fix(download): M295 r1 —— 代理口令脱敏、回落可见、socks5 与错因有话说
复审 r1（p2-2items / fix-then-merge）两条 p2 都是本轮新开的「用户被骗」面，三条 p3 一并收。 p2-1（凭据泄漏面）：`proxy_url` 允许 userinfo，而这个键在本仓就是凭据（schema 是 `AiPolicy::sensitive()`、`config get` 打 `<redacted>`、`config_secret_test.rs` 专门守它）。第一版把 manual 的原串整条写进 `summary()`（→ CLI stderr → CI 日志 / 截图）与解析失败文案，**不需要用户犯错**。 - `redact_proxy_url` 是唯一实现：`user:password@` → `user:***@`（用户名保留、口令打掉；只有用户名 没有口令 ⇒ 原样；路径/查询里的 `@` `:` 一律不碰，也不做任何 URL 归一）。 - 四个出口全过它：`describe()`（`summary()`/stderr）、`apply()` 的错误文案（`proxy_problem()`/ GUI 提示）、手写的 `Debug`（配置与引擎被打进日志时）、`problem()`。 - 刻意例外（写进 docs §5.3）：设置页那个输入框仍显示文件原值——它是编辑面，回填掩码会在用户点 「应用」时把真口令冲掉。 p2-2（GUI 对「非法地址 ⇒ 回落直连」完全静默）：`proxy_problem()` 的消费者只有 CLI。 - `ProxySetting::problem()` 是新增的**纯判定**（与 `apply` 共用 `manual_proxy`）：宿主用它给提示， 不必造 client。两个宿主都调它，优先级写清：GUI 常驻（设置页「HTTP 代理」行第二段 `\n已回落到直连：<原因>`）、CLI 每次装配引擎一行 stderr。 - 取舍写进 docs §5.3：回落直连（而不是拒绝下载）不挡用户，代价是「以为走代理」，所以回落**必须** 可见；fail-closed 是产品决定，不在本轮。 p3-1：`socks5://` 在 `Proxy::all` 里返回 `Ok`，但本构建没开 socks feature ⇒ 以前静默变成「所有候选 源都失败了」。现在 `manual_proxy` 先自己 `Url::parse` 拿 scheme 做白名单，不支持的直接有界错误 （「本构建不支持 socks5 代理（只支持 http / https）」）⇒ 走已有的回落 + 告知路径。 p3-3：错因不再只有 `builder error`：`reason()` 沿 `source()` 链拼一句；宽口径只补到「少写 scheme」 为止（已带 `://` 不再套一层 `http://`，否则真错因会被掩盖成「解析成功」）。实测文案： `代理地址无法解析（http://127.0.0.1:99999）：invalid port number`。 p3-2：两个测试文件已在 scope 里登记，本轮未动。 判据（都落在最终字符串 / 真正可见面上）： - `a_password_in_the_proxy_url_never_reaches_a_user_visible_string`：生效值行 / 错误文案 / `Debug` 四处都不含口令子串且保留 `user:***@`；`a_proxy_url_without_a_password_is_left_byte_identical` 守「没口令的地址逐字不变」。 - `a_broken_proxy_url_is_shown_as_falling_back_to_direct`（presenter）：设置页那一行含 `\n已回落到直连：`、带（脱敏后的）地址、不含口令，且与 `engine.proxy_problem()` 是同一串； 合规地址没有这条提示。 - `the_console_line_never_carries_the_proxy_password`（CLI）：`announce` 那一行与回落提示都不含口令。 - `unsupported_schemes_and_bad_ports_explain_themselves`（core）+ `an_unsupported_proxy_scheme_is_ refused_with_a_readable_reason`（engine）。 - 变异 M23-M26 记在 docs §6（redact 返回原文 ⇒ 3 条红；删 `proxy_note` ⇒ GUI 提示红；白名单写 `if false` ⇒ socks 红；错因换回 `builder error` ⇒ 红）。 - 端到端（真二进制 `ull install 1.20.1 --dry-run`，`CARGO_TARGET_DIR` 同前）：口令样本 `PWMUSTNOTLEAK` 在 stdout+stderr 里 **0 次**，两行都是 `user:***@`；socks5 那档打出 「本构建不支持 socks5 代理（只支持 http / https）」。 - 门禁：四 crate `--all-targets` check / 测试（3206 passed, 0 failed, 45 binaries）/ `clippy --all-targets -- -D warnings` / `fmt --all --check`，另 `check --workspace --all-targets`。
This commit is contained in:
AskaEth committed
1 parent
d584a2c42e
commit
c182d8d5c9
7 files changed
+584
-167
No files matched your search
@@ -208,6 +208,47 @@ config/launcher.json
|
||||
* **`reqwest` 会替用户补 `http://`**：`Proxy::all("127.0.0.1:7890")` 是合法写法（少写 scheme 不算
|
||||
「解析不了」）。真正解析不了的只剩端口越界（`…:99999`）、方括号不闭合这一类——用例挑的是前者。
|
||||
|
||||
### 5.3 口令脱敏与「回落必须被看见」（M295 r1 复审 p2-1 / p2-2）
|
||||
|
||||
**p2-1：口令不许出现在任何用户可见 / 会落盘的字符串里。** `proxy_url` 允许带 userinfo
|
||||
（`http://user:password@host:port`），而这个键在本仓就是凭据（schema 是 `AiPolicy::sensitive()`，
|
||||
`ull config get` 打 `<redacted>`，`crates/cli/tests/config_secret_test.rs` 专门守它）。M295 第一版
|
||||
把 `manual` 的原串整条写进 `summary()`（→ CLI stderr，进而 CI 日志 / 用户的截图）与解析失败文案，
|
||||
等于把口令还原成明文，而且**不需要用户犯错**。现在：
|
||||
|
||||
* **唯一实现**：`core::download::proxy::redact_proxy_url`——`user:password@` → `user:***@`（用户名保留、
|
||||
口令打掉；userinfo 里没有 `:` ⇒ **逐字原样**；路径/查询里的 `@` `:` 一律不碰，也不做任何 URL 归一）；
|
||||
* **四个出口都过它**：`ProxySetting::describe()`（`summary()` / CLI stderr）、`apply()` 的错误文案
|
||||
（`proxy_problem()` / GUI 提示）、手写的 `Debug`（配置与引擎被打进日志时）、`problem()`；
|
||||
宿主**不许**自己再拼一遍地址；
|
||||
* 例外（刻意留着）：设置页那个**输入框**显示文件原值——它是编辑面，把 `user:***@host` 回填进去、
|
||||
用户再点「应用」就会把掩码写回配置、把真口令冲掉。文件本身也是明文，掩码的价值在输出面不在编辑面。
|
||||
|
||||
**p2-2：回落必须被看见。** 引擎对「解析不了 / 本构建用不了」的处置是**回落直连**（见下），M295 第一版
|
||||
只有 CLI 说了，GUI 一个字都没有——用户在「直连能通、但他要求走代理（公司策略 / 隐私）」的场景下会以为
|
||||
流量在代理里，实际裸奔。现在两个宿主都调**同一个判定** `ProxySetting::problem()`（与 `apply` 共用
|
||||
`manual_proxy`，所以不会各说一套）：
|
||||
|
||||
| 面 | 形态 | 何时出现 |
|
||||
|---|---|---|
|
||||
| CLI | 装配引擎时一行 stderr：`下载代理未生效，本次按直连：<原因>` | 每条命令装配引擎时（`download::engine`） |
|
||||
| GUI 设置页 | 「HTTP 代理」这一行的第二段（`\n已回落到直连：<原因>`） | 打开设置页即见（`host::settings::download::group`） |
|
||||
|
||||
**取舍（显式写下来）**：为什么是「回落直连」而不是「拒绝下载」？拒绝对用户更不挡路——下载一个坏掉的
|
||||
代理地址不该让整个安装停摆，而设置字符串又很容易写错（少个端口、多了个 scheme）。代价是「用户以为走
|
||||
代理」，所以配一条硬要求：**回落必须有可见提示**，两处都要有（GUI 常驻、CLI 每次装配一行）。
|
||||
要改成 fail-closed 只需让 `build_client` 的错误直接冒泡，但那是产品决定，不在 M295 的范围。
|
||||
|
||||
**p3-1 / p3-3：`Proxy::all` 会骗人，原因串也不好读。** 两处补丁：
|
||||
|
||||
* `socks5://…`（以及任何非 http/https）在 `Proxy::all` 里返回 **`Ok`**，但本构建 reqwest 没开 `socks`
|
||||
feature ⇒ 以前表现为「没有任何提示，然后所有候选源都失败了」，把原因推给源。现在 `manual_proxy`
|
||||
先用 `Url::parse` 拿 scheme 做白名单，不支持的直接给有界错误「本构建不支持 socks5 代理（只支持
|
||||
http / https）：…」，于是它走已有的「回落直连 + 告知」路径；
|
||||
* 原因串不再只有 `builder error`：`reason()` 沿 `source()` 链拼成一句（`builder error：invalid port
|
||||
number` → 现在先自己解析，通常只剩 `invalid port number`）；宽口径只补到「少写 scheme」为止，
|
||||
已经带 `://` 的串**不再**套一层 `http://`（那会把真错因掩盖成「解析成功」）。
|
||||
|
||||
## 6. 守卫与变异证明（逐条只改实现侧，跑完即还原）
|
||||
|
||||
| # | 变异（只改实现侧） | 守卫用例 | 结果 |
|
||||
@@ -233,7 +274,11 @@ config/launcher.json
|
||||
| M19（M295） | `ProxySetting::apply` 的 `System` 档改成 `.no_proxy()` | 同上 | 红（system 档不再跟随环境变量 ⇒ `AllSourcesFailed`） |
|
||||
| M20（M295） | presenter 的 `tuning_of` 把 `proxy_mode` / `proxy_url` 传 `None`（= 没读这两个键） | `host::settings::download::tests::selection_and_proxy::the_proxy_keys_travel_from_the_file_to_the_engine_config` | 红（`left: (Direct, None)` vs `right: (System, None)`；2 passed 1 failed） |
|
||||
| M21（M295） | CLI 的 `download::tuning` 同上 | `cli::download::tests::proxy::the_proxy_settings_reach_the_cli_engine_and_the_console_line` | 红（`left: Direct` vs `right: Manual { url: … }`；1 passed 1 failed） |
|
||||
| M22（M295） | `ProxySetting::apply` 的 `Proxy::all(url)?` 改成 `expect(...)` | `…::engine_mock::proxy::an_unparseable_proxy_url_falls_back_to_direct_and_says_why`（+ core 单测 `a_broken_proxy_url_is_a_bounded_error_not_a_panic`） | 红（两处都 panic：`代理地址: … InvalidPort`） |
|
||||
| M22（M295） | `ProxySetting::apply` 的 `Proxy::all(url)?` 改成 `expect(...)` | `…::engine_mock::proxy::an_unparseable_proxy_url_falls_back_to_direct_and_says_why`（+ core 单测 `proxy::tests::unsupported_schemes_and_bad_ports_explain_themselves`） | 红（两处都 panic：`代理地址: … InvalidPort`） |
|
||||
| M23（M295 r1） | `redact_proxy_url` 开头直接 `return raw.to_string()` | `download::proxy::tests::a_password_in_the_proxy_url_never_reaches_a_user_visible_string`（另两条同族一起红） | 红（`test result: FAILED. 9 passed; 3 failed`）。红原文：`本构建不支持 socks5 代理（只支持 http / https）：socks5://user:PWMUSTNOTLEAK@127.0.0.1:1080` |
|
||||
| M24（M295 r1） | presenter `group()` 里 `proxy_note` 换成 `None`（= GUI 不再说「已回落到直连」） | `host::settings::download::tests::selection_and_proxy::a_broken_proxy_url_is_shown_as_falling_back_to_direct` | 红（`FAILED. 3 passed; 1 failed`）：`用不了的代理地址必须在设置页说出来（独占一行）："只在 manual 模式生效…原值保留"` |
|
||||
| M25（M295 r1） | `manual_proxy` 的 scheme 白名单写成 `if false`（= socks5 又变成「解析成功」） | `download::proxy::tests::unsupported_schemes_and_bad_ports_explain_themselves`（+ engine_mock 的 socks 用例） | 红（`FAILED. 11 passed; 1 failed`）：`本构建用不了的 scheme 必须报错` |
|
||||
| M26（M295 r1） | 错误文案的错因换回 `builder error`（= p3-3 报的那个形态） | 同上 | 红（`FAILED. 11 passed; 1 failed`）：`原因要能读（「builder error」等于没说）：代理地址无法解析（http://127.0.0.1:99999）：builder error` |
|
||||
|
||||
**M20 / M21 的一条附注**：直接把那两个字段**删掉**根本编译不过——两个宿主的 `RawTuning` 是完整字段
|
||||
字面量（没有 `..RawTuning::default()`），编译器会报 `E0063 missing fields proxy_mode and proxy_url`。
|
||||
@@ -307,13 +352,19 @@ M193 时期这一组把「GitHub 加速前缀」的三态画成三行（`GitHub
|
||||
没开 `client-proxy-system` feature ⇒ `system` 档只认环境变量（`HTTP_PROXY` 等）。所以「我在
|
||||
Windows 设置里开了系统代理」这件事对 `system` 档**无效**，这是已知限制，不是本页的承诺；
|
||||
* PAC 脚本（`AutoConfigURL` / `PROXY.pac`）没测，代码里也没有任何 PAC 支持；
|
||||
* 需要认证的代理（`Proxy-Authorization` / `Proxy::basic_auth`）没测；
|
||||
* SOCKS 代理没测（reqwest 的 `socks` feature 本仓没开）；
|
||||
* 需要认证的代理（`Proxy-Authorization` / `Proxy::basic_auth`）没测；userinfo 里的账号口令
|
||||
是否被 reqwest 转成 `Proxy-Authorization` 也没验（我们只保证**文案**里没有口令，见 §5.3）；
|
||||
* SOCKS 代理**不支持**（reqwest 的 `socks` feature 没开）。M295 r1 起它不再是「静默直连」：
|
||||
`socks5://` 会被 scheme 白名单拦下有界错误并提示「本构建不支持 socks5 代理」（§5.3），但「能用
|
||||
SOCKS」这件事仍然没有；
|
||||
* HTTPS 目标的 `CONNECT` 隧道没测：夹具只讲明文 HTTP，`manual` 档对 https 目标的行为只在
|
||||
「`Proxy::all` 会拦下 https」这一层有依据；
|
||||
* 代理自身连不上/半死时被归到 `Network` 还是 `Timeout`（以及会不会被 `attempts_for` 重试）没测；
|
||||
* **没在真的代理软件上点过**（Clash / v2rayN / 公司代理），也没在「只靠 `HTTP_PROXY` 上网」的
|
||||
环境里回归过 `none` 由「碰巧跟随环境变量」变成真直连这件事——那是一次真实的行为变化（见 §5.2）。
|
||||
* 「回落提示」只在 CLI 的真实二进制上端到端验过（`ull install --dry-run` 两行都不含口令）；
|
||||
**GUI 那一行只在单元层面验**（`group()` 产出的 `description` 文本），没在真窗口里看过它渲染、
|
||||
折行、以及它与 424 列表单宽度的相容性（设置行的渲染在 `app-iced`，不在本页 scope）。
|
||||
* **发布版 GUI 的「下载 JDK」页仍不认代理两键**（M295）：那一处是独立装配点，直接用
|
||||
`EngineConfig::default()`（= `system`，跟随环境变量）。它与「并发 / 三段时间」是同一条已知缺口
|
||||
（`app-iced/…/java/downloads/engine.rs` 模块头的对照表），要接就得把那一处并进 `wanted(cache_root)`。
|
||||
Reference in new issue
Block a user