3 Commits

Author	SHA1	Message	Date
JianFeeeee	c51066f0b6	refactor(quota): 配额改为按模型，删除整钥总配额 ... 用户明确要求：配额应当是密钥对应的**每个模型的单独配额**，而非整体配额。 ## 语义变更 删除 GWKey.TokenQuota / ReqQuota / Period / Hours（整钥总额）。 ModelScope 新增 ReqQuota —— 请求数配额下沉到每条模型范围。 现在：每条 models[] 各自带 token 配额 + 请求数配额 + 重置周期， 彼此独立。一个模型用满只影响该模型。 ★ 为什么不保留整钥总额：它会让「把 A 模型的额度挪给 B」变成一次全局 重分配；按模型独立计费则每个模型各自可控，运维能直接看出哪个模型在吃预算。 ## 连带改动 - checkQuota 合并 key 级与 scope 级判定；checkKeyQuotaRetry 整体删除 （顺带修掉上轮遗留的双重判定：入口不再先判空再重算） - core：CreateKeyWithQuota / UpdateKeyWithQuota / ApplyQuota 全部删除， 改由 ValidateScopeQuotas 校验每条 scope 的配额 - admin key：scope 上的配额不强制（admin 的 scope 仍限制模型范围， 但不强制配额）—— 否则管理员会把自己锁在门外 - /api/v1/keys 不再回显 key 级配额字段（scope 里已含） - WebUI：删除整钥配额徽标 / 「配额」按钮 / 创建表单的配额组 / putScope 的整钥回传；模型砖块与范围编辑器新增「请求数配额」输入， 徽标显示 `1.0K 77×·1h`（未设配额显示 ∞） ## 判据 - TestOneModelsQuotaDoesNotBlockAnother 是本次核心保证。 ★ 它第一版是**假判据**：m2 从不消耗，key-wide 计数器与 m1 自己的计数器 读数恰好相同，退回 key-wide 仍通过。变异测试抓到后改为「先用 m2 花掉 远超 m1 配额的量，再验证 m1 仍可用」—— 这样两种设计才可区分。 - TestUncappedModelNeverBlocked / TestAdminKeyScopesAreNotEnforced 新增 - UI 契约判据重写：整钥配额界面必须彻底消失（13 个符号）、 scope 编辑器必须往返 req_quota、putScope 只发 scope 列表 - 错误消息点名具体模型（TestKeyAPIRejectionNamesTheModel） - 3/3 变异全被抓 实测（真实进程 + 浏览器）：m2 配额 500000 连打 25 次全成功， m1 配额 1000 立即 429「token quota exceeded for "m1" (4315/1000)」， 此后 m2/m3 仍 200。UI：整钥配额元素全为 0，砖块各显配额， 编辑器预填/保存正确，零 JS 异常。	2026-09-27 19:02:13 +08:00
JianFeeeee	f814ff7468	fix(webui): 修 7 处弹窗关闭错对象 + 模板管理器变量遮蔽 ... 上一提交只修了自己新加的两处弹窗，全站其余 7 处是同一缺陷：所有对话框 共用 id="modal-wrap"（CSS `#modal-wrap:not(:empty){display:flex}`）且可以叠 加（seed-key 提示就盖在密钥页上），而 `const w = $("#modal-wrap"); w.remove()` 移除的是**文档里第一个**，不是用户 刚提交的那一个。 逐处改为两种安全写法： - 能拿到按钮的（saveSource / saveTemplate / sortScopeSave / scopeSave / keyQuotaSave / createKey / downloadStatsCsv / downloadKeysCsv / scrAddFromForm）：`btn.closest("#modal-wrap")` - 拿不到按钮的：新增 `closeTopModal()` 取**最后一个**（用户看到的那个）， 并作为所有 `if (w) w.remove()` 之后的兜底 - 顺带把 sortScopeSave / downloadStatsCsv / downloadKeysCsv / scrAddFromForm 的签名补上 btn / this 参数 —— 否则 .closest 恒为 null，表单永远不关 同时修一个相邻的既有 bug：`openTemplateModal` 的 `.map((t) => ...)` 用 t 做 循环变量，模板字面量里又调 t("srcEdit")，t 被遮蔽成对象 ⇒ 打开模板管理器 直接抛 `t is not a function`，整个弹窗渲染失败（main 上就有，git show 确认）。 参数改名 tpl。修后模板管理器完整渲染（浏览器实测：DeepSeek / 智谱 / Kimi / SiliconFlow 各行 + Edit/Delete 按钮文案全部正常，零异常）。 判据从 2 处扩到全量（internal/gateway/ui_quota_contract_test.go，+3 例）： - 全文档扫描：任何 `.remove()` 配裸 `$("#modal-wrap")` 即失败 - 9 个关闭对话框的处理器必须走 .closest 或 closeTopModal - closeTopModal 必须取 all.length - 1（首尾颠倒就是原 bug） - 用 .closest 的处理器，其签名必须真的有 btn 参数 —— 否则查找恒为 null， 表单永远不关 5/5 变异全被抓：sortScopeSave 去 btn 参数、closeTopModal 取第一个、scopeSave 退回裸选择器、saveSource 退回裸选择器、downloadKeysCsv 删兜底。 浏览器实测（共享 Chromium CDP，真实进程，每处都插入一个「decoy」弹窗 占据文档首位，复现原 bug 的触发条件）： - scopeSave / keyQuotaSave / scrAddFromForm / saveSource / saveTemplate 五个处理器：自己的表单关、decoy 保留 ✓ - 零 JS 异常 ★ 测试自身踩了两个坑，都不是代码问题：① `document.querySelector(sel) && .click()` 在 CDP 里求值为 undefined，改成箭头函数；② 编辑模板时没填名字就点保存， saveTemplate 因 `if (!nm)` 早退、fetch 零调用 —— 一开始我把这个误读成 「修复失效」，加 fetch 拦截 + 读 #s-name 的值才定位到是测试数据缺失。 ⇒ 「点按钮没反应」要先分清是「事件没触发」「请求失败」还是「早退」。 (cherry picked from commit b5c3fea0bb)	2026-09-27 18:44:41 +08:00
JianFeeeee	ef631b43dd	feat(webui): 密钥配额表单 + 修复弹窗关闭错对象 ... 功能：让 per-key 配额在 WebUI 里可配置可见，之前的实现只有 API 与 config.yaml 能配。 - 密钥卡片头部显示配额徽标（token / 请求数 + 重置窗口），admin key 不显示编辑入口（服务端本就永不受限，给入口只会让人以为配了会生效）。 - 新增「配额」编辑弹窗：token 配额、请求数配额、重置周期（复用既有 的 period 词表与 n-hour 联动），预填从 canvas 的 data-* 读。 - 创建密钥弹窗同步加配额字段；选 admin 角色时自动禁用（同样因为服务端 忽略 admin 的配额）。 - 「我的密钥」页新增 KEY-WIDE QUOTA 列，用户能看到自己这把 key 的预算。 修一个真 bug：保存弹窗用 $("#modal-wrap") 关闭自己，而全站弹窗共用这个 id、且可以叠加（seed key 提示就盖在密钥页上）。实测（共享 Chromium CDP，seed 提示与配额弹窗共存）确认：保存后被移除的是 seed 提示，配额表单 反而留在屏幕上 —— 症状是「保存了但弹窗没关」，指向的方向完全错。改为用 点击的按钮 btn.closest("#modal-wrap") 解析自己的弹窗。createKey 有同样 问题，一并修。既有文件里另有 7 处同样写法，未动（不在本次范围，且新判据 只对本次改的两处断言，避免误伤）。 判据新增 internal/gateway/ui_quota_contract_test.go（6 例）： - 两个表单必须用 .closest 解析自己的弹窗 - putScope 必须带上 4 个配额字段（API 视其为指针，省略=清空预算） - 创建请求必须真的发出配额字段 - **数据流判据**：徽标要真读 k.token_quota 等、编辑表单要真读 canvas 写的 data-kquota 等。只查字面量存在会漏 —— 字段躺在死分支里 判据照样通过（这是本轮实际踩到的：keyCapBadges 经 keyPeriodSuffix 间接读 k.period，被判据抓到后我把读取显式化而不是放宽判据） - 弹窗扫描先剥注释，否则修复说明里引用的字面量会被当成违规 - 复用既有 ui_contract_test.go 的 jsFunctionBody（大括号配平）； 自己第一版用 2000 字符固定窗口，被长注释顶开后仍在窗口外命中后面 函数的同名字段，读起来像通过 —— 窗口法在这里是假判据 7 个变异全部被抓（unsafe 关闭、putScope 丢字段、createKey 丢字段、 徽标不读字段、canvas 不写 data-*、kq-hours 改名、周期词表缺项）。 浏览器实测（共享 Chromium CDP，真实进程 + 加密配置）： - 徽标渲染 1.0K·1h / 5×·1h；编辑框预填 1000/5/hour，hours 框按周期联动 - 保存后回读 250000/77/nhour/6，徽标更新为 250.0K·6h，toast Saved - 零 JS 异常 - **关键回归**：编辑模型 scope 后配额仍是 250000/77/nhour，未被清空 - 创建带配额的 key，服务端确认 {t:50000,r:300,p:week,role:user} - user 视角「我的密钥」显示 777·1h 与 9×·1h 文档：README.md / README_EN.md 补「密钥用量配额」小节（配置示例、 周期词表、429 语义、admin 豁免、整点分桶最晚晚 1 小时释放、PUT 的 省略 vs 0 语义、429 响应样例），特性列表各加一条。 (cherry picked from commit ce66c7f6c2)	2026-09-27 18:44:41 +08:00