216 Commits

Author	SHA1	Message	Date
wangjia	6f232d4043	fix(routing): 堵住 ip_cidr direct 旁路系统层 + 客户端保存失败可见提示 ... 分支审核发现两处 Important,合并前修复。 ① [安全] direct 的 ip_cidr 用户规则可自伤式旁路整条隧道: Validate 原先只校 CIDR 语法。用户提交 ip_cidr=0.0.0.0/0 action=direct (或 172.16.0.0/12,含隧道 DNS 172.19.0.2)会并入 TUN 入站 route_exclude_address(OS/auto_route 层,位于系统强制层之下),被排除的 流量根本不进 sing-box → hijack-dns 与整条隧道被静默旁路,违反「系统层 用户不可越」铁律。 - Validate: direct 的 ip_cidr 拒绝 catch-all(/0)及与保留段 172.16.0.0/12 重叠(写入闸)。 - clientconfig 渲染层:新增 routing.SafeToExclude 守卫,只有安全的 direct ip_cidr 才并入 route_exclude_address(纵深防护,兜底写入闸之前的历史坏行)。 - 测试 TestValidateDirectIPCIDRReservedGuard 钉死:拒 catch-all/隧道段重叠、 放行 proxy catch-all 与不重叠 direct。 ② [健壮性] 客户端保存失败静默回滚 + 抛未捕获异步异常 + 对话框无字段校验: _persist 失败会 rethrow(约定调用方 catch),但屏幕层所有回调 (setMode/setBuiltin/addRule/removeRule/reorder/resetToDefault)均未 catch, 规则闪现即消失、无提示,且 rethrow 变 zone 未处理异常。 - 新增 _guardSave 守卫:await + 失败弹 SnackBar(AuthApiException 显服务端 双语文案含校验错,其余回退通用「保存失败」),包裹全部变更类回调。 - 添加规则对话框:_valueError 字段级预校验(ip_cidr 用 InternetAddress 校验、geo 白名单仅 cn),非法即禁用保存并内联红字提示;语义级(保留段) 仍由服务端权威判定经 SnackBar 呈现。 - l10n 单源新增 routingSaveFailed / routingRuleValueInvalid(6 语),regen。 go test ./... 全绿;flutter analyze 无 error;flutter test 265 全过无 golden 回归; codegen 幂等、原型 i18n 无漂移。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-08-01 00:32:52 +08:00
wangjia	e157b16c11	fix(server): 走隧道/拒绝的域名规则也开 reverse_mapping ... 用户规则(可配置分流)里 action==proxy/reject 的域名规则,此前不触发 dns.reverse_mapping(只有 direct 域名规则触发)。而应用自行解析域名后按 IP 发起连接,路由层只剩 IP,无反向映射则 domain 规则永不命中——走隧道/拒绝的 域名规则会静默失效。 translateUserRules 把 hasDomainDirect 扩成 hasDomainRule:任意 action 的 域名类规则(domain/domain_suffix/domain_keyword)都置真、都开 reverse_mapping。 direct 专属的 ip_cidr→route_exclude_address(extraExclude)那条线不变。 这也是把私有服务分流(PANGOLIN_PRIVATE_SPLIT_DOMAINS)改用用户规则表达的 前置修复——否则一条"走隧道"用户规则替代 private-split 会连不上。 回归测试 TestBuildConfigProxyDomainEnablesReverseMapping:唯一一条走隧道/拒绝 域名规则(privateSplit 关、无 direct 域名规则)必须开 reverse_mapping。go test ./... 全绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-31 01:15:34 +08:00
wangjia	a307c6ca2c	fix(test): codes-lib 迁移往返测试改用 m.Migrate(21) 显式定位版本 ... TestCodesLibMigrateRoundTrip 硬编码 6 次 Steps(-1),假设 000027 是迁移栈顶;本功能 加了 000028_routing_profiles 后 6 步落在版本 22、跳过了 000022 down,导致断言失败。 根因不是迁移 SQL(000022 up/down 正确、codes-lib 表无 FK——推翻了 FK 假设),而是 测试的脆弱步数计数被新增迁移打乱。改用 m.Migrate(21) 显式降到 000022 down 之后的 边界,不受栈顶新增迁移影响。全仓 go test ./... 恢复 0 FAIL。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-29 07:08:56 +08:00
wangjia	3159dd75c1	refactor(routing): 暴露 system_locked_domains + 服务端 follow-up 清理(FK/Validate/dedup/exclude单源/共用Store/Builtin保留)	2026-07-29 06:38:52 +08:00
wangjia	82b3988974	feat(routing): connect 读 per-user 档案传入渲染(fail-safe 回退默认)	2026-07-28 08:11:48 +08:00
wangjia	f76aa56929	feat(routing): BuildClientConfig 翻译用户规则(层级/IP直连/域名直连/三模式) ... ClientConfigOpts 加 Profile *routing.Profile(nil = 逐字节回退旧行为)。 translateUserRules 把 profile.Rules 翻译成 route.rules,插在系统层3 (私有域名)之后、国内分流之前:action→outbound、type→字段映射;IP 直连 并入 TUN 入站的 route_exclude_address(真正生效的字段,而非顶层 route 对象);域名直连开 dns.reverse_mapping;三模式(rule/global/direct)决定 route.final 与是否跳过用户规则层/国内分流层。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-28 08:01:10 +08:00
wangjia	49f62d9b14	feat(routing): GET/POST /v1/me/routing 端点 + openapi	2026-07-28 07:49:03 +08:00
wangjia	b98aa2335b	feat(routing): 档案校验 + 规范化(白名单/上限/去重)	2026-07-28 07:31:55 +08:00
wangjia	04b02da78d	feat(routing): routing_profiles 表 + Profile 类型 + store(双方言)	2026-07-28 07:24:01 +08:00
wangjia	c99a9b1106	Merge branch 'main' into feat/configurable-proxy ... # Conflicts: # .gitignore # client/lib/l10n/strings_es.dart # client/lib/l10n/strings_ja.dart # client/lib/l10n/strings_ko.dart # client/lib/l10n/strings_ru.dart # docs/index.html # scripts/local_test.sh	2026-07-28 07:17:34 +08:00
wangjia	a3ad50aa75	fix(client-config): TUN 加 route_exclude_address 让私有 LAN 直连 ... 隧道开着时连不上局域网/NAS/家里机器(SSH/gitea 全 reset)。根因:TUN 入站 auto_route+strict_route 在 OS 层把所有流量(含 LAN)强抓进隧道,而 route.rules 里的 ip_cidr(192.168/16…)→direct 在 macOS 被 strict_route 抵消(direct 出站的 包又被捕回隧道)。 修法:TUN 入站加 route_exclude_address=[192.168.0.0/16, 10.0.0.0/8],在 auto_route 层就把这些网段排除出隧道,LAN 走系统直连。**刻意不含 172.16.0.0/12**——隧道自身 地址与 DNS(172.19.x)在此段,排除会断 DNS。route_exclude_address 为 sing-box v1.13 合法 TUN 字段(option/tun.go)。 影响:VPN 不再黑洞局域网——直连 NAS/家里机器/内网 gitea 恢复,CI runner 也不再 需要经 ali 的中继隧道(relay)。客户端需完整重连拉新配置生效。 测试:TestBuildClientConfigLANExclude 断言 tun 含 192.168/16+10/8、不含 172.16/12; go test ./internal/httpapi 全绿。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-26 01:53:35 +08:00
wangjia	ea1a875607	Merge feat/private-dest-acl: 节点侧私有目的地 ACL(按 dp_uuid 放行家庭内网服务) ... pangolin 出口 IP 是家庭内网服务(brain/nas/git/win.51yanmei.com)在 ali 侧的 唯一准入凭据;单用户时=「只有我」,现在 5 个账号退化成「所有 pangolin 用户」。 本功能在节点 sing-box route 上按 dp_uuid 补一道 fail-closed 白名单闸,把语义 拉回「只有我」。改动收敛在 internal/agentd/,零 migration,不动控制面/客户端/DB。 合并动因:该分支代码已在 pangolin1 生产运行(线上 agent 二进制 vcs.revision= e4b527b + auth_user 修复,昨晚经 SIGHUP 热渲染 auth_user 闸生效),但 main 缺失 ——从 main 重建部署 agent 会静默移除这道安全闸。合并后 main 与生产对齐,并把 线上「脏树构建(vcs.modified=true)」规整成干净可追溯来源。 含 21 个提交:设计/计划文档、ACL 配置类型与 fail-closed 加载、渲染放行+拒绝 规则对、last-good 内存+落盘跨重启兜底、SIGHUP 热重载不踢人、ip_cidr/port 校验、 resolve 堵域名绕过、auth_user(VLESS 运行时只认 auth_user)、29 个单测 + 真机验收。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-25 00:20:53 +08:00
wangjia	1d154bd627	feat(admin): 后台登录支持「记住此设备」(免二次验证 + 保持登录) ... 常用设备(已在 mTLS 白名单内)每次都要输 TOTP + 30 分钟就掉线,体验差。 新增登录页「记住此设备」勾选: - 勾选并成功登录(需完整 密码+TOTP)后,签发 30 天设备信任令牌(HttpOnly/ Secure/SameSite=Strict cookie,Redis 存储绑定 admin ID),并把会话延到 30 天 (持久 cookie + 服务端 TTL,滑动续期按会话自身 TTL)。 - 之后该设备重登只需 用户名+密码,**跳过 TOTP**;会话在有效期内保持登录。 安全不变量(均有测试覆盖): - 密码永远必验——即便持有效信任令牌,密码错一律拒(只跳过第二因子,不跳过密码); - 信任令牌绑定 admin,alice 的令牌不能给 bob 免 TOTP; - 无令牌 + 空 TOTP 一律拒(未记住设备仍强制二次验证); - 令牌过期/Redis 清空/未知令牌全部 fail-closed 回退到「要 TOTP」; - TrustedDeviceTTL=0 关闭整功能(勾选无效)。 实现:新增 TrustedStore(Redis, trusted.go);Authenticator.LoginDevice (旧 Login 保持签名,委托新方法,零行为变化);SessionStore.CreateWithTTL + Session.TTLSeconds 支持持久会话按自身 TTL 滑动;handler 读 cookie/勾选、 按 Persistent 设长短会话 cookie、下发信任 cookie;登录页加勾选、TOTP 去 required。配置项 ADMIN_TRUSTED_DEVICE_TTL(默认 720h)。 测试:trusted_test(签发/校验/绑定/吊销/过期/禁用)、login_device_test (跳过TOTP/仍需密码/绑定admin/无令牌需TOTP)、login_device_handler_test (端到端 勾选→双cookie→凭信任cookie免TOTP、无信任空TOTP 401); go test ./internal/admin 全绿,go vet 净。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-24 09:52:56 +08:00
wangjia	f819a77d83	fix(admin): 登录审计记录真实来源 IP(经本机反代时取 XFF 末跳) ... 管理后台经 caddy mTLS 网关(同机 loopback 反代 127.0.0.1:9444)对外后, LoginSubmit 里 hostOnly(r.RemoteAddr) 恒为 127.0.0.1,admin_login_ok/fail 的 ip 字段失去溯源价值。 新增 realIP():仅当 TCP 对端是 loopback(请求确实来自本机可信反代)才信 X-Forwarded-For,且取**最后一跳**(Caddy 把真实 TCP 对端追加在末位,更早的 段可被客户端伪造预置);直连、XFF 缺失或非法值一律回退 TCP 对端。 IPAllow 白名单中间件刻意不变——安全闸继续只看 RemoteAddr,不受任何代理头 影响(维持原注释声明的边界)。 测试:TestRealIP 七例(直连/伪造头/单跳/多跳/缺失/非法/IPv6); go test ./internal/admin 全绿。(internal/store 迁移彩排 3 例失败为 HEAD 既有——主仓干净树复现,与本次无关。) Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-24 08:34:57 +08:00
wangjia	2abe4d0816	fix(agent): ACL 放行用 auth_user 而非 user(VLESS 运行时只认 auth_user) ... 生产验证发现:sing-box 1.13 的 route rule 里 user 字段对 VLESS/REALITY 入站运行时不匹配(仅 sing-box check 语法通过),导致放行规则永不命中、 白名单用户也被兜底拒绝。本地真 VLESS 连接实测确认 auth_user 生效 (good→通/bad→block),node 端 git 一进一出白名单验证 per-user 生效。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 10:36:02 +08:00
wangjia	aaa3384e3b	feat(agent): route 加 resolve action,堵住 ip_cidr 目的地的域名形式绕过 ... sing-box route 的 ip_cidr 匹配的是已解析的连接目的地地址;客户端若发的是域名 形式(如 nas.51yanmei.com:5001)而不先解析,ip_cidr + port 的拒绝规则不命中, 请求会绕过 ACL 直接落到 final:direct——DSM/RDP/SSH 因而对任何持有有效 dp_uuid 的 pangolin 用户可达,不受白名单约束。攻击者只需让客户端连接目的地时使用域名 而非 IP 即可绕过。 用户已拍板方案:在 sniff 之后紧跟加一条 {"action":"resolve"},让节点自己解析 目的地,使域名形式收敛到 ip_cidr 规则上(已用本机 sing-box 1.13.13 确认接受 [{"action":"sniff"},{"action":"resolve"},...] 这个形状,TestRenderedConfig_ PassesSingBoxCheck 也覆盖了这条产物)。route 规则顺序变为: sniff → resolve → ACL 放行 → ACL 拒绝 → WARP。resolve 与 sniff 同条件——只在 产出 route 块时才出现,唯一且紧跟 sniff。 代价(用户已知情接受):节点从此会对连接目的地做 DNS 解析,是对"节点只见不透明 dp_uuid、不知道目的地"这条隐私姿态的一次主动后退,详见设计文档 §12。 TDD:更新 TestBuildRoute_Matrix 的四态断言(规则数 2/3/4 → 3/4/5,新增 resolve 计数/位置断言),新增 TestBuildRoute_ResolvePositionedRightAfterSniff(RED:此前 resolve 不存在)与 TestBuildRoute_NeverConfigured_NoResolve(未配置态不受影响)。 确认既有 TestRender_Warp_InjectsEndpointAndRoute(只断言首条 sniff、末条 warp, 不断言精确条数)未受影响,原样绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:44:58 +08:00
wangjia	f147ffbe9e	fix(agent): 校验 ip_cidr/port,非法即走 fail-closed;渲染产物加 sing-box check 常驻测试 ... cleanTargets 只做 trim/lower,从不校验取值——port:[70000]、ip_cidr:"not-a-cidr" 这类语法正确但语义非法的值会被顺利渲染进 sing-box 配置。SIGHUP 热重载路径下 sing-box 会自己校验并拒绝这份新配置、保留旧实例继续跑,但 agent 早已把它当 "渲染成功"写盘并记正常日志——于是 /etc/sing-box/config.json 内容看起来正常 (能被 json.load 解析、rules 都在),但线上的 gate 其实完全没生效,而这在 运维层面几乎不可见。 修复: - LoadACLConfig 解析成功后跑一遍 validate():每个 target 的 ip_cidr 必须能被 netip.ParsePrefix 解析,每个 port 必须落在 1-65535,否则返回 error——与解析 失败走同一条路径(fail-closed last-good 兜底),而不是把坏值一路渲染出去。 - 新增 TestRenderedConfig_PassesSingBoxCheck:把渲染结果喂给真实 sing-box 1.13.13 二进制的 `check` 子命令断言 exit 0,把设计 §9 "产物合法性" 验收项落成常驻测试 (exec.LookPath 找不到二进制则 t.Skip,不 fail)。本机 sing-box(homebrew 装, 无 with_v2ray_api tag)会因实验性 v2ray_api 段落报编译期不支持的 FATAL——与本 测试要验的 ACL/route 语法合法性无关,故只在这条测试内剥离该段落后再校验。 TDD:acl_test.go 新增 TestLoadACLConfig_RejectsInvalidPort / _RejectsInvalidCIDR (RED:此前返回 nil error)、TestACL_InvalidPortFallsBackToLastGood(RED:非法端口 被渲染进配置)。三条现全绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:43:18 +08:00
wangjia	8e24a157e1	fix(agent): last-good 双失败必须告警 + 降级日志分级 + derr 落日志 ... loadACL 终点此前有两个问题:(1) 读磁盘 last-good 的 derr 从不落日志;(2) ALERT 只在 err != nil 时触发,但 acl.json 单纯缺失(LoadACLConfig 按设计返回 nil,nil, 不是 error)时 err 恰好是 nil——于是 acl.json 缺失 + 磁盘 last-good 同时损坏这种 "gate 实质消失"的最糟场景,反而完全没有日志。 修复: - derr 非 nil 时打 ERROR。 - ALERT 判断改用文件是否曾经存在(os.Stat)而非 err 是否非 nil:acl.json 与 last-good 均 not-exist → 判定"从未配置过该功能",安静返回;否则(其一存在但 读取/解析失败)→ ALERT。 - 两条降级 fallback 日志补 WARN 级别标签,配合 ERROR/ALERT 可用 journalctl | grep -E 'ERROR|WARN|ALERT' 一并抓到。 TDD:acl_test.go 新增三条——双失败必须 ALERT(RED)、从未配置不误报(基线即绿, 防止告警刷屏回归)、降级日志缺 WARN 标签(RED)。全部现绿。 复现细节:双失败场景没有采用"把 acl.json 和 last-good 都整个删除"来复现——那种 状态在文件系统层面与"这台节点从没配置过 ACL"完全无法区分(两次 os.Stat 皆 not-exist),任何仅凭当前文件状态判断的实现都做不出区分,要区分需要额外的持久 标记,超出本 finding 范围。改用"acl.json 缺失 + 磁盘 last-good 存在但损坏"复现, 这是一个可被 os.Stat 命中的信号,也更贴近 §5 描述的真实故障。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:39:30 +08:00
wangjia	63f4325e51	fix(agent): 空/手抖 acl.json 不得静默关闸或覆盖 last-good ... loadACL 的成功分支此前无条件把解析出的 ACL 存为内存 last-good 并落盘,不管 它是否真的产出任何规则。encoding/json 忽略未知字段(必须如此,样例文件靠 _comment 自文档)——所以 "targetz"(手抖打错 "targets")或 "targets": [] 都能 解析通过,Targets 变 nil,active() 为 false,规则消失(gate 被静默关闭),且同一次 调用还会拿这份空配置覆盖 acl.last-good.json,销毁唯一的恢复快照。 修复: - enabled=true 但 cleanTargets() 为空 → 视为加载失败,走 last-good 兜底, 绝不返回、也绝不持久化这份空配置。 - 只有 active() 为真的配置才更新 last-good;active()=false 只可能是显式 enabled:false(合法关闭),此时原样返回(不产出规则)但不覆盖磁盘上的 last-good,保留后续误删/损坏时的恢复能力。 - 白名单为空但 target 有效(拒绝所有人的合法配置)不受影响,仍持久化为 last-good、仍产出拒绝规则。 TDD:acl_test.go 新增三条 —— 手抖字段名(RED:拒绝规则消失且 last-good 被覆盖)、 显式 enabled:false(RED:last-good 被覆盖)、空白名单但有效 target(基线即绿, 防止修复过度矫正)。三条现全绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:37:47 +08:00
wangjia	3324c1d687	docs(agent): 私有目的地 ACL 配置样例与常驻校验测试 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:24:51 +08:00
wangjia	6f183ff0df	feat(agent): SIGHUP 重读节点本地配置并热重渲染,不踢在线用户 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:15:27 +08:00
wangjia	d216e157c3	test(agent): 覆盖 acl.json 被删时仍走 last-good 兜底 ... 删文件走的是 LoadACLConfig 返回 (nil,nil) 的分支,与坏 JSON 的 err!=nil 分支不同,此前无回归覆盖。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:09:02 +08:00
wangjia	87d5afa703	feat(agent): 渲染时读取 ACL,内存+磁盘 last-good 保证 fail-closed 跨重启 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:01:45 +08:00
wangjia	4155fc8542	refactor(agent): route 块改由 buildRoute 统一产出,合并 ACL 与 WARP ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:52:39 +08:00
wangjia	597d6ab68b	feat(agent): ACL 渲染放行/拒绝规则对,空白名单仍拒绝 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:40:11 +08:00
wangjia	d4156b81e2	refactor(agent): cleanDomains 委托 cleanHosts,消除同包重复逻辑 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:32:43 +08:00
wangjia	e4d014ba99	feat(agent): 私有目的地 ACL 配置类型与 fail-closed 加载语义 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:07:15 +08:00
wangjia	74d8c857be	feat(server): 私有服务域名分流(PANGOLIN_PRIVATE_SPLIT_DOMAINS) ... 家庭内网穿透域名(nas/git/win.yanmeiai.com)的客户端配置渲染: - DNS 面: 系统解析器(type=local,底层网络)+私有域名规则置顶+reverse_mapping - 路由面: 私有域名→强制走隧道,钉在 LAN 直连之后、国内分流(geoip-cn)之前 在家: 局域网 DNS 覆盖→私网IP→LAN直连零绕行; 在外: 锚点(frps@ali,国内IP) 不再被 smartRoute 分流成直连、避开安全组限源。env 不配置=行为零变化。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-16 07:22:16 +08:00
wangjia	68608d6471	feat(server/auth): 新用户注册欢迎通知——注册同事务插 reward 类到账(零孤儿) ... CreateUserWithTrial 新增本地 Noticer 接口(同 InsertNoticeTx 签名,参照 reward 包做法避免 notices→auth 循环依赖);SQLStore 加 noticer 字段 + SetNoticer, nil-safe。注册事务插完 trial 订阅、commit 前,若已注入 noticer 则同事务插一条 type=reward 的双语欢迎通知(标题/正文按 trialDays 参数化),失败即整事务回滚, 与 reward/pay 到账钩子同语义、零孤儿。main.go 在 noticesStore 构造后装配 authStore.SetNoticer(noticesStore)(authStore 提升到 if-block 外声明以跨块可见)。 顺带修复 isDuplicateKey 只认 MySQL 错误文案的 dialect 缺口——sqlite 下重复邮箱 注册此前会落入错误分支返回不透明的「auth: insert user」,而非 ErrEmailTaken; 现同时匹配 sqlite 的 "UNIQUE constraint failed"。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-13 19:03:18 +08:00
wangjia	a62a2b1797	fix(server/pay): promo 限购 settle 侧幂等复查 + 000027 部分唯一索引(TOCTOU) ... CreateOrder 下单时的 HasPaidPurchase 只是裸 SELECT 无锁,并发/多挂起单可绕过 promo SKU「每账号限购一次」。两层修: ① webhook.go settle 在锁行、开通前对 item.Promo 的 SKU 复查一次(排除本单), 命中说明另一笔同 user+SKU 订单已抢先 settle,跳过发放(不二次 +N 天)、 仍 ack(否则 pay 无限重投)。新增 store.HasPaidPurchaseExcludingTx / MarkDuplicatePromoTx——重复单标记 canceled 而非 paid,避免自撞下面的 唯一索引、也避免整笔 500 触发死循环重投。 ② migration 000027(sqlite):部分唯一索引 ux_pay_promo_paid ON pay_purchases(user_id, sku) WHERE status='paid' AND sku='pro_month_promo', 兜底防止任何路径把同一用户的 promo 单二次写成 paid。mysql 8 不支持部分 索引,000027 mysql 侧是 no-op 占位(仅对齐编号),该场景 mysql 只靠①的 应用层复查兜底——两库防线强度不同,已在迁移文件与代码注释中记录。 副作用:新增迁移把 sqlite 迁移顶点从 26 推到 27,同步更新 internal/store/sqlite_migrate_test.go 的版本断言,以及 internal/store/codes_lib_migrate_test.go 手动 Steps(-1) 序列(补一步跳过 000027,才能精确落在 000022 边界,这条测试是硬编码步数的)。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-13 15:53:56 +08:00
wangjia	1e102a5a79	fix(server/nodes): 连接设备上限闸读 max_devices_override(登录闸已读,连接闸漏) ... EntitlementForUser 是每次连接 backstop(httpapi/nodes.go DEVICE_LIMIT_EXCEEDED) 唯一读的设备上限来源,但订阅命中分支与 free 兜底分支都从未读 users.max_devices_override (migration 000025)——运营设 override 只对登录闸(devices.ResolvePlan)生效,一连 VPN 仍按套餐默认上限被拒。两分支统一叠加 override(NULL/<=0 不生效,正值覆盖,语义与 devices/store.go:GetMaxDevicesOverride 一致),新增 sqlite 用例覆盖 free 无覆盖/ free 覆盖/pro 覆盖收紧/NULL-0 不生效四种场景。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-13 15:47:15 +08:00
wangjia	ed99e2943e	fix(openapi): Notice.id string/uuid→integer/int64 + body_zh/en 移出 required(对齐实际实现,终审建议) ... Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>	2026-07-13 14:22:00 +08:00
wangjia	2b4350cfc4	feat(server): 装配 notices(路由替换空壳+reward/pay 注入)+ 发版联动插 version 公告 ... main.go 挂载 notices.Store/Handler:注入 rewardSvc/payWebhook 到账通知钩子, /v1/notices 路由由 accountAPI 空壳换成真实 List/MarkRead,删除 account.go 的 TODO 空壳方法。补齐 pangolin-nodectl 到编译/部署产物链 (compile-backend.sh + deploy-server.sh),release-client.sh 在 version.yaml 推送成功后追加一步用 nodectl 插入 version 类型站内公告 (失败不阻断发版)。	2026-07-13 14:09:54 +08:00
wangjia	84b162e834	feat(nodectl): notice add/list/revoke 子命令(校验+审计+可选邮件)	2026-07-13 14:01:50 +08:00
wangjia	75ec361542	feat(server/notices): Service — 发布校验/审计/important 邮件兜底(幂等)	2026-07-13 13:51:28 +08:00
wangjia	e1e198e169	feat(server): 到账通知四接缝(邀请注册/首充/TG/购买开通)——与发放同事务零孤儿	2026-07-13 13:49:09 +08:00
wangjia	0325603470	feat(server/notices): GET /v1/notices(合并+unread_count)+ POST /read + openapi 扩展	2026-07-13 13:43:50 +08:00
wangjia	ed1f805cbc	feat(server/notices): Store — 广播∪定向合并查询/已读水位/事务内插通知 ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-13 13:36:32 +08:00
wangjia	21a30aa4c8	feat(server/migrate): 000026 notices 表 + users.notices_read_at 已读水位 ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-13 13:32:23 +08:00
wangjia	94266804bc	fix(server/reward): 邀请发放审计 target 带对方 id(invite:reg:invitee=N 等,替换静态占位串)——审计可回答「因谁而发」 ... Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>	2026-07-13 12:24:27 +08:00
wangjia	2c94b53a9e	fix(server/reward): TG bot 回复区分已领取/未加入两态 + 按 Telegram language_code 中英双语 ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-13 11:46:55 +08:00
wangjia	1c2ec2844d	feat(server/pay): 优惠套餐(Promo SKU)每账号限购一次——已付过再下单 409 PROMO_ALREADY_USED ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-13 11:36:24 +08:00
wangjia	07c339c18e	feat(server/devices): users.max_devices_override 单用户设备上限覆盖(NULL走套餐默认)+ 迁移000025 ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-13 10:15:07 +08:00
wangjia	488688aeac	fix(reward): TG webhook 空 secret fail-fast + 首充奖励文案六语 15→7(终审必修) ... Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>	2026-07-13 08:17:11 +08:00
wangjia	c29aaf9a2a	feat(server): 装配 reward 服务 — 注入 auth/webhook + 挂 /v1/invite、/tasks/telegram/start、/tg/webhook	2026-07-13 08:01:01 +08:00
wangjia	e26284d072	feat(server/reward): TG getChatMember 真校验 + ClaimTelegram + POST /tg/webhook	2026-07-13 07:54:46 +08:00
wangjia	e23cd5e1bd	feat(server/reward): TG 绑定 token 签发/消费 + GET /v1/tasks/telegram/start	2026-07-13 07:49:31 +08:00
wangjia	d23f7bca8f	feat(server/reward): GET /v1/invite — 邀请码/链接/战绩/TG 任务态	2026-07-13 07:46:07 +08:00
wangjia	de1117b0e6	feat(server/pay): 首充钩子 — settle 内接邀请首充段发奖(first_paid_at 幂等)	2026-07-13 07:41:15 +08:00
wangjia	54d106ca8b	feat(server/auth): Register 加 inviteCode + ReferralHook(注册后 best-effort 归因) ... Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>	2026-07-13 07:33:42 +08:00