|
|
d94717aa95
|
test(ele): ★★ preload 加载闸门 —— 一句类型标注能静默废掉整条桥
## 为什么要这条（一个当场踩到、且 tsc 抓不到的坑）
上一个提交给 `preload.cjs` 加窗口动作时，第一版写了 TS 类型标注：
onMaximizedChanged: (cb: (maximized: boolean) => void) => { // ← .cjs 里不能有
`preload.cjs` 是纯 JS，整个文件**静默**加载失败。症状链：
hasBridge: false hasWin: false base: "/api/v1" tok: <null> store.n: 0
text: "用户名 | 密码 | 登录"
· 账号读不到 ⇒ 回退到**网页版**登录分支（用户名+密码，桌面壳里注定失败）
· 标题栏不渲染 ⇒ 自绘窗口那条顶栏整个消失
★ 而 `npm run typecheck`（`tsc --noEmit`）**不检查 .cjs**，一路全绿。
我当时就是靠它判断「没问题」的 —— 它证明不了这件事。
## 为什么这条判据要「真的加载」而不是读文件看字符串
失效形状是「**静默少给一整条桥**」：不抛错、不警告，症状出现在**别处**
（看起来像「功能没做」而不是「代码坏了」）。
与 `93697c4`（stripComments 两趟正则吃掉 137 行真代码）同一族，但更狠 ——
那条至少还会让某条判据红；这条让**所有**判据都无从察觉
（大家都不读 preload，自然没人会发现它没加载）。
⇒ 所以闸门是 `new Module(...)._compile(code(PRELOAD), PRELOAD)`，
真的解析并执行到底（stub 掉 `electron` 模块）。
不是 `node -c`、不是正则、不是 `require`。
**变异验证**：把类型标注加回去 ⇒
失败 ★ preload.cjs 能真的加载 — 实际错误：Unexpected token ':'
主进程安全防线：18 通过，1 失败
★ 且验证了它在 `code()` 剥掉注释后**仍然有效**（剥注释会改行号，
但这条判的是「能不能解析执行」，不依赖行号）。
## 另 4 条（都属自绘窗口这一批）
* preload 不得暴露任意 IPC 透传（只有具名动作）
* 窗口三个动作都过了窄接口（`frame:false` 之后没有系统标题栏兵底）
* 最大化状态是订阅来的（`pushMaxState`：`maximize`/`unmaximize`/进退全屏）
* `frame: false` 与 `titleBarStyle: 'hidden'` 同时在
## 自报条数 14 → 19
`run-all.mjs` 的显式编辑（§6.6）。**这条是套件自己抓到的**，
不是我改的 —— 判据报「自报 19 条 > 登记的 14 条，新加的那几条不在
"被删会红"的保护内」。
## 顺带修一条自己的判据缺陷
新写的闸门一开始用了裸 `readFileSync` 读 preload，被
`criteria-hygiene` 抓（「判据目录里不得出现裸 readFileSync」）。
改成 `code()` —— 判「有没有这个符号」时要的是代码，裸读原文会被
解释性注释骗（同坑本仓踩过两次，其中一次就是这条判据自己）。
## 两份 GUI 复查报告一并存档
`docs/reviews/gui-review-2026-10-03.md`（基线 `5e312c6`，848 行）
`docs/reviews/gui-fixes-review-2026-10-03.md`（基线 `b4610f1`，575 行）
★ 第二份里**否证了上游报告两条**，避免下一任白做工：
① 鸿蒙日历「格/行时间基准不一致」是**误报** —— 5 个时区实测
`hhmmAtOffset(ts, deviceOffsetMinutes)` 恒等于 `getHours()`；
② `MailStore.bump()` 不发布 AppStorage 是**设计**（混用会死循环），
`harmony-state-review.md` #3 是误读。
★ 另外查出一条比那批修复更要紧的事：HarmonyOS 客户端**当前编译不过**
（`Theme.hairline` 从未定义，48 个提交前就坏了），而修复提交的信息写着
「BUILD SUCCESSFUL」—— 路径在本机不存在。已用 `git worktree` 对照旧基线
证明**不是这批提交引入的**。已在报告 §2/§5.2 记明并给了修法选项，
**未动业务代码**（等决策）。
## 本机实测读数（装依赖 + 补齐 4 个环境变量后）
RESULT files=39 ran=39 checks=635 pass=623 fail=2 skip=10 red=5
broken=0 unreported=0
变异通道 mutants=52 ran=52 on_new_criteria=37
npx vitest run → Test Files 16 passed / Tests 271 passed
npm run typecheck → 通过
剩 5 个红**全是环境**，不是缺陷：
· `build-stamp` —— 本机没 `npm run build` 时的产物
· `harmony-push` —— `agconnect-services.json` 不存在（该欠账的 `due` 就是"拿到真机"）
· `--exitcode-selftest` + 因果对照 + `summary.py baseline-residue`
—— 三者**同一个根因**：本会话 uid=1000 非 root，`runuser`/`setpriv`
都无法降权（实测 `runuser -u nobody` 报"非 root 用户不能使用"）
⇒ `run-all.mjs:1043` 的 `dropTo` 探测返回 null ⇒ 那 6 个需要降权的
变异案例被跳过并计红，连带 baseline 残留检测一起失效。
★ 那条报错文案写着「优先按变异残留查」会**把人引向查工作区**，
而底本在 `mkdtempSync` 造的 /tmp 迷你仓库里、与工作区无关
—— 已在报告 §4.3 记下，建议文案补一句先看 selftest 是否先红了。
|
2026-10-04 11:08:57 +08:00 |
|
|
|
4a01297dfe
|
fix(安全)★★: 主进程零导航拦截 —— 加 will-navigate / 新窗口拒绝 + 单实例锁
**主进程此前没有任何守卫**（实测 grep 0 命中：setWindowOpenHandler、
will-navigate、requestSingleInstanceLock 全无）。
在 `loadFile(dist/index.html)` 下，邮件正文里的链接（react-markdown 会渲染
`<a href>`）点下去会**在应用窗口里导航走** —— 一个 `href="https://…"` 就足以
把整个应用窗口变成浏览器，而窗口标题与 preload 注入的 API base/token
全部暴露在那个站点上。
★ **本条防的不是 XSS**：`markdown-xss` 守的是渲染层（无 rehype-raw、
defaultUrlTransform 中和 javascript:），**目前没有 XSS 面**。
这里防的是**导航逃逸** —— 让外部站点**借用**这个窗口与 preload 上下文。
两者失效方式不同，所以分开钉。
**① setWindowOpenHandler** ⇒ 一律 `deny`，地址交系统浏览器。
`allow` 会给那个站点一个**带 preload 的窗口**。
**② will-navigate** ⇒ 拦下并 preventDefault。
★ 但必须**放行本应用自己的加载**（prod 的 `file://` / dev 的 `DEV_URL`）
—— 只会 preventDefault 的实现会把应用自己锁死，首屏进不去。
这是「过严的守卫同样是缺陷」，判据专门为它加了一格。
**③ 外跳只放行 http/https**：file: / javascript: / 自定义协议交给
`shell.openExternal` 意图不可控；`new URL()` 对畸形输入会抛，必须 catch。
**④ requestSingleInstanceLock**：双击图标此前会起**两个进程** ——
两条 SSE 连接、两套 `accounts.json` 并发写入（那个文件是 tmp+rename 原子写，
并发即「后写的赢」），而用户以为只有一扇窗。
**同时修的两处双提交**（形状与 ④ 同源，都是「busy/state 要到提交后才为真」）：
· PermissionPanel.submit：审批是本工程**唯一带副作用且不可撤销**的动作
⇒ 同帧两次激活会发出**两条** decidePermission（服务端记两次账）。
照同文件 ForwardBar 的 `inFlight` 形状改。
· Attachments.handleFiles：`uploading` 只加在按钮的 disabled 上，
`<input type=file>` 本身无闸门 ⇒ 上传期间重入会拿到**上一次的 items 闭包**
⇒ onChange 把上一次结果整批覆盖，表现为「附件少了」且**无任何提示**。
★ 清 `input.value` 必须与闸门**成对**提前：只提前清而不加闸门，
会亲手制造「上传中重选同一文件 ⇒ value 已空 ⇒ change 照触发 ⇒ 二次上传」。
**判据（新建 main-process-security.test.mjs，14 格，已接线）**
按括号配对取函数体/实参，**不用** `\{[\s\S]{0,80}` 窗口（§1 第三次露头）。
变异测试 **10 个全部抓住**：去掉 deny / 去掉 preventDefault / 守卫写死不放行自己 /
放开所有 scheme / 拿不到锁不退出 / sandbox:false / contextIsolation:false /
second-instance 删 show() / 删整个 if / 删 restore()。
★ PermissionPanel 那条新判据第一版是**假绿**：`fireEvent.click` 连发两次
（不在 act 里）**删掉闸门也照样绿** —— 两次 fireEvent 之间 React 提交了一次，
第二次点到的是已 disabled 的按钮。必须放进**同一个 act**（同批次、不提交）
才复现。`userEvent.click` 每次都 await 一轮 ⇒ 它测不到同帧。
这条已写进判据注释，免得下一个人再写一次。
**边界 / 未做**
· 这些是**静态**断言，证明守卫被写下来了，**不证明运行时生效**（那要真起窗口点链接）。
· 没有把 webPreferences 的值当"够不够安全"来评审 —— 那属于安全评审，不属可机检；
本条只钉「不许被放松」。
· X-2（index.html 无 CSP）没做：首帧防闪屏那段内联脚本要求 'unsafe-inline'，
加 CSP 是在**降低**强度的前提下加一层，值得单独一轮 + 真机验闪屏，不夹在本次。
|
2026-10-03 11:33:51 +08:00 |
|
