DSH-Official-WorkBuddy-Credit-Proxy

RotaKit · DSH 官方版 WorkBuddy 积分池

把本机登录过的 WorkBuddy / CodeBuddy 账号合并成一个自动故障转移的 DeepSeek Harness 模型池，附带一整套积分自动化。

你在桌面端登过几个号，池里就有几个号 —— 不用手动录入，不用一个个切换。哪个号限流了、积分用完了、令牌失效了，请求自动落到下一个能用的号上。

池子同时说 OpenAI Chat / OpenAI Responses / Anthropic Messages 三种协议，所以 DSH、Codex、Claude Code 以及任何 OpenAI / Anthropic SDK 客户端都能直接接进来，共用同一个账号池。

来源与署名。 RotaKit 是独立维护的改编版，基于 XDTrees/dsh-workbuddy-xdpool（MIT，作者 XDTrees）。账号凭据解密移植自 dingminhua/dsh-connect-workbuddy，shim 的加固与错误映射参照 corrinehu/dsh-workbuddy-connect，两者均为 MIT。原版文档见 UPSTREAM-README.md。

---

功能总览

一、多账号池

能力	说明
自动发现账号	读本机桌面端登录快照（国内 / 国际两套），一个文件一个号，无需手动导入
按权重选号	空闲越久的账号权重越高；取权重最高的前 5 个再洗牌，避免长尾账号被反复抽中
会话粘性	同一对话固定用同一个账号，缓存不失效；账号不可用时自动换绑并固定新号
在途租约	同一账号并发超过 2 个请求时让路，避免把限流风险堆在一个号上
冷却分级	429（限流）与 5xx（网关故障）分开计数 —— 网关抖动不再污染限流历史
按模型冷却	某个模型被限流只影响该模型，同账号其他模型照常可用
凭据熔断	连续 3 次被拒的账号移出池 30 分钟，并标「需重新登录」，不再无声消失
额度门槛	余额低于可服务门槛（默认 50）的账号自动跳过 —— 余额恢复后自动回到池中，无需任何操作
积分保留	可给单账号设保留线，低于该线不再派活
手动停用	可停用指定账号，与自动跳过分开管理
选号预算	单次请求最多尝试 8 个不同账号；同一请求内不会重复选到同一账号

二、模型目录

• 从上游实时拉取，带积分倍率、免费 / 夜间折扣标签、图片能力、思考档位、上下文窗口
• 标记「无可用账号」的模型：某模型没人能服务时一眼可见
• 标记「成本未知」：上游未公布倍率时不再默默留空
• 目录刷新带重试：网络抖动不再把正常列表打回兜底
• 实测输出上限：可发现网关对 max_tokens 的静默钳制

三、积分自动化

每项任务可单独配置执行时刻，默认：

任务	默认时刻	内容
每日签到	09:00	领取当日签到积分
活跃上报	10:00	上报活跃状态
任务奖励	11:00	报名并领取任务奖励
连登奖励	12:00	连登档位兑换与抽奖
猫猫旅行	09:00 / 21:00	出发与领取

细节处理：

• 漏跑补跑：某个时刻在应用关闭期间过去了，启动后立即补跑，不用等到明天
• 签到结果分开呈现：今日已签 21/21 —— 本次新领 16 个。「已签到」与「本次领到积分」是两件事，混在一起会让人误以为有账号失败
• 每账号签到时间：区分「本次领到」与「发现今天已领过」两个时刻 —— 上游不提供签到时间，所以只报插件能作证的时刻
• 收益账本落盘：跨天自动清零，重启不丢

四、请求可观测

能力	说明
请求记录	时间、模型、账号、结果、总耗时、排队、首字、token 数、轮换次数
排队时长统计	按模型给出 p50 / p95 / 平均排队时长 —— 用数据选模型，而不是凭感觉
输出速度	每次请求的 tok/s 与 p50 / 最小 / 最大，按模型聚合
消耗账本	今日 / 近 7 天 / 本月消耗（由插件累积观测；上游无时间窗接口）
请求形状诊断	上游 400 时记录请求形状（参数名、消息条数、工具数、字符数）

五、界面

• 双区域标签：国内版 / 国际版各自独立 —— 账号、积分、模型目录、未保存草稿全部隔离，两边同时生效
• 可折叠列表：池中账号 / 模型 / 请求记录三块默认收起，卡片不占地方
• 响应式布局：窄窗口（≤640px）自动堆叠
• 主题三态：跟随系统 / 浅色 / 深色，写在宿主声明主题变量的那一层，切换立即生效
• 状态标记：冷却中、需重新登录、额度不足、已保留 —— 每种都有自己的原因与对策
• 一键清除：只要有任何可清除状态（冷却 / 熔断 / 按模型缓存）按钮就出现，点了真的清干净

六、协议兼容

池对外同时说三种协议，三条路由共用同一套账号轮换、冷却、熔断、积分门槛与上下文压缩：

协议	路径	谁在用
OpenAI Chat	/v1/chat/completions	DSH 本体、普通客户端
OpenAI Responses	/v1/responses	Codex、任何 Responses 客户端
Anthropic Messages	/v1/messages	Claude Code、Anthropic SDK

翻译层与调度层是分开的：新协议只负责把请求转成 chat 体、把回答转回去，调度逻辑一行都不重复。 好处是改轮换策略时三条路由同时生效，不会有人掉队；协议出 bug 也只会是翻译错，不会串到调度。

几个不显然的实现点（都是实测踩出来的）：

• 工具调用在 response.output 里出现两次 —— Codex 靠读最终响应判断「这轮要不要继续」， 只在流事件里发 output_item.done 而 output 数组里没有，Codex 会认为模型只是说了句话， 于是结束回合等人输入，表现为「任务做到一半停了」
• 工具调用的「调用」与「结果」先配对再发送 —— 上游拒绝「结果早于调用」和「调用没有结果」， 而客户端传来的历史里两种都真实存在（会话被中断、被裁剪过）
• 对话不以工具轮开头 —— 裁剪过的历史第一条可能就是助手工具调用，上游直接拒； 补一条用户轮在最前面，而不是删掉工具调用（后面的结果是真的）
• Anthropic 的 stop_reason 不是装饰 —— 模型要用工具时必须报 tool_use， 报成 end_turn 客户端会认为回合结束，刚拿到的 tool_use 块永远不会被执行
• max_tokens 有地板 —— 池里是推理模型，思考计入 max_tokens。 实测（同一提示词，各 6 次）：max_tokens=16 时只有 1/6 能产出内容、64 时 3/6、256 以上 6/6 —— 预算被思考吃光时上游返回 finish_reason: length 且 content 完全为空， 客户端收到一个语法完整、内容为空、无法分辨原因的回复。所以低于 512 的预算会被抬高 （预算仍是上限不是配额，要 64 token 照样得到简短回复，只是至少能得到）

七、请求链路

• 固定端口：国内 8120 / 国际 8121 —— 重载不会换端口，宿主不再「Connection error」
• 只绑回环、强制 loopback Host / Origin、常量时间比较令牌、请求体上限 64MB
• 写操作要求 JSON body —— 这道校验才是真正的防线：跨站的 JSON POST 会被浏览器预检拦下 （本服务不批准预检），而跨站的表单 POST 虽然发得出去、也带环回 Host， 却无法声明 application/json。仅靠 Origin 挡不住表单，因为 file:// 加载的卡片 和沙箱 iframe 发送的都是 Origin: null
• 上下文超限自动压缩重试，压缩目标取「按窗口」与「按原文一半」的较小值
• 错误归因：池为空时如实报原因（限流 429 / 额度耗尽 402 / 全部停用 403 / 需重登 401），不再一律 401
• 冷却跨重载存活：冷却窗口落盘（.workbuddy-xdpool/cooldowns.json）， 插件重载不再清空限流惩罚；显式「清除冷却」会同步清掉账本

---

用数据选模型（实测结论）

来自真实请求记录，不是推测：

模型	样本	排队 p50	排队 p95	输出速度 p50	倍率
deepseek-v4.1-flash	57	4.2s	6.0s	263 tok/s	0.11
glm-5.3-flash	2	6.7s	23.2s	40 tok/s	0.06

小样本提醒：glm-5.3-flash 只有 2 个样本，排队数字分歧极大（1.6–23s），速度数字则一致。倍率便宜但速度慢约 6 倍。

卡片里的「按模型排队时长」会持续累积样本，样本多了结论才可靠。

---

目录结构

.
├── lib/
│   ├── index.js        宿主端：账号池、shim、模型目录、调度器（源码，直接编辑）
│   ├── client.js       浏览器端卡片（源码，直接编辑）
│   ├── protocol-compat.js  Anthropic / OpenAI Responses 协议互译
│   ├── bin.js          CLI：doctor 等诊断命令
│   └── index.d.ts      类型
├── .github/workflows/  打 tag 即发布到 npm（OIDC，无需 token）
├── tools/              发布前检查与回归套件
│   ├── run-suite.mjs           全量回归（332 断言）
│   ├── check-publish.mjs       本机发布前检查（需已安装副本）
│   └── check-package-files.mjs CI 可跑的打包完整性检查
├── cordis.patch.yml    插件注册补丁
├── package.json        清单（dsh.bundle / dsh.client 都在这里）
├── screenshots.json    卡片截图清单
├── assets/             截图
├── README.md           本文件
├── README.en.md        英文版
├── UPSTREAM-README.md  上游原版文档（致谢与出处）
├── AGENTS.md           开发约定（**改代码前先读**）
└── CHANGELOG.md        变更记录

lib/ 下的文件是源码，不是构建产物 —— 本仓库没有 src/、没有构建步骤，直接改 lib/ 即可。

tools/ 是开发期脚本，安装和运行都用不到。日常使用只看 lib/。

---

与上游的关系

本仓库是 XDTrees/dsh-workbuddy-xdpool 的二次开发， 按 MIT 许可保留原作者版权。上游是 TypeScript 项目（src/ → 构建出 lib/），本仓库不是。

两条版本线互相独立，不对齐、不互认：

	上游	本仓库
包名	dsh-workbuddy-xdpool	dsh-rotakit
版本	1.8.4	2.3.23
形态	TS 源码 + 构建	lib/ 即源码

不要往 dsh-workbuddy-xdpool 发布。 那个包名属于上游作者，不是我们的。 参见 AGENTS.md §零。

---

安装

# 1. 装进 DSH profile（仓库根目录就是插件本体）
#    默认 profile 是 desktop，也可换成你自己的
git clone https://github.com/2861292267/DSH-Official-WorkBuddy-Credit-Proxy.git \
  ~/.dsh/profiles/desktop/node_modules/dsh-rotakit

# 2.（可选）二维码兜底依赖，纯 JS、无原生编译
#    登录链接已能自动打开；只有上游不返回 authUrl 时才回退二维码，此时才需要它
cd ~/.dsh/profiles/desktop/node_modules/dsh-rotakit && npm i qrcode

# 3. 确认 profile 的 bundles 里有它
#    ~/.dsh/profiles/<你的profile>/package.json → dsh.profile.bundles 应含 "dsh-rotakit"

然后重启 DeepSeek Harness。 模型选择器里会出现 WorkBuddy XD Pool 分组。

宿主插件不会热重载。 改了 lib/ 下的文件必须完全退出应用再启动，否则运行中的实例仍在用内存里的旧代码。

---

自动更新

卡片的「设置」页有检查更新与更新按钮。整条链路是：

检查更新   拉取本仓库 main 分支的 tarball → 读 package.json 的版本号
           （12 秒超时；只读开头一小段，不下载整个包）
更新       下载整个 tarball → 校验 → 逐个文件替换
回滚       把某次更新前的备份原样放回

几条设计上的取舍

只更新运行时真正加载的文件。 TRACKED_FILES 列了六个：三个 .js 模块、 bin.js（doctor 命令的全部逻辑）、cordis.patch.yml（DSH 据此注册 provider）、 以及 package.json。index.d.ts 是纯类型、运行时不加载，因此刻意不在列表里 —— 带上它只会让每次更新多传 94 KB 而不改变任何行为。

先备份全部，再写入任何一个。 早先的版本是"备份一个、立刻覆盖一个"， 于是更新失败时留下的备份集是残缺的；而回滚点又只接受完整的备份集， 结果最需要回滚的那次更新恰恰没有回滚点。现在两个阶段分开： 六个文件全部备份完，才开始写第一个。

写入失败会停下并说清楚是哪个文件，而不是抛异常。 临时文件 + 同卷 rename，所以任何单个文件要么是旧内容、要么是新内容，不会有半个。

回滚是可以反悔的。 覆盖前会先把"当前版本"另存为 .pre-rollback-<时间戳>。 备份集本身只按它实际覆盖到的文件恢复 —— 早于某个文件加入的备份集仍然可用， 恢复它等于"回到那个文件还不存在的版本"。

备份只保留最近 3 组。 每次更新会把六个文件复制一份（约 1.1 MB）； 成功更新之后自动清理更旧的，否则 lib/ 会一直长下去。

关于「环境不匹配」

情况	行为
没装桌面客户端 / 只用了网页版	检测不到账号，卡片给出各区域（国内版 / 国际版）的登录指引。插件读的是桌面客户端留在本机的凭据，网页版登录不会被读到。
非 Windows	跳过注册表探测，改走 macOS bundle 与配置文件路径；两者都没有时安静返回空，不抛错
GitHub 不可达	版本号照常显示（显示本机版本），更新按钮可用，失败信息可读；不会卡在"正在检查更新"
安装目录只读	更新失败并明确告知，不留下半写状态

---

验证方式

每个结论都有对应的可复现验证，核心几类：

验证	检查什么
选号逻辑	额度门槛、冷却分级、按模型冷却、熔断、租约、粘性、同请求不重复选号
错误归因	每种失败类型映射到正确的状态码与原因
签到语义	「已签到」与「本次领到」分开；已签到标记不虚报积分
计数口径	available 与实际可选账号一致，不虚高
界面	中英文案 1:1、CSS 类完整、运行时探针、渲染输出
协议翻译	三条路由的事件序列、工具调用往返、非流式与流式分支、stop_reason 映射
写接口鉴权	JSON 才放行；表单 / 无 content-type / 外域 Origin / 伪造 Host 全部拒绝
冷却持久化	跨重载存活、模型级窗口、过期不复活、reset 同步清账本、多实例合并
推理预算地板	小预算被抬高但不越过模型上限（上限是硬界，地板是软界）
打包完整性	每个运行时加载的文件都在 files 白名单里（tools/check-package-files.mjs）

回归套件 17 套、332 条断言，全部通过。

其中协议与安全相关的几套是实际跑真实 HTTP 的：起真实的 shim、发真实的请求、 打到真实的 WorkBuddy 上游，而不是对着 fixture 断言。

改完代码后跑：

node tools/run-suite.mjs          # 全量回归
node tools/check-publish.mjs      # 本机发布前检查（需已安装副本）
node tools/check-package-files.mjs  # 打包完整性（CI 也跑这个）

---

安全须知

• 插件只读取本机桌面端已经存在的登录态，不发起任何登录流程。卡片内扫码是可选操作，只在明确点击后打开，走的是桌面客户端自己的接口，没有绕过任何鉴权，消耗的是你自己的账号与积分。
• 令牌只在本机内存与回环 shim 之间传递，卡片上显示的账号一律脱敏。
• shim 只绑 127.0.0.1，强制回环来源校验。
• 管理接口的写操作要求 JSON 请求体：跨站页面发不出 JSON POST（预检不被批准）， 而它发得出的表单 POST 无法声明 application/json —— 所以本机的账号启停、冷却清除、 插件自更新等操作不会被网页越权调用。
• 二维码内容经过净化：上游返回的登录二维码先按 SVG 解析并剥掉 script / on* / href 等可执行部分才注入 DOM，不直接信任上游返回的标记。

---

免责声明

本项目仅供个人学习和研究使用，仅驱动使用者自己的账号在本机调用。请遵守 WorkBuddy 的服务条款；因使用本项目产生的任何后果由使用者自行承担。

---

许可

MIT。上游版权归 XDTrees 所有，另有部分代码来自 dingminhua、corrinehu（均为 MIT），详见 LICENSE 与文件内的署名注释。