creditdaddy 1.2.0 → 1.3.2

package/src/qoderUmid.js

@@ -1,198 +1,198 @@
-/**
- * Qoder 设备身份组件 —— 给没有 Qoder 客户端的 Linux（fnOS / NAS）提供国际版签到所需的风控身份。
- *
- * Qoder 国际版只向带 Cosy-MachineToken / Code / Type 的请求下发「每天领 100 Credits」，
- * 这三个值由 Qoder 的 UMID 程序（runtime-info）生成。桌面端客户端自带它；官方 CLI
- * @qoder-ai/qodercli 则把各平台的 UMID 二进制以 base64 内嵌在 bundle/qodercli.js 里，Linux x64 / arm64 都有。
- *
- * 这里在用户确认后从 npm 仓库下载官方 qodercli 包（校验 npm 的 sha512 integrity），
- * 按本机 CPU 架构取出对应的 ELF，试跑一次确认能产出身份，再存到 ~/.creditdaddy/qoder-umid/。
- * 不随 CreditDaddy 分发该二进制；调用方式与 qodercli 一致：runtime-info <env>，第一行输出 JSON。
- * env：国际版 4（SINGAPORE，qodercli 的全球区取值），国内版 0（ONLINE）。
- */
-
-import fs from 'node:fs';
-import path from 'node:path';
-import crypto from 'node:crypto';
-import zlib from 'node:zlib';
-import { execFile } from 'node:child_process';
-import { dataDir } from './store.js';
-import { logger } from './logger.js';
-
-const PKG = '@qoder-ai/qodercli';
-const REGISTRIES = ['https://registry.npmmirror.com', 'https://registry.npmjs.org'];
-const AUTH_REGISTRY = 'https://registry.npmjs.org';   // integrity 的权威来源（镜像只用于加速下载）
-const ELF_MACHINE = { x64: 62, arm64: 183 };
-const BUNDLE_ENTRY = 'package/bundle/qodercli.js';
-const FETCH_TIMEOUT_MS = 180_000;
-const META_TIMEOUT_MS = 15_000;
-export const CLI_RISK_ENV = { qoder: 4, 'qoder-cn': 0 };
-
-export function umidSupported(platform = process.platform, arch = process.arch) {
-  return platform === 'linux' && Boolean(ELF_MACHINE[arch]);
-}
-
-const dir = () => path.join(dataDir(), 'qoder-umid');
-const binPath = () => path.join(dir(), 'runtime-info');
-const manifestPath = () => path.join(dir(), 'manifest.json');
-
-/** 已安装的组件：{ path, version, arch, sha256, installedAt, registry }；未安装返回 null */
-export function installedUmid() {
-  if (!umidSupported()) return null;
-  try {
-    const m = JSON.parse(fs.readFileSync(manifestPath(), 'utf8'));
-    if (!fs.existsSync(binPath()) || m.arch !== process.arch) return null;
-    return { ...m, path: binPath() };
-  } catch { return null; }
-}
-
-// ── 纯函数（便于单测） ──
-
-/** 最小 tar 解析：按名字取一个普通文件的内容 */
-export function tarEntry(tar, wanted) {
-  let off = 0;
-  const cstr = (b, s, n) => { const x = b.subarray(s, s + n); const z = x.indexOf(0); return x.subarray(0, z < 0 ? n : z).toString('utf8'); };
-  let longName = null;
-  while (off + 512 <= tar.length) {
-    const h = tar.subarray(off, off + 512);
-    if (h.every((b) => b === 0)) break;
-    const size = parseInt(cstr(h, 124, 12).trim() || '0', 8);
-    const type = String.fromCharCode(h[156] || 48);
-    const prefix = cstr(h, 345, 155);
-    let name = longName || (prefix ? prefix + '/' : '') + cstr(h, 0, 100);
-    longName = null;
-    const body = tar.subarray(off + 512, off + 512 + size);
-    off += 512 + Math.ceil(size / 512) * 512;
-    if (type === 'L') { longName = body.toString('utf8').replace(/\0+$/, ''); continue; }
-    if (type === 'x') {   // pax 扩展头里的 path 覆盖下一个条目的名字
-      const m = /\d+ path=([^\n]+)\n/.exec(body.toString('utf8'));
-      if (m) longName = m[1];
-      continue;
-    }
-    if ((type === '0' || type === '\0') && name === wanted) return body;
-  }
-  return null;
-}
-
-/** 在 qodercli bundle 文本里找内嵌的 ELF（base64 字面量），按 e_machine 挑出本机架构 */
-export function extractElf(jsText, machine) {
-  const MARK = '"f0VMRgIB';   // "\x7fELF" + 64 位 + 小端 的 base64 开头
-  let i = jsText.indexOf(MARK);
-  while (i >= 0) {
-    const start = i + 1;
-    const end = jsText.indexOf('"', start);
-    if (end < 0) break;
-    const head = Buffer.from(jsText.slice(start, start + 28), 'base64');
-    if (head.length >= 20 && head.readUInt16LE(18) === machine) {
-      return Buffer.from(jsText.slice(start, end), 'base64');
-    }
-    i = jsText.indexOf(MARK, end);
-  }
-  return null;
-}
-
-/** npm integrity（sha512-<base64>）校验 */
-export function checkIntegrity(buf, integrity) {
-  const m = /^sha512-(.+)$/.exec(String(integrity || '').split(/\s+/)[0]);
-  if (!m) return false;
-  return crypto.createHash('sha512').update(buf).digest('base64') === m[1];
-}
-
-// ── 安装 ──
-
-async function fetchBuf(url, timeoutMs = FETCH_TIMEOUT_MS) {
-  const res = await fetch(url, { signal: AbortSignal.timeout(timeoutMs) });
-  if (!res.ok) throw new Error(`HTTP ${res.status}：${url}`);
-  return Buffer.from(await res.arrayBuffer());
-}
-
-/**
- * 从 npmjs 拉权威 integrity。镜像（npmmirror）的元数据与 tarball 同源，
- * 镜像被污染时它自己的 integrity 校验形同虚设，所以校验值以 npmjs 为准；
- * npmjs 不可达时返回 null，退回镜像自身 integrity（与旧行为一致）。
- */
-async function authoritativeIntegrity() {
-  try {
-    const meta = JSON.parse((await fetchBuf(`${AUTH_REGISTRY}/${PKG.replace('/', '%2f')}/latest`, META_TIMEOUT_MS)).toString('utf8'));
-    if (meta?.dist?.integrity && meta?.version) return { integrity: meta.dist.integrity, version: meta.version };
-  } catch {}
-  return null;
-}
-
-function testRun(file) {
-  return new Promise((resolve, reject) => {
-    execFile(file, [String(CLI_RISK_ENV.qoder)], { timeout: 30_000, maxBuffer: 1 << 20 }, (err, stdout) => {
-      try {
-        const j = JSON.parse(String(stdout).split('\n')[0]);
-        if (typeof j.machineToken === 'string' && j.machineToken && j.machineCode && j.machineType) return resolve(j);
-      } catch {}
-      reject(new Error('组件试运行失败' + (err ? '：' + err.message : '（输出里没有设备身份）')));
-    });
-  });
-}
-
-let installing = null;
-
-/** 下载官方 qodercli 包并提取本机架构的 UMID；并发调用共用同一次安装 */
-export function installUmid() {
-  if (!installing) installing = doInstall().finally(() => { installing = null; });
-  return installing;
-}
-export const umidInstalling = () => Boolean(installing);
-
-async function doInstall() {
-  if (!umidSupported()) throw new Error(`当前平台（${process.platform}/${process.arch}）不需要或不支持该组件`);
-  const authority = await authoritativeIntegrity();
-  const errors = [];
-  for (const registry of REGISTRIES) {
-    try {
-      const meta = JSON.parse((await fetchBuf(`${registry}/${PKG.replace('/', '%2f')}/latest`, META_TIMEOUT_MS)).toString('utf8'));
-      const { tarball, integrity } = meta.dist || {};
-      if (!tarball || !integrity) throw new Error('包元数据缺少 tarball / integrity');
-      // 镜像版本与 npmjs 不一致时没有权威校验值可比，跳过镜像直接用官方源
-      if (authority && registry !== AUTH_REGISTRY && meta.version !== authority.version) {
-        throw new Error(`镜像版本（${meta.version}）与 npmjs（${authority.version}）不一致`);
-      }
-      const expected = authority && authority.version === meta.version ? authority.integrity : integrity;
-      logger.info('UMID', `下载 ${PKG}@${meta.version}（${registry}）`);
-      const tgz = await fetchBuf(tarball);
-      if (!checkIntegrity(tgz, expected)) throw new Error('下载内容与 npm integrity 不一致');
-      const bundle = tarEntry(zlib.gunzipSync(tgz), BUNDLE_ENTRY);
-      if (!bundle) throw new Error(`包里没有 ${BUNDLE_ENTRY}（qodercli 结构可能变化）`);
-      const elf = extractElf(bundle.toString('latin1'), ELF_MACHINE[process.arch]);
-      if (!elf) throw new Error(`qodercli ${meta.version} 里没有 ${process.arch} 的 UMID 程序（结构可能变化）`);
-
-      fs.mkdirSync(dir(), { recursive: true, mode: 0o700 });
-      const tmp = binPath() + '.' + process.pid + '.tmp';
-      fs.writeFileSync(tmp, elf, { mode: 0o755 });
-      try { await testRun(tmp); } catch (e) { fs.rmSync(tmp, { force: true }); throw e; }
-      fs.renameSync(tmp, binPath());
-      const manifest = {
-        version: meta.version, arch: process.arch, registry,
-        sha256: crypto.createHash('sha256').update(elf).digest('hex'),
-        installedAt: new Date().toISOString(),
-      };
-      fs.writeFileSync(manifestPath(), JSON.stringify(manifest, null, 2), { mode: 0o600 });
-      logger.info('UMID', `设备身份组件已安装：qodercli ${meta.version} / ${process.arch}`);
-      return { ...manifest, path: binPath() };
-    } catch (e) {
-      errors.push(`${registry}：${e.message}`);
-      logger.warn('UMID', `从 ${registry} 安装失败：${e.message}`);
-    }
-  }
-  throw new Error('设备身份组件安装失败 —— ' + errors.join('；'));
-}
-
-export function removeUmid() {
-  fs.rmSync(dir(), { recursive: true, force: true });
-}
-
-/** 面板 / 状态接口用的摘要 */
-export function umidInfo() {
-  const m = installedUmid();
-  return {
-    supported: umidSupported(),
-    installing: umidInstalling(),
-    installed: m ? { version: m.version, arch: m.arch, installedAt: m.installedAt } : null,
-  };
-}
+/**
+ * Qoder 设备身份组件 —— 给没有 Qoder 客户端的 Linux（fnOS / NAS）提供国际版签到所需的风控身份。
+ *
+ * Qoder 国际版只向带 Cosy-MachineToken / Code / Type 的请求下发「每天领 100 Credits」，
+ * 这三个值由 Qoder 的 UMID 程序（runtime-info）生成。桌面端客户端自带它；官方 CLI
+ * @qoder-ai/qodercli 则把各平台的 UMID 二进制以 base64 内嵌在 bundle/qodercli.js 里，Linux x64 / arm64 都有。
+ *
+ * 这里在用户确认后从 npm 仓库下载官方 qodercli 包（校验 npm 的 sha512 integrity），
+ * 按本机 CPU 架构取出对应的 ELF，试跑一次确认能产出身份，再存到 ~/.creditdaddy/qoder-umid/。
+ * 不随 CreditDaddy 分发该二进制；调用方式与 qodercli 一致：runtime-info <env>，第一行输出 JSON。
+ * env：国际版 4（SINGAPORE，qodercli 的全球区取值），国内版 0（ONLINE）。
+ */
+
+import fs from 'node:fs';
+import path from 'node:path';
+import crypto from 'node:crypto';
+import zlib from 'node:zlib';
+import { execFile } from 'node:child_process';
+import { dataDir } from './store.js';
+import { logger } from './logger.js';
+
+const PKG = '@qoder-ai/qodercli';
+const REGISTRIES = ['https://registry.npmmirror.com', 'https://registry.npmjs.org'];
+const AUTH_REGISTRY = 'https://registry.npmjs.org';   // integrity 的权威来源（镜像只用于加速下载）
+const ELF_MACHINE = { x64: 62, arm64: 183 };
+const BUNDLE_ENTRY = 'package/bundle/qodercli.js';
+const FETCH_TIMEOUT_MS = 180_000;
+const META_TIMEOUT_MS = 15_000;
+export const CLI_RISK_ENV = { qoder: 4, 'qoder-cn': 0 };
+
+export function umidSupported(platform = process.platform, arch = process.arch) {
+  return platform === 'linux' && Boolean(ELF_MACHINE[arch]);
+}
+
+const dir = () => path.join(dataDir(), 'qoder-umid');
+const binPath = () => path.join(dir(), 'runtime-info');
+const manifestPath = () => path.join(dir(), 'manifest.json');
+
+/** 已安装的组件：{ path, version, arch, sha256, installedAt, registry }；未安装返回 null */
+export function installedUmid() {
+  if (!umidSupported()) return null;
+  try {
+    const m = JSON.parse(fs.readFileSync(manifestPath(), 'utf8'));
+    if (!fs.existsSync(binPath()) || m.arch !== process.arch) return null;
+    return { ...m, path: binPath() };
+  } catch { return null; }
+}
+
+// ── 纯函数（便于单测） ──
+
+/** 最小 tar 解析：按名字取一个普通文件的内容 */
+export function tarEntry(tar, wanted) {
+  let off = 0;
+  const cstr = (b, s, n) => { const x = b.subarray(s, s + n); const z = x.indexOf(0); return x.subarray(0, z < 0 ? n : z).toString('utf8'); };
+  let longName = null;
+  while (off + 512 <= tar.length) {
+    const h = tar.subarray(off, off + 512);
+    if (h.every((b) => b === 0)) break;
+    const size = parseInt(cstr(h, 124, 12).trim() || '0', 8);
+    const type = String.fromCharCode(h[156] || 48);
+    const prefix = cstr(h, 345, 155);
+    let name = longName || (prefix ? prefix + '/' : '') + cstr(h, 0, 100);
+    longName = null;
+    const body = tar.subarray(off + 512, off + 512 + size);
+    off += 512 + Math.ceil(size / 512) * 512;
+    if (type === 'L') { longName = body.toString('utf8').replace(/\0+$/, ''); continue; }
+    if (type === 'x') {   // pax 扩展头里的 path 覆盖下一个条目的名字
+      const m = /\d+ path=([^\n]+)\n/.exec(body.toString('utf8'));
+      if (m) longName = m[1];
+      continue;
+    }
+    if ((type === '0' || type === '\0') && name === wanted) return body;
+  }
+  return null;
+}
+
+/** 在 qodercli bundle 文本里找内嵌的 ELF（base64 字面量），按 e_machine 挑出本机架构 */
+export function extractElf(jsText, machine) {
+  const MARK = '"f0VMRgIB';   // "\x7fELF" + 64 位 + 小端 的 base64 开头
+  let i = jsText.indexOf(MARK);
+  while (i >= 0) {
+    const start = i + 1;
+    const end = jsText.indexOf('"', start);
+    if (end < 0) break;
+    const head = Buffer.from(jsText.slice(start, start + 28), 'base64');
+    if (head.length >= 20 && head.readUInt16LE(18) === machine) {
+      return Buffer.from(jsText.slice(start, end), 'base64');
+    }
+    i = jsText.indexOf(MARK, end);
+  }
+  return null;
+}
+
+/** npm integrity（sha512-<base64>）校验 */
+export function checkIntegrity(buf, integrity) {
+  const m = /^sha512-(.+)$/.exec(String(integrity || '').split(/\s+/)[0]);
+  if (!m) return false;
+  return crypto.createHash('sha512').update(buf).digest('base64') === m[1];
+}
+
+// ── 安装 ──
+
+async function fetchBuf(url, timeoutMs = FETCH_TIMEOUT_MS) {
+  const res = await fetch(url, { signal: AbortSignal.timeout(timeoutMs) });
+  if (!res.ok) throw new Error(`HTTP ${res.status}：${url}`);
+  return Buffer.from(await res.arrayBuffer());
+}
+
+/**
+ * 从 npmjs 拉权威 integrity。镜像（npmmirror）的元数据与 tarball 同源，
+ * 镜像被污染时它自己的 integrity 校验形同虚设，所以校验值以 npmjs 为准；
+ * npmjs 不可达时返回 null，退回镜像自身 integrity（与旧行为一致）。
+ */
+async function authoritativeIntegrity() {
+  try {
+    const meta = JSON.parse((await fetchBuf(`${AUTH_REGISTRY}/${PKG.replace('/', '%2f')}/latest`, META_TIMEOUT_MS)).toString('utf8'));
+    if (meta?.dist?.integrity && meta?.version) return { integrity: meta.dist.integrity, version: meta.version };
+  } catch {}
+  return null;
+}
+
+function testRun(file) {
+  return new Promise((resolve, reject) => {
+    execFile(file, [String(CLI_RISK_ENV.qoder)], { timeout: 30_000, maxBuffer: 1 << 20 }, (err, stdout) => {
+      try {
+        const j = JSON.parse(String(stdout).split('\n')[0]);
+        if (typeof j.machineToken === 'string' && j.machineToken && j.machineCode && j.machineType) return resolve(j);
+      } catch {}
+      reject(new Error('组件试运行失败' + (err ? '：' + err.message : '（输出里没有设备身份）')));
+    });
+  });
+}
+
+let installing = null;
+
+/** 下载官方 qodercli 包并提取本机架构的 UMID；并发调用共用同一次安装 */
+export function installUmid() {
+  if (!installing) installing = doInstall().finally(() => { installing = null; });
+  return installing;
+}
+export const umidInstalling = () => Boolean(installing);
+
+async function doInstall() {
+  if (!umidSupported()) throw new Error(`当前平台（${process.platform}/${process.arch}）不需要或不支持该组件`);
+  const authority = await authoritativeIntegrity();
+  const errors = [];
+  for (const registry of REGISTRIES) {
+    try {
+      const meta = JSON.parse((await fetchBuf(`${registry}/${PKG.replace('/', '%2f')}/latest`, META_TIMEOUT_MS)).toString('utf8'));
+      const { tarball, integrity } = meta.dist || {};
+      if (!tarball || !integrity) throw new Error('包元数据缺少 tarball / integrity');
+      // 镜像版本与 npmjs 不一致时没有权威校验值可比，跳过镜像直接用官方源
+      if (authority && registry !== AUTH_REGISTRY && meta.version !== authority.version) {
+        throw new Error(`镜像版本（${meta.version}）与 npmjs（${authority.version}）不一致`);
+      }
+      const expected = authority && authority.version === meta.version ? authority.integrity : integrity;
+      logger.info('UMID', `下载 ${PKG}@${meta.version}（${registry}）`);
+      const tgz = await fetchBuf(tarball);
+      if (!checkIntegrity(tgz, expected)) throw new Error('下载内容与 npm integrity 不一致');
+      const bundle = tarEntry(zlib.gunzipSync(tgz), BUNDLE_ENTRY);
+      if (!bundle) throw new Error(`包里没有 ${BUNDLE_ENTRY}（qodercli 结构可能变化）`);
+      const elf = extractElf(bundle.toString('latin1'), ELF_MACHINE[process.arch]);
+      if (!elf) throw new Error(`qodercli ${meta.version} 里没有 ${process.arch} 的 UMID 程序（结构可能变化）`);
+
+      fs.mkdirSync(dir(), { recursive: true, mode: 0o700 });
+      const tmp = binPath() + '.' + process.pid + '.tmp';
+      fs.writeFileSync(tmp, elf, { mode: 0o755 });
+      try { await testRun(tmp); } catch (e) { fs.rmSync(tmp, { force: true }); throw e; }
+      fs.renameSync(tmp, binPath());
+      const manifest = {
+        version: meta.version, arch: process.arch, registry,
+        sha256: crypto.createHash('sha256').update(elf).digest('hex'),
+        installedAt: new Date().toISOString(),
+      };
+      fs.writeFileSync(manifestPath(), JSON.stringify(manifest, null, 2), { mode: 0o600 });
+      logger.info('UMID', `设备身份组件已安装：qodercli ${meta.version} / ${process.arch}`);
+      return { ...manifest, path: binPath() };
+    } catch (e) {
+      errors.push(`${registry}：${e.message}`);
+      logger.warn('UMID', `从 ${registry} 安装失败：${e.message}`);
+    }
+  }
+  throw new Error('设备身份组件安装失败 —— ' + errors.join('；'));
+}
+
+export function removeUmid() {
+  fs.rmSync(dir(), { recursive: true, force: true });
+}
+
+/** 面板 / 状态接口用的摘要 */
+export function umidInfo() {
+  const m = installedUmid();
+  return {
+    supported: umidSupported(),
+    installing: umidInstalling(),
+    installed: m ? { version: m.version, arch: m.arch, installedAt: m.installedAt } : null,
+  };
+}

package/src/store.js

@@ -98,7 +98,16 @@ export async function loadAccounts() {
 
 export async function saveAccounts(accounts) {
   await ensureDir();
-  await atomicWrite(ACCOUNTS_FILE(), JSON.stringify(accounts, null, 2));
+  const file = ACCOUNTS_FILE();
+  const bak = file + '.bak';
+  try {
+    // 只有当已有账号文件存在且非空时才建立/更新 .bak 备份
+    const existing = await fs.readFile(file, 'utf8').catch(() => null);
+    if (existing && existing.trim().length > 2) {
+      await atomicWrite(bak, existing);
+    }
+  } catch {}
+  await atomicWrite(file, JSON.stringify(accounts, null, 2));
 }
 
 // 进程内串行队列：所有「读-改-写」都经由 withAccounts，避免并发请求互相覆盖
@@ -200,6 +209,12 @@ export function publicAccount(a) {
     phone: maskPhone(meta.phone),
     domain: meta.domain || null,
     flavor: a.provider === 'zcode' ? zcodeFlavor(meta) : null,
+    // Qoder 网页会话新鲜度（10Router issue #44）：只回时间戳、绝不回 Cookie。
+    // 10Router 的「套餐内 Credits」明细依赖导出的这份会话；面板据此在
+    // 导出/同步缺会话或明显过期的 Qoder 账号时给出提示。
+    qoderWebCapturedAt: String(a.provider).startsWith('qoder')
+      ? (meta.qoderWebSession?.capturedAt || null)
+      : null,
     canSwitch: Boolean(meta.session?.account || meta.credentials || meta.qoderAuth || a.provider === 'catpaw' || a.provider === 'trae'),
     verified: a.verified ?? null,
     createdAt: a.createdAt,
@@ -215,12 +230,37 @@ export async function loadSettings() {
   return s && typeof s === 'object' && !Array.isArray(s) ? s : {};
 }
 
-/** 合并写入设置并返回合并后的完整对象（原子写） */
-export async function saveSettings(patch) {
-  await ensureDir();
-  const next = Object.assign(await loadSettings(), patch);
-  await atomicWrite(SETTINGS_FILE(), JSON.stringify(next, null, 2));
-  return next;
+// 与 accountsQueue 同样的串行队列：saveSettings 内部是「读 → 合并 → 写」三步，
+// 不串行的话两个并发写（面板改密码 + 网关切局域网）会各自基于旧快照落盘，互相覆盖。
+let settingsQueue = Promise.resolve();
+
+/** 合并写入设置并返回合并后的完整对象（原子写，串行执行） */
+export function saveSettings(patch) {
+  const run = settingsQueue.then(async () => {
+    await ensureDir();
+    const next = Object.assign(await loadSettings(), patch);
+    await atomicWrite(SETTINGS_FILE(), JSON.stringify(next, null, 2));
+    return next;
+  });
+  settingsQueue = run.catch(() => {});
+  return run;
+}
+
+/**
+ * 串行地读取 → 修改 settings.json。fn 直接改传入对象即可，返回 fn 的结果。
+ * 只用于「读出来算一算再写回去」的调用方（单次 saveSettings 已经是原子的）。
+ * 锁顺序：先 accountsQueue 再 settingsQueue，禁止反向嵌套，否则会死锁。
+ */
+export function withSettings(fn) {
+  const run = settingsQueue.then(async () => {
+    await ensureDir();
+    const settings = await loadSettings();
+    const result = await fn(settings);
+    await atomicWrite(SETTINGS_FILE(), JSON.stringify(settings, null, 2));
+    return result;
+  });
+  settingsQueue = run.catch(() => {});
+  return run;
 }
 
 // ─── 运行状态（签到日历） ───
@@ -235,4 +275,22 @@ export async function saveState(state) {
   await atomicWrite(STATE_FILE(), JSON.stringify(state, null, 2));
 }
 
+// state.json 有多个互不相干的写入方（签到轮写 qoderDailyDone / deviceClaim，
+// 网关写 zcodeGatewayExhausted），各自「读 → 改几个键 → 写回」会丢更新：
+// 签到轮拿旧快照落盘，就把网关刚写的耗尽打标抹掉了。与 settings 共用一个队列。
+let stateQueue = Promise.resolve();
+
+/** 串行地读取 → 修改 → 保存运行状态；fn 直接改传入对象即可，返回 fn 的结果。 */
+export function withState(fn) {
+  const run = stateQueue.then(async () => {
+    await ensureDir();
+    const state = await loadState();
+    const result = await fn(state);
+    await atomicWrite(STATE_FILE(), JSON.stringify(state, null, 2));
+    return result;
+  });
+  stateQueue = run.catch(() => {});
+  return run;
+}
+
 // 导入 / 导出（含 10router 互通）见 transfer.js

package/src/tenrouter.js

@@ -123,8 +123,16 @@ async function call(c, pathname, { method = 'GET', body, timeout = QUOTA_TIMEOUT
       headers: { Authorization: `Bearer ${c.key}`, Accept: 'application/json', ...(body ? { 'Content-Type': 'application/json' } : {}) },
       body: body ? JSON.stringify(body) : undefined,
       signal: AbortSignal.timeout(timeout),
+      // 请求体里是本机各账号的 token/用量，Authorization 是 10Router 的 key。
+      // fetch 默认跟随重定向，而 307/308 会把请求体原样重放到新地址（Authorization 会被
+      // 剥掉，但 body 不会）——一个被 307 的 10Router 就足以把凭据送到别处。直接拒绝重定向。
+      redirect: 'error',
     });
   } catch (e) {
+    // redirect:'error' 抛的是 cause.message === 'unexpected redirect'（顶层 message 只是 "fetch failed"）
+    if (e?.cause?.message === 'unexpected redirect') {
+      throw new Error(`10Router（${c.endpoint}）返回了重定向，已拒绝跟随：凭据只发往你填写的地址，请把地址改成最终地址`);
+    }
     throw new Error(`无法连接 10Router（${c.endpoint}）：${e.cause?.code || e.message}`);
   }
   const text = await res.text();

package/src/tenrouterAccounts.js

@@ -41,8 +41,15 @@ async function trFetch(url, { key, cookie, method = 'GET', body } = {}) {
       },
       body: body ? JSON.stringify(body) : undefined,
       signal: AbortSignal.timeout(TIMEOUT_MS),
+      // 这里的 body 是账号明文 token（/api/oauth/transfer/import）与 apiKey（/api/providers）。
+      // 307/308 重定向会把 body 原样重放到新地址，Authorization 反而会被剥掉——所以必须拒绝。
+      redirect: 'error',
     });
   } catch (e) {
+    // redirect:'error' 抛的是 cause.message === 'unexpected redirect'（顶层 message 只是 "fetch failed"）
+    if (e?.cause?.message === 'unexpected redirect') {
+      throw new Error(`10Router 返回了重定向，已拒绝跟随：账号凭据只发往你填写的地址，请把地址改成最终地址`);
+    }
     throw new Error(`无法连接 10Router：${e.cause?.code || e.message}`);
   }
   const text = await res.text();
@@ -85,6 +92,9 @@ async function syncViaTransfer({ endpoint, cookie, groups }) {
     results.push({
       provider: target, count: list.length, status: (d.failed || 0) ? 'partial' : 'ok',
       imported: d.imported || 0, updated: d.updated || 0, skipped: d.skipped || 0, failed: d.failed || 0,
+      // 10Router issue #44：导入端会探测刚同步过去的网页会话是否仍可用，
+      // 失败清单直接回显到本端摘要（见 syncAccountsTo10r 的 sessionWarns）。
+      webSessions: d.webSessions || null,
     });
   }
   return results;
@@ -96,9 +106,15 @@ async function syncViaProviders({ endpoint, key, groups }) {
   for (const [target, list] of groups) {
     const row = { provider: target, count: list.length, status: 'ok', imported: 0, skipped: 0, failed: 0 };
     for (const a of list) {
-      const r = await trFetch(`${endpoint}/api/providers`, {
-        key, method: 'POST', body: { provider: target, apiKey: a.token, name: connName(a) },
-      });
+      // issue #44：qoder 的 apikey 连接同样按 providerSpecificData 读网页会话
+      // （usage 侧 getQoderUsage 不区分 authType），所以新建连接时把会话一并
+      // 挂上；已存在的同名连接此接口不更新（409），缺失由同步摘要点名提醒。
+      const web = a.meta?.qoderWebSession?.cookie && String(a.provider).startsWith('qoder')
+        ? { creditDaddyWebSession: { cookie: a.meta.qoderWebSession.cookie, capturedAt: a.meta.qoderWebSession.capturedAt || null, userId: a.uid || null } }
+        : null;
+      const body = { provider: target, apiKey: a.token, name: connName(a) };
+      if (web) body.providerSpecificData = { userId: a.uid || null, ...web };
+      const r = await trFetch(`${endpoint}/api/providers`, { key, method: 'POST', body });
       if (r.status === 201 || r.status === 200) row.imported++;
       else if (r.status === 409) row.skipped++;
       else { row.failed++; row.error = r.data?.error || `HTTP ${r.status}`; }
@@ -156,6 +172,25 @@ export async function syncAccountsTo10r({ endpoint, key, adminPassword, accounts
   if (sum('skipped')) parts.push(`已存在 ${sum('skipped')}`);
   if (sum('failed')) parts.push(`失败 ${sum('failed')}`);
   if (unmapped.size) parts.push('跳过 ' + [...unmapped].map(([p, n]) => `${p} ×${n}`).join('、'));
+  // issue #44：Qoder 网页会话决定 10Router 端「套餐内 Credits」能不能显示。
+  // OAuth 通道：10Router 导入时已逐账号探测，失效清单原样带回（deadNames）；
+  // 两条通道都要点名本地就没有会话的账号（apikey 通道 webSessions 恒为
+  // null，条件自动适用；OAuth 通道里已被探测过的组不重复报）。
+  const deadNames = [];
+  for (const r of results) {
+    for (const f of r.webSessions?.failures || []) deadNames.push(f.name);
+  }
+  const sessionless = [];
+  for (const [target, list] of groups) {
+    if (!String(target).startsWith('qoder')) continue;
+    for (const a of list) {
+      if (results.find((r) => r.provider === target)?.webSessions == null && !a.meta?.qoderWebSession?.cookie) {
+        sessionless.push(connName(a));
+      }
+    }
+  }
+  if (sessionless.length) parts.push(`未带网页会话 ${sessionless.length}（${sessionless.join('、')}，在 CreditDaddy 重新浏览器登录 Qoder 后再同步可补齐逐资源包明细）`);
+  if (deadNames.length) parts.push(`网页会话已失效 ${deadNames.length}（${deadNames.join('、')}，重新登录 Qoder 网页后再次同步）`);
   const summary = (channel === 'oauth' ? '账号同步完成（OAuth 通道）：' : '账号同步完成（apikey 通道，token 过期后需重新同步）：')
     + (parts.join('，') || '无变化')
     + (failed.length ? `；${failed.map((r) => r.provider + '：' + (r.error || r.status)).join('；')}` : '');

package/src/traeClient.js

@@ -223,6 +223,11 @@ export async function checkinTrae(account, ctx = {}) {
     return { ...base, status: 'already', message: '今天已签到', uid };
   }
 
+  // 签到应得额度：status 接口里通常预告 credits / extra_credits（如 100 积分），
+  // claim 接口有时只返回 { code: 0, message: "success" } 而不包含 credits 字段，作为 fallback 避免 +0
+  const TRAE_DEFAULT_DAILY_CREDITS = 100;
+  const expectedCredits = Number(findField(r.body, 'credits') ?? findField(r.body, 'extra_credits')) || TRAE_DEFAULT_DAILY_CREDITS;
+
   const c = await post(CLAIM_URL, account);
   if (c.code !== 0) {
     ctx.log?.(`Trae 领取失败：${c.message || `code ${c.code}`}`);
@@ -233,7 +238,7 @@ export async function checkinTrae(account, ctx = {}) {
       uid,
     };
   }
-  const claimed = Number(findField(c.body, 'credits')) || 0;
+  const claimed = Number(findField(c.body, 'credits')) || expectedCredits;
   return { ...base, status: 'checked-in', claimedAmount: claimed, message: claimed ? `签到成功，+${claimed} 积分` : '签到成功', uid };
 }