|
|
ef631b43dd
|
feat(webui): 密钥配额表单 + 修复弹窗关闭错对象
功能：让 per-key 配额在 WebUI 里可配置可见，之前的实现只有 API 与
config.yaml 能配。
- 密钥卡片头部显示配额徽标（token / 请求数 + 重置窗口），admin key
不显示编辑入口（服务端本就永不受限，给入口只会让人以为配了会生效）。
- 新增「配额」编辑弹窗：token 配额、请求数配额、重置周期（复用既有
的 period 词表与 n-hour 联动），预填从 canvas 的 data-* 读。
- 创建密钥弹窗同步加配额字段；选 admin 角色时自动禁用（同样因为服务端
忽略 admin 的配额）。
- 「我的密钥」页新增 KEY-WIDE QUOTA 列，用户能看到自己这把 key 的预算。
修一个真 bug：保存弹窗用 $("#modal-wrap") 关闭自己，而全站弹窗共用这个
id、且可以叠加（seed key 提示就盖在密钥页上）。实测（共享 Chromium
CDP，seed 提示与配额弹窗共存）确认：保存后被移除的是 seed 提示，配额表单
反而留在屏幕上 —— 症状是「保存了但弹窗没关」，指向的方向完全错。改为用
点击的按钮 btn.closest("#modal-wrap") 解析自己的弹窗。createKey 有同样
问题，一并修。既有文件里另有 7 处同样写法，未动（不在本次范围，且新判据
只对本次改的两处断言，避免误伤）。
判据新增 internal/gateway/ui_quota_contract_test.go（6 例）：
- 两个表单必须用 .closest 解析自己的弹窗
- putScope 必须带上 4 个配额字段（API 视其为指针，省略=清空预算）
- 创建请求必须真的发出配额字段
- **数据流判据**：徽标要真读 k.token_quota 等、编辑表单要真读
canvas 写的 data-kquota 等。只查字面量存在会漏 —— 字段躺在死分支里
判据照样通过（这是本轮实际踩到的：keyCapBadges 经 keyPeriodSuffix
间接读 k.period，被判据抓到后我把读取显式化而不是放宽判据）
- 弹窗扫描先剥注释，否则修复说明里引用的字面量会被当成违规
- 复用既有 ui_contract_test.go 的 jsFunctionBody（大括号配平）；
自己第一版用 2000 字符固定窗口，被长注释顶开后仍在窗口外命中后面
函数的同名字段，读起来像通过 —— 窗口法在这里是假判据
7 个变异全部被抓（unsafe 关闭、putScope 丢字段、createKey 丢字段、
徽标不读字段、canvas 不写 data-*、kq-hours 改名、周期词表缺项）。
浏览器实测（共享 Chromium CDP，真实进程 + 加密配置）：
- 徽标渲染 1.0K·1h / 5×·1h；编辑框预填 1000/5/hour，hours 框按周期联动
- 保存后回读 250000/77/nhour/6，徽标更新为 250.0K·6h，toast Saved
- 零 JS 异常
- **关键回归**：编辑模型 scope 后配额仍是 250000/77/nhour，未被清空
- 创建带配额的 key，服务端确认 {t:50000,r:300,p:week,role:user}
- user 视角「我的密钥」显示 777·1h 与 9×·1h
文档：README.md / README_EN.md 补「密钥用量配额」小节（配置示例、
周期词表、429 语义、admin 豁免、整点分桶最晚晚 1 小时释放、PUT 的
省略 vs 0 语义、429 响应样例），特性列表各加一条。
(cherry picked from commit ce66c7f6c2)
|
2026-09-27 18:44:41 +08:00 |
|
|
|
9c3aabb7f9
|
feat(gateway): per-key 用量配额（token + 请求数）与重置周期
问题：密钥控制只能限制模型范围。实测发现三个缺陷，其中前两个让
per-model token_quota 在真实链路上从未生效：
1. 桶键不含 key。scopeTokens 调 WindowTokens(model, source, win)，
桶键是 model / source::model，与调用方无关。实测两把 key 各用
1000 token，窗口报 2000 —— A key 的额度被 B key 消耗。
2. 无 source pin 的桶永远是空的。真实记录 Source 总被填上，桶键存成
"deepseek::m1"，而无 pin 的查询找 "m1" —— 读到 0，永远 < quota，
配额形同虚设。实测 WindowTokens("m1","",1h)=0 而 pinned=2000。
3. AUTO scope 走 KeyTokens(key)，是全时段累计、永不重置。实测 30 天
前的 200 token 仍计入 1 小时配额（报 210 而非 10）。配了
period: hour 也不会每小时归零。
生产 5 把 user key 全是 token_quota: 0，所以前两条一直没暴露。
改动：
- Stats 新增 per-key 小时桶 keyModelHour（key → model → hour）与
keyHour（key 总量）、keyReqHour（请求数），retention 40 天，与既有
modelHour 对齐以覆盖最长的 month 窗口；LoadAudit 走 aggregateLocked，
所以窗口用量跨重启存活。modelHour 保持 key-blind：它服务的是 AUTO
槽位配额（限制整个网关对某槽位的消耗），语义不同，不应被 per-key
改造污染。
- 每个请求写两份模型桶：裸 model 与 source::model。无 pin 的 scope
条目读前者，有 pin 的读后者。
- GWKey 新增 TokenQuota / ReqQuota / Period / Hours：整钥配额，
跨该 key 所有模型共享一份预算；ReqQuota 覆盖持续请求量（源上的
RPM 只管突发）。
- 配额耗尽返回 429 + Retry-After（rate_limit_exceeded），而不是 403：
403 让客户端以为这把 key 永远不能用该模型，直接放弃；429 + 等待
才能在窗口重置后自动恢复。模型越权仍是 403。
- admin key 永不受配额限制 —— 否则操作者会把自己锁在门外。
- 周期词表在写入时校验，拼错的 period 被拒绝而不是静默当成永不过期
（那与操作者输入的意图正好相反）。
- PUT /api/keys 的配额字段是指针：省略=保留原值，显式 0=解除限制。
否则只改模型范围就会悄悄清空预算。
判据 3 个文件 24 例，9 个变异全部被抓：key 隔离、pin 桶缺失、
AUTO 周期、key-blind 退化、429→403、admin 被限、PUT 清空配额、
Validate 失效、pinned 桶缺失。前三个变异最初漏网 —— 判据只测了
Stats 层没测接线，补了走真实 HTTP 的接线层与 API 层判据后抓住。
端到端验证：真实进程 + 加密配置往返，配额字段与 enc:v1 密钥均正常。
(cherry picked from commit 5306251840)
|
2026-09-27 18:44:41 +08:00 |
|
