dsh-webui-oauth 0.7.5 → 0.7.6

package/CHANGELOG.md

@@ -2,6 +2,31 @@
 
 本文件记录每个版本的**用户可见**变更。破坏性变更与升级动作单独标注。
 
+## 0.7.6
+
+把 DeepSeek 登录回调输入**合并进官方「等待登录」对话框**，不再单独占一个悬浮入口。
+
+### 调整：回调粘贴框内联到等待登录窗口
+
+- 官方账号登录的 `SignInDialog` 在等待浏览器时显示固定文案
+  （「没有自动打开新页面？」/「Page did not open automatically?」）；
+- 插件用 `MutationObserver` 找到这段文案，把「粘贴回调 URL」输入框注入到
+  **同一个对话框**里，文案变化/对话框关闭时自动移除；
+- 移除 0.7.5 的独立「DeepSeek 登录回调」悬浮按钮；
+- 这是尽力而为的 DOM 适配：官方 UI 改版时最多退化成"不显示输入框"，
+  不影响登录本身；`POST /dsh-webui-oauth/oauth-relay` 端点保持可用，
+  也可以从控制台/其他入口调用。
+
+### 保持不变
+
+- 回调仍然**不公开**，中转端点要求会话；
+- 输入 URL 只接受本机端口的 `/oauth/callback` + 单个 `code`/`state`；
+- state/PKCE 由账号平台校验。
+
+### 测试
+
+- 客户端源码/回填测试通过；全量 22 个测试文件、599 项断言通过。
+
 ## 0.7.5
 
 设置页交互修正：登录回调改成全局悬浮窗、远程信任可一键开关、保存改为右下角悬浮按钮 + 二次验证。

package/README.en.md

@@ -429,10 +429,10 @@ wired into `npm test`).
     `http://127.0.0.1:<local port>`;
   - after authorization the browser is redirected to that loopback callback — usually unreachable from
     a remote machine, but the full URL stays in the address bar;
-  - click the always-on "DeepSeek 登录回调" floating button at the bottom-right of any page and paste
-    the URL; the plugin **replays it internally** to the account platform's registered
-    `/oauth/callback` handler (state and PKCE are still validated by the platform) to finish the
-    token exchange;
+  - the official "Waiting for sign in" dialog grows a callback paste box (the plugin injects it into
+    that dialog via MutationObserver; there is no separate floating entry); paste the URL and the plugin
+    **replays it internally** to the account platform's registered `/oauth/callback` handler (state and
+    PKCE are still validated by the platform) to finish the token exchange;
   - the relay endpoint requires the plugin session and accepts only the local port's
     `/oauth/callback` with exactly one `code`/`state` (SSRF / open-redirect protection);
   - on `http://127.0.0.1:3080` the official login already completes directly; no relay needed.

package/README.md

@@ -423,7 +423,7 @@ IdP 侧日志确认完整往返：`discovery → jwks → authorize(issued code)
 - **DeepSeek 官方账号登录（0.2.1+，远程回调中转）**：`/oauth/callback` **不是公开路径**，仍受会话闸门保护。上游 `@deepseek-ai/dsh-deepseek-account-platform` 的 `loginOrigin()` 只接受 `http://localhost:<port>`、`http://127.0.0.1:<port>`、`http://[::1]:<port>`（显式非零端口），不支持反代域名。插件的处理方式：
   - 劫持官方登录的 `callbackOrigin`：本地回环访问保留原 origin（cookie 同 host，回调直接命中）；域名访问改写成 `http://127.0.0.1:<本机端口>`；
   - 浏览器授权后会被跳到这个回环回调地址——远程机器上通常打不开，但地址栏里有完整 URL；
-  - 点击页面右下角常驻的「DeepSeek 登录回调」悬浮按钮，把地址栏 URL 粘贴进去；插件在服务端**内部重放**给账号平台注册的 `/oauth/callback` handler（state + PKCE 仍由平台校验），完成换 token；
+  - 官方「等待登录」窗口里会直接出现一个回调粘贴框（插件用 MutationObserver 注入到该对话框内，不单独占一个悬浮入口）；把地址栏 URL 粘贴进去，插件在服务端**内部重放**给账号平台注册的 `/oauth/callback` handler（state + PKCE 仍由平台校验），完成换 token；
   - 中转端点要求插件会话，且只接受本机端口的 `/oauth/callback` + 单个 `code`/`state`（防 SSRF / 开放重定向）；
   - 本机 `http://127.0.0.1:3080` 访问时官方登录原本就能直接走完，无需中转。
 - **DSH Desktop**：支持 `dsh-desktop-*` 标记透传（登录 / 退出后重登不再丢失标记），但**不提供**上游 0.3.6 的「宿主载体桥」。该桥只用 socket 是否回环来判定，而本部署是 nginx 同机反代——所有请求的 socket 都是 `127.0.0.1`，启用它等于"持有核心 Cookie 即可绕过插件会话 / SSO"，与「仅允许 SSO」冲突。若必须使用 DSH Desktop 的 shell 直连模式，请改用上游原版插件，并自行评估该旁路风险。

package/lib/client.js

@@ -25,8 +25,7 @@ window.__ModuleLoader__.load({
 			'.wua-float { position: fixed; right: 24px; bottom: 24px; z-index: 9999; width: min(440px, calc(100vw - 48px)); display: flex; flex-direction: column; gap: 10px; padding: 16px 18px; border: 1px solid var(--dsw-alias-border-l2, #999); border-radius: 12px; background: var(--dsw-alias-bg-layer-1, #fff); box-shadow: 0 18px 48px rgba(0, 0, 0, .22); }',
 			'.wua-float-head { display: flex; align-items: center; justify-content: space-between; gap: 10px; }',
 			'.wua-float-title { font-size: 13px; font-weight: 600; color: var(--dsw-alias-label-primary, #222); }',
-			'.wua-fab { position: fixed; right: 24px; bottom: 96px; z-index: 9998; padding: 9px 16px; font-size: 13px; cursor: pointer; color: #fff; background: var(--dsw-alias-brand-primary, #4a7cf7); border: none; border-radius: 999px; box-shadow: 0 10px 26px rgba(74, 124, 247, .35); }',
-			'.wua-fab:hover { filter: brightness(1.05); }',
+			'.wua-inline-relay { display: flex; flex-direction: column; gap: 8px; margin-top: 12px; padding-top: 12px; border-top: 1px dashed var(--dsw-alias-border-l1, #d9d9d9); }',
 			'.wua-save-fab { position: fixed; right: 24px; bottom: 24px; z-index: 9997; padding: 10px 20px; font-size: 13px; font-weight: 600; cursor: pointer; color: #fff; background: var(--dsw-alias-brand-primary, #4a7cf7); border: none; border-radius: 999px; box-shadow: 0 12px 30px rgba(74, 124, 247, .38); }',
 			'.wua-save-fab:disabled { opacity: .55; cursor: default; }',
 			'.wua-modal-mask { position: fixed; inset: 0; z-index: 10000; display: flex; align-items: center; justify-content: center; padding: 24px; background: rgba(0, 0, 0, .45); }',
@@ -66,108 +65,118 @@ window.__ModuleLoader__.load({
 				if (styleEl.parentNode !== null) styleEl.parentNode.removeChild(styleEl);
 			}, 'dsh-webui-oauth: styles');
 
-			// ---------------- 全局悬浮：DeepSeek 登录回调中转 ----------------
-			// 不放在设置页里：官方登录是在「设置 → 账号」发起的，回调地址可能在任何
-			// 页面/标签页拿到。这里挂一个全局悬浮按钮，任何页面都能打开粘贴窗口。
-			(function mountRelayWidget() {
+			// ---------------- DeepSeek 登录回调：合并进官方「等待登录」对话框 ----------------
+			//
+			// 官方账号登录是 SignInDialog（另一个插件）渲染的，没有开放插槽；但它等待
+			// 浏览器时会显示一段固定文案（"没有自动打开新页面？" / "Page did not open
+			// automatically?"）。这里用 MutationObserver 找到那段文案，把回调输入框
+			// 插到同一个对话框里——不再单独挂一个悬浮按钮。
+			//
+			// 这是**尽力而为**的 DOM 适配：官方 UI 改版时最多退化成"不显示输入框"，
+			// 不影响登录本身；/dsh-webui-oauth/oauth-relay 端点仍然可用。
+			(function mountInlineRelay() {
 				if (typeof document === 'undefined' || !document.body) return;
-				if (document.getElementById('dsh-wua-relay')) return;
-
-				const wrap = document.createElement('div');
-				wrap.id = 'dsh-wua-relay';
-
-				const fab = document.createElement('button');
-				fab.type = 'button';
-				fab.className = 'wua-fab';
-				fab.textContent = 'DeepSeek 登录回调';
-				fab.title = '官方 DeepSeek 登录的回调中转';
-
-				const panel = document.createElement('div');
-				panel.className = 'wua-float';
-				panel.style.display = 'none';
-
-				const head = document.createElement('div');
-				head.className = 'wua-float-head';
-				const title = document.createElement('span');
-				title.className = 'wua-float-title';
-				title.textContent = 'DeepSeek 登录回调中转';
-				const close = document.createElement('button');
-				close.type = 'button';
-				close.className = 'wua-btn ghost';
-				close.textContent = '关闭';
-				head.appendChild(title);
-				head.appendChild(close);
-
-				const hint = document.createElement('p');
-				hint.className = 'wua-hint';
-				hint.style.borderTop = 'none';
-				hint.style.paddingTop = '0';
-				hint.textContent = '把浏览器地址栏里的完整回调 URL 粘贴到这里。只接受 http://127.0.0.1 或 localhost 的本机端口地址。';
-
-				const input = document.createElement('input');
-				input.className = 'wua-input';
-				input.type = 'text';
-				input.placeholder = 'http://127.0.0.1:3080/oauth/callback?code=…&state=…';
-
-				const actions = document.createElement('div');
-				actions.className = 'wua-actions';
-				const submit = document.createElement('button');
-				submit.type = 'button';
-				submit.className = 'wua-btn';
-				submit.textContent = '完成登录';
-				actions.appendChild(submit);
-
-				const msg = document.createElement('p');
-				msg.style.display = 'none';
-
-				panel.appendChild(head);
-				panel.appendChild(hint);
-				panel.appendChild(input);
-				panel.appendChild(actions);
-				panel.appendChild(msg);
-				wrap.appendChild(fab);
-				wrap.appendChild(panel);
-				document.body.appendChild(wrap);
-
-				const show = (text, ok) => {
-					msg.textContent = text;
-					msg.className = ok ? 'wua-msg' : 'wua-err';
-					msg.style.display = 'block';
+				const PROMPTS = ['没有自动打开新页面', 'Page did not open automatically'];
+				const MARK = 'data-dsh-wua-relay-inline';
+				let timer = null;
+				const injected = new Set();
+
+				const build = () => {
+					const box = document.createElement('div');
+					box.className = 'wua-inline-relay';
+					box.setAttribute(MARK, '1');
+
+					const label = document.createElement('div');
+					label.className = 'wua-label';
+					label.textContent = '远程访问？把浏览器地址栏里的完整回调 URL 粘贴到这里';
+
+					const row = document.createElement('div');
+					row.className = 'wua-actions';
+					row.style.alignItems = 'stretch';
+					const input = document.createElement('input');
+					input.className = 'wua-input';
+					input.type = 'text';
+					input.placeholder = 'http://127.0.0.1:3080/oauth/callback?code=…&state=…';
+					input.style.flex = '1';
+					const submit = document.createElement('button');
+					submit.type = 'button';
+					submit.className = 'wua-btn';
+					submit.textContent = '完成登录';
+					row.appendChild(input);
+					row.appendChild(submit);
+
+					const msg = document.createElement('p');
+					msg.style.display = 'none';
+					box.appendChild(label);
+					box.appendChild(row);
+					box.appendChild(msg);
+
+					const show = (text, ok) => {
+						msg.textContent = text;
+						msg.className = ok ? 'wua-msg' : 'wua-err';
+						msg.style.display = 'block';
+					};
+					submit.addEventListener('click', () => {
+						const url = input.value.trim();
+						if (!url) { show('请粘贴完整回调地址', false); return; }
+						submit.disabled = true;
+						fetch('/dsh-webui-oauth/oauth-relay', {
+							method: 'POST',
+							headers: { 'content-type': 'application/json' },
+							body: JSON.stringify({ url }),
+						}).then((r) => {
+							if (r.status === 401) { location.href = '/dsh-webui-oauth/login'; return null; }
+							return r.json();
+						}).then((res) => {
+							submit.disabled = false;
+							if (!res) return;
+							if (res.ok) { show('已收到回调，正在完成登录…', true); input.value = ''; }
+							else show(res.hint || res.reason || res.error || '中转失败', false);
+						}).catch(() => { submit.disabled = false; show('无法连接认证服务', false); });
+					});
+					return box;
 				};
-				const setOpen = (open) => {
-					panel.style.display = open ? 'flex' : 'none';
-					fab.style.display = open ? 'none' : 'inline-flex';
+
+				const scan = () => {
+					for (const node of injected) {
+						const anchor = node.__dshWuaAnchor;
+						const stillWaiting = anchor && anchor.isConnected &&
+							PROMPTS.some((p) => (anchor.textContent || '').includes(p));
+						if (stillWaiting) continue;
+						try { node.remove(); } catch (e) { /* ignore */ }
+						injected.delete(node);
+					}
+					const paragraphs = document.querySelectorAll('p');
+					for (const el of paragraphs) {
+						const text = (el.textContent || '').trim();
+						if (!PROMPTS.some((p) => text.includes(p))) continue;
+						const host = el.parentElement;
+						if (!host || host.querySelector('[' + MARK + ']')) continue;
+						const box = build();
+						box.__dshWuaAnchor = el;
+						host.appendChild(box);
+						injected.add(box);
+						break;
+					}
 				};
 
-				fab.addEventListener('click', () => setOpen(true));
-				close.addEventListener('click', () => setOpen(false));
-				submit.addEventListener('click', () => {
-					const url = input.value.trim();
-					if (!url) { show('请粘贴完整回调地址', false); return; }
-					submit.disabled = true;
-					fetch('/dsh-webui-oauth/oauth-relay', {
-						method: 'POST',
-						headers: { 'content-type': 'application/json' },
-						body: JSON.stringify({ url }),
-					}).then((r) => {
-						if (r.status === 401) { location.href = '/dsh-webui-oauth/login'; return null; }
-						return r.json();
-					}).then((res) => {
-						submit.disabled = false;
-						if (!res) return;
-						if (res.ok) {
-							show('已收到回调，正在完成登录。请回到「设置 → 账号」查看状态。', true);
-							input.value = '';
-						} else {
-							show(res.hint || res.reason || res.error || '中转失败', false);
-						}
-					}).catch(() => {
-						submit.disabled = false;
-						show('无法连接认证服务', false);
-					});
-				});
+				const schedule = () => {
+					if (timer !== null) return;
+					timer = setTimeout(() => {
+						timer = null;
+						try { scan(); } catch (e) { /* ignore */ }
+					}, 200);
+				};
 
-				ctx.effect(() => () => wrap.remove(), 'dsh-webui-oauth: relay widget');
+				const observer = new MutationObserver(schedule);
+				observer.observe(document.body, { childList: true, subtree: true, characterData: true });
+				schedule();
+				ctx.effect(() => () => {
+					observer.disconnect();
+					if (timer !== null) clearTimeout(timer);
+					for (const node of injected) { try { node.remove(); } catch (e) { /* ignore */ } }
+					injected.clear();
+				}, 'dsh-webui-oauth: inline relay');
 			})();
 
 			// ---------------- 会话失效：统一回登录页 ----------------
@@ -780,7 +789,7 @@ window.__ModuleLoader__.load({
 						react.createElement('div', { className: 'wua-sep' }),
 						react.createElement('h4', { className: 'wua-card-title' }, 'DeepSeek 官方账号登录（远程回调）'),
 						react.createElement('p', { className: 'wua-hint', style: { borderTop: 'none', paddingTop: 0 } },
-							'在「设置 → 账号」点击 DeepSeek 登录后，浏览器会跳到 127.0.0.1 的回调地址（远程机器上通常打不开）。点右下角的「DeepSeek 登录回调」悬浮按钮，把地址栏里的完整 URL 粘贴进去即可。'),
+							'在「设置 → 账号」点击 DeepSeek 登录后，浏览器会跳到 127.0.0.1 的回调地址（远程机器上通常打不开）。官方「等待登录」窗口里会直接出现一个粘贴框：把地址栏里的完整 URL 粘进去即可。'),
 					]),
 					card('最近登录记录', [], [
 						react.createElement('p', { className: 'wua-hint', style: { borderTop: 'none', paddingTop: 0 } },

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-webui-oauth",
-  "version": "0.7.5",
+  "version": "0.7.6",
   "type": "module",
   "main": "index.js",
   "scripts": {