dsh-pocket 2.10.4 → 2.10.5

package/lib/web-rpc.js

@@ -201,15 +201,24 @@ async function pocketHttpBridge(req, res, fetchHandler, maxBodyBytes) {
 function mountPocketWebRoute(ctx, { channel, handler, log }) {
   const webServer = ctx?.webServer;
   if (!webServer || typeof webServer.register !== 'function') return null;
-  const requestRejection = ctx?.connection?.requestRejection;
+  // 必须持有 connection 本体并以**方法形式**调用 requestRejection（issue #117）：
+  // dsh 的 HostConnectionService.requestRejection 是类方法，内部读 this.trustedHosts /
+  // this.browserAuth。先把方法抽成裸函数（`const fn = ctx.connection.requestRejection`）
+  // 再调用会丢失 this → TypeError → 被下面的 catch 兜底成 403，于是**任何**请求
+  // （本机、带会话 cookie 的浏览器、移动端）都被判 forbidden，设置页 status RPC 全挂
+  // （用户可见症状：局域网区块一直显示「代理未就绪…」，公网隧道开启报 403）。
+  // dsh 自己的 /api 路由也是以方法形式调用的（见 client-connection 的 register()）；
+  // 本仓库 lib/index.js 处理 authenticatedUrl 时同样用 fn.call(ctx.connection, ...) 绑定。
+  // 等价写法：requestRejection.call(ctx.connection, req)（issue #117 报告者的建议）。
+  const connection = ctx?.connection;
   const fetchHandler = pocketFetchHandler(channel, handler, log);
   const route = {
     kind: 'prefix',
     path: channel,
     handler: async (req, res) => {
       let rejection;
-      if (typeof requestRejection === 'function') {
-        try { rejection = requestRejection(req); } catch { rejection = 403; }
+      if (typeof connection?.requestRejection === 'function') {
+        try { rejection = connection.requestRejection(req); } catch { rejection = 403; }
       } else if (!isTrustedLoopbackRequest(req)) {
         rejection = 403;
       }

package/package.json

@@ -80,5 +80,5 @@
     "access": "public",
     "registry": "https://registry.npmjs.org/"
   },
-  "version": "2.10.4"
+  "version": "2.10.5"
 }