1e6b4864ec
feat(zcode): 身份块适配器 + 修复调度器泄漏 + codearts 目录 + 备份裁剪泛化
...
## 1. ★ zcode 身份块适配器（channels-zcode）—— 准入的唯一开关
参考实测（三账号 17 次请求）：zcode 的 /zcode-plan/anthropic 通道做**请求体
内容检查**，system 缺官方身份块结构时直接 HTTP 405 + {"code":3012}：
无 system → 3012 ✗
仅 cliPrefix（42 字符） → 3012 ✗
cliPrefix + stable（约 2898 字符）→ 200 ✓
⇒ 判据是「身份块结构是否存在」，与 HTTP 头、版本号、频率、多轮历史、tools
声明、运行时全部无关。我们此前用通用 anthropic 适配器 ⇒ **即使拿到 zcode
账号也必然被拒**（现在 0 账号，但这是能不能用起来的前提）。
实现：插件自装 channels-zcode —— 读内核 anthropic.lua 执行取基座，**只覆盖
transform_request** 注入身份块（协议转换始终与 anthropic 那一份一致，不漂移）：
block[1] cliPrefix(42) / block[2] stable(2852) / block[3] Environment 段
/ block[4] 调用方 system（**必须追加在最后**：上游看的是前缀结构）
只给最后一块打 cache_control（Anthropic 上限 4 断点，逐块打会占满预算）
日期块插入首条 user 的 content **数组**最前（拼进字符串会改变结构）
文本与参考**逐字节一致**（已核对：42 + 2856 = 2898）。
★ 基座读不到时**响亮失败**，不静默退化 —— 否则会产出"身份块看着对、工具/图像
全没转换"的请求，上游可能 200 但模型拿不到工具定义，症状是"模型变笨了"，
与准入毫不相干、排查完全跑偏。
判据 4 条 + 变异 2/2：不注入 → 报红；截断到 100 字符 → 报红。
另加"协议转换不退化"判据（工具 input_schema / 图像块存活）。
## 2. ★★ 同一缺陷家族第 3 个实例：Close() 不停调度器
修完 on_unload 后全量回归 internal/lua **600s 超时**，goroutine 快照显示
**69 个卡在 stateSaver.loop 与 PluginRuntime.loop**。
根因：Runtime.Stop() **只在单插件 Unload 里调**，Close() 不调 ⇒ 每个插件的
调度循环在"进程关闭/测试结束"路径上永不停止。与 on_unload 完全同一形状。
修法：Close() 新增 stopSchedulersAll()，顺序 = 停调度 → 落盘 → on_unload
（调度器必须停在落盘之前，否则它写一个已收尾的 state）。
★ 顺带：Stop() 不幂等（裸 close 会 panic: close of closed channel），
两处都调之后可达 —— 用 sync.Once 加固。给函数加第二个调用点前先查幂等性。
实测 internal/lua 从 600s 超时 → 62s 通过。
## 3. codearts 模型目录：补两个**必须 AK/SK 签名**的端点
codearts 有 10 个账号但目录里只有硬编码 1 个模型。参考打两个端点：
① opengw.../gateway/config → result.models（benefit）
② snap-access.../v1/model/builtin → builtinModels（常规）
而 refreshRemoteModels **只支持 Bearer** ⇒ 这两端点从来没被打过。
已加 ep.sign="codearts" 分支 + 两个解析形态 + opengw host 白名单。
判据：两端点各自真实命中 + 每请求带 SDK-HMAC-SHA256 头 + **合并**（非取其一）。
## 4. TRAE PKCE 候选来源补齐（3 → 5）
参考 authCodeCandidates 有 5 个来源，我们只有 3（漏了 authCodeInfo 为 JSON 的
authCode 字段、以及**纯字符串**形态）。★ 且不能写成 `a or b or c` 链 ——
jsonField 取不到时返回**空串**，Lua 里空串是真值，链会在第一个空串处短路。
判据 5 个参数化用例 + 变异 2/2 咬住（正是 or 链取不到的两个形态）。
## 5. ★ 部署脚本：备份裁剪只修了一半（"两处只修一处"再现）
prune_adapter_backups 有完整实现（含数量硬上限），但**只针对 adapters.bak**；
sync_plugins 同样每次建 plugins.bak.* —— 修了 adapters 的堆积、plugins 继续涨。
实测线上 plugins.bak **36 个**、/etc/llmsproxy 192M。
泛化为 prune_backups <prefix> + prune_all_backups（两个前缀都裁），加空前缀守卫。
判据不止逐字检查，而是**扫描脚本里所有 .bak.$(date) 创建点**，要求每个前缀都在
裁剪范围内 —— 将来新增第三种备份目录会立刻报红，而不是等它涨到几百兆。
变异 2/2 咬住（只裁 adapters / 去掉守卫）。
## 6. 上游客观缺口钉成可执行判据（TestUpstreamGapsAreDocumented）
qoder 加密端点需 .wasm（**参考仓库里也不存在**）、TRAE PKCE 参考**明确不支持**、
zcode 滑块需真实浏览器交互。写成判据：任何人（包括未来的我）想"补"这些能力，
必须先让判据失败 —— 即先推翻事实再动手。防的正是我前两轮的反复误判。
清理：channels-buddy.lua（0 字节历史遗留，每次启动报 must return a table）。
2026-10-16 00:56:35 +08:00
25a525be84
避免部署构建占满临时文件系统
2026-10-15 13:01:58 +08:00
9bec158d2e
chore(main): 回流 release/v2.0.x（v2.0.12）—— 内容对齐，main 无独有内容
...
按发布纪律回流。**注意这是内容对齐而非 merge**，理由与依据：
1. 纪律禁止 merge 回主干，因为 merge 会把发布分支的**版本号变更**带进 main。
本项目版本号**只由 `git describe --tags` 推导**（Makefile VERSION），
仓库里没有任何文件存放版本号 ⇒ 回流不存在版本污染风险。
2. 逐项核对确认 **main 是 release 的内容严格子集**：
- `main` 独有的**文件**：0 个；
- `internal/lua/plugins.go` / `internal/core/kernel_actions.go` 等内核文件
main 独有行数：0；
- `deploy.sh` 那 14 行只是 emoji 清理（release 刻意去掉了 emoji）；
- `channels.lua` 那 333 行是**旧版内容**（旧 exports 表、旧模型名单）。
- main 独有的 9 个提交按 patch-id **全部已在 release 中等效存在**
（`git cherry` 逐条列出均为 `-`，即已合入）。
3. 故回流 = 把 release 的内容带到 main，等价于"只捡拾修复、不带版本号"，
且不会丢任何 main 独有的修复。
本次带回 v2.0.12 的全部内容（37 个提交）：
- 源串行 + 按模型节流（照 model-gate）
- 已失效模型存储 + 远端目录闸门
- 余额分档选号
- 模型能力元数据（models.dev，isFree 权威判定）
- **凭据续期修复**（此前恒报 ok:true 却一个请求都不发）
- 通用件 TTL 缓存 + 串行锁；account_test/account_adopt/account_delete 修正
- 内核级：出站授权持久化重启后不生效、`__llmsproxy_plugin_dir` ground truth
校验：`git diff release/v2.0.x` = 0 行；`go build -tags luajit ./...` 通过。
2026-10-14 16:52:58 +08:00
03430bcef5
fix(deploy): 内置插件的修复无法下发 + buddy 余额解析口径
...
## deploy.sh：内置插件修复本该覆盖
sync_plugins 原为「只补缺，已存在一律不动」。看着安全，实际造成功能性缺口：
**内置插件自身的修复永远下发不了**。v2.0.3/v2.0.4/v2.0.5 三个渠道修复就这样
全部卡在仓库里 —— 二进制换了、/etc/llmsproxy/plugins/channels.lua 还是旧版
（实测 sha256 不同、headers_fn 计数 0），生产行为毫无变化。我自己的验证还被
这个"静默不生效"骗过一轮：测试全绿、部署成功，线上仍是旧逻辑。
修法：与 sync_adapters 同纪律 —— **内置同名文件覆盖（带备份）**，
运行时新增/运维自加的非内置名字一律不动。内置源码是发行物的一部分，
部署必须与二进制内容对齐；"只补缺"想保护的是非内置文件，两者不是一回事。
判据：部署日志出现 `~ 更新内置插件: channels.lua`；部署后生产文件 sha256
与仓库一致。
## buddy 余额：双层嵌套 + 只累加有效包
余额端点响应是 **data.Response.Data.Accounts[]**（与签到端点的单层 data
不同），原实现按顶层找 totalCredit → 永远解析不出、回落 0 或报错。
且刻意**不用**服务端的 TotalDosage：那是终身口径且取整（参考实测同一响应
TotalDosage=655 而 IDE 显示 155.67）。正确算法是遍历 Accounts 现算：
只累加有效包的 CycleCapacityRemain（失效包服务端仍返回，并入会虚高），
按两位小数规整；双层缺失时如实报错，不把「查不到」当「余额为 0」。
判据 TestBuddyBalanceParseDoubleNested：100.5+55.17=155.67（失效的 500
不计入）+ 单层 data 判为失败。变异：改用 TotalDosage → 立即 FAIL（已实测）。
go test ./internal/core/ 与 ./internal/lua/ 全绿。
2026-10-13 08:05:24 +08:00
84c9066bed
fix(plugins): 新内置插件要能落地 —— SeedBundled 改为按文件补齐，deploy.sh 补插件同步
...
真实事故：channels.lua（多平台账号接入插件）在仓库里、在 2.0 二进制里
（go:embed），生产却完全看不到它 —— /api/plugins 只有 billing/quota/usage。
根因是两处叠加：
1. SeedBundled 只在 plugin_dir **不存在**时才写内置插件。生产 plugin_dir 从
首次安装起就存在，于是后来加入二进制的新插件永远不会落盘。目录存在不等于
内容是最新的 —— 这个假设把"新增内置插件"整条路径堵死了。
改为**按文件补齐**：只在该文件缺失时才 seed，已存在的一律不动（运维自己改
过、或运行时新增的插件必须跨升级存活 —— 与适配器同一条规则）。
2. deploy.sh 完全不处理 plugins（只同步 adapters/）。即使内核修好了，部署脚本
也没有把插件内容与仓库对齐的动作。新增 sync_plugins：备份、只补缺、对已有
文件零改动、末尾逐个校验内嵌插件都在目标目录，摘要里打印插件目录。
测试（internal/lua/vm_test.go）：
- TestSeedBundledFillsMissingFilesInExistingDir：构造确切事故条件（目录已存在、
只有部分插件），断言缺失的被补齐、运维自己的 billing.lua 不被覆盖、补齐后
channels 确实出现在插件表里。
- TestSeedBundledIdempotent：二次 seed 不覆盖已就位文件。
deploy.sh 通过 bash -n；go test ./internal/lua/ 全绿。
2026-10-12 19:07:17 +08:00
e10bfbb278
fix(deploy): 适配器备份只保留最近 5 份，不再无限堆积
...
sync_adapters 每次部署都新建一个 adapters.bak.<时间戳> 目录，而回滚只用到
最近一次（$BACKUP_BIN / $BACKUP_CONFIG 都是单文件覆盖）。多出来的目录从没人
清理——线上实测已积累 71 个，把 /etc/llmsproxy 顶到 122M。
prune_adapter_backups：
- 按时间保留最近 KEEP_ADAPTER_BACKUPS=5 份（sort 升序，删前面较旧的）；
- 另给目录数一个硬上限（5×4），防一次误配置在几秒内造出成百上千个目录；
- 只删名字严格匹配 adapters.bak.<14位时间戳> 的目录，手工放的
adapters.bak.MANUAL 之类一律跳过不删（宁可留着也不误伤）。
本地用真实形状的名字（14 位 YYYYMMDDHHMMSS）跑了 5 个用例验证：
12 份→留最新 5 且手工目录/无关目录不动、恰好 5 份→全留、40 份→走硬上限、
0 份→不报错、只有手工目录→原样保留。
线上已手动按同一规则清到 5 份（122M→114M；剩下的大头是 runtime.json 的
审计 .old，由 auditKeepOld=16 自行限额，不在本次范围）。
2026-10-01 20:52:23 +08:00
a7355debed
feat(deploy): 部署前校验 master.key 可解封配置 + llmsproxy -show-secrets
...
密钥校验（deploy.sh）
- 新增 verify_master_key，在 build/替换任何文件之前执行。失败则二进制与
配置分毫未动、服务不受影响（已负向验证：缺钥匙、错钥匙两种情况都挡住）
- 走真实的 -show-secrets 解密路径，而不是只检查钥匙文件格式——格式合法
但内容不匹配（重新生成、恢复了错的备份、换机器）同样会被拒
- 钥匙来源与 config 包一致：LLMS_PROXY_MASTER_KEY 优先，否则
dirname(runtime_file)/master.key
- 配置里没有密文时跳过并提示（首次加密场景）
-show-secrets
- llmsproxy -show-secrets -config <path>：把凭据打到 stdout 后退出
- 不启动任何东西、不写任何文件（已验证 mtime 不变）
- 加密往返无损：封存前后输出逐字节一致
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com >
(cherry picked from commit a8cff57e24
2026-09-27 17:12:03 +08:00
c524831616
fix(deploy): roll back config together with the binary, and preflight it before restart
...
The 446-restart-loop incident: adding a headers block to a source without
removing the source's existing `headers: {}` produced a duplicate YAML key.
The process exited on startup, healthcheck failed, and rollback restored only
the binary — so the old binary kept parsing the same broken config and the
service span in systemd's restart loop. Config was treated as out of scope
for deployment; it is not.
Three changes close the loop:
1. cmd/llmsproxy: new `-check` flag validates a config (parse +
ApplyDefaults) and exits, without starting the Lua VM, touching
runtime.json, or binding a port — safe to run against a live service.
Unlike normal startup it does NOT create a default config, so a missing
file is an error.
2. deploy.sh `--config <file>`: stage a config for deployment, atomically
renamed into place with the same copy->rename(2) technique as the binary.
Omitted means the live config is left alone.
3. Ordering: config replacement and preflight both run BEFORE
restart_service, so an invalid config is caught while the service is still
healthy and never triggers a restart. rollback() now restores binary AND
config (only when this run replaced it, so concurrent WebUI edits survive),
then re-runs -check before restarting — refusing to restart into a config
that still fails, instead of trading one restart storm for another.
Also: the sha256-unchanged early exit now only fires when there is no pending
config, otherwise `--config` would be silently dropped.
Verified on the live deployment:
- reproduced the exact duplicate-key config: preflight caught it, PID
unchanged (zero interruption), binary and config both rolled back, gateway
still answering 200
- valid config: replaced, service restarted, new value live
- no --config: binary-only deploy unaffected
- go test -tags luajit ./... passes
2026-09-05 09:46:43 +08:00
18c2385c61
feat: add per-source TTFB and tokens/s metrics to status page
...
- Req: add FirstByteMs field (ms to first byte, tracked for streaming)
- Stat: add FirstByteSum for aggregation
- SourceAverages(): new method computing per-source avg TTFB and tokens/s
from the in-memory ring (300s window)
- SourceStatus: add AvgFirstByteMs and AvgTokPerS fields
- pumpStream: record FirstByteMs after first SSE chunk sent to client
- singleChat/singleChatAuto: set FirstByteMs = LatMs (non-streaming)
- handleStatusAPI: populate the new SourceStatus fields from SourceAverages()
- WebUI source table: two new columns showing TTFB (s) and Tokens/s
2026-08-25 08:24:08 +08:00
690f55c6f1
feat: proactive rate limiting (RPM) + 429 short cooldown for sources
...
- config.go: Source add RPM field (requests-per-minute cap, 0=unlimited)
- provider.go: RecordRateLimit() — 429 uses fixed 30s cooldown, not exponential
- provider.go: Throttle() — token-bucket proactive rate limiter, spaces requests
at 60s/RPM interval, respects context cancellation
- provider.go: ReportStatus() — 429 -> RecordRateLimit, 5xx -> RecordFailure
- provider.go: Chat/ChatStream — wire Throttle after TryAcquire
- api.go: sourcePayload + RPM, buildSource passes RPM through
- ui/index.html: add RPM input field in source editor, bilingual i18n labels
- deploy.sh: backup old binary + rollback on healthcheck failure
- provider_test.go: TestModelStateRateLimitShortCooldown, TestThrottleSpacingAndCancel
- config.yaml: sensenova rpm: 12
2026-08-24 02:00:25 +08:00
