dsh-whale-widget 0.3.3 → 0.3.4

package/assets/whale-widget.js

@@ -671,6 +671,11 @@ var css = [
 ].join('\n')
 
 var styleEl = document.createElement('style')
+// PR #114：不带 data-plugin 的 <style> 会被 DSH 客户端模块系统 claimStyles 认领到
+// 「当前正在物化的那个插件」名下，之后该插件热重载/失效时 removeOwnedStyles 会把它
+// 一起删掉。样式一没，挂件 20 多个 dshwv-* 节点就从 position:fixed 掉回文档流堆在
+// 页面底部（页面被撑到几千像素高）。打上自己的名字后就不会被任何人认领/删除。
+styleEl.setAttribute('data-plugin', 'dsh-whale-widget')
 styleEl.textContent = css
 document.head.appendChild(styleEl)
 
@@ -1916,6 +1921,9 @@ function usageAlertBudgetEditor(key, onSave) {
     // 提醒编辑期间:窗口内可能弹出的各类全屏遮罩(确认/裁剪/音频/快照/用量)统一置顶,杜绝层级错位
     var remindZStyle = document.createElement('style')
     remindZStyle.id = 'dshw-remind-overlay-z'
+    // 同上（PR #114）：本文本表同样必须自带 data-plugin，否则会被别的客户端插件
+    // 热重载时顺带删掉，提醒编辑期的遮罩层级就失效了。
+    remindZStyle.setAttribute('data-plugin', 'dsh-whale-widget')
     // 提醒编辑期间:窗口内可能弹出的全屏遮罩(确认/裁剪/音频/快照)统一置顶,杜绝层级错位。
     // 注意:不要把 .dshwv-usage-mask 放进来——「模型子菜单/模型设置」用的是这个类(29000),
     // 一提权就会反盖到提醒编辑器(30000)上面。
@@ -12470,10 +12478,28 @@ function setScrollGapPx(v) {
   saveConfig()
   settle()
 }
+// issue #91 缺陷2：触屏设备上没有任何进菜单的路径 —— ☰ 按钮默认 opacity:0，只由
+// pointermove 命中鲸鱼时才加 dshwv-menu-btn-visible，而触摸端没有 hover；长按唤出又只在
+// 「隐藏菜单按钮」开启时挂计时（默认关闭）。这里判定「主输入是否为无 hover 的触摸」：
+// 只用 (hover: none)，或 (pointer: coarse) + 有触点。触屏笔记本（主输入是鼠标）不受影响。
+function dshwvTouchUI() {
+  try {
+    if (typeof window !== 'undefined' && window.matchMedia) {
+      if (window.matchMedia('(hover: none)').matches) return true
+      if (window.matchMedia('(pointer: coarse)').matches && (navigator.maxTouchPoints || 0) > 0) return true
+    }
+    if (typeof window !== 'undefined' && typeof navigator !== 'undefined') {
+      return (navigator.maxTouchPoints || 0) > 0 && ('ontouchstart' in window)
+    }
+  } catch (err) {}
+  return false
+}
 function applyMenuBtnHideUI() {
   try {
     menuBtn.classList.toggle('dshwv-menu-btn-hidden', menuBtnHide)
     if (menuBtnHide) menuBtn.classList.remove('dshwv-menu-btn-visible')
+    // 触屏：没有 hover 可以显形 → 常显（仍受上面的 hidden 开关控制）
+    else if (dshwvTouchUI()) menuBtn.classList.add('dshwv-menu-btn-visible')
   } catch (err) {}
 }
 function setMenuBtnHide(v) {
@@ -14454,8 +14480,10 @@ function onDocTouchStart(e) {
     touchDrag = { id: t.identifier }
     touchStartPt = { x: t.clientX, y: t.clientY }
     touchNowPt = { x: t.clientX, y: t.clientY }
-    // 长按唤出菜单:仅「隐藏菜单按钮」开启且菜单未打开时挂计时(位移超标即取消)
-    if (menuBtnHide && !menuOpen && (Date.now() - menuClosedAt > 600)) {
+    // 长按唤出菜单：原本只在「隐藏菜单按钮」开启且菜单未打开时挂计时(位移超标即取消)。
+    // 触屏上默认配置(按钮永远不显形)就完全没有进菜单的路径 → 无 hover 的设备一律允许长按
+    // 唤出（issue #91 缺陷2）；桌面端行为不变。
+    if ((menuBtnHide || dshwvTouchUI()) && !menuOpen && (Date.now() - menuClosedAt > 600)) {
       cancelTouchLongPress()
       touchLongPressTimer = setTimeout(fireTouchLongPressMenu, TOUCH_LONG_PRESS_MS)
     }
@@ -14511,9 +14539,14 @@ function onDocPointerMoveCursor(e) {
   }
   var over = isWhaleHit(e)
   setWidgetCursor(over ? 'grab' : '')
-  if (!menuBtnHide) menuBtn.classList.toggle('dshwv-menu-btn-visible', over || menuOpen)
+  // 触屏上必须把 dshwvTouchUI() 也当作"该显示"：拖动鲸鱼时 pointermove 的 over 为 false，
+  // 否则这一次 toggle 会把常显状态撤掉（issue #91 缺陷2 修完又被自己抹掉）。
+  if (!menuBtnHide) menuBtn.classList.toggle('dshwv-menu-btn-visible', over || menuOpen || dshwvTouchUI())
 }
 document.addEventListener('pointermove', onDocPointerMoveCursor, true)
+// 启动即应用一次菜单按钮可见性：触屏上 ☰ 常显（issue #91 缺陷2）。
+// 配置读回来之后还会再应用一次，这里是配置请求失败时的兜底。
+try { applyMenuBtnHideUI() } catch (err) {}
 
 function endDrag(e, clickAllowed) {
   if (!drag || !drag.active) return
@@ -14693,8 +14726,10 @@ fetch(SIZE_URL, { cache: 'no-store' })
     if (d && typeof d.menuBtnHide === 'boolean') {
       menuBtnHide = d.menuBtnHide
       if (menuHideToggle) menuHideToggle.checked = menuBtnHide
-      applyMenuBtnHideUI()
     }
+    // 无论服务端带没带这个键都要应用一次：触屏上 ☰ 需要常显（issue #91 缺陷2），
+    // 而旧写法只在键存在时才调用，空配置下按钮永远是透明的。
+    applyMenuBtnHideUI()
     // 相对边框恢复（localStorage 锚点）：窗口变化后保持离边距离。
     // 仅认 v:2 净距离格式；旧格式（含避让距离）废弃，挂件保持默认右下角吸附。
     // issue #102：这里原与 applyAnchorPos() 各写了一份恢复逻辑（两份都只做下限夹紧），

package/lib/index.js

@@ -929,7 +929,7 @@ export default {
       const days = new Set([today, ...Object.keys(led.history || {}), ...accountingDays(led)])
       for (const e of events) if (/^\d{4}-\d{2}-\d{2}$/.test(e.day)) days.add(e.day)
       return {
-        ok: true, version: '0.3.3', today: todayData, days7,
+        ok: true, version: '0.3.4', today: todayData, days7,
         total7: total7ByCurrency[todayData.currency] || 0, total7Currency: todayData.currency, total7ByCurrency,
         all: {
           days: Array.from(days).filter(d => /^\d{4}-\d{2}-\d{2}$/.test(d)).sort().reverse().map(forDay),
@@ -1273,9 +1273,19 @@ export default {
     // 后台预热：codexSummary 首次要同步读全部 rollout 日志（可能几十 MB），
     // 放在请求路径里会阻塞事件循环。这里在插件启动后预热一次，并每 5 分钟刷新一次缓存，
     // 请求进来时通常直接命中 codexSummaryCached 的 5 秒记忆。
+    let codexPrewarmT = null, codexPrewarmI = null
     try {
-      setTimeout(function () { try { codexSummaryCached() } catch (err) {} }, 1500)
-      setInterval(function () { try { codexSummaryCached() } catch (err) {} }, 5 * 60 * 1000)
+      codexPrewarmT = setTimeout(function () { try { codexSummaryCached() } catch (err) {} }, 1500)
+      codexPrewarmI = setInterval(function () { try { codexSummaryCached() } catch (err) {} }, 5 * 60 * 1000)
+      // issue #109：这两个定时器原先不存句柄、也不进 disposers，插件树 dispose 之后
+      // 事件循环里仍有一个被引用的 interval → 用户退出 dsh 时进程不结束（只能 Ctrl+C）。
+      // 存句柄并纳入 disposers，卸载时一并清掉；unref 作为兜底（正常运行时由 HTTP 服务维持事件循环）。
+      try { if (codexPrewarmT && codexPrewarmT.unref) codexPrewarmT.unref() } catch (err) {}
+      try { if (codexPrewarmI && codexPrewarmI.unref) codexPrewarmI.unref() } catch (err) {}
+      disposers.push(function () {
+        if (codexPrewarmT !== null) { clearTimeout(codexPrewarmT); codexPrewarmT = null }
+        if (codexPrewarmI !== null) { clearInterval(codexPrewarmI); codexPrewarmI = null }
+      })
     } catch (err) {}
     // ===== 自定义 API 模型注册表（v655）=====
     // 文件：$DSH_HOME/.dshw-api.json → { version, models:[…], usage:{ [id]:{day,dayStart,lastBalance,delta,eventCost} } }
@@ -1361,12 +1371,34 @@ export default {
       }
       return out
     }
+    // PR #104（收窄版）：只放行 http/https，并挡掉云厂商元数据与 link-local 地址。
+    // 关键取舍：**不拦回环与内网** —— 我们内置的 ollama 模板就推荐用户填
+    // http://127.0.0.1:11434/v1（本地 Ollama / LM Studio），自建网关（New API 之类，
+    // 见 issue #53）也跑在本机；拦掉它们会把正当用法一起打死。接口地址由用户自己在面板/
+    // 注册表里填写，且所有 /dsh-whale/* 路由都在受信任栅栏之后 —— 真正要挡的是
+    // 「被诱导去读云元数据把凭据带出来」，而不是「访问本机服务」。
+    // decimal / octal / hex 形式的 IPv4 已由 WHATWG URL 规范化成点分十进制，这里只按规范化结果判定。
+    function assertSafeApiUrl(u) {
+      let parsed
+      try { parsed = new URL(u) } catch { throw new Error('无效的接口地址') }
+      if (parsed.protocol !== 'http:' && parsed.protocol !== 'https:') throw new Error('不支持的协议: ' + parsed.protocol)
+      const host = parsed.hostname.toLowerCase().replace(/^\[|\]$/g, '')
+      if (host === 'metadata.google.internal' || host === 'metadata.goog' || host === '100.100.100.200') throw new Error('禁止访问云元数据地址')
+      const m = host.match(/^(\d{1,3})\.(\d{1,3})\.(\d{1,3})\.(\d{1,3})$/)
+      if (m) {
+        const [a, b] = [Number(m[1]), Number(m[2])]
+        if (a === 169 && b === 254) throw new Error('禁止访问 link-local 地址')
+        if (a === 0) throw new Error('禁止访问该地址')
+      }
+      if (/^fe[89ab][0-9a-f]:/i.test(host)) throw new Error('禁止访问 link-local 地址')
+    }
     async function apiFetchJson(url, auth, key) {
       const headers = {}
       const a = String(auth == null ? 'Bearer {key}' : auth)
       if (a) headers.Authorization = a.replace('{key}', key)
       // v724：URL 里也支持 {key}（如 Gemini 的 ?key=… 形式；auth 传空串时不带 Authorization 头）
       const u = String(url).replace('{key}', key)
+      assertSafeApiUrl(u)
       const res = await fetch(u, { headers, signal: AbortSignal.timeout(15000) })
       if (!res.ok) throw new Error('HTTP ' + res.status)
       return await res.json()
@@ -1973,7 +2005,7 @@ export default {
       const led = readUsageLedger()
       const summary = daySummary(led, todayKey())
       return {
-        ...visible, version: '0.3.3', isPeak: isPeakTime(Math.floor(Date.now() / 1000)),
+        ...visible, version: '0.3.4', isPeak: isPeakTime(Math.floor(Date.now() / 1000)),
         todayUsage: summary.amount, todayUsageCurrency: summary.currency,
         usageSource: summary.source, usageLabel: summary.label, usageMode: 'ledger',
         accounting: balanceSummary(led, todayKey()),
@@ -2604,7 +2636,7 @@ export default {
               const r = apiDeleteModel(parsed.id)
               const list = await apiModelsPayload()
               res.writeHead(r.ok ? 200 : 400, JSON_HEADERS)
-              res.end(JSON.stringify(Object.assign({}, r, { models: list.models })))
+              res.end(JSON.stringify({ ...r, models: list.models }))
               return
             }
             if (action === 'probe') {
@@ -2640,10 +2672,10 @@ export default {
             }
             // 注意：keyValue 在提交体上（不在 model 里），必须合并进去，
             // 否则前端面板里填的 API key 会被丢弃（密钥永远存不进去）
-            const r = await apiSaveModel(Object.assign({}, parsed.model || parsed, { keyValue: parsed.keyValue }))
+            const r = await apiSaveModel({ ...(parsed.model || parsed), keyValue: parsed.keyValue })
             const list2 = await apiModelsPayload()
             res.writeHead(r.ok ? 200 : 400, JSON_HEADERS)
-            res.end(JSON.stringify(Object.assign({}, r, { models: list2.models })))
+            res.end(JSON.stringify({ ...r, models: list2.models }))
             return
           }
           const payload = await apiModelsPayload()

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-whale-widget",
-  "version": "0.3.3",
+  "version": "0.3.4",
   "description": "DSH Web 界面右下角的 DeepSeek 余额小鲸鱼挂件:余额/今日已用/峰谷定价、自定义泡泡点击序列(文本/余额/今日/峰谷/图片/随机语句与并列加权选择)、逐行样式与字体、悬浮快捷编辑、音效与每轮消耗、自定义角色/动图/音效、吸附与翻转自定义",
   "keywords": [
     "dsh",