magic-agent 2.3.2 → 2.4.2

package/cmd/magic-client/main.go

@@ -62,6 +62,7 @@ func main() {
 		proxyAddr   = fs.String("proxy-addr", "", "SOCKS5 出口监听地址（供移动端 VPN 隧道核心使用），如 0.0.0.0:1080")
 		browseUA    = fs.String("browse-ua", "", "内置浏览器中转的 User-Agent：mobile（默认）/ desktop / 任意自定义串")
 		readyFile   = fs.String("ready-file", "", "监听成功后把 {pid,port,url,lanAddrs} 原子写到这个路径（`magic-client start` 用它拿端口，别手工传）")
+		anyOrigin   = fs.Bool("allow-any-origin", false, "对任意 Origin 回 CORS 头（默认只放行本机页面）。--lan 时自动开启；令牌仍是唯一门锁")
 	)
 	_ = fs.Parse(os.Args[2:])
 
@@ -90,6 +91,10 @@ func main() {
 		Token:      tok,
 		Lan:        *lan,
 		BrowseUA:   *browseUA,
+		/* 绑到局域网 = 「允许来自任意 IP 的页面访问」：再按 loopback 卡 CORS Origin
+		   等于把手机 / 别的设备的页面全判成跨域（用户侧就是「只能本地访问」）。
+		   显式 --allow-any-origin 也可以单独打开（绑回环但要给容器页面用）。 */
+		AllowAnyOrigin: *anyOrigin || *lan,
 	})
 	if err != nil {
 		// 契约不匹配是**要立刻停**的错误：带着不匹配的能力跑起来只会让人以为是界面 bug。

package/internal/agent/engine.go

@@ -159,8 +159,8 @@ type Request struct {
 	//	codex      -c model_reasoning_effort="none" + model_reasoning_summary="none"
 	//	codebuddy  settings alwaysThinkingEnabled=false（官方 settings / SDK thinking:disabled）
 	//	dsh        InitializeParams.reasoningEffort="off"（官方 SDK；dsh-llm-deepseek 会发 thinking.type=disabled）
-	//	llm        选同线 thinking.disabled 变体；没有变体时传 reasoning_effort="none"
-	//	           （CLI 委托路径用 llm 的官方 -o reasoning_effort none）
+	//	llm        直连请求体传 reasoning_effort="none"；CLI 委托路径传
+	//	           llm 官方 -o reasoning_effort none。不自动换模型。
 	// 其余引擎没有已知开关；调用方（建议生成）仍会标记，失败后再降级 llm。
 	NoThinking bool
 

package/internal/agent/llmengine.go

@@ -213,11 +213,6 @@ func (e *LLMEngine) ListModels(ctx context.Context) ([]string, error) {
 // --json 输出同 `llm logs --json` 的结构（数组，每项含 response /
 // input_tokens / output_tokens），解析失败时退回纯文本路径，不引入新的失败点。
 func (e *LLMEngine) Complete(ctx context.Context, req Request) (Response, error) {
-	// --disable-thinking：优先换成同一条线上的 no-think 变体（MiniMax-M3.1-Flash
-	// 这类模型对 thinking.disabled 直接 400，不能靠请求体硬塞）。
-	if req.NoThinking {
-		req.Model = NoThinkLLMModel(req.Model)
-	}
 	// 配置文件模型（models.json）：命中 id → 直连端点（见 llmhttp.go）。
 	// 为什么必须按 id：id 唯一，而真实模型名会重复（MiniMax-M3 与 minimax-nothink
 	// 真实名相同，只差 extraBody）—— 用名字做参数就无法区分。
@@ -328,9 +323,6 @@ func parseLLMJSONEntry(raw string) (llmJSONEntry, bool) {
 // Stream 实现 Streamer：llm prompt 默认流式，逐行读纯文本 stdout，
 // thinkSplitter 把标签块路由到 thinking 通道。
 func (e *LLMEngine) Stream(ctx context.Context, req Request, onEvent func(StreamEvent)) (StreamResult, error) {
-	if req.NoThinking {
-		req.Model = NoThinkLLMModel(req.Model)
-	}
 	// 配置文件模型：命中 id → 直连 SSE（见 llmhttp.go / completeConfigured 上方注释）
 	if m, ok := ResolveLLMConfigModel(req.Model); ok {
 		return e.streamConfigured(ctx, m, req, onEvent)

package/internal/agent/llmengine_test.go

@@ -556,20 +556,3 @@ func TestLLMDetectMissingCli(t *testing.T) {
 		t.Errorf("note = %q, want the missing path", note)
 	}
 }
-
-func TestNoThinkLLMModelPicksAnyVariant(t *testing.T) {
-	dir := t.TempDir()
-	p := filepath.Join(dir, "models.json")
-	raw := `[
-		{"id":"MiniMax-M3.1-Flash","model":"MiniMax-M3.1-Flash","url":"http://x/v1","apiKey":"k"},
-		{"id":"minimax-nothink","model":"MiniMax-M3","url":"http://x/v1","apiKey":"k",
-		 "extraBody":{"thinking":{"type":"disabled"}}}
-	]`
-	if err := os.WriteFile(p, []byte(raw), 0o600); err != nil {
-		t.Fatal(err)
-	}
-	t.Setenv("MAGIC_AGENT_MODELS", p)
-	if got := NoThinkLLMModel("MiniMax-M3.1-Flash"); got != "minimax-nothink" {
-		t.Fatalf("NoThinkLLMModel = %q, want minimax-nothink", got)
-	}
-}

package/internal/agent/llmmodels.go

@@ -89,41 +89,6 @@ func LLMModelDisablesThinking(m LLMConfigModel) bool {
 	return strings.EqualFold(strings.TrimSpace(fmt.Sprint(th["type"])), "disabled")
 }
 
-// NoThinkLLMModel 给 --disable-thinking 选 no-think 变体：
-// 用户已选 no-think → 原样；否则先找 WireModel 相同、声明 thinking.disabled 的条目，
-// 再退到任意 no-think 条目（M3.1-Flash 只能换模型才能关思考）。都没有则保留原模型
-// （由调用方决定是否再传 reasoning_effort=none）。
-func NoThinkLLMModel(selected string) string {
-	m, ok := ResolveLLMConfigModel(selected)
-	if !ok {
-		return strings.TrimSpace(selected)
-	}
-	if LLMModelDisablesThinking(m) {
-		return m.ID
-	}
-	list, err := LoadLLMConfigModels()
-	if err != nil {
-		return m.ID
-	}
-	// 先找同一条线上的变体（不换真实模型），再退到任意 no-think 变体 ——
-	// 显式 --disable-thinking 的目标是「不思考」，MiniMax-M3.1-Flash 这类模型
-	// 对 thinking.disabled / reasoning_effort=none 直接 400，只能换到 no-think 条目。
-	for _, alt := range list {
-		if alt.ID == m.ID || alt.WireModel() != m.WireModel() {
-			continue
-		}
-		if LLMModelDisablesThinking(alt) {
-			return alt.ID
-		}
-	}
-	for _, alt := range list {
-		if alt.ID != m.ID && LLMModelDisablesThinking(alt) {
-			return alt.ID
-		}
-	}
-	return m.ID
-}
-
 // LLMModelsPath 返回 models.json 的路径（$MAGIC_AGENT_MODELS 优先）。
 func LLMModelsPath() string {
 	if p := strings.TrimSpace(os.Getenv("MAGIC_AGENT_MODELS")); p != "" {

package/internal/client/cors_test.go

@@ -97,6 +97,38 @@ func TestCORSForLocalOrigins(t *testing.T) {
 	})
 }
 
+/* 写方法（DELETE / PUT）必须出现在预检的 Allow-Methods 里（2026-10-23）。
+ *
+ * 为什么单独钉：容器里的页面源是 https://localhost，接口在局域网 IP，天生跨源；
+ * 删除会话（DELETE）、重命名 / 置顶同步（PUT）都带自定义头 X-Magic-Token ⇒ 必发预检。
+ * 预检里没点名的方法，浏览器会判定「未授权」而**不发出真请求** —— 用户侧就是
+ * 「确认删除了，但什么都没发生」。上面那条测试只协商 GET，所以一直没照到这里。
+ */
+func TestCORSPreflightAllowsWriteMethods(t *testing.T) {
+	svc := newTestService(t, fakeCore(t, goodContract))
+	srv := httptest.NewServer(svc.Handler())
+	defer srv.Close()
+
+	for _, method := range []string{"DELETE", "PUT", "POST"} {
+		req, err := http.NewRequest(http.MethodOptions, srv.URL+"/desk/session/x", nil)
+		if err != nil {
+			t.Fatal(err)
+		}
+		req.Header.Set("Origin", "https://localhost")
+		req.Header.Set("Access-Control-Request-Method", method)
+		req.Header.Set("Access-Control-Request-Headers", "x-magic-token")
+		res, err := http.DefaultClient.Do(req)
+		if err != nil {
+			t.Fatal(err)
+		}
+		res.Body.Close()
+		allowed := res.Header.Get("Access-Control-Allow-Methods")
+		if !containsFold(allowed, method) {
+			t.Fatalf("预检必须允许 %s，得到 Allow-Methods=%q（浏览器会拦掉真请求）", method, allowed)
+		}
+	}
+}
+
 func containsFold(s, sub string) bool {
 	return len(s) >= len(sub) && (indexFold(s, sub) >= 0)
 }

package/internal/client/instance.go

@@ -0,0 +1,59 @@
+package client
+
+import (
+	"crypto/rand"
+	"encoding/hex"
+	"os"
+	"path/filepath"
+	"strings"
+	"sync"
+)
+
+/*
+	服务实例的稳定身份（2026-10-23）。
+
+为什么需要：同一台桌面可能有多条入口（公司本地 127.0.0.1、局域网 IP、cloudflared
+公网域名），它们在客户端看来是不同 URL。移动端要用「这是不是同一台桌面」来决定
+队列与设置要不要共用一份 —— 只看地址会把同一台机器拆成好几个环境。
+
+id 落在 profile 的 DataDir 下（`instance-id`），第一次生成后不再变：
+
+	· 改端口 / 换隧道域名 / 手机换 Wi-Fi 都不影响；
+	· 只删 `instance-id` 才会换身份（等同于「这是一台新桌面」）。
+
+/desk/health 把它报给客户端（`instanceId`，只增字段）。老客户端忽略；
+新客户端据此把同一台桌面的多个入口并成一个环境身份。
+*/
+type instanceIDCache struct {
+	once sync.Once
+	id   string
+}
+
+func (s *Service) instanceID() string {
+	s.inst.once.Do(func() {
+		dir := s.opts.Profile.DataDir()
+		if strings.TrimSpace(dir) == "" {
+			return
+		}
+		path := filepath.Join(dir, "instance-id")
+		if b, err := os.ReadFile(path); err == nil {
+			if v := strings.TrimSpace(string(b)); len(v) >= 8 {
+				s.inst.id = v
+				return
+			}
+		}
+		var buf [8]byte
+		if _, err := rand.Read(buf[:]); err != nil {
+			return
+		}
+		id := hex.EncodeToString(buf[:])
+		if err := os.MkdirAll(dir, 0o700); err != nil {
+			return
+		}
+		if err := os.WriteFile(path, []byte(id+"\n"), 0o600); err != nil {
+			return
+		}
+		s.inst.id = id
+	})
+	return s.inst.id
+}