hiwork-core 0.0.2 → 0.0.6

package/lib/orchestration.js

@@ -1,39 +1,10 @@
 import { GatewayError } from "./ai-router-client.js";
+import { NO_BASE_URL_ERROR, resolveDeviceInfo, startBrowserLogin } from "./browser-login.js";
 import { API_KEY_REF, SESSION_REF, PENDING_PASSWORD_REF, REMEMBERED_PASSWORD_REF, buildPiAiProviderProfiles, computeModelIds, computeRouteModels, } from "./provision.js";
-/**
- * 归一化 budgets：过滤空模型名与已下架模型（model_status === 'inactive'，已不可调用，
- * 不进入额度展示），保留额度字段。状态缺省（旧网关）视同 active，正常保留。
- */
-export function computeBudgets(budgets) {
-    return budgets
-        .filter((b) => typeof b.model_name === 'string' && b.model_name.length > 0)
-        .filter((b) => b.model_status !== 'inactive')
-        .map((b) => ({
-        model_name: b.model_name,
-        ...(b.total_budget === undefined ? {} : { total_budget: b.total_budget }),
-        ...(b.consumed_budget === undefined ? {} : { consumed_budget: b.consumed_budget }),
-        ...(b.remaining_budget === undefined ? {} : { remaining_budget: b.remaining_budget }),
-    }));
-}
-/** 归一化 keys：过滤无 id 项，只保留选择器需要的字段。 */
-export function computeKeys(keys) {
-    return keys
-        .filter((k) => typeof k.id === 'string' && k.id.length > 0)
-        .map((k) => ({
-        id: k.id,
-        ...(k.employee_name === undefined ? {} : { employee_name: k.employee_name }),
-        ...(k.team_name === undefined ? {} : { team_name: k.team_name }),
-        ...(k.enabled === undefined ? {} : { enabled: k.enabled }),
-        ...(k.max_concurrency === undefined ? {} : { max_concurrency: k.max_concurrency }),
-        ...(k.key_masked === undefined ? {} : { key_masked: k.key_masked }),
-    }));
-}
-/** 任意抛错 → 稳定 LoginError；GatewayError 原样，其余归为 GATEWAY_UNREACHABLE。 */
-export function toLoginError(error, fallback) {
-    if (error instanceof GatewayError)
-        return { code: error.code, message: error.message };
-    return { code: 'GATEWAY_UNREACHABLE', message: fallback };
-}
+import { computeBudgets, computeKeys, provisionSession, toLoginError, } from "./provision-session.js";
+// 端口契约与供给尾部现居 src/provision-session.ts（供 browser-login.ts 共用且避免循环依赖）；
+// 此处原样再导出，保持既有导入面（index.ts / 测试）不变。
+export { computeBudgets, computeKeys, provisionSession, toLoginError } from "./provision-session.js";
 /** 执行一次登录：拉 Key + budgets → 写凭据 → 写 pi-ai 配置 → 写状态。 */
 export async function runLogin(opts) {
     const pending = opts.value.pendingLogin;
@@ -49,45 +20,27 @@ export async function runLogin(opts) {
         const password = await opts.credentials.resolve(pending.passwordRef);
         if (password === undefined)
             throw new GatewayError('AUTH_FAILED', '登录凭据缺失，请重新登录');
-        const { sessionCookie, user } = await opts.gateway.login(pending.username, password.value);
+        // 表单回退也上报设备信息（网关记录登录设备）；设备未知时 resolveDeviceInfo 会生成，
+        // 任何情况下都不得因设备信息让登录失败。
+        const device = await resolveDeviceInfo(opts.credentials);
+        const { sessionCookie, user } = await opts.gateway.login(pending.username, password.value, device);
         await opts.credentials.set(SESSION_REF, sessionCookie);
-        const keys = await opts.gateway.getMyKeys(sessionCookie);
-        const key = await opts.gateway.getMyKey(sessionCookie, opts.value.keyId);
-        const modelIds = computeModelIds(key.budgets);
-        await opts.credentials.set(API_KEY_REF, key.key.key);
-        if (opts.value.rememberPassword === true)
-            await opts.credentials.set(REMEMBERED_PASSWORD_REF, password.value);
-        else
-            await opts.credentials.unset(REMEMBERED_PASSWORD_REF).catch(() => { });
-        if (pending.passwordRef !== REMEMBERED_PASSWORD_REF)
-            await opts.credentials.unset(pending.passwordRef);
-        await opts.piAi.applyAiRouterProfiles(modelIds.length > 0
-            ? buildPiAiProviderProfiles({ baseURL, routeModels: computeRouteModels(key.budgets, key.model_mapping ?? []) })
-            : null);
-        // 中文名（display_name）随登录响应透传；缺失/空白时清掉旧值，UI 回退 username。
-        const displayName = user.display_name?.trim() || undefined;
-        const set = {
+        await provisionSession({
+            ...opts,
+            baseURL,
+            sessionCookie,
+            user,
             username: pending.username,
-            ...(displayName === undefined ? {} : { displayName }),
-            lastLogin: {
-                at: new Date().toISOString(),
-                modelCount: modelIds.length,
-                gatewayName: key.gateway_name ?? '',
+            requestUnset: ['pendingLogin'],
+            onApiKeyWritten: async () => {
+                if (opts.value.rememberPassword === true)
+                    await opts.credentials.set(REMEMBERED_PASSWORD_REF, password.value);
+                else
+                    await opts.credentials.unset(REMEMBERED_PASSWORD_REF).catch(() => { });
+                if (pending.passwordRef !== REMEMBERED_PASSWORD_REF)
+                    await opts.credentials.unset(pending.passwordRef);
             },
-            budgets: computeBudgets(key.budgets),
-            keys: computeKeys(keys),
-        };
-        const unset = ['pendingLogin'];
-        if (displayName === undefined)
-            unset.push('displayName');
-        if (key.key.enabled === false) {
-            set.lastError = { code: 'KEY_DISABLED', message: 'Key 当前被禁用，调用会失败' };
-        }
-        else {
-            unset.push('lastError');
-        }
-        await opts.state.patch({ set, unset });
-        await opts.ensureWorkspace?.();
+        });
         return null;
     }
     catch (error) {
@@ -119,9 +72,10 @@ export async function runRefresh(opts) {
         const key = await opts.gateway.getMyKey(session.value, opts.value.keyId);
         const modelIds = computeModelIds(key.budgets);
         await opts.credentials.set(API_KEY_REF, key.key.key);
-        await opts.piAi.applyAiRouterProfiles(modelIds.length > 0
-            ? buildPiAiProviderProfiles({ baseURL, routeModels: computeRouteModels(key.budgets, key.model_mapping ?? []) })
-            : null);
+        const routeModels = modelIds.length > 0 ? computeRouteModels(key.budgets, key.model_mapping ?? []) : undefined;
+        await opts.piAi.applyAiRouterProfiles(routeModels === undefined ? null : buildPiAiProviderProfiles({ baseURL, routeModels }));
+        if (routeModels !== undefined)
+            await opts.defaultModel?.ensure(routeModels);
         const set = {
             lastLogin: {
                 at: new Date().toISOString(),
@@ -174,14 +128,30 @@ export async function runLogout(opts) {
     await opts.credentials.unset(REMEMBERED_PASSWORD_REF).catch(() => { });
     await opts.piAi.applyAiRouterProfiles(null);
     await opts.state.patch({
-        unset: ['pendingLogin', 'refreshRequest', 'logoutRequest', 'username', 'displayName', 'lastLogin', 'lastError', 'keyId', 'budgets', 'keys'],
+        unset: [
+            'pendingLogin', 'refreshRequest', 'logoutRequest', 'browserLoginRequest', 'browserLogin',
+            'username', 'displayName', 'lastLogin', 'lastError', 'keyId', 'budgets', 'keys',
+        ],
     });
 }
-/** 分发一次 ai-router 命名空间变更：三个请求字段至多存在一个。 */
+/**
+ * 浏览器授权登录的发起：生成 PKCE 与 state，回写 `browserLogin` 供渲染端 window.open。
+ * 见 browser-login.ts；此处只做分发与错误码归一。
+ */
+export async function handleBrowserLoginRequest(opts) {
+    const started = await startBrowserLogin(opts);
+    if (started !== undefined)
+        return null;
+    // startBrowserLogin 已在状态里写了同一个 lastError（缺 baseURL）。
+    return NO_BASE_URL_ERROR;
+}
+/** 分发一次 ai-router 命名空间变更：请求字段至多存在一个。 */
 export async function handleAiRouterSectionChange(opts) {
     const v = opts.value;
     if (v.pendingLogin !== undefined)
         return runLogin(opts);
+    if (v.browserLoginRequest !== undefined)
+        return handleBrowserLoginRequest(opts);
     if (v.refreshRequest !== undefined)
         return runRefresh(opts);
     if (v.logoutRequest !== undefined) {

package/lib/provision-session.js

@@ -0,0 +1,85 @@
+/**
+ * 会话供给的共享契约与实现：端口接口、状态字段形状、归一化与错误映射，
+ * 以及「会话已建立后」的供给尾部 `provisionSession`。
+ *
+ * 本模块被 `orchestration.ts`（表单登录 / 刷新 / 登出）与 `browser-login.ts`
+ * （浏览器授权登录）各自直接 import，**它自身不 import 这两者**，因此不存在循环依赖
+ * （打包产物里也不会出现模块级 TDZ 风险）。
+ */
+import { GatewayError } from "./ai-router-client.js";
+import { API_KEY_REF, buildPiAiProviderProfiles, computeModelIds, computeRouteModels, } from "./provision.js";
+/**
+ * 归一化 budgets：过滤空模型名与已下架模型（model_status === 'inactive'，已不可调用，
+ * 不进入额度展示），保留额度字段。状态缺省（旧网关）视同 active，正常保留。
+ */
+export function computeBudgets(budgets) {
+    return budgets
+        .filter((b) => typeof b.model_name === 'string' && b.model_name.length > 0)
+        .filter((b) => b.model_status !== 'inactive')
+        .map((b) => ({
+        model_name: b.model_name,
+        ...(b.total_budget === undefined ? {} : { total_budget: b.total_budget }),
+        ...(b.consumed_budget === undefined ? {} : { consumed_budget: b.consumed_budget }),
+        ...(b.remaining_budget === undefined ? {} : { remaining_budget: b.remaining_budget }),
+    }));
+}
+/** 归一化 keys：过滤无 id 项，只保留选择器需要的字段。 */
+export function computeKeys(keys) {
+    return keys
+        .filter((k) => typeof k.id === 'string' && k.id.length > 0)
+        .map((k) => ({
+        id: k.id,
+        ...(k.employee_name === undefined ? {} : { employee_name: k.employee_name }),
+        ...(k.team_name === undefined ? {} : { team_name: k.team_name }),
+        ...(k.enabled === undefined ? {} : { enabled: k.enabled }),
+        ...(k.max_concurrency === undefined ? {} : { max_concurrency: k.max_concurrency }),
+        ...(k.key_masked === undefined ? {} : { key_masked: k.key_masked }),
+    }));
+}
+/** 任意抛错 → 稳定 LoginError；GatewayError 原样，其余归为 GATEWAY_UNREACHABLE。 */
+export function toLoginError(error, fallback) {
+    if (error instanceof GatewayError)
+        return { code: error.code, message: error.message };
+    return { code: 'GATEWAY_UNREACHABLE', message: fallback };
+}
+/**
+ * 会话已建立后的共享供给尾部：拉 Key → 写凭据 → 写 pi-ai 配置 → 校正默认模型 → 写状态 →
+ * ensure 工作区。表单登录（orchestration.ts 的 runLogin）与浏览器授权登录
+ * （browser-login.ts）共用同一段，保证两条登录路径的供给结果逐字段等价。
+ */
+export async function provisionSession(opts) {
+    const keys = await opts.gateway.getMyKeys(opts.sessionCookie);
+    const key = await opts.gateway.getMyKey(opts.sessionCookie, opts.value.keyId);
+    const modelIds = computeModelIds(key.budgets);
+    await opts.credentials.set(API_KEY_REF, key.key.key);
+    await opts.onApiKeyWritten?.();
+    // 线路归属只算一次：写 profile 与校正默认模型都用它。
+    const routeModels = modelIds.length > 0 ? computeRouteModels(key.budgets, key.model_mapping ?? []) : undefined;
+    await opts.piAi.applyAiRouterProfiles(routeModels === undefined ? null : buildPiAiProviderProfiles({ baseURL: opts.baseURL, routeModels }));
+    if (routeModels !== undefined)
+        await opts.defaultModel?.ensure(routeModels);
+    // 中文名（display_name）随登录响应透传；缺失/空白时清掉旧值，UI 回退 username。
+    const displayName = opts.user.display_name?.trim() || undefined;
+    const set = {
+        ...(opts.username === undefined ? {} : { username: opts.username }),
+        ...(displayName === undefined ? {} : { displayName }),
+        lastLogin: {
+            at: new Date().toISOString(),
+            modelCount: modelIds.length,
+            gatewayName: key.gateway_name ?? '',
+        },
+        budgets: computeBudgets(key.budgets),
+        keys: computeKeys(keys),
+    };
+    const unset = [...(opts.requestUnset ?? [])];
+    if (displayName === undefined)
+        unset.push('displayName');
+    if (key.key.enabled === false) {
+        set.lastError = { code: 'KEY_DISABLED', message: 'Key 当前被禁用，调用会失败' };
+    }
+    else {
+        unset.push('lastError');
+    }
+    await opts.state.patch({ set, unset });
+    await opts.ensureWorkspace?.();
+}

package/lib/provision.js

@@ -9,36 +9,66 @@ export const REMEMBERED_PASSWORD_REF = 'AI_ROUTER_REMEMBERED_PASSWORD';
 /**
  * 注册到 llm-pi-ai 的协议路由表：路由名 → pi-ai 协议。
  * 网关按「入站协议 + 模型」匹配模型映射（internal/service/provider_service.go），
- * 而 pi-ai 的 `api` 是路由级的 —— 因此每个协议一条路由，模型按映射归属到对应路由，
+ * 而 pi-ai 的 `api` 是路由级的 —— 因此每个协议一条路由，模型按映射进入对应路由，
  * 切模型时 dsh 自动落到讲该协议的路由，协议随模型走。
- * 主路由固定用 Responses 协议（/v1/responses），OpenAI 兼容模型统一落到它。
+ *
+ * 路由名固定为「线路C/M/R」，后缀即该路由讲的协议首字母（同一模型可出现在多条线路里）：
+ * - 线路C `ai-router-chat`：openai-completions（chat/completions，兜底协议）
+ * - 线路M `ai-router-anthropic`：anthropic-messages
+ * - 线路R `ai-router`：openai-responses（key 与协议保持不变，兼容既有
+ *   `agent-default-model: provider: ai-router`）
  */
 export const PROVIDER_ROUTES = {
-    'ai-router': 'openai-responses',
+    'ai-router-chat': 'openai-completions',
     'ai-router-anthropic': 'anthropic-messages',
+    'ai-router': 'openai-responses',
 };
 /** DSH 当前能接受的模态集。网关可声明 video/audio，但 DSH 尚不能接，故输入前求交过滤。 */
 export const DSH_SUPPORTED_MODALITIES = ['text', 'image'];
-/** 固定写入顺序：先主路由（兼容 agent-default-model 的 provider: ai-router）。 */
-export const PROVIDER_ROUTE_NAMES = ['ai-router', 'ai-router-anthropic'];
-/** 旧版独立 responses 路由（现已并入主路由）；仅用于升级时清理残留 provider。 */
+/** 固定写入顺序：线路C → 线路M → 线路R（按后缀字母序，与模型选择器的分组顺序一致）。 */
+export const PROVIDER_ROUTE_NAMES = [
+    'ai-router-chat', 'ai-router-anthropic', 'ai-router',
+];
+/** 旧版独立 responses 路由（现已并入线路R）；仅用于升级时清理残留 provider。 */
 export const LEGACY_PROVIDER_ROUTE_NAMES = ['ai-router-responses'];
-/** 各路由在 dsh Models 页的展示名（主路由保留原名，避免破坏既有引用）。 */
+/**
+ * 各路由在 dsh Models 页的展示名（模型选择器的分组标题）。
+ * 后缀即该路由讲的协议首字母：C = chat/completions、M = messages、R = responses。
+ * 同一个模型可以同时出现在多条线路里（按协议分组，不做唯一归属）。
+ */
 const ROUTE_DISPLAY_NAMES = {
-    'ai-router': 'AI Router',
-    'ai-router-anthropic': 'AI Router · Anthropic',
+    'ai-router-chat': '线路C',
+    'ai-router-anthropic': '线路M',
+    'ai-router': '线路R',
 };
+/**
+ * 网关模型映射协议名（下划线式），即 `models.ProtocolType` 的取值集合
+ * （spec §6.2 词汇表）。计价端点 `POST /api/me/cost-estimate` 的 `route` 用这套名字，
+ * 而 DSH 会话里的 `routes[].provider` 是**线路名**（连字符式）——两者在 Host 侧用
+ * {@link routeToProtocol} 翻译，客户端不需要知道网关协议名。
+ */
+export const GATEWAY_PROTOCOLS = ['openai_chat_completions', 'anthropic_messages', 'openai_responses'];
 /** 网关模型映射协议名（下划线式）→ 插件路由（连字符式）。 */
 const GATEWAY_PROTOCOL_TO_ROUTE = {
-    openai_chat_completions: 'ai-router',
-    anthropic_messages: 'ai-router-anthropic',
     openai_responses: 'ai-router',
+    anthropic_messages: 'ai-router-anthropic',
+    openai_chat_completions: 'ai-router-chat',
 };
 /**
- * 模型归属协议的优先级：OpenAI 兼容映射（chat/responses）统一落主路由（responses），
- * anthropic 模型落 anthropic 路由。仅决定「多协议可用时归谁」，单协议模型不受影响。
+ * 线路名 → 网关协议名（{@link GATEWAY_PROTOCOL_TO_ROUTE} 的反查，单点真相）。
+ *
+ * 未知线路与遗留线路（`ai-router-responses`，升级时已清理）一律返回 `undefined`——
+ * 调用方必须**丢弃**该轮而不是上报：网关对 `route` 做严格相等匹配，非法值会让整批 400。
+ * @param route - DSH 线路名（会话 `routes[].provider` 的取值）。
+ * @returns 网关协议名；不在映射内时为 undefined。
  */
-const ROUTE_PRIORITY = ['ai-router', 'ai-router-anthropic'];
+export function routeToProtocol(route) {
+    for (const protocol of GATEWAY_PROTOCOLS) {
+        if (GATEWAY_PROTOCOL_TO_ROUTE[protocol] === route)
+            return protocol;
+    }
+    return undefined;
+}
 /**
  * 从 budgets 归一化出去重、非空的模型 id 列表。已下架模型（model_status === 'inactive'，
  * 网关 PreCheck 直接 402）不在「能成功调用」集合内，剔除；状态缺省（旧网关）视同 active。
@@ -111,27 +141,47 @@ function matchesRoute(item, route, model) {
     return sourceMatches(item.source_model, model);
 }
 /**
- * 按网关模型映射把预算内模型拆到各协议路由：
- * 每个模型归属「优先级最高且映射命中（精确或通配）的协议」；
- * 无任何映射命中的模型落到主路由（默认 responses，网关侧仍有 `*` 兜底，保持预算内模型均可选）。
+ * 按网关模型映射把预算内模型拆到各协议路由（一条路由一个协议）：
+ * 模型进入**每一条**「映射命中（精确或通配）的协议」对应的线路 —— 按协议分组，不按模型唯一归属，
+ * 所以同一个模型可以同时出现在多条线路里（例如既声明了 responses 又声明了 anthropic 映射的模型，
+ * 线路R 和线路M 都会列出它），不做去重：用户从哪条线路选它，请求就走那条线路的协议。
+ * 无任何映射命中的模型落到兜底线路 chat/completions：网关的裸 `*` 兜底映射通常声明在该协议下，
+ * 用 responses 入站反而匹配不到任何映射（网关按入站协议过滤映射）。
  * 返回每模型描述符（含 DSH 可接受的 input 模态），供 profile 注入。
  */
 export function computeRouteModels(budgets, mapping) {
     const routes = {};
     const unmatched = [];
     for (const model of computeModelDescriptors(budgets)) {
-        const route = ROUTE_PRIORITY.find((r) => mapping.some((item) => matchesRoute(item, r, model.id)));
-        if (route === undefined) {
-            unmatched.push(model);
-            continue;
+        let matched = false;
+        for (const route of PROVIDER_ROUTE_NAMES) {
+            if (!mapping.some((item) => matchesRoute(item, route, model.id)))
+                continue;
+            (routes[route] ??= []).push(model);
+            matched = true;
         }
-        ;
-        (routes[route] ??= []).push(model);
+        if (!matched)
+            unmatched.push(model);
     }
     if (unmatched.length > 0)
-        routes['ai-router'] = [...(routes['ai-router'] ?? []), ...unmatched];
+        routes['ai-router-chat'] = [...(routes['ai-router-chat'] ?? []), ...unmatched];
     return routes;
 }
+/**
+ * 兜底默认模型：按线路顺序 C→M→R 取第一条非空线路的第一个模型。
+ * 线路C 讲的 chat/completions 最通用（网关的裸 `*` 兜底映射也声明在该协议下），
+ * 因此优先；模型顺序沿用网关 `/api/me/key` 的 budgets 顺序。
+ * @param routeModels - 各线路的模型归属。
+ * @returns 兜底选择；所有线路都为空时 undefined。
+ */
+export function pickFallbackDefaultModel(routeModels) {
+    for (const route of PROVIDER_ROUTE_NAMES) {
+        const first = routeModels[route]?.[0];
+        if (first !== undefined)
+            return { provider: route, model: first.id };
+    }
+    return undefined;
+}
 /**
  * 各协议的 pi-ai baseURL：OpenAI 系 SDK 把 baseURL 视为根（追加 chat/completions、
  * responses），补 `/v1`；Anthropic SDK 自带 `v1/` 前缀，必须传裸 base，