v2.3.0

.github/workflows/ci.yml

@@ -65,36 +65,6 @@ jobs:
       - name: Type-check all packages
         run: pnpm -r typecheck
 
-  # Rust 守护进程（packages/daemon）：fmt + clippy -D warnings + 单测，与 TS 侧
-  # 的 lint/typecheck/test 同级门禁。cargo 缓存加速重复构建。
-  daemon:
-    runs-on: ubuntu-latest
-    steps:
-      - uses: actions/checkout@v4
-
-      - name: Setup Rust toolchain
-        uses: dtolnay/rust-toolchain@stable
-        with:
-          components: clippy, rustfmt
-
-      - name: Cache cargo
-        uses: Swatinem/rust-cache@v2
-        with:
-          workspaces: packages/daemon
-
-      - name: Format check
-        run: cargo fmt --check
-        working-directory: packages/daemon
-
-      # clippy 以 -D warnings 为门禁：任何告警即失败，与 biome lint 同一标准。
-      - name: Clippy
-        run: cargo clippy --all-targets --all-features -- -D warnings
-        working-directory: packages/daemon
-
-      - name: Tests
-        run: cargo test
-        working-directory: packages/daemon
-
   # 离线单测（packages/*/test/*.test.ts）。需要真 QQ 环境的探针脚本在
   # packages/*/tools/ 下，不在这里跑 —— 约定见 docs/develop/testing.md。
   test:
@@ -117,9 +87,9 @@ jobs:
         run: pnpm install --frozen-lockfile
 
       - name: Run unit tests
-        run: pnpm -r test
+        run: pnpm test:fail-fast
 
-  # 浏览器版打包冒烟（linux-x64）：native/ + daemon 随包 → 两个守卫 →
+  # 浏览器版打包冒烟（linux-x64）：native/ 随包 → 两个守卫 →
   # 启动真实产物走一遍鉴权流程。产物现在按平台/架构各自成包，build-web 冒烟
   # 的就是 release web 矩阵里 linux-x64 那一条。
   # 守卫防的是同一类回归：Electron-only 的代码混进 web 构建后不会报错，
@@ -143,23 +113,11 @@ jobs:
       - name: Install dependencies
         run: pnpm install --frozen-lockfile
 
-      # 鉴权闸 + 端到端路由测试。不需要构建产物，先跑、失败得早。
-      - name: Test auth gate
-        run: pnpm --filter @weq/web test
-
       # build-server 会把 native/<platform>/<arch>/ 拷进 dist，而 nt_helper.node
       # 不入库 —— 与 release 的 web 矩阵一样，打包前先取当前平台那一份。
       - name: Fetch nt_helper native artifacts
         run: node scripts/fetch-native.mjs --require-fresh --verify
 
-      # 先打当前平台（linux-x64）的守护进程，build-server 与 smoke 才会把它
-      # 视作打包目标的一部分；与 release 的 web 矩阵保持一致。
-      - name: Setup Rust toolchain
-        uses: dtolnay/rust-toolchain@stable
-
-      - name: Build daemon binary
-        run: pnpm run build:daemon
-
       # build 内含 check：check-electron-free（走真实 import 图）
       # + check-bundle（扫前端产物里残留的自定义协议 URL）。
       - name: Build + guards

.github/workflows/release.yml

@@ -15,6 +15,9 @@ on:
 permissions:
   contents: write # 创建 / 上传 Release
 
+env:
+  WEQ_REQUIRE_AUTHORIZATION_HELPER: '1'
+
 jobs:
   # ========================= QQ 通知门禁 =========================
   # 只有「最后一次 commit」以 Release: / chore(release): 开头时才发 QQ 群通知；
@@ -55,6 +58,12 @@ jobs:
       - name: Setup pnpm
         uses: pnpm/action-setup@v4
 
+      - name: Setup Go for Remote helper
+        uses: actions/setup-go@v5
+        with:
+          go-version-file: tools/remote-network/go.mod
+          cache-dependency-path: tools/remote-network/go.sum
+
       - name: Setup Node
         uses: actions/setup-node@v4
         with:
@@ -69,7 +78,7 @@ jobs:
       # 不能混版本）。--require-fresh 卡住 30 天有效期，--verify 当场 require 一次
       # 跑 getInitStatus()，二进制有问题在这里就炸，而不是出厂后才发现。
       - name: Fetch nt_helper native artifacts
-        run: node scripts/fetch-native.mjs --require-fresh --verify
+        run: node scripts/fetch-native.mjs --require-fresh --require-authorization --verify
 
       # 把 tag 里的版本号（v1.2.3 -> 1.2.3）写进 package.json，
       # 让 electron-builder 命名产物、app.getVersion() 也能读到。
@@ -81,16 +90,6 @@ jobs:
       - name: Build clone-bot runtime
         run: pnpm run build:bot
 
-      # Rust 守护进程二进制 → resources/daemon/<platform>-<arch>/，
-      # electron-builder 随 extraResources 打进安装包。
-      # runner 镜像预装 Rust 不可靠（windows 上就没有 cargo），显式装一次；
-      # 缺工具链时 build:daemon 会直接失败退出。
-      - name: Setup Rust toolchain
-        uses: dtolnay/rust-toolchain@stable
-
-      - name: Build daemon binary
-        run: pnpm run build:daemon
-
       - name: Build renderer + main
         run: pnpm --filter @weq/desktop exec electron-vite build
 
@@ -160,7 +159,7 @@ jobs:
   # 原生 x64 runner 构建 AppImage / tar.gz。native/linux/x64/*.node 已预编译，
   # sherpa-onnx / resvg 等原生依赖由 pnpm install 自动装 x64 版本。
   # ⚠️ 必须显式传 --x64：electron-builder 的 target.arch 会覆盖 CLI 的架构参数，
-  # 而 native binding / daemon 都是构建机架构的，两者一旦不一致就会打出坏包
+  # 而 native binding 都是构建机架构的，两者一旦不一致就会打出坏包
   # （见 electron-builder.yml 里 linux 一节的说明）。
   linux-x64:
     needs: [windows]
@@ -171,6 +170,12 @@ jobs:
       - name: Setup pnpm
         uses: pnpm/action-setup@v4
 
+      - name: Setup Go for Remote helper
+        uses: actions/setup-go@v5
+        with:
+          go-version-file: tools/remote-network/go.mod
+          cache-dependency-path: tools/remote-network/go.sum
+
       - name: Setup Node
         uses: actions/setup-node@v4
         with:
@@ -183,7 +188,7 @@ jobs:
 
       # 同 windows：先取 nt_helper 原生产物，再开始打包。
       - name: Fetch nt_helper native artifacts
-        run: node scripts/fetch-native.mjs --require-fresh --verify
+        run: node scripts/fetch-native.mjs --require-fresh --require-authorization --verify
 
       # 打包前先把「架构对不对」验掉：resvg / sherpa 的 .node binding 和 cargo
       # 编出来的守护进程都取自构建机。与 macOS 两个 job 同款把关 —— v1.0.0 的
@@ -204,21 +209,6 @@ jobs:
       - name: Build clone-bot runtime
         run: pnpm run build:bot
 
-      # Rust 守护进程二进制 → resources/daemon/<platform>-<arch>/，
-      # electron-builder 随 extraResources 打进安装包。
-      # runner 镜像预装 Rust 不可靠（windows 上就没有 cargo），显式装一次；
-      # 缺工具链时 build:daemon 会直接失败退出。
-      - name: Setup Rust toolchain
-        uses: dtolnay/rust-toolchain@stable
-
-      - name: Build daemon binary
-        run: pnpm run build:daemon
-
-      # cargo 默认按构建机出二进制，再确认一次它落到了目标架构的目录里。
-      - name: Verify daemon binary architecture
-        run: |
-          file resources/daemon/linux-x64/weq-daemon | grep -q 'x86-64'
-
       - name: Build renderer + main
         run: pnpm --filter @weq/desktop exec electron-vite build
 
@@ -245,7 +235,7 @@ jobs:
           echo "checking $APP_DIR"
           test -d "$APP_DIR/resources/app.asar.unpacked/node_modules/@resvg/resvg-js-linux-x64-gnu"
           test -d "$APP_DIR/resources/app.asar.unpacked/node_modules/sherpa-onnx-linux-x64"
-          file "$APP_DIR/resources/resources/daemon/linux-x64/weq-daemon" | grep -q 'x86-64'
+          test ! -e "$APP_DIR/resources/resources/daemon"
 
       - name: Restore dev manifest
         if: always()
@@ -275,6 +265,12 @@ jobs:
       - name: Setup pnpm
         uses: pnpm/action-setup@v4
 
+      - name: Setup Go for Remote helper
+        uses: actions/setup-go@v5
+        with:
+          go-version-file: tools/remote-network/go.mod
+          cache-dependency-path: tools/remote-network/go.sum
+
       - name: Setup Node
         uses: actions/setup-node@v4
         with:
@@ -287,7 +283,7 @@ jobs:
 
       # 同 windows：先取 nt_helper 原生产物，再开始打包。
       - name: Fetch nt_helper native artifacts
-        run: node scripts/fetch-native.mjs --require-fresh --verify
+        run: node scripts/fetch-native.mjs --require-fresh --require-authorization --verify
 
       # 同 linux-x64：构建机架构必须就是目标架构，否则 resvg / sherpa binding
       # 与守护进程都会是另一个架构的。
@@ -305,20 +301,6 @@ jobs:
       - name: Build clone-bot runtime
         run: pnpm run build:bot
 
-      # Rust 守护进程二进制 → resources/daemon/<platform>-<arch>/，
-      # electron-builder 随 extraResources 打进安装包。
-      # runner 镜像预装 Rust 不可靠（windows 上就没有 cargo），显式装一次；
-      # 缺工具链时 build:daemon 会直接失败退出。
-      - name: Setup Rust toolchain
-        uses: dtolnay/rust-toolchain@stable
-
-      - name: Build daemon binary
-        run: pnpm run build:daemon
-
-      - name: Verify daemon binary architecture
-        run: |
-          file resources/daemon/linux-arm64/weq-daemon | grep -q 'aarch64'
-
       - name: Build renderer + main
         run: pnpm --filter @weq/desktop exec electron-vite build
 
@@ -343,7 +325,7 @@ jobs:
           echo "checking $APP_DIR"
           test -d "$APP_DIR/resources/app.asar.unpacked/node_modules/@resvg/resvg-js-linux-arm64-gnu"
           test -d "$APP_DIR/resources/app.asar.unpacked/node_modules/sherpa-onnx-linux-arm64"
-          file "$APP_DIR/resources/resources/daemon/linux-arm64/weq-daemon" | grep -q 'aarch64'
+          test ! -e "$APP_DIR/resources/resources/daemon"
 
       - name: Restore dev manifest
         if: always()
@@ -376,6 +358,12 @@ jobs:
       - name: Setup pnpm
         uses: pnpm/action-setup@v4
 
+      - name: Setup Go for Remote helper
+        uses: actions/setup-go@v5
+        with:
+          go-version-file: tools/remote-network/go.mod
+          cache-dependency-path: tools/remote-network/go.sum
+
       - name: Setup Node
         uses: actions/setup-node@v4
         with:
@@ -388,7 +376,7 @@ jobs:
 
       # 同 windows：先取 nt_helper 原生产物，再开始打包。
       - name: Fetch nt_helper native artifacts
-        run: node scripts/fetch-native.mjs --require-fresh --verify
+        run: node scripts/fetch-native.mjs --require-fresh --require-authorization --verify
 
       # 打包前先确认 Node 架构符合目标，避免再打出「arm64 壳 + x64 binding」
       # 的坏包（v0.4.4 已踩过一次）。
@@ -404,16 +392,6 @@ jobs:
       - name: Build clone-bot runtime
         run: pnpm run build:bot
 
-      # Rust 守护进程二进制 → resources/daemon/<platform>-<arch>/，
-      # electron-builder 随 extraResources 打进安装包。
-      # runner 镜像预装 Rust 不可靠（windows 上就没有 cargo），显式装一次；
-      # 缺工具链时 build:daemon 会直接失败退出。
-      - name: Setup Rust toolchain
-        uses: dtolnay/rust-toolchain@stable
-
-      - name: Build daemon binary
-        run: pnpm run build:daemon
-
       - name: Build renderer + main
         run: pnpm --filter @weq/desktop exec electron-vite build
 
@@ -472,6 +450,12 @@ jobs:
       - name: Setup pnpm
         uses: pnpm/action-setup@v4
 
+      - name: Setup Go for Remote helper
+        uses: actions/setup-go@v5
+        with:
+          go-version-file: tools/remote-network/go.mod
+          cache-dependency-path: tools/remote-network/go.sum
+
       - name: Setup Node
         uses: actions/setup-node@v4
         with:
@@ -489,7 +473,7 @@ jobs:
 
       # 同 windows：先取 nt_helper 原生产物，再开始打包。
       - name: Fetch nt_helper native artifacts
-        run: node scripts/fetch-native.mjs --require-fresh --verify
+        run: node scripts/fetch-native.mjs --require-fresh --require-authorization --verify
 
       # 同上：装完依赖后校验 Node 架构，并确认 arm64 binding 真的进包。
       - name: Verify Node architecture
@@ -505,16 +489,6 @@ jobs:
       - name: Build clone-bot runtime
         run: pnpm run build:bot
 
-      # Rust 守护进程二进制 → resources/daemon/<platform>-<arch>/，
-      # electron-builder 随 extraResources 打进安装包。
-      # runner 镜像预装 Rust 不可靠（windows 上就没有 cargo），显式装一次；
-      # 缺工具链时 build:daemon 会直接失败退出。
-      - name: Setup Rust toolchain
-        uses: dtolnay/rust-toolchain@stable
-
-      - name: Build daemon binary
-        run: pnpm run build:daemon
-
       - name: Build renderer + main
         run: pnpm --filter @weq/desktop exec electron-vite build
 
@@ -646,7 +620,7 @@ jobs:
       # 浏览器版同样带 native/ 与 resources/（含装扮资源），所以也要取一份；
       # 每个 matrix runner 取的正是它自己平台那一份。
       - name: Fetch nt_helper native artifacts
-        run: node scripts/fetch-native.mjs --require-fresh --verify
+        run: node scripts/fetch-native.mjs --require-fresh --no-authorization --verify
 
       # 与桌面版各平台 job 同款校验：避免 Rosetta / 架构错配导致打包出
       # 「arm64 壳 + x64 binding」的坏包。
@@ -662,14 +636,6 @@ jobs:
         run: node scripts/set-version.mjs ${{ github.ref_name }}
 
 
-      # 浏览器版用户自备 Node，守护进程补上二进制：本 runner 只构建并打进
-      # 当前平台那一份（build-server / pack 会按 process.platform/arch 认定）。
-      - name: Setup Rust toolchain
-        uses: dtolnay/rust-toolchain@stable
-
-      - name: Build daemon binary
-        run: pnpm run build:daemon
-
       # 含 check 守卫：确认没有 Electron 代码泄漏进 web 构建。
       - name: Build + guards
         run: pnpm --filter @weq/web build
@@ -811,7 +777,7 @@ jobs:
             - Linux arm64: \`weq-web-${TAG#v}-linux-arm64.tar.gz\`
             - macOS Intel (x64): \`weq-web-${TAG#v}-darwin-x64.tar.gz\`
             - macOS Apple Silicon (arm64): \`weq-web-${TAG#v}-darwin-arm64.tar.gz\`
-            每个包自带对应平台的 native 原生模块与 Rust 守护进程二进制，
+            每个包自带对应平台的 native 原生模块，助手资源服务随应用运行，
             详见[使用说明](https://github.com/${REPO}/blob/main/apps/web/README.md)
 
           ### macOS 首次打开

.gitignore

@@ -42,8 +42,7 @@ logs/
 # electron-builder
 release/
 
-# Rust daemon build output (staged into resources/daemon/ by build:daemon,
-# packaged at release time — never committed)
+# 旧 daemon 的本机可再生产物仍不入库，也不再随新版本打包。
 packages/daemon/target/
 resources/daemon/
 
@@ -70,6 +69,8 @@ resources/ninebird-runtime/
 # `pnpm native:fetch` 取最新（release 流水线在打包前也会取一次）。
 # 注意：native/<platform>/<arch>/ninebird/* 仍然入库，是另一条手工同步的链。
 /native/*/*/nt_helper.node
+/native/*/*/weq-authorization-helper
+/native/*/*/weq-authorization-helper.exe
 # `pnpm native:fetch` 记「当前装的是哪个 tag」用，天然是机器相关的
 /native/.installed.json
 /resources/dress/*.dat
@@ -105,3 +106,4 @@ resources/ninebird-runtime/
 models/
 tmp_reverse/
 .zcode/
+/tools/remote-network/build/