dsh-pocket 2.1.0 → 2.1.1

package/lib/index.js

@@ -269,6 +269,19 @@ export function apply(ctx, config = {}, internals = {}) {
       getToken: (host) => tokenForHost(host),
       isProtected: (host) => (classifyHost(host) === 'public' ? true : lanAuthEnabled()),
     },
+    // dsh web 浏览器会话启动 token（issue #77）：新版 dsh（>= 0.1.2-alpha.1）要求根路径
+    // 带一次 `?token=` 换 cookie，否则 /api 与 WebSocket 全 401。token 每次进程启动都变，
+    // 所以每次请求实时从 connection 服务取；老版本没有这个方法 → 返回空，行为不变。
+    launchToken: () => {
+      try {
+        const fn = ctx.connection?.authenticatedUrl;
+        if (typeof fn !== 'function') return '';
+        const url = new URL(fn.call(ctx.connection, `http://127.0.0.1:${dshPort}`));
+        return url.searchParams.get('token') ?? '';
+      } catch {
+        return '';
+      }
+    },
     // 隧道模式（issue #66）：'quick'（默认，随机 trycloudflare.com）| 'named'（固定域名）
     getTunnelConfig: () => ({ mode: tunnelMode(), token: tunnelToken(), hostname: tunnelHostname() }),
     // 隧道就绪回调：快速模式每次开启轮换 8 位密码（旧链接作废）；命名模式地址固定，

package/lib/proxy.mjs

@@ -279,6 +279,28 @@ function loopbackAuthority(headers, upstream) {
   return headers;
 }
 
+// ---------- dsh web 浏览器会话 token（issue #77） ----------
+// 新版 dsh web（>= 0.1.2-alpha.1）给浏览器会话加了启动 token：根路径 `GET /` 必须带一次
+// `?token=<启动 token>` 换一个绑定 authority 的 cookie，之后 /api 与 WebSocket 才放行；
+// 否则一律 401（"dsh web authentication required"）。手机扫码进来的 URL 天然没有这个
+// token，所以代理要在转发时补一次。
+//
+// 只在 `GET /` 且请求还没带 dsh-auth-* cookie 时注入：上游拿到 token 会 303 回干净的根
+// 路径，若每次都注入就会 303 循环（浏览器很快报"重定向次数过多"）。
+const DSH_AUTH_COOKIE = 'dsh-auth-';
+export function upstreamPathWithLaunchToken(reqUrl, method, cookieHeader, launchToken) {
+  if (method !== 'GET') return reqUrl;
+  let u;
+  try { u = new URL(reqUrl ?? '/', 'http://dsh.invalid'); } catch { return reqUrl; }
+  if (u.pathname !== '/') return reqUrl;
+  // 登录成功后跳回的 `/?dsh-pocket-auth=1`：强制重做一次握手（旧 cookie 可能已过期/被撤销）
+  const force = u.searchParams.has('dsh-pocket-auth');
+  if (!force && String(cookieHeader ?? '').includes(DSH_AUTH_COOKIE)) return reqUrl;
+  if (!launchToken) return reqUrl;
+  u.searchParams.set('token', launchToken);
+  return `${u.pathname}${u.search}`;
+}
+
 // ---------- WebSocket 心跳注入（PR #41，issue #29） ----------
 // DSH 客户端与宿主的 WebSocket downlink 都不发 ping/pong（客户端只读流、
 // 宿主只推帧），空闲连接会被路由器 NAT 空闲超时或手机系统省电机制**静默**
@@ -348,7 +370,7 @@ function attachWebSocketHeartbeat(socket, { intervalMs = 30_000, missLimit = 2 }
  * @param {() => boolean} [opts.lanAccessEnabled] 局域网访问是否开启（默认开启）。关闭时拦截经局域网 Host 的请求（公网/loopback 不受影响）。
  * @returns {Promise<{server:import('node:http').Server, close:()=>Promise<void>}>}
  */
-export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DEFAULT_UPSTREAM, log = null, injectHtml = DEFAULT_INJECT, auth = null, rateLimit = null, heartbeat = {}, lanAccessEnabled = () => true } = {}) {
+export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DEFAULT_UPSTREAM, log = null, injectHtml = DEFAULT_INJECT, auth = null, rateLimit = null, heartbeat = {}, lanAccessEnabled = () => true, launchToken = () => '' } = {}) {
   const limiter = auth ? createRateLimiter(rateLimit ?? {}) : null;
   const server = createServer((req, res) => {
     const host = String(req.headers.host ?? '');
@@ -392,7 +414,9 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
             if (submitted === token) {
               limiter?.clear(ip);
               res.writeHead(302, {
-                location: '/',
+                // 带上 dsh-pocket-auth=1：登录成功后强制重做一次浏览器会话握手，
+                // 换掉可能已过期/被撤销的 dsh web 会话 cookie（issue #77）
+                location: '/?dsh-pocket-auth=1',
                 'set-cookie': `${TOKEN_COOKIE}=${cookieFor(token, sessionKey)}; HttpOnly; SameSite=Lax; Path=/; Max-Age=${COOKIE_MAX_AGE}`,
                 'cache-control': 'no-store',
               });
@@ -421,8 +445,11 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
       }
     }
     const headers = loopbackAuthority({ ...req.headers }, upstream);
+    // dsh web 浏览器会话 token（issue #77）：首屏根路径补一次，换回绑定 authority 的 cookie
+    const launchTok = (typeof launchToken === 'function' ? launchToken() : '') || '';
+    const upstreamPath = upstreamPathWithLaunchToken(req.url, req.method, req.headers.cookie, launchTok);
     const proxyReq = httpRequest(
-      { host: upstream.host, port: upstream.port, method: req.method, path: req.url, headers, agent: false },
+      { host: upstream.host, port: upstream.port, method: req.method, path: upstreamPath, headers, agent: false },
       (proxyRes) => {
         log?.(`${req.method} ${req.url} -> ${proxyRes.statusCode}`);
         const contentType = String(proxyRes.headers['content-type'] ?? '');

package/lib/service.mjs

@@ -180,6 +180,8 @@ export function createPocketService({
   injectHtml,
   /** 访问令牌认证配置（issue #13）：{ getToken, isProtected }，传给代理 */
   auth,
+  /** @type {() => string} dsh web 浏览器会话启动 token（issue #77；老版本返回空字符串） */
+  launchToken = () => '',
   /** 隧道配置（issue #66）：() => ({ mode:'quick'|'named', token, hostname })；named 用固定域名 */
   getTunnelConfig,
   /** 隧道就绪回调（lib/index.js 用它轮换公网密码；参数为 'quick'|'named'） */
@@ -257,6 +259,8 @@ export function createPocketService({
             ...(auth ? { auth } : {}),
             // 每次请求实时读开关：设置页切换后立即生效，无需重启代理
             lanAccessEnabled: () => getLanEnabled(),
+            // dsh web 浏览器会话启动 token（issue #77）：实时取，新版 dsh 才有
+            ...(launchToken ? { launchToken } : {}),
           });
           if (p !== port) {
             console.log(`dsh-pocket: port ${port} busy, proxy on ${p} | 端口 ${port} 被占用，代理改用 ${p}`);

package/package.json

@@ -80,5 +80,5 @@
     "access": "public",
     "registry": "https://registry.npmjs.org/"
   },
-  "version": "2.1.0"
+  "version": "2.1.1"
 }