creditdaddy 1.2.0 → 1.3.0

package/src/qoderUmid.js

@@ -1,198 +1,198 @@
-/**
- * Qoder 设备身份组件 —— 给没有 Qoder 客户端的 Linux（fnOS / NAS）提供国际版签到所需的风控身份。
- *
- * Qoder 国际版只向带 Cosy-MachineToken / Code / Type 的请求下发「每天领 100 Credits」，
- * 这三个值由 Qoder 的 UMID 程序（runtime-info）生成。桌面端客户端自带它；官方 CLI
- * @qoder-ai/qodercli 则把各平台的 UMID 二进制以 base64 内嵌在 bundle/qodercli.js 里，Linux x64 / arm64 都有。
- *
- * 这里在用户确认后从 npm 仓库下载官方 qodercli 包（校验 npm 的 sha512 integrity），
- * 按本机 CPU 架构取出对应的 ELF，试跑一次确认能产出身份，再存到 ~/.creditdaddy/qoder-umid/。
- * 不随 CreditDaddy 分发该二进制；调用方式与 qodercli 一致：runtime-info <env>，第一行输出 JSON。
- * env：国际版 4（SINGAPORE，qodercli 的全球区取值），国内版 0（ONLINE）。
- */
-
-import fs from 'node:fs';
-import path from 'node:path';
-import crypto from 'node:crypto';
-import zlib from 'node:zlib';
-import { execFile } from 'node:child_process';
-import { dataDir } from './store.js';
-import { logger } from './logger.js';
-
-const PKG = '@qoder-ai/qodercli';
-const REGISTRIES = ['https://registry.npmmirror.com', 'https://registry.npmjs.org'];
-const AUTH_REGISTRY = 'https://registry.npmjs.org';   // integrity 的权威来源（镜像只用于加速下载）
-const ELF_MACHINE = { x64: 62, arm64: 183 };
-const BUNDLE_ENTRY = 'package/bundle/qodercli.js';
-const FETCH_TIMEOUT_MS = 180_000;
-const META_TIMEOUT_MS = 15_000;
-export const CLI_RISK_ENV = { qoder: 4, 'qoder-cn': 0 };
-
-export function umidSupported(platform = process.platform, arch = process.arch) {
-  return platform === 'linux' && Boolean(ELF_MACHINE[arch]);
-}
-
-const dir = () => path.join(dataDir(), 'qoder-umid');
-const binPath = () => path.join(dir(), 'runtime-info');
-const manifestPath = () => path.join(dir(), 'manifest.json');
-
-/** 已安装的组件：{ path, version, arch, sha256, installedAt, registry }；未安装返回 null */
-export function installedUmid() {
-  if (!umidSupported()) return null;
-  try {
-    const m = JSON.parse(fs.readFileSync(manifestPath(), 'utf8'));
-    if (!fs.existsSync(binPath()) || m.arch !== process.arch) return null;
-    return { ...m, path: binPath() };
-  } catch { return null; }
-}
-
-// ── 纯函数（便于单测） ──
-
-/** 最小 tar 解析：按名字取一个普通文件的内容 */
-export function tarEntry(tar, wanted) {
-  let off = 0;
-  const cstr = (b, s, n) => { const x = b.subarray(s, s + n); const z = x.indexOf(0); return x.subarray(0, z < 0 ? n : z).toString('utf8'); };
-  let longName = null;
-  while (off + 512 <= tar.length) {
-    const h = tar.subarray(off, off + 512);
-    if (h.every((b) => b === 0)) break;
-    const size = parseInt(cstr(h, 124, 12).trim() || '0', 8);
-    const type = String.fromCharCode(h[156] || 48);
-    const prefix = cstr(h, 345, 155);
-    let name = longName || (prefix ? prefix + '/' : '') + cstr(h, 0, 100);
-    longName = null;
-    const body = tar.subarray(off + 512, off + 512 + size);
-    off += 512 + Math.ceil(size / 512) * 512;
-    if (type === 'L') { longName = body.toString('utf8').replace(/\0+$/, ''); continue; }
-    if (type === 'x') {   // pax 扩展头里的 path 覆盖下一个条目的名字
-      const m = /\d+ path=([^\n]+)\n/.exec(body.toString('utf8'));
-      if (m) longName = m[1];
-      continue;
-    }
-    if ((type === '0' || type === '\0') && name === wanted) return body;
-  }
-  return null;
-}
-
-/** 在 qodercli bundle 文本里找内嵌的 ELF（base64 字面量），按 e_machine 挑出本机架构 */
-export function extractElf(jsText, machine) {
-  const MARK = '"f0VMRgIB';   // "\x7fELF" + 64 位 + 小端 的 base64 开头
-  let i = jsText.indexOf(MARK);
-  while (i >= 0) {
-    const start = i + 1;
-    const end = jsText.indexOf('"', start);
-    if (end < 0) break;
-    const head = Buffer.from(jsText.slice(start, start + 28), 'base64');
-    if (head.length >= 20 && head.readUInt16LE(18) === machine) {
-      return Buffer.from(jsText.slice(start, end), 'base64');
-    }
-    i = jsText.indexOf(MARK, end);
-  }
-  return null;
-}
-
-/** npm integrity（sha512-<base64>）校验 */
-export function checkIntegrity(buf, integrity) {
-  const m = /^sha512-(.+)$/.exec(String(integrity || '').split(/\s+/)[0]);
-  if (!m) return false;
-  return crypto.createHash('sha512').update(buf).digest('base64') === m[1];
-}
-
-// ── 安装 ──
-
-async function fetchBuf(url, timeoutMs = FETCH_TIMEOUT_MS) {
-  const res = await fetch(url, { signal: AbortSignal.timeout(timeoutMs) });
-  if (!res.ok) throw new Error(`HTTP ${res.status}：${url}`);
-  return Buffer.from(await res.arrayBuffer());
-}
-
-/**
- * 从 npmjs 拉权威 integrity。镜像（npmmirror）的元数据与 tarball 同源，
- * 镜像被污染时它自己的 integrity 校验形同虚设，所以校验值以 npmjs 为准；
- * npmjs 不可达时返回 null，退回镜像自身 integrity（与旧行为一致）。
- */
-async function authoritativeIntegrity() {
-  try {
-    const meta = JSON.parse((await fetchBuf(`${AUTH_REGISTRY}/${PKG.replace('/', '%2f')}/latest`, META_TIMEOUT_MS)).toString('utf8'));
-    if (meta?.dist?.integrity && meta?.version) return { integrity: meta.dist.integrity, version: meta.version };
-  } catch {}
-  return null;
-}
-
-function testRun(file) {
-  return new Promise((resolve, reject) => {
-    execFile(file, [String(CLI_RISK_ENV.qoder)], { timeout: 30_000, maxBuffer: 1 << 20 }, (err, stdout) => {
-      try {
-        const j = JSON.parse(String(stdout).split('\n')[0]);
-        if (typeof j.machineToken === 'string' && j.machineToken && j.machineCode && j.machineType) return resolve(j);
-      } catch {}
-      reject(new Error('组件试运行失败' + (err ? '：' + err.message : '（输出里没有设备身份）')));
-    });
-  });
-}
-
-let installing = null;
-
-/** 下载官方 qodercli 包并提取本机架构的 UMID；并发调用共用同一次安装 */
-export function installUmid() {
-  if (!installing) installing = doInstall().finally(() => { installing = null; });
-  return installing;
-}
-export const umidInstalling = () => Boolean(installing);
-
-async function doInstall() {
-  if (!umidSupported()) throw new Error(`当前平台（${process.platform}/${process.arch}）不需要或不支持该组件`);
-  const authority = await authoritativeIntegrity();
-  const errors = [];
-  for (const registry of REGISTRIES) {
-    try {
-      const meta = JSON.parse((await fetchBuf(`${registry}/${PKG.replace('/', '%2f')}/latest`, META_TIMEOUT_MS)).toString('utf8'));
-      const { tarball, integrity } = meta.dist || {};
-      if (!tarball || !integrity) throw new Error('包元数据缺少 tarball / integrity');
-      // 镜像版本与 npmjs 不一致时没有权威校验值可比，跳过镜像直接用官方源
-      if (authority && registry !== AUTH_REGISTRY && meta.version !== authority.version) {
-        throw new Error(`镜像版本（${meta.version}）与 npmjs（${authority.version}）不一致`);
-      }
-      const expected = authority && authority.version === meta.version ? authority.integrity : integrity;
-      logger.info('UMID', `下载 ${PKG}@${meta.version}（${registry}）`);
-      const tgz = await fetchBuf(tarball);
-      if (!checkIntegrity(tgz, expected)) throw new Error('下载内容与 npm integrity 不一致');
-      const bundle = tarEntry(zlib.gunzipSync(tgz), BUNDLE_ENTRY);
-      if (!bundle) throw new Error(`包里没有 ${BUNDLE_ENTRY}（qodercli 结构可能变化）`);
-      const elf = extractElf(bundle.toString('latin1'), ELF_MACHINE[process.arch]);
-      if (!elf) throw new Error(`qodercli ${meta.version} 里没有 ${process.arch} 的 UMID 程序（结构可能变化）`);
-
-      fs.mkdirSync(dir(), { recursive: true, mode: 0o700 });
-      const tmp = binPath() + '.' + process.pid + '.tmp';
-      fs.writeFileSync(tmp, elf, { mode: 0o755 });
-      try { await testRun(tmp); } catch (e) { fs.rmSync(tmp, { force: true }); throw e; }
-      fs.renameSync(tmp, binPath());
-      const manifest = {
-        version: meta.version, arch: process.arch, registry,
-        sha256: crypto.createHash('sha256').update(elf).digest('hex'),
-        installedAt: new Date().toISOString(),
-      };
-      fs.writeFileSync(manifestPath(), JSON.stringify(manifest, null, 2), { mode: 0o600 });
-      logger.info('UMID', `设备身份组件已安装：qodercli ${meta.version} / ${process.arch}`);
-      return { ...manifest, path: binPath() };
-    } catch (e) {
-      errors.push(`${registry}：${e.message}`);
-      logger.warn('UMID', `从 ${registry} 安装失败：${e.message}`);
-    }
-  }
-  throw new Error('设备身份组件安装失败 —— ' + errors.join('；'));
-}
-
-export function removeUmid() {
-  fs.rmSync(dir(), { recursive: true, force: true });
-}
-
-/** 面板 / 状态接口用的摘要 */
-export function umidInfo() {
-  const m = installedUmid();
-  return {
-    supported: umidSupported(),
-    installing: umidInstalling(),
-    installed: m ? { version: m.version, arch: m.arch, installedAt: m.installedAt } : null,
-  };
-}
+/**
+ * Qoder 设备身份组件 —— 给没有 Qoder 客户端的 Linux（fnOS / NAS）提供国际版签到所需的风控身份。
+ *
+ * Qoder 国际版只向带 Cosy-MachineToken / Code / Type 的请求下发「每天领 100 Credits」，
+ * 这三个值由 Qoder 的 UMID 程序（runtime-info）生成。桌面端客户端自带它；官方 CLI
+ * @qoder-ai/qodercli 则把各平台的 UMID 二进制以 base64 内嵌在 bundle/qodercli.js 里，Linux x64 / arm64 都有。
+ *
+ * 这里在用户确认后从 npm 仓库下载官方 qodercli 包（校验 npm 的 sha512 integrity），
+ * 按本机 CPU 架构取出对应的 ELF，试跑一次确认能产出身份，再存到 ~/.creditdaddy/qoder-umid/。
+ * 不随 CreditDaddy 分发该二进制；调用方式与 qodercli 一致：runtime-info <env>，第一行输出 JSON。
+ * env：国际版 4（SINGAPORE，qodercli 的全球区取值），国内版 0（ONLINE）。
+ */
+
+import fs from 'node:fs';
+import path from 'node:path';
+import crypto from 'node:crypto';
+import zlib from 'node:zlib';
+import { execFile } from 'node:child_process';
+import { dataDir } from './store.js';
+import { logger } from './logger.js';
+
+const PKG = '@qoder-ai/qodercli';
+const REGISTRIES = ['https://registry.npmmirror.com', 'https://registry.npmjs.org'];
+const AUTH_REGISTRY = 'https://registry.npmjs.org';   // integrity 的权威来源（镜像只用于加速下载）
+const ELF_MACHINE = { x64: 62, arm64: 183 };
+const BUNDLE_ENTRY = 'package/bundle/qodercli.js';
+const FETCH_TIMEOUT_MS = 180_000;
+const META_TIMEOUT_MS = 15_000;
+export const CLI_RISK_ENV = { qoder: 4, 'qoder-cn': 0 };
+
+export function umidSupported(platform = process.platform, arch = process.arch) {
+  return platform === 'linux' && Boolean(ELF_MACHINE[arch]);
+}
+
+const dir = () => path.join(dataDir(), 'qoder-umid');
+const binPath = () => path.join(dir(), 'runtime-info');
+const manifestPath = () => path.join(dir(), 'manifest.json');
+
+/** 已安装的组件：{ path, version, arch, sha256, installedAt, registry }；未安装返回 null */
+export function installedUmid() {
+  if (!umidSupported()) return null;
+  try {
+    const m = JSON.parse(fs.readFileSync(manifestPath(), 'utf8'));
+    if (!fs.existsSync(binPath()) || m.arch !== process.arch) return null;
+    return { ...m, path: binPath() };
+  } catch { return null; }
+}
+
+// ── 纯函数（便于单测） ──
+
+/** 最小 tar 解析：按名字取一个普通文件的内容 */
+export function tarEntry(tar, wanted) {
+  let off = 0;
+  const cstr = (b, s, n) => { const x = b.subarray(s, s + n); const z = x.indexOf(0); return x.subarray(0, z < 0 ? n : z).toString('utf8'); };
+  let longName = null;
+  while (off + 512 <= tar.length) {
+    const h = tar.subarray(off, off + 512);
+    if (h.every((b) => b === 0)) break;
+    const size = parseInt(cstr(h, 124, 12).trim() || '0', 8);
+    const type = String.fromCharCode(h[156] || 48);
+    const prefix = cstr(h, 345, 155);
+    let name = longName || (prefix ? prefix + '/' : '') + cstr(h, 0, 100);
+    longName = null;
+    const body = tar.subarray(off + 512, off + 512 + size);
+    off += 512 + Math.ceil(size / 512) * 512;
+    if (type === 'L') { longName = body.toString('utf8').replace(/\0+$/, ''); continue; }
+    if (type === 'x') {   // pax 扩展头里的 path 覆盖下一个条目的名字
+      const m = /\d+ path=([^\n]+)\n/.exec(body.toString('utf8'));
+      if (m) longName = m[1];
+      continue;
+    }
+    if ((type === '0' || type === '\0') && name === wanted) return body;
+  }
+  return null;
+}
+
+/** 在 qodercli bundle 文本里找内嵌的 ELF（base64 字面量），按 e_machine 挑出本机架构 */
+export function extractElf(jsText, machine) {
+  const MARK = '"f0VMRgIB';   // "\x7fELF" + 64 位 + 小端 的 base64 开头
+  let i = jsText.indexOf(MARK);
+  while (i >= 0) {
+    const start = i + 1;
+    const end = jsText.indexOf('"', start);
+    if (end < 0) break;
+    const head = Buffer.from(jsText.slice(start, start + 28), 'base64');
+    if (head.length >= 20 && head.readUInt16LE(18) === machine) {
+      return Buffer.from(jsText.slice(start, end), 'base64');
+    }
+    i = jsText.indexOf(MARK, end);
+  }
+  return null;
+}
+
+/** npm integrity（sha512-<base64>）校验 */
+export function checkIntegrity(buf, integrity) {
+  const m = /^sha512-(.+)$/.exec(String(integrity || '').split(/\s+/)[0]);
+  if (!m) return false;
+  return crypto.createHash('sha512').update(buf).digest('base64') === m[1];
+}
+
+// ── 安装 ──
+
+async function fetchBuf(url, timeoutMs = FETCH_TIMEOUT_MS) {
+  const res = await fetch(url, { signal: AbortSignal.timeout(timeoutMs) });
+  if (!res.ok) throw new Error(`HTTP ${res.status}：${url}`);
+  return Buffer.from(await res.arrayBuffer());
+}
+
+/**
+ * 从 npmjs 拉权威 integrity。镜像（npmmirror）的元数据与 tarball 同源，
+ * 镜像被污染时它自己的 integrity 校验形同虚设，所以校验值以 npmjs 为准；
+ * npmjs 不可达时返回 null，退回镜像自身 integrity（与旧行为一致）。
+ */
+async function authoritativeIntegrity() {
+  try {
+    const meta = JSON.parse((await fetchBuf(`${AUTH_REGISTRY}/${PKG.replace('/', '%2f')}/latest`, META_TIMEOUT_MS)).toString('utf8'));
+    if (meta?.dist?.integrity && meta?.version) return { integrity: meta.dist.integrity, version: meta.version };
+  } catch {}
+  return null;
+}
+
+function testRun(file) {
+  return new Promise((resolve, reject) => {
+    execFile(file, [String(CLI_RISK_ENV.qoder)], { timeout: 30_000, maxBuffer: 1 << 20 }, (err, stdout) => {
+      try {
+        const j = JSON.parse(String(stdout).split('\n')[0]);
+        if (typeof j.machineToken === 'string' && j.machineToken && j.machineCode && j.machineType) return resolve(j);
+      } catch {}
+      reject(new Error('组件试运行失败' + (err ? '：' + err.message : '（输出里没有设备身份）')));
+    });
+  });
+}
+
+let installing = null;
+
+/** 下载官方 qodercli 包并提取本机架构的 UMID；并发调用共用同一次安装 */
+export function installUmid() {
+  if (!installing) installing = doInstall().finally(() => { installing = null; });
+  return installing;
+}
+export const umidInstalling = () => Boolean(installing);
+
+async function doInstall() {
+  if (!umidSupported()) throw new Error(`当前平台（${process.platform}/${process.arch}）不需要或不支持该组件`);
+  const authority = await authoritativeIntegrity();
+  const errors = [];
+  for (const registry of REGISTRIES) {
+    try {
+      const meta = JSON.parse((await fetchBuf(`${registry}/${PKG.replace('/', '%2f')}/latest`, META_TIMEOUT_MS)).toString('utf8'));
+      const { tarball, integrity } = meta.dist || {};
+      if (!tarball || !integrity) throw new Error('包元数据缺少 tarball / integrity');
+      // 镜像版本与 npmjs 不一致时没有权威校验值可比，跳过镜像直接用官方源
+      if (authority && registry !== AUTH_REGISTRY && meta.version !== authority.version) {
+        throw new Error(`镜像版本（${meta.version}）与 npmjs（${authority.version}）不一致`);
+      }
+      const expected = authority && authority.version === meta.version ? authority.integrity : integrity;
+      logger.info('UMID', `下载 ${PKG}@${meta.version}（${registry}）`);
+      const tgz = await fetchBuf(tarball);
+      if (!checkIntegrity(tgz, expected)) throw new Error('下载内容与 npm integrity 不一致');
+      const bundle = tarEntry(zlib.gunzipSync(tgz), BUNDLE_ENTRY);
+      if (!bundle) throw new Error(`包里没有 ${BUNDLE_ENTRY}（qodercli 结构可能变化）`);
+      const elf = extractElf(bundle.toString('latin1'), ELF_MACHINE[process.arch]);
+      if (!elf) throw new Error(`qodercli ${meta.version} 里没有 ${process.arch} 的 UMID 程序（结构可能变化）`);
+
+      fs.mkdirSync(dir(), { recursive: true, mode: 0o700 });
+      const tmp = binPath() + '.' + process.pid + '.tmp';
+      fs.writeFileSync(tmp, elf, { mode: 0o755 });
+      try { await testRun(tmp); } catch (e) { fs.rmSync(tmp, { force: true }); throw e; }
+      fs.renameSync(tmp, binPath());
+      const manifest = {
+        version: meta.version, arch: process.arch, registry,
+        sha256: crypto.createHash('sha256').update(elf).digest('hex'),
+        installedAt: new Date().toISOString(),
+      };
+      fs.writeFileSync(manifestPath(), JSON.stringify(manifest, null, 2), { mode: 0o600 });
+      logger.info('UMID', `设备身份组件已安装：qodercli ${meta.version} / ${process.arch}`);
+      return { ...manifest, path: binPath() };
+    } catch (e) {
+      errors.push(`${registry}：${e.message}`);
+      logger.warn('UMID', `从 ${registry} 安装失败：${e.message}`);
+    }
+  }
+  throw new Error('设备身份组件安装失败 —— ' + errors.join('；'));
+}
+
+export function removeUmid() {
+  fs.rmSync(dir(), { recursive: true, force: true });
+}
+
+/** 面板 / 状态接口用的摘要 */
+export function umidInfo() {
+  const m = installedUmid();
+  return {
+    supported: umidSupported(),
+    installing: umidInstalling(),
+    installed: m ? { version: m.version, arch: m.arch, installedAt: m.installedAt } : null,
+  };
+}

package/src/store.js

@@ -215,12 +215,37 @@ export async function loadSettings() {
   return s && typeof s === 'object' && !Array.isArray(s) ? s : {};
 }
 
-/** 合并写入设置并返回合并后的完整对象（原子写） */
-export async function saveSettings(patch) {
-  await ensureDir();
-  const next = Object.assign(await loadSettings(), patch);
-  await atomicWrite(SETTINGS_FILE(), JSON.stringify(next, null, 2));
-  return next;
+// 与 accountsQueue 同样的串行队列：saveSettings 内部是「读 → 合并 → 写」三步，
+// 不串行的话两个并发写（面板改密码 + 网关切局域网）会各自基于旧快照落盘，互相覆盖。
+let settingsQueue = Promise.resolve();
+
+/** 合并写入设置并返回合并后的完整对象（原子写，串行执行） */
+export function saveSettings(patch) {
+  const run = settingsQueue.then(async () => {
+    await ensureDir();
+    const next = Object.assign(await loadSettings(), patch);
+    await atomicWrite(SETTINGS_FILE(), JSON.stringify(next, null, 2));
+    return next;
+  });
+  settingsQueue = run.catch(() => {});
+  return run;
+}
+
+/**
+ * 串行地读取 → 修改 settings.json。fn 直接改传入对象即可，返回 fn 的结果。
+ * 只用于「读出来算一算再写回去」的调用方（单次 saveSettings 已经是原子的）。
+ * 锁顺序：先 accountsQueue 再 settingsQueue，禁止反向嵌套，否则会死锁。
+ */
+export function withSettings(fn) {
+  const run = settingsQueue.then(async () => {
+    await ensureDir();
+    const settings = await loadSettings();
+    const result = await fn(settings);
+    await atomicWrite(SETTINGS_FILE(), JSON.stringify(settings, null, 2));
+    return result;
+  });
+  settingsQueue = run.catch(() => {});
+  return run;
 }
 
 // ─── 运行状态（签到日历） ───
@@ -235,4 +260,22 @@ export async function saveState(state) {
   await atomicWrite(STATE_FILE(), JSON.stringify(state, null, 2));
 }
 
+// state.json 有多个互不相干的写入方（签到轮写 qoderDailyDone / deviceClaim，
+// 网关写 zcodeGatewayExhausted），各自「读 → 改几个键 → 写回」会丢更新：
+// 签到轮拿旧快照落盘，就把网关刚写的耗尽打标抹掉了。与 settings 共用一个队列。
+let stateQueue = Promise.resolve();
+
+/** 串行地读取 → 修改 → 保存运行状态；fn 直接改传入对象即可，返回 fn 的结果。 */
+export function withState(fn) {
+  const run = stateQueue.then(async () => {
+    await ensureDir();
+    const state = await loadState();
+    const result = await fn(state);
+    await atomicWrite(STATE_FILE(), JSON.stringify(state, null, 2));
+    return result;
+  });
+  stateQueue = run.catch(() => {});
+  return run;
+}
+
 // 导入 / 导出（含 10router 互通）见 transfer.js

package/src/tenrouter.js

@@ -123,8 +123,16 @@ async function call(c, pathname, { method = 'GET', body, timeout = QUOTA_TIMEOUT
       headers: { Authorization: `Bearer ${c.key}`, Accept: 'application/json', ...(body ? { 'Content-Type': 'application/json' } : {}) },
       body: body ? JSON.stringify(body) : undefined,
       signal: AbortSignal.timeout(timeout),
+      // 请求体里是本机各账号的 token/用量，Authorization 是 10Router 的 key。
+      // fetch 默认跟随重定向，而 307/308 会把请求体原样重放到新地址（Authorization 会被
+      // 剥掉，但 body 不会）——一个被 307 的 10Router 就足以把凭据送到别处。直接拒绝重定向。
+      redirect: 'error',
     });
   } catch (e) {
+    // redirect:'error' 抛的是 cause.message === 'unexpected redirect'（顶层 message 只是 "fetch failed"）
+    if (e?.cause?.message === 'unexpected redirect') {
+      throw new Error(`10Router（${c.endpoint}）返回了重定向，已拒绝跟随：凭据只发往你填写的地址，请把地址改成最终地址`);
+    }
     throw new Error(`无法连接 10Router（${c.endpoint}）：${e.cause?.code || e.message}`);
   }
   const text = await res.text();

package/src/tenrouterAccounts.js

@@ -41,8 +41,15 @@ async function trFetch(url, { key, cookie, method = 'GET', body } = {}) {
       },
       body: body ? JSON.stringify(body) : undefined,
       signal: AbortSignal.timeout(TIMEOUT_MS),
+      // 这里的 body 是账号明文 token（/api/oauth/transfer/import）与 apiKey（/api/providers）。
+      // 307/308 重定向会把 body 原样重放到新地址，Authorization 反而会被剥掉——所以必须拒绝。
+      redirect: 'error',
     });
   } catch (e) {
+    // redirect:'error' 抛的是 cause.message === 'unexpected redirect'（顶层 message 只是 "fetch failed"）
+    if (e?.cause?.message === 'unexpected redirect') {
+      throw new Error(`10Router 返回了重定向，已拒绝跟随：账号凭据只发往你填写的地址，请把地址改成最终地址`);
+    }
     throw new Error(`无法连接 10Router：${e.cause?.code || e.message}`);
   }
   const text = await res.text();

package/src/transfer.js

@@ -37,6 +37,28 @@ function deriveKey(password, salt, kdf = KDF) {
   });
 }
 
+/**
+ * 导入文件里的 kdf 参数不可信：文件自报 {N:2,r:1,p:1} 会让 scrypt 瞬间算完（0ms vs 42ms），
+ * 密钥强度被文件作者单方面降级，而且没有任何地方会提示。KDF 是本格式的固定契约（见文件头），
+ * 不一致就拒收。注意 kdf 整个对象缺失时要报「参数不对」而不是「口令错误」——后者会把
+ * 用户的排查方向带偏。
+ */
+function checkKdf(blob) {
+  const k = blob?.kdf;
+  if (!k || typeof k !== 'object') {
+    throw new TransferError('BAD_KDF', '迁移文件缺少 KDF 参数，可能不是本工具导出的文件');
+  }
+  if (k.alg !== KDF.alg) {
+    throw new TransferError('BAD_KDF', `不支持的 KDF 算法：${k.alg}`);
+  }
+  for (const f of ['N', 'r', 'p', 'keyLen']) {
+    if (k[f] !== KDF[f]) {
+      throw new TransferError('BAD_KDF', `KDF 参数 ${f} 与本工具不一致（文件 ${k[f]}，期望 ${KDF[f]}）：为避免密钥强度被文件单方面降级，已拒绝导入`);
+    }
+  }
+  return k;
+}
+
 export function sealTransfer(payload, password) {
   if (typeof password !== 'string' || password.length < 4) {
     throw new TransferError('PASSPHRASE_TOO_SHORT', '加密口令至少 4 个字符');
@@ -58,8 +80,9 @@ export function sealTransfer(payload, password) {
 export function openTransfer(blob, password) {
   if (blob?.format !== TRANSFER_FORMAT) throw new TransferError('UNSUPPORTED_FORMAT', '不是加密迁移文件');
   if (!password) throw new TransferError('NEED_PASSWORD', '该文件已加密，请输入导出时设置的口令');
+  const kdf = checkKdf(blob);
   try {
-    const decipher = crypto.createDecipheriv('aes-256-gcm', deriveKey(password, unb64(blob.kdf?.salt), blob.kdf), unb64(blob.iv));
+    const decipher = crypto.createDecipheriv('aes-256-gcm', deriveKey(password, unb64(kdf.salt), kdf), unb64(blob.iv));
     decipher.setAuthTag(unb64(blob.tag));
     const plain = Buffer.concat([decipher.update(unb64(blob.payload)), decipher.final()]);
     return JSON.parse(plain.toString('utf8'));