|
|
8109acf7cd
|
feat(trae): batch 模型目录（含参考记录的两个真实缺陷修复 + 元数据）
我们此前 trae 的模型列表是**纯硬编码**（32 项名字），既没有真实元数据，也没打
batch 端点。参考的 parseTraeBatchModelList 记录了**两个已修的缺陷**，移植时
必须一起带上，否则等于把 bug 再引进一遍：
## ① 通道白名单是「准入」而不只是「排序」（issue IKJOZ7）
22 个 function 里有一半在本插件推理端点下**不可调用**（实测 chat→4023
model unknown、builder→4001、inline_chat→3003）。只把白名单用于"同模型择优"
的旧写法 = "目录声明什么就发什么" ⇒ 用户选中那些模型必然失败，而错误文案
指向**模型**，极易被误判成"这个模型坏了"。现在不在表内的通道**整组丢弃**。
## ② 空档位不得覆盖有档位（issue IKI7WT/IKILR7）
旧实现无条件"后面的覆盖前面的"，其假设（后面的配置更全）与真实数据**相反**
—— 上游把空档位的 solo_work_lite/solo_design_remote 排在**最后**，实测 13 个
模型因此丢掉 reasoning_effort_config、全部显示"未提供推理等级"。
合并规则（与参考逐条对齐）：空档位不得覆盖有档位；两侧都有档位时按通道优先级
取更靠前者；其余保持"后覆盖前"。
## ③ is_custom_model 是「仅可见但不可调用」的权威判据
该标志为 true 的条目被上游以流内 event:error + 4001 拒绝。
⚠ 判据是**标志的值**，不是模型名 —— 参考点名这个标志随服务端下发变化，
曾据名字把 qwen3.8-flash 误记为应剔除（它其实正常可用）。
## 附带：远端目录**元数据**不再丢
原来目录只回 id ⇒ 参考能提供的上下文窗口/输出上限/思考档位/消耗倍率全丢。
现按参考存下完整条目并在 model_list 以 `remote` 字段报出。
⚠ contextWindow 取 `context_window_tokens.dev` 而非 `max`：max 需开启
display_config.max_mode 才可用（我们不实现该开关），采信 max 会让上层以为有
1M 窗口、实际被上游拒。
## 基础设施
- refreshRemoteModels 支持 ep.body（POST 型目录端点）与 ep.sign（复用平台既有
的头部构造，不另写一套 —— 否则"chat 能通、目录 401"极难查）。
- trae 走 sign="trae_solo" 复用 traeCheckinHeaders（Cloud-IDE-JWT + 约 20 个
客户端头；参考实测简化头会被拒）。
- 新增 __trae_entry_probe（诊断"合并规则选中了哪条"），此前只能靠猜。
## 判据（3 条 + 变异 3/3）
internal/core/channels_trae_catalog_test.go
- 白名单准入 + 档位来源（空档位不得覆盖有档位）
- 四条硬性过滤（usage/config_switch/is_invisible_to_user/is_custom_model）
且 **is_custom_model=false 的 custom_model_* 条目必须保留**（判据是标志值）
- 请求体必须传全部 22 个 function（与真实 IDE 一致；只传聊天通道会让非聊天
通道条目位置错乱甚至被跳过）
变异：白名单不做准入 → 报红；无条件后覆盖前 → 报红；不过滤 custom → 报红。
★ 调试中发现并修掉我自己写的一个**静默失效**：
`declaresEffort` 读 `e.reasoning_effort_config` 而 `parseEntry` 存的是
`e.reasoning` ⇒ 判定恒为 false ⇒ 规则①永不生效（正是它要防的缺陷）。
判据当场抓到。**教训：跨函数用同一份数据时，字段名必须对齐 —— 这类不一致
不会报错，只会让规则静默失效。**
验证：internal/core 369s 全绿。
|
2026-10-16 08:28:36 +08:00 |
|
|
|
7c82c7ff6b
|
fix(channels): account_clear_credentialless 尊重 dry_run（args=req 回退吃掉 body）
## 真实缺陷（我自己在上一个提交里引入，部署后实测踩到）
handler 开头照其它 18 处写了 `if args.platform == nil then args = req end`。
但本函数**不传 platform 是合法用法**（清全部平台）⇒ args.platform 自然为 nil
⇒ args 被换成 HandlerRequest ⇒ 刚解出来的 dry_run 就丢了 ⇒
**传 dry_run=false 却被当成未传，静默只预演**。
破坏性操作里这是最糟的形态：操作者以为执行了、实际没执行（反过来同样危险）。
实测：不带 platform 时 deleted 恒为 nil，池子一个没动。
## 修法
兜底只认「req 本身就是参数表」这种形态（`req.body == nil and req.query == nil`），
不再用「某字段为 nil」当判据 —— 那个字段为 nil 可能只是本次调用**合法地没用它**。
## ★ 判据为什么第一版没咬住
我原来的夹具用 **map body** 调 Call，而缺陷只在**字符串 body**（HTTP 真实路径）
上暴露 —— `bodyOf` 对 table 直接返回，根本走不到回退那行。
补 `TestAccountClearCredentiallessRespectsDryRunViaStringBody`（用
`InvokeHandler` + 字符串 body + 不传 platform）后变异才咬住。
**教训：夹具的调用形态必须与生产一致 —— 用 map 便捷调用会绕过 body 解析路径。**
判据 4 条（含本条）+ 变异 3/3。
|
2026-10-16 07:51:21 +08:00 |
|
|
|
1f18643d1f
|
feat(channels): 无凭据账号的批量清理能力（dry_run 默认开启）
## 为什么需要
`account_add` 允许**不带凭据**创建账号（设计如此："未带凭据的等 login 完成"），
于是"先建占位、再走登录补齐"是正常用法。但登录没走完时（用户放弃、或历史批量
导入）会留下**只有元数据、永远不可用**的账号：它们占着 provider 的账号计数
（面板显示"10 个账号"却全不可用），让"这个平台到底能不能用"难以判断。
实测生产：13 个账号里只有 1 个真正可用 —— codearts 10 个 + trae 2 个全是占位
（同秒批量创建、nickname=id、凭据库里无对应条目）。
## 安全性（破坏性操作，两条性质都被变异验证钉住）
① **只删没有凭据的**：有凭据的一律不动（哪怕它测试失败 —— 那是"可疑"而非
"空壳"，处置完全不同）；
② **dry_run 默认开启**：不显式传 dry_run=false 就只回报会删哪些，不真删；
③ 复用 `plugin.account_delete`（同一份删除实现）—— 删除时要顺带做的事
（drop source、清旧单账号源、删凭据）不另写一套，否则必然漂移。
## ★ 踩到 Lua 顶层 local 上限（第 13 次同类）
helper 写成顶层 `local function accountHasCredential` 后 `luac -p` 直接报
`too many local variables (limit is 200)`。改为挂在 plugin 表上（`plugin.__hasCredential`）
—— 同样只有一份实现，且不占顶层名额。**每次给本文件加顶层 local 前必须 luac -p。**
## 判据（3 条 + 变异 2/2）
internal/core/channels_clear_credentialless_test.go
- 只删空壳、保留有凭据的，且**有凭据者的凭据必须仍在**（防误删）
- 指定 platform 时范围隔离（不动别的平台）
- 未知平台必须报错（否则会误删全部平台）
变异：无条件全删 → 报红；dry_run 默认改 false → 报红。
|
2026-10-16 07:45:52 +08:00 |
|
|
|
e6fa2a678f
|
feat(zcode): 3012 判据/文案/诊断模块（照参考逐行移植，含对抗性审计反例）
照参考 zcode-diagnostics.ts 移植，作为**两处消费者共用的一份源码文本**：
① 插件主体（领取路径 claimZcode）；② channels-zcode 适配器（推理路径）。
共用是必须的：3012 有**账号冷却惩罚**（30 分钟起步，反复触发升级到 24 小时乃至
停用），"请勿连续重试"这句话绝不能只在一条路径上（参考为此专门抽成单一份）。
## 为什么这次移植的不是"锦上添花"
我们原来的领取路径是 `code == 3012 or msg:find("unusual activity")`，而参考用
**对抗性审计**打出了两个方向的真实缺陷（2026-10-05，实测记录在源码注释里）：
**误判方向**（把限流当风控）：两者用户动作**完全相反**（稍后重试 vs 别重试），
且领取路径据此**短路**、跳过本可领取的 plan。实测反例：
`too many requests, retry after 3012 ms` ← 毫秒数被当风控
`<h1>Error 3012</h1>upstream connect timeout` ← HTML 里的数字
`rate limited: request blocked, retry after 3012 ms` ← block 距 14 字符
`temporarily blocked; see error 3012` ← block 距 12 字符
`plan-3012-trust` / `trust_3012` / `x3012y` / `13012` ← 标识符形态
**漏判方向**（真风控被放过）：上游 3012 的 msg 原文
`request has been blocked due to unusual activity.` **不含任何数字**（数字在 code
字段里）⇒ "必须有独立词 3012"这条门禁会反过来把它漏掉。
⇒ 判据以**语义短语**为主、数字只作兜底且必须与 block **紧邻（≤10 字符）**；
词边界集必须含 `-`/`_`（参考两版才收全：先只排数字 ⇒ plan-3012 仍命中；
再补字母 ⇒ 仍命中，因连字符不属 [0-9A-Za-z]）。
另：业务码认**纯数字字符串**（上游回 {"code":"3012"} 时，只认 number 会让风控码
整条丢失 ⇒ 用户看到那句裸上游串）。
## 一并移植的其它实测教训
- `formatGap`：分钟档必须**逐档单独算**。参考初版写 `floor(seconds % 60)`，
90 秒被渲染成「30分30秒」（分位取的是**秒的余数**）——该错误是在真实探针
输出里发现的，纯函数单测当时没覆盖 ≥60 秒区间。
- 诊断的「距上条」必须用**单独存的 previousSentAt**，不能拿 lastSentAt 顶替
（调用顺序是"先记本次、再诊断"，顶替会让它恒为 0ms、永远没有信息量）。
- 形态诊断必须读**真正要发出去的那个对象**，不读常量：常量只能证明"源码里写了
多少字"，证明不了"线上发出去多少字"；空 system 时必须**如实显示 0**。
- 诊断行**绝不写凭据**：账号只以进程内自增序号出现。
## ★ 接线上的一个真实 bug（我自己引入并自查出来）
`installZcodeAdapter` 最初把 DIAG 源码直接 `.. ZCODE_ADAPTER_SRC` 拼接 ——
而 DIAG 末尾是 `return Z`，直接拼会让那个 return 结束**整个 chunk** ⇒ 适配器
代码永不执行，且**装载会静默成功**（"加载成功但适配器不存在"）。
修法：包进 `(function() ... end)()` 让 return 只结束该函数。
## 判据
`internal/core/channels_zcode_3012_test.go`（走共用探针打**那一份**实现）：
- 19 条分类矩阵（含上列全部审计反例）
- formatGap 逐档（含 90000ms 必为「1分30秒」）
- 诊断行凭据泄漏守卫（账号 id 的每个 ≥4 字符子串都不得出现）
- 文案共用 + 必含「请勿连续重试」+ 空参不留空壳
- 形态诊断读实际对象（空 system 必须显示 0）
★ 变异 2/2 咬住。其中分类矩阵**第一版没咬住** —— 因为"紧邻检查"独立挡住了
那些用例，从未**隔离**词边界规则；补 5 个"block 紧邻但 3012 在标识符里"的
用例后才有效。教训：**必须有一组用例只被被测规则区分**，否则别的守卫会把它
的失效掩盖掉（本轮第 4 次"判据太弱"）。
验证：internal/core 351s 全绿。
|
2026-10-16 01:38:34 +08:00 |
|
|
|
b871c0c713
|
fix(zcode): 日期块对齐参考的两条规则（幂等 + 只看第一条），修 off-by-one
通读参考 zcode-identity.ts 的 withContextPrefix 后发现我的实现漏了两条官方行为，
且其中一条藏着真实 bug：
## ① ★ 幂等判断 off-by-one（真 bug）
`"<system-reminder>"` 是 **17** 个字符，而我写的是 `c:sub(1, 16) == SR`
—— 判断**永远为假** ⇒ 幂等完全失效：同一请求重试/多次 transform 时日期块
会叠加成多层，改变 content 的前缀结构（上游检查的正是这个结构）。
修法：用 `#SR` 算长度，不写死数字。
## ② 只看**第一条**消息，且它必须 role == "user"
我原来实现成「往后扫第一个 user 消息」。官方行为是：只处理 `messages[0]`，
且若它不是 user 就**完全不动** —— 不是去找后面那条 user。已对齐。
## ③ 其它类型兜底
参考对非字符串/非数组的 content 也会置为 `[prefix]`，照做。
判据 2 条（新增）：
- TestZcodeContextPrefixIsIdempotent 已含日期块时不重复插
- TestZcodeContextPrefixOnlyTouchesFirstMessage 首条非 user 时不动、首条 user 时插入
变异 2/2 咬住：把 #SR 改回写死的 16 → 报红；去掉幂等判断 → 报红。
★ 我自己在写这条判据时又犯了一个错并当场自查出来：断言「文本 content 应保持
字符串」，而 anthropic 基座把文本转成块数组是**正常**的协议转换行为 —— 差点把
正确的实现判成错。判据要验的是「**日期块**有没有被插进来」这个事实，不是
content 的容器类型。
验证：internal/core 335s + internal/gateway 207s 全绿。
|
2026-10-16 01:13:11 +08:00 |
|
|
|
8b318a8507
|
feat(zcode): 身份块适配器 + 修复调度器泄漏 + codearts 目录 + 备份裁剪泛化
## 1. ★ zcode 身份块适配器（channels-zcode）—— 准入的唯一开关
参考实测（三账号 17 次请求）：zcode 的 /zcode-plan/anthropic 通道做**请求体
内容检查**，system 缺官方身份块结构时直接 HTTP 405 + {"code":3012}：
无 system → 3012 ✗
仅 cliPrefix（42 字符） → 3012 ✗
cliPrefix + stable（约 2898 字符）→ 200 ✓
⇒ 判据是「身份块结构是否存在」，与 HTTP 头、版本号、频率、多轮历史、tools
声明、运行时全部无关。我们此前用通用 anthropic 适配器 ⇒ **即使拿到 zcode
账号也必然被拒**（现在 0 账号，但这是能不能用起来的前提）。
实现：插件自装 channels-zcode —— 读内核 anthropic.lua 执行取基座，**只覆盖
transform_request** 注入身份块（协议转换始终与 anthropic 那一份一致，不漂移）：
block[1] cliPrefix(42) / block[2] stable(2852) / block[3] Environment 段
/ block[4] 调用方 system（**必须追加在最后**：上游看的是前缀结构）
只给最后一块打 cache_control（Anthropic 上限 4 断点，逐块打会占满预算）
日期块插入首条 user 的 content **数组**最前（拼进字符串会改变结构）
文本与参考**逐字节一致**（已核对：42 + 2856 = 2898）。
★ 基座读不到时**响亮失败**，不静默退化 —— 否则会产出"身份块看着对、工具/图像
全没转换"的请求，上游可能 200 但模型拿不到工具定义，症状是"模型变笨了"，
与准入毫不相干、排查完全跑偏。
判据 4 条 + 变异 2/2：不注入 → 报红；截断到 100 字符 → 报红。
另加"协议转换不退化"判据（工具 input_schema / 图像块存活）。
## 2. ★★ 同一缺陷家族第 3 个实例：Close() 不停调度器
修完 on_unload 后全量回归 internal/lua **600s 超时**，goroutine 快照显示
**69 个卡在 stateSaver.loop 与 PluginRuntime.loop**。
根因：Runtime.Stop() **只在单插件 Unload 里调**，Close() 不调 ⇒ 每个插件的
调度循环在"进程关闭/测试结束"路径上永不停止。与 on_unload 完全同一形状。
修法：Close() 新增 stopSchedulersAll()，顺序 = 停调度 → 落盘 → on_unload
（调度器必须停在落盘之前，否则它写一个已收尾的 state）。
★ 顺带：Stop() 不幂等（裸 close 会 panic: close of closed channel），
两处都调之后可达 —— 用 sync.Once 加固。给函数加第二个调用点前先查幂等性。
实测 internal/lua 从 600s 超时 → 62s 通过。
## 3. codearts 模型目录：补两个**必须 AK/SK 签名**的端点
codearts 有 10 个账号但目录里只有硬编码 1 个模型。参考打两个端点：
① opengw.../gateway/config → result.models（benefit）
② snap-access.../v1/model/builtin → builtinModels（常规）
而 refreshRemoteModels **只支持 Bearer** ⇒ 这两端点从来没被打过。
已加 ep.sign="codearts" 分支 + 两个解析形态 + opengw host 白名单。
判据：两端点各自真实命中 + 每请求带 SDK-HMAC-SHA256 头 + **合并**（非取其一）。
## 4. TRAE PKCE 候选来源补齐（3 → 5）
参考 authCodeCandidates 有 5 个来源，我们只有 3（漏了 authCodeInfo 为 JSON 的
authCode 字段、以及**纯字符串**形态）。★ 且不能写成 `a or b or c` 链 ——
jsonField 取不到时返回**空串**，Lua 里空串是真值，链会在第一个空串处短路。
判据 5 个参数化用例 + 变异 2/2 咬住（正是 or 链取不到的两个形态）。
## 5. ★ 部署脚本：备份裁剪只修了一半（"两处只修一处"再现）
prune_adapter_backups 有完整实现（含数量硬上限），但**只针对 adapters.bak**；
sync_plugins 同样每次建 plugins.bak.* —— 修了 adapters 的堆积、plugins 继续涨。
实测线上 plugins.bak **36 个**、/etc/llmsproxy 192M。
泛化为 prune_backups <prefix> + prune_all_backups（两个前缀都裁），加空前缀守卫。
判据不止逐字检查，而是**扫描脚本里所有 .bak.$(date) 创建点**，要求每个前缀都在
裁剪范围内 —— 将来新增第三种备份目录会立刻报红，而不是等它涨到几百兆。
变异 2/2 咬住（只裁 adapters / 去掉守卫）。
## 6. 上游客观缺口钉成可执行判据（TestUpstreamGapsAreDocumented）
qoder 加密端点需 .wasm（**参考仓库里也不存在**）、TRAE PKCE 参考**明确不支持**、
zcode 滑块需真实浏览器交互。写成判据：任何人（包括未来的我）想"补"这些能力，
必须先让判据失败 —— 即先推翻事实再动手。防的正是我前两轮的反复误判。
清理：channels-buddy.lua（0 字节历史遗留，每次启动报 must return a table）。
|
2026-10-16 00:56:14 +08:00 |
|
|
|
69da3c9b92
|
fix(kernel): Close() 从不调 on_unload —— 孤儿进程与回调文件泄漏
## 症状
本机积累 **995 个 llmsproxy-loopback.py 进程**（828 个超 24 小时），全是
/tmp/Test*/ 与 .build-work/Test*/ 下的测试残留；生产 /etc/llmsproxy/plugins/
另有 **18 个孤儿 callback-*.port**（对应 .json 早已消失），且永远清不掉。
## 真因（两层）
1. **回环回收本是惰性的**：reapLoopback 只在**会话过期**时被 sweepSessions
触发。测试跑完直接退出 ⇒ 会话从未「过期」⇒ 进程常驻。生产会话真会过期，
所以生产不漏进程 —— 但见第 2 条。
2. **★ 根因在内核**：Plugins.Close() 只关 shard 与 saver，**从不调用
on_unload** —— 而 on_unload 只在**单插件 Unload** 时调。于是「进程关闭/
测试结束」这条路径上，起了 OS 进程的插件永远收不了尾。插件的
plugin.on_unload（回收浏览器栈 + 回环）写得完全正确，只是从不被调用。
这是「两处只修一处」缺陷的又一例：Unload 有、Close 没有。
## 修法
- 抽 invokeOnUnload(p, name) 助手，**Unload 与 Close 共用同一份实现**
（两处各写一遍必然漂移，本次缺陷形状正是如此）；Close() 新增
callOnUnloadAll()。
- ★ 顺序：shards.Shutdown() → save.Close()（落盘）→ callOnUnloadAll()。
落盘必须在前 —— saver 的最终写入要读插件的 Lua 表，on_unload 之后 state
已关，读到的就是空，最后一个区间的累积静默丢失（TestCloseFlushesTail 正是
为守住这一点而存在）。我第一版把顺序写反，被该测试当场咬住。
- channels：启动清扫上一进程留下的孤儿 callback-*.port/.json。loopbacks
追踪表只活在内存，进程被强杀时 on_unload 没机会跑，重启后内存表为空 ⇒
reapLoopback 无从知晓 ⇒ 那 18 个文件永久残留。
- channels：补 reap_loopbacks 端点（生产运维也可用：不必等会话过期）。
- channels：__set_loopback_probe 从**覆盖**改为**合并**条目 —— 覆盖会丢掉
真实会话的 pid/port_file，让 reapLoopback 杀不掉接收器，**探针自己成为
泄漏源**（实测：其他测试已归零，只有它留 1 个孤儿）。
## 判据（均做变异验证）
- internal/lua/plugin_unload_on_close_test.go
TestPluginsCloseCallsOnUnload 看真实外部效应（插件在 on_unload 写磁盘
marker），而非「钩子被调用过」这类内部信号
TestPluginsCloseSurvivesFailingOnUnload best-effort 契约
- internal/core/channels_orphan_callback_test.go
TestPluginLoadSweepsOrphanCallbackFiles 看目录真实状态：孤儿必须消失，
非回调文件（.channels-store.json）不得误删
- 变异均咬住：注释掉 callOnUnloadAll → 报红；清扫改 no-op → 报红。
## 实测
修复前跑一次起会话的测试批次留 7×N 个残留进程 → 修复后 **0 个**；全量回归
（go test -tags luajit ./... 10 包）后回环/VNC 残留均为 0。
## 过程中自查出的两处疏漏（已修）
1. 判据顺序又写反一次（同上 TestCloseFlushesTail 咬住）。
2. **两枚变异残渣留在工作区**未还原：internal/gateway/discover.go 里
`add(raw, "/models", 0)` 被删、`classifyAuthStatus` 的 `|| len(body) >= 0`
恒真注入。已 git checkout 还原。教训：变异测试必须逐次收尾，别靠记忆。
|
2026-10-15 22:43:08 +08:00 |
|
|
|
1be34557dd
|
fix(trae): 登录失败真因 —— 虚构的「授权码交换」+ 空 client_id
用户报「TRAE 登录后显示失败」。定位到三处偏差，其中一处是核心缺陷：
① ★ **虚构了一次不存在的「授权码交换」**（核心）
poll_login 的 trae 分支自己发明了一段逻辑：回调只带 code 时，拿
exchange_body 去打 ExchangeToken。但：
· ExchangeToken 的签名是 RefreshToken，不是 code；
· exchange_body 里根本没有 {code} 占位符，那次替换是空操作；
· client_id 当时是空串。
于是稳定 400，日志回一句误导性的「Trae 授权码交换失败: 400」——
把真因「上游走了 PKCE 流程」掩盖成「交换出错了」，排查方向完全错。
按参考实现（trae-oauth.ts parseTraeCallbackDetailed）修正：带 code 的
回调是**合法回调**，只是不支持的 PKCE 分支，必须明确报出来。
删除虚构交换，两条路径共用 traeCallback 内建的 PKCE 判定。
② client_id 从空串改为实测真值 en1oxy7wnw8j9n（对齐参考 trae-product.ts
的 clientId；ExchangeToken 请求体里 ClientID 必填，留空稳定 400）。
③ 两条路径（oauth_callback / poll_login）现在共用同一结论，不再漂移 ——
这正是缺陷能藏住的原因：修复只覆盖一条、另一条继续错。
测试支撑：
- 新增 __set_loopback_probe（注入 loopback 回调文件），否则无法驱动
poll_login 的 callback 分支（那才是真实登录走的路径）。
- 判据 4 条，全部做变异验证：
TestTraePkceCallbackIsReportedNotExchanged 打 poll_login，断言没打 ExchangeToken 且点名 PKCE
TestTraeExchangeSendsRealClientID token 直传真调交换，请求体形状正确
TestTraeClientIDIsNotBlank client_id 必须是实测真值
TestTraeCallbackPathsAgreeOnPkce 两条路径必须共用 traeCallback
- 变异 2/2 咬住：client_id 改回空串 → 报红；虚构交换加回去 → 「实际打了 1 次
ExchangeToken」。
★ 我在过程中自己犯的两个错（均由变异测试揭穿，已修正）：
1. **判据打错了路径** —— 第一版打 oauth_callback（那条一直是对的），注入缺陷后
判据**仍绿**。改成打 poll_login 才咬住。教训：判据必须打**真实被使用的那条
路径**，否则等于没测。
2. **判据写错了契约** —— poll_login 用 HTTP 200 + json.state 表达终态，我按
status != 200 断言，把正确的实现判成了错。
回归：go test -tags luajit ./... 10 包全绿。
|
2026-10-15 22:04:01 +08:00 |
|
|
|
9e5fec08b8
|
feat(opencode): Zen 免费层可用 —— 门禁四要素 + id 公式逆出
问题：localzen 源（opencode Zen）整个免费池恒 403 FreeTierError
（"free tier can only be used from within OpenCode"），space-bunny-free
等免费模型全部失效。
排查（装官方 CLI 抓包 + 逆其本地 opencode.db，见下）：门禁是**四条请求形状
条件**，与 TLS 指纹 / UA / 凭据来源 / system 内容 / 消息条数全部无关：
1. 端点必须是 /inference/v1/chat/completions（原来打的 /zen/v1 恒 403）
2. 必须同时发 x-opencode-session 与 x-opencode-session-id（值相同）
3. tools 里必须有一个名为 read 的工具，且其 parameters.properties **非空**
（实测：抽掉官方 11 个工具中任意一个仍 200，**只有抽掉 read 变 403**；
properties 里放任意属性名即可，描述/$schema/required 都不需要；
改成 properties:{} 或只有 type:object 则 403）
4. stream 必须为 true（同 body 改 false 恒 403）
★ 两个 id 的 12 位 hex 段由**确定公式**给出（逆自 opencode.db 的 session 表，
用 11/12 条真实 id 逐条比对完全一致）：
MASK = 2^48-1 ; K = 0x1afffffffffffe （注意不是 27<<48，两者差 2）
session 段 = (K - now_ms*4096) & MASK ← 倒计时式，Δseg/Δms ≡ -2^12
request 段 = (now_ms*16) & MASK
时间容差实测 ≥1 小时（-3600s 仍 200），故 os.time() 的秒精度足够；
now_ms*4096 ≈ 7.3e15 < 2^53，在 double 安全整数范围内。
实现：
- id 生成换成上述公式（原用 sha256 派生，完全不符）
- 补 x-opencode-session-id；两个头同值
- 会话号按**整分钟桶**取：既满足门禁的倒计时公式，又保留上游前缀缓存命中
（实测 cached_tokens: 256 生效）
- tools 兜底：客户端没带 tools 时注入带非空 properties 的 read 桩；
用户自带 read 则原样保留，不覆盖其定义
- 强制 stream=true
- ★ transform_response 支持 SSE 聚合：免费层只能流式，而客户端可能发非流式，
此时内核按客户端意图走 Chat/transform_response（期望 JSON）⇒ 必须自行把
SSE 聚合成 chat.completion，否则报 "invalid character 'd'"
配置（已在生产落地）：
- localzen base_url: /zen/v1 → /inference/v1（billing 规则同步）
- 免费模型 1 个 → 8 个（含 deepseek-v4.1-flash-free）
- 适配器移入 internal/lua/adapters/，随 deploy.sh 自动投放
判据（4 条）：
- TestOpencodeZenAdapterE2E 头公式/两头部同值/tools 兜底/不覆盖
- TestOpencodeZenAggregatesSSEForNonStreamClient SSE → chat.completion 聚合
- TestOpencodeZenLiveE2E ★真上游：纯对话/自定义system/多轮/算术
- TestOpencodeZenLiveStreamThroughAdapter ★真上游：完整流解析链（25 chunk）
（后两条需 LLMSPROXY_LIVE_ZEN=1 + 真实凭据，默认 skip）
生产 e2e 实测：非流式返回 GW-NONSTREAM-OK（usage 含 cached_tokens 256）；
流式原生 SSE 透传；多轮+工具返回正确结果（12*12=144 → 144+1=145）。
回归：go test -tags luajit ./... 10 包全绿。
★ 方法论教训（本轮绕了 4 轮、自我推翻 3 次）：
- 一次只改一个变量。我多次同时改 system+条数+tools，拟合出"消息条数上限 3"
这种假规律，后续每次反转都源于此 —— 真相是那些测试**都缺 tools**。
- 重放成功 ≠ 解释成功。第一次逐字节重放就 200，我却当"重放了官方刚发的请求"，
继续追 TLS 指纹/端点/形状。正确做法：一旦重放成功立刻做**单变量消去**。
- "毒药短语"陷阱：我二分到 963/964 字符精度锁定 Never use tools 是触发点，
但它单独出现全 200 —— 真相是缺 read 的 properties。凡"某内容触发"的规律
必须交叉验证。
|
2026-10-15 20:30:33 +08:00 |
|
|
|
68446fb6fe
|
fix(vnc): noVNC 的 path 必须用相对名，否则 WebSocket 路径重复拼接
真实缺陷（白屏真因之一）：view_url 里传了**站点根路径**作为 noVNC 的
path 参数：
.../proxy/<id>/vnc.html?path=api%2Fplugins%2Fhttp%2Fchannels%2Fbrowser%2Fproxy%2F<id>%2Fwebsockify
但 noVNC 用 `new URL(path, location.href)` 解析它（app/ui.js 的 connect()），
即**相对 vnc.html 所在目录**解析，默认值就是相对名 "websockify"。传根路径
会被当相对路径 ⇒ 实际请求变成路径重复拼接：
.../proxy/<id>/api/plugins/http/channels/browser/proxy/<id>/websockify
于是 WebSocket 永远连不上，noVNC 显示连接失败，页面看似白屏。
修法：只传相对名 path=websockify，与 noVNC 默认值一致。
★ 判据：必须解析**产品自己给出的 URL**（而不是测试里手拼）。我上一轮验证时
手拼 URL 并省掉了 path 参数（默认值恰好正确）⇒ 掩盖了这个真实缺陷。
新判据断言：path 存在、不以 / 开头、且 ResolveReference 后等于同级 websockify。
|
2026-10-15 20:30:33 +08:00 |
|
|
|
7a8d97001c
|
feat(插件代理): 同源反向代理 —— VNC 不再暴露额外端口
问题：登录返回的 view_url 是 http://127.0.0.1:60100/vnc.html，WebUI 直接把它
嵌进 iframe。远程运维打开必白屏 —— 127.0.0.1 在客户端指向客户端自己，且
websockify/x11vnc 只绑回环，换服务器 IP 也连不上（实测 LAN IP 访问 000）。
★ 教训：只验证"服务端截图有画面"就宣布 VNC 可用是不充分的。四层链路里
①X 渲染 ②noVNC 客户端渲染 一直是好的，白屏真因在第④层「客户端如何拿到地址」。
内核新增通用「插件前缀代理」能力（不是为 channels 写的专用反向代理）：
- plugin.http 支持 prefix = true：声明前缀路由，承接所有子路径
- handler 返回 { proxy = "http://127.0.0.1:PORT" }，内核每次请求都问一遍
⇒ 会话停止/过期后插件不再给目标，旧地址自然失效（撤销点唯一）
- 鉴权与角色门禁复用现有链路，无旁路
- statusRecorder 增加 Unwrap()，让 Hijack 穿透访问日志中间件（否则 WebSocket 升级失败）
- 目标只允许带显式端口的**字面回环 IP**（用户拍板方案 A）：拒绝 https、localhost
主机名、无端口、带 userinfo/path/query；理由是主机名可能被 hosts/DNS 改写
- 拒绝跨站 Origin（WebSocket 带环境 Cookie，否则第三方网页可借管理员会话开隧道）
- 不向插件后端转发 Authorization/Cookie/api_key
channels 接入：
- 新增 channels/browser/proxy/:session（prefix=true）
- 会话代号 = seq-随机8位，防猜到活跃会话
- view_url 改为网关同源路径，noVNC 的 WebSocket 走同前缀 /websockify
- 会话过期即回收浏览器栈并返回 404
判据（每条咬真实外部效应）：
- 静态资源转发
- 真实 HTTP 101 升级 + 双向数据回传（只断言静态转发不够 —— 升级是白屏真考点）
- 网关凭据不泄漏（在服务端断言请求头）
- 非法目标全拒（公网/localhost/https/无端口/带 path、query、userinfo）
- 跨站 Origin 403
- 未鉴权 401、过期会话 404、非子路径 404
回归：go test -tags luajit ./... 9 包全绿
|
2026-10-15 14:57:13 +08:00 |
|
|
|
eaac0ef6b3
|
修复用量总计与渠道账本统计
|
2026-10-15 12:43:11 +08:00 |
|
|
|
226493b5ae
|
fix(部署+插件): VNC 兜底登录**真正可用** —— 放开浏览器栈不需要的加固 + 修 3 个插件缺陷
用户原话：「全部放开，插件不让用这些还叫插件吗」。方向是对的：插件架构的边界
应当是**内核暴露给插件的 API 权限**，而不是一层把插件自己的浏览器栈也关在门外的
进程级 syscall 过滤器。
## ★ 白屏的根因（本次花了大量时间，记录完整线索链）
同一页面、同一 chromium 参数，只换 seccomp：
| SystemCallFilter | 结果 |
|---|---|
| `@system-service` | 页面**永远空白**（截图非白像素 7.9%，连 `typeof WebAssembly` 都不执行） |
| 放开 | 完整渲染 TRAE 登录页（非白像素 **90.6%**，标题 `登录 \| TRAE - The Real AI Engineer`） |
TRAE 授权页是 React SPA + 字节风控 SDK（`sdk-glue.js`），依赖 WASM/JIT。
白名单**只减不增**地挡住了它。
**为什么不再逐个补白名单**：那是没有终点的维护 —— 每接一个新平台、每换一次前端
SDK 都可能再撞一个缺口，而症状永远是"页面白屏"这种零线索形态。本次为此**错误
怀疑过** 5 个方向（profile 锁 / /tmp 满 / PrivateTmp / 可写 HOME / AF_NETLINK），
全部被排除后才靠**逐 directive 二分**定位。补白名单只会让下一个人重复这个过程。
`packaging/llmsproxy.service` 因此去掉两项：
- `SystemCallFilter=@system-service` + `SystemCallArchitectures=native`
- `RestrictAddressFamilies=AF_INET AF_INET6 AF_UNIX`（缺 `AF_NETLINK` 会让
chromium 建套接字失败 → SSL `net_error -101` → 导航不了）
**保留**的加固（已逐条实测不影响浏览器栈）：`NoNewPrivileges` /
`ProtectSystem=strict` / `ReadWritePaths=/etc/llmsproxy` / `ProtectHome` /
`PrivateTmp` / `CapabilityBoundingSet=`（空）/ `ProtectKernel*` /
`RestrictSUIDSGID` / `RestrictRealtime` / `LockPersonality`。可写面仍收窄到
`/etc/llmsproxy`。
## 修掉的 3 个插件缺陷（都是真 bug，各自有判据）
1. **前向引用（第 12 次）**：`sweepSessions` 调 `reapLoopback`/`browserStack`/
`reapBrowser`，三者定义在**后面** ⇒ 未声明时是全局 nil。加载期不报错，只有走到
「会话过期回收」才炸 ⇒ **第一次登录正常、第二次 500**，且已起的浏览器栈不被回收
（进程与端口泄漏）。→ 加前向声明 + 定义改赋值式。
2. **`spawnBrowser` 里 `url` 是未定义全局**（形参名是 `start_url`）⇒ chromium 打开
`http://nil/`。修复前页面 URL = `http://nil/`，修复后 = 完整 `trae.cn/authorization?...`。
3. **chromium 在加固环境自杀**：`FATAL: GPU process isn't usable. Goodbye.`
→ `--in-process-gpu`（GPU 逻辑跑浏览器进程内，不 fork）。另给可写
HOME/XDG（`ProtectHome=yes` 下 /root 只读会刷 permission denied 噪声）。
另加**存活探针**：此前只等 CDP 端口就报「已就绪」，即便浏览器已死也报成功 ——
**谎报比直接报错更坏**（运维会以为是自己操作的问题）。现在会如实报出
`浏览器 CDP 无应答：...FATAL: GPU process isn't usable`。
## 测试与生产抢资源的修复
生产 `PrivateTmp=yes` 下 Xvfb `:91` 的锁在**服务自己的 /tmp** 里，宿主测试看不到
⇒ `xdisplayBusy(91)` 判"空闲"⇒ 测试去抢 91 ⇒ `Xvfb 未就绪`。
→ 显示器起始号可被 `LLMSPROXY_XDISPLAY_BASE` 覆盖，测试台统一用 300+；
`TestXDisplaySelectionReclaimsStaleLocks` 的号段也跟随（否则它造出的陈旧锁**根本
不会被扫描到**，断言永远失败 —— 那是判据与被测对象脱节）。
（端口不需要覆盖点：端口是全局资源，`portFree` 查 /proc/net/tcp 看得见生产占用。）
## 判据
- `TestSweepSessionsHelpersAreForwardDeclared`：三助手必须前向声明 + 定义必须是
赋值式 + 声明必须**先于**使用。
- `TestBrowserStackVerifiesLivenessNotJustPort`：必须有 CDP 真应答判据 + /proc 存活
+ 日志真因 + 失败时回收整组进程。
- `TestBrowserStackUsesInProcessGPU`：`--in-process-gpu` / 可写 HOME/XDG 不得被删。
- `TestChannelsVncStackEndToEnd` / `TestXDisplaySelection*`：真实起栈验证。
## 端到端验证
`bash deploy.sh` → 生产 `active` / `NRestarts=0`；真实登录请求 → `server_browser=True`，
VNC 上**完整渲染 TRAE 登录页**（手机号登录 / 抖音 / 苹果 / 企业账号登录全部可见），
标题 `登录 | TRAE - The Real AI Engineer`。
回归：9 个包全绿。
|
2026-10-15 08:22:57 +08:00 |
|
|
|
2a2067284d
|
fix(channels): isFree 与声明自相矛盾 —— 免费判定改为**按平台声明权威来源**
## 缺陷
cline 的 3 个模型来自远端 **free 数组**（`recommended-models` 的唯一权威 free 集合），
却声明在 `models` 里 ⇒ 生产实测**全部 isFree=False**，与旁边的注释
「免费模型（远端 free 数组实测）」直接矛盾。用户看不到哪个可以不花钱用。
## ★ 关键认识：两个参考用的是**不同机制**，不能混成一条链
| 平台 | 免费判定的权威 |
|---|---|
| cline | 远端 `free[]` → 命名约定 `cline-free/*` → 静态兜底表（**不查 cost**） |
| opencode | models.dev 的 `cost`（`/zen/v1/models` 连能力字段都没有，cost 是**唯一**来源） |
我第一版把两者写成一条「OR 链」（任一来源说免费即免费），结果与既有判据
`TestCapabilityOverridesFreeFlag` **正面冲突** —— 那条判据要求「能力表说收费时
必须为 false」。冲突暴露了真问题：**只有平台自己知道它的免费名单在哪**。
⇒ 改为平台声明 `free_source`：
- `"capability"`（opencode）—— cost 权威，本地声明只作能力表拉不到时的兜底；
- 缺省 —— 声明链权威（**OR 语义**：任一来源确认免费即免费）。
OR 语义是刻意的：写成「后者覆盖前者」会让「远端说免费、能力表拉不到」
静默退回收费，正是这类静默降级。
## 其他改动
- `parseRemoteModels` 现在把远端的 `free[]` 记成**权威免费集合**
（此前只收了 id、丢掉了"它免费"这层信息），provider 走**显式参数**而非
隐藏全局状态（隐藏状态是漂移源）；
- cline 补 `free_prefix = "cline-free/"`（远端未响应时的兜底依据）与显式
`models_free`（远端抖动时不把免费模型误标成收费）。
## 判据
`TestIsFreeUsesAuthorityChain`：① cline 的 `cline-free/*` 与
`stealth/space-bunny-alpha` 必须免费；② 命名约定在远端未响应时能独立判出免费；
③ **反向**：收费通道的同名模型不得因前缀规则被判免费（参考点名
「免费模型是独立 id」）。既有 `TestCapabilityOverridesFreeFlag` 同时保持绿 ——
两条语义靠平台声明共存，而不是二选一。
## 附带发现
全量回归曾出现 `TestConcurrentPluginAdapterUpdates` 挂 59 分钟：
单独跑 0.058s 通过 ⇒ 真因是 **`/tmp`（8.8G tmpfs）被 Go 构建缓存占满 100%**，
不是代码死锁。清理 6G 后全量 9 包全绿。
|
2026-10-14 20:00:58 +08:00 |
|
|
|
742e2b5ed3
|
feat(channels): Cline 用插件自装的 channels-cline 适配器 —— 解析英文句子里的等待时长
## 为什么（这是**比参考更严重**的形态）
Cline 的 429 **既不给 `retry-after` 头，也不给绝对时刻**，等待时长写在
**人类可读的英文句子**里。抓包真值（参考实测，`no-retry: true`）：
```
HTTP 429
{"error":{"code":"INFERENCE_CAP_ERROR",
"message":"Error 429: Daily free limit reached on model
deepseek/deepseek-v4-flash. Try again in 19h 39m"}}
```
- **参考**退到"1 小时快照兜底" ⇒ 用户看到「永远 60 分钟」（等满一小时再试仍被拒，
且每失败一次就**从当下**重新计一小时 ⇒ 无限循环）。
- **我们更糟**：内核把 429 当普通限流、用**固定 30 秒**冷却 ⇒
**每 30 秒重试一次、永远失败**，在猛敲上游。
## 做法：厂商知识留在插件域，产出归一成内核已认的中立语义
插件自装 `channels-cline`（照 trae/gemini/qoder 同一机制）：
1. 解析真实等待时长 —— 各 token **累加**（`1h 30m` = 90 分钟），
单位按**首字母**判（h/m/s 互不重叠）⇒ 一次扫描即可，不会重复计数
（参考点名 `minutes?` 与 `m` 同时匹配会让时长翻倍）。
2. 把文案归一成内核**已认的中立短语**「额度已用完」⇒ 内核据此走
`RecordQuotaExhausted`（冷却到窗口边界）而不是 30 秒限流冷却。
**内核不认识任何厂商码/厂商文案**，只认自己的通用关键词表。
3. 话术把「是什么 + 何时恢复 + 重试无用」说清楚，**不**复述上游英文原文，
也**不**退回「等 1 小时就好」那种误导。
4. 402 单独处理：等待**不会**恢复，必须说清楚需充值。
## 判据（5 组，含"不得谎报"的反向项）
`TestClineAdapterParsesProseWait`：
① 归一成「额度已用完」（否则内核按 30 秒猛敲）+ 真实时长出现 + 明确「重试无用」
+ **不得**退回「1 小时」误导；
② 通过**真实 transform_error 路径**验证时长累加（`1h 30m` → 「1 小时 30 分」）、
秒级也能解析；
③ 402 提示充值；④ **普通 429 不得谎报成额度耗尽**（那会让内核长时间冷却一个
健康源）；⑤ 多种外壳（`{error:"…"}` / `{msg}` / 非 JSON 纯文本）都要认
—— 只认一种会在别的形态下静默丢掉整条信息。
回归：9 个包全绿；内核非测试代码零厂商名。
|
2026-10-14 20:00:58 +08:00 |
|
|
|
81b3661336
|
fix(channels): 自动领取每天静默漏领 —— 按 covers_today 记账，且间隔改为 2 小时
## 真实缺陷（照参考 credits.ts / auto-checkin.ts，2026-10-02 审查定位）
活动刷新时刻**各平台不同**：Qoder 是**每日 10:00（UTC+8）**才刷新。
而我们的自动领取只在 **08:00 跑一次**，于是：
- 上午那次看到的是**昨天**那条 `CLAIMED` → 报 `already-claimed`；
- 若拿它当"今天已处理"的凭证记档，当天 10 点刷新后就**再也不会去领**；
- ⇒ **每天静默漏掉 100 积分**（且不可逆：用户以为今天不必再领）。
## 修法：不靠"时刻表"，让产出方自己声明
参考的做法（照抄，因为它是从根上对的）：**不**给每个渠道配一张「刷新时刻表」
（那必然漂移），而是让**看得见该渠道刷新语义的那一层**声明
`covers_today`（本次结果算不算"今天这一轮"），记账方只数
「有几条能证明今天已被处理」。
- `covers_today` **缺省 true** ⇒ 绝大多数渠道（每日签到语义）行为完全不变；
- Qoder 在**刷新前**置 `false` ⇒ 不得据此认定今天已处理；
- **判据只看 `covers_today`，绝不用 `kind` 反推** ——
`already-claimed` 天然有歧义（可能就是昨天那一轮的痕迹）。
- 未覆盖今天的平台会**待重试**并记日志；已覆盖的（按 UTC+8 日界记账）
下一次直接跳过，不会重复打上游。
## 调度频率（两半都要，缺一仍漏）
| 改动 | 为什么必须 |
|---|---|
| `every` 86400 → **7200** | 刷新时刻晚于那次执行、或那次没覆盖到的平台，一天一跑就整天漏 |
| `at="08:00"` → **first_due_now** | 任何时刻重启都能补上，不等一个周期 |
| 新增 `claimCovered` 持久化 | **这才是防重领的正确机制** —— 不是靠"一天只跑一次"碰巧避开 |
★ 旧判据（`TestAutoClaimScheduledWithModelRefresh`）明写「auto_claim 是每日任务，
**不该** first_due_now（重启就重领是错的）」—— **那个假设本身就是缺陷的一部分**。
已按事实更新，并把这段经过写进注释（避免以后有人照旧判据再改回去）。
## 判据
- `TestAutoClaimCountsCoversTodayNotKind`：① 刷新前必须 `covers_today=false`
且**绝不报** `already-claimed`；② 刷新后为 true；③ 六组记账判据逐条钉住
（含"刷新前的 already-claimed 不得算已处理"这一关键项）；
- `TestAutoClaimScheduledMoreThanOnceDaily`：间隔必须远小于一天 + first_due_now
+ 记账键存在；
- `TestQoderAdapterParsesQueueAndBilling`（上一提交）：5 组，含与通用 openai
适配器的**对比**（断言通用器做不到，否则专用适配器无存在理由）。
回归：9 个包全绿；内核非测试代码零厂商名。
|
2026-10-14 20:00:58 +08:00 |
|
|
|
9521a35a03
|
feat(channels): Qoder 用插件自装的 channels-qoder 适配器 —— 排队与额度耗尽分开说
## 为什么
Qoder 的错误信封是**双层编码**的，且两个业务码语义**恰好相反**：
| 码 | 含义 | 正确处置 |
|---|---|---|
| `10605` | 模型排队 | **暂时**受阻 —— 等若干秒就能过 |
| `110` | 当日额度耗尽 | 立刻重试 / 等 15 秒 / 等 30 分钟，结果一样 ⇒ **必须立即失败** |
参考实测（2026-09-27 用户报障）：`110` 原先被归成通用的「服务端错误」→
**白重试 5 次**（≈15.5 秒），用户看到「重试延迟：7220毫秒」。
而我们此前用通用 `openai` 适配器，对它只能产出
`10605: {"isQueued":true,…}` —— 用户根本看不出是排队还是额度用完。
## 做法：厂商知识留在插件域（内核零厂商名）
照 `channels-trae` / `channels-gemini` 既有机制，本插件自装 `channels-qoder`。
内核只把 `transform_error` 的返回文本当作**客户端可读原因**，不认识任何厂商码。
★ **两个踩过的坑（都写进代码注释与判据）**：
1. **内层没有 `code` 字段** —— 那是 SSE 错误帧的 `message`（一个 JSON 字符串）。
参考第一版要求「必须命中 code 才算排队」，导致内层形态被判成非排队，
SSE 通道的修复**静默失效**（探针显示 sleep=0、错误照旧）。
判据改为：命中 `code=10605`，**或**直接出现排队字段（`isQueued`/
`serviceAvailable`）。`message`/`data`/`result`/`body` 都要展开并**再解析**。
2. **必须先在带排队字段的节点上取值** —— 外层 `root` 只有 `code`，
没有 `retryAfterSeconds`/`queueCount`。一命中就返回会让这两个参数**永远丢失**
（实测：只输出「排队中，请稍后重试」，参数全丢）。
3. **额度关键词必须窄** —— 只认 `billing daily count exceeded` /
`daily count exceeded` / `billing_error`。`quota`/`balance` 这类泛词会把
模型正文里讨论「余额」误判成故障。
## 判据（5 组，全部咬住真实行为）
`TestQoderAdapterParsesQueueAndBilling`：
① 双层编码取到内层的 30 秒 / 12 个排队；② **内层无 code** 也必须识别（参考的坑）；
③ `110` 说成额度耗尽、且明确「重试无用」、**绝不说成排队**；
④ 泛词 `quota`/`balance` 不误伤；
⑤ **与通用 openai 适配器对比** —— 断言通用器**做不到**这件事，
否则这个专用适配器就没有存在理由（防"加了但没用"）。
回归：9 个包全绿；内核非测试代码零厂商名。
|
2026-10-14 20:00:58 +08:00 |
|
|
|
252e3486bd
|
fix(channels): 凭据续期此前是假的 —— 现在真发请求、真回写、真报错
★ 修的是一个**比不做更坏**的缺陷：`account_refresh` 只重同步了源、**一个换
token 的请求都不发**，却恒返回 `ok:true` ⇒ `refresh_creds` 打出
「凭据已续期 N 个」而实际什么都没续。日志在说谎 —— 排查时会去看网络、看上游，
而真因是根本没有这段代码。这是本轮第三次遇到"静默恒真"（前两次是
`account_test` 恒返回 ok、`pcall` 只取 ok 不看返回值）。
实现要点（每条都是参考踩过的坑）：
- **各平台续期字段名不同**，写错服务端只回泛化的认证失败、极难定位：
Cline 是**驼峰** `refreshToken` + `grantType`（不是 OAuth 的
refresh_token/grant_type）、响应套 `{success,data}` 信封且字段是**驼峰**
`accessToken`；Google 走标准 `refresh_token` 表单编码 + client_secret。
- **Google 偶尔轮换 refresh_token**：响应给了新的**必须回写**，否则下次用旧的
直接失效。
- **`expires_in` 是相对秒数** → 必须换算绝对时刻，否则每轮都判定"快过期"重续。
- **按需续期必须回写索引的 expiresAt**（照 expiry-sync）：不回写会出现
「显示已过期、但发消息正常」的数据源分叉。
- 失败**如实回错**（HTTP 状态 / `error_description` 都带出来），但仍重同步源 ——
旧 token 可能还没真过期，不该因续期失败就撤源。
- `refresh_creds` 的计数判据改用 `refreshed`，**不是** `ok`：
`account_refresh` 在"平台未声明续期方式"时也回 ok:true（源照旧同步），
用 ok 计数就会把"没续"算成"续了"—— 这正是日志说谎的机制。
判据（必须**看到真请求**，否则还是在验一个恒真的返回值）：
1. 假上游断言**真发出 1 次请求**（原实现是 0 次却报成功）、路径正确、请求体是
驼峰 `refreshToken`/`grantType`、新 token 与轮换的 refresh_token 都落进凭据；
2. 401 时**绝不报 refreshed=true**，且错误含 HTTP 状态；无 refresh_token 时
提示"需重新登录"；
3. `expires_in:7200` → 凭据里是**绝对** expires_at（不是 7200），且
**账号列表**（不是保险库探针）里 read 到索引 expiresAt 已回写。
另修两个同处踩过的坑：`credentialIsRefreshable` 定义在使用点**之后**
（Lua local 前向引用，第 10 次）、`urlencode` 不存在（Google 表单编码需要）。
回归：9 个包全绿。
|
2026-10-14 16:46:43 +08:00 |
|
|
|
f813ec714f
|
fix(channels): 能力元数据拉不到的真因说清楚（内核 4MiB 堆保护，非网络故障）
部署后发现 `capabilitiesMeta` 一直是空。逐层排查出来的真因：
1. `models.dev` 未在出站白名单 → 而 refreshCapabilities 的 `pcall` 把错误**静默
吞掉**了，表现是"能力永远是空"，排查零线索。→ 失败必须留痕（已修）。
2. 批准该 host 后暴露第二层：**内核的 `__llmsproxy_http` 有 4 MiB 响应上限**
（`httpMaxResponse`，刻意的堆保护），而 `models.dev/api.json` 实测 **5.64 MB**。
3. 参考提到的"轻量分片端点"（`/api/v1/opencode.json`）实测返回 **HTML 首页**
（2.0 MB 的页面，不是 JSON）—— 参考也记录了这个坑。
⇒ 决定：**不为一个插件的便利去放宽内核的堆保护上限**（那会让所有插件都能拉
5MB+ 进网关堆）。能力元数据定位为**可选增强**：
- 拉得到 → isFree/上下文/模态用权威值；
- 拉不到 → 如实退回兜底表，并把"响应超限"单独讲清楚（让运维知道这是**上限约束**
而不是网络坏了）。不把"查不到"说成别的原因。
★ 这条本身也是本轮的一个教训：`pcall` 只写 `local ok = pcall(f)` 而不看返回值，
等于把一手诊断信息扔了。同类问题本轮已修两处（另一处是 host 授权静默失效）。
回归：9 个包全绿（能力增强不可用时功能不退化，判据已覆盖"冷启动退回兜底"）。
|
2026-10-14 16:28:29 +08:00 |
|
|
|
7a6e03692d
|
feat(channels): 模型能力元数据（照参考 opencode-capability）—— isFree 改由权威源决定
`/zen/v1/models` 只返回 4 个字段（id/object/created/owned_by），**不含任何能力
信息**；能力在 models.dev。此前我们的 `models_free` 是**硬编码快照** ——
上游调整免费策略后不会跟着变，于是列表里标着"免费"的模型可能早已收费。
三个字段的用途（照参考）：
- `modalities.input` → 能力主源（video/audio/pdf **一律降级为 text**，
因为下游只认 text/image 两值，声明不存在的模态会投影出我们并不发送的内容）
- `cost.input`/`output` → **免费判定的权威来源**（两者同时为 0）
- `limit.context`/`output` → 上下文窗口与输出上限
★ **非阻塞是硬约定**（参考的真机事故）：该接口实测 **5.6 MB / 2.86s**。参考最初
在模型列表渲染路径上直接等它，模型选择器要等 1.4s+ 才出列表 —— 用户报障
「点开是一片空白」。故：渲染路径只读同步缓存；持久化让冷启动直接命中；
拉取挂在 `refresh_models` 定时任务里（后台），失败**不清缓存**。
判据三条（都用**真实** models.dev 响应，不是合成样本）：
1. 冷启动下 `model_list` 必须**立刻返回**（退回兜底 isFree）—— 证明没阻塞
2. 能力表就绪后 `isFree` **必须由它决定**（注入"原本标 free 的说收费、
原本非 free 的说免费"，断言翻转过来了）
3. 真实数据解析：实测 opencode **122 模型 / 39 免费 / 82 多模态 / 122 有上下文**
—— 字段路径（modalities.input / cost.input / limit.context）因此得到验证。
合成样本会把这条验证变成自说自话。
`model_list` 现在额外带 `capabilities`（modalities/contextWindow/maxOutputTokens/
reasoning/efforts/toolCall），供前端显示。
回归：9 个包全绿。
|
2026-10-14 16:18:27 +08:00 |
|
|
|
420379784b
|
feat(channels): 抽通用件 TTL 缓存 + 串行锁（照参考 ttl-cache / serial-queue）
理由：本插件里已经有多处**各自手写**的"带冷却的缓存"与"串行"逻辑
（远端目录闸门、余额 60s 缓存、登录轮询…）。手写版本各写各的，边界条件容易漏
—— 本轮就漏了一个（见下）。集中一处才好审。
已把余额缓存改用 ttlCacheGet（消掉手写的 60s 逻辑）。
★ 抽出来立刻验证出价值 —— 实测踩到一个边界：
**清缓存时必须一并清掉"在飞标记"**。否则「清缓存 → 同一秒内重载 → 被去重逻辑
挡住 → 返回 nil」，调用方看到的是"刚清了缓存却拿不到值"，而数据其实好好的。
（改动窗口后立即查余额就得到 nil，就是这个。）失效的语义是"忘掉这次加载"，
在飞标记也是这次加载的一部分。
另外两条语义也写进注释与判据：
- **失败不缓存**：loader 返回 nil 时不写缓存（让下次能重试），但记在飞标记
防止同一瞬间重复打。这与"失败进冷却"是两件事（冷却由调用方决定）。
- **墙钟回拨防护**：`cached_at` 在未来时视为已过期，而不是"还没到" ——
回拨一天会让缓存永远命中、上游改了也自愈不了。
Lua 无协程 ⇒ 做不了"共享同一个 Promise"也做不了"排队等待"。取舍：
- 去重用**时间戳**（in_flight_at 短窗口）等价实现；
- 串行锁只能做到**互斥 + 让路**（抢不到立刻返回，由调用方跳过本次），
且必须带 **TTL 自解**（持有者崩了不能永久卡死该 namespace）。
判据 `TestTtlCacheSemantics` 四组：命中缓存不重载、**失效后同一秒内能重载**、
ttl=0 每次重载、串行锁"抢到→抢不到→释放后能再抢"。
回归：9 个包全绿。
|
2026-10-14 16:09:22 +08:00 |
|
|
|
92c240cc25
|
feat(channels): 源改为串行 + 按模型节流（照参考 model-gate.ts）
照参考的实测依据：这些平台的**并发配额按模型**分别计量，与"还剩多少 token"
无关（那边实测撞 429 时 token 还剩 299.4 万）。同账号下：
GLM-5.3-Flash 605 次 200 0 次限流 ← 从未撞过
GLM-5.3 74 次 200 21 次重试 6 次最终 429
两条措施缺一不可：
① **串行**（max_concurrent=1）：并发发起必然浪费一个配额；
② **最小间隔**（rpm）：串行只保证"不重叠"、不保证"有间隔" —— 连续放行的两次
调用可能只隔几十毫秒，仍会撞并发窗口。
此前插件注册源一律 `max_concurrent = 2` 且**从不设 rpm** ⇒ 既会重叠又无间隔。
现全部改为 `max_concurrent = 1` + `rpm = 20`（默认 3 秒一个，可按平台覆盖）。
⚠️ 参考的另一条教训也记进注释了：闸门**只包 fetch，不包 captcha**。
那边第一版把 mint 与 fetch 一起放进闸门，mint 耗时从 200-500ms 暴涨到
2500-3100ms（因为 mint 被串行后变成"排在 N 个人后面再 mint"）。
我们的 rpm 节流在内核层、只作用于上游 dispatch，天然不涉及这一点。
顺带：`list_sources` 补暴露 `rpm` —— 运维与判据都要能看到它。只看
max_concurrent 无法区分"串行但有间隔"与"串行且无间隔"（后者仍会撞窗口）。
判据 `TestChannelSourcesAreSerialWithThrottle`：源必须 max_concurrent=1 且 rpm>0。
回归：9 个包全绿。
|
2026-10-14 16:00:34 +08:00 |
|
|
|
5720e60fc9
|
fix(channels): account_delete 留下陈旧源（旧口径 base_url → 推理返回空）
真实缺陷（排查"推理返回空内容"时抓到）：旧版单账号路径建的源 `channels-<plat>`
**不随账号删除而消失**。它的 base_url 是**旧口径** —— buddy 缺
`/v2/chat/completions` 前缀，于是：
base_url=https://copilot.tencent.com + openai 适配器的 /chat/completions
= https://copilot.tencent.com/chat/completions ← 错的
这个源以**同名模型**对外服务（挑的是模型名，不是源名），于是同一个
`codebuddy_deepseek-v4.1-flash` 请求可能落到正确源（新口径）也可能落到陈旧源
（旧口径）—— 表现为**时好时坏**：一会儿正常、一会儿返回空内容（HTTP 200 但无正文）。
我为此绕了很久，因为轮转使得单次测量不可复现。
修法：删账号后若池**已空**，清掉 `channels-<plat>`。
⚠️ 只在池空时清 —— 还有账号时不动它（它可能是运维手工配的兼容源）。
★ 排查过程中的另一条重要澄清（免得下次误判）：
`content=""` 且 `reasoning_content` 有内容、`finish_reason="length"` **不是缺陷** ——
那是**推理模型**把 max_tokens 全花在思考上了。实测：
max_tokens=8 → content='' finish=length（思考用光预算）
max_tokens=40 → content='OK' finish=stop
判据若用 max_tokens=8 去测推理模型，会得到"空内容"的假故障。
回归：internal/{core,lua} 全绿。
|
2026-10-14 15:51:22 +08:00 |
|
|
|
42ec552c6d
|
feat(channels): account_adopt —— 正确接管升级前的旧凭据（不手填密文）
真实场景：v2.0.x 之前登录只写一条 `channels:<plat>`（单账号模式），引入账号池后
凭据落在 `channels:<plat>:<aid>`。升级后老凭据仍在保险库、但池里没有账号引用它 ——
**表现为"账号消失了"**（数据其实还在）。让用户重新登录是可见的额外代价
（要再走一次授权）。
新增 `account_adopt`：把非池凭据接管进指定池账号。**全程走插件的保险库 API** ——
`__llmsproxy_secrets.get` 读出的是**明文**（保险库负责解密），写回时插件自己加密。
★ 这个动作的存在本身就是为了**避免我上次踩的那个坑**：我当时手填保险库文件里的
密文，而保险库读取时会解密 ⇒ 凭据被**二次加密**（1971 → 2965 字符），
该账号推理开始返回空。判据里专门有一条钉住"接管后凭据必须与原文逐字节相同"。
判据（channels_account_adopt_test.go）四条：
1. 接管后池里出现该账号且 has_credential=true
2. **凭据与原文逐字节相同**（长度也一致）—— 防二次加密
3. 昵称等展示字段从凭据补齐
4. 没有旧凭据时如实报错，不假装成功
回归：9 个包全绿。
|
2026-10-14 15:43:09 +08:00 |
|
|
|
67e2ba070f
|
fix(channels): account_test 从不发请求（假阳性）+ 业务级错误被当成功
两个真实缺陷，都属"看着能用、一用就错"的假阳性 —— 正是用户报「完全不可用」时
最容易误导人的那类信号。
## ① account_test 一个网络请求都不发
原实现只做 syncAccountSource，然后查内核源列表里有没有那条记录，就返回
`{ok=true, ms=1}`（`ms` 甚至是硬编码的 1）。于是"测试账号"**永远绿**，
包括凭据已失效、被限流、上游宕机的情况。
照参考 account-probe 的语义改为**真打一次上游**：优先余额端点（最轻、所有有
余额的平台都有），退化到 checkin_status；两者都没有的平台如实报
「未声明可探测端点，仅校验本地凭据与源」，**不假装成功**。
失败还分两类（照参考：只说"失败"用户不知道该做什么）：
- `kind=auth`（401/403/invalid_grant/expired）→ "凭据已失效，请重新登录该账号"
- `kind=transient` → "上游暂时不可用，可稍后重试"
## ② fetchAccountJSON 只看 HTTP 状态码，业务级错误被当成功
多家上游**HTTP 200 但 body 里带 error**（实测 buddy 的 invalid_grant 就是这个
形态）。只看状态码时"凭据已失效"会被当成成功。现补判 body 里的
`error`（字符串/对象）、`code`（非 0 即失败）。
这一条同时修好了所有走这个助手的路径：余额查询、签到状态、以及新的账号探测。
## 判据
`channels_account_probe_test.go`（假上游 + 请求计数器）三条：
1. 正常凭据：**必须真的发了请求**（用原子计数器证明 hits>0）且 probed=true
2. 凭据失效：ok=false、kind=auth、必须带可操作提示
3. 无凭据账号：如实报错，不假装成功
回归：9 个包全绿。
|
2026-10-14 15:35:49 +08:00 |
|
|
|
29c87ce015
|
feat(channels): 余额分档选号（照参考 balance-rank/selector）
解决什么：一个号常同时持有多**种**资源包（如「14 天到期」+「8 年后扣费截止」），
而**服务端扣哪个包不由我们决定** —— 插件能做的是决定**用哪个号**：
- 优先用「还有 15 天内到期积分」的号（那部分不用就作废）
- 只剩永久积分的号排最后
- **锁定永久积分**时，只剩永久积分的号**等同于不可用**
为什么是 15 天（照参考的实测对照表，两站差别极大）：
- WorkBuddy 5 个号：Bonus Pack 250（8~9 天）+ Free Plan 100（3008 天）
→ 锁定后 4 个号仍可用、1 个不可用，正是期望效果
- CodeBuddy 中国版：裂变包距到期**最少 17 天** → 17 > 15 ⇒ 全算永久
⇒ 锁定后立刻「无可用账号」—— 判据没错，这类池想用锁定要把窗口放宽
实现要点（三条都是参考点名的坑）：
1. **只缓存原料，绝不冻结分类**。「临时/永久」是**当前时刻的函数**，而宿主长期
开着、时间只向前流：一笔距到期 15.02 天的余额，在用户什么都不做的两分钟里就
越过了线。若把分桶结果也缓存，选号会继续按「永久」处理一笔马上要作废的积分
（锁定时更糟：本该可用的号被判成不可用）。故缓存 60s 的**包列表明细**，
每次都重新分桶。
2. **失效包必须跳过**（`active === false`）：服务端仍返回它们的余额，并进任何
一桶都会虚增可用额度。
3. **到期时间未知归入永久桶**：保守方向 —— 最坏是锁定时少用一个号，
而不是误把长期积分当快到期烧掉。
口径与既有 `total_fn` 一致：只算 **remaining**（CycleCapacityRemain，本周期剩余），
与 IDE 顶部的 Credits Balance 一致。刻意不用 TotalDosage —— 那是**终身口径**
且取整（实测同一响应 TotalDosage=655 而 IDE 显示 155.67）。
★ 两个 Lua 环境的实测发现（写在这里免得下次再踩）：
- 本 VM 的 **os 表没有 setenv**（实测键：clock/date/difftime/execute/exit/
getenv/remove/rename/setlocale/time/tmpname），所以"面板改窗口"必须走
settings 而不是设环境变量；getenv 只用于读部署期注入值。
- `os.setenv and os.setenv(...)` 是**语法错误** —— `and` 是表达式，不能作语句。
判据（channels_balance_tier_test.go，假余额上游）：
临时桶=100（只有 10 天内那个）、永久桶=50（远期+未知）、失效包的 9999 被跳过、
档位判定、锁定后仍可用（有临时积分）、窗口设 0 后临时桶归零且锁定后不可用。
回归：9 个包全绿。
|
2026-10-14 15:24:24 +08:00 |
|
|
|
583976f7da
|
feat(channels): 补两个参考明确"不能省"的基础设施（已失效模型 + 目录闸门）
穷尽对照 143 个参考模块后，挑出两个**有实测理由**的补上。
## ① 已失效模型记录（照参考 dead-model-store.ts，708 行）
修的是真实报障：用户选中某平台的兜底模型，每轮 404 —— 该模型**已被上游下架**，
但列表里仍显示、还标着「免费」。根因：兜底表是**编译期快照**，上游下架不会
自己变。
★ 关键纪律（参考文件头有实测教训）：**不能用「远端目录里没有 ⇒ 已下架」反推**。
那个判据只在远端目录完整权威的平台上成立；buddy 那类平台的远端目录**已知残缺**
（CLI token 只拿得到 13 个内部别名、IDE 有 20 个），按目录比对会把「你有权用、
只是 token 看不到」的模型删掉；qoder 更是没有可比对的目录。
⇒ 唯一跨平台安全的判据是**阳性证据**：真的 404 过才记。
判据逐条对齐参考（17 个用例，全是它踩过的误判）：
- `model_not_found` 只在**独占一句话成分**时算（后面只允许结束/句末标点/收尾
括号引号，**不含逗号**）—— 它在遥测里常作字段名出现：
`error_class=model_not_found, retry allowed` 曾被误判下架
- rate limit / quota / insufficient / unauthor / forbidden / invalid key 一律**不是**
- `expired` 必须带主语（token/session/key/…），否则会误杀真实下架文案
- 只认 found/exist，**不认** available/supported（那是"换套餐就能恢复"）
- 判定顺序：NOT_GONE 先于 GONE（与参考 `isModelGoneError` 逐行一致）
TTL 30 天（过期自动复活，照参考 DSH_DEAD_MODEL_TTL_DAYS 语义）。
`model_clear_dead` 语义**修正**：原实现清的是"被禁用且不在目录里"（判据用错了、
拿目录反推），现改为清**失效记录**。
## ② 远端目录加载闸门（照参考 remote-catalog-gate.ts）
参考点名「**不能省**」：宿主对每个 provider 拉目录、再对每个模型解析一次，
于是「目录没拿到」被放大成**一次请求 × 每个模型**，而超时是 30–60s 量级 ——
未登录/离线时表现就是「首屏巨长」。三道语义：命中缓存 / 并发去重 / 失败冷却。
Lua 无协程做不了「共享同一个 Promise」，用**时间戳闸门**等价实现
（in_flight_at 防同轮重复 + retry_at 失败冷却）。
含参考的**墙钟回拨防护**：`retry_at - now > cooldown` 一律按已到期处理 ——
否则系统时间回拨一天会把冷却变成事实上的永久卡死。
## ③ 顺手修：状态落盘不建目录
`persistState` 直接 `io.open(path..".tmp")`，目录不存在就失败。而失败只打
stderr 一行「状态落盘失败」—— 表现是「状态永不落盘、重启即丢」，很容易被忽略。
现先 `mkdir -p`。这是实测发现的（authorize 测试的临时目录尚未创建时报的）。
## 判据
`channels_dead_model_test.go`：判据 17 例（含 6 个"看着像但不是下架"的反例）、
记录-剔除-恢复闭环、闸门冷却。
`channels_pool_test.go`：`model_clear_dead` 断言按新语义改写，并加"清失效记录
**不得**动 disabled 黑名单"的隔离断言。
回归：9 个包全绿。
|
2026-10-14 15:11:05 +08:00 |
|
|
|
af8b93bd7c
|
fix(内核+插件): 测试写生产账号池 —— 13 个账号被覆盖成 0 个（真实数据事故）
用户报"完全不可用"。逐平台查 account/list，发现 13 个账号里只有 1 个有凭据，
其余是占位壳子 —— 再查发现**账号池被清空了**，而保险库里凭据还在
（症状正是"账号凭空消失"）。本提交修的是这个数据事故的根因。
## 根因（全程实测，非推断）
channels 插件用 `storeDir()` 决定自己的存储位置，它有多级兜底：
env → settings → **读 /etc/llmsproxy/config.yaml 的 plugin_dir** → 硬编码。
测试台没设 `LLMSPROXY_PLUGIN_DIR` 时，后两级直接命中**生产**：
测试插件目录 = /tmp/TestXXX/002/plugins
storeDir 结果 = /etc/llmsproxy/plugins ← 实测输出
于是测试加载真 channels.lua 时**读的是生产存储、写的也是生产存储**。
一次全量 `go test ./internal/lua` 就把
`/etc/llmsproxy/plugins/.channels-store.json` 从 1730 覆盖成 1986 字节、
账号池清空（inode 都换了）。
同类前科：曾把 26 个测试账号写进生产 store。两次同一类错误。
## 修法（两层，第二层才是根治）
1. **内核把插件的真实目录交给插件**（ground truth，不再靠猜）：
新增 `__llmsproxy_plugin_dir` 全局，在 bootPluginState 里注册。
`storeDir()` 优先用它 —— 这样**即使没有环境变量**也不会落到生产路径。
实测：撤掉 env 后 storeDir 仍落在临时目录。
2. 测试台补隔离：`runtimePlugins` 设 env + `DisableStatePersistence()`
（插件声明了 schedule 时内核会自动起调度器，**后台 goroutine** 比
`t.Setenv` 生命周期长，测试结束后仍可能落盘）。
## 判据 + 变异验证
`internal/lua/store_dir_isolation_test.go`：
- storeDir 绝不能是 /etc/llmsproxy 前缀
- 必须落在临时目录
- env 必须真的被设上（机制而非巧合）
**变异验证**：把隔离设成生产路径 → 判据变红并打印
「storeDir 指向了**生产**目录」；恢复 → 变绿。
全量回归：9 个包全绿，且 `go test ./...` 后生产存储**未被改动**（此前必被改）。
|
2026-10-14 11:31:41 +08:00 |
|
|
|
3819b00ded
|
fix(lua): 持久化的出站主机授权在重启后不生效（LoadDir 缺折叠）
生产实测暴露的内核缺陷：**重启后所有已批准出站主机全被拒**。
根因链：
1. `LoadKernelPermissions` 把 `.kernel-perms.json` 里的 `jp.Hosts` 装进
`ps.extraHosts`，但它明确注释「折叠由调用方负责」——**启动路径上没人负责**。
2. `SetOutboundHosts` 早已跑过（core.New 里，在 LoadDir **之前**），
于是 allowlist 只含 source 主机，插件声明的整套 host 全被拒。
3. 症状是经典的「重启丢掉运维的决定」：运维一打开插件页重新保存就恢复。
**它还静默打坏了定时任务**：`refresh_models` 在启动后 5s 补跑
（first_due_now），正好落在这个窗口里，于是每个平台的刷新都报
「host "zcode.z.ai" is not an allowed outbound destination」——看起来像
"白名单缺 host"，实际是授权根本没被折叠。我按这个假象查了一圈（去核对
.kernel-perms.json 里 zcode.z.ai 明明在），才定位到折叠这一步缺失。
修法：LoadDir 末尾补 `rebuildOutboundAllowlistLocked()`。
判据：`TestPersistedHostGrantsSurviveRestart` —— 造一份持久化授权、模拟
启动顺序（SetOutboundHosts → LoadDir），断言已批准的 host 可用、
source 主机未丢、未批准的仍被拒。
**变异验证**：撤掉修复 → 判据变红（两条"被拒"）；加回 → 变绿。
回归：internal/{lua,core,provider,gateway} 全绿。
|
2026-10-14 10:55:50 +08:00 |
|
|
|
10ad4421f9
|
feat(channels): 自动领取得以真正跑起来 + 自动获取可用模型
用户要求两件事：① 自动签到与领取 ② 自动获取可用模型。
两者都有调度缺口，且能力表与参考真值不符（表错了只静默少领，无任何报错）。
## ① 自动签到的能力表（三处偏差，全部修正）
| 平台 | 我们 | 参考 | 后果 / 修法 |
|---|---|---|---|
| buddy | claim=true | 无 | **自相矛盾**：表说支持、claim_daily 说不支持（既无 checkin 也无 claim_fn）→ 改为只报余额 |
| raccoon | 空表 | 有 | 白丢一个可领渠道 → 补 claimRaccoon（POST /api/web/desktop/v1/login/points/grant，幂等判据是 `granted`，重复领取同返 200 但 granted=false） |
| zcode | claim=true 无实现 | auto-exclude | 补 claimZcode（3 步：event/report → preview → claim/plan），并照参考 isAutoCheckinExcluded 标记 auto_exclude |
**同为"表说支持、函数不支持"的还有 loomy** —— 补 claimLoomy
（POST /points/first-login；语义是**触发每日额度重置**而非 +5000 积分；
幂等判据 `alreadyProcessed` → already-claimed 而非 claimed）。
一条一致性判据抓出全部四例：声称 claim=true 的平台必须真的可领
（有 checkin 表或有 claim_fn）。
## ② 两个调度任务（此前只有每日领取一个）
参考有三个调度器，我们只有一个；模型获取**根本没有调度**：
- refresh_models：每 2 小时拉远端目录（照参考 MODEL_REFRESH_INTERVAL_MS），
成功后重同步该平台所有源（模型清单写在源里）。失败**不清缓存**。
- refresh_creds：每 30 分钟检查续期（照参考 REFRESH_INTERVAL_MS）。
⚠️ **不看 enabled**（照参考铁律：停用只影响选号，不该停续期）；
⚠️ **只对距过期不足 1 小时的账号发请求**（照参考 expiry-sync），
否则启动时会打出几十个无谓请求。
## ③ 调度器新增 first_due_now（内核）
照参考的事后复盘：只用 interval 时，宿主重启后短寿命凭据（cline 1h /
codearts ~2h / raccoon 3h）要等满一个周期才续期，期间一直显示「已过期」、
积分行 401。故声明式加 first_due_now —— 任务在启动后 5s 先补跑一轮。
**且必须 opt-in**：真正周期性的任务（每日签到）不该因重启就重跑。
判据同时断言"auto_claim 不得带该标记"。
## 实测（生产）
- 模型刷新：buddy 真拉到 **22 个远端模型**（含兜底表没有的 hy4-preview、
step-5-preview、codewise-* 等）；zcode 2 个；其余报"无可用凭据"（登录未完成）
- 推理链路：`POST /v1/chat/completions` 返回 "OK"
## 宿主排障（顺手）
VNC 端到端测试失败，查证**不是回归**（stash 改动后同样失败）：宿主有
**10 小时前的孤儿 `Xvfb :91`**（PID 1074031）占着显示号，加上 126 个孤儿
SHM 段、18 个陈旧 X socket。按纪律（先 SIGTERM 再 SIGKILL）回收后测试通过。
另记一笔：`ps | awk '/[X]vfb/'` 这种写法会匹配到**执行它的 shell 自身**
（命令行里含该字样），清理必须用 /proc/<pid>/exe 精确匹配 + 保护祖先链。
|
2026-10-14 10:46:05 +08:00 |
|
|
|
8e2d384a7b
|
feat(channels): Gemini 用插件自装的私有协议适配器（channels-gemini）
Cloud Code 凭据**不能**打公开的 /v1beta/models/{model}:generateContent。
参考 gemini.ts 点名三件必须保留，我们此前**一件都没有**（gemini.lua 产的是
公开的 contents/parts 裸体、一个身份头都不发，端点还指着公开路径）：
1. **身份五头逐字写死、不许随机**，且**不带** x-goog-api-key /
x-goog-api-client（User-Agent/x-client-name/x-client-version/
x-machine-id/x-vscode-sessionid）
2. **流式刻意不带 Accept**（抓包一致）
3. **信封逐层字母序序列化**（上游按字节比对；Go 的 encoding/json 对 map
自动字母序，而我们用 json.encode，故须自己排——实现 sorted_json）
信封形状（私有端点要的不是裸 contents）：
{model, project, request:{contents, systemInstruction, tools,
generationConfig, sessionId}, requestId, userAgent}
响应也是信封（candidates 嵌在 response 里）→ 必须**剥一层**，否则下游
拿不到 candidates，表现为"模型没回话"（静默失败）。
另加前导助手 gemini_response / gemini_stream_chunk（candidates/parts/
usageMetadata → 统一信封；STOP→stop 等 finishReason 映射）。
★ 踩到的两个坑：
- **Lua 长字符串里不能有字面 NUL 字节**（Python heredoc 写的 "\0" 变成了真
字节）→ Lua 报 "unfinished long string near '<eof>'"，且报在文件末尾，
完全指不到现场。
- **本 Lua 构建不支持按位异或 `~`**（unexpected symbol near '~'）→ FNV-1a
的 XOR 改用算术等价形式。参考自己明言 sessionId 的哈希本体未反推出来、
数值不与原版逐字相同，所以这里要的是**确定性 + 依赖维度正确**
（吃 project 与首条文本、不吃 model），不是数值一致。
- 另给三个自装适配器统一加**本地预编译护栏**：内核装载失败只回"源码无法
编译"不给行号；先 load 一次就能拿到行号（上面两个坑都是靠它定位的）。
⛔ 仍不做：gemini-sigstore（签名持久化，268 行）——推理走无状态适配器，
插件侧缓存会成为死代码。理由已记在 docs/channels-parity.md。
判据（internal/lua/channels_gemini_adapter_test.go）：走真实路径断言
身份五头逐值、**反向断言** x-goog-api-key/x-goog-api-client/Accept 不得出现、
信封五个顶层字段齐全、顶层键字母序（解析式校验，不是字符串匹配）、
响应剥信封后 content/finish_reason/token_usage 都到位。
回归：internal/{lua,core,provider,gateway} 全绿。
|
2026-10-13 23:42:04 +08:00 |
|
|
|
ff9b460eba
|
feat(channels): TRAE 用插件自装的 SOLO 适配器（channels-trae）—— 载荷真转换
TRAE **不是 OpenAI 兼容**。参考 trae.ts:30 点名：「载荷必须转换：OpenAI 的
{model,messages,tools,tool_choice,stream} 需要映射为 SOLO 格式（function、
config_name 等字段），不能透传」。上一轮我把端点改对了（/api/agent/v3/
llm_utils_chat）但**载荷仍原样直发** —— 上游会回流内 4001，而 HTTP 状态码
仍是 200，属静默失败。
本次补齐 transformToSOLOBody 的 7 条规则（逐条对齐参考）：
1. messages.content 字符串 → [{type:"text",text:…}]；数组透传
2. stream 强制 true（非流式由服务端聚合）
3. model → config_name + model **双字段**（支持 __dev 后缀消除）
4. function 通道名，缺省 solo_work_lite
5. tool_choice 归一化：none → 删 tool_choice **与** tools；
auto/required 保留；{type:function,function:{name}} → 字符串 name
6. assistant 的 tool_calls: function → function_call，并剔除无 name 的条目
（孤儿 tool_call 会让整条会话被拒）
7. tools[].function.parameters: object → JSON **字符串**（SOLO 要求）
★ 命名为什么是 channels-trae 而不是 trae：内置 trae.lua 服务的是**运维自建
的 trae-local-api 反代**（base_url 127.0.0.1:19900，生产 config.yaml 在用），
与本插件的直连通道是两回事。重名会被内核冲突仲裁挂起（正确的护栏）。
判据里专门断言"内置 trae 未被顶掉"。
★ 踩到的坑：`function` 是 Lua 关键字，写 `body.function = x` 是**语法错误**
（'<name>' expected near 'function'），必须 `body["function"]`。它只在 load()
时才暴露 —— 插件脚本本身能编译通过，适配器源码要运行期才报错。
判据（internal/lua/channels_trae_solo_test.go）：走**真实路径**
（装插件 → 调已安装的适配器），而不是在插件 VM 里 load 一份副本 ——
副本拿不到内核注入的共享前导，也发现不了"装了但没生效"。逐条断言 7 条规则
+ 三处反向断言（extra_body 必剥离、无 name 的 tool_call 必剔除、
tool_choice=none 时 tools 与 tool_choice 都必须消失）。
回归：internal/{lua,core,provider,gateway} 全绿。
|
2026-10-13 23:28:27 +08:00 |
|
|
|
1f54143956
|
feat(channels): CodeArts 用**插件自装的专用适配器**接入（华为云 AK/SK 签名）
这是"为什么参考正常、我们不正常"的正面修复。参考每个平台是继承宿主
LlmAdapter 的真类（CodeArtsAdapter 自己做 SDK-HMAC-SHA256 签名）；我们
此前把平台协议差异当成 adaptter 名差异（全塞 openai），签名无从表达。
内核其实早已实现 __llmsproxy_adapters.install（含归属校验/冲突仲裁/
测试），但 channels 插件对该全局的引用数是 **0**。本提交第一次真正用它。
改动：
1. 插件在加载末尾装自己的 codearts 适配器（CODEARTS_ADAPTER_SRC）：
build_headers 里做华为云 SDK-HMAC-SHA256 签名
（canonical = METHOD\\nURI\\nQUERY\\nCANONICAL_HEADERS\\n\\nSIGNED_HEADERS
\\nPAYLOAD_HASH；Access= 不是 Credential=；URI 补尾斜杠；
Agent-Type/X-Language 签名后追加不进 canonical）
2. codearts 平台 adapter=codearts，新增 credential_shape="full"
3. syncAccountSource 支持 credential_shape：签名平台要**完整凭据 JSON**
（适配器自己解 AK/SK），其余平台仍交裸 access token
★ 途中挖出的两个真实缺陷（都是"静默失败"，没有任何报错）：
① **凭据形状不匹配 → 不出源**。syncAccountSource 用 credentialOf 取
access_token，而 codearts 凭据是 {access_key_id, secret_access_key,
security_token} —— 没有 access_token，于是 tok 为空、函数静默 return。
加了 credential_shape="full" 解决。
② **add_source 失败是静默的**。内核拒绝（插件无权限、形状不符）时
syncAccountSource 不记日志，表现为"账号加了但不出源"，排查无线索。
现补上失败日志（区分内核 err 与 json.ok==false）。
我自己就被 ① 绕了一圈：用 kernelTestCore 裸加载插件（没授 add_source
权限）时源一直不出，直到把内核原始返回值带出来才看到
"kernel action add_source is not granted to plugin channels"。
——判据里必须能看到**真实函数的返回值**，否则只能在黑盒里猜。
判据（全绿）：
- TestCodeArtsAdapterInstalledByPlugin：适配器确实被装上、归属是 channels、
且**用 Go 标准库独立复算 HMAC** 验签（形态对但算法错时形态断言全绿，
复算才咬得住）；另断言 canonical 不含 authorization/agent-type、
URI 有尾斜杠
- TestCodeArtsSourceUsesPluginAdapter：源**真的**引用 codearts 适配器
（"装了但源还指向 openai"是这类改动最可能的漏配，且不报错）
回归：internal/{lua,core,provider,gateway} 全绿。
|
2026-10-13 23:14:04 +08:00 |
|
|
|
a7a0c6adee
|
refactor(lua): 11 个适配器改用共享前导 —— 删掉约 20KB 逐字重复
按前导抽出三块共通实现（都是实测逐字节相同的）：
| 钩子 | 原本重复 | 各 2.2KB |
|---|---|---|
| transform_stream_chunk | github/groq/kimicode/mistral | 2210B × 4 |
| transform_response | openai/groq/kimicode/mistral/github | 2206B × 5 |
| transform_error | deepseek/github/groq/kimicode/openai/sensenova | 292B × 6 |
适配器总行数 2409（收工前 groq 单文件 146 行 → 46 行）。
★ 两个必须记下的教训（都在本提交里踩到并修好）：
1. **抽公共代码要抽最全的实现，不是最小的**。我先抽了 transform_error 的
最小版（只认 {error:{message}}），打挂了 TestOpenAITransformErrorEnvelopes
的 6 个子用例 —— 最小版丢掉了 HTML 错误页、裸文本、扁平 {code,message}、
FastAPI {detail} 等形状。openai.lua 原有的 1580B 版本才是该进前导的那份。
抽最小实现是**静默降级**：不报错，只是少认几种错误体。
2. **抽出共性时不能丢掉"非共性但重要"的细节**。openai_response 我漏了两处：
reasoning_content 透传、以及 tool_calls 的 id 规整（safe_tool_id）。
后者尤其危险 —— 本网关是扇出路由器，一个非法 id（"bash:0"）会被回放到
每个 Claude 上游导致整条 AUTO 链失败；且**流式与非流式必须同规则**，
否则同一请求两条路径产出不同 id（实测报错：
流式 "bash_0_40248ca0" vs 非流式 "bash:0"）。现两条路径都走
__prelude.tool_id。
判据：TestPreludeRefactorIsByteIdentical —— 固定输入下逐字节比对
（含"arguments 必须解码成表""usage-only chunk 必须是 done:false"
"arguments 不得留原样 JSON 字符串"等反向断言），并覆盖错误体 6 种形状
与"非 OpenAI 形状必须返回 ok=false"。
另修 channels_pool_test：断言改为**关系**（关一个模型源里少一个）而非写死
数量 —— 兜底目录会随对齐进度变化（minimax 3→4），写死数量会把正常的目录
扩充变成测试失败。
回归：internal/{lua,provider,core,gateway} 全绿。
|
2026-10-13 22:51:50 +08:00 |
|
|
|
741edfea98
|
feat(lua): 适配器共享前导 —— 消除 12680 字节的逐字重复
问题（实测证据，按钩子做字节级哈希分组）：
transform_response github/groq/mistral 三份完全相同（2207B × 3）
transform_stream_chunk github/groq/kimicode/mistral 四份相同（2211B × 4）
transform_error deepseek/github/groq/kimicode 四份相同（293B × 4）
合计 12680 字节完全重复。openai.lua 自己的注释就写着
「(anthropic.lua carries the same helper; Lua adapters have no shared
prelude.)」—— safe_tool_id 在 openai.lua 与 anthropic.lua 各复制了一份。
参考插件有 src/openai-compat.ts（1196 行，12 个 adapter 里 8 个 import），
我们没有对应物。本提交补上这一层。
做法：**编译期把一份中性助手库拼在适配器脚本前面**，注入点在
LoadAdapterSource —— 适配器有三个编译点（worker boot / HasFn 探针 /
inspectScript），全部源自这里存进 pool 的 script 文本，拼一处即全覆盖；
且不像运行时 SetGlobal 那样会在热重载/池重建时丢失。
助手只做**协议层面的中立清理与组装**，不含任何厂商名（守住内核零厂商名
纪律）：decode_body / strip_control（剥内核私有控制字段 —— 那是网关内部
约定，v2 改一次就要改 12 个文件）/ unified_skeleton / finish_reason /
usage（含 cache 细分，属协议族已知变体）/ choices / tool_id（路由器性质：
坏 id 会被回放到每个 Claude 上游，一票否决整条 AUTO 链）/ derive_key。
判据两条：
- TestAdapterPreludeInjectedAndCorrect：不只断言存在，抽查**语义值**
（end_turn→stop、tool_use→tool_calls、合法 id 原样透传、非法 id 带摘要
改写、cache_hit 从 prompt_cache_hit_tokens 取）
- TestAdapterPreludeDoesNotChangeExistingAdapters：旧适配器（自己实现全部
钩子、不引用前导）输出逐字节不变
回归：internal/lua + internal/provider 全绿（16 个适配器行为不变）。
|
2026-10-13 22:34:13 +08:00 |
|
|
|
ed1e250452
|
test(lua): 锁死插件适配器的三条能力（实测，非推断）
为协议转换类平台（trae SOLO / gemini 信封 / codearts AK/SK 签名）装专用
适配器铺路，先把能不能做实测清楚：
① 能力：适配器**能**通过 build_headers 的 meta.api_key 拿到凭据
（AK/SK 签名的前提），且**拿不到** __llmsproxy_secrets —— 该全局只注入
插件 VM（plugin_bridges.go 开篇明说），安全边界完好。
同时验 url/method/body 三个签名字符串原材料都能拿到。
② 能力：transform_stream_chunk **跨 chunk 保持状态**（5 个 chunk 拿到同一个
Lua 状态，表地址恒定，calls 1→5）。这是 trae 跨帧累积 tool_calls、
gemini 跨帧剥信封的前提。此前只是从池化 LIFO 复用**推断**的，现实测钉死。
③ 能力：适配器能用内核的 sha256_hex（用标准向量 sha256("abc") 校验），
AK/SK 签名不需要外部进程。
背景：内核早已实现 __llmsproxy_adapters.install（含归属校验与冲突仲裁），
但 channels 插件对该全局的引用数是 0 —— 平台协议差异此前被当成 adapter
名差异（全塞 openai）。
|
2026-10-13 22:28:34 +08:00 |
|
|
|
4a90099fb2
|
fix(channels): Gemini 接入改私有 /v1internal: 动词路径 + 源端点声明式覆盖
两条线一起修：
1. Gemini 接入模型服务用错协议。Cloud Code 凭据**不能**打公开的
/v1beta/models/{model}:generateContent（参考 gemini.ts:78 明确走私有
/v1internal:generateContent；流式 /v1internal:streamGenerateContent?alt=sse）。
此前源注册沿用适配器的公开路径，凭据与端点不匹配。
2. syncAccountSource 支持平台声明 endpoint / endpoint_stream / headers 覆盖。
平台的 chat 端点常不是 base_url 的简单拼接（Gemini 私有动词、zcode 只有
一条 plan 路径），用声明式覆盖表达；内核只把它们当**不透明字符串**，
不引入任何厂商知识（守住内核零厂商名纪律）。
判据：逐平台比对 base_url+endpoint 与参考真值，11/11 一致。
|
2026-10-13 17:02:58 +08:00 |
|
|
|
59229990ac
|
fix(channels): 修正 zcode 接入端点（须带 /api/v1/zcode-plan/anthropic 前缀）
参考 zcode-anthropic.ts:7 注释点名：该平台**只存在**
/api/v1/zcode-plan/anthropic/v1/messages 这一个 chat 路径，
openai 与裸 v1/chat/completions 一律 404 page not found。
此前 base_url 只填 https://zcode.z.ai，拼出的地址必然 404。
|
2026-10-13 17:01:06 +08:00 |
|
|
|
6238265502
|
fix(channels): 修正各平台接入模型服务的 chat 端点（base_url 缺路径前缀）
接入源时 base_url + adapter.endpoint 拼出的 chat URL，此前**全部缺路径前缀**，
对着参考逐个核对后发现 9 个平台里 9 个都不对（点开一看全是 /chat/completions
的裸拼接）：
- trae → /api/agent/v3/llm_utils_chat（非 OpenAI 兼容，SOLO 端点）
- cline → /api/v1/chat/completions
- lobsterai → /api/proxy/v1/chat/completions
- qoder → /model/v1/chat/completions
- buddy → /v2/chat/completions
- codearts → /api/v2/chat/completions
- opencode → /zen/v1/chat/completions
- raccoon → /api/web/llm/v2/chat/completions
- loomy → /chat/completions
改法：base_url 直接含完整 chat 路径（适配器 endpoint 保持通用），
注册源时即为最终地址。判据：逐平台与参考真值字符串比对，9/9 一致。
⚠️ 已知未闭环：trae 的**载荷**仍是 OpenAI 形状直发，而参考要求转 SOLO
格式（config_name/function，trae-adapter.ts:374 有 serializeMessages）。
该转换属独立性工作，下一步单独处理。
|
2026-10-13 17:00:04 +08:00 |
|
|
|
4bdde9cd61
|
fix(channels): 逐平台对齐参考插件的模型目录（兜底表全量）
照参考 *-product.ts 的 FALLBACK_MODELS 逐项补齐，此前每个平台都只挑了
几个"看着像"的 id，属偷工减料：
- trae 7 → 28 可见 + 4 hidden（照 isHidden 语义单列 models_hidden，
不污染用户可选列表：browser_use_subagent / explore_sub_agent_v13 /
explore_sub_agent_v2 / summary 都是内部子 agent）
- lobsterai 3 → 19（远端 /api/models/available 须带 model_flag，否则少
kimi-k3 —— 参考注释点名）
- opencode 3 → 14，并带 models_free（isFree 是官方语义：7 个 free 匿名可用）
- qoder 17 → 19（补 CN 独有的 q37fmodel / gm51model，均 1M 上下文）
- minimax 3 → 4（补 MiniMax-M2.7）
model_list 相应支持 models_hidden（不进可选列表）与 models_free（isFree 字段）
—— 此前 isFree 被硬编码为 false，把官方免费模型标成了付费。
对齐后与参考逐平台零差异（比对脚本结果）：trae / minimax / cline /
lobsterai / opencode / qoder / zcode / loomy / raccoon 全部一致。
|
2026-10-13 16:56:21 +08:00 |
|
|
|
70c24ba158
|
fix(channels): CodeArts 改为真实 IAM OAuth 登录（PKCE + DPoP ES256）
此前标成 flow="paste"（手填凭据）是**错的**：参考 login.ts/oauth.ts 默认走
新式 IAM OAuth —— 起本地回调服务器（端口须 ≥10000）、打开 portal 授权页、
收 code 后带 DPoP 证明向华为 STS 端点换 AK/SK/securityToken。
逐项对齐参考：
- authorize URL：code_challenge_method=SHA-256（**不是** S256，错值会让
portal 回退旧 ticket 流程）、theme=2、locale=zh-cn、plugin-name=snap_AIIDE、
plugin-version=5.2.0，且**不得**含 auth_callback_url
- 回调路径 /oauth/callback，端口 ≥10000（低于此 portal 拒绝）
- PKCE：verifier=48 随机字节 base64url，challenge=sha256(verifier) base64url
- DPoP：ES256 JWS，header{alg,typ,jwk} + payload{htm,htu,iat,jti}，
签名为 **raw r||s 64 字节**（openssl 出 DER，必须转格式）
- token 请求：POST 表单 + DPoP 头；终态只认 invalid_grant /
ExpiredRefreshToken（**不认** InvalidDPoPHeader）
- 凭据含 refresh_token/code_verifier/dpop_private_key_jwk 以支持静默续期
- 旧 ticket 流程保留作回退（pollForCredential 语义）
本机实测的坑（已修）：xxd 不存在（用 od）；openssl ec -text 会截断 priv
（d 用 asn1parse 的 [HEX DUMP]，tail -c 32 拿到的是公钥 y）；min_port 参数
读到 argv[2]（与 out_path 冲突）。
判据（4 条，全绿）：
- TestCodeArtsDpopJwsVerifiesAsES256：用 Go crypto/ecdsa 当权威验签器，
验 JWS 是 64 字节 raw 且真实可验（只断言"能拼出字符串"防不住格式错）
- TestCodeArtsOAuthEndToEnd：假 STS 上游，检查交换请求形态（DPoP 头、
grant_type、code_verifier、redirect_uri）与凭据含续期材料
- TestCodeArtsLoopbackPortAtLeast10000：量实际端口与回调路径
- TestCodeArtsSignatureMatchesReference：既有签名判据
|
2026-10-13 16:51:15 +08:00 |
|
|
|
c1733feeaa
|
feat(channels): Qoder 每日活动领取（多活动逐个领）+ 三条误报陷阱全部钉死
## 参考依据
`qoder-credits.ts` 的 `claimQoderDailyCheckin` / `parseQoderCampaigns` /
`claimQoderCampaign` / `hasQoderCampaignRefreshedToday`。
参考用**抓包 + 用户报障**定位过三条会「误报」的陷阱，全部在实现与判据里钉死：
### ① 「无可领活动」必须是 inactive，不能报 already-claimed
旧实现 targets 为空就说"今天已领取" ⇒ 只要服务端没下发可领项（含**请求头不完整**、
未到刷新时间、本就无活动三种情形），界面就谎报已领，与官方 IDE 的"可领取"直接矛盾。
用户报障原文：「没领过却显示今日已领取，去 IDE 看还能领」。
### ② 每日 10:00（UTC+8）刷新；刷新前的 CLAIMED 属于**昨天**
此时说"今天已领取"是谎报，且不可逆（用户以为今天不必再领）。
必须用**算术平移**判 UTC+8 —— 用本机时区在出差/改时区时会判错方向
（偏东提前把当天记为已处理、真漏领；偏西一天判两次）。
### ③ 未开通要给 action_required 的可操作提示
判据是**两条同时**满足（无 CLAIM_BENEFIT + 用量响应里 `addOnQuota` **字段缺失**）。
⚠️ 用「字段是否存在」而非「remaining 是否为 0」—— 后者对"额度用光"与"从未开通"
不可区分，会把用光额度的老账号误报成未开通。文案要可操作（去官方客户端登录一次），
并作为显式字段透传给 UI，而不是让 UI 猜文案。
### 其他要点
- 一个账号可能同时有**多个** CLAIM_BENEFIT 活动 → 逐个领取（实测有每日 100 与运营活动）
- 幂等判据是响应体的 **`replayed`**，不是 HTTP 状态码：重复领取同样回 200，
但 `replayed:true` 且不含 benefit（只看状态码会把"今天已领"误报成"成功 +100"）
- 请求体必须是**空串**（抓包实测 `content-length: 0`）
- 缺 `Cosy-MachineToken/MachineType` 时服务端不下发可领活动（见上一个提交）
## 判据
- `TestQoderClaimDecisionTable`：6 个用例覆盖四类结果 + claim 次数 + body 必须为空
- `TestQoderRefreshUsesUTC8NotLocalTime`：**注入 UTC 时刻**验证刷新判定
★ 修判据自身两处缺陷（首轮变异存活）：
1. `TestMain` 把测试进程 TZ 钉成 **UTC** —— 本机恰是 HKT(+0800)，于是
「UTC 平移」与「本机时区」结果**完全相同**，误用本机时区的实现抓不到（判据不可达）。
2. 决策表缺「无任何活动且已开通（addOnQuota 存在）」用例 →
把 inactive 误报成 already-claimed 的变异得以存活。补齐后两个变异都被抓。
## 统一前向声明（Lua 作用域，本文件第 N 次）
把 `qoderMachineIdentity / rfc3986Escape / newToken / lobsteraiClientVersion`
统一在 PLATFORMS 之前前向声明。此前逐个补、位置还放错过一次，导致运行时报
`attempt to call global 'x' (a nil value)` 而编译期静默。
## 文档
`docs/channels-parity.md` 更新：gemini-sigstore 标注为**⛔ 不适用**
（llmsproxy 的推理走无状态适配器，插件不参与推理 —— 插件侧缓存会成为死代码；
若将来要支持，位置在适配器侧，与"适配器无状态"约定冲突，须单独决策）。
|
2026-10-13 16:11:11 +08:00 |
|
|
|
5b433b3266
|
feat(channels): Qoder 设备身份（Cosy-MachineToken/Type）—— 活动可见性的前提
## 参考依据
`qoder-machine.ts`。参考用**抓包 + 消融实验**定位过一个真实缺陷：用户报
「Qoder 没领过积分却显示『今日已领取』，去 IDE 看还能领」。
根因：`/sash/` 端点不只要 `Cosy-ClientType`，还校验**设备身份**。消融表（同账号、只改头）：
| 请求头 | /sash/api/v1/me/campaigns |
|---|---|
| 仅 Cosy-ClientType: 10 | `claimable:false`，1 条 VIEW_DETAILS |
| ＋ MachineToken ＋ MachineType | **`claimable:true`，2 条，含 CLAIM_BENEFIT/amount:100** |
| 全套 − MachineToken（或 − MachineType） | 退回 1 条（失效） |
⇒ 两值**必须成对**，`Cosy-ClientType` 是必要但不充分条件。
## 实现（三级，与参考一致）
1. **主路径**：实时调 `runtime-info`，参数顺序必须是 `[environment, '--account-stdin']`，
`environment='3'`（对应 asar 的 `'global'` 分支）。**漏环境值会拿到另一套身份**
（参考实测：漏了只回 1 条 VIEW_DETAILS）。stdin 传 `{"account":""}`，
从输出第一个 `{` 起解析 `machineToken`/`machineType`。
定位方式照参考：`<home>/.qoder[|-cn]/.bin/umid-*/runtime-info`（目录名带哈希，必须枚举）。
2. **退路**：磁盘缓存 `machine_token.json` 的 `token`/`type`（候选路径含 Linux
`~/.config/Qoder/…`，并支持 `QODER_MACHINE_TOKEN_PATH` 覆盖）。
3. **降级**：都拿不到时**照常发请求、不带这两个头**（保守降级）——
纯插件登录、未装桌面端的账号没有该文件，不能让整个积分功能报错。
注意：**不写空串**（发空头可能被按非法设备处理）。
结果缓存（拿不到也记 null），不反复读盘/spawn。
## 接线
qoder 平台加 `headers_fn`：`Cosy-ClientType: 10` + （拿到时）成对的身份头，
余额与（后续的）活动领取共用。
## 判据
`TestQoderMachineIdentityPairingAndDegradation`：有缓存 → 成对带上；无任何来源 →
降级且不报错、仍带 clienttype。变异验证：只发 token（不成对）、拿不到时写空串
—— 两个都被抓。
## Lua 前向引用（本文件第 N 次）
`qoderMachineIdentity` 定义在文件后段，而 qoder 平台表在前面 —— 前向声明必须
放在 **PLATFORMS 之前**（第一次放错位置，等于没声明）。
|
2026-10-13 15:52:26 +08:00 |
|
|
|
d1b7d94043
|
feat(channels): 有道每日活动领取（3 步流程）+ 修 claim_daily 前置条件
## 参考依据
`lobsterai-credits.ts:claimLobsteraiDailyCheckin`。此前只实现了余额查询
（profile-summary），**每日活动领取缺失** —— 用户的余额能看，活动奖励领不到。
## 实现（逐行对齐参考的判定顺序）
① `GET /api/client-activities/slot?placement=desktop_sidebar&clientVersion=…
&containerApiVersion=2&platform=win32`
- 查询失败 → failed；`slotState≠available` 或无 `activityCode` → **inactive**
② `GET /api/client-activities/{code}/context?configRevision=…`
- 查询失败 → failed；`claimedToday` → already-claimed；`actions` 不含 `check_in` → inactive
③ `POST /api/client-activities/{code}/actions/check_in`
body 带 `configRevision` 与**客户端幂等键**（对齐参考的 uuid4）
积分字段三级回退：`creditsGranted` → `rewardCredits` → `credits`
参考注释点名：**无可用活动是正常业务状态**，不能显示成"领取失败"（否则用户会去查
网络/账号，方向全错）。这条在判据里被钉死（含反向变异）。
## 顺带修掉一个阻断性缺陷
`claim_daily` 原本硬要求 `plat.checkin`，而**有道根本没声明 checkin** ⇒ 新钩子
永远走不到（测试直接暴露：返回"平台未声明 checkin"）。改为「有 claim_fn 即放行」
（codearts 的 4 步流程同样受益）。通用路径对 `plat.checkin` 的取值也加了保护。
## Lua 前向引用（本文件第 N 次踩）
新代码段用到定义在文件后段的 `local` 助手，Lua 作用域看不到后面的定义：
`lobsteraiClientVersion` / `rfc3986Escape` / `newToken` 依次报
`attempt to call global 'x' (a nil value)`。统一在段首前向声明
（改为赋值形式）。这类错误只在运行时暴露，编译期完全静默。
## 判据
`TestLobsterActivityClaimDecisionTable`：5 个用例覆盖决策表四类结果
（inactive×2 / already-claimed / success）+ 「claim 是否该发出」+ 「body 不得为空」。
变异验证：把 inactive 误报为 failed、忽略 claimedToday —— 两个都被抓。
## 可测性
`LOBSTERAI_ACTIVITY_BASE` 可由 `set_endpoints` 覆盖（测试指到假上游）。
|
2026-10-13 15:44:51 +08:00 |
|
|
|
1586a051da
|
fix(channels): CodeArts 签名按参考重写（华为云 SDK-HMAC-SHA256）+ 完整 4 步领取
## 问题：签名是实现者凭印象编的
原实现用 `SDK-HMAC-SHA256 Credential={ak}/{ts}/{nonce}/sdk_request` —— 那是另一套
协议（阿里风格）的形状，与参考的**华为云 SDK-HMAC-SHA256** 完全不同：
- canonical request 拼装错（参考是 METHOD\nURI\nQUERY\n排序后的 k:v 行\n\nSIGNEDHEADERS\nPAYLOADHASH）
- string-to-sign 格式错（参考是 "SDK-HMAC-SHA256\n{dateStamp}\n{sha256(canonical)}"）
- Authorization 头用 Credential= 而非 **Access=**
- 少了 x-sdk-content-sha256 / x-security-token 参与签名
- URI 末尾未补 '/'
⇒ 服务端只会回 `APIG.0301 ... verify ak sk signature fail`，看起来像"账号/权限问题"，
这个平台注定领不到额度。
## 修
逐行对齐参考 `sign.ts:signRequestHuawei` + `codearts-credits.ts`：
1. canonical request / string-to-sign / signature 全部照参考
2. 参与签名的头：host / x-sdk-date / x-sdk-content-sha256 / x-security-token
（非 GET 再加 content-type），按字典序拼 SignedHeaders
3. Authorization = `SDK-HMAC-SHA256 Access={ak},SignedHeaders=…,Signature=…`
4. Agent-Type / X-Language 是**签名后**追加的，绝不进 canonical（否则验签失败）
5. URI 末尾补 '/'
6. 完整领取 4 步（参考的 6 步判定顺序）：账户类型 → 活动列表 → claim →（benefit.id
非空时）confirm；用 done 哨兵回给 claim_daily（它自己发多个请求，契约只发一个）
- 非积分账户 → inactive（Token 账户不该被报成"领取失败"）
- activity.claimable=false 且状态属已领取态 → already-claimed（**唯一的幂等保护**，
本协议没有幂等键）
- confirm 失败不算整体失败（积分已在待确认态），只是降级提示
## 判据（差分，与参考逐字节一致）
`TestCodeArtsSignatureMatchesReference` + `tools/codearts_sig_expected.mjs`
（照抄参考函数生成期望值）。覆盖 canonical / string_to_sign / signature /
SignedHeaders / Authorization 形状 / canonical 不得含签名后追加的头。
变异验证：`Access=`→`Credential=`、去掉 content-type 参与签名、URI 不补斜杠
—— 三个全部被抓。
★ 修判据自身缺陷：首版探针**自己重算** canonical，导致真实签名被改坏时判据仍绿
（去掉 content-type 的变异存活）。改为让签名函数返回真实中间值，探针直接取用。
## 文档
新增 docs/channels-parity.md：与参考逐平台对齐清单（登录 / 额度 / 推理链路三张表
+ 差分判据表 + 未对齐项按影响排序），未对齐项**明示**而非含糊。
|
2026-10-13 15:38:35 +08:00 |
|
|
|
41ff6d1be3
|
fix(channels): 修服务端浏览器栈的四处泄漏（含宿主 SHM 耗尽）
这些缺陷让「测试单独跑绿、全量跑红」，在生产同样会让登录用到一半失败。
## ① 宿主级：SIGKILL 杀 X 进程 → SysV SHM 段耗尽
X 服务用 MIT-SHM 与客户端通信，被强杀时这些段无人释放，成为系统级孤儿段
（nattch=0 但占着 kernel.shmmni 名额）。实测单个 Xvfb 约 84 段，上限 4096
⇒ 约 48 次异常退出即耗满。用满后**宿主上任何**新进程 shmget 都失败：
x11vnc 从 0.2s 能监听变成永远起不来（表现为「x11vnc 端口未就绪」）。
修：回收改为**先 SIGTERM、等 0.4s、再 SIGKILL**，让 X 自己释放 SHM。
实测 core 全包前后 shm 84 → 84（零泄漏）。
## ② 显示器锁泄漏 → 号段被烧穿
强杀留下 /tmp/.X<n>-lock，而选号是「锁/socket 存在就当被占」⇒ 每个被强杀的
显示器永久烧掉一个号；累积满 91 起后 pickFree 扫不到空位就 return start(91)
→ Xvfb 报 “Server is already active for display 91”（实测 41/41 全占）。
修：pickFreeX 回收陈旧锁（用 /proc/<pid> 判存活，不信 shell 退出码）+ 扫 200 个号
+ 扫不到如实报错；收尾清掉自己占的锁与 socket。
## ③ chromium profile 复用 → SingletonLock 卡死
数据目录原用 seq 编号，插件重启后 seq 重来 ⇒ 复用同目录 ⇒ 残留 SingletonLock
让 chromium 只打印 “Opening in existing browser session.” 就退出，新端口永不监听
→ 报「chromium 端口未就绪」。
修：目录名用唯一 tag（时间+随机），并在收尾清掉。
## ④ callback 流漏收浏览器栈
callback 流在 start_login 就拉起服务端浏览器栈，但没有任何路径负责回收
⇒ 每次放弃登录都留一套（实测一轮 core 全包攒 7 套 websockify+x11vnc）。
修：会话过期时若栈属于该会话就收掉；起新栈前先收旧栈（单会话栈）；
kernelTestCore 统一 t.Cleanup 调 stop_browser。
## 判据
- TestXDisplaySelectionReclaimsStaleLocks：陈旧锁必须被**回收复用**（只跳过不算通过）
- TestXDisplaySelectionKeepsLiveLocks：活锁不得被回收（反向）
- 两个变异（去掉收尾清理 / 有锁就当被占）均被抓
## 另：变异测试会污染生产源码，加进程级兜底
discover_mutate_test.go 会改写 internal/gateway/discover.go，靠 defer 回滚 ——
进程被强杀（go test 超时 / Ctrl-C / 误杀 shell）时 defer 不执行，变异体留在工作区，
下次运行会把它当"原始源码"，所有裁决静默失效（本仓真实踩过两次）。
新增 mutation_guard_test.go：进包即自愈已知变异体。
|
2026-10-13 15:24:07 +08:00 |
|
|
|
6fe6014d92
|
chore: 清理 emoji 与修正发布脚本仓库名
产品代码统一为纯文本风格（照参考实现），去掉 emoji：billing/quota/usage 插件、
channels 的提示文案、WebUI 文案，以及 go 测试、docs、packaging 脚本中的
注意/OK/FAIL 等符号化写法。第三方目录（vendor、node_modules、.probe）不动。
另：packaging/upload-release.sh 的仓库名改为真实全名
JianFeeeee/ModelRouter → HeNanMU-EEA/ModelRouter（前者是重定向，POST/PUT 不跟随
会 404）。
|
2026-10-13 13:42:57 +08:00 |
|
|
|
5ab047e48b
|
fix(channels): 修复 12 平台登录的系统性偏差（callback 闭环 + 动态模型 + Trae 设备身份）
用户报障：「除了 codebuddy，其他的登陆都不太正常，尤其是有道那个」。逐平台审计
参考实现（vendor/channel-pack/src）后发现根因不是 12 个独立 bug，而是几个系统性偏差。
## ① callback 流的回调是回环地址 → 必须走服务端浏览器（核心认识）
Trae/Gemini/有道 的 redirect_uri 都是回环地址（127.0.0.1 / localhost）。回环地址由
「打开授权页的那台机器」解析：远程用户在自己电脑上打开，重定向就落在**用户机器**上，
回调永远到不了网关。CodeBuddy 一直是好的，因为它走 state-poll，**根本不需要回调**。
→ 插件自起 loopback 接收器（Python，绑回环、双栈，路径按各平台注册值），
由服务端浏览器（VNC）承载授权页，重定向落回本机。
## ② 三个平台的回调路径各是注册值（写错就是 redirect_uri_mismatch）
有道 /auth/callback、Trae /authorize、Gemini /oauth-callback（参考 GEMINI_CALLBACK_PATH）
且 Gemini 的 redirect_uri 主机是 **localhost** 而不是 127.0.0.1。
另：Trae 的回调**不带 state**（token 直接放 query），其余平台必须带 → 校验规则按形态分。
## ③ 有道版本号不能写死
exchange/续期/签到的 version 是必填。实测 2026-10-13 上游已是 2026.9.23，而参考的兜底
常量还停在 2026.9.4。新增 lobsteraiClientVersion：远端为主（data.value.version，**非统一
信封**）+ 失败用兜底但**不缓存**（照参考 resolver）。失败时把上游 message 带出来
（实测形如 code=40102「无效或已过期的授权码」）。
## ④ Gemini token 交换缺 client_secret（症状正是「授权成功但账号不出现」）
参考注释点名：token 端点强制校验客户端身份，只发 client_id 会 invalid_request。
同时补 access_type=offline / prompt=consent（缺了拿不到 refresh_token），
并去掉误标的 pkce（上游 Cloud Code 用的是最朴素的 authorization_code + client_secret）。
## ⑤ Trae 授权 URL 少了 5 个必需参数
参考列为「一个都不能少」：login_trace_id（回调**反查 pending 的唯一凭据**）、
machine_id/device_id（hex32，每账号必须不同，否则被「该设备已签到」拦）、
x_device_id/x_machine_id。此前**完全没造**设备身份 → 登录页停在「授权中」。
## ⑥ Trae 签到头与设备身份
授权方案是 `Cloud-IDE-JWT`（不是 Bearer）；参考点明简化头**实测签到失败**，
需约 20 个客户端头，且 X-Device-Id 是**基于 user_id 确定性派生的 15 位数字**。
实现 seededStream（SHA256(utf8(salt:seed) ++ counterBE32) 串联）+ 三级派生，
并用参考实现（Node）生成期望值做**差分验证**逐字节对齐。
凭据改为 JSON 以保留 uid/device_id/machine_id（签到与轮换需要）。
## ⑦ 同段逻辑抽一个助手，防两条路漂移
lobsteraiExchange 被 oauth_callback 与 poll_login 两条路共用（原先各内联一份）。
## 判据（新增测试）
- TestLobsterLoopbackClosedLoop / TestLobsterExchangePreservesIdentity：loopback 闭环、
state 不匹配 400、重放 409、凭据含 uuid/first_keyfrom
- TestCallbackPlatformsLoopback：三个平台的路径与 state 规则、Trae 无 state 也能接住
- TestAuthorizeURLsHaveNoUnfilledPlaceholders：授权 URL 不留 {占位符}
- TestTraeDeriveMatchesReference：与参考实现**逐字节**差分（tools/trae_derive_expected.mjs）
- TestTraeCheckinHeaders：Cloud-IDE-JWT + 派生设备身份 + 客户端头齐全
- TestRemoteModelCatalogMergesWithFallback：远端为主、兜底补位、失败不清缓存
## 顺带
- set_endpoints 补 callback / client_version 键（否则测试无法把端点指到假上游）
- 删掉 spawnBrowser 里会把 redirect_uri 一律改写为插件挂载点的死代码（对有道致害）
- session 过期与插件卸载时回收 loopback 接收器进程（防进程泄漏）
- e2e/channels_flows_e2e_test.go：qoder 已从 manual 改为 device-poll，断言同步更新
|
2026-10-13 13:42:45 +08:00 |
|
|
|
ec5e6dd57c
|
fix(channels): Loomy 真实微信 appId/uuid 正则修正 —— 之前是我编的值
## 用真上游实测逼出来的两处错误
批准出站主机后逐个平台打真上游，Loomy 报「授权页未包含二维码 uuid」。
核对参考常量后发现：
1. **appId 是我编的**：我写 `wx16e5c2b8e0c0e1f2`，参考是
`wx18d60be432287cf8`。上游不认这个 appid，返回的页面里自然没有二维码。
同时补上微信要求的固定片段 `#wechat_redirect`。
2. **uuid 正则不是参考的那条**：我写的是 `uuid="..."` 形式，而真实微信页把
uuid 内嵌在 `<img class="js_qrcode_img" src="/connect/qrcode/<uuid>"/>`，
兜底路径是 `l/qrconnect?uuid=<uuid>`。照参考 extractLoomyWechatUuid 的两条
正则改写（它还带一个 `^[A-Za-z0-9_\-=+/]{6,64}$` 的字符集校验）。
3. UA 逐字统一为参考的 WECHAT_UA（`Chrome/120.0.0.0`）。
## 教训（值得记）
「照参考逐行移植」这一条，我在这两处做成了「凭印象写个看起来像的」。
**判据是端到端打真上游**，不是测试通过 —— 单测用的是我自己编的夹具，
夹具与生产同源出错时测试照样绿。这次是真上游把它逼出来的。
## 判据
- 测试夹具改为**真实微信页面形态**（`<img ... src="/connect/qrcode/<uuid>">`）：
用别的形态（如 `var uuid = "..."`）测出来的正则不是生产要用的那条。
- 生产实测：Loomy 从真微信拿到二维码 uuid（`open.weixin.qq.com/connect/qrcode/<uuid>`）。
- 四个新平台真上游全部 pending 且返回有效授权入口：
qoder→qoder.com（真实 PKCE challenge）、zcode→bigmodel.cn、
loomy→open.weixin.qq.com（真实 uuid）、raccoon→xiaohuanxiong.com（本地 code）
- 全量 core 回归通过；内核对照 v2.0.2 diff 为空。
## 出站主机授权
channels 的 27 个声明主机已全部在设置页批准（8 个新增 + 陈旧条目自动清理），
落盘到 .kernel-perms.json，重启后保留。
|
2026-10-13 10:17:36 +08:00 |
|
|
|
705e079285
|
feat(channels): Raccoon 扫码登录实现 —— 12 个平台零 manual
第四处也是最后一处「把没实现说成做不到」：此前标 manual，理由"要扫图片二维码"。
参考事实（raccoon-oauth.ts / raccoon-login-page.ts 注释）：
· `qrcode_code` 由**宿主侧本地随机生成**（16 字节 hex），服务端接受任意
自造 code 并进入 pending —— 完全绕开收不到的自定义协议回调
· 二维码只是一张公开页面 {apiBase}/login/mp?code=...&appname=...
· 轮询 POST /api/web/auth/v1/login_with_qrcode_code {qrcode_code}
→ data.status ∈ pending / logging / canceled / success
· **success 但缺 token 视为未完成**（否则产出空凭据并让流程卡死）
· 参考明确：任何异常都降级为 pending（网络抖动/畸形响应/未知 status）
真正需要人工的只有短信路径（阿里云滑块 captcha_param + 手机号 AES 加密）——
那一条不做，但扫码这条完全自动化。
## 同时按参考修正的两处错误
- `base_url` 写成 raccoon.sensetime.com，实际是 **xiaohuanxiong.com**；
推理路径是 `/api/web/llm/v2`（标准 OpenAI 兼容）
- 余额路径缺 `/api/web` 前缀，且未带 `X-Org-Code` / `X-Raccoon-Language` 头
（照参考 raccoonHeaders）
## 判据
TestRaccoonQrPollBehavior（5 项）：本地生成 32 位 hex code + 二维码 URL；
logging 保持 pending；success 且带 token 才完成；canceled 是终态失败；
**缺 token 的 success 必须 pending**（防空凭据卡死）。
全量 core 回归通过；内核对照 v2.0.2 diff 为空。
## 十二个平台现状（零 manual）
trae/minimax/cline/buddy/gemini/lobsterai/opencode/codearts 原有流程 +
qoder(device-poll) / zcode(init-poll) / loomy(wechat-poll) / raccoon(qr-poll)
|
2026-10-13 10:08:39 +08:00 |
|
