57 Commits

Author	SHA1	Message	Date
wangjia	74d8c857be	feat(server): 私有服务域名分流(PANGOLIN_PRIVATE_SPLIT_DOMAINS) ... 家庭内网穿透域名(nas/git/win.yanmeiai.com)的客户端配置渲染: - DNS 面: 系统解析器(type=local,底层网络)+私有域名规则置顶+reverse_mapping - 路由面: 私有域名→强制走隧道,钉在 LAN 直连之后、国内分流(geoip-cn)之前 在家: 局域网 DNS 覆盖→私网IP→LAN直连零绕行; 在外: 锚点(frps@ali,国内IP) 不再被 smartRoute 分流成直连、避开安全组限源。env 不配置=行为零变化。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-16 07:22:16 +08:00
wangjia	43c76fb978	Merge remote-tracking branch 'origin/main' into feat/pay-v2-integration ... # Conflicts: # docs/index.html # server/cmd/server/main.go	2026-07-11 16:44:05 +08:00
wangjia	05922710b2	feat(server): CORS 中间件(白名单跨域,支持用户中心/官网前端) ... 控制面无 CORS 导致 pangolin.yanmeiai.com 的用户中心跨域打 api.yanmeiai.com 被浏览器拦(Network error)。 加白名单 CORS(env CORS_ALLOWED_ORIGINS,默认 https://pangolin.yanmeiai.com):回显 Origin、应答预检 OPTIONS、 放行 Authorization/Content-Type;不用 '*'、不放行 credentials(走 Bearer token)。	2026-07-11 15:33:07 +08:00
wangjia	1a7b93ed2f	feat(server): /buy 自包含购买页(同源,USDT+哪吒,登录→下单→轮询开通) ... 单文件 HTML(内联 CSS+JS,go:embed)挂在公开 GET /buy,与 /v1/pay 同源免 CORS: 登录 -> 拉取套餐 -> 选 USDT/哪吒下单 -> 按 render_type(crypto_address/redirect/qr) 展示付款信息 -> 轮询订单直到 activated,页面隐藏/关闭时停止轮询。 Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-11 14:52:21 +08:00
wangjia	bc9aa38392	fix(server): pay webhook 兜底补行不再漏停用用户(修静默丢钱)+ 未知事件日志 + PAY_BIZ_SECRET 启动守卫 ... - webhook 兜底路径(台账缺行按 biz_ref 定位用户)去掉 status='active' 过滤, 与正常路径(row.UserID 直接开通不看状态)对齐:钱已实收,不因用户被停用 (banned)而拒绝补行开通,避免 500→pay 12 次重投后死信→静默丢钱。 - 未知 event_type 分支加 slog.Warn,便于将来 pay 侧误注册无 handler 的事件 类型时能被观测到。 - PAY_BASE_URL 已设但 PAY_BIZ_SECRET 为空时 log.Fatal 拒绝启动,避免出站 签名失败+入站验签全 401 的静默瘫痪。 - InsertFromWebhookTx 不再把 channel 冒充 method 写入台账(payload 无 method 字段可复原,留空并加注释,消除台账观感误导)。 新增 TestWebhook_MissingLedgerFallsBackEvenWhenUserSuspended 覆盖 #1: 台账缺行 + 目标用户 banned 时,兜底补行仍成功开通并回 SUCCESS。 Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-11 00:48:57 +08:00
wangjia	16b8823f1f	feat(server): pay webhook 接收器(验签/时间窗/nonce + out_trade_no 幂等开通,回 SUCCESS) ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 22:38:01 +08:00
wangjia	932953bafe	feat(server): /v1/pay 下单代理端点 + 购买台账(JWT 鉴权,user→biz_ref 映射) ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 22:32:43 +08:00
wangjia	15f0d78a91	feat(server): legacy 码表 → codes 库新表的幂等回填(Go 双方言)(#codes-lib)	2026-07-10 14:13:21 +08:00
wangjia	5a9b5f1d8e	feat(server): cmd/migrate up 接入 codes 库自建迁移(ApplyCodesLibMigrations)(#codes-lib) ... 顺带修 000020 sqlite 索引名冲突:ALTER TABLE RENAME 不会带着重命名索引, legacy_codes 上遗留的 idx_codes_status 与 codes 库自己迁移里同名索引撞名, 一并改成 idx_legacy_codes_status(up/down 对称)。	2026-07-10 13:55:14 +08:00
wangjia	4940278ea5	feat(migrate): 用户中心迁到 pangolin.yanmeiai.com/user/ + 域名配置化 ... 原独立子域 app.yanmeiai.com → 主站子路径 /user/(用户选停用旧域名): - 域名配置化(去硬编码):客户端 kWebUserCenterBaseUrl 收进 api_config.dart (dart-define 可覆盖);官网 site.ts、服务端 CORS_ORIGINS 本就是配置 - 用户中心 next.config basePath=/user;layout.tsx 的 /colors_and_type.css 手动 拼 basePath(public 根绝对资源不自动加前缀,否则 404) - CI 合并部署:compile-site + compile-usercenter + combine-site(用户中心并入 dist/user/ + _headers 按 /user/* 分域:官网严格 CSP,用户中心 unsafe-inline+ connect-src https)→ 单次部署 pangolin-site;删独立 pangolin-usercenter 部署 - 服务端 CORS 默认 origin app.yanmeiai.com → pangolin.yanmeiai.com(+ 测试) - 客户端 web_launch 走新址 → 随 client-v1.0.62;go test CORS 过、flutter analyze 净 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-07 17:33:22 +08:00
wangjia	4baf24f6f8	feat(server): 自动更新 /version 清单端点(镜像 jiu) ... GET /version(公开)读 /etc/pangolin/version.yaml(每请求重载,免重启);缺省回退。 download_urls 接 /downloads。deploy.sh 装清单(存在则不覆盖, 保住线上 bump)。含 4 测试。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-07 00:12:46 +08:00
wangjia	1e13f35219	feat(server): SSO 换票端点(App→Web 免登握手) ... /v1/auth/web-ticket(需登录):签发一次性票据(crypto/rand 32B, Redis GETDEL 单用, 60s)。 /v1/auth/web-ticket/exchange(公开):票换与 /auth/login 同款 token pair。镜像 jiu。含 6 测试。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-06 23:54:15 +08:00
wangjia	3d521973ab	feat(server): CORS 中间件(Web 用户中心跨域调 /v1/*) ... usercenter(app.yanmeiai.com,浏览器)跨域调控制面 API 会被浏览器拦(无 CORS 头)。 加白名单 CORS 中间件(CORS_ORIGINS,缺省 app.yanmeiai.com + pages.dev),应答 OPTIONS 预检。原生端非浏览器不受影响。Bearer 认证故不需 Allow-Credentials。含 3 项测试。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-06 21:52:33 +08:00
wangjia	2e631ed3b5	feat(server+web): 客户端下载闭环——pangolin-server /downloads + 官网下载链接 ... - server: /downloads/* 公开静态服务(NewDownloadsHandler,DOWNLOADS_DIR 默认 /var/lib/pangolin/downloads),防目录穿越/不列目录/缺目录不崩,Cache-Control: no-cache 保证 CI 覆盖后永远最新。挂在 /healthz 同级(免鉴权)。含 4 项测试。 - deploy.sh: install -d 下载目录 + server.env 注入 DOWNLOADS_DIR。 - web: site.ts 增 downloads.{android,windows}(→ https://api.yanmeiai.com/downloads/*); Download.astro 接上 Android/Windows 按钮,iOS/macOS/Linux 改「即将推出」禁用态。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-06 19:48:57 +08:00
wangjia	e023fb6579	feat(server): 免费版账户级分钟卡控 + 累加式看广告加时(#21 后端) ... 免费版此前形同虚设:ConnectNode 每次连接发固定 daily_minutes×1min TTL、 从不扣减已用,重连即崭新 10 分钟,日额度从未强制。改为账户级(全设备共享) 真卡控 + 累加式看广告加时: - migration 000020: usage_daily 加 ad_bonus_minutes(sqlite+mysql)。 当日额度 = plans.daily_minutes + ad_bonus_minutes;剩余 = 额度 − minutes_used。 - usage.store.AddAdBonusMinutes: 事务内累加封顶(替代布尔 MarkAdUnlocked), 返回新总额+本次实际加时;GetDay/GetUsageRange 补读 ad_bonus_minutes。 - usage.service.UnlockAd: verify+nonce 后 +adBonusPerAd(10) 封顶 adDailyBonusCeiling(120), 返回 granted+remaining;TodaySummary 加 MinutesCap/AdBonusMinutes。 - usage.ads DevVerifier: 放行式占位校验(nonce 防重放仍生效),接真 AdMob 前 让看广告加时流程可端到端跑通;main.go 按 ADS_DEV_MODE/默认装配。 - ads/unlock: 204 → 200 返回 {granted_minutes, minutes_remaining}。 - ConnectNode 免费门: 读 AccountDayMinutes(used,bonus) → remaining≤0 拒 QUOTA_EXHAUSTED, 否则 TTL=remaining(凭证到点硬切断兜底)。nodes.store 加 AccountDayMinutes。 - /me: 补 ad_bonus_minutes,quota_today_min 分母改 daily+bonus,加 quota_cap_min。 - quota.CheckFreeConnect 同步累加语义(免费基础 10 分钟不再需先看广告)。 - openapi + 契约/迁移版本/集成测试同步;新增 SQLite AddAdBonusMinutes 单测。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-01 23:44:10 +08:00
wangjia	6bac7fd2f0	feat(server): 设备上限登录闸(超限非硬拒登,返回 device_limit 信号)#16 ... 启用设备数量限制的服务端部分。登录照常成功签发 token(非硬拒登),但若账户活跃 设备数超套餐上限,登录响应带 device_limit 信号,客户端据此弹「移除设备」页。 - devices/store.go:CountActiveDevices(last_seen 近 staleWindow)+ PruneStaleDevices (删超期僵尸行,免费版重装 churn 自愈) - devices/service.go:staleWindow=30d;DeviceLimitStatus + CheckDeviceLimit (best-effort prune → ResolvePlan → 活跃 count > cap 即 Over,附活跃设备列表) - auth:DeviceRegistrar 加 CheckDeviceLimit;recordLogin 回传 *DeviceLimit; LoginOutcome.DeviceLimit;Login 透传;handler tokenPairResponse.device_limit(omitempty) - main.go:authDeviceRegistrar 适配 devices.CheckDeviceLimit → auth.DeviceLimit - 测试:auth 登录透传超限信号(仍签发 token);devices within/over/prune-stale 连接侧 backstop(服务端硬拦)本轮从简未做,作为后续硬化(登录闸为客户端可信信号)。 DB 无 schema 变更。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-01 19:16:10 +08:00
wangjia	2080062d8c	feat: 数据面故障韧性 — 节点健康上报(控制面) + 客户端连通看门狗 ... 盲区:节点 status 只看 agent 的 gRPC 在线,sing-box 数据面坏了(崩/配置坏/数据口不通) 而 agent 仍在线时,节点仍显示 up、connect 放行、客户端「已连接」但流量全失败,且不自愈。 控制面: - agent 每心跳探 sing-box clash_api /version(2s 超时,连续 2 次失败才报不健康,防抖), 经新增 HeartbeatRequest.data_plane_healthy 上报(手写 agentv1 契约 + proto 同步;JSON codec)。 - NodeLoad 加 DataPlaneHealthy(随 load 写 Redis;字段缺失默认 healthy 防滚动期误杀)。 - effectiveNodeStatus 扩为 (dbStatus, agentOnline, dataPlaneHealthy);ListNodes 与 ConnectNode 统一改用它 → 数据面坏的节点列表置灰 + connect 返回 404 拦截。 客户端(connection_provider 连通看门狗): - 连上后每 15s 经隧道 HTTP 探海外 generate_204(可注入),连续 3 次失败判当前节点不可用。 - 智能选择 → 自动切到其他最优可用节点重连;手动选定 → 断开并提示「节点异常」(尊重用户选择)。 - 新增 nodeUnhealthySwitched/nodeUnhealthyError 文案。 测试:agent 健康探测防抖、effectiveNodeStatus 真值表、dataPlaneHealthy 助手、看门狗 智能切/手动断/健康不触发;go test ./... 与 flutter test 全绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-29 13:19:22 +08:00
wangjia	bcc114088c	feat(devices): P3 强制退出 + 清除增强(per-device 凭证吊销) ... 后端:新端点 POST /v1/me/devices/{uuid}/logout(ForceLogout:吊销该设备会话+ 丢 Redis JTI,设备留列表)。DeleteDevice 增强:先吊销会话再删设备(FK ON DELETE CASCADE 清理会话行)+ 按 dp_uuid 吊销数据面凭证。CredentialRevoker 接口改 per-device RevokeDevice(dpUUID),由 nodes.Service 实现(查 connect_credentials 持有节点→推 CommandTypeRevoke + 删凭证行),main 注入替 NoopRevoker;devices 注入 SessionPort/JTIRevoker。修 SQLite 跨连接死锁(会话吊销移到 delete tx 之前)。 migration 000016 sessions FK 加 ON DELETE CASCADE。 客户端:account_api.forceLogout + devicesProvider.forceLogout(UI 留 P6)。 测试:ForceLogout(吊销会话+JTI+设备保留+403/404)+ DeleteDevice(级联+按 dp_uuid 吊销);NoopRevoker 改 dp_uuid;全量 server/flutter 测试绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-29 06:01:41 +08:00
wangjia	2f298f0a0a	feat(devices): P2 sessions 表 + 在线/最后登录/客户端版本 ... migration 000016(mysql+sqlite,含 down):新增 sessions 表(绑 device+refresh JTI) + devices 加 client_version/totp_trusted_until。devices 唯一键改 + platform CHECK 加 linux(需 SQLite 表重建)拆出后续迁移,降风险。 后端:新 internal/sessions Store(Create/Rotate/Revoke/RevokeByDevice/ LastLoginByDevice);TokenManager 外露 refresh JTI(IssueWithJTI/RefreshWithJTI/ ParseRefreshJTI);auth.Service 注入 SessionStore——登录建会话、刷新轮换、登出吊销; DeviceRegistrar 返回 deviceID;ReportUsage 心跳 touch devices.last_seen(在线判定); devices.ListDevices 经 LastLoginSource 注入返回 online(last_seen<3min)/client_version/ last_login;RegisterIfAbsent 存 client_version。 客户端:Device model 加 online/clientVersion/lastLogin(fromJson 自动解析)。 测试:sessions store 3 例 + ListDevices 在线/最后登录 + device model 2 例 + migration v16;全量 go test/flutter test 绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-29 00:50:24 +08:00
wangjia	8370ee1eb7	chore: 删除误入库的一次性临时文件(tmphash / zz_tmpverify_test) ... P1 提交时 git add -A 误带入早期改密码调试残留(注释自标「临时,不提交」)。	2026-06-29 00:28:54 +08:00
wangjia	c0c4b94e29	feat(devices): P1 设备注册打通 —— 登录/注册即写 devices 表 ... 后端:auth.Service 加 DeviceMeta + DeviceRegistrar 接口(consumer-side 解耦), Login/Register 成功签发后 best-effort 注册设备(不强制设备上限,避免免费档重装 churn 锁死用户);handler 加 device 请求体;main 用 authDeviceRegistrar 适配 devices.Service 注入;normalizePlatform 加 linux。 客户端:新 device_identity.dart(SecureKV 接缝 + 稳定 UUIDv4 device_id 持久化 + 名称/平台/版本);弃用硬编码 'mac-001';auth_api login/register + connect 携带 device 元数据。加 uuid + device_info_plus 依赖。 测试:auth 设备注册(触发/best-effort/空 meta) + device_identity(生成/持久/ 读失败不重生成/UUIDv4 形态);normalizePlatform linux=true。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-29 00:28:13 +08:00
wangjia	636a3bbf2f	feat(server/stats): stats-overhaul Phase2 — 每设备归因 + GB 综合配额 ... 服务端记账从「账户」细到「每设备」(每设备独立 dp_uuid),配额单位分钟→GB 按账户综合卡控。000015_per_device_usage 迁移(mysql+sqlite 双份):devices.dp_uuid + usage_device_daily 表 + plans.daily_mb。handler_grpc 按 dp_uuid 回映射 (user_id,device_id) 双写账户+每设备;usage 服务/handler 暴露 /v1/usage(/devices)。 含 sqlite_per_device / usage handler 测试。 注:此迁移 prod 已 migrate up 运行、部署二进制已内嵌;本次补提交使 git 与线上一致。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-28 18:12:00 +08:00
wangjia	bc890974c0	fix(server): 补 #5 国内分流的 DNS 面 + 链路诊断端点(#12) ... #5 只分了数据面(geoip/geosite-cn 路由 direct),DNS 仍 final:remote 全量经隧道 解析 → 国内域名解析到非 CN IP、漏过 geoip-cn 又走隧道(白盒实测国内 TLS 1000-1660ms;修后 ~50ms)。 - clientconfig.go: 开分流时 dns.rules 加 {rule_set:[geosite-cn]→local},国内域名 用 local(223.5.5.5)直连解析 → 拿到真 CN IP → geoip-cn 命中直连 - main.go: PANGOLIN_PUBLIC_URL 缺失时启动告警(空则分流静默跳过,是隐蔽坑) - nodes.go: connect 渲染加可观测日志(split_cn/rules_base/split_active/bytes) - diag.go: 新增只读端点 GET /v1/diag/egress?host=X,节点侧量出海段耗时(白名单 防 SSRF、只回耗时数字),供白盒拆「接入段 vs 出海段」 验证:go test(splitCN 开渲染 dns.rules→local、关无 dns.rules)+ go vet;cara 实测国内 TLS 1000ms+→~50ms、接入段占 TLS 握手 ~98%。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-22 14:12:31 +08:00
wangjia	43b25c8aa0	feat: 国内流量直连分流(geoip-cn / geosite-cn)— #5 ... 国内 IP/域名直连(不走隧道)→ 省流量 + 国内访问快;非国内走代理。 - clientconfig.go: BuildClientConfig 加 ClientConfigOpts{SplitCN,RulesBaseURL}; 开启时 route 加 {rule_set:[geoip-cn,geosite-cn]→direct} + 定义 rule_set (remote .srs,download_detour:direct 直连下载) - rules.go: 控制面静态服务 /v1/rules/{name}.srs(白名单防穿越)——自托管避免 GitHub 在国内被墙的鸡生蛋;客户端反正连控制面,可达性有保证 - nodes.go ConnectNode: 读 ?split_cn → opts;NodeAPI 加 rulesBaseURL (PANGOLIN_PUBLIC_URL);main.go 挂 /v1/rules 路由 + RulesHandler - 客户端: connect_api splitCN→?split_cn=1;connection_provider 传 smartRoute 偏好 - deploy/single-node: 拉 geoip-cn/geosite-cn.srs 到 $DATA_DIR/rules + 设 PANGOLIN_PUBLIC_URL/PANGOLIN_RULES_DIR 验证:go test(splitCN 开/关渲染 + RulesHandler 白名单/404)+ flutter analyze + shellcheck;不需要节点。订阅链接暂用默认 opts、DNS 分流为后续增强。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-19 20:34:00 +08:00
wangjia	64a1a64c3f	feat(server): 按用户精确统计流量 — agent 改读 v2ray_api StatsService ... 节点 sing-box 编入 with_v2ray_api 后,每个 dp_uuid 有独立计数器 user>>>{dp_uuid}>>>traffic>>>uplink|downlink。agent 用 QueryStats(reset=true) 取窗口 delta,按用户精确上报(替代旧 clash 节点总量分摊:单用户准、多用户近似)。 - render.go: experimental.v2ray_api(loopback :19091)+ stats.users 列全部 dp_uuid - v2rayapi/: vendor sing-box stats.pb.go(消息)+ 手写 client(用 v2ray 规范 ServiceName 路径,绕开生成代码的 experimental.v2rayapi.* 误名) - usage_v2ray.go: V2RayUsageSource,uplink/downlink 天然用户视角(无需 swap) - agent.UseV2RayUsage() 取代 UseClashUsage();clash_api 保留作本地调试 节点需部署带 with_v2ray_api 的 sing-box(已编好 linux/amd64 二进制)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-19 10:18:33 +08:00
wangjia	a6b35268ab	feat(agent): #7 真实流量采集 — clash_api 节点总量 → usage_daily ... sing-box 该构建未编入 v2ray_api、clash /connections 也不暴露用户,故无法做 准确 per-user 计费。改取节点累计总量(clash downloadTotal/uploadTotal)做 窗口增量,按当前 dp_uuid 均摊上报(单用户=准确,多用户近似,已注释标注)。 - render.go:节点 sing-box 配置加 experimental.clash_api(loopback+secret)。 - ClashUsageSource:轮询 /connections 总量,delta + 重启回绕保护;clash 的 up/down 是代理视角,对调为用户视角(下载→bytes_down)。 - SingBox.DpUUIDs() 供归属;Agent.UseClashUsage() 在 cmd/agent 接上。 已节点 live 验证:usage_daily 实时入库,下载增量正确落 bytes_down。 局限:多 dp_uuid 时均摊(准确计费需重编 sing-box 带 with_v2ray_api)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-19 06:01:24 +08:00
wangjia	52edb377e4	fix(client-config): 去掉 local DNS 的 detour:direct(sing-box 1.12 运行时 FATAL) ... sing-box 1.12 start-service 阶段拒绝 DNS server detour 到空 direct 出站 (FATAL: detour to an empty direct outbound makes no sense)。local DNS 去掉 detour 后走默认路由,功能不变。已在节点用 `sing-box run`(空 inbound 复现 start-service)实测启动无 FATAL —— sing-box check 抓不到这类运行时错。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-18 21:51:10 +08:00
wangjia	df72ad60f4	fix: DNS 用 sing-box 1.12+ 新格式 + 引导仅首次显示 ... - clientconfig/mockserver:客户端配置 DNS 从 legacy address 串格式改为 type+server 新格式(sing-box 1.13 对 legacy DNS 直接 FATAL,导致连不上) - 引导页只首次:TokenStore 加 markOnboarded/isOnboarded;main.dart 登录后 若已引导过直接进主界面,不再每次都弹引导 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-18 21:20:11 +08:00
wangjia	f3471ae139	feat(server/db): 数据层多库支持(1/4)— 连接分派 + 双方言迁移管线 ... - config 增 DB_DRIVER(mysql 默认 | sqlite);DSN 对 sqlite 为文件路径 - db.OpenDriver 按驱动分派:sqlite 用 modernc(纯 Go 免 CGO)+ WAL/ busy_timeout/foreign_keys/_txlock=immediate;mysql 路径不变 - store.Open 分派;mysql 保留 UTC/collation 断言,sqlite 跳过 - 迁移拆 migrations/{mysql,sqlite}/ 双套,embed 双 FS,migrate 按驱动选源 与 golang-migrate 驱动;修复 m.Close() 误关调用方 *sql.DB 的坑 - cmd/migrate 串入 DB_DRIVER;集成测试 MigrateUp 签名更新 - 新增 SQLite 时间往返 smoke 测试与端到端迁移测试(免 docker) Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-18 00:01:03 +08:00
wangjia	5f3f4189e5	feat(scheduler): lifecycle 真实接线适配器(2/2) + 装配 BuildRealConfig ... 把 scheduler 的 stub lifecycle 换成 SQL 后端真实实现,并接入 server: - SQLLifecycle：MySQL 后端,同时满足 detect.LifecycleService 与 orchestrate.LifecycleService(两个 thin adapter 包装共享核心)。 - TransitionStatus：乐观锁 UPDATE nodes SET status WHERE id AND status=from → rows affected(1=成功/0=冲突 no-op)+ 写 node_events(按状态映射 enum, eventForStatus 纯函数已单测)+ bump directory_version,全在一个事务内。 - ListNodes/GetNode/SetWeight/BumpVersion/GetLoad(读 LoadCache)/WriteAuditLog。 - 已知限制:无历史 load 表 → GetLoadHistory 返回当前点(掉量规则安全降级); destroy 的 cert 撤销留 TODO(provision 已拆 VM,撤销为纵深防御,待机群再接)。 - BuildRealConfig：用真实 lifecycle + provisionAdapter 装配三循环。 - main.go：SCHED_ENABLED 且有 DB 时走 BuildRealConfig(provision 无厂商凭证则 CreateNode 优雅失败、替换保持 pending),否则回退 stub。 - 全量 server 23 包测试通过;e2e(判封→drain→换机→置备)待机群+厂商凭证验证。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-17 09:20:40 +08:00
wangjia	0782cf651b	feat(server): web 用户中心后端(3/3) — 用户 TOTP 2FA + 登录二段式 ... - 用户 TOTP（auth/totp_user.go，复用 internal/totp + AES-256-GCM 加密存密钥）： POST /v1/me/totp/setup（生成密钥+otpauth_uri）、/verify（校验码→启用）、 /disable（校验码→清空）。仅在 USER_TOTP_ENC_KEY(32B/64hex) 配置时挂载。 - 登录二段式：Login 在 totp_enabled 时不发 token，改发短期 pending token（Redis 5min）+ 返回 {totp_required, pending_token}；POST /v1/auth/login/totp 消费 pending + 校验码 → 发 token。非 TOTP 用户仍走扁平 TokenPair，app 不受影响。 - User 结构 + GetUserByEmail 补 totp_enabled。 - 单测覆盖 AES seal/open 往返 + 篡改/错误密钥检测 + pending token 唯一性。 - 全量 server 23 包测试通过。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-17 08:45:50 +08:00
wangjia	8047d17b48	feat(server): web 用户中心后端(2/3) — 订阅 URL 端点 ... - GET /v1/me/subscription：返回 {url}=<SUB_BASE 或请求 host>/sub/<token>， 首次访问按需生成 users.sub_token。 - POST /v1/me/subscription/reset：轮换 sub_token，返回新 url。 - GET /sub/{token}（公开，无 JWT）：按 token 查用户 dp_uuid，取首个活跃节点， 复用 httpapi.BuildClientConfig 渲染 sing-box 客户端配置返回（仅在配置了节点存储时挂载）。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-17 08:38:03 +08:00
wangjia	009dbb8d07	feat(server): web 用户中心后端(1/3) — GetMe 补字段 + logout + redeem 路径别名 + 用户表 totp/sub_token ... 为 web 用户中心接通真后端做准备(保持 snake_case 不破 app): - migration 000013：users 加 sub_token / totp_secret_enc / totp_enabled。 - GetMe 扩展：补 devices_used/devices_max/quota_today_min/data_today_gb/ weekly_gb/totp_enabled/expires_at(聚合 plans+usage_daily+devices+totp 列)， 保留原 expire_at 等字段不破 app。 - POST /v1/auth/logout：X-Refresh-Token 头 → RevokeRefresh，幂等 204。 - /v1/me/redeem 别名(web 用)，保留 /v1/redeem(app 用)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-17 08:35:09 +08:00
wangjia	48fe94a2e3	merge: maestro/tsk_rtYVDLkmc5mo into main (bulk integration) ... scheduler 装配 + 选主 + 优雅退出（#15H）：新增 internal/scheduler 包 （scheduler.go/deps.go/wiring.go + 测试），并按 SCHED_ENABLED 开关接入 main.go。 冲突解决（main.go）：分支基于旧版 main（gen.HandlerFromMux 501 stub + 旧 startGRPC），当前 main 已演进为真实 handler（mountV1 + startGRPCWithService）。 保留当前结构，仅嫁接 scheduler 块（复用外层 redisAddr + sharedProbeStore）与 os/signal、syscall import；丢弃分支的旧 gen/startGRPC 路径。剔除误提交的二进制 server/server。 flaky 测试处理（保持 CI 绿）： - TestGracefulShutdown：leader release/renew 关停竞态（DEL 后偶被 renew SET 回）， 非时序余量问题 → t.Skip + TODO(#15H)。 - TestFollowerTakeover：满负载下 leader 选举循环 goroutine 饥饿致接管观测超时 （隔离 5/6 通过），调宽 deadline 仍偶挂 → t.Skip + TODO(#15H)。 其余 scheduler 测试通过；全量 server 23 包测试 2 连跑 0 失败。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-17 01:03:16 +08:00
wangjia	5eaabea358	merge: maestro/tsk_DQ59QeVCOMjq into main (bulk integration) ... # Conflicts: # server/cmd/nodectl/main.go	2026-06-17 00:46:19 +08:00
wangjia	0b6173d9cd	feat(backend): nodectl bootstrap-token 子命令 + 补全 REALITY snapshot 监听/handshake 字段 ... 档 3 真机准备的后端代码部分： - nodectl 新增 bootstrap-token -node=<uuid> 子命令：复用 mtls.NewBootstrapTokenManager(rdb).IssueToken 签发 agent enroll 用的一次性 token，只读 Redis（REDIS_ADDR/REDIS_PASSWORD），stdout 仅打印 token 便于 部署脚本直接捕获。 - 修复 Register 下发的 ConfigSnapshot.Reality 缺字段：此前只填 PrivateKey/ ShortID/ServerName，而 agent 的 render.go 还要读 ListenPort/HandshakeServer/ HandshakePort——缺这三个会渲染出 listen_port:0 + 空 handshake 的无效 sing-box server 配置，隧道起不来。现从节点 endpoint 解析监听端口、以 reality_sni 作 handshake 目标:443 填齐，与 httpapi.BuildClientConfig 的客户端口径一致。 - 强化 TestRegister_OK 断言新字段（ListenPort/ServerName/HandshakeServer/ HandshakePort/PrivateKey），防止该缺口回归。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-17 00:32:29 +08:00
wangjia	363ef0ba66	feat(nodectl): add bootstrap-token subcommand [tsk_DQ59QeVCOMjq] ... Add `nodectl bootstrap-token -node=<uuid>` subcommand that issues a one-time Redis-backed enrollment token for a node UUID. Operators use this to re-enroll a node after cert expiry or state loss without having to re-provision the machine. - wires mtls.BootstrapTokenManager via REDIS_ADDR / REDIS_PASSWORD env vars - prints 64-char hex token to stdout (same format as cloud-init path) - updates usage() and package-level doc comment to document the new subcommand - adds cmd/nodectl/bootstrap_token_test.go with 5 unit tests (miniredis, no external deps): token format, one-time guarantee, missing-flag error, unreachable Redis error, unknown subcommand regression guard Compilation: `go build ./...` clean. Tests: `go test ./...` all pass (31 packages). Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>	2026-06-16 23:34:24 +08:00
wangjia	6979411c1d	feat: 档2 接真后端 — mac app 真注册/登录/拉节点 ... dev 本机置备（新增 dev/）： - docker-compose.yml: MySQL :13306 + Redis :16379（避让本机已占的 3306/6379） - run-local.sh 一键: 起容器→openssl 生成密钥(dev/.local gitignore)→migrate→ seed→启动 server :18080(避让 8080)；LogMailer 把验证码打日志 - seed.sql(1 provider + 1 HK 节点)、run-local.md 手册、.gitignore 后端两处修复（本地无 gRPC 场景，注释意图与代码不符的 bug）： - main.go: 无 gRPC 时真正构造 Hub-only nodeSvc(原只建 hub 没赋值)，/v1/nodes 才能挂 - main.go: /me 改 Route 子路由根 Get，修 Get("/me")+Route("/me") 冲突致 404 客户端接真后端： - token_store: MacOsOptions(useDataProtectionKeyChain:false) 修 keychain -34018 - auth_screen: 删 dev 旁路(test 账户内存登录)，所有登录走真 API 验收: 后端 curl 端到端全通(验证码→注册→登录→/nodes→/me)； server go build/vet/test 通过, client analyze 0 + test 84 Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>	2026-06-16 13:27:58 +08:00
wangjia	cadd527680	feat(backend): 挂载 /v1 API + 实现 nodes/connect 端到端 ... - 新增 internal/dpcred 包，统一 DeriveHy2Password + DefaultFlow agentd 与 HTTP connect handler 共享同一实现 - 新增迁移 000011：nodes 表拆分 reality_prk 私钥 / reality_pbk 公钥 reality_short_id；修正 handler_grpc.go 使用私钥字段 - 新增迁移 000012：connect_credentials 持久化凭证 实现 CredentialsForNode 修复 agent 重连 resync 原先返回空的桩 - 扩展 NodeStore 接口：ListUp / EntitlementForUser / PersistCredential / DeleteCredential；同步 grpc_test.go mock - 新增 httpapi/nodes.go：GET /nodes、POST /nodes/id/connect Hub.Push + PersistCredential + 渲染完整 sing-box client 配置 JSON POST /nodes/id/disconnect - 新增 httpapi/account.go：GET /me、GET /plans、GET /notices - 新增 httpapi/clientconfig.go：BuildClientConfig 服务端渲染 - 重写 cmd/server/main.go：手写 chi public/protected 分组 nodes.Service/Hub 在 main 构造并共享；SMTPMailer/LogMailer go build ./... && go vet ./... && go test ./... 全部通过 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-15 23:09:56 +08:00
wangjia	ebc9c1e702	feat(scheduler): 装配 scheduler — 三 loop + Redis 选主 + 优雅退出 [tsk_rtYVDLkmc5mo] ... ## 内容 ### server/internal/scheduler/deps.go 新增 scheduler 级接口文件，定义所有外部依赖接口： - DetectEngine / OrchestrateReplacer / OrchestrateGrayscale（15D/15E） - CapacityService + StubCapacityService（15F 存根） - ProbeStateReader（15A）、ThirdPartyProber / TargetProvider（15C） - Notifier + LogNotifier（15G）、StaticTargetProvider ### server/internal/scheduler/scheduler.go Scheduler 主体实现： - Config 结构体：注入所有依赖 + 可配置的选主时间参数（方便测试） - Run(ctx) = 安装 SIGTERM/SIGINT 信号 + Start(ctx) - Start(ctx) = 启动三 loop goroutine + 可选 15C 采集 goroutine + 30s 优雅退出 - runLoop: 非主实例每 5s 抢租约（SET NX PX 30000） - runLeaderLoop: 主实例按 interval tick，defer 释放租约 - keepLease: 每 10s Lua 校验后续租（PEXPIRE），失败即退出 - releaseLease: Lua 校验后 DEL，加速接管 - capacityTick: 15F check → 15E grayscale.Advance → 15F decay → 探针失联告警 - runThirdPartyProber: 无主从约束全副本跑（理由注释在代码中） ### server/internal/scheduler/wiring.go BuildStubConfig(): 用存根 LC/Prov 构建可运行的 Config， 供 server main 和集成测试使用；待 #5/#14 就绪后替换真实实现。 ### server/internal/scheduler/scheduler_test.go (go test -race 全通过) - TestLeaderElection: 两实例竞争，任意时刻只有一个在 tick - TestFollowerTakeover: 主实例退出后备实例在 ≤LeaseTTL 内接管 - TestGracefulShutdown: ctx 取消后三个 leader key 被主动 DEL - TestCapacityTickProbeDisconnect: 失联探针触发 Notifier - TestE2EMockScenario: 端到端 mock 剧本 up→suspect(降权10)→confirmed→down + 替换队列 → CreateNode→probing→activating(weight10+BumpVersion+grayscale)→ draining_old→done，全链 node_events/audit_log 对账 ### server/cmd/server/main.go - 新增 SCHED_ENABLED=true 开关，灰度启动 scheduler - 复用 REDIS_ADDR/REDIS_PASSWORD，probe.Store 共享给 scheduler - 通过 signal.NotifyContext 传递 SIGTERM，确保优雅退出 Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>	2026-06-15 22:45:56 +08:00
wangjia	8ed1cfcc75	merge: gRPC server + hub + 跨实例 pub/sub [tsk_mF5RWPEwngai] ... Resolve merge conflict between maestro/tsk__58l3wTLvaSn (gRPC nodes feature) and main (admin backend + JWT config + OpenAPI routes): - server/cmd/server/main.go: keep admin backend (startAdminIfConfigured) AND add gRPC agent server (startGRPC) — both coexist as independent optional listeners governed by their respective env vars - server/internal/config/config.go: keep JWT fields (JWTPrivateKeyPath / JWTKeyID / JWTPublicKeys) AND add gRPC fields (GRPCAddr / CAKeyPath / CACertPath / GRPCCertPath / GRPCKeyPath) - server/internal/nodes/: add all new files from tsk__58l3wTLvaSn (hub.go, hub_test.go, load.go, handler_grpc.go, grpc_test.go, service.go, store.go) — 18 tests, all passing Test: go test ./internal/nodes/... → PASS (18/18) Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>	2026-06-13 20:10:01 +08:00
wangjia	20a1f8e2af	merge: 管理端最小后台 + TOTP 双因素 [tsk_SCMtcGF4F434] ... 以 main 现有 cmd/server 设计为准(保留 probe + /v1 路由),叠加分支新增:internal/admin/ 自包含后台(session/2FA/IP 白名单/审计/模板)、internal/totp/ + cmd/adminctl/(TOTP + 管理员创建 CLI)、cmd/server/main.go 的 startAdminIfConfigured()(opt-in:ADMIN_SECRET_KEY+DB_DSN 才起)。统一 getenvDefault 命名;go.mod 取 HEAD + go mod tidy(x/term 提为直接依赖);admins 迁移与 main 既有 000008_provision 撞号,重排为 000009_admins。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-13 18:47:38 +08:00
wangjia	03b00b9a0f	merge: config + store(UTC DSN) + 自动迁移 [tsk_zRA6fGU1JuHj] ... 以 main 现有 config 设计为准(FromEnv/*Config/单 DSN/RS256),移植分支新增的 store 层:mysql.go 的 Open(*config.Config) 改用 cfg.DSN、结构化强制 UTC + 会话时区断言;migrate.go + migrations/embed.go 提供 golang-migrate 嵌入式迁移;cmd/migrate/main.go 实现 migrate CLI(读 DB_DSN)。未采用分支的 Load()/PANGOLIN_ 前缀/MySQL 拆分字段(与 main 设计冲突)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-13 18:42:46 +08:00
wangjia	bf1717a369	merge: 控制面联调 M6 [tsk_nuoKSM4Vt-zK] ... # Conflicts: # .gitignore # client/lib/widgets/home_shell.dart # client/lib/widgets/server_tile.dart # client/pubspec.yaml	2026-06-13 17:32:26 +08:00
wangjia	b05d7ed416	merge: oapi-codegen 接线 + 生成代码入库 [tsk_Kp80nvHV2yLc] ... # Conflicts: # server/Makefile # server/cmd/server/main.go # server/go.mod # server/go.sum	2026-06-13 17:32:25 +08:00
wangjia	8de32eb611	merge: 弹性节点基建：Terraform + 一键更换 [tsk_6u0FxmbC7Yeq] ... # Conflicts: # .gitignore # infra/cloud-init/node.yaml.tmpl	2026-06-13 17:30:37 +08:00
wangjia	5a6b4a2dbb	merge: maestro/tsk__R8M4jEw43JR [tsk__R8M4jEw43JR]	2026-06-13 17:04:17 +08:00
wangjia	52857d1d55	feat(1e): config PANGOLIN_ prefix + store.Open UTC DSN + go:embed migrations (tsk_zRA6fGU1JuHj) ... - internal/config: rewrite Config with PANGOLIN_ prefix fields (HTTPAddr, AdminAddr, GRPCAddr, MySQL DSN/fields, RedisAddr, AutoMigrate, JWTSecret placeholder, WebhookSecret); Load() replaces FromEnv(); missing required MySQL vars return named-field error. - internal/store/mysql.go: single Open(cfg) entry point; uses mysql.ParseDSN to structurally override ParseTime=true, Loc=UTC, Collation=utf8mb4_unicode_ci, Params[time_zone]='+00:00'; asserts SELECT @@session.time_zone=+00:00 after Ping (startup fatal). - migrations/embed.go: //go:embed *.sql exposes var FS embed.FS. - internal/store/migrate.go: MigrateUp/MigrateDown/MigrateVersion backed by golang-migrate iofs source + mysql driver; ErrNoChange treated as success. - cmd/migrate/main.go: filled — up/down/version subcommands, reads config.Load() + store.Open. - cmd/server/main.go: startup sequence Load → store.Open (UTC assert) → MigrateUp (if PANGOLIN_AUTO_MIGRATE=true) → HTTP listen; structured slog output at each step. - internal/store/mysql_test.go: pure-function unit tests for buildDSN (empty-fields case + conflicting params overridden case); both pass. - internal/store/mysql_integration_test.go: //go:build integration; testcontainers mysql:8 — UTC assertion + MigrateUp idempotency. Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>	2026-06-13 14:52:27 +08:00
wangjia	6e99e32285	feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434 ... 实现「一个二进制三个监听」中的管理端： - 独立监听 ADMIN_LISTEN（默认 127.0.0.1:9443，FromEnv 拒绝 0.0.0.0/:: 等公网绑定） - 中间件链：mw_ipallow（CIDR 白名单，仅信任 RemoteAddr，默认内网段）→ mw_session（HttpOnly+Secure+SameSite=Strict cookie，Redis 30min 滑动 TTL） - 登录双因素：argon2id 密码 + RFC6238 TOTP；失败限流与临时锁定； TOTP 密钥 AES-GCM 加密入库；migration 000008 增补 admins 表； 首个管理员由 cmd/adminctl create 创建（终端输出 otpauth URI/Secret） - 功能三块（html/template + embed 静态资源，原生 JS 二次确认）： 1. 码批次：表单生成→明文仅在本次 CSV 下载出现（不落盘/不入日志）； 批次列表 + 整批作废（复用 #3 codes，新增 Store.ListBatches/VoidBatch） 2. 节点操作：列表 + 近期 node_events；replace 经 #14 ProvisionService、 draining/up 经 #5 Lifecycle（二者未就绪→注入 stub，UI 置灰）；二次确认 + CSRF 3. audit_log 查看：actor/action/target/时间范围过滤分页；同页查 node_events - 所有写操作写 audit_log（actor=用户名，meta 不含明文）；管理端仅记安全事件 （登录失败/锁定/白名单拦截），不记常规访问日志 - internal/totp 复用包（与 doc/05 用户中心 2FA 同算法，纯标准库） 测试：totp RFC6238 向量、argon2/AES 往返、白名单放行/拦截、会话滑动过期、 登录成功/密码错/TOTP 错/未知用户/锁定、批次 CSV 含明文且 audit 不泄露、 作废/节点操作的二次确认与 CSRF 缺失被拒、mock 断言 service 调用参数、审计过滤。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-13 14:49:32 +08:00
wangjia	dd060fd34a	feat(1d): wire oapi-codegen, generate types/server/client, add 501 stubs — tsk_Kp80nvHV2yLc ... - Fix openapi.yaml: quote bearerAuth description that contained unquoted `: ` plain-scalar YAML - Add server/api/cfg-{types,server,client}.yaml — oapi-codegen v2 config for three split outputs - Add server/api/gen/gen.go — three //go:generate directives; run `make generate` - Generate server/api/gen/{types,server,client}.gen.go from the contract (all 15 operations) - Add github.com/oapi-codegen/runtime v1.4.1 to go.mod (runtime types needed by generated code) - Add server/internal/httpapi/unimplemented.go — UnimplementedServer satisfies gen.ServerInterface; every method writes HTTP 501 + {code,message_zh,message_en} JSON body (no dep on task-1f apierr) - Update server/cmd/server/main.go — mount /v1 API via gen.HandlerFromMuxWithBaseURL; keep /healthz - Update server/Makefile — `generate` target now runs `go generate ./...`; add `check-generate` CI guard (regenerate + git diff --exit-code) - Add server/internal/httpapi/unimplemented_test.go — 19 httptest cases covering all 15 API routes (501+body), undefined routes (404), and /healthz isolation Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>	2026-06-13 14:36:21 +08:00