diff --git a/.env.example b/.env.example index 08e1f95..da11c54 100644 --- a/.env.example +++ b/.env.example @@ -25,11 +25,19 @@ OG_COMPUTE_MODEL=deepseek-chat-v3-0324 # 不需要在這裡設任何東西，伺服器也不碰私鑰。 OG_STORAGE_INDEXER=https://indexer-storage-testnet-turbo.0g.ai +# 上傳要經過的節點代理。 +# +# 0G 的 storage node 是裸 IP + 非標準埠（http://34.19.125.196:5678）， +# Cloudflare Workers 兩樣都打不到（error 1003 與 521），所以轉發那一段 +# 必須放在 Node 上 —— 見 proxy/README.md，部署完把網址填在這裡。 +# 不設的話前端走同源的 /api/og/zg，在 Cloudflare 上會失敗。 +OG_ZG_PROXY_BASE= + # 選用：想讓玩家完全不用付儲存費的話，自己架一個 0g-storage-client gateway， # 設了這個端點就改由 Function 轉發上傳（那台 gateway 才需要持有私鑰）。 OG_STORAGE_UPLOAD_URL= OG_STORAGE_TOKEN= -# ══ 賽道三：0G Chain（Galileo 測試網 16601）══════════════════════ +# ══ 賽道三：0G Chain（Galileo 測試網 16602）══════════════════════ # 不設就用公開節點。錨定交易由玩家自己的錢包送出，伺服器不保管任何私鑰。 OG_RPC_URL=https://evmrpc-testnet.0g.ai diff --git a/README.md b/README.md index 956ea4d..f6d5881 100644 --- a/README.md +++ b/README.md @@ -2,7 +2,7 @@ ConSSS Wars -# 鏈之英雄傳 ConSSS Wars +# 鏈州英雄傳 ConSSS Wars ### 第 0 章 · 無重之憶 — Weightless Memory @@ -47,11 +47,21 @@ 摘要 ──合約建立交易──▶ 錨定到 0G Chain ──讀回來逐欄比對──▶ ✓ ``` +**三條賽道都已在 Galileo 測試網跑通**，下面是其中一場的實際紀錄（可自行到瀏覽器重現）： + +| 賽道 | 狀態 | 實測證據 | +|---|---|---| +| **0G Compute** | ✅ 通 | `deepseek-chat-v3-0324 · TEE 就緒`，戰後旁白由 enclave 產生 | +| **0G Storage** | ✅ 通 | 檔案 root `0x31dbf57395ca6d1b8f401f944453b846ce0c2a0cedddd97c27c4bc8a84d7cb25`
Flow 合約 submit tx `0x9c7377b88930c28412c95dfb452793c500233531264e09fef8537b91358b2218`
儲存費 92200934886 neuron，節點回報 `Single file upload completed` | +| **0G Chain** | ✅ 通 | 區塊 `#54068232`、5 個確認，calldata 讀回後**四項全部相符**（摘要 / 勝負 / 回合數 / 記憶核心） | + +> 賽道二繞了很久才通。0G 的 storage node 是**裸 IP + 明文 http + 5678 埠**，瀏覽器擋 mixed content、Cloudflare Workers 又擋裸 IP（`error 1003`）與非標準埠（`error 521`），所以節點轉發那一小段必須跑在 Node 上（[`proxy/`](proxy/)）。細節寫在 [proxy/README.md](proxy/README.md)。 + | 用了哪些 0G 技術 | 為什麼要用它 | 在哪一行用到 | |---|---|---| | **0G Compute Network**
TEE 可驗證推論 | 戰報要永久存檔，寫它的那個 agent 就不能是黑箱。金鑰在 pc.0g.ai 選 **Private（TEE enclave）** 開的，推論實際跑在 enclave 裡，不是只呼叫一個 OpenAI 相容端點。 | [`functions/api/narrate.js#L55-L134`](https://github.com/ConsssLab/web/blob/main/functions/api/narrate.js#L55-L134) | | **0G Compute Network**
Router 設定 | 敵方 agent 與旁白 agent 共用同一份供應商工廠，把 `AI_PROVIDER` 改成 `0g` 就能整支切過去，不用改程式碼。 | [`functions/api/og/_shared.js#L22-L23`](https://github.com/ConsssLab/web/blob/main/functions/api/og/_shared.js#L22-L23) · [`functions/api/og/_shared.js#L82-L90`](https://github.com/ConsssLab/web/blob/main/functions/api/og/_shared.js#L82-L90) | -| **0G Storage**
真實寫入 | 記憶碎片要「永久保存」就必須真的落地。用官方 SDK 走完整協議：切 256-byte chunk 算 merkle root → 對 Flow 合約送 submit（付儲存費）→ 把 segment 傳給 storage node。**全程用玩家自己的錢包簽，伺服器不持有私鑰。** | [`public/js/storage.js#L53-L85`](https://github.com/ConsssLab/web/blob/main/public/js/storage.js#L53-L85) | +| **0G Storage**
真實寫入 | 記憶碎片要「永久保存」就必須真的落地。用官方 SDK 走完整協議：切 256-byte chunk 算 merkle root → 對 Flow 合約送 submit（付儲存費）→ 把 segment 傳給 storage node。**全程用玩家自己的錢包簽，伺服器不持有私鑰。** | [`public/js/storage.js#L65-L108`](https://github.com/ConsssLab/web/blob/main/public/js/storage.js#L65-L108)
節點代理（Node）：[`proxy/api/index.js`](https://github.com/ConsssLab/web/blob/main/proxy/api/index.js) —— 節點是裸 IP + 非標準埠，Cloudflare Workers 打不到（error 1003 / 521），這一段必須跑在 Node 上 | | **0G Storage**
indexer 唯讀查詢 | 「上傳沒報錯」不等於存進去了。拿 root hash 回頭問 indexer，確認 storage node 真的收下並 finalized 才敢標成已存檔。唯讀、不需金鑰，評審可自行查證。 | [`functions/api/og/storage.js#L76-L114`](https://github.com/ConsssLab/web/blob/main/functions/api/og/storage.js#L76-L114) | | **0G Storage**
節點活性探測 | 結果畫面的燈號要照實反映網路狀態，不能寫死成綠燈。 | [`functions/api/og/status.js#L34-L57`](https://github.com/ConsssLab/web/blob/main/functions/api/og/status.js#L34-L57) | | **0G Chain**
錨定寫入 | 戰報需要一個不可竄改、有時間戳的存在證明。40 bytes 結構化 calldata（魔術字 `CSSW` + 版本 + 戰績 + SHA-256），用合約建立交易送出，chainscan 上一眼認得出來。 | [`functions/api/og/shard.js#L62-L84`](https://github.com/ConsssLab/web/blob/main/functions/api/og/shard.js#L62-L84) · [`public/js/og.js#L174-L199`](https://github.com/ConsssLab/web/blob/main/public/js/og.js#L174-L199) | diff --git a/functions/api/agent.js b/functions/api/agent.js index afaae1c..1be468e 100644 --- a/functions/api/agent.js +++ b/functions/api/agent.js @@ -50,7 +50,7 @@ function providerConfig(env) { }; } -const SYSTEM = `你是回合制策略遊戲《鏈之英雄傳 ConSSS Wars》裡的反派 AI agent「遺忘者」。 +const SYSTEM = `你是回合制策略遊戲《鏈州英雄傳 ConSSS Wars》裡的反派 AI agent「遺忘者」。 你在鏈國 0G 進攻對方的「記憶核心」。你要贏，也要有角色感。 戰場規則： diff --git a/functions/api/narrate.js b/functions/api/narrate.js index 05a04f4..3204212 100644 --- a/functions/api/narrate.js +++ b/functions/api/narrate.js @@ -19,7 +19,7 @@ const MAX_BODY = 8 * 1024; const TIMEOUT_MS = 9000; const MAX_NARRATION = 120; -const SYSTEM = `你是《鏈之英雄傳 ConSSS Wars》裡的「記憶編纂者」。 +const SYSTEM = `你是《鏈州英雄傳 ConSSS Wars》裡的「記憶編纂者」。 玩家剛在鏈國 0G 打完一場記憶迴廊的攻防，你要把這場戰鬥寫成一段要永久存進 0G Storage 的檔案敘述。 規則： diff --git a/functions/api/og/status.js b/functions/api/og/status.js index cf799ea..9556a5e 100644 --- a/functions/api/og/status.js +++ b/functions/api/og/status.js @@ -92,6 +92,13 @@ export async function onRequestGet({ env }) { role: '記憶碎片永久存檔（前端用玩家錢包上傳）', indexer, network: 'turbo', + // 上傳走哪一支代理。 + // + // 預設是同源的 Pages Function，但那條路在 Cloudflare 上被平台擋死： + // Worker 不能打裸 IP（error 1003），也打不到 5678 這種非標準埠（521）， + // 而 0G 的 storage node 兩樣都佔。設 OG_ZG_PROXY_BASE 指向 proxy/ + // 那支 Node 服務，上傳才會真的通。前端照這個值決定要打哪裡。 + zgProxy: env.OG_ZG_PROXY_BASE ? String(env.OG_ZG_PROXY_BASE).replace(/\/+$/, '') : '/api/og/zg', // 預設由前端用玩家錢包上傳（public/js/storage.js）； // 設了 OG_STORAGE_UPLOAD_URL 就改由 Function 轉發給自架 gateway。 uploadMode: env.OG_STORAGE_UPLOAD_URL ? 'server-gateway' : 'client-wallet', diff --git a/functions/api/og/zg/[[path]].js b/functions/api/og/zg/[[path]].js index 480c00e..a79318b 100644 --- a/functions/api/og/zg/[[path]].js +++ b/functions/api/og/zg/[[path]].js @@ -7,42 +7,87 @@ * 1. indexer：問「這個檔案該傳給哪些 storage node」（indexer_getShardedNodes） * 2. 那份清單裡的每一台 storage node：真正把 segment 傳上去（zgs_uploadSegment） * - * 第 1 步從瀏覽器打得通，第 2 步打不通：那些 storage node 是各自獨立的主機， - * 沒有為瀏覽器開 CORS，所以 axios 只會回一句沒有內容的 "Network Error"。 + * 第 1 步從瀏覽器打得通，第 2 步打不通。實測拿到的節點長這樣： * - * 解法是把兩步都繞過這支 Function，讓瀏覽器全程只跟自己的網域講話： + * http://34.19.125.196:5678 + * + * 裸 IP、明文 http、非標準埠 —— 對一個 https 的頁面來說這是 mixed content， + * 瀏覽器連送都不會送就直接擋掉（Chrome console 明講 "This request has been + * blocked; the content must be served over HTTPS"）。就算改成 https，那些節點 + * 也沒為瀏覽器開 CORS。兩個問題都只有一個解法：不要讓瀏覽器直接碰它們。 * * 前端 new Indexer('/api/og/zg/indexer') * │ * ├─ 這支轉發到真的 indexer， - * │ 並把回應裡每個節點的 url 改寫成 /api/og/zg/node/<編碼後的原始網址> + * │ 並把回應裡每個節點的 url 改寫成 /api/og/zg/node/<簽章>/<編碼後的原始網址> * │ * └─ 節點請求再由這支轉發到那台真的 storage node * - * Flow 合約那步不經過這裡 —— 它走 MetaMask 簽名，本來就沒有 CORS 問題。 + * 整條鏈路對瀏覽器來說都是同源的 https，mixed content 與 CORS 一起消失。 + * Flow 合約那步不經過這裡 —— 它走 MetaMask 簽名，本來就沒有這兩個問題。 * - * 安全性：只准轉發到 0g.ai 底下的 https 主機，否則就成了任何人都能借用的開放代理。 + * 安全性：節點網址是裸 IP，沒有網域可以白名單，所以改用簽章 —— + * 只有這支代理自己從 indexer 回應裡吐出來的網址才轉發得動（HMAC 綁住）， + * 外人塞一個任意網址進來會被擋，不會變成人人可用的開放代理。 + * 另外再擋掉內網位址，避免有人拿它去打 Cloudflare 內部或 metadata 端點。 */ import { json, indexerOf } from '../_shared.js'; -/** 只有這個網域（與其子網域）能被轉發。 */ -const ALLOWED_SUFFIX = '.0g.ai'; -const ALLOWED_EXACT = '0g.ai'; +/** indexer 本身仍然只認 0g.ai 的 https（它是設定值，不是外部資料）。 */ +const INDEXER_SUFFIX = '.0g.ai'; +const INDEXER_EXACT = '0g.ai'; const MAX_BODY = 6 * 1024 * 1024; // 一個 segment 是 256KB，留足餘裕 const TIMEOUT_MS = 30000; -const b64urlEncode = (s) => - btoa(s).replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, ''); +const enc = new TextEncoder(); + +const b64urlEncode = (s) => btoa(s).replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, ''); const b64urlDecode = (s) => { const pad = s.replace(/-/g, '+').replace(/_/g, '/'); return atob(pad + '='.repeat((4 - (pad.length % 4)) % 4)); }; -/** 這個網址可以轉發嗎？只認 https 的 0g.ai。 */ -function allowed(target) { +/** + * 簽章金鑰。設了 OG_PROXY_SECRET 就用它，沒設就退回內建常數 —— + * 這個簽章擋的是「有人拿我們的網域當跳板」，不是機密資料， + * 沒設也不該讓整個上傳功能掛掉。要更嚴就在 Pages 設一個 secret。 + */ +const secretOf = (env) => (env && env.OG_PROXY_SECRET) || 'conssswars/og-zg-proxy/v1'; + +const keyCache = new Map(); +function signingKey(secret) { + if (!keyCache.has(secret)) { + keyCache.set( + secret, + crypto.subtle.importKey('raw', enc.encode(secret), { name: 'HMAC', hash: 'SHA-256' }, false, [ + 'sign', + ]), + ); + } + return keyCache.get(secret); +} + +/** 取 HMAC 前 16 bytes 轉十六進位：32 個字，夠短也夠難猜。 */ +async function sign(url, env) { + const mac = await crypto.subtle.sign('HMAC', await signingKey(secretOf(env)), enc.encode(url)); + return Array.from(new Uint8Array(mac).slice(0, 16)) + .map((b) => b.toString(16).padStart(2, '0')) + .join(''); +} + +/** 定時比對，不要因為提早 return 而洩漏正確簽章的前綴。 */ +function sameSig(a, b) { + if (typeof a !== 'string' || typeof b !== 'string' || a.length !== b.length) return false; + let diff = 0; + for (let i = 0; i < a.length; i += 1) diff |= a.charCodeAt(i) ^ b.charCodeAt(i); + return diff === 0; +} + +/** indexer 設定值的檢查：https 而且在 0g.ai 底下。 */ +function allowedIndexer(target) { let u; try { u = new URL(target); @@ -51,28 +96,79 @@ function allowed(target) { } if (u.protocol !== 'https:') return null; const h = u.hostname.toLowerCase(); - if (h !== ALLOWED_EXACT && !h.endsWith(ALLOWED_SUFFIX)) return null; + if (h !== INDEXER_EXACT && !h.endsWith(INDEXER_SUFFIX)) return null; return u; } /** - * 把 JSON 裡所有指向外部主機的 url 欄位改寫成走這支代理。 + * 內網位址一律拒絕。 + * + * 節點網址是 indexer 給的，正常情況都是公網 IP；但簽章金鑰萬一外流， + * 這道防線可以讓這支代理仍然打不到任何內部服務（含雲端 metadata 端點）。 + */ +const PRIVATE_V4 = + /^(0|10|127)\.|^169\.254\.|^172\.(1[6-9]|2\d|3[01])\.|^192\.168\.|^100\.(6[4-9]|[7-9]\d|1[01]\d|12[0-7])\./; + +function publicTarget(raw) { + let u; + try { + u = new URL(raw); + } catch { + return null; + } + if (u.protocol !== 'http:' && u.protocol !== 'https:') return null; + + const h = u.hostname.toLowerCase().replace(/^\[|\]$/g, ''); + if (h === 'localhost' || h.endsWith('.localhost') || h.endsWith('.local') || h.endsWith('.internal')) { + return null; + } + if (PRIVATE_V4.test(h)) return null; + if (h === '::1' || h === '::' || /^f[cd]/.test(h) || h.startsWith('fe80:')) return null; + return u; +} + +/** + * Cloudflare 不讓 Worker 對裸 IP 發出站請求 —— 會直接回 error code 1003 + * （Direct IP Access Not Allowed），連線根本沒發出去。而 0G 的 storage node + * 清一色是裸 IP（實測 http://34.19.125.196:5678）。 + * + * sslip.io 是一個公開的 DNS 服務：a.b.c.d.sslip.io 永遠解析回 a.b.c.d。 + * 換上它之後 Cloudflare 有 hostname 可以打，連到的還是同一台機器同一個埠。 + * + * 只對裸 IPv4 動手。indexer 之後若改成回傳網域名稱，這裡就自動不生效。 + */ +const IPV4 = /^\d{1,3}(?:\.\d{1,3}){3}$/; +const IP_DNS_SUFFIX = '.sslip.io'; + +function dnsResolvable(url) { + if (IPV4.test(url.hostname)) url.hostname = url.hostname + IP_DNS_SUFFIX; + return url; +} + +/** + * 把 JSON 裡所有指向 storage node 的 url 欄位改寫成走這支代理。 * * indexer 回傳的節點清單形狀在不同版本之間變過（有時是陣列，有時是 * { trusted: [...] } 這種分片物件），所以不去假設結構，直接走訪整棵樹， - * 看到叫 url 而且是 http(s) 開頭的字串就換掉。轉發不到的主機（非 0g.ai） - * 原樣留著，讓它自己去失敗，不要靜悄悄地吞掉。 + * 看到叫 url 而且是 http(s) 開頭的字串就換掉。打不到的（內網位址）原樣留著， + * 讓它自己去失敗，不要靜悄悄地吞掉。 + * + * 這裡是非同步的，因為每個網址都要簽一次章。 */ -function rewriteUrls(node, origin) { - if (Array.isArray(node)) return node.map((n) => rewriteUrls(n, origin)); +async function rewriteUrls(node, origin, env) { + if (Array.isArray(node)) return Promise.all(node.map((n) => rewriteUrls(n, origin, env))); if (!node || typeof node !== 'object') return node; const out = {}; for (const [k, v] of Object.entries(node)) { if (k === 'url' && typeof v === 'string' && /^https?:\/\//i.test(v)) { - out[k] = allowed(v) ? `${origin}/api/og/zg/node/${b64urlEncode(v)}` : v; + if (publicTarget(v)) { + out[k] = `${origin}/api/og/zg/node/${await sign(v, env)}/${b64urlEncode(v)}`; + } else { + out[k] = v; + } } else { - out[k] = rewriteUrls(v, origin); + out[k] = await rewriteUrls(v, origin, env); } } return out; @@ -115,9 +211,10 @@ async function forward(target, request, { rewrite = null } = {}) { headers: { 'content-type': res.headers.get('content-type') || 'text/plain' }, }); } - return json(rewrite(parsed), res.status); + return json(await rewrite(parsed), res.status); } catch (err) { - const msg = err && err.name === 'AbortError' ? '轉發逾時' : String(err && err.message ? err.message : err); + const msg = + err && err.name === 'AbortError' ? '轉發逾時' : String(err && err.message ? err.message : err); return json({ error: `代理轉發失敗：${msg}`.slice(0, 200) }, 502); } finally { clearTimeout(timer); @@ -131,31 +228,34 @@ export async function onRequest({ request, params, env }) { // ── /api/og/zg/indexer ────────────────────────────── // 轉發到真的 indexer，並把回應裡的節點網址改寫成走這支代理。 if (segments[0] === 'indexer' && segments.length === 1) { - const target = allowed(indexerOf(env)); + const target = allowedIndexer(indexerOf(env)); if (!target) return json({ error: 'indexer 設定不是合法的 0g.ai https 網址' }, 500); - return forward(target, request, { rewrite: (data) => rewriteUrls(data, origin) }); + return forward(target, request, { rewrite: (data) => rewriteUrls(data, origin, env) }); } - // ── /api/og/zg/node/<編碼網址>/<其餘路徑> ───────────── - // 轉發到那台真的 storage node。 - if (segments[0] === 'node' && segments.length >= 2) { + // ── /api/og/zg/node/<簽章>/<編碼網址>/<其餘路徑> ─────── + // 轉發到那台真的 storage node。簽章不對就不轉。 + if (segments[0] === 'node' && segments.length >= 3) { let decoded; try { - decoded = b64urlDecode(segments[1]); + decoded = b64urlDecode(segments[2]); } catch { return json({ error: '節點網址編碼不正確' }, 400); } - const base = allowed(decoded); - if (!base) return json({ error: '只允許轉發到 0g.ai 的 https 主機' }, 403); + if (!sameSig(segments[1], await sign(decoded, env))) { + return json({ error: '節點網址簽章不符：這支代理只轉發自己發出的節點位址' }, 403); + } + const base = publicTarget(decoded); + if (!base) return json({ error: '不允許轉發到這個位址' }, 403); // 保留節點網址本身的路徑，再接上代理路徑剩下的部分 - const rest = segments.slice(2).map(encodeURIComponent).join('/'); + const rest = segments.slice(3).map(encodeURIComponent).join('/'); const target = new URL( [base.pathname.replace(/\/+$/, ''), rest].filter(Boolean).join('/') || '/', base.origin, ); target.search = new URL(request.url).search; - return forward(target, request); + return forward(dnsResolvable(target), request); } return json({ error: 'unknown proxy route' }, 404); diff --git a/proxy/README.md b/proxy/README.md new file mode 100644 index 0000000..15a5560 --- /dev/null +++ b/proxy/README.md @@ -0,0 +1,78 @@ +# conssswars-zg-proxy + +0G Storage 節點的轉發代理。主站在 Cloudflare Pages，但**這一段不能跑在 Cloudflare 上**。 + +## 為什麼要有這個服務 + +0G 的 storage node 長這樣：`http://34.19.125.196:5678` —— 裸 IP、明文 http、非標準埠。 +瀏覽器不能直接打（https 頁面上是 mixed content，而且節點沒開 CORS），所以要一支代理。 +但代理放在 Cloudflare Pages Functions 上會連撞兩道平台牆： + +| 錯誤 | 原因 | 能不能繞 | +|---|---|---| +| `error 1003` Direct IP Access Not Allowed | Worker 不能對裸 IP 發出站請求 | 可以：改用 `a.b.c.d.sslip.io` 這種解析回同一個 IP 的名稱 | +| `error 521` Web Server Is Down | 節點在 5678，Workers 出站只支援固定幾個埠 | **不行** | + +Node 沒有這兩個限制。所以把轉發搬到這裡，主站其他部分照舊留在 Cloudflare。 + +## 部署（Vercel） + +```bash +cd proxy +npx vercel --prod +``` + +沒有 `vercel.json` 是刻意的 —— Vercel 會自動把 `api/` 底下的檔案當成 Node 函式， +不需要設定檔；寫死 `maxDuration` 之類的值反而可能在免費方案上讓部署直接失敗。 + +第一次會問幾個問題，全部照預設走： + +| 問題 | 答 | +|---|---| +| Set up and deploy? | `y` | +| Which scope? | 你的帳號（Enter） | +| Link to existing project? | `n` | +| Project name? | Enter（用 `proxy`）或自己打一個 | +| In which directory is your code located? | Enter（`./`） | +| Want to modify these settings? | `n` | + +記下輸出的 **Production** 網址，例如 `https://conssswars-zg-proxy.vercel.app`。 + +## 接回主站 + +在 Cloudflare Pages 專案設一個環境變數，指向剛剛那個網址： + +```bash +npx wrangler pages secret put OG_ZG_PROXY_BASE --project-name conssswars-web +# 貼上：https://conssswars-zg-proxy.vercel.app/api +``` + +（或 Dashboard → Settings → Variables and Secrets 加 `OG_ZG_PROXY_BASE`。） + +`/api/og/status` 會把這個值當成 `storage.zgProxy` 下發，前端就會改打這支服務。 +沒設的話前端仍走同源的 `/api/og/zg`，那條路在 Cloudflare 上會失敗 —— 這是預期的。 + +## 路由 + +| 路徑 | 做什麼 | +|---|---| +| `POST /api/indexer` | 轉發到真的 0G indexer，並把回應裡每個節點的 `url` 改寫成下面那條路徑 | +| `POST /api/node/<簽章>//<其餘路徑>` | 轉發到那台真的 storage node | +| `GET /api/health` | 活著沒 | + +## 環境變數 + +| 變數 | 預設 | 用途 | +|---|---|---| +| `OG_PROXY_SECRET` | 內建常數 | 簽章金鑰。擋的是「有人拿這個網域當跳板」，不是機密資料；沒設也能運作 | +| `OG_STORAGE_INDEXER` | `https://indexer-storage-testnet-turbo.0g.ai` | 上游 indexer，只接受 `0g.ai` 底下的 https | +| `ALLOWED_ORIGINS` | 空 | 額外放行的 CORS 來源，逗號分隔。`*.pages.dev` 與 localhost 內建放行 | +| `PUBLIC_BASE_URL` | 由請求標頭推斷 | 改寫節點網址時用的自身網址 | +| `ZG_ALLOW_LOOPBACK` | 未設 | **只給本機測試**，關掉內網過濾好把假節點架在 127.0.0.1。正式環境不要設 | + +## 安全性 + +節點是裸 IP，沒有網域可以白名單，所以用 **HMAC 簽章**綁住：只有這支服務自己從 +indexer 回應吐出來的網址才轉發得動，外人塞任意網址進來拿 403 —— 不會變成人人可用的 +開放代理。另外擋掉內網 / link-local / 雲端 metadata 位址，並且不把 `cookie`、 +`authorization` 這類標頭轉給第三方主機。 diff --git a/proxy/api/index.js b/proxy/api/index.js new file mode 100644 index 0000000..d44ef81 --- /dev/null +++ b/proxy/api/index.js @@ -0,0 +1,325 @@ +/** + * 0G Storage 節點的轉發代理（Node / Vercel 版）。 + * + * 為什麼需要一個「不是 Cloudflare」的代理： + * + * 主站跑在 Cloudflare Pages。原本的代理寫成 Pages Function，結果連撞兩道 + * 平台牆，而 0G 的 storage node 兩道都踩到： + * + * error 1003 Direct IP Access Not Allowed + * Worker 不能對裸 IP 發出站請求，而節點清一色是裸 IP + * （實測 http://34.19.125.196:5678）。 + * 這道還能繞：改用 a.b.c.d.sslip.io 這種會解析回同一個 IP 的名稱。 + * + * error 521 Web Server Is Down + * 節點跑在 5678，Cloudflare Workers 的出站只支援固定幾個埠。 + * 這道繞不掉。 + * + * Node 沒有這兩個限制，一般的 fetch 就能打 http://IP:5678。所以把這一段搬出來。 + * + * 流程跟原本一樣，只是換了執行環境： + * + * 前端 new Indexer('https://<這個服務>/api/indexer') + * │ + * ├─ /api/indexer 轉發到真的 0G indexer， + * │ 並把回應裡每個節點的 url 改寫成 /api/node/<簽章>/<編碼後的原始網址> + * │ + * └─ /api/node/... 再轉發到那台真的 storage node + * + * 安全性：節點是裸 IP，沒有網域可以白名單，所以用 HMAC 簽章綁住 —— + * 只有這支服務自己從 indexer 回應吐出來的網址才轉發得動，外人塞一個任意網址 + * 進來會被擋，不會變成人人可用的開放代理。另外擋掉內網位址。 + */ + +import { createHmac, timingSafeEqual } from 'node:crypto'; + +/** 上游 indexer。只認 0g.ai 底下的 https。 */ +const DEFAULT_INDEXER = 'https://indexer-storage-testnet-turbo.0g.ai'; +const INDEXER_SUFFIX = '.0g.ai'; +const INDEXER_EXACT = '0g.ai'; + +const MAX_BODY = 6 * 1024 * 1024; // 一個 segment 是 256KB，留足餘裕 +const TIMEOUT_MS = 45000; + +const b64urlEncode = (s) => Buffer.from(s, 'utf8').toString('base64url'); +const b64urlDecode = (s) => Buffer.from(s, 'base64url').toString('utf8'); + +const secretOf = () => process.env.OG_PROXY_SECRET || 'conssswars/og-zg-proxy/v1'; + +/** 取 HMAC 前 16 bytes 轉十六進位：32 個字，夠短也夠難猜。 */ +const sign = (url) => createHmac('sha256', secretOf()).update(url).digest('hex').slice(0, 32); + +/** 定時比對，不要因為提早 return 而洩漏正確簽章的前綴。 */ +function sameSig(a, b) { + if (typeof a !== 'string' || typeof b !== 'string' || a.length !== b.length) return false; + return timingSafeEqual(Buffer.from(a), Buffer.from(b)); +} + +function allowedIndexer(target) { + let u; + try { + u = new URL(target); + } catch { + return null; + } + if (u.protocol !== 'https:') return null; + const h = u.hostname.toLowerCase(); + if (h !== INDEXER_EXACT && !h.endsWith(INDEXER_SUFFIX)) return null; + return u; +} + +/** + * 內網位址一律拒絕。 + * + * 節點網址是 indexer 給的，正常都是公網 IP；但簽章金鑰萬一外流，這道防線 + * 讓這支服務仍然打不到任何內部服務（含雲端 metadata 端點）。 + * + * ZG_ALLOW_LOOPBACK 只給本機測試用 —— 有了它才能把假的 storage node 架在 + * 127.0.0.1 上跑完整條鏈路。正式環境不要設。 + */ +const PRIVATE_V4 = + /^(0|10|127)\.|^169\.254\.|^172\.(1[6-9]|2\d|3[01])\.|^192\.168\.|^100\.(6[4-9]|[7-9]\d|1[01]\d|12[0-7])\./; + +function publicTarget(raw) { + let u; + try { + u = new URL(raw); + } catch { + return null; + } + if (u.protocol !== 'http:' && u.protocol !== 'https:') return null; + if (process.env.ZG_ALLOW_LOOPBACK === '1') return u; + + const h = u.hostname.toLowerCase().replace(/^\[|\]$/g, ''); + if (h === 'localhost' || h.endsWith('.localhost') || h.endsWith('.local') || h.endsWith('.internal')) { + return null; + } + if (PRIVATE_V4.test(h)) return null; + if (h === '::1' || h === '::' || /^f[cd]/.test(h) || h.startsWith('fe80:')) return null; + return u; +} + +/** + * 把 JSON 裡所有指向 storage node 的 url 欄位改寫成走這支服務。 + * + * indexer 回傳的節點清單形狀在版本之間變過（有時是陣列，有時是 + * { trusted: [...] }），所以不假設結構，直接走訪整棵樹，看到叫 url 而且是 + * http(s) 開頭的字串就換掉。打不到的（內網位址）原樣留著，讓它自己去失敗。 + */ +function rewriteUrls(node, base) { + if (Array.isArray(node)) return node.map((n) => rewriteUrls(n, base)); + if (!node || typeof node !== 'object') return node; + + const out = {}; + for (const [k, v] of Object.entries(node)) { + if (k === 'url' && typeof v === 'string' && /^https?:\/\//i.test(v)) { + out[k] = publicTarget(v) ? `${base}/api/node/${sign(v)}/${b64urlEncode(v)}` : v; + } else { + out[k] = rewriteUrls(v, base); + } + } + return out; +} + +/** + * 誰可以跨網域呼叫這支服務。 + * + * 主站在 *.pages.dev，本機開發在 localhost。要放行別的網域就設 + * ALLOWED_ORIGINS（逗號分隔）。認不出來的來源不給 CORS 標頭， + * 瀏覽器那邊就會被擋下來。 + */ +function corsOrigin(origin) { + if (!origin) return null; + const list = (process.env.ALLOWED_ORIGINS || '') + .split(',') + .map((s) => s.trim()) + .filter(Boolean); + if (list.includes(origin)) return origin; + try { + const u = new URL(origin); + if (u.protocol === 'https:' && u.hostname.endsWith('.pages.dev')) return origin; + if (u.hostname === 'localhost' || u.hostname === '127.0.0.1') return origin; + } catch { + return null; + } + return null; +} + +function setCors(req, res) { + const origin = corsOrigin(req.headers.origin); + if (!origin) return; + res.setHeader('access-control-allow-origin', origin); + res.setHeader('vary', 'origin'); + res.setHeader('access-control-allow-methods', 'GET,POST,OPTIONS'); + res.setHeader('access-control-allow-headers', 'content-type'); + res.setHeader('access-control-max-age', '86400'); +} + +const send = (res, status, data) => { + res.statusCode = status; + res.setHeader('content-type', 'application/json; charset=utf-8'); + res.setHeader('cache-control', 'no-store'); + res.end(JSON.stringify(data)); +}; + +/** 原樣讀 body，不經過 JSON 解析再序列化 —— segment 要一個 byte 都不差。 */ +async function readBody(req) { + const chunks = []; + let size = 0; + for await (const chunk of req) { + size += chunk.length; + if (size > MAX_BODY) throw new Error('payload too large'); + chunks.push(chunk); + } + return Buffer.concat(chunks); +} + +async function forward(target, req, res, { rewrite = null } = {}) { + const ac = new AbortController(); + const timer = setTimeout(() => ac.abort(), TIMEOUT_MS); + try { + const method = req.method || 'GET'; + const body = method === 'GET' || method === 'HEAD' ? undefined : await readBody(req); + + const upstream = await fetch(target.toString(), { + method, + signal: ac.signal, + // 只帶必要的標頭：不要把 cookie、authorization 之類的東西轉給第三方主機 + headers: { 'content-type': req.headers['content-type'] || 'application/json' }, + body, + }); + + const text = await upstream.text(); + if (!rewrite) { + res.statusCode = upstream.status; + res.setHeader('content-type', upstream.headers.get('content-type') || 'application/json'); + res.setHeader('cache-control', 'no-store'); + return res.end(text); + } + + let parsed; + try { + parsed = JSON.parse(text); + } catch { + // 不是 JSON 就原樣回去，改寫本來就只對 JSON 有意義 + res.statusCode = upstream.status; + res.setHeader('content-type', upstream.headers.get('content-type') || 'text/plain'); + return res.end(text); + } + return send(res, upstream.status, rewrite(parsed)); + } catch (err) { + const msg = + err && err.name === 'AbortError' ? '轉發逾時' : String(err && err.message ? err.message : err); + return send(res, 502, { error: `代理轉發失敗：${msg}`.slice(0, 200) }); + } finally { + clearTimeout(timer); + } +} + +/** 這支服務自己的外部網址，節點網址要改寫成指向它。 */ +function selfBase(req) { + if (process.env.PUBLIC_BASE_URL) return process.env.PUBLIC_BASE_URL.replace(/\/+$/, ''); + const proto = String(req.headers['x-forwarded-proto'] || 'https').split(',')[0]; + const host = req.headers['x-forwarded-host'] || req.headers.host; + return `${proto}://${host}`; +} + +export const config = { api: { bodyParser: false } }; + +/** + * 路徑怎麼拿：三個來源依序試，不押寶在任何一個上。 + * + * 這裡踩過兩次坑。先是靠 Vercel 的 catch-all 參數 req.query.path，結果 + * /api/health 直接落到 404 —— 那個參數在這個執行環境上是空的。改成自己解析 + * req.url 之後 /api/indexer 通了，但 /api/node/<簽章>/<網址> 的預檢仍然沒進到 + * 函式（瀏覽器只看得到「preflight 沒有 Access-Control-Allow-Origin」）， + * 也就是深一層的路徑根本沒被路由過來。 + * + * 所以現在改成 vercel.json 明寫一條 rewrite，把 /api/* 全部導到這支函式， + * 並把原始路徑放進 zgpath 查詢參數 —— rewrite 之後 req.url 會不會保留原路徑 + * 是平台細節，不值得賭。zgpath 沒有就退回解析 req.url，再沒有才看 + * req.query.path。三個來源任一個成立就能正確路由。 + */ +const decodeSeg = (s) => { + try { + return decodeURIComponent(s); + } catch { + return s; + } +}; + +const splitPath = (p) => + String(p || '') + .replace(/^\/+/, '') + .replace(/^api\/?/, '') + .split('/') + .filter(Boolean) + .map(decodeSeg); + +function pathSegments(req) { + const url = new URL(req.url || '/', 'http://placeholder'); + + const zgpath = url.searchParams.get('zgpath'); + if (zgpath) return splitPath(zgpath); + + const fromUrl = splitPath(url.pathname); + if (fromUrl.length && fromUrl[0] !== 'index') return fromUrl; + + const raw = req.query?.path ?? []; + const fromQuery = (Array.isArray(raw) ? raw : [raw]).filter(Boolean); + if (fromQuery.length) return fromQuery; + + return fromUrl; +} + +export default async function handler(req, res) { + setCors(req, res); + if (req.method === 'OPTIONS') { + res.statusCode = 204; + return res.end(); + } + + const segments = pathSegments(req); + + // ── /api/indexer ──────────────────────────────────── + if (segments[0] === 'indexer' && segments.length === 1) { + const target = allowedIndexer(process.env.OG_STORAGE_INDEXER || DEFAULT_INDEXER); + if (!target) return send(res, 500, { error: 'indexer 設定不是合法的 0g.ai https 網址' }); + const base = selfBase(req); + return forward(target, req, res, { rewrite: (data) => rewriteUrls(data, base) }); + } + + // ── /api/node/<簽章>/<編碼網址>/<其餘路徑> ──────────── + if (segments[0] === 'node' && segments.length >= 3) { + let decoded; + try { + decoded = b64urlDecode(segments[2]); + } catch { + return send(res, 400, { error: '節點網址編碼不正確' }); + } + if (!sameSig(segments[1], sign(decoded))) { + return send(res, 403, { error: '節點網址簽章不符：這支代理只轉發自己發出的節點位址' }); + } + const upstreamBase = publicTarget(decoded); + if (!upstreamBase) return send(res, 403, { error: '不允許轉發到這個位址' }); + + // 保留節點網址本身的路徑，再接上代理路徑剩下的部分 + const rest = segments.slice(3).map(encodeURIComponent).join('/'); + const target = new URL( + [upstreamBase.pathname.replace(/\/+$/, ''), rest].filter(Boolean).join('/') || '/', + upstreamBase.origin, + ); + // 查詢字串照轉，但 zgpath 是我們自己的路由參數，不能漏到 storage node 去 + const incoming = new URL(req.url || '/', 'http://placeholder'); + incoming.searchParams.delete('zgpath'); + target.search = incoming.search; + return forward(target, req, res); + } + + // ── /api/health ───────────────────────────────────── + if (segments[0] === 'health') { + return send(res, 200, { ok: true, service: 'conssswars-zg-proxy' }); + } + + return send(res, 404, { error: 'unknown proxy route', saw: segments, url: req.url }); +} diff --git a/proxy/package.json b/proxy/package.json new file mode 100644 index 0000000..4fd753e --- /dev/null +++ b/proxy/package.json @@ -0,0 +1,8 @@ +{ + "name": "conssswars-zg-proxy", + "private": true, + "version": "1.0.0", + "type": "module", + "description": "0G Storage 節點的同源代理。Cloudflare Workers 打不到裸 IP 與非標準埠，這支跑在 Node 上補這一段。", + "engines": { "node": ">=20" } +} diff --git a/proxy/vercel.json b/proxy/vercel.json new file mode 100644 index 0000000..e80b72d --- /dev/null +++ b/proxy/vercel.json @@ -0,0 +1,6 @@ +{ + "$schema": "https://openapi.vercel.sh/vercel.json", + "rewrites": [ + { "source": "/api/(.*)", "destination": "/api/index?zgpath=$1" } + ] +} diff --git a/public/404.html b/public/404.html new file mode 100644 index 0000000..9cf2469 --- /dev/null +++ b/public/404.html @@ -0,0 +1,10 @@ + + +找不到這個檔案 · ConSSS Wars + +
+

404

+

這個路徑沒有對應的檔案。

+

如果你看到的是 /js/、/css/、/images/ 或 /vendor/ 底下的檔案變成這一頁，代表那個檔案沒有被部署上來 —— 不是程式壞了，是部署少了東西。

+

回遊戲

+
diff --git a/public/_redirects b/public/_redirects deleted file mode 100644 index 53d6dfe..0000000 --- a/public/_redirects +++ /dev/null @@ -1,2 +0,0 @@ -# 單頁遊戲：找不到實體檔案就回 index.html（/api/* 由 Functions 先接手） -/* /index.html 200 diff --git a/public/css/style.css b/public/css/style.css index 4ff7f97..18aabdf 100644 --- a/public/css/style.css +++ b/public/css/style.css @@ -486,7 +486,14 @@ body { min-width: 0; } -.hud-side--hero { +/* + * 靠外側的那一方要把核心圖示推到外緣、文字靠右。 + * + * 這個修飾詞原本掛在 hero 上，因為 HUD 曾經是「遺忘者在左、玩家在右」。 + * 現在改成玩家在左、遺忘者在右（跟棋盤上「你在左、遺忘者在右」一致）， + * 所以反轉的是 foe 這一側。 + */ +.hud-side--foe { flex-direction: row-reverse; text-align: right; } diff --git a/public/index.html b/public/index.html index 814b16f..7027c87 100644 --- a/public/index.html +++ b/public/index.html @@ -8,12 +8,12 @@ /> - 鏈之英雄傳 ConSSS Wars — 無重之憶 Weightless Memory + 鏈州英雄傳 ConSSS Wars — 無重之憶 Weightless Memory - + @@ -29,7 +29,7 @@
-

鏈之英雄傳

+

鏈州英雄傳

ConSSS Wars

無重之憶

@@ -72,24 +72,24 @@

一分鐘作戰

-
- +
+
- 遺忘者 -
- 15 + 零界守望者 +
+ 15
1 / 7 回合
-
- +
+
- 零界守望者 -
- 15 + 遺忘者 +
+ 15
diff --git a/public/js/art.js b/public/js/art.js index 060e078..6fce08f 100644 --- a/public/js/art.js +++ b/public/js/art.js @@ -353,9 +353,9 @@ export function heroPortrait(key) { * 所以按順序試，載得起來的那個就是。找不到任何一個就退回 art.js 現畫的 inline SVG。 */ const HERO_SHEET_CANDIDATES = [ - '/images/heroes.png', + '/images/heroes.jpeg', // repo 裡實際放的那一個，永遠第一個試 '/images/heroes.jpg', - '/images/heroes.jpeg', + '/images/heroes.png', '/images/heroes.webp', ]; @@ -375,20 +375,24 @@ function tryLoad(src) { } /** - * 四個候選同時載，不要一個一個等。 + * 依序試，實際存在的那個副檔名排第一個。 + * + * 之前是四個平行載，因為當時線上有 SPA fallback：找不到的檔案不會快速 404， + * 而是回一整份 index.html 才失敗，依序試會拖慢開場。那條 fallback 已經拿掉， + * 不存在的檔案現在直接 404，所以依序試的代價回到正常。 * - * 線上有 SPA fallback（找不到檔案就回 index.html 200），所以不存在的副檔名 - * 不會快速 404，而是回一整份 HTML 才失敗。依序試的話光是前兩個就足以讓 - * 簡報畫面先畫完、退回 SVG。平行跑就只花「最慢的那一個」的時間， - * 再依候選順序挑第一個成功的，結果仍然是確定的。 + * 改回依序還有一個好處：正常情況只發一個請求就命中，console 不會多出三筆 + * 紅色的 404。評審會打開 console 看，那三筆雜訊會讓人以為東西壞了。 */ export async function probeHeroSheet() { if (sheetState !== null) return sheetState; - const results = await Promise.all(HERO_SHEET_CANDIDATES.map(tryLoad)); - const hit = results.findIndex(Boolean); - if (hit === -1) return (sheetState = false); - HERO_SHEET = HERO_SHEET_CANDIDATES[hit]; - return (sheetState = true); + for (const src of HERO_SHEET_CANDIDATES) { + if (await tryLoad(src)) { + HERO_SHEET = src; + return (sheetState = true); + } + } + return (sheetState = false); } export const heroSheetReady = () => sheetState === true; diff --git a/public/js/main.js b/public/js/main.js index 8298f81..b6b9e30 100644 --- a/public/js/main.js +++ b/public/js/main.js @@ -767,7 +767,7 @@ async function uploadToStorage() { try { const { root, tx } = await ZGS.upload(game.shard.shard, { - indexer: st && st.indexer, + proxyBase: st && st.zgProxy, rpc: game.ogStatus && game.ogStatus.network && game.ogStatus.network.rpcUrl, onStep: (msg) => { btn.textContent = '上傳中…'; @@ -803,7 +803,7 @@ async function uploadToStorage() { note.textContent = '診斷中…'; // explainError 會再從瀏覽器打一次 indexer，跟伺服器端的結果交叉比對 note.textContent = await ZGS.explainError(err, { - indexer: st && st.indexer, + proxyBase: st && st.zgProxy, serverSaysLive: Boolean(st && st.live), }); } diff --git a/public/js/rules.js b/public/js/rules.js index 4649d3d..fb897a5 100644 --- a/public/js/rules.js +++ b/public/js/rules.js @@ -1,5 +1,5 @@ /** - * 鏈之英雄傳 ConSSS Wars — 無重之憶 · Weightless Memory + * 鏈州英雄傳 ConSSS Wars — 無重之憶 · Weightless Memory * 純規則層（deterministic，無 DOM、無網路），前端與 AI agent 提示共用同一份定義。 * * 戰場：3 條「記憶迴廊」，每條 3 格。 diff --git a/public/js/storage.js b/public/js/storage.js index ff9eaac..21d7219 100644 --- a/public/js/storage.js +++ b/public/js/storage.js @@ -21,11 +21,20 @@ const ETHERS_URL = '/vendor/ethers.min.js'; * indexer 走自家的同源代理，不直接打 0g.ai。 * * 直接打的話 indexer 本身通得過，但它回傳的 storage node 是另一批主機， - * 那些主機沒為瀏覽器開 CORS，SDK 傳 segment 時只會拿到一句沒有內容的 - * "Network Error"。代理會把節點網址一併改寫成走同一支 Function， - * 整條上傳鏈路就都是同源的了。見 functions/api/og/zg/[[path]].js。 + * 而且長這樣：http://34.19.125.196:5678 —— 裸 IP、明文 http。 + * 對一個 https 頁面來說那是 mixed content，瀏覽器連送都不送就擋掉， + * SDK 只會拿到一句沒有內容的 "Network Error"。代理會把節點網址一併改寫成 + * 走同一支 Function，整條上傳鏈路就都是同源的 https 了。 + * + * 代理那端還有第二關：Cloudflare 不讓 Worker 對裸 IP 發出站請求（error 1003）， + * 所以轉發前會把 IP 換成解析回同一個 IP 的 DNS 名稱。 + * 兩件事都在 functions/api/og/zg/[[path]].js。 */ -const DEFAULT_INDEXER = '/api/og/zg/indexer'; +const DEFAULT_PROXY_BASE = '/api/og/zg'; + +/** 代理的 indexer 端點。proxyBase 由 /api/og/status 下發，見那支的 zgProxy。 */ +const indexerUrl = (proxyBase) => + new URL(`${(proxyBase || DEFAULT_PROXY_BASE).replace(/\/+$/, '')}/indexer`, location.origin).toString(); /** EVM RPC 維持直連：它走 MetaMask 與公開節點，實測瀏覽器打得通。 */ const DEFAULT_RPC = 'https://evmrpc-testnet.0g.ai'; @@ -66,7 +75,7 @@ export async function computeRoot(shard) { * onStep 會在每個階段被呼叫一次，讓畫面可以照實顯示進度 —— * 這段要跟鏈上互動，慢的時候十幾秒跑不掉，不能讓玩家對著沒反應的畫面等。 */ -export async function upload(shard, { indexer, rpc, onStep } = {}) { +export async function upload(shard, { proxyBase, rpc, onStep } = {}) { const step = (msg) => { if (typeof onStep === 'function') onStep(msg); }; @@ -98,7 +107,7 @@ export async function upload(shard, { indexer, rpc, onStep } = {}) { step('送出 Flow 合約 submit 並上傳 segment…'); // 這裡刻意忽略呼叫端傳進來的真實 indexer 網址，一律走代理 —— // 直連的話 segment 那步會被 storage node 的 CORS 擋掉。 - const client = new zg.Indexer(new URL(DEFAULT_INDEXER, location.origin).toString()); + const client = new zg.Indexer(indexerUrl(proxyBase)); const [tx, err] = await client.upload(data, rpc || DEFAULT_RPC, signer); if (err) throw new Error(String(err && err.message ? err.message : err)); @@ -114,9 +123,9 @@ export async function upload(shard, { indexer, rpc, onStep } = {}) { * 那就是對方沒開 CORS，而不是玩家網路有問題 —— 這兩件事的處理方式差很多， * 不講清楚玩家只會一直重試。 */ -export async function probeIndexerFromBrowser(indexer) { +export async function probeIndexerFromBrowser(proxyBase) { try { - const res = await fetch(indexer, { + const res = await fetch(indexerUrl(proxyBase), { method: 'POST', headers: { 'content-type': 'application/json' }, body: JSON.stringify({ jsonrpc: '2.0', id: 1, method: 'indexer_getShardedNodes', params: [] }), @@ -134,7 +143,7 @@ export async function probeIndexerFromBrowser(indexer) { * 交叉比對才能給出正確的診斷，光看錯誤字串會把 CORS 誤判成網路問題。 * 不管分到哪一類，原始訊息都保留在後面，否則出事時完全無從查起。 */ -export async function explainError(err, { indexer, serverSaysLive } = {}) { +export async function explainError(err, { proxyBase, serverSaysLive } = {}) { const msg = String((err && (err.message || err.reason)) || err); if (/insufficient|balance|funds/i.test(msg)) { @@ -147,18 +156,26 @@ export async function explainError(err, { indexer, serverSaysLive } = {}) { return '錢包已經有一個待處理的請求。請打開 MetaMask 按下確認，不要重複點這顆按鈕。'; } + if (/status code 403|status code 502|\b1003\b/.test(msg)) { + return `0G storage node 的轉發被拒（403/502）。節點是裸 IP，Cloudflare 不讓 Worker 直接打裸 IP（error 1003），我們改用會解析回同一個 IP 的 DNS 名稱繞過 —— 這個錯誤代表繞法在這個節點上沒生效。原始錯誤：${msg.slice(0, 120)}`; + } + + if (/mixed content|insecure .*(request|endpoint)|must be served over https/i.test(msg)) { + return `瀏覽器擋掉了對 storage node 的明文連線（mixed content）。這一版應該全程走同源代理才對 —— 請強制重新整理（Shift+Reload）確認拿到的是最新的 js。原始錯誤：${msg.slice(0, 120)}`; + } + if (/failed to fetch|network|fetch|timeout|ECONN|load failed/i.test(msg)) { - if (indexer) { - const probe = await probeIndexerFromBrowser(indexer); - if (!probe.reachable && serverSaysLive) { - return `0G Storage 的 indexer 不允許瀏覽器直接連線（CORS）—— 伺服器端連得到，這個瀏覽器連不到。這是節點端的限制，不是你的網路問題。原始錯誤：${msg.slice(0, 100)}`; - } - if (!probe.reachable) { - return `連不上 0G Storage 節點（伺服器端也連不到，可能是節點在維護）。原始錯誤：${msg.slice(0, 100)}`; - } - return `indexer 連得到，但上傳過程中斷 —— 可能是卡在後面的 storage node 或 Flow 合約那步。原始錯誤：${msg.slice(0, 140)}`; + // 現在 indexer 與 storage node 都走同源代理，所以先確認代理自己活著。 + // 代理通、上傳還是斷，那就是斷在代理後面（節點或 Flow 合約）， + // 不是瀏覽器的 CORS / mixed content 問題。 + const probe = await probeIndexerFromBrowser(proxyBase); + if (!probe.reachable) { + return `連不上 0G 代理（${indexerUrl(proxyBase)}）—— 代理沒部署，或它沒放行這個網域的 CORS。原始錯誤：${msg.slice(0, 100)}`; + } + if (!serverSaysLive) { + return `代理正常，但伺服器端也連不到 0G 的 indexer，可能是節點在維護。原始錯誤：${msg.slice(0, 100)}`; } - return `連線失敗：${msg.slice(0, 160)}`; + return `代理與 indexer 都正常，上傳斷在後面那一步（storage node 傳 segment 或 Flow 合約 submit）。原始錯誤：${msg.slice(0, 140)}`; } return msg.slice(0, 220); diff --git a/public/js/story.js b/public/js/story.js index e92eff3..cfe25a5 100644 --- a/public/js/story.js +++ b/public/js/story.js @@ -4,7 +4,7 @@ */ export const TITLE = { - main: '鏈之英雄傳', + main: '鏈州英雄傳', en: 'ConSSS Wars', sub: '無重之憶', subEn: 'Weightless Memory', diff --git a/public/manifest.webmanifest b/public/manifest.webmanifest index 08b5d69..eb56b4d 100644 --- a/public/manifest.webmanifest +++ b/public/manifest.webmanifest @@ -1,5 +1,5 @@ { - "name": "鏈之英雄傳 ConSSS Wars — 無重之憶", + "name": "鏈州英雄傳 ConSSS Wars — 無重之憶", "short_name": "ConSSS Wars", "description": "一分鐘策略戰，敵人是跑在 0G 上的 AI agent。", "start_url": "/", diff --git a/slides/conssswars-weightless-memory.pdf b/slides/conssswars-weightless-memory.pdf index d85c337..ccdebf7 100644 Binary files a/slides/conssswars-weightless-memory.pdf and b/slides/conssswars-weightless-memory.pdf differ