fix(bridges): 续谈失败静默 + duplicate_relay 静默挂死（两个都是「人那边什么都收不到」）
同一类问题在两个地方：出事的当下看不出来，表现是「信发出去了，然后再无音讯」。
## 1）pi 的续谈失败不回失败信（实测缺口）
模型侧 402（余额不足）时，**新会话**那条路会回一封「处理失败」，而**续谈**那条路
只写日志就 `throw` —— 发件人什么都收不到。邮件驱动的会话没有本地界面可以看，
没有这封信就等于静默挂死。复现条件很普通：往一条**已存在**的会话再发一封信。
修法与邻居一致：续谈失败也回失败信。但**不能复用**共用库的 `renderFailureReport`
——那段文案说「划定范围内的模型全部调用失败」并建议「调整可用模型范围」，
而续谈是**故意不降级**的（换模型＝换会话＝丢掉上下文，而上下文正是发件人指定
这条会话的原因）。照抄等于让人去调一个在这里无效的旋钮，他会去改配置，
然后发现依然失败。新增 `renderResumeFailure`：点明是续谈、附上游错误原文、
建议「确实要换模型就新建一条会话」。
**活体验证**（模型侧仍是 402，失败本身就是测试条件）：发一封进 pi 的已有会话，
5 秒内收到失败信，内容含 402 原文且不再出现「调整模型范围」。
顺带把 pi 里 2 处没 clamp 的 relay_key 收敛（上一轮审计只看了权限键）。
## 2）duplicate_relay：只有 zcode 认，另三桥会等一个永远不会来的决策
网关对重复的 relay_key 回 **HTTP 200 `{status:"duplicate_relay"}` 并提前返回**：
不建请求、不发邮件、**永远不会有人来决策**。zcode 桥认它并当场失败，而
pi/opencode/dsh 把它当成功，接着等 `permission_decision` 事件 —— pi 那句
`await new Promise(...)` 连超时都没有。这是 zcode 上一轮那个缺陷的同类，
只是发生在另三个桥上。
- `lib/relay-key.js`（**共用**，四处逐字节同源）新增 `isDuplicateRelay` /
`DUPLICATE_RELAY_STATUS`：它长得像成功（200），所以必须单独认；对「发信」
那一侧重复就该当成功（幂等），但对「等一个决定」那一侧它与故障后果相同。
- pi / opencode / dsh 三桥在权限转发处接上判据并**当场拒绝**
（各自用自己的拒绝形状：`block: true` / `output.status = "deny"` / `'rejected'`）。
- zcode 里那份本地实现收敛到共用库（同一判据不该有两个定义）。
## 3）新增接线断言（带判据自检）
`test/permission-forward-wiring.test.mjs`（pi/opencode/dsh 三份同一内容）：
纯函数测试对这类缺口天生无能为力（函数是对的，只是没人调用它），所以它读源码
验形态，钉住「判据在、落在权限转发这条路上、给出本桥形状的拒绝」。
三条自检都在写的过程中抓到了我自己的错：
- 第一次 `ROOT` 算错 → 过滤后 0 个桥、循环全不跑而「全绿」→ 加了
「找不到装着各桥的目录就判红」；
- 顺序判据写成「在文件里最早的 await 之前」，量到了别处的等待 → 三桥全红，
改成「必须在上报之后」；
- dsh 是**两段式**（`.then` 里抛、`catch` 的 `duplicateRelay` 分支里拒），
第一版抽取套错了分支 → 永远找不到 `return 'rejected'`。
扰动验证：把 pi 的判据禁用后该条变红，还原即绿（改动前后都核对了字节数）。
而 dsh 那条也暴露了：我把返回形状写成了 opencode 的 `{status:'deny'}`，
**`tsc` 没报错**（返回类型是宽联合），只有对着邻居读才发现 DSH 要的是
`'rejected'` 字符串 + `noteDenial`。
## 4）部署脚本：zcode 分支现在会重启驱动
`redeploy-plugin.sh` 的 zcode 分支只切软链（宿主是 ZCode 应用，不能重启它），
但**驱动是我们自己的 unit** —— 不重启它，进程里跑的还是切换前的代码。
这个由刚写的 `check-deploy-drift.mjs` 当场抓到（它比进程启动时刻与软链切换时刻），
而当时所有其它检查都是绿的。已补上重启并验证。
## 复查
四桥全量 413 / 321 / 370 / 380 全绿；共用库四方同源；部署漂移四项全通过；
四桥真发真收冒烟（dsh/opencode/zcode 正常回信；pi 因模型侧 402 回失败信 ——
这正是上面第 1 条要修的路径）。
另：写这段时踩到一个自伤 —— 用 `npx asar extract-file <asar> dist/index.html`
检查包内容时，它把文件**写进了 cwd**，正好覆盖掉 Vite 的源码模板
`client/electron/index.html`（下次构建会拿被污染的模板去构建）。已还原并重建，
产物哈希与之前一致。要看 asar 内容请用 `@electron/asar` 的 API（返回 Buffer），
别用这个 CLI 子命令。
This commit is contained in:
@ -199,3 +199,46 @@ export function relayKeyFor(piSessionId, leafId) {
|
||||
export function sessionDirLabel(cwd) {
|
||||
return `--${String(cwd ?? '').replace(/\//g, '-')}--`;
|
||||
}
|
||||
|
||||
/**
|
||||
* 续谈失败的回报正文。
|
||||
*
|
||||
* ## 为什么不直接复用共用库的 `renderFailureReport`
|
||||
*
|
||||
* 那句文案说「**划定范围内的模型全部调用失败**」并建议「调整可用模型范围」——
|
||||
* 那是「新会话逐个试过所有模型」那条路的事实。而续谈这条路是**故意不降级**的：
|
||||
* 换模型就要换会话，那会丢掉整条上下文，而上下文正是发件人指定这条会话的原因。
|
||||
* 拿那段文案回过去等于告诉人去调一个在这里无效的旋钮 —— 他会去改配置，
|
||||
* 然后发现依然失败。真正要做的是看上游错误原文。
|
||||
*
|
||||
* ## 为什么必须回这封信
|
||||
*
|
||||
* 实测缺口（2026-09-12，模型侧 402 余额不足）：新会话失败会回「处理失败」，
|
||||
* 而续谈这条路只写日志就 throw —— 发件人**什么都收不到**。
|
||||
* 邮件驱动的会话没有本地界面可以看，没有这封信就等于
|
||||
* 「信发出去了，然后再无音讯」。复现条件很普通：往一条**已存在**的会话
|
||||
* 再发一封信，而模型侧报错。
|
||||
*
|
||||
* @param {string} subject 原邮件主题
|
||||
* @param {string} error 上游错误原文
|
||||
* @returns {string} Markdown 正文
|
||||
*/
|
||||
export function renderResumeFailure(subject, error) {
|
||||
return [
|
||||
`本次未能处理「${subject || '(无主题)'}」：这条会话的**续谈**失败了。`,
|
||||
'',
|
||||
'上游错误原文：',
|
||||
'',
|
||||
'```',
|
||||
String(error ?? '未知错误'),
|
||||
'```',
|
||||
'',
|
||||
'说明：续谈**不会**换用其它模型 —— 续谈必须用原会话，换模型就等于换会话，',
|
||||
'会丢掉整条上下文（而上下文正是你指定这条会话的原因）。',
|
||||
'所以这里只有一个上游错误，不是「范围内的模型都试过了」。',
|
||||
'',
|
||||
'可以这样做：',
|
||||
'- 先看上面的错误原文（常见的：余额不足、密钥失效、上游限流）',
|
||||
'- 若确实要换模型，请**新建**一条会话（新会话会按范围逐个尝试）',
|
||||
].join('\n');
|
||||
}
|
||||
|
||||
@ -46,7 +46,7 @@ import { ModelRuntime } from '@earendil-works/pi-coding-agent';
|
||||
import { GatewayClient } from './gateway.mjs';
|
||||
import { createMailTools } from './tools.mjs';
|
||||
import { openSession, runTurn } from './session-pool.mjs';
|
||||
import { buildMailPrompt, lastAssistantText, replySubject, relayKeyFor, describeError } from './turn.mjs';
|
||||
import { buildMailPrompt, lastAssistantText, replySubject, relayKeyFor, describeError, renderResumeFailure } from './turn.mjs';
|
||||
import { planNamingSync, planWriteBack } from './naming.mjs';
|
||||
import { resolveWorkspaceCwd, ensureCwd } from '../lib/workspace.js';
|
||||
import { modelAttemptOrder, renderFailureReport } from '../lib/model-scope.js';
|
||||
@ -55,7 +55,7 @@ import { autoRelayDecision } from '../lib/relay-policy.js';
|
||||
import { adoptedSessionID, adoptMissingMessage } from '../lib/adopt.js';
|
||||
import { isApproval, isAlwaysDecision } from '../lib/permission-grants.js';
|
||||
import { normalizeMode, MODE_FULL, MODE_PLAN } from '../lib/permission-mode.js';
|
||||
import { clampRelayKey, isPermanentFailure } from '../lib/relay-key.js';
|
||||
import { clampRelayKey, isPermanentFailure, isDuplicateRelay } from '../lib/relay-key.js';
|
||||
|
||||
// ─── 与主进程的通道 ───
|
||||
|
||||
@ -145,7 +145,7 @@ function permissionExtension() {
|
||||
try {
|
||||
// 不传 `to`：决策人由服务端按 会话 owner → 线索里最近的人类 → 409
|
||||
// 解析。插件只有本地上下文，猜不出「这条 Agent 链最初是谁派的活」。
|
||||
await client.post('/permission/request', {
|
||||
const accepted = await client.post('/permission/request', {
|
||||
question: `是否允许执行 ${event.toolName}？`,
|
||||
options: ['同意', '一直同意', '拒绝'],
|
||||
context: [
|
||||
@ -156,6 +156,29 @@ function permissionExtension() {
|
||||
session_id: job.data?.session_id || '',
|
||||
relay_key: relayKey,
|
||||
});
|
||||
|
||||
// ★ 幂等命中：网关回 200 `{status:"duplicate_relay"}` 并**提前返回** ——
|
||||
// 没有产生新的询问，也永远不会有人来决策。而下面的 `await` 只由
|
||||
// `permission_decision` 事件唤醒，重复的键永远等不到它。
|
||||
//
|
||||
// 不认这个回包的代价是**静默挂死**：模型干等、人以为在跑，
|
||||
// 直到回合超时才以「处理失败」出现（而不是以「没人可问」出现，
|
||||
// 于是排查方向从一开始就是错的）。
|
||||
//
|
||||
// 为什么会出现重复：键是确定性的（会话 + toolCallId），所以插件重启
|
||||
// 后重放同一轮、SDK 重放同一个 tool call、以及上一次询问已被人决定过
|
||||
// 而这一侧没收到那个决策（重启/断线）都会命中它。这些都是正常重试。
|
||||
if (isDuplicateRelay(accepted)) {
|
||||
log(`权限询问被判定为重复（key=${relayKey}），本次没有产生新请求`);
|
||||
return {
|
||||
block: true,
|
||||
reason: [
|
||||
`这个授权询问之前已经发过一次（key=${relayKey}），本次没有产生新的询问。`,
|
||||
'可能原因：插件重启后重放同一轮，或上一次询问已经有人决定过但这个决策没有回到这里。',
|
||||
'请改用不需要授权的方式完成，或在回信里说明需要人工执行哪一步（也可以请对方重新发一次任务）。',
|
||||
].join('\n'),
|
||||
};
|
||||
}
|
||||
} catch (e) {
|
||||
// 409 = 服务端判定这条任务链上没有人类，永远不会有人来点头。
|
||||
// 当场 block 并把服务端建议原文当 reason：模型从工具报错里看到
|
||||
@ -483,15 +506,42 @@ async function run() {
|
||||
// 一轮跑几分钟很正常，60 秒返回会让转发落在一个还没说完的结论上。
|
||||
const turnTimeout = job.config.turnTimeoutMs;
|
||||
|
||||
if (reused) {
|
||||
// 续谈不做模型降级：换模型要换会话，会丢掉整条上下文 —— 而上下文正是
|
||||
// 发件人指定这条会话的原因。但失败要可见。
|
||||
const outcome = await runTurn(session, prompt, turnTimeout);
|
||||
log(`续谈 ${piSessionId}（mail ${data.mail_id}${outcome.queued ? '，已排队' : ''}）`);
|
||||
if (!outcome.ok) throw new Error(`续谈失败: ${outcome.error}`);
|
||||
await relaySummary(session, sessionManager, adopted);
|
||||
return;
|
||||
}
|
||||
if (reused) {
|
||||
// 续谈不做模型降级：换模型要换会话，会丢掉整条上下文 —— 而上下文正是
|
||||
// 发件人指定这条会话的原因。但失败要可见。
|
||||
const outcome = await runTurn(session, prompt, turnTimeout);
|
||||
log(`续谈 ${piSessionId}（mail ${data.mail_id}${outcome.queued ? '，已排队' : ''}）`);
|
||||
if (!outcome.ok) {
|
||||
// ★ 续谈失败**也必须回一封失败信**，与新会话那条路一致（B-6）。
|
||||
//
|
||||
// 实测缺口（2026-09-12）：模型侧 402（余额不足）时，新会话那条路
|
||||
// 会回「处理失败」，而续谈这条路只写了日志就 throw —— 发件人那边
|
||||
// **什么也不会收到**（续谈不触发自动转发，因为会话里没有新的
|
||||
// assistant 文本），而邮件驱动的会话没有本地界面可以看。
|
||||
//
|
||||
// 复现条件很普通：往一条**已存在**的会话再发一封信，此时模型侧报错。
|
||||
if (kind === 'mail' && data.from_name) {
|
||||
try {
|
||||
await client.post('/mail/send', {
|
||||
to: data.from_name,
|
||||
subject: `处理失败: ${data.subject || '(无主题)'}`,
|
||||
// 用续谈专用文案：共用那段说的是「范围内的模型都试过了」，
|
||||
// 而这条路**故意不降级**，照抄等于让人去调一个无效的旋钮。
|
||||
body: renderResumeFailure(data.subject, outcome.error),
|
||||
reply_to: data.mail_id || '',
|
||||
relay: 'summary',
|
||||
relay_key: clampRelayKey(`model-failure:${data.mail_id || piSessionId}`),
|
||||
});
|
||||
log(`已回报续谈失败给 ${data.from_name}`);
|
||||
} catch (e) {
|
||||
log(`失败回报也发不出去: ${describeError(e)}`);
|
||||
}
|
||||
}
|
||||
throw new Error(`续谈失败: ${outcome.error}`);
|
||||
}
|
||||
await relaySummary(session, sessionManager, adopted);
|
||||
return;
|
||||
}
|
||||
|
||||
// 按管理员划定的范围逐个尝试（D-3）。
|
||||
// 关键点：`prompt()` resolve **不代表模型跑成功了** —— 无凭证的 provider
|
||||
@ -551,7 +601,7 @@ async function run() {
|
||||
body: renderFailureReport(failures, data.subject),
|
||||
reply_to: data.mail_id || '',
|
||||
relay: 'summary',
|
||||
relay_key: `model-failure:${data.mail_id || piSessionId}`,
|
||||
relay_key: clampRelayKey(`model-failure:${data.mail_id || piSessionId}`),
|
||||
});
|
||||
log(`已回报模型调用失败给 ${data.from_name}`);
|
||||
} catch (e) {
|
||||
|
||||
Reference in New Issue
Block a user