fix(channels): 运行日志加级别/归属/折叠，并从渠道详情移出（C+A）

## 问题（生产实测，非猜测）
用户问「为什么 WebUI 默认显示插件全部日志」。用 CDP 打开真实 UI + 读
`/channels/status` 实测，发现是**三个问题叠加**，而表层症状是"看到的全是噪音"：

### ① 归属错误：全局日志渲染在「单个渠道详情」里
`plugin.state.log` 是**单一全局数组**（`logEvent` 写入的条目只有 `{at, msg}`，
**连 platform 字段都没有**），但这个 `<ul id="ch-log">` 的 DOM 位于
`#ch-detail`（点开某渠道才显示）⇒ 用户点开 buddy，看到的却是
trae/minimax/qoder 的日志混在一起，**无从区分**。

### ② 50 条里 48 条（96%）是周期任务噪音
实测分类：`已同步源…` 11×、`模型刷新失败…` 9×、`模型目录已刷新` 9×、
`能力元数据未刷新` 9×、`自动领取…` 9× —— **唯一模式只有 8 种**。
原因：`refresh_models`(2h) + `auto_claim`(2h) + `refresh_creds`(0.5h) 三个
`first_due_now` 任务每次跑写 3~5 条 ⇒ **约 2 小时就把 50 条环形缓冲冲满**，
于是真正的用户动作（如「账号删除」）被挤到看不见。

### ③ 无级别、无去重、无折叠 → 噪音与错误同权重并排

## 修法（用户选 C+A）
**C —— 修正归属**：把「运行日志」从 `#ch-detail` 移出，成为**常驻的独立卡片**
（`#ch-log-card`）。判据断言它与渠道详情是**兄弟节点**（div depth=0），
不是父子 —— 否则"点 buddy 看到 trae"会以另一种形式回来。

**A —— 加级别与过滤**：
- `logEvent(msg, level, platform)`：level ∈ info|task|warn|error。
  定时任务的**常规**结果记 `task`（前端默认折叠），只有异常升为 warn/error。
- **紧邻同文折叠**：与 `log[1]` 完全同文时不新增条目，只 `n=n+1` 并刷新时间。
  ⚠️ 只对**紧邻**条目折叠 —— 否则一条每小时出现的消息会不断"跳"到最前，
  时间线失去意义。前端显示成 `×N`，既保留"重复了多少次"又不刷屏。
- 三个视图开关：级别门槛（全部/警告及以上/仅错误）、显示例行任务、
  按当前选中渠道过滤（不带 platform 的跨平台汇总只在「全部渠道」出现）。
- `refresh_models` 的失败改为**逐平台各记一条**（原先 N 个挤成一条汇总，
  既不属于 trae 也不属于 minimax ⇒ 点进任何单渠道都看不到自己的问题）。

## 判据（3 条 + 变异 2/2）
- `TestChannelsLogEventCarriesLevelAndPlatform`：签名三参 / 条目带两字段 /
  紧邻折叠 / **折叠对象必须是 log[1]**
- `TestChannelsPeriodicTaskLogsAreDowngraded`：逐条咬住**具体调用点**被降级
  （而不是"存在 task 这个词"——那样一处就为真，测不出漏降级的噪音源）
- `TestChannelsLogPanelHasFilters`：日志卡片与渠道详情是**兄弟**（div depth=0）
- 变异：去掉折叠 / 把卡片放回详情内 → 均报红

## 顺带修好的环境事故（重要）
排查中全量测试突然大批失败（`loopback 未就绪（未取得端口）`）。我一度以为是
自己的改动，**`git stash` 后在干净版本上复现 → 预先存在**，继续追到根因：

**`/tmp/bisect.py`（另一个 agent 的临时脚本）遮蔽了 Python 标准库的 `bisect`**
—— 而 `tempfile` → `random` → `bisect`，于是**任何 `import tempfile` 都炸**，
回环接收器（python3）起不来。`sys.path` 含 `/tmp` 就是这个后果。
已移走（`/tmp/_shadowed-stdlib-conflicts/`，不删除以免打断那个 agent），
Python 与全部测试立刻恢复。

⇒ **教训**：临时脚本**绝不能**在 `/tmp` 下用 stdlib 模块名命名；
它会让全机 Python 静默失效，而症状（"回环未就绪"）与原因毫无关联。

internal/core/channels_buddy_catalog_filter_test.go

@@ -0,0 +1,57 @@
+package core
+
+import (
+	"strings"
+	"testing"
+)
+
+// ★ 远端模型目录混着「不可调用」的条目，必须过滤掉。
+//
+// 真实缺陷（生产实测）：buddy 源声明了 24 个模型，其中
+//
+//	nes-gf / codewise-completions / codewise-rewrite / codewise-jump /
+//	codewise-default-model-v2 / hunyuan-image-alpha / auto
+//
+// 全部调不通（`glm-5.1` 也是 404）。用户选中就报错，而错误文案指向**模型**，
+// 极易被误判成"这个模型坏了"。
+//
+// 参考实现（buddy.ts 的 isChatModel / isAutoSelectAlias）记录了**四类**判据，
+// 且都是实测依据：
+//
+//	① 自动选择别名 auto/default（**只按字面量**，前缀匹配会误伤 default-model）
+//	② 补全/NES 专用前缀 nes- / completion- / codewise-，或 supportsExtra=true
+//	   （参考实测 codewise-default-model-v2 → `code 11102 service info not found`）
+//	③ maxOutputTokens >0 且 ≤256（补全用途；对话模型普遍 ≥24000）
+//	④ 带 text-to-image 标签（如 hunyuan-image-alpha）
+func TestBuddyCatalogFilterDropsNonChatModels(t *testing.T) {
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	s := string(src)
+
+	// 判据一：四类规则必须都在源码里（防止有人"精简"掉其中一条）
+	for _, rule := range []string{
+		`id == "auto" or id == "default"`, // ①
+		`id:sub(1, 4) == "nes-"`,          // ②
+		`id:sub(1, 11) == "completion-"`,  // ②
+		`id:sub(1, 9) == "codewise-"`,     // ②
+		`m.supportsExtra == true`,         // ②
+		`mo > 0 and mo <= 256`,            // ③
+		`t == "text-to-image"`,            // ④
+	} {
+		if !strings.Contains(s, rule) {
+			t.Errorf("buddy 目录过滤缺少规则：%s\n"+
+				"（这四类都是参考用真实请求验证过的「列出来就会让用户报错」的条目，"+
+				"删任何一条都会把不可调用模型放回选择器）", rule)
+		}
+	}
+
+	// 判据二：`default-model` / `fast-model` 必须**不在**被过滤的形态里。
+	// 参考注释明确警告：只过滤 auto/default 两个字面量，不做前缀匹配 ——
+	// 前缀会误伤这两个国际版别名（它们被 craft agent 引用，是官方推荐入口）。
+	if strings.Contains(s, `id:sub(1, 7) == "default"`) {
+		t.Error("buddy 过滤把 default 做成了**前缀**匹配 ⇒ 会误伤 default-model（参考点名警告）")
+	}
+	t.Log("✓ buddy 目录过滤四类规则齐备，且未误伤 default-model 类别名")
+}

internal/core/channels_clear_credentialless_test.go

@@ -193,3 +193,43 @@ func accountIDs(t *testing.T, h *accountCleanupHarness, platform string) []strin
 	}
 	return out
 }
+
+// ★ 字符串 body（真实 HTTP 路径）+ 不传 platform 时，dry_run 必须被尊重。
+//
+// 反例（实测踩到，我自己写的）：照其它 handler 写
+//
+//	`if args.platform == nil then args = req end`
+//
+// —— 而"不传 platform"在本函数里是**合法用法**（清全部平台），于是 args 被换成
+// HandlerRequest，body 里解出来的 dry_run 就丢了 ⇒ 传 dry_run=false 却被当成
+// 未传，静默只预演。**破坏性操作里最糟的形态**：操作者以为执行了、实际没执行。
+//
+// 夹具必须用**字符串 body**（我第一版传 map，走不到这条路径，所以没咬住）。
+func TestAccountClearCredentiallessRespectsDryRunViaStringBody(t *testing.T) {
+	h := newAccountCleanupHarness(t)
+
+	// 不带 platform + dry_run=false，且 body 是**字符串**（HTTP 真实形态）
+	res, err := h.ps.InvokeHandler("channels", "account_clear_credentialless",
+		&lua.HandlerRequest{Method: "POST", Body: `{"dry_run":false}`})
+	if err != nil {
+		t.Fatal(err)
+	}
+	if res.Status != 200 {
+		t.Fatalf("status=%d body=%v", res.Status, res.Body)
+	}
+	j, _ := res.JSON.(map[string]interface{})
+	if j["dry_run"] == true {
+		t.Fatalf("字符串 body 里传了 dry_run=false 却被当成未传（回退吃掉 body）: %v", j)
+	}
+	if j["deleted"] == nil {
+		t.Fatalf("dry_run=false 时必须真的执行（应有 deleted 字段）: %v", j)
+	}
+	// 全平台的 5 个空壳都被删（codearts 3 + trae 2）
+	if got := len(accountIDs(t, h, "codearts")); got != 1 {
+		t.Fatalf("codearts 应剩 1（有凭据那个），实得 %d", got)
+	}
+	if got := len(accountIDs(t, h, "trae")); got != 0 {
+		t.Fatalf("trae 的 2 个空壳应被删，实得 %d", got)
+	}
+	t.Logf("✓ 字符串 body 且无 platform 时 dry_run=false 生效: deleted=%v", j["deleted"])
+}

internal/core/channels_endpoint_url_test.go

@@ -0,0 +1,76 @@
+package core
+
+import (
+	"regexp"
+	"strings"
+	"testing"
+)
+
+// ★ 源的 chat URL = `base_url + endpoint`（内核 provider.go ChatURL）。
+//
+// 真实缺陷（生产实测）：多个渠道平台的 `base_url` 里塞了**完整路径**，
+// 而适配器默认 endpoint 又是 "/chat/completions" ⇒ 实际请求变成
+//
+//	https://copilot.tencent.com/v2/chat/completions/chat/completions
+//
+// ⇒ 上游回 `{"error_msg":"404 Route Not Found"}`（APISIX 的措辞，不是模型错误）。
+//
+// 受影响平台 8 个：buddy / cline / lobsterai / opencode / qoder / loomy /
+// raccoon（zcode 当时已用 endpoint 覆盖，形态正确）。
+//
+// ★ 为什么这个缺陷能活很久：**模型名被多个源服务**。
+//
+//	`deepseek-v4.1-flash` 同时由 4 个源提供（alittokenplan/vela/oin/channels-buddy…）
+//	⇒ 网关在 buddy 源失败后会**继续尝试下一个源**并成功 ⇒ 用户看到"能回话"，
+//	于是"buddy 通道是好的"这个结论**完全没有证据**。
+//	而 `hy3` 只由 buddy 一个源提供 ⇒ 一调就暴露真因。
+//	⇒ 判据必须断言**源的 URL 形态**（结构不变量），不能靠"某个模型能调通"。
+//
+// 判据：base_url 不得自带任何 chat 路径段（它只应是 host[+协议公共前缀]），
+// 路径必须在 `endpoint` 里。
+func TestChannelSourceBaseURLHasNoChatPath(t *testing.T) {
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	s := string(src)
+
+	// 只在平台定义区里找 base_url（避免误判注释/文档里的示例）
+	declRe := regexp.MustCompile(`(?m)^\s*base_url = "([^"]+)"\s*,?$`)
+	// 已知适配器会把这些路径各追加一次；出现即说明 base_url 侵占了 endpoint 的地盘
+	banned := []string{"/chat/completions", "/v1/messages", "/generateContent", "/api/chat"}
+
+	found := 0
+	for _, m := range declRe.FindAllStringSubmatch(s, -1) {
+		url := m[1]
+		found++
+		for _, b := range banned {
+			if strings.Contains(url, b) {
+				t.Errorf("base_url 侵占了 endpoint 的路径：%s\n"+
+					"  内核的 URL 是 `base_url + endpoint`（provider.go ChatURL），"+
+					"适配器默认 endpoint=\"/chat/completions\" ⇒ 实际会请求 %s%s\n"+
+					"  修法：base_url 只留 host，把 `%s` 移到该平台的 `endpoint = \"...\"`",
+					url, url, b, b)
+			}
+		}
+	}
+	if found == 0 {
+		t.Fatal("没扫到任何 base_url 声明（判据失效）")
+	}
+	t.Logf("✓ %d 个 base_url 均不含 chat 路径段", found)
+}
+
+// ★ 反过来也要咬：说明该缺陷**确实已被修好**、而不是判据太松。
+// 用一段**故意的坏数据**验证判据的判别力（变异测试的静态等价物）。
+func TestChannelBaseURLJudgeBitesOnBadInput(t *testing.T) {
+	bad := `    base_url = "https://copilot.tencent.com/v2/chat/completions",`
+	declRe := regexp.MustCompile(`(?m)^\s*base_url = "([^"]+)"\s*,?$`)
+	m := declRe.FindStringSubmatch(bad)
+	if m == nil {
+		t.Fatal("判据的正则匹配不到坏数据 ⇒ 判据无判别力（形同虚设）")
+	}
+	if !strings.Contains(m[1], "/chat/completions") {
+		t.Fatal("坏数据未被识别 ⇒ 判据无判别力")
+	}
+	t.Log("✓ 判据对坏数据有判别力")
+}

internal/core/channels_log_panel_test.go

@@ -0,0 +1,140 @@
+package core
+
+import (
+	"regexp"
+	"strings"
+	"testing"
+)
+
+// ★ 插件日志面板：级别 + 归属 + 同文折叠（否则用户动作被 96% 的周期噪音淹没）。
+//
+// 真实问题（生产实测）：50 条日志里 **48 条（96%）** 是三个定时任务
+// （refresh_models 2h / auto_claim 2h / refresh_creds 0.5h，全为 first_due_now）
+// 的重复回音，唯一模式只有 8 种 ⇒ 约 2 小时就把 50 条环形缓冲冲满一轮，
+// **真正的用户动作**（如「账号删除」）被挤到看不见。
+//
+// 三个结构性修法，每个都在源码里可断言：
+//
+//	① logEvent 支持 level（task/warn/error），前端默认折叠 task
+//	② logEvent 支持 platform，前端按选中渠道过滤（修"点 buddy 看到 trae"的归属错误）
+//	③ 同文折叠：紧邻同文不新增条目，只 n=n+1
+func TestChannelsLogEventCarriesLevelAndPlatform(t *testing.T) {
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	s := string(src)
+
+	// ① 签名必须收 level 与 platform（三参）
+	if !regexp.MustCompile(`local function logEvent\(msg, level, platform\)`).MatchString(s) {
+		t.Error("logEvent 必须接收 (msg, level, platform) —— 否则级别与渠道归属都无从表达")
+	}
+	// ② 写入的条目必须带上这两个字段
+	for _, field := range []string{"level = level or", "platform = platform"} {
+		if !strings.Contains(s, field) {
+			t.Errorf("日志条目必须写入 %s", field)
+		}
+	}
+	// ③ 同文折叠：紧邻同文时只加计数
+	if !strings.Contains(s, "top.n = (top.n or 1) + 1") {
+		t.Error("必须实现紧邻同文折叠（否则周期任务的重复回音会把 50 条缓冲冲满）")
+	}
+	// ④ 折叠必须只针对**紧邻**条目 —— 否则一条每小时出现的消息会不断跳到最前，
+	//    时间线失去意义。断言比较对象是 log[1]（栈顶）而不是任意条目。
+	if !strings.Contains(s, "local top = log[1]") {
+		t.Error("折叠必须只比较**紧邻**的上一条（log[1]）；对任意条目折叠会让时间线错乱")
+	}
+	t.Log("✓ logEvent 具备 level / platform / 紧邻同文折叠")
+}
+
+// ★ 周期任务的**常规**结果必须是 task 级（默认折叠），异常必须是 warn/error。
+//
+// 判据咬的是"这些具体调用点被降级了"，而不是"存在 task 这个词" ——
+// 后者只要有一处就为真，测不出"某个噪音源忘了降级"。
+func TestChannelsPeriodicTaskLogsAreDowngraded(t *testing.T) {
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	s := string(src)
+
+	// 这些是「每次跑都成功」的常规回音 —— 必须 task 级
+	routine := []string{
+		`logEvent("模型目录已刷新（" .. updated .. " 个平台）", "task")`,
+		`logEvent("模型能力元数据已刷新（" .. tostring(cerr or 0) .. " 条）", "task")`,
+		`logEvent("模型刷新：跳过 " .. cooled .. " 个冷却中的平台", "task")`,
+	}
+	for _, r := range routine {
+		if !strings.Contains(s, r) {
+			t.Errorf("周期任务的常规结果必须降级为 task（否则会淹没用户动作）：\n  %s", r)
+		}
+	}
+	// 这些是异常 —— 必须 warn（不能被一起折叠掉）
+	for _, pat := range []string{
+		`logEvent("能力元数据未刷新: " .. tostring(cerr):sub(1, 120), "warn")`,
+		`logEvent("能力元数据刷新异常: " .. tostring(cres):sub(1, 120), "warn")`,
+		`logEvent("凭据续期失败 " .. #failed .. " 个：`,
+	} {
+		if !strings.Contains(s, pat) {
+			t.Errorf("异常必须保持 warn（不能被当常规噪音折叠）：%s", pat)
+		}
+	}
+	// 「已同步源」是周期重同步的常规回音 —— 降级为 task
+	if !strings.Contains(s, `logEvent("已同步源 " .. name .. "（" .. #models .. " 模型）", "task", provider)`) {
+		t.Error("「已同步源」是周期重同步的常规回音，必须 task 级且带平台归属")
+	}
+	t.Log("✓ 周期噪音已降级，异常保持 warn")
+}
+
+// ★ 前端的三个过滤维度必须都在（级别门槛 / 例行折叠 / 按渠道过滤）。
+func TestChannelsLogPanelHasFilters(t *testing.T) {
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	s := string(src)
+
+	// ① 日志卡片必须**独立于渠道详情**（C 的核心：修正归属）
+	//    判据：日志卡片的 DOM 不是 ch-detail 的子元素。
+	//    做法：取 ch-detail 开始到 ch-log-card 之间的片段，要求中间出现过
+	//    ch-detail 的闭合（即两者是兄弟而非父子）。
+	iDetail := strings.Index(s, `id="ch-detail"`)
+	iLogCard := strings.Index(s, `id="ch-log-card"`)
+	if iDetail < 0 || iLogCard < 0 {
+		t.Fatal("找不到 ch-detail 或 ch-log-card（判据需更新）")
+	}
+	if iLogCard < iDetail {
+		t.Fatal("运行日志卡片应在渠道详情**之后**（作为兄弟节点）")
+	}
+	// 统计 ch-detail 打开到日志卡片之间未闭合的 div 层数
+	seg := s[iDetail:iLogCard]
+	depth := 0
+	for _, m := range regexp.MustCompile(`</?div`).FindAllString(seg, -1) {
+		if strings.HasPrefix(m, "</") {
+			depth--
+		} else {
+			depth++
+		}
+	}
+	if depth > 0 {
+		t.Errorf("运行日志卡片仍嵌在渠道详情内部（depth=%d）⇒ 点开某渠道会看到别的渠道的日志（归属错误）", depth)
+	}
+
+	// ② 三个过滤维度
+	for _, id := range []string{`id="ch-log-verbose"`, `id="ch-log-level"`} {
+		if !strings.Contains(s, id) {
+			t.Errorf("缺少日志视图控件 %s", id)
+		}
+	}
+	if !strings.Contains(s, "function chLogRender()") {
+		t.Error("必须实现 chLogRender()（否则过滤逻辑无处落地）")
+	}
+	// ③ 按渠道过滤 + 切渠道重渲染
+	if !strings.Contains(s, "if (selPlat) return e.platform === selPlat;") {
+		t.Error("必须按当前选中渠道过滤日志（否则归属错误以另一种形式回来）")
+	}
+	if !strings.Contains(s, "chLogRender();\n  };\n") {
+		t.Error("chSelect 切换渠道后必须重渲染日志")
+	}
+	t.Log("✓ 日志面板独立成卡片，三个过滤维度齐备")
+}

internal/core/channels_pool_reason_test.go

@@ -0,0 +1,225 @@
+package core
+
+import (
+	"fmt"
+	"net/http"
+	"net/http/httptest"
+	"strings"
+	"sync/atomic"
+	"testing"
+	"time"
+
+	"llmsproxy/internal/lua"
+)
+
+// ★ 「为什么没有可用账号」必须区分**真的用尽**与**查不到**。
+//
+// 参考的同款修复（用户报障 2026-09-29）：混成一句"额度都已用尽"会让
+// **一次网络抖动伪装成钱花完了** —— 用户于是去解锁永久积分、或白等到明天，
+// 而号里其实有钱。两者的**正确动作完全相反**：
+//
+//	exhausted → 等额度重置
+//	unknown   → 稍后重试 / 查网络与凭据（**不要**动永久积分锁定）
+//
+// 判据看的是**报出的 reason**（用户据此决定做什么），不是内部计数。
+func TestCreditsPoolReasonDistinguishesExhaustedFromUnknown(t *testing.T) {
+	t.Run("账号都查到了余额但为 0 → exhausted", func(t *testing.T) {
+		h := newPoolReasonHarness(t)
+		h.addAccount("a1")
+		h.serveBalance(0, 0)
+		got := h.reason()
+		if got["reason"] != "exhausted" {
+			t.Fatalf("余额确为 0 时应报 exhausted（用户该等重置），实得 %v：%v",
+				got["reason"], got["detail"])
+		}
+	})
+
+	t.Run("余额查询失败 → unknown（不能伪装成用尽）", func(t *testing.T) {
+		h := newPoolReasonHarness(t)
+		h.addAccount("a1")
+		h.serveBalanceError(500)
+		got := h.reason()
+		if got["reason"] != "unknown" {
+			t.Fatalf("查询失败必须报 unknown —— 报 exhausted 会让网络抖动伪装成钱花完了"+
+				"（用户会去解锁永久积分或白等），实得 %v：%v", got["reason"], got["detail"])
+		}
+		if d, _ := got["detail"].(string); !strings.Contains(d, "查询失败") {
+			t.Fatalf("说明必须点明是查询失败，实得 %q", d)
+		}
+	})
+
+	t.Run("没有启用的账号 → no_accounts", func(t *testing.T) {
+		h := newPoolReasonHarness(t)
+		got := h.reason()
+		if got["reason"] != "no_accounts" {
+			t.Fatalf("无账号时应报 no_accounts，实得 %v", got["reason"])
+		}
+	})
+
+	t.Run("有可用账号 → usable", func(t *testing.T) {
+		h := newPoolReasonHarness(t)
+		h.addAccount("a1")
+		h.serveBalance(100, 0)
+		got := h.reason()
+		if got["reason"] != "usable" {
+			t.Fatalf("有钱时应报 usable，实得 %v", got["reason"])
+		}
+		if u, _ := got["usable"].(float64); int(u) != 1 {
+			t.Fatalf("usable 应为 1，实得 %v", got["usable"])
+		}
+	})
+
+	t.Run("平台无余额端点 → unknown（不编造用尽）", func(t *testing.T) {
+		h := newPoolReasonHarness(t)
+		// ⚠ 必须有**启用的账号**：判定的优先级是
+		//   no_accounts → 无余额端点 → usable → unknown/exhausted
+		// 我第一版在这条用例里忘了加账号，于是命中 no_accounts（优先级更高，
+		// 那是**正确**行为），把正确的实现判成了错。
+		h.addAccountOn("minimax", "m1")
+		// minimax 未声明 balance 端点
+		got := h.reasonOn("minimax")
+		if got["reason"] != "unknown" {
+			t.Fatalf("无余额端点时应报 unknown（无法判定 ≠ 用尽），实得 %v：%v",
+				got["reason"], got["detail"])
+		}
+		if d, _ := got["detail"].(string); !strings.Contains(d, "无法判定") {
+			t.Fatalf("说明必须点明无法判定，实得 %q", d)
+		}
+	})
+}
+
+// 锁定永久积分时，只剩永久积分的账号不可用，且必须报 **locked** 而不是 exhausted
+// （用户动作不同：解锁 vs 等重置）。
+func TestCreditsPoolReasonReportsLockedNotExhausted(t *testing.T) {
+	h := newPoolReasonHarness(t)
+	h.addAccount("a1")
+	// total_fn 取包列表：只有永久积分（到期未知）
+	h.serveBalance(0, 50)
+	if _, err := h.ps.Call("channels", "__set_lock_permanent_probe",
+		map[string]interface{}{"lock": true}); err != nil {
+		t.Fatal(err)
+	}
+	got := h.reason()
+	if got["reason"] != "locked" {
+		t.Fatalf("锁定且只剩永久积分时应报 locked（用户可解锁），实得 %v：%v",
+			got["reason"], got["detail"])
+	}
+	// 解锁后同一份余额应为 usable（证明 locked 不是"用尽"）
+	if _, err := h.ps.Call("channels", "__set_lock_permanent_probe",
+		map[string]interface{}{"lock": false}); err != nil {
+		t.Fatal(err)
+	}
+	h.serveBalance(0, 50)
+	if got2 := h.reason(); got2["reason"] != "usable" {
+		t.Fatalf("解锁后同一份余额应可用（证明 locked ≠ exhausted），实得 %v", got2["reason"])
+	}
+}
+
+// ── harness ──
+
+type poolReasonHarness struct {
+	t       *testing.T
+	ps      *lua.Plugins
+	ts      *httptest.Server
+	body    atomic.Value
+	fail    atomic.Bool
+	hasAcct atomic.Bool
+}
+
+func newPoolReasonHarness(t *testing.T) *poolReasonHarness {
+	t.Helper()
+	h := &poolReasonHarness{t: t}
+	// buddy 的真实形态：包列表嵌在 data.Response.Data.Accounts
+	h.body.Store(buddyPkgBody(0, 0))
+	h.ts = httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		if h.fail.Load() {
+			w.WriteHeader(500)
+			return
+		}
+		w.Header().Set("Content-Type", "application/json")
+		fmt.Fprint(w, h.body.Load().(string))
+	}))
+	t.Cleanup(h.ts.Close)
+
+	c := kernelTestCore(t)
+	ps := c.Plugins()
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	if err := ps.LoadSource("channels", src); err != nil {
+		t.Fatal(err)
+	}
+	h.ps = ps
+	// buddy 的余额端点指到假上游，并让 total_fn 走包列表分桶
+	if _, err := ps.Call("channels", "set_endpoints", map[string]interface{}{
+		"platform": "buddy",
+		"balance":  map[string]interface{}{"url": h.ts.URL},
+	}); err != nil {
+		t.Logf("set_endpoints(balance) 未支持: %v", err)
+	}
+	return h
+}
+
+func (h *poolReasonHarness) addAccount(id string) {
+	h.t.Helper()
+	h.addAccountOn("buddy", id)
+}
+
+// addAccountOn：往指定平台加账号（我第一版把它写死成 buddy，导致
+// "平台无余额端点"那条用例其实没有该平台的账号，命中了优先级更高的
+// no_accounts —— 判据写错而非实现错）。
+func (h *poolReasonHarness) addAccountOn(platform, id string) {
+	h.t.Helper()
+	if _, err := h.ps.Call("channels", "account_add", map[string]interface{}{
+		"platform": platform, "account_id": id,
+		"credential": `{"access_token":"AT","uid":"u1"}`,
+	}); err != nil {
+		h.t.Fatalf("account_add(%s): %v", platform, err)
+	}
+	h.hasAcct.Store(true)
+}
+
+// serveBalance 直接给"临时/永久"两个桶的金额（内部拼成 buddy 的真实包列表）。
+func (h *poolReasonHarness) serveBalance(expiring, permanent int) {
+	h.fail.Store(false)
+	h.body.Store(buddyPkgBody(expiring, permanent))
+}
+
+// buddyPkgBody 拼一份 buddy 真实形态的余额响应：
+// 包列表在 data.Response.Data.Accounts，每包有 Status / CycleCapacityRemain /
+// DeductionEndTime（毫秒）。到期时间落在窗口内 → 临时桶；未知（0）→ 永久桶。
+func buddyPkgBody(expiring, permanent int) string {
+	pkgs := []string{}
+	if expiring > 0 {
+		// 3 天到期（< 15 天窗口）
+		endMs := (time.Now().Unix() + 3*86400) * 1000
+		pkgs = append(pkgs, fmt.Sprintf(
+			`{"Status":1,"CycleCapacityRemain":%d,"DeductionEndTime":%d}`, expiring, endMs))
+	}
+	if permanent > 0 {
+		// DeductionEndTime=0（未知）⇒ 永久桶
+		pkgs = append(pkgs, fmt.Sprintf(
+			`{"Status":1,"CycleCapacityRemain":%d,"DeductionEndTime":0}`, permanent))
+	}
+	return `{"data":{"Response":{"Data":{"Accounts":[` + strings.Join(pkgs, ",") + `]}}}}`
+}
+
+func (h *poolReasonHarness) serveBalanceError(code int) {
+	h.fail.Store(true)
+}
+
+func (h *poolReasonHarness) reason() map[string]interface{} {
+	h.t.Helper()
+	return h.reasonOn("buddy")
+}
+
+func (h *poolReasonHarness) reasonOn(platform string) map[string]interface{} {
+	h.t.Helper()
+	res, err := h.ps.Call("channels", "credits_pool_reason",
+		map[string]interface{}{"platform": platform})
+	if err != nil {
+		h.t.Fatalf("credits_pool_reason: %v", err)
+	}
+	return jsonOf(h.t, res)
+}

internal/core/channels_remove_source_perm_test.go

@@ -0,0 +1,215 @@
+package core
+
+import (
+	"regexp"
+	"sort"
+	"strings"
+	"testing"
+
+	"llmsproxy/internal/lua"
+)
+
+// ★ 删除账号必须**真的把源撤掉** —— 且撤不掉时不能静默。
+//
+// 真实缺陷：内核的 `remove_source` 需要**单独授予**（Destructive 级，不在
+// add_source 的授权里）。生产权限集曾只有 add_source ⇒ `dropAccountSource`
+// 的调用被**拒绝**，而调用方**忽略返回值** ⇒ 静默失败的后果是
+// **账号已删，它的源仍在对外服务**（用户看到"删了却还在用"）。
+//
+// 格外隐蔽的一点：`AddSource` 是**同名 upsert**，所以 `syncAccountSource` 里
+// "先 remove 再 add" 的 remove 失败**看不出来**（add 覆盖掉同名源）——
+// 只有**纯删除**路径（account_delete / 停用）才暴露。故判据必须走删除路径。
+func TestAccountDeleteRemovesItsSource(t *testing.T) {
+	t.Run("授予 remove_source 时应撤掉源", func(t *testing.T) {
+		h := newRemoveSourceHarness(t, true)
+		h.addAccount("del-a")
+		if got := h.sourceNames(); !hasName(got, "channels-buddy-del-a") {
+			t.Fatalf("前置条件：账号源应已建立，实得 %v", got)
+		}
+		h.deleteAccount("del-a")
+		if got := h.sourceNames(); hasName(got, "channels-buddy-del-a") {
+			t.Fatalf("账号已删但源仍在 ⇒ 已删账号继续对外服务：%v", got)
+		}
+		t.Log("✓ 删除账号同时撤掉其源")
+	})
+
+	t.Run("未授予 remove_source 时必须**可见地**失败（不能静默）", func(t *testing.T) {
+		h := newRemoveSourceHarness(t, false)
+		h.addAccount("del-b")
+		h.deleteAccount("del-b")
+		// 源确实撤不掉（权限不足）——这是环境的限制，不是我们要判的
+		// 我们要判的是：**这件事必须被记录下来**，而不是消失在一个被丢弃的返回值里。
+		logs := h.eventLog()
+		joined := strings.Join(logs, " | ")
+		if !strings.Contains(joined, "撤源失败") {
+			t.Fatalf("撤源被拒却没有任何记录 ⇒ 权限缺失会一直静默（表现是"+
+				"「删了账号却还在用」）\n事件日志: %s", joined)
+		}
+		if !strings.Contains(joined, "remove_source") {
+			t.Fatalf("记录里应点明是哪个内核动作被拒（便于给运维可操作提示），实得: %s", joined)
+		}
+		// ★ 必须带上**真正的原因**（not granted），而不是"无返回"这类空话。
+		//  内核桥失败时**第一个返回值是 nil、原因在第二个返回值里** ——
+		//  只接第一个返回值就会把原因丢掉（我第一版正是如此）。
+		if !strings.Contains(joined, "not granted") {
+			t.Fatalf("记录里必须含内核给出的**真实原因**（not granted），"+
+				"否则运维无从下手（只接 call 的第一个返回值就会丢掉原因）；实得: %s", joined)
+		}
+		t.Logf("✓ 撤源失败已可见: %s", joined)
+	})
+}
+
+// ── harness ──
+
+type removeSourceHarness struct {
+	t  *testing.T
+	ps *lua.Plugins
+}
+
+func newRemoveSourceHarness(t *testing.T, grantRemove bool) *removeSourceHarness {
+	t.Helper()
+	c := kernelTestCore(t)
+	ps := c.Plugins()
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	if err := ps.LoadSource("channels", src); err != nil {
+		t.Fatal(err)
+	}
+	// ★ 照生产现状：add_source 有、remove_source 视参数而定
+	// 注意：status 是插件自己的导出，与内核权限无关（之前误当权限项）
+	actions := []string{"add_source", "list_sources"}
+	if grantRemove {
+		actions = append(actions, "remove_source")
+	}
+	_ = ps.SetPluginKernelPermission("channels", actions, false)
+	return &removeSourceHarness{t: t, ps: ps}
+}
+
+func (h *removeSourceHarness) addAccount(id string) {
+	h.t.Helper()
+	if _, err := h.ps.Call("channels", "account_add", map[string]interface{}{
+		"platform": "buddy", "account_id": id,
+		"credential": `{"access_token":"AT","uid":"u1"}`,
+	}); err != nil {
+		h.t.Fatalf("account_add(%s): %v", id, err)
+	}
+}
+
+func (h *removeSourceHarness) deleteAccount(id string) {
+	h.t.Helper()
+	if _, err := h.ps.Call("channels", "account_delete", map[string]interface{}{
+		"platform": "buddy", "account_id": id,
+	}); err != nil {
+		h.t.Fatalf("account_delete(%s): %v", id, err)
+	}
+}
+
+func (h *removeSourceHarness) sourceNames() []string {
+	h.t.Helper()
+	res, err := h.ps.Call("channels", "__list_sources_probe", map[string]interface{}{})
+	if err != nil {
+		h.t.Fatal(err)
+	}
+	j := jsonOf(h.t, res)
+	var out []string
+	arr, _ := j["sources"].([]interface{})
+	for _, e := range arr {
+		if m, ok := e.(map[string]interface{}); ok {
+			if n, ok := m["name"].(string); ok {
+				out = append(out, n)
+			}
+		}
+	}
+	return out
+}
+
+// eventLog 取插件事件日志（logEvent 写进 plugin.state.log）。
+// ⚠ 走探针：`status` 是 HTTP 路由处理器，**不在** plugin.exports 里，
+// 直接 Call 它会报 `does not export "status"`（我第一版就这么错）。
+func (h *removeSourceHarness) eventLog() []string {
+	h.t.Helper()
+	res, err := h.ps.Call("channels", "__event_log_probe", map[string]interface{}{})
+	if err != nil {
+		h.t.Fatal(err)
+	}
+	j := jsonOf(h.t, res)
+	var out []string
+	arr, _ := j["log"].([]interface{})
+	for _, e := range arr {
+		if s, ok := e.(string); ok {
+			out = append(out, s)
+		}
+	}
+	return out
+}
+
+func hasName(xs []string, want string) bool {
+	for _, x := range xs {
+		if x == want {
+			return true
+		}
+	}
+	return false
+}
+
+// ★ 插件**声明**的内核动作必须覆盖它**实际调用**的全部动作。
+//
+// 真实缺陷：`plugin.kernel` 只声明了 5 个动作，而插件在 5 处调用 `remove_source`
+// —— 声明与使用**漂移**。生产只授了声明过的那些 ⇒ 撤源全部被拒，且因为
+// `AddSource` 是**同名 upsert**（add 会覆盖，看不出 remove 失败），
+// 只有**纯删除路径**才暴露：**账号删了，它的源还在对外服务**。
+//
+// 判据用**静态扫描**（源码里出现的 call("X")）对比声明清单 —— 这样将来任何人
+// 加了新的内核调用却忘了声明，都会在这里报红，而不是等线上静默失效。
+func TestChannelsDeclaresEveryKernelActionItCalls(t *testing.T) {
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	s := string(src)
+
+	// ① 抽出声明清单
+	declStart := strings.Index(s, "plugin.kernel = {")
+	if declStart < 0 {
+		t.Fatal("找不到 plugin.kernel 声明（判据需更新）")
+	}
+	declEnd := strings.Index(s[declStart:], "}")
+	if declEnd < 0 {
+		t.Fatal("plugin.kernel 声明没有收尾大括号")
+	}
+	declBlob := s[declStart : declStart+declEnd]
+	declared := map[string]bool{}
+	for _, m := range regexp.MustCompile(`"([a-z_]+)"`).FindAllStringSubmatch(declBlob, -1) {
+		declared[m[1]] = true
+	}
+	if len(declared) == 0 {
+		t.Fatal("声明清单解析为空（判据失效）")
+	}
+
+	// ② 抽出实际调用的动作
+	called := map[string]bool{}
+	for _, m := range regexp.MustCompile(`__llmsproxy_kernel\.call\(\s*"([a-z_]+)"`).FindAllStringSubmatch(s, -1) {
+		called[m[1]] = true
+	}
+	if len(called) == 0 {
+		t.Fatal("没扫描到任何内核调用（判据失效）")
+	}
+
+	// ③ 逐个比对：调用而未声明 = 漏声明（运维照声明授权 ⇒ 该调用必被拒）
+	var missing []string
+	for a := range called {
+		if !declared[a] {
+			missing = append(missing, a)
+		}
+	}
+	if len(missing) > 0 {
+		sort.Strings(missing)
+		t.Fatalf("插件调用了未声明的内核动作 %v\n"+
+			"（运维按 declared 授予 ⇒ 这些调用会被拒；remove_source 漏声明时"+
+			"的表现是「账号删了、源还在对外服务」，且因 AddSource 是 upsert 而静默）",
+			missing)
+	}
+	t.Logf("✓ 声明覆盖全部调用：declared=%d called=%d", len(declared), len(called))
+}

internal/core/channels_reorder_effect_test.go

@@ -0,0 +1,251 @@
+package core
+
+import (
+	"testing"
+
+	"llmsproxy/internal/lua"
+)
+
+// ★ account_reorder 必须**真的改变内核里的源顺序**。
+//
+// 链路：poolList 按 priority 降序 → syncAccountSource 的调用顺序 → 内核里的
+// **源注册顺序** → 内核按 candidates 顺序依次尝试。
+// 而一个源一旦注册，顺序就固定了 —— 改 pool 记录不影响它。故重排后必须按新
+// 顺序 remove+add 一遍。
+//
+// 判据看的是**内核 list_sources 里的真实顺序**（即内核实际会先试谁），
+// 不是 pool 里的 priority 字段（那个改了不代表路由变了）。
+func TestAccountReorderActuallyReordersKernelSources(t *testing.T) {
+	h := newReorderHarness(t)
+	h.addAccount("acct-a")
+	h.addAccount("acct-b")
+
+	// 先确认两个源都在，且初始顺序是 [a, b]（account_add 的注册顺序）。
+	// ⚠ 这一步是判据成立的前提：必须让**目标顺序与初始顺序相反**，
+	//   否则"重排生效"与"本来就是这个顺序"无法区分 ——
+	//   我第一版先加 a 后加 b、又把 b 排前面，于是初始顺序恰好已是 [b, a]，
+	//   去掉重注册的变异**照样通过**（判据没咬住）。
+	before := h.sourceOrder()
+	if len(before) < 2 {
+		t.Fatalf("应有 2 个账号源，实得 %v", before)
+	}
+	if before[0] != "channels-buddy-acct-a" {
+		t.Fatalf("前置条件不成立：初始顺序应为 [a, b]（add 顺序），实得 %v —— "+
+			"若初始已是目标顺序，本判据无法区分「重排生效」与「本来就对」", before)
+	}
+
+	// 把 b 排到前面（ordered_ids 顺序即优先级，第一个最高）——
+	// 目标顺序与初始相反，故只有真的重注册才能达成。
+	if _, err := h.ps.Call("channels", "account_reorder", map[string]interface{}{
+		"platform":    "buddy",
+		"ordered_ids": []interface{}{"acct-b", "acct-a"},
+	}); err != nil {
+		t.Fatal(err)
+	}
+	after := h.sourceOrder()
+	if len(after) < 2 {
+		t.Fatalf("重排后源丢了：%v", after)
+	}
+
+	idxOf := func(list []string, id string) int {
+		for i, n := range list {
+			if n == id {
+				return i
+			}
+		}
+		return -1
+	}
+	b, a := idxOf(after, "channels-buddy-acct-b"), idxOf(after, "channels-buddy-acct-a")
+	if b < 0 || a < 0 {
+		t.Fatalf("重排后找不到账号源：%v", after)
+	}
+	if b > a {
+		t.Fatalf("重排未生效：acct-b 应排在 acct-a **之前**（内核先试它），"+
+			"实际顺序 %v\n（只改 pool.priority 不改源注册顺序的话，路由不会变 —— "+
+			"快到期积分仍不会优先消耗）", after)
+	}
+	t.Logf("✓ 源顺序已按重排生效: %v", after)
+}
+
+// ── harness ──
+
+type reorderHarness struct {
+	t  *testing.T
+	ps *lua.Plugins
+}
+
+func newReorderHarness(t *testing.T) *reorderHarness {
+	t.Helper()
+	c := kernelTestCore(t)
+	ps := c.Plugins()
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	if err := ps.LoadSource("channels", src); err != nil {
+		t.Fatal(err)
+	}
+	// ★ 必须授予 add_source：不给的话 syncAccountSource 里内核会明确拒绝
+	//   （"kernel action add_source is not granted"），源一个都不会出现 ——
+	//   我第一版漏了它，于是"应有 2 个源，实得 []"。
+	_ = ps.SetPluginKernelPermission("channels",
+		[]string{"add_source", "remove_source", "list_sources", "status"}, false)
+	return &reorderHarness{t: t, ps: ps}
+}
+
+func (h *reorderHarness) addAccount(id string) {
+	h.t.Helper()
+	if _, err := h.ps.Call("channels", "account_add", map[string]interface{}{
+		"platform": "buddy", "account_id": id,
+		"credential": `{"access_token":"AT","uid":"u1"}`,
+	}); err != nil {
+		h.t.Fatalf("account_add(%s): %v", id, err)
+	}
+}
+
+// sourceOrder 返回内核里 channels-buddy-* 源的顺序（即实际尝试顺序）。
+//
+// ⚠ **必须只读**：我第一版在这里顺带调了 __sync_source_probe（它内部是
+// remove+add）⇒ 改变了被测状态，"测之前先动了被测对象"，判据因此不可信
+// （实测表现：顺序忽而两个忽而一个）。
+func (h *reorderHarness) sourceOrder() []string {
+	h.t.Helper()
+	ls, err := h.ps.Call("channels", "__list_sources_probe", map[string]interface{}{})
+	if err != nil {
+		h.t.Fatalf("__list_sources_probe: %v", err)
+	}
+	j := jsonOf(h.t, ls)
+	var out []string
+	arr, _ := j["sources"].([]interface{})
+	for _, e := range arr {
+		m, ok := e.(map[string]interface{})
+		if !ok {
+			continue
+		}
+		n, _ := m["name"].(string)
+		if len(n) > 15 && n[:15] == "channels-buddy-" {
+			out = append(out, n)
+		}
+	}
+	return out
+}
+
+// ★ poolList 的顺序必须**确定**（同秒创建的账号也不例外）。
+//
+// 真实缺陷：排序键是 `createdAt`（**秒级**），同秒建的两个账号比较相等，
+// 而相等时 table.sort 的结果取决于 pairs() 遍历顺序 —— **不确定**。
+// 实测：按 a,b,c 顺序建三个账号，poolList 回的是 [a,c,b]。
+//
+// 后果不只是"顺序看着乱"：源注册顺序 = poolList 顺序 = **内核尝试顺序**，
+// 故同秒创建的账号里"先试哪个"是随机的（buddy 15 天窗口下会影响先用谁的积分），
+// 且可能每次进程重启都变。用 id 作稳定兜底键后可完全确定。
+func TestPoolListOrderIsDeterministic(t *testing.T) {
+	// ⚠ 这条判据必须走**批量重注册**路径（reorder 会按 poolList 顺序重放源）。
+	//   `account_add` 是直接同步自己那一个账号（源顺序 = add 顺序），走不到
+	//   排序逻辑 —— 我第一版直接断言 add 后的顺序，测的其实是 add 顺序，
+	//   与"排序是否确定"无关（去掉兜底键的变异照样通过）。
+	//
+	// 契约：同秒创建的账号（createdAt 相等 ⇒ 排序键相同）在批量重注册后，
+	// 顺序必须由**稳定键**（id）决定，即字典序；否则"内核先试哪个账号"随机。
+	h := newReorderHarness(t)
+	for _, id := range []string{"acct-c", "acct-b", "acct-a"} {
+		h.addAccount(id)
+	}
+	// 触发批量重注册：按 id 字典序显式指定 ordered_ids（priority 依次递减）
+	if _, err := h.ps.Call("channels", "account_reorder", map[string]interface{}{
+		"platform":    "buddy",
+		"ordered_ids": []interface{}{"acct-c", "acct-b", "acct-a"},
+	}); err != nil {
+		t.Fatal(err)
+	}
+	// priority 已按给定顺序区分开 ⇒ 这里先确认**显式顺序生效**
+	order := h.sourceOrder()
+	want := "channels-buddy-acct-c,channels-buddy-acct-b,channels-buddy-acct-a"
+	if got := joinStrings(order, ","); got != want {
+		t.Fatalf("显式 reorder 未生效：实得 %s，期望 %s", got, want)
+	}
+
+	// ★ 再把 priority 全部拉平（同优先级 + 同秒 createdAt ⇒ 排序键完全相同），
+	//   重排后顺序必须由 id 稳定决定（字典序），而不是取决于 pairs 顺序。
+	h.clearPriorities()
+	if !sameSecond(h.createdAts()) {
+		t.Skipf("三个账号的 createdAt 不同秒（%v）—— 跑不到同键路径，跳过", h.createdAts())
+	}
+	if _, err := h.ps.Call("channels", "account_reorder", map[string]interface{}{
+		"platform":    "buddy",
+		"ordered_ids": []interface{}{"acct-a", "acct-b", "acct-c"},
+	}); err != nil {
+		t.Fatal(err)
+	}
+	h.clearPriorities()
+	h.resync("buddy")
+	order2 := h.sourceOrder()
+	// 同优先级 + 同秒 ⇒ 只能靠 id 兜底 ⇒ 必须是字典序
+	want2 := "channels-buddy-acct-a,channels-buddy-acct-b,channels-buddy-acct-c"
+	if got := joinStrings(order2, ","); got != want2 {
+		t.Fatalf("同优先级同秒创建时，顺序必须由**稳定键**(id)决定，实得 %s，期望 %s\n"+
+			"（createdAt 是秒级、同秒相等 ⇒ 必须有确定性兜底，否则「先试哪个账号」随机）",
+			got, want2)
+	}
+	t.Logf("✓ 同键时顺序由 id 稳定决定: %s", want2)
+}
+
+func joinStrings(xs []string, sep string) string {
+	out := ""
+	for i, x := range xs {
+		if i > 0 {
+			out += sep
+		}
+		out += x
+	}
+	return out
+}
+
+// createdAts 取当前 pool 里 buddy 账号的 createdAt。
+func (h *reorderHarness) createdAts() []int64 {
+	h.t.Helper()
+	res, err := h.ps.Call("channels", "account_list", map[string]interface{}{"platform": "buddy"})
+	if err != nil {
+		h.t.Fatal(err)
+	}
+	var out []int64
+	for _, a := range accountsOf(h.t, res) {
+		if v, ok := a["createdAt"].(float64); ok {
+			out = append(out, int64(v))
+		}
+	}
+	return out
+}
+
+// sameSecond 判断是否所有时间戳都落在同一秒（即排序键相等）。
+func sameSecond(ts []int64) bool {
+	if len(ts) < 2 {
+		return false
+	}
+	for _, v := range ts {
+		if v != ts[0] {
+			return false
+		}
+	}
+	return true
+}
+
+// clearPriorities 把所有账号的 priority 拉平（构造"排序键完全相同"的场景）。
+func (h *reorderHarness) clearPriorities() {
+	h.t.Helper()
+	if _, err := h.ps.Call("channels", "__clear_priorities_probe", map[string]interface{}{
+		"platform": "buddy",
+	}); err != nil {
+		h.t.Fatalf("__clear_priorities_probe: %v", err)
+	}
+}
+
+// resync 触发一次批量重注册（走 poolList 顺序 → 源注册顺序）。
+func (h *reorderHarness) resync(platform string) {
+	h.t.Helper()
+	if _, err := h.ps.Call("channels", "__resync_sources_probe", map[string]interface{}{
+		"platform": platform,
+	}); err != nil {
+		h.t.Fatalf("__resync_sources_probe: %v", err)
+	}
+}

internal/core/channels_trae_catalog_test.go

@@ -0,0 +1,230 @@
+package core
+
+import (
+	"fmt"
+	"io"
+	"net/http"
+	"net/http/httptest"
+	"strings"
+	"sync"
+	"testing"
+
+	"llmsproxy/internal/lua"
+)
+
+// ★ TRAE 的 batch 模型目录解析：两个**真实缺陷**必须在移植时一起带上
+// （参考 parseTraeBatchModelList 的注释记录了它们）。
+//
+// ① **通道白名单是「准入」而不只是「排序」**（issue IKJOZ7）：
+//
+//	22 个 function 里有一半在本插件推理端点下不可调用（实测 chat→4023
+//	model unknown、builder→4001、inline_chat→3003）。旧实现只把白名单用于
+//	"同模型择优"，于是"目录声明什么就发什么" ⇒ 用户选中那些模型必然失败，
+//	且错误指向**模型**，极易被误判成"这个模型坏了"。
+//
+// ② **空档位不得覆盖有档位**（issue IKI7WT/IKILR7）：
+//
+//	旧实现无条件"后覆盖前"，假设（后面的配置更全）与真实数据**相反** ——
+//	上游把空档位的 solo_work_lite 排在最后，实测 13 个模型因此丢掉
+//	reasoning_effort_config，全部显示"未提供推理等级"。
+func TestTraeBatchModelCatalogAdmissionAndReasoningProvenance(t *testing.T) {
+	var mu sync.Mutex
+	var gotBody string
+	h := newTraeCatalogHarness(t, func(body string) {
+		mu.Lock()
+		gotBody = body
+		mu.Unlock()
+	})
+
+	ids := catalogIDs(t, h, "trae")
+	joined := strings.Join(ids, ",")
+
+	// ① 白名单准入：不可调用通道里的模型必须**被丢弃**
+	if strings.Contains(joined, "only-in-bad-channel") {
+		t.Fatalf("不可调用通道（chat/builder/inline_chat）里的模型必须整组丢弃，"+
+			"否则用户选中它必然失败且错误指向模型：%v", ids)
+	}
+	// 但通用通道里的模型要在
+	if !strings.Contains(joined, "glm-5.2") {
+		t.Fatalf("可调用通道里的模型不该被丢：%v", ids)
+	}
+
+	// ② 空档位不得覆盖有档位：同一模型在 solo_agent（有档位）与
+	//    solo_work_lite（空档位，**排在后面**）都出现 ⇒ 必须保留有档位那条。
+	//    判据看**报出的档位**，不是"哪条被选中"这类内部信号。
+	if !h.modelHasReasoningOptions("glm-5.2") {
+		t.Fatalf("glm-5.2 的思考档位被空档位条目覆盖了 —— 上游把空档位的"+
+			"solo_work_lite 排在最后，无条件后覆盖前会让模型显示"+
+			"「未提供推理等级」（issue IKI7WT/IKILR7）：%v", ids)
+	}
+
+	// ③ 请求体必须传**全部 22 个 function**（与真实 IDE 一致）——
+	//    只传聊天通道会让非聊天通道条目在响应里位置错乱甚至被跳过。
+	mu.Lock()
+	b := gotBody
+	mu.Unlock()
+	if b == "" {
+		t.Fatal("未捕获到目录请求体")
+	}
+	for _, want := range []string{"ui_builder_v2", "inline_chat", "system_diagnosis", "show_custom_model"} {
+		if !strings.Contains(b, want) {
+			t.Fatalf("目录请求体必须与真实 IDE 一致传全部 function（缺 %q）：%s", want, b)
+		}
+	}
+}
+
+// 四条硬性过滤：usage / config_switch / is_invisible_to_user / 必须有 function。
+func TestTraeBatchModelCatalogHardFilters(t *testing.T) {
+	h := newTraeCatalogHarness(t, nil)
+	ids := catalogIDs(t, h, "trae")
+	joined := strings.Join(ids, ",")
+	for _, bad := range []string{"summary-model", "disabled-model", "hidden-model", "custom-flag-model"} {
+		if strings.Contains(joined, bad) {
+			t.Errorf("%s 应被硬性过滤掉（usage/switch/invisible）：%v", bad, ids)
+		}
+	}
+	// ⚠ 判据是**标志的值**，不是模型名：名字带 custom_model_ 前缀但标志为 false
+	// 的条目必须保留（参考实测：曾据此把 qwen3.8-flash 误记为应剔除，它其实可用）。
+	if !strings.Contains(joined, "custom_model_prefix_but_ok") {
+		t.Errorf("is_custom_model=false 的条目必须保留（判据是标志值而非模型名）：%v", ids)
+	}
+	// ⚠ 我第一版把 no-function-model 放进 solo_agent 的 config_info_list 里，
+	// 却断言它应被丢弃 —— 那是**夹具写错**：它在合法组内，保留才是对的。
+	// 「未声明 function」指的是**整个 function_configs 组**没有 function 字段。
+	if !strings.Contains(joined, "no-function-model") {
+		t.Errorf("合法组内的条目不该被丢：%v", ids)
+	}
+	t.Logf("✓ 过滤后目录: %v", ids)
+}
+
+// ── harness：假上游返回一份 batch_get_detail_param 形态的目录 ──
+
+type traeCatalogHarness struct {
+	t  *testing.T
+	ps *lua.Plugins
+}
+
+func newTraeCatalogHarness(t *testing.T, onBody func(string)) *traeCatalogHarness {
+	t.Helper()
+	ts := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		b, _ := io.ReadAll(r.Body)
+		if onBody != nil {
+			onBody(string(b))
+		}
+		w.Header().Set("Content-Type", "application/json")
+		// 三个通道：
+		//   solo_agent（**可调用**，白名单内）—— glm-5.2 **有**档位
+		//   solo_work_lite（白名单内，**排在后面**）—— glm-5.2 **空档位**
+		//   inline_chat（**白名单外**）—— 只列出 only-in-bad-channel
+		fmt.Fprint(w, `{"function_configs":[`+
+			// ① solo_agent：glm-5.2 有档位；另有三个必被硬性过滤的条目
+			`{"function":"solo_agent","config_info_list":[`+
+			`{"config_name":"glm-5.2","usage":"chat_completion","config_switch":true,`+
+			`"reasoning_effort_config":{"support_thinking":true,"options":["high","low"]}},`+
+			`{"config_name":"summary-model","usage":"summary","config_switch":true},`+
+			`{"config_name":"disabled-model","usage":"chat_completion","config_switch":false},`+
+			`{"config_name":"hidden-model","usage":"chat_completion","config_switch":true,"is_invisible_to_user":true},`+
+			`{"config_name":"no-function-model","usage":"chat_completion","config_switch":true},`+
+			// is_custom_model=true ⇒ 上游以流内 4001 拒绝（"仅可见但不可调用"）
+			`{"config_name":"custom-flag-model","usage":"chat_completion","config_switch":true,`+
+			`"display_config":{"is_custom_model":true}},`+
+			// 对照组：名字带 custom_model_ 前缀但**标志为 false** ⇒ 必须**保留**
+			// （参考点名：判据是标志的值，不是模型名）
+			`{"config_name":"custom_model_prefix_but_ok","usage":"chat_completion","config_switch":true,`+
+			`"display_config":{"is_custom_model":false}}`+
+			`]},`+
+			// ② solo_work_lite 排在**后面**：glm-5.2 在这里**没有**档位配置
+			`{"function":"solo_work_lite","config_info_list":[`+
+			`{"config_name":"glm-5.2","usage":"chat_completion","config_switch":true}`+
+			`]},`+
+			// ③ 白名单外通道：整组必须被丢弃
+			`{"function":"inline_chat","config_info_list":[`+
+			`{"config_name":"only-in-bad-channel","usage":"chat_completion","config_switch":true}`+
+			`]}`+
+			`]}`)
+	}))
+	t.Cleanup(ts.Close)
+
+	c := kernelTestCore(t)
+	ps := c.Plugins()
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	if err := ps.LoadSource("channels", src); err != nil {
+		t.Fatal(err)
+	}
+	h := &traeCatalogHarness{t: t, ps: ps}
+	// 把目录端点指到假上游
+	if _, err := ps.Call("channels", "set_endpoints", map[string]interface{}{
+		"platform":      "trae",
+		"models_remote": map[string]interface{}{"endpoint0": ts.URL},
+	}); err != nil {
+		t.Fatal(err)
+	}
+	// 塞一个 TRAE 账号（目录请求需要凭据）
+	if _, err := ps.Call("channels", "account_add", map[string]interface{}{
+		"platform":   "trae",
+		"account_id": "cat-trae",
+		"credential": `{"access_token":"AT","uid":"u1","refresh_token":"RT"}`,
+	}); err != nil {
+		t.Fatal(err)
+	}
+	return h
+}
+
+func catalogIDs(t *testing.T, h *traeCatalogHarness, platform string) []string {
+	t.Helper()
+	if _, err := h.ps.Call("channels", "model_refresh",
+		map[string]interface{}{"platform": platform}); err != nil {
+		t.Fatalf("model_refresh: %v", err)
+	}
+	res, err := h.ps.Call("channels", "model_list", map[string]interface{}{"platform": platform})
+	if err != nil {
+		t.Fatal(err)
+	}
+	j := jsonOf(t, res)
+	var out []string
+	arr, _ := j["models"].([]interface{})
+	for _, e := range arr {
+		if m, ok := e.(map[string]interface{}); ok {
+			if id, ok := m["id"].(string); ok {
+				out = append(out, id)
+			}
+		}
+	}
+	return out
+}
+
+// modelHasReasoningOptions 查某模型是否被报出思考档位（走 model_list 的字段）。
+func (h *traeCatalogHarness) modelHasReasoningOptions(modelID string) bool {
+	h.t.Helper()
+	res, err := h.ps.Call("channels", "model_list", map[string]interface{}{"platform": "trae"})
+	if err != nil {
+		h.t.Fatal(err)
+	}
+	j := jsonOf(h.t, res)
+	arr, _ := j["models"].([]interface{})
+	for _, e := range arr {
+		m, ok := e.(map[string]interface{})
+		if !ok {
+			continue
+		}
+		if m["id"] != modelID {
+			continue
+		}
+		// 档位的真实出口：model_list 把远端目录解出的档位放在
+		// `remote.efforts`（并镜像到顶层 efforts），另有 reasoning=true。
+		for _, k := range []string{"efforts", "reasoning_options", "reasoningOptions"} {
+			if v, ok := m[k].([]interface{}); ok && len(v) > 0 {
+				return true
+			}
+		}
+		if rm, ok := m["remote"].(map[string]interface{}); ok {
+			if v, ok := rm["efforts"].([]interface{}); ok && len(v) > 0 {
+				return true
+			}
+		}
+	}
+	return false
+}

internal/core/channels_upstream_gaps_test.go

@@ -27,8 +27,12 @@ func TestUpstreamGapsAreDocumented(t *testing.T) {
 	s := string(src)
 
 	t.Run("qoder 走明文端点且不经过信封", func(t *testing.T) {
-		// 明文端点（OpenAI 兼容）：参考 QODER_CHAT_PATH
-		if !strings.Contains(s, "https://api2-v2.qoder.sh/model/v1/chat/completions") {
+		// 明文端点（OpenAI 兼容）：参考 QODER_CHAT_PATH。
+		// ⚠ 断言 **URL 的两半**而不是那一整串字面量：本仓已把"路径从 base_url
+		// 移到 endpoint"（内核 URL = base_url + endpoint）—— 继续钉死整串会让
+		// 一个纯粹的形态重构把这条**语义**判据弄红，那是判据在咬自己。
+		if !strings.Contains(s, `base_url = "https://api2-v2.qoder.sh"`) ||
+			!strings.Contains(s, `endpoint = "/model/v1/chat/completions"`) {
 			t.Fatal("qoder 的 chat 端点变了 —— 若改成加密端点 agent_chat_generation，" +
 				"则**必须**同时实现信封解包（qoder-envelope）与 WASM 签名，" +
 				"否则响应会被当成畸形数据")

internal/lua/adapter_opencodezen_reasoning_test.go

@@ -0,0 +1,112 @@
+package lua
+
+import (
+	"encoding/json"
+	"strings"
+	"testing"
+)
+
+// loadZenVM 装载 opencodezen 适配器（照 adapter_opencodezen_test.go 的方式）。
+func loadZenVM(t *testing.T) *VM {
+	t.Helper()
+	src, err := bundledAdapters.ReadFile("adapters/opencodezen.lua")
+	if err != nil {
+		t.Fatal(err)
+	}
+	vm := NewVM(t.TempDir())
+	t.Cleanup(vm.Stop)
+	if err := vm.LoadAdapterSource("opencodezen", string(src)); err != nil {
+		t.Fatalf("加载失败: %v", err)
+	}
+	return vm
+}
+
+// ★ assistant 回合的 reasoning_content **必须回传**给 opencode 上游。
+//
+// 真实缺陷（生产实测，2026-10-16）：
+//
+//	provider localzen: api error 400: Upstream request failed: [invalid_request_error]
+//	The `reasoning_content` in the thinking mode must be passed back to the API.
+//
+// 根因：transform_request 里写了 `msg.reasoning_content = nil`，理由是
+// "Zen 免费池不接受回传"。该假设**方向反了** —— 上游要的就是它。
+//
+// ★★ 这个缺陷极难归因，因为失败是**交替**出现的：
+// 只有当上一轮**真的产出了 reasoning**（thinking 模型 + reasoning_effort 开启）
+// 时，回放那段历史才会被拒；普通回合照常 200。审计里表现为成串 502 紧随一个
+// 成功的长上下文请求（实测 prompt_tokens=139330）之后。
+//
+// 判据必须**咬住「被剥掉」这个具体行为**，而不是"请求成功" —— 后者在
+// 非 thinking 回合下永远为真，测不出这个缺陷。
+func TestOpenCodeZenKeepsAssistantReasoningContent(t *testing.T) {
+	vm := loadZenVM(t)
+
+	body := map[string]interface{}{
+		"model":  "deepseek-v4.1-flash-free",
+		"stream": true,
+		"messages": []map[string]interface{}{
+			{"role": "user", "content": "1+1=?"},
+			{
+				"role":    "assistant",
+				"content": "2",
+				// 这段正是 agent 回放历史时会带上的东西
+				"reasoning_content": "一加一等于二。",
+			},
+			{"role": "user", "content": "再加一"},
+		},
+	}
+	raw, err := json.Marshal(body)
+	if err != nil {
+		t.Fatal(err)
+	}
+	out, err := vm.Transform("opencodezen", "transform_request", string(raw))
+	if err != nil {
+		t.Fatal(err)
+	}
+
+	// 解析出站体，找 assistant 回合
+	var sent struct {
+		Messages []map[string]interface{} `json:"messages"`
+	}
+	if err := json.Unmarshal([]byte(out), &sent); err != nil {
+		t.Fatalf("出站体不是合法 JSON: %v\n%s", err, out)
+	}
+	var found bool
+	for _, m := range sent.Messages {
+		if m["role"] != "assistant" {
+			continue
+		}
+		found = true
+		rc, _ := m["reasoning_content"].(string)
+		if rc == "" {
+			t.Fatalf("assistant 回合的 reasoning_content 被剥掉了 ⇒ 上游会回 "+
+				"`The reasoning_content in the thinking mode must be passed back to the API`\n"+
+				"出站 messages: %s", out)
+		}
+		if rc != "一加一等于二。" {
+			t.Errorf("reasoning_content 被改写：%q", rc)
+		}
+	}
+	if !found {
+		t.Fatalf("没找到 assistant 回合（判据失效）\n%s", out)
+	}
+	t.Log("✓ assistant 的 reasoning_content 已保留")
+}
+
+// ★ 反向：**空的** reasoning_content 应被丢掉（不要把空串发给上游）。
+// 与上一条配对 —— 缺了这条，"改成无条件保留"这类过度修正不会被发现。
+func TestOpenCodeZenDropsEmptyReasoningContent(t *testing.T) {
+	vm := loadZenVM(t)
+
+	raw := `{"model":"m","stream":true,"messages":[
+	  {"role":"assistant","content":"hi","reasoning_content":""}
+	]}`
+	out, err := vm.Transform("opencodezen", "transform_request", raw)
+	if err != nil {
+		t.Fatal(err)
+	}
+	if strings.Contains(out, `"reasoning_content":""`) {
+		t.Errorf("空的 reasoning_content 不该发给上游（多余字段，部分上游会挑），实得: %s", out)
+	}
+	t.Log("✓ 空 reasoning_content 已丢弃")
+}

internal/lua/adapters/opencodezen.lua

@@ -11,8 +11,14 @@ adapter.endpoint = "/chat/completions"
 --
 --   * 本适配器（Zen）服务免费池 / 按量付费池。免费模型必须带 opencode 客户端
 --     指纹（UA + x-opencode-*），否则上游拒绝："free tier can only be used in
---     OpenCode"。Zen 的免费池以非 thinking 模型为主，历史上回传
---     reasoning_content 会引出上游报错，故这里剥掉（Go 侧相反，见 opencodego.lua）。
+--     OpenCode"。
+--     ★ reasoning_content：**保留**（与 Go 侧一致）。此前这里写「剥掉」是基于
+--     「免费池以非 thinking 模型为主、回传会报错」的假设，**生产实测已证伪** ——
+--     剥掉恰恰会引发
+--       The `reasoning_content` in the thinking mode must be passed back to the API
+--     （详见 transform_request 内的长注释：失败只在「上一轮真的产出了 reasoning」
+--     时才出现，故表现为同一会话里成功/失败交替，极难归因）。
+--     参考的共享序列化器（openai-compat.ts）也是「有就回传」。
 --   * Go 订阅读者请看 opencodego.lua：那边**必须**回传 reasoning_content，
 --     否则 thinking 模式直接 400。
 --
@@ -219,26 +225,50 @@ function adapter.transform_request(raw_body)
             if type(msg.role) == "string" and not ROLE_WHITELIST[msg.role] then
                 msg.role = "system"
             end
-            -- Zen 免费池不接受回传 reasoning_content（Go 侧相反）
-            msg.reasoning_content = nil
+              -- ★ 必须**保留** reasoning_content（不再剥离）。
+              --
+              -- 历史：这里原先写 `msg.reasoning_content = nil`，理由是「Zen 免费池
+              -- 不接受回传」。**生产实测证伪**（2026-10-16）：
+              --   provider localzen: api error 400: Upstream request failed:
+              --   [invalid_request_error] The `reasoning_content` in the thinking
+              --   mode must be passed back to the API.
+              -- 失败形态很隐蔽：**同一模型同一会话里成功与失败交替出现** ——
+              -- 因为只有当上一轮**真的产出了 reasoning**（thinking 模型、
+              -- reasoning_effort 开启、长上下文）时，回放该历史才会被拒；
+              -- 剥掉之后，客户端看到的 502 与「上一轮想过」这件事毫无关联。
+              -- 审计文件里能看到成串 502 紧跟在一个 prompt_tokens=139330 的
+              -- 成功请求之后 —— 那正是「想了、但下一轮我们没把它还回去」。
+              --
+              -- 参考实现（`openai-compat.ts` 的 serializeMessages，opencode 适配器
+              -- 直接复用）在 assistant 回合携带 reasoning 时**就带上**该字段：
+              --   `...reasoning.length > 0 ? { reasoning_content: reasoning } : {}`
+              -- 即「有就回传」，没有额外条件 —— 与本适配器此前的假设方向相反。
+              --
+              -- ⚠️ 不改成「仅当 thinking 开启才回传」：我们**无法**从请求里可靠
+              -- 判定上游是否处于 thinking 模式（真正知道的是上游）。而「有就回传」
+              -- 是零风险方向 —— 上游不需要时忽略即可（实测传与不传同为 200），
+              -- 需要时缺了就是硬 400。
+              if type(msg.reasoning_content) == "string" and msg.reasoning_content == "" then
+                  msg.reasoning_content = nil
+              end
             local drop = false
             if type(msg.content) == "table" then
                 local parts = {}
                 for _, part in ipairs(msg.content) do
                     if type(part) == "table" and part.type ~= nil and part.type ~= "text" then
-                        -- multimodal part not supported by zen
+                      -- multimodal part not supported by zen
                     else
                         table.insert(parts, part)
                     end
                 end
                 if #parts == 0 then
-                    -- Content collapsed to nothing after stripping unsupported
-                    -- parts. A message that still carries a tool call must
-                    -- NEVER be dropped: the very next message is its tool
-                    -- result, and dropping the call orphans that result. The
-                    -- model then sees a result for a call it never made and
-                    -- re-issues the same tool call on every turn (observed as
-                    -- an infinite "repeated tool call" loop).
+                  -- Content collapsed to nothing after stripping unsupported
+                  -- parts. A message that still carries a tool call must
+                  -- NEVER be dropped: the very next message is its tool
+                  -- result, and dropping the call orphans that result. The
+                  -- model then sees a result for a call it never made and
+                  -- re-issues the same tool call on every turn (observed as
+                  -- an infinite "repeated tool call" loop).
                     if (type(msg.tool_calls) == "table" and #msg.tool_calls > 0)
                         or msg.tool_call_id ~= nil then
                         msg.content = ""