rdsh-gateway 0.11.0 → 0.11.2

package/dist/join.d.ts

@@ -36,6 +36,8 @@ export interface JoinOptions {
         host?: string;
         port?: number;
     };
+    /** host E2EE 静态密钥对目录（缺省 ~/.rdsh；**仅供测试注入**，生产不要传 —— 见 e2ee-key-store.ts） */
+    e2eeKeyDir?: string;
 }
 /** 注册/接入结果：解析出的 host token + 是否需 insecure + 生效的主机名（缺省=机器 hostname）。 */
 export interface RegisterOutcome {
@@ -65,6 +67,8 @@ export interface StartJoinOptions {
     role: JoinLockRole;
     /** 锁文件路径（缺省 ~/.rdsh/join.lock；测试可注入临时路径） */
     lockPath?: string;
+    /** E2EE 静态密钥对目录（缺省 ~/.rdsh；**仅供测试注入**，见 e2ee-key-store.ts） */
+    e2eeKeyDir?: string;
     hooks?: JoinHooks;
     /** DSH UI 兼容（缺省 trustE2EEAsLoopback=true；false 关闭 JS patch） */
     dshUiCompat?: {

package/dist/join.js

@@ -110,7 +110,7 @@ export async function registerJoin(opts) {
     let token;
     if (opts.token !== undefined) {
         // --token = join token（或旧 host token）→ register 端点换 host token
-        const e2eeKeyPair = loadOrCreateE2eeKeyPair();
+        const e2eeKeyPair = loadOrCreateE2eeKeyPair(opts.e2eeKeyDir);
         const { hostToken } = await register(opts.hubUrl, opts.token, name, insecure, e2eeKeyPair.publicRaw.toString("base64url"));
         token = hostToken;
         persistToken(opts.hubUrl, token);
@@ -273,6 +273,19 @@ export function startJoin(opts) {
     const uiCompat = { trustE2EEAsLoopback: opts.dshUiCompat?.trustE2EEAsLoopback !== false };
     // 访问口令（feature 15）：可变引用 → setAccessCode 运行中切换；null = gate off
     const gate = { accessCode: opts.gateway?.accessCode ?? null };
+    /**
+     * raw 门禁：页面是否已授权。**实例级共享**（原为 per-raw-stream）。
+     *
+     * authorize 证明的是"**页面**知道口令"，不是"某条 raw 流知道"——而页面注入脚本每页只跑一次
+     * （`direct.ts` 的 `__rdshDirectBootstrapped` 守卫）。原先声明在 `makeInnerDispatcher()` 内，
+     * 该方法**每条 raw 流都会调用一次**（`startRawStream`），于是新建流标志被重置为 false、
+     * 页面又不会重新 authorize ⇒ 该流上所有请求被 CLOSE 403 `raw stream not authorized`。
+     *
+     * 放在 `startJoin` 作用域 = **每个网关进程一份**：同一进程内共享（**含隧道重连**——`connect()`
+     * 嵌在 `startJoin` 内、重连不重建该作用域），跨进程仍隔离。
+     * 2026-10-04 修复，详见 `doc/fix/20261004-raw-authorize-per-stream/`。
+     */
+    let rawAuthorized = false;
     // raw 门禁 + 候选（24-direct-first）：提供 direct 回调即启用候选端点；raw 门禁（authorize）仅设口令时生效
     const rawGate = opts.direct !== undefined
         ? { candidates: opts.direct.candidates, mintTicket: opts.direct.mintTicket }
@@ -338,8 +351,6 @@ export function startJoin(opts) {
         const patchSkipped = new Set();
         /** rdsh WebView API 是否已注入过（每个进程只打一次日志，避免页面加载刷屏）。 */
         let adapterInjectionLogged = false;
-        /** raw 门禁：当前 raw 流是否已被页面授权（动态判定：见 handleOpen 的条件，含运行中 gate 开关） */
-        let rawAuthorized = false;
         /** 从转发头里取 rdsh_gate cookie（hub D12 白名单透传）。 */
         function gateCookie(headers) {
             const ck = headers["cookie"];
@@ -470,27 +481,19 @@ export function startJoin(opts) {
                 send(encodeFrame(FRAME_TYPE.ERROR, frame.streamId, jsonPayload({ code: "BAD_OPEN", message: "malformed open" })));
                 return;
             }
-            // ---- raw 门禁 + 候选端点（仅 raw inner dispatcher：dio.rawGate 定义时）----
-            if (dio?.rawGate !== undefined) {
-                // raw 门禁（仅设口令时）：授权前只接受 authorize 请求，否则 fail-closed 关流（修 raw 绕过，R7）
-                if (gate.accessCode !== null && !rawAuthorized) {
-                    if (path.startsWith("/__rdsh/authorize")) {
-                        const token = new URL(path, "http://rdsh.local").searchParams.get("token") ?? "";
-                        if (token !== "" && verifyGateCookie(gate.accessCode, token)) {
-                            rawAuthorized = true;
-                            sendSyntheticHttp(send, frame.streamId, 204, {}, Buffer.alloc(0));
-                            return;
-                        }
+            // ---- raw 门禁（仅 raw inner dispatcher：dio.rawGate 定义时）----
+            if (dio?.rawGate !== undefined && gate.accessCode !== null && !rawAuthorized) {
+                // 授权前只接受 authorize 请求，否则 fail-closed 关流（修 raw 绕过，R7）
+                if (path.startsWith("/__rdsh/authorize")) {
+                    const token = new URL(path, "http://rdsh.local").searchParams.get("token") ?? "";
+                    if (token !== "" && verifyGateCookie(gate.accessCode, token)) {
+                        rawAuthorized = true;
+                        sendSyntheticHttp(send, frame.streamId, 204, {}, Buffer.alloc(0));
+                        return;
                     }
-                    send(encodeFrame(FRAME_TYPE.CLOSE, frame.streamId, jsonPayload({ code: 403, message: "raw stream not authorized" })));
-                    return;
-                }
-                // 候选 + 一次性直连票（无论是否设口令都提供；经 E2EE，hub 不可见，R3/R4）
-                if (path === "/__rdsh/direct-candidates" || path.startsWith("/__rdsh/direct-candidates?")) {
-                    const body = Buffer.from(JSON.stringify({ candidates: dio.rawGate.candidates(), ticket: dio.rawGate.mintTicket() }));
-                    sendSyntheticHttp(send, frame.streamId, 200, { "content-type": "application/json" }, body);
-                    return;
                 }
+                send(encodeFrame(FRAME_TYPE.CLOSE, frame.streamId, jsonPayload({ code: 403, message: "raw stream not authorized" })));
+                return;
             }
             // ---- 访问口令 gate（仅 plain dispatcher：dio.gate=true 且已设 accessCode）----
             if (dio?.gate === true && gate.accessCode !== null) {
@@ -514,6 +517,21 @@ export function startJoin(opts) {
                     return;
                 }
             }
+            // ---- 直连候选 + 一次性票（**raw 与 plain 两条路径都要提供**）----
+            // 位置在**两道门禁之后**：raw 已过 rawGate，plain 已过访问口令（未过则上面已 return），
+            // 因此既不会泄露内网候选地址、也不会在未授权时签发直连票（R3/R4/R7）。
+            // 为什么 plain 也要提供：plain 页同样注入了直连 bootstrap（见 plainDispatcher 的 htmlInject），
+            // 缺了这个端点，页面里的 fetch("/__rdsh/direct-candidates") 会被转发给 dsh web → 404，
+            // 于是 window.__rdshDirectInfo 永不赋值 —— 即 2026-10-04 真机 "no __rdshDirectInfo" 的根因。
+            if (dio?.directCandidates !== undefined &&
+                (path === "/__rdsh/direct-candidates" || path.startsWith("/__rdsh/direct-candidates?"))) {
+                const body = Buffer.from(JSON.stringify({
+                    candidates: dio.directCandidates.candidates(),
+                    ticket: dio.directCandidates.mintTicket(),
+                }));
+                sendSyntheticHttp(send, frame.streamId, 200, { "content-type": "application/json" }, body);
+                return;
+            }
             if (kind === "ws") {
                 openWsStream(frame.streamId, path, headers);
                 return;
@@ -552,7 +570,11 @@ export function startJoin(opts) {
                         delete outHeaders["transfer-encoding"];
                         if (!adapterInjectionLogged) {
                             adapterInjectionLogged = true;
-                            console.log("[rdsh] rdsh webview api injected (window.__rdshWebViewApi v1)");
+                            // 按**实际注入的内容**打日志：raw 路径只注入直连 bootstrap，不含 WebView API。
+                            // （旧文案一律说 "webview api injected"，在 raw 路径上是假的，曾误导排查。）
+                            console.log(inject.includes("__rdshWebViewApi")
+                                ? "[rdsh] html inject: webview api + direct bootstrap (plain path)"
+                                : "[rdsh] html inject: direct bootstrap only (raw/E2EE path)");
                         }
                         send(encodeFrame(FRAME_TYPE.OPEN, streamId, jsonPayload({ kind: "http", status, reason: upRes.statusMessage, headers: outHeaders })));
                         sendChunkedBody(send, streamId, Buffer.from(html));
@@ -720,6 +742,8 @@ export function startJoin(opts) {
     const plainDispatcher = makeInnerDispatcher(sendTunnelFrame, {
         jsPatch: () => uiCompat.trustE2EEAsLoopback,
         gate: true,
+        // plain 页也要能取直连候选：它同样注入了直连 bootstrap，端点由下方统一提供
+        directCandidates: rawGate,
         htmlInject: () => {
             // 直连 bootstrap 始终注入（join 模式）；页面授权 token 仅设口令时生成（无口令则跳过 raw 授权、只取候选）
             return RDSH_WEBVIEW_API + pageAuthorizeScript(gate.accessCode);
@@ -728,7 +752,7 @@ export function startJoin(opts) {
     // host 端 E2EE 静态密钥对（持久化 ~/.rdsh/e2ee-key.json；join 注册时上送指纹）
     let hostE2eeKeypair;
     try {
-        hostE2eeKeypair = loadOrCreateE2eeKeyPair();
+        hostE2eeKeypair = loadOrCreateE2eeKeyPair(opts.e2eeKeyDir);
     }
     catch (err) {
         releaseLockAndRethrow(err);
@@ -759,6 +783,7 @@ export function startJoin(opts) {
         }, {
             jsPatch: () => uiCompat.trustE2EEAsLoopback,
             rawGate,
+            directCandidates: rawGate,
             // raw 门禁的解锁脚本：与 plain 同一来源（pageAuthorizeScript）。
             // raw 流不转发 cookie，这里是页面唯一的授权入口；缺了它 raw 门禁必然 fail-closed。
             htmlInject: () => pageAuthorizeScript(gate.accessCode),

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "rdsh-gateway",
-  "version": "0.11.0",
+  "version": "0.11.2",
   "description": "rdsh host-side component: LAN auth gateway + outbound tunnel endpoint (spawns dsh web)",
   "license": "MIT",
   "type": "module",