dsh-whale-widget 0.3.10 → 0.3.12

package/README.md

@@ -353,6 +353,10 @@ curl http://127.0.0.1:3080/dsh-whale/audio.json
 ## 常见问题
 
 - **挂件不出现**：确认安装命令成功；`dsh --profile web --dump-config` 里能看到 `dsh-whale-widget`；重启 `dsh web` 后 F5。
+- **本插件所有接口（`/dsh-whale/*`）的访问校验**：默认只接受**回环地址**（`127.0.0.1` / `localhost` / `[::1]`）的请求，并拒绝跨站标记（`Sec-Fetch-Site: cross-site`）与 Origin 和 Host 不同源的请求 —— 这是防「恶意网页读写本机接口」的信任栅栏（issue #92 / #136）。如果你把 `dsh web` 放在**反向代理或局域网地址**后面，请用环境变量声明允许的 Host（逗号分隔，可带端口），否则会被 403：
+  ```bash
+  DSHW_TRUSTED_HOSTS=dsh.example.com,10.0.0.5:3080 dsh web
+  ```
 - **图片/音效不显示、没声音**：确认插件包内 `assets/` 完整（`DSniang1.png`、`*.mp3`、`minecraft-exp-orb.wav` 等）；缺失时相关功能静默降级。
 - **余额报「未配置 DEEPSEEK_API_KEY」**：去 DSH 凭据里配置。
 - **今日已用显示 `--`**：先等一次成功的余额观测；统计从该观测时刻开始，起点之前的消费不在此区间内。

package/assets/whale-widget.js

@@ -322,7 +322,12 @@ var css = [
   '.dshwv-root.dshwv-left{transform:scaleX(-1)}',
   '.dshwv-root.dshwv-dragging{cursor:grabbing;transition:none}',
   '.dshwv-body{position:absolute;left:0;top:0;width:100%;height:100%;transform-origin:50% 100%;transition:transform .22s cubic-bezier(.34,1.56,.64,1)}',
-  '.dshwv-img{position:absolute;right:0;bottom:0;width:59.45%;height:59.45%;display:block;pointer-events:none;-webkit-user-drag:none;user-select:none;object-fit:contain;object-position:right bottom}',
+  // v757（issue #147）：`.dshwv-img` 由 `pointer-events:none` 改为 `auto` —— 鲸鱼身体**自己接指针事件**。
+  // 原来靠"主文档监听 + isWhaleHit()"判定命中，而指针落在 `<iframe>`（如右侧栏 HTML 预览）上时
+  // 事件直接进入 iframe 自己的文档，主文档收不到 ⇒ 鲸鱼身体失联（点不动、拖不动，只有 ☰ 能用）。
+  // 代价是 img 的**矩形**（含透明边距）会吞掉点击 → 由 setupHitTest() 用命中图的**凸包**做 clip-path
+  // 裁掉透明区（凸包包含全部不透明像素，不会裁到角色本身），"点到透明处穿透到下层"的行为得以保留。
+  '.dshwv-img{position:absolute;right:0;bottom:0;width:59.45%;height:59.45%;display:block;pointer-events:auto;-webkit-user-drag:none;user-select:none;object-fit:contain;object-position:right bottom}',
   // v751（PR #119）：光标不再写 document.body.style.cursor —— cursor 是可继承属性，写 <body> 会让 Blink
   // 失效**整棵文档树**的样式；而它在点击链路上按下/抬手各写一次，紧接着 isWhaleHit() 的
   // getBoundingClientRect() 与泡泡行测量的 getComputedStyle()/scrollWidth 会强制刷新样式+布局，
@@ -8722,8 +8727,35 @@ function visibleTopZ() {
     try { n = eff(getters[i]()) } catch (err) { n = 0 }
     if (n > top) top = n
   }
+  // v756（issue #142）：给第三方 fork / 以后的扩展模块留一个**运行时登记口** ——
+  // 它们新增的浮层不必再回上游源码里插一行，只要 `window.dshwRegisterMask(el)` 登记一次，
+  // 这里就会把它算进"当前可见最高层"（隐藏的会被 eff() 判成 0）。返回一个注销函数。
+  try {
+    var extra = dshwExtraMasks || []
+    for (var k = 0; k < extra.length; k++) {
+      var n2 = 0
+      try { n2 = eff(extra[k]) } catch (err) { n2 = 0 }
+      if (n2 > top) top = n2
+    }
+  } catch (err) {}
   return top
 }
+// 运行时登记的额外浮层（issue #142）。只存引用，不持有任何别的东西；登记失败的入口一律静默忽略。
+var dshwExtraMasks = []
+try {
+  window.dshwRegisterMask = function (el) {
+    try {
+      if (!el || dshwExtraMasks.indexOf(el) >= 0) return function () {}
+      dshwExtraMasks.push(el)
+      return function () {
+        try {
+          var i = dshwExtraMasks.indexOf(el)
+          if (i >= 0) dshwExtraMasks.splice(i, 1)
+        } catch (err) {}
+      }
+    } catch (err) { return function () {} }
+  }
+} catch (err) {}
 // 「永远在打开它的那个窗口之上」：取 本层段起点 与 当前可见最高层+10 的较大值。
 // 用在裁剪 / GIF / 音频裁剪 / 模块编辑器这些**既可能从主菜单(10000)打开、也可能从资源管理(20300)、
 // 泡泡编辑器(20500)、模型设置(29000)里打开**的窗口上 —— 固定层号在后者场景会被父窗口盖住。
@@ -12807,7 +12839,14 @@ function dshwvToast(msg) {
 }
 function configSaveFailNotice(detail) {
   try { console.error('[dsh-whale] 设置保存失败:', detail) } catch (err) {}
-  dshwvToast('⚠ 设置保存失败：' + String(detail || '').slice(0, 120) +
+  // v756（issue #143）：toast 是按 HTML 设计的（其余调用点传的字面量里带 `<br>`），而这里的 detail
+  // 是**动态值**（服务端 JSON 回包的 error 字段 / fetch 异常消息），直接拼进 innerHTML 就是一处
+  // 「动态数据进 HTML 位置」。当前来源都在本地信任边界内、构造不出真实利用，但把 provider 回包、
+  // 模型名之类接进同一个 toast 时它会立刻变成真洞 —— 所以只转义这一个动态值，toast 自身的
+  // `<br>` 保留。
+  var safe = String(detail || '').slice(0, 120)
+    .replace(/&/g, '&amp;').replace(/</g, '&lt;').replace(/>/g, '&gt;')
+  dshwvToast('⚠ 设置保存失败：' + safe +
     '<br>已自动重试一次。若持续失败，请检查 DSH 数据目录是否可写。')
 }
 function configPayload() {
@@ -14832,31 +14871,106 @@ function setupHitTest(url) {
         var dx = 610 - dw // right bottom
         var dy = 610 - dh
         ctx.drawImage(probe, dx, dy, dw, dh)
+        // v756（issue #144）：画布读回可能被浏览器**抹白** —— Firefox 开启「隐私保护 / resistFingerprinting」
+        // 时 getImageData 会返回全透明（有些版本直接抛错）。那样 isWhaleHit 的 `data[3] > 10` 处处为假，
+        // 而 hitReady 仍为 true ⇒ 走不到矩形回退分支 ⇒ **整只挂件点不动**。
+        // 这里建立命中图时就扫一遍格子：一个不透明像素都取不到 → 判为命中图不可用，退回矩形判定。
+        var opaque = 0
+        for (var gy = 0; gy < 6; gy++) {
+          for (var gx = 0; gx < 6; gx++) {
+            var px = Math.min(609, Math.floor(dx + dw * (gx + 0.5) / 6))
+            var py = Math.min(609, Math.floor(dy + dh * (gy + 0.5) / 6))
+            if (ctx.getImageData(px, py, 1, 1).data[3] > 10) opaque++
+          }
+        }
+        if (!opaque) { hitReady = false; hitFailed = true; applyHitClip(''); return }
         hitReady = true
+        // v757（issue #147）：命中图可用 → 用不透明区域的凸包裁掉 img 的透明边距，
+        // 这样"身体自己接事件"不会把透明角落的点击也吞掉。
+        applyHitClip(buildHitClipPath())
       } catch (err) {
         hitFailed = true
+        applyHitClip('')
       }
     }
     probe.onerror = function () {
       // 图片加载失败：不能把整页当成鲸鱼命中区吞掉事件（会全页面点不动），
       // 标记失败，命中判定退回图像矩形区域。
       hitFailed = true
+      applyHitClip('')
     }
     probe.src = url || IMG_URL
   } catch (err) {}
 }
+// 退回「图像矩形」判定：命中图不可用（加载失败 / 画布读不出来）时只认挂件图片的矩形区域，
+// 绝不把整页当成命中区（那会让全页面点不动）。
+function whaleRectHit(e) {
+  try {
+    var fr = img.getBoundingClientRect()
+    if (!fr || fr.width <= 0 || fr.height <= 0) return false
+    return e.clientX >= fr.left && e.clientX <= fr.right && e.clientY >= fr.top && e.clientY <= fr.bottom
+  } catch (err) { return false }
+}
+// —— v757（issue #147）：把命中图的不透明区域做成 clip-path ——
+// `img` 现在常驻 `pointer-events:auto`（压在任何 iframe 上都能接事件），所以要靠 clip-path
+// 把透明边距裁掉，保住"点到透明处穿透到下层"。用**凸包**而不是逐像素轮廓：凸包天然包含全部
+// 不透明像素（不会裁到角色本身），点数少（几十个），且左右镜像由外层的 scaleX(-1) 一起变换。
+function applyHitClip(clip) {
+  try {
+    img.style.clipPath = clip || ''
+    img.style.webkitClipPath = clip || ''
+  } catch (err) {}
+}
+function convexHull(pts) {
+  try {
+    var p = pts.slice().sort(function (a, b) { return a[0] - b[0] || a[1] - b[1] })
+    if (p.length < 3) return null
+    var cross = function (o, a, b) { return (a[0] - o[0]) * (b[1] - o[1]) - (a[1] - o[1]) * (b[0] - o[0]) }
+    var lower = [], upper = [], i
+    for (i = 0; i < p.length; i++) {
+      while (lower.length >= 2 && cross(lower[lower.length - 2], lower[lower.length - 1], p[i]) <= 0) lower.pop()
+      lower.push(p[i])
+    }
+    for (i = p.length - 1; i >= 0; i--) {
+      while (upper.length >= 2 && cross(upper[upper.length - 2], upper[upper.length - 1], p[i]) <= 0) upper.pop()
+      upper.push(p[i])
+    }
+    lower.pop(); upper.pop()
+    return lower.concat(upper)
+  } catch (err) { return null }
+}
+function buildHitClipPath() {
+  try {
+    var c = hitCanvas && hitCanvas.getContext ? hitCanvas.getContext('2d') : null
+    if (!c) return ''
+    var data = c.getImageData(0, 0, 610, 610).data // 只读一次（1.5MB），别逐行读
+    var pts = []
+    for (var y = 0; y < 610; y++) {
+      var l = -1, r = -1
+      var base = y * 610 * 4
+      for (var x = 0; x < 610; x++) {
+        if (data[base + x * 4 + 3] > 10) { if (l < 0) l = x; r = x }
+      }
+      if (l >= 0) { pts.push([l, y]); pts.push([r, y]) }
+    }
+    if (pts.length < 8) return ''
+    var hull = convexHull(pts)
+    if (!hull || hull.length < 3) return ''
+    var parts = []
+    for (var k = 0; k < hull.length; k++) {
+      parts.push((hull[k][0] / 610 * 100).toFixed(2) + '% ' + (hull[k][1] / 610 * 100).toFixed(2) + '%')
+    }
+    return 'polygon(' + parts.join(', ') + ')'
+  } catch (err) {
+    return '' // 读不出来 → 不裁（退回矩形行为，与旧版一致）
+  }
+}
 function isWhaleHit(e) {
   // 命中图未就绪/失败时：绝不默认“全屏都是鲸鱼”。
   // 加载中 → 返回 false（不拦截页面）；加载失败 → 退回图像矩形区域，仅挂件区域可拖。
   if (!hitCanvas || !hitReady) {
     if (!hitFailed) return false
-    try {
-      var fr = img.getBoundingClientRect()
-      if (!fr || fr.width <= 0 || fr.height <= 0) return false
-      return e.clientX >= fr.left && e.clientX <= fr.right && e.clientY >= fr.top && e.clientY <= fr.bottom
-    } catch (err) {
-      return false
-    }
+    return whaleRectHit(e)
   }
   try {
     var r = img.getBoundingClientRect()
@@ -14865,7 +14979,16 @@ function isWhaleHit(e) {
     var ly = (e.clientY - r.top) / r.height * 610
     if (lx < 0 || ly < 0 || lx >= 610 || ly >= 610) return false
     if (state.flip) lx = 610 - lx
-    var data = hitCanvas.getContext('2d').getImageData(Math.floor(lx), Math.floor(ly), 1, 1).data
+    var data
+    try {
+      data = hitCanvas.getContext('2d').getImageData(Math.floor(lx), Math.floor(ly), 1, 1).data
+    } catch (err) {
+      // v756（issue #144）：画布读不出来（隐私保护/跨域污染）→ 立刻降级为矩形判定，
+      // 并且**记住**这个状态，后续调用直接走矩形，不再每次抛错。
+      hitReady = false
+      hitFailed = true
+      return whaleRectHit(e)
+    }
     return data[3] > 10
   } catch (err) {
     return false
@@ -15082,7 +15205,9 @@ function setWidgetCursor(v) {
 // 不碰页面级样式；找不到可滚动祖先时什么都不做（此时浏览器仍按默认把滚动交给页面滚动容器）。
 function onWhaleWheel(e) {
   try {
-    if (!widgetCursor || !e || !e.target) return
+    // v757（issue #147）：img 现在**常驻** pointer-events:auto，所以不再用 widgetCursor 当闸门 ——
+    // 这个监听挂在 root 上，只有挂件自己的子元素接住了事件才会触发；命中就转交。
+    if (!e || !e.target) return
     var hit = e.target
     if (hit !== img && !(root && root.contains && root.contains(hit))) return
     var prev = hit.style ? hit.style.pointerEvents : ''

package/lib/index.js

@@ -586,28 +586,95 @@ export default {
   name: 'whale-balance-widget',
   inject: ['webServer', 'credentials', 'connection'],
   apply(ctx) {
-    // —— 浏览器信任栅栏（对应 issue #92）——
-    // dsh 的 connection 服务提供 requestRejection(req)：Host/Origin 被伪造（DNS 重绑定）
-    // 或未认证的请求必须被拒。官方插件（如 dsh-host-open-in-app）在自定义路由里都会先调用；
-    // 本插件所有 /dsh-whale/* 路由同样必须走一遍，否则接口可被任意网页读写。
-    function rejected(req, res) {
+    // —— 浏览器信任栅栏（issue #92 建立，issue #136 补 fail-closed）——
+    // dsh 的 connection 服务提供 requestRejection(req)：Host/Origin 被伪造（DNS 重绑定）或未认证的
+    // 请求必须被拒。**但这个方法在较老的 dsh 上不存在**（#136 实测：0.1.5-rc.2/rc.3 有、0.1.0-rc.3 没有），
+    // 而旧实现在"服务缺失"与"栅栏自己抛异常"两条路径上都是 fail-open（放行）—— 于是 22 条 /dsh-whale/*
+    // 路由会**集体**失去校验：伪造 Host 可读写、普通跨站 POST 可直接写配置，而 api-models.json 还连着
+    // ctx.credentials（可 set/delete key）。现在改成三层：
+    //   ① **插件自己的轻量校验**（永远先跑；正常浏览器与本地脚本都不受影响）：
+    //      Host 必须是回环权威或 DSHW_TRUSTED_HOSTS 里显式声明的，`Sec-Fetch-Site: cross-site` 一律拒，
+    //      带 Origin 时必须与 Host 同源；
+    //   ② 宿主栅栏可用 → **委托**它（不重写它的语义：它里面还有一层浏览器鉴权 401），返回码照用；
+    //      **它抛异常则按拒绝处理**（旧实现这条路径静默放行，且连 warn 都没有）；
+    //   ③ 宿主栅栏不可用 → 只靠 ①，并在**插件加载时**就打一条醒目 warn（不是等第一次请求才打）。
+    const TRUSTED_AUTHORITIES = String(process.env.DSHW_TRUSTED_HOSTS || '')
+      .split(',').map((s) => s.trim().toLowerCase()).filter(Boolean)
+    // 只认回环：localhost / *.localhost / 127.0.0.0/8（逐段校验，防 `127.0.0.1.evil.com` 这类相似域名）/ ::1
+    function isLoopbackHostname(hn) {
+      const h = String(hn || '').toLowerCase().replace(/^\[/, '').replace(/\]$/, '')
+      if (!h) return false
+      if (h === 'localhost' || h.endsWith('.localhost')) return true
+      if (h === '::1') return true
+      const m = /^(\d{1,3})\.(\d{1,3})\.(\d{1,3})\.(\d{1,3})$/.exec(h)
+      if (!m) return false
+      if (Number(m[1]) !== 127) return false
+      return [m[2], m[3], m[4]].every((x) => Number(x) <= 255)
+    }
+    // 通过 → null；否则返回应当拒绝的状态码。
+    // opts.fenceAvailable：宿主栅栏此刻可用时，**非回环 Host 交给它判** —— 它知道 dsh 自己的
+    // `--trusted-host` 声明了谁；我们只在"确实没有栅栏"时才回落到 DSHW_TRUSTED_HOSTS。
+    // （0.3.11 把自校验放在委托之前，导致宿主已信任的权威在插件这边被 403，见 issue #136 后续的 A/B。）
+    function selfRejection(req, opts) {
       try {
-        const conn = ctx.get('connection') || ctx.connection
-        if (!conn || typeof conn.requestRejection !== 'function') {
-          // fail-open：此刻栅栏不可用（connection 服务缺失）。inject 已声明该服务，正常不会走到这里；
-          // 打一条 warn 便于发现"栅栏实际失效"，而不是静默放行
-          if (!rejected.warned) {
-            rejected.warned = true
-            try { console.warn('[whale-balance] 信任栅栏不可用：connection 服务缺失，自定义路由将放行处理') } catch (err) {}
-          }
-          return false
+        const headers = (req && req.headers) || {}
+        let hostUrl = null
+        try { hostUrl = new URL('http://' + String(headers.host || '')) } catch (err) { return 403 } // 缺 Host / 畸形 → 拒
+        const hostname = hostUrl.hostname
+        const authority = hostUrl.host
+        if (!isLoopbackHostname(hostname)) {
+          const listed = TRUSTED_AUTHORITIES.some((e) => (e.indexOf(':') >= 0 ? e === authority.toLowerCase() : e === hostname.toLowerCase()))
+          const fenceAvailable = !!(opts && opts.fenceAvailable)
+          if (!listed && !fenceAvailable) return 403
+        }
+        // 下面两条与"信任列表"无关，任何情况下都执行：跨站标记、Origin 与 Host 不同源。
+        const site = String(headers['sec-fetch-site'] || '').toLowerCase()
+        if (site === 'cross-site') return 403
+        const origin = headers.origin
+        if (typeof origin === 'string' && origin && origin !== 'null') {
+          let originUrl = null
+          try { originUrl = new URL(origin) } catch (err) { return 403 }
+          if (originUrl.host.toLowerCase() !== authority.toLowerCase()) return 403
         }
-        const code = conn.requestRejection(req)
-        if (code === undefined || code === null || code === false) return false
-        res.statusCode = typeof code === 'number' ? code : 403
-        res.end()
+        return null
+      } catch (err) { return 403 } // 校验器自身出错 → 拒绝（fail-closed）
+    }
+    function connectionFence() {
+      try {
+        const conn = ctx.get('connection') || ctx.connection
+        return conn && typeof conn.requestRejection === 'function' ? conn : null
+      } catch (err) { return null }
+    }
+    if (!connectionFence()) {
+      try {
+        console.warn('[whale-balance] 宿主信任栅栏不可用（connection.requestRejection 缺失）：已启用插件自带的回环/同源校验，'
+          + '所有路由（含写接口）仍受它保护；若本机 dsh 部署在非回环地址（反代/局域网），请用环境变量 '
+          + 'DSHW_TRUSTED_HOSTS 声明允许的 Host（逗号分隔，可带端口）。')
+      } catch (err) {}
+    }
+    function rejected(req, res) {
+      const deny = (code) => {
+        try { res.statusCode = code || 403; res.end() } catch (err) {}
         return true
-      } catch (err) { return false }
+      }
+      const conn = connectionFence()
+      // 先算栅栏可用性，再自校验：非回环 Host 在"栅栏可用"时交给栅栏判（它知道 --trusted-host）
+      const self = selfRejection(req, { fenceAvailable: !!conn })
+      if (self !== null) return deny(self)
+      if (!conn) return false // 已通过自校验；此刻没有宿主栅栏可委托（加载时已 warn）
+      let code
+      try {
+        code = conn.requestRejection(req)
+      } catch (err) {
+        // 旧实现这里是 `return false`：栅栏自己抛异常被当成"没被拒"而静默放行（#136 的第二条路径）
+        if (!rejected.warned) {
+          rejected.warned = true
+          try { console.warn('[whale-balance] 信任栅栏抛异常，已按拒绝处理：' + String((err && err.message) || err)) } catch (e2) {}
+        }
+        return deny(403)
+      }
+      if (code === undefined || code === null || code === false) return false
+      return deny(typeof code === 'number' ? code : 403)
     }
     // 统一注册入口：所有路由自动套上信任栅栏
     function registerRoute(route) {
@@ -985,7 +1052,7 @@ export default {
       const days = new Set([today, ...Object.keys(led.history || {}), ...accountingDays(led)])
       for (const e of events) if (/^\d{4}-\d{2}-\d{2}$/.test(e.day)) days.add(e.day)
       return {
-        ok: true, version: '0.3.10', today: todayData, days7,
+        ok: true, version: '0.3.12', today: todayData, days7,
         total7: total7ByCurrency[todayData.currency] || 0, total7Currency: todayData.currency, total7ByCurrency,
         all: {
           days: Array.from(days).filter(d => /^\d{4}-\d{2}-\d{2}$/.test(d)).sort().reverse().map(forDay),
@@ -2185,7 +2252,7 @@ export default {
       const summary = daySummary(led, todayKey())
       const nowSec = Math.floor(Date.now() / 1000)
       return {
-        ...visible, version: '0.3.10', isPeak: isPeakTime(nowSec),
+        ...visible, version: '0.3.12', isPeak: isPeakTime(nowSec),
         // 峰谷切换点与节假日清单：前端倒计时要与宿主同源（否则法定节假日会算错切换点）
         peakNextChangeAt: nextPeakChangeAt(nowSec),
         peakHolidays: HOLIDAY_VALLEY_LIST,
@@ -3464,6 +3531,23 @@ export default {
       return html + tag
     }))
 
+    // —— 官方 DSH 桌面端（Electron）适配（issue #152 / #153）——
+    // 桌面壳的 index.html 是**从安装包静态 dist 直接读盘**的（`dsh-app://app/`），
+    // 永远不经过宿主的 renderIndex()，所以上面的 tapIndex 在桌面端不生效 —— 于是"宿主半区活着、
+    // 客户端半区从未被请求"。桌面端走的是**结构化行注入**：宿主启动时 collectIndexInjections()
+    // 经 IPC 把行表交给渲染层，渲染层按 kind 逐行应用（见 @deepseek-ai/dsh-host-webserver 的
+    // injections.d.ts：`{ kind:'script-src'; placement:'head'|'body'; src:string }`，外部经典脚本）。
+    // 这里补同一行；**两条并存**：Web 形态仍走 tapIndex，两边都只会注入一次（各自去重）。
+    disposers.push(ctx.on('webserver/index-inject', (table) => {
+      try {
+        if (!Array.isArray(table)) return
+        for (const row of table) {
+          if (row && row.kind === 'script-src' && row.src === '/dsh-whale/widget.js') return
+        }
+        table.push({ kind: 'script-src', placement: 'body', src: '/dsh-whale/widget.js' })
+      } catch (err) {}
+    }))
+
     ctx.effect(() => () => {
       for (const d of disposers) {
         try { d() } catch (err) {}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-whale-widget",
-  "version": "0.3.10",
+  "version": "0.3.12",
   "description": "DSH Web 界面右下角的 DeepSeek 余额小鲸鱼挂件:余额/今日已用/峰谷定价、自定义泡泡点击序列(文本/余额/今日/峰谷/图片/随机语句与并列加权选择)、逐行样式与字体、悬浮快捷编辑、音效与每轮消耗、自定义角色/动图/音效、吸附与翻转自定义",
   "keywords": [
     "dsh",