8de1499c40
fix(ui): 插件元素注入被宿主页面重建擦除 —— 元素型注入从未真正生效
...
## 现象
部署示例后打开 WebUI：侧栏有 Billing 页，但**状态页上没有任何计费组件**。
插件明明声明了 elements，/api/ui-inject 也确实返回了 mount（1570 字节）。
## 根因（不是缺功能）
七个宿主页面的渲染函数都用 `pane.innerHTML = ...` **整体替换**自己的 DOM。
`renderStatus` 在 `injectPluginUI()` 之后由 refresh() 立刻调用，于是刚挂上的
plugin-el 连同整个 pane 一起被下一次赋值销毁。
时序上它**从没有过"显示一帧"的机会**：注入 → refresh("status") → innerHTML 覆盖。
所以症状是"元素从来没出现过"，而不是"刷新后消失"——这正是我先前据
/api/ui-inject 返回值判定"注入正常"而漏掉的地方：**载荷到达 ≠ DOM 存活**。
Billing 页不受影响，因为它属于 PLUGIN_PAGES，走插件自有 DOM，不经宿主重建。
于是看起来像"页面注入有效、元素注入无效"，把排查引向插件声明本身。
## 修法
- mountPluginElements 改成具名可重入函数，并注册进 PLUGIN_MOUNT_HOOKS
- refresh() 在**唯一出口**统一调 remountPluginElements()，而不是给七个渲染函数
各加一次调用——后者是多一处会忘的地方，而忘记的后果是静默的
- 每个挂载点按 data-idx 幂等：宿主重绘时若该 pane 已有该元素就直接返回，
否则插件的 <script> 会每次重绘都跑一遍，计数器静默翻倍
## ★ 验证方式换了：真实浏览器，而不是 payload
静态测试和 curl 都看不出这个 bug（载荷完全正确）。用 CDP 连本机共享浏览器实测：
修复后：首屏 tile=1，页面重建后=1，连续重建 5 次仍=1，console 无错误
回退后：tile 全程=0
对照二进制（把 done 改成空函数重编译）实测首屏就是 0，
**证明"从未显示过"，不是"显示后消失"**。
## 判据与变异
TestPluginElementsSurviveHostRebuild 锁住：remountPluginElements 存在、
PLUGIN_MOUNT_HOOKS 在使用之前声明（const TDZ 会让首屏直接抛错）、refresh 挂了重挂、
挂载按 data-idx 幂等。
三个变异全部被抓住：撤掉 refresh 的重挂 / 去掉幂等守卫 / 把 const 声明移到 push 之后。
★ 第一次跑第三个变异时**判据正确地没报**，因为我的替换脚本命中了注释里的同名文本，
真正的 const 没被移动——是变异无效，不是判据有洞。换按行定位后如期变红。
## 同时补上部署示例
packaging/config.example.yaml 里补 plugin_dir 说明（之前只有 online 部署路径踩过）。
实测升级路径本身是好的：给已有配置加 plugin_dir 后，首次启动会自动 seed 内置
billing 插件，无需手工放置文件。
2026-10-02 09:04:47 +08:00
7082ffb723
fix(packaging): 去掉重复的加固块，并同步线上单元的确切内容
...
上一版把线上单元拷进来后又追加了一份英文注释的加固指令，导致
NoNewPrivileges / ProtectSystem / SystemCallFilter 等在同一个 unit 里
出现两次。systemd 对重复指令取最后一个，行为上不会坏，但文件本身是错的
（读的人会以为有两套加固），且 packaged 与 deployed 不再一致。
现在 packaged/llmsproxy.service 与线上 /etc/systemd/system/llmsproxy.service
逐字节相同，每条指令只出现一次。
2026-10-01 20:59:34 +08:00
5e723b5aa5
feat(packaging): systemd unit 加固（逐条实测，非照抄模板）
...
原单元只有内存调优两行环境变量，加固项一个都没有，且以 root 运行。补上
一组经验证的加固指令。
关键决定：**仍然以 root 运行**。本服务要读 master.key（0600 root）。实测加
User=llmsproxy 直接起不来，且失败方式隐蔽——
[config] secrets disabled: open /etc/llmsproxy/master.key: permission denied
只是一行日志，服务会带着「敏感值以明文落盘」继续跑。也就是说在当前文件
权限下降权不是加固而是把密钥降级。要降权得先把 key 交给服务用户、统一
/etc/llmsproxy 属主，那是独立的、需要回滚预案的变更，不混进来。
每条指令都在一个独立探针单元（临时端口 + 独立 runtime_file/adapter_dir，
拷了真实适配器）上验证过：
- 鉴权 401/200 正常；
- 一次真实 /v1/chat/completions 走通（证明 SystemCallFilter=@system-service
没打断 LuaJIT 适配器的 JIT 代码路径——这是最容易被 seccomp 搞坏的地方）；
- 审计文件可写可轮转（ReadWritePaths=/etc/llmsproxy 够用）；
- 连续重启 3 次都 active + http 200，kill -9 行为符合预期。
systemd 对非法指令值不报错只「忽略」，所以逐条实测是唯一可靠做法。
读路径全在 /etc/llmsproxy；运行时写入经核对只有 config.yaml / runtime.json /
*.audit.jsonl / adapters/*.lua / master.key，全在该目录下，故 ProtectSystem=strict
+ ReadWritePaths=/etc/llmsproxy 即可。CapabilityBoundingSet 置空（本服务不需要
任何 capability，留空比写允许清单更难出错）。
已部署到线上 /etc/systemd/system/llmsproxy.service（原单元已备份为 .bak-*），
restart 后服务 active、监听 8081、WebUI 可达、审计继续写入；本仓库的
packaging/llmsproxy.service 与线上一致（去掉了部署机特有的 RSS 实测数字）。
2026-10-01 20:58:23 +08:00
ad54616bee
docs: 对齐分支命名实际用法 + 修正示例配置的存储位置说明
...
三处都是"文档说的"与"仓库实际做的"不一致，读文档的人会被误导。
1. 分支命名：文档写 release/vX.Y.Z 且举例 release/v1.4.2，实际从
release/v1.4.x 起一律用字面 x（release/v1.5.x / v1.7.x）。改成实际情况，
并说明"一条 minor 分支跨多个 patch"是刻意的：patch 是同批功能的修订，
hotfix 落同一条分支，回流 main 时不必处理多条 release 分支间的依赖。
2. 退役规则与实践不符：文档说"下个版本发布就删上一个 release 分支"，但
release/v1.4.x / v1.5.x 至今仍在。保留无害（hotfix 已回流），但与规则
矛盾。两份文档都如实记下这个出入，并记录特性分支**确实**在清理——本次
删除的四个分支都逐提交用 git patch-id 核对过，工作已全部进入 main
（唯一 patch-id 不同的是 bf0657b
2026-10-01 20:41:57 +08:00
7e33d11d15
fix(packaging): 发行包不再内置可用的 admin key
...
打包时把本地 config.yaml（gitignored，含运维真实密钥）原样复制成
config.example.yaml，而 postinst 在首次安装且 /etc 无配置时又把它
cp 成生产配置 ⇒ 每次安装都得到一个同值的、公开已知的 admin key。
实测该 key（sk-gw-local-0001）在生产上真实有效（/v1/models 返回 200，
而网关监听 0.0.0.0）。
三处修正：
- 新增 packaging/config.example.yaml（受 git 跟踪的净化模板），
gateway_keys 留空、sources 留空，并写明不要填死值。
- core-dist.sh / nfpm.yaml 改为打包该模板，不再碰本地 config.yaml。
- postinst.sh 不再投递示例配置：留空文件会让网关启动但拒绝所有请求
（无门可入）。改为让二进制首启时自行生成随机 admin key 并打印 ——
每次安装都不同，且开箱可用。示例文件仅作为 /usr/share 下的参考保留。
实测首启：生成 sk-gw-838d66a1... 并打印，与旧的共享固定值不同。
2026-09-28 23:27:42 +08:00
2ebc01e03b
fix(build): nsis.7z is not a required artifact — Setup exe is the formal Windows product
2026-08-30 13:49:34 +08:00
ed05cccb72
feat(packaging): core distribution packages (deb + rpm + tar.gz) via nfpm
...
Previously only the Electron GUI had installers; server admins had to build the
core by hand (`make build` -> bare binary). This adds a first-class server
distribution:
- `make core-dist` -> packaging/core-dist.sh -> cmd/build/dist/
llmsproxy_<ver>_amd64.deb (systemd unit + adapters + example config)
llmsproxy-<ver>.x86_64.rpm
llmsproxy-<ver>-linux-amd64.tar.gz
- nfpm config (packaging/nfpm.yaml): binary to /usr/bin, systemd unit with the
measured memory tuning (GOGC=50, MALLOC_ARENA_MAX=2) baked in, Lua adapters to
/usr/share/llmsproxy/adapters, repo's config.yaml as the example.
- postinst seeds /etc/llmsproxy/config.yaml on first install and keeps existing
runtime state across reinstalls; prerm stops the service on removal.
Gotchas handled: nfpm v2 here does not render `{{ .Env.VERSION }}`, so the script
stamps the version into a throwaway config copy; and under `set -o pipefail` the
idiom `strings | grep -q` is broken (grep -q closes the pipe and strings dies on
SIGPIPE -> spurious 141), so the symbol sanity-gate stages strings in a temp file.
README (zh/en) updated: memory figures replaced with production-measured
32-35 MB settled (was 37-42), and the packaging docs now describe core-dist and
the dockerized Windows build.
2026-08-30 10:49:25 +08:00
