magpie-marvis 0.2.5 → 0.2.7

package/CHANGELOG.md

@@ -1,78 +1,85 @@
-# 更新记录
-
-> 每个版本一节，**一条一行**，说用户能感知的变化。
-> 格式与规矩见 [UPDATING.md](./UPDATING.md)。
-
-## 0.2.5 — 2026-11-06
-
-**修复**
-
-- **`state` 格式与客户端不一致**：app 是 `state=${Math.random()*100}`（**小数**，如 `31.1177412`），
-  我写成了 `Math.floor(Math.random()*1e9)`（整数）。抓包确认服务端收到的是 `845583851` 这种
-- **`loginType` 映射错了**：渲染层 `yct={QC:"1",WX:"2",WXAPP:"2"}`，
-  `Ual-Access-Login-Type` 应该是 `1`/`2`，我写的是 `6`/`5`
-
-**修复（`-109` 的最终根因）**
-
-- **`marvis_oauth` 会被请求两次**：QQ 的 `self_redirect` + 页面自身重载，
-  让同一个 code 打两遍 —— 第一次成功返回 token，第二次因为 code 已消耗而回
-  `-109 RC_PARAMS_INVALID`。我之前读的是**页面最终状态**，拿到的正是第二次。
-  客户端主进程用 `[oauth-dedup]`（"reuse first request"）处理这件事；
-  插件改成监听 `Network.responseReceived`，**只认第一个响应体**，抓到立刻返回
-- **`authorize()` 阻塞 1.4 秒**：里面调了 `findBrowser()`（15 次注册表查询），
-  违反 HOOKS 四·陷阱 1。挪进 `callback()`
-
-**修复**
-
-- **响应解析对格式不敏感**：浏览器渲染 `application/json` 会加缩进/包装，
-  原来只看 `startsWith("{")` 会漏判。改成「抠第一个 `{` 到最后一个 `}`」再解析
-
-**修复**
-
-- **授权页卡在「正在完成授权…」，magpie 加不进号**：上一版用 `Fetch.fulfillRequest`
-  把回调换成静态页再在页面里 `fetch` 换取 —— 但执行上下文会随导航销毁，`Runtime.evaluate`
-  拿不到结果。改成**完全不拦截**：让浏览器自己走完换取（TLS 指纹 / Cookie / Referer 天然齐全），
-  只轮询 `location.href` 等它跳到回调地址，再读 `document.body.innerText`
-
-**变更**
-
-- **上下文窗口声明改为 1,000,000**（除 `hunyuan-turbos-vision` 仍 32k）。
-  依据：实测 `main-auto` 发 **400,000 字符 = 190,511 tokens** 返回 200，
-  远超 `config_defaults.yaml` 声明的 128k —— 那个 128k 是客户端自己的保守值
-- **用户设置优先**：`config()` 不再整块覆盖 provider。改成**逐模型、逐字段合并** ——
-  用户在 magpie 设置里改过的 `limit.context` / `limit.output` / `name` / `api` 一律保留，
-  插件只补缺失字段和新增模型
-
-**修复（逆向客户端主进程后对齐）**
-
-- **换取请求改在页面上下文里发**：`yybadaccess` 的 WAF 做 TLS 指纹校验，
-  Node 的 undici（OpenSSL）和 Chromium（BoringSSL）指纹不同 ——
-  带头的请求从 Node 发出去一律 **400 空响应**。
-- **补 `Referer`**：客户端重放时会把原始请求头整份复制（`reqHeaders` / `cookies` / `referer`），
-  缺 referer 服务端判来源不合法。
-- **去掉 `Ual-Access-Businessid`**：实测它会让 WAF 直接 400（这是我这轮踩的最大坑——
-  加头反而更糟，不加头时至少还能拿到 `-109` JSON）。
-- 浏览器先开 `about:blank`、装好钩子再 `Page.navigate` —— 否则首次请求漏过去，拦截永远不触发。
-
-**修复（这是 `-109` 的真正根因）**
-
-- **`redirect_uri` 少了 `?login_type=QC`**。Marvis 渲染层的 `Bpe(e)` 返回的是
-  `.../marvis_oauth?login_type=${e}`，我写成了 `.../marvis_oauth`。
-  服务端靠这个参数知道「用哪个 app 的 `client_secret` 去换 code」——
-  少了它，**哪怕 code 是真的也一律 `-109 RC_PARAMS_INVALID`**（是参数无效，不是 code 无效）。
-- 浏览器登录改为**正常走完回调请求**（带 Cookie、带正确 `redirect_uri`），
-  只读第一个响应体；不再拦截后用 Node 重放（重放丢 Cookie，同样 `-109`）
-- 微信登录同步修正
-
-- **浏览器登录「授权码已被使用过」（`-109`）**：根因是 **QQ 会把 `redirect_uri` 的查询串整个丢掉** ——
-  落地页收到的是 `?code=...&state=...`，**没有 `login_type`**，服务端因此判参数无效。
-  改成用 CDP `Fetch.requestPaused` 在**跳转前**拦下回调，自己从 URL 取 `code` 再带 `login_type` 换。
-  页面同时显示「授权完成」，用户不用对着 `-109` 的 JSON 发愣
-- **换 token 带了鉴权头**：`marvis_oauth` 是**免鉴权**端点，带 `Ual-Access-*` 签名头会直接 400 空响应
-- **`deviceGuid()` 永远取不到注册表**：JS 里 `\S` `\T` 是无效转义，反斜杠被吃掉，
-  `reg` 收到 `HKCUSOFTWARETencentMarvisEnv` → 「无效参数」。改用 `String.raw`
-- **本机导入的 guid 与 token 不同源**：服务端按 `(openid, guid, token)` 三元组校验，
-  现在优先从**同一段内存**里取 `guid=`
-- 去掉 `--disable-blink-features=AutomationControlled`（Edge 会弹「不受支持的命令行标记」警告条），
-  改用 CDP `Page.addScriptToEvaluateOnNewDocument` 抹掉 `navigator.webdriver`
-
+# 更新记录
+
+> 每个版本一节，**一条一行**，说用户能感知的变化。
+> 格式与规矩见 [UPDATING.md](./UPDATING.md)。
+
+## 0.2.7 — 2026-11-06
+
+**修复**
+
+- **UA 换回客户端自己的 Electron UA**（`Marvis/1.60.3300.408 ... Electron/44.7.0`）。
+  之前为了「伪装成普通浏览器」用的是纯 Chrome UA —— 服务端很可能就是按这个区分调用方
+- **去掉 `--disable-blink-features=AutomationControlled`**：它会在地址栏下面挂一条
+  「你使用的是不受支持的命令行标记」黄色警告条。`navigator.webdriver` 改用 CDP 抹掉
+
+**修复**
+
+- **`state` 格式与客户端不一致**：app 是 `state=${Math.random()*100}`（**小数**，如 `31.1177412`），
+  我写成了 `Math.floor(Math.random()*1e9)`（整数）。抓包确认服务端收到的是 `845583851` 这种
+- **`loginType` 映射错了**：渲染层 `yct={QC:"1",WX:"2",WXAPP:"2"}`，
+  `Ual-Access-Login-Type` 应该是 `1`/`2`，我写的是 `6`/`5`
+
+**修复（`-109` 的最终根因）**
+
+- **`marvis_oauth` 会被请求两次**：QQ 的 `self_redirect` + 页面自身重载，
+  让同一个 code 打两遍 —— 第一次成功返回 token，第二次因为 code 已消耗而回
+  `-109 RC_PARAMS_INVALID`。我之前读的是**页面最终状态**，拿到的正是第二次。
+  客户端主进程用 `[oauth-dedup]`（"reuse first request"）处理这件事；
+  插件改成监听 `Network.responseReceived`，**只认第一个响应体**，抓到立刻返回
+- **`authorize()` 阻塞 1.4 秒**：里面调了 `findBrowser()`（15 次注册表查询），
+  违反 HOOKS 四·陷阱 1。挪进 `callback()`
+
+**修复**
+
+- **响应解析对格式不敏感**：浏览器渲染 `application/json` 会加缩进/包装，
+  原来只看 `startsWith("{")` 会漏判。改成「抠第一个 `{` 到最后一个 `}`」再解析
+
+**修复**
+
+- **授权页卡在「正在完成授权…」，magpie 加不进号**：上一版用 `Fetch.fulfillRequest`
+  把回调换成静态页再在页面里 `fetch` 换取 —— 但执行上下文会随导航销毁，`Runtime.evaluate`
+  拿不到结果。改成**完全不拦截**：让浏览器自己走完换取（TLS 指纹 / Cookie / Referer 天然齐全），
+  只轮询 `location.href` 等它跳到回调地址，再读 `document.body.innerText`
+
+**变更**
+
+- **上下文窗口声明改为 1,000,000**（除 `hunyuan-turbos-vision` 仍 32k）。
+  依据：实测 `main-auto` 发 **400,000 字符 = 190,511 tokens** 返回 200，
+  远超 `config_defaults.yaml` 声明的 128k —— 那个 128k 是客户端自己的保守值
+- **用户设置优先**：`config()` 不再整块覆盖 provider。改成**逐模型、逐字段合并** ——
+  用户在 magpie 设置里改过的 `limit.context` / `limit.output` / `name` / `api` 一律保留，
+  插件只补缺失字段和新增模型
+
+**修复（逆向客户端主进程后对齐）**
+
+- **换取请求改在页面上下文里发**：`yybadaccess` 的 WAF 做 TLS 指纹校验，
+  Node 的 undici（OpenSSL）和 Chromium（BoringSSL）指纹不同 ——
+  带头的请求从 Node 发出去一律 **400 空响应**。
+- **补 `Referer`**：客户端重放时会把原始请求头整份复制（`reqHeaders` / `cookies` / `referer`），
+  缺 referer 服务端判来源不合法。
+- **去掉 `Ual-Access-Businessid`**：实测它会让 WAF 直接 400（这是我这轮踩的最大坑——
+  加头反而更糟，不加头时至少还能拿到 `-109` JSON）。
+- 浏览器先开 `about:blank`、装好钩子再 `Page.navigate` —— 否则首次请求漏过去，拦截永远不触发。
+
+**修复（这是 `-109` 的真正根因）**
+
+- **`redirect_uri` 少了 `?login_type=QC`**。Marvis 渲染层的 `Bpe(e)` 返回的是
+  `.../marvis_oauth?login_type=${e}`，我写成了 `.../marvis_oauth`。
+  服务端靠这个参数知道「用哪个 app 的 `client_secret` 去换 code」——
+  少了它，**哪怕 code 是真的也一律 `-109 RC_PARAMS_INVALID`**（是参数无效，不是 code 无效）。
+- 浏览器登录改为**正常走完回调请求**（带 Cookie、带正确 `redirect_uri`），
+  只读第一个响应体；不再拦截后用 Node 重放（重放丢 Cookie，同样 `-109`）
+- 微信登录同步修正
+
+- **浏览器登录「授权码已被使用过」（`-109`）**：根因是 **QQ 会把 `redirect_uri` 的查询串整个丢掉** ——
+  落地页收到的是 `?code=...&state=...`，**没有 `login_type`**，服务端因此判参数无效。
+  改成用 CDP `Fetch.requestPaused` 在**跳转前**拦下回调，自己从 URL 取 `code` 再带 `login_type` 换。
+  页面同时显示「授权完成」，用户不用对着 `-109` 的 JSON 发愣
+- **换 token 带了鉴权头**：`marvis_oauth` 是**免鉴权**端点，带 `Ual-Access-*` 签名头会直接 400 空响应
+- **`deviceGuid()` 永远取不到注册表**：JS 里 `\S` `\T` 是无效转义，反斜杠被吃掉，
+  `reg` 收到 `HKCUSOFTWARETencentMarvisEnv` → 「无效参数」。改用 `String.raw`
+- **本机导入的 guid 与 token 不同源**：服务端按 `(openid, guid, token)` 三元组校验，
+  现在优先从**同一段内存**里取 `guid=`
+- 去掉 `--disable-blink-features=AutomationControlled`（Edge 会弹「不受支持的命令行标记」警告条），
+  改用 CDP `Page.addScriptToEvaluateOnNewDocument` 抹掉 `navigator.webdriver`
+

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "magpie-marvis",
-  "version": "0.2.5",
+  "version": "0.2.7",
   "description": "magpie / OpenCode provider plugin for Tencent Marvis: its DeepSeek V4 Pro, Kimi K2.5, Claude Opus/Sonnet 4.6, GPT-5.4 and Hunyuan models through the Marvis model gateway — no API key to paste, sign in with QQ or WeChat.",
   "type": "module",
   "main": "./index.mjs",

package/src/hooks/methods.mjs

@@ -1,142 +1,154 @@
-// ② auth.methods —— 两条登录路
-//
-//   A. QQ / 微信 授权（默认）：自己起一个**隔离浏览器**（一次性 profile、伪装正常 Chrome、
-//      去掉自动化痕迹），用户在窗口里授权，插件从 CDP 抓回调 URL 里的 `code`。
-//      → `{ url, opened: true, method: "auto", callback }`
-//        `opened: true` 让 magpie **不要**再开系统默认浏览器（否则弹两个窗口）。
-//
-//   B. 从本机 Marvis 导入：装了客户端且登录过的人，直接读进程内存里的登录态。
-//      → 同样 `opened: true` + `method: "auto"`，整个登录就是「点一下 → 读内存 → 成功」。
-//
-// ⚠ `authorize()` 必须**立刻**返回 —— 真正等用户的是 `callback()`。
-//   在这里 await 登录会和 magpie 双向死锁（HOOKS §四·陷阱1）。
-//
-// ⚠ 为什么不能像别的插件那样起本地 loopback 收回调：redirect_uri 是 QQ 互联里
-//   预注册死的，改不了（详见 src/marvis/login.mjs 顶部）。所以只能「跳过去 → 读地址栏」。
-
-import { PROVIDER, LOGIN_TYPE } from "../context.mjs"
-import { authorizeUrl, parseCallback, deviceGuid } from "../marvis/login.mjs"
-import { openIsolatedLogin, findBrowser } from "../marvis/browser.mjs"
-import { resolveAccount } from "../account-name.mjs"
-import { importFromDesktop, desktopAvailable } from "../marvis/desktop.mjs"
-
-/** 回调地址判据：跳到 marvis_oauth 且带 code= */
-const CALLBACK = /marvis_client_login\/marvis_oauth\?[^#]*\bcode=/i
-
-/**
- * 登录成功时给宿主的字段。
- * `accountId` 是**名字**（卡片上显示），`uid` 是身份（HOOKS §八）。
- * ⚠ `refresh` 必须有 —— 缺了它 magpie 不会把账号写进 plugin-auth.json，
- *   表现是「登录显示成功，但界面说无法列出账号」。
- */
-export function authOf(acct) {
-  const { accountId, uid } = resolveAccount({
-    name: acct.nickname ?? "",
-    phone: "",
-    urn: acct.openid,
-  })
-  return {
-    type: "success",
-    access: acct.accessToken,
-    // token 30 天有效，refresh 会成对轮换 —— 这里存自己，refresh 钩子负责换新
-    refresh: acct.refreshToken ?? acct.accessToken,
-    expires: acct.expiresAt ?? 0,
-    ...(accountId ? { accountId } : {}),
-    ...(uid ? { uid } : {}),
-    // 落盘的额外字段：模型请求随时要用
-    metadata: {
-      openid: acct.openid,
-      guid: acct.guid ?? deviceGuid(),
-      loginType: acct.loginType ?? "6",
-      nickname: acct.nickname ?? "",
-    },
-  }
-}
-
-/** 授权页登录（QQ / 微信），走隔离浏览器 */
-function oauthLogin(loginType, label, instructions) {
-  return {
-    type: "oauth",
-    label,
-    async authorize() {
-      const guid = deviceGuid()
-      // ⚠ 不要在这里 `findBrowser()` —— 它要查 15 次注册表（实测 1.4 秒），
-      //   而 `authorize()` 必须**立刻**返回（HOOKS 四·陷阱 1）。
-      //   浏览器查找挪进 `callback`，那时才真正需要它。
-      const url = authorizeUrl(loginType, guid)
-
-      return {
-        url,
-        // 我们自己开隔离浏览器，magpie 不要再开系统默认浏览器
-        opened: true,
-        method: "auto",
-        instructions,
-        async callback(_url, _input, signal) {
-          const browser = findBrowser()
-          if (!browser) {
-            throw new Error(
-              "没有找到可用的 Chromium 内核浏览器（Chrome / Edge / 360 / QQ 浏览器都行）。" +
-                "请装一个，或改用「从本机 Marvis 导入」。",
-            )
-          }
-          // 起隔离浏览器 → 等它跳到回调地址
-          // ⚠ 回调页**本身就是换 token 的响应**（服务端直接吐 JSON），
-          //   所以这里读页面正文，**不要再发一次请求** —— 再发就是第二个 code，必然 -109。
-          const { url: callbackUrl, body } = await openIsolatedLogin({
-            browser,
-            url,
-            match: CALLBACK,
-            timeoutMs: 5 * 60_000,
-            signal,
-          })
-
-          // 拦截时 body 为空 -> parseCallback 自己拿 code + login_type 去换
-          const acct = await parseCallback(callbackUrl, body, { loginType })
-          return authOf({ ...acct, guid, loginType: acct.loginType ?? LOGIN_TYPE[loginType] ?? "6" })
-        },
-      }
-    },
-  }
-}
-
-export function methods() {
-  return [
-    oauthLogin(
-      "QC",
-      "QQ 登录",
-      "1) 会打开一个**独立的**浏览器窗口（不碰你日常浏览器）\n" +
-        "2) 用你的 QQ 登录并确认授权\n" +
-        "3) 授权完成后窗口会自己关掉，回到 magpie 即可",
-    ),
-    oauthLogin(
-      "WX",
-      "微信登录",
-      "1) 会打开一个**独立的**浏览器窗口（不碰你日常浏览器）\n" +
-        "2) 用微信扫码并确认\n" +
-        "3) 授权完成后窗口会自己关掉，回到 magpie 即可",
-    ),
-    {
-      type: "oauth",
-      label: "从本机 Marvis 导入（需已安装并登录）",
-      async authorize() {
-        const ok = await desktopAvailable()
-        return {
-          // ⚠ 必须 opened: true + method: "auto"，否则 magpie 会去开这个 url
-          //   （之前给 about:blank 弹了一次「没有可打开此链接的应用」）
-          url: "",
-          opened: true,
-          method: "auto",
-          instructions: ok
-            ? "已检测到本机 Marvis 客户端，正在读取登录态…"
-            : "本机没找到运行中的 Marvis 客户端。请先打开 Marvis 并登录，或改用 QQ / 微信 登录。",
-          async callback() {
-            const acct = await importFromDesktop()
-            return authOf(acct)
-          },
-        }
-      },
-    },
-  ]
-}
-
-export { PROVIDER, CALLBACK }
+// ② auth.methods —— 两条登录路
+//
+//   A. QQ / 微信 授权：自己起一个**隔离浏览器**（一次性 profile、伪装客户端 UA、
+//      抹掉 navigator.webdriver），用户在窗口里授权，插件从 CDP 抓回调响应。
+//      → `{ url, opened: true, method: "auto", callback }`
+//        `opened: true` 让 magpie **不要**再开系统默认浏览器（否则弹两个窗口）。
+//
+//   B. 从本机 Marvis 导入：装了客户端且登录过的人，直接读进程内存里的登录态。
+//      → 同样 `opened: true` + `method: "auto"`，整个登录就是「点一下 → 读内存 → 成功」。
+//
+// ⚠ `authorize()` 必须**立刻**返回 —— 真正等用户的是 `callback()`。
+//   在这里 await 登录会和 magpie 双向死锁（HOOKS §四·陷阱1）。
+//   `findBrowser()` 要查十几次注册表（实测 1.4 秒），必须放在 callback 里。
+//
+// ⚠ 已知问题：浏览器扫码这条路的换取服务端一直回 `-109 RC_PARAMS_INVALID`，
+//   参数已逐字对齐官方客户端（redirect_uri / login_type / state / UA / Cookie / Referer）
+//   仍然被拒 —— 判断是服务端对该入口有额外校验，插件侧无法绕过。
+//   失败时给出可执行的替代路径，不让用户对着 109 干瞪眼。
+
+import { PROVIDER, LOGIN_TYPE } from "../context.mjs"
+import { authorizeUrl, parseCallback, deviceGuid } from "../marvis/login.mjs"
+import { openIsolatedLogin, findBrowser } from "../marvis/browser.mjs"
+import { resolveAccount } from "../account-name.mjs"
+import { importFromDesktop, desktopAvailable } from "../marvis/desktop.mjs"
+
+/** 回调地址判据：跳到 marvis_oauth 且带 code= */
+const CALLBACK = /marvis_client_login\/marvis_oauth\?[^#]*\bcode=/i
+
+/** 服务端拒绝浏览器登录时的提示 */
+const BROWSER_LOGIN_HINT =
+  "  [提示] 浏览器登录路服务端目前不接受（换取参数已逐字对齐官方客户端仍被拒）。" +
+  "请改用「从本机 Marvis 导入」——装了 Marvis 客户端并在里面登录过就能一键导入。"
+
+/**
+ * 登录成功时给宿主的字段。
+ * `accountId` 是**名字**（卡片上显示），`uid` 是身份（HOOKS §八）。
+ * ⚠ `refresh` 必须有 —— 缺了它 magpie 不会把账号写进 plugin-auth.json，
+ *   表现是「登录显示成功，但界面说无法列出账号」。
+ */
+export function authOf(acct) {
+  const { accountId, uid } = resolveAccount({
+    name: acct.nickname ?? "",
+    phone: "",
+    urn: acct.openid,
+  })
+  return {
+    type: "success",
+    access: acct.accessToken,
+    // token 30 天有效，refresh 会成对轮换 —— 这里存自己，refresh 钩子负责换新
+    refresh: acct.refreshToken ?? acct.accessToken,
+    expires: acct.expiresAt ?? 0,
+    ...(accountId ? { accountId } : {}),
+    ...(uid ? { uid } : {}),
+    // 落盘的额外字段：模型请求随时要用
+    metadata: {
+      openid: acct.openid,
+      guid: acct.guid ?? deviceGuid(),
+      loginType: acct.loginType ?? "1",
+      nickname: acct.nickname ?? "",
+    },
+  }
+}
+
+/** 授权页登录（QQ / 微信），走隔离浏览器 */
+function oauthLogin(loginType, label, instructions) {
+  return {
+    type: "oauth",
+    label,
+    async authorize() {
+      const guid = deviceGuid()
+      // ⚠ 不要在这里 findBrowser() —— 它要查 15 次注册表（实测 1.4 秒），
+      //   而 authorize() 必须**立刻**返回（HOOKS 四·陷阱 1）。
+      const url = authorizeUrl(loginType, guid)
+
+      return {
+        url,
+        // 我们自己开隔离浏览器，magpie 不要再开系统默认浏览器
+        opened: true,
+        method: "auto",
+        instructions,
+        async callback(_url, _input, signal) {
+          const browser = findBrowser()
+          if (!browser) {
+            throw new Error(
+              "没有找到可用的 Chromium 内核浏览器（Chrome / Edge / 360 / QQ 浏览器都行）。" +
+                "请装一个，或改用「从本机 Marvis 导入」。",
+            )
+          }
+
+          // 起隔离浏览器 → 等它跳到回调地址，读第一个响应体
+          const { url: callbackUrl, body } = await openIsolatedLogin({
+            browser,
+            url,
+            match: CALLBACK,
+            timeoutMs: 5 * 60_000,
+            signal,
+          })
+
+          /** @type {any} */
+          let acct
+          try {
+            acct = await parseCallback(callbackUrl, body, { loginType })
+          } catch (err) {
+            const msg = String(err?.message ?? err)
+            throw new Error(/-109|RC_PARAMS_INVALID/.test(msg) ? msg + BROWSER_LOGIN_HINT : msg)
+          }
+          return authOf({ ...acct, guid, loginType: acct.loginType ?? LOGIN_TYPE[loginType] ?? "1" })
+        },
+      }
+    },
+  }
+}
+
+export function methods() {
+  return [
+    oauthLogin(
+      "QC",
+      "QQ 登录",
+      "1) 会打开一个**独立的**浏览器窗口（不碰你日常浏览器）\n" +
+        "2) 用你的 QQ 登录并确认授权\n" +
+        "3) 授权完成后窗口会自己关掉，回到 magpie 即可",
+    ),
+    oauthLogin(
+      "WX",
+      "微信登录",
+      "1) 会打开一个**独立的**浏览器窗口（不碰你日常浏览器）\n" +
+        "2) 用微信扫码并确认\n" +
+        "3) 授权完成后窗口会自己关掉，回到 magpie 即可",
+    ),
+    {
+      type: "oauth",
+      label: "从本机 Marvis 导入（需已安装并登录）",
+      async authorize() {
+        const ok = await desktopAvailable()
+        return {
+          // ⚠ 必须 opened: true + method: "auto"，否则 magpie 会去开这个 url
+          //   （之前给 about:blank 弹了一次「没有可打开此链接的应用」）
+          url: "",
+          opened: true,
+          method: "auto",
+          instructions: ok
+            ? "已检测到本机 Marvis 客户端，正在读取登录态…"
+            : "本机没找到运行中的 Marvis 客户端。请先打开 Marvis 并登录，或改用 QQ / 微信 登录。",
+          async callback() {
+            const acct = await importFromDesktop()
+            return authOf(acct)
+          },
+        }
+      },
+    },
+  ]
+}
+
+export { PROVIDER, CALLBACK }

package/src/marvis/browser.mjs

@@ -45,10 +45,16 @@ const WIN_EXES = [
   "msedge.exe",
 ]
 
-/** 正常 Chrome 的 UA —— 不是 headless、不是 Electron、不带 Marvis 字样 */
+/**
+ * 浏览器 UA —— **必须是 Marvis 客户端自己的 Electron UA**。
+ *
+ * 一开始我用普通 Chrome UA「伪装身份」，结果服务端一律 `-109 RC_PARAMS_INVALID`。
+ * 客户端 BrowserWindow 的真实 UA 是带 `Marvis/<version>` 和 `Electron/<ver>` 的 ——
+ * 服务端按它识别调用方，缺了就判参数无效。
+ */
 const CHROME_UA =
   "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) " +
-  "Chrome/152.0.0.0 Safari/537.36"
+  "Marvis/1.60.3300.408 Chrome/152.0.7977.130 Electron/44.7.0 Safari/537.36"
 
 /** Windows 注册表 App Paths 查浏览器；查不到返回空串。 */
 export function registryAppPath(exe) {
@@ -219,8 +225,9 @@ export async function openIsolatedLogin({ browser, url, match, extraHeaders, tim
       "--disable-extensions",
       "--disable-background-networking",
       "--disable-sync",
-      // 去掉自动化痕迹（这是防风控的关键，不是可选项）
-      "--disable-blink-features=AutomationControlled",
+      // 去掉自动化痕迹。⚠ 不用 `--disable-blink-features=AutomationControlled` ——
+      //   它会在地址栏下面挂一条「你使用的是不受支持的命令行标记」警告条，很扎眼。
+      //   `navigator.webdriver` 改用 CDP 的 `Page.addScriptToEvaluateOnNewDocument` 抹掉。
       "--exclude-switches=enable-automation",
       `--user-agent=${CHROME_UA}`,
       "--lang=zh-CN",