From 3b75717c814823380053be3f6e6bcf275a1bbe4b Mon Sep 17 00:00:00 2001 From: zijunchiang Date: Sat, 3 Oct 2026 20:10:57 +0800 Subject: [PATCH] =?UTF-8?q?V1.5.2:=20=E8=AF=86=E5=88=AB"=E6=BA=90=E7=AB=99?= =?UTF-8?q?=E5=8F=AA=E5=8F=91=E5=B9=BF=E5=91=8A/=E6=B5=8B=E8=AF=95?= =?UTF-8?q?=E8=B5=84=E6=BA=90"=E7=9A=84=E6=96=B0=E5=8F=97=E9=99=90?= =?UTF-8?q?=E5=BD=A2=E6=80=81=EF=BC=88=E6=AD=8C=E6=9B=B2=E6=BA=90=E5=85=A8?= =?UTF-8?q?=E9=83=A8=E5=A4=B1=E6=95=88=E7=9A=84=E7=9C=9F=E5=9B=A0=EF=BC=89?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit 用户报"歌曲源全部失效"。逐层实测结论：**不是代码 bug，是源站对该出口 IP 的授权窗口失效**。 实测证据（本机与设备同一出口 IP 188.253.112.231，设备 LAN 192.168.100.177/.83、本机 .203）: - i.php 仍认证通过: code=200 / end_date=2026-10-05 / ordertype=0 / retry=5； - do.php 对**每一首歌**（包括不存在的编号 1111111、9999999）都返回**同一个**资源 https://wb66.cn/f/d/7b7c9/10188555.ts —— 而 wb66 正是代码里早就标注的广告/测试资源域名； - 换全新随机设备身份(mac/sn)结果相同 → 限制记在**出口 IP** 上，与设备无关； - 7 个 host × ls=1~3 × (720/1080, h265 0/1) 全组合探测：0 个返回真源； - mwsLogin 返回 authorized:true，但 license_box_count=0 / license_duration=0（无有效授权额度）。 即状态从"能用"变成了"只发广告"（此前同一身份能拿到 txog.ktvsky.com / download.origjoy.com 的真源）。 我们拒绝广告地址本身是**正确**的（否则就是 1.4.10 修过的"广告被当成歌曲播放"）， 所以用户看到的"全部失效"其实是"源站不再给真源 + 我们拒绝广告"的叠加结果。 修复（可操作化，避免用户只看到一句"无法生成下载地址"）: - SongUrlResolver 统计"全部源只返回不可信地址"这一形态，识别为授权窗口失效： · 打 SOURCE-BLOCKED 日志（含示例 url，便于远程取证）； · 调用 Eac19WindowGuard.noteRiskBlocked() → 弹「歌曲源临时受限」提示， 明确告知"额度记在出口 IP 上、换设备无效"，引导重启光猫/路由器更换公网 IP； · 进入 3 分钟冷却(BLOCKED_COOLDOWN_MS)：期间快速失败，避免继续冲击源站把限流拖更久； 拿到真源立即解除冷却。 - AdVideoFilter 的广告特征补上 wb66 / demo（与 JS 的 isDemoUrl 对齐，两条取址路径判定一致）。 - 提示文案补充"或对每首歌只返回广告/测试资源"这一新表现。 - 新增回归测试：用实测 URL https://wb66.cn/f/d/7b7c9/10188555.ts 锁住拦截行为。 - Eac19WindowGuard 文档补充两种受限形态。 现场恢复办法：更换公网出口 IP（重启光猫/路由器重拨）。已下载歌曲不受影响，可正常播放。 版本 1.5.1(33) → 1.5.2(34)；签名证书不变。测试 9 例全通过。 --- AGENTS.md | 19 +++++++- app/build.gradle | 4 +- .../main/java/com/local/ktv/AdVideoFilter.kt | 7 ++- .../java/com/local/ktv/Eac19WindowGuard.kt | 16 ++++--- .../main/java/com/local/ktv/MainActivity.kt | 6 ++- .../java/com/local/ktv/SongUrlResolver.kt | 45 ++++++++++++++++++- .../java/com/local/ktv/AdVideoFilterTest.java | 14 ++++++ 7 files changed, 99 insertions(+), 12 deletions(-) diff --git a/AGENTS.md b/AGENTS.md index 4bc5ba9..ffc315f 100644 --- a/AGENTS.md +++ b/AGENTS.md @@ -165,7 +165,7 @@ $BT/apksigner verify 目标名.apk ### 版本号 -- `app/build.gradle`：`versionName "1.5.1"` / `versionCode 33`（18~21 被本机临时诊断包占用过） +- `app/build.gradle`：`versionName "1.5.2"` / `versionCode 34`（18~21 被本机临时诊断包占用过） - App 内显示统一用纯版本号（不加 `(versionCode)` 括号） - ⚠️ **发布构建已开启 NewApi 闸门**（`lint { checkReleaseBuilds true; fatal += ['NewApi'] }`）： 任何「调用了高于 `minSdk 21` 且未做版本守卫的 API」都会让 `assembleRelease` 直接失败。 @@ -373,6 +373,23 @@ $BT/apksigner verify 目标名.apk 窗口到期提示）、把状态栏错写成"网络已恢复"（启动瞬间就显示，用户可见）。 初始状态**只更新断网角标**，恢复动作只在真正的 offline→online 跃迁时执行 （2026-09-26 由现场日志 `NET-UP` 出现在 `BOOT` 之前而发现）。 +- **⚠️ 歌曲源「授权窗口失效」的两种形态（都要走 `Eac19WindowGuard`）**： + 额度**记在出口 IP 上、与设备无关**（实测换 mac/sn 无效）。 + 1. 旧形态：`do.php` 返回 403「检测到异常行为」； + 2. **新形态（2026-10 实测）**：`do.php` 返回 **200，但对每一首歌（含不存在的编号如 1111111） + 都返回同一个广告/测试资源** —— 实测 `https://wb66.cn/f/d/7b7c9/10188555.ts`。 + 这种"看似成功"的形态**不触发任何旧提示**，用户只看到「无法生成下载地址」， + 表现就是**「歌曲源全部失效」**。`i.php` 仍返回 `code=200 / end_date=未来 / ordertype=0`， + `mwsLogin` 也返回 `authorized:true`（但 `license_box_count=0`/`license_duration=0`）， + 所以**别把它们当成"授权正常"**。 + - 代码侧已处理：`SongUrlResolver` 统计"全部源只返回不可信地址"→ 打 + `SOURCE-BLOCKED 全部 N 个源只返回广告/测试资源（该出口 IP 授权窗口失效）示例=` + 并调用 `Eac19WindowGuard.noteRiskBlocked()`（弹「歌曲源临时受限」引导重启光猫/路由器换 IP）， + 同时进入 3 分钟冷却（`BLOCKED_COOLDOWN_MS`）避免继续冲击源站；拿到真源立即解除。 + - 现场处置：**更换公网出口 IP**（重启光猫/路由器重拨）即恢复；已下载的歌曲不受影响照常播。 + - ⚠️ 排查这类问题时**不要用生产身份/出口 IP 做密集探测**：源站按出口 IP 限流， + 短时间内大量 `i.php`/`do.php`（多 host × 多参数组合）会加重受限， + 把"能用"变成"只发广告"。少量、间隔式验证即可。 ⚠️ **「断网重连后再也下载不了、日志却显示歌曲源获取成功」的根因**： `SongApiClient.clearTokenCache()` 原本是**空实现**，JS 侧 `window.api.tokens` 与 `_apiInitPromise` 会被一直复用；而歌曲源按「出口 IP + device」识别、试用窗口也记在出口 IP 上， diff --git a/app/build.gradle b/app/build.gradle index 2eea7d4..8ece663 100644 --- a/app/build.gradle +++ b/app/build.gradle @@ -11,8 +11,8 @@ android { applicationId "com.local.ktv" minSdk 21 targetSdk 25 - versionCode 33 - versionName "1.5.1" + versionCode 34 + versionName "1.5.2" ndk { // 双 ABI 打包:兼容 64 位(Exynos 1580 等 arm64-v8a)与 32 位设备(极米 Play 超越版 // 的 Amlogic 950X2/S905X2 采用 32 位 Android 用户态,必须包含 armeabi-v7a,否则 diff --git a/app/src/main/java/com/local/ktv/AdVideoFilter.kt b/app/src/main/java/com/local/ktv/AdVideoFilter.kt index 3b5512b..5d1ef4f 100644 --- a/app/src/main/java/com/local/ktv/AdVideoFilter.kt +++ b/app/src/main/java/com/local/ktv/AdVideoFilter.kt @@ -15,10 +15,15 @@ import android.util.Log object AdVideoFilter { private const val TAG = "AdVideoFilter" - /** 命中这些片段的地址视为广告视频(匹配小写)。 */ + /** 命中这些片段的地址视为广告/测试资源(匹配小写)。 */ private val AD_MARKERS = listOf( "/ad_files/", "my_ad_video", + // 源站 2026-10 起"授权窗口失效"时会对每首歌返回同一个测试资源 + // （实测 https://wb66.cn/f/d/7b7c9/10188555.ts）。JS 的 isDemoUrl 早就把 wb66 当 + // 测试资源，这里对齐，保证两条取址路径判定一致。 + "wb66", + "demo", ) /** diff --git a/app/src/main/java/com/local/ktv/Eac19WindowGuard.kt b/app/src/main/java/com/local/ktv/Eac19WindowGuard.kt index 9a3f023..24f0352 100644 --- a/app/src/main/java/com/local/ktv/Eac19WindowGuard.kt +++ b/app/src/main/java/com/local/ktv/Eac19WindowGuard.kt @@ -3,15 +3,21 @@ package com.local.ktv import android.util.Log /** - * 歌曲源(w.w345.my)"试用窗口"守卫（最小版）。 + * 歌曲源"授权窗口"守卫。 * * 抓包/实测结论: 歌曲源对陌生出口 IP 发放约 10 分钟试用窗口 - * (api.php: trial_times:2 × trial_duration:5), do.php 在该窗口外返回 - * 403"检测到异常行为", 换公网 IP 后立即恢复。额度记在出口 IP 上, - * 与设备无关(同 IP 换 device 无效)。 + * (api.php: trial_times:2 × trial_duration:5)。**额度记在出口 IP 上、与设备无关** + * （实测换设备 mac/sn 无效、换公网 IP 立即恢复）。 + * + * 窗口失效有**两种**表现，都必须走这里： + * 1. 旧形态：`do.php` 返回 403"检测到异常行为"（由 JS 桥调用 [noteRiskBlocked]）； + * 2. 新形态（2026-10 实测）：`do.php` 返回 **200，但对每一首歌（含不存在的编号） + * 都返回同一个广告/测试资源**（如 `https://wb66.cn/f/d/7b7c9/10188555.ts`）。 + * 这种"看似成功"的形态以前不触发任何提示，用户只看到"无法生成下载地址" —— + * 现在由 `SongUrlResolver` 识别"全部源只返回广告/测试资源"后调用 [noteRiskBlocked]。 * * 职责: - * - 收到 do.php 风控 403 信号时通知 UI 弹一次提示(引导重启光猫/路由器换 IP); + * - 通知 UI 弹一次提示(引导重启光猫/路由器换 IP); * - 取 URL 成功(窗口恢复)后自动复位, 下一次到期可再次提示; * - 全程不阻塞、不影响播放(本地已缓存歌曲照常播)。 */ diff --git a/app/src/main/java/com/local/ktv/MainActivity.kt b/app/src/main/java/com/local/ktv/MainActivity.kt index 925e9de..4afa9f7 100644 --- a/app/src/main/java/com/local/ktv/MainActivity.kt +++ b/app/src/main/java/com/local/ktv/MainActivity.kt @@ -527,9 +527,11 @@ class MainActivity : AppCompatActivity() { AlertDialog.Builder(this) .setTitle("歌曲源临时受限") .setMessage( - "歌曲源在当前网络(公网 IP)下暂时无法获取新歌播放地址(风控/试用窗口)。\n\n" + + "歌曲源在当前网络(公网 IP)下暂时无法获取新歌播放地址。\n\n" + + "表现有两种：风控/试用窗口到期，或对每一首歌都只返回广告/测试资源" + + "（额度记在出口 IP 上，换设备无效）。\n\n" + "解决办法：重启光猫/路由器重新拨号更换公网 IP，恢复后即可继续点歌。\n\n" + - "已缓存的歌曲不受影响，可正常播放。", + "已缓存/已下载的歌曲不受影响，可正常播放。", ) .setPositiveButton("知道了", null) .create() diff --git a/app/src/main/java/com/local/ktv/SongUrlResolver.kt b/app/src/main/java/com/local/ktv/SongUrlResolver.kt index ec29eeb..f5c51c0 100644 --- a/app/src/main/java/com/local/ktv/SongUrlResolver.kt +++ b/app/src/main/java/com/local/ktv/SongUrlResolver.kt @@ -38,6 +38,13 @@ object SongUrlResolver { private const val VER = "2.0" private const val VN = "4.1.3.03281430" private const val TIMEOUT_MS = 8_000 + /** + * "源站只发广告/测试资源"后的冷却时长。 + * + * 该限制记在**出口 IP** 上、与设备无关（实测换 mac/sn 无效），源站侧是约 10 分钟的试用窗口； + * 这里冷却 3 分钟即可（够避免继续冲击源站，又不会拖太久错过窗口恢复）。 + */ + private const val BLOCKED_COOLDOWN_MS = 3 * 60_000L private val DEFAULT_HOSTS = listOf( "http://w.w345.my", @@ -56,6 +63,9 @@ object SongUrlResolver { @Volatile private var sn: String = KtvJsBridge.DEVICE_SN + /** 被判定为"源站只发广告/测试资源"后的冷却截止时间（0 = 未受限）。 */ + @Volatile private var blockedUntil: Long = 0L + /** * 最近一次取址命中的源 host。 * 供 `SongApiClient.lastSongSourceHost()` 使用 —— 走原生兜底时 JS 的 @@ -102,10 +112,22 @@ object SongUrlResolver { MiliLog.warn("NATIVE-SONG 未安装取址通道，跳过原生兜底") return null } + // 已判定"源站对该出口 IP 只发广告/测试资源"时进入冷却：直接失败， + // 既让用户立刻看到结论，也避免继续冲击源站把限流拖得更久。 + val nowMs = System.currentTimeMillis() + if (nowMs < blockedUntil) { + MiliLog.warn( + "SOURCE-BLOCKED 冷却中（剩 ${(blockedUntil - nowMs) / 1000}s）跳过取址 编号=$musicno", + ) + return null + } val mac = runCatching { DeviceMac.effective() }.getOrDefault(sn) val startedAt = System.currentTimeMillis() val hosts = synchronized(hostOrder) { hostOrder.toList() } var lastDetail = "no-source" + var adOnlyCount = 0 // 返回了地址但被判为广告/测试资源的源数 + var otherFailCount = 0 // token 失败 / 无地址 / 网络异常的源数 + var adSample = "" for ((index, host) in hosts.withIndex()) { val token = runCatching { fetchToken(channel, host, mac) }.getOrElse { @@ -114,6 +136,7 @@ object SongUrlResolver { } if (token.isNullOrEmpty()) { lastDetail = "token-fail" + otherFailCount++ demote(host) continue } @@ -125,6 +148,7 @@ object SongUrlResolver { if (!url.isNullOrEmpty() && isValidSongUrl(url, musicno)) { promote(host) lastHost = host + blockedUntil = 0L // 拿到真源 → 立刻解除冷却 val elapsed = System.currentTimeMillis() - startedAt val urlHost = runCatching { java.net.URI(url).host }.getOrNull() ?: "?" MiliLog.info( @@ -137,11 +161,30 @@ object SongUrlResolver { url.isNullOrEmpty() -> "no-url" else -> "demo-or-mismatch" } + if (url.isNullOrEmpty()) { + otherFailCount++ + } else { + adOnlyCount++ + if (adSample.isEmpty()) adSample = url + } demote(host) } val elapsed = System.currentTimeMillis() - startedAt - MiliLog.error("NATIVE-SONG 全部源失败 编号=$musicno 详情=$lastDetail 用时=${elapsed}ms") + // ⚠️ 源站 2026-10 起的新受限形态：不再返回 403，而是**对每一首歌（含不存在的编号） + // 都返回同一个广告/测试资源**（实测 https://wb66.cn/f/d/7b7c9/10188555.ts）。 + // 额度记在**出口 IP** 上，与设备身份无关（换 mac/sn 无效）—— 表现就是"歌曲源全部失效"。 + // 这里把它识别出来并接入 Eac19WindowGuard 的提示（引导重启光猫/路由器换公网 IP）。 + if (adOnlyCount > 0 && otherFailCount == 0) { + blockedUntil = System.currentTimeMillis() + BLOCKED_COOLDOWN_MS + MiliLog.error( + "SOURCE-BLOCKED 全部 $adOnlyCount 个源只返回广告/测试资源（该出口 IP 授权窗口失效）" + + " 编号=$musicno 示例=$adSample 用时=${elapsed}ms", + ) + Eac19WindowGuard.noteRiskBlocked() + } else { + MiliLog.error("NATIVE-SONG 全部源失败 编号=$musicno 详情=$lastDetail 用时=${elapsed}ms") + } return null } diff --git a/app/src/test/java/com/local/ktv/AdVideoFilterTest.java b/app/src/test/java/com/local/ktv/AdVideoFilterTest.java index 8725bc3..b65c3d1 100644 --- a/app/src/test/java/com/local/ktv/AdVideoFilterTest.java +++ b/app/src/test/java/com/local/ktv/AdVideoFilterTest.java @@ -63,4 +63,18 @@ public final class AdVideoFilterTest { public void allowsNonTsUrlWithoutAdMarkers() { assertTrue(AdVideoFilter.isTrustedSongUrl("http://cdn.example.com/path/stream?token=abc", "7303235")); } + + /** + * 2026-10 实测：源站授权窗口失效时**不再返回 403**，而是对每一首歌（含不存在的编号， + * 如 1111111/9999999）都返回同一个测试资源 `https://wb66.cn/f/d/7b7c9/10188555.ts`。 + * 这就是用户报的「歌曲源全部失效」的真实来源，必须拦下（否则广告会被当成歌曲下载播放）。 + */ + @Test + public void rejectsDemoResourceFromExhaustedWindow() { + assertFalse(AdVideoFilter.isTrustedSongUrl( + "https://wb66.cn/f/d/7b7c9/10188555.ts", "7303235")); + // 即使该资源被伪装成"正好等于点歌编号"，wb66 域名特征也必须拦下 + assertFalse(AdVideoFilter.isTrustedSongUrl( + "https://wb66.cn/f/d/7b7c9/7303235.ts", "7303235")); + } }