fix(ci/site): _headers 里 /user/* 须排在 /* 之前(CF 首个匹配 header 生效)

用户中心 /user/ 页裸奔根因:CF Pages _headers 对同一 header 取【首个匹配规则】值,
而 combine-site 原把 /user/* 追加在官网 /* 之后 → /user/ 命中在前的官网严格 CSP
(style-src 无 unsafe-inline),用户中心的大量内联样式被拦、连 API 的 connect-src
也被收窄 → 样式全丢。改为把 /user/* 规则前置到官网 /* 之前,用户中心 CSP 才生效。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u

.gitea/workflows/deploy-client.yml

@@ -34,7 +34,7 @@ concurrency:
 
 jobs:
   build-android:
-    runs-on: mac
+    runs-on: nas
     env:
       GOPROXY: https://goproxy.cn,direct
       PUB_HOSTED_URL: https://pub.flutter-io.cn
@@ -98,7 +98,7 @@ jobs:
   #      simply picks up whatever artifacts DO exist — an absent "macos"
   #      artifact is not an error there.
   build-macos:
-    runs-on: mac
+    runs-on: nas
     continue-on-error: true
     env:
       PUB_HOSTED_URL: https://pub.flutter-io.cn
@@ -129,7 +129,7 @@ jobs:
           path: dist/
 
   build-ios:
-    runs-on: mac
+    runs-on: nas
     continue-on-error: true
     env:
       PUB_HOSTED_URL: https://pub.flutter-io.cn
@@ -160,7 +160,7 @@ jobs:
   # (对应平台下载保留 pangolin1 上一版,待可用时下个 client-v* 追上)。
   release-deploy:
     needs: [build-android]
-    runs-on: mac
+    runs-on: nas
     steps:
       - name: Checkout
         uses: actions/checkout@v4

scripts/ci/_env.sh

@@ -29,3 +29,18 @@ ver_from_tag() {
   ref="${ref#"${prefix}"-v}"
   printf '%s' "$ref"
 }
+
+# flutter_pub_get_retry — pub.flutter-io.cn 常被 GFW 抖断(socket error / exit 69),
+# 让 flutter build 内隐式的 pub get 偶发失败(见 iOS build 曾因 google_fonts 拉包
+# 断线而挂)。构建前显式预取 + 重试;成功后 build 命中缓存不再拉网。在 flutter
+# 项目根目录调用。
+flutter_pub_get_retry() {
+  local i
+  for i in 1 2 3 4 5; do
+    if flutter pub get; then return 0; fi
+    echo "==> flutter pub get 失败(第 ${i}/5 次,pub.flutter-io.cn 抖?),8s 后重试..." >&2
+    sleep 8
+  done
+  echo "==> flutter pub get 5 次仍失败,放弃" >&2
+  return 1
+}

scripts/ci/combine-site.sh

@@ -22,15 +22,22 @@ rm -rf "${DIST}/user"
 mkdir -p "${DIST}/user"
 cp -R "${UC}/." "${DIST}/user/"
 
-# 2) 合并 _headers:用户中心路径规则前缀 /user,追加到官网 _headers 之后。
+# 2) 合并 _headers:用户中心路径规则前缀 /user,置于官网规则【之前】。
+#    ⚠️ CF Pages _headers 对同一 header 取【首个匹配规则】的值(实测:若 /user/* 排
+#    在官网 /* 之后,/user/ 页会命中在前的 /* 官网严格 CSP → 内联样式/连 API 被拦、
+#    页面裸奔)。故 /user/* 必须在 /* 之前才能让用户中心 CSP 生效。
 #    删掉并入产物里那份会被 CF 忽略的 /user/_headers,避免误导。
 rm -f "${DIST}/user/_headers"
+# 行首 '/'(路径规则)前缀 /user;'#' 注释与缩进的 header 行不动。
+sed -E 's#^/#/user/#' "${UC}/_headers" > "${DIST}/_uc_headers.tmp"
 {
+  echo "# ==== 用户中心(/user/*)独立 CSP,须置于官网 /* 之前(CF Pages 首个匹配 header 生效)===="
+  cat "${DIST}/_uc_headers.tmp"
   echo ""
-  echo "# ==== 用户中心(/user/*)独立 CSP,combine-site.sh 从 usercenter/_headers 重定 ===="
-  # 行首 '/'(路径规则)前缀 /user;'#' 注释与缩进的 header 行不动。
-  sed -E 's#^/#/user/#' "${UC}/_headers"
-} >> "${DIST}/_headers"
+  cat "${DIST}/_headers"
+} > "${DIST}/_headers.new"
+mv "${DIST}/_headers.new" "${DIST}/_headers"
+rm -f "${DIST}/_uc_headers.tmp"
 
 echo "==> combine-site: done — 用户中心并入 ${DIST}/user/,_headers 已按 /user/* 分域合并"
 ls -la "${DIST}/user" | head

scripts/ci/compile-android.sh

@@ -131,6 +131,7 @@ EOF
 # 现代绝大多数 Android 机)作为唯一下载,约 ~80MB;32 位老机(armeabi-v7a)/模拟器
 # (x86_64)本轮不分发(需要再加)。这样官网 + deploy-client 仍是单一稳定 URL。
 cd client
+flutter_pub_get_retry # 预取包 + 重试,防 pub.flutter-io.cn 被 GFW 抖断(见 _env.sh)
 flutter build apk --release --split-per-abi \
   "--dart-define=PANGOLIN_API_URL=${API_URL}"
 cd ..

scripts/ci/compile-ios.sh

@@ -173,6 +173,7 @@ EOF
 
 # ── [6/6] flutter build ipa + 上传 TestFlight ───────────────────────────────
 cd "${REPO_ROOT}/client"
+flutter_pub_get_retry # 预取包 + 重试,防 pub.flutter-io.cn 被 GFW 抖断(见 _env.sh)
 flutter build ipa --release \
   --build-name="${VER}" \
   --build-number="${BUILD}" \

scripts/ci/compile-macos.sh

@@ -182,6 +182,7 @@ echo "==> compile-macos: signing identity '${IDENTITY}'"
 # 明），本步应已产出 Developer ID 签名 + hardened runtime 的 .app；下一步的
 # inside-out 重签是幂等的安全网，不依赖这一步是否已经"恰好签对"。
 cd "${REPO_ROOT}/client"
+flutter_pub_get_retry # 预取包 + 重试,防 pub.flutter-io.cn 被 GFW 抖断(见 _env.sh)
 flutter build macos --release --dart-define="PANGOLIN_API_URL=${API_URL}"
 cd "$REPO_ROOT"
 

scripts/ci/compile-windows.sh

@@ -103,6 +103,7 @@ echo "==> compile-windows: pubspec version -> ${VER}+${BUILD}"
 # on first real CI run that none of those get clobbered.
 pushd "$BUILD_CLIENT" > /dev/null
 flutter create --platforms=windows . --project-name pangolin_vpn
+flutter_pub_get_retry # 预取包 + 重试,防 pub.flutter-io.cn 被 GFW 抖断(见 _env.sh)
 flutter build windows --release "--dart-define=PANGOLIN_API_URL=${API_URL}"
 popd > /dev/null