dsh-webui-oauth 0.8.1 → 0.8.2

package/CHANGELOG.md

@@ -2,6 +2,33 @@
 
 本文件记录每个版本的**用户可见**变更。破坏性变更与升级动作单独标注。
 
+## 0.8.2
+
+浏览器与会话标识改为 HTTP 实时；设备授权必须声明应用。
+
+### 浏览器会话：标识按 HTTP 请求实时更新
+
+- `checkRequest` 每次请求都用当前请求的 UA / IP 重新解析系统、浏览器、设备形态，
+  写入会话记录（UA/IP 变化立即落盘，否则每分钟一次）；
+- 「浏览器会话」列表不再展示登录时的快照，而是**最近一次请求**的真实标识；
+- 设置页每 15 秒自动刷新会话列表（也可手动刷新）。
+
+### 设备会话：申请时声明应用 + HTTP 来源
+
+- `POST /device/authorize` **必须**携带 `client_name`（可选 `client_description`），
+  未声明返回 `400 invalid_request`；
+- 批准页在批准前调用 `POST /device/inspect` 显示应用名称/说明并二次确认；
+- 设备记录保存声明的应用名称、说明，以及每次 Bearer 请求的 IP、UA、系统、浏览器、指纹；
+- 「设备会话」列表展示：应用名称、说明、系统 · 浏览器、指纹、最近使用、来源 IP；
+- 设备 Bearer 请求同样实时刷新这些字段（UA/IP 变化立即落盘）。
+
+### 测试
+
+- `device-flow` 新增 8 项：未声明应用被拒、批准页可查看声明、设备列表带
+  应用说明 / 来源 IP / 系统字段 / 指纹；
+- `lifecycle` 新增 2 项：同一会话换 UA 后列表实时更新为 Chrome 130 / Linux；
+- 全量 24 个测试文件、687 项断言通过。
+
 ## 0.8.1
 
 设备批准登录回跳、浏览器会话列表、保存提示语义、DeepSeek 子窗口中转、绑定弹窗。

package/README.md

@@ -423,6 +423,7 @@ IdP 侧日志确认完整往返：`discovery → jwks → authorize(issued code)
 给没有浏览器 Cookie 的客户端（dsh-Go 等 App、CLI）使用的第二套凭据。流程遵循 RFC 8628，**无回调**：
 
 1. `POST /dsh-webui-oauth/device/authorize`（公开）→ `device_code`、`user_code`、`verification_uri`；
+   **必须带 `client_name` 声明应用**（可选 `client_description`），否则返回 `invalid_request`；
 2. 用户在浏览器打开 `verification_uri`；未登录会自动跳转登录页（密码或 SSO），
    登录成功后回到批准页并保留 `user_code`，再批准（或拒绝）；
 3. `POST /dsh-webui-oauth/device/token`（公开）轮询 → `access_token`（Bearer）。
@@ -430,9 +431,11 @@ IdP 侧日志确认完整往返：`discovery → jwks → authorize(issued code)
 设备会话与浏览器会话**完全独立**：
 
 - 单独存放于 `devices.jsonl`，只存 token 的 SHA-256；
+- 记录**申请时声明的应用名称/说明**，以及每次 Bearer 请求的 IP、UA、系统、浏览器、指纹；
 - **没有过期时间**，只有显式吊销（`POST /dsh-webui-oauth/devices/revoke`）才失效；
 - 设置页「设备会话（App / CLI）」单独列表，可逐个吊销；
 - 浏览器会话也有独立列表（系统 / 浏览器 / 设备指纹 / 最近活跃），可单独吊销；
+  标识按**每个 HTTP 请求**实时刷新，不是登录时的快照；
 - 设备 Bearer 直接通过 `checkRequest`，可访问 `/api`、`/plugins`、WebSocket 与静态资源；
 - 设备 Bearer **不能**做设备管理（列表 / 吊销 / 批准新设备只允许浏览器会话）。
 

package/index.js

@@ -949,7 +949,15 @@ class PersistentDevices {
       try { ev = JSON.parse(line) } catch (e) { continue }
       if (!ev || typeof ev.op !== 'string') continue
       if (ev.op === 'add' && ev.dev && typeof ev.dev === 'object' && typeof ev.dev.id === 'string') {
-        this.live.set(ev.dev.id, { ...ev.dev })
+        this.live.set(ev.dev.id, {
+          ...ev.dev,
+          description: typeof ev.dev.description === 'string' ? ev.dev.description : '',
+          lastIp: typeof ev.dev.lastIp === 'string' ? ev.dev.lastIp : null,
+          lastUa: typeof ev.dev.lastUa === 'string' ? ev.dev.lastUa : null,
+          os: typeof ev.dev.os === 'string' ? ev.dev.os : '',
+          browser: typeof ev.dev.browser === 'string' ? ev.dev.browser : '',
+          device: typeof ev.dev.device === 'string' ? ev.dev.device : '',
+        })
       } else if (ev.op === 'revoke' && typeof ev.id === 'string') {
         const d = this.live.get(ev.id)
         if (d) d.revokedAt = Number(ev.at) || Date.now()
@@ -982,17 +990,23 @@ class PersistentDevices {
     } catch (e) { /* 压缩失败不影响运行 */ }
   }
 
-  add({ name, hash, clientId, scope }) {
+  add({ name, description, hash, clientId, scope }) {
     const id = randomBytes(8).toString('hex')
     const now = Date.now()
     const rec = {
       id,
       name: String(name || '设备').slice(0, 60),
+      description: String(description || '').slice(0, 160),
       hash,
       clientId: String(clientId || ''),
       scope: String(scope || 'dsh'),
       createdAt: now,
       lastUsedAt: 0,
+      lastIp: null,
+      lastUa: null,
+      os: '',
+      browser: '',
+      device: '',
     }
     this.live.set(id, rec)
     this.append({ op: 'add', dev: rec })
@@ -1012,13 +1026,13 @@ class PersistentDevices {
     return null
   }
 
-  touch(dev) {
+  touch(dev, force) {
     const now = Date.now()
     dev.lastUsedAt = now
-    // 每次请求都写盘会放大 IO：最多每分钟落一次 touch
-    if (now - (dev.persistedAt || 0) >= 60000) {
+    // 每次请求都写盘会放大 IO：最多每分钟落一次；UA/IP 变化时立即落。
+    if (force || now - (dev.persistedAt || 0) >= 60000) {
       dev.persistedAt = now
-      this.append({ op: 'touch', id: dev.id, at: now })
+      this.append({ op: 'add', dev })
     }
   }
 
@@ -1037,10 +1051,17 @@ class PersistentDevices {
       out.push({
         id: dev.id,
         name: dev.name,
+        description: dev.description || '',
         clientId: dev.clientId,
         scope: dev.scope,
         createdAt: dev.createdAt,
         lastUsedAt: dev.lastUsedAt,
+        lastIp: dev.lastIp || null,
+        lastUa: dev.lastUa || null,
+        os: dev.os || '',
+        browser: dev.browser || '',
+        device: dev.device || '',
+        fingerprint: sessionFingerprint({ ua: dev.lastUa, ip: dev.lastIp }),
       })
     }
     out.sort((a, b) => b.createdAt - a.createdAt)
@@ -1200,6 +1221,24 @@ function deviceApprovalPage(userCode) {
     ok.disabled = true; no.disabled = true;
     m.textContent = '处理中…';
     try {
+      // 批准前先看应用声明：让用户知道自己在批准哪个应用。
+      if (decision === 'approve') {
+        try {
+          var infoRes = await fetch('/dsh-webui-oauth/device/inspect', {
+            method: 'POST', headers: { 'content-type': 'application/json' },
+            body: JSON.stringify({ user_code: document.getElementById('c').value })
+          });
+          if (infoRes.status === 401) { goLogin(); return; }
+          var info = await infoRes.json();
+          if (info && info.ok) {
+            var label = info.app + (info.description ? '（' + info.description + '）' : '');
+            if (!window.confirm('应用「' + label + '」请求访问此 DSH，是否批准？')) {
+              m.textContent = '已取消';
+              return;
+            }
+          }
+        } catch (e) { /* inspect 失败不阻断批准 */ }
+      }
       var res = await fetch('/dsh-webui-oauth/device/approve', {
         method: 'POST', headers: { 'content-type': 'application/json' },
         body: JSON.stringify({ user_code: document.getElementById('c').value, action: decision })
@@ -1512,6 +1551,7 @@ const SELF_GATED_EXACT_PATHS = new Set([
   '/dsh-webui-oauth/sessions/revoke-one',
   '/dsh-webui-oauth/sessions',
   '/dsh-webui-oauth/device/approve',
+  '/dsh-webui-oauth/device/inspect',
   '/dsh-webui-oauth/device/core-session',
   '/dsh-webui-oauth/devices',
   '/dsh-webui-oauth/devices/revoke',
@@ -3138,7 +3178,16 @@ export async function apply(ctx) {
     if (bearer) {
       const dev = devices.findByToken(bearer)
       if (!dev) return false
-      devices.touch(dev)
+      // 设备会话同样以当前 HTTP 请求实时刷新来源信息（IP / UA / 系统 / 浏览器）。
+      const meta = requestMeta(req)
+      const parsed = describeUserAgent(meta.ua)
+      const changed = dev.lastIp !== meta.ip || dev.lastUa !== meta.ua
+      dev.lastIp = meta.ip
+      dev.lastUa = meta.ua
+      dev.os = parsed.os
+      dev.browser = parsed.browser
+      dev.device = parsed.device
+      devices.touch(dev, changed)
       return true
     }
     const token = cookieOf(req, COOKIE_NAME)
@@ -3149,10 +3198,20 @@ export async function apply(ctx) {
       sessions.delete(token)
       return false
     }
+    // 浏览器标识以**当前 HTTP 请求**为准，实时刷新（UA / IP / 系统 / 浏览器 / 设备）。
+    // 落盘做节流：UA/IP 变化立即写，否则每分钟一次，避免每个静态资源请求都写盘。
     const now = Date.now()
-    // 最近活跃时间：每分钟最多落盘一次，供会话列表展示。
-    if (now - (s.lastSeenAt || 0) > 60000) {
-      s.lastSeenAt = now
+    const meta = requestMeta(req)
+    const parsed = describeUserAgent(meta.ua)
+    const changed = s.ip !== meta.ip || s.ua !== meta.ua
+    s.lastSeenAt = now
+    s.ip = meta.ip
+    s.ua = meta.ua
+    s.os = parsed.os
+    s.browserName = parsed.browser
+    s.device = parsed.device
+    if (changed || now - (s.persistedAt || 0) > 60000) {
+      s.persistedAt = now
       sessions.append({ op: 'add', token, sess: s })
     }
     if (s.browser === true) s.expiresAt = now + SESSION_TTL_MS
@@ -3785,15 +3844,25 @@ export async function apply(ctx) {
           sendJson(res, 429, { error: 'temporarily_unavailable' })
           return
         }
+        // 设备授权必须声明"是什么应用"：名称进入待批准记录与设备列表。
+        const name = String(body.client_name || body.app_name || '').trim().slice(0, 60)
+        if (!name) {
+          sendJson(res, 400, {
+            error: 'invalid_request',
+            error_description: 'client_name 必填：设备授权需要在申请时声明应用名称',
+          })
+          return
+        }
+        const description = String(body.client_description || body.app_description || '').trim().slice(0, 160)
         const deviceCode = randomBytes(32).toString('hex')
         const userCode = makeUserCode()
         const scope = String(body.scope || 'dsh').slice(0, 80)
-        const name = String(body.client_name || body.name || '').trim().slice(0, 60) || 'App'
         pendingDevices.set(deviceCode, {
           userCode,
           clientId,
           scope,
           name,
+          description,
           expiresAt: now + DEVICE_CODE_TTL_MS,
           interval: DEVICE_INTERVAL_S,
           lastPollAt: 0,
@@ -3863,7 +3932,13 @@ export async function apply(ctx) {
         // 单次发放：同一个 device_code 只能换一次 token。
         const token = randomBytes(32).toString('hex')
         const hash = createHash('sha256').update(token).digest('hex')
-        const rec = devices.add({ name: pending.name, hash, clientId: pending.clientId, scope: pending.scope })
+        const rec = devices.add({
+          name: pending.name,
+          description: pending.description,
+          hash,
+          clientId: pending.clientId,
+          scope: pending.scope,
+        })
         pending.issued = true
         pendingDevices.delete(code)
         const meta = requestMeta(req)
@@ -3957,6 +4032,48 @@ export async function apply(ctx) {
     },
   }), 'dsh-webui-oauth: device approve')
 
+  // 批准前查看待授权应用的声明（仅浏览器会话）
+  ctx.effect(() => ctx.webServer.register({
+    kind: 'exact',
+    path: '/dsh-webui-oauth/device/inspect',
+    handler: async (req, res) => {
+      try {
+        if (req.method !== 'POST') {
+          sendJson(res, 405, { error: '仅支持 POST' })
+          return
+        }
+        if (enabledFlag && !sessionOf(req)) {
+          sendJson(res, 401, { error: 'unauthorized' })
+          return
+        }
+        const body = await readJsonBody(req, res)
+        if (body === null) return
+        const wanted = normalizeUserCode(body.user_code)
+        let entry = null
+        for (const pending of pendingDevices.values()) {
+          if (pending.userCode.replace('-', '') === wanted) { entry = pending; break }
+        }
+        if (!entry) {
+          sendJson(res, 200, { ok: false, error: 'invalid-code' })
+          return
+        }
+        if (entry.expiresAt <= Date.now()) {
+          sendJson(res, 200, { ok: false, error: 'expired' })
+          return
+        }
+        sendJson(res, 200, {
+          ok: true,
+          app: entry.name,
+          description: entry.description || '',
+          client_id: entry.clientId,
+          scope: entry.scope,
+        })
+      } catch (e) {
+        sendJson(res, 500, { error: e && e.message ? e.message : String(e) })
+      }
+    },
+  }), 'dsh-webui-oauth: device inspect')
+
   // 设备会话列表 / 吊销（浏览器会话）
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',

package/lib/client.js

@@ -388,6 +388,20 @@ window.__ModuleLoader__.load({
 				// 读取 OIDC 回调带回来的回执。绑定/登录结束后浏览器会被 302 回应用，
 				// 结果通过 query 传递（oidcbound=1 / oidcerr=...）：因为是整页跳转，
 				// 组件重新挂载时才知道刚才发生了什么。
+				// 会话列表实时刷新：UA/IP 由服务端按每个 HTTP 请求更新，这里定期拉取。
+				react.useEffect(() => {
+					if (typeof setInterval !== 'function') return;
+					const timer = setInterval(() => {
+						api('/dsh-webui-oauth/sessions').then((r) => {
+							if (r && r.ok && Array.isArray(r.sessions)) setSessionList(r.sessions);
+						}).catch(() => {});
+						api('/dsh-webui-oauth/devices').then((r) => {
+							if (r && r.ok && Array.isArray(r.devices)) setDeviceList(r.devices);
+						}).catch(() => {});
+					}, 15000);
+					return () => { if (typeof clearInterval === 'function') clearInterval(timer); };
+				}, []);
+
 				// 复验弹窗通过 postMessage 通知；同时轮询 status 兜底（弹窗被拦截/关不掉）。
 				react.useEffect(() => {
 					if (typeof window === 'undefined' || typeof window.addEventListener !== 'function') return;
@@ -1036,8 +1050,13 @@ window.__ModuleLoader__.load({
 										style: { alignItems: 'center' },
 									},
 										react.createElement('span', { className: 'wua-audit-event' }, d.name || '设备'),
-										react.createElement('span', { className: 'wua-audit-time' }, '创建 ' + fmtTime(d.createdAt)),
-										d.lastUsedAt ? react.createElement('span', { className: 'wua-audit-time' }, '最近 ' + fmtTime(d.lastUsedAt)) : null,
+										d.description ? react.createElement('span', { className: 'wua-audit-user' }, d.description) : null,
+										react.createElement('span', { className: 'wua-audit-user' },
+											[d.os, d.browser].filter(Boolean).join(' · ') || '尚未连接'),
+										react.createElement('span', { className: 'wua-audit-time' }, '指纹 ' + (d.fingerprint || '—')),
+										react.createElement('span', { className: 'wua-audit-time' },
+											d.lastUsedAt ? '最近 ' + fmtTime(d.lastUsedAt) : '从未使用'),
+										d.lastIp ? react.createElement('span', { className: 'wua-audit-ip' }, d.lastIp) : null,
 										react.createElement('span', { style: { flex: 1 } }),
 										react.createElement('button', {
 											className: 'wua-btn ghost',

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-webui-oauth",
-  "version": "0.8.1",
+  "version": "0.8.2",
   "type": "module",
   "main": "index.js",
   "scripts": {