[REQ-162][CODE] 持续 401 不得形成每 30 秒一次的 respawn 自激循环

[jinjunnn]

来源:Codex 只读审计(2026-07-25,alpha @ 0aa9a0b70)的 B3。
基线明令「transient 失败禁循环 respawn(防 respawn 风暴)」——
docs/design/2026-07-23-startup-availability-baseline.md ## ③。现状未守住。

失败序列

main/alpha-account-request.ts:33,39、main/alpha-auth.ts:567、
renderer/alpha-ui/model-recovery.ts:88

1. account 返回 401 → refresh 成功 → 触发 token-only respawn。
2. 带新 account token 重试仍返回 401,只设置 now + 30s cooldown。
3. account consumer 对 unauthorized 使用无上限封顶退避([REQ-161][CODE] renderer 侧三个闩死点改为不依赖事件必达——client 有界自探 / 取消重试悬崖 / 立即重试覆盖 client 层 #594 引入),持续请求。
4. 30 秒后再次允许 account 驱动 refresh;refresh 又成功 → 再次 respawn。
5. endpoint 持续 401 时,该循环永久重复,每 30 秒中断一次 sidecar/会话。

注:第 3 步的无上限退避本身是 #594 的正确修复(消灭预算悬崖),
问题在于它与「有限 cooldown 作为终局」组合出了自激。不要回退 #594。

修法要点

续期后的第二个 401 应把该 purpose 的「account 驱动刷新」锁住,
直到该 endpoint 出现非 401 成功或外部 auth 状态明确变化。
不得用有限 cooldown 作为终局。

本票边界

• 负责:持续 401 不得形成周期性 respawn 自激;账户不可用时降级保持而非反复中断会话。
• 边界:main/alpha-account-request.ts、main/alpha-auth.ts 的 account 驱动刷新入口。
• out-of-scope:token-only respawn 终态([REQ-162][CODE] token-only respawn 终态可达 + generation 不提前消费 + 失败可低频重试 #600);renderer auth 自探(另票);
  refresh CAS(另票)。不得回退 [REQ-161][CODE] renderer 侧三个闩死点改为不依赖事件必达——client 有界自探 / 取消重试悬崖 / 立即重试覆盖 client 层 #594 的无上限退避。
• 退出条件:下列测试由红转绿;bin/check 绿。

回归测试(退出条件;审计确认当前缺失)

1. 续期后第二个 401 → account 驱动刷新被锁住,不再触发 respawn。
2. 持续 401 超过 cooldown 窗口 → 总共只发生一次 refresh + 一次 respawn。
3. 该 endpoint 出现非 401 成功 → 锁解除,后续 401 可再驱动一次刷新。
4. 外部 auth 状态明确变化(登入/登出)→ 锁解除。

禁止过度工程:最简实现为准,不引入新抽象或状态机。