dsh-remote-panel 0.1.0 → 0.2.2

package/README.md

@@ -47,6 +47,48 @@ dsh plugin --profile web add dsh-remote-panel
 
 ---
 
+## 可选 HTTPS（内部 CA）
+
+默认是明文 HTTP。要装成 Android 独立应用，勾上向导里的「启用 HTTPS」重新部署即可，其余不变：
+
+- Caddyfile 会变成 `10.140.140.223:8710 { tls internal … }`，`auto_https` 从 `off` 改成
+  `disable_redirects`——**`off` 会把证书自动化一起关掉**，`tls internal` 就签不出证书（实测握手
+  `no certificate available`）。
+- 站点地址必须带 IP：内部 CA 按名字签，空 host 的 `:8710` 签不出来；签出来的是
+  `IP Address:10.140.140.223` 的证书。
+- 配对二维码/链接、安装脚本打印的地址、面板里的地址都会跟着变成 `https://`。
+
+手机第一次要信任根证书：面板「远程访问 → 手机全屏」里有 **下载根证书**（`/remote-panel/app/ca.crt`，就是
+Caddy 的 `pki/authorities/local/root.crt`）。
+
+- Android：设置 → 安全 → 加密与凭据 → 安装证书 → CA 证书。
+- iOS：下载后到 设置 → 通用 → 关于本机 → 证书信任设置 里打开信任。
+
+## 手机 App（WebView 壳）
+
+PWA「安装应用」在国行 Android 上装不成：WebAPK 打包依赖 Google Play 服务，且打包服务器要能从公网
+访问源站（我们是内网 IP）。所以仓库里带了一个极简 WebView 壳：
+
+```bash
+./android/build.sh            # 需要 ANDROID_HOME（build-tools 34 + platform 34）与 JDK 17
+# 产物：android/dsh-pocket.apk
+```
+
+- 启动地址是 `/remote-panel/app/go.html`：插件每次启动时重写这一页，写入当前令牌，
+  先种门禁 Cookie 再跳首页，所以壳里不用登录；
+- `network_security_config` 显式信任 **user CA**，否则 WebView 不认装在用户凭据里的 Caddy 根证书；
+- 装好后的 APK 放在 `~/.dsh/remote-panel-app/dsh.apk`，手机直接访问
+  `https://<ip>:8710/remote-panel/app/dsh.apk` 下载安装即可。
+
+## 手机 App 化
+
+- **iPhone / iPad**：浏览器「分享 → 添加到主屏幕」，从桌面图标打开就是无地址栏的全屏。
+  （iOS 不认 manifest 的 display，靠注入的 `apple-mobile-web-app-capable` + `apple-touch-icon`。）
+- **Android**：真正「安装应用」需要 HTTPS；没有 HTTPS 时用 **设置 → 远程访问 → 手机全屏 → 进入全屏**
+  （Fullscreen API，隐藏浏览器 UI）。
+- 配套优化：`viewport-fit=cover` + 安全区（刘海 / Home 指示条）、`interactive-widget=resizes-content`
+  （键盘挤压布局而不是盖住输入条）、`theme-color`（深浅两套）、`overscroll-behavior: none`（无下拉刷新）。
+
 ## 安全模型
 
 三层，从外到内：
@@ -70,7 +112,7 @@ dsh plugin --profile web add dsh-remote-panel
 | 现象 | 含义 | 处置 |
 |---|---|---|
 | 连接被拒绝 | 网络层或 Caddy 没起 | `systemctl --user status dsh-proxy`、`easytier-cli peer` |
-| `403 source not allowed` | 来源不在白名单 | 面板「来源白名单」加设备，或在家连 Wi-Fi |
+| `403 source not allowed` | 来源不在白名单 | 面板「来源白名单」加设备；若手机组网地址变过（.2 → .3），确认名单里有组网网段 `10.x.0.0/24` |
 | `401 access key required` | 缺门禁 Cookie | 用 `?k=` 那条链接重开一次 |
 | `401 dsh web authentication required` | 已到 DSH，缺令牌 | 用 `?token=` 那条链接重开一次 |
 | `/healthz` 返回 200 | 链路本身健康 | 问题在认证层，不在网络层 |

package/deploy/templates/Caddyfile.tmpl

@@ -2,10 +2,12 @@
 # 生成者：dsh-remote-panel @@VERSION@@
 {
 	# admin API 保持默认（仅本机 2019）：白名单热重载依赖 `caddy reload`
-	auto_https off
+	# 走 TLS 时不能用 off（会把证书自动化一起关掉），改成 disable_redirects
+	auto_https @@AUTO_HTTPS@@
 }
 
-:@@PORT@@ {
+@@SITE_ADDR@@ {
+@@TLS_LINE@@
 	# 访问日志进 journal，供面板「最近拒绝」使用
 	log {
 		output stderr
@@ -14,21 +16,47 @@
 	}
 
 	# 第一层：来源白名单
-	@lan remote_ip 127.0.0.1 ::1 @@LAN_CIDR@@ @@VIRTUAL_IP@@
+	# 最后一条是组网网段：EasyTier 成员每次重连可能换地址（.2 → .3），
+	# 只钉单个 IP 会反复 403；按网段放行，边界仍由「入网需要网络密钥」保证。
+	@lan remote_ip 127.0.0.1 ::1 @@LAN_CIDR@@ @@VIRTUAL_IP@@ @@MESH_CIDR@@
 	handle @lan {
+		# 配对入口：路径匹配（可靠），返回同源页面做一次「同站跳转」。
+		# 跨站导航不会带 SameSite=Strict 的 DSH Cookie，必须由同源页面自己发起。
+		handle /pair {
+			header Set-Cookie "dsh_gate=@@ACCESS_KEY@@; Max-Age=31536000; Path=/; HttpOnly; SameSite=Lax"
+			header Content-Type "text/html; charset=utf-8"
+			respond `<!doctype html><meta charset="utf-8"><title>正在连接…</title><script>const t=new URLSearchParams(location.search).get("token");location.replace(t?"/?token="+encodeURIComponent(t):"/")</script>` 200
+		}
+
 		# 诊断用：不经过任何认证
 		handle /healthz {
 			respond "ok" 200
 		}
 
+		# PWA 资源必须免 Cookie：浏览器抓 manifest 时按规范不带凭据，走门禁会 401，
+		# Chrome/Edge 会报 manifest-parsing-or-network-error，于是「安装应用」失败。
+		# 文件由插件启动时同步到 @@APP_DIR@@（manifest / 图标 / 根证书）。
+		handle_path /remote-panel/app/* {
+			root * @@APP_DIR@@
+			@manifest path *.webmanifest
+			header @manifest Content-Type application/manifest+json
+			file_server
+		}
+
 		# 第二层：口令门禁
 		@key query k=@@ACCESS_KEY@@
 		handle @key {
 			# Cookie 值就是口令本身（24 位随机），而不是常量：常量能被手工伪造
 			header Set-Cookie "dsh_gate=@@ACCESS_KEY@@; Max-Age=31536000; Path=/; HttpOnly; SameSite=Lax"
-			# 显式写 * 匹配器：否则开头的 / 会被当成路径匹配器，
-			# 变成 Location: 303 的怪响应
-			redir * / 303
+
+			# 一张二维码走完两步：带 token 时转发到令牌地址，不带则回首页
+			@withToken query token=*
+			handle @withToken {
+				redir * /?token={query.token} 303
+			}
+			handle {
+				redir * / 303
+			}
 		}
 
 		# Caddy 默认没有 cookie 匹配器，用 Header 通配匹配替代

package/deploy/templates/install.sh.tmpl

@@ -167,7 +167,8 @@ for _ in $(seq 1 30); do
 done
 ss -ltn 2>/dev/null | grep -q ":${PROXY_PORT} " || die "反代未监听 :${PROXY_PORT}"
 
-health="$(curl -s -o /dev/null -w '%{http_code}' "http://127.0.0.1:${PROXY_PORT}/healthz" || true)"
+# TLS 时本地没有信任链，用 -k 只探活，不校验证书
+health="$(curl -sk -o /dev/null -w '%{http_code}' "@@SCHEME@@://127.0.0.1:${PROXY_PORT}/healthz" || true)"
 [ "$health" = "200" ] || die "healthz 未返回 200（实际 ${health}）"
 
 PAYLOAD="$(printf '{"version":"%s","port":%s,"ip":"%s","upstream":%s,"health":"%s","key":"%s"}' \
@@ -177,8 +178,8 @@ cat <<EOF
 
 部署完成。
 
-  手机 / 平板： http://${VIRTUAL_IP}:${PROXY_PORT}/
-  家里局域网：  http://<本机局域网IP>:${PROXY_PORT}/
+  手机 / 平板： @@SCHEME@@://${VIRTUAL_IP}:${PROXY_PORT}/
+  家里局域网：  @@SCHEME@@://<本机局域网IP>:${PROXY_PORT}/
 
 回填码（复制到「远程访问」面板）：
 DSH_REMOTE_OK ${PAYLOAD}

package/lib/allowlist.js

@@ -65,10 +65,8 @@ export function withEntry(text, entry, mode) {
 
 	if (next.length === 0) throw new Error('白名单不能为空：至少保留本机 127.0.0.1')
 
-	// 每行最多 6 条，避免 Caddyfile 出现超长行
-	const chunks = []
-	for (let i = 0; i < next.length; i += 6) chunks.push(next.slice(i, i + 6))
-	lines[index] = chunks.map((chunk) => `${indent}@lan remote_ip ${chunk.join(' ')}`).join('\n')
+	// 必须保持一行：同名 matcher 定义两次会被 Caddy 拒绝（matcher is defined more than once: @lan）
+	lines[index] = `${indent}@lan remote_ip ${next.join(' ')}`
 	return lines.join('\n')
 }
 

package/lib/api.js

@@ -4,9 +4,11 @@
  */
 
 import { randomBytes } from 'node:crypto'
+import { readFileSync } from 'node:fs'
 import { createServer } from 'node:net'
 import { homedir, networkInterfaces, userInfo } from 'node:os'
 
+import { caddyfilePath } from './allowlist.js'
 import { renderDeploy } from './deploy/render.js'
 
 /** 客户端输入有问题（回 400，而不是 500）。 */
@@ -76,6 +78,20 @@ export function suggestToken(length = 24) {
 }
 
 /** 向导打开时的默认值。 */
+/**
+ * 读线上 Caddyfile 判断当前是不是 TLS 部署。
+ * 重新部署时向导按它预填「启用 HTTPS」，避免点一下又掉回明文。
+ * @param {string} [home]
+ */
+export function detectTls(home) {
+	try {
+		const text = readFileSync(caddyfilePath(home), 'utf8')
+		return /^\s*tls\s+internal\b/m.test(text)
+	} catch {
+		return false
+	}
+}
+
 export async function defaults(version) {
 	return {
 		ok: true,
@@ -89,6 +105,8 @@ export async function defaults(version) {
 		accessKey: suggestToken(24),
 		networkSecret: suggestToken(32),
 		networkName: 'dsh-remote',
+		// 默认沿用线上现状：已经在跑 TLS 就别让重新部署把它改回明文
+		tls: detectTls(),
 	}
 }