feat(plugin): 插件在线分发的安全模型——签名、审核、封禁 + 补三个加载期漏洞

[zeweihan]

背景

上一轮讨论确定了方向：学 VS Code 的路子，把安全前移到分发链路。原因是运行时根本拦不住——插件 JAR 与宿主同 JVM 同权限，而 Java 的 SecurityManager 已于 JEP 486 在 JDK 24 永久禁用，OpenJDK 官方给出的替代方案就是进程外隔离。VS Code 与 JetBrains 都明确不做运行时沙箱，靠的是签名 + 审核 + 封禁。

配套官网 PR：aiworkdeck_website feat/plugin-distribution（162a5d1 + e42949e）

设计文档：docs/PLUGIN_DISTRIBUTION.md

一、先补三个加载期漏洞（28e175ec）

这三个与在线分发无关，本地手放插件的场景现在就会踩：

1. 禁用的插件仍会被加载。此前禁用只是把工具从 LLM 可见列表摘掉，JAR 早已 loadClass、静态初始化块与无参构造器都跑过了。管理员点「禁用」的预期是「别运行它」，必须在加载前拦住。现在元数据仍登记（管理页照常展示与启停），但不碰 JAR；运行中启用一个启动时被禁的插件会自动补加载。
2. backendJars 路径逃逸。manifest 由作者提供，"../../evil.jar" 能指到插件目录外。新增 resolveBackendJar() 用 canonical path 校验（同时挡符号链接）。
3. pluginSkillDirs 改 CopyOnWriteArrayList——同类集合都因 rescan clear+重填用了并发安全实现，这处是遗漏。

PLUGIN_SPEC.md 同步修正了会让读者高估安全性的措辞：permissions 从「被授予」改为「自行声明」并加显式警告，「独立 ClassLoader」点明父加载器是宿主，补充禁用语义表、rescan 限制、桌面版插件目录落在用户可写的 ~/.aiworkdeck/plugins/。

二、在线安装与验签（b3d5e984）

PluginMarketService 按 PLUGIN_DISTRIBUTION.md §7：

• 先拉 bundle 用内置 Ed25519 公钥验签，验签失败在下载任何文件之前中止；
• 逐文件下载并比对 SHA-256，任一不符即中止；
• 全部通过后先写临时目录再原子移动，避免半成品被扫描到；
• 清单里的相对路径同样做逃逸校验（注册表本身也可能被攻陷）；
• 装完先 markDisabledBeforeLoad 再 rescan——新插件默认禁用，配合第一部分的「禁用即不加载」，用户点启用之前插件代码一行都不会执行。

PluginRevocationService 启动时与每 24 小时同步平台封禁列表，命中的已安装插件强制禁用。封禁不可撤销（setEnabled 拒绝启用被封禁插件，只允许卸载），但不自动删文件——避免误封导致用户数据丢失。

未配置 ai.plugins.registry-public-key 时拒绝一切在线安装（默认留空，需随版本发布填入平台公钥）。

三、广场插件分区（3779c6d2）

从占位换成真实列表，安装前弹确认框列出插件名、作者、声明能力，并写明「插件与本机应用同等权限，能读写你的文件并访问网络。安装后默认停用」。注册表不可达时只在本区块内降级提示。

关于扫描能力（在官网侧）

官网的静态扫描做 class 常量池字符串匹配，覆盖进程执行、TLS 篡改、反射突破、宿主内部访问、网络、文件、反序列化、原生库，另检出硬编码 IP 与明文 HTTP。

最有价值的是交叉验证：把实际引用与 manifest 的 permissions 自述比对，声明与行为不符（如未声明 network 却引用 Socket）会被标出。这让权限声明第一次具备约束力——它不再只是作者的自说自话，而是审核时的对照基准。

验证

• 后端全量 301 tests 通过；新增 14 个覆盖：路径逃逸拒绝、目录内 JAR 放行、禁用插件登记但不注册工具、验签正误、files 键序无关、未配公钥拒装、非法 id、哈希不符中止且不落盘、验签失败不下载、封禁强制禁用且不可重新启用、semver 比较。
• 跨语言签名对拍：用官网 Node crypto 签发的签名，桌面端 JDK 验签通过。canonical JSON 差一个字节就会失败，这条必须实测而非推断；用例以 -Dcrosscheck.file 开关控制，CI 无该文件时自动跳过。
• 官网侧端到端：用 JDK 21 编译了两个测试插件（一个诚实、一个声明零权限却读文件并向硬编码 IP 明文外传），可疑那个命中三条规则 + 两条交叉验证；审核通过后公钥验签通过、篡改版本号验签失败；驳回与封禁的插件 bundle/file 均 404；路径白名单挡住 ../ 与编码绕过。
• check:emits 与 build:h5 通过；浏览器验证插件分区渲染、已安装/可更新标记、权限标签、注册表不可达的降级路径。

部署前须做

1. 生成 Ed25519 密钥对，私钥写入官网服务器 AWD_PLUGIN_SIGNING_KEY，公钥填入 application.yml 的 ai.plugins.registry-public-key（未配置时在线安装一律拒绝，属安全默认）。
2. 官网 PR 部署后 registry 才有 /api/registry/plugins 系列接口。

🤖 Generated with Claude Code