a873fe4724
test(discovery): 真实变异注入 11/11，并给 harness 加三道防线
...
前几版 harness 先后报过「4 个变异存活」「11 个一个没跑」「9 个存活」，
查清后**全部是判据或变异本身失效，没有一个是代码问题**。这一版把三类
失效都变成显式失败，而不是静默给出错误结论。
**防线一：先证明 filter 选中了东西**
`go test -run <完全不存在>` **不打印** `[no tests to run]`（那句话只在
「包内有其他匹配项但目标没跑」时出现）。我原先据此写的检查方向是反的，
harness 第一步就自我否决。现在改成对比数字：空 filter 必须选中 0 个测试，
真实 filter 必须选中 >= 25 个。本次运行：32 / 0。
**防线二：编译失败 ≠ 变异被杀**
嵌套调用漏 `-tags luajit` ⇒ 纯 Lua 5.1 ⇒ billing.lua 的 goto 编译失败
⇒ 整包 build failed ⇒ **每个变异都「被杀」，给出满分**。这比假绿更隐蔽。
现在 [build failed] 直接 t.Fatalf。
**防线三：变异没改变行为 ≠ 判据漏放**
两次「存活」查清后都是**恒等变换**：
`&& out.BaseURL != ""` — 判据用零值结构体，BaseURL 为空，条件恒假
`&& len(out.BaseURL) >= 0` — len 恒 >= 0，条件恒真
正确写法是把赋值换成 `_ =`：读了变量让编译器满意，行为真的变了。
检测方式：变异后若结果行（剥掉测试名、排序后）与 baseline 完全一致，
报 no-op 而不是记成存活。
no-op 检测本身也修过：原来保留 === RUN 行（含测试名），两次运行测试顺序
不同 ⇒ 每个变异都「看起来变了行为」，检测形同虚设。
11 个变异覆盖：kind 判定、metadata 透传、非目录拒绝、URL 回退、
版本段搬移（chat 与 image 两条）、版本段识别、nil 切片、鉴权分类、
候选去重。
★ 判据的期望值不写死数字：候选去重修好后 len(cands) 从 3 变 2，
连改两次判据都是在追当前列表。改成断言「该覆盖的 URL 都在」。
2026-10-06 15:02:42 +08:00
31bc3968c5
fix(discovery): 裸 host 也必须有回退候选
...
补 image_endpoint 那一轮的测试暴露了一个覆盖缺口：候选构造是
if !hasVersion { add(raw, "/v1/models", 0) }
else { add(raw, "/models", 0) }
裸 host（https://api.vendor.com）因此只生成**一个**候选，没有任何回退 。
catalog 挂在裸 /models 上的厂商会被报成不可达。
为什么一直没发现：所有测试用的 base 都以 /v1 结尾。生产里唯一已配
kind:image 的 siliconflow（base_url https://api.siliconflow.cn）它的
/v1/models 恰好能应答——**一个能工作的巧合把这个洞盖住了**。
现在两个 catalog 路径无条件都试（偏好只决定「多个都成功时报告哪个」，
不决定「试哪些」）。同时修正优先级：base 已带版本段时第一候选必须是
相对的 /models，否则会先试 …/v1/v1/models——一个必然 404 的 URL，白花
一个来回，还让错误信息以无意义的 URL 开头。
判据同步改了：原本断言 len(cands)==2，那是**在测量当前的列表而不是
覆盖性质**，去重修一次漂一次。现在断言「该覆盖的 URL 都在」
（base+"/v1/models" 与 base+"/models"），实现怎么变都不会漂。
新增 discover_endpoint_test.go：
- 裸 base 不带版本段时 image_endpoint 必须留空，否则会写坏今天正常工作的
siliconflow 配置
- 裸 host + catalog 在 /v1 响应时 endpoint 必须是 /v1/chat/completions
（这正是我第一次把测试期望写反的地方：catalog 路径是上游要不要 /v1 的
唯一证据）
- 两种 base 形态下最终拼出的 chat/image URL 逐字断言，且都不含 /v1/v1
2026-10-06 15:02:42 +08:00
c40b5b5981
fix(discovery): 错误分类 + 去掉重复请求 URL
...
演练错误路径时发现两个真问题。
**① 密钥错误被报成 502（上游故障）。** 这是最常见的失败，却和「厂商挂了」
给出完全相同的错误。两者需要的动作正好相反：重新输 key vs 去查厂商状态页。
操作员只能猜。现在 401/403 会得到 401 并在信息里点名 api key；
DNS 不解析、TLS 失败、连接被拒也各自带一句可执行的说明。
**② 错误信息里的 tried 列表有重复。** base "https://h/v1 " + path "/models"
和 base "https://h " + path "/v1/models" 请求的是同一个地址，但候选去重只按
(base, path) 对，于是同一条 URL 在错误信息里出现两次——读起来像「试了两个
地方」，其实只试了一个。改成按最终 URL 去重。
去重后候选从 3 个变成 2 个，两个判据的期望值需要跟着改：
TestDiscoveryCandidates_DedupesAndPrefersTyped 和变异测试的
「fallback search」原本断言 >= 3，那是在测量 bug 而不是覆盖度。覆盖没有丢失：
剩下的两条是 https://h/v1/models 和 https://h/models，两个不同地址 。
新增判据：
TestDiscoverModels_WrongKeyIsUnauthorizedNotBadGateway
TestDiscoverModels_UnreachableStaysBadGateway（防止过度纠正）
TestDiscoveryCandidates_NoDuplicateRequests
TestDiscoverModels_FailureListsEachURLOnce（对操作员真正读到的文本断言）
2026-10-06 15:02:42 +08:00
7ce0378e8b
docs(discovery): 用实测数据替换注释里的猜测
...
composeImageEndpoint 原注释写着「两种形式都 404，无法区分」，那是我写代码时
的推测，不是观测。后来真实打了一次上游就分清了：
/v1/images/generations → 200（图像生成本身要几分钟，是上游耗时）
/v1/v1/images/generations → 404
/images/generations → 404
注释里的假话比没有注释更糟——下一个人会拿它当「已知的模糊地带」而不敢
收紧判据。
2026-10-06 15:02:42 +08:00
ae9f56ddb3
fix(gateway): 探测同时算出 image_endpoint，修 /v1/v1 404
...
上一版只算了 endpoint，图像生成仍然 404。根因是网关两条拼接路径的默认值
规则相反：
ChatURL = BaseURL + Endpoint() 默认 "/chat/completions" 相对
ImageURL = BaseURL + ImageEndpoint() 默认 "/v1/images/generations" 绝对
base_url 带 /v1 时 chat 拼成 /v1/chat/completions 正常，image 拼成
/v1/v1/images/generations 就 404。之前归一化 base_url 时修正了版本段的位置，
但没意识到图像这条路径的默认值自带 /v1，它跟 base 是各管一段。
探测现在额外返回 image_endpoint：base 末尾有版本段时给
/images/generations，否则留空用默认值。判据是 TestComposeImageEndpoint ——
它断言 base+结果绝不含 /v1/v1，这是那个 404 的字面形态。
apply 的继承逻辑相应改了：image_endpoint 不再从旧源继承。旧值是对旧
base_url 正确的，而 base_url 恰恰是这次可能变的东西，沿用它会留下一个对着
新 base 404 的陈旧值。前端 srcDiscover() 同步写入该字段。
端到端（隔离实例 18099，真实 amr-link 上游）：
探测 http 200，1.4s，29 chat + 5 image
apply http 200，落库 34 个模型
文本 http 200，2.0s
视觉 http 200，1.5s
图像 路径修正为 /v1/images/generations（不再 404；上游本身 120s 超时，
属其自身耗时，非路由问题）
探测对已存在的源返回 409 要求显式 replace_models=true，这个保护在验证中
确实生效了。
2026-10-06 15:02:42 +08:00
3860c7381f
feat(gateway): 源自动探测模型列表
...
只需填 URL 和 key 即可自动扫描上游模型并配置，不用再手抄模型 id。
端点
POST /api/sources/discover 只探测，不写任何东西
POST /api/sources/discover/apply 探测后落库
核心难点是 URL 形态而不是 /models 调用本身。网关按 base_url + adapter
endpoint 拼路径（openai 提供 "/chat/completions"），而各家厂商对版本段
放在 base 还是 path 上没有共识，也没有哪个响应头能说明。所以探测不信任
调用方给的 URL，而是按偏好顺序试若干候选，返回答的那个，并给出归一化
后的 base_url + endpoint 组合。这正是第一次配 vela 时 /v1/images/
generations 返回 404 的成因：base_url 里已有 /v1，默认图像路径再拼一次。
归一化的不变量是「版本段在 base_url + endpoint 里恰好出现一次」。留在两边
会重复；两边都没有则 chat 请求在要求版本段的厂商上会打错路径。
kind 只信上游自己声明的 modality，绝不从模型名猜。"gpt-image-2" 这类
id 也出现在同时提供对话服务的目录上，猜错会让 AUTO 链选中一个只支持图像
生成的 id，其后每一层都被它拖垮。
不做的事：
- 不逐模型发单 token 探活。34 个模型的目录跑一轮要花钱且耗时数分钟，
/models 是足够便宜的信号；模型是否真能应答留给正常请求路径。
- 不猜能力。「vision」出现在 id 里不等于该模型接受图片。
- 不自动写盘。探测只读，保存仍需操作员按按钮——错误的 base_url 会产出
一个看起来合理却无法使用的源。
已存在的源必须显式 replace_models=true 才会覆盖模型列表：重新探测顺手
抹掉为 AUTO 链手工调过的 priority 是最难排查的一类数据丢失。
测试用真实抓取的 amr-link /models 响应做夹具，它把 modality 嵌在
architecture 下、metadata 下还有 cost/context_limit，34 个模型里混着 5 个
图像生成 id——朴素解析器正好在这三处出错。
变异测试 9/9 全杀（TestRealMutants，baseline 43 个测试）。过程中发现并
修掉四个真缺陷：嵌套 metadata 丢失、null 被当空目录、候选盲目拼接出
/v1/v1、以及 discoveryResult 零值序列化成 null 会让前端渲染出
"undefined"。早先的 shell 版变异脚本因 -run 转义损坏报出 4 个"存活"，
实际是零个测试被执行——判据分不清"通过"和"没跑"就不是判据。
2026-10-06 15:02:42 +08:00
94c1e7688f
fix(gateway): 流式请求从未记录 reasoning_tokens
...
## 症状
接了一个 reasoning-heavy 的源之后，读生产审计文件发现：它的**流式**请求全部
只有 completion、没有 reasoning。实测对照：
流式 compl=8166 reasoning=— ← 网关记的
非流式 compl=751 reasoning=167 ← 同一个 adapter，非流式正常
客户端两种情况的响应都正确，所以**没有任何报错**。只有审计记录更安静。
## 根因
两条记账路径，只有一条读了它：
recordChatUsage(非流式) 读 resp.TokenUsage.CompletionTokensDetails
流式的 usage 合并(内联在 handler) 只读 Prompt 和 Completion
cache 记账当时被镜像过去了，**reasoning 单纯没加**。所以一个花了几百 token
思考的模型，在流式下看起来像什么都没想。
这不是 qwen38 的问题 —— 是任何流式 reasoning 模型的问题，之前没有源暴露它。
## 为什么是「读审计文件」发现的，而不是失败的测试
现有判据 `TestRecordChatUsageKeepsReasoningTokens` 只覆盖非流式那条路径。
流式那段内联在 handler 里，测不到。抽出 `applyStreamUsageDetails` 之后
才有地方挂判据 —— 抽取不是为了好看，是因为不抽就没法测。
## 判据（四条）
- 流式记录 reasoning，且精确值（512）
- **reasoning 绝不被加进 completion** —— 关系式断言，不是「字段存在」检查。
写成 `rec.Compl += reasoning` 会让每个思考 token 被收两次费。
- 上游没报 reasoning 时不写字段（0 在审计里表示「未上报」，与「没思考」不同）
- cache 记账未被顺带破坏 —— 三种输入形态各测一遍
变异自证三次变红：删掉 reasoning、加到 completion 上、破坏 cache 块。
第四次变异（`d.ReasoningTokens > 0` 改成无条件赋值）没变红 —— 那一版与原版
**行为完全相同**：rec.Reasoning 初值就是 0，且 json tag 带 omitempty，两种情况下
客户端都看不到这个字段。这是无行为差异的变异，不是判据漏放。
## 生产实测
部署前（13 条）：compl=204/277/1822/1264/740/… reasoning 全部未记录
部署后（ 1 条）：compl=213 reasoning=42 status=200
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-06 15:02:42 +08:00
b8386465ea
feat(adapters): qwen38 —— tokenplan/discovery-api 适配器
...
接 https://discovery-api.intern-ai.org.cn/v1（qwen3.8-27b 等 10 个模型，5 个支持
视觉）。这是一个 OpenAI 兼容端点，但有 Stock OpenAI 适配器处理不了的地方。
## 为什么需要专用适配器
**① 思考内容占绝大部分输出，且是独立字段**
实测视觉问答：completion=303，其中 reasoning=295 —— 97% 的 token 预算用在
思考上，只有 8 token 变成正文。
后果是**静默失败**：直接透传上游的 content，调用方看到的是空字符串，看起来
像模型坏了。实测 max_tokens=60 时上游返回 HTTP 200 + content=null +
finish_reason="length" —— 一个健康的请求，什么都没产出。
所以思考内容走自己的字段，绝不折进 content：折进去比丢掉更糟，页面会把模型
的内心戏当成答案显示。
**② `finish_reason: "length"` 配 `content: null` 是正常的**
不是上游故障。上报真实的 finish_reason 和已产生的部分思考，让调用方能区分
「预算用完了」和「上游挂了」。
**③ 服务端会改写模型名**
请求 `qwen3.8-27b`，返回 `model: "qwen3.8-27b-fp8"`。响应里的 model 才是
「谁真的服务了这次请求」，计费按它记账。适配器**不改回去** —— 改回去会让审计
记录撒谎。
## 踩到并修正的一个真 bug
reasoning_tokens 最初放在 `token_usage.reasoning_tokens`（顶层）。类型检查
通过，然后被丢弃。
internal/gateway/chat.go 只在一个地方读 reasoning：
resp.TokenUsage.CompletionTokensDetails.ReasoningTokens
实测证据：模型报 completion=88，网关响应里 reasoning=null。字段在正确的地方、
错误的层级，等于没有。
判据因此改成断言**路径**而不是断言「某处有个数字」，变异把顶层放回去立刻变红。
（顺带发现：deepseek adapter 根本没发这个字段，所以线上 reasoning 计费一直
是 0。那是另一个缺口，本适配器不依赖它被修。）
## 配置时要知道的一件事
远程图片 URL 由**上游自己去拉**，会稳定超时（实测 Wikimedia 图片返回
media_fetch_failed）。图片必须用 data: 内联。
## 判据（9 条，夹具全是真实响应）
- 思考与正文分离，且互不污染
- 截断响应上报 finish_reason 与部分思考
- reasoning_tokens 走正确路径，且是 completion 的子集
- tool_calls 的 arguments 从 JSON 字符串解码
- 流式：思考 chunk 不漏、正文 chunk 不丢、末尾 usage 带 reasoning
- 媒体失败带 code（media_fetch_failed），invalid_api_key 不带（免得重复）
- 带 tool_calls 的 assistant 轮补 reasoning_content（否则下一轮被拒）
- 多模态 content 数组原样透传
变异自证九次全部变红，其中三次是本次专门补的：reasoning 折进 content、
顶层 vs 嵌套路径、设成 0。
## 隔离实例实测（生产配置 + 真实上游）
非流式 completion=252 reasoning=167 ✓ 透出
流式 26 chunk / 714ms，正文 37 字符，思考 55 字符 ✓ 分离
视觉 base64 图片 → "白色。" reasoning=44 ✓ 无损
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-06 15:02:42 +08:00
f682205d26
chore(gui): 版本号 1.9.5 → 1.9.6
2026-10-06 15:02:42 +08:00
ba81a4d7e1
chore(gui): 版本号 1.9.4 → 1.9.5
2026-10-06 15:02:42 +08:00
e30199b29d
chore(packaging): 归档 Release 附件上传脚本
...
v1.9.5 上传时踩了两个坑，都不好从错误信息看出来：
1. 端点形状不对称且反直觉
GET /releases/tags/{tag}/upload_url → 404（tags/ 只用于读取）
POST /releases/{tag}/assets → 404（该端点不存在）
看起来像认证失败，实际是路径不对。
2. PUT 必须逐字回放 upload_url 响应里的 headers
（x-obs-meta-project-id / x-obs-acl / x-obs-callback / Content-Type）。
少一个就变成未签名请求，报错是存储层的模糊错误 —— 看着像大小超限或文件损坏。
当时先试了三个直觉端点全 404，之后 grep 自己的记忆日志才发现 9-26 就记着
「upload_url 路径不带 tags、PUT 必须回放 headers」。路径形状有疑问时先查历史，
比继续试快。
用法: packaging/upload-release.sh <tag> <file>...
2026-10-05 10:46:34 +08:00
a1fddf72b7
fix(quota): 十三个退避中的源被渲染成「有数据」
...
## 症状
生产 Quota 页面上 17 个源里 13 个显示「有数据」徽标 —— 而它们实际上什么都
没返回，只是刚刚被退避跳过。
## 根因（三层，逐层都静默）
**① 退避记录缺 `skipped` 标记**
`due_sources` 与 `collectSource` 返回退避记录时没有 `skipped = true`，页面的
`filter(r => !r.skipped)` 就把它们当正常记录放进卡片。卡片渲染匹配已知字段，
一条只有 `reason` 的记录什么都匹配不上，于是落到兜底分支。
**② 兜底分支文案是「有数据」**
那是个断言 —— 它在说「探测有应答」。落到这里的记录其实是：一条退避通知、
一种我们不认识的错误形状、或供应商改了响应格式。把「没有证据」说成「有数据」，
十三个死上游就被渲染成健康的了。改成「未探测」。
**③ 退避与「没有余额接口」被混为一谈**
页脚原本统一说「未暴露余额接口」。这是对上游的另一种断言，而且对死上游是错的
—— 它有接口，只是暂时没探到。
## 「只改了一处」这个坑
`render()` 改成按 `backing_off` 标记分组之后，两个调用点都必须传**记录**而不是
名字。我先改了刷新路径就部署，结果是页脚显示「未列出 13 个源：、、、……」——
症状看起来像渲染 bug，实际是两个调用点与同一个函数之间的契约不一致。
快照路径那行 `.map(function(r){ return r.name; })` 是后来才补的。
判据 `TestQuotaRenderCallSitesPassRecordsNotNames` 现在要求两处都在。
## 顺带修掉的两个真 bug
**空 Lua 表在 Go 侧解码成 `{}` 而不是 `[]`**
`plan.backing_off || []` 里 `{}` 是 truthy，空表会原样进入 `out.concat()` 并抛错，
整次刷新报失败。改用 `Array.isArray` —— 它与插件实际返回的类型匹配。
**分组靠文案匹配是个定时炸弹**
原先用 `reason.indexOf("backing off") === 0` 判断退避。理由字符串一旦本地化，
退避就会被并进「未暴露余额接口」。改用显式 `backing_off: true` 标记，
判据里也改成按标记匹配 —— 变异把文案改回英文立刻变红。
## 判据
新增两条：
- `TestQuotaBackoffRecordIsSkippedAndFlagged` —— 退避记录必须带 `skipped` 和
`backing_off` 标记，且必须有 reason（否则卡片是空的）
- `TestQuotaRenderCallSitesPassRecordsNotNames` —— 两个调用点都不得把跳过列表
映射成名字
变异自证四次全部变红：去掉 `skipped`、去掉 `backing_off`、文案改回英文、
快照路径改回 map-to-name。
## 生产实测（浏览器真实点击）
```
第1轮 1694ms: 4 个源 · 0 个读取失败
13 个源正在退避（连续探测失败，等下次重试）：trae、qijiar、toter、…
第2轮 2488ms: 4 个源 · 0 个读取失败
13 个源正在退避（…）：trae、qijiar、toter、…
```
页面现在只列 4 个真有数据的源，13 个退避中的归到页脚并说明原因。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-05 10:27:18 +08:00
b9a025efba
feat(quota): 判定与记录回到共享 VM，只有网络等待才分片
...
## 我引入的自相矛盾
分片是为解决这个量出来的：
单源探测（无竞争） 1.4 – 3.3 s
20 源 Promise.all 29 s
20 源串行理论值 ≈ 29 s ← 吻合
根因是 Plugins.Call 持 p.mu 到 Lua 函数返回，**含全部网络等待**；一个 Lua VM
只有一个栈，锁不能去掉。于是每个并发调用用自己的 VM 跑同一份源码（实测 8 分片
2.407s → 0.304s）。
但分片 VM 有自己的 PLUGIN.state —— 而**退避状态就存在 state 里**：
fanout（分片） → memo 0 条 → 退避永不生效，每轮都付满 12s
call（共享 VM） → memo 17 条 → 13.1s → 4.8s
我设计分片时写了「分片不碰 state」这条硬约束（防 billing 的累加在各分片分叉、
saver 写出随机一份），却没意识到探测的退避状态恰好住在那里。约束和功能打架。
## 解法：按职责切开，不搬家
把退避表移到网关（B）能解决，但 quota 的 adapter memo 也在 state 里，而且
「插件自包含」是这个插件机制的前提。搬一半比不搬更糟。
所以判定与记录留在插件里，共享 VM 负责；只有网络等待分片：
due_sources 共享 VM，纯判定，不发请求（微秒级）
fanout 只对 due 里的源分片探测
memo_record 共享 VM，把这轮结果（成功和失败都记）写回
一个分片也不碰 state —— 约束保住了。
## 实测（隔离实例，18 源，与生产同配置）
第1轮 10163 ms 退避跳过 0 分片 18 答了 4
第2轮 1299 ms 退避跳过 14 分片 4 答了 4
第3轮 1288 ms 退避跳过 14 分片 4 答了 4
第4轮 1316 ms 退避跳过 14 分片 4 答了 4
**29s → 1.3s，且 4 个有余额的源每次都探到** —— 不是靠少显示换来的快。
## 几个细节
- due_sources 的 body 里不能出现 collectSource：一旦它自己探测，过滤就没有意义
了（成本在分片之前就付掉了）。有判据守着。
- memo_record 忽略 reason 以 "backing off" 开头的行 —— 那是被跳过的探���，
把它记成失败会让 streak 在一次没发生的探测上增长。
- 成功写成 vendor 字符串，streak 自然重置，不需要显式清零。
## 判据（新增 4 条，共 11 条读实际发布的 quota.lua）
- 两个导出存在且在 exports 里
- due_sources 不调 collectSource
- memo_record 让 streak 从分片失败里累加，成功后重置
- due_sources 把退避中的 host 挡在分片之外，且零网络请求
写判据时踩了一次：两个源用了同一台 httptest server，于是被判为同一个 host，
两个都退避 —— 这是按 host 记忆的**正确**行为，是我的判据写错了。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-05 08:17:57 +08:00
7c7cf3e078
fix(quota): hostOf 用了 gmatch 而不是 match —— memo 表从未命中过任何东西
...
## 这是退避失效的真正原因，而且比 TTL 严重
查生产 state 时发现的：19 条 memo，`hostOf(key)` 命中 **0** 条。
hostOf = function(u)
return (string.gmatch(u, "^https?://([^/]+)")()) or u
end
`string.gmatch` 返回**整个匹配**，不是捕获组；而带 `^` 锚定时迭代器不会前进，
所以第一次 `()` 调用返回 **nil**，函数走 `or u` 分支返回完整 URL。
后果是彻底的、而且完全静默：
- 每次查表都是 HOST_MEMO[nil]，每次写入也是 HOST_MEMO[nil]
- memo 表**对任何 host 从未命中过**
- 负 memo、PROBE_MEMO_TTL、以及刚加的指数退避，**全是看起来活着的死代码**
- 生产那 19 条历史 memo（key 是完整 URL，来自 ccquota 时代）从来没有被读过
所以「两个死上游每 30 分钟重付一次探测」的真实原因不是 TTL 到期，
而是压根没命中过 memo。
## 为什么这么久没人发现
失败模式与「memo 里没有可记的东西」完全不可区分：页面照常显示，卡片照常
skipped，没有任何报错。唯一线索是 state 里那 19 条条目 —— 它们看起来像是
在正常工作留下的痕迹。
## 修法
string.match(u, "^https?://([^/]+)")
判据 `TestQuotaMemoKeyIsTheHost` 钉住它：读**实际发布的** quota.lua，检查
用 string.match，并在运行时验四个 URL 的 host 抽取，以及同一 host 的两个不同
路径必须产出同一个 key（这正是按 host 做 memo 的意义）。
变异把 match 改回 gmatch 立刻变红，并打印出实际返回的完整 URL。
2026-10-05 08:17:57 +08:00
18525ae4c0
chore(plugins): 移除分片诊断日志
...
SHARD_DEBUG 只在排查「18 个分片为什么还是 12 秒」时用过一次，结论是
17 个 VM 真的在并行（17 VMs live），慢的是其中一个源本身。留着它就是
给热路径留一个 os.Getenv。
2026-10-05 08:17:57 +08:00
c4b37d4322
feat(quota): 探测退避改指数 —— 死上游不再每 30 分钟重付一遍
...
## 为什么 30 分钟 TTL 治不了死上游
线上有两个 host 已经**不可达十个小时**，而 PROBE_MEMO_TTL 是 1800 秒。
于是每次刷新它们的负 memo 都已经过期，每次都重付三个 adapter 的超时：
每个源 24s（预算修好前）、16s（修好后）。固定 TTL 对「已经死了很久」这个
形状完全无效 —— 它只会一直重复付。
指数退避：连续失败 streak 次，等待 1800 × 2^(streak-1)，封顶 6 小时。
成功会把 memo 覆盖成 vendor 字符串，streak 自然重置。
封顶不是可选项 —— 没有它，下线一周的 host 就不再被探测，页面会**永久**
把它误报成「没有余额接口」。
## 过程中判据抓到的三个真 bug
**① 记录守卫让 streak 永远是 1**
`if rep == nil and not HOST_MEMO[host]` 只在 host **第一次**失败时为真。
之后 memo 已是 table，守卫为假，什么都不写。实测连读四次都是
`{at:... streak:1}` —— 退避退化成固定 30 分钟，正是它要解决的问题。
**② `return 0` 在 Lua 里是真值**
`if streak == nil or streak <= 0 then return 0 end` —— 只有 nil 和 false
是假值。调用点写的是 `if backoffSeconds(...) then 跳过`，于是**所有没有
streak 字段的 memo 会被永久跳过**（而那正是本改动之前写的每一个 memo）。
**③ 上限路径 `return BACKOFF_MAX` 也是真值**
21600 会被判成「仍在等待」，封顶反而变成「永远不重试」—— 恰好是封顶要防的
那个故障。现在所有路径只返回布尔。
三个都是静默的：症状只是页面少了几张卡片，没有任何报错。
## 判据
五条，全部读**实际发布的 quota.lua**（go:embed 那份），不是副本：
- 退避确实被调用（变异把调用点换成 `if false` 时会红）
- 窗口表：每个 streak 的窗口长度、窗口内跳过、窗口过期后重试、
荒谬 streak 也必须重试
- 只返回布尔（六种输入，含无 streak 字段的老 memo）
- 记录守卫会替换 memo 而非合并
- 通过真实插件：首次失败记 streak=1；**跳过不算失败**（否则一个从不被探测的
host 会无限增长 streak，再也不会被重试）
变异自证六次全部变红：`return 0`、上限返回数字、守卫不替换、调用点去掉、
去掉上限、倍数改成 1。头一次跑「守卫不替换」漏放了 —— 因为我把集成判据缩到
只验首次记录，补了一条源码断言才抓住。
## 这个文件的判据绕了远路，如实记下
`HOST_MEMO` 是进程内缓存，只在首次 collect 时从 state 恢复，之后只往回写。
所以从 Go 侧改 state 对插件不可见 —— 我先是不自知地这么试了两轮，把一个
**正确工作的退避**看成坏的。现在窗口策略直接验函数（经 shim 导出插件自己的
backoffSeconds，不是重新实现），集成判据只留真正能从外部观察的两条。
shim 也踩过：直接把 `backoffSeconds` 当 export，而 Go 侧传的是 table，
于是 at=table、streak=nil，每次都走「无 streak」分支返回 false —— 看起来
和「退避永不触发」一模一样。包一层就对了。
2026-10-05 08:17:57 +08:00
33b778faee
feat(plugins): 分片调用 —— 让阻塞型导出函数真正并行
...
## 问题
quota 页面 20 个源，刷新要 29 秒。页面用 `Promise.all` 并发发 20 个请求，
**看起来是并发的，实际不是**。
`Plugins.Call` 持 `p.mu.Lock()`，锁一直持有到 `L.Call` 返回 —— **包含 Lua 函数
内部的全部网络等待**。20 个请求到了网关后排队，串行累加。
生产实测：
单源探测（无竞争） 1.4 – 3.3 s
20 源 Promise.all 29 s 墙钟
串行理论值 ≈ 29 s ← 与实测吻合
代码里其实已经知道这个问题：quota.lua 第 104 行写着「the whole page shares ONE
Lua state under a write lock」，并为此把超时从 10s 压到 4s。但那只把 29s 变成
约 12s，没有解决「刷新不可用」。
而当初改成并发的理由（页面注释）是错的 —— 它假设并发能绕开串行。锁让它退化
回串行了。
## 不能去掉锁
一个 Lua VM 只有一个栈。两个并发调用会破坏栈。锁是必要的，答案只能是**让每个
并发调用有自己的 VM，跑同一份插件源码**。
先量，再写实现（8 分片 × 300ms 本地 HTTP 端点）：
共享 VM，8 次串行 2.407 s
8 个独立 VM 并行 0.304 s → 7.9x
顺带一个测量教训：这个 spike 第一版用**忙等**而不是网络 I/O，报出 2.3x。
那是量到了 12 核机器上的 CPU 争抢（负载 8.95），和锁无关。插件做的是网络等待，
spike 就必须做网络等待 —— 和上一条提交里 os.clock 那个错误是同一类。
## 实现
- `callOn(w, fn, args)`：从 `Call` 里抽出的「在某 VM 上调一个导出函数」。`Call`
从 66 行缩到 18 行，仍负责查找、export 白名单和共享 VM 的锁。
- `shardPool`：私有 VM 池，上限 32。开机约 0.1ms，池化省不了什么但省两次刷新
的重复开销。
- `ShardCall(name, fn, argsList)`：结果与输入**按位置对齐**。
- `POST /api/plugins/{name}/fanout/{fn}`：`{"args": [...]}`，上限 64 条。
- `pluginAPI.fanout()`：页面一次请求。
- quota.lua 改用 fanout。
## 分片的硬约束（写进注释，不是靠约定）
分片 VM **不能碰 PLUGIN.state** —— state 在 VM 里，每个分片一份副本，billing
的累加会各分叉，saver 写出去的是随机某一份。分片只能用于只读、幂等的工作。
所以 `callOn` 既不查 export 白名单（`Call` 那层才是安全边界）也不落盘。
## 一个分片失败不拖垮整批
一个上游连不上，不该让 20 张卡片变成一个错误。失败的分片在自己的位置留
null，其余照常返回。**但全部分片失败时报错** —— 那不是「某个上游挂了」，
是结构性问题，报成功会把它藏在满屏红卡片后面。
## 顺手修掉一个既有缺陷：热重载是坏的
写分片源码来源时，判据直接把它顶了出来：`LoadSource` 无条件 append，而
`findLocked` 返回**第一个**匹配。实测：
LoadDir 后 1 条 → LoadSource 后 2 条
[0] version=1 [1] version=2
find 返回 version=1
也就是说，**编辑插件并保存看起来什么都没发生** —— 旧版本一直被返回，新版本
躺在旁边不生效。修法是先 Unload 再加载。这不是为分片做的，是分片正好照到了
这条路径，已单独补判据 `TestReloadReplacesRatherThanAppends`。
## 判据
七条：并行性（有界而非计时断言，8×200ms 串行是 1.6s，超过 1.0s 即红）、
位置对齐、未导出与未知插件被拒、单个失败不拖批、全失败报错、用已安装源码而
非磁盘、以及热重载替换而非追加。
全量 9 包通过。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-05 08:17:57 +08:00
345cbb30d6
fix(billing/quota): 探测预算用 os.clock 是 CPU 时间，12 秒预算从未生效
...
## 现象
线上 quota 页面点刷新后卡在「探测中…」，13 秒仍未完成，按钮一直 disabled。
## 实测根因（不是猜测，是量出来的）
单源探测，隔离实例，逐个测：
juziai 16029 ms
beizhi 16021 ms
localzen 2516 ms
frank 2028 ms
sensenova 258 ms
而插件自己写着 `PROBE_BUDGET_MS = 12000`。**修复前**这两个源各耗 **24013 ms**
—— 精确等于 4s 超时 × 2 次重试 × 3 个 adapter。预算形同虚设。
## 原因
`exhausted()` 用的是 `os.clock()`，它返回 **CPU 时间**。探测几乎全耗在网络等待上，
CPU 几乎不动，于是预算永远不触发。
判据 `TestPluginClockDuringNetworkWait` 直接量这件事：
3s blocked on HTTP: os.clock advanced 0.001s, os.time advanced 3s
**001 秒。** 一个用 CPU 时间写的预算，在 I/O 等待下永远不会响。
这个陷阱和「用忙等测锁竞争」是同一个，只是下沉了一层 —— 而且我第一版判据
正是这么写错的：用自旋循环当「网络等待」，结果 os.clock 走了 1.624s / 2s，
看起来 os.clock 跟的是墙钟，差点得出「不是这个原因」的错误结论。必须用真实
HTTP 请求重测才能拿到真相。
代码里两处同样的写法（第 434 和 466 行），一起改掉。
## 改完的效果
串行 20 源（/call/ 逐个） 84391 ms
fanout 20 源（并行） 16022 ms
⇒ 5.27x
单个死上游从 24s 降到 16s（12s 预算 + 收尾）。
## 还没解决的
16 秒仍然偏长，因为它等于**最慢那一个源**的预算。这不是并行失效，是并行
之后墙钟的必然下界。要再往下走只有两条路：把预算压到 4~6s，或者给已知死掉
的上游走缓存而不是每次重探。都是参数与策略选择，不是结构缺陷，留给下一步。
2026-10-05 08:17:57 +08:00
501ad6aac9
refactor(plugins): 统一授权词汇 —— AccessRule
...
## 问题
同一个问题「谁能看到 / 能调用什么」有两套规则、相反的默认值，并排住在两个文件里：
audienceAllows(want, role): "" / "all" → 全开 页面可见性
HTTPHandler.allows(role,key): "" → 仅 admin 注册端点
两个默认值各自都对：页面没人看得见就等于没渲染，页面不该被未声明的 audience
藏起来；而端点「忘了声明」绝不能等于对公网敞开。
危害不在默认值本身，在于**同一个问题有两套词汇**。运维配「谁能看 billing」和
「谁能调 /balance」得先学会两套规则，才能回答同一个问题。
## 改动
新增 internal/lua/plugin_access.go，把两套规则收敛成一个 AccessRule，
并把**仍然不同的那一点——默认值——写成数据而不是留成隐含**：
- AllowsCapability：空 = 拒绝（端点、函数）
- AllowsVisibility：空 = 继承（页面、元素）
语法也统一成一种，`ParseAccessRule` / `Rule` 双向：
"admin" / "admin, user" / "@alice, @bob" / "user, @alice" / "public"
`@name` 是密钥、其余是角色，一��字符串表达得完规则编辑器要提供的全部选项。
## 抽取时差点弄丢一个真实语义
`"all"` 是既有插件文件和**已保存的运维 override** 里的写法。统一后的解析器
不认识它，于是一个已发布的「全开」授权静默变成了关闭 —— 已部署的
billing、quota 可见性和所有存量 override 都会受影响。
是既有的 TestAudienceAllows 抓到的，它当场变红。这正是抽取的实质收益：
两个函数并排住着的时候，没人会想到去动那个共用字符串。
`TestAllIsAnAliasForPublic` 把它写成新类型的性质，而不是留给碰巧跑到的那
个套件去守着。
## 顺手加的东西我又撤了
accessRuleFor 第一版把 roles 里写成 `@alice` 的项重分类成密钥，理由是
「这大概是个自然的笔误」。那是在重构里偷带行为变更：会把写了莫名其妙内容的
端点的可达范围悄悄放宽。已撤，注释里写明为什么这个笔误值得修是另一件事、
需要它自己的理由和判据。
## 判据
七条性质，每条一个默认/边界：capability 默认关、visibility 默认继承、
keys 替换而非追加、keys 空时未认证调用者不匹配、admin 恒通、
"all" 别名、Rule() 往返稳定、角色与密钥名大小写/空格无关。
变异自证四次，全部变红：keys 变 OR、capability 默认全开、visibility 默认
拒绝、丢掉 "all" 别名。
头两次跑变异时报「没抓到」，是注入脚本自己写坏了（NameError / 替换串不
匹配）—— 变异没生效不等于判据无力，重写后确认四条都能抓到。
## 一条被记录下来的意外
`TestRoleAndKeyUnionAdmitsBoth` 最初断言「同时列出 role 和 key 时两者都放行」。
debug 跑出来是相反的：keys 非空就整体替换掉 role，carol 被拒。
这个意外正是不把它放在注释里的理由。判据现在断言实际语义（替换），与既有
HTTPHandler.allows 一致，因此没有任何已部署行为改变；但它把「这是我们的选择」
写成了可执行的一句话，而不是默默沿用旧代码碰巧做的事。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-05 08:17:57 +08:00
39cda89def
refactor(plugins): 声明式解码器 —— 未识别的字段不再静默丢弃
...
## 问题
三个读取函数（readPluginUI / readPluginExports / readPluginHTTP）各自手写一遍
「取字段、转换、追加」，字段名在 .lua 和 Go 里各存一份。加一个字段要改两处，
**漏了 Go 那一半不会报错**，字段静默读成未设置：
ui = { visibilty = "admin" } -- 一个字母之差
⇒ 什么都没限制，且与「插件主动不声明 audience」完全无法区分
今天一天里因此丢了三个字段（exports、http 端点、visibility/state_scope），
每次都是靠「量服务端返回的长度对比磁盘文件」反推出来的。
## 改动
新增 internal/lua/plugin_decode.go：schema 是数据，不是反射也不是 struct tag。
字段清单在一个地方，插件作者读一张表就知道网关认什么；不认识的字段**上报而非
丢弃**，并给出「你是不是想写 visibility」这种可执行的提示。
readPluginUI 2270 → 860 字符，readPluginExports 732 → 392。顺手去掉了
readPluginUI 被调用两次、其中第二次对已编译的 depth map 再编译一遍。
## 顺带修掉一个真 bug：handler 必须是名字而非函数值
`asString` 对任何非字符串都 `fmt.Sprintf("%v")`，所以写成
`handler = function(req) ... end` 会变成字符串 "function: 0x7f..."，被当成
handler 名接受，端点注册成功，然后在**派发时**失败 —— 离声明处十万八千里。
现在在解码时就拒绝，并同时报出字段名和 path。
## 更正一个我写了但从未核实的说法
之前那批修复的注释里（三个文件 + 提交信息）都写着「插件注册发生在 setupGlobals
安装 json 全局之前，所以 luaToJSON 返回空」。**这个说法是错的**，实测：
setupGlobals 在 vm.go:574，读取函数在 787，顺序相反
json global present when readPlugin* runs: true
luaToJSON 在同一个栈形态上解码正确，返回了完整的 visibility 和 pages
真正的差异是**索引语义**：luaTableToGoValue 会把负索引立即折算成绝对索引
（GetTop()+idx+1），luaToJSON 则保留相对索引并在 Call 前 push。栈一旦被
SetTop(0) 清掉，两者行为分道扬镳。
一个错误解释重复三次比没有解释更糟 —— 它会把下一个读代码的人送去寻找一个
不存在的时序 bug。三处注释都已改成实测结论，并说明这个错误是怎么被发现的。
## 判据
- 拼错的字段被上报、给出 did-you-mean，且该 audience 确实没被应用
- 正确声明零诊断（否则会被静音，然后什么也抓不到）
- 内联函数形式的 handler 被拒并说明原因；`handler = "name"` 形式不受影响
- decode 边界单独一条：走真实注册路径加载插件，断言声明的值都读回来了
变异自证：strictKeys 短路 → 变红。
已知局限（写在判据文件里）：把 luaTableToGoValue 换回 luaToJSON 的变异目前
**抓不住** —— 已实测那两条路径在当前栈形态下等价。要让它可检出，需要一条
在 json 全局缺席时走注册路径的判据；现在这条是靠 review 和注释保证的，
不假装它是变异可证的。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-05 08:17:57 +08:00
700f4179fa
chore(gui): 版本号 1.9.3 → 1.9.4
...
(cherry picked from commit 37545b6dbb
2026-10-04 14:50:47 +08:00
91e3013cb5
feat(billing): 长上下文阶梯定价（边际费率，与缓存折扣/峰段可叠加）
...
## 影响面实测
审计里 1000 条请求：**883 条（88.3%）prompt 超过 128k**，中位数 246849，
p90 298179，最大 354251。这不是小众场景，是 agent 负载的主流形态。
按「模型 × 源」拆开：其中真正按 token 计价的只有 alittokenplan 的 10 次
（deepseek-v4.1-flash，约 350k prompt），其余走 $70 套餐（commandcode）或
免费源（localzen），记 0 是正确的，对阶梯无影响。
那 10 次当前少算 54.9%（$0.3148 → $0.4877）。绝对值不大，但比例严重，
而且这个偏差只会随上下文变长而变大。
## 边际而非混合平均
阶梯只对**超过阈值的部分**重新计价，不是把整段按高价算。理由是可叠加性：
缓存读取同时享受缓存折扣**和**长上下文阶梯价，这与供应商的计费方式一致。
混合平均必须二选一，选错就正好低估「缓存命中的长请求」——而这恰是缓存
存在的意义所在（本部署缓存命中率 88%）。
超出部分按缓存/新鲜的比例拆分，不重不漏。
## DSL 两种写法
供应商两种发布方式都支持：绝对费率（OpenAI 报 \$3.00/M past 200k）和
倍数（DeepSeek 报 2x past 128k）。两者都缺必须报错 —— 一个没有费率的阶梯
会编译成一条「看起来处理了长上下文、实际没处理」的规则，静默少算且无迹可寻。
两者都给时以绝对费率为准，因为那是供应商真正报出的数字。
## 判据
Lua 侧两条（边际性、与缓存折扣叠加）+ Go 侧一条（两种写法与拒绝规则）。
变异自证三次：整段按高价 / 缓存部分不叠加折扣 / 缓存部分不计阶梯，
分别命中 0.40 vs 0.272、0.165 vs 0.2325、0.09 vs 0.2325。
规则编辑器加了三个输入（阈值 + 绝对费率 + 倍数），三项都留空 = 无阶梯 ——
与「阶梯费率为 0」刻意区分，所以是三个独立输入而不是从 0 推断是否存在阶梯。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
(cherry picked from commit 314f4da8f2
2026-10-04 14:50:47 +08:00
92b81ecfd3
feat(billing): reasoning 价接入 DSL 与规则编辑器
...
上一提交把链路打通后，reasoning_price 只能靠手改 prices 生效 —— 而 prices 是
编译产物，不是人能编辑的东西。这条补上让它真正可用：
- BillingToken 加 reasoning 字段（USD/百万，与 prompt/completion 同单位）
- compile 只在规则显式声明时写 reasoning_price，缺省时字段不出现
- 规则编辑器的模型行加「思考 $/M」输入框，含新增行的模板
缺省时「不出现」是刻意的：写 0 会被 billing 插件读成「思考免费」，
每个来自该模型的请求都会静默少算。判据专门钉住这一点，变异成「缺省写 0」
即变红。
输入框 placeholder 写明「留空=按输出价计（OpenAI/DeepSeek/Anthropic 都这样）」，
因为一个没有解释的空输入框会被当成「必填但我不知道填什么」。
判据还要求 m-r 出现两次 —— 只改已有行的模板而不改「+ 模型」新建的行，
会让新加的模型在下一次保存时静默丢掉这个价。
生产验证：PUT 一个 reasoning: "1.80" 的规则，编译产物里出现
reasoning_price: 1.8000000000000001e-06（USD/token）。测完已把生产配置恢复为
6 条规则（备份 config.yaml.bak-billing-20261004-122151 为基准重建，
20 个源数量核对一致）。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
(cherry picked from commit b93799a919
2026-10-04 14:50:47 +08:00
d119d09929
feat(billing): 记录 reasoning token，并支持按规则单独定价（默认不启用）
...
## 断掉的链路
types.go 里 ReasoningTokens 从被定义起就没人读过。适配器层早就解析并透传了
（opencodego / gemini / anthropic 都写了那段提取），网关在 chat.go 记录 usage
时读了 PromptTokensDetails.CachedTokens，却在隔壁的
CompletionTokensDetails.ReasoningTokens 上把它丢了 —— 数字到了响应里，
在唯一能留住它的地方被扔掉。
后果：任何计费规则都无法区分「思考」和「可见输出」。
## 为什么默认不启用定价
实测四个源（deepseek-v4.1-flash / claude-opus-4-8 / glm-5.3-flash /
space-bunny-free，含 anthropic thinking opt-in）全部不返回该字段。所以
reasoning_price 默认为 nil，costFor 完全跳过该分支，标准公式与改动前逐位相同
—— 这是关键：现有账单不能因为这次改动而变动。
启用时只应用「差额」：把思考部分从普通输出价重定价到思考价。完整再收一次会
对每个思考 token 双重计费，这正是判据里最容易被写出的错误实现。
clamp 到 completion_tokens：供应商报出比 completion 还大的 reasoning 是畸形
数据，不 clamp 会得到 92 倍于整个请求的费用，而且这个数字看起来足够合理，
能在仪表盘上活下来。
判据三条 + 三次变异自证（移除 clamp / 双重计费 / 默认启用）全部变红。
## 遗留
reasoning_price 未接入 BillingRule DSL —— 目前只能通过直接写 prices 生效。
DSL 字段要连带改 config 结构、编译器和规则编辑器 UI，是独立一步。
实测全部源都不返回该字段，所以这条暂时没有实际影响面。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
(cherry picked from commit c36200b78b
2026-10-04 14:50:47 +08:00
27b908d98c
fix(billing): 未定价按天统计，让「已修好」和「还在漏」不再长得一样
...
计费页只有一个终身计数器 unpriced_reqs，实测 6378 —— 占 18981 请求的 34%。
但这个数字回答不了运维唯一会问的问题：「还在漏吗？」
原因是它把两件事混在一起：加规则之前的历史欠账，和加规则之后仍在发生的漏计。
修好一个源之后终身计数纹丝不动，于是仪表盘上「未定价 6378」和一个仍在
什么都没记的系统完全无法区分。
改动：
- 钩子按 UTC 天写入 unpriced_by_day{day:{reqs, models}}。终身计数保留
（报表不该改写历史），天桶是新增的观察维度。
- 页面加「未定价（近 7 天）」一行。为 0 时额外显示「近 7 天无」——这时候
零本身就是结论：加的规则确实生效了。
- 没有天桶数据时返回 null 而不是 0。旧的 state 文件说「未知」，
不该假装有一份干净记录。
生产实测：全部视图 终身 6378 / 近 7 天 2；日视图隐藏终身计数（null）但保留
近 7 天 —— 周期视图原本把两者都置 null，因为那时根本没有天桶。
失败的请求同样计入（上游 502 的 gpt-5.5 也进了天桶）：一次失败的请求照样
消耗上游配额，只是没拿到 token，单看 token 维度会漏掉。
判据：两个不同日期的请求必须落到两个天桶且终身计数不重复累加；变异成
「总记今天」即变红（只判首日会漏掉这一点）。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
(cherry picked from commit ba6de89d57
2026-10-04 14:50:46 +08:00
ba10f03fc7
feat(plugins): 访问控制在插件页配置 + 修复 active 仪表在周期视图显示 0
...
## 插件管理页（用户要求：权限不要只放 config.yaml）
插件页新增两列（可见性、端点）和一块访问控制编辑器，可直接改：
- 每个插件的整体可见性（跟随插件 / 仅 admin / 仅 user / admin+user / 所有人）
- 每个注册端点的可访问角色与密钥（admin, user, @homeagent, public）
原先这些能力后端齐全但 WebUI 零入口，唯一改法是手改 config.yaml。
## 修掉的三个真缺陷
1. endpointAccess 读错了 override 的键
SetEndpointAccess 按 plugin#path 存，endpointAccess 却读 plugin 级。
后果：改了权限后 UI 仍显示插件声明的角色，再保存一次就把限制悄悄撤销。
鉴权一直是对的，只有显示和往返是坏的 —— 所以之前没被发现。
2. override 只在内存里
内存 map 让"billing 仅 admin"看着生效，直到下次重启限制凭空消失，
日志里没有任何线索。现在落盘到 plugin_dir/.access.json，
插件升级覆盖 .state.json 也不会连带放宽访问。删掉最后一个 override 就删文件，
"没有覆盖"用文件不存在来诚实表达。
3. 可见性列表泄漏内部键
端点 override 与插件可见性共用一个 map，UI 因此会看到 "probe#hello"
并可能把它当 audience 存回去。现在按已注册端点集合过滤。
另外把整体可见性接到同一条 /access 通路（path 用 *），并修了可见性下拉的
集合比较：服务端原样存 "admin, user"，而选项是 "user,admin"，不相等就会
显示"跟随插件"，用户一保存就把访问范围放宽回插件声明 —— 比显示错更糟。
## 活跃请求：三个视图显示 0
active 是实时仪表，没有日历周期可过滤，但周期响应压根没带这个字段。
前端 `st.active || 0` 于是把"字段缺失"变成了一句自信的"0 活跃"，
而 all 视图（响应里有该字段）显示真值 —— 三个视图 0、总视图正常。
现在周期响应带上 active，前端去掉 || 0 回退：缺失显示 — 而不是假装是 0。
判据：四个 period 都断言 active 存在且为数字；变异去掉字段即变红。
生产实测 day/week/month/all 均为 4。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
(cherry picked from commit 120ba9e9573b28fde22e
2026-10-04 14:50:46 +08:00
cab3361073
fix(plugins): quota 页面加载时不再自动探测全部上游
...
首屏 19.1 秒 → 1.0 秒（生产实测）。
症状是"页面出来了但数据卡在加载"。量出来的原因不是渲染，也不是后端：
所有接口都在 0.4–2ms，而 Network 事件显示页面在头 70 毫秒内并发发出了 21 个
/api/plugins/quota/call/collect_source —— 每个源一次。CPU 采样 98% 空闲，说明
主线程不是在算，是在等。
插件页面的脚本里有 mount(); refresh();，而 refresh 会为每个源发一次探测。
探测要出网，且每次调用都持插件写锁，于是 21 次串行排队；冷启动实测 100 秒，
有缓存后 22 秒。WebUI 的首屏就这么被堵住了。
改动：
- 页面加载时不再自动探测。运维没要求的余额不值得用它换首屏。
- 改为先渲染上次的快照（pluginAPI.fetchState），标题栏标注"快照 HH:MM（点刷新
取实时）"。点刷新才真探测。这样打开页面立刻有内容，实时数字在后面更新。
- billing 页面同样有 refresh()，但它只读本机 state（1.5ms），无害，保留。
判据：首屏填充时间实测 19.1s → 1.0s，且首屏请求里不再出现 collect_source。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
(cherry picked from commit c17a851ec19823773330
2026-10-04 14:50:46 +08:00
35b9422232
feat(plugins): 可见性、state 分区、注册式 HTTP 端点 + 按密钥授权
...
插件页面不是自动公开的数据。billing 显示跨全部源的成本，quota 显示上游余额，
而这两者都不属于持有 user 密钥的人 —— 但 /api/ui-inject 不做任何角色过滤，
所以两者都发给了任何已认证的密钥。实测（不是推断）：club 这把 user 密钥拉到了
18672 字节的 billing state，里面是 16871 次请求 / $8.8616 / 21 个源名与各自
成本。
UIPage/UIElement 加 Audience，UIExtension 加 Visibility。语法刻意很小——"" 或
"all" 放行，"admin" 只给 admin，"admin,user" 列角色。**"*" 不是 all 的同义词**：
一个在配置文件里看起来受限、实际放行一切的东西，正是会静默失效的那种设置。
覆盖走 config.yaml 的 plugin_visibility，因为插件作者不知道本部署的策略，而运维
也不该为了改一行去编辑内置 .lua（下次升级就没了）。
过滤发生在 UIForRole 而非 HTTP 层：WebUI 启动载荷、Electron 外壳、测试都读同一
处，只在 HTTP 层过滤意味着其它消费者照旧全量泄漏。
角色可见性回答不了"哪一部分"。billing 里全局数字（total、by_source、by_model、
未定价告警）是部署数据，by_key / by_day_key 描述的是**一个**调用方。于是插件用
state_scope 声明哪些桶是全局的、哪些按调用方过滤，深度由插件给出（1 = {maskedKey:
桶}，2 = {day: {maskedKey: 桶}}）——两种形状都是 map，靠嗅探分不清"空桶"和"嵌套桶"。
不匹配的行**删除而不是置零**：置零会渲染成"你没花钱"，还会泄露"别人有这一行"。
billing 因此改为 visibility="all" + state_scope，而不是 admin-only —— 后者会让
split 失去意义，而前者不加 split 正是这次要堵的泄露。
有些东西值得从浏览器**外面**查（CI 判断上游余额是否为零、监控探针、盒子上的
另一个工具）。billing 从不需要（它只收 hook），quota 需要。为每个插件硬编码一条
路由意味着每次都要改网关，而把任意插件代码塞进主 mux 也不是路由表该做的事。
插件在 plugin.http 里声明 path/method/roles/keys，挂在 /api/plugins/http/ 下。
请求与响应都是普通 table 穿过 Go/Lua 边界。两条由 Go 侧而非信任插件来保证的性质：
status 与 method 走白名单（否则插件能选一个 3xx + Location 把调用者弹到它指定的
URL），Content-Length 与逐跳头被丢弃（否则插件能让网关的响应分帧错位）。
roles 太粗：无法表达"给 homeagent 开放、其他人不开"。keys 按**密钥名**授权而非密钥
值——密钥值会被轮换，规则写死在上面会静默失配；把凭据散进插件文件也是问题；而且
运维读的是名字。
**keys 非空时它是全部规则**，不是与 roles 的并集。写成并集的话，运维写两条允许名单
就会顺带放行所有 user 密钥，正好与意图相反。admin 永远放行，否则名单里一个拼写
错误会让唯一能诊断它的人也进不去。
写入前校验密钥名真实存在：一份写着错别字名字的名单会被存下、保存、在 WebUI 里
显示为"已配置"，然后拒绝每一个调用者——失败看起来像端点坏了，而不是名字错了。
readPluginUI / readPluginExports / readPluginHTTP 都在插件**注册期间**调用
luaToJSON，而它依赖 setupGlobals 才安装的 json 全局，于是静默返回空值。三处表现各
不同（页面字段为空、exports 看不见、端点数为 0），同一个原因。现在统一走
luaTableToGoValue。
readPluginHTTP 还额外踩了 golua 的 GetField 不做字符串→数字转换，用索引循环取数组
永远拿到 nil。
去掉角色过滤 → 3 条判据红（含"a user key can see the admin-only page"）；
去掉 page 级 audience → 1 条红。routes 层断言徽标齐全、方法与 path 校验、栈帧
归属、admin 豁免、{status=204} 合法、空表报错。
生产验证：admin 看到 14 个字段 / by_key 5 行 / total $8.86；user 看到 0 行。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
(cherry picked from commit a6c6e6e5c75eef5ad635
2026-10-04 14:50:46 +08:00
2b34c7dc8a
feat(plugins): quota 通用套餐余量插件（取代 ccquota）
...
ccquota asked one vendor one question. The shape that generalizes is two parts:
a small set of probe adapters, and a declarative override for a provider nobody
anticipated.
Three adapters, each verified against a LIVE endpoint rather than assumed:
- deepseek family: GET /user/balance →
{is_available, balance_infos:[{currency,total,granted,topped_up}]}.
Granted vs topped-up is kept separate on purpose: gift credit expiring on a
schedule is a different operational fact from prepaid money.
- OpenAI console shape: /v1/dashboard/billing/subscription +
.../billing/usage. This reports LIMITS and SPEND, not a balance — the live
provider has hard_limit_usd 1e8. There is deliberately no `remaining`:
ceiling - spend would read as "$99,999,339 left", a number nobody should
believe. It renders as spend against a ceiling instead.
- commandcode: rolling 5h / weekly / monthly windows plus billing period.
A provider with no working adapter is SKIPPED and listed by name at the bottom.
Most of these upstreams are small re-sells whose dashboard paths return an HTML
page rather than JSON; a table full of "unknown" rows teaches the operator to
ignore the page entirely. Failures that are NOT "no endpoint" — a 403 on a key we
hold — stay visible, because those are the ones worth fixing.
## Cost control, and a lock the probe runs under
First load measured 101s for 21 sources: 3 adapters x 2 attempts x 4s, times 21.
Call() holds the plugin's write lock for the whole invocation, so every
__llmsproxy_http round trip inside it blocks request_end hooks — which is how
billing accrues money. A slow upstream is not just a slow card.
- Timeout cut to 4s (from 10s).
- A host->adapter memo, persisted in plugin.state, so the dead ends are
discovered once per process instead of on every page open. Steady state is
22s.
- The memo records NEGATIVE results too, which is what actually paid: only
recording successes left every silent source re-probing forever.
- Negatives carry a timestamp and expire after 30 minutes. "This upstream has
no balance endpoint" is a fact that changes — vendors ship dashboards — and a
permanent negative makes the page quietly stop reporting a source that
started working.
- The page calls collect_source concurrently, one call per source, so a single
502 over 21 sequential probes becomes 21 independent answers.
## Two bugs the page found
- deepseek reports topped_up_balance -0.02 against a positive grant; the `v <= 0
→ "0.00"` branch flattened a real debit to zero. Negative balances now render
as -¥0.02.
- PLAN_CAPS was declared below the adapter that reads it, so Command Code hit
"attempt to index global 'PLAN_CAPS' (a nil value)" on every probe. A Lua local
is nil until its assignment runs.
Verified on production: 5 sources report, 16 skipped by name, 1 visible failure
(tabitoken 403). deepseek ¥0.32 (赠送 0.34 · 充值 -0.02), justwoker $360,865.71
spent against an ∞ ceiling, both Command Code seats with their three windows.
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
(cherry picked from commit 098a4a5eb440636abcc2
2026-10-04 14:50:46 +08:00
85c81c63cc
feat(plugins): ccquota 多账户额度插件 + 页面→Lua 调用通道
...
A quota plugin cannot work on billing's model. Billing reports what the gateway
already measured, delivered on hooks during request forwarding. A plan balance
has no such arrival path: it exists only on the vendor's side, and the only way
to learn it is to ask — at the moment the operator clicks Refresh. No hook fires
on a click, and pluginAPI offered only state read/write.
So this adds the missing piece: POST /api/plugins/{name}/call/{fn}, plus
pluginAPI.call on the page side.
## Why the gate is an explicit export list
That endpoint is an HTTP surface into a Lua state. Without a declared allowlist
it would let any caller invoke the plugin's private helpers with crafted
arguments and read whatever it can see — for a plugin holding an API key, that
is handing the key to anyone who can POST. So a function is callable only if the
plugin listed it in plugin.exports. A plugin with no exports has no callable
surface; reading the missing list as "allow all" is exactly the failure mode
worth designing against. The endpoint is also admin-only.
## ccquota
One account per configured source on api.commandcode.ai, keyed by that source's
own key — two keys on one host are two seats, and both are shown. Reads
/alpha/whoami, /alpha/billing/credits, /alpha/billing/subscriptions and
/alpha/usage/summary. Each endpoint degrades independently: a vendor retiring
one route must not blank the others, and a key out of quota still reads credits
fine while inference 401s, so the report records WHICH part failed rather than
rendering a zero that reads as "no quota left".
The 401-is-everything trap: those endpoints need a bearer token plus three
headers. The token lives in the table now, per request. Passing the shared
header table straight through — my first version — yields 401 on every
endpoint, which is indistinguishable from a revoked key and sent me auditing the
account instead of the plugin.
## Also fixed: three real defects found by going live
- The bridge was registered as `httpGlobal` (the Go const's IDENTIFIER) instead
of `__llmsproxy_http` (its VALUE). Green unit tests, "attempt to call global
'__llmsproxy_http' (a nil value)" on first real request. Now a test boots a
real plugin and calls it the way a plugin does.
- The call router kept `call/` in the function name, so every call 502'd with
`does not export "call/collect_account"` while the exports list looked fine.
- readPluginExports used luaToJSON, which needs the `json` global — not yet
installed while a plugin is registering — so it silently returned an empty
list and every export looked undeclared. It uses luaTableToGoValue now.
Two tests hardcoded counts ("1 bundled plugin", "4 pages") and turned red the
moment a second bundled plugin existed. They now assert what they mean: billing
is among the bundled plugins, and the pages this test contributed all merged in
order. A count assertion is a changelog detector.
## Verified on production
commandcode 2198972886@qq.com active $0.0811 5h 0/14 wk 0.803/35 44,921 req
commmandcode2 jianf3112@gmail.com active $0.0700 5h 0/14 wk 0/35 43,827 req
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
(cherry picked from commit 111dc6d53f22c9215b02
2026-10-04 14:50:46 +08:00
a2bb6de9fb
feat(plugins): 给 Lua 插件加受限出站 HTTP（__llmsproxy_http）
...
billing 插件从不主动出站——它报告的一切都随网关转发请求时的 hook payload
一起到达。额度插件是第一个必须自己发请求的东西：套餐余量不主动问就拿不到。
问题在于这恰好是插件模型最锋利的边。插件是 WebUI 文本框里装进来的单个
.lua 文件，跑在网关进程里：给它一个通用 HTTP 客户端，等于让每次安装都成为
一件常备的 SSFP 工具，还顺带打开了读环境变量拿凭据的第二扇门。
所以这个桥刻意做窄：
- 目标必须命中某个「已配置源」已经在通信的主机。那些是运维声明过的，
不是插件声明的——插件无法靠编一个 URL 扩大自己的触及面，而源的主机
正是本部署已经愿意交付 API key 的那批上游。
- 非 loopback 主机上拒绝明文 http。凭据只该走 HTTPS。
- loopback 免登记：它出不了本机，而 billing 规则页读网关自己的 API 正是
这么做的。
- 每请求都有超时、响应体有 4MiB 上限，插件无法占死 worker 或吃光内存。
- 绝不从环境变量读凭据。需要 key 的插件必须被显式给（state 或调用方配置），
这样授权对运维可见，而不是环境里默默存在的东西。
- 不跟随重定向：白名单是逐跳检查的，跟随就等于绕过它，3xx 原样返回。
能力只装在插件运行时（bootPluginState），不装进 setupGlobals——后者被
adapter 池共用，adapter 是运维的配置而非安装的代码。
判据 8 条钉的是拒绝路径而非快乐路径：未登记主机（含 169.254.169.254、
后缀欺骗 api.example.com.evil.test）、明文 http、空名单必须全拒、不得跟随
重定向、超时与响应体被钳制、超大响应宁可报错也不截断（截断会解析成损坏
JSON，插件会报解析错而不是真因）。
测试当场抓到一个真 bug：loopback 被白名单一起拦了，与代码注释里「loopback
免登记」自相矛盾。变异（把主机检查换成 if false）被 3 条判据抓住。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
(cherry picked from commit 0fbb8e5e88e76e1623e4
2026-10-04 14:50:46 +08:00
0bf0653d00
fix(ui): 优先级页的保存/重置/添加按钮每次打开都被画布渲染冲掉
...
renderSortEditor 会整体替换 mount 的 innerHTML。per-key AUTO 弹窗的 mount
只有画布，覆写无害；但全局优先级页把 .card（连同里面装着工具栏的 h2）当
mount 传了进去，于是每次打开页面，画布一渲染就把工具栏删了。
症状很隐蔽：泳道和积木照常渲染、拖拽也正常，只是「保存排序」「重置」
「+ 添加档位」和聊天/生图切换全部消失 —— 优先级变得无从调整，也无从保存。
DOM 里数画布元素一切正常，只有量按钮的几何尺寸才看得见它没了。
修法：工具栏留在 .card 里，另给一个 #sort-mount 专供画布。per-key 弹窗
本来就是这个结构，无需改动。
判据 1 条，断言工具栏必须落在 #sort-mount 之外，且 renderSortEditor 必须
接收 #sort-mount 而不是 .card。变异（mount 改回 .card）判红。
生产 CDP 实测（真实点击，非仅 DOM 断言）：
5 个按钮全部可见，坐标尺寸正常（保存排序 72x29）
画布 4 泳道 / 10 块
点击「保存排序」→ toast「排序已保存并热重载 · 链上冷却已复位」
切走再回来，按钮仍在位
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-04 07:05:36 +08:00
48e7e6b2a5
fix(gateway): AUTO 范围冲突的提示要放在 checkQuota，否则是死代码
...
上一版把消息加在请求路径的范围检查上，实测才发现它永远走不到：
AUTO 请求先经过 checkQuota(ctx, "AUTO")（在链被读取之前），范围不含 AUTO
时它当场返回旧文案「model \"AUTO\" is not allowed for this key」——那句会
把运维引去查配额，而配额并不是原因。
改为在 checkQuota 内对 AUTO 分流，输出说明真实原因与修法。请求路径那处
换成注释说明为何不再重复。
判据 1 条，断言 checkQuota 函数体内必须同时出现 isAuto(model) 与新文案
——放在别处不算数。变异（删掉该分支）导致编译失败，被捕获。
生产实测（临时把某密钥范围改成不含 AUTO 再恢复）：
HTTP 403 model_not_allowed
model \"AUTO\" is not in this key's model scope, so it cannot use AUTO;
add \"AUTO\" to the key's models or remove the scope restriction
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 23:06:42 +08:00
a21d0ca5a1
chore(gui): 版本号 1.9.2 → 1.9.3
...
v1.9.3 收一处误导性错误与编辑器提示：
- AUTO 被密钥模型范围拦下时返回 model_not_found（像说 AUTO 没配置），
改为 model_not_allowed 并说明修法
- per-key AUTO 链编辑器在该密钥范围不含 AUTO 时给出警告
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 21:50:20 +08:00
cf14f66ad4
fix(gateway): AUTO 被密钥模型范围拦下时报错误导 + 编辑器给出提示
...
一个密钥的模型范围不含 AUTO 时，它用不了 AUTO —— 范围过滤发生在链之前。
但这两条路径都不说真话：
1. 请求侧：AUTO 走的是通用分支，返回 model_not_found "model \"AUTO\" is
not configured"，读起来像 AUTO 没配置。非 AUTO 模型早就有 model_not_allowed
的专门提示，AUTO 漏了。补上，并说明修法（把 AUTO 加进该密钥的 models，
或去掉范围限制）。
2. 编辑器侧：per-key AUTO 链编辑器可以正常配链、保存也成功，看起来一切正常，
但该密钥的每个请求都会 403。管理员无从得知。现在弹窗顶部在检测到冲突时
显示警告，并列出当前范围。
刻意不做的事：不自动把 AUTO 加进该密钥的模型范围。那等于悄悄授予运营
没要求的访问权，比一个显眼的警告更糟。
判据 1 条，除确认提示出现外还断言该函数体内没有 PUT/POST/fetch/api ——
它只报告，不得写回。变异（去掉 AUTO 判断）判红。
CDP 实测四种场景：范围含 AUTO → 无提示；范围不含 → 警告并列出范围；
空范围（不受限）→ 无提示；范围含 AUTO → 无提示。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 21:23:02 +08:00
4e3b905b58
chore(gui): 版本号 1.9.1 → 1.9.2
...
v1.9.2 收两处 UI 修复：
- 统计区间文案在日视图恒为空（bucket 是小时粒度，盲目拼 T00:00:00Z 使
toISOString 抛 RangeError，整句赋值丢失），且天数按小时桶数误报
- per-key AUTO 链默认复制全局链作为编辑起点，而不是空白画布
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 13:36:11 +08:00
130b3f2e8d
feat(ui): per-key AUTO 链默认复制全局链作为编辑起点
...
此前给没有独立链的密钥打开编辑器是空白画布，管理员要从 226 个模型里
一条条重新挑。真实任务是"这个用户拿全局链，但去掉他不该碰的两个源"，
所以起点应该是全局链本身。
- 无独立链时读 /api/auto 的 rules 预填（实测 4 泳道 / 10 块，与全局链
一致），不是 discovery 兜底（那会把每个源的每个模型都堆进来）。
- 提示区分三种状态，因为它们在画布上长得一样、点取消的后果完全不同：
复制来的起点 / 该密钥已有的独立链 / 清空后保存将恢复跟随全局。
- seeded 标记随关闭清理，避免下次的提示说错来源。
CDP 实测：打开无独立链的密钥 → 画布 4 泳道 10 块 + 提示"已复制全局链
作为编辑起点"；删一个块服务端仍 inherits:true；保存后 inherits:false
n=9、弹窗关闭；重开读回 4 泳道 9 块且提示消失（它现在有自己的链了）。
横向滚动可达性一并验证：scrollLeft 172 = scrollWidth-clientWidth，
滚到底后无残留不可达块。
判据 2 条 + 变异（恢复空白起点 / 去掉 seeded 标记均判红）。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 13:36:11 +08:00
dac0b4ce93
fix(ui): 统计区间文案在日视图恒为空、天数按小时桶误报
...
v1.9.0 加的「统计区间：起 → 止 (Nd)」正是用来解释"周 > 月"的，但它自己
在日视图上从来不出现在屏幕上。
原因：区间终点从最后一个 bucket 的标签拼出来，而 bucket 粒度随视图变化
—— 日视图按小时（"2026-10-03T09"），周/月按天（"2026-10-01"）。代码无条件
拼 "T00:00:00Z"，日视图就成了 "2026-10-03T09T00:00:00Z"，Date 拒绝该值，
toISOString() 抛 RangeError，整个赋值语句丢失。页面无任何报错，只是那行
字不见了——恰好是用户最常看的"今日"视图。
第二个问题同源：天数直接用了 st.buckets.length。日视图 5 个桶是 5 个小时，
界面却显示 "(5d)"。改为按窗口起止算天数。
CDP 实测（修复后）：
day 统计区间： 2026-10-03 → 2026-10-03 (1d) ← 原为空，且曾误报 5d
week 统计区间： 2026-09-28 → 2026-10-03 (6d)
month 统计区间： 2026-10-01 → 2026-10-03 (3d)
all （空，正确：终身累计没有窗口）
判据一条 + 变异：恢复原来的盲目拼接 → 判红。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 13:36:11 +08:00
97864895d4
chore(gui): 版本号 1.9.0 → 1.9.1
...
v1.9.1 收 v1.9.0 之后发现并修复的四个 UI/统计缺陷：
- per-key 编辑器画布画进后台标签页的全局画布，弹窗空白且污染全局链
- per-key 保存成功却不关弹窗，toast 文案还把已保存说成会失败
- 首页日/周/月视图请求记录表恒为空，滚动加载新旧行错位
- per-key 弹窗复用共享 #modal-wrap id、编辑即落盘（取消撤不回）、
无独立链时画布填满全部 226 个模型
v1.9.0 的 tag 与附件保持不动，作为发布时点的凭据。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 11:48:01 +08:00
f9cd0770a9
fix(ui): per-key 弹窗复用共享弹窗ID、编辑即落盘、空画布显示226个模型
...
截图看渲染 + 交互实测后发现的四个问题，都出在我自己新写的代码里。
一、弹窗用了全站共享的 #modal-wrap。
这个 id 是 App 内所有弹窗共用的，且允许多个同时存在（"添加档位"选择器就
开在本弹窗之上）。既有代码靠 .closest() 或 closeTopModal() 从按钮往上找，
是有效的——但本弹窗还要从画布侧被查（sortCanvasEl / keyAutoClose /
keyAutoInherit），那里没有按钮可走。实测点"添加档位"后 DOM 里同时有
modal-wrap=1 和 key-auto-modal=1，getElementById 会命中文档里的第一个，
也就是用户没在看的那一个：取消关掉错误的框，画布也可能解析到选择器上。
改为独立 id #key-auto-modal。
二、编辑即落盘，保存/取消形同虚设。
scrAddFromForm / sortScopeSave / scrDelSlot 等 6 处编辑后立刻调
persistAuto()。全局页这样是有意的（改动立即生效），但它和自己页面上那句
"点击保存排序后生效"的提示自相矛盾；在 per-key 弹窗里更严重——加一个槽位
就已经写进那个用户的链了，取消也无法撤销。收敛到 afterChainEdit()：
有 scope 时只提示、不落盘，保存是唯一写入口。
三、无独立链时画布显示全部 226 个模型。
注释写的是"显示空画布"，实现却是 buildLanes(idx, [], 'chat')——空 rules
会走 discovery 兜底，把每个源的模型全填进去。用户打开弹窗看到 226 个色块，
会以为这些就是这个密钥的链。改为空 rules 直接给 []。
四、"使用全局链"提示不随画布变化。
加完槽位后仍显示"该密钥使用全局 AUTO 链"，与旁边的色块直接矛盾。改为由
afterChainEdit 触发、按画布是否有内容决定去留。
另：批量替换时正则的缩进假设错了一次，把 afterChainEdit 自己改成了自调用
（无限递归），node --check 抓到后修掉。这类批量替换必须先过语法检查。
判据两条 + 变异：弹窗回到共享 id → 判红；去掉 scope 分支 → 判红。
CDP 实测：弹窗 id 唯一、添加后画布 0→1 块、添加后服务端 inherits=true
（未落盘）、取消后仍 inherits=true、选择器与弹窗并存互不干扰。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 11:20:29 +08:00
6311913812
fix(stats): 日/周/月视图请求记录表空白，滚动加载顺序错乱
...
首页记录表由 paintRecords(st.records) 渲染，而 /api/stats 的 period 分支
手写了一份响应 map，压根没有 records 字段 —— 只有 all 分支走 Snapshot()
才带得上。实测切到日/周/月，记录表恒为空。
两处数据源也不一致：
| 端点 | 数据源 | 排序 |
|---|---|---|
| /api/stats（all）| 内存ring（几百条）| oldest-first |
| /api/stats/records（翻页）| 审计文件（全部）| newest-first |
| /api/stats（period）| 无 | 无 |
前端靠 paintRecords 里一句 .reverse() 把 all 的 oldest-first 转成 newest-first，
翻页端点则本来就是 newest-first。首屏和翻页方向相反，滚动时新旧行会错位
拼接；且 all 分支不带 next_cursor，表永远停在第一屏。
修法：两个分支都改用 AuditPage（与翻页端点同一份代码路径），记录方向统一
由它决定，前端去掉 .reverse()。附带好处：记录深度不再受 maxRecs 限制，
"全部"视图真的能翻到底。
判据三条，变异验证：period 分支返回 nil records → 前两条判红；all 分支不
覆盖 records → "no next_cursor"判红。变异过程中我自己也犯了两次错：第一版
判据硬编码 newest-first，而AuditPage 在单文件（整块读完）与多文件（分块反向
读）下方向不同，改为断言两处方向一致；第三版想测 admin 过滤，但
newTestGateway 的 sk-test 不是 admin，改为测真正的越权边界（非admin 不能
用 ?key= 看别人的记录）。
CDP 实测：四个视图各 100 行、时间从新到旧，滚动加载 100→200 行且新末行
时间更旧（顺序衔接正确）。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 10:32:51 +08:00
aa003e84d3
fix(ui): per-key 编辑器画布画错容器、保存成功却不关弹窗
...
CDP 实测发现两个真 bug，都是复用画布时引入的。
一、画布画进了后台标签页。sortCanvasEl() 原本按文档顺序找，先命中
#scr-canvas（全局优先级页的画布）。而弹窗是挂在设置页之上的，两个画布
同时存在于 DOM —— 于是 per-key 的 36 条泳道被画进隐藏的全局画布，弹窗
里空空如也，回���全局页还会发现自己的链被覆盖了。
改为按 sortState.scope 解析：有 scope 就用 #key-auto-canvas，否则用
#scr-canvas。
二、保存成功却弹窗不关。!j.slots 分支里我写了 return，跳过了
keyAutoClose。写确实成功了（服务端已存），但用户看到弹窗还开着、按钮
还是禁用状态，会反复点保存。而且那条 toast 文案写成"保存后 AUTO 请求
会失败"，读起来像保存失败了 —— 一并改成"已保存，但槽位无法解析…"。
判据两条，变异验证：恢复按文档顺序查找 → 第一条判红；!slots 分支加
return → 第二条判红。第二条最初只查 keyAutoClose() 是否存在，变异加了
return 仍然通过，属于判据漏放，已改为扫描 try 块内 close 调用之前的
所有 return 语句。
CDP 复测（先开全局页制造干扰，再开 per-key 弹窗）：
- 弹窗画布 36 泳道，全局画布保持 4 泳道未被污染
- 保存 gpt-5.2@xinjianya 后弹窗关闭、服务端存储正确、scope 清空
- 重开弹窗读回 [["gpt-5.2@xinjianya"]]
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 10:32:51 +08:00
28149bdd1a
merge: release/v1.7.x → main（per-key AUTO 链 + GUI 插件管理 + UI 复用）
...
- 22decf2c66e1b59dc2b6413e2397ed9baaenoreply@modelrouter.dev >
2026-10-03 08:50:55 +08:00
ed9baae8e4
feat(gui): 插件面板补齐安装/编辑/删除，on_disk 报告页面
...
桌面版插件面板此前只有启用/禁用，装不了新插件、读不回源码、删不掉坏的
插件——而 WebUI 有完整能力。两边不一致，且缺失的那三个恰好是出问题时唯一
能用的三个操作。
补齐（复用后端已有契约，未新增端点）：
- POST /api/plugins 安装并保存源码。保存走安装路径是有意的：它会校验
名称、编译并热重载，而 PUT /{name} 只切 enabled 开关，指过去会静默
什么都没存。
- GET /api/plugins/{name} 读源码（读的是磁盘上的源，与写回可往返）。
- DELETE /api/plugins/{name} 删除。内置插件不显示删除按钮。
- 内置插件的"编辑"改为"查看源码"并置只读：它的文件在二进制里，给一个
保存后被丢弃的文本框比直接说明更糟。
- 三个弹窗复用既有的 overlay / overlay-card，不新造一套弹窗体系。
后端补 DiskEntry.Pages：GUI 读的是 on_disk 而非 List，pages 只在 List
里，所以面板里那行"页面：…"永远不显示。新增 pageNames() 复刻加载期的
合并规则（page + pages，去重保序）。判据覆盖 pages 与单页 ui.page 两种
写法，并断言 JSON 里带 pages——GUI 读的是 HTTP body，不是 Go 结构体。
变异去掉赋值后两条判据都失败。
CDP 实测 10 项全部通过：安装带页面的插件、源码往返一致、禁用/启用、
热重载后版本号变化、坏插件在列表可见并带错误信息、非法名拦截、语法错误
被后端拒绝而非静默写入、路径穿越被 IPC 代理拦截。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 08:48:46 +08:00
13e2397e9c
fix(ui): per-key 链复用全局 AUTO 画布；统计周期显示实际窗口
...
两件事。
一、per-key AUTO 链的 UI 之前自己写了一套表格，只有 model + tier 两列，
比全局 AUTO 编辑器弱：没有拖拽排序、没有每槽位的 quota/period/hours。
这是重复实现且必然漂移。改为复用同一套泳道画布：
- 抽出 buildSortIndex / buildLanes / lanesToRules / renderSortEditor，
全局编辑器与 per-key 编辑器共用。
- sortState.scope 决定保存目标（null=全局，key=该密钥），persistAuto
按此分支；空 lane 列表即"恢复继承"，与后端空 PUT 等价。
- 画布查找走 sortCanvasEl()，两个 id 都能解析，否则拖拽在弹窗里静默失效。
- keyAutoClose 必须清 scope，否则关掉弹窗后全局编辑器会存到这个 key。
- 删掉旧的 keyAutoRow/keyAutoAddRow/keyAutoClear。
判据改为断言"复用"而非断言具体实现，并新增两条：
- 关闭弹窗不清 scope（全局编辑器会存错目标）
- per-key 编辑器不再挂载共享画布
二、"周视图总量大于月视图"不是 bug：日历周期并非嵌套。"本周"从周一开始，
所以月初会回溯到上月末几天，本周总量合法地大于本月。实测今天 2026-10-03
（周六）：周窗口 09-28→10-03（6 天，9.2B tokens），月窗口 10-01→10-03
（3 天，4.0B tokens）。
真正的缺陷是看不见这一点。统计页新增"统计区间：YYYY-MM-DD → YYYY-MM-DD
(Nd)"，让周 > 月 自解释。判据钉住这个事实，并做变异验证：把周窗口钳制到
月内（一个看起来很自然的"修复"）会被两条判据同时抓住。
CDP 实测：周视图显示"2026-09-28 → 2026-10-03 (6d)"，月视图显示
"2026-10-01 → 2026-10-03 (3d)"；per-key 编辑器渲染出 36 条泳道 / 226 个
块，与全局编辑器同款。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 08:26:57 +08:00
0cd1cd51f6
merge: release/v1.7.x → main（per-key AUTO 链 + 部署 v1.9.0）
...
- 22decf2c66e1b59dc2b64noreply@modelrouter.dev >
2026-10-03 08:15:00 +08:00
9dc2b64013
chore(gui): 版本号 1.8.0 → 1.9.0
...
per-key AUTO 链（22decf2）与并发判据（c66e1b5）是 v1.8.0 发布后的新特性，
v1.8.0 的 tag 已存在，不能复用。package-lock.json 里剩下的一处 1.8.0 是
@electron/fuses 依赖自身的版本，不应改动。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 08:08:37 +08:00
c66e1b5955
test(keys): per-key AUTO 链的并发与压力验证
...
AutoChainFor 在请求热路径上无锁读 keyAutoChains，而 SaveKeyAuto 与
rebuildRegistry 会整表替换它。顺序调用测不到任何交错，所以补并发判据。
- 8 读者 + 2 写者并发改链，断言读到的链必属于 {自身链, 全局链} 这个合法
集合，不断言固定值（写者本来就在合法地来回切换，钉死值会在正确代码上
失败）。
- 源增删期间读者保持可用链。churn 源用 "churn" 前缀，避免与链依赖的 s1
重名——删掉链引用的源会合法地清空该链，拿它当断言等于测虚构。
- 500 个 key 的查表不退化。
变异验证：把 rebuildKeyAutoChains 改成原地清空重填（破坏原子替换），
-race 报 DATA RACE，判据有效。
真实压力（20 key 网关 + 并发 AUTO + 后台持续改链）：
- 40 并发 25s：9616 请求 / 382 QPS / 零 panic / 零 DATA RACE
- 出现 111 次 503，根因是 mock 上游被打爆后 "no free slot within 2s"，
属预期降级而非缺陷：并发降到 6 时 1395/1395 全 200。
- 每次压测都断言"未改链的用户始终命中自己该走的模型"，未改链的 19 个
key 全程零错分。
2026-10-03 08:01:37 +08:00
22decf2bd3
feat(keys): 每个密钥可配独立 AUTO 链，管理员代配
...
此前 AUTO 链是全局单值（cfg.Auto + Core.AutoChain()），所有用户共用一条链。
管理员无法为某个用户单独指定调度链。
按 per-key 覆盖 + 全局兜底实现：
- config.GWKey 增加 Auto 字段与 HasOwnAuto()。未配置即继承全局链，
存量部署零改动，新密钥天然继承全局链。
- Core 把 buildAutoChain 的归一化逻辑抽成 chainForRules，全局链、
生图链、per-key 链共用同一套编译，避免两处漂移。
- Core 增加 keyAutoChains 缓存 + AutoChainFor(key)。请求路径读缓存不
加锁，与全局链查询一致。缓存整表原子替换，不会看到半成品。
- 请求侧 chat.go 改用 AutoChainFor(reqKey)。冷却仍在 Provider 上按
model+source 共享：两条链指向同一个 slot 时共用冷却，与今天单链行为
相同，也避免为 per-key 维度重构冷却而改变现有可观测语义。
- API：GET/PUT/DELETE /api/keys/{key}/auto（admin），GET
/api/keys/me/auto（任意角色，只能读自己的）。空 PUT 与 DELETE 等价于
"恢复继承"，无法持久化一条会 503 的空链。写入时回报解析出的槽位数，
让管理员当场看到模型名写错，而不是等用户下次请求 503。
- 源变更时一并重编译 per-key 链，加源后无需重启即可生效。
判据 18 条，5 个变异全部被抓住：AutoChainFor 忽略 key、清空后不重建
缓存、源变更不重建、空 PUT 落盘成空链、me/auto 误要求 admin。
UI 判据做变异时发现漏放：只查函数定义存在，删掉按钮后仍通过。已改为
断言 keyCanvasHtml 内的调用点。
端到端实测（真实 HTTP + 两个 mock 上游）：admin 与 bob 初始同为 m-fast，
给 bob 配 m-cheap 后两者分流，重启后仍分流，DELETE 后 bob 回到 m-fast。
Co-Authored-By: ModelRouter <noreply@modelrouter.dev >
2026-10-03 07:45:54 +08:00
4b07be67b4
Merge commit 'ba01da9' into HEAD
2026-10-03 00:16:21 +08:00
