dsh-pocket 2.5.0 → 2.5.1

package/lib/proxy.mjs

@@ -268,24 +268,51 @@ function isHtmlRequest(req) {
   return accept.includes('text/html') || req.url === '/' || /\.html?$/i.test(String(req.url));
 }
 
-/** 校验请求是否已认证；返回 true 放行。`tokens` 允许传多个（主 PIN + 临时 PIN）。 */
+/** 校验请求是否已认证。返回 { ok, rawQueryToken }：
+ *  - ok=true：已认证；rawQueryToken 是 URL `?token=<PIN>` 命中的那条原始密码（用于种 cookie）；
+ *  - 已有 cookie 命中 → rawQueryToken=null（不要重复种）。 */
 function authCheck(req, tokens, sessionKey) {
   const list = (Array.isArray(tokens) ? tokens : tokens ? [tokens] : []).filter(Boolean);
-  if (list.length === 0) return true; // 无 token（未配置密码）→ 放行
+  if (list.length === 0) return { ok: true, rawQueryToken: null };
   const cookies = parseCookies(req.headers.cookie);
   const cookieTok = cookies[TOKEN_COOKIE];
   if (cookieTok) {
     for (const token of list) {
-      if (cookieTok === cookieFor(token, sessionKey)) return true;
+      if (cookieTok === cookieFor(token, sessionKey)) return { ok: true, rawQueryToken: null };
     }
   }
   const qTok = new URL(req.url ?? '/', 'http://x').searchParams.get('token');
   if (qTok) {
+    // URL `?token=<原始 PIN>` 用于分享/扫码直达：用户拿到 URL 就能直输明文 PIN，
+    // 不需要把 sha256 哈希也告诉他们。匹配上后由调用方通过 maybeSeedAuthCookie
+    // 种 HttpOnly 哈希 cookie，让浏览器后续子资源（assets/*.js 等）也走 cookie
+    // 路径——避免「主页 200 但子资源 401」白屏（issue #35）。
     for (const token of list) {
-      if (qTok === cookieFor(token, sessionKey)) return true;
+      if (qTok === token) return { ok: true, rawQueryToken: qTok };
     }
   }
-  return false;
+  return { ok: false, rawQueryToken: null };
+}
+
+/** 当请求通过 `?token=<原始 PIN>` 进入且尚无 cookie 时，在响应里种 HttpOnly cookie。
+ *  monkey-patch res.writeHead 把 set-cookie 头注入到第一个响应里——同 POST /pocket-login
+ *  路径（lib/proxy.mjs 显式 res.writeHead 加 set-cookie）效果一致。 */
+function maybeSeedAuthCookie(req, res, rawToken, sessionKey) {
+  if (!rawToken || !sessionKey) return;
+  if (parseCookies(req.headers.cookie)[TOKEN_COOKIE]) return; // 已有 cookie 就不重复种
+  const expected = cookieFor(rawToken, sessionKey);
+  if (!expected) return;
+  const origWriteHead = res.writeHead.bind(res);
+  res.writeHead = function (statusCode, headers) {
+    const h = { ...(headers ?? {}) };
+    const cookie = `${TOKEN_COOKIE}=${expected}; HttpOnly; SameSite=Lax; Path=/; Max-Age=${COOKIE_MAX_AGE}`;
+    // 已有 set-cookie 头（数组/字符串都支持）则追加
+    const prev = h['set-cookie'];
+    if (Array.isArray(prev)) h['set-cookie'] = [...prev, cookie];
+    else if (typeof prev === 'string') h['set-cookie'] = [prev, cookie];
+    else h['set-cookie'] = cookie;
+    return origWriteHead(statusCode, h);
+  };
 }
 
 /** 把浏览器可见的权威改写成 loopback 权威（Host 和 Origin 都改）。 */
@@ -483,7 +510,8 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
           });
           return;
         }
-        if (!authCheck(req, acceptedTokens, sessionKey)) {
+        const authResult = authCheck(req, acceptedTokens, sessionKey);
+        if (!authResult.ok) {
           if (isHtmlRequest(req)) {
             // 锁定期间打开登录页也给提示（HTTP 200 + 锁定文案；429 语义留给 POST 拒绝）
             const rl = limiter?.status(ip) ?? { locked: false, retryAfter: 0 };
@@ -495,6 +523,8 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
           }
           return;
         }
+        // ?token=<原始 PIN> 直达时种 HttpOnly cookie，让浏览器后续子资源也走 cookie 路径（issue #35）
+        if (authResult.rawQueryToken) maybeSeedAuthCookie(req, res, authResult.rawQueryToken, sessionKey);
       }
     }
     const headers = loopbackAuthority({ ...req.headers }, upstream);
@@ -599,7 +629,8 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
       const token = isProtectedHost(host, auth.isProtected) ? (auth.getToken?.(host) ?? null) : null;
       const altTokens = token && typeof auth.getAltTokens === 'function' ? (auth.getAltTokens(host) ?? []) : [];
       const acceptedTokens = token ? [token, ...altTokens] : [];
-      if (token && !authCheck(req, acceptedTokens, auth.sessionKey ?? null)) {
+      const wsAuth = authCheck(req, acceptedTokens, auth.sessionKey ?? null);
+      if (token && !wsAuth.ok) {
         socket.write('HTTP/1.1 401 Unauthorized\r\nConnection: close\r\n\r\n');
         socket.destroy();
         return;

package/package.json

@@ -80,5 +80,5 @@
     "access": "public",
     "registry": "https://registry.npmjs.org/"
   },
-  "version": "2.5.0"
+  "version": "2.5.1"
 }