V1.5.2: 识别"源站只发广告/测试资源"的新受限形态（歌曲源全部失效的真因）

用户报"歌曲源全部失效"。逐层实测结论：**不是代码 bug，是源站对该出口 IP 的授权窗口失效**。

实测证据（本机与设备同一出口 IP 188.253.112.231，设备 LAN 192.168.100.177/.83、本机 .203）:
- i.php 仍认证通过: code=200 / end_date=2026-10-05 / ordertype=0 / retry=5；
- do.php 对**每一首歌**（包括不存在的编号 1111111、9999999）都返回**同一个**资源
  https://wb66.cn/f/d/7b7c9/10188555.ts —— 而 wb66 正是代码里早就标注的广告/测试资源域名；
- 换全新随机设备身份(mac/sn)结果相同 → 限制记在**出口 IP** 上，与设备无关；
- 7 个 host × ls=1~3 × (720/1080, h265 0/1) 全组合探测：0 个返回真源；
- mwsLogin 返回 authorized:true，但 license_box_count=0 / license_duration=0（无有效授权额度）。

即状态从"能用"变成了"只发广告"（此前同一身份能拿到 txog.ktvsky.com / download.origjoy.com 的真源）。
我们拒绝广告地址本身是**正确**的（否则就是 1.4.10 修过的"广告被当成歌曲播放"），
所以用户看到的"全部失效"其实是"源站不再给真源 + 我们拒绝广告"的叠加结果。

修复（可操作化，避免用户只看到一句"无法生成下载地址"）:
- SongUrlResolver 统计"全部源只返回不可信地址"这一形态，识别为授权窗口失效：
  · 打 SOURCE-BLOCKED 日志（含示例 url，便于远程取证）；
  · 调用 Eac19WindowGuard.noteRiskBlocked() → 弹「歌曲源临时受限」提示，
    明确告知"额度记在出口 IP 上、换设备无效"，引导重启光猫/路由器更换公网 IP；
  · 进入 3 分钟冷却(BLOCKED_COOLDOWN_MS)：期间快速失败，避免继续冲击源站把限流拖更久；
    拿到真源立即解除冷却。
- AdVideoFilter 的广告特征补上 wb66 / demo（与 JS 的 isDemoUrl 对齐，两条取址路径判定一致）。
- 提示文案补充"或对每首歌只返回广告/测试资源"这一新表现。
- 新增回归测试：用实测 URL https://wb66.cn/f/d/7b7c9/10188555.ts 锁住拦截行为。
- Eac19WindowGuard 文档补充两种受限形态。

现场恢复办法：更换公网出口 IP（重启光猫/路由器重拨）。已下载歌曲不受影响，可正常播放。

版本 1.5.1(33) → 1.5.2(34)；签名证书不变。测试 9 例全通过。

AGENTS.md

@@ -165,7 +165,7 @@ $BT/apksigner verify 目标名.apk
 
 ### 版本号
 
-- `app/build.gradle`：`versionName "1.5.1"` / `versionCode 33`（18~21 被本机临时诊断包占用过）
+- `app/build.gradle`：`versionName "1.5.2"` / `versionCode 34`（18~21 被本机临时诊断包占用过）
 - App 内显示统一用纯版本号（不加 `(versionCode)` 括号）
 - ⚠️ **发布构建已开启 NewApi 闸门**（`lint { checkReleaseBuilds true; fatal += ['NewApi'] }`）：
   任何「调用了高于 `minSdk 21` 且未做版本守卫的 API」都会让 `assembleRelease` 直接失败。
@@ -373,6 +373,23 @@ $BT/apksigner verify 目标名.apk
     窗口到期提示）、把状态栏错写成"网络已恢复"（启动瞬间就显示，用户可见）。
     初始状态**只更新断网角标**，恢复动作只在真正的 offline→online 跃迁时执行
     （2026-09-26 由现场日志 `NET-UP` 出现在 `BOOT` 之前而发现）。
+- **⚠️ 歌曲源「授权窗口失效」的两种形态（都要走 `Eac19WindowGuard`）**：
+  额度**记在出口 IP 上、与设备无关**（实测换 mac/sn 无效）。
+  1. 旧形态：`do.php` 返回 403「检测到异常行为」；
+  2. **新形态（2026-10 实测）**：`do.php` 返回 **200，但对每一首歌（含不存在的编号如 1111111）
+     都返回同一个广告/测试资源** —— 实测 `https://wb66.cn/f/d/7b7c9/10188555.ts`。
+     这种"看似成功"的形态**不触发任何旧提示**，用户只看到「无法生成下载地址」，
+     表现就是**「歌曲源全部失效」**。`i.php` 仍返回 `code=200 / end_date=未来 / ordertype=0`，
+     `mwsLogin` 也返回 `authorized:true`（但 `license_box_count=0`/`license_duration=0`），
+     所以**别把它们当成"授权正常"**。
+  - 代码侧已处理：`SongUrlResolver` 统计"全部源只返回不可信地址"→ 打
+    `SOURCE-BLOCKED 全部 N 个源只返回广告/测试资源（该出口 IP 授权窗口失效）示例=<url>`
+    并调用 `Eac19WindowGuard.noteRiskBlocked()`（弹「歌曲源临时受限」引导重启光猫/路由器换 IP），
+    同时进入 3 分钟冷却（`BLOCKED_COOLDOWN_MS`）避免继续冲击源站；拿到真源立即解除。
+  - 现场处置：**更换公网出口 IP**（重启光猫/路由器重拨）即恢复；已下载的歌曲不受影响照常播。
+  - ⚠️ 排查这类问题时**不要用生产身份/出口 IP 做密集探测**：源站按出口 IP 限流，
+    短时间内大量 `i.php`/`do.php`（多 host × 多参数组合）会加重受限，
+    把"能用"变成"只发广告"。少量、间隔式验证即可。
   ⚠️ **「断网重连后再也下载不了、日志却显示歌曲源获取成功」的根因**：
   `SongApiClient.clearTokenCache()` 原本是**空实现**，JS 侧 `window.api.tokens` 与
   `_apiInitPromise` 会被一直复用；而歌曲源按「出口 IP + device」识别、试用窗口也记在出口 IP 上，