@tool-bridge/server 0.15.0 → 0.17.0

package/dist/index.d.ts

@@ -1,4 +1,4 @@
-import { z } from 'zod';
+import * as z from './v4/classic/external.cjs';
 import * as http from 'node:http';
 import { Sql } from 'postgres';
 import { Hono } from 'hono';
@@ -68,8 +68,24 @@ interface Scope {
  *   sys:bootstrapped  → true(Admin SK 引导幂等标志)
  *   annotation:<path> → { text, updatedAt, updatedBy }(管理员 Path 补充说明)
  *   feedback:<path>   → FeedbackEntry[](Agent 使用反馈,单 key 整存)
+ *   store:object:<id>  → StoreObject(revision CAS)
+ *   store:upload:<id>  → UploadSession(revision CAS)
+ *   store:call-capability:<id> → CallUploadCapability(token 仅存 hash)
+ *   store:share:<id>   → ShareGrant(token 仅存 hash)
  */
 interface StateStore {
+    /**
+     * 可选原子 compare-and-swap 原语，供带 `revision` 的权威记录做跨副本状态转换。
+     *
+     * - `expectedRevision === null`：仅当 key 不存在时写入；
+     * - 数字：仅当现存值是对象且其 `revision` 严格等于该值时替换或删除；
+     * - `value === null`：命中后删除，否则替换为 value。
+     *
+     * 调用方负责让新值的 revision 从 expectedRevision 单调加一。实现必须把比较与
+     * 写入/删除放在同一条原子存储操作中，不能用 get→put 或进程内锁模拟。
+     * StoreService 等依赖并发状态机的能力会在缺少此原语时 fail closed。
+     */
+    compareAndSwap?(key: string, expectedRevision: number | null, value: unknown | null): Promise<boolean>;
     delete(key: string): Promise<void>;
     get(key: string): Promise<unknown | null>;
     /** 批量读取，返回值只包含当前存在的 key；单次最多 100 keys。 */
@@ -358,66 +374,6 @@ interface BuiltinCatalogEntry {
 /** binding 名 → 目录项。 */
 type BuiltinCatalog = Record<string, BuiltinCatalogEntry>;
 
-/**
- * Context Layer 类型(原样转写;方法签名异步化以兼容对象存储后端)。
- *
- * 全部动词可选:能力由 handler 存在性推导(见 context/capabilities.ts)。
- * 可选能力(Search/Delete)另在 ~describe 的 capabilities 中声明,调用方先探测再用。
- */
-
-interface ContextEntryMeta {
-    /** "text/markdown" | "application/json" | ... */
-    contentType: string;
-    metadata: Record<string, string>;
-    size?: number;
-    updatedAt: Timestamp;
-    /** node://<namespace-path>/<entry-path>;目录条目以尾 '/' 表示。 */
-    uri: URI;
-    /** 乐观并发:Update/Write 可携带 ifVersion;对象存储后端 = etag。 */
-    version: string;
-}
-interface ContextEntry extends ContextEntryMeta {
-    /** 文本或 JSON;大对象返回 { $ref: <预签名或中转 URL> }。 */
-    content: string | unknown;
-}
-interface ContextEntryInput {
-    content: string | unknown;
-    /** 字符串 content 必填(缺失 → invalid_argument);非字符串 content 缺省 application/json。 */
-    contentType?: string;
-    /** 不匹配 → conflict。 */
-    ifVersion?: string;
-    metadata?: Record<string, string>;
-}
-interface ContextPatch {
-    content?: string | unknown;
-    ifVersion?: string;
-    /** 浅合并。 */
-    metadata?: Record<string, string>;
-}
-interface SearchOptions extends ListOptions {
-    /** 缺省 keyword;semantic 需 capabilities 声明 "search:semantic",未声明 → invalid_argument。 */
-    mode?: 'keyword' | 'semantic';
-}
-/**
- * Context provider。**全部动词可选**:能力由 handler 存在性推导(context/capabilities.ts),
- * `~help` 只列真实存在的操作,没有任何写动词即自动只读。
- *
- * 这样只读资源、纯搜索服务、append-only 存储都能如实表达自己,不必为满足接口而伪造
- * 方法或抛 unimplemented。未实现的动词在数据面按 unknown cmd 拒绝(invalid_argument)。
- */
-interface ContextProvider {
-    delete?(path: string): Promise<void>;
-    /** 读取单个条目(含内容);不存在 → not_found。 */
-    get?(path: string): Promise<ContextEntry>;
-    /** 枚举条目(浅层列表 + 分页);path 为 namespace 内相对路径前缀。 */
-    list?(path: string, opts?: ListOptions): Promise<Page<ContextEntryMeta>>;
-    search?(query: string, opts?: SearchOptions): Promise<Page<ContextEntryMeta>>;
-    /** 部分更新已存在条目的内容或 metadata;不存在 → not_found。 */
-    update?(path: string, patch: ContextPatch): Promise<ContextEntryMeta>;
-    /** 创建或整体替换条目(幂等 upsert)。 */
-    write?(path: string, entry: ContextEntryInput): Promise<ContextEntryMeta>;
-}
-
 /**
  * ObjectStore:对象存储抽象。
  *
@@ -456,6 +412,8 @@ interface ObjectPutOptions {
     contentType?: string;
     /** 与现存对象 etag 不符(含对象不存在)→ TBError conflict。 */
     ifMatchEtag?: string;
+    /** `*` 表示仅当对象不存在时创建；命中现存对象 → TBError conflict。 */
+    ifNoneMatch?: '*';
     metadata?: Record<string, string>;
 }
 interface ObjectListOptions {
@@ -482,7 +440,19 @@ interface ObjectPresignPutOptions {
     /** `*` 表示仅当对象不存在时写入；必须随 PUT 一同签名并发送。 */
     ifNoneMatch?: '*';
 }
+/**
+ * 定长直传契约：实现必须把 Content-Length 纳入签名，让存储端拒绝
+ * 任何与声明字节数不同的请求。普通 `presignPut` 没有这个安全保证。
+ */
+interface ObjectPresignPutExactOptions extends ObjectPresignPutOptions {
+    contentLength: number;
+}
 interface ObjectStore {
+    /**
+     * 可选宿主钩子：清理 prefix 下早于 olderThan 的未落位 staging 临时文件。
+     * staging 不进入 list，且命名/mtime 属于 driver 私有实现；返回实际删除数量。
+     */
+    cleanupStaging?(prefix: string, olderThan: string): Promise<number>;
     /** 幂等:不存在静默。 */
     delete(key: string): Promise<void>;
     get(key: string): Promise<{
@@ -495,56 +465,70 @@ interface ObjectStore {
     presign?(key: string, ttlSec: number): Promise<string>;
     /** 生成限时、定路径的直传 PUT 请求；后端或凭证不支持时缺省。 */
     presignPut?(key: string, ttlSec: number, opts: ObjectPresignPutOptions): Promise<ObjectPresignedPut>;
+    /** 仅当 backend 能在签名中强制精确 Content-Length 时提供。 */
+    presignPutExact?(key: string, ttlSec: number, opts: ObjectPresignPutExactOptions): Promise<ObjectPresignedPut>;
     put(key: string, body: ObjectBody, opts?: ObjectPutOptions): Promise<ObjectMeta>;
 }
 
 /**
- * DeviceFrame:设备 WS 帧协议的类型与编解码。
+ * Context Layer 类型(原样转写;方法签名异步化以兼容对象存储后端)。
  *
- * JSON 文本帧、`type` 区分;decode 拒绝非 JSON / 未知 type / 缺字段(invalid_argument),
- * encode 产出紧凑 JSON。ping/pong 序列化为稳定字面量(PING_FRAME_JSON/PONG_FRAME_JSON)——
- * DO 的 setWebSocketAutoResponse 按字符串精确匹配,设备侧心跳帧不得有其他序列化形态。
+ * 全部动词可选:能力由 handler 存在性推导(见 context/capabilities.ts)。
+ * 可选能力(Search/Delete)另在 ~describe 的 capabilities 中声明,调用方先探测再用。
  */
 
-/**
- * 网关鉴权后为本次 call 生成的调用方来源与权威期限。
- * 全部由网关签发,不接受来自调用 arguments;设备只消费不自造,且不做授权裁决
- * (scope 判定在网关侧已完成)。故意不含 scopes / SK / 敏感参数。
- */
-interface DeviceCallContext {
-    caller: {
-        displayName?: string;
-        /** 本次调用使用的 SK id(非明文,审计用)。 */
-        keyId: string;
-        owner: OwnerRef;
-    };
-    /** 网关签发时刻(网关时钟,非设备本地时钟)。 */
-    createdAt: Timestamp;
-    /** 本次调用的权威失效时刻;设备复检一律以此比对,不信任设备本地时钟。 */
-    expiresAt: Timestamp;
-    /** 全链路观测,与 call id 同源。 */
-    traceId: string;
+interface ContextEntryMeta {
+    /** "text/markdown" | "application/json" | ... */
+    contentType: string;
+    metadata: Record<string, string>;
+    size?: number;
+    updatedAt: Timestamp;
+    /** node://<namespace-path>/<entry-path>;目录条目以尾 '/' 表示。 */
+    uri: URI;
+    /** 乐观并发:Update/Write 可携带 ifVersion;对象存储后端 = etag。 */
+    version: string;
+}
+interface ContextEntry extends ContextEntryMeta {
+    /** 文本或 JSON;大对象返回 { $ref: <预签名或中转 URL> }。 */
+    content: string | unknown;
+}
+interface ContextEntryInput {
+    content: string | unknown;
+    /** 字符串 content 必填(缺失 → invalid_argument);非字符串 content 缺省 application/json。 */
+    contentType?: string;
+    /** 不匹配 → conflict。 */
+    ifVersion?: string;
+    metadata?: Record<string, string>;
+}
+interface ContextPatch {
+    content?: string | unknown;
+    ifVersion?: string;
+    /** 浅合并。 */
+    metadata?: Record<string, string>;
+}
+interface SearchOptions extends ListOptions {
+    /** 缺省 keyword;semantic 需 capabilities 声明 "search:semantic",未声明 → invalid_argument。 */
+    mode?: 'keyword' | 'semantic';
 }
-
 /**
- * 网关侧设备会话状态机(纯逻辑,I/O 与时间注入,DO 只做胶水)。
+ * Context provider。**全部动词可选**:能力由 handler 存在性推导(context/capabilities.ts),
+ * `~help` 只列真实存在的操作,没有任何写动词即自动只读。
  *
- * - awaiting-hello → ready:hello 经 io.onHello 交胶水层做 Check(register),
- *   通过则 accept(mountPath)(回 ready 帧),否则 reject(error)(拒绝帧 + close(1008))。
- * - 未 hello 先发非 hello 帧 / hello 重复 / 设备发出网关方向帧 → 拒绝帧 + 关闭。
- * - call:requestId 幂等表——已有结果的重复 id 立即以首次结果应答;结果未到的重复 id
- *   挂到同一待决项,不重复下发 call 帧。
- * - 超时(DEVICE_CALL_TIMEOUT_MS):给调用方 unavailable(retryable:true),给设备 cancel 帧;
- *   迟到的 result 仅入幂等表(后续重复 id 以它应答)。
+ * 这样只读资源、纯搜索服务、append-only 存储都能如实表达自己,不必为满足接口而伪造
+ * 方法或抛 unimplemented。未实现的动词在数据面按 unknown cmd 拒绝(invalid_argument)。
  */
-
-type DeviceCallResult = {
-    ok: true;
-    value: unknown;
-} | {
-    error: TBErrorBody;
-    ok: false;
-};
+interface ContextProvider {
+    delete?(path: string): Promise<void>;
+    /** 读取单个条目(含内容);不存在 → not_found。 */
+    get?(path: string): Promise<ContextEntry>;
+    /** 枚举条目(浅层列表 + 分页);path 为 namespace 内相对路径前缀。 */
+    list?(path: string, opts?: ListOptions): Promise<Page<ContextEntryMeta>>;
+    search?(query: string, opts?: SearchOptions): Promise<Page<ContextEntryMeta>>;
+    /** 部分更新已存在条目的内容或 metadata;不存在 → not_found。 */
+    update?(path: string, patch: ContextPatch): Promise<ContextEntryMeta>;
+    /** 创建或整体替换条目(幂等 upsert)。 */
+    write?(path: string, entry: ContextEntryInput): Promise<ContextEntryMeta>;
+}
 
 /**
  * Tool Layer 的中立类型。
@@ -590,6 +574,64 @@ interface ToolResult {
     structuredContent?: Record<string, unknown>;
 }
 
+/**
+ * DeviceFrame:设备 WS 帧协议的类型与编解码。
+ *
+ * JSON 文本帧、`type` 区分;decode 拒绝非 JSON / 未知 type / 缺字段(invalid_argument),
+ * encode 产出紧凑 JSON。ping/pong 序列化为稳定字面量(PING_FRAME_JSON/PONG_FRAME_JSON)——
+ * DO 的 setWebSocketAutoResponse 按字符串精确匹配,设备侧心跳帧不得有其他序列化形态。
+ */
+
+/**
+ * 网关鉴权后为本次 call 生成的调用方来源与权威期限。
+ * 全部由网关签发,不接受来自调用 arguments;设备只消费不自造,且不做授权裁决
+ * (scope 判定在网关侧已完成)。故意不含 scopes / SK / 敏感参数。
+ */
+interface DeviceCallContext {
+    caller: {
+        displayName?: string;
+        /** 本次调用使用的 SK id(非明文,审计用)。 */
+        keyId: string;
+        owner: OwnerRef;
+    };
+    /** 网关签发时刻(网关时钟,非设备本地时钟)。 */
+    createdAt: Timestamp;
+    /** 本次调用的权威失效时刻;设备复检一律以此比对,不信任设备本地时钟。 */
+    expiresAt: Timestamp;
+    /** 全链路观测,与 call id 同源。 */
+    traceId: string;
+    /**
+     * 本次 call 独享的 Store 上传能力。token 是短期 bearer，只由 SDK 消费并放入
+     * capability-only 请求 header，设备 handler 不应把它写入结果或日志。
+     */
+    upload?: {
+        expiresAt: Timestamp;
+        maxBytes: number;
+        maxObjects: number;
+        token: string;
+    };
+}
+
+/**
+ * 网关侧设备会话状态机(纯逻辑,I/O 与时间注入,DO 只做胶水)。
+ *
+ * - awaiting-hello → ready:hello 经 io.onHello 交胶水层做 Check(register),
+ *   通过则 accept(mountPath)(回 ready 帧),否则 reject(error)(拒绝帧 + close(1008))。
+ * - 未 hello 先发非 hello 帧 / hello 重复 / 设备发出网关方向帧 → 拒绝帧 + 关闭。
+ * - call:requestId 幂等表——已有结果的重复 id 立即以首次结果应答;结果未到的重复 id
+ *   挂到同一待决项,不重复下发 call 帧。
+ * - 超时(DEVICE_CALL_TIMEOUT_MS):给调用方 unavailable(retryable:true),给设备 cancel 帧;
+ *   迟到的 result 仅入幂等表(后续重复 id 以它应答)。
+ */
+
+type DeviceCallResult = {
+    ok: true;
+    value: unknown;
+} | {
+    error: TBErrorBody;
+    ok: false;
+};
+
 type SearchCapability = 'search' | 'search:semantic';
 /** 全局工具搜索的完整结果；只在权限和可见性候选筛选后 hydrate。 */
 interface ToolSearchHit {
@@ -818,9 +860,10 @@ interface RemoteSettings {
 /**
  * 宿主注入面与请求期公共类型。
  *
- * 这里只放形状:五个注入点(state / objects / secrets / device / search)、进程内
- * Provider 钩子与解析后的部署配置。行为实现分散在 paths/federation/deviceNodes/
- * toolNodes/contextNodes/helpModel 与 routes/*,装配在 tbApp.ts。
+ * 这里只放形状:五个数据/设备注入点(state / objects / secrets / device / search)、
+ * Provider OAuth 安全出站通道、进程内 Provider 钩子与解析后的部署配置。行为实现
+ * 分散在 paths/federation/deviceNodes/toolNodes/contextNodes/helpModel 与 routes/*,
+ * 装配在 tbApp.ts。
  */
 
 /** 帧协议 call 转发的入参(id 由调用点生成,幂等键)。 */
@@ -859,7 +902,7 @@ interface ReadinessReport {
     ready: boolean;
 }
 /**
- * tb app 的宿主注入面(五注入点 + 解析后的部署配置)。
+ * tb app 的宿主注入面(数据/设备五注入点 + 安全出站通道 + 解析后的部署配置)。
  * 核心业务逻辑零分叉:Workers 适配层(app.ts)与 SDK(packages/sdk)都注入此形状。
  */
 interface TbAppDeps {
@@ -899,6 +942,12 @@ interface TbAppDeps {
      * 那个插件解析不出 export;反之则解析得出但调不动(unavailable)。宿主该两者同源装配。
      */
     pluginCatalog?: BuiltinCatalog;
+    /**
+     * Provider OAuth 令牌端点的宿主出站通道。必须由宿主显式注入；缺省时 OAuth
+     * 发起、回调兑换与 access-token 解析全部 fail closed，绝不回退到全局 fetch。
+     * 标准宿主注入逐跳校验且拒绝跨源 body 重定向的 guarded fetch。
+     */
+    providerOAuthFetch?: typeof fetch;
     /**
      * 后端连通性探测(GET /readyz;k8s readiness)。宿主注入闭包,自行探测其长连接
      * 后端(PG 池 / Redis)并叠加 draining 状态。缺省 → /readyz 恒 200:请求期绑定
@@ -917,6 +966,26 @@ interface TbAppDeps {
     search?: SearchIndex;
     secrets: SecretStoreImpl;
     state: StateStore;
+    /** call capability 允许的 MIME pattern；缺省 `*\/*`。 */
+    storeCallAllowedContentTypes?: string[];
+    /** 单次 device call 的聚合上传字节预算。 */
+    storeCallMaxBytes?: number;
+    /** 单次 device call 的单对象字节预算。 */
+    storeCallMaxObjectBytes?: number;
+    /** 单次 device call 最多创建的 Store 对象数。 */
+    storeCallMaxObjects?: number;
+    /** default Store 的单对象部署级上限。 */
+    storeMaxObjectBytes?: number;
+    /** owner read `$ref` 有效期秒；缺省 refTtlSec 或 900。 */
+    storeReadTtlSec?: number;
+    /** relay transport 的有效 request-body 上限；direct 不受此值收紧。 */
+    storeRelayMaxBytes?: number;
+    /** 短期 share 的缺省有效期秒。 */
+    storeShareTtlSec?: number;
+    /** Store capability HMAC secret；缺省由 StateStore 原子生成并持久化。 */
+    storeTokenSecret?: string;
+    /** Store upload session 有效期秒。 */
+    storeUploadTtlSec?: number;
     /** mcp/tool 工具缓存 TTL 秒(缺省 300)。 */
     toolCacheTtlSec?: number;
     /** create_upload 写入 grant 有效期秒；缺省 min(refTtlSec, 900)。 */
@@ -941,7 +1010,7 @@ declare function createTbApp(deps: TbAppDeps): Hono<{
  * Node 宿主的 env 配置面。变量名与语义对齐 CF 宿主(gateway/src/app.ts 的 Env),
  * 仅新增宿主形态相关的 TB_PORT / TB_HOST / TB_DATA_DIR / TB_UI_DIR / TB_DATABASE_URL。
  * 端口额外兜底平台注入的 PORT(PaaS 通行约定)。
- * 解析函数镜像 app.ts 的 allowInsecure / remoteSettingsFromEnv / positiveIntEnv。
+ * Node/Workers 共用字段由 core runtimeEnv Zod schema 解析，本文件只保留 Node 宿主字段。
  */
 
 interface ServerConfig {
@@ -972,7 +1041,7 @@ interface ServerConfig {
     encryptionKey?: string;
     host: string;
     /**
-     * 平台对象存储(context `$ref` 大对象落点)。给出则用 S3/R2 兼容端点,
+     * 平台对象存储(default Store + context `$ref` 大对象落点)。给出则用 S3/R2 兼容端点,
      * 缺省回退 dataDir 下的本地 FS。配 S3 后容器可无状态横向扩容 —— FS 落点
      * 在多副本间互不可见、容器重建即丢。
      */
@@ -1021,6 +1090,28 @@ interface ServerConfig {
      * 请求吃闭门羹;单机/本地开发保持 0,关停立即进行。
      */
     shutdownDrainSec?: number;
+    /** 设备调用允许上传的 MIME pattern；缺省由应用使用安全默认值。 */
+    storeCallAllowedContentTypes?: string[];
+    /** 设备调用所签发 Store capability 的总字节上限。 */
+    storeCallMaxBytes?: number;
+    /** 设备调用单个 Store 对象的字节上限。 */
+    storeCallMaxObjectBytes?: number;
+    /** 设备调用最多可创建的 Store 对象数。 */
+    storeCallMaxObjects?: number;
+    /** Store 孤儿字节、过期 session/share/call capability 的周期清理间隔。 */
+    storeCleanupIntervalSec: number;
+    /** Store 对象统一上限；direct upload 可使用完整值。 */
+    storeMaxObjectBytes?: number;
+    /** Store owner read ref 的有效期。 */
+    storeReadTtlSec?: number;
+    /** relay upload 的宿主有效上限；缺省等于对象统一上限。 */
+    storeRelayMaxBytes?: number;
+    /** Store 匿名可撤销 share 的有效期。 */
+    storeShareTtlSec?: number;
+    /** 显式 Store token 根密钥；缺省由应用在 StateStore 原子生成并持久化。 */
+    storeTokenSecret?: string;
+    /** Store upload session 的有效期。 */
+    storeUploadTtlSec?: number;
     toolCacheTtlSec?: number;
     /** Dashboard 静态资源目录覆盖(缺省经 @tool-bridge/dashboard 包解析)。 */
     uiDir?: string;
@@ -1247,6 +1338,7 @@ declare class PgStateStore implements StateStore {
     get(key: string): Promise<unknown | null>;
     getMany(keys: readonly string[]): Promise<Map<string, unknown>>;
     put(key: string, value: unknown): Promise<void>;
+    compareAndSwap(key: string, expectedRevision: number | null, value: unknown | null): Promise<boolean>;
     putIfAbsent(key: string, value: unknown): Promise<boolean>;
     delete(key: string): Promise<void>;
     list(prefix: string, opts?: {
@@ -1349,6 +1441,7 @@ declare class SqliteStateStore implements StateStore {
     get(key: string): Promise<unknown | null>;
     getMany(keys: readonly string[]): Promise<Map<string, unknown>>;
     put(key: string, value: unknown): Promise<void>;
+    compareAndSwap(key: string, expectedRevision: number | null, value: unknown | null): Promise<boolean>;
     putIfAbsent(key: string, value: unknown): Promise<boolean>;
     delete(key: string): Promise<void>;
     list(prefix: string, opts?: {

package/dist/index.js

@@ -12,9 +12,10 @@ import {
   configFromEnv,
   createDataObjectStore,
   createTbServer
-} from "./chunk-NLPTB3IL.js";
-import "./chunk-DXXYNIXV.js";
-import "./chunk-MLKGABMK.js";
+} from "./chunk-TLNUIPFZ.js";
+import "./chunk-U5UHT7CX.js";
+import "./chunk-RVWZN3CI.js";
+import "./chunk-U67V476Y.js";
 export {
   DEVICE_FORWARD_TIMEOUT_MS,
   DEVICE_ROUTE_TTL_SEC,

package/dist/{ip2proxy-GPBQZKKG.js → ip2proxy-GJ4HXVXO.js}

@@ -1,17 +1,18 @@
+import {
+  createProviderHttpClient
+} from "./chunk-WW2IMPQK.js";
+import "./chunk-JXHMDBAY.js";
 import {
   createProviderPlugin,
   requireApiKey,
   upstreamError
-} from "./chunk-NQ67PIIS.js";
-import {
-  guardedFetch
-} from "./chunk-KH663T3A.js";
-import "./chunk-UI4E4T5Q.js";
+} from "./chunk-YASUMV2K.js";
+import "./chunk-U5UHT7CX.js";
 import {
   TBError,
   external_exports
-} from "./chunk-DXXYNIXV.js";
-import "./chunk-MLKGABMK.js";
+} from "./chunk-RVWZN3CI.js";
+import "./chunk-U67V476Y.js";
 
 // ../plugins/src/ip2proxy/schema.ts
 var lookupIpInput = external_exports.strictObject({
@@ -48,55 +49,47 @@ var ip2proxyActions = {
 // ../plugins/src/ip2proxy/api.ts
 var SERVICE = "ip2proxy";
 var API_BASE = "https://api.ip2proxy.com";
+var http = createProviderHttpClient({ baseUrl: `${API_BASE}/`, service: SERVICE });
 var DEFAULT_PACKAGE = "PX1";
-async function readPayload(response) {
-  const body = await response.text();
-  if (body === "") return null;
-  try {
-    return JSON.parse(body);
-  } catch {
-    return body;
-  }
-}
 function payloadError(payload) {
   if (payload === null || typeof payload !== "object" || Array.isArray(payload)) return void 0;
   const message = payload.response;
   if (typeof message !== "string" || message === "" || message === "OK") return void 0;
   return message;
 }
+function classifiedPayloadError(message) {
+  const lower = message.toLowerCase();
+  return upstreamError(lower.includes("api key") || lower.includes("credit") ? 401 : 502, message);
+}
 async function lookupIp(input, ctx) {
   if (input.ip === void 0 || input.ip === "") {
     throw new TBError("invalid_argument", "ip \u4E0D\u80FD\u4E3A\u7A7A");
   }
-  const url = new URL("/", API_BASE);
-  url.searchParams.set("key", requireApiKey(ctx, SERVICE));
-  url.searchParams.set("format", "json");
-  url.searchParams.set("ip", input.ip);
-  url.searchParams.set("package", input.package ?? DEFAULT_PACKAGE);
-  let response;
-  let payload;
-  try {
-    response = await guardedFetch(url.toString(), {
-      method: "GET",
-      headers: { accept: "application/json" }
-    });
-    payload = await readPayload(response);
-  } catch (error) {
-    throw new TBError(
+  const result = await http.request({
+    path: "/",
+    method: "GET",
+    query: [
+      ["key", requireApiKey(ctx, SERVICE)],
+      ["format", "json"],
+      ["ip", input.ip],
+      ["package", input.package ?? DEFAULT_PACKAGE]
+    ],
+    headers: { accept: "application/json" },
+    invalidJson: "text",
+    mapError: ({ data: payload2, status, statusText }) => {
+      const failure2 = payloadError(payload2);
+      if (failure2 !== void 0) return classifiedPayloadError(failure2);
+      return upstreamError(status || 500, statusText || "IP2Proxy request failed");
+    },
+    mapTransportError: ({ message }) => new TBError(
       "unavailable",
-      error instanceof Error ? `IP2Proxy \u8BF7\u6C42\u5931\u8D25: ${error.message}` : "IP2Proxy \u8BF7\u6C42\u5931\u8D25",
+      message === void 0 ? "IP2Proxy \u8BF7\u6C42\u5931\u8D25" : `IP2Proxy \u8BF7\u6C42\u5931\u8D25: ${message}`,
       { retryable: true }
-    );
-  }
+    )
+  });
+  const payload = result.bodyKind === "empty" ? null : result.data;
   const failure = payloadError(payload);
-  if (failure !== void 0) {
-    const lower = failure.toLowerCase();
-    const credentialIssue = lower.includes("api key") || lower.includes("credit");
-    throw upstreamError(credentialIssue ? 401 : 502, failure);
-  }
-  if (!response.ok) {
-    throw upstreamError(response.status || 500, response.statusText || "IP2Proxy request failed");
-  }
+  if (failure !== void 0) throw classifiedPayloadError(failure);
   if (payload === null || typeof payload !== "object" || Array.isArray(payload)) {
     throw new TBError("unavailable", "IP2Proxy \u8FD4\u56DE\u7684\u4E0D\u662F JSON \u5BF9\u8C61", { retryable: true });
   }