5948ad19ca
feat(plugins): 服务路径/适配器名冲突进裁决而非崩溃或硬拒绝（用户要求 A+B）
...
此前两类冲突各有问题：
A) 两个插件声明同一条 /api/plugins/http/ 服务路径 → 分发器按加载顺序静默
选一个（装个新插件就可能改变既有路径归属）。
B) 插件装与内置/他插件同名的适配器 → 硬错误 ErrAdapterNameReserved / owned by。
用户要求：都改成「报冲突、列出候选、运维选一个保留、选择持久化」，绝不崩溃
或拒绝启动。
## A 类：插件 HTTP 服务路径冲突
- dispatch（plugin_http_routes.go）同路径多认领时不再 load-order 选边：未裁决
返回 409 并点名候选；已裁决按赢家分发。
- route_conflicts.go：RouteConflicts/RouteWinner/ResolveRouteConflict，只统计
loaded 且未禁用的插件；赢家插件若不再声明该路径，裁决作废回未裁决态。
## B 类：适配器名冲突
- InstallAdapter 撞名（内置或他插件所有）不再硬拒，改挂起：现任继续服务，候选
入 AdapterConflicts，返回 typed ErrAdapterConflictPending（区分「代码错」）。
- ResolveAdapterConflict：incumbent 保留现任 / candidate 真正装上插件版（绕过
reserved 门禁——这是运维显式授权覆盖内置的唯一入口）并转移归属。
- 现任内置永不被静默覆盖，守住「第三方插件不得篡改内核发行物」信任边界。
## 持久化 + WebAPI + WebUI
- 两张裁决表落 .route-conflicts.json（routes + adapters），LoadDir 时读回；
重启后插件再装同名适配器自动套用上次裁决。
- WebAPI：GET /api/plugins/conflicts 列冲突；POST {kind,path|name,winner} 裁决。
- WebUI：插件页顶部「冲突裁决」卡片，逐条列路径/适配器冲突 + 候选 + 裁决按钮。
## 测试
- 单测 conflict_arbitration_test.go 6 项全过：路径冲突检测/裁决/持久化/重启、
赢家消失回退、适配器撞名挂起/incumbent/candidate/归属转移、非法 winner 拒绝、
自身更新不受影响（token 轮换不走冲突路径）。
- e2e conflict_arbitration_e2e_test.go 2 项全过（真二进制）：两插件抢路径→409
点名→裁决→200 赢家应答→/v1/models 无回归；插件装 shadow openai→挂起→现任
保留→裁决 candidate→插件版生效→冲突清空。
- 全量 build + vet 通过，既有 lua/gateway/core 回归无破坏。
修正过程中发现并修了一个真 bug：LoadAdapterSource 对 key≠declared 的适配器
重装会建第二个池、留旧池继续服务（v2 装了 v1 还在跑）——改成统一按注册键
归档，裁决 candidate 后新版本才真正生效。
2026-10-12 12:32:10 +08:00
b6e687b567
test(e2e): 补齐 Cline/paste/manual 三条流程真二进制端到端
...
TestChannelsFlowsE2E 用真二进制 + 假平台（loopback 白名单天然放行）跑通：
① Cline（WorkOS device-poll 两步）
假上游：device code → authenticate(首拍 authorization_pending，次拍
access/refresh) → register 换 CLINE-E2E-AT。
断言：首拍会话仍 pending；次拍 completed 且 account = register
userInfo.email（dev@example.com ）；register 恰好调用一次（防重复换证）；
/v1/models 出现 stealth/space-bunny-alpha（凭据已是 register 的最终
token，不是 WorkOS token —— 这是 deviceRegister 第二跳的价值）。
② paste（opencode）
start_login 会话 flow=paste → complete_login 贴 OC-E2E-KEY →
/v1/models 出现 big-pickle。验证 WebUI 粘贴路径（chComplete）能落保险库。
③ manual（qoder）
start_login 返回 manual_hint 含 'WASM'（明确说明不可自动而非假装
成功）→ complete_login 贴 QD-E2E-KEY → /v1/models 出现 qoder-default。
三条流程统一终局标准：/v1/models 出现该平台模型 = 接入源成功且可路由。
e2e 全量 10 项 PASS。
2026-10-12 07:20:48 +08:00
2f5cde7fea
test(e2e): channels device-poll 真二进制端到端 + 修正插件 HTTP 前缀
...
TestChannelsDevicePollE2E 用真二进制跑通完整链路（对齐参考插件形态的终局验收）：
假平台上游（设备码/token/模型/对话端点）
→ 真网关进程 + plugin_dir（SeedBundled 落地 channels）
→ PUT /api/plugins/channels/kernel 授权（运维批准动作面）
→ call/set_endpoints 把 minimax 端点指到假上游（自建代理能力复用）
→ POST /api/plugins/http/channels/login 发起 device-poll
→ GET .../login/status 轮询：先 pending（authorization_pending），
后 completed（token 下发）且 account 取 nickname
→ 终局证据：/v1/models 出现 channels-minimax 的模型 MiniMax-M3
调试中抓到并修复：channels.lua 三处旧挂载前缀 /api/plugins/channels/http/
（正确为 /api/plugins/http/，spawnBrowser 回调路径、callback redirect_uri、
UI fetch 基址）—— UI 上点登录/回调一直会 404。
顺带：e2e 就绪探针复用 startGateway（无源时 /v1/models 空列表也 200）。
2026-10-11 21:44:40 +08:00
da0282a3db
test: 四类验收 —— 加密解密 / 变异 / 压力 / 旧通路
...
用户要求的四类测试全部落地，且每类都抓到了真问题：
## 0) 测试暴露的真实缺陷（先修后测）
**保险库明文落盘**（加密解密测试的目标缺陷）：.secrets/<plugin>.json 此前
是明文 JSON。接入 SecretBox（与 config.yaml 同一把 master key、同 enc:v1
形态）：SetSecretBox 注入（secretSealer 接口，测试可桩）；写盘逐值加密、
读盘逐值解密；无前缀旧值原样通过 —— 旧明文库可读、下次写整体重封。
core 注入点在 store 创建之后（NewPlugins 时 box 还不存在 —— 顺序 load-bearing，
修掉了一个 nil-deref）。
## 1) 加密解密（internal/lua/secrets_crypto_test.go）
- EncryptedAtRest：磁盘字节不含明文 token、带 enc:v1、文件 0600/目录 0700
- PlaintextFallbackAndUpgrade：旧明文库可读 + 任意一次写整体重封为密文
- WrongMasterKey：换 key 后读库必须报错（静默空会让插件重登覆盖凭据）
- ConcurrentPlugins：8 插件×2 goroutine 并发读写，无串台/丢写/文件数正确
## 2) 变异（internal/core/device_mutate_test.go + device_harness_test.go）
- 决策表抽成 deviceHarness.runDecisionTable（行为测试与变异测试共用，
单一事实源）
- 5 个语义变异逐个杀：slow_down 不加 interval / denied 不识别 /
expired_token 不识别 / authorization_pending 当失败 / 成功分支禁用
- 行3/行4 断言 message 区分（用户拒绝/过期）—— 初版只断 state=failed 时
两个变异体幸存（落进通用 failed 分支），加 message 后全杀。
这正是变异测试的价值：暴露断言太弱。
- 基准（未变异）必须全过 —— 防止测试自身失效的假阳性
## 3) 压力（internal/core/channels_stress_test.go）
- ConcurrentLogins：12 轮并发 device-poll，会话互不串台、全部终态
- ClaimStress：30 并发领签到，上游收到恰 30 次（无登录态丢失）
## 4) 旧通路（channels_stress_test.go 后半 + 复用 lua 包测试）
- LegacyVaultPlaintextLoad：老版本明文库 → 新版本可读 → 下次写重封
- LegacySourceSealedConfig：明文 api_key 的旧 config.yaml → 运行期解密、
落盘 seal、master.key 0600 生成
全量 lua/core/gateway/types/scheduler/provider/config 测试通过；build+vet 绿。
2026-10-11 20:50:52 +08:00
dafc3b3fc3
feat(lua): 插件 Lua 侧适配器桥接（R4 Lua 绑定）+ 真二进制适配器接手 e2e
...
补上两个此前报告为"缺口"的东西。其中第一个的旧结论是**错的**，这里更正。
## R4 Lua 绑定：__llmsproxy_adapters
用户问的"为什么 Lua 绑不上"—— 结论是**能绑，之前的归因错了**。
旧结论是「NewTable + PushGoClosure + SetField 是 golua 雷区，会 SIGSEGV」。
反证：内核自己的 buildJSONTable 用的就是这同一个模式，长期稳定。真正的变量
是当时 Phase 4 的**双 VM 半成品**（钩子一个 VM、定时任务一个私有 VM），
bootPluginState 签名与调用点不一致，我改到一半编译不过就仓促回滚，留下的
中间态让 billing 一跑就崩。把双 VM 改回单 VM 之后，同一模式一次就通。
顺带回答一个备选方案（用户提出：Lua 只投递请求、Go 串行执行）：不需要。
p.mu 已经天然串行化同一插件的所有入口；再加队列只会引入"谁排空/超时后积压
怎么算"的新问题。而且桥接调用本身是微秒级的（交给 Go 重建一个小池），真正
长耗时的是插件自己去取 token 的 HTTP 请求，那跟桥接无关。
能力（Go 侧强制，非约定）：
- install(name, source) → (生效名, nil) | (nil, err)
- update(name, source) → (true, nil) | (nil, err) 只限自己装的
- remove(name) → (true, nil) | (nil, err) 只限自己装的
- 调用身份是插件**启动时的固定名**，不从 Lua 状态现读 ⇒ 无法冒充别的插件
- 不能影子内置（Lua 侧同样被拒，不是绕过 Go 校验的后门）
- 出错返回 (nil, err) 而非抛异常，与钩子/HTTP 处理器同一套约定
**分片 VM 故意不给**：分片是文档化的「只读、可丢弃」工作单元，而适配器
install 是**全局**副作用（改共享注册表）。给分片等于让"只读"的按需调用悄悄
改写所有请求共用的适配器 —— 正是分片契约要防的不可见变更。
测试 6 个：install/rotate/remove 从 Lua 调用、影子内置被拒、**定时任务里
轮换 token 且请求钩子立即可见**（R4 闭环）、分片无桥接。
## 真二进制 e2e：适配器接手对外服务
用户问到的第二个点。此前 /v1/messages 的 Anthropic 接管只在**进程内**
gateway 层测过（internal/gateway/messages_test.go），绕过了只会在真实进程里
发生的事：适配器磁盘 seed、配置加载、真 HTTP 栈。
新增 e2e/adapter_takeover_test.go，打**真编译的二进制** + 只说 Anthropic 的
假上游（该上游对不符形状的请求主动报错，不做宽容接受）：
- 非流式：出向必须是 Anthropic message 形状，不能有 OpenAI choices 外壳
- 流式：必须是 message_start…message_stop 序列，**不得**出现 [DONE]
- 压力：96 并发（48 流式）混合打真二进制，全部 200，无 5xx，无形状串味
压力测试初版把并发上限设成 4 于是大量 429，我把断言改正为：429 是内核**正确**
的容量背压，不算失败；失败的定义是 5xx 或 200 但内容/形状错。现在 96/96 通过。
2026-10-11 13:25:11 +08:00
3ad46ea23e
feat(types): 统一线格式 v2 最大集合 + 对外输出 golden 基线
...
Phase 1：内核定义市面所有主流协议字段的**并集**作为唯一内部格式，
适配器按需取用；内核不再携带任何协议形状。
- internal/types/maxwire.go：UnifiedRequest(21 字段，v1 的 10)、
UnifiedResult(11，v1 的 8)、UnifiedDelta。覆盖 openai/anthropic/
gemini/ollama/deepseek 各自必需字段（system 顶层、top_k、stop_sequences、
thinking 预算、parallel_tool_calls、response_format、safety/citations…）。
- 只带**语义**不带**容器**：generationConfig/systemInstruction/options/
num_predict/maxOutputTokens 等协议专属形状一律不进统一格式，由适配器
自行装填。测试 TestNoProtocolContainerLeak 钉死这条。
- 修掉 v1 的私有字段泄漏：disable_thinking/extra_body 曾是内核私有字段，
却被序列化进交给适配器的 body，导致 10 个适配器各自写
`req.disable_thinking = nil` 清理。v2 用 thinking 语义字段替代，
TestNoKernelPrivateFieldLeak 为回归。
Phase 0：建立对外输出的**字节级** golden 基线（.snapshots/），
因为现有 e2e 只有 strings.Contains 宽松断言，无法证明 Phase 2 把
OpenAI wire 移交给适配器 serializer 后输出字节未变。
- e2e/wire_golden_test.go：非流式/流式/生图三个 golden，
比对前 scrub 掉 id 与 created（每请求变化），其余逐字节比对。
- 反向验证：注入 `chat.completion.chunk.DRIFTED` 漂移后 golden 确实失败
（证明它不是永远通过的空壳），随后完整恢复。
- 稳定性：连跑 3 次全绿。
验证：go test -tags luajit ./internal/types/ ./e2e/ -run 'TestMax|TestNo|TestWireGolden' 全绿。
2026-10-11 08:24:58 +08:00
3548745f98
fix(startup): 密钥警告改读真实生效的 key 集合
...
启动时那条「gateway_keys is EMPTY — without a key every request is rejected」
读的是 legacy 的 cfg.GatewayKeys 段，而鉴权实际用 cfg.Keys（core.ListKeys）。
seedKeys 首次启动把 gateway_keys 搬进 keys[] 之后，YAML 里那个列表就不再
被鉴权使用。于是在它被清空（例如轮换掉 starter key 之后）而 keys[] 仍有
7 把可用 key（含 admin）时，进程每次启动都谎报「所有请求都会被拒绝」。
实测：生产日志出现该警告，而同一个 key 请求 /v1/models 返回 200。
- main.go 改为检查 c.ListKeys()，文案改成不绑定字段名。
- 顺带删掉 gateway.New 的 gatewayKeys 参数：函数体从未使用它，
只读 ListKeys()，留着会继续诱导人以为鉴权来自那个列表。
判据：e2e/TestStartupWarningReflectsRealKeysNotLegacyList —— 构造
「gateway_keys 空 + keys[] 有 key」的真实形态，先断言该 key 确实能鉴权，
再断言日志里不再出现那句谎报。变异验证：回退成 GatewayKeys() 即变红。
2026-09-28 23:43:20 +08:00
2ed1f0ecde
style: gofmt the tree
...
gofmt -l reported 13 files with misaligned struct tags / stale formatting.
This commit contains ONLY formatting: no behaviour change, no logic touched.
Files that also carry real changes in this series are formatted by their own
commits.
2026-08-30 08:04:22 +08:00
210243f724
test(e2e): track renamed auto-chain 503 summary phrasing
2026-08-24 19:19:14 +08:00
88802f9ef6
feat: AUTO chain rewrite — silent failover+busy skip+pref round-robin+503 tier summary; chain edits reset slot cooldowns (P0/P1); stats by_status + audit jsonl rotation; UI priority-page health badges & status-code card; ctx-menu capture-phase close (outside-press guard); main.go ops warnings; local bundled-Lua verified tests (3 latent bugs fixed); plan.md
2026-08-11 00:03:11 +08:00
ccbcede581
feat: LuaJIT worker-pool VM, multimodal/disable-thinking passthrough, WebUI redesign, DeepSeek V4
2026-08-07 13:34:16 +08:00
f7f76e097d
feat: ModelRouter — unified OpenAI-compatible multi-source LLM gateway
...
- Lua adapters per upstream (transform_request/response/stream_chunk, build_headers signing hooks)
- AUTO priority routing with per-model kind (chat/image), explicit source/model routing
- Per-source concurrency caps with queueing, exponential backoff, AUTO failover
- OpenAI-compatible API: chat completions, SSE streaming, image generations, models
- Gateway key auth, web UI for adapter/source management, runtime persistence
- e2e test running the real binary against mocked upstreams
2026-08-05 15:25:47 +08:00
