dsh-webui-oauth 0.8.0 → 0.8.2

package/CHANGELOG.md

@@ -2,6 +2,79 @@
 
 本文件记录每个版本的**用户可见**变更。破坏性变更与升级动作单独标注。
 
+## 0.8.2
+
+浏览器与会话标识改为 HTTP 实时；设备授权必须声明应用。
+
+### 浏览器会话：标识按 HTTP 请求实时更新
+
+- `checkRequest` 每次请求都用当前请求的 UA / IP 重新解析系统、浏览器、设备形态，
+  写入会话记录（UA/IP 变化立即落盘，否则每分钟一次）；
+- 「浏览器会话」列表不再展示登录时的快照，而是**最近一次请求**的真实标识；
+- 设置页每 15 秒自动刷新会话列表（也可手动刷新）。
+
+### 设备会话：申请时声明应用 + HTTP 来源
+
+- `POST /device/authorize` **必须**携带 `client_name`（可选 `client_description`），
+  未声明返回 `400 invalid_request`；
+- 批准页在批准前调用 `POST /device/inspect` 显示应用名称/说明并二次确认；
+- 设备记录保存声明的应用名称、说明，以及每次 Bearer 请求的 IP、UA、系统、浏览器、指纹；
+- 「设备会话」列表展示：应用名称、说明、系统 · 浏览器、指纹、最近使用、来源 IP；
+- 设备 Bearer 请求同样实时刷新这些字段（UA/IP 变化立即落盘）。
+
+### 测试
+
+- `device-flow` 新增 8 项：未声明应用被拒、批准页可查看声明、设备列表带
+  应用说明 / 来源 IP / 系统字段 / 指纹；
+- `lifecycle` 新增 2 项：同一会话换 UA 后列表实时更新为 Chrome 130 / Linux；
+- 全量 24 个测试文件、687 项断言通过。
+
+## 0.8.1
+
+设备批准登录回跳、浏览器会话列表、保存提示语义、DeepSeek 子窗口中转、绑定弹窗。
+
+### 设备批准：未登录跳转登录并正确回跳
+
+- `GET /dsh-webui-oauth/device` 加载时检查会话；未登录自动跳
+  `/login?next=/dsh-webui-oauth/device?user_code=...`；
+- 登录页支持 `next`：密码登录与 SSO 都会在成功后回到设备批准页（保留 user_code）；
+- `safeNextPath()` 只允许同源相对路径，拒绝 `//host`、反斜杠与绝对 URL。
+
+### 修正保存提示语义
+
+- 只有**修改密码**时才吊销其他浏览器会话；只改 TTL/OIDC 配置不再踢人；
+- 提示改为「密码已更新，已吊销 N 个其他浏览器会话（设备会话不受影响）」或
+  「已保存。当前会话保持有效。」；
+- `configure` 返回 `revoked` / `passwordChanged` 供前端展示。
+
+### 浏览器会话列表
+
+- 会话记录新增：创建时间、最近活跃、IP、UA、系统、浏览器、设备形态；
+- 设置页新增「浏览器会话」卡片：当前会话标记、系统/浏览器、设备指纹（UA+IP 短哈希）、
+  最近活跃时间，可**单独吊销**；
+- 新增 `GET /dsh-webui-oauth/sessions` 与 `POST /dsh-webui-oauth/sessions/revoke-one`；
+- 当前会话不允许从列表吊销（提示用「退出登录」）。
+
+### DeepSeek 登录：子窗口中转
+
+- 点击官方「登录」时，在同一用户手势内打开
+  `/dsh-webui-oauth/relay-window` 子窗口（类似 SSO 验证弹窗）；
+- 子窗口显示「等待验证」并接受回调 URL，成功后 `postMessage` 通知主窗口并自我关闭；
+- 原「等待登录」对话框内的粘贴框保留为兜底，并新增「在新窗口打开」。
+
+### 绑定 / 换绑 / 解绑
+
+- 绑定与换绑改为子窗口：`/oidc/bind?popup=1`，回调返回自我关闭页面并
+  `postMessage({type:'dsh-wua-bound'})`；
+- 解绑改为与保存一致的验证弹窗（当前密码或 SSO 复验），移除卡片里的密码输入框。
+
+### 测试
+
+- `lifecycle` 新增 16 项：登录 next、会话列表/单条吊销、保存不误吊销、
+  改密码吊销其他会话；
+- `oidc-bind` 新增 5 项：绑定弹窗回调 HTML/通知/自我关闭/落库；
+- 全量 24 个测试文件、677 项断言通过。
+
 ## 0.8.0
 
 新增 **OAuth 2.1 设备授权（RFC 8628，无回调）**：App / CLI 可以获得与浏览器完全独立的设备会话，

package/README.md

@@ -423,14 +423,19 @@ IdP 侧日志确认完整往返：`discovery → jwks → authorize(issued code)
 给没有浏览器 Cookie 的客户端（dsh-Go 等 App、CLI）使用的第二套凭据。流程遵循 RFC 8628，**无回调**：
 
 1. `POST /dsh-webui-oauth/device/authorize`（公开）→ `device_code`、`user_code`、`verification_uri`；
-2. 用户在浏览器打开 `verification_uri`，登录后输入 `user_code` 批准（或拒绝）；
+   **必须带 `client_name` 声明应用**（可选 `client_description`），否则返回 `invalid_request`；
+2. 用户在浏览器打开 `verification_uri`；未登录会自动跳转登录页（密码或 SSO），
+   登录成功后回到批准页并保留 `user_code`，再批准（或拒绝）；
 3. `POST /dsh-webui-oauth/device/token`（公开）轮询 → `access_token`（Bearer）。
 
 设备会话与浏览器会话**完全独立**：
 
 - 单独存放于 `devices.jsonl`，只存 token 的 SHA-256；
+- 记录**申请时声明的应用名称/说明**，以及每次 Bearer 请求的 IP、UA、系统、浏览器、指纹；
 - **没有过期时间**，只有显式吊销（`POST /dsh-webui-oauth/devices/revoke`）才失效；
 - 设置页「设备会话（App / CLI）」单独列表，可逐个吊销；
+- 浏览器会话也有独立列表（系统 / 浏览器 / 设备指纹 / 最近活跃），可单独吊销；
+  标识按**每个 HTTP 请求**实时刷新，不是登录时的快照；
 - 设备 Bearer 直接通过 `checkRequest`，可访问 `/api`、`/plugins`、WebSocket 与静态资源；
 - 设备 Bearer **不能**做设备管理（列表 / 吊销 / 批准新设备只允许浏览器会话）。
 
@@ -448,7 +453,7 @@ IdP 侧日志确认完整往返：`discovery → jwks → authorize(issued code)
 - **DeepSeek 官方账号登录（0.2.1+，远程回调中转）**：`/oauth/callback` **不是公开路径**，仍受会话闸门保护。上游 `@deepseek-ai/dsh-deepseek-account-platform` 的 `loginOrigin()` 只接受 `http://localhost:<port>`、`http://127.0.0.1:<port>`、`http://[::1]:<port>`（显式非零端口），不支持反代域名。插件的处理方式：
   - 劫持官方登录的 `callbackOrigin`：本地回环访问保留原 origin（cookie 同 host，回调直接命中）；域名访问改写成 `http://127.0.0.1:<本机端口>`；
   - 浏览器授权后会被跳到这个回环回调地址——远程机器上通常打不开，但地址栏里有完整 URL；
-  - 官方「等待登录」窗口里会直接出现一个回调粘贴框（插件用 MutationObserver 注入到该对话框内，不单独占一个悬浮入口）；把地址栏 URL 粘贴进去，插件在服务端**内部重放**给账号平台注册的 `/oauth/callback` handler（state + PKCE 仍由平台校验），完成换 token；
+  - 点击官方「登录」时会打开 `/dsh-webui-oauth/relay-window` 子窗口（类似 SSO 验证弹窗）；授权后把地址栏 URL 粘贴进去，插件在服务端**内部重放**给账号平台注册的 `/oauth/callback` handler（state + PKCE 仍由平台校验），完成换 token；「等待登录」对话框内的粘贴框保留为兜底；
   - 中转端点要求插件会话，且只接受本机端口的 `/oauth/callback` + 单个 `code`/`state`（防 SSRF / 开放重定向）；
   - 本机 `http://127.0.0.1:3080` 访问时官方登录原本就能直接走完，无需中转。
 - **DSH Desktop**：支持 `dsh-desktop-*` 标记透传（登录 / 退出后重登不再丢失标记），但**不提供**上游 0.3.6 的「宿主载体桥」。该桥只用 socket 是否回环来判定，而本部署是 nginx 同机反代——所有请求的 socket 都是 `127.0.0.1`，启用它等于"持有核心 Cookie 即可绕过插件会话 / SSO"，与「仅允许 SSO」冲突。若必须使用 DSH Desktop 的 shell 直连模式，请改用上游原版插件，并自行评估该旁路风险。

package/index.js

@@ -649,6 +649,52 @@ function requestMeta(req) {
   return { ip, ua }
 }
 
+/** 从 UA 粗略解析系统 / 浏览器 / 设备形态（用于会话列表展示，不做精确指纹）。 */
+function describeUserAgent(ua) {
+  const s = String(ua || '')
+  let os = '未知系统'
+  if (/Windows NT 10\.0/.test(s)) os = 'Windows 10/11'
+  else if (/Windows NT 6\.3/.test(s)) os = 'Windows 8.1'
+  else if (/Windows/.test(s)) os = 'Windows'
+  else if (/Android/.test(s)) {
+    const m = /Android\s([\d.]+)/.exec(s)
+    os = 'Android' + (m ? ' ' + m[1] : '')
+  } else if (/iPhone|iPad|iPod/.test(s)) {
+    const m = /OS\s([\d_]+)/.exec(s)
+    os = 'iOS' + (m ? ' ' + m[1].replace(/_/g, '.') : '')
+  } else if (/Mac OS X/.test(s)) {
+    const m = /Mac OS X\s([\d_.]+)/.exec(s)
+    os = 'macOS' + (m ? ' ' + m[1].replace(/_/g, '.') : '')
+  } else if (/CrOS/.test(s)) os = 'ChromeOS'
+  else if (/Linux/.test(s)) os = 'Linux'
+
+  let browser = '未知浏览器'
+  if (/Edg\/([\d.]+)/.test(s)) browser = 'Edge ' + /Edg\/([\d.]+)/.exec(s)[1].split('.')[0]
+  else if (/OPR\/([\d.]+)/.test(s)) browser = 'Opera ' + /OPR\/([\d.]+)/.exec(s)[1].split('.')[0]
+  else if (/Chrome\/([\d.]+)/.test(s)) browser = 'Chrome ' + /Chrome\/([\d.]+)/.exec(s)[1].split('.')[0]
+  else if (/Firefox\/([\d.]+)/.test(s)) browser = 'Firefox ' + /Firefox\/([\d.]+)/.exec(s)[1].split('.')[0]
+  else if (/Version\/([\d.]+).*Safari/.test(s)) browser = 'Safari ' + /Version\/([\d.]+)/.exec(s)[1].split('.')[0]
+  else if (/Safari/.test(s)) browser = 'Safari'
+
+  let device = '桌面'
+  if (/iPad|Tablet/.test(s)) device = '平板'
+  else if (/Mobile|iPhone|Android.*Mobile/.test(s)) device = '手机'
+  return { os, browser, device }
+}
+
+/** 会话在列表里的稳定短 id（不暴露原始 token）。 */
+function sessionShortId(token) {
+  return createHash('sha256').update(String(token)).digest('hex').slice(0, 16)
+}
+
+/** 设备指纹：UA + IP 的短哈希（同一浏览器+出口 IP 稳定）。 */
+function sessionFingerprint(sess) {
+  return createHash('sha256')
+    .update(String((sess && sess.ua) || '') + '|' + String((sess && sess.ip) || ''))
+    .digest('hex')
+    .slice(0, 12)
+}
+
 async function readAuditEntries(ctx, limit) {
   let target = null
   try {
@@ -804,7 +850,18 @@ class PersistentSessions {
       try { ev = JSON.parse(line) } catch (e) { continue }
       if (!ev || typeof ev.op !== 'string' || typeof ev.token !== 'string') continue
       if (ev.op === 'add' && ev.sess && typeof ev.sess === 'object') {
-        const s = { username: String(ev.sess.username || ''), expiresAt: Number(ev.sess.expiresAt) || 0, browser: !!ev.sess.browser }
+        const s = {
+          username: String(ev.sess.username || ''),
+          expiresAt: Number(ev.sess.expiresAt) || 0,
+          browser: !!ev.sess.browser,
+          createdAt: Number(ev.sess.createdAt) || 0,
+          lastSeenAt: Number(ev.sess.lastSeenAt) || 0,
+          ip: typeof ev.sess.ip === 'string' ? ev.sess.ip : null,
+          ua: typeof ev.sess.ua === 'string' ? ev.sess.ua : null,
+          os: typeof ev.sess.os === 'string' ? ev.sess.os : '',
+          browserName: typeof ev.sess.browserName === 'string' ? ev.sess.browserName : '',
+          device: typeof ev.sess.device === 'string' ? ev.sess.device : '',
+        }
         if (s.expiresAt > Date.now()) this.live.set(ev.token, s)
       } else if (ev.op === 'remove') {
         this.live.delete(ev.token)
@@ -892,7 +949,15 @@ class PersistentDevices {
       try { ev = JSON.parse(line) } catch (e) { continue }
       if (!ev || typeof ev.op !== 'string') continue
       if (ev.op === 'add' && ev.dev && typeof ev.dev === 'object' && typeof ev.dev.id === 'string') {
-        this.live.set(ev.dev.id, { ...ev.dev })
+        this.live.set(ev.dev.id, {
+          ...ev.dev,
+          description: typeof ev.dev.description === 'string' ? ev.dev.description : '',
+          lastIp: typeof ev.dev.lastIp === 'string' ? ev.dev.lastIp : null,
+          lastUa: typeof ev.dev.lastUa === 'string' ? ev.dev.lastUa : null,
+          os: typeof ev.dev.os === 'string' ? ev.dev.os : '',
+          browser: typeof ev.dev.browser === 'string' ? ev.dev.browser : '',
+          device: typeof ev.dev.device === 'string' ? ev.dev.device : '',
+        })
       } else if (ev.op === 'revoke' && typeof ev.id === 'string') {
         const d = this.live.get(ev.id)
         if (d) d.revokedAt = Number(ev.at) || Date.now()
@@ -925,17 +990,23 @@ class PersistentDevices {
     } catch (e) { /* 压缩失败不影响运行 */ }
   }
 
-  add({ name, hash, clientId, scope }) {
+  add({ name, description, hash, clientId, scope }) {
     const id = randomBytes(8).toString('hex')
     const now = Date.now()
     const rec = {
       id,
       name: String(name || '设备').slice(0, 60),
+      description: String(description || '').slice(0, 160),
       hash,
       clientId: String(clientId || ''),
       scope: String(scope || 'dsh'),
       createdAt: now,
       lastUsedAt: 0,
+      lastIp: null,
+      lastUa: null,
+      os: '',
+      browser: '',
+      device: '',
     }
     this.live.set(id, rec)
     this.append({ op: 'add', dev: rec })
@@ -955,13 +1026,13 @@ class PersistentDevices {
     return null
   }
 
-  touch(dev) {
+  touch(dev, force) {
     const now = Date.now()
     dev.lastUsedAt = now
-    // 每次请求都写盘会放大 IO：最多每分钟落一次 touch
-    if (now - (dev.persistedAt || 0) >= 60000) {
+    // 每次请求都写盘会放大 IO：最多每分钟落一次；UA/IP 变化时立即落。
+    if (force || now - (dev.persistedAt || 0) >= 60000) {
       dev.persistedAt = now
-      this.append({ op: 'touch', id: dev.id, at: now })
+      this.append({ op: 'add', dev })
     }
   }
 
@@ -980,10 +1051,17 @@ class PersistentDevices {
       out.push({
         id: dev.id,
         name: dev.name,
+        description: dev.description || '',
         clientId: dev.clientId,
         scope: dev.scope,
         createdAt: dev.createdAt,
         lastUsedAt: dev.lastUsedAt,
+        lastIp: dev.lastIp || null,
+        lastUa: dev.lastUa || null,
+        os: dev.os || '',
+        browser: dev.browser || '',
+        device: dev.device || '',
+        fingerprint: sessionFingerprint({ ua: dev.lastUa, ip: dev.lastIp }),
       })
     }
     out.sort((a, b) => b.createdAt - a.createdAt)
@@ -997,6 +1075,84 @@ class PersistentDevices {
   }
 }
 
+/**
+ * DeepSeek 登录回调中转窗口（独立子窗口，类似 SSO 验证弹窗）。
+ * 用户在主窗口点 DeepSeek 登录时由插件打开；授权后把回环回调 URL 粘进来。
+ */
+function relayWindowPage() {
+  return `<!DOCTYPE html>
+<html lang="zh-CN">
+<head>
+<meta charset="utf-8">
+<meta name="viewport" content="width=device-width, initial-scale=1">
+<meta name="color-scheme" content="light dark">
+<title>DeepSeek 登录 · 等待验证</title>
+<style>
+  :root { color-scheme: light dark; }
+  body { margin: 0; min-height: 100vh; display: flex; align-items: center; justify-content: center;
+    background: #f6f7f9; font-family: system-ui, -apple-system, 'Segoe UI', sans-serif; color: #15171b; }
+  @media (prefers-color-scheme: dark) { body { background: #141416; color: #f2f3f5; } }
+  .card { width: 400px; max-width: calc(100vw - 40px); padding: 26px 24px; box-sizing: border-box;
+    background: #fff; border: 1px solid rgba(0,0,0,.08); border-radius: 14px; box-shadow: 0 18px 50px rgba(0,0,0,.10); }
+  @media (prefers-color-scheme: dark) { .card { background: #1e1e21; border-color: rgba(255,255,255,.10); box-shadow: 0 18px 50px rgba(0,0,0,.5); } }
+  h1 { margin: 0 0 6px; font-size: 17px; }
+  p.sub { margin: 0 0 14px; font-size: 13px; line-height: 1.65; opacity: .68; }
+  .dot { display: inline-block; width: 8px; height: 8px; border-radius: 50%; background: #4a7cf7; margin-right: 7px;
+    animation: pulse 1.2s ease-in-out infinite; }
+  @keyframes pulse { 0%,100% { opacity: .35 } 50% { opacity: 1 } }
+  input { box-sizing: border-box; width: 100%; height: 38px; padding: 0 11px; font-size: 12.5px; border-radius: 9px;
+    border: 1px solid rgba(0,0,0,.16); background: transparent; color: inherit; outline: none; }
+  input:focus { border-color: #4a7cf7; box-shadow: 0 0 0 3px rgba(74,124,247,.18); }
+  button { width: 100%; height: 40px; margin-top: 12px; font-size: 13px; font-weight: 600; border-radius: 9px; cursor: pointer;
+    border: 1px solid #4a7cf7; background: #4a7cf7; color: #fff; }
+  button:disabled { opacity: .5; cursor: default; }
+  #m { margin: 12px 0 0; font-size: 12.5px; line-height: 1.6; min-height: 18px; }
+</style>
+</head>
+<body>
+<div class="card">
+  <h1><span class="dot"></span>等待验证</h1>
+  <p class="sub">请在另一个窗口完成 DeepSeek 授权。授权后浏览器会跳到 <code>127.0.0.1</code> 的回调地址（远程通常打不开），把地址栏里的完整 URL 粘贴到这里。</p>
+  <input id="u" placeholder="http://127.0.0.1:3080/oauth/callback?code=…&state=…" autocomplete="off" spellcheck="false">
+  <button id="b">完成登录</button>
+  <p id="m"></p>
+</div>
+<script>
+(function () {
+  var u = document.getElementById('u');
+  var b = document.getElementById('b');
+  var m = document.getElementById('m');
+  b.addEventListener('click', async function () {
+    var url = u.value.trim();
+    if (!url) { m.textContent = '请粘贴完整回调地址'; return; }
+    b.disabled = true;
+    m.textContent = '正在完成登录…';
+    try {
+      var res = await fetch('/dsh-webui-oauth/oauth-relay', {
+        method: 'POST', headers: { 'content-type': 'application/json' },
+        body: JSON.stringify({ url: url })
+      });
+      if (res.status === 401) { m.textContent = '会话已失效，请关闭本窗口并在主页面重新登录'; return; }
+      var j = await res.json();
+      if (j && j.ok) {
+        m.textContent = '已收到回调，正在完成登录…';
+        try { if (window.opener) window.opener.postMessage({ type: 'dsh-wua-relayed', ok: true }, location.origin); } catch (e) {}
+        setTimeout(function () { try { window.close(); } catch (e) {} }, 700);
+      } else {
+        m.textContent = (j && (j.hint || j.reason || j.error)) || '中转失败';
+      }
+    } catch (e) {
+      m.textContent = '无法连接认证服务';
+    } finally {
+      b.disabled = false;
+    }
+  });
+})();
+</script>
+</body>
+</html>`
+}
+
 /**
  * 设备授权批准页（RFC 8628 的 verification_uri）。
  * 公开 GET；真正的批准 POST 需要浏览器会话（自管端点里 checkRequest）。
@@ -1053,18 +1209,41 @@ function deviceApprovalPage(userCode) {
   var m = document.getElementById('m');
   var ok = document.getElementById('ok');
   var no = document.getElementById('no');
+  function goLogin() {
+    var next = location.pathname + location.search;
+    location.href = '/dsh-webui-oauth/login?next=' + encodeURIComponent(next);
+  }
+  // 未登录先送去登录页；登录成功（密码或 SSO）后由 next 回到本页并带上 user_code。
+  fetch('/dsh-webui-oauth/status').then(function (r) {
+    if (r.status === 401) goLogin();
+  }).catch(function () {});
   async function act(decision) {
     ok.disabled = true; no.disabled = true;
     m.textContent = '处理中…';
     try {
+      // 批准前先看应用声明：让用户知道自己在批准哪个应用。
+      if (decision === 'approve') {
+        try {
+          var infoRes = await fetch('/dsh-webui-oauth/device/inspect', {
+            method: 'POST', headers: { 'content-type': 'application/json' },
+            body: JSON.stringify({ user_code: document.getElementById('c').value })
+          });
+          if (infoRes.status === 401) { goLogin(); return; }
+          var info = await infoRes.json();
+          if (info && info.ok) {
+            var label = info.app + (info.description ? '（' + info.description + '）' : '');
+            if (!window.confirm('应用「' + label + '」请求访问此 DSH，是否批准？')) {
+              m.textContent = '已取消';
+              return;
+            }
+          }
+        } catch (e) { /* inspect 失败不阻断批准 */ }
+      }
       var res = await fetch('/dsh-webui-oauth/device/approve', {
         method: 'POST', headers: { 'content-type': 'application/json' },
         body: JSON.stringify({ user_code: document.getElementById('c').value, action: decision })
       });
-      if (res.status === 401) {
-        m.innerHTML = '请先登录后再批准。<a href="/dsh-webui-oauth/login">前往登录</a>';
-        return;
-      }
+      if (res.status === 401) { goLogin(); return; }
       var j = await res.json();
       if (j && j.ok) m.textContent = decision === 'approve' ? '已批准，请返回应用完成登录。' : '已拒绝该设备。';
       else m.textContent = (j && (j.reason || j.error)) || '操作失败';
@@ -1199,6 +1378,8 @@ const LOGIN_PAGE = `<!DOCTYPE html>
 var MODE = "__MODE__";
 var OIDC_ENABLED = "__OIDC_ENABLED__";
 var SSO_ONLY = "__SSO_ONLY__";
+var NEXT = '';
+try { NEXT = new URLSearchParams(location.search).get('next') || ''; } catch (err) { NEXT = ''; }
 var sub = document.getElementById('sub'), pl = document.getElementById('pl'), pc = document.getElementById('pc'), e = document.getElementById('e'),
   u = document.getElementById('u'), p = document.getElementById('p'), p2 = document.getElementById('p2'), b = document.getElementById('b'),
   ul = document.getElementById('ul'),
@@ -1237,7 +1418,10 @@ if (SSO_ONLY === 'true' && MODE === 'login') {
 if (sso) {
   sso.addEventListener('click', function () {
     var base = location.origin || '';
-    var target = '/dsh-webui-oauth/oidc/login' + (base ? '?base=' + encodeURIComponent(base) : '');
+    var target = '/dsh-webui-oauth/oidc/login';
+    var sep = '?';
+    if (base) { target += '?base=' + encodeURIComponent(base); sep = '&'; }
+    if (NEXT) target += sep + 'next=' + encodeURIComponent(NEXT);
     location.href = target;
   });
 }
@@ -1269,6 +1453,7 @@ f.addEventListener('submit', function (ev) {
   }
   b.disabled = true; b.textContent = '请稍候…';
   var body = { username: username, password: password };
+  if (NEXT) body.next = NEXT;
   if (MODE === 'setup') body.token = token;
   fetch(MODE === 'setup' ? '/dsh-webui-oauth/setup' : '/dsh-webui-oauth/login', {
     method: 'POST', headers: { 'content-type': 'application/json' }, body: JSON.stringify(body)
@@ -1337,6 +1522,7 @@ const PUBLIC_EXACT_PATHS = new Set([
   '/dsh-webui-oauth/oidc/login',   // SSO 发起（未绑定时内部拒绝）
   '/dsh-webui-oauth/oidc/callback',// IdP 回跳（state + PKCE + 验签把关）
   '/dsh-webui-oauth/device',            // 设备授权批准页（GET；批准 POST 走自管端点）
+  '/dsh-webui-oauth/relay-window',     // DeepSeek 登录回调中转子窗口
   '/dsh-webui-oauth/device/authorize',  // RFC 8628 设备授权请求
   '/dsh-webui-oauth/device/token',      // RFC 8628 轮询换 token
 ])
@@ -1362,7 +1548,10 @@ const SELF_GATED_EXACT_PATHS = new Set([
   '/dsh-webui-oauth/oauth-relay',
   '/dsh-webui-oauth/remote-trust',
   '/dsh-webui-oauth/sessions/revoke',
+  '/dsh-webui-oauth/sessions/revoke-one',
+  '/dsh-webui-oauth/sessions',
   '/dsh-webui-oauth/device/approve',
+  '/dsh-webui-oauth/device/inspect',
   '/dsh-webui-oauth/device/core-session',
   '/dsh-webui-oauth/devices',
   '/dsh-webui-oauth/devices/revoke',
@@ -2406,6 +2595,20 @@ const REAUTH_POPUP_HTML = `<!doctype html>
 try { if (window.opener) window.opener.postMessage({ type: 'dsh-wua-reauth', ok: true }, location.origin); } catch (e) {}
 setTimeout(function () { try { window.close(); } catch (e) {} }, 400);
 </script></body></html>`
+
+// OIDC 绑定/换绑的弹窗回调页：通知 opener 后自我关闭。
+const BIND_POPUP_HTML = `<!doctype html>
+<html lang="zh-CN"><head><meta charset="utf-8"><title>绑定成功</title>
+<style>
+  html,body{height:100%;margin:0}
+  body{display:flex;align-items:center;justify-content:center;font:14px/1.6 system-ui,-apple-system,"Segoe UI",sans-serif;background:#0b0b0c;color:#e8e8e8}
+  .box{text-align:center;opacity:.92}
+</style></head>
+<body><div class="box"><p>绑定成功，正在返回设置页…</p><p style="font-size:12px;opacity:.6">如果窗口没有自动关闭，请手动关闭。</p></div>
+<script>
+try { if (window.opener) window.opener.postMessage({ type: 'dsh-wua-bound', ok: true }, location.origin); } catch (e) {}
+setTimeout(function () { try { window.close(); } catch (e) {} }, 400);
+</script></body></html>`
 // 授权请求状态（state / nonce / PKCE verifier）的存活时间。三次握手应在分钟内
 // 完成，10 分钟足够覆盖用户在 IdP 侧慢慢登录的情形，又限制了被滥用的窗口。
 const OIDC_STATE_TTL_MS = 10 * 60 * 1000
@@ -2417,6 +2620,25 @@ const OIDC_MAX_PENDING_STATES = 1000
 // 纯 origin 格式校验：http/https、无 path/query/hash、无 userinfo。
 // 刻意**不做** host 匹配——trustBrowserOrigin 语义即"信前端 origin"，
 // 这里只挡"明显构造的垃圾值/注入"，保底格式合法性。
+/**
+ * 校验登录后回跳路径：只允许同源相对路径。
+ * 拒绝 "//host"、反斜杠、绝对 URL 与协议相对 URL（防开放重定向）。
+ */
+export function safeNextPath(raw) {
+  if (typeof raw !== 'string') return null
+  const value = raw.trim()
+  if (!value || value.length > 2048) return null
+  if (value[0] !== '/' || value[1] === '/') return null
+  if (value.includes('\\')) return null
+  try {
+    const u = new URL(value, 'http://dsh.invalid')
+    if (u.origin !== 'http://dsh.invalid') return null
+    return u.pathname + u.search + u.hash
+  } catch (e) {
+    return null
+  }
+}
+
 export function isValidOrigin(raw) {
   if (typeof raw !== 'string' || !raw.trim()) return false
   // 拒绝控制字符（\r \n \t 等）：WHATWG URL 解析器会静默剥离 CRLF 产生看似合法的畸形 URL，
@@ -2956,7 +3178,16 @@ export async function apply(ctx) {
     if (bearer) {
       const dev = devices.findByToken(bearer)
       if (!dev) return false
-      devices.touch(dev)
+      // 设备会话同样以当前 HTTP 请求实时刷新来源信息（IP / UA / 系统 / 浏览器）。
+      const meta = requestMeta(req)
+      const parsed = describeUserAgent(meta.ua)
+      const changed = dev.lastIp !== meta.ip || dev.lastUa !== meta.ua
+      dev.lastIp = meta.ip
+      dev.lastUa = meta.ua
+      dev.os = parsed.os
+      dev.browser = parsed.browser
+      dev.device = parsed.device
+      devices.touch(dev, changed)
       return true
     }
     const token = cookieOf(req, COOKIE_NAME)
@@ -2967,7 +3198,23 @@ export async function apply(ctx) {
       sessions.delete(token)
       return false
     }
-    if (s.browser === true) s.expiresAt = Date.now() + SESSION_TTL_MS
+    // 浏览器标识以**当前 HTTP 请求**为准，实时刷新（UA / IP / 系统 / 浏览器 / 设备）。
+    // 落盘做节流：UA/IP 变化立即写，否则每分钟一次，避免每个静态资源请求都写盘。
+    const now = Date.now()
+    const meta = requestMeta(req)
+    const parsed = describeUserAgent(meta.ua)
+    const changed = s.ip !== meta.ip || s.ua !== meta.ua
+    s.lastSeenAt = now
+    s.ip = meta.ip
+    s.ua = meta.ua
+    s.os = parsed.os
+    s.browserName = parsed.browser
+    s.device = parsed.device
+    if (changed || now - (s.persistedAt || 0) > 60000) {
+      s.persistedAt = now
+      sessions.append({ op: 'add', token, sess: s })
+    }
+    if (s.browser === true) s.expiresAt = now + SESSION_TTL_MS
     return true
   }
 
@@ -2998,10 +3245,24 @@ export async function apply(ctx) {
     if (s) delete s.reauthAt
   }
 
-  function createSession(username, ttl) {
+  function createSession(username, ttl, req) {
     const token = randomBytes(24).toString('hex')
     const ttlMs = ttl > 0 ? ttl * 3600 * 1000 : SESSION_TTL_MS
-    sessions.set(token, { username, expiresAt: Date.now() + ttlMs, browser: ttl <= 0 })
+    const meta = requestMeta(req || {})
+    const parsed = describeUserAgent(meta.ua)
+    const now = Date.now()
+    sessions.set(token, {
+      username,
+      expiresAt: now + ttlMs,
+      browser: ttl <= 0,
+      createdAt: now,
+      lastSeenAt: now,
+      ip: meta.ip,
+      ua: meta.ua,
+      os: parsed.os,
+      browserName: parsed.browser,
+      device: parsed.device,
+    })
     return { token, maxAge: ttl > 0 ? ttl * 3600 : undefined }
   }
 
@@ -3212,6 +3473,8 @@ export async function apply(ctx) {
     handler: async (req, res) => {
       try {
         if (req.method === 'GET' || req.method === 'HEAD') {
+          let next = null
+          try { next = safeNextPath(new URL(req.url || '/', 'http://x').searchParams.get('next')) } catch (e) { next = null }
           const credsNow = await readCredentials(ctx)
           // 已有有效会话时，登录页不该再显示表单——直接送回首页。
           //
@@ -3222,8 +3485,10 @@ export async function apply(ctx) {
           // 只在认证已启用时判断：首次初始化（enabledFlag=false）时 checkRequest
           // 恒为 true，不能把首次访问的人也送回首页（那会 404/白屏）。
           if (enabledFlag && checkRequest(req)) {
-            let target = '/'
-            try { target = postLoginRedirect(ctx, req) || '/' } catch (e) { target = '/' }
+            let target = next
+            if (!target) {
+              try { target = postLoginRedirect(ctx, req) || '/' } catch (e) { target = '/' }
+            }
             res.writeHead(302, { location: target, 'cache-control': 'no-store' })
             res.end()
             return
@@ -3231,7 +3496,9 @@ export async function apply(ctx) {
           // 「仅允许 SSO」：密码表单没有意义，直接送去 SSO 入口。
           // 放在会话判断之后：已登录仍然优先回首页。
           if (enabledFlag && ssoOnlyActiveFlag) {
-            res.writeHead(302, { location: loginLocation(req), 'cache-control': 'no-store' })
+            let location = loginLocation(req)
+            if (next) location += (location.includes('?') ? '&' : '?') + 'next=' + encodeURIComponent(next)
+            res.writeHead(302, { location, 'cache-control': 'no-store' })
             res.end()
             return
           }
@@ -3304,10 +3571,11 @@ export async function apply(ctx) {
             sendJson(res, 200, { ok: false, error: 'invalid' })
             return
           }
-          const s = createSession(username, ttlOf(creds))
+          const s = createSession(username, ttlOf(creds), req)
           res.setHeader('Set-Cookie', sessionCookie(s.token, s.maxAge))
           await auditLog(ctx, 'login_success', { username, ip: meta.ip, ua: meta.ua })
-          sendJson(res, 200, { ok: true, redirect: postLoginRedirect(ctx, req) })
+          const next = safeNextPath(body.next)
+          sendJson(res, 200, { ok: true, redirect: next || postLoginRedirect(ctx, req) })
           return
         }
         sendJson(res, 405, { error: '仅支持 GET/POST' })
@@ -3365,7 +3633,7 @@ export async function apply(ctx) {
         await writeCredentials(ctx, { v: 3, username, hash: await hashPassword(password), ttl: TTL_DEFAULT })
         try { unlinkSync(DATA_DIR + '/setup-token') } catch (e) { /* already gone */ }
         enabledFlag = true
-        const s = createSession(username, TTL_DEFAULT)
+        const s = createSession(username, TTL_DEFAULT, req)
         res.setHeader('Set-Cookie', sessionCookie(s.token, s.maxAge))
         await auditLog(ctx, 'setup_success', { username, ip: meta.ip, ua: meta.ua })
         sendJson(res, 200, { ok: true, redirect: postLoginRedirect(ctx, req) })
@@ -3444,6 +3712,105 @@ export async function apply(ctx) {
     },
   }), 'dsh-webui-oauth: revoke sessions')
 
+  // 浏览器会话列表：GET /dsh-webui-oauth/sessions
+  ctx.effect(() => ctx.webServer.register({
+    kind: 'exact',
+    path: '/dsh-webui-oauth/sessions',
+    handler: async (req, res) => {
+      try {
+        if (req.method !== 'GET') {
+          sendJson(res, 405, { error: '仅支持 GET' })
+          return
+        }
+        if (enabledFlag && !sessionOf(req)) {
+          sendJson(res, 401, { error: 'unauthorized' })
+          return
+        }
+        const currentToken = cookieOf(req, COOKIE_NAME)
+        const now = Date.now()
+        const out = []
+        for (const [token, s] of sessions.live) {
+          if (s.expiresAt <= now) continue
+          out.push({
+            id: sessionShortId(token),
+            current: token === currentToken,
+            createdAt: s.createdAt || null,
+            lastSeenAt: s.lastSeenAt || s.createdAt || null,
+            expiresAt: s.expiresAt,
+            os: s.os || '',
+            browser: s.browserName || '',
+            device: s.device || '',
+            ip: s.ip || null,
+            fingerprint: sessionFingerprint(s),
+          })
+        }
+        out.sort((a, b) => (b.current ? 1 : 0) - (a.current ? 1 : 0) || (b.lastSeenAt || 0) - (a.lastSeenAt || 0))
+        sendJson(res, 200, { ok: true, sessions: out })
+      } catch (e) {
+        sendJson(res, 500, { error: e && e.message ? e.message : String(e) })
+      }
+    },
+  }), 'dsh-webui-oauth: sessions list')
+
+  // 吊销指定浏览器会话：POST /dsh-webui-oauth/sessions/revoke-one
+  ctx.effect(() => ctx.webServer.register({
+    kind: 'exact',
+    path: '/dsh-webui-oauth/sessions/revoke-one',
+    handler: async (req, res) => {
+      try {
+        if (req.method !== 'POST') {
+          sendJson(res, 405, { error: '仅支持 POST' })
+          return
+        }
+        if (enabledFlag && !sessionOf(req)) {
+          sendJson(res, 401, { error: 'unauthorized' })
+          return
+        }
+        const body = await readJsonBody(req, res)
+        if (body === null) return
+        const id = String(body.id || '')
+        const currentToken = cookieOf(req, COOKIE_NAME)
+        let target = null
+        for (const token of sessions.live.keys()) {
+          if (sessionShortId(token) === id) { target = token; break }
+        }
+        if (!target) {
+          sendJson(res, 200, { ok: false, error: 'not-found' })
+          return
+        }
+        if (target === currentToken) {
+          sendJson(res, 200, { ok: false, error: 'current-session', reason: '当前会话请用「退出登录」' })
+          return
+        }
+        sessions.delete(target)
+        const meta = requestMeta(req)
+        await auditLog(ctx, 'session_revoked', { username: null, ip: meta.ip, ua: meta.ua, detail: id })
+        sendJson(res, 200, { ok: true })
+      } catch (e) {
+        sendJson(res, 500, { error: e && e.message ? e.message : String(e) })
+      }
+    },
+  }), 'dsh-webui-oauth: revoke one session')
+
+  // DeepSeek 登录回调中转子窗口
+  ctx.effect(() => ctx.webServer.register({
+    kind: 'exact',
+    path: '/dsh-webui-oauth/relay-window',
+    handler: async (req, res) => {
+      if (req.method !== 'GET' && req.method !== 'HEAD') {
+        sendJson(res, 405, { error: '仅支持 GET' })
+        return
+      }
+      res.writeHead(200, {
+        'content-type': 'text/html; charset=utf-8',
+        'cache-control': 'no-store',
+        'x-content-type-options': 'nosniff',
+        'x-frame-options': 'DENY',
+      })
+      res.end(relayWindowPage())
+    },
+  }), 'dsh-webui-oauth: relay window')
+
   // ---------------- 设备授权（RFC 8628 device_code） ----------------
   //
   // 面向 App / CLI：无回调、无浏览器 Cookie。流程：
@@ -3477,15 +3844,25 @@ export async function apply(ctx) {
           sendJson(res, 429, { error: 'temporarily_unavailable' })
           return
         }
+        // 设备授权必须声明"是什么应用"：名称进入待批准记录与设备列表。
+        const name = String(body.client_name || body.app_name || '').trim().slice(0, 60)
+        if (!name) {
+          sendJson(res, 400, {
+            error: 'invalid_request',
+            error_description: 'client_name 必填：设备授权需要在申请时声明应用名称',
+          })
+          return
+        }
+        const description = String(body.client_description || body.app_description || '').trim().slice(0, 160)
         const deviceCode = randomBytes(32).toString('hex')
         const userCode = makeUserCode()
         const scope = String(body.scope || 'dsh').slice(0, 80)
-        const name = String(body.client_name || body.name || '').trim().slice(0, 60) || 'App'
         pendingDevices.set(deviceCode, {
           userCode,
           clientId,
           scope,
           name,
+          description,
           expiresAt: now + DEVICE_CODE_TTL_MS,
           interval: DEVICE_INTERVAL_S,
           lastPollAt: 0,
@@ -3555,7 +3932,13 @@ export async function apply(ctx) {
         // 单次发放：同一个 device_code 只能换一次 token。
         const token = randomBytes(32).toString('hex')
         const hash = createHash('sha256').update(token).digest('hex')
-        const rec = devices.add({ name: pending.name, hash, clientId: pending.clientId, scope: pending.scope })
+        const rec = devices.add({
+          name: pending.name,
+          description: pending.description,
+          hash,
+          clientId: pending.clientId,
+          scope: pending.scope,
+        })
         pending.issued = true
         pendingDevices.delete(code)
         const meta = requestMeta(req)
@@ -3649,6 +4032,48 @@ export async function apply(ctx) {
     },
   }), 'dsh-webui-oauth: device approve')
 
+  // 批准前查看待授权应用的声明（仅浏览器会话）
+  ctx.effect(() => ctx.webServer.register({
+    kind: 'exact',
+    path: '/dsh-webui-oauth/device/inspect',
+    handler: async (req, res) => {
+      try {
+        if (req.method !== 'POST') {
+          sendJson(res, 405, { error: '仅支持 POST' })
+          return
+        }
+        if (enabledFlag && !sessionOf(req)) {
+          sendJson(res, 401, { error: 'unauthorized' })
+          return
+        }
+        const body = await readJsonBody(req, res)
+        if (body === null) return
+        const wanted = normalizeUserCode(body.user_code)
+        let entry = null
+        for (const pending of pendingDevices.values()) {
+          if (pending.userCode.replace('-', '') === wanted) { entry = pending; break }
+        }
+        if (!entry) {
+          sendJson(res, 200, { ok: false, error: 'invalid-code' })
+          return
+        }
+        if (entry.expiresAt <= Date.now()) {
+          sendJson(res, 200, { ok: false, error: 'expired' })
+          return
+        }
+        sendJson(res, 200, {
+          ok: true,
+          app: entry.name,
+          description: entry.description || '',
+          client_id: entry.clientId,
+          scope: entry.scope,
+        })
+      } catch (e) {
+        sendJson(res, 500, { error: e && e.message ? e.message : String(e) })
+      }
+    },
+  }), 'dsh-webui-oauth: device inspect')
+
   // 设备会话列表 / 吊销（浏览器会话）
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -4066,11 +4491,21 @@ export async function apply(ctx) {
         // 不必等后台定时器（否则用户保存后要最多 60 秒才看到效果）。
         await refreshSsoOnly(credsOut)
         enabledFlag = true
+        let revoked = 0
         if (wasEnabled) {
-          const keepToken = cookieOf(req, COOKIE_NAME)
-          destroyAllSessionsExcept(keepToken)
+          // 只有**改密码**才需要吊销其它浏览器会话；只改 TTL/OIDC 配置不应该
+          // 把人从别的浏览器里踢出去。设备会话始终不受影响（它们由设备列表单独吊销）。
+          if (!keepPassword) {
+            const keepToken = cookieOf(req, COOKIE_NAME)
+            let before = 0
+            for (const _ of sessions.live) before += 1
+            destroyAllSessionsExcept(keepToken)
+            let after = 0
+            for (const _ of sessions.live) after += 1
+            revoked = Math.max(0, before - after)
+          }
         } else {
-          const s = createSession(username, ttl)
+          const s = createSession(username, ttl, req)
           res.setHeader('Set-Cookie', sessionCookie(s.token, s.maxAge))
         }
         const detailParts = []
@@ -4078,7 +4513,7 @@ export async function apply(ctx) {
         if (body.ttl !== undefined) detailParts.push('有效期已修改')
         await auditLog(ctx, 'configure_success', { username, ip: meta.ip, ua: meta.ua, detail: detailParts.length ? detailParts.join('，') : null })
         clearSessionReauth(req)
-        sendJson(res, 200, { ok: true })
+        sendJson(res, 200, { ok: true, revoked, passwordChanged: !keepPassword })
       } catch (e) {
         sendJson(res, 500, { error: e && e.message ? e.message : String(e) })
       }
@@ -4200,9 +4635,11 @@ export async function apply(ctx) {
     // 的小页面，而不是把整个应用加载进弹窗。
     let popup = false
     try {
-      popup = purpose === 'reauth' && new URL(req.url || '/', 'http://x').searchParams.get('popup') === '1'
+      popup = new URL(req.url || '/', 'http://x').searchParams.get('popup') === '1'
     } catch (e) { popup = false }
-    oidcStateStore.put(state, { nonce, verifier, redirectUri, purpose, sessionToken, popup })
+    let next = null
+    try { next = safeNextPath(new URL(req.url || '/', 'http://x').searchParams.get('next')) } catch (e) { next = null }
+    oidcStateStore.put(state, { nonce, verifier, redirectUri, purpose, sessionToken, popup, next })
     const authUrl = new URL(disc.metadata.authorization_endpoint)
     authUrl.searchParams.set('response_type', 'code')
     authUrl.searchParams.set('client_id', o.clientId)
@@ -4527,7 +4964,17 @@ export async function apply(ctx) {
           // 保留原有 username/hash/ttl，只加 boundSub —— 用 spread 以免漏字段。
           await writeCredentials(ctx, { ...creds, boundSub: rawSub })
           await auditLog(ctx, 'oidc_bind_success', { username: auditName, ip: meta.ip, ua: meta.ua })
-          // 成功必须【把浏览器送回应用】，而不是停在 JSON 上（见 redirectBackToApp 说明）。
+          // 弹窗发起：回一个自我关闭的页面；否则把浏览器送回应用。
+          if (st.popup) {
+            res.writeHead(200, {
+              'content-type': 'text/html; charset=utf-8',
+              'cache-control': 'no-store',
+              'x-content-type-options': 'nosniff',
+              'set-cookie': clearStateCookie['Set-Cookie'],
+            })
+            res.end(BIND_POPUP_HTML)
+            return
+          }
           redirectBackToApp(ctx, req, res, 'oidcbound=1', clearStateCookie)
           return
         }
@@ -4549,7 +4996,7 @@ export async function apply(ctx) {
 
         // 建本地会话。身份用**原始 sub**（sanitize 是有损的：'a/b' 与 'a_b' 会塌成同一个
         // 本地用户名，拿它当身份会张冠李戴）；审计里才用 sanitizeSub 过滤后的短标识。
-        const s = createSession(rawSub, ttlOf(creds))
+        const s = createSession(rawSub, ttlOf(creds), req)
         await auditLog(ctx, 'oidc_login_success', { username: auditName, ip: meta.ip, ua: meta.ua })
         // 授权往返结束：直接 302 回应用，并同时下发会话 Cookie、清除一次性 state Cookie。
         //
@@ -4558,7 +5005,8 @@ export async function apply(ctx) {
         // 被 302 到 IdP 再 302 回来的），渲染 JSON 就停在死页面上了。
         // Set-Cookie 必须一次带两条（会话 + 清除 state），缺任一条都会出问题。
         res.writeHead(302, {
-          location: postLoginRedirect(ctx, req),
+          // 有 next（例如设备批准页）就回原页面；否则回应用根并带核心 launch token。
+          location: st.next || postLoginRedirect(ctx, req),
           'Set-Cookie': [sessionCookie(s.token, s.maxAge), clearStateCookie['Set-Cookie']],
         })
         res.end()

package/lib/client.js

@@ -68,6 +68,33 @@ window.__ModuleLoader__.load({
 				if (styleEl.parentNode !== null) styleEl.parentNode.removeChild(styleEl);
 			}, 'dsh-webui-oauth: styles');
 
+			// ---------------- DeepSeek 登录：打开回调中转子窗口 ----------------
+			// 官方登录会新开窗口去 IdP；远程部署回调落在 127.0.0.1，打不开。
+			// 在用户点击「登录」的同一手势里打开中转窗口（避免被弹窗拦截），
+			// 用户授权后把回调 URL 粘进去即可。命中失败时仍有内联粘贴框兜底。
+			(function hookDeepSeekLogin() {
+				if (typeof document === 'undefined' || typeof document.addEventListener !== 'function') return;
+				let last = 0;
+				const handler = (ev) => {
+					try {
+						const target = ev.target;
+						const btn = target && target.closest ? target.closest('button,[role="button"]') : null;
+						if (!btn) return;
+						const label = (btn.textContent || '').trim();
+						if (!/^(登录|Sign in|继续登录|重新登录)$/i.test(label)) return;
+						const scope = btn.closest('[role="dialog"],section,form,div');
+						const text = scope ? (scope.textContent || '') : '';
+						if (!/DeepSeek|账号|Account/i.test(text)) return;
+						const now = Date.now();
+						if (now - last < 1500) return;
+						last = now;
+						window.open('/dsh-webui-oauth/relay-window', 'dsh-wua-relay', 'width=480,height=620');
+					} catch (e) { /* best effort */ }
+				};
+				document.addEventListener('click', handler, true);
+				ctx.effect(() => () => document.removeEventListener('click', handler, true), 'dsh-webui-oauth: deepseek relay hook');
+			})();
+
 			// ---------------- DeepSeek 登录回调：合并进官方「等待登录」对话框 ----------------
 			//
 			// 官方账号登录是 SignInDialog（另一个插件）渲染的，没有开放插槽；但它等待
@@ -105,8 +132,16 @@ window.__ModuleLoader__.load({
 					submit.type = 'button';
 					submit.className = 'wua-btn';
 					submit.textContent = '完成登录';
+					const pop = document.createElement('button');
+					pop.type = 'button';
+					pop.className = 'wua-btn ghost';
+					pop.textContent = '在新窗口打开';
+					pop.addEventListener('click', () => {
+						window.open('/dsh-webui-oauth/relay-window', 'dsh-wua-relay', 'width=480,height=620');
+					});
 					row.appendChild(input);
 					row.appendChild(submit);
+					row.appendChild(pop);
 
 					const msg = document.createElement('p');
 					msg.style.display = 'none';
@@ -276,8 +311,8 @@ window.__ModuleLoader__.load({
 				// （服务端只回传掩码，前端拿不到 sub 明文，也不应该拿）。
 				const [oidcBound, setOidcBound] = react.useState(false);
 				const [oidcBoundHint, setOidcBoundHint] = react.useState('');
-				const [unbindPw, setUnbindPw] = react.useState('');
 				const [bindMsg, setBindMsg] = react.useState(null);
+				const [bindWaiting, setBindWaiting] = react.useState(false);
 				// 敏感操作复验（保存配置 / 禁用 / 解绑）：密码或 SSO 一次性令牌。
 				const [saveOpen, setSaveOpen] = react.useState(false);
 				const [savePw, setSavePw] = react.useState('');
@@ -289,6 +324,9 @@ window.__ModuleLoader__.load({
 				const [remoteTrustBusy, setRemoteTrustBusy] = react.useState(false);
 				const [remoteTrustMsg, setRemoteTrustMsg] = react.useState(null);
 				// 设备会话（App / CLI）：独立列表，只有主动吊销才失效。
+				const [sessionList, setSessionList] = react.useState(null);
+				const [sessionBusy, setSessionBusy] = react.useState(false);
+				const [sessionMsg, setSessionMsg] = react.useState(null);
 				const [deviceList, setDeviceList] = react.useState(null);
 				const [deviceBusy, setDeviceBusy] = react.useState(false);
 				const [deviceMsg, setDeviceMsg] = react.useState(null);
@@ -338,6 +376,10 @@ window.__ModuleLoader__.load({
 						if (!alive) return;
 						if (r && r.ok && Array.isArray(r.devices)) setDeviceList(r.devices);
 					}).catch(() => { /* 设备列表不可用时静默 */ });
+					api('/dsh-webui-oauth/sessions').then((r) => {
+						if (!alive) return;
+						if (r && r.ok && Array.isArray(r.sessions)) setSessionList(r.sessions);
+					}).catch(() => { /* 会话列表不可用时静默 */ });
 					return () => {
 						alive = false;
 					};
@@ -346,6 +388,20 @@ window.__ModuleLoader__.load({
 				// 读取 OIDC 回调带回来的回执。绑定/登录结束后浏览器会被 302 回应用，
 				// 结果通过 query 传递（oidcbound=1 / oidcerr=...）：因为是整页跳转，
 				// 组件重新挂载时才知道刚才发生了什么。
+				// 会话列表实时刷新：UA/IP 由服务端按每个 HTTP 请求更新，这里定期拉取。
+				react.useEffect(() => {
+					if (typeof setInterval !== 'function') return;
+					const timer = setInterval(() => {
+						api('/dsh-webui-oauth/sessions').then((r) => {
+							if (r && r.ok && Array.isArray(r.sessions)) setSessionList(r.sessions);
+						}).catch(() => {});
+						api('/dsh-webui-oauth/devices').then((r) => {
+							if (r && r.ok && Array.isArray(r.devices)) setDeviceList(r.devices);
+						}).catch(() => {});
+					}, 15000);
+					return () => { if (typeof clearInterval === 'function') clearInterval(timer); };
+				}, []);
+
 				// 复验弹窗通过 postMessage 通知；同时轮询 status 兜底（弹窗被拦截/关不掉）。
 				react.useEffect(() => {
 					if (typeof window === 'undefined' || typeof window.addEventListener !== 'function') return;
@@ -357,6 +413,18 @@ window.__ModuleLoader__.load({
 								if (s && !s.error) setStatus(s);
 							}).catch(() => {});
 						}
+						if (e.data && e.data.type === 'dsh-wua-bound' && e.data.ok) {
+							setBindWaiting(false);
+							api('/dsh-webui-oauth/status').then((s) => {
+								if (s && !s.error) {
+									setStatus(s);
+									const o = s.oidc || {};
+									setOidcBound(!!o.bound);
+									setOidcBoundHint(o.boundSubHint || '');
+								}
+							}).catch(() => {});
+							setBindMsg({ kind: 'ok', text: 'OIDC 身份绑定成功。此后只有该身份可通过 SSO 登录。' });
+						}
 					};
 					window.addEventListener('message', onMessage);
 					return () => window.removeEventListener('message', onMessage);
@@ -463,7 +531,10 @@ window.__ModuleLoader__.load({
 						setBusy(false);
 						if (r && r.ok) {
 							if (enabled) {
-								setMsg({ kind: 'ok', text: '已保存。其他已登录的设备/浏览器会话已全部吊销，当前会话保持有效。' });
+								const text = r.passwordChanged
+									? '已保存。密码已更新，已吊销 ' + (r.revoked || 0) + ' 个其他浏览器会话（设备会话不受影响）。'
+									: '已保存。当前会话保持有效。';
+								setMsg({ kind: 'ok', text });
 							} else {
 								setMsg({ kind: 'ok', text: '已保存并启用认证，当前浏览器已登录。' });
 							}
@@ -572,28 +643,39 @@ window.__ModuleLoader__.load({
 					setBindMsg(null);
 					// base 用当前页面的 origin：反代部署下浏览器看到的才是对外地址。
 					const base = location.origin || '';
-					location.href = '/dsh-webui-oauth/oidc/bind' + (base ? '?base=' + encodeURIComponent(base) : '');
+					const q = base ? '?base=' + encodeURIComponent(base) + '&popup=1' : '?popup=1';
+					const win = window.open('/dsh-webui-oauth/oidc/bind' + q, 'dsh-wua-bind', 'width=520,height=720');
+					if (!win) {
+						// 弹窗被拦截：回退整页跳转（回调会走 oidcbound=1 回执）
+						location.href = '/dsh-webui-oauth/oidc/bind' + (base ? '?base=' + encodeURIComponent(base) : '');
+						return;
+					}
+					setBindWaiting(true);
 				};
 
-				const onUnbind = () => {
+				const doUnbind = (auth) => {
 					if (busy) return;
-					if (!unbindPw) {
-						setBindMsg({ kind: 'err', text: '请输入当前密码以解除绑定' });
+					const credentials = auth || {};
+					if (!credentials.current && !reauthValid) {
+						setSaveErr('解除绑定需要验证：请输入当前密码，或使用 SSO 验证。');
 						return;
 					}
 					setBusy(true);
 					setBindMsg(null);
-					api('/dsh-webui-oauth/oidc/unbind', { current: unbindPw }).then((r) => {
+					api('/dsh-webui-oauth/oidc/unbind', { current: credentials.current || '' }).then((r) => {
 						setBusy(false);
 						if (r && r.ok) {
-							setUnbindPw('');
 							setOidcBound(false);
 							setOidcBoundHint('');
+							setSaveOpen(false);
+							setSavePw('');
+							setSaveErr('');
 							setBindMsg({ kind: 'ok', text: '已解除绑定。此后 OIDC 登录将被拒绝，直到重新绑定。' });
 							api('/dsh-webui-oauth/status').then((s) => {
 								if (s && !s.error) setStatus(s);
 							}).catch(() => {});
 						} else if (r && r.error === 'current-invalid') {
+							setSaveErr('当前密码不正确');
 							setBindMsg({ kind: 'err', text: '当前密码不正确' });
 						} else if (r && r.error === 'sso-only-active') {
 							setBindMsg({ kind: 'err', text: (r && r.hint) || '请先关闭「仅允许 SSO」再解绑' });
@@ -606,6 +688,14 @@ window.__ModuleLoader__.load({
 					});
 				};
 
+				const onUnbindClick = () => {
+					if (busy) return;
+					if (reauthValid) { doUnbind({}); return; }
+					setVerifyAction('unbind');
+					setSaveErr('');
+					setSaveOpen(true);
+				};
+
 				const onLogout = () => {
 					if (busy) return;
 					setBusy(true);
@@ -683,6 +773,30 @@ window.__ModuleLoader__.load({
 					return d.getFullYear() + '-' + pad(d.getMonth() + 1) + '-' + pad(d.getDate()) + ' ' + pad(d.getHours()) + ':' + pad(d.getMinutes());
 				}
 
+				const onRevokeSession = (id) => {
+					if (sessionBusy) return;
+					setSessionBusy(true);
+					setSessionMsg(null);
+					api('/dsh-webui-oauth/sessions/revoke-one', { id }).then((r) => {
+						setSessionBusy(false);
+						if (r && r.ok) {
+							setSessionList((list) => (list || []).filter((s) => s.id !== id));
+							setSessionMsg({ kind: 'ok', text: '已吊销该浏览器会话。' });
+						} else {
+							setSessionMsg({ kind: 'err', text: (r && (r.reason || r.error)) || '吊销失败' });
+						}
+					}).catch(() => {
+						setSessionBusy(false);
+						setSessionMsg({ kind: 'err', text: '无法连接认证服务' });
+					});
+				};
+
+				const refreshSessions = () => {
+					api('/dsh-webui-oauth/sessions').then((r) => {
+						if (r && r.ok && Array.isArray(r.sessions)) setSessionList(r.sessions);
+					}).catch(() => {});
+				};
+
 				const onRevokeDevice = (id) => {
 					if (deviceBusy) return;
 					setDeviceBusy(true);
@@ -857,20 +971,15 @@ window.__ModuleLoader__.load({
 								'。只有该身份可通过 SSO 登录。')
 							: react.createElement('p', { className: 'wua-warn' },
 								'尚未绑定任何 OIDC 身份。此时 OIDC 登录一律被拒绝，登录页也不会显示 SSO 按钮。请先保存上方配置，再点击「绑定 OIDC 身份」并完成一次 IdP 登录。'),
-						oidcBound
-							? react.createElement('div', { className: 'wua-row' },
-								react.createElement('label', { className: 'wua-label' }, '当前密码（解除绑定需验证）'),
-								react.createElement('input', { className: 'wua-input', type: 'password', value: unbindPw, autoComplete: 'current-password', onChange: (e) => setUnbindPw(e.target.value) }),
-							)
-							: null,
 						react.createElement('div', { className: 'wua-actions' },
 							oidcBound
-								? react.createElement('button', { className: 'wua-btn ghost', disabled: busy || status === null, onClick: onUnbind }, '解除绑定')
+								? react.createElement('button', { className: 'wua-btn ghost', disabled: busy || status === null, onClick: onUnbindClick }, '解除绑定')
 								: react.createElement('button', { className: 'wua-btn', disabled: busy || status === null, onClick: onBind }, '绑定 OIDC 身份'),
 							oidcBound
 								? react.createElement('button', { className: 'wua-btn ghost', disabled: busy || status === null, onClick: onBind }, '重新绑定其他身份')
 								: null,
 						),
+						bindWaiting ? react.createElement('p', { className: 'wua-msg' }, '等待绑定…请在打开的窗口中完成 IdP 授权。') : null,
 						bindMsg ? react.createElement('p', { className: bindMsg.kind === 'ok' ? 'wua-msg' : 'wua-err' }, bindMsg.text) : null,
 					]) : null,
 					card('远程访问', [
@@ -893,6 +1002,38 @@ window.__ModuleLoader__.load({
 						react.createElement('p', { className: 'wua-hint', style: { borderTop: 'none', paddingTop: 0 } },
 							'在「设置 → 账号」点击 DeepSeek 登录后，浏览器会跳到 127.0.0.1 的回调地址（远程机器上通常打不开）。官方「等待登录」窗口里会直接出现一个粘贴框：把地址栏里的完整 URL 粘进去即可。'),
 					]),
+					card('浏览器会话', [
+						sessionList === null ? null : badge(String(sessionList.length) + ' 个', sessionList.length ? 'ok' : 'muted'),
+					], [
+						react.createElement('p', { className: 'wua-intro' },
+							'当前已登录的浏览器。可单独吊销某个会话；设备会话在下一张卡片单独管理。'),
+						sessionList === null
+							? react.createElement('p', { className: 'wua-intro' }, '正在读取…')
+							: (sessionList.length === 0
+								? react.createElement('p', { className: 'wua-intro' }, '暂无活动的浏览器会话')
+								: react.createElement('div', { className: 'wua-audit' },
+									sessionList.map((s) => react.createElement('div', {
+										key: s.id,
+										className: 'wua-audit-row',
+										style: { alignItems: 'center' },
+									},
+										react.createElement('span', { className: 'wua-audit-event' }, s.current ? '当前会话' : (s.device || '浏览器')),
+										react.createElement('span', { className: 'wua-audit-user' }, [s.os, s.browser].filter(Boolean).join(' · ') || '未知设备'),
+										react.createElement('span', { className: 'wua-audit-time' }, '指纹 ' + (s.fingerprint || '—')),
+										react.createElement('span', { className: 'wua-audit-time' }, '最近 ' + fmtTime(s.lastSeenAt)),
+										react.createElement('span', { style: { flex: 1 } }),
+										react.createElement('button', {
+											className: 'wua-btn ghost',
+											disabled: sessionBusy || s.current,
+											title: s.current ? '当前会话请用「退出登录」' : '吊销该会话',
+											onClick: () => onRevokeSession(s.id),
+										}, s.current ? '当前' : '吊销'),
+									)))),
+						react.createElement('div', { className: 'wua-actions' },
+							react.createElement('button', { className: 'wua-btn ghost', onClick: refreshSessions }, '刷新列表'),
+						),
+						sessionMsg ? react.createElement('p', { className: sessionMsg.kind === 'ok' ? 'wua-msg' : 'wua-err' }, sessionMsg.text) : null,
+					]),
 					card('设备会话（App / CLI）', [
 						deviceList === null ? null : badge(String(deviceList.length) + ' 个', deviceList.length ? 'ok' : 'muted'),
 					], [
@@ -909,8 +1050,13 @@ window.__ModuleLoader__.load({
 										style: { alignItems: 'center' },
 									},
 										react.createElement('span', { className: 'wua-audit-event' }, d.name || '设备'),
-										react.createElement('span', { className: 'wua-audit-time' }, '创建 ' + fmtTime(d.createdAt)),
-										d.lastUsedAt ? react.createElement('span', { className: 'wua-audit-time' }, '最近 ' + fmtTime(d.lastUsedAt)) : null,
+										d.description ? react.createElement('span', { className: 'wua-audit-user' }, d.description) : null,
+										react.createElement('span', { className: 'wua-audit-user' },
+											[d.os, d.browser].filter(Boolean).join(' · ') || '尚未连接'),
+										react.createElement('span', { className: 'wua-audit-time' }, '指纹 ' + (d.fingerprint || '—')),
+										react.createElement('span', { className: 'wua-audit-time' },
+											d.lastUsedAt ? '最近 ' + fmtTime(d.lastUsedAt) : '从未使用'),
+										d.lastIp ? react.createElement('span', { className: 'wua-audit-ip' }, d.lastIp) : null,
 										react.createElement('span', { style: { flex: 1 } }),
 										react.createElement('button', {
 											className: 'wua-btn ghost',
@@ -942,7 +1088,10 @@ window.__ModuleLoader__.load({
 					saveOpen ? react.createElement('div', { className: 'wua-modal-mask' },
 						react.createElement('div', { className: 'wua-modal' },
 							react.createElement('h4', { className: 'wua-card-title' },
-								verifyAction === 'disable' ? '验证后禁用' : (verifyAction === 'revoke' ? '验证后吊销会话' : '验证后保存')),
+								verifyAction === 'disable' ? '验证后禁用'
+									: verifyAction === 'revoke' ? '验证后吊销会话'
+										: verifyAction === 'unbind' ? '验证后解绑'
+											: '验证后保存'),
 							react.createElement('p', { className: 'wua-hint', style: { borderTop: 'none', paddingTop: 0 } },
 								reauthValid
 									? '已通过 SSO 验证（2 分钟内有效），可直接继续。'
@@ -960,8 +1109,13 @@ window.__ModuleLoader__.load({
 									const auth = reauthValid ? {} : { current: savePw };
 									if (verifyAction === 'disable') doDisable(auth);
 									else if (verifyAction === 'revoke') doRevoke(auth);
+									else if (verifyAction === 'unbind') doUnbind(auth);
 									else onSave(auth);
-								} }, busy ? '处理中…' : (verifyAction === 'disable' ? '验证并禁用' : (verifyAction === 'revoke' ? '验证并吊销' : '验证并保存'))),
+								} }, busy ? '处理中…' : (
+									verifyAction === 'disable' ? '验证并禁用'
+										: verifyAction === 'revoke' ? '验证并吊销'
+											: verifyAction === 'unbind' ? '验证并解绑'
+												: '验证并保存')),
 								react.createElement('button', { className: 'wua-btn ghost', disabled: busy, onClick: () => setSaveOpen(false) }, '取消'),
 							),
 							(status && status.oidc && status.oidc.enabled && status.oidc.bound)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-webui-oauth",
-  "version": "0.8.0",
+  "version": "0.8.2",
   "type": "module",
   "main": "index.js",
   "scripts": {