LoveChengke
3880eee08e
灵动岛列表：多条通知时展开为竖排列表，默认显示 3 条，点「展开更多」铺到屏幕容纳 上限，放不下的收进「更多请前往应用内操作」。卡片高度由主进程与渲染进程各算一次 同一个数 —— 度量表 ISLAND_LIST_METRICS 与排序权重 PRIORITY_RANK 放在 shared， 窗口包围盒随之长高（不够高会把底部按钮裁掉）。 触摸模式：触摸屏上手指既不产生 mousemove、也不移动系统光标，原先两条命中链路都会 让窗口永远停在穿透态、手指点不开岛。现按 navigator.maxTouchPoints 上报后，主进程把 窗口贴合岛体并始终接收输入；非触摸屏机器完全不走这条路。 收回动画：main 先发 island:closing，渲染进程形变收敛后回 closing-done 才淡出， 不再靠猜时长（rAF 被节流时会把卡片缩到一半窗口就没了）。 安全门禁：新增 scripts/check-bundle-secrets.mjs 并接进 build:desktop —— dist 产物会被打进 app.asar 发到每台学生机、且可解包，冒烟凭据一律改由环境变量注入， 产物里出现种子口令即构建失败。
31 lines
1.6 KiB
HTML
31 lines
1.6 KiB
HTML
<!doctype html>
|
||
<html lang="zh-CN">
|
||
<head>
|
||
<meta charset="UTF-8" />
|
||
<meta name="viewport" content="width=device-width, initial-scale=1.0" />
|
||
<!--
|
||
内容安全策略（Electron 渲染进程）。
|
||
|
||
为什么必须有：渲染进程通过 preload 桥能拿到 `getConfig()` 返回的**明文登录令牌**
|
||
（代表该班全班身份），因此一旦出现一次注入（未来某个 v-html、某个依赖被投毒），
|
||
脚本就能把令牌发到外网。CSP 是唯一能拦住"加载并执行远程脚本"的那一层。
|
||
|
||
各指令口径：
|
||
- default-src/script-src 'self'：只允许执行本应用自己的脚本（挡住远程脚本注入）；
|
||
- style-src 需要 'unsafe-inline'：Vue SFC 与 Element Plus 运行时会注入行内样式；
|
||
- connect-src 放开 http/https/ws/wss：服务器地址由用户在设置页填写（可能是内网 IP、域名、
|
||
HTTPS 反代），无法预先枚举，且连接本身不是"执行代码"的入口；
|
||
- object-src/frame-src/form-action 一律关掉：本应用不需要插件、内嵌页面与表单提交。
|
||
-->
|
||
<meta
|
||
http-equiv="Content-Security-Policy"
|
||
content="default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: blob:; font-src 'self' data:; connect-src 'self' http: https: ws: wss:; object-src 'none'; frame-src 'none'; form-action 'none'; base-uri 'self'"
|
||
/>
|
||
<title>班级小助手</title>
|
||
</head>
|
||
<body>
|
||
<div id="app"></div>
|
||
<script type="module" src="/src/renderer/main.ts"></script>
|
||
</body>
|
||
</html>
|