magicrew-auth 0.0.0-stage → 0.3.5

package/src/browser-login.mjs

@@ -0,0 +1,322 @@
+// 自己拉起浏览器登录，再从 CDP 里把凭据读回来。
+//
+// ═══ 为什么必须自己拉浏览器 ══════════════════════════════════════════
+//
+// magicrew 没有 OAuth 回调通道（见 docs/internals.md 第九节），所以「官方页面登录
+// 完，插件自动拿到 token」这件事，只有一条路：**浏览器得是插件能看进去的那一个**。
+//
+// magpie 打开的浏览器是系统默认实例 —— 插件没有它的调试端口，读不到它的 localStorage。
+// 所以这里自己拉一个：独立 profile + `--remote-debugging-port=0`，登录完用 CDP
+// 在页面上下文里执行一次 localStorage 读取，拿到 jwt + organizationCode，关掉窗口。
+//
+// 这正是 authorize 返回 `opened: true` 的正当场景（HOOKS.md 陷阱 3）：
+// 页面是我们自己开的，告诉 magpie 「别再开一次」。
+//
+// ⚠ 独立 profile 意味着用户要在这个窗口里登一次（没有他日常浏览器的 cookie）。
+//   所以 profile 目录**不删**，下次还能复用登录态：~/.cache/magpie/magicrew-login-profile
+
+import { spawn } from "node:child_process"
+import { existsSync, readFileSync, mkdirSync } from "node:fs"
+import { homedir } from "node:os"
+import { join } from "node:path"
+
+/** 复用同一个 profile：第二次登录时里面已经有 cookie 了 */
+function profileDir() {
+  const d = join(homedir(), ".cache", "magpie", "magicrew-login-profile")
+  try {
+    mkdirSync(d, { recursive: true })
+  } catch {}
+  return d
+}
+
+/** 按平台找浏览器；找不到返回 null，调用方降级 */
+export function findBrowser() {
+  const plat = process.platform
+  const candidates =
+    plat === "win32"
+      ? [
+          "C:\\Program Files (x86)\\Microsoft\\Edge\\Application\\msedge.exe",
+          "C:\\Program Files\\Microsoft\\Edge\\Application\\msedge.exe",
+          "C:\\Program Files\\Google\\Chrome\\Application\\chrome.exe",
+          "C:\\Program Files (x86)\\Google\\Chrome\\Application\\chrome.exe",
+          join(process.env.LOCALAPPDATA || "", "Google\\Chrome\\Application\\chrome.exe"),
+          "C:\\Program Files\\BraveSoftware\\Brave-Browser\\Application\\brave.exe",
+        ]
+      : plat === "darwin"
+        ? [
+            "/Applications/Google Chrome.app/Contents/MacOS/Google Chrome",
+            "/Applications/Microsoft Edge.app/Contents/MacOS/Microsoft Edge",
+            "/Applications/Brave Browser.app/Contents/MacOS/Brave Browser",
+            "/Applications/Chromium.app/Contents/MacOS/Chromium",
+          ]
+        : [
+            "/usr/bin/google-chrome",
+            "/usr/bin/chromium",
+            "/usr/bin/chromium-browser",
+            "/usr/bin/microsoft-edge",
+            "/snap/bin/chromium",
+          ]
+  for (const p of candidates) {
+    try {
+      if (p && existsSync(p)) return p
+    } catch {}
+  }
+  return null
+}
+
+/**
+ * 等 Chromium 把 DevToolsActivePort 写出来。
+ * 文件两行：第一行端口，第二行 ws 路径。`--remote-debugging-port=0` 让系统挑端口，
+ * 避免和已有的调试端口撞车。
+ */
+async function waitPort(dir, timeoutMs = 8_000) {
+  const f = join(dir, "DevToolsActivePort")
+  const deadline = Date.now() + timeoutMs
+  while (Date.now() < deadline) {
+    try {
+      const line = readFileSync(f, "utf8").split("\n")[0].trim()
+      const port = Number(line)
+      if (port > 0) return port
+    } catch {}
+    await new Promise((r) => setTimeout(r, 250))
+  }
+  return 0
+}
+
+/**
+ * 拉起浏览器并打开登录页。
+ * @returns {Promise<{port:number, dir:string, child:import("node:child_process").ChildProcess} | null>}
+ */
+export async function launchLoginBrowser(url) {
+  const exe = findBrowser()
+  if (!exe) throw new Error("本机没找到 Chrome / Edge / Bravo / Chromium")
+
+  const dir = profileDir()
+  // ⚠ 上一次的残留会让这次「看起来起来了、其实什么都没做」：
+  //   DevToolsActivePort  —— 不清掉，waitPort 会立刻返回一个已失效的旧端口
+  //   SingletonLock / SingletonCookie / SingletonSocket / lockfile
+  //                       —— 不清掉，新进程判定 profile 被占用，把 URL 转交给
+  //                          那个已经死掉的实例，然后自己退出
+  const { unlinkSync } = await import("node:fs")
+  for (const f of ["DevToolsActivePort", "SingletonLock", "SingletonCookie", "SingletonSocket", "lockfile"]) {
+    try {
+      unlinkSync(join(dir, f))
+    } catch {}
+  }
+
+  let child
+  try {
+    child = spawn(
+      exe,
+      [
+        `--user-data-dir=${dir}`,
+        "--remote-debugging-port=0",
+        "--no-first-run",
+        "--no-default-browser-check",
+        "--disable-features=Translate,MediaRouter",
+        "--disable-background-networking",
+        url,
+      ],
+      { stdio: "ignore", detached: false, windowsHide: false },
+    )
+  } catch (e) {
+    throw new Error(`浏览器启动失败：${e?.message ?? e}`)
+  }
+
+  const port = await waitPort(dir)
+  if (!port) {
+    try {
+      child.kill()
+    } catch {}
+    throw new Error("浏览器进程起来了，但 8 秒内没写出调试端口 DevToolsActivePort（多半是 profile 被一个已退出的实例占着）")
+  }
+  return { port, dir, child }
+}
+
+// ── 最小 CDP 客户端 ───────────────────────────────────────────────────
+
+async function listPages(port) {
+  const res = await fetch(`http://127.0.0.1:${port}/json/list`, { signal: AbortSignal.timeout(5000) })
+  return res.json()
+}
+
+/** 找到登录页那个 target；**必须**URL 匹配，否则返回 null 让调用方继续等 */
+async function pickLoginPage(port, hostFragment) {
+  const pages = (await listPages(port)).filter((t) => t.type === "page" && t.webSocketDebuggerUrl)
+  if (!pages.length) return null
+  // ⚠ 不能退回 pages[0]：浏览器刚起来时那个 target 还是 about:blank，
+  //   在它上面访问 localStorage 会抛 SecurityError，被当成「读不到」而空转。
+  return pages.find((p) => String(p.url || "").includes(hostFragment)) ?? null
+}
+
+/** 在页面上下文里求值一次 */
+async function evaluate(port, hostFragment, expression, timeoutMs = 8000) {
+  const page = await pickLoginPage(port, hostFragment)
+  if (!page) throw new Error("没有可用的页面 target")
+
+  const ws = new WebSocket(page.webSocketDebuggerUrl)
+  await new Promise((resolve, reject) => {
+    const t = setTimeout(() => reject(new Error("CDP 连接超时")), timeoutMs)
+    ws.addEventListener("open", () => {
+      clearTimeout(t)
+      resolve()
+    })
+    ws.addEventListener("error", (e) => {
+      clearTimeout(t)
+      reject(new Error(`CDP 连接失败：${e?.message ?? e}`))
+    })
+  })
+
+  try {
+    const reply = await new Promise((resolve, reject) => {
+      const t = setTimeout(() => reject(new Error("CDP 求值超时")), timeoutMs)
+      ws.addEventListener("message", (ev) => {
+        let msg
+        try {
+          msg = JSON.parse(ev.data)
+        } catch {
+          return
+        }
+        if (msg.id !== 1) return
+        clearTimeout(t)
+        if (msg.error) reject(new Error(msg.error.message || JSON.stringify(msg.error)))
+        else resolve(msg.result)
+      })
+      ws.send(
+        JSON.stringify({
+          id: 1,
+          method: "Runtime.evaluate",
+          params: { expression, awaitPromise: true, returnByValue: true },
+        }),
+      )
+    })
+    if (reply?.exceptionDetails) return ""
+    return reply?.result?.value ?? ""
+  } finally {
+    try {
+      ws.close()
+    } catch {}
+  }
+}
+
+/** 在页面的 localStorage 里取 jwt + 组织码 —— 一次求值，两个都拿 */
+const READ_CREDS = `(() => {
+  const raw = (k) => { try { return localStorage.getItem(k) || "" } catch { return "" } }
+  const pick = (k) => {
+    const s = raw(k)
+    if (!s) return ""
+    try {
+      const o = JSON.parse(s)
+      return typeof o === "object" && o ? String(o.value ?? "") : String(s)
+    } catch { return s }
+  }
+  const obj = (k) => {
+    try {
+      const o = JSON.parse(raw(k))
+      return (o && typeof o === "object" ? (o.value ?? o) : null) || null
+    } catch { return null }
+  }
+  const jwt = pick("MAGIC:user:authorization")
+  const org = pick("MAGIC:user:organizationCode")
+  if (!jwt || !jwt.startsWith("eyJ") || !org) return ""
+  // 卡片上要显示一个能认的名字：**手机号 → 邮箱 → 昵称 → 真名**
+  // （昵称是用户自己填的，可以不填也可以乱填；手机号是登录凭据本身。
+  //   服务端存的是打码版 138****8000，但仍是唯一稳定的账号标识）
+  const ui = obj("MAGIC:user:userInfo") || {}
+  const name = String(ui.phone || ui.email || ui.nickname || ui.real_name || "").trim()
+  return JSON.stringify({ jwt, org, name })
+})()`
+
+/**
+ * 盯着那个浏览器，直到页面里的 localStorage 出现完整凭据。
+ * @returns {Promise<{jwt:string, org:string} | null>}
+ */
+export async function waitForCreds(session, hostFragment, { timeout = 300_000, interval = 1500 } = {}) {
+  const deadline = Date.now() + timeout
+  while (Date.now() < deadline) {
+    try {
+      const raw = await evaluate(session.port, hostFragment, READ_CREDS)
+      if (raw) {
+        const o = JSON.parse(raw)
+        if (o?.jwt?.startsWith("eyJ") && o?.org) return o
+      }
+    } catch {
+      // 页面还在加载 / target 换了 —— 下一轮再试
+    }
+    await new Promise((r) => setTimeout(r, interval))
+  }
+  return null
+}
+
+/**
+ * 关掉这个浏览器窗口。profile 留着，下次复用登录态。
+ *
+ * 两条路都要走：
+ *   ① CDP 的 `Browser.close` —— 走浏览器自己的退出流程，cookie 会被刷到磁盘
+ *      （profile 里没有落盘的 cookie，下次登录还得再来一次）
+ *   ② 兜底 kill —— ①在 2 秒内没关掉就强杀整棵进程树
+ *      （Windows 上 kill() 只杀主进程，渲染/GPU 子进程会留着占住 profile）
+ */
+export async function closeSession(session) {
+  if (!session) return
+
+  // ① 优雅关：Browser.close 走浏览器自己的退出流程
+  try {
+    const r = await fetch(`http://127.0.0.1:${session.port}/json/version`, { signal: AbortSignal.timeout(3000) })
+    const v = await r.json()
+    if (v?.webSocketDebuggerUrl) {
+      await new Promise((resolve) => {
+        const ws = new WebSocket(v.webSocketDebuggerUrl)
+        const done = () => {
+          try {
+            ws.close()
+          } catch {}
+          resolve()
+        }
+        const t = setTimeout(done, 2000)
+        ws.addEventListener(
+          "open",
+          () => {
+            try {
+              ws.send(JSON.stringify({ id: 1, method: "Browser.close" }))
+            } catch {}
+            // 给它 600ms 自己退，退不掉就走 ②
+            setTimeout(() => {
+              clearTimeout(t)
+              done()
+            }, 600)
+          },
+          { once: true },
+        )
+        ws.addEventListener(
+          "error",
+          () => {
+            clearTimeout(t)
+            done()
+          },
+          { once: true },
+        )
+      })
+    }
+  } catch {}
+
+  // ② 兜底：还活着就强杀整棵进程树
+  const pid = session.child?.pid
+  if (!pid) return
+  try {
+    if (process.platform === "win32") {
+      await new Promise((resolve) => {
+        const k = spawn("taskkill", ["/PID", String(pid), "/T", "/F"], { stdio: "ignore", windowsHide: true })
+        k.on("exit", resolve)
+        k.on("error", resolve)
+        setTimeout(resolve, 3000)
+      })
+    } else {
+      try {
+        session.child.kill("SIGKILL")
+      } catch {}
+    }
+  } catch {}
+}
+
+export const _internal = { READ_CREDS, profileDir, waitPort, evaluate }

package/src/clipboard.mjs

@@ -0,0 +1,108 @@
+// 剪贴板 —— 浏览器登录的降级通道
+//
+// 场景：本机没有 Chrome / Edge，或者自己拉起来的那个没读出凭据。
+// 这时让用户在官方登录页的 Console 里粘一行，把 jwt + org 送进剪贴板，
+// 插件读回来 —— 不用他去 DevTools 里翻两个字段。
+//
+// ⚠ authorize() 里不能 await 读剪贴板（起 powershell 要几百毫秒，它必须立刻返回）；
+//   把 promise 递到 callback 才落地。
+
+import { execFile as execFileCb } from "node:child_process"
+import { promisify } from "node:util"
+
+const execFile = promisify(execFileCb)
+
+// ═══ 浏览器登录：为什么只能「开页面 + 接剪贴板」═══════════════════════
+//
+// 想要的那种「点一下 → 跳官网 → 用 Google / 邮箱 / 手机登 → 插件自己拿到凭证」
+// magicrew **没有这条路**，不是没找到实现方法，是接口不存在：
+//
+//   ① 它的登录类型只有 13 种，全是「拿凭据换 token」的：
+//        phone_password / phone_captcha / email / DingTalk / DingTalkAvoid /
+//        wecom / Lark / LarkRedirect / wechat_official_account / wechat_app /
+//        dingtalk_app / redirect / apple_login / google_login / feishu_oauth
+//      （dtyq/magic `frontend/magic-web/src/types/login.ts` 的 LoginType 枚举，
+//       注释写明「登录方式(与API强绑定，禁止修改)」）
+//      —— 没有设备码、没有插件授权、没有一次性 ticket。
+//
+//   ② WorkBuddy 那种做法在它这里是空的：它没有
+//        POST /v2/plugin/auth/state      （开登录会话）
+//        GET  /v2/plugin/auth/token      （轮询拿 token）
+//      这套 `/plugin/auth/*` 协议。
+//
+//   ③ 也试过 `/api/v1/auth/status`、`/api/v1/auth/environment`、
+//      `/api/v1/aggregation/login-data` —— status 要 authorization（3103），
+//      environment 回 `{"login_code":null}` 且没有配套的兑现接口。
+//
+//   ④ 网页登录成功后 token 只在 www.magicrew.ai 的 localStorage 里，
+//      插件读不到别的源的存储；`redirect` 字段也不能收任意回调地址。
+//
+// ⇒ 所以能做的最短路径是：**用系统浏览器打开官方登录页（官方登录方式一样不少），
+//   登录完粘一行 Console 命令把两个值送进剪贴板，插件自己读回来。**
+//   用户不用在 magpie 里输手机号密码，也不用去 DevTools 里翻两个字段。
+//
+// 剪贴板读法（三平台）：
+//   win32   powershell Get-Clipboard -Raw
+//   darwin  pbpaste
+//   linux   xclip -selection clipboard -o
+const CLIP_HINT = [
+  "浏览器已打开官方登录页 —— 用你平时的方式登进去（Google / 邮箱 / 手机号都行）。",
+  "登录完成后回到那个页面按 F12 → Console，粘这一行回车：",
+  `copy(JSON.stringify({jwt:(()=>{try{return JSON.parse(localStorage["MAGIC:user:authorization"]).value}catch{return localStorage["MAGIC:user:authorization"]}})(),org:(()=>{try{return JSON.parse(localStorage["MAGIC:user:organizationCode"]).value}catch{return localStorage["MAGIC:user:organizationCode"]}})()}))`,
+  "插件会自己从剪贴板读，读到就完成 —— 不用回来点任何按钮。",
+].join("\n")
+
+async function clipboardText() {
+  try {
+    const { stdout } = await execFile(CLIP_CMD[process.platform]?.[0] ?? "true", CLIP_CMD[process.platform]?.slice(1) ?? [], {
+      timeout: 6000,
+      windowsHide: true,
+      maxBuffer: 1 << 20,
+    })
+    return String(stdout ?? "")
+  } catch {
+    return ""
+  }
+}
+
+const CLIP_CMD = {
+  win32: ["powershell", "-NoProfile", "-NonInteractive", "-Command", "Get-Clipboard -Raw"],
+  darwin: ["pbpaste"],
+  linux: ["xclip", "-selection", "clipboard", "-o"],
+}
+
+/** 剪贴板里的内容 → { jwt, org }，认不出返回 null */
+function parseCreds(txt) {
+  const s = String(txt || "").trim()
+  if (!s) return null
+  // ① Console 那行给的 JSON
+  try {
+    const o = JSON.parse(s)
+    if (typeof o?.jwt === "string" && o.jwt.startsWith("eyJ")) {
+      return { jwt: o.jwt, org: String(o?.org || "").trim() }
+    }
+  } catch {}
+  // ② 只粘了 JWT（组织码空着，后面会报错让人补）
+  if (s.startsWith("eyJ") && s.split(".").length === 3) return { jwt: s, org: "" }
+  return null
+}
+
+/**
+ * 盯着剪贴板，直到出现能认的凭证。
+ * @param skip 打开登录页之前剪贴板里就有的内容 —— 不能拿它当结果
+ */
+async function pollClipboard({ skip = "", timeout = 300_000, interval = 1500 } = {}) {
+  const deadline = Date.now() + timeout
+  while (Date.now() < deadline) {
+    const txt = (await clipboardText()).trim()
+    if (txt && txt !== skip) {
+      const got = parseCreds(txt)
+      if (got) return got
+    }
+    await new Promise((r) => setTimeout(r, interval))
+  }
+  return null
+}
+
+
+export { CLIP_HINT, clipboardText, parseCreds, pollClipboard }

package/src/context.mjs

@@ -0,0 +1,60 @@
+// 站点上下文 —— 每个供应商拿到的那一份「我是谁」
+//
+// 一个包两个供应商，所以这里不是常量，是**按站点生成**的：
+//
+//   siteCtx(SITES.cn)   → magicrew       超级麦吉
+//   siteCtx(SITES.intl) → magicrew-intl  MagiCrew
+//
+// 所有小插头（hooks/*）拿到的都是这个对象，它们不自己去认站点。
+
+import { SITES } from "./api.mjs"
+import { ICON_BY_SITE } from "./icons.mjs"
+import { contextOf } from "./model-context.mjs"
+
+export { SITES }
+
+/** 决定 API 形状，别乱选（见 src/api.mjs 的 base 与 hooks/models 的 api 字段） */
+export const SDK = "@ai-sdk/openai-compatible"
+
+/** api_key 只活 2 小时时，提前多久换 */
+export const REFRESH_LEAD_MS = 10 * 60_000
+
+/**
+ * 站点 → 上下文。
+ *
+ * 除了 SITES 里那些（id / host / web / needsOrgOnGateway），再补三个派生值：
+ *   SHORT   卡片上显示的短名
+ *   BASE    模型网关 <host>/v1
+ *   ICON    这个供应商自己的图标（插件卡片的图标另外在 package.json.magpie.icon）
+ */
+export function siteCtx(SITE) {
+  return {
+    ...SITE,
+    PROVIDER: SITE.id,
+    SHORT: SITE.id === "magicrew" ? "超级麦吉" : "MagiCrew",
+    BASE: `${SITE.host}/v1`,
+    ICON: SITE.id === "magicrew" ? ICON_BY_SITE.cn : ICON_BY_SITE.intl,
+  }
+}
+
+/** 把一条 flows/models 变成一个 magpie 模型条目 */
+export function modelEntry(c, id, name, vision) {
+  return {
+    id,
+    name,
+    api: { id, url: c.BASE, npm: SDK },
+    status: "active",
+    cost: { input: 0, output: 0, cache: { read: 0, write: 0 } },
+    // 上下文窗口向 magpie 的模型库查 —— 两个模型接口都不返回它，
+    // 早前一律填 256K，结果 agent 拿 256K 判断"放不下"，而实际是 1M
+    limit: { context: contextOf(id), output: 64_000 },
+    capabilities: {
+      temperature: true,
+      reasoning: true,
+      toolcall: true,
+      attachment: !!vision,
+      input: { text: true, image: !!vision },
+      output: { text: true },
+    },
+  }
+}

package/src/hooks/checkin.mjs

@@ -0,0 +1,21 @@
+// ⑥ auth.checkin(getAuth) —— 签到
+//
+// magpie 按北京时间每账号每天调一次，失败当天重试。
+// 幂等、状态文件、UI 全是 magpie 的，插件只回答「这一次做成没有」。
+//
+// ⚠ 不要写定时器、不要自己存状态 —— 会让同一天跑两次。
+//
+// 签到逻辑在独立模块里**按需加载**：它挂了，登录/模型/额度照常工作。
+
+export function makeCheckin(c) {
+  return async (getAuth) => {
+    const auth = await getAuth()
+    if (!auth) return { outcome: "failed", message: "未登录" }
+    try {
+      const { runCheckin } = await import("../tasks.mjs")
+      return await runCheckin({ ...auth, host: c.host })
+    } catch (e) {
+      return { outcome: "failed", message: String(e?.message ?? e) }
+    }
+  }
+}

package/src/hooks/config.mjs

@@ -0,0 +1,25 @@
+// ① config(cfg) —— 声明 provider
+//
+// magpie 启动时调一次：写「我是谁、用哪个 SDK、有哪些模型」。
+//
+// ⚠ 三条不许改：
+//   · 用 ??= 不用 =，否则覆盖用户在 plugins.json 里手配的值
+//   · models 必须有内容 —— 未登录也要有，空表会让卡片显示 "0 models"
+//   · 不要在这里发网络请求：它是配置，不是钩子
+
+import { SDK } from "../context.mjs"
+import { readSnapshot } from "../store.mjs"
+
+export function makeConfig(c) {
+  return async (cfg) => {
+    cfg.provider ??= {}
+    cfg.provider[c.PROVIDER] ??= {
+      name: c.SHORT,
+      npm: SDK,
+      api: c.BASE,
+      // 未登录时给上次的快照；从没登录过就是空表（宁缺毋假）。
+      // 一旦登录，⑦ models 会把真表拉回来并落盘。
+      models: readSnapshot(c.id) ?? {},
+    }
+  }
+}

package/src/hooks/headers.mjs

@@ -0,0 +1,14 @@
+// ⑧ "chat.headers"(input, output) —— 每请求加头
+//
+// input.sessionID 是 magpie 的会话 id，同一会话多轮不变，
+// 拿它给上游做 session / prompt cache 的分组键。
+//
+// ⚠ 只加头，不改体 —— 改体在 loader 里。
+
+export function makeHeaders(c) {
+  return async (input, output) => {
+    const id = input?.model?.providerID ?? input?.provider?.info?.id
+    if (id !== c.PROVIDER || !input?.sessionID) return
+    output.headers["x-magicrew-session"] = String(input.sessionID).slice(0, 128)
+  }
+}

package/src/hooks/loader.mjs

@@ -0,0 +1,93 @@
+// ④ auth.loader(getAuth) —— 请求接管
+//
+// 返回 baseURL / apiKey / headers / fetch(a,b)，magpie 拿它发真实请求。
+// 这是唯一能改请求体的地方。本项目用它干两件事：
+//
+//   · 国际站网关强制要 organization-code（国内站不要），不带就是
+//     HTTP 500 "Internal Server Error."（22 字节纯文本，不是 JSON）
+//   · 推理模型低于 512 的 max_tokens 会被 reasoning 吃光，content 返回空串
+//
+// ⚠ 不要在这里读流、不要重试换号、不要手拼 x-api-key ——
+//   前两件 magpie 做了，第三件看 SDK 包自动加。见 README「最小交付面」。
+
+import { ensureKey, accountOf } from "../keys.mjs"
+
+export function makeLoader(c) {
+  return async (getAuth) => {
+    const auth = await getAuth()
+    if (!auth) return {}
+    return {
+      baseURL: c.BASE,
+      apiKey: auth.access,
+      headers: { "user-agent": "MagicrewClient/1.0" },
+      async fetch(input, init) {
+        const fresh = await getAuth()
+        if (!fresh) throw new Error(`${c.SHORT} 未登录`)
+
+        // key 只有一个来源（src/keys.mjs）—— 服务端签一把顶一把，多入口必互相吊销
+        const key = await ensureKey(c, getAuth)
+        if (!key) throw new Error(`${c.SHORT} 未登录（拿不到可用的 key）`)
+        const account = accountOf(fresh)
+
+        const req = input instanceof Request ? input : null
+        const url =
+          typeof input === "string"
+            ? input
+            : input instanceof URL
+              ? input.toString()
+              : (req?.url ?? "")
+
+        const incoming = new Headers(init?.headers ?? req?.headers ?? {})
+        const headers = {
+          authorization: `Bearer ${key.apiKey}`,
+          "content-type": "application/json",
+        }
+        if (c.needsOrgOnGateway && fresh.org) headers["organization-code"] = fresh.org
+
+        for (const [k, v] of incoming) {
+          if (["authorization", "host", "content-length", "user-agent"].includes(k.toLowerCase())) continue
+          headers[k] = v
+        }
+
+        let body = init?.body
+        if (body === undefined && req) body = await req.text()
+
+        // 改写两处请求体，都为实测出来的：
+        //
+        // ① max_tokens 抬到 512
+        //    实测 glm-5.3-flash：64 → finish_reason:"length" 且 content:""
+        //                        512 → 正常出话（reasoning 208 / total 233）
+        //
+        // ② 流式请求补 stream_options.include_usage
+        //    magicrew 在 stream:true 下**默认不返回 usage**；补上之后，[DONE]
+        //    之前会多一条 {"choices":[],"usage":{...}} 的收尾 chunk。
+        //    magpie 新版靠这条收尾 chunk 判定「流正常结束了」——缺了它就报
+        //    「Stream ended without finish_reason」然后重试（实测 2026-10-27）。
+        //    控制台里看到的就是：模型请求重试 (3/5) · Stream ended without finish_reason
+        if (typeof body === "string" && body.includes('"stream"')) {
+          try {
+            const j = JSON.parse(body)
+            if (Number(j.max_tokens) > 0 && Number(j.max_tokens) < 512) j.max_tokens = 512
+            if (j.stream === true && !j.stream_options) {
+              j.stream_options = { include_usage: true }
+            }
+            body = JSON.stringify(j)
+          } catch {}
+        } else if (typeof body === "string" && body.includes('"max_tokens"')) {
+          try {
+            const j = JSON.parse(body)
+            if (Number(j.max_tokens) > 0 && Number(j.max_tokens) < 512) j.max_tokens = 512
+            body = JSON.stringify(j)
+          } catch {}
+        }
+
+        return fetch(url, {
+          method: init?.method ?? "POST",
+          headers,
+          body,
+          signal: init?.signal ?? req?.signal ?? AbortSignal.timeout(300_000),
+        })
+      },
+    }
+  }
+}