magpie-marvis 0.2.4 → 0.2.6

package/CHANGELOG.md

@@ -3,7 +3,21 @@
 > 每个版本一节，**一条一行**，说用户能感知的变化。
 > 格式与规矩见 [UPDATING.md](./UPDATING.md)。
 
-## 0.2.4 — 2026-11-06
+## 0.2.6 — 2026-11-06
+
+**修复**
+
+- **UA 换回客户端自己的 Electron UA**（`Marvis/1.60.3300.408 ... Electron/44.7.0`）。
+  之前为了「伪装成普通浏览器」用的是纯 Chrome UA —— 服务端很可能就是按这个区分调用方
+- **去掉 `--disable-blink-features=AutomationControlled`**：它会在地址栏下面挂一条
+  「你使用的是不受支持的命令行标记」黄色警告条。`navigator.webdriver` 改用 CDP 抹掉
+
+**修复**
+
+- **`state` 格式与客户端不一致**：app 是 `state=${Math.random()*100}`（**小数**，如 `31.1177412`），
+  我写成了 `Math.floor(Math.random()*1e9)`（整数）。抓包确认服务端收到的是 `845583851` 这种
+- **`loginType` 映射错了**：渲染层 `yct={QC:"1",WX:"2",WXAPP:"2"}`，
+  `Ual-Access-Login-Type` 应该是 `1`/`2`，我写的是 `6`/`5`
 
 **修复（`-109` 的最终根因）**
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "magpie-marvis",
-  "version": "0.2.4",
+  "version": "0.2.6",
   "description": "magpie / OpenCode provider plugin for Tencent Marvis: its DeepSeek V4 Pro, Kimi K2.5, Claude Opus/Sonnet 4.6, GPT-5.4 and Hunyuan models through the Marvis model gateway — no API key to paste, sign in with QQ or WeChat.",
   "type": "module",
   "main": "./index.mjs",

package/src/marvis/browser.mjs

@@ -45,10 +45,16 @@ const WIN_EXES = [
   "msedge.exe",
 ]
 
-/** 正常 Chrome 的 UA —— 不是 headless、不是 Electron、不带 Marvis 字样 */
+/**
+ * 浏览器 UA —— **必须是 Marvis 客户端自己的 Electron UA**。
+ *
+ * 一开始我用普通 Chrome UA「伪装身份」，结果服务端一律 `-109 RC_PARAMS_INVALID`。
+ * 客户端 BrowserWindow 的真实 UA 是带 `Marvis/<version>` 和 `Electron/<ver>` 的 ——
+ * 服务端按它识别调用方，缺了就判参数无效。
+ */
 const CHROME_UA =
   "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) " +
-  "Chrome/152.0.0.0 Safari/537.36"
+  "Marvis/1.60.3300.408 Chrome/152.0.7977.130 Electron/44.7.0 Safari/537.36"
 
 /** Windows 注册表 App Paths 查浏览器；查不到返回空串。 */
 export function registryAppPath(exe) {
@@ -219,8 +225,9 @@ export async function openIsolatedLogin({ browser, url, match, extraHeaders, tim
       "--disable-extensions",
       "--disable-background-networking",
       "--disable-sync",
-      // 去掉自动化痕迹（这是防风控的关键，不是可选项）
-      "--disable-blink-features=AutomationControlled",
+      // 去掉自动化痕迹。⚠ 不用 `--disable-blink-features=AutomationControlled` ——
+      //   它会在地址栏下面挂一条「你使用的是不受支持的命令行标记」警告条，很扎眼。
+      //   `navigator.webdriver` 改用 CDP 的 `Page.addScriptToEvaluateOnNewDocument` 抹掉。
       "--exclude-switches=enable-automation",
       `--user-agent=${CHROME_UA}`,
       "--lang=zh-CN",

package/src/marvis/desktop.mjs

@@ -226,7 +226,7 @@ export function parseLoginState(text) {
       openid: m[1],
       accessToken: m[2],
       refreshToken: m[3] || undefined,
-      loginType: /^WX$/i.test(m[4] ?? "") ? "5" : "6",
+      loginType: /^WX/i.test(m[4] ?? "") ? "2" : "1",
       guid: memGuid ? memGuid[1].toLowerCase() : guid,
       expiresAt: expire ? Number(expire[1]) * 1000 : Date.now() + 30 * 24 * 3600_000,
     }

package/src/marvis/login.mjs

@@ -56,7 +56,9 @@ export function authorizeUrl(loginType, guid) {
     client_id: QQ_APP_ID,
     // ⚠ 必须带 ?login_type=QC，见 REDIRECT 上方说明
     redirect_uri: `${REDIRECT}?login_type=${loginType}`,
-    state: String(Math.floor(Math.random() * 1e9)),
+    // ⚠ 必须与 Marvis 渲染层逐字一致：`state=${Math.random()*100}`
+    //   是**小数**（如 31.1177412），不是整数。服务端会拿它做校验，格式不符会被判参数无效。
+    state: String(Math.random() * 100),
   })
   return `https://graph.qq.com/oauth2.0/authorize?${p}`
 }
@@ -228,7 +230,9 @@ function normalize(info, accessToken, openid) {
     refreshToken: info?.refresh_token ? String(info.refresh_token) : undefined,
     nickname: info?.nick_name ? safeDecode(info.nick_name) : undefined,
     avatar: info?.head_img_url ?? undefined,
-    loginType: "6",
+    // ⚠ `Ual-Access-Login-Type` 的真实取值：QC→"1"、WX/WXAPP→"2"
+    //   （渲染层 `yct={QC:"1",WX:"2",WXAPP:"2"}`）。不是 6。
+    loginType: info?.login_type === "WX" || info?.login_type === "WXAPP" ? "2" : "1",
     expiresAt: expire > 1e9 ? expire * 1000 : Date.now() + 30 * 24 * 3600_000,
   }
 }