dsh-pocket 2.1.0 → 2.1.2

package/lib/index.js

@@ -20,7 +20,7 @@ import { randomBytes } from 'node:crypto';
 import { createPocketService } from './service.mjs';
 import { installPocketRpc } from './web-rpc.js';
 import { restartHost } from './restart.js';
-import { desktopEnvPatchScript, advancedNoticeScript, DEFAULT_INJECT, classifyHost } from './proxy.mjs';
+import { advancedNoticeScript, DEFAULT_INJECT, classifyHost } from './proxy.mjs';
 import { lanEnabled, setLanEnabled, lanAuthEnabled, setLanAuthEnabled, lanIpOverride, setLanIpOverride, pinCustom, setPinCustom, tunnelMode, setTunnelMode, tunnelToken, setTunnelToken, tunnelHostname, setTunnelHostname, resetSettings } from './settings.mjs';
 
 const name = 'dsh-pocket';
@@ -251,12 +251,18 @@ export function apply(ctx, config = {}, internals = {}) {
     internals,
     getLanIpOverride: () => lanIpOverride(),
     getLanEnabled: () => lanEnabled(),
-    // 桌面端：手机扫码访问的页面缺 dsh-desktop-mode/platform 参数会让 dsh-plugin-desktop
-    // client 崩溃（issue #3/#4）。给代理注入「桌面参数补丁」（history.replaceState 补齐参数，
-    // 无跳转；compatibility 模式不套桌面布局，避免移动端按钮叠加）。保留默认 polyfill。
-    // advanced 模式再加警告覆盖层（issue #19）。
+    // 桌面端**不再**注入 dsh-desktop-* 标记（issue #76）：
+    //   - 旧版 dsh-plugin-desktop 缺 mode/platform 会抛错，当初正是为此加了补丁（issue #3/#4）；
+    //   - 但 2.0.3 起，mode 与 platform **同时缺失**时 parseDesktopClientEnvironment 直接返回
+    //     undefined（视作非桌面外壳，跳过全部桌面逻辑），正是手机页需要的效果；
+    //   - 反之只要 URL 上出现任一 dsh-desktop-* 标记，客户端就会强制校验整组
+    //     （material + semver version + mica），只补两个必然抛 "invalid or missing
+    //     dsh-desktop-material" → 插件树加载失败 → 页面变成「打开恢复模式」；
+    //   - 更糟的是 decideDesktopBrowserAccess 见到 dsh-desktop-* 前缀就把没有渲染器 token 的
+    //     普通浏览器判为 denied（403），刷新后直接打不开。
+    // 结论：手机/浏览器访问一律不带这些标记，advanced 模式另加警告覆盖层（issue #19）。
     injectHtml: isDesktop
-      ? DEFAULT_INJECT + desktopEnvPatchScript(process.platform) + (desktopAdvanced ? advancedNoticeScript() : '')
+      ? DEFAULT_INJECT + (desktopAdvanced ? advancedNoticeScript() : '')
       : undefined,
     // 访问密码（issue #13 + #18 + #24 + #33 + #66）：公网永远要密码（默认每次开启变新，
     // 用户自定义后不再轮换）；局域网按开关（默认开启；关闭后局域网扫码直连）。
@@ -269,6 +275,19 @@ export function apply(ctx, config = {}, internals = {}) {
       getToken: (host) => tokenForHost(host),
       isProtected: (host) => (classifyHost(host) === 'public' ? true : lanAuthEnabled()),
     },
+    // dsh web 浏览器会话启动 token（issue #77）：新版 dsh（>= 0.1.2-alpha.1）要求根路径
+    // 带一次 `?token=` 换 cookie，否则 /api 与 WebSocket 全 401。token 每次进程启动都变，
+    // 所以每次请求实时从 connection 服务取；老版本没有这个方法 → 返回空，行为不变。
+    launchToken: () => {
+      try {
+        const fn = ctx.connection?.authenticatedUrl;
+        if (typeof fn !== 'function') return '';
+        const url = new URL(fn.call(ctx.connection, `http://127.0.0.1:${dshPort}`));
+        return url.searchParams.get('token') ?? '';
+      } catch {
+        return '';
+      }
+    },
     // 隧道模式（issue #66）：'quick'（默认，随机 trycloudflare.com）| 'named'（固定域名）
     getTunnelConfig: () => ({ mode: tunnelMode(), token: tunnelToken(), hostname: tunnelHostname() }),
     // 隧道就绪回调：快速模式每次开启轮换 8 位密码（旧链接作废）；命名模式地址固定，

package/lib/proxy.mjs

@@ -38,15 +38,23 @@ export const RANDOM_UUID_POLYFILL = `<script data-dsh-pocket-polyfill="1">!funct
 const INJECT_MARK = 'data-dsh-pocket-polyfill="1"';
 
 /**
- * DSH Desktop（桌面版）渲染进程兼容补丁。
+ * DSH Desktop（桌面版）渲染进程兼容补丁（issue #3/#4，已于 issue #76 停用）。
  *
- * 桌面版 profile 里的 dsh-plugin-desktop client 会在页面加载时从 URL query 读
+ * 历史：旧版 dsh-plugin-desktop 的 client 在页面加载时从 URL query 读
  * `dsh-desktop-mode` 与 `dsh-desktop-platform`，缺失即抛
- * "invalid or missing dsh-desktop-mode null" → 页面崩（手机扫码访问桌面版时正是如此，
- * 见 issue #3/#4）。本脚本在页面加载前用 history.replaceState 把这两个参数补上
- * （无跳转、不重载），取最轻的 `compatibility` 模式——不激活桌面布局，避免与
- * 移动端适配叠加。
- * 仅宿主在桌面版（isDesktop）时由 lib/index.js 追加进 injectHtml。
+ * "invalid or missing dsh-desktop-mode null" → 页面崩（手机扫码访问桌面版时正是如此）。
+ * 本脚本用 history.replaceState 补上这两个参数（无跳转、不重载），取最轻的
+ * `compatibility` 模式——不激活桌面布局，避免与移动端适配叠加。
+ *
+ * @deprecated 不要再注入（issue #76，DSH Desktop 2.0.3 起）：
+ *   ① mode 与 platform **同时缺失**时，parseDesktopClientEnvironment 直接返回 undefined
+ *      （视作非桌面外壳，跳过全部桌面逻辑），正是手机/浏览器页面需要的效果；
+ *   ② 只要 URL 上出现任一 dsh-desktop-* 标记，客户端就强制校验整组（material +
+ *      semver version + mica），只补两个必然抛 "invalid or missing
+ *      dsh-desktop-material" → 插件树加载失败 → 页面变成「打开恢复模式」；
+ *   ③ 更糟：decideDesktopBrowserAccess 见到 dsh-desktop-* 前缀就把没有渲染器 token 的
+ *      普通浏览器判为 denied（403），刷新后直接打不开。
+ * lib/index.js 已不再注入本脚本；保留导出仅为兼容旧版本桌面端与既有测试。
  */
 export function desktopEnvPatchScript(platform) {
   const p = ['darwin', 'win32', 'linux'].includes(platform) ? platform : 'linux';
@@ -279,6 +287,28 @@ function loopbackAuthority(headers, upstream) {
   return headers;
 }
 
+// ---------- dsh web 浏览器会话 token（issue #77） ----------
+// 新版 dsh web（>= 0.1.2-alpha.1）给浏览器会话加了启动 token：根路径 `GET /` 必须带一次
+// `?token=<启动 token>` 换一个绑定 authority 的 cookie，之后 /api 与 WebSocket 才放行；
+// 否则一律 401（"dsh web authentication required"）。手机扫码进来的 URL 天然没有这个
+// token，所以代理要在转发时补一次。
+//
+// 只在 `GET /` 且请求还没带 dsh-auth-* cookie 时注入：上游拿到 token 会 303 回干净的根
+// 路径，若每次都注入就会 303 循环（浏览器很快报"重定向次数过多"）。
+const DSH_AUTH_COOKIE = 'dsh-auth-';
+export function upstreamPathWithLaunchToken(reqUrl, method, cookieHeader, launchToken) {
+  if (method !== 'GET') return reqUrl;
+  let u;
+  try { u = new URL(reqUrl ?? '/', 'http://dsh.invalid'); } catch { return reqUrl; }
+  if (u.pathname !== '/') return reqUrl;
+  // 登录成功后跳回的 `/?dsh-pocket-auth=1`：强制重做一次握手（旧 cookie 可能已过期/被撤销）
+  const force = u.searchParams.has('dsh-pocket-auth');
+  if (!force && String(cookieHeader ?? '').includes(DSH_AUTH_COOKIE)) return reqUrl;
+  if (!launchToken) return reqUrl;
+  u.searchParams.set('token', launchToken);
+  return `${u.pathname}${u.search}`;
+}
+
 // ---------- WebSocket 心跳注入（PR #41，issue #29） ----------
 // DSH 客户端与宿主的 WebSocket downlink 都不发 ping/pong（客户端只读流、
 // 宿主只推帧），空闲连接会被路由器 NAT 空闲超时或手机系统省电机制**静默**
@@ -348,7 +378,7 @@ function attachWebSocketHeartbeat(socket, { intervalMs = 30_000, missLimit = 2 }
  * @param {() => boolean} [opts.lanAccessEnabled] 局域网访问是否开启（默认开启）。关闭时拦截经局域网 Host 的请求（公网/loopback 不受影响）。
  * @returns {Promise<{server:import('node:http').Server, close:()=>Promise<void>}>}
  */
-export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DEFAULT_UPSTREAM, log = null, injectHtml = DEFAULT_INJECT, auth = null, rateLimit = null, heartbeat = {}, lanAccessEnabled = () => true } = {}) {
+export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DEFAULT_UPSTREAM, log = null, injectHtml = DEFAULT_INJECT, auth = null, rateLimit = null, heartbeat = {}, lanAccessEnabled = () => true, launchToken = () => '' } = {}) {
   const limiter = auth ? createRateLimiter(rateLimit ?? {}) : null;
   const server = createServer((req, res) => {
     const host = String(req.headers.host ?? '');
@@ -392,7 +422,9 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
             if (submitted === token) {
               limiter?.clear(ip);
               res.writeHead(302, {
-                location: '/',
+                // 带上 dsh-pocket-auth=1：登录成功后强制重做一次浏览器会话握手，
+                // 换掉可能已过期/被撤销的 dsh web 会话 cookie（issue #77）
+                location: '/?dsh-pocket-auth=1',
                 'set-cookie': `${TOKEN_COOKIE}=${cookieFor(token, sessionKey)}; HttpOnly; SameSite=Lax; Path=/; Max-Age=${COOKIE_MAX_AGE}`,
                 'cache-control': 'no-store',
               });
@@ -421,8 +453,11 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
       }
     }
     const headers = loopbackAuthority({ ...req.headers }, upstream);
+    // dsh web 浏览器会话 token（issue #77）：首屏根路径补一次，换回绑定 authority 的 cookie
+    const launchTok = (typeof launchToken === 'function' ? launchToken() : '') || '';
+    const upstreamPath = upstreamPathWithLaunchToken(req.url, req.method, req.headers.cookie, launchTok);
     const proxyReq = httpRequest(
-      { host: upstream.host, port: upstream.port, method: req.method, path: req.url, headers, agent: false },
+      { host: upstream.host, port: upstream.port, method: req.method, path: upstreamPath, headers, agent: false },
       (proxyRes) => {
         log?.(`${req.method} ${req.url} -> ${proxyRes.statusCode}`);
         const contentType = String(proxyRes.headers['content-type'] ?? '');

package/lib/service.mjs

@@ -180,6 +180,8 @@ export function createPocketService({
   injectHtml,
   /** 访问令牌认证配置（issue #13）：{ getToken, isProtected }，传给代理 */
   auth,
+  /** @type {() => string} dsh web 浏览器会话启动 token（issue #77；老版本返回空字符串） */
+  launchToken = () => '',
   /** 隧道配置（issue #66）：() => ({ mode:'quick'|'named', token, hostname })；named 用固定域名 */
   getTunnelConfig,
   /** 隧道就绪回调（lib/index.js 用它轮换公网密码；参数为 'quick'|'named'） */
@@ -257,6 +259,8 @@ export function createPocketService({
             ...(auth ? { auth } : {}),
             // 每次请求实时读开关：设置页切换后立即生效，无需重启代理
             lanAccessEnabled: () => getLanEnabled(),
+            // dsh web 浏览器会话启动 token（issue #77）：实时取，新版 dsh 才有
+            ...(launchToken ? { launchToken } : {}),
           });
           if (p !== port) {
             console.log(`dsh-pocket: port ${port} busy, proxy on ${p} | 端口 ${port} 被占用，代理改用 ${p}`);

package/package.json

@@ -80,5 +80,5 @@
     "access": "public",
     "registry": "https://registry.npmjs.org/"
   },
-  "version": "2.1.0"
+  "version": "2.1.2"
 }