Two seams from the architecture review: classified upstream failures + one gate for every agent turn

src/utils/request.js

@@ -10,7 +10,8 @@ const { uploadAgentContextFile, buildChatFileDescriptor } = require('./upload.js
 const { buildRequestHeaders } = require('./header-profile')
 const {
     ContextExternalizationError, isTransportInterruption, assertChatChallengeBreakerClosed,
-    bindChatChallengeContext, chatChallengeFrom, isWafChallengeError, releaseChatProbe
+    bindChatChallengeContext, chatChallengeFrom, isWafChallengeError, releaseChatProbe,
+    describeUpstreamFailure, unclassifiedFailure
 } = require('./upstream-error.js')
 const { contextPrefixCache, prefixMatches, canonicalHistoryHash } = require('./context-prefix-cache.js')
 const {
@@ -695,7 +696,9 @@ const sendChatRequest = async (body, options = {}) => {
         return {
             status: false,
             response: null,
-            message: reason
+            message: reason,
+            // Fallo local de configuracion, no del cliente: reintentar mas tarde es lo correcto.
+            failure: unclassifiedFailure(503)
         }
     }
 
@@ -743,7 +746,10 @@ const postChatRequest = async (body, options, currentAccount, currentToken, brea
         return {
             status: false,
             response: null,
-            message: '无法创建或续接 Qwen 会话'
+            message: '无法创建或续接 Qwen 会话',
+            // Upstream opaco: los challenges ya se lanzan antes de llegar aqui, asi que esto
+            // no es "vuelve en un rato" sino "el upstream contesto algo que no entendemos".
+            failure: unclassifiedFailure(502)
         }
     }
     // 浏览器 referer 为 /c/<chat_id>（在 chat_id 生成后动态设置）
@@ -840,10 +846,23 @@ const postChatRequest = async (body, options, currentAccount, currentToken, brea
         }
     }
 
+    // El veredicto sale con el fallo: los llamadores no tienen que volver a deducir el
+    // significado de un booleano. Sin respuesta HTTP no hay veredicto que leer — el
+    // transporte se cayo, y eso es reintentable (503). Con respuesta, decide el clasificador
+    // (429 del upstream o 502 opaco).
+    const failure = lastError?.response
+        ? describeUpstreamFailure(lastError, 502, 503)
+        : unclassifiedFailure(503)
+
     // 所有尝试失败 — 分类错误
     if (lastError && currentAccount?.email) {
         const hadHttpResponse = !!lastError.response
-        if (!hadHttpResponse && isRetryableNetworkError(lastError)) {
+        if (failure.rateLimited) {
+            // La misma pared que el canal de payload, por el otro canal: la cuenta queda en
+            // cuota agotada (cooldown por defecto si el upstream no dijo cuanto esperar).
+            logger.error(`发送聊天请求失败: 账户额度已耗尽`, 'REQUEST', '', lastError.message)
+            accountManager.recordAccountQuotaExhausted(currentAccount.email, failure.retryAfter)
+        } else if (!hadHttpResponse && isRetryableNetworkError(lastError)) {
             // 传输层失败耗尽重试——记 failure，累计可触发 cooldown（PR #112 语义）
             logger.error(
                 `聊天请求传输失败 (已尝试 ${totalAttempts} 次): ${lastError.message}`,
@@ -856,7 +875,10 @@ const postChatRequest = async (body, options, currentAccount, currentToken, brea
             )
             accountManager.recordAccountFailure(currentAccount.email, lastError.code)
         } else {
-            // HTTP 4xx/5xx (上游主动拒绝, 账户有效) — 仅刷新 warn 指示, 不影响 cooldown
+            // HTTP 4xx/5xx (上游主动拒绝, 账户有效) — 仅刷新 warn 指示, 不影响 cooldown。
+            // Excepción deliberada y registrada: el 429, que cae en la rama de cuota agotada
+            // de arriba y sí enfría la cuenta — con el cooldown por defecto cuando el cuerpo
+            // no trae espera.
             const status = lastError.response?.status
             logger.error('发送聊天请求失败', 'REQUEST', '', lastError.message)
             accountManager.recordAccountError(currentAccount.email, status)
@@ -871,7 +893,8 @@ const postChatRequest = async (body, options, currentAccount, currentToken, brea
 
     return {
         status: false,
-        response: null
+        response: null,
+        failure
     }
 }
 

src/utils/upstream-error.js

@@ -118,6 +118,10 @@ const RATE_LIMIT_MESSAGE_RE = /upper limit for today|reached the upper limit|已
 const isRateLimitError = (error) => {
   if (!error || typeof error !== 'object') return false;
   if (isWafChallengeError(error)) return false;
+  // Un 429 del upstream es la cuota dicha por el otro canal: la misma pared, sin cuerpo que
+  // leer. Clasificarla aqui hace que TODOS los consumidores de este predicado la vean igual
+  // (el failover dentro de la peticion, la marca de cuenta agotada, el registro de fallos).
+  if (Number(error.response?.status) === 429) return true;
   const code = String(error.code || '').toLowerCase();
   if (code === RATE_LIMIT_CODE.toLowerCase() || code === QUOTA_LIMIT_CODE) return true;
   return RATE_LIMIT_MESSAGE_RE.test(String(error.publicMessage || error.message || ''));
@@ -192,8 +196,11 @@ const isContextAttachmentError = (error) => String(error?.code || '') === CONTEX
  */
 const rateLimitRetryAfterSeconds = (error) => {
   const hours = Number(error?.details?.waitHours);
-  if (!Number.isFinite(hours) || hours <= 0) return null;
-  return Math.ceil(hours * 3600);
+  if (Number.isFinite(hours) && hours > 0) return Math.ceil(hours * 3600);
+  // Canal HTTP: un 429 puede traer la espera como cabecera. Solo segundos — una fecha HTTP
+  // no se interpreta, porque no hay caso medido que la produzca.
+  const header = Number(error?.response?.headers?.['retry-after']);
+  return Number.isFinite(header) && header > 0 ? Math.ceil(header) : null;
 };
 
 /**
@@ -257,6 +264,44 @@ const describeUpstreamFailure = (error, fallbackStatus = 502, overloadedStatus =
   return { rateLimited: true, overloaded: false, status: 429, retryAfter: rateLimitRetryAfterSeconds(error) };
 };
 
+/**
+ * El veredicto cuando no hay causa de upstream que leer: nadie clasifico, y el status lo
+ * elige quien conoce el caso (503 configuracion local, 502 upstream opaco). Existe para que
+ * la forma del veredicto se defina una sola vez, aqui, y no en cada sitio que la construye.
+ * @param {number} status - Status que corresponde al caso
+ * @returns {{rateLimited: boolean, overloaded: boolean, status: number, retryAfter: null}}
+ */
+const unclassifiedFailure = (status) => ({
+  rateLimited: false,
+  overloaded: false,
+  status,
+  retryAfter: null
+});
+
+/**
+ * Un veredicto de upstream en la forma de error de cable OpenAI. Vive aqui, junto a los
+ * constantes de los dos vocabularios, porque la usan tres sitios que no pueden depender
+ * unos de otros: el controlador de chat (via de excepcion y via de retorno) y el runtime
+ * de agente, que ya devolvia un error con status y code de este cable.
+ * @param {{rateLimited: boolean, overloaded: boolean, status: number, retryAfter: number|null}} failure
+ * @param {string} message - Mensaje para el cliente
+ * @param {string} [fallbackCode] - `code` cuando el veredicto no trae uno propio
+ * @returns {{status: number, message: string, code: string, type?: string, retry_after?: number}}
+ */
+const openAIErrorShape = (failure, message, fallbackCode = 'upstream_error') => {
+  const shape = {
+    status: failure.status,
+    message,
+    code: failure.rateLimited
+      ? RATE_LIMIT_OPENAI_TYPE
+      : (failure.overloaded ? 'upstream_unavailable' : fallbackCode)
+  };
+  if (failure.rateLimited) shape.type = RATE_LIMIT_OPENAI_TYPE;
+  else if (failure.overloaded) shape.type = 'server_error';
+  if (failure.retryAfter !== null) shape.retry_after = failure.retryAfter;
+  return shape;
+};
+
 /**
  * Denuncia la cuenta que se quedo sin cuota, para que la rotacion deje de elegirla.
  *
@@ -482,6 +527,8 @@ module.exports = {
   setChatChallengeClockForTests,
   rateLimitRetryAfterSeconds,
   describeUpstreamFailure,
+  unclassifiedFailure,
+  openAIErrorShape,
   noteRateLimitedAccount,
   ContextExternalizationError,
   isContextAttachmentError,