755 Commits

This Branch

This Branch

All Branches

Author	SHA1	Message	Date
wangjia	b98aa2335b	feat(routing): 档案校验 + 规范化(白名单/上限/去重)	2026-07-28 07:31:55 +08:00
wangjia	04b02da78d	feat(routing): routing_profiles 表 + Profile 类型 + store(双方言)	2026-07-28 07:24:01 +08:00
wangjia	c99a9b1106	Merge branch 'main' into feat/configurable-proxy ... # Conflicts: # .gitignore # client/lib/l10n/strings_es.dart # client/lib/l10n/strings_ja.dart # client/lib/l10n/strings_ko.dart # client/lib/l10n/strings_ru.dart # docs/index.html # scripts/local_test.sh	2026-07-28 07:17:34 +08:00
wangjia	7776fc4d6c	docs(routing): 可配置分流 Phase 1 实现计划(.md 执行版 + HTML 阅读版 + 登记索引) ... Phase 1 计划:Task 0 合并 main(前置)+ 10 任务 TDD(服务端 routing_profiles 表/校验/ API/BuildClientConfig 翻译/connect 读档案;客户端 model+API+provider/规则子屏 UI/设置入口/ 自动重连)。执行真相源 docs/superpowers/plans/2026-07-27-configurable-proxy-phase1.md, 阅读版 docs/configurable-proxy-plan.html 已登记 docs/index.html「实现计划」。待用户确认后执行。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-27 12:06:21 +08:00
wangjia	fae73ff656	feat(proxy): 设置行模式 pill 反映当前分流模式(两端,随模式+语言联动) ... 设置页「Routing rules」行的模式 pill 之前静态显「智能分流/Smart routing」,不随实际 所选模式变。改为动态: - pill 加 id=routeModePill,renderRouting 按 state.routeMode 设其 data-i18n(rr.modeGlobal/ Smart/Direct)+ textContent(经 _ri 从 I18N 单源取)。切模式(seg 点击→renderRouting)即时更新。 - data-i18n 保留:切语言时 applyLang/applyI18n 用 pill 当前模式 key 重译 → 模式+语言双联动。 - pill 文案与 seg 一致(全局代理·Global / 智能分流·Smart / 全部直连·Direct)。 验收:两端语法通过、check-proto 全 resolve(rr.mode* 三态)、原型 --check 无漂移。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-27 11:37:12 +08:00
wangjia	64b1ec10c2	feat(i18n): 分流规则页静态标签接单源 + 修 mobile 设置行模式 pill 语言 ... 路由页此前静态标签硬编码中文,EN 模式混语。全部接进 strings.json 单源: - 新增 26 个 routing* 产品 getter(6 语):代理模式/内置规则/国内直连/我的规则/ 添加规则/从文本导入/重置默认/最终/直连·走隧道·拒绝/域名后缀/GeoSite 规则集/返回设置… (复用 smartRoute;seg 三项 EN 取短词 Global/Smart/Direct 适配段宽)。 - app_text.dart +26 抽象声明;重生成 6 份 strings_*.dart;alias.json desktop +24 / mobile +19。 - markup 加 data-i18n;JS pill(直连/走隧道/拒绝、FINAL)统一改从生成的 I18N 单源取(_ri), 与静态 pill 同源。JS-owned 的模式说明 rtModeNote 保留 _t 双语(不加 data-i18n)。 - desktop LAN 行(此前未接)补接 rr.lan/rr.lanSub + 新 routingForcedPill。 - 修 mobile 设置行「Routing rules」的模式 pill:缺 data-i18n → EN 显中文,补 setSmartRoute (en=Smart routing,与 desktop 一致)。 验收:l10n 重生成+analyze 0 issue、原型 0 unresolved、生成器零 diff、244 测试全绿、无红线词。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-27 11:09:03 +08:00
wangjia	a78364ebec	fix(proxy): 添加规则「规则类型」改 chip 选择器(替原生 select) ... 原生 <select> 展开的是 OS 原生下拉(深色蓝高亮),浏览器不让改样式、与暖色设计 系统冲突(铁律 §14 禁原生默认外观)。改为设计一致的可选 chip 组: 域名后缀 / 域名 / IP-CIDR / GeoSite / GeoIP,选中=accent-subtle 底 + clay 字。两端同步。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-27 10:44:28 +08:00
wangjia	4a912b5af3	feat(proxy): 分流规则页交互 — 代理模式切换 + 添加/导入/重置(两端) ... 原型路由页此前段选与三按钮无事件、不重画。补齐(desktop + mobile 同步): - 代理模式段选(全局代理/智能分流/全部直连)点击切换 + renderRouting 重画: 非智能分流时「国内直连 + 我的规则」灰掉禁点、FINAL 兜底按模式变(全局/智能→走隧道、 全部直连→直连)、模式说明随之更新。 - 添加规则→弹层表单(规则类型/目标/动作段选),提交插入规则行(首命中置顶)。 - 从文本导入→textarea,按「目标,动作」逐行解析插入。 - 重置默认→确认弹层,还原出厂规则表。 - 弹层内容 JS 双语渲染(state/S.lang),避免再造「EN 显中文」;复用现有 .dl-overlay/ .rt-sheet + segswitch 范式;图标全取 icons.js 单源(refresh-cw/x/plus/download)。 注:路由页静态标签(段选/内置/FINAL 等)的整体 i18n 仍是独立后续(subagent 已标记的 19 个未接 rr.* 词汇 key)。本次聚焦交互,未改 I18N 生成块(--check 绿)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-27 10:35:49 +08:00
wangjia	75d23023e3	feat(i18n): ③ 原型接单源 — I18N 块由 strings.json 生成,消除重复翻译 ... 原型 design/prototype/screens/{ui-desktop,ui-mobile}.html 的 I18N 数据块不再手写, 改由 strings.json 生成(marker 包裹、生成器唯一写): - alias.json:protoKey → flutterKey(产品串取单源 zh/en,单源赢);desktop 130 / mobile 143。 - overlay.json:原型专属(开发挡板 + app 没有的串,zh/en);desktop 98 / mobile 104。 - new-strings.json:4 个新产品串(分流规则/自定义/局域网直连/强制),6 语,已并入 strings.json + app_text.dart 抽象声明 + 重生成 6 份 strings_*.dart。 - gen_proto_i18n.mjs:strings.json+alias+overlay → 两份 HTML 的 I18N 块;--check 只比对 marker 块(unrelated HTML 编辑不误报)。 - check-proto-i18n.mjs:两份 HTML 所有 data-i18n key 的 zh/en 必须 resolve。 - ci/check-codegen-drift.sh:加原型 i18n 段(--check 漂移 + resolution 验收)。 同带入之前路由原型 WIP 的 i18n 收口:私有服务内置行→局域网/私网直连行、rr.* 接 data-i18n (rr.lan→routingLanDirect 等)。路由页其余 UI(段选/添加规则页)仍为独立后续。 验收(自复核全绿):生成器跑通、data-i18n 0 unresolved、两生成器重生成零 diff、 flutter analyze lib/l10n 0 issue、flutter test 244 全绿、new-strings 无红线词。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-27 09:59:18 +08:00
wangjia	f46191ef4d	feat(i18n): ③ 底座 — serve.mjs 暴露 canonical strings.json 给原型 ... 原型与 Flutter app 共用同一份 design/i18n/strings.json(不在原型内复制): - serve.mjs 加路由 /i18n/strings.json(及别名 /strings.json)→ 直读 ../i18n/strings.json。 - 原型 JS 可 fetch 同源翻译;完整 data-i18n key remap(3 套 key 空间对齐)为后续工作。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-27 08:57:47 +08:00
wangjia	13e0ba6d47	feat(i18n): ④ l10n 漂移闸 + codegen 改纯 node 确定性输出 ... - gen_l10n_dart.mjs 去掉 dart format:其输出依赖包解析状态、跨环境不稳(首次 4 空格、 重跑 8 空格),会让漂移闸误报。改为确定性终态格式(list 单行 const [])。 analyze 不校验格式,不影响;gen 现零 dart 依赖、纯 node 确定。 - ci/check-codegen-drift.sh 增 l10n 段:重生成 strings_*.dart → git diff 非空即 fail (与 token 段同法,纯 node)。 - 验证:往返无损、重生成零 diff(闸稳定)、flutter analyze 0 issue、244 测试全绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-27 08:55:21 +08:00
wangjia	f76e3cdffd	feat(i18n): l10n codegen — strings.json 单源生成 6 份 strings_*.dart ... ② 单源 codegen 落地: - strings.json 补全 lists 段(days7/featsFree/featsPro/featsTeam), 之前 extraction 漏了 4 个 List<String> getter;现 246 getter+4 list+5 method×6 语。 - design/codegen/gen_l10n_dart.mjs:strings.json → strings_{zh,en,ja,ko,ru,es}.dart, getter 转义 \$、method 保留 $var 插值,dart format 定型(保证漂移闸零 diff)。 - app_text.dart 保持手写(enum/abstract 声明/AppLangMisc 逻辑),编译器强制 concrete⊆abstract 兜底。 - 往返无损:生成的 Dart 重新抽取 == strings.json 逐字节一致;flutter analyze 0 issue、flutter test 244 全绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-27 08:47:44 +08:00
wangjia	9ab550d398	feat(i18n): l10n 单源地基 — 6 份手写 Dart 抽成 design/i18n/strings.json ... i18n 单源第一步(用户要求:原型与实际程序必须一份数据)。 - 246 getter + 5 带参方法 × 6 语(zh/en/ja/ko/ru/es),抽取校验 0 缺失 - 抓到真漂移:strings_en.dart 原缺 quotaExhaustedNotice/openAlipayFailed 两个 key(双引号+EN漏维护),单源后六语强制对齐 - migrate_l10n_to_json.py 一次性迁移脚本(单/双引号 + getter/带参方法) 下一步:codegen(JSON→app_text.dart+strings_*.dart,替换手写)+ 原型读同源 + CI 漂移闸。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-27 02:48:39 +08:00
wangjia	f1292b757c	design(configurable-proxy): 修图标(补 plus/私有服务用 shield)+ 桌面补齐 + 模式语义 ... - icons.js 补 'plus'(原缺失致「添加规则」+ 空);私有服务图标 server(不存在)→ shield - 桌面 routing 视图:内置规则加图标框(与移动一致)+ 从文本导入/重置默认已在 - 移动 routing 子屏:补「从文本导入/重置默认」 - 两端加模式说明:用户规则仅「智能分流」生效;全局/直连忽略(系统层仍强制) - 说明文档加三模式语义表 + 系统层解释 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-27 02:26:48 +08:00
wangjia	27b9f0965a	design(prototype): 分流规则深度嵌入真实 ui-kit(桌面+移动屏)+ 登记设计系统 ... 不再用单独页,直接嵌进真实交互原型: - ui-desktop: Smart routing 开关行→分流规则入口→ data-view=routing 子视图(setView 接线+i18n) - ui-mobile: 智能分流行→分流规则入口→ data-sub=routing 子屏(subOpen 接线+i18n+返回回设置) - 复用现有 .pill 语义(直连 is-success/走隧道 is-warning/拒绝 is-danger),不造新原子 - index.html 登记「分流动作」胶囊场景 - 删单独 routing-rules.html;搬入配置说明文档 全走 v2 真原子,设计系统闸绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-27 02:14:36 +08:00
wangjia	f10e887c2a	design(configurable-proxy): Settings页衔接(Smart routing→分流规则入口)+ 默认/自定义规则冲突处理 ... - Settings 的 Smart routing 二元开关演进为「分流规则」入口行(显示模式+chevron) - 冲突处理:系统层永远赢>用户规则(有序首命中)>智能分流>FINAL; UI 主动标记①被遮蔽永不命中②撞锁定系统目标 两类冲突 原型加 before/after 对照 + 冲突可视化例;说明文档加对应章节。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-27 01:57:38 +08:00
wangjia	51317e9f43	design(prototype): 分流规则屏用 v2 真 ui-kit 重建 + 搬入配置说明文档(Task 3) ... 用 v2 设计系统真原子(.segswitch/.setting-row/.toggle/.card/.pill/.btn)建 screens/routing-rules.html(移动子屏 + 桌面设置窗口),替代独立 docs mockup。 配置说明文档搬入本分支 docs/。设计-first,待确认 4 取舍后出实现计划。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-27 01:48:22 +08:00
wangjia	4ca21f9ee9	ci: 修外网发版 GFW 网络坑(sing-box 公网镜像 + gradle/maven 国内镜像)(#5) client-v1.0.75	2026-07-26 12:44:36 +00:00
wangjia	caaed88298	ci(android): gradle 发行版 + maven 依赖走国内镜像(修 #215 22min 挂) ... #215 android 跑到 flutter build apk 的 Gradle 阶段挂了 ~17min: "Gradle threw an error while downloading artifacts from the network" "java.io.EOFException: SSL peer shut down incorrectly"(org.gradle.wrapper.Download) ——这是 sing-box 之外的第二个 GFW 网络坑:Gradle 要下载发行版和 maven 依赖, 走了被墙的 services.gradle.org / dl.google.com / maven central,SSL 被重置。 env 里配了 GOPROXY/PUB/FLUTTER 镜像,唯独 Gradle+Maven 没配。改: - gradle-wrapper.properties: distributionUrl → 腾讯云 gradle 镜像(同一份 zip)。 - settings.gradle / build.gradle: repositories 前置阿里云 google/public/gradle-plugin 镜像,原 google()/mavenCentral()/gradlePluginPortal() 保留作 fallback。 镜像已逐个验证:腾讯 gradle-8.7-bin.zip(206)、阿里云 AGP 8.6.0 pom(200)、 kotlin.android 2.2.0(200)均可取。全球通用,墙内不再依赖被墙源。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-26 11:15:14 +08:00
wangjia	fc1160ecb3	ci(client): sing-box 源码统一走公网镜像 git.51yanmei.com(android/ios/macos) ... android/ios/macos 三端都内嵌 libbox,编译期都要 git clone sing-box 源码。 此前只有 build-android 注入了 SINGBOX_GIT(且指向本地 relay 127.0.0.1:13000, 依赖 tailscale/LAN,Mac runner 出外网即失效),ios/macos 完全没注入 → 直接 clone github.com → 被 GFW/DNS 污染打挂(SSL_ERROR_SYSCALL,exit 128)。 统一改用稳定公网域名 git.51yanmei.com(ali frps ← 家里 NAS frpc,nginx 443 反代 gitea)——外网/内网都通,不依赖本地 relay/tailscale。已用真实 clone 命令 从外网验证 v1.13.13 可拉。ios/macos 同时补 GOPROXY(gomobile go install)。 build-windows 保持 LAN 镜像不动(Windows 台式机固定在家,不移动)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01A79VtQA1BwTuQN1ThpvYpo	2026-07-26 10:36:08 +08:00
wangjia	ee16cd3266	ci(android): libbox 从 NAS gitea 镜像取 sing-box 源码,绕开 github 不可达 ... build-android 失败根因:build-libbox.sh 第一步 git clone github.com/SagerNet/ sing-box,而 mac runner(经 pangolin 隧道)连不上 github(SSL_ERROR_SYSCALL, exit 128)。windows 成功是因为它从 NAS 镜像取 sing-box.exe、不碰 github。 修:build-libbox.sh clone 改用 $SINGBOX_GIT(默认仍 github,本地开发不受影响); deploy-client.yml 的 build-android 设 SINGBOX_GIT=http://127.0.0.1:13000/wangjia/ sing-box.git,经 runner 的 gitea relay 取 NAS 上的 sing-box 镜像(已用 gitea migrate 从 github 拉好,含 v1.13.13)。与 windows 的 DESKTOP_BIN_MIRROR 同思路, CI 不再依赖 github。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> client-v1.0.74	2026-07-26 08:24:03 +08:00
wangjia	e1e43adc80	fix(client-tun): macOS/iOS 应用 excludedRoutes,私有 LAN 真直连 ... 上一版加了服务端 route_exclude_address,但 macOS/iOS 路由由 Swift 的 NEPacketTunnelNetworkSettings 控制,而 openTun 只设了 includedRoutes、 从不设 excludedRoutes → libbox 解析出的排除网段被丢弃,strict_route 仍把 LAN(192.168/16、10/8)抓进隧道,VPN 开着连不上局域网/NAS/家里机器/内网 gitea。 修:openTun 里 ipv4/ipv6 各补 excludedRoutes = excludedRoutes4/6(options), 读 libbox 的 getInet4/6RouteExcludeAddress(sing-box config 的 route_exclude_address 经此暴露)。镜像已有的 includedRoutes4/6 写法。 生效:客户端重新构建发版后,私有 LAN 直连恢复 → CI runner 不再需要经 ali 的 中继隧道(relay),从 Mac 也能直连家里所有内网机器。 Android(VpnService.excludeRoute,API33+ 分版本)作后续。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-26 07:17:09 +08:00
wangjia	a3ad50aa75	fix(client-config): TUN 加 route_exclude_address 让私有 LAN 直连 ... 隧道开着时连不上局域网/NAS/家里机器(SSH/gitea 全 reset)。根因:TUN 入站 auto_route+strict_route 在 OS 层把所有流量(含 LAN)强抓进隧道,而 route.rules 里的 ip_cidr(192.168/16…)→direct 在 macOS 被 strict_route 抵消(direct 出站的 包又被捕回隧道)。 修法:TUN 入站加 route_exclude_address=[192.168.0.0/16, 10.0.0.0/8],在 auto_route 层就把这些网段排除出隧道,LAN 走系统直连。**刻意不含 172.16.0.0/12**——隧道自身 地址与 DNS(172.19.x)在此段,排除会断 DNS。route_exclude_address 为 sing-box v1.13 合法 TUN 字段(option/tun.go)。 影响:VPN 不再黑洞局域网——直连 NAS/家里机器/内网 gitea 恢复,CI runner 也不再 需要经 ali 的中继隧道(relay)。客户端需完整重连拉新配置生效。 测试:TestBuildClientConfigLANExclude 断言 tun 含 192.168/16+10/8、不含 172.16/12; go test ./internal/httpapi 全绿。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-26 01:53:35 +08:00
wangjia	5bc5ed1e62	ci: pangolin 的 runs-on 从 nas 统一改为 mac ... runner 命名/标签统一:mac-pangolin-2 是跑在 Mac 上的个人级 runner,原来挂 `nas` 标签(历史上按"理想归宿是 NAS Linux runner"预留),命名与实体不符、 易混。现把 runner 标签改为 `mac`(个人级不变,仍服务名下所有仓库),并把 pangolin 全部 workflow 的 `runs-on: nas` → `runs-on: mac` 对齐(ci.yml 9 个 job + 解释注释、deploy-client.yml 4 个 job)。与 jiu 的 `runs-on: mac` 统一, 一个个人级 mac runner 即可服务两边。ci-runner.md 标签引用同步更新。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-26 00:55:26 +08:00
wangjia	398e6e61cb	Revert "ci(site): web 发版从 ubuntu-latest 迁到 nas runner" ... This reverts commit 7e357ce. 原判断有误:以为 ubuntu-latest 无对应 runner。管理后台确认 gitea 有一个 **全局**在线 runner `nas-runner`(id 2, label ubuntu-latest),它服务所有仓库 (含 pangolin)——web 发版本来就有 runner、并未卡住。恢复 runs-on: ubuntu-latest, 用回这个专供 web/node 的全局 runner,而非把 web 挪到 Mac host runner。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-25 02:48:11 +08:00
wangjia	7e357ced0a	ci(site): web 发版从 ubuntu-latest 迁到 nas runner ... pangolin 只注册了一个 runner(mac-pangolin-2, label nas, host 模式); deploy-site.yml 原 runs-on: ubuntu-latest 无对应 runner → site-v* 发版 永久排队,官网/用户中心走 CI 发不出来。 改 runs-on: nas,直接在宿主 Mac 上 host 跑(Mac 自带 node v25/npm)。 内存无忧:Astro 轻,Next.js next build 峰值 ~1-2GB,Mac 足够——刻意不放 内存紧的 pangolin1(960MB)或 NAS-Linux。wrangler pages deploy 需网络 + CF token(CLOUDFLARE_API_TOKEN/ACCOUNT_ID secret 已配)。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-25 00:44:42 +08:00
wangjia	ea1a875607	Merge feat/private-dest-acl: 节点侧私有目的地 ACL(按 dp_uuid 放行家庭内网服务) ... pangolin 出口 IP 是家庭内网服务(brain/nas/git/win.51yanmei.com)在 ali 侧的 唯一准入凭据;单用户时=「只有我」,现在 5 个账号退化成「所有 pangolin 用户」。 本功能在节点 sing-box route 上按 dp_uuid 补一道 fail-closed 白名单闸,把语义 拉回「只有我」。改动收敛在 internal/agentd/,零 migration,不动控制面/客户端/DB。 合并动因:该分支代码已在 pangolin1 生产运行(线上 agent 二进制 vcs.revision= e4b527b + auth_user 修复,昨晚经 SIGHUP 热渲染 auth_user 闸生效),但 main 缺失 ——从 main 重建部署 agent 会静默移除这道安全闸。合并后 main 与生产对齐,并把 线上「脏树构建(vcs.modified=true)」规整成干净可追溯来源。 含 21 个提交:设计/计划文档、ACL 配置类型与 fail-closed 加载、渲染放行+拒绝 规则对、last-good 内存+落盘跨重启兜底、SIGHUP 热重载不踢人、ip_cidr/port 校验、 resolve 堵域名绕过、auth_user(VLESS 运行时只认 auth_user)、29 个单测 + 真机验收。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-25 00:20:53 +08:00
wangjia	1d154bd627	feat(admin): 后台登录支持「记住此设备」(免二次验证 + 保持登录) ... 常用设备(已在 mTLS 白名单内)每次都要输 TOTP + 30 分钟就掉线,体验差。 新增登录页「记住此设备」勾选: - 勾选并成功登录(需完整 密码+TOTP)后,签发 30 天设备信任令牌(HttpOnly/ Secure/SameSite=Strict cookie,Redis 存储绑定 admin ID),并把会话延到 30 天 (持久 cookie + 服务端 TTL,滑动续期按会话自身 TTL)。 - 之后该设备重登只需 用户名+密码,**跳过 TOTP**;会话在有效期内保持登录。 安全不变量(均有测试覆盖): - 密码永远必验——即便持有效信任令牌,密码错一律拒(只跳过第二因子,不跳过密码); - 信任令牌绑定 admin,alice 的令牌不能给 bob 免 TOTP; - 无令牌 + 空 TOTP 一律拒(未记住设备仍强制二次验证); - 令牌过期/Redis 清空/未知令牌全部 fail-closed 回退到「要 TOTP」; - TrustedDeviceTTL=0 关闭整功能(勾选无效)。 实现:新增 TrustedStore(Redis, trusted.go);Authenticator.LoginDevice (旧 Login 保持签名,委托新方法,零行为变化);SessionStore.CreateWithTTL + Session.TTLSeconds 支持持久会话按自身 TTL 滑动;handler 读 cookie/勾选、 按 Persistent 设长短会话 cookie、下发信任 cookie;登录页加勾选、TOTP 去 required。配置项 ADMIN_TRUSTED_DEVICE_TTL(默认 720h)。 测试:trusted_test(签发/校验/绑定/吊销/过期/禁用)、login_device_test (跳过TOTP/仍需密码/绑定admin/无令牌需TOTP)、login_device_handler_test (端到端 勾选→双cookie→凭信任cookie免TOTP、无信任空TOTP 401); go test ./internal/admin 全绿,go vet 净。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-24 09:52:56 +08:00
wangjia	f819a77d83	fix(admin): 登录审计记录真实来源 IP(经本机反代时取 XFF 末跳) ... 管理后台经 caddy mTLS 网关(同机 loopback 反代 127.0.0.1:9444)对外后, LoginSubmit 里 hostOnly(r.RemoteAddr) 恒为 127.0.0.1,admin_login_ok/fail 的 ip 字段失去溯源价值。 新增 realIP():仅当 TCP 对端是 loopback(请求确实来自本机可信反代)才信 X-Forwarded-For,且取**最后一跳**(Caddy 把真实 TCP 对端追加在末位,更早的 段可被客户端伪造预置);直连、XFF 缺失或非法值一律回退 TCP 对端。 IPAllow 白名单中间件刻意不变——安全闸继续只看 RemoteAddr,不受任何代理头 影响(维持原注释声明的边界)。 测试:TestRealIP 七例(直连/伪造头/单跳/多跳/缺失/非法/IPv6); go test ./internal/admin 全绿。(internal/store 迁移彩排 3 例失败为 HEAD 既有——主仓干净树复现,与本次无关。) Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-24 08:34:57 +08:00
wangjia	344dfe9a82	docs(agent): 记录 auth_user 血泪教训 + 客户端隧道前置 + 验收须真连接 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-24 07:39:39 +08:00
wangjia	2abe4d0816	fix(agent): ACL 放行用 auth_user 而非 user(VLESS 运行时只认 auth_user) ... 生产验证发现:sing-box 1.13 的 route rule 里 user 字段对 VLESS/REALITY 入站运行时不匹配(仅 sing-box check 语法通过),导致放行规则永不命中、 白名单用户也被兜底拒绝。本地真 VLESS 连接实测确认 auth_user 生效 (good→通/bad→block),node 端 git 一进一出白名单验证 per-user 生效。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 10:36:02 +08:00
wangjia	e4b527b2c9	docs(agent): 上线验收补「live 生效核实」与「域名+裸IP 双形式测另一账号被拒」 ... C1 指出 config.json 内容正常不等于线上生效——SIGHUP 走 sing-box 自身校验,若 新配置被拒,它会保留旧实例继续跑,agent 侧仍记"渲染成功"。第 4 步补 systemctl is-active sing-box + journalctl -u sing-box -n5 | grep -v FATAL。 I3 表明 ip_cidr 目的地存在域名形式绕过口子(已修),第 6 步"另一账号被拒"补充 必须分别用域名和裸 IP 两种目的地表达形式各测一遍,只测一种形式验证不到位。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:45:38 +08:00
wangjia	aaa3384e3b	feat(agent): route 加 resolve action,堵住 ip_cidr 目的地的域名形式绕过 ... sing-box route 的 ip_cidr 匹配的是已解析的连接目的地地址;客户端若发的是域名 形式(如 nas.51yanmei.com:5001)而不先解析,ip_cidr + port 的拒绝规则不命中, 请求会绕过 ACL 直接落到 final:direct——DSM/RDP/SSH 因而对任何持有有效 dp_uuid 的 pangolin 用户可达,不受白名单约束。攻击者只需让客户端连接目的地时使用域名 而非 IP 即可绕过。 用户已拍板方案:在 sniff 之后紧跟加一条 {"action":"resolve"},让节点自己解析 目的地,使域名形式收敛到 ip_cidr 规则上(已用本机 sing-box 1.13.13 确认接受 [{"action":"sniff"},{"action":"resolve"},...] 这个形状,TestRenderedConfig_ PassesSingBoxCheck 也覆盖了这条产物)。route 规则顺序变为: sniff → resolve → ACL 放行 → ACL 拒绝 → WARP。resolve 与 sniff 同条件——只在 产出 route 块时才出现,唯一且紧跟 sniff。 代价(用户已知情接受):节点从此会对连接目的地做 DNS 解析,是对"节点只见不透明 dp_uuid、不知道目的地"这条隐私姿态的一次主动后退,详见设计文档 §12。 TDD:更新 TestBuildRoute_Matrix 的四态断言(规则数 2/3/4 → 3/4/5,新增 resolve 计数/位置断言),新增 TestBuildRoute_ResolvePositionedRightAfterSniff(RED:此前 resolve 不存在)与 TestBuildRoute_NeverConfigured_NoResolve(未配置态不受影响)。 确认既有 TestRender_Warp_InjectsEndpointAndRoute(只断言首条 sniff、末条 warp, 不断言精确条数)未受影响,原样绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:44:58 +08:00
wangjia	f147ffbe9e	fix(agent): 校验 ip_cidr/port,非法即走 fail-closed;渲染产物加 sing-box check 常驻测试 ... cleanTargets 只做 trim/lower,从不校验取值——port:[70000]、ip_cidr:"not-a-cidr" 这类语法正确但语义非法的值会被顺利渲染进 sing-box 配置。SIGHUP 热重载路径下 sing-box 会自己校验并拒绝这份新配置、保留旧实例继续跑,但 agent 早已把它当 "渲染成功"写盘并记正常日志——于是 /etc/sing-box/config.json 内容看起来正常 (能被 json.load 解析、rules 都在),但线上的 gate 其实完全没生效,而这在 运维层面几乎不可见。 修复: - LoadACLConfig 解析成功后跑一遍 validate():每个 target 的 ip_cidr 必须能被 netip.ParsePrefix 解析,每个 port 必须落在 1-65535,否则返回 error——与解析 失败走同一条路径(fail-closed last-good 兜底),而不是把坏值一路渲染出去。 - 新增 TestRenderedConfig_PassesSingBoxCheck:把渲染结果喂给真实 sing-box 1.13.13 二进制的 `check` 子命令断言 exit 0,把设计 §9 "产物合法性" 验收项落成常驻测试 (exec.LookPath 找不到二进制则 t.Skip,不 fail)。本机 sing-box(homebrew 装, 无 with_v2ray_api tag)会因实验性 v2ray_api 段落报编译期不支持的 FATAL——与本 测试要验的 ACL/route 语法合法性无关,故只在这条测试内剥离该段落后再校验。 TDD:acl_test.go 新增 TestLoadACLConfig_RejectsInvalidPort / _RejectsInvalidCIDR (RED:此前返回 nil error)、TestACL_InvalidPortFallsBackToLastGood(RED:非法端口 被渲染进配置)。三条现全绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:43:18 +08:00
wangjia	8e24a157e1	fix(agent): last-good 双失败必须告警 + 降级日志分级 + derr 落日志 ... loadACL 终点此前有两个问题:(1) 读磁盘 last-good 的 derr 从不落日志;(2) ALERT 只在 err != nil 时触发,但 acl.json 单纯缺失(LoadACLConfig 按设计返回 nil,nil, 不是 error)时 err 恰好是 nil——于是 acl.json 缺失 + 磁盘 last-good 同时损坏这种 "gate 实质消失"的最糟场景,反而完全没有日志。 修复: - derr 非 nil 时打 ERROR。 - ALERT 判断改用文件是否曾经存在(os.Stat)而非 err 是否非 nil:acl.json 与 last-good 均 not-exist → 判定"从未配置过该功能",安静返回;否则(其一存在但 读取/解析失败)→ ALERT。 - 两条降级 fallback 日志补 WARN 级别标签,配合 ERROR/ALERT 可用 journalctl | grep -E 'ERROR|WARN|ALERT' 一并抓到。 TDD:acl_test.go 新增三条——双失败必须 ALERT(RED)、从未配置不误报(基线即绿, 防止告警刷屏回归)、降级日志缺 WARN 标签(RED)。全部现绿。 复现细节:双失败场景没有采用"把 acl.json 和 last-good 都整个删除"来复现——那种 状态在文件系统层面与"这台节点从没配置过 ACL"完全无法区分(两次 os.Stat 皆 not-exist),任何仅凭当前文件状态判断的实现都做不出区分,要区分需要额外的持久 标记,超出本 finding 范围。改用"acl.json 缺失 + 磁盘 last-good 存在但损坏"复现, 这是一个可被 os.Stat 命中的信号,也更贴近 §5 描述的真实故障。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:39:30 +08:00
wangjia	dbc787ac2e	docs(agent): 设计 §12 补 SNI 绕过残留 + brain basic auth 已落地 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:38:16 +08:00
wangjia	63f4325e51	fix(agent): 空/手抖 acl.json 不得静默关闸或覆盖 last-good ... loadACL 的成功分支此前无条件把解析出的 ACL 存为内存 last-good 并落盘,不管 它是否真的产出任何规则。encoding/json 忽略未知字段(必须如此,样例文件靠 _comment 自文档)——所以 "targetz"(手抖打错 "targets")或 "targets": [] 都能 解析通过,Targets 变 nil,active() 为 false,规则消失(gate 被静默关闭),且同一次 调用还会拿这份空配置覆盖 acl.last-good.json,销毁唯一的恢复快照。 修复: - enabled=true 但 cleanTargets() 为空 → 视为加载失败,走 last-good 兜底, 绝不返回、也绝不持久化这份空配置。 - 只有 active() 为真的配置才更新 last-good;active()=false 只可能是显式 enabled:false(合法关闭),此时原样返回(不产出规则)但不覆盖磁盘上的 last-good,保留后续误删/损坏时的恢复能力。 - 白名单为空但 target 有效(拒绝所有人的合法配置)不受影响,仍持久化为 last-good、仍产出拒绝规则。 TDD:acl_test.go 新增三条 —— 手抖字段名(RED:拒绝规则消失且 last-good 被覆盖)、 显式 enabled:false(RED:last-good 被覆盖)、空白名单但有效 target(基线即绿, 防止修复过度矫正)。三条现全绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:37:47 +08:00
wangjia	60ff7cc586	fix(agent): pangolin-agent.service 补 ExecReload,使 systemctl reload 走 SIGHUP 热重载 ... [Service] 块只有 ExecStart,没有 ExecReload——systemctl reload pangolin-agent 返回「Job type reload is not applicable」,运维只能退回 restart,而 restart 会让 agent 进程内 s.started 复位为 false,首次渲染走冷启动 systemctl restart sing-box, 瞬断全部在线用户。这正是 Task 5 SIGHUP 热重载路径存在的意义所在,却因为 unit 文件 缺一行而完全走不通。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:36:11 +08:00
wangjia	1cb494daa6	docs(agent): 计划回填 cleanHosts 去重的执行后修订 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:28:49 +08:00
wangjia	3324c1d687	docs(agent): 私有目的地 ACL 配置样例与常驻校验测试 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:24:51 +08:00
wangjia	6f183ff0df	feat(agent): SIGHUP 重读节点本地配置并热重渲染,不踢在线用户 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:15:27 +08:00
wangjia	d216e157c3	test(agent): 覆盖 acl.json 被删时仍走 last-good 兜底 ... 删文件走的是 LoadACLConfig 返回 (nil,nil) 的分支,与坏 JSON 的 err!=nil 分支不同,此前无回归覆盖。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:09:02 +08:00
wangjia	87d5afa703	feat(agent): 渲染时读取 ACL,内存+磁盘 last-good 保证 fail-closed 跨重启 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:01:45 +08:00
wangjia	4155fc8542	refactor(agent): route 块改由 buildRoute 统一产出,合并 ACL 与 WARP ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:52:39 +08:00
wangjia	597d6ab68b	feat(agent): ACL 渲染放行/拒绝规则对,空白名单仍拒绝 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:40:11 +08:00
wangjia	d4156b81e2	refactor(agent): cleanDomains 委托 cleanHosts,消除同包重复逻辑 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:32:43 +08:00
wangjia	6df7c9de44	docs(agent): 修复计划未闭合代码块 + Task 6 改用常驻测试校验样例 ... 未闭合的 ```go 让 Task 4-6 的标题落进代码块，task-brief 无法提取； Task 6 原用 go run 校验样例文件，该文件在 module 外无法解析 import， 改为常驻测试 TestACLExampleFileStaysValid，并断言样例 uuid 为占位符 以防真实 dp_uuid 入库。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:12:06 +08:00
wangjia	e4d014ba99	feat(agent): 私有目的地 ACL 配置类型与 fail-closed 加载语义 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:07:15 +08:00
wangjia	b71f6038ae	chore: gitignore superpowers 执行暂存目录 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:02:37 +08:00
wangjia	9cbffbb727	docs(agent): 私有目的地 ACL 设计方案与实现计划 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:01:19 +08:00