 zijunchiang
|
3b75717c81
|
V1.5.2: 识别"源站只发广告/测试资源"的新受限形态（歌曲源全部失效的真因）
用户报"歌曲源全部失效"。逐层实测结论：**不是代码 bug，是源站对该出口 IP 的授权窗口失效**。
实测证据（本机与设备同一出口 IP 188.253.112.231，设备 LAN 192.168.100.177/.83、本机 .203）:
- i.php 仍认证通过: code=200 / end_date=2026-10-05 / ordertype=0 / retry=5；
- do.php 对**每一首歌**（包括不存在的编号 1111111、9999999）都返回**同一个**资源
https://wb66.cn/f/d/7b7c9/10188555.ts —— 而 wb66 正是代码里早就标注的广告/测试资源域名；
- 换全新随机设备身份(mac/sn)结果相同 → 限制记在**出口 IP** 上，与设备无关；
- 7 个 host × ls=1~3 × (720/1080, h265 0/1) 全组合探测：0 个返回真源；
- mwsLogin 返回 authorized:true，但 license_box_count=0 / license_duration=0（无有效授权额度）。
即状态从"能用"变成了"只发广告"（此前同一身份能拿到 txog.ktvsky.com / download.origjoy.com 的真源）。
我们拒绝广告地址本身是**正确**的（否则就是 1.4.10 修过的"广告被当成歌曲播放"），
所以用户看到的"全部失效"其实是"源站不再给真源 + 我们拒绝广告"的叠加结果。
修复（可操作化，避免用户只看到一句"无法生成下载地址"）:
- SongUrlResolver 统计"全部源只返回不可信地址"这一形态，识别为授权窗口失效：
· 打 SOURCE-BLOCKED 日志（含示例 url，便于远程取证）；
· 调用 Eac19WindowGuard.noteRiskBlocked() → 弹「歌曲源临时受限」提示，
明确告知"额度记在出口 IP 上、换设备无效"，引导重启光猫/路由器更换公网 IP；
· 进入 3 分钟冷却(BLOCKED_COOLDOWN_MS)：期间快速失败，避免继续冲击源站把限流拖更久；
拿到真源立即解除冷却。
- AdVideoFilter 的广告特征补上 wb66 / demo（与 JS 的 isDemoUrl 对齐，两条取址路径判定一致）。
- 提示文案补充"或对每首歌只返回广告/测试资源"这一新表现。
- 新增回归测试：用实测 URL https://wb66.cn/f/d/7b7c9/10188555.ts 锁住拦截行为。
- Eac19WindowGuard 文档补充两种受限形态。
现场恢复办法：更换公网出口 IP（重启光猫/路由器重拨）。已下载歌曲不受影响，可正常播放。
版本 1.5.1(33) → 1.5.2(34)；签名证书不变。测试 9 例全通过。
|
2026-10-03 20:10:57 +08:00 |
|
|
zijunchiang
|
669766ba60
|
V1.4.10: 修复广告过滤失效（gz.ac16.vip 广告被当成歌曲下载播放）
现场事故（新设备 SM-S9180 / Android 16，WebView 正常 → 走 JS 取址）:
277 JS [KtvApi] URL OK: 7303235 ls=1 via http://w.w345.my
278 点歌编号=7303235 标题=情歌(HD) 请求源=http://w.w345.my 状态=成功 urlHost=gz.ac16.vip
279 PLAY id=7303235 title=情歌(HD) src=local
即 gz.ac16.vip 的广告视频被当成歌曲下载、缓存并播放。
三处漏洞叠加:
1. ktv_api.js 的 isDemoUrl 不认识广告域名；且"ts 文件名与编号比对"用的是
/\/(\d+)\.ts/，只匹配纯数字名 —— my_ad_video.ts 这类非数字名字直接放行；
2. SongOkDownloadManager.buildDownloadUrl 的**成功分支完全没有广告校验**
（AdVideoFilter.isAdVideo 全项目只在"缓存地址"与"原生解析"两处被调用）；
3. SongApiClient.fetchFromDb 只做 isLikelyDemoUrl（纯 IP / r2.dev），挡不住广告域名。
且**内容校验挡不住广告**: 该广告通过 SongFileValidator（≥6MB/≥60s/TS 包完整），
被 isDownloaded() 一直复用，广告会反复播。
修复（单一闸门，全链路把关）:
- AdVideoFilter 新增 isTrustedSongUrl(url, musicno)：非 http(s)、命中广告特征
（路径 /ad_files/、my_ad_video、**域名 *.ac16.vip**）、或 URL 里 .ts 文件名不等于
点歌编号 → 一律不可信。真源恒为 /<musicno>.ts（已实测 txog.ktvsky.com 与
download.origjoy.com 两个 CDN 域共 6 首全部相符）。
- 该闸门接入全部出入口: JS isDemoUrl（同步加固 + KTV_BRIDGE_API 8→9）、
SongUrlResolver.isValidSongUrl、SongApiClient.fetchFromDb、
以及最终兜底 SongOkDownloadManager.buildDownloadUrl（成功/缓存两条分支）。
- 判定不可信时**同时删除已落盘的歌曲文件**（purgeCachedSongFile），
否则 isDownloaded() 会一直复用那个广告文件。
- 新增 SongOkDownloadManager.purgeLegacySongCacheOnce(): 升级后一次性清理历史遗留的
可疑歌曲缓存（marker: filesDir/song_cache_purged_v1）。只是让歌曲重新下载，不动用户数据。
- 新增回归测试 AdVideoFilterTest（6 例，用日志里的真实 URL 形态，含两个真源 CDN 域）；
该测试当场抓到本修复自身的一个 bug：正则把扩展名也捕获进去导致真源被误杀，已修正。
版本 1.4.9(29) 到 1.4.10(30)；签名证书不变。
|
2026-09-26 21:17:04 +08:00 |
|
|
zijunchiang
|
0c26f6da68
|
麦动KTV: 移除Gitee数据库(改官方Muse同步), 歌曲源切w.w345.my, 远程日志+广告屏蔽
- DatabaseBootstrapper: 删除 Gitee 分片/manifest/blob 下载逻辑, 曲库只走官方 MuseDbSync
- build.gradle: 移除 GITEE_DATABASE_* 构建参数
- MainActivity: 重置数据库文案改为官方同步
- ktv_api.js: 歌曲源仅 w.w345.my, 缓存标记 7, 广告/错号资源拦截+重试
- 远程日志: 点歌记录 编号/标题/请求源/状态
|
2026-09-04 21:23:21 +08:00 |
|