headless: credentials refs: resolution broken — MISSING_CREDENTIAL despite keys present in .credentials.yaml (0.2.1-rc.2/rc.3)

[Tazio7]

环境

• dsh: 0.2.1-rc.2 与 0.2.1-rc.3 均复现；0.2.0-rc.2 正常
• macOS 26 aarch64，npm 全局安装
• headless profile，模型路由经 llm-pi-ai（如 zai-coding-cn/glm-5.3-flash）

复现

1. 全新 DSH_HOME；headless profile 配一个凭据走 refs 的模型路由
2. ~/.dsh/.credentials.yaml 内含真实 key（内联值）：

refs:
  ZAI_CODING_CN_API_KEY: "<真实 key>"
  XIAOMI_API_KEY: "<真实 key>"

3. 不设该环境变量，直接：dsh --profile headless "hi"（stdin 保持打开）

实际

dsh: MISSING_CREDENTIAL: llm-pi-ai: no credential for provider route "zai-coding-cn"; its profile resolves ZAI_CODING_CN_API_KEY, which is not set

秒败，exit 1——两条路由同样失败。

期望

解析器回退到 credentials 存储 refs: 的值（0.2.0-rc.2 行为：无 env key 时，每日模型调用任务全部从存储解析成功）。

备注

• 设置 env 变量后正常 → env 路径没问题，refs/存储路径坏了
• refs: 中 key 存在且非空（内联值，无 records 间接引用）
• 0.2.1 首次 headless 启动会把 .credentials.yaml 重写为 refs/records 结构（观察到 mtime 变化）——可能相关
• 全新 DSH_HOME（全新用户模拟）与生产环境均复现；生产定时任务 2026-10-23 07:30/09:00 失败

绕行

在派生环境导出 keys（我们把它们注入了调度器 LaunchAgent 的 EnvironmentVariables）。

[ChangkeunJ]

Not a regression, it's a documented change since 0.2.1-alpha.3. The shipped headless profile disables the credentials, authorization and deepseek-account services in its cordis.patch.yml, so llm-pi-ai never gets a store and only checks the launch environment: process env, then /.env, then ~/.dsh/.env. Put ZAI_CODING_CN_API_KEY in ~/.dsh/.env, or apply the three-row restoration patch from packages/bundle/headless/README.md to your profile. The v0.2.1-alpha.2 upgrade guide covers it.