8f2c5572e7
chore!: 移除厂商私有协议适配器与渠道业务插件（合规清理）
...
G-Star 合规要求下，把"模拟官方客户端、复刻私有协议、自动领取平台额度"这一类
能力整体移出仓库。这些实现依赖各平台未公开的端点、签名算法与官方 client id，
属于绕过客户端校验获取额度，风险高于普通协议适配。
移除（93 个文件）：
- 适配器：opencodezen（伪装 UA 取免费池）、trae、buddy、kimicode
- 插件：channels.lua（12 个平台登录/领额度/签到）、quota.lua（厂商额度探针）
- 随之删除的 78 个渠道/额度专用测试与 3 份渠道文档
同时修掉的既有问题：
- **硬编码第三方 OAuth client_secret**（Google Cloud Code 的 GOCSPX-…，两处）
随 channels.lua 一起消失。
- `deploy.sh` 的 `sync_plugins` 整段删除：它仍按"内置插件是发行物"的旧前提
把插件复制/覆盖进 plugin_dir，与"插件属运维资产、网关不安装不覆盖"的契约
冲突。现在部署脚本只同步适配器与二进制/配置。
- 适配器清单去掉已移除项；e2e 配置改用显式 `auto:` 链（`models.priority` 早已
移除，该测试此前已失效）。
保留（公开协议）：openai / anthropic / gemini / deepseek / github / groq /
mistral / ollama / qwen38 / sensenova = 10 个适配器；插件示例 billing / usage。
验证：go build -tags luajit ./... OK；internal/lua 21.4s、provider、core 51s、
gateway 122.8s、e2e 9.0s 全绿。
2026-10-27 09:25:58 +08:00
688dce88d1
refactor(rename)!: llmsproxy → modelrouter（module / 二进制 / 路径 / env）
...
产品名早已是 ModelRouter，但仓库标识符仍沿用旧名。这次统一，读写两侧都做兼容，
已部署的机器不会因为顺序问题立刻失效。
- go module `llmsproxy` → `modelrouter`；全仓 import 与 `cmd/modelrouter` 同步。
- `Makefile BINARY=modelrouter`；发行包名、systemd unit、/usr/share 资源、
`/usr/local/bin` 目标全部改为 modelrouter。
- 默认配置目录 `/etc/llmsproxy` → `/etc/modelrouter`。**读取侧回退**：插件与
`storeDir` 仍会检查旧路径，所以"先换二进制、后改 unit"不会立即失效。
- 环境变量 `LLMSPROXY_*`（PLUGIN_DIR / XDISPLAY_BASE / ARCH / LIVE_ZEN /
BUILD_DIR）改为 `MODELROUTER_*`；`LLMS_PROXY_MASTER_KEY` →
`MODELROUTER_MASTER_KEY`。旧名在读取侧继续接受。
- 桌面端内嵌核心 `bin/llmsproxy` → `bin/modelrouter`，并保留旧文件名回退，
避免升级到一半的 profile 被判成"core binary missing"。
- 新增 `packaging/migrate-to-modelrouter.sh`：**默认 dry-run**，复制而非移动、
旧目录永不删除、支持 `--rollback`；随 release tar 分发并由 core-dist 校验。
- `deploy.sh` 增加改名保护：发现旧 `/etc/llmsproxy` 而新配置不存在时**中止**，
否则会部署出一个"能启动但没有 key、没有源"的空实例。
- 临时目录前缀 `/tmp/llmsproxy-*` → `/tmp/modelrouter-*`；清理逻辑同时回收两代。
兼容别名（`__llmsproxy_*` 全局、`llmsproxy` SDK 别名、旧路径/旧 env）刻意保留，
它们是升级路径而非遗留；docs/plugins.md 已标注为废弃。
本提交未包含：`adapters/opencodezen.lua`、`adapter_opencodezen_test.go`、
`adapter_opencodezen_live_test.go`（OpenCode UA/免费池的既有改动，另批提交）。
2026-10-26 22:28:08 +08:00
5ab047e48b
fix(channels): 修复 12 平台登录的系统性偏差（callback 闭环 + 动态模型 + Trae 设备身份）
...
用户报障：「除了 codebuddy，其他的登陆都不太正常，尤其是有道那个」。逐平台审计
参考实现（vendor/channel-pack/src）后发现根因不是 12 个独立 bug，而是几个系统性偏差。
## ① callback 流的回调是回环地址 → 必须走服务端浏览器（核心认识）
Trae/Gemini/有道 的 redirect_uri 都是回环地址（127.0.0.1 / localhost）。回环地址由
「打开授权页的那台机器」解析：远程用户在自己电脑上打开，重定向就落在**用户机器**上，
回调永远到不了网关。CodeBuddy 一直是好的，因为它走 state-poll，**根本不需要回调**。
→ 插件自起 loopback 接收器（Python，绑回环、双栈，路径按各平台注册值），
由服务端浏览器（VNC）承载授权页，重定向落回本机。
## ② 三个平台的回调路径各是注册值（写错就是 redirect_uri_mismatch）
有道 /auth/callback、Trae /authorize、Gemini /oauth-callback（参考 GEMINI_CALLBACK_PATH）
且 Gemini 的 redirect_uri 主机是 **localhost** 而不是 127.0.0.1。
另：Trae 的回调**不带 state**（token 直接放 query），其余平台必须带 → 校验规则按形态分。
## ③ 有道版本号不能写死
exchange/续期/签到的 version 是必填。实测 2026-10-13 上游已是 2026.9.23，而参考的兜底
常量还停在 2026.9.4。新增 lobsteraiClientVersion：远端为主（data.value.version，**非统一
信封**）+ 失败用兜底但**不缓存**（照参考 resolver）。失败时把上游 message 带出来
（实测形如 code=40102「无效或已过期的授权码」）。
## ④ Gemini token 交换缺 client_secret（症状正是「授权成功但账号不出现」）
参考注释点名：token 端点强制校验客户端身份，只发 client_id 会 invalid_request。
同时补 access_type=offline / prompt=consent（缺了拿不到 refresh_token），
并去掉误标的 pkce（上游 Cloud Code 用的是最朴素的 authorization_code + client_secret）。
## ⑤ Trae 授权 URL 少了 5 个必需参数
参考列为「一个都不能少」：login_trace_id（回调**反查 pending 的唯一凭据**）、
machine_id/device_id（hex32，每账号必须不同，否则被「该设备已签到」拦）、
x_device_id/x_machine_id。此前**完全没造**设备身份 → 登录页停在「授权中」。
## ⑥ Trae 签到头与设备身份
授权方案是 `Cloud-IDE-JWT`（不是 Bearer）；参考点明简化头**实测签到失败**，
需约 20 个客户端头，且 X-Device-Id 是**基于 user_id 确定性派生的 15 位数字**。
实现 seededStream（SHA256(utf8(salt:seed) ++ counterBE32) 串联）+ 三级派生，
并用参考实现（Node）生成期望值做**差分验证**逐字节对齐。
凭据改为 JSON 以保留 uid/device_id/machine_id（签到与轮换需要）。
## ⑦ 同段逻辑抽一个助手，防两条路漂移
lobsteraiExchange 被 oauth_callback 与 poll_login 两条路共用（原先各内联一份）。
## 判据（新增测试）
- TestLobsterLoopbackClosedLoop / TestLobsterExchangePreservesIdentity：loopback 闭环、
state 不匹配 400、重放 409、凭据含 uuid/first_keyfrom
- TestCallbackPlatformsLoopback：三个平台的路径与 state 规则、Trae 无 state 也能接住
- TestAuthorizeURLsHaveNoUnfilledPlaceholders：授权 URL 不留 {占位符}
- TestTraeDeriveMatchesReference：与参考实现**逐字节**差分（tools/trae_derive_expected.mjs）
- TestTraeCheckinHeaders：Cloud-IDE-JWT + 派生设备身份 + 客户端头齐全
- TestRemoteModelCatalogMergesWithFallback：远端为主、兜底补位、失败不清缓存
## 顺带
- set_endpoints 补 callback / client_version 键（否则测试无法把端点指到假上游）
- 删掉 spawnBrowser 里会把 redirect_uri 一律改写为插件挂载点的死代码（对有道致害）
- session 过期与插件卸载时回收 loopback 接收器进程（防进程泄漏）
- e2e/channels_flows_e2e_test.go：qoder 已从 manual 改为 device-poll，断言同步更新
2026-10-13 13:42:45 +08:00
5948ad19ca
feat(plugins): 服务路径/适配器名冲突进裁决而非崩溃或硬拒绝（用户要求 A+B）
...
此前两类冲突各有问题：
A) 两个插件声明同一条 /api/plugins/http/ 服务路径 → 分发器按加载顺序静默
选一个（装个新插件就可能改变既有路径归属）。
B) 插件装与内置/他插件同名的适配器 → 硬错误 ErrAdapterNameReserved / owned by。
用户要求：都改成「报冲突、列出候选、运维选一个保留、选择持久化」，绝不崩溃
或拒绝启动。
## A 类：插件 HTTP 服务路径冲突
- dispatch（plugin_http_routes.go）同路径多认领时不再 load-order 选边：未裁决
返回 409 并点名候选；已裁决按赢家分发。
- route_conflicts.go：RouteConflicts/RouteWinner/ResolveRouteConflict，只统计
loaded 且未禁用的插件；赢家插件若不再声明该路径，裁决作废回未裁决态。
## B 类：适配器名冲突
- InstallAdapter 撞名（内置或他插件所有）不再硬拒，改挂起：现任继续服务，候选
入 AdapterConflicts，返回 typed ErrAdapterConflictPending（区分「代码错」）。
- ResolveAdapterConflict：incumbent 保留现任 / candidate 真正装上插件版（绕过
reserved 门禁——这是运维显式授权覆盖内置的唯一入口）并转移归属。
- 现任内置永不被静默覆盖，守住「第三方插件不得篡改内核发行物」信任边界。
## 持久化 + WebAPI + WebUI
- 两张裁决表落 .route-conflicts.json（routes + adapters），LoadDir 时读回；
重启后插件再装同名适配器自动套用上次裁决。
- WebAPI：GET /api/plugins/conflicts 列冲突；POST {kind,path|name,winner} 裁决。
- WebUI：插件页顶部「冲突裁决」卡片，逐条列路径/适配器冲突 + 候选 + 裁决按钮。
## 测试
- 单测 conflict_arbitration_test.go 6 项全过：路径冲突检测/裁决/持久化/重启、
赢家消失回退、适配器撞名挂起/incumbent/candidate/归属转移、非法 winner 拒绝、
自身更新不受影响（token 轮换不走冲突路径）。
- e2e conflict_arbitration_e2e_test.go 2 项全过（真二进制）：两插件抢路径→409
点名→裁决→200 赢家应答→/v1/models 无回归；插件装 shadow openai→挂起→现任
保留→裁决 candidate→插件版生效→冲突清空。
- 全量 build + vet 通过，既有 lua/gateway/core 回归无破坏。
修正过程中发现并修了一个真 bug：LoadAdapterSource 对 key≠declared 的适配器
重装会建第二个池、留旧池继续服务（v2 装了 v1 还在跑）——改成统一按注册键
归档，裁决 candidate 后新版本才真正生效。
2026-10-12 12:32:10 +08:00
b6e687b567
test(e2e): 补齐 Cline/paste/manual 三条流程真二进制端到端
...
TestChannelsFlowsE2E 用真二进制 + 假平台（loopback 白名单天然放行）跑通：
① Cline（WorkOS device-poll 两步）
假上游：device code → authenticate(首拍 authorization_pending，次拍
access/refresh) → register 换 CLINE-E2E-AT。
断言：首拍会话仍 pending；次拍 completed 且 account = register
userInfo.email（dev@example.com ）；register 恰好调用一次（防重复换证）；
/v1/models 出现 stealth/space-bunny-alpha（凭据已是 register 的最终
token，不是 WorkOS token —— 这是 deviceRegister 第二跳的价值）。
② paste（opencode）
start_login 会话 flow=paste → complete_login 贴 OC-E2E-KEY →
/v1/models 出现 big-pickle。验证 WebUI 粘贴路径（chComplete）能落保险库。
③ manual（qoder）
start_login 返回 manual_hint 含 'WASM'（明确说明不可自动而非假装
成功）→ complete_login 贴 QD-E2E-KEY → /v1/models 出现 qoder-default。
三条流程统一终局标准：/v1/models 出现该平台模型 = 接入源成功且可路由。
e2e 全量 10 项 PASS。
2026-10-12 07:20:48 +08:00
2f5cde7fea
test(e2e): channels device-poll 真二进制端到端 + 修正插件 HTTP 前缀
...
TestChannelsDevicePollE2E 用真二进制跑通完整链路（对齐参考插件形态的终局验收）：
假平台上游（设备码/token/模型/对话端点）
→ 真网关进程 + plugin_dir（SeedBundled 落地 channels）
→ PUT /api/plugins/channels/kernel 授权（运维批准动作面）
→ call/set_endpoints 把 minimax 端点指到假上游（自建代理能力复用）
→ POST /api/plugins/http/channels/login 发起 device-poll
→ GET .../login/status 轮询：先 pending（authorization_pending），
后 completed（token 下发）且 account 取 nickname
→ 终局证据：/v1/models 出现 channels-minimax 的模型 MiniMax-M3
调试中抓到并修复：channels.lua 三处旧挂载前缀 /api/plugins/channels/http/
（正确为 /api/plugins/http/，spawnBrowser 回调路径、callback redirect_uri、
UI fetch 基址）—— UI 上点登录/回调一直会 404。
顺带：e2e 就绪探针复用 startGateway（无源时 /v1/models 空列表也 200）。
2026-10-11 21:44:40 +08:00
da0282a3db
test: 四类验收 —— 加密解密 / 变异 / 压力 / 旧通路
...
用户要求的四类测试全部落地，且每类都抓到了真问题：
## 0) 测试暴露的真实缺陷（先修后测）
**保险库明文落盘**（加密解密测试的目标缺陷）：.secrets/<plugin>.json 此前
是明文 JSON。接入 SecretBox（与 config.yaml 同一把 master key、同 enc:v1
形态）：SetSecretBox 注入（secretSealer 接口，测试可桩）；写盘逐值加密、
读盘逐值解密；无前缀旧值原样通过 —— 旧明文库可读、下次写整体重封。
core 注入点在 store 创建之后（NewPlugins 时 box 还不存在 —— 顺序 load-bearing，
修掉了一个 nil-deref）。
## 1) 加密解密（internal/lua/secrets_crypto_test.go）
- EncryptedAtRest：磁盘字节不含明文 token、带 enc:v1、文件 0600/目录 0700
- PlaintextFallbackAndUpgrade：旧明文库可读 + 任意一次写整体重封为密文
- WrongMasterKey：换 key 后读库必须报错（静默空会让插件重登覆盖凭据）
- ConcurrentPlugins：8 插件×2 goroutine 并发读写，无串台/丢写/文件数正确
## 2) 变异（internal/core/device_mutate_test.go + device_harness_test.go）
- 决策表抽成 deviceHarness.runDecisionTable（行为测试与变异测试共用，
单一事实源）
- 5 个语义变异逐个杀：slow_down 不加 interval / denied 不识别 /
expired_token 不识别 / authorization_pending 当失败 / 成功分支禁用
- 行3/行4 断言 message 区分（用户拒绝/过期）—— 初版只断 state=failed 时
两个变异体幸存（落进通用 failed 分支），加 message 后全杀。
这正是变异测试的价值：暴露断言太弱。
- 基准（未变异）必须全过 —— 防止测试自身失效的假阳性
## 3) 压力（internal/core/channels_stress_test.go）
- ConcurrentLogins：12 轮并发 device-poll，会话互不串台、全部终态
- ClaimStress：30 并发领签到，上游收到恰 30 次（无登录态丢失）
## 4) 旧通路（channels_stress_test.go 后半 + 复用 lua 包测试）
- LegacyVaultPlaintextLoad：老版本明文库 → 新版本可读 → 下次写重封
- LegacySourceSealedConfig：明文 api_key 的旧 config.yaml → 运行期解密、
落盘 seal、master.key 0600 生成
全量 lua/core/gateway/types/scheduler/provider/config 测试通过；build+vet 绿。
2026-10-11 20:50:52 +08:00
dafc3b3fc3
feat(lua): 插件 Lua 侧适配器桥接（R4 Lua 绑定）+ 真二进制适配器接手 e2e
...
补上两个此前报告为"缺口"的东西。其中第一个的旧结论是**错的**，这里更正。
## R4 Lua 绑定：__llmsproxy_adapters
用户问的"为什么 Lua 绑不上"—— 结论是**能绑，之前的归因错了**。
旧结论是「NewTable + PushGoClosure + SetField 是 golua 雷区，会 SIGSEGV」。
反证：内核自己的 buildJSONTable 用的就是这同一个模式，长期稳定。真正的变量
是当时 Phase 4 的**双 VM 半成品**（钩子一个 VM、定时任务一个私有 VM），
bootPluginState 签名与调用点不一致，我改到一半编译不过就仓促回滚，留下的
中间态让 billing 一跑就崩。把双 VM 改回单 VM 之后，同一模式一次就通。
顺带回答一个备选方案（用户提出：Lua 只投递请求、Go 串行执行）：不需要。
p.mu 已经天然串行化同一插件的所有入口；再加队列只会引入"谁排空/超时后积压
怎么算"的新问题。而且桥接调用本身是微秒级的（交给 Go 重建一个小池），真正
长耗时的是插件自己去取 token 的 HTTP 请求，那跟桥接无关。
能力（Go 侧强制，非约定）：
- install(name, source) → (生效名, nil) | (nil, err)
- update(name, source) → (true, nil) | (nil, err) 只限自己装的
- remove(name) → (true, nil) | (nil, err) 只限自己装的
- 调用身份是插件**启动时的固定名**，不从 Lua 状态现读 ⇒ 无法冒充别的插件
- 不能影子内置（Lua 侧同样被拒，不是绕过 Go 校验的后门）
- 出错返回 (nil, err) 而非抛异常，与钩子/HTTP 处理器同一套约定
**分片 VM 故意不给**：分片是文档化的「只读、可丢弃」工作单元，而适配器
install 是**全局**副作用（改共享注册表）。给分片等于让"只读"的按需调用悄悄
改写所有请求共用的适配器 —— 正是分片契约要防的不可见变更。
测试 6 个：install/rotate/remove 从 Lua 调用、影子内置被拒、**定时任务里
轮换 token 且请求钩子立即可见**（R4 闭环）、分片无桥接。
## 真二进制 e2e：适配器接手对外服务
用户问到的第二个点。此前 /v1/messages 的 Anthropic 接管只在**进程内**
gateway 层测过（internal/gateway/messages_test.go），绕过了只会在真实进程里
发生的事：适配器磁盘 seed、配置加载、真 HTTP 栈。
新增 e2e/adapter_takeover_test.go，打**真编译的二进制** + 只说 Anthropic 的
假上游（该上游对不符形状的请求主动报错，不做宽容接受）：
- 非流式：出向必须是 Anthropic message 形状，不能有 OpenAI choices 外壳
- 流式：必须是 message_start…message_stop 序列，**不得**出现 [DONE]
- 压力：96 并发（48 流式）混合打真二进制，全部 200，无 5xx，无形状串味
压力测试初版把并发上限设成 4 于是大量 429，我把断言改正为：429 是内核**正确**
的容量背压，不算失败；失败的定义是 5xx 或 200 但内容/形状错。现在 96/96 通过。
2026-10-11 13:25:11 +08:00
3ad46ea23e
feat(types): 统一线格式 v2 最大集合 + 对外输出 golden 基线
...
Phase 1：内核定义市面所有主流协议字段的**并集**作为唯一内部格式，
适配器按需取用；内核不再携带任何协议形状。
- internal/types/maxwire.go：UnifiedRequest(21 字段，v1 的 10)、
UnifiedResult(11，v1 的 8)、UnifiedDelta。覆盖 openai/anthropic/
gemini/ollama/deepseek 各自必需字段（system 顶层、top_k、stop_sequences、
thinking 预算、parallel_tool_calls、response_format、safety/citations…）。
- 只带**语义**不带**容器**：generationConfig/systemInstruction/options/
num_predict/maxOutputTokens 等协议专属形状一律不进统一格式，由适配器
自行装填。测试 TestNoProtocolContainerLeak 钉死这条。
- 修掉 v1 的私有字段泄漏：disable_thinking/extra_body 曾是内核私有字段，
却被序列化进交给适配器的 body，导致 10 个适配器各自写
`req.disable_thinking = nil` 清理。v2 用 thinking 语义字段替代，
TestNoKernelPrivateFieldLeak 为回归。
Phase 0：建立对外输出的**字节级** golden 基线（.snapshots/），
因为现有 e2e 只有 strings.Contains 宽松断言，无法证明 Phase 2 把
OpenAI wire 移交给适配器 serializer 后输出字节未变。
- e2e/wire_golden_test.go：非流式/流式/生图三个 golden，
比对前 scrub 掉 id 与 created（每请求变化），其余逐字节比对。
- 反向验证：注入 `chat.completion.chunk.DRIFTED` 漂移后 golden 确实失败
（证明它不是永远通过的空壳），随后完整恢复。
- 稳定性：连跑 3 次全绿。
验证：go test -tags luajit ./internal/types/ ./e2e/ -run 'TestMax|TestNo|TestWireGolden' 全绿。
2026-10-11 08:24:58 +08:00
3548745f98
fix(startup): 密钥警告改读真实生效的 key 集合
...
启动时那条「gateway_keys is EMPTY — without a key every request is rejected」
读的是 legacy 的 cfg.GatewayKeys 段，而鉴权实际用 cfg.Keys（core.ListKeys）。
seedKeys 首次启动把 gateway_keys 搬进 keys[] 之后，YAML 里那个列表就不再
被鉴权使用。于是在它被清空（例如轮换掉 starter key 之后）而 keys[] 仍有
7 把可用 key（含 admin）时，进程每次启动都谎报「所有请求都会被拒绝」。
实测：生产日志出现该警告，而同一个 key 请求 /v1/models 返回 200。
- main.go 改为检查 c.ListKeys()，文案改成不绑定字段名。
- 顺带删掉 gateway.New 的 gatewayKeys 参数：函数体从未使用它，
只读 ListKeys()，留着会继续诱导人以为鉴权来自那个列表。
判据：e2e/TestStartupWarningReflectsRealKeysNotLegacyList —— 构造
「gateway_keys 空 + keys[] 有 key」的真实形态，先断言该 key 确实能鉴权，
再断言日志里不再出现那句谎报。变异验证：回退成 GatewayKeys() 即变红。
2026-09-28 23:43:20 +08:00
2ed1f0ecde
style: gofmt the tree
...
gofmt -l reported 13 files with misaligned struct tags / stale formatting.
This commit contains ONLY formatting: no behaviour change, no logic touched.
Files that also carry real changes in this series are formatted by their own
commits.
2026-08-30 08:04:22 +08:00
210243f724
test(e2e): track renamed auto-chain 503 summary phrasing
2026-08-24 19:19:14 +08:00
88802f9ef6
feat: AUTO chain rewrite — silent failover+busy skip+pref round-robin+503 tier summary; chain edits reset slot cooldowns (P0/P1); stats by_status + audit jsonl rotation; UI priority-page health badges & status-code card; ctx-menu capture-phase close (outside-press guard); main.go ops warnings; local bundled-Lua verified tests (3 latent bugs fixed); plan.md
2026-08-11 00:03:11 +08:00
ccbcede581
feat: LuaJIT worker-pool VM, multimodal/disable-thinking passthrough, WebUI redesign, DeepSeek V4
2026-08-07 13:34:16 +08:00
f7f76e097d
feat: ModelRouter — unified OpenAI-compatible multi-source LLM gateway
...
- Lua adapters per upstream (transform_request/response/stream_chunk, build_headers signing hooks)
- AUTO priority routing with per-model kind (chat/image), explicit source/model routing
- Per-source concurrency caps with queueing, exponential backoff, AUTO failover
- OpenAI-compatible API: chat completions, SSE streaming, image generations, models
- Gateway key auth, web UI for adapter/source management, runtime persistence
- e2e test running the real binary against mocked upstreams
2026-08-05 15:25:47 +08:00
