dsh-webui-oauth 0.7.5 → 0.7.7

package/CHANGELOG.md

@@ -2,6 +2,64 @@
 
 本文件记录每个版本的**用户可见**变更。破坏性变更与升级动作单独标注。
 
+## 0.7.7
+
+设置页再收敛：移除冗余密码框、保存按钮移到顶部、SSO 复验改为会话级。
+
+### 调整：账号卡片不再有「当前密码」输入框
+
+保存/禁用已经统一走验证弹窗，账号卡片里的「当前密码」输入框是冗余的，已移除。
+禁用认证改为与保存一致的流程：顶部按钮 → 弹窗验证（密码或 SSO）。
+
+### 调整：「保存设置」从右下角悬浮改为顶部卡片按钮
+
+- 移除右下角悬浮的「保存设置」按钮；
+- 保存按钮放到「概览」卡片的操作区（与退出登录、禁用认证并列）；
+- 首次初始化（未启用认证）直接保存，无需验证；
+- 已启用时点击弹窗验证：当前密码，或 SSO 验证。
+
+### 调整：SSO 复验改为**会话级**，不再签发独立令牌
+
+- 复验回调仍走统一的 `/dsh-webui-oauth/oidc/callback`；
+- 发起复验时把当前会话 token 记进 OIDC state（服务端）；
+- 回调校验 sub 通过后，直接给该会话写 `reauthAt = now`（2 分钟有效），
+  **不再生成令牌、也不再往 URL 里放令牌**；
+- `configure` / `disable` / `oidc/unbind` 通过 `sessionReauthOk(req)` 判断；
+  成功后清除 `reauthAt`（一次性）；
+- `status` 回显 `reauthActive`，前端据此显示「已通过 SSO 验证」；
+- 回调回执只保留 `oidcreauth=1` 状态标记。
+
+### 测试
+
+- `test/oidc-bind.test.mjs` 的复验用例改为会话级断言（回调只带状态标记、
+  同会话无密码保存成功、复验不可重放）；
+- 全量 22 个测试文件、599 项断言通过。
+
+## 0.7.6
+
+把 DeepSeek 登录回调输入**合并进官方「等待登录」对话框**，不再单独占一个悬浮入口。
+
+### 调整：回调粘贴框内联到等待登录窗口
+
+- 官方账号登录的 `SignInDialog` 在等待浏览器时显示固定文案
+  （「没有自动打开新页面？」/「Page did not open automatically?」）；
+- 插件用 `MutationObserver` 找到这段文案，把「粘贴回调 URL」输入框注入到
+  **同一个对话框**里，文案变化/对话框关闭时自动移除；
+- 移除 0.7.5 的独立「DeepSeek 登录回调」悬浮按钮；
+- 这是尽力而为的 DOM 适配：官方 UI 改版时最多退化成"不显示输入框"，
+  不影响登录本身；`POST /dsh-webui-oauth/oauth-relay` 端点保持可用，
+  也可以从控制台/其他入口调用。
+
+### 保持不变
+
+- 回调仍然**不公开**，中转端点要求会话；
+- 输入 URL 只接受本机端口的 `/oauth/callback` + 单个 `code`/`state`；
+- state/PKCE 由账号平台校验。
+
+### 测试
+
+- 客户端源码/回填测试通过；全量 22 个测试文件、599 项断言通过。
+
 ## 0.7.5
 
 设置页交互修正：登录回调改成全局悬浮窗、远程信任可一键开关、保存改为右下角悬浮按钮 + 二次验证。

package/README.en.md

@@ -429,10 +429,10 @@ wired into `npm test`).
     `http://127.0.0.1:<local port>`;
   - after authorization the browser is redirected to that loopback callback — usually unreachable from
     a remote machine, but the full URL stays in the address bar;
-  - click the always-on "DeepSeek 登录回调" floating button at the bottom-right of any page and paste
-    the URL; the plugin **replays it internally** to the account platform's registered
-    `/oauth/callback` handler (state and PKCE are still validated by the platform) to finish the
-    token exchange;
+  - the official "Waiting for sign in" dialog grows a callback paste box (the plugin injects it into
+    that dialog via MutationObserver; there is no separate floating entry); paste the URL and the plugin
+    **replays it internally** to the account platform's registered `/oauth/callback` handler (state and
+    PKCE are still validated by the platform) to finish the token exchange;
   - the relay endpoint requires the plugin session and accepts only the local port's
     `/oauth/callback` with exactly one `code`/`state` (SSRF / open-redirect protection);
   - on `http://127.0.0.1:3080` the official login already completes directly; no relay needed.

package/README.md

@@ -423,7 +423,7 @@ IdP 侧日志确认完整往返：`discovery → jwks → authorize(issued code)
 - **DeepSeek 官方账号登录（0.2.1+，远程回调中转）**：`/oauth/callback` **不是公开路径**，仍受会话闸门保护。上游 `@deepseek-ai/dsh-deepseek-account-platform` 的 `loginOrigin()` 只接受 `http://localhost:<port>`、`http://127.0.0.1:<port>`、`http://[::1]:<port>`（显式非零端口），不支持反代域名。插件的处理方式：
   - 劫持官方登录的 `callbackOrigin`：本地回环访问保留原 origin（cookie 同 host，回调直接命中）；域名访问改写成 `http://127.0.0.1:<本机端口>`；
   - 浏览器授权后会被跳到这个回环回调地址——远程机器上通常打不开，但地址栏里有完整 URL；
-  - 点击页面右下角常驻的「DeepSeek 登录回调」悬浮按钮，把地址栏 URL 粘贴进去；插件在服务端**内部重放**给账号平台注册的 `/oauth/callback` handler（state + PKCE 仍由平台校验），完成换 token；
+  - 官方「等待登录」窗口里会直接出现一个回调粘贴框（插件用 MutationObserver 注入到该对话框内，不单独占一个悬浮入口）；把地址栏 URL 粘贴进去，插件在服务端**内部重放**给账号平台注册的 `/oauth/callback` handler（state + PKCE 仍由平台校验），完成换 token；
   - 中转端点要求插件会话，且只接受本机端口的 `/oauth/callback` + 单个 `code`/`state`（防 SSRF / 开放重定向）；
   - 本机 `http://127.0.0.1:3080` 访问时官方登录原本就能直接走完，无需中转。
 - **DSH Desktop**：支持 `dsh-desktop-*` 标记透传（登录 / 退出后重登不再丢失标记），但**不提供**上游 0.3.6 的「宿主载体桥」。该桥只用 socket 是否回环来判定，而本部署是 nginx 同机反代——所有请求的 socket 都是 `127.0.0.1`，启用它等于"持有核心 Cookie 即可绕过插件会话 / SSO"，与「仅允许 SSO」冲突。若必须使用 DSH Desktop 的 shell 直连模式，请改用上游原版插件，并自行评估该旁路风险。

package/index.js

@@ -2691,6 +2691,31 @@ export async function apply(ctx) {
 
   const SESSION_TTL_MS = SESSION_BROWSER_TTL_MS
 
+  /** 取当前请求对应的会话记录（不做续期），无效/过期返回 null。 */
+  function sessionOf(req) {
+    const token = cookieOf(req, COOKIE_NAME)
+    if (!token) return null
+    const s = sessions.get(token)
+    if (!s) return null
+    if (s.expiresAt <= Date.now()) {
+      sessions.delete(token)
+      return null
+    }
+    return s
+  }
+
+  /** 该会话是否在 2 分钟内通过过 SSO 复验。 */
+  function sessionReauthOk(req) {
+    const s = sessionOf(req)
+    return !!(s && typeof s.reauthAt === 'number' && Date.now() - s.reauthAt < REAUTH_WINDOW_MS)
+  }
+
+  /** 复验是一次性的：敏感操作成功后清掉时间戳。 */
+  function clearSessionReauth(req) {
+    const s = sessionOf(req)
+    if (s) delete s.reauthAt
+  }
+
   function createSession(username, ttl) {
     const token = randomBytes(24).toString('hex')
     const ttlMs = ttl > 0 ? ttl * 3600 * 1000 : SESSION_TTL_MS
@@ -2832,30 +2857,20 @@ export async function apply(ctx) {
   // 必须在后台定时器使用 purge 之前定义。
   const oidcStateStore = makeOidcStateStore()
 
-  // 敏感操作（保存配置 / 禁用 / 解绑）的 SSO 复验令牌：
-  // 一次性、2 分钟。密码被禁用（仅允许 SSO）时，用户仍可用 SSO 完成二次验证。
-  const reauthTokens = new Map()
-  const REAUTH_TTL_MS = 2 * 60 * 1000
-  const mintReauthToken = (username) => {
-    const token = randomBytes(16).toString('hex')
-    reauthTokens.set(token, { username, expiresAt: Date.now() + REAUTH_TTL_MS })
-    return token
-  }
-  const consumeReauthToken = (token) => {
-    if (typeof token !== 'string' || !token) return null
-    const rec = reauthTokens.get(token)
-    if (!rec) return null
-    reauthTokens.delete(token)
-    if (rec.expiresAt <= Date.now()) return null
-    return rec
-  }
+  // SSO 复验通过后，直接在**当前会话**上记一个时间戳（2 分钟有效），
+  // 不再签发独立令牌、也不经过 URL 传递。敏感操作直接检查会话。
+  const REAUTH_WINDOW_MS = 2 * 60 * 1000
   const purgeExpiredOidcStates = oidcStateStore.purge
 
   // 后台任务：过期会话清理 + enabled 状态刷新
   const bgTimer = setInterval(async () => {
     const now = Date.now()
-    for (const [k, s] of sessions.live) if (s.expiresAt <= now) sessions.delete(k)
-    for (const [k, v] of reauthTokens) if (v.expiresAt <= now) reauthTokens.delete(k)
+    for (const [k, s] of sessions.live) {
+      if (s.expiresAt <= now || (typeof s.reauthAt === 'number' && now - s.reauthAt >= REAUTH_WINDOW_MS)) {
+        if (s.expiresAt <= now) sessions.delete(k)
+        else delete s.reauthAt
+      }
+    }
     purgeExpiredOidcStates()
     try {
       const creds = await readCredentials(ctx)
@@ -3124,6 +3139,8 @@ export async function apply(ctx) {
           sessionsPersisted: sessions.ok,
           // 远程访问信任（可选）：是否已注入 ownsHost。
           remoteTrust: remoteTrustFlag,
+          // 当前会话是否在 2 分钟内通过过 SSO 复验（保存/禁用/解绑可直接进行）。
+          reauthActive: sessionReauthOk(req),
           // 核心兜底席位形态（handler | resource | absent | unknown）：核心升级后
           // 如果这里变成 unknown，文档请求会 404 —— 排查时先看这个字段。
           fallback: fallbackShape(ctx.webServer),
@@ -3243,8 +3260,8 @@ export async function apply(ctx) {
           }
         }
         if (wasEnabled) {
-          // 支持 SSO 复验令牌（「仅允许 SSO」时密码登录入口不可用）
-          const reauthOk = !!consumeReauthToken(body.reauthToken)
+          // 支持 SSO 复验（「仅允许 SSO」时密码登录入口不可用）：复验结果记在会话上
+          const reauthOk = sessionReauthOk(req)
           const curValid = reauthOk || (current && typeof creds.hash === 'string' && await verifyPassword(current, creds.hash))
           if (!curValid) {
             await auditLog(ctx, 'configure_failure', { username, ip: meta.ip, ua: meta.ua, detail: '当前密码不正确' })
@@ -3383,6 +3400,7 @@ export async function apply(ctx) {
         if (!keepPassword) detailParts.push('密码已修改')
         if (body.ttl !== undefined) detailParts.push('有效期已修改')
         await auditLog(ctx, 'configure_success', { username, ip: meta.ip, ua: meta.ua, detail: detailParts.length ? detailParts.join('，') : null })
+        clearSessionReauth(req)
         sendJson(res, 200, { ok: true })
       } catch (e) {
         sendJson(res, 500, { error: e && e.message ? e.message : String(e) })
@@ -3412,7 +3430,7 @@ export async function apply(ctx) {
           sendJson(res, 200, { ok: true })
           return
         }
-        const reauthOk = !!consumeReauthToken(body.reauthToken)
+        const reauthOk = sessionReauthOk(req)
         const curValid = reauthOk || (current && typeof creds.hash === 'string' && await verifyPassword(current, creds.hash))
         if (!curValid) {
           await auditLog(ctx, 'disable_failure', { username: creds.username, ip: meta.ip, ua: meta.ua, detail: '当前密码不正确' })
@@ -3498,7 +3516,10 @@ export async function apply(ctx) {
     const state = oidcRandom(24)
     const nonce = oidcRandom(24)
     const verifier = oidcRandom(32)
-    oidcStateStore.put(state, { nonce, verifier, redirectUri, purpose })
+    // 复验要绑定到发起它的浏览器的**会话**：回调时直接把 reauthAt 记在该会话上，
+    // 不再签发独立令牌、也不把令牌放进 URL。
+    const sessionToken = purpose === 'reauth' ? cookieOf(req, COOKIE_NAME) : null
+    oidcStateStore.put(state, { nonce, verifier, redirectUri, purpose, sessionToken })
     const authUrl = new URL(disc.metadata.authorization_endpoint)
     authUrl.searchParams.set('response_type', 'code')
     authUrl.searchParams.set('client_id', o.clientId)
@@ -3629,7 +3650,7 @@ export async function apply(ctx) {
         const creds = await readCredentials(ctx)
         const meta = requestMeta(req)
         const current = String(body.current || '')
-        const reauthOk = !!consumeReauthToken(body.reauthToken)
+        const reauthOk = sessionReauthOk(req)
         const curValid = reauthOk || (current && creds && typeof creds.hash === 'string' && await verifyPassword(current, creds.hash))
         if (!curValid) {
           await auditLog(ctx, 'oidc_unbind_failure', { username: creds && creds.username ? creds.username : null, ip: meta.ip, ua: meta.ua, detail: '当前密码不正确' })
@@ -3662,6 +3683,7 @@ export async function apply(ctx) {
         await writeCredentials(ctx, next)
         await refreshSsoOnly(next)
         await auditLog(ctx, 'oidc_unbind_success', { username: creds.username, ip: meta.ip, ua: meta.ua })
+        clearSessionReauth(req)
         sendJson(res, 200, { ok: true, bound: false })
       } catch (e) {
         sendJson(res, 500, { error: e && e.message ? e.message : String(e) })
@@ -3793,9 +3815,16 @@ export async function apply(ctx) {
             redirectBackToApp(ctx, req, res, 'oidcerr=sub-mismatch', clearStateCookie)
             return
           }
-          const token = mintReauthToken(rawSub)
+          // 把复验结果记到发起登录的那个会话上（2 分钟内有效）。
+          const target = st.sessionToken ? sessions.get(st.sessionToken) : null
+          if (!target || target.expiresAt <= Date.now()) {
+            await auditLog(ctx, 'oidc_login_failure', { username: auditName, ip: meta.ip, ua: meta.ua, detail: '复验时会话已失效' })
+            redirectBackToApp(ctx, req, res, 'oidcerr=session-expired', clearStateCookie)
+            return
+          }
+          target.reauthAt = Date.now()
           await auditLog(ctx, 'oidc_reauth_success', { username: auditName, ip: meta.ip, ua: meta.ua })
-          redirectBackToApp(ctx, req, res, 'oidcreauth=' + token, clearStateCookie)
+          redirectBackToApp(ctx, req, res, 'oidcreauth=1', clearStateCookie)
           return
         }
 

package/lib/client.js

@@ -25,10 +25,8 @@ window.__ModuleLoader__.load({
 			'.wua-float { position: fixed; right: 24px; bottom: 24px; z-index: 9999; width: min(440px, calc(100vw - 48px)); display: flex; flex-direction: column; gap: 10px; padding: 16px 18px; border: 1px solid var(--dsw-alias-border-l2, #999); border-radius: 12px; background: var(--dsw-alias-bg-layer-1, #fff); box-shadow: 0 18px 48px rgba(0, 0, 0, .22); }',
 			'.wua-float-head { display: flex; align-items: center; justify-content: space-between; gap: 10px; }',
 			'.wua-float-title { font-size: 13px; font-weight: 600; color: var(--dsw-alias-label-primary, #222); }',
-			'.wua-fab { position: fixed; right: 24px; bottom: 96px; z-index: 9998; padding: 9px 16px; font-size: 13px; cursor: pointer; color: #fff; background: var(--dsw-alias-brand-primary, #4a7cf7); border: none; border-radius: 999px; box-shadow: 0 10px 26px rgba(74, 124, 247, .35); }',
-			'.wua-fab:hover { filter: brightness(1.05); }',
-			'.wua-save-fab { position: fixed; right: 24px; bottom: 24px; z-index: 9997; padding: 10px 20px; font-size: 13px; font-weight: 600; cursor: pointer; color: #fff; background: var(--dsw-alias-brand-primary, #4a7cf7); border: none; border-radius: 999px; box-shadow: 0 12px 30px rgba(74, 124, 247, .38); }',
-			'.wua-save-fab:disabled { opacity: .55; cursor: default; }',
+			'.wua-inline-relay { display: flex; flex-direction: column; gap: 8px; margin-top: 12px; padding-top: 12px; border-top: 1px dashed var(--dsw-alias-border-l1, #d9d9d9); }',
+
 			'.wua-modal-mask { position: fixed; inset: 0; z-index: 10000; display: flex; align-items: center; justify-content: center; padding: 24px; background: rgba(0, 0, 0, .45); }',
 			'.wua-modal { width: min(420px, 100%); display: flex; flex-direction: column; gap: 12px; padding: 20px 22px; border-radius: 12px; background: var(--dsw-alias-bg-layer-1, #fff); box-shadow: 0 24px 60px rgba(0, 0, 0, .35); }',
 			'.wua-intro { margin: 0; font-size: 13px; line-height: 1.6; color: var(--dsw-alias-label-secondary, #888); }',
@@ -66,108 +64,118 @@ window.__ModuleLoader__.load({
 				if (styleEl.parentNode !== null) styleEl.parentNode.removeChild(styleEl);
 			}, 'dsh-webui-oauth: styles');
 
-			// ---------------- 全局悬浮：DeepSeek 登录回调中转 ----------------
-			// 不放在设置页里：官方登录是在「设置 → 账号」发起的，回调地址可能在任何
-			// 页面/标签页拿到。这里挂一个全局悬浮按钮，任何页面都能打开粘贴窗口。
-			(function mountRelayWidget() {
+			// ---------------- DeepSeek 登录回调：合并进官方「等待登录」对话框 ----------------
+			//
+			// 官方账号登录是 SignInDialog（另一个插件）渲染的，没有开放插槽；但它等待
+			// 浏览器时会显示一段固定文案（"没有自动打开新页面？" / "Page did not open
+			// automatically?"）。这里用 MutationObserver 找到那段文案，把回调输入框
+			// 插到同一个对话框里——不再单独挂一个悬浮按钮。
+			//
+			// 这是**尽力而为**的 DOM 适配：官方 UI 改版时最多退化成"不显示输入框"，
+			// 不影响登录本身；/dsh-webui-oauth/oauth-relay 端点仍然可用。
+			(function mountInlineRelay() {
 				if (typeof document === 'undefined' || !document.body) return;
-				if (document.getElementById('dsh-wua-relay')) return;
-
-				const wrap = document.createElement('div');
-				wrap.id = 'dsh-wua-relay';
-
-				const fab = document.createElement('button');
-				fab.type = 'button';
-				fab.className = 'wua-fab';
-				fab.textContent = 'DeepSeek 登录回调';
-				fab.title = '官方 DeepSeek 登录的回调中转';
-
-				const panel = document.createElement('div');
-				panel.className = 'wua-float';
-				panel.style.display = 'none';
-
-				const head = document.createElement('div');
-				head.className = 'wua-float-head';
-				const title = document.createElement('span');
-				title.className = 'wua-float-title';
-				title.textContent = 'DeepSeek 登录回调中转';
-				const close = document.createElement('button');
-				close.type = 'button';
-				close.className = 'wua-btn ghost';
-				close.textContent = '关闭';
-				head.appendChild(title);
-				head.appendChild(close);
-
-				const hint = document.createElement('p');
-				hint.className = 'wua-hint';
-				hint.style.borderTop = 'none';
-				hint.style.paddingTop = '0';
-				hint.textContent = '把浏览器地址栏里的完整回调 URL 粘贴到这里。只接受 http://127.0.0.1 或 localhost 的本机端口地址。';
-
-				const input = document.createElement('input');
-				input.className = 'wua-input';
-				input.type = 'text';
-				input.placeholder = 'http://127.0.0.1:3080/oauth/callback?code=…&state=…';
-
-				const actions = document.createElement('div');
-				actions.className = 'wua-actions';
-				const submit = document.createElement('button');
-				submit.type = 'button';
-				submit.className = 'wua-btn';
-				submit.textContent = '完成登录';
-				actions.appendChild(submit);
-
-				const msg = document.createElement('p');
-				msg.style.display = 'none';
-
-				panel.appendChild(head);
-				panel.appendChild(hint);
-				panel.appendChild(input);
-				panel.appendChild(actions);
-				panel.appendChild(msg);
-				wrap.appendChild(fab);
-				wrap.appendChild(panel);
-				document.body.appendChild(wrap);
-
-				const show = (text, ok) => {
-					msg.textContent = text;
-					msg.className = ok ? 'wua-msg' : 'wua-err';
-					msg.style.display = 'block';
+				const PROMPTS = ['没有自动打开新页面', 'Page did not open automatically'];
+				const MARK = 'data-dsh-wua-relay-inline';
+				let timer = null;
+				const injected = new Set();
+
+				const build = () => {
+					const box = document.createElement('div');
+					box.className = 'wua-inline-relay';
+					box.setAttribute(MARK, '1');
+
+					const label = document.createElement('div');
+					label.className = 'wua-label';
+					label.textContent = '远程访问？把浏览器地址栏里的完整回调 URL 粘贴到这里';
+
+					const row = document.createElement('div');
+					row.className = 'wua-actions';
+					row.style.alignItems = 'stretch';
+					const input = document.createElement('input');
+					input.className = 'wua-input';
+					input.type = 'text';
+					input.placeholder = 'http://127.0.0.1:3080/oauth/callback?code=…&state=…';
+					input.style.flex = '1';
+					const submit = document.createElement('button');
+					submit.type = 'button';
+					submit.className = 'wua-btn';
+					submit.textContent = '完成登录';
+					row.appendChild(input);
+					row.appendChild(submit);
+
+					const msg = document.createElement('p');
+					msg.style.display = 'none';
+					box.appendChild(label);
+					box.appendChild(row);
+					box.appendChild(msg);
+
+					const show = (text, ok) => {
+						msg.textContent = text;
+						msg.className = ok ? 'wua-msg' : 'wua-err';
+						msg.style.display = 'block';
+					};
+					submit.addEventListener('click', () => {
+						const url = input.value.trim();
+						if (!url) { show('请粘贴完整回调地址', false); return; }
+						submit.disabled = true;
+						fetch('/dsh-webui-oauth/oauth-relay', {
+							method: 'POST',
+							headers: { 'content-type': 'application/json' },
+							body: JSON.stringify({ url }),
+						}).then((r) => {
+							if (r.status === 401) { location.href = '/dsh-webui-oauth/login'; return null; }
+							return r.json();
+						}).then((res) => {
+							submit.disabled = false;
+							if (!res) return;
+							if (res.ok) { show('已收到回调，正在完成登录…', true); input.value = ''; }
+							else show(res.hint || res.reason || res.error || '中转失败', false);
+						}).catch(() => { submit.disabled = false; show('无法连接认证服务', false); });
+					});
+					return box;
 				};
-				const setOpen = (open) => {
-					panel.style.display = open ? 'flex' : 'none';
-					fab.style.display = open ? 'none' : 'inline-flex';
+
+				const scan = () => {
+					for (const node of injected) {
+						const anchor = node.__dshWuaAnchor;
+						const stillWaiting = anchor && anchor.isConnected &&
+							PROMPTS.some((p) => (anchor.textContent || '').includes(p));
+						if (stillWaiting) continue;
+						try { node.remove(); } catch (e) { /* ignore */ }
+						injected.delete(node);
+					}
+					const paragraphs = document.querySelectorAll('p');
+					for (const el of paragraphs) {
+						const text = (el.textContent || '').trim();
+						if (!PROMPTS.some((p) => text.includes(p))) continue;
+						const host = el.parentElement;
+						if (!host || host.querySelector('[' + MARK + ']')) continue;
+						const box = build();
+						box.__dshWuaAnchor = el;
+						host.appendChild(box);
+						injected.add(box);
+						break;
+					}
 				};
 
-				fab.addEventListener('click', () => setOpen(true));
-				close.addEventListener('click', () => setOpen(false));
-				submit.addEventListener('click', () => {
-					const url = input.value.trim();
-					if (!url) { show('请粘贴完整回调地址', false); return; }
-					submit.disabled = true;
-					fetch('/dsh-webui-oauth/oauth-relay', {
-						method: 'POST',
-						headers: { 'content-type': 'application/json' },
-						body: JSON.stringify({ url }),
-					}).then((r) => {
-						if (r.status === 401) { location.href = '/dsh-webui-oauth/login'; return null; }
-						return r.json();
-					}).then((res) => {
-						submit.disabled = false;
-						if (!res) return;
-						if (res.ok) {
-							show('已收到回调，正在完成登录。请回到「设置 → 账号」查看状态。', true);
-							input.value = '';
-						} else {
-							show(res.hint || res.reason || res.error || '中转失败', false);
-						}
-					}).catch(() => {
-						submit.disabled = false;
-						show('无法连接认证服务', false);
-					});
-				});
+				const schedule = () => {
+					if (timer !== null) return;
+					timer = setTimeout(() => {
+						timer = null;
+						try { scan(); } catch (e) { /* ignore */ }
+					}, 200);
+				};
 
-				ctx.effect(() => () => wrap.remove(), 'dsh-webui-oauth: relay widget');
+				const observer = new MutationObserver(schedule);
+				observer.observe(document.body, { childList: true, subtree: true, characterData: true });
+				schedule();
+				ctx.effect(() => () => {
+					observer.disconnect();
+					if (timer !== null) clearTimeout(timer);
+					for (const node of injected) { try { node.remove(); } catch (e) { /* ignore */ } }
+					injected.clear();
+				}, 'dsh-webui-oauth: inline relay');
 			})();
 
 			// ---------------- 会话失效：统一回登录页 ----------------
@@ -241,7 +249,7 @@ window.__ModuleLoader__.load({
 				const [username, setUsername] = react.useState('');
 				const [password, setPassword] = react.useState('');
 				const [confirm, setConfirm] = react.useState('');
-				const [current, setCurrent] = react.useState('');
+
 				const [ttl, setTtl] = react.useState('12');
 				const [msg, setMsg] = react.useState(null);
 				const [busy, setBusy] = react.useState(false);
@@ -270,8 +278,7 @@ window.__ModuleLoader__.load({
 				const [saveOpen, setSaveOpen] = react.useState(false);
 				const [savePw, setSavePw] = react.useState('');
 				const [saveErr, setSaveErr] = react.useState('');
-				const [reauthToken, setReauthToken] = react.useState(null);
-				const [reauthExp, setReauthExp] = react.useState(0);
+				const [verifyAction, setVerifyAction] = react.useState('save');
 				// 远程访问信任开关。
 				const [remoteTrustBusy, setRemoteTrustBusy] = react.useState(false);
 				const [remoteTrustMsg, setRemoteTrustMsg] = react.useState(null);
@@ -325,19 +332,6 @@ window.__ModuleLoader__.load({
 				// 读取 OIDC 回调带回来的回执。绑定/登录结束后浏览器会被 302 回应用，
 				// 结果通过 query 传递（oidcbound=1 / oidcerr=...）：因为是整页跳转，
 				// 组件重新挂载时才知道刚才发生了什么。
-				// 从 sessionStorage 恢复 SSO 复验令牌（2 分钟内有效）。
-				react.useEffect(() => {
-					try {
-						const raw = sessionStorage.getItem('dsh_wua_reauth')
-						if (!raw) return
-						const v = JSON.parse(raw)
-						if (v && typeof v.token === 'string' && v.exp > Date.now()) {
-							setReauthToken(v.token)
-							setReauthExp(v.exp)
-						}
-					} catch (e) { /* ignore */ }
-				}, []);
-
 				react.useEffect(() => {
 					let qs = ''
 					try { qs = String((location && location.search) || '') } catch (e) { qs = '' }
@@ -348,10 +342,7 @@ window.__ModuleLoader__.load({
 					const reauth = p.get('oidcreauth')
 					if (bound === null && err === null && reauth === null) return
 					if (reauth !== null) {
-						try { sessionStorage.setItem('dsh_wua_reauth', JSON.stringify({ token: reauth, exp: Date.now() + 120000 })) } catch (e) { /* ignore */ }
-						setReauthToken(reauth)
-						setReauthExp(Date.now() + 120000)
-						setBindMsg({ kind: 'ok', text: 'SSO 验证成功（2 分钟内有效）。请回到设置页点击「保存设置」。' })
+						setBindMsg({ kind: 'ok', text: 'SSO 验证成功（2 分钟内有效）。请点击「保存设置」继续。' })
 					} else if (bound !== null) {
 						setBindMsg({ kind: 'ok', text: 'OIDC 身份绑定成功。此后只有该身份可通过 SSO 登录。' })
 					} else {
@@ -400,7 +391,7 @@ window.__ModuleLoader__.load({
 						setMsg({ kind: 'err', text: '两次输入的密码不一致' });
 						return;
 					}
-					if (enabled && !credentials.current && !credentials.reauthToken) {
+					if (enabled && !credentials.current && !reauthValid) {
 						setSaveErr('修改认证信息需要验证：请输入当前密码，或使用 SSO 验证。');
 						return;
 					}
@@ -423,7 +414,6 @@ window.__ModuleLoader__.load({
 						username: name,
 						password,
 						current: credentials.current || '',
-						reauthToken: credentials.reauthToken || undefined,
 						ttl: Number(ttl),
 						oidc: oidcPayload,
 					}).then((r) => {
@@ -436,13 +426,9 @@ window.__ModuleLoader__.load({
 							}
 							setPassword('');
 							setConfirm('');
-							setCurrent('');
 							setSaveOpen(false);
 							setSavePw('');
 							setSaveErr('');
-							setReauthToken(null);
-							setReauthExp(0);
-							try { sessionStorage.removeItem('dsh_wua_reauth') } catch (e) { /* ignore */ }
 							api('/dsh-webui-oauth/status').then((s) => {
 								if (s && !s.error) setStatus(s);
 							});
@@ -475,23 +461,27 @@ window.__ModuleLoader__.load({
 					});
 				};
 
-				const onDisable = () => {
+				const doDisable = (auth) => {
 					if (busy) return;
-					if (!current) {
-						setMsg({ kind: 'err', text: '请输入当前密码以禁用认证' });
+					const credentials = auth || {};
+					if (!credentials.current && !reauthValid) {
+						setSaveErr('禁用认证需要验证：请输入当前密码，或使用 SSO 验证。');
 						return;
 					}
 					setBusy(true);
 					setMsg(null);
-					api('/dsh-webui-oauth/disable', { current }).then((r) => {
+					api('/dsh-webui-oauth/disable', { current: credentials.current || '' }).then((r) => {
 						setBusy(false);
 						if (r && r.ok) {
 							setMsg({ kind: 'ok', text: '已禁用认证，所有会话已注销。刷新页面后不再要求登录。' });
-							setCurrent('');
+							setSaveOpen(false);
+							setSavePw('');
+							setSaveErr('');
 							api('/dsh-webui-oauth/status').then((s) => {
 								if (s && !s.error) setStatus(s);
 							}).catch(() => {});
 						} else {
+							setSaveErr('当前密码不正确');
 							setMsg({ kind: 'err', text: '当前密码不正确' });
 						}
 					}).catch(() => {
@@ -554,7 +544,22 @@ window.__ModuleLoader__.load({
 
 				const enabled = Boolean(status && status.enabled);
 				const remoteTrust = Boolean(status && status.remoteTrust);
-				const reauthValid = Boolean(reauthToken && Date.now() < reauthExp);
+				const reauthValid = Boolean(status && status.reauthActive);
+
+				// 顶部「保存设置」/「禁用认证」：需要验证时统一打开弹窗（密码或 SSO）。
+				const onSaveClick = () => {
+					if (!enabled || reauthValid) { onSave({}); return; }
+					setVerifyAction('save');
+					setSaveErr('');
+					setSaveOpen(true);
+				};
+				const onDisableClick = () => {
+					if (!enabled) return;
+					if (reauthValid) { doDisable({}); return; }
+					setVerifyAction('disable');
+					setSaveErr('');
+					setSaveOpen(true);
+				};
 				const intro = status === null
 					? '正在读取认证状态…'
 					: (enabled
@@ -638,8 +643,9 @@ window.__ModuleLoader__.load({
 						patchWarn ? react.createElement('p', { className: 'wua-warn' }, patchWarn) : null,
 						persistNote ? react.createElement('p', { className: 'wua-warn' }, persistNote) : null,
 						react.createElement('div', { className: 'wua-actions' },
+							react.createElement('button', { className: 'wua-btn', disabled: busy || status === null, onClick: onSaveClick }, busy ? '保存中…' : '保存设置'),
 							enabled ? react.createElement('button', { className: 'wua-btn ghost', disabled: busy || status === null, onClick: onLogout }, '退出登录') : null,
-							enabled ? react.createElement('button', { className: 'wua-btn ghost', disabled: busy || status === null, onClick: onDisable }, '禁用认证') : null,
+							enabled ? react.createElement('button', { className: 'wua-btn ghost', disabled: busy || status === null, onClick: onDisableClick }, '禁用认证') : null,
 						),
 					]),
 					card('账号与密码', [], [
@@ -669,10 +675,6 @@ window.__ModuleLoader__.load({
 								react.createElement('input', { className: 'wua-input', type: 'password', value: confirm, onChange: (e) => setConfirm(e.target.value) }),
 							),
 						),
-						enabled ? react.createElement('div', { className: 'wua-row' },
-							react.createElement('label', { className: 'wua-label' }, '当前密码（修改或禁用认证需验证）'),
-							react.createElement('input', { className: 'wua-input', type: 'password', value: current, onChange: (e) => setCurrent(e.target.value) }),
-						) : null,
 						msg ? react.createElement('div', { className: msg.kind === 'ok' ? 'wua-msg' : 'wua-err' }, msg.text) : null,
 					]),
 					card('OIDC 单点登录', [
@@ -780,7 +782,7 @@ window.__ModuleLoader__.load({
 						react.createElement('div', { className: 'wua-sep' }),
 						react.createElement('h4', { className: 'wua-card-title' }, 'DeepSeek 官方账号登录（远程回调）'),
 						react.createElement('p', { className: 'wua-hint', style: { borderTop: 'none', paddingTop: 0 } },
-							'在「设置 → 账号」点击 DeepSeek 登录后，浏览器会跳到 127.0.0.1 的回调地址（远程机器上通常打不开）。点右下角的「DeepSeek 登录回调」悬浮按钮，把地址栏里的完整 URL 粘贴进去即可。'),
+							'在「设置 → 账号」点击 DeepSeek 登录后，浏览器会跳到 127.0.0.1 的回调地址（远程机器上通常打不开）。官方「等待登录」窗口里会直接出现一个粘贴框：把地址栏里的完整 URL 粘进去即可。'),
 					]),
 					card('最近登录记录', [], [
 						react.createElement('p', { className: 'wua-hint', style: { borderTop: 'none', paddingTop: 0 } },
@@ -798,23 +800,13 @@ window.__ModuleLoader__.load({
 									)),
 								)),
 					]),
-					react.createElement('button', {
-						className: 'wua-save-fab',
-						disabled: busy || status === null,
-						onClick: () => {
-							if (!enabled) { onSave({}); return; }
-							if (reauthValid) { onSave({ reauthToken }); return; }
-							setSaveErr('');
-							setSaveOpen(true);
-						},
-					}, busy ? '保存中…' : '保存设置'),
 					saveOpen ? react.createElement('div', { className: 'wua-modal-mask' },
 						react.createElement('div', { className: 'wua-modal' },
-							react.createElement('h4', { className: 'wua-card-title' }, '验证后保存'),
+							react.createElement('h4', { className: 'wua-card-title' }, verifyAction === 'disable' ? '验证后禁用' : '验证后保存'),
 							react.createElement('p', { className: 'wua-hint', style: { borderTop: 'none', paddingTop: 0 } },
 								reauthValid
-									? '已通过 SSO 验证（2 分钟内有效），可直接保存。'
-									: '修改认证配置需要验证当前身份：输入当前密码，或使用 SSO 验证。'),
+									? '已通过 SSO 验证（2 分钟内有效），可直接继续。'
+									: '该操作需要验证当前身份：输入当前密码，或使用 SSO 验证。'),
 							reauthValid ? null : react.createElement('div', { className: 'wua-row' },
 								react.createElement('label', { className: 'wua-label' }, '当前密码'),
 								react.createElement('input', { className: 'wua-input', type: 'password', value: savePw, autoComplete: 'current-password', onChange: (e) => setSavePw(e.target.value) }),
@@ -822,10 +814,10 @@ window.__ModuleLoader__.load({
 							saveErr ? react.createElement('p', { className: 'wua-err' }, saveErr) : null,
 							react.createElement('div', { className: 'wua-actions' },
 								react.createElement('button', { className: 'wua-btn', disabled: busy, onClick: () => {
-									if (reauthValid) { onSave({ reauthToken }); return; }
-									if (!savePw) { setSaveErr('请输入当前密码'); return; }
-									onSave({ current: savePw });
-								} }, busy ? '保存中…' : '验证并保存'),
+									if (!reauthValid && !savePw) { setSaveErr('请输入当前密码'); return; }
+									const auth = reauthValid ? {} : { current: savePw };
+									if (verifyAction === 'disable') doDisable(auth); else onSave(auth);
+								} }, busy ? '处理中…' : (verifyAction === 'disable' ? '验证并禁用' : '验证并保存')),
 								react.createElement('button', { className: 'wua-btn ghost', disabled: busy, onClick: () => setSaveOpen(false) }, '取消'),
 							),
 							(status && status.oidc && status.oidc.enabled && status.oidc.bound)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-webui-oauth",
-  "version": "0.7.5",
+  "version": "0.7.7",
   "type": "module",
   "main": "index.js",
   "scripts": {