 Sakurasan
|
e3ff0d3329
|
security: 会话可撤销与认证面加固
- users 加 token_version（schema v4）：改密/登出递增，该用户全部已发 access/refresh 立即作废；refresh 改轮换式换发新 cookie
- 邀请码改精确匹配 + 注册成功后消费（一码一用），修复子串匹配让任意后缀放行、可无限薅体验金
- 生产校验拦下 .env.example 占位密钥；OT_ENV 枚举校验（拼错不再静默跳过断言）；生产强制 COOKIE_SECURE；非 development 拒绝默认密码播种管理员
- WebAuthn 会话启用过期校验 + 4096 容量上限（未认证 login/begin 可无限撑爆内存），begin/complete 挂登录级限速
- /api/v1 挂 1MB 请求体上限；login 先限 IP 桶再解析 body；全局安全响应头 + CSP
- 连接池配置（PG 30/SQLite 8）；SQLite DSN 自动追加 WAL + busy_timeout（驱动只认 _pragma，旧注释的 _journal_mode 写法不生效）
|
2026-10-29 02:56:46 +08:00 |
|
|
Sakurasan
|
c39c3e7da4
|
feat: 补齐上游细节、渠道观测与模型定价元数据
- 上游 429 的 Retry-After 转成渠道冷却时长（夹在 10 分钟内；比默认值短则不缩短，
否则 1s 就把坏渠道放回轮转）。失败计数改由 proxyOne 就地报——只有它读得到响应头。
- 故障转移时间预算 OT_PROXY_FAILOVER_BUDGET（默认 30s）：只约束第二个及以后的渠道，
首个不受限（长回答本就要跑几分钟），但坏渠道不再把客户端拖到 N×timeout。
- 流式空闲心跳 OT_PROXY_STREAM_HEARTBEAT（默认 15s）：补一行 SSE 注释 `: ping`，
防止 nginx/Cloudflare 的空闲超时掐掉长思考。心跳与正文共用一把写的锁，
gin 的 ResponseWriter 不是并发安全的；注释行不进转换也不计费。
- 渠道观测：GET /api/v1/admin/channels/stats?window=5m|1h|6h|24h|7d 聚合请求量、
成功率、P50/P95/max 延迟、成本与 top_errors；分位只取成功样本，canceled（客户端
主动断开）不计入渠道错误率。渠道页桌面表格加「近N小时」列、移动端加同内容条，
顶部可切窗口。
- 修一个让统计瞎掉的归因问题：全部渠道失败时 recordError 传的是 nil，
usage_logs 里 channel_id=0，这类失败在渠道维度完全看不见。改为归到最后一个
真正试过的渠道。
- 模型定价与元数据：Model 新增 cache_write_price（0 则回退输入价×1.25，可显式配
Anthropic 1h 的 ×2）、context_length 与 supports_tools/vision/reasoning；
finishUsage 走 CacheWritePriceOr()。/v1/models 叠加用户与密钥白名单过滤
（原来会把限制外的模型名直接泄漏在列表里）并返回元数据，价格不外泄。
- /v1/models 的 Anthropic 分支原是死代码：协议只按路径判，而两种客户端共用这个路径。
改为按 x-api-key / anthropic-version 头判，OpenAI SDK 从不发这两个头，互不影响。
- NewGateway 的十个位置参数换成 Options 结构体（三个 Duration 两个 int，传错编译期发现不了）。
新增 6 个用例：Retry-After 两种写法与夹顶、重试预算截止、空闲心跳出帧、
/v1/models 过滤与双形状、缓存写价两条路径、失败归因。
|
2026-10-17 04:09:39 +08:00 |
|
|
Sakurasan
|
ad10bdc400
|
security: 补上认证面与输入边界的四处防护
链路功能已经跑通，缺的是边界。这几处默认值都是仓库里公开已知的，忘配就等于没有认证。
- 认证端点限速：/auth/login、/auth/register 此前完全没接限速器（Limiter 只挂在代理
Auth 上），爆破与批量建号零成本。新增 AllowWindow 滑动窗口，登录按「单 IP」和
「单 IP×账号」两个桶（默认 30/min、10/min），注册按 IP（5/min）且在 argon2 之前拦，
避免光靠建号请求打满 CPU；超限返回 429 + Retry-After。
- 生产启动断言：env=production 时拒绝默认 OT_JWT_SECRET、缺失或短于 16 字节的
OT_MASTER_KEY（缺失时 NewEncryptor 会用 sha256("") 派生，渠道密文可被公开还原）、
默认管理员密码；一次列全所有问题，不再改一个试一个。development 不拦。
- 请求体上限：parseBody 原来全量 io.ReadAll 且全项目没有一处 MaxBytesReader，
合法密钥可把任意大 body 整份压进内存再转发。/v1 组挂 BodyLimit（默认 32MB，
OT_PROXY_MAX_BODY_MB），超限按客户端协议返回 413 request_too_large 并点名上限。
- CORS：不再无条件反射 Origin + Allow-Credentials: true——那唯一挡住跨站凭据读取的
是 refresh cookie 的 SameSite=Lax，改成 None 就立刻变成窃取面。改为显式白名单，
空白名单完全不发跨域头（同源部署与 vite proxy 本来就不需要），通配 * 不配凭据；
允许头补上 X-Api-Key / Anthropic-Version / OpenAI-*，否则浏览器里跑官方 SDK 预检会挂。
- 配套 OT_SERVER_TRUSTED_PROXIES：不配置就不信 X-Forwarded-For（防伪造头绕过 IP 限速）。
顺手删掉 .env.example 末尾重复的 OT_PROXY_LOG_RAW 段。
|
2026-10-17 03:25:30 +08:00 |
|
|
Sakurasan
|
d4c5263f1e
|
feat: 运行期渠道冷却可见并可手动恢复
运行期冷却只存在网关进程内存里，DB 的 health_status 看不见它：渠道被踢到
30s 冷却后，管理后台仍显示 healthy，模型也照常出现在 /v1/models，但请求
返回 503 no_channel，管理员只能去翻日志。
- channel.Service 增 RuntimeState（连续失败次数 + 冷却剩余）与 ClearRuntime；
Gateway 包装出 ChannelRuntime / RecoverChannel 供管理端调用。
- GET /api/v1/admin/channels 每项返回 runtime_fails 与 cooldown_seconds。
- 新增 POST /api/v1/admin/channels/:id/recover：清运行期冷却与失败计数，并把
探测写的 health_status 置回 healthy；不改 enabled，上游若真挂着，下一次探测
或再连续 3 次请求失败会重新把它踢掉。
- 渠道页健康列下方显示「冷却中 Ns」/「连续失败 n/3」，仅在冷却或探测不健康时
出现「立即恢复」按钮（卡片与桌面表格两套布局都覆盖）。
仍未处理：冷却到期是裸恢复、没有 half-open 试探；计数是进程内的，多实例各自
为战，要共享得等 Redis 那一步。
|
2026-10-17 01:19:03 +08:00 |
|
 SakurasanandClaude
|
eac6938baa
|
服务: SPA 缓存策略修复重建后首页黑屏
- index.html 设 Cache-Control: no-cache，避免浏览器启发式缓存保留引用已删除 chunk 的旧 HTML
- /assets/*（文件名含内容 hash，不可变）设 immutable 长缓存，减少回源
Co-Authored-By: Claude <noreply@anthropic.com>
|
2026-08-17 20:30:17 +08:00 |
|
|
SakurasanandClaude
|
4137b6fe20
|
渠道: 远程候选按渠道过滤 + key 掩码 + 移除批量导入端点
- 远程模型候选只排除本渠道已允许的模型，同名模型可被多个渠道各自允许
- 渠道 key 掩码统一 xxxxxxx******Mq4Y（保留前 7 位与后 4 位）
- 移除已弃用的批量导入端点 POST /channels/:id/models/import
Co-Authored-By: Claude <noreply@anthropic.com>
|
2026-08-16 18:55:05 +08:00 |
|
|
SakurasanandClaude
|
db83972b6f
|
渠道: 分协议 Base URL + 模型抽屉/远程拉取/操作图标
- 渠道支持分协议 base_url(chat/responses/messages 各一), 网关按协议选 base 直通
(如智谱三种格式不同 base, 一个渠道即可), UpstreamURL 按 proto 拼接
- 渠道模型改为下方抽屉: 当前绑定列表(内联改上游/解除)、从接口拉取(remote 预览+勾选添加)、手动添加
- 新增 /channels/:id/models/remote 预览接口; 操作按钮加 Phosphor 图标
- 修复 formats jsonb 更新未序列化问题; 手机端渠道卡片化
Co-Authored-By: Claude <noreply@anthropic.com>
|
2026-08-16 04:31:28 +08:00 |
|
|
SakurasanandClaude
|
9324a782d5
|
Passkey: 账户设置绑定 + 免密登录(WebAuthn)
- 引入 go-webauthn, Passkey 表存凭据, challenge 会话内存存储(带过期)
- API: /webauthn/register|login begin/complete, /webauthn/passkeys 列表/删除
- 配置 OT_WEBAUTHN_RP_ID/RP_ORIGIN/RP_NAME;登录成功发 JWT+refresh cookie
- 前端 lib/webauthn(编解码+凭据序列化+安全上下文检测), 账户设置绑定区, 登录页免密按钮
- 需 HTTPS 或 localhost(安全上下文)
Co-Authored-By: Claude <noreply@anthropic.com>
|
2026-08-16 02:00:08 +08:00 |
|
|
SakurasanandClaude
|
b365779188
|
模型限制: 系统配置全局开放/禁止 + 用户级限制 + 网关拦截
- User 新增 allowed_models/denied_models(用户级模型限制)
- 系统配置 model_allowlist/model_denylist 全局策略, 保存即时失效网关缓存
- 网关 checkModelAllowed: 用户级 > 全局(禁止命中→403, 白名单非空→仅白名单)
- 三个协议处理器均校验, 错误按客户端协议格式返回
- 配置页"模型限制"卡片(全局允许/禁止多选); 用户编辑支持允许/禁止模型
Co-Authored-By: Claude <noreply@anthropic.com>
|
2026-08-16 01:34:12 +08:00 |
|
|
SakurasanandClaude
|
4d4d09ba58
|
渠道: 模型名称映射(网关生效 + 渠道侧管理)
- 候选渠道携带 upstream_model, prepareUpstream 改写请求体 model 字段为上游名
- 新增渠道视角绑定 CRUD: GET/POST/PATCH/DELETE /admin/channels/:id/models
- 前端渠道页新增"模型映射": 列出绑定、内联改上游名、解除、添加
- rewriteModel 三种协议通用(model 均在顶层)
Co-Authored-By: Claude <noreply@anthropic.com>
|
2026-08-16 00:09:01 +08:00 |
|
|
SakurasanandClaude
|
a8e2cd214c
|
账户: 修改密码接口 + 账户设置页
- 后端 POST /auth/password: 校验旧密码(argon2id)后重哈希更新
- 前端 /console/settings 账户设置页: 个人资料卡 + 修改密码表单
Co-Authored-By: Claude <noreply@anthropic.com>
|
2026-08-15 20:55:45 +08:00 |
|
|
SakurasanandClaude
|
d0bc28a4fe
|
渠道: 移除主页/favicon 特性, Base URL 可选+完整地址
- 回退渠道 homepage/favicon 字段与代理接口(未采用)
- Base URL 改为可选: 留空按供应商默认(openai/anthropic),
兼容兼容型渠道必须填; 填完整地址(含 /v1)时归一化去尾
- 网关 upstreamURL 兜底去 /v1, 避免路径重复
Co-Authored-By: Claude <noreply@anthropic.com>
|
2026-08-15 20:55:17 +08:00 |
|
|
SakurasanandClaude
|
4f92d7e0a4
|
渠道: 新增主页字段 + 表格展示 favicon
- Channel 新增 homepage 字段(渠道主页)
- 后端 /admin/channels/:id/favicon 代理抓取 {homepage}/favicon.ico, 内存缓存 1h;
服务端抓取可解析 localhost/内网主页, 避免浏览器跨域
- 前端渠道表单加"渠道主页"输入; 表格新增主页列(favicon + 域名), 加载失败回退灰色地球图标
- mock 上游提供 /favicon.ico 演示
Co-Authored-By: Claude <noreply@anthropic.com>
|
2026-08-15 17:01:45 +08:00 |
|
|
SakurasanandClaude
|
4846db9293
|
M3 收尾: 限流/配额 + 前端骨架屏 + 单端口托管前端
- ratelimit(内存计数): 密钥级每日请求数/Token 配额、用户级每秒速率
(OT_RATELIMIT_USER_RPS), 超限返回 429
- 网关 Auth 前置配额/限流检查, finishUsage 累计密钥 token 用量
- 前端 Skeleton 组件 + Dashboard/管理总览加载态
- Go 服务托管 web/dist 静态资源(SPA 回退), 单端口即可访问前后端
Co-Authored-By: Claude <noreply@anthropic.com>
|
2026-08-15 16:13:09 +08:00 |
|
|
SakurasanandClaude
|
ec4de8d913
|
M0-M4: 推倒重来基线(基建+用户/密钥/核心代理+前端+管理后台+三协议互转)
- 后端 Go+Gin+GORM: 配置(OT_ env)/SQLite/Postgres 双驱动、用户体系(argon2id+JWT access/refresh)、
API Key(sk- 48位, 仅存 SHA-256 哈希)
- 代理网关: /v1/chat/completions、/v1/responses、/v1/messages、/v1/models;错误按客户端协议返回
- 三协议互转(convert 包): Chat↔Messages↔Responses 请求/响应 + 流式 SSE 逐事件转换(直通优先)
- 用量计费: 异步批量记账、余额扣减、balance_logs、usage_daily 日聚合
- 管理 API: 用户/渠道 CRUD+测试+模型导入/模型定价+绑定/统计/系统配置
- 前端 Vue3+TS+Tailwind(taste-skill 设计 tokens): Landing/登录注册/控制台/管理后台,
自建组件+Phosphor 图标+自建 SVG 趋势图, 已过 web-design-guidelines 复查
- mock 上游: OpenAI+Anthropic 双协议模拟(含流式)
Co-Authored-By: Claude <noreply@anthropic.com>
|
2026-08-15 15:34:06 +08:00 |
|
|
Sakurasan
|
360c6b33a6
|
M0+M1: 基建 + 用户/密钥/核心代理
后端 (Go/Gin/GORM):
- 配置(viper+env)、SQLite/Postgres 迁移、argon2id、AES-GCM 渠道密钥、JWT+refresh cookie
- 用户注册/登录/刷新/登出、API Key CRUD(仅存哈希、明文一次展示)
- 代理网关: /v1/chat/completions、/v1/responses、/v1/models 直通 OpenAI 渠道
非流式+流式(SSE 零缓冲转发), 用量捕获(chat 末块/responses completed 嵌套),
OpenAI 错误格式(401/402/404/502), 余额检查
- 异步批量记账 + 余额流水 + 日聚合, admin 用户/余额/配置 API
- 单测: crypto/jwt/apikey/流式 usage 提取
前端 (Vue3+TS+Vite+Tailwind v4):
- taste-skill 设计 tokens: 深色仪表盘, 石墨+信号铜色, Outfit+JetBrains Mono
- Landing/登录/注册, 控制台(仪表盘图表/密钥管理/用量明细)
- 基础组件 Button/Input/Badge/Modal, ECharts 用量图
部署: docker-compose(nginx+api+postgres), 双 Dockerfile, nginx SSE 反代
联调: scripts/mockupstream 本地 mock 上游, 端到端验证通过
|
2026-08-15 13:10:47 +08:00 |
|