magic-agent 2.3.0 → 2.3.9

package/internal/cli/sessionlog_user_test.go

@@ -85,6 +85,9 @@ func TestStreamAskPersistsUserMessage(t *testing.T) {
 	if evs[0].SessionID != sid {
 		t.Fatalf("首条应带上 session_id（pending 刷盘时回填），实得 %q", evs[0].SessionID)
 	}
+	if evs[0].Hosted {
+		t.Fatal("普通提问不该带 hosted —— 只有客户端显式传 --hosted 的托管自动发送才标")
+	}
 
 	// ② 引擎事件也都在，且排在 user 之后。
 	sawText := false
@@ -122,6 +125,52 @@ func TestStreamAskPersistsUserMessage(t *testing.T) {
 	}
 }
 
+// TestStreamAskPersistsHostedUserMessage `--hosted` 只给 user 事件加一个标识
+// （2026-10-23 用户：「是托管发送的要标识 显示时区别于“我”发送」）。
+//
+// 标识必须落在**会话历史**里：客户端只画实时那条不够 —— 重开会话时气泡是从
+// kind:"user" 回放出来的，历史没这个字段就又会变回「我」。
+func TestStreamAskPersistsHostedUserMessage(t *testing.T) {
+	dir := t.TempDir()
+	prev := SessionLogDirOverride
+	SessionLogDirOverride = dir
+	defer func() { SessionLogDirOverride = prev }()
+
+	const sid = "sess-hosted-log"
+	const prompt = "继续下一步"
+	registerFake(&userEchoStreamEngine{name: "fake-hosted-log", sessionID: sid})
+
+	if _, _, err := runAskCmd(t, "", "-e", "fake-hosted-log", "--stream", "--save-history", "--hosted", prompt); err != nil {
+		t.Fatalf("--stream --hosted: %v", err)
+	}
+
+	evs, err := ReadSessionLog(dir, sid)
+	if err != nil {
+		t.Fatalf("读回会话日志失败：%v", err)
+	}
+	if len(evs) == 0 || evs[0].Kind != "user" {
+		t.Fatalf("首条应是 user，实得：%s", dumpKinds(evs))
+	}
+	if !evs[0].Hosted {
+		t.Fatal("--hosted 没有写进 user 事件（历史回放会退回「我」发送）")
+	}
+	// 正文不能被标识污染：发给引擎 / 回放的都是原句。
+	if evs[0].Text != prompt {
+		t.Fatalf("user 文本被改动：期望 %q，实得 %q", prompt, evs[0].Text)
+	}
+	raw := readLines(t, filepath.Join(dir, sid+".jsonl"))
+	if len(raw) == 0 {
+		t.Fatal("落盘文件是空的")
+	}
+	var first map[string]any
+	if err := json.Unmarshal([]byte(raw[0]), &first); err != nil {
+		t.Fatal(err)
+	}
+	if first["hosted"] != true {
+		t.Fatalf("落盘 JSON 应带 hosted:true（只增字段），实得 %v", first)
+	}
+}
+
 // TestStreamAskNoArchiveByDefault **默认什么都不存**（用户 2026-10-12：
 // 「加一个参数 默认不存档」+「会话登记也不需要」）。
 //

package/internal/client/cors_test.go

@@ -97,6 +97,38 @@ func TestCORSForLocalOrigins(t *testing.T) {
 	})
 }
 
+/* 写方法（DELETE / PUT）必须出现在预检的 Allow-Methods 里（2026-10-23）。
+ *
+ * 为什么单独钉：容器里的页面源是 https://localhost，接口在局域网 IP，天生跨源；
+ * 删除会话（DELETE）、重命名 / 置顶同步（PUT）都带自定义头 X-Magic-Token ⇒ 必发预检。
+ * 预检里没点名的方法，浏览器会判定「未授权」而**不发出真请求** —— 用户侧就是
+ * 「确认删除了，但什么都没发生」。上面那条测试只协商 GET，所以一直没照到这里。
+ */
+func TestCORSPreflightAllowsWriteMethods(t *testing.T) {
+	svc := newTestService(t, fakeCore(t, goodContract))
+	srv := httptest.NewServer(svc.Handler())
+	defer srv.Close()
+
+	for _, method := range []string{"DELETE", "PUT", "POST"} {
+		req, err := http.NewRequest(http.MethodOptions, srv.URL+"/desk/session/x", nil)
+		if err != nil {
+			t.Fatal(err)
+		}
+		req.Header.Set("Origin", "https://localhost")
+		req.Header.Set("Access-Control-Request-Method", method)
+		req.Header.Set("Access-Control-Request-Headers", "x-magic-token")
+		res, err := http.DefaultClient.Do(req)
+		if err != nil {
+			t.Fatal(err)
+		}
+		res.Body.Close()
+		allowed := res.Header.Get("Access-Control-Allow-Methods")
+		if !containsFold(allowed, method) {
+			t.Fatalf("预检必须允许 %s，得到 Allow-Methods=%q（浏览器会拦掉真请求）", method, allowed)
+		}
+	}
+}
+
 func containsFold(s, sub string) bool {
 	return len(s) >= len(sub) && (indexFold(s, sub) >= 0)
 }