dsh-webui-oauth 0.6.7 → 0.6.8

package/CHANGELOG.md

@@ -2,6 +2,33 @@
 
 本文件记录每个版本的**用户可见**变更。破坏性变更与升级动作单独标注。
 
+## 0.6.8
+
+修复 0.6.7 引入的回归：**登录成功后 `/api` 恒 401**。
+
+### 修复：/api 的 loopback 伪装在包装时被固化
+
+- **现象**：升级到 0.6.7 后可以正常登录、页面也能打开，但所有 `/api` 请求一律 401；
+  回退到 0.6.6 立即恢复。
+- **原因**：0.6.7 为了让新装的插件"注册即上闸门"，接管了 webServer 三张路由表的
+  `set`。这改变了包装时机——`/api` 可能在 `client-connection` 服务对本插件上下文
+  **尚不可见**时就被包装。旧代码在**包装那一刻**判定一次 `coreHasRequestGate`，
+  于是把"这是旧核心"永久固化下来，之后每个 `/api` 请求都走 loopback 伪装：
+  `Host` 被改写成 `127.0.0.1`、`Origin` 被删除。
+  而 alpha.2+ 核心的浏览器 Cookie **按 Host authority 绑定**，改写后查不到对应
+  Cookie，核心随即 401。登录与页面走的是 `/`，不经过这段伪装，所以"能登录、只有
+  `/api` 坏"。
+- **修复**：把判定改为**每次请求现查** `ctx.get('connection').requestRejection`，
+  不再在包装时定死。路由注册的先后顺序、服务就绪的时序都不再影响结果。
+  旧核心（始终没有 `requestRejection`）仍保留 loopback 伪装，行为不变。
+
+### 测试
+
+- `test/gate-default-deny.test.mjs` 新增 6 项：
+  - 安装时 `connection` 不可见、之后才就绪 → `/api` 的 `Host`/`Origin` 必须保持原样；
+  - 旧核心（始终无 `requestRejection`）→ 仍然改写 Host / 删除 Origin，确保修复没误伤。
+- 全量 17 个测试文件、444 项断言通过。
+
 ## 0.6.7
 
 安全修复：路由闸门由**黑名单**改为**默认拒绝的白名单**。此前只包 `/api` 与

package/index.js

@@ -1200,26 +1200,35 @@ function installRouteGate(ctx, checkRequest, log) {
   const undos = []
   let undone = false
 
+  // alpha.2 起核心自带 Connection 浏览器认证（BrowserAuth + trusted-host fence）：
+  // /api handler 内建 requestRejection，且 browser cookie 按 Host authority 绑定 ——
+  // 再改写 Host/Origin 会破坏 cookie 匹配。仅旧核心（无 connection.requestRejection）
+  // 需要 loopback 伪装来通过 PRIVILEGED_METHODS fence。
+  //
+  // 【必须按请求判定，不能在包装时判定一次】。0.6.7 引入了"注册瞬间上闸门"
+  // （接管路由表的 set），这使得 /api 可能在 client-connection 服务尚未对本站
+  // 上下文可见时就被包装。若此时把 coreHasRequestGate 固化为 false，
+  // useDeputy 就永久为 true：之后每个 /api 请求都被改写成回环 Host，
+  // 而核心的 authority 绑定 Cookie 随之失配 —— 表现为"登录成功后 /api 恒 401"。
+  // 这是 0.6.7 的回归，改为每次请求现查即可消除对服务就绪时序的依赖。
+  const coreHasRequestGate = () => {
+    try {
+      const connection = ctx.get('connection')
+      return !!(connection && typeof connection.requestRejection === 'function')
+    } catch (e) {
+      return false
+    }
+  }
   const wrapHttp = (route, opts) => {
     const original = route.handler
     const loopbackDeputy = !!(opts && opts.loopbackDeputy)
-    // alpha.2 起核心自带 Connection 浏览器认证（BrowserAuth + trusted-host fence）：
-    // /api handler 内建 requestRejection，且 browser cookie 按 Host authority 绑定 ——
-    // 再改写 Host/Origin 会破坏 cookie 匹配。仅旧核心（无 connection.requestRejection）
-    // 需要 loopback 伪装来通过 PRIVILEGED_METHODS fence。
-    let coreHasRequestGate = false
-    try {
-      const connection = ctx.get('connection')
-      coreHasRequestGate = !!(connection && typeof connection.requestRejection === 'function')
-    } catch (e) { coreHasRequestGate = false }
-    const useDeputy = loopbackDeputy && !coreHasRequestGate
     const wrapped = async (req, res) => {
       if (!checkRequest(req)) {
         res.writeHead(401, { 'content-type': 'text/plain; charset=utf-8' })
         res.end('unauthorized')
         return
       }
-      if (useDeputy) {
+      if (loopbackDeputy && !coreHasRequestGate()) {
         // Authenticated + this is the /api surface on a legacy core: present the request
         // to the core as loopback so PRIVILEGED_METHODS' strict fence (settings.*,
         // credentials.*, agentPreset.*, llm.discoverModels) admits it. Our session gate

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-webui-oauth",
-  "version": "0.6.7",
+  "version": "0.6.8",
   "type": "module",
   "main": "index.js",
   "scripts": {