fix(channels): 修复 12 平台登录的系统性偏差（callback 闭环 + 动态模型 + Trae 设备身份）

Browse Source

用户报障：「除了 codebuddy，其他的登陆都不太正常，尤其是有道那个」。逐平台审计
参考实现（vendor/channel-pack/src）后发现根因不是 12 个独立 bug，而是几个系统性偏差。

## ① callback 流的回调是回环地址 → 必须走服务端浏览器（核心认识）
Trae/Gemini/有道 的 redirect_uri 都是回环地址（127.0.0.1 / localhost）。回环地址由
「打开授权页的那台机器」解析：远程用户在自己电脑上打开，重定向就落在**用户机器**上，
回调永远到不了网关。CodeBuddy 一直是好的，因为它走 state-poll，**根本不需要回调**。
→ 插件自起 loopback 接收器（Python，绑回环、双栈，路径按各平台注册值），
  由服务端浏览器（VNC）承载授权页，重定向落回本机。

## ② 三个平台的回调路径各是注册值（写错就是 redirect_uri_mismatch）
  有道 /auth/callback、Trae /authorize、Gemini /oauth-callback（参考 GEMINI_CALLBACK_PATH）
  且 Gemini 的 redirect_uri 主机是 **localhost** 而不是 127.0.0.1。
  另：Trae 的回调**不带 state**（token 直接放 query），其余平台必须带 → 校验规则按形态分。

## ③ 有道版本号不能写死
exchange/续期/签到的 version 是必填。实测 2026-10-13 上游已是 2026.9.23，而参考的兜底
常量还停在 2026.9.4。新增 lobsteraiClientVersion：远端为主（data.value.version，**非统一
信封**）+ 失败用兜底但**不缓存**（照参考 resolver）。失败时把上游 message 带出来
（实测形如 code=40102「无效或已过期的授权码」）。

## ④ Gemini token 交换缺 client_secret（症状正是「授权成功但账号不出现」）
参考注释点名：token 端点强制校验客户端身份，只发 client_id 会 invalid_request。
同时补 access_type=offline / prompt=consent（缺了拿不到 refresh_token），
并去掉误标的 pkce（上游 Cloud Code 用的是最朴素的 authorization_code + client_secret）。

## ⑤ Trae 授权 URL 少了 5 个必需参数
参考列为「一个都不能少」：login_trace_id（回调**反查 pending 的唯一凭据**）、
machine_id/device_id（hex32，每账号必须不同，否则被「该设备已签到」拦）、
x_device_id/x_machine_id。此前**完全没造**设备身份 → 登录页停在「授权中」。

## ⑥ Trae 签到头与设备身份
授权方案是 `Cloud-IDE-JWT`（不是 Bearer）；参考点明简化头**实测签到失败**，
需约 20 个客户端头，且 X-Device-Id 是**基于 user_id 确定性派生的 15 位数字**。
实现 seededStream（SHA256(utf8(salt:seed) ++ counterBE32) 串联）+ 三级派生，
并用参考实现（Node）生成期望值做**差分验证**逐字节对齐。
凭据改为 JSON 以保留 uid/device_id/machine_id（签到与轮换需要）。

## ⑦ 同段逻辑抽一个助手，防两条路漂移
lobsteraiExchange 被 oauth_callback 与 poll_login 两条路共用（原先各内联一份）。

## 判据（新增测试）
- TestLobsterLoopbackClosedLoop / TestLobsterExchangePreservesIdentity：loopback 闭环、
  state 不匹配 400、重放 409、凭据含 uuid/first_keyfrom
- TestCallbackPlatformsLoopback：三个平台的路径与 state 规则、Trae 无 state 也能接住
- TestAuthorizeURLsHaveNoUnfilledPlaceholders：授权 URL 不留 {占位符}
- TestTraeDeriveMatchesReference：与参考实现**逐字节**差分（tools/trae_derive_expected.mjs）
- TestTraeCheckinHeaders：Cloud-IDE-JWT + 派生设备身份 + 客户端头齐全
- TestRemoteModelCatalogMergesWithFallback：远端为主、兜底补位、失败不清缓存

## 顺带
- set_endpoints 补 callback / client_version 键（否则测试无法把端点指到假上游）
- 删掉 spawnBrowser 里会把 redirect_uri 一律改写为插件挂载点的死代码（对有道致害）
- session 过期与插件卸载时回收 loopback 接收器进程（防进程泄漏）
- e2e/channels_flows_e2e_test.go：qoder 已从 manual 改为 device-poll，断言同步更新

...

This commit is contained in:

JianFeeeee

2026-10-13 13:42:45 +08:00

parent ec5e6dd57c

commit 5ab047e48b

12 changed files with 2560 additions and 219 deletions

Show all changes Ignore whitespace when comparing lines Ignore changes in amount of whitespace Ignore changes in whitespace at EOL

Download Patch File Download Diff File Expand all files Collapse all files

1584

internal/lua/plugins/channels.lua

File diff suppressed because it is too large Load Diff