fix: 修复代码审查发现的 P0/P1 缺陷（含测试加固）

审查明细见 CODE-AUDIT.md。本提交覆盖其中的代码级修复：

P0-2 migu 解密流异常逃逸 → 进程崩溃
  src/http/migu-stream.ts 把 transform/onChunk 就地 try/catch，转 reject 并 res.destroy()。
  为什么：二者在 res 的 data 事件回调里同步执行，抛出的异常既不在 Promise 链上、
  也不在路由层 try/catch 内，会逃逸成 uncaughtException（全项目无全局处理器）直接杀进程。
  已用最小复现验证：修复前 exit 9，修复后正常 reject。

P0-1 /login/lr 缺失 → lr 取流 100% 不可用
  src/routes-login.ts 补 POST/DELETE /login/lr。
  为什么：sdk/lr/auth.ts 早已实现 login、该文件也已 import lrAuth，只差路由注册；
  lr 取流强制要求登录态，缺此入口等于整个平台不可用，而 README 已将其文档化。

P0-3 + P1-7 凭据存储
  sdk/auth/store.ts 写入改 0600 + 「临时文件 + rename」原子替换；解析失败改为改名备份而非静默清空；
  新增 DATA_DIR 环境变量（测试隔离用）。
  为什么：原先直接覆写明文 JSON（0644）且解析失败静默置空，写入中途被杀会留下截断 JSON，
  下次启动解析失败后，任意一次 setCredentials 都会以空表覆盖，导致全部平台凭据丢失。

P1-9 / P1-10 / P1-11 / P1-12 平台模块缺陷
  sdk/kg/krcDecode.ts：空歌词显式 resolve('')（原先裸 return 让 Promise 永久 pending，请求挂死）
  sdk/kg/lyric.ts：重试改调 getLyricDownload（原先误调 getLyric，参数语义不同导致重试恒失败）
  sdk/kw/songList.ts：重试改自递归（原先误调 getListDetail，返回类型错位且把 tryNum 当 page）
  sdk/kw/songList.ts：删除 URL 模板中多余的右花括号

P1-6 /song-list 参数契约
  src/routes.ts 移除不生效的 limit 声明。
  为什么：各平台 getList 签名不一致（如 kw 为 (sortId, tagId, page, tryNum)），无法统一透传，
  保留声明只会让文档与实现不符。

P1-4/5/13/15 冒烟测试加固
  test/smoke-test.ts：子实例统一登记 + 进程退出回收（原先异常路径留下孤儿实例，曾累积 5 个）；
  启动超时 10s→30s 且失败时附子进程输出、提前退出立即报错；显式 SOURCE_ENABLED='' 与 DATA_DIR
  隔离（原先继承 .env，取流用例走外部音源掩盖 SDK 回归，且 /login/refresh 会改写真实 data/auth.json）；
  AUTH 断言移入 test()（原先裸抛错会跳过实例回收）；修正 642 行过期断言并补 kw parse 正向用例。

P1-8 src/auth/store.ts 删除引用已不存在命令 `pnpm build` 的过期注释。
src/server.ts 头注释的接口清单改为 path 风格，与实际路由一致。

注：src/routes.ts、src/routes-login.ts、src/server.ts、test/smoke-test.ts 同时承载了工作区
既有的在途改动（parse/playlist/album 路由接入与相应用例），一并随本提交入库。

sdk/auth/store.ts

@@ -1,12 +1,17 @@
 // 登录态存储 —— 各平台凭据持久化（data/auth.json，不入库）
-// 结构：{ wy: {...}, kg: {...}, tx: {...}, _kg_device: {...} }
-// 注意：store.js 为 tsc 就地发射产物（不入库）；改逻辑只改本文件，然后 pnpm build
+// 结构：{ wy: {...}, kg: {...}, tx: {...}, _kg_device: {...}, _qs_device: {...}, _qs_passport_device: {...} }
+// 凭据是明文敏感数据：文件以 0600 创建；写入走「同目录临时文件 + rename」原子替换，
+// 避免写中途崩溃留下截断 JSON（那会导致下次启动解析失败而丢掉全部平台凭据）。
+// DATA_DIR 环境变量可覆盖存储目录（测试用，避免污染真实登录态）。
 
-import { existsSync, mkdirSync, readFileSync, writeFileSync } from 'node:fs'
+import { existsSync, mkdirSync, readFileSync, renameSync, unlinkSync, writeFileSync } from 'node:fs'
 import { dirname, join } from 'node:path'
 import { fileURLToPath } from 'node:url'
 
-const DATA_FILE = join(dirname(fileURLToPath(import.meta.url)), '../../data/auth.json')
+const DATA_DIR = process.env.DATA_DIR
+  ? process.env.DATA_DIR
+  : join(dirname(fileURLToPath(import.meta.url)), '../../data')
+const DATA_FILE = join(DATA_DIR, 'auth.json')
 
 export interface WyCredentials {
   cookie: string
@@ -72,9 +77,23 @@ let loaded = false
 
 const load = (): Record<string, any> => {
   if (loaded) return cache
+  if (!existsSync(DATA_FILE)) {
+    cache = {}
+    loaded = true
+    return cache
+  }
   try {
-    cache = existsSync(DATA_FILE) ? JSON.parse(readFileSync(DATA_FILE, 'utf8')) : {}
-  } catch {
+    cache = JSON.parse(readFileSync(DATA_FILE, 'utf8'))
+  } catch (err) {
+    // 解析失败绝不能静默清空：先改名备份，让残留凭据仍可人工抢救；
+    // 否则下一次 setCredentials 就会用空表覆盖掉本可恢复的文件。
+    const backup = `${DATA_FILE}.corrupt-${Date.now()}`
+    try {
+      renameSync(DATA_FILE, backup)
+      console.error(`[auth/store] ${DATA_FILE} 解析失败，已备份为 ${backup}，本次以空凭据启动: ${(err as Error).message}`)
+    } catch {
+      console.error(`[auth/store] ${DATA_FILE} 解析失败且备份未成功，本次以空凭据启动: ${(err as Error).message}`)
+    }
     cache = {}
   }
   loaded = true
@@ -85,7 +104,16 @@ const save = (data: Record<string, any>): void => {
   cache = data
   loaded = true
   mkdirSync(dirname(DATA_FILE), { recursive: true })
-  writeFileSync(DATA_FILE, JSON.stringify(data, null, 2))
+  // 原子写：先落同目录临时文件（0600，仅属主可读），再 rename 覆盖。
+  // 直接覆写会在进程中途被杀时留下截断 JSON —— 那正是「凭据全丢」的触发路径。
+  const tmp = `${DATA_FILE}.${process.pid}.tmp`
+  try {
+    writeFileSync(tmp, JSON.stringify(data, null, 2), { mode: 0o600 })
+    renameSync(tmp, DATA_FILE)
+  } catch (err) {
+    try { unlinkSync(tmp) } catch { /* 清理失败不掩盖原始错误 */ }
+    throw err
+  }
 }
 
 export const getCredentials = (platform: string): any => load()[platform] ?? null

sdk/kg/krcDecode.ts

@@ -7,7 +7,9 @@ import { decodeName } from '../common/utils.ts'
 const enc_key = Buffer.from([0x40, 0x47, 0x61, 0x77, 0x5e, 0x32, 0x74, 0x47, 0x51, 0x36, 0x31, 0x2d, 0xce, 0xd2, 0x6e, 0x69])
 
 const decodeLyric = str => new Promise((resolve, reject) => {
-  if (!str.length) return
+  // 空歌词必须显式 resolve：executor 里裸 return 会让 Promise 永久 pending，
+  // 调用方的 await 将一直挂起（连接与内存无法释放，只能等客户端超时）
+  if (!str.length) return resolve('')
   const buf_str = Buffer.from(str, 'base64').subarray(4)
   for (let i = 0, len = buf_str.length; i < len; i++) {
     buf_str[i] = buf_str[i] ^ enc_key[i % 16]

sdk/kg/lyric.ts

@@ -69,7 +69,8 @@ export default {
     requestObj.promise = (requestObj.promise as any).then(({ body, statusCode }) => {
       if (statusCode !== 200) {
         if (tryNum > 5) return Promise.reject(new Error('歌词获取失败'))
-        let tryRequestObj = (this.getLyric as any)(id, accessKey, fmt, ++tryNum)
+        // 重试必须回到本方法 getLyricDownload；原先误调 getLyric（参数语义不同）导致重试恒失败
+        const tryRequestObj = this.getLyricDownload(id, accessKey, fmt, ++tryNum)
         requestObj.cancelHttp = tryRequestObj.cancelHttp.bind(tryRequestObj)
         return tryRequestObj.promise
       }

sdk/kw/songList.ts

@@ -193,14 +193,16 @@ export default {
     if (tryNum > 2) return Promise.reject(new Error('try max num'))
     const requestObj = httpFetch(`http://qukudata.kuwo.cn/q.k?op=query&cont=ninfo&node=${id}&pn=0&rn=1&fmt=json&src=mbox&level=2`)
     return requestObj.promise.then(({ statusCode, body }) => {
-      if (statusCode != 200 || !body.child) return this.getListDetail(id, ++tryNum)
+      // 本方法须返回 detailId（调用方据此再查曲目），失败时应重试自身；
+      // 原先误调 getListDetail（返回歌单详情对象、且把 tryNum 当 page）导致返回类型错位
+      if (statusCode != 200 || !body.child) return this.getListDetailDigest5Info(id, ++tryNum)
       // console.log(body)
       return body.child.length ? body.child[0].sourceid : null
     })
   },
   getListDetailDigest5Music(id, page, tryNum = 0) {
     if (tryNum > 2) return Promise.reject(new Error('try max num'))
-    const requestObj = httpFetch(`http://nplserver.kuwo.cn/pl.svc?op=getlistinfo&pid=${id}&pn=${page - 1}}&rn=${this.limit_song}&encode=utf-8&keyset=pl2012&identity=kuwo&pcmp4=1`)
+    const requestObj = httpFetch(`http://nplserver.kuwo.cn/pl.svc?op=getlistinfo&pid=${id}&pn=${page - 1}&rn=${this.limit_song}&encode=utf-8&keyset=pl2012&identity=kuwo&pcmp4=1`)
     return requestObj.promise.then(({ body }) => {
       // console.log(body)
       if (body.result !== 'ok') return this.getListDetail(id, page, ++tryNum)

sdk/lr/index.ts

@@ -50,5 +50,6 @@ const lr = {
   },
 }
 
-export { status } from './auth.ts'
+// login 一并导出：/login/lr 路由直接引用 sdk/lr/auth.ts，SDK 使用者也需要能拿到登录能力
+export { login, status } from './auth.ts'
 export default lr