dsh-whale-widget 0.3.11 → 0.3.13

package/assets/whale-widget.js

@@ -322,7 +322,12 @@ var css = [
   '.dshwv-root.dshwv-left{transform:scaleX(-1)}',
   '.dshwv-root.dshwv-dragging{cursor:grabbing;transition:none}',
   '.dshwv-body{position:absolute;left:0;top:0;width:100%;height:100%;transform-origin:50% 100%;transition:transform .22s cubic-bezier(.34,1.56,.64,1)}',
-  '.dshwv-img{position:absolute;right:0;bottom:0;width:59.45%;height:59.45%;display:block;pointer-events:none;-webkit-user-drag:none;user-select:none;object-fit:contain;object-position:right bottom}',
+  // v757（issue #147）：`.dshwv-img` 由 `pointer-events:none` 改为 `auto` —— 鲸鱼身体**自己接指针事件**。
+  // 原来靠"主文档监听 + isWhaleHit()"判定命中，而指针落在 `<iframe>`（如右侧栏 HTML 预览）上时
+  // 事件直接进入 iframe 自己的文档，主文档收不到 ⇒ 鲸鱼身体失联（点不动、拖不动，只有 ☰ 能用）。
+  // 代价是 img 的**矩形**（含透明边距）会吞掉点击 → 由 setupHitTest() 用命中图的**凸包**做 clip-path
+  // 裁掉透明区（凸包包含全部不透明像素，不会裁到角色本身），"点到透明处穿透到下层"的行为得以保留。
+  '.dshwv-img{position:absolute;right:0;bottom:0;width:59.45%;height:59.45%;display:block;pointer-events:auto;-webkit-user-drag:none;user-select:none;object-fit:contain;object-position:right bottom}',
   // v751（PR #119）：光标不再写 document.body.style.cursor —— cursor 是可继承属性，写 <body> 会让 Blink
   // 失效**整棵文档树**的样式；而它在点击链路上按下/抬手各写一次，紧接着 isWhaleHit() 的
   // getBoundingClientRect() 与泡泡行测量的 getComputedStyle()/scrollWidth 会强制刷新样式+布局，
@@ -14878,16 +14883,21 @@ function setupHitTest(url) {
             if (ctx.getImageData(px, py, 1, 1).data[3] > 10) opaque++
           }
         }
-        if (!opaque) { hitReady = false; hitFailed = true; return }
+        if (!opaque) { hitReady = false; hitFailed = true; applyHitClip(''); return }
         hitReady = true
+        // v757（issue #147）：命中图可用 → 用不透明区域的凸包裁掉 img 的透明边距，
+        // 这样"身体自己接事件"不会把透明角落的点击也吞掉。
+        applyHitClip(buildHitClipPath())
       } catch (err) {
         hitFailed = true
+        applyHitClip('')
       }
     }
     probe.onerror = function () {
       // 图片加载失败：不能把整页当成鲸鱼命中区吞掉事件（会全页面点不动），
       // 标记失败，命中判定退回图像矩形区域。
       hitFailed = true
+      applyHitClip('')
     }
     probe.src = url || IMG_URL
   } catch (err) {}
@@ -14901,6 +14911,60 @@ function whaleRectHit(e) {
     return e.clientX >= fr.left && e.clientX <= fr.right && e.clientY >= fr.top && e.clientY <= fr.bottom
   } catch (err) { return false }
 }
+// —— v757（issue #147）：把命中图的不透明区域做成 clip-path ——
+// `img` 现在常驻 `pointer-events:auto`（压在任何 iframe 上都能接事件），所以要靠 clip-path
+// 把透明边距裁掉，保住"点到透明处穿透到下层"。用**凸包**而不是逐像素轮廓：凸包天然包含全部
+// 不透明像素（不会裁到角色本身），点数少（几十个），且左右镜像由外层的 scaleX(-1) 一起变换。
+function applyHitClip(clip) {
+  try {
+    img.style.clipPath = clip || ''
+    img.style.webkitClipPath = clip || ''
+  } catch (err) {}
+}
+function convexHull(pts) {
+  try {
+    var p = pts.slice().sort(function (a, b) { return a[0] - b[0] || a[1] - b[1] })
+    if (p.length < 3) return null
+    var cross = function (o, a, b) { return (a[0] - o[0]) * (b[1] - o[1]) - (a[1] - o[1]) * (b[0] - o[0]) }
+    var lower = [], upper = [], i
+    for (i = 0; i < p.length; i++) {
+      while (lower.length >= 2 && cross(lower[lower.length - 2], lower[lower.length - 1], p[i]) <= 0) lower.pop()
+      lower.push(p[i])
+    }
+    for (i = p.length - 1; i >= 0; i--) {
+      while (upper.length >= 2 && cross(upper[upper.length - 2], upper[upper.length - 1], p[i]) <= 0) upper.pop()
+      upper.push(p[i])
+    }
+    lower.pop(); upper.pop()
+    return lower.concat(upper)
+  } catch (err) { return null }
+}
+function buildHitClipPath() {
+  try {
+    var c = hitCanvas && hitCanvas.getContext ? hitCanvas.getContext('2d') : null
+    if (!c) return ''
+    var data = c.getImageData(0, 0, 610, 610).data // 只读一次（1.5MB），别逐行读
+    var pts = []
+    for (var y = 0; y < 610; y++) {
+      var l = -1, r = -1
+      var base = y * 610 * 4
+      for (var x = 0; x < 610; x++) {
+        if (data[base + x * 4 + 3] > 10) { if (l < 0) l = x; r = x }
+      }
+      if (l >= 0) { pts.push([l, y]); pts.push([r, y]) }
+    }
+    if (pts.length < 8) return ''
+    var hull = convexHull(pts)
+    if (!hull || hull.length < 3) return ''
+    var parts = []
+    for (var k = 0; k < hull.length; k++) {
+      parts.push((hull[k][0] / 610 * 100).toFixed(2) + '% ' + (hull[k][1] / 610 * 100).toFixed(2) + '%')
+    }
+    return 'polygon(' + parts.join(', ') + ')'
+  } catch (err) {
+    return '' // 读不出来 → 不裁（退回矩形行为，与旧版一致）
+  }
+}
 function isWhaleHit(e) {
   // 命中图未就绪/失败时：绝不默认“全屏都是鲸鱼”。
   // 加载中 → 返回 false（不拦截页面）；加载失败 → 退回图像矩形区域，仅挂件区域可拖。
@@ -15141,7 +15205,9 @@ function setWidgetCursor(v) {
 // 不碰页面级样式；找不到可滚动祖先时什么都不做（此时浏览器仍按默认把滚动交给页面滚动容器）。
 function onWhaleWheel(e) {
   try {
-    if (!widgetCursor || !e || !e.target) return
+    // v757（issue #147）：img 现在**常驻** pointer-events:auto，所以不再用 widgetCursor 当闸门 ——
+    // 这个监听挂在 root 上，只有挂件自己的子元素接住了事件才会触发；命中就转交。
+    if (!e || !e.target) return
     var hit = e.target
     if (hit !== img && !(root && root.contains && root.contains(hit))) return
     var prev = hit.style ? hit.style.pointerEvents : ''

package/lib/index.js

@@ -582,10 +582,50 @@ function loadWidgetJs() {
   return widgetJsCache ? widgetJsCache.text : ''
 }
 
+// —— 桌面端（Electron）结构化注入行：**内联 script 行**，不是 script-src 行（issue #154）——
+// 桌面壳的 index.html 从安装包静态 dist 直出，`tapIndex`（函数变换）永远过不去；唯一通道是
+// `webserver/index-inject` 推的结构化行，经 IPC 交给页面侧解释器逐行应用。
+// 但解释器对两种 script 行的处理**不对称**（desktop 前端 `web-boot`）：
+//   case "script":     createElement + textContent + append   —— 没有 await，**不可能"加载失败"**
+//   case "script-src": await loadScript(src)                   —— 失败即 reject，而那个 reject 会
+//                                                                reject 掉 __DSH_BOOT_READY__ ⇒ **应用起不来**
+// 再加一层：外壳把这张表在**宿主启动时收集一次**后缓存，**没有任何刷新路径** ⇒ 插件在运行期被关掉时，
+// 表里仍留着这一行，而 `/dsh-whale/*` 路由已注销 ⇒ 加载 404 ⇒ 就是 issue #154 那个
+// "desktop web: failed to load /dsh-whale/widget.js" 致命错误。
+// 所以改成内联行：由**我们自己**建 `<script src=…>` 并**吞掉** onerror —— 路由在就正常加载，
+// 路由不在就静默失败，宿主永远不会因为我们起不来。
+const DESKTOP_WIDGET_ROW_TEXT =
+  '(function(){try{var d=document.body||document.head||document.documentElement;if(!d)return;' +
+  'var s=document.createElement("script");s.src="/dsh-whale/widget.js";' +
+  's.onerror=function(){};d.appendChild(s)}catch(e){}})()'
+
 export default {
   name: 'whale-balance-widget',
-  inject: ['webServer', 'credentials', 'connection'],
-  apply(ctx) {
+  // v758：**有意去掉对象级 `inject: ['webServer','credentials','connection']`**（issue #154 的隐患面）。
+  // 对象级 inject 会把整个 apply() 推迟到三个服务就绪之后；而桌面端的注入表是**宿主启动时一次性
+  // 收集**的（`dsh-desktop-host`：`collectIndexInjections()` → IPC → 渲染层），订阅一旦晚于那次收集，
+  // 这一行就永远进不了表 = 桌面端挂件完全不出现（#152/#153 那位报告人无法稳定复现的正是这个竞态）。
+  // 现在 apply() 立刻执行、**第一件事就是注册注入行**（它不依赖任何服务），其余逻辑原样放进
+  // `root.inject([...], cb)` 局部等待 —— 语义与原来的对象级 inject 等价，但行的注册不再被推迟。
+  apply(root) {
+    const rowDisposers = []
+    root.effect(() => () => { for (const d of rowDisposers) { try { d() } catch (err) {} } })
+    // ① 结构化注入行：桌面端唯一能生效的通道（web 形态另有 tapIndex，两条并存、各自去重）
+    rowDisposers.push(root.on('webserver/index-inject', (table) => {
+      try {
+        if (!Array.isArray(table)) return
+        for (const row of table) {
+          if (!row) continue
+          if (row.kind === 'script-src' && row.src === '/dsh-whale/widget.js') return // 旧版本推过 → 不重复
+          if (row.kind === 'script' && typeof row.text === 'string'
+            && row.text.indexOf('/dsh-whale/widget.js') >= 0) return
+        }
+        table.push({ kind: 'script', placement: 'body', text: DESKTOP_WIDGET_ROW_TEXT })
+      } catch (err) {}
+    }))
+
+    // ② 其余逻辑：等齐三个服务后再跑（等价于原来的对象级 inject，但不再挡住 ①）
+    root.inject(['webServer', 'credentials', 'connection'], (ctx) => {
     // —— 浏览器信任栅栏（issue #92 建立，issue #136 补 fail-closed）——
     // dsh 的 connection 服务提供 requestRejection(req)：Host/Origin 被伪造（DNS 重绑定）或未认证的
     // 请求必须被拒。**但这个方法在较老的 dsh 上不存在**（#136 实测：0.1.5-rc.2/rc.3 有、0.1.0-rc.3 没有），
@@ -611,8 +651,11 @@ export default {
       if (Number(m[1]) !== 127) return false
       return [m[2], m[3], m[4]].every((x) => Number(x) <= 255)
     }
-    // 通过 → null；否则返回应当拒绝的状态码
-    function selfRejection(req) {
+    // 通过 → null；否则返回应当拒绝的状态码。
+    // opts.fenceAvailable：宿主栅栏此刻可用时，**非回环 Host 交给它判** —— 它知道 dsh 自己的
+    // `--trusted-host` 声明了谁；我们只在"确实没有栅栏"时才回落到 DSHW_TRUSTED_HOSTS。
+    // （0.3.11 把自校验放在委托之前，导致宿主已信任的权威在插件这边被 403，见 issue #136 后续的 A/B。）
+    function selfRejection(req, opts) {
       try {
         const headers = (req && req.headers) || {}
         let hostUrl = null
@@ -621,8 +664,10 @@ export default {
         const authority = hostUrl.host
         if (!isLoopbackHostname(hostname)) {
           const listed = TRUSTED_AUTHORITIES.some((e) => (e.indexOf(':') >= 0 ? e === authority.toLowerCase() : e === hostname.toLowerCase()))
-          if (!listed) return 403
+          const fenceAvailable = !!(opts && opts.fenceAvailable)
+          if (!listed && !fenceAvailable) return 403
         }
+        // 下面两条与"信任列表"无关，任何情况下都执行：跨站标记、Origin 与 Host 不同源。
         const site = String(headers['sec-fetch-site'] || '').toLowerCase()
         if (site === 'cross-site') return 403
         const origin = headers.origin
@@ -652,10 +697,11 @@ export default {
         try { res.statusCode = code || 403; res.end() } catch (err) {}
         return true
       }
-      const self = selfRejection(req)
-      if (self !== null) return deny(self)
       const conn = connectionFence()
-      if (!conn) return false // ① 已通过；此刻没有宿主栅栏可委托（加载时已 warn）
+      // 先算栅栏可用性，再自校验：非回环 Host 在"栅栏可用"时交给栅栏判（它知道 --trusted-host）
+      const self = selfRejection(req, { fenceAvailable: !!conn })
+      if (self !== null) return deny(self)
+      if (!conn) return false // 已通过自校验；此刻没有宿主栅栏可委托（加载时已 warn）
       let code
       try {
         code = conn.requestRejection(req)
@@ -1046,7 +1092,7 @@ export default {
       const days = new Set([today, ...Object.keys(led.history || {}), ...accountingDays(led)])
       for (const e of events) if (/^\d{4}-\d{2}-\d{2}$/.test(e.day)) days.add(e.day)
       return {
-        ok: true, version: '0.3.11', today: todayData, days7,
+        ok: true, version: '0.3.13', today: todayData, days7,
         total7: total7ByCurrency[todayData.currency] || 0, total7Currency: todayData.currency, total7ByCurrency,
         all: {
           days: Array.from(days).filter(d => /^\d{4}-\d{2}-\d{2}$/.test(d)).sort().reverse().map(forDay),
@@ -2246,7 +2292,7 @@ export default {
       const summary = daySummary(led, todayKey())
       const nowSec = Math.floor(Date.now() / 1000)
       return {
-        ...visible, version: '0.3.11', isPeak: isPeakTime(nowSec),
+        ...visible, version: '0.3.13', isPeak: isPeakTime(nowSec),
         // 峰谷切换点与节假日清单：前端倒计时要与宿主同源（否则法定节假日会算错切换点）
         peakNextChangeAt: nextPeakChangeAt(nowSec),
         peakHolidays: HOLIDAY_VALLEY_LIST,
@@ -3525,10 +3571,20 @@ export default {
       return html + tag
     }))
 
+    // —— 官方 DSH 桌面端（Electron）适配（issue #152 / #153 / #154）——
+    // 桌面壳的 index.html 是**从安装包静态 dist 直接读盘**的（`dsh-app://app/`），永远不经过宿主的
+    // renderIndex()，所以上面的 tapIndex 在桌面端不生效 —— 于是"宿主半区活着、客户端半区从未被请求"。
+    // 桌面端唯一的注入通道是 `webserver/index-inject` 的结构化行（宿主启动时 collectIndexInjections()
+    // 经 IPC 交给渲染层，渲染层按 kind 逐行应用）。
+    // **该行的注册已上移到 apply() 开头**（见 `DESKTOP_WIDGET_ROW_TEXT` 上方那段注释）：两个原因 ——
+    // ① 桌面端的注入表是**一次性收集**的，行必须尽早进表；② 行本身改成了**内联 script 行**，
+    // 因为页面侧解释器对 `script-src` 是"加载失败即 reject 整个 boot"（issue #154 的致命启动错误）。
+
     ctx.effect(() => () => {
       for (const d of disposers) {
         try { d() } catch (err) {}
       }
     })
+    }) // ← 结束 root.inject(['webServer','credentials','connection'], cb)
   },
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-whale-widget",
-  "version": "0.3.11",
+  "version": "0.3.13",
   "description": "DSH Web 界面右下角的 DeepSeek 余额小鲸鱼挂件:余额/今日已用/峰谷定价、自定义泡泡点击序列(文本/余额/今日/峰谷/图片/随机语句与并列加权选择)、逐行样式与字体、悬浮快捷编辑、音效与每轮消耗、自定义角色/动图/音效、吸附与翻转自定义",
   "keywords": [
     "dsh",