@inventec/dsh-copilot-auth 1.2.9 → 1.2.10

package/README.md

@@ -17,7 +17,7 @@
 ## 特性
 
 - 🔐 **设备码登录**：网页 + user code，免 API Token；SSO 组织授权友好
-- 🛑 **诚实的授权语义（v2）**：登录进行中可「**请求撤回**」——请求发出后状态如实显示「结果待核实」，不再伪装成已取消；「退出登录/重新授权」在当前宿主无法证明安全结束前**默认禁用并说明**（绝不静默删除凭据）；同一实例只有一个授权尝试，409 时恢复展示共同进度
+- 🛑 **诚实的授权语义（v2）**：登录进行中可「**请求撤回**」——请求发出后状态如实显示「结果待核实」，不再伪装成已取消；**「退出登录」在静止状态可用**（确认弹窗 → 清除凭据 → 删后核实；尝试进行中/风险锁存期拒绝），「重新授权」禁用（等价退出＋登录，请分步执行）；同一实例只有一个授权尝试，409 时恢复展示共同进度
 - 🧩 **预置提供方路由**：安装即出现在 Models 页，无需手动配置
 - 📦 **模型目录兜底填充**：登录成功时，若 GitHub Copilot 路由还没有模型目录，自动填入账号全部可用模型；你已精简/定制过的目录**永不覆盖**（重启、重新登录均不重置）；已请求撤回后晚到的授权成功**不会**再写你的配置
 - ➕➖ **补充模型 / 重建模型列表（v2 双入口）**：「补充」默认非破坏——候选模型默认全不勾选，勾选后才加入，现有对象/顺序/modelOverrides 全部保留；「重建」显式确认后按「账号可用 ∩ 目录可解析」重建纯 ID 列表并清空本路由 modelOverrides（二次确认 + 空目标单独确认）。预览快照 10 分钟有效、绑定选择；同一操作幂等可查；配置并发编辑优先受保护
@@ -33,7 +33,8 @@
 
 | 本插件 | DSH 实测版本 | authorization 服务 | 说明 |
 |---|---|---|---|
-| v1.2.9+ | `0.1.7-rc.2`+（`0.2.0-rc.1` web 与 `0.2.0-rc.2` desktop 已实测） | runtime 内置，插件不挂载 | **修复 v1.2.8 授权页显示回归**：授权状态机漏接 `fetch`，页面恒显「未登录」、点「授权登录」恒「失败」且请求根本不发出（2026-10-04 实机实证，nginx 全量零 `POST /copilot-auth/start`）。另加：/status 加载失败退避自愈重试（60 秒转手动＋「查询状态」）、失败原因分层展示（网络/网关/响应，不再裸「失败」）、已登录时服务端拒绝替换性授权（409 `already-configured`）且客户端自动恢复已登录视图 |
+| v1.2.10+ | `0.1.7-rc.2`+ | runtime 内置，插件不挂载 | **退出登录正式可用**：无进行中授权尝试且无未核实风险（风险锁存）时，经确认弹窗清除凭据并**删除后立即复核**（凭据未消失则如实报「退出未完成」）；授权尝试进行中（begin 晚写窗口）与撤回/超时未核实期一律拒绝退出。`/status` 的 `authorization.capabilities.logout` 按可用性动态返回；**重新授权仍禁用**（等价退出＋登录，请分步执行）。经主人 2026-10-05 裁决替代 v1.2.8 D-01「退出全禁」策略 |
+| v1.2.9 | `0.1.7-rc.2`+（`0.2.0-rc.1` web 与 `0.2.0-rc.2` desktop 已实测） | runtime 内置，插件不挂载 | **修复 v1.2.8 授权页显示回归**：授权状态机漏接 `fetch`，页面恒显「未登录」、点「授权登录」恒「失败」且请求根本不发出（2026-10-04 实机实证，nginx 全量零 `POST /copilot-auth/start`）。另加：/status 加载失败退避自愈重试（60 秒转手动＋「查询状态」）、失败原因分层展示（网络/网关/响应，不再裸「失败」）、已登录时服务端拒绝替换性授权（409 `already-configured`）且客户端自动恢复已登录视图 |
 | v1.2.8 | `0.1.7-rc.2`+（`0.2.0-rc.1` web 与 `0.2.0-rc.2` desktop 已实测） | runtime 内置，插件不挂载 | **协议 v2：诚实的授权语义＋补充/重建双入口**。授权侧：等待中可「请求撤回」（结果如实显示待核实）、退出/重新授权在宿主可证明安全前禁用并说明、单实例 attempt、15 分钟等待上限、晚到授权成功不再写配置；模型侧：旧「刷新」拆为「补充模型」（候选默认不勾选、非破坏）与「重建模型列表」（二次确认＋清 modelOverrides），预览 10 分钟绑定选择、operationId 幂等、配置并发编辑优先、崩溃可恢复（「结束旧配置意图」显式闭环），状态按 profile 隔离（旧全局状态只读提示）；模型路由要求 `protocolVersion:2`，GET `/status` 零写探针；v1 函数族已从 state.mjs 移除。**已知缺陷**：授权状态机漏接 fetchImpl → 授权页恒「未登录/失败」（v1.2.9 修复） |
 | v1.2.7+ | `0.1.7-rc.2`+（`0.2.0-rc.1` web 与 `0.2.0-rc.2` desktop 已实测） | runtime 内置，插件不挂载 | **重启后自动恢复**：注入后以宿主 `listModels` 复核，未端出即**净零切换**（`displayName` 改后复原；两次真内容变化 ⇒ 宿主必然重建快照，用户配置逐字节不变）触发重建；另加双路取实例 + `registryInstanceMismatch`/`registryVia` 诊断。修复 v1.2.6 的"同值写不改变配置身份 ⇒ 快照不重建" |
 | v1.2.6 | `0.1.7-rc.2`+ | runtime 内置，插件不挂载 | 首次引入宿主侧复核与 `settingsNotServed` 诊断；重启自愈用的"同值触碰"**实测不足**（同值写不改变配置对象身份），重启后模型可能仍不出现——请用 v1.2.7 |
@@ -76,7 +77,7 @@ dsh plugin --profile web add @inventec/dsh-copilot-auth
 ## 撤回、退出与卸载
 
 - **请求撤回**：授权等待期间可点「请求撤回」——插件先使本地旧意图失效，再尝试调用宿主撤销接口；无论请求是否送达，状态都如实显示「结果仍待核实」，在结果核实前不能发起新的授权尝试。
-- **退出登录 / 重新授权**：当前宿主桥接无法证明授权流程已安全结束（晚写不可排除），两项操作**默认禁用并说明原因**，插件也绝不调用凭据删除；待宿主提供可信安全路径后再启用。
+- **退出登录（v1.2.10）**：无进行中授权尝试且无未核实风险时可退出——确认弹窗（将清除同一凭据库中所有实例共享的 Copilot 授权，不注销 GitHub 账号）→ 删除凭据 → **删除后立即复核**，凭据仍在则如实显示「退出未完成，授权凭据仍可能存在」；授权尝试进行中（设备码等待期，begin 晚写窗口）与撤回/超时未核实的风险锁存期一律拒绝退出。**重新授权**仍禁用：等价于退出＋登录，请先「退出登录」再「授权登录」。
 - 卸载：`dsh plugin --profile web remove @inventec/dsh-copilot-auth` 后重启 dsh web
 
 ## 补充模型 / 重建模型列表

package/lib/client.js

@@ -521,6 +521,23 @@ function createAuthFlow({ fetchImpl, clock = defaultClock(), onState = () => {
     }
     emit({ withdrawalDelivery: "failed", error: r.error?.details?.errorCode ?? r.error?.messageKey });
   }
+  async function logout() {
+    const gen = ++generation;
+    clearTimer();
+    failures = 0;
+    backoffIdx = 0;
+    failureWindowStart = null;
+    emit({ phase: "loading", logoutError: void 0 });
+    const r = await requestJson(fetchImpl, "/copilot-auth/logout", { method: "POST" });
+    if (stale(gen)) return;
+    if (!r.ok) {
+      const code = r.error?.details?.errorCode;
+      emit({ phase: "authorized", logoutError: code ?? r.error?.messageKey ?? "logout-failed" });
+      return;
+    }
+    emit({ logoutError: void 0 });
+    await initAttempt(gen);
+  }
   function refresh() {
     void init();
   }
@@ -528,7 +545,7 @@ function createAuthFlow({ fetchImpl, clock = defaultClock(), onState = () => {
     generation += 1;
     clearTimer();
   }
-  return { init, start, cancel, refresh, dispose };
+  return { init, start, cancel, logout, refresh, dispose };
 }
 
 // src/client.jsx
@@ -568,6 +585,9 @@ var DICTS = {
     errGateway: "Gateway error: the DSH service may be restarting. Retrying automatically.",
     errBadResponse: "Unexpected response from the authorization service.",
     errHttp: "The authorization request failed. Check status and retry.",
+    logoutScope: "This removes Copilot authorization from this credential store and affects other instances using it. It does not delete your GitHub account.",
+    logoutFailed: "Sign-out did not complete; authorization credentials may remain. Please retry.",
+    reauthHint: "Reauthorize is unavailable. Sign out first, then sign in again.",
     // ---- Model management (protocol v2, design §5) ----
     supplement: "Add models",
     rebuild: "Rebuild model list",
@@ -650,6 +670,9 @@ var DICTS = {
     errGateway: "\u7F51\u5173\u9519\u8BEF\uFF1ADSH \u670D\u52A1\u53EF\u80FD\u6B63\u5728\u91CD\u542F\uFF0C\u6B63\u5728\u81EA\u52A8\u91CD\u8BD5\u3002",
     errBadResponse: "\u6388\u6743\u670D\u52A1\u8FD4\u56DE\u5F02\u5E38\u54CD\u5E94\u3002",
     errHttp: "\u6388\u6743\u8BF7\u6C42\u5931\u8D25\u3002\u8BF7\u67E5\u8BE2\u72B6\u6001\u540E\u91CD\u8BD5\u3002",
+    logoutScope: "\u5C06\u6E05\u9664\u6B64\u51ED\u636E\u5E93\u4E2D\u7684 Copilot \u6388\u6743\uFF0C\u4F7F\u7528\u540C\u4E00\u51ED\u636E\u5E93\u7684\u5176\u4ED6\u5B9E\u4F8B\u4E5F\u4F1A\u53D7\u5230\u5F71\u54CD\u3002\u6B64\u64CD\u4F5C\u4E0D\u6CE8\u9500 GitHub \u8D26\u53F7\u3002",
+    logoutFailed: "\u9000\u51FA\u767B\u5F55\u672A\u5B8C\u6210\uFF0C\u6388\u6743\u51ED\u636E\u4ECD\u53EF\u80FD\u5B58\u5728\u3002\u8BF7\u91CD\u8BD5\u3002",
+    reauthHint: "\u91CD\u65B0\u6388\u6743\u6682\u4E0D\u53EF\u7528\uFF1A\u8BF7\u5148\u9000\u51FA\u767B\u5F55\uFF0C\u518D\u91CD\u65B0\u6388\u6743\u3002",
     // ---- 模型管理（协议 v2，设计§5） ----
     supplement: "\u8865\u5145\u6A21\u578B",
     rebuild: "\u91CD\u5EFA\u6A21\u578B\u5217\u8868",
@@ -998,10 +1021,29 @@ function RetireDialog({ t, onConfirm, onCancel }) {
     ] })
   ] }) });
 }
+function ConfirmDialog({ title, body, confirmText, cancelText, onConfirm, onCancel }) {
+  const cancelRef = (0, import_react.useRef)(null);
+  const surface = (0, import_react.useRef)(null);
+  if (!surface.current) surface.current = sampleThemeSurface();
+  (0, import_react.useEffect)(() => {
+    cancelRef.current?.focus();
+  }, []);
+  return /* @__PURE__ */ (0, import_jsx_runtime.jsx)("div", { style: styles.modalMask, role: "dialog", "aria-modal": "true", onKeyDown: (e) => {
+    if (e.key === "Escape") onCancel();
+  }, children: /* @__PURE__ */ (0, import_jsx_runtime.jsxs)("div", { style: { ...styles.modal, background: surface.current.bg, color: surface.current.fg, maxWidth: 460 }, children: [
+    /* @__PURE__ */ (0, import_jsx_runtime.jsx)("h4", { style: styles.modalTitle, children: title }),
+    /* @__PURE__ */ (0, import_jsx_runtime.jsx)("p", { style: styles.modalText, children: body }),
+    /* @__PURE__ */ (0, import_jsx_runtime.jsxs)("div", { style: styles.modalActions, children: [
+      /* @__PURE__ */ (0, import_jsx_runtime.jsx)("button", { ref: cancelRef, type: "button", style: { ...styles.button, ...styles.secondary }, onClick: onCancel, children: cancelText }),
+      /* @__PURE__ */ (0, import_jsx_runtime.jsx)("button", { type: "button", style: { ...styles.button, ...styles.primary }, onClick: onConfirm, children: confirmText })
+    ] })
+  ] }) });
+}
 function CopilotSection({ t = (key) => DICTS.en[key] ?? key }) {
   const [auth, setAuth] = (0, import_react.useState)({ phase: "loading", connectivity: "online", shared: false });
   const [copied, setCopied] = (0, import_react.useState)(false);
   const [copyFail, setCopyFail] = (0, import_react.useState)(false);
+  const [logoutConfirm, setLogoutConfirm] = (0, import_react.useState)(false);
   const [flow, setFlow] = (0, import_react.useState)(initial);
   const flowRef = (0, import_react.useRef)(flow);
   const authFlowRef = (0, import_react.useRef)(null);
@@ -1031,6 +1073,10 @@ function CopilotSection({ t = (key) => DICTS.en[key] ?? key }) {
   const checkStatus = () => {
     void authFlowRef.current?.refresh();
   };
+  const doLogout = () => {
+    setLogoutConfirm(false);
+    void authFlowRef.current?.logout();
+  };
   const copyCode = async (code) => {
     try {
       await navigator.clipboard.writeText(code);
@@ -1104,8 +1150,21 @@ function CopilotSection({ t = (key) => DICTS.en[key] ?? key }) {
     ] }),
     phase === "authorized" && /* @__PURE__ */ (0, import_jsx_runtime.jsxs)("div", { style: styles.card, children: [
       /* @__PURE__ */ (0, import_jsx_runtime.jsxs)("div", { style: { display: "flex", gap: 10, alignItems: "center", flexWrap: "wrap" }, children: [
-        /* @__PURE__ */ (0, import_jsx_runtime.jsx)("button", { type: "button", style: { ...styles.button, ...styles.secondary, opacity: 0.5, cursor: "not-allowed" }, disabled: true, title: t("authUnsafe"), children: t("logout") }),
-        /* @__PURE__ */ (0, import_jsx_runtime.jsx)("button", { type: "button", style: { ...styles.button, ...styles.secondary, opacity: 0.5, cursor: "not-allowed" }, disabled: true, title: t("authUnsafe"), children: t("reauthorize") }),
+        (() => {
+          const logoutAvailable = auth.status?.authorization?.capabilities?.logout === true;
+          return /* @__PURE__ */ (0, import_jsx_runtime.jsx)(
+            "button",
+            {
+              type: "button",
+              style: { ...styles.button, ...styles.secondary, ...logoutAvailable ? null : { opacity: 0.5, cursor: "not-allowed" } },
+              disabled: !logoutAvailable,
+              title: logoutAvailable ? t("logoutScope") : t("authUnsafe"),
+              onClick: () => setLogoutConfirm(true),
+              children: t("logout")
+            }
+          );
+        })(),
+        /* @__PURE__ */ (0, import_jsx_runtime.jsx)("button", { type: "button", style: { ...styles.button, ...styles.secondary, opacity: 0.5, cursor: "not-allowed" }, disabled: true, title: t("reauthHint"), children: t("reauthorize") }),
         ["previewing", "applying", "checking", "retiring"].includes(flow.name) ? /* @__PURE__ */ (0, import_jsx_runtime.jsx)("button", { type: "button", style: { ...styles.button, ...styles.primary, opacity: 0.5 }, disabled: true, children: flow.name === "applying" ? t("applying") : t("refreshing") }) : /* @__PURE__ */ (0, import_jsx_runtime.jsxs)(import_jsx_runtime.Fragment, { children: [
           /* @__PURE__ */ (0, import_jsx_runtime.jsx)(
             "button",
@@ -1131,7 +1190,11 @@ function CopilotSection({ t = (key) => DICTS.en[key] ?? key }) {
       ] }),
       /* @__PURE__ */ (0, import_jsx_runtime.jsxs)("p", { style: styles.banner, children: [
         "\u24D8 ",
-        t("authUnsafe")
+        t("reauthHint")
+      ] }),
+      auth.logoutError && /* @__PURE__ */ (0, import_jsx_runtime.jsxs)("p", { style: styles.error, children: [
+        "\u26A0 ",
+        auth.logoutError === "logout-unsafe" ? t("authUnsafe") : t("logoutFailed")
       ] }),
       refreshBlocked(flow.flags) && /* @__PURE__ */ (0, import_jsx_runtime.jsxs)("p", { style: styles.banner, children: [
         "\u26A0 ",
@@ -1204,6 +1267,17 @@ function CopilotSection({ t = (key) => DICTS.en[key] ?? key }) {
         onCancel: () => drive({ type: "cancel" })
       }
     ),
+    logoutConfirm && /* @__PURE__ */ (0, import_jsx_runtime.jsx)(
+      ConfirmDialog,
+      {
+        title: t("logout"),
+        body: t("logoutScope"),
+        confirmText: t("logout"),
+        cancelText: t("cancel"),
+        onCancel: () => setLogoutConfirm(false),
+        onConfirm: doLogout
+      }
+    ),
     (phase === "idle" || phase === "failed") && /* @__PURE__ */ (0, import_jsx_runtime.jsx)("div", { children: /* @__PURE__ */ (0, import_jsx_runtime.jsx)("button", { type: "button", style: { ...styles.button, ...styles.primary }, onClick: login, children: t("login") }) })
   ] });
 }

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@inventec/dsh-copilot-auth",
-  "version": "1.2.9",
-  "description": "为内置 Copilot 提供方补设备码登录设置页，预置开箱路由；凭据入内置凭据库，模型目录兜底不覆盖定制。v1.2.9：修复授权页恒未登录/失败（漏传 fetchImpl）、失败原因分层展示＋自愈重试、已登录拒绝替换性授权（协议 v2）。适配 DSH 0.1.7+（≤0.1.5 请用 1.1.x）。",
+  "version": "1.2.10",
+  "description": "为内置 Copilot 提供方补设备码登录设置页，预置开箱路由；凭据入内置凭据库，模型目录兜底不覆盖定制。v1.2.10：退出登录正式可用（静止态删凭据＋删后核实，尝试期/风险锁存期拒绝），失败原因分层展示（协议 v2）。适配 DSH 0.1.7+（≤0.1.5 请用 1.1.x）。",
   "type": "module",
   "license": "MIT",
   "author": "iasi",

package/src/auth-flow.mjs

@@ -199,6 +199,27 @@ export function createAuthFlow({ fetchImpl, clock = defaultClock(), onState = ()
     emit({ withdrawalDelivery: "failed", error: r.error?.details?.errorCode ?? r.error?.messageKey });
   }
 
+  async function logout() {
+    // 退出登录（写操作，单次调用）：pending 态 → 成功后完整重跑 init 恢复真实
+    // 状态（若晚到写把凭据写了回来，init 会如实显示 authorized，绝不伪报已退出）；
+    // 失败回到 authorized 并保留 logoutError 供 UI 分层展示。
+    const gen = ++generation;
+    clearTimer();
+    failures = 0;
+    backoffIdx = 0;
+    failureWindowStart = null;
+    emit({ phase: "loading", logoutError: undefined });
+    const r = await requestJson(fetchImpl, "/copilot-auth/logout", { method: "POST" });
+    if (stale(gen)) return;
+    if (!r.ok) {
+      const code = r.error?.details?.errorCode;
+      emit({ phase: "authorized", logoutError: code ?? r.error?.messageKey ?? "logout-failed" });
+      return;
+    }
+    emit({ logoutError: undefined });
+    await initAttempt(gen);
+  }
+
   function refresh() {
     // 手动「查询状态」：完整重跑 init（status→state），可从过期的未登录/失败视图恢复
     void init();
@@ -209,5 +230,5 @@ export function createAuthFlow({ fetchImpl, clock = defaultClock(), onState = ()
     clearTimer();
   }
 
-  return { init, start, cancel, refresh, dispose };
+  return { init, start, cancel, logout, refresh, dispose };
 }

package/src/auth-host.mjs

@@ -10,7 +10,8 @@ import { randomUUID } from "node:crypto";
 import { CREDENTIAL_KEY } from "./shared.mjs";
 
 export const WAIT_LIMIT_MS = 15 * 60 * 1000;
-const LIVE_STATUSES = ["starting", "waiting", "finishing"];
+// 进行中的授权尝试状态：begin 的晚写窗口，期间退出/撤回类操作一律拒绝
+export const LIVE_STATUSES = ["starting", "waiting", "finishing"];
 
 // 授权错误脱敏：仅保留安全字符集（字母/数字/空格/点/冒号/逗号/连字符），
 // 阻断上游异常文本或疑似 token（含 = ; / + _ 等的串）进入状态面。
@@ -147,9 +148,33 @@ export function createAuthorizationController(ctx, { scope, intentIO, clock = {
     return { withdrawalDelivery };
   }
 
-  function logout() {
-    // 当前宿主无法证明安全退出（D-01）：统一拒绝，不调用 deleteRecord
-    throw authError("LOGOUT_UNAVAILABLE", "logout-safety-unavailable");
+  async function logout() {
+    // 退出安全条件（v1.2.10 起，经主人裁决替代 D-01 全禁策略）：
+    // ① 无进行中的授权尝试（begin 晚写窗口）② 无风险锁存（撤回/超时未核实）。
+    // 满足后凭据库视为静止：deleteRecord＋删除后 describe 复核；晚到写无法绝对
+    // 排除，以复核与状态页如实展示兜底——退出未核实成功绝不伪报成功。
+    requireScope();
+    if (attempt && LIVE_STATUSES.includes(attempt.status)) {
+      throw authError("ATTEMPT_RUNNING", "already running", { attemptId: attempt.attemptId });
+    }
+    if (riskLatch) throw authError("LOGOUT_UNSAFE", "logout-unsafe");
+    // 本 profile 显式操作：旧预览/模型配置意图先行失效（失败则不动凭据）
+    intentIO.bump();
+    try {
+      const deleted = await ctx.credentials.deleteRecord(CREDENTIAL_KEY);
+      if (deleted === false) throw authError("LOGOUT_FAILED", "logout-failed");
+    } catch (err) {
+      if (err?.code === "LOGOUT_FAILED") throw err;
+      throw authError("LOGOUT_FAILED", "logout-failed");
+    }
+    try {
+      const info = await ctx.credentials.describeRecord(CREDENTIAL_KEY);
+      if (info?.configured === true) throw authError("LOGOUT_FAILED", "logout-failed");
+    } catch (err) {
+      if (err?.code === "LOGOUT_FAILED") throw err;
+      throw authError("LOGOUT_FAILED", "logout-failed");
+    }
+    return { ok: true };
   }
 
   function snapshot() {

package/src/host.mjs

@@ -9,7 +9,7 @@ import { homedir } from "node:os";
 import { fileURLToPath } from "node:url";
 import { CREDENTIAL_KEY, PROTOCOL_VERSION, routes } from "./shared.mjs";
 import { readJson, writeJsonAtomic, createMutex } from "./atomic-json.mjs";
-import { createAuthorizationController, sanitizeAuthError } from "./auth-host.mjs";
+import { createAuthorizationController, sanitizeAuthError, LIVE_STATUSES } from "./auth-host.mjs";
 import { resolveRuntimeScope } from "./runtime-scope.mjs";
 import { mergeCatalog, digest, findPiAiInstallation, classifyCatalogTarget, normalizeRemoteCatalog, catalogShapeKeys } from "./catalog.mjs";
 import { fetchLatestCatalog } from "./catalog-fetch.mjs";
@@ -569,6 +569,12 @@ export function apply(ctx, opts = {}) {
         credential = "read-error";
       }
       const authSnapshot = controller.snapshot();
+      // 退出可用性（v1.2.10）：无进行中尝试且无风险锁存才可安全删除凭据；
+      // 重新授权恒不可用（等价于退出＋登录，请分步执行）
+      const logoutAvailable = !authSnapshot.riskLatch
+        && !LIVE_STATUSES.includes(authSnapshot.status)
+        && authSnapshot.status !== "withdrawal-pending-unverified"
+        && authSnapshot.status !== "timed-out-unverified";
       // refresh 块：只读聚合（通道分类来自启动期缓存；GET 不执行写探针，Q23）
       const loaded = loadRefreshState(scope, { legacyPath });
       const st = loaded.flags.unknownVersion ? null : loaded.state;
@@ -623,7 +629,7 @@ export function apply(ctx, opts = {}) {
           credential,
           attempt: authSnapshot,
           riskLatch: authSnapshot.riskLatch,
-          capabilities: { logout: false, reauthorize: false },
+          capabilities: { logout: logoutAvailable, reauthorize: false },
         },
         refresh,
         ...(operation ? { operation } : {}),
@@ -631,13 +637,35 @@ export function apply(ctx, opts = {}) {
     },
   });
 
-  // 退出登录：当前宿主桥接无法证明安全退出（D-01），统一拒绝且绝不 deleteRecord。
+  // 退出登录（v1.2.10）：无进行中尝试且无风险锁存时执行凭据删除＋删后核实；
+  // 进行中尝试（begin 晚写窗口）与风险锁存期（撤回/超时未核实）一律拒绝。
   ctx.webServer.register({
     kind: "exact",
     path: r.logout,
-    handler: (req, res) => {
+    handler: async (req, res) => {
       if (!guard(req, res, "POST")) return;
-      json(res, 403, { ok: false, error: "logout-safety-unavailable" });
+      if (!scope.known) {
+        json(res, 503, { ok: false, error: "scope-unavailable" });
+        return;
+      }
+      try {
+        await controller.logout();
+        json(res, 200, { ok: true });
+      } catch (err) {
+        if (err?.code === "ATTEMPT_RUNNING") {
+          json(res, 409, { ok: false, error: "already running", attemptId: err.attemptId });
+          return;
+        }
+        if (err?.code === "LOGOUT_UNSAFE") {
+          json(res, 409, { ok: false, error: "logout-unsafe" });
+          return;
+        }
+        if (err?.code === "LOGOUT_FAILED") {
+          json(res, 409, { ok: false, error: "logout-failed" });
+          return;
+        }
+        json(res, 500, { ok: false, error: sanitizeAuthError(err) });
+      }
     },
   });