pi-web-ui 0.95.0 → 0.96.0

package/dist/server/uploads.js

@@ -23,11 +23,26 @@ export function uploadRetentionDays() {
     const v = Number(process.env.PI_WEB_UPLOAD_RETENTION_DAYS);
     return Number.isFinite(v) && v >= 0 ? v : 14;
 }
-/** Persist an uploaded buffer; returns the absolute path + sanitized display name. */
+/** clientId 白名单：clientId 来自浏览器自报（ws hello），却直接拼进上传目录
+ *  路径 —— 只允许安全的单段字符（字母数字、:、_、-，1-128 长），否则可
+ *  "../" 遍历写任意目录。不匹配整条拒绝抛错：绝不能静默换 randomUUID，
+ *  上传目录必须与 ws 会话一一对应（编辑重问靠 uploadPath 按同一目录找回）。 */
+export const CLIENT_ID_PATTERN = /^[A-Za-z0-9:_-]{1,128}$/;
+/** Persist an uploaded buffer; returns the absolute path + sanitized display name.
+ *  clientId 不匹配白名单、displayName 为空 / "." / ".." 时抛错，调用方负责报错。 */
 export function saveUpload(clientId, name, buf, dataDir = resolveDataDir()) {
+    if (!CLIENT_ID_PATTERN.test(clientId)) {
+        throw new Error(`Invalid upload clientId: ${JSON.stringify(clientId.slice(0, 129))}`);
+    }
+    // displayName 只取 basename 并拒绝 "." / ".."：防 ".." 与绝对路径拼接穿越
+    // （最终文件名带 <ts>- 前缀兜底，这里从源头收紧）。
+    const base = name.split(/[\\/]/).pop() ?? "";
+    if (!base || base === "." || base === "..") {
+        throw new Error(`Invalid upload name: ${JSON.stringify(name.slice(0, 129))}`);
+    }
+    const displayName = base.replace(/[\\/:*?"<>|\x00-\x1f]/g, "_").slice(0, 80) || "file";
     const dir = join(uploadsRoot(dataDir), clientId);
     mkdirSync(dir, { recursive: true });
-    const displayName = name.replace(/[\\/:*?"<>|\x00-\x1f]/g, "_").slice(0, 80) || "file";
     const abs = join(dir, `${Date.now()}-${displayName}`);
     writeFileSync(abs, buf);
     return { abs, displayName };

package/dist/server/wait-subscription-scan.js

@@ -24,7 +24,7 @@
 // background subagent run, so its runtime must be kept alive across project /
 // conversation switches. See the Chinese block above for the persistence layout
 // and the fail-open vs fail-closed rationale.
-import { readdirSync, readFileSync, statSync } from "node:fs";
+import { readdirSync, readFileSync } from "node:fs";
 import { homedir, tmpdir, userInfo } from "node:os";
 import path from "node:path";
 const UUID_RE = /^[0-9a-f]{8}-[0-9a-f]{4}-[1-5][0-9a-f]{3}-[89ab][0-9a-f]{3}-[0-9a-f]{12}$/i;
@@ -114,25 +114,32 @@ export function resolveAsyncRunsDir(env = process.env) {
     return path.join(resolveTempRoot(env), "async-subagent-runs");
 }
 /**
- * 活跃 run marker 的最长可信存活期：对齐 pi-subagents
- * active-run-index.ts 的 DEFAULT_STALE_TERMINAL_ACTIVE_MARKER_MS（24h）。
- * 崩溃遗留的 marker 超过该时长即视为孤儿，不阻止运行时释放（保留自限）。
+ * 【已废弃】按 marker mtime 的 24h 孤儿守卫（原 DEFAULT_STALE_ACTIVE_MARKER_MS）
+ * 已移除：run 是否终结改由 status.json 的 state 判定（见 hasActiveSubagentRun）。
+ * mtime 只能说明「marker 很久没动」，对 >24h 的超长 run 会误杀活跃证据。
  */
-export const DEFAULT_STALE_ACTIVE_MARKER_MS = 24 * 60 * 60 * 1000;
 /** 活跃 marker 索引目录名，与 pi-subagents 的 ACTIVE_RUN_INDEX_DIR 一致。 */
 const ACTIVE_RUN_INDEX_DIR = ".active-runs";
 /**
  * 磁盘扫描：该会话是否还有活跃（queued/running）的 pi-subagents 异步 run。
- * 任何 I/O / 解析 / 过期错误都按「无证据」处理（fail-open，见文件头说明）。
+ * 任何 I/O / 解析错误都按「无证据」处理（fail-open，见文件头说明）。
  * ENOENT（目录/文件尚不存在、marker 刚被清掉）保持静默；其余 I/O 错误
  * console.warn 一次（与 hasPendingWaitSubscription 对齐）。
+ *
+ * run 是否已终结的廉价判据是 status.json 的 state 字段——它本来就在同一循环
+ * 里逐 marker 读取，零额外 I/O。孤儿清理因此只作用于「已终结 run」的遗留
+ * marker（终结态在下方无条件判为无证据）；曾按 marker mtime 超 24h 一律
+ * 跳过的旧守卫已移除：它同样命中「超长 run（>24h 仍在跑）」的活跃 marker，
+ * 会把正常运行误杀成孤儿、提前释放运行时，父会话永远等不到 wake。与上游
+ * pi-subagents 的 DEFAULT_STALE_TERMINAL_ACTIVE_MARKER_MS 语义对齐——24h
+ * 自限只该管 terminal marker，不该管还声称存活的 run。代价：进程崩溃遗留
+ * 的 queued/running status 不再随 mtime 过期自动失效，其代价（多保留一个
+ * 空闲运行时）远小于误杀超长 run 的静默停滞。
  */
 export function hasActiveSubagentRun(options) {
     const sessionId = options.sessionId;
     if (!sessionId)
         return false;
-    const now = options.now ?? Date.now;
-    const staleMarkerMs = options.staleMarkerMs ?? DEFAULT_STALE_ACTIVE_MARKER_MS;
     const warn = options.warn ?? ((message, error) => console.warn(message, error));
     const isNotFound = (error) => typeof error === "object" &&
         error !== null &&
@@ -152,18 +159,6 @@ export function hasActiveSubagentRun(options) {
     for (const runId of markers) {
         if (runId.startsWith("."))
             continue; // 不把隐藏文件当 run 证据
-        const markerFile = path.join(indexDir, runId);
-        // 孤儿防护：marker 太久没被 touch（崩溃遗留，run 早已不在）→ 无证据。
-        try {
-            const ageMs = now() - statSync(markerFile).mtimeMs;
-            if (ageMs > staleMarkerMs)
-                continue;
-        }
-        catch (error) {
-            if (!isNotFound(error))
-                warn(`Failed to stat active-run marker '${markerFile}':`, error);
-            continue; // ENOENT（刚被清除的竞态）→ 无证据
-        }
         let status;
         try {
             status = JSON.parse(readFileSync(path.join(runsDir, runId, "status.json"), "utf-8"));
@@ -178,8 +173,10 @@ export function hasActiveSubagentRun(options) {
         const probe = status;
         if (probe.sessionId !== sessionId)
             continue; // 别的会话的 run
+        // 终结态（complete/failed/stopped/…）→ run 已结束：遗留 marker 按孤儿
+        // 清理对待，无条件不算证据；只有 queued/running 才是活跃证据。
         if (probe.state !== "queued" && probe.state !== "running")
-            continue; // 已结束
+            continue;
         return true;
     }
     return false;

package/dist/server/ws-client-id.js

@@ -0,0 +1,29 @@
+/**
+ * WS hello 的 clientId 校验 —— 独立成模块是为了可单测
+ * （`server/index.ts` 起 WS + SDK，不适合在单测里 import）。
+ *
+ * 背景：hello.clientId 原样进入 service.attach → ClientSession → saveUpload
+ * （`<dataDir>/uploads/<clientId>/`，见 attachments.ts / dsh-agent-service.ts），
+ * 无校验时外部可传对象/数字/路径穿越串。合法客户端用 uuid（含连字符，在字符集
+ * 内）；服务端伪客户端是 `scheduler:`/`plugin:` 前缀（冒号在字符集内），但那些
+ * 不走 WS hello——收进字符集只是不挡未来的复用，不构成放行面。
+ */
+/** clientId 长度上限：uuid 36 字符的数倍余量，防超长串写盘/进日志。 */
+export const MAX_CLIENT_ID_LEN = 128;
+/** clientId 字符集：uuid（含 -）、伪客户端前缀（含 :）、下划线。 */
+const CLIENT_ID_RE = /^[A-Za-z0-9:_-]+$/;
+/**
+ * 校验 hello.clientId：必须是 string、1-128 字符、限定字符集。
+ * 合法原样返回；不合法（类型不对/空串/超长/含非法字符）返回 null，
+ * 调用方回退 randomUUID()——校验必须在 hello 入口统一做（服务端所有把
+ * clientId 落盘/当目录名的路径都从 attach 这一条链来）。
+ */
+export function validateClientId(input) {
+    if (typeof input !== "string")
+        return null;
+    if (input.length < 1 || input.length > MAX_CLIENT_ID_LEN)
+        return null;
+    if (!CLIENT_ID_RE.test(input))
+        return null;
+    return input;
+}

package/dist/server/ws-pending-queue.js

@@ -0,0 +1,60 @@
+/**
+ * attach 完成前暂存客户端命令的队列 —— 独立成模块是为了可单测
+ * （`server/index.ts` 起 WS + SDK，不适合在单测里 import）。
+ *
+ * 背景：hello 先回 ready（issue #295）后，attach/插件链就绪前收到的命令一律进
+ * pending 队列等重放；attach 挂死（坏挂载/家目录扫描数十秒）或失败保活时队列
+ * 原先无上限——失控/恶意连接可在此期间灌消息把内存顶爆。加上限后超限丢最旧并
+ * 计数（做法对齐 ws-unknown-types 的「上限 + 溢出计数 + 节流 warn」先例）。
+ */
+/** 队列上限：正常前端在 attach 窗口内只发 get_state 等零星几条，256 绰绰有余。 */
+export const MAX_PENDING_WS_MESSAGES = 256;
+/** 同一进程两次超限告警的最小间隔（防刷屏，对齐 ws-unknown-types 的节流思路）。 */
+export const PENDING_DROP_WARN_INTERVAL_MS = 60_000;
+let lastWarnAt = 0;
+/** 超限丢弃的节流告警：`PENDING_DROP_WARN_INTERVAL_MS` 内最多一条。log 注入便于单测。 */
+export function warnPendingDrop(totalDropped, log) {
+    const now = Date.now();
+    if (now - lastWarnAt < PENDING_DROP_WARN_INTERVAL_MS)
+        return;
+    lastWarnAt = now;
+    log(`[ws] attach 未完成，命令队列超限丢最旧（累计 ${totalDropped} 条）`);
+}
+/** 单测隔离用。 */
+export function resetPendingDropWarn() {
+    lastWarnAt = 0;
+}
+/** attach 前的命令暂存队列：超限丢最旧（shift），丢弃只计数，不阻断新消息入队。 */
+export class PendingCommandQueue {
+    cap;
+    items = [];
+    droppedTotal = 0;
+    constructor(cap = MAX_PENDING_WS_MESSAGES) {
+        this.cap = cap;
+    }
+    push(msg) {
+        if (this.items.length >= this.cap) {
+            this.items.shift();
+            this.droppedTotal++;
+            warnPendingDrop(this.droppedTotal, (line) => console.warn(line));
+        }
+        this.items.push(msg);
+    }
+    /** 取走全部并清空（attach 完成后的重放）。 */
+    drain() {
+        const out = this.items;
+        this.items = [];
+        return out;
+    }
+    /** attach 失败保活 / 连接关闭时清空（用户修好后重发的 get_state 会重新入队）。 */
+    clear() {
+        this.items = [];
+    }
+    /** 累计丢弃条数（排障用）。 */
+    get dropped() {
+        return this.droppedTotal;
+    }
+    get size() {
+        return this.items.length;
+    }
+}

package/extensions/webui.ts

@@ -17,8 +17,9 @@
  *   - 每个 pi 会话管理一个子进程；session_shutdown 时清理，避免孤儿进程。
  */
 
-import { spawn } from "node:child_process";
+import { spawn, execSync } from "node:child_process";
 import { existsSync } from "node:fs";
+import { homedir } from "node:os";
 import { dirname, join, resolve } from "node:path";
 import { fileURLToPath } from "node:url";
 import net from "node:net";
@@ -27,7 +28,63 @@ import type { ExtensionAPI, ExtensionCommandContext } from "@earendil-works/pi-c
 // 本文件位于 <pkg>/extensions/webui.ts → 包根在上一级
 const PKG_ROOT = resolve(dirname(fileURLToPath(import.meta.url)), "..");
 const SERVER_ENTRY = join(PKG_ROOT, "dist", "server", "index.js");
-const NODE = process.execPath;
+
+/**
+ * 解析真实的 node 可执行路径。
+ *
+ * pi 0.87+ 的 TUI 版本是 Bun 打包的二进制（pi.exe），此时 process.execPath 指向
+ * pi.exe 而非 node。用 pi.exe 去 spawn(index.js) 会静默失败（pi.exe 不能当
+ * node 执行脚本）。此函数在 Bun 环境或 execPath 非 node 时，从 PATH 和常见安装
+ * 位置回退查找真实 node。
+ */
+function resolveNode(): string {
+	const base = process.execPath.toLowerCase();
+	// 普通 node 直接返回（未被 Bun 接管）
+	if (!(process as any).isBun && /(^|[/\\])(node|nodejs)(\.exe)?$/.test(base)) {
+		return process.execPath;
+	}
+
+	const candidates: string[] = [];
+	// 1. 从 PATH 里找（跨平台：Windows 用 where，其余用 which）
+	try {
+		const cmd = process.platform === "win32" ? "where node" : "which node";
+		const out = execSync(cmd, { windowsHide: true }).toString().trim();
+		for (const line of out.split(/\r?\n/)) {
+			const p = line.trim();
+			// 过滤掉 pi 自身
+			if (p && !/pi[/\\]pi(\.exe)?$/i.test(p)) candidates.push(p);
+		}
+	} catch {
+		/* node 不在 PATH */
+	}
+
+	// 2. 常见安装位置兜底（Windows 为主，也兼顾 Unix）
+	const home = homedir();
+	const extra: string[] = [];
+	if (process.env.PNPM_HOME) extra.push(join(process.env.PNPM_HOME, "node.exe"));
+	for (const rel of [
+		"scoop/apps/nodejs/current/node.exe",
+		"AppData/Roaming/nvm/current/node.exe",
+		".nvm/versions/node/current/bin/node",
+		".local/share/pnpm/node.exe",
+		".local/bin/node",
+	]) {
+		extra.push(join(home, ...rel.split("/")));
+	}
+	for (const c of extra) {
+		if (existsSync(c) && !/pi[/\\]pi(\.exe)?$/i.test(c)) candidates.push(c);
+	}
+
+	if (candidates.length > 0) return candidates[0];
+
+	console.warn(
+		"[webui] 未找到真实 node（当前 process.execPath 指向非 node 进程，疑似 Bun 环境）。" +
+			"将退回 process.execPath，子进程可能无法启动。请确保 node 在 PATH 中。",
+	);
+	return process.execPath;
+}
+
+const NODE = resolveNode();
 
 /** 每个会话的服务器子进程 + 元数据 */
 interface RunningServer {
@@ -161,6 +218,7 @@ export default function (pi: ExtensionAPI): void {
 			const env = {
 				...process.env,
 				PORT: String(port),
+				PI_WEB_PORT: String(port), // server/index.js 读取 PI_WEB_PORT
 				PI_WEB_CWD: cwd,
 				...(process.env.PI_WEB_DATA_DIR ? {} : { PI_WEB_DATA_DIR: join(cwd, ".pi-web") }),
 			};

package/package.json

@@ -1,6 +1,6 @@
 {
 	"name": "pi-web-ui",
-	"version": "0.95.0",
+	"version": "0.96.0",
 	"description": "Just open your browser to get all your work done — browser cockpit for AI coding agents (chat, code, files, terminal, Git in one tab)",
 	"license": "MIT",
 	"author": {
@@ -67,12 +67,13 @@
 		"test": "vitest run",
 		"test:unit": "vitest run",
 		"test:smoke": "node tests/run-smoke.mjs",
+		"test:smoke:core": "node tests/run-smoke.mjs --core",
 		"check:protocol": "node scripts/check-protocol-sync.mjs",
 		"i18n:diff": "node scripts/i18n-diff.mjs",
 		"release:notes": "node scripts/release-notes.mjs",
 		"changelog:i18n": "node scripts/release-notes.mjs --unreleased",
 		"test:freeze": "node tests/freeze-test.mjs",
-		"start": "node dist/server/index.js",
+		"start": "node --import ./dist/server/resolve-global-sdk.js dist/server/index.js",
 		"build:desktop": "tsc -p desktop/tsconfig.json",
 		"desktop:dev": "npm run build:desktop && electron dist/desktop/main.js",
 		"desktop:dist": "npm run build && npm run build:desktop && electron-builder -c desktop/electron-builder.yml",
@@ -101,6 +102,7 @@
 		"rehype-highlight": "^7.0.2",
 		"rehype-katex": "^7.0.1",
 		"rehype-raw": "^7.0.0",
+		"rehype-sanitize": "^6.0.0",
 		"remark-breaks": "^4.0.0",
 		"remark-gfm": "^4.0.1",
 		"remark-math": "^6.0.0",

package/plugins/catalog.json

@@ -138,5 +138,25 @@
 		"descriptionEn": "Reconnection & service recovery: inspect web service and companion watchdog health, reconnect or restart services in one click (supports multi-service restarts with companion watchdog).",
 		"source": "xieweimo/pi-web-ui-reconnect-watchdog/reconnect-plugin",
 		"homepage": "https://github.com/xieweimo/pi-web-ui-reconnect-watchdog"
+	},
+	{
+		"id": "sol-savings",
+		"name": "SoL-Pi 状态",
+		"icon": "⚡",
+		"iconSvg": "<svg xmlns=\"http://www.w3.org/2000/svg\" viewBox=\"0 0 24 24\" fill=\"none\" stroke=\"currentColor\" stroke-width=\"2\" stroke-linecap=\"round\" stroke-linejoin=\"round\"><polygon points=\"13 2 3 14 12 14 11 22 21 10 12 10 13 2\"/></svg>",
+		"description": "SoL-Pi 会话节省统计与规划底栏：实时追踪大工具输出打包（Observation Pack）节省的上下文 Token 与在线计划（Plan）进度，借鉴 pi-sol-plan-footer 在底栏显示。",
+		"descriptionEn": "SoL-Pi session savings and plan status in the footer bar: real-time tracking of context tokens saved by Observation Pack and active Plan progress, inspired by pi-sol-plan-footer.",
+		"source": "xing-shuyin/pi-web-ui/plugins/sol-savings",
+		"homepage": "https://github.com/xing-shuyin/pi-web-ui/tree/main/plugins/sol-savings"
+	},
+	{
+		"id": "session-migrate",
+		"name": "会话迁移",
+		"icon": "🔄",
+		"iconSvg": "<svg xmlns=\"http://www.w3.org/2000/svg\" viewBox=\"0 0 24 24\" fill=\"none\" stroke=\"currentColor\" stroke-width=\"2\" stroke-linecap=\"round\" stroke-linejoin=\"round\"><path d=\"M3 12a9 9 0 0 1 9-9 9.75 9.75 0 0 1 6.74 2.74L21 8\"/><path d=\"M21 3v5h-5\"/><path d=\"M21 12a9 9 0 0 1-9 9 9.75 9.75 0 0 1-6.74-2.74L3 16\"/><path d=\"M8 16H3v5\"/></svg>",
+		"description": "扫描 ~/.omp/agent/sessions 与 ~/.pi/agent/sessions 的历史会话，只读预览后一键导入 pi 会话库（issue 286 Phase 1）。",
+		"descriptionEn": "Scan ~/.omp/agent/sessions and ~/.pi/agent/sessions history, preview read-only, then import into the pi session store (issue 286 Phase 1).",
+		"source": "xing-shuyin/pi-web-ui/plugins/session-migrate",
+		"homepage": "https://github.com/xing-shuyin/pi-web-ui/tree/main/plugins/session-migrate"
 	}
 ]