feat: 优化HTTP/2支持，调整拨号器以优先使用IPv4并兼容utls指纹

docs/web-endpoint-upgrade.md

@@ -322,7 +322,7 @@ func (p *HIFPoller) GetHeaders() map[string]string  // 获取当前HIF头部
 ```
 ClientHello: HelloSafari_Auto
 ALPN: h2 + http/1.1 (setSafariALPN，与真实 Safari 一致)
-ForceAttemptHTTP2: true
+传输层: golang.org/x/net/http2.Transport
 ```
 
 ### Web端
@@ -330,13 +330,20 @@ ForceAttemptHTTP2: true
 ```
 ClientHello: HelloChrome_Auto
 ALPN: 自然协商 (支持 h2 和 http/1.1)
-ForceAttemptHTTP2: true
+传输层: golang.org/x/net/http2.Transport
 ```
 
 > chat.deepseek.com 现已要求 HTTP/2：HTTP/1.1 客户端会收到服务端返回的 h2
-> SETTINGS 帧，被 Go 的 http.Transport 解析为 "malformed HTTP response"。
-> 因此两个平台均通过 ALPN 协商 h2 并 `ForceAttemptHTTP2: true`。Android 端
-> 早期曾强制 http/1.1，现已对齐真实 Safari 行为改用 h2。
+> SETTINGS 帧，被解析为 "malformed HTTP response"。
+>
+> **关键实现要点**：utls 连接（`*utls.UConn`）不是 `*tls.Conn`，Go 标准库的
+> `http.Transport` 无法识别其协商出的 ALPN `h2` 并升级 HTTP/2（只会走
+> HTTP/1.1）。因此带 utls 指纹的客户端改用 `golang.org/x/net/http2.Transport`
+> + `DialTLSContext`（返回 utls 连接）：`http2.Transport` 直接对任意
+> `net.Conn` 做 h2 帧收发，不依赖 `*tls.Conn`，从而让 utls 指纹 + h2 共存。
+> 回退的 std TLS 客户端则用标准 `http.Transport` + 显式
+> `http2.ConfigureTransport` 保证 h2。SOCKS5 代理通过 `dialContext` 在 TCP
+> 层透传，对 h2 透明。
 
 实现位于 `internal/deepseek/transport/transport.go`：
 
@@ -347,6 +354,14 @@ func TLSDialerForPlatform(platform string) func(...) {
     }
     return safariTLSDialer(dialContext)      // Safari + HTTP/2
 }
+
+// utls 客户端用 http2.Transport 驱动 h2
+func NewWithDialContextAndPlatform(...) *Client {
+    h2t := &http2.Transport{
+        DialTLSContext: func(...) { return tlsDialer(...) },
+    }
+    return &Client{http: &http.Client{Transport: h2t}}
+}
 ```
 
 ---

go.mod

@@ -11,7 +11,10 @@ require (
 	github.com/router-for-me/CLIProxyAPI/v6 v6.9.14
 )
 
-require github.com/dlclark/regexp2 v1.11.5 // indirect
+require (
+	github.com/dlclark/regexp2 v1.11.5 // indirect
+	golang.org/x/text v0.35.0 // indirect
+)
 
 require (
 	github.com/klauspost/compress v1.18.5 // indirect

internal/deepseek/hif/hif.go

@@ -37,13 +37,14 @@ type HIFPoller struct {
 }
 
 // NewHIFPoller creates a new HIFPoller using web-platform TLS fingerprinting.
-// 拨号器强制 IPv4：HuggingFace Spaces 等环境没有 IPv6 出口，
-// hif-dliq/hif-leim 常解析到 IPv6，会导致 "network is unreachable" 反复重试。
+// 拨号器优先 IPv4：HuggingFace Spaces 等环境没有 IPv6 出口，
+// hif-dliq/hif-leim 常解析到 IPv6，会导致 "network is unreachable" 反复重试；
+// 但 hif-dliq 仅 IPv6，故优先 IPv4、兜底 IPv6 而非完全跳过。
 func NewHIFPoller() *HIFPoller {
 	return &HIFPoller{
 		stopCh:   make(chan struct{}),
-		client:   trans.NewWithDialContextAndPlatform(15*time.Second, trans.IPv4DialContext, "web"),
-		fallback: trans.NewFallbackClientWithPlatform(15*time.Second, trans.IPv4DialContext, "web"),
+		client:   trans.NewWithDialContextAndPlatform(15*time.Second, trans.PreferIPv4DialContext, "web"),
+		fallback: trans.NewFallbackClientWithPlatform(15*time.Second, trans.PreferIPv4DialContext, "web"),
 	}
 }
 

internal/deepseek/transport/transport.go

@@ -8,6 +8,8 @@ import (
 	"net/http"
 	"time"
 
+	"golang.org/x/net/http2"
+
 	utls "github.com/refraction-networking/utls"
 )
 
@@ -33,27 +35,26 @@ func NewWithPlatform(timeout time.Duration, platform string) *Client {
 	return NewWithDialContextAndPlatform(timeout, nil, platform)
 }
 
+// NewWithDialContextAndPlatform 构建带 utls 指纹的客户端。
+//
+// 关键点：utls 连接（*utls.UConn）不是 *tls.Conn，Go 的 http.Transport 无法
+// 识别它协商出的 ALPN "h2" 并升级 HTTP/2，只能走 HTTP/1.1。而 chat.deepseek.com
+// 现已要求 HTTP/2，HTTP/1.1 会被服务端返回的 h2 SETTINGS 帧击穿为
+// "malformed HTTP response"。因此这里改用 golang.org/x/net/http2.Transport，
+// 它直接对任意 net.Conn 做 h2 帧收发，不依赖 *tls.Conn，从而让 utls 指纹 + h2
+// 共存。SOCKS5 代理仍通过 dialContext 在 TCP 层透传，不受影响。
 func NewWithDialContextAndPlatform(timeout time.Duration, dialContext DialContextFunc, platform string) *Client {
-	useEnvProxy := dialContext == nil
 	if dialContext == nil {
 		dialContext = (&net.Dialer{Timeout: 15 * time.Second, KeepAlive: 30 * time.Second}).DialContext
 	}
 	tlsDialer := TLSDialerForPlatform(platform, dialContext)
-	// chat.deepseek.com 现已要求 HTTP/2（HTTP/1.1 会被服务端返回的 h2 SETTINGS 帧
-	// 击穿为 "malformed HTTP response"），因此所有平台都强制尝试 h2。
-	base := &http.Transport{
-		ForceAttemptHTTP2:   true,
-		MaxIdleConns:        200,
-		MaxIdleConnsPerHost: 100,
-		IdleConnTimeout:     90 * time.Second,
-		DialContext:         dialContext,
-		DialTLSContext:      tlsDialer,
-		TLSClientConfig:     &tls.Config{MinVersion: tls.VersionTLS12},
-	}
-	if useEnvProxy {
-		base.Proxy = http.ProxyFromEnvironment
+	h2t := &http2.Transport{
+		AllowHTTP: false,
+		DialTLSContext: func(ctx context.Context, network, addr string, _ *tls.Config) (net.Conn, error) {
+			return tlsDialer(ctx, network, addr)
+		},
 	}
-	return &Client{http: &http.Client{Timeout: timeout, Transport: base}}
+	return &Client{http: &http.Client{Timeout: timeout, Transport: h2t}}
 }
 
 func (c *Client) Do(req *http.Request) (*http.Response, error) {
@@ -64,13 +65,15 @@ func NewFallbackClient(timeout time.Duration, dialContext DialContextFunc) *http
 	return NewFallbackClientWithPlatform(timeout, dialContext, "android")
 }
 
+// NewFallbackClientWithPlatform 构建 std TLS 回退客户端。它使用标准 *tls.Conn，
+// 通过显式 http2.ConfigureTransport 确保 HTTP/2 可用（ForceAttemptHTTP2 在某些
+// 场景下不会自动配置 h2，显式调用更稳妥）。std transport 同时支持 HTTP CONNECT
+// 代理（Proxy）与 SOCKS5（dialContext）。
 func NewFallbackClientWithPlatform(timeout time.Duration, dialContext DialContextFunc, platform string) *http.Client {
 	useEnvProxy := dialContext == nil
 	if dialContext == nil {
 		dialContext = (&net.Dialer{Timeout: 15 * time.Second, KeepAlive: 30 * time.Second}).DialContext
 	}
-	// 同主 transport：所有平台强制尝试 h2，保证 utls 指纹请求失败回退到 std
-	// transport 时仍能与要求 HTTP/2 的 chat.deepseek.com 通信。
 	base := &http.Transport{
 		ForceAttemptHTTP2:   true,
 		MaxIdleConns:        200,
@@ -82,6 +85,10 @@ func NewFallbackClientWithPlatform(timeout time.Duration, dialContext DialContex
 	if useEnvProxy {
 		base.Proxy = http.ProxyFromEnvironment
 	}
+	if err := http2.ConfigureTransport(base); err != nil {
+		// 配置 h2 失败不致命：仍能以 HTTP/1.1 退化运行。
+		_ = err
+	}
 	return &http.Client{Timeout: timeout, Transport: base}
 }
 
@@ -108,7 +115,6 @@ func chromeTLSDialer(dialContext DialContextFunc) func(ctx context.Context, netw
 		host, _, _ := net.SplitHostPort(addr)
 		uCfg := &utls.Config{ServerName: host}
 		uConn := utls.UClient(plainConn, uCfg, utls.HelloChrome_Auto)
-		// Do NOT force HTTP/1.1 ALPN; allow natural ALPN negotiation (h2 or http/1.1).
 		err = uConn.HandshakeContext(ctx)
 		if err != nil {
 			_ = plainConn.Close()
@@ -161,28 +167,33 @@ func setSafariALPN(uConn *utls.UConn) error {
 	return nil
 }
 
-// IPv4DialContext 仅拨号解析到的 IPv4 地址。用于 HuggingFace Spaces 等
-// 没有 IPv6 出口的部署：标准 Happy Eyeballs 在某些纯 IPv6 解析结果下会反复
-// 拨 IPv6 拿到 "network is unreachable"，这里显式跳过 IPv6。
-func IPv4DialContext(ctx context.Context, network, addr string) (net.Conn, error) {
+// PreferIPv4DialContext 优先拨号 IPv4 地址，没有 IPv4 时回退到 IPv6。
+// 用于 HuggingFace Spaces 等没有 IPv6 出口的部署：标准 Happy Eyeballs 在
+// 纯 IPv6 解析结果下会反复拨 IPv6 拿到 "network is unreachable"。但部分域名
+// （如 hif-dliq.deepseek.com）只有 IPv6，因此不能完全跳过 IPv6——优先 IPv4、
+// 兜底 IPv6。
+func PreferIPv4DialContext(ctx context.Context, network, addr string) (net.Conn, error) {
 	host, port, err := net.SplitHostPort(addr)
 	if err != nil {
 		return nil, err
 	}
-	// 已经是 IP 直连时，IPv4 直接拨，IPv6 直接放弃。
+	d := &net.Dialer{Timeout: 15 * time.Second, KeepAlive: 30 * time.Second}
+	// 已经是 IP 直连时直接拨。
 	if ip := net.ParseIP(host); ip != nil {
+		nw := "tcp"
 		if ip.To4() == nil {
-			return nil, fmt.Errorf("ipv4-only dialer: %s is not IPv4", host)
+			nw = "tcp6"
+		} else {
+			nw = "tcp4"
 		}
-		d := &net.Dialer{Timeout: 15 * time.Second, KeepAlive: 30 * time.Second}
-		return d.DialContext(ctx, "tcp4", net.JoinHostPort(host, port))
+		return d.DialContext(ctx, nw, net.JoinHostPort(host, port))
 	}
 	ips, err := net.DefaultResolver.LookupIPAddr(ctx, host)
 	if err != nil {
 		return nil, err
 	}
+	// 第一轮：IPv4。
 	var lastErr error
-	d := &net.Dialer{Timeout: 15 * time.Second, KeepAlive: 30 * time.Second}
 	for _, ip := range ips {
 		if ip.IP.To4() == nil {
 			continue
@@ -193,8 +204,19 @@ func IPv4DialContext(ctx context.Context, network, addr string) (net.Conn, error
 		}
 		lastErr = derr
 	}
+	// 第二轮：IPv6 兜底。
+	for _, ip := range ips {
+		if ip.IP.To4() != nil {
+			continue
+		}
+		conn, derr := d.DialContext(ctx, "tcp6", net.JoinHostPort(ip.IP.String(), port))
+		if derr == nil {
+			return conn, nil
+		}
+		lastErr = derr
+	}
 	if lastErr != nil {
 		return nil, lastErr
 	}
-	return nil, fmt.Errorf("ipv4-only dialer: no IPv4 address resolved for %s", host)
+	return nil, fmt.Errorf("no usable address resolved for %s", host)
 }