Leo
20c7610371
leo 2026-07-20 明令：「已經改用 cf 自己的 secrets，不要再說它了」 「我希望以後再也看不到這個詞再出現」 背景：credential 早已遷移至 CF Workers per-script Secrets + D1 目錄， 舊的自管金鑰（client 端 AES-GCM + KV 密文 + crypto_decrypt）是遷移期遺留。 本次連根移除，含一併作廢的死 SaaS 碼。 移除： - 舊 KV 密文解密路徑（credential-injector.ts 整檔、dual-read fallback） 前置驗證：leo21c / youlin 兩帳號 CREDENTIALS_KV 實測 *:cred:* 皆 0 筆 - migrate-to-workers-secrets 搬家端點（回填已完成，無可回填） - /register 路由與 generateApiKey（HMAC 產 ak_ key 是 SaaS 遺物； self-hosted 走 namespace 明碼 D21，已無人使用） - platform_crypto component（三帳號實測 404 已退役，無 workflow 引用） 保留（附理由）： - crypto_decrypt 保留為永遠回失敗的 stub——現役三個 auth .wasm 仍宣告該 import，缺項會讓 WASM instantiate 直接失敗。待零件重編後可真正刪除。 順帶修復（原不在範圍，但會實際壞事）： - /auth/callback 有 `if (!key) redirect(server_error)` 閘，未設該 secret 的 實例會登入直接失敗 → 已移除 - OAuth 兩處把 provider token 寫進舊加密 KV（租戶鍵與實際 api_key 在 rotate 後必然分歧，已失效）→ 改導向 Workers Secrets，包 try/catch 不影響登入 - acr init Standard 模式呼叫已刪除的 /register → 改引導 OAuth 取 key - .claude/rules 與 system-dev/docs 是同一規範的兩份鏡像，先前只改 rules 導致鏡像仍在教舊做法 → 已同步（此類雙檔同步應納入檢查） 新用戶安裝從此零 secret 前置。 測試 187/188（唯一 fail 為 pre-existing，stash 驗證與本次無關）； cypher-executor 與 cli typecheck 全綠。 Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
73 lines
2.3 KiB
TypeScript
73 lines
2.3 KiB
TypeScript
/**
|
|
* arcrun auth_static_key Worker
|
|
*
|
|
* POST / → JSON input {action, api_key, service} → WASM (WASI preview1 stdin/stdout) → JSON output
|
|
*
|
|
* 方案 A:直接 import cypher-executor/src/lib/wasi-shim.ts 的 shim + host function factory,
|
|
* 確保 AES-GCM 解密邏輯只存在於一個檔案(rule 02 §2.2)。
|
|
*
|
|
* 安全邊界:
|
|
* - api_key 經 stdin 傳進 WASM,同時綁到 host function 的 kv_get 做越權檢查
|
|
*/
|
|
|
|
import componentWasm from '../component.wasm' assert { type: 'webassembly' };
|
|
import { Hono } from 'hono';
|
|
import { cors } from 'hono/cors';
|
|
import {
|
|
createWasiShim,
|
|
createArcrunHostFunctions,
|
|
type ArcrunHostEnv,
|
|
} from '../../../cypher-executor/src/lib/wasi-shim';
|
|
|
|
type Env = ArcrunHostEnv;
|
|
|
|
const app = new Hono<{ Bindings: Env }>();
|
|
app.use('*', cors());
|
|
|
|
app.get('/', (c) => c.json({ ok: true, component: 'auth_static_key' }));
|
|
|
|
app.post('/', async (c) => {
|
|
let input: Record<string, unknown>;
|
|
try {
|
|
input = await c.req.json();
|
|
} catch {
|
|
return c.json({ success: false, error: 'request body must be JSON' }, 400);
|
|
}
|
|
|
|
const apiKey = typeof input.api_key === 'string' ? input.api_key : '';
|
|
if (!apiKey) {
|
|
return c.json({ success: false, error: 'api_key 必填' }, 400);
|
|
}
|
|
|
|
try {
|
|
const result = await runWasm(c.env, apiKey, input);
|
|
return c.json(result);
|
|
} catch (e) {
|
|
return c.json(
|
|
{ success: false, error: e instanceof Error ? e.message : String(e) },
|
|
500,
|
|
);
|
|
}
|
|
});
|
|
|
|
export default app;
|
|
|
|
// ── WASM runner ──────────────────────────────────────────────────────────────
|
|
|
|
async function runWasm(env: Env, apiKey: string, input: unknown): Promise<unknown> {
|
|
const stdinData = JSON.stringify(input);
|
|
const hostFunctions = createArcrunHostFunctions(env, apiKey);
|
|
const shim = createWasiShim(stdinData, hostFunctions);
|
|
|
|
const instance = await WebAssembly.instantiate(
|
|
componentWasm as WebAssembly.Module,
|
|
shim.imports,
|
|
);
|
|
shim.setMemory(instance.exports.memory as WebAssembly.Memory);
|
|
await shim.run(instance);
|
|
|
|
const stdout = shim.getStdout().trim();
|
|
if (!stdout) throw new Error('WASM component produced no output');
|
|
return JSON.parse(stdout);
|
|
}
|