mslxdff 0.1.237 → 0.1.238

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "mslxdff",
-  "version": "0.1.237",
+  "version": "0.1.238",
   "description": "测试项目，请勿使用。",
   "type": "module",
   "bin": {

package/src/cli/commands/provider/keys-guard.js

@@ -10,6 +10,8 @@ import { AUTH_DOC_PROVIDER_IDS } from "../../../runtime/provider-gate.js";
 // 保留子命令：这些词归 provider/ 下别的 handler 管，掉到 keys 兜底 = 该 provider 没接线。
 // 名单 = 各 handler 实际比对的 sub 值全集（keys.js 自己认的 list/status/add/remove/clear 不在内）。
 // 新增 handler 时同步这里；漏收的后果是那个词能被当 key 写盘。
+/** 覆盖式写 keys 时，单个候选 token 的最小可信长度（闸 3 判据：真 key 都远长于此）。 */
+export const MIN_KEY_CHARS = 11;
 export const RESERVED_PROVIDER_SUBS = new Set([
   "login", "auth", "oauth", "checkin", "signin", "quota", "credits", "balance",
   "migrate", "free", "bench", "benchmark", "eval", "test",
@@ -17,6 +19,7 @@ export const RESERVED_PROVIDER_SUBS = new Set([
   "set-url", "set-models-path", "set-chat-path", "url", "seturl", "setmodelspath", "setchatpath",
   "allowlist", "allow", "allowed", "allowany", "allow-any", "allow_any", "whitelist",
   "del", "delete", "rm", "remove-provider", "del-provider", "import", "import-desktop", "from-desktop",
+  "help", "usage", "usage-all",
 ]);
 
 /**
@@ -46,5 +49,22 @@ export function keysWriteDenial(id, sub, rest = []) {
       `  确知自己在做什么 → 末尾加 --force 重跑`,
     ];
   }
+  // 闸 3：形状闸。2026-10-24 复现同类事故 —— `mslxdff -provider codearts help` 里 `help` 既不是
+  // 保留 verb（闸 1 名单里没有它），codearts 又不属于 auth 号型六家（闸 2 不管它），于是 `help` 一路
+  // 掉进「未知即当 key」的兜底分支，把 providerConfigs.codearts.keys 的 2 条真凭据整组覆盖成 "help"。
+  // 判据：真 key 的长度都远超 10 字符（openrouter ~73、traework accessToken 实测 1004、codearts blob
+  // 上千），而 ≤10 字符的裸词几乎必然是打错位置的子命令/模型名/文件名 —— 覆盖式 set 写进去就是当场废号。
+  // 逃生阀：`--force`，或改走只追加、不覆盖的 `add`。
+  const shortTokens = rest
+    .map((k) => String(k || "").trim())
+    .filter((k) => k && !k.startsWith("-") && k.length < MIN_KEY_CHARS);
+  if (shortTokens.length && !rest.includes("--force")) {
+    return [
+      `✗ -provider ${id} ${sub}：疑似把「${shortTokens.join("、")}」当 API key 覆盖 ${id} 现有 keys —— 已拒绝，配置未改动`,
+      `  拦截原因：key 长度不足 ${MIN_KEY_CHARS} 字符（真 key 都远长于此），多半是子命令/模型名打错了位置。`,
+      `  ${id} 支持什么：mslxdff -provider ${id} list`,
+      `  确知是短 key（自建桩服务）→ 末尾加 --force 重跑，或走只追加的 mslxdff -provider ${id} add <key>`,
+    ];
+  }
   return null;
 }

package/src/providers/codearts/const.js

@@ -44,12 +44,19 @@ export const MAAS_TYPE_HEADER = "maas_type";
 export const MAAS_BENEFIT = "benefit";
 
 // 冷启动种子：福利套餐轮换后新模型在首次发现前也按福利路由（宁多带不少带，少带即 404）。
-// 现网取证 2026-10-16（福利网关 /api/v1/gateway/config，error_code=0000）共 4 位：下列 4 个 id 逐字对齐上游。
-export const SEED_BENEFIT_MODELS = ["deepseek-v4-flash-0731", "deepseek-v4-pro-0813", "deepseek-v4.1-flash", "glm-5.3-flash"];
-// 内置模型种子（仅用于大小写归一，不标福利）。
+// 现网取证 2026-10-16（福利网关 /api/v1/gateway/config，error_code=0000）共 4 位：下列 id 逐字对齐上游。
+// 2026-10-24 再取证：`deepseek-v4.1-flash` 已转 builtin 正式模型（福利网关该号已空）。它留在福利种子里
+// 是有害的 —— preheat 未回来时带福利头 → InferHub.4004.200 benefit not found，不带才 200。故移出、转入正式表。
+export const SEED_BENEFIT_MODELS = ["deepseek-v4-flash-0731", "deepseek-v4-pro-0813", "glm-5.3-flash"];
+// 内置模型种子（仅用于大小写归一，不标福利）。id 一律写上游真正的 model_id 大小写：
+// `deepseek-v4.1-flash` 是全小写，`GLM-5.2` 就是混合大小写——猜错即 InferHub.002002009.404。
 export const SEED_KNOWN_MODELS = [
-  "GLM-5.2", "GLM-5.2-ArkTS-SPARK", "GLM-5.1", "GLM-4.7",
-  "OpenPangu-2.0-Pro", "OpenPangu-2.0-Flash",
+  // 现网取证 2026-10-24（builtin 路真 model_id 逐字）：这些就是全小写，展示名（OpenPangu-2.0-Pro /
+  // GLM-5.3 / Kimi-K3）出自 agent-center 的 model_name，当 id 发上去必 InferHub.002002009.404。
+  // 同名漂移记在 name 字段，不占用 id：GLM-5.2-ArkTS-SPARK 的真 id 是 glm-5.2-sft-harmony。
+  "deepseek-v4.1-flash", "glm-5.3", "kimi-k3", "openpangu-2.0-pro", "openpangu-2.0-flash",
+  "glm-5.2-sft-harmony", "kimi-k2.6-vl",
+  "GLM-5.2", "GLM-5.1", "GLM-4.7",
   "Qwen3-VL-235B", "Qwen3.5-397B-A17B-VL", "Qwen3.6-27B-VL",
 ];
 

package/src/providers/codearts/models.js

@@ -14,8 +14,19 @@ const lower = (s) => String(s || "").trim().toLowerCase();
 
 export function createCatalog() {
   const known = new Map(); // lower → 精确 ID（种子 + 已发现，大小写归一单点）
+  const knownReal = new Set(); // 该精确 ID 出自上游真正的 model_id（不是展示名兜底）
+
+  // id 权威性：真正的 model_id > 展示名（agent-center 无 model_id 时拿 model_name 顶包，
+  // 发上去必 InferHub.002002009.404）；同级才用历史规则「非小写的精确大小写覆盖小写」。
+  function noteKnown(key, id, byModelId) {
+    if (!known.has(key)) { known.set(key, id); if (byModelId) knownReal.add(key); return; }
+    if (byModelId && !knownReal.has(key)) { known.set(key, id); knownReal.add(key); return; }
+    if (!!byModelId === knownReal.has(key) && id !== key && known.get(key) === key) known.set(key, id);
+  }
+
   for (const id of [...SEED_KNOWN_MODELS, ...SEED_BENEFIT_MODELS]) {
-    if (!known.has(lower(id))) known.set(lower(id), id);
+    const key = lower(id);
+    if (key) noteKnown(key, id, false); // 种子按展示名记账：真 model_id 一发现就覆盖它
   }
   const accounts = new Map(); // userId → {models, benefit:Set, knows:Set, lastBenefit:Map, fetched}
 
@@ -28,7 +39,7 @@ export function createCatalog() {
       const key = lower(m.id);
       ac.knows.add(key);
       if (m.benefit) { ac.benefit.add(key); ac.lastBenefit.set(key, m); }
-      if (!known.has(key) || m.id !== key) known.set(key, m.id);
+      noteKnown(key, m.id, m.byModelId);
       ac.models.push(m);
     }
     if (keepBenefit) {
@@ -38,7 +49,7 @@ export function createCatalog() {
         ac.benefit.add(key);
         ac.knows.add(key);
         ac.models.push(mi);
-        if (!known.has(key) || mi.id !== key) known.set(key, mi.id);
+        noteKnown(key, mi.id, mi.byModelId);
       }
       ac.models.sort((a, b) => (lower(a.id) < lower(b.id) ? -1 : lower(a.id) > lower(b.id) ? 1 : (a.id < b.id ? -1 : 1)));
     }
@@ -72,7 +83,7 @@ export function createCatalog() {
   return { setAccount, isBenefit, canonical, accountModels, isStale };
 }
 
-/** 多路合并：按小写 ID 去重，福利标记取或，参数更全/精确大小写优先，按小写 ID 排序。 */
+/** 多路合并：按小写 ID 去重，福利标记取或，真 model_id 优先 > 参数更全 > 精确大小写，按小写 ID 排序。 */
 export function mergeModels(sets) {
   const merged = new Map();
   for (const set of sets || []) {
@@ -81,7 +92,11 @@ export function mergeModels(sets) {
       const key = lower(m.id);
       const cur = merged.get(key);
       if (!cur) { merged.set(key, { ...m }); continue; }
-      const keep = (m.contextWindow > 0 && !cur.contextWindow) || (m.id !== lower(m.id) && cur.id === lower(cur.id)) ? m : cur;
+      // 上游真正的 model_id 优先于展示名：agent-center 那份只有 model_name（DeepSeek-V4.1-Flash），
+      // builtin 那份才是可请求的 id（deepseek-v4.1-flash）；发错大小写 = InferHub.002002009.404。
+      const keep = !!m.byModelId !== !!cur.byModelId
+        ? (m.byModelId ? m : cur)
+        : ((m.contextWindow > 0 && !cur.contextWindow) || (m.id !== lower(m.id) && cur.id === lower(cur.id)) ? m : cur);
       const drop = keep === m ? cur : m;
       merged.set(key, {
         ...keep,
@@ -130,6 +145,9 @@ const toModelInfo = (m, { benefit = false } = {}) => {
   if (!id) return null;
   return {
     id: String(id),
+    // 出处记账：只有真正的 model_id 字段才敢当「发给上游的 id」；靠 model_name/modelAlias
+    // 兜底出来的是展示名，上游 InferHub 不认（现网 2026-10-24：DeepSeek-V4.1-Flash 必 404）。
+    byModelId: !!m?.model_id,
     name: String(m?.model_name || id),
     contextWindow: Number(m?.context_window) || 0,
     maxTokens: Number(m?.max_tokens) || 0,