feat(channels): reap_orphan_sources —— 清理 v2.0.28 事故留下的存量孤儿源

## 发现路径：查"功能都正常了吗"，逐源核对时发现的
生产 `config.yaml` 里有 21 个源，其中 `channels-buddy-585b335b64cf`
的账号 `585b335b64cf` **早已删除**（v2.0.23/24 的无凭据账号清理），
但它的源**仍在对外服务**：

- 独占提供 `hy4-preview-x` ⇒ 实测报 `404 Route Not Found`；
- 对 **6 个共享模型**则排在新源**前面**先被尝试（config 文件序即注册序）
  ⇒ 每次都撞 404 再回退，**每次白付一次上游往返**（实测 hy4-preview
  稳定 3.1~3.5s）；
- 它的 base_url 还是 v2.0.30 之前的旧口径
  （`https://copilot.tencent.com/v2/chat/completions`，侵占了 endpoint 路径）。

**根因**：这正是 v2.0.28（`remove_source` 漏声明 ⇒ 撤源全被拒）日记里
那句"账号删了、它的源还在对外服务"的**存量残骸**。
v2.0.28 修了声明，**只防新增、不清理存量**。

**发现的一个助力**：v2.0.38 刚修好的错误文案让它暴露得更清楚 ——
客户端拿到的是 `404 Route Not Found`（APISIX 原文）而不是 `unknown error`。

## 修法
1. **立即清理**：走内核正式 API `DELETE /api/sources/<name>` 删掉该孤儿源
   （不手工改配置）。清理前备份配置，三重确认它确无对应账号。
2. **结构性修复**：新增 `reap_orphan_sources` 正式入口
   （`POST channels/reap_orphan_sources`，admin），识别
   `channels-<已知平台>-<账号id>` 且账号**不在**池中的源。

### 安全性（破坏性操作两条纪律，照 `reap_loopbacks` 先例）
- **只删该删的**：按**已知平台 id 前缀**逐个匹配。
  ⚠️ **不能用** `name:match("^channels%-(.+)-(.+)$")` —— Lua 的 `-` 是**贪婪**的，
  会把 `channels-buddy-buddy-main` 切成 plat="buddy-buddy"/acct="main"
  （账号 id 含 `-` 就错，而 `buddy-main` 就含）⇒ **孤儿漏杀**。
  运维手工配的源、旧版单账号源 `channels-<平台>` 一律不碰。
- **`dry_run` 默认开启**：不带 `dry_run=false` 只报告不删。

## 判据（`channels_orphan_source_test.go`，变异 2/2）
- 造出**真实形态**：`account_add` 建账号 → hidden 探针摘池（保留源），
  模拟"源留下"这个状态（不走 `account_delete`：那条路径会把源一并撤掉，
  而我们要的恰恰是它留下的形态）。
- 断言三件事：dry_run 只报告不删、真删后孤儿消失、**手工源全程存活**。
- **判别性用例**：第二个孤儿的账号 id 含 `-`（`dead-acct-1`）。
  这是唯一能区分"按已知平台前缀匹配"与"贪婪 match"的用例 ——
  实测不含 `-` 的 id 两种实现结果相同，**咬不住**（第一版就栽在这）。
- 变异：① `dry_run` 默认改 false ⇒ 报红；② 改回贪婪 match ⇒ 报红。

## ★ 过程中踩到的三个坑（都已记进代码注释）
1. **`Plugins.Call` 的参数是平铺的，不是 `req.body`** —— `bodyOf(req)` 返回空表，
   `dry_run=false` 被静默丢成默认 true ⇒ "真删"永远没发生。
   必须同时兜住两种调用形态（HTTP 路由走 body，插件 Call 平铺）。
2. **内核 `add_source` 取 `args["source"]`（嵌套一层）**，平铺字段被拒
   （"add_source requires a source table"）。
3. **`config.Model` 要求 models 是对象数组 `{id=...}`**，传字符串数组被拒。
4. **判据只查 Go 侧 `err` 会静默通过**：内核把失败放在**返回体**里，
   Go `err` 仍是 nil ⇒ "源根本没注册"看起来像"没有孤儿"。

internal/core/channels_orphan_source_test.go

@@ -0,0 +1,169 @@
+package core
+
+import (
+	"testing"
+)
+
+// ★ 孤儿源必须能被识别、且**只删该删的**。
+//
+// 真实事故（2026-10-17 生产实测）：`channels-buddy-585b335b64cf` 的账号早已删除，
+// 源却仍在 config.yaml 里对外服务 —— 独占服务 hy4-preview-x（404），
+// 对 6 个共享模型则排在正常源**前面**先被尝试（每次白付 ~3.4s 上游往返）。
+//
+// 这是 v2.0.28（remove_source 漏声明）的**存量残骸**：修声明只防新增，不清理存量。
+func TestChannelsReapOrphanSources(t *testing.T) {
+	c := kernelTestCore(t)
+	ps := c.Plugins()
+	src, err := readBundledChannels(t)
+	if err != nil {
+		t.Fatal(err)
+	}
+	if err := ps.LoadSource("channels", src); err != nil {
+		t.Fatalf("加载插件: %v", err)
+	}
+	// 生产里 channels 被授予这些（见 plugin.kernel 声明）；夹具必须同样授权，
+	// 否则 add_source 会被拒 ⇒ 造不出孤儿源。
+	if err := ps.SetPluginKernelPermission("channels",
+		[]string{"add_source", "remove_source", "list_sources", "status"}, false); err != nil {
+		t.Fatalf("授权: %v", err)
+	}
+
+	// 装载前先清空账号池：这样插件初始化流程自己注册的源也一并算孤儿。
+	cleanup := func() interface{} {
+		r, err := ps.Call("channels", "reap_orphan_sources", map[string]interface{}{
+			"dry_run": false,
+		})
+		if err != nil {
+			t.Fatalf("reap_orphan_sources: %v", err)
+		}
+		return r
+	}
+	cleanup()
+
+	// 造出**真实形态**：走 account_add 登记账号（它会注册源），
+	// 再用 hidden 探针把账号从池里摘掉 —— 模拟 v2.0.28 事故的残留形态
+	// （账号已删、撤源被拒 ⇒ 源留下继续对外服务）。
+	// 不走 account_delete：那条路径的收尾已被 TestAccountDelete* 覆盖，
+	// 而我们要的恰恰是"源留下了"这个状态。
+	if r, err := ps.Call("channels", "account_add", map[string]interface{}{
+		"platform": "buddy", "account_id": "deadbeef1234", "credential": "test-cred",
+	}); err != nil {
+		t.Fatalf("account_add: %v", err)
+	} else if j := jsonOf(t, r); j["error"] != nil {
+		t.Fatalf("account_add 报错: %v", j["error"])
+	}
+	// ★ 第二个孤儿：账号 id **含 `-`**。这个用例是判别性的 ——
+	//   用 `name:match("^channels%-(.+)-(.+)$")` 解析会被 Lua 的**贪婪** `-`
+	//   切成 plat="buddy-dead"/acct="acct"（未知平台）⇒ 源被跳过 ⇒ **孤儿漏杀**。
+	//   （实测：只有这个用例能把"按已知平台前缀匹配"与"贪婪匹配"区分开；
+	//     不含 `-` 的 id 两种实现结果相同，咬不住。）
+	if r, err := ps.Call("channels", "account_add", map[string]interface{}{
+		"platform": "buddy", "account_id": "dead-acct-1", "credential": "test-cred",
+	}); err != nil {
+		t.Fatalf("account_add(2): %v", err)
+	} else if j := jsonOf(t, r); j["error"] != nil {
+		t.Fatalf("account_add(2) 报错: %v", j["error"])
+	}
+	// 运维手工源：名字与账号源形态无关 ⇒ 绝不碰
+	if r, err := ps.Call("channels", "__add_source_for_test", map[string]interface{}{
+		"name": "my-handmade-source", "base_url": "http://127.0.0.1:1",
+		"adapter": "openai", "models": []interface{}{"m1"},
+	}); err != nil {
+		t.Fatalf("注册手工源: %v", err)
+	} else if j := jsonOf(t, r); j["error"] != nil {
+		// ★ 必须看 json 里的 error：内核把失败放在返回体里，
+		//   Go 侧 err 仍是 nil ⇒ 只查 err 会让"源根本没注册"静默通过。
+		t.Fatalf("注册手工源报错: %v", j["error"])
+	}
+	// 摘账号（保留源）
+	for _, id := range []string{"deadbeef1234", "dead-acct-1"} {
+		if _, err := ps.Call("channels", "__forget_account_probe", map[string]interface{}{
+			"platform": "buddy", "account_id": id,
+		}); err != nil {
+			t.Fatalf("摘账号 %s: %v", id, err)
+		}
+	}
+
+	// ① dry_run（默认）只报告、不删
+	res, err := ps.Call("channels", "reap_orphan_sources", map[string]interface{}{})
+	if err != nil {
+		t.Fatal(err)
+	}
+	j := jsonOf(t, res)
+	orphans, _ := j["orphans"].([]interface{})
+	seen := map[string]bool{}
+	for _, o := range orphans {
+		if s, _ := o.(string); s != "" {
+			seen[s] = true
+		}
+	}
+	for _, want := range []string{"channels-buddy-deadbeef1234", "channels-buddy-dead-acct-1"} {
+		if !seen[want] {
+			t.Fatalf("★ 没识别出孤儿源 %s（dry_run 应报告它）\n"+
+				"  若 id 含 `-` 的那个漏了 ⇒ 说明用了贪婪 match 解析名字，应改为按已知平台前缀匹配\n"+
+				"  实得 %v", want, seen)
+		}
+	}
+	if seen["my-handmade-source"] {
+		t.Fatalf("★ 误伤运维手工源（名字不匹配账号源形态，绝不能碰）")
+	}
+	if j["dry_run"] != true {
+		t.Fatalf("dry_run 必须默认开启（破坏性操作不得默认生效），实得 %v", j["dry_run"])
+	}
+	if j["removed"].(float64) != 0 {
+		t.Fatalf("dry_run=true 时不得真删，实得 removed=%v", j["removed"])
+	}
+
+	// ② 确认 dry_run 真的没删（看源列表）
+	after, err := ps.Call("channels", "__list_sources_probe", map[string]interface{}{})
+	if err != nil {
+		t.Fatal(err)
+	}
+	names := sourceNames(jsonOf(t, after))
+	if !names["channels-buddy-deadbeef1234"] {
+		t.Fatalf("dry_run 竟真删了！源列表: %v", names)
+	}
+	// 手工源必须存活（名字不匹配账号源形态 ⇒ 不该被识别为孤儿）
+	if !names["my-handmade-source"] {
+		t.Fatalf("dry_run 时就丢了手工源？源列表: %v", names)
+	}
+
+	// ③ 真删：孤儿消失、手工源存活
+	res, err = ps.Call("channels", "reap_orphan_sources", map[string]interface{}{"dry_run": false})
+	if err != nil {
+		t.Fatal(err)
+	}
+	j = jsonOf(t, res)
+	if j["ok"] != true {
+		t.Fatalf("清理应成功，实得 %v", j)
+	}
+	after, err = ps.Call("channels", "__list_sources_probe", map[string]interface{}{})
+	if err != nil {
+		t.Fatal(err)
+	}
+	names = sourceNames(jsonOf(t, after))
+	for _, dead := range []string{"channels-buddy-deadbeef1234", "channels-buddy-dead-acct-1"} {
+		if names[dead] {
+			t.Fatalf("★ 孤儿源 %s 未被清掉（它会继续对外服务无凭据的请求）: %v", dead, names)
+		}
+	}
+	if !names["my-handmade-source"] {
+		t.Fatalf("★ 误删了运维手工源: %v", names)
+	}
+	t.Logf("✓ 孤儿源已清、手工源存活")
+}
+
+// sourceNames 把 __list_sources_probe 的返回摊平成 name→true。
+func sourceNames(j map[string]interface{}) map[string]bool {
+	out := map[string]bool{}
+	if arr, ok := j["sources"].([]interface{}); ok {
+		for _, x := range arr {
+			if m, ok := x.(map[string]interface{}); ok {
+				if s, ok := m["name"].(string); ok {
+					out[s] = true
+				}
+			}
+		}
+	}
+	return out
+}

internal/core/channels_zcode_identity_test.go

@@ -252,14 +252,16 @@ func TestZcodeAdapterKeepsAnthropicProtocolConversion(t *testing.T) {
 	})
 }
 
-// ★ 基座（anthropic.lua）读不到时必须**响亮失败**，不得静默退化。
+// ★ 基座（anthropic.lua）读不到时必须在**安装期响亮失败**，不得静默退化。
 //
 // 反例危害：若"尽力而为"（只注入身份块、不作协议转换），会产出一个身份块
 // 看着正确的请求，而 tools/图像/流式结构全未转换 —— 上游可能 200，但模型
 // 拿不到工具定义，症状是"模型变笨了"，与准入毫不相干，排查会完全跑偏。
 //
-// 判据看的是**适配器的真实产出**：把适配器目录指到空目录（基座不可得），
-// transform_request 必须返回错误而不是原样透传。
+// ⚠ 判据随设计更新（v2.0.37）：基座**不再由适配器自己读**（适配器沙箱没有
+//
+//	fs，那样必然失败且静默降级）。现在由**插件主体**读好并内联 ⇒ 基座不可得
+//	时应在**安装期**就失败（返回 err），而不是等到运行期才发现。
 func TestZcodeAdapterFailsLoudlyWithoutAnthropicBase(t *testing.T) {
 	// 隔离目录：插件目录下没有兄弟 adapters/ 目录 ⇒ 基座读不到
 	dir := t.TempDir()
@@ -278,21 +280,26 @@ func TestZcodeAdapterFailsLoudlyWithoutAnthropicBase(t *testing.T) {
 	if err := ps.LoadSource("channels", src); err != nil {
 		t.Fatal(err)
 	}
-	vm := c.VM()
-	if vm == nil {
-		t.Fatal("VM 不可用")
+	// 用空目录重新安装：基座不可得 ⇒ 必须**安装期**失败且原因点明 anthropic
+	res, err := ps.Call("channels", "__adapter_install_probe", map[string]interface{}{
+		"adapters_dir": filepath.Join(dir, "adapters-no-base"),
+	})
+	if err != nil {
+		t.Fatal(err)
 	}
-	// 插件自装时若基座读不到，适配器仍应装载（身份块是静态的），
-	// 但调用必须报错
-	out, err := vm.Transform("channels-zcode", "transform_request",
-		`{"model":"m","messages":[{"role":"user","content":"hi"}]}`)
-	if err == nil {
-		t.Fatalf("基座不可得时必须报错，却成功产出了：%s", out)
+	j := res.(map[string]interface{})["json"].(map[string]interface{})
+	zc, ok := j["zcode_reinstall"].(map[string]interface{})
+	if !ok {
+		t.Fatalf("安装探针应回报 zcode_reinstall 结果，实得 %v", j)
 	}
-	if !strings.Contains(err.Error(), "基座") {
-		t.Fatalf("错误信息应点明基座问题（可定位），实得 %v", err)
+	if zc["ok"] == true {
+		t.Fatalf("基座不可得时安装必须失败（否则运行期才炸、且是逐帧炸），实得 %v", zc)
 	}
-	t.Logf("✓ 基座缺失时响亮失败: %v", err)
+	msg, _ := zc["err"].(string)
+	if !strings.Contains(msg, "anthropic") {
+		t.Fatalf("错误信息应点明基座问题（可定位），实得 %q", msg)
+	}
+	t.Logf("✓ 基座缺失时安装期响亮失败: %s", msg)
 }
 
 // ★ 日期块必须**幂等**：已以 <system-reminder> 开头则不重复插。

internal/lua/adapter_prelude.go

@@ -343,6 +343,39 @@ function __prelude.openai_error(status, body)
     return resp.detail
   end
 
+  -- 7/8/9. 网关与腾讯系形状（实测漏过，见函数头注释）。
+  --     error_code 与 error_msg 同现时拼起来 —— 只看 msg 会丢掉可分类的码
+  --     （参考 llm-adapter.ts:531 把两者都放进 parts 再 join）。
+  local msg = nil
+  if type(resp.error_msg) == "string" and resp.error_msg ~= "" then
+    msg = resp.error_msg
+  elseif type(resp.msg) == "string" and resp.msg ~= "" then
+    msg = resp.msg
+  end
+  -- 腾讯系（buddy/workbuddy）用 msg + displayMsg.{zh,en}，且**没有** message。
+  -- 参考 buddy-adapter.ts:576 明确：本地化文案最可读，排在**最前**。
+  local localized = nil
+  if type(resp.displayMsg) == "table" then
+    local dm = resp.displayMsg
+    if type(dm.zh) == "string" and dm.zh ~= "" then localized = dm.zh
+    elseif type(dm.en) == "string" and dm.en ~= "" then localized = dm.en end
+  end
+  if msg then
+    local code = nil
+    if type(resp.error_code) == "string" and resp.error_code ~= "" then
+      code = resp.error_code
+    elseif resp.code ~= nil and type(resp.code) ~= "string" then
+      code = tostring(resp.code)
+    end
+    local detail = code and (code .. ": " .. msg) or msg
+    if localized then return localized .. " " .. detail end
+    return detail
+  end
+  if localized then return localized end
+  if type(resp.error_code) == "string" and resp.error_code ~= "" then
+    return resp.error_code
+  end
+
   return nil
 end
 

internal/lua/adapter_prelude_error_shapes_test.go

@@ -0,0 +1,99 @@
+package lua
+
+import (
+	"testing"
+)
+
+// ★ 上游错误体抽取必须覆盖**网关与腾讯系**形状 —— 这两类实测都漏过。
+//
+// 发现路径（2026-10-16 读生产日志）：
+//
+//	unhandled upstream error body (adapter "openai" lacks transform_error):
+//	  status=404 body={"error_msg":"404 Route Not Found"}
+//	unhandled upstream error body (adapter "buddy" lacks transform_error):
+//	  status=400 body={"code":11101,"msg":"Non-stream chat request is not supported"}
+//
+// 两者都是 `{"error_msg":...}` / `{"msg":...}` —— 旧实现只认
+// error/message/detail，于是返回 nil ⇒ 客户端只看到
+// `api error 404: unknown error`，而 body 里明明有可用文案。
+//
+// ⚠️ 那两个适配器**都定义了** transform_error（openai.lua:139、buddy.lua:166），
+// 内核却报 "lacks" ⇒ 一句会把排查带偏的诊断（已另行修正内核文案）。
+func TestPreludeErrorExtractionCoversGatewayShapes(t *testing.T) {
+	vm := NewVM(t.TempDir())
+	defer vm.Stop()
+	// 用**仓库里的真实** openai 适配器（含共享前导），不是自造桩：
+	// 判据必须走真实实现，否则"补了形状"这件事根本没被验。
+	src, err := bundledAdapters.ReadFile("adapters/openai.lua")
+	if err != nil {
+		t.Fatal(err)
+	}
+	if err := vm.LoadAdapterSource("openai", string(src)); err != nil {
+		t.Fatalf("装载 openai 适配器: %v", err)
+	}
+
+	cases := []struct {
+		name, body, want string
+	}{
+		{"APISIX error_msg",
+			`{"error_msg":"404 Route Not Found"}`, "404 Route Not Found"},
+		{"腾讯 msg（buddy 11101）",
+			`{"code":11101,"msg":"Non-stream chat request is currently not supported"}`,
+			"11101: Non-stream chat request is currently not supported"},
+		{"error_code + error_msg",
+			`{"error_code":"APIG.0301","error_msg":"verify ak sk signature fail"}`,
+			"APIG.0301: verify ak sk signature fail"},
+		{"腾讯 displayMsg 本地化（最可读，排最前）",
+			`{"code":11101,"msg":"Non-stream chat request is currently not supported",` +
+				`"displayMsg":{"en":"Invalid request. Please retry","zh":"请求内容不合法，请重试"}}`,
+			"请求内容不合法，请重试 11101: Non-stream chat request is currently not supported"},
+		{"仅 displayMsg",
+			`{"displayMsg":{"zh":"只有本地化文案"}}`, "只有本地化文案"},
+		{"仅 error_code",
+			`{"error_code":"InferHub.4291.200"}`, "InferHub.4291.200"},
+		// 回归：原有的 6 种形状不得丢
+		{"OpenAI 信封", `{"error":{"message":"boom"}}`, "boom"},
+		{"裸字符串 error", `{"error":"boom"}`, "boom"},
+		{"扁平 code/message", `{"message":"boom"}`, "boom"},
+		{"FastAPI detail", `{"detail":"boom"}`, "boom"},
+		{"HTML title", `<html><title>413 Too Large</title></html>`, "413 Too Large"},
+		{"裸文本", "plain failure line\nmore", "plain failure line"},
+	}
+	for _, c := range cases {
+		t.Run(c.name, func(t *testing.T) {
+			got, ok, err := vm.TransformError("openai", 400, c.body)
+			if err != nil {
+				t.Fatalf("TransformError: %v", err)
+			}
+			if !ok {
+				t.Fatalf("★ 抽不出消息（返回 ok=false）⇒ 客户端只会看到 "+
+					"'unknown error'，而 body 里明明有：%s", c.body)
+			}
+			if got != c.want {
+				t.Fatalf("抽出的文案不对\n  实得: %q\n  期望: %q", got, c.want)
+			}
+		})
+	}
+}
+
+// 配对判据：真正**没有** transform_error 的适配器仍应返回 ok=false
+// （不能为了让上面那条通过就把"抽不出"和"没这个钩子"混为一谈）。
+func TestPreludeErrorExtractionStillReportsUnknownShapes(t *testing.T) {
+	vm := NewVM(t.TempDir())
+	defer vm.Stop()
+	src, err := bundledAdapters.ReadFile("adapters/openai.lua")
+	if err != nil {
+		t.Fatal(err)
+	}
+	if err := vm.LoadAdapterSource("openai", string(src)); err != nil {
+		t.Fatalf("装载 openai 适配器: %v", err)
+	}
+	// 一个确实认不出的 JSON（没有 message/error/detail/msg/error_msg）
+	got, ok, err := vm.TransformError("openai", 400, `{"weird":true}`)
+	if err != nil {
+		t.Fatalf("TransformError: %v", err)
+	}
+	if ok {
+		t.Fatalf("认不出的形状不该硬凑文案，实得 %q", got)
+	}
+}

internal/lua/adapter_zcode_base_test.go

@@ -0,0 +1,97 @@
+package lua
+
+import (
+	"os"
+	"regexp"
+	"strings"
+	"testing"
+)
+
+// ★ zcode 适配器**源码模板**必须真的能把 anthropic 基座合并进来。
+//
+// 背景：此前适配器在**沙箱里自己读 anthropic.lua** ⇒ 必然失败（沙箱无 fs、
+// 无 plugin_dir）且**静默降级** ⇒ 只有它自己定义的 2 个函数，缺 7 个
+// ⇒ 每次调用内核报 "missing transform_response" ⇒ 渠道**完全不可用**。
+// 该缺陷一直潜伏，因为 zcode 从来没有凭据 ⇒ 源未注册 ⇒ 从未被调用过。
+//
+// ⚠️ **本判据的边界（务必如实理解）**：它在测试里**自己**做占位符替换，
+//
+//	所以它证明的是「**模板形态**正确 + 合并逻辑能吃下基座」，
+//	而**不能**证明「installZcodeAdapter 真的内联了非空基座」——
+//	把安装处的 `asrc` 换成空串，本判据**不会**报红（已实测）。
+//	安装接线由 internal/core 的端到端判据覆盖：
+//	  TestZcodeAdapterInjectsOfficialIdentityBlocks
+//	  TestZcodeAdapterKeepsAnthropicProtocolConversion（工具调用/图像块存活）
+//	  TestZcodeAdapterFailsLoudlyWithoutAnthropicBase（基座不可得 ⇒ 安装期报错）
+//	这三条**会**咬住"内联空基座"这个变异（已实测）。
+//	⇒ 教训：判据自己复现被测逻辑时，必须说清它到底覆盖了哪一段。
+func TestZcodeAdapterInheritsAnthropicBase(t *testing.T) {
+	psrc, _ := os.ReadFile("plugins/channels.lua")
+	s := string(psrc)
+	diag := regexp.MustCompile(`(?s)local ZCODE_DIAG_SRC = \[===\[(.*?)\]===\]`).FindStringSubmatch(s)[1]
+	ad := regexp.MustCompile(`(?s)local ZCODE_ADAPTER_SRC = \[===\[(.*?)\]===\]`).FindStringSubmatch(s)[1]
+	asrc, err := bundledAdapters.ReadFile("adapters/anthropic.lua")
+	if err != nil {
+		t.Fatal(err)
+	}
+
+	full := "local Z = (function()\n" + diag + "\nend)()\n" + ad
+	// ⚠ 占位符不等于"适配器里能读到基座"：真正要验的是**装载后 9 个函数都在**。
+	//   故这里按 installZcodeAdapter 的同一手法内联，再逐函数断言。
+	if strings.Contains(full, "__INLINE_ANTHROPIC_SRC__") {
+		full = strings.ReplaceAll(full, "__INLINE_ANTHROPIC_SRC__", quoteLua(string(asrc)))
+	} else {
+		t.Fatal("适配器源码必须有基座占位符（基座由插件主体内联；" +
+			"适配器沙箱里读不到文件）")
+	}
+
+	vm := NewVM(t.TempDir())
+	defer vm.Stop()
+	if err := vm.LoadAdapterSource("channels-zcode", full); err != nil {
+		t.Fatalf("装载失败: %v", err)
+	}
+	want := []string{"transform_request", "transform_response", "transform_stream_chunk",
+		"transform_error", "serialize_chunk", "serialize_close", "serialize_open_preamble",
+		"serialize_response", "deserialize_request"}
+	var lack []string
+	for _, f := range want {
+		if !vm.HasFn("channels-zcode", f) {
+			lack = append(lack, f)
+		}
+	}
+	if len(lack) > 0 {
+		t.Fatalf("★ zcode 仍缺 %d 个函数（%v）⇒ 基座继承失败 ⇒ "+
+			"每次调用都会报 'missing <fn>' ⇒ 渠道完全不可用", len(lack), lack)
+	}
+	// 行为验证：基座的 transform_response 必须真的能转换 anthropic 响应
+	out, err := vm.Transform("channels-zcode", "transform_response",
+		`{"id":"m1","type":"message","role":"assistant","content":[{"type":"text","text":"hi"}],"stop_reason":"end_turn","usage":{"input_tokens":1,"output_tokens":2}}`)
+	if err != nil {
+		t.Fatalf("transform_response 调用失败: %v", err)
+	}
+	if !strings.Contains(out, "hi") {
+		t.Errorf("基座 transform_response 未产出内容: %s", out)
+	}
+	t.Logf("✓ zcode 继承基座成功（9/9 函数），transform_response → %s", out)
+}
+
+func quoteLua(s string) string {
+	var b strings.Builder
+	b.WriteByte('"')
+	for i := 0; i < len(s); i++ {
+		switch c := s[i]; c {
+		case '"':
+			b.WriteString(`\"`)
+		case '\\':
+			b.WriteString(`\\`)
+		case '\n':
+			b.WriteString(`\n`)
+		case '\r':
+			b.WriteString(`\r`)
+		default:
+			b.WriteByte(c)
+		}
+	}
+	b.WriteByte('"')
+	return b.String()
+}

internal/lua/plugins/channels.lua

@@ -77,6 +77,28 @@ plugin.K = {
   ZCODE_ORIGIN = "https://zcode.z.ai",
 }
 
+-- ★★ plugin.adaptersDir()：适配器目录 = 插件目录的**兄弟**目录
+--    （<data>/plugins 与 <data>/adapters）。由插件目录推导，不猜绝对路径
+--    （测试与多实例部署都靠它隔离）。
+--
+-- ⚠️ 为什么必须放在**插件主体**：适配器运行在**另一个沙箱 VM**，
+--    那里 `__llmsproxy_plugin_dir` 与 `LLMSPROXY_PLUGIN_DIR` **都不存在**、
+--    **也没有文件系统访问** ⇒ 在适配器里读任何文件都拿不到东西且**静默降级**
+--    （实测：zcode 适配器因此只拿到自己定义的 2 个函数，缺 7 个，
+--      每次调用内核报 "missing transform_response" ⇒ 渠道完全不可用）。
+--    所以凡是要"读兄弟文件"的，一律在插件主体做好再内联进去。
+function plugin.adaptersDir()
+  local pd = __llmsproxy_plugin_dir
+  if type(pd) ~= "string" or pd == "" then
+    pd = (os.getenv and os.getenv("LLMSPROXY_PLUGIN_DIR")) or ""
+  end
+  if type(pd) ~= "string" or pd == "" then return nil end
+  local base = pd:gsub("/+$", "")
+  local parent = base:match("^(.*)/[^/]+$")
+  if not parent then return nil end
+  return parent .. "/adapters"
+end
+
 -- 申请的内核权限。设置页会把"申请中但未授权"标红。
 -- 声明本插件要用的内核动作（运维据此授予；declared 与 granted 成对展示）。
 --
@@ -94,7 +116,7 @@ plugin.kernel = {
 
 -- WebUI 可调用的导出函数（POST /api/plugins/channels/call/{fn}）。
 -- set_endpoints 让运维把渠道端点指向自建代理/镜像；测试用它打假上游。
-plugin.exports = { "set_endpoints", "account_add", "account_list", "account_update", "account_clear_credentialless", "account_delete", "account_test", "account_refresh", "account_reorder", "account_reset", "account_retest", "account_adopt", "model_list", "model_refresh", "model_set_disabled", "model_set_disabled_many", "model_set_all_disabled", "model_clear_dead", "provider_status", "provider_set_enabled", "provider_get_order", "provider_set_order", "credits_claim_all", "credits_status", "credits_balances", "credits_pool_reason", "credits_permanent_lock", "backup_export", "backup_import", "backup_status", "auto_checkin", "gateway_get_enabled", "gateway_set_enabled", "usage_token_ledger", "usage_badge", "usage_badge_preference", "onboarding_status", "onboarding_claim", "__trae_derive_probe", "__codearts_sign_probe", "__qoder_machine_probe", "__qoder_refresh_probe", "__codearts_dpop_probe", "__codearts_cred_probe", "__codearts_adapter_sign_probe", "__sync_source_probe", "__trae_solo_probe", "__adapter_install_probe", "__store_dir_probe", "__set_loopback_probe", "reap_loopbacks", "__zcode_diag_probe", "__trae_entry_probe", "__list_sources_probe", "__clear_priorities_probe", "__resync_sources_probe", "__utf8_clip_probe", "__event_log_probe", "__is_model_gone_probe", "__rank_accounts_probe", "__inject_refresh_platform_probe", "__clear_capabilities_probe", "__qoder_claim_outcome_probe", "__is_free_probe", "__claim_covers_probe", "__schedule_probe", "__parse_capability_probe", "__inject_capability_probe", "__ttl_reset_probe", "__ttl_probe", "__ttl_invalidate_probe", "__serial_probe", "__serial_release_probe", "__set_legacy_cred_probe", "__read_cred_probe", "__clear_all_creds_probe", "credits_tier_probe", "__set_lock_permanent_probe", "__set_expiring_window_probe", "__expiring_window_probe", "__record_dead_probe", "__catalog_gate_probe", "__catalog_gate_fail_probe", "credits_capability", "claims_capable" }
+plugin.exports = { "set_endpoints", "account_add", "account_list", "account_update", "account_clear_credentialless", "account_delete", "account_test", "account_refresh", "account_reorder", "account_reset", "account_retest", "account_adopt", "model_list", "model_refresh", "model_set_disabled", "model_set_disabled_many", "model_set_all_disabled", "model_clear_dead", "provider_status", "provider_set_enabled", "provider_get_order", "provider_set_order", "credits_claim_all", "credits_status", "credits_balances", "credits_pool_reason", "credits_permanent_lock", "backup_export", "backup_import", "backup_status", "auto_checkin", "gateway_get_enabled", "gateway_set_enabled", "usage_token_ledger", "usage_badge", "usage_badge_preference", "onboarding_status", "onboarding_claim", "__trae_derive_probe", "__codearts_sign_probe", "__qoder_machine_probe", "__qoder_refresh_probe", "__codearts_dpop_probe", "__codearts_cred_probe", "__codearts_adapter_sign_probe", "__sync_source_probe", "__trae_solo_probe", "__adapter_install_probe", "__store_dir_probe", "__set_loopback_probe", "reap_loopbacks", "reap_orphan_sources", "__add_source_for_test", "__forget_account_probe", "__zcode_diag_probe", "__trae_entry_probe", "__list_sources_probe", "__clear_priorities_probe", "__resync_sources_probe", "__utf8_clip_probe", "__event_log_probe", "__is_model_gone_probe", "__rank_accounts_probe", "__inject_refresh_platform_probe", "__clear_capabilities_probe", "__qoder_claim_outcome_probe", "__is_free_probe", "__claim_covers_probe", "__schedule_probe", "__parse_capability_probe", "__inject_capability_probe", "__ttl_reset_probe", "__ttl_probe", "__ttl_invalidate_probe", "__serial_probe", "__serial_release_probe", "__set_legacy_cred_probe", "__read_cred_probe", "__clear_all_creds_probe", "credits_tier_probe", "__set_lock_permanent_probe", "__set_expiring_window_probe", "__expiring_window_probe", "__record_dead_probe", "__catalog_gate_probe", "__catalog_gate_fail_probe", "credits_capability", "claims_capable" }
 
 
 
@@ -6933,6 +6955,8 @@ plugin.http = {
     roles = { "admin" }, description = "从服务端浏览器取凭据（CDP）" },
   { path = "channels/reap_loopbacks", method = "POST", handler = "reap_loopbacks",
     roles = { "admin" }, description = "回收所有回环回调接收器（防测试/异常退出后泄漏）" },
+  { path = "channels/reap_orphan_sources", method = "POST", handler = "reap_orphan_sources",
+    roles = { "admin" }, description = "清理孤儿源（账号已删但源仍在对外服务；默认 dry_run）" },
   { path = "channels/browser/stop", method = "POST", handler = "stop_browser",
     roles = { "admin" }, description = "回收服务端浏览器栈" },
 }
@@ -8391,6 +8415,116 @@ end
 -- 测试残留 —— 生产路径的会被正常回收（因为生产会话真会过期）。
 --
 -- 对生产也有用：浏览器/授权页关掉后想立刻清理，不必等会话过期。
+-- plugin.__add_source_for_test / __forget_account_probe：只给测试用。
+--
+-- 为什么要它们：孤儿源（账号已删、源留下）是 v2.0.28 事故的**存量形态**，
+-- 而正常删除路径（account_delete）会把源一并撤掉 ⇒ 无法用它复现该状态。
+-- 两个探针各自只做一件事，且都只在 __ 前缀（不暴露为 HTTP 路由）。
+function plugin.__add_source_for_test(args)
+  args = args or {}
+  -- ⚠️ 内核 actionAddSource 取的是 args["source"]（**嵌套一层**）——
+  --    直接平铺字段会被拒（"add_source requires a source table"）。
+  --    实测踩到：我的第一版写平铺，于是源根本没注册，而判据只看到"没有孤儿"。
+  -- ⚠️ 内核 config.Model 要求 models 是**对象数组** `{id=...}`，
+  --    传字符串数组会被拒（"source shape is invalid: cannot unmarshal string
+  --    into Source.models.0"）。归一化，免得调用方要懂内核结构。
+  local ms = {}
+  for _, m in ipairs(args.models or {}) do
+    if type(m) == "table" then ms[#ms + 1] = m else ms[#ms + 1] = { id = m } end
+  end
+  local r, err = __llmsproxy_kernel.call("add_source", {
+    source = {
+      name = args.name, base_url = args.base_url, adapter = args.adapter,
+      models = ms,
+    },
+  })
+  if r == nil or r.ok ~= true then
+    return { json = { error = tostring(err or "add_source 失败") } }
+  end
+  return { json = { ok = true } }
+end
+
+function plugin.__forget_account_probe(args)
+  args = args or {}
+  local plat = platformById(args.platform)
+  if not plat then return { json = { error = "未知平台" } } end
+  poolRemove(plat.id, args.account_id)
+  return { json = { ok = true } }
+end
+
+-- reap_orphan_sources：清理**孤儿源** —— 名为 `channels-<平台>-<账号id>`
+-- 但账号池里**已无**该账号的源。
+--
+-- ★ 为什么需要它（真实事故，2026-10-17 于生产实测）：
+--   v2.0.28 修好了 `remove_source` 漏声明，但**修复之前**凡是走过
+--   `account_delete` 的账号，它的源都因为撤源被拒而**留了下来**。
+--   孤儿源没有对应账号 ⇒ 没凭据 ⇒ 每次调用必然失败，但它们**仍在对外服务**：
+--     实测 `channels-buddy-585b335b64cf`（账号早已删除）仍在 config.yaml 里，
+--     独占提供 `hy4-preview-x`，对 6 个共享模型则排在新源**前面**先被尝试 ——
+--     每次都撞 404 再回退（实测每次白付 ~3.1-3.5s 上游往返）。
+--   ⇒ 这正是 v2.0.28 那句"账号删了、它的源还在对外服务"的**存量残骸**：
+--     修声明只防新增，**不清理存量**。故需要这个显式一次性入口。
+--
+-- ★ 安全性（破坏性操作的两条纪律，照 reap_loopbacks 的先例）：
+--   ① **只删该删的**：名字必须**严格**匹配某个**已知平台**的
+--      `channels-<平台>-<账号id>`，且该账号确实不在池中。
+--      ⚠️ 不能用 `name:match("^channels%-(.+)-(.+)$")` —— Lua 的 `-` 是**贪婪**的，
+--         会把 `channels-buddy-buddy-main` 切成 plat="buddy-buddy"/acct="main"
+--         （账号 id 里含 `-` 就错，而 buddy-main 就含）。按已知平台前缀逐个匹配。
+--      运维手工配的源（任何其它名字）一律不碰；旧版单账号源 `channels-<平台>`
+--      也不碰（那是 account_delete 的收尾职责，且可能有意保留作兼容）。
+--   ② **dry_run 默认开启**：不带 `dry_run=false` 只报告不删。
+function plugin.reap_orphan_sources(req)
+  -- ⚠️ 两种调用形态都要兜住（本仓库的既有约定，见 account_add 等）：
+  --   * HTTP 路由：参数在 req.body（JSON 字符串）
+  --   * 插件 Call（测试/内部）：参数**直接就是** req，bodyOf 会返回空表
+  --     ⇒ 只读 bodyOf 会把 `dry_run=false` 静默丢成默认的 true（**实测评据
+  --       就是这么失败的**：dry_run 永远是 true，所以"真删"根本没发生）。
+  local args = bodyOf(req) or {}
+  if args.dry_run == nil then args = req or {} end
+  local dry = args.dry_run
+  if dry == nil then dry = true end
+  if dry ~= false then dry = true end
+
+  local ls = __llmsproxy_kernel.call("list_sources", {})
+  local arr = ls and ls.json or ls
+  if type(arr) ~= "table" then arr = {} end
+
+  local found, removed, failed = {}, 0, {}
+  for _, x in ipairs(arr) do
+    local nm = type(x) == "table" and x.name or nil
+    if type(nm) == "string" then
+      local plat, acct = nil, nil
+      for _, p in ipairs(PLATFORMS) do
+        local pref = "channels-" .. p.id .. "-"
+        if nm:sub(1, #pref) == pref then
+          plat, acct = p.id, nm:sub(#pref + 1)
+          break
+        end
+      end
+      if plat and acct ~= "" and poolGet(plat, acct) == nil then
+        found[#found + 1] = nm
+        if not dry then
+          local r, err = __llmsproxy_kernel.call("remove_source", { name = nm })
+          if r == nil or r.ok ~= true then
+            failed[#failed + 1] = nm .. ": " .. tostring(err or "（无错误信息）")
+            logEvent("孤儿源清理失败 " .. nm .. ": " .. tostring(err or "（无错误信息）"),
+              "error", plat)
+          else
+            removed = removed + 1
+            logEvent("孤儿源已清理 " .. nm .. "（账号 " .. acct .. " 已不在池中）", "warn", plat)
+          end
+        end
+      end
+    end
+  end
+  return { status = 200, json = {
+    ok = #failed == 0, dry_run = dry,
+    orphan_count = #found, orphans = found,
+    removed = removed, failed = failed,
+  } }
+end
+
 function plugin.reap_loopbacks(req)
   local n = 0
   for sid in pairs(plugin.state.loopbacks or {}) do
@@ -10201,38 +10335,23 @@ local EXPECTED_MIN_CHARS = 2800
 -- ============================================================================
 -- 复用 anthropic 适配器
 -- ============================================================================
--- 适配器目录 = 插件目录的**兄弟**目录（<data>/plugins 与 <data>/adapters）。
--- 由插件目录推导，不猜绝对路径（测试与多实例部署都靠它隔离）。
-local function adaptersDir()
-  local pd = __llmsproxy_plugin_dir
-  if type(pd) ~= "string" or pd == "" then
-    pd = (os.getenv and os.getenv("LLMSPROXY_PLUGIN_DIR")) or ""
-  end
-  if type(pd) ~= "string" or pd == "" then return nil end
-  local base = pd:gsub("/+$", "")
-  local parent = base:match("^(.*)/[^/]+$")
-  if not parent then return nil end
-  return parent .. "/adapters"
-end
-
--- loadAnthropic()：在本地环境里执行内核的 anthropic 适配器源码，拿回它的表。
-local function loadAnthropic()
-  local dir = adaptersDir()
-  if not dir then return nil, "无法推导适配器目录" end
-  local f = io.open(dir .. "/anthropic.lua", "r")
-  if not f then return nil, "读不到 anthropic.lua（" .. dir .. "）" end
-  local src = f:read("*a")
-  f:close()
-  local chunk, lerr = load(src, "anthropic.lua")
-  if not chunk then return nil, "anthropic.lua 无法编译: " .. tostring(lerr) end
+-- ★★ 基座由**插件主体内联**进来（见下方 §基座占位符），
+--    **不能**在适配器里自己读文件。实测（2026-10-16）：
+--    适配器运行在**另一个沙箱 VM**，那里 `__llmsproxy_plugin_dir` 与
+--    `LLMSPROXY_PLUGIN_DIR` **都不存在**，**也没有文件系统访问**
+--    ⇒ 原先那段"就地读 anthropic.lua"必然失败且**静默降级**：
+--      适配器照常装载，但只有它自己定义的 2 个函数，
+--      缺 transform_response / transform_stream_chunk 等 **7 个**。
+--    ⇒ 后果：每次调用内核对缺失函数**响亮报错**（不是静默透传）
+--      ⇒ 流式请求逐帧报错 ⇒ 该渠道**完全不可用**。
+--    该缺陷一直潜伏：zcode 从来没有凭据 ⇒ 源未注册 ⇒ 从未被调用过。
+local BASE = (function()
+  local chunk, lerr = load(__INLINE_ANTHROPIC_SRC__, "anthropic-base.lua")
+  if not chunk then return nil, lerr end
   local ok, base = pcall(chunk)
-  if not ok or type(base) ~= "table" then
-    return nil, "anthropic.lua 执行失败: " .. tostring(base)
-  end
-  return base, nil
-end
-
-local BASE, BASE_ERR = loadAnthropic()
+  if not ok or type(base) ~= "table" then return nil, tostring(base) end
+  return base
+end)()
 if BASE then
   for k, v in pairs(BASE) do
     if adapter[k] == nil then adapter[k] = v end
@@ -10617,8 +10736,18 @@ end
 -- system 缺官方身份块结构直接 405 + 3012（实测），与 HTTP 头/版本/频率全无关。
 -- 通用 anthropic 适配器不注入身份块 ⇒ 即使拿到 zcode 账号也**必然**被拒。
 -- 幂等（update 失败退化为 install）；失败只记日志，不阻断插件加载。
-local function installZcodeAdapter()
+-- dirOverride 仅用于测试/诊断：强制指定适配器目录，让"基座不可得"
+--  成为**安装期可观测**的失败（否则它只会在运行期逐帧炸，且原因指向内核）。
+local function installZcodeAdapter(dirOverride)
   if not __llmsproxy_adapters then return false, "无适配器桥（旧内核？）" end
+  -- ★ 读到 anthropic 基座源码并在**插件主体**内联进适配器源码。
+  --   ⚠ 不能在适配器里自己读文件：适配器沙箱没有 fs、也没有 plugin_dir，
+  --     那样会**静默降级**成"只有自己定义的 2 个函数"（见适配器顶部注释）。
+  local adir = dirOverride or plugin.adaptersDir()
+  if not adir then return false, "无法推导适配器目录" end
+  local af = io.open(adir .. "/anthropic.lua", "r")
+  if not af then return false, "读不到 anthropic.lua（" .. adir .. "）" end
+  local asrc = af:read("*a"); af:close()
   -- ★ 把 3012 判据/文案/诊断模块**前置**到适配器源码里。
   --   这样适配器与插件主体用的是**同一份源码文本**（ZCODE_DIAG_SRC）——
   --   否则"请勿连续重试"这句话会只在一条路径上有（参考为此专门抽成单一份）。
@@ -10627,6 +10756,13 @@ local function installZcodeAdapter()
   --   且装载会静默成功）。故把它包进一个函数，让 return 只结束该函数。
   local full = "local Z = (function()\n" .. ZCODE_DIAG_SRC ..
     "\nend)()\n" .. ZCODE_ADAPTER_SRC
+  -- ⚠ 用**纯字符串替换**而不是 gsub：gsub 的替换串里 `%` 有特殊含义
+  --   （`%1` 是捕获引用），而适配器源码含 `%s`/`%d` 等格式化串 ⇒ 会破坏语法。
+  -- ⚠ 占位符 token 刻意在注释里**不写字面量**，否则 find 会先命中注释。
+  local ph = "__INLINE_ANTHROPIC_SRC__"
+  local qi = full:find(ph, 1, true)
+  if not qi then return false, "适配器源码缺少基座占位符" end
+  full = full:sub(1, qi - 1) .. string.format("%q", asrc) .. full:sub(qi + #ph)
   local f, lerr = load(full)
   if not f then return false, "源码语法错误: " .. tostring(lerr) end
   local _, uerr = __llmsproxy_adapters.update("channels-zcode", full)
@@ -11744,13 +11880,21 @@ end
 
 -- plugin.__adapter_install_probe：只给测试/诊断用 —— 报告本插件自装适配器的
 -- 装载结果（含语法错误详情）。"装了但没生效"这类问题没有它只能靠猜。
-function plugin.__adapter_install_probe()
+function plugin.__adapter_install_probe(args)
+  args = args or {}
+  -- 带 adapters_dir 时**重新安装** zcode：用来验证「基座不可得 ⇒ 安装期报错」。
+  -- 之所以要这个缝隙：基座现在由**插件主体内联**（适配器沙箱无 fs），
+  -- 安装失败若不在此暴露，就只会在运行期逐帧炸，且错误指向内核而非配置。
+  if args.adapters_dir then
+    local ok, err = installZcodeAdapter(args.adapters_dir)
+    return { json = { zcode_reinstall = { ok = ok and true or false, err = err } } }
+  end
   return { json = {
-    codearts = plugin._codearts_adapter,
-    trae = plugin._trae_adapter,
-    gemini = plugin._gemini_adapter,
-    zcode = plugin._zcode_adapter,
-  } }
+      codearts = plugin._codearts_adapter,
+      trae = plugin._trae_adapter,
+      gemini = plugin._gemini_adapter,
+      zcode = plugin._zcode_adapter,
+    } }
 end
 
 -- plugin.__sync_source_probe：只给测试/诊断用 —— 手动触发一次源同步并
@@ -11850,4 +11994,6 @@ do
   if not tok2 then logEvent("TRAE 适配器装载失败: " .. tostring(terr2)) end
 end
 
+
+
 return plugin

internal/provider/provider.go

@@ -1459,8 +1459,18 @@ func (p *Provider) apiErrReason(status int, raw string) string {
 			return fmt.Sprintf("api error %d: %s", status, types.OneLine(trimmed, 200))
 		}
 	}
-	log.Printf("[provider] unhandled upstream error body (adapter %q lacks transform_error): status=%d body=%.300s",
-		p.adapter, status, types.OneLine(raw, 300))
+	// ⚠️ 措辞必须**区分两种原因**（实测教训）：适配器**有** transform_error 钩子
+	// 但它返回 nil（不认识的错误体）是**常见**情况，而"真的没这个钩子"是另一回事。
+	// 原先一律说 "lacks transform_error" —— 我照着这句话去适配器里找那个函数，
+	// 查了几轮才发现函数明明在、只是抽不出消息。
+	// 这里直接问内核要事实，不再猜（判据也据此断言）。
+	if p.vm.HasFn(p.adapter, "transform_error") {
+		log.Printf("[provider] unhandled upstream error body (adapter %q: transform_error returned no reason for this shape): status=%d body=%.300s",
+			p.adapter, status, types.OneLine(raw, 300))
+	} else {
+		log.Printf("[provider] unhandled upstream error body (adapter %q defines no transform_error): status=%d body=%.300s",
+			p.adapter, status, types.OneLine(raw, 300))
+	}
 	return fmt.Sprintf("api error %d: unknown error", status)
 }