dsh-chubby-whale 1.1.64 → 1.1.65

package/CHANGELOG.md

@@ -4,6 +4,32 @@
 
 ## [未发布]
 
+## [1.1.65] - 2026-11-07
+
+### 修复（B93 音色白名单同源分身）
+- **音色白名单只在客户端**：宿主 `/tts` 只做 `^[a-zA-Z0-9-]+# 更新日志
+
+本文件格式遵循 Keep a Changelog，版本号遵循语义化版本。版本号唯一来源是 `package.json`；「未发布」一节记录已进 `main`、尚未发版的内容，发版时整节改为 `## [X.Y.Z] - YYYY-MM-DD`。
+
+，HTTP 直调 `ja-JP-NanamiNeural` 会原样进引擎（旧测试里甚至写着「现状快照：仍会收到它」）。白名单提到 `shared/voices.ts`（client/host 同一份），名单外**回落默认音色**（不 400，兼容旧调用方）并带 `x-tts-voice: fallback`
+- **路由内自建引擎兜底**：`opts.engine || createEdgeTtsEngine()` 与「引擎必须在装配层构造（否则没句柄 dispose）」冲突；改为 engine 必传，构造时缺即抛（fail-fast）
+- `ports.ts` 死字段 `voice?: string` 删除
+
+### 修复（B93 ASR 断连中止分身）
+- **客户端已放弃，宿主还在跑满 60s**：`/asr` 没有断连监听，客户端 30s 超时并重试后，宿主仍把第一次识别跑完（付费调用）
+- 现在 `watchClientGone` 三条判定（`req aborted` / `req close` 且未收完 / `res close` 且未写完）——**注意不能只看 close**：正常请求 body 读完就发 close，直接判会误伤每一个正常请求
+- 断开即 abort 上游；`AbortError` 按「客户端走了」处理：只留 `[asr] ASR-CLIENT-ABORT` 诊断，**不写缓存、不计失败、不回包**
+- `host/http.ts` 的 `fetchJson/fetchWithTimeout` 支持外部 `signal`（原来会被内部超时**覆盖**掉），与超时用 `AbortSignal.any` 组合
+
+### 修复（主代理）
+- **云端日预算并发超额**：判定与记账之间有 `await fetch`，并发 N 个请求一起通过判定（最多超额 `(N-1)×单次字数`）。改为发请求前**预占**、`finally` 释放，`usage()` 仍只报已用量
+- **朗读队列丢段无人结账**：`capQueue` 只返回数量，被丢段若带 `onDone` 永远没人调（叙述锁只能等时间窗自愈）；新增 `capQueueDetailed` 返回被丢段，`voice.ts` 补 `onDone` 并清预取引用
+- **云端谎报 `x-tts-voice: fallback`**：云端用配置里的 speaker、不接收 `voice`，成功出云端时摘掉该头
+
+### 测试
+- 新增 `test-voices-shared.mjs`(60)、`test-asr-abort.mjs`(46)，接入 `npm test`；`test-persona-cloud` +3、`test-voice-queue` +4、`test-voice-routes` +2
+- 全链 **3914 项 0 失败**（`node tools/test-count.mjs`：54 个套件，失败 0，未识别 0）
+
 ## [1.1.64] - 2026-11-07
 
 ### 修复（B92 客户端朗读播放路径分身）

package/dist/client.js

@@ -25,7 +25,7 @@
   }
 
   // src/client/version.ts
-  var VERSION = "1.1.64";
+  var VERSION = "1.1.65";
 
   // src/client/styles.ts
   var W = 240;
@@ -1337,7 +1337,7 @@
     }
   }
 
-  // src/client/voice/voices.ts
+  // src/shared/voices.ts
   var TTS_VOICES = [
     "zh-CN-XiaoyiNeural",
     "zh-CN-XiaoxiaoNeural",
@@ -1359,14 +1359,16 @@
   function normalizeVoiceName(name, fallback = DEFAULT_VOICE) {
     let n = "";
     try {
-      n = str(name).trim();
-    } catch (e) {
+      n = (name == null ? "" : String(name)).trim();
+    } catch {
       return fallback;
     }
     if (!n) return fallback;
     const hit = VOICE_BY_KEY.get(n.toLowerCase());
     return hit || fallback;
   }
+
+  // src/client/voice/voices.ts
   function readStoredVoiceName() {
     try {
       return normalizeVoiceName(localStorage.getItem("chubby-tts-voice"));
@@ -1485,12 +1487,11 @@
     return typeof token === "number" && token !== current;
   }
   var TTS_QUEUE_MAX = 200;
-  function capQueue(q, max = TTS_QUEUE_MAX) {
+  function capQueueDetailed(q, max = TTS_QUEUE_MAX) {
     const limit = Math.max(0, Math.floor(Number(max) || 0));
-    if (!Array.isArray(q) || q.length <= limit) return 0;
+    if (!Array.isArray(q) || q.length <= limit) return [];
     const drop = q.length - limit;
-    q.splice(0, drop);
-    return drop;
+    return q.splice(0, drop);
   }
 
   // src/client/voice/recorder.ts
@@ -2558,8 +2559,20 @@
       });
       ttsSeq += segs.length;
       for (let i = 0; i < jobs.length; i++) ttsQ.push(jobs[i]);
-      const droppedQ = capQueue(ttsQ);
-      if (droppedQ > 0) stats.qDropped = (stats.qDropped || 0) + droppedQ;
+      const droppedJobs = capQueueDetailed(ttsQ);
+      if (droppedJobs.length > 0) {
+        stats.qDropped = (stats.qDropped || 0) + droppedJobs.length;
+        for (const d of droppedJobs) {
+          try {
+            ttsPrefetch.delete(d.seq);
+          } catch (e) {
+          }
+          try {
+            if (d && typeof d.onDone === "function") d.onDone();
+          } catch (e) {
+          }
+        }
+      }
       prefetchUpcoming(!!(ttsQ[0] && ttsQ[0].narration));
       pumpTts();
     }

package/dist/host/http.js

@@ -30,16 +30,106 @@ export function isTimeoutError(err) {
 export function timeoutSignal(ms) {
     return AbortSignal.timeout(ms);
 }
-/** 带超时的 fetch（薄封装：超时拒绝时抛 TimeoutError） */
-export async function fetchWithTimeout(url, init = {}, ms = 30000) {
-    return fetch(url, { ...(init || {}), signal: timeoutSignal(ms) });
+/** 调用方给的 signal 两种写法都认（第 4 个参数 / init.signal）；不是合法 AbortSignal 就当没给 */
+function pickSignal(signal, init) {
+    const cand = signal || (init && init.signal);
+    if (!cand)
+        return undefined;
+    return typeof cand.addEventListener === 'function' && typeof cand.aborted === 'boolean' ? cand : undefined;
+}
+/**
+ * 把「内部超时」和「调用方中止」（客户端断连等外部 signal）合成一个 signal：任一触发都中止外呼。
+ *
+ * 为什么要合：只用内部超时的话，调用方已经放弃了（客户端 30s 硬超时、切页面、断网），
+ * 宿主仍会把付费外呼跑满 ASR_TIMEOUT=60s —— 客户端早就超时重发了一次，等于同一句话付两次钱
+ * （2026-11-07 B93 取证）。
+ *
+ * 两条路：
+ *   · 有 AbortSignal.any（Node ≥20.3）就直接用：内部按弱引用管理源 signal 的监听，不会在
+ *     长期存活的 signal 上留监听；由此派生的 signal 被 fetch 直接使用；
+ *   · 老 Node 没有 any 时手写组合：把**先触发那一方**的 reason 原样转发（超时仍是 TimeoutError、
+ *     外部中止仍是 AbortError，isTimeoutError 的口径不变）。
+ *     监听怎么收尾（防重复监听/泄漏）：外部 signal 上的转发监听在「触发」或「本次外呼结束」时
+ *     立刻摘掉（dispose）；超时 signal 上的监听刻意保留到它到点 —— 那个 signal 是本次调用自己的，
+ *     而且超时必须继续盖住响应体读取（fetch resolve 之后才算开始读 body）。
+ *     代价：老 Node 上「外部中止」只覆盖到响应头返回为止（之后的 body 读取只受内部超时约束）；
+ *     Node ≥20.3 走 any 路径没有这个差别。
+ */
+function combineSignals(timeout, outer) {
+    // 没有外部 signal：原样交回超时 signal —— 与改动前完全一致（错误仍是 TimeoutError）
+    if (!outer)
+        return { signal: timeout, dispose() { } };
+    const AnySig = AbortSignal;
+    if (typeof AnySig.any === 'function') {
+        try {
+            return { signal: AnySig.any([timeout, outer]), dispose() { } };
+        }
+        catch { }
+    }
+    const ctl = new AbortController();
+    let hooked = false;
+    /** 只摘外部 signal 上的转发监听（超时那份要留到到点，body 读取还要靠它兜底） */
+    function unhookOuter() {
+        if (!hooked)
+            return;
+        hooked = false;
+        try {
+            outer.removeEventListener('abort', onAbort);
+        }
+        catch { }
+    }
+    function onAbort(ev) {
+        unhookOuter();
+        const src = ev && (ev.target || ev.currentTarget);
+        try {
+            if (src && src.reason !== undefined)
+                ctl.abort(src.reason);
+            else
+                ctl.abort();
+        }
+        catch { }
+    }
+    // 传进来就已经中止的 signal 不会再发事件：先各自判一次，否则这个请求会一直等超时
+    if (timeout.aborted || outer.aborted) {
+        const src = timeout.aborted ? timeout : outer;
+        try {
+            ctl.abort(src.reason);
+        }
+        catch { }
+        return { signal: ctl.signal, dispose() { } };
+    }
+    hooked = true;
+    try {
+        timeout.addEventListener('abort', onAbort);
+    }
+    catch { }
+    try {
+        outer.addEventListener('abort', onAbort);
+    }
+    catch { }
+    return { signal: ctl.signal, dispose: unhookOuter };
+}
+/**
+ * 带超时的 fetch（薄封装：超时拒绝时抛 TimeoutError）。
+ * 可选第 4 个参数 signal（也认 init.signal）：调用方中止时立刻中断，错误名为 AbortError；
+ * 不传时行为与改动前一致。
+ */
+export async function fetchWithTimeout(url, init = {}, ms = 30000, signal) {
+    const combo = combineSignals(timeoutSignal(ms), pickSignal(signal, init));
+    try {
+        return await fetch(url, { ...(init || {}), signal: combo.signal });
+    }
+    finally {
+        combo.dispose();
+    }
 }
 /**
  * 带超时的 fetch + 一次性读文本（能解析就顺手给 JSON）。
  * 不因 HTTP 非 2xx 抛错——路由要自己拿 status 决定回什么文案。
+ * signal：可选，调用方（如客户端断连）中止时立刻中断外呼。
  */
-export async function fetchJson(url, init = {}, ms = 30000) {
-    const resp = await fetchWithTimeout(url, init, ms);
+export async function fetchJson(url, init = {}, ms = 30000, signal) {
+    const resp = await fetchWithTimeout(url, init, ms, signal);
     const text = await resp.text().catch(() => '');
     let data = null;
     try {

package/dist/host/routes/asr.js

@@ -3,7 +3,7 @@
  * POST JSON { audio: base64, format: 'webm'|'wav'|'mp3' } → { text }
  * Key 由入口注入（getKey），路由不再自己读 config.json / 环境变量。
  * 体积：请求体（base64）上限 12MB → 413；解码后音频上限 8MB → 同样 413（口径统一，2026-11-07）
- * 外呼超时 60 秒
+ * 外呼超时 60 秒；**客户端断开（30s 硬超时/切页/断网）立刻中止外呼**，不再把付费识别跑满 60s（B93）
  */
 import { hashBytes } from '../../shared/hash.js';
 import { isInterruptWord, isNoiseText } from '../../shared/noise.js';
@@ -20,8 +20,76 @@ const ASR_MAX_BODY = 12 * 1024 * 1024;
 const ASR_MAX_AUDIO = 8 * 1024 * 1024;
 /** 外呼超时：60 秒 */
 const ASR_TIMEOUT = 60 * 1000;
+/**
+ * 客户端已经走了的日志标签：与真正的上游超时/网络错误分开，排障时一眼能分清。
+ * 分两条是因为两种时机差一步：外呼发出后断开（中止外呼）/ 请求体还没读完就断开（根本没发起外呼）。
+ */
+const LOG_CLIENT_ABORT_OUTBOUND = '[asr] ASR-CLIENT-ABORT 客户端已断开，上游外呼已中止（不计入 ASR 失败）';
+const LOG_CLIENT_ABORT_REQUEST = '[asr] ASR-CLIENT-ABORT 客户端已断开，请求中止（未发起外呼，不计入 ASR 失败）';
+/**
+ * 盯住「客户端是不是走了」。返回的 signal 会被合进外呼超时（见 host/http.ts 的 fetchWithTimeout），
+ * 客户端一走，还在等上游的那次付费外呼就立刻中止。
+ *
+ * 为什么不能只听 req 的 close（Node 24 本机实测，时间线见 scripts/test-asr-abort.mjs）：
+ * 请求体读完时 req 就会发 close（此时 req.complete=true、res.writableEnded=false、响应还没写）——
+ * 只看 close 会把**每个正常请求**都误判成断连。真正的断连有三种形状：
+ *   ① req 'aborted'：请求体还没收完客户端就断了（Node 24 实测会发，虽已标记废弃）；
+ *   ② req 'close' 且 req.complete === false：①的兜底（老版本/某些客户端不发 aborted）；
+ *   ③ res 'close' 且响应没写完（writableEnded 与 writableFinished 都为 false）：客户端发完了
+ *      body、等不到结果先走了 —— 客户端 30s 硬超时就是这个形状（宿主还在跑 60s 的那次）。
+ * 正常结束的 res 'close' 里 writableFinished=true，不会命中 ③，所以不会误中止正常请求。
+ */
+function watchClientGone(req, res) {
+    const ctl = new AbortController();
+    let gone = false;
+    const mark = () => {
+        if (gone)
+            return;
+        gone = true;
+        try {
+            ctl.abort();
+        }
+        catch { }
+    };
+    const onReqAborted = () => mark();
+    const onReqClose = () => { if (!req || req.complete === false)
+        mark(); };
+    const onResClose = () => { if (!res || !(res.writableEnded || res.writableFinished))
+        mark(); };
+    const on = (target, ev, fn) => {
+        // 测试里的假 req/res 未必是 EventEmitter：没有 on 就静默跳过（既有用例都是这种形状）
+        if (!target || typeof target.on !== 'function')
+            return;
+        try {
+            target.on(ev, fn);
+        }
+        catch { }
+    };
+    const off = (target, ev, fn) => {
+        if (!target || typeof target.removeListener !== 'function')
+            return;
+        try {
+            target.removeListener(ev, fn);
+        }
+        catch { }
+    };
+    on(req, 'aborted', onReqAborted);
+    on(req, 'close', onReqClose);
+    on(res, 'close', onResClose);
+    return {
+        signal: ctl.signal,
+        gone: () => gone,
+        dispose() {
+            off(req, 'aborted', onReqAborted);
+            off(req, 'close', onReqClose);
+            off(res, 'close', onResClose);
+        },
+    };
+}
 export function createAsrHandler(opts) {
     return async function handleAsr(req, res) {
+        // 先挂上断连观察器：从读 body 到外呼返回的整段都在它的看护下，结束时必须 dispose（finally）
+        const client = watchClientGone(req, res);
         try {
             const parsed = await readJsonBody(req, ASR_MAX_BODY);
             if (!parsed.ok) {
@@ -102,9 +170,18 @@ export function createAsrHandler(opts) {
                         'content-type': 'multipart/form-data; boundary=' + boundary,
                     },
                     body: payload,
-                }, ASR_TIMEOUT);
+                }, ASR_TIMEOUT, client.signal);
             }
             catch (err) {
+                // 客户端已经走了（30s 硬超时/切页面/断网重发）：这次外呼是**我们自己** abort 的，
+                // 不是上游超时、也不是网络故障。处理口径：
+                //   · 不写缓存（没拿到结果，也避免把半截状态记进缓存）；
+                //   · 不记失败（不计入 ASR-TIMEOUT/ASR-NETWORK 的排障口径），只留专用诊断；
+                //   · 不回包（连接已经断了，没人收；写了也只是往死 socket 上叠一次写）。
+                if (client.gone()) {
+                    console.error(LOG_CLIENT_ABORT_OUTBOUND);
+                    return;
+                }
                 // 超时/网络错误：用户看到的仍是 ok:false + 空文本，日志里留标签
                 if (isTimeoutError(err))
                     console.error('[asr] ASR-TIMEOUT ' + ASR_TIMEOUT + 'ms 无响应，已中止');
@@ -135,9 +212,19 @@ export function createAsrHandler(opts) {
         }
         catch (err) {
             try {
+                // 连请求体都没收完客户端就断了（req 'aborted' / ECONNRESET）：同上，不算上游失败、不回包
+                if (client.gone()) {
+                    console.error(LOG_CLIENT_ABORT_REQUEST);
+                    return;
+                }
                 sendError(res, err, { text: '' });
             }
             catch { }
         }
+        finally {
+            // 结束就摘监听：req/res 是每请求对象，不摘也不会串到下一个请求，但已经结束的 handler
+            // 没必要继续响应 'close'/'aborted'（多做一次无意义的 abort），排障时也容易看花眼
+            client.dispose();
+        }
     };
 }

package/dist/host/routes/tts.js

@@ -1,15 +1,17 @@
 /**
  * host/routes/tts.ts —— 语音合成路由（可复用模块，带缓存）
- * HTTP/缓存/参数校验在本文件；「怎么合成」交给注入的 TtsEngine（默认 host/tts-engine.ts 的 edge-tts）。
+ * HTTP/缓存/参数校验在本文件；「怎么合成」交给**装配层注入**的 TtsEngine（host/tts-engine.ts 的 edge-tts）。
  * 缓存：文本+音色+语速+音调 hash → 复用 mp3（省时间、省调用）
  * 语速由请求体 rate 决定（说书 -15%，普通聊天 +0%），服务端不再写死。
+ * 音色：先过 `^[a-zA-Z0-9-]+$` 字符集，再用 shared/voices.ts 的白名单（与客户端菜单同一份）；
+ *       白名单外一律回落默认音色（不 400，避免破坏旧调用方），响应头 x-tts-voice: fallback 便于排障。
  */
 import { hashKey } from '../../shared/hash.js';
 import { sendTooLarge } from '../http.js';
 import { readJsonBody } from '../body.js';
 import { sendJson, sendBuffer } from '../respond.js';
 import { normalizeRate, TTS_UNAVAILABLE } from '../../shared/tts.js';
-import { createEdgeTtsEngine } from '../tts-engine.js';
+import { DEFAULT_VOICE, normalizeVoiceName } from '../../shared/voices.js';
 /** 单次合成的安全上限：客户端已按 80 字分段，这里只防整本大 JSON 被一次送进来 */
 const MAX_TEXT = 6000;
 /** 请求体上限：80 字一段的 JSON 只有几百字节，64KB 足够；超了多半是误发了整本数据 */
@@ -30,8 +32,14 @@ function oneLine(err, max = 220) {
     return String((err && err.message) || err || '').replace(/\s+/g, ' ').trim().slice(0, max);
 }
 export function createTtsHandler(opts) {
+    // 引擎必须由装配层构造并注入（src/index.ts），路由内**不再**自建：
+    // createEdgeTtsEngine 持有常驻 python 子进程，而路由工厂只交出 handler 函数，
+    // 自建的实例句柄谁也拿不到 → 插件卸载/热重载时没有对象可以 dispose()（B92 封装债，B93 去兜底）。
+    // 运行时也显式挡一道：JS 调用方漏传时构造即失败，而不是等到合成那一步才 500。
+    if (!opts || !opts.engine)
+        throw new Error('createTtsHandler: engine 必传（由装配层构造并注入，测试注入桩）');
     const cache = opts.cache;
-    const engine = opts.engine || createEdgeTtsEngine();
+    const engine = opts.engine;
     // 每个 handler 一份闸门状态：测试里多次 createTtsHandler 互不串味
     const failGuard = { streak: 0, until: 0 };
     // 预热常驻 worker（只解析解释器、导入依赖，不合成）：首句不必再等 python 启动。
@@ -63,12 +71,25 @@ export function createTtsHandler(opts) {
                 return;
             }
             const msg = rawText;
-            const voiceIn = typeof body?.voice === 'string' ? body.voice : '';
+            const voiceIn = typeof body?.voice === 'string' ? body.voice.trim() : '';
             const isZh = /[\u4e00-\u9fa5]/.test(msg);
-            let voice = (voiceIn && /^[a-zA-Z0-9-]+$/.test(voiceIn)) ? voiceIn : '';
-            if (!voice || voice === 'auto' || voice === 'zh-CN-XiaoyiNeural' || voice === 'en-US-AnaNeural') {
-                voice = isZh ? 'zh-CN-XiaoyiNeural' : 'en-US-AnaNeural';
-            }
+            // 默认按文本语言选（中文晓伊 / 英文 Ana）：'auto' 与「显式传这两个默认音色」都走这条，保持旧行为
+            const langDefault = isZh ? DEFAULT_VOICE : 'en-US-AnaNeural';
+            // 第一道：字符集（历史行为，先于白名单）—— 防 CRLF/引号/shell 元字符进日志与参数
+            const charsetOk = !!voiceIn && /^[a-zA-Z0-9-]+$/.test(voiceIn);
+            // 第二道：白名单，与客户端菜单共用 shared/voices.ts；大小写脏值归一成白名单里的规范写法
+            // fallback 传 '' 表示「没命中就交回给我」，便于下面区分「没传音色」与「传了但不在名单」
+            const known = charsetOk ? normalizeVoiceName(voiceIn, '') : '';
+            // 白名单外（含字符合法但不认识的音色，如 ja-JP-NanamiNeural）→ 回落默认，**不回 400**：
+            // 旧调用方传坏值仍要能出声（B92 的「HTTP 直调绕过白名单」在此收口，成本/策略缺口关闭）。
+            const voiceFallback = voiceIn !== '' && !known;
+            const voice = (!known || known === 'auto' || known === DEFAULT_VOICE || known === 'en-US-AnaNeural')
+                ? langDefault
+                : known;
+            // 音频响应头：排障用；只在请求的音色确实被替换时带 x-tts-voice: fallback（正常请求与 auto 不带）
+            const audioHeaders = { 'cache-control': 'no-store' };
+            if (voiceFallback)
+                audioHeaders['x-tts-voice'] = 'fallback';
             // 请求体里带了合法 rate 就用它（说书 -15%），没带默认 +0%
             const rate = normalizeRate(body?.rate, '+0%');
             // 音高：允许请求体指定（带情绪的语气），非法值回落到默认
@@ -83,7 +104,7 @@ export function createTtsHandler(opts) {
             if (cache) {
                 const hit = await cache.getJson(ck, 'mp3');
                 if (hit) {
-                    sendBuffer(res, hit, 'audio/mpeg', { 'cache-control': 'no-store' });
+                    sendBuffer(res, hit, 'audio/mpeg', audioHeaders);
                     return;
                 }
             }
@@ -98,6 +119,10 @@ export function createTtsHandler(opts) {
             if (cloud && cloud.enabled()) {
                 try {
                     buf = await cloud.synthesize(msg);
+                    // 云端不接收 voice（用配置里的 speaker），所以「音色被替换」在云端路径上不成立：
+                    // 成功出云端时把 fallback 头摘掉，别让排障的人以为客户端音色真的生效了（2026-11-07 B93）。
+                    if (voiceFallback)
+                        delete audioHeaders['x-tts-voice'];
                 }
                 catch (ce) {
                     console.warn('[tts] CLOUD-FAIL 回退 edge-tts：' + String(ce?.message || ce).slice(0, 200));
@@ -116,7 +141,7 @@ export function createTtsHandler(opts) {
                 }
                 catch { }
             }
-            sendBuffer(res, buf, 'audio/mpeg', { 'cache-control': 'no-store' });
+            sendBuffer(res, buf, 'audio/mpeg', audioHeaders);
         }
         catch (err) {
             try {

package/dist/host/voice/cloud-tts.js

@@ -181,6 +181,12 @@ export function createCloudTts(deps) {
      * 重启后才有丢计数的风险（写盘成功时磁盘自然追平，不会重复计数）。
      */
     let memUsage = null;
+    /**
+     * 在途预占字数（2026-11-07 B93）：判定与记账之间隔着 await fetch，并发 N 个请求
+     * 会一起通过判定，最多超额 (N-1)×单次字数。这里在发请求前先「预占」，判定时把预占算进去，
+     * 请求结束（成功或失败）在 finally 释放。预占只影响熔断判定，不影响 usage() 报告的已用量。
+     */
+    let reservedChars = 0;
     /** 今天已用字数：磁盘与内存取大（磁盘可能是别的实例写的，内存是本进程的最低保障） */
     function usedChars(today) {
         const u = readUsage(deps.runtimeDir);
@@ -189,7 +195,8 @@ export function createCloudTts(deps) {
         return Math.max(fromDisk, fromMem);
     }
     function budgetLeft(cfg, today) {
-        return cfg.dailyChars - usedChars(today);
+        // 已用量 + 在途预占：并发请求不会同时看到「还有额度」
+        return cfg.dailyChars - usedChars(today) - reservedChars;
     }
     return {
         enabled() {
@@ -219,6 +226,8 @@ export function createCloudTts(deps) {
                 ctl && ctl.abort();
             }
             catch { } }, timeoutMs);
+            // 先占额度再发请求：判定与记账之间的 await 期间，别的请求不能再用同一份额度
+            reservedChars += body.length;
             try {
                 const res = await fetch(CLOUD_TTS_URL, {
                     method: 'POST',
@@ -277,6 +286,8 @@ export function createCloudTts(deps) {
             }
             finally {
                 clearTimeout(timer);
+                // 释放预占：成功时已记进用量（磁盘/内存），失败时这份额度要还回去
+                reservedChars = Math.max(0, reservedChars - body.length);
             }
         },
     };

package/dist/shared/voices.js

@@ -0,0 +1,62 @@
+/**
+ * shared/voices.ts —— 朗读音色白名单与归一化（宿主 /tts 与浏览器菜单共用同一份）
+ *
+ * 为什么放在 shared：白名单原先只在 client/voice/voices.ts，宿主 routes/tts.ts 只做
+ * `^[a-zA-Z0-9-]+$` 字符集校验，HTTP 直调传 `ja-JP-NanamiNeural` 这类白名单外音色
+ * 会被原样接受（B92 取证：策略/成本缺口，不是命令注入）。提到 shared 后两边共用
+ * TTS_VOICES，宿主也能按同一份名单回落，不再各自维护一份。
+ *
+ * 像 'auto' 这样的值不在 edge-tts 的语音表里，但宿主认它：按文本语言自动选晓伊/Ana。
+ *
+ * 依赖方向：shared 只依赖 shared/immutable.ts，不 import client/host。
+ */
+import { deepFreeze } from './immutable.js';
+/** 可用音色 —— 与菜单「换个声音 ▸」的列表一一对应 */
+export const TTS_VOICES = [
+    'zh-CN-XiaoyiNeural',
+    'zh-CN-XiaoxiaoNeural',
+    'zh-CN-XiaochenNeural',
+    'zh-CN-YunxiNeural',
+    'zh-CN-YunyangNeural',
+    'en-US-AnaNeural',
+    'en-US-JennyNeural',
+    'en-GB-SoniaNeural',
+    'auto',
+];
+deepFreeze(TTS_VOICES);
+/** 默认音色：晓伊（与菜单默认与 C# 版一致） */
+export const DEFAULT_VOICE = 'zh-CN-XiaoyiNeural';
+/**
+ * 白名单查表（小写名 → 规范写法）。
+ * 大小写不敏感是刻意的（2026-11-07）：手改 localStorage / 旧配置里出现
+ * "EN-US-ANANEURAL" 这类只差大小写的**合法**音色时，旧实现因为 indexOf 精确匹配
+ * 直接判成非法，把用户选的音色静默重置成晓伊。查表后返回的是白名单里的规范写法，
+ * 送给 edge-tts 的仍是大小写正确的名字。
+ * 这张表只在模块加载时构建一次、不导出，外部改不到。
+ */
+const VOICE_BY_KEY = (() => {
+    const m = new Map();
+    for (const v of TTS_VOICES)
+        m.set(v.toLowerCase(), v);
+    return m;
+})();
+/**
+ * 音色名规范化：白名单外（含空值/坏值）一律回退。
+ * @param name 待规范的音色名（来自 localStorage / 菜单 / HTTP 请求体，可能是任意坏值）
+ * @param fallback 未命中时的返回值，默认 DEFAULT_VOICE；宿主可传 '' 表示「没命中」以便自行回落
+ */
+export function normalizeVoiceName(name, fallback = DEFAULT_VOICE) {
+    // String(x) 本身会抛（Object.create(null)、自定义 toString 抛错）：
+    // 音色名从 localStorage / 菜单参数 / 请求体来，坏值只能回退，不能让整条朗读链崩在这里。
+    let n = '';
+    try {
+        n = (name == null ? '' : String(name)).trim();
+    }
+    catch {
+        return fallback;
+    }
+    if (!n)
+        return fallback;
+    const hit = VOICE_BY_KEY.get(n.toLowerCase());
+    return hit || fallback;
+}

package/docs//345/217/221/345/270/203/350/247/204/350/214/203.md

@@ -12,14 +12,14 @@
 
 | 项 | 值 |
 | --- | --- |
-| `package.json` version | 1.1.64 |
-| `src/client/version.ts` VERSION | 1.1.64（由 `scripts/gen-version.mjs` 生成） |
-| 最近 Gitee tag | `v1.1.64`（见 `git tag --list`） |
+| `package.json` version | 1.1.65 |
+| `src/client/version.ts` VERSION | 1.1.65（由 `scripts/gen-version.mjs` 生成） |
+| 最近 Gitee tag | `v1.1.65`（见 `git tag --list`） |
 | Gitee `main` HEAD | `git log -1` 实读 |
 | GitHub `main` | 发布后 `node tools/gh-verify.mjs v1.1.62` 核对（脚本按 tag 名推期望版本） |
-| npm latest | **1.1.64**（发布后轮询确认） |
+| npm latest | **1.1.65**（发布后轮询确认） |
 | README 版本 | 无硬编码版本号 |
-| `npm test` | **3799 项**（52 个套件，`node tools/test-count.mjs` 核准、失败 0） |
+| `npm test` | **3914 项**（54 个套件，`node tools/test-count.mjs` 核准、失败 0） |
 | `npm pack --dry-run` | **129 个文件 / 17.1 MB**（包）；`data/cache`、运行数据、`config.json`、`src/`、`scripts/`、`tools/` 均不进包 |
 ## 一、版本号规则
 

package/docs//345/276/205/351/207/215/345/220/257/347/224/237/346/225/210.md

@@ -368,3 +368,14 @@ Measure-Command { Invoke-RestMethod -Method Post -Uri http://127.0.0.1:3080/api/
 | 6 | 纯朗读后状态回 idle | 没开麦时念完显示「在听」 | 关待命→让它读一段：读完状态应回 idle，不是「在听」 |
 | 7 | 纯朗读实例也有看门狗 | 音频不播不报错时永久 `ttsBusy` → 朗读全哑 | 长时间朗读后仍能继续朗读（不必刷新） |
 | 8 | 连说两遍「停下来吧」也能停 | ≥4 字打断句被 dup 闸门吞 | 说书中连说两次「停下来吧」：第二声也应停 |
+
+## 二十一、2026-11-07 凌晨批次（B93：1.1.65）待重启核对
+
+| # | 改动 | 为什么 | 怎么验证 |
+|---|------|--------|----------|
+| 1 | `/tts` 校验音色白名单 | 原来 HTTP 直调可绕过客户端白名单 | 直调 `voice=ja-JP-NanamiNeural`：应 200 + 默认音色 + `x-tts-voice: fallback` |
+| 2 | `/tts` engine 必传 | 路由内自建引擎会让卸载时没有句柄 dispose | 反复禁用/启用插件：`tasklist` 不应堆积 python |
+| 3 | ASR 断连即中止 | 客户端 30s 超时重试后宿主仍跑满 60s（白付识别费） | 弱网下打断/关页面：日志应出现 `ASR-CLIENT-ABORT`，不再有 60s 的 `ASR-TIMEOUT` |
+| 4 | 云端预算并发不超额 | 并发请求会同时通过日预算判定 | 并发触发多段云端合成：日用量不应超过 `dailyChars` |
+| 5 | 朗读队列丢段补 onDone | >200 段时被丢的段没人结账，叙述锁只能等自愈 | 极端长文本后仍能继续朗读（不必刷新） |
+| 6 | 云端成功不再报 fallback | 云端用配置说话人，头会误导排障 | 开云端后请求：响应头不应出现 `x-tts-voice` |

package/docs//346/250/241/345/235/227/346/216/245/345/217/243/346/270/205/345/215/225.md

@@ -5,7 +5,7 @@
 > 架构宪章：**模块只对外暴露这些导出，外部不得读取模块内部实现**。
 > 新增/修改导出 = 接口变更，必须同步调用点并在提交信息里写明。
 
-> 统计：119 个模块文件，718 个导出项。
+> 统计：120 个模块文件，722 个导出项。
 
 ## 宿主（Node）（`src/host/`）
 
@@ -124,7 +124,7 @@
 | `voice/fetch.ts` | `fetchWithTimeout` |
 | `voice/recorder.ts` | `APE_MIN_SPEECH_MS`、`CLASSIC_SPEECH_DB`、`EARLY_STOP_QUIET`、`LEVEL_PROBE_MS`、`LevelBox`、`LevelRead`、`MIN_SEGMENT_BYTES`、`MIN_SPEECH_MS`、`MUTED_SPEECH_DB`、`SILENT_PEAK_DB`、`SegmentState`、`TICK_ERROR_MS`、`TICK_MS`、`WINDOW_MS`、`accrueClassic`、`addChunk`、`clearChunks`、`createSegmentState`、`hadApeSpeech`、`isSilentPeak`、`isTooSmallSegment`、`notePeak`、`readLevel`、`resetSegmentState`、`shouldStopApeNoLevel`、`shouldStopClassic`、`takeBlob` |
 | `voice/status.ts` | `DiagSnapshots`、`StatusHolder`、`VoiceStats`、`VoiceStatus`、`createDiagSnapshots`、`createStatusHolder`、`createVoiceStats` |
-| `voice/tts-queue.ts` | `ECHO_MUTE_MS`、`TTS_QUEUE_MAX`、`TTS_RETRY_BASE_MS`、`TTS_RETRY_MAX`、`TTS_TIMEOUT_MS`、`TTS_WATCH_MS`、`TTS_ZOMBIE_MS`、`TtsJob`、`buildTtsJobs`、`capQueue`、`isStaleToken`、`narrationPauseFor`、`prefetchTargets`、`ttsRetryDelayMs` |
+| `voice/tts-queue.ts` | `ECHO_MUTE_MS`、`TTS_QUEUE_MAX`、`TTS_RETRY_BASE_MS`、`TTS_RETRY_MAX`、`TTS_TIMEOUT_MS`、`TTS_WATCH_MS`、`TTS_ZOMBIE_MS`、`TtsJob`、`buildTtsJobs`、`capQueue`、`capQueueDetailed`、`isStaleToken`、`narrationPauseFor`、`prefetchTargets`、`ttsRetryDelayMs` |
 | `voice/voices.ts` | `DEFAULT_VOICE`、`TTS_VOICES`、`normalizeVoiceName`、`readStoredVoiceName` |
 | `wake.ts` | `WAKE_WINDOW_MS`、`WAKE_WORDS`、`WAKE_WORD_KEY`、`WakeCheck`、`WakeGate`、`createWakeGate`、`loadCustomWakeWords`、`normalizeWakeText`、`setCustomWakeWord`、`stripWakeWords` |
 
@@ -140,3 +140,4 @@
 | `sse.ts` | `SseParseResult`、`parseSseBuffer` |
 | `time.ts` | `ParsedDue`、`cleanReminderText`、`formatDue`、`parseDue` |
 | `tts.ts` | `EdgeTtsOptions`、`TTS_PROBE_CODE`、`TTS_UNAVAILABLE`、`buildEdgeTtsArgs`、`cleanTtsText`、`isValidPitch`、`isValidRate`、`normalizeRate`、`splitTtsSegments` |
+| `voices.ts` | `DEFAULT_VOICE`、`TTS_VOICES`、`normalizeVoiceName` |

package/docs//350/267/250/345/271/263/345/217/260/344/270/216/345/210/206/345/267/245.md

@@ -145,3 +145,6 @@
 | B92a | 2026-11-07 | 主代理：`capSampleRate` 修「192kHz 设备半速音频」（头与数据同采样率）/ `/tts` 超长改 413（不再静默截断）；`test-audio-sim` +6、`test-voice-routes` +2 | 双 tsc 0 / 3799 项 0 失败 | 见 git |
 | B92b | 2026-11-07 | 宿主语音路由分身：`/asr` 解码后超限 200→413 / 缓存键补 `format`（v1→v2）；新增 `test-voice-routes.mjs`(23) | 双 tsc 0 / 3799 项 0 失败 | 见 git |
 | B92c | 2026-11-07 | 朗读播放路径分身：`pitch` 丢失 / 没开麦报「在听」/ 纯朗读无看门狗 / `ttsRequests` 虚高 / 打断整句被 dup 吞；新增 `test-voice-tts.mjs`(99) | 双 tsc 0 / 3799 项 0 失败 | 见 git |
+| B93a | 2026-11-07 | 主代理：云端日预算**预占**（并发不再超额）/ `capQueueDetailed` 丢段结账 `onDone` 并清预取 / 云端成功不再谎报 `x-tts-voice: fallback`；`test-persona-cloud` +3、`test-voice-queue` +4、`test-voice-routes` +2 | 双 tsc 0 / 3914 项 0 失败 | 见 git |
+| B93b | 2026-11-07 | 音色白名单分身：新建 `shared/voices.ts`（client/host 同一份）/ `/tts` 名单外回落默认 + `x-tts-voice: fallback` / engine 必传去兜底 / 删 `ports.voice` 死字段；新增 `test-voices-shared.mjs`(60) | 双 tsc 0 / 3914 项 0 失败 | 见 git |
+| B93c | 2026-11-07 | ASR 断连中止分身：`watchClientGone` 三判定（不能只看 close）/ 断开 abort 上游、`AbortError` 不写缓存不计失败 / `fetchJson` 支持外部 signal（原被超时覆盖）；新增 `test-asr-abort.mjs`(46) | 双 tsc 0 / 3914 项 0 失败 | 见 git |

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-chubby-whale",
-  "version": "1.1.64",
+  "version": "1.1.65",
   "description": "DSH 网页版桌面宠物「肥鲸」——蓝发鲸鱼娘，固定在 harness 页面右下角：会眨眼、能拖拽、点击可聊天，支持语音对话、念诗说书、饭点提醒。",
   "keywords": [
     "dsh",
@@ -74,7 +74,7 @@
   "scripts": {
     "build": "node scripts/gen-version.mjs && node scripts/check-bom.mjs && tsc -p tsconfig.json && tsc -p tsconfig.client.json && esbuild src/client.ts --bundle --format=iife --external:react --charset=utf8 --outfile=dist/client.js",
     "prepublishOnly": "npm run build",
-    "test": "tsc -p tsconfig.json && tsc -p tsconfig.client.json && node scripts/check-imports.mjs && node scripts/gen-module-index.mjs --check && node scripts/check-boundaries.mjs && node scripts/check-diag-keys.mjs && node scripts/check-text.mjs && node scripts/test.mjs && node scripts/test-chat-limits.mjs && node scripts/test-stream-ledger.mjs && node scripts/test-story-security.mjs && node scripts/test-behavior-regressions.mjs && node scripts/verify-voice.mjs && node scripts/smoke-client.mjs && node scripts/ape-bench.mjs && node scripts/smoke-host.mjs && node scripts/test-voice-queue.mjs && node scripts/test-tts-engine.mjs && node scripts/test-data-layer.mjs && node scripts/test-repos.mjs && node scripts/test-personality.mjs && node scripts/test-story-player.mjs && node scripts/test-chat-routes.mjs && node scripts/test-menu-actions.mjs && node scripts/test-story-client.mjs && node scripts/test-story-auto.mjs && node scripts/test-content-routes.mjs && node scripts/test-dataport-poem.mjs && node scripts/test-render-layer.mjs && node scripts/test-store-cache.mjs && node scripts/test-actions-rest.mjs && node scripts/test-misc-routes.mjs && node scripts/test-chat-client.mjs && node scripts/test-prefs-config.mjs && node scripts/test-media-reminders.mjs && node scripts/test-image-reader.mjs && node scripts/test-boundaries-guard.mjs && node scripts/test-assembly.mjs && node scripts/test-asr-concurrency.mjs && node scripts/test-host-http.mjs && node scripts/test-entry-narration.mjs && node scripts/test-poem-narration.mjs && node scripts/test-multidrop.mjs && node scripts/test-utils-pure.mjs && node scripts/test-net-client.mjs && node scripts/test-persona-cloud.mjs && node scripts/test-client-glue.mjs && node scripts/test-poem-titles-retry.mjs && node scripts/test-shared-voice.mjs && node scripts/test-audio-sim.mjs && node scripts/test-voice-routes.mjs && node scripts/test-voice-tts.mjs && node scripts/test-voice-bridge.mjs && node scripts/platform-check.mjs",
+    "test": "tsc -p tsconfig.json && tsc -p tsconfig.client.json && node scripts/check-imports.mjs && node scripts/gen-module-index.mjs --check && node scripts/check-boundaries.mjs && node scripts/check-diag-keys.mjs && node scripts/check-text.mjs && node scripts/test.mjs && node scripts/test-chat-limits.mjs && node scripts/test-stream-ledger.mjs && node scripts/test-story-security.mjs && node scripts/test-behavior-regressions.mjs && node scripts/verify-voice.mjs && node scripts/smoke-client.mjs && node scripts/ape-bench.mjs && node scripts/smoke-host.mjs && node scripts/test-voice-queue.mjs && node scripts/test-tts-engine.mjs && node scripts/test-data-layer.mjs && node scripts/test-repos.mjs && node scripts/test-personality.mjs && node scripts/test-story-player.mjs && node scripts/test-chat-routes.mjs && node scripts/test-menu-actions.mjs && node scripts/test-story-client.mjs && node scripts/test-story-auto.mjs && node scripts/test-content-routes.mjs && node scripts/test-dataport-poem.mjs && node scripts/test-render-layer.mjs && node scripts/test-store-cache.mjs && node scripts/test-actions-rest.mjs && node scripts/test-misc-routes.mjs && node scripts/test-chat-client.mjs && node scripts/test-prefs-config.mjs && node scripts/test-media-reminders.mjs && node scripts/test-image-reader.mjs && node scripts/test-boundaries-guard.mjs && node scripts/test-assembly.mjs && node scripts/test-asr-concurrency.mjs && node scripts/test-host-http.mjs && node scripts/test-entry-narration.mjs && node scripts/test-poem-narration.mjs && node scripts/test-multidrop.mjs && node scripts/test-utils-pure.mjs && node scripts/test-net-client.mjs && node scripts/test-persona-cloud.mjs && node scripts/test-client-glue.mjs && node scripts/test-poem-titles-retry.mjs && node scripts/test-shared-voice.mjs && node scripts/test-audio-sim.mjs && node scripts/test-voice-routes.mjs && node scripts/test-voices-shared.mjs && node scripts/test-voice-tts.mjs && node scripts/test-asr-abort.mjs && node scripts/test-voice-bridge.mjs && node scripts/platform-check.mjs",
     "version:check": "node tools/version-check.mjs",
     "typecheck": "node scripts/gen-version.mjs && tsc -p tsconfig.json --noEmit && tsc -p tsconfig.client.json --noEmit",
     "smoke:client": "node scripts/smoke-client.mjs",