magpie-marvis 0.2.2 → 0.2.4

package/CHANGELOG.md

@@ -3,7 +3,22 @@
 > 每个版本一节，**一条一行**，说用户能感知的变化。
 > 格式与规矩见 [UPDATING.md](./UPDATING.md)。
 
-## 0.2.2 — 2026-11-06
+## 0.2.4 — 2026-11-06
+
+**修复（`-109` 的最终根因）**
+
+- **`marvis_oauth` 会被请求两次**：QQ 的 `self_redirect` + 页面自身重载，
+  让同一个 code 打两遍 —— 第一次成功返回 token，第二次因为 code 已消耗而回
+  `-109 RC_PARAMS_INVALID`。我之前读的是**页面最终状态**，拿到的正是第二次。
+  客户端主进程用 `[oauth-dedup]`（"reuse first request"）处理这件事；
+  插件改成监听 `Network.responseReceived`，**只认第一个响应体**，抓到立刻返回
+- **`authorize()` 阻塞 1.4 秒**：里面调了 `findBrowser()`（15 次注册表查询），
+  违反 HOOKS 四·陷阱 1。挪进 `callback()`
+
+**修复**
+
+- **响应解析对格式不敏感**：浏览器渲染 `application/json` 会加缩进/包装，
+  原来只看 `startsWith("{")` 会漏判。改成「抠第一个 `{` 到最后一个 `}`」再解析
 
 **修复**
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "magpie-marvis",
-  "version": "0.2.2",
+  "version": "0.2.4",
   "description": "magpie / OpenCode provider plugin for Tencent Marvis: its DeepSeek V4 Pro, Kimi K2.5, Claude Opus/Sonnet 4.6, GPT-5.4 and Hunyuan models through the Marvis model gateway — no API key to paste, sign in with QQ or WeChat.",
   "type": "module",
   "main": "./index.mjs",

package/src/hooks/methods.mjs

@@ -60,7 +60,9 @@ function oauthLogin(loginType, label, instructions) {
     label,
     async authorize() {
       const guid = deviceGuid()
-      const browser = findBrowser()
+      // ⚠ 不要在这里 `findBrowser()` —— 它要查 15 次注册表（实测 1.4 秒），
+      //   而 `authorize()` 必须**立刻**返回（HOOKS 四·陷阱 1）。
+      //   浏览器查找挪进 `callback`，那时才真正需要它。
       const url = authorizeUrl(loginType, guid)
 
       return {
@@ -70,6 +72,7 @@ function oauthLogin(loginType, label, instructions) {
         method: "auto",
         instructions,
         async callback(_url, _input, signal) {
+          const browser = findBrowser()
           if (!browser) {
             throw new Error(
               "没有找到可用的 Chromium 内核浏览器（Chrome / Edge / 360 / QQ 浏览器都行）。" +

package/src/marvis/browser.mjs

@@ -315,52 +315,58 @@ export async function openIsolatedLogin({ browser, url, match, extraHeaders, tim
       // 导航到授权页（钩子已装好：UA / client hints / navigator.webdriver）
       await send(6, "Page.navigate", { url }).catch(() => {})
 
-      // ⚠ 不拦截、不重放、不替换页面 —— 让浏览器**自己**走完换取请求。
-      //   为什么：`marvis_oauth` 的换取依赖 (a) 浏览器 TLS 指纹（Node 的 undici 会被 WAF 400）、
-      //   (b) 同源 Cookie、(c) Referer。这三样只有「浏览器自己发」才齐全。
-      //   之前用 `Fetch.fulfillRequest` 换成静态页再在页面里 fetch，会因为执行上下文
-      //   随导航销毁而拿不到结果 —— 表现就是卡在「正在完成授权…」。
+      // ⚠⚠ 核心：`marvis_oauth` 会被**请求两次** —— QQ 的 `self_redirect` + 页面自身
+      //   的重载会让同一个 code 打两遍。第一次成功并返回 token，第二次因为 code
+      //   已被消耗而回 `-109 RC_PARAMS_INVALID`。
+      //   客户端主进程用 `[oauth-dedup]` 处理这件事（"reuse first request"）；
+      //   我们这边等价的做法是：**只认第一个响应体**，绝不去读页面最终状态。
       //
-      //   服务端换完 code 会**直接返回 token JSON**，所以只要等页面跳到回调地址、
-      //   再把 body 读出来就行。
+      //   所以：监听 `Network.responseReceived` → 命中 `marvis_oauth` →
+      //   立刻 `Network.getResponseBody` 把正文抓下来，然后马上返回。
       let nextId = 10
+      /** @type {string | null} */
+      let firstRequestId = null
+      /** @type {string} */
       let hitUrl = ""
-      let body = ""
 
-      while (Date.now() < deadline) {
-        if (signal?.aborted) throw new Error("登录已取消")
-
-        let href = ""
+      ws.addEventListener("message", (event) => {
+        let msg
         try {
-          const r = await send(nextId++, "Runtime.evaluate", {
-            expression: "location.href",
-            returnByValue: true,
-          })
-          href = String(r?.result?.value ?? "")
+          msg = JSON.parse(String(event.data))
         } catch {
-          /* 页面正在导航 */
+          return
+        }
+        if (msg.method === "Network.responseReceived" && !firstRequestId) {
+          const { requestId, response } = msg.params ?? {}
+          const u = String(response?.url ?? "")
+          // 只认 2xx/4xx 的**文档**响应；图片/脚本不算
+          const type = String(response?.type ?? "")
+          if (u && match.test(u) && (type === "Document" || type === "Fetch" || type === "XHR")) {
+            firstRequestId = requestId
+            hitUrl = u
+          }
         }
+      })
+
+      while (Date.now() < deadline) {
+        if (signal?.aborted) throw new Error("登录已取消")
 
-        if (href && match.test(href)) {
-          hitUrl = href
-          // 页面可能还在渲染，多读几次直到拿到非空正文
-          for (let i = 0; i < 20; i++) {
+        if (firstRequestId) {
+          // 多试几次：responseReceived 之后 body 可能还没落盘
+          for (let i = 0; i < 15; i++) {
             try {
-              const r = await send(nextId++, "Runtime.evaluate", {
-                expression: "document.body ? document.body.innerText : ''",
-                returnByValue: true,
-              })
-              body = String(r?.result?.value ?? "")
-              if (body.trim()) break
+              const r = await send(nextId++, "Network.getResponseBody", { requestId: firstRequestId })
+              const raw = String(r?.body ?? "")
+              const body = r?.base64Encoded ? Buffer.from(raw, "base64").toString("utf8") : raw
+              if (body.trim()) return { url: hitUrl, body, browser: browser.name }
             } catch {
-              /* 还在导航 */
+              /* body 还没就绪 */
             }
-            await new Promise((r) => setTimeout(r, 400))
+            await new Promise((r) => setTimeout(r, 300))
           }
-          return { url: hitUrl, body, browser: browser.name }
         }
 
-        await new Promise((r) => setTimeout(r, 600))
+        await new Promise((r) => setTimeout(r, 500))
       }
 
     } finally {

package/src/marvis/login.mjs

@@ -176,12 +176,19 @@ export async function exchangeCode(code, loginType, _guid, state) {
 export async function parseCallback(callbackUrl, body, opts = {}) {
   const text = String(body ?? "").trim()
 
-  // 兜底：正文就是 JSON（旧路径）
-  if (text.startsWith("{")) {
+  // 主路径：正文就是 JSON。
+  // ⚠ 不能只看 `startsWith("{")` —— 浏览器渲染 `application/json` 时会加缩进/包装，
+  //   也可能前后带空白。改成「抠第一个 `{` 到最后一个 `}`」再解析。
+  const jsonText = (() => {
+    const a = text.indexOf("{")
+    const b = text.lastIndexOf("}")
+    return a >= 0 && b > a ? text.slice(a, b + 1) : ""
+  })()
+  if (jsonText) {
     /** @type {any} */
     let body0
     try {
-      body0 = JSON.parse(text)
+      body0 = JSON.parse(jsonText)
     } catch {
       body0 = null
     }