dsh-subusage 0.10.7 → 0.10.9

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 KouzakiUmi
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.md

@@ -6,7 +6,7 @@
 
 > **English.** dsh-subusage shows subscription quota and balance for the AI providers you already use, as a pill next to the model selector in DeepSeek Harness. Provider switches and credentials live in one settings page, and other plugins or agents can read the same snapshot through a read-only quota API.
 
-[![npm version](https://img.shields.io/badge/npm-0.10.7-blue)](https://www.npmjs.com/package/dsh-subusage)
+[![npm version](https://img.shields.io/badge/npm-0.10.9-blue)](https://www.npmjs.com/package/dsh-subusage)
 [![license](https://img.shields.io/badge/license-MIT-green)](#license--security--许可与安全)
 [![DSH](https://img.shields.io/badge/DSH-%3E%3D0.2.0--rc.1%20%3C0.3.0--0-informational)](#compatibility--兼容性)
 
@@ -62,15 +62,53 @@
 
 非公开控制台接口可能变更；缺失或非法百分比不会被当作零用量；「读取成功」只表示接口读取健康度，不保证仍有额度。
 
+## Support status / 实测覆盖
+
+### 已实测验证
+
+下面这些在**真实账号**上跑通过（本仓库开发机 + 各家的官方 CLI / 插件）：
+
+| 提供商 | 验证范围 | 凭据来源 |
+|---|---|---|
+| 火山方舟 Agent Plan（个人版，`arkcli-agent-plan`） | 5 小时 / 周 / 月 AFP 绝对值 + 日限额 + 档位 | 本机 IAM AK/SK 直连 `GetAFPUsage`，HTTP 200 |
+| 火山方舟 Coding Plan（个人版，`arkcli-coding-plan`） | session / weekly / monthly 三个窗口 | 同一组 AK/SK 直连 `GetCodingPlanUsage`，HTTP 200 |
+| Kimi Coding | 5 小时 / 周 / 月窗口 | 真实 Key |
+| 小米 MiMo | 余额 + 套餐额度 | 真实平台会话 Cookie（含自动登录） |
+| Command Code | 月额度 | 提供方插件的凭据链 |
+| SuperGrok | 统一周池 + 加量余额 | 真实 `~/.grok/auth.json` |
+| Codex (ChatGPT) | 主 / 次窗口 + 档位 | 真实 `~/.codex/auth.json`（本插件默认关闭） |
+
+### 未验证
+
+其余提供商**只经过桩测试**——响应形态取自公开文档、第三方实现或抓包，**没有在真实账号上跑通过**：
+
+> Z.ai（中国与国际）、OpenCode Go、MiniMax（中国与国际）、Synthetic、NanoGPT、SiliconFlow、DeepSeek、OpenRouter、Novita、Hyperbolic、DeepInfra、Chutes、Ollama Cloud、Vercel AI Gateway、ZenMux、LiteLLM，以及火山方舟的**团队版席位**与 **BytePlus 站点**。
+
+它们可能可用，也可能因为接口变更、字段差异或权限要求而失败。**本插件只保证上面那张表里的**。
+
+如果你用了其中之一，不管成功还是失败，都欢迎[开 issue](https://github.com/KouzakiUmi/dsh-subusage/issues)——附上提供商名称、错误文案与 DSH 版本即可（**不要贴 Key 或 Cookie**）。失败和成功一样有用：失败帮我们修适配，成功帮我们把这一行挪进上表。
+
+### 主要风险
+
+- **额度数字仅供参考，不要当计费依据。** 各家的额度接口都是未公开或半公开的，字段语义可能随时变化；本插件不做任何换算，读到什么显示什么。
+- **未验证的提供商会随接口变化而失效**（见上一节）。失效时在设置页关掉那一家的检测即可，其余不受影响；欢迎开 issue 帮我们补上。
+- **凭据以明文落盘**：本插件的配置不是加密凭据库；Windows 上真正的访问边界取决于目录 ACL，`chmod` 不能替代它。
+- **火山方舟是账号级读取**：一组 IAM AK/SK 能查到该账号名下**所有**套餐（Agent Plan、Coding Plan、团队席位）。把装了本插件的机器或配置文件交给别人时请注意这一点。
+- **浏览器自动化**：MiMo 的自动登录会启动一个隔离的 Chromium 会话——不点「登录并自动导入」就不会触发。
+- **收录不等于安全审计**：无论 DSH STORE 还是 awesome-dsh-plugin，收录只表示满足它们各自的清单规则，都不是对代码的安全审查。
+
 ## Compatibility / 兼容性
 
 | 项目 | 值 | 来源 |
 |---|---|---|
-| 核心 peer 范围 | `@deepseek-ai/dsh` 及各核心包均为 `>=0.2.0-rc.1 <0.3.0-0`（允许该范围内的预发布版本） | [`package.json`](package.json) 的 `peerDependencies` |
-| 开发目标版本 | DeepSeek Harness `0.2.0-rc.2` | [开发与验证说明](docs/development.md) |
-| 最后验证日期 | `2026-10-09` | 同上 |
+| 核心 peer 范围 | `@deepseek-ai/dsh` 及各核心包均为 `>=0.2.0-rc.1 <0.2.1-0 \|\| >=0.2.1-0 <0.3.0-0` | [`package.json`](package.json) 的 `peerDependencies` |
+| Node.js | `>=22.19.0` | `engines` 与 `dsh.compatibility.node` |
+| 已验证的 Core 版本 | `0.2.1-alpha.1` | 本机实机运行；逐版本状态见 `dsh.compatibility.dshReleases` |
+| 最后验证日期 | `2026-10-10` | [开发与验证说明](docs/development.md) |
+
+> **范围里那个 `||` 分支不是冗余。** node-semver 只有在范围中**某个比较符与该版本的 `major.minor.patch` 元组完全一致、且自身带预发布标签**时，才放行预发布版本。所以 `>=0.2.0-rc.1 <0.3.0-0` 这种看起来覆盖 0.2.x 的写法会**静默排除** `0.2.1-alpha.1`——而它正是当前活跃版本。必须为每个 minor 元组各写一个带预发布标签的分支。
 
-声明范围不代表范围内所有版本都已实机验证；实际验证范围（在线接口、真实账号、浏览器像素验收等）见 [开发与验证说明](docs/development.md)。这是树外 Host / Client bundle，通过 `cordis.patch.yml` 插入，不修改 DSH 核心、安装树或 ASAR。
+`dsh.compatibility.dshReleases` 逐版本声明已知状态：**只有实际验证过的标 `compatible`**，其余一律 `unknown`——没有证据不猜。声明范围不代表范围内所有版本都已实机验证；实际验证范围（在线接口、真实账号、浏览器像素验收等）见 [开发与验证说明](docs/development.md)。这是树外 Host / Client bundle，通过 `cordis.patch.yml` 插入，不修改 DSH 核心、安装树或 ASAR。
 
 ## Install / 安装
 
@@ -81,10 +119,13 @@
 | 本地开发目录 | 仓库路径 | 以链接方式使用工作副本 |
 
 ```console
-# npm 包名
+# npm 包名（推荐：预构建，免构建授权）
 dsh plugin --profile <profile> add dsh-subusage
 
-# GitHub Release tarball（尚未经市场收录时的完整 URL）
+# GitHub 固定 Commit（DSH STORE / awesome-dsh-plugin 只接受这种来源）
+dsh plugin --profile <profile> add 'git+https://github.com/KouzakiUmi/dsh-subusage.git#<40 位完整 Commit>'
+
+# GitHub Release tarball（资产名不带版本号，所以这个地址不会随发版而失效）
 dsh plugin --profile <profile> add https://github.com/KouzakiUmi/dsh-subusage/releases/latest/download/dsh-subusage.tgz
 
 # 本地开发目录（link 工作副本）
@@ -100,8 +141,10 @@ dsh plugin --profile <profile> remove dsh-subusage
 ```
 
 - `<profile>` 换成目标 profile；**Desktop 请使用随包 DSH CLI 或应用内插件管理页**，PATH 上的 npm 全局 `dsh` 不一定是它。参数与 profile 名以目标部署的 `dsh plugin --help` 为准；桌面插件页同样接受包名、GitHub 地址或本地目录。
+- **不要用浮动分支**（`#main`）安装：市场与商店只认固定到完整 40 位 Commit 的来源，浮动分支无法核实你装到的到底是哪份代码。
 - 安装只把包放进 profile，**不等于已启用**；按部署方式重载或重启，让 Host 与 Client 一起生效（只刷新页面不保证 Host 升级）。
 - 只取压缩包：`npm pack dsh-subusage`；核对发布结果：`npm view dsh-subusage version dist-tags`。
+- 本包**没有** `preinstall` / `install` / `postinstall` / `prepare` 脚本，安装期不执行任何代码；也不需要 pnpm 的 `allowBuilds` 授权。
 
 ## Quick start / 快速开始
 
@@ -227,7 +270,17 @@ ark-coding-plan-byteplus ARK_CODING_PLAN_BYTEPLUS_API_KEY
 | `~/.grok/auth.json`（回退 `~/.dsh/.xai-oauth-auth.json`） | Grok CLI / dsh-grok-kit 的 OAuth 登录 | **只读**，不保存、不刷新 |
 | `~/.commandcode/auth.json` | Command Code CLI（`cmd login`）的 Key | **只读**兜底 |
 
-**网络访问**：只连上面清单里各家自己的额度 / 余额端点，以及 `platform.xiaomimimo.com`（MiMo 用量与登录）、`api.commandcode.ai`、`cli-chat-proxy.grok.com`、`chatgpt.com/backend-api`、火山管控面 `open.volcengineapi.com` / `ark.ap-southeast-1.byteplusapi.com`，外加你自己填写的 LiteLLM proxy 地址。完整域名表见 [网络端点](docs/providers.md#网络端点)。MiMo 自动登录会另外打开官方平台页面，由你在该页面自行输入密码与验证码。
+**网络访问**：只连上面清单里各家自己的额度 / 余额端点，以及 `platform.xiaomimimo.com`（MiMo 用量与登录）、`api.commandcode.ai`、`cli-chat-proxy.grok.com`、`chatgpt.com/backend-api`、火山管控面 `open.volcengineapi.com`，外加你自己填写的 LiteLLM proxy 地址。完整域名表见 [网络端点](docs/providers.md#网络端点)。MiMo 自动登录会另外打开官方平台页面，由你在该页面自行输入密码与验证码。**本插件没有自己的服务器，不做遥测，也不把你的数据发给任何第三方。**
+
+**命令、进程与安装期行为**
+
+| 项 | 情况 |
+|---|---|
+| 执行外部命令 | **不执行**。没有任何 shell 调用 |
+| 生命周期脚本 | `preinstall` / `install` / `postinstall` / `prepare` **全部没有**；安装期不运行任何代码 |
+| 运行依赖 | `playwright-core`（唯一一个）。只用于可选的 MiMo 自动登录；**不下载浏览器**，用你本机已有的 Chrome/Chromium |
+| 浏览器 | 只有你点「登录并自动导入」时才启动一个**隔离的**临时会话，五分钟未完成自动超时；不读你日常浏览器的配置、Cookie 或 profile |
+| DSH 核心 | 不修改源码树、不碰任何 `@deepseek-ai/*` 包、不遮蔽官方插件清单；只用公开 Host 服务与 `cordis.patch.yml` 插入自己的行 |
 
 **密钥如何处理**
 

package/lib/client.js

@@ -282,8 +282,6 @@ window.__ModuleLoader__.load({
 			// 旧插件 @volcengine/ark-plan-api 的国内两条路由已从 Host 移除（实测与 arkcli 查同一份订阅、
 			// 同一组 AK/SK）。它们的 id 不在本表里，由 ROUTE_PROVIDER_ALIAS 在入口归并到 arkcli 路由，
 			// 装了旧插件的用户选中那些模型的药丸照常显示。
-			// BytePlus 是唯一「同 Action 不同 host」的：独立站点、独立订阅，所以保留自己的条目。
-			"ark-coding-plan-byteplus": { label: "Ark Coding Plan (BytePlus, legacy plugin)", short: "Ark BytePlus", envName: "ARK_CODING_PLAN_BYTEPLUS_API_KEY", volc: true, defaultEnabled: false },
 			// 余额型：接口给账户余额而不是订阅窗口，药丸用余额兜底文案显示。
 			"siliconflow": { label: "SiliconFlow", short: "SiliconFlow", envName: "SILICONFLOW_API_KEY", defaultEnabled: false },
 			// 余额端点只对 management / provisioning key 开放；普通 key 只显示限额与用量。
@@ -301,7 +299,7 @@ window.__ModuleLoader__.load({
 			"litellm": { label: "LiteLLM", short: "LiteLLM", envName: "LITELLM_API_KEY", defaultEnabled: false }
 		};
 		// 顺序只影响展示：DeepSeek 放在末尾以免打乱既有条目位置；药丸匹配靠 provider id，与顺序无关。
-		const PROVIDER_ORDER = ["zai-coding-cn", "kimi-coding", "xiaomi-token-plan-cn", "opencode-go", "commandcode", "openai-codex", "xai-oauth", "minimax", "minimax-cn", "zai-coding", "synthetic", "nanogpt", "ark-coding-plan-byteplus", "siliconflow", "deepseek", "openrouter", "novita", "hyperbolic", "deepinfra", "chutes", "ollama-cloud", "vercel-ai-gateway", "zenmux", "litellm", "arkcli-agent-plan", "arkcli-coding-plan", "arkcli-agent-plan-team", "arkcli-coding-plan-team"];
+		const PROVIDER_ORDER = ["zai-coding-cn", "kimi-coding", "xiaomi-token-plan-cn", "opencode-go", "commandcode", "openai-codex", "xai-oauth", "minimax", "minimax-cn", "zai-coding", "synthetic", "nanogpt", "siliconflow", "deepseek", "openrouter", "novita", "hyperbolic", "deepinfra", "chutes", "ollama-cloud", "vercel-ai-gateway", "zenmux", "litellm", "arkcli-agent-plan", "arkcli-coding-plan", "arkcli-agent-plan-team", "arkcli-coding-plan-team"];
 		// 火山方舟的 7 条路由共用同一组 IAM AK/SK，而一般用户只持有一个套餐，所以设置页只给一张卡片、
 		// 一个开关（组开关落在 Host 的 visibility.ark 上）。这些 id 不能真正合并——药丸靠 provider id 匹配路由。
 		const ARK_IDS = PROVIDER_ORDER.filter(id => PROVIDER_META[id]?.volc);
@@ -310,7 +308,7 @@ window.__ModuleLoader__.load({
 		 * 查的是同一份订阅（同 Action、同 host、同 AK/SK，实测请求 URL 逐字相同），并列显示只会让人以为
 		 * 买了两个套餐，数字还会因为各自缓存而差出几十秒的量。
 		 * 但装了旧插件的用户，模型路由仍然是这两个 id —— 药丸必须在入口把它们归并到 arkcli 路由，
-		 * 否则那些用户会突然失去用量显示。BytePlus 没有别名：它是独立站点、独立订阅。
+		 * 否则那些用户会突然失去用量显示。（第三条 BytePlus 已随实现一并移除：无 BytePlus 账号可验证。）
 		 */
 		const ROUTE_PROVIDER_ALIAS = { "ark-agent-plan-cn": "arkcli-agent-plan", "ark-coding-plan-cn": "arkcli-coding-plan" };
 		function providerEnabled(settings, id) {
@@ -686,8 +684,9 @@ window.__ModuleLoader__.load({
 				if (disposed) return snapshot;
 				const value = { ...incoming };
 				if (request && request.version < metadataSequence) { delete value.settings; delete value.configured; delete value.updatedAt; }
+				// 过期请求的 settings 已在上一行丢掉，所以这里若还带着 settings，就是「当前代」看到的 Host 配置。
+				// 另一窗口改过配置时采用它（开关跟着变），但不再 epoch++ / invalidate 全员——那会让非活跃条目永久 loading。
 				if (value.settings) metadataSequence = request ? request.version : ++sequence;
-				if (!localChange && snapshot.settings && value.settings && snapshot.settings.revision !== value.settings.revision) { epoch++; invalidate(PROVIDER_ORDER); }
 				const entries = new Map(snapshot.entries.map((e) => [e.providerId, e]));
 				for (const e of value.entries || []) if (!request || providerSequence.get(e.providerId) === request.version) entries.set(e.providerId, e);
 				snapshot = { ...snapshot, ...value, entries: [...entries.values()] };
@@ -696,17 +695,22 @@ window.__ModuleLoader__.load({
 			const refresh = (ids, force = false) => {
 				if (disposed) return Promise.reject(new Error("Client 已卸载"));
 				const unique = [...new Set(ids)].filter((id) => PROVIDER_ORDER.includes(id) && providerEnabled(snapshot.settings, id) && providerRoutable(snapshot, id));
-				const missing = unique.filter((id) => !inflight.has(id));
-				if (missing.length) {
-					const startedEpoch = epoch, request = markRequest(missing);
-					const task = Promise.resolve().then(() => call("refresh", { providerIds: missing, force: !!force, commandCodeAccount: ccAccount })).then((value) => startedEpoch === epoch ? merge(value, request) : snapshot).catch((error) => {
+				const start = (id) => {
+					if (inflight.has(id)) return inflight.get(id);
+					const startedEpoch = epoch, request = markRequest([id]);
+					const task = Promise.resolve().then(() => call("refresh", { providerIds: [id], force: !!force, commandCodeAccount: ccAccount })).then((value) => startedEpoch === epoch ? merge(value, request) : snapshot).catch((error) => {
 						// 传输失败不能擅自 retainPrevious：只有 Host 明确标 stale 才保留。
-						if (startedEpoch === epoch) merge({ entries: missing.map((providerId) => ({ providerId, state: "error", error: error instanceof Error ? error.message : String(error), freshness: "unknown", coverage: "partial", windows: [], extras: [] })) }, request);
+						if (startedEpoch === epoch) merge({ entries: [{ providerId: id, state: "error", error: error instanceof Error ? error.message : String(error), freshness: "unknown", coverage: "partial", windows: [], extras: [] }] }, request);
 						throw error;
-					}).finally(() => { for (const id of missing) if (inflight.get(id) === task) inflight.delete(id); });
-					for (const id of missing) inflight.set(id, task);
-				}
-				return Promise.all([...new Set(unique.map((id) => inflight.get(id)))]).then(() => snapshot);
+					}).finally(() => { if (inflight.get(id) === task) inflight.delete(id); });
+					inflight.set(id, task);
+					return task;
+				};
+				const tasks = unique.map(start);
+				// 调用方点名多家（刷新全部）即使过滤后只剩一家，也不把失败抬成整页错误。
+				const tolerant = ids.length > 1;
+				if (unique.length <= 1 && !tolerant) return (tasks[0] ?? Promise.resolve(snapshot)).then(() => snapshot);
+				return Promise.all(tasks.map((task) => task.catch(() => null))).then(() => snapshot);
 			};
 			const visible = () => { if (typeof document === "undefined" || document.visibilityState !== "hidden") void refresh([...active.keys()]).catch(() => {}); };
 			const tick = () => {
@@ -747,7 +751,7 @@ window.__ModuleLoader__.load({
 				// invalidate 只重写快照不通知：补一次 emit 让药丸立即进入加载态，
 				// 避免强制刷新返回前「标注已是新账户、数字还是旧账户」的瞬态错标。
 				emit();
-				return refresh(["commandcode"], true);
+				return refresh(["commandcode"], true).catch(() => snapshot);
 			};
 			return {
 				subscribe, getSnapshot: () => snapshot, refresh, activate,
@@ -757,10 +761,16 @@ window.__ModuleLoader__.load({
 				cancelMimoLogin: async (request) => { if (loginJobId && request.jobId !== loginJobId) return null; const generation = ++loginGeneration, startedEpoch = epoch; return acceptLogin(await call("cancelMimoLogin", request), generation, startedEpoch, request.jobId); },
 				readAll: () => { if (!initial) { const startedEpoch = epoch, request = markRequest(PROVIDER_ORDER); initial = Promise.resolve().then(() => call("read", { providerIds: PROVIDER_ORDER, force: false, commandCodeAccount: ccAccount })).then((value) => startedEpoch === epoch ? merge(value, request) : snapshot).catch((error) => { initial = null; throw error; }); } return initial.then(() => snapshot); },
 				save: async (patch) => {
-					const value = await call("save", patch); epoch++;
-					if (patch.visibility) { const entries = snapshot.entries; markRequest(PROVIDER_ORDER); return merge({ ...value, entries }, null, true); }
+					const value = await call("save", patch);
+					// 可见性开关只改 settings：不动 epoch、不重置在途请求序号——否则「刷新全部进行中拨开关」
+					// 会把所有在途用量结果整批丢弃（startedEpoch !== epoch 直接放弃 merge）。merge 内部会推进
+					// metadataSequence，让在途响应里的过期 settings 自动丢弃，本地新 revision 不被盖回。
+					if (patch.visibility) return merge({ ...value, entries: snapshot.entries }, null, true);
+					// 凭据变更改变用量语义：推进 epoch 丢弃在途。火山 AK/SK 是组内容共用的，必须整组失效。
+					epoch++;
 					const cookie = patch.cookieUpdate;
-					invalidate([patch.providerId], !cookie || cookie.action === "keep"); return merge(value, null, true);
+					const affected = PROVIDER_META[patch.providerId]?.volc && patch.volc ? ARK_IDS : [patch.providerId];
+					invalidate(affected, !cookie || cookie.action === "keep"); return merge(value, null, true);
 				},
 				reader: (id) => {
 					if (!readers.has(id)) {
@@ -989,7 +999,7 @@ window.__ModuleLoader__.load({
 			// unavailable/loading 保持现状；store 内部对相同账户去重，不产生多余请求。
 			react.useEffect(() => {
 				if (providerId !== "commandcode" || !ccState || !setCommandCodeAccount) return;
-				if (ccState.status === "ready") void setCommandCodeAccount(ccState.activeId);
+				if (ccState.status === "ready") void setCommandCodeAccount(ccState.activeId).catch(() => {});
 			}, [providerId, setCommandCodeAccount, ccState && ccState.status, ccState && ccState.activeId]);
 			react.useEffect(() => {
 				let alive = true;
@@ -1199,6 +1209,7 @@ window.__ModuleLoader__.load({
 			const [draft, setDraft] = react.useState(() => draftFor(result.settings, tab));
 			const [dirty, setDirty] = react.useState(false);
 			const [busy, setBusy] = react.useState(false);
+			const [refreshing, setRefreshing] = react.useState(false);
 			const [notice, setNotice] = react.useState(null);
 			const [loadError, setLoadError] = react.useState(null);
 			const [login, setLogin] = react.useState({ jobId: null, state: "idle" });
@@ -1283,10 +1294,10 @@ window.__ModuleLoader__.load({
 				try { window.localStorage.setItem("dsh-subusage:last-provider", id); } catch {}
 			};
 			const refresh = async (all) => {
-				setBusy(true);
+				setRefreshing(true);
 				try { if (!result.settings) await usageStore.readAll(); else await usageStore.refresh(all ? PROVIDER_ORDER : usageId ? [usageId] : [], true); if (aliveRef.current) setLoadError(null); }
 				catch (error) { if (aliveRef.current) setLoadError(String(error.message || error)); }
-				finally { if (aliveRef.current) setBusy(false); }
+				finally { if (aliveRef.current) setRefreshing(false); }
 			};
 			const saveVisibility = async (visibility) => {
 				if (busy || !result.settings || !result.settings.revision) return;
@@ -1321,7 +1332,7 @@ window.__ModuleLoader__.load({
 					if (!providerEnabled(saved.settings, tab)) return;
 					// 保存已成功落盘；独立验证失败不改写成“保存失败”。
 					try {
-						const verified = await usageStore.refresh([tab], true);
+						const verified = await usageStore.refresh(PROVIDER_META[tab]?.volc ? ARK_IDS : [tab], true);
 						const current = verified.entries.find((e) => e.providerId === tab);
 						if (aliveRef.current) setLoadError(current && current.state === "ok" ? null : text("已保存；验证获取失败：", "Saved; validation fetch failed: ") + (current && current.error || statusText(current, t)));
 					} catch (error) { if (aliveRef.current) setLoadError(text("已保存；验证获取失败：", "Saved; validation fetch failed: ") + String(error.message || error)); }
@@ -1475,8 +1486,8 @@ window.__ModuleLoader__.load({
 						"aria-label": text(`${success}/${visibleIds.length} 家数据获取成功；${troubledIds.length ? `点击跳到 ${PROVIDER_META[troubledIds[0]].short}` : "没有待处理项"}`, `${success}/${visibleIds.length} providers fetched; ${troubledIds.length ? `click to jump to ${PROVIDER_META[troubledIds[0]].short}` : "nothing needs attention"}`),
 						style: { ...btnStyle, padding: "2px 8px", fontSize: 12, opacity: .85, cursor: troubledIds.length ? "pointer" : "default", color: troubledIds.length ? "#b7791f" : "inherit" }
 					}, text(`${success}/${visibleIds.length} 家数据获取成功`, `${success}/${visibleIds.length} providers fetched`)),
-					h("button", { type: "button", disabled: busy || !usageId, style: primary, onClick: () => refresh(false) }, text("刷新当前", "Refresh current")),
-					h("button", { type: "button", disabled: busy, style: btnStyle, onClick: () => refresh(true) }, text("刷新全部", "Refresh all"))
+					h("button", { type: "button", disabled: busy || refreshing || !usageId, style: { ...primary, cursor: busy || refreshing || !usageId ? "default" : "pointer" }, onClick: () => refresh(false) }, refreshing ? t("refreshing") : text("刷新当前", "Refresh current")),
+					h("button", { type: "button", disabled: busy || refreshing, style: { ...btnStyle, cursor: busy || refreshing ? "default" : "pointer" }, onClick: () => refresh(true) }, refreshing ? t("refreshing") : text("刷新全部", "Refresh all"))
 				),
 				loadError ? h("p", { role: "alert", style: { color: "#dc2626", overflowWrap: "anywhere" } }, loadError) : null,
 				!visibleIds.length ? h("p", { role: "status" }, text("没有可显示的提供商，请展开下方「提供商管理」开启、配置 API，或关闭默认隐藏。", "No visible providers. Expand Provider management below to enable a provider, configure API credentials, or turn off auto-hide.")) : null,
@@ -1574,7 +1585,7 @@ window.__ModuleLoader__.load({
 			const provider = state.current && state.current.provider;
 			// 旧插件 @volcengine/ark-plan-api 的两个国内路由 id 不在本表里，但它们是**同一个 plan**：
 			// 不管模型路由由哪个插件提供，都归并到 arkcli 路由再查——所以只会有**一个**面板，
-			// 数据来自同一份订阅（实测两条路由的请求 URL 逐字相同）。BytePlus 没有别名，它是独立站点。
+			// 数据来自同一份订阅（实测两条路由的请求 URL 逐字相同）。
 			const resolved = ROUTE_PROVIDER_ALIAS[provider] ?? provider;
 			const info = PROVIDER_ORDER.includes(resolved) ? PROVIDER_META[resolved] : null;
 			const meta = info ? { label: resolved === "commandcode" ? info.label : info.short, id: resolved } : null;

package/lib/index.js

@@ -54,12 +54,13 @@ const PROVIDERS = {
  // 企业版/团队版：额度挂在席位上，先 ListSeatInfos 取 SeatID 再查该席位（volcSeat 决定用哪对 Action）。
  "arkcli-agent-plan-team": { label: "ARK Agent Plan Team (arkcli)", envName: "ARKCLI_AGENT_PLAN_TEAM_API_KEY", credentialKind: "volc", volcSeat: "agent", volcScene: "agent_plan_enterprise", volcHost: "open.volcengineapi.com", volcRegion: "cn-beijing", defaultEnabled: false },
  "arkcli-coding-plan-team": { label: "ARK Coding Plan Team (arkcli)", envName: "ARKCLI_CODING_PLAN_TEAM_API_KEY", credentialKind: "volc", volcSeat: "coding", volcScene: "coding_plan_enterprise", volcHost: "open.volcengineapi.com", volcRegion: "cn-beijing", defaultEnabled: false },
- // ── 旧插件 @volcengine/ark-plan-api 的路由 ───────────────────────────────
- // 它的国内两条（`ark-coding-plan-cn` / `ark-agent-plan-cn`）**已移除**：实测与 arkcli 的路由请求 URL
- // 逐字相同（同 Action、同 host、同 AK/SK、同一份订阅），并列显示只会让人以为买了两个套餐，
- // 数据还会因为各自缓存而差出几十秒的量。药丸仍认这两个 id —— Client 的路由别名把它们归并到 arkcli 路由。
- // BytePlus 保留：这是唯一的「同 Action 不同 host」，走 ap-southeast-1 独立站点与独立订阅，删了没人覆盖。
- "ark-coding-plan-byteplus": { label: "Ark Coding Plan (BytePlus, legacy plugin)", envName: "ARK_CODING_PLAN_BYTEPLUS_API_KEY", credentialKind: "volc", volcAction: "GetCodingPlanUsage", volcHost: "ark.ap-southeast-1.byteplusapi.com", volcRegion: "ap-southeast-1", defaultEnabled: false },
+ // ── 旧插件 @volcengine/ark-plan-api 的三条路由已全部移除 ──────────────────
+ // 国内两条（`ark-coding-plan-cn` / `ark-agent-plan-cn`）与 arkcli 的路由请求 URL 逐字相同（同 Action、
+ // 同 host、同 AK/SK、同一份订阅），并列显示只会让人以为买了两个套餐，数字还会因各自缓存而差出几十秒。
+ // BytePlus 那条（`ark-coding-plan-byteplus`）走 `ark.ap-southeast-1.byteplusapi.com`：域名与 Action
+ // **确实存在**（返回的是业务信封错误 NotFound.BillingType，不是路由不存在），但本机没有 BytePlus 账号
+ // 可验证，实现正确性无从确认，因此不再保留——取舍与证据记在 docs/provider-coverage.md。
+ // 国内那两个 id 药丸仍认：Client 的 ROUTE_PROVIDER_ALIAS 把它们归并到 arkcli 路由。
  // DeepSeek 官方：余额型（不是订阅窗口），与推理**同一把** API Key，端点与响应见官方文档
  // https://api-docs.deepseek.com/zh-cn/api/get-user-balance
  "deepseek": { label: "DeepSeek", envName: "DEEPSEEK_API_KEY" },
@@ -386,6 +387,17 @@ function parseQuery(value) {
 function failure(code, message, retryable = false, retryAfterMs) {
  return new RemoteError(code, message, { retryable, retainPrevious: retryable, ...(retryAfterMs !== undefined ? { retryAfterMs } : {}) });
 }
+// 与 fetchJson 的 AbortSignal.timeout 同语义的 promise 超时门；ms 非正数视为不限时。
+// race 结束即清 timer：未触发的 setTimeout 否则会把测试进程挂到超时才退出；先 settle 的
+// 原始 promise 之后才 reject 时，handler 已由 race 注册，不会变成 unhandledRejection。
+function withTimeout(promise, ms, makeError) {
+ if (!Number.isFinite(ms) || ms <= 0) return promise;
+ let timer;
+ const work = Promise.resolve(promise);
+ work.catch(() => {});
+ const gate = new Promise((_, reject) => { timer = setTimeout(() => reject(makeError()), ms); });
+ return Promise.race([work, gate]).finally(() => { clearTimeout(timer); });
+}
 // 火山方舟把拒绝原因放在 ResponseMetadata.Error 业务信封里：401 是签名/凭据（服务端不知道你是谁），
 // 403 是授权（身份已确认但不能做：IAM 权限不足、套餐未开通、欠费），两者对用户的行动项不同。
 function volcFailure(action, error) {
@@ -399,7 +411,7 @@ function volcFailure(action, error) {
 }
 async function fetchJson(fetcher, url, headers, lifetimeSignal, init = {}) {
  let response;
- try { response = await fetcher(url, { method: init.method ?? "GET", ...(init.body !== undefined ? { body: init.body } : {}), headers: { accept: "application/json", "user-agent": "dsh-subusage/0.10.7", ...headers }, signal: lifetimeSignal ? AbortSignal.any([AbortSignal.timeout(10000), lifetimeSignal]) : AbortSignal.timeout(10000), redirect: "manual" }); }
+ try { response = await fetcher(url, { method: init.method ?? "GET", ...(init.body !== undefined ? { body: init.body } : {}), headers: { accept: "application/json", "user-agent": "dsh-subusage/0.10.9", ...headers }, signal: lifetimeSignal ? AbortSignal.any([AbortSignal.timeout(10000), lifetimeSignal]) : AbortSignal.timeout(10000), redirect: "manual" }); }
  catch { throw failure("subusage/network", "网络请求失败或超时", true); }
  if (response.status >= 300 && response.status < 400 || response.status === 401 || response.status === 403) throw failure("subusage/auth", "登录或凭据已失效");
  if (!response.ok) {
@@ -875,6 +887,9 @@ export class SubUsageService extends TypertRemoteService {
   this.io = options.io ?? { readFileSync, mkdirSync, writeFileSync, renameSync, chmodSync };
   this.path = options.configPath ?? CONFIG_PATH; this.fetcher = options.fetch ?? globalThis.fetch;
   this.now = options.now ?? Date.now;
+  // identity 解析（凭据服务/登录文件读取）与 HTTP 同量级的超时，默认 10s（对齐 fetchJson 的
+  // AbortSignal.timeout）；经 options 注入以便测试用极短值，不必真等 10 秒。
+  this.identityTimeoutMs = options.identityTimeoutMs ?? 10000;
   this.credentials = options.resolveCredentials ?? (async id => await ctx.get("credentials")?.resolve(credentialRef(PROVIDERS[id].envName)));
   this.environment = options.resolveEnvironment ?? (id => launchEnvironmentOf(ctx).get(PROVIDERS[id].envName));
   // 火山方舟的 AK/SK 不是路由的推理 Key，按固定变量名各自解析，两端都命中才算配对。
@@ -1124,8 +1139,17 @@ export class SubUsageService extends TypertRemoteService {
  async provider(id, settings, force, account = "") {
   const startedGeneration = this.generations.get(id) ?? 0;
   let identity;
-  try { identity = await this.identity(id, settings, account); }
-  catch { this.cache.delete(id); return { ...this.base(id, "none", settings, account), state: "error", errorCode: "subusage/credentials", error: "无法解析凭据" }; }
+  // identity 解析依赖凭据服务/登录文件读取，可能像 HTTP 一样永久挂起：套上与 fetchJson 同量级
+  // 的超时。超时不等于凭据失效——不清 Cookie、不用 subusage/credentials（client 的
+  // /auth|credential/ 判定会把它导去重新登录/凭据编辑入口），而是独立 errorCode 的可读条目。
+  // 只让这一家及时返回，不拖死整批 Promise.all；挂起的原始 promise 由 race 持有，之后
+  // settle 也被静默丢弃（含其 reject，handler 已注册，不会变成 unhandledRejection）。
+  try { identity = await withTimeout(this.identity(id, settings, account), this.identityTimeoutMs, () => failure("subusage/identity-timeout", `凭据解析超时（${Math.round(this.identityTimeoutMs / 1000)} 秒无响应）：凭据服务或登录文件读取未返回，请稍后重试`)); }
+  catch (e) {
+   const timedOut = e?.code === "subusage/identity-timeout";
+   this.cache.delete(id);
+   return { ...this.base(id, "none", settings, account), state: "error", errorCode: timedOut ? "subusage/identity-timeout" : "subusage/credentials", error: timedOut ? e.message : "无法解析凭据" };
+  }
   if (this.disposed) throw failure("subusage/disposed", "服务已卸载");
   if (startedGeneration !== (this.generations.get(id) ?? 0)) return this.provider(id, this.load(), force, account);
   if (!providerEnabled(settings, id)) {
@@ -1183,7 +1207,7 @@ export class SubUsageService extends TypertRemoteService {
   const wanted = matched.length || !unknown.length ? matched : [...IDS];
   const settings = this.load();
   const force = request?.force === true;
-  const entries = await Promise.all(wanted.map(id => this.provider(id, settings, force).catch(() => ({ providerId: id, label: PROVIDERS[id].label, state: "error", errorCode: "subusage/internal", error: "读取用量失败" }))));
+  const entries = await withTimeout(Promise.all(wanted.map(id => this.provider(id, settings, force).catch(() => ({ providerId: id, label: PROVIDERS[id].label, state: "error", errorCode: "subusage/internal", error: "读取用量失败" })))), 30000, () => failure("subusage/timeout", "额度查询超过 30 秒仍未完成，请稍后重试或缩小 providers"));
   // 认不出的名字要回一条**可读**条目而不是静默丢掉：调用方（尤其是模型）无从知道本插件用的是
   // 路由 id，丢掉之后它只看到空列表，会当成「本机没配任何额度」——真正的原因只是名字没对上。
   // 放在最前面，免得淹没在几十条数据后面。

package/package.json

@@ -1,16 +1,8 @@
 {
   "name": "dsh-subusage",
+  "version": "0.10.9",
   "displayName": "订阅用量显示",
-  "version": "0.10.7",
-  "publishConfig": {
-    "access": "public",
-    "registry": "https://registry.npmjs.org/"
-  },
-  "repository": {
-    "type": "git",
-    "url": "git+https://github.com/KouzakiUmi/dsh-subusage.git"
-  },
-  "description": "显示 DeepSeek 官方余额、火山方舟（arkcli 官方 CLI 路由与旧插件路由、Agent/Coding Plan 个人版与企业版席位，设置页合并为一组）、Z.ai（中国与国际）、Kimi、MiMo、OpenCode Go、Command Code、SuperGrok、Codex（ChatGPT 订阅，默认关闭）、MiniMax（中国）、Synthetic、NanoGPT、SiliconFlow、OpenRouter、Novita、Hyperbolic、DeepInfra、Chutes、Ollama Cloud、Vercel AI Gateway、ZenMux、LiteLLM 的订阅余量与余额；共享刷新与凭据管理，默认关闭 20 家。",
+  "description": "显示 DeepSeek 官方余额、火山方舟（arkcli 官方 CLI 路由：Agent / Coding Plan 个人版与企业版席位，设置页合并为一组）、Z.ai（中国与国际）、Kimi、MiMo、OpenCode Go、Command Code、SuperGrok、Codex（ChatGPT 订阅，默认关闭）、MiniMax（中国）、Synthetic、NanoGPT、SiliconFlow、OpenRouter、Novita、Hyperbolic、DeepInfra、Chutes、Ollama Cloud、Vercel AI Gateway、ZenMux、LiteLLM 的订阅余量与余额；共享刷新与凭据管理，默认关闭 17 家。",
   "keywords": [
     "dsh",
     "dsh-plugin",
@@ -20,33 +12,60 @@
     "quota"
   ],
   "license": "MIT",
-  "peerDependencies": {
-    "@deepseek-ai/dsh": ">=0.2.0-rc.1 <0.3.0-0",
-    "@deepseek-ai/dsh-credentials": ">=0.2.0-rc.1 <0.3.0-0",
-    "@deepseek-ai/dsh-launch-environment": ">=0.2.0-rc.1 <0.3.0-0",
-    "@deepseek-ai/dsh-tools": ">=0.2.0-rc.1 <0.3.0-0",
-    "@deepseek-ai/dsh-typert-protocol": ">=0.2.0-rc.1 <0.3.0-0"
-  },
   "type": "module",
   "main": "./lib/index.js",
+  "engines": {
+    "node": ">=22.19.0"
+  },
   "exports": {
     ".": "./lib/index.js",
     "./client": "./lib/client.js",
     "./cordis.patch.yml": "./cordis.patch.yml",
-    "./package.json": "./package.json",
-    "./locale/*": "./locale/*"
+    "./package.json": "./package.json"
   },
   "files": [
     "lib",
-    "locale",
     "cordis.patch.yml",
-    "README.md"
+    "README.md",
+    "LICENSE"
   ],
+  "scripts": {
+    "test": "node tests/run-all.mjs",
+    "check": "node tests/run-all.mjs && node scripts/check-manifest.mjs"
+  },
+  "publishConfig": {
+    "access": "public",
+    "registry": "https://registry.npmjs.org/"
+  },
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/KouzakiUmi/dsh-subusage.git"
+  },
+  "homepage": "https://github.com/KouzakiUmi/dsh-subusage#readme",
+  "bugs": {
+    "url": "https://github.com/KouzakiUmi/dsh-subusage/issues"
+  },
+  "peerDependencies": {
+    "@deepseek-ai/dsh": ">=0.2.0-rc.1 <0.2.1-0 || >=0.2.1-0 <0.3.0-0",
+    "@deepseek-ai/dsh-credentials": ">=0.2.0-rc.1 <0.2.1-0 || >=0.2.1-0 <0.3.0-0",
+    "@deepseek-ai/dsh-launch-environment": ">=0.2.0-rc.1 <0.2.1-0 || >=0.2.1-0 <0.3.0-0",
+    "@deepseek-ai/dsh-tools": ">=0.2.0-rc.1 <0.2.1-0 || >=0.2.1-0 <0.3.0-0",
+    "@deepseek-ai/dsh-typert-protocol": ">=0.2.0-rc.1 <0.2.1-0 || >=0.2.1-0 <0.3.0-0"
+  },
   "dsh": {
     "manifestVersion": 1,
     "bundle": {
       "patch": "./cordis.patch.yml"
     },
+    "compatibility": {
+      "node": ">=22.19.0",
+      "dshReleases": {
+        "0.2.0-rc.1": "unknown",
+        "0.2.0-rc.2": "unknown",
+        "0.2.1-alpha.1": "compatible",
+        "0.2.1-alpha.2": "unknown"
+      }
+    },
     "client": {
       "immediately": true,
       "inject": [

package/locale/en.json

@@ -1,4 +0,0 @@
-{
-  "name": "Subscription usage",
-  "description": "Shows subscription quota and balance for 30 AI providers (DeepSeek, Volcengine Ark, Z.ai, Kimi, MiMo, Codex, MiniMax, OpenRouter, SiliconFlow, LiteLLM, ...), with one settings page for detection switches and credentials plus a read-only quota API."
-}

package/locale/zh.json

@@ -1,4 +0,0 @@
-{
-  "name": "订阅用量显示",
-  "description": "显示 30 家 AI 提供商（DeepSeek、火山方舟 Ark、Z.ai、Kimi、MiMo、Codex、MiniMax、OpenRouter、SiliconFlow、LiteLLM 等）的订阅余量与余额；统一管理检测开关与凭据，并提供只读额度查询接口。"
-}