dsh-remote-mobile 1.4.3 → 1.5.0

package/CHANGELOG.md

@@ -5,6 +5,15 @@ All notable changes to this project will be documented in this file.
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.0.0/),
 and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
+## [1.5.0] - 2026-09-04
+
+### Compatibility (适配 dsh@0.1.2-rc.1 官方 Token 鉴权)
+- **适配：透明接管官方底座临时 Token 鉴权，消除双重鉴权冗余**。DSH 0.1.2-rc.1 官方底座引入了进程级临时启动 Token（`?token=xxxx`）与全链路 RPC/WebSocket 401 阻断；装有本插件的用户在进程重启后，手机已配对的直连书签会遭遇官方 401 报错。现通过对底座 `connection` 服务（`authorizeIndex`、`requestRejection`、`browserAuth.isAuthenticated`）实施切面代理：凡通过本插件门禁（本机回环、Tailscale/LAN 免密直连、已扫码配对/长期密码认证）的请求直接放行，无需手动复制官方临时 Token，手机书签直连与局域网免密恢复丝滑体验；同时兼容保留官方原生合法 token 的换取逻辑。
+- **优化：终端就绪输出专属卡片**。服务启动后在控制台打印美观的边框横幅，明确标注「官方临时 Token 鉴权已接管，PC/移动端访问无需携带官方token」，按类型列出本机回环、局域网、Tailscale 私网等可用直连地址，并附带设置页配置指引与项目文档链接。
+- **优化：URL Token 提取解耦**。`extractTokenFromRequest` 优化参数提取，支持 `rm_token` 与 `auth_token`，避免官方 `token=` 干扰插件内部会话逻辑。
+
+---
+
 ## [1.4.3] - 2026-09-03
 
 ### Fixed (缺陷修复)

package/lib/auth/token.js

@@ -657,10 +657,10 @@ export class SessionStore extends EventEmitter {
         const authHeader = req.headers.authorization || '';
         if (authHeader.startsWith('Bearer '))
             return authHeader.slice(7).trim();
-        if (req.url && req.url.includes('token=')) {
+        if (req.url && (req.url.includes('rm_token=') || req.url.includes('auth_token='))) {
             try {
                 const u = new URL(req.url, 'http://localhost');
-                const t = u.searchParams.get('token');
+                const t = u.searchParams.get('rm_token') || u.searchParams.get('auth_token');
                 if (t)
                     return t;
             }

package/lib/bridge/compat.d.ts

@@ -118,3 +118,22 @@ export declare const PLUGIN_MODULE_NAME = "dsh-remote-mobile";
  * @param store - 会话管理器实例
  */
 export declare function registerRemoteWebUiPairingBridge(ctx: any, store: SessionStore): void;
+/**
+ * 判定一个请求是否已获得 dsh-remote-mobile 门禁授权（包括回环、免密直连与已认证会话）
+ */
+export declare function isRequestAuthorizedByGate(req: any, store: SessionStore): boolean;
+/**
+ * 透明接管 DSH 官方底座的 Token 鉴权服务 (connection.browserAuth & connection.requestRejection)
+ *
+ * 【设计职责】
+ * 官方新版在底座硬编码了临时进程 Token（dsh web: http://.../?token=xxxx）以及基于签名 Cookie 的
+ * 全链路 RPC/WebSocket 401 阻断。对于已安装本插件的用户而言，两层鉴权导致体验严重割裂且使手机书签失效。
+ * 本函数对底层 connection 服务实施透明短路代理：
+ * 1. 凡通过本插件门禁（本机、Tailscale/LAN 免密直连、已扫码配对/长期密码认证）的请求，底座鉴权全链路放行；
+ * 2. 彻底消除进程重启后移动端遭遇官方 401 的痛点，对外提供唯一定制化移动端门禁体系；
+ * 3. 未授权外部请求保持官方与插件原本拦截逻辑，且保留官方原生合法 token 的交换能力。
+ *
+ * @param connection - DSH 底座提供的 connection 服务实例
+ * @param store - 会话与配置管理器实例
+ */
+export declare function takeOverConnectionAuth(connection: any, store: SessionStore): void;

package/lib/bridge/compat.js

@@ -30,7 +30,9 @@
  *    - 判定基于 Cordis 公开运行时结构（服务占用 + fiber 运行态），不针对特定插件；
  *    - 保证与其他远程接入类插件共存时必定可以正常启动（不再触发整树回滚致命错误）。
  */
+import { timingSafeEqual } from 'node:crypto';
 import { getClientIp, isTailscaleIp, isLanIp } from '../auth/tailscale.js';
+import { isLoopbackRequest } from '../auth/gate.js';
 import { isMobileUserAgent, applyDataMobileAttr, buildMobileStyleTag, } from '../styles/style-snippets.js';
 /**
  * 注入到 index.html <head> 最前列的 Polyfill 脚本代码片段
@@ -699,3 +701,106 @@ export function registerRemoteWebUiPairingBridge(ctx, store) {
     };
     decide().catch(() => { });
 }
+/**
+ * 恒定时间字符串比较，防止针对 secret token 的时序攻击
+ */
+function safeStringEqual(a, b) {
+    if (typeof a !== 'string' || typeof b !== 'string')
+        return false;
+    try {
+        const bufA = Buffer.from(a, 'utf8');
+        const bufB = Buffer.from(b, 'utf8');
+        if (bufA.length !== bufB.length)
+            return false;
+        return timingSafeEqual(bufA, bufB);
+    }
+    catch {
+        return false;
+    }
+}
+/**
+ * 判定一个请求是否已获得 dsh-remote-mobile 门禁授权（包括回环、免密直连与已认证会话）
+ */
+export function isRequestAuthorizedByGate(req, store) {
+    if (!req)
+        return false;
+    // 1. 本机 127.0.0.1 / ::1 回环无条件放行
+    if (isLoopbackRequest(req))
+        return true;
+    const clientIp = getClientIp(req);
+    const options = store.getOptions();
+    // 2. Tailscale 私网免密直连放行
+    if (options.allowTailscale && isTailscaleIp(clientIp))
+        return true;
+    // 3. 局域网 LAN 免密直连放行
+    if (options.allowLan && isLanIp(clientIp))
+        return true;
+    // 4. 检查是否携带有效的授权会话 Token (Cookie / Header / URL Token)
+    const token = store.extractTokenFromRequest(req);
+    if (token && store.validateToken(token, clientIp))
+        return true;
+    return false;
+}
+/**
+ * 透明接管 DSH 官方底座的 Token 鉴权服务 (connection.browserAuth & connection.requestRejection)
+ *
+ * 【设计职责】
+ * 官方新版在底座硬编码了临时进程 Token（dsh web: http://.../?token=xxxx）以及基于签名 Cookie 的
+ * 全链路 RPC/WebSocket 401 阻断。对于已安装本插件的用户而言，两层鉴权导致体验严重割裂且使手机书签失效。
+ * 本函数对底层 connection 服务实施透明短路代理：
+ * 1. 凡通过本插件门禁（本机、Tailscale/LAN 免密直连、已扫码配对/长期密码认证）的请求，底座鉴权全链路放行；
+ * 2. 彻底消除进程重启后移动端遭遇官方 401 的痛点，对外提供唯一定制化移动端门禁体系；
+ * 3. 未授权外部请求保持官方与插件原本拦截逻辑，且保留官方原生合法 token 的交换能力。
+ *
+ * @param connection - DSH 底座提供的 connection 服务实例
+ * @param store - 会话与配置管理器实例
+ */
+export function takeOverConnectionAuth(connection, store) {
+    if (!connection || connection.__dsh_rm_auth_takeover__)
+        return;
+    connection.__dsh_rm_auth_takeover__ = true;
+    // 1. 接管底层统一的 browserAuth.isAuthenticated (供各类 RPC/WebSocket 与内部检查调用)
+    if (connection.browserAuth && typeof connection.browserAuth.isAuthenticated === 'function') {
+        const origIsAuthenticated = connection.browserAuth.isAuthenticated.bind(connection.browserAuth);
+        connection.browserAuth.isAuthenticated = (request) => {
+            if (isRequestAuthorizedByGate(request, store)) {
+                return true;
+            }
+            return origIsAuthenticated(request);
+        };
+    }
+    // 2. 接管 connection.requestRejection (底层拦截未授权的 RPC / WebSocket 请求)
+    if (typeof connection.requestRejection === 'function') {
+        const origRequestRejection = connection.requestRejection.bind(connection);
+        connection.requestRejection = (request) => {
+            if (isRequestAuthorizedByGate(request, store)) {
+                return undefined; // 明确放行，杜绝 401
+            }
+            return origRequestRejection(request);
+        };
+    }
+    // 3. 接管 connection.authorizeIndex (控制根路径 GET / 下发 index.html)
+    if (typeof connection.authorizeIndex === 'function') {
+        const origAuthorizeIndex = connection.authorizeIndex.bind(connection);
+        connection.authorizeIndex = (req, res) => {
+            if (isRequestAuthorizedByGate(req, store)) {
+                // 若携带官方进程 token 且与当前 launchToken 匹配，优先走官方换取官方 Cookie 与重定向
+                if (req.url && req.url.includes('token=')) {
+                    try {
+                        const url = new URL(req.url, 'http://dsh.invalid');
+                        const tokens = url.searchParams.getAll('token');
+                        if (tokens.length > 0 &&
+                            connection.browserAuth?.launchToken &&
+                            safeStringEqual(tokens[0], connection.browserAuth.launchToken)) {
+                            return origAuthorizeIndex(req, res);
+                        }
+                    }
+                    catch { }
+                }
+                // 已授权设备直接放行提供 HTML，跳过官方 401 阻断
+                return true;
+            }
+            return origAuthorizeIndex(req, res);
+        };
+    }
+}

package/lib/client.js

@@ -3464,8 +3464,8 @@ function StylesCard({ lang, showToast }) {
 }
 
 // src/client/version.js
-var PLUGIN_VERSION = "v1.4.3";
-var BUILD_TIME = "2026-09-03 21:12:49";
+var PLUGIN_VERSION = "v1.5.0";
+var BUILD_TIME = "2026-09-04 20:16:12";
 
 // src/client/components/MainSection.jsx
 var import_jsx_runtime9 = require("react/jsx-runtime");

package/lib/index.js

@@ -15,8 +15,8 @@ import { SessionStore } from './auth/token.js';
 import { createGlobalAuthGate } from './auth/gate.js';
 import { createRoutes } from './routes/api.js';
 import { StyleSnippetStore } from './styles/style-snippets.js';
-import { getLocalTailscaleIp } from './auth/tailscale.js';
-import { patchHttpServerWithVirtualizer, mountIndexInjections, registerRemoteWebUiPairingBridge, } from './bridge/compat.js';
+import { getLocalTailscaleIp, getLocalLanIp } from './auth/tailscale.js';
+import { patchHttpServerWithVirtualizer, mountIndexInjections, registerRemoteWebUiPairingBridge, takeOverConnectionAuth, } from './bridge/compat.js';
 /** Cordis 插件名称标识 */
 export const name = 'dsh-remote-mobile';
 /** DSH 设置命名空间 */
@@ -98,18 +98,109 @@ export function apply(ctx, config = {}) {
     // 4. 向 Cordis 容器桥接注册 remoteWebUiPairing 服务（延迟裁决：与其他远程接入
     // 类插件共存时自动让出，保证启动不冲突，详见 compat.ts）
     registerRemoteWebUiPairingBridge(ctx, store);
-    // 5. 延迟补丁与服务启动日志输出
-    setTimeout(() => {
+    // 5. 透明接管 DSH 底座 connection 鉴权服务（短路官方 Token 401 阻断）
+    /**
+     * connection 鉴权接管采用三点冗余策略：
+     * 1) 插件 apply 时立即尝试 —— 覆盖 connection 先于本插件就绪的场景
+     * 2) ctx.inject 动态注入 —— 覆盖 connection 后于本插件就绪的场景
+     * 3) printReadyBanner 中兜底 —— 覆盖上述两者都未捕获到的极端时序
+     *
+     * takeOverConnectionAuth 内部通过 __dsh_rm_auth_takeover__ 标记保证幂等，
+     * 同一 connection 实例不会被重复接管。
+     */
+    const attachConnectionAuth = (conn) => {
+        if (conn) {
+            takeOverConnectionAuth(conn, store);
+        }
+    };
+    // 1) 优先通过 ctx.get 安全获取（未注入时不抛错返回 undefined）
+    try {
+        const conn = typeof ctx.get === 'function' ? ctx.get('connection') : undefined;
+        if (conn)
+            attachConnectionAuth(conn);
+    }
+    catch (e) {
+        ctx.logger?.debug?.('[dsh-remote-mobile] 尝试直接获取 connection 失败:', e);
+    }
+    // 2) 声明动态子注入，在 connection 服务就绪时接管
+    if (typeof ctx.inject === 'function') {
+        try {
+            ctx.inject(['connection'], (connCtx) => {
+                try {
+                    // 统一通过 get 获取服务实例，避免属性访问与方法获取返回不同对象
+                    const conn = typeof connCtx?.get === 'function' ? connCtx.get('connection') : connCtx?.connection;
+                    if (conn)
+                        attachConnectionAuth(conn);
+                }
+                catch (e) {
+                    ctx.logger?.debug?.('[dsh-remote-mobile] inject 接收 connection 注入失败:', e);
+                }
+            });
+        }
+        catch (e) {
+            ctx.logger?.debug?.('[dsh-remote-mobile] 注册 connection 动态注入失败:', e);
+        }
+    }
+    // 6. 服务就绪时输出提示横幅与接入地址
+    let printed = false;
+    const printReadyBanner = () => {
+        if (printed)
+            return;
+        printed = true;
         if (ctx.webServer && ctx.webServer.server) {
             patchHttpServerWithVirtualizer(ctx.webServer.server, gateMiddleware, store, styleStore);
         }
+        try {
+            const conn = typeof ctx.get === 'function' ? ctx.get('connection') : undefined;
+            if (conn)
+                attachConnectionAuth(conn);
+        }
+        catch (e) {
+            ctx.logger?.debug?.('[dsh-remote-mobile] 就绪回调获取 connection 失败:', e);
+        }
         const tsIp = getLocalTailscaleIp();
+        const lanIp = getLocalLanIp();
+        const port = ctx.webServer?.port ?? 3080;
         const opts = store.getOptions();
+        const divider = '─'.repeat(72);
+        console.log(`\n┌${divider}`);
+        console.log(`│ [dsh-remote-mobile] 官方临时 Token 鉴权已接管，PC/移动端访问无需携带官方token`);
+        console.log(`│ 远程安全网关已就绪，支持手机浏览器访问:`);
+        console.log(`│   • 本机回环:   http://127.0.0.1:${port}`);
+        if (lanIp && lanIp !== '127.0.0.1') {
+            console.log(`│   • 局域网:     http://${lanIp}:${port} (同 Wi-Fi 局域网直连)`);
+        }
+        if (tsIp) {
+            console.log(`│   • 虚拟私网:   http://${tsIp}:${port} (Tailscale 私网异地直连)`);
+        }
+        console.log(`│ 访问与配置说明:`);
+        console.log(`│   - 手机/远程设备打开对应地址即可直接访问`);
+        console.log(`│   - 在本机打开 Web 界面 ->「设置」->「远程与移动端」进行安全管理:`);
+        console.log(`│     可开启免密直连(局域网/Tailscale)、查看 6 位临时配对码或设置长期密码`);
+        console.log(`│   - 项目文档:   https://github.com/IceApriler/dsh-remote-mobile`);
+        console.log(`└${divider}\n`);
         ctx.logger?.info?.(`[dsh-remote-mobile] 移动端远程控制与安全门禁已激活 (上下文虚拟化桥接就绪，样式片段: ${styleStore.list().length} 个)`);
         if (tsIp) {
-            ctx.logger?.info?.(`[dsh-remote-mobile] Tailscale 地址: http://${tsIp}:3080 (免密直连: ${opts.allowTailscale ? '已开启' : '已关闭'})`);
+            ctx.logger?.info?.(`[dsh-remote-mobile] Tailscale 地址: http://${tsIp}:${port} (免密直连: ${opts.allowTailscale ? '已开启' : '已关闭'})`);
         }
-    }, 300);
+    };
+    // 1) 优先在 loader 插件树就绪后紧跟官方提示打印
+    try {
+        const loader = typeof ctx.get === 'function' ? ctx.get('loader') : undefined;
+        const settled = loader?.await?.();
+        if (settled && typeof settled.then === 'function') {
+            settled.then(() => {
+                setTimeout(printReadyBanner, 120);
+            }).catch((e) => {
+                ctx.logger?.debug?.('[dsh-remote-mobile] loader await 异常:', e);
+            });
+        }
+    }
+    catch (e) {
+        ctx.logger?.debug?.('[dsh-remote-mobile] 获取 loader 失败:', e);
+    }
+    // 2) 兜底定时器（避免无 loader 环境时不输出）
+    setTimeout(printReadyBanner, 1500);
 }
 // 导出所有子模块类型与核心工具
 export * from './auth/tailscale.js';

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-remote-mobile",
-  "version": "1.4.3",
+  "version": "1.5.0",
   "description": "DeepSeek Harness 远程与移动端安全网关插件：零修改 DSH 底层代码安全开放局域网与 Tailscale 连接 | DeepSeek Harness (DSH) Remote & Mobile Security Guard: safely opens Tailscale/LAN with zero core modifications, QR scan auth, RSA encryption & brute-force defense.",
   "keywords": [
     "dsh",