数字人直播，
一台电脑就能开。

弹幕点歌：观众点一首，主播就放一首（本版已默认开启）：
观众在直播间发「点歌 晴天」「来一首 稻香」「想听 十年」，软件会在你自己指定的 曲库目录里找歌，找到就排进队列，到点把歌唱出来。识别词是 点歌 / 点播 / 来一首 / 唱一首 / 想听，歌名就是这几个词后面的文字。
声音两条路都送：点歌混进直播内容的音频链，虚拟声卡（直播伴侣采集）和 RTMP 推流拿到的是同一份——不是只有本地听得见。
曲库放你自己账号下：直播设置 → 点歌 →「打开曲库目录」（目录不存在会自动 新建再打开）。支持 mp3 / wav / m4a / flac / ogg / aac / wma / opus； 按歌手、语种建子文件夹最多 4 层。新放进去的歌点一次「重扫曲库」或等 10 秒 就进库，不用重启。
一首歌只放一段：默认上限 30 秒（直播设置里 1–600 秒可调），音量默认 70%， 队列最多 20 首。撞上限时卡片写「已到单段上限」，不冒充「整首放完」； 切点做了淡出，不会「咔」一声硬切。
歌在唱，主播就让麦：数字人不会压着歌往下念；底乐（BGM）在歌播放期间 暂停让位（位置冻结），歌放完自动接着放——不会两路音乐同时响。 音量拖到 0 时主播照常讲话（不让麦给一段没人听得到的歌），卡片和回执 都会说清「当时静音，观众听不到」。
每首都有回执：主播用语音应一句，同时往直播间评论区贴同样的文字回评 （静音看直播的观众也能看到）。回执只念曲库里的歌名；曲库里没有、只能 照着观众原话复述的情况一律走通用句式——不把观众打的字原封不动念出来、 也不贴到公屏上（有人会往点歌里塞「加我微信」这类导流文案，念出来是主播 账号被处罚）。
排队多久说实话：回执里的「前面还有 N 首，最多约 X 秒」在真正发出 那一刻按队列真值重算，不是点歌那一刻的快照——不会出现「说还有 1 首、 其实早就在放了」。同一首被重复点，也会分清「正在放 / 马上开始 / 还在排队」。
歌坏了或被切了，点它的人会收到：解不出来、被下一首顶掉，都会口播 + 评论区通知点歌的人，写清原因和下一步；「已发出」按通道真值记账， 两个通道都没出去就不写「已发出」。
未开播时点歌不谎称「这就放」，点歌卡会如实说开播后才放。
曲库目录：中文输入法全角、复制粘贴带看不见的字符、繁体文件名都能用：
全角状态填的目录（Ｃ：＼Ｕｓｅｒｓ…）、从网页/Excel 粘来的目录（夹零宽 字符）以前会被当成「相对路径」或「目录不存在」，扫下来一首歌都没有， 卡片只说「目录不存在」。现在会自动折成半角再扫，并且只在原样不存在、 折后真存在时替换——不会偷偷改你的配置。真扫不到时诊断会点名 「含全角或不可见字符（多为复制粘贴带入）」，并把应填的半角值写出来， 点一次保存就能修正。
曲库里的中文歌名是繁体（台/港来源）时，观众打简体也点得到；反过来同样成立。 只影响「能不能找到」，卡片和回执显示仍是文件名原样。
下播即清场：下一场不会再把上一场没放完的歌接着放：
之前停播时队列和「正在放的歌」都留着：下一场同一首再点会被判「已经有了」 直接拒掉（观众点了没反应），开播时还会先把上一场那首放完，主播被旧歌顶掉 几十秒。现在下播会作废在途解码、清空队列，并让第一帧立即回落。
商品海报：讲到哪件商品，画面就换成哪件的海报：
编辑商品时可以「生成」一张海报（按商品名 / 卖点 / 价格）或「上传」自己做的图。
多件商品可以共用一张海报：只维护一份图，改一次全都换。
切到没配海报的商品时画面清空，不会拿列表里的小缩略图冒充海报 （那是给列表看的小图，贴到竖屏上只会糊）。
平台卡：不再给一个「播不出去」的平台：
创建直播弹窗里的平台卡保留，但只有真能自动开播的四家（抖音 / 快手 / 视频号 / 淘宝）可选；其余压暗并标「仅 RTMP」，卡片上写明下一步怎么用。 以前选中这些平台，界面会显示「直播中」，而观众一个都看不到。
其他：
语音引擎设置页只说真话：能用的排前面，没装的标「需另装」，没启动的标 「未启动」，接口读不到不再冒充「不可用」。
编辑器的摄像头 / 画面来源：失败给中文原因和真「重试」按钮，连点只发一次， 失败不写成成功，停止后过期的「应用」不会回写。
界面上的版本号改为实时跟随程序版本，不再写死在页面里。
底层合规：人脸检测由「仅限非商业研究」的权重换成 MIT 可商用的 YuNet。

带货短视频可以加「竖屏包装层」：名牌 / 价格卡 / 花字 / 结尾行动号召：
短视频渲染时多了一个开关 packaging。打开后，换嘴成片会再叠一层竖屏 带货包装：左上角常驻名牌（主播名 + 身份）、中段弹入价格数字卡（带原价 划线）、一句花字（如「闭眼入」）、结尾「点击下方小黄车」胶囊。
全部按成片时长自适应。口播 6 秒就只放名牌 + 结尾；10 秒以上才依次 排进价格卡和花字；放不下的元素会被跳过并写明原因（「成片 6.00s 太短： 片头到片尾之间只剩 3.50s，放不下 7.32s 的中段元素」），不硬塞不重叠。
它是 opt-in 的锦上添花，不是成片的一部分。合成失败绝不让成片作废： 基础片子照常交付，失败原因如实写在任务的 packaging.reason 里。不传这个 开关时，成片与上一版完全一致。
客户机不需要装 Node / Chrome / GSAP。四个包装元素是开发侧预渲染好的 双流 MP4（颜色流 + alpha 流），随包只有 354 KB，合成是本地 ffmpeg 一次 overlay，实测 12 秒成片 2.4 秒合成完。
新增 GET /api/v1/videos/packaging 回报包装能力真值（素材是否齐全）， 前端据此决定要不要显示那个开关——缺件时如实说缺什么，不假装可用。

资产页：模特 + 声音合成一页，选好就能预览「搭在一起说话」：
侧边栏「模特」「声音」合并成一项「资产」，内部两个页签。原来分两页， 客户得先在脑子里把「形象 × 音色」拼一次，拼完还得真开播才知道配不配—— 开播是有成本的（推流、伴侣、平台）。
先选声音，再选模特：选完音色自动跳到模特页签；底部常驻一条组合栏， 显示当前「声音 × 模特」，两个都选好才点亮「预览说话效果」。
预览是快预览，界面明写「口型未与音频对齐」：形象用该模特的底板视频 循环播放、声音由该音色真实合成，但两者不同源。真实口型以开播后的实际 渲染为准。这句声明常驻在弹窗里，不是一闪而过的提示。 > 为什么不做真口型：离线换嘴（core/offline_render.py）确实能出真口型 > MP4，实测 5.22 s 音频 → 130 帧 1080×1920、嘴部逐帧差异均值 1.927、 > 静止帧仅 7.0%，但 RTF ≈ 5（5 秒音频要算 26 秒）。做成点一下等 > 半分钟的交互，客户会以为功能坏了，所以真口型留在开播链路里。
修掉「跨站来源已拒绝」——试听、启动智能组件这类按钮报 403：
根因：Origin 白名单只写死了两个固定端口（8077 静态站 / 8000 主后端）， 而产品自身就在多个端口服务同一套前端（8000 / 8010 远程看板 / 8077 / 8123 第二实例）。浏览器对同源 POST 也发 Origin（Fetch 规范：非 GET/HEAD 一律带），于是「本机 8123 的页面 POST 到 8123 自己」被判成跨站。
日志实证：http://127.0.0.1:8010 被拒 28,410 次（远程看板轮询全废）、 http://127.0.0.1:8123 被拒 16 次（教程录制里保存工程失败）。
症状为什么难定位：只有带 body 的动作坏（试听、启动智能组件都是 POST），同页的列表/状态是 GET、同源不带 Origin，一切正常——看起来像 「随便几个按钮坏了」。
修法：本机回环（127.0.0.1 / localhost / [::1]）任意端口放行， 其余仍拒。安全边界逐条实测未放宽：恶意域名、Origin:null（file:// 直开）、 局域网他人机器、域名前缀伪装（127.0.0.1.evil.com）全部仍 403。
顺带修掉的三个真缺陷：
列表加载失败时计数徽章清不掉：失败分支写的还是合并前的旧元素 id， if (c) 直接跳过 ⇒ 卡片已经没了，徽章仍显示上一次的条目数（假绿）。
资产页 padding-right: 24px 成了死规则：合并后旧 id 不存在，这条静默 失效、内容宽差 5px，而「新增模特贴右 1433」的像素对齐全靠它。
页头按钮重复声明：按钮改由 frontend/asset-page.js 按页签声明渲染后， index.html 里的旧三颗必须删掉，否则两处各画一遍。
带货短视频「渲染失败」——成片其实是好的：
现象：POST /api/v1/videos/render 每次都停在 progress=41 判 failed， file_size_bytes=0，报「ffmpeg 编码管道中断」。但输出目录里的 mp4 203 KB / 0.843 s / 21 帧，音视频齐全、时长一致——能播，却被告知失败。
根因：-shortest 让 ffmpeg 在较短的那条流结束时就收尾退出并关闭 stdin。21 帧 = 21/25 = 0.840 s 视频，而 TTS 音轨 0.843 s，音频长 3 ms； ffmpeg 在音频播完就退出，Python 的第 21 帧正好这时写进去 ⇒ BrokenPipe。
修法：-af apad=whole_dur=<视频秒数> 把音频显式补到视频长度，两条流 等长，-shortest 不再抢跑；并把「最后一帧撞上已关闭管道、但产物已完整 落盘（>5000 B）」判为成功——以产物为准，不以管道状态为准。
同时修进度：旧实现只在 written % 25 == 0 时回调，而短文本任务只有 21~31 帧 ⇒ 进度永远停在 41%，看着像卡死。改为每帧回调。
护栏 tools/test_offline_render_encode.py 16 项，已挂 precommit； 能红证明（指向修复前字节）8 PASS / 7 FAIL。

声音质量（本轮主体：连句 / 感情 / 闷，三件事都有可测原因）：
参考音升到 24 kHz，高频带宽 +40%~+61%：四个官方音色的 ref.wav 原本是 16 kHz。LuxTTS 内部其实强制把参考音重采样到 24 kHz （zipvoice/modeling_utils.py:48 → librosa.load(audio, sr=24000)）， 所以给 16 kHz 源等于让引擎自己补零。实测输出 99.9% 截止频率： expert_04 6920→11153 Hz（+61%）、passion_02 7178→10488 Hz（+46%）、 warm_01 6819→9562 Hz（+40%）、gentle_03 6676→10108 Hz（+51%）。
「连句」修掉了可测的那部分：句间停顿占比 33%→21.5%（303 ms 封顶）， 对照竞品 qftts 的 17.9% / 340 ms 已在同一量级。停顿整形做成 tts/pause_shaper.py，默认封顶 300 ms。
「闷」的直接来源找到了：降采样缺抗混叠滤波，8~11 kHz 被折叠回 5~8 kHz。补上 scipy.signal.resample_poly 后实测 48k→16k 折叠分量 从 −14.2 dB 降到 −69.4 dB（Δ 57.3 dB）。
参考音底噪进了审计：此前五项全 PASS 的两个音色（warm_01/gentle_03） 输出底噪比另两个差 17.5 dB（−49.4 vs −66.7 dBFS）。新增第 6 项 检查，只 WARN 不 FAIL（底噪是「能听出沙沙声」而不是「不可用」）。
新增（客户能自己选引擎 / 调情感 / 开 24k 音质）：
语音引擎选择器：九个引擎全列（竞品对齐），未实装的标「未安装」、 进程没起的标「离线」，全部灰掉且不给点击入口 —— 点了切不过去的东西 不该有假入口。dummy 标「兜底（音质差）」并单独说明，不冒充正常引擎。
情感控制（IndexTTS 可选包）：八个维度滑杆，顺序全部来自后端 （不硬编码，否则客户调「开心」会出来「生气」）。合计上限如实写 80%。 不支持的引擎上一个滑杆都不画，只说清为什么。
链路采样率开关：默认仍是 16 kHz（与改造前逐字节等价），客户可点 24 kHz。保存成功 ≠ 已生效 —— 采样率是导入期常量，界面把「生效中」 和「待重启」做成两种颜色，绝不把未生效的档位画成已生效。 48 kHz 虽然后端支持，但不在界面上暴露：只验过算术前提，没跑过 完整推流回归，不能拿客户机做测试。
修复（性能：设置页一打开卡 18 秒）：
引擎探测 8.57 秒 → 2.16 秒：四个未装 sidecar 的端口每个都要等满 「1 秒超时 + 退避 + 1 秒超时」= 2.14 秒，串行就是 8.57 秒， 加上前端两次连调实测 GET /live/tts_engines 17.8 秒。 改为并行 + 5 秒 TTL 缓存后：2.16 秒 / 缓存命中 0.01 秒。 缓存会让状态最多旧 5 秒，所以接口一并透出「N 秒前探测」，不冒充实时。
修复（虚拟摄像头：画面尺寸不符时观众黑屏）：
渲染输出与目标尺寸一旦不一致，原先直接丢帧（观众侧黑屏），遥测只写 invalid frame。现在改为缩放兜底继续出帧，并单独计数 resize_fallbacks —— 缩放不是失败，不能让「画面被拉伸」和「黑屏」 在遥测上长得一样。真正救不了的帧（类型错/通道错）仍如实拒收。
修复（界面动效）：
水波纹 / 加载 / 成功对勾 / 报错抖动四件落地，接在真实保存按钮上 （成功才打勾，失败才抖，不预演）。
修复（发行链：这次差点把两天前的代码发给客户）：
发行树 F:\dist_verify\QingShan-DigitalHuman 停在 10-21，而 10-22/10-23 的全部工作一个都没进去。原因是 docs/RELEASE_FLOW.md 里写的 sync_dist.py 已经不在仓里，于是没人同步，也没人发现。 更麻烦的是清单自检只查「文件在不在」，查不出「文件在但内容是旧的」 —— 21 个文件是旧字节，其中 core/audio_config.py 干脆缺失 （server.py:603 直接 import 它 ⇒ 客户更新完启动即报错）。 现在补了同步工具 + 新增「内容过期」检查项（能红能绿已证明）。

新增（画面「说明卡」）：
把能力边界写在直播画面上：可选开一张常驻卡片，写清「已经能做 / 还做不到 / 弹幕这样发」。它不依赖模型能力，作用有四：降低观众预期 （看到「还做不到：唱歌」就不会一直点歌）、提高弹幕意图命中率、 出事时是能力公示而不是事后辩解、把内部一直强调的诚实性纪律 真正落到客户和观众眼前。默认关闭；三组清单全空时不占画面 （不画空框、不画占位）；字体缺失时直接不画，绝不把中文渲染成 ??。 逐帧成本约 3ms（帧预算 45ms）。
修复（声音设备并发导致后端硬崩溃）：
后端不再在音频驱动里崩溃：10-21 10:11 后端在 _portaudio.cp310-win_amd64.pyd 内 0xc0000005 原生崩溃，崩溃偏移落在 Pa_Initialize 的逐 HostAPI 初始化循环里——该处引用计数是裸 inc、 无锁。开播、渲染环热重连、停播三个入口会并发 Pa_Initialize/Pa_Terminate，于是「释放已 free 的 hostApi 数组、 init 继续解引用」。现在进程内只有一把锁串行构造/终止/打开/关闭 （推流热路不进锁），并加了停播代检查：热重连不会把新 sink 装回 已停止的广播器。崩溃不是理论风险——崩溃后 3.5 分钟无人自愈， 因为当时的看门狗跑的是 10 小时前的旧字节。
提醒音不再互相截断：警报音走的是另一条音频全局态 （sounddevice → libportaudio64bit.dll）。它的「当前流」是模块级 全局变量，play() 第一行就 stop() 掉上一路再建新流并改写该全局， 全文件没有线程锁。于是试听双击、两个标签页、命中提醒与试听相撞时， 后一路会把前一路截断（实测 0/8379 帧就断），前一路还会 wait() 等错流。现在同样串行化，并把播放改成同步——ok=True 只代表 真的播完了，失败如实回 ok=False + 原因（此前是 try/except: pass 吞掉）。真结局可在 /guard/status.alert_last 回读。
修复（下播收尾：报「超时」但到底关没关没人知道）：
收尾等待窗终于比收尾链长：/live/stop 等 40s，而收尾链上界是 「等锁 30s + 点结束直播约 25s + 优雅关窗 33s + 强退 27s」≈ 90s+—— 窗口比链短，收尾还在正常跑就被判 timeout，而且返回后「关没关」 既无日志也无接口可查。现在预算是单一真值（链 45s + 余量 5s = 50s）， 链会自我限时并按剩余预算钳制每一步；预算用尽如实报 deadline_exceeded + 真实剩余进程数 + 卡在哪一步，不谎报已关闭。
「点一下关播」也有预算：上一版只钳住等锁/关窗/强退，而 click_stop 内部每步仍写死硬上限，单是点一下最坏 180s+。现在它也吃 同一个 deadline，预算耗尽如实报 deadline_exceeded 而不是误报 button_not_found。
锁被占 ≠ 有东西要收尾：伴侣根本没在跑时，不再谎报 busy。
修复（看门狗比它守的服务先死）：
单个探针抛异常不再拖死整轮：此前任一探针抛一次，后面的服务 和远程看板全不检查，常驻模式下整个看门狗带 traceback 退出。 现在逐探针捕获：异常 = 状态未知 = 不健康，且不重复拉起 （可能正在跑）；后续服务照常检查。
主循环兜底：探针之外的路径（打印、建日志目录、收尾）抛一次 也会让 daemon 退出。现在循环体兜住，本轮作废但 daemon 继续活， 带有界退避（翻倍至 300s 封顶），恢复后打一条「上一轮异常未再出现」。 如实一条 [ERR] 并声明「未拉起/未杀任何服务」。
日志真的落盘了：stdout 重定向到文件时是 8KB 块缓冲，daemon 每轮 只写几十字节 ⇒ 正常巡检日志看不到、崩溃时连证据一起丢。实测旧版 3.5 秒后文件 0 字节，现在 223 字节。
--daemon 有单实例闸了：此前并发起两个会都活着，而看门狗是 唯一会拉起 SRS/后端/静态站的组件——双开 = 双份 spawn + 互相「修」 对方的进程（端口检测只认端口不认是谁起的）。现在原子抢 pidfile， 抢不到如实报「已在运行（PID …）」并退出，不杀对方；陈旧锁可回收。
看门狗能看见「观众其实看不到」：日常巡检此前只要求 /live/status 返回 200，于是 is_streaming=true + 推流已 dead_final（观众黑屏） 时依然全绿。现在补两道真值：推流生命周期状态，以及按本路 stream_key 在 SRS 上自证（running 只证明 ffmpeg 进程活着，不证明 SRS 上有流）。 只报告、不自愈。
修复（授权网关挂了但两边全绿）：
客户登不进来而本地一切正常：本地许可只读离线签名，生产通道 qingshan88.com/lic/ 挂掉时客户登不进、买不了卡、续不了费，而 看门狗和预检都全绿。现在新增预检项 + 同口径探针（共用一份实现）， 三向可分：在线且应答合法 = 通过（并明确标注「仅证明网关在线， 授权真值以本地许可为准」）/ 5xx 或非法应答 = 警告并点名 HTTP 码 / 不可达 = 「无法判断」；未部署授权体系或离线模式 = 跳过。 300s 缓存 + 3s 超时，常驻模式不每轮打外网。
预检汇总不再把「跳过」读成「异常」：新增可跳过项后，旧汇总式 通过+警告+失败 == 总数 在离线客户机上必然破裂，前端会把 「14/15 项正常」当成有问题。现在跳过单列并从分母剔除，并点名 「N 项跳过（未探测：授权网关）」；未知状态一律按失败计，绝不假绿。
修复（失败提示必须指路，不能只说「请重试」）：
一批失败提示此前只写「请重试」，用户不知道点哪里。现在统一指到 面板里真实可点的按钮（并点名状态条徽记），且不再把同一句话 复制到 6 个分支里——收敛成单一入口，改文案不会漏改。 覆盖：知晓失败、退出真人接管失败、抖音绑定超时、缝合重试。
退出真人接管失败不再冒充已退出：失败时如实说「后端可能仍在 接管中」，徽标转琥珀，两轮确认才收口。
修复（远程看板：手机看到的可能不是最新）：
403 不再算成「已服务读取」：计数原先在鉴权之前递增，别人拿 错 key 扫一扫，你在卡片上就看到「手机在读」。现在只统计鉴权通过且 真返回 200 的读取，并分开显示「页面 X · 状态轮询 Y」/「鉴权失败被拒 M 次（未计入读取）」/「路径无效 K 次」。
手机缓存旧页能被识别：服务端下发页面时把本页字节版本注入进去 （页面自己知道多老），手机若加载的是缓存旧页，首帧就能提示并 自动刷新一次；刷过仍落后只提示不循环。
PC 卡片透出手机页版本，并如实写明边界：「手机端实际加载的 版本无法回读（手机页会自行提示落后）」——不拿服务端下发的版本 冒充手机正在看的版本。
修复（告警与提醒的其余口径）：
告警「证据时刻」不可变，冲突证据不再自己污染成假绿；
「该场已结束」的诚实结论不被 UI 吞掉；
状态栏断线不再被读成「未开播」（时长不清零）；
弹幕注入被拒时如实说明原因，不再静默；
验证链路（命中锁存 / 生效信号 / 结果真值 / 待人工复核）逐项对账。
修复（发版工具链：发行树会静默缺件）：
build_dist.py 跨盘崩溃：装配到「ASR 模型」这一步时， 源在 C:\Users\…\.modelcache、仓库在 F:，os.path.relpath 直接抛 ValueError: path is on mount 'C:', start on mount 'F:'。后果不是少拷 一个文件——整条装配在这里中断，后面的 vendor/aaa 镜像、 runtime/ 便携运行时等全部没跑。实测发行树里 vendor/asr/paraformer 是空目录（0 文件），这正是「本仓有、发行树没有」类漏发的真因。 现在跨盘时改用绝对路径，语义不变（白名单只收仓库内路径）。
改进（内部，不影响使用）：
service/server.py 拆出 6 条路由到 service/routes/（诊断导出/上报、 平台列表、算力点查询与核销）。如实说明收益：解析耗时占比约 1%， 性能影响在噪声以下，收益是可读性——不是为了变快。
绿幕抠像基准的测量口径重做：旧口径逐帧取 wall time 的 p50，于是 「隔离 6.4ms vs 在播 14.1ms」被当成「绿幕变慢 2.2 倍」。实测同一份 代码、同一次运行，只改整机负载：CPU 45% 时 thread 5.47ms / wall 6.09ms，CPU 100% 时 thread 6.25ms / wall 10.28ms（min）/ 16.05ms（p50）。
代码成本一直约 6ms 没变，在播那 14ms 是满载 wall time。：
现改用线程 CPU 时间（批量摊薄 + 取最小值）作判定口径，wall time 只作负载指示、不参与判定。
提交前检查分层：快层 90 项约 66s（提交时跑），全量 130 项约 726s （发版前 --all）。逐项耗时可见，清单里有不存在的文件直接判失败 （此前静默跳过，钩子会慢慢变空）。

修复（告警面板不再假绿，第 128-147 轮）：
这一版集中解决同一类问题：告警面板显示「正常」，但真实情况并非正常。 共 20 轮，逐条把「看起来好了」换成「拿证据证明好了」。
告警恢复必须凭证据，不能凭时间：此前一条告警只要「过一会儿」 就会自动变回正常，哪怕导致告警的原因还在。现在登录、伴侣启动、 算力点余额、自动化失败、弹幕接入、定时动作、高危闸等每一类告警， 都必须拿到对账证据才算恢复——例如弹幕告警要看真实链路 connected_at，定时动作要看动作台账里补执行成功的记录， 高危闸要看真实成功任务（不是数到控件就算确认）。
未确认的提醒不再被静默丢弃：提醒条数有上限，超限会被裁掉。 此前被裁掉的可能是你还没看过的条目，而且无声无息。现在 未确认条目被裁时会留下「墓碑」：记下该做什么（detail）、多急 （level）、什么时候丢的，可回溯、可补看。
「查更早」不再是死提示：被裁掉的历史告警现在进有界归档， 点进去能真的查到，不再是点了没反应。
告警历史窗口带总数：只显示最近 50 条时明确告诉你总共多少条， 不会让你以为「就这些」。
登录态跨重启如实标注：重启后恢复的登录态标为「未复验」 （灰色），不再冒充「已登录」；证据落盘但不参与「需要扫码」的推导。
服务看门狗能看见告警归档异常（第 147 轮）：归档写失败 （条目已删、归档里又没有 ⇒ 永久查不到）、账目不可读、读写报错时， 健康检查会如实报 [WARN] 并把返回码拉成 1。只报告不自愈—— 数据问题绝不重启服务。
修复（开播瞬间的假告警）：
开播头几秒不再假报「帧率 0」：帧率读数此前取的是「开播以来的 平均值」，刚开播时这个值必然接近 0，于是每次开播都会红一下 「fps 0.0↓」，而此刻推流其实完全正常。现在改用近 10 秒实测； 但若 ffmpeg 真的卡住，它仍会如实归零——不会拿一个漂亮的历史 平均值掩盖停滞。
修复（护栏自身）：
发布前检查不再「超时即静默跳过」：此前某项检查超时会让整个 检查脚本直接崩掉，后面 20 多项一项都没跑，而跑的人只看到一个 异常尾巴，容易以为「跑完了」。现在超时记为失败并继续跑完， 末尾明确打印「实跑 N 项 / 清单 M 项」。
两项自身会误报的护栏已修：授权状态库并发检查在机器负载高时 会误判失败（判据的噪声大于信号，改用确定性观测）；停播窗检查 里有一条断言算错了心跳节拍，永远不可能成立。
发版前自检补上「新增模块有没有真的进包」：本版打增量包时发现 13 个文件「本版变更但未进补丁」，其中 12 个是本周期新增的模块 （其中一个被 28 处随包代码引用、另一个被主服务直接引用）。 按当时的发行链，这批文件永远不会被同步进发行树——发出去的话， 客户更新完第一次启动就是 ImportError。根因是三处口径都看不见 这一类：同步脚本只复制「两边都存在」的文件（新文件天然漏）， 清单自检只校验第三方依赖（本仓模块被显式跳过），我自己的覆盖率 自检也把「发行树里没有」当成了「本来就不随包」。 现在补上一条判据：随包代码用到的本仓模块，只要仓库里有、 发行树里没有就直接判失败，并做了双向验证（故意摘掉一个必红、 复原必绿）。发版清单同时加了「第 0 步：先跑清单自检」。

升级：
自动操作更聪明：中控台本地决策模型升级至新一代 4B 版本—— 实测中旧版会高置信度点错的相似按钮（如「违规管理」误点成 「违规提醒」），新版能正确识别目标在屏外并先滚动查找；拿不准时 宁可不动并提醒您，不会乱点。单次决策约 5 秒→13 秒，但更稳更准。
决策组件可在线更新：已安装本地决策组件的客户，在组件处会出现 「更新组件」按钮——只下载差异文件（约 2.7 GB），装完自动清理旧模型， 不占双份硬盘。
配置不够如实告知：安装本地决策组件前先检测显卡（约需 4 GB 空闲 显存）——不够的机器明确说明并建议直接使用云端自动操作（功能完全 不受影响），不再白下几个 GB。8 GB 以上显存可与直播并行流畅使用。

修复：
安装包解压大幅提速：此前解压 5GB 数据包实测约 21 分钟且 进度条长时间不动（易被误认为卡死）。现内嵌原生解压引擎， 实测全程约 4.5 分钟，进度条全程持续推进；极端情况下自动回退 兼容模式保证装得完。
断网登录不再冻半分钟：网络不通时登录/激活从「卡 30 秒 再报一串英文报错」改为 12 秒内明确告知「连不上授权服务器」 并附排查建议；支持手机热点验证。
新增：
离线授权导入：机器完全连不上网时，联系客服提供本机指纹， 客服回发授权文件后「账号中心 → 完全联不上网？」粘贴或选择 文件即可激活，全程无需联网。
一键网络诊断：「账号中心」底部新增「网络诊断」——自动 检测网络在哪个环节断开（本机断网/域名解析/运营商拦截/代理 拦截），报告可一键复制发给客服。
自动化操作更醒目：数字人助手在中控台自动操作时，整个 被操作窗口出现呼吸发光边框+顶部提示条，一眼可知机器在动， 请勿动鼠标键盘（描边不遮挡自动点击）。
中控台自动化更稳：侧栏/商品面板等内部滚动区域现在 可以自动下探到屏外内容；点击前会重新定位元素并确认没有 被弹窗遮挡，杜绝「点中别的按钮」；临时弹窗遮挡改为等待 重试而非直接失败；同名商品/菜单按所在行区分，不再选错行； 页面卡死时更早停止重试，减少无谓等待。

修复：
升级/安装不再装出半截软件：更新器与安装包在下载/解压前 检查磁盘剩余空间，不够如实报「需要多少 / 还剩多少」；解压后 校验目录结构完整性，畸形包/嵌套包当场拒绝——增量更新异常 自动回滚旧版，首装不再残留伪装成功的坏目录。
预检新增「直播伴侣」项：抖音/视频号伴侣装没装、跑没跑 一目了然；未安装时提示可先用自定义 RTMP 直推开播。
优化：
推流音频指纹会话级随机：每次开播生成一套微差异编码参数， 平台侧收到的流特征不再恒定（听感无任何变化）。
安装后更少系统拦截：启动时自动清理分发文件的「来自网络」 标记，SmartScreen/打开来源类告警显著减少。
使用说明书排障章节扩充：补齐屏幕缩放、伴侣未装、磁盘不足、 增量回滚、显卡驱动、授权到期、弹幕自动复接、误报关播取消等 九条真实处置路径。
官网焕新：投入对比、截图点击放大、四宫格实拍、版本数与 更新记录自动同步。

优化：
RTMP 推流抗挤兑：推流喂轨写线程（视频帧 stdin + 音频管道） 提升为高于普通的线程优先级——重负载机器上不再被其他线程挤兑 造成推流端吞帧；低于渲染/声卡节拍线程，不抢实时节拍。
长直播更稳：启动装配完成后把模型/注册表等长活对象冻结进 GC 永久代，长时间直播不再受周期性 GC 扫描停顿影响。

界面打磨（第三批 UI 去味）：
伴侣指引卡信息收敛：登录态三层重复提示合并为单个红框， 「重启接管」升级为头部常驻按钮（不再藏在文字链里）
文案页空工程改为居中欢迎态；大模型组件按钮收编色板变体
声音监听按钮改走 .camera-btn 类切换（active=绿/warn=橙）， 与整机位按钮同套状态语言；模特页紫色按钮回归主色
登录页密码可见性 👁 emoji 统一换 SVG 线性图标；新手引导/ 工作台装饰性 emoji 清零

修复：
底板画面每圈随机跳位 + 解码尖峰：底板循环回绕的前瞻调度在 临近段尾的 ~10 帧窗口内每帧各提交一个随机落点计划（实测一圈 叠 9 个 = 9 次随机 seek），观众会看到底板每隔几秒随机跳位； 且 seek 在解码锁内执行，消费侧帧读取被 130-240ms 拖住（超帧 率 7.9%，fps 跌到 22）。改为每边界只决策一次 + seek 移出锁外 ——实测超帧率降至 3.3%，fps 回到 23.9，底板每圈一次干净回绕。
字幕渲染减负：底部字幕条旧实现每帧整幅画面拷贝+混合、并 对同一句话逐帧重排版——改为只混合字幕条区域 + 按句缓存文字 贴片，HUD 相位耗时 5.3ms→1.0ms，偶发 111ms 尖峰消失。

修复：
直播中设备暴死不再一躺到底：虚拟声卡/摄像头被连续写入失败 判定失效后，此前版本整场直播都不再恢复（声音静默消失/画面黑屏， 但界面仍显示开播中——最难自查的隐形故障）。现在渲染环内自动 限频后台重连：设备死后 5 秒一探、开播时未接入的设备每 30 秒一 探，恢复即自动接回音画路由（实测杀死后 0.1 秒自愈）。

修复：
推流声音偶发缺失：RTMP 推流音频轨按整块入队，声卡补齐后 单块最长 ~300ms——ffmpeg 复用反压时队列溢出一次丢掉整段语音， 且音轨时间戳缺口形成丢-堵循环（实测累计丢 8518 块）。改为按 40ms 粒度切块入队、音频缓冲扩至 2 秒，实测开播 120 秒零丢弃。

修复：
声音卡顿/跳字热修：音频欠账补齐的水位判定漏算了本轮已累积 未入队的块——队列一旦变浅就掏空整个预取缓冲，声卡积压上限 丢旧，实测开播中约每秒丢弃 2.6 秒未播音频（表现为话术跳字、 语音碎片化）。修复后实测开播 90 秒零丢弃、队列稳定在目标水位。

修复与体验：
音画同步根治：声音和画面改为同一时钟出粮——此前声音经 虚拟声卡队列比画面恒慢约 0.3-0.5 秒（嘴先动声后到），现在 画面按音频设备播出节拍投递，偏移压到采集管线差量级；弹幕 插队和停播时清空声卡未播积压，旧话术不再拖尾出声。
声音卡顿修复：声卡写线程提到最高优先级（原先负载一高就被 渲染线程饿死造成断音）；语句首尾加 8ms 淡化消除每句接缝爆音； 声卡积压上限 1.5s→0.8s。
可观测：直播状态接口透出声卡队列深度/断粮拍数/丢弃块数/ 音画对时保持量（vcam_audio_stats），现场问题可诊断。
新增：
直播中热切知识库：中控台设置弹窗新增「知识库」区块， 开播中替换/追加知识库，下一条答复立即用新内容，不用停播重开。
知识库问答：文案页新增「知识库问答」开关——开启后 AI 会话 挂当前工程的知识库作答（查商品资料/活动规则直接问）。
场外换班修复：定时换班的「场外班次」此前因字段名不匹配 从未真正执行，现在可按计划自动切换到同账号下另一场直播工程。
编辑器草稿自动保存：编排页内修改每 30 秒静默落盘 （顶栏显示「草稿已自动保存」），切步骤/关页面不再丢编辑。
弹幕平台补齐：Shopee 弹幕档案接入，DOM 监听通道达 9 平台 （抖音/淘宝/快手/美团/小红书/京东/拼多多/视频号/Shopee）； 开播台平台映射补美团/京东/Shopee（此前这三平台会错连抖音）。

声音更自然：话术朗读改为整句合成，停顿节奏像真人说话，不再一顿一顿逐词念。
克隆修复：自己克隆的声音注册时自动识别参照文本并做合成自检——克隆完直接能用，不再出现合成失败变机器人音；四张官方音色卡补齐真声音。
新手上路：工作台顶部新增进度链（体检→建直播→开播一步步走）；建直播推荐配置自动填好；开播台一键全开智能功能。
界面焕新：确认弹窗品牌化、开关变拨杆、浅色侧栏，操作提示更清楚。
修复：直播中暂停/继续卡住的问题已修；已运行的直播伴侣可被软件接管代点；商品车 dy/视频号别名识别恢复。
更新器：下载更新包时显示实时网速和预计剩余时间。官网新增「使用教程」视频。

更顺手：所有弹窗都支持 Esc 键和点空白处关闭；服务未连接时列表如实提示「服务未连接」而不是误报「没有内容」；点「开始直播推流」后画面准备期间会显示初始化进度提示。
更稳：短视频发布前会先检查有没有选模特、有没有填话术或传音频，不再生成空内容；上传自己的录音现在真正用于口型驱动；手播模式建模特时必须传素材，避免建出播不了的空卡。
更清楚：开播控制台各功能卡片补充一句话说明；工程卡显示上次开播时长；保镖页新增「导入常用预警词」一键填充；服务状态由「默认全绿」改为真实逐项检测后显示。

手播/自传模特的卡片封面此前会借用官方模特形象，现已按真实归属渲染：上传素材自动抽帧生成封面，存量模特启动时自动补抽，无封面时显示中性占位——绝不再张冠李戴。官方模特封面同步升级为演播室合成图。

工作台主按钮视觉顺位修正；登录墙改版（真实数字人合成场景上屏，表单细节精修）；AI 文案页加快捷提问片；保镖违规词输入框加高。

新增：接入 DeepSeek 等大模型 Key 后各类弹幕提问都能智能作答，答复更自然懂商品；「怎么买/已拍/求链接」购买信号自动计数并按当前讲品归集；已拍观众低频语音答谢；商品卡自动跟挂开关（讲品轮换自动弹卡）；定时促单支持 [品名][价格][划线价][券] 占位符。
修复：无商品工程播完兜底即静默停嘴；知识库问答组件缺件；违规警报音缺件；「更新.exe」历史包文件名异常导致软件内更新失效（重跑安装包恢复）。
发行：安装包/启动/更新/快捷脚本全面 EV 代码签名；下载提速；安装包新增高速源支持。

新增：商品导入新增「商品车」来源——复用已登录抖店/百应/视频号后台页面直接读取商品列表（不碰凭证，未登录如实提示）；讲品轮换按商品匹配专属展示动作段。
修复：同类未确认告警折叠防洪；视频号会话过期误报、空商品车误报、后台页面结构特殊抓不到列表三问题。

新增：手机连同一 WiFi 查看只读状态页（直播态/弹幕/告警，5s 刷新，带随机口令）；视频号/淘宝「报时」类平台验证自动生成主播报时视频补强；全站键盘焦点环。
修复：高危按钮加防重入锁；窄屏列表裁列；报时视频半截文件残留。

新增：上传真人素材一键自训专属数字人（200 算力点/次，体检不过不扣）；短视频换嘴成片（语音驱动真实底板贴口型）；抠像真实分割生效；口型质检自动排队出徽章；违规词命中当帧截图存档可回放（50 张滚动）；警报音独立扬声器不泄漏进直播；分平台违规词预设；定时开播/下播；场外换班；抖音账号绑定；话术 {date}/{time} 报时变量；登录界面重造；新手引导与激活引导增强。
修复：标定兼容性（贴边/遮挡素材不再直接失败）；口型状态如实显示；五类报错文案人话翻译。

服务端停用卡密后客户机联网复核立即锁定（6h 节流、断网不复活）；视频号弹幕接入上线（页面适配进度如实标注验证状态）。

中控台自动化智能兜底与云端同价（成功 1 点/次，重试不重复扣），点不足如实拦停不瞎点。

合成产出怪音自动改播静音并告警；上传/渲染前统一查磁盘余量，写一半不留残件；子进程日志超 64MB 自动轮转。

自建模特/音色可改名改描述；跳过预检直接开播时外设未装如实提醒；20+ 处 JSON 原子写，异常退出不再截断资产。

自动化组件装后自动就绪；参考音频静音/超长/复读如实拒收；人脸标定自动跑+四态徽章+失败一键重跑。

可选安装自动化组件（约 1.3GB），常见中控台操作本机完成不扣点；开播自动重连上次弹幕平台；品牌字「青杉」统一更正。

显卡占用智能封顶防拖死整机；处理器自动为系统预留资源；推流自动让位不抢桌面；语音合成提速 1/3；预检新增机器资源体检；环境安装器加「杀毒软件排除项」。

弹幕接入新增美团/小红书/京东/拼多多/视频号（未实测平台状态页如实标注）；安装包改「引导 exe+数据包.7z」——旧自解压包因系统兼容问题无法启动。

伴侣联动分步指引卡；不配 AI Key 也能用内置智能写话术（按次计点）；8GB 显卡自动切省电档。

淘宝/快手弹幕接入与中控台多平台识别；商品特写画中画上屏；中控台「上架商品」自动化；产品列表「点谁讲谁」；弹幕用当前讲品真实价格/库存应答；摄像头体检。

横屏素材等比适配、源帧率补偿、镜像翻转；动作切片标注+自动标注；多动作轮换接通播放；底板循环随机化、句间气口、应答 1.2~3.8s 拟人延迟；背景音乐轨；主播音量接真实输出链；互动模板真生效；AI 实时改写。

补齐风险识别组件（此前监控空转）；遮挡告警透出；风险监控防抖/多窗口选主；开播自动开启环境音+氛围插话+风险监控；画面叠加实时时钟与弹幕气泡；人脸验证指引；本地服务跨站调用加固。

三步开播向导；更新自动回滚；弹幕徽章/断线自愈；流媒体真人接管；定时换班全字段；本地生活团购套餐+开店向导+讲解词编辑台；手播无人脸素材支持；经营模式选择；新版本自动提醒。

智能录播（录播视频本机自动转写话术）；真人摄像头直采接管；口型驱动随包内置；账号资产真隔离；登录注册卡密激活；问答预合成提速；下架无底板假模特。

数字人直播、TTS 话术、弹幕答复、保镖监测、商品/工程管理、中控台。

用「安装包」：中断或关窗后重跑自动从断点继续。完整包直链也支持断点续传，可把地址粘到迅雷/IDM 多线程下载；都不顺就用上面的「百度网盘」备用通道，转存后下载更稳。

软件已使用 EV 代码签名证书签发（GlobalSign，有效期至 2027-07）。正常情况下不会再弹此提示；个别电脑管家/安全软件仍可能误拦——点「更多信息 → 仍要运行」或将安装目录加入信任区即可。

确认电脑配置达标（NVIDIA 显卡 / 16GB 内存）。运行中若出现卡顿，请先升级到最新版；软件内「控制台 → 机器资源」可一键检测，红色项即为瓶颈。

软件内「检查更新」会自动下载增量包（约几百 KB）升级，无需重新下载完整包。也可在本页下载最新完整包覆盖安装，工程和素材不受影响。

本页「使用教程」区内嵌第 1 集，另有完整九集共 16:21（按你要做的事分段），有旁白解说；右上角「使用说明书」为图文版。遇到具体故障直接看第 9 集。