dsh-plugin 1.4.5 → 1.4.7

package/src/server/http/routes.ts

@@ -107,12 +107,13 @@ function catalogCacheFile(profile: string, key: string): string {
   return join(profileDirectory(profile), 'cache', `catalog-${key}.json`)
 }
 
-/** 读缓存：文件存在、JSON 合法、未过期 → 返回原始响应字符串；否则 null（视为 miss）。 */
-function readCatalogCache(file: string): string | null {
+/** 读缓存：文件存在、JSON 合法、未超过 maxAgeMs → 返回原始响应字符串；否则 null（视为 miss）。
+ *  maxAgeMs 传 Infinity 即「任意年龄的缓存」，供实时拉取失败时兜底使用。 */
+function readCatalogCache(file: string, maxAgeMs: number): string | null {
   try {
     const entry = JSON.parse(readFileSync(file, 'utf8')) as CatalogCacheEntry
     if (entry && typeof entry.at === 'number' && typeof entry.body === 'string'
-      && Date.now() - entry.at < CATALOG_CACHE_TTL_MS) {
+      && Date.now() - entry.at < maxAgeMs) {
       return entry.body
     }
   } catch {
@@ -567,8 +568,16 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
             ? await gitLsRemote(c.url, c.proxy ?? effectiveProxy, 6000)
             : await probe(c.url, c.proxy)
           results.push({ key: c.key, ok: r.ok })
-          // git 行的 status 是退出码，客户端 git 行只显示 OK / 不可达，不显示成 HTTP 码
-          send({ type: r.ok ? 'ok' : 'fail', key: c.key, display: c.display, ms: r.ms, status: c.git ? null : r.status })
+          // git 行的 status 是退出码，客户端 git 行只显示 OK / 不可达，不显示成 HTTP 码。
+          // reason 透出失败细分原因（如 Windows 证书吊销受阻），客户端据此给对症提示而非笼统「不可达」。
+          send({
+            type: r.ok ? 'ok' : 'fail',
+            key: c.key,
+            display: c.display,
+            ms: r.ms,
+            status: c.git ? null : r.status,
+            reason: r.ok ? null : (r.reason ?? null),
+          })
         }
         send({ type: 'end', at: Date.now() })
         response.end()
@@ -609,9 +618,10 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
           sendJson(response, 200, { ok: false, ms: null, status: null, target, reason: 'empty' })
           return
         }
-        // 探测走该代理本身（不是 effectiveProxy）：验证的就是用户填的这个地址
+        // 探测走该代理本身（不是 effectiveProxy）：验证的就是用户填的这个地址。
+        // reason 带上失败细分原因（如证书吊销受阻），设置页才能提示「不是代理地址的问题」。
         const r = await probeUrl(target, proxy, 6000)
-        sendJson(response, 200, { ok: r.ok, ms: r.ms, status: r.status, target })
+        sendJson(response, 200, { ok: r.ok, ms: r.ms, status: r.status, target, reason: r.reason ?? null })
       },
     }),
     webServer.register({
@@ -635,7 +645,7 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
           : `https://api.dsh-plugin.org/plugins.${lang}.json`
         // 1 小时本地缓存：命中直接返回（跨重启生效，插件市场秒开），未命中才走 curl 拉远程
         const cacheFile = catalogCacheFile(profile, isStats ? 'stats' : `plugins-${lang}`)
-        const cached = readCatalogCache(cacheFile)
+        const cached = readCatalogCache(cacheFile, CATALOG_CACHE_TTL_MS)
         if (cached !== null) {
           try {
             sendJson(response, 200, JSON.parse(cached))
@@ -646,6 +656,17 @@ export function mountPluginHubRoutes(webServer: WebServerService, profile: strin
         }
         const r = await fetchViaCurl(target, proxy, 20000)
         if (!r.ok || r.body === '') {
+          // 实时拉取失败：退回任意年龄的本地缓存（上次成功数据），
+          // 避免证书吊销受阻 / 网络抖动时整个插件市场打不开 —— 数据可能过期，但好过空白。
+          const stale = readCatalogCache(cacheFile, Number.POSITIVE_INFINITY)
+          if (stale !== null) {
+            try {
+              sendJson(response, 200, JSON.parse(stale))
+              return
+            } catch {
+              // 兜底缓存也损坏：落到下面的 502
+            }
+          }
           sendJson(response, 502, { error: 'catalog fetch failed' })
           return
         }

package/src/server/services/probe.ts

@@ -21,10 +21,53 @@ export interface ProbeResult {
   ms: number | null
   /** HTTP 状态码；失败为 null */
   status: number | null
+  /** 失败细分原因：仅当能确认为环境侧 TLS 问题时才有值，普通不可达为 null */
+  reason?: ProbeFailReason | null
 }
 
+/**
+ * 不可达的细分原因。把「证书吊销检查被挡」这类本机环境问题与「网络不通」分开，
+ * 诊断列表才能给出对症提示，而不是笼统显示不可达。
+ */
+export type ProbeFailReason = 'tlsRevocation'
+
 const probeFail = (): ProbeResult => ({ ok: false, ms: null, status: null })
 
+/**
+ * Windows 的 curl 走 Schannel 做 TLS：握手阶段强制获取证书吊销信息（CRL/OCSP），
+ * 代理受限或吊销服务不可达时整个握手直接失败（CRYPT_E_NO_REVOCATION_CHECK），
+ * 表现为 `curl: (35) schannel: next InitializeSecurityContext failed` —— 而 Node/npm/
+ * 浏览器各有自己的 TLS 实现，照常可用，用户只会看到「插件市场打不开」。
+ * --ssl-revoke-best-effort（curl ≥ 7.70）把吊销检查降级为尽力而为，握手不再被它拦死；
+ * 其它平台后端（SecureTransport / OpenSSL）没有这个强制行为，不加参数。
+ * 运行时读 process.platform（而非模块级常量），便于测试覆盖两条分支。
+ */
+export function curlTlsArgs(): string[] {
+  return process.platform === 'win32' ? ['--ssl-revoke-best-effort'] : []
+}
+
+/** 本机 curl 太老、不认识 --ssl-revoke-best-effort（curl < 7.70）：退出码 2 + stderr 指向该参数。 */
+export function curlRevokeFlagUnsupported(code: number | null, stderr: string): boolean {
+  return code === 2 && /ssl-revoke-best-effort/i.test(stderr) && /unknown|unrecognized/i.test(stderr)
+}
+
+/** stderr 是否指向 Schannel 取不到证书吊销信息（据此归因为环境 TLS 问题，而非网络不通）。 */
+export function tlsRevocationBlocked(stderr: string): boolean {
+  return /CRYPT_E_NO_REVOCATION_CHECK|CRYPT_E_REVOCATION_OFFLINE|0x80092012/i.test(stderr)
+}
+
+/** 探测/安装同一套代理口径：curl 与 git 子进程都读 HTTP(S)_PROXY 环境变量。 */
+function proxyEnv(proxy: string): NodeJS.ProcessEnv {
+  if (proxy === '') return { ...process.env }
+  return {
+    ...process.env,
+    HTTP_PROXY: proxy,
+    HTTPS_PROXY: proxy,
+    http_proxy: proxy,
+    https_proxy: proxy,
+  }
+}
+
 /** macOS 系统代理：scutil --proxy 输出里的 HTTP(S) 代理；未开启返回 null。 */
 function macSystemProxy(): string | null {
   try {
@@ -74,46 +117,72 @@ export function systemProxy(): string | null {
   return null
 }
 
-/**
- * curl 子进程探测：spawn curl -s -w '%{http_code}' 并注入代理 env。
- * curl 读 HTTP_PROXY/HTTPS_PROXY 是原生行为，与 pnpm/git 安装通道同一套代理口径；
- * 失败（curl 不存在 / 连接失败 / 超时）都归为不可达，全程不抛错。
- */
-function curlProbe(url: string, proxy: string, timeoutMs: number): Promise<ProbeResult> {
+/** curl 一次调用的原始结果：退出码（进程没起来 / 超时被杀为 null）+ 两路输出。 */
+interface CurlRun {
+  code: number | null
+  stdout: string
+  stderr: string
+}
+
+/** 跑一次 curl 子进程，收集 stdout 与 stderr（stderr 是识别 Schannel 类 TLS 失败的唯一线索）。 */
+function runCurl(args: string[], env: NodeJS.ProcessEnv, timeoutMs: number): Promise<CurlRun> {
   return new Promise((resolve) => {
-    const started = Date.now()
-    const env: NodeJS.ProcessEnv = { ...process.env }
-    if (proxy !== '') {
-      env.HTTP_PROXY = proxy
-      env.HTTPS_PROXY = proxy
-      env.http_proxy = proxy
-      env.https_proxy = proxy
-    }
-    const discard = process.platform === 'win32' ? 'NUL' : '/dev/null'
-    const child = spawn('curl', [
-      '-s', '-o', discard, '-w', '%{http_code}',
-      '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))),
-      url,
-    ], { env })
-    let code = ''
-    child.stdout.on('data', (c: Buffer) => { code += c.toString() })
+    let stdout = ''
+    let stderr = ''
     let done = false
-    const finish = (r: ProbeResult) => {
+    const finish = (code: number | null) => {
       if (done) return
       done = true
       clearTimeout(timer)
-      resolve(r)
+      resolve({ code, stdout, stderr })
     }
-    child.on('error', () => finish(probeFail()))
-    child.on('close', () => {
-      const status = /^\d+$/.test(code.trim()) ? Number(code.trim()) : null
-      finish({ ok: status !== null && status >= 100 && status < 400, ms: Date.now() - started, status })
-    })
+    const child = spawn('curl', args, { env })
+    child.stdout.on('data', (c: Buffer) => { stdout += c.toString() })
+    child.stderr.on('data', (c: Buffer) => { stderr += c.toString() })
+    child.on('error', () => finish(null))
+    child.on('close', (code) => finish(code))
     // 超时兜底：curl --max-time 到点自行退出，此处再设一个进程级超时防止悬挂
-    const timer = setTimeout(() => { child.kill(); finish(probeFail()) }, timeoutMs + 1000)
+    const timer = setTimeout(() => { child.kill(); finish(null) }, timeoutMs + 1000)
   })
 }
 
+/** 带 TLS 兜底的 curl 调用：先按平台参数跑（Windows 带吊销检查降级），
+ *  若本机 curl 不认这个参数（curl < 7.70）则去掉参数重跑一次，保证老版本不因此直接失败。 */
+async function curlWithTlsFallback(args: string[], env: NodeJS.ProcessEnv, timeoutMs: number): Promise<CurlRun> {
+  const tlsArgs = curlTlsArgs()
+  const first = await runCurl([...tlsArgs, ...args], env, timeoutMs)
+  if (tlsArgs.length === 0 || !curlRevokeFlagUnsupported(first.code, first.stderr)) return first
+  return runCurl(args, env, timeoutMs)
+}
+
+/**
+ * curl 子进程探测：spawn curl -s -w '%{http_code}' 并注入代理 env。
+ * curl 读 HTTP_PROXY/HTTPS_PROXY 是原生行为，与 pnpm/git 安装通道同一套代理口径；
+ * 失败（curl 不存在 / 连接失败 / 超时）都归为不可达，全程不抛错。
+ * 证书吊销检查受阻（Windows Schannel）另记 reason，供诊断给出对症提示。
+ */
+async function curlProbe(url: string, proxy: string, timeoutMs: number): Promise<ProbeResult> {
+  const started = Date.now()
+  const discard = process.platform === 'win32' ? 'NUL' : '/dev/null'
+  // -sS（而非仅 -s）：silent 会把连接/TLS 错误一并吞掉，而识别证书吊销受阻正需要 stderr；
+  // 子进程 stderr 由我们收集、不会回显给用户，所以补 -S 不产生噪音。
+  const r = await curlWithTlsFallback([
+    '-sS', '-o', discard, '-w', '%{http_code}',
+    '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))),
+    url,
+  ], proxyEnv(proxy), timeoutMs)
+  // 子进程没起来 / 超时被杀：没有任何可诊断信息，按不可达处理
+  if (r.code === null) return probeFail()
+  const status = /^\d+$/.test(r.stdout.trim()) ? Number(r.stdout.trim()) : null
+  const ok = status !== null && status >= 100 && status < 400
+  return {
+    ok,
+    ms: Date.now() - started,
+    status,
+    reason: !ok && tlsRevocationBlocked(r.stderr) ? 'tlsRevocation' : null,
+  }
+}
+
 /**
  * 探测一个 HTTPS 目标：proxy 非空注入给 curl 子进程走代理，否则直连。
  * 供系统诊断 /diagnostics 使用；目标 URL 非法返回不可达。
@@ -137,13 +206,7 @@ export function probeUrl(url: string, proxy: string, timeoutMs: number): Promise
 export function gitLsRemote(url: string, proxy: string, timeoutMs: number): Promise<ProbeResult> {
   return new Promise((resolve) => {
     const started = Date.now()
-    const env: NodeJS.ProcessEnv = { ...process.env, GIT_TERMINAL_PROMPT: '0' }
-    if (proxy !== '') {
-      env.HTTP_PROXY = proxy
-      env.HTTPS_PROXY = proxy
-      env.http_proxy = proxy
-      env.https_proxy = proxy
-    }
+    const env: NodeJS.ProcessEnv = { ...proxyEnv(proxy), GIT_TERMINAL_PROMPT: '0' }
     const child = spawn('git', ['ls-remote', '--exit-code', url, 'HEAD'], { env })
     let out = ''
     child.stdout.on('data', (c: Buffer) => { out += c.toString() })
@@ -168,33 +231,20 @@ export function gitLsRemote(url: string, proxy: string, timeoutMs: number): Prom
 }
 
 /**
- * curl 子进程抓取响应体（与 probeUrl 同一套代理 env 注入）。
+ * curl 子进程抓取响应体（与 probeUrl 同一套代理 env 注入与 TLS 参数兜底）。
  * 供服务端 /catalog 代理路由使用：目录/统计数据经此拉到服务端再转给浏览器，
  * 使「目录数据请求走设置里的代理」与 npm / git 安装通道口径一致。
- * 失败（curl 不存在 / 连接失败 / 超时 / 非零退出）时 ok=false，全程不抛错。
+ * 失败（curl 不存在 / 连接失败 / 超时 / 非零退出）时 ok=false，全程不抛错；
+ * reason 区分「证书吊销受阻」这类环境 TLS 问题，供调用方决定兜底策略。
  */
-export function fetchViaCurl(url: string, proxy: string, timeoutMs: number): Promise<{ ok: boolean; body: string }> {
-  return new Promise((resolve) => {
-    const env: NodeJS.ProcessEnv = { ...process.env }
-    if (proxy !== '') {
-      env.HTTP_PROXY = proxy
-      env.HTTPS_PROXY = proxy
-      env.http_proxy = proxy
-      env.https_proxy = proxy
-    }
-    const child = spawn('curl', ['-s', '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))), url], { env })
-    let body = ''
-    child.stdout.on('data', (c: Buffer) => { body += c.toString() })
-    let done = false
-    const finish = (ok: boolean) => {
-      if (done) return
-      done = true
-      clearTimeout(timer)
-      resolve({ ok, body })
-    }
-    child.on('error', () => finish(false))
-    child.on('close', (code) => finish(code === 0))
-    // 超时兜底：curl --max-time 到点自行退出，此处再设一个进程级超时防止悬挂
-    const timer = setTimeout(() => { child.kill(); finish(false) }, timeoutMs + 1000)
-  })
+export function fetchViaCurl(
+  url: string, proxy: string, timeoutMs: number,
+): Promise<{ ok: boolean; body: string; reason: ProbeFailReason | null }> {
+  // 同样用 -sS：正文之外还要 stderr 里的 TLS 失败线索（被 stderr 收集，不外泄给用户）
+  const args = ['-sS', '--max-time', String(Math.max(1, Math.round(timeoutMs / 1000))), url]
+  return curlWithTlsFallback(args, proxyEnv(proxy), timeoutMs).then((r) => ({
+    ok: r.code === 0,
+    body: r.stdout,
+    reason: r.code !== 0 && tlsRevocationBlocked(r.stderr) ? 'tlsRevocation' : null,
+  }))
 }