dsh-tiddlywiki 0.22.2 → 0.22.3

package/README.md

@@ -342,6 +342,8 @@ lib/                    # 预构建产物（发布含 lib/**，提交入库；
 
 > 最近几个主要版本的一句话记录（完整变更见 [Releases](https://github.com/bbqisbbq/dsh-tiddlywiki/releases) / git log）。
 
+- **v0.22.3**（2026-09-12）：**第五轮代码审计的客户端修复版**（host 侧零缺陷：CSRF 门禁 / 片段净化 / SSRF 守卫 / 密钥打码 / 写策略 type 保留 / 乐观并发 / git 互斥 / seed 内容哈希 / 切换回滚逐条对照都成立；`tsc` 与 8 个 `verify-*` 全绿）。① **P0：iframe 空 `src` 被当成合法地址使用**。`tw-frame.ts` 的 FAB「重载面板」处理是 `frame.src = frame.src`、hash 兜底加载是 `frame.src.split('#')[0]` 拼 hash——而 `iframe` 从未赋过 `src` 时，**读 `iframe.src` 得到的是宿主 DSH 页面自己的 URL**。`setVisible(true)` 会在首个 `/status` 回来之前就取消 `hidden`（切走再切回即可命中），于是这两种写法会把 **DSH 页面载进 iframe**：iframe 里再起一份 DSH（重复 FAB、重复全局监听、白屏）。现在两处「整页重载」路径都只认 `dataset.loaded`（只有 `showFrame` 写它）并抽出共享的 `loadableFrameUrl()`，`panel.ts` 原本靠「`!hidden` ⇒ 已载入真实 twProxy」这个不成文不变量侥幸安全，现也改成显式判据。② **P1：主题「活动」单选预选错误，且会影响写入**。`/admin/state` 只回 `info.themes`（**已加载**集合），设置页就拿它的**最后一项**冒充「活动主题」；用户显式激活过非末位主题时，打开设置页显示错误选中项、**不动任何单选直接点「应用主题」也会静默把活动主题改回末位那个**。现在 host 读 `$:/theme` 并在 `/admin/state` 回 `info.themeActive`（去掉 `$:/themes/` 前缀归一），设置页优先用它、猜末位只作兜底，并且只在 catalog 里存在时才认。③ **P1：`applyToFrame` 缺 try/catch**。`setThemeSyncConfig()` 是**同步**遍历调用各 frame 的 applier 的（`doRefresh`/`load` 都在 await 链里），而 `frame.contentWindow.$tw` 这次属性访问在 iframe 导航到跨源页面（TW 里点外链）时**自身**就抛 `SecurityError`（内层各助手的 try/catch 还没轮到），异常直接变成未处理 rejection 并中断那次刷新；现在整段包住。④ **P2 清理**：会话汇总的挂载 effect 补 `mountedRef` 卸载守卫（`genRef` 只认「被更新取代」、覆盖不到卸载，在途请求 resolve 后仍会 setState 并递归再发一轮）、快速笔记按钮的 `fetchUiConfig().then(setMode)` 补 alive 守卫、`note-widget` 卸载不再删除**设置页也在用**的页面级 toast 单例（原来会掐掉别人正在显示的提示）；删掉三处无人消费的死标记/死字段（`view.dataset.visible`、`data-dsh-tw-rightbar`、`BuiltUi.recentBtn`、`ConfigField.input`），工具卡标签 key 补下标（同标签重复会撞 key），并把 `panel.ts` 里重复的 `requestRestart` 收敛为复用 `tw-frame.ts` 的那一份。守门：新增 `scripts/verify-frame-guards.mjs`（已进 `verify:unit`）——空 src 陷阱、活动主题优先级、跨源 try/catch、共享 toast、死标记共 13 条断言，其中 `readActiveThemeName()` 走真实函数（前缀 / 裸名 / 缺失 / 读失败），静态断言会剥掉注释行以免匹配到自己的说明文字。
+
 - **v0.22.2**（2026-09-12）：**修「主题汇总页·模板」seed 内容被渲染成几千遍重复**（用户实测报障）。模板里留了两个「可选」大段落，其中一个标题里有一个**裸 `<$list>`**（没有 `filter` 属性）——TW 渲染时把它当成「列出**全部** tiddler 的列表」，于是整段「可选：把本页收进『一页多主题』tabs」说明被跟着重复渲染几千次（实测渲染出 1.1MB、约 2941 遍重复）。现在模板精简为**一个列表 + 一行指向教程的说明**：删掉两个「可选」段落（自定义 `<$list>` 样式版 / tabs 收录法），自定义需求统一见 [[教程：按主题/标签做汇总页]]；模板正文的提示也改为「把正文里的 `主题A` 全部替换」（原来写「两处」，实际有 3 处）。**已有 wiki 的模板不会自动更新**（seed 是 ONE-SHOT）：本机线上 wiki 已手工覆盖为新模板并同步 seed 标记哈希；其余 wiki 可在设置页「初始化」里对 `starter-docs` 点「重新初始化」（会覆盖你对模板的改动，改过请先备份）。顺带修好一个校验脚本的兼容问题：`scripts/verify-package-contents.mjs` 假定 `npm pack --json` 返回数组，但 npm 12 返回 `{name:{...}}` 对象，导致「发布包内容」检查假失败（与本次改动无关，但会卡住发布流程）。
 
 - **v0.22.1**（2026-09-11）：**修首页「快速记笔记」创建出的条目日期时间错误**（用户实测报障）。首页快速笔记在标题留空时用 `<now "YYYY-MM-DD-HHmm">` 生成标题，而 TW 的日期格式 token **只有小写** `YYYY`/`0MM`/`0DD`/`0hh`/`0mm`—**`HH` 根本不是 token**，未知字符被**原样输出**，于是生成的是 `2026-9-11-HH20` 这种标题（还伴随月份/日不补零）。现在改为 `YYYY-0MM-0DD-0hh0mm`，并新增 `verify-constants.mjs` 守门（首页 seed 不得含 `HHmm`）。同一处还把一个反模式改成 TW 的正确命名空间：`$savetitle` 原本写 `$:/state/home-note/last-created`——`$:/state/*` 会被 syncer **落盘进 git**（设置页覆盖层之外的有一份状态污染），改用 **`$:/temp/*`**（tiddlyweb adaptor 显式排除，浏览器端临时状态不进 wiki）。顺带修好一个**一直跑不起来的构建脚本**：`scripts/gen-seed-home.mjs` 的生成模板里有两处反引号没转义（第 148/181 行的 `` `ok:false` ``），整个脚本**语法错误**——也就是说「改首页 → 重新生成 seed」这条路早就断了，本次同时修复。**已有 wiki 的首页不会自动更新**（seed 是 ONE-SHOT）：设置页「初始化」里对 `home-index` 点一次「重新初始化」即可拿到修好的首页（会覆盖你对首页的改动，若你改过请先备份；本次作者的线上 wiki 已手工打上同样的两处修改）。