dsh-pisces 0.2.5 → 0.2.7

package/lib/bili.js

@@ -1,19 +1,24 @@
-// B 站：只读热门 + 在视频下说一句。网络与凭据都在这里，纯函数、可注入 fetch。
+// B 站：登录（cookie）+ 只读热门 + 在视频下说一句。网络与凭据都在这里，纯函数、可注入 fetch。
 //
-// 三条口径（README「说话」、知识库 n23）：
+// 四条口径（README「说话」、知识库 n23 / n64）：
 // 1. bvid 不能直接发评论，要先 `/x/web-interface/view?bvid=` 拿 aid；
 // 2. 凭据只从 `<root>/owner.json` 读，SESSDATA 与 bili_jct 缺任一都是"cookie 不完整"；
-// 3. 所有失败都不抛，折成 { ok:false, reason }，reason 只写人话、不打印 cookie。
-import { existsSync, readFileSync } from 'node:fs'
+// 3. 登录只收 SESSDATA + bili_jct 两个键，保存前用 nav 接口验一次；0600 原子写，绝不回显；
+// 4. 所有失败都不抛，折成 { ok:false, reason }，reason 只写人话、不打印 cookie。
+import { chmodSync, copyFileSync, existsSync, mkdirSync, readFileSync, renameSync, unlinkSync, writeFileSync } from 'node:fs'
 import path from 'node:path'
 
 export const POPULAR_API = 'https://api.bilibili.com/x/web-interface/popular'
 export const VIEW_API = 'https://api.bilibili.com/x/web-interface/view'
 export const REPLY_API = 'https://api.bilibili.com/x/v2/reply/add'
+export const NAV_API = 'https://api.bilibili.com/x/web-interface/nav'
 export const OWNER_FILE = 'owner.json'
+export const OWNER_MODE = 0o600
 
 const BVID_RE = /^BV[0-9A-Za-z]{10}$/
 const SPEAK_MAX = 300
+// 登录只认这两个键：SESSDATA 证明身份，bili_jct 是写操作的 csrf。
+const LOGIN_KEYS = ['SESSDATA', 'bili_jct']
 const UA =
   'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.0.0 Safari/537.36'
 
@@ -61,6 +66,176 @@ export function readOwner(root) {
   }
 }
 
+/**
+ * 从浏览器复制的整段 cookie 里只挑 SESSDATA / bili_jct，并拼回规范形状。
+ * 缺哪个就说清缺哪个；换行/分号分隔都认。
+ */
+export function parseBiliCookie(text) {
+  const raw = typeof text === 'string' ? text : String(text ?? '')
+  const values = new Map()
+  for (const piece of raw.split(/[;\r\n]+/)) {
+    const part = piece.trim()
+    const eq = part.indexOf('=')
+    if (eq <= 0) continue
+    const key = part.slice(0, eq).trim()
+    const value = part.slice(eq + 1).trim()
+    if (!LOGIN_KEYS.includes(key) || !value) continue
+    values.set(key, value)
+  }
+  const missing = LOGIN_KEYS.filter((key) => !values.has(key))
+  if (missing.length) return { ok: false, reason: `cookie 不完整：缺 ${missing.join('、')}` }
+  return {
+    ok: true,
+    cookie: `SESSDATA=${values.get('SESSDATA')}; bili_jct=${values.get('bili_jct')}`,
+    missing: [],
+  }
+}
+
+/**
+ * 读登录态（登录卡片用）：文件不在 / 坏 JSON / 缺键一律 null（调用方翻成人话）。
+ * 比 readOwner 多认可选的名字与 uid；cookie 本身不回显、不打印。
+ */
+export function readBili(root) {
+  if (!root) return null
+  try {
+    const file = path.join(String(root), OWNER_FILE)
+    const raw = readFileSync(file, 'utf8').replace(/^\uFEFF/, '')
+    const j = JSON.parse(raw)
+    if (!j || typeof j !== 'object' || Array.isArray(j)) return null
+    const parsed = parseBiliCookie(typeof j.cookie === 'string' ? j.cookie : '')
+    if (!parsed.ok) return null
+    const at = Number(j.at)
+    const out = { cookie: parsed.cookie, at: Number.isFinite(at) && at > 0 ? at : 0 }
+    const name = typeof j.name === 'string' ? j.name.trim() : ''
+    if (name) out.name = name
+    const mid = Number(j.mid)
+    if (Number.isFinite(mid) && mid > 0) out.mid = Math.trunc(mid)
+    return out
+  } catch {
+    return null
+  }
+}
+
+/** 原子写：tmp → rename，tmp 用 0600 建；失败清掉 tmp 再抛。 */
+export function writeBili(root, { cookie, name, mid } = {}) {
+  const parsed = parseBiliCookie(cookie)
+  if (!parsed.ok) throw new Error(parsed.reason)
+  if (!root) throw new Error('没有地方存')
+
+  const file = path.join(String(root), OWNER_FILE)
+  const cleanName = typeof name === 'string' ? name.trim().slice(0, 64) : ''
+  const id = Number(mid)
+  const record = {
+    cookie: parsed.cookie,
+    name: cleanName,
+    ...(Number.isFinite(id) && id > 0 ? { mid: Math.trunc(id) } : {}),
+    at: Date.now(),
+  }
+  const text = `${JSON.stringify(record, null, 2)}\n`
+  mkdirSync(path.dirname(file), { recursive: true })
+  // 覆盖之前先把旧文件留成 .bak：里面是上一份登录态，点错一次只能重新扫码。
+  // 备份失败不拦写盘（宁可写成功，也不能因为留副本失败就登不上）。
+  try {
+    if (existsSync(file)) copyFileSync(file, `${file}.bak`)
+  } catch {
+    /* 留不下备份就算了 */
+  }
+  const tmp = `${file}.${process.pid}.${Date.now()}.tmp`
+  try {
+    writeFileSync(tmp, text, { encoding: 'utf8', mode: OWNER_MODE })
+    try {
+      chmodSync(tmp, OWNER_MODE)
+    } catch {
+      /* Windows 不保留 POSIX 位，尽力而为 */
+    }
+    renameSync(tmp, file)
+  } catch (e) {
+    try {
+      unlinkSync(tmp)
+    } catch {
+      /* 没有 tmp 可清就算了 */
+    }
+    throw e
+  }
+  return record
+}
+
+/** 清掉登录文件；返回是否真的删掉了。 */
+export function clearBili(root) {
+  if (!root) return false
+  try {
+    unlinkSync(path.join(String(root), OWNER_FILE))
+    return true
+  } catch {
+    return false
+  }
+}
+
+/** nav 接口的错误码 → 人话。 */
+function navReason(code) {
+  if (code === -101) return '没登录'
+  if (code === -412 || code === -352 || code === -403) return '被风控了'
+  return `B 站回了个看不懂的（code ${code}）`
+}
+
+/**
+ * 用 nav 接口验一次：`data.isLogin === true` 才算登录，顺手取 uname / mid。
+ * 失败只回「没登录 / cookie 不完整 / 被风控了 / 连不上 B 站」，不打印 cookie。
+ * @returns {Promise<{ok:true, name:string, mid:number}|{ok:false, reason:string}>}
+ */
+export async function checkBili({ cookie, fetchImpl = globalThis.fetch } = {}) {
+  const parsed = parseBiliCookie(cookie)
+  if (!parsed.ok) return { ok: false, reason: 'cookie 不完整' }
+
+  const f = typeof fetchImpl === 'function' ? fetchImpl : globalThis.fetch
+  if (typeof f !== 'function') return { ok: false, reason: '连不上 B 站' }
+
+  let nav
+  try {
+    const res = await f(NAV_API, {
+      headers: {
+        'user-agent': UA,
+        cookie: parsed.cookie,
+        referer: 'https://www.bilibili.com/',
+      },
+    })
+    nav = await readJson(res)
+  } catch {
+    return { ok: false, reason: '连不上 B 站' }
+  }
+  if (!nav || typeof nav !== 'object') return { ok: false, reason: '连不上 B 站' }
+
+  const code = Number(nav.code)
+  if (code !== 0) return { ok: false, reason: navReason(code) }
+  // code 0 也可能是"没登录"：没有有效 SESSDATA 时 web 端回 isLogin:false。
+  if (nav.data?.isLogin !== true) return { ok: false, reason: '没登录' }
+
+  const name = typeof nav.data?.uname === 'string' ? nav.data.uname.trim() : ''
+  const mid = Number(nav.data?.mid)
+  return { ok: true, name, mid: Number.isFinite(mid) && mid > 0 ? Math.trunc(mid) : 0 }
+}
+
+/**
+ * 粘贴 → 解析 → 验证 → 写盘。验证不过一个字节都不写。
+ * @returns {Promise<{ok:true, name:string}|{ok:false, reason:string}>}
+ */
+export async function loginBili({ root, text, fetchImpl = globalThis.fetch, log } = {}) {
+  if (!root) return { ok: false, reason: '没有地方存' }
+  const parsed = parseBiliCookie(text)
+  if (!parsed.ok) return { ok: false, reason: parsed.reason }
+
+  const chk = await checkBili({ cookie: parsed.cookie, fetchImpl })
+  if (!chk.ok) return chk
+
+  try {
+    writeBili(root, { cookie: parsed.cookie, name: chk.name, mid: chk.mid })
+  } catch {
+    return { ok: false, reason: '存不进去' }
+  }
+  safeLog(log, 'B 站登录：已保存（只在本机）')
+  return { ok: true, name: chk.name }
+}
+
 async function readJson(res) {
   try {
     if (!res || typeof res.json !== 'function') return null

package/lib/biliqr.js

@@ -0,0 +1,341 @@
+// biliqr.js —— B 站扫码登录（宿主侧）。
+//
+// 移植说明（2026-11-10）：取自 dsh-fish 的 `lib/biliqr.js`（MIT，Copyright (c) 2026
+// 大肥鱼（dsh-fish）作者；扫码登录由 @Bacon-01 贡献，PR #17）。按本插件改了三处：
+// 1. 落盘走 `lib/bili.js` 的 writeBili（owner.json，0600 原子写），不再单独存 account；
+// 2. 认账号走 `checkBili`（nav 接口），不依赖 dsh-fish 的 createClient；
+// 3. 没有 bili_jct 的登录不给存——这个插件的 B 站登录只为了说话，发评论必须有 csrf。
+//
+// 为什么不在浏览器里直接请求 B 站：
+//   generate / poll 这两个接口没有 CORS 头，页面里 fetch 一律被浏览器挡死。
+//   所以二维码的生成、轮询、换 cookie 全在宿主这一侧做，页面只跟 `/dsh-pisces-api/bili/qr*` 说话。
+//
+// 三条安全约定（比功能本身重要）：
+//   1. **key 与 cookie 只活在内存里**。没点「保存」之前不落盘、不进日志、不回给页面。
+//      页面拿到的只有「登的是谁」（昵称 + uid），永远拿不到 cookie 原文 —— 和粘贴那条路同一条规矩。
+//   2. **确认才写盘**。轮询到 DONE 只是把 cookie 攥在 pending 里，写 owner.json 要人再点一次。
+//   3. **过期就不认**。180 秒之后既不再轮询，也不接受 save；丢掉就是丢掉，下次重新生成。
+//
+// 状态机：waiting → scanned → confirmed → （人点保存）saved
+//              ↘ expired / error / gone
+import { checkBili, writeBili } from './bili.js'
+import { qrSvg } from './qr.js'
+
+const GEN_URL =
+  'https://passport.bilibili.com/x/passport-login/web/qrcode/generate?source=main-fe-header'
+const pollUrl = (key) =>
+  `https://passport.bilibili.com/x/passport-login/web/qrcode/poll?source=main-fe-header&qrcode_key=${encodeURIComponent(key)}`
+
+// B 站对这个接口比较挑 UA：拿 node 默认 UA 去问，偶尔会直接给 -412。
+const UA =
+  'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.0.0 Safari/537.36'
+
+export const QR_TTL_MS = 180_000
+const FORGET_MS = QR_TTL_MS + 120_000 // 过期之后再留一会儿：让人还能看到"已过期"而不是"不存在"
+const MAX_PENDING = 3
+const MIN_POLL_GAP_MS = 800
+const MIN_START_GAP_MS = 1_200
+
+// 只留这几个键（和 dsh-fish 的 owner.js 对齐；buvid3 有时给、有时不给，有就留着）。
+const WANT = ['SESSDATA', 'bili_jct', 'buvid3', 'DedeUserID', 'DedeUserID__ckMd5', 'sid']
+
+/** 把 Set-Cookie 那几行里我们要的键抠出来。 */
+function pickCookies(headers) {
+  let lines = []
+  try {
+    if (typeof headers?.getSetCookie === 'function') lines = headers.getSetCookie() ?? []
+  } catch {
+    lines = []
+  }
+  if (!lines.length) {
+    const raw = headers?.get?.('set-cookie') ?? ''
+    // 兜底：没有 getSetCookie 的老运行时。expires 里也有逗号，所以只在"逗号后面跟着 name="处切。
+    if (raw) lines = String(raw).split(/,(?=\s*[A-Za-z0-9_]+=)/)
+  }
+  const got = {}
+  for (const line of lines) {
+    const head = String(line).split(';')[0]
+    const i = head.indexOf('=')
+    if (i <= 0) continue
+    const name = head.slice(0, i).trim()
+    const value = head.slice(i + 1).trim()
+    if (WANT.includes(name) && value) got[name] = value
+  }
+  return got
+}
+
+/** 拼成 owner.json 里那种 `a=1; b=2` 的形状（顺序固定，测试好比对）。 */
+function joinCookies(got) {
+  return WANT.filter((n) => got[n])
+    .map((n) => `${n}=${got[n]}`)
+    .join('; ')
+}
+
+/**
+ * 建一个扫码登录的小机器。fetch / 时钟 / 日志都做成可注入，单测不用打真网。
+ * @param {{fetchImpl?:Function, now?:()=>number, log?:(m:string)=>void}} [opts]
+ */
+export function createQrLogin(opts = {}) {
+  const fetchImpl = opts.fetchImpl ?? globalThis.fetch
+  const now = opts.now ?? (() => Date.now())
+  const log = opts.log ?? (() => {})
+
+  /** @type {Map<string, {key:string,url:string,createdAt:number,lastPollAt:number,state:string,cookie:string,account:{mid:string,name:string}|null,note:string}>} */
+  const pending = new Map()
+  // -Infinity 起步：注入的时钟可能从 0 开始，别让"上一次生成"的初值把第一张码节流掉。
+  let lastStart = -Infinity
+
+  function sweep() {
+    const t = now()
+    for (const [k, e] of pending) {
+      if (t - e.createdAt > FORGET_MS) pending.delete(k)
+    }
+    // 超出上限就先丢最老的：这是本机上的登录窗口，不是缓存，不心疼。
+    while (pending.size > MAX_PENDING) {
+      const oldest = [...pending.entries()].sort((a, b) => a[1].createdAt - b[1].createdAt)[0]
+      if (!oldest) break
+      pending.delete(oldest[0])
+    }
+  }
+
+  async function request(url) {
+    const ctl = new AbortController()
+    const timer = setTimeout(() => ctl.abort(), 12_000)
+    try {
+      return await fetchImpl(url, {
+        signal: ctl.signal,
+        headers: {
+          'user-agent': UA,
+          referer: 'https://www.bilibili.com/',
+          accept: 'application/json, text/plain, */*',
+          'accept-language': 'zh-CN,zh;q=0.9',
+        },
+      })
+    } finally {
+      clearTimeout(timer)
+    }
+  }
+
+  /**
+   * 生成一张新码。返回里的 svg 直接给页面当图用：
+   * 登录 URL 里有 qrcode_key，走第三方图片服务等于把钥匙递出去。
+   */
+  async function start() {
+    sweep()
+    const t = now()
+    if (t - lastStart < MIN_START_GAP_MS) {
+      return {
+        ok: false,
+        why: '刚生成过，等一秒再点。',
+        retryAfterMs: MIN_START_GAP_MS - (t - lastStart),
+      }
+    }
+    lastStart = t
+
+    let res
+    try {
+      res = await request(GEN_URL)
+    } catch (err) {
+      return { ok: false, why: `连不上 B 站：${String(err?.message ?? err).slice(0, 60)}` }
+    }
+    let body
+    try {
+      body = JSON.parse(await res.text())
+    } catch {
+      return { ok: false, why: `B 站回的不是 JSON（HTTP ${res.status}）` }
+    }
+    const url = String(body?.data?.url ?? '')
+    const key = String(body?.data?.qrcode_key ?? '')
+    if (body?.code !== 0 || !url || !key) {
+      return { ok: false, why: `B 站没给码：${body?.code ?? '?'} ${body?.message ?? ''}`.trim() }
+    }
+
+    let svg = ''
+    try {
+      svg = qrSvg(url, { ec: 'M', scale: 6, margin: 3 })
+    } catch (err) {
+      // 画不出来多半是 URL 长得超出预期：宁可当场说清楚，也别给一张扫不出的图。
+      return { ok: false, why: `二维码画不出来：${String(err?.message ?? err).slice(0, 60)}` }
+    }
+
+    pending.set(key, {
+      key,
+      url,
+      createdAt: t,
+      lastPollAt: 0,
+      state: 'waiting',
+      cookie: '',
+      account: null,
+      note: '',
+    })
+    // 放进去之后再收一次：MAX_PENDING 管的是"此刻攥着几把钥匙"，不是"放之前有几把"。
+    sweep()
+    return { ok: true, key, svg, ttlMs: QR_TTL_MS, expiresAt: t + QR_TTL_MS }
+  }
+
+  /** 轮询一次。页面每秒问一次也没关系：真请求有 800ms 的下限。 */
+  async function poll(key) {
+    sweep()
+    const e = pending.get(String(key ?? ''))
+    if (!e) return { state: 'gone', why: '这张码已经不在了，重新点「扫码登录」。' }
+
+    if (e.state === 'confirmed') {
+      return { state: 'confirmed', account: e.account, note: e.note }
+    }
+    if (e.state === 'saved') return { state: 'saved', account: e.account }
+    if (e.state === 'expired') return { state: 'expired', why: '二维码过期了，点「换一张」重来。' }
+    if (e.state === 'error') return { state: 'error', why: e.note }
+
+    const t = now()
+    if (t - e.createdAt > QR_TTL_MS) {
+      e.state = 'expired'
+      return { state: 'expired', why: '二维码过期了，点「换一张」重来。' }
+    }
+    // 太密就回上次的结果，不打扰 B 站
+    if (t - e.lastPollAt < MIN_POLL_GAP_MS) {
+      return { state: e.state, throttled: true, expiresAt: e.createdAt + QR_TTL_MS }
+    }
+    e.lastPollAt = t
+
+    let res
+    try {
+      res = await request(pollUrl(e.key))
+    } catch (err) {
+      return {
+        state: e.state,
+        why: `连不上 B 站：${String(err?.message ?? err).slice(0, 60)}`,
+        expiresAt: e.createdAt + QR_TTL_MS,
+      }
+    }
+
+    let body
+    const text = await res.text().catch(() => '')
+    try {
+      body = JSON.parse(text)
+    } catch {
+      return {
+        state: e.state,
+        why: `B 站回的不是 JSON（HTTP ${res.status}）`,
+        expiresAt: e.createdAt + QR_TTL_MS,
+      }
+    }
+    // 顶层 code 不对（-412 风控之类）：这次不算数，接着轮询
+    if (body?.code !== 0) {
+      return {
+        state: e.state,
+        why: `B 站：${body?.code} ${body?.message ?? ''}`.trim(),
+        expiresAt: e.createdAt + QR_TTL_MS,
+      }
+    }
+
+    const code = Number(body?.data?.code ?? body?.code)
+    if (code === 86101) {
+      e.state = 'waiting'
+      return { state: 'waiting', expiresAt: e.createdAt + QR_TTL_MS }
+    }
+    if (code === 86090) {
+      e.state = 'scanned'
+      return {
+        state: 'scanned',
+        why: '扫到了，在手机上点一下「确认登录」。',
+        expiresAt: e.createdAt + QR_TTL_MS,
+      }
+    }
+    if (code === 86038) {
+      e.state = 'expired'
+      return { state: 'expired', why: '二维码过期了，点「换一张」重来。' }
+    }
+    if (code !== 0) {
+      return {
+        state: e.state,
+        why: `B 站：${code} ${body?.data?.message ?? ''}`.trim(),
+        expiresAt: e.createdAt + QR_TTL_MS,
+      }
+    }
+
+    // ---- 到这里就是登录成功了 ----
+    const cookie = joinCookies(pickCookies(res.headers))
+    if (!/SESSDATA=/.test(cookie)) {
+      e.state = 'error'
+      e.note = '扫码成功了，但 B 站没把 SESSDATA 发下来'
+      log('扫码成功但没有 SESSDATA，放弃这次登录')
+      return { state: 'error', why: e.note }
+    }
+    if (!/bili_jct=/.test(cookie)) {
+      // 这个插件的 B 站登录只为了说话；没有 csrf 的登录存了也没用，当场说清楚。
+      e.state = 'error'
+      e.note = '这份登录里没有 bili_jct（发不了评论），换一个号重扫吧。'
+      return { state: 'error', why: e.note }
+    }
+    e.cookie = cookie
+    e.state = 'confirmed'
+
+    // 认一下这是谁。认不出来（网络抖动）不算失败：cookie 已经拿到了。
+    let account = null
+    try {
+      const me = await checkBili({ cookie, fetchImpl })
+      if (me?.ok) account = { mid: String(me.mid ?? ''), name: String(me.name ?? '') }
+      else if (!e.note) e.note = 'cookie 拿到了，但暂时认不出是哪个账号。'
+    } catch (err) {
+      if (!e.note) e.note = `cookie 拿到了，但认账号时连不上 B 站：${String(err?.message ?? err).slice(0, 40)}`
+    }
+    e.account = account
+    log(`扫码登录确认：${account?.name ? `${account.name}(uid ${account.mid})` : '未知账号'}`)
+    return { state: 'confirmed', account, note: e.note }
+  }
+
+  /**
+   * 人点了「保存」才写盘。
+   * 写的是 owner.json 的 cookie + 只读的名字/uid；别的东西一个字都不碰。
+   */
+  async function save(key, root) {
+    sweep()
+    const e = pending.get(String(key ?? ''))
+    if (!e) return { ok: false, why: '这张码已经不在了，重新扫码。' }
+    // 过期先判：过期之后不管扫没扫到都只能说"过期"，说"还没确认"会让人干等。
+    if (now() - e.createdAt > QR_TTL_MS) {
+      e.state = 'expired'
+      pending.delete(e.key)
+      return { ok: false, why: '这张码过期了，重新扫码再存。' }
+    }
+    if (e.state !== 'confirmed') return { ok: false, why: '还没扫码确认，先别存。' }
+    const id = Number(e.account?.mid)
+    try {
+      writeBili(root, {
+        cookie: e.cookie,
+        name: e.account?.name ?? '',
+        mid: Number.isFinite(id) && id > 0 ? id : undefined,
+      })
+    } catch {
+      return { ok: false, why: '没存上。' }
+    }
+    e.cookie = ''
+    e.state = 'saved'
+    pending.delete(e.key)
+    return { ok: true, name: e.account?.name ?? '', note: '存下了。' }
+  }
+
+  /** 关掉 / 点取消：把这张码连同攥着的 cookie 一起忘掉。 */
+  function drop(key) {
+    const e = pending.get(String(key ?? ''))
+    if (e) {
+      e.cookie = ''
+      pending.delete(e.key)
+    }
+    return { ok: true }
+  }
+
+  /** 插件停用时清干净（内存里的凭据不该比进程活得久）。 */
+  function clear() {
+    for (const e of pending.values()) e.cookie = ''
+    pending.clear()
+  }
+
+  /** 只看不写：单测和自检用。 */
+  function peek(key) {
+    const e = pending.get(String(key ?? ''))
+    return e ? { state: e.state, hasCookie: Boolean(e.cookie), account: e.account } : null
+  }
+
+  return { start, poll, save, drop, clear, peek, size: () => pending.size }
+}