直接回答
门户认证网络不是模型文件损坏的证据。把大文件标记失败之前，先检查 Android 当前网络能力：网络可能显示配置了互联网能力，同时提示存在门户且没有通过公共互联网验证。应说明用户可能需要先登录网络，暂停模型请求，并且仅在连接恢复且工件身份仍匹配后再续传。不能试图绕过门户、压制登录页、关闭 TLS 检查，或将登录页面追加到模型文件。 此情形与模型服务器返回的恶意或意外重定向不同。门户是需要用户操作的合法网络认证；模型端点返回 HTML 或改变来源则属于响应内容校验事件。两者都要安全处理，但恢复动作不同。门户状态下，应让 Android 或用户浏览器完成网络登录，然后等待网络能力变化。模型响应异常时，则拒绝内容并保留原有工件。不要让用户接受证书警告，也不要在模型界面输入 Wi-Fi 密码。 Android NetworkCapabilities 提供 NET_CAPABILITY_CAPTIVE_PORTAL，用于标记最近探测发现需要门户的网络；NET_CAPABILITY_VALIDATED 则表示系统已验证公共互联网访问。能力会动态变化。它们是有用信号，不保证指定模型服务器一定可达，也不能保证后续请求永远成功。网络通过验证后仍可能掉线、被过滤、要求某个服务额外认证或返回非预期内容。下载器仍须检查状态码、内容类型、字节范围、工件版本和完整性规则。 让用户登录期间的下载状态保持安全。不要在未认证门户端点上反复请求大型模型。如果尚无字节被接受，就将传输排队或暂停，并清楚说明需要登录。如果已有部分文件，只有在工件身份、已接受偏移和响应元数据都明确时才保留；连接恢复后要请求有效范围，确认回复仍表示同一工件。HTTP 200 登录页不是模型下载成功。如果响应为 HTML、范围错误或表示已改变，应拒绝响应，并使用经过测试的重启或修复流程。 不要收集门户账号凭据。应由操作系统或 Wi-Fi 提供方处理登录；模型下载代码不应抓取浏览器页、存储网络密码，或把模型提示词及用户数据提交给门户端点。诊断可记录“网络尚未验证”及时间，不应保存用户凭据、带查询参数的完整门户 URL 或模型请求头。也不要仅因门户阻挡下载就声称发生了隐私泄漏；应准确描述观察到的状态和仍需完成的网络步骤。 重试行为应当是明确的状态转换，而不是计时器循环。观察网络能力变化，在网络通过验证时提供用户控制的重试。若门户状态仍在，就不要持续请求登录响应。用户切换网络后要重新核对传输源和续传元数据。如果无法确认部分文件身份，应创建新的候选文件，不混合旧字节。原来可用的模型以及所有用户内容都与临时下载文件分开管理。
模型传输遇到机场 Wi-Fi 登录页
手机连接机场 Wi-Fi，但网络没有通过公共连接验证。模型请求返回 HTML 登录页面，同时本地可能已存在部分下载字节。
决策
停止文件写入，只保留身份确定的候选，让用户通过系统完成门户登录，再等连接校验后恢复。
预期结果
门户内容不会成为模型字节，续传只发生在范围和工件身份重新核对之后。
需要收集的证据
只有将以下证据与同一模型文件和测试运行关联起来，结论才可复核：
- 事实卡 COVE-DOWNLOAD-01、COVE-MODEL-02；下载器临时文件、Range 与可选摘要校验边界。
- Android NetworkCapabilities 与网络状态读取官方 API。
收到完整字节流还不够；最终落盘、完整性、运行时加载和恢复路径也必须验证。
实施流程
- 检查当前网络能力. 区分已配置互联网、检测到门户和公共连接已验证的状态。Wi-Fi 图标本身不能证明指定模型服务可达。
- 门户需要登录时暂停. 说明网络需要认证，并让 Android 或浏览器处理登录。不要在模型流程中反复发起请求，也不应要求用户输入门户密码。
- 保护临时模型字节. 只有版本、下载源、已接受偏移及响应元数据都明确时才保留部分文件。门户 HTML 或重定向登录内容不可进入模型候选。
- 连接恢复后核实续传. 等待网络验证通过或用户明确重试，再请求已接受的范围并检查响应码、准确偏移、工件身份及内容类型。
- 拒绝非预期响应. 登录文档、范围不符、模型版本改变或未知类型都应终止此次写入，进入规定的修复或重新下载流程。
- 测试实际门户变化. 模拟门户检测、登录成功、验证恢复、门户重新出现、切换网络、取消和后续续传，确保日志中没有凭据和签名 URL。
让每个阶段的状态都可观察。失败信息应指出阶段、模型、运行时和恢复动作，同时避免记录用户私密内容。
验收标准
- 门户状态与模型工件损坏和普通网络超时分别呈现。
- 门户响应不会写入模型文件，系统的 TLS 与登录保护不被绕开。
- 重试需在用户操作或网络恢复后发生，并重新验证版本与偏移。
- 不采集门户密码、签名地址或模型输入用于诊断。
决策对照表
| 维度 | 选择或证据 | 解读方式 |
|---|---|---|
| 门户登录 | Android 检测到门户或公共网络尚未验证。 | 用户在系统完成登录后再次检查连接。 |
| 工件地址重定向 | 模型响应换源或内容类型异常。 | 按工件来源规则验证或拒绝响应。 |
| 暂时超时 | 没有门户信号但请求暂时失败。 | 有限退避，只续传身份明确的部分文件。 |
需要避免的失败模式
- 不得绕过 Android 登录流程、TLS 验证或要求用户在模型界面输入门户密码。
- 不得把门户 HTML 或错误响应写入模型候选，也不能据此声称工件已损坏。
还要避免静默回退、版本未固定、缺少取消处理，以及把不同配置的结果混在一起下结论。失败运行也应与成功记录一并保存。
最小复现记录
| 层级 | 记录内容 |
|---|---|
| 设备 | 厂商、型号、芯片、内存档位、操作系统版本 |
| 软件 | 应用版本和 Git 提交号 |
| 模型 | 系列、变体、版本、格式、文件长度、摘要、量化方式 |
| 运行时 | 名称、版本、请求后端及实际后端证据 |
| 工作负载 | 样例版本、输入摘要、提示词摘要、输出策略 |
| 结果 | 完成、失败、取消、回退及保护隐私的诊断信息 |
发布检查表
- ☐ 主要搜索问题已回答，且没有未经支持的数字。
- ☐ 所有模型文件和运行时版本均已固定。
- ☐ 代表性任务和失败处理策略均有说明。
- ☐ 生命周期、取消、清理和回退均已测试。
- ☐ 用户内容与网络边界均有说明。
- ☐ 结论只适用于被记录的配置。
- ☐ 新增测试结果时链接到原始方法或证据。
来源与相关证据
中文部署与排错专题见。奇连 AI 端侧专题。
常见问题
检测到门户就表示模型文件损坏吗？
不是。网络可能需要用户登录后才提供公共互联网访问。应把门户内容与下载字节分开，不能把连接问题说成模型完整性错误。
模型应用能向用户索要酒店 Wi-Fi 密码吗？
不能。应由 Android 或网络门户处理认证。应用等待连接恢复即可，不抓取浏览器页面中的密码，也不把凭据保存在模型状态里或诊断中。
门户期间可以无限循环重试吗？
不可以。观察网络能力变化，并在连接验证后有限次或由用户主动重试；否则容易反复下载 HTML 登录页、覆盖临时字节并消耗流量。