Bug report + fix: image-bearing session deadlocks when switching to a text-only model (Web GUI)

[staryu5463]

Hi team 👋

I hit a real deadlock in the Web GUI (rc8) and implemented a fix on my fork. Since external PRs aren't open yet, I'm sharing it here per the contributing guide.

The bug

1. Use a vision-capable model and send an image — the session now contains model-visible images.
2. The image-capable model becomes unusable (e.g. quota exhausted) — you must switch.
3. Switching to any text-only model is refused: model-unavailable: ...session already contains images.
4. The refusal was a one-shot toast with no way out: the GUI leaves you with no usable model for the session, and the window is stuck. Restarting loses the conversation.

The fix
A new session.removeImages RPC strips every image block from the model-visible surface (rewriting user/message and tool/result nodes, keeping the append-origin events in the log) and from pending inbox items. The composer model seat then intercepts the model-unavailable refusal carrying reason: 'session-contains-images' and offers a "Remove images and switch" dialog — confirming strips the images and retries the exact refused selection; cancelling leaves the session untouched.

Design notes

• Model-visible ⟺ logged: rewrites go through the existing surfaceOp: replace events, so origin history is preserved.
• Removed images become a readable [image removed …] placeholder; surrounding text survives.
• selectModel keeps its authoritative image-admission fence — the dialog is the client-side way through it.
• One subtle bug found along the way: rpc.schema.ts was stripping the reason field from model-unavailable details (zod default strips unknown fields), so the client could never see the fence reason — the schema now carries it.

Where
Fork staryu5463/deepseek-harness, branch fix/session-image-switch-recovery (1 commit, 25 files, +860/−106): https://github.com/staryu5463/deepseek-harness/tree/fix/session-image-switch-recovery

Verification (all green locally)

• Host: refusal reason, removeImages rewrite (pure-image and mixed), fence clearing, idempotency, schema roundtrip.
• Client: dialog confirm/cancel flows, outcome handling.
• Assembled web snapshot over a fixture imageFence backend: confirm flow + cancel flow.
• lint 0 errors, typecheck clean, full build OK; also verified manually in the GUI.

Happy to rebase, adjust, or walk through any part of it once PRs open up. Thanks for the project!

中文简述：带图片的会话在切换到纯文本模型时会被拒绝且没有任何出路（Web GUI 卡死，重启丢对话）。修复方案：新增 session.removeImages RPC 从模型可见表层移除图片（保留日志原文），座位菜单弹出“移除图片并切换”对话框；同时修复了 rpc.schema.ts 剥掉拒绝原因字段的问题。改动已提交在 fork staryu5463/deepseek-harness 的 fix/session-image-switch-recovery 分支，测试与实测均通过。

[weijiafu14]

这个死锁成立，你的修法方向也和上游后来走的路一致——而且我手上有一条你可能会想先核一下的实测事实，它有可能让你这个 25 文件的补丁瘦一大圈。

0.1.1 的 dispatch 已经不再拒绝了，它做的是"可见降级"

我们是 DSH 的外部插件（Pi 生态兼容层），因此必须同时兼容 rc.8 和 0.1.1 两代，两代的差异都钉在契约测试里。其中一条正是文本模型收到图片时会发生什么：

• 0.1.0-rc.8：dispatch 原样到达 adapter，模态不匹配得由 adapter 侧自己挡（我们这边是在问 provider 之前就拒绝）。
• 0.1.1 线：宿主自己的 dispatch 先解决模态不匹配——把 image 块替换成一条显式的 [image omitted …] 文本提示，然后照常发出去。可见降级，不是静默丢弃。

我们的测试对这两代做能力探测（探 LlmAdapter.prototype.prepareCall 是否存在，不探版本号），断言 0.1.1 上 provider 确实被调用了、且消息里带着那条 omission 提示，reason.kind === 'stop' 正常收尾。

两件事值得你注意：

1. 上游选的语义和你选的一模一样——保留文本、把图片换成一句人能读懂的占位。你写的是 [image removed …]，它写的是 [image omitted …]。你的设计直觉和上游后来的落点撞上了，这对你这个补丁的说服力是加分项，值得在描述里点出来。
2. 更实际的一点：如果 0.1.1 的 dispatch 已经能容忍带图会话发给文本模型，那么 selectModel 那道"会话已含图片就拒绝切换"的准入栅栏可能已经变成多余的了。

我没验的那一半（重要）

我验的是 dispatch 层（llm 分发时对模态不匹配怎么处理）。我没有验 selectModel 的准入栅栏在 0.1.1 上是不是还在拒绝——那是另一层，我没测过，不能替你下结论。

但这件事你花十分钟就能自己确认，而结论直接决定你补丁的体量：

• 如果 0.1.1 上栅栏还在：你的补丁照旧需要，但可以在描述里补一句"dispatch 层已经容忍了，栅栏是这条路上剩下的唯一阻塞"——这比"新增一个 RPC"好卖得多，因为它把诉求从"加能力"变成了"拆掉一个已经失去理由的限制"。
• 如果栅栏在 0.1.1 上已经放行：那你的 session.removeImages 就从"唯一出路"降级成"可选的清理工具"，25 文件的补丁可能缩到只剩那个 zod schema 修复。

那个 zod 修复是本帖第二贵的发现，而且它属于一个反复出现的类

rpc.schema.ts was stripping the reason field from model-unavailable details (zod default strips unknown fields), so the client could never see the fence reason

这是我这两天在社区里见到的第三例同形状缺陷：

帖	位置	表现
#3566	dsh-llm 的 discoverModels 归一化	端点返回的 reasoningEfforts 被重建成只剩四个字段的对象，丢弃
同上	Settings UI 的 adopt(candidate)	只拷 id/name/contextWindow/maxTokens
本帖	rpc.schema.ts 的 zod	默认 strip 未声明字段，reason 到不了客户端

共同点：中间有一层"归一化/校验"用了白名单或默认剥离，而这个白名单没有跟着上游 schema 一起长。三处的表现都是"字段在源头有、在终点没有、中间没有任何报错"。

我觉得这比三个独立 bug 更值得提给维护者——修法可以是统一的（归一化白名单与 schema 同源、zod 用 passthrough() 或显式声明全字段），而不是每次等人踩到再补一个字段。你的 reason 这例尤其能说明问题：它剥掉的恰恰是"告诉用户为什么被拒"的那个字段，于是一个本可自愈的错误变成了死锁。

边界

我们不修 DSH 自家组件——Web GUI、selectModel 栅栏、RPC schema 都在 DSH 里，上面全是佐证和一条建议核实的事实，不是我能替你落地的东西。

利益相关：我维护 pi2dsh。这条不推销：你要的是这个补丁被上游合入，装什么第三方插件都不解决"外部 PR 还没开放"这件事。