dsh-workspace-migrate 0.5.2 → 0.5.4

package/README.md

@@ -2,12 +2,17 @@
 
 [![npm](https://img.shields.io/npm/v/dsh-workspace-migrate)](https://www.npmjs.com/package/dsh-workspace-migrate)
 [![DSH Plugin Store](https://img.shields.io/badge/DSH%20Plugin%20Store-listed-4C8DFF)](https://www.dshplugin.store/plugin/lij0000-arch/dsh-workspace-migrate)
+[![dshopen](https://img.shields.io/badge/dshopen.org-listed-2EA44F)](https://dshopen.org/plugins/dsh-workspace-migrate)
 [![release](https://img.shields.io/github/v/release/lij0000-arch/dsh-workspace-migrate?label=release)](https://github.com/lij0000-arch/dsh-workspace-migrate/releases)
 [![stars](https://img.shields.io/github/stars/lij0000-arch/dsh-workspace-migrate)](https://github.com/lij0000-arch/dsh-workspace-migrate)
 [![license](https://img.shields.io/github/license/lij0000-arch/dsh-workspace-migrate)](LICENSE)
 
 换电脑，把 DeepSeek Harness 里的**项目、对话和文件**一起带走，而且搬过去的旧对话还能接着聊。
 
+> 已被 [awesome-dsh-plugin](https://awesome-dsh-plugin.com/zh/p/lij0000-arch/dsh-workspace-migrate/) 收录 · npm 周下载 700+ · 适配 DSH 0.2.1（rc.2 – rc.5）
+
+> ⚠️ **请安装 0.5.3 及以上**。0.5.2 及更早版本的本地接口只做了同源检查，缺少宿主身份认证；0.5.3 起每个请求都过 `ctx.connection` 凭据校验，无认证服务时直接返回 503。
+
 **和别的迁移工具不一样的三点：**
 
 - **按工作区选**，不是整机全量：勾哪个项目就带走哪个项目的会话、归属、置顶/归档、文件和附件。
@@ -42,7 +47,7 @@ dsh plugin --profile desktop add dsh-workspace-migrate
 - **写**：经公开服务新建会话与项目登记（`sessionPersistence` / `workspaceRegistry`）、按路径映射复制项目文件与附件
 - **删**：只有「撤销这次导入」会删，而且只删**本次进程内由本插件创建**的项目登记与会话目录，其它 id 一律拒绝
 - **网络**：不向外发起请求；仅在本机 `127.0.0.1` 注册 `/api/dsh-migrate` 供当前页面调用
-- **鉴权**：每个请求都经宿主 `ctx.connection.admit()` 校验浏览器签名凭据（401/403 拒绝）；老宿主没有该服务时，退回同源检查并要求 Origin 必须存在
+- **鉴权**：每个请求都经宿主 `ctx.connection.requestRejection()` 校验浏览器签名凭据，被拒返回 401/403；宿主没有该服务时**直接返回 503**，不回退到 Origin/Host 比较（请求头可以伪造，不能当身份凭据）
 - **凭据**：不读取、不导出 `~/.dsh/.credentials.yaml`
 - **隐私**：迁移包含完整对话与项目文件，导出目录不要放在公开位置
 

package/index.js

@@ -1176,33 +1176,39 @@ export function apply(ctx, config = {}) {
    * 没有该服务（老宿主）时退回 Origin 检查，并额外要求 Origin 存在——
    * 缺 Origin 的请求只可能来自非浏览器客户端。
    */
+  /**
+   * 身份认证。只认宿主的 `connection` 服务：
+   *   ctx.connection.requestRejection({ headers }) —— 宿主自带的 Host/Origin 围栏
+   *   + 浏览器签名凭据（login-token cookie）校验，被拒时返回 401/403。
+   * 没有这个服务就**直接拒绝**：Origin/Host 只是请求头，客户端可以随便写，
+   * 不能当身份凭据用。迁移、回滚、清理这类会写盘的操作宁可不可用，也不可无认证。
+   */
   function authenticate(req) {
     const connection = ctx.get('connection')
-    if (connection) {
-      try {
-        const admission = connection.admit({ headers: req.headers })
-        if (admission && admission.rejection) return { status: admission.rejection }
-        return {}
-      } catch {
-        return { status: 401 }
-      }
-    }
-    const origin = req.headers.origin
-    if (!origin) return { status: 401 }
+    if (!connection) return { status: 503, reason: 'unavailable' }
     try {
-      if (new URL(origin).host !== req.headers.host) return { status: 403 }
+      if (typeof connection.requestRejection === 'function') {
+        const rejection = connection.requestRejection({ headers: req.headers })
+        return rejection ? { status: rejection } : {}
+      }
+      const admission = connection.admit({ headers: req.headers })
+      if (admission && admission.rejection) return { status: admission.rejection }
+      return {}
     } catch {
-      return { status: 403 }
+      return { status: 401 }
     }
-    return {}
   }
 
   async function handler(req, res) {
     const auth = authenticate(req)
     if (auth.status) {
-      sendJson(res, auth.status, {
-        error: auth.status === 401 ? '需要先在 Harness 中登录（缺少或无效的浏览器凭据）' : '拒绝跨站请求',
-      })
+      const message =
+        auth.reason === 'unavailable'
+          ? '宿主未提供 connection 认证服务，已拒绝处理（不做无身份校验的迁移）'
+          : auth.status === 401
+            ? '需要先在 Harness 中登录（缺少或无效的浏览器凭据）'
+            : '拒绝跨站请求'
+      sendJson(res, auth.status, { error: message })
       return
     }
     const url = new URL(req.url ?? '/', 'http://localhost')

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-workspace-migrate",
-  "version": "0.5.2",
+  "version": "0.5.4",
   "private": false,
   "type": "module",
   "description": "把 DeepSeek Harness 的工作区、项目成果和对话内容整体迁到另一台电脑",
@@ -14,7 +14,7 @@
     "session"
   ],
   "engines": {
-    "dsh": "^0.2.1-rc.2"
+    "dsh": ">=0.2.1-rc.2 <0.3.0 || >=0.2.2-rc.1 <0.3.0"
   },
   "repository": {
     "type": "git",