magpie-marvis 0.1.9 → 0.2.1

package/CHANGELOG.md

@@ -3,7 +3,27 @@
 > 每个版本一节，**一条一行**，说用户能感知的变化。
 > 格式与规矩见 [UPDATING.md](./UPDATING.md)。
 
-## 0.1.9 — 2026-11-06
+## 0.2.1 — 2026-11-06
+
+**变更**
+
+- **上下文窗口声明改为 1,000,000**（除 `hunyuan-turbos-vision` 仍 32k）。
+  依据：实测 `main-auto` 发 **400,000 字符 = 190,511 tokens** 返回 200，
+  远超 `config_defaults.yaml` 声明的 128k —— 那个 128k 是客户端自己的保守值
+- **用户设置优先**：`config()` 不再整块覆盖 provider。改成**逐模型、逐字段合并** ——
+  用户在 magpie 设置里改过的 `limit.context` / `limit.output` / `name` / `api` 一律保留，
+  插件只补缺失字段和新增模型
+
+**修复（逆向客户端主进程后对齐）**
+
+- **换取请求改在页面上下文里发**：`yybadaccess` 的 WAF 做 TLS 指纹校验，
+  Node 的 undici（OpenSSL）和 Chromium（BoringSSL）指纹不同 ——
+  带头的请求从 Node 发出去一律 **400 空响应**。
+- **补 `Referer`**：客户端重放时会把原始请求头整份复制（`reqHeaders` / `cookies` / `referer`），
+  缺 referer 服务端判来源不合法。
+- **去掉 `Ual-Access-Businessid`**：实测它会让 WAF 直接 400（这是我这轮踩的最大坑——
+  加头反而更糟，不加头时至少还能拿到 `-109` JSON）。
+- 浏览器先开 `about:blank`、装好钩子再 `Page.navigate` —— 否则首次请求漏过去，拦截永远不触发。
 
 **修复（这是 `-109` 的真正根因）**
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "magpie-marvis",
-  "version": "0.1.9",
+  "version": "0.2.1",
   "description": "magpie / OpenCode provider plugin for Tencent Marvis: its DeepSeek V4 Pro, Kimi K2.5, Claude Opus/Sonnet 4.6, GPT-5.4 and Hunyuan models through the Marvis model gateway — no API key to paste, sign in with QQ or WeChat.",
   "type": "module",
   "main": "./index.mjs",

package/src/context.mjs

@@ -69,6 +69,8 @@ const DEFAULT_OUTPUT = 32_000
  *   不猜、不补。`local_model` / `warmup_model` / `*placeholder` 是内部占位，不对外。
  */
 const TABLE = [
+  // ⚠ 上下文窗口：实测 main-auto 发 400,000 字符（190,511 tokens）返回 200，
+  //   已远超 config_defaults.yaml 声明的 128k —— 所以按 1M 声明（用户要求，出问题再调）。
   // ⚠ 2026-11-06 逐槽位实测（每槽连发 5 次、5 种不同难度提示词，路由 100% 稳定）。
   //   显示名 = **真实模型名**，槽位名写进 id —— 卡片上看到的就是实际在跑什么。
   // ⚠ 真实模型 id 不能直接当 `model` 传（会 400 无效模型id），只能填槽位名。
@@ -82,12 +84,12 @@ const TABLE = [
   //   kimi-k2.5（500 RPC）· hunyuan-2.0-instruct-20251111（空响应）· venus-vision-llm（→ default）
 
   // ── DeepSeek ────────────────────────────────────────────────
-  ["main-auto", "deepseek-v4-1-flash-261017", 128_000, { reasoning: true, tools: true }],
-  ["deepseek-v4-pro-external", "deepseek-v4-pro-202606", 128_000, { reasoning: true, tools: true }],
-  ["hy3-preview-agent", "deepseek-v4-flash-ga-260731", 128_000, { reasoning: true, tools: true }],
+  ["main-auto", "deepseek-v4-1-flash-261017", 1_000_000, { reasoning: true, tools: true }],
+  ["deepseek-v4-pro-external", "deepseek-v4-pro-202606", 1_000_000, { reasoning: true, tools: true }],
+  ["hy3-preview-agent", "deepseek-v4-flash-ga-260731", 1_000_000, { reasoning: true, tools: true }],
 
   // ── 其他厂商 ─────────────────────────────────────────────────
-  ["hy3-preview-agent-real", "hy3", 128_000, { reasoning: true, tools: true }],
+  ["hy3-preview-agent-real", "hy3", 1_000_000, { reasoning: true, tools: true }],
   ["claude-sonnet-4-6", "claude-sonnet-4-6", 1_000_000, { reasoning: true, tools: true, vision: true }],
   ["claude-opus-4-6", "claude-opus-4-6", 1_000_000, { reasoning: true, tools: true, vision: true }],
   ["gpt-5.4", "gpt-5.4-2026-03-05", 1_000_000, { reasoning: true, tools: true, vision: true }],

package/src/hooks/config.mjs

@@ -2,18 +2,83 @@
 //
 // ⚠ `config.models` 必须有内容：它是**没人登录时**模型列表的唯一来源，
 //   空了就是「插件装上了但显示 0 models」。
-// ⚠ 用 `??=`，不要覆盖用户在 plugins.json 里改过的配置。
+//
+// ⚠⚠ **用户在 magpie 设置里改过的值优先，插件不许覆盖。**
+//   宿主把用户改过的 provider 配置原样传进来（`cfg.provider[PROVIDER]`），
+//   我们要做的是「**补齐缺失**」，不是「重置成默认」。
+//   踩过的坑：早期直接 `??=` 整个 provider —— 用户改了上下文窗口，
+//   插件一加载又变回默认值，用户以为没生效。
+//
+// 合并规则（逐模型、逐字段）：
+//   · 用户有的字段 → 保留用户的（`limit.context` / `limit.output` / `capabilities` / `name` …）
+//   · 用户没有的字段 → 用默认值补
+//   · 用户删掉的模型 → 不恢复（尊重用户意图）
+//   · 默认表里有、用户配置里没有的模型 → 追加（新版本新增模型能自动出现）
 
 import { PROVIDER, PROVIDER_NAME, SDK, BASE_V1, staticModels } from "../context.mjs"
 
+/** 合并一个模型：用户字段优先，缺的用默认值补 */
+function mergeModel(userModel, defaultModel) {
+  const merged = { ...defaultModel, ...userModel }
+
+  // limit 逐字段合并 —— 只改 context 的用户不该把 output 也吃掉
+  merged.limit = { ...(defaultModel.limit ?? {}), ...(userModel.limit ?? {}) }
+
+  // config 形状用 modalities 数组 + tool_call 下划线；用户可能只改了其中一个
+  if (userModel.modalities || defaultModel.modalities) {
+    merged.modalities = {
+      ...(defaultModel.modalities ?? {}),
+      ...(userModel.modalities ?? {}),
+    }
+  }
+  return merged
+}
+
+/**
+ * 合并模型表。
+ * @param {any[]} defaults 插件内置的默认表
+ * @param {any[] | undefined} user 宿主里用户改过的表
+ * @returns {any[]}
+ */
+export function mergeModels(defaults, user) {
+  if (!Array.isArray(user) || user.length === 0) return defaults
+
+  const byId = new Map(user.map((m) => [m?.id, m]).filter(([id]) => Boolean(id)))
+  const out = []
+
+  // 按用户顺序，逐条合并
+  for (const um of user) {
+    if (!um?.id) continue
+    const dm = defaults.find((d) => d.id === um.id)
+    out.push(dm ? mergeModel(um, dm) : um)
+  }
+
+  // 默认表里有、用户没有的 → 追加（新版本新增的模型）
+  for (const dm of defaults) {
+    if (!byId.has(dm.id)) out.push(dm)
+  }
+  return out
+}
+
 export function configHook() {
   return async (cfg) => {
     cfg.provider ??= {}
-    cfg.provider[PROVIDER] ??= {
-      name: PROVIDER_NAME,
-      npm: SDK,
-      api: BASE_V1,
-      models: staticModels(),
+    const existing = cfg.provider[PROVIDER]
+
+    if (!existing) {
+      cfg.provider[PROVIDER] = {
+        name: PROVIDER_NAME,
+        npm: SDK,
+        api: BASE_V1,
+        models: staticModels(),
+      }
+      return
     }
+
+    // 已有配置：只补缺，用户改过的优先
+    existing.name ??= PROVIDER_NAME
+    existing.npm ??= SDK
+    existing.api ??= BASE_V1
+    existing.models = mergeModels(staticModels(), existing.models)
   }
 }

package/src/marvis/browser.mjs

@@ -198,11 +198,12 @@ async function getJson(url, timeoutMs = 3000) {
  * @param {{name:string,path:string}} o.browser findBrowser() 的返回值
  * @param {string} o.url 登录页
  * @param {RegExp} o.match 回调地址的判据
+ * @param {Record<string,string>} [o.extraHeaders] 注入到**每个请求**的头（MarvisExt 等）
  * @param {number} [o.timeoutMs] 默认 5 分钟
  * @param {AbortSignal} [o.signal]
  * @returns {Promise<{url:string, body:string, browser:string}>} 回调页面的地址与正文
  */
-export async function openIsolatedLogin({ browser, url, match, timeoutMs = 5 * 60_000, signal }) {
+export async function openIsolatedLogin({ browser, url, match, extraHeaders, timeoutMs = 5 * 60_000, signal }) {
   if (!browser?.path) throw new Error("没有找到可用的 Chromium 内核浏览器（Chrome / Edge / 360 / QQ 浏览器都行）")
 
   const profile = mkdtempSync(join(tmpdir(), "magpie-marvis-login-"))
@@ -223,7 +224,9 @@ export async function openIsolatedLogin({ browser, url, match, timeoutMs = 5 * 6
       "--exclude-switches=enable-automation",
       `--user-agent=${CHROME_UA}`,
       "--lang=zh-CN",
-      url,
+      // ⚠ 必须先开 about:blank：钩子（Fetch.enable / setExtraHTTPHeaders）要在
+      //   导航**之前**装好，否则首次请求漏过去，拦截永远不触发。
+      "about:blank",
     ],
     { stdio: "ignore", windowsHide: false },
   )
@@ -295,20 +298,38 @@ export async function openIsolatedLogin({ browser, url, match, timeoutMs = 5 * 6
         acceptLanguage: "zh-CN,zh;q=0.9",
         platform: "Win32",
       }).catch(() => {})
+      // ⚠⚠ 关键：服务端对 `yybadaccess.3g.qq.com` 的**每个**请求都校验
+      //   `Ual-Access-MarvisExt`（uskey 设备指纹）。没有它就返回
+      //   「请使用 Marvis 客户端」—— 这正是浏览器登录一直失败的原因。
+      //   Marvis 的 BrowserWindow 用 `session.webRequest.onBeforeSendHeaders` 注入，
+      //   这里用 CDP 的 `Network.setExtraHTTPHeaders` 达到同样效果。
+      if (extraHeaders && Object.keys(extraHeaders).length > 0) {
+        await send(5, "Network.setExtraHTTPHeaders", { headers: extraHeaders }).catch(() => {})
+      }
+
       // 顺手抹掉 navigator.webdriver（比 --disable-blink-features 更干净，不带警告条）
       await send(3, "Page.addScriptToEvaluateOnNewDocument", {
         source: "Object.defineProperty(navigator,'webdriver',{get:()=>undefined})",
       }).catch(() => {})
 
-      // ⚠ 让浏览器**正常走完**回调请求（带 Cookie、带正确的 redirect_uri），
-      //   我们只读**第一个**响应的正文。不拦截、不重发 ——
-      //   拦截后用 Node 的 fetch 重放会丢掉 Cookie，服务端就回 `-109`。
+      // ⚠⚠ 核心：**在跳转发生前**拦下回调，然后在**页面上下文里**发换取请求。
+      //
+      //   为什么不能从 Node 发：`yybadaccess` 的 WAF 做 **TLS 指纹**校验 ——
+      //   Node 的 undici（OpenSSL）和 Chromium（BoringSSL）指纹不同，
+      //   带 `Ual-Access-MarvisExt` 的请求从 Node 发出去一律 **400 空响应**。
+      //   在页面里 `fetch` 出去 = Chromium 的 TLS 栈 + 同源 Cookie，服务端才认。
+      await send(6, "Fetch.enable", {
+        patterns: [{ urlPattern: "*marvis_client_login/marvis_oauth*", requestStage: "Request" }],
+      }).catch(() => {})
+
+      // 钩子装好，现在才导航到授权页
+      await send(7, "Page.navigate", { url }).catch(() => {})
+
+      let nextId = 10
       /** @type {string | null} */
-      let hitRequestId = null
+      let pausedId = null
       /** @type {string} */
-      let hitUrl = ""
-      /** @type {{url:string, body:string} | null} */
-      let hit = null
+      let pausedUrl = ""
 
       ws.addEventListener("message", (event) => {
         let msg
@@ -317,36 +338,91 @@ export async function openIsolatedLogin({ browser, url, match, timeoutMs = 5 * 6
         } catch {
           return
         }
-        if (msg.method === "Network.responseReceived" && !hitRequestId) {
-          const { requestId, response } = msg.params ?? {}
-          const u = String(response?.url ?? "")
+        if (msg.method === "Fetch.requestPaused" && !pausedId) {
+          const { requestId, request } = msg.params ?? {}
+          const u = String(request?.url ?? "")
           if (u && match.test(u)) {
-            hitRequestId = requestId
-            hitUrl = u
+            pausedId = requestId
+            pausedUrl = u
           }
         }
       })
 
-      let nextId = 10
       while (Date.now() < deadline) {
         if (signal?.aborted) throw new Error("登录已取消")
+        if (pausedId) break
+        await new Promise((r) => setTimeout(r, 400))
+      }
+      if (!pausedId) {
+        throw new Error("登录超时：没有等到授权回调。请在打开的窗口里完成 QQ / 微信 授权。")
+      }
 
-        if (hitRequestId && !hit) {
-          try {
-            const r = await send(nextId++, "Network.getResponseBody", { requestId: hitRequestId })
-            const raw = String(r?.body ?? "")
-            const body = r?.base64Encoded ? Buffer.from(raw, "base64").toString("utf8") : raw
-            if (body.trim()) hit = { url: hitUrl, body }
-          } catch {
-            /* body 还没就绪，下一轮再取 */
-          }
+      // 先把挂起的导航放行（用一张静态页顶掉，避免页面白屏），再在页面里换
+      await send(nextId++, "Fetch.fulfillRequest", {
+        requestId: pausedId,
+        responseCode: 200,
+        responseHeaders: [{ name: "content-type", value: "text/html; charset=utf-8" }],
+        body: Buffer.from(
+          '<!doctype html><meta charset="utf-8"><title>Marvis</title>' +
+            '<body style="font:16px/1.6 system-ui;padding:48px;color:#111">' +
+            "<h2>正在完成授权…</h2><p>回到 magpie 即可。</p></body>",
+          "utf8",
+        ).toString("base64"),
+      }).catch(() => {})
+
+      // 在页面上下文里发换取请求（Chromium 的 TLS 指纹 + 同源 Cookie + 注入的头）
+      //
+      // ⚠ 还要补 `Referer`：客户端主进程重放时会把**原始请求头**整份复制过去
+      //   （字符串表里的 `reqHeaders` / `cookies` / `referer` / `ALL_REQ_HEADERS`），
+      //   其中 referer 是 QQ 授权页本身的地址。缺它服务端会判来源不合法。
+      //   fetch 的 Referer 属于禁止头，只能走 CDP 注入。
+      try {
+        const origin = new URL(pausedUrl).origin
+        await send(nextId++, "Network.setExtraHTTPHeaders", {
+          headers: { Referer: `${origin}/oauth2.0/show?which=Login&display=pc` },
+        })
+      } catch {
+        /* 注入失败不致命，继续试 */
+      }
+
+      const exchangeUrl = pausedUrl
+      const expr = `(async () => {
+        try {
+          const r = await fetch(${JSON.stringify(exchangeUrl)}, {
+            method: "GET",
+            credentials: "include",
+            headers: { "Accept": "application/json" },
+          });
+          return JSON.stringify({ __status: r.status, __body: await r.text() });
+        } catch (e) {
+          return JSON.stringify({ __error: String(e && e.message || e) });
         }
-        if (hit) return { url: hit.url, body: hit.body, browser: browser.name }
+      })()`
 
-        await new Promise((r) => setTimeout(r, 400))
+      /** @type {any} */
+      let out = null
+      for (let i = 0; i < 20; i++) {
+        try {
+          const r = await send(nextId++, "Runtime.evaluate", {
+            expression: expr,
+            awaitPromise: true,
+            returnByValue: true,
+          })
+          const raw = r?.result?.value
+          if (raw) {
+            out = JSON.parse(String(raw))
+            break
+          }
+        } catch {
+          /* 页面还在导航 */
+        }
+        await new Promise((r) => setTimeout(r, 500))
       }
 
-      throw new Error("登录超时：没有等到授权回调。请在打开的窗口里完成 QQ / 微信 授权。")
+      if (!out) throw new Error("换取登录态超时：页面里没能完成请求。请重新走一遍登录。")
+      if (out.__error) throw new Error(`页面内换取失败：${out.__error}`)
+
+      return { url: exchangeUrl, body: String(out.__body ?? ""), browser: browser.name }
     } finally {
       try {
         ws.close()

package/tests/mount.test.mjs

@@ -175,3 +175,52 @@ test("native 目录 4 个文件必须都在（缺一个就静默返回 null）",
     assert.ok(existsSync(join(dir, f)), `native/${f} 必须打包（否则 getUskey() 静默返回 null）`)
   }
 })
+
+test("config() 合并：用户改过的值优先，插件只补缺", async () => {
+  const { mergeModels } = await import("../src/hooks/config.mjs")
+  const { staticModels } = await import("../src/context.mjs")
+  const defaults = staticModels()
+
+  // 用户把 main-auto 的上下文改成 2M，并删掉了 hunyuan-turbos-vision
+  const user = defaults
+    .filter((m) => m.id !== "hunyuan-turbos-vision")
+    .map((m) => (m.id === "main-auto" ? { ...m, limit: { ...m.limit, context: 2_000_000 } } : m))
+
+  const merged = mergeModels(defaults, user)
+  const main = merged.find((m) => m.id === "main-auto")
+
+  assert.equal(main.limit.context, 2_000_000, "用户设的 2M 必须保留")
+  assert.equal(typeof main.limit.output, "number", "用户没改的 output 不能被吃掉")
+  assert.ok(merged.some((m) => m.id === "hunyuan-turbos-vision"), "默认表里有、用户没有的模型要追加回来")
+})
+
+test("config() 已有 provider 时不重置用户配置", async () => {
+  const { MarvisAuthPlugin } = await import("../index.mjs")
+  const plugin = await MarvisAuthPlugin({})
+  const cfg = {
+    provider: {
+      marvis: {
+        name: "我改的名字",
+        npm: "@ai-sdk/openai-compatible",
+        api: "https://custom.example.com/v1",
+        models: [
+          {
+            id: "main-auto",
+            name: "我的 V4.1 Flash",
+            limit: { context: 2_000_000, output: 64_000 },
+            modalities: { input: ["text"], output: ["text"] },
+            tool_call: true,
+            attachment: false,
+            reasoning: true,
+          },
+        ],
+      },
+    },
+  }
+  await plugin.config(cfg)
+  const p = cfg.provider.marvis
+  assert.equal(p.name, "我改的名字", "provider 名不能被我覆盖")
+  assert.equal(p.api, "https://custom.example.com/v1", "api 不能被我覆盖")
+  assert.equal(p.models.find((m) => m.id === "main-auto").limit.context, 2_000_000, "上下文不能被我覆盖")
+  assert.equal(p.models.find((m) => m.id === "main-auto").name, "我的 V4.1 Flash")
+})