@bolloon/bolloon-agent 0.5.0 → 0.5.1

package/dist/llm/pi-ai.js

@@ -1,6 +1,7 @@
 import * as path from 'path';
 import * as fs from 'fs';
 import { request, Agent } from 'undici';
+import { sanitizeToolsForApi } from './tool-name.js';
 /**
  * 外部 system 注入钩子.
  * 调用方 (e.g. auto-evolve-loop) 用 setSystemPrependProvider() 注册一个返回字符串的函数,
@@ -53,6 +54,34 @@ export class PiAIModel {
         }
         return valid;
     }
+    /**
+     * 按**注册表**取这条 provider 的认证头与 query (P3 注册表是唯一出处)。
+     *
+     * `providerId` (声明 id) 优先于运行期分支 id —— 自定义供应商的 `authHeader` 只有按声明 id 才查得到。
+     * 拿不到 (模块不可用 / 这个 id 不在注册表里) → 返回 `null`, 各分支**退回自己的旧内置常量**,
+     * 于是内置供应商的请求头一字不变 (门禁 `scripts/verify-model-wiring.ts` 逐分支比对真收到的头)。
+     */
+    async registryAuth() {
+        const declared = String(this.config.providerId || this.provider || '').trim();
+        if (!declared)
+            return null;
+        try {
+            const reg = await import('./provider-registry.js');
+            const entry = reg.getProviderRegistryEntry(declared);
+            if (!entry)
+                return null;
+            const auth = reg.authHeadersFor(entry, this.getApiKey());
+            return {
+                headers: (auth && auth.headers) || {},
+                query: (auth && auth.query) || {},
+                authKind: String(entry.auth && entry.auth.kind || 'none'),
+                entryKind: String(entry.kind || ''),
+            };
+        }
+        catch {
+            return null;
+        }
+    }
     /**
      * 与 LLM 对话.
      *
@@ -207,8 +236,14 @@ export class PiAIModel {
         if (tools && tools.length > 0) {
             // 预格式化的 tools (含参数 schema) → 直接使用
             if (typeof tools[0] === 'object' && tools[0]?.type === 'function') {
-                openaiTools = tools;
-                const toolDescriptions = tools.map(t => `- ${t.function.name}: ${t.function.description || ''} ${Object.keys(t.function.parameters?.properties || {}).length > 0 ? `(${Object.keys(t.function.parameters.properties).join(', ')})` : ''}`).join('\n');
+                // 2026-09-26: **工具名出网的唯一净化边界**.
+                //   全仓只有这里产出 wire 形状的 tools 数组 (所有入口: CLI/Web/MCP/技能/子 Agent/长期任务
+                //   都经 chat() → generateText() 到这里). 非法字符 (如 contact.list_authorized 里的 '.')
+                //   会让整个请求 400: Invalid 'tools[120].function.name': string does not match pattern.
+                //   净化同时把「原名 ↔ API 名」登记进 globalToolNameRoutes, 回程派发靠它还原成真名.
+                //   撞名/无名 → 抛错点名, 不许静默.
+                openaiTools = sanitizeToolsForApi(tools);
+                const toolDescriptions = openaiTools.map(t => `- ${t.function.name}: ${t.function.description || ''} ${Object.keys(t.function.parameters?.properties || {}).length > 0 ? `(${Object.keys(t.function.parameters.properties).join(', ')})` : ''}`).join('\n');
                 finalMessages = [{ role: 'system', content: `可用工具:\n${toolDescriptions}` }, ...messages];
             }
         }
@@ -348,6 +383,11 @@ export class PiAIModel {
         //   会静默忽略 npm undici Agent 的 dispatcher (实测 localPort 不变), 导致重试仍在复用坏连接.
         //   改用 npm undici 的 request(): 独立连接池 + 重试传 dispatcher 真正生效 (新 TCP 连接).
         let retryAgent = null;
+        // 认证头走注册表 (拿不到注册表 → 退回本分支原来的 `Authorization: Bearer <key>`)
+        const regAuth = await this.registryAuth();
+        const authHeaders = regAuth
+            ? regAuth.headers
+            : { 'Authorization': `Bearer ${apiKey}` };
         for (let attempt = 0; attempt < 4; attempt++) {
             const _tFetch = Date.now();
             let statusCode = 0;
@@ -357,7 +397,7 @@ export class PiAIModel {
                     method: 'POST',
                     headers: {
                         'Content-Type': 'application/json',
-                        'Authorization': `Bearer ${apiKey}`
+                        ...authHeaders,
                     },
                     body: JSON.stringify(requestBody),
                     signal: this.combinedSignal(signal),
@@ -439,12 +479,14 @@ export class PiAIModel {
         }
         const systemMessage = messages.find(m => m.role === 'system')?.content || '';
         const userMessages = messages.filter(m => m.role !== 'system');
+        // 认证头走注册表 (拿不到 → 退回原来的 x-api-key + anthropic-version);
+        // `anthropic-dangerous-direct-browser-access` 是本分支历史行为, 无论注册表说什么都保留。
+        const regAuthA = await this.registryAuth();
         const response = await fetch(`${this.getBaseUrl()}/messages`, {
             method: 'POST',
             headers: {
                 'Content-Type': 'application/json',
-                'x-api-key': apiKey,
-                'anthropic-version': '2023-06-01',
+                ...(regAuthA ? regAuthA.headers : { 'x-api-key': apiKey, 'anthropic-version': '2023-06-01' }),
                 'anthropic-dangerous-direct-browser-access': 'true'
             },
             body: JSON.stringify({
@@ -463,10 +505,14 @@ export class PiAIModel {
         return { reply: data.content?.[0]?.text || '' };
     }
     async callOllama(messages, temperature, signal) {
+        // ollama 协议在注册表里是 `auth.kind='none'` → 内置行为仍是"只带 Content-Type" (一字不变);
+        // 自定义的 ollama 协议供应商若声明了鉴权头, 这里就能真的带上。
+        const regAuthO = await this.registryAuth();
         const response = await fetch(`${this.getBaseUrl()}/api/chat`, {
             method: 'POST',
             headers: {
-                'Content-Type': 'application/json'
+                'Content-Type': 'application/json',
+                ...(regAuthO ? regAuthO.headers : {})
             },
             body: JSON.stringify({
                 model: this.mapModel(),
@@ -487,11 +533,12 @@ export class PiAIModel {
         if (!apiKey) {
             throw new Error('OPENROUTER_API_KEY not set');
         }
+        const regAuthR = await this.registryAuth();
         const response = await fetch(`${this.getBaseUrl()}/chat/completions`, {
             method: 'POST',
             headers: {
                 'Content-Type': 'application/json',
-                'Authorization': `Bearer ${apiKey}`,
+                ...(regAuthR ? regAuthR.headers : { 'Authorization': `Bearer ${apiKey}` }),
                 'HTTP-Referer': 'https://openclaw.ai',
                 'X-Title': 'OpenClaw'
             },
@@ -521,11 +568,22 @@ export class PiAIModel {
             parts: [{ text: m.content }]
         }));
         const systemInstruction = messages.find(m => m.role === 'system')?.content;
-        const response = await fetch(`${this.getBaseUrl()}/models/${this.mapModel()}:generateContent?key=${apiKey}`, {
+        // gemini 的凭据在 **query** (`?key=`) 里 —— 出处就是注册表那一格 (`auth.kind='query-key'`)。
+        // 内置 gemini 走注册表得到的仍是 `?key=<原样 key>`, 且**不加任何头** (历史行为一字不变);
+        // 只有用户**声明了自定义 authHeader** 的自定义供应商才额外带一个头。
+        const regAuthG = await this.registryAuth();
+        const keyQuery = regAuthG && typeof regAuthG.query.key === 'string'
+            ? `?key=${encodeURIComponent(regAuthG.query.key)}`
+            : (regAuthG && Object.keys(regAuthG.query).length
+                ? `?${new URLSearchParams(regAuthG.query).toString()}`
+                : `?key=${encodeURIComponent(apiKey)}`);
+        const geminiHeaders = { 'Content-Type': 'application/json' };
+        if (regAuthG && regAuthG.entryKind === 'custom' && Object.keys(regAuthG.headers).length) {
+            Object.assign(geminiHeaders, regAuthG.headers);
+        }
+        const response = await fetch(`${this.getBaseUrl()}/models/${this.mapModel()}:generateContent${keyQuery}`, {
             method: 'POST',
-            headers: {
-                'Content-Type': 'application/json'
-            },
+            headers: geminiHeaders,
             body: JSON.stringify({
                 contents,
                 systemInstruction: systemInstruction ? { parts: [{ text: systemInstruction }] } : undefined,
@@ -754,6 +812,7 @@ export function initPiAI(config = {}) {
     }
     modelInstance = new PiAIModel({
         provider,
+        providerId: config.providerId,
         apiKey,
         baseUrl: config.baseUrl,
         model