magpie-marvis 0.1.7 → 0.1.9

package/CHANGELOG.md

@@ -3,9 +3,17 @@
 > 每个版本一节，**一条一行**，说用户能感知的变化。
 > 格式与规矩见 [UPDATING.md](./UPDATING.md)。
 
-## 0.1.7 — 2026-11-06
+## 0.1.9 — 2026-11-06
 
-**修复**
+**修复（这是 `-109` 的真正根因）**
+
+- **`redirect_uri` 少了 `?login_type=QC`**。Marvis 渲染层的 `Bpe(e)` 返回的是
+  `.../marvis_oauth?login_type=${e}`，我写成了 `.../marvis_oauth`。
+  服务端靠这个参数知道「用哪个 app 的 `client_secret` 去换 code」——
+  少了它，**哪怕 code 是真的也一律 `-109 RC_PARAMS_INVALID`**（是参数无效，不是 code 无效）。
+- 浏览器登录改为**正常走完回调请求**（带 Cookie、带正确 `redirect_uri`），
+  只读第一个响应体；不再拦截后用 Node 重放（重放丢 Cookie，同样 `-109`）
+- 微信登录同步修正
 
 - **浏览器登录「授权码已被使用过」（`-109`）**：根因是 **QQ 会把 `redirect_uri` 的查询串整个丢掉** ——
   落地页收到的是 `?code=...&state=...`，**没有 `login_type`**，服务端因此判参数无效。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "magpie-marvis",
-  "version": "0.1.7",
+  "version": "0.1.9",
   "description": "magpie / OpenCode provider plugin for Tencent Marvis: its DeepSeek V4 Pro, Kimi K2.5, Claude Opus/Sonnet 4.6, GPT-5.4 and Hunyuan models through the Marvis model gateway — no API key to paste, sign in with QQ or WeChat.",
   "type": "module",
   "main": "./index.mjs",

package/src/marvis/browser.mjs

@@ -300,16 +300,14 @@ export async function openIsolatedLogin({ browser, url, match, timeoutMs = 5 * 6
         source: "Object.defineProperty(navigator,'webdriver',{get:()=>undefined})",
       }).catch(() => {})
 
-      // ⚠ 核心：**在跳转发生前**把回调请求拦下来。
-      //   实测 QQ 会把 redirect_uri 的查询串整个丢掉 —— 落地页收到的
-      //   `?code=...&state=...` 里**没有 login_type**，服务端直接 `-109 RC_PARAMS_INVALID`。
-      //   所以不能靠那个页面的响应，只能自己从 URL 里取 code，再带上 login_type 换一次。
-      await send(4, "Fetch.enable", {
-        patterns: [{ urlPattern: "*marvis_client_login/marvis_oauth*", requestStage: "Request" }],
-      }).catch(() => {})
-
-      let nextId = 10
-      /** @type {{url:string} | null} */
+      // ⚠ 让浏览器**正常走完**回调请求（带 Cookie、带正确的 redirect_uri），
+      //   我们只读**第一个**响应的正文。不拦截、不重发 ——
+      //   拦截后用 Node 的 fetch 重放会丢掉 Cookie，服务端就回 `-109`。
+      /** @type {string | null} */
+      let hitRequestId = null
+      /** @type {string} */
+      let hitUrl = ""
+      /** @type {{url:string, body:string} | null} */
       let hit = null
 
       ws.addEventListener("message", (event) => {
@@ -319,30 +317,32 @@ export async function openIsolatedLogin({ browser, url, match, timeoutMs = 5 * 6
         } catch {
           return
         }
-        if (msg.method === "Fetch.requestPaused" && !hit) {
-          const { requestId, request } = msg.params ?? {}
-          const u = String(request?.url ?? "")
+        if (msg.method === "Network.responseReceived" && !hitRequestId) {
+          const { requestId, response } = msg.params ?? {}
+          const u = String(response?.url ?? "")
           if (u && match.test(u)) {
-            hit = { url: u }
-            // 让页面显示一句「授权完成」，避免用户对着 -109 的 JSON 发愣
-            send(nextId++, "Fetch.fulfillRequest", {
-              requestId,
-              responseCode: 200,
-              responseHeaders: [{ name: "content-type", value: "text/html; charset=utf-8" }],
-              body: Buffer.from(
-                "<!doctype html><meta charset=utf-8><title>Marvis 授权完成</title>" +
-                  "<body style=\"font:16px/1.6 system-ui;padding:48px;color:#111\">" +
-                  "<h2>授权完成</h2><p>回到 magpie 即可，窗口会自动关闭。</p></body>",
-                "utf8",
-              ).toString("base64"),
-            }).catch(() => {})
+            hitRequestId = requestId
+            hitUrl = u
           }
         }
       })
 
+      let nextId = 10
       while (Date.now() < deadline) {
         if (signal?.aborted) throw new Error("登录已取消")
-        if (hit) return { url: hit.url, body: "", browser: browser.name }
+
+        if (hitRequestId && !hit) {
+          try {
+            const r = await send(nextId++, "Network.getResponseBody", { requestId: hitRequestId })
+            const raw = String(r?.body ?? "")
+            const body = r?.base64Encoded ? Buffer.from(raw, "base64").toString("utf8") : raw
+            if (body.trim()) hit = { url: hitUrl, body }
+          } catch {
+            /* body 还没就绪，下一轮再取 */
+          }
+        }
+        if (hit) return { url: hit.url, body: hit.body, browser: browser.name }
+
         await new Promise((r) => setTimeout(r, 400))
       }
 

package/src/marvis/login.mjs

@@ -17,7 +17,17 @@ import { createRequire } from "node:module"
 
 const require = createRequire(import.meta.url)
 
-/** redirect_uri —— 与 Marvis 客户端逐字一致 */
+/**
+ * redirect_uri 的**基址**（不带查询串）。
+ *
+ * ⚠⚠ 授权时必须拼上 `?login_type=<QC|WX>` —— 这是整个登录的关键：
+ *   服务端要靠它知道「用哪个 app 的 client_secret 去换 code」。
+ *   少了它，哪怕 code 是真的，也会一律回 `-109 RC_PARAMS_INVALID`
+ *   （`RC_PARAMS_INVALID` = 参数无效，不是 code 无效）。
+ *
+ *   对照 Marvis 渲染层的 `Bpe(e)`：
+ *     `${base}/${n}/marvis_oauth?login_type=${e}`   // e = QC | WX
+ */
 const REDIRECT = `${BASE}/marvis_client_login/marvis_oauth`
 
 /**
@@ -30,7 +40,8 @@ export function authorizeUrl(loginType, guid) {
   if (loginType === "WX") {
     const p = new URLSearchParams({
       appid: WX_APP_ID,
-      redirect_uri: REDIRECT,
+      // ⚠ 同样必须带 ?login_type=WX
+      redirect_uri: `${REDIRECT}?login_type=${loginType}`,
       response_type: "code",
       scope: "snsapi_login",
       state: guid,
@@ -43,7 +54,8 @@ export function authorizeUrl(loginType, guid) {
     display: "pc",
     response_type: "code",
     client_id: QQ_APP_ID,
-    redirect_uri: REDIRECT,
+    // ⚠ 必须带 ?login_type=QC，见 REDIRECT 上方说明
+    redirect_uri: `${REDIRECT}?login_type=${loginType}`,
     state: String(Math.floor(Math.random() * 1e9)),
   })
   return `https://graph.qq.com/oauth2.0/authorize?${p}`