dsh-napcat-keeper 2.0.2 → 2.1.1

package/CHANGELOG.md

@@ -1,5 +1,18 @@
 # Changelog
 
+## 2.1.1
+
+- 修：风险清单里的 **明文** 在设置页会原样显示成星号，改成「明文」。
+
+## 2.1.0 — 可选「记住密码」，并先把风险说清楚
+
+- 新增 **`rememberPassword` + `quickPassword`**：勾上后令牌失效时用密码自动登录（NapCat 读环境变量 `NAPCAT_QUICK_PASSWORD` / `NAPCAT_QUICK_PASSWORD_MD5`）。默认关。
+- 设置页勾选「记住密码」会先展开风险提示（明文落盘位置、谁能读走、为什么默认关、怎么收回），要点「我知道风险，仍然开启」才生效；入口是「自动登录（可不填）」那一组。
+- 密码**不进命令行**（避免出现在进程列表 / 事件日志），只写进 `~/.dsh/napcat-keeper-env.bat` 并由计划任务 wrapper 调它；`/state` 只回 `hasPassword` / `passwordLength` / `passwordPath` / `passwordActive`，日志与工具输出都不打印密码。
+- 新增动作 `action=clearPassword` + 页面按钮「清除已保存的密码」，删配置里的密码和那个 bat。
+- `napcat_status` 多一段 `自动登录`：`方式`（password / token）、`密码已存`、`生效中`、`密码文件`，并给出「令牌失效只剩扫码」的提示。
+- `saveAndApply`：`quickPassword` 传空 = 不改（不会被表单回显冲掉）。
+
 ## 2.0.2
 
 - `package.json` 补 `repository` / `homepage` / `bugs`，npm 页面能直接跳 GitHub 仓库。

package/README.md

@@ -10,6 +10,9 @@
 > 常配套 `dsh-qq-bridge`（把 QQ 和 DSH 会话接通）：那个负责「说话」，这个负责「别掉线」。
 > 也可以单独用——只要你想让 NapCat 一直活着。
 
+
+声明：基本纯让我家大肥鱼跑的，内容我只粗略检查了一下，本人也只是个半吊子学生，有隐性bug大概率也看不出来，这GitHub我也第一次用，之前光下别的大佬的好东西了，有大佬愿意的话欢迎随时指点我、提建议等等都行，爱你♥️
+
 ---
 
 ## 它到底管什么
@@ -78,6 +81,22 @@ cscript / cmd 直接拉 NapCat，会多出一个控制台窗口挂在桌面上
 不想要隐藏就把「拉起时不显示黑框」关掉，任务会退回直接跑 `cmd.exe`；已经跑起来的那条链想收窗口，
 点「收起黑框」（`action=hideConsole`）即可。
 
+## 记住密码：默认关，开了要自己认风险
+
+NapCat 的**快速登录令牌会失效**（实测几小时到几天），失效后启动脚本只会停在扫码，QQ 就一直离线，
+`dsh-qq-bridge` 那边则是刷屏的 `ECONNREFUSED 127.0.0.1:3000`。想让它自己能爬起来，就得给它密码。
+
+设置页「自动登录（可不填）」里勾 **记住密码** 时会先弹一段风险提示，要你自己点「我知道风险，仍然开启」才会生效。开启前请确认你接受这几条：
+
+1. 密码以**明文**存进 `~/.dsh/napcat-keeper-config.json` 和插件生成的 `napcat-keeper-env.bat`，不加密（MD5 那份是给 NapCat 兜底用的，等于同一个秘密）。
+2. 任何能读你用户目录的程序都能捡走：同步盘、备份工具、其它软件、远控、临时借电脑的人。
+3. QQ 密码往往和 QQ 邮箱、部分游戏、微信登录入口共用一套身份，泄漏面不止一个号。
+4. 插件不打印密码，`/state` 也只回「存没存 + 长度」，但那只是少开一个口子，不等于安全。
+5. 随时可以点「清除密码」收回，配置和 bat 里的密码会被删掉。
+
+密码不写成命令行参数（`NapCatWinBootMain.exe <号> <密码>` 那样会进进程列表和 Windows 事件日志），
+而是走环境变量 `NAPCAT_QUICK_PASSWORD` / `NAPCAT_QUICK_PASSWORD_MD5`，且只有本机 `127.0.0.1:3000` 回连时才注入。
+
 ## 计划任务为什么重要
 
 `napcat.bat` / `NapCatWinBootMain.exe` 拉起的进程链会跟着「拉起它的进程」一起死。
@@ -103,6 +122,8 @@ cscript / cmd 直接拉 NapCat，会多出一个控制台窗口挂在桌面上
 | `launcherScript` | 自动探测 | 启动脚本名或绝对路径 |
 | `launchAccount` | 空 | 想快登的 QQ 号 |
 | `launchArgs` | 空 | 追加给启动脚本的参数 |
+| `rememberPassword` | `false` | 记住 QQ 密码、令牌失效时自动密码登录（**明文落盘，详见上节**） |
+| `quickPassword` | 空 | QQ 密码；只在保存时写入，接口不回显、日志不打印 |
 | `onebotPort` | `3000` | OneBot 11 HTTP 端口 |
 | `accessToken` | 空 | OneBot access token |
 | `taskName` | `NapCat-Keeper-Launch` | 负责拉起的计划任务名，留空 = 不用 |
@@ -122,6 +143,7 @@ cscript / cmd 直接拉 NapCat，会多出一个控制台窗口挂在桌面上
 ~/.dsh/napcat-keeper.log           看门狗日志（超 1MB 自动滚动）
 ~/.dsh/napcat-keeper-launch.log    启动脚本的原始输出（扫码提示都在这）
 ~/.dsh/napcat-keeper-config.json   设置页保存的配置
+~/.dsh/napcat-keeper-env.bat       只在「记住密码」开启时生成：把密码塞进环境变量给启动脚本
 ~/.dsh/napcat-keeper-state.json    每轮 tick 的状态快照
 ~/.dsh/napcat-qr.png               最近一张二维码副本（扫码时会更新）
 ```
@@ -129,7 +151,7 @@ cscript / cmd 直接拉 NapCat，会多出一个控制台窗口挂在桌面上
 ## 常见问题
 
 **「离线」但进程明明还在？**
-端口没通。看 `napcat-keeper-launch.log`——多半是卡在扫码，或者 QQ 弹了验证窗。
+端口没通。看 `napcat-keeper-launch.log`多半是卡在扫码，或者 QQ 弹了验证窗。
 
 **刚重启 DSH，QQ 就掉了？**
 说明这条链还是 DSH 拉起来的。填上「计划任务名」、点「建计划任务」，以后交给任务计划服务。
@@ -140,8 +162,15 @@ cscript / cmd 直接拉 NapCat，会多出一个控制台窗口挂在桌面上
 **换端口了？**
 改「OneBot HTTP 端口」保存即可；如果同时换了 Shell 目录，跨进程锁会自动清掉。
 
+**老是掉线、每次都要扫码？**
+令牌过期了。要么每次手机扫，要么开「记住密码」让它自己用密码登（先看上上节的风险）。
+`napcat_status` 会直接告诉你现在是 `password` 还是 `token` 在撑、以及密码文件在不在。
+
+**密码改成带特殊字符的行不行？**
+行。`%` 会写成 `%%`（bat 里转义）、`"` 会被去掉，中文路径和中文密码也认。
+
 **能在 Linux / macOS 上用吗？**
-看门狗本身是 node 实现，但「进程路径探测 / 计划任务 / cscript」这几处是为 Windows 写的；其它平台目前只保证「探端口 + 判活」这一条路。
+看门狗本身是 node 实现，但「进程路径探测 / 计划任务 / cscript」这几处是为 Windows 写的；其它平台目前只保证「探端口 + 判活」。
 
 ## License
 

package/lib/client.js

@@ -135,6 +135,13 @@ window.__ModuleLoader__.load({
           ['launchGraceSec', '拉起后宽限期（秒）', '刚拉起时端口还没通，这期间不重复拉', 'number'],
         ],
       },
+      {
+        group: '自动登录（可不填）',
+        note: 'NapCat 的快速登录令牌会失效，失效后只剩手机扫码。勾上「记住密码」它就会用密码自己重登；'
+          + '代价是密码要留在本机，所以勾选前请先看完下面那段风险。',
+        custom: 'password',
+        items: [],
+      },
       {
         group: '高级',
         note: '一般不用动。',
@@ -148,7 +155,7 @@ window.__ModuleLoader__.load({
       },
     ]
 
-    const 全部键 = 字段.reduce((acc, g) => acc.concat(g.items.map((i) => i[0])), [])
+    const 全部键 = 字段.reduce((acc, g) => acc.concat(g.items.map((i) => i[0])), ['rememberPassword', 'quickPassword'])
 
     function 取(obj, key) {
       return obj && Object.prototype.hasOwnProperty.call(obj, key) ? obj[key] : ''
@@ -193,6 +200,7 @@ window.__ModuleLoader__.load({
       const [忙, set忙] = React.useState(false)
       const [说, set说] = React.useState('')
       const [开日志, set开日志] = React.useState(false)
+      const [风险开, set风险开] = React.useState(false)
 
       const 装 = (data) => {
         set态(data)
@@ -247,6 +255,92 @@ window.__ModuleLoader__.load({
 
       const 改 = (k, v) => set草((prev) => ({ ...(prev || {}), [k]: v }))
 
+      /* ---------- 「记住密码」那一块：先讲风险，再让人自己决定 ---------- */
+      const 风险条目 = [
+        '密码会以明文写进本机两个地方：~/.dsh/napcat-keeper-config.json，以及插件生成的 napcat-keeper-env.bat。不加密、不做任何变换（MD5 那份是给 NapCat 兜底用的，同样等于密码）。',
+        '任何能读你这个用户目录的东西都能直接捡走：同步盘、备份工具、其它软件、远控木马、临时借你电脑的人。',
+        'QQ 密码通常和 QQ 邮箱、部分游戏、微信的登录入口共用一套身份，泄漏的影响面不止这一个号。',
+        '插件本身不打印密码、/state 接口也只回「存没存」和长度，但那只是少开一个泄漏口，不等于安全。',
+        '不开的代价：快速登录令牌会失效（实测几小时到几天），失效后就只能手机扫码，否则 QQ 离线，dsh-qq-bridge 会一路报 ECONNREFUSED。',
+        '想收回：随时点下面「清除密码」，配置文件和这个 bat 里的密码都会被删掉；已经跑起来的进程环境只活到那次进程结束。',
+      ]
+
+      function 密码区() {
+        const 记着 = 取(草, 'rememberPassword') === true || String(取(草, 'rememberPassword')) === 'true'
+        const 有密码 = Boolean(取(态.config, 'hasPassword'))
+        const 密码位 = 取(态.config, 'passwordLength')
+        const 账号 = String(取(草, 'launchAccount') || '')
+        return h('div', null,
+          h('div', { style: S.h }, '自动登录（可不填）'),
+          h('div', { style: { ...S.dim, marginBottom: 8 } },
+            'NapCat 的快速登录令牌会失效，失效后只剩手机扫码。勾上「记住密码」它就会用密码自己重登；'
+              + '代价是密码要留在本机，所以勾之前先看完下面那段风险。'),
+
+          h('div', { style: S.card },
+            h('label', { style: { display: 'flex', gap: 8, alignItems: 'center', fontSize: 12.5 } },
+              h('input', {
+                type: 'checkbox',
+                checked: 记着,
+                onChange: (e) => {
+                  if (e.target.checked) set风险开(true)
+                  else { set风险开(false); 改('rememberPassword', false) }
+                },
+              }),
+              h('span', null, '记住 QQ 密码：令牌失效时用密码自动登录'),
+              h('span', { style: 记着 ? S.warn : S.dim }, 记着 ? '（已开启）' : '（默认关）'),
+            ),
+
+            h('div', { style: { ...S.row, marginTop: 10 } },
+              h('div', { style: S.lab },
+                h('div', null, 'QQ 密码'),
+                h('div', { style: S.hint },
+                  有密码 ? '已保存 ' + String(密码位) + ' 位；直接留空 = 不改' : '还没保存过；这里填的密码只发给本机 NapCat')),
+              h('div', { style: S.ctl },
+                h('input', {
+                  style: S.input,
+                  type: 'password',
+                  autoComplete: 'new-password',
+                  spellCheck: false,
+                  value: String(取(草, 'quickPassword') || ''),
+                  placeholder: 有密码 ? '留空 = 不改' : '填 QQ 密码',
+                  disabled: !记着,
+                  onChange: (e) => 改('quickPassword', e.target.value),
+                }),
+                !账号 ? h('div', { style: { ...S.bad, marginTop: 6 } }, '先去上面「连接」里把 QQ 号填了，否则密码用不上') : null,
+              ),
+            ),
+
+            风险开 ? h('div', { style: { marginTop: 10, padding: '10px 12px', borderRadius: 8, border: '1px solid #c0392b', background: 'rgba(192,57,43,.06)' } },
+              h('div', { style: { ...S.bad, marginBottom: 6 } }, '⚠ 开启前请确认你接受这些风险'),
+              h('ul', { style: { margin: '0 0 8px 18px', padding: 0, fontSize: 12.5, lineHeight: 1.75 } },
+                风险条目.map((t, i) => h('li', { key: i, style: { marginBottom: 4 } }, t))),
+              h('div', { style: { display: 'flex', gap: 8, flexWrap: 'wrap' } },
+                h('button', {
+                  type: 'button',
+                  style: S.btnOn,
+                  disabled: 忙,
+                  onClick: () => { 改('rememberPassword', true); set风险开(false); set说('已勾选「记住密码」——记得点下面「保存设置」才会真正落盘') },
+                }, '我知道风险，仍然开启'),
+                h('button', {
+                  type: 'button',
+                  style: S.btn,
+                  disabled: 忙,
+                  onClick: () => { set风险开(false); 改('rememberPassword', false) },
+                }, '算了，不用'),
+              ),
+            ) : null,
+
+            有密码 ? h('div', { style: { marginTop: 10, display: 'flex', gap: 8, alignItems: 'center', flexWrap: 'wrap' } },
+              h('button', { type: 'button', style: S.btn, disabled: 忙, onClick: () => 动('clearPassword') }, '清除已保存的密码'),
+              h('span', { style: S.dim },
+                取(态.config, 'passwordActive')
+                  ? '当前生效中：拉起时会带环境变量；文件 ' + String(取(态.config, 'passwordPath') || '')
+                  : '已保存但未生效（开关关着，或 QQ 号没填）'),
+            ) : null,
+          ),
+        )
+      }
+
       const 渲染项 = (item) => {
         const [key, label, hint, type] = item
         const val = 取(草, key)
@@ -299,11 +393,13 @@ window.__ModuleLoader__.load({
         ),
         说 ? h('div', { style: { ...S.dim, marginBottom: 6 } }, 说) : null,
 
-        字段.map((g) => h('div', { key: g.group },
-          h('div', { style: S.h }, g.group),
-          g.note ? h('div', { style: { ...S.dim, marginBottom: 8 } }, g.note) : null,
-          g.items.map(渲染项),
-        )),
+        字段.map((g) => g.custom === 'password'
+          ? h('div', { key: g.group }, 密码区())
+          : h('div', { key: g.group },
+            h('div', { style: S.h }, g.group),
+            g.note ? h('div', { style: { ...S.dim, marginBottom: 8 } }, g.note) : null,
+            g.items.map(渲染项),
+          )),
 
         h('div', { style: S.h }, '日志'),
         h('div', { style: { display: 'flex', gap: 8, marginBottom: 6 } },

package/lib/index.js

@@ -1,9 +1,17 @@
 /**
- * dsh-napcat-keeper —— NapCat 看门狗 v2.0.0（可发布通用版）
+ * dsh-napcat-keeper —— NapCat 看门狗 v2.1.0（可发布通用版）
  *
  * 解决的问题：DSH 是桌面应用，重启 DSH 时 NapCat(QQ 协议端) 不会跟着起来，
  * 于是 dsh-qq-bridge 一直轮询一个死端口，你在 QQ 里说的话就石沉大海。
  *
+ * v2.1.0：可选「记住密码」
+ *   - NapCat 的快速登录 token 会失效（实测几小时就掉），失效后只剩手机扫码一条路；
+ *   - 打开 rememberPassword 后，拉起时会通过环境变量 ACCOUNT / NAPCAT_QUICK_PASSWORD
+ *     （外加 MD5 兜底）交给 NapCat，token 一失效它自己用密码重新登录，不用人管；
+ *   - 密码只落在本机两处：~/.dsh/napcat-keeper-config.json 与生成的 napcat-keeper-env.bat，
+ *     所以设置页打开它之前会先摆出风险说明，要人自己点确认；关掉或点「清除密码」就删干净。
+ *   - 密码绝不进日志、绝不进 /state 返回值（只回「已保存」和长度）。
+ *
  * v2.0.0：从「一台机器专用」改成通用款
  *   - 所有机器相关的路径都不再写死，改为「设置 → napcat桥」里填，或自动探测；
  *   - 新增设置界面（lib/client.js）：状态 / 配置 / 一键动作 / 日志，保存即热生效；
@@ -19,6 +27,7 @@
  * 只依赖 node 内置模块，不需要构建。看门狗自己绝不能把 DSH 启动搞崩。
  */
 
+import { createHash } from 'node:crypto'
 import { execFileSync, spawn } from 'node:child_process'
 import {
   appendFileSync,
@@ -37,7 +46,7 @@ import { homedir, tmpdir } from 'node:os'
 import path from 'node:path'
 
 export const name = 'napcat-keeper'
-export const version = '2.0.1'
+export const version = '2.1.0'
 
 /** tools 用来注册 napcat_* 工具；webServer 用来挂设置界面接口。拿不到也不至于把 DSH 拖崩。 */
 export const inject = ['tools', 'webServer']
@@ -52,6 +61,13 @@ const DEFAULTS = {
   launchAccount: '',
   /** 追加给启动脚本的参数（空格分隔），一般不用填 */
   launchArgs: '',
+  /**
+   * 记住 QQ 密码：token 失效时 NapCat 用密码自己重新登录，不用手机扫码。
+   * 默认关；打开后密码会以明文存在本机配置和一个生成的 bat 里，设置页会先摆风险说明。
+   */
+  rememberPassword: false,
+  /** QQ 密码（明文，只存在本机）；rememberPassword 打开、且 launchAccount 有值时才生效 */
+  quickPassword: '',
   /** OneBot 11 HTTP 端口 */
   onebotPort: 3000,
   /** OneBot access token，没有就留空 */
@@ -286,6 +302,11 @@ function normalizeConfig(cfg) {
   cfg.maxQqPerChain = clampNum(cfg.maxQqPerChain, 1, 40, 4)
   cfg.bridgeStaleSec = clampNum(cfg.bridgeStaleSec, 30, 86400, 180)
   cfg.hideConsole = cfg.hideConsole !== false && cfg.hideConsole !== 'false' && cfg.hideConsole !== 0
+  cfg.rememberPassword = cfg.rememberPassword === true || cfg.rememberPassword === 'true' || cfg.rememberPassword === 1
+  // 密码原样保留（空格也可能属于密码），只把换行去掉——换行会破坏生成的 bat
+  cfg.quickPassword = String(cfg.quickPassword == null ? '' : cfg.quickPassword).replace(/[\r\n]/g, '')
+  // 没有密码、没有账号，「记住密码」就等于没打开
+  if (!cfg.quickPassword || !cfg.launchAccount) cfg.rememberPassword = false
   return cfg
 }
 
@@ -674,10 +695,77 @@ function taskWrapperPath(cfg) {
   return path.join(dir, 'napcat-keeper-launch.vbs')
 }
 
+/** 「记住密码」时生成的那个 bat：设好环境变量，再 call 真正的启动脚本 */
+function envBatPath(cfg) {
+  const dir = path.dirname(cfg.launcherLog || path.join(dshHome(), 'napcat-keeper-launch.log'))
+  return path.join(dir, 'napcat-keeper-env.bat')
+}
+
+/** 密码是否真的在生效（三个条件缺一不可） */
+function passwordActive(cfg) {
+  return Boolean(cfg && cfg.rememberPassword && cfg.quickPassword && cfg.launchAccount)
+}
+
+function md5Hex(text) {
+  return createHash('md5').update(String(text), 'utf8').digest('hex')
+}
+
+/**
+ * bat 里 `set "K=V"` 的转义：引号在 set 语法里没法安全出现，直接剔除；
+ * `%` 会被 cmd 展开，双写；`^` 在引号内不特殊，剩下的都靠外层引号包住。
+ */
+function batValue(value) {
+  return String(value == null ? '' : value)
+    .replace(/[\r\n]/g, '')
+    .replace(/"/g, '')
+    .replace(/%/g, '%%')
+}
+
+/**
+ * 写「带密码」的启动壳。
+ * 为什么不直接改用户的 napcat.quick2.bat：那是人家自己的文件，插件只生成自己的中间层，
+ * 关掉「记住密码」时把这个文件删掉就干净了；任务计划里也只出现这个中间层的路径，不出现密码。
+ */
+function writeEnvBat(cfg, bat) {
+  const target = bat || resolveLauncherPath(cfg)
+  if (!passwordActive(cfg) || !target) return ''
+  const file = envBatPath(cfg)
+  const lines = [
+    '@echo off',
+    'rem dsh-napcat-keeper: 自动生成，改了也会被覆盖；关掉「记住密码」这个文件会被删掉',
+    `set "ACCOUNT=${batValue(cfg.launchAccount)}"`,
+    `set "NAPCAT_QUICK_PASSWORD=${batValue(cfg.quickPassword)}"`,
+    `set "NAPCAT_QUICK_PASSWORD_MD5=${md5Hex(cfg.quickPassword)}"`,
+    `call "${target}"${cfg.launchArgs ? ` ${cfg.launchArgs}` : ''}`,
+    '',
+  ]
+  try {
+    mkdirSync(path.dirname(file), { recursive: true })
+    writeFileSync(file, lines.join('\r\n'), 'utf8')
+    return file
+  } catch (error) {
+    log(cfg, `env bat 写不出来（${String((error && error.message) || error)}），这次退回不带密码的启动`)
+    return ''
+  }
+}
+
+function removeEnvBat(cfg) {
+  const file = envBatPath(cfg)
+  try {
+    if (existsSync(file)) {
+      unlinkSync(file)
+      log(cfg, `env bat removed: ${file}`)
+    }
+  } catch {}
+}
+
 /** 真正要跑的那条 cmd 命令 */
 function taskCommandLine(cfg, bat) {
+  // 记住密码时改走中间层（set 环境变量 → call 原脚本），其余情况原样直跑
+  const viaEnv = passwordActive(cfg) ? writeEnvBat(cfg, bat) : ''
+  const target = viaEnv || bat
   return (
-    `cmd.exe /c chcp 65001 >nul & cd /d "${cfg.shellDir}" & call "${bat}" ` +
+    `cmd.exe /c chcp 65001 >nul & cd /d "${cfg.shellDir}" & call "${target}" ` +
     `>> "${cfg.launcherLog}" 2>&1`
   )
 }
@@ -709,6 +797,8 @@ function ensureTask(cfg) {
   if (!cfg.taskName) return { ok: false, error: 'taskName 为空' }
   const bat = resolveLauncherPath(cfg)
   if (!bat) return { ok: false, error: '找不到启动脚本（先在设置里填 NapCat 目录）' }
+  // 关掉「记住密码」时清掉旧的中间层，免得密码继续留在磁盘上
+  if (!passwordActive(cfg)) removeEnvBat(cfg)
   let wrapper = ''
   let inner = ''
   if (cfg.hideConsole !== false) {
@@ -745,6 +835,12 @@ function ensureTask(cfg) {
   }
   state.taskReady = undefined
   log(cfg, `task "${cfg.taskName}" created → ${cfg.shellDir}`)
+  if (passwordActive(cfg)) {
+    log(
+      cfg,
+      `自动登录已武装：账号 ${cfg.launchAccount}，token 失效时 NapCat 会用密码重新登录（密码不进日志）`,
+    )
+  }
   const ps =
     `$ErrorActionPreference='SilentlyContinue';` +
     `$t=Get-ScheduledTask -TaskName '${cfg.taskName.replace(/'/g, "''")}';` +
@@ -833,13 +929,16 @@ function launchNapcat(cfg, reason = '') {
   const stamp = Date.now()
   const cmdFile = path.join(tmpdir(), `dsh-napcat-keeper-${stamp}.cmd`)
   const vbsFile = path.join(tmpdir(), `dsh-napcat-keeper-${stamp}.vbs`)
+  // cscript 这条退路也要认「记住密码」：走中间层，否则密码白存
+  const viaEnv = passwordActive(cfg) ? writeEnvBat(cfg, batPath) : ''
+  const runBat = viaEnv || batPath
   try {
     writeFileSync(
       cmdFile,
       '@echo off\r\n' +
         'chcp 65001 >nul\r\n' +
         `cd /d "${cfg.shellDir}"\r\n` +
-        `call "${batPath}" >> "${cfg.launcherLog}" 2>&1\r\n`,
+        `call "${runBat}" >> "${cfg.launcherLog}" 2>&1\r\n`,
       'utf8',
     )
     // VBScript 字符串里 "" 表示一个引号；sh.Run 的第三个参数 False = 不等待返回
@@ -874,7 +973,7 @@ function launchNapcat(cfg, reason = '') {
   state.phase = 'launching'
   state.scanSince = 0
   state.lastError = ''
-  log(cfg, `LAUNCH ok: ${batPath}${reason ? ` (${reason})` : ''} (launch #${state.launchCount})`)
+  log(cfg, `LAUNCH ok: ${runBat}${reason ? ` (${reason})` : ''} (launch #${state.launchCount})`)
   return { ok: true, cmdFile, vbsFile }
 }
 
@@ -1211,6 +1310,12 @@ function registerTools(ctx, cfg) {
                 procs,
                 qr,
                 bridge: bridgeAge(cfg),
+                autoLogin: {
+                  rememberPassword: cfg.rememberPassword,
+                  passwordActive: passwordActive(cfg),
+                  account: cfg.launchAccount,
+                  envBat: passwordActive(cfg) ? envBatPath(cfg) : '',
+                },
                 launches: state.launchCount,
                 dedupes: state.dedupeCount,
                 scanRetries: state.scanRetries,
@@ -1228,7 +1333,9 @@ function registerTools(ctx, cfg) {
                 note: health.online
                   ? '在线。若 QQ 里还是没回音，问题在 dsh-qq-bridge 那一侧（绑定/试运行开关）。'
                   : qr && qr.ageSec <= cfg.qrFreshSec
-                    ? '离线，且二维码是新的：小号需要手机扫码，文件在 qrCopyPath。'
+                    ? passwordActive(cfg)
+                      ? '离线，且在等扫码——但「记住密码」是开着的：看一眼日志里“快速登录错误”后面是不是仍回退到二维码（密码登录可能被腾讯要求验证）。'
+                      : '离线，且二维码是新的：需要手机扫码（或在设置里打开「记住密码」让 NapCat 自己用密码登录）。文件在 qrCopyPath。'
                     : '离线。看门狗会自动拉起；若 procs.dup 为 true 说明被重复拉起过，已自动去重。',
               },
               null,
@@ -1399,6 +1506,12 @@ function publicConfig(cfg) {
     launcherScript: cfg.launcherScript,
     launchAccount: cfg.launchAccount,
     launchArgs: cfg.launchArgs,
+    rememberPassword: cfg.rememberPassword,
+    /** 只回「存没存、几位」，明文密码永远不出这个函数 */
+    hasPassword: Boolean(cfg.quickPassword),
+    passwordLength: cfg.quickPassword ? String(cfg.quickPassword).length : 0,
+    passwordPath: passwordActive(cfg) ? envBatPath(cfg) : '',
+    passwordActive: passwordActive(cfg),
     onebotPort: cfg.onebotPort,
     accessToken: cfg.accessToken,
     procPathMatch: cfg.procPathMatch,
@@ -1470,6 +1583,16 @@ function saveAndApply(ctx, patch) {
   const fileCfg = { ...readConfigFile(home) }
   for (const [key, value] of Object.entries(patch || {})) {
     if (!Object.prototype.hasOwnProperty.call(DEFAULTS, key)) continue
+    if (key === 'quickPassword') {
+      // 设置页不回显密码：空字符串 = 别动它（要清空走 clearPassword 动作）
+      const text = String(value == null ? '' : value).replace(/[\r\n]/g, '')
+      if (text) fileCfg.quickPassword = text
+      continue
+    }
+    if (key === 'rememberPassword') {
+      fileCfg.rememberPassword = value !== false && value !== 'false'
+      continue
+    }
     if (key === 'shellDir' || key === 'procPathMatch') {
       fileCfg[key] = String(value == null ? '' : value).trim().replace(/"/g, '').replace(/\\/g, '/')
       continue
@@ -1502,6 +1625,27 @@ function saveAndApply(ctx, patch) {
     `config saved → ${written} (enabled=${next.enabled}, shell=${next.shellDir || '(未探测到)'}, ` +
       `port=${next.onebotPort}, task=${next.taskName || '(不用)'})`,
   )
+  // 密码相关的改动要落到「计划任务 / 中间层 bat」上，否则只是改了配置文件
+  const passwordChanged =
+    prev &&
+    (prev.rememberPassword !== next.rememberPassword ||
+      prev.quickPassword !== next.quickPassword ||
+      prev.launchAccount !== next.launchAccount)
+  if (passwordChanged) {
+    if (passwordActive(next)) {
+      const made = next.taskName ? ensureTask(next) : { ok: true }
+      log(
+        next,
+        made.ok
+          ? '记住密码已开启：下次拉起会带 ACCOUNT / NAPCAT_QUICK_PASSWORD，token 失效自动用密码登录'
+          : `记住密码已写入配置，但任务重建失败（${made.error || ''}），下次拉起可能仍走扫码`,
+      )
+    } else {
+      removeEnvBat(next)
+      if (next.taskName) ensureTask(next)
+      log(next, '记住密码已关闭：中间层 bat 已删除，任务回到不带密码的启动方式')
+    }
+  }
   armTimer(next)
   if (next.enabled) {
     tick(next).catch((error) => log(next, `tick after save error: ${String((error && error.message) || error)}`))
@@ -1554,6 +1698,24 @@ async function doAction(ctx, cfg, action) {
         hidden: r.hidden,
       }
     }
+    case 'clearPassword': {
+      // 把密码从本机彻底删掉：配置文件两条 + 中间层 bat，再让任务回到不带密码的样子
+      const home = dshHome()
+      const fileCfg = { ...readConfigFile(home) }
+      fileCfg.rememberPassword = false
+      fileCfg.quickPassword = ''
+      writeConfigFile(home, fileCfg)
+      const next = resolveConfig(state.patchConfig || {})
+      state.cfg = next
+      removeEnvBat(next)
+      const made = next.taskName ? ensureTask(next) : { ok: true }
+      await tick(next)
+      return {
+        said: made.ok
+          ? '密码已从本机配置和启动脚本里删掉；之后 token 失效就得手机扫码'
+          : `密码已删，但任务重建失败：${made.error || ''}`,
+      }
+    }
     case 'detect': {
       const found = detectShellDir()
       return { said: found ? `探测到：${found}` : '常见位置没找到 NapCat Shell 目录', shellDir: found }
@@ -1656,5 +1818,10 @@ export const __internals = {
   killNapcat,
   tick,
   lockBlocked,
+  passwordActive,
+  writeEnvBat,
+  removeEnvBat,
+  envBatPath,
+  md5Hex,
   state,
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-napcat-keeper",
-  "version": "2.0.2",
+  "version": "2.1.1",
   "description": "发现没有能够随着dsh打开自动启动napcat的插件，遂使用大肥鱼制作此插件，建议搭配Yuuyuko-uu的dsh-qq-bridge使用~",
   "type": "module",
   "main": "lib/index.js",