mirror of
https://github.com/jnMetaCode/superpowers-zh.git
synced 2026-09-02 22:54:06 +08:00
8ca12c26e3
上游 v6.0.0 给 brainstorm 可视化伴侣服务器重写了安全模型：之前服务器
监听 loopback 但无任何鉴权，任意本地浏览器标签页都能读取 brainstorm
屏幕/文件、或向正在运行的 agent 会话注入事件（prompt injection）。新模型
用每会话密钥（?key=<token> 或会话 cookie）门禁所有端点，并加一组安全头
（X-Frame-Options: DENY、CSP frame-ancestors none、Cross-Origin-Resource-Policy
same-origin 等）。本 fork 此前停留在旧无鉴权版本。
改动（全部逐字节对齐上游 main，本 fork 在这些文件无中文/品牌定制）：
- skills/brainstorming/scripts/server.cjs：旧 354 行 → 723 行，新鉴权模型
- skills/brainstorming/scripts/{frame-template.html,helper.js}：v6 重构拆出的
独立模板/客户端 helper，旧版与新 server.cjs 不匹配会导致 UI 崩坏
- skills/brainstorming/scripts/{start,stop}-server.sh：随之更新
- tests/brainstorm-server/：同步上游全套测试（auth/branding/server/lifecycle/
helper/ws-protocol/browser-launcher 等），否则旧测试与新 server 不匹配
验证：tests/brainstorm-server 全套 npm test 通过，exit 0
（ws-protocol 32 / helper 15 / browser-launcher 3 / auth 20 / branding 7 /
server 33 / lifecycle 13 / start 4 / stop 7，0 failed）。所有 17 个文件
与上游 main 逐字节一致。
修复 CI「全量审计」中 brainstorm script 漂移项。关联 #19（v6 同步追踪）