fix: 修复NapCat在线容器半登录态恢复

2026-06-29 08:34:54 +08:00 · 2026-06-29 08:34:54 +08:00 · 32ecf2a2bd
commit 32ecf2a2bd
parent 28506e64a0
5 changed files with 256 additions and 13 deletions
--- a/API.md
+++ b/API.md
@ -361,7 +361,7 @@ QQBot 运行态包括 NapCat 容器登录、OneBot v11 反向 WebSocket、MQTT

 账号保存支持可选 `encryptedLoginPassword`，用于 NapCat 密码登录。前端必须先通过 `/auth/password-public-key` 获取公钥并使用 RSA-OAEP 加密，不传明文 `loginPassword`；后端必须使用显式配置的 `QQBOT_ACCOUNT_SECRET_KEY`（或非默认 `ADMIN_TOKEN_SECRET`）二次加密落库，空值和公开默认值会被拒绝，不在列表/详情中返回。账号列表里的 `connectStatus` 只表示 OneBot 反向 WS；`napcat.oneBotOnline`、`napcat.containerOnline`、`napcat.webuiOnline`、`napcat.qqLoginStatus`、`napcat.qqLoginMessage` 分别表示 OneBot、容器、WebUI 和 QQ 登录态，`webuiOnline=null` 表示本次使用缓存且未重新探测 WebUI；`qqLoginMessage` 只承载真实 QQ 登录态消息，WebUI 配置缺失或请求异常只放在 `lastError`。

-扫码链路返回 `sessionId`，前端应使用 SSE 查看步骤进度，而不是等待长 HTTP 请求完成；新增账号扫码会先预留容器和临时设备身份后立即返回 pending，会话后台再启动远端 Docker 和生成二维码。`CheckLoginStatus.isLogin=true` 只表示 NapCat 登录阳性，新增账号必须继续等 `GetQQLoginInfo` 返回 `uin/selfId` 后才允许创建和绑定真实 QQ 号；短暂缺号时 `/qqbot/account/scan/status` 保持同一会话 pending 并显示正在读取 QQ 号，等待 `NAPCAT_LOGIN_SELF_ID_WAIT_MS`，不得重建容器、补 env 或从容器元数据猜号。已有账号的更新登录不会通过 Docker 重建、重启或补 env 来刷新 QQ 登录态；如果目标容器仍在线，即使 QQ 账号已离线，也会保持同一容器并通过 NapCat WebUI 依次调用 `SetQuickLogin`、`PasswordLogin`、`RefreshQRcode` / `GetQQLoginQrcode` 推进原有弹窗流程。只有 Docker 容器离线或缺失时，容器准备阶段才会创建/重建容器，并在创建时一次性注入 `ACCOUNT` 和必要登录 env；已在线的源容器不补 env。快速登录失败后，如果账号保存了登录密码，后端使用解密后的密码计算 MD5 调用 `/api/QQLogin/PasswordLogin`，不会把密码写回运行态 env，也没有成功后的 env 清理步骤；密码登录结果按 `QQBOT_NAPCAT_PASSWORD_LOGIN_WAIT_MS` / `QQBOT_NAPCAT_LOGIN_POLL_INTERVAL_MS` 轮询。准备阶段的扫码会话会持续续期，避免后台登录未完成时前端先判过期。同一账号已有 pending 更新登录会话时，重复调用 `/qqbot/account/scan/refresh` 会返回原 `sessionId`，不会再次启动 quick/password/二维码准备。若 API Pod 在准备阶段重启，持久化的 `preparingRelogin` 超过 `QQBOT_NAPCAT_RELOGIN_PREPARING_STALE_MS`（留空使用密码等待窗口加缓冲）后，`/qqbot/account/scan/status` 会自动恢复普通登录态检测，不再永久停留在“正在尝试密码登录”；`/qqbot/account/scan/events` 在进程内事件缓存丢失时会先推送当前会话快照。pending refresh 会话如果没有二维码、验证码或新设备挑战，`/qqbot/account/scan/status` 会按 `NAPCAT_LOGIN_QR_AUTO_REFRESH_COOLDOWN_MS` 冷却在同一容器自动重试 `RefreshQRcode/GetQQLoginQrcode`，避免 SSE 长时间卡在“二维码生成中”。密码登录触发 QQ 安全验证时，接口返回的 `captchaUrl` 只用于前端拉起腾讯验证码；前端必须把腾讯验证码返回的 `ticket`、`randstr`、`sid` 连同 `sessionId` 提交到 `/qqbot/account/scan/captcha/submit`，后端再代理到同一 NapCat 容器的 `/api/QQLogin/CaptchaLogin` 继续密码登录第二步。验证码和新设备验证这类真人交互态使用 `NAPCAT_LOGIN_HUMAN_VERIFY_EXPIRE_MS`（默认 15 分钟，且至少不短于普通二维码 TTL）续期；普通登录二维码仍使用 `NAPCAT_LOGIN_QR_EXPIRE_MS`。`/qqbot/account/scan/status` 遇到 NapCat 只返回“需要验证码/继续完成验证/安全验证”但不带 URL 时，会先从当前容器日志提取 `proofWaterUrl`，提取不到则保持验证码处理中而不切到二维码兜底；会话已有 `captchaUrl` 后，同类状态仍保持 `pending` 和原 `captchaUrl`。密码登录仍失败、验证码未完成、离线、账号不匹配或缺少 QQ 号时，直接通过 WebUI 二维码接口进入扫码兜底，不 reset 登录态。看门狗只做离线巡检、账号错误写入和 `super` 站内信告警，不会触发 quick/password 登录或扫码登录。
+扫码链路返回 `sessionId`，前端应使用 SSE 查看步骤进度，而不是等待长 HTTP 请求完成；新增账号扫码会先预留容器和临时设备身份后立即返回 pending，会话后台再启动远端 Docker 和生成二维码。`CheckLoginStatus.isLogin=true` 只表示 NapCat 登录阳性，新增账号必须继续等 `GetQQLoginInfo` 返回 `uin/selfId` 后才允许创建和绑定真实 QQ 号；短暂缺号时 `/qqbot/account/scan/status` 保持同一会话 pending 并显示正在读取 QQ 号，等待 `NAPCAT_LOGIN_SELF_ID_WAIT_MS`，不得重建容器、补 env 或从容器元数据猜号。已有账号的更新登录不会通过 Docker 重建、重启或补 env 来刷新 QQ 登录态；如果目标容器仍在线，即使 QQ 账号已离线，也会保持同一容器并通过 NapCat WebUI 推进原有弹窗流程。若 WebUI 明确返回 QQ 离线，API 会先调用同容器 `/api/QQLogin/RestartNapCat` 重启 NapCat worker 以重建 QQCore login service，再继续 `SetQuickLogin`、`PasswordLogin`、`RefreshQRcode` / `GetQQLoginQrcode`；这不是 Docker 容器重建/重启，设备身份、env 和 dataDir 不变，同一个更新登录 session 只消费一次 worker restart 预算，后续轮询继续刷新二维码但不得反复重启 worker。只有 Docker 容器离线或缺失时，容器准备阶段才会创建/重建容器，并在创建时一次性注入 `ACCOUNT` 和必要登录 env；已在线的源容器不补 env。快速登录失败后，如果账号保存了登录密码，后端使用解密后的密码计算 MD5 调用 `/api/QQLogin/PasswordLogin`，不会把密码写回运行态 env，也没有成功后的 env 清理步骤；密码登录结果按 `QQBOT_NAPCAT_PASSWORD_LOGIN_WAIT_MS` / `QQBOT_NAPCAT_LOGIN_POLL_INTERVAL_MS` 轮询。准备阶段的扫码会话会持续续期，避免后台登录未完成时前端先判过期。同一账号已有 pending 更新登录会话时，重复调用 `/qqbot/account/scan/refresh` 会返回原 `sessionId`，不会再次启动 quick/password/二维码准备。若 API Pod 在准备阶段重启，持久化的 `preparingRelogin` 超过 `QQBOT_NAPCAT_RELOGIN_PREPARING_STALE_MS`（留空使用密码等待窗口加缓冲）后，`/qqbot/account/scan/status` 会自动恢复普通登录态检测，不再永久停留在“正在尝试密码登录”；`/qqbot/account/scan/events` 在进程内事件缓存丢失时会先推送当前会话快照。pending refresh 会话如果没有二维码、验证码或新设备挑战，`/qqbot/account/scan/status` 会按 `NAPCAT_LOGIN_QR_AUTO_REFRESH_COOLDOWN_MS` 冷却在同一容器自动重试 `RefreshQRcode/GetQQLoginQrcode`，避免 SSE 长时间卡在“二维码生成中”。密码登录触发 QQ 安全验证时，接口返回的 `captchaUrl` 只用于前端拉起腾讯验证码；前端必须把腾讯验证码返回的 `ticket`、`randstr`、`sid` 连同 `sessionId` 提交到 `/qqbot/account/scan/captcha/submit`，后端再代理到同一 NapCat 容器的 `/api/QQLogin/CaptchaLogin` 继续密码登录第二步。验证码和新设备验证这类真人交互态使用 `NAPCAT_LOGIN_HUMAN_VERIFY_EXPIRE_MS`（默认 15 分钟，且至少不短于普通二维码 TTL）续期；普通登录二维码仍使用 `NAPCAT_LOGIN_QR_EXPIRE_MS`。`/qqbot/account/scan/status` 遇到 NapCat 只返回“需要验证码/继续完成验证/安全验证”但不带 URL 时，会先从当前容器日志提取 `proofWaterUrl`，提取不到则保持验证码处理中而不切到二维码兜底；会话已有 `captchaUrl` 后，同类状态仍保持 `pending` 和原 `captchaUrl`。密码登录仍失败、验证码未完成、离线、账号不匹配或缺少 QQ 号时，直接通过 WebUI 二维码接口进入扫码兜底，不 reset 登录态。看门狗只做离线巡检、账号错误写入和 `super` 站内信告警，不会触发 quick/password 登录或扫码登录。

 密码验证码通过后如果 NapCat 返回 `needNewDevice`，后端不会只把 `jumpUrl` 透给 Admin，而是在同一会话中继续调用 `/api/QQLogin/GetNewDeviceQRCode` 生成新设备验证二维码；`/qqbot/account/scan/status` 后续轮询会代理 `/api/QQLogin/PollNewDeviceQR`，状态映射为 `newDeviceStatus=qr-pending|scanned|confirming|verified|expired|failed`，进入确认态后再调用 `/api/QQLogin/NewDeviceLogin` 并回到密码登录完成检查。扫码会话结果新增 `newDeviceQrcode`、`newDeviceStatus`、`deviceVerifyUrl` 字段；`captchaUrl` 和 `newDeviceQrcode` 分别表示腾讯安全验证码和 QQ 新设备验证二维码，前端必须分开展示。SSE 进度文案包含快速登录、密码登录、验证码、新设备二维码、已扫码、确认中、二维码兜底、登录成功/失败。

--- a/README.md
+++ b/README.md
@ -77,7 +77,7 @@ QQBot 插件定时任务由 manifest 的 `tasks` 声明，平台持久化到 `qq

 Admin 环境总览面板使用 `ENV_DASHBOARD_*` 只读配置聚合 local-dev、NAS 线上、腾讯云和 r4se 状态。`ENV_DASHBOARD_ADMIN_LOCAL_URL` / `ENV_DASHBOARD_ADMIN_PUBLIC_URL` 只用于展示 Admin 本机与线上入口证据。HTTP 快照提供当前拓扑，后端 local/MQTT 事件总线通过 SSE 推送增量事件给 Admin；前端不直连 MQTT，也不轮询刷新。Jenkins、K8s、Tencent Cloud、Caddy、WireGuard、Mihomo/OpenClash 未配置时会显示 `unwired` 证据，不能渲染成健康假象；第一版不暴露重启、部署、迁移、容器重建、插件启停或代理切换等写操作。

-NapCat Runtime/Protocol Profile 已完成本地 API/Admin 实施，线上发布和账号闭环按 `docs/superpowers/plans/2026-06-18-qqbot-napcat-runtime-protocol-profile-implementation-plan.md` 的 Task 10 执行。当前实现覆盖运行态/协议/会话行为/历史登录事件兼容表/风险模式表，真实物理设备风格 hostname/MAC，NapCat/OneBot 配置 hash，KT `zh_CN.UTF-8` 中国桌面派生镜像资产，只读 `/qqbot/napcat/runtime/detail` 证据接口，watchdog 离线巡检告警，以及 Admin 账号页“运行态”抽屉；不绕过 QQ/Tencent 验证码、不修改 QQ/NTQQ 签名协议、不启用 privileged/host network，也不做账号级每小时/每日累计发送预算。NapCat Chinese Desktop Runtime v15 使用 KT `NapCatQQ` fork 源码构建出的 `NapCat.Shell` artifact，并在 QQ `KickedOffLine` 后重置 native login service 再请求二维码；同一次踢下线事件只消费一次 reset，明确二维码过期或扫码确认窗口失效的 QR session failure 会自动换码，其他非自动重试 QR failure 会标记下次 WebUI 登录动作先重置 native login service；v14 起还会对 QQ/NapCat/Xvfb 长期进程的 `/proc/<pid>/mountinfo` 做 PID 级遮蔽，防止 `overlay`、`/vol1/docker`、`docker-init`、`/docker/containers`、`napcat-instances` 等宿主路径泄露；v15 还修复扫码成功时 `QQLoginInfo` 晚于登录态写入造成的 QQ 号回读空窗。镜像必须先用 `scripts/napcat-desktop-cn-stage-build.mjs` staged build context，生产 `QQBOT_NAPCAT_IMAGE` 应指向验证过的 `kt-napcat-desktop-cn:desktop-cn-v15` digest。`k8s/prod/api.yaml` 保留 `desktop-cn-v15` 安全默认值；Jenkins `QQBOT_NAPCAT_IMAGE_OVERRIDE` 和 `QQBOT_NAPCAT_DESKTOP_PROFILE_VERSION_OVERRIDE` 仅在填写时通过 `kubectl set env` 推广已验证运行时镜像/profile，空值会继续使用 manifest/default env。回滚时重新运行 Jenkins 并填入上一版 digest/profile，或清空两个 override 后重新部署 manifest 默认值。
+NapCat Runtime/Protocol Profile 已完成本地 API/Admin 实施，线上发布和账号闭环按 `docs/superpowers/plans/2026-06-18-qqbot-napcat-runtime-protocol-profile-implementation-plan.md` 的 Task 10 执行。当前实现覆盖运行态/协议/会话行为/历史登录事件兼容表/风险模式表，真实物理设备风格 hostname/MAC，NapCat/OneBot 配置 hash，KT `zh_CN.UTF-8` 中国桌面派生镜像资产，只读 `/qqbot/napcat/runtime/detail` 证据接口，watchdog 离线巡检告警，以及 Admin 账号页“运行态”抽屉；不绕过 QQ/Tencent 验证码、不修改 QQ/NTQQ 签名协议、不启用 privileged/host network，也不做账号级每小时/每日累计发送预算。NapCat Chinese Desktop Runtime v15 使用 KT `NapCatQQ` fork 源码构建出的 `NapCat.Shell` artifact，并在 QQ `KickedOffLine` 后标记 native login service stale；API 在源 Docker 容器在线但 WebUI 明确 QQ 离线时会同容器调用 `RestartNapCat` 重启 NapCat worker，重建 QQCore login service 后再推进 quick/password/qrcode，不做 Docker 重建、补 env 或设备身份迁移，且同一个更新登录 session 只消费一次 worker restart 预算；v14 起还会对 QQ/NapCat/Xvfb 长期进程的 `/proc/<pid>/mountinfo` 做 PID 级遮蔽，防止 `overlay`、`/vol1/docker`、`docker-init`、`/docker/containers`、`napcat-instances` 等宿主路径泄露；v15 还修复扫码成功时 `QQLoginInfo` 晚于登录态写入造成的 QQ 号回读空窗。镜像必须先用 `scripts/napcat-desktop-cn-stage-build.mjs` staged build context，生产 `QQBOT_NAPCAT_IMAGE` 应指向验证过的 `kt-napcat-desktop-cn:desktop-cn-v15` digest。`k8s/prod/api.yaml` 保留 `desktop-cn-v15` 安全默认值；Jenkins `QQBOT_NAPCAT_IMAGE_OVERRIDE` 和 `QQBOT_NAPCAT_DESKTOP_PROFILE_VERSION_OVERRIDE` 仅在填写时通过 `kubectl set env` 推广已验证运行时镜像/profile，空值会继续使用 manifest/default env。回滚时重新运行 Jenkins 并填入上一版 digest/profile，或清空两个 override 后重新部署 manifest 默认值。

 运行时发布时，API 仓库不提交 `NapCat.Shell.zip`；生产镜像必须从 staged context 构建，`fork-artifact.json` 必须带完整 marker metadata，包括 upstream release tag/commit、fork commit、base image digest、Jenkins URL 和 artifact hashes。release evidence 里的 NapCat base image 必须用 digest pin。API Jenkins 只消费人工确认后的运行时推广参数，不自动合并上游、不自动构建隐藏镜像，也不在 override 为空时覆盖 K8s manifest 中的默认 env。

@ -178,9 +178,9 @@ API 暴露 `GET /health/runtime` 作为本地 smoke、Jenkins/K8s 和 ktWorkflow
 - QQBot 插件平台统一使用 `plugin.json` manifest 描述插件 key、版本、操作、事件、权限、运行预算和包入口；CLI 负责 create/validate/pack/install-local，后端只暴露受控 SDK 能力并通过插件维度记录安装、配置、账号绑定和运行事件。
 - Bilibili Card 是事件型内置插件：`bilibili-card.message` 只在账号绑定后监听 QQ/NapCat `share/json/xml/lightapp` 卡片或文本里的 Bilibili 链接，`b23.tv` 短链通过平台 `resolveRedirect` 受控 host 能力解析，视频信息从 Bilibili `x/web-interface/view` 获取后回复纯文本摘要。
 - QQBot 同一账号只允许一个有效 NapCat 主容器；绑定新容器时会释放旧绑定和不再共享的旧容器，机器人下线 notice、`isOnline:false` 和 NapCat 容器最新离线日志都会写入账号 `lastError`，普通群成员 kick 不属于账号离线信号；写入 `last_error` 前按 500 字符截断，后续无错误的普通断连不能清空该原因；账号列表拆开展示 OneBot、容器、WebUI 和 QQ 登录态，心跳只代表 OneBot/容器通信，不能推导 QQ 登录态；近期连接只用于避免重连瞬间被旧缓存误伤，后续仍必须以 NapCat WebUI/日志检查判断 QQ 登录态；`qqLoginMessage` 只展示 QQ 登录态消息，WebUI 配置或请求错误留在 `lastError`。
- NapCat 托管容器必须显式配置 `QQBOT_NAPCAT_IMAGE`，不要依赖 `latest` 默认镜像；生产切换镜像前先 pin 明确版本或 digest 并单账号观察。`desktop-cn-v15` 镜像从 KT `NapCatQQ` fork 的 source-built `NapCat.Shell` 构建，不再在镜像内对上游 bundle 做字符串 patch，并修复踢下线后原 native login service 不产新二维码、失败回调反复重置、非自动重试 QR failure 后下次 WebUI 登录动作不重置、QQCore 通过进程级 mountinfo 探针看到 Docker/宿主路径，以及扫码登录成功后 API 立即读不到 QQ 号的问题。
+- NapCat 托管容器必须显式配置 `QQBOT_NAPCAT_IMAGE`，不要依赖 `latest` 默认镜像；生产切换镜像前先 pin 明确版本或 digest 并单账号观察。`desktop-cn-v15` 镜像从 KT `NapCatQQ` fork 的 source-built `NapCat.Shell` 构建，不再在镜像内对上游 bundle 做字符串 patch，并修复非自动重试 QR failure 后下次 WebUI 登录动作不重置、QQCore 通过进程级 mountinfo 探针看到 Docker/宿主路径，以及扫码登录成功后 API 立即读不到 QQ 号的问题。踢下线后的半登录态不能只靠旧 native reset 兜底；源 Docker 容器在线时 API 会先同容器 `RestartNapCat` 重建 NapCat worker，再继续登录流程，同一个更新登录 session 不能反复重启 worker。
 - NapCat 账号新增/编辑支持可选 QQ 登录密码：Admin 只提交 RSA-OAEP 加密后的 `encryptedLoginPassword`，后端解密后必须用显式配置的 `QQBOT_ACCOUNT_SECRET_KEY`（或非默认 `ADMIN_TOKEN_SECRET`）二次加密保存到 `qqbot_account.napcat_login_password_secret`；空值、`change-me` 和历史公开默认值会被拒绝；列表和详情不回显密码，日志会脱敏密码字段。
- NapCat 容器为已知 `selfId` 创建/重建时会一次性注入 `ACCOUNT` 等必要 env；容器重启（崩溃/重启策略/宿主重启）可复用持久化会话，但硬踢 `登录已失效` 仍需人工登录。Admin「更新登录」不通过 Docker 重建、重启或补 env 刷新登录态：只要源容器在线，就保持同一容器并通过 NapCat WebUI `SetQuickLogin -> PasswordLogin -> RefreshQRcode/GetQQLoginQrcode` 推进原弹窗流程；只有 Docker 容器离线或缺失时，容器准备阶段才创建/重建并一次性注入 env。快速登录失败后，如果账号保存了登录密码，后端使用解密密码计算 MD5 调 `/api/QQLogin/PasswordLogin`，不会把密码写入运行态 env，也没有成功后的 env 清理步骤；密码登录按 `QQBOT_NAPCAT_PASSWORD_LOGIN_WAIT_MS` / `QQBOT_NAPCAT_LOGIN_POLL_INTERVAL_MS` 轮询结果。准备中的扫码会话会续期，重复调用更新登录会复用同一 pending `sessionId`，不会再次启动 quick/password/二维码准备。若 API Pod 在准备阶段重启，持久化的 `preparingRelogin` 超过 `QQBOT_NAPCAT_RELOGIN_PREPARING_STALE_MS` 后会自动恢复为普通状态检测。pending refresh 会话没有二维码、验证码或新设备挑战时，状态轮询会按 `NAPCAT_LOGIN_QR_AUTO_REFRESH_COOLDOWN_MS` 冷却在同一容器自动重试二维码刷新，避免 SSE 长时间停在生成中。验证码和新设备验证保持同一会话 pending：腾讯验证码结果 `ticket`/`randstr`/`sid` 通过 `/qqbot/account/scan/captcha/submit` 回交到同一容器的 `/api/QQLogin/CaptchaLogin`；状态轮询遇到验证码文案但缺少 URL 时会先从当前容器日志恢复 `proofWaterUrl`，没有 URL 也保持验证码处理中而不切到二维码兜底。扫码或密码链路拿到 NapCat 登录阳性但 QQ 号暂不可读时，会按 `NAPCAT_LOGIN_SELF_ID_WAIT_MS` 保持 pending，超过窗口才失败。密码登录仍失败、验证码未完成、离线、账号不匹配或缺少 QQ 号时，直接通过 WebUI 二维码接口进入扫码兜底，不 reset 登录态。Admin SSE 步骤顺序按实际路径为 `quick-login-*` -> `password-login-*` / `password-login-captcha` / 新设备验证 -> `qrcode/waiting-scan` -> `login-success|login-failed`；SSE 事件缓存因 Pod 重启丢失时，新订阅会收到当前会话快照。
+- NapCat 容器为已知 `selfId` 创建/重建时会一次性注入 `ACCOUNT` 等必要 env；容器重启（崩溃/重启策略/宿主重启）可复用持久化会话，但硬踢 `登录已失效` 仍需人工登录。Admin「更新登录」不通过 Docker 重建、重启或补 env 刷新登录态：只要源容器在线，就保持同一 Docker 容器；若 WebUI 明确返回 QQ 离线，会先调用同容器 `/api/QQLogin/RestartNapCat` 重启 NapCat worker，随后通过 NapCat WebUI `SetQuickLogin -> PasswordLogin -> RefreshQRcode/GetQQLoginQrcode` 推进原弹窗流程；同一个更新登录 session 只允许一次 worker restart，后续状态轮询只能继续 WebUI 登录/二维码刷新，不能反复重启 worker。只有 Docker 容器离线或缺失时，容器准备阶段才创建/重建并一次性注入 env。快速登录失败后，如果账号保存了登录密码，后端使用解密密码计算 MD5 调 `/api/QQLogin/PasswordLogin`，不会把密码写入运行态 env，也没有成功后的 env 清理步骤；密码登录按 `QQBOT_NAPCAT_PASSWORD_LOGIN_WAIT_MS` / `QQBOT_NAPCAT_LOGIN_POLL_INTERVAL_MS` 轮询结果。准备中的扫码会话会续期，重复调用更新登录会复用同一 pending `sessionId`，不会再次启动 quick/password/二维码准备。若 API Pod 在准备阶段重启，持久化的 `preparingRelogin` 超过 `QQBOT_NAPCAT_RELOGIN_PREPARING_STALE_MS` 后会自动恢复为普通状态检测。pending refresh 会话没有二维码、验证码或新设备挑战时，状态轮询会按 `NAPCAT_LOGIN_QR_AUTO_REFRESH_COOLDOWN_MS` 冷却在同一容器自动重试二维码刷新，避免 SSE 长时间停在生成中。验证码和新设备验证保持同一会话 pending：腾讯验证码结果 `ticket`/`randstr`/`sid` 通过 `/qqbot/account/scan/captcha/submit` 回交到同一容器的 `/api/QQLogin/CaptchaLogin`；状态轮询遇到验证码文案但缺少 URL 时会先从当前容器日志恢复 `proofWaterUrl`，没有 URL 也保持验证码处理中而不切到二维码兜底。扫码或密码链路拿到 NapCat 登录阳性但 QQ 号暂不可读时，会按 `NAPCAT_LOGIN_SELF_ID_WAIT_MS` 保持 pending，超过窗口才失败。密码登录仍失败、验证码未完成、离线、账号不匹配或缺少 QQ 号时，直接通过 WebUI 二维码接口进入扫码兜底，不 reset 登录态。Admin SSE 步骤顺序按实际路径为 `quick-login-*` -> `password-login-*` / `password-login-captcha` / 新设备验证 -> `qrcode/waiting-scan` -> `login-success|login-failed`；SSE 事件缓存因 Pod 重启丢失时，新订阅会收到当前会话快照。
 - NapCat 设备身份按账号持久化到 `napcat_device_identity`：同一账号重建容器会复用数据目录、`pc-<8hex>` hostname、machine-id 和实体 OUI 风格 MAC，明确排除 Docker `02:42`、QEMU/KVM `52:54:00`、VMware、Hyper-V 等虚拟化前缀；新增账号首次扫码会先用预留容器 id 创建临时设备身份并应用到第一次 Docker run，扫码成功后归属到真实账号并同步 runtime/protocol profile；Docker run 会注入 `--hostname`、`--mac-address`、只读 `/etc/machine-id`，并同步写入 QQNT Linux `machine-info`，使 `/etc/machine-id`、Docker MAC 和 QQNT 本地设备缓存保持一致。当前策略名为 `qqnt-visible-hostname-v1` / `physical-oui-mac-v1`。
 - NapCat 新设备验证走同一 scan session：`CaptchaLogin` 返回 `needNewDevice` 后，后端继续调用 `GetNewDeviceQRCode -> PollNewDeviceQR -> NewDeviceLogin`，Admin/SSE 分开展示 `captchaUrl`、`newDeviceQrcode`、已扫码、确认中、验证成功、登录成功/失败等中文进度，不把 `jumpUrl` 当作唯一完成入口。
 - NapCat 离线看门狗按 `QQBOT_NAPCAT_WATCHDOG_INTERVAL_MS`（默认 `120000`，最小 `30000`，`QQBOT_NAPCAT_WATCHDOG_ENABLED=false` 关闭）定时巡检在线账号，使掉线/被踢无需管理员打开列表页即可及时发现；检测到离线后只写入离线原因并复用 `super` 站内信告警，恢复登录必须由管理员在 Admin 手动触发「更新登录」。
--- a/src/modules/qqbot/core/contract/qqbot.types.ts
+++ b/src/modules/qqbot/core/contract/qqbot.types.ts
@ -49,6 +49,7 @@ export type NapcatQrcode = {
 };

 export type NapcatRestartOptions = {
+  processOnly?: boolean;
  waitForReady?: boolean;
 };

@ -345,6 +346,7 @@ export type QqbotLoginScanSession = {
  newDevicePullQrCodeSig?: unknown;
  newDeviceQrcode?: string;
  newDeviceStatus?: QqbotLoginNewDeviceStatus;
+  onlineSourceWorkerRestartAttempted?: boolean;
  passwordMd5?: string;
  preparingContainer?: boolean;
  preparingRelogin?: boolean;
--- a/src/modules/qqbot/napcat/application/login/qqbot-napcat-login.service.ts
+++ b/src/modules/qqbot/napcat/application/login/qqbot-napcat-login.service.ts
@ -303,7 +303,16 @@ export class QqbotNapcatLoginService {
      await this.syncSessionQqLoginStatus(session, loginStatus);
    }

-    if (loginStatus.isOffline && session.mode !== 'refresh') {
+    if (
+      loginStatus.isOffline &&
+      this.shouldRestartNapcatWorkerForOnlineRefresh(session)
+    ) {
+      loginStatus = await this.restartNapcatWorkerForOnlineRefresh(
+        session,
+        container,
+        loginStatus.loginError || 'NapCat 账号已离线，正在重启登录服务',
+      );
+    } else if (loginStatus.isOffline && session.mode !== 'refresh') {
      await this.restartNapcatForLogin(container, { waitForReady: false });
      session.lastRestartedAt = Date.now();
      return this.keepSessionPending(
@ -435,6 +444,21 @@ export class QqbotNapcatLoginService {
        );
      }

+      if (
+        status.isOffline &&
+        this.shouldRestartNapcatWorkerForOnlineRefresh(session)
+      ) {
+        status = await this.restartNapcatWorkerForOnlineRefresh(
+          session,
+          container,
+          status.loginError || 'NapCat 账号已离线，正在重启登录服务',
+        );
+        if (status.isLogin) {
+          return this.completeLogin(session, container);
+        }
+        await this.syncSessionQqLoginStatus(session, status);
+      }
+
      if (this.shouldRefreshNearlyExpiredQrcode(status)) {
        return this.refreshNearlyExpiredQrcode(session, container, status);
      }
@ -2770,6 +2794,17 @@ export class QqbotNapcatLoginService {
    container: QqbotNapcatRuntime,
  ) {
    const loginStatus = await this.getLoginStatus(container, true);
+    if (
+      loginStatus.isOffline &&
+      this.shouldRestartNapcatWorkerForOnlineRefresh(session)
+    ) {
+      await this.restartNapcatWorkerForOnlineRefresh(
+        session,
+        container,
+        loginStatus.loginError || 'NapCat 账号已离线，正在重启登录服务',
+      );
+      return false;
+    }
    if (!loginStatus.isLogin) return false;

    const loginInfo = await this.getLoginInfo(container);
@ -2888,6 +2923,50 @@ export class QqbotNapcatLoginService {
    return true;
  }

+  /**
+   * Decides whether this refresh session may spend its single same-container worker restart budget.
+   * @param session - Login refresh session; its source-container flag proves Docker is already alive and the attempt flag prevents restart storms.
+   * @returns True only before the first NapCat worker restart attempt in this online-source refresh session.
+   */
+  private shouldRestartNapcatWorkerForOnlineRefresh(
+    session: QqbotLoginScanSession,
+  ) {
+    return (
+      session.mode === 'refresh' &&
+      session.sourceContainerOnline === true &&
+      session.onlineSourceWorkerRestartAttempted !== true
+    );
+  }
+
+  /**
+   * Restarts only the NapCat worker when the Docker container is alive but QQCore login service is stale.
+   * @param session - Refresh login session that owns progress messages and retry timestamps.
+   * @param container - Current online Docker/WebUI runtime; its device identity and environment must be preserved.
+   * @param reason - Latest QQ login-state evidence shown to Admin before the worker restart.
+   * @returns Fresh WebUI login status after the worker restart completes.
+   */
+  private async restartNapcatWorkerForOnlineRefresh(
+    session: QqbotLoginScanSession,
+    container: QqbotNapcatRuntime,
+    reason: string,
+  ) {
+    session.lastRestartedAt = Date.now();
+    session.onlineSourceWorkerRestartAttempted = true;
+    session.errorMessage = reason;
+    this.persistLoginSession(session);
+    this.publishScanResultEvent(
+      session,
+      'napcat-worker-restart',
+      'processing',
+      reason,
+    );
+    await this.restartNapcatForLogin(container, {
+      processOnly: true,
+      waitForReady: true,
+    });
+    return this.getLoginStatus(container, true);
+  }
+
  /**
   * 在 NapCat WebUI 拒绝重复 quick 登录时读取真实 QQ 在线态。
   * @param session - 当前更新登录会话；成功时直接完成会话，失败时写入 fallback 进度。
@ -3438,8 +3517,9 @@ export class QqbotNapcatLoginService {
    container: QqbotNapcatRuntime,
    options: NapcatRestartOptions = {},
  ) {
-    const restartedByContainer =
-      await this.containerService.restartRuntimeContainer(container);
+    const restartedByContainer = options.processOnly
+      ? false
+      : await this.containerService.restartRuntimeContainer(container);
    if (!restartedByContainer) {
      try {
        await this.postNapcat<Record<string, any> | null>(
--- a/test/qqbot/account/qqbot-napcat-login.service.spec.ts
+++ b/test/qqbot/account/qqbot-napcat-login.service.spec.ts
@ -37,6 +37,8 @@ describe('QqbotNapcatLoginService', () => {
      passwordResult?: null | Record<string, unknown>;
      quickError?: string;
      quickResult?: null | Record<string, unknown>;
+      restartError?: string;
+      restartResult?: null | Record<string, unknown>;
    } = {},
  ) =>
    jest
@ -50,6 +52,10 @@ describe('QqbotNapcatLoginService', () => {
          if (options.passwordError) throw new Error(options.passwordError);
          return options.passwordResult ?? null;
        }
+        if (path === '/api/QQLogin/RestartNapCat') {
+          if (options.restartError) throw new Error(options.restartError);
+          return options.restartResult ?? null;
+        }
        return null;
      });

@ -278,7 +284,11 @@ describe('QqbotNapcatLoginService', () => {

  it('does not return a stale qrcode when reusing an active refresh session', async () => {
    const refreshService = new QqbotNapcatLoginService(
-      { get: jest.fn() } as unknown as ConfigService,
+      {
+        get: jest.fn((key: string) =>
+          key === 'NAPCAT_WEBUI_RESTART_DELAY_MS' ? '1' : undefined,
+        ),
+      } as unknown as ConfigService,
      {} as QqbotAccountService,
      {} as QqbotNapcatContainerService,
      new ToolsService(),
@ -1529,7 +1539,7 @@ describe('QqbotNapcatLoginService', () => {
    expect(session.qrcode).toBe('budget-qrcode');
  });

-  it('refreshes qrcode through WebUI when the source Docker container is online but QQ is offline', async () => {
+  it('restarts the NapCat worker before refreshing qrcode when source Docker is online but QQ is offline', async () => {
    const container = {
      baseUrl: 'http://127.0.0.1:6103/',
      id: 'container-online-source',
@ -1548,7 +1558,11 @@ describe('QqbotNapcatLoginService', () => {
      ensureScannedAccount: jest.fn().mockResolvedValue('account-1'),
    };
    const refreshService = new QqbotNapcatLoginService(
-      { get: jest.fn() } as unknown as ConfigService,
+      {
+        get: jest.fn((key: string) =>
+          key === 'NAPCAT_WEBUI_RESTART_DELAY_MS' ? '1' : undefined,
+        ),
+      } as unknown as ConfigService,
      accountService as unknown as QqbotAccountService,
      containerService as unknown as QqbotNapcatContainerService,
      new ToolsService(),
@ -1563,6 +1577,9 @@ describe('QqbotNapcatLoginService', () => {
      status: 'pending',
    });
    (refreshService as any).sessions.set(session.id, session);
+    jest
+      .spyOn((refreshService as any).toolsService, 'sleep')
+      .mockResolvedValue(undefined);
    jest.spyOn(refreshService as any, 'getLoginStatus').mockResolvedValue({
      isOffline: true,
      isLogin: false,
@ -1571,11 +1588,16 @@ describe('QqbotNapcatLoginService', () => {
    const refreshOrGetQrcode = jest
      .spyOn(refreshService as any, 'refreshOrGetQrcode')
      .mockResolvedValue('online-source-qrcode');
+    const postNapcat = mockWebuiLoginPost(refreshService);

    const result = await refreshService.refreshQrcode(session.id);

    expect(containerService.resetRuntimeLoginState).not.toHaveBeenCalled();
    expect(containerService.restartRuntimeContainer).not.toHaveBeenCalled();
+    expect(postNapcat).toHaveBeenCalledWith(
+      container,
+      '/api/QQLogin/RestartNapCat',
+    );
    expect(refreshOrGetQrcode).toHaveBeenCalledWith(container, false, {
      fallbackStatus: expect.objectContaining({ isOffline: true }),
      requireFresh: true,
@ -1585,6 +1607,68 @@ describe('QqbotNapcatLoginService', () => {
    expect(result.qrcode).toBe('online-source-qrcode');
  });

+  it('does not restart the NapCat worker repeatedly for the same online-source refresh session', async () => {
+    const container = {
+      baseUrl: 'http://127.0.0.1:6103/',
+      id: 'container-online-source',
+      name: 'napcat-10001',
+      sourceContainerOnline: true,
+    };
+    const containerService = {
+      ensureRuntimeLoginEnv: jest
+        .fn()
+        .mockResolvedValue({ changed: false, ok: true }),
+      findRuntimeById: jest.fn().mockResolvedValue(container),
+      resetRuntimeLoginState: jest.fn().mockResolvedValue(true),
+      restartRuntimeContainer: jest.fn().mockResolvedValue(true),
+    };
+    const accountService = {
+      ensureScannedAccount: jest.fn().mockResolvedValue('account-1'),
+    };
+    const refreshService = new QqbotNapcatLoginService(
+      {
+        get: jest.fn((key: string) =>
+          key === 'NAPCAT_WEBUI_RESTART_DELAY_MS' ? '1' : undefined,
+        ),
+      } as unknown as ConfigService,
+      accountService as unknown as QqbotAccountService,
+      containerService as unknown as QqbotNapcatContainerService,
+      new ToolsService(),
+    );
+    const session = (refreshService as any).createSession({
+      accountId: 'account-1',
+      container,
+      expectedSelfId: '10001',
+      mode: 'refresh',
+      preparingRelogin: false,
+      sourceContainerOnline: true,
+      status: 'pending',
+    });
+    (refreshService as any).sessions.set(session.id, session);
+    jest
+      .spyOn((refreshService as any).toolsService, 'sleep')
+      .mockResolvedValue(undefined);
+    jest.spyOn(refreshService as any, 'getLoginStatus').mockResolvedValue({
+      isOffline: true,
+      isLogin: false,
+      loginError: 'NapCat 账号状态变更为离线',
+    });
+    jest
+      .spyOn(refreshService as any, 'refreshOrGetQrcode')
+      .mockResolvedValue('online-source-qrcode');
+    const postNapcat = mockWebuiLoginPost(refreshService);
+
+    await refreshService.refreshQrcode(session.id);
+    await refreshService.refreshQrcode(session.id);
+
+    expect(containerService.restartRuntimeContainer).not.toHaveBeenCalled();
+    expect(
+      postNapcat.mock.calls.filter(
+        ([, path]) => path === '/api/QQLogin/RestartNapCat',
+      ),
+    ).toHaveLength(1);
+  });
+
  it('does not perform runtime env rebuild inside the refresh session', async () => {
    const container = {
      baseUrl: 'http://127.0.0.1:6103/',
@ -1683,12 +1767,13 @@ describe('QqbotNapcatLoginService', () => {
    });
    (refreshService as any).sessions.set(session.id, session);
    jest.spyOn(refreshService as any, 'getLoginStatus').mockResolvedValue({
+      isOffline: true,
      isLogin: false,
      loginError: 'Docker 容器在线但 QQ 账号离线',
    });
-    jest
-      .spyOn(refreshService as any, 'postNapcat')
-      .mockRejectedValue(new Error('快速登录未成功'));
+    const postNapcat = mockWebuiLoginPost(refreshService, {
+      quickError: '快速登录未成功',
+    });
    jest
      .spyOn(refreshService as any, 'refreshOrGetQrcode')
      .mockResolvedValue('online-source-qrcode');
@ -1699,6 +1784,10 @@ describe('QqbotNapcatLoginService', () => {
    expect(containerService.runtimeLoginEnvMatches).not.toHaveBeenCalled();
    expect(containerService.resetRuntimeLoginState).not.toHaveBeenCalled();
    expect(containerService.restartRuntimeContainer).not.toHaveBeenCalled();
+    expect(postNapcat.mock.calls.map(([, path]) => path)).toEqual([
+      '/api/QQLogin/RestartNapCat',
+      '/api/QQLogin/SetQuickLogin',
+    ]);
    expect(session.status).toBe('pending');
    expect(session.qrcode).toBe('online-source-qrcode');
  });
@ -4267,6 +4356,78 @@ describe('QqbotNapcatLoginService', () => {
    ).toEqual(expect.any(Number));
  });

+  it('restarts the NapCat worker once before status auto-refresh for a restored online-source refresh session', async () => {
+    const container = {
+      baseUrl: 'http://127.0.0.1:6106/',
+      id: 'container-status-worker-restart',
+      name: 'napcat-10001',
+      sourceContainerOnline: true,
+    };
+    const containerService = {
+      findRuntimeById: jest.fn().mockResolvedValue(container),
+      restartRuntimeContainer: jest.fn().mockResolvedValue(true),
+    };
+    const accountService = {
+      markQqLoginStatus: jest.fn().mockResolvedValue(undefined),
+    };
+    const refreshService = new QqbotNapcatLoginService(
+      {
+        get: jest.fn((key: string) =>
+          key === 'NAPCAT_WEBUI_RESTART_DELAY_MS' ? '1' : undefined,
+        ),
+      } as unknown as ConfigService,
+      accountService as unknown as QqbotAccountService,
+      containerService as unknown as QqbotNapcatContainerService,
+      new ToolsService(),
+    );
+    (refreshService as any).sessions.set('session-status-worker-restart', {
+      accountId: 'account-1',
+      containerId: container.id,
+      containerName: container.name,
+      createdAt: Date.now(),
+      errorMessage: 'NapCat 正在重新生成二维码，请稍后刷新或等待自动更新',
+      expiresAt: Date.now() + 60_000,
+      expectedSelfId: '10001',
+      id: 'session-status-worker-restart',
+      mode: 'refresh',
+      sourceContainerOnline: true,
+      status: 'pending',
+      webuiPort: 6106,
+    });
+    const loginStatus = {
+      isLogin: false,
+      isOffline: true,
+      loginError: 'NapCat 账号状态变更为离线',
+    };
+    jest
+      .spyOn(refreshService as any, 'getSessionContainer')
+      .mockResolvedValue(container);
+    jest
+      .spyOn(refreshService as any, 'getLoginStatus')
+      .mockResolvedValue(loginStatus);
+    jest
+      .spyOn(refreshService as any, 'refreshOrGetQrcode')
+      .mockResolvedValue('status-worker-restart-qrcode');
+    const postNapcat = mockWebuiLoginPost(refreshService);
+
+    const firstResult = await refreshService.status(
+      'session-status-worker-restart',
+    );
+    const secondResult = await refreshService.status(
+      'session-status-worker-restart',
+    );
+
+    expect(firstResult.status).toBe('pending');
+    expect(firstResult.qrcode).toBe('status-worker-restart-qrcode');
+    expect(secondResult.status).toBe('pending');
+    expect(containerService.restartRuntimeContainer).not.toHaveBeenCalled();
+    expect(
+      postNapcat.mock.calls.filter(
+        ([, path]) => path === '/api/QQLogin/RestartNapCat',
+      ),
+    ).toHaveLength(1);
+  });
+
  it('normalizes login status to offline when login info reports offline', async () => {
    jest
      .spyOn(service as any, 'postNapcat')