dsh-scnet-connect 1.1.0 → 1.1.1

package/README.md

@@ -9,10 +9,10 @@
 - **零客户端**：不装 SCNet 桌面客户端，用手机短信登录即可使用
 - **零配置**：装了客户端的话，自动读凭据、自动发现免费模型
 - **设置页管理**：账号、登录、模型开关都在 DSH 设置里
-- **1M 上下文**：`SCNet-Max` 按平台真实能力声明 `contextWindow: 1048576` / `maxTokens: 131072`（实测 104.5 万 token 输入通过、1.06M 被拒，见 [docs/scnet-api.md](docs/scnet-api.md)）
+- **1M 上下文**：`SCNet-Max` 按平台真实能力声明 `contextWindow: 1048576` / `maxTokens: 131072`（实测 104.5 万 token 输入通过、1.06M 被拒；同样的直连调用方式见 [`tools/repro/scnet-chat.mjs`](tools/repro/scnet-chat.mjs)）
 - **抖动自愈**：平台偶发的 `503 + 10008`（路由切换）会被归一化成可重试错误，自动退避重试而不是整轮失败
 
-![设置页](.github/assets/settings.png)
+![设置页](https://raw.githubusercontent.com/Phoeky/dsh-scnet-connect/master/.github/assets/settings.png)
 
 ---
 
@@ -161,7 +161,7 @@ dsh plugin --profile desktop add link:.
 | 只显示免费模型 | 默认开启。关闭后会把目录里所有模型都注册出来（可能产生费用） |
 | 刷新模型 | 重新读模型目录并用网关校验可用性 |
 
-![模型开关](.github/assets/settings-models.png)
+![模型开关](https://raw.githubusercontent.com/Phoeky/dsh-scnet-connect/master/.github/assets/settings-models.png)
 
 ---
 
@@ -200,6 +200,23 @@ dsh plugin --profile desktop add link:.
 
 </details>
 
+### 运行时开关与清单位置
+
+| 状态 | 文件 | 说明 |
+| --- | --- | --- |
+| 「只显示免费模型」 | `$DSH_HOME/scnet-connect-preferences.json` | 设置页切换后会记住；**优先级高于配置文件里的 `freeOnly`**。想回到配置文件的值，删掉这个文件 |
+| 「退出登录 / 恢复使用」 | `$DSH_HOME/scnet-connect-suspended.json` | 退出后连客户端凭据一并停用，重启 DSH 仍生效 |
+| 免客户端登录会话 | `$DSH_HOME/scnet-session.json` | 含 Cookie 与 `sk-` key（创建时按 `0600`），退出即删 |
+| 诊断快照 | `$DSH_HOME/scnet-connect-status[.<profile>].json` | 只读排障用，`registered` / 模型 / 掩码 key；文件名带 profile，多个 profile 不会互相覆盖 |
+
+### 关于模型元数据
+
+模型描述符的字段来源是**配置 > 客户端目录 > 内置默认**，但有两处按目录的真实语义读：
+
+- **输入能力**：目录里没写 `input` 就按纯文本处理（不会凭空给陌生模型加图片能力）；
+- **思考等级**：目录里 `thinkingMode: "levels"` 或 `reasoning: true` 才算支持思考。当前 `SCNet-Max` 的目录条目是 `reasoning: false` + `thinkingMode: "levels"` —— 客户端 UI 也是按分等级展示的，所以插件判为支持；
+- **工具调用**：目录标 `toolCalling: false` 的模型仍会注册（DSH 是 agent，无法在描述符里表达「不下发工具」），但设置页会给它打「不支持工具」标，选中前请留意。
+
 ### 关于 `retryOnTransientErrors`
 
 SCNet 在推理实例切换/回收时会返回这种响应：
@@ -242,9 +259,10 @@ HTTP 503
 ## 安全
 
 - **不接收账号密码**：只走短信验证码，密码从不经过插件。
-- 登录会话存于 `$DSH_HOME/scnet-session.json`（权限 `0600`），退出登录即删除。
+- 登录会话存于 `$DSH_HOME/scnet-session.json`，创建时按 `0600` 打开、退出登录即删除。Windows 上 `chmod` 只切只读位，实际可读性由该目录的 ACL 决定，请自行确认 ACL 没有放开。
 - **这两样东西等价于你的账号权限**：不要复制给他人，不要提交进仓库。
-- 插件只在本机回环地址上暴露设置页路由，且**不返回** Key / Cookie / 验证码明文。
+- 插件只在本机回环地址上暴露设置页路由，响应里**不返回** Key / Cookie / 验证码明文（只给掩码 `sk-NTM4L…MjM=`）。
+- 这些路由当前**没有额外的来源校验**：能访问本机 `127.0.0.1:<port>` 的进程（含本机其他程序）可以读取状态、触发刷新/登出。不要把这个端口通过反向代理暴露到局域网。
 - 若用 `apiKey` 配置项，它以明文存在 profile 的 `cordis.patch.yml` 里，请自行控制权限。
 
 > `sk-` Key 是账号级凭据、与 SCNet 客户端共用，平台没有吊销接口。
@@ -252,12 +270,33 @@ HTTP 503
 
 ---
 
+## 卸载
+
+```bash
+dsh plugin --profile desktop remove dsh-scnet-connect
+```
+
+插件自己的状态文件不会跟着删掉（它们是本机排障/偏好数据，不是包内容），需要时手动清理：
+
+```powershell
+Remove-Item "$env:USERPROFILE\.dsh\scnet-connect-status*.json" -ErrorAction SilentlyContinue
+Remove-Item "$env:USERPROFILE\.dsh\scnet-connect-suspended.json" -ErrorAction SilentlyContinue
+Remove-Item "$env:USERPROFILE\.dsh\scnet-connect-preferences.json" -ErrorAction SilentlyContinue
+Remove-Item "$env:USERPROFILE\.dsh\scnet-session.json" -ErrorAction SilentlyContinue
+```
+
+`scnet-session.json` 里有 `sk-` key 与平台 Cookie，不再使用本插件时建议一并删除。
+
+---
+
 ## 已知限制
 
 - 免费模型取决于平台：目前只有 `SCNet-Max` 标记为 `free`。
 - 「免费」是平台侧的**限时**政策，不是永久免费；本插件不提供额度，也不绕过计费。
 - 插件内**不提供微信扫码**（平台二维码接口对非微信客户端恒返回 402）。
 - 用的是未公开的客户端内部接口，SCNet 客户端升级后可能变化。
+- 模型功能要求 DSH `>=0.2.0-rc.1`；**设置页**需要 `0.2.2` 及以上（`settings.section` slot）。低版本上模型照常可用，只是没有设置页卡片，登录要在配置里指定 `apiKey`。
+- 上下文窗口按平台实测值声明 1M，但单次请求的 `prompt + max_tokens` 仍受 1,048,576 总量约束；DSH 的自动压缩阈值通常留有余量，若手动调大压缩阈值，接近上限的长对话可能被上游以 `10013` 拒绝。
 
 ---
 
@@ -265,19 +304,22 @@ HTTP 503
 
 ```bash
 git clone https://github.com/Phoeky/dsh-scnet-connect.git && cd dsh-scnet-connect
-node tools/check.mjs          # 自检：凭据、模型目录、账号
-node tools/check.mjs --live   # 额外请求一次 /models
+node tools/check.mjs            # 自检：凭据、模型目录、账号
+node tools/check.mjs --live     # 额外请求一次 /models
+npm run check:fetch             # 错误归一化 + 归类（离线，无需凭据）
 ```
 
 ```text
 lib/index.js            插件入口：注册 provider、设置页路由
 lib/client.js           浏览器侧：设置页卡片
+lib/scnet-fetch.js      上游 5xx 抖动的错误归一化（可重试）
 lib/scnet-login.js      免客户端登录状态机
 lib/scnet-platform.js   平台接口封装
 lib/scnet-web-login.js  短信登录与验证码
 lib/scnet-catalog.js    模型目录发现与过滤
 lib/scnet-credential.js 客户端凭据读取
 lib/scnet-models.js     模型描述符
+tools/fake-gateway.mjs  本地假网关（前 N 次 chat 返回 503/10008，用于复现重试）
 ```
 
 ## License

package/cordis.patch.yml

@@ -24,6 +24,7 @@
         # maxTokens: 0        # 0 = 跟随客户端目录 / 内置默认
         # inputImages: true
         # reasoning: true
-        # verifyWithGateway: true  # 刷新模型时用 GET /models 校验可用性
-        # freeOnly: true           # 只注册免费模型（默认开）
+        # verifyWithGateway: true    # 刷新模型时用 GET /models 校验可用性
+        # retryOnTransientErrors: true  # 把 5xx 却自称 invalid_request 的抖动改写成可重试错误
+        # freeOnly: true           # 只注册免费模型（默认开；设置页切换会覆盖它）
         # credentialSource: auto   # auto | client | login

package/lib/client.js

@@ -247,6 +247,9 @@ window.__ModuleLoader__.load({
     function AccountGroup({ data }) {
       const account = data && data.account;
       const credential = data && data.credential;
+      // 账号可能来自 SCNet 客户端（带 loggedIn），也可能来自设置页的免客户端登录
+      // （没有 loggedIn）。不区分来源就会把「已登录」显示成「未检测到登录态」。
+      const viaLogin = Boolean(account) && (account.source === 'login' || account.fromLogin === true);
       const rows = [];
 
       if (account) {
@@ -281,8 +284,8 @@ window.__ModuleLoader__.load({
             h(
               'span',
               { style: styles.value },
-              account.loggedIn ? 'SCNet 客户端已登录' : '未检测到登录态',
-              account.tokenExpiresAt
+              viaLogin ? '免客户端登录已登录' : account.loggedIn ? 'SCNet 客户端已登录' : '未检测到登录态',
+              !viaLogin && account.tokenExpiresAt
                 ? h('span', { style: styles.muted }, `（平台 token ${formatExpiry(account.tokenExpiresAt)}）`)
                 : null,
             ),
@@ -395,6 +398,11 @@ window.__ModuleLoader__.load({
                   Array.isArray(model.input) && model.input.includes('image')
                     ? h('span', { style: styles.badge }, '图片')
                     : null,
+                  // 目录明确说「不支持工具调用」时标出来：DSH 是 agent，仍然会下发
+                  // 工具定义，用户选它之前值得知道这个模型可能忽略工具。
+                  model.toolCalling === false
+                    ? h('span', { style: { ...styles.badge, ...styles.warn } }, '不支持工具')
+                    : null,
                 ),
                 h(
                   'span',
@@ -590,7 +598,10 @@ window.__ModuleLoader__.load({
       ];
 
       // 已退出登录：本插件整体停用（连客户端凭据也不再供 key）。
-      if (data && data.suspended) {
+      // 但仍然把登录表单留在下面 —— 退出后想直接换个账号登录是常见动作，
+      // 逼用户先点「恢复使用」再登录只是多余的一步（登录成功本身就会恢复供 key）。
+      const suspendedView = Boolean(data && data.suspended);
+      if (suspendedView) {
         children.push(
           h(
             'div',
@@ -607,10 +618,13 @@ window.__ModuleLoader__.load({
               { type: 'button', style: buttonStyle(busy !== null), disabled: busy !== null, onClick: resume },
               busy === 'resume' ? '恢复中…' : '恢复使用',
             ),
-            h('span', { style: styles.hint }, '恢复后按「当前凭据来源」重新供 key；想彻底不用请卸载插件。'),
+            h(
+              'span',
+              { style: styles.hint },
+              '恢复后按「当前凭据来源」重新供 key；也可以直接在下面重新登录。',
+            ),
           ),
         );
-        return h('div', { style: styles.group }, h('div', { style: styles.groupTitle }, '免客户端登录'), children);
       }
 
       if (login.maskedKey) {
@@ -645,7 +659,8 @@ window.__ModuleLoader__.load({
         );
       }
 
-      if (authorized) {
+      // 停用状态下优先展示登录表单（重新登录即恢复供 key），不展示「检查/退出」。
+      if (authorized && !suspendedView) {
         children.push(
           h(
             'div',
@@ -681,9 +696,11 @@ window.__ModuleLoader__.load({
         h(
           'div',
           { style: styles.hint, key: 'intro' },
-          expired
-            ? '平台会话已过期，重新用手机验证码登录一次即可（不需要客户端）。'
-            : '不安装 SCNet 客户端也能用：用手机号收一条短信验证码登录平台，插件会自己换到模型 Key。',
+          suspendedView
+            ? '重新登录会同时恢复本插件供 key。'
+            : expired
+              ? '平台会话已过期，重新用手机验证码登录一次即可（不需要客户端）。'
+              : '不安装 SCNet 客户端也能用：用手机号收一条短信验证码登录平台，插件会自己换到模型 Key。',
         ),
       );
 
@@ -777,9 +794,21 @@ window.__ModuleLoader__.load({
       const status = useStatus();
       const { loading, data, error, refreshing, refresh } = status;
       const [override, setOverride] = react.useState(null);
-      // 登录动作会带回新的 status；优先显示它，直到下一次 load/refresh。
+      // 登录/切换开关会带回新的 status；优先显示它，直到下一次 load/refresh。
       const view = override || data;
 
+      /**
+       * 「刷新模型」必须先把 override 清掉。
+       *
+       * 否则一旦本页做过登录/退出/切换开关（`override` 被写入），
+       * 之后每次刷新都只是更新 `data`，而 `view` 仍然取 `override` ——
+       * 请求确实发出去了，界面却停在旧状态（连「状态更新于」的时间都不动）。
+       */
+      const doRefresh = react.useCallback(async () => {
+        setOverride(null);
+        await refresh();
+      }, [refresh]);
+
       const buttonStyle = refreshing ? { ...styles.button, ...styles.buttonDisabled } : styles.button;
 
       return h(
@@ -804,7 +833,7 @@ window.__ModuleLoader__.load({
               type: 'button',
               style: buttonStyle,
               disabled: refreshing,
-              onClick: refresh,
+              onClick: doRefresh,
               title: '重新读取模型目录，并用网关校验可用性',
             },
             refreshing ? '刷新中…' : '刷新模型',

package/lib/index.js

@@ -51,6 +51,8 @@ export const PROVIDER_NAME = 'SCNet Connect';
 export const ROUTE_PREFIX = '/plugins/dsh-scnet-connect';
 /** 单条流允许的最大空闲时间。 */
 const STREAM_IDLE_TIMEOUT_MS = 300_000;
+/** 设置页请求体上限（只会发很小的 JSON；超过按 413 拒绝）。 */
+const MAX_JSON_BODY_BYTES = 64 * 1024;
 /** 与 pi-ai 约定的图片预算（SCNet 支持图片输入）。 */
 const REQUEST_IMAGE_BUDGETS = {
   maxRequestImageBytes: 20_971_520,
@@ -177,17 +179,46 @@ function parseModelIds(...values) {
   return ids;
 }
 
-/** 给 route handler 用的 JSON 响应。 */
-function sendJson(res, status, body) {
+/**
+ * 给 route handler 用的 JSON 响应。
+ *
+ * `head` 为真时只发头、不发体：HEAD 请求带 body 既违反语义，也会让
+ * `content-length` 与实际传输长度对不上（抓包工具会报协议错误）。
+ *
+ * @param {import('node:http').ServerResponse} res
+ * @param {number} status
+ * @param {any} body
+ * @param {{ head?: boolean }} [options]
+ */
+function sendJson(res, status, body, options = {}) {
   const payload = `${JSON.stringify(body, null, 2)}\n`;
   res.writeHead(status, {
     'content-type': 'application/json; charset=utf-8',
     'cache-control': 'no-store',
     'content-length': Buffer.byteLength(payload),
   });
+  if (options.head) {
+    res.end();
+    return;
+  }
   res.end(payload);
 }
 
+/** 本插件的 `$DSH_HOME`（与 DSH 自身一致：环境变量优先，否则 ~/.dsh）。 */
+function dshHome() {
+  return process.env.DSH_HOME?.trim() || path.join(os.homedir(), '.dsh');
+}
+
+/**
+ * 当前 profile 名（诊断文件名用它区分实例）。
+ *
+ * `DSH_PROFILE` 由 DSH 启动器注入；拿不到时退回空串，文件名保持旧形状。
+ */
+function dshProfileName() {
+  const raw = process.env.DSH_PROFILE?.trim() || '';
+  return raw.replace(/[^\w.-]/g, '_');
+}
+
 /**
  * @param {any} ctx cordis context
  * @param {any} config 由 Config schema 校验后的配置
@@ -208,6 +239,40 @@ export async function apply(ctx, config) {
     freeOnly: config?.freeOnly !== false,
   };
 
+  /**
+   * 设置页可写的偏好（**持久化**）。
+   *
+   * 目前只有「只显示免费模型」。这个开关是运行时切换的，但用户按过一次之后
+   * 期望它一直生效；只放内存的话重启 DSH 就悄悄回到配置默认值，
+   * 用户看到的现象是「我关掉的开关自己回来了」。
+   *
+   * 优先级：设置页写入的偏好 > 配置文件里的 `freeOnly` > 内置默认（true）。
+   * 想回到配置文件的值，删掉 `$DSH_HOME/scnet-connect-preferences.json` 即可。
+   */
+  const preferencesFile = () => path.join(dshHome(), 'scnet-connect-preferences.json');
+  function readPreferences() {
+    try {
+      const raw = JSON.parse(fs.readFileSync(preferencesFile(), 'utf8'));
+      return raw && typeof raw === 'object' ? raw : {};
+    } catch {
+      return {};
+    }
+  }
+  function writePreferences(patch) {
+    try {
+      const file = preferencesFile();
+      fs.mkdirSync(path.dirname(file), { recursive: true });
+      const next = { ...readPreferences(), ...patch, updatedAt: new Date().toISOString() };
+      fs.writeFileSync(file, `${JSON.stringify(next, null, 2)}\n`, 'utf8');
+    } catch {
+      // 写不了不影响本次运行；只是重启后会丢这次切换。
+    }
+  }
+  const storedPreferences = readPreferences();
+  /** 生效的「只注册免费模型」：设置页写过的值优先于配置文件。 */
+  const initialFreeOnly =
+    typeof storedPreferences.freeOnly === 'boolean' ? storedPreferences.freeOnly : options.freeOnly;
+
   /**
    * 「用户主动停用」开关（**持久化**）。
    *
@@ -218,10 +283,7 @@ export async function apply(ctx, config) {
    * 必须落盘：只在内存里的话，重启 DSH / 换个进程就又活了，
    * 「退出登录」变成一次性的假动作。
    */
-  const suspendedFile = () => {
-    const home = process.env.DSH_HOME?.trim() || path.join(os.homedir(), '.dsh');
-    return path.join(home, 'scnet-connect-suspended.json');
-  };
+  const suspendedFile = () => path.join(dshHome(), 'scnet-connect-suspended.json');
   function readSuspended() {
     try {
       const raw = JSON.parse(fs.readFileSync(suspendedFile(), 'utf8'));
@@ -252,15 +314,19 @@ export async function apply(ctx, config) {
   };
 
   /**
-   * 诊断快照：写到 `$DSH_HOME/scnet-connect-status.json`（默认 ~/.dsh）。
+   * 诊断快照：写到 `$DSH_HOME/scnet-connect-status[.<profile>].json`。
    *
    * 目的：DSH 的 host 日志不落盘，用户（和插件作者）需要一种确认「插件是否真的
    * 被装配、provider 是否注册、凭据是否找到、注册了哪些模型」的方式。
-   * 该文件不含 key 明文；卸载时会被删掉，避免留下过期的 `registered: true`。
+   * 该文件不含 key 明文；卸载时会被标记为未注册，避免留下过期的 `registered: true`。
+   *
+   * 文件名带 profile：同一 `DSH_HOME` 下同时跑 desktop 与 tui 时，
+   * 两个实例不会互相覆盖对方刚写的快照（`DSH_PROFILE` 拿不到时退回旧文件名）。
    */
   function statusFilePath() {
-    const home = process.env.DSH_HOME?.trim() || path.join(os.homedir(), '.dsh');
-    return path.join(home, 'scnet-connect-status.json');
+    const profile = dshProfileName();
+    const suffix = profile ? `.${profile}` : '';
+    return path.join(dshHome(), `scnet-connect-status${suffix}.json`);
   }
   function writeStatus(fields) {
     try {
@@ -269,7 +335,13 @@ export async function apply(ctx, config) {
       fs.writeFileSync(
         file,
         `${JSON.stringify(
-          { plugin: 'dsh-scnet-connect', pid: process.pid, updatedAt: new Date().toISOString(), ...fields },
+          {
+            plugin: 'dsh-scnet-connect',
+            pid: process.pid,
+            profile: dshProfileName() || undefined,
+            updatedAt: new Date().toISOString(),
+            ...fields,
+          },
           null,
           2,
         )}\n`,
@@ -366,24 +438,27 @@ export async function apply(ctx, config) {
   }
 
   /**
-   * 启动自检用的同步凭据快照（不做网络请求）。
+   * 模型目录用的 key：客户端凭据优先，其次登录会话（必要时现换，可能打一次平台）。
    *
-   * 真正的解析在请求期由 `resolveCredential()` 异步完成（免客户端模式下可能要
-   * 向平台换 key）；这里只读本地已有的东西，避免启动时打网络。
-   */
-  const resolveCurrentApiKey = () => (suspended ? '' : login.currentKey() || '');
-
-  /**
-   * 模型目录用的同步 key：客户端凭据优先，其次登录缓存。
    * 网关校验只是「锦上添花」，拿不到 key 时目录退回本地/内置，不影响使用。
+   * 这里允许 `await`：登录缓存的 key 过期时，`/refresh`（用户主动动作）应当
+   * 换一个新 key 再校验，否则会拿过期 key 去请求网关、误报「校验失败」。
    */
-  const catalogApiKey = () => {
+  const catalogApiKey = async () => {
     if (suspended) return '';
     try {
       const resolved = resolveApiKey({ credentialDir: options.credentialDir, apiKey: options.apiKey });
       if (resolved.key && credentialSource !== 'login') return resolved.key;
     } catch {
-      // 客户端不可用：继续看登录缓存。
+      // 客户端不可用：继续看登录会话。
+    }
+    if (login.hasSession()) {
+      try {
+        const key = await login.ensureKey();
+        if (key) return key;
+      } catch {
+        // 换 key 失败：退回缓存值（可能已过期），让网关校验如实失败。
+      }
     }
     return login.currentKey() || options.apiKey.trim();
   };
@@ -393,7 +468,7 @@ export async function apply(ctx, config) {
     modelIds: options.modelIds,
     resolveApiKey: catalogApiKey,
     verifyWithGateway: options.verifyWithGateway,
-    freeOnly: options.freeOnly,
+    freeOnly: initialFreeOnly,
   });
 
   const buildModels = () => {
@@ -408,6 +483,8 @@ export async function apply(ctx, config) {
             : modelLabel(meta, meta.id),
         baseUrl: options.baseUrl,
         meta,
+        // provider 名从常量来，避免描述符里再写一份字面量。
+        provider: PROVIDER_ID,
         contextWindow: options.contextWindow,
         maxTokens: options.maxTokens,
         inputImages: options.inputImages,
@@ -570,16 +647,25 @@ export async function apply(ctx, config) {
     const credential = registered ? await describeCredential() : credentialInfo;
     const models = buildModels();
     const loginState = login.snapshot();
+    // 账号来源要显式标注：客户端账号带 loggedIn，登录账号没有。
+    // 不标的话设置页会把「免客户端登录已登录」显示成「未检测到登录态」。
+    const clientAccount = accountInfo();
+    const account = clientAccount
+      ? { ...clientAccount, source: 'client' }
+      : loginState.account
+        ? { ...loginState.account, source: 'login' }
+        : null;
     return {
       plugin: 'dsh-scnet-connect',
       updatedAt: new Date().toISOString(),
       registered,
+      profile: dshProfileName() || undefined,
       provider: PROVIDER_ID,
       providerName: PROVIDER_NAME,
       baseUrl: options.baseUrl,
       credentialSource,
       suspended,
-      account: accountInfo() ?? (loginState.account ? { ...loginState.account, fromLogin: true } : null),
+      account,
       login: {
         phase: loginState.phase,
         source: loginState.source,
@@ -592,7 +678,8 @@ export async function apply(ctx, config) {
         error: loginState.error,
         loginPageUrl: loginState.loginPageUrl,
         sessionFile: login.sessionFilePath(),
-        hasClientCredential: credentialInfo.source !== 'unavailable',
+        // 现读，不沿用启动时的快照：用户中途装了客户端也要如实反映。
+        hasClientCredential: describeClientCredential().source !== 'unavailable',
       },
       catalog: {
         source: snapshot.source,
@@ -604,9 +691,9 @@ export async function apply(ctx, config) {
         error: snapshot.error,
       },
       models: models.map((model) => {
-        // `buildModel()` 是给 provider 用的描述符，不带价格字段；
-        // 价格来自 catalog 元数据，必须在这里补，否则设置页会把
-        // 免费的 SCNet-Max 标成「计费」。
+        // `buildModel()` 是给 provider 用的描述符，不带价格/工具能力字段；
+        // 它们来自 catalog 元数据，必须在这里补，否则设置页会把
+        // 免费的 SCNet-Max 标成「计费」、把不支持工具的模型标成可用。
         const meta = snapshot.models.find(
           (entry) => entry.id.toLowerCase() === model.id.toLowerCase(),
         );
@@ -618,6 +705,7 @@ export async function apply(ctx, config) {
           input: model.input,
           reasoning: model.reasoning,
           priceLabel: meta?.priceLabel,
+          toolCalling: meta?.toolCalling,
         };
       }),
       credential,
@@ -684,15 +772,28 @@ export async function apply(ctx, config) {
         });
       }
 
-      /** 读取并限制大小的 JSON 请求体（设置页只会发很小的对象）。 */
+      /**
+       * 读取并限制大小的 JSON 请求体（设置页只会发很小的对象）。
+       *
+       * 超限时返回 `null`（而不是 `{}`）：把「请求体非法」和「请求体是空对象」
+       * 区分开，否则一个 1MB 的请求会被当成 `{}` 继续执行，违反调用方意图。
+       *
+       * @returns {Promise<object | null>} `null` = 请求体超限
+       */
       function readJsonBody(req) {
         return new Promise((resolve) => {
           const chunks = [];
           let size = 0;
+          let settled = false;
+          const finish = (value) => {
+            if (settled) return;
+            settled = true;
+            resolve(value);
+          };
           req.on('data', (chunk) => {
             size += chunk.length;
-            if (size > 64 * 1024) {
-              resolve({});
+            if (size > MAX_JSON_BODY_BYTES) {
+              finish(null);
               req.destroy();
               return;
             }
@@ -701,22 +802,22 @@ export async function apply(ctx, config) {
           req.on('end', () => {
             const text = Buffer.concat(chunks).toString('utf8').trim();
             if (!text) {
-              resolve({});
+              finish({});
               return;
             }
             try {
               const parsed = JSON.parse(text);
-              resolve(parsed && typeof parsed === 'object' ? parsed : {});
+              finish(parsed && typeof parsed === 'object' ? parsed : {});
             } catch {
-              resolve({});
+              finish({});
             }
           });
-          req.on('error', () => resolve({}));
+          req.on('error', () => finish({}));
         });
       }
 
       /** 登录动作结束后统一回一套「状态 + 动作结果」。 */
-      const loginResponse = (action) => async (res, payload = {}) => {
+      const loginResponse = (action) => async (res) => {
         const status = await buildStatus(true);
         writeStatus(status);
         // 登录状态变了，模型目录的网关校验也可能要重来。
@@ -728,7 +829,7 @@ export async function apply(ctx, config) {
           route(
             '/status',
             async (req, res) => {
-              sendJson(res, 200, await buildStatus(true));
+              sendJson(res, 200, await buildStatus(true), { head: req.method === 'HEAD' });
             },
             { methods: ['GET', 'HEAD'] },
           ),
@@ -745,12 +846,17 @@ export async function apply(ctx, config) {
           }),
         );
 
-        // 运行时切换「只显示免费模型」：不需要改配置、不需要重启。
+        // 运行时切换「只显示免费模型」：不需要改配置、不需要重启，且会记住。
         disposers.push(
           route('/catalog/free-only', async (req, res) => {
             const body = await readJsonBody(req);
+            if (body === null) {
+              sendJson(res, 413, { error: '请求体过大' });
+              return;
+            }
             const next = body.freeOnly !== false;
             catalog.setFreeOnly(next);
+            writePreferences({ freeOnly: next });
             await catalog.refresh();
             rebuild();
             const status = await buildStatus(true);
@@ -770,6 +876,10 @@ export async function apply(ctx, config) {
         disposers.push(
           route('/login/sms', async (req, res) => {
             const body = await readJsonBody(req);
+            if (body === null) {
+              sendJson(res, 413, { error: '请求体过大' });
+              return;
+            }
             const result = await login.sendSmsCode(body.phone, body.captcha);
             sendJson(res, result.ok ? 200 : 400, result);
           }),
@@ -778,6 +888,10 @@ export async function apply(ctx, config) {
         disposers.push(
           route('/login/submit', async (req, res) => {
             const body = await readJsonBody(req);
+            if (body === null) {
+              sendJson(res, 413, { error: '请求体过大' });
+              return;
+            }
             const result = await login.loginWithSms({
               phone: typeof body.phone === 'string' ? body.phone : undefined,
               smsCode: typeof body.smsCode === 'string' ? body.smsCode : undefined,