fix(emby): 网盘直链绑定 UA，第三方播放器保留同源一跳

115 直链与换取时的 User-Agent 逐字符绑定，换错一律 403。服务端换链用的是邮件客户端 API 层的 UA，而真正拉流的是播放器组件，RodelPlayer 2.2610 两层 UA 不一致（API 层带系统后缀）后会拿到 403 直链，表现为播放失败。非浏览器客户端改为 302 到同源 strm 端点，由播放器自己换链；浏览器仍走服务端换链一跳。

internal/handler/emby_playback.go

@@ -348,6 +348,12 @@ func embyVideoStreamHandler(svc *service.Container, cloudMode string) gin.Handle
 		// 此前这里把所有错误一律吞成 404：云盘 Cookie 过期、直链解析失败、
 		// STRM 播放被关闭……在第三方播放器上全部表现为「404 不存在」，
 		// 无法排查。现在区分：行不存在→404；云盘播放不可用/上游故障→502+原因。
+		//
+		// 网盘直链与换取时的 UA 严格绑定，而 Emby 客户端的 API 层与播放器层 UA
+		// 不保证相同（浏览器一定相同），所以只有浏览器客户端允许服务端短路换链。
+		if !isBrowserLikeUserAgent(c.GetHeader("User-Agent")) {
+			c.Request = c.Request.WithContext(service.WithClientSideSTRMResolve(c.Request.Context()))
+		}
 		err = svc.Stream.ServeFileWithCloudMode(c.Writer, c.Request, c.Param("id"), cloudMode)
 		switch {
 		case err == nil:
@@ -387,6 +393,25 @@ func embyPlaybackRedirectToken(c *gin.Context, svc *service.Container) string {
 	return token
 }
 
+// isBrowserLikeUserAgent 判断请求是否来自浏览器（含 WebView / Electron 客户端）。
+//
+// 只有浏览器能保证「API 请求」与「<video> 拉流」用同一个 User-Agent，因此也只有
+// 浏览器客户端可以安全地接受服务端换链后的 CDN 直链（见
+// service.WithClientSideSTRMResolve 说明）。原生播放器的播放器层与 API 层 UA
+// 不保证一致，必须让客户端自己去同源 strm 端点换链。
+func isBrowserLikeUserAgent(ua string) bool {
+	ua = strings.ToLower(strings.TrimSpace(ua))
+	if ua == "" {
+		return false
+	}
+	for _, marker := range []string{"mozilla/", "applewebkit/", "gecko/"} {
+		if strings.Contains(ua, marker) {
+			return true
+		}
+	}
+	return false
+}
+
 func embyShouldRedirectVideoStreamToSTRM(c *gin.Context, svc *service.Container, mediaID, cloudMode string) bool {
 	if c == nil || svc == nil || svc.Repo == nil || svc.Repo.Media == nil || cloudMode != service.CloudPlaybackModeRedirectProxy {
 		return false

internal/handler/emby_video_stream_resolve_test.go

@@ -0,0 +1,138 @@
+package handler
+
+import (
+	"context"
+	"net/http"
+	"net/http/httptest"
+	"strings"
+	"testing"
+
+	"github.com/gin-gonic/gin"
+	"github.com/glebarez/sqlite"
+	"go.uber.org/zap"
+	"gorm.io/gorm"
+
+	"github.com/truewhile/MeBox/internal/config"
+	"github.com/truewhile/MeBox/internal/model"
+	"github.com/truewhile/MeBox/internal/repository"
+	"github.com/truewhile/MeBox/internal/service"
+	"github.com/truewhile/MeBox/internal/service/cloud"
+)
+
+// newEmbyStreamResolveTestContainer 造一个最小的 Emby 播放容器：一条云盘 strm 媒体
+// 加一个必定被调用的换链解析器，用于观察服务端是否替客户端换链。
+func newEmbyStreamResolveTestContainer(t *testing.T, resolver *countingStrmResolver) *service.Container {
+	t.Helper()
+	gin.SetMode(gin.TestMode)
+	db, err := gorm.Open(sqlite.Open(":memory:"), &gorm.Config{})
+	if err != nil {
+		t.Fatalf("open db: %v", err)
+	}
+	if err := db.AutoMigrate(&model.Media{}, &model.Setting{}, &model.StrmAccount{}, &model.Library{}, &model.User{}); err != nil {
+		t.Fatalf("migrate: %v", err)
+	}
+	if err := db.Create(&model.Media{
+		Base:      model.Base{ID: "cloud-1"},
+		Title:     "Cloud",
+		Path:      "cloud://cloud115/Movie.mkv",
+		Container: "strm",
+		STRMURL:   "/api/strm/play/cloud115/video.mkv?acct=a1&pickcode=pc1",
+	}).Error; err != nil {
+		t.Fatalf("seed media: %v", err)
+	}
+	repos := repository.New(db)
+	cfg := &config.Config{}
+	log := zap.NewNop()
+	return &service.Container{
+		Cfg:    cfg,
+		Log:    log,
+		Repo:   repos,
+		Emby:   service.NewEmbyService(cfg, log, repos),
+		Stream: service.NewStreamService(cfg, log, repos, nil).SetStrmPlayTargetResolver(resolver.Resolve),
+	}
+}
+
+type countingStrmResolver struct {
+	calls int
+}
+
+func (r *countingStrmResolver) Resolve(context.Context, string, string) (*service.StrmPlayResult, error) {
+	r.calls++
+	link := "https://cdnfhnfile.115cdn.net/637b/Movie.mkv?t=1&k=sig"
+	return &service.StrmPlayResult{
+		RedirectURL: link,
+		Link:        &cloud.DirectLink{URL: link, Headers: map[string]string{"User-Agent": "ua"}},
+	}, nil
+}
+
+func serveEmbyVideoStream(t *testing.T, svc *service.Container, userAgent string) *httptest.ResponseRecorder {
+	t.Helper()
+	rec := httptest.NewRecorder()
+	c, _ := gin.CreateTestContext(rec)
+	c.Request = httptest.NewRequest(http.MethodGet, "/emby/Videos/cloud-1/stream?api_key=jwt123", nil)
+	c.Request.Header.Set("User-Agent", userAgent)
+	c.Params = gin.Params{{Key: "id", Value: "cloud-1"}}
+	embyVideoStreamHandler(svc, service.CloudPlaybackModeRedirectProxy)(c)
+	return rec
+}
+
+// 115 直链与换取时的 User-Agent 严格绑定（换错一个字符 CDN 就 403），而原生
+// 播放器（小幻影视 / RodelPlayer）的 API 层与播放器层 UA 并不一致，因此对非
+// 浏览器客户端绝不能在服务端替它换链，必须让客户端自己去同源端点换链。
+func TestEmbyVideoStreamDoesNotResolveDirectLinkForNativePlayer(t *testing.T) {
+	resolver := &countingStrmResolver{}
+	svc := newEmbyStreamResolveTestContainer(t, resolver)
+
+	w := serveEmbyVideoStream(t, svc, "RodelPlayer/2.2610.2.0 (Windows NT 10.0.26200; x64)")
+
+	if w.Code != http.StatusFound {
+		t.Fatalf("status = %d body=%s, want 302", w.Code, w.Body.String())
+	}
+	if resolver.calls != 0 {
+		t.Fatalf("server-side resolve called %d times, want 0", resolver.calls)
+	}
+	loc := w.Header().Get("Location")
+	if !strings.Contains(loc, "/api/strm/play/cloud115/video.mkv") {
+		t.Fatalf("Location = %q, want the same-origin strm endpoint", loc)
+	}
+	if strings.Contains(loc, "115cdn.net") {
+		t.Fatalf("Location = %q, must not point straight at the CDN for a native player", loc)
+	}
+}
+
+// 浏览器的 XHR 与 <video> 拉流必然是同一个 UA，可以继续享受服务端换链少一跳。
+func TestEmbyVideoStreamResolvesDirectLinkForBrowser(t *testing.T) {
+	resolver := &countingStrmResolver{}
+	svc := newEmbyStreamResolveTestContainer(t, resolver)
+
+	w := serveEmbyVideoStream(t, svc, "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/150.0.0.0 Safari/537.36")
+
+	if w.Code != http.StatusFound {
+		t.Fatalf("status = %d body=%s, want 302", w.Code, w.Body.String())
+	}
+	if resolver.calls != 1 {
+		t.Fatalf("server-side resolve called %d times, want 1", resolver.calls)
+	}
+	if loc := w.Header().Get("Location"); !strings.Contains(loc, "115cdn.net") {
+		t.Fatalf("Location = %q, want the resolved direct link", loc)
+	}
+}
+
+func TestIsBrowserLikeUserAgent(t *testing.T) {
+	cases := []struct {
+		ua   string
+		want bool
+	}{
+		{"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/150.0.0.0 Safari/537.36", true},
+		{"Mozilla/5.0 (iPhone; CPU iPhone OS 18_0 like Mac OS X) AppleWebKit/605.1.15", true},
+		{"RodelPlayer/2.2610.2.0 (Windows NT 10.0.26200; x64)", false},
+		{"Yamby/2.0.5.5(Android", false},
+		{"Infuse-Direct/8.0", false},
+		{"", false},
+	}
+	for _, tc := range cases {
+		if got := isBrowserLikeUserAgent(tc.ua); got != tc.want {
+			t.Fatalf("isBrowserLikeUserAgent(%q) = %v, want %v", tc.ua, got, tc.want)
+		}
+	}
+}

internal/service/stream_direct_redirect_test.go

@@ -145,6 +145,43 @@ func TestServeFileFallsBackWhenDirectResolveUnavailable(t *testing.T) {
 	}
 }
 
+// 客户端 API 层与播放器层 UA 不一致时（原生播放器普遍如此）不能由服务端换链后
+// 直接 302 到 CDN：115 直链绑定换取时的 UA，换错就是 403。此时必须回退到同源的
+// strm 端点跳转，让播放器用自己的 UA 换链。
+func TestServeFileWithClientSideResolveKeepsSTRMEndpoint(t *testing.T) {
+	repos := directRedirectTestRepo(t)
+	seedCloudSTRMMedia(t, repos, "cloud-client-side", "/api/strm/play/cloud115/video.mkv?acct=a1&pickcode=pc1")
+	direct := "https://cdnfhnfile.115cdn.net/637b/Movie.mkv?t=1&k=sig"
+	resolveCalls := 0
+	svc := NewStreamService(&config.Config{}, zap.NewNop(), repos, nil).
+		SetStrmPlayTargetResolver(func(_ context.Context, raw, userAgent string) (*StrmPlayResult, error) {
+			resolveCalls++
+			return &StrmPlayResult{
+				RedirectURL: direct,
+				Link:        &cloud.DirectLink{URL: direct, Headers: map[string]string{"User-Agent": userAgent}},
+			}, nil
+		})
+
+	req := httptest.NewRequest(http.MethodGet, "http://nas.local:18080/emby/Videos/cloud-client-side/stream?api_key=jwt123", nil)
+	req.Header.Set("User-Agent", "RodelPlayer/2.2610.2.0 (Windows NT 10.0.26200; x64)")
+	req = req.WithContext(WithClientSideSTRMResolve(req.Context()))
+	w := httptest.NewRecorder()
+
+	if err := svc.ServeFileWithCloudMode(w, req, "cloud-client-side", CloudPlaybackModeRedirectProxy); err != nil {
+		t.Fatalf("ServeFileWithCloudMode: %v", err)
+	}
+	if resolveCalls != 0 {
+		t.Fatalf("resolver called %d times, want 0", resolveCalls)
+	}
+	loc := w.Header().Get("Location")
+	if !strings.Contains(loc, "/api/strm/play/cloud115/video.mkv") {
+		t.Fatalf("Location = %q, want the same-origin strm endpoint", loc)
+	}
+	if strings.Contains(loc, "cdnfhnfile") {
+		t.Fatalf("Location = %q, must not point straight at the CDN", loc)
+	}
+}
+
 // 没有注入解析器（测试/精简部署）时保持原有跳转，不受本次优化影响。
 func TestServeFileKeepsSTRMEndpointWithoutResolver(t *testing.T) {
 	repos := directRedirectTestRepo(t)

internal/service/stream_file.go

@@ -86,6 +86,36 @@ func setCloudRedirectNoStore(w http.ResponseWriter) {
 // 由 /api/strm/play 再去换链，最坏情况只是回到改动前的行为。
 const directPlayResolveTimeout = 10 * time.Second
 
+// clientSideSTRMResolveKey 标记「本次播放由客户端自己换取 strm 直链」。
+type clientSideSTRMResolveKey struct{}
+
+// WithClientSideSTRMResolve 让本次播放跳过「服务端换链后直接 302 到 CDN」的短路，
+// 改为 302 到同源的 strm 播放端点，由客户端自己的请求去换取直链。
+//
+// 为什么需要它：115 等网盘的直链与「换取直链时提交的 User-Agent」逐个字符严格
+// 绑定，换错一个字符 CDN 一律 403。服务端短路换链用的是当前请求的 UA，而真正
+// 拉流的是客户端的播放器组件；当客户端的 API 层与播放器层 UA 不一致时
+// （例如小幻影视 / RodelPlayer：API 请求带 "(Windows NT 10.0.26200; x64)" 后缀、
+// 播放器拉流仍是裸 UA），客户端会拿到与自身 UA 不匹配的直链，CDN 返回 403，
+// 表现为「播放失败」。交给客户端自己请求同源端点换链，换链用的就是播放器真实 UA。
+//
+// 浏览器（含 WebView / Electron）的 XHR 与 <video> 拉流必然是同一个 UA，
+// 不需要走这条路径。
+func WithClientSideSTRMResolve(ctx context.Context) context.Context {
+	if ctx == nil {
+		return nil
+	}
+	return context.WithValue(ctx, clientSideSTRMResolveKey{}, true)
+}
+
+func clientSideSTRMResolve(ctx context.Context) bool {
+	if ctx == nil {
+		return false
+	}
+	enabled, _ := ctx.Value(clientSideSTRMResolveKey{}).(bool)
+	return enabled
+}
+
 // resolveDirectPlayTargetURL 尝试在服务端把 strm 目标解析成客户端可直接拉取的
 // 最终直链，供调用方直接 302。
 //
@@ -96,6 +126,11 @@ func (s *StreamService) resolveDirectPlayTargetURL(r *http.Request, raw string)
 	if s == nil || s.strmResolve == nil || r == nil {
 		return "", false
 	}
+	// 调用方声明该客户端的拉流 UA 与本次请求 UA 不保证一致（见
+	// WithClientSideSTRMResolve）：服务端换出来的直链会绑定错误的 UA，必须放弃短路。
+	if clientSideSTRMResolve(r.Context()) {
+		return "", false
+	}
 	ctx, cancel := context.WithTimeout(r.Context(), directPlayResolveTimeout)
 	defer cancel()
 	// 必须带播放器 UA：115 直链绑定换取时的 UA，且按 UA 分键缓存，换错会拿到