WorkBuddy 账号中枢（pi 全局扩展）

多账号 WorkBuddy（CodeBuddy）管理：批量签到 + 切换账号 + 限流自动换号。

纯本地运行，无遥测。账号名默认脱敏，截图/日志不会泄露昵称。

◉ 主账号                 国内版  剩 29.3 天    4035.57   今日 已签 +100
  备用号 A               国内版  剩 30.0 天    3614.74   今日 已签 +100
  备用号 B               国内版  剩 27.8 天    3561.54   今日 已签 +100
  国际号                 国际版  剩 360.8 天   0         今日 无活动

  积分合计：11211.85

安装

一个包就够了，不需要再装 provider：

pi install npm:pi-workbuddy-hub

# 或从 GitHub
pi install git:github.com/lucaslz2020/pi-workbuddy-hub

# 或本地目录
pi install ~/.pi/agent/extensions/workbuddy-hub

装完 /reload 或重开 pi，敲 /wb 看到账号列表就成功；/model 里应该已经有 workbuddy/* 和 workbuddy-global/* 两套模型。

也可以直接丢进 ~/.pi/agent/extensions/workbuddy-hub/，pi 启动时自动发现，无需 pi install。

内置 provider：本包已集成 pi-provider-workbuddy（MIT © lorlike）的全部代码， 同时注册 workbuddy（国内）与 workbuddy-global（国际）两个 provider。 provider 自带的 workbuddy.* 命令已被拦下不注册，相关能力合并到 /wb： /wb refresh（刷新模型目录）、/wb logout（清除凭据）。 归属说明见 src/provider/NOTICE.md。 如果你之前装过独立的 pi-provider-workbuddy，必须卸掉，否则同名命令会重复注册：

pi uninstall npm:pi-provider-workbuddy

同理，不要同时以本地目录和 npm 两种方式装本包——两份同名扩展会让 pi 整份跳过， 表现为「/wb 不存在」。

隐私

默认就防截图/日志泄露：

手动切换：

/wb mask full      # 真名（自己看）
/wb mask mask      # Al****99
/wb mask hash      # #1a2b3c4d

永久设置（~/.pi/agent/settings.json）：

{ "workbuddy": { "mask": "hash" } }

或环境变量 WORKBUDDY_MASK=hash。CLI 加 --no-mask 可强制真名。

优先级：环境变量 > settings.json > 默认（TTY 用 full，非 TTY 用 mask）。

它解决什么

WorkBuddy 的 provider 凭据是单槽位的：一个账号登录就覆盖上一个。于是：

• 多账号要一个个手动切
• 某个号被限流/积分用尽，只能眼睁睁看着失败

这个扩展补这两块。provider 代码内置在 src/provider/（原 pi-provider-workbuddy， MIT © lorlike），逐字保留、便于跟进上游；本包自己的代码只负责账号策略层。

自动换号（核心）

一个号不可用了就自动换下一个，下一次请求就用新账号发出。

触发规则

最后三行是重点：模型负载高、5xx、网络抖动都不是账号问题。把它们也当限流去换号，会把所有号的冷却时间白白烧掉，最后「全都限流」其实一个都没限流过。

同一号连续失败 3 次

升级成「压到明天」——说明这个号是真废了，不是偶发。成功一次就清零。

怎么接进 pi 的三个时机

pi 没有「请求失败换凭据重试」的公开接口，所以分三层挂：

切换为什么需要四步

① 写 vault（~/.pi/agent/workbuddy/workbuddy-vault/<region>/<id>.json）
② 写 provider 刷新副本（workbuddy/auth.<region>.json）
③ 写 auth.json（provider 槽位）
④ 丢 provider 的进程内凭据缓存

①②不能省：provider 的 pickBest() 让刷新副本与 vault 都排在 auth.json 之前，只改 auth.json 会被静默覆盖。 ④不能省：WorkBuddyCredentialStore 在进程内缓存解析结果，不丢的话它继续用旧 token —— 表现就是「切换成功但账号没变」，而且新号一直失败（请求其实是旧号发的）。

丢缓存走 provider 模块自己的 invalidateCredentialCache()，不再绕 ctx.modelRegistry.getRegisteredNativeProvider()：本包用 legacy 的 pi.registerProvider(id, config) 注册，条目落在 registry 的 extensionProviders 里，而 getRegisteredNativeProvider() 读的是 nativeExtensionProviders —— 对这类注册永远返回 undefined，于是那条路一直在静默空转（0.1.4 修掉）。

另外缓存会自己校对：resolve() 每次先比对磁盘上的 uid 指纹（刷新副本 + auth.json 槽位），变了就重解析。所以另一个 pi 窗口里切号、或手改了 auth.json，本进程下一次请求也会跟上。比较的是 uid 而不是 token，正常续期不会触发重读。

实测：切换后 pi -p --model workbuddy/glm-5.3 立即用新号返回。

命令

账号从哪来

三个来源，按 sha256(uin||uid) 去重：

桌面端为什么要先取密钥

macOS 的 WorkBuddy 5.3.8+ 把 accessToken / refreshToken / nickname 加密成 {"$wbEncrypted":1,"envelope":"…"}，密钥只在客户端进程内。取一次：

node bin/extract-at-rest-key.mjs

会短暂起一个带 inspector 的第二实例，调原生模块拿 atRestSecretKey，不碰正在运行的客户端、不改任何文件。取到的密钥在 ~/.workbuddy-account-hub/at-rest-key，并会与 ~/.workbuddy/keyblob 的 protectorKeyId 校验。

解密的关键是 AAD（比密钥更容易踩）：

"WB-AAD\0" + 0x01
  + len32("WBEV1") + "WBEV1"      ← 字段帧（整文件是 WBEF1）
  + len32("sym-v1") + "sym-v1"
  + u32be(1)                       ← suite
  + len32(keyId) + keyId           ← 必须带
  + 0x02 + 0x00 + 0x00

密钥派生对了、nonce/tag 都对，缺 AAD 一样 bad decrypt。密文还可能带 6 字节 WBE 帧前缀要剥掉。

加账号

1. 桌面端（零操作） — 装了并登录桌面端，/wb 自动带出来。

2. 扫码（推荐给新号）

/login workbuddy          # 国内版
/login workbuddy-global   # 国际版

provider 按账号分文件写 vault，多号扫码不互相覆盖。

3. 手贴 token — /wb add，交互式选。

签到（无人值守）

/wb auto 只在 session 内有效。每日自动跑用系统定时器：

./bin/install-launchd.sh          # 每天 09:05
./bin/install-launchd.sh 08:30

日志 ~/Library/Logs/WorkBuddy/checkin.log。

Linux/cron：

5 9 * * * /usr/bin/node ~/.pi/agent/extensions/workbuddy-hub/bin/checkin.mjs --json >> ~/wb-checkin.log 2>&1

CLI 与扩展共用同一份 runner：

node bin/checkin.mjs              # 全部签到
node bin/checkin.mjs --dry-run    # 只查状态 + 余额，不发领奖请求
node bin/checkin.mjs --json       # 机器可读（含 credits 合计）
node bin/checkin.mjs --only 主账号

退出码：0 = 全部有结论；1 = 有失败或需重登。

积分怎么算

两个不同口径的数，界面上分开写，绝不加在一起：

/wb status、/wb doctor、wb-checkin 都会现查余额（只读、不发领奖请求）。

读不到时显示 未知，并且合计行会写清楚算了几个账号（（3/4 个账号读到余额））， 下面再跟一行原因（余额没读到：上游限流（http 429））—— 读不到不等于 0 分。 网关抽动/限流/非 JSON 会先重试一次再报，所以偶发的「未知」不会反复出现。 余额查询失败不影响签到结论与退出码。

余额查询是在 /wb status 执行时现查的。写完代码后必须 /reload（或重开 pi） 才会用上新代码 —— 扩展模块在进程内缓存，不重载就还是旧实现。

签到行为

• 幂等：先查活动状态（只读）→ 活动没开或今日已签就不发领奖请求
• 按北京时间（固定 +8，不依赖系统时区库）
• 业务码是答案：1001 已签 = 成功；1002 不可参与；1003 活动已结束
• 401 单独归类：是「需重登」不是「失败」；先试 refreshToken 静默续期
• 国际版没有签到活动：workbuddy.ai 出厂关闭，照实报「无活动」

代码结构

重构后的分工：每个概念只有一份实现，模块之间单向依赖（index.ts 只接线）。

src/provider/ 保留的是协议层（provider 注册、模型目录、流式转发、DSML 恢复）。 它不再自带账号/签到/解密的副本，也不再注册任何斜杠命令。

职责划分

只有一个命令入口：/wb。

已知边界

• 同区域只能挂一个号：pi 的 provider 凭据是单槽位。想 4 个号同时出现在模型选择器里，需要 provider 插件支持多 profile（注册 workbuddy:account-a 之类独立 id），不在本扩展范围。
• 自动换号后的重试时机：pi 自身对错误消息有自动重试（retry.maxRetries 默认 3），换号后通常下一次重试就用新号。但 pi 对 401/额度类错误可能不重试，此时需要你手动再发一次（换号已经生效了）。
• 改 auth.json 前会备份成 auth.json.bak-<时间戳>。

开发

npm test        # 类型检查 + bin 语法检查 + 单元测试（CI 与 prepublishOnly 都跑这个）
npm run unittest # 只跑 test/*.test.mjs
npm run tidy    # 发布前隐私自检（本地手动跑）

bin/tidy.mjs 只存本地、不进仓库：它的 DENY 清单里写着作者本人的标识原文， 提交或发包都会把这些标识公开。发布前记得在本地跑一遍，红了就先清再打 tag。

类型检查（需要 pi 的两个 peer 依赖，本地没装的话临时链一下）：

npx -p typescript@5 tsc -p tsconfig.check.json --noEmit

安全

• 凭据只在本机流转，无遥测，不经第三方服务器
• 桌面端凭据只读
• 日志与诊断只打来源路径和到期天数，不打 token
• failover.json 只存状态/原因/计数，不存凭据

License

MIT