magicrew-auth 0.3.16 → 0.3.23

package/src/hooks/loader.mjs

@@ -1,93 +1,178 @@
-// ④ auth.loader(getAuth) —— 请求接管
-//
-// 返回 baseURL / apiKey / headers / fetch(a,b)，magpie 拿它发真实请求。
-// 这是唯一能改请求体的地方。本项目用它干两件事：
-//
-//   · 国际站网关强制要 organization-code（国内站不要），不带就是
-//     HTTP 500 "Internal Server Error."（22 字节纯文本，不是 JSON）
-//   · 推理模型低于 512 的 max_tokens 会被 reasoning 吃光，content 返回空串
-//
-// ⚠ 不要在这里读流、不要重试换号、不要手拼 x-api-key ——
-//   前两件 magpie 做了，第三件看 SDK 包自动加。见 README「最小交付面」。
-
-import { ensureKey, accountOf } from "../keys.mjs"
-
-export function makeLoader(c) {
-  return async (getAuth) => {
-    const auth = await getAuth()
-    if (!auth) return {}
-    return {
-      baseURL: c.BASE,
-      apiKey: auth.access,
-      headers: { "user-agent": "MagicrewClient/1.0" },
-      async fetch(input, init) {
-        const fresh = await getAuth()
-        if (!fresh) throw new Error(`${c.SHORT} 未登录`)
-
-        // key 只有一个来源（src/keys.mjs）—— 服务端签一把顶一把，多入口必互相吊销
-        const key = await ensureKey(c, getAuth)
-        if (!key) throw new Error(`${c.SHORT} 未登录（拿不到可用的 key）`)
-        const account = accountOf(fresh)
-
-        const req = input instanceof Request ? input : null
-        const url =
-          typeof input === "string"
-            ? input
-            : input instanceof URL
-              ? input.toString()
-              : (req?.url ?? "")
-
-        const incoming = new Headers(init?.headers ?? req?.headers ?? {})
-        const headers = {
-          authorization: `Bearer ${key.apiKey}`,
-          "content-type": "application/json",
-        }
-        if (c.needsOrgOnGateway && fresh.org) headers["organization-code"] = fresh.org
-
-        for (const [k, v] of incoming) {
-          if (["authorization", "host", "content-length", "user-agent"].includes(k.toLowerCase())) continue
-          headers[k] = v
-        }
-
-        let body = init?.body
-        if (body === undefined && req) body = await req.text()
-
-        // 改写两处请求体，都为实测出来的：
-        //
-        // ① max_tokens 抬到 512
-        //    实测 glm-5.3-flash：64 → finish_reason:"length" 且 content:""
-        //                        512 → 正常出话（reasoning 208 / total 233）
-        //
-        // ② 流式请求补 stream_options.include_usage
-        //    magicrew 在 stream:true 下**默认不返回 usage**；补上之后，[DONE]
-        //    之前会多一条 {"choices":[],"usage":{...}} 的收尾 chunk。
-        //    magpie 新版靠这条收尾 chunk 判定「流正常结束了」——缺了它就报
-        //    「Stream ended without finish_reason」然后重试（实测 2026-10-27）。
-        //    控制台里看到的就是：模型请求重试 (3/5) · Stream ended without finish_reason
-        if (typeof body === "string" && body.includes('"stream"')) {
-          try {
-            const j = JSON.parse(body)
-            if (Number(j.max_tokens) > 0 && Number(j.max_tokens) < 512) j.max_tokens = 512
-            if (j.stream === true && !j.stream_options) {
-              j.stream_options = { include_usage: true }
-            }
-            body = JSON.stringify(j)
-          } catch {}
-        } else if (typeof body === "string" && body.includes('"max_tokens"')) {
-          try {
-            const j = JSON.parse(body)
-            if (Number(j.max_tokens) > 0 && Number(j.max_tokens) < 512) j.max_tokens = 512
-            body = JSON.stringify(j)
-          } catch {}
-        }
-
-        return fetch(url, {
-          method: init?.method ?? "POST",
-          headers,
-          body,
-          signal: init?.signal ?? req?.signal ?? AbortSignal.timeout(300_000),
-        })
-      },
-    }
-  }
-}
+// ④ auth.loader(getAuth) —— 请求接管
+//
+// 返回 baseURL / apiKey / headers / fetch(a,b)，magpie 拿它发真实请求。
+// 这是唯一能改请求体的地方。本项目用它干两件事：
+//
+//   · 国际站网关强制要 organization-code（国内站不要），不带就是
+//     HTTP 500 "Internal Server Error."（22 字节纯文本，不是 JSON）
+//   · 推理模型低于 512 的 max_tokens 会被 reasoning 吃光，content 返回空串
+//
+// ⚠ 不要在这里读流、不要重试换号、不要手拼 x-api-key ——
+//   前两件 magpie 做了，第三件看 SDK 包自动加。见 README「最小交付面」。
+
+import { ensureKey, accountOf } from "../keys.mjs"
+
+/**
+ * 把 JSON Schema 里的 `additionalProperties` **非布尔值**原地换成 `true`。
+ *
+ * 上游只认布尔值，收到任何对象都回 HTTP 400
+ * `{"error":{"message":"模型响应失败","code":4017}}`，整个请求被拒。
+ * 实测（2026-10-28，glm-5.3-flash 与 deepseek-v4.1-flash **两个模型完全一致**，
+ * 同一把 key、同一份请求、只改这一个字段）：
+ *
+ *   additionalProperties: 缺省              → 200
+ *   additionalProperties: false             → 200
+ *   additionalProperties: true              → 200
+ *   additionalProperties: {}                → 400 code 4017
+ *   additionalProperties: {type:"string"}   → 400 code 4017
+ *   additionalProperties: {type:"string",description:"x"} → 400 code 4017
+ *
+ * ⚠ 注意**不只是空对象**。有约束的 schema 形态（`{type:"string"}`）一样被拒 ——
+ * 这一点比"上游只认 true/false"更进一步：它根本不支持 schema 形态。
+ * 所以这里一律换成 `true`，属于**降级放宽**：
+ *
+ *   · `{}`            → `true`  语义等价（都是"任意，不加约束"）
+ *   · `{type:"string"}` → `true`  **不等价** —— 丢掉了"额外属性必须是 string"的约束
+ *
+ * 为什么接受这个不等价：上游无法表达它，保留原值就是整个请求失败。两害相权，
+ * 让工具调用能跑（可能多出未声明的字段）比让 agent 完全不可用要好。方向也安全 ——
+ * 是放宽不是收紧，不会让原本合法的调用被拒。
+ *
+ * 命中来源：ZCode / Claude Code 系客户端生成 schema 时爱写 `{}`；
+ * 一次真实请求里 54 个工具中的 `ExitPlanMode` 与 `CreateWorkflow` 就这么写。
+ * 客户端没写错（按规范 `{}` 与 `true` 等价），是上游兼容性不足，插件这边兜住。
+ *
+ * @returns {boolean} 有没有改到
+ */
+export function loosenAdditionalProperties(node) {
+  if (!node || typeof node !== "object") return false
+  if (Array.isArray(node)) {
+    let any = false
+    for (const n of node) if (loosenAdditionalProperties(n)) any = true
+    return any
+  }
+  let changed = false
+  for (const [k, v] of Object.entries(node)) {
+    if (k === "additionalProperties") {
+      // 布尔值上游认，原样留着（false 是"不许额外属性"，语义相反，绝对不能动）
+      if (typeof v !== "boolean") {
+        node[k] = true
+        changed = true
+      }
+      continue
+    }
+    if (v && typeof v === "object" && loosenAdditionalProperties(v)) changed = true
+  }
+  return changed
+}
+
+/**
+ * 改写发往上游的请求体。**一次 parse，三处改写都在这**。
+ *
+ * 三处都是实测出来的，不是猜的：
+ *
+ * ① max_tokens 抬到 512
+ *    实测 glm-5.3-flash：64 → finish_reason:"length" 且 content:""
+ *                        512 → 正常出话（reasoning 208 / total 233）
+ *
+ * ② 流式请求补 stream_options.include_usage
+ *    magicrew 在 stream:true 下**默认不返回 usage**；补上之后，[DONE]
+ *    之前会多一条 {"choices":[],"usage":{...}} 的收尾 chunk。
+ *    magpie 新版靠这条收尾 chunk 判定「流正常结束了」——缺了它就报
+ *    「Stream ended without finish_reason」然后重试（实测 2026-10-27）。
+ *
+ * ③ tools 里的 additionalProperties: {} → true（见 looser 的注释）
+ *
+ * 没改到时返回原始字符串（省一次序列化 —— 54 个工具的请求体不小）。
+ *
+ * @param {unknown} raw
+ * @returns {unknown} 改了就是新字符串，没改就原样返回
+ */
+export function rewriteRequestBody(raw) {
+  if (typeof raw !== "string") return raw
+  // 粗筛：三个关键字一个都没有，就不必 parse
+  if (!/"stream"|"max_tokens"|"tools"/.test(raw)) return raw
+
+  let j
+  try {
+    j = JSON.parse(raw)
+  } catch {
+    return raw
+  }
+  if (!j || typeof j !== "object") return raw
+
+  let changed = false
+
+  if (Number(j.max_tokens) > 0 && Number(j.max_tokens) < 512) {
+    j.max_tokens = 512
+    changed = true
+  }
+
+  if (j.stream === true && !j.stream_options) {
+    j.stream_options = { include_usage: true }
+    changed = true
+  }
+
+  if (Array.isArray(j.tools)) {
+    for (const t of j.tools) {
+      const p = t?.function?.parameters
+      if (p && typeof p === "object" && loosenAdditionalProperties(p)) changed = true
+    }
+  }
+
+  return changed ? JSON.stringify(j) : raw
+}
+
+export function makeLoader(c) {
+  return async (getAuth) => {
+    const auth = await getAuth()
+    if (!auth) return {}
+    return {
+      baseURL: c.BASE,
+      apiKey: auth.access,
+      headers: { "user-agent": "MagicrewClient/1.0" },
+      async fetch(input, init) {
+        const fresh = await getAuth()
+        if (!fresh) throw new Error(`${c.SHORT} 未登录`)
+
+        // key 只有一个来源（src/keys.mjs）—— 服务端签一把顶一把，多入口必互相吊销
+        const key = await ensureKey(c, getAuth)
+        if (!key) throw new Error(`${c.SHORT} 未登录（拿不到可用的 key）`)
+        const account = accountOf(fresh)
+
+        const req = input instanceof Request ? input : null
+        const url =
+          typeof input === "string"
+            ? input
+            : input instanceof URL
+              ? input.toString()
+              : (req?.url ?? "")
+
+        const incoming = new Headers(init?.headers ?? req?.headers ?? {})
+        const headers = {
+          authorization: `Bearer ${key.apiKey}`,
+          "content-type": "application/json",
+        }
+        if (c.needsOrgOnGateway && fresh.org) headers["organization-code"] = fresh.org
+
+        for (const [k, v] of incoming) {
+          if (["authorization", "host", "content-length", "user-agent"].includes(k.toLowerCase())) continue
+          headers[k] = v
+        }
+
+        let body = init?.body
+        if (body === undefined && req) body = await req.text()
+
+        // 三处请求体改写，全在 rewriteRequestBody 里（那里有实测出处）
+        body = rewriteRequestBody(body)
+
+        return fetch(url, {
+          method: init?.method ?? "POST",
+          headers,
+          body,
+          signal: init?.signal ?? req?.signal ?? AbortSignal.timeout(300_000),
+        })
+      },
+    }
+  }
+}

package/src/hooks/methods.mjs

@@ -21,6 +21,8 @@ import {
 import { inviteToUse, readSession, writeSession, noteLoginFailure, noteOrg, readKnownOrgs, rollInvite } from "../store.mjs"
 import { readLocalCreds } from "../local-browser.mjs"
 import { CLIP_HINT, clipboardText, parseCreds, pollClipboard } from "../clipboard.mjs"
+import { readVisionModel } from "../vision.mjs"
+import { finishSmsLogin, startSmsLogin } from "../headless.mjs"
 
 /**
  * 账号刚加进来（登录成功）→ 一次性把「首次 AI 工作 / 首个对话」补掉。
@@ -35,8 +37,226 @@ function kickoffFirstTask(c, jwt, org) {
     .catch(() => {})
 }
 
+/**
+ * 登录拿到 jwt + org 之后的统一收尾。
+ *
+ * 无头登录和浏览器登录最后都落到这里，保证「验证一次 / 建 key / 落 session /
+ * 记组织 / 滚邀请码 / 补首任务 / 取昵称」这一串只有一份实现。
+ *
+ * `orgs` 是候选组织列表（无头那条路拿不到「用户当前选中的组织」，只能猜）。
+ * 按顺序用 `fetchPoints` 真验一遍，第一个验得过才算。
+ *
+ * ⚠ 别说这解决了「多组织选哪个」—— **它没解决，只是容错**：
+ *   账号所属的任何一个组织都能通过 `fetchPoints`（只要 JWT 有效），
+ *   所以「第一个验得过的」实际就是「列表第一个」。
+ *   真正的区别在浏览器登录那条路：它直接读 localStorage 里用户**当前选中**的那个。
+ *   服务端虽然给了 `is_current` 字段，但实测恒为 false（带不带 organization-code
+ *   头都一样），不能拿来判断。⇒ 多组织账号在无头这条路上会落到列表第一个组织，
+ *   这是已知限制，不是 bug。
+ */
+async function completeSignIn(c, jwt, org, orgs = [], preferredAccountId = null) {
+  const candidates = [org, ...orgs.filter((o) => o && o !== org)]
+  let lastErr = null
+  let picked = null
+
+  for (const o of candidates) {
+    try {
+      // 真的验一次：读积分能过，说明 JWT + 组织码都对
+      await fetchPoints(jwt, o, c.host)
+      picked = o
+      break
+    } catch (e) {
+      lastErr = e
+    }
+  }
+  if (!picked) throw lastErr ?? new Error("没有可用的组织码")
+
+  const key = await issueGatewayKey(jwt, picked, c.host)
+  writeSession(c.id, jwt, picked)
+  noteOrg(c.id, picked)
+  // 滚邀请码：把这个账号自己的码存成下一次用的
+  await rollInvite(c.id, jwt, picked, c.host)
+  kickoffFirstTask(c, jwt, picked)
+  const who = await fetchWho(jwt, picked, c.host).catch(() => null)
+
+  // ⚠ `accountId` 决定 magpie 是「替换」还是「新增」—— 同一个账号在两条登录路上
+  //   必须算出同一个字符串，否则就会出现「同一个号被加了两遍」。
+  //
+  //   真机踩过：浏览器登录拿到的是打码手机号 `189****051`（fetchWho 成功，
+  //   服务端只给打码号）；无头那条路 fetchWho 挂了（438 字符的 access_token
+  //   配 Bearer 头不通），于是兜底用了组织码 `h97gkbu8bruj` ⇒ 两条并存。
+  //
+  //   所以优先用**调用方明确给的** accountId（无头路径里就是它自己算出来的打码手机号），
+  //   `who.name` 只作为补充，组织码是最后一档 —— 它绝不该当账号名。
+  const accountId = preferredAccountId || who?.name || picked
+  return {
+    type: "success",
+    access: key.apiKey,
+    refresh: key.refreshToken,
+    expires: Date.now() + 2 * 3600_000,
+    accountId,
+    uid: picked,
+    jwt,
+    org: picked,
+  }
+}
+
 export function makeMethods(c) {
   return [
+    {
+      // 手机号 + 短信验证码，**不开浏览器**。
+      //
+      // 卡点从来不是协议，是那张「拖动滑块使图片角度为正」的图。现在的做法：
+      // 用 magpie 设置里用户自己选的识图模型（settings.json 的 vision）
+      // 判断「主体上方向指向钟面几点」，再换算成拖动角度 —— 实测 120° 的图判出 122°，
+      // 而服务端容差 ±10°，够用。
+      //
+      // 没配识图模型时不在这里瞎猜（猜中概率只有 ~5.6%，会先撞「验证提交过于频繁」），
+      // 而是让这条方法直接报错并指路 —— 详见下面那段说明。
+      type: "oauth",
+      label: `${c.SHORT} 手机号验证码`,
+      prompts: [
+        {
+          type: "text",
+          key: "phone",
+          message: "手机号",
+          placeholder: "13800138000",
+          validate: (v) =>
+            /^1\d{10}$/.test(String(v || "").replace(/[\s-]/g, "")) ? undefined : "11 位手机号，只要数字",
+        },
+      ],
+      async authorize(inputs) {
+        const phone = String(inputs?.phone || "").replace(/[\s-]/g, "")
+        // ⚠ authorize() 里**不能**返回 { type: "failed" }：magpie 把这里的返回值当作
+        //   「登录流程对象」，会去调它的 `.callback()` —— 少了这个函数就是一句
+        //   `callback is not a function`，用户只看到莫名其妙的报错。
+        //   实测触发路径：callback 里失败 → magpie 显示「重试」 → 点重试会**重新调
+        //   authorize** → 这次走到这条失败分支 → 返回没有 callback 的对象 → 崩。
+        //   ⇒ authorize 里失败一律抛异常。
+        if (!/^1\d{10}$/.test(phone)) throw new Error("手机号不完整")
+
+        const vision = readVisionModel()
+        const masked = phone.replace(/^(\d{3})\d{4}(\d{4})$/, "$1****$2")
+
+        if (!vision) {
+          // 没有识图模型 → 回退到浏览器：打不开就不硬撑。
+          //
+          // 为什么不在这里瞎猜角度：容差 ±10° 意味着瞎猜命中率只有 ~5.6%（20/360），
+          // 平均要试十几次，而服务端有「验证提交过于频繁」和「验证次数已超限」两道风控 ——
+          // 等不到猜中，先被限流。所以老老实实让用户转那一下。
+          let browser = null
+          let why = ""
+          try {
+            browser = await import("../browser-login.mjs")
+          } catch (e) {
+            why = `浏览器登录模块加载失败：${String(e?.message ?? e).slice(0, 200)}`
+            noteLoginFailure(c.id, why)
+          }
+
+          const inviteCode = inviteToUse(c.id)
+          const url = inviteCode
+            ? `${c.web}/login?invitation=${encodeURIComponent(inviteCode)}`
+            : `${c.web}/login`
+          const hostFragment = new URL(c.web).hostname
+
+          const session = browser
+            ? await browser.launchLoginBrowser(url).catch((e) => {
+                why = String(e?.message ?? e).slice(0, 300)
+                noteLoginFailure(c.id, `launch: ${why}`)
+                return null
+              })
+            : null
+
+          return {
+            url,
+            ...(session ? { opened: true } : {}),
+            instructions: session
+              ? `没有配置识图模型，那个「拖动滑块使图片角度为正」得你自己转一下 —— 已经用 ${session.name || "浏览器"} 打开了登录页。\n` +
+                `在里面选「手机登录」，填 ${masked}，把图片转正、收到验证码后填进去；登录完成这个窗口会自动接上，不用回来点任何东西。\n` +
+                `（想全自动的话：magpie 设置 → 识图模型，选一个能看图的，下次就只需要填手机号和验证码。）`
+              : `没能自己拉起浏览器${why ? `（${why}）` : "（本机没找到 Chromium 内核浏览器）"}，已改用系统浏览器打开登录页。\n` +
+                `登录完成后，在页面里按 F12 → Console 粘这一行：\n${CLIP_HINT}`,
+            method: "auto",
+            async callback() {
+              let got = null
+              if (session && browser) {
+                got = await browser.waitForCreds(session, hostFragment).catch(() => null)
+                await browser.closeSession(session).catch(() => {})
+              }
+              if (!got && !session) {
+                got = await pollClipboard({ skip: "" }).catch(() => null)
+              }
+              if (!got) {
+                return {
+                  type: "failed",
+                  error: session
+                    ? "浏览器开着了，但 5 分钟内没在里面读到登录状态 —— 是还没登完，还是登的不是这个站点？"
+                    : "5 分钟内没拿到登录状态。可以改用「登录态（JWT + 组织码）」那条备选。",
+                }
+              }
+              try {
+                if (!got.org) throw new Error("只拿到 JWT，没有组织码")
+                return await completeSignIn(c, got.jwt, got.org)
+              } catch (e) {
+                return { type: "failed", error: String(e?.message ?? e).slice(0, 500) }
+              }
+            },
+          }
+        }
+
+        // 邀请码两条路都要出现：登录页的 URL，以及最终注册时服务端读到的那份。
+        // ⚠ 无头这条路**没有**「打开带邀请码的页面」这一步，所以邀请码只能靠
+        //   `redirect` 传 —— 网页表单的初始值里 redirect 就是 window.location.href，
+        //   服务端从它上面取 `?invitation=`。少了它，新注册的号就没有邀请关系。
+        const inviteCode = inviteToUse(c.id)
+        const loginUrl = inviteCode
+          ? `${c.web}/login?invitation=${encodeURIComponent(inviteCode)}`
+          : `${c.web}/login`
+
+        // 发短信这一步最慢（过验证最多试 3 张图、每张问两遍模型）。
+        // 但必须等它结束才能告诉用户「验证码已发出」—— 所以这里不甩到 callback 里。
+        let sent
+        try {
+          sent = await startSmsLogin(c, { mobile: phone })
+        } catch (e) {
+          // 同上：这里也不能 return failed —— 点「重试」会重新走 authorize，
+          // 返回没有 callback 的对象会让 magpie 崩在 `.callback()`
+          throw new Error(String(e?.message ?? e).slice(0, 500))
+        }
+
+        return {
+          url: loginUrl,
+          instructions:
+            `验证码已发送到 ${masked}。\n` +
+            `旋转验证由识图模型（${vision}）自动通过，试了 ${sent.rounds} 张图。\n` +
+            `把收到的 6 位验证码填进下面的框就行。`,
+          method: "code",
+          // ⚠ 必须是 true。这条链路**全在后台走完**，不需要任何浏览器；
+          //   opened: false 会让 magpie 拿 url 去开**系统默认浏览器** —— 而那个浏览器里
+          //   往往本来就登着这个站，用户看到的是已登录界面，根本进不了「添加新号」，
+          //   还会以为插件把他登进了旧账号。这正是浏览器登录那条路修过的坑。
+          opened: true,
+          async callback(code) {
+            const c0 = String(code || "").replace(/\D/g, "")
+            if (c0.length < 4) return { type: "failed", error: "验证码是 4~8 位数字" }
+            let creds
+            try {
+              creds = await finishSmsLogin(c, { mobile: phone, code: c0, redirect: loginUrl })
+            } catch (e) {
+              return { type: "failed", error: String(e?.message ?? e).slice(0, 500) }
+            }
+            try {
+              // 传 masked（打码手机号）当 accountId —— 浏览器登录那条路拿到的也是
+              // 这个字符串，两边一致才不会把同一个号加成两条
+              return await completeSignIn(c, creds.jwt, creds.org, creds.orgs, masked)
+            } catch (e) {
+              return { type: "failed", error: `登录成功了，但换 key 失败：${String(e?.message ?? e).slice(0, 300)}` }
+            }
+          },
+        }
+      },
+    },
+
     {
       type: "oauth",
       label: `${c.SHORT} 浏览器登录`,
@@ -215,8 +435,9 @@ export function makeMethods(c) {
       async authorize(inputs) {
         const jwt = String(inputs?.jwt || "").trim().replace(/^Bearer\s+/i, "")
         const org = String(inputs?.org || "").trim()
-        if (!jwt.startsWith("eyJ")) return { type: "failed", error: "不是 JWT" }
-        if (!org) return { type: "failed", error: "没填组织码" }
+        // 同一条规矩：authorize 里失败只抛异常，不返回 { type: "failed" }
+        if (!jwt.startsWith("eyJ")) throw new Error("不是 JWT")
+        if (!org) throw new Error("没填组织码")
 
         const result = (async () => {
           await fetchPoints(jwt, org, c.host)