions/**",
     "README.md"
   ],
@@ -58,7 +59,8 @@
   "dependencies": {
     "@agentclientprotocol/sdk": "2.4.0",
     "qrcode": "1.5.4",
-    "ws": "8.18.0"
+    "ws": "8.18.0",
+    "zod": "4.6.5"
   },
   "optionalDependencies": {
     "dsh-mobile-tailcat-darwin-arm64": "1.0.0",