4 Commits

Author	SHA1	Message	Date
JianFeeeee	65075b6d44	fix(plugins): 分片 VM 拿不到插件配置 ... 页面探测走的是 fanout（分片）路径，结果写回走共享 VM。分片 VM 从同一份 源码启动，但没有 state 文件、没有插件身份，所以 PLUGIN.prices（配置，不是 累计状态）在分片里是空的。 对只读累计状态的插件无所谓；对按配置分支的插件就是致命的。OpenDesign 适配器读 prices.control_key，未播种时它对每个主机都得出「未配置」并报 skip，而同一个调用走共享 VM 是好的。也就是说：生产上死、所有调共享 VM 的 测试全绿。 pool 在每次取用时推送配置（不只是首次启动时），并把配置变化也带给池中 复用的 VM；推送是拷贝，分片拿不到共享表的引用。 这条不是在写代码时想到的，是端到端验证时撞出来的：单元测试全过，隔离实例 打真上游时 vela 报「未配置」，而 control_key 明明写进去了。	2026-10-07 01:19:15 +08:00
JianFeeeee	ac9746ec83	chore(plugins): 移除分片诊断日志 ... SHARD_DEBUG 只在排查「18 个分片为什么还是 12 秒」时用过一次，结论是 17 个 VM 真的在并行（17 VMs live），慢的是其中一个源本身。留着它就是 给热路径留一个 os.Getenv。	2026-10-05 07:22:09 +08:00
JianFeeeee	2272b4ecbd	feat(quota): 探测退避改指数 —— 死上游不再每 30 分钟重付一遍 ... ## 为什么 30 分钟 TTL 治不了死上游 线上有两个 host 已经**不可达十个小时**，而 PROBE_MEMO_TTL 是 1800 秒。 于是每次刷新它们的负 memo 都已经过期，每次都重付三个 adapter 的超时： 每个源 24s（预算修好前）、16s（修好后）。固定 TTL 对「已经死了很久」这个 形状完全无效 —— 它只会一直重复付。 指数退避：连续失败 streak 次，等待 1800 × 2^(streak-1)，封顶 6 小时。 成功会把 memo 覆盖成 vendor 字符串，streak 自然重置。 封顶不是可选项 —— 没有它，下线一周的 host 就不再被探测，页面会**永久** 把它误报成「没有余额接口」。 ## 过程中判据抓到的三个真 bug **① 记录守卫让 streak 永远是 1** `if rep == nil and not HOST_MEMO[host]` 只在 host **第一次**失败时为真。 之后 memo 已是 table，守卫为假，什么都不写。实测连读四次都是 `{at:... streak:1}` —— 退避退化成固定 30 分钟，正是它要解决的问题。 **② `return 0` 在 Lua 里是真值** `if streak == nil or streak <= 0 then return 0 end` —— 只有 nil 和 false 是假值。调用点写的是 `if backoffSeconds(...) then 跳过`，于是**所有没有 streak 字段的 memo 会被永久跳过**（而那正是本改动之前写的每一个 memo）。 **③ 上限路径 `return BACKOFF_MAX` 也是真值** 21600 会被判成「仍在等待」，封顶反而变成「永远不重试」—— 恰好是封顶要防的 那个故障。现在所有路径只返回布尔。 三个都是静默的：症状只是页面少了几张卡片，没有任何报错。 ## 判据 五条，全部读**实际发布的 quota.lua**（go:embed 那份），不是副本： - 退避确实被调用（变异把调用点换成 `if false` 时会红） - 窗口表：每个 streak 的窗口长度、窗口内跳过、窗口过期后重试、 荒谬 streak 也必须重试 - 只返回布尔（六种输入，含无 streak 字段的老 memo） - 记录守卫会替换 memo 而非合并 - 通过真实插件：首次失败记 streak=1；**跳过不算失败**（否则一个从不被探测的 host 会无限增长 streak，再也不会被重试） 变异自证六次全部变红：`return 0`、上限返回数字、守卫不替换、调用点去掉、 去掉上限、倍数改成 1。头一次跑「守卫不替换」漏放了 —— 因为我把集成判据缩到 只验首次记录，补了一条源码断言才抓住。 ## 这个文件的判据绕了远路，如实记下 `HOST_MEMO` 是进程内缓存，只在首次 collect 时从 state 恢复，之后只往回写。 所以从 Go 侧改 state 对插件不可见 —— 我先是不自知地这么试了两轮，把一个 **正确工作的退避**看成坏的。现在窗口策略直接验函数（经 shim 导出插件自己的 backoffSeconds，不是重新实现），集成判据只留真正能从外部观察的两条。 shim 也踩过：直接把 `backoffSeconds` 当 export，而 Go 侧传的是 table， 于是 at=table、streak=nil，每次都走「无 streak」分支返回 false —— 看起来 和「退避永不触发」一模一样。包一层就对了。	2026-10-05 07:21:43 +08:00
JianFeeeee	ff8afaa43d	feat(plugins): 分片调用 —— 让阻塞型导出函数真正并行 ... ## 问题 quota 页面 20 个源，刷新要 29 秒。页面用 `Promise.all` 并发发 20 个请求， **看起来是并发的，实际不是**。 `Plugins.Call` 持 `p.mu.Lock()`，锁一直持有到 `L.Call` 返回 —— **包含 Lua 函数 内部的全部网络等待**。20 个请求到了网关后排队，串行累加。 生产实测： 单源探测（无竞争） 1.4 – 3.3 s 20 源 Promise.all 29 s 墙钟 串行理论值 ≈ 29 s ← 与实测吻合 代码里其实已经知道这个问题：quota.lua 第 104 行写着「the whole page shares ONE Lua state under a write lock」，并为此把超时从 10s 压到 4s。但那只把 29s 变成 约 12s，没有解决「刷新不可用」。 而当初改成并发的理由（页面注释）是错的 —— 它假设并发能绕开串行。锁让它退化 回串行了。 ## 不能去掉锁 一个 Lua VM 只有一个栈。两个并发调用会破坏栈。锁是必要的，答案只能是**让每个 并发调用有自己的 VM，跑同一份插件源码**。 先量，再写实现（8 分片 × 300ms 本地 HTTP 端点）： 共享 VM，8 次串行 2.407 s 8 个独立 VM 并行 0.304 s → 7.9x 顺带一个测量教训：这个 spike 第一版用**忙等**而不是网络 I/O，报出 2.3x。 那是量到了 12 核机器上的 CPU 争抢（负载 8.95），和锁无关。插件做的是网络等待， spike 就必须做网络等待 —— 和上一条提交里 os.clock 那个错误是同一类。 ## 实现 - `callOn(w, fn, args)`：从 `Call` 里抽出的「在某 VM 上调一个导出函数」。`Call` 从 66 行缩到 18 行，仍负责查找、export 白名单和共享 VM 的锁。 - `shardPool`：私有 VM 池，上限 32。开机约 0.1ms，池化省不了什么但省两次刷新 的重复开销。 - `ShardCall(name, fn, argsList)`：结果与输入**按位置对齐**。 - `POST /api/plugins/{name}/fanout/{fn}`：`{"args": [...]}`，上限 64 条。 - `pluginAPI.fanout()`：页面一次请求。 - quota.lua 改用 fanout。 ## 分片的硬约束（写进注释，不是靠约定） 分片 VM **不能碰 PLUGIN.state** —— state 在 VM 里，每个分片一份副本，billing 的累加会各分叉，saver 写出去的是随机某一份。分片只能用于只读、幂等的工作。 所以 `callOn` 既不查 export 白名单（`Call` 那层才是安全边界）也不落盘。 ## 一个分片失败不拖垮整批 一个上游连不上，不该让 20 张卡片变成一个错误。失败的分片在自己的位置留 null，其余照常返回。**但全部分片失败时报错** —— 那不是「某个上游挂了」， 是结构性问题，报成功会把它藏在满屏红卡片后面。 ## 顺手修掉一个既有缺陷：热重载是坏的 写分片源码来源时，判据直接把它顶了出来：`LoadSource` 无条件 append，而 `findLocked` 返回**第一个**匹配。实测： LoadDir 后 1 条 → LoadSource 后 2 条 [0] version=1 [1] version=2 find 返回 version=1 也就是说，**编辑插件并保存看起来什么都没发生** —— 旧版本一直被返回，新版本 躺在旁边不生效。修法是先 Unload 再加载。这不是为分片做的，是分片正好照到了 这条路径，已单独补判据 `TestReloadReplacesRatherThanAppends`。 ## 判据 七条：并行性（有界而非计时断言，8×200ms 串行是 1.6s，超过 1.0s 即红）、 位置对齐、未导出与未知插件被拒、单个失败不拖批、全失败报错、用已安装源码而 非磁盘、以及热重载替换而非追加。 全量 9 包通过。 Co-Authored-By: ModelRouter <noreply@modelrouter.dev>	2026-10-04 21:56:45 +08:00