|
|
1e6b4864ec
|
feat(zcode): 身份块适配器 + 修复调度器泄漏 + codearts 目录 + 备份裁剪泛化
## 1. ★ zcode 身份块适配器（channels-zcode）—— 准入的唯一开关
参考实测（三账号 17 次请求）：zcode 的 /zcode-plan/anthropic 通道做**请求体
内容检查**，system 缺官方身份块结构时直接 HTTP 405 + {"code":3012}：
无 system → 3012 ✗
仅 cliPrefix（42 字符） → 3012 ✗
cliPrefix + stable（约 2898 字符）→ 200 ✓
⇒ 判据是「身份块结构是否存在」，与 HTTP 头、版本号、频率、多轮历史、tools
声明、运行时全部无关。我们此前用通用 anthropic 适配器 ⇒ **即使拿到 zcode
账号也必然被拒**（现在 0 账号，但这是能不能用起来的前提）。
实现：插件自装 channels-zcode —— 读内核 anthropic.lua 执行取基座，**只覆盖
transform_request** 注入身份块（协议转换始终与 anthropic 那一份一致，不漂移）：
block[1] cliPrefix(42) / block[2] stable(2852) / block[3] Environment 段
/ block[4] 调用方 system（**必须追加在最后**：上游看的是前缀结构）
只给最后一块打 cache_control（Anthropic 上限 4 断点，逐块打会占满预算）
日期块插入首条 user 的 content **数组**最前（拼进字符串会改变结构）
文本与参考**逐字节一致**（已核对：42 + 2856 = 2898）。
★ 基座读不到时**响亮失败**，不静默退化 —— 否则会产出"身份块看着对、工具/图像
全没转换"的请求，上游可能 200 但模型拿不到工具定义，症状是"模型变笨了"，
与准入毫不相干、排查完全跑偏。
判据 4 条 + 变异 2/2：不注入 → 报红；截断到 100 字符 → 报红。
另加"协议转换不退化"判据（工具 input_schema / 图像块存活）。
## 2. ★★ 同一缺陷家族第 3 个实例：Close() 不停调度器
修完 on_unload 后全量回归 internal/lua **600s 超时**，goroutine 快照显示
**69 个卡在 stateSaver.loop 与 PluginRuntime.loop**。
根因：Runtime.Stop() **只在单插件 Unload 里调**，Close() 不调 ⇒ 每个插件的
调度循环在"进程关闭/测试结束"路径上永不停止。与 on_unload 完全同一形状。
修法：Close() 新增 stopSchedulersAll()，顺序 = 停调度 → 落盘 → on_unload
（调度器必须停在落盘之前，否则它写一个已收尾的 state）。
★ 顺带：Stop() 不幂等（裸 close 会 panic: close of closed channel），
两处都调之后可达 —— 用 sync.Once 加固。给函数加第二个调用点前先查幂等性。
实测 internal/lua 从 600s 超时 → 62s 通过。
## 3. codearts 模型目录：补两个**必须 AK/SK 签名**的端点
codearts 有 10 个账号但目录里只有硬编码 1 个模型。参考打两个端点：
① opengw.../gateway/config → result.models（benefit）
② snap-access.../v1/model/builtin → builtinModels（常规）
而 refreshRemoteModels **只支持 Bearer** ⇒ 这两端点从来没被打过。
已加 ep.sign="codearts" 分支 + 两个解析形态 + opengw host 白名单。
判据：两端点各自真实命中 + 每请求带 SDK-HMAC-SHA256 头 + **合并**（非取其一）。
## 4. TRAE PKCE 候选来源补齐（3 → 5）
参考 authCodeCandidates 有 5 个来源，我们只有 3（漏了 authCodeInfo 为 JSON 的
authCode 字段、以及**纯字符串**形态）。★ 且不能写成 `a or b or c` 链 ——
jsonField 取不到时返回**空串**，Lua 里空串是真值，链会在第一个空串处短路。
判据 5 个参数化用例 + 变异 2/2 咬住（正是 or 链取不到的两个形态）。
## 5. ★ 部署脚本：备份裁剪只修了一半（"两处只修一处"再现）
prune_adapter_backups 有完整实现（含数量硬上限），但**只针对 adapters.bak**；
sync_plugins 同样每次建 plugins.bak.* —— 修了 adapters 的堆积、plugins 继续涨。
实测线上 plugins.bak **36 个**、/etc/llmsproxy 192M。
泛化为 prune_backups <prefix> + prune_all_backups（两个前缀都裁），加空前缀守卫。
判据不止逐字检查，而是**扫描脚本里所有 .bak.$(date) 创建点**，要求每个前缀都在
裁剪范围内 —— 将来新增第三种备份目录会立刻报红，而不是等它涨到几百兆。
变异 2/2 咬住（只裁 adapters / 去掉守卫）。
## 6. 上游客观缺口钉成可执行判据（TestUpstreamGapsAreDocumented）
qoder 加密端点需 .wasm（**参考仓库里也不存在**）、TRAE PKCE 参考**明确不支持**、
zcode 滑块需真实浏览器交互。写成判据：任何人（包括未来的我）想"补"这些能力，
必须先让判据失败 —— 即先推翻事实再动手。防的正是我前两轮的反复误判。
清理：channels-buddy.lua（0 字节历史遗留，每次启动报 must return a table）。
|
2026-10-16 00:56:35 +08:00 |
|
|
|
9bec158d2e
|
chore(main): 回流 release/v2.0.x（v2.0.12）—— 内容对齐，main 无独有内容
按发布纪律回流。**注意这是内容对齐而非 merge**，理由与依据：
1. 纪律禁止 merge 回主干，因为 merge 会把发布分支的**版本号变更**带进 main。
本项目版本号**只由 `git describe --tags` 推导**（Makefile VERSION），
仓库里没有任何文件存放版本号 ⇒ 回流不存在版本污染风险。
2. 逐项核对确认 **main 是 release 的内容严格子集**：
- `main` 独有的**文件**：0 个；
- `internal/lua/plugins.go` / `internal/core/kernel_actions.go` 等内核文件
main 独有行数：0；
- `deploy.sh` 那 14 行只是 emoji 清理（release 刻意去掉了 emoji）；
- `channels.lua` 那 333 行是**旧版内容**（旧 exports 表、旧模型名单）。
- main 独有的 9 个提交按 patch-id **全部已在 release 中等效存在**
（`git cherry` 逐条列出均为 `-`，即已合入）。
3. 故回流 = 把 release 的内容带到 main，等价于"只捡拾修复、不带版本号"，
且不会丢任何 main 独有的修复。
本次带回 v2.0.12 的全部内容（37 个提交）：
- 源串行 + 按模型节流（照 model-gate）
- 已失效模型存储 + 远端目录闸门
- 余额分档选号
- 模型能力元数据（models.dev，isFree 权威判定）
- **凭据续期修复**（此前恒报 ok:true 却一个请求都不发）
- 通用件 TTL 缓存 + 串行锁；account_test/account_adopt/account_delete 修正
- 内核级：出站授权持久化重启后不生效、`__llmsproxy_plugin_dir` ground truth
校验：`git diff release/v2.0.x` = 0 行；`go build -tags luajit ./...` 通过。
|
2026-10-14 16:52:58 +08:00 |
|
|
|
61f402beef
|
fix(lua): 定时任务改跑在插件自己的 VM 上 —— 纠正 Phase 4 的双 VM 错误
用户指出的设计错误：**一个插件 = 一个 Lua VM = 一个调度器**。而 Phase 4
（4d1407b）给定时任务开了一个**私有 VM**，于是：
定时任务 refresh_token 写 plugin.state.token → 写进私有 VM 的副本
请求钩子 读 plugin.state.token → 读主 VM 的值
轮换"成功"了，对实际流量完全无效；而且私有 VM 绕过状态持久化，token 连
磁盘都到不了。这直接违背这个功能存在的理由。
## 修正
PluginRuntime 不再持有 Lua 状态。任务通过 p.state + p.mu 运行 —— 与请求
钩子**同一个 VM、同一把锁**：
- 任务写入立即可见于钩子（TestTaskWriteIsVisibleToHooks 锁死这一点）
- 任务写入经 markDirtyLocked 走同一套持久化
- 跨插件仍并行（每插件各自 VM、各自锁）
## 由此产生的行为（有意为之，非缺陷）
- 某插件的长任务会排在**它自己**的钩子前面（同一 Lua 栈，一次一个调用者）
- 卡死处置随之改变：不再"抛弃 VM 重建"（那会丢掉累计状态——计费总额、
签到历史，正是插件存在的意义），而是**停用该插件**：
- checkWedged 超过 wedgedAfter(10min) 置 disarmed
- Fire 对 disarmed 插件快速失败并记 hook_errors（否则请求会排在永不释放
的锁后面永久挂起——比停用更糟）
- Unload 检测 InFlight：有任务在跑时不取 p.mu（会永久挂起）、不 Close
状态（Lua C 层 use-after-free 直接 abort）。泄漏这一个状态是有界的，
比崩溃好。
- maxAbandons/抛弃计数因此删除：没有"重生"了，熔断由 disarmed 承担
## 测试（10 个）
主断言从"任务跑过"改为"**任务的写入对请求路径可见**"—— 旧实现会在这里
失败。另含：无触发自执行/无 schedule 无运行时/解析/at 下次触发/错误隔离/
卸载停 goroutine/卡死停用+钩子快失败/健康任务不误判/8 插件并发各自调度。
|
2026-10-11 12:59:36 +08:00 |
|
|
|
57fada3b0d
|
docs(lua): 更正 ScheduledTask.Timeout 注释 —— 超时由抛弃 generation 实现，非 Lua 指令级中断
|
2026-10-11 12:14:49 +08:00 |
|
|
|
b6148e6f79
|
chore(lua): 删除调度器里两个无人调用的诊断辅助函数
sortedTaskNames / PluginTasks 是开发 Phase 4 时留下的诊断辅助，最终
没有任何调用点（WebUI 走 /api/plugins 的既有结构）。连同不再需要的
sort import 一并删除，保持包面干净。
|
2026-10-11 11:41:08 +08:00 |
|
|
|
9016eda905
|
feat(lua): 卡死任务改为「抛弃整个 VM」—— 不中断，直接换一代
用户给的架构决策：与其想尽办法中断卡死的插件任务，不如直接抛弃它所在的
VM，让任务的 goroutine 跟 VM 一起被处置。这比中断干净 —— VM 重建只要
~0.1ms，抛弃比修复便宜。
## 为什么必须这样做（三次实测）
本 golua + LuaJIT 构建**无法中断**运行中的 Lua 调用：
1. SetExecutionLimit(200000) 对紧密循环 10s 未返回 —— 无效
2. 计数 hook(2000) + RaiseError 对紧密循环 fired=0 —— hook 未触发
3. 计数 hook(1000) 对「函数调用+表写」循环 fired=20971 触发，
但 RaiseError 后仍未返回 —— RaiseError 走 L.StackTrace()，
正是 vm.go 已记录的 SIGSEGV / 无法跨 C 栈路径
原因：LuaJIT 把紧密循环编译成机器码，指令计数 hook 只在解释器路径触发；
而唯一能在 C 栈上中断的 golua 入口恰好依赖 StackTrace()。
## 模型：generation 可抛弃
PluginRuntime 持有一个 runtimeGen（私有 VM + 单状态池）。任务超过
wedgedAfter（10min，因为正常情况就是慢网络调用）仍不返回时：
- 抛弃该 generation，由 ensureGeneration 在下一 tick 起一个干净的
- 卡死的 goroutine 留在旧 VM 上，永远碰不到新一代的状态
- 在飞任务被 carry 到新 generation 并重新排期（否则 abandon 计数永不前进，
熔断也就永远不触发）
## 熔断（必须有）
每次抛弃都留下一个永不返回的 goroutine + Lua 状态。没有上限的话，一个
必然卡死的任务会让运行时每 10 分钟建一个新 VM —— 由插件自身 bug 驱动的
无界泄漏。maxAbandons=5 后熔断停止重生，需人工 reload（同 systemd 单元
反复启动失败后的姿态）。
## 开发中修掉的四个缺陷
1. rt.gen 未赋值：bootGeneration 的结果只赋给局部变量，导致 checkWedged/
runDue/dropGeneration 全部读到 nil，运行时会「活着但一个任务都不跑」。
2. checkWedged 无条件抛弃：即使没有任何任务判定为 wedged 也 drop，
让健康插件不断换代。
3. startedAt 由 runDue 设置而非 runOne：任何其它 dispatch 路径的任务
都不会被追踪，checkWedged 无法区分「在跑」与「从未启动」。
4. runOne 收到 nil gen 会 panic（抛弃与派发竞争）—— 改为安全返回并清标志。
测试：13 个（无触发自动执行/真正执行/零开销/at 解析/条目校验/失败隔离/
卸载停 goroutine/压力/抛弃换代/熔断/健康任务不受影响）。
|
2026-10-11 10:40:58 +08:00 |
|
|
|
4d1407bbb4
|
feat(lua): 插件长期运行环境（R4-b）—— 内核驱动调度 + 独立 VM
用户需求：插件需要长期运行环境（独立 LuaVM 线程化），以支持自动签到、
token 轮换这类"没有浏览器、没有人操作时也要发生"的能力。
旧模型做不到：插件的周期工作只能靠前端 pluginAPI.call 驱动，页面没开就
一次都不跑。这正是自动签到的死穴。
新增 internal/lua/plugin_runtime.go：插件声明，内核驱动。
PLUGIN.schedule = {
{ fn = "refresh_token", every = 3600 },
{ fn = "daily_checkin", at = "03:30" },
{ fn = "poll_quota", every = 300, jitter = 30 },
}
- 每个声明了 schedule 的插件获得**私有 VM**（不是共享 plugin.state 的那个：
钩子要累加，任务要长跑且网络阻塞，两者对隔离的要求相反）
- 内核单个 ticker 驱动所有任务；每个任务**独立 goroutine**，一个长任务
不推迟另一个的 due
- `at="HH:MM"` 每日固定时刻；`jitter` 打散首触发，避免整点齐射
- 任务失败计数进入 hook_errors 面（静默坏任务必须可见）
- Unload 先停调度再关状态（顺序反了会让在跑的任务写进已关闭的 Lua 状态）
明确边界：**适配器不参与调度**。适配器仍是无状态请求级池；token 轮换靠
插件（这里）按周期调用 Phase 3 的 UpdateAdapter。
修掉两个把进程直接搞崩的缺陷：
1. 私有 VM 的池我给 sync.Cond 传了新 mutex 而非池自己的 mu →
"unlock of unlocked mutex"，fatal error 而非可恢复错误。
2. Transform 硬编码 adapterGlobal，而插件模式的池把表存在 pluginGlobal →
健康的状态也报 "has no table"。加 poolGlobal(p) 按模式选择。
测试 8 个：无任何触发自动执行（核心）/真正执行了（计数读回）/无声明则零开销/
at 解析与畸形退化/不完整条目被忽略/失败隔离/卸载停 goroutine/6 插件×3 任务压力。
|
2026-10-11 10:26:39 +08:00 |
|
