dsh-deepseek-web-login 0.6.29 → 0.6.30

package/CHANGELOG.md

@@ -2,6 +2,53 @@
 
 本项目大致遵循语义化版本；日期为本地时间。
 
+## 0.6.30 — 2026-10-02
+
+**补齐请求头：把浏览器**自动加**的那批指纹头收回来，并修掉一个过时的写死版本号。**
+
+起因是调研"能不能不打开浏览器也像真浏览器发消息"（报告见工作区 `浏览器指纹伪装可行性调研.md`）。
+调研的结论之一是：**在改 TLS 之前，头部这一层就有零成本的差距可以补**。
+
+对着**真实登录捕获**（`accounts/acc_9be659e4.json`，2026-10-02T03:42Z）核对出两处：
+
+1. **收头的规则只认 `x-*`，于是浏览器自动加的那批全被丢掉**：
+   `sec-ch-ua` / `sec-ch-ua-mobile` / `sec-ch-ua-platform`、
+   `sec-fetch-dest` / `sec-fetch-mode` / `sec-fetch-site`、`priority`、`accept`。
+   这批是"是不是真浏览器"最表层的信号 —— 真实 Chrome/Edge 发 fetch 请求时一定会带，
+   而我们一条都没发。现在收进来，并且**保留浏览器给头的顺序**（顺序本身就是指纹）。
+
+2. **`x-client-version` 写死 `2.0.0`，而真实捕获是 `2.5.0`** —— 落后两个小版本，而且
+   **没有任何机制会发现它过时**。真实值一直走的是抓取那条路（所以线上没暴露），
+   但抓取失败时就会发这个陈旧值。现在：抓来的真值永远优先，写死的只做兜底并标注要定期校准。
+
+**顺带（同一批证据的两件事）：**
+
+- `pickExtraHeaders` 的规则原先在 `browser-login.ts`（CDP 路径）和 `login.ts`（旧 webRequest 路径）
+  **各写了一遍** —— 两份一旦漂移，"同一账号换个登录方式指纹就不一样"，且不会有任何报错。
+  现在只有一处，两边都调它。
+- `captureDefect()` 增加一条判据：**抓到了头、但里面没有 `x-device-id`** 也算捕获缺陷。
+  依据：真实捕获里 `x-device-id` 是数美设备指纹（UUID），而上游对"缺少浏览器设备指纹"
+  会直接返回 `biz_code=11 / RISK_DEVICE_DETECTED` —— 缺了它不是"信息少一点"，是**会被风控判定**。
+  ⚠️ 只覆盖"有头但缺这一项"；`extraHeaders` 整个为空的手工粘 token 路径**故意不碰**（既有设计）。
+
+**刻意不做的一件事：不收 `accept-encoding`。**
+它是浏览器的解压能力声明，服务端可能据此回 `zstd`，而 Node 侧的 `fetch`（undici）不保证能解 ——
+一旦解不开，SSE 会**静默变成乱码**（不是报错，是内容全错）。这是"宁可少一个头，也不要静默坏掉"的取舍，
+代码里写了理由，用例里也钉住了（防止有人"顺手补上"）。
+
+⚠️ **一处保留的偏差**：真实浏览器**不发** `x-app-version`（7 个 `x-*` 里没有它），我们仍在发。
+保留是为了不改变既有行为，代码里标了注释 —— 想更贴近浏览器，删掉那一行即可。
+
+**新增 11 条用例**（`check-request-headers.mjs`，此前 `pickExtraHeaders` 只有 1 条、`buildDsHeaders` 零覆盖）：
+该收的收进来 / 不该收的别收（逐请求头 + `accept-encoding`）/ 顺序保留 / 抓来的真值赢过兜底 /
+逐请求头必须用当前值（旧 token 旧 cookie 不许漏出去）。
+四处变异确认变红：白名单改回 `x-`（3 条红）、兜底覆盖抓取值（1 条红）、关掉 `x-device-id` 判据（1 条红）、
+以及重建后的一处产物断言。
+
+> ⚠️ 写用例时踩了一次**虚断言**：第一版把"抓来的值"和兜底都写成 `2.5.0`，于是
+> "兜底覆盖抓取值"这个变异体照样通过（两者无法区分）。改用 `88.8.8` 之后才真的能打红。
+> 这正是"先自问这条用例在改之前是不是也绿"那条铁律的又一次实证。
+
 ## 0.6.29 — 2026-10-02
 
 **修复：登录态过期（或账号被限流）之后，重新登录会"又新建一个网页端会话"、整段历史全量重发。**

package/lib/index.js

@@ -616,13 +616,21 @@ function accountsFootprint() {
 * 2026-09-21 的现场：`acc_2df7cf2f` 正是 cookie 与 extraHeaders 双空，
 * 且它 `capturedAt` 刷新后 19 秒就撞了 `code 9 / invalid ref file id`。
 * ⚠️ 但这只是**时间相关**，不是已证实的因果 —— 所以这里只留痕，不据此阻断。
+*
+* 2026-10-02 补一条：**抓到了头、但里面没有 `x-device-id`** 也算缺陷。
+* 依据：真实捕获（同日 03:42Z）里 `x-device-id` 是一个 UUID（数美设备指纹），
+* 且上游对"缺少浏览器设备指纹"会直接返回 `biz_code=11 / RISK_DEVICE_DETECTED`。
+* 所以缺了它就不是"信息少一点"，而是**会被风控判定**。
+* ⚠️ 只覆盖"有头但缺这一项"；`extraHeaders` 整个为空的手工粘 token 路径**故意不碰**
+* （那条路本来就没有任何浏览器头，是既有设计，另议）。
 */
 function captureDefect(auth) {
 	if (!String(auth.token ?? "").trim()) return void 0;
 	const hasCookie = !!String(auth.cookie ?? "").trim();
-	const hasHeaders = !!auth.extraHeaders && Object.keys(auth.extraHeaders).length > 0;
-	if (hasCookie || hasHeaders) return void 0;
-	return "本次捕获只拿到 token（cookie 与请求头都为空）—— 若之后出现图片引用被拒（code 9）之类的异常，优先怀疑这份凭证";
+	const headers = auth.extraHeaders ?? {};
+	const hasHeaders = Object.keys(headers).length > 0;
+	if (!hasCookie && !hasHeaders) return "本次捕获只拿到 token（cookie 与请求头都为空）—— 若之后出现图片引用被拒（code 9）之类的异常，优先怀疑这份凭证";
+	if (hasHeaders && !String(headers["x-device-id"] ?? "").trim()) return "本次捕获的请求头里没有 x-device-id（数美设备指纹）—— 上游对\"缺少浏览器设备指纹\"会直接判 RISK_DEVICE_DETECTED（biz_code=11），建议重新登录一次把这份凭证补全";
 }
 /** 当前生效的登录凭证（没有选择账号 → undefined）。 */
 function readAuth() {
@@ -3642,29 +3650,40 @@ const DEFAULT_WASM_URL = "https://fe-static.deepseek.com/chat/static/sha3_wasm_b
 /** 浏览器 UA 兜底（捕获失败时使用）。 */
 const FALLBACK_UA = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36";
 /**
+* 网页端 `x-client-version` 的兜底值（**抓取失败时**才用）。
+*
+* 🔴 这个值会随网页端发版过时，而且**没有任何自动机制会发现它过时** ——
+* 旧实现写死 `2.0.0`，到 2026-10-02 已经落后到 `2.5.0`（真实捕获值）。
+* 所以：① 优先永远用抓来的真值（`auth.extraHeaders`）；
+* ② 这里只保证"万一没有真值时，不至于差得离谱"；③ 每次核对捕获时顺手校准一次。
+*/
+const FALLBACK_CLIENT_VERSION = "2.5.0";
+/**
 * 组装一次网页端请求的头。
-* 优先复用登录时捕获的浏览器真实头（extraHeaders），再用最新登录态覆盖
-* authorization/cookie/指纹；user-agent 采用浏览器值（网页端接口需要浏览器指纹），
-* DSH 归属信息通过 `x-deepseek-harness` 头显式声明。
+*
+* 顺序与优先级（2026-10-02 重排，理由见下）：
+*   ① 先铺**登录时从真实浏览器抓来的指纹头**（`auth.extraHeaders`）——
+*      头的**顺序本身就是指纹**，浏览器给什么顺序就用什么顺序；
+*      而且它的值比我们写死的兜底更可信（`x-client-version` 随网页端版本走，写死必然过时）。
+*   ② 再补**兜底**，且只补浏览器没给的（写死值绝不能盖掉抓来的真值）。
+*   ③ 最后放**逐请求现算**的头（token / cookie / hif / pow / content-type / origin / referer）——
+*      这些必须用**当前**登录态，复用快照里的旧值会出错。
 */
 function buildDsHeaders(auth, referer) {
-	const headers = {
-		"user-agent": auth.userAgent || "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36",
+	const headers = { ...auth.extraHeaders ?? {} };
+	const defaults = {
 		accept: "application/json, text/plain, */*",
 		"accept-language": "zh-CN,zh;q=0.9,en;q=0.8",
-		"content-type": "application/json",
-		origin: DS_BASE,
-		referer: referer || `https://chat.deepseek.com/`,
 		"x-client-platform": "web",
-		"x-client-version": "2.0.0",
-		"x-app-version": "2.0.0",
-		...auth.extraHeaders ?? {}
+		"x-client-version": FALLBACK_CLIENT_VERSION,
+		"x-app-version": FALLBACK_CLIENT_VERSION
 	};
-	headers.authorization = `Bearer ${auth.token}`;
+	for (const [key, value] of Object.entries(defaults)) if (!headers[key]) headers[key] = value;
+	headers["user-agent"] = auth.userAgent || "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36";
 	headers["content-type"] = "application/json";
 	headers.origin = DS_BASE;
 	headers.referer = referer || `https://chat.deepseek.com/`;
-	headers["user-agent"] = auth.userAgent || headers["user-agent"] || "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36";
+	headers.authorization = `Bearer ${auth.token}`;
 	headers["x-deepseek-harness"] = "deepseek-harness (+https://github.com/deepseek-ai/deepseek-harness); provider=deepseek-web";
 	delete headers["x-ds-pow-response"];
 	if (auth.cookie) headers.cookie = auth.cookie;
@@ -7499,19 +7518,62 @@ function buildCookieHeader(cookies) {
 	return (cookies ?? []).filter((cookie) => cookie && typeof cookie.name === "string" && String(cookie.domain ?? "").includes("deepseek")).map((cookie) => `${cookie.name}=${cookie.value}`).join("; ");
 }
 /**
-* 从 `/api/*` 请求头里挑出我们需要的指纹/版本头（与旧 webRequest 钩子同款规则）。
-* 纯函数，便于单测。
+* 浏览器**指纹头**的名字判据 —— 只有"浏览器行为的一部分、且可跨请求复用"的才收。
+*
+* 这个判据**只能有一处**：原先它在 `browser-login.ts`（CDP 路径）和 `login.ts`
+* （旧的 webRequest 路径）各写了一遍，收的还只有 `x-*`。两份一旦漂移，
+* "同一账号用不同路径登录、指纹就不一样"，而且不会有任何报错。
+*/
+const FINGERPRINT_HEADER_RE = /^(?:x-|sec-ch-ua|sec-fetch-)/;
+const FINGERPRINT_HEADER_EXACT = /* @__PURE__ */ new Set([
+	"priority",
+	"accept",
+	"accept-language"
+]);
+/**
+* 逐请求**现算**的头 —— 收进快照就是 bug：下一轮用旧值会把当前登录态盖掉。
+*
+* ⚠️ `accept-encoding` 是**故意**收在外面的，理由不是"不该收"而是"收了会坏"：
+* 它是浏览器的解压能力声明，服务端可能据此回 `zstd`，而 Node 侧的 `fetch`（undici）
+* 不保证能解 —— 一旦解不开，SSE 会**静默变成乱码**（不是报错，是内容全错）。
+* 宁可少一个头，也不要静默坏掉。将来若要收，必须先验证整条解压链。
+*/
+const PER_REQUEST_HEADERS = /* @__PURE__ */ new Set([
+	"x-ds-pow-response",
+	"x-hif-dliq",
+	"x-hif-leim",
+	"authorization",
+	"cookie",
+	"content-type",
+	"content-length",
+	"host",
+	"connection",
+	"transfer-encoding",
+	"accept-encoding",
+	"origin",
+	"referer",
+	"user-agent"
+]);
+/**
+* 从浏览器请求头里挑出可复用的**指纹头**（纯函数，便于单测）。
+*
+* 为什么重要（2026-10-02 核对真实捕获）：
+* 旧规则只留 `x-*`，于是浏览器**自动加**的那一批全被丢掉 ——
+* `sec-ch-ua` / `sec-ch-ua-mobile` / `sec-ch-ua-platform`、`sec-fetch-dest/mode/site`、
+* `priority`。这些是"是不是真浏览器"最表层、最容易被看到的一批信号，
+* 而丢掉它们的代价是零成本就能避免的。
+*
+* ⚠️ 顺序必须保留：**头的顺序本身就是指纹**。`Object.entries` 按插入顺序遍历，
+* 而调用方是按浏览器给的顺序建这个对象的 ⇒ 收出来的 `out` 就是浏览器的相对顺序。
 */
 function pickExtraHeaders(headers) {
 	const out = {};
 	for (const [key, value] of Object.entries(headers ?? {})) {
 		const lower = key.toLowerCase();
-		if (!/^x-/.test(lower)) continue;
-		if (lower === "x-ds-pow-response" || lower === "x-hif-dliq" || lower === "x-hif-leim") continue;
+		if (PER_REQUEST_HEADERS.has(lower)) continue;
+		if (!FINGERPRINT_HEADER_RE.test(lower) && !FINGERPRINT_HEADER_EXACT.has(lower)) continue;
 		out[lower] = String(value);
 	}
-	const acceptLanguage = Object.entries(headers ?? {}).find(([key]) => key.toLowerCase() === "accept-language");
-	if (acceptLanguage) out["accept-language"] = String(acceptLanguage[1]);
 	return out;
 }
 /** 极简 CDP 客户端：只需 send + 事件监听。 */
@@ -8577,16 +8639,7 @@ function hookHeaders(ses, buffer, onRewrite) {
 			if (cleanLower["cookie"]) buffer.cookie = cleanLower["cookie"];
 			if (cleanLower["x-hif-dliq"]) buffer.hifDliq = cleanLower["x-hif-dliq"];
 			if (cleanLower["x-hif-leim"]) buffer.hifLeim = cleanLower["x-hif-leim"];
-			if (!buffer.extraHeaders["x-client-version"]) {
-				const snapshot = {};
-				for (const [key, value] of Object.entries(cleanLower)) {
-					if (!/^x-/.test(key)) continue;
-					if (key === "x-ds-pow-response" || key === "x-hif-dliq" || key === "x-hif-leim") continue;
-					snapshot[key] = value;
-				}
-				if (cleanLower["accept-language"]) snapshot["accept-language"] = cleanLower["accept-language"];
-				buffer.extraHeaders = snapshot;
-			}
+			if (!buffer.extraHeaders["x-client-version"]) buffer.extraHeaders = pickExtraHeaders(cleanLower);
 		}
 		callback({ requestHeaders: headers });
 	});
@@ -10259,7 +10312,7 @@ async function checkForUpdate(current, fetchImpl) {
 * 兜底常量与 package.json 的一致性由 `tests/check-smoke.mjs` 守着，不会漂。
 */
 /** 与 package.json 保持一致的兜底版本（由测试保证不会漂）。 */
-const FALLBACK_VERSION = "0.6.29";
+const FALLBACK_VERSION = "0.6.30";
 let cached;
 /** 本插件版本（如 `0.1.26`）。 */
 function pluginVersion() {