@arcaneorion/dsh-model-channel-manager 0.3.1 → 0.3.12

package/src/client.js

@@ -11,6 +11,24 @@ window.__ModuleLoader__.load({
     const { createElement: el, useState, useEffect, useRef, useSyncExternalStore } = require('react')
     let apiRef = null
     const savedKeys = {}
+    // 使用随机安全整数 nonce：host 的 lastTestHandledNonce/lastHandledNonce 是 number。
+    // UUID 字符串虽被新 host 接受，但旧 host（滚动升级/未重启窗口）只校验 number，
+    // 会把请求静默忽略，client 最终提示「host 未处理」。随机 53-bit 整数同时避免
+    // Date.now()%1e9 同毫秒碰撞，并保持与旧 host 的 wire schema 兼容。
+    let nonceFallbackCounter = 0
+    const createNonce = () => {
+      if (typeof crypto !== 'undefined' && crypto && typeof crypto.getRandomValues === 'function') {
+        const words = new Uint32Array(2)
+        crypto.getRandomValues(words)
+        const n = (words[0] & 0x1fffff) * 0x100000000 + words[1]
+        return n === 0 ? 1 : n
+      }
+      // 降级路径：旧写法 Date.now()*1000+counter ≈ 1.8e18 > MAX_SAFE_INTEGER，
+      // 同毫秒内可能撞值（且 strict consume-once 去重下撞值 = 测试被静默丢弃）。
+      nonceFallbackCounter = (nonceFallbackCounter + 1) % 1000
+      const n = Math.floor(Math.random() * Number.MAX_SAFE_INTEGER)
+      return n === 0 ? nonceFallbackCounter + 1 : n
+    }
 
     // dsh 0.2：客户端远程面由 connection.api 改为 ctx.remote；参数改为位置参数，结果统一为
     // RemoteResult。本适配层把两者还原成 0.1 的调用形状（对象入参 + {result:{ok,value}}）。
@@ -19,11 +37,6 @@ window.__ModuleLoader__.load({
     const NS_MCM = 'model-channel-manager'
     const makeLegacyApi = (remote) => {
       const wrap = (res) => ({ result: res || { ok: false } });
-      const readMcm = async () => {
-        const res = await remote.settings.describe()
-        if (!res || res.ok !== true) return null
-        return ((res.value && res.value.namespaces) || []).find((n) => n && n.ns === NS_MCM) || null
-      }
       return {
         settings: {
           describe: async () => {
@@ -38,49 +51,38 @@ window.__ModuleLoader__.load({
               { ns: 'model-channel-health', value: value.health || {}, user: (user && user.health) || {}, revision: (mcm && mcm.revision) || 0 },
             ] } } }
           },
-          // 旧签名：update({ ns, patch })
+          // 旧签名：update({ ns, patch, expectedRevision })——0.3.2 起透传 revision
+          // （宿主 settings.update 第三参；冲突抛 settings/conflict，由调用方提示重载）
           update: async (args) => {
             const ns = (args && args.ns) || NS_MCM
             const patch = (args && args.patch) || {}
-            if (ns === 'model-channels') return wrap(await remote.settings.update(NS_MCM, patch, undefined))
-            const row = await readMcm()
-            const health = (row && row.value && row.value.health) || {}
-            return wrap(await remote.settings.update(NS_MCM, { health: Object.assign({}, health, patch) }, undefined))
+            const expected = (args && args.expectedRevision !== undefined) ? args.expectedRevision : undefined
+            if (ns === 'model-channels') return wrap(await remote.settings.update(NS_MCM, patch, expected))
+            // 0.3.12：health 子树改成「叶写」（path-ops），不再 describe 快照 + 整树回写。
+            // 旧写法在 read→write 的两次 RPC 之间有窗口：宿主刚写入的终态会被旧快照覆盖
+            // （线上事故：testResults[nonce].status 被改回 running，finishedAt/code/error 却保留，
+            //  客户端永远等不到终态 → 66s 后误报「host 未处理」）。
+            const ops = Object.entries(patch).map(([k, v]) => ({ op: 'set', path: ['health', k], value: v }))
+            if (ops.length === 0) return { result: { ok: true, value: null } }
+            return wrap(await remote.settings.mutate(NS_MCM, ops, expected))
           },
-          // 旧签名：mutate({ ns, ops })——0.2 只对真实行命名空间提供 path-ops；
-          // 本插件自身的健康子树用合并写实现等价语义。
+          // 旧签名：mutate({ ns, ops })——health 子树现在也走真实 path-ops（不再本地模拟整树写）
           mutate: async (args) => {
             const ns = (args && args.ns) || NS_MCM
             const ops = (args && args.ops) || []
-            if (ns !== 'model-channels' && ns !== 'model-channel-health' && ns !== NS_MCM) {
-              return wrap(await remote.settings.mutate(ns, ops, undefined))
-            }
-            const row = await readMcm()
-            const health = Object.assign({}, (row && row.value && row.value.health) || {})
-            const top = {
-              groups: (row && row.value && row.value.groups) || [],
-              providerOrder: (row && row.value && row.value.providerOrder) || [],
-            }
+            const expected = (args && args.expectedRevision !== undefined) ? args.expectedRevision : undefined
+            if (ns === NS_MCM) return wrap(await remote.settings.mutate(NS_MCM, ops, expected))
+            const prefix = (ns === 'model-channels') ? [] : ['health']
+            const mapped = []
             for (const op of ops) {
               const path = (op && op.path) || []
-              const root = (ns === 'model-channels') ? (path[0] === 'groups' ? top : (path[0] === 'providerOrder' ? top : health)) : health
               if (path.length === 0) continue
-              const key = path[0]
-              const rest = path.slice(1)
-              if (rest.length === 0) {
-                if (op.op === 'set') root[key] = op.value
-                else delete root[key]
-              } else if (rest.length === 1) {
-                const child = Object.assign({}, root[key] || {})
-                if (op.op === 'set') child[rest[0]] = op.value
-                else delete child[rest[0]]
-                root[key] = child
-              }
+              // legacy 混合命名空间：groups/providerOrder 属于行顶层，其余视为 health 子键
+              const p = (ns === 'model-channels' && (path[0] === 'groups' || path[0] === 'providerOrder')) ? path : [...prefix, ...path]
+              mapped.push({ op: (op && op.op) || 'set', path: p, value: op && op.value })
             }
-            if (ns === 'model-channels') {
-              return wrap(await remote.settings.update(NS_MCM, { groups: top.groups, providerOrder: top.providerOrder }, undefined))
-            }
-            return wrap(await remote.settings.update(NS_MCM, { health }, undefined))
+            if (mapped.length === 0) return { result: { ok: true, value: null } }
+            return wrap(await remote.settings.mutate(NS_MCM, mapped, expected))
           },
         },
         credentials: {
@@ -564,18 +566,26 @@ window.__ModuleLoader__.load({
       const pollTest = (nonce, provider, model, attempt = 0) => {
         if (!apiRef) return
         const key = provider + '::' + model
-        // host 侧测试超时 60s，约 55 次 × 1.2s ≈ 66s 后放弃，避免结果被覆盖时无限轮询
-        const giveUp = () => setTestStates((s) => Object.assign({}, s, { [key]: { status: 'error', code: 'POLL_TIMEOUT', error: '等待测试结果超时：host 可能未处理该请求（host 半更新后需重启 DSH）' } }))
+        // host 侧测试超时 60s，约 55 次 × 1.2s ≈ 66s 后放弃，避免结果被覆盖时无限轮询。
+        // 0.3.12：放弃时区分「host 没写结果」与「host 还在跑」，不再一律甩锅「未处理/需重启」。
+        const giveUp = (e) => setTestStates((s) => Object.assign({}, s, { [key]: (e && e.status === 'running')
+          ? { status: 'error', code: 'POLL_TIMEOUT_RUNNING', error: '测试仍在执行（约 66 秒未返回结果）：host 已收到请求，可能是渠道慢或上游挂起；稍后可在健康统计里核对' }
+          : { status: 'error', code: 'POLL_TIMEOUT', error: '等待测试结果超时：host 未写入结果（可能 host 未重启到新版，或结果写入失败）' } }))
         apiRef.settings.describe({}).then((resp) => {
           const r = resp && resp.result ? resp.result : resp
           const d = r && r.value !== undefined ? r.value : r
           const ns = ((d && d.namespaces) || []).find((n) => n && n.ns === 'model-channel-health')
           const tr = (ns && ns.value && ns.value.testResults) || {}
           const e = tr[nonce]
-          if (e && (e.status === 'ok' || e.status === 'error')) {
-            setTestStates((s) => Object.assign({}, s, { [key]: e }))
+          // 终态判定不能只看 status：整树快照回写曾把 status 改回 running 而保留
+          // finishedAt/code/error（0.3.11 事故）。finishedAt 写入后不会被抹掉，把它也当终态，
+          // 并按 ok 归一 status —— 这样「僵尸条目」也能显示真实的上游错误而不是假超时。
+          const terminal = !!(e && (e.status === 'ok' || e.status === 'error' || e.finishedAt))
+          if (terminal) {
+            const norm = (e.status === 'ok' || e.status === 'error') ? e : Object.assign({}, e, { status: e.ok === true ? 'ok' : 'error' })
+            setTestStates((s) => Object.assign({}, s, { [key]: norm }))
           } else if (attempt >= 55) {
-            giveUp()
+            giveUp(e)
           } else {
             setTimeout(() => pollTest(nonce, provider, model, attempt + 1), 1200)
           }
@@ -589,13 +599,18 @@ window.__ModuleLoader__.load({
         if (!apiRef) return
         const key = provider + '::' + model
         setTestStates((s) => Object.assign({}, s, { [key]: { status: 'running' } }))
-        const nonce = Date.now() % 1000000000
+        // F03：Date.now()%1e9 同毫秒可碰撞（碰撞 = 两次测试互相认领/覆盖结果），
+        // 换 UUID；host 侧 testRequest.nonce 消费方是 !== 比较，字符串/数字都行
+        const nonce = createNonce()
         const prompt = localStorage.getItem('mcm_test_prompt') || '用一句话介绍你自己'
         const maxTokens = Number(localStorage.getItem('mcm_test_max_tokens')) || 256
         apiRef.settings.update({
           ns: 'model-channel-health',
           patch: { testRequest: { nonce, provider, model, prompt, maxTokens } }
-        }).then(() => {
+        }).then((resp) => {
+          // F19：RPC resolve ≠ 业务成功——检查信封（旧实现把 ok:false 当「已触发」）
+          const r = resp && resp.result ? resp.result : resp
+          if (r && r.ok === false) throw new Error((r.error && (r.error.message || r.error)) || 'test request rejected')
           pollTest(nonce, provider, model)
         }).catch((e) => {
           setTestStates((s) => Object.assign({}, s, { [key]: { status: 'error', error: String((e && e.message) || e) } }))
@@ -704,7 +719,7 @@ window.__ModuleLoader__.load({
             el('span', {
               title: '拖动此手柄调整供应商顺序（保存后生效）',
               draggable: true,
-              onDragStart: (e) => { e.stopPropagation(); setDragIdx(idx); try { e.dataTransfer.effectAllowed = 'move'; e.dataTransfer.setData('text/plain', String(idx)) } catch (_e) {} },
+              onDragStart: (e) => { e.stopPropagation(); setDragIdx(realIdx); try { e.dataTransfer.effectAllowed = 'move'; e.dataTransfer.setData('text/plain', String(realIdx)) } catch (_e) {} },
               onDragEnd: () => { setDragIdx(null); setOverIdx(null) },
               onClick: (e) => e.stopPropagation(),
               style: { cursor: 'grab', color: 'var(--dsw-alias-label-tertiary)', fontSize: 14, padding: '0 6px', userSelect: 'none' }
@@ -931,6 +946,8 @@ window.__ModuleLoader__.load({
       const providers = props._providers || {}
       const [speedState, setSpeedState] = useState({})
       const [expanded, setExpanded] = useState({})
+      // 顶层 notice 的写入通道（ModelConfigView 传入；测速失败要上浮显示）
+      const setNotice = props._setNotice || (() => {})
 
       const addGroup = () => props.setChannelsDraft((d) => {
         const base = d || []
@@ -965,12 +982,19 @@ window.__ModuleLoader__.load({
 
       const speedtest = (gid) => {
         if (!apiRef) return
-        const nonce = Date.now() % 1000000000
+        // F03/F19 同 fireTest：UUID 防碰撞 + 信封检查（ok:false 不再当「已触发」）
+        const nonce = createNonce()
         setSpeedState((s) => Object.assign({}, s, { [gid]: 'running' }))
-        apiRef.settings.update({ ns: 'model-channel-health', patch: { speedRequest: { group: gid, nonce } } }).then(() => {
+        apiRef.settings.update({ ns: 'model-channel-health', patch: { speedRequest: { group: gid, nonce } } }).then((resp) => {
+          const r = resp && resp.result ? resp.result : resp
+          if (r && r.ok === false) throw new Error((r.error && (r.error.message || r.error)) || 'speed request rejected')
           setSpeedState((s) => Object.assign({}, s, { [gid]: 'sent' }))
           setTimeout(() => setSpeedState((s) => Object.assign({}, s, { [gid]: null })), 3000)
-        }).catch(() => setSpeedState((s) => Object.assign({}, s, { [gid]: 'err' })))
+        }).catch((e) => {
+          setSpeedState((s) => Object.assign({}, s, { [gid]: 'err' }))
+          setNotice('测速触发失败: ' + String((e && e.message) || e))
+          setTimeout(() => setNotice(null), 5000)
+        })
       }
 
       if (groups.length === 0) return el('div', { className: 'mcm-empty' }, '暂无轮询组，点击下方按钮创建', el('div', { style: { marginTop: 12 } }, btn('＋新增轮询组', addGroup, 'primary')))
@@ -1059,7 +1083,9 @@ window.__ModuleLoader__.load({
     function HealthPanel(props) {
       const health = props.health
       const providers = props._providers || {}
-      const [windowMode, setWindowMode] = useState('30m') // '30m' | '24h' | '7d'
+      // 默认 7d：digest 是窗口聚合，小窗口在长时间无请求时会合法显示 0，
+      // 用户容易误认为「数据丢了」。先默认展示历史，再可切 30m/24h 看实时/近期。
+      const [windowMode, setWindowMode] = useState('7d') // '30m' | '24h' | '7d'
 
       if (!health) return el('div', { className: 'mcm-empty' }, '健康统计数据准备中…')
 
@@ -1107,6 +1133,11 @@ window.__ModuleLoader__.load({
       let totalTokIn = 0
       let totalTokOut = 0
       let totalTokCache = 0
+      // allEvents 必须在两个分支前声明：旧 host 兼容路径（digest 缺失）会在
+      // else 块里赋值它（供顶部指标卡用）；若在此处之后才 let 声明，
+      // 赋值撞未声明变量 → ReferenceError 白屏（host 重启首次加载、digest
+      // 尚未生成时正是此路径）。这是 0.3.1 引入双路径时的遗漏。
+      let allEvents = []
 
       if (digestRows !== null) {
         // ---------- digest 投影路径 ----------
@@ -1214,8 +1245,7 @@ window.__ModuleLoader__.load({
       }
 
       // 顶部指标卡：digest 路径用聚合值求和，旧路径用原始事件计数
-      // （allEvents 提升到函数级：旧 host 回落路径的 else 块在此作用域外定义它）
-      let allEvents = []
+      // （allEvents 已在上方分支前声明）
       let totalRequests = 0
       let totalSuccess = 0
       let ttftWeightedSum = 0
@@ -1368,11 +1398,23 @@ window.__ModuleLoader__.load({
       const [notice, setNotice] = useState(null)
       const [saving, setSaving] = useState(false)
       const [tab, setTab] = useState('config')
+      // ready 门（审计 F04）：首次 describe 完成前保存不可用——旧实现
+      // channelsDraft || [] 把「还没读到」当「空」，加载前点保存会把轮询组清空
+      const [ready, setReady] = useState(false)
 
       const renameProviderInChannels = (oldId, newId) => {
+        // F17（审计 C05）：改名要同步全部引用——主 candidates + 每个 preset 的
+        // candidates。宿主优先使用 activePreset.candidates，漏改它 = 删旧 provider
+        // 后组仍访问不存在的 ID。
+        const renameCands = (cands) => (cands || []).map((c) => (c && c.provider === oldId) ? Object.assign({}, c, { provider: newId }) : c)
         setChannelsDraft((d) => (d || []).map((g) => {
-          const cands = (g.candidates || []).map((c) => (c && c.provider === oldId) ? Object.assign({}, c, { provider: newId }) : c)
-          return Object.assign({}, g, { candidates: cands })
+          const next = Object.assign({}, g, { candidates: renameCands(g.candidates) })
+          if (Array.isArray(g.presets)) {
+            next.presets = g.presets.map((p) => (p && Array.isArray(p.candidates))
+              ? Object.assign({}, p, { candidates: renameCands(p.candidates) })
+              : p)
+          }
+          return next
         }))
       }
       const [channels, setChannels] = useState(null)
@@ -1412,7 +1454,9 @@ window.__ModuleLoader__.load({
           const providers = applyProviderOrder((ns && ns.value && ns.value.providers) || {}, savedOrder)
           // user 层 = 仅用户手工声明的路由（用于真正删除与重排序的 mutate 依据）
           const userProviders = (ns && ns.user && ns.user.providers) || {}
-          setState({ providers, userProviders, providerOrder: savedOrder || [] })
+          // revision 记录（审计 F05）：保存时作为 expectedRevision 传给宿主，
+          // 别处（另一个标签页/host 侧）改过配置则宿主拒绝，防止旧快照覆盖
+          setState({ providers, userProviders, providerOrder: savedOrder || [], nsRevisions: { piAi: (ns && ns.revision) || 0, channels: (cn && cn.revision) || 0 } })
           setDraft((prev) => prev || clone(providers))
           const ch = (cn && cn.value && cn.value.groups) || []
           setChannels(ch)
@@ -1424,7 +1468,8 @@ window.__ModuleLoader__.load({
           setHealth(hv.digest || (hv.digestAt !== undefined)
             ? { digest: hv.digest || [], digestAt: hv.digestAt || 0, speedResults: hv.speedResults || {}, runtime: hv.runtime || {} }
             : (hn ? { records: hv.records || {}, speedResults: hv.speedResults || {}, runtime: hv.runtime || {} } : null))
-        }).catch((e) => setNotice('加载失败: ' + String(e)))
+          setReady(true) // describe 成功：保存解禁（F04 的门）
+        }).catch((e) => { setNotice('加载失败: ' + String(e)); setReady(false) })
       }
 
       useEffect(() => {
@@ -1453,6 +1498,36 @@ window.__ModuleLoader__.load({
 
       const save = () => {
         if (!apiRef) return
+        // F04 门：describe 未完成时 draft/channelsDraft 都是 null——旧实现
+        // (channelsDraft || []) 把「还没读到」当「空」，这里直接拦截而不是兜底空数组
+        if (!ready) {
+          setNotice('配置尚未加载完成，请稍候再保存')
+          setTimeout(() => setNotice(null), 4000)
+          return
+        }
+        // F16 预检：非法/重复组 ID、空候选直接拒绝提交（旧实现保存后 host 静默丢弃，
+        // 界面仍显示「已保存」——H08：3 组保存实际只注册 1 条路由）
+        const groupsToSave = channelsDraft || []
+        const problems = []
+        const seenIds = new Set()
+        for (const g of groupsToSave) {
+          const gid = (g && g.id) || ''
+          if (!/^[a-z0-9][a-z0-9-]*$/.test(gid)) {
+            problems.push('组「' + (gid || '(未命名)') + '」ID 非法（仅小写字母/数字/连字符，字母或数字开头）')
+          } else if (seenIds.has(gid)) {
+            problems.push('组 ID「' + gid + '」重复')
+          } else {
+            seenIds.add(gid)
+          }
+          const candCount = (g && Array.isArray(g.candidates)) ? g.candidates.filter((c) => c && c.provider && c.model).length : 0
+          if (candCount === 0 && gid)
+            problems.push('组「' + gid + '」没有可用候选（候选需同时选择 Provider 和模型）')
+        }
+        if (problems.length > 0) {
+          setNotice('保存被拒绝：' + problems[0] + (problems.length > 1 ? '（共 ' + problems.length + ' 个问题）' : ''))
+          setTimeout(() => setNotice(null), 8000)
+          return
+        }
         setSaving(true)
         setNotice(null)
         // Compat 全量透传：rc.2 PiAiCompatProfile 的 20 个字段全部真实生效——此前
@@ -1494,6 +1569,10 @@ window.__ModuleLoader__.load({
               if (Array.isArray(cleaned.input) && cleaned.input.length > 0) cleaned.input = cleaned.input.slice()
               else delete cleaned.input
               if (cleaned.reasoningEfforts != null && typeof cleaned.reasoningEfforts === 'object' && Object.keys(cleaned.reasoningEfforts).length > 0) cleaned.reasoningEfforts = Object.assign({}, cleaned.reasoningEfforts)
+              else if (cleaned.reasoningEfforts === false) {
+                // F07（审计 C02）：false = 显式关闭推理（继承 catalog 默认的对立面）。
+                // 删掉它 = 静默恢复继承，语义被改变。原样保留。
+              }
               else delete cleaned.reasoningEfforts
               const mc = cleanCompat(cleaned.compat)
               if (mc) cleaned.compat = mc
@@ -1501,7 +1580,12 @@ window.__ModuleLoader__.load({
               return cleaned
             })
             const pObj = Object.assign({}, pVal)
-            pObj.api = pVal.api || 'openai-completions'
+            // F07（审计 C08）：api 缺省 = 继承 catalog 协议；强塞 openai-completions
+            // 会把「继承」变成「显式指定」，materialize 时显式 api 优先于 catalog——
+            // 协议被静默切换。UI 下拉仍显示默认值（渲染默认与持久化默认分离），
+            // 但保存不写显式值。新增供应商时 addGroup 路径已显式给 api。
+            if (typeof pVal.api === 'string' && pVal.api) pObj.api = pVal.api
+            else delete pObj.api
             pObj.models = cleanModels
             if (!(pVal.baseURL && String(pVal.baseURL).trim())) delete pObj.baseURL
             else pObj.baseURL = String(pVal.baseURL).trim()
@@ -1561,9 +1645,14 @@ window.__ModuleLoader__.load({
           for (const k of allKeys) ops.push({ op: 'unset', path: ['providers', k] })
           for (const k of keys) ops.push({ op: 'set', path: ['providers', k], value: cleanProviders[k] })
           if (ops.length === 0) return Promise.resolve()
-          return apiRef.settings.mutate({ ns: 'llm-pi-ai', ops }).then((resp) => {
+          // F05：带 revision 保存——llm-pi-ai 是独立 settings 行，冲突由宿主以
+          // settings/conflict 拒绝；提示里给「刷新后重试」指引而不是静默覆盖
+          return apiRef.settings.mutate({ ns: 'llm-pi-ai', ops, expectedRevision: (state && state.nsRevisions && state.nsRevisions.piAi) || undefined }).then((resp) => {
             const r = resp && resp.result ? resp.result : resp
-            if (r && r.ok === false) throw new Error((r.error && (r.error.message || r.error)) || 'llm-pi-ai save failed')
+            if (r && r.ok === false) {
+              const conflict = r.error && (r.error.code === 'settings/conflict' || /conflict/i.test(String(r.error.message || '')))
+              throw new Error(conflict ? 'llm-pi-ai 配置已被其他页面修改（版本冲突），请点「刷新」后重试' : ((r.error && (r.error.message || r.error)) || 'llm-pi-ai save failed'))
+            }
             return r
           })
         })() : Promise.resolve()
@@ -1572,22 +1661,46 @@ window.__ModuleLoader__.load({
         const orderPatch = draft ? { providerOrder: Object.keys(cleanProviders) } : {}
         const p2 = apiRef.settings.update({
           ns: 'model-channels',
+          expectedRevision: (state && state.nsRevisions && state.nsRevisions.channels) || undefined,
           // 命名单一身份：写入时统一 virtualModel.name = 组 id——旧的独立呈现名
           // （如遗留的 group-1）在下一次保存时自动归一，无需迁移
           patch: Object.assign({ groups: (channelsDraft || []).map((g) => Object.assign({}, g, { virtualModel: Object.assign({}, g.virtualModel, { name: g.id }) })) }, orderPatch)
         }).then((resp) => {
           const r = resp && resp.result ? resp.result : resp
-          if (r && r.ok === false) throw new Error((r.error && (r.error.message || r.error)) || 'model-channels save failed')
+          if (r && r.ok === false) {
+            const conflict = r.error && (r.error.code === 'settings/conflict' || /conflict/i.test(String(r.error.message || '')))
+            throw new Error(conflict ? '轮询组配置已被其他页面修改（版本冲突），请点「刷新」后重试' : ((r.error && (r.error.message || r.error)) || 'model-channels save failed'))
+          }
           return r
         })
-        Promise.all([p1, p2]).then(() => {
-          setNotice('已全部保存（即时生效）')
-          // 同步草稿与状态为刚保存的清洗版本（含默认请求头合并结果）
-          setDraft(clone(cleanProviders))
-          setState((s) => Object.assign({}, s, { providers: cleanProviders, userProviders: cleanProviders, providerOrder: Object.keys(cleanProviders) }))
-          setTimeout(() => setNotice(null), 3000)
+        // F06（审计 C10，0.3.8）：两域用 allSettled 而非 all——半成功不再「整单失败」
+        // 掩盖已提交的那半。各自报告，失败域给出明确指引；部分成功时提示里列明
+        // 哪域成功哪域失败，用户知道实际落盘了什么（宿主无跨命名空间事务，
+        // 这是审计建议的务实路线：可观察的分域成败 + 冲突重试）。
+        const settleOf = (label, p) => p.then(() => ({ label, ok: true }), (e) => ({ label, ok: false, error: String((e && e.message) || e) }))
+        Promise.allSettled([settleOf('提供商配置', p1), settleOf('轮询组配置', p2)]).then((results) => {
+          const done = results.map((r) => r.value)
+          const failed = done.filter((d) => d && !d.ok)
+          const okCount = done.length - failed.length
+          if (failed.length === 0) {
+            setNotice('已全部保存（即时生效）')
+          }
+          else if (okCount > 0) {
+            // 部分成功：明确告知哪域已落盘、哪域失败（旧实现统一「保存失败」，
+            // 用户不知道 providers 其实已经提交了）
+            setNotice('部分保存：' + done.filter((d) => d && d.ok).map((d) => d.label).join('、') + ' 已生效；' + failed.map((d) => d.label).join('、') + ' 失败——' + failed[0].error)
+          }
+          else {
+            setNotice('保存失败: ' + failed[0].error)
+          }
+          // 两域都成功才同步本地镜像（半成功时以 refresh 拉回真实状态为准）
+          if (failed.length === 0) {
+            setDraft(clone(cleanProviders))
+            setState((s) => Object.assign({}, s, { providers: cleanProviders, userProviders: cleanProviders, providerOrder: Object.keys(cleanProviders) }))
+          }
+          setTimeout(() => setNotice(null), failed.length > 0 ? 8000 : 3000)
           refresh()
-        }).catch((e) => setNotice('保存失败: ' + String((e && e.message) || e))).finally(() => setSaving(false))
+        }).finally(() => setSaving(false))
       }
 
       return el('div', { className: 'mcm-root' },
@@ -1600,12 +1713,18 @@ window.__ModuleLoader__.load({
           el('div', { className: 'mcm-actions' },
             notice ? el('span', { style: { fontSize: 12, color: notice.includes('失败') ? 'var(--dsw-alias-state-error-primary)' : 'var(--dsw-alias-state-success-primary)' } }, notice) : null,
             btn('刷新', refresh),
-            btn(saving ? '保存中…' : '保存全部变更', save, 'primary')
+            el('button', {
+              className: 'mcm-btn primary',
+              // F04：未就绪/保存中禁用；disabled 态样式弱化
+              disabled: !ready || saving,
+              style: (!ready || saving) ? { opacity: 0.55, cursor: 'not-allowed' } : undefined,
+              onClick: save
+            }, !ready ? '加载中…' : saving ? '保存中…' : '保存全部变更')
           )
         ),
         el('div', { className: 'mcm-body' },
           tab === 'config' ? el(ModelConfigPanel, { _state: state, _draft: draft, _setDraft: setDraft, _setNotice: setNotice, _renameProviderInChannels: renameProviderInChannels }) :
-          tab === 'roundrobin' ? el(RoundrobinPanel, { channels, channelsDraft, setChannelsDraft, _providers: (draft || (state ? state.providers : {})) }) :
+          tab === 'roundrobin' ? el(RoundrobinPanel, { channels, channelsDraft, setChannelsDraft, _providers: (draft || (state ? state.providers : {})), _setNotice: setNotice }) :
           el(HealthPanel, { health, _providers: (draft || (state ? state.providers : {})) })
         )
       )

package/src/health-store.js

@@ -67,6 +67,9 @@ const healthDomainSpec = defineDomain({
   },
 });
 
+/** 事件去重键：同一笔在 settings 与 domain 之间合并时不重复计。 */
+const eventKey = (e) => `${e.ts}|${e.provider}|${e.model}`;
+
 /**
  * HealthStore：封装 domain 读写 + 保留策略 + 聚合。
  * 非 Service（宿主插件自有生命周期），由 apply() 创建并 effect 持有 close。
@@ -102,14 +105,21 @@ export class HealthStore {
     if (domain) await domain.close().catch(() => {});
   }
 
+  /** 把一次事件表写入排入类内写链：并发调用逐个重读当前值，不交错、不互相覆盖。
+   * 返回本次写入的真实结果（失败会 reject，调用方可记录/重试）；链本身用吞错版本续接。
+   */
+  enqueueEvent(run) {
+    const result = this.eventChain.then(run, run);
+    this.eventChain = result.catch(() => { });
+    return result;
+  }
+
   /** 追加一条事件到渠道桶，同时执行窗口过期 + 条数截断。
-   * 并发安全：桶初始化（put）与追加（update）都排队到类内写链，逐个重读当前值，
-   * 并发 appendEvent 不交错、不互相覆盖（等价 KvTable.update 的原子语义；
-   * 桶不存在时 KvTable.update 报 missing-key，故初始化先行）。
+   * 桶不存在时先 put 初始化（KvTable.update 对缺失键报 missing-key）。
    */
   appendEvent(provider, rec) {
     if (this.events === null) return Promise.resolve();
-    this.eventChain = this.eventChain.then(async () => {
+    return this.enqueueEvent(async () => {
       const cutoff = Date.now() - WINDOW_MS;
       const cur = this.events.get(provider);
       if (cur === undefined) {
@@ -119,8 +129,7 @@ export class HealthStore {
       await this.events.update(provider, (c) => ({
         events: [...c.events.filter((e) => e.ts >= cutoff), rec].slice(-PER_KEY_LIMIT),
       }));
-    }).catch(() => { }); // 链不断：失败吞掉（调用方已有 warn），后续追加继续
-    return this.eventChain;
+    });
   }
 
   /** 整组测速结果替换写入。 */
@@ -146,18 +155,35 @@ export class HealthStore {
   }
 
   /**
-   * 存量迁移：settings health 子树的 records/speedResults 一次性搬入 domain。
-   * 迁移以「桶里有数据即跳过」防重放；完成后由调用方写迁移标记。
-   * 并发安全：逐桶判断改走原子链（迁移进行中 recordHealth 并发创建的新桶不会被旧数据覆盖）。
+   * 存量迁移：把 settings health 子树的 records/speedResults 并入 domain。
+   *
+   * 与早期实现的关键差别：**桶已存在时合并去重，而不是整桶跳过**。
+   * 原因是 0.3.11 修掉的 schema 缺陷（nonce 类型漂移 → health 整树被宽松兜底
+   * 清空）期间，迁移标记可能已被误写、而 settings 里的旧流水从未真正导入；
+   * 此时若沿用「桶已存在即跳过」再清理 settings，旧账会被直接删除。
+   * 合并保证不丢数据，且幂等（同 ts+provider+model 视为同一笔）。
+   * 测速结果是「最新快照」语义，仍以 domain 已有行为准。
    */
   async migrateFrom(records, speedResults) {
     if (this.events === null) return false;
     const cutoff = Date.now() - WINDOW_MS;
     for (const [provider, list] of Object.entries(records || {})) {
-      if (!Array.isArray(list) || list.length === 0) continue;
-      if (this.events.get(provider) !== undefined) continue; // 已有桶：domain 是权威，不回搬
-      const events = list.filter((e) => e && e.ts >= cutoff).slice(-PER_KEY_LIMIT);
-      if (events.length > 0) await this.events.put(provider, { events });
+      const incoming = (Array.isArray(list) ? list : [])
+        .filter((e) => e && Number.isFinite(e.ts) && e.ts >= cutoff);
+      if (incoming.length === 0) continue;
+      await this.enqueueEvent(async () => {
+        const existing = (this.events.get(provider) || {}).events || [];
+        const seen = new Set(existing.map(eventKey));
+        const merged = existing.slice();
+        for (const e of incoming) {
+          const k = eventKey(e);
+          if (seen.has(k)) continue;
+          seen.add(k);
+          merged.push(e);
+        }
+        merged.sort((a, b) => (a.ts || 0) - (b.ts || 0));
+        await this.events.put(provider, { events: merged.slice(-PER_KEY_LIMIT) });
+      });
     }
     for (const [groupId, rows] of Object.entries(speedResults || {})) {
       if (!Array.isArray(rows) || rows.length === 0) continue;