dsh-pocket 2.8.0 → 2.9.0

package/client/client.js

@@ -503,6 +503,85 @@ function startFileGuard(readFile) {
   };
 }
 
+// client/mobile/sessionGuard.ts
+var SESSION_META = "dsh-pocket-session";
+function readFingerprint() {
+  const meta = document.querySelector(`meta[name="${SESSION_META}"]`);
+  const fp = meta?.content?.trim();
+  return fp && fp.length > 0 ? fp : null;
+}
+function mountBadge(fp) {
+  const badge = document.createElement("div");
+  badge.setAttribute("data-mobile-nav", "session-fp");
+  badge.textContent = `\u{1F512} \u4F1A\u8BDD\u6307\u7EB9 ${fp}`;
+  badge.style.cssText = [
+    "position:fixed",
+    "left:50%",
+    "bottom:8px",
+    "transform:translateX(-50%)",
+    "z-index:2147483646",
+    "padding:4px 10px",
+    "border-radius:999px",
+    "background:rgba(17,24,39,.82)",
+    "color:#fff",
+    'font:12px/1.4 -apple-system,BlinkMacSystemFont,"Segoe UI",sans-serif',
+    "letter-spacing:.5px",
+    "pointer-events:none",
+    "user-select:none",
+    "white-space:nowrap"
+  ].join(";");
+  badge.title = "\u672C\u9875\u4F1A\u8BDD\u6307\u7EB9\uFF0C\u5E94\u4E0E\u7535\u8111\u300C\u624B\u673A\u8BBF\u95EE\u300D\u8BBE\u7F6E\u9875\u663E\u793A\u7684\u4E00\u81F4\uFF1B\u4E0D\u4E00\u81F4\u8BF4\u660E\u94FE\u63A5\u5DF2\u88AB\u4ED6\u4EBA\u590D\u7528";
+  document.body.appendChild(badge);
+  return () => badge.remove();
+}
+function mountWarning() {
+  const overlay = document.createElement("div");
+  overlay.setAttribute("data-mobile-nav", "session-warn");
+  overlay.style.cssText = [
+    "position:fixed",
+    "inset:0",
+    "z-index:2147483647",
+    "display:flex",
+    "align-items:center",
+    "justify-content:center",
+    "padding:24px",
+    "background:rgba(0,0,0,.72)",
+    "color:#fff",
+    'font:15px/1.7 -apple-system,BlinkMacSystemFont,"Segoe UI",sans-serif',
+    "text-align:center"
+  ].join(";");
+  overlay.style.whiteSpace = "pre-line";
+  overlay.textContent = "\u26A0\uFE0F \u6B64\u9875\u9762\u4E0D\u662F\u4F60\u7684 DSH\uFF1A\u94FE\u63A5\u53EF\u80FD\u5DF2\u88AB\u4ED6\u4EBA\u590D\u7528\u3002\n\u8BF7\u52FF\u5728\u6B64\u8F93\u5165\u4EFB\u4F55\u5BC6\u7801\u3002\n\u8BF7\u91CD\u65B0\u5728\u7535\u8111\u300C\u624B\u673A\u8BBF\u95EE\u300D\u8BBE\u7F6E\u9875\u626B\u5F53\u524D\u4E8C\u7EF4\u7801\u3002";
+  document.documentElement.appendChild(overlay);
+  return () => overlay.remove();
+}
+function startSessionGuard() {
+  let cleanupBadge = null;
+  let cleanupWarn = null;
+  const evaluate = () => {
+    const fp = readFingerprint();
+    if (fp) {
+      cleanupWarn?.();
+      cleanupWarn = null;
+      if (!cleanupBadge) cleanupBadge = mountBadge(fp);
+    } else {
+      cleanupBadge?.();
+      cleanupBadge = null;
+      if (!cleanupWarn) cleanupWarn = mountWarning();
+    }
+  };
+  evaluate();
+  const timer = window.setTimeout(evaluate, 300);
+  const observer = new MutationObserver(evaluate);
+  observer.observe(document.documentElement, { childList: true, subtree: true });
+  return () => {
+    window.clearTimeout(timer);
+    observer.disconnect();
+    cleanupBadge?.();
+    cleanupWarn?.();
+  };
+}
+
 // client/mobile/mobile.css.ts
 var MOBILE_CSS = `
 /* ---------- base control styles (rendered at any width, hidden where unused) ---------- */
@@ -1661,6 +1740,11 @@ function mobileApply(ctx) {
     );
     return startFileGuard(readFile);
   }, "dsh-mobile-nav: file open guard + copy button + hide add-workspace (issue #17)");
+  ctx.effect(() => {
+    if (!narrow.matches) return () => {
+    };
+    return startSessionGuard();
+  }, "dsh-mobile-nav: session fingerprint guard (issue #82)");
   ctx.slots.inject("conversation.session.header.actions", () => ctx.slots.register({
     name: "conversation.session.header.actions",
     id: "mobile-nav-toggle",
@@ -1760,6 +1844,8 @@ var zh2 = {
   "wanHint": "\u4EFB\u4F55\u7F51\u7EDC\u626B\u7801\u5373\u7528\uFF08URL \u6BCF\u6B21\u91CD\u542F\u81EA\u52A8\u6362\u65B0\uFF09",
   "wanPin": "\u{1F510} \u8BBF\u95EE\u5BC6\u7801\uFF1A{pin}\uFF08\u6BCF\u6B21\u5F00\u542F\u516C\u7F51\u53D8\u65B0\uFF1B\u624B\u673A\u6253\u5F00\u94FE\u63A5\u9700\u8F93\u5165\u6B64\u5BC6\u7801\uFF09",
   "wanPinCustom": "\u{1F510} \u8BBF\u95EE\u5BC6\u7801\uFF1A{pin}\uFF08\u81EA\u5B9A\u4E49\uFF0C\u5F00\u542F\u516C\u7F51\u4E0D\u518D\u81EA\u52A8\u6362\u65B0\uFF09",
+  "wanEphemeralWarn": "\u26A0\uFE0F \u516C\u7F51\u94FE\u63A5\u4EC5\u5728\u672C\u6B21\u5F00\u542F\u671F\u95F4\u6709\u6548\uFF1A\u5173\u95ED\u6216\u91CD\u542F\u540E\u5931\u6548\uFF0C\u5E76\u53EF\u80FD\u88AB\u4ED6\u4EBA\u590D\u7528\u4E3A\u964C\u751F\u7F51\u7AD9\u3002\u8BF7\u52FF\u6536\u85CF\uFF0C\u6BCF\u6B21\u4ECE\u672C\u9875\u626B\u300C\u5F53\u524D\u300D\u4E8C\u7EF4\u7801\u3002\u9700\u8981\u56FA\u5B9A\u4E0D\u53D8\u7684\u5730\u5740\u8BF7\u7528\u4E0B\u65B9\u300C\u56FA\u5B9A\u57DF\u540D\u300D\u3002",
+  "wanSessionFp": "\u672C\u9875\u4F1A\u8BDD\u6307\u7EB9\uFF1A{fp}\uFF08\u624B\u673A\u767B\u5F55\u9875\u4F1A\u663E\u793A\u540C\u6837\u7684\uFF1B\u4E0D\u4E00\u81F4\u8BF4\u660E\u94FE\u63A5\u5DF2\u88AB\u4ED6\u4EBA\u590D\u7528\uFF0C\u8BF7\u52FF\u8F93\u5165\u5BC6\u7801\uFF09",
   "stopTunnel": "\u5173\u95ED\u516C\u7F51",
   "enable": "\u5F00\u542F\u516C\u7F51\u8BBF\u95EE",
   "opening": "\u5F00\u542F\u4E2D\u2026",
@@ -1855,6 +1941,8 @@ var en2 = {
   "wanHint": "Scan from any network (the URL changes on every restart)",
   "wanPin": "\u{1F510} PIN: {pin} (changes each time the tunnel is enabled; required on the phone)",
   "wanPinCustom": "\u{1F510} PIN: {pin} (custom \u2014 not rotated on tunnel start)",
+  "wanEphemeralWarn": '\u26A0\uFE0F The public link is valid only for this session: it stops working after you close or restart, and may be reused by someone else for an unrelated site. Do not bookmark it \u2014 scan the CURRENT QR code from this page each time. For a permanent address use "Fixed domain" below.',
+  "wanSessionFp": "Session fingerprint: {fp} (the phone login page shows the same; if it differs, the link has been reused \u2014 do not enter your PIN)",
   "stopTunnel": "Stop",
   "enable": "Enable anywhere",
   "opening": "Enabling\u2026",
@@ -2355,6 +2443,13 @@ function PocketSettingsTab({ rpcCall, t }) {
         "div",
         null,
         qrArea(status.tunnelQr, tunnelUrl, namedMode ? t("namedRunningHint") : t("wanHint")),
+        // 防钓鱼 / 别收藏（issue #82）：链接 ephemeral 提示 + 本次会话指纹交叉核对
+        (0, import_react2.createElement)("div", { style: { marginTop: 8, fontSize: 12, lineHeight: 1.5, borderLeft: "4px solid var(--dsw-alias-state-warn-primary,#b45309)", background: "var(--dsw-alias-bg-layer-2,#f3f4f6)", borderRadius: 8, padding: "8px 10px" } }, t("wanEphemeralWarn")),
+        status?.sessionFingerprint ? (0, import_react2.createElement)(
+          "div",
+          { style: { marginTop: 8, fontSize: 12, color: "var(--dsw-alias-label-secondary,#6b7280)", lineHeight: 1.5 } },
+          fmt(t, "wanSessionFp", { fp: status.sessionFingerprint })
+        ) : null,
         // 地址模式行（随机/固定；固定域名选中或编辑时高亮）
         row(
           t("modeLabel"),

package/client/index.jsx

@@ -487,6 +487,11 @@ function PocketSettingsTab({ rpcCall, t }) {
       tunnelUrl
         ? h('div', null,
           qrArea(status.tunnelQr, tunnelUrl, namedMode ? t('namedRunningHint') : t('wanHint')),
+          // 防钓鱼 / 别收藏（issue #82）：链接 ephemeral 提示 + 本次会话指纹交叉核对
+          h('div', { style: { marginTop: 8, fontSize: 12, lineHeight: 1.5, borderLeft: '4px solid var(--dsw-alias-state-warn-primary,#b45309)', background: 'var(--dsw-alias-bg-layer-2,#f3f4f6)', borderRadius: 8, padding: '8px 10px' } }, t('wanEphemeralWarn')),
+          status?.sessionFingerprint ? h('div', { style: { marginTop: 8, fontSize: 12, color: 'var(--dsw-alias-label-secondary,#6b7280)', lineHeight: 1.5 } },
+            fmt(t, 'wanSessionFp', { fp: status.sessionFingerprint }),
+          ) : null,
           // 地址模式行（随机/固定；固定域名选中或编辑时高亮）
           row(t('modeLabel'),
             h('span', { style: { display: 'inline-flex', gap: 6 } },

package/client/mobile/mobile-apply.tsx

@@ -4,6 +4,7 @@ import { MobileNavToggle } from './MobileNavToggle.tsx'
 import { MobileNavOverlay } from './MobileNavOverlay.tsx'
 import { MobileDrawerFooter } from './MobileDrawerFooter.tsx'
 import { startFileGuard } from './fileGuard.ts'
+import { startSessionGuard } from './sessionGuard.ts'
 import { MOBILE_CSS } from './mobile.css.ts'
 import { POCKET_RPC_CHANNEL, POCKET_ENDPOINTS } from '../api.js'
 import { NS, en, zh } from './locales.ts'
@@ -303,6 +304,15 @@ export function mobileApply(ctx): void {
     return startFileGuard(readFile)
   }, 'dsh-mobile-nav: file open guard + copy button + hide add-workspace (issue #17)')
 
+  // 公网会话指纹校验（issue #82，防密码被钓）：页面带指纹 meta 即我们的页面、
+  // 显示交叉核对徽标；不带则极可能不是我们的页面（链接被复用/克隆登录页钓鱼），
+  // 弹红屏警告并拦截交互。只挂窄屏（登录页是 server-render、无本脚本，主要靠
+  // 登录页与设置页的可见指纹做人工交叉核对；此层是应用页的兜底）。
+  ctx.effect(() => {
+    if (!narrow.matches) return () => {}
+    return startSessionGuard()
+  }, 'dsh-mobile-nav: session fingerprint guard (issue #82)')
+
   ctx.slots.inject('conversation.session.header.actions', () => ctx.slots.register({
     name: 'conversation.session.header.actions',
     id: 'mobile-nav-toggle',

package/client/mobile/sessionGuard.ts

@@ -0,0 +1,80 @@
+// 公网会话指纹校验（issue #82，防密码被钓）。
+//
+// 本代理会给每个经它伺服的 HTML（应用页 + 登录页）注入
+// <meta name="dsh-pocket-session" content="<本次进程随机指纹>">。该指纹只在本机
+// 代理内生成、只出现在我们伺服的页面，陌生人复用被回收的快速隧道子域时（其站点
+// 不经我们的代理）拿不到它、也猜不出。
+//
+// 校验逻辑（纯前端、不依赖任何外部请求，避免被钓鱼站点误导）：
+//   - 页面带指纹 meta → 这是我们的页面，显示一个小徽标供用户与电脑设置页交叉核对
+//     （不一致即说明链接被复用）；
+//   - 页面不带指纹 meta → 很可能不是我们的页面（链接已被他人复用，或克隆登录页钓鱼），
+//     弹红色全屏警告并拦截交互，防止用户在被钓鱼页输入 8 位密码。
+
+const SESSION_META = 'dsh-pocket-session'
+
+function readFingerprint(): string | null {
+  const meta = document.querySelector<HTMLMetaElement>(`meta[name="${SESSION_META}"]`)
+  const fp = meta?.content?.trim()
+  return fp && fp.length > 0 ? fp : null
+}
+
+function mountBadge(fp: string): () => void {
+  const badge = document.createElement('div')
+  badge.setAttribute('data-mobile-nav', 'session-fp')
+  badge.textContent = `🔒 会话指纹 ${fp}`
+  // 固定在底部居中、低存在感、仅供交叉核对
+  badge.style.cssText = [
+    'position:fixed', 'left:50%', 'bottom:8px', 'transform:translateX(-50%)',
+    'z-index:2147483646', 'padding:4px 10px', 'border-radius:999px',
+    'background:rgba(17,24,39,.82)', 'color:#fff',
+    'font:12px/1.4 -apple-system,BlinkMacSystemFont,"Segoe UI",sans-serif',
+    'letter-spacing:.5px', 'pointer-events:none', 'user-select:none', 'white-space:nowrap',
+  ].join(';')
+  badge.title = '本页会话指纹，应与电脑「手机访问」设置页显示的一致；不一致说明链接已被他人复用'
+  document.body.appendChild(badge)
+  return () => badge.remove()
+}
+
+function mountWarning(): () => void {
+  const overlay = document.createElement('div')
+  overlay.setAttribute('data-mobile-nav', 'session-warn')
+  overlay.style.cssText = [
+    'position:fixed', 'inset:0', 'z-index:2147483647',
+    'display:flex', 'align-items:center', 'justify-content:center', 'padding:24px',
+    'background:rgba(0,0,0,.72)', 'color:#fff',
+    'font:15px/1.7 -apple-system,BlinkMacSystemFont,"Segoe UI",sans-serif', 'text-align:center',
+  ].join(';')
+  overlay.style.whiteSpace = 'pre-line'
+  overlay.textContent = '⚠️ 此页面不是你的 DSH：链接可能已被他人复用。\n请勿在此输入任何密码。\n请重新在电脑「手机访问」设置页扫当前二维码。'
+  document.documentElement.appendChild(overlay)
+  return () => overlay.remove()
+}
+
+export function startSessionGuard(): () => void {
+  let cleanupBadge: (() => void) | null = null
+  let cleanupWarn: (() => void) | null = null
+  const evaluate = (): void => {
+    const fp = readFingerprint()
+    if (fp) {
+      cleanupWarn?.()
+      cleanupWarn = null
+      if (!cleanupBadge) cleanupBadge = mountBadge(fp)
+    } else {
+      cleanupBadge?.()
+      cleanupBadge = null
+      if (!cleanupWarn) cleanupWarn = mountWarning()
+    }
+  }
+  evaluate()
+  // 容错：极少数情况下 meta 在 effect 运行时尚未解析，稍后复查一次
+  const timer = window.setTimeout(evaluate, 300)
+  const observer = new MutationObserver(evaluate)
+  observer.observe(document.documentElement, { childList: true, subtree: true })
+  return () => {
+    window.clearTimeout(timer)
+    observer.disconnect()
+    cleanupBadge?.()
+    cleanupWarn?.()
+  }
+}

package/client/pocket-locales.js

@@ -70,6 +70,8 @@ export const zh = {
   'wanHint': '任何网络扫码即用（URL 每次重启自动换新）',
   'wanPin': '🔐 访问密码：{pin}（每次开启公网变新；手机打开链接需输入此密码）',
   'wanPinCustom': '🔐 访问密码：{pin}（自定义，开启公网不再自动换新）',
+  'wanEphemeralWarn': '⚠️ 公网链接仅在本次开启期间有效：关闭或重启后失效，并可能被他人复用为陌生网站。请勿收藏，每次从本页扫「当前」二维码。需要固定不变的地址请用下方「固定域名」。',
+  'wanSessionFp': '本页会话指纹：{fp}（手机登录页会显示同样的；不一致说明链接已被他人复用，请勿输入密码）',
   'stopTunnel': '关闭公网',
   'enable': '开启公网访问',
   'opening': '开启中…',
@@ -167,6 +169,8 @@ export const en = {
   'wanHint': 'Scan from any network (the URL changes on every restart)',
   'wanPin': '🔐 PIN: {pin} (changes each time the tunnel is enabled; required on the phone)',
   'wanPinCustom': '🔐 PIN: {pin} (custom — not rotated on tunnel start)',
+  'wanEphemeralWarn': '⚠️ The public link is valid only for this session: it stops working after you close or restart, and may be reused by someone else for an unrelated site. Do not bookmark it — scan the CURRENT QR code from this page each time. For a permanent address use "Fixed domain" below.',
+  'wanSessionFp': 'Session fingerprint: {fp} (the phone login page shows the same; if it differs, the link has been reused — do not enter your PIN)',
   'stopTunnel': 'Stop',
   'enable': 'Enable anywhere',
   'opening': 'Enabling…',

package/lib/index.js

@@ -104,9 +104,30 @@ function refreshLanToken() {
  * 一律校验公网密码；loopback/局域网（私网 IP、.local 等）才走局域网密码——
  * 自建隧道 + 关闭局域网密码不再出现公网裸奔。
  */
-function tokenForHost(host) {
+export function tokenForHost(host) {
+  if (isLanOverrideHost(host)) return getLanToken();
   return classifyHost(host) === 'public' ? getAccessToken() : getLanToken();
 }
+/** 去掉 Host 的端口（与 classifyHost 一致），用于和手动设置的局域网地址比较。 */
+function hostNameOnly(host) {
+  let name = String(host ?? '').trim().toLowerCase();
+  if (name.startsWith('[')) {
+    const end = name.indexOf(']');
+    if (end >= 0) name = name.slice(1, end);
+  } else {
+    name = name.replace(/:\d+$/, '');
+  }
+  return name;
+}
+/**
+ * 用户手动指定的「局域网地址」覆盖（issue #79）：无论什么网段（含 Radmin 26.x 等任意 overlay），
+ * 一律按局域网密码/开关裁决。优先级高于 classifyHost——避免某 overlay 地址落在公网判定里、
+ * 导致局域网入口被错判成公网、比对成公网密码而永远「密码错误」。
+ */
+export function isLanOverrideHost(host) {
+  const override = lanIpOverride().trim().toLowerCase();
+  return override.length > 0 && hostNameOnly(host) === override;
+}
 /**
  * 用户自定义访问密码（issue #33）：公网/局域网各自设一个固定的 8 位密码（英文字母大小写或数字）。
  * 自定义后公网开启时不再自动轮换（rotateAccessToken 见上）。
@@ -284,7 +305,10 @@ export function apply(ctx, config = {}, internals = {}) {
       // dsh web 重启/更新后 sessionKey 变化 → 手机需重新输入
       sessionKey: randomBytes(16).toString('hex'),
       getToken: (host) => tokenForHost(host),
-      isProtected: (host) => (classifyHost(host) === 'public' ? true : lanAuthEnabled()),
+      isProtected: (host) => {
+        if (isLanOverrideHost(host)) return lanAuthEnabled();
+        return classifyHost(host) === 'public' ? true : lanAuthEnabled();
+      },
     },
     // dsh web 浏览器会话启动 token（issue #77）：新版 dsh（>= 0.1.2-alpha.1）要求根路径
     // 带一次 `?token=` 换 cookie，否则 /api 与 WebSocket 全 401。token 每次进程启动都变，

package/lib/proxy.mjs

@@ -15,6 +15,7 @@ import { createServer } from 'node:http';
 import { request as httpRequest } from 'node:http';
 import { createGzip, createBrotliCompress, constants as zlibConstants } from 'node:zlib';
 import { createHash } from 'node:crypto';
+import { ensureSessionFingerprint } from './session.mjs';
 
 const DEFAULT_UPSTREAM = { host: '127.0.0.1', port: 3080 };
 
@@ -36,6 +37,8 @@ export const RANDOM_UUID_POLYFILL = `<script data-dsh-pocket-polyfill="1">!funct
 已回退；该问题属 DSH 客户端限制（location.hostname 是 unforgeable 属性）无法安全绕过。*/</script>`;
 
 const INJECT_MARK = 'data-dsh-pocket-polyfill="1"';
+/** 防密码被钓（issue #82）：本代理注入到每个 HTML 的会话指纹标记。 */
+const SESSION_MARK = 'name="dsh-pocket-session"';
 
 /**
  * DSH Desktop（桌面版）渲染进程兼容补丁（issue #3/#4，已于 issue #76 停用）。
@@ -165,15 +168,20 @@ function parseCookies(header) {
   return out;
 }
 
-/** 登录页：按访问来源显示提示（局域网 / 公网）；error: false|true|'locked'（locked 带剩余秒数）。 */
-function loginPageHtml(error, isPublic, retryAfter = 0) {
+/** 登录页：按访问来源显示提示（局域网 / 公网）；error: false|true|'locked'（locked 带剩余秒数）。
+ *  fp: 本次公网会话指纹（issue #82 防钓鱼）——与电脑「手机访问」设置页一致才是你的 DSH。 */
+function loginPageHtml(error, isPublic, retryAfter = 0, fp = '') {
   const where = isPublic ? '此公网地址' : '此局域网地址';
   const whereEn = isPublic ? 'This public address' : 'This LAN address';
   const errMsg = error === 'locked'
     ? `尝试次数过多，请 ${retryAfter} 秒后再试 | Too many attempts — try again in ${retryAfter}s`
     : error ? '密码错误，请重试 | Wrong PIN, try again' : '';
+  const fpLine = fp
+    ? `<p style="margin:14px 0 0;font-size:12px;line-height:1.6;color:#6b7280">本页会话指纹：<b style="font-family:ui-monospace,Menlo,monospace;letter-spacing:1px;color:#111827">${fp}</b><br>与电脑「手机访问」设置页显示的<b>一致</b>，才是你的 DSH；不一致请勿输入密码。<br><span style="color:#9ca3af">Session fingerprint — only enter your PIN if it matches the one shown on your computer's "Phone access" settings.</span></p>`
+    : '';
   return `<!doctype html><html lang="zh"><head><meta charset="utf-8">
 <meta name="viewport" content="width=device-width,initial-scale=1">
+<meta name="dsh-pocket-session" content="${fp}">
 <title>DSH Pocket · 访问验证</title>
 <style>
 body{margin:0;min-height:100vh;display:flex;align-items:center;justify-content:center;background:#f3f4f6;font-family:-apple-system,BlinkMacSystemFont,'Segoe UI',sans-serif}
@@ -191,7 +199,7 @@ button{width:100%;padding:10px;font-size:15px;background:#4f6ef7;color:#fff;bord
 <form method="post" action="/pocket-login">
 <input name="token" type="password" maxlength="8" autocomplete="one-time-code" autofocus required>
 <button type="submit">进入 | Enter</button>
-</form>
+</form>${fpLine}
 </div></body></html>`;
 }
 
@@ -202,8 +210,8 @@ button{width:100%;padding:10px;font-size:15px;background:#4f6ef7;color:#fff;bord
  * 命名隧道/反向代理指向本机端口时，固定域名被误判成局域网；若局域网密码又
  * 关着，公网入口就无密码裸奔。现在反转为 fail closed：
  *   - loopback：localhost / 127.x / ::1 / 0.0.0.0（本机与 cloudflared 回连）
- *   - lan：RFC1918 私网 IPv4、IPv6 ULA/link-local、`.local`（mDNS）、
- *     无点单标签名（NetBIOS 计算机名等——公网 DNS 不可能解析它们）
+ *   - lan：RFC1918 私网 IPv4、CGNAT 100.64/10（RFC 6598，Tailscale/ZeroTier 默认网段，
+ *     公网不可路由）、IPv6 ULA/link-local、`.local`（mDNS）、无点单标签名（NetBIOS 计算机名等）
  *   - public：其余一切 Host（trycloudflare 或任何陌生域名）→ 强制公网密码
  *
  * @returns {'loopback'|'lan'|'public'}
@@ -217,7 +225,8 @@ export function classifyHost(host) {
     name = name.replace(/:\d+$/, ''); // hostname:3081 / 127.0.0.1:3081 → 去掉端口
   }
   if (name === 'localhost' || name === '0.0.0.0' || name === '::1' || /^127\./.test(name)) return 'loopback';
-  if (/^(?:10\.|192\.168\.|172\.(?:1[6-9]|2\d|3[01])\.)/.test(name)) return 'lan'; // RFC1918
+  // RFC1918 私网 + CGNAT 100.64/10（RFC 6598，Tailscale/ZeroTier 默认网段，公网不可路由）
+  if (/^(?:10\.|192\.168\.|172\.(?:1[6-9]|2\d|3[01])\.|100\.(?:6[4-9]|[7-9]\d|1(?:0\d|1\d|2[0-7]))\.)/.test(name)) return 'lan';
   if (/^(?:fe80:|f[cd][0-9a-f]{2}:)/.test(name) && name.includes(':')) return 'lan'; // IPv6 link-local / ULA
   if (name === '' || name.includes(':')) return 'loopback'; // 裸 IPv6 / 无 Host → 当本机
   if (name.endsWith('.local') || !name.includes('.')) return 'lan'; // mDNS / NetBIOS 单标签名
@@ -262,6 +271,36 @@ p{font-size:13px;color:#6b7280;margin:0;line-height:1.6}
 </div></body></html>`;
 }
 
+/** 桌面端浏览器访问门禁提示页（issue #81）：DSH Desktop 未开启「浏览器访问」时，
+ * 上游 desktop-browser-access 门禁对普通浏览器（含经本代理转发的手机）返回 403
+ * `forbidden`，且本代理无法携带 Electron renderer secret 绕过。对符合该特征的
+ * 浏览器导航请求返回此可操作提示页；API/WS 与其余 403 原样透传。 */
+function desktopAccessBlockedPageHtml() {
+  return `<!doctype html><html lang="zh"><head><meta charset="utf-8">
+<meta name="viewport" content="width=device-width,initial-scale=1">
+<title>DSH Pocket · 桌面端未开启浏览器访问</title>
+<style>
+body{margin:0;min-height:100vh;display:flex;align-items:center;justify-content:center;background:#f3f4f6;font-family:-apple-system,BlinkMacSystemFont,'Segoe UI',sans-serif}
+.card{background:#fff;border:1px solid #e5e7eb;border-radius:12px;padding:28px 24px;max-width:392px;width:calc(100% - 48px);text-align:center}
+h1{font-size:16px;margin:0 0 8px;color:#111827}
+p{font-size:13px;color:#6b7280;margin:0 0 12px;line-height:1.6}
+code{background:#f3f4f6;padding:2px 6px;border-radius:6px;font-size:12px;color:#374151}
+.step{text-align:left;background:#f9fafb;border:1px solid #eef2f7;border-radius:10px;padding:12px 14px;margin-top:8px;font-size:12px;color:#4b5563;line-height:1.8}
+</style></head><body><div class="card">
+<h1>🖥️ DSH Pocket</h1>
+<p>你已通过访问密码，但页面仍被拦截。<br>因为本机 DSH Desktop 未开启「浏览器访问」，桌面门禁拒绝了普通浏览器（含手机）的页面请求。</p>
+<div class="step">
+<strong>解决方法（任选其一）：</strong><br>
+1. DSH Desktop → 设置 → 窗口 / 模式 → 开启「浏览器访问」（自动切到 compatibility 模式）→ <strong>重启 DSH Desktop</strong>。<br>
+2. 或在配置文件中设置：<br>
+<code>dsh-desktop: { mode: compatibility, openBrowser: true }</code><br>
+然后重启 DSH Desktop，再刷新本页。
+</div>
+<p style="margin-top:14px">注意：访问密码登录成功 ≠ 已获得桌面 Web 访问授权。门禁由 DSH Desktop 控制，pocket 无法代为绕过。</p>
+<p style="color:#9ca3af">The host DSH Desktop has "browser access" disabled. Enable it (Settings → window/mode → browser access → restart), or set <code>dsh-desktop.mode: compatibility, openBrowser: true</code>, then refresh.</p>
+</div></body></html>`;
+}
+
 /** 请求是否期望 HTML（浏览器导航 → 返回登录页；API/WS → 401）。 */
 function isHtmlRequest(req) {
   const accept = String(req.headers.accept ?? '');
@@ -449,6 +488,9 @@ function attachWebSocketHeartbeat(socket, { intervalMs = 30_000, missLimit = 2 }
  */
 export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DEFAULT_UPSTREAM, log = null, injectHtml = DEFAULT_INJECT, auth = null, rateLimit = null, heartbeat = {}, lanAccessEnabled = () => true, launchToken = () => '' } = {}) {
   const limiter = auth ? createRateLimiter(rateLimit ?? {}) : null;
+  // 防密码被钓（issue #82）：本次进程会话指纹，注入到所有经代理伺服的 HTML
+  const sessionFingerprint = ensureSessionFingerprint();
+  const sessionMeta = `<meta name="dsh-pocket-session" content="${sessionFingerprint}">`;
   const server = createServer((req, res) => {
     const host = String(req.headers.host ?? '');
     const isPublic = classifyHost(host) === 'public';
@@ -479,12 +521,12 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
         if (req.method === 'POST' && req.url?.startsWith('/pocket-login')) {
           const rl = limiter?.status(ip) ?? { locked: false, retryAfter: 0 };
           if (rl.locked) {
-            res.writeHead(429, {
-              'content-type': 'text/html; charset=utf-8',
-              'cache-control': 'no-store',
-              'retry-after': String(rl.retryAfter),
-            });
-            res.end(loginPageHtml('locked', isPublic, rl.retryAfter));
+              res.writeHead(429, {
+                'content-type': 'text/html; charset=utf-8',
+                'cache-control': 'no-store',
+                'retry-after': String(rl.retryAfter),
+              });
+              res.end(loginPageHtml('locked', isPublic, rl.retryAfter, sessionFingerprint));
             return;
           }
           let body = '';
@@ -505,7 +547,7 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
               limiter?.record(ip);
               log?.(`dsh-pocket: login failed from ${ip} | 登录失败 IP: ${ip}`);
               res.writeHead(200, { 'content-type': 'text/html; charset=utf-8', 'cache-control': 'no-store' });
-              res.end(loginPageHtml(true, isPublic));
+              res.end(loginPageHtml(true, isPublic, 0, sessionFingerprint));
             }
           });
           return;
@@ -516,7 +558,7 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
             // 锁定期间打开登录页也给提示（HTTP 200 + 锁定文案；429 语义留给 POST 拒绝）
             const rl = limiter?.status(ip) ?? { locked: false, retryAfter: 0 };
             res.writeHead(200, { 'content-type': 'text/html; charset=utf-8', 'cache-control': 'no-store' });
-            res.end(loginPageHtml(rl.locked ? 'locked' : false, isPublic, rl.retryAfter));
+            res.end(loginPageHtml(rl.locked ? 'locked' : false, isPublic, rl.retryAfter, sessionFingerprint));
           } else {
             res.writeHead(401, { 'content-type': 'application/json', 'cache-control': 'no-store' });
             res.end('{"error":"unauthorized"}');
@@ -542,6 +584,43 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
       (proxyRes) => {
         log?.(`${req.method} ${req.url} -> ${proxyRes.statusCode}`);
         const contentType = String(proxyRes.headers['content-type'] ?? '');
+        // issue #81：上游 desktop-browser-access 门禁（DSH Desktop 未开启「浏览器访问」时）
+        // 对普通浏览器（含经本代理转发的手机）返回 403 text/plain "forbidden"，且本代理无法
+        // 携带 Electron renderer secret 绕过。对符合该特征的**浏览器导航**请求改写为可操作
+        // 提示页；API/WS 与其余 403 原样透传（不猜 secret、不把任意 403 都判为桌面门禁）。
+        if (proxyRes.statusCode === 403 && contentType.includes('text/plain')) {
+          const navReq = isHtmlRequest(req);
+          const gateChunks = [];
+          let gateOverflow = false;
+          const passRaw403 = () => {
+            if (res.headersSent) return;
+            res.writeHead(403, { ...proxyRes.headers });
+            if (gateChunks.length) res.write(Buffer.concat(gateChunks));
+            proxyRes.pipe(res);
+          };
+          proxyRes.on('data', (c) => {
+            if (gateOverflow) return;
+            gateChunks.push(c);
+            if (Buffer.concat(gateChunks).length > 65536) { gateOverflow = true; gateChunks.length = 0; passRaw403(); }
+          });
+          proxyRes.on('end', () => {
+            if (gateOverflow || res.headersSent) return;
+            const body = Buffer.concat(gateChunks).toString('utf8').trim();
+            if (navReq && body === 'forbidden') {
+              res.writeHead(403, {
+                'content-type': 'text/html; charset=utf-8',
+                'cache-control': 'no-store',
+                'x-dsh-pocket-gate': 'desktop-browser-access',
+              });
+              res.end(desktopAccessBlockedPageHtml());
+            } else {
+              res.writeHead(403, { ...proxyRes.headers });
+              res.end(Buffer.concat(gateChunks));
+            }
+          });
+          proxyRes.on('error', () => res.destroy());
+          return;
+        }
         // 只给**未压缩**的 HTML 文档注入（SSE/WS/JS/CSS 原样透传；压缩流注入会损坏页面）；
         // 注入后修正 Content-Length
         if (injectHtml && contentType.includes('text/html') && !isCompressed(proxyRes.headers)) {
@@ -549,6 +628,11 @@ export function createPocketProxy({ port = 3081, host = '0.0.0.0', upstream = DE
           proxyRes.on('data', (c) => chunks.push(c));
           proxyRes.on('end', () => {
             let html = Buffer.concat(chunks).toString('utf8');
+            // 防密码被钓（issue #82）：注入会话指纹 meta（与登录页同源）。
+            // 仅当页面尚无该标记时注入，避免重复；不存在 <head> 时跳过（dsh web 必有）。
+            if (!html.includes(SESSION_MARK)) {
+              html = html.replace(/<head[^>]*>/i, (m) => `${m}${sessionMeta}`);
+            }
             if (!html.includes(INJECT_MARK)) {
               html = html.replace(/<head[^>]*>/i, (m) => `${m}${injectHtml}`);
             }

package/lib/service.mjs

@@ -15,6 +15,7 @@ import { join, dirname } from 'node:path';
 import { createPocketProxy } from './proxy.mjs';
 import { startQuickTunnel, startNamedTunnel } from './tunnel.mjs';
 import { isValidIpv4 } from './ip.mjs';
+import { ensureSessionFingerprint } from './session.mjs';
 
 const require = createRequire(import.meta.url);
 
@@ -24,8 +25,9 @@ export async function qrDataUrl(text, { width = 220, margin = 1 } = {}) {
   return QRCode.toDataURL(text, { errorCorrectionLevel: 'M', margin, width, type: 'image/png' });
 }
 
-/** RFC1918 私网地址：手机与电脑连同一局域网时通常可直连。 */
-const PRIVATE_IPV4_RE = /^(?:10\.|192\.168\.|172\.(?:1[6-9]|2\d|3[01])\.)/;
+// RFC1918 私网地址：手机与电脑连同一局域网时通常可直连。
+// 另含 CGNAT 100.64/10（RFC 6598，Tailscale/ZeroTier 默认网段，公网不可路由），保持一致（issue #79）。
+const PRIVATE_IPV4_RE = /^(?:10\.|192\.168\.|172\.(?:1[6-9]|2\d|3[01])\.|100\.(?:6[4-9]|[7-9]\d|1(?:0\d|1\d|2[0-7]))\.)/;
 
 /** 名称像真实物理网卡的接口（WLAN / Wi-Fi / Ethernet / 以太网 / 有线 / 无线 / en / eth）。 */
 const PHYSICAL_IFACE_RE = /^(?:wlan|wi-?fi|wireless|ethernet|eth\d|en\d|wlp\d|以太网|有线|无线|本地连接)/i;
@@ -398,6 +400,8 @@ export function createPocketService({
           };
         })(),
         dshPort,
+        // 防密码被钓（issue #82）：本次进程的会话指纹，设置页展示供用户与手机登录页交叉核对
+        sessionFingerprint: ensureSessionFingerprint(),
       };
     },
 

package/lib/session.mjs

@@ -0,0 +1,35 @@
+// 公网会话指纹（防密码被钓，issue #82）。
+//
+// 每次 dsh web 进程启动生成一次，随机、不可预测。只经本代理注入到我们伺服的
+// HTML（应用页 + 登录页），并显示在电脑「手机访问」设置页——永不落盘、不进日志、
+// 不出现在任何静态产物里。
+//
+// 快速隧道子域被 Cloudflare 回收、分给陌生人后，陌生人的站点不经我们的代理，
+// 拿不到这个指纹、也猜不出。于是其克隆的登录页要么没有指纹、要么指纹对不上：
+// 用户在手机登录页看到的指纹若与电脑设置页不一致，即说明链接已被他人复用，
+// 不应输入密码。这是"密码不防回收"之外，真正能拦住密码钓鱼的一层。
+
+import { randomBytes } from 'node:crypto'
+
+let fingerprint = null
+
+/**
+ * 惰性生成并返回本次进程的会话指纹（多次调用返回同一值）。
+ * @returns {string} 6 位大写字母/数字指纹
+ */
+export function ensureSessionFingerprint() {
+  if (!fingerprint) {
+    let s = ''
+    while (s.length < 6) {
+      // base64 含 + / 等非字母数字字符，只保留 A-Z0-9 并转大写
+      s += randomBytes(6).toString('base64').replace(/[^A-Z0-9]/gi, '').toUpperCase()
+    }
+    fingerprint = s.slice(0, 6)
+  }
+  return fingerprint
+}
+
+/** 读取已生成的指纹（代理尚未启动时返回 null）。 */
+export function getSessionFingerprint() {
+  return fingerprint
+}

package/lib/tunnel.mjs

@@ -22,6 +22,22 @@ import { createWriteStream } from 'node:fs';
 // 正是该错误体，与 issue 完全一致。
 export const QUICK_TUNNEL_URL_RE = /https:\/\/(?!api\.)[a-z0-9-]+\.trycloudflare\.com/i;
 
+/**
+ * 从 cloudflared 输出里提取最有诊断价值的一段（issue #78）。
+ *
+ * cloudflared 参数错误（如 "Incorrect Usage: flag provided but not defined"）的
+ * 关键信息在输出**开头**，尾部整段都是 usage 帮助文本（对用户没用）；而运行期错误
+ * （403 / 协议 / 网络）的关键信息在**尾部**。所以：参数错误取开头片段，其它仍取尾部。
+ * 最多 500 字符，与历史上限一致。
+ */
+export function firstMeaningfulErrorLine(buf) {
+  const text = String(buf ?? '').trim();
+  if (/^(Incorrect Usage|flag provided but not defined|unknown flag|unknown command)/im.test(text)) {
+    return text.split(/\r?\n/)[0].trim().slice(0, 500);
+  }
+  return text.split(/\r?\n/).slice(-4).join('\n').trim().slice(0, 500);
+}
+
 function platformBinary() {
   const archMap = { x64: 'amd64', arm64: 'arm64', ia32: '386', arm: 'arm' };
   const a = archMap[process.arch] ?? process.arch;
@@ -430,7 +446,10 @@ export async function startNamedTunnel({ token, home, signal, onPhase = () => {}
   const bin = await resolveCloudflared({ home, onPhase, signal });
   onPhase('starting');
   // 与快速隧道一致强制 HTTP/2（国内/企业网常屏蔽 UDP 7844 → error 1033）
-  const child = spawn(bin, ['tunnel', 'run', '--protocol', 'http2', '--no-autoupdate'], {
+  // 与快速隧道一致强制 HTTP/2（国内/企业网常屏蔽 UDP 7844 → error 1033）
+  // `--no-autoupdate` 必须在全局位置（子命令之前）：cloudflared 2026.x 移除了
+  // `tunnel run` 子命令层级的该 flag，但全局位置仍有效（issue #78）
+  const child = spawn(bin, ['--no-autoupdate', 'tunnel', 'run', '--protocol', 'http2'], {
     stdio: ['ignore', 'pipe', 'pipe'],
     env: { ...process.env, TUNNEL_TOKEN: String(token ?? '') },
   });
@@ -457,10 +476,10 @@ export async function startNamedTunnel({ token, home, signal, onPhase = () => {}
     };
     const onExit = (code) => {
       cleanup();
-      const tail = buf.trim().split(/\r?\n/).slice(-4).join('\n').trim();
+      const tail = firstMeaningfulErrorLine(buf);
       reject(new Error(
-        `cloudflared 退出（code=${code}）${tail ? '：' + tail.slice(0, 500) : ''}——请检查 Tunnel Token 是否有效、域名 Service 是否指向本机代理端口 | `
-        + `tunnel exited (code=${code})${tail ? ': ' + tail.slice(0, 500) : ''} — check the Tunnel Token and the ingress hostname`,
+        `cloudflared 退出（code=${code}）${tail ? '：' + tail : ''}——请检查 Tunnel Token 是否有效、域名 Service 是否指向本机代理端口 | `
+        + `tunnel exited (code=${code})${tail ? ': ' + tail : ''} — check the Tunnel Token and the ingress hostname`,
       ));
     };
     cleanup = () => {
@@ -519,7 +538,8 @@ export async function startQuickTunnel({ port, home, signal, onPhase = () => {}
   // 强制 HTTP/2（TCP 443）而不是默认的 QUIC（UDP 7844）：
   // 国内网络/部分企业网常屏蔽 UDP 7844，导致 tunnel 报 error 1033（Tunnel error）；
   // HTTP/2 走 443 更稳。若平台未来恢复 QUIC 可达，可去掉 --protocol http2。
-  const child = spawn(bin, ['tunnel', '--url', `http://127.0.0.1:${port}`, '--protocol', 'http2', '--no-autoupdate'], {
+  // `--no-autoupdate` 必须在全局位置（子命令之前，见 issue #78 同款修复）
+  const child = spawn(bin, ['--no-autoupdate', 'tunnel', '--url', `http://127.0.0.1:${port}`, '--protocol', 'http2'], {
     stdio: ['ignore', 'pipe', 'pipe'],
   });
   // H1：spawn 失败（缓存二进制损坏等）必须接住，否则 uncaughtException 崩宿主
@@ -545,10 +565,10 @@ export async function startQuickTunnel({ port, home, signal, onPhase = () => {}
     };
     const onExit = (code) => {
       cleanup();
-      // 带上 cloudflared 自己的输出尾段（stderr 常含具体原因：403/协议/网络等），
-      // 否则「code=1」用户无从排查（issue #65）
-      const tail = buf.trim().split(/\r?\n/).slice(-3).join('\n').trim();
-      reject(new Error(`cloudflared 退出（code=${code}）${tail ? '：' + tail.slice(0, 500) : ''}`));
+      // 带上 cloudflared 自己的输出（参数错误显示开头、运行期错误显示尾部，见 firstMeaningfulErrorLine），
+      // 否则「code=1」用户无从排查（issue #65 / #78）
+      const tail = firstMeaningfulErrorLine(buf);
+      reject(new Error(`cloudflared 退出（code=${code}）${tail ? '：' + tail : ''}`));
     };
     cleanup = () => {
       child.stdout.off('data', onData);

package/package.json

@@ -80,5 +80,5 @@
     "access": "public",
     "registry": "https://registry.npmjs.org/"
   },
-  "version": "2.8.0"
+  "version": "2.9.0"
 }