dsh-multi2api 0.1.4 → 0.1.6

package/README.md

@@ -22,11 +22,18 @@
 
 ## 安装
 
+这是一个 DSH 插件，用 DSH 自带的插件命令装：
+
 ```bash
-npm install dsh-multi2api
+dsh plugin --profile web install dsh-multi2api
 ```
 
-装完后在 DSH 的插件管理里启用（或让 `dsh plugin install` 直接装）。
+把 `web` 换成你要装的 profile 名字（比如 `tui`、`headless`）。装完重启 DSH 就能用。
+
+也可以直接在 DSH 网页端左侧栏的 **插件（Plugins）** 页面里，点「添加插件」填包名 `dsh-multi2api` 安装。
+
+> `npm install dsh-multi2api` 也能下载到这个包，但它只是把包装进普通 `node_modules`，
+> 不会挂进你的 profile，还得自己改 `dsh.profile.bundles`，所以推荐用上面的命令。
 
 ## 使用
 
@@ -59,6 +66,25 @@ npm install dsh-multi2api
 - 如果之前手动跑过 `multi2api`，把它的 `auths/*.json` 复制到本插件的数据目录，
   或者在面板里用「导入账号文件」导入即可。
 
+## 更新日志
+
+### 0.1.6
+
+修了三个会让你用不下去的毛病：
+
+- **桌面端（DSH Desktop / Electron）加不上账号**：管理接口的写操作守卫原来要求请求必须带
+  `Origin` 头，而桌面端经 Electron 网络层转发出来的请求不带这个头，于是加号、签到、删号、
+  保存设置、重启**全部 403 `origin-required`**。现在去掉了这条硬性要求，改成
+  「Host 必须是回环地址」+「Origin 一旦出现就必须也是回环」+「必须 `Content-Type: application/json`」，
+  防跨站伪造和防 DNS rebinding 的能力不变。
+- **点了「添加账号」两秒后自己中断**：上游在"还没登录完"时返回的是
+  `HTTP 200 + code=11217 (login ing...)`，旧代码把它当成致命错误抛出去，直接掐断了整个登录流程，
+  账号永远加不上（那个可以手动复制的登录链接也跟着一起消失了）。现在未完成会被正确识别为
+  "继续等待"。
+- **改成手动确认登录**：不再后台自动轮询（它容易判断错）。现在点「添加账号」会**立刻显示完整
+  登录链接并提供「复制链接」按钮**——浏览器拉不起来也能自己粘到浏览器里打开。你在浏览器里
+  登录完成后，回到面板点「我已登录完成」即可。没检测到会提示"再点一次"，不会把面板关掉。
+
 ## 许可
 
 MIT

package/lib/client.js

@@ -37,11 +37,18 @@ window.__ModuleLoader__.load({
       confirmDelete: "Delete this account? The service will restart.",
       model: "Model",
       login: "Add account",
-      loginHint: "Scan or open the link below in a browser to sign in. This panel will finish automatically.",
+      loginHint: "Open the link below in a browser to sign in. If the browser did not open, copy the link below and open it yourself.",
       openLogin: "Open sign-in page",
       waitingLogin: "Waiting for sign-in…",
       loginDone: "Account added.",
       cancel: "Cancel",
+      copyLink: "Copy link",
+      copied: "Copied",
+      openFailed: "Browser did not open? Copy the link below and open it yourself.",
+      confirmLogin: "I have signed in",
+      confirmHint: "Finish signing in in the browser, then come back here and click the button below.",
+      confirming: "Checking…",
+      loginNotYet: "Not confirmed yet. Make sure you finished signing in, wait a few seconds and click again.",
       importAccount: "Import account files",
       importHint:
         "Pick one or several credential JSON files exported from another machine, or paste the JSON below. Each file adds one account.",
@@ -116,11 +123,18 @@ window.__ModuleLoader__.load({
       confirmDelete: "确定删除这个账号吗？服务会重启。",
       model: "模型",
       login: "添加账号",
-      loginHint: "用浏览器打开下面的登录链接完成登录，本面板会自动完成后续步骤。",
+      loginHint: "用浏览器打开下面的登录链接完成登录。浏览器没自动打开，就复制下面的链接自己粘到浏览器里打开。",
       openLogin: "打开登录页",
       waitingLogin: "等待登录中…",
       loginDone: "账号已添加。",
       cancel: "取消",
+      copyLink: "复制链接",
+      copied: "已复制",
+      openFailed: "浏览器没能自动打开？复制下面的链接，自己粘到浏览器地址栏里打开就能登录。",
+      confirmLogin: "我已登录完成",
+      confirmHint: "在浏览器里登录成功后，回到这里点下面的按钮。",
+      confirming: "正在确认…",
+      loginNotYet: "还没检测到登录完成。确认一下浏览器里已经登录成功，等几秒再点一次。",
       importAccount: "导入账号文件",
       importHint:
         "选一个或多个从别的机器导出的凭证 JSON 文件，每个文件添加一个账号；也可以直接把内容粘在下面。",
@@ -186,6 +200,33 @@ window.__ModuleLoader__.load({
       });
     }
 
+    // 复制到剪贴板：优先用 Clipboard API，失败就退回 textarea + execCommand
+    // （桌面端 WebView 里 Clipboard API 有时没有权限）。
+    async function copyText(text) {
+      try {
+        if (navigator?.clipboard?.writeText) {
+          await navigator.clipboard.writeText(text);
+          return true;
+        }
+      } catch {
+        // 落到下面的兜底
+      }
+      try {
+        const area = document.createElement("textarea");
+        area.value = text;
+        area.setAttribute("readonly", "");
+        area.style.position = "fixed";
+        area.style.top = "-1000px";
+        document.body.appendChild(area);
+        area.select();
+        const ok = document.execCommand("copy");
+        document.body.removeChild(area);
+        return ok;
+      } catch {
+        return false;
+      }
+    }
+
     function formatCredits(value) {
       const number = Number(value);
       if (!Number.isFinite(number)) return "—";
@@ -317,6 +358,8 @@ window.__ModuleLoader__.load({
       const [busy, setBusy] = React.useState("");
       const [notice, setNotice] = React.useState("");
       const [login, setLogin] = React.useState(undefined);
+      const [copied, setCopied] = React.useState(false);
+      const [openBlocked, setOpenBlocked] = React.useState(false);
       const [importOpen, setImportOpen] = React.useState(false);
       const [importText, setImportText] = React.useState("");
       const [pasteOpen, setPasteOpen] = React.useState(false);
@@ -355,36 +398,37 @@ window.__ModuleLoader__.load({
         };
       }, [load]);
 
-      // 登录轮询：拿到 state 后每 2 秒问一次。
-      React.useEffect(() => {
-        if (login === undefined || login.state === undefined) return undefined;
-        let stopped = false;
-        const tick = async () => {
-          try {
-            const body = await post("/login/poll", { state: login.state });
-            if (stopped) return;
-            if (body?.done === true) {
-              if (body.ok === true) {
-                setLogin(undefined);
-                setNotice(t("loginDone"));
-                await load();
-              } else {
-                setLogin(undefined);
-                setError(String(body?.error ?? t("saveFailed")));
-              }
+      // 登录不做后台自动轮询。用户在浏览器里登录成功后自己点「我已登录完成」，
+      // 由这里主动请求一次确认（服务端内部只做一轮很短的有限重试）。
+      // 好处：什么时候算"好了"由用户说了算，不会出现"它自己检测不明白"的情况。
+      const confirmLogin = async () => {
+        if (login === undefined || login.state === undefined) return;
+        setBusy("confirm");
+        setError("");
+        setNotice("");
+        try {
+          const body = await post("/login/confirm", { state: login.state });
+          if (body?.done === true) {
+            setLogin(undefined);
+            if (body.ok === true) {
+              setNotice(t("loginDone"));
+              await load();
+            } else {
+              setError(String(body?.error ?? t("saveFailed")));
             }
-          } catch (pollError) {
-            if (!stopped) setError(String(pollError.message ?? pollError));
+            return;
           }
-        };
-        const timer = window.setInterval(() => {
-          void tick();
-        }, 2000);
-        return () => {
-          stopped = true;
-          window.clearInterval(timer);
-        };
-      }, [login, load, t]);
+          if (body?.ok !== true) {
+            setError(
+              body?.retry === true ? t("loginNotYet") : String(body?.error ?? t("saveFailed")),
+            );
+          }
+        } catch (confirmError) {
+          setError(String(confirmError.message ?? confirmError));
+        } finally {
+          setBusy("");
+        }
+      };
 
       const run = async (name, action) => {
         setBusy(name);
@@ -507,7 +551,15 @@ window.__ModuleLoader__.load({
                     const body = await post("/login/start", {});
                     if (body?.ok !== true) throw new Error(body?.error ?? t("saveFailed"));
                     setLogin({ state: body.state, authUrl: body.authUrl });
-                    window.open(body.authUrl, "_blank", "noopener,noreferrer");
+                    setCopied(false);
+                    // 自动拉起浏览器；拉不起来就把网址留在下面让用户自己复制。
+                    let opened;
+                    try {
+                      opened = window.open(body.authUrl, "_blank", "noopener,noreferrer");
+                    } catch {
+                      opened = undefined;
+                    }
+                    setOpenBlocked(!opened);
                   });
                 },
               },
@@ -539,15 +591,58 @@ window.__ModuleLoader__.load({
                   },
                   t("openLogin"),
                 ),
-                React.createElement("p", { className: "m2a-hint" }, t("waitingLogin")),
+                openBlocked
+                  ? React.createElement("p", { className: "m2a-hint" }, t("openFailed"))
+                  : null,
+                React.createElement("textarea", {
+                  className: "m2a-url",
+                  readOnly: true,
+                  rows: 3,
+                  value: login.authUrl,
+                  onFocus: (event) => {
+                    event.target.select();
+                  },
+                }),
                 React.createElement(
                   Button,
                   {
                     onClick: () => {
-                      setLogin(undefined);
+                      void (async () => {
+                        const done = await copyText(login.authUrl);
+                        setCopied(done);
+                        window.setTimeout(() => setCopied(false), 2000);
+                      })();
                     },
                   },
-                  t("cancel"),
+                  copied ? t("copied") : t("copyLink"),
+                ),
+                React.createElement("p", { className: "m2a-hint" }, t("confirmHint")),
+                React.createElement(
+                  "div",
+                  { className: "m2a-card-actions" },
+                  React.createElement(
+                    Button,
+                    {
+                      variant: "primary",
+                      disabled: busy === "confirm",
+                      onClick: () => {
+                        void confirmLogin();
+                      },
+                    },
+                    busy === "confirm" ? t("confirming") : t("confirmLogin"),
+                  ),
+                  React.createElement(
+                    Button,
+                    {
+                      disabled: busy === "confirm",
+                      onClick: () => {
+                        setLogin(undefined);
+                        setOpenBlocked(false);
+                        setError("");
+                      },
+                    },
+                    t("cancel"),
+                  ),
                 ),
               )
             : null,
@@ -897,6 +992,7 @@ window.__ModuleLoader__.load({
       ".m2a-hint{color:var(--dsw-alias-label-tertiary);font-size:13px;margin:0}",
       ".m2a-login{display:flex;flex-direction:column;gap:8px;background:var(--dsw-alias-bg-layer-1);border:1px solid var(--dsw-alias-border-l1);border-radius:8px;padding:10px}",
       ".m2a-link{color:var(--dsw-alias-brand-primary);font-size:13px}",
+      ".m2a-url{width:100%;box-sizing:border-box;font-family:var(--dsw-font-mono,ui-monospace,monospace);font-size:11px;line-height:1.5;resize:vertical;background:var(--dsw-alias-bg-layer-2,var(--dsw-alias-bg-layer-1));color:var(--dsw-alias-label-primary);border:1px solid var(--dsw-alias-border-l1);border-radius:6px;padding:6px 8px;word-break:break-all}",
       ".m2a-section{display:flex;flex-direction:column;gap:8px;border-top:1px solid var(--dsw-alias-border-l1);padding-top:10px}",
       ".m2a-subtitle{margin:0;font-size:14px;font-weight:600;color:var(--dsw-alias-label-primary)}",
       ".m2a-empty{color:var(--dsw-alias-label-tertiary);font-size:13px;margin:0}",

package/lib/index.js

@@ -68,6 +68,12 @@ const WB = {
   pollIntervalMs: 2000,
 };
 
+// 一次「添加账号」从点击到完成的总时限。
+const LOGIN_TTL_MS = 10 * 60 * 1000;
+// 用户点「我已登录完成」后，服务端做一轮**有界**重试的次数（间隔用 WB.pollIntervalMs）。
+// 刻意不做无限自动轮询：后台瞎猜不如让用户点一下。
+const LOGIN_CONFIRM_ATTEMPTS = 6;
+
 const NO_COST = { input: 0, output: 0, cacheRead: 0, cacheWrite: 0 };
 
 const COMPAT = {
@@ -192,16 +198,21 @@ async function readBody(req, limit = MODELS_BODY_LIMIT) {
   return JSON.parse(text);
 }
 
-// 写操作必须来自本机页面且带 Origin、Content-Type 为 JSON（防 DNS rebinding / 跨站表单）。
+// 写操作防护分两层，都在这里把关：
+//   1. 防 DNS rebinding —— Host 必须是回环地址（见 loopbackRequest）；
+//   2. 防跨站伪造 —— Origin 一旦出现，就必须也是回环地址。
+//
+// 注意：**不能**要求 Origin 必须存在。DSH 桌面端（Electron）把渲染进程的请求经由
+// Electron 网络层转发，转发时不带 Origin 头，一旦这里强校验，桌面端整个管理面板
+// 的写操作（加号 / 签到 / 删号 / 保存设置 / 重启）会全部 403 origin-required。
+// 少了 Origin 校验并不等于失去 CSRF 防护：本接口要求 Content-Type: application/json，
+// 跨源 POST 会触发 CORS 预检而被浏览器拦下；跨站表单只能发 text/plain、
+// application/x-www-form-urlencoded 或 multipart/form-data，会被下面的 415 挡掉。
 function checkLoopbackPost(req, res) {
   if (!loopbackRequest(req)) {
     json(res, 403, { error: "request-not-trusted" });
     return false;
   }
-  if (typeof req.headers.origin !== "string") {
-    json(res, 403, { error: "origin-required" });
-    return false;
-  }
   const contentType = String(req.headers["content-type"] ?? "");
   if (!contentType.toLowerCase().startsWith("application/json")) {
     json(res, 415, { error: "content-type must be application/json" });
@@ -328,27 +339,31 @@ async function workbuddyLoginStart() {
   return { state, authUrl };
 }
 
-// 第 2 步：轮询换 token。返回 {accessToken, refreshToken, expiresIn, domain}，未完成返回 undefined。
+// 第 2 步：轮询换 token。返回 {accessToken, refreshToken, expiresIn, domain}；
+// **登录尚未完成时返回 undefined**（上游此时回 HTTP 200 + code=11217 "login ing..."，
+// 或 4xx），这属于"还没好"，必须继续轮询，绝不能被当成失败。
+// 只有网络错误和 5xx 才算致命 —— 与 Go 侧 cmd/login/workbuddy.go 的 wbPollToken 判定一致。
 async function workbuddyLoginPoll(state) {
   const account = { domain: "www.codebuddy.cn", accessToken: "", uid: "", enterpriseId: "" };
   const url = `${WB.chatBaseCN}/v2/plugin/auth/token?state=${encodeURIComponent(state)}`;
-  const response = await fetch(url, { headers: commonHeaders(account), signal: timeoutSignal(30000) });
-  const text = await response.text();
+  let response;
+  try {
+    response = await fetch(url, { headers: commonHeaders(account), signal: timeoutSignal(30000) });
+  } catch (error) {
+    throw new Error(`token endpoint unreachable: ${messageOf(error)}`);
+  }
   if (response.status === 0 || response.status >= 500) {
     throw new Error(`token endpoint error: upstream ${response.status}`);
   }
-  if (response.status >= 400) {
-    throw new Error(`http_error: upstream ${response.status}: ${text.slice(0, 200)}`);
-  }
+  const text = await response.text();
+  if (response.status >= 400) return undefined;
   let envelope;
   try {
     envelope = text.length > 0 ? JSON.parse(text) : {};
   } catch {
-    throw new Error("invalid upstream response");
-  }
-  if (envelope?.code !== undefined && Number(envelope.code) !== 0) {
-    throw new Error(`code=${envelope.code} msg=${envelope.msg ?? ""}`);
+    return undefined;
   }
+  if (envelope?.code !== undefined && Number(envelope.code) !== 0) return undefined;
   const accessToken = String(envelope?.data?.accessToken ?? "");
   if (accessToken.length === 0) return undefined;
   return {
@@ -1446,9 +1461,9 @@ function registerRoutes(ctx, runtime) {
     try {
       const started = await workbuddyLoginStart();
       runtime.pendingLogins.set(started.state, Date.now());
-      // 清理超过 10 分钟还没完成的登录。
+      // 清理超过时限还没完成的登录。
       for (const [state, at] of runtime.pendingLogins) {
-        if (Date.now() - at > 10 * 60 * 1000) runtime.pendingLogins.delete(state);
+        if (Date.now() - at > LOGIN_TTL_MS) runtime.pendingLogins.delete(state);
       }
       json(res, 200, { ok: true, authUrl: started.authUrl, state: started.state });
     } catch (error) {
@@ -1456,8 +1471,10 @@ function registerRoutes(ctx, runtime) {
     }
   });
 
-  // POST /login/poll  body: {state}
-  add("/login/poll", async (req, res) => {
+  // POST /login/confirm  body: {state}
+  // 由用户主动触发：他在浏览器里登录完成后，回到面板点「我已登录完成」。
+  // 服务端只做一轮**有界**重试，不做无限自动轮询 —— 后台瞎猜不如让用户说一句。
+  add("/login/confirm", async (req, res) => {
     if (req.method !== "POST") {
       json(res, 405, { error: "method not allowed" });
       return;
@@ -1470,9 +1487,37 @@ function registerRoutes(ctx, runtime) {
         json(res, 400, { ok: false, error: 'expected {"state": string}' });
         return;
       }
-      const token = await workbuddyLoginPoll(state);
+      const startedAt = runtime.pendingLogins.get(state);
+      if (startedAt === undefined) {
+        // 会话里没有这个 state：多半是插件被重载过，或 state 已被回收。
+        json(res, 200, {
+          ok: false,
+          done: true,
+          error: "登录会话已失效，请重新点击「添加账号」",
+        });
+        return;
+      }
+      if (Date.now() - startedAt > LOGIN_TTL_MS) {
+        runtime.pendingLogins.delete(state);
+        json(res, 200, {
+          ok: false,
+          done: true,
+          error: "登录超时（超过 10 分钟），请重新点击「添加账号」",
+        });
+        return;
+      }
+      // 有界重试：最多试 LOGIN_CONFIRM_ATTEMPTS 次，每次间隔 WB.pollIntervalMs。
+      let token;
+      for (let attempt = 1; attempt <= LOGIN_CONFIRM_ATTEMPTS; attempt += 1) {
+        token = await workbuddyLoginPoll(state);
+        if (token !== undefined) break;
+        if (attempt < LOGIN_CONFIRM_ATTEMPTS) {
+          await new Promise((resolve) => setTimeout(resolve, WB.pollIntervalMs));
+        }
+      }
       if (token === undefined) {
-        json(res, 200, { ok: true, done: false });
+        // 还没好：保留登录会话原样返回，让用户稍等几秒再点一次。
+        json(res, 200, { ok: false, done: false, retry: true });
         return;
       }
       let account = { uid: "", enterpriseId: "", nickname: "" };

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-multi2api",
-  "version": "0.1.4",
+  "version": "0.1.6",
   "description": "Multi2API 账号池：把多个 WorkBuddy 账号变成 DSH 里一个个互不干扰的模型。",
   "type": "module",
   "license": "MIT",