JianFeeeee
4a01297dfe
fix(安全)★★: 主进程零导航拦截 —— 加 will-navigate / 新窗口拒绝 + 单实例锁
**主进程此前没有任何守卫**（实测 grep 0 命中：setWindowOpenHandler、
will-navigate、requestSingleInstanceLock 全无）。
在 `loadFile(dist/index.html)` 下，邮件正文里的链接（react-markdown 会渲染
`<a href>`）点下去会**在应用窗口里导航走** —— 一个 `href="https://…"` 就足以
把整个应用窗口变成浏览器，而窗口标题与 preload 注入的 API base/token
全部暴露在那个站点上。
★ **本条防的不是 XSS**：`markdown-xss` 守的是渲染层（无 rehype-raw、
defaultUrlTransform 中和 javascript:），**目前没有 XSS 面**。
这里防的是**导航逃逸** —— 让外部站点**借用**这个窗口与 preload 上下文。
两者失效方式不同，所以分开钉。
**① setWindowOpenHandler** ⇒ 一律 `deny`，地址交系统浏览器。
`allow` 会给那个站点一个**带 preload 的窗口**。
**② will-navigate** ⇒ 拦下并 preventDefault。
★ 但必须**放行本应用自己的加载**（prod 的 `file://` / dev 的 `DEV_URL`）
—— 只会 preventDefault 的实现会把应用自己锁死，首屏进不去。
这是「过严的守卫同样是缺陷」，判据专门为它加了一格。
**③ 外跳只放行 http/https**：file: / javascript: / 自定义协议交给
`shell.openExternal` 意图不可控；`new URL()` 对畸形输入会抛，必须 catch。
**④ requestSingleInstanceLock**：双击图标此前会起**两个进程** ——
两条 SSE 连接、两套 `accounts.json` 并发写入（那个文件是 tmp+rename 原子写，
并发即「后写的赢」），而用户以为只有一扇窗。
**同时修的两处双提交**（形状与 ④ 同源，都是「busy/state 要到提交后才为真」）：
· PermissionPanel.submit：审批是本工程**唯一带副作用且不可撤销**的动作
⇒ 同帧两次激活会发出**两条** decidePermission（服务端记两次账）。
照同文件 ForwardBar 的 `inFlight` 形状改。
· Attachments.handleFiles：`uploading` 只加在按钮的 disabled 上，
`<input type=file>` 本身无闸门 ⇒ 上传期间重入会拿到**上一次的 items 闭包**
⇒ onChange 把上一次结果整批覆盖，表现为「附件少了」且**无任何提示**。
★ 清 `input.value` 必须与闸门**成对**提前：只提前清而不加闸门，
会亲手制造「上传中重选同一文件 ⇒ value 已空 ⇒ change 照触发 ⇒ 二次上传」。
**判据（新建 main-process-security.test.mjs，14 格，已接线）**
按括号配对取函数体/实参，**不用** `\{[\s\S]{0,80}` 窗口（§1 第三次露头）。
变异测试 **10 个全部抓住**：去掉 deny / 去掉 preventDefault / 守卫写死不放行自己 /
放开所有 scheme / 拿不到锁不退出 / sandbox:false / contextIsolation:false /
second-instance 删 show() / 删整个 if / 删 restore()。
★ PermissionPanel 那条新判据第一版是**假绿**：`fireEvent.click` 连发两次
（不在 act 里）**删掉闸门也照样绿** —— 两次 fireEvent 之间 React 提交了一次，
第二次点到的是已 disabled 的按钮。必须放进**同一个 act**（同批次、不提交）
才复现。`userEvent.click` 每次都 await 一轮 ⇒ 它测不到同帧。
这条已写进判据注释，免得下一个人再写一次。
**边界 / 未做**
· 这些是**静态**断言，证明守卫被写下来了，**不证明运行时生效**（那要真起窗口点链接）。
· 没有把 webPreferences 的值当"够不够安全"来评审 —— 那属于安全评审，不属可机检；
本条只钉「不许被放松」。
· X-2（index.html 无 CSP）没做：首帧防闪屏那段内联脚本要求 'unsafe-inline'，
加 CSP 是在**降低**强度的前提下加一层，值得单独一轮 + 真机验闪屏，不夹在本次。
2026-10-03 11:33:51 +08:00
..
2026-09-13 06:16:59 +08:00
2026-09-08 19:16:35 +08:00
2026-09-14 15:41:52 +08:00
2026-09-08 19:16:35 +08:00
2026-09-08 19:16:35 +08:00
2026-09-13 06:16:59 +08:00
2026-09-08 19:16:35 +08:00
2026-09-08 19:16:35 +08:00
2026-09-11 12:04:06 +08:00
2026-09-13 10:39:26 +08:00
2026-10-03 11:33:51 +08:00
2026-09-08 19:16:35 +08:00
2026-09-08 19:16:35 +08:00
2026-09-14 13:12:36 +08:00