dsh-bili-watch 0.2.15 → 0.2.17

package/README.md

@@ -146,7 +146,8 @@ macOS/Linux 的 ffmpeg 用系统包管理器装，脚本只给提示。其余目
 
 用户的消息里只有一条 B 站视频链接（BV 号或 `b23.tv` 短链）时，插件往消息流里补一句提示，告诉 agent 有这条链接可读、`peek` 最便宜。它**不会**替用户调用工具，也不会自动跑起来——只是让「贴链接不说话」这种场景不容易被漏掉。
 
-- `b23.tv` 短链只提示不展开（插件不解析短链，会请用户换成浏览器地址栏里的完整链接）。
+- `b23.tv` 短链会先自动展开：问公共 DNS（`223.5.5.5` → `119.29.29.29` → `1.1.1.1`）拿真实 IP，再直连读 302 里的 BV 号，绕开系统 DNS；展开失败才提示用户换成浏览器地址栏里的完整链接。
+- 为什么要兜底：部分内网 DNS 会把 `b23.tv` 答成 `31.13.x.x`（Facebook 段），这种环境下只有公共 DNS 这条路能展开（2026-10-23 实测）。
 - 关掉：`deps/ui-config.json` 里 `"autoHint": false`。
 - 消息里除了链接还有别的文字（问题、指令）时不提示，避免打断正常对话。
 

package/auto-trigger.js

@@ -9,7 +9,7 @@
 const RE_FULL = /https?:\/\/(?:www\.|m\.)?bilibili\.com\/video\/(BV[0-9A-Za-z]{10})(?:[/?#][^\s<>"'）)]*)?/gi
 // 短链：能识别，但 look.mjs 不能展开（tools/look.mjs:1249-1251），调用方要单独处理
 const RE_SHORT = /https?:\/\/b23\.tv\/[0-9A-Za-z]{5,12}(?:[/?#][^\s<>"'）)]*)?/gi
-// ?bvid=BV… 形态（tools/look.mjs:1254 支持）
+// ?bvid=BV… 形态（tools/look.mjs:1254 支持）；必须挂在 bilibili.com 域名下，避免任意站点的同名参数被当成视频
 const RE_BVID_Q = /https?:\/\/(?:www\.|m\.)?bilibili\.com\/video\/[^\s<>"'）)]*?[?&]bvid=(BV[0-9A-Za-z]{10})[^\s<>"'）)]*/gi
 // 裸 BV 号：前后不许粘字母数字
 const RE_BARE = /(?<![0-9A-Za-z])BV[0-9A-Za-z]{10}(?![0-9A-Za-z])/g

package/client.js

@@ -99,6 +99,7 @@ window.__ModuleLoader__.load({
     function Panel() {
       const [st, setSt] = React.useState(null)
       const [err, setErr] = React.useState('')
+      const [saveErr, setSaveErr] = React.useState('')
       const [msg, setMsg] = React.useState('')
       const [busy, setBusy] = React.useState('')
       const [days, setDays] = React.useState('7')
@@ -294,15 +295,24 @@ window.__ModuleLoader__.load({
                   const v = e.target.checked
                   try {
                     await jpost('/config', { showInSettings: v })
+                    setSaveErr('')
                     try { window.__biliWatchSyncSettings && window.__biliWatchSyncSettings(v) } catch {}
                     await load()
-                  } catch {}
+                  } catch (e) {
+                    // 用独立状态：load() 成功后会把 err 清空，写进 err 等于这条提示活不过一帧。
+                    setSaveErr(`保存失败：服务端未确认，刷新后可能回滚（${String(e?.message || e)}）`)
+                    await load()
+                  }
                 },
               }),
               h('span', { 'data-bl-name': '' }, '在设置页也显示'),
             ),
           ),
           h('div', { 'data-bl-note': '' }, '关掉只隐藏设置页入口；插件详情页这块面板一直保留。'),
+          saveErr ? h('div', { 'data-bl-note': '', style: { color: '#c0392b' } }, saveErr) : null,
+          (st.warnings || []).length
+            ? h('div', { 'data-bl-note': '', style: { color: '#b36b00' } }, st.warnings.join('；'))
+            : null,
         ),
         h('div', { 'data-bl-head': '' },
           h('span', { 'data-bl-title': '' }, '依赖与状态'),
@@ -390,6 +400,22 @@ window.__ModuleLoader__.load({
       )
     }
 
+    // 多个插件的顶部横幅都固定在 top:0，会互相盖住；按 DOM 顺序统一往下排。
+    function relayoutBanners() {
+      const els = document.querySelectorAll('[data-pmc-banner],[data-ms-overlay],[data-bl-overlay]');
+      let top = 0;
+      for (const el of els) {
+        const height = el.offsetHeight;
+        if (!height) continue;
+        el.style.top = top + 'px';
+        top += height;
+      }
+    }
+    if (typeof window !== 'undefined' && !window.__dshBannerRelayout) {
+      window.__dshBannerRelayout = setInterval(relayoutBanners, 2000);
+      setTimeout(relayoutBanners, 300);
+    }
+
     // 缺依赖横幅（shell.overlay）
     function OverlayBanner() {
       const [st, setSt] = React.useState(null)

package/cordis.patch.yml

@@ -3,3 +3,4 @@
 - insert:
     - id: dsh-bili-watch
       name: dsh-bili-watch
+      disabled: true

package/index.js

@@ -41,19 +41,35 @@ const COMMANDS = ['search', 'hot', 'peek', 'view', 'sub', 'comments', 'danmaku',
 
 // 设置页端点读的落点，与 tools/look.mjs 同源（look.mjs:41/52/54/46/48/51）
 const DEPS = join(HERE, 'deps')
-const PROJ = process.env.BILI_WATCH_PROJ || DEPS
+// 本机路径来源：env 优先，其次 deps\deps-config.json（写文件即生效，不必重启），最后 deps 自身。
+// 配置文件不进包（deps 只留空目录），发布时无需脱敏。
+// 解析失败不写 stdout/stderr（会污染 --format json 与 PowerShell 管道），
+// 而是记进 cfgWarning，由 /status 的 warnings 带给面板；ENOENT（没配过）不算异常。
+let cfgWarning = null
+function depsCfg() {
+  try { return JSON.parse(readFileSync(join(DEPS, 'deps-config.json'), 'utf8')) } catch (e) {
+    if (e?.code !== 'ENOENT') {
+      cfgWarning = `deps-config.json 解析失败，已改用 deps 目录：${String(e?.message || e)}`
+    }
+    return {}
+  }
+}
+function projDir() { return process.env.BILI_WATCH_PROJ || depsCfg().proj || DEPS }
 const CRED_FILE = join(DEPS, 'credential.json')
 const LAST_RUN = join(DEPS, 'last-run.json')
 const CACHE = join(tmpdir(), 'bili-watch')
 const PY_DIR = process.platform === 'win32' ? 'Scripts' : 'bin'
 const PY_EXE = process.platform === 'win32' ? 'python.exe' : 'python'
-const VENV_ASR = [join(DEPS, '.venv-asr', PY_DIR, PY_EXE), join(PROJ, '.venv-asr', PY_DIR, PY_EXE)]
-const VENV_OCR = [join(DEPS, '.venv-ocr', PY_DIR, PY_EXE), join(PROJ, '.venv-ocr', PY_DIR, PY_EXE)]
-const FFMPEG_CANDS = [
-  process.env.BILI_WATCH_FFMPEG,
-  join(DEPS, process.platform === 'win32' ? 'ffmpeg.exe' : 'ffmpeg'),
-].filter(Boolean)
-const HF_HOME = [join(DEPS, '.hf-home'), join(PROJ, '.hf-home')]
+function venvAsr() { const p = projDir(); return [join(DEPS, '.venv-asr', PY_DIR, PY_EXE), join(p, '.venv-asr', PY_DIR, PY_EXE)] }
+function venvOcr() { const p = projDir(); return [join(DEPS, '.venv-ocr', PY_DIR, PY_EXE), join(p, '.venv-ocr', PY_DIR, PY_EXE)] }
+function ffmpegCands() {
+  return [
+    process.env.BILI_WATCH_FFMPEG,
+    depsCfg().ffmpeg,
+    join(DEPS, process.platform === 'win32' ? 'ffmpeg.exe' : 'ffmpeg'),
+  ].filter(Boolean)
+}
+function hfHomes() { const p = projDir(); return [join(DEPS, '.hf-home'), join(p, '.hf-home')] }
 const SCRIPTS = join(HERE, 'scripts')
 const CACHE_CFG = join(DEPS, 'cache-config.json')
 const UI_CFG = join(DEPS, 'ui-config.json')
@@ -209,7 +225,7 @@ async function loginPollOnce(key) {
           null,
           2,
         ),
-        'utf8',
+        { encoding: 'utf8', mode: 0o600 },
       )
     } catch (e) {
       return { ok: false, state: 'error', why: `凭证写入失败：${e?.message ?? e}` }
@@ -230,9 +246,9 @@ function writeLastRun(command, code) {
 function readLastRun() {
   try {
     const j = JSON.parse(readFileSync(LAST_RUN, 'utf8'))
-    return { time: j.time ?? null, command: j.command ?? null, ok: j.ok ?? null }
+    return { time: j.time ?? null, command: j.command ?? null, code: j.code ?? null, ok: j.ok ?? null }
   } catch {
-    return { time: null, command: null, ok: null }
+    return { time: null, command: null, code: null, ok: null }
   }
 }
 
@@ -354,7 +370,7 @@ function autoCleanCache() {
 
 /** 面板上的依赖行：一条依赖一个状态 + 体积 + 是否需要下载。 */
 function depRows() {
-  const ffmpeg = FFMPEG_CANDS.find((p) => existsSync(p)) || ''
+  const ffmpeg = ffmpegCands().find((p) => existsSync(p)) || ''
   let ffmpegSize = 0
   try {
     ffmpegSize = ffmpeg ? statSync(ffmpeg).size : 0
@@ -364,9 +380,9 @@ function depRows() {
   try {
     ytdlpSize = existsSync(ytdlp) ? statSync(ytdlp).size : 0
   } catch {}
-  const asrPython = VENV_ASR.find((p) => existsSync(p)) || ''
-  const ocrPython = VENV_OCR.find((p) => existsSync(p)) || ''
-  const model = HF_HOME.find((d) => existsSync(d)) || ''
+  const asrPython = venvAsr().find((p) => existsSync(p)) || ''
+  const ocrPython = venvOcr().find((p) => existsSync(p)) || ''
+  const model = hfHomes().find((d) => existsSync(d)) || ''
   const rows = [
     {
       id: 'ffmpeg',
@@ -503,6 +519,36 @@ function sendJson(res, code, obj) {
   res.end(JSON.stringify(obj))
 }
 
+/** 写端点的同源闸：Host 必须是回环（挡 DNS rebinding），Origin 主机名须等于 Host，sec-fetch-site 只认 same-origin/none。 */
+const LOOPBACK = new Set(["127.0.0.1", "localhost", "::1", "[::1]"])
+/** 从 Host 头取主机名：同时支持 example.com:3080 与 [::1]:3080。 */
+function hostNameOf(value) {
+  const raw = String(value ?? "").trim().toLowerCase()
+  if (!raw) return ""
+  if (raw.startsWith("[")) {
+    const close = raw.indexOf("]")
+    return close >= 0 ? raw.slice(0, close + 1) : raw
+  }
+  const colon = raw.lastIndexOf(":")
+  return colon >= 0 && /^\d+$/.test(raw.slice(colon + 1)) ? raw.slice(0, colon) : raw
+}
+function sameOriginBlocked(req) {
+  const host = hostNameOf(req.headers?.host)
+  // DNS rebinding：攻击者把自己的域名解析到 127.0.0.1，Origin 与 Host 就都是他自己的域名，
+  // 只比两者相等挡不住（2026-10-24 wb 第二轮实测 Host/Origin 同为 evil.example:3080 返回 200）。
+  // 所以先要求 Host 是回环，再比 Origin。
+  if (!LOOPBACK.has(host)) return "非本机请求被拒绝（Host 必须是回环地址）"
+  const origin = req.headers?.origin
+  if (origin) {
+    let oh = ""
+    try { oh = new URL(origin).hostname } catch { return "非法 Origin 头" }
+    if (oh !== host && !(LOOPBACK.has(host) && LOOPBACK.has(oh))) return "跨源访问被拒绝"
+  }
+  const site = req.headers?.["sec-fetch-site"]
+  if (site && site !== "same-origin" && site !== "none") return `跨站请求被拒绝（sec-fetch-site=${site}）`
+  return null
+}
+
 /** 读 POST 的小 JSON body；读不到就返回 {}，端点自己决定默认值。 */
 function readJsonBody(req) {
   return new Promise((resolve) => {
@@ -627,8 +673,8 @@ function apply(ctx) {
         const r = matchSingleVideoLink(text)
         if (!r.hit) return null
         const line = r.kind === 'short'
-          // 短链：look.mjs 不能展开，只让用户展开
-          ? '[bili-watch] 这条消息只有一条 b23.tv 短链。本插件不能展开短链，先请用户把浏览器地址栏里的完整链接发过来；不要凭短链猜内容。'
+          // 短链：look.mjs 会先按公共 DNS 展开；展开失败才让用户贴 BV 号
+          ? '[bili-watch] 这条消息只有一条 b23.tv 短链。要读内容就调 bili_watch，它会先按公共 DNS 展开短链；只有展开失败时才请用户贴 BV 号。不要凭短链猜内容。'
           : `[bili-watch] 这条消息只有一条 B 站视频链接（BV ${r.bv}）。要读内容就调 bili_watch（command=peek 最便宜）；用户没说要看时不要自己跑。`
         return createUserMessage({
           content: [{ type: 'text', text: line }],
@@ -779,6 +825,8 @@ function apply(ctx) {
           kind: 'prefix',
           path: '/api/bili-watch',
           handler: async (req, res) => {
+            const blocked = sameOriginBlocked(req)
+            if (blocked) return sendJson(res, 403, { ok: false, error: blocked })
             try {
               const url = new URL(req.url, 'http://127.0.0.1')
               if (req.method === 'GET' && url.pathname === '/api/bili-watch/status') {
@@ -791,6 +839,7 @@ function apply(ctx) {
                     cache: { ...dirStat(CACHE), ...cacheCfg(), lastAutoClean: cleaned },
                     lastRun: readLastRun(),
                     ui: uiCfg(),
+                    warnings: cfgWarning ? [cfgWarning] : [],
                   },
                 })
               }

package/package.json

@@ -1,78 +1,78 @@
-{
-  "name": "dsh-bili-watch",
-  "version": "0.2.15",
-  "private": false,
-  "description": "Reads Bilibili (and generic URLs via yt-dlp) into text for DSH agents: search, hot, metadata, comments, danmaku, AI subtitles, local ASR, frame OCR.",
-  "type": "module",
-  "main": "index.js",
-  "bin": {
-    "bili-watch": "tools/look.mjs"
-  },
-  "exports": {
-    ".": "./index.js",
-    "./client": "./client.js",
-    "./cordis.patch.yml": "./cordis.patch.yml",
-    "./package.json": "./package.json"
-  },
-  "dsh": {
-    "bundle": {
-      "patch": "./cordis.patch.yml"
-    },
-    "client": {
-      "platform": "web",
-      "inject": [
-        "@deepseek-ai/dsh-client-runtime",
-        "@deepseek-ai/dsh-client-ui-settings"
-      ]
-    }
-  },
-  "files": [
-    "index.js",
-    "client.js",
-    "cordis.patch.yml",
-    "tools/",
-    "scripts/",
-    "deps/.gitkeep",
-    "deps/_bili-asr.py",
-    "auto-trigger.js",
-    "LICENSE"
-  ],
-  "keywords": [
-    "bilibili",
-    "video",
-    "asr",
-    "ocr",
-    "danmaku",
-    "dsh",
-    "deepseek",
-    "subtitles"
-  ],
-  "author": "Sacredbluedragon",
-  "license": "MIT",
-  "repository": {
-    "type": "git",
-    "url": "git+https://github.com/Sacredbluedragon/dsh-bili-watch.git"
-  },
-  "bugs": {
-    "url": "https://github.com/Sacredbluedragon/dsh-bili-watch/issues"
-  },
-  "homepage": "https://github.com/Sacredbluedragon/dsh-bili-watch#readme",
-  "engines": {
-    "node": ">=22"
-  },
-  "dependencies": {
-    "qrcode": "^1.5.4"
-  },
-  "peerDependencies": {
-    "@deepseek-ai/dsh": ">=0.2.0-rc.1 <0.3.0-0",
-    "@deepseek-ai/dsh-tools": ">=0.2.0-rc.1 <0.3.0-0"
-  },
-  "peerDependenciesMeta": {
-    "@deepseek-ai/dsh": {
-      "optional": true
-    },
-    "@deepseek-ai/dsh-tools": {
-      "optional": true
-    }
-  }
-}
+{
+    "name":  "dsh-bili-watch",
+    "version":  "0.2.17",
+    "private":  false,
+    "description":  "Reads Bilibili (and generic URLs via yt-dlp) into text for DSH agents: search, hot, metadata, comments, danmaku, AI subtitles, local ASR, frame OCR.",
+    "type":  "module",
+    "main":  "index.js",
+    "bin":  {
+                "bili-watch":  "tools/look.mjs"
+            },
+    "exports":  {
+                    ".":  "./index.js",
+                    "./client":  "./client.js",
+                    "./cordis.patch.yml":  "./cordis.patch.yml",
+                    "./package.json":  "./package.json"
+                },
+    "dsh":  {
+                "bundle":  {
+                               "patch":  "./cordis.patch.yml"
+                           },
+                "client":  {
+                               "platform":  "web",
+                               "inject":  [
+                                              "@deepseek-ai/dsh-client-runtime",
+                                              "@deepseek-ai/dsh-client-ui-settings"
+                                          ]
+                           }
+            },
+    "files":  [
+                  "index.js",
+                  "client.js",
+                  "cordis.patch.yml",
+                  "tools/",
+                  "scripts/",
+                  "deps/.gitkeep",
+                  "deps/_bili-asr.py",
+                  "auto-trigger.js",
+                  "LICENSE"
+              ],
+    "keywords":  [
+                     "bilibili",
+                     "video",
+                     "asr",
+                     "ocr",
+                     "danmaku",
+                     "dsh",
+                     "deepseek",
+                     "subtitles"
+                 ],
+    "author":  "Sacredbluedragon",
+    "license":  "MIT",
+    "repository":  {
+                       "type":  "git",
+                       "url":  "git+https://github.com/Sacredbluedragon/dsh-bili-watch.git"
+                   },
+    "bugs":  {
+                 "url":  "https://github.com/Sacredbluedragon/dsh-bili-watch/issues"
+             },
+    "homepage":  "https://github.com/Sacredbluedragon/dsh-bili-watch#readme",
+    "engines":  {
+                    "node":  "\u003e=22"
+                },
+    "dependencies":  {
+                         "qrcode":  "^1.5.4"
+                     },
+    "peerDependencies":  {
+                             "@deepseek-ai/dsh":  "\u003e=0.2.0-rc.1 \u003c0.3.0-0",
+                             "@deepseek-ai/dsh-tools":  "\u003e=0.2.0-rc.1 \u003c0.3.0-0"
+                         },
+    "peerDependenciesMeta":  {
+                                 "@deepseek-ai/dsh":  {
+                                                          "optional":  true
+                                                      },
+                                 "@deepseek-ai/dsh-tools":  {
+                                                                "optional":  true
+                                                            }
+                             }
+}

package/tools/look.mjs

@@ -36,9 +36,17 @@ import { tmpdir } from 'node:os'
 import { fileURLToPath } from 'node:url'
 
 const HERE = dirname(fileURLToPath(import.meta.url))
-// 依赖自包含：优先用插件目录 deps\ 下的环境，缺失时回退 BILI_WATCH_PROJ
+// 依赖自包含：优先用插件目录 deps\ 下的环境，缺失时回退 BILI_WATCH_PROJ / deps\deps-config.json
 const DEPS = join(HERE, '..', 'deps')
-const PROJ = process.env.BILI_WATCH_PROJ || DEPS
+// 解析失败不静默：写 stderr（不进 stdout，JSON 模式安全）；ASCII 前缀避免 PS 管道按 GBK 渲染成乱码。
+function readDepsCfg() {
+  try { return JSON.parse(readFileSync(join(DEPS, 'deps-config.json'), 'utf8')) } catch (e) {
+    if (e?.code !== 'ENOENT') process.stderr.write(`[bili-watch] deps-config.json parse failed, using deps dir: ${String(e?.message || e)}\n`)
+    return {}
+  }
+}
+const depsCfg = readDepsCfg()
+const PROJ = process.env.BILI_WATCH_PROJ || depsCfg.proj || DEPS
 const pick = (...cands) => cands.find((p) => existsSync(p)) ?? cands[cands.length - 1]
 const PY_DIR = process.platform === 'win32' ? 'Scripts' : 'bin'
 const PY_EXE = process.platform === 'win32' ? 'python.exe' : 'python'
@@ -47,7 +55,7 @@ const ASR_SCRIPT = pick(join(DEPS, '_bili-asr.py'), join(PROJ, '_bili-asr.py'))
 const OCR_PY = pick(join(DEPS, '.venv-ocr', PY_DIR, PY_EXE), join(PROJ, '.venv-ocr', PY_DIR, PY_EXE))
 const HF_HOME_DIR = pick(join(DEPS, '.hf-home'), join(PROJ, '.hf-home'))
 const OCR_SCRIPT = join(HERE, 'ocr.py')
-const FFMPEG_CAND = process.env.BILI_WATCH_FFMPEG || ''
+const FFMPEG_CAND = process.env.BILI_WATCH_FFMPEG || depsCfg.ffmpeg || ''
 // 缺 ffmpeg 时的统一指路（一键脚本 / 环境变量 / --ffmpeg 三条出路）
 const FFMPEG_HINT =
   '跑 scripts/fetch-deps.ps1 -Target ffmpeg（macOS/Linux：bash scripts/fetch-deps.sh 或系统包管理器装），或设 BILI_WATCH_FFMPEG，或用 --ffmpeg 传路径'
@@ -318,14 +326,25 @@ async function downloadTo(url, dest) {
 }
 
 // 同目录并发保护：拿到锁的进程抽帧，另一个等它写完再按缓存判
+// 判锁的主人是否还活着：被 Ctrl-C / 超时 kill 的进程会留下 .lock，不判活就永远等一个不存在的进程
+function pidAlive(pid) {
+  if (!Number.isInteger(pid) || pid <= 0) return false
+  try { process.kill(pid, 0); return true } catch (e) { return e.code === 'EPERM' }
+}
 function tryLock(dir) {
   const f = join(dir, '.lock')
-  try {
-    writeFileSync(f, String(process.pid), { flag: 'wx' })
-    return f
-  } catch {
-    return null
+  for (let i = 0; i < 2; i++) {
+    try {
+      writeFileSync(f, String(process.pid), { flag: 'wx' })
+      return f
+    } catch {
+      let owner = 0
+      try { owner = Number(readFileSync(f, 'utf8').trim()) } catch {}
+      if (pidAlive(owner)) return null
+      unlock(f)
+    }
   }
+  return null
 }
 function unlock(f) {
   try {
@@ -1585,15 +1604,131 @@ const flag = (name) => argv.includes(`--${name}`)
 
 // ── 通用入口（yt-dlp）：B 站外任意 http(s) 视频 ──────────────────────
 // 目标可以是裸 BV 号，也可以是 App/网页分享出来的整条链接（带 buvid/spmid/unique_k 等参数）。
-// 只认链接里的 BV 号；短链 b23.tv 需要网络重定向解析，这里不支持，会按原样返回让调用方看到错误。
-function resolveSource(input) {
+// 短链 b23.tv 先按公共 DNS 展开（本机内网 DNS 会把它答成 31.13.x.x 这类错误地址，见 2026-10-23 实测）。
+const B23_DNS_SERVERS = ['223.5.5.5', '119.29.29.29', '1.1.1.1']
+
+/**
+ * 展开 b23.tv 短链：绕过系统 DNS，直接问公共 DNS 拿 IP，再按 IP 直连读 30x 的 Location。
+ * 返回 { bv } 或 { error }：error 区分 dns（没解析出来）/ network（连不上）/ not-found（短码不存在）/ unknown。
+ * 注意 b23.tv 对不存在的短码返回 HTTP 200 + {"code":-404,...}，所以「没拿到 Location」不等于网络坏
+ * （2026-10-24 wb 第二轮实测，归因错会把用户引向查 DNS）。
+ */
+async function expandB23(shortUrl) {
+  const m = String(shortUrl).match(/b23\.tv\/([A-Za-z0-9]+)/i)
+  if (!m) return { error: 'unknown' }
+  const code = m[1]
+  let ips = []
+  try {
+    const { Resolver } = await import('node:dns/promises')
+    const resolver = new Resolver({ timeout: 3000, tries: 2 })
+    resolver.setServers(B23_DNS_SERVERS)
+    ips = await resolver.resolve4('b23.tv')
+  } catch { ips = [] }
+  // 31.13.0.0/16 是污染常见落点（Facebook 段），直接剔掉
+  ips = (ips || []).filter((ip) => /^\d+\.\d+\.\d+\.\d+$/.test(ip) && !/^31\.13\./.test(ip)).slice(0, 3)
+  if (ips.length === 0) return { error: 'dns' }
+  const { request } = await import('node:https')
+  let netErr = false
+  for (const ip of ips) {
+    let loc = ''
+    let body = ''
+    try {
+      const got = await new Promise((resolve, reject) => {
+        const req = request({
+          host: 'b23.tv', servername: 'b23.tv', port: 443, path: `/${code}`,
+          method: 'GET',
+          headers: { host: 'b23.tv', 'user-agent': UA, referer: REF, accept: '*/*' },
+          // Node 20+ 开了 autoSelectFamily 时会用 {all:true} 回调，两种签名都要兼容
+          lookup: (_hostname, opts, cb) => (opts && opts.all
+            ? cb(null, [{ address: ip, family: 4 }])
+            : cb(null, ip, 4)),
+          timeout: 6000,
+          autoSelectFamily: false,
+        }, (res) => {
+          let buf = ''
+          res.setEncoding('utf8')
+          res.on('data', (chunk) => {
+            if (buf.length < 8192) buf += chunk
+            else res.destroy()
+          })
+          res.on('end', () => resolve({ location: String(res.headers.location || ''), body: buf }))
+          res.on('error', () => resolve({ location: String(res.headers.location || ''), body: buf }))
+        })
+        req.on('timeout', () => req.destroy(new Error('timeout')))
+        req.on('error', reject)
+        req.end()
+      })
+      loc = got.location
+      body = got.body
+    } catch { netErr = true; continue }
+    // 正常短链是 302 + Location；少数短链返回带跳转的 HTML/JS，再从正文里捞一次
+    const bv = `${loc}\n${body}`.match(/BV[0-9A-Za-z]{10}/)
+    if (bv) return { bv: bv[0] }
+    // P2-3：有的旧视频短链跳到 /video/av<数字>，里面没有 BV 号。先换成 bvid 再返回，
+    // 让下游只认一种标识。
+    const av = `${loc}\n${body}`.match(/\/video\/av(\d+)/i)
+    if (av) {
+      const converted = await aidToBvid(av[1])
+      if (converted) return { bv: converted }
+    }
+    // 没拿到跳转：b23.tv 对不存在的短码回 200 + JSON error body（实测 code=-404），
+    // 这种情况是「链接不对」，不是「DNS 坏了」。
+    let bodyCode = null
+    try {
+      const j = JSON.parse(body)
+      if (j && typeof j.code === 'number') bodyCode = j.code
+    } catch { /* 不是 JSON，继续看下一个 IP */ }
+    if (bodyCode !== null && bodyCode !== 0) return { error: 'not-found', code: bodyCode }
+  }
+  return { error: netErr ? 'network' : 'unknown' }
+}
+
+/** P2-3：av 号转 bvid。view 接口两个都收，但下游只认 bvid，这里一次性换掉。 */
+async function aidToBvid(aid) {
+  try {
+    const r = await fetch(`https://api.bilibili.com/x/web-interface/view?aid=${encodeURIComponent(aid)}`, {
+      headers: { 'user-agent': UA, referer: REF, accept: 'application/json' },
+      signal: AbortSignal.timeout(5000),
+    })
+    const j = await r.json()
+    const bv = j?.data?.bvid
+    return typeof bv === 'string' && /^BV[0-9A-Za-z]{10}$/.test(bv) ? bv : null
+  } catch {
+    return null
+  }
+}
+
+async function resolveSource(input) {
   const s = String(input ?? '').trim()
   if (!s) return { type: 'empty' }
   if (/^https?:\/\/b23\.tv\//i.test(s)) {
-    return { type: 'error', message: 'b23.tv 短链要先展开：在浏览器打开它，把地址栏里的完整 https://www.bilibili.com/video/BV... 链接复制过来' }
+    const r = await expandB23(s)
+    if (r && r.bv) return { type: 'bilibili', bv: r.bv }
+    const why = r?.error
+    const msg = why === 'not-found'
+      ? `b23.tv 短链展开失败：这个短码不存在（b23.tv 返回 code=${r.code}，不是跳转）。先确认链接有没有复制完整；也可以贴浏览器地址栏里的完整链接或 BV 号。`
+      : why === 'dns'
+        ? 'b23.tv 短链展开失败：本机与公共 DNS 都没解析出 b23.tv 的地址（内网 DNS 会把它答成 31.13.x.x 这类错误地址）。请贴完整链接或 BV 号。'
+        : why === 'network'
+          ? 'b23.tv 短链展开失败：域名解析到了，但连接超时或被拦。请稍后重试，或直接贴完整链接 / BV 号。'
+          : 'b23.tv 短链展开失败：没拿到跳转，原因不明。请贴完整链接或 BV 号。'
+    return { type: 'error', message: msg }
   }
   const direct = s.match(/BV[0-9A-Za-z]{10}/)
   if (direct) return { type: 'bilibili', bv: direct[0] }
+  // 裸 av 号（用户从别处抄来的 aid）：先转 BV，转不出来给出可操作的提示。
+  const bareAv = s.match(/^av(\d+)$/i)
+  if (bareAv) {
+    const converted = await aidToBvid(bareAv[1])
+    if (converted) return { type: 'bilibili', bv: converted }
+    return { type: 'error', message: `av 号 ${s} 转换失败。请贴完整链接 https://www.bilibili.com/video/av${bareAv[1]}，或直接给 BV 号。` }
+  }
+  // 完整链接也可能是 av 型（老视频），一并换成 bv，避免落到 generic 走 yt-dlp
+  const avDirect = s.match(/\/video\/av(\d+)/i)
+  if (avDirect) {
+    const converted = await aidToBvid(avDirect[1])
+    if (converted) return { type: 'bilibili', bv: converted }
+  }
   const q = s.match(/[?&]bvid=([^&#]+)/)
   if (q && /^BV[0-9A-Za-z]{10}$/.test(q[1])) return { type: 'bilibili', bv: q[1] }
   if (/^https?:\/\//i.test(s)) return { type: 'generic', url: s }
@@ -1815,7 +1950,7 @@ let BV = ''
 let src = { type: 'empty' }
 let srcErr = ''
 try {
-  src = resolveSource(pos[1])
+  src = await resolveSource(pos[1])
   if (src.type === 'bilibili') BV = src.bv
 } catch (e) {
   srcErr = e?.message ?? String(e)
@@ -1845,7 +1980,7 @@ const HELP = `用法:
   --format：sub 支持 text|srt|json|md|txt（srt/md 带真时间戳，md 的时间戳可跳回原片，txt 是一行一句）；
   text 支持 text|json|md（json 带时间轴口径：字幕 exact / 转写与 OCR 是估算）；
   comments 与 danmaku 支持 json（stdout 只有 JSON，可接 jq）。
-  B 站目标可以直接贴分享链接，会自己提取 BV 号；短链 b23.tv/... 要先展开成完整链接。
+  B 站目标可以直接贴分享链接，会自己提取 BV 号；短链 b23.tv/... 也会先按公共 DNS 展开成 BV 号。
   通用视频 URL（YouTube/X 等）需要 yt-dlp：跑 scripts/fetch-deps.ps1 -Target ytdlp 装到 deps\\yt-dlp.exe（或设 BILI_WATCH_YTDLP / 系统 PATH）。
 `
 try {