mirrors2/openteam
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
108 Commits 2 Branches 0 Tags
117e03673b6597e2171942b8051a763b44385485
Commit Graph
108 Commits
This Branch
This Branch
All Branches
Author SHA1 Message Date
Sakurasan 117e03673b perf(sqlite): 写事务改 immediate + synchronous=NORMAL，单 worker 批 64 
上一轮发现「多 worker 在 SQLite 上更慢」，这轮把它当成一个可调优问题重新测：

基准（2000 条记账、暖机后跑稳态，同一台机器反复 3 次取分布）：
- 默认 deferred 事务 + batch 32：11k–20k rows/s，抖动极大（并发写升级锁失败触发
  SQLITE_BUSY 重试，这正是之前 p99 飙到 19–34ms 的原因）
- _txlock=immediate + batch 32：28.2–28.5k rows/s，抖动收敛
- _txlock=immediate + batch 64 + synchronous=NORMAL：29.7–30.1k rows/s，波动 <1%
- 同样配置下 2 个 worker：7.7k–16.7k，仍更差（SQLite 只有一个写者）

因此：
- store.withSQLitePragmas 增加 _txlock=immediate 与 _pragma=synchronous(NORMAL)；
  immediate 让写事务在 BEGIN 就取写锁，消除升级冲突；NORMAL 是 WAL 下的标准配置，
  提交不再逐次 fsync（代价：断电可能丢最后一个事务，已在注释里写明）。
- 记账批大小按驱动区分：SQLite 单 worker 用 64，PG 保持 32。
- 保持 SQLite 单 worker（数据不支持多 worker）。

端到端复测（16 并发、mock 上游）：p50 649µs→548µs、p99 2.32ms→1.60ms、
RPS 21.2k→24.9k；对比本轮开始前的 18.7k/2.2ms 亦有改善。

验证：go vet、go test ./...、go test -race（usage/proxy/store）全绿。
 2026-10-30 16:08:55 +08:00
Sakurasan f1181150aa perf: 亲和表分片、记账按驱动并发、访问日志与原始体控量 
继续上一轮性能改造的剩余项：

- 会话亲和表分 16 片（原来一个全局 mutex，每个请求都要走一遍），
  键改为内联 FNV-1a 的 64 位摘要（原先是拼接字符串 + hex，每请求两次分配），
  请求路径上零分配；新增键稳定性/无分配/分片并发测试。
- 记账落库按驱动自适应并发：Recorder 按用户分片到多个 worker（同一用户恒定
  同片，流水顺序不变）。SQLite 只有一个写者，实测 4 worker 会互相抢锁把
  p99 拖到 19–34ms，所以 SQLite 固定 1 个、PostgreSQL 用 4 个。
  新增多分片落库与顺序测试（用显式 worker 数在 SQLite 上验证语义）。
- 访问日志：每请求一次 log.Printf 直写 stderr，高 QPS 下是系统调用热点；
  改为 64 KiB 缓冲 + 每秒 flush（写/flush 互斥，-race 已验）。
- 原始体控量：LogRaw 落库的请求体截到 256 KiB、响应体截到 1 MiB 并标注原始
  体积，避免单条日志几十 MB 拖慢 usage_logs 查询与备份。
- 渠道加权随机选路从 crypto/rand + big.Int 换成 math/rand/v2 的 IntN，
  去掉每请求的系统调用与两次分配。

跳过的两项与原因：
- 「PG 下把 model 目录查询合并成一次 JOIN」：目录已缓存 10s，冷路径每模型
  10 秒才走一次，合并收益接近 0。
- 「每流一个 heartbeat goroutine」：Go 的 ticker 成本很低，千级并发流仍在
  可接受范围，改动收益不抵风险。

实测（16 并发、mock 上游、SQLite）：p50 679µs→558µs、p99 2.6ms→2.2ms、
RPS 18.7k→23.9k。验证：go vet、go test ./...、-race（proxy/channel/usage）全绿。
 2026-10-30 14:25:10 +08:00
Sakurasan 8c12207478 perf: 目录缓存与流式正文快路径，请求热路径开销减半 
按性能分析逐项落地，实测对比（16 并发、mock 上游零延迟、SQLite）：

- 每请求 SQL 10 → 2：模型/渠道目录（模型行、绑定、渠道行）进程内缓存 10s，
  运行期状态（冷却、健康）仍每次实时判定；管理端写操作经中间件、
  健康状态变化经回调立即失效。新增 TestProxyRequestSQLBudget 钉住预算。
- 端到端 p50 1.3–1.6ms → 0.66–0.70ms，RPS 3.5–8.9k → 16–18k。
- 流式正文累积：字符串 += 改 strings.Builder（原为 O(n²)），
  逐行 JSON 提取改字节快路径，并加廉价的子串预过滤、拿到输出 usage 后停累积。
  500 块：949µs/7.9MB 分配 → 83µs/136KB。
- 请求体定点改写：模型映射从整包 unmarshal/marshal 改为顶层字段替换
  （100KB：585µs → 29µs），stream_options 注入同理；requestText 改为
  只在「上游没报用量」时按需提取，亲和键改用原始体前缀。
- 渠道满载背压：新增 Acquire 有界排队（OT_PROXY_CHANNEL_ACQUIRE_WAIT，
  默认 150ms）；排队仍满时返回 503 + Retry-After 而不是 502。
  实测渠道上限 4、16 并发：无排队 81 次 503；排队 150ms 后 400/400 成功。
- 记账按批聚合：同批同用户一次扣款、流水批量插入、日表按 (user,model,日期)
  聚合，替代每行 5 条语句；幂等仍靠 ref_id 唯一索引兜底。
- gorm 开启 PrepareStmt（SQL 解析此前占 CPU 15%）；tiktoken 编码器按模型复用。
- 管理端用量列表不再返回原始请求/响应体（可能几十 MB），
  改为 has_raw 标记 + GET /admin/usage/:id 按需拉取，前端弹窗打开时取。

验证：go vet、go test ./...、go test -race（proxy/channel/usage/tokenizer）、
vue-tsc、eslint、vite build 全绿；本地起 mock 上游实测列表/详情接口与
管理页弹窗按需加载。
 2026-10-30 14:14:21 +08:00
Sakurasan d34d9bd2e6 feat(web): 用量明细展示缓存读/写与上游实际模型，补 1h 缓存写与思考口径 
API：/api/v1/usage/logs 与 /api/v1/admin/usage 返回 cache_creation_tokens、
reasoning_tokens、cache_write_1h_tokens、served_model（types.ts 同步可选字段）。

前端：
- 模型列在被模型映射/聚合商改写时显示「→ 上游实际模型」，长名截断并可悬浮看全；
- 表格里 Token 列第二行显示缓存读/写（与成本直接相关），1h 缓存写与思考 token
  放悬浮提示——两者直接上表格会把 Token 列撑到 255px，1280 宽下把「时间/原始」
  挤出视野（实测 1146px vs 容器 1006px）；移动卡两行都显示；
- 用量表协议列由 chat/completions 简化为 chat（表头已标明「API 格式」），
  时间列改月-日 时:分、完整时间进 title；调整后桌面端表格宽度 1006px，
  与容器一致、无横向滚动；
- 顺带修复控制台用量页 Button 未导入（上一页/下一页此前渲染不出来）。

验证：本地 mock 上游 + 临时 sqlite 实例与真实数据实测；1280 桌面与 390 窄屏
截图核对（表格 tableW == 容器宽度）；vue-tsc、vitest、eslint、vite build 与
go vet、go test ./... 全绿。
 2026-10-30 13:53:25 +08:00
Sakurasan 04dfb4285d feat: 会话亲和粘住缓存渠道；透传 opaque 字段；用量记思考/1h 缓存写/实际模型 
会话亲和（proxy/affinity.go）：同一会话粘住上次应答的渠道，命中上游提示词
缓存而非被加权随机打散后全价重算。会话身份 = 密钥 + 模型 + 请求文本稳定前缀
摘要，不依赖各客户端会话头；TTL 默认 5m（OT_PROXY_AFFINITY_TTL，0=关闭），
成功应答刷新。亲和渠道必须在候选集内（健康/未冷却/绑定），否则回退加权随机。
proxyOne 增加 served 返回值区分「应答成功」与「已终结但失败」。

opaque 透传（convert）：chat↔responses 互转原样携带 metadata、service_tier、
parallel_tool_calls。此前逐字段重建请求体会丢它们，而中转上游会校验/使用。

用量细化（proxy+store）：usage_logs 新增 reasoning_tokens（展示口径，不重复
计费）、cache_write_1h_tokens（Anthropic 1h 缓存写按 2× 输入价，此前统一
1.25× 少算 60%）、served_model（上游实际应答模型，映射/聚合商场景对账）。
schema v6→v7。

验证：go vet ./... 干净；go test ./... 与 go test -race ./... 全绿；
新增测试覆盖亲和粘性与冷却回退、opaque 双向透传、reasoning 不重复计费、
1h/5m 缓存写分开计价、served_model 提取（非流式与流式）。
 2026-10-30 11:41:51 +08:00
Sakurasan e7f8a5e5ad fix(web): 渠道冷却是按原因分类的，提示不再写死「连续失败 X/3」 
后端冷却策略已改成按失败原因区分（余额/配额类首次失败即冷却 30 分钟，其余按连续
进冷却次数指数退避 30s→60s→120s 封顶 10 分钟），前端还停留在「满 3 次进冷却 + 原始
秒数」的旧假设上，管理员看到的提示与真实状态对不上。

- Channel 类型补 cooldown_reason（network | server_error | rate_limited | quota_exhausted）
- 冷却提示带失败原因；配额类额外提示「需充值或换 key」——唯一重试不会自愈的场景，
  应当让管理员直接处理而不是等 30 分钟再看
- 连续失败提示去掉硬编码的 /3（触发阈值随原因变化）
- 新增 fmtDur：1800 → 30m、5400 → 1h30m，替代直接显示秒数（附 4 组用例）
 2026-10-30 02:48:59 +08:00
Sakurasan 979973ddde feat: 流式首包缓冲容错（hold）与失败分类冷却 
流式请求在首个内容事件到达前由网关缓冲（借鉴 magpie 的 holdWriter）：上游的错误
事件、空流、断连、协议形态不符（要流给了整包）都在放行前换渠道消化，客户端无感知。
扣住期间照常发 SSE 注释心跳；缓冲超过 1MB 直接放行退化为普通转发，判定失效不吞正文。

- 新增 proxy/hold.go：streamHold（缓冲/放行/心跳/首 token 计时与放行互斥）、
  sseEventHasContent（chat/messages/responses 三种协议的内容判定）、
  sseUpstreamError（200+流式形式的错误事件识别）、classifyUpstreamError +
  quotaSignals（余额/配额特征识别）
- 非流式改为先读完整响应再写头：读失败（网络错误/超时）发生在写出之前，可换渠道
  重试；此前先写 200 头再读，超时只能给客户端留一个 200 空响应
- 协议形态校验：要流却给了整包（didNotStream）按失败换渠道，反复如此的渠道会被
  健康计数剔除
- 记账：每次尝试独立 trySink，只有成功走到 EOF 才并入请求级 sink——失败渠道的
  message_start 用量不计入账单
- 冷却按原因分类（channel.FailKind）：余额/配额类第一次失败即冷却 30 分钟（429 不
  一定是限流，智谱 429「余额不足」也在此列）；其余按连续进冷却次数指数退避
  30s→60s→120s，封顶 10 分钟；短于退避值的 Retry-After 不再缩短冷却
- 新增 OT_PROXY_FIRST_TOKEN_WAIT（默认 0=不限）：放行前等内容的最长时间，超时即
  取消本次尝试换下一个渠道
- 渠道列表接口返回 cooldown_reason，后台可区分「限流」与「余额耗尽」
- 测试：hold 缓冲/放行/心跳、内容与错误事件判定、失败分类与指数退避、容量热生效
- docs/magpie-plugin-mechanism.md：参考实现的插件机制调研
 2026-10-30 02:43:23 +08:00
Sakurasan d357134e97 fix: 修 Docker 构建失败，compose 补上生产必需的 OT_JWT_COOKIE_SECURE 
- pnpm 11 默认拒绝发布不足 1 天的依赖（供应链策略），锁文件里
  tailwind v4 的 @csstools 传递依赖会踩中，导致镜像构建失败且
  pnpm build 的 run 前自检（隐式 install）还会再次踩中。pnpm 11
  该配置只认 pnpm-workspace.yaml（.npmrc/ENV 均不生效），在
  web-builder 阶段写入 minimumReleaseAge: 0；frozen-lockfile +
  --ignore-scripts 两道闸仍在，放开无风险
- config.validate 的生产 fail-fast 要求 refresh cookie 必须 Secure，
  compose 漏配 OT_JWT_COOKIE_SECURE 导致新镜像启动即被拒绝
 2026-10-30 02:20:57 +08:00
Sakurasan 854d0f5d8c feat(web): 接入 ESLint 与 vitest，TrendChart hover 读数 
- ESLint（flat config，vue essential + ts recommended）接入并清零：
  webauthn.ts 标注为刻意的动态类型边界（文件级豁免），theme-init.js
  修掉未用的 catch 变量
- vitest + jsdom 接入，build 前置跑测试；覆盖 format 工具、auth store
  （token 只存内存、bootstrap 恢复、遗留键清理）、client.ts 401 拦截器
  single-flight（自定义 axios adapter 模拟 401→refresh→重放）
- TrendChart：hover 命中区盖满槽位（窄条也可悬停），读数显示在头部行，
  标签行联动高亮
- auth store bootstrap 顺手清理旧版 localStorage 遗留的 access token 键
 2026-10-30 02:04:02 +08:00
Sakurasan 263bfb7845 chore: gofmt 对齐（远端提交带入的未格式化文件） 2026-10-30 01:42:54 +08:00
Sakurasan dfe31b5b4f fix(web): 仪表盘 curl 示例模型名改用真实可用模型 
硬编码的 gpt-test 让快速开始示例照抄必失败。并发拉取 /user/models
取第一个可用模型，拿不到时退回占位符。
 2026-10-30 01:42:24 +08:00
Sakurasan 7dce4cadde test: keys CRUD 的 HTTP 级测试 
覆盖完整生命周期（明文一次性返回、列表不泄漏明文、改配额、删除）
与用户隔离（跨用户 patch/delete 返回 404 不泄漏存在性）。
SessionAuth 以桩替换，专注 handler 语义。
 2026-10-30 01:42:23 +08:00
Sakurasan 99829ef745 perf: 代理鉴权复用用户查询，last_used_at 按分钟节流 
- Auth 加载的完整用户放进上下文，resolveUser 直接复用，省掉每请求
  一次重复的 users 查询
- last_used_at 是纯展示字段，改为距上次更新满一分钟才写，高 QPS 下
  每请求一次 DB 写降到每密钥每分钟至多一次
 2026-10-30 01:42:23 +08:00
Sakurasan 9d3648ffe7 fix: 限流日计数与用户速率窗口的条目回收 
reqDaily/tokDaily/userHits 此前只增不减：停用密钥与久未活动用户的
条目长期堆积。超过阈值时在代理热路径清扫——旧日期的日计数条目
（下次使用本就清零）与窗口内无命中的用户条目直接删除。
 2026-10-30 01:42:22 +08:00
Sakurasan bb20ebbed0 perf: 渠道 MaxConcurrency 改配置后排空热生效，无需重启 
信号量条目带上容量，TryAcquire 发现容量变更且旧槽已排空时就地换新。
release 闭包持有旧 chan，换新后在途请求释放进旧槽是无害的。
 2026-10-30 01:42:22 +08:00
Sakurasan a3197e2146 fix: 记账同一 trace 防重复扣款 
流水 ref_id 有唯一索引，但扣款本身没有：重试/重复 flush 场景下
同一 trace 会被重复扣钱。billUser 扣款前先查 ref_id 是否已存在。
在远端记账重写基础上合并防重检查与测试。
 2026-10-30 01:21:43 +08:00
Sakurasan 6cb840718f fix: Pick 限最高优先级层加权随机，接入绑定级权重，修 loadBound 顺序丢失 
- Pick 只在最高 priority 层内加权随机：低优先级渠道此前可能在首选
  渠道健康时被随机打中，priority 只体现在故障转移顺序上
- 均衡权重 = 绑定级 Weight × 渠道级 Weight：绑定表 weight 字段此前
  存而不用；乘法合成使默认绑定权重 1 时等价纯渠道权重
- loadBound 原按绑定记录返回顺序输出候选，丢掉了 SQL 的 priority
  ASC 排序，绑定渠道的故障转移顺序实际是随机的
- 新增两个测试锁定优先级层与权重语义
 2026-10-30 01:21:41 +08:00
Sakurasan 57134d2af2 fix: 健康探测对 Anthropic 渠道补发 x-api-key 与 anthropic-version 头 
官方 Anthropic API 只认 x-api-key，之前只发 Bearer 会让 Anthropic 渠道
持续探测失败被误进 cooldown、流量归零。两个认证头并存互不干扰。
 2026-10-30 01:21:39 +08:00
Sakurasan 1f8af649ca fix: 收尾 P2——登录恒定耗时、AdminUsage N+1、用量索引重塑与时区缝 
- 登录失败路径补 argon2 恒定耗时校验（用户不存在/被禁用与密码错误的时序不可区分，抹掉用户名枚举面）
- AdminUsage 每行 2 次查询改批量预取（100 行分页省 200 次查询）
- usage_logs 补 key_id 索引与 (user,created)/(channel,created) 复合索引（schema v6）；AutoMigrate 按名跳过已存在索引，旧库的复合索引需一次性删掉重建，用 system_configs 打标记防 PG 每次启动重演
- 用量统计默认窗口改 UTC（usage_daily 的 date 键是 UTC，非 UTC 服务器上图表窗口偏移一天）
- 注册 email 大小写归一；并发撞唯一索引回查后返回 409 而非 500
- PatchKey 的 name 校验与 CreateKey 对齐（1-64 字符），PATCH 不再能绕过
- TrendChart 条宽不超过槽位（点数多时不再互相重叠），超过 32 个点隐藏标签行
 2026-10-29 03:05:56 +08:00
Sakurasan 4df2506a74 fix(web): access token 移出 localStorage；401 刷新 single-flight 并跳登录页 
- access token 只存内存：XSS 拿不到持久凭据；刷新页面由 bootstrap 用 HttpOnly refresh cookie 静默换新；bootstrap 并发去重
- 并发 401 共享一次刷新（refresh 已是轮换式，各自刷新会互相踩）；会话失效自动回登录页
- 防主题闪烁内联脚本挪到外部 theme-init.js（配合 CSP script-src 'self'）
- 修 console 用量页与管理用户搜索的查询参数未编码；极小金额不再显示科学计数法；渠道表单数字输入清空后省略字段而非提交 0（权重 0 的渠道永远选不中）
- 改密成功后主动清会话回登录页（后端已递增 token_version，当前会话已作废）
 2026-10-29 02:56:52 +08:00
Sakurasan e3ff0d3329 security: 会话可撤销与认证面加固 
- users 加 token_version（schema v4）：改密/登出递增，该用户全部已发 access/refresh 立即作废；refresh 改轮换式换发新 cookie
- 邀请码改精确匹配 + 注册成功后消费（一码一用），修复子串匹配让任意后缀放行、可无限薅体验金
- 生产校验拦下 .env.example 占位密钥；OT_ENV 枚举校验（拼错不再静默跳过断言）；生产强制 COOKIE_SECURE；非 development 拒绝默认密码播种管理员
- WebAuthn 会话启用过期校验 + 4096 容量上限（未认证 login/begin 可无限撑爆内存），begin/complete 挂登录级限速
- /api/v1 挂 1MB 请求体上限；login 先限 IP 桶再解析 body；全局安全响应头 + CSP
- 连接池配置（PG 30/SQLite 8）；SQLite DSN 自动追加 WAL + busy_timeout（驱动只认 _pragma，旧注释的 _journal_mode 写法不生效）
 2026-10-29 02:56:46 +08:00
Sakurasan d6db0f8162 feat: 补齐三个方向的流式工具调用；Anthropic 上游走 x-api-key；禁用模型真正下架 
- 流式转换补齐 chat→responses / responses→chat / messages→responses 的工具调用（此前只转文本，SDK 客户端拿不到 tool_calls）；completed 事件携带完整 output 数组
- Anthropic 协议上游同时发 x-api-key（官方 API 不接受 API key 走 Bearer）并透传 anthropic-beta
- 请求侧校验模型存在且启用：禁用模型 404 model_not_found，不再只是从 /v1/models 消失、实际照发照扣费；空模型名 400
- 模型在请求中途被删时按 0 记账留痕，不再按硬编码示例价扣用户的钱
- finishUsage 新增一行式请求日志（trace/user/model/channel/tokens/cost/status/latency），记账是异步的，日志是唯一即时排障依据
 2026-10-29 02:56:37 +08:00
Sakurasan 984a31cbc5 fix: 记账可靠性——关停排空队列、失败重试、扣费不再静默；余额改 SQL 原子递减 
- Recorder.Close 改为停止接收+排空残留，channel 不再 close（杜绝 send-on-closed panic），Close 后的 Record 走同步落库
- flush 瞬时 DB 错误重试 3 次，不再整批丢弃；事务内扣费/流水/日聚合失败一律打日志，明细与扣费不再静默脱节
- 扣费与管理员调余额改 SQL 侧原子加减（SQLite 驱动不支持 FOR UPDATE，读-改-写并发会丢扣费）；调余额 ref_id 改纳秒不再撞唯一索引
- 最后一个启用的管理员不可被降级/禁用（管理面锁死后 reset-admin-password 救不回）
 2026-10-29 02:56:31 +08:00
Sakurasan 7c597a6aa0 fix: 补上漏掉的 schema 版本号，修好渠道添加模型失败 
c39c3e7 给 Model 加了 cache_write_price/context_length/supports_* 等列
但没递增 schemaVersion，user_version>=2 的库直接跳过 AutoMigrate，
models 表缺新列导致 Create 失败、渠道管理添加模型报缺列错误。
bump 到 3 触发一次迁移补齐列。
 2026-10-28 15:40:03 +08:00
Sakurasan 75c8ecd519 fix: 列表页卡片与表格的切换点抬到 lg，补上用户管理的移动端视图 
手机上"溢出屏幕"的两个真因（375 / 769 / 1100 三档实测）：

- 卡片↔表格切换卡在 md(768px)，而侧栏也在 768 出现，吃掉 224px 加 48px 内边距后
  内容区只剩 495px，渠道表自然宽 1097px —— 横屏手机、小平板、分屏（768~1023）
  整张表被塞进 495px 的盒子里横向滚。改为 lg(1024px) 起才用表格；769px 实测
  可见表格数为 0、docSW 等于视口宽。
- 用户管理页只有 720px 的表格、没有卡片回退，手机上只能横向滑整张表。
  补移动端卡片（用户名/邮箱、角色与状态、ID/余额/注册时间、编辑与调余额），
  表格改 hidden lg:block；1100px 实测 client=826 / scroll=826，铺满不滚。
- 顺带修掉上次改动留下的挤列问题：渠道表"近N小时"列被表格自动布局压到 95px
  （min-w 只约束整表、不保证单列），四个指标折成 4 行。该列加 min-w-[190px]、
  指标拆两行，并把 Key 并入名称行、启用并入健康行，8 列减到 6 列
  （colspan 同步 7→6），自然宽 1125 → 1053。

编辑渠道弹窗 375px 下无溢出元素。遗留：渠道表在 1024~1325 视口仍需容器内横向滚动
（6 列数据表的固有行为，不动整页），卡片列表在 640~1023 仍是单列。
 2026-10-19 09:25:52 +08:00
Sakurasan c39c3e7da4 feat: 补齐上游细节、渠道观测与模型定价元数据 
- 上游 429 的 Retry-After 转成渠道冷却时长（夹在 10 分钟内；比默认值短则不缩短，
  否则 1s 就把坏渠道放回轮转）。失败计数改由 proxyOne 就地报——只有它读得到响应头。
- 故障转移时间预算 OT_PROXY_FAILOVER_BUDGET（默认 30s）：只约束第二个及以后的渠道，
  首个不受限（长回答本就要跑几分钟），但坏渠道不再把客户端拖到 N×timeout。
- 流式空闲心跳 OT_PROXY_STREAM_HEARTBEAT（默认 15s）：补一行 SSE 注释 `: ping`，
  防止 nginx/Cloudflare 的空闲超时掐掉长思考。心跳与正文共用一把写的锁，
  gin 的 ResponseWriter 不是并发安全的；注释行不进转换也不计费。
- 渠道观测：GET /api/v1/admin/channels/stats?window=5m|1h|6h|24h|7d 聚合请求量、
  成功率、P50/P95/max 延迟、成本与 top_errors；分位只取成功样本，canceled（客户端
  主动断开）不计入渠道错误率。渠道页桌面表格加「近N小时」列、移动端加同内容条，
  顶部可切窗口。
- 修一个让统计瞎掉的归因问题：全部渠道失败时 recordError 传的是 nil，
  usage_logs 里 channel_id=0，这类失败在渠道维度完全看不见。改为归到最后一个
  真正试过的渠道。
- 模型定价与元数据：Model 新增 cache_write_price（0 则回退输入价×1.25，可显式配
  Anthropic 1h 的 ×2）、context_length 与 supports_tools/vision/reasoning；
  finishUsage 走 CacheWritePriceOr()。/v1/models 叠加用户与密钥白名单过滤
  （原来会把限制外的模型名直接泄漏在列表里）并返回元数据，价格不外泄。
- /v1/models 的 Anthropic 分支原是死代码：协议只按路径判，而两种客户端共用这个路径。
  改为按 x-api-key / anthropic-version 头判，OpenAI SDK 从不发这两个头，互不影响。
- NewGateway 的十个位置参数换成 Options 结构体（三个 Duration 两个 int，传错编译期发现不了）。

新增 6 个用例：Retry-After 两种写法与夹顶、重试预算截止、空闲心跳出帧、
/v1/models 过滤与双形状、缓存写价两条路径、失败归因。
 2026-10-17 04:09:39 +08:00
Sakurasan ad10bdc400 security: 补上认证面与输入边界的四处防护 
链路功能已经跑通，缺的是边界。这几处默认值都是仓库里公开已知的，忘配就等于没有认证。

- 认证端点限速：/auth/login、/auth/register 此前完全没接限速器（Limiter 只挂在代理
  Auth 上），爆破与批量建号零成本。新增 AllowWindow 滑动窗口，登录按「单 IP」和
  「单 IP×账号」两个桶（默认 30/min、10/min），注册按 IP（5/min）且在 argon2 之前拦，
  避免光靠建号请求打满 CPU；超限返回 429 + Retry-After。
- 生产启动断言：env=production 时拒绝默认 OT_JWT_SECRET、缺失或短于 16 字节的
  OT_MASTER_KEY（缺失时 NewEncryptor 会用 sha256("") 派生，渠道密文可被公开还原）、
  默认管理员密码；一次列全所有问题，不再改一个试一个。development 不拦。
- 请求体上限：parseBody 原来全量 io.ReadAll 且全项目没有一处 MaxBytesReader，
  合法密钥可把任意大 body 整份压进内存再转发。/v1 组挂 BodyLimit（默认 32MB，
  OT_PROXY_MAX_BODY_MB），超限按客户端协议返回 413 request_too_large 并点名上限。
- CORS：不再无条件反射 Origin + Allow-Credentials: true——那唯一挡住跨站凭据读取的
  是 refresh cookie 的 SameSite=Lax，改成 None 就立刻变成窃取面。改为显式白名单，
  空白名单完全不发跨域头（同源部署与 vite proxy 本来就不需要），通配 * 不配凭据；
  允许头补上 X-Api-Key / Anthropic-Version / OpenAI-*，否则浏览器里跑官方 SDK 预检会挂。
- 配套 OT_SERVER_TRUSTED_PROXIES：不配置就不信 X-Forwarded-For（防伪造头绕过 IP 限速）。

顺手删掉 .env.example 末尾重复的 OT_PROXY_LOG_RAW 段。
 2026-10-17 03:25:30 +08:00
Sakurasan d4c5263f1e feat: 运行期渠道冷却可见并可手动恢复 
运行期冷却只存在网关进程内存里，DB 的 health_status 看不见它：渠道被踢到
30s 冷却后，管理后台仍显示 healthy，模型也照常出现在 /v1/models，但请求
返回 503 no_channel，管理员只能去翻日志。

- channel.Service 增 RuntimeState（连续失败次数 + 冷却剩余）与 ClearRuntime；
  Gateway 包装出 ChannelRuntime / RecoverChannel 供管理端调用。
- GET /api/v1/admin/channels 每项返回 runtime_fails 与 cooldown_seconds。
- 新增 POST /api/v1/admin/channels/:id/recover：清运行期冷却与失败计数，并把
  探测写的 health_status 置回 healthy；不改 enabled，上游若真挂着，下一次探测
  或再连续 3 次请求失败会重新把它踢掉。
- 渠道页健康列下方显示「冷却中 Ns」/「连续失败 n/3」，仅在冷却或探测不健康时
  出现「立即恢复」按钮（卡片与桌面表格两套布局都覆盖）。

仍未处理：冷却到期是裸恢复、没有 half-open 试探；计数是进程内的，多实例各自
为战，要共享得等 Redis 那一步。
 2026-10-17 01:19:03 +08:00
Sakurasan e865f69a41 fix: 修掉模型调用链路上的四处失效逻辑 
- 超时：NewGateway 里 gw_timeout*time.Second 把已是 Duration 的值二次换算，
  int64 溢出后无论 OT_PROXY_TIMEOUT 填多少都等于没有超时，渠道 timeout_ms
  也从没被读过。现在非流式用 context deadline 约束整段时长，流式只约束首包
  （Transport.ResponseHeaderTimeout），正文不限时长，长回答不会被砍。
- 断连：上游请求改用 NewRequestWithContext 绑定客户端 context，客户端断开即
  取消上游并记 canceled，不再空转生成继续付费；PATCH 已写 200 头后不再往
  响应里追加错误体。
- 白名单：APIKey.AllowedModels 以前只存不用，现在 Auth 注入 context 并参与
  判定（用户黑名单 > 密钥白名单 > 用户白名单 > 全局）。
- 选路：模型已有渠道绑定时只用绑定渠道，都不可用直接 503 no_channel，不再
  把请求发给不认识它的渠道；新增运行期健康（连续 3 次网络错误/超时/429/5xx
  进 30s 冷却，成功清零），与 60s 一次的 /models 探测互补。
- 密钥 API：PATCH 回显更新后的完整对象；限额填 0 统一视为不限制（原来
  token 配额存 0 会让密钥第一次请求就被 429 打死，而请求配额存 0 又等于
  不限制，两个字段语义相反）；前端编辑框总是提交白名单，清空能真的取消。

测试：新增 proxy 链路集成测试（超时生效、流式不被截断、断连取消并记账、
密钥白名单 403、连续 429 后候选剔除）与 channel 用例（绑定模型不退全局、
冷却阈值与到期恢复、成功清零）。
 2026-10-16 19:15:51 +08:00
Sakurasan d911881499 feat: add reset-password CLI command for any user 2026-09-07 02:33:11 +08:00
Sakurasan 2e3bb22f81 fix: use weighted random pick for load balancing instead of sequential iteration 2026-09-02 17:32:12 +08:00
Sakurasan 923ac79039 删除请求超时 2026-09-02 13:08:32 +08:00
Sakurasan 6d951a0d61 fix: sync schemaVersion to 2 matching production 2026-08-31 18:16:19 +08:00
Sakurasan 1f5f60e905 fix: move timeout migration outside schema version check 2026-08-31 18:01:33 +08:00
Sakurasan c6a4fcfbbc fix: migrate existing channels timeout_ms to 300000 2026-08-31 17:47:52 +08:00
Sakurasan 5cb428bba9 feat: increase default timeout to 5 minutes 2026-08-31 16:56:18 +08:00
Sakurasan 658a9cb580 fix: SQLite 迁移加版本锁，消除每次启动全量重建表 
GORM sqlite AutoMigrate 对已有表判定不收敛（实测已迁移库再跑
仍触发 12 次表重建），SQLite 无在线 ALTER，每次重建走
CREATE __temp + INSERT SELECT + DROP 全表拷贝；usage_logs 含
raw_request/raw_response 大文本，一轮 40~80s，生产每次重启
重演导致启动数分钟。

- 新增 schemaVersion 常量，PRAGMA user_version 记录已迁移版本
- 版本达标跳过 AutoMigrate 秒开；旧库首次升级迁移一次写版本
- postgres 不受影响（支持 ALTER，保持原行为）
- 维护约定：改表结构须递增 schemaVersion
 2026-08-29 12:46:52 +08:00
Sakurasan 3a836bf0e9 fix: curl 示例复制按钮逃逸到页头叠加在退出按钮上 
上轮移动端修复误删容器 relative，absolute 按钮向上冒泡定位到
页面顶端。加回 relative 使按钮回到代码块右上角。
 2026-08-28 21:22:40 +08:00
Sakurasan faf38e2fd3 fix: 修复移动端仪表盘横向溢出 
375px 视口下页面被撑到 763px：快速开始卡片的 curl 示例 <pre>
固有宽度沿 flex/grid 链层层撑破祖先（子项默认 min-width:auto
不可收缩，overflow-x-auto 形同虚设）。

- ShellLayout：flex-1 容器与 main 加 min-w-0 切断宽度传播（所有页面受益）
- DashboardView：快速开始卡片各块加 min-w-0，pre 的边框/背景
  移入 overflow-hidden 容器、自身横滚

Playwright 实测 375px 视口滚动宽度 763 → 375，与视口齐平
 2026-08-28 20:12:08 +08:00
Sakurasan d8257df100 fix: messages 流式缓存场景 token 记账错乱 
qwen/dashscope 等上游 messages 流式的 usage 语义：
- message_start.usage.input_tokens = 总输入
- message_delta.usage.input_tokens = 非缓存输入（缓存部分单列
  cache_read/cache_creation 字段），是最终计费口径

原 usageSink 字段级合并中 delta 的 input 覆盖 start 的 input，
总输入丢失（31790 → 8）；缓存写也未参与计费。

- push：带 cache_* 字段的 usage 视为最终口径，整体替换 sink
- finishUsage：缓存写按 1.25× 输入价计费（Anthropic 5m 口径）；
  落库 input_tokens 存总量（含缓存读/写）便于对账
- 估算兜底条件排除已有缓存计数的请求
- 回归测试：缓存写/缓存命中/chat 末块合并不回归
 2026-08-28 18:11:24 +08:00
Sakurasan cd015d370c fix: handle zero channel_id in admin usage logs 2026-08-28 16:55:08 +08:00
Sakurasan 939a98d389 feat: show channel name in admin usage logs 2026-08-28 16:40:23 +08:00
Sakurasan 0b31cc209e fix: chat→responses 转换 input 始终输出数组 
单条消息时原逻辑把 input 塌缩成单个对象，火山方舟等上游只接受
[]*InputItem 数组，直接 400（Mismatch type）。chat/messages 经
vole 渠道转换因此全挂。改为恒为数组，三种协议全矩阵实测恢复。
 2026-08-27 09:57:48 +08:00
Sakurasan 305b3ed731 refactor: 删除无用的模型展示名（display_name）字段 
该字段仅存取、从不展示：管理列表只渲染 name，/v1/models 与用户侧
均不返回它。与渠道绑定 upstream_model 的名字映射职责重叠且悬空。
- store.Model 结构体、admin CRUD、seed 数据移除 display_name
- 前端编辑弹窗输入框、表单状态、types.ts 同步移除
- 本地库已 ALTER TABLE DROP COLUMN；生产残留列无害
 2026-08-27 09:57:30 +08:00
Sakurasan 79545aa48e fix: 兼容上游 SSE data: 后无空格格式，流式记账不再 0 消耗 
火山方舟等上游流式返回 data:{...}（data: 后无空格），原解析只认
'data: '（带空格），导致 content 文本与 usage 全部漏解析：
- sseContentText 抽成 sseDataPayload，统一处理 data: 前缀
  （支持带/不带空格 + event:+data: 多行块）
- scanUsage 复用 sseDataPayload
- convert/stream.go parseLine 也支持 data:{ 无空格
- 新增回归测试覆盖无空格/带空格/多行块三种形态
 2026-08-27 01:24:30 +08:00
Sakurasan d818cf3b4c refactor: 命令树移入 internal/cli，去掉 DefaultRun 注入 
- cmd/server/cmd → internal/cli，与 internal/api、internal/proxy 平级
- serve() 移入 cli 包作为默认子命令，main.go 退化为纯入口
- 消除 cmd/cmd 冗余层级和 main → cmd 的回调注入
 2026-08-26 18:14:08 +08:00
Sakurasan 98f296101e refactor: 改用 Cobra 命令行框架，reset-admin-password 带交互提示 
- root.go 作为 Cobra 入口，DefaultRun 由 main 注入 serve()
- reset_admin.go 改为 Cobra 子命令，支持 --user/--password 参数
- 交互式：多管理员时选择目标、密码支持手动输入或随机生成（term.ReadPassword 不回显）
- 帮助输出自动生成，无需手写 Usage
- 删除旧的 flag 实现
 2026-08-26 18:03:03 +08:00
Sakurasan 2983c89b42 feat: 新增 reset-admin-password 命令行重置管理员密码 
- cmd/server 子命令分发：reset-admin-password 不启动服务
- -password 留空随机生成 16 位（去除易混淆字符），打印一次
- -user 指定目标管理员，仅匹配 role=admin
- 密码长度校验 8-72 与 API 一致，argon2id 参数取自配置
- Makefile 增加 make reset-admin-password 入口
 2026-08-26 15:57:04 +08:00
Sakurasan a45a6e16bd fix: API Key 前缀调整为 sk-ot- 2026-08-26 15:57:04 +08:00
Sakurasan c78a473e59 feat: API Key 前缀改为 sk-ot 
- apikey 包 prefix 常量 sk- → sk-ot（生成/校验/展示前缀统一驱动）
- 鉴权错误提示同步更新为 sk-ot 格式
- 测试断言改用常量，避免硬编码长度
- 前端 curl 示例与 README/PLANNING 文档同步
 2026-08-25 00:34:50 +08:00