能否通过PWA运行程序/CLI？本地电视控制方案咨询

PWA本身受浏览器安全沙箱限制，无法直接调用系统CLI、执行bash脚本或调用cec-client——这是所有Web应用（包括PWA）的通用安全约束，目的是防止网页未经授权操作本地系统。不过你可以通过以下更完善的方案实现需求：

方案1：优化现有Node.js本地服务 #

这是最贴合你当前架构的方案，重点解决易用性和安全性问题：

• 将Node.js服务做成开机自启的守护进程：用pm2管理服务，执行pm2 start your-server.js && pm2 startup && pm2 save即可实现开机自动启动，无需手动运行。
• 改用WebSocket替代HTTP请求：实现双向实时通信，延迟更低，能实时同步命令执行状态。
• 严格限制可执行命令：只允许预定义的安全操作（比如固定的tv-on/tv-off指令），绝对不能开放任意命令执行权限。
• 添加本地身份验证：比如生成一个本地API密钥，PWA请求时携带该密钥，避免被本地其他程序误调用。

示例代码（Node.js + WebSocket）：

const http = require('http');
const WebSocket = require('ws');
const { exec } = require('child_process');

const server = http.createServer();
const wss = new WebSocket.Server({ server });

wss.on('connection', (ws) => {
  ws.on('message', (message) => {
    const action = message.toString().trim();
    let cmd = null;

    // 只允许预定义的安全命令
    switch(action) {
      case 'tv-on':
        cmd = 'cec-client -s -d 1 <<< "on 0"';
        break;
      case 'tv-off':
        cmd = 'cec-client -s -d 1 <<< "standby 0"';
        break;
      case 'run-script':
        cmd = '/path/to/your/safe-script.sh';
        break;
      default:
        ws.send('Invalid action');
        return;
    }

    exec(cmd, (err, stdout, stderr) => {
      ws.send(err ? `Error: ${stderr}` : `Success: ${stdout}`);
    });
  });
});

server.listen(3000, () => {
  console.log('Local control service running on ws://localhost:3000');
});

PWA端调用示例：

const ws = new WebSocket('ws://localhost:3000');
ws.onopen = () => ws.send('tv-on');
ws.onmessage = (event) => console.log('Command result:', event.data);

方案2：打包成Electron应用 #

如果希望摆脱单独运行Node.js服务的麻烦，可以把PWA打包成Electron应用——Electron允许主进程直接调用系统命令，同时保留PWA的Web界面体验：

• 主进程（Node.js环境）处理系统命令调用，通过IPC与PWA的渲染进程通信。
• 同样要严格限制可执行的命令，避免安全风险。

示例Electron主进程代码：

const { app, BrowserWindow, ipcMain } = require('electron');
const { exec } = require('child_process');

function createWindow() {
  const mainWindow = new BrowserWindow({
    width: 600,
    height: 400,
    webPreferences: {
      contextIsolation: true,
      preload: './preload.js' // 暴露安全的API给PWA
    }
  });
  mainWindow.loadURL('https://your-pwa-domain.com'); // 加载你的PWA
}

// 处理PWA的命令请求
ipcMain.handle('execute-control', async (_, action) => {
  return new Promise((resolve, reject) => {
    let cmd = null;
    switch(action) {
      case 'tv-on':
        cmd = 'cec-client -s -d 1 <<< "on 0"';
        break;
      case 'tv-off':
        cmd = 'cec-client -s -d 1 <<< "standby 0"';
        break;
      default:
        reject('Invalid action');
        return;
    }
    exec(cmd, (err, stdout, stderr) => err ? reject(stderr) : resolve(stdout));
  });
});

app.whenReady().then(createWindow);

preload.js（向PWA暴露安全接口）：

const { contextBridge, ipcRenderer } = require('electron');
contextBridge.exposeInMainWorld('localControl', {
  execute: (action) => ipcRenderer.invoke('execute-control', action)
});

PWA端调用：

async function turnOnTV() {
  try {
    const result = await window.localControl.execute('tv-on');
    console.log(result);
  } catch (err) {
    console.error(err);
  }
}

关键注意事项 #

无论采用哪种方案，都必须：

• 严格限制可执行的命令范围，仅开放你需要的特定操作（比如开关电视、运行指定脚本）
• 避免允许执行任意用户输入的命令，哪怕是私人项目，也要防范误操作或潜在的安全风险

内容的提问来源于stack exchange，提问作者tkrisz2