dsh-account-pool 0.1.0

package/lib/trae-accounts.js

@@ -0,0 +1,453 @@
+/**
+ * Trae（TRAE SOLO）账号与凭证。
+ *
+ * ## 登录方式：导入桌面端凭证，不做网页登录
+ *
+ * Trae 授权页把 token **fetch 投递到 `127.0.0.1:18080`**（不是导航跳转）。
+ * DSH 跑在 NAS、浏览器在另一台电脑时，那个 127.0.0.1 指用户自己的电脑，
+ * 请求被拒 → 页面报「网络错误」；又因为是 fetch 而非导航，地址栏不会出现
+ * 带 token 的链接，**连手动复制都拿不到**。那条路在当前部署下走不通。
+ *
+ * 所以改为「导入桌面端已登录的凭证」：用户在 Windows/macOS 上登录 Trae，
+ * 把 `storage.json` 拷过来即可（解析见 trae-storage.js）。解密不依赖本机
+ * 硬件，任何机器上都能解。
+ *
+ * 本文件负责：请求头、token 刷新、凭证库。
+ */
+
+import { readFile, writeFile, rename, mkdir } from 'node:fs/promises'
+import { createHash, randomBytes } from 'node:crypto'
+import { dirname, join } from 'node:path'
+
+import { cpus, hostname, release as osRelease } from 'node:os'
+
+// ---------------------------------------------------------------------------
+// 上游常量（来自 traework2api 的实测结论，不要随意改动）
+// ---------------------------------------------------------------------------
+
+/** SOLO 对话与模型端点。 */
+const AGENT_HOST = 'https://trae-api-cn.mchost.guru'
+/** 签到与积分端点。 */
+const UG_HOST = 'https://api.trae.cn'
+/** OAuth（换 token / 取用户信息）。 */
+const OAUTH_HOST = 'https://api.trae.com.cn'
+/** 登录页。 */
+
+// 刷新（ExchangeToken）的 ClientID 按「 edition」分两套——
+// 实测证据来自 dsh-connect-trae 的 REFRESH_CONTRACT：
+//   Trae CN 桌面 / Trae 国际桌面 / TRAE SOLO CN → ono9krqynydwx5（无 DeviceInfo）
+//   TRAE SOLO 国际                              → en1oxy7wnw8j9n（带 DeviceInfo）
+// 用错会报 10101「refresh token is not matched to the client」。
+const CLIENT_ID_DESKTOP = 'ono9krqynydwx5'
+const CLIENT_ID_SOLO_SG = 'en1oxy7wnw8j9n'
+/** 对话请求头 x-app-id 用的客户端标识。 */
+const APP_ID = '6eefa01c-1036-4c7e-9ca5-d891f63bfcd8'
+const IDE_VERSION = '0.1.43'
+/** 客户端构建号，请求头 x-ide-version-code 用。 */
+const IDE_VERSION_CODE = '20260716'
+/**
+ * 设备类型与系统版本按**真实运行平台**填，不硬编码 Windows。
+ *
+ * 参照 dsh-connect-trae 的做法（它用它总结的失败根因之一就是
+ * 「每请求随机 machine/device ID 并硬编码 Windows」）：
+ * 声称 Windows 却从 Linux 发请求是自相矛盾的，容易被风控标记。
+ *
+ * 注意 machine/device ID 只在**登录时生成一次**并落盘，之后每个请求复用——
+ * 那才是「每请求随机」这个坑的反面；这里补的是平台标识。
+ */
+const DEVICE_TYPE = process.platform === 'darwin' ? 'mac'
+  : process.platform === 'win32' ? 'windows' : process.platform
+const OS_VERSION = `${process.platform === 'darwin' ? 'macOS'
+  : process.platform === 'win32' ? 'Windows' : process.platform} ${osRelease()}`
+/** SOLO 免费通道标识。 */
+const SOLO_FUNCTION = 'solo_work_lite'
+
+/** 默认模型（实测可用）。 */
+const DEFAULT_MODEL = 'glm-5.2'
+
+/** 请求超时。 */
+const TIMEOUT_MS = 60_000
+
+/** 落盘格式版本。 */
+const FILE_VERSION = 1
+
+/** 提前多久刷新 token（上游给 14 天，提前 24 小时足够）。 */
+const REFRESH_MARGIN_MS = 24 * 3600 * 1000
+
+// ---------------------------------------------------------------------------
+// 工具
+// ---------------------------------------------------------------------------
+
+const secondsToMs = (seconds) => (Number(seconds) || 0) * 1000
+const msToSeconds = (ms) => Math.floor((Number(ms) || 0) / 1000)
+
+/**
+ * 设备 CPU 标识：取第一个 CPU 型号的首个单词（与参照实现一致）。
+ * 拿不到就不发这个头——编造一个没有意义。
+ */
+function deviceCpu() {
+  try {
+    const first = cpus()[0]?.model
+    return typeof first === 'string' && first !== '' ? first.split(' ')[0] : undefined
+  } catch {
+    return undefined
+  }
+}
+
+/** 随机 hex 串，用于生成 machine_id / device_id。 */
+function randomHex(bytes = 16) {
+  return randomBytes(bytes).toString('hex')
+}
+
+/**
+ * 账号稳定 id：按 uid 派生，同一账号重新导入也认得它。
+ * @export 供导入接口复用，避免两处各写一份派生规则。
+ */
+export function accountIdOf(uid) {
+  return createHash('sha256').update(`trae\0${uid}`).digest('hex').slice(0, 24)
+}
+
+/** Trae 的通用请求头（带设备标识）。 */
+function baseHeaders(extra = {}) {
+  return {
+    'content-type': 'application/json',
+    'user-agent': `Trae/${IDE_VERSION}`,
+    ...extra,
+  }
+}
+
+/**
+ * SOLO 域请求头（对话、模型列表）。
+ * 三个 token 头都要带：Authorization 是标准形式，另两个是上游特有的。
+ */
+function soloHeaders(credential, stream = false) {
+  const token = credential.accessToken
+  const headers = baseHeaders({
+    accept: stream ? 'text/event-stream' : 'application/json',
+    authorization: `Cloud-IDE-JWT ${token}`,
+    'x-cloudide-token': token,
+    'x-ide-token': token,
+    'x-app-id': APP_ID,
+    'x-app-version': 'default',
+    'x-ide-version': IDE_VERSION,
+    'x-ide-version-code': IDE_VERSION_CODE,
+    'x-app-version-code': IDE_VERSION_CODE,
+    'x-ide-version-type': 'stable',
+    'x-device-type': DEVICE_TYPE,
+    'x-os-version': OS_VERSION,
+    'x-device-cpu': deviceCpu(),
+    'request-traffic-type': 'prod',
+  })
+  if (credential.uid) headers['x-uid'] = credential.uid
+  if (credential.machineId) headers['x-machine-id'] = credential.machineId
+  if (credential.deviceId) headers['x-device-id'] = credential.deviceId
+  return headers
+}
+
+/** ug 域请求头（签到、积分）。 */
+function ugHeaders(credential) {
+  // pay/ug 域（积分、签到）用**网页端**形态：实测带 IDE 的 UA 会被 401，
+  // 需要 Origin/Referer + 浏览器 UA。
+  //
+  // 但 **x-device-id 必须保留**：签到领取接口少了它会返回业务码 9004
+  // （"order parameters are incorrect"）——HTTP 仍是 200，很容易被当成成功。
+  // 实测对照（2026-09-21）：
+  //   带 X-Device-Id → {"code":0,"message":"success"}，状态变 checked_in=true
+  //   不带           → {"code":9004,...}，状态仍是未签到
+  const headers = {
+    'content-type': 'application/json',
+    accept: 'application/json',
+    'user-agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.0.0 Safari/537.36',
+    origin: 'https://www.trae.cn',
+    referer: 'https://www.trae.cn/',
+    authorization: `Cloud-IDE-JWT ${credential.accessToken}`,
+    'x-user-region': 'CN',
+  }
+  if (credential.deviceId) headers['x-device-id'] = credential.deviceId
+  return headers
+}
+
+/** 发请求并解信封。上游用 {Result: ...} 包装业务数据。 */
+async function postJson(url, { headers, body = {}, method = 'POST' } = {}) {
+  const response = await fetch(url, {
+    method,
+    headers,
+    body: JSON.stringify(body),
+    signal: AbortSignal.timeout(TIMEOUT_MS),
+  })
+  const text = await response.text()
+  let envelope
+  try {
+    envelope = text === '' ? {} : JSON.parse(text)
+  } catch {
+    throw new Error(`上游返回非 JSON（HTTP ${response.status}）：${text.slice(0, 160)}`)
+  }
+  if (!response.ok) {
+    // 402/401 等由调用方按状态码分类处置
+    const message = envelope.msg ?? envelope.Message ?? envelope.error ?? text.slice(0, 160)
+    const error = new Error(`HTTP ${response.status}：${message}`)
+    error.status = response.status
+    throw error
+  }
+
+  // 业务码检查：上游会用 HTTP 200 + code!=0 表达失败。
+  //
+  // 实测踩过：签到领取在缺少 x-device-id 时返回
+  // `{"code":9004,"message":"The submitted order parameters are incorrect"}`，
+  // 只看 HTTP 状态会把它当成功——于是界面显示"签到成功"但实际没签。
+  // 这类"假成功"比报错更危险，必须在这里拦住。
+  const code = envelope.code
+  if (typeof code === 'number' && code !== 0) {
+    const message = envelope.message ?? envelope.msg ?? text.slice(0, 160)
+    const error = new Error(`上游业务错误 code=${code}：${message}`)
+    error.status = response.status
+    error.code = code
+    throw error
+  }
+  return envelope
+}
+
+// token 刷新
+// ---------------------------------------------------------------------------
+
+/**
+ * 刷新 access token（ExchangeToken 同样用于刷新，refreshToken 会轮换）。
+ * 返回新凭证；调用方负责落盘。
+ */
+export async function refreshCredential(credential) {
+  if (credential.refreshToken === '') throw new Error('缺少 refreshToken，需要重新导入凭证')
+
+  // 国际 SOLO 的刷新走不同 host + 路径 + ClientID，还要带 DeviceInfo。
+  // 其余（CN 桌面 / 国际桌面 / SOLO CN）共用桌面契约。
+  const isSoloSg = credential.region === 'sg'
+  const host = isSoloSg ? 'https://growsg-normal.trae.ai' : OAUTH_HOST
+  const path = isSoloSg
+    ? '/trae/api/v3/oauth/ExchangeToken'
+    : '/cloudide/api/v3/trae/oauth/ExchangeToken'
+  const body = {
+    ClientID: isSoloSg ? CLIENT_ID_SOLO_SG : CLIENT_ID_DESKTOP,
+    RefreshToken: credential.refreshToken,
+    ClientSecret: isSoloSg ? '' : '-',
+    UserID: credential.uid ?? '',
+  }
+  if (isSoloSg) {
+    // DeviceInfo 的字段名与取值照抄官方客户端（dsh-connect-trae 的实测记录）
+    body.DeviceInfo = {
+      DeviceID: credential.deviceId ?? '',
+      MachineID: credential.machineId ?? '',
+      PlatformCode: 'SOLO_PC',
+      DeviceType: 'PC',
+      DeviceName: hostname(),
+    }
+  }
+
+  const envelope = await postJson(`${host}${path}`, {
+    headers: baseHeaders(),
+    body,
+  })
+  const result = envelope.Result ?? {}
+  const accessToken = String(result.Token ?? '')
+  if (accessToken === '') throw new Error('刷新返回缺少 Token')
+
+  let expiresAt = Number(result.TokenExpireAt ?? 0)
+  if (expiresAt > 1e12) expiresAt = Math.floor(expiresAt / 1000)
+  if (expiresAt <= Math.floor(Date.now() / 1000)) {
+    const duration = Number(result.TokenExpireDuration ?? 0) || 14 * 24 * 3600
+    expiresAt = Math.floor(Date.now() / 1000) + duration
+  }
+
+  return {
+    ...credential,
+    accessToken,
+    refreshToken: String(result.RefreshToken ?? credential.refreshToken),
+    expiresAtMs: secondsToMs(expiresAt),
+  }
+}
+
+/**
+ * 拉取账号的最新资料（昵称）。
+ *
+ * 导入时固化的昵称只是当时的快照——用户后来在 Trae 里改了名字，
+ * 界面却永远显示旧名，看起来像被硬编码了。所以这里提供能力，
+ * 由凭据库在合适的时机调用并写回。
+ *
+ * 失败不抛错：昵称是展示信息，拿不到就让旧的继续用。
+ *
+ * @returns {Promise<{nickname:string}|null>} 拿不到返回 null
+ */
+export async function fetchUserInfo(credential) {
+  try {
+    const envelope = await postJson(`${OAUTH_HOST}/cloudide/api/v3/trae/GetUserInfo`, {
+      headers: baseHeaders({ 'x-cloudide-token': credential.accessToken }),
+      body: { ReqSource: 'IDE', IDEVersion: IDE_VERSION },
+    })
+    const result = envelope.Result ?? envelope
+    if (!result?.UserID) return null
+    return { nickname: String(result.ScreenName ?? '') }
+  } catch {
+    return null
+  }
+}
+
+// ---------------------------------------------------------------------------
+// 凭据库
+// ---------------------------------------------------------------------------
+
+/**
+ * Trae 凭据库。
+ *
+ * 与 WorkBuddy 的 CredentialStore 结构一致（串行写队列、原子替换），
+ * 但字段与刷新端点不同，所以单独一份——强行复用一个类会让两边都难改。
+ */
+export class TraeCredentialStore {
+  constructor({ dshHome }) {
+    this.file = join(dshHome, '.trae-pool.json')
+    this.writeQueue = Promise.resolve()
+    /** 每账号上次刷新昵称的时刻：昵称变化很慢，不值得频繁打接口。 */
+    this.nicknameRefreshAt = new Map()
+  }
+
+  async read() {
+    try {
+      const doc = JSON.parse(await readFile(this.file, 'utf8'))
+      if (doc?.version !== FILE_VERSION || typeof doc.accounts !== 'object') {
+        return { version: FILE_VERSION, accounts: {} }
+      }
+      return doc
+    } catch {
+      return { version: FILE_VERSION, accounts: {} }
+    }
+  }
+
+  async write(doc) {
+    await mkdir(dirname(this.file), { recursive: true })
+    const tmp = `${this.file}.${process.pid}.${++tmpSeq}.tmp`
+    await writeFile(tmp, JSON.stringify(doc, null, 2), { encoding: 'utf8', mode: 0o600 })
+    await rename(tmp, this.file)
+  }
+
+  /** 串行写：避免并发 read-modify-write 互相覆盖。 */
+  enqueueWrite(mutate) {
+    const run = this.writeQueue.then(async () => {
+      const doc = await this.read()
+      await mutate(doc)
+      await this.write(doc)
+    })
+    this.writeQueue = run.catch(() => {})
+    return run
+  }
+
+  async list() {
+    const doc = await this.read()
+    return Object.values(doc.accounts).map(c => ({
+      id: c.id,
+      nickname: c.nickname ?? c.uid ?? c.id.slice(0, 8),
+      uid: c.uid,
+      expiresAtMs: c.expiresAtMs,
+    }))
+  }
+
+  async get(accountId) {
+    const doc = await this.read()
+    return doc.accounts[accountId]
+  }
+
+  async save(credential) {
+    await this.enqueueWrite(doc => { doc.accounts[credential.id] = credential })
+    return credential
+  }
+
+  async remove(accountId) {
+    let removed = false
+    await this.enqueueWrite(doc => {
+      if (doc.accounts[accountId] !== undefined) {
+        delete doc.accounts[accountId]
+        removed = true
+      }
+    })
+    return removed
+  }
+
+  /**
+   * 取可用凭证：快到期就刷新，刷新失败但未过期则沿用旧的。
+   * 与 WorkBuddy 侧同样的兜底策略——一次网络抖动不该让账号失效。
+   */
+  async usable(accountId) {
+    const credential = await this.get(accountId)
+    if (credential === undefined) throw new Error(`账号不存在：${accountId}`)
+    if (credential.expiresAtMs - Date.now() > REFRESH_MARGIN_MS) {
+      // 命中现有凭证：顺带看看昵称要不要更新（带冷却，失败静默）。
+      // 不 await——昵称晚一点到没关系，别拖慢请求主链路。
+      this.refreshNicknameLater(accountId)
+      return credential
+    }
+
+    try {
+      const fresh = await refreshCredential(credential)
+      await this.save(fresh)
+      return fresh
+    } catch (error) {
+      if (credential.expiresAtMs > Date.now()) return credential
+      throw new Error(`账号 ${credential.nickname ?? accountId} 已过期且刷新失败：${error.message}`)
+    }
+  }
+
+  /**
+   * 后台刷新昵称（冷却 6 小时）。
+   *
+   * 改了名就要能跟上：拿最新 ScreenName 写回磁盘。异步执行、失败静默——
+   * 它只是展示信息，任何问题都不该影响请求本身。
+   */
+  refreshNicknameLater(accountId) {
+    const last = this.nicknameRefreshAt.get(accountId) ?? 0
+    const NICKNAME_REFRESH_INTERVAL = 6 * 3600 * 1000
+    if (Date.now() - last < NICKNAME_REFRESH_INTERVAL) return
+    this.nicknameRefreshAt.set(accountId, Date.now())
+    void (async () => {
+      const credential = await this.get(accountId)
+      if (credential === undefined) return
+      const info = await fetchUserInfo(credential)
+      if (info === null || info.nickname === '' || info.nickname === credential.nickname) return
+      await this.save({ ...credential, nickname: info.nickname })
+    })().catch(() => {})
+  }
+
+  /** 保活：把快过期的账号提前刷新，避免闲置到失去刷新能力。 */
+  async keepAlive(maxIdleDays = 3) {
+    const threshold = maxIdleDays * 24 * 3600 * 1000
+    const result = { refreshed: 0, failed: 0, skipped: 0 }
+    for (const account of await this.list()) {
+      const record = await this.get(account.id)
+      if (record === undefined) continue
+      if (record.expiresAtMs - Date.now() > threshold) { result.skipped += 1; continue }
+      try {
+        await this.save(await refreshCredential(record))
+        result.refreshed += 1
+      } catch {
+        result.failed += 1
+      }
+    }
+    return result
+  }
+}
+
+/** 临时文件名序号：并发写入时不冲突。 */
+let tmpSeq = 0
+
+/** 打开 Trae 凭据库。 */
+export function openTraeStore(dshHome) {
+  return new TraeCredentialStore({ dshHome })
+}
+
+// 导出常量供其他模块使用
+export const TRAE = {
+  AGENT_HOST,
+  UG_HOST,
+  OAUTH_HOST,
+  SOLO_FUNCTION,
+  DEFAULT_MODEL,
+  IDE_VERSION,
+  soloHeaders,
+  ugHeaders,
+  postJson,
+}