未鉴权的 zstd 请求就能打崩进程：v8.0.42 的四张新单与 go.mod 里那行 v1.17.4

先看自己会不会碰到

一、go.mod 第 18 行，钉着一个会被匿名打崩的解码器

• sdk/api/handlers/request_body.go 第 54–88 行，handler 入口的解码；6
• internal/api/middleware/request_logging.go，失败请求的错误体捕获也会解码；7
• internal/pluginhost/adapters_auth.go 第 38–68 行，v8.0.40 起给 frontend auth 插件用的预鉴权解码。

• 走默认并发解码时，panic 发生在解码器自己的 goroutine 里，gin 的 recover 抓不到，整个进程退出；
• 走预鉴权插件那条路（解码并发固定为 1）时，panic 被 Authenticate 的 recover 接住，但插件当场失效——独占式的 auth 插件会拒掉所有人，直到重启。

go get github.com/klauspost/compress@v1.20.3
go mod tidy

二、装了 frontend auth 插件：两个解码位，一道新 413

三、SIWC 凭证：一条凭证，两个令牌分区，一套失败状态

四、Vertex 上的 400：一个只有 Gemini Developer API 认的字段

上期那条 Grok 单，已经关了

版本、上游与社区

• OpenAI 开发者社区的 Codex 分区 01:58 一条新话题，讲长任务里 agent 自己加的假设导致范围漂移，与额度无关。28
• r/ClaudeAI 01:58 一条自测帖，把 20 美元档的单 5 小时窗口折成任务数：Sonnet 约 33 个、Haiku 约 20 个、Codex 约 18 个、Opus 约 6 个。这是用户自测，不是官方口径。29
• r/OpenAI 同一分钟一条与额度无关的帖子。30

今晚的处置顺序

1. 自建镜像：先换 github.com/klauspost/compress，重编、重发。这是四条里唯一今晚能落地的。
2. 装了 frontend auth 插件的：把「高峰期偶发 413」「请求成批排队」记成已知现象，别在插件侧反复调参。
3. 有 use_siwc: true 凭证的：核一遍最近有没有外层 401 后整条凭证下线的记录；有的话先关 use_siwc 或重登外层。
4. Vertex 上用 Gemini 的：把内置工具与函数工具拆开，或者按上面那段删掉 toolConfig.includeServerSideToolInvocations。
5. 盯 bc064340 之后的第一笔提交。四张单一字未改，等的是那一笔。