magpie-marvis 0.1.8 → 0.2.0

package/CHANGELOG.md

@@ -1,21 +1,40 @@
-# 更新记录
-
-> 每个版本一节，**一条一行**，说用户能感知的变化。
-> 格式与规矩见 [UPDATING.md](./UPDATING.md)。
-
-## 0.1.8 — 2026-11-06
-
-**修复**
-
-- **浏览器登录「授权码已被使用过」（`-109`）**：根因是 **QQ 会把 `redirect_uri` 的查询串整个丢掉** ——
-  落地页收到的是 `?code=...&state=...`，**没有 `login_type`**，服务端因此判参数无效。
-  改成用 CDP `Fetch.requestPaused` 在**跳转前**拦下回调，自己从 URL 取 `code` 再带 `login_type` 换。
-  页面同时显示「授权完成」，用户不用对着 `-109` 的 JSON 发愣
-- **换 token 带了鉴权头**：`marvis_oauth` 是**免鉴权**端点，带 `Ual-Access-*` 签名头会直接 400 空响应
-- **`deviceGuid()` 永远取不到注册表**：JS 里 `\S` `\T` 是无效转义，反斜杠被吃掉，
-  `reg` 收到 `HKCUSOFTWARETencentMarvisEnv` → 「无效参数」。改用 `String.raw`
-- **本机导入的 guid 与 token 不同源**：服务端按 `(openid, guid, token)` 三元组校验，
-  现在优先从**同一段内存**里取 `guid=`
-- 去掉 `--disable-blink-features=AutomationControlled`（Edge 会弹「不受支持的命令行标记」警告条），
-  改用 CDP `Page.addScriptToEvaluateOnNewDocument` 抹掉 `navigator.webdriver`
-
+# 更新记录
+
+> 每个版本一节，**一条一行**，说用户能感知的变化。
+> 格式与规矩见 [UPDATING.md](./UPDATING.md)。
+
+## 0.2.0 — 2026-11-06
+
+**修复（逆向客户端主进程后对齐）**
+
+- **换取请求改在页面上下文里发**：`yybadaccess` 的 WAF 做 TLS 指纹校验，
+  Node 的 undici（OpenSSL）和 Chromium（BoringSSL）指纹不同 ——
+  带头的请求从 Node 发出去一律 **400 空响应**。
+- **补 `Referer`**：客户端重放时会把原始请求头整份复制（`reqHeaders` / `cookies` / `referer`），
+  缺 referer 服务端判来源不合法。
+- **去掉 `Ual-Access-Businessid`**：实测它会让 WAF 直接 400（这是我这轮踩的最大坑——
+  加头反而更糟，不加头时至少还能拿到 `-109` JSON）。
+- 浏览器先开 `about:blank`、装好钩子再 `Page.navigate` —— 否则首次请求漏过去，拦截永远不触发。
+
+**修复（这是 `-109` 的真正根因）**
+
+- **`redirect_uri` 少了 `?login_type=QC`**。Marvis 渲染层的 `Bpe(e)` 返回的是
+  `.../marvis_oauth?login_type=${e}`，我写成了 `.../marvis_oauth`。
+  服务端靠这个参数知道「用哪个 app 的 `client_secret` 去换 code」——
+  少了它，**哪怕 code 是真的也一律 `-109 RC_PARAMS_INVALID`**（是参数无效，不是 code 无效）。
+- 浏览器登录改为**正常走完回调请求**（带 Cookie、带正确 `redirect_uri`），
+  只读第一个响应体；不再拦截后用 Node 重放（重放丢 Cookie，同样 `-109`）
+- 微信登录同步修正
+
+- **浏览器登录「授权码已被使用过」（`-109`）**：根因是 **QQ 会把 `redirect_uri` 的查询串整个丢掉** ——
+  落地页收到的是 `?code=...&state=...`，**没有 `login_type`**，服务端因此判参数无效。
+  改成用 CDP `Fetch.requestPaused` 在**跳转前**拦下回调，自己从 URL 取 `code` 再带 `login_type` 换。
+  页面同时显示「授权完成」，用户不用对着 `-109` 的 JSON 发愣
+- **换 token 带了鉴权头**：`marvis_oauth` 是**免鉴权**端点，带 `Ual-Access-*` 签名头会直接 400 空响应
+- **`deviceGuid()` 永远取不到注册表**：JS 里 `\S` `\T` 是无效转义，反斜杠被吃掉，
+  `reg` 收到 `HKCUSOFTWARETencentMarvisEnv` → 「无效参数」。改用 `String.raw`
+- **本机导入的 guid 与 token 不同源**：服务端按 `(openid, guid, token)` 三元组校验，
+  现在优先从**同一段内存**里取 `guid=`
+- 去掉 `--disable-blink-features=AutomationControlled`（Edge 会弹「不受支持的命令行标记」警告条），
+  改用 CDP `Page.addScriptToEvaluateOnNewDocument` 抹掉 `navigator.webdriver`
+

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "magpie-marvis",
-  "version": "0.1.8",
+  "version": "0.2.0",
   "description": "magpie / OpenCode provider plugin for Tencent Marvis: its DeepSeek V4 Pro, Kimi K2.5, Claude Opus/Sonnet 4.6, GPT-5.4 and Hunyuan models through the Marvis model gateway — no API key to paste, sign in with QQ or WeChat.",
   "type": "module",
   "main": "./index.mjs",

package/src/marvis/browser.mjs

@@ -198,11 +198,12 @@ async function getJson(url, timeoutMs = 3000) {
  * @param {{name:string,path:string}} o.browser findBrowser() 的返回值
  * @param {string} o.url 登录页
  * @param {RegExp} o.match 回调地址的判据
+ * @param {Record<string,string>} [o.extraHeaders] 注入到**每个请求**的头（MarvisExt 等）
  * @param {number} [o.timeoutMs] 默认 5 分钟
  * @param {AbortSignal} [o.signal]
  * @returns {Promise<{url:string, body:string, browser:string}>} 回调页面的地址与正文
  */
-export async function openIsolatedLogin({ browser, url, match, timeoutMs = 5 * 60_000, signal }) {
+export async function openIsolatedLogin({ browser, url, match, extraHeaders, timeoutMs = 5 * 60_000, signal }) {
   if (!browser?.path) throw new Error("没有找到可用的 Chromium 内核浏览器（Chrome / Edge / 360 / QQ 浏览器都行）")
 
   const profile = mkdtempSync(join(tmpdir(), "magpie-marvis-login-"))
@@ -223,7 +224,9 @@ export async function openIsolatedLogin({ browser, url, match, timeoutMs = 5 * 6
       "--exclude-switches=enable-automation",
       `--user-agent=${CHROME_UA}`,
       "--lang=zh-CN",
-      url,
+      // ⚠ 必须先开 about:blank：钩子（Fetch.enable / setExtraHTTPHeaders）要在
+      //   导航**之前**装好，否则首次请求漏过去，拦截永远不触发。
+      "about:blank",
     ],
     { stdio: "ignore", windowsHide: false },
   )
@@ -295,22 +298,38 @@ export async function openIsolatedLogin({ browser, url, match, timeoutMs = 5 * 6
         acceptLanguage: "zh-CN,zh;q=0.9",
         platform: "Win32",
       }).catch(() => {})
+      // ⚠⚠ 关键：服务端对 `yybadaccess.3g.qq.com` 的**每个**请求都校验
+      //   `Ual-Access-MarvisExt`（uskey 设备指纹）。没有它就返回
+      //   「请使用 Marvis 客户端」—— 这正是浏览器登录一直失败的原因。
+      //   Marvis 的 BrowserWindow 用 `session.webRequest.onBeforeSendHeaders` 注入，
+      //   这里用 CDP 的 `Network.setExtraHTTPHeaders` 达到同样效果。
+      if (extraHeaders && Object.keys(extraHeaders).length > 0) {
+        await send(5, "Network.setExtraHTTPHeaders", { headers: extraHeaders }).catch(() => {})
+      }
+
       // 顺手抹掉 navigator.webdriver（比 --disable-blink-features 更干净，不带警告条）
       await send(3, "Page.addScriptToEvaluateOnNewDocument", {
         source: "Object.defineProperty(navigator,'webdriver',{get:()=>undefined})",
       }).catch(() => {})
 
-      // ⚠ 核心：**在跳转发生前**把回调请求拦下来。
-      //   实测 QQ 会把 redirect_uri 的查询串整个丢掉 —— 落地页收到的
-      //   `?code=...&state=...` 里**没有 login_type**，服务端直接 `-109 RC_PARAMS_INVALID`。
-      //   所以不能靠那个页面的响应，只能自己从 URL 里取 code，再带上 login_type 换一次。
-      await send(4, "Fetch.enable", {
+      // ⚠⚠ 核心：**在跳转发生前**拦下回调，然后在**页面上下文里**发换取请求。
+      //
+      //   为什么不能从 Node 发：`yybadaccess` 的 WAF 做 **TLS 指纹**校验 ——
+      //   Node 的 undici（OpenSSL）和 Chromium（BoringSSL）指纹不同，
+      //   带 `Ual-Access-MarvisExt` 的请求从 Node 发出去一律 **400 空响应**。
+      //   在页面里 `fetch` 出去 = Chromium 的 TLS 栈 + 同源 Cookie，服务端才认。
+      await send(6, "Fetch.enable", {
         patterns: [{ urlPattern: "*marvis_client_login/marvis_oauth*", requestStage: "Request" }],
       }).catch(() => {})
 
+      // 钩子装好，现在才导航到授权页
+      await send(7, "Page.navigate", { url }).catch(() => {})
+
       let nextId = 10
-      /** @type {{url:string} | null} */
-      let hit = null
+      /** @type {string | null} */
+      let pausedId = null
+      /** @type {string} */
+      let pausedUrl = ""
 
       ws.addEventListener("message", (event) => {
         let msg
@@ -319,34 +338,91 @@ export async function openIsolatedLogin({ browser, url, match, timeoutMs = 5 * 6
         } catch {
           return
         }
-        if (msg.method === "Fetch.requestPaused" && !hit) {
+        if (msg.method === "Fetch.requestPaused" && !pausedId) {
           const { requestId, request } = msg.params ?? {}
           const u = String(request?.url ?? "")
           if (u && match.test(u)) {
-            hit = { url: u }
-            // 让页面显示一句「授权完成」，避免用户对着 -109 的 JSON 发愣
-            send(nextId++, "Fetch.fulfillRequest", {
-              requestId,
-              responseCode: 200,
-              responseHeaders: [{ name: "content-type", value: "text/html; charset=utf-8" }],
-              body: Buffer.from(
-                "<!doctype html><meta charset=utf-8><title>Marvis 授权完成</title>" +
-                  "<body style=\"font:16px/1.6 system-ui;padding:48px;color:#111\">" +
-                  "<h2>授权完成</h2><p>回到 magpie 即可，窗口会自动关闭。</p></body>",
-                "utf8",
-              ).toString("base64"),
-            }).catch(() => {})
+            pausedId = requestId
+            pausedUrl = u
           }
         }
       })
 
       while (Date.now() < deadline) {
         if (signal?.aborted) throw new Error("登录已取消")
-        if (hit) return { url: hit.url, body: "", browser: browser.name }
+        if (pausedId) break
         await new Promise((r) => setTimeout(r, 400))
       }
+      if (!pausedId) {
+        throw new Error("登录超时：没有等到授权回调。请在打开的窗口里完成 QQ / 微信 授权。")
+      }
+
+      // 先把挂起的导航放行（用一张静态页顶掉，避免页面白屏），再在页面里换
+      await send(nextId++, "Fetch.fulfillRequest", {
+        requestId: pausedId,
+        responseCode: 200,
+        responseHeaders: [{ name: "content-type", value: "text/html; charset=utf-8" }],
+        body: Buffer.from(
+          '<!doctype html><meta charset="utf-8"><title>Marvis</title>' +
+            '<body style="font:16px/1.6 system-ui;padding:48px;color:#111">' +
+            "<h2>正在完成授权…</h2><p>回到 magpie 即可。</p></body>",
+          "utf8",
+        ).toString("base64"),
+      }).catch(() => {})
+
+      // 在页面上下文里发换取请求（Chromium 的 TLS 指纹 + 同源 Cookie + 注入的头）
+      //
+      // ⚠ 还要补 `Referer`：客户端主进程重放时会把**原始请求头**整份复制过去
+      //   （字符串表里的 `reqHeaders` / `cookies` / `referer` / `ALL_REQ_HEADERS`），
+      //   其中 referer 是 QQ 授权页本身的地址。缺它服务端会判来源不合法。
+      //   fetch 的 Referer 属于禁止头，只能走 CDP 注入。
+      try {
+        const origin = new URL(pausedUrl).origin
+        await send(nextId++, "Network.setExtraHTTPHeaders", {
+          headers: { Referer: `${origin}/oauth2.0/show?which=Login&display=pc` },
+        })
+      } catch {
+        /* 注入失败不致命，继续试 */
+      }
+
+      const exchangeUrl = pausedUrl
+      const expr = `(async () => {
+        try {
+          const r = await fetch(${JSON.stringify(exchangeUrl)}, {
+            method: "GET",
+            credentials: "include",
+            headers: { "Accept": "application/json" },
+          });
+          return JSON.stringify({ __status: r.status, __body: await r.text() });
+        } catch (e) {
+          return JSON.stringify({ __error: String(e && e.message || e) });
+        }
+      })()`
+
+      /** @type {any} */
+      let out = null
+      for (let i = 0; i < 20; i++) {
+        try {
+          const r = await send(nextId++, "Runtime.evaluate", {
+            expression: expr,
+            awaitPromise: true,
+            returnByValue: true,
+          })
+          const raw = r?.result?.value
+          if (raw) {
+            out = JSON.parse(String(raw))
+            break
+          }
+        } catch {
+          /* 页面还在导航 */
+        }
+        await new Promise((r) => setTimeout(r, 500))
+      }
+
+      if (!out) throw new Error("换取登录态超时：页面里没能完成请求。请重新走一遍登录。")
+      if (out.__error) throw new Error(`页面内换取失败：${out.__error}`)
 
-      throw new Error("登录超时：没有等到授权回调。请在打开的窗口里完成 QQ / 微信 授权。")
+      return { url: exchangeUrl, body: String(out.__body ?? ""), browser: browser.name }
     } finally {
       try {
         ws.close()

package/src/marvis/login.mjs

@@ -17,7 +17,17 @@ import { createRequire } from "node:module"
 
 const require = createRequire(import.meta.url)
 
-/** redirect_uri —— 与 Marvis 客户端逐字一致 */
+/**
+ * redirect_uri 的**基址**（不带查询串）。
+ *
+ * ⚠⚠ 授权时必须拼上 `?login_type=<QC|WX>` —— 这是整个登录的关键：
+ *   服务端要靠它知道「用哪个 app 的 client_secret 去换 code」。
+ *   少了它，哪怕 code 是真的，也会一律回 `-109 RC_PARAMS_INVALID`
+ *   （`RC_PARAMS_INVALID` = 参数无效，不是 code 无效）。
+ *
+ *   对照 Marvis 渲染层的 `Bpe(e)`：
+ *     `${base}/${n}/marvis_oauth?login_type=${e}`   // e = QC | WX
+ */
 const REDIRECT = `${BASE}/marvis_client_login/marvis_oauth`
 
 /**
@@ -30,7 +40,8 @@ export function authorizeUrl(loginType, guid) {
   if (loginType === "WX") {
     const p = new URLSearchParams({
       appid: WX_APP_ID,
-      redirect_uri: REDIRECT,
+      // ⚠ 同样必须带 ?login_type=WX
+      redirect_uri: `${REDIRECT}?login_type=${loginType}`,
       response_type: "code",
       scope: "snsapi_login",
       state: guid,
@@ -43,7 +54,8 @@ export function authorizeUrl(loginType, guid) {
     display: "pc",
     response_type: "code",
     client_id: QQ_APP_ID,
-    redirect_uri: REDIRECT,
+    // ⚠ 必须带 ?login_type=QC，见 REDIRECT 上方说明
+    redirect_uri: `${REDIRECT}?login_type=${loginType}`,
     state: String(Math.floor(Math.random() * 1e9)),
   })
   return `https://graph.qq.com/oauth2.0/authorize?${p}`