|
|
688dce88d1
|
refactor(rename)!: llmsproxy → modelrouter（module / 二进制 / 路径 / env）
产品名早已是 ModelRouter，但仓库标识符仍沿用旧名。这次统一，读写两侧都做兼容，
已部署的机器不会因为顺序问题立刻失效。
- go module `llmsproxy` → `modelrouter`；全仓 import 与 `cmd/modelrouter` 同步。
- `Makefile BINARY=modelrouter`；发行包名、systemd unit、/usr/share 资源、
`/usr/local/bin` 目标全部改为 modelrouter。
- 默认配置目录 `/etc/llmsproxy` → `/etc/modelrouter`。**读取侧回退**：插件与
`storeDir` 仍会检查旧路径，所以"先换二进制、后改 unit"不会立即失效。
- 环境变量 `LLMSPROXY_*`（PLUGIN_DIR / XDISPLAY_BASE / ARCH / LIVE_ZEN /
BUILD_DIR）改为 `MODELROUTER_*`；`LLMS_PROXY_MASTER_KEY` →
`MODELROUTER_MASTER_KEY`。旧名在读取侧继续接受。
- 桌面端内嵌核心 `bin/llmsproxy` → `bin/modelrouter`，并保留旧文件名回退，
避免升级到一半的 profile 被判成"core binary missing"。
- 新增 `packaging/migrate-to-modelrouter.sh`：**默认 dry-run**，复制而非移动、
旧目录永不删除、支持 `--rollback`；随 release tar 分发并由 core-dist 校验。
- `deploy.sh` 增加改名保护：发现旧 `/etc/llmsproxy` 而新配置不存在时**中止**，
否则会部署出一个"能启动但没有 key、没有源"的空实例。
- 临时目录前缀 `/tmp/llmsproxy-*` → `/tmp/modelrouter-*`；清理逻辑同时回收两代。
兼容别名（`__llmsproxy_*` 全局、`llmsproxy` SDK 别名、旧路径/旧 env）刻意保留，
它们是升级路径而非遗留；docs/plugins.md 已标注为废弃。
本提交未包含：`adapters/opencodezen.lua`、`adapter_opencodezen_test.go`、
`adapter_opencodezen_live_test.go`（OpenCode UA/免费池的既有改动，另批提交）。
|
2026-10-26 22:28:08 +08:00 |
|
|
|
226493b5ae
|
fix(部署+插件): VNC 兜底登录**真正可用** —— 放开浏览器栈不需要的加固 + 修 3 个插件缺陷
用户原话：「全部放开，插件不让用这些还叫插件吗」。方向是对的：插件架构的边界
应当是**内核暴露给插件的 API 权限**，而不是一层把插件自己的浏览器栈也关在门外的
进程级 syscall 过滤器。
## ★ 白屏的根因（本次花了大量时间，记录完整线索链）
同一页面、同一 chromium 参数，只换 seccomp：
| SystemCallFilter | 结果 |
|---|---|
| `@system-service` | 页面**永远空白**（截图非白像素 7.9%，连 `typeof WebAssembly` 都不执行） |
| 放开 | 完整渲染 TRAE 登录页（非白像素 **90.6%**，标题 `登录 \| TRAE - The Real AI Engineer`） |
TRAE 授权页是 React SPA + 字节风控 SDK（`sdk-glue.js`），依赖 WASM/JIT。
白名单**只减不增**地挡住了它。
**为什么不再逐个补白名单**：那是没有终点的维护 —— 每接一个新平台、每换一次前端
SDK 都可能再撞一个缺口，而症状永远是"页面白屏"这种零线索形态。本次为此**错误
怀疑过** 5 个方向（profile 锁 / /tmp 满 / PrivateTmp / 可写 HOME / AF_NETLINK），
全部被排除后才靠**逐 directive 二分**定位。补白名单只会让下一个人重复这个过程。
`packaging/llmsproxy.service` 因此去掉两项：
- `SystemCallFilter=@system-service` + `SystemCallArchitectures=native`
- `RestrictAddressFamilies=AF_INET AF_INET6 AF_UNIX`（缺 `AF_NETLINK` 会让
chromium 建套接字失败 → SSL `net_error -101` → 导航不了）
**保留**的加固（已逐条实测不影响浏览器栈）：`NoNewPrivileges` /
`ProtectSystem=strict` / `ReadWritePaths=/etc/llmsproxy` / `ProtectHome` /
`PrivateTmp` / `CapabilityBoundingSet=`（空）/ `ProtectKernel*` /
`RestrictSUIDSGID` / `RestrictRealtime` / `LockPersonality`。可写面仍收窄到
`/etc/llmsproxy`。
## 修掉的 3 个插件缺陷（都是真 bug，各自有判据）
1. **前向引用（第 12 次）**：`sweepSessions` 调 `reapLoopback`/`browserStack`/
`reapBrowser`，三者定义在**后面** ⇒ 未声明时是全局 nil。加载期不报错，只有走到
「会话过期回收」才炸 ⇒ **第一次登录正常、第二次 500**，且已起的浏览器栈不被回收
（进程与端口泄漏）。→ 加前向声明 + 定义改赋值式。
2. **`spawnBrowser` 里 `url` 是未定义全局**（形参名是 `start_url`）⇒ chromium 打开
`http://nil/`。修复前页面 URL = `http://nil/`，修复后 = 完整 `trae.cn/authorization?...`。
3. **chromium 在加固环境自杀**：`FATAL: GPU process isn't usable. Goodbye.`
→ `--in-process-gpu`（GPU 逻辑跑浏览器进程内，不 fork）。另给可写
HOME/XDG（`ProtectHome=yes` 下 /root 只读会刷 permission denied 噪声）。
另加**存活探针**：此前只等 CDP 端口就报「已就绪」，即便浏览器已死也报成功 ——
**谎报比直接报错更坏**（运维会以为是自己操作的问题）。现在会如实报出
`浏览器 CDP 无应答：...FATAL: GPU process isn't usable`。
## 测试与生产抢资源的修复
生产 `PrivateTmp=yes` 下 Xvfb `:91` 的锁在**服务自己的 /tmp** 里，宿主测试看不到
⇒ `xdisplayBusy(91)` 判"空闲"⇒ 测试去抢 91 ⇒ `Xvfb 未就绪`。
→ 显示器起始号可被 `LLMSPROXY_XDISPLAY_BASE` 覆盖，测试台统一用 300+；
`TestXDisplaySelectionReclaimsStaleLocks` 的号段也跟随（否则它造出的陈旧锁**根本
不会被扫描到**，断言永远失败 —— 那是判据与被测对象脱节）。
（端口不需要覆盖点：端口是全局资源，`portFree` 查 /proc/net/tcp 看得见生产占用。）
## 判据
- `TestSweepSessionsHelpersAreForwardDeclared`：三助手必须前向声明 + 定义必须是
赋值式 + 声明必须**先于**使用。
- `TestBrowserStackVerifiesLivenessNotJustPort`：必须有 CDP 真应答判据 + /proc 存活
+ 日志真因 + 失败时回收整组进程。
- `TestBrowserStackUsesInProcessGPU`：`--in-process-gpu` / 可写 HOME/XDG 不得被删。
- `TestChannelsVncStackEndToEnd` / `TestXDisplaySelection*`：真实起栈验证。
## 端到端验证
`bash deploy.sh` → 生产 `active` / `NRestarts=0`；真实登录请求 → `server_browser=True`，
VNC 上**完整渲染 TRAE 登录页**（手机号登录 / 抖音 / 苹果 / 企业账号登录全部可见），
标题 `登录 | TRAE - The Real AI Engineer`。
回归：9 个包全绿。
|
2026-10-15 08:22:57 +08:00 |
|
|
|
41ff6d1be3
|
fix(channels): 修服务端浏览器栈的四处泄漏（含宿主 SHM 耗尽）
这些缺陷让「测试单独跑绿、全量跑红」，在生产同样会让登录用到一半失败。
## ① 宿主级：SIGKILL 杀 X 进程 → SysV SHM 段耗尽
X 服务用 MIT-SHM 与客户端通信，被强杀时这些段无人释放，成为系统级孤儿段
（nattch=0 但占着 kernel.shmmni 名额）。实测单个 Xvfb 约 84 段，上限 4096
⇒ 约 48 次异常退出即耗满。用满后**宿主上任何**新进程 shmget 都失败：
x11vnc 从 0.2s 能监听变成永远起不来（表现为「x11vnc 端口未就绪」）。
修：回收改为**先 SIGTERM、等 0.4s、再 SIGKILL**，让 X 自己释放 SHM。
实测 core 全包前后 shm 84 → 84（零泄漏）。
## ② 显示器锁泄漏 → 号段被烧穿
强杀留下 /tmp/.X<n>-lock，而选号是「锁/socket 存在就当被占」⇒ 每个被强杀的
显示器永久烧掉一个号；累积满 91 起后 pickFree 扫不到空位就 return start(91)
→ Xvfb 报 “Server is already active for display 91”（实测 41/41 全占）。
修：pickFreeX 回收陈旧锁（用 /proc/<pid> 判存活，不信 shell 退出码）+ 扫 200 个号
+ 扫不到如实报错；收尾清掉自己占的锁与 socket。
## ③ chromium profile 复用 → SingletonLock 卡死
数据目录原用 seq 编号，插件重启后 seq 重来 ⇒ 复用同目录 ⇒ 残留 SingletonLock
让 chromium 只打印 “Opening in existing browser session.” 就退出，新端口永不监听
→ 报「chromium 端口未就绪」。
修：目录名用唯一 tag（时间+随机），并在收尾清掉。
## ④ callback 流漏收浏览器栈
callback 流在 start_login 就拉起服务端浏览器栈，但没有任何路径负责回收
⇒ 每次放弃登录都留一套（实测一轮 core 全包攒 7 套 websockify+x11vnc）。
修：会话过期时若栈属于该会话就收掉；起新栈前先收旧栈（单会话栈）；
kernelTestCore 统一 t.Cleanup 调 stop_browser。
## 判据
- TestXDisplaySelectionReclaimsStaleLocks：陈旧锁必须被**回收复用**（只跳过不算通过）
- TestXDisplaySelectionKeepsLiveLocks：活锁不得被回收（反向）
- 两个变异（去掉收尾清理 / 有锁就当被占）均被抓
## 另：变异测试会污染生产源码，加进程级兜底
discover_mutate_test.go 会改写 internal/gateway/discover.go，靠 defer 回滚 ——
进程被强杀（go test 超时 / Ctrl-C / 误杀 shell）时 defer 不执行，变异体留在工作区，
下次运行会把它当"原始源码"，所有裁决静默失效（本仓真实踩过两次）。
新增 mutation_guard_test.go：进包即自愈已知变异体。
|
2026-10-13 15:24:07 +08:00 |
|
