JianFeeeee
a101c2fada
## 起因 本会话踩到一次：浏览器测试点了 opencode 的「停用」按钮验证确认流程， 停用连带撤销全部密钥。插件从此拿着已撤销的密钥重试了 18 小时 （gateway 日志 2690 次 401），而 UI 只说了「已停用」。 恢复时同样没提示「密钥不会自动回来」，点完恢复以为就完事了。 ## 文案 后端 `AdminSetAgentStatus`： - 停用 detail 补一句「停用期间别人发信给它会收到 409」 - 恢复 detail 改成「停用时撤销的密钥不会自动回来 —— 必须在密钥面板 重新签发一把并写进该插件的配置，否则它会一直拿旧密钥重试并被拒（401）」 - 恢复响应加 `needs_new_key: true` 字段，前端可据此做更强的提示 前端 QuotaPanel：恢复成功的 notice 不再是「已恢复」四个字， 把重新签发这一步说全；面板说明与按钮 title 同步。 ## AdminDeleteAgent 两处修正 - 硬编码 `name == "jianf"` 改成按 `repo.IsHumanUser` 判定 —— 换管理员时 硬编码会失效，而人类账号不该走 Agent 删除端点 - detail 原来说「日历事件已保留」，实际 `DeleteAgent` 把 active 事件置为 cancelled（留着会由调度器一直触发，而发信人已不存在）。文案改成实际行为 ## deploy/redeploy-gateway.sh（新） 日常改后端不必重跑 install.sh（它重装 npm 依赖、重写 systemd 单元、 重新生成 env）。这个脚本做手工 `stop → cp → start` 不做的四件事： - `sqlite3 .backup` 备份数据库 + 立即 `PRAGMA integrity_check` 复核。 不用 cp：WAL 模式下 cp 会拿到主库与 -wal 不同步的快照 - `install -m 0755` 原子替换二进制。install 本质是 rename，要么完整 换掉要么原样不动；cp 是就地写入，中途失败会留下半截文件且旧的已被覆盖 - 旧二进制留档并打印可直接粘贴的回滚命令 - 后置验证清单：服务 active / /health 可达 / 近 2 分钟无 panic / SSE 重连计数。任一项不过**自动回滚**，不「先上着再修」 `--dry-run` 只打印动作，`--skip-tests` 急救用，`--skip-web` 跳过前端同步。 纪律来自 git-release-discipline skill 第五章。 ## 验证 - 脚本 dry-run + 真实跑通一次：备份 integrity_check=ok、原子替换、 9 个 SSE 客户端重连、验证四项全绿 - 停用/恢复文案线上实测；`DELETE /admin/agents/jianf` → 403「是人类用户」 - 端到端：jianf → opencode「部署脚本验收」→ 回信「部署验收 OK」 - 全量测试：gateway 全包 / web 176 / opencode 217 / pi 288 / dsh 241 / homeagent go ok；三方共用模块同源检查通过
188 lines
8.4 KiB
Bash
Executable File
188 lines
8.4 KiB
Bash
Executable File
#!/usr/bin/env bash
|
||
#
|
||
# 把 AgentMail Gateway 与各平台的 mail-bridge 安装为 systemd 服务。
|
||
#
|
||
# sudo ./deploy/install.sh
|
||
#
|
||
# 幂等：重复执行等价于「重新构建 + 重启」。已存在的 env 文件不会被覆盖，
|
||
# 因为里面有管理员密码与 Agent secret，重装不该把它们冲掉。
|
||
set -euo pipefail
|
||
|
||
REPO="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
|
||
PREFIX=/opt/agentmail
|
||
ETC=/etc/agentmail
|
||
|
||
[[ $EUID -eq 0 ]] || { echo "需要 root：sudo $0" >&2; exit 1; }
|
||
|
||
echo "==> 构建前端"
|
||
( cd "$REPO/web" && npm ci --no-audit --no-fund 2>/dev/null || npm install --no-audit --no-fund )
|
||
( cd "$REPO/web" && npm run typecheck && npm test && npm run build )
|
||
|
||
echo "==> 校验插件共用模块同源"
|
||
# lib/ 下的纯函数模块在三个插件里逐字节相同（见 docs/PLUGIN-CONTRACT.md 第六节）。
|
||
# 一侧改了另一侧没改，几个平台的行为就会悄悄分叉。
|
||
"$REPO/deploy/check-shared-libs.sh"
|
||
|
||
# 插件的纯函数测试（自动转发去重等）。
|
||
# 插件不参与构建产物，但它的逆行为会直接变成用户收件箱里的重复邮件，
|
||
# 因此也纳入部署前的门禁。zod 已在 node_modules 里就不重装。
|
||
if [[ -d "$REPO/plugins/opencode-mail-bridge/node_modules/zod" ]]; then
|
||
( cd "$REPO/plugins/opencode-mail-bridge" && npm test )
|
||
else
|
||
( cd "$REPO/plugins/opencode-mail-bridge" && npm install --no-audit --no-fund && npm test )
|
||
fi
|
||
# DSH 插件：先构建再跑测试。
|
||
#
|
||
# 它是 TypeScript 写的，package.json 的 main 指向 dist/index.js，而 dist/ 不进版本库
|
||
# （与 web/dist 同理）—— 新克隆里不先 tsc，DSH 加载插件时会直接找不到入口。
|
||
# 测试本身只碰 lib/ 下的纯函数（不依赖 dist），但先构建能把类型错误也当成门禁。
|
||
#
|
||
# 盖住的三类约定都是「错了不当场报错、只在深处炸一个无关错误」：
|
||
# followup 消息形状、工作目录解析、会话快照的 subagent 过滤。
|
||
if [[ -d "$REPO/plugins/dsh-mail-bridge/node_modules/typescript" ]]; then
|
||
( cd "$REPO/plugins/dsh-mail-bridge" && npx tsc && npm test )
|
||
else
|
||
( cd "$REPO/plugins/dsh-mail-bridge" \
|
||
&& npm install --no-audit --no-fund && npx tsc && npm test )
|
||
fi
|
||
# pi 插件：纯 ESM，无构建步骤，唯一的外部依赖是全局装的 pi SDK。
|
||
#
|
||
# 它不 npm install：@earendil-works/pi-coding-agent 是全局包（peerDependency），
|
||
# 装在项目里会得到第二份 SDK，两份各自维护 ~/.pi/agent 的会话索引缓存。
|
||
# 因此这里只软链一次；SDK 不在时跳过测试（turn/naming 是纯函数，
|
||
# 但 lib 的测试也一起跑，没必要为缺 SDK 的机器留半套门禁）。
|
||
PI_SDK=/usr/lib/node_modules/@earendil-works/pi-coding-agent
|
||
if [[ -d "$PI_SDK" ]]; then
|
||
install -d "$REPO/plugins/pi-mail-bridge/node_modules/@earendil-works"
|
||
ln -sfn "$PI_SDK" "$REPO/plugins/pi-mail-bridge/node_modules/@earendil-works/pi-coding-agent"
|
||
( cd "$REPO/plugins/pi-mail-bridge" && npm test )
|
||
else
|
||
echo " 未找到 pi SDK（$PI_SDK），跳过 pi 插件测试"
|
||
fi
|
||
|
||
echo "==> 前端产物嵌入 Gateway"
|
||
# 只清构建产物，不能 rm -rf 整个目录：
|
||
# placeholder.html 在版本库里（让 go:embed 在新克隆里能编译），
|
||
# 删掉它会让 git 看到一个本地删除，下一次 commit -a 就把它从仓库里带走了。
|
||
rm -rf "$REPO/gateway/internal/static/static/assets"
|
||
rm -f "$REPO/gateway/internal/static/static/index.html"
|
||
cp -r "$REPO/web/dist/." "$REPO/gateway/internal/static/static/"
|
||
|
||
echo "==> 构建 Gateway（单二进制，内含前端 + SQLite）"
|
||
# 先删再建：go build -o 到已存在的路径时可能拿到 stale 二进制（此坑中过多次）
|
||
rm -f "$REPO/gateway/agentmail-gateway"
|
||
( cd "$REPO/gateway" && go vet ./... && go test ./... && go build -o "$REPO/gateway/agentmail-gateway" ./cmd/server )
|
||
|
||
echo "==> 安装到 $PREFIX"
|
||
install -d "$PREFIX" "$PREFIX/data" "$ETC"
|
||
install -m 0755 "$REPO/gateway/agentmail-gateway" "$PREFIX/agentmail-gateway"
|
||
|
||
# ---- env 文件：仅在缺失时生成，密码随机 ----
|
||
if [[ ! -f "$ETC/gateway.env" ]]; then
|
||
ADMIN_PASS="$(head -c 18 /dev/urandom | base64 | tr -d '/+=' | head -c 20)"
|
||
cat > "$ETC/gateway.env" <<EOF
|
||
# AgentMail Gateway 环境变量
|
||
ADMIN_USER=admin
|
||
ADMIN_PASSWORD=$ADMIN_PASS
|
||
|
||
# 生产环境走 HTTPS 时置 true，Cookie 才会带 Secure 标记
|
||
SECURE_COOKIE=false
|
||
|
||
# 允许的前端跨域来源（逗号分隔）；单二进制自带前端时通常无需配置
|
||
# CORS_ORIGINS=https://mail.example.com
|
||
EOF
|
||
chmod 0600 "$ETC/gateway.env"
|
||
echo " 已生成 $ETC/gateway.env（管理员 admin / $ADMIN_PASS）"
|
||
else
|
||
echo " $ETC/gateway.env 已存在，保留不动"
|
||
fi
|
||
|
||
if [[ ! -f "$ETC/opencode.env" ]]; then
|
||
cat > "$ETC/opencode.env" <<EOF
|
||
# opencode mail-bridge 插件配置
|
||
AGENTMAIL_GATEWAY_URL=http://127.0.0.1:8180
|
||
AGENTMAIL_AGENT_NAME=opencode
|
||
|
||
# 接入密钥：留空时插件会在 \$AGENTMAIL_CONFIG_DIR/agent.key 本地生成一把并打印到日志，
|
||
# 拿着它到 Web 后台「Agent 密钥」登记即可接入（journalctl -u opencode-serve | grep mail-bridge）。
|
||
# 也可以先在后台签发密钥，再把它填在这里。
|
||
AGENTMAIL_AGENT_KEY=
|
||
AGENTMAIL_CONFIG_DIR=/opt/agentmail/agent-config
|
||
|
||
# 处理来信时使用的模型
|
||
AGENTMAIL_REPLY_PROVIDER=llmsproxy
|
||
AGENTMAIL_REPLY_MODEL=AUTO
|
||
|
||
# opencode serve 绑在 127.0.0.1，但同机任何进程都能调它开会话，
|
||
# 因此仍然设置访问密码。
|
||
OPENCODE_SERVER_PASSWORD=$(head -c 18 /dev/urandom | base64 | tr -d '/+=' | head -c 24)
|
||
EOF
|
||
chmod 0600 "$ETC/opencode.env"
|
||
install -d -m 0700 "$PREFIX/agent-config"
|
||
echo " 已生成 $ETC/opencode.env（server password 为随机值；接入密钥首启时本地生成）"
|
||
else
|
||
echo " $ETC/opencode.env 已存在，保留不动"
|
||
fi
|
||
|
||
if [[ ! -f "$ETC/pi.env" ]]; then
|
||
cat > "$ETC/pi.env" <<EOF
|
||
# pi mail-bridge 插件配置
|
||
AGENTMAIL_GATEWAY_URL=http://127.0.0.1:8180
|
||
AGENTMAIL_AGENT_NAME=pi
|
||
|
||
# 接入密钥：留空时插件会在 \$AGENTMAIL_CONFIG_DIR/agent.key 本地生成一把并打印到日志，
|
||
# 拿着它到 Web 后台「Agent 密钥」登记即可接入（journalctl -u pi-mail-bridge | grep 密钥）。
|
||
AGENTMAIL_AGENT_KEY=
|
||
AGENTMAIL_CONFIG_DIR=/opt/agentmail/pi-config
|
||
|
||
# 处理来信时首选的模型。留空表示用 pi 自己的默认（~/.pi/agent/settings.json）。
|
||
# 管理员在后台划定模型范围时，范围优先于这里的设置（B-2.2）。
|
||
AGENTMAIL_REPLY_PROVIDER=llmsproxy
|
||
AGENTMAIL_REPLY_MODEL=AUTO
|
||
|
||
# 单轮上限。超时**不算失败**：pi 仍在后台跑，转发挂在 agent_end 上，
|
||
# 说完了自然会转出去。这个值只决定「多久之后不再阻塞投递流水线」。
|
||
AGENTMAIL_TURN_TIMEOUT_MS=60000
|
||
EOF
|
||
chmod 0600 "$ETC/pi.env"
|
||
install -d -m 0700 "$PREFIX/pi-config"
|
||
echo " 已生成 $ETC/pi.env（接入密钥首启时本地生成）"
|
||
else
|
||
echo " $ETC/pi.env 已存在，保留不动"
|
||
fi
|
||
|
||
echo "==> 安装 systemd 单元"
|
||
install -m 0644 "$REPO/deploy/agentmail-gateway.service" /etc/systemd/system/
|
||
install -m 0644 "$REPO/deploy/opencode-serve.service" /etc/systemd/system/
|
||
install -m 0644 "$REPO/deploy/pi-mail-bridge.service" /etc/systemd/system/
|
||
systemctl daemon-reload
|
||
|
||
echo "==> 启用并启动"
|
||
systemctl enable --now agentmail-gateway.service
|
||
if command -v opencode >/dev/null 2>&1; then
|
||
systemctl enable --now opencode-serve.service
|
||
else
|
||
echo " 未找到 opencode，跳过 opencode-serve（装好后执行：systemctl enable --now opencode-serve）"
|
||
fi
|
||
if [[ -d "$PI_SDK" ]]; then
|
||
systemctl enable --now pi-mail-bridge.service
|
||
else
|
||
echo " 未找到 pi SDK，跳过 pi-mail-bridge（装好后执行：systemctl enable --now pi-mail-bridge）"
|
||
fi
|
||
|
||
sleep 3
|
||
echo
|
||
echo "==> 状态"
|
||
systemctl --no-pager --lines=0 status agentmail-gateway.service || true
|
||
curl -sf -m 5 http://127.0.0.1:8180/health && echo " 健康检查通过" || echo " 健康检查失败，查看：journalctl -u agentmail-gateway -n 50"
|
||
|
||
# ─────────────────────────────────────────────────────────────────
|
||
# 日常只改后端时不需要重跑本脚本（它会重装 npm 依赖、重写 systemd 单元、
|
||
# 重新生成 env）。换二进制走：
|
||
#
|
||
# bash deploy/redeploy-gateway.sh # 含测试与后置验证
|
||
# bash deploy/redeploy-gateway.sh --dry-run # 先看要做什么
|
||
#
|
||
# 那个脚本用 sqlite3 .backup 备份数据库、install -m 0755 原子替换二进制，
|
||
# 并在验证不过时自动回滚。
|