Update plugin 隐阅盒 v1.3.3

[me1dlinger]

插件信息

• 名称: 隐阅盒
• 插件ID: hushreader
• 版本: 1.3.3
• 描述: 隐阅盒，ZTools自己的摸鱼阅读，支持TXT/EPUB/MOBI格式，沉浸式阅读
• 作者: meidlinger
• 类型: 更新

本次变更

1.3.3 - 2026-06-19

Added

• 自动检测系统深浅色模式：在插件加载时，根据系统深浅色模式自动切换主题，支持手动切换主题
• 资源管理器打开文件位置：在书籍右键菜单新增"打开文件位置"选项，使用ztools.shellShowItemInFolder()
• 隐阅定时器：新增设置项，打开定时器后可设置一个时长，隐阅时间到达之后自动关闭隐阅窗口并Toast提示用户
• 备份和恢复所有阅读进度与配置：备份和恢复所有阅读进度与配置。插件设置导出，所有书籍的元数据导出。实现设置导入，书籍数据导入
• 多配置切换：实现多配置切换、添加和删除(最少保留一个配置)，导入的配置自动添加为新配置

Changed

• 分离配置和书籍的导入导出：将配置和书籍的导入导出分离，配置导入导出时仅和配置相关，书籍导入导出时仅和书籍数据相关
• 定时器相关通知：在隐阅界面弹出相应通知

Fixed

• 配置无法导入的问题：修复配置无法导入的问题
• 优化代码 ：减少不必要的性能开销
• 系统主题自动切换：修复系统主题发生变化时，systemDark 和 effectiveTheme 无法自动更新
• 优化书籍导入流程：在导入书籍的循环中，每次调用 bookStore.addBook(book) 都会触发一次同步的 save() 写入操作（保存到 dbStorage 或 localStorage）。如果用户导入的书籍数量较多，会产生大量连续的同步 I/O 写入
• JSON配置导入漏洞：如果导入的备份 JSON 文件被恶意篡改，包含 proto 或 constructor 等属性，可能会导致原型链污染（Prototype Pollution）漏洞

截图 / 演示

自检清单

• plugin.json 的 name / title / version / description / author 字段均已检查
• 已移除调试日志、未使用文件、敏感信息（.env、token、密钥等）
• 本次 PR 的 diff 仅涉及 plugins/hushreader/ 目录
• 已在本地 ZTools 客户端实际加载并测试过此插件，主要功能正常
• 同意以仓库声明的开源协议发布此插件

---

此 PR 由 ztools-plugin-cli 自动管理：每次 ztools publish 在分支上追加一个 commit，PR 链接保持不变。

[gemini-code-assist]

Code Review

This pull request introduces several features to the hushreader plugin, including a reading timer, configuration and book backup/restore (import/export), multi-configuration management, automatic system theme detection, and an 'Open file location' context menu option. The review feedback highlights several critical areas for improvement: fixing a performance issue with frequent timer recreation, resolving a reactivity bug in the theme toggle by converting system dark mode detection to a reactive ref, optimizing book import performance by batching database writes, preventing prototype pollution in the deepMerge utility, and adding defensive validation for the timer duration input.

Important

The consumer version of Gemini Code Assist on GitHub is being sunset. Starting June 18, 2026, new organization installations will be blocked, and all code review activity will officially cease on July 17, 2026.
For more details on the timeline and next steps, please review the Help Documentation.

[gemini-code-assist]

在 hushreaderSetState 中，settings.timerRemaining 是通过 Date.now() 动态计算的，因此每次状态推送（如翻页、鼠标移入移出等）时，其值都会发生微小的变化。这会导致 newTimerRemaining !== timerRemaining 始终为 true，从而在每次状态更新时都频繁地清除并重新创建 setInterval 定时器。

这不仅会带来不必要的性能开销，还会导致倒计时显示出现抖动或卡顿。建议仅在时间偏差较大（例如大于 2 秒）或定时器状态发生根本改变时才重新初始化定时器。

Suggested change

	const newTimerRemaining = settings.timerEnabled ? settings.timerRemaining : null
	if (newTimerRemaining !== timerRemaining) {
	timerRemaining = newTimerRemaining
	startTimerTick()
	}
	const newTimerRemaining = settings.timerEnabled ? settings.timerRemaining : null
	if (newTimerRemaining !== timerRemaining) {
	const needsReset = timerRemaining == null || newTimerRemaining == null || Math.abs(newTimerRemaining - timerRemaining) > 2000
	timerRemaining = newTimerRemaining
	if (needsReset) {
	startTimerTick()
	}
	}

[gemini-code-assist]

systemDark 目前被定义为 computed 属性，但它的计算函数 getSystemDark() 内部读取的是 window.matchMedia 或 ztools 等非响应式数据。在 Vue 中，没有响应式依赖的 computed 属性会被永久缓存，导致系统主题发生变化时，systemDark 和 effectiveTheme 无法自动更新。

建议将 systemDark 改为 ref，并在媒体查询监听器中动态更新它的值，从而完美触发 Vue 的响应式更新。

const systemDark = ref(getSystemDark())

const effectiveTheme = computed(() => {
  if (theme.value === 'auto') return systemDark.value ? 'dark' : 'light'
  return theme.value
})

[gemini-code-assist]

配合将 systemDark 改为 ref 的修改，在系统主题变化的事件监听器中，应当直接更新 systemDark.value。这样 effectiveTheme 的计算属性和对应的 watch 就会自动响应并应用新主题，无需手动调用 applyTheme()。

onMounted(() => {
  if (typeof window.matchMedia === 'function') {
    mediaQuery = window.matchMedia('(prefers-color-scheme: dark)')
    mediaHandler = (e: MediaQueryListEvent) => {
      systemDark.value = e.matches
    }
    mediaQuery.addEventListener('change', mediaHandler)
  }
})

[gemini-code-assist]

在导入书籍的循环中，每次调用 bookStore.addBook(book) 都会触发一次同步的 save() 写入操作（保存到 dbStorage 或 localStorage）。如果用户导入的书籍数量较多，会产生大量连续的同步 I/O 写入，导致严重的界面卡顿甚至假死。

建议在循环中先将待导入的书籍收集起来，最后进行一次批量的 unshift 和 save() 写入，从而大幅提升导入性能。

    if (Array.isArray(data.books)) {
      let added = 0
      let skipped = 0
      const newBooks = []
      for (const book of data.books) {
        const filePathName = book.filePath.split(/[\\/]/).pop() ?? book.filePath
        const isDuplicate = bookStore.books.some(b => {
          if (b.filePath === book.filePath) return true
          const existingName = b.filePath.split(/[\\/]/).pop() ?? b.filePath
          return existingName === filePathName
        }) || newBooks.some(b => {
          if (b.filePath === book.filePath) return true
          const existingName = b.filePath.split(/[\\/]/).pop() ?? b.filePath
          return existingName === filePathName
        })

        if (isDuplicate) {
          skipped++
          continue
        }

        const now = Date.now()
        newBooks.push({
          ...book,
          id: `book_${now}_${Math.random().toString(36).slice(2)}`,
          addedAt: now,
          updatedAt: now
        })
        added++
      }
      if (newBooks.length > 0) {
        bookStore.books.unshift(...newBooks)
        bookStore.save()
      }

[gemini-code-assist]

在 deepMerge 函数中，直接遍历并合并 source 的所有属性。如果导入的备份 JSON 文件被恶意篡改，包含 __proto__ 或 constructor 等属性，可能会导致原型链污染（Prototype Pollution）漏洞，在 Electron 环境下甚至可能引发更严重的安全问题。

建议在合并时对这些敏感键名进行过滤防御。

function deepMerge(target: any, source: any): any {
  for (const key of Object.keys(source)) {
    if (key === '__proto__' || key === 'constructor') continue
    if (source[key] && typeof source[key] === 'object' && !Array.isArray(source[key])) {
      if (!target[key]) target[key] = {}
      deepMerge(target[key], source[key])
    } else {
      target[key] = source[key]
    }
  }
  return target
}

[gemini-code-assist]

为了支持系统深浅色模式的动态响应，我们需要使用 ref 来声明 systemDark，因此需要从 vue 中导入 ref。

<script setup lang="ts">
import { ref, computed, watch, onMounted, onBeforeUnmount } from 'vue'

[gemini-code-assist]

如果 cfg.value.other.timerMinutes 被用户输入了非法值（如空值、NaN 或小于等于 0 的数字），直接乘以系数会导致 ms 变为 NaN 或负数，这会让 setTimeout 产生非预期的行为。建议在启动定时器前进行安全的类型转换和边界防御检查。

function startReadingTimer() {
  stopReadingTimer()
  if (!cfg.value.other.timerEnabled || !hushreaderActivated.value) return
  const minutes = Number(cfg.value.other.timerMinutes)
  if (isNaN(minutes) || minutes <= 0) return
  readingTimerStart = Date.now()
  const ms = minutes * 60 * 1000
  readingTimer = window.setTimeout(() => {
    hideHushreaderWindow()
    toast(`阅读定时器已到 ${minutes} 分钟`, 'info')
    readingTimerStart = 0
  }, ms)
}