qq-bot-roost 0.9.7 → 0.9.9

package/web/app.js

@@ -1066,6 +1066,21 @@ function fillForm(c) {
   f.logLevel.value = c.logLevel || 'info';
 
   f.groupInvited.checked = Boolean(c.groupManage?.invited);
+
+  /**
+   * 插件来源校验开关。`pubkeySet: false` 时必须说清楚「开了也没用」——
+   * 否则用户打开开关、以为已经受保护，实际什么都没发生，这比没有开关更糟。
+   */
+  const trust = c.security?.trust ?? {};
+  f.trustEnforce.checked = Boolean(trust.enforce);
+  const trustHint = $('#trustHint');
+  if (trustHint) {
+    trustHint.textContent = !trust.pubkeySet
+      ? '当前框架没有内置信任公钥，这个开关即使打开也不起作用（所有插件照常放行）。'
+      : !trust.pubkeyValid
+        ? '信任公钥配错了，解析不了——这个开关打开也不会生效。检查配置里的 security.trust.pubkey。'
+        : '开启后，官方市场里未签名或签名不符的插件会被拒绝安装和更新；手写插件、以及你自己配置的市场源不受影响。';
+  }
 }
 
 /* ---------------- 事件订阅 intents ---------------- */
@@ -1348,6 +1363,10 @@ $('#cfgForm').addEventListener('submit', async (e) => {
     groupManage: {
       invited: f.groupInvited.checked,
     },
+    // 全局设置（config/bot.json），和 webui 一样不写进机器人配置
+    security: {
+      trust: { enforce: f.trustEnforce.checked },
+    },
   };
 
   const btn = f.querySelector('button[type=submit]');
@@ -1804,6 +1823,31 @@ function stopPluginDashPolling() {
   pluginDashTimer = null;
 }
 
+/** 插件卡片上的声明摘要：命令/工具/钩子数量 + 版本要求 */
+function renderDecl(p) {
+  const pr = p.provides || {};
+  const bits = [];
+  if (pr.commands?.length) bits.push(`命令 ${pr.commands.length}`);
+  if (pr.tools?.length) bits.push(`工具 ${pr.tools.length}`);
+  if (pr.hooks?.length) bits.push(`钩子 ${pr.hooks.length}`);
+  const eng = Object.entries(p.engines || {});
+  if (!bits.length && !eng.length) return '';
+  const detail = [
+    pr.commands?.length ? `命令：${pr.commands.join('、')}` : '',
+    pr.tools?.length ? `工具：${pr.tools.join('、')}` : '',
+    pr.hooks?.length ? `钩子：${pr.hooks.join('、')}` : '',
+  ].filter(Boolean).join('；');
+  const engText = eng.map(([k, v]) => `${k} ${v}`).join(' / ');
+  return [
+    bits.length
+      ? `<span class="hint" title="${escapeHtml(detail)}">声明 ${escapeHtml(bits.join(' · '))}</span>`
+      : '',
+    eng.length
+      ? `<span class="hint" title="插件声明的版本要求">${p.enginesOk === false ? '⚠ ' : ''}需 ${escapeHtml(engText)}</span>`
+      : '',
+  ].join('');
+}
+
 async function loadPlugins() {
   const wrap = $('#pluginList');
   // 插件装了/卸了，它注册的面板页面也会变，顺带刷一下标签栏
@@ -1850,6 +1894,7 @@ async function loadPlugins() {
                 ? `<span class="hint" title="插件声明的框架版本要求">需框架 ${escapeHtml(p.frameworkVersion)}</span>`
                 : ''
             }
+            ${renderDecl(p)}
             ${(p.shortDesc || p.description) ? '<br>' + escapeHtml(p.shortDesc || p.description) : ''}
           </div>
           ${chips ? `<div class="plugin-metrics">${chips}</div>` : ''}
@@ -2223,6 +2268,7 @@ function renderMarketRows() {
             <span class="kind-tag ${p.runtime === 'node' ? 'int' : 'ext'}">
               ${p.runtime === 'node' ? '内建 · node' : '外部 · ' + escapeHtml(p.runtime || '')}
             </span>
+            ${verifyTag(p)}
             ${p.author ? `<span class="hint">by ${escapeHtml(p.author)}</span>` : ''}
             ${p.credits ? `<span class="hint">${escapeHtml(p.credits)}</span>` : ''}
             ${p.description ? '<br>' + escapeHtml(p.description) : ''}
@@ -3540,6 +3586,23 @@ function escapeHtml(s) {
   return String(s).replace(/[&<>"']/g, (c) => ({ '&': '&amp;', '<': '&lt;', '>': '&gt;', '"': '&quot;', "'": '&#39;' }[c]));
 }
 
+/**
+ * 插件分级标签。
+ *
+ * 分级是**我们的判断**（写在插件仓的 verified.json 里），不是插件自述；
+ * 签名是另一回事——它是「这份索引没被改过」的全体属性，所有签名插件
+ * 都落同一个状态，所以不能做成档位。
+ */
+function verifyTag(p) {
+  const map = {
+    official: ['官方维护', 'vt-official', '跟着框架一起发布，代码在同一个仓库里'],
+    reviewed: ['已复核', 'vt-reviewed', '我们看过代码、试过能跑，但不由我们维护'],
+    self: ['作者自证', 'vt-self', '作者声明的内容，我们没有核对'],
+  };
+  const [label, cls, tip] = map[p.verified] || ['未验证', 'vt-none', '没有分级信息'];
+  return `<span class="verify-tag ${cls}" title="${escapeHtml(tip)}">${label}</span>`;
+}
+
 function applyFilter() {
   renderLogs();
 }

package/web/index.html

@@ -394,6 +394,24 @@
         <div class="hint">修改监听地址或端口需要重启进程才生效。</div>
       </div>
 
+      <div class="box">
+        <div class="box-hd"><h3>插件来源校验</h3></div>
+        <label class="switch">
+          <input type="checkbox" name="trustEnforce">
+          强制校验插件市场签名
+          <span class="beta-tag" title="签名文件刚铺开，还没经过一轮完整发版验证">Beta</span>
+          <span class="hint">默认关闭</span>
+        </label>
+        <div class="hint" id="trustHint">
+          开启后，官方市场里未签名或签名不符的插件会被拒绝安装和更新；手写插件、以及你自己配置的市场源不受影响。
+          需要框架内置信任公钥——没内置时这个开关不起作用（所有插件照常放行）。
+        </div>
+        <div class="hint">
+          <b>Beta：</b>签名文件还没跟着一次正式发版走完流程，现在打开可能让某些插件装不上。
+          <b>建议先保持关闭</b>，等发版验证过一轮再考虑。
+        </div>
+      </div>
+
       <div class="sticky-actions">
         <span id="cfgMsg" class="hint"></span>
         <button type="submit" class="btn primary">保存配置</button>

package/web/style.css

@@ -971,6 +971,26 @@ label.switch.small { font-size: 12.5px; color: var(--muted); }
   background: var(--primary-soft, var(--panel-3)); color: var(--primary);
 }
 
+/* 插件分级标签：官方 / 已复核 / 作者自证 / 未验证 */
+.verify-tag {
+  display: inline-block; margin-right: 6px; padding: 0 6px;
+  border-radius: 4px; font-size: 10.5px; font-weight: 600;
+  vertical-align: 1px;
+}
+.verify-tag.vt-official { background: var(--primary-soft); color: var(--primary); }
+.verify-tag.vt-reviewed { background: var(--c-teal-soft); color: var(--c-teal); }
+.verify-tag.vt-self { background: var(--warn-soft); color: var(--warn); }
+.verify-tag.vt-none { background: var(--panel-3); color: var(--muted); }
+
+/* Beta 标记：签名开关还是 beta，不能让它看起来跟别的开关一样成熟 */
+.beta-tag {
+  display: inline-block; margin-left: 6px; padding: 0 7px;
+  border-radius: 999px; font-size: 10.5px; font-weight: 600;
+  background: var(--warn-soft); color: var(--warn);
+  border: 1px solid var(--warn-border);
+  vertical-align: 1px;
+}
+
 /* 连接凭证下方的保存条：不吸底，紧跟在输入框下面 */
 .cred-actions {
   display: flex; align-items: center; justify-content: flex-end; gap: 14px;