koishi-plugin-kkk 1.0.5 → 1.0.7

package/CHANGELOG.md

@@ -1,5 +1,25 @@
 # 更新日志
 
+## 1.0.7
+
+### 修复
+- **面板报「加载配置失败 / 鉴权失败: 缺少authorization」**：面板自己的登录 token 存在服务端内存里，
+  Koishi 一重启就失效，而自动登录脚本看到 localStorage 里已经有 token 就跳过登录，
+  于是一直拿着废 token 请求、所有接口 401。现在：
+  - 每次打开面板都会重新换一个新的 token（不再因为 localStorage 有值就跳过）；
+  - 接口鉴权同时接受「控制台换来的面板 cookie」，即使前端 token 过期也能正常读写配置。
+- 1.0.6 引入的登录校验配合这次修复才算完整：现在（装了 auth 插件时）未登录打不开面板、
+  登录后配置能正常加载与保存。
+
+## 1.0.6
+
+### 变更
+- **配置面板默认要求登录**（`webUiAuth` 默认开）：装了 auth 插件的部署，未登录时打开 `/kkk` 会直接看到
+  「需要先登录 Koishi 控制台」，静态资源与接口同样不放行。做法和控制台页面一致 ——
+  控制台里的「kkk 配置」页通过带权限校验的 RPC 向服务端换取一次性面板 token，再拼进 iframe 地址；
+  拿不到 token（未登录/权限不足）就不加载面板。没装 auth 插件的部署不受影响（本来也没有登录这回事）。
+- 面板页面不再需要「HTTP 鉴权密钥」：能进来就说明已经授权，登录态由服务端自动补齐。
+
 ## 1.0.5
 
 ### 修复

package/client/index.ts

@@ -1,16 +1,18 @@
 /**
  * kkk 的控制台入口（浏览器端）。
  *
- * 用官方工具 `koishi-console build .` 打包（入口必须是 client/index.ts），
- * 产物在 dist/index.js，依赖已一起 bundle，浏览器可直接加载。
+ * 用官方工具 `koishi-console build .` 打包（入口必须是 client/index.ts），产物在 dist/index.js。
  *
- * 页面本体是个 iframe，指向插件自己的配置面板 `/kkk`（原版 SPA，免登录）。
- * 注意：控制台把自定义页面直接挂在 #app 下，**不在布局里**，所以左侧那条图标栏
- * （nav.layout-activity，fixed、64px、z-index 100）和底部状态栏会盖在页面上，
- * 而 iframe 默认高度只有 150px。这里在挂载后量一下这两条的实际尺寸，
- * 把 iframe 摆到它们右边的剩余区域，并随窗口变化跟着更新。
+ * 面板本体是插件自带的 `/kkk`（独立页面）。qq-chat 那种做法是把界面注册成控制台页面、
+ * 天然跟着控制台登录态；独立 URL 没有这层保护，所以这里向服务端要一个「面板 token」：
+ *   1. `send('kkk/panel-token')` —— 服务端那个监听器带 authority: 4，
+ *      未登录 / 权限不足的控制台客户端根本调不到；
+ *   2. 拿到 token 后拼进 iframe 地址（/kkk?panel=<token>），服务端校验通过会给面板发 cookie，
+ *      后续静态资源与接口都靠它放行；
+ *   3. 拿不到 token（没登录）就只显示提示，不加载面板。
  */
-import { defineComponent, h, onMounted, onUnmounted, ref } from 'vue'
+import { send } from '@koishijs/client'
+import { computed, defineComponent, h, onMounted, onUnmounted, ref } from 'vue'
 
 export const name = 'kkk-console'
 
@@ -23,16 +25,18 @@ export function apply (ctx: any) {
     path: '/kkk-config',
     desc: '解析 / 面板 / 画质 / 图片切片等设置，改完直接生效',
     authority: 4,
-    // 图标名要来自控制台内置图标集（activity:*），写错了侧边栏会是一片空白
     icon: 'activity:plugin',
     component: defineComponent({
       setup () {
         const style = ref<Record<string, string>>({})
+        const status = ref<{ authRequired: boolean } | null>(null)
+        const panelToken = ref('')
+        const denied = ref(false)
         const sync = () => {
           const aside = document.querySelector('nav.layout-activity') as HTMLElement | null
-          const status = document.querySelector('footer.layout-status') as HTMLElement | null
+          const footer = document.querySelector('footer.layout-status') as HTMLElement | null
           const left = aside ? Math.round(aside.getBoundingClientRect().right) || FALLBACK_ASIDE : FALLBACK_ASIDE
-          const bottom = (status ? Math.round(status.getBoundingClientRect().height) : FALLBACK_STATUS) + 8
+          const bottom = (footer ? Math.round(footer.getBoundingClientRect().height) : FALLBACK_STATUS) + 8
           style.value = {
             position: 'fixed',
             left: left + 'px',
@@ -46,17 +50,45 @@ export function apply (ctx: any) {
           }
         }
         let timer: any = null
-        onMounted(() => {
+        onMounted(async () => {
           sync()
-          // 侧边栏会随窗口宽度/悬浮展开，量一次不够，定时校准最省心
           timer = setInterval(sync, 1000)
           window.addEventListener('resize', sync)
+          try {
+            const res = await fetch('/kkk/api/status').then((r) => r.json())
+            status.value = (res && res.data) || null
+          } catch {
+            status.value = null
+          }
+          if (!status.value || status.value.authRequired) {
+            try {
+              const token = await send('kkk/panel-token')
+              panelToken.value = typeof token === 'string' ? token : ''
+            } catch {
+              panelToken.value = ''
+            }
+            denied.value = !panelToken.value
+          }
         })
         onUnmounted(() => {
           if (timer) clearInterval(timer)
           window.removeEventListener('resize', sync)
         })
-        return () => h('iframe', { src: '/kkk', style: style.value })
+        const src = computed(() => {
+          const s = status.value
+          if (s && s.authRequired === false) return '/kkk'
+          return panelToken.value ? '/kkk?panel=' + encodeURIComponent(panelToken.value) : ''
+        })
+        return () => {
+          if (src.value) return h('iframe', { src: src.value, style: style.value })
+          return h('div', {
+            style: { display: 'flex', flexDirection: 'column', gap: '12px', alignItems: 'center', justifyContent: 'center', height: '100%', fontFamily: 'system-ui', color: '#666' }
+          }, [
+            h('h2', { style: { margin: 0, fontSize: '20px' } }, denied.value ? '请先登录 Koishi 控制台' : '正在打开配置面板……'),
+            denied.value ? h('p', { style: { margin: 0 } }, '登录后即可打开 kkk 配置面板。') : null,
+            denied.value ? h('a', { href: '/login', style: { color: '#3b82f6' } }, '去登录') : null
+          ])
+        }
       }
     })
   })

package/dist/index.js

@@ -1 +1 @@
-import{defineComponent as l,ref as u,onMounted as d,onUnmounted as p,h as f}from"vue";const h="kkk-console",r=64,k=28;function v(s){s.page({name:"kkk 配置",path:"/kkk-config",desc:"解析 / 面板 / 画质 / 图片切片等设置，改完直接生效",authority:4,icon:"activity:plugin",component:l({setup(){const n=u({}),t=()=>{const o=document.querySelector("nav.layout-activity"),i=document.querySelector("footer.layout-status"),c=o&&Math.round(o.getBoundingClientRect().right)||r,a=(i?Math.round(i.getBoundingClientRect().height):k)+8;n.value={position:"fixed",left:c+"px",top:"0px",width:"calc(100vw - "+c+"px)",height:"calc(100vh - "+a+"px)",border:"0",display:"block",background:"#fff",zIndex:"1"}};let e=null;return d(()=>{t(),e=setInterval(t,1e3),window.addEventListener("resize",t)}),p(()=>{e&&clearInterval(e),window.removeEventListener("resize",t)}),()=>f("iframe",{src:"/kkk",style:n.value})}})})}export{v as apply,h as name};
+import{send as v}from"@koishijs/client";import{defineComponent as y,ref as u,onMounted as h,onUnmounted as m,computed as g,h as o}from"vue";const A="kkk-console",f=64,x=28;function I(p){p.page({name:"kkk 配置",path:"/kkk-config",desc:"解析 / 面板 / 画质 / 图片切片等设置，改完直接生效",authority:4,icon:"activity:plugin",component:y({setup(){const r=u({}),t=u(null),n=u(""),l=u(false),a=()=>{const e=document.querySelector("nav.layout-activity"),i=document.querySelector("footer.layout-status"),d=e&&Math.round(e.getBoundingClientRect().right)||f,k=(i?Math.round(i.getBoundingClientRect().height):x)+8;r.value={position:"fixed",left:d+"px",top:"0px",width:"calc(100vw - "+d+"px)",height:"calc(100vh - "+k+"px)",border:"0",display:"block",background:"#fff",zIndex:"1"}};let s=null;h(async()=>{a(),s=setInterval(a,1e3),window.addEventListener("resize",a);try{const e=await fetch("/kkk/api/status").then(i=>i.json());t.value=e&&e.data||null}catch{t.value=null}if(!t.value||t.value.authRequired){try{const e=await v("kkk/panel-token");n.value=typeof e=="string"?e:""}catch{n.value=""}l.value=!n.value}}),m(()=>{s&&clearInterval(s),window.removeEventListener("resize",a)});const c=g(()=>{const e=t.value;return e&&e.authRequired===false?"/kkk":n.value?"/kkk?panel="+encodeURIComponent(n.value):""});return()=>c.value?o("iframe",{src:c.value,style:r.value}):o("div",{style:{display:"flex",flexDirection:"column",gap:"12px",alignItems:"center",justifyContent:"center",height:"100%",fontFamily:"system-ui",color:"#666"}},[o("h2",{style:{margin:0,fontSize:"20px"}},l.value?"请先登录 Koishi 控制台":"正在打开配置面板……"),l.value?o("p",{style:{margin:0}},"登录后即可打开 kkk 配置面板。"):null,l.value?o("a",{href:"/login",style:{color:"#3b82f6"}},"去登录"):null])}})})}export{I as apply,A as name};

package/lib/index.js

@@ -143,7 +143,7 @@ exports.Config = koishi_1.Schema.intersect([
             dataPath: koishi_1.Schema.string().default('data').description('数据目录：配置、数据库、临时文件都放在这里'),
             debug: koishi_1.Schema.boolean().default(false).description('在日志里输出调试信息，排查问题时才需要打开'),
             autoParse: koishi_1.Schema.boolean().default(true).description('群里有人发链接（或回复一条带链接的消息）就自动解析，不用打指令'),
-            webUiAuth: koishi_1.Schema.boolean().default(false).description('配置面板 /kkk 是否要求先登录 Koishi 控制台。默认关（免登录，打开就能改配置）；装了 auth 插件且希望面板也走登录时再打开'),
+            webUiAuth: koishi_1.Schema.boolean().default(true).description('配置面板 /kkk 是否要求先登录 Koishi 控制台（默认开）。装了 auth 插件的部署只有登录后才能打开面板；没装 auth 插件时本来就没有登录这一说，这里不生效'),
         }).collapse().description('Koishi 原生设置（一般不用改，已折叠）'),
     }),
     koishi_1.Schema.object({

package/lib/webui.js

@@ -78,7 +78,8 @@ function registerWebUi({ ctx, config, rawConfig, logger, pluginRoot }) {
   // 面板把登录态存在 localStorage 的 accessToken / userId / refreshToken 三个键里，
   // 登录页只是个表单壳子 —— 与其去点 DOM（React 受控组件很脆），不如直接调登录接口把凭据写进去再刷新。
   try {
-    if (localStorage.getItem('accessToken')) return;
+    // 每次都重新换一次：面板自己的 token 存在服务端内存里，Koishi 重启就失效，
+    // 之前这里看到 localStorage 有值就直接 return，结果一直拿着废 token 请求，全部 401。
     // 防呆：万一接口一直不给凭据，也别在这里无限刷新
     if (sessionStorage.getItem('kkk-autologin') === '1') return;
     sessionStorage.setItem('kkk-autologin', '1');
@@ -100,9 +101,9 @@ function registerWebUi({ ctx, config, rawConfig, logger, pluginRoot }) {
         const raw = readWebFile('index.html');
         if (!raw)
             return Buffer.from('<h1>KKK Config</h1><p>assets/web/index.html 缺失</p>');
-        // 只有「不需要登录」时才自动登录；开了 auth 插件就得让用户自己登控制台
-        if (authRequired())
-            return raw;
+        // 面板自己的登录态（Karın 版那套 accessToken）由这里自动补上：
+        // 能走到这一步说明请求已经通过鉴权（免登录，或者带着控制台换来的面板 token），
+        // 所以直接帮用户登进去，不用再面对一个「请输入 HTTP 鉴权密钥」的表单。
         const text = raw.toString('utf-8');
         return Buffer.from(text.includes('</body>') ? text.replace('</body>', autoLoginScript + '</body>') : text + autoLoginScript);
     };
@@ -110,28 +111,75 @@ function registerWebUi({ ctx, config, rawConfig, logger, pluginRoot }) {
     /**
      * 面板（/kkk）是否需要登录。
      *
-     * 默认**免登录**：装了 auth 插件的生产环境也会直接进界面（否则用户要先登控制台才能改配置，很别扭）。
-     * 要恢复成「必须登录控制台」，把配置里的 `webUiAuth` 打开即可。
+     * 默认**要求登录**：装了 auth 插件的部署，只有登录 Koishi 控制台后
+     * （由控制台页面通过 RPC 换取面板 token）才能打开面板；
+     * 没装 auth 插件的部署本来就没有登录这回事，这里不生效。
+     * 想改成完全公开，把配置里的 `webUiAuth` 关掉即可。
+     */
+    const authRequired = () => config?.webUiAuth !== false && !!ctx.get?.('auth');
+    /** 打开面板时控制台会把登录 token 一起带过来，用它换一个面板自己的 cookie */
+    const tokenAuthed = async (id, token) => {
+        const aid = Number(id);
+        const value = String(token || '');
+        if (!Number.isFinite(aid) || !value)
+            return false;
+        const database = ctx.get?.('database');
+        if (!database?.get)
+            return false;
+        try {
+            const rows = await database.get('token', { id: aid, token: value }, ['expiredAt']);
+            return !!(rows?.[0] && Number(rows[0].expiredAt) > Date.now());
+        }
+        catch {
+            return false;
+        }
+    };
+    /**
+     * 控制台登录态。
+     *
+     * 两条路：
+     *   1. 控制台页面（左侧边栏「kkk 配置」）会带上 `?uid=&token=`，校验通过后落到面板自己的 cookie；
+     *   2. 之后页面里的静态资源和接口都靠这个 cookie 放行。
+     * 没装 auth 插件时 `authRequired()` 为假，一律放行。
      */
-    const authRequired = () => config?.webUiAuth === true;
-    /** 控制台登录态：auth 插件的 cookie 形如 name=id:token，用它查 token 表 */
     const consoleAuthed = async (request) => {
         if (!authRequired())
             return true;
+        const cookie = String(request?.headers?.cookie || '');
+        const fromCookie = new RegExp(COOKIE_NAME + '=(\\d+):([0-9a-f]+)').exec(cookie);
+        if (fromCookie && await tokenAuthed(fromCookie[1], fromCookie[2]))
+            return true;
+        const query = request?.query ?? {};
+        // 控制台页面换来的面板 token（cookie 或 query 都认）
+        const fromPanelCookie = new RegExp(COOKIE_NAME + '_panel=([0-9a-f]+)').exec(cookie);
+        if (fromPanelCookie && panelTokenValid(fromPanelCookie[1]))
+            return true;
+        if (panelTokenValid(query.panel))
+            return true;
+        if (await tokenAuthed(query.uid, query.token))
+            return true;
+        // 兼容一些老版本控制台把 auth 放在 cookie 里的写法（name=id:token）
         const database = ctx.get?.('database');
         if (!database?.get)
             return false;
-        const cookie = String(request?.headers?.cookie || '');
         for (const match of cookie.matchAll(/(?:^|;\s*)([\w-]+)=(\d+):([0-9a-f]+)/g)) {
-            try {
-                const rows = await database.get('token', { id: Number(match[2]), token: match[3] }, ['expiredAt']);
-                if (rows?.[0] && Number(rows[0].expiredAt) > Date.now())
-                    return true;
-            }
-            catch { /* 试下一个 cookie */ }
+            if (await tokenAuthed(match[2], match[3]))
+                return true;
         }
         return false;
     };
+    /** 面板自己的 cookie：`id:token` */
+    const rememberPanelToken = (response) => {
+        const query = response?.request?.query ?? {};
+        const maxAge = Math.floor(TOKEN_TTL / 1000);
+        if (query.panel && panelTokenValid(query.panel)) {
+            response.set('Set-Cookie', COOKIE_NAME + '_panel=' + String(query.panel) + '; Path=/kkk; HttpOnly; Max-Age=' + maxAge);
+            return;
+        }
+        if (query.uid && query.token) {
+            response.set('Set-Cookie', COOKIE_NAME + '=' + query.uid + ':' + query.token + '; Path=/kkk; HttpOnly; Max-Age=' + maxAge);
+        }
+    };
     /**
      * 整理写回 koishi.yml 的那份配置：QQ 适配器的字段统一收进 `qq` 分组。
      *
@@ -152,6 +200,45 @@ function registerWebUi({ ctx, config, rawConfig, logger, pluginRoot }) {
             next.qq = group;
         return next;
     };
+    /* ---------------- 控制台 RPC：换一个面板专用 token ---------------- */
+    /**
+     * 面板 token：控制台页面（左侧边栏「kkk 配置」）通过 RPC 向服务端要一个，
+     * 再拼到 iframe 地址上（`/kkk?panel=<token>`）。服务端校验通过后给面板发 cookie，
+     * 后续静态资源与接口都靠它放行。
+     *
+     * 关键点：RPC 监听器带 `authority: 4`，**未登录或权限不足的客户端根本调不到**，
+     * 所以「不登录就打不开面板」这件事是服务端强制的，不依赖前端自觉。
+     */
+    const panelTokens = new Map();
+    const PANEL_TOKEN_TTL = 10 * 60 * 1000;
+    const issuePanelToken = () => {
+        const value = node_crypto_1.default.randomBytes(16).toString('hex');
+        panelTokens.set(value, Date.now() + PANEL_TOKEN_TTL);
+        return value;
+    };
+    const panelTokenValid = (value) => {
+        const key = String(value || '');
+        const expire = panelTokens.get(key);
+        if (!expire)
+            return false;
+        if (expire < Date.now()) {
+            panelTokens.delete(key);
+            return false;
+        }
+        return true;
+    };
+    try {
+        const consoleService = ctx.console;
+        consoleService?.addListener?.('kkk/panel-token', function () {
+            // this 是发起调用的控制台客户端，auth 由 auth 插件写入
+            if (!this?.auth)
+                throw new Error('请先登录 Koishi 控制台');
+            return issuePanelToken();
+        }, { authority: 4 });
+    }
+    catch (error) {
+        logger.debug('[kkk] 注册面板 token RPC 失败: ' + String(error?.message ?? error));
+    }
     const tokens = new Map();
     const issueToken = () => {
         const accessToken = node_crypto_1.default.randomBytes(16).toString('hex');
@@ -163,6 +250,10 @@ function registerWebUi({ ctx, config, rawConfig, logger, pluginRoot }) {
     const authed = (request) => {
         if (!authRequired())
             return true;
+        // 面板 cookie（控制台换来的）本身就是授权凭据，接口请求直接用账号密码也不用再走一遍
+        const panelCookie = new RegExp(COOKIE_NAME + '_panel=([0-9a-f]+)').exec(String(request?.headers?.cookie || ''));
+        if (panelCookie && panelTokenValid(panelCookie[1]))
+            return true;
         const header = String(request?.headers?.authorization || request?.headers?.['x-access-token'] || '');
         if (header && tokens.has(header.replace(/^Bearer\s+/i, '')))
             return true;
@@ -254,6 +345,16 @@ function registerWebUi({ ctx, config, rawConfig, logger, pluginRoot }) {
             fail(response, 500, String(error?.message ?? error));
         }
     });
+    /**
+     * 面板鉴权状态。控制台页面（iframe 的父页面）用它决定是直接打开面板还是提示先登录：
+     * 未登录时不要把 token 传进来，也就不会给面板发 cookie。
+     */
+    server.get('/kkk/api/status', async (response) => {
+        ok(response, {
+            authRequired: authRequired(),
+            authed: await consoleAuthed(response),
+        }, '');
+    });
     /* ---------------- 数据接口 ---------------- */
     const botList = () => {
         const bots = ctx.bots ?? [];
@@ -339,6 +440,7 @@ function registerWebUi({ ctx, config, rawConfig, logger, pluginRoot }) {
         server.get(route, async (response) => {
             if (await pageDenied(response))
                 return;
+            rememberPanelToken(response);
             response.type = 'text/html; charset=utf-8';
             response.body = indexHtml();
         });

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "koishi-plugin-kkk",
-  "version": "1.0.5",
+  "version": "1.0.7",
   "description": "抖音 / B站 / 快手 / 小红书 视频解析与动态推送，带 QQ 交互面板与弹幕烧录（karin-plugin-kkk 的 Koishi 移植版）",
   "main": "lib/index.js",
   "typings": "lib/index.d.ts",

package/src/index.ts

@@ -95,7 +95,7 @@ export interface Config {
   debug: boolean
   /** 消息里的链接自动解析 */
   autoParse: boolean
-  /** 配置面板（/kkk）是否要求先登录 Koishi 控制台（默认关，即免登录） */
+  /** 配置面板（/kkk）是否要求先登录 Koishi 控制台（默认开；装了 auth 插件时生效） */
   webUiAuth: boolean
   /** QQ 平台解析前先发交互面板（Markdown + 按钮）让用户选解析内容和画质 */
   qqPanel: boolean
@@ -139,7 +139,7 @@ export const Config: Schema<Config> = Schema.intersect([
     dataPath: Schema.string().default('data').description('数据目录：配置、数据库、临时文件都放在这里'),
     debug: Schema.boolean().default(false).description('在日志里输出调试信息，排查问题时才需要打开'),
     autoParse: Schema.boolean().default(true).description('群里有人发链接（或回复一条带链接的消息）就自动解析，不用打指令'),
-    webUiAuth: Schema.boolean().default(false).description('配置面板 /kkk 是否要求先登录 Koishi 控制台。默认关（免登录，打开就能改配置）；装了 auth 插件且希望面板也走登录时再打开'),
+    webUiAuth: Schema.boolean().default(true).description('配置面板 /kkk 是否要求先登录 Koishi 控制台（默认开）。装了 auth 插件的部署只有登录后才能打开面板；没装 auth 插件时本来就没有登录这一说，这里不生效'),
     }).collapse().description('Koishi 原生设置（一般不用改，已折叠）'),
   }),
   Schema.object({

package/src/webui.ts

@@ -86,7 +86,8 @@ export function registerWebUi ({ ctx, config, rawConfig, logger, pluginRoot }: W
   // 面板把登录态存在 localStorage 的 accessToken / userId / refreshToken 三个键里，
   // 登录页只是个表单壳子 —— 与其去点 DOM（React 受控组件很脆），不如直接调登录接口把凭据写进去再刷新。
   try {
-    if (localStorage.getItem('accessToken')) return;
+    // 每次都重新换一次：面板自己的 token 存在服务端内存里，Koishi 重启就失效，
+    // 之前这里看到 localStorage 有值就直接 return，结果一直拿着废 token 请求，全部 401。
     // 防呆：万一接口一直不给凭据，也别在这里无限刷新
     if (sessionStorage.getItem('kkk-autologin') === '1') return;
     sessionStorage.setItem('kkk-autologin', '1');
@@ -108,8 +109,9 @@ export function registerWebUi ({ ctx, config, rawConfig, logger, pluginRoot }: W
   const indexHtml = (): Buffer => {
     const raw = readWebFile('index.html')
     if (!raw) return Buffer.from('<h1>KKK Config</h1><p>assets/web/index.html 缺失</p>')
-    // 只有「不需要登录」时才自动登录；开了 auth 插件就得让用户自己登控制台
-    if (authRequired()) return raw
+    // 面板自己的登录态（Karın 版那套 accessToken）由这里自动补上：
+    // 能走到这一步说明请求已经通过鉴权（免登录，或者带着控制台换来的面板 token），
+    // 所以直接帮用户登进去，不用再面对一个「请输入 HTTP 鉴权密钥」的表单。
     const text = raw.toString('utf-8')
     return Buffer.from(text.includes('</body>') ? text.replace('</body>', autoLoginScript + '</body>') : text + autoLoginScript)
   }
@@ -119,26 +121,69 @@ export function registerWebUi ({ ctx, config, rawConfig, logger, pluginRoot }: W
   /**
    * 面板（/kkk）是否需要登录。
    *
-   * 默认**免登录**：装了 auth 插件的生产环境也会直接进界面（否则用户要先登控制台才能改配置，很别扭）。
-   * 要恢复成「必须登录控制台」，把配置里的 `webUiAuth` 打开即可。
+   * 默认**要求登录**：装了 auth 插件的部署，只有登录 Koishi 控制台后
+   * （由控制台页面通过 RPC 换取面板 token）才能打开面板；
+   * 没装 auth 插件的部署本来就没有登录这回事，这里不生效。
+   * 想改成完全公开，把配置里的 `webUiAuth` 关掉即可。
    */
-  const authRequired = () => (config as any)?.webUiAuth === true
+  const authRequired = () => (config as any)?.webUiAuth !== false && !!(ctx as any).get?.('auth')
 
-  /** 控制台登录态：auth 插件的 cookie 形如 name=id:token，用它查 token 表 */
+  /** 打开面板时控制台会把登录 token 一起带过来，用它换一个面板自己的 cookie */
+  const tokenAuthed = async (id: unknown, token: unknown): Promise<boolean> => {
+    const aid = Number(id)
+    const value = String(token || '')
+    if (!Number.isFinite(aid) || !value) return false
+    const database: any = (ctx as any).get?.('database')
+    if (!database?.get) return false
+    try {
+      const rows = await database.get('token', { id: aid, token: value }, ['expiredAt'])
+      return !!(rows?.[0] && Number(rows[0].expiredAt) > Date.now())
+    } catch {
+      return false
+    }
+  }
+
+  /**
+   * 控制台登录态。
+   *
+   * 两条路：
+   *   1. 控制台页面（左侧边栏「kkk 配置」）会带上 `?uid=&token=`，校验通过后落到面板自己的 cookie；
+   *   2. 之后页面里的静态资源和接口都靠这个 cookie 放行。
+   * 没装 auth 插件时 `authRequired()` 为假，一律放行。
+   */
   const consoleAuthed = async (request: any): Promise<boolean> => {
     if (!authRequired()) return true
+    const cookie = String(request?.headers?.cookie || '')
+    const fromCookie = new RegExp(COOKIE_NAME + '=(\\d+):([0-9a-f]+)').exec(cookie)
+    if (fromCookie && await tokenAuthed(fromCookie[1], fromCookie[2])) return true
+    const query = request?.query ?? {}
+    // 控制台页面换来的面板 token（cookie 或 query 都认）
+    const fromPanelCookie = new RegExp(COOKIE_NAME + '_panel=([0-9a-f]+)').exec(cookie)
+    if (fromPanelCookie && panelTokenValid(fromPanelCookie[1])) return true
+    if (panelTokenValid(query.panel)) return true
+    if (await tokenAuthed(query.uid, query.token)) return true
+    // 兼容一些老版本控制台把 auth 放在 cookie 里的写法（name=id:token）
     const database: any = (ctx as any).get?.('database')
     if (!database?.get) return false
-    const cookie = String(request?.headers?.cookie || '')
     for (const match of cookie.matchAll(/(?:^|;\s*)([\w-]+)=(\d+):([0-9a-f]+)/g)) {
-      try {
-        const rows = await database.get('token', { id: Number(match[2]), token: match[3] }, ['expiredAt'])
-        if (rows?.[0] && Number(rows[0].expiredAt) > Date.now()) return true
-      } catch { /* 试下一个 cookie */ }
+      if (await tokenAuthed(match[2], match[3])) return true
     }
     return false
   }
 
+  /** 面板自己的 cookie：`id:token` */
+  const rememberPanelToken = (response: any) => {
+    const query = response?.request?.query ?? {}
+    const maxAge = Math.floor(TOKEN_TTL / 1000)
+    if (query.panel && panelTokenValid(query.panel)) {
+      response.set('Set-Cookie', COOKIE_NAME + '_panel=' + String(query.panel) + '; Path=/kkk; HttpOnly; Max-Age=' + maxAge)
+      return
+    }
+    if (query.uid && query.token) {
+      response.set('Set-Cookie', COOKIE_NAME + '=' + query.uid + ':' + query.token + '; Path=/kkk; HttpOnly; Max-Age=' + maxAge)
+    }
+  }
+
   /**
    * 整理写回 koishi.yml 的那份配置：QQ 适配器的字段统一收进 `qq` 分组。
    *
@@ -159,6 +204,47 @@ export function registerWebUi ({ ctx, config, rawConfig, logger, pluginRoot }: W
     return next
   }
 
+  /* ---------------- 控制台 RPC：换一个面板专用 token ---------------- */
+
+  /**
+   * 面板 token：控制台页面（左侧边栏「kkk 配置」）通过 RPC 向服务端要一个，
+   * 再拼到 iframe 地址上（`/kkk?panel=<token>`）。服务端校验通过后给面板发 cookie，
+   * 后续静态资源与接口都靠它放行。
+   *
+   * 关键点：RPC 监听器带 `authority: 4`，**未登录或权限不足的客户端根本调不到**，
+   * 所以「不登录就打不开面板」这件事是服务端强制的，不依赖前端自觉。
+   */
+  const panelTokens = new Map<string, number>()
+  const PANEL_TOKEN_TTL = 10 * 60 * 1000
+
+  const issuePanelToken = (): string => {
+    const value = crypto.randomBytes(16).toString('hex')
+    panelTokens.set(value, Date.now() + PANEL_TOKEN_TTL)
+    return value
+  }
+
+  const panelTokenValid = (value: unknown): boolean => {
+    const key = String(value || '')
+    const expire = panelTokens.get(key)
+    if (!expire) return false
+    if (expire < Date.now()) {
+      panelTokens.delete(key)
+      return false
+    }
+    return true
+  }
+
+  try {
+    const consoleService: any = (ctx as any).console
+    consoleService?.addListener?.('kkk/panel-token', function (this: any) {
+      // this 是发起调用的控制台客户端，auth 由 auth 插件写入
+      if (!this?.auth) throw new Error('请先登录 Koishi 控制台')
+      return issuePanelToken()
+    }, { authority: 4 })
+  } catch (error: any) {
+    logger.debug('[kkk] 注册面板 token RPC 失败: ' + String(error?.message ?? error))
+  }
+
   const tokens = new Map<string, number>()
 
   const issueToken = () => {
@@ -171,6 +257,9 @@ export function registerWebUi ({ ctx, config, rawConfig, logger, pluginRoot }: W
 
   const authed = (request: any): boolean => {
     if (!authRequired()) return true
+    // 面板 cookie（控制台换来的）本身就是授权凭据，接口请求直接用账号密码也不用再走一遍
+    const panelCookie = new RegExp(COOKIE_NAME + '_panel=([0-9a-f]+)').exec(String(request?.headers?.cookie || ''))
+    if (panelCookie && panelTokenValid(panelCookie[1])) return true
     const header = String(request?.headers?.authorization || request?.headers?.['x-access-token'] || '')
     if (header && tokens.has(header.replace(/^Bearer\s+/i, ''))) return true
     const cookie = String(request?.headers?.cookie || '')
@@ -263,6 +352,17 @@ export function registerWebUi ({ ctx, config, rawConfig, logger, pluginRoot }: W
     }
   })
 
+  /**
+   * 面板鉴权状态。控制台页面（iframe 的父页面）用它决定是直接打开面板还是提示先登录：
+   * 未登录时不要把 token 传进来，也就不会给面板发 cookie。
+   */
+  server.get('/kkk/api/status', async (response: any) => {
+    ok(response, {
+      authRequired: authRequired(),
+      authed: await consoleAuthed(response),
+    }, '')
+  })
+
   /* ---------------- 数据接口 ---------------- */
 
   const botList = () => {
@@ -348,6 +448,7 @@ export function registerWebUi ({ ctx, config, rawConfig, logger, pluginRoot }: W
   for (const route of ['/kkk', '/kkk/', '/kkk/login']) {
     server.get(route, async (response: any) => {
       if (await pageDenied(response)) return
+      rememberPanelToken(response)
       response.type = 'text/html; charset=utf-8'
       response.body = indexHtml()
     })