magpie-plugin-loomy-auth 0.1.7 → 0.1.9

package/README.md

@@ -1,144 +1,154 @@
-# Loomy for magpie
-
-**10 个模型 · 三种登录 · 三笔积分一分不落**
-
-讯飞 Loomy 的编程订阅接进 magpie：对话、看图、工具调用、思考档位；
-积分按 magpie 的调度规则如实上报，该领的新手任务和邀请奖励自动领。
-
-```
-今日积分   ████████░░  4014 / 5000        ← 决定现在能不能用这个号
-永久积分                5500        (附加)  ← 不会过期
-新手任务                可领 9500   (附加)  ← 一次性，领完就没了
-```
-
----
-
-## 为什么选这个
-
-**积分算得准。** 空号显示 0，不会因为「看起来额度很足」被 magpie 优先派活；
-有余额的号按真实消耗排队。这一栏是 `used` 决定的路由输入，报错一个数字，
-整个路由顺序就跟着错。
-
-**多领两笔钱。**
-- **新手任务 10,000 分** —— 卡片上直接显示「可领 9500 积分（7 项待完成）」，签到后自动到账
-- **邀请码 5,000 分** —— 添加新账号时自动带本机老账号的邀请码，**双方各得 5000**
-
-**不用重新登录。** 凭据格式与旧插件相通，装上就能用，登录态原样带过来。
-
-**免费模型标得对。** `spark-x2.6` / `spark-x` 是 0 倍率（限时免费），
-插件如实上报 `free`，路由组用「免费优先」时它们会被真正排在前面。
-
----
-
-## 模型
-
-10 个对话模型，全部实测（非文档抄录）：
-
-| 模型 | 上下文 | 最大输出 | 看图 | 倍率 |
-|---|---|---|---|---|
-| `DeepSeek-V4.1-Flash` | 1M | 384K | ✓ | x2.0 |
-| `MiniMax-M3` | 1M | 512K | ✓ | x4.0 |
-| `GLM-5.3-Flash` | 1M | 128K | ✓ | x0.8 |
-| `qwen3.8-flash` | 1M | 128K | ✓ | x0.8 |
-| `mimo-v2.5` | 1M | 128K | ✓ | x3.3 |
-| `qwen-3.8-max` | 1M | 64K | ✗ | x12.0 |
-| `Kimi-k2.6` | 256K | 64K | ✓ | x6.5 |
-| `spark-x2.6` | 1M | 128K | ✗ | **免费** |
-| `spark-x` | 1M | 64K | ✗ | **免费** |
-| `auto` | — | — | ✗ | 自动选 |
-
-- **思考档位** `none / low / medium / high / xhigh`，默认 `low`，在 magpie 里直接选
-- **看图** 支持视觉的模型可直接发图；deepseek 系要求特殊格式，插件自动转换
-- **工具调用** 全部支持
-
----
-
-## 供应商
-
-### 登录
-
-| 方式 | 适用 |
-|---|---|
-| **桌面端导入**（推荐） | 本机装着 Loomy 客户端并已登录 —— 点一下，不收短信 |
-| **手机号 + 短信** | 没装客户端 |
-| **粘贴 session** | 想手动导 |
-
-会话固定 **14 天**，Loomy 没有续期接口，到期后需重新登录一次。
-插件不会假装能自动续 —— 否则 magpie 会一直以为可用，你反而等不到「请重新登录」的提示。
-
-### 三笔积分
-
-| | 怎么来 | 影响路由吗 |
-|---|---|---|
-| **今日积分** | 每天 5000，北京时间 0 点重置，用掉不回补 | **是** —— 只有它决定现在能不能用这个号 |
-| **永久积分** | 注册 + 新手任务，不会过期 | 否（附加） |
-| **新手任务** | 8 项任务合计 10,000 分，一次性 | 否（附加） |
-
-为什么这么分：今日池每天清零，用光就是没了；永久积分不过期，不该因为它多就优先烧；
-新手任务领一次就结束，更不能当常规额度。
-
-### 签到
-
-magpie 按北京时间每天调一次，签到同时会刷新当天额度，并**自动领取新手任务里已完成的那几项**。
-结果显示具体数字，不是含糊的成功/失败：
-
-```
-今日额度已刷新（3479/5000 积分）· 新手任务 +500 分
-```
-
-### 加第二个账号
-
-Loomy 的邀请机制：**邀请好友双方各得 5000 积分**。
-
-添加新账号时，插件会自动从本机已有账号里挑一个邀请码带上去 ——
-用没用过的、还有余量的、用得最少的那个。你只要正常「添加账号」，那 5000 分自己就到手。
-
----
-
-## 安装
-
-在 magpie 的 **插件 → 发现** 里搜 `Loomy`，点**安装**。
-
-⚠ 先卸掉别的 Loomy 插件 —— 两个插件抢同一个 `loomy` 供应商会互相打架。
-
-装完 `magpie plugin list` 应看到：
-
-```
-magpie-plugin-loomy-auth  on
-  loomy (Loomy, 10 models)  signed in as 189****8051
-```
-
----
-
-## 常见问题
-
-**积分显示 0，但官方 App 里还有？**
-① 今日额度用光，等北京时间 0 点重置；② 那是**新手任务**，卡片上单独一行「可领 XXXX 积分」，签到后到账。
-
-**显示「登录已失效」？**
-会话 14 天到期，重新登录一次即可。
-
-**会花我的积分吗？**
-不会。插件只读余额、签到、领任务奖励。消耗积分的是你通过 magpie 发的对话请求。
-
-**能看到我的什么？**
-Loomy 登录态（存在 magpie 自己的凭据文件里）、积分/模型/任务读数。
-直连 `loomyad.xunfei.cn` 与 `account.xfinfr.com`，不经任何第三方中转。
-邀请码功能读同文件里其它 Loomy 账号的码，仅只读，不外发。
-
-**装完没反应？**
-`magpie plugin list` 确认只有一个 `loomy`。改完配置重启一次 magpie 最稳（登录态不丢）。
-
----
-
-## 卸载
-
-`magpie plugin rm magpie-plugin-loomy-auth`
-
-登录态留在 magpie 的凭据里，重装即恢复。
-
----
-
-## 许可
-
-MIT。协议事实、实现判据、测试与本地安装见 [`docs/internals.md`](docs/internals.md)。
+# Loomy for magpie
+
+**10 个模型 · 三种登录 · 三笔积分一分不落**
+
+讯飞 Loomy 的编程订阅接进 magpie：对话、看图、工具调用、思考档位；
+积分按 magpie 的调度规则如实上报，该领的新手任务和邀请奖励自动领。
+
+```
+今日积分   ████████░░  4014 / 5000        ← 决定现在能不能用这个号
+永久积分                5500        (附加)  ← 不会过期
+新手任务                可领 9500   (附加)  ← 一次性，领完就没了
+```
+
+---
+
+## 为什么选这个
+
+**积分算得准。** 空号显示 0，不会因为「看起来额度很足」被 magpie 优先派活；
+有余额的号按真实消耗排队。这一栏是 `used` 决定的路由输入，报错一个数字，
+整个路由顺序就跟着错。
+
+**每天签到，顺手把能领的都领了。**
+- **新手任务 10,000 分** —— 卡片上显示「可领 9500 积分」，签到后自动到账
+- **邀请码 5,000 分** —— 本机有别的账号时自动兑换，**双方各得 5000**（实测）
+
+三件事（刷新额度 / 领任务 / 兑换邀请码）全部幂等，都放在 magpie 每天一次
+的签到里做完，**你不需要点任何按钮**。
+
+**不用重新登录。** 凭据格式与旧插件相通，装上就能用，登录态原样带过来。
+
+**免费模型标得对。** `spark-x2.6` / `spark-x` 是 0 倍率（限时免费），
+插件如实上报 `free`，路由组用「免费优先」时它们会被真正排在前面。
+
+---
+
+## 模型
+
+10 个对话模型，全部实测（非文档抄录）：
+
+| 模型 | 上下文 | 最大输出 | 看图 | 倍率 |
+|---|---|---|---|---|
+| `DeepSeek-V4.1-Flash` | 1M | 384K | ✓ | x2.0 |
+| `MiniMax-M3` | 1M | 512K | ✓ | x4.0 |
+| `GLM-5.3-Flash` | 1M | 128K | ✓ | x0.8 |
+| `qwen3.8-flash` | 1M | 128K | ✓ | x0.8 |
+| `mimo-v2.5` | 1M | 128K | ✓ | x3.3 |
+| `qwen-3.8-max` | 1M | 64K | ✗ | x12.0 |
+| `Kimi-k2.6` | 256K | 64K | ✓ | x6.5 |
+| `spark-x2.6` | 1M | 128K | ✗ | **免费** |
+| `spark-x` | 1M | 64K | ✗ | **免费** |
+| `auto` | — | — | ✗ | 自动选 |
+
+- **思考档位** `none / low / medium / high / xhigh`，默认 `low`，在 magpie 里直接选
+- **看图** 支持视觉的模型可直接发图；deepseek 系要求特殊格式，插件自动转换
+- **工具调用** 全部支持
+
+---
+
+## 供应商
+
+### 登录
+
+| 方式 | 适用 |
+|---|---|
+| **桌面端导入**（推荐） | 本机装着 Loomy 客户端并已登录 —— 点一下，不收短信 |
+| **手机号 + 短信** | 没装客户端 |
+| **粘贴 session** | 想手动导 |
+
+会话固定 **14 天**，Loomy 没有续期接口，到期后需重新登录一次。
+插件不会假装能自动续 —— 否则 magpie 会一直以为可用，你反而等不到「请重新登录」的提示。
+
+### 三笔积分
+
+| | 怎么来 | 影响路由吗 |
+|---|---|---|
+| **今日积分** | 每天 5000，北京时间 0 点重置，用掉不回补 | **是** —— 只有它决定现在能不能用这个号 |
+| **永久积分** | 注册 + 新手任务，不会过期 | 否（附加） |
+| **新手任务** | 8 项任务合计 10,000 分，一次性 | 否（附加） |
+
+为什么这么分：今日池每天清零，用光就是没了；永久积分不过期，不该因为它多就优先烧；
+新手任务领一次就结束，更不能当常规额度。
+
+### 签到
+
+magpie 按北京时间每天调一次，签到同时会刷新当天额度，并**自动领取新手任务里已完成的那几项**。
+结果显示具体数字，不是含糊的成功/失败：
+
+```
+今日额度已刷新（3479/5000 积分）· 新手任务 +500 分
+```
+
+### 加第二个账号
+
+**不用填邀请码，签到自动完成。**
+
+Loomy 的邀请奖励：**邀请好友双方各得 5000 积分**（实测，附流水在 `docs/internals.md`）。
+每个号能邀请 1000 人，每个号**只能兑换一次**别人的码。
+
+你只要照常把新账号登进 magpie，下一次签到时会自动：查本机其它账号的邀请码 →
+挑一个 → 兑换。新号 +5000，老号 +5000。
+
+每条邀请码能邀请 1000 人；**每个号只能被邀请一次**，所以「A 邀 B、B 再邀 A」
+平台是允许的（实测过，服务端不拦）。插件不干预这个 —— 它只守平台自己的那条：
+本号已经被邀请过就不再兑换。
+
+---
+
+## 安装
+
+在 magpie 的 **插件 → 发现** 里搜 `Loomy`，点**安装**。
+
+⚠ 先卸掉别的 Loomy 插件 —— 两个插件抢同一个 `loomy` 供应商会互相打架。
+
+装完 `magpie plugin list` 应看到：
+
+```
+magpie-plugin-loomy-auth  on
+  loomy (Loomy, 10 models)  signed in as 189****8051
+```
+
+---
+
+## 常见问题
+
+**积分显示 0，但官方 App 里还有？**
+① 今日额度用光，等北京时间 0 点重置；② 那是**新手任务**，卡片上单独一行「可领 XXXX 积分」，签到后到账。
+
+**显示「登录已失效」？**
+会话 14 天到期，重新登录一次即可。
+
+**会花我的积分吗？**
+不会。插件只读余额、签到、领任务奖励。消耗积分的是你通过 magpie 发的对话请求。
+
+**能看到我的什么？**
+Loomy 登录态（存在 magpie 自己的凭据文件里）、积分/模型/任务读数。
+直连 `loomyad.xunfei.cn` 与 `account.xfinfr.com`，不经任何第三方中转。
+邀请码功能读同文件里其它 Loomy 账号的码，仅只读，不外发。
+
+**装完没反应？**
+`magpie plugin list` 确认只有一个 `loomy`。改完配置重启一次 magpie 最稳（登录态不丢）。
+
+---
+
+## 卸载
+
+`magpie plugin rm magpie-plugin-loomy-auth`
+
+登录态留在 magpie 的凭据里，重装即恢复。
+
+---
+
+## 许可
+
+MIT。协议事实、实现判据、测试与本地安装见 [`docs/internals.md`](docs/internals.md)。

package/docs/internals.md

@@ -139,39 +139,77 @@ Loomy 还有第三笔额度 —— **新手任务奖励**，总计 10,000 分，
 > 实况：`181****0632` 余额 0，但还有 10,000 分新手任务可领。卡片会如实显示，
 > 不会因为「余额 0」就把这个人判死刑。
 
-### 邀请码：新账号自动用老账号的邀请资格
+### 邀请码：签到时自动兑换（不在注册时）
 
-Loomy 的「分享有礼」——**邀请好友双方各得 5000 积分**（客户端常量 `nb = 5e3`；
-⚠ 别和新手任务里 `share_soul` 的 2000 混，那是两笔不同的奖励）。
+**实测结论（2026-10-26，真号跑的）**：邀请双方**各得 5000**，不是 2000。
 
-每个账号有**专属邀请码**（实测：`189****8051` → `E4DPT6`、`181****00632` → `FDW3CU`，
-上限 1000 次、已用 0），并且**每个账号只能兑换一次**别人的码。
+```
+操作：181****0632 兑换 189****8051 的码 E4DPT6（走 bindInviteCode → POST /points/activation）
+
+189****8051  永久积分 14860 → 19860  (+5000)   流水：+5000 邀请好友奖励
+181****0632  永久积分 10000 → 15000  (+5000)   流水：+5000 填写邀请码奖励
+E4DPT6  usedCount 0 → 1                       181 activation false → true
+```
 
 | 端点 | 用途 |
 |---|---|
-| `GET /api/v1/invitation-codes` | 查自己的码（只读） |
-| `GET /api/v1/points/activation` | 本账号是否已用过别人的码（只读） |
-| `POST /api/v1/points/activation` | 绑定别人的码（一次性写） |
-| `POST /api/v1/points/first-login` | **也接受 `{inviteCode, deviceId}`** —— 首次初始化时捎上，不用事后再绑 |
-
-**这个插件怎么做的**：新账号登录时，自动从**本机其它已登录的 Loomy 账号**里挑一个
-邀请码带上去。
-
-- 挑码规则：排除自己的、用完的（`usedCount >= maxUses`）、非 `active` 的；
-  优先**用得最少**的（把额度摊开）；`maxUses <= 0` 视为不限次。
-- 先查 `activation`：**已用过就跳过**，不白发一次写请求（每账号只能用一次）。
-- 走 `first-login {inviteCode}`（首次初始化顺带绑定）；那条没成再退回
-  `points/activation`。**绑定失败不影响登录** —— 这是加分项。
-- 为什么能拿到别的账号的邀请码：`getAuth()` 只在当前账号作用域里可见
-  （magpie 的 `inScope`），所以直接读 `~/.config/magpie/plugin-auth.json`，
-  把 `loomy` / `loomy#xxxxxx` 全捞出来逐个查（只读、不打印 session）。
+| `GET /api/v1/invitation-codes` | 查自己的码（只读）。回 `{inviteCode, usedCount, maxUses, status}` |
+| `GET /api/v1/points/activation` | 本号是否已兑换过；回 `{activated, appliedInvitationCode}` |
+| `POST /api/v1/points/activation` | 绑定别人的码（**每账号一次**） |
+| `POST /api/v1/points/first-login` | **也接受 `{inviteCode, deviceId}`** |
+
+#### 为什么放在签到里，而不是登录时
+
+邀请码的有效期是「账号存在期间」，不是「注册那一刻」。放签到里覆盖两种情形：
+新号第一次签到、老号后来才想用。注册流程里不用塞输入框。
+
+`auth.checkin` 现在一次做三件事（全部幂等，重复调用无害）：
 
 ```
-新账号登录 → 收集本机其它 Loomy 账号的邀请码 → 挑用得最少的
-          → 查 activation（已用过就跳过）→ first-login {inviteCode}
-          → 双方各 +5000
+① POST /points/first-login        刷新每日额度（拿 dailyQuota）
+② GET|POST /onboarding/tasks*     领新手任务
+③ GET /points/activation          确认没兑换过
+   GET /invitation-codes (本机其它账号)  取候选
+   POST /points/activation        兑换选中的码
 ```
 
+②③ 失败都不影响签到结果 —— 它们是顺带做的事，不是前置条件。
+
+#### 判据只有一条：本号是否已经被邀请过
+
+平台规则：**每个账号仅能兑换一次**（客户端文案「你已经兑换过积分啦」）。
+所以判断依据就是 `GET /points/activation` 的 `activated`，跟「谁邀请了谁」无关。
+
+**为什么不需要知道对方是谁**：`GET /api/v1/invitation-codes` 只回
+`{inviteCode, usedCount, maxUses, status}` —— 有数量、没有名单。
+客户端里也没有「被邀请的好友」列表接口；探测 `/invitation-codes/invitees`、
+`/invitation-records`、`/points/invitation-records` 全部 404。
+既然拿不到，就不该假装能判断。
+
+#### 平台**允许**互刷（实测，不是推测）
+
+```
+189 兑换 181 的 FDW3CU → +5000 填写邀请码奖励
+181 兑换 189 的 E4DPT6 → +5000 填写邀请码奖励
+两边各再收 +5000 邀请好友奖励
+⇒ 各得 10000，服务端全程 200，没有任何拦截
+```
+
+**这是平台的规则漏洞，不是插件的责任。** 本插件只做两件合规的事：
+
+1. 本号 `activated: true` 时不再兑换（平台规则）；
+2. 把本号自己的码从候选里排除（不能自己邀请自己）。
+
+⚠ 曾经加过一条「本号码被用过就不再兑换别人的码」的规则，**已移除** —— 它拦不住互刷
+（先兑换的一方 `usedCount` 还是 0），却会误伤 A→B→C 这种正常长链里的 B。
+
+#### 候选从哪来
+
+`getAuth()` 只在当前账号作用域可见（magpie 的 `inScope`），拿不到别的账号。
+所以直接读 `~/.config/magpie/plugin-auth.json`，把 `loomy` / `loomy#xxxxxx`
+全捞出来逐个查（只读，session 不打印、不外发）。挑码规则：
+排除自己的、用完的（`usedCount >= maxUses`）、非 `active` 的；优先 `usedCount` 最小的。
+
 ### 一次 `usage()` 的请求数
 
 | 情形 | 请求数 |

package/index.mjs

@@ -164,6 +164,54 @@ export const LoomyAuthPlugin = async ({ client, directory } = {}) => {
     return out
   }
 
+  /**
+   * 给**本账号**挑一个可用的邀请码（供签到钩子调用）。
+   *
+   * 返回 `undefined` 表示不该兑换 —— 三种情况：
+   *   1. 本号已经兑换过别人的码（`activated: true`）—— 每号只能一次，别白发请求
+   *   2. 本机没有**别人**的码（只有自己）—— 不能自己邀请自己
+   *   3. 挑不出还有余量的码
+   *
+   * ⚠ **被邀请者仍可以继续邀请别人**：实测 181 号兑换了 189 的码之后，
+   *   它自己的 `FDW3CU` 仍是 `active` / `usedCount 0`。所以这里**不**因为
+   *   「本号 activated」就把本号从候选里剔除 —— 它自己那份照常可用。
+   *   反过来，**已邀请过我的那个码**要排除：不然 A 邀请 B、B 又邀请 A，
+   *   平台侧可能视作互刷。
+   */
+  const pickInviteFor = async (session) => {
+    // ① **判据只有一条：本号是否已经被邀请过。**
+    //
+    //    平台规则就这一条（客户端文案：「每个账号仅能兑换一次」「你已经兑换过积分啦」）。
+    //    所以不需要知道「谁邀请了谁」—— 那信息接口根本不提供
+    //    （`invitation-codes` 只回 `usedCount` 这个数量，不说是谁）。
+    //    `appliedInvitationCode` 只用于日志，不参与判断。
+    let applied
+    try {
+      const st = await fetchActivation(session)
+      if (st.activated) return undefined
+      applied = st.appliedInvitationCode
+    } catch {
+      // 读不到状态就别乱兑换 —— 宁可这一天不换
+      return undefined
+    }
+
+    // ② 本号自己的码要从候选里排除（不能自己邀请自己）
+    let selfCode
+    try {
+      const mine = await fetchInviteCodes(session)
+      selfCode = mine[0]?.code
+    } catch {
+      selfCode = undefined
+    }
+
+    // ③ 从本机**别的账号**的码里挑一个还有余量的
+    const candidates = await collectInviteCandidates(session)
+    const picked = _pure.pickInviteCode(candidates, selfCode)
+    if (!picked) return undefined
+    if (applied && picked.code === applied) return undefined // 理论上不可达，防御性保留
+    return picked.code
+  }
+
   /**
    * 新账号登录后的收尾：把「已有账号的邀请码」带上去 + 记住当日上限。
    *
@@ -174,40 +222,17 @@ export const LoomyAuthPlugin = async ({ client, directory } = {}) => {
    * 邀请码从**其它已登录账号**里挑（`getAuth` 拿不到全局，所以由调用方传 candidates）。
    * 一个都找不到就静默跳过 —— 这是加分项，不该让登录失败。
    */
-  const settleNewAccount = async (session, auth, { inviteCandidates, selfCode } = {}) => {
-    const patch = {}
-    let claim
-
-    // 挑一个可用的邀请码（排除自己的、用完的、非 active 的）
-    const picked = _pure.pickInviteCode(inviteCandidates ?? [], selfCode)
-    if (picked) {
-      try {
-        const state = await fetchActivation(session)
-        if (state.activated) {
-          log(`该账号已用过邀请码，跳过（不重复兑换）`)
-        } else {
-          // 两条路都能绑：带上 inviteCode 调 first-login（首次初始化），
-          // 或显式 POST points/activation。先用前者 —— 它顺便把当日额度也初始化了。
-          claim = await claimDailyQuota(session, { inviteCode: picked.code })
-          if (claim.ok) {
-            log(`已绑定邀请码 ${picked.code}（来自已有账号），双方各得 ${_pure.INVITE_REWARD_POINTS} 积分`)
-          } else {
-            // first-login 那条没成，退回显式绑定
-            const bound = await bindInviteCode(session, picked.code)
-            if (bound.ok) log(`已绑定邀请码 ${picked.code}（activation）`)
-            else log(`邀请码绑定失败（不影响登录）：${bound.message}`, "warn")
-            claim = claim ?? (await claimDailyQuota(session))
-          }
-        }
-      } catch (e) {
-        log(`邀请码流程跳过：${e?.message ?? e}`, "warn")
-      }
-    }
-    claim = claim ?? (await claimDailyQuota(session))
-
-    const qp = quotaPatch(claim)
-    if (Object.keys(qp).length) Object.assign(patch, qp)
-    return patch
+  /**
+   * 登录后的收尾：**只初始化当天额度**，顺手记进凭据。
+   *
+   * ⚠ 邀请码**不在这里兑换**。它是「账号存在期间随时可做一次」的事，
+   *   不是「注册那一刻必须做」的事 —— 放进每天一次的签到钩子，既覆盖新号
+   *   第一次签到，也覆盖「老号后来才想用」，注册流程里不用塞输入框。
+   *   见下面 `auth.checkin` 的第 ③ 步。
+   */
+  const settleNewAccount = async (session) => {
+    const claim = await claimDailyQuota(session)
+    return quotaPatch(claim)
   }
 
   const remember = async (provider, auth, patch) => {
@@ -283,8 +308,7 @@ export const LoomyAuthPlugin = async ({ client, directory } = {}) => {
                   (desktop.phone ? _pure.maskPhone(String(desktop.phone)) : `Loomy ${session.slice(-6)}`)
                 // 登录后立刻初始化当天额度（官方客户端同款行为）并把上限记进凭据；
                 // 顺便带上已有账号的邀请码（每个账号只能兑换一次，失败不影响登录）
-                const inviteCandidates = await collectInviteCandidates(session)
-                const claim = await settleNewAccount(session, null, { inviteCandidates })
+                const patch = await settleNewAccount(session)
                 return {
                   type: "success",
                   access: session,
@@ -293,7 +317,7 @@ export const LoomyAuthPlugin = async ({ client, directory } = {}) => {
                   accountId: label,
                   ...(desktop.userid ? { uid: String(desktop.userid) } : {}),
                   ...(desktop.phone ? { phone: String(desktop.phone) } : {}),
-                  ...quotaPatch(claim),
+                  ...patch,
                 }
               },
             }
@@ -322,8 +346,7 @@ export const LoomyAuthPlugin = async ({ client, directory } = {}) => {
               instructions: `验证码已发送至 ${_pure.maskPhone(phone)}，输入 6 位数字完成登录。`,
               callback: async (code) => {
                 const { session, userid } = await loginBySmsCode(phone, code, msgid)
-                const inviteCandidates = await collectInviteCandidates(session)
-                const claim = await settleNewAccount(session, null, { inviteCandidates })
+                const patch = await settleNewAccount(session)
                 return {
                   type: "success",
                   access: session,
@@ -332,7 +355,7 @@ export const LoomyAuthPlugin = async ({ client, directory } = {}) => {
                   accountId: _pure.maskPhone(phone),
                   uid: userid,
                   phone,
-                  ...quotaPatch(claim),
+                  ...patch,
                 }
               },
             }
@@ -365,15 +388,14 @@ export const LoomyAuthPlugin = async ({ client, directory } = {}) => {
               return { type: "failed", error: "session 无效或已过期（拉取模型目录失败）" }
             }
             const note = String(inputs?.note ?? "").trim()
-            const inviteCandidates = await collectInviteCandidates(session)
-            const claim = await settleNewAccount(session, null, { inviteCandidates })
+            const patch = await settleNewAccount(session)
             return {
               type: "success",
               access: session,
               refresh: "",
               expires: Date.now() + SESSION_TTL_MS,
               accountId: note || `Loomy ${session.slice(-6)}`,
-              ...quotaPatch(claim),
+              ...patch,
             }
           },
         },
@@ -452,14 +474,27 @@ export const LoomyAuthPlugin = async ({ client, directory } = {}) => {
        *   （返回 `"success"`，magpie 归 `failed` 却保留 message，
        *    界面于是显示「签到失败 · 每日赠送积分已刷新」）。
        */
+      /**
+       * 签到钩子 = **每天把能领的都领一遍**。
+       *
+       * magpie 按北京时间每账号每天调一次，所以这里是「顺手做」的最佳位置：
+       *
+       *   ① 刷新每日额度（`first-login`，幂等）
+       *   ② 领新手任务（`onboarding/tasks/complete`，幂等）
+       *   ③ 兑换邀请码（`points/activation`，**每账号一次**）
+       *
+       * 三件事全部幂等，重复调用无害 —— 这是把它们放在每天签到里的前提。
+       * ⚠ ②③ 失败都**不影响签到结果**：它们是一天里顺带做的事，
+       *   不是签到的前置条件。
+       */
       async checkin(getAuth, provider) {
         const auth = await getAuth()
         const credential = _pure.credentialOf(auth)
         if (!credential) return { outcome: "failed", message: "未登录" }
 
+        // ① 每日额度
         const claim = await claimDailyQuota(credential.session)
         const result = _pure.checkinOutcome(claim)
-
         if (claim.ok) {
           // 签到是拿到 `dailyQuota` 的**权威时刻**：记进凭据并清缓存，
           // 让卡片立刻反映新的上限（而不是等 60 秒 TTL）
@@ -467,24 +502,47 @@ export const LoomyAuthPlugin = async ({ client, directory } = {}) => {
           clearUsageCache()
         }
 
-        // 新手任务跟着签到一起领：它们本就是「登录后的一次性引导奖励」，
-        // 放在每天一次的签到里做，既不会漏也不会重复（领取是幂等的）。
-        // ⚠ 失败不影响签到结果 —— 这是**加分项**，不是签到的前置条件。
-        if (claim.ok) {
-          try {
-            const state = await fetchOnboarding(credential.session)
-            const { claimed, failed } = await claimAllTasks(credential.session, state.tasks)
-            onboardingCache.set(credential.session, { at: Date.now(), value: null })
-            if (claimed.length > 0) {
-              const gained = claimed.reduce((n, x) => n + x.points, 0)
-              log(`新手任务领到 ${claimed.length} 项（+${gained} 分）${failed.length ? `，${failed.length} 项失败` : ""}`)
-              result.message += ` · 新手任务 +${gained} 分`
+        const extras = []
+
+        // ② 新手任务
+        try {
+          const state = await fetchOnboarding(credential.session)
+          const { claimed, failed } = await claimAllTasks(credential.session, state.tasks)
+          onboardingCache.set(credential.session, { at: Date.now(), value: null })
+          if (claimed.length > 0) {
+            const gained = claimed.reduce((n, x) => n + x.points, 0)
+            log(`新手任务领到 ${claimed.length} 项（+${gained} 分）${failed.length ? `，${failed.length} 项失败` : ""}`)
+            extras.push(`新手任务 +${gained} 分`)
+            clearUsageCache()
+          }
+        } catch (e) {
+          log(`新手任务领取跳过：${e?.message ?? e}`, "warn")
+        }
+
+        // ③ 邀请码 —— **签到时才兑换，不在登录时**
+        //
+        // 为什么改到这里：邀请码的有效期是「帐号存在期间」，不是「注册那一刻」。
+        // 放在签到里，既覆盖了「新号第一次签到」，也覆盖了「老号后来才决定用」，
+        // 不用在注册流程里塞一个输入框。
+        try {
+          const picked = await pickInviteFor(credential.session)
+          if (picked) {
+            const r = await bindInviteCode(credential.session, picked)
+            if (r.ok && !r.alreadyActivated) {
+              log(`已兑换邀请码 ${picked}（邀请人 +${_pure.INVITE_REWARD_POINTS}，本号 +${_pure.INVITE_REWARD_POINTS}）`)
+              extras.push(`邀请码 +${_pure.INVITE_REWARD_POINTS} 分`)
               clearUsageCache()
+            } else if (r.ok && r.alreadyActivated) {
+              log(`本号已兑换过邀请码（${picked}），跳过`)
+            } else {
+              log(`邀请码兑换失败（不影响签到）：${r.message}`, "warn")
             }
-          } catch (e) {
-            log(`新手任务领取跳过：${e?.message ?? e}`, "warn")
           }
+        } catch (e) {
+          log(`邀请码兑换跳过：${e?.message ?? e}`, "warn")
         }
+
+        if (extras.length) result.message += ` · ${extras.join(" · ")}`
         return result
       },
     },
@@ -560,4 +618,6 @@ export const _internal = {
   bindInviteCode,
   fetchActivation,
   readAllLoomyAccounts,
+  pickInviteFor: (session) => pickInviteFor(session),
+  collectInviteCandidates: (s) => collectInviteCandidates(s),
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "magpie-plugin-loomy-auth",
-  "version": "0.1.7",
+  "version": "0.1.9",
   "description": "Loomy (iFlytek) for magpie: desktop-session import / SMS / session sign-in, live model catalog with reasoning efforts, chat with tools and images, and the two credit pools reported as the host routes them — the daily pool counts, the permanent one is shown aside.",
   "type": "module",
   "main": "./index.mjs",