jim800121chen
3f0175f1a9
從 local-tool 複製出獨立的「visionA Agent」桌面應用（A3 純橋樑： tunnel client + 配對 UI + 設定，不開 HTTP port、不做本機裝置/推論 UI）。 Bundle ID 與 local-tool 不同（com.innovedus.visiona-agent vs visiona-local）， 雙 app 可共存。fork 後不主動 sync，需要時手動 cherry-pick。 Backend / Wails Go（AB1-AB13）： - internal/tunnel：6 狀態機（Idle/Connecting/Connected/Reconnecting/Failed/Stopped） + Pair/Unpair/Reconnect/Disconnect binding + ClientHooks event - internal/auth：encrypted file token store（AES-GCM + scrypt + machineID fallback salt + 13 tests） - internal/config：YAML validation + atomic write + 11 tests - internal/log：ring buffer + ExportLog 升級 zip - visionA-backend /api/pairing/exchange：SessionTokenStore + 17 new tests - 三平台 build 驗證（macOS DMG 160 MB / Windows EXE / Linux AppImage） - end-to-end 5 milestone 全綠（pairing → tunnel → forward → reuse 防護 → tunnel drop failover） Frontend / Next.js（AF1-AF7，沿用 visionA-frontend 基礎）： - AppShell + Header + TabNav（StatusView / PairView / SettingsView 三 tab） - ConnectionStatusBadge 5 種狀態 - TokenInput regex 驗證 + 7 種錯誤 + 0.5s auto-switch 到狀態頁 - 設定頁 4 區塊（含重新配對 AlertDialog） - agent-api.ts 封裝 Wails bindings（mock/real 雙實作）+ 90 tests Phase 0.7 review-driven fix（Round 2）： - A1 Session fixation 防護（RotateSessionID） - A3 mock pairing 預設改 false（必須明確 opt-in）+ startup log - A4 Pair 失敗後 state 清理矩陣（exchange/Save/Start fail 各自終態） - A5 Pair/Unpair/Reconnect lifecycleMu + 50 goroutine race test - F1 重新配對次按鈕 / F2 PairView Esc cancel / F3 Wails BrowserOpenURL / F4 Settings draft 持久 + 未儲存 badge 驗證：agent backend go test -race -count=3 ./... 4 packages 全綠 / agent frontend pnpm test 119 tests 全綠 Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
41 lines
1017 B
Go
41 lines
1017 B
Go
package ws
|
||
|
||
import (
|
||
"net/http"
|
||
"net/url"
|
||
"strings"
|
||
)
|
||
|
||
// CheckOrigin 決定 WebSocket upgrade 是否允許。
|
||
//
|
||
// M8-8 / TDD v2/cors-security.md §5：
|
||
// 與 HTTP CORS 白名單一致，只允許本機 loopback 來源：
|
||
// - http://127.0.0.1:* / http://localhost:* / http://[::1]:*
|
||
// - same-origin（Origin header 為空，gorilla 預設行為）
|
||
//
|
||
// 注意：這個 helper 故意與 api package 的 isAllowedOrigin 重複實作（不直接 import），
|
||
// 避免 ws → api 反向 import（會造成 cycle）。兩邊邏輯保持一致。
|
||
func CheckOrigin(r *http.Request) bool {
|
||
origin := r.Header.Get("Origin")
|
||
if origin == "" {
|
||
// same-origin 或非瀏覽器 client（websocat、Postman 等）
|
||
return true
|
||
}
|
||
if origin == "null" {
|
||
return false
|
||
}
|
||
u, err := url.Parse(origin)
|
||
if err != nil {
|
||
return false
|
||
}
|
||
if u.Scheme != "http" {
|
||
return false
|
||
}
|
||
host := strings.ToLower(u.Hostname())
|
||
switch host {
|
||
case "127.0.0.1", "localhost", "::1", "[::1]":
|
||
return true
|
||
}
|
||
return false
|
||
}
|