3 Commits

Author	SHA1	Message	Date
JianFeeeee	cf53d72af4	fix: 回退两处内核改动，channels 改为插件自持持久化（照参考实现） ... 用户指出「你又tm改内核？」—— 核对后确认两处本可避免： 1. internal/lua/vm.go +32 行 新增 base64_decode 全局函数 2. internal/lua/plugin_http_handler.go +16 行 InvokeHandler 补 markDirty 工作区已还原到 v2.0.2（git diff v2.0.2 = 0 行）。 参考实现（dsh-our-free-model/vendor/channel-pack）对同一问题的做法： - 解 JWT：用**语言自带**的 `Buffer.from(..., 'base64url')`，从不为此改宿主。 → 我改成了插件的纯 Lua b64url_decode（约 20 行），实测解出真 JWT 的 nickname/sub/exp 全对。 - 状态持久化：插件**自己 writeFileSync+renameSync** 写 `channel-pack/state.json`，从不依赖宿主 settings。 → 参考还记下了同构教训（Gitee IKI7WT）：DSH 0.1.7 移除 settings.register() 后账号列表退化为纯内存；正解是**插件探测宿主能力、自持文档**，不是要求 宿主改。我的 markDirty 修法方向相反：把插件的数据安全外包给宿主某条 分发路径的实现细节。 - `.channels-store.json`（tmp + rename 原子替换），只放**索引与配置** （账号条目含 credentialRef 而非凭据本身、模型黑名单、设置、事件日志）。 凭据仍在 .secrets/（0600），两者分离：即便文档泄露也不含 token。 - 变更点同步落盘（不用「置标志+定时 flush」）：本插件无 hooks、45 个端点 各自变更状态，还有大量内部互调；挂在某个边界就必须保证**每条**路径都 经过它，漏一条就是「操作成功但重启丢失」——正是本次要修的缺陷形态。 状态实测 ~1.7KB，写入只发生在运维动作上，不在请求热路径。 - 黑名单写入收口到 setModelDisabled（写点曾有 5+ 处，散着写必漏）。 - 存量迁移：读内核遗留 `.channels.state.json`（v2.0.4 内核写的）→ 写自有 文档 → **写成功才删**遗留（写失败还删=用一次迁移丢数据）；自有存储已存在 时也删遗留，否则内核 restore() 会在启动时用它覆盖。 1. **测试污染生产目录**（严重）：插件 storeDir() 读 /etc/llmsproxy/config.yaml 决定落盘位置，而既有测试都没隔离 → 一次全量测试把 26 个测试账号写进了 **生产** .channels-store.json（含 fixture-a/example 等夹具 id）。 prod 文件已删除（真实账号另有来源）；kernelTestCore 现在隔离插件目录， 且尊重调用方已设的值（多次「重启」需共用同一目录）。 2. model_set_disabled 改了写入口后仍引用已删除的局部变量（nil 索引崩溃）。 - TestChannelsStoreIsPluginOwned：状态写进**插件自己的**文件、不含凭据字段、 新实例读回。变异（markDirty 空操作）→ FAIL。 - TestChannelsMigrationKeepsLegacyOnWriteFailure：**写失败必须保留遗留文件**。 变异（无条件删）→ FAIL。（这条单独测：迁移成功后的删除有两条路径互相掩盖， 只测「最终文件没了」区分不出「写失败也删了」。） - TestChannelsMigratesLegacyKernelState：遗留账号迁入内存 + 自有存储写出 + 遗留文件删除。 - 内核对照 v2.0.2：diff 为空。 go test ./internal/core/（78s）与 ./internal/lua/（63s）全绿； 全量测试后确认生产插件目录未被写入。	2026-10-13 09:34:13 +08:00
JianFeeeee	3fe0df5bf2	fix(packaging): 发行包不再内置可用的 admin key ... 打包时把本地 config.yaml（gitignored，含运维真实密钥）原样复制成 config.example.yaml，而 postinst 在首次安装且 /etc 无配置时又把它 cp 成生产配置 ⇒ 每次安装都得到一个同值的、公开已知的 admin key。 实测该 key（sk-gw-local-0001）在生产上真实有效（/v1/models 返回 200， 而网关监听 0.0.0.0）。 三处修正： - 新增 packaging/config.example.yaml（受 git 跟踪的净化模板）， gateway_keys 留空、sources 留空，并写明不要填死值。 - core-dist.sh / nfpm.yaml 改为打包该模板，不再碰本地 config.yaml。 - postinst.sh 不再投递示例配置：留空文件会让网关启动但拒绝所有请求 （无门可入）。改为让二进制首启时自行生成随机 admin key 并打印 —— 每次安装都不同，且开箱可用。示例文件仅作为 /usr/share 下的参考保留。 实测首启：生成 sk-gw-838d66a1... 并打印，与旧的共享固定值不同。	2026-09-28 23:28:20 +08:00
JianFeeeee	ed05cccb72	feat(packaging): core distribution packages (deb + rpm + tar.gz) via nfpm ... Previously only the Electron GUI had installers; server admins had to build the core by hand (`make build` -> bare binary). This adds a first-class server distribution: - `make core-dist` -> packaging/core-dist.sh -> cmd/build/dist/ llmsproxy_<ver>_amd64.deb (systemd unit + adapters + example config) llmsproxy-<ver>.x86_64.rpm llmsproxy-<ver>-linux-amd64.tar.gz - nfpm config (packaging/nfpm.yaml): binary to /usr/bin, systemd unit with the measured memory tuning (GOGC=50, MALLOC_ARENA_MAX=2) baked in, Lua adapters to /usr/share/llmsproxy/adapters, repo's config.yaml as the example. - postinst seeds /etc/llmsproxy/config.yaml on first install and keeps existing runtime state across reinstalls; prerm stops the service on removal. Gotchas handled: nfpm v2 here does not render `{{ .Env.VERSION }}`, so the script stamps the version into a throwaway config copy; and under `set -o pipefail` the idiom `strings | grep -q` is broken (grep -q closes the pipe and strings dies on SIGPIPE -> spurious 141), so the symbol sanity-gate stages strings in a temp file. README (zh/en) updated: memory figures replaced with production-measured 32-35 MB settled (was 37-42), and the packaging docs now describe core-dist and the dockerized Windows build.	2026-08-30 10:49:25 +08:00