dsh-whale-widget 0.3.10 → 0.3.11

package/README.md

@@ -353,6 +353,10 @@ curl http://127.0.0.1:3080/dsh-whale/audio.json
 ## 常见问题
 
 - **挂件不出现**：确认安装命令成功；`dsh --profile web --dump-config` 里能看到 `dsh-whale-widget`；重启 `dsh web` 后 F5。
+- **本插件所有接口（`/dsh-whale/*`）的访问校验**：默认只接受**回环地址**（`127.0.0.1` / `localhost` / `[::1]`）的请求，并拒绝跨站标记（`Sec-Fetch-Site: cross-site`）与 Origin 和 Host 不同源的请求 —— 这是防「恶意网页读写本机接口」的信任栅栏（issue #92 / #136）。如果你把 `dsh web` 放在**反向代理或局域网地址**后面，请用环境变量声明允许的 Host（逗号分隔，可带端口），否则会被 403：
+  ```bash
+  DSHW_TRUSTED_HOSTS=dsh.example.com,10.0.0.5:3080 dsh web
+  ```
 - **图片/音效不显示、没声音**：确认插件包内 `assets/` 完整（`DSniang1.png`、`*.mp3`、`minecraft-exp-orb.wav` 等）；缺失时相关功能静默降级。
 - **余额报「未配置 DEEPSEEK_API_KEY」**：去 DSH 凭据里配置。
 - **今日已用显示 `--`**：先等一次成功的余额观测；统计从该观测时刻开始，起点之前的消费不在此区间内。

package/assets/whale-widget.js

@@ -8722,8 +8722,35 @@ function visibleTopZ() {
     try { n = eff(getters[i]()) } catch (err) { n = 0 }
     if (n > top) top = n
   }
+  // v756（issue #142）：给第三方 fork / 以后的扩展模块留一个**运行时登记口** ——
+  // 它们新增的浮层不必再回上游源码里插一行，只要 `window.dshwRegisterMask(el)` 登记一次，
+  // 这里就会把它算进"当前可见最高层"（隐藏的会被 eff() 判成 0）。返回一个注销函数。
+  try {
+    var extra = dshwExtraMasks || []
+    for (var k = 0; k < extra.length; k++) {
+      var n2 = 0
+      try { n2 = eff(extra[k]) } catch (err) { n2 = 0 }
+      if (n2 > top) top = n2
+    }
+  } catch (err) {}
   return top
 }
+// 运行时登记的额外浮层（issue #142）。只存引用，不持有任何别的东西；登记失败的入口一律静默忽略。
+var dshwExtraMasks = []
+try {
+  window.dshwRegisterMask = function (el) {
+    try {
+      if (!el || dshwExtraMasks.indexOf(el) >= 0) return function () {}
+      dshwExtraMasks.push(el)
+      return function () {
+        try {
+          var i = dshwExtraMasks.indexOf(el)
+          if (i >= 0) dshwExtraMasks.splice(i, 1)
+        } catch (err) {}
+      }
+    } catch (err) { return function () {} }
+  }
+} catch (err) {}
 // 「永远在打开它的那个窗口之上」：取 本层段起点 与 当前可见最高层+10 的较大值。
 // 用在裁剪 / GIF / 音频裁剪 / 模块编辑器这些**既可能从主菜单(10000)打开、也可能从资源管理(20300)、
 // 泡泡编辑器(20500)、模型设置(29000)里打开**的窗口上 —— 固定层号在后者场景会被父窗口盖住。
@@ -12807,7 +12834,14 @@ function dshwvToast(msg) {
 }
 function configSaveFailNotice(detail) {
   try { console.error('[dsh-whale] 设置保存失败:', detail) } catch (err) {}
-  dshwvToast('⚠ 设置保存失败：' + String(detail || '').slice(0, 120) +
+  // v756（issue #143）：toast 是按 HTML 设计的（其余调用点传的字面量里带 `<br>`），而这里的 detail
+  // 是**动态值**（服务端 JSON 回包的 error 字段 / fetch 异常消息），直接拼进 innerHTML 就是一处
+  // 「动态数据进 HTML 位置」。当前来源都在本地信任边界内、构造不出真实利用，但把 provider 回包、
+  // 模型名之类接进同一个 toast 时它会立刻变成真洞 —— 所以只转义这一个动态值，toast 自身的
+  // `<br>` 保留。
+  var safe = String(detail || '').slice(0, 120)
+    .replace(/&/g, '&amp;').replace(/</g, '&lt;').replace(/>/g, '&gt;')
+  dshwvToast('⚠ 设置保存失败：' + safe +
     '<br>已自动重试一次。若持续失败，请检查 DSH 数据目录是否可写。')
 }
 function configPayload() {
@@ -14832,6 +14866,19 @@ function setupHitTest(url) {
         var dx = 610 - dw // right bottom
         var dy = 610 - dh
         ctx.drawImage(probe, dx, dy, dw, dh)
+        // v756（issue #144）：画布读回可能被浏览器**抹白** —— Firefox 开启「隐私保护 / resistFingerprinting」
+        // 时 getImageData 会返回全透明（有些版本直接抛错）。那样 isWhaleHit 的 `data[3] > 10` 处处为假，
+        // 而 hitReady 仍为 true ⇒ 走不到矩形回退分支 ⇒ **整只挂件点不动**。
+        // 这里建立命中图时就扫一遍格子：一个不透明像素都取不到 → 判为命中图不可用，退回矩形判定。
+        var opaque = 0
+        for (var gy = 0; gy < 6; gy++) {
+          for (var gx = 0; gx < 6; gx++) {
+            var px = Math.min(609, Math.floor(dx + dw * (gx + 0.5) / 6))
+            var py = Math.min(609, Math.floor(dy + dh * (gy + 0.5) / 6))
+            if (ctx.getImageData(px, py, 1, 1).data[3] > 10) opaque++
+          }
+        }
+        if (!opaque) { hitReady = false; hitFailed = true; return }
         hitReady = true
       } catch (err) {
         hitFailed = true
@@ -14845,18 +14892,21 @@ function setupHitTest(url) {
     probe.src = url || IMG_URL
   } catch (err) {}
 }
+// 退回「图像矩形」判定：命中图不可用（加载失败 / 画布读不出来）时只认挂件图片的矩形区域，
+// 绝不把整页当成命中区（那会让全页面点不动）。
+function whaleRectHit(e) {
+  try {
+    var fr = img.getBoundingClientRect()
+    if (!fr || fr.width <= 0 || fr.height <= 0) return false
+    return e.clientX >= fr.left && e.clientX <= fr.right && e.clientY >= fr.top && e.clientY <= fr.bottom
+  } catch (err) { return false }
+}
 function isWhaleHit(e) {
   // 命中图未就绪/失败时：绝不默认“全屏都是鲸鱼”。
   // 加载中 → 返回 false（不拦截页面）；加载失败 → 退回图像矩形区域，仅挂件区域可拖。
   if (!hitCanvas || !hitReady) {
     if (!hitFailed) return false
-    try {
-      var fr = img.getBoundingClientRect()
-      if (!fr || fr.width <= 0 || fr.height <= 0) return false
-      return e.clientX >= fr.left && e.clientX <= fr.right && e.clientY >= fr.top && e.clientY <= fr.bottom
-    } catch (err) {
-      return false
-    }
+    return whaleRectHit(e)
   }
   try {
     var r = img.getBoundingClientRect()
@@ -14865,7 +14915,16 @@ function isWhaleHit(e) {
     var ly = (e.clientY - r.top) / r.height * 610
     if (lx < 0 || ly < 0 || lx >= 610 || ly >= 610) return false
     if (state.flip) lx = 610 - lx
-    var data = hitCanvas.getContext('2d').getImageData(Math.floor(lx), Math.floor(ly), 1, 1).data
+    var data
+    try {
+      data = hitCanvas.getContext('2d').getImageData(Math.floor(lx), Math.floor(ly), 1, 1).data
+    } catch (err) {
+      // v756（issue #144）：画布读不出来（隐私保护/跨域污染）→ 立刻降级为矩形判定，
+      // 并且**记住**这个状态，后续调用直接走矩形，不再每次抛错。
+      hitReady = false
+      hitFailed = true
+      return whaleRectHit(e)
+    }
     return data[3] > 10
   } catch (err) {
     return false

package/lib/index.js

@@ -586,28 +586,89 @@ export default {
   name: 'whale-balance-widget',
   inject: ['webServer', 'credentials', 'connection'],
   apply(ctx) {
-    // —— 浏览器信任栅栏（对应 issue #92）——
-    // dsh 的 connection 服务提供 requestRejection(req)：Host/Origin 被伪造（DNS 重绑定）
-    // 或未认证的请求必须被拒。官方插件（如 dsh-host-open-in-app）在自定义路由里都会先调用；
-    // 本插件所有 /dsh-whale/* 路由同样必须走一遍，否则接口可被任意网页读写。
-    function rejected(req, res) {
+    // —— 浏览器信任栅栏（issue #92 建立，issue #136 补 fail-closed）——
+    // dsh 的 connection 服务提供 requestRejection(req)：Host/Origin 被伪造（DNS 重绑定）或未认证的
+    // 请求必须被拒。**但这个方法在较老的 dsh 上不存在**（#136 实测：0.1.5-rc.2/rc.3 有、0.1.0-rc.3 没有），
+    // 而旧实现在"服务缺失"与"栅栏自己抛异常"两条路径上都是 fail-open（放行）—— 于是 22 条 /dsh-whale/*
+    // 路由会**集体**失去校验：伪造 Host 可读写、普通跨站 POST 可直接写配置，而 api-models.json 还连着
+    // ctx.credentials（可 set/delete key）。现在改成三层：
+    //   ① **插件自己的轻量校验**（永远先跑；正常浏览器与本地脚本都不受影响）：
+    //      Host 必须是回环权威或 DSHW_TRUSTED_HOSTS 里显式声明的，`Sec-Fetch-Site: cross-site` 一律拒，
+    //      带 Origin 时必须与 Host 同源；
+    //   ② 宿主栅栏可用 → **委托**它（不重写它的语义：它里面还有一层浏览器鉴权 401），返回码照用；
+    //      **它抛异常则按拒绝处理**（旧实现这条路径静默放行，且连 warn 都没有）；
+    //   ③ 宿主栅栏不可用 → 只靠 ①，并在**插件加载时**就打一条醒目 warn（不是等第一次请求才打）。
+    const TRUSTED_AUTHORITIES = String(process.env.DSHW_TRUSTED_HOSTS || '')
+      .split(',').map((s) => s.trim().toLowerCase()).filter(Boolean)
+    // 只认回环：localhost / *.localhost / 127.0.0.0/8（逐段校验，防 `127.0.0.1.evil.com` 这类相似域名）/ ::1
+    function isLoopbackHostname(hn) {
+      const h = String(hn || '').toLowerCase().replace(/^\[/, '').replace(/\]$/, '')
+      if (!h) return false
+      if (h === 'localhost' || h.endsWith('.localhost')) return true
+      if (h === '::1') return true
+      const m = /^(\d{1,3})\.(\d{1,3})\.(\d{1,3})\.(\d{1,3})$/.exec(h)
+      if (!m) return false
+      if (Number(m[1]) !== 127) return false
+      return [m[2], m[3], m[4]].every((x) => Number(x) <= 255)
+    }
+    // 通过 → null；否则返回应当拒绝的状态码
+    function selfRejection(req) {
       try {
-        const conn = ctx.get('connection') || ctx.connection
-        if (!conn || typeof conn.requestRejection !== 'function') {
-          // fail-open：此刻栅栏不可用（connection 服务缺失）。inject 已声明该服务，正常不会走到这里；
-          // 打一条 warn 便于发现"栅栏实际失效"，而不是静默放行
-          if (!rejected.warned) {
-            rejected.warned = true
-            try { console.warn('[whale-balance] 信任栅栏不可用：connection 服务缺失，自定义路由将放行处理') } catch (err) {}
-          }
-          return false
+        const headers = (req && req.headers) || {}
+        let hostUrl = null
+        try { hostUrl = new URL('http://' + String(headers.host || '')) } catch (err) { return 403 } // 缺 Host / 畸形 → 拒
+        const hostname = hostUrl.hostname
+        const authority = hostUrl.host
+        if (!isLoopbackHostname(hostname)) {
+          const listed = TRUSTED_AUTHORITIES.some((e) => (e.indexOf(':') >= 0 ? e === authority.toLowerCase() : e === hostname.toLowerCase()))
+          if (!listed) return 403
+        }
+        const site = String(headers['sec-fetch-site'] || '').toLowerCase()
+        if (site === 'cross-site') return 403
+        const origin = headers.origin
+        if (typeof origin === 'string' && origin && origin !== 'null') {
+          let originUrl = null
+          try { originUrl = new URL(origin) } catch (err) { return 403 }
+          if (originUrl.host.toLowerCase() !== authority.toLowerCase()) return 403
         }
-        const code = conn.requestRejection(req)
-        if (code === undefined || code === null || code === false) return false
-        res.statusCode = typeof code === 'number' ? code : 403
-        res.end()
+        return null
+      } catch (err) { return 403 } // 校验器自身出错 → 拒绝（fail-closed）
+    }
+    function connectionFence() {
+      try {
+        const conn = ctx.get('connection') || ctx.connection
+        return conn && typeof conn.requestRejection === 'function' ? conn : null
+      } catch (err) { return null }
+    }
+    if (!connectionFence()) {
+      try {
+        console.warn('[whale-balance] 宿主信任栅栏不可用（connection.requestRejection 缺失）：已启用插件自带的回环/同源校验，'
+          + '所有路由（含写接口）仍受它保护；若本机 dsh 部署在非回环地址（反代/局域网），请用环境变量 '
+          + 'DSHW_TRUSTED_HOSTS 声明允许的 Host（逗号分隔，可带端口）。')
+      } catch (err) {}
+    }
+    function rejected(req, res) {
+      const deny = (code) => {
+        try { res.statusCode = code || 403; res.end() } catch (err) {}
         return true
-      } catch (err) { return false }
+      }
+      const self = selfRejection(req)
+      if (self !== null) return deny(self)
+      const conn = connectionFence()
+      if (!conn) return false // ① 已通过；此刻没有宿主栅栏可委托（加载时已 warn）
+      let code
+      try {
+        code = conn.requestRejection(req)
+      } catch (err) {
+        // 旧实现这里是 `return false`：栅栏自己抛异常被当成"没被拒"而静默放行（#136 的第二条路径）
+        if (!rejected.warned) {
+          rejected.warned = true
+          try { console.warn('[whale-balance] 信任栅栏抛异常，已按拒绝处理：' + String((err && err.message) || err)) } catch (e2) {}
+        }
+        return deny(403)
+      }
+      if (code === undefined || code === null || code === false) return false
+      return deny(typeof code === 'number' ? code : 403)
     }
     // 统一注册入口：所有路由自动套上信任栅栏
     function registerRoute(route) {
@@ -985,7 +1046,7 @@ export default {
       const days = new Set([today, ...Object.keys(led.history || {}), ...accountingDays(led)])
       for (const e of events) if (/^\d{4}-\d{2}-\d{2}$/.test(e.day)) days.add(e.day)
       return {
-        ok: true, version: '0.3.10', today: todayData, days7,
+        ok: true, version: '0.3.11', today: todayData, days7,
         total7: total7ByCurrency[todayData.currency] || 0, total7Currency: todayData.currency, total7ByCurrency,
         all: {
           days: Array.from(days).filter(d => /^\d{4}-\d{2}-\d{2}$/.test(d)).sort().reverse().map(forDay),
@@ -2185,7 +2246,7 @@ export default {
       const summary = daySummary(led, todayKey())
       const nowSec = Math.floor(Date.now() / 1000)
       return {
-        ...visible, version: '0.3.10', isPeak: isPeakTime(nowSec),
+        ...visible, version: '0.3.11', isPeak: isPeakTime(nowSec),
         // 峰谷切换点与节假日清单：前端倒计时要与宿主同源（否则法定节假日会算错切换点）
         peakNextChangeAt: nextPeakChangeAt(nowSec),
         peakHolidays: HOLIDAY_VALLEY_LIST,

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-whale-widget",
-  "version": "0.3.10",
+  "version": "0.3.11",
   "description": "DSH Web 界面右下角的 DeepSeek 余额小鲸鱼挂件:余额/今日已用/峰谷定价、自定义泡泡点击序列(文本/余额/今日/峰谷/图片/随机语句与并列加权选择)、逐行样式与字体、悬浮快捷编辑、音效与每轮消耗、自定义角色/动图/音效、吸附与翻转自定义",
   "keywords": [
     "dsh",