dsh-remote-mobile 1.8.0 → 1.9.1

package/CHANGELOG.md

@@ -5,6 +5,34 @@ All notable changes to this project will be documented in this file.
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.0.0/),
 and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
+## [1.9.1] - 2026-10-17
+
+### Fixed (解决 Issue #7 · 修复 /auth 登录页内联脚本语法错误导致局域网密码登录完全失效)
+
+- **修复登录页内联脚本模板转义缺陷**：在 1.8.0 引入子路径/网关前缀自适应时，`src/routes/login-page.ts` 内使用 ES6 模板字符串拼接登录页内联 `<script>`，其中第 344/356/365 行的正则字面量写为 `window.location.pathname.replace(/\/auth\/?$/, ...)`。外层模板字符串反引号在求值时将 `\/` 折叠为 `/`，导致下发给客户端浏览器的内联脚本退化为 `replace(//auth/?$, ...)`，被 JS 词法解析器识别为单行注释吞掉后续代码并抛出 `SyntaxError: Unexpected token 'return'`：
+  - 内联脚本因此整体中断执行，表单 submit 监听器、`doVerify()`、RSA 密钥提取与 `/api/remote-mobile/verify` 接口调用均未注册，表现为局域网设备输入正确长期密码点击「立即授权连接」无任何反应，输入错误密码也无错误提示并退化为原生 GET 刷新；
+  - 现改用 `new RegExp('/auth/?$')` 显式构造正则对象，彻底消除模板字符串与正则字面量转义规则的歧义与折叠风险。
+- **测试覆盖与语法保障**：
+  - 在 `test/routes.test.js` 中新增针对中英双语 `/auth` 页面内联 `<script>` 的自动化测试，通过 `new Function(...)` 语法解析并断言无 `SyntaxError`，且严禁出现未转义退化的 `//auth` 注释；
+  - 在 `test/compat.test.js` 中新增对所有注入到客户端的 5 个 Snippet 脚本的 `new Function(...)` 语法合法性全量断言。
+
+---
+
+## [1.9.0] - 2026-10-09
+
+### Fixed (适配 DSH 0.1.7+ 配置存储变更，修复插件配置无法持久化)
+
+- **配置持久化迁移**：DSH 自 **0.1.7** 起（最早见于 v0.1.7-alpha.1 的 release notes，0.2.x 延续）官方已弃用 `~/.dsh/settings.yaml` 作为实时配置源（启动时一次性迁移进当前 profile 的 `cordis.patch.yml` 并改名为 `settings.yaml.imported`）。原实现持续写回该文件，导致免密开关、长期密码哈希、限频/锁定阈值在升级后无法持久化（重启即回落默认）：
+  - 新增插件自有配置 `~/.dsh/remote-mobile/settings.json`（JSON、临时文件原子替换、权限 `0o600`），由 `SessionStore` 读写；
+  - 首次启动自动从旧 `settings.yaml` / `settings.yaml.imported` 一次性迁移，救回既有长期密码与限频配置；
+  - 保留旧版 `ctx.settings.register` 集成作为旧版 DSH 的尽力兼容（0.1.7+ 的 `SettingsForms` 无该 API，会安全跳过）。
+- **防止已清空的密码复活**：配置迁移仅在自有 `settings.json` 不存在时执行一次；一旦自有配置存在，旧 `settings.yaml.imported` 不再参与合并，避免用户清空长期密码后重启又被旧值救回。决策逻辑抽为纯函数 `resolveInitialStoreOptions()` 并由单测锁定。
+- **语言偏好读取适配**：`readGlobalLocale()` 改为优先读取当前 profile 的 `cordis.patch.yml`（locale entry），回退旧 `settings.yaml` / `settings.yaml.imported`，修复升级后登录页与接口语言恒为中文的问题。
+- **测试**：新增 `test/settings-persistence.test.js` 覆盖自有配置读写、旧版迁移合并与 locale 解析。
+- **文档**：README（中 / 英）更新配置存储位置与新增 FAQ Q8，说明 DSH 0.1.7+ 的 settings.yaml 迁移行为。
+
+---
+
 ## [1.8.0] - 2026-10-08
 
 ### Fixed & Security (适配 NAS / 网关子路径前缀反代，修复静默失败与开放重定向)

package/README.md

@@ -166,7 +166,7 @@ dsh web --no-open
   - 访问审计与锁定状态持久化落盘，服务重启后自动恢复；
   - 支持管理员在管理面板中一键解锁指定 IP。
 - **智能静态资源放行机制**：安全门禁内置智能前端静态扩展名识别（放行 `.js`、`.css`、`.png`、`.svg`、`.woff2` 等 20 种合法资源），拦截无扩展名或动态管理 API 请求（如 `/plugins/xxx/admin`），确保第三方生态插件前端正常展示的同时严密保护后台动态接口，无需用户在设置界面手动维护白名单。（DSH 核心静态目录 `/assets/` 属官方资源，单独无条件放行。）
-- **高可靠原子持久化与防抖**：采用毫秒级写盘防抖节流保护磁盘 I/O（会话数据 500ms、样式片段 300ms），配合 `beforeExit` 进程退出 Flush 保证数据不丢失；`settings.yaml` 与 `style-snippets.json` 采用临时文件原子替换（`renameSync`），防止异常中断损坏数据。
+- **高可靠原子持久化与防抖**：采用毫秒级写盘防抖节流保护磁盘 I/O（会话数据 500ms、样式片段 300ms），配合 `beforeExit` 进程退出 Flush 保证数据不丢失；`settings.json` 与 `style-snippets.json` 采用临时文件原子替换（`renameSync`），防止异常中断损坏数据。
 - **真实 IP 安全提取**：仅信任底层 Socket 真实连接地址，防范伪造的 `X-Forwarded-For` 欺骗攻击。
 - **本机回环 CSRF 防御**：插件的变更类 API 会校验浏览器同源信号（`Origin` / `Sec-Fetch-Site`），恶意网页驱使浏览器向 `127.0.0.1` 发起的跨站写请求将被直接拒绝；curl / 本机脚本等无浏览器信号的客户端不受影响。
 - **本机回环请求不做上下文改写**：上下文虚拟化仅作用于外部来源流量；本机回环请求保留原始 Host / Origin（不"洗白"），使 DSH 自带的 DNS-Rebinding 与同源校验对外部域名继续生效。SSE 事件流仅限同源连接，不开放跨域读取。
@@ -283,18 +283,21 @@ dsh plugin --profile web remove dsh-remote-mobile
 <span id="advanced"></span>
 ## ⚙️ 高级配置
 
-插件已接入 DSH 官方 Settings 体系，配置项支持在 Web 界面中直观调整，也可在 `~/.dsh/settings.yaml` 的 `dsh-remote-mobile` 命名空间下手动修改：
+配置持久化于插件自有文件 `~/.dsh/remote-mobile/settings.json`，可在 Web 界面中直观调整，也可直接编辑该文件：
 
-```yaml
-dsh-remote-mobile:
-  allowTailscale: false       # boolean，默认 false：是否允许 Tailscale 虚拟私网免密访问
-  allowLan: false             # boolean，默认 false：是否允许局域网免密访问（高危警示）
-  secretHash: ""              # string，默认空：长期访问密码的 scrypt 加盐哈希值
-  maxVisitsPerMinute: 60      # number，默认 60：单 IP 每分钟最大访问登录页次数
-  maxFailedAttempts: 5        # number，默认 5：触发封禁的连续认证失败最大次数
-  lockDurationMs: 900000      # number，默认 900000 (15分钟)：IP 锁定持续时间（毫秒）
+```jsonc
+{
+  "allowTailscale": false,     // boolean，默认 false：是否允许 Tailscale 虚拟私网免密访问
+  "allowLan": false,           // boolean，默认 false：是否允许局域网免密访问（高危警示）
+  "secretHash": "",            // string，默认空：长期访问密码的 scrypt 加盐哈希值
+  "maxVisitsPerMinute": 60,    // number，默认 60：单 IP 每分钟最大访问登录页次数
+  "maxFailedAttempts": 5,      // number，默认 5：触发封禁的连续认证失败最大次数
+  "lockDurationMs": 900000     // number，默认 900000 (15分钟)：IP 锁定持续时间（毫秒）
+}
 ```
 
+> **关于配置存储**：DSH 自 **0.1.7** 起（最早见于 v0.1.7-alpha.1 的 release notes，0.2.x 延续）官方已弃用 `~/.dsh/settings.yaml` 作为**实时配置源**——该文件会在启动时被一次性迁移进当前 profile 的 `cordis.patch.yml`，并改名为 `settings.yaml.imported`（详见 [Q8](#faq)）。因此本插件不再写入 settings.yaml，而是持久化到上述自有 `settings.json`；首次启动时会自动从旧 `settings.yaml` / `settings.yaml.imported` 迁移一次（把旧长期密码、限频等配置救回）。
+
 ### 🎨 移动端样式片段（可选）
 
 自定义样式片段（样式小插件）与启停状态持久化于 `~/.dsh/remote-mobile/style-snippets.json`，可在设置面板图形化管理，也可直接编辑该文件：
@@ -331,7 +334,7 @@ dsh-remote-mobile:
 
 | 文件路径 | 说明 | 安全级别 |
 |---|---|---|
-| `~/.dsh/settings.yaml` | 全局安全策略与免密开关配置 | 用户级读写 |
+| `~/.dsh/remote-mobile/settings.json` | 插件配置：免密开关、长期密码哈希与限频/锁定策略 | 本地落盘，权限 `0o600`（仅当前用户可读写） |
 | `~/.dsh/remote-mobile/devices.json` | 已授权设备会话、IP 访问计数与安全审计数据（内含长效 Token，权限 `0o600`） | 本地落盘，仅当前用户可读写 |
 | `~/.dsh/remote-mobile/rsa-keys.json` | 服务端 RSA 密钥对文件（含公钥与私钥） | 本地落盘，权限 `0o600`（仅当前用户可读写） |
 | `~/.dsh/remote-mobile/style-snippets.json` | 移动端样式片段（内置预设启停状态 + 用户自定义 CSS 小插件） | 本地落盘持久化 |
@@ -435,6 +438,16 @@ dsh-remote-mobile:
    * 若你希望通过外部统一域名/网关访问时仍强制要求输入本插件的动态配对码或长期访问密码，建议配置反向代理透明透传客户端源 IP，或直接通过 DSH 开放的外部端口（如默认的 `3080` 或自定义映射端口）直连访问。
 </details>
 
+<details>
+<summary><b>Q8: 升级 DSH 0.1.7+（含 0.2.x）后 <code>~/.dsh/settings.yaml</code> 不见了 / 我的配置丢了？</b></summary>
+
+**答**：这是 **DSH 官方自 0.1.7 起的行为变更**（最早见于 v0.1.7-alpha.1 的 release notes，0.2.x 延续），与本插件无关：
+
+- DSH 自 **0.1.7** 起已**不再把 `~/.dsh/settings.yaml` 当作实时配置源**。启动时它由官方 `dsh-settings` 的 `importLegacyDocument()` **一次性导入**到当前 profile 的 `~/.dsh/profiles/<profile>/cordis.patch.yml`，随后原文件被**改名为 `settings.yaml.imported`**（先改名、再导入；若某个 section 找不到对应 entry，则会跳过，仅保留在该文件中，且不会重试）。官方 release notes 原文：「设置改由当前 Profile 的插件配置保存，支持声明过的实时更新字段；旧 settings.yaml 仅尝试导入一次，自定义设置插件需适配。」
+- 因此升级后 `settings.yaml` 消失、只剩 `settings.yaml.imported` 属**正常现象**；模型 provider、locale 等应改为在 profile 的 `cordis.patch.yml` 中查看/编辑。
+- **本插件自 v1.9.0 起**已改为把自身配置持久化到 `~/.dsh/remote-mobile/settings.json`，并在首次启动时**自动从旧 `settings.yaml` / `settings.yaml.imported` 迁移一次**（把长期密码哈希、免密开关、限频阈值等救回），不再依赖 DSH 的 settings.yaml。若你曾发现"长期密码失效/限频重置"，升级到 v1.9.0 后会自动恢复。
+</details>
+
 ---
 
 ## 📄 开源许可证

package/README_EN.md

@@ -165,7 +165,7 @@ Open the DSH Web Console in your browser, navigate to **Settings ⚙️ -> Remot
   - Audit logs and lockout states persist to disk and restore across restarts;
   - Administrators can manually unlock blocked IPs with one click in the panel.
 - **Intelligent Static Asset Whitelisting**: The authentication gate automatically allows verified frontend asset extensions (`.js`, `.css`, `.png`, `.svg`, `.woff2`, etc., 20 types) while blocking extensionless or dynamic API routes (e.g. `/plugins/xxx/admin`), ensuring smooth third-party plugin rendering without manual whitelist configuration. (The DSH core static directory `/assets/` is an official resource and is allowed unconditionally.)
-- **Resilient Atomic Persistence & Debounce**: Millisecond-level debounce write-throttling to safeguard disk I/O (500ms for session data, 300ms for style snippets), coupled with `beforeExit` process flush hooks and atomic temporary file replacement (`renameSync`) for `settings.yaml` and `style-snippets.json`.
+- **Resilient Atomic Persistence & Debounce**: Millisecond-level debounce write-throttling to safeguard disk I/O (500ms for session data, 300ms for style snippets), coupled with `beforeExit` process flush hooks and atomic temporary file replacement (`renameSync`) for `settings.json` and `style-snippets.json`.
 - **Real Socket IP Extraction**: Relies strictly on underlying Socket connection addresses, preventing spoofed `X-Forwarded-For` header attacks.
 - **Loopback CSRF Defense**: Mutating plugin APIs validate browser same-origin signals (`Origin` / `Sec-Fetch-Site`). Cross-site write requests to `127.0.0.1` driven by malicious webpages are rejected outright; non-browser clients (curl / local scripts) are unaffected.
 - **No Context Rewriting for Loopback Requests**: Context virtualization applies only to external traffic. Loopback requests keep their original Host / Origin (no "laundering"), so DSH's built-in DNS-rebinding and same-origin checks keep working against external domains. The SSE event stream accepts same-origin connections only, with no cross-origin reads.
@@ -282,18 +282,21 @@ dsh plugin --profile web remove dsh-remote-mobile
 <span id="advanced"></span>
 ## ⚙️ Advanced Configuration
 
-Integrated with the DSH official Settings system. Configurations can be adjusted in the Web UI or edited in `~/.dsh/settings.yaml` under the `dsh-remote-mobile` namespace:
+Configurations persist in the plugin-owned file `~/.dsh/remote-mobile/settings.json`; adjust them in the Web UI or edit the file directly:
 
-```yaml
-dsh-remote-mobile:
-  allowTailscale: false       # boolean, default false: allow passwordless access via Tailscale
-  allowLan: false             # boolean, default false: allow passwordless access via LAN (High Risk)
-  secretHash: ""              # string, default empty: scrypt salted hash of the persistent password
-  maxVisitsPerMinute: 60      # number, default 60: max login page visits per minute per IP
-  maxFailedAttempts: 5        # number, default 5: max consecutive failed attempts before IP lockout
-  lockDurationMs: 900000      # number, default 900000 (15 mins): IP lockout duration in ms
+```jsonc
+{
+  "allowTailscale": false,     // boolean, default false: allow passwordless access via Tailscale
+  "allowLan": false,           // boolean, default false: allow passwordless access via LAN (High Risk)
+  "secretHash": "",            // string, default empty: scrypt salted hash of the persistent password
+  "maxVisitsPerMinute": 60,    // number, default 60: max login page visits per minute per IP
+  "maxFailedAttempts": 5,      // number, default 5: max consecutive failed attempts before IP lockout
+  "lockDurationMs": 900000     // number, default 900000 (15 mins): IP lockout duration in ms
+}
 ```
 
+> **About config storage**: Since DSH **0.1.7** (first noted in the v0.1.7-alpha.1 release notes; continued in 0.2.x), `~/.dsh/settings.yaml` is no longer a live configuration source — on boot it is imported once into the active profile's `cordis.patch.yml` and renamed to `settings.yaml.imported` (see [Q8](#faq)). This plugin therefore no longer writes to settings.yaml and persists to its own `settings.json` above; on first launch it automatically migrates once from the legacy `settings.yaml` / `settings.yaml.imported` (recovering your old persistent password, rate limits, etc.).
+
 ### 🎨 Mobile Style Snippets (optional)
 
 Custom snippets (style mini-plugins) and their enabled states are persisted in `~/.dsh/remote-mobile/style-snippets.json`. Manage them from the settings panel or edit the file directly:
@@ -330,7 +333,7 @@ Custom snippets (style mini-plugins) and their enabled states are persisted in `
 
 | Path | Description | Security Level |
 |---|---|---|
-| `~/.dsh/settings.yaml` | Global security policies & bypass toggles | User R/W |
+| `~/.dsh/remote-mobile/settings.json` | Plugin config: bypass toggles, persistent-password hash, rate-limit & lockout policy | Local storage, `0o600` (Restricted to current user) |
 | `~/.dsh/remote-mobile/devices.json` | Authorized devices, sessions & IP audit statistics (contains long-lived tokens, `0o600`) | Local storage, restricted to current user |
 | `~/.dsh/remote-mobile/rsa-keys.json` | Server RSA keypair (public & private) | Local storage, `0o600` (Restricted to current user) |
 | `~/.dsh/remote-mobile/style-snippets.json` | Mobile style snippets (built-in toggles + custom CSS mini-plugins) | Local persistent storage |
@@ -434,6 +437,16 @@ If your log instead shows `service "remoteWebUiPairing" has been registered`, pl
    * If you wish to enforce the plugin's pairing code or persistent password even when entering through an external reverse proxy, configure the proxy to transparently pass client IPs or connect directly via the exposed DSH listening port (e.g. default port `3080` or custom mapped ports).
 </details>
 
+<details>
+<summary><b>Q8: After upgrading to DSH 0.1.7+ (including 0.2.x), <code>~/.dsh/settings.yaml</code> is gone / my settings were lost?</b></summary>
+
+**Answer**: This is an **official DSH behavior change introduced in 0.1.7** (first noted in the v0.1.7-alpha.1 release notes; continued in 0.2.x), unrelated to this plugin:
+
+- Since DSH **0.1.7**, `~/.dsh/settings.yaml` is **no longer treated as a live configuration source**. On boot it is imported **once** by the official `dsh-settings` `importLegacyDocument()` into the active profile's `~/.dsh/profiles/<profile>/cordis.patch.yml`, then the original file is **renamed to `settings.yaml.imported`** (it renames first, then imports; a section with no matching entry is skipped, kept only in that file, and never retried). The official v0.1.7-alpha.1 release notes state that settings are now persisted as the current profile's plugin configuration (with declared live-update fields), and the legacy `settings.yaml` is imported only once — custom settings plugins must adapt.
+- So after upgrading, `settings.yaml` disappearing and only `settings.yaml.imported` remaining is **expected**; model providers, locale, etc. should now be viewed/edited in the profile's `cordis.patch.yml`.
+- **As of v1.9.0**, this plugin persists its own config to `~/.dsh/remote-mobile/settings.json` and, on first launch, **migrates once from the legacy `settings.yaml` / `settings.yaml.imported`** (recovering the persistent-password hash, bypass toggles, rate limits, etc.). It no longer depends on DSH's settings.yaml. If you saw a "persistent password stopped working / limits reset" symptom, upgrading to v1.9.0 restores it automatically.
+</details>
+
 ---
 
 ## 📄 License

package/lib/auth/token.d.ts

@@ -1,20 +1,72 @@
 import { EventEmitter } from 'node:events';
 import type { IncomingMessage } from 'node:http';
 export declare const AUTH_COOKIE_NAME = "dsh_mobile_token";
+/** DSH_HOME 目录（支持 DSH_HOME 覆盖） */
+export declare const DSH_HOME: string;
+/** 插件自有数据目录 */
+export declare const REMOTE_MOBILE_DIR: string;
 export declare const DEFAULT_PERSIST_FILE: string;
+/** 插件自有配置持久化文件（DSH 0.1.7+ 起官方弃用 settings.yaml，插件改为自持存储） */
+export declare const SETTINGS_FILE: string;
+/** DSH 旧版全局设置文件（0.1.7+ 起仅作一次性迁移来源，启动时会被改名） */
 export declare const GLOBAL_SETTINGS_FILE: string;
+/** DSH 迁移后遗留的旧设置存档（legacy settings.yaml → settings.yaml.imported） */
+export declare const LEGACY_SETTINGS_IMPORTED_FILE: string;
 /**
  * 从 ~/.dsh/settings.yaml 中安全读取 dsh-remote-mobile 命名空间的最新配置
  */
 export declare function readFromSettingsYaml(filePath?: string): Partial<SessionStoreOptions>;
 /**
- * 从 ~/.dsh/settings.yaml 中读取全局语言偏好 (locale.preference)
+ * 从旧版 settings.yaml 文本内容中解析 locale.preference（返回 null 表示未命中）
+ */
+export declare function parseLocaleFromSettingsYaml(content: string): 'zh' | 'en' | null;
+/**
+ * 从 cordis.patch.yml 文本内容中解析 locale entry 的 config.preference（返回 null 表示未命中）
+ */
+export declare function parseLocaleFromPatch(content: string): 'zh' | 'en' | null;
+/**
+ * 读取 DSH 全局语言偏好。
+ *
+ * DSH 0.1.7+ 起配置真实落点为当前 profile 的 cordis.patch.yml（旧版 settings.yaml
+ * 已被一次性迁移并改名为 settings.yaml.imported），因此优先读取 profile patch，
+ * 再回退旧 settings.yaml / settings.yaml.imported。
+ *
+ * @param filePath 显式传入时按旧版 settings.yaml 格式解析（向后兼容与测试）。
  */
 export declare function readGlobalLocale(filePath?: string): 'zh' | 'en';
 /**
- * 将最新的插件配置安全原子写回 ~/.dsh/settings.yaml 中的 dsh-remote-mobile 命名空间
+ * 读取插件自有持久化配置文件 ~/.dsh/remote-mobile/settings.json
+ *
+ * 注：若文件中 secretHash 为空串 ""（表示用户清空了密码），此处会跳过赋值以归一化为 undefined。
+ * 上层 resolveInitialStoreOptions 必须根据文件存在性（own !== null）做出决策，严禁在自有配置存在时用 legacy 兜底回退。
+ */
+export declare function readPluginSettingsJson(filePath?: string): Partial<SessionStoreOptions>;
+/**
+ * 将插件配置原子写回自有配置文件 ~/.dsh/remote-mobile/settings.json（权限 0600）。
+ *
+ * DSH 0.1.7+ 起官方已弃用 ~/.dsh/settings.yaml 作为实时配置源（启动时一次性迁移为
+ * settings.yaml.imported），因此插件不再依赖该文件，改为自持存储，避免升级后配置丢失。
+ */
+export declare function writePluginSettingsJson(options: SessionStoreOptions, filePath?: string): boolean;
+/**
+ * 兼容读取 DSH 旧版 settings.yaml / 迁移后的 settings.yaml.imported 中的
+ * dsh-remote-mobile 段，用于首次启动时把旧配置迁移到自有 settings.json。
+ */
+export declare function readLegacyDshSettings(liveFile?: string, importedFile?: string): Partial<SessionStoreOptions>;
+/**
+ * 解析 SessionStore 的初始运行配置（纯函数决策逻辑）。
+ *
+ * 优先级与防反噬规则：
+ * 1. 显式传入的 explicit 参数优先级最高；
+ * 2. 若自有配置文件已存在（own !== null），则以自有配置 own 为准，此时 legacy 配置被彻底忽略（防止已清空的密码死灰复燃）；
+ * 3. 仅当自有配置文件尚不存在（own === null，即首次安装或旧版升级）时，才回退读取 legacy 配置进行一次性迁移；
+ * 4. 最终缺失项采用系统安全默认值。
+ *
+ * @param explicit 构造函数传入的显式参数
+ * @param own 插件自有 settings.json 内容；null 表示文件尚不存在（首次启动迁移状态）
+ * @param legacy 旧版 settings.yaml / settings.yaml.imported 内容
  */
-export declare function writeBackToSettingsYaml(options: SessionStoreOptions, filePath?: string): boolean;
+export declare function resolveInitialStoreOptions(explicit?: SessionStoreOptions, own?: Partial<SessionStoreOptions> | null, legacy?: Partial<SessionStoreOptions>): Required<SessionStoreOptions>;
 export interface SessionRecord {
     token: string;
     createdAt: number;

package/lib/auth/token.js

@@ -1,13 +1,22 @@
 import { randomBytes, randomInt } from 'node:crypto';
-import { existsSync, readFileSync, writeFileSync, mkdirSync, renameSync, unlinkSync, chmodSync } from 'node:fs';
+import { existsSync, readFileSync, writeFileSync, mkdirSync, renameSync, unlinkSync, chmodSync, readdirSync } from 'node:fs';
 import { dirname, join } from 'node:path';
 import { homedir } from 'node:os';
 import { EventEmitter } from 'node:events';
 import { hashSecret, verifySecretHash } from './crypto.js';
 import { isTailscaleIp, isLanIp } from './tailscale.js';
 export const AUTH_COOKIE_NAME = 'dsh_mobile_token';
-export const DEFAULT_PERSIST_FILE = join(homedir(), '.dsh', 'remote-mobile', 'devices.json');
-export const GLOBAL_SETTINGS_FILE = join(homedir(), '.dsh', 'settings.yaml');
+/** DSH_HOME 目录（支持 DSH_HOME 覆盖） */
+export const DSH_HOME = process.env.DSH_HOME || join(homedir(), '.dsh');
+/** 插件自有数据目录 */
+export const REMOTE_MOBILE_DIR = join(DSH_HOME, 'remote-mobile');
+export const DEFAULT_PERSIST_FILE = join(REMOTE_MOBILE_DIR, 'devices.json');
+/** 插件自有配置持久化文件（DSH 0.1.7+ 起官方弃用 settings.yaml，插件改为自持存储） */
+export const SETTINGS_FILE = join(REMOTE_MOBILE_DIR, 'settings.json');
+/** DSH 旧版全局设置文件（0.1.7+ 起仅作一次性迁移来源，启动时会被改名） */
+export const GLOBAL_SETTINGS_FILE = join(DSH_HOME, 'settings.yaml');
+/** DSH 迁移后遗留的旧设置存档（legacy settings.yaml → settings.yaml.imported） */
+export const LEGACY_SETTINGS_IMPORTED_FILE = join(DSH_HOME, 'settings.yaml.imported');
 /**
  * 从 ~/.dsh/settings.yaml 中安全读取 dsh-remote-mobile 命名空间的最新配置
  */
@@ -72,63 +81,143 @@ export function readFromSettingsYaml(filePath = GLOBAL_SETTINGS_FILE) {
     }
 }
 /**
- * 从 ~/.dsh/settings.yaml 中读取全局语言偏好 (locale.preference)
+ * 从旧版 settings.yaml 文本内容中解析 locale.preference（返回 null 表示未命中）
  */
-export function readGlobalLocale(filePath = GLOBAL_SETTINGS_FILE) {
+export function parseLocaleFromSettingsYaml(content) {
+    const match = content.match(/^locale:\s*\r?\n\s+preference:\s*['"]?([a-zA-Z_-]+)['"]?/m);
+    if (match && match[1])
+        return match[1].toLowerCase().startsWith('en') ? 'en' : 'zh';
+    return null;
+}
+/**
+ * 从 cordis.patch.yml 文本内容中解析 locale entry 的 config.preference（返回 null 表示未命中）
+ */
+export function parseLocaleFromPatch(content) {
+    const lines = content.split(/\r?\n/);
+    for (let i = 0; i < lines.length; i++) {
+        // 精确匹配 `- id: locale`（避免误命中 locale-xxx 等其它 entry）
+        if (!/^\s*-\s*id:\s*['"]?locale['"]?\s*$/.test(lines[i]))
+            continue;
+        for (let j = i + 1; j < Math.min(i + 40, lines.length); j++) {
+            // 进入下一个 patch entry，说明本条已结束
+            if (/^\s*-\s*id:/.test(lines[j]))
+                break;
+            const m = lines[j].match(/^\s*preference:\s*['"]?([a-zA-Z_-]+)['"]?/);
+            if (m && m[1])
+                return m[1].toLowerCase().startsWith('en') ? 'en' : 'zh';
+        }
+    }
+    return null;
+}
+function readLocaleFromFile(filePath, parser) {
     try {
         if (!existsSync(filePath))
-            return 'zh';
-        const content = readFileSync(filePath, 'utf8');
-        const match = content.match(/^locale:\s*\r?\n\s+preference:\s*['"]?([a-zA-Z_-]+)['"]?/m);
-        if (match && match[1]) {
-            return match[1].toLowerCase().startsWith('en') ? 'en' : 'zh';
-        }
-        return 'zh';
+            return null;
+        return parser(readFileSync(filePath, 'utf8'));
     }
     catch {
-        return 'zh';
+        return null;
     }
 }
 /**
- * 将最新的插件配置安全原子写回 ~/.dsh/settings.yaml 中的 dsh-remote-mobile 命名空间
+ * 读取 DSH 全局语言偏好。
+ *
+ * DSH 0.1.7+ 起配置真实落点为当前 profile 的 cordis.patch.yml（旧版 settings.yaml
+ * 已被一次性迁移并改名为 settings.yaml.imported），因此优先读取 profile patch，
+ * 再回退旧 settings.yaml / settings.yaml.imported。
+ *
+ * @param filePath 显式传入时按旧版 settings.yaml 格式解析（向后兼容与测试）。
  */
-export function writeBackToSettingsYaml(options, filePath = GLOBAL_SETTINGS_FILE) {
-    const tmpPath = `${filePath}.${process.pid}.${Date.now()}.tmp`;
+export function readGlobalLocale(filePath) {
+    if (filePath) {
+        return readLocaleFromFile(filePath, parseLocaleFromSettingsYaml) ?? 'zh';
+    }
+    // 1. 当前 profile 的 cordis.patch.yml（web 优先，其余按目录名排序兜底）
     try {
-        if (!existsSync(filePath))
-            return false;
-        const content = readFileSync(filePath, 'utf8');
-        const ns = 'dsh-remote-mobile:';
-        const fields = [
-            'dsh-remote-mobile:',
-            `  allowTailscale: ${Boolean(options.allowTailscale)}`,
-            `  allowLan: ${Boolean(options.allowLan)}`,
-            `  secretHash: ${options.secretHash ? `'${options.secretHash}'` : `''`}`,
-            `  maxFailedAttempts: ${options.maxFailedAttempts || 5}`,
-            `  lockDurationMs: ${options.lockDurationMs || 900000}`,
-            `  maxVisitsPerMinute: ${options.maxVisitsPerMinute || 60}`,
-        ];
-        const newBlock = fields.join('\n');
-        const lines = content.split(/\r?\n/);
-        const startIdx = lines.findIndex((l) => l.trim() === ns);
-        let updatedContent = '';
-        if (startIdx === -1) {
-            updatedContent = content.trimEnd() + '\n\n' + newBlock + '\n';
+        const profilesDir = join(DSH_HOME, 'profiles');
+        let names = [];
+        try {
+            names = readdirSync(profilesDir, { withFileTypes: true })
+                .filter((e) => e.isDirectory())
+                .map((e) => e.name)
+                .sort((a, b) => (a === 'web' ? -1 : b === 'web' ? 1 : a.localeCompare(b)));
         }
-        else {
-            let endIdx = lines.length;
-            for (let i = startIdx + 1; i < lines.length; i++) {
-                const line = lines[i];
-                if (line.length > 0 && !line.startsWith(' ') && !line.startsWith('\t') && line.includes(':')) {
-                    endIdx = i;
-                    break;
-                }
-            }
-            lines.splice(startIdx, endIdx - startIdx, newBlock);
-            updatedContent = lines.join('\n');
+        catch { }
+        const candidates = [
+            ...names.map((n) => join(profilesDir, n, 'cordis.patch.yml')),
+            join(DSH_HOME, 'cordis.patch.yml'),
+        ];
+        for (const c of candidates) {
+            const loc = readLocaleFromFile(c, parseLocaleFromPatch);
+            if (loc)
+                return loc;
         }
-        writeFileSync(tmpPath, updatedContent, 'utf8');
+    }
+    catch { }
+    // 2. 回退旧版 settings.yaml / settings.yaml.imported
+    for (const p of [GLOBAL_SETTINGS_FILE, LEGACY_SETTINGS_IMPORTED_FILE]) {
+        const loc = readLocaleFromFile(p, parseLocaleFromSettingsYaml);
+        if (loc)
+            return loc;
+    }
+    return 'zh';
+}
+/**
+ * 读取插件自有持久化配置文件 ~/.dsh/remote-mobile/settings.json
+ *
+ * 注：若文件中 secretHash 为空串 ""（表示用户清空了密码），此处会跳过赋值以归一化为 undefined。
+ * 上层 resolveInitialStoreOptions 必须根据文件存在性（own !== null）做出决策，严禁在自有配置存在时用 legacy 兜底回退。
+ */
+export function readPluginSettingsJson(filePath = SETTINGS_FILE) {
+    try {
+        if (!existsSync(filePath))
+            return {};
+        const data = JSON.parse(readFileSync(filePath, 'utf8'));
+        if (!data || typeof data !== 'object' || Array.isArray(data))
+            return {};
+        const result = {};
+        if (typeof data.allowTailscale === 'boolean')
+            result.allowTailscale = data.allowTailscale;
+        if (typeof data.allowLan === 'boolean')
+            result.allowLan = data.allowLan;
+        if (typeof data.secretHash === 'string' && data.secretHash)
+            result.secretHash = data.secretHash;
+        if (typeof data.maxFailedAttempts === 'number' && data.maxFailedAttempts > 0)
+            result.maxFailedAttempts = data.maxFailedAttempts;
+        if (typeof data.lockDurationMs === 'number' && data.lockDurationMs > 0)
+            result.lockDurationMs = data.lockDurationMs;
+        if (typeof data.maxVisitsPerMinute === 'number' && data.maxVisitsPerMinute > 0)
+            result.maxVisitsPerMinute = data.maxVisitsPerMinute;
+        return result;
+    }
+    catch {
+        return {};
+    }
+}
+/**
+ * 将插件配置原子写回自有配置文件 ~/.dsh/remote-mobile/settings.json（权限 0600）。
+ *
+ * DSH 0.1.7+ 起官方已弃用 ~/.dsh/settings.yaml 作为实时配置源（启动时一次性迁移为
+ * settings.yaml.imported），因此插件不再依赖该文件，改为自持存储，避免升级后配置丢失。
+ */
+export function writePluginSettingsJson(options, filePath = SETTINGS_FILE) {
+    const tmpPath = `${filePath}.${process.pid}.${Date.now()}.tmp`;
+    try {
+        mkdirSync(dirname(filePath), { recursive: true });
+        const payload = {
+            allowTailscale: Boolean(options.allowTailscale),
+            allowLan: Boolean(options.allowLan),
+            secretHash: options.secretHash || '',
+            maxFailedAttempts: options.maxFailedAttempts || 5,
+            lockDurationMs: options.lockDurationMs || 900000,
+            maxVisitsPerMinute: options.maxVisitsPerMinute || 60,
+        };
+        writeFileSync(tmpPath, JSON.stringify(payload, null, 2), { encoding: 'utf8', mode: 0o600 });
         renameSync(tmpPath, filePath);
+        try {
+            chmodSync(filePath, 0o600);
+        }
+        catch { }
         return true;
     }
     catch {
@@ -140,6 +229,56 @@ export function writeBackToSettingsYaml(options, filePath = GLOBAL_SETTINGS_FILE
         return false;
     }
 }
+/**
+ * 兼容读取 DSH 旧版 settings.yaml / 迁移后的 settings.yaml.imported 中的
+ * dsh-remote-mobile 段，用于首次启动时把旧配置迁移到自有 settings.json。
+ */
+export function readLegacyDshSettings(liveFile = GLOBAL_SETTINGS_FILE, importedFile = LEGACY_SETTINGS_IMPORTED_FILE) {
+    return { ...readFromSettingsYaml(importedFile), ...readFromSettingsYaml(liveFile) };
+}
+/**
+ * 解析 SessionStore 的初始运行配置（纯函数决策逻辑）。
+ *
+ * 优先级与防反噬规则：
+ * 1. 显式传入的 explicit 参数优先级最高；
+ * 2. 若自有配置文件已存在（own !== null），则以自有配置 own 为准，此时 legacy 配置被彻底忽略（防止已清空的密码死灰复燃）；
+ * 3. 仅当自有配置文件尚不存在（own === null，即首次安装或旧版升级）时，才回退读取 legacy 配置进行一次性迁移；
+ * 4. 最终缺失项采用系统安全默认值。
+ *
+ * @param explicit 构造函数传入的显式参数
+ * @param own 插件自有 settings.json 内容；null 表示文件尚不存在（首次启动迁移状态）
+ * @param legacy 旧版 settings.yaml / settings.yaml.imported 内容
+ */
+export function resolveInitialStoreOptions(explicit = {}, own = null, legacy = {}) {
+    // 当自有配置文件已存在时，legacy 彻底失效；仅在 own 为 null 时继承 legacy
+    const base = own !== null ? own : legacy;
+    const merged = { ...base, ...explicit };
+    // 密码优先级：explicit > base（base 即 own 或 legacy，已由上面的门控决定；
+    // 自有配置存在但未设密码时 base 无密码，保持为空，绝不回退 legacy）
+    let secretHash = '';
+    if (typeof explicit.secretHash === 'string' && explicit.secretHash) {
+        secretHash = explicit.secretHash;
+    }
+    else if (typeof explicit.secret === 'string' && explicit.secret) {
+        secretHash = hashSecret(explicit.secret);
+    }
+    else if (typeof base.secretHash === 'string' && base.secretHash) {
+        secretHash = base.secretHash;
+    }
+    else if (typeof base.secret === 'string' && base.secret) {
+        secretHash = hashSecret(base.secret);
+    }
+    return {
+        allowTailscale: merged.allowTailscale ?? false,
+        allowLan: merged.allowLan ?? false,
+        secret: '',
+        secretHash,
+        devicesFile: merged.devicesFile ?? DEFAULT_PERSIST_FILE,
+        maxFailedAttempts: merged.maxFailedAttempts ?? 5,
+        lockDurationMs: merged.lockDurationMs ?? 15 * 60 * 1000,
+        maxVisitsPerMinute: merged.maxVisitsPerMinute ?? 60,
+    };
+}
 /**
  * 将 User-Agent 字符串解析为人类友好的设备名称
  */
@@ -198,37 +337,23 @@ export class SessionStore extends EventEmitter {
     constructor(options = {}) {
         super();
         this.setMaxListeners(100);
-        // 严密隔离单测环境：当处于 node --test 环境或使用了自定义设备文件时，严禁读写全局 settings.yaml
+        // 严密隔离单测环境：当处于 node --test 环境或使用了自定义设备文件时，严禁读写全局配置文件
         const isTestEnv = Boolean(process.env.NODE_TEST_CONTEXT ||
             process.argv.some((arg) => arg.includes('test')) ||
             (options.devicesFile && options.devicesFile !== DEFAULT_PERSIST_FILE));
-        this.settingsFilePath = isTestEnv ? null : GLOBAL_SETTINGS_FILE;
-        const yamlOpts = isTestEnv ? {} : readFromSettingsYaml(GLOBAL_SETTINGS_FILE);
-        const mergedOpts = { ...yamlOpts, ...options };
-        let secretHash = '';
-        if (typeof options.secretHash === 'string' && options.secretHash) {
-            secretHash = options.secretHash;
-        }
-        else if (typeof options.secret === 'string' && options.secret) {
-            secretHash = hashSecret(options.secret);
-        }
-        else if (typeof yamlOpts.secretHash === 'string' && yamlOpts.secretHash) {
-            secretHash = yamlOpts.secretHash;
-        }
-        else if (typeof yamlOpts.secret === 'string' && yamlOpts.secret) {
-            secretHash = hashSecret(yamlOpts.secret);
-        }
-        this.options = {
-            allowTailscale: mergedOpts.allowTailscale ?? false,
-            allowLan: mergedOpts.allowLan ?? false,
-            secret: '',
-            secretHash,
-            devicesFile: mergedOpts.devicesFile ?? DEFAULT_PERSIST_FILE,
-            maxFailedAttempts: mergedOpts.maxFailedAttempts ?? 5,
-            lockDurationMs: mergedOpts.lockDurationMs ?? 15 * 60 * 1000,
-            maxVisitsPerMinute: mergedOpts.maxVisitsPerMinute ?? 60,
-        };
+        this.settingsFilePath = isTestEnv ? null : SETTINGS_FILE;
+        // 仅在自有 settings.json 尚不存在时，才尝试读取旧版 settings.yaml / settings.yaml.imported 进行一次性兼容迁移；
+        // 一旦 settings.json 存在，即以自有配置为准，杜绝旧文件中已废弃的密码或参数在重启后反向覆盖当前配置。
+        const hasOwnSettings = !isTestEnv && existsSync(SETTINGS_FILE);
+        const ownOpts = isTestEnv ? {} : (hasOwnSettings ? readPluginSettingsJson(SETTINGS_FILE) : null);
+        const legacyOpts = isTestEnv || hasOwnSettings ? {} : readLegacyDshSettings();
+        this.options = resolveInitialStoreOptions(options, ownOpts, legacyOpts);
         this.persistPath = this.options.devicesFile;
+        // 首次启动迁移：自有配置不存在但旧 settings.yaml / settings.yaml.imported 中仍有配置时，
+        // 落盘一次到自有 settings.json，把旧配置（如长期密码哈希、限频）救回。
+        if (!isTestEnv && !hasOwnSettings && Object.keys(legacyOpts).length > 0) {
+            writePluginSettingsJson(this.options, SETTINGS_FILE);
+        }
         this.loadPersistedData();
         activeStores.add(this);
     }
@@ -275,9 +400,10 @@ export class SessionStore extends EventEmitter {
                 }
                 catch { }
             }
-            // 仅在非测试环境或指定了 settingsFilePath 时，同步持久化至 ~/.dsh/settings.yaml
+            // 同步持久化到插件自有配置文件 ~/.dsh/remote-mobile/settings.json
+            // （DSH 0.1.7+ 起官方已弃用 ~/.dsh/settings.yaml 作为实时配置源）
             if (this.settingsFilePath) {
-                writeBackToSettingsYaml(this.options, this.settingsFilePath);
+                writePluginSettingsJson(this.options, this.settingsFilePath);
             }
         }
         // 1. 如果关闭了 Tailscale 免密直连，自动清理所有 Tailscale 免密设备，并将审计状态重置为 ⚪ 待认证

package/lib/client.js

@@ -782,8 +782,8 @@ var translations = {
     storageStylesFile: "\u79FB\u52A8\u7AEF\u6837\u5F0F\u7247\u6BB5\u6587\u4EF6 (\u53EF\u72EC\u7ACB\u542F\u505C\u7684 CSS \u5C0F\u63D2\u4EF6)\uFF1A",
     // 卡片 7: 全局高级配置
     configCardTitle: "\u5168\u5C40\u9AD8\u7EA7\u5B89\u5168\u53C2\u6570\u914D\u7F6E",
-    configCardDesc: "\u8C03\u6574\u5355 IP \u8BBF\u95EE\u9891\u7387\u9650\u5236\u3001\u8F93\u9519\u5C01\u7981\u9608\u503C\u4E0E\u9501\u5B9A\u6301\u7EED\u65F6\u95F4\u3002\u70B9\u51FB\u4FDD\u5B58\u5C06\u7ACB\u5373\u751F\u6548\u5E76\u81EA\u52A8\u540C\u6B65\u5199\u56DE ~/.dsh/settings.yaml \u914D\u7F6E\u6587\u4EF6\u3002",
-    copySettingsPathBtn: "\u{1F4CB} \u590D\u5236 settings.yaml \u8DEF\u5F84",
+    configCardDesc: "\u8C03\u6574\u5355 IP \u8BBF\u95EE\u9891\u7387\u9650\u5236\u3001\u8F93\u9519\u5C01\u7981\u9608\u503C\u4E0E\u9501\u5B9A\u6301\u7EED\u65F6\u95F4\u3002\u70B9\u51FB\u4FDD\u5B58\u5C06\u7ACB\u5373\u751F\u6548\u5E76\u4FDD\u5B58\u5230 ~/.dsh/remote-mobile/settings.json\u3002",
+    copySettingsPathBtn: "\u{1F4CB} \u590D\u5236 settings.json \u8DEF\u5F84",
     fieldVisitsLimit: "\u23F1\uFE0F \u6BCF\u5206\u949F\u8BBF\u95EE\u4E0A\u9650 (\u6B21/\u5206)",
     fieldVisitsLimitHint: "\u5355 IP 1\u5206\u949F\u5185\u6253\u5F00\u767B\u5F55\u9875\u8D85\u8FC7\u6B64\u503C\u5C06\u89E6\u53D1\u9650\u9891",
     fieldFailedLimit: "\u{1F6E1}\uFE0F \u8F93\u9519\u5BC6\u7801\u5C01\u7981\u9608\u503C (\u6B21)",
@@ -793,9 +793,9 @@ var translations = {
     restoreDefaultsBtn: "\u{1F504} \u6062\u590D\u9ED8\u8BA4\u53C2\u6570",
     saveConfigBtn: "\u{1F4BE} \u4FDD\u5B58\u53C2\u6570\u914D\u7F6E",
     savingConfigBtn: "\u6B63\u5728\u4FDD\u5B58...",
-    saveConfigConfirm: "\u786E\u5B9A\u8981\u4FDD\u5B58\u5F53\u524D\u9AD8\u7EA7\u5B89\u5168\u53C2\u6570\u914D\u7F6E\u5417\uFF1F\u4FDD\u5B58\u540E\u5C06\u7ACB\u5373\u751F\u6548\u5E76\u81EA\u52A8\u540C\u6B65\u5199\u56DE ~/.dsh/settings.yaml\u3002",
+    saveConfigConfirm: "\u786E\u5B9A\u8981\u4FDD\u5B58\u5F53\u524D\u9AD8\u7EA7\u5B89\u5168\u53C2\u6570\u914D\u7F6E\u5417\uFF1F\u4FDD\u5B58\u540E\u5C06\u7ACB\u5373\u751F\u6548\u5E76\u4FDD\u5B58\u5230 ~/.dsh/remote-mobile/settings.json\u3002",
     restoreDefaultsConfirm: "\u786E\u5B9A\u8981\u5C06\u5B89\u5168\u53C2\u6570\u6062\u590D\u4E3A\u7CFB\u7EDF\u9ED8\u8BA4\u503C\uFF0860\u6B21/\u5206\u30015\u6B21\u5931\u8D25\u3001\u9501\u5B9A15\u5206\u949F\uFF09\u5417\uFF1F\u786E\u8BA4\u540E\u5C06\u76F4\u63A5\u751F\u6548\u5E76\u81EA\u52A8\u540C\u6B65\u3002",
-    saveConfigSuccessToast: "\u9AD8\u7EA7\u5B89\u5168\u53C2\u6570\u5DF2\u6210\u529F\u4FDD\u5B58\u5E76\u540C\u6B65\u5230 settings.yaml\uFF01",
+    saveConfigSuccessToast: "\u9AD8\u7EA7\u5B89\u5168\u53C2\u6570\u5DF2\u6210\u529F\u4FDD\u5B58\u5E76\u540C\u6B65\u5230 settings.json\uFF01",
     restoreDefaultsSuccessToast: "\u5DF2\u6210\u529F\u6062\u590D\u9ED8\u8BA4\u5B89\u5168\u53C2\u6570\u5E76\u7ACB\u5373\u751F\u6548\uFF01",
     saveConfigFailTip: "\u53C2\u6570\u5FC5\u987B\u4E3A\u5927\u4E8E 0 \u7684\u6709\u6548\u6574\u6570",
     // 卡片 8: 移动端样式片段（样式小插件）
@@ -936,8 +936,8 @@ var translations = {
     storageStylesFile: "Mobile style snippets file (toggleable CSS mini-plugins):",
     // Card 7: Advanced Security Config
     configCardTitle: "Global Security Policy Configuration",
-    configCardDesc: "Configure per-IP rate limits, brute-force failure thresholds, and lockout durations. Changes take effect immediately and sync to ~/.dsh/settings.yaml.",
-    copySettingsPathBtn: "\u{1F4CB} Copy settings.yaml Path",
+    configCardDesc: "Configure per-IP rate limits, brute-force failure thresholds, and lockout durations. Changes take effect immediately and are saved to ~/.dsh/remote-mobile/settings.json.",
+    copySettingsPathBtn: "\u{1F4CB} Copy settings.json Path",
     fieldVisitsLimit: "\u23F1\uFE0F Max Visits per Minute (visits/min)",
     fieldVisitsLimitHint: "Rate limit triggered when a single IP opens login page more than this value",
     fieldFailedLimit: "\u{1F6E1}\uFE0F Max Failed Password Attempts (times)",
@@ -947,9 +947,9 @@ var translations = {
     restoreDefaultsBtn: "\u{1F504} Restore Defaults",
     saveConfigBtn: "\u{1F4BE} Save Configuration",
     savingConfigBtn: "Saving...",
-    saveConfigConfirm: "Are you sure you want to save the current security policy? It will take effect immediately and sync to ~/.dsh/settings.yaml.",
+    saveConfigConfirm: "Are you sure you want to save the current security policy? It will take effect immediately and be saved to ~/.dsh/remote-mobile/settings.json.",
     restoreDefaultsConfirm: "Are you sure you want to restore security policies to default values (60 visits/min, 5 failed attempts, 15m lockout)? It will take effect immediately.",
-    saveConfigSuccessToast: "Security policy successfully saved and synced to settings.yaml!",
+    saveConfigSuccessToast: "Security policy successfully saved and synced to settings.json!",
     restoreDefaultsSuccessToast: "Default security policies restored and applied immediately!",
     saveConfigFailTip: "Parameters must be valid integers greater than 0",
     // Card 8: Mobile Style Snippets (style mini-plugin)
@@ -2783,8 +2783,8 @@ function ConfigCard({
                   onClick: () => {
                     if (typeof copyText === "function") {
                       copyText(
-                        "~/.dsh/settings.yaml",
-                        lang === "en" ? "Settings path copied (~/.dsh/settings.yaml)" : "\u5DF2\u590D\u5236\u914D\u7F6E\u6587\u4EF6\u8DEF\u5F84\uFF08~/.dsh/settings.yaml\uFF09"
+                        "~/.dsh/remote-mobile/settings.json",
+                        lang === "en" ? "Settings path copied (~/.dsh/remote-mobile/settings.json)" : "\u5DF2\u590D\u5236\u914D\u7F6E\u6587\u4EF6\u8DEF\u5F84\uFF08~/.dsh/remote-mobile/settings.json\uFF09"
                       );
                     }
                   },
@@ -3538,8 +3538,8 @@ function StylesCard({ lang, showToast }) {
 }
 
 // src/client/version.js
-var PLUGIN_VERSION = "v1.8.0";
-var BUILD_TIME = "2026-10-08 20:18:19";
+var PLUGIN_VERSION = "v1.9.1";
+var BUILD_TIME = "2026-10-17 19:11:57";
 
 // src/client/components/MainSection.jsx
 var import_jsx_runtime9 = require("react/jsx-runtime");

package/lib/index.d.ts

@@ -9,7 +9,8 @@
  * 4. Tailscale 虚拟私网与局域网 LAN 智能免密直连切换；
  * 5. 防暴力破解限流与单 IP 异常访问熔断审计；
  * 6. 全链路网络上下文虚拟化桥接与 @linxin666 生态无缝兼容。
- * 7. 接入 DSH Settings 服务，配置统一持久化于 ~/.dsh/settings.yaml 的 dsh-remote-mobile 命名空间。
+ * 7. 配置持久化于插件自有文件 ~/.dsh/remote-mobile/settings.json（DSH 0.1.7+ 起官方已弃用 settings.yaml），
+ *    启动时一次性兼容迁移旧 settings.yaml / settings.yaml.imported 中的配置。
  */
 import { type SessionStoreOptions } from './auth/token.js';
 /** Cordis 插件名称标识 */

package/lib/index.js

@@ -9,7 +9,8 @@
  * 4. Tailscale 虚拟私网与局域网 LAN 智能免密直连切换；
  * 5. 防暴力破解限流与单 IP 异常访问熔断审计；
  * 6. 全链路网络上下文虚拟化桥接与 @linxin666 生态无缝兼容。
- * 7. 接入 DSH Settings 服务，配置统一持久化于 ~/.dsh/settings.yaml 的 dsh-remote-mobile 命名空间。
+ * 7. 配置持久化于插件自有文件 ~/.dsh/remote-mobile/settings.json（DSH 0.1.7+ 起官方已弃用 settings.yaml），
+ *    启动时一次性兼容迁移旧 settings.yaml / settings.yaml.imported 中的配置。
  */
 import { SessionStore } from './auth/token.js';
 import { createGlobalAuthGate } from './auth/gate.js';
@@ -24,7 +25,11 @@ export const REMOTE_MOBILE_SETTINGS_NAMESPACE = 'dsh-remote-mobile';
 /** Cordis 依赖注入声明：声明注入底座内置的 webServer 服务 */
 export const inject = ['webServer'];
 /**
- * 注册并绑定 DSH Settings 服务（若存在）
+ * 尽力接入 DSH Settings 服务（若宿主提供旧版 register API）。
+ *
+ * 说明：DSH 0.1.7+ 起官方 dsh-settings 已改为基于 profile cordis.patch.yml 的
+ * Config 表单模型（无 register 方法），本函数在该版本下会安全跳过；插件的配置
+ * 持久化改由自有 settings.json 承担（见 token.ts）。
  */
 function bindDshSettings(ctx, store) {
     try {
@@ -39,19 +44,19 @@ function bindDshSettings(ctx, store) {
             base: store.getOptions(),
         });
         if (scope) {
-            // 1. 同步 settings.yaml 中的最新配置到 SessionStore
+            // 1. 同步宿主 Settings 中的最新配置到 SessionStore
             const initialVal = scope.get?.();
             if (initialVal && typeof initialVal === 'object') {
                 store.updateOptions(initialVal, false);
             }
-            // 2. 监听 settings.yaml 或 Web UI 配置变更
+            // 2. 监听宿主 Settings 或 Web UI 配置变更
             scope.watch?.(() => {
                 const updated = scope.get?.();
                 if (updated && typeof updated === 'object') {
                     store.updateOptions(updated, false);
                 }
             });
-            // 3. 绑定反向写入钩子：当插件 API 修改配置时同步写回 settings.yaml
+            // 3. 绑定反向写入钩子：插件 API 修改配置时同步写回宿主 Settings（旧版 API）
             store.setSettingsMutator((patch) => {
                 try {
                     const ops = Object.entries(patch).map(([field, value]) => ({

package/lib/routes/login-page.js

@@ -338,7 +338,7 @@ export function getLoginPageHtml(publicKeyPem, lang = 'zh') {
         if (document.baseURI && document.querySelector('base')) {
           return new URL('api/remote-mobile/verify', document.baseURI).toString();
         }
-        const pathname = window.location.pathname.replace(/\/auth\/?$/, '/');
+        const pathname = window.location.pathname.replace(new RegExp('/auth/?$'), '/');
         return new URL('api/remote-mobile/verify', window.location.origin + pathname).toString();
       } catch (e) {
         return '/api/remote-mobile/verify';
@@ -350,7 +350,7 @@ export function getLoginPageHtml(publicKeyPem, lang = 'zh') {
         // 预留参数能力：支持通过 ?redirect=/path 携带登录后重定向目标
         const redirectParam = urlParams.get('redirect');
         if (redirectParam && redirectParam.startsWith('/') && !redirectParam.startsWith('//')) {
-          const appPrefix = window.location.pathname.replace(/\/auth\/?$/, '');
+          const appPrefix = window.location.pathname.replace(new RegExp('/auth/?$'), '');
           if (appPrefix && redirectParam.startsWith(appPrefix)) {
             return window.location.origin + redirectParam;
           }
@@ -359,7 +359,7 @@ export function getLoginPageHtml(publicKeyPem, lang = 'zh') {
         if (document.baseURI && document.querySelector('base')) {
           return new URL('./', document.baseURI).toString();
         }
-        const appPrefix = window.location.pathname.replace(/\/auth\/?$/, '/');
+        const appPrefix = window.location.pathname.replace(new RegExp('/auth/?$'), '/');
         return window.location.origin + appPrefix;
       } catch (e) {
         return '/';

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-remote-mobile",
-  "version": "1.8.0",
+  "version": "1.9.1",
   "description": "DeepSeek Harness 远程与移动端安全网关插件：零修改 DSH 底层代码安全开放局域网与 Tailscale 连接 | DeepSeek Harness (DSH) Remote & Mobile Security Guard: safely opens Tailscale/LAN with zero core modifications, QR scan auth, RSA encryption & brute-force defense.",
   "keywords": [
     "dsh",