又开始返回为0 了

[Zz58999]

又开始返回为0 了

[ostapBender97]

тоже самое

[jijiayou]

一样

[zhengkx79-lab]

昨天qwen开杀了

[ayfl269]

缺失设备指纹令牌和浏览器指纹令牌，风控了
更新一下情况，并非风控，qwen更新了请求格式，导致请求失败

[Zz58999]

缺失设备指纹令牌和浏览器指纹令牌，风控了 更新一下情况，并非风控，qwen更新了请求格式，导致请求失败

还是返回为0呢

[ayfl269]

缺失设备指纹令牌和浏览器指纹令牌，风控了 更新一下情况，并非风控，qwen更新了请求格式，导致请求失败

还是返回为0呢

我填补了缺失的四个请求头后又可以正常用了

[Rfym21]

等勇士pr

[Fubro]

缺失设备指纹令牌和浏览器指纹令牌，风控了 更新一下情况，并非风控，qwen更新了请求格式，导致请求失败

还是返回为0呢

我填补了缺失的四个请求头后又可以正常用了

大佬赶紧pr一下

[weselow]

@ayfl269 你好,想请教一下:你提到“填补了缺失的四个请求头后又可以正常用了”,具体是哪四个请求头?是否包含 bx-ua / bx-umidtoken?如果包含,你是怎么生成的——用无头浏览器跑 JS 拿到,还是抓包写死?现在(6 月中)还正常吗?

补充我们的排查结果,也许有帮助。用同一个账号 token 对比测试后,基本排除了请求头 / Version / 请求体格式 / cookie / 账号 token 本身 / 出口 IP:

• 真实 Chrome 浏览器请求 /api/v2/chat/completions 能正常返回内容;
• Node/axios 与普通 curl 返回空(completion_tokens=0);
• 非 Chrome TLS 指纹的 curl 请求 /api/v2/chats/new 直接拿到阿里云 WAF 拦截页(CF_APP_WAF);
• 用 curl_cffi 伪装 Chrome TLS 后,chats/new 能过,但 completions 仍返回空——只有真实浏览器能拿到内容。

看起来是阿里云 WAF 两层风控:chats/new 卡 TLS/JA3 指纹,completions 需要真实浏览器级校验(疑似依赖 JS 计算的 bx-ua / bx-umidtoken)。所以我们倾向于需要无头浏览器执行 JS 来生成这些 token。请问有没有不依赖真实浏览器就能生成 bx-ua / bx-umidtoken 的方案?谢谢!

🇷🇺 Перевод на русский

@ayfl269, подскажи: ты писал, что «добавил четыре недостающих заголовка и снова заработало» — какие именно четыре? Входят ли в них bx-ua / bx-umidtoken? Если да — как ты их генерируешь: безголовым браузером, выполняя JS, или захватил и зашил? Сейчас (середина июня) ещё работает?

Делюсь нашими находками — вдруг пригодятся. Сравнительные тесты с одним и тем же токеном аккаунта исключили заголовки / Version / формат тела / cookie / сам токен / исходящий IP:

• настоящий Chrome на /api/v2/chat/completions отдаёт ответ;
• Node/axios и обычный curl — пусто (completion_tokens=0);
• curl с не-хромовским TLS на /api/v2/chats/new получает страницу блокировки Aliyun WAF (CF_APP_WAF);
• с подделкой TLS Chrome (curl_cffi) chats/new проходит, но completions всё равно пусто — контент отдаёт только реальный браузер.

Похоже на двухуровневый анти-бот Aliyun WAF: chats/new режется по TLS/JA3, а completions требует проверки уровня настоящего браузера (видимо, bx-ua/bx-umidtoken, вычисляемые JS). Поэтому склоняемся к тому, что нужен безголовый браузер для выполнения JS и генерации этих токенов.