diff --git a/AGENTS.md b/AGENTS.md
index 1c5e8af..19a673c 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -160,7 +160,7 @@ $BT/apksigner verify 目标名.apk
 
 ### 版本号
 
-- `app/build.gradle`：`versionName "1.4.5"` / `versionCode 25`（18~21 被本机临时诊断包占用过）
+- `app/build.gradle`：`versionName "1.4.6"` / `versionCode 26`（18~21 被本机临时诊断包占用过）
 - App 内显示统一用纯版本号（不加 `(versionCode)` 括号）
 - ⚠️ **发布构建已开启 NewApi 闸门**（`lint { checkReleaseBuilds true; fatal += ['NewApi'] }`）：
   任何「调用了高于 `minSdk 21` 且未做版本守卫的 API」都会让 `assembleRelease` 直接失败。
diff --git a/app/build.gradle b/app/build.gradle
index bd90d08..645448c 100644
--- a/app/build.gradle
+++ b/app/build.gradle
@@ -11,8 +11,8 @@ android {
         applicationId "com.local.ktv"
         minSdk 21
         targetSdk 25
-        versionCode 25
-        versionName "1.4.5"
+        versionCode 26
+        versionName "1.4.6"
         ndk {
             // 双 ABI 打包:兼容 64 位(Exynos 1580 等 arm64-v8a)与 32 位设备(极米 Play 超越版
             // 的 Amlogic 950X2/S905X2 采用 32 位 Android 用户态,必须包含 armeabi-v7a,否则
diff --git a/app/src/main/java/com/local/ktv/KtvJsBridge.kt b/app/src/main/java/com/local/ktv/KtvJsBridge.kt
index 02e438d..6dbdc21 100644
--- a/app/src/main/java/com/local/ktv/KtvJsBridge.kt
+++ b/app/src/main/java/com/local/ktv/KtvJsBridge.kt
@@ -330,12 +330,32 @@ class KtvJsBridge(context: Context) {
 
     private fun wrapHtml(script: String): String {
         val escaped = script.replace("</script", "<\\/script", ignoreCase = true)
-        return "<!doctype html><html><head><meta charset=\"utf-8\"></head><body><script>$escaped</script></body></html>"
+        // console.log 桥接：ktv_api.js 的 _log()/_log 细节（Try source / Token FAIL / do.php code=
+        // 等）原本只进 WebView 控制台，远程日志里完全看不到，点歌失败无从定位。
+        // 这里把它转发到 android.log → MiliLog，并保留原始 console 行为。
+        val consoleBridge = """
+            (function(){
+              try {
+                var orig = console.log;
+                console.log = function(){
+                  try { android.log(Array.prototype.map.call(arguments, String).join(' ')); } catch(e) {}
+                  if (orig) { try { orig.apply(console, arguments); } catch(e) {} }
+                };
+              } catch(e) {}
+            })();
+        """.trimIndent()
+        return "<!doctype html><html><head><meta charset=\"utf-8\"></head><body><script>$consoleBridge</script>" +
+            "<script>$escaped</script></body></html>"
     }
 
     inner class NativeBridge {
         @JavascriptInterface
-        fun log(message: String) = Log.d(TAG, message)
+        fun log(message: String) {
+            Log.d(TAG, message)
+            // 把 JS 侧日志接进远程日志：歌曲源解析（token/do.php/多源排序）的失败原因
+            // 以前只走 console.log，现场完全看不到。加上前缀便于检索与过滤。
+            runCatching { MiliLog.info("JS ${message.take(180)}") }
+        }
 
         @JavascriptInterface
         fun onUrl(requestId: String, url: String) {
@@ -450,10 +470,22 @@ class KtvJsBridge(context: Context) {
                 val isHttps = url.startsWith("https://")
                 val uri = URL(url).toURI()
                 val port = if (uri.port > 0) uri.port else if (isHttps) 443 else 80
+                val connectTimeout = timeoutMs.coerceIn(1_000, 30_000)
                 socket = if (isHttps) {
-                    (SSLSocketFactory.getDefault().createSocket(uri.host, port) as SSLSocket).apply { startHandshake() }
+                    // 用 TlsCompat 的工厂（系统信任 ∪ 内置根证书）：裸 socket 走的是
+                    // SSLSocketFactory.getDefault()，不受 HttpsURLConnection 的默认工厂影响，
+                    // network_security_config 也管不到它 —— 老设备上会因缺 ISRG 新根握手失败。
+                    (TlsCompat.sslSocketFactory().createSocket() as SSLSocket).apply {
+                        connect(java.net.InetSocketAddress(uri.host, port), connectTimeout)
+                        startHandshake()
+                    }
                 } else {
-                    Socket(uri.host, port)
+                    // ⚠️ 必须显式给连接超时：原写法 `Socket(host, port)` 的连接阶段**不受**
+                    // soTimeout 约束，遇到路由黑洞会按系统 TCP 超时(约 2 分钟)干等，
+                    // 多个源叠加会把 JS 的 3 分钟预算耗光，表现为「无法生成下载地址」。
+                    Socket().apply {
+                        connect(java.net.InetSocketAddress(uri.host, port), connectTimeout)
+                    }
                 }
                 socket.soTimeout = timeoutMs.coerceIn(1_000, 30_000)
                 val path = if (uri.rawQuery != null) "${uri.rawPath}?${uri.rawQuery}" else uri.rawPath
@@ -494,6 +526,11 @@ class KtvJsBridge(context: Context) {
                 JSONObject().put("status", status).put("body", responseBody).toString()
             } catch (error: Throwable) {
                 Log.w(TAG, "raw request failed: ${error.message}")
+                // 裸 Socket 失败原因以前只在 logcat：点歌失败时远程日志里什么都看不到。
+                MiliLog.warn(
+                    "RAW-ERR $method ${runCatching { java.net.URI(url).host }.getOrNull() ?: url} " +
+                        "${error.javaClass.simpleName}: ${error.message}",
+                )
                 JSONObject().put("status", 0).put("body", "").put("error", error.message.orEmpty()).toString()
             } finally {
                 try { socket?.close() } catch (ignored: Exception) {}
diff --git a/app/src/main/java/com/local/ktv/TlsCompat.kt b/app/src/main/java/com/local/ktv/TlsCompat.kt
index fb0cabb..848515f 100644
--- a/app/src/main/java/com/local/ktv/TlsCompat.kt
+++ b/app/src/main/java/com/local/ktv/TlsCompat.kt
@@ -11,6 +11,7 @@ import java.util.concurrent.ConcurrentHashMap
 import javax.net.ssl.HttpsURLConnection
 import javax.net.ssl.SSLContext
 import javax.net.ssl.SSLException
+import javax.net.ssl.SSLSocketFactory
 import javax.net.ssl.TrustManager
 import javax.net.ssl.TrustManagerFactory
 import javax.net.ssl.X509TrustManager
@@ -47,6 +48,20 @@ object TlsCompat {
 
     @Volatile private var installed = false
 
+    /** 「系统信任 ∪ 内置根证书」的 SSLSocketFactory，供裸 Socket 通道复用。 */
+    @Volatile private var patchedFactory: SSLSocketFactory? = null
+
+    /**
+     * 给**裸 Socket** 通道用的 SSLSocketFactory。
+     *
+     * ⚠️ 必须单独提供：`HttpsURLConnection.setDefaultSSLSocketFactory` **不会**影响
+     * `SSLSocketFactory.getDefault()`，而 `KtvJsBridge.rawRequest()` 的 HTTPS 分支正是用后者
+     * （`network_security_config` 也只作用于 HttpsURLConnection / WebView，管不到裸 socket）。
+     * 未初始化时回退系统默认。
+     */
+    fun sslSocketFactory(): SSLSocketFactory =
+        patchedFactory ?: (SSLSocketFactory.getDefault() as SSLSocketFactory)
+
     /** 主机 → 是否已被增强信任库校验通过（只缓存肯定结果）。 */
     private val trustedHosts = ConcurrentHashMap<String, Boolean>()
 
@@ -63,15 +78,18 @@ object TlsCompat {
                 Log.w(TAG, "no bundled certs loaded; keep system trust only")
                 return
             }
-            if (android.os.Build.VERSION.SDK_INT >= 24) {
-                // 新系统由 network_security_config 负责，无需接管（避免多此一举）。
-                Log.i(TAG, "API>=24, network-security-config handles bundled roots")
-                return
-            }
             val composite = CompositeTrustManager(system, bundled)
             val sslContext = SSLContext.getInstance("TLS")
             sslContext.init(null, arrayOf<TrustManager>(composite), null)
-            HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.socketFactory)
+            val factory = sslContext.socketFactory as SSLSocketFactory
+            // 裸 Socket 通道始终使用它（系统信任 + 内置根证书，二者取并集）。
+            patchedFactory = factory
+            if (android.os.Build.VERSION.SDK_INT >= 24) {
+                // 新系统由 network_security_config 负责 HttpsURLConnection，无需接管默认工厂。
+                Log.i(TAG, "API>=24, keep system default for HttpsURLConnection")
+                return
+            }
+            HttpsURLConnection.setDefaultSSLSocketFactory(factory)
             Log.i(
                 TAG,
                 "legacy TLS trust installed: system(${system?.acceptedIssuers?.size ?: 0} CAs) " +