V1.5.2: 识别"源站只发广告/测试资源"的新受限形态（歌曲源全部失效的真因）
用户报"歌曲源全部失效"。逐层实测结论：**不是代码 bug，是源站对该出口 IP 的授权窗口失效**。 实测证据（本机与设备同一出口 IP 188.253.112.231，设备 LAN 192.168.100.177/.83、本机 .203）: - i.php 仍认证通过: code=200 / end_date=2026-10-05 / ordertype=0 / retry=5； - do.php 对**每一首歌**（包括不存在的编号 1111111、9999999）都返回**同一个**资源 https://wb66.cn/f/d/7b7c9/10188555.ts —— 而 wb66 正是代码里早就标注的广告/测试资源域名； - 换全新随机设备身份(mac/sn)结果相同 → 限制记在**出口 IP** 上，与设备无关； - 7 个 host × ls=1~3 × (720/1080, h265 0/1) 全组合探测：0 个返回真源； - mwsLogin 返回 authorized:true，但 license_box_count=0 / license_duration=0（无有效授权额度）。 即状态从"能用"变成了"只发广告"（此前同一身份能拿到 txog.ktvsky.com / download.origjoy.com 的真源）。 我们拒绝广告地址本身是**正确**的（否则就是 1.4.10 修过的"广告被当成歌曲播放"）， 所以用户看到的"全部失效"其实是"源站不再给真源 + 我们拒绝广告"的叠加结果。 修复（可操作化，避免用户只看到一句"无法生成下载地址"）: - SongUrlResolver 统计"全部源只返回不可信地址"这一形态，识别为授权窗口失效： · 打 SOURCE-BLOCKED 日志（含示例 url，便于远程取证）； · 调用 Eac19WindowGuard.noteRiskBlocked() → 弹「歌曲源临时受限」提示， 明确告知"额度记在出口 IP 上、换设备无效"，引导重启光猫/路由器更换公网 IP； · 进入 3 分钟冷却(BLOCKED_COOLDOWN_MS)：期间快速失败，避免继续冲击源站把限流拖更久； 拿到真源立即解除冷却。 - AdVideoFilter 的广告特征补上 wb66 / demo（与 JS 的 isDemoUrl 对齐，两条取址路径判定一致）。 - 提示文案补充"或对每首歌只返回广告/测试资源"这一新表现。 - 新增回归测试：用实测 URL https://wb66.cn/f/d/7b7c9/10188555.ts 锁住拦截行为。 - Eac19WindowGuard 文档补充两种受限形态。 现场恢复办法：更换公网出口 IP（重启光猫/路由器重拨）。已下载歌曲不受影响，可正常播放。 版本 1.5.1(33) → 1.5.2(34)；签名证书不变。测试 9 例全通过。
This commit is contained in:
zijunchiang
@@ -165,7 +165,7 @@ $BT/apksigner verify 目标名.apk
|
||||
|
||||
### 版本号
|
||||
|
||||
- `app/build.gradle`：`versionName "1.5.1"` / `versionCode 33`（18~21 被本机临时诊断包占用过）
|
||||
- `app/build.gradle`：`versionName "1.5.2"` / `versionCode 34`（18~21 被本机临时诊断包占用过）
|
||||
- App 内显示统一用纯版本号（不加 `(versionCode)` 括号）
|
||||
- ⚠️ **发布构建已开启 NewApi 闸门**（`lint { checkReleaseBuilds true; fatal += ['NewApi'] }`）：
|
||||
任何「调用了高于 `minSdk 21` 且未做版本守卫的 API」都会让 `assembleRelease` 直接失败。
|
||||
@@ -373,6 +373,23 @@ $BT/apksigner verify 目标名.apk
|
||||
窗口到期提示）、把状态栏错写成"网络已恢复"（启动瞬间就显示，用户可见）。
|
||||
初始状态**只更新断网角标**，恢复动作只在真正的 offline→online 跃迁时执行
|
||||
（2026-09-26 由现场日志 `NET-UP` 出现在 `BOOT` 之前而发现）。
|
||||
- **⚠️ 歌曲源「授权窗口失效」的两种形态（都要走 `Eac19WindowGuard`）**：
|
||||
额度**记在出口 IP 上、与设备无关**（实测换 mac/sn 无效）。
|
||||
1. 旧形态：`do.php` 返回 403「检测到异常行为」；
|
||||
2. **新形态（2026-10 实测）**：`do.php` 返回 **200，但对每一首歌（含不存在的编号如 1111111）
|
||||
都返回同一个广告/测试资源** —— 实测 `https://wb66.cn/f/d/7b7c9/10188555.ts`。
|
||||
这种"看似成功"的形态**不触发任何旧提示**，用户只看到「无法生成下载地址」，
|
||||
表现就是**「歌曲源全部失效」**。`i.php` 仍返回 `code=200 / end_date=未来 / ordertype=0`，
|
||||
`mwsLogin` 也返回 `authorized:true`（但 `license_box_count=0`/`license_duration=0`），
|
||||
所以**别把它们当成"授权正常"**。
|
||||
- 代码侧已处理：`SongUrlResolver` 统计"全部源只返回不可信地址"→ 打
|
||||
`SOURCE-BLOCKED 全部 N 个源只返回广告/测试资源（该出口 IP 授权窗口失效）示例=<url>`
|
||||
并调用 `Eac19WindowGuard.noteRiskBlocked()`（弹「歌曲源临时受限」引导重启光猫/路由器换 IP），
|
||||
同时进入 3 分钟冷却（`BLOCKED_COOLDOWN_MS`）避免继续冲击源站；拿到真源立即解除。
|
||||
- 现场处置：**更换公网出口 IP**（重启光猫/路由器重拨）即恢复；已下载的歌曲不受影响照常播。
|
||||
- ⚠️ 排查这类问题时**不要用生产身份/出口 IP 做密集探测**：源站按出口 IP 限流，
|
||||
短时间内大量 `i.php`/`do.php`（多 host × 多参数组合）会加重受限，
|
||||
把"能用"变成"只发广告"。少量、间隔式验证即可。
|
||||
⚠️ **「断网重连后再也下载不了、日志却显示歌曲源获取成功」的根因**：
|
||||
`SongApiClient.clearTokenCache()` 原本是**空实现**，JS 侧 `window.api.tokens` 与
|
||||
`_apiInitPromise` 会被一直复用；而歌曲源按「出口 IP + device」识别、试用窗口也记在出口 IP 上，
|
||||
|
||||
+2
-2
@@ -11,8 +11,8 @@ android {
|
||||
applicationId "com.local.ktv"
|
||||
minSdk 21
|
||||
targetSdk 25
|
||||
versionCode 33
|
||||
versionName "1.5.1"
|
||||
versionCode 34
|
||||
versionName "1.5.2"
|
||||
ndk {
|
||||
// 双 ABI 打包:兼容 64 位(Exynos 1580 等 arm64-v8a)与 32 位设备(极米 Play 超越版
|
||||
// 的 Amlogic 950X2/S905X2 采用 32 位 Android 用户态,必须包含 armeabi-v7a,否则
|
||||
|
||||
@@ -15,10 +15,15 @@ import android.util.Log
|
||||
object AdVideoFilter {
|
||||
private const val TAG = "AdVideoFilter"
|
||||
|
||||
/** 命中这些片段的地址视为广告视频(匹配小写)。 */
|
||||
/** 命中这些片段的地址视为广告/测试资源(匹配小写)。 */
|
||||
private val AD_MARKERS = listOf(
|
||||
"/ad_files/",
|
||||
"my_ad_video",
|
||||
// 源站 2026-10 起"授权窗口失效"时会对每首歌返回同一个测试资源
|
||||
// （实测 https://wb66.cn/f/d/7b7c9/10188555.ts）。JS 的 isDemoUrl 早就把 wb66 当
|
||||
// 测试资源，这里对齐，保证两条取址路径判定一致。
|
||||
"wb66",
|
||||
"demo",
|
||||
)
|
||||
|
||||
/**
|
||||
|
||||
@@ -3,15 +3,21 @@ package com.local.ktv
|
||||
import android.util.Log
|
||||
|
||||
/**
|
||||
* 歌曲源(w.w345.my)"试用窗口"守卫（最小版）。
|
||||
* 歌曲源"授权窗口"守卫。
|
||||
*
|
||||
* 抓包/实测结论: 歌曲源对陌生出口 IP 发放约 10 分钟试用窗口
|
||||
* (api.php: trial_times:2 × trial_duration:5), do.php 在该窗口外返回
|
||||
* 403"检测到异常行为", 换公网 IP 后立即恢复。额度记在出口 IP 上,
|
||||
* 与设备无关(同 IP 换 device 无效)。
|
||||
* (api.php: trial_times:2 × trial_duration:5)。**额度记在出口 IP 上、与设备无关**
|
||||
* （实测换设备 mac/sn 无效、换公网 IP 立即恢复）。
|
||||
*
|
||||
* 窗口失效有**两种**表现，都必须走这里：
|
||||
* 1. 旧形态：`do.php` 返回 403"检测到异常行为"（由 JS 桥调用 [noteRiskBlocked]）；
|
||||
* 2. 新形态（2026-10 实测）：`do.php` 返回 **200，但对每一首歌（含不存在的编号）
|
||||
* 都返回同一个广告/测试资源**（如 `https://wb66.cn/f/d/7b7c9/10188555.ts`）。
|
||||
* 这种"看似成功"的形态以前不触发任何提示，用户只看到"无法生成下载地址" ——
|
||||
* 现在由 `SongUrlResolver` 识别"全部源只返回广告/测试资源"后调用 [noteRiskBlocked]。
|
||||
*
|
||||
* 职责:
|
||||
* - 收到 do.php 风控 403 信号时通知 UI 弹一次提示(引导重启光猫/路由器换 IP);
|
||||
* - 通知 UI 弹一次提示(引导重启光猫/路由器换 IP);
|
||||
* - 取 URL 成功(窗口恢复)后自动复位, 下一次到期可再次提示;
|
||||
* - 全程不阻塞、不影响播放(本地已缓存歌曲照常播)。
|
||||
*/
|
||||
|
||||
@@ -527,9 +527,11 @@ class MainActivity : AppCompatActivity() {
|
||||
AlertDialog.Builder(this)
|
||||
.setTitle("歌曲源临时受限")
|
||||
.setMessage(
|
||||
"歌曲源在当前网络(公网 IP)下暂时无法获取新歌播放地址(风控/试用窗口)。\n\n" +
|
||||
"歌曲源在当前网络(公网 IP)下暂时无法获取新歌播放地址。\n\n" +
|
||||
"表现有两种：风控/试用窗口到期，或对每一首歌都只返回广告/测试资源" +
|
||||
"（额度记在出口 IP 上，换设备无效）。\n\n" +
|
||||
"解决办法：重启光猫/路由器重新拨号更换公网 IP，恢复后即可继续点歌。\n\n" +
|
||||
"已缓存的歌曲不受影响，可正常播放。",
|
||||
"已缓存/已下载的歌曲不受影响，可正常播放。",
|
||||
)
|
||||
.setPositiveButton("知道了", null)
|
||||
.create()
|
||||
|
||||
@@ -38,6 +38,13 @@ object SongUrlResolver {
|
||||
private const val VER = "2.0"
|
||||
private const val VN = "4.1.3.03281430"
|
||||
private const val TIMEOUT_MS = 8_000
|
||||
/**
|
||||
* "源站只发广告/测试资源"后的冷却时长。
|
||||
*
|
||||
* 该限制记在**出口 IP** 上、与设备无关（实测换 mac/sn 无效），源站侧是约 10 分钟的试用窗口；
|
||||
* 这里冷却 3 分钟即可（够避免继续冲击源站，又不会拖太久错过窗口恢复）。
|
||||
*/
|
||||
private const val BLOCKED_COOLDOWN_MS = 3 * 60_000L
|
||||
|
||||
private val DEFAULT_HOSTS = listOf(
|
||||
"http://w.w345.my",
|
||||
@@ -56,6 +63,9 @@ object SongUrlResolver {
|
||||
|
||||
@Volatile private var sn: String = KtvJsBridge.DEVICE_SN
|
||||
|
||||
/** 被判定为"源站只发广告/测试资源"后的冷却截止时间（0 = 未受限）。 */
|
||||
@Volatile private var blockedUntil: Long = 0L
|
||||
|
||||
/**
|
||||
* 最近一次取址命中的源 host。
|
||||
* 供 `SongApiClient.lastSongSourceHost()` 使用 —— 走原生兜底时 JS 的
|
||||
@@ -102,10 +112,22 @@ object SongUrlResolver {
|
||||
MiliLog.warn("NATIVE-SONG 未安装取址通道，跳过原生兜底")
|
||||
return null
|
||||
}
|
||||
// 已判定"源站对该出口 IP 只发广告/测试资源"时进入冷却：直接失败，
|
||||
// 既让用户立刻看到结论，也避免继续冲击源站把限流拖得更久。
|
||||
val nowMs = System.currentTimeMillis()
|
||||
if (nowMs < blockedUntil) {
|
||||
MiliLog.warn(
|
||||
"SOURCE-BLOCKED 冷却中（剩 ${(blockedUntil - nowMs) / 1000}s）跳过取址 编号=$musicno",
|
||||
)
|
||||
return null
|
||||
}
|
||||
val mac = runCatching { DeviceMac.effective() }.getOrDefault(sn)
|
||||
val startedAt = System.currentTimeMillis()
|
||||
val hosts = synchronized(hostOrder) { hostOrder.toList() }
|
||||
var lastDetail = "no-source"
|
||||
var adOnlyCount = 0 // 返回了地址但被判为广告/测试资源的源数
|
||||
var otherFailCount = 0 // token 失败 / 无地址 / 网络异常的源数
|
||||
var adSample = ""
|
||||
|
||||
for ((index, host) in hosts.withIndex()) {
|
||||
val token = runCatching { fetchToken(channel, host, mac) }.getOrElse {
|
||||
@@ -114,6 +136,7 @@ object SongUrlResolver {
|
||||
}
|
||||
if (token.isNullOrEmpty()) {
|
||||
lastDetail = "token-fail"
|
||||
otherFailCount++
|
||||
demote(host)
|
||||
continue
|
||||
}
|
||||
@@ -125,6 +148,7 @@ object SongUrlResolver {
|
||||
if (!url.isNullOrEmpty() && isValidSongUrl(url, musicno)) {
|
||||
promote(host)
|
||||
lastHost = host
|
||||
blockedUntil = 0L // 拿到真源 → 立刻解除冷却
|
||||
val elapsed = System.currentTimeMillis() - startedAt
|
||||
val urlHost = runCatching { java.net.URI(url).host }.getOrNull() ?: "?"
|
||||
MiliLog.info(
|
||||
@@ -137,11 +161,30 @@ object SongUrlResolver {
|
||||
url.isNullOrEmpty() -> "no-url"
|
||||
else -> "demo-or-mismatch"
|
||||
}
|
||||
if (url.isNullOrEmpty()) {
|
||||
otherFailCount++
|
||||
} else {
|
||||
adOnlyCount++
|
||||
if (adSample.isEmpty()) adSample = url
|
||||
}
|
||||
demote(host)
|
||||
}
|
||||
|
||||
val elapsed = System.currentTimeMillis() - startedAt
|
||||
// ⚠️ 源站 2026-10 起的新受限形态：不再返回 403，而是**对每一首歌（含不存在的编号）
|
||||
// 都返回同一个广告/测试资源**（实测 https://wb66.cn/f/d/7b7c9/10188555.ts）。
|
||||
// 额度记在**出口 IP** 上，与设备身份无关（换 mac/sn 无效）—— 表现就是"歌曲源全部失效"。
|
||||
// 这里把它识别出来并接入 Eac19WindowGuard 的提示（引导重启光猫/路由器换公网 IP）。
|
||||
if (adOnlyCount > 0 && otherFailCount == 0) {
|
||||
blockedUntil = System.currentTimeMillis() + BLOCKED_COOLDOWN_MS
|
||||
MiliLog.error(
|
||||
"SOURCE-BLOCKED 全部 $adOnlyCount 个源只返回广告/测试资源（该出口 IP 授权窗口失效）" +
|
||||
" 编号=$musicno 示例=$adSample 用时=${elapsed}ms",
|
||||
)
|
||||
Eac19WindowGuard.noteRiskBlocked()
|
||||
} else {
|
||||
MiliLog.error("NATIVE-SONG 全部源失败 编号=$musicno 详情=$lastDetail 用时=${elapsed}ms")
|
||||
}
|
||||
return null
|
||||
}
|
||||
|
||||
|
||||
@@ -63,4 +63,18 @@ public final class AdVideoFilterTest {
|
||||
public void allowsNonTsUrlWithoutAdMarkers() {
|
||||
assertTrue(AdVideoFilter.isTrustedSongUrl("http://cdn.example.com/path/stream?token=abc", "7303235"));
|
||||
}
|
||||
|
||||
/**
|
||||
* 2026-10 实测：源站授权窗口失效时**不再返回 403**，而是对每一首歌（含不存在的编号，
|
||||
* 如 1111111/9999999）都返回同一个测试资源 `https://wb66.cn/f/d/7b7c9/10188555.ts`。
|
||||
* 这就是用户报的「歌曲源全部失效」的真实来源，必须拦下（否则广告会被当成歌曲下载播放）。
|
||||
*/
|
||||
@Test
|
||||
public void rejectsDemoResourceFromExhaustedWindow() {
|
||||
assertFalse(AdVideoFilter.isTrustedSongUrl(
|
||||
"https://wb66.cn/f/d/7b7c9/10188555.ts", "7303235"));
|
||||
// 即使该资源被伪装成"正好等于点歌编号"，wb66 域名特征也必须拦下
|
||||
assertFalse(AdVideoFilter.isTrustedSongUrl(
|
||||
"https://wb66.cn/f/d/7b7c9/7303235.ts", "7303235"));
|
||||
}
|
||||
}
|
||||
|
||||
Reference in New Issue
Block a user