jianf/ModelRouter
1
0
Fork 0
mirror of https://gitcode.com/JianFeeeee/ModelRouter.git synced 2026-11-07 09:47:23 +00:00
Code Issues Packages Projects Releases Wiki Activity
430 Commits 10 Branches 90 Tags
9cb6254166b74ed15e9e050234ad454d75133586
Commit Graph

120 Commits

Author SHA1 Message Date
JianFeeeee
de7553eaa2 feat(lua)!: 插件只通过 modelrouter SDK 与内核交互，且不再随内核安装 
- 新增唯一公开接口表 `modelrouter`（sdk_version=1.0）：http / secrets /
  kernel / adapters / plugin_dir。成员与内部桥是**同一对象**而非副本 ——
  复制会让凭据保险库分叉（插件写 A、内核读 B）。
- `llmsproxy` 与 `__llmsproxy_*` 降为同对象兼容别名，只为已装插件继续可用。
  仓库内 4 个插件（channels / billing / quota / usage）全部改用
  `modelrouter.*`：此前它们直接依赖内核私有全局，内核无法在不炸插件的前提下
  改实现（重命名、加守卫、换实现都算破坏性变更）。
- 插件不再由网关安装：`SeedBundled()` 变彻底 no-op，`core.New` 不再调用；
  `ReadBundledPlugin` 改为按源文件定位（脱离 cwd），只服务测试与开发工具。
- 桌面端删除 `BUILTIN_PLUGINS` 与 `syncBundledPluginsOnUpgrade`：升级不再
  删除、改名或覆盖用户插件文件。插件是运维资产，不是内核资源。
- `Builtin` 不再靠"源码与仓库示例逐字节相同"推断，插件一律视为外部文件。
- 判据：SDK 存在/版本/形状、别名与内部桥同一张表、适配器 VM 拿不到 SDK、
  经 SDK 真实写读凭据并驱动内核动作、GUI 升级不动插件文件、release 包不含插件。

说明：channels.lua / quota.lua 同时带有此前的渠道与额度改动（含 OpenCode 免费池
监控），与 SDK 改名同处一个文件，无法文件级拆分，故一并纳入。
 2026-10-26 22:27:12 +08:00
root
79bc55cfbe fix(billing): 插件 HTTP 路由按操作拆路径 + 正确解析请求体 
- 内核插件路由冲突仲裁按**路径**判重（不看 method），同一路径挂 4 个 method 会被
  当成 4 个插件抢同一路径 ⇒ 规则 API 不可用。拆成 /rules（GET）、/rules/replace
  （PUT）、/rules/add（POST）、/rules/remove（DELETE）。
- 插件 HTTP 分发交给 handler 的是**整个请求表**（body 是原始字符串），而直调导出
  拿到的是参数表；此前 PUT 把请求信封当成规则写进了 billing.json，规则全丢、价格表
  清空。新增 reqData() 统一解出 JSON 载荷。
- 生产复验：GET 返回 4 条规则；PUT 后 billing.json 保持规则形状；localzen（free）
  请求不计入 unpriced，codearts 未列价模型计入（预期收紧）。
 2026-10-20 18:59:16 +08:00
root
7941b4110a refactor(billing)!: 计费全部沉入插件，内核零 billing 代码；规则由插件自持 
按维护者要求（issue #1 回复方向）：内核不处理任何 billing 特有逻辑；插件有完整
OS 权限，自己保存配置文件。据此不再保留任何"内核 ↔ billing 插件"的专用对接。

## 内核（删除）
- `internal/billing`（Go 编译器 + 测试）：删除；
- `internal/core` 的 billing 接口/降级应用/规则加载：删除（含 `billingPath`）；
- `internal/gateway` 的 `/api/plugins/billing/rules` 端点与测试：删除；
- `config` 的 `BillingDSL/Profile/Rule/Token/Peak/LongContext` 与校验、
  `billing:`/`billing_file:` 配置段：删除。系统配置里不再有 billing 段。
内核只保留所有插件通用的能力：加载 .lua、插件状态持久化、插件目录
（`__llmsproxy_plugin_dir`）、`plugin.http` 路由、插件可用的 io/os。

## 插件（billing.lua）
- 规则文件移到**插件自己的目录**：`<plugin_dir>/billing.json`，由插件用 io 自己
  读写（tmp + rename 原子替换）；加载插件时自己读文件并编译；
- 规则以**源名** `source` 为键（`url:"*"` 仅表示全局模型价目表）：URL→源名映射
  属于内核配置，插件不为它和内核对接；编辑页在浏览器里取 `/api/sources` 选源名；
- 规则编辑 API 改为插件自己的 `/api/plugins/http/billing/rules`
  （GET/PUT/POST/DELETE，roles=admin），写盘也在插件内完成；
- 计费账目仍在插件状态文件（内核通用持久化）`<plugin_dir>/.billing.state.json`；
- `priceFor` 落地 profile 级 `default` 策略与显式 `mode=unpriced` 的优先级。

## 迁移
生产已迁移：`config.yaml` 的 `billing:` 规则转为 `plugins/billing.json`（按源名
重写），并从系统配置中移除；规则文件与系统配置从此各自独立保存。

## 判据
- `internal/lua/billing_rules_test.go`：插件自写 billing.json 并重启恢复、
  free/subscription/token/通配符编译语义、1e6+1e6 token = 0.75 端到端、
  非法规则被拒且不覆盖旧文件、reasoning/long_context/peak；
- `internal/lua/billing_test.go`：profile default 策略三态 + 显式 unpriced 优先；
- `internal/lua/billing_ui_test.go`：规则编辑页仍挂在 billing 页内、列宽/列数守卫。
 2026-10-20 18:57:23 +08:00
root
b4c5f0f0fc refactor(billing): 计费语义下沉到 Lua（内核只解 YAML/传数据）+ 采纳 PR #2 语义 
按 issue #1 的修复方向（维护者评论）：内核不再持有任何计费语义，billing 逻辑
全部在 `plugins/billing.lua`；内核只负责解 config.yaml、校验 schema、把
profile + 源 base_url 作为**数据**交给插件，再把插件算出的价目通过 `prices`
侧车注入。计费账目仍持久化在插件状态文件（`plugin_dir/.billing.state.json`）。

## 变更
- **删除** `internal/billing`（compile.go 359 行 + 其 Go 测试）；
- 新增 `core.compileBillingPrices`：把 profile/sources JSON 化后调用插件导出
  `compile_prices`，返回价目表 + 未匹配规则清单（供错误日志点名 URL）；
- `applyBillingDSL` / 规则编辑器改为走同一个插件编译入口（编辑器 lenient，
  半成品规则可保存、可报告）；
- `billing.lua` 新增 `compile_prices`：URL 归一匹配、首条命中优先、
  free/subscription/unpriced/token、USD/M→per-token、peak 窗口、
  long_context 边际价、reasoning 可选价、default 策略、未匹配清单。
  错误通过载荷 `error` 字段回传（插件导出第二返回值通道不可靠）。

## 与 PR #2（valuelesser）合并后的语义
- **token 规则不产生任何源条目**：未列价的模型落到 unpriced 统计（可见），
  不再"静默计 $0"。比 issue 正文里的 `{per_request:0}` 标记更收口；
- `default: free` 由**编译期**给未匹配源写 `{per_request:0}` 标记；
  `unpriced`/缺省不写。删除无人读取的 `default_mode` 死键；
- 保留 `unmatched_rules` 清单（只用于降级应用时点名过期 URL）。

## 判据（原 Go 单测平移到 Lua + PR #2 的用例）
- `internal/lua/billing_compile_test.go`：通配符不标记源、token 规则无源条目、
  任意源条目不得携带 token 价（根因直防）、free/subscription 保留有意零价、
  reasoning 缺席、long_context 三种形态、peak 形状、URL 归一+首条优先、
  lenient 未匹配清单、硬错误 5 例、default 两态；
- `internal/lua/billing_test.go`：编译输出驱动真实 priceFor 的 A/B 用例
  （旧形状 cost=0 / 新形状 0.75 且 unpriced=0）、default 编译期语义 e2e；
- `internal/gateway`：token 规则断言"无源条目"、模型价 per-token 量级；
- `internal/core`：过期规则 URL 降级应用（有效规则仍生效）。
 2026-10-20 18:33:26 +08:00
root
33cb2bdb06 fix(billing): 源层零价不再覆盖模型价（issue #1）+ default_mode 生效 + 文档/判据补齐 
GitCode issue #1：任何按 `mode: token` 且 URL 非通配符的规则定价的源，计费恒为 0，
且 `unpriced_reqs` 也不增长 —— 完全静默。

## 真因
- `compile.go` 给这类规则写源条目 `{prompt:0, completion:0, per_request:0}`，
  本意只是"标记该源已定价"（同源未列入价目表的模型不算 unpriced）；
- `billing.lua` 的 priceFor() 源层在模型层之后、且 `sp.prompt ~= nil` 即覆盖；
- 两者叠加 ⇒ 模型价被清成 0，而 `out.priced` 仍为 true ⇒ 连未定价计数都不涨。

## 修法
1. `compile.go`：token 规则的源条目只写 `{per_request: 0}`（只是标记，不参与 token
   计价）。`free` / `subscription` 保留全零（那里 0 本身就是语义）。
2. `billing.lua`：
   - `priceFor()` 的 `out` 补 `local`（此前是 VM 级全局变量，跨请求残留）；
   - 实现 `profiles[].default` 的 `free|unpriced` 语义：`free` = 刻意免费（不进
     unpriced），`unpriced`（默认）= 未定价债务。此前 compile.go 写 `default_mode`
     但**无人读**，两种取值运行时完全等价。
3. `core.go`：应用 profile 时把 `unmatched_sources` 打进日志（WARNING 列出没有
   规则命中的源）。该字段此前只写不读，是第二个静默少报点。
4. `docs/plugins.md`：token 价优先级改为与实际实现一致的
   `keys > sources > models > default`，并写明"标记已定价只能用 per_request:0"。

## 判据（都先红后绿）
- `internal/billing`：token 规则的源条目**不含** prompt/completion；free/subscription
  仍保留显式 0。
- `internal/lua`：同源同模型下旧形状 cost=0（缺陷本身）、新形状 cost=0.75 且
  unpriced_reqs=0；未列入价目表的模型仍算"已定价"；default_mode 三态。
- `internal/gateway`：`billing_rules_api_test` 的单位断言原本读
  `cc["models"]`（恒 false，整块被跳过——从未执行过），改为 `prices["models"]`，
  并新增"源条目不得带 token 价"断言。

## 顺带修掉一个"永不执行"的判据
`discover_mutate_test.go` 的变异锚点写成 6 个空格，而 `discover.go` 已是 2 个空格
⇒ 该变异每次都 `anchor not found`，变异 campaign 长期红着。修正锚点后，
"嵌套 metadata 不再读取"这条变异真的被执行并被测试 KILL。
 2026-10-20 17:46:52 +08:00
root
6454b094bc fix(codearts): 上游限流改为可声明重试（内核通用能力）+ 会话/连接两处真因 
用户连续报「codeart 还是不可用 / empty stream」。把上游原始响应打出来逐条对齐，
三个症状同源，且都不是"模型坏了"：

| 场景 | 上游实际返回 |
|---|---|
| 流式、短时间连续请求 | HTTP **200** + 只带 error 的帧 ⇒ 内核判 `empty stream` |
| 非流式、同一条件 | HTTP 400 `TM.00001041: 并发会话数已达上限(3个)` |
| 突发请求 | HTTP 429 `TPM limit … 500000 tokens per minute` |

实测：最后一个请求结束后约 **44~60 秒**释放；同一账号连续请求 3~4 次即占满。
参考实现（示例插件 llm-adapter.ts）的做法是**每 10s 轮询后重试 chat**（最多 30
分钟），所以用户那边"看起来没事"。

## 我们的改法（内核只做通用机制，厂商知识留在插件）
1. **内核新增声明式重试策略** `source.retry`（纯数据：状态码列表 + 响应体子串 +
   间隔 + 次数）。内核不认识任何厂商；命中即在同一网关请求内每 10s 重试一次。
   流式只在**握手阶段**重试（首帧尚未下发，不会重复输出），非流式整体重试。
2. **插件为 codearts 声明**：400/429 + 命中 `TM.00001041` / `TPM limit` /
   `并发会话数已达上限` → 10s × 最多 18 次（≈3 分钟）。
3. **适配器补两个会话细节**：`Connection: close`（keep-alive 空闲连接会被上游
   计入并发会话）与稳定 `Session-Id`（同一账号恒定，避免每次请求新建会话）。
4. 错误文案补可行动提示（并发会话上限 / TPM 限流，约 1 分钟释放）。

## 验证（生产）
- 连续 6 次**流式**：6/6 成功（撞上限时自动等 10s 再试，客户端只感觉慢）：
  `+0s / +12s / +34s / +86s / +100s / +144s`
- 连续 5 次**非流式**：5/5 成功（`+0 / +11 / +20 / +28 / +38s`）
- 修复前：第 4 个请求起必然 TM.00001041 / empty stream。

> 注：`TM.00001005 无正常可用套餐` 属于账号权益问题（不重试、如实报出），
> 与限流要分开处理。
 2026-10-20 10:38:00 +08:00
root
771b95a133 fix(channels): admit_functions 落到 effectiveModels（解析器不承担产品策略） 
上一提交把「本适配器会发的通道」过滤写进了 trae 的目录解析器，导致两个解析器判据
回归：同模型在 solo_agent（有思考档位）与 solo_work_lite（无档位）同时出现时，
整组 solo_agent 被丢弃 ⇒ 档位信息丢光，模型显示"未提供推理等级"。

正确分层：
- **解析器**只负责把目录如实解出来（含跨通道元数据合并、白名单准入）；
- **产品策略**（只暴露适配器能发的通道）放到 effectiveModels，作用在对外
  暴露的 id 列表上。

实现要点：合并会选"更优"的那条（往往不在我们要发的通道里），所以判据不能看
合并后条目的 chan —— 解析时额外记 `chans`（该 id 在哪些通道出现过），策略按
chans 求交集。夹具同步调整：硬性过滤的条目放进 solo_work_lite（生产里适配器
恒发这条通道），inline_chat 仍用于白名单判据。
 2026-10-20 10:12:51 +08:00
root
9feef8f4cb fix(channels): 渠道卡片 logged_in 改成看账号池（此前所有池接入的平台都显示未登录） 
## 真因：logged_in 判的是旧单账号键
用户报「codearts 还是不可用」。查下来渠道**本身是通的**（9 个模型逐个实测都返回
内容），不可用的是**UI 的登录态判断**：

`list_platforms` 写的是 `credentialOf("channels:" .. platform)` —— 那是**旧版
单账号**的保险库键。现网凭据键是 `channels:<platform>:<accountId>`（一平台多
账号），于是**所有**通过账号池接入的平台都被判成"未登录"：

    修复前（生产）：trae=False minimax=False codearts=False qoder=False zcode=False
                    （只有 buddy=True —— 它还留着一条旧格式凭据）
    修复后：          trae=True  minimax=True  codearts=True qoder=True  zcode=True

UI 据此把渠道卡片渲染成"未接入"，用户看到的就是"渠道不可用"。底层模型完全能用 ——
这是最容易被误判成"上游挂了"的一类假信号。

## 修法
- `list_platforms`：logged_in 改为遍历账号池（`poolList` + 凭据存在 + enabled≠false），
  旧单账号仅作兜底；顺带回 `account_id` / `accounts` 计数，让 UI 能区分同平台多账号；
- `status_page`：`accounts` 同样合并账号池（此前只回旧表，状态页里池接入的平台
  是空的 —— 同一根因的第二个出口）；
- 新增 `__platforms_probe`（`list_platforms` 是 HTTP 路由处理器、不在 exports 里，
  判据走探针，与仓库既有做法一致）；
- 回归判据 `TestPlatformsLoggedInFromAccountPool`：池里有凭据账号 ⇒ logged_in=true，
  且 account_id / account / accounts 回池数据。

## 顺带核实（不是代码缺陷）
- codearts 目录里 4 个模型（`deepseek-v4-flash-0731` / `glm-5.3-flash` /
  `deepseek-v4-pro-0813` / `CodeArts-Pangu`）实测上游 404
  `InferHub.002002009.404: The model is not registered` ⇒ 之前被手工停用是对的，
  已按死模型流程收口（不再回到可选列表）；
- `GLM-5.3` 同样 404，已标失效并自动从源里剔除（日志：
  「模型已失效，已标记 codearts/GLM-5.3」）；
- `deepseek-v4-flash` 早前的 429 是 TPM 限流（我自己连续压测造成），现已恢复 OK。
- 最终 codearts：**9 个模型，9/9 实测返回内容**。
 2026-10-20 09:54:06 +08:00
root
7f193a997d fix(channels): trae 目录用错头族——IDE 端点必须发 IDE 头（此前恒回 2001） 
## 真因：两套头混用
用户报「trae 还是无法从上游拉取，示例插件都可以」。用探针把**原始响应**打出来
才看清：目录端点 HTTP **200**，但 22 个 function 全部
`error_code 2001 "Config detail for function: X not found"` —— 于是远端目录恒空，
插件只能退回兜底表，用户侧表现成「模型不正确 / 渠道不可用」。

根因不是网络、不是账号、不是 body：是**头族用错了**。
- `traeCheckinHeaders` 面向 `api.trae.cn` 的签到/积分：VSCode UA + `X-Market-*`
  + `X-Lscbd-*` + `Vscode-Sessionid` + **派生**的 market device id；
- `traeIdeHeaders` 面向 `trae-api-cn.mchost.guru` 的目录/对话：`Trae/0.1.52` UA
  + `X-App-Id` + `X-Ide-Version(-Code)` + `Request-Traffic-Type` +
  **凭据里登录时的** `device_id`/`machine_id`。

目录刷新当时复用的是签到头（注释还写着"复用更安全"），发到 IDE 端点就被逐
function 判 2001。用 IDE 头直发同一端点：**HTTP 200 + 2.6 MB**、每个 function
都带 `config_info_list`。

修法（全部在插件内，内核零改动）：
1. 新增 `traeIdeHeaders()`，与签到头**明确分开**，注释写清两套头的适用面；
2. 目录刷新（`sign="trae_solo"`）改用它，`Accept: application/json`；
3. 加判据 `__trae_headers_probe` + `TestTraeHeadersKeptSeparate`：钉死两套头的
   键集合互不越界（IDE 头必须有 X-App-Id/X-Machine-Id、不得有 X-Market-*；
   签到头反之）。这类"都能跑、但跑错了"的错只能靠契约钉死。

## 目录拉通后暴露的第二个问题：目录≠可调用
拿到真实目录（22 function / 93 条去重模型）后逐个实测，发现**同一个
config_name 在不同 function 里可用性不同**，而本插件适配器恒发
`solo_work_lite`：
- `kimi-k2.8-preview` / `deepseek-V3` / `glm-4.7` / `code-review-judge` /
  `multimodal_image_kimi-k2.5` → HTTP 200 但 **content 为空**；
- `sagitta` → 自称 Claude、`aquila` → 自称 ChatGPT、`custom_model_gpt-5` →
  自称 GPT-4 系列 ⇒ 这些是**未知 config 时上游悄悄回落默认模型** ——
  这正是"模型不正确"的真实来源。

于是补两道准入（都是**声明式**平台数据，不写死逻辑）：
- `models_remote.admit_functions = { "solo_work_lite" }`：只收本适配器**会发**
  的那条通道里的模型（白名单只说"该通道在本端点可调用"，不等于"适配器会发"）；
- `models_fallback_no_supplement = true`：远端目录可用时**不再补兜底表**
  （兜底表里 sagitta/aquila/glm-5/DeepSeek-V4-Flash 等在上游已无对应配置）。

结果：trae 可选模型 = **20 个**（glm-5.3 / glm-5.3-flash / glm-5.3-flashx /
glm-5.2 / kimi-k3 / kimi-k2.7-code / kimi-k2.6 / minimax-m3 / minimax-m3.1-flash /
qwen3.8-max / qwen-3.7-plus / step-5-preview / mimo-v2.6-{flash,pro} /
deepseek-v4.1-flash / DeepSeek-V4-{Flash,Pro}-Official / Doubao-Seed-2.1-{Pro,Turbo,Evolving}），
**20/20 逐个实测返回非空内容**。

## 回归测试
- `TestTraeHeadersKeptSeparate`（新）：两套头键集合互斥（不联网即可复现该类回归）
- `TestTraeCustomModelSlotsAreNotOffered` / `TestTraeSourceOmitsCustomModelSlots`
  （上一版）：custom_model_* 槽位不进 UI 也不进上游源
- 死模型判据：opencode 的 `has been deprecated` 文案阳/阴性（上一版）
 2026-10-20 09:38:39 +08:00
root
401a7ead27 fix(channels): trae 模型表去掉不可调用槽位 + opencode 免费模型按实测收敛 
## ① trae：模型选择器里那几个 `custom_model_*` 是**槽位不是模型**
用户报「trae 的模型不正确 / 渠道不可用」。逐个实测（生产）：
`custom_model_kimi` / `custom_model_claude` / `custom_model_1M` 返回 **空
content**（`custom_model_gpt-5` 也答非所问），而真实模型
（glm-5.2 → Z.ai GLM、kimi-k3 → Moonshot、minimax-m3 → MiniMax、
Doubao-Seed-2.1-Pro → 字节）全部正常 —— 所以渠道是通的，问题在**表**。

根因：`custom_model_*` 是 TRAE 的「自定义模型槽位」，上游目录里它们的权威
判据是 `is_custom_model: true`。插件自己的 `trae_batch` 解析器早已按这条
**准入**剔除，但**兜底表**把它们当普通模型列了出来；而远端目录在部分账号
下恒空（企业租户账号实测：22 个 function 全回
`error_code 2001 Config detail for function: X not found`），用户只能看到
兜底表 ⇒ 选中槽位后上游回空 ⇒ 「模型坏了」。

修法（**纯插件**，内核零改动）：
- 新增 `models_unavailable` 一档：声明「本协议下不可调用」的条目，
  **既不进 UI 选择器，也不进上游源**（与 `models_hidden` 区别：后者只是
  不进 UI，内部子 agent 仍可显式调用）；
- trae 的 11 个 `custom_model_*` 移入该档；把 4 个内部子 agent 留在
  `models_hidden`（语义不变）；
- 生产验证：trae 源/选择器从 28 → **17**，逐个实测 17 个全部返回非空内容。

## ② 远端目录「空」要能区分原因
`refresh_models` 此前只会报「远端返回空目录」，把两种完全不同的故障混为一谈：
网络/HTTP 故障 vs 服务端 200 但账号侧没有可下发配置。
现在后者如实报：「远端 200 但无模型配置（账号侧未下发 function config，
企业/租户账号需管理员开启，实测 error_code 2001）」——运维据此知道该找
租户管理员，而不是反复重试网络。
另加 `__trae_catalog_probe`（诊断探针）：原样回传目录端点的 status/body 前
N 字节/解析条数，并在 2001 现场定位时立了大功（这类"上游 200 却空目录"没有
原始响应只能瞎猜）。

## ③ opencode / localzen：免费模型按**实测**收敛
用户报「localzen 也不能用了」。逐项实测（生产）：
- `space-bunny-free` → **410** `Model space-bunny-free has been deprecated.
  Use minimax-m3.1-flash-free instead.`（仍在本地源里 ⇒ 选中必失败）
- `jev-1.13-free` → 400 `Model does not support this protocol.`（非 OpenAI
  chat 协议，本端点永远调不通）
- `beam-free` → 200 但 content 空、无 finish_reason
- 其余 7 个（mimo / nemotron-super-vl / nemotron-lightning / longcat /
  deepseek-v4.1 / glm-5.3-flash / minimax-m3.1-flash）全部正常返回内容

修法：
- `DEAD_GONE_PATTERNS` 补 opencode 的下架文案
  （`Model … has been deprecated`）；配阴/阳性判据（参数/字段被弃用**不算**）；
- opencode 平台把 jev-1.13-free / beam-free 列入 `models_unavailable`，
  并从兜底表与 models_free 里移除；
- 生产 `localzen` 源（手写源，插件不管）按实测刷新为 7 个可用免费模型，
  逐个验证返回内容。

## 纪律
渠道逻辑全部留在插件里（channels.lua / 插件自装适配器）；内核这轮**没有**
新增任何厂商语义 —— 上一轮加进内核的只有通用的 `adapter.hidden` 机制。
 2026-10-20 09:13:56 +08:00
root
662f8f02b6 fix(channels): 商汤扫码链路重建 + 双区登录 + 凭据过期口径 + 四条老化判据 
① 商汤（Raccoon）扫码「链接无效」——两个真根因
- 登录页 /login/mp 已被站点删除（Next 路由 404，实测只有 404 页）；
- 旧实现本地随机造 qrcode_code，而上游早已不认自造码：旧端点
  /api/web/auth/v1/login_with_qrcode_code 对任意 code 恒回 pending
  （服务端没有该会话）⇒ 扫码永远完不成，账号一直是空凭据。
修法：改为上游现行 IAM 流程（逐行对齐其网页客户端 auth chunk）——
  POST /api/iam/v1/auth/mp/qrcode 建会话 → 链接用
  /login?code=…&appname=…&source=platform（实测 200 + 微信扫码面板）
  → 轮询 /api/iam/v1/auth/mp/qrcode/login（IAM code:"OK" 与旧 code:0 都认）。
  服务端建码失败才退回旧本地码并打 warn。UI 对扫码流程改文案为
  「用微信扫码」（原本文案会让人以为点开就自动登录）。
生产实测：链接 HTTP 200、轮询回 pending（会话真实存在）。

② 双区登录（P7）
- 凭据增加 region（intl|cn，缺省＝历史行为）；start_login 接受 region，
  会话按区域选端点，完成登录写进凭据；
- CodeBuddy：cn=copilot.tencent.com（platform=ide）/
  intl=www.workbuddy.ai（platform=workbuddy-ai，X-Domain、
  X-Product-Code、UA 按区域；实测 auth/state 回 200 信封）；
- Qoder：intl=openapi.qoder.sh+qoder.com（client_id e883ade2-…）/
  cn=openapi.qoder.com.cn+qoder.cn（client_id 不同 732aef47-…，照参考
  QODER_CN）。CN 无公开 chat 端点 ⇒ CN 只做登录/领取；
- UI：buddy/qoder 详情页增加「＋国际区」按钮。

③ 凭据过期时刻的时区口径（P6 真根因）
credentialExpiresAtMs 把 ISO 过期时刻按本地时区解析，而 codearts 给的是
UTC ISO（2026-10-19T16:42:43.06Z）⇒ 本机 +08 下过期时刻虚早 8 小时 ⇒
refresh_creds 每 30 分钟都判"已过期"并对华为云真打一次 STS（token 本还有
23 小时寿命）。改为按声明时区解析（Z / ±hh:mm / 无后缀=UTC 三种形态同一
epoch），补 TestCredentialExpiresAtMsParsesISOAsUTC。

④ 四条老化/假红判据
- TestCreditsPoolReason*：account_add 触发的选号会用构造期默认余额 (0,0)
  先查一次并缓存 60s ⇒ 之后改假上游读不到（"余额 100 却报 exhausted"）。
  harness 改余额后清 TTL 缓存（__ttl_reset_probe，与生产同一实现）。
- TestAccountReorderActually... / TestPoolListOrderIsDeterministic：随
  「一通道一源」失效（按 channels-buddy-<acct> 过滤恒得空）。改写为——
  重排必须切换服务账号（新增 __chosen_account_probe），顺序确定性改为断言
  选号顺序（__rank_accounts_probe）由 id 稳定决定。
- channels.lua 顶层 local 余量：区域表与 5 份适配器源码常量收进 plugin.K
  （TestChannelsLuaHasLocalHeadroom 需要 ≥10 槽位）；ZCode 适配器源码里的
  CLI_PREFIX 必须留在源码内（适配器沙箱没有 plugin 全局）。

⑤ 错误文案
openai_error 增补腾讯 codebuddy 三层嵌套 {error:{data:{code,msg}}}：实测
429 code=14018「额度已用尽」此前落到"不识别"，客户端只看到通用文案。

验证：core 434s 全绿、lua 62s 全绿、provider 全绿；生产已部署并实测
raccoon 链接 200 / trae 非流式 200 / zcode 适配器加载。
 2026-10-20 08:27:28 +08:00
root
2113bfc125 fix(channels): 四渠道修复 —— qoder 裸 token 领取 / trae+buddy 非流式 / opencode 目录 / 隐藏适配器 
生产实测逐渠道排查（2026-10-19）：

* qoder：PKCE 设备码流无 register 第二跳，落库凭据是裸 token 字符串；
  qoderClaim 硬要求结构化 table 导致「缺少凭据对象」（而 account_test
  走 token 路径正常 —— 自相矛盾状态）。改为非空裸 tok 就地包
  {access_token=tok}；补 TestQoderClaimAcceptsBareTokenCredential。

* trae（SOLO 自装适配器）：上游对非流式请求也回 SSE（event: 前缀帧），
  transform_response 不识别 → 整个 body 原样透传 → Go unmarshal 报
  invalid character 'e'。补 aggregate_solo_sse 聚合。

* buddy（CodeBuddy）：上游 400 11101 只支持流式。transform_request 强制
  stream=true；transform_response 补 SSE 聚合（tool_calls 按 index 拼分片）。

* provider 流式：真实 tool-call 片段之后出现 finish_reason=stop 时归一为
  tool_calls（trae 实测如此发）；buddy/trae 不再序列化空 tool_calls 表。

* opencode：远端目录端点改为 /zen/v1/models（裸 /v1/models 回 HTML）；
  兜底目录同步 2026-10-19 实测（space-bunny-free 410 下架等 5 项变化）。
  opencodezen 适配器 v1.1.0：会话亲和（client_session / 首 user 消息指纹
  分桶），保留免费层门禁四要素。

* 内核：适配器可声明 adapter.hidden = true 退出用户可见列表；被源引用的
  隐藏适配器保持可见（源编辑器要回显当前值）。opencodezen 默认隐藏。

* channels UI：切渠道立即清空账号/模型区 + 响应代际校验，修复 qoder 账号
  闪现在 opencode 卡片下的渲染竞态。

* channels request_end hook：挂接丢失的 isModelGone/recordDeadModel ——
  真实 404（如 codearts GLM-5.3 "The model is not registered"）现在会进
  deadModels，不再每轮 404 仍可选中。
 2026-10-19 22:32:18 +08:00
JianFeeeee
c9f34538ec fix(codearts): 识别 InferHub 未注册模型 2026-10-19 18:02:30 +08:00
JianFeeeee
12bfd53f16 fix: 收口渠道源迁移与测试页合并 2026-10-19 17:21:22 +08:00
JianFeeeee
25970a2135 refactor(scheduler)!: 移除 priority 废弃字段 + 一通道一源 + discover 复用凭据 
用户判据：「priority 直接移除」「即使带 key 也没有 /v1/responses」
「channel 插件的问题还没完全解决」「生图和聊天合并到一个导航项」

## 一、删除 priority（它从未参与跨源调度）

`config.Model.Priority` 号称"高者优先参与 AUTO 选源"，**那是错的**：
AUTO 链由 `config.ModelScope.Tier` 驱动（scheduler.Chain），priority 只被
`bestChatModel/bestImageModel` 用于"本源内部该发哪个模型"，与跨源调度无关。
把它当调度依据会让人以为拖个数字就能改顺序，改完毫无效果。

- 删 `config.Model.Priority` 字段与 `bestChatModel/bestImageModel` 的优先级比较
- 删 `seedAuto()`：**AUTO 链为空时网关应直接 503**，不能凭空播种用户没配过的档位
- 删 UI `buildLanes` 的 discovery 回退（按源 priority 自动铺开）与 sourceRows
- 清掉 config.yaml 里 140 行 priority

## 二、一通道 = 一个适配器 = 一个源（channels 插件）

旧设计「一账号一源」(`channels-<平台>-<12位hex>`) 有三个结构性后果：
1. 三个账号 ⇒ 三个源、三份同名模型，用户看到三行无法区分的东西
2. 谁先谁后**取决于注册顺序，不是余额**（rankAccounts 只用于展示，从未接进同步路径）
3. 换号要改源名 ⇒ 用户书签里的 `源:模型` 全部失效

新设计：
- 源名只跟通道绑定：`channels-<平台>`，换号 = 同名 add_source 覆盖 api_key
  （内核 AddSource 是 UpsertSourceInYAML + 内存替换），对客户端完全透明
- `pickAccountForSource()`：凭据可用 → 余额分档（先快作废后永久）→
  跳过已标记失效的号。没有 balance 声明的平台不据此排除（不因"不会查"判死）
- `request_end` 钩子：真实请求失败且是**终态**错误（需充值/封禁/凭据永久失效）
  时给当前账号打 termErr，下次选号跳过；成功则清标记。
  ⚠️ 只认终态 —— 429/超时/抖动都**不**标记（那会把好号一个个废掉）
- `refresh_creds` 每 30 分钟巡检后重新选号（兜底心跳，纯本地判定）
- 迁移：同步时自动清掉旧版按账号拆的源（按已知平台前缀匹配，不用贪婪 match）
- 顺带修：`refresh_creds` 漏认 `refresh_fn` ⇒ codearts 的 DPoP 续期永不触发

## 三、discover 支持用已存凭据（真实缺口）

刷新已有源的模型目录，此前必须让运维**再粘一次明文 key** —— 而库里是
`enc:v1:` 密文，WebUI 也不回显明文。结果就是"想刷新 → 得重新申请 key"，
很多人干脆不刷，源的目录越放越旧（实例：某源 3 个生图模型从未登记）。

- `{"name":"oin"}` ⇒ 从已存源取 base_url + 解密凭据 + adapter
- 安全边界：已要求 admin；只能探测**本网关已配置的**源（不能拿任意 URL+key
  做探测，那就成了 SSRF/密钥外带）；响应不回显 key

## 四、image_models 显式声明（补元数据缺失）

`discoveredModelKind` 只看上游 modality 字段，并刻意**不从模型名推断**
（错误的 kind 会毒死 AUTO 链）。但有些网关的 /v1/models 只返回
`{id,object,created,owned_by}` —— 零 modality，于是生图模型全落成 chat，
生图端点永远 `no image source configured`。

不解这个两难：默认仍完全按元数据（不猜），但允许 `image_models` **显式声明**。
写错的 id 明确报 400，不静默造一个不存在的模型。

## 五、UI：对话与生图合并为一个导航项

两者本是同一件事的两种输入（都选模型、都发请求、都读结果），只是 kind 与端点
不同。合并只发生在**导航层**：模型下拉仍按 kind 分组/禁选（把图片模型选进 chat
会请求到错误端点）。两个面板同时存在于 DOM，切换只改 display —— 来回切不会丢
已输入的文字、对话历史或已生成的图。

## 测试

- `TestUI_ImageModeIsReachableFromChatTab`：改为钉"合并后仍可达"（分段控件、
  切换函数、面板容器、端点），并断言**旧 tab 三件套必须消失**（否则 goTab 会找
  一个不存在的面板）
- 测试夹具显式建 AUTO 链（内核不再 seedAuto）：默认一源一 tier 倒序
  （TestChatAUTO 验优先级）；TestChatAutoChainTierFailover 自己覆盖成同 tier
  （验 tier 内轮转）—— 两者验不同机制，不能共用一个默认
- core 的一批断言从"按账号 id 找源"改为"按平台名找源"

gateway/config/provider 全绿；core 的 channels 用例全绿。
TestRealMutants 需工作树干净后才跑（其自带的变异残留防护）。

BREAKING CHANGE: config.Model.Priority 已删除。旧的 priority 字段会被 YAML
解码静默忽略（内核不校验未知字段），因此既有 config.yaml 仍可加载，但该字段
不再有任何作用 —— 调度顺序请通过 AUTO 链的 tier 表达。
 2026-10-19 16:26:59 +08:00
JianFeeeee
6f2d4dc6eb fix(plugins): 三个坏渠道 + 三插件图标 + 计费可见性 
用户报障：「检查一下，同时修复坏渠道，还有插件不是可以自己决定注册
哪些渠道吗？你怎么不修一下，还有除了 billing 以外的两个插件都没有正确的
图标，而且另外两个插件计费也不正确」

## 一、坏渠道（都在插件里修，不动内核）

### 1. zcode —— base_url 吞掉了 endpoint 路径（404）
`base_url = https://zcode.z.ai/api/v1/zcode-plan/anthropic`
`endpoint = /api/v1/zcode-plan/anthropic/v1/messages`
内核 URL = base_url + endpoint（provider.go ChatURL）⇒ 路径拼两遍：
`.../anthropic/api/v1/zcode-plan/anthropic/v1/messages` → 404 page not found。
修：base_url 只留 host，完整路径进 endpoint。与 v2.0.30
「12 平台 base_url 侵占 endpoint」同族。

### 2. minimax —— 打到 Web 前端（404「简单指令，无限可能」）
base_url 只到 host + adapter=openai ⇒ 请求 /chat/completions，那是 Web 前端。
照参考 minimax-product.ts：
  MINIMAX_INFER_PATH = /mavis/api/v1/llm/v1/messages（**Anthropic Messages**）
实测（2026-10-19）：
  /mavis/api/v1/llm/v1/messages   → 401 invalid access token（路径对）
  裸 /chat/completions            → 404 page not found
  /mavis/api/v1/chat/completions  → 404
修：endpoint 指向真实推理路径 + adapter 改 anthropic（第二层：协议形状）。
修后从 404 变 401（凭据问题，不再是路由问题）。

### 3. codearts —— 只声明"可续期"却没声明"怎么续"
`account_refresh` 走 `refreshCredential()`，要求 `plat.refresh.url` 或
`refresh_fn` 存在。codearts 只有 accountView 里硬编码的 `refreshable=true`
⇒ 恒返回「该平台未声明续期方式」，自动续期链空转，日志反复
`模型刷新失败 HTTP 400`。而 STS security_token 只有 1 小时寿命，过期后
每个请求都是 `APIG.0602: the security token has expired`。

修法（三层，每层都有独立的坑）：
a) 加 `refresh_fn` 钩子。华为云 STS 要 **DPoP 头**（jwk 在凭据里），
   声明式 REFRESH_STYLES 拿不到私钥 ⇒ 必须用钩子挂已有的
   `codeartsRequestToken`。
b) **JWK → PEM 重建**。`codeartsNewDpop()` 返回 {pem,public,private}，但
   凭据只持久化了 private(JWK)，pem 是登录临时文件。而 `codeartsDpopSign`
   走 openssl 命令行要 `key.pem` 字符串 ⇒ 直接传会报
   `bad argument #1 to 'write' (string expected, got nil)`。
   手工组 SEC1 `EC PRIVATE KEY` 的 DER（INTEGER 1 / OCTET STRING d /
   [0] OID prime256v1 / [1] BIT STRING 04||X||Y）再 PEM 包装。
c) 绑定放在**文件末尾的绑定循环**（与 claim_fn 同处）。在 PLATFORMS 表里
   内联会闭包捕获当时的全局 nil —— 与 trae headers_fn 那次同一坑。

## 二、插件图标（3 个坏 1 个）

billing 有 SVG 但**缺 stroke/fill=currentColor**（深色主题下不可见）；
channels 声明 `icon = ""`（侧边栏空白）；quota 连 icon 字段都没有。
统一成 inline SVG + `stroke="currentColor"`（照参考 src/sponsor.js:52 的
图标工厂形状）。

## 三、判据（4 条，全部做过变异验证）

- `TestChannelBaseURLDoesNotSwallowEndpoint`：base_url 里的路径段不得在
  endpoint 重复出现。**走真实加载插件**而非正则读源码 —— PLATFORMS 是
  Lua 表，有注释/条件拼装/末尾绑定循环，正则会给出假绿。
- `TestMinimaxUsesAnthropicProtocolAndRealInferPath`：路径 + 协议双断言。
- `TestCodeartsDeclaresRefreshHook`：分开报 has_refresh_fn / has_refresh_decl。
  只看 refreshable 不够 —— 那是"凭据类型可续"，与"平台实现了续期"是两件事。
- `TestCodeartsRebuildsPemFromJwkAndSigns`：**必须真签名**。DER 结构错、
  长度错、base64 换行错都得到"非空但无效"的 PEM，只断言非空等于没验。
- `TestB64urlDecodeHandlesLongInput`：补一个真实测漏 —— 我的 b64urlDecode
  第一版在输出字节后没清高位（缺 `buf = buf % (2^nbits)`），43 字符的 JWK
  字段（32 字节）测出来**完全正确**，于是 PEM 判据在变异后依然全绿。
  只有 86 字符的长输入才暴露（double 精度耗尽 → string.char 抛 invalid value）。
  这条判据就是为"能跑、能返回、产物错"那类缺陷写的。
- `TestEveryPagePluginDeclaresSVGIcon` / `TestIconUsesCurrentColor`：
  按**页面插件清单**遍历而不是只覆盖 billing。billing 当年空串的判据只管
  它自己，于是 channels 空串、quota 缺字段时全绿 —— 同类缺陷换文件复发
  没有任何东西会响。这条测试还当场咬出了 billing 自己缺 currentColor。

变异验证：zcode base_url 回退 ✓ / minimax adapter 回退 ✓ / 删 refresh_fn
绑定 ✓ / 去掉 buf 掩码 ✓ / OID 多套一层 TLV ✓（5/5 全部咬住）

## 四、计费（诊断，未改价）

查清"计费不正确"的根因：`prices.models` 只配了 **2 条**
（deepseek-v4.1-flash + 它的 / 前缀形式），而实际在用 **193 个模型**
⇒ 112006 次请求里 **35672 次（31.8%）成本按 $0 计**。
其中 28203 次集中在 2026-10-05 一天（历史一次性事件）；
当前每天 27~137 次，且**渠道模型全部未定价**
（Doubao-Seed-2.1-Pro / GLM-5.3-Flash / MiniMax-* / qwen3.6-plus / hy3）。

调研：参考插件从 **models.dev** 拉模型目录（含 cost.input/output）。
实测 models.dev 覆盖我们 139/193 模型（72%），但**不能取中位数** ——
同一模型不同 provider 价差可达数千倍（glm-5.2 从 0 到 1.82），
0 价多是订阅制/coding plan。按 host 匹配 provider 只覆盖 6/24 源。
⇒ 价格口径需要用户确认，本轮不动价表。

6 个新探针（仅测试/诊断用）：__platform_def_probe（平台定义真相）、
__codearts_jwk_pem_probe（PEM 重建 + 真签名）、__b64_probe（解码字节）。
 2026-10-19 13:43:18 +08:00
JianFeeeee
aff8354c8a fix(channels,provider): 渠道模型不可用 + 额度异常的三个根因 
## 背景
用户报三问题：① channel 注册的模型无法使用；② 额度显示依旧异常；
③ 其他渠道应也存在类似问题。三条全部核实并给出结论（③ 见文档）。

## ① 网关解不开 `源名:模型名` 限定名（internal/provider/registry.go）

`ResolvePinned` 用 `strings.IndexAny(model, "-:/")` 找**第一个**分隔符。
而渠道源名形如 `channels-trae-b8dd6b3df30e`（**含 `-`**），于是
`channels-trae-b8dd6b3df30e:Doubao-Seed-2.1-Pro` 被切成

    src="channels"、model="trae-b8dd6b3df30e:Doubao-Seed-2.1-Pro"

⇒ 源名永不匹配 ⇒ `Resolve()` 返回 nil
⇒ 客户端看到 `model "..." is not configured`。

**为什么这个写法必须支持**：本实例有 **44 个模型被多源同时提供**
（`glm-5.2` 由 6 个源提供），WebUI 的模型下拉框用 `源名:模型名` 作为
option value 是**有意设计** —— 用户必须能指定"从哪个源调用"。

修法：抽 `splitPinned()`，**按已知源名做最长前缀匹配**（源名是已知集合，
这是唯一可靠办法），保留旧 `-:/` 兜底以兼容非源名形态。
`EffectiveModel` 同步修（同一拆分规则，避免两处漂移）。

## ② trae 适配器三连错（internal/lua/plugins/channels.lua）

三个错误逐层叠加，每个都被上一层掩盖：

**(a) 没有 `build_headers`** ⇒ 内核兜底发 `Authorization: Bearer`，
而 trae 推理端点要 `Cloud-IDE-JWT` + 设备身份头 ⇒
401「We're sorry, but we are not able to authenticate you」。
→ 与上一轮「额度不可用」是**同一根因的两个出口**（额度端点修了、推理端点漏了）。
教训：修"某一族请求的鉴权"时，必须把该族的**所有出口**列出来逐个对齐。

**(b) header 常量的值是错的**（照参考 trae-product.ts 的 TRAE 配置逐项核对）：
  · `X-App-Id` 抄成 `6eefa6c9`，真实是 `6eefa01c-1036-4c7e-9ca5-d891f63bfcd8`
  · `app_version_code` 用了 `0.1.52`，真实是**日期式** `20260811`
⇒ 上游 `4001 bad request: binding: expr_path=app_version_code,
   cause=parameter type does not match binding data`

**(c) 流式转换完全不对**：TRAE 是 **SOLO 自定义 SSE**：
    event:output → data:{"response":"###","reasoning_content":null,...}
正文在 `response`，推理在 `reasoning_content`。
  · 套 `__prelude.openai_stream_chunk` ⇒ 无 `choices` ⇒ `empty stream`
  · 改成 OpenAI 外壳 `{choices:[{delta}]}` **仍然空** —— 内核
    `json.Unmarshal(unified, &UnifiedChunk)` 解的是**扁平结构**，外壳字段全被丢弃
⇒ 必须输出扁平 `{content, reasoning_content, usage, done, finish_reason}`。

⚠️ 内核只把 `data:` 行交给适配器（`event:` 行在 provider.go 被丢弃），
   因此判别帧类型只能靠**内容特征**（`response` / `reasoning_content` /
   `finish_reason` / `prompt_tokens`），拿不到 event 名。

## ③ 余额恒为 0（同文件 balance.total_fn）

读的是 `p.credits_limit`（pack **顶层**）—— 该字段**根本不存在**。
真实路径是 `pack.entitlement_base_info.quota.credits_limit`
（参考 trae-credits.ts:341）+ `pack.usage.credits_amount`。
实测上游：`免费`(无该字段) / `每月登录赠送`(500) / `签到奖励`(100) ⇒ 实际 600。
修法：读嵌套路径 + 保留顶层兼容 + `usage_summary.{total,consumed}_amount` 兜底。
修后余额 600 → 实测 598.516（真实扣减）。

## ④ 夹具与生产形状不一致（internal/core/channels_trae_test.go）

夹具原先返回**扁平** `{"Token":...}`，与生产 `{"Result":{"Token":...}}` 不符
⇒ 「代码只读顶层」这个缺陷在夹具里**恰好是对的**，所有 trae 判据都绿。
**夹具形状错 = 判据必然虚假通过**。这是 ExchangeToken 缺陷藏了两轮的原因。

## 判据（新增，变异 4/4 咬住）
- `internal/provider/registry_pinned_name_test.go`（4 用例）
- `internal/core/channels_trae_chat_headers_test.go`（3 条）
- `internal/core/channels_trae_solo_sse_test.go`（2 条）
- `internal/core/channels_trae_credits_hdr_test.go`（1 条）
- `internal/core/channels_trae_exchange_shape_test.go`（2 条）

## 文档
`docs/channel-repair-plan.md`：现状快照（生产实测）+ 各渠道缺陷矩阵 +
后续计划（P0-P4）。**如实记录**：其余 4 个渠道（zcode/cline/gemini/qoder）
有同类缺陷风险，但**账号数均为 0、无法做生产验证**。

## 生产已实测
- `channels-trae-...:Doubao-Seed-2.1-Pro` → 80 帧，正文 27 + 推理 299
- `channels-trae-...:glm-5.2` / `channels-buddy-...:hy4-preview` → OK
- `credits/status` → active:true, dailyCredit:100, todayCheckedIn:true
- `credits/balances` → total:598.516 credits
 2026-10-17 17:38:23 +08:00
JianFeeeee
091f790734 feat(channels): reap_orphan_sources —— 清理 v2.0.28 事故留下的存量孤儿源 
## 发现路径：查"功能都正常了吗"，逐源核对时发现的
生产 `config.yaml` 里有 21 个源，其中 `channels-buddy-585b335b64cf`
的账号 `585b335b64cf` **早已删除**（v2.0.23/24 的无凭据账号清理），
但它的源**仍在对外服务**：

- 独占提供 `hy4-preview-x` ⇒ 实测报 `404 Route Not Found`；
- 对 **6 个共享模型**则排在新源**前面**先被尝试（config 文件序即注册序）
  ⇒ 每次都撞 404 再回退，**每次白付一次上游往返**（实测 hy4-preview
  稳定 3.1~3.5s）；
- 它的 base_url 还是 v2.0.30 之前的旧口径
  （`https://copilot.tencent.com/v2/chat/completions`，侵占了 endpoint 路径）。

**根因**：这正是 v2.0.28（`remove_source` 漏声明 ⇒ 撤源全被拒）日记里
那句"账号删了、它的源还在对外服务"的**存量残骸**。
v2.0.28 修了声明，**只防新增、不清理存量**。

**发现的一个助力**：v2.0.38 刚修好的错误文案让它暴露得更清楚 ——
客户端拿到的是 `404 Route Not Found`（APISIX 原文）而不是 `unknown error`。

## 修法
1. **立即清理**：走内核正式 API `DELETE /api/sources/<name>` 删掉该孤儿源
   （不手工改配置）。清理前备份配置，三重确认它确无对应账号。
2. **结构性修复**：新增 `reap_orphan_sources` 正式入口
   （`POST channels/reap_orphan_sources`，admin），识别
   `channels-<已知平台>-<账号id>` 且账号**不在**池中的源。

### 安全性（破坏性操作两条纪律，照 `reap_loopbacks` 先例）
- **只删该删的**：按**已知平台 id 前缀**逐个匹配。
  ⚠️ **不能用** `name:match("^channels%-(.+)-(.+)$")` —— Lua 的 `-` 是**贪婪**的，
  会把 `channels-buddy-buddy-main` 切成 plat="buddy-buddy"/acct="main"
  （账号 id 含 `-` 就错，而 `buddy-main` 就含）⇒ **孤儿漏杀**。
  运维手工配的源、旧版单账号源 `channels-<平台>` 一律不碰。
- **`dry_run` 默认开启**：不带 `dry_run=false` 只报告不删。

## 判据（`channels_orphan_source_test.go`，变异 2/2）
- 造出**真实形态**：`account_add` 建账号 → hidden 探针摘池（保留源），
  模拟"源留下"这个状态（不走 `account_delete`：那条路径会把源一并撤掉，
  而我们要的恰恰是它留下的形态）。
- 断言三件事：dry_run 只报告不删、真删后孤儿消失、**手工源全程存活**。
- **判别性用例**：第二个孤儿的账号 id 含 `-`（`dead-acct-1`）。
  这是唯一能区分"按已知平台前缀匹配"与"贪婪 match"的用例 ——
  实测不含 `-` 的 id 两种实现结果相同，**咬不住**（第一版就栽在这）。
- 变异：① `dry_run` 默认改 false ⇒ 报红；② 改回贪婪 match ⇒ 报红。

## ★ 过程中踩到的三个坑（都已记进代码注释）
1. **`Plugins.Call` 的参数是平铺的，不是 `req.body`** —— `bodyOf(req)` 返回空表，
   `dry_run=false` 被静默丢成默认 true ⇒ "真删"永远没发生。
   必须同时兜住两种调用形态（HTTP 路由走 body，插件 Call 平铺）。
2. **内核 `add_source` 取 `args["source"]`（嵌套一层）**，平铺字段被拒
   （"add_source requires a source table"）。
3. **`config.Model` 要求 models 是对象数组 `{id=...}`**，传字符串数组被拒。
4. **判据只查 Go 侧 `err` 会静默通过**：内核把失败放在**返回体**里，
   Go `err` 仍是 nil ⇒ "源根本没注册"看起来像"没有孤儿"。
 2026-10-17 08:34:21 +08:00
JianFeeeee
a189c4f61c fix(channels): zcode 适配器真正继承 anthropic 基座（此前 9 个函数只有 2 个） 
## 缺陷（潜伏，从未被触发）
`channels-zcode` 适配器的手法是把 `anthropic.lua` 源码读进来执行、只覆盖
`transform_request`（身份块注入），其余协议转换全部复用基座。

但那句读取写在**适配器内部**。实测：
- 适配器运行在**另一个沙箱 VM** —— 那里 `__llmsproxy_plugin_dir` 与
  `LLMSPROXY_PLUGIN_DIR` **都不存在**、**也没有文件系统访问**；
- ⇒ `loadAnthropic()` 必然返回 nil，**且静默降级**：适配器照常装载，
  但只有它自己定义的 **2** 个函数，缺
  `transform_response` / `transform_stream_chunk` / `serialize_*` /
  `deserialize_request` 共 **7** 个。

**后果**：内核 `Transform()` 对缺失函数**响亮报错**（不是静默透传）⇒
非流式在响应阶段 502，流式**逐帧**报错 ⇒ 该渠道**完全不可用**。

**为什么一直没暴露**：zcode 从来没有凭据（0 账号）⇒ 源未注册
⇒ 该路径从未被调用过。拿到账号的那一刻才会炸，且报错指向内核而非配置。

## 修法
基座源码改由**插件主体**读好并**内联**进适配器源码（插件 VM 有 io，
实测可读）。与 v2.0.35 buddy 适配器同一手法。

两处必须注意的坑：
1. **不能拼接后 gsub 替换**：gsub 的替换串里 `%` 有特殊含义（`%1` 是捕获
   引用），而适配器源码含 `%s`/`%d` 等格式化串 ⇒ 会破坏语法。
   改用 `find(ph, 1, true)` + `sub` 的纯字符串替换。
2. **占位符 token 不能在注释里出现字面量**（第一版就栽在这：gsub 先命中了
   解释它的那行注释，替换掉注释、代码里仍留着未定义全局）。
3. 顺带补上**插件主体缺失的 `plugin.adaptersDir()`** —— 原先这个函数只
   存在于 zcode 适配器源码**内部**，插件主体从来没有过。

## 判据
- `internal/core`（**真实路径**，会咬变异）：
  - `TestZcodeAdapterInjectsOfficialIdentityBlocks`
  - `TestZcodeAdapterKeepsAnthropicProtocolConversion`（工具调用 / 图像块存活）
  - `TestZcodeAdapterFailsLoudlyWithoutAnthropicBase` —— 语义已随设计更新：
    基座不可得现在应在**安装期**失败（新增 `adapters_dir` 测试缝隙把
    "基座缺失"从运行期逐帧炸变成安装期一条明确错误）
- `internal/lua/adapter_zcode_base_test.go`：验证源码模板 + 合并逻辑，
  **并如实标注边界** —— 它在测试里自己做替换，所以**不能**证明安装处内联了
  非空基座（实测：把 `asrc` 换成空串它不报红；那份由上面的 core 判据覆盖）。

**变异验证**：把安装处的 `asrc` 换成空基座 ⇒ core 三条判据全部报红；
用重构前的适配器源码 ⇒ `TestZcodeAdapterInheritsAnthropicBase` 报红（缺 7 个）。
 2026-10-17 00:01:00 +08:00
JianFeeeee
58073a6cbe refactor(channels): 纯常量收进 plugin.K，腾出顶层 local 余量（此前余量为 0） 
## 问题（实测）
`channels.lua` 的主 chunk **顶到 Lua 上限 200 个 local** ——
往文件顶部加**哪怕 1 个**顶层 local 就报：
  `main function has more than 200 local variables`
实测（LuaJIT 与 luac 5.4 一致，**响亮失败**，不是静默降级）。

后果不是"某个功能出错"，而是**整个渠道插件编译失败 ⇒ 全渠道不可用**。
换句话说：这个文件此前**一个顶层 local 都加不了**，任何后续改动都会立刻炸。

## 修法
把 20 个**纯常量**（字符串/数字/自闭合字面量）从裸 `local` 收进 `plugin.K` 表 ——
**挂表字段不占 local 槽位**。只搬常量，**函数一律保留 local**：
函数之间存在真实的调用顺序依赖（前向引用），搬迁风险与收益不成比例。

搬迁是纯机械的，且脚本带**长字符串保护**：替换时逐行跳过
`[===[ ... ]===]` 区间，绝不改动适配器源码文本
（本文件里那 7 段长字符串是适配器代码，误改会直接弄坏适配器）。

### 实测结果
| 指标 | 前 | 后 |
|---|---|---|
| 加 1 个顶层 local | ✗ 编译失败 | ✓ 通过 |
| 加 10 / 20 个 | ✗ | ✓ 通过 |
| 字节数 | 589195 | 590042 |

## 判据（2 条 + 变异 2/2）
- `TestChannelsLuaHasLocalHeadroom`：注入 1 与 10 个顶层 local 后**仍能编译**。
  为什么用 **luajit** 而不是 `luac`：内核链接 `libluajit-5.1.so.2`，
  而 luac（Lua 5.4）对同一文件给出**不同结论**，用错工具会得到假绿。
  为什么不"数一遍 local"：主 chunk 的 local 数受作用域嵌套影响，
  静态计数不可靠（同一文件被不同脚本数出 228/232/248 三个数）；
  而"能不能再加"是**决定性**的，也正是我们需要的性质。
- `TestChannelsConstantsLiveInPluginK`（配对）：抽样断言这些常量确实在
  `plugin.K` 内、且**没有**变回裸 local —— 否则余量会再次归零。
- 变异：用重构前的文件 → 报红；把常量改回裸 local → 报红。

## ★ 顺带更正两处我先前的错误说法（本轮实测推翻）
1. **不是静默失败**。我先前说"超出的 local 静默退化为全局" —— 错。
   LuaJIT 与 luac 都在第 201 个报**编译错误**。危险度远低于我所说。
2. **`adaptersDir` 为 nil 的真实原因不是"local 被顶掉"** ——
   它定义在 **`ZCODE_ADAPTER_SRC` 长字符串内部**（适配器源码文本），
   在**适配器沙箱**里执行，而那里没有 `__llmsproxy_plugin_dir`、没有文件系统。
   所以 zcode 的 `loadAnthropic` 必然返回 nil、BASE=nil
   （它自写了全部转换所以功能没问题，但"复用 anthropic、协议不漂移"的
   设计意图从未生效）。
   ⇒ **教训**：读 10000+ 行的 Lua 文件时，先扫出所有长字符串区间；
   落在里面的"函数定义"只是文本，不属于插件作用域。
 2026-10-16 21:49:12 +08:00
JianFeeeee
a5923b3797 fix(buddy): 新增内置 buddy 适配器（glm-5.1 的 reasoning_effort + 流式 Accept） 
## 真实缺陷 ①：glm-5.1 恒 400（用户报"这个模型不可用"）
上游回 `400 {"code":11150,"msg":"the reasoning effort value is not supported
by the current model"}`。探针逐字对照实验（body 完全由探针给定）：
  glm-5.1 裸（无该字段）             → 400 11150   ✗
  glm-5.1 + reasoning_effort:medium  → 200         ✓
  glm-5.1 空串                       → 400 11150   ✗
**任何非空档位都被接受**（low/medium/high/xhigh/max/minimal 逐个 200）；
而其余 15 个 buddy 模型裸跑全 200（多带该字段也无害）⇒ 这是 glm-5.1 **独有**要求。
参考 product.ts:237 声明它只有 `['medium']` 一档。

## 真实缺陷 ②：流式请求缺 Accept: text/event-stream → 空回复
不发该头时上游**接受请求（200）但只回一帧空内容**（completion_tokens=0、
finish_reason 直接 stop），既不报错也不产出正文 —— 表现是"模型不回答"，
极易误判成模型坏了或额度不足。同 body 加该头 → 39~43 帧正常 SSE。
参考 buddy-adapter.ts 的 send() 固定发它。

## 实现：内置 `buddy.lua`（不是插件自装）
**为什么不用插件自装适配器**（channels-zcode/qoder/cline 那条路）：
`channels.lua` 的**主 chunk 已 248 个 local**，Lua/LuaJIT 上限是 200 ——
超出的 local 会**静默退化为全局**（`luac -p` 通过，运行时才 `attempt to call
global 'x' (a nil value)`）。实测证据：`adaptersDir` 是第 208 个 ⇒ 调用点拿到 nil
⇒ `loadAnthropic` 静默返回 nil ⇒ **zcode 适配器从来没有基座**
（"复用 anthropic"的意图从未生效，只是它自写了全部转换所以能用）。
我第一版就是这么写的，结果适配器装不上（`adapter channels-buddy not loaded`），
且 `hy3`/`glm-5.3`/`kimi-k3-1` 全被打成空回复 —— 只有 `glm-5.2` 因多源兜底
"看起来正常"，症状再次指向错误方向。

⇒ 改走内置适配器（与 trae/sensenova/opencodezen 同性质，`deploy.sh` 自动同步），
`channels.lua` 只改**一行** `adapter = "buddy"`，不再触碰那个已贴上限的文件。

## ★ 排查中发现的沙箱事实（值得记）
**适配器运行在另一个沙箱 VM**：那里 `__llmsproxy_plugin_dir` 与
`LLMSPROXY_PLUGIN_DIR` **都不存在**（实测均为 nil），**也没有文件系统访问**。
故任何"在适配器里读兄弟适配器源码"的写法都拿不到基座且静默降级。
判据 `TestBuddyAdapterDefinesAllTransforms` 咬住这条。

## 顺带修：hy4-preview-x 从目录剔除
实测它对上游**恒回 11102**（`model service info not found`，加/不加
reasoning_effort 都一样 ⇒ 与 effort 无关，是后端未开放）。它被服务端 agents
引用，于是 `agentRef` 例外把它放回目录 ⇒ 用户选中必 400 而错误指向模型。
参考用**白名单重建**达到同样效果（其兜底表里没有它）。本仓加等价的精确黑名单
（只放实测确认的，不做猜测），并在两处兜底目录里一并剔除。

## 验证
buddy **15/15 模型全部可用**（含 glm-5.1），逐一实测无失败；
`hy4-preview-x` 已从源目录消失（16 → 15）。

## 判据（3 条 + 变异 2/2）
- `TestBuddyAdapterEffortAndHeaders`：glm-5.1 补 medium / hy3 不补 /
  调用方给的档位被尊重 / Accept 必须是 SSE + 身份头齐备
- `TestBuddyAdapterKeepsOpenAIWire`：协议转换与 openai 一致（只是补两个字段）
- `TestBuddyAdapterDefinesAllTransforms`：**四个转换函数都存在** ——
  咬"静默降级"而非"某模型能回话"（后者会被多源兜底掩盖，本会话已栽两次）
- 变异：删 stream_chunk / 不补 effort → 均报红

## 一起提交的其它独立缺陷（均在本次调查中发现）
- buddy 目录过滤（四类判据）与 hy4-preview-x 剔除
 2026-10-16 20:47:14 +08:00
JianFeeeee
91f6d1f32f fix(channels): 日志截断按字符（中文被切出 U+FFFD）+ 面板排版 
## 真实缺陷（v2.0.33 上线后在截图里看到）
日志尾显示成：`能力增强不�`
根因：`tostring(cerr):sub(1, 120)` —— **Lua 的 sub 按字节切**，而中文占 3 字节
⇒ 切在字符中间产生**替换字符 U+FFFD**。一句本来完整的诊断（"…能力增强不可用，
已退回兜底表"）看起来像**数据损坏**，实际只是截断方式错。

生产实测复现：该条 120 字节截断后，末尾正好落在"不"字的第 1 字节上，
python 侧解码得到 `…能力增强不\ufffd`。**修法**：`plugin.utf8Clip(s, maxBytes)`
先按字节切、再回退到最后一个完整 UTF-8 序列边界（最多退 2 字节）。
三处中文文案截断全部改用它。

## 判据（1 条静态 + 1 条行为 + 变异 1/1）
- `TestLogTruncationIsUTF8Safe`（静态）：助手存在 / 三处中文截断不再用裸 sub /
  未超长时原样返回 / 回退逻辑处理孤立首字节
- `TestUtf8ClipBehaviour`（**行为**，经 `plugin.__utf8_clip_probe` 走真实函数）：
  对 6 个长度断言 `utf8.ValidString(out)` 且不超字节上限。静态断言看不出
  "结果是否真的合法 UTF-8"，所以必须有这一条 —— 实测 n=120 从
  `…能力增强不�`（非法）变为 `…能力增强不`（合法）
- 变异：把 utf8Clip 换回裸 sub → 报红

## 排版抛光（截图里可见的三处）
- 头部控件原用 `<h2>` + flex，checkbox 被挤到换行且文字竖排 ⇒ 改 `<b>` +
  独立 flex 行 + `white-space:nowrap`
- 长诊断在窄卡片里被**截断**（而截断的尾巴正是最该看的部分）⇒ `word-break`
- 列表加 `line-height`，可读性

## 兼容性
历史 state 里的 41 条老条目没有 `level` 字段 —— 前端 `e.level || "info"`
已容忍，**不需要数据迁移**（判据亦未假设字段必然存在）。
 2026-10-16 17:44:04 +08:00
JianFeeeee
c1048dcd4e fix(channels): 运行日志加级别/归属/折叠，并从渠道详情移出（C+A） 
## 问题（生产实测，非猜测）
用户问「为什么 WebUI 默认显示插件全部日志」。用 CDP 打开真实 UI + 读
`/channels/status` 实测，发现是**三个问题叠加**，而表层症状是"看到的全是噪音"：

### ① 归属错误：全局日志渲染在「单个渠道详情」里
`plugin.state.log` 是**单一全局数组**（`logEvent` 写入的条目只有 `{at, msg}`，
**连 platform 字段都没有**），但这个 `<ul id="ch-log">` 的 DOM 位于
`#ch-detail`（点开某渠道才显示）⇒ 用户点开 buddy，看到的却是
trae/minimax/qoder 的日志混在一起，**无从区分**。

### ② 50 条里 48 条（96%）是周期任务噪音
实测分类：`已同步源…` 11×、`模型刷新失败…` 9×、`模型目录已刷新` 9×、
`能力元数据未刷新` 9×、`自动领取…` 9× —— **唯一模式只有 8 种**。
原因：`refresh_models`(2h) + `auto_claim`(2h) + `refresh_creds`(0.5h) 三个
`first_due_now` 任务每次跑写 3~5 条 ⇒ **约 2 小时就把 50 条环形缓冲冲满**，
于是真正的用户动作（如「账号删除」）被挤到看不见。

### ③ 无级别、无去重、无折叠 → 噪音与错误同权重并排

## 修法（用户选 C+A）
**C —— 修正归属**：把「运行日志」从 `#ch-detail` 移出，成为**常驻的独立卡片**
（`#ch-log-card`）。判据断言它与渠道详情是**兄弟节点**（div depth=0），
不是父子 —— 否则"点 buddy 看到 trae"会以另一种形式回来。

**A —— 加级别与过滤**：
- `logEvent(msg, level, platform)`：level ∈ info|task|warn|error。
  定时任务的**常规**结果记 `task`（前端默认折叠），只有异常升为 warn/error。
- **紧邻同文折叠**：与 `log[1]` 完全同文时不新增条目，只 `n=n+1` 并刷新时间。
  ⚠️ 只对**紧邻**条目折叠 —— 否则一条每小时出现的消息会不断"跳"到最前，
  时间线失去意义。前端显示成 `×N`，既保留"重复了多少次"又不刷屏。
- 三个视图开关：级别门槛（全部/警告及以上/仅错误）、显示例行任务、
  按当前选中渠道过滤（不带 platform 的跨平台汇总只在「全部渠道」出现）。
- `refresh_models` 的失败改为**逐平台各记一条**（原先 N 个挤成一条汇总，
  既不属于 trae 也不属于 minimax ⇒ 点进任何单渠道都看不到自己的问题）。

## 判据（3 条 + 变异 2/2）
- `TestChannelsLogEventCarriesLevelAndPlatform`：签名三参 / 条目带两字段 /
  紧邻折叠 / **折叠对象必须是 log[1]**
- `TestChannelsPeriodicTaskLogsAreDowngraded`：逐条咬住**具体调用点**被降级
  （而不是"存在 task 这个词"——那样一处就为真，测不出漏降级的噪音源）
- `TestChannelsLogPanelHasFilters`：日志卡片与渠道详情是**兄弟**（div depth=0）
- 变异：去掉折叠 / 把卡片放回详情内 → 均报红

## 顺带修好的环境事故（重要）
排查中全量测试突然大批失败（`loopback 未就绪（未取得端口）`）。我一度以为是
自己的改动，**`git stash` 后在干净版本上复现 → 预先存在**，继续追到根因：

**`/tmp/bisect.py`（另一个 agent 的临时脚本）遮蔽了 Python 标准库的 `bisect`**
—— 而 `tempfile` → `random` → `bisect`，于是**任何 `import tempfile` 都炸**，
回环接收器（python3）起不来。`sys.path` 含 `/tmp` 就是这个后果。
已移走（`/tmp/_shadowed-stdlib-conflicts/`，不删除以免打断那个 agent），
Python 与全部测试立刻恢复。

⇒ **教训**：临时脚本**绝不能**在 `/tmp` 下用 stdlib 模块名命名；
它会让全机 Python 静默失效，而症状（"回环未就绪"）与原因毫无关联。
 2026-10-16 17:19:46 +08:00
JianFeeeee
47fe759025 fix(channels): buddy 目录过滤不可调用模型（照参考 isChatModel 四类判据） 
## 真实缺陷
`/v3/config` 的 `data.models` 混着**不是对话模型**的条目，我们原样全收 ⇒
生产源里 24 个模型，其中 `nes-gf` / `codewise-completions` / `codewise-rewrite` /
`codewise-jump` / `codewise-default-model-v2` / `hunyuan-image-alpha` / `auto`
全部调不通（`glm-5.1` 也 404）。用户选中报错，而错误文案指向**模型**
⇒ 极易被误判成"这个模型坏了"。

参考实现（buddy.ts `isChatModel` / `isAutoSelectAlias`）逐条给出四类判据，
且都有实测依据；本轮逐条移植：
  ① 自动选择别名 `auto` / `default`
     ⚠️ **只按这两个字面量**过滤，不做前缀匹配 —— 前缀会误伤
     `default-model` / `fast-model`（国际版抽象别名，但被 craft agent 引用，
     是官方推荐入口）。参考注释专门警告过这点。
  ② 补全/NES 专用：前缀 `nes-` / `completion-` / `codewise-`，或 `supportsExtra`
     （参考实测 codewise-default-model-v2 → `code 11102 service info not found`）
  ③ `maxOutputTokens > 0 且 ≤ 256`（补全用途；对话模型普遍 ≥24000）
  ④ 带 `text-to-image` 标签（如 hunyuan-image-alpha）

⇒ 故 `models` 先建成 id→meta 映射（③④ 需要元数据），再逐条判定。
同时收 `data.agents[].models` 里**被 agent 引用**的清单并合并 —— 参考据此给
`agentReferenced` 打标（`hy4-preview-f` 只由本端点下发且被 agent 引用，
白名单式重建会把它丢掉）。

## 判据（1 条 + 变异 1/1）
`TestBuddyCatalogFilterDropsNonChatModels`：断言四类规则**都在**源码里
（"有人精简掉一条"就会把不可调用模型放回选择器），并**反向**断言
`default` 没被写成前缀匹配（那会误伤 `default-model`）。
变异：删掉 `nes-` 规则 → 报红。

## 说明
这是上一提交（v2.0.30）同一轮的第二个发现：v2.0.30 修掉 URL 拼接后，
buddy 通道**才真正可达**，于是"可达之后目录里哪些真能调"这件事第一次暴露出来。
两个缺陷是串联的 —— 不先修 URL，这个目录问题无法被观察到。
 2026-10-16 14:06:51 +08:00
JianFeeeee
d795266572 fix(channels): 8 个平台 base_url 侵占 endpoint 路径 ⇒ 上游 404 Route Not Found 
## 真实缺陷（用户可见）
内核的上游 URL 是 `base_url + endpoint`（provider.go ChatURL），而适配器默认
`endpoint = "/chat/completions"`。多个渠道平台把**完整路径**写进了 `base_url`
⇒ 实际请求变成
  https://copilot.tencent.com/v2/chat/completions/chat/completions
⇒ 上游回 `{"error_msg":"404 Route Not Found"}`（APISIX 的措辞，**不是**模型错误）。

受影响 8 个平台：buddy / cline / lobsterai / opencode / qoder / loomy / raccoon
（zcode 当时已用 `endpoint` 覆盖，形态正确）。
另有 loomy 的**第二处**错误：host 用了 `loomy.xunfei.cn`（Web 前端/OAuth 回调域），
实测该 host 的 /chat/completions 返回 **HTML 网页**；正确推理域是参考的
`loomyad.xunfei.cn/api/v1`（返回正常 JSON）。

## ★ 为什么这个缺陷活了很久（最重要的教训）
**模型名被多个源服务**。`deepseek-v4.1-flash` 同时由 4 个源提供
（alittokenplan/vela/oin/channels-buddy）⇒ buddy 源失败后网关**继续尝试下一个源**
并成功 ⇒ 用户看到"能回话" ⇒ "buddy 通道是好的"这个结论**完全没有证据**。
本轮我一度正是这么误判的。而 `hy3` **只由 buddy 一个源**提供 ⇒ 一调就暴露真因。

⇒ **判据必须断言源的结构不变量（URL 形态），不能靠"某个模型能调通"** ——
后者会被多源冗余掩盖。已按此写判据。

## 排查手法（可复用）
怀疑"某模型不可用"时，先列**该模型由几个源服务**：
  1 个 ⇒ 该模型是那条源的健康探针（用它测）
  >1 个 ⇒ 它调通**不能**证明任何单一源可用（换独有模型再测）
另：非流式请求会被 buddy 直接 400 拒绝
（`{"code":11101,"msg":"Non-stream chat request is currently not supported"}`），
我第一次用 stream=false 时四个模型全 400，**看不出**模型差异，差点把结论下成
"头组合无区别"就收工。

## 修法
`base_url` 只留 host（或协议公共前缀），路径移入该平台的 `endpoint`。
逐平台按参考的 `apiBase` + `chatPath` 取值核对，并**实测**修正后的 URL：
buddy/cline/lobsterai/qoder/raccoon → 401（缺凭据，正确）
loomy → 200 `{"code":"100002","desc":"缺少 token"}`（正确）
opencode → 500（路由存在；`https://opencode.ai/v1/...` 是 404+HTML，已证伪）
测试注入平台也一并对齐（免被当范例复制）。

## 判据（2 条 + 变异 2/2）
- `TestChannelSourceBaseURLHasNoChatPath`：静态扫描全部 `base_url`，不得含
  `/chat/completions` `/v1/messages` `/generateContent` `/api/chat`。
- `TestChannelBaseURLJudgeBitesOnBadInput`：用**故意坏数据**验证判据的判别力
  （防判据自己写歪成恒真）。
变异：把 buddy 恢复成旧形态 → 报红。

## 顺带修正
`TestUpstreamGapsAreDocumented` 原先钉死 qoder 的**整串 URL 字面量** ⇒
这次纯形态重构（语义未变）把它弄红了 —— **判据在咬自己**。改为断言
`base_url` 与 `endpoint` **两半**，语义不变但对形态重构免疫。
 2026-10-16 13:51:36 +08:00
JianFeeeee
a82ae2b60e fix(channels): 撤源失败的诊断必须带真正原因（不再只说"无返回"） 
## 我上一版（v2.0.28）自己引入的缺陷
内核桥的签名是 `call(name, args) -> (result, nil) | (nil, err)` ——
**失败时第一个返回值是 nil，原因在第二个返回值里**。
我写成 `local r = call(...)` 再读 `r.ok` ⇒ 恒为 nil ⇒ 日志只说
「撤源(重建)失败 channels-buddy-buddy-main: 无返回」。

**一句不可操作的诊断比没有更糟**：它把"权限没授予 / 超时 / 拒删最后一个源"
三种完全不同的原因（对应三种完全不同的处置）压成同一句空话。生产实测已复现
这条日志（部署时全量重同步，权限尚未授予）。

## 修法
两个撤源点都改成接**两个返回值**，日志带上内核给出的原文原因：
  `kernel action "remove_source" is not granted to plugin "channels";
   enable it in the plugin's kernel permissions`
并把"要授予哪个动作、声明在 plugin.kernel"一并写进提示。

## 判据收紧（旧判据咬不住这个变异）
原来只断言日志含"撤源失败"和"remove_source" —— **只接第一个返回值的版本照样通过**。
新增断言：日志必须含内核给的**真实原因**（`not granted`）。
这是本会话第 9 类判据教训：**判据只看"失败了"，不看"为什么失败"**，
于是它无法区分"诊断可用"与"诊断是空话"。
 2026-10-16 10:26:55 +08:00
JianFeeeee
2d2c27c430 fix(channels): remove_source 漏声明（删了账号源还在对外服务） 
## 真实缺陷（用户可见）
`plugin.kernel` 只声明了 5 个内核动作，而插件在 **5 处**调用 `remove_source`
—— 声明与使用**漂移**。生产按 declared 授予 ⇒ **撤源全部被拒**。

更坏的是它**静默**：`Core.AddSource` 是**同名 upsert**，所以 `syncAccountSource`
里"先 remove 再 add"的 remove 失败**看不出来**（add 会覆盖同名源）——
只有**纯删除路径**才暴露：
  • `dropAccountSource`（账号停用/删除）→ **账号删了，它的源还在对外服务**
  • `account_delete` 收尾清旧单账号源
  • 两处 `channels-<plat>` 旧源清理

我实测确认：只授 add_source 时删账号，其源**仍在**内核源列表里。

## 修法
① 声明补上 `remove_source`（并加注释说明"加动作时同时改这里"）。
② `dropAccountSource` / `syncAccountSource` 的撤源**不再忽略返回值**，
   失败**记进事件日志**（面板可见，附可操作提示）——
   "一个被丢弃的返回值"不该是权限缺失的唯一痕迹。
③ 判据 `TestChannelsDeclaresEveryKernelActionItCalls`：**静态扫描**源码里所有
   `__llmsproxy_kernel.call("X")`，要求每个 X 都在 `plugin.kernel` 里声明。
   将来任何人加了内核调用却忘了声明，会在这里报红，而不是等线上静默失效。

## 判据（3 条 + 变异 3/3）
- 授予 remove_source 时：删账号**确实撤掉源**
- 未授予时：**必须可见地失败**（事件日志含"撤源失败"）
- 声明必须覆盖全部实际调用
变异：忽略返回值 → 报红；漏声明 remove_source → 报红。

## 部署后需补的一次操作
生产权限集当前只有 add_source ⇒ 需授予 remove_source（否则既有账号的
"停用/删除"仍撤不掉源）。已在部署后手工授予，并复核 declared == granted。
 2026-10-16 10:04:13 +08:00
JianFeeeee
0f83fc048a fix(channels): 账号顺序的确定性 + reorder 真正改内核源顺序 
## ① 真实缺陷：同秒创建的账号，顺序**不确定**
`poolList` 的排序键是 `priority` 降序 + `createdAt` **升序**，而 `createdAt` 是
**秒级**（`os.time()`）⇒ 同一秒建的两个账号比较**相等** ⇒ 相等时 `table.sort`
的结果取决于 `pairs()` 遍历顺序 —— **不确定**。
实测：按 a,b,c 顺序建三个账号，`poolList` 回的是 `[a,c,b]`。

后果不只是"顺序看着乱"：**源注册顺序 = poolList 顺序 = 内核尝试顺序**
⇒ 同秒创建的账号里"先试哪个"是随机的（buddy 15 天窗口下影响先用谁的积分），
且可能每次进程重启都变。修法：加 **id 作稳定兜底键**（唯一且不变）。

## ② reorder 只改字段、不影响路由
`account_reorder` 只设 `acct.priority`，**不重注册源**。而一个源一旦注册，
顺序就固定了 ⇒ 重排对实际路由**毫无影响**（"优先账号"并不会先被试）。
修法：重排后按新顺序**整体重放一遍** `syncAccountSource`
（remove+add 会把源移到最后，故必须整体重放，只补被移动的那几个相对顺序仍不对）。

## 判据（2 条 + 变异 2/2）
internal/core/channels_reorder_effect_test.go
- reorder 必须真的改变**内核 list_sources 的顺序**（判据看内核里的真实顺序，
  不是 pool 里的 priority 字段）
- 同优先级 + 同秒创建时，顺序必须由**稳定键**(id)决定（字典序）

★ 两个判据第一版**都不咬变异**，原因各异，值得记下：
1. reorder 判据：初始顺序恰好**已是**目标顺序 ⇒ 无法区分"重排生效"与"本来就对"。
   改法：显式断言初始顺序、并让目标顺序与之**相反**。
2. 确定性判据：我直接断言 `account_add` 之后的顺序，而 `account_add` 是
   **直接同步自己那一个账号**（源顺序 = add 顺序），**走不到排序逻辑** ⇒
   测的其实是 add 顺序。另外**多轮 in-process 反复构造也测不出** ——
   `pairs()` 顺序在同一次进程里是稳定的，只有跨进程/跨分配才变。
   改法：走**批量重注册**路径（`__resync_sources_probe`）+ 显式把 priority 拉平
   构造"排序键完全相同"的场景，再断言字典序。

## 顺带修的判据自身问题
- `sourceOrder` 原来顺带调了 `__sync_source_probe`（内部 remove+add）⇒
  **"测之前先动了被测对象"**，顺序忽而两个忽而一个。改为**只读**。
- 探针取内核返回时按 `{sources:[...]}` 取，而 `actionListSources` 返回的是
  **裸数组** ⇒ 恒得空列表。
- 夹具漏授 `add_source` 内核权限 ⇒ 源一个都不出现（内核会明确拒绝，只是我
  没看返回值）。子测试才能拿到独立的 env 与目录（同函数内 `t.Setenv` 只生效一次）。
 2026-10-16 09:36:02 +08:00
JianFeeeee
1f29be43db feat(channels): credits_pool_reason —— 区分「真的用尽」与「查不到」 
## 为什么需要（参考同款修复，用户报障 2026-09-29）
把两者混成一句"额度都已用尽"会让**一次网络抖动伪装成钱花完了** —— 用户于是
去解锁永久积分、或白等到明天，而号里其实有钱。两者的**正确动作完全相反**：
  exhausted → 等额度重置
  unknown   → 稍后重试 / 查网络与凭据（**不要**动永久积分锁定）
  locked    → 可解锁永久积分（同样不是"用尽"）

我们此前**没有**这个出口：`credits_balances` 只报逐账号错误，调用方拿不到
"为什么整池不可用"的结论，只能自己猜。

## 实现
新增 `channels/credits/pool_reason`，返回 `reason` ∈
`no_accounts | unknown | usable | locked | exhausted` + 可读 detail。
判定优先级（顺序即语义）：
  no_accounts（无启用账号）
  → unknown（平台未声明余额端点 —— **无法判定 ≠ 用尽**）
  → usable（有可用账号）
  → unknown（**有查询失败** —— 不能当成用尽）
  → locked（锁定且只剩永久积分）
  → exhausted（都查到了且确为 0）

## 判据（6 条 + 变异 2/2）
internal/core/channels_pool_reason_test.go
- 余额确为 0 → exhausted
- 查询失败 → unknown（且说明必须点明"查询失败"）
- 无启用账号 → no_accounts
- 有钱 → usable
- 无余额端点 → unknown（不编造用尽）
- 锁定且只剩永久积分 → locked，且**解锁后同一份余额变 usable**
  （证明 locked ≠ exhausted）
变异：查询失败也报 exhausted → 报红；locked 混同 exhausted → 报红。

## 踩到的坑（都是我的判据/夹具问题，非实现）
① 夹具用扁平 `{"total":100}`，而 buddy 的余额是**深层嵌套**
   `data.Response.Data.Accounts[]`（每包含 Status/CycleCapacityRemain/
   DeductionEndTime）—— 夹具形状不对导致全部走 unknown。
② `addAccount` 写死 platform="buddy"，于是"无余额端点"那条用例在 minimax 上
   其实没有账号，命中优先级更高的 no_accounts（**正确**行为）却被判成错。
   加 `addAccountOn(platform, id)` 修正。
③ Lua 里嵌套引号：`"（...不是"额度用尽"）"` 语法错 ⇒ 改用中文引号「」。
 2026-10-16 09:00:47 +08:00
JianFeeeee
8109acf7cd feat(trae): batch 模型目录（含参考记录的两个真实缺陷修复 + 元数据） 
我们此前 trae 的模型列表是**纯硬编码**（32 项名字），既没有真实元数据，也没打
batch 端点。参考的 parseTraeBatchModelList 记录了**两个已修的缺陷**，移植时
必须一起带上，否则等于把 bug 再引进一遍：

## ① 通道白名单是「准入」而不只是「排序」（issue IKJOZ7）
22 个 function 里有一半在本插件推理端点下**不可调用**（实测 chat→4023
model unknown、builder→4001、inline_chat→3003）。只把白名单用于"同模型择优"
的旧写法 = "目录声明什么就发什么" ⇒ 用户选中那些模型必然失败，而错误文案
指向**模型**，极易被误判成"这个模型坏了"。现在不在表内的通道**整组丢弃**。

## ② 空档位不得覆盖有档位（issue IKI7WT/IKILR7）
旧实现无条件"后面的覆盖前面的"，其假设（后面的配置更全）与真实数据**相反**
—— 上游把空档位的 solo_work_lite/solo_design_remote 排在**最后**，实测 13 个
模型因此丢掉 reasoning_effort_config、全部显示"未提供推理等级"。
合并规则（与参考逐条对齐）：空档位不得覆盖有档位；两侧都有档位时按通道优先级
取更靠前者；其余保持"后覆盖前"。

## ③ is_custom_model 是「仅可见但不可调用」的权威判据
该标志为 true 的条目被上游以流内 event:error + 4001 拒绝。
⚠ 判据是**标志的值**，不是模型名 —— 参考点名这个标志随服务端下发变化，
曾据名字把 qwen3.8-flash 误记为应剔除（它其实正常可用）。

## 附带：远端目录**元数据**不再丢
原来目录只回 id ⇒ 参考能提供的上下文窗口/输出上限/思考档位/消耗倍率全丢。
现按参考存下完整条目并在 model_list 以 `remote` 字段报出。
⚠ contextWindow 取 `context_window_tokens.dev` 而非 `max`：max 需开启
display_config.max_mode 才可用（我们不实现该开关），采信 max 会让上层以为有
1M 窗口、实际被上游拒。

## 基础设施
- refreshRemoteModels 支持 ep.body（POST 型目录端点）与 ep.sign（复用平台既有
  的头部构造，不另写一套 —— 否则"chat 能通、目录 401"极难查）。
- trae 走 sign="trae_solo" 复用 traeCheckinHeaders（Cloud-IDE-JWT + 约 20 个
  客户端头；参考实测简化头会被拒）。
- 新增 __trae_entry_probe（诊断"合并规则选中了哪条"），此前只能靠猜。

## 判据（3 条 + 变异 3/3）
internal/core/channels_trae_catalog_test.go
- 白名单准入 + 档位来源（空档位不得覆盖有档位）
- 四条硬性过滤（usage/config_switch/is_invisible_to_user/is_custom_model）
  且 **is_custom_model=false 的 custom_model_* 条目必须保留**（判据是标志值）
- 请求体必须传全部 22 个 function（与真实 IDE 一致；只传聊天通道会让非聊天
  通道条目位置错乱甚至被跳过）
变异：白名单不做准入 → 报红；无条件后覆盖前 → 报红；不过滤 custom → 报红。

★ 调试中发现并修掉我自己写的一个**静默失效**：
`declaresEffort` 读 `e.reasoning_effort_config` 而 `parseEntry` 存的是
`e.reasoning` ⇒ 判定恒为 false ⇒ 规则①永不生效（正是它要防的缺陷）。
判据当场抓到。**教训：跨函数用同一份数据时，字段名必须对齐 —— 这类不一致
不会报错，只会让规则静默失效。**

验证：internal/core 369s 全绿。
 2026-10-16 08:28:36 +08:00
JianFeeeee
7c82c7ff6b fix(channels): account_clear_credentialless 尊重 dry_run（args=req 回退吃掉 body） 
## 真实缺陷（我自己在上一个提交里引入，部署后实测踩到）
handler 开头照其它 18 处写了 `if args.platform == nil then args = req end`。
但本函数**不传 platform 是合法用法**（清全部平台）⇒ args.platform 自然为 nil
⇒ args 被换成 HandlerRequest ⇒ 刚解出来的 dry_run 就丢了 ⇒
**传 dry_run=false 却被当成未传，静默只预演**。

破坏性操作里这是最糟的形态：操作者以为执行了、实际没执行（反过来同样危险）。
实测：不带 platform 时 deleted 恒为 nil，池子一个没动。

## 修法
兜底只认「req 本身就是参数表」这种形态（`req.body == nil and req.query == nil`），
不再用「某字段为 nil」当判据 —— 那个字段为 nil 可能只是本次调用**合法地没用它**。

## ★ 判据为什么第一版没咬住
我原来的夹具用 **map body** 调 Call，而缺陷只在**字符串 body**（HTTP 真实路径）
上暴露 —— `bodyOf` 对 table 直接返回，根本走不到回退那行。
补 `TestAccountClearCredentiallessRespectsDryRunViaStringBody`（用
`InvokeHandler` + 字符串 body + 不传 platform）后变异才咬住。
**教训：夹具的调用形态必须与生产一致 —— 用 map 便捷调用会绕过 body 解析路径。**

判据 4 条（含本条）+ 变异 3/3。
 2026-10-16 07:51:21 +08:00
JianFeeeee
1f18643d1f feat(channels): 无凭据账号的批量清理能力（dry_run 默认开启） 
## 为什么需要
`account_add` 允许**不带凭据**创建账号（设计如此："未带凭据的等 login 完成"），
于是"先建占位、再走登录补齐"是正常用法。但登录没走完时（用户放弃、或历史批量
导入）会留下**只有元数据、永远不可用**的账号：它们占着 provider 的账号计数
（面板显示"10 个账号"却全不可用），让"这个平台到底能不能用"难以判断。

实测生产：13 个账号里只有 1 个真正可用 —— codearts 10 个 + trae 2 个全是占位
（同秒批量创建、nickname=id、凭据库里无对应条目）。

## 安全性（破坏性操作，两条性质都被变异验证钉住）
① **只删没有凭据的**：有凭据的一律不动（哪怕它测试失败 —— 那是"可疑"而非
   "空壳"，处置完全不同）；
② **dry_run 默认开启**：不显式传 dry_run=false 就只回报会删哪些，不真删；
③ 复用 `plugin.account_delete`（同一份删除实现）—— 删除时要顺带做的事
   （drop source、清旧单账号源、删凭据）不另写一套，否则必然漂移。

## ★ 踩到 Lua 顶层 local 上限（第 13 次同类）
helper 写成顶层 `local function accountHasCredential` 后 `luac -p` 直接报
`too many local variables (limit is 200)`。改为挂在 plugin 表上（`plugin.__hasCredential`）
—— 同样只有一份实现，且不占顶层名额。**每次给本文件加顶层 local 前必须 luac -p。**

## 判据（3 条 + 变异 2/2）
internal/core/channels_clear_credentialless_test.go
- 只删空壳、保留有凭据的，且**有凭据者的凭据必须仍在**（防误删）
- 指定 platform 时范围隔离（不动别的平台）
- 未知平台必须报错（否则会误删全部平台）
变异：无条件全删 → 报红；dry_run 默认改 false → 报红。
 2026-10-16 07:45:52 +08:00
JianFeeeee
e6fa2a678f feat(zcode): 3012 判据/文案/诊断模块（照参考逐行移植，含对抗性审计反例） 
照参考 zcode-diagnostics.ts 移植，作为**两处消费者共用的一份源码文本**：
① 插件主体（领取路径 claimZcode）；② channels-zcode 适配器（推理路径）。
共用是必须的：3012 有**账号冷却惩罚**（30 分钟起步，反复触发升级到 24 小时乃至
停用），"请勿连续重试"这句话绝不能只在一条路径上（参考为此专门抽成单一份）。

## 为什么这次移植的不是"锦上添花"
我们原来的领取路径是 `code == 3012 or msg:find("unusual activity")`，而参考用
**对抗性审计**打出了两个方向的真实缺陷（2026-10-05，实测记录在源码注释里）：

**误判方向**（把限流当风控）：两者用户动作**完全相反**（稍后重试 vs 别重试），
且领取路径据此**短路**、跳过本可领取的 plan。实测反例：
  `too many requests, retry after 3012 ms`        ← 毫秒数被当风控
  `<h1>Error 3012</h1>upstream connect timeout`   ← HTML 里的数字
  `rate limited: request blocked, retry after 3012 ms`  ← block 距 14 字符
  `temporarily blocked; see error 3012`                 ← block 距 12 字符
  `plan-3012-trust` / `trust_3012` / `x3012y` / `13012` ← 标识符形态

**漏判方向**（真风控被放过）：上游 3012 的 msg 原文
`request has been blocked due to unusual activity.` **不含任何数字**（数字在 code
字段里）⇒ "必须有独立词 3012"这条门禁会反过来把它漏掉。

⇒ 判据以**语义短语**为主、数字只作兜底且必须与 block **紧邻（≤10 字符）**；
词边界集必须含 `-`/`_`（参考两版才收全：先只排数字 ⇒ plan-3012 仍命中；
再补字母 ⇒ 仍命中，因连字符不属 [0-9A-Za-z]）。
另：业务码认**纯数字字符串**（上游回 {"code":"3012"} 时，只认 number 会让风控码
整条丢失 ⇒ 用户看到那句裸上游串）。

## 一并移植的其它实测教训
- `formatGap`：分钟档必须**逐档单独算**。参考初版写 `floor(seconds % 60)`，
  90 秒被渲染成「30分30秒」（分位取的是**秒的余数**）——该错误是在真实探针
  输出里发现的，纯函数单测当时没覆盖 ≥60 秒区间。
- 诊断的「距上条」必须用**单独存的 previousSentAt**，不能拿 lastSentAt 顶替
  （调用顺序是"先记本次、再诊断"，顶替会让它恒为 0ms、永远没有信息量）。
- 形态诊断必须读**真正要发出去的那个对象**，不读常量：常量只能证明"源码里写了
  多少字"，证明不了"线上发出去多少字"；空 system 时必须**如实显示 0**。
- 诊断行**绝不写凭据**：账号只以进程内自增序号出现。

## ★ 接线上的一个真实 bug（我自己引入并自查出来）
`installZcodeAdapter` 最初把 DIAG 源码直接 `.. ZCODE_ADAPTER_SRC` 拼接 ——
而 DIAG 末尾是 `return Z`，直接拼会让那个 return 结束**整个 chunk** ⇒ 适配器
代码永不执行，且**装载会静默成功**（"加载成功但适配器不存在"）。
修法：包进 `(function() ... end)()` 让 return 只结束该函数。

## 判据
`internal/core/channels_zcode_3012_test.go`（走共用探针打**那一份**实现）：
- 19 条分类矩阵（含上列全部审计反例）
- formatGap 逐档（含 90000ms 必为「1分30秒」）
- 诊断行凭据泄漏守卫（账号 id 的每个 ≥4 字符子串都不得出现）
- 文案共用 + 必含「请勿连续重试」+ 空参不留空壳
- 形态诊断读实际对象（空 system 必须显示 0）

★ 变异 2/2 咬住。其中分类矩阵**第一版没咬住** —— 因为"紧邻检查"独立挡住了
那些用例，从未**隔离**词边界规则；补 5 个"block 紧邻但 3012 在标识符里"的
用例后才有效。教训：**必须有一组用例只被被测规则区分**，否则别的守卫会把它
的失效掩盖掉（本轮第 4 次"判据太弱"）。

验证：internal/core 351s 全绿。
 2026-10-16 01:38:34 +08:00
JianFeeeee
b871c0c713 fix(zcode): 日期块对齐参考的两条规则（幂等 + 只看第一条），修 off-by-one 
通读参考 zcode-identity.ts 的 withContextPrefix 后发现我的实现漏了两条官方行为，
且其中一条藏着真实 bug：

## ① ★ 幂等判断 off-by-one（真 bug）
`"<system-reminder>"` 是 **17** 个字符，而我写的是 `c:sub(1, 16) == SR`
—— 判断**永远为假** ⇒ 幂等完全失效：同一请求重试/多次 transform 时日期块
会叠加成多层，改变 content 的前缀结构（上游检查的正是这个结构）。
修法：用 `#SR` 算长度，不写死数字。

## ② 只看**第一条**消息，且它必须 role == "user"
我原来实现成「往后扫第一个 user 消息」。官方行为是：只处理 `messages[0]`，
且若它不是 user 就**完全不动** —— 不是去找后面那条 user。已对齐。

## ③ 其它类型兜底
参考对非字符串/非数组的 content 也会置为 `[prefix]`，照做。

判据 2 条（新增）：
- TestZcodeContextPrefixIsIdempotent     已含日期块时不重复插
- TestZcodeContextPrefixOnlyTouchesFirstMessage  首条非 user 时不动、首条 user 时插入
变异 2/2 咬住：把 #SR 改回写死的 16 → 报红；去掉幂等判断 → 报红。

★ 我自己在写这条判据时又犯了一个错并当场自查出来：断言「文本 content 应保持
字符串」，而 anthropic 基座把文本转成块数组是**正常**的协议转换行为 —— 差点把
正确的实现判成错。判据要验的是「**日期块**有没有被插进来」这个事实，不是
content 的容器类型。

验证：internal/core 335s + internal/gateway 207s 全绿。
 2026-10-16 01:13:11 +08:00
JianFeeeee
8b318a8507 feat(zcode): 身份块适配器 + 修复调度器泄漏 + codearts 目录 + 备份裁剪泛化 
## 1. ★ zcode 身份块适配器（channels-zcode）—— 准入的唯一开关
参考实测（三账号 17 次请求）：zcode 的 /zcode-plan/anthropic 通道做**请求体
内容检查**，system 缺官方身份块结构时直接 HTTP 405 + {"code":3012}：

    无 system                        → 3012 ✗
    仅 cliPrefix（42 字符）           → 3012 ✗
    cliPrefix + stable（约 2898 字符）→ 200  ✓

⇒ 判据是「身份块结构是否存在」，与 HTTP 头、版本号、频率、多轮历史、tools
声明、运行时全部无关。我们此前用通用 anthropic 适配器 ⇒ **即使拿到 zcode
账号也必然被拒**（现在 0 账号，但这是能不能用起来的前提）。

实现：插件自装 channels-zcode —— 读内核 anthropic.lua 执行取基座，**只覆盖
transform_request** 注入身份块（协议转换始终与 anthropic 那一份一致，不漂移）：
  block[1] cliPrefix(42) / block[2] stable(2852) / block[3] Environment 段
  / block[4] 调用方 system（**必须追加在最后**：上游看的是前缀结构）
  只给最后一块打 cache_control（Anthropic 上限 4 断点，逐块打会占满预算）
  日期块插入首条 user 的 content **数组**最前（拼进字符串会改变结构）
文本与参考**逐字节一致**（已核对：42 + 2856 = 2898）。
★ 基座读不到时**响亮失败**，不静默退化 —— 否则会产出"身份块看着对、工具/图像
全没转换"的请求，上游可能 200 但模型拿不到工具定义，症状是"模型变笨了"，
与准入毫不相干、排查完全跑偏。

判据 4 条 + 变异 2/2：不注入 → 报红；截断到 100 字符 → 报红。
另加"协议转换不退化"判据（工具 input_schema / 图像块存活）。

## 2. ★★ 同一缺陷家族第 3 个实例：Close() 不停调度器
修完 on_unload 后全量回归 internal/lua **600s 超时**，goroutine 快照显示
**69 个卡在 stateSaver.loop 与 PluginRuntime.loop**。
根因：Runtime.Stop() **只在单插件 Unload 里调**，Close() 不调 ⇒ 每个插件的
调度循环在"进程关闭/测试结束"路径上永不停止。与 on_unload 完全同一形状。
修法：Close() 新增 stopSchedulersAll()，顺序 = 停调度 → 落盘 → on_unload
（调度器必须停在落盘之前，否则它写一个已收尾的 state）。
★ 顺带：Stop() 不幂等（裸 close 会 panic: close of closed channel），
两处都调之后可达 —— 用 sync.Once 加固。给函数加第二个调用点前先查幂等性。
实测 internal/lua 从 600s 超时 → 62s 通过。

## 3. codearts 模型目录：补两个**必须 AK/SK 签名**的端点
codearts 有 10 个账号但目录里只有硬编码 1 个模型。参考打两个端点：
  ① opengw.../gateway/config  → result.models（benefit）
  ② snap-access.../v1/model/builtin → builtinModels（常规）
而 refreshRemoteModels **只支持 Bearer** ⇒ 这两端点从来没被打过。
已加 ep.sign="codearts" 分支 + 两个解析形态 + opengw host 白名单。
判据：两端点各自真实命中 + 每请求带 SDK-HMAC-SHA256 头 + **合并**（非取其一）。

## 4. TRAE PKCE 候选来源补齐（3 → 5）
参考 authCodeCandidates 有 5 个来源，我们只有 3（漏了 authCodeInfo 为 JSON 的
authCode 字段、以及**纯字符串**形态）。★ 且不能写成 `a or b or c` 链 ——
jsonField 取不到时返回**空串**，Lua 里空串是真值，链会在第一个空串处短路。
判据 5 个参数化用例 + 变异 2/2 咬住（正是 or 链取不到的两个形态）。

## 5. ★ 部署脚本：备份裁剪只修了一半（"两处只修一处"再现）
prune_adapter_backups 有完整实现（含数量硬上限），但**只针对 adapters.bak**；
sync_plugins 同样每次建 plugins.bak.* —— 修了 adapters 的堆积、plugins 继续涨。
实测线上 plugins.bak **36 个**、/etc/llmsproxy 192M。
泛化为 prune_backups <prefix> + prune_all_backups（两个前缀都裁），加空前缀守卫。
判据不止逐字检查，而是**扫描脚本里所有 .bak.$(date) 创建点**，要求每个前缀都在
裁剪范围内 —— 将来新增第三种备份目录会立刻报红，而不是等它涨到几百兆。
变异 2/2 咬住（只裁 adapters / 去掉守卫）。

## 6. 上游客观缺口钉成可执行判据（TestUpstreamGapsAreDocumented）
qoder 加密端点需 .wasm（**参考仓库里也不存在**）、TRAE PKCE 参考**明确不支持**、
zcode 滑块需真实浏览器交互。写成判据：任何人（包括未来的我）想"补"这些能力，
必须先让判据失败 —— 即先推翻事实再动手。防的正是我前两轮的反复误判。

清理：channels-buddy.lua（0 字节历史遗留，每次启动报 must return a table）。
 2026-10-16 00:56:14 +08:00
JianFeeeee
69da3c9b92 fix(kernel): Close() 从不调 on_unload —— 孤儿进程与回调文件泄漏 
## 症状
本机积累 **995 个 llmsproxy-loopback.py 进程**（828 个超 24 小时），全是
/tmp/Test*/ 与 .build-work/Test*/ 下的测试残留；生产 /etc/llmsproxy/plugins/
另有 **18 个孤儿 callback-*.port**（对应 .json 早已消失），且永远清不掉。

## 真因（两层）
1. **回环回收本是惰性的**：reapLoopback 只在**会话过期**时被 sweepSessions
   触发。测试跑完直接退出 ⇒ 会话从未「过期」⇒ 进程常驻。生产会话真会过期，
   所以生产不漏进程 —— 但见第 2 条。
2. **★ 根因在内核**：Plugins.Close() 只关 shard 与 saver，**从不调用
   on_unload** —— 而 on_unload 只在**单插件 Unload** 时调。于是「进程关闭/
   测试结束」这条路径上，起了 OS 进程的插件永远收不了尾。插件的
   plugin.on_unload（回收浏览器栈 + 回环）写得完全正确，只是从不被调用。
   这是「两处只修一处」缺陷的又一例：Unload 有、Close 没有。

## 修法
- 抽 invokeOnUnload(p, name) 助手，**Unload 与 Close 共用同一份实现**
  （两处各写一遍必然漂移，本次缺陷形状正是如此）；Close() 新增
  callOnUnloadAll()。
- ★ 顺序：shards.Shutdown() → save.Close()（落盘）→ callOnUnloadAll()。
  落盘必须在前 —— saver 的最终写入要读插件的 Lua 表，on_unload 之后 state
  已关，读到的就是空，最后一个区间的累积静默丢失（TestCloseFlushesTail 正是
  为守住这一点而存在）。我第一版把顺序写反，被该测试当场咬住。
- channels：启动清扫上一进程留下的孤儿 callback-*.port/.json。loopbacks
  追踪表只活在内存，进程被强杀时 on_unload 没机会跑，重启后内存表为空 ⇒
  reapLoopback 无从知晓 ⇒ 那 18 个文件永久残留。
- channels：补 reap_loopbacks 端点（生产运维也可用：不必等会话过期）。
- channels：__set_loopback_probe 从**覆盖**改为**合并**条目 —— 覆盖会丢掉
  真实会话的 pid/port_file，让 reapLoopback 杀不掉接收器，**探针自己成为
  泄漏源**（实测：其他测试已归零，只有它留 1 个孤儿）。

## 判据（均做变异验证）
- internal/lua/plugin_unload_on_close_test.go
    TestPluginsCloseCallsOnUnload      看真实外部效应（插件在 on_unload 写磁盘
                                       marker），而非「钩子被调用过」这类内部信号
    TestPluginsCloseSurvivesFailingOnUnload  best-effort 契约
- internal/core/channels_orphan_callback_test.go
    TestPluginLoadSweepsOrphanCallbackFiles  看目录真实状态：孤儿必须消失，
                                       非回调文件（.channels-store.json）不得误删
- 变异均咬住：注释掉 callOnUnloadAll → 报红；清扫改 no-op → 报红。

## 实测
修复前跑一次起会话的测试批次留 7×N 个残留进程 → 修复后 **0 个**；全量回归
（go test -tags luajit ./... 10 包）后回环/VNC 残留均为 0。

## 过程中自查出的两处疏漏（已修）
1. 判据顺序又写反一次（同上 TestCloseFlushesTail 咬住）。
2. **两枚变异残渣留在工作区**未还原：internal/gateway/discover.go 里
   `add(raw, "/models", 0)` 被删、`classifyAuthStatus` 的 `|| len(body) >= 0`
   恒真注入。已 git checkout 还原。教训：变异测试必须逐次收尾，别靠记忆。
 2026-10-15 22:43:08 +08:00
JianFeeeee
1be34557dd fix(trae): 登录失败真因 —— 虚构的「授权码交换」+ 空 client_id 
用户报「TRAE 登录后显示失败」。定位到三处偏差，其中一处是核心缺陷：

① ★ **虚构了一次不存在的「授权码交换」**（核心）
   poll_login 的 trae 分支自己发明了一段逻辑：回调只带 code 时，拿
   exchange_body 去打 ExchangeToken。但：
     · ExchangeToken 的签名是 RefreshToken，不是 code；
     · exchange_body 里根本没有 {code} 占位符，那次替换是空操作；
     · client_id 当时是空串。
   于是稳定 400，日志回一句误导性的「Trae 授权码交换失败: 400」——
   把真因「上游走了 PKCE 流程」掩盖成「交换出错了」，排查方向完全错。

   按参考实现（trae-oauth.ts parseTraeCallbackDetailed）修正：带 code 的
   回调是**合法回调**，只是不支持的 PKCE 分支，必须明确报出来。
   删除虚构交换，两条路径共用 traeCallback 内建的 PKCE 判定。

② client_id 从空串改为实测真值 en1oxy7wnw8j9n（对齐参考 trae-product.ts
   的 clientId；ExchangeToken 请求体里 ClientID 必填，留空稳定 400）。

③ 两条路径（oauth_callback / poll_login）现在共用同一结论，不再漂移 ——
   这正是缺陷能藏住的原因：修复只覆盖一条、另一条继续错。

测试支撑：
- 新增 __set_loopback_probe（注入 loopback 回调文件），否则无法驱动
  poll_login 的 callback 分支（那才是真实登录走的路径）。
- 判据 4 条，全部做变异验证：
    TestTraePkceCallbackIsReportedNotExchanged  打 poll_login，断言没打 ExchangeToken 且点名 PKCE
    TestTraeExchangeSendsRealClientID           token 直传真调交换，请求体形状正确
    TestTraeClientIDIsNotBlank                  client_id 必须是实测真值
    TestTraeCallbackPathsAgreeOnPkce            两条路径必须共用 traeCallback
- 变异 2/2 咬住：client_id 改回空串 → 报红；虚构交换加回去 → 「实际打了 1 次
  ExchangeToken」。

★ 我在过程中自己犯的两个错（均由变异测试揭穿，已修正）：
1. **判据打错了路径** —— 第一版打 oauth_callback（那条一直是对的），注入缺陷后
   判据**仍绿**。改成打 poll_login 才咬住。教训：判据必须打**真实被使用的那条
   路径**，否则等于没测。
2. **判据写错了契约** —— poll_login 用 HTTP 200 + json.state 表达终态，我按
   status != 200 断言，把正确的实现判成了错。

回归：go test -tags luajit ./... 10 包全绿。
 2026-10-15 22:04:01 +08:00
JianFeeeee
68446fb6fe fix(vnc): noVNC 的 path 必须用相对名，否则 WebSocket 路径重复拼接 
真实缺陷（白屏真因之一）：view_url 里传了**站点根路径**作为 noVNC 的
path 参数：

  .../proxy/<id>/vnc.html?path=api%2Fplugins%2Fhttp%2Fchannels%2Fbrowser%2Fproxy%2F<id>%2Fwebsockify

但 noVNC 用 `new URL(path, location.href)` 解析它（app/ui.js 的 connect()），
即**相对 vnc.html 所在目录**解析，默认值就是相对名 "websockify"。传根路径
会被当相对路径 ⇒ 实际请求变成路径重复拼接：

  .../proxy/<id>/api/plugins/http/channels/browser/proxy/<id>/websockify

于是 WebSocket 永远连不上，noVNC 显示连接失败，页面看似白屏。

修法：只传相对名 path=websockify，与 noVNC 默认值一致。

★ 判据：必须解析**产品自己给出的 URL**（而不是测试里手拼）。我上一轮验证时
手拼 URL 并省掉了 path 参数（默认值恰好正确）⇒ 掩盖了这个真实缺陷。
新判据断言：path 存在、不以 / 开头、且 ResolveReference 后等于同级 websockify。
 2026-10-15 20:30:33 +08:00
JianFeeeee
7a8d97001c feat(插件代理): 同源反向代理 —— VNC 不再暴露额外端口 
问题：登录返回的 view_url 是 http://127.0.0.1:60100/vnc.html，WebUI 直接把它
嵌进 iframe。远程运维打开必白屏 —— 127.0.0.1 在客户端指向客户端自己，且
websockify/x11vnc 只绑回环，换服务器 IP 也连不上（实测 LAN IP 访问 000）。

★ 教训：只验证"服务端截图有画面"就宣布 VNC 可用是不充分的。四层链路里
①X 渲染 ②noVNC 客户端渲染 一直是好的，白屏真因在第④层「客户端如何拿到地址」。

内核新增通用「插件前缀代理」能力（不是为 channels 写的专用反向代理）：
- plugin.http 支持 prefix = true：声明前缀路由，承接所有子路径
- handler 返回 { proxy = "http://127.0.0.1:PORT" }，内核每次请求都问一遍
  ⇒ 会话停止/过期后插件不再给目标，旧地址自然失效（撤销点唯一）
- 鉴权与角色门禁复用现有链路，无旁路
- statusRecorder 增加 Unwrap()，让 Hijack 穿透访问日志中间件（否则 WebSocket 升级失败）
- 目标只允许带显式端口的**字面回环 IP**（用户拍板方案 A）：拒绝 https、localhost
  主机名、无端口、带 userinfo/path/query；理由是主机名可能被 hosts/DNS 改写
- 拒绝跨站 Origin（WebSocket 带环境 Cookie，否则第三方网页可借管理员会话开隧道）
- 不向插件后端转发 Authorization/Cookie/api_key

channels 接入：
- 新增 channels/browser/proxy/:session（prefix=true）
- 会话代号 = seq-随机8位，防猜到活跃会话
- view_url 改为网关同源路径，noVNC 的 WebSocket 走同前缀 /websockify
- 会话过期即回收浏览器栈并返回 404

判据（每条咬真实外部效应）：
- 静态资源转发
- 真实 HTTP 101 升级 + 双向数据回传（只断言静态转发不够 —— 升级是白屏真考点）
- 网关凭据不泄漏（在服务端断言请求头）
- 非法目标全拒（公网/localhost/https/无端口/带 path、query、userinfo）
- 跨站 Origin 403
- 未鉴权 401、过期会话 404、非子路径 404

回归：go test -tags luajit ./... 9 包全绿
 2026-10-15 14:57:13 +08:00
JianFeeeee
eaac0ef6b3 修复用量总计与渠道账本统计 2026-10-15 12:43:11 +08:00
JianFeeeee
226493b5ae fix(部署+插件): VNC 兜底登录**真正可用** —— 放开浏览器栈不需要的加固 + 修 3 个插件缺陷 
用户原话：「全部放开，插件不让用这些还叫插件吗」。方向是对的：插件架构的边界
应当是**内核暴露给插件的 API 权限**，而不是一层把插件自己的浏览器栈也关在门外的
进程级 syscall 过滤器。

## ★ 白屏的根因（本次花了大量时间，记录完整线索链）

同一页面、同一 chromium 参数，只换 seccomp：

| SystemCallFilter | 结果 |
|---|---|
| `@system-service` | 页面**永远空白**（截图非白像素 7.9%，连 `typeof WebAssembly` 都不执行） |
| 放开 | 完整渲染 TRAE 登录页（非白像素 **90.6%**，标题 `登录 \| TRAE - The Real AI Engineer`） |

TRAE 授权页是 React SPA + 字节风控 SDK（`sdk-glue.js`），依赖 WASM/JIT。
白名单**只减不增**地挡住了它。

**为什么不再逐个补白名单**：那是没有终点的维护 —— 每接一个新平台、每换一次前端
SDK 都可能再撞一个缺口，而症状永远是"页面白屏"这种零线索形态。本次为此**错误
怀疑过** 5 个方向（profile 锁 / /tmp 满 / PrivateTmp / 可写 HOME / AF_NETLINK），
全部被排除后才靠**逐 directive 二分**定位。补白名单只会让下一个人重复这个过程。

`packaging/llmsproxy.service` 因此去掉两项：
- `SystemCallFilter=@system-service` + `SystemCallArchitectures=native`
- `RestrictAddressFamilies=AF_INET AF_INET6 AF_UNIX`（缺 `AF_NETLINK` 会让
  chromium 建套接字失败 → SSL `net_error -101` → 导航不了）

**保留**的加固（已逐条实测不影响浏览器栈）：`NoNewPrivileges` /
`ProtectSystem=strict` / `ReadWritePaths=/etc/llmsproxy` / `ProtectHome` /
`PrivateTmp` / `CapabilityBoundingSet=`（空）/ `ProtectKernel*` /
`RestrictSUIDSGID` / `RestrictRealtime` / `LockPersonality`。可写面仍收窄到
`/etc/llmsproxy`。

## 修掉的 3 个插件缺陷（都是真 bug，各自有判据）

1. **前向引用（第 12 次）**：`sweepSessions` 调 `reapLoopback`/`browserStack`/
   `reapBrowser`，三者定义在**后面** ⇒ 未声明时是全局 nil。加载期不报错，只有走到
   「会话过期回收」才炸 ⇒ **第一次登录正常、第二次 500**，且已起的浏览器栈不被回收
   （进程与端口泄漏）。→ 加前向声明 + 定义改赋值式。
2. **`spawnBrowser` 里 `url` 是未定义全局**（形参名是 `start_url`）⇒ chromium 打开
   `http://nil/`。修复前页面 URL = `http://nil/`，修复后 = 完整 `trae.cn/authorization?...`。
3. **chromium 在加固环境自杀**：`FATAL: GPU process isn't usable. Goodbye.`
   → `--in-process-gpu`（GPU 逻辑跑浏览器进程内，不 fork）。另给可写
   HOME/XDG（`ProtectHome=yes` 下 /root 只读会刷 permission denied 噪声）。

另加**存活探针**：此前只等 CDP 端口就报「已就绪」，即便浏览器已死也报成功 ——
**谎报比直接报错更坏**（运维会以为是自己操作的问题）。现在会如实报出
`浏览器 CDP 无应答：...FATAL: GPU process isn't usable`。

## 测试与生产抢资源的修复

生产 `PrivateTmp=yes` 下 Xvfb `:91` 的锁在**服务自己的 /tmp** 里，宿主测试看不到
⇒ `xdisplayBusy(91)` 判"空闲"⇒ 测试去抢 91 ⇒ `Xvfb 未就绪`。
→ 显示器起始号可被 `LLMSPROXY_XDISPLAY_BASE` 覆盖，测试台统一用 300+；
`TestXDisplaySelectionReclaimsStaleLocks` 的号段也跟随（否则它造出的陈旧锁**根本
不会被扫描到**，断言永远失败 —— 那是判据与被测对象脱节）。
（端口不需要覆盖点：端口是全局资源，`portFree` 查 /proc/net/tcp 看得见生产占用。）

## 判据

- `TestSweepSessionsHelpersAreForwardDeclared`：三助手必须前向声明 + 定义必须是
  赋值式 + 声明必须**先于**使用。
- `TestBrowserStackVerifiesLivenessNotJustPort`：必须有 CDP 真应答判据 + /proc 存活
  + 日志真因 + 失败时回收整组进程。
- `TestBrowserStackUsesInProcessGPU`：`--in-process-gpu` / 可写 HOME/XDG 不得被删。
- `TestChannelsVncStackEndToEnd` / `TestXDisplaySelection*`：真实起栈验证。

## 端到端验证

`bash deploy.sh` → 生产 `active` / `NRestarts=0`；真实登录请求 → `server_browser=True`，
VNC 上**完整渲染 TRAE 登录页**（手机号登录 / 抖音 / 苹果 / 企业账号登录全部可见），
标题 `登录 | TRAE - The Real AI Engineer`。
回归：9 个包全绿。
 2026-10-15 08:22:57 +08:00
JianFeeeee
2a2067284d fix(channels): isFree 与声明自相矛盾 —— 免费判定改为**按平台声明权威来源** 
## 缺陷

cline 的 3 个模型来自远端 **free 数组**（`recommended-models` 的唯一权威 free 集合），
却声明在 `models` 里 ⇒ 生产实测**全部 isFree=False**，与旁边的注释
「免费模型（远端 free 数组实测）」直接矛盾。用户看不到哪个可以不花钱用。

## ★ 关键认识：两个参考用的是**不同机制**，不能混成一条链

| 平台 | 免费判定的权威 |
|---|---|
| cline | 远端 `free[]` → 命名约定 `cline-free/*` → 静态兜底表（**不查 cost**） |
| opencode | models.dev 的 `cost`（`/zen/v1/models` 连能力字段都没有，cost 是**唯一**来源） |

我第一版把两者写成一条「OR 链」（任一来源说免费即免费），结果与既有判据
`TestCapabilityOverridesFreeFlag` **正面冲突** —— 那条判据要求「能力表说收费时
必须为 false」。冲突暴露了真问题：**只有平台自己知道它的免费名单在哪**。

⇒ 改为平台声明 `free_source`：
- `"capability"`（opencode）—— cost 权威，本地声明只作能力表拉不到时的兜底；
- 缺省 —— 声明链权威（**OR 语义**：任一来源确认免费即免费）。
  OR 语义是刻意的：写成「后者覆盖前者」会让「远端说免费、能力表拉不到」
  静默退回收费，正是这类静默降级。

## 其他改动

- `parseRemoteModels` 现在把远端的 `free[]` 记成**权威免费集合**
  （此前只收了 id、丢掉了"它免费"这层信息），provider 走**显式参数**而非
  隐藏全局状态（隐藏状态是漂移源）；
- cline 补 `free_prefix = "cline-free/"`（远端未响应时的兜底依据）与显式
  `models_free`（远端抖动时不把免费模型误标成收费）。

## 判据

`TestIsFreeUsesAuthorityChain`：① cline 的 `cline-free/*` 与
`stealth/space-bunny-alpha` 必须免费；② 命名约定在远端未响应时能独立判出免费；
③ **反向**：收费通道的同名模型不得因前缀规则被判免费（参考点名
「免费模型是独立 id」）。既有 `TestCapabilityOverridesFreeFlag` 同时保持绿 ——
两条语义靠平台声明共存，而不是二选一。

## 附带发现

全量回归曾出现 `TestConcurrentPluginAdapterUpdates` 挂 59 分钟：
单独跑 0.058s 通过 ⇒ 真因是 **`/tmp`（8.8G tmpfs）被 Go 构建缓存占满 100%**，
不是代码死锁。清理 6G 后全量 9 包全绿。
 2026-10-14 20:00:58 +08:00
JianFeeeee
742e2b5ed3 feat(channels): Cline 用插件自装的 channels-cline 适配器 —— 解析英文句子里的等待时长 
## 为什么（这是**比参考更严重**的形态）

Cline 的 429 **既不给 `retry-after` 头，也不给绝对时刻**，等待时长写在
**人类可读的英文句子**里。抓包真值（参考实测，`no-retry: true`）：

```
HTTP 429
{"error":{"code":"INFERENCE_CAP_ERROR",
  "message":"Error 429: Daily free limit reached on model
             deepseek/deepseek-v4-flash. Try again in 19h 39m"}}
```

- **参考**退到"1 小时快照兜底" ⇒ 用户看到「永远 60 分钟」（等满一小时再试仍被拒，
  且每失败一次就**从当下**重新计一小时 ⇒ 无限循环）。
- **我们更糟**：内核把 429 当普通限流、用**固定 30 秒**冷却 ⇒
  **每 30 秒重试一次、永远失败**，在猛敲上游。

## 做法：厂商知识留在插件域，产出归一成内核已认的中立语义

插件自装 `channels-cline`（照 trae/gemini/qoder 同一机制）：

1. 解析真实等待时长 —— 各 token **累加**（`1h 30m` = 90 分钟），
   单位按**首字母**判（h/m/s 互不重叠）⇒ 一次扫描即可，不会重复计数
   （参考点名 `minutes?` 与 `m` 同时匹配会让时长翻倍）。
2. 把文案归一成内核**已认的中立短语**「额度已用完」⇒ 内核据此走
   `RecordQuotaExhausted`（冷却到窗口边界）而不是 30 秒限流冷却。
   **内核不认识任何厂商码/厂商文案**，只认自己的通用关键词表。
3. 话术把「是什么 + 何时恢复 + 重试无用」说清楚，**不**复述上游英文原文，
   也**不**退回「等 1 小时就好」那种误导。
4. 402 单独处理：等待**不会**恢复，必须说清楚需充值。

## 判据（5 组，含"不得谎报"的反向项）

`TestClineAdapterParsesProseWait`：
① 归一成「额度已用完」（否则内核按 30 秒猛敲）+ 真实时长出现 + 明确「重试无用」
  + **不得**退回「1 小时」误导；
② 通过**真实 transform_error 路径**验证时长累加（`1h 30m` → 「1 小时 30 分」）、
  秒级也能解析；
③ 402 提示充值；④ **普通 429 不得谎报成额度耗尽**（那会让内核长时间冷却一个
  健康源）；⑤ 多种外壳（`{error:"…"}` / `{msg}` / 非 JSON 纯文本）都要认
  —— 只认一种会在别的形态下静默丢掉整条信息。

回归：9 个包全绿；内核非测试代码零厂商名。
 2026-10-14 20:00:58 +08:00
JianFeeeee
81b3661336 fix(channels): 自动领取每天静默漏领 —— 按 covers_today 记账，且间隔改为 2 小时 
## 真实缺陷（照参考 credits.ts / auto-checkin.ts，2026-10-02 审查定位）

活动刷新时刻**各平台不同**：Qoder 是**每日 10:00（UTC+8）**才刷新。
而我们的自动领取只在 **08:00 跑一次**，于是：

- 上午那次看到的是**昨天**那条 `CLAIMED` → 报 `already-claimed`；
- 若拿它当"今天已处理"的凭证记档，当天 10 点刷新后就**再也不会去领**；
- ⇒ **每天静默漏掉 100 积分**（且不可逆：用户以为今天不必再领）。

## 修法：不靠"时刻表"，让产出方自己声明

参考的做法（照抄，因为它是从根上对的）：**不**给每个渠道配一张「刷新时刻表」
（那必然漂移），而是让**看得见该渠道刷新语义的那一层**声明
`covers_today`（本次结果算不算"今天这一轮"），记账方只数
「有几条能证明今天已被处理」。

- `covers_today` **缺省 true** ⇒ 绝大多数渠道（每日签到语义）行为完全不变；
- Qoder 在**刷新前**置 `false` ⇒ 不得据此认定今天已处理；
- **判据只看 `covers_today`，绝不用 `kind` 反推** ——
  `already-claimed` 天然有歧义（可能就是昨天那一轮的痕迹）。
- 未覆盖今天的平台会**待重试**并记日志；已覆盖的（按 UTC+8 日界记账）
  下一次直接跳过，不会重复打上游。

## 调度频率（两半都要，缺一仍漏）

| 改动 | 为什么必须 |
|---|---|
| `every` 86400 → **7200** | 刷新时刻晚于那次执行、或那次没覆盖到的平台，一天一跑就整天漏 |
| `at="08:00"` → **first_due_now** | 任何时刻重启都能补上，不等一个周期 |
| 新增 `claimCovered` 持久化 | **这才是防重领的正确机制** —— 不是靠"一天只跑一次"碰巧避开 |

★ 旧判据（`TestAutoClaimScheduledWithModelRefresh`）明写「auto_claim 是每日任务，
**不该** first_due_now（重启就重领是错的）」—— **那个假设本身就是缺陷的一部分**。
已按事实更新，并把这段经过写进注释（避免以后有人照旧判据再改回去）。

## 判据

- `TestAutoClaimCountsCoversTodayNotKind`：① 刷新前必须 `covers_today=false`
  且**绝不报** `already-claimed`；② 刷新后为 true；③ 六组记账判据逐条钉住
  （含"刷新前的 already-claimed 不得算已处理"这一关键项）；
- `TestAutoClaimScheduledMoreThanOnceDaily`：间隔必须远小于一天 + first_due_now
  + 记账键存在；
- `TestQoderAdapterParsesQueueAndBilling`（上一提交）：5 组，含与通用 openai
  适配器的**对比**（断言通用器做不到，否则专用适配器无存在理由）。

回归：9 个包全绿；内核非测试代码零厂商名。
 2026-10-14 20:00:58 +08:00
JianFeeeee
9521a35a03 feat(channels): Qoder 用插件自装的 channels-qoder 适配器 —— 排队与额度耗尽分开说 
## 为什么

Qoder 的错误信封是**双层编码**的，且两个业务码语义**恰好相反**：

| 码 | 含义 | 正确处置 |
|---|---|---|
| `10605` | 模型排队 | **暂时**受阻 —— 等若干秒就能过 |
| `110` | 当日额度耗尽 | 立刻重试 / 等 15 秒 / 等 30 分钟，结果一样 ⇒ **必须立即失败** |

参考实测（2026-09-27 用户报障）：`110` 原先被归成通用的「服务端错误」→
**白重试 5 次**（≈15.5 秒），用户看到「重试延迟：7220毫秒」。
而我们此前用通用 `openai` 适配器，对它只能产出
`10605: {"isQueued":true,…}` —— 用户根本看不出是排队还是额度用完。

## 做法：厂商知识留在插件域（内核零厂商名）

照 `channels-trae` / `channels-gemini` 既有机制，本插件自装 `channels-qoder`。
内核只把 `transform_error` 的返回文本当作**客户端可读原因**，不认识任何厂商码。

★ **两个踩过的坑（都写进代码注释与判据）**：
1. **内层没有 `code` 字段** —— 那是 SSE 错误帧的 `message`（一个 JSON 字符串）。
   参考第一版要求「必须命中 code 才算排队」，导致内层形态被判成非排队，
   SSE 通道的修复**静默失效**（探针显示 sleep=0、错误照旧）。
   判据改为：命中 `code=10605`，**或**直接出现排队字段（`isQueued`/
   `serviceAvailable`）。`message`/`data`/`result`/`body` 都要展开并**再解析**。
2. **必须先在带排队字段的节点上取值** —— 外层 `root` 只有 `code`，
   没有 `retryAfterSeconds`/`queueCount`。一命中就返回会让这两个参数**永远丢失**
   （实测：只输出「排队中，请稍后重试」，参数全丢）。
3. **额度关键词必须窄** —— 只认 `billing daily count exceeded` /
   `daily count exceeded` / `billing_error`。`quota`/`balance` 这类泛词会把
   模型正文里讨论「余额」误判成故障。

## 判据（5 组，全部咬住真实行为）

`TestQoderAdapterParsesQueueAndBilling`：
① 双层编码取到内层的 30 秒 / 12 个排队；② **内层无 code** 也必须识别（参考的坑）；
③ `110` 说成额度耗尽、且明确「重试无用」、**绝不说成排队**；
④ 泛词 `quota`/`balance` 不误伤；
⑤ **与通用 openai 适配器对比** —— 断言通用器**做不到**这件事，
   否则这个专用适配器就没有存在理由（防"加了但没用"）。

回归：9 个包全绿；内核非测试代码零厂商名。
 2026-10-14 20:00:58 +08:00
JianFeeeee
252e3486bd fix(channels): 凭据续期此前是假的 —— 现在真发请求、真回写、真报错 
★ 修的是一个**比不做更坏**的缺陷：`account_refresh` 只重同步了源、**一个换
token 的请求都不发**，却恒返回 `ok:true` ⇒ `refresh_creds` 打出
「凭据已续期 N 个」而实际什么都没续。日志在说谎 —— 排查时会去看网络、看上游，
而真因是根本没有这段代码。这是本轮第三次遇到"静默恒真"（前两次是
`account_test` 恒返回 ok、`pcall` 只取 ok 不看返回值）。

实现要点（每条都是参考踩过的坑）：
- **各平台续期字段名不同**，写错服务端只回泛化的认证失败、极难定位：
  Cline 是**驼峰** `refreshToken` + `grantType`（不是 OAuth 的
  refresh_token/grant_type）、响应套 `{success,data}` 信封且字段是**驼峰**
  `accessToken`；Google 走标准 `refresh_token` 表单编码 + client_secret。
- **Google 偶尔轮换 refresh_token**：响应给了新的**必须回写**，否则下次用旧的
  直接失效。
- **`expires_in` 是相对秒数** → 必须换算绝对时刻，否则每轮都判定"快过期"重续。
- **按需续期必须回写索引的 expiresAt**（照 expiry-sync）：不回写会出现
  「显示已过期、但发消息正常」的数据源分叉。
- 失败**如实回错**（HTTP 状态 / `error_description` 都带出来），但仍重同步源 ——
  旧 token 可能还没真过期，不该因续期失败就撤源。
- `refresh_creds` 的计数判据改用 `refreshed`，**不是** `ok`：
  `account_refresh` 在"平台未声明续期方式"时也回 ok:true（源照旧同步），
  用 ok 计数就会把"没续"算成"续了"—— 这正是日志说谎的机制。

判据（必须**看到真请求**，否则还是在验一个恒真的返回值）：
1. 假上游断言**真发出 1 次请求**（原实现是 0 次却报成功）、路径正确、请求体是
   驼峰 `refreshToken`/`grantType`、新 token 与轮换的 refresh_token 都落进凭据；
2. 401 时**绝不报 refreshed=true**，且错误含 HTTP 状态；无 refresh_token 时
   提示"需重新登录"；
3. `expires_in:7200` → 凭据里是**绝对** expires_at（不是 7200），且
   **账号列表**（不是保险库探针）里 read 到索引 expiresAt 已回写。

另修两个同处踩过的坑：`credentialIsRefreshable` 定义在使用点**之后**
（Lua local 前向引用，第 10 次）、`urlencode` 不存在（Google 表单编码需要）。

回归：9 个包全绿。
 2026-10-14 16:46:43 +08:00
JianFeeeee
f813ec714f fix(channels): 能力元数据拉不到的真因说清楚（内核 4MiB 堆保护，非网络故障） 
部署后发现 `capabilitiesMeta` 一直是空。逐层排查出来的真因：

1. `models.dev` 未在出站白名单 → 而 refreshCapabilities 的 `pcall` 把错误**静默
   吞掉**了，表现是"能力永远是空"，排查零线索。→ 失败必须留痕（已修）。
2. 批准该 host 后暴露第二层：**内核的 `__llmsproxy_http` 有 4 MiB 响应上限**
   （`httpMaxResponse`，刻意的堆保护），而 `models.dev/api.json` 实测 **5.64 MB**。
3. 参考提到的"轻量分片端点"（`/api/v1/opencode.json`）实测返回 **HTML 首页**
   （2.0 MB 的页面，不是 JSON）—— 参考也记录了这个坑。

⇒ 决定：**不为一个插件的便利去放宽内核的堆保护上限**（那会让所有插件都能拉
5MB+ 进网关堆）。能力元数据定位为**可选增强**：
- 拉得到 → isFree/上下文/模态用权威值；
- 拉不到 → 如实退回兜底表，并把"响应超限"单独讲清楚（让运维知道这是**上限约束**
  而不是网络坏了）。不把"查不到"说成别的原因。

★ 这条本身也是本轮的一个教训：`pcall` 只写 `local ok = pcall(f)` 而不看返回值，
等于把一手诊断信息扔了。同类问题本轮已修两处（另一处是 host 授权静默失效）。

回归：9 个包全绿（能力增强不可用时功能不退化，判据已覆盖"冷启动退回兜底"）。
 2026-10-14 16:28:29 +08:00
JianFeeeee
7a6e03692d feat(channels): 模型能力元数据（照参考 opencode-capability）—— isFree 改由权威源决定 
`/zen/v1/models` 只返回 4 个字段（id/object/created/owned_by），**不含任何能力
信息**；能力在 models.dev。此前我们的 `models_free` 是**硬编码快照** ——
上游调整免费策略后不会跟着变，于是列表里标着"免费"的模型可能早已收费。

三个字段的用途（照参考）：
- `modalities.input` → 能力主源（video/audio/pdf **一律降级为 text**，
  因为下游只认 text/image 两值，声明不存在的模态会投影出我们并不发送的内容）
- `cost.input`/`output` → **免费判定的权威来源**（两者同时为 0）
- `limit.context`/`output` → 上下文窗口与输出上限

★ **非阻塞是硬约定**（参考的真机事故）：该接口实测 **5.6 MB / 2.86s**。参考最初
在模型列表渲染路径上直接等它，模型选择器要等 1.4s+ 才出列表 —— 用户报障
「点开是一片空白」。故：渲染路径只读同步缓存；持久化让冷启动直接命中；
拉取挂在 `refresh_models` 定时任务里（后台），失败**不清缓存**。

判据三条（都用**真实** models.dev 响应，不是合成样本）：
1. 冷启动下 `model_list` 必须**立刻返回**（退回兜底 isFree）—— 证明没阻塞
2. 能力表就绪后 `isFree` **必须由它决定**（注入"原本标 free 的说收费、
   原本非 free 的说免费"，断言翻转过来了）
3. 真实数据解析：实测 opencode **122 模型 / 39 免费 / 82 多模态 / 122 有上下文**
   —— 字段路径（modalities.input / cost.input / limit.context）因此得到验证。
   合成样本会把这条验证变成自说自话。

`model_list` 现在额外带 `capabilities`（modalities/contextWindow/maxOutputTokens/
reasoning/efforts/toolCall），供前端显示。
回归：9 个包全绿。
 2026-10-14 16:18:27 +08:00
JianFeeeee
420379784b feat(channels): 抽通用件 TTL 缓存 + 串行锁（照参考 ttl-cache / serial-queue） 
理由：本插件里已经有多处**各自手写**的"带冷却的缓存"与"串行"逻辑
（远端目录闸门、余额 60s 缓存、登录轮询…）。手写版本各写各的，边界条件容易漏
—— 本轮就漏了一个（见下）。集中一处才好审。

已把余额缓存改用 ttlCacheGet（消掉手写的 60s 逻辑）。

★ 抽出来立刻验证出价值 —— 实测踩到一个边界：
**清缓存时必须一并清掉"在飞标记"**。否则「清缓存 → 同一秒内重载 → 被去重逻辑
挡住 → 返回 nil」，调用方看到的是"刚清了缓存却拿不到值"，而数据其实好好的。
（改动窗口后立即查余额就得到 nil，就是这个。）失效的语义是"忘掉这次加载"，
在飞标记也是这次加载的一部分。

另外两条语义也写进注释与判据：
- **失败不缓存**：loader 返回 nil 时不写缓存（让下次能重试），但记在飞标记
  防止同一瞬间重复打。这与"失败进冷却"是两件事（冷却由调用方决定）。
- **墙钟回拨防护**：`cached_at` 在未来时视为已过期，而不是"还没到" ——
  回拨一天会让缓存永远命中、上游改了也自愈不了。

Lua 无协程 ⇒ 做不了"共享同一个 Promise"也做不了"排队等待"。取舍：
- 去重用**时间戳**（in_flight_at 短窗口）等价实现；
- 串行锁只能做到**互斥 + 让路**（抢不到立刻返回，由调用方跳过本次），
  且必须带 **TTL 自解**（持有者崩了不能永久卡死该 namespace）。

判据 `TestTtlCacheSemantics` 四组：命中缓存不重载、**失效后同一秒内能重载**、
ttl=0 每次重载、串行锁"抢到→抢不到→释放后能再抢"。
回归：9 个包全绿。
 2026-10-14 16:09:22 +08:00
JianFeeeee
92c240cc25 feat(channels): 源改为串行 + 按模型节流（照参考 model-gate.ts） 
照参考的实测依据：这些平台的**并发配额按模型**分别计量，与"还剩多少 token"
无关（那边实测撞 429 时 token 还剩 299.4 万）。同账号下：

    GLM-5.3-Flash  605 次 200    0 次限流   ← 从未撞过
    GLM-5.3         74 次 200   21 次重试  6 次最终 429

两条措施缺一不可：
① **串行**（max_concurrent=1）：并发发起必然浪费一个配额；
② **最小间隔**（rpm）：串行只保证"不重叠"、不保证"有间隔" —— 连续放行的两次
   调用可能只隔几十毫秒，仍会撞并发窗口。

此前插件注册源一律 `max_concurrent = 2` 且**从不设 rpm** ⇒ 既会重叠又无间隔。
现全部改为 `max_concurrent = 1` + `rpm = 20`（默认 3 秒一个，可按平台覆盖）。

⚠️ 参考的另一条教训也记进注释了：闸门**只包 fetch，不包 captcha**。
那边第一版把 mint 与 fetch 一起放进闸门，mint 耗时从 200-500ms 暴涨到
2500-3100ms（因为 mint 被串行后变成"排在 N 个人后面再 mint"）。
我们的 rpm 节流在内核层、只作用于上游 dispatch，天然不涉及这一点。

顺带：`list_sources` 补暴露 `rpm` —— 运维与判据都要能看到它。只看
max_concurrent 无法区分"串行但有间隔"与"串行且无间隔"（后者仍会撞窗口）。

判据 `TestChannelSourcesAreSerialWithThrottle`：源必须 max_concurrent=1 且 rpm>0。
回归：9 个包全绿。
 2026-10-14 16:00:34 +08:00