weflow-cli 1.7.0 → 1.8.1

package/src/core/sqlcipherCore.ts

@@ -14,6 +14,9 @@
  */
 import crypto from 'crypto'
 import { existsSync, readFileSync, readdirSync, unlinkSync, mkdirSync, writeFileSync } from 'fs'
+// AppMsg 的显示形态提到了 `appMsgFormat`：那是纯函数，能直接测（此前是这里的私有方法，
+// 一行测试都没有）。4.x 走的是 Python 侧 `nt_decrypt.py` 的同名逻辑，两边要保持一致。
+import { formatAppMsg, parseAppMsgXml } from './appMsgFormat.js'
 import { join, basename, dirname } from 'path'
 import os from 'os'
 import { DatabaseSync } from 'node:sqlite'
@@ -503,11 +506,11 @@ export class SqlcipherCore {
       case 49: { // AppMsg (链接/文件/引用)
         const xml = this.decompressCompressContent(compressContent)
         if (xml) {
-          const appInfo = this.parseAppMsgXml(xml)
+          const appInfo = parseAppMsgXml(xml)
           appTitle = appInfo.title
           appDescription = appInfo.description
           appUrl = appInfo.url
-          parsedContent = this.formatAppMsg(appInfo)
+          parsedContent = formatAppMsg(appInfo)
         } else {
           // 部分 Type=49 消息内容在 StrContent 中
           parsedContent = strContent || '[链接/文件]'
@@ -634,65 +637,6 @@ export class SqlcipherCore {
     }
   }
 
-  /**
-   * 解析 Type=49 AppMsg XML
-   */
-  private parseAppMsgXml(xml: string): { title?: string; description?: string; url?: string; type?: string } {
-    try {
-      const titleMatch = xml.match(/<title>([^<]*)<\/title>/)
-      const desMatch = xml.match(/<des>([^<]*)<\/des>/)
-      const urlMatch = xml.match(/<url>([^<]*)<\/url>/)
-      const typeMatch = xml.match(/<type>(\d+)<\/type>/)
-
-      return {
-        title: titleMatch ? this.decodeXmlEntities(titleMatch[1]) : undefined,
-        description: desMatch ? this.decodeXmlEntities(desMatch[1]) : undefined,
-        url: urlMatch ? this.decodeXmlEntities(urlMatch[1]) : undefined,
-        type: typeMatch ? typeMatch[1] : undefined,
-      }
-    } catch {
-      return {}
-    }
-  }
-
-  /**
-   * 解码 XML 实体字符
-   */
-  private decodeXmlEntities(str: string): string {
-    return str
-      .replace(/&amp;/g, '&')
-      .replace(/&lt;/g, '<')
-      .replace(/&gt;/g, '>')
-      .replace(/&quot;/g, '"')
-      .replace(/&apos;/g, "'")
-  }
-
-  /**
-   * 格式化 AppMsg 为可读文本
-   */
-  private formatAppMsg(info: { title?: string; description?: string; url?: string; type?: string }): string {
-    const parts: string[] = []
-
-    switch (info.type) {
-      case '5': // 链接分享
-        if (info.title) parts.push(`[分享] ${info.title}`)
-        if (info.description) parts.push(info.description)
-        if (info.url) parts.push(info.url)
-        break
-      case '6': // 文件分享
-        if (info.title) parts.push(`[文件] ${info.title}`)
-        break
-      case '57': // 引用回复
-        if (info.title) parts.push(`[引用] ${info.title}`)
-        break
-      default:
-        if (info.title) parts.push(`[AppMsg] ${info.title}`)
-        if (info.description) parts.push(info.description)
-        break
-    }
-
-    return parts.join('\n') || '[链接/文件]'
-  }
 
   /**
    * 获取联系人列表

package/src/core/wcdbCore.ts

@@ -2015,7 +2015,7 @@ export class WcdbCore {
     items?: Array<{
       sessionId: string
       sessionDisplayName?: string
-      mediaType: 'image' | 'video'
+      mediaType?: 'image' | 'video' | undefined
       localId: number
       serverId?: string
       createTime: number
@@ -2473,7 +2473,11 @@ export class WcdbCore {
         return {
           sessionId,
           sessionDisplayName: sessionNameMap.get(sessionId) || sessionId,
-          mediaType: localType === 43 ? 'video' as const : 'image' as const,
+          // 只有明确的图片/视频才是媒体。原先这里对**一切非视频**都写 'image'
+          // （连纯文本也是），是个没人消费的错值——公开方法里的错值迟早会被当真。
+          mediaType: localType === 43 ? 'video' as const
+            : localType === 3 ? 'image' as const
+              : undefined,
           localId: toInt(row.local_id ?? row.localId),
           serverId: pickString(row, ['server_id', 'serverId']) || undefined,
           createTime: toInt(row.create_time ?? row.createTime),

package/src/panel/client.ts

@@ -0,0 +1,49 @@
+/**
+ * 端点客户端：`weflow-cli panel` 用它读状态、换一次性口令、问一句话。
+ *
+ * 和悬浮窗走的是**同一个端点、同一套规矩**——所以"面板与微信共用一个大脑"这件事，
+ * 可以在命令行上被端到端地测（`panel ask` 就是"面板减去像素"）。
+ *
+ * 凭据从不进日志、不进错误信息：出错时只说状态码与分类，不回显 token。
+ */
+import type { PanelEndpoint } from './endpoint.js'
+
+export type ClientResult<T> =
+  | { ok: true; data: T }
+  | { ok: false; code: string; error?: string }
+
+async function request(
+  endpoint: PanelEndpoint, path: string, init: RequestInit = {}, timeoutMs = 10_000,
+): Promise<ClientResult<any>> {
+  try {
+    const res = await fetch(`http://127.0.0.1:${endpoint.port}${path}`, {
+      ...init,
+      headers: {
+        Authorization: `Bearer ${endpoint.token}`,
+        ...(init.body ? { 'Content-Type': 'application/json' } : {}),
+        ...(init.headers ?? {}),
+      },
+      signal: AbortSignal.timeout(timeoutMs),
+    })
+    const body: any = await res.json().catch(() => ({}))
+    if (!res.ok) return { ok: false, code: String(body?.code ?? `HTTP_${res.status}`), error: body?.error }
+    return { ok: true, data: body }
+  } catch (error: any) {
+    // 连不上：进程可能刚被停掉，或端点文件是残留的。**分开说**，别都说成"失败"
+    if (error?.name === 'TimeoutError') return { ok: false, code: 'TIMEOUT' }
+    return { ok: false, code: 'UNREACHABLE' }
+  }
+}
+
+export function panelStatus(endpoint: PanelEndpoint): Promise<ClientResult<any>> {
+  return request(endpoint, '/api/status')
+}
+
+/** 换一个一次性口令，用来拼浏览器那条路的 URL（口令不是 token，可以进命令行） */
+export function panelPair(endpoint: PanelEndpoint): Promise<ClientResult<{ url: string; expiresInMs: number }>> {
+  return request(endpoint, '/api/pair', { method: 'POST' })
+}
+
+export function panelAsk(endpoint: PanelEndpoint, text: string): Promise<ClientResult<any>> {
+  return request(endpoint, '/api/ask', { method: 'POST', body: JSON.stringify({ text }) }, 200_000)
+}

package/src/panel/endpoint.ts

@@ -0,0 +1,144 @@
+/**
+ * 本机面板的**发现 + 凭据**：一个文件解决两件事。
+ *
+ * 悬浮窗要跟助手说话，需要知道两样东西——**端口**和**口令**。分开存会让"端口写死但服务没起来"
+ * 变成一类难查的故障，所以合在一个文件里，由守护进程**原子写**（先写 `.tmp` 再 `rename`，
+ * 照抄 `configService.save()` 的手法）。
+ *
+ * ## 三个必须处理的失效模式
+ *
+ * 1. **崩溃残留**：文件还在，进程没了 → 用 `process.kill(pid, 0)` 探活
+ *    （照抄 `assistantDaemon.isDaemonAlive()` 的写法）。
+ * 2. **端口被别的进程占了**：文件里的端口是准的，但回应的人不是我们 → 拿到之后
+ *    **必须打一次 `/api/status`**，校验 `service` 与 `startedAt` 都对得上
+ *    （照抄 `getDailyReaderStatus()` 里那三行；它就是为这个存在的）。
+ * 3. **退出时不删文件**：**不要指望清理**。`stopDaemon()` 发的是 SIGTERM，而 Node 默认不为它跑
+ *    清理逻辑，所以文件**一定会残留**。"退出时删掉它"看起来太像一个能用的方案了，
+ *    所以这里明说：正确做法是探活，不是删。
+ *
+ * ## 关于 Windows 上的文件权限
+ *
+ * token 写在 `~/.weflow-cli/` 下。**不要声称"权限已收紧"**：Windows 上 `fs.chmod` /
+ * `mode: 0o600` 基本无效（Node 只能映射只读位）。真正起作用的是 `%USERPROFILE%\.weflow-cli\`
+ * 的默认 ACL（只有本人 + SYSTEM + Administrators）——**那是既成事实，不是我们做的事**。
+ * `mode: 0o600` 仍然传，因为在 Linux/macOS/WSL 上有意义；在 Windows 上它是空操作。
+ *
+ * 所以这道 token 的真实作用是：挡住**本机其它程序与任意网页**（它们读不到这个文件）。
+ * 它**挡不住**以同一用户身份运行、且愿意翻 `~/.weflow-cli/` 的程序——那种程序本来就能直接读库。
+ * 这是这条设计的真实边界，别把它说成比这更强。
+ */
+import { existsSync, mkdirSync, readFileSync, rmSync, writeFileSync } from 'fs'
+import { writeFileAtomic } from '../utils/atomicWrite.js'
+import { randomBytes, timingSafeEqual } from 'crypto'
+import { join } from 'path'
+import os from 'os'
+
+/** 端点文件的格式版本。读不出来或不认识就**当作不存在**，不猜、不迁移（同记忆文件的纪律） */
+export const PANEL_ENDPOINT_VERSION = 1
+/** `/api/status` 的身份字段：防止把别人的端口当成助手（`service !== 它` 就不认） */
+export const PANEL_SERVICE_ID = 'weflow-assistant'
+/**
+ * 默认端口。**固定**而不是随机：便于本人手工 `curl` 排查，也让文档能写一个确定的地址。
+ * 端口被占时**大声失败**，不静默换一个——静默换端口会让"文件里写着 A、实际在 B"成为可能。
+ */
+export const DEFAULT_PANEL_PORT = 8766
+
+export type PanelChannelMode = 'wechat' | 'local'
+
+export interface PanelEndpoint {
+  version: number
+  service: string
+  port: number
+  token: string
+  pid: number
+  startedAt: string
+  channel: PanelChannelMode
+  /** 这个进程给本机入口用的记忆桶（与微信直聊同一个 id 时才是"共用一个大脑"） */
+  memoryBucket: string
+}
+
+export function weflowHome(): string {
+  return join(os.homedir(), '.weflow-cli')
+}
+
+export function endpointFile(): string {
+  return join(weflowHome(), 'assistant_endpoint.json')
+}
+
+/** 每进程一份，**每次启动重新生成**。32 字节 base64url。 */
+export function generateToken(): string {
+  return randomBytes(32).toString('base64url')
+}
+
+function isEndpoint(value: any): value is PanelEndpoint {
+  return !!value && typeof value === 'object'
+    && value.version === PANEL_ENDPOINT_VERSION
+    && value.service === PANEL_SERVICE_ID
+    && typeof value.port === 'number' && Number.isInteger(value.port) && value.port > 0 && value.port < 65536
+    && typeof value.token === 'string' && value.token.length > 0
+    && typeof value.pid === 'number'
+    && typeof value.startedAt === 'string'
+    && (value.channel === 'wechat' || value.channel === 'local')
+    && typeof value.memoryBucket === 'string'
+}
+
+/** 原子写：先 `.tmp` 再 rename。失败不抛——端点起不来不该把助手一起弄死，调用方会记日志 */
+export function writeEndpoint(endpoint: PanelEndpoint): boolean {
+  try {
+    mkdirSync(weflowHome(), { recursive: true })
+    // `mode` 在 Windows 上是空操作，见文件头注释；不是为了"安全"，是为了别的平台。
+    // 用 writeFileAtomic：rename 在被占用时会 EPERM，重试+兜底由它负责
+    writeFileAtomic(endpointFile(), JSON.stringify(endpoint, null, 2), { mode: 0o600 })
+    return true
+  } catch {
+    return false
+  }
+}
+
+/**
+ * 读并校验。**任何一种不可信都返回 `null`**，绝不返回一个"大概是它"的对象：
+ * 文件不存在、JSON 坏了、版本不认识、字段缺、**进程已经没了**。
+ */
+export function readEndpoint(): PanelEndpoint | null {
+  try {
+    const file = endpointFile()
+    if (!existsSync(file)) return null
+    const parsed = JSON.parse(readFileSync(file, 'utf8'))
+    if (!isEndpoint(parsed)) return null
+    if (!isProcessAlive(parsed.pid)) return null
+    return parsed
+  } catch {
+    return null
+  }
+}
+
+/** 探活。照抄 `assistantDaemon.isDaemonAlive()`：`kill(pid, 0)` 不真发信号，只做权限/存在性检查 */
+export function isProcessAlive(pid: number): boolean {
+  try {
+    process.kill(pid, 0)
+    return true
+  } catch {
+    return false
+  }
+}
+
+/**
+ * 删除端点文件。**只在"确认要停"时用**（例如 `assistant stop`），
+ * 不要指望它在崩溃/被 SIGTERM 时被调用——见文件头第 3 条。
+ */
+export function clearEndpoint(): void {
+  try { rmSync(endpointFile(), { force: true }) } catch { /* 删不掉不影响正确性：读取端会探活 */ }
+}
+
+/**
+ * token 比较。长度不等时 `timingSafeEqual` 会**抛**，所以先比长度。
+ * 用 `timingSafeEqual` 是为了不把"前几个字符对了"这件事通过耗时泄漏出去。
+ */
+export function tokenMatches(expected: string, given: unknown): boolean {
+  if (typeof given !== 'string' || given.length !== expected.length) return false
+  try {
+    return timingSafeEqual(Buffer.from(expected, 'utf8'), Buffer.from(given, 'utf8'))
+  } catch {
+    return false
+  }
+}

package/src/panel/launch.ts

@@ -0,0 +1,101 @@
+/**
+ * 面板的**启动决策**：用哪个二进制、argv 是什么、URL 是什么。
+ *
+ * 全部是纯函数，返回路径与数组、没有副作用——**因为这一层能进 CI，而窗口不能**。
+ * `resources/panel/main.cjs` 里只剩"调用 spawn / new BrowserWindow"，决策都在这儿，
+ * 于是"会不会把凭据写进命令行"这种问题有地方可以钉住。
+ *
+ * 一条硬规矩贯穿本文件：**任何凭据都不许进 argv**。Windows 上同机任何进程都能从
+ * `wmic process get commandline` 读到命令行，把 token 放进去就是一次**看不出破绽的泄漏**。
+ * 所以浏览器那条路只带**一次性口令**（见 `server.ts` 的 `/api/pair`），Electron 那条什么都不带
+ * （它自己去读端点文件）。
+ */
+import { existsSync } from 'node:fs'
+import { join } from 'node:path'
+
+export type ExistsFn = (path: string) => boolean
+
+export interface ElectronLookup {
+  /** 找 Electron 的顺序：包内 → 全局 npm 目录 → 都没有就是 null */
+  candidates: string[]
+  found: string | null
+}
+
+/**
+ * 找 Electron。**用 `existsSync` 逐个试，不用 `where`/`which`**：
+ * PATH 上可能有 shim，而 shim 的行为不比一个确定的路径更可信。
+ */
+export function resolveElectronBinary(env: {
+  packageRoot: string
+  localAppData?: string
+  programFiles?: string
+  exists?: ExistsFn
+}): ElectronLookup {
+  const exists = env.exists ?? existsSync
+  const candidates = [
+    // 1. 本项目里装过（npm i -D electron）
+    join(env.packageRoot, 'node_modules', 'electron', 'dist', 'electron.exe'),
+    // 2. 全局 npm 装过（npm i -g electron）
+    env.localAppData ? join(env.localAppData, 'npm', 'node_modules', 'electron', 'dist', 'electron.exe') : '',
+    // 3. 全局装到别处时的兜底
+    env.programFiles ? join(env.programFiles, 'nodejs', 'node_modules', 'electron', 'dist', 'electron.exe') : '',
+  ].filter(Boolean)
+  return { candidates, found: candidates.find((p) => exists(p)) ?? null }
+}
+
+/**
+ * Electron 的 argv。**就一个参数**：应用目录（里面的 `package.json` 指向 `main.cjs`）。
+ * 什么都不多带——不带 token、不带端口、不带 URL。
+ */
+export function electronLaunchArgs(panelDir: string): string[] {
+  return [panelDir]
+}
+
+export interface EdgeLookup {
+  candidates: string[]
+  found: string | null
+}
+
+/** 找 Edge；找不到再找 Chrome（Chromium 内核的 `--app=` 都能用） */
+export function resolveBrowserBinary(env: {
+  programFiles?: string
+  programFilesX86?: string
+  localAppData?: string
+  exists?: ExistsFn
+}): EdgeLookup {
+  const exists = env.exists ?? existsSync
+  const roots = [env.programFilesX86, env.programFiles, env.localAppData].filter(Boolean) as string[]
+  const candidates: string[] = []
+  for (const root of roots) {
+    candidates.push(join(root, 'Microsoft', 'Edge', 'Application', 'msedge.exe'))
+  }
+  for (const root of roots) {
+    candidates.push(join(root, 'Google', 'Chrome', 'Application', 'chrome.exe'))
+  }
+  return { candidates, found: candidates.find((p) => exists(p)) ?? null }
+}
+
+/**
+ * 浏览器降级的 argv。
+ *
+ * - `--app=<url>`：没有地址栏、没有标签栏，看起来就是个独立小窗。**这就是降级能给的极限**：
+ *   它不是悬浮球——不能无边框、不能置顶、没有托盘、没有全局快捷键。这件事必须对用户说清。
+ * - `--user-data-dir=<独立目录>`：**不是可选的**。不带它，`--app` 会挤进用户日常那个浏览器实例
+ *   （共享 cookie 与会话，甚至可能被并进已有窗口而不是新开一个）。代价是多一个约 50MB 的
+ *   profile 目录，**它要进隐私文档的敏感路径清单**。
+ * - URL 里带的是**一次性口令**（`?c=`），不是 token：口令单次使用、60 秒过期，
+ *   所以它出现在命令行与浏览器历史里都不构成泄漏。
+ */
+export function browserLaunchArgs(options: { url: string; profileDir: string }): string[] {
+  return [
+    `--app=${options.url}`,
+    `--user-data-dir=${options.profileDir}`,
+    '--no-first-run',
+    '--no-default-browser-check',
+  ]
+}
+
+/** 浏览器降级专用的 profile 目录（与用户日常浏览器隔离） */
+export function browserProfileDir(weflowHome: string): string {
+  return join(weflowHome, 'panel-browser-profile')
+}