AskaEth/MeowOS-For-R3P2
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
417 Commits 1 Branch 0 Tags
cf5703b32bd5669b8275ae1882e385213bc22fda
Commit Graph
7 Commits
Author SHA1 Message Date
AskaEth cf5703b32b fix(nyai): M35 评审 r1 — 闭合 exFAT 大小写绕过（P1）+ 修 fmt_utc 1/2 月 + 成员名/炸弹纵深 
P1（信任边界）：is_system_pkg() 原用 strncmp，而落盘目录在 exFAT（名字比较
不区分大小写）。包内 app.json 写 "OS.MEOW.READER" 时 valid_pkg 放行、
is_system_pkg 返回 0 → 当第三方无签放行 → dst 解析到已装的
MeowAPPs/os.meow.reader → 备份后部署假包并删掉真系统 App（无需私钥）。
三层封堵：
  1) is_system_pkg 改 strncasecmp（前缀判定不再受大小写影响）；
  2) valid_pkg 收紧为只收 [a-z0-9._-]，并拒绝前导/尾随 '.'（现网包名全小写，
     无兼容代价；tail-dot 同时挡 exFAT/Windows 名字映射怪癖）；
  3) 部署前 readdir 检查 MeowAPPs 里是否有与 pkg 仅大小写不同的已装目录
     （有则拒装并报两个名字）；部署后再用 readdir 复核 on-disk 名字与清单包名
     逐字节相等，不等则回滚，杜绝「身份不明的 App 目录」。

P2-1：fmt_utc() 的 March-based 月份换算写成 +9（应为 -9），1/2 月会打成
20251901/20251931 且年份不 +1。修正为 int 运算；新增 test_fmt_utc.c
（直接 include nyai.c 测 static 函数）覆盖 epoch/负数、1/1、2/1、2/28、闰年
2/29（2024 与 2000）、3/1、12/31 23:59:59、2038-01-01、int32 上界、2100 非闰。

纵深防御（评审残留风险，一并做）：
- tar 成员名净化不再依赖外部 tar：mpk_check_members 解析 tar -tv 的名字，
  拒绝绝对路径 / 含 '..' 组件 / 首字符 '-' / 原始控制字符；解包后 stg_tree_ok
  再用 readdir 的真实名字复核控制字符（tar 列名会把控制字符转义成可见文本，
  原检查会漏）。
- 解压炸弹：累加 tar -tv 的体积，超过 512MB 上限拒装，并加 statvfs
  「剩余空间 ≥ 体积 + 16MB」门禁（解包先于验签，恶意包可在验签前写满卡）。
- 顺手改掉 appmeta.package 注释里「== 文件名茎」的旧语义。

回归：test_nyai.sh 49 → 70 条断言全过（新增：fmt_utc 13 例、大写包名绕过顶替
已装系统包被拒且原 App 未变、尾点包名、与已装目录仅大小写不同、绝对路径/
../ / 首字符 '-' 成员名、控制字符成员名、700MB 解压炸弹），
`-Wall -Wextra` 零告警，二进制可重复构建。

交付：nyai 153,844 B / md5 ef7940ecf5ece993d718ac1d9019cc82（旧 4524ce6b…）。
真机 10.58.215.50 仍不可登录（22 端口 TCP 可连、15-50s 无 banner），本轮
**未做真机复核**，仅宿主验证。
 2026-11-10 21:42:37 +08:00
AskaEth 829d4475e8 feat(nyai): M35 包身份以已签名 app.json 清单为准 + 暂存迁到 SD 并必清理 
包名/版本/依赖不再从 .mpk 文件名推导（用户定案：不对安装包文件名强依赖，
一切信息从清单取），改为解包后读 app.json.package 作唯一权威：
  - 落地目录 MeowAPPs/<pkg>、meow_verify --package <pkg>、防降级基准全用清单包名；
  - 新增 footer.package == app.json.package 一致性检查，不一致拒装并同时报两个名字；
  - valid_pkg 拒绝 "." / ".."（此前 MeowAPPs/.. 可越出安装目录并被 rm_rf）；
  - index 的 Package 字段同样取自清单（缺 package 的包跳过并告警）；
  - scan/export 同步；--help 与错误文案去掉「需要 <pkg>.mpk」。

暂存：MeowAPPs/.stg_<pid>_<pkg>（/usr/data NAND，仅剩 4MB）
  → <MeowROOT>/MeowOS/tmp/pkgs/<pkg>-<UTC时间戳>-<pid>-<n>/（真机即 SD 卡）：
  - mkdir 原子占位 + 失败重试 + pid/序号保证唯一，时间戳只给人看；
  - SD 未挂载/不可写直接拒装（不回退 /usr/data：目标本就在 SD，且跨 fs rename 会 EXDEV）；
  - 解包前后各一道防护：tar -tv 只允许普通文件/目录（拒符号链接/硬链接/设备/FIFO），
    解包后复核暂存树（非普通文件、nlink>1 一律拒）；
  - 中央化 cleanup + SIGINT/SIGTERM/SIGHUP handler（先收子进程组再清）+ atexit 兜底，
    成功/验签失败/清单非法/降级/解压失败/被中断全部删除暂存目录。

真机 time() 受 zig 0.17 mipsel time64 ABI 缺陷影响返回垃圾（实测 3381223399391169494、
localtime_r=NULL），故时间戳直取内核 o32 time32（syscall 4263）并自行换算 UTC，
不依赖 libc time()/localtime_r()。

upgrade 复用 install 同一实现（清单包名必须等于目标包名、目标必须已装）。

新增 host 回归 patch_v2/meowpkg/test_nyai.sh（49 断言：改名包/真实 0.1.7 反例/
footer≠清单/os.meow 无签名/第三方无签名/恶意包名/解压失败/SIGTERM/索引路径/upgrade）。

真机验证（固件 0.8.48，二进制只放 MeowOS/tmp，未覆盖 /usr/bin/nyai）：
os.meow.reader-0.1.4.bak.mpk 现在「签名校验通过 (package=os.meow.reader)」后才被
降级门禁拒绝（旧版此处是包名不符）；weird-name.bin 装成 dev.m35.probe；SIGTERM
中断后暂存目录为空；Music=199164544、/usr/bin/nyai md5 a7d24553… 均未变。
 2026-11-10 21:42:37 +08:00
MeowOS ed2ae10320 app.json 二进制依赖 depends：启动前检查（launcher）+ 安装提示（nyai） 
需求（用户定案）：App 复杂功能若依赖现成 Linux 二进制（板载 /usr/bin 或卡上
MeowOS/opt/bin）能效更好，声明后系统启动 App 前检查依赖是否存在。

- depends 行式声明：depends=curl,jq:optional,ffmpeg:required（无标注默认
  required；也接受 :opt/:req；未知修饰符按 required 处理并 WARN；空项/超量丢弃）
- launch_app_chain 冷启动时按序查 /usr/bin/<name> 与 <卡>/MeowOS/opt/bin/<name>
  （X_OK，两类命中即满足）；缺 required → 不启动（toast「缺依赖: <name>」+ 日志，
  沿用 CANNOT START 风格）；optional 缺失 → 仅 WARN 放行；只在启动时查，不做周期复查
- nyai install 对包内 app.json depends 同查并提示（不阻断安装，缺 required 标注
  「安装后启动将失败」）
- 新增 meow_dep.c（独立 TU，解析/检查/块原因），宿主测试 test_depends.c
  解析矩阵 12 用例 + 假根检查路径 12 用例全 PASS；launcher/nyai mipsel 交叉
  -Wall -Wextra 0 warning；launcher 现有宿主测试回归全过
- 文档：APPS.md §2.1 字段表 + docs/MEOWOS_SPEC_REF.md §5.5 同步；hello app.json
  加 depends:curl:optional 示例

launcher md5 899ac22c10f596909d7f35ea685744de（fw_content.conf 已更新；/usr/bin
只读，留给主会话打包固件）
 2026-09-01 18:28:07 +08:00
MeowOS 5fac5e380d fix(nyai): 导出 exec 绝对路径相对化 + gzip stderr 重定向 (agent-签名产签链路) 
- cmd_export 原先对 app.json 的 exec(绝对路径,如 /usr/data/mnt/sd_0/MeowAPPs/<pkg>/<bin>)
  误用 sanitize_member 剥前导 '/' 拼到包目录下,导致 access(<src>/usr/data/...) 必然失败,
  所有真实 app 导出被拒(exec 文件不存在或不可执行),卡死「导出→产签」链路。
  新增 exec_rel_to_pkg(): 按 ①src/ 前缀 ②/MeowAPPs/<pkg>/ 段(根路径不一致的沙箱/CI)
  ③相对路径 ④绝对但定位不到包目录→拒, 正确相对化 exec。
- install/upgrade 解包命令把 2>/dev/null 只绑到 tar,gzip stderr(footer trailing garbage /
  损坏 crc error)会漏到用户输出;改 gzip 也重定向。
- 同链验证: 宿主 meow_sign/meow_verify_host/qemu-mipsel 验签矩阵通过; 真机(10.78.193.50)
  无签 os.meow.*拒装/已签安装OK+.mpk.src/篡改拒装/降级拒装 全过; 装后已卸并恢复原状。
  (devdocs 本地不入库; 产签实走记录+README 见 patch_v2/meow_sign/README.md §8)
 2026-08-31 19:30:32 +08:00
MeowOS 60072a08f1 feat(pkg): version_code 安卓式版本规则落地 (agent-190, 用户定案 APPS §3.8) — app.json 增 version_code(纯数字唯一比较依据), version 仅显示; nyai install/upgrade/list-upgradable/index 全走 code 比较(缺 code 拒装); launcher meow_pkg_install 同步门禁; 旧点分比较函数移除 
nyai f2938d28→4cf5f690; launcher 24c9ee5d→ab8e610f; 宿主 9 场景全过(升/同版/降级拒/缺code拒/index/upgrade一致)
出入: 全新安装缺 code 放行(门禁仅 replacing 分支); export 保留签名的版本比对仍用显示版字符串(nyai+launcher 一致,待后续统一)
 2026-08-31 04:56:24 +08:00
MeowOS 3f57d7fd4f feat(sec): 二期签名鉴权 2A 最小闭环 (agent-185) — meow_verify(Ed25519验签CLI,公钥固化,TweetNaCl+SHA256单文件) + meow_sign(宿主keygen/sign,尾部180B footer签名块,私钥仅.keys/不入库) + nyai/meow_pkg_install 验签分级(有签必验/os.meow.*无签拒装/第三方直装告警/三重绑定/原签存.mpk.src导出保留) + svc_power IPC鉴权(SO_PEERCRED→/proc/pid/exe→包名/系统身份allowlist,系统动作仅os.meow.*或系统身份) + cmd_upgrade同步签名分级防绕过 
meow_verify 37e50606; nyai f2938d28; svc_power e0494eb7; launcher 24c9ee5d(含热重载)
宿主验证12项全过(正例/篡负载/篡包名/无签系统包拒/第三方直装/降级拒/导出round-trip byte-identical/verify缺失宁缺勿装/footer容忍/E2E PERM/鉴权分类)
出入: TweetNaCl替orlp/ed25519(任务允许同等实现); 读级暂仍uid==0(用户随后定案放宽到任意调用者,待改); 系统身份allowlist为启发式
 2026-08-31 04:33:46 +08:00
MeowOS 7a1c78c5de feat(nyai): 更新规范+导出过滤 — 防降级安装(version点分比较,新版<已装拒装/缺失拒装,先解 staging 再替换) + 导出两层模式(黑名单 find+tar -T 排除 *.pre_*/.bak_*/logs//*.log/.DS_Store 且去 ./ 前缀 / 白名单 export_files 逐项安全校验) + 导出体检(app.json合法+exec存在可执行) + install/upgrade 成功后自清 .bak_<pid> + os.meow.* 签名提示与 2A 验签挂点注释 (agent-180) 
nyai e5514929→新值见 fw_content.conf; 宿主 17/17 场景全过(首装/升/同版/降级拒/无版本拒/黑白名单/体检/round-trip); cmd_upgrade 同步加防降级门禁(堵绕过)
出入: 版本严格解析(1.2.3-beta 判不可比拒装, 与定案一致); busybox tar --exclude 未真机验证→用 find|tar -T 兜底
 2026-08-31 03:54:38 +08:00