dsh-router-core 0.4.3 → 0.4.5

package/docs/pool-sticky-block.md

@@ -206,7 +206,8 @@ pick():
   前置,二者可叠加(亲和负责选号、块负责驻留)。
 - **积分感知换挡**:`credits` 已持久化,可做「积分跌破阈值才换挡」。
   但 `credits` 只存最后一次值不带时间戳,需先确认 `status()` 刷新频率,
-  否则触发失真。当前未启用。
+  否则触发失真。**「积分归零」这一档已于 2026-10-14 落地**(见 §12),
+  「跌破阈值(还有余额但快用完)」这一档仍未启用。
 - **TTL 仍未知**:87.5% 是保证下限,实际可能更高。要精确 N 需反推 TTL
   (同号相邻请求间隔 vs 命中率拟合驱逐拐点)。
 
@@ -413,3 +414,60 @@ Lead 与 T1 撞同一个号,T2 独占)。改为**占用感知分配**(`allocSess
 - **每会话一份样本 → 内存随会话数增长**:`samples` 按会话分叉,长跑多会话
   场景条目变多。当前无上限(随进程存亡),量大时再加 LRU(对齐 `AFFINITY_MAX`
   的做法)。
+
+## 12. 积分用完的号退出选号(2026-10-14 落地)
+
+### 12.1 症状
+
+`test` 组合里一个 traework 账号积分归零,请求报错但**没有换到还有额度的号**;
+手动测这个连接,报的是「连接 "4135677434275728" 不存在（可能已被删除）」——
+而它明明在面板的账号列表里。
+
+### 12.2 根因(两处,各修一半)
+
+1. **插件报 `ok`**:traework 的 `pool.list()` 只按凭证判状态——`accessToken === ''`
+   才是 `session_dead`,其余一律 `ok`。积分归零没被解读成 `quota`,核心**根本
+   不知道**这个号没额度。
+
+2. **核心不读插件报的状态**:`pick()`/`healthy()` 只查自己的冷却表,插件报的
+   `state` 从不参与选号。所以就算插件报 `quota`,核心照样会选它。
+
+后果:积分归零的号一直"看起来健康",被选中的那次请求必然失败;而 traework 的
+**积分耗尽失败是流式失败**(HTTP 200 + 流内 `event:error code=4008`),响应已经
+提交,这次请求**救不回来**——只能等失败后 `onLateFailure` 记账,下个请求才换号。
+即用户每次都要先白撞一次。
+
+### 12.3 修法
+
+- **插件侧**(`dsh-router-traework` 的 `pool.list()`):`credits === 0` 报 `quota`。
+  严格区分 `CREDITS_UNKNOWN(-1)`——那是「还没拉到」,不是「用完了」。
+- **核心侧**(`account-pool.servableByReport`):`quota` / `session_dead` 的号
+  不进候选。只认这两个**账号级、要靠外部动作恢复**的事实;`transport`/`unknown`/
+  `unavailable` 是某次采样的瞬时观察,拿它排除等于「一次抖动就踢号」,那些仍走
+  冷却单元。
+- **诊断侧**(`router/index.ts`):指定连接测试失败后重试时,不再把上游真因覆盖成
+  「连接不存在」。`tried` 里已有该 uid = 它刚试过并失败,保留 `trace.lastError`。
+
+**核心不自己比 `credits`**:openrouter / nvidia 没有积分概念,报的就是
+`credits: 0, state: 'ok'`,核心若拿 `credits === 0` 当「用完」会把它们整池排除。
+是否"用完"由**插件解读**成 `state` 后报上来(契约:插件报「现在怎么了」,核心决定
+「怎么办」)。
+
+### 12.4 回归测试
+
+- `account-pool.test.ts`:`quota`/`session_dead` 不进选号、全池没额度时的
+  `lastWhy` 不谎称「都在冷却」、充值后立刻回候选、`credits: 0 + state: 'ok'`
+  的号不受影响、瞬时状态不排除号、亲和绑定撞上 `quota` 时换号。
+- `supplier-switch.test.ts`:报 `quota` 的号请求直接落到有额度的号;指定连接
+  失败报上游真因、不说成「不存在」。
+- `loader.test.ts`:插件报的 `quota` 原样到达核心。
+- traework `pool.test.ts`:0 报 `quota`、`-1` 仍报 `ok`、`session_dead` 优先。
+- `account-badge.test.ts`:面板不把被排除的号显示成「健康」。
+
+### 12.5 天花板(ponytail)
+
+- **仍是「撞一次才换」的兜底**:`refreshingCredits` 有 10 分钟 TTL,积分在实际
+  用完到插件报 `quota` 之间有个窗口;而且本次请求已提交,补救只对后续请求生效。
+  要做到"用完前就换"需要**余额阈值换挡**(§8 仍标未启用)。
+- **不排除「余额快用完」**:只处理归零。阈值需要可信的刷新时间戳,`credits`
+  目前只存最后一次值。

package/docs/suppliers.md

@@ -74,7 +74,7 @@ js 报告**此刻**观察到的账户状况,而不是把上游原始响应丢给
 |---|---|
 | `ok` | 正常 |
 | `rate_limit` | 限流(429 类) |
-| `quota` | 额度/权益不足 |
+| `quota` | 额度/权益不足(**积分/额度用完也报它**,见下) |
 | `session_dead` | 凭证失效/凭证被上游拒(403 类,含风控误伤) |
 | `unavailable` | 上游不可用(404 / 服务下线) |
 | `transport` | 网络/连接层失败(没拿到 HTTP 状态) |
@@ -82,6 +82,25 @@ js 报告**此刻**观察到的账户状况,而不是把上游原始响应丢给
 | `no_such_model` | **这个模型不属于本供应商**(不是账号的失败) |
 | `bad_request` | **请求本身不合法,被上游拒**(参数错/图片认不出/tool_call 配对断裂;不是账号的失败) |
 
+**`status()` 里报 `quota` / `session_dead` 会影响选号**:这两个是「要靠外部动作
+才能恢复」的账号级事实(充值、重新登录),核心**不把它们选进候选**
+(`account-pool.servableByReport`)。所以有积分概念的 js 应在积分归零时直接报
+`quota`,不要报 `ok`:
+
+```ts
+// traework 的做法(src/api/pool.ts list()):0 是真值,就是「用完了」
+state: accessToken === '' ? 'session_dead' : credits === 0 ? 'quota' : 'ok'
+```
+
+**但 `credits === 0` 不等于「没额度」——不要用积分数字代替状态判断。** 有些
+供应商(openrouter / nvidia)压根没有积分概念,它们的 `0` 是「这个字段不适用」,
+报的是 `credits: 0, state: 'ok'`,核心**不会**因此排除它们(核心只看 `state`,
+不自己比 `credits`)。有积分概念的供应商才做上面那个映射。**`-1` 更不是 0**:
+那是「还没拉到」,此刻对这个号一无所知,必须保持 `ok`。
+
+其它状态不参与选号(只用于失败后的处置),报瞬时抖动为 `quota` 一样会让好号
+白躺 10 分钟。
+
 **`no_such_model` 是必须的,不能拿 `unavailable` 顶替。** 后者在核心策略里会
 把**这个号 × 这个模型**冷掉——组合里每有一个别人家的模型,js 就会对每个账号
 都报一次,于是一个都选不出来(表现为「组合越用越没号可用」)。所以「这个模型

package/lib/client-registry.js

@@ -17,6 +17,26 @@ window.__ModuleLoader__.load({
 		/** Same-origin API base the client panel fetches (host half serves it). */
 		var ROUTER_API_BASE = "/router/api";
 		//#endregion
+		//#region src/client/account-badge.ts
+		function statusBadge(account) {
+			if (account.cooling) return {
+				text: "冷却中",
+				cls: "dshr-badge-warn"
+			};
+			if (account.state === "quota") return {
+				text: "额度用完",
+				cls: "dshr-badge-warn"
+			};
+			if (account.state === "session_dead") return {
+				text: "凭证失效",
+				cls: "dshr-badge-warn"
+			};
+			return {
+				text: "健康",
+				cls: "dshr-badge-ok"
+			};
+		}
+		//#endregion
 		//#region src/client/Modal.tsx
 		/**
 		* 通用弹窗：遮罩 + 居中对话框，ESC / 点遮罩关闭。9router 风格。
@@ -116,16 +136,6 @@ window.__ModuleLoader__.load({
 			if (minutes < 60) return `剩余 ${minutes} 分钟`;
 			return `剩余 ${Math.ceil(minutes / 60)} 小时`;
 		}
-		function statusBadge(account) {
-			if (account.cooling) return {
-				text: "冷却中",
-				cls: "dshr-badge-warn"
-			};
-			return {
-				text: "健康",
-				cls: "dshr-badge-ok"
-			};
-		}
 		function SupplierDetail({ supplier, accounts, statusLoading, onBack, onRefresh }) {
 			const hasCap = (name) => supplier.capabilities?.includes(name) ?? false;
 			const canLogin = hasCap("generateLoginUrl") || hasCap("addApiKey");
@@ -4515,7 +4525,7 @@ window.__ModuleLoader__.load({
 			};
 		}
 		//#endregion
-		//#region \0@oxc-project+runtime@0.151.0/helpers/esm/typeof.js
+		//#region \0@oxc-project+runtime@0.153.0/helpers/esm/typeof.js
 		function _typeof(o) {
 			"@babel/helpers - typeof";
 			return _typeof = "function" == typeof Symbol && "symbol" == typeof Symbol.iterator ? function(o) {
@@ -4525,7 +4535,7 @@ window.__ModuleLoader__.load({
 			}, _typeof(o);
 		}
 		//#endregion
-		//#region \0@oxc-project+runtime@0.151.0/helpers/esm/toPrimitive.js
+		//#region \0@oxc-project+runtime@0.153.0/helpers/esm/toPrimitive.js
 		function toPrimitive(t, r) {
 			if ("object" != _typeof(t) || !t) return t;
 			var e = t[Symbol.toPrimitive];
@@ -4537,13 +4547,13 @@ window.__ModuleLoader__.load({
 			return ("string" === r ? String : Number)(t);
 		}
 		//#endregion
-		//#region \0@oxc-project+runtime@0.151.0/helpers/esm/toPropertyKey.js
+		//#region \0@oxc-project+runtime@0.153.0/helpers/esm/toPropertyKey.js
 		function toPropertyKey(t) {
 			var i = toPrimitive(t, "string");
 			return "symbol" == _typeof(i) ? i : i + "";
 		}
 		//#endregion
-		//#region \0@oxc-project+runtime@0.151.0/helpers/esm/defineProperty.js
+		//#region \0@oxc-project+runtime@0.153.0/helpers/esm/defineProperty.js
 		function _defineProperty(e, r, t) {
 			return (r = toPropertyKey(r)) in e ? Object.defineProperty(e, r, {
 				value: t,

package/lib/client.js

@@ -17,6 +17,26 @@ window.__ModuleLoader__.load({
 		/** Same-origin API base the client panel fetches (host half serves it). */
 		var ROUTER_API_BASE = "/router/api";
 		//#endregion
+		//#region src/client/account-badge.ts
+		function statusBadge(account) {
+			if (account.cooling) return {
+				text: "冷却中",
+				cls: "dshr-badge-warn"
+			};
+			if (account.state === "quota") return {
+				text: "额度用完",
+				cls: "dshr-badge-warn"
+			};
+			if (account.state === "session_dead") return {
+				text: "凭证失效",
+				cls: "dshr-badge-warn"
+			};
+			return {
+				text: "健康",
+				cls: "dshr-badge-ok"
+			};
+		}
+		//#endregion
 		//#region src/client/Modal.tsx
 		/**
 		* 通用弹窗：遮罩 + 居中对话框，ESC / 点遮罩关闭。9router 风格。
@@ -116,16 +136,6 @@ window.__ModuleLoader__.load({
 			if (minutes < 60) return `剩余 ${minutes} 分钟`;
 			return `剩余 ${Math.ceil(minutes / 60)} 小时`;
 		}
-		function statusBadge(account) {
-			if (account.cooling) return {
-				text: "冷却中",
-				cls: "dshr-badge-warn"
-			};
-			return {
-				text: "健康",
-				cls: "dshr-badge-ok"
-			};
-		}
 		function SupplierDetail({ supplier, accounts, statusLoading, onBack, onRefresh }) {
 			const hasCap = (name) => supplier.capabilities?.includes(name) ?? false;
 			const canLogin = hasCap("generateLoginUrl") || hasCap("addApiKey");
@@ -4515,7 +4525,7 @@ window.__ModuleLoader__.load({
 			};
 		}
 		//#endregion
-		//#region \0@oxc-project+runtime@0.151.0/helpers/esm/typeof.js
+		//#region \0@oxc-project+runtime@0.153.0/helpers/esm/typeof.js
 		function _typeof(o) {
 			"@babel/helpers - typeof";
 			return _typeof = "function" == typeof Symbol && "symbol" == typeof Symbol.iterator ? function(o) {
@@ -4525,7 +4535,7 @@ window.__ModuleLoader__.load({
 			}, _typeof(o);
 		}
 		//#endregion
-		//#region \0@oxc-project+runtime@0.151.0/helpers/esm/toPrimitive.js
+		//#region \0@oxc-project+runtime@0.153.0/helpers/esm/toPrimitive.js
 		function toPrimitive(t, r) {
 			if ("object" != _typeof(t) || !t) return t;
 			var e = t[Symbol.toPrimitive];
@@ -4537,13 +4547,13 @@ window.__ModuleLoader__.load({
 			return ("string" === r ? String : Number)(t);
 		}
 		//#endregion
-		//#region \0@oxc-project+runtime@0.151.0/helpers/esm/toPropertyKey.js
+		//#region \0@oxc-project+runtime@0.153.0/helpers/esm/toPropertyKey.js
 		function toPropertyKey(t) {
 			var i = toPrimitive(t, "string");
 			return "symbol" == _typeof(i) ? i : i + "";
 		}
 		//#endregion
-		//#region \0@oxc-project+runtime@0.151.0/helpers/esm/defineProperty.js
+		//#region \0@oxc-project+runtime@0.153.0/helpers/esm/defineProperty.js
 		function _defineProperty(e, r, t) {
 			return (r = toPropertyKey(r)) in e ? Object.defineProperty(e, r, {
 				value: t,

package/lib/ext-prompt/index.js

@@ -29,13 +29,13 @@ const PROMPT_CATEGORIES = [
 		id: "closure",
 		title: "全局收口",
 		defaultOn: true,
-		body: "收口(与跑测试同级)：①反查过期：改动让哪些注释/文档/结论/代码引用点(凡以名字对齐的调用方、开关名、注册键)不符事实？当场改或删；②反查重复：新旧成两份就并成一处；③反查形状：该合的合、该归档的归位；④前三问都空时处置一件存量(删/并/归档)。做完那块区域该比动手前更整或更少。"
+		body: "收口(只在任务完成时做，与跑测试同级)：①反查过期：改动让哪些注释/文档/结论/代码引用点(凡以名字对齐的调用方、开关名、注册键)不符事实？当场改或删；②反查重复：新旧成两份就并成一处；③反查形状：该合的合、该归档的归位。做完那块区域该比动手前更整或更少。"
 	},
 	{
 		id: "hardening",
 		title: "固化",
 		defaultOn: true,
-		body: "固化：每次造成用户可见损失的失败，当天固化为可自动重放的检查——会变红(注入违规必须失败)、可重放(一条命令)、归属清晰(失败信息指向违规处)；面向他人的检查只警告不阻断。不固化的教训等于决定再犯一次。"
+		body: "固化：只对数据丢失/安全这类真损失补检查——会变红(注入违规必须失败)、可重放(一条命令)、归属清晰(失败信息指向违规处)；普通 bug 修好即止，不额外造闸门。"
 	},
 	{
 		id: "verdifiable",

package/lib/index.js

@@ -275,6 +275,24 @@ var AccountPool = class {
 		return c.until <= now;
 	}
 	/**
+	* 插件报的「现在状态」是否意味着这个号此刻不该被选中。
+	*
+	* 只认两种**账号级持久事实**（要靠外部动作才能恢复，不是抖动）：
+	*  - `quota` —— 额度/积分用完，充值才能恢复（traework 积分归零时报它）
+	*  - `session_dead` —— 凭证失效，重新登录才能恢复
+	*
+	* 其余一律不看：`transport`/`unknown`/`unavailable` 是插件某一次采样的瞬时
+	* 观察，拿它排除等于「一次抖动就踢号」，而且没有冷却计时器兜底；`rate_limit`
+	* 的指数退避由核心的冷却单元管，比状态采样准。
+	*
+	* 这是「插件只报现在怎么了、核心决定怎么办」的分工落地：插件报出它观察到
+	* 的事实，核心决定此刻不选它。恢复同样自动——充值/重登后插件报回 `ok`，
+	* 该号立刻回到候选（没有额外状态要清）。
+	*/
+	servableByReport(a) {
+		return a?.state !== "quota" && a?.state !== "session_dead";
+	}
+	/**
 	* 为「某个模型」选一个健康账号 —— **会话亲和选号，无策略旋钮**。
 	*
 	* 旧的两策略（fallback 取第一个 / round-robin 轮转）都删了：前者让所有
@@ -289,11 +307,17 @@ var AccountPool = class {
 	*     "策略"，是无会话身份时的替身。
 	*  4. 块统计不驱动轮转（亲和已保证驻留），只保留 `BLOCK_MAX` 次不达标 →
 	*     降权该号（缓存无效，可恢复）。
+	*  5. 插件报的 `quota`/`session_dead`（额度用完 / 凭证失效）→ **直接不选它**：
+	*     这类失败要靠充值/重登才能恢复，选它必是白撞一次（还有的供应商失败在
+	*     流已提交之后，这次请求根本救不回来）。见 `servableByReport`。
 	*
 	* 天花板：号数 < 并发会话数时必然有会话共用号 → 互踩，无法用选号手法消除
 	* （缓存空间是账号侧物理限制）。见 docs/pool-sticky-block.md §10。
 	*
-	* @param accounts 插件报告的「现在状态」（顺序即插件的自然顺序）
+	* @param accounts 插件报告的「现在状态」（顺序即插件的自然顺序）。
+	*   `state` 会被读：`quota`/`session_dead` 的号不进候选（见 `servableByReport`）。
+	*   `credits` **不读** —— 不同供应商的 0 含义不同（openrouter/nvidia 的 0 是
+	*   「没有积分这个概念」），是否已用完由插件解读成 `state` 后报上来。
 	* @param poolOrder 用户在面板拖出来的顺序（核心管）
 	* @param modelId 当前要路由的模型（决定查哪个 (model, uid) 冷却单元）
 	* @param messages 请求体的 messages（算亲和指纹的内容兜底）
@@ -303,9 +327,9 @@ var AccountPool = class {
 	pick(accounts, poolOrder, modelId, messages, session) {
 		const now = Date.now();
 		const byUid = new Map(accounts.map((a) => [a.uid, a]));
-		const healthy = [...poolOrder.filter((uid) => byUid.has(uid)), ...accounts.map((a) => a.uid).filter((uid) => !poolOrder.includes(uid))].filter((uid) => this.healthy(uid, modelId, now));
+		const healthy = [...poolOrder.filter((uid) => byUid.has(uid)), ...accounts.map((a) => a.uid).filter((uid) => !poolOrder.includes(uid))].filter((uid) => this.healthy(uid, modelId, now) && this.servableByReport(byUid.get(uid)));
 		if (healthy.length === 0) {
-			this.lastWhy = "全池无健康号（都在冷却）";
+			this.lastWhy = "全池无健康号（都在冷却，或插件报的额度/凭证已不可用）";
 			return;
 		}
 		const usable = healthy.filter((uid) => !this.isDemoted(uid, modelId, now, session));
@@ -320,8 +344,12 @@ var AccountPool = class {
 		if (fp === "") why.push("无指纹（拿不到 messages/会话）");
 		else if (bound === void 0) why.push("该指纹无绑定（会话首次出现）");
 		else if (!healthy.includes(bound)) {
-			const c = this.cooldowns.get(this.key(modelId, bound));
-			why.push(`原绑定 ${bound} 正在冷却${c?.reason ? `(${c.reason})` : ""}`);
+			const ba = byUid.get(bound);
+			if (!this.servableByReport(ba)) why.push(`原绑定 ${bound} 插件报额度/凭证不可用（${ba?.state}）`);
+			else {
+				const c = this.cooldowns.get(this.key(modelId, bound));
+				why.push(`原绑定 ${bound} 正在冷却${c?.reason ? `(${c.reason})` : ""}`);
+			}
 		} else if (!usable.includes(bound)) why.push(`原绑定 ${bound} 被降权（本会话样本不达标）`);
 		else why.push(`原绑定 ${bound} 不在当前健康池`);
 		const block = this.blocks.get(this.blockKey(modelId));
@@ -1984,6 +2012,21 @@ var Router = class {
 	log;
 	/** 每条降级腿的首字节预算（ms）。只给测试一个入口，生产恒为 FIRST_BYTE_BUDGET_MS。 */
 	firstByteBudgetMs;
+	/**
+	* 组合增删改**成功提交后**的通知出口。
+	*
+	* 为什么必须有：模型选择器（`ui-model-selection`）的目录是**客户端缓存**的，
+	* 只在宿主转发过来的事件上失效重载（`llm/adapters-updated` /
+	* `settings/document-updated` / 凭据事件 / 重连）。而组合只是本插件
+	* `combos.json` 里的一份状态：改完名字若不发通知，选择器会一直拿着旧快照 ——
+	* 用户能看到的症状是「面板里明明有这个名字，模型选择器里却找不到、切不过去」，
+	* 且新建的组合永远不出现（2026-10-14 实测）。
+	*
+	* 通知与落盘分开（{@link saveCombos} 先 {@link commitCombos} 落盘、再发通知）：
+	* 落盘失败、或 `stateFile` 为空（单测/独立运行时）时内存已经改了，客户端的
+	* 状态同样过期，所以这两条路径都必须照发。
+	*/
+	onCombosChanged;
 	/** 用量统计（概览看板）。 */
 	usage;
 	constructor(stateFile = "", store, log, opts) {
@@ -1991,6 +2034,7 @@ var Router = class {
 		this.store = store ?? new SupplierConfigStore(stateFile);
 		this.log = log ?? (() => {});
 		this.firstByteBudgetMs = opts?.firstByteBudgetMs ?? FIRST_BYTE_BUDGET_MS;
+		this.onCombosChanged = opts?.onCombosChanged;
 		this.usage = new UsageStore(stateFile);
 		this.loadCombos();
 	}
@@ -2025,7 +2069,23 @@ var Router = class {
 			}).filter((c) => c.models.length > 0);
 		} catch {}
 	}
+	/**
+	* 提交组合变更：落盘 + 通知拓扑观察者。
+	*
+	* `onCombosChanged` 的失败必须被吞掉：它是**通知**不是事务参与者，
+	* 监听方（宿主事件总线）出问题不能把一次已经生效的增删改报成失败 ——
+	* 那会让用户重试一个其实已经成功的操作（同 `schedule/changed` 的口径）。
+	*/
 	saveCombos() {
+		this.commitCombos();
+		try {
+			this.onCombosChanged?.();
+		} catch (err) {
+			this.log(`combo change notification failed: ${err.message}`);
+		}
+	}
+	/** 组合落盘（通知由 {@link saveCombos} 单独发，落盘失败不阻断它）。 */
+	commitCombos() {
 		if (this.combosFp === "") return;
 		try {
 			const dir = dirname(this.combosFp);
@@ -2512,7 +2572,7 @@ var Router = class {
 		for (;;) {
 			const uid = onlyUid !== void 0 ? s.accounts().some((a) => a.uid === onlyUid) && !tried.has(onlyUid) ? onlyUid : void 0 : pool.pick(s.accounts().filter((a) => !tried.has(a.uid)), cfg.poolOrder, req.model, messages, req.session);
 			if (uid === void 0) {
-				if (onlyUid !== void 0 && trace !== void 0) {
+				if (onlyUid !== void 0 && !tried.has(onlyUid) && trace !== void 0) {
 					trace.lastState = "unknown";
 					trace.lastError = `连接 ${JSON.stringify(onlyUid)} 不存在（可能已被删除）`;
 				}
@@ -4009,6 +4069,33 @@ function writeJson$1(res, status, body) {
 	});
 	res.end(payload);
 }
+/**
+* 包住会调插件的 handler：插件抛错时回 **JSON 500**，别让异常裸奔到 webServer。
+*
+* 为什么必须有这一层：webServer 的兜底是 `res.writeHead(400); res.end()`——**空
+* body**。面板拿到空 body，`response.json()` 抛 "Unexpected end of JSON input"，
+* 真实原因（上游 500 / token 失效…）全丢，用户只看到一句解析错误。
+*
+* 这条路径是插件契约「出错就抛」(docs/suppliers.md「模型统一策略」) 的下游：插件
+* 老实抛了，核心就得老实接住并说清楚。以前 `listModels` 静默吞错，所以从没暴露过
+* 这个缺口（traework 2026-10-10 「获取模型只有几个」修完才浮现）。
+*/
+function guard(handler) {
+	return async (req, res) => {
+		try {
+			await handler(req, res);
+		} catch (err) {
+			if (res.headersSent) {
+				res.end();
+				return;
+			}
+			writeJson$1(res, err instanceof SyntaxError ? 400 : 500, {
+				ok: false,
+				error: err.message
+			});
+		}
+	};
+}
 async function readBody$1(req, limit = 65536) {
 	const chunks = [];
 	let size = 0;
@@ -4067,14 +4154,14 @@ function supplierRoutes(base, loaded, store, router) {
 	routes.push({
 		kind: "exact",
 		path: `${p}/models`,
-		handler: async (_req, res) => {
+		handler: guard(async (_req, res) => {
 			const models = await router.modelsOf(s.id);
 			writeJson$1(res, 200, {
 				ok: true,
 				alias: s.getAlias(),
 				models
 			});
-		}
+		})
 	});
 	routes.push({
 		kind: "exact",
@@ -4202,7 +4289,7 @@ function supplierRoutes(base, loaded, store, router) {
 	routes.push({
 		kind: "exact",
 		path: `${p}/models/toggle`,
-		handler: async (req, res) => {
+		handler: guard(async (req, res) => {
 			const body = JSON.parse(await readBody$1(req));
 			store.get(s.id);
 			const models = await router.modelsOf(s.id);
@@ -4216,12 +4303,12 @@ function supplierRoutes(base, loaded, store, router) {
 			store.setModelEnabled(s.id, body.id, !!body.enabled);
 			router.invalidateModels(s.id);
 			writeJson$1(res, 200, { ok: true });
-		}
+		})
 	});
 	routes.push({
 		kind: "exact",
 		path: `${p}/models/add`,
-		handler: async (req, res) => {
+		handler: guard(async (req, res) => {
 			const id = (JSON.parse(await readBody$1(req)).id ?? "").trim();
 			if (id === "") {
 				writeJson$1(res, 400, {
@@ -4240,7 +4327,7 @@ function supplierRoutes(base, loaded, store, router) {
 			store.addCustomModel(s.id, id);
 			router.invalidateModels(s.id);
 			writeJson$1(res, 200, { ok: true });
-		}
+		})
 	});
 	routes.push({
 		kind: "exact",
@@ -4263,13 +4350,13 @@ function supplierRoutes(base, loaded, store, router) {
 	routes.push({
 		kind: "exact",
 		path: `${p}/models/bulk`,
-		handler: async (req, res) => {
+		handler: guard(async (req, res) => {
 			const body = JSON.parse(await readBody$1(req));
 			const models = await router.modelsOf(s.id);
 			store.setAllModelsEnabled(s.id, !!body.enabled, models.map((mm) => mm.id));
 			router.invalidateModels(s.id);
 			writeJson$1(res, 200, { ok: true });
-		}
+		})
 	});
 	routes.push({
 		kind: "exact",
@@ -4297,12 +4384,12 @@ function supplierRoutes(base, loaded, store, router) {
 	routes.push({
 		kind: "exact",
 		path: `${p}/models/fetch`,
-		handler: async (_req, res) => {
+		handler: guard(async (_req, res) => {
 			writeJson$1(res, 200, {
 				ok: true,
 				models: await router.modelsOf(s.id, true)
 			});
-		}
+		})
 	});
 	routes.push({
 		kind: "exact",
@@ -4868,7 +4955,9 @@ function apply(rawContext) {
 	if (!hostSupported) ctx.logger.warn(`[dsh-router] 宿主版本 ${hostVersion ?? "未知"} 低于本插件支持的 0.2.0 —— 插件仍会加载，但设置卡片、「最近命中」徽章与工具结果转发会走错路径。请把宿主升到 0.2.0 及以上。`);
 	const store = new SupplierConfigStore(stateFile);
 	const credentials = new CredentialStore(join(dataDir, "auths"));
-	const router = new Router(stateFile, store, log);
+	const router = new Router(stateFile, store, log, { onCombosChanged: () => {
+		ctx.emit("llm/adapters-updated");
+	} });
 	const keys = new KeysStore(stateFile);
 	const disposers = [];
 	const route = (path, handler) => {

package/lib/types/ext-prompt/content.d.ts

@@ -1,18 +1,25 @@
 /**
- * 提示词内容层 —— 准则 v5 的**逐字**副本，按原分隔拆成分类。
+ * 提示词内容层 —— 准则 v5 的副本，按原分隔拆成分类。
  *
  * ════════════════════════════════════════════════════════════════════
- * 为什么一字不改
+ * 为什么原则上不改措辞
  * ════════════════════════════════════════════════════════════════════
  * 这些字是**用户自己写的准则**，不是本插件的文案。任何"顺手润色"都是擅自
  * 改写用户的规则 —— 改出来的版本和用户心里的版本不一致，而用户看不见差异，
- * 于是准则开始按**另一份**文本执行。所以这里是逐字复制，**不做任何措辞优化**。
+ * 于是准则开始按**另一份**文本执行。所以改动只在**用户点名**时发生，不做
+ * 未被要求的措辞优化。
  *
  * 拆分只为「可开关」，不为了重排：顺序与原文出现顺序一致，`order` 也按此递增。
  *
  * ⚠️ **本文件是唯一事实源**。准则原本存放在 Mnemon 记忆系统的 `USER.md`；
  * 那份已经在插件验证生效后删除（否则新旧两份注入，每轮白烧一次 token 且
  * 永远有两份可能漂移的规则）。**改动准则 = 只改这里。**
+ *
+ * ⚠️ 2026-10-08 用户点名的两处改动（治「提示词导致思考过久」）：
+ *   ① 收口：加"只在任务完成时做"，并**删掉第 ④ 条**「前三问都空时处置一件存量」
+ *      —— 它没有终止条件，每次收口都必然能再找出一件存量，等于无限循环。
+ *   ② 固化：由"每次用户可见损失都必须固化"降级为"只对数据丢失/安全这类真损失
+ *      补检查"，并删掉「不固化的教训等于决定再犯一次」这句无界义务。
  */
 /** 一个可独立开关的提示词分类。 */
 export interface PromptCategory {

package/lib/types/router/account-pool.d.ts

@@ -66,6 +66,22 @@ export declare class AccountPool {
      *  - 且此 (supplier, model, uid) 冷却单元不在冷却中。
      */
     private healthy;
+    /**
+     * 插件报的「现在状态」是否意味着这个号此刻不该被选中。
+     *
+     * 只认两种**账号级持久事实**（要靠外部动作才能恢复，不是抖动）：
+     *  - `quota` —— 额度/积分用完，充值才能恢复（traework 积分归零时报它）
+     *  - `session_dead` —— 凭证失效，重新登录才能恢复
+     *
+     * 其余一律不看：`transport`/`unknown`/`unavailable` 是插件某一次采样的瞬时
+     * 观察，拿它排除等于「一次抖动就踢号」，而且没有冷却计时器兜底；`rate_limit`
+     * 的指数退避由核心的冷却单元管，比状态采样准。
+     *
+     * 这是「插件只报现在怎么了、核心决定怎么办」的分工落地：插件报出它观察到
+     * 的事实，核心决定此刻不选它。恢复同样自动——充值/重登后插件报回 `ok`，
+     * 该号立刻回到候选（没有额外状态要清）。
+     */
+    private servableByReport;
     /**
      * 为「某个模型」选一个健康账号 —— **会话亲和选号，无策略旋钮**。
      *
@@ -81,11 +97,17 @@ export declare class AccountPool {
      *     "策略"，是无会话身份时的替身。
      *  4. 块统计不驱动轮转（亲和已保证驻留），只保留 `BLOCK_MAX` 次不达标 →
      *     降权该号（缓存无效，可恢复）。
+     *  5. 插件报的 `quota`/`session_dead`（额度用完 / 凭证失效）→ **直接不选它**：
+     *     这类失败要靠充值/重登才能恢复，选它必是白撞一次（还有的供应商失败在
+     *     流已提交之后，这次请求根本救不回来）。见 `servableByReport`。
      *
      * 天花板：号数 < 并发会话数时必然有会话共用号 → 互踩，无法用选号手法消除
      * （缓存空间是账号侧物理限制）。见 docs/pool-sticky-block.md §10。
      *
-     * @param accounts 插件报告的「现在状态」（顺序即插件的自然顺序）
+     * @param accounts 插件报告的「现在状态」（顺序即插件的自然顺序）。
+     *   `state` 会被读：`quota`/`session_dead` 的号不进候选（见 `servableByReport`）。
+     *   `credits` **不读** —— 不同供应商的 0 含义不同（openrouter/nvidia 的 0 是
+     *   「没有积分这个概念」），是否已用完由插件解读成 `state` 后报上来。
      * @param poolOrder 用户在面板拖出来的顺序（核心管）
      * @param modelId 当前要路由的模型（决定查哪个 (model, uid) 冷却单元）
      * @param messages 请求体的 messages（算亲和指纹的内容兜底）