dsh-qqbot-expands 0.4.1 → 0.4.2

package/README.md

@@ -17,6 +17,7 @@ DeepSeek Harness（DSH）插件：**在 QQ 官方机器人插件 `@tencent-conne
 - **不读取无权限内容**：平台不下发的消息不抓取，群聊全量消息需要群主在群里开启对应权限后才生效；
 - **不收集、不上传数据**：所有状态只落在本机 `~/.dsh-qqbot/`，不向任何第三方回传；
 - **文件读取需管理员授权**：非管理员发送的图片/文件默认拦截，必须管理员明确同意后才读取；
+- **设置接口需认证**：HTTP 接口 `/qqbot-expands/settings`（读写管理员 openid、语音/绘图密钥等）不对外裸开——每个请求先过宿主的 `ctx.connection.admit()`，未通过返回 401/403；宿主没有 `connection` 服务时该接口干脆不注册（失败关闭），不会退化成匿名可写；
 - 使用前请确认你的机器人已按 QQ 开放平台要求完成注册、审核，并在群主/管理员授权范围内使用。
 
 如果平台规则与本文冲突，以 QQ 开放平台规则为准。

package/index.js

@@ -1390,16 +1390,51 @@ async function handleSettingsRoute(rt, req, res) {
   sendJson(res, 200, { ok: true, ...settingsSnapshot(rt) })
 }
 
+/** 设置接口的准入：交给宿主 Connection 校验签名凭据与活 Peer，缺服务时失败关闭。 */
+function admitSettingsRequest(connection, req, res) {
+  if (!connection || typeof connection.admit !== 'function') {
+    // fail closed：没有 connection 服务就不给读写配置的入口
+    sendJson(res, 403, { ok: false, error: '设置接口不可用：宿主未提供 connection 服务' })
+    return false
+  }
+  let admission
+  try {
+    admission = connection.admit({ headers: req.headers ?? {} })
+  } catch (err) {
+    log('设置接口认证异常：' + (err?.message ?? err))
+    sendJson(res, 401, { ok: false, error: '认证失败' })
+    return false
+  }
+  const rejection = admission?.rejection
+  if (rejection !== undefined) {
+    sendJson(res, rejection, { ok: false, error: rejection === 403 ? 'forbidden' : 'unauthorized' })
+    return false
+  }
+  if (!admission?.peer) {
+    sendJson(res, 401, { ok: false, error: 'unauthorized' })
+    return false
+  }
+  return true
+}
+
 function registerSettingsRoutes(ctx, rt) {
   const inject = ctx.inject
   if (typeof inject !== 'function') return
   inject.call(ctx, ['webServer'], (scoped) => {
     const webServer = scoped.webServer
     if (!webServer || typeof webServer.register !== 'function') return
+    const connection = typeof scoped.get === 'function' ? scoped.get('connection') : undefined
+    if (!connection || typeof connection.admit !== 'function') {
+      log('未提供 connection 服务，设置接口不注册（不以无认证方式开放）')
+      return
+    }
     const dispose = webServer.register({
       kind: 'exact',
       path: '/qqbot-expands/settings',
-      handler: (req, res) => { void handleSettingsRoute(rt, req, res) },
+      handler: (req, res) => {
+        if (!admitSettingsRequest(connection, req, res)) return
+        void handleSettingsRoute(rt, req, res)
+      },
     })
     scoped.effect(() => dispose, 'qqbot-expands.settings-routes')
   })
@@ -2292,7 +2327,7 @@ function buildTools(ctx, rt) {
 // ─────────────────────────── 入口 ───────────────────────────
 
 // 仅供单测使用（不参与运行时）
-export const __test = { createRuntime, resolveConfig, tickGreeting, greetingSummary, handleSettingsRoute, settingsSnapshot }
+export const __test = { createRuntime, resolveConfig, tickGreeting, greetingSummary, handleSettingsRoute, settingsSnapshot, admitSettingsRequest }
 
 export async function apply(ctx, config) {
   const resolved = resolveConfig(config)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-qqbot-expands",
-  "version": "0.4.1",
+  "version": "0.4.2",
   "type": "module",
   "description": "QQ 官方机器人插件（@tencent-connect/dsh-qqbot）的功能拓展 bundle：群聊频控、私聊问候、表情包、语音、绘图与统一设置页。",
   "main": "./index.js",