apes-sidebar

336 Commits 6 Branches 43 Tags

2 Commits

Include renames

Author	SHA1	Message	Date
Menghuan1918	c0aeefc936	fix: 回应审查保留意见 — 测试钉住跨站分支、删死接口、修正注释措辞 - tests/trusted-hosts.spec.ts：用例 4 改为受信 origin + cross-site marker 以隔离拒绝分支（原同时踩 marker 与 origin 两条路径，删除 marker 检查测试依旧通过——变异验证现仅该用例失败）；接受侧断言从 not.toBe(403) 收紧为 toBe(200)，请求体补 sessionId（session.cwd 的真实契约） - src/context-types.ts：删除已无引用的 SidebarLoader/SidebarLoaderEntry 死接口（loader 成员移除后残留） - src/index.ts：修正 "same list / 无需重启" 过承诺注释，改为与 /api 网关同源的准确表述（boot 采样快照 + --trusted-host 权威，读 live 服务值）	2026-08-14 23:03:26 +08:00
Rookie_Zoe	ea250c9e87	fix: /sidebar 信任栅栏改用 webRuntime.trustedHosts，修复远程访问全部 403 根因：trustedHostsOf 按 entry.options.name === 'connection' 查找 connection 行，但该行 name 是模块标识符（@deepseek-ai/dsh-client-connection，id 才是 connection），查找永远落空 → trustedHosts 为空 → 栅栏只放行回环 Host → 通过域名或局域网 IP 访问时 /sidebar/bundle chunk 加载失败、资源管理器/代码管理器全部 403 forbidden（/api 不受影响，它读的是 apply 时已求值的配置）。修复（按 review 建议）：host half 直接注入 webRuntime 服务，栅栏每请求实时读取 ctx.webRuntime.trustedHosts —— 与 /api 网关同一信任列表（启动时采样的 LAN IP 字面量 + --trusted-host 权威），不再依赖 Loader entry / fiber / !!js 节点求值；自定义信任域名由 dsh web --trusted-host 提供。新增 tests/trusted-hosts.spec.ts 回归：域名/局域网放行、空列表仅回环、跨站标记拒绝、每请求实时读取；plugin-shape 断言同步更新。	2026-08-14 23:03:26 +08:00

Author

SHA1

Message

Date

Menghuan1918

c0aeefc936

fix: 回应审查保留意见 — 测试钉住跨站分支、删死接口、修正注释措辞

- tests/trusted-hosts.spec.ts：用例 4 改为受信 origin + cross-site marker
  以隔离拒绝分支（原同时踩 marker 与 origin 两条路径，删除 marker 检查
  测试依旧通过——变异验证现仅该用例失败）；接受侧断言从 not.toBe(403)
  收紧为 toBe(200)，请求体补 sessionId（session.cwd 的真实契约）
- src/context-types.ts：删除已无引用的 SidebarLoader/SidebarLoaderEntry
  死接口（loader 成员移除后残留）
- src/index.ts：修正 "same list / 无需重启" 过承诺注释，改为与 /api 网关
  同源的准确表述（boot 采样快照 + --trusted-host 权威，读 live 服务值）

2026-08-14 23:03:26 +08:00

Rookie_Zoe

ea250c9e87

fix: /sidebar 信任栅栏改用 webRuntime.trustedHosts，修复远程访问全部 403

根因：trustedHostsOf 按 entry.options.name === 'connection' 查找 connection
行，但该行 name 是模块标识符（@deepseek-ai/dsh-client-connection，id 才是
connection），查找永远落空 → trustedHosts 为空 → 栅栏只放行回环 Host → 通过
域名或局域网 IP 访问时 /sidebar/bundle chunk 加载失败、资源管理器/代码管理器
全部 403 forbidden（/api 不受影响，它读的是 apply 时已求值的配置）。

修复（按 review 建议）：host half 直接注入 webRuntime 服务，栅栏每请求实时
读取 ctx.webRuntime.trustedHosts —— 与 /api 网关同一信任列表（启动时采样的
LAN IP 字面量 + --trusted-host 权威），不再依赖 Loader entry / fiber /
!!js 节点求值；自定义信任域名由 dsh web --trusted-host 提供。

新增 tests/trusted-hosts.spec.ts 回归：域名/局域网放行、空列表仅回环、
跨站标记拒绝、每请求实时读取；plugin-shape 断言同步更新。

2026-08-14 23:03:26 +08:00