dsh-xueqiu 1.22.7 → 1.22.9

package/dynamic/client.js

@@ -355,10 +355,11 @@ return {
             upBorderColor: pal.up, downBorderColor: pal.down, noChangeBorderColor: pal.text,
             upWickColor: pal.up, downWickColor: pal.down, noChangeWickColor: pal.text
           },
-          // OHLC 图例：十字光标悬停才显示（v10 默认 always 常驻左上角，压蜡烛且与坐标轴数值重复）。
-          // 默认英文 time/open/... 标题太长会折成两行压图——换紧凑中文单行（开 高 低 收 量）+ 隐藏标题
+          // OHLC 图例：K线常显最新一根（v1.22.5 起紧凑中文单行、字号 10，不再压蜡烛）；
+          // 悬停十字光标时跟随显示对应根；分时在下方 minute 分支整体关闭。
+          // 默认英文 time/open/... 标题太长会折成两行——已换中文单行
           tooltip: {
-            showRule: 'follow_cross',
+            showRule: 'always',
             title: { show: false },
             legend: {
               size: 10, color: pal.text,
@@ -407,6 +408,8 @@ return {
     function klcSetup(K, boxRef, kind) {
       const chart = K.init(boxRef.current, { styles: klcStyles(kind, klcPalette()) })
       if (!chart) return null
+      // 卸载清理时 boxRef.current 已被 React 置 null，dispose 须用闭包捕获的节点
+      const box = boxRef.current
       let ro = null
       try {
         ro = new ResizeObserver(function () { chart.resize() })
@@ -422,7 +425,8 @@ return {
         dispose: function () {
           if (ro) ro.disconnect()
           if (mo) mo.disconnect()
-          try { K.dispose(boxRef.current) } catch (e) { /* 忽略 */ }
+          // 卸载清理时 boxRef.current 已被 React 置 null（与 dblclick 监听同类坑），须闭包捕获节点
+          try { K.dispose(box) } catch (e) { /* 忽略 */ }
         }
       }
     }
@@ -527,10 +531,15 @@ return {
       const [hi, setHi] = React.useState(null)
       const baseRef = React.useRef({ lastClose: lastClose })
       baseRef.current = { lastClose: lastClose }
+      // 分时数据是详情页渐进渲染晚到的一块（quote+kline 先上屏、minute 随后 merge）：
+      // effect 依赖 [] 曾导致空 items 挂载后数据到达永不刷新（空白图）。改为「空数据不挂图表，
+      // 数据到达（hasData 变 true）时重建」，彻底消除竞态窗口。
+      const hasData = items.length > 0
 
       React.useEffect(function () {
         const K = klcLib()
         if (!K || !boxRef.current) { setNoLib(true); return undefined }
+        if (!hasData) return undefined   // 数据未到：不建图表（等 hasData 变 true 重建）
         // 自定义指标：昨收虚线 + 均价线（series normal → 单独附图，避免干扰价格轴刻度）
         // 注意：registerIndicator 全局只注册一次，calc 闭包捕获的是首次挂载实例的 baseRef——
         // 切换股票后旧 calc 仍读旧实例的昨收（宁德分时曾因此挂上茅台昨收 1304，y 轴被撑爆成直线）。
@@ -608,9 +617,10 @@ return {
           try { chart.unsubscribeAction('onCrosshairChange') } catch (e) { /* 忽略 */ }
           h.dispose()
         }
-      }, [])
+      }, [hasData, props.symbol])
 
       if (noLib) return klcNoLib()
+      if (!hasData) return el('div', { className: 'xq-chart-wrap', style: { display: 'flex', alignItems: 'center', justifyContent: 'center', color: 'var(--dsw-alias-label-secondary)', fontSize: 12 } }, '分时数据加载中…')
       // 十字光标 tooltip（沿用 .xq-tip 卡片）
       let tip = null
       if (hi && hi.r) {
@@ -649,6 +659,12 @@ return {
       const [indices, setIndices] = React.useState([])
       const [hot, setHot] = React.useState([])
       const [hotMarket, setHotMarket] = React.useState('cn')
+      // 竞态防护：热榜/搜索的响应序号（旧响应到达时序号已过期则丢弃，防慢请求覆盖新结果）
+      const hotSeq = React.useRef(0)
+      const searchSeq = React.useRef(0)
+      // 轮询闭包读当前市场（interval 闭包不随状态更新，直接捕获 state 会拿到 stale 值）
+      const hotMarketRef = React.useRef(hotMarket)
+      hotMarketRef.current = hotMarket
       const [news, setNews] = React.useState([])
       const [newsMore, setNewsMore] = React.useState(false)   // 翻页加载中
       const [newsNoMore, setNewsNoMore] = React.useState(false) // 已到最旧
@@ -704,10 +720,13 @@ return {
       }
 
       function refreshContent() {
+        const my = ++hotSeq.current
+        const market = hotMarketRef.current   // 读当前市场（轮询闭包防 stale）
         Promise.all([
-          call('hot', { market: hotMarket, size: 10 }),
+          call('hot', { market: market, size: 10 }),
           call('news', { count: 20 })
         ]).then(function (res) {
+          if (hotSeq.current !== my) return   // 期间用户切了市场/触发过手动刷新：丢弃旧响应
           setHot((res[0] && res[0].list) || [])
           setNews((res[1] && res[1].items) || [])
           setNewsMore(false)
@@ -844,15 +863,18 @@ return {
         const q = searchQ.trim()
         if (!q) return
         setSearching(true)
+        const my = ++searchSeq.current
         const p = searchMode === 'stock'
           ? call('search', { q: q, count: 8 })
           : call('searchPosts', { q: q, count: 10 })
         p.then(function (data) {
+          if (searchSeq.current !== my) return   // 快速连搜：只认最后一次
           setSearchRes((data && data.list) || [])
         }).catch(function (e) {
+          if (searchSeq.current !== my) return
           setErr(String((e && e.message) || e))
           setSearchRes([])
-        }).then(function () { setSearching(false) })
+        }).then(function () { if (searchSeq.current === my) setSearching(false) })
       }
 
       function addManual() {
@@ -1135,9 +1157,14 @@ return {
               key: m[0], className: hotMarket === m[0] ? 'xq-seg-on' : '',
               onClick: function () {
                 setHotMarket(m[0])
+                const my = ++hotSeq.current
                 call('hot', { market: m[0], size: 10 }).then(function (data) {
+                  if (hotSeq.current !== my) return   // 快速连点：只认最后一次
                   setHot((data && data.list) || [])
-                }).catch(function (e) { setErr(String((e && e.message) || e)) })
+                }).catch(function (e) {
+                  if (hotSeq.current !== my) return
+                  setErr(String((e && e.message) || e))
+                })
               }
             }, m[1])
           })),
@@ -1206,6 +1233,13 @@ return {
         news.forEach(function (it) {
           const d = new Date(it.created_at)
           const now = new Date()
+          if (isNaN(d.getTime())) {   // 脏/缺失时间：跳过分组头（否则渲染 "NaN月NaN日"）
+            kids.push(el('div', { key: String(it.id), className: 'xq-news-item' + (it.mark === 1 ? ' xq-important' : '') }, [
+              el('div', { key: 't' }, it.text),
+              el('div', { key: 'm', className: 'xq-news-time' }, fmtTime(it.created_at) + (it.mark === 1 ? ' · 重要' : ''))
+            ]))
+            return
+          }
           const sameDay = function (a, b) { return a.getFullYear() === b.getFullYear() && a.getMonth() === b.getMonth() && a.getDate() === b.getDate() }
           const yest = new Date(now.getFullYear(), now.getMonth(), now.getDate() - 1)
           let label = null
@@ -1559,7 +1593,7 @@ return {
           onDoubleClick: onGripDblClick
         }, '⤡')
       ])
-      return el('div', { style: { contents: 'display' } }, [badgeEl])
+      return el('div', { style: { display: 'contents' } }, [badgeEl])
     }
 
     // ---------- 底部指数条（会话页，输入框下方氛围行） ----------

package/dynamic/host.js

@@ -185,8 +185,8 @@ return {
       const spec = shell.resolve({ command: cmd, timeoutMs: 15000, stdoutMaxBytes: 4194304 })
       const result = await shell.run(spec)
       if (result.exitCode !== 0) {
-        const err = ((result.stderr && result.stderr.text) || '').slice(0, 200)
-        throw new Error('curl 失败 (' + result.exitCode + '): ' + err)
+        // 不回显 stderr：bash 语法错误会把完整命令行（含内部拼接细节）透给调用方
+        throw new Error('curl 失败 (' + result.exitCode + ')')
       }
       return String(result.stdout.text || '')
     }
@@ -529,7 +529,14 @@ return {
       syncInflight = true
       try {
         const cloud = await fetchCloudWatchlist()
-        if (!cloud.symbols.length) return false   // 空结果不镜像（接口异常/账号无自选都不该清空本地）
+        if (!cloud.symbols.length) {
+          // 空结果不镜像（接口异常/账号无自选都不该清空本地），但必须推进 lastSyncAt——
+          // 否则 cookie 半失效时节流永不生效，每次 watchlist.get 都重复打上游 2 个请求
+          wl.lastSyncAt = Date.now()
+          watchlist = wl
+          await saveWatchlist()
+          return false
+        }
         const cur = wl.symbols
         const changed = cur.length !== cloud.symbols.length || cloud.symbols.some(function (s, i) { return cur[i] !== s })
         if (changed) {
@@ -554,7 +561,7 @@ return {
       if (wl.symbols.indexOf(symbol) === -1) {
         wl.symbols.push(symbol)
         await saveWatchlist()
-        cloudWatchAdd(symbol)   // 尽力而为：云端添加失败不影响本地
+        cloudWatchAdd(symbol).catch(function () { /* 尽力而为：失败由下次同步纠正 */ })   // 云端添加失败不影响本地
       }
       return { symbols: wl.symbols }
     }
@@ -566,7 +573,7 @@ return {
       if (i !== -1) {
         wl.symbols.splice(i, 1)
         await saveWatchlist()
-        cloudWatchDelete(symbol)   // 尽力而为：云端删除失败不影响本地
+        cloudWatchDelete(symbol).catch(function () { /* 尽力而为：失败由下次同步纠正 */ })   // 云端删除失败不影响本地
       }
       return { symbols: wl.symbols }
     }
@@ -808,8 +815,9 @@ return {
     async function actUiGet() {
       const s = await loadUiState()
       const hNum = Number(s.dockH)
+      const validTabs = ['market', 'hot', 'search', 'news']
       return {
-        tab: s.tab || 'market', open: s.open !== false,
+        tab: (typeof s.tab === 'string' && validTabs.indexOf(s.tab) >= 0) ? s.tab : 'market',   // 损坏状态文件的非法 tab 一律回退（防类型穿透） open: s.open !== false,
         dockH: (s.dockH !== undefined && isFinite(hNum) && hNum >= 160 && hNum <= 1200) ? hNum : null,
         badgeW: (s.badgeW !== undefined && isFinite(Number(s.badgeW)) && Number(s.badgeW) >= 120 && Number(s.badgeW) <= 480) ? Number(s.badgeW) : null,
         badgePos: (s.badgePos && isFinite(Number(s.badgePos.x)) && isFinite(Number(s.badgePos.y)))
@@ -884,13 +892,14 @@ return {
           kind: 'prefix',
           path: '/xq-rpc',
           handler: async function (req, res) {
-            // 同源栅栏：Host 头必须是回环，带 Origin 时必须同源（防 DNS rebinding/CSRF）
+            // 同源栅栏：Host 头必须是回环，Origin 必须存在且同源（防 DNS rebinding/CSRF/无 Origin 的跨进程直调）
             const hostHeader = String(req.headers.host || '')
             const origin = req.headers.origin ? String(req.headers.origin) : ''
             const hostAuth = hostHeader.replace(/:\d+$/, '')
             const loopback = hostAuth === '127.0.0.1' || hostAuth === 'localhost' || hostAuth === '[::1]' || hostAuth === '::1'
             if (!loopback) { res.writeHead(403); res.end('forbidden'); return }
-            if (origin && origin !== 'http://' + hostHeader && origin !== 'https://' + hostHeader) {
+            // 浏览器对（哪怕同源的）POST fetch 必带 Origin；无 Origin 一律拒绝（curl/本机进程裸调）
+            if (!origin || (origin !== 'http://' + hostHeader && origin !== 'https://' + hostHeader)) {
               res.writeHead(403); res.end('forbidden'); return
             }
             const chunks = []
@@ -1089,11 +1098,17 @@ return {
     // 注册：动态环境走 harness 门面（defineTool 会做标记+校验）；
     // 静态 bundle 层没有 harness，参数已是 JSON Schema 根，直接注册 plain 对象
     // （tools 服务在静态路径无 defineTool 守卫），用 inject 等服务就绪。
+    // 统一包装 execute：args 为 null/undefined 时兜底 {}（工具层直解引用会抛 TypeError）
+    function wrapToolSpec(spec) {
+      const raw = spec.execute
+      if (!raw) return spec
+      return Object.assign({}, spec, { execute: function (args) { return raw.call(this, args || {}) } })
+    }
     if (typeof harness !== 'undefined') {
       for (let i = 0; i < XQ_AGENT_TOOLS.length; i++) {
         const spec = XQ_AGENT_TOOLS[i]
         ctx.effect(function () {
-          return harness.registerTool(ctx, harness.defineTool(spec))
+          return harness.registerTool(ctx, harness.defineTool(wrapToolSpec(spec)))
         })
       }
     } else {
@@ -1101,7 +1116,7 @@ return {
         for (let i = 0; i < XQ_AGENT_TOOLS.length; i++) {
           const spec = XQ_AGENT_TOOLS[i]
           toolsCtx.effect(function () {
-            return toolsCtx.tools.register(spec)
+            return toolsCtx.tools.register(wrapToolSpec(spec))
           })
         }
       })

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-xueqiu",
-  "version": "1.22.7",
+  "version": "1.22.9",
   "description": "雪球 mini 行情面板 — DeepSeek Harness 免登录 A股/港美股实时行情、K线(蜡烛/成交量/均线)、分时图、热榜、搜索、7x24 快讯、热议用户。嵌入式面板 + 可拖拽行情徽标，内置请求节流、TTL 缓存与 Cookie 自动续期。",
   "keywords": [
     "dsh",
@@ -52,7 +52,9 @@
   ],
   "scripts": {
     "generate": "python3 scripts/gen-static.py",
-    "check": "python3 scripts/gen-static.py --check && node --check src/index.js && node --check src/client/index.js && node -e \"new Function(require('fs').readFileSync('dynamic/host.js','utf8'))\" && node -e \"new Function(require('fs').readFileSync('dynamic/client.js','utf8'))\" && bash scripts/static-smoke.sh",
-    "prepublishOnly": "npm run check"
+    "check:fast": "python3 scripts/gen-static.py --check && node --check src/index.js && node --check src/client/index.js && node -e \"new Function(require('fs').readFileSync('dynamic/host.js','utf8'))\" && node -e \"new Function(require('fs').readFileSync('dynamic/client.js','utf8'))\"",
+    "check": "npm run check:fast && bash scripts/static-smoke.sh",
+    "smoke": "bash scripts/static-smoke.sh",
+    "prepublishOnly": "npm run check:fast"
   }
 }

package/src/client/index.js

@@ -386,10 +386,11 @@ exports.default = {
             upBorderColor: pal.up, downBorderColor: pal.down, noChangeBorderColor: pal.text,
             upWickColor: pal.up, downWickColor: pal.down, noChangeWickColor: pal.text
           },
-          // OHLC 图例：十字光标悬停才显示（v10 默认 always 常驻左上角，压蜡烛且与坐标轴数值重复）。
-          // 默认英文 time/open/... 标题太长会折成两行压图——换紧凑中文单行（开 高 低 收 量）+ 隐藏标题
+          // OHLC 图例：K线常显最新一根（v1.22.5 起紧凑中文单行、字号 10，不再压蜡烛）；
+          // 悬停十字光标时跟随显示对应根；分时在下方 minute 分支整体关闭。
+          // 默认英文 time/open/... 标题太长会折成两行——已换中文单行
           tooltip: {
-            showRule: 'follow_cross',
+            showRule: 'always',
             title: { show: false },
             legend: {
               size: 10, color: pal.text,
@@ -438,6 +439,8 @@ exports.default = {
     function klcSetup(K, boxRef, kind) {
       const chart = K.init(boxRef.current, { styles: klcStyles(kind, klcPalette()) })
       if (!chart) return null
+      // 卸载清理时 boxRef.current 已被 React 置 null，dispose 须用闭包捕获的节点
+      const box = boxRef.current
       let ro = null
       try {
         ro = new ResizeObserver(function () { chart.resize() })
@@ -453,7 +456,8 @@ exports.default = {
         dispose: function () {
           if (ro) ro.disconnect()
           if (mo) mo.disconnect()
-          try { K.dispose(boxRef.current) } catch (e) { /* 忽略 */ }
+          // 卸载清理时 boxRef.current 已被 React 置 null（与 dblclick 监听同类坑），须闭包捕获节点
+          try { K.dispose(box) } catch (e) { /* 忽略 */ }
         }
       }
     }
@@ -558,10 +562,15 @@ exports.default = {
       const [hi, setHi] = React.useState(null)
       const baseRef = React.useRef({ lastClose: lastClose })
       baseRef.current = { lastClose: lastClose }
+      // 分时数据是详情页渐进渲染晚到的一块（quote+kline 先上屏、minute 随后 merge）：
+      // effect 依赖 [] 曾导致空 items 挂载后数据到达永不刷新（空白图）。改为「空数据不挂图表，
+      // 数据到达（hasData 变 true）时重建」，彻底消除竞态窗口。
+      const hasData = items.length > 0
 
       React.useEffect(function () {
         const K = klcLib()
         if (!K || !boxRef.current) { setNoLib(true); return undefined }
+        if (!hasData) return undefined   // 数据未到：不建图表（等 hasData 变 true 重建）
         // 自定义指标：昨收虚线 + 均价线（series normal → 单独附图，避免干扰价格轴刻度）
         // 注意：registerIndicator 全局只注册一次，calc 闭包捕获的是首次挂载实例的 baseRef——
         // 切换股票后旧 calc 仍读旧实例的昨收（宁德分时曾因此挂上茅台昨收 1304，y 轴被撑爆成直线）。
@@ -639,9 +648,10 @@ exports.default = {
           try { chart.unsubscribeAction('onCrosshairChange') } catch (e) { /* 忽略 */ }
           h.dispose()
         }
-      }, [])
+      }, [hasData, props.symbol])
 
       if (noLib) return klcNoLib()
+      if (!hasData) return el('div', { className: 'xq-chart-wrap', style: { display: 'flex', alignItems: 'center', justifyContent: 'center', color: 'var(--dsw-alias-label-secondary)', fontSize: 12 } }, '分时数据加载中…')
       // 十字光标 tooltip（沿用 .xq-tip 卡片）
       let tip = null
       if (hi && hi.r) {
@@ -680,6 +690,12 @@ exports.default = {
       const [indices, setIndices] = React.useState([])
       const [hot, setHot] = React.useState([])
       const [hotMarket, setHotMarket] = React.useState('cn')
+      // 竞态防护：热榜/搜索的响应序号（旧响应到达时序号已过期则丢弃，防慢请求覆盖新结果）
+      const hotSeq = React.useRef(0)
+      const searchSeq = React.useRef(0)
+      // 轮询闭包读当前市场（interval 闭包不随状态更新，直接捕获 state 会拿到 stale 值）
+      const hotMarketRef = React.useRef(hotMarket)
+      hotMarketRef.current = hotMarket
       const [news, setNews] = React.useState([])
       const [newsMore, setNewsMore] = React.useState(false)   // 翻页加载中
       const [newsNoMore, setNewsNoMore] = React.useState(false) // 已到最旧
@@ -735,10 +751,13 @@ exports.default = {
       }
 
       function refreshContent() {
+        const my = ++hotSeq.current
+        const market = hotMarketRef.current   // 读当前市场（轮询闭包防 stale）
         Promise.all([
-          call('hot', { market: hotMarket, size: 10 }),
+          call('hot', { market: market, size: 10 }),
           call('news', { count: 20 })
         ]).then(function (res) {
+          if (hotSeq.current !== my) return   // 期间用户切了市场/触发过手动刷新：丢弃旧响应
           setHot((res[0] && res[0].list) || [])
           setNews((res[1] && res[1].items) || [])
           setNewsMore(false)
@@ -875,15 +894,18 @@ exports.default = {
         const q = searchQ.trim()
         if (!q) return
         setSearching(true)
+        const my = ++searchSeq.current
         const p = searchMode === 'stock'
           ? call('search', { q: q, count: 8 })
           : call('searchPosts', { q: q, count: 10 })
         p.then(function (data) {
+          if (searchSeq.current !== my) return   // 快速连搜：只认最后一次
           setSearchRes((data && data.list) || [])
         }).catch(function (e) {
+          if (searchSeq.current !== my) return
           setErr(String((e && e.message) || e))
           setSearchRes([])
-        }).then(function () { setSearching(false) })
+        }).then(function () { if (searchSeq.current === my) setSearching(false) })
       }
 
       function addManual() {
@@ -1166,9 +1188,14 @@ exports.default = {
               key: m[0], className: hotMarket === m[0] ? 'xq-seg-on' : '',
               onClick: function () {
                 setHotMarket(m[0])
+                const my = ++hotSeq.current
                 call('hot', { market: m[0], size: 10 }).then(function (data) {
+                  if (hotSeq.current !== my) return   // 快速连点：只认最后一次
                   setHot((data && data.list) || [])
-                }).catch(function (e) { setErr(String((e && e.message) || e)) })
+                }).catch(function (e) {
+                  if (hotSeq.current !== my) return
+                  setErr(String((e && e.message) || e))
+                })
               }
             }, m[1])
           })),
@@ -1237,6 +1264,13 @@ exports.default = {
         news.forEach(function (it) {
           const d = new Date(it.created_at)
           const now = new Date()
+          if (isNaN(d.getTime())) {   // 脏/缺失时间：跳过分组头（否则渲染 "NaN月NaN日"）
+            kids.push(el('div', { key: String(it.id), className: 'xq-news-item' + (it.mark === 1 ? ' xq-important' : '') }, [
+              el('div', { key: 't' }, it.text),
+              el('div', { key: 'm', className: 'xq-news-time' }, fmtTime(it.created_at) + (it.mark === 1 ? ' · 重要' : ''))
+            ]))
+            return
+          }
           const sameDay = function (a, b) { return a.getFullYear() === b.getFullYear() && a.getMonth() === b.getMonth() && a.getDate() === b.getDate() }
           const yest = new Date(now.getFullYear(), now.getMonth(), now.getDate() - 1)
           let label = null
@@ -1590,7 +1624,7 @@ exports.default = {
           onDoubleClick: onGripDblClick
         }, '⤡')
       ])
-      return el('div', { style: { contents: 'display' } }, [badgeEl])
+      return el('div', { style: { display: 'contents' } }, [badgeEl])
     }
 
     // ---------- 底部指数条（会话页，输入框下方氛围行） ----------

package/src/index.js

@@ -185,8 +185,8 @@ export default {
       const spec = shell.resolve({ command: cmd, timeoutMs: 15000, stdoutMaxBytes: 4194304 })
       const result = await shell.run(spec)
       if (result.exitCode !== 0) {
-        const err = ((result.stderr && result.stderr.text) || '').slice(0, 200)
-        throw new Error('curl 失败 (' + result.exitCode + '): ' + err)
+        // 不回显 stderr：bash 语法错误会把完整命令行（含内部拼接细节）透给调用方
+        throw new Error('curl 失败 (' + result.exitCode + ')')
       }
       return String(result.stdout.text || '')
     }
@@ -529,7 +529,14 @@ export default {
       syncInflight = true
       try {
         const cloud = await fetchCloudWatchlist()
-        if (!cloud.symbols.length) return false   // 空结果不镜像（接口异常/账号无自选都不该清空本地）
+        if (!cloud.symbols.length) {
+          // 空结果不镜像（接口异常/账号无自选都不该清空本地），但必须推进 lastSyncAt——
+          // 否则 cookie 半失效时节流永不生效，每次 watchlist.get 都重复打上游 2 个请求
+          wl.lastSyncAt = Date.now()
+          watchlist = wl
+          await saveWatchlist()
+          return false
+        }
         const cur = wl.symbols
         const changed = cur.length !== cloud.symbols.length || cloud.symbols.some(function (s, i) { return cur[i] !== s })
         if (changed) {
@@ -554,7 +561,7 @@ export default {
       if (wl.symbols.indexOf(symbol) === -1) {
         wl.symbols.push(symbol)
         await saveWatchlist()
-        cloudWatchAdd(symbol)   // 尽力而为：云端添加失败不影响本地
+        cloudWatchAdd(symbol).catch(function () { /* 尽力而为：失败由下次同步纠正 */ })   // 云端添加失败不影响本地
       }
       return { symbols: wl.symbols }
     }
@@ -566,7 +573,7 @@ export default {
       if (i !== -1) {
         wl.symbols.splice(i, 1)
         await saveWatchlist()
-        cloudWatchDelete(symbol)   // 尽力而为：云端删除失败不影响本地
+        cloudWatchDelete(symbol).catch(function () { /* 尽力而为：失败由下次同步纠正 */ })   // 云端删除失败不影响本地
       }
       return { symbols: wl.symbols }
     }
@@ -808,8 +815,9 @@ export default {
     async function actUiGet() {
       const s = await loadUiState()
       const hNum = Number(s.dockH)
+      const validTabs = ['market', 'hot', 'search', 'news']
       return {
-        tab: s.tab || 'market', open: s.open !== false,
+        tab: (typeof s.tab === 'string' && validTabs.indexOf(s.tab) >= 0) ? s.tab : 'market',   // 损坏状态文件的非法 tab 一律回退（防类型穿透） open: s.open !== false,
         dockH: (s.dockH !== undefined && isFinite(hNum) && hNum >= 160 && hNum <= 1200) ? hNum : null,
         badgeW: (s.badgeW !== undefined && isFinite(Number(s.badgeW)) && Number(s.badgeW) >= 120 && Number(s.badgeW) <= 480) ? Number(s.badgeW) : null,
         badgePos: (s.badgePos && isFinite(Number(s.badgePos.x)) && isFinite(Number(s.badgePos.y)))
@@ -884,13 +892,14 @@ export default {
           kind: 'prefix',
           path: '/xq-rpc',
           handler: async function (req, res) {
-            // 同源栅栏：Host 头必须是回环，带 Origin 时必须同源（防 DNS rebinding/CSRF）
+            // 同源栅栏：Host 头必须是回环，Origin 必须存在且同源（防 DNS rebinding/CSRF/无 Origin 的跨进程直调）
             const hostHeader = String(req.headers.host || '')
             const origin = req.headers.origin ? String(req.headers.origin) : ''
             const hostAuth = hostHeader.replace(/:\d+$/, '')
             const loopback = hostAuth === '127.0.0.1' || hostAuth === 'localhost' || hostAuth === '[::1]' || hostAuth === '::1'
             if (!loopback) { res.writeHead(403); res.end('forbidden'); return }
-            if (origin && origin !== 'http://' + hostHeader && origin !== 'https://' + hostHeader) {
+            // 浏览器对（哪怕同源的）POST fetch 必带 Origin；无 Origin 一律拒绝（curl/本机进程裸调）
+            if (!origin || (origin !== 'http://' + hostHeader && origin !== 'https://' + hostHeader)) {
               res.writeHead(403); res.end('forbidden'); return
             }
             const chunks = []
@@ -1089,11 +1098,17 @@ export default {
     // 注册：动态环境走 harness 门面（defineTool 会做标记+校验）；
     // 静态 bundle 层没有 harness，参数已是 JSON Schema 根，直接注册 plain 对象
     // （tools 服务在静态路径无 defineTool 守卫），用 inject 等服务就绪。
+    // 统一包装 execute：args 为 null/undefined 时兜底 {}（工具层直解引用会抛 TypeError）
+    function wrapToolSpec(spec) {
+      const raw = spec.execute
+      if (!raw) return spec
+      return Object.assign({}, spec, { execute: function (args) { return raw.call(this, args || {}) } })
+    }
     if (typeof harness !== 'undefined') {
       for (let i = 0; i < XQ_AGENT_TOOLS.length; i++) {
         const spec = XQ_AGENT_TOOLS[i]
         ctx.effect(function () {
-          return harness.registerTool(ctx, harness.defineTool(spec))
+          return harness.registerTool(ctx, harness.defineTool(wrapToolSpec(spec)))
         })
       }
     } else {
@@ -1101,7 +1116,7 @@ export default {
         for (let i = 0; i < XQ_AGENT_TOOLS.length; i++) {
           const spec = XQ_AGENT_TOOLS[i]
           toolsCtx.effect(function () {
-            return toolsCtx.tools.register(spec)
+            return toolsCtx.tools.register(wrapToolSpec(spec))
           })
         }
       })