2 Commits

Author	SHA1	Message	Date
JianFeeeee	9811654b3e	perf(gateway): 拒绝路径只判定一次 + 补配额交互判据 ... 复查后修掉一个自己引入的缺陷，并补上此前缺失的交叉场景验证。 ## 修复：拒绝路径重复判定 4 个入口原本先 checkModelScope（判是否为空）再 writeScopeReject （内部又 checkQuota 一次）。即每个【被拒】的请求要跑两遍配额统计， 且两次之间用量可能变化 —— 判定与响应存在理论竞态。 改为 checkQuota 一次判定直接把 *quotaRejection 交给 writeReject， 消息与 Retry-After 都来自同一次读，不再有二次求值。 checkModelScope 保留（只需知道放行与否的调用方仍可用）。 ## 补判据：此前完全没验证过的交叉场景 1. TestKeyQuotaWinsOverSlotQuota —— key 配额与 AUTO 槽位配额是两种 不同作用域的限额（槽位是全网关共享的上游预算，key 配额属于单个 调用方）。两者同时耗尽时必须报【key 配额】：报槽位配额会被表述成 「无可用容量」，读起来像上游故障，而调用方能处理的恰恰是 key 配额。 2. TestUncappedKeyNeverBlockedByEmptyScope —— 只配模型范围、不配配额的 key（生产上 5 把 user key 全是这种）绝不能被槽位检查误伤。 ## 复查补测的实测数据 配额检查的真实开销（每请求一次，走完整 checkQuota 路径）： 配了配额 149 ns 0 allocs 未配配额 42.6 ns 0 allocs <- 生产上 5/7 把 key 是这种 admin key 37 ns 0 allocs 未配配额的 key 只付 FindKey 的开销、根本不碰桶。相对一次 LLM 请求 （秒级）可忽略。 生产配置副本（7 key / 16 源 / 真加密凭据 / 真上游）实测： - 100 并发 -> 50 成功 / 50 容量拒绝，RSS 19.9 -> 25.8 MB - 生产形态桶内存（7 key x 8 model x 2 源 x 40 天满 retention） = 3.73 MB，占 ~32MB 预算的 11% - 配额记账与 stats 一致：配 63000 配额后报 64062/63000 - **跨重启存活**：重启后从审计日志回放，仍报 64062/63000 并拦截； 未配配额的 key 仍 200	2026-09-27 18:42:03 +08:00
JianFeeeee	5306251840	feat(gateway): per-key 用量配额（token + 请求数）与重置周期 ... 问题：密钥控制只能限制模型范围。实测发现三个缺陷，其中前两个让 per-model token_quota 在真实链路上从未生效： 1. 桶键不含 key。scopeTokens 调 WindowTokens(model, source, win)， 桶键是 model / source::model，与调用方无关。实测两把 key 各用 1000 token，窗口报 2000 —— A key 的额度被 B key 消耗。 2. 无 source pin 的桶永远是空的。真实记录 Source 总被填上，桶键存成 "deepseek::m1"，而无 pin 的查询找 "m1" —— 读到 0，永远 < quota， 配额形同虚设。实测 WindowTokens("m1","",1h)=0 而 pinned=2000。 3. AUTO scope 走 KeyTokens(key)，是全时段累计、永不重置。实测 30 天 前的 200 token 仍计入 1 小时配额（报 210 而非 10）。配了 period: hour 也不会每小时归零。 生产 5 把 user key 全是 token_quota: 0，所以前两条一直没暴露。 改动： - Stats 新增 per-key 小时桶 keyModelHour（key → model → hour）与 keyHour（key 总量）、keyReqHour（请求数），retention 40 天，与既有 modelHour 对齐以覆盖最长的 month 窗口；LoadAudit 走 aggregateLocked， 所以窗口用量跨重启存活。modelHour 保持 key-blind：它服务的是 AUTO 槽位配额（限制整个网关对某槽位的消耗），语义不同，不应被 per-key 改造污染。 - 每个请求写两份模型桶：裸 model 与 source::model。无 pin 的 scope 条目读前者，有 pin 的读后者。 - GWKey 新增 TokenQuota / ReqQuota / Period / Hours：整钥配额， 跨该 key 所有模型共享一份预算；ReqQuota 覆盖持续请求量（源上的 RPM 只管突发）。 - 配额耗尽返回 429 + Retry-After（rate_limit_exceeded），而不是 403： 403 让客户端以为这把 key 永远不能用该模型，直接放弃；429 + 等待 才能在窗口重置后自动恢复。模型越权仍是 403。 - admin key 永不受配额限制 —— 否则操作者会把自己锁在门外。 - 周期词表在写入时校验，拼错的 period 被拒绝而不是静默当成永不过期 （那与操作者输入的意图正好相反）。 - PUT /api/keys 的配额字段是指针：省略=保留原值，显式 0=解除限制。 否则只改模型范围就会悄悄清空预算。 判据 3 个文件 24 例，9 个变异全部被抓：key 隔离、pin 桶缺失、 AUTO 周期、key-blind 退化、429→403、admin 被限、PUT 清空配额、 Validate 失效、pinned 桶缺失。前三个变异最初漏网 —— 判据只测了 Stats 层没测接线，补了走真实 HTTP 的接线层与 API 层判据后抓住。 端到端验证：真实进程 + 加密配置往返，配额字段与 enc:v1 密钥均正常。	2026-09-27 17:23:36 +08:00