kingkont 0.20.30 → 0.20.32

package/lib/providers.js

@@ -1092,6 +1092,16 @@ async function uploadFile({ buffer, filename = 'upload.bin', mime = 'application
     throw new Error(`файл слишком большой (${(buffer.length/1024/1024).toFixed(1)} MB), лимит 50MB`);
   }
 
+  // Явный override: «Использовать Cloudflare для загрузки» — каждый файл сразу
+  // идёт в R2, без chatium-race. Чекбокс в settings.html, юзер сам решает.
+  if (s.useCloudflareR2 && r2Upload.isConfigured()) {
+    console.log('[uploadFile] useCloudflareR2=true → R2 directly');
+    const r2 = await r2Upload.uploadToR2(buffer, mime, _extFromFilename(filename));
+    return {
+      url: r2.url, fileName: filename, size: buffer.length, hash: r2.key, provider: 'cloudflare-r2',
+    };
+  }
+
   if (s.useChatium && s.chatium?.token && s.chatium?.base) {
     return await _uploadViaChatiumWithR2Fallback({ buffer, filename, mime, s });
   }

package/lib/r2-upload.js

@@ -1,93 +1,53 @@
-// lib/r2-upload.js — загрузка файла в Cloudflare R2 через Cloudflare API (Bearer).
+// lib/r2-upload.js — загрузка файла в R2 через Cloudflare Worker upload-proxy.
 //
-// Используется как fallback когда chatium-storage медленно / недоступно
-// (см. uploadFile в providers.js → race с 5s timeout).
+// Worker задеплоен в `cf-worker/` (см. README там). Он принимает POST,
+// складывает body в R2-бакет `kingkont`, отвечает {url, key, size}.
+// Public-domain бакета: pub-cd4114af9f7d44c9bf8c9442bc7dddc2.r2.dev — file
+// доступен по {url}.
 //
-// Credentials хардкодим (юзер: «дам наш ключ, не надо чтобы каждый
-// настраивал»). Если в будущем нужно будет дать юзерам кастомизировать —
-// перенесём в settings.json.
-//
-// Способ auth: Cloudflare Account API Token (cfat_...) → Bearer header.
-// Это проще чем S3-protocol SigV4 (нет хитрой подписи), и token-based
-// auth тривиальнее ротировать в случае утечки.
-//
-// API endpoint:
-//   PUT https://api.cloudflare.com/client/v4/accounts/<account>/r2/buckets/<bucket>/objects/<key>
-//   Authorization: Bearer <token>
-//   Content-Type: <mime>
-//   body: <bytes>
-// → 200 OK { success:true, result:{key, size, etag} }
-//
-// Public read через managed-domain (pub-<bucket-id>.r2.dev), включён через
-// API (PUT /r2/buckets/<b>/domains/managed { enabled:true }).
+// Раньше тут была прямая запись через Cloudflare API с Account API token.
+// Токен был закоммичен в публичный npm-пакет → CF auto-revoked secret
+// scanner'ом за час. Worker-подход решает проблему: URL Worker'а публичный
+// и не секретный, R2-credentials живут только в R2-binding на стороне CF.
 
-const crypto = require('crypto');
-
-const R2 = {
-  accountId:  'dd50e50ba5d89ce42553cfb2f5d6ee40',
-  apiToken:   'cfat_8HndHS0KMqecVBsjpM5Se2VbLQIvSw2ipCDnhtDm1502679f',
-  bucket:     'kingkont',
-  publicBase: 'https://pub-cd4114af9f7d44c9bf8c9442bc7dddc2.r2.dev',
-};
-// Env override (для dev / тестов / ротации без релиза).
-if (process.env.R2_ACCOUNT_ID)  R2.accountId  = process.env.R2_ACCOUNT_ID;
-if (process.env.R2_API_TOKEN)   R2.apiToken   = process.env.R2_API_TOKEN;
-if (process.env.R2_BUCKET)      R2.bucket     = process.env.R2_BUCKET;
-if (process.env.R2_PUBLIC_BASE) R2.publicBase = process.env.R2_PUBLIC_BASE;
+const WORKER_URL = (process.env.R2_WORKER_URL || 'https://kingkont-r2-upload.timur-dd5.workers.dev').replace(/\/$/, '');
 
 function isConfigured() {
-  return !!(R2.accountId && R2.apiToken && R2.bucket && R2.publicBase);
+  return !!WORKER_URL && WORKER_URL !== '<NOT_CONFIGURED>';
 }
 
 /**
- * Залить файл в R2 и вернуть публичную URL'ку.
+ * Залить файл в R2 через Worker и вернуть публичную URL'ку.
  * @param {Buffer} buffer
  * @param {string} mime
  * @param {string} [ext]
  * @returns {Promise<{ url: string, key: string, size: number }>}
  */
 async function uploadToR2(buffer, mime = 'application/octet-stream', ext) {
-  if (!isConfigured()) throw new Error('R2 не настроен');
+  if (!isConfigured()) throw new Error('R2 Worker URL не настроен');
   if (!buffer || !buffer.length) throw new Error('пустой файл');
 
-  const finalExt = (ext || _extFromMime(mime) || 'bin').replace(/[^a-z0-9]/gi, '').slice(0, 8) || 'bin';
-  // UUID-based — юзер просил без content-hash дедупа.
-  const key = `${crypto.randomUUID()}.${finalExt}`;
-
-  const url = `https://api.cloudflare.com/client/v4/accounts/${R2.accountId}/r2/buckets/${R2.bucket}/objects/${encodeURIComponent(key)}`;
+  const headers = { 'Content-Type': mime };
+  if (ext) headers['X-Ext'] = String(ext).replace(/[^a-z0-9]/gi, '').slice(0, 8);
 
   const t0 = Date.now();
-  const r = await fetch(url, {
-    method: 'PUT',
-    headers: {
-      'Authorization': `Bearer ${R2.apiToken}`,
-      'Content-Type': mime,
-    },
+  const r = await fetch(`${WORKER_URL}/upload`, {
+    method: 'POST',
+    headers,
     body: buffer,
   });
+
   if (!r.ok) {
     const text = await r.text().catch(() => '');
-    throw new Error(`R2 PUT ${r.status}: ${text.slice(0, 300)}`);
-  }
-  // CF API возвращает {success, result}. Проверяем флаг для надёжности.
-  const data = await r.json().catch(() => ({}));
-  if (data && data.success === false) {
-    throw new Error(`R2 PUT не success: ${JSON.stringify(data.errors || data).slice(0, 300)}`);
+    throw new Error(`R2 worker PUT ${r.status}: ${text.slice(0, 300)}`);
   }
-  const publicUrl = `${R2.publicBase.replace(/\/$/, '')}/${key}`;
-  console.log(`[r2-upload] OK ${key} (${buffer.length}B, ${mime}) in ${Date.now() - t0}ms → ${publicUrl}`);
-  return { url: publicUrl, key, size: buffer.length };
-}
 
-function _extFromMime(mime) {
-  return ({
-    'image/jpeg': 'jpg', 'image/jpg': 'jpg',
-    'image/png': 'png', 'image/webp': 'webp', 'image/gif': 'gif', 'image/avif': 'avif',
-    'video/mp4': 'mp4', 'video/quicktime': 'mov', 'video/webm': 'webm',
-    'audio/mpeg': 'mp3', 'audio/wav': 'wav', 'audio/mp4': 'm4a', 'audio/x-m4a': 'm4a',
-    'text/plain': 'txt', 'text/markdown': 'md',
-    'application/octet-stream': 'bin',
-  })[mime] || null;
+  const data = await r.json();
+  if (!data || !data.url) {
+    throw new Error(`R2 worker вернул без url: ${JSON.stringify(data).slice(0, 200)}`);
+  }
+  console.log(`[r2-upload] OK ${data.key} (${data.size}B, ${mime}) in ${Date.now() - t0}ms → ${data.url}`);
+  return { url: data.url, key: data.key, size: data.size };
 }
 
 module.exports = { uploadToR2, isConfigured };

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "kingkont",
-  "version": "0.20.30",
+  "version": "0.20.32",
   "description": "KingKont \u00b7 Chatium \u2014 \u043d\u043e\u0434-\u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440 \u0441\u0446\u0435\u043d \u0441 AI-\u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0435\u0439 (\u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0438/\u0432\u0438\u0434\u0435\u043e/\u0433\u043e\u043b\u043e\u0441/SFX/\u043c\u0443\u0437\u044b\u043a\u0430/\u0442\u0435\u043a\u0441\u0442)",
   "main": "main.js",
   "bin": {

package/settings.html

@@ -169,6 +169,23 @@
     </div>
   </div>
 
+  <h2>Загрузка референсов</h2>
+  <div class="card">
+    <label class="use-toggle" for="useCloudflareR2">
+      <input type="checkbox" id="useCloudflareR2" />
+      <span class="label-text">
+        Использовать Cloudflare для загрузки
+        <span class="sub">— upload референсов идёт в R2-бакет KingKont вместо chatium-storage</span>
+      </span>
+    </label>
+    <div class="hint">
+      По умолчанию (выключено) — upload идёт в <code>fs.chatium.ru</code>, и
+      если он медленнее 5 секунд, автоматически уходит в Cloudflare R2.
+      Если включить — chatium-storage не используется вообще, каждый
+      файл сразу идёт в R2 (<code>pub-cd4114…r2.dev</code>).
+    </div>
+  </div>
+
   <h2>Для Claude</h2>
   <div class="card">
     <div style="font-size:13px; color:var(--text); margin-bottom:8px;">
@@ -217,6 +234,7 @@ async function loadSettings() {
   $('useOpenrouter').checked  = useDefault(s.useOpenrouter);
   $('useElevenlabs').checked  = useDefault(s.useElevenlabs);
   $('useKie').checked         = useDefault(s.useKie);
+  $('useCloudflareR2').checked = useDefault(s.useCloudflareR2);
 
   // Применяем visual-disabled к блокам с выключенным toggle
   syncProviderVisuals();
@@ -246,6 +264,7 @@ $('save').addEventListener('click', async () => {
     useOpenrouter: $('useOpenrouter').checked,
     useElevenlabs: $('useElevenlabs').checked,
     useKie:        $('useKie').checked,
+    useCloudflareR2: $('useCloudflareR2').checked,
   });
   const saved = $('saved');
   saved.classList.add('show');