magpie-marvis 0.1.6 → 0.1.7

package/CHANGELOG.md

@@ -3,17 +3,19 @@
 > 每个版本一节，**一条一行**，说用户能感知的变化。
 > 格式与规矩见 [UPDATING.md](./UPDATING.md)。
 
-## 0.1.6 — 2026-11-06
+## 0.1.7 — 2026-11-06
 
 **修复**
 
-- **图标顶不满边框**：官方 `icon.png` 四周有 10% 透明留白（内容只占 81.2%）。
-  按 alpha 包围盒裁切后再补成方形，现在铺满 128×128
-- **本机导入还是失败**（`AmbiguousParameterSet`）：`Add-Type -Path` 与 `-Language`
-  属于不同参数集，同时给必然报错 —— 去掉 `-Language`，`-Path` 自己按扩展名推断
-- **本机导入扫错进程**：只扫了 `MarvisAgent.exe`，但 Chromium 的 `accesstoken=`
-  cookie 在 **`Marvis.exe`** 里（本机有 3 个实例）。现在两个进程都扫
-- **浏览器登录报「授权码已被使用过」**：轮询 `document.body` 会读到回调页**第二次**
-  加载的响应 —— 那时 code 已被第一次消耗。改成监听 `Network.responseReceived`
-  取**第一个**响应体（`Network.getResponseBody`）
+- **浏览器登录「授权码已被使用过」（`-109`）**：根因是 **QQ 会把 `redirect_uri` 的查询串整个丢掉** ——
+  落地页收到的是 `?code=...&state=...`，**没有 `login_type`**，服务端因此判参数无效。
+  改成用 CDP `Fetch.requestPaused` 在**跳转前**拦下回调，自己从 URL 取 `code` 再带 `login_type` 换。
+  页面同时显示「授权完成」，用户不用对着 `-109` 的 JSON 发愣
+- **换 token 带了鉴权头**：`marvis_oauth` 是**免鉴权**端点，带 `Ual-Access-*` 签名头会直接 400 空响应
+- **`deviceGuid()` 永远取不到注册表**：JS 里 `\S` `\T` 是无效转义，反斜杠被吃掉，
+  `reg` 收到 `HKCUSOFTWARETencentMarvisEnv` → 「无效参数」。改用 `String.raw`
+- **本机导入的 guid 与 token 不同源**：服务端按 `(openid, guid, token)` 三元组校验，
+  现在优先从**同一段内存**里取 `guid=`
+- 去掉 `--disable-blink-features=AutomationControlled`（Edge 会弹「不受支持的命令行标记」警告条），
+  改用 CDP `Page.addScriptToEvaluateOnNewDocument` 抹掉 `navigator.webdriver`
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "magpie-marvis",
-  "version": "0.1.6",
+  "version": "0.1.7",
   "description": "magpie / OpenCode provider plugin for Tencent Marvis: its DeepSeek V4 Pro, Kimi K2.5, Claude Opus/Sonnet 4.6, GPT-5.4 and Hunyuan models through the Marvis model gateway — no API key to paste, sign in with QQ or WeChat.",
   "type": "module",
   "main": "./index.mjs",

package/src/hooks/methods.mjs

@@ -1,138 +1,139 @@
-// ② auth.methods —— 两条登录路
-//
-//   A. QQ / 微信 授权（默认）：自己起一个**隔离浏览器**（一次性 profile、伪装正常 Chrome、
-//      去掉自动化痕迹），用户在窗口里授权，插件从 CDP 抓回调 URL 里的 `code`。
-//      → `{ url, opened: true, method: "auto", callback }`
-//        `opened: true` 让 magpie **不要**再开系统默认浏览器（否则弹两个窗口）。
-//
-//   B. 从本机 Marvis 导入：装了客户端且登录过的人，直接读进程内存里的登录态。
-//      → 同样 `opened: true` + `method: "auto"`，整个登录就是「点一下 → 读内存 → 成功」。
-//
-// ⚠ `authorize()` 必须**立刻**返回 —— 真正等用户的是 `callback()`。
-//   在这里 await 登录会和 magpie 双向死锁（HOOKS §四·陷阱1）。
-//
-// ⚠ 为什么不能像别的插件那样起本地 loopback 收回调：redirect_uri 是 QQ 互联里
-//   预注册死的，改不了（详见 src/marvis/login.mjs 顶部）。所以只能「跳过去 → 读地址栏」。
-
-import { PROVIDER, LOGIN_TYPE } from "../context.mjs"
-import { authorizeUrl, parseCallback, deviceGuid } from "../marvis/login.mjs"
-import { openIsolatedLogin, findBrowser } from "../marvis/browser.mjs"
-import { resolveAccount } from "../account-name.mjs"
-import { importFromDesktop, desktopAvailable } from "../marvis/desktop.mjs"
-
-/** 回调地址判据：跳到 marvis_oauth 且带 code= */
-const CALLBACK = /marvis_client_login\/marvis_oauth\?[^#]*\bcode=/i
-
-/**
- * 登录成功时给宿主的字段。
- * `accountId` 是**名字**（卡片上显示），`uid` 是身份（HOOKS §八）。
- * ⚠ `refresh` 必须有 —— 缺了它 magpie 不会把账号写进 plugin-auth.json，
- *   表现是「登录显示成功，但界面说无法列出账号」。
- */
-export function authOf(acct) {
-  const { accountId, uid } = resolveAccount({
-    name: acct.nickname ?? "",
-    phone: "",
-    urn: acct.openid,
-  })
-  return {
-    type: "success",
-    access: acct.accessToken,
-    // token 30 天有效，refresh 会成对轮换 —— 这里存自己，refresh 钩子负责换新
-    refresh: acct.refreshToken ?? acct.accessToken,
-    expires: acct.expiresAt ?? 0,
-    ...(accountId ? { accountId } : {}),
-    ...(uid ? { uid } : {}),
-    // 落盘的额外字段：模型请求随时要用
-    metadata: {
-      openid: acct.openid,
-      guid: acct.guid ?? deviceGuid(),
-      loginType: acct.loginType ?? "6",
-      nickname: acct.nickname ?? "",
-    },
-  }
-}
-
-/** 授权页登录（QQ / 微信），走隔离浏览器 */
-function oauthLogin(loginType, label, instructions) {
-  return {
-    type: "oauth",
-    label,
-    async authorize() {
-      const guid = deviceGuid()
-      const browser = findBrowser()
-      const url = authorizeUrl(loginType, guid)
-
-      return {
-        url,
-        // 我们自己开隔离浏览器，magpie 不要再开系统默认浏览器
-        opened: true,
-        method: "auto",
-        instructions,
-        async callback(_url, _input, signal) {
-          if (!browser) {
-            throw new Error(
-              "没有找到可用的 Chromium 内核浏览器（Chrome / Edge / 360 / QQ 浏览器都行）。" +
-                "请装一个，或改用「从本机 Marvis 导入」。",
-            )
-          }
-          // 起隔离浏览器 → 等它跳到回调地址
-          // ⚠ 回调页**本身就是换 token 的响应**（服务端直接吐 JSON），
-          //   所以这里读页面正文，**不要再发一次请求** —— 再发就是第二个 code，必然 -109。
-          const { url: callbackUrl, body } = await openIsolatedLogin({
-            browser,
-            url,
-            match: CALLBACK,
-            timeoutMs: 5 * 60_000,
-            signal,
-          })
-
-          const acct = parseCallback(callbackUrl, body)
-          return authOf({ ...acct, guid, loginType: acct.loginType ?? LOGIN_TYPE[loginType] ?? "6" })
-        },
-      }
-    },
-  }
-}
-
-export function methods() {
-  return [
-    oauthLogin(
-      "QC",
-      "QQ 登录",
-      "1) 会打开一个**独立的**浏览器窗口（不碰你日常浏览器）\n" +
-        "2) 用你的 QQ 登录并确认授权\n" +
-        "3) 授权完成后窗口会自己关掉，回到 magpie 即可",
-    ),
-    oauthLogin(
-      "WX",
-      "微信登录",
-      "1) 会打开一个**独立的**浏览器窗口（不碰你日常浏览器）\n" +
-        "2) 用微信扫码并确认\n" +
-        "3) 授权完成后窗口会自己关掉，回到 magpie 即可",
-    ),
-    {
-      type: "oauth",
-      label: "从本机 Marvis 导入（需已安装并登录）",
-      async authorize() {
-        const ok = await desktopAvailable()
-        return {
-          // ⚠ 必须 opened: true + method: "auto"，否则 magpie 会去开这个 url
-          //   （之前给 about:blank 弹了一次「没有可打开此链接的应用」）
-          url: "",
-          opened: true,
-          method: "auto",
-          instructions: ok
-            ? "已检测到本机 Marvis 客户端，正在读取登录态…"
-            : "本机没找到运行中的 Marvis 客户端。请先打开 Marvis 并登录，或改用 QQ / 微信 登录。",
-          async callback() {
-            const acct = await importFromDesktop()
-            return authOf(acct)
-          },
-        }
-      },
-    },
-  ]
-}
-
-export { PROVIDER, CALLBACK }
+// ② auth.methods —— 两条登录路
+//
+//   A. QQ / 微信 授权（默认）：自己起一个**隔离浏览器**（一次性 profile、伪装正常 Chrome、
+//      去掉自动化痕迹），用户在窗口里授权，插件从 CDP 抓回调 URL 里的 `code`。
+//      → `{ url, opened: true, method: "auto", callback }`
+//        `opened: true` 让 magpie **不要**再开系统默认浏览器（否则弹两个窗口）。
+//
+//   B. 从本机 Marvis 导入：装了客户端且登录过的人，直接读进程内存里的登录态。
+//      → 同样 `opened: true` + `method: "auto"`，整个登录就是「点一下 → 读内存 → 成功」。
+//
+// ⚠ `authorize()` 必须**立刻**返回 —— 真正等用户的是 `callback()`。
+//   在这里 await 登录会和 magpie 双向死锁（HOOKS §四·陷阱1）。
+//
+// ⚠ 为什么不能像别的插件那样起本地 loopback 收回调：redirect_uri 是 QQ 互联里
+//   预注册死的，改不了（详见 src/marvis/login.mjs 顶部）。所以只能「跳过去 → 读地址栏」。
+
+import { PROVIDER, LOGIN_TYPE } from "../context.mjs"
+import { authorizeUrl, parseCallback, deviceGuid } from "../marvis/login.mjs"
+import { openIsolatedLogin, findBrowser } from "../marvis/browser.mjs"
+import { resolveAccount } from "../account-name.mjs"
+import { importFromDesktop, desktopAvailable } from "../marvis/desktop.mjs"
+
+/** 回调地址判据：跳到 marvis_oauth 且带 code= */
+const CALLBACK = /marvis_client_login\/marvis_oauth\?[^#]*\bcode=/i
+
+/**
+ * 登录成功时给宿主的字段。
+ * `accountId` 是**名字**（卡片上显示），`uid` 是身份（HOOKS §八）。
+ * ⚠ `refresh` 必须有 —— 缺了它 magpie 不会把账号写进 plugin-auth.json，
+ *   表现是「登录显示成功，但界面说无法列出账号」。
+ */
+export function authOf(acct) {
+  const { accountId, uid } = resolveAccount({
+    name: acct.nickname ?? "",
+    phone: "",
+    urn: acct.openid,
+  })
+  return {
+    type: "success",
+    access: acct.accessToken,
+    // token 30 天有效，refresh 会成对轮换 —— 这里存自己，refresh 钩子负责换新
+    refresh: acct.refreshToken ?? acct.accessToken,
+    expires: acct.expiresAt ?? 0,
+    ...(accountId ? { accountId } : {}),
+    ...(uid ? { uid } : {}),
+    // 落盘的额外字段：模型请求随时要用
+    metadata: {
+      openid: acct.openid,
+      guid: acct.guid ?? deviceGuid(),
+      loginType: acct.loginType ?? "6",
+      nickname: acct.nickname ?? "",
+    },
+  }
+}
+
+/** 授权页登录（QQ / 微信），走隔离浏览器 */
+function oauthLogin(loginType, label, instructions) {
+  return {
+    type: "oauth",
+    label,
+    async authorize() {
+      const guid = deviceGuid()
+      const browser = findBrowser()
+      const url = authorizeUrl(loginType, guid)
+
+      return {
+        url,
+        // 我们自己开隔离浏览器，magpie 不要再开系统默认浏览器
+        opened: true,
+        method: "auto",
+        instructions,
+        async callback(_url, _input, signal) {
+          if (!browser) {
+            throw new Error(
+              "没有找到可用的 Chromium 内核浏览器（Chrome / Edge / 360 / QQ 浏览器都行）。" +
+                "请装一个，或改用「从本机 Marvis 导入」。",
+            )
+          }
+          // 起隔离浏览器 → 等它跳到回调地址
+          // ⚠ 回调页**本身就是换 token 的响应**（服务端直接吐 JSON），
+          //   所以这里读页面正文，**不要再发一次请求** —— 再发就是第二个 code，必然 -109。
+          const { url: callbackUrl, body } = await openIsolatedLogin({
+            browser,
+            url,
+            match: CALLBACK,
+            timeoutMs: 5 * 60_000,
+            signal,
+          })
+
+          // 拦截时 body 为空 -> parseCallback 自己拿 code + login_type 去换
+          const acct = await parseCallback(callbackUrl, body, { loginType })
+          return authOf({ ...acct, guid, loginType: acct.loginType ?? LOGIN_TYPE[loginType] ?? "6" })
+        },
+      }
+    },
+  }
+}
+
+export function methods() {
+  return [
+    oauthLogin(
+      "QC",
+      "QQ 登录",
+      "1) 会打开一个**独立的**浏览器窗口（不碰你日常浏览器）\n" +
+        "2) 用你的 QQ 登录并确认授权\n" +
+        "3) 授权完成后窗口会自己关掉，回到 magpie 即可",
+    ),
+    oauthLogin(
+      "WX",
+      "微信登录",
+      "1) 会打开一个**独立的**浏览器窗口（不碰你日常浏览器）\n" +
+        "2) 用微信扫码并确认\n" +
+        "3) 授权完成后窗口会自己关掉，回到 magpie 即可",
+    ),
+    {
+      type: "oauth",
+      label: "从本机 Marvis 导入（需已安装并登录）",
+      async authorize() {
+        const ok = await desktopAvailable()
+        return {
+          // ⚠ 必须 opened: true + method: "auto"，否则 magpie 会去开这个 url
+          //   （之前给 about:blank 弹了一次「没有可打开此链接的应用」）
+          url: "",
+          opened: true,
+          method: "auto",
+          instructions: ok
+            ? "已检测到本机 Marvis 客户端，正在读取登录态…"
+            : "本机没找到运行中的 Marvis 客户端。请先打开 Marvis 并登录，或改用 QQ / 微信 登录。",
+          async callback() {
+            const acct = await importFromDesktop()
+            return authOf(acct)
+          },
+        }
+      },
+    },
+  ]
+}
+
+export { PROVIDER, CALLBACK }

package/src/marvis/browser.mjs

@@ -295,16 +295,21 @@ export async function openIsolatedLogin({ browser, url, match, timeoutMs = 5 * 6
         acceptLanguage: "zh-CN,zh;q=0.9",
         platform: "Win32",
       }).catch(() => {})
+      // 顺手抹掉 navigator.webdriver（比 --disable-blink-features 更干净，不带警告条）
+      await send(3, "Page.addScriptToEvaluateOnNewDocument", {
+        source: "Object.defineProperty(navigator,'webdriver',{get:()=>undefined})",
+      }).catch(() => {})
 
-      let nextId = 10
+      // ⚠ 核心：**在跳转发生前**把回调请求拦下来。
+      //   实测 QQ 会把 redirect_uri 的查询串整个丢掉 —— 落地页收到的
+      //   `?code=...&state=...` 里**没有 login_type**，服务端直接 `-109 RC_PARAMS_INVALID`。
+      //   所以不能靠那个页面的响应，只能自己从 URL 里取 code，再带上 login_type 换一次。
+      await send(4, "Fetch.enable", {
+        patterns: [{ urlPattern: "*marvis_client_login/marvis_oauth*", requestStage: "Request" }],
+      }).catch(() => {})
 
-      // ⚠ 监听 Network.responseReceived 而不是轮询 document.body：
-      //   回调页可能被 JS 自动刷新，轮询会读到**第二次**请求的响应 —— 那时 code 已被
-      //   第一次消耗掉，服务端回 `-109 RC_PARAMS_INVALID`（「授权码已被使用过」）。
-      //   所以只认**第一次**跳到回调地址的那个响应体。
-      /** @type {Map<string,string>} requestId -> url */
-      const pending = new Map()
-      /** @type {{url:string, body:string} | null} */
+      let nextId = 10
+      /** @type {{url:string} | null} */
       let hit = null
 
       ws.addEventListener("message", (event) => {
@@ -314,34 +319,33 @@ export async function openIsolatedLogin({ browser, url, match, timeoutMs = 5 * 6
         } catch {
           return
         }
-        if (msg.method === "Network.responseReceived") {
-          const { requestId, response } = msg.params ?? {}
-          const u = String(response?.url ?? "")
-          if (u && match.test(u)) pending.set(requestId, u)
+        if (msg.method === "Fetch.requestPaused" && !hit) {
+          const { requestId, request } = msg.params ?? {}
+          const u = String(request?.url ?? "")
+          if (u && match.test(u)) {
+            hit = { url: u }
+            // 让页面显示一句「授权完成」，避免用户对着 -109 的 JSON 发愣
+            send(nextId++, "Fetch.fulfillRequest", {
+              requestId,
+              responseCode: 200,
+              responseHeaders: [{ name: "content-type", value: "text/html; charset=utf-8" }],
+              body: Buffer.from(
+                "<!doctype html><meta charset=utf-8><title>Marvis 授权完成</title>" +
+                  "<body style=\"font:16px/1.6 system-ui;padding:48px;color:#111\">" +
+                  "<h2>授权完成</h2><p>回到 magpie 即可，窗口会自动关闭。</p></body>",
+                "utf8",
+              ).toString("base64"),
+            }).catch(() => {})
+          }
         }
       })
 
       while (Date.now() < deadline) {
         if (signal?.aborted) throw new Error("登录已取消")
-
-        // 有新命中就去取 body（只取一次）
-        if (pending.size > 0 && !hit) {
-          const [requestId, u] = [...pending.entries()][0]
-          pending.delete(requestId)
-          try {
-            const r = await send(nextId++, "Network.getResponseBody", { requestId })
-            const body = String(r?.body ?? "")
-            const decoded = r?.base64Encoded ? Buffer.from(body, "base64").toString("utf8") : body
-            hit = { url: u, body: decoded }
-            break
-          } catch {
-            /* body 还没就绪，下一轮再取 */
-          }
-        }
-        await new Promise((r) => setTimeout(r, 500))
+        if (hit) return { url: hit.url, body: "", browser: browser.name }
+        await new Promise((r) => setTimeout(r, 400))
       }
 
-      if (hit) return { url: hit.url, body: hit.body, browser: browser.name }
       throw new Error("登录超时：没有等到授权回调。请在打开的窗口里完成 QQ / 微信 授权。")
     } finally {
       try {

package/src/marvis/desktop.mjs

@@ -215,16 +215,19 @@ export function parseLoginState(text) {
   const guid = deviceGuid()
 
   // 形态 1：cookie 串
+  // ⚠ guid 优先从**同一段内存**里取 —— 服务端按 (openid, guid, token) 三元组校验，
+  //   注册表里的值理论上一致，但内存里的这份才是这个 token 真正绑定的那个。
   const cookie = /openid=([0-9A-Fa-f]{16,64});\s*accesstoken=([^;\s]+);\s*(?:refreshtoken=([^;\s]+);\s*)?(?:logintype=([A-Za-z]+))?/
   let m = cookie.exec(text)
   if (m) {
     const expire = /access_token_expire_time=(\d{10})/.exec(text)
+    const memGuid = /guid=([0-9a-fA-F]{32})/.exec(text)
     return {
       openid: m[1],
       accessToken: m[2],
       refreshToken: m[3] || undefined,
       loginType: /^WX$/i.test(m[4] ?? "") ? "5" : "6",
-      guid,
+      guid: memGuid ? memGuid[1].toLowerCase() : guid,
       expiresAt: expire ? Number(expire[1]) * 1000 : Date.now() + 30 * 24 * 3600_000,
     }
   }

package/src/marvis/login.mjs

@@ -97,29 +97,27 @@ export function extractCode(input) {
  * @param {string} [state] QQ 回调带回来的 state（原样回传）
  * @returns {Promise<{ openid: string, accessToken: string, refreshToken?: string, nickname?: string, avatar?: string, loginType: string, expiresAt?: number }>}
  */
-export async function exchangeCode(code, loginType, guid, state) {
-  // ⚠ query 必须**逐字**等于 QQ 回调时的 redirect_uri 查询串 ——
-  //   QQ 在换 token 时校验 `redirect_uri` 一致性，多一个参数（比如 guid）就 `-109 RC_PARAMS_INVALID`。
-  //   guid 只在 authorize 的 state 里传递，不进这里。
+export async function exchangeCode(code, loginType, _guid, state) {
+  // ⚠⚠ 这个端点**不需要任何鉴权头**（它就是在发登录态）。
+  //   实测：带上 `Ual-Access-*` 签名头 -> **400 空响应**；不带 -> `200 {code:...}`。
+  //   所以千万别在这里复用 businessHeaders()。
+  //
+  // ⚠ query 里**只能有 login_type 和 code**：多一个参数服务端就 `-109 RC_PARAMS_INVALID`。
   const params = { login_type: loginType, code }
   if (state) params.state = String(state)
   const query = new URLSearchParams(params).toString()
-  const timestamp = String(Date.now())
-  const nonce = String(1000 + Math.floor(Math.random() * 9000))
   const url = `${REDIRECT}?${query}`
 
   const res = await fetch(url, {
     method: "GET",
     headers: {
       Accept: "application/json",
-      "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Marvis/1.60.3300.408 Chrome/152.0.7977.130 Electron/44.7.0 Safari/537.36",
-      "Ual-Access-Businessid": BUSINESS_ID,
-      "Ual-Access-Timestamp": timestamp,
-      "Ual-Access-Nonce": nonce,
-      "Ual-Access-Signature": ualSignature(query, timestamp, nonce),
-      "Ual-Access-Guid": guid,
-      "Ual-Access-Login-Type": LOGIN_TYPE[loginType] ?? "6",
+      // 伪装成 Marvis 自己的浏览器 —— 服务端按 UA 区分客户端
+      "User-Agent":
+        "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) " +
+        "Marvis/1.60.3300.408 Chrome/152.0.7977.130 Electron/44.7.0 Safari/537.36",
     },
+    signal: AbortSignal.timeout(30_000),
   })
 
   const text = await res.text()
@@ -128,7 +126,7 @@ export async function exchangeCode(code, loginType, guid, state) {
   try {
     body = JSON.parse(text)
   } catch {
-    throw new Error(`登录接口返回的不是 JSON（${res.status}）：${text.slice(0, 200)}`)
+    throw new Error(`登录接口返回的不是 JSON（HTTP ${res.status}）：${text.slice(0, 200) || "空响应"}`)
   }
 
   const info = body?.user_info ?? body?.data ?? null
@@ -139,24 +137,91 @@ export async function exchangeCode(code, loginType, guid, state) {
     const errCode = body?.code ?? res.status
     const hint =
       errCode === -109
-        ? "（RC_PARAMS_INVALID：授权码无效或已被使用过。每次登录都会拿到一个新 code，一个 code 只能换一次 token，请重新走一遍登录）"
+        ? "（RC_PARAMS_INVALID：授权码无效或已被使用过。一个 code 只能换一次 token，请重新走一遍登录）"
         : ""
     throw new Error(`登录失败（code=${errCode}）：${body?.msg ?? "未返回 access_token / openid"}${hint}`)
   }
 
+  return normalize(info, accessToken, openid)
+}
+
+/**
+ * 从回调里拿到登录态。
+ *
+ * **主路径**（推荐，已实测）：回调请求被 CDP 在**跳转前**拦下，我们只拿到 URL，
+ * 由自己带上 `login_type` 去换 token。原因见下方 ⚠。
+ *
+ * **兜底**：如果 URL 里取不到 code、但页面正文是一段 JSON（旧路径），也认。
+ *
+ * ⚠ 为什么不能依赖那个落地页的响应：实测 QQ 会把 `redirect_uri` 的查询串
+ *   **整个丢掉** —— 落地页收到的是 `?code=...&state=...`，**没有 `login_type`**，
+ *   服务端因此返回 `-109 RC_PARAMS_INVALID`。所以必须自己取 code 再换。
+ *
+ * @param {string} callbackUrl 回调地址（含 code）
+ * @param {string} [body] 回调页正文（CDP 拦截时为空）
+ * @param {{ loginType?: string, guid?: string }} [opts]
+ */
+export async function parseCallback(callbackUrl, body, opts = {}) {
+  const text = String(body ?? "").trim()
+
+  // 兜底：正文就是 JSON（旧路径）
+  if (text.startsWith("{")) {
+    /** @type {any} */
+    let body0
+    try {
+      body0 = JSON.parse(text)
+    } catch {
+      body0 = null
+    }
+    if (body0) {
+      const biz = body0.code
+      const info = body0.user_info ?? body0.data ?? body0
+      const accessToken = info?.access_token ?? info?.accessToken
+      const openid = info?.openid ?? info?.openId ?? info?.open_id
+      if (typeof biz === "number" && biz !== 0) {
+        throw new Error(
+          `登录失败（code=${biz}）：${body0.msg ?? "未返回用户信息"}` +
+            (biz === -109
+              ? "（授权码无效或已被使用过 —— 一个 code 只能换一次 token，请重新走一遍登录）"
+              : ""),
+        )
+      }
+      if (accessToken && openid) return normalize(info, accessToken, openid)
+    }
+  }
+
+  // 主路径：从 URL 取 code，自己换
+  const code = extractCode(callbackUrl)
+  if (!code) {
+    throw new Error(
+      `没能从回调地址里取出授权码（${String(callbackUrl).slice(0, 160) || "空"}）。请重新走一遍登录。`,
+    )
+  }
+  return exchangeCode(code, opts.loginType ?? "QC", opts.guid, undefined)
+}
+
+/** 把上游 user_info 归一成插件内部形状 */
+function normalize(info, accessToken, openid) {
   const expire = Number(info?.access_token_expire_time ?? info?.expires_in ?? 0)
   return {
     openid: String(openid),
     accessToken: String(accessToken),
     refreshToken: info?.refresh_token ? String(info.refresh_token) : undefined,
-    nickname: info?.nick_name ? decodeURIComponent(info.nick_name) : undefined,
+    nickname: info?.nick_name ? safeDecode(info.nick_name) : undefined,
     avatar: info?.head_img_url ?? undefined,
-    loginType: LOGIN_TYPE[loginType] ?? "6",
-    // 上游给的是**到期时刻**（秒）；没给就按 30 天算
+    loginType: "6",
     expiresAt: expire > 1e9 ? expire * 1000 : Date.now() + 30 * 24 * 3600_000,
   }
 }
 
+function safeDecode(s) {
+  try {
+    return decodeURIComponent(String(s))
+  } catch {
+    return String(s)
+  }
+}
+
 /**
  * 设备 guid。
  *
@@ -164,104 +229,27 @@ export async function exchangeCode(code, loginType, guid, state) {
  * 服务端按 `(openid, guid, token)` 三元组校验，但 guid 是**纯客户端自报**的 ——
  * 换 guid 会 `-101 redis: nil`，所以它必须稳定，跟着 token 一起存。
  *
- * 没有注册表（没装 Marvis）时，用「本机机器 id 派生」的稳定值兜底 ——
+ * 没有注册表（没装 Marvis）时，用「本机机器名 + 用户名」派生 ——
  * 同一台机器永远算出同一个，不会每次登录变。
  *
  * @returns {string} 32 位小写 hex
  */
 export function deviceGuid() {
   try {
-    // @ts-ignore —— 只在 Windows 上有
     const { execFileSync } = require("node:child_process")
-    const out = execFileSync(
-      "reg",
-      ["query", "HKCU\\SOFTWARE\\Tencent\\Marvis\\Env", "/v", "svid"],
-      { encoding: "utf8", windowsHide: true, timeout: 3000 },
-    )
+    // ⚠ 必须 String.raw：JS 里 `\S` `\T` 是**无效转义**，反斜杠会被吃掉，
+    //   传给 reg 的路径变成 `HKCUSOFTWARETencentMarvisEnv` -> 「无效参数」。
+    const out = execFileSync("reg", ["query", String.raw`HKCU\SOFTWARE\Tencent\Marvis\Env`, "/v", "svid"], {
+      encoding: "utf8",
+      windowsHide: true,
+      timeout: 3000,
+    })
     const m = /svid\s+REG_SZ\s+([0-9a-fA-F]{32})/.exec(out)
     if (m) return m[1].toLowerCase()
   } catch {
     /* 没装 Marvis 或没有这个键，用派生值 */
   }
-  // 兜底：机器名 + 用户名 + 平台，哈希成 32 hex。跨进程稳定。
   const { hostname, userInfo } = require("node:os")
   const seed = `${hostname()}|${userInfo?.().username ?? ""}|marvis`
   return createHash("md5").update(seed).digest("hex")
 }
-
-/**
- * 从回调页里解析登录态。
- *
- * **主路径**：回调页本身就是换 token 的响应，正文是一段 JSON：
- *   `{"code":0,"msg":"","user_info":{"openid":"...","access_token":"mv_..."},"ext_info":{...}}`
- * 所以直接读正文，**不要重发请求** —— 重发就是用第二个 code，必然 `-109 RC_PARAMS_INVALID`。
- *
- * **兜底**：正文取不到（页面被拦截 / 白屏）时，从地址栏抠 code 再换一次。
- *
- * @param {string} callbackUrl 回调页地址
- * @param {string} [body] 回调页正文
- * @returns {{ openid: string, accessToken: string, refreshToken?: string, nickname?: string, avatar?: string, loginType: string, expiresAt?: number }}
- */
-export function parseCallback(callbackUrl, body) {
-  const text = String(body ?? "").trim()
-
-  // ① 主路径：正文就是 JSON
-  if (text.startsWith("{")) {
-    /** @type {any} */
-    let body0
-    try {
-      body0 = JSON.parse(text)
-    } catch {
-      body0 = null
-    }
-    if (body0) {
-      const biz = body0.code
-      if (typeof biz === "number" && biz !== 0) {
-        throw new Error(
-          `登录失败（code=${biz}）：${body0.msg ?? "未返回用户信息"}` +
-            (biz === -109
-              ? "（授权码无效或已被使用过 —— 一个 code 只能换一次 token，请重新走一遍登录）"
-              : ""),
-        )
-      }
-      const info = body0.user_info ?? body0.data ?? body0
-      const accessToken = info?.access_token ?? info?.accessToken
-      const openid = info?.openid ?? info?.openId ?? info?.open_id
-      if (accessToken && openid) return normalize(info, accessToken, openid)
-    }
-  }
-
-  // ② 兜底：从地址栏抠 code 再换
-  const code = extractCode(callbackUrl)
-  if (!code) {
-    throw new Error(
-      `回调页没有返回登录态（正文：${text.slice(0, 160) || "空"}）。请重新走一遍登录。`,
-    )
-  }
-  throw new Error(
-    `回调页没有直接返回 token（正文：${text.slice(0, 120) || "空"}），` +
-      `请重新走一遍登录。`,
-  )
-}
-
-/** 把上游 user_info 归一成插件内部形状 */
-function normalize(info, accessToken, openid) {
-  const expire = Number(info?.access_token_expire_time ?? info?.expires_in ?? 0)
-  return {
-    openid: String(openid),
-    accessToken: String(accessToken),
-    refreshToken: info?.refresh_token ? String(info.refresh_token) : undefined,
-    nickname: info?.nick_name ? safeDecode(info.nick_name) : undefined,
-    avatar: info?.head_img_url ?? undefined,
-    loginType: "6",
-    expiresAt: expire > 1e9 ? expire * 1000 : Date.now() + 30 * 24 * 3600_000,
-  }
-}
-
-function safeDecode(s) {
-  try {
-    return decodeURIComponent(String(s))
-  } catch {
-    return String(s)
-  }
-}