magicrew-auth 0.3.13 → 0.3.14

package/src/clipboard.mjs

@@ -1,108 +1,108 @@
-// 剪贴板 —— 浏览器登录的降级通道
-//
-// 场景：本机没有 Chrome / Edge，或者自己拉起来的那个没读出凭据。
-// 这时让用户在官方登录页的 Console 里粘一行，把 jwt + org 送进剪贴板，
-// 插件读回来 —— 不用他去 DevTools 里翻两个字段。
-//
-// ⚠ authorize() 里不能 await 读剪贴板（起 powershell 要几百毫秒，它必须立刻返回）；
-//   把 promise 递到 callback 才落地。
-
-import { execFile as execFileCb } from "node:child_process"
-import { promisify } from "node:util"
-
-const execFile = promisify(execFileCb)
-
-// ═══ 浏览器登录：为什么只能「开页面 + 接剪贴板」═══════════════════════
-//
-// 想要的那种「点一下 → 跳官网 → 用 Google / 邮箱 / 手机登 → 插件自己拿到凭证」
-// magicrew **没有这条路**，不是没找到实现方法，是接口不存在：
-//
-//   ① 它的登录类型只有 13 种，全是「拿凭据换 token」的：
-//        phone_password / phone_captcha / email / DingTalk / DingTalkAvoid /
-//        wecom / Lark / LarkRedirect / wechat_official_account / wechat_app /
-//        dingtalk_app / redirect / apple_login / google_login / feishu_oauth
-//      （dtyq/magic `frontend/magic-web/src/types/login.ts` 的 LoginType 枚举，
-//       注释写明「登录方式(与API强绑定，禁止修改)」）
-//      —— 没有设备码、没有插件授权、没有一次性 ticket。
-//
-//   ② WorkBuddy 那种做法在它这里是空的：它没有
-//        POST /v2/plugin/auth/state      （开登录会话）
-//        GET  /v2/plugin/auth/token      （轮询拿 token）
-//      这套 `/plugin/auth/*` 协议。
-//
-//   ③ 也试过 `/api/v1/auth/status`、`/api/v1/auth/environment`、
-//      `/api/v1/aggregation/login-data` —— status 要 authorization（3103），
-//      environment 回 `{"login_code":null}` 且没有配套的兑现接口。
-//
-//   ④ 网页登录成功后 token 只在 www.magicrew.ai 的 localStorage 里，
-//      插件读不到别的源的存储；`redirect` 字段也不能收任意回调地址。
-//
-// ⇒ 所以能做的最短路径是：**用系统浏览器打开官方登录页（官方登录方式一样不少），
-//   登录完粘一行 Console 命令把两个值送进剪贴板，插件自己读回来。**
-//   用户不用在 magpie 里输手机号密码，也不用去 DevTools 里翻两个字段。
-//
-// 剪贴板读法（三平台）：
-//   win32   powershell Get-Clipboard -Raw
-//   darwin  pbpaste
-//   linux   xclip -selection clipboard -o
-const CLIP_HINT = [
-  "浏览器已打开官方登录页 —— 用你平时的方式登进去（Google / 邮箱 / 手机号都行）。",
-  "登录完成后回到那个页面按 F12 → Console，粘这一行回车：",
-  `copy(JSON.stringify({jwt:(()=>{try{return JSON.parse(localStorage["MAGIC:user:authorization"]).value}catch{return localStorage["MAGIC:user:authorization"]}})(),org:(()=>{try{return JSON.parse(localStorage["MAGIC:user:organizationCode"]).value}catch{return localStorage["MAGIC:user:organizationCode"]}})()}))`,
-  "插件会自己从剪贴板读，读到就完成 —— 不用回来点任何按钮。",
-].join("\n")
-
-async function clipboardText() {
-  try {
-    const { stdout } = await execFile(CLIP_CMD[process.platform]?.[0] ?? "true", CLIP_CMD[process.platform]?.slice(1) ?? [], {
-      timeout: 6000,
-      windowsHide: true,
-      maxBuffer: 1 << 20,
-    })
-    return String(stdout ?? "")
-  } catch {
-    return ""
-  }
-}
-
-const CLIP_CMD = {
-  win32: ["powershell", "-NoProfile", "-NonInteractive", "-Command", "Get-Clipboard -Raw"],
-  darwin: ["pbpaste"],
-  linux: ["xclip", "-selection", "clipboard", "-o"],
-}
-
-/** 剪贴板里的内容 → { jwt, org }，认不出返回 null */
-function parseCreds(txt) {
-  const s = String(txt || "").trim()
-  if (!s) return null
-  // ① Console 那行给的 JSON
-  try {
-    const o = JSON.parse(s)
-    if (typeof o?.jwt === "string" && o.jwt.startsWith("eyJ")) {
-      return { jwt: o.jwt, org: String(o?.org || "").trim() }
-    }
-  } catch {}
-  // ② 只粘了 JWT（组织码空着，后面会报错让人补）
-  if (s.startsWith("eyJ") && s.split(".").length === 3) return { jwt: s, org: "" }
-  return null
-}
-
-/**
- * 盯着剪贴板，直到出现能认的凭证。
- * @param skip 打开登录页之前剪贴板里就有的内容 —— 不能拿它当结果
- */
-async function pollClipboard({ skip = "", timeout = 300_000, interval = 1500 } = {}) {
-  const deadline = Date.now() + timeout
-  while (Date.now() < deadline) {
-    const txt = (await clipboardText()).trim()
-    if (txt && txt !== skip) {
-      const got = parseCreds(txt)
-      if (got) return got
-    }
-    await new Promise((r) => setTimeout(r, interval))
-  }
-  return null
-}
-
+// 剪贴板 —— 浏览器登录的降级通道
+//
+// 场景：本机没有 Chrome / Edge，或者自己拉起来的那个没读出凭据。
+// 这时让用户在官方登录页的 Console 里粘一行，把 jwt + org 送进剪贴板，
+// 插件读回来 —— 不用他去 DevTools 里翻两个字段。
+//
+// ⚠ authorize() 里不能 await 读剪贴板（起 powershell 要几百毫秒，它必须立刻返回）；
+//   把 promise 递到 callback 才落地。
+
+import { execFile as execFileCb } from "node:child_process"
+import { promisify } from "node:util"
+
+const execFile = promisify(execFileCb)
+
+// ═══ 浏览器登录：为什么只能「开页面 + 接剪贴板」═══════════════════════
+//
+// 想要的那种「点一下 → 跳官网 → 用 Google / 邮箱 / 手机登 → 插件自己拿到凭证」
+// magicrew **没有这条路**，不是没找到实现方法，是接口不存在：
+//
+//   ① 它的登录类型只有 13 种，全是「拿凭据换 token」的：
+//        phone_password / phone_captcha / email / DingTalk / DingTalkAvoid /
+//        wecom / Lark / LarkRedirect / wechat_official_account / wechat_app /
+//        dingtalk_app / redirect / apple_login / google_login / feishu_oauth
+//      （dtyq/magic `frontend/magic-web/src/types/login.ts` 的 LoginType 枚举，
+//       注释写明「登录方式(与API强绑定，禁止修改)」）
+//      —— 没有设备码、没有插件授权、没有一次性 ticket。
+//
+//   ② WorkBuddy 那种做法在它这里是空的：它没有
+//        POST /v2/plugin/auth/state      （开登录会话）
+//        GET  /v2/plugin/auth/token      （轮询拿 token）
+//      这套 `/plugin/auth/*` 协议。
+//
+//   ③ 也试过 `/api/v1/auth/status`、`/api/v1/auth/environment`、
+//      `/api/v1/aggregation/login-data` —— status 要 authorization（3103），
+//      environment 回 `{"login_code":null}` 且没有配套的兑现接口。
+//
+//   ④ 网页登录成功后 token 只在 www.magicrew.ai 的 localStorage 里，
+//      插件读不到别的源的存储；`redirect` 字段也不能收任意回调地址。
+//
+// ⇒ 所以能做的最短路径是：**用系统浏览器打开官方登录页（官方登录方式一样不少），
+//   登录完粘一行 Console 命令把两个值送进剪贴板，插件自己读回来。**
+//   用户不用在 magpie 里输手机号密码，也不用去 DevTools 里翻两个字段。
+//
+// 剪贴板读法（三平台）：
+//   win32   powershell Get-Clipboard -Raw
+//   darwin  pbpaste
+//   linux   xclip -selection clipboard -o
+const CLIP_HINT = [
+  "浏览器已打开官方登录页 —— 用你平时的方式登进去（Google / 邮箱 / 手机号都行）。",
+  "登录完成后回到那个页面按 F12 → Console，粘这一行回车：",
+  `copy(JSON.stringify({jwt:(()=>{try{return JSON.parse(localStorage["MAGIC:user:authorization"]).value}catch{return localStorage["MAGIC:user:authorization"]}})(),org:(()=>{try{return JSON.parse(localStorage["MAGIC:user:organizationCode"]).value}catch{return localStorage["MAGIC:user:organizationCode"]}})()}))`,
+  "插件会自己从剪贴板读，读到就完成 —— 不用回来点任何按钮。",
+].join("\n")
+
+async function clipboardText() {
+  try {
+    const { stdout } = await execFile(CLIP_CMD[process.platform]?.[0] ?? "true", CLIP_CMD[process.platform]?.slice(1) ?? [], {
+      timeout: 6000,
+      windowsHide: true,
+      maxBuffer: 1 << 20,
+    })
+    return String(stdout ?? "")
+  } catch {
+    return ""
+  }
+}
+
+const CLIP_CMD = {
+  win32: ["powershell", "-NoProfile", "-NonInteractive", "-Command", "Get-Clipboard -Raw"],
+  darwin: ["pbpaste"],
+  linux: ["xclip", "-selection", "clipboard", "-o"],
+}
+
+/** 剪贴板里的内容 → { jwt, org }，认不出返回 null */
+function parseCreds(txt) {
+  const s = String(txt || "").trim()
+  if (!s) return null
+  // ① Console 那行给的 JSON
+  try {
+    const o = JSON.parse(s)
+    if (typeof o?.jwt === "string" && o.jwt.startsWith("eyJ")) {
+      return { jwt: o.jwt, org: String(o?.org || "").trim() }
+    }
+  } catch {}
+  // ② 只粘了 JWT（组织码空着，后面会报错让人补）
+  if (s.startsWith("eyJ") && s.split(".").length === 3) return { jwt: s, org: "" }
+  return null
+}
+
+/**
+ * 盯着剪贴板，直到出现能认的凭证。
+ * @param skip 打开登录页之前剪贴板里就有的内容 —— 不能拿它当结果
+ */
+async function pollClipboard({ skip = "", timeout = 300_000, interval = 1500 } = {}) {
+  const deadline = Date.now() + timeout
+  while (Date.now() < deadline) {
+    const txt = (await clipboardText()).trim()
+    if (txt && txt !== skip) {
+      const got = parseCreds(txt)
+      if (got) return got
+    }
+    await new Promise((r) => setTimeout(r, interval))
+  }
+  return null
+}
+
 
 export { CLIP_HINT, clipboardText, parseCreds, pollClipboard }

package/src/hooks/loader.mjs

@@ -1,93 +1,93 @@
-// ④ auth.loader(getAuth) —— 请求接管
-//
-// 返回 baseURL / apiKey / headers / fetch(a,b)，magpie 拿它发真实请求。
-// 这是唯一能改请求体的地方。本项目用它干两件事：
-//
-//   · 国际站网关强制要 organization-code（国内站不要），不带就是
-//     HTTP 500 "Internal Server Error."（22 字节纯文本，不是 JSON）
-//   · 推理模型低于 512 的 max_tokens 会被 reasoning 吃光，content 返回空串
-//
-// ⚠ 不要在这里读流、不要重试换号、不要手拼 x-api-key ——
-//   前两件 magpie 做了，第三件看 SDK 包自动加。见 README「最小交付面」。
-
-import { ensureKey, accountOf } from "../keys.mjs"
-
-export function makeLoader(c) {
-  return async (getAuth) => {
-    const auth = await getAuth()
-    if (!auth) return {}
-    return {
-      baseURL: c.BASE,
-      apiKey: auth.access,
-      headers: { "user-agent": "MagicrewClient/1.0" },
-      async fetch(input, init) {
-        const fresh = await getAuth()
-        if (!fresh) throw new Error(`${c.SHORT} 未登录`)
-
-        // key 只有一个来源（src/keys.mjs）—— 服务端签一把顶一把，多入口必互相吊销
-        const key = await ensureKey(c, getAuth)
-        if (!key) throw new Error(`${c.SHORT} 未登录（拿不到可用的 key）`)
-        const account = accountOf(fresh)
-
-        const req = input instanceof Request ? input : null
-        const url =
-          typeof input === "string"
-            ? input
-            : input instanceof URL
-              ? input.toString()
-              : (req?.url ?? "")
-
-        const incoming = new Headers(init?.headers ?? req?.headers ?? {})
-        const headers = {
-          authorization: `Bearer ${key.apiKey}`,
-          "content-type": "application/json",
-        }
-        if (c.needsOrgOnGateway && fresh.org) headers["organization-code"] = fresh.org
-
-        for (const [k, v] of incoming) {
-          if (["authorization", "host", "content-length", "user-agent"].includes(k.toLowerCase())) continue
-          headers[k] = v
-        }
-
-        let body = init?.body
-        if (body === undefined && req) body = await req.text()
-
-        // 改写两处请求体，都为实测出来的：
-        //
-        // ① max_tokens 抬到 512
-        //    实测 glm-5.3-flash：64 → finish_reason:"length" 且 content:""
-        //                        512 → 正常出话（reasoning 208 / total 233）
-        //
-        // ② 流式请求补 stream_options.include_usage
-        //    magicrew 在 stream:true 下**默认不返回 usage**；补上之后，[DONE]
-        //    之前会多一条 {"choices":[],"usage":{...}} 的收尾 chunk。
-        //    magpie 新版靠这条收尾 chunk 判定「流正常结束了」——缺了它就报
-        //    「Stream ended without finish_reason」然后重试（实测 2026-10-27）。
-        //    控制台里看到的就是：模型请求重试 (3/5) · Stream ended without finish_reason
-        if (typeof body === "string" && body.includes('"stream"')) {
-          try {
-            const j = JSON.parse(body)
-            if (Number(j.max_tokens) > 0 && Number(j.max_tokens) < 512) j.max_tokens = 512
-            if (j.stream === true && !j.stream_options) {
-              j.stream_options = { include_usage: true }
-            }
-            body = JSON.stringify(j)
-          } catch {}
-        } else if (typeof body === "string" && body.includes('"max_tokens"')) {
-          try {
-            const j = JSON.parse(body)
-            if (Number(j.max_tokens) > 0 && Number(j.max_tokens) < 512) j.max_tokens = 512
-            body = JSON.stringify(j)
-          } catch {}
-        }
-
-        return fetch(url, {
-          method: init?.method ?? "POST",
-          headers,
-          body,
-          signal: init?.signal ?? req?.signal ?? AbortSignal.timeout(300_000),
-        })
-      },
-    }
-  }
-}
+// ④ auth.loader(getAuth) —— 请求接管
+//
+// 返回 baseURL / apiKey / headers / fetch(a,b)，magpie 拿它发真实请求。
+// 这是唯一能改请求体的地方。本项目用它干两件事：
+//
+//   · 国际站网关强制要 organization-code（国内站不要），不带就是
+//     HTTP 500 "Internal Server Error."（22 字节纯文本，不是 JSON）
+//   · 推理模型低于 512 的 max_tokens 会被 reasoning 吃光，content 返回空串
+//
+// ⚠ 不要在这里读流、不要重试换号、不要手拼 x-api-key ——
+//   前两件 magpie 做了，第三件看 SDK 包自动加。见 README「最小交付面」。
+
+import { ensureKey, accountOf } from "../keys.mjs"
+
+export function makeLoader(c) {
+  return async (getAuth) => {
+    const auth = await getAuth()
+    if (!auth) return {}
+    return {
+      baseURL: c.BASE,
+      apiKey: auth.access,
+      headers: { "user-agent": "MagicrewClient/1.0" },
+      async fetch(input, init) {
+        const fresh = await getAuth()
+        if (!fresh) throw new Error(`${c.SHORT} 未登录`)
+
+        // key 只有一个来源（src/keys.mjs）—— 服务端签一把顶一把，多入口必互相吊销
+        const key = await ensureKey(c, getAuth)
+        if (!key) throw new Error(`${c.SHORT} 未登录（拿不到可用的 key）`)
+        const account = accountOf(fresh)
+
+        const req = input instanceof Request ? input : null
+        const url =
+          typeof input === "string"
+            ? input
+            : input instanceof URL
+              ? input.toString()
+              : (req?.url ?? "")
+
+        const incoming = new Headers(init?.headers ?? req?.headers ?? {})
+        const headers = {
+          authorization: `Bearer ${key.apiKey}`,
+          "content-type": "application/json",
+        }
+        if (c.needsOrgOnGateway && fresh.org) headers["organization-code"] = fresh.org
+
+        for (const [k, v] of incoming) {
+          if (["authorization", "host", "content-length", "user-agent"].includes(k.toLowerCase())) continue
+          headers[k] = v
+        }
+
+        let body = init?.body
+        if (body === undefined && req) body = await req.text()
+
+        // 改写两处请求体，都为实测出来的：
+        //
+        // ① max_tokens 抬到 512
+        //    实测 glm-5.3-flash：64 → finish_reason:"length" 且 content:""
+        //                        512 → 正常出话（reasoning 208 / total 233）
+        //
+        // ② 流式请求补 stream_options.include_usage
+        //    magicrew 在 stream:true 下**默认不返回 usage**；补上之后，[DONE]
+        //    之前会多一条 {"choices":[],"usage":{...}} 的收尾 chunk。
+        //    magpie 新版靠这条收尾 chunk 判定「流正常结束了」——缺了它就报
+        //    「Stream ended without finish_reason」然后重试（实测 2026-10-27）。
+        //    控制台里看到的就是：模型请求重试 (3/5) · Stream ended without finish_reason
+        if (typeof body === "string" && body.includes('"stream"')) {
+          try {
+            const j = JSON.parse(body)
+            if (Number(j.max_tokens) > 0 && Number(j.max_tokens) < 512) j.max_tokens = 512
+            if (j.stream === true && !j.stream_options) {
+              j.stream_options = { include_usage: true }
+            }
+            body = JSON.stringify(j)
+          } catch {}
+        } else if (typeof body === "string" && body.includes('"max_tokens"')) {
+          try {
+            const j = JSON.parse(body)
+            if (Number(j.max_tokens) > 0 && Number(j.max_tokens) < 512) j.max_tokens = 512
+            body = JSON.stringify(j)
+          } catch {}
+        }
+
+        return fetch(url, {
+          method: init?.method ?? "POST",
+          headers,
+          body,
+          signal: init?.signal ?? req?.signal ?? AbortSignal.timeout(300_000),
+        })
+      },
+    }
+  }
+}

package/src/hooks/models.mjs

@@ -42,17 +42,28 @@ export function makeModels(c) {
         if (locked) continue
 
         const p = points[m.id] || {}
-        const hasPoints = p.inputPoints != null && Number(p.inputPoints) > 0
+        // 三分支 —— 按 HOOKS.md 十一之二：`free` 的判据是「花不花这份订阅的
+        // 额度」，**不能从 rate 反推**（实测 rate===0 的 51 条里，38 条是
+        // 「套餐内不按次计费」，照样吃配额；标成免费会让 Free first 一直派到它们身上）。
+        //
+        //   input_points > 0   → 有倍率，free 不设
+        //   input_points === 0 → 厂商声明免费 → free: true，且不给 rate
+        //   input_points 缺失  → 价格未知 → 不列（不猜，也不谎标免费）
+        //
+        // 「已知」要挡住空串与非数字：`Number("") === 0` 会把没填的价格当成免费。
+        const raw = p.inputPoints
+        const known = raw != null && String(raw).trim() !== "" && Number.isFinite(Number(raw))
+        const isFree = known && Number(raw) === 0
         // 计费接口整体成功、但这条没价格 → 不列。
         // 不填 rate 就不会画倍率胶囊（正确），但也别让它出现在列表里 ——
         // 用户选了不知道花多少。接口整体失败时不过滤，免得列表空掉。
-        if (pointsOk && !hasPoints) continue
+        if (pointsOk && !known) continue
 
-        // name 保持干净，倍率走 magpie 自己的 `rate` 字段 → 渲染成灰色胶囊。
-        // （之前试过拼进 name、也试过塞进 cost，都不对：抓 codearts 插件的
-        //   modelOf 才看到宿主认的是 rate / free 这两个字段）
+        // name 保持干净，倍率走 magpie 自己的 `rate` 字段 → 渲染成灰色胶囊，
+        // 免费走 `free` → 进 Free first 那一档（codearts 的 modelOf 认的就是这两个）。
         out[m.id] = modelEntry(c, m.id, m.name, m.vision, {
-          rate: hasPoints ? Number(p.inputPoints) / MULT_BASE : 0,
+          rate: known ? Number(raw) / MULT_BASE : 0,
+          free: isFree,
         })
       }
       writeSnapshot(c.id, out)