dsh-webui-oauth 0.7.2 → 0.7.3

package/CHANGELOG.md

@@ -2,6 +2,44 @@
 
 本文件记录每个版本的**用户可见**变更。破坏性变更与升级动作单独标注。
 
+## 0.7.3
+
+整合 `dsh-remote-trust`，并确认与官方 DeepSeek 账号登录（0.2.1+）的兼容边界。
+
+### 新增：远程访问信任（可选内置，原 `dsh-remote-trust`）
+
+经域名反代访问时，客户端把页面判为"非 loopback"，设置 → 模型报
+`settings are unavailable in this browser`。开启：
+
+```yaml
+remote-web-ui:
+  trustRemoteHost: true
+```
+
+- 通过官方 `webServer.tapIndex` 注入 `__DSH_TRANSPORT__.ownsHost = true`；
+- 注入**幂等**：与 `dsh-remote-trust` 同时安装不会重复；
+- `tapIndex` 不存在时只记一条 warn 并返回 false，插件其余功能照常（版本兼容）；
+- `status` 回显 `remoteTrust`；
+- 安全边界：只应在页面已由本插件保护时启用；不改变服务端信任护栏，
+  仍需 `--trusted-host <对外域名>`。
+
+### 兼容：官方 DeepSeek 账号登录（0.2.1+）
+
+- `/oauth/callback` 保持公开，包括**登录开始时才动态注册**的那一次（新增回归断言）；
+- 上游 `deepseek-account-platform` 的 `loginOrigin()` 只接受
+  `http://localhost|127.0.0.1|[::1]:<port>`，**不支持反代域名**——这是上游设计限制，
+  与插件无关；
+- 文档补充：本机 `http://127.0.0.1:3080` 完成一次登录后，账号 token 保存在 Host
+  凭证里，之后经域名访问仍然有效；
+- 刻意不 monkey-patch 核心内部函数（升级即碎），需要域名直登请推动上游放宽。
+
+### 测试
+
+- 新增 `test/remote-trust.test.mjs`（21 项）：注入幂等、配置读取、`tapIndex` 缺失降级、
+  与 `dsh-remote-trust` 共存；
+- `test/gate-default-deny.test.mjs` 新增 2 项：晚注册的 `/oauth/callback` 仍保持公开；
+- 全量 21 个测试文件、558 项断言通过。
+
 ## 0.7.2
 
 合并上游（Yuuz12/dsh-webui-auth）0.3.5–0.3.7 中**可安全合并**的部分；

package/README.en.md

@@ -108,7 +108,23 @@ Authentication is enforced in four layers, all implemented by **wrapping the web
   ```
   - `trustBrowserOrigin` defaults to `true` when omitted (legacy behavior); an explicit `false` makes both sites **ignore** the browser-influenced origin and use `publicBaseUrl`. With no `publicBaseUrl` either, the token redirect falls back to the request Host / loopback, and OIDC fails closed with an error.
   - The old `oidc.trustBrowserOrigin` is still accepted: when the settings section does not set the switch explicitly, it is used as the fallback, so existing deployments migrate smoothly.
-  - **Extra public paths (0.6.7, the companion switch for deny-by-default)**: endpoints called by machines that cannot carry a browser session (GitHub webhooks, third-party OAuth callbacks) must be declared explicitly, otherwise the gate answers 401. Same settings section:
+  
+- **Remote-access trust (0.7.3, optional built-in equivalent of `dsh-remote-trust`)**: when the page is
+  reached through a domain reverse proxy, the client treats it as non-loopback and Settings → Models
+  reports `settings are unavailable in this browser`. Enable:
+  ```yaml
+  remote-web-ui:
+    trustRemoteHost: true
+  ```
+  It injects `__DSH_TRANSPORT__.ownsHost = true` into index.html through the official
+  `webServer.tapIndex`; the injection is idempotent, so installing `dsh-remote-trust` as well does not
+  duplicate it. If `tapIndex` is unavailable it only logs a warning and everything else keeps working
+  (version compatibility).
+  **Security boundary**: the declaration marks the page as a "trusted local" surface and also opens
+  other client-side features gated on `isLoopback`; enable it only when the page is already protected
+  by this plugin. It does not change the server-side trust fence, so `--trusted-host <public host>` is
+  still required.
+- **Extra public paths (0.6.7, the companion switch for deny-by-default)**: endpoints called by machines that cannot carry a browser session (GitHub webhooks, third-party OAuth callbacks) must be declared explicitly, otherwise the gate answers 401. Same settings section:
     ```yaml
     remote-web-ui:
       publicPaths:
@@ -401,6 +417,19 @@ wired into `npm test`).
 
 ## Known limits
 
+- **DeepSeek official account login (0.2.1+)**: `/oauth/callback` is on the public allowlist
+  (including the route registered dynamically when a login starts), so the anonymous callback is never
+  blocked by the gate. However, upstream `@deepseek-ai/dsh-deepseek-account-platform`'s
+  `loginOrigin()` **only accepts** `http://localhost:<port>`, `http://127.0.0.1:<port>` and
+  `http://[::1]:<port>` with an explicit non-zero port; reverse-proxied domains are explicitly
+  unsupported. Therefore:
+  - via `http://127.0.0.1:3080` the official login completes normally;
+  - via a domain it fails with a `protocol` error (upstream limitation, not this plugin). Complete the
+    login once through `http://127.0.0.1:3080` or an SSH local forward — the account token is stored in
+    the host credential store and keeps working through the domain afterwards;
+  - logging in directly on a domain requires upstream to relax that rule (or a fork of the account
+    platform). This plugin deliberately does not monkey-patch core internals, which would break on
+    every upgrade.
 - **DSH Desktop**: `dsh-desktop-*` marker pass-through is supported (markers survive login and
   re-login), but upstream 0.3.6's **host carrier bridge is intentionally not included**. That bridge
   decides "loopback" purely from the socket address, and this deployment sits behind an nginx proxy on

package/README.md

@@ -119,6 +119,14 @@ DSH WebUI 身份认证插件（持久化插件）。在「设置 → 身份认
 
   第 2 行是**动态跳转不可用时的兜底**，不是第二个开关：Host 被改写成回环时，服务端从请求里**拿不到**任何浏览器侧地址，开关即使开着也没有可用值，只能回退 `publicBaseUrl`（该值来自 `settings.yaml`，运维可控、非攻击者可控，不构成开放重定向）。
 
+
+- **远程访问信任（0.7.3，原 `dsh-remote-trust` 的可选内置）**：经域名反代访问时，客户端会把页面判为"非 loopback"，设置 → 模型会报 `settings are unavailable in this browser`。开启下面这一项即可（等价于安装 `dsh-remote-trust`，但不需要额外插件）：
+  ```yaml
+  remote-web-ui:
+    trustRemoteHost: true
+  ```
+  它通过官方 `webServer.tapIndex` 往 index.html 注入 `__DSH_TRANSPORT__.ownsHost = true`；注入幂等，与 `dsh-remote-trust` 同时安装也不会重复。`tapIndex` 不存在时只记一条 warn，插件其余功能照常（版本兼容）。
+  **安全边界**：该声明会把页面当作"可信本机"，同时放开其他以 `isLoopback` 为条件的本机专属客户端表面；只应在页面已由本插件保护时启用，且服务端仍需 `--trusted-host <对外域名>`（它不改变服务端信任护栏）。
 - **追加公开路径（0.6.7，默认拒绝的配套开关）**：机器调用、无法携带浏览器会话的端点（GitHub webhook、第三方 OAuth 回跳等）必须显式声明，否则会被闸门 401。同一 settings 段：
   ```yaml
   remote-web-ui:
@@ -411,6 +419,10 @@ IdP 侧日志确认完整往返：`discovery → jwks → authorize(issued code)
 
 ## 已知边界
 
+- **DeepSeek 官方账号登录（0.2.1+）**：本插件已把 `/oauth/callback` 放进公开白名单（包括登录开始时才**动态注册**的那一次），匿名回调不会被闸门拦截。但上游 `@deepseek-ai/dsh-deepseek-account-platform` 的 `loginOrigin()` **只接受** `http://localhost:<port>`、`http://127.0.0.1:<port>`、`http://[::1]:<port>`（显式非零端口），明确不支持反代域名。因此：
+  - 本机 `http://127.0.0.1:3080` 访问：官方登录可正常走完；
+  - 经域名访问：点登录会以 `protocol` 错失败（这是上游设计限制，与插件无关）。可先用 `http://127.0.0.1:3080` 或 SSH 本地转发完成一次登录——账号 token 保存在 Host 凭证里，之后经域名访问仍然有效；
+  - 若要在域名下直接登录，需要上游放开该限制（或自行 fork 账号平台）。本插件不会 monkey-patch 核心内部函数，以避免升级即碎。
 - **DSH Desktop**：支持 `dsh-desktop-*` 标记透传（登录 / 退出后重登不再丢失标记），但**不提供**上游 0.3.6 的「宿主载体桥」。该桥只用 socket 是否回环来判定，而本部署是 nginx 同机反代——所有请求的 socket 都是 `127.0.0.1`，启用它等于"持有核心 Cookie 即可绕过插件会话 / SSO"，与「仅允许 SSO」冲突。若必须使用 DSH Desktop 的 shell 直连模式，请改用上游原版插件，并自行评估该旁路风险。
 - **审计日志字段类型**：0.7.2 起 `null` 与 boolean 原样写入（不再变成字符串 `"null"` / `"true"`）；旧日志解析代码若假设"所有字段都是字符串"，需相应调整。
 - **dsh 0.2.2-rc.1 的 fallback 形状**：该版本起 `webServer.fallback` 可能是 `{ resource }`（`dsh-host-frontend-static` 就是这样注册的），而不再是函数。插件已兼容函数 / `{ resource }` / `{ handler }` 三种形状；资源型 fallback 同样会被闸门包装。若升级后 `/` 返回 `500` 且 body 为空（nginx 日志 `500 0`），请确认插件版本 ≥ 0.7.1。

package/index.js

@@ -1151,6 +1151,71 @@ export function matchesPublicPath(path, patterns) {
   return false
 }
 
+// ---------------- 远程访问信任（原 dsh-remote-trust 的可选内置） ----------------
+//
+// 背景：dsh-client-connection 用 `__DSH_TRANSPORT__.ownsHost === true` 或页面 hostname
+// 是否回环来判定"可信本机"；dsh-client-ui-settings 据此决定设置镜像的持久化模式。
+// 经域名反代访问（非 loopback）时页面被判为不可信，设置 → 模型会报
+// "settings are unavailable in this browser"。
+//
+// 官方逃生通道是 index.html 里的 `__DSH_TRANSPORT__.ownsHost = true`。这里内置同样的
+// 注入，默认**关闭**，由部署方显式开启：
+//
+//   remote-web-ui:
+//     trustRemoteHost: true
+//
+// 安全边界：该声明会让页面被当作"可信本机"，同时放开其他以 isLoopback 为条件的
+// 本机专属客户端表面。因此只应在页面已由本插件（会话 + 可选 SSO）保护时启用；
+// 它不改变服务端信任护栏（/api 仍是 loopback ∪ --trusted-host）。
+const REMOTE_TRUST_SCRIPT =
+  '<script>globalThis.__DSH_TRANSPORT__=Object.assign({},globalThis.__DSH_TRANSPORT__,{ownsHost:true});</script>'
+
+/**
+ * index.html 变换：注入 ownsHost 声明。幂等（已有 ownsHost 则原样返回），
+ * 缺 </head> 时也原样返回——绝不因为页面形状变化把 index 弄坏。
+ * 与 dsh-remote-trust 同时安装时不会重复注入（同一幂等判据）。
+ */
+export function injectRemoteTrust(html) {
+  if (typeof html !== 'string') return html
+  if (html.includes('ownsHost')) return html
+  return html.replace('</head>', REMOTE_TRUST_SCRIPT + '</head>')
+}
+
+/** 读取 remote-web-ui.trustRemoteHost（默认 false）。 */
+export function remoteTrustEnabled(ctx) {
+  try {
+    const settings = ctx && typeof ctx.get === 'function' ? ctx.get('settings') : undefined
+    const section = settings && typeof settings.get === 'function'
+      ? settings.get(PUBLIC_BASE_NAMESPACE)
+      : undefined
+    return !!(section && section.trustRemoteHost === true)
+  } catch (e) {
+    return false
+  }
+}
+
+/**
+ * 按配置安装 index 变换。
+ * 版本兼容：tapIndex 不存在时记一条 warn 并返回 false，绝不抛异常
+ * （上游若改动该内部 API，插件其余功能必须照常工作）。
+ *
+ * @returns {boolean} 是否已安装
+ */
+export function installRemoteTrust(ctx) {
+  if (!remoteTrustEnabled(ctx)) return false
+  const ws = ctx && ctx.webServer
+  if (!ws || typeof ws.tapIndex !== 'function') {
+    try { ctx.logger.warn('[dsh-webui-oauth] remote-web-ui.trustRemoteHost 已启用，但 webServer.tapIndex 不可用；未注入 ownsHost') } catch (e) { /* ignore */ }
+    return false
+  }
+  const off = ws.tapIndex(injectRemoteTrust)
+  try {
+    if (typeof ctx.effect === 'function') ctx.effect(() => off, 'dsh-webui-oauth: remote trust index tap')
+  } catch (e) { /* ignore */ }
+  try { ctx.logger.info('[dsh-webui-oauth] remote trust index tap registered (__DSH_TRANSPORT__.ownsHost = true)') } catch (e) { /* ignore */ }
+  return true
+}
+
 /** 该请求是否是一次浏览器导航（而不是 fetch/XHR 的接口调用）。 */
 function wantsHtml(req) {
   try {
@@ -2562,6 +2627,9 @@ export async function apply(ctx) {
   ctx.effect(() => gate.undo, 'dsh-webui-oauth: route gate')
   // 启动时算一次（异步，不阻塞注册；默认 false 是安全的——最坏只是先显示密码页）
   refreshSsoOnly().catch(() => {})
+
+  // 远程访问信任（可选）：反代域名下让设置页可用。默认关闭；tapIndex 缺失时安全降级。
+  installRemoteTrust(ctx)
   if (!gate.ok()) {
     ctx.logger.error('[dsh-webui-oauth] ROUTE GATE INCOMPLETE — ' + gate.problems().join('; ')
       + '. /api and/or WebSocket may be unprotected; the gate will still wrap them if they register later.')
@@ -2867,6 +2935,8 @@ export async function apply(ctx) {
           username: enabled ? creds.username : null,
           ttl: ttlOf(creds),
           sessionsPersisted: sessions.ok,
+          // 远程访问信任（可选）：是否按 remote-web-ui.trustRemoteHost 注入了 ownsHost。
+          remoteTrust: remoteTrustEnabled(ctx),
           // 核心兜底席位形态（handler | resource | absent | unknown）：核心升级后
           // 如果这里变成 unknown，文档请求会 404 —— 排查时先看这个字段。
           fallback: fallbackShape(ctx.webServer),

package/package.json

@@ -1,10 +1,10 @@
 {
   "name": "dsh-webui-oauth",
-  "version": "0.7.2",
+  "version": "0.7.3",
   "type": "module",
   "main": "index.js",
   "scripts": {
-    "test": "node test/redirect-scheme.test.mjs && node test/proxy-host.test.mjs && node test/trusted-origin.test.mjs && node test/oidc.test.mjs && node test/oidc-state-ttl.test.mjs && node test/set-cookie-multi.test.mjs && node test/oidc-integration.test.mjs && node test/oidc-config-store.test.mjs && node test/adopt-data-dir.test.mjs && node test/oidc-ec.test.mjs && node test/jwks-refresh.test.mjs && node test/oidc-bind.test.mjs && node test/client-bundle-id.test.mjs && node test/client-prefill.test.mjs && node test/displace-original.test.mjs && node test/oidc-redirect-matrix.test.mjs && node test/gate-default-deny.test.mjs && node test/fallback-shape.test.mjs && node test/desktop-marker.test.mjs && node test/audit-null.test.mjs"
+    "test": "node test/redirect-scheme.test.mjs && node test/proxy-host.test.mjs && node test/trusted-origin.test.mjs && node test/oidc.test.mjs && node test/oidc-state-ttl.test.mjs && node test/set-cookie-multi.test.mjs && node test/oidc-integration.test.mjs && node test/oidc-config-store.test.mjs && node test/adopt-data-dir.test.mjs && node test/oidc-ec.test.mjs && node test/jwks-refresh.test.mjs && node test/oidc-bind.test.mjs && node test/client-bundle-id.test.mjs && node test/client-prefill.test.mjs && node test/displace-original.test.mjs && node test/oidc-redirect-matrix.test.mjs && node test/gate-default-deny.test.mjs && node test/fallback-shape.test.mjs && node test/desktop-marker.test.mjs && node test/audit-null.test.mjs && node test/remote-trust.test.mjs"
   },
   "exports": {
     ".": "./index.js",