zen-gitsync 2.16.31 → 2.16.33

package/src/ui/server/index.js

@@ -50,6 +50,7 @@ import { registerMindmapRoutes } from './routes/mindmap.js';
 import { registerAgentRoutes } from './routes/workbench/agentRoutes.js';
 import { createInstanceRegistry } from './utils/instanceRegistry.js';
 import { createSavePortToFile } from './utils/createSavePortToFile.js';
+import { createOriginGuard, createOriginCheckerFromEnv } from './middleware/originGuard.js';
 import { startServerOnAvailablePort } from './utils/startServerOnAvailablePort.js';
 import { resolveStartPort } from './utils/randomStartPort.js';
 import { perfMark } from './utils/perfMark.js';
@@ -193,35 +194,14 @@ async function startUIServer(noOpen = false, savePort = false) {
   const httpServer = createServer(app);
 
   // ─────────────────────────────────────────────────────────────────────────────
-  // Socket.IO CORS / origin 收紧
+  // Origin 收紧(Socket.IO + HTTP 共用同一套判定,见 middleware/originGuard.js)
   //
   // 默认 Socket.IO 接受任意 origin,跨域页面也能连上 → CSRF / 跨站攻击面
   // 暴露给恶意页面。这里只允许同源 + 127.0.0.1 / localhost。
   // 用环境变量 ZEN_ALLOWED_ORIGINS 可以追加自定义来源(逗号分隔),
   // CI / 远程调试场景用。
   // ─────────────────────────────────────────────────────────────────────────────
-  const DEFAULT_ALLOWED_ORIGINS = [
-    'http://localhost',
-    'https://localhost',
-    'http://127.0.0.1',
-    'https://127.0.0.1',
-    'http://[::1]',
-    'null', // 同源 file:// 等场景
-  ];
-  const extraOrigins = String(process.env.ZEN_ALLOWED_ORIGINS || '')
-    .split(',').map(s => s.trim()).filter(Boolean);
-  const allowedOrigins = new Set([...DEFAULT_ALLOWED_ORIGINS, ...extraOrigins]);
-
-  function isOriginAllowed(origin) {
-    if (!origin) return true; // 同源 / 非浏览器客户端不传 Origin
-    if (allowedOrigins.has(origin)) return true;
-    // 允许 localhost/127.0.0.1/[::1] 上的任意端口(开发常换端口)
-    try {
-      const u = new URL(origin);
-      if (['localhost', '127.0.0.1', '[::1]'].includes(u.hostname)) return true;
-    } catch { /* ignore */ }
-    return false;
-  }
+  const isOriginAllowed = createOriginCheckerFromEnv()
 
   const io = new Server(httpServer, {
     cors: {
@@ -270,6 +250,12 @@ async function startUIServer(noOpen = false, savePort = false) {
   // 添加全局中间件来解析JSON请求体
   app.use(express.json());
 
+  // 跨站请求守卫:放在 body 解析之后、业务路由之前。
+  // 服务没有认证层,恶意页面只要能把请求打进来就是全权限(命令执行 / 写文件 /
+  // 打开任意文件)。监听已收敛到 127.0.0.1,剩下的主要入口就是本机浏览器里的
+  // 跨站 fetch 与 DNS rebinding,按 Origin 挡这一道成本最低。
+  app.use(createOriginGuard());
+
   // 两个 git 检测并行发起(Windows 上每个 git spawn ~180-200ms,串行要 ~380ms):
   // show-toplevel 供下面"记录最近目录"立即 await;is-inside-work-tree 供路由注册后
   // 的 isGitRepo 判定使用,让它在路由注册期间后台完成,此处不 await。

package/src/ui/server/middleware/originGuard.js

@@ -0,0 +1,138 @@
+// Copyright 2026 xz333221
+//
+// Licensed under the Apache License, Version 2.0 (the "License");
+// you may not use this file except in compliance with the License.
+// You may obtain a copy of the License at
+//
+//     http://www.apache.org/licenses/LICENSE-2.0
+//
+// Unless required by applicable law or agreed to in writing, software
+// distributed under the License is distributed on an "AS IS" BASIS,
+// WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
+// See the License for the specific language governing permissions and
+// limitations under the License.
+//
+// HTTP 请求的 Origin 守卫。
+//
+// 监听地址收敛到 127.0.0.1 之后，剩下的主要攻击面是「本机浏览器里的恶意页面」：
+//   - 跨站 fetch('http://127.0.0.1:<port>/api/exec-stream', ...) → 带 Origin: evil.com
+//   - DNS rebinding：恶意域名解析到 127.0.0.1，绕过同源检查
+// 服务没有认证层，只要请求能进来就是全权限，所以必须在最外层按 Origin 挡一道。
+//
+// 与 Socket.IO 的 cors.origin 判定共用同一套规则（见 createOriginChecker），
+// 避免「WebSocket 连得上但 REST 被拒」这种半残状态。
+
+import os from 'node:os'
+import logger from '../utils/logger.js'
+
+// 本机主机名：允许其上任意端口（开发期前端跑在 Vite dev server，端口与后端不同）
+const LOCAL_HOSTNAMES = new Set(['localhost', '127.0.0.1', '[::1]'])
+
+// ZEN_HOST 的通配取值：绑这些地址等于"放开到所有网卡"
+const WILDCARD_HOSTS = new Set(['0.0.0.0', '::', '[::]'])
+
+function parseExtraOrigins(envValue) {
+  return String(envValue || '')
+    .split(',')
+    .map((s) => s.trim())
+    .filter(Boolean)
+}
+
+/**
+ * 构造 origin 判定函数。
+ *
+ * @param {object} [opts]
+ * @param {string[]} [opts.extraOrigins] 额外放行的完整 origin（含协议与端口）
+ * @param {string[]} [opts.extraHosts] 额外放行的 hostname（允许其上任意端口）。
+ *   放开监听地址（ZEN_HOST=0.0.0.0）时用它放行局域网来源，否则用户会被自己的守卫拦在门外。
+ * @returns {(origin: string|undefined) => boolean}
+ */
+export function createOriginChecker({ extraOrigins = [], extraHosts = [] } = {}) {
+  const exact = new Set(extraOrigins)
+  const hosts = new Set(extraHosts)
+
+  return function isOriginAllowed(origin) {
+    // 没有 Origin 头：curl / CLI / 非浏览器客户端 / 部分同源 GET。
+    // 这类请求不可能是跨站攻击（浏览器跨站一定带 Origin），放行。
+    if (!origin) return true
+    if (exact.has(origin)) return true
+    // file:// 页面发起的请求，Origin 字面量就是 'null'
+    if (origin === 'null') return true
+
+    try {
+      const u = new URL(origin)
+      if (LOCAL_HOSTNAMES.has(u.hostname)) return true
+      if (hosts.has(u.hostname)) return true
+    } catch {
+      // 解析不了的一律拒绝
+      return false
+    }
+    return false
+  }
+}
+
+/**
+ * 收集本机所有网卡的地址（作为可放行 origin 的 hostname）。
+ *
+ * 为什么需要：ZEN_HOST=0.0.0.0 放开监听后，用户是从另一台设备通过本机
+ * 局域网 IP（如 http://192.168.1.10:5545）访问 GUI 的，浏览器对同源 POST
+ * 会带 Origin: http://192.168.1.10:5545 —— hostname 是本机网卡地址而不是
+ * 0.0.0.0，不放行的话用户会被自己的守卫 403 掉所有写操作。
+ * 安全性不因此受损：Origin 由浏览器生成、页面无法伪造，能带上本机 IP 的
+ * 只有从本机加载出去的页面（即 GUI 自己）；恶意域名 / DNS rebinding 的
+ * origin hostname 都不是本机地址，照样被拒。
+ */
+function collectLocalInterfaceHosts() {
+  const hosts = []
+  for (const infos of Object.values(os.networkInterfaces())) {
+    for (const info of infos || []) {
+      // IPv6 的 URL hostname 带方括号,且要去掉 zone id(%eth0 之类)
+      const addr = String(info.address || '').split('%')[0]
+      if (!addr) continue
+      hosts.push(info.family === 'IPv6' ? `[${addr}]` : addr)
+    }
+  }
+  return hosts
+}
+
+/** 从环境变量读取配置，构造判定函数（Socket.IO 与 HTTP 守卫共用） */
+export function createOriginCheckerFromEnv() {
+  const zenHosts = parseExtraOrigins(process.env.ZEN_HOST)
+  // 绑通配地址（0.0.0.0 / ::）等于放开所有网卡,本机各网卡地址要一并放行
+  const extraHosts = zenHosts.some((h) => WILDCARD_HOSTS.has(h))
+    ? [...zenHosts, ...collectLocalInterfaceHosts()]
+    : zenHosts
+
+  return createOriginChecker({
+    // 默认放行的完整 origin（后来的 hostname 匹配已覆盖大部分场景，保留只为兼容）
+    extraOrigins: [
+      'http://localhost',
+      'https://localhost',
+      'http://127.0.0.1',
+      'https://127.0.0.1',
+      'http://[::1]',
+      // ZEN_ALLOWED_ORIGINS: 逗号分隔的完整 origin,CI / 远程调试用
+      ...parseExtraOrigins(process.env.ZEN_ALLOWED_ORIGINS)
+    ],
+    // ZEN_HOST 放开监听时,对应来源要一并放行,否则局域网访问会被自己的守卫拦掉
+    extraHosts
+  })
+}
+
+/**
+ * Express 中间件：拒绝非本机来源的跨站请求。
+ */
+export function createOriginGuard() {
+  const isOriginAllowed = createOriginCheckerFromEnv()
+
+  return function originGuard(req, res, next) {
+    const origin = req.get('origin')
+    if (isOriginAllowed(origin)) return next()
+
+    logger.warn(`[origin-guard] 拒绝跨站请求: ${req.method} ${req.path} origin=${origin}`)
+    res.status(403).json({
+      success: false,
+      error: '跨站请求被拒绝（Origin 不在允许列表中）'
+    })
+  }
+}

package/src/ui/server/middleware/originGuard.test.js

@@ -0,0 +1,125 @@
+// Copyright 2026 xz333221
+//
+// Licensed under the Apache License, Version 2.0 (the "License");
+// you may not use this file except in compliance with the License.
+// You may obtain a copy of the License at
+//
+//     http://www.apache.org/licenses/LICENSE-2.0
+//
+// Unless required by applicable law or agreed to in writing, software
+// distributed under the License is distributed on an "AS IS" BASIS,
+// WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
+// See the License for the specific language governing permissions and
+// limitations under the License.
+//
+// originGuard.js 单元测试。
+//
+// 锁两条契约：
+//   1. 本机来源（localhost / 127.0.0.1 / [::1] 任意端口）必须放行 —— 否则开发期
+//      Vite dev server（端口与后端不同）会全站 403，是典型的自伤式加固。
+//   2. 外部来源必须拒绝 —— 服务无认证层，漏一个就是全权限。
+import { test } from 'node:test'
+import assert from 'node:assert/strict'
+import { createOriginChecker, createOriginCheckerFromEnv } from './originGuard.js'
+
+/** 跑一次中间件，返回 { allowed, status } */
+function runGuard(origin, envPatch = {}) {
+  const saved = {}
+  for (const [k, v] of Object.entries(envPatch)) {
+    saved[k] = process.env[k]
+    if (v === null) delete process.env[k]
+    else process.env[k] = v
+  }
+  try {
+    const isAllowed = createOriginCheckerFromEnv()(origin)
+    return { allowed: isAllowed }
+  } finally {
+    for (const [k, v] of Object.entries(saved)) {
+      if (v === undefined) delete process.env[k]
+      else process.env[k] = v
+    }
+  }
+}
+
+test('无 Origin 头放行(curl / CLI / 同源 GET 不该被拦)', () => {
+  assert.equal(runGuard(undefined).allowed, true)
+  assert.equal(runGuard('').allowed, true)
+})
+
+test('本机 hostname 的任意端口都放行(开发期前后端不同端口)', () => {
+  for (const ok of [
+    'http://localhost:5545',
+    'http://localhost:5544',
+    'http://127.0.0.1:5545',
+    'https://127.0.0.1:3000',
+    'http://[::1]:8080'
+  ]) {
+    assert.equal(runGuard(ok).allowed, true, `应放行 ${ok}`)
+  }
+})
+
+test('外部来源一律拒绝(挡跨站 fetch 与 DNS rebinding)', () => {
+  for (const bad of [
+    'http://evil.com',
+    'https://evil.com:5545',
+    'http://attacker.example',
+    'http://192.168.1.66:5545',   // 局域网其他主机
+    'http://localhost.evil.com'   // 看着像 localhost 实则是外部域名
+  ]) {
+    assert.equal(runGuard(bad).allowed, false, `应拒绝 ${bad}`)
+  }
+})
+
+test('file:// 场景的 null origin 放行', () => {
+  assert.equal(runGuard('null').allowed, true)
+})
+
+test('ZEN_ALLOWED_ORIGINS 可追加放行来源', () => {
+  assert.equal(
+    runGuard('https://zen.example.com', { ZEN_ALLOWED_ORIGINS: 'https://zen.example.com' }).allowed,
+    true
+  )
+  // 追加不影响默认拒绝行为
+  assert.equal(
+    runGuard('http://evil.com', { ZEN_ALLOWED_ORIGINS: 'https://zen.example.com' }).allowed,
+    false
+  )
+})
+
+test('ZEN_HOST 放开监听时,该 host 的来源要一并放行(否则用户被自己的守卫拦在门外)', () => {
+  assert.equal(runGuard('http://192.168.1.10:5545', { ZEN_HOST: '192.168.1.10' }).allowed, true)
+  // 未放开时,同一个来源仍然拒绝
+  assert.equal(runGuard('http://192.168.1.10:5545', { ZEN_HOST: null }).allowed, false)
+})
+
+test('ZEN_HOST=0.0.0.0 时本机各网卡 IP 的来源放行(跨设备访问 GUI 的场景)', async () => {
+  const os = await import('node:os')
+  // 取一个真实存在的本机非回环 IPv4 地址来构造 origin;没有则跳过
+  const lanIp = Object.values(os.networkInterfaces())
+    .flat()
+    .find((i) => i && i.family === 'IPv4' && !i.internal)?.address
+  if (!lanIp) return
+  assert.equal(runGuard(`http://${lanIp}:5545`, { ZEN_HOST: '0.0.0.0' }).allowed, true)
+  // 通配绑定也不等于任意来源放行:外部域名与别的 LAN IP 仍拒绝
+  assert.equal(runGuard('http://evil.com', { ZEN_HOST: '0.0.0.0' }).allowed, false)
+  assert.equal(runGuard('http://203.0.113.9:5545', { ZEN_HOST: '0.0.0.0' }).allowed, false)
+  // 未设 ZEN_HOST 时,同一个本机 IP 来源仍然拒绝
+  assert.equal(runGuard(`http://${lanIp}:5545`, { ZEN_HOST: null }).allowed, false)
+})
+
+test('createOriginChecker: extraOrigins / extraHosts 生效', () => {
+  const check = createOriginChecker({
+    extraOrigins: ['https://a.example.com'],
+    extraHosts: ['10.0.0.5']
+  })
+  assert.equal(check('https://a.example.com'), true)
+  assert.equal(check('http://10.0.0.5:1234'), true) // extraHosts 允许任意端口
+  assert.equal(check('http://b.example.com'), false)
+  assert.equal(check(undefined), true)
+})
+
+test('createOriginChecker: 无法解析的 origin 一律拒绝', () => {
+  const check = createOriginChecker()
+  assert.equal(check('not-a-url'), false)
+  assert.equal(check('::::'), false)
+})

package/src/ui/server/routes/fs.js

@@ -67,7 +67,10 @@ function validateChangeDirectoryPath(input) {
 // 把 absolute path 准备好传给 spawn/exec,内部不再做字符串拼接,
 // Windows 走 cmd /c start "" ... argv 模式;Linux 走 sh -c 但 argument 已被
 // shQuote.js 转义
+// 注意:历史上 /api/open_terminal 的 xterm 分支漏了转义,用的是 JSON.stringify
+// (双引号内 $() 仍会展开),已在下方改用 shQuote —— 这里的注释当时是不成立的。
 import { shQuote, psEscape } from '../utils/shellQuote.js';
+import { convertOfficeToPdf, isOfficeFile } from '../utils/officePreview.js';
 
 export function registerFsRoutes({
   app,
@@ -433,11 +436,13 @@ export function registerFsRoutes({
             break;
           case 'linux': {
             // Linux: 尝试使用常见的终端模拟器 - argv 数组模式
-            // xterm 路径用 bash -c 跑 cd(且 cd path 已经 JSON.stringify 转义)
+            // xterm 分支会把路径拼进 bash -c 的字符串,必须用 shQuote(单引号包裹,
+            // 单引号内 shell 不做任何展开)。原先这里用 JSON.stringify(双引号),
+            // 而 bash 在双引号内仍会展开 $(...) / `...` / ${...},等于没防住。
             const terminals = [
               { cmd: 'gnome-terminal', args: ['--working-directory', directoryPath] },
               { cmd: 'konsole', args: ['--workdir', directoryPath] },
-              { cmd: 'xterm', args: ['-e', 'bash', '-c', `cd ${JSON.stringify(directoryPath)} && exec $SHELL`] },
+              { cmd: 'xterm', args: ['-e', 'bash', '-c', `cd ${shQuote(directoryPath)} && exec $SHELL`] },
             ];
 
             // 用 spawn 探测命令存在(不走 shell)
@@ -659,6 +664,82 @@ export function registerFsRoutes({
     }
     }));
 
+  // ── Office 文件预览：工作区文件或 Git 版本统一转换为 PDF ───────────────
+  // 预览接口直接返回 PDF，前端可用 iframe/PDF.js 展示；不把 Office ZIP/XML
+  // 当作 UTF-8 文本读取，避免二进制损坏。Git revision 仅接受常见安全格式。
+  app.get('/api/office/preview', asyncRoute(async (req, res) => {
+    const filePath = String(req.query.file || '');
+    const source = String(req.query.source || 'worktree');
+    const rev = String(req.query.rev || '');
+    const side = String(req.query.side || 'new');
+    if (!filePath) throw new HttpError(400, '缺少 file 参数');
+    if (!['worktree', 'git'].includes(source)) throw new HttpError(400, '非法的 Office 预览来源');
+    if (!isOfficeFile(filePath)) throw new HttpError(415, '当前文件不是支持的 Office 类型');
+
+    const safe = await safePathInProject(filePath);
+    if (!safe) throw new HttpError(403, '禁止访问工作目录以外的文件');
+    const relPath = path.relative(getCurrentProjectPath() || process.cwd(), safe.safePath).replace(/\\/g, '/');
+    let buffer;
+    let cacheKey;
+    if (source === 'git') {
+      if (!/^[0-9a-f]{7,64}$/i.test(rev) || !['old', 'new'].includes(side)) {
+        throw new HttpError(400, '非法的 Git 版本参数');
+      }
+      const target = side === 'old' ? `${rev}^` : rev;
+      const spec = `${target}:${relPath}`;
+      const result = await execGitCommand(['show', spec], { encoding: 'buffer', log: false, maxBuffer: 60 * 1024 * 1024 });
+      buffer = Buffer.isBuffer(result.stdout) ? result.stdout : Buffer.from(result.stdout || '');
+      cacheKey = `git:${target}:${relPath}`;
+    } else {
+      const stat = await fs.stat(safe.safePath);
+      if (!stat.isFile()) throw new HttpError(400, '目标不是文件');
+      if (stat.size > 50 * 1024 * 1024) throw new HttpError(413, 'Office 文件过大（最大 50 MB）');
+      buffer = await fs.readFile(safe.safePath);
+      cacheKey = `worktree:${safe.safePath}:${stat.size}:${stat.mtimeMs}`;
+    }
+
+    const result = await convertOfficeToPdf({ buffer, filePath, cacheKey });
+    res.setHeader('Content-Type', result.contentType);
+    res.setHeader('Content-Disposition', `inline; filename="${path.basename(filePath)}.pdf"`);
+    res.setHeader('Cache-Control', 'no-store');
+    res.send(result.buffer);
+  }));
+
+  // ── Office 原始二进制：供 vue-office 在浏览器内解析 ─────────────────────
+  app.get('/api/office/raw', asyncRoute(async (req, res) => {
+    const filePath = String(req.query.file || '');
+    const source = String(req.query.source || 'worktree');
+    const rev = String(req.query.rev || '');
+    const side = String(req.query.side || 'new');
+    if (!filePath) throw new HttpError(400, '缺少 file 参数');
+    if (!['worktree', 'git'].includes(source)) throw new HttpError(400, '非法的 Office 文件来源');
+    if (!isOfficeFile(filePath)) throw new HttpError(415, '当前文件不是支持的 Office 类型');
+
+    const safe = await safePathInProject(filePath);
+    if (!safe) throw new HttpError(403, '禁止访问工作目录以外的文件');
+    let content;
+    if (source === 'git') {
+      if (!/^[0-9a-f]{7,64}$/i.test(rev) || !['old', 'new'].includes(side)) {
+        throw new HttpError(400, '非法的 Git 版本参数');
+      }
+      const target = side === 'old' ? `${rev}^` : rev;
+      const relPath = path.relative(getCurrentProjectPath() || process.cwd(), safe.safePath).replace(/\\/g, '/');
+      const result = await execGitCommand(['show', `${target}:${relPath}`], {
+        encoding: 'buffer', log: false, maxBuffer: 60 * 1024 * 1024,
+      });
+      content = Buffer.isBuffer(result.stdout) ? result.stdout : Buffer.from(result.stdout || '');
+    } else {
+      const stat = await fs.stat(safe.safePath);
+      if (!stat.isFile()) throw new HttpError(400, '目标不是文件');
+      if (stat.size > 50 * 1024 * 1024) throw new HttpError(413, 'Office 文件过大（最大 50 MB）');
+      content = await fs.readFile(safe.safePath);
+    }
+    res.setHeader('Content-Type', 'application/octet-stream');
+    res.setHeader('Content-Length', content.length);
+    res.setHeader('Cache-Control', 'no-store');
+    res.send(content);
+  }));
+
   // ── 编辑器：写入文件内容 ────────────────────────────────────────
   app.put('/api/editor/file', express.json(), async (req, res) => {
     try {
@@ -849,4 +930,3 @@ export function registerFsRoutes({
     }
   });
 }
-

package/src/ui/server/routes/git/diff.js

@@ -16,6 +16,7 @@ import fs from 'fs/promises';
 import path from 'path';
 import logger from '../../utils/logger.js'
 import { asyncRoute, HttpError } from '../../utils/asyncRoute.js';
+import { assertGitHash, assertGitPath } from '../../utils/gitArgs.js';
 
 import { createDiffHelpers } from './diffUtils.js';
 
@@ -210,14 +211,21 @@ export function registerGitDiffRoutes({
           });
         }
 
-        const r = String(rev);
+        // rev 的合法取值:':'(工作区) / 'HEAD' / commit hash —— 前端就这么传的
+        // (GitStatus.vue 的类型标注是 'HEAD' | ':')。它拼进 spec 后落在 git 的参数位,
+        // 以 - 开头会被当选项(git show 有 --output=,能写任意文件),所以白名单之外
+        // 只放行十六进制 hash。
+        const r = String(rev ?? '').trim();
+        const ALLOWED_SPECIAL_REVS = new Set([':', 'HEAD']);
+        const safeRev = ALLOWED_SPECIAL_REVS.has(r) ? r : assertGitHash(r, 'rev');
         // git show/cat-file 的 rev:path 语法要求 path 必须是相对于仓库根的路径,
         // 不接受绝对路径（safeFilePath 是绝对路径,直接拼 spec 会导致 git show 报
         // "path exists on disk, but not in 'HEAD'" → 前端拿到 notFound:true）。
         // 这里用 toGitRepoRelativePath 转成仓库根相对路径,并把 Windows 反斜杠
         // 替换为正斜杠（git 内部统一用 /）。
-        const relPath = toGitRepoRelativePath(safeFilePath);
-        const spec = r === ':' ? `:${relPath}` : `${r}:${relPath}`;
+        // 转换结果仍要过一次路径校验:挡 .. 上跳与选项形态的输入。
+        const safeRelPath = assertGitPath(toGitRepoRelativePath(safeFilePath), '文件路径');
+        const spec = safeRev === ':' ? `:${safeRelPath}` : `${safeRev}:${safeRelPath}`;
 
         let sizeBytes = 0;
         try {
@@ -239,7 +247,7 @@ export function registerGitDiffRoutes({
         const { stdout } = await execGitCommand(['show', spec], { log: false });
         return res.json({ success: true, content: stdout ?? '' });
       } catch (error) {
-        res.status(500).json({ success: false, error: error.message });
+        res.status(error?.statusCode || 500).json({ success: false, error: error.message });
       }
     }));