fix(channels): 测试夹具不再内联进生产目录 + callback 池路径漏网

用户指出「为什么生产插件会有实例平台？」—— 确实是设计错误。 ## ① 夹具内联进生产源码（根因） `PLATFORMS` 里内联了 4 个测试夹具： example / googleish / loopbackish / cookieish 后果：生产 `/api/plugins/http/channels/platforms` 返回 **16 个平台，其中 4 个是夹具**，运维在 UI 上真的能选到。夹具属于测试，不属于发行物。修法： - 生产 `PLATFORMS` 只留 12 个真实厂商。 - 新增 `plugin.state.injected_platforms` + `allPlatforms()`；`platformById` 先查内建再查注入表。 - 新增端点 `channels/inject_platforms`（roles=admin）：运行时整表替换注入，边界校验 —— 不得覆盖内建平台（注入不能劫持真实厂商）、拒绝重复 id、拒绝无 id、限 32 条；空数组 = 清空。 - 8 处运行时遍历点（list_platforms/provider_status/backup/auto_checkin/ gateway 开关等）改用 `allPlatforms()`；4 处**加载期**遍历（HMAC 钩子绑定、 declaredHosts）保持 `PLATFORMS` —— 它们在 plugin.state 建立之前、注入尚未发生，改了无意义。 - 测试改为经 `injectTestPlatforms` 注入夹具（channels_plugin_test / channels_stress_test）；e2e 本就用真实平台（minimax/cline/opencode/qoder），无需改动。 ## ② callback 路径的 account_id 漏网 UI 流程 = account/add 建占位账号 → login 带 account_id → 完成时回填。 `oauth_callback`（trae/gemini/lobsterai 的 callback 流）调 complete_login 时 **没传 account_id** —— 与 buddy poll_login 同一缺陷，此前只修了 device-poll / state-poll 两条分支，这条是漏网：凭据落到与占位账号无关的 `channels:<plat>`，池账号永远 has_credential=false。 ## 判据 - TestInjectPlatformsRejectsBadInput：注入生效 + 三条拒绝规则 + 空数组清空 - TestTraeCallbackPoolPath：callback 池路径凭据落 `channels:trae:<aid>` 且 account_list 报 has_credential=true - 变异：callback 去掉 account_id → TestTraeCallbackPoolPath 立即 FAIL（已实测） go test ./internal/core/ 全绿（119s）。
2026-11-07 09:47:23 +00:00 · 2026-10-13 08:33:28 +08:00
parent 6bec260513
commit 652a035d47
4 changed files with 274 additions and 52 deletions
--- a/internal/lua/plugins/channels.lua
+++ b/internal/lua/plugins/channels.lua
@ -77,28 +77,12 @@ plugin.exports = { "set_endpoints", "account_add", "account_list", "account_upda
 -- WASM 签名(Qoder)/captcha(ZCode)/扫码(Loomy,Raccoon) 这类无法在当前 Lua
 -- 环境完成的流程标记 flow="manual"，登录时给出明确说明而非假装成功。
 local PLATFORMS = {
-  -- ===== 测试/示范用占位平台（example.com，不打真实厂商）=====
-  {
-    id = "example",
-    name = "Example 平台",
-    flow = "link-poll",
-    login_url = "https://auth.example.com/device",
-    base_url = "https://api.example.com/v1",
-    adapter = "openai",
-    models = { "example-chat", "example-reason" },
-    checkin = { url = "https://api.example.com/v1/api/daily/claim", method = "POST", body = "{}" },
-  },
-  {
-    id = "googleish",
-    name = "Google 系（示范 callback）",
-    flow = "callback",
-    login_url = "https://accounts.google.com/o/oauth2/auth",
-    base_url = "https://api.googleish.example/v1",
-    adapter = "openai",
-    models = { "g-model-1" },
-  },
-
  -- ===== 真实厂商渠道（逆向自参考仓库，端点逐字照抄）=====
+  --
+  -- ⚠️ 这里**只放真实厂商**。测试夹具（example.com 的假平台、示范各种 flow 的
+  -- 占位平台）绝不能内联到这里：本目录会被 UI / status / list_platforms 直接
+  -- 展示给运维，夹具写进来就是「生产 UI 里凭空多出 4 个假平台」。
+  -- 夹具由测试经 channels/inject_platforms 端点运行时注入。

  -- TRAE（字节跳动）—— callback 登录 + ExchangeToken 续期 + 每日签到。
  -- 这是最标准的一条，作为"同类厂商"的实现模板。
@ -386,27 +370,6 @@ local PLATFORMS = {
    },
  },

-  -- 服务端浏览器兜底示范（回环重定向类）。真实厂商若需要可改 flow="vnc"。
-  {
-    id = "loopbackish",
-    name = "回环登录平台（示范 VNC 兜底）",
-    flow = "vnc",
-    needs_browser = true,
-    login_url = "https://auth.loopbackish.example/authorize?redirect_uri=http://127.0.0.1:%d/callback",
-    base_url = "https://api.loopbackish.example/v1",
-    adapter = "openai",
-    models = { "lb-model-1" },
-  },
-  {
-    id = "cookieish",
-    name = "Cookie 平台（示范 paste）",
-    flow = "paste",
-    base_url = "https://api.cookieish.example/v1",
-    adapter = "openai",
-    models = { "c-model-1" },
-    checkin = { url = "https://api.cookieish.example/v1/api/credit/claim", method = "POST", body = "{}" },
-  },
-
  -- Gemini（Google Cloud Code）—— 标准 OAuth 授权码流 + token 交换。
  -- 照参考 gemini-oauth.ts：授权页 client_id/redirect_uri/scope 齐全，回环回调
  -- 拿到 code 后 POST oauth2.googleapis.com/token 换 token（带 code_verifier）。
@ -804,14 +767,39 @@ local function deviceRegister(plat, payload)
  return access, acct, nil
 end

-- platformById 查平台定义；未知 id 返回 nil（调用方必须处理，而不是拿到空表）
+-- platformById 查平台定义；未知 id 返回 nil（调用方必须处理，而不是拿到空表）。
+--
+-- 先查内建目录，再查运行时注入表（plugin.state.injected_platforms）。注入表的存在
+-- 是因为**测试夹具绝不能写成生产源码**：此前 example/googleish/loopbackish/
+-- cookieish 四个夹具直接内联在 PLATFORMS 里，于是它们真的出现在生产 UI（16 个
+-- 平台里有 4 个是夹具）供运维选择。夹具属于测试，不属于发行物 —— 正确形态是
+-- 测试用自己的那几行注入（见 channels/test_platforms 端点），生产目录只留真实厂商。
 local function platformById(id)
  for _, p in ipairs(PLATFORMS) do
    if p.id == id then return p end
  end
+  local injected = plugin.state and plugin.state.injected_platforms
+  if type(injected) == "table" then
+    for _, p in ipairs(injected) do
+      if type(p) == "table" and p.id == id then return p end
+    end
+  end
  return nil
 end

+-- allPlatforms 返回内建目录 + 注入表（列表/遍历用）。
+local function allPlatforms()
+  local out = {}
+  for _, p in ipairs(PLATFORMS) do out[#out + 1] = p end
+  local injected = plugin.state and plugin.state.injected_platforms
+  if type(injected) == "table" then
+    for _, p in ipairs(injected) do
+      if type(p) == "table" and p.id then out[#out + 1] = p end
+    end
+  end
+  return out
+end
+
 -- ============================================================================
 -- 状态
 -- ============================================================================
@ -1631,7 +1619,7 @@ function plugin.auto_claim()
  -- 自动签到开关（对齐参考 usage.autoCheckin）：关闭时不做任何领取。
  plugin.state.settings = plugin.state.settings or {}
  if plugin.state.settings.auto_checkin == false then return end
-  for _, plat in ipairs(PLATFORMS) do
+  for _, plat in ipairs(allPlatforms()) do
    local cap = CHANNEL_CREDITS[plat.id]
    if not cap or not cap.claim then goto continue end
    local legacy = accountOf(plat.id)
@ -1734,6 +1722,8 @@ plugin.http = {
    roles = { "admin" }, description = "新人任务状态" },
  { path = "channels/onboarding/claim", method = "POST", handler = "onboarding_claim",
    roles = { "admin" }, description = "领取新人奖励" },
+  { path = "channels/inject_platforms", method = "POST", handler = "inject_platforms",
+    roles = { "admin" }, description = "注入测试/扩展平台定义（运行时，不落盘）" },
 }

 -- set_endpoints：改写某平台的端点声明（device.code_url/token_url、checkin.url、
@ -1934,7 +1924,7 @@ end
 -- ============================================================================
 function plugin.provider_status(req)
  local out = {}
-  for _, p in ipairs(PLATFORMS) do
+  for _, p in ipairs(allPlatforms()) do
    local accts = poolList(p.id)
    local enabledN = 0
    for _, a in ipairs(accts) do if a.enabled ~= false then enabledN = enabledN + 1 end end
@ -2024,7 +2014,7 @@ function plugin.backup_export(req)
  payload.credentials = {}
  payload.modelDisabled = plugin.state.modelDisabled or {}
  payload.autoCheckin = plugin.state.settings and plugin.state.settings.auto_checkin or true
-  for _, p in ipairs(PLATFORMS) do
+  for _, p in ipairs(allPlatforms()) do
    for _, a in ipairs(poolList(p.id)) do
      payload.accounts[#payload.accounts+1] = a
      local tok = credentialOf(a.credentialRef)
@ -2074,7 +2064,7 @@ function plugin.backup_import(req)
    plugin.state.settings.auto_checkin = payload.autoCheckin and true or false
  end
  -- 全部账号重新同步源
-  for _, p in ipairs(PLATFORMS) do
+  for _, p in ipairs(allPlatforms()) do
    for _, a in ipairs(poolList(p.id)) do syncAccountSource(p.id, a.id) end
  end
  logEvent("备份已导入，恢复 " .. n .. " 条凭据")
@ -2296,7 +2286,7 @@ end
 -- 承担，这里改为读取当前接入状态做查询、写入复用 provider_set_enabled。
 function plugin.gateway_get_enabled(req)
  local any = false
-  for _, p in ipairs(PLATFORMS) do
+  for _, p in ipairs(allPlatforms()) do
    local disabled = disabledModelsOf(p.id)
    local total = #(p.models or {})
    local allOff = total > 0
@ -2313,7 +2303,7 @@ function plugin.gateway_set_enabled(req)
    return { status = 400, json = { error = "非空布尔 enabled 必填" } }
  end
  -- 全平台整体开关（复用 provider_set_enabled 语义）
-  for _, p in ipairs(PLATFORMS) do
+  for _, p in ipairs(allPlatforms()) do
    plugin.provider_set_enabled({ platform = p.id, enabled = args.enabled })
  end
  logEvent("网关整体" .. (args.enabled and "开启" or "关闭"))
@ -2323,7 +2313,7 @@ end
 -- backup.status：备份健康度（对齐参考 backup.status：账号数/无过期时间账号数）
 function plugin.backup_status(req)
  local total, noExpiry = 0, 0
-  for _, p in ipairs(PLATFORMS) do
+  for _, p in ipairs(allPlatforms()) do
    for _, a in ipairs(poolList(p.id)) do
      total = total + 1
      if a.expiresAt == nil then noExpiry = noExpiry + 1 end
@ -2510,7 +2500,7 @@ end

 function plugin.list_platforms(req)
  local out = {}
-  for _, p in ipairs(PLATFORMS) do
+  for _, p in ipairs(allPlatforms()) do
    local acct = accountOf(p.id) or {}
    local has = credentialOf("channels:" .. p.id)
    out[#out + 1] = {
@ -2524,6 +2514,55 @@ function plugin.list_platforms(req)
  return { status = 200, json = { platforms = out } }
 end

+-- inject_platforms：**运行时**注入平台定义（测试夹具 / 运维扩展）。
+--
+-- 为何存在：测试夹具（打 example.com 的假平台、验证各 flow 的占位平台）
+-- 绝不能写成生产源码 —— PLATFORMS 会被 UI/status/list_platforms 直接展示，
+-- 夹具内联进去就是「生产 UI 里实际出现 4 个假平台」（真实踩过）。
+-- 正确分层：生产目录只留真实厂商，夹具由测试运行时注入。
+--
+-- 语义：整表替换（与 set_endpoints 的按字段覆盖不同）—— 注入是声明式的
+-- “这就是本轮我要用的目录”，避免测试之间残留状态。传空数组即清空。
+-- 容量上限：注入属于运维/测试能力，不承担生产目录职责，限 32 条够用。
+local INJECT_PLATFORM_LIMIT = 32
+function plugin.inject_platforms(req)
+  local args = bodyOf(req)
+  if args.platforms == nil then args = req end
+  local list = args and (args.platforms or args.items)
+  if type(list) ~= "table" then
+    return { status = 400, json = { error = "platforms 必须是数组" } }
+  end
+  if #list > INJECT_PLATFORM_LIMIT then
+    return { status = 400, json = { error = "最多注入 " .. INJECT_PLATFORM_LIMIT .. " 个平台" } }
+  end
+  -- 校验：每条必须有 id，且不得与内建目录重名（注入不能劫持真实厂商）。
+  local builtin = {}
+  for _, p in ipairs(PLATFORMS) do builtin[p.id] = true end
+  local clean, seen = {}, {}
+  for _, p in ipairs(list) do
+    if type(p) ~= "table" or type(p.id) ~= "string" or p.id == "" then
+      return { status = 400, json = { error = "每个平台必须有 id" } }
+    end
+    if builtin[p.id] then
+      return { status = 400, json = { error = "不得覆盖内建平台: " .. p.id } }
+    end
+    if seen[p.id] then
+      return { status = 400, json = { error = "重复的 id: " .. p.id } }
+    end
+    seen[p.id] = true
+    clean[#clean + 1] = p
+  end
+  plugin.state.injected_platforms = clean
+  if #clean == 0 then
+    logEvent("已清空注入平台")
+  else
+    local ids = {}
+    for _, p in ipairs(clean) do ids[#ids + 1] = p.id end
+    logEvent("已注入平台 " .. #clean .. " 个: " .. table.concat(ids, ","))
+  end
+  return { status = 200, json = { ok = true, injected = #clean } }
+end
+
 function plugin.status_page(req)
  local r = __llmsproxy_kernel.call("status", {})
  return { status = 200, json = {
@ -2605,7 +2644,12 @@ function plugin.oauth_callback(req)
    return { status = 400, body = cerr }
  end

-  local res = plugin.complete_login({ platform = s.platform, credential = credential, account = account })
+  -- 与 poll_login 的两条完成分支同一纪律：页面流程先建了占位账号
+  -- （credentialRef=channels:<plat>:<aid>），完成时必须带 account_id，
+  -- 否则凭据落到与占位账号无关的 `channels:<plat>` 键 → 池账号永远
+  -- has_credential=false（同一缺陷在 callback 路径的漏网）。
+  local res = plugin.complete_login({ platform = s.platform, credential = credential,
+    account = account, account_id = s.account_id })
  if res.json and res.json.error then
    return { status = 400, body = res.json.error }
  end