cdrop — 跨 OS 剪贴板与文件传输服务

Commilitia Drop：自托管的跨设备剪贴板同步与点对点文件传输。

- 后端 Go（chi / SQLite WAL / SSE Hub / WebRTC signaling + 状态机 / Relay ring buffer），编译进单个 distroless 镜像（前端 go:embed）。
- 前端 React + TanStack Router + Zustand，自实现 SSE + WebRTC P2P，NAT 受阻时回退服务端中继；聚珍（Juzhen）CJK 综合排版。
- 桌面端 Wails v2（macOS / Windows），瘦客户端复用 web。
- 鉴权 OIDC PKCE（自建 Casdoor 等），refresh_token 信封加密存系统密钥库；iOS Shortcut 用 HS256 scoped token。

架构文档与变更记录见 docs 分支（PROJECT_BRIEF / FRONTEND_DESIGN / CHANGELOG）。

本次为公开发布初始提交：完整开发历史（含部署细节）留存于私有归档，公开仓库自此干净起步。

docker/Caddyfile.snippet

@@ -0,0 +1,12 @@
+# 并入你的主 Caddyfile（站点 block）。换上你的域名与服务名。
+# 关键开关：
+#   - flush_interval -1 ：禁用 reverse_proxy 对 SSE 长响应的缓冲，让探测帧
+#     与 ping 立即送达浏览器；任何反代器忽略此项都会让 /api/hub/events 看似无事件
+#   - h3 建议在 global block 启用（站点级不必重复声明）
+#   - NN-cdrop 中的 NN 与 compose 服务条目保持一致
+
+your-domain.example {
+    reverse_proxy NN-cdrop:8080 {
+        flush_interval -1
+    }
+}

docker/Dockerfile

@@ -0,0 +1,43 @@
+# syntax=docker/dockerfile:1.7
+#
+# cdrop:latest —— 应用镜像。基础环境（Go 工具链 + node_modules + go modules）
+# 已被 cdrop-base:latest 预热（见 docker/Dockerfile.base），这里只做源码层与
+# 跨编译。
+#
+# 构建（部署平台为 linux/amd64）：
+#     docker buildx build --platform linux/amd64 \
+#         -f docker/Dockerfile -t cdrop:latest --load .
+#
+# BUILDPLATFORM 让 build 阶段跑在宿主原生 arch（macOS arm64），跨编译产出
+# linux/amd64 的 Go 二进制；最终 runtime FROM distroless 是 linux/amd64
+# 但只有 COPY 一层，不经过 qemu 执行任何 amd64 程序。
+
+# ---- build (uses cached base) ----
+FROM --platform=$BUILDPLATFORM cdrop-base:latest AS build
+ARG TARGETOS=linux TARGETARCH=amd64
+# Vite 编译期 env：dev 模式 token 必须随 image 烤进 bundle；prod 部署留空即可
+ARG VITE_CDROP_DEV_TOKEN=""
+ARG VITE_CDROP_STUN_URLS=""
+ENV VITE_CDROP_DEV_TOKEN=$VITE_CDROP_DEV_TOKEN \
+    VITE_CDROP_STUN_URLS=$VITE_CDROP_STUN_URLS
+WORKDIR /src
+
+# 复制源码（依赖在 base 中已就位）
+COPY . .
+
+# 前端构建（VITE_* 环境变量已 export）
+RUN cd web && npm run build
+
+# 嵌入到 internal/webui/dist 让 //go:embed 拿到
+RUN rm -rf ./internal/webui/dist && cp -a web/dist ./internal/webui/dist
+
+# 跨编译 Go 到目标平台
+RUN GOOS=$TARGETOS GOARCH=$TARGETARCH CGO_ENABLED=0 \
+    go build -trimpath -ldflags="-s -w" -o /out/cdropd ./cmd/cdropd
+
+# ---- runtime (linux/amd64 distroless) ----
+FROM gcr.io/distroless/static-debian12:nonroot
+COPY --from=build /out/cdropd /cdropd
+USER nonroot:nonroot
+EXPOSE 8080
+ENTRYPOINT ["/cdropd"]

docker/Dockerfile.base

@@ -0,0 +1,29 @@
+# syntax=docker/dockerfile:1.7
+#
+# cdrop-base — 重型依赖的预热镜像。
+# 只有 go.mod/go.sum 或 web/package*.json 变动时才需要重建；改源码后构建
+# cdrop:latest 就只需要复制源 + 编译，省掉 npm ci 与 go mod download 的耗时。
+#
+# 同时安装 Go 工具链与 Node 运行时，让最终的应用 Dockerfile 不再需要 multi-stage
+# 切换基础镜像。
+#
+# 构建（一次或随依赖更新；走宿主原生 arch 即可）：
+#     docker buildx build -f docker/Dockerfile.base -t cdrop-base:latest --load .
+
+FROM --platform=$BUILDPLATFORM golang:1.26-alpine AS base
+
+# Node.js + npm，覆盖 web 端依赖；ca-certificates 给 go mod download 用 HTTPS
+RUN apk add --no-cache nodejs npm ca-certificates git
+
+WORKDIR /src
+
+# Go modules 缓存层
+COPY go.mod go.sum ./
+RUN go mod download
+
+# npm 缓存层
+WORKDIR /src/web
+COPY web/package.json web/package-lock.json ./
+RUN npm ci --no-audit --no-fund
+
+WORKDIR /src

docker/compose.snippet.yaml

@@ -0,0 +1,38 @@
+# cdrop 在你的 docker-compose.yaml 中的服务条目片段。
+# NN 由你决定（与既有服务区分的编号 / 名称）；your-proxy-network 换成你的反代所在网络。
+#
+# 不显式 ports —— 走内部网络，反代（如 Caddy）通过 NN-cdrop:8080 访问。
+# 持久化挂一个目录到 /data，里面只有 cdrop.db（SQLite WAL）。
+
+NN-cdrop:
+    image: cdrop:latest
+    container_name: NN-cdrop
+    restart: unless-stopped
+    networks: [your-proxy-network]
+    ports: []
+    volumes:
+        - ./NN-cdrop/data:/data
+    environment:
+        # M13 首轮 dev 模式（验证 Caddy / H3 管道），稳定后切 prod 见下方注释
+        CDROP_AUTH_MODE: dev
+        CDROP_DEV_TOKEN: REPLACE_WITH_RANDOM_HEX64
+        CDROP_DB_PATH: /data/cdrop.db
+        CDROP_LISTEN: ":8080"
+        CDROP_DEVICE_TTL_HOURS: "196"
+
+        # ---- prod 切换时启用以下，并把 CDROP_AUTH_MODE 改成 prod、删掉 DEV_TOKEN ----
+        # CDROP_OIDC_AUTHORIZE_URL: https://your-idp.example/login/oauth/authorize
+        # CDROP_OIDC_TOKEN_URL:     https://your-idp.example/api/login/oauth/access_token
+        # JWKS 可走 IdP 内网地址省一跳；也可用公网 https。
+        # CDROP_OIDC_JWKS_URL:      https://your-idp.example/.well-known/jwks
+        # CDROP_OIDC_ISSUER:        https://your-idp.example/
+        # prod 强制非空（空则跳过 audience 校验 = 同 JWKS 其他应用可冒充）
+        # CDROP_OIDC_AUDIENCE:      <你的 OAuth client_id>
+        # CDROP_OIDC_CLIENT_ID:     <你的 OAuth client_id>
+        # CDROP_OIDC_REDIRECT_URI:  https://your-domain.example/oauth/callback
+        # CDROP_OIDC_SCOPES:        "openid profile email"
+        # CDROP_HS256_SECRET:       REPLACE_WITH_RANDOM_HEX64
+
+        # ---- 可选：Cloudflare Realtime TURN over TLS（不配则前端 STUN-only 兜底）----
+        # CDROP_CF_TURN_KEY_ID:     <dash.cloudflare.com → Realtime → TURN App>
+        # CDROP_CF_TURN_API_TOKEN:  <同 App 派发的 API Token>