158 Commits

Author	SHA1	Message	Date
wangjia	b30f472d90	fix(server/pay): 订单展示金额兜底 — 老单 amount_minor=0 回退档位展示价(按方式结算币种) ... Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-12 06:54:18 +08:00
wangjia	a5adbf347b	feat(server/pay): 订单列表端点 + 分币种展示价 + 富字段详情 ... - GET /v1/pay/orders 订单列表(Store.ListByUser,本地台账倒序) - catalog 增 PriceUsdtMicro(USDT 一口价展示) + SettlementCurrency/DisplayAmountMinor - 下单按支付方式落展示金额/结算币种(crypto→USDT / 法币→CNY),webhook 覆盖实际 - GetOrder 详情回带 sku/plan/method/amount/currency/created_at/paid_at - 新增 List 越权/倒序/富字段 + 分币种展示金额 + 详情富字段测试 - 修 3 个 pre-existing 迁移测试(renumber 后 21→23 遗留) Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-11 23:45:21 +08:00
wangjia	43c76fb978	Merge remote-tracking branch 'origin/main' into feat/pay-v2-integration ... # Conflicts: # docs/index.html # server/cmd/server/main.go	2026-07-11 16:44:05 +08:00
wangjia	05922710b2	feat(server): CORS 中间件(白名单跨域,支持用户中心/官网前端) ... 控制面无 CORS 导致 pangolin.yanmeiai.com 的用户中心跨域打 api.yanmeiai.com 被浏览器拦(Network error)。 加白名单 CORS(env CORS_ALLOWED_ORIGINS,默认 https://pangolin.yanmeiai.com):回显 Origin、应答预检 OPTIONS、 放行 Authorization/Content-Type;不用 '*'、不放行 credentials(走 Bearer token)。	2026-07-11 15:33:07 +08:00
wangjia	1a7b93ed2f	feat(server): /buy 自包含购买页(同源,USDT+哪吒,登录→下单→轮询开通) ... 单文件 HTML(内联 CSS+JS,go:embed)挂在公开 GET /buy,与 /v1/pay 同源免 CORS: 登录 -> 拉取套餐 -> 选 USDT/哪吒下单 -> 按 render_type(crypto_address/redirect/qr) 展示付款信息 -> 轮询订单直到 activated,页面隐藏/关闭时停止轮询。 Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-11 14:52:21 +08:00
wangjia	1198ecc556	fix(migrations): 恢复线性迁移编号,与生产已应用的对齐 ... 集成分支曾把已上线的 000020_ad_bonus_minutes(#21)/000021_devices_user_scoped_uuid(#27) 两个迁移错误覆盖成 codes_lib_legacy_rename/pay_purchases,与生产(schema_migrations=21) 的实际血统冲突,导致 golang-migrate 在生产上找不到 version 21 文件而报错。 恢复为:020 ad_bonus / 021 devices / 022 codes_lib_legacy_rename / 023 pay_purchases。 生产库副本完整试跑通过:version→23,pay_purchases 建好,subscriptions CHECK 加 'pay', codes 库表就位,3 用户/3 订阅数据零丢失。 Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-11 14:25:09 +08:00
wangjia	e6897ecda4	build(server): codes 依赖改伪版本 pin(经 gitea),去本地路径 replace ... replace github.com/wangjia/codes => 本地路径 换成 require github.com/wangjia/codes v0.0.0-20260710045055-c772d5256794(gitea @ c772d52)。 本地/CI 需配 GOPRIVATE=github.com/wangjia/codes + git insteadOf(github→gitea ssh)。 交叉编译 linux/amd64 已验证:部署走本地编译+传二进制,目标机无需 go/gitea。 Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-11 09:21:53 +08:00
wangjia	bc9aa38392	fix(server): pay webhook 兜底补行不再漏停用用户(修静默丢钱)+ 未知事件日志 + PAY_BIZ_SECRET 启动守卫 ... - webhook 兜底路径(台账缺行按 biz_ref 定位用户)去掉 status='active' 过滤, 与正常路径(row.UserID 直接开通不看状态)对齐:钱已实收,不因用户被停用 (banned)而拒绝补行开通,避免 500→pay 12 次重投后死信→静默丢钱。 - 未知 event_type 分支加 slog.Warn,便于将来 pay 侧误注册无 handler 的事件 类型时能被观测到。 - PAY_BASE_URL 已设但 PAY_BIZ_SECRET 为空时 log.Fatal 拒绝启动,避免出站 签名失败+入站验签全 401 的静默瘫痪。 - InsertFromWebhookTx 不再把 channel 冒充 method 写入台账(payload 无 method 字段可复原,留空并加注释,消除台账观感误导)。 新增 TestWebhook_MissingLedgerFallsBackEvenWhenUserSuspended 覆盖 #1: 台账缺行 + 目标用户 banned 时,兜底补行仍成功开通并回 SUCCESS。 Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-11 00:48:57 +08:00
wangjia	390b8b8f84	chore(server): pay v2 接入终验 + OpenAPI 登记 + 交付说明 ... 全量矩阵本地全绿(build/vet/test/run_sqlite_test.sh + 新增 SQLite 文件库带数据 升级彩排 + MySQL 8 容器验证 000021 MODIFY ENUM;client analyze/test 功能全绿, 27 个既有 golden 像素噪声与本次接入无关)。server/api/openapi.yaml 登记 6 个新 Pay 端点(catalog/orders/orderNo/retry/cancel/webhook)+ schema,通过结构校验。 顺手修复 run_mysql_test.sh 缺 multiStatements=true 的既有 bug(与 pay-v2 无关)。 新增 pay_migration_rehearsal_test.go 验证 000021 升级不丢行/AUTOINCREMENT 续序, 并确认一处安全特性:已有 source='pay' 行后 down 会被 CHECK 约束正确拒绝。 交付说明 docs/pay-v2-integration-delivery.html(含测试矩阵/联调 checklist/部署 附录)已登记 docs/index.html,记录一处既有但未修的部署前置阻断项(go.mod 的 wangjia/codes 本地路径 replace 会阻断异机构建,超出本任务授权范围)。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-11 00:34:10 +08:00
wangjia	16b8823f1f	feat(server): pay webhook 接收器(验签/时间窗/nonce + out_trade_no 幂等开通,回 SUCCESS) ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 22:38:01 +08:00
wangjia	932953bafe	feat(server): /v1/pay 下单代理端点 + 购买台账(JWT 鉴权,user→biz_ref 映射) ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 22:32:43 +08:00
wangjia	db2461ed1d	feat(server): pay v2 出站客户端(HMAC 签名下单/查单/retry/cancel)	2026-07-10 20:52:33 +08:00
wangjia	7370b17bd9	feat(server): codes.GrantPaidSubscriptionTx 提炼订阅叠加语义供 pay 复用 ... CreateSubscription/applySubscription 加 source 参数(兑换路径传 "code" 零行为变化);新导出 GrantPaidSubscriptionTx(ctx, tx, ...) 供 pay 侧在 调用方事务内以 source='pay' 复用同一段叠加语义(同 plan 活跃订阅原地 延长,否则新建行),写 pay_grant 审计。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 20:49:25 +08:00
wangjia	85140edf1c	feat(server): 迁移 000021 pay_purchases 台账 + subscriptions.source 扩 pay ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 20:46:13 +08:00
wangjia	16855a533a	chore(server): 清理 stale code_batches 注释	2026-07-10 15:03:45 +08:00
wangjia	db3428f622	test(server): mysql 集成测试对齐 codes 库新表(断言不变,环境搭建换 ApplyMigrations)(#codes-lib)	2026-07-10 15:03:43 +08:00
wangjia	ef4ed47759	feat(server): admin 批次列表/作废改指 codes 库新表,清理被取代的旧 store 方法(#codes-lib)	2026-07-10 14:53:29 +08:00
wangjia	d1e2fed563	feat(server): webhook 薄壳化——保留 X-Pangolin HMAC 协议,铸码走库单事务原语(#codes-lib)	2026-07-10 14:45:08 +08:00
wangjia	0822d22e2c	feat(server): Redeem 换芯 GuardedRedeem——grant 回调同事务复刻订阅叠加+双审计(#codes-lib)	2026-07-10 14:34:30 +08:00
wangjia	e128c96d22	feat(server): CreateBatch/生成器切换到 codes 库(Mint 单事务全成或全无)(#codes-lib) ... Store 挂库 store(NewStore 内部构造 libcodes.Store,签名不变); generator.go 三函数委托 libcodes,ErrDuplicate 别名同一哨兵; Service.CreateBatch 走 libcodes.Mint(签名不变)。openMigratedSQLite 挪到共享 sqlite_helper_test.go,backfill_test.go/service_sqlite_test.go 共用。Store.CreateBatch/CreateCode/CodeExistsByHash 原样保留供 webhook.go(Task 6 改用新原语,Task 7 删除)。	2026-07-10 14:24:18 +08:00
wangjia	15f0d78a91	feat(server): legacy 码表 → codes 库新表的幂等回填(Go 双方言)(#codes-lib)	2026-07-10 14:13:21 +08:00
wangjia	7a4c9b97d0	fix(server): migrate down 兼容 codes 库自建表(先 DROP 再改名回)+ 真实接线回环测试(#codes-lib) ... Reviewer 复现:cmd/migrate up 接线 ApplyCodesLibMigrations 后,codes 库自建的 codes/codes_batches/codes_audit_log/codes_schema_migrations 四张表不受 golang-migrate 追踪;000020 的 down 脚本做 legacy_codes -> codes 改名回时, 撞上库自建的同名 codes 表,报 "table already exists" 硬失败。 000020 的 sqlite/mysql down 脚本改名前先 DROP TABLE IF EXISTS 掉库自建四张表, 并注明:down = 完整回滚「rename + 库建表」组合,库表数据随 down 销毁属预期 (权威数据仍在 legacy_* 表,回填是后续任务,回填落地后 down 语义需重新审视)。 新增 TestCodesLibMigrateRoundTrip 走真实接线路径(MigrateUp -> ApplyCodesLibMigrations -> 单步撤销 000020 断言 legacy 复原/库表清空 -> 撤销回去 -> 再跑 ApplyCodesLibMigrations 验幂等 -> 全量 store.MigrateDown 即 cmd/migrate down 的真实调用路径,确认不再硬失败)。先用 git stash 掉修复验证 测试能精确复现 reviewer 报的 "table already exists" 报错(RED),再恢复修复 转绿(GREEN)。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 14:06:01 +08:00
wangjia	5a9b5f1d8e	feat(server): cmd/migrate up 接入 codes 库自建迁移(ApplyCodesLibMigrations)(#codes-lib) ... 顺带修 000020 sqlite 索引名冲突:ALTER TABLE RENAME 不会带着重命名索引, legacy_codes 上遗留的 idx_codes_status 与 codes 库自己迁移里同名索引撞名, 一并改成 idx_legacy_codes_status(up/down 对称)。	2026-07-10 13:55:14 +08:00
wangjia	665749a90b	feat(server): 迁移000020 旧码表更名封存 legacy_*(为 codes 库表让位)(#codes-lib) ... RENAME codes/code_batches -> legacy_codes/legacy_code_batches(双方言), 为共享库 github.com/wangjia/codes 的同名 codes 表让位。sqlite_migrate_test.go 同步到 version=20 + legacy_* 表清单。 顺带 skip TestSQLite_CodesRedeemFlow(internal/store/sqlite_stores_test.go): 该测试直调 internal/codes.Store 的低层方法(CreateBatch/CreateCode/ FindCodeByHashForUpdate/MarkRedeemed),现在指向被更名的旧表。计划本身在 Task 5(Store 换芯 + Redeem 走库)显式删除此测试、由 Service 级 sqlite 用例 接管等价覆盖 —— 这里先 skip 而非改写/删除,保持 go test ./... 全绿,避免 在 Task 1 提前动到 Task 4/5 范围内的 internal/codes/store.go。	2026-07-10 13:46:17 +08:00
wangjia	e44e4616cd	feat(server): 接入 github.com/wangjia/codes 共享库依赖(pin c772d52)(#codes-lib) ... Task 0 preflight: 验证锚点(表结构/service.go 行为/main.go 装配点)无漂移, 建立改动前基线(25 包全绿)。 Controller resolution 覆盖计划原文 Step 2:验证分支不改机器级 git config / GOPRIVATE,改用 server/go.mod 内 replace 本地路径(见 go.mod 注释),合并前 需切换为 git insteadOf + 已发布版本(登记为协调项)。go get + go mod tidy 后 codes 因尚无代码 import 而未在 go.mod 落 require(预期行为,后续任务 接线后会重新出现);replace 指令本身及其带出的依赖抬升(modernc.org/sqlite 1.18.1→1.38.2, redis/go-redis/v9 9.20.1→9.21.0)已保留并通过改动前/改动后 两轮全量测试(均 25 ok / 0 FAIL)。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 13:39:08 +08:00
wangjia	c9e266b89a	fix(server+ci): 修 go-integration 真 bug + e2e 免疫代理(CI 收尾) ... DinD 修复后暴露的两个 CI job,诊断: Go integration(真 test-drift bug,早前会话改动遗留): - auth/integration_test:Register/Login 补 ip + DeviceMeta 参数(sessions/ device-meta 改动后陈旧调用,构建失败)。 - usage/usage_integration_test:手写测试 schema 补 ad_bonus_minutes 列 (migration 000020 加的);重写 TestIntAdsUnlockAccumulates 断言对齐 ad-unlock 转累加式(UnlockAd→AddAdBonusMinutes,不再 stamp ad_unlocked_at)。 - devices/devices_integration_test:套餐种子 pro=5→3(migration 000019 改的)。 - devices/context.go(生产 1 行):CtxKeyUserID 别名到 codes.CtxKeyUserID——原为 独立 devices.ctxKey 类型,与 auth 注入的 codes.ctxKey 类型不同→context 取键 失配(休眠 bug,中间件目前仅测试接线)。go build 通过。 E2E(环境问题,非脚本):删 ci.yml 里多余的 apt-get(openssl/curl/python3 已在 golang:1.25 镜像内;原 apt 走 Docker Desktop 代理→本机死口,徒增脆性)。脚本 本身本机直跑通过。 验证:go test -tags integration -count=1 -p 1 ./... 全 ok;go build ./... clean。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-08 09:04:10 +08:00
wangjia	84448b3064	fix(server/cors): 放行 X-Refresh-Token 头(修用户中心刷新掉线) ... 用户中心用 header token 方案:access token 只存内存、refresh token 存 localStorage,页面刷新后靠 POST /v1/auth/refresh 带 X-Refresh-Token 头静默续期 (web/usercenter/lib/api/http.ts)。 但 CORS Allow-Headers 只放行 Content-Type/Authorization,浏览器预检发现 X-Refresh-Token 不在白名单 → 拦截真正的 refresh 请求 → api.refresh() 抛网络错 → setAuthed(false) → 甩回登录页。表现:登录能成功(不带该头),但一刷新就掉线, 用量/续费等需登录态的页面全打不开。 修:Allow-Headers 加 X-Refresh-Token。加回归断言(cors_test)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-07 23:03:39 +08:00
wangjia	4940278ea5	feat(migrate): 用户中心迁到 pangolin.yanmeiai.com/user/ + 域名配置化 ... 原独立子域 app.yanmeiai.com → 主站子路径 /user/(用户选停用旧域名): - 域名配置化(去硬编码):客户端 kWebUserCenterBaseUrl 收进 api_config.dart (dart-define 可覆盖);官网 site.ts、服务端 CORS_ORIGINS 本就是配置 - 用户中心 next.config basePath=/user;layout.tsx 的 /colors_and_type.css 手动 拼 basePath(public 根绝对资源不自动加前缀,否则 404) - CI 合并部署:compile-site + compile-usercenter + combine-site(用户中心并入 dist/user/ + _headers 按 /user/* 分域:官网严格 CSP,用户中心 unsafe-inline+ connect-src https)→ 单次部署 pangolin-site;删独立 pangolin-usercenter 部署 - 服务端 CORS 默认 origin app.yanmeiai.com → pangolin.yanmeiai.com(+ 测试) - 客户端 web_launch 走新址 → 随 client-v1.0.62;go test CORS 过、flutter analyze 净 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-07 17:33:22 +08:00
wangjia	4baf24f6f8	feat(server): 自动更新 /version 清单端点(镜像 jiu) ... GET /version(公开)读 /etc/pangolin/version.yaml(每请求重载,免重启);缺省回退。 download_urls 接 /downloads。deploy.sh 装清单(存在则不覆盖, 保住线上 bump)。含 4 测试。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-07 00:12:46 +08:00
wangjia	1e13f35219	feat(server): SSO 换票端点(App→Web 免登握手) ... /v1/auth/web-ticket(需登录):签发一次性票据(crypto/rand 32B, Redis GETDEL 单用, 60s)。 /v1/auth/web-ticket/exchange(公开):票换与 /auth/login 同款 token pair。镜像 jiu。含 6 测试。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-06 23:54:15 +08:00
wangjia	3d521973ab	feat(server): CORS 中间件(Web 用户中心跨域调 /v1/*) ... usercenter(app.yanmeiai.com,浏览器)跨域调控制面 API 会被浏览器拦(无 CORS 头)。 加白名单 CORS 中间件(CORS_ORIGINS,缺省 app.yanmeiai.com + pages.dev),应答 OPTIONS 预检。原生端非浏览器不受影响。Bearer 认证故不需 Allow-Credentials。含 3 项测试。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-06 21:52:33 +08:00
wangjia	2e631ed3b5	feat(server+web): 客户端下载闭环——pangolin-server /downloads + 官网下载链接 ... - server: /downloads/* 公开静态服务(NewDownloadsHandler,DOWNLOADS_DIR 默认 /var/lib/pangolin/downloads),防目录穿越/不列目录/缺目录不崩,Cache-Control: no-cache 保证 CI 覆盖后永远最新。挂在 /healthz 同级(免鉴权)。含 4 项测试。 - deploy.sh: install -d 下载目录 + server.env 注入 DOWNLOADS_DIR。 - web: site.ts 增 downloads.{android,windows}(→ https://api.yanmeiai.com/downloads/*); Download.astro 接上 Android/Windows 按钮,iOS/macOS/Linux 改「即将推出」禁用态。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-06 19:48:57 +08:00
wangjia	08fb915b5e	test(devices): #27 同机换账号登录注册 E2E(SQLite,服务层) ... 走 login 完全相同的路径 devices.Service.RegisterIfAbsent{MaxDevices:0}: 同一 device uuid 两账号各得一行、A 重登幂等刷新、共享 uuid 恰 2 行。 补 SQLite(生产同引擎)服务层覆盖,与既有 store 层 TestSQLite_DevicesUserScopedUUID 及 MySQL 集成 TestSameDeviceUUIDTwoAccounts 三层互证 F3 修复。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-05 13:11:25 +08:00
wangjia	eb7c3c1062	feat(agent): WARP 域名分流 —— 命中域名走 Cloudflare 干净出口(#29) ... 节点 sing-box 渲染新增可选 WARP 分流:节点本地 warp.json(默认 <StateDir>/warp.json)配 WARP 凭证 + 域名清单 → 渲染时注入一个 userspace WireGuard(WARP)endpoint + route(sniff 取 SNI/Host → domain_suffix 命中走 warp,其余 final=direct)。sing-box 1.11+ endpoints 语法,system=false 用户态 不依赖内核 wg 模块。 - 运营改域名只需编辑 warp.json + 重启 agent(sing-box 无热重载),即「配置的方式」。 - warp.json 不存在/enabled=false/域名空/凭证缺/坏 JSON → 一律按未启用,配置与旧 节点逐字节一致,坏配置绝不产出无法启动的 sing-box config(渲染读失败仅记日志)。 - WARP 凭证节点私有(wgcf 注册免费匿名账号),不入 git、不经控制面。 - 测试:注入 endpoint+route/无配置无 route/禁用或残缺不注入/坏 JSON 优雅退化。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-02 13:40:00 +08:00
wangjia	f035552ff5	fix: disconnect 吊销每设备凭证 + 客户端断开时真正调用(F4,#28) ... 审查 F4 两层问题:①DisconnectNode 只撤账户级 ent.DpUUID,而 connect 下发的是 每设备 devDp——吊销从未对准目标;②客户端从未调用过 disconnect 端点(只有 fetchConfig),端点是死代码,凭证一律活到 TTL(付费 24h)。 - server:disconnect 收 optional body {device_id},吊销该设备 dp_uuid(优先)+ 账户级遗留兜底;旧客户端无 body 走兜底,行为不回归。nil hub 守卫(测试友好, 与 ListNodes 一致)。 - client:ConnectApi.disconnect(best-effort,5s 超时吞错);_disconnect 加 revokeCredential 参数,仅在「不会紧接重连同节点」的路径置 true(用户主动断开/ 额度耗尽/登出)——看门狗断开→重连若也吊销,revoke 可能晚于新 connect 推送、 误杀新会话。 - test:httpapi disconnect 三态(带 device_id 双吊销/无 body 仅兜底/设备已移除 不炸);client 功能套件 182 过(golden 为已知 macOS 本地漂移,不相关)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-02 13:29:01 +08:00
wangjia	63d1baeb01	fix(server): devices 唯一键改 (user_id,uuid) —— 同机换账号不再 403 死结(F3,#27) ... device_id 按安装持久、跨账号复用;旧全局 UNIQUE(uuid) 使同机第二账号注册永远 403 → ConnectNode 判 DEVICE_NOT_REGISTERED,提示的「重新登录」无法自救。 - migration 21(sqlite/mysql):UNIQUE(uuid)→UNIQUE(user_id,uuid);platform 放行 linux(normalizePlatform 早已接受,旧 CHECK/ENUM 会拒)。SQLite 表重建用 rename→重建→复制→drop 次序,单事务内不触发 sessions 的级联清空(FK ON)。 - 查找全部收口为按 (user,uuid) 作用域(重复 uuid 跨用户后全局查询歧义): findDeviceByUserUUIDTx / FindByUserUUID;Register 删跨用户 Forbidden 分支; Delete/ForceLogout/Rename 对他人设备返回 404(不可见);SessionActive 删 「非本人 fail-safe」分支,dev==nil→false 语义不变。 - 测试:SQLite 真迁移库 F3 回归(两账号同 uuid 各自成行/同用户重复拒/linux 入库/ sessions 重建后级联仍成立)+ MySQL 集成测试 schema 同步与双账号用例。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-02 13:16:40 +08:00
wangjia	daaed39bac	fix(server): 用量分钟数按墙上时钟去重 —— 多设备并发不再 N× 超计(bug) ... agent 按每 dp_uuid(每设备)每窗口计 SessionMinutes=1,控制面 ReportUsage 逐条累加进 usage_daily.minutes_used → N 台并发 = N×墙上时钟(线上 chenxin 2903 分钟/天,不可能)。 免费额度是「所有设备共同的时间」,超计会把免费账号错误判「时长耗尽」而断连。 改 ReportUsage:账户维度按 user 分组去重 —— 字节仍求和(可加),分钟按窗口取 max (=窗口墙上分钟,恒为 1)去重,循环后每 user 各 flush 一次 AccumulateUsage/Hourly。 每设备维度(usage_device_*)保持逐台累加不变。usage_daily.minutes_used ≤ Σ 每设备分钟, /me 的 quota_today_min 与 ConnectNode 免费门随之正确。历史数据次日归零、不回填。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-02 09:57:19 +08:00
wangjia	038e5b6ab5	fix(server): 被移除的设备会话轮询判活 —— dev 行不存在应判「失效」而非「有效」(bug) ... SessionActive 在设备被 DeleteDevice 删行后 FindByUUID 返回 nil,此前一律 return true (「未知/非本人设备不据此登出」)。结果:被移除的设备轮询 /me/session 永远拿到 active=true → 不登出、不弹框,只表现为数据面凭证被召回→隧道断→客户端误报「节点异常」。 改为:dev==nil(自身 device_id 查无此行,已登录客户端必然注册过 → 只能是被移除)→ return false,让其登出;dev.UserID!=userID(他人 uuid)仍 return true 兜底。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-02 01:54:53 +08:00
wangjia	e023fb6579	feat(server): 免费版账户级分钟卡控 + 累加式看广告加时(#21 后端) ... 免费版此前形同虚设:ConnectNode 每次连接发固定 daily_minutes×1min TTL、 从不扣减已用,重连即崭新 10 分钟,日额度从未强制。改为账户级(全设备共享) 真卡控 + 累加式看广告加时: - migration 000020: usage_daily 加 ad_bonus_minutes(sqlite+mysql)。 当日额度 = plans.daily_minutes + ad_bonus_minutes;剩余 = 额度 − minutes_used。 - usage.store.AddAdBonusMinutes: 事务内累加封顶(替代布尔 MarkAdUnlocked), 返回新总额+本次实际加时;GetDay/GetUsageRange 补读 ad_bonus_minutes。 - usage.service.UnlockAd: verify+nonce 后 +adBonusPerAd(10) 封顶 adDailyBonusCeiling(120), 返回 granted+remaining;TodaySummary 加 MinutesCap/AdBonusMinutes。 - usage.ads DevVerifier: 放行式占位校验(nonce 防重放仍生效),接真 AdMob 前 让看广告加时流程可端到端跑通;main.go 按 ADS_DEV_MODE/默认装配。 - ads/unlock: 204 → 200 返回 {granted_minutes, minutes_remaining}。 - ConnectNode 免费门: 读 AccountDayMinutes(used,bonus) → remaining≤0 拒 QUOTA_EXHAUSTED, 否则 TTL=remaining(凭证到点硬切断兜底)。nodes.store 加 AccountDayMinutes。 - /me: 补 ad_bonus_minutes,quota_today_min 分母改 daily+bonus,加 quota_cap_min。 - quota.CheckFreeConnect 同步累加语义(免费基础 10 分钟不再需先看广告)。 - openapi + 契约/迁移版本/集成测试同步;新增 SQLite AddAdBonusMinutes 单测。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-01 23:44:10 +08:00
wangjia	0bedd1c4d1	fix(server): 连接删掉账户级 dp_uuid 回退,未注册设备直接拒(#16) ... 漏洞:设备被移除后行已删,但靠残留 access token + 连接时回退「账户级 dp_uuid」 还能连上(EnsureDeviceDpUUID 找不到设备→回退),且不计入活跃设备数,绕过设备上限。 修:ConnectNode 去掉账户级回退。设备未注册/已被移除(EnsureDeviceDpUUID 返回 ErrDeviceNotFound)→ 403 {code:DEVICE_NOT_REGISTERED} + 提示「请重新登录以重新 注册设备」。客户端现有 ConnectApiException 处理会把该 message_zh 显示在连接页, 用户重新登录即重新注册(并命中登录挡板/超限流程)。 - nodes: 新增哨兵 ErrDeviceNotFound;EnsureDeviceDpUUID 包装它 - httpapi ConnectNode: errors.Is(ErrDeviceNotFound) → 拒连;其余错误 500 go build/vet 干净;nodes/httpapi 测试全过。客户端不用改。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-01 22:51:12 +08:00
wangjia	0a70a24cdb	feat: 连接设备上限 backstop — 兜住"已登录的超限设备"(#16) ... 登录挡板只拦新登录,已登录的超限会话(如 pro 已连 5 台)永远不被提示 → 限制形同虚设。 补服务端连接卡点:超限账户连接直接拒,兜住已登录设备(下次一连即被拦,无需重登)。 服务端: - Entitlement 加 MaxDevices(EntitlementForUser 查 p.max_devices;free 默认 1) - NodeStore.CountActiveDevices(近 30d 活跃)+ SQLNodeStore/mock 实现 - ConnectNode:activeCount > MaxDevices → 403 {code:DEVICE_LIMIT_EXCEEDED, max_devices} 客户端: - ConnectApiException 解析 code/max_devices(结构化错误体) - _connect 遇 DEVICE_LIMIT_EXCEEDED → 置 deviceLimitProvider → 顶层路由弹「移除设备」页 (设备列表走 devicesProvider),移除到上限内自动放行 后端 go test(store/nodes/httpapi/devices)全过;前端 analyze 干净 + 66 测试过。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-01 22:11:13 +08:00
wangjia	6bac7fd2f0	feat(server): 设备上限登录闸(超限非硬拒登,返回 device_limit 信号)#16 ... 启用设备数量限制的服务端部分。登录照常成功签发 token(非硬拒登),但若账户活跃 设备数超套餐上限,登录响应带 device_limit 信号,客户端据此弹「移除设备」页。 - devices/store.go:CountActiveDevices(last_seen 近 staleWindow)+ PruneStaleDevices (删超期僵尸行,免费版重装 churn 自愈) - devices/service.go:staleWindow=30d;DeviceLimitStatus + CheckDeviceLimit (best-effort prune → ResolvePlan → 活跃 count > cap 即 Over,附活跃设备列表) - auth:DeviceRegistrar 加 CheckDeviceLimit;recordLogin 回传 *DeviceLimit; LoginOutcome.DeviceLimit;Login 透传;handler tokenPairResponse.device_limit(omitempty) - main.go:authDeviceRegistrar 适配 devices.CheckDeviceLimit → auth.DeviceLimit - 测试:auth 登录透传超限信号(仍签发 token);devices within/over/prune-stale 连接侧 backstop(服务端硬拦)本轮从简未做,作为后续硬化(登录闸为客户端可信信号)。 DB 无 schema 变更。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-01 19:16:10 +08:00
wangjia	27dc59ed63	feat(server): pro 套餐设备上限 5 → 3 ... - seed(sqlite/mysql 000007)+ 001_init:pro max_devices 5→3(全新库直接对) - 新增迁移 000019(sqlite/mysql,up/down):UPDATE plans SET max_devices=3 WHERE code='pro' —— 已迁移的线上库靠它更新;down 回退 5 - 000002/001 注释同步(free 1 / pro 3 / team 10) - 测试:sqlite_migrate 期望版本 18→19;devices 集成测试 pro 断言 5→3 - free(1)/team(10)不变 注:设备上限当前仍未强制执行(登录注册 MaxDevices=0),仅数据/展示口径; 真正启用+超限 UX 见 todo #16。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-01 18:07:03 +08:00
wangjia	f0af3bcc94	fix(server): 强退设备立即离线 — online 须含活跃会话 + 撤销会话不刷 last_seen ... trick bug:强退后被踢设备的下一次会话轮询会先刷 last_seen 再发现 active=false,那一刷 把它顶成「在线」直到 90s 窗口过期。修:① online = last_seen 新 且 有未撤销会话 (ActiveSessionDeviceIDs);被强退设备无活跃会话 → 立即离线。② SessionActive 仅在 active 时才 TouchLastSeen,撤销会话的轮询不再刷新。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-30 08:51:10 +08:00
wangjia	3167ca8a74	fix(server): 设备「在线」准确反映 app 运行中 — 会话轮询刷 last_seen + 窗口缩到 90s ... 原 online=last_seen 在 3min 内,而 last_seen 只在连接/用量上报时刷 → app 运行≠刷新, 显示成'最近连过'而非'正在运行';关 app 后还'在线'到窗口过期。修:SessionActive(每 15s 轮询)顺便 TouchLastSeen → 运行中的 app 持续刷新;onlineWindow 3min→90s,关 app ~90s 转离线。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-30 07:55:17 +08:00
wangjia	0b33f12400	feat: 近实时远程下线 — 客户端轮询会话有效性(~15s),服务端 GET /v1/me/session ... 控制面无推送通道,access token 是无状态 JWT(15min),强制退出后被踢设备要等 token 过期 (≤15min)才登出。改成客户端每 15s 轮询会话是否仍有效,被强制退出即登出 → 延迟压到 ~15s。 - 服务端:sessions.HasActiveSession(user,device) + devices.SessionActive(按 UUID,fail-open) + GET /v1/me/session?device_id= 返回 {active}(恒 200,判据在 body)。无新迁移。 - 客户端:account_api.sessionActive + main.dart _RootFlowState 15s 轮询,active=false 即 logout (网络/鉴权异常不据此登出,fail-safe)。 - 测试:TestSQLite_SessionHasActiveSession(建会话=活跃→RevokeByDevice→非活跃)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-30 07:25:16 +08:00
wangjia	2080062d8c	feat: 数据面故障韧性 — 节点健康上报(控制面) + 客户端连通看门狗 ... 盲区:节点 status 只看 agent 的 gRPC 在线,sing-box 数据面坏了(崩/配置坏/数据口不通) 而 agent 仍在线时,节点仍显示 up、connect 放行、客户端「已连接」但流量全失败,且不自愈。 控制面: - agent 每心跳探 sing-box clash_api /version(2s 超时,连续 2 次失败才报不健康,防抖), 经新增 HeartbeatRequest.data_plane_healthy 上报(手写 agentv1 契约 + proto 同步;JSON codec)。 - NodeLoad 加 DataPlaneHealthy(随 load 写 Redis;字段缺失默认 healthy 防滚动期误杀)。 - effectiveNodeStatus 扩为 (dbStatus, agentOnline, dataPlaneHealthy);ListNodes 与 ConnectNode 统一改用它 → 数据面坏的节点列表置灰 + connect 返回 404 拦截。 客户端(connection_provider 连通看门狗): - 连上后每 15s 经隧道 HTTP 探海外 generate_204(可注入),连续 3 次失败判当前节点不可用。 - 智能选择 → 自动切到其他最优可用节点重连;手动选定 → 断开并提示「节点异常」(尊重用户选择)。 - 新增 nodeUnhealthySwitched/nodeUnhealthyError 文案。 测试:agent 健康探测防抖、effectiveNodeStatus 真值表、dataPlaneHealthy 助手、看门狗 智能切/手动断/健康不触发;go test ./... 与 flutter test 全绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-29 13:19:22 +08:00
wangjia	315c343ed5	feat(devices): 设备默认名「平台简写·主机名」+ 支持重命名(1.0.13) ... ① 默认名:DeviceIdentity 改「平台简写(Win/Mac/Linux/iOS/Andr)·主机名」,主机名截 到 8、总长≈12(替代裸主机名,更短)。 ② 重命名:新端点 POST /v1/me/devices/{uuid}/rename(Service.RenameDevice 校验归属+ 截 64);store.UpdateName;客户端 account_api.renameDevice + provider.rename + 「我的设备」⋯ 菜单加「重命名」+ 输入弹窗;l10n(zh/en)。 ③ 版本 1.0.13。 测试:server RenameDevice(归属/空名/404)+ 客户端 rename widget;全量 go/flutter 绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-29 09:12:36 +08:00
wangjia	8a1db07d19	fix(devices+stats): /v1/me/devices 401 修复 + 设备下拉接已登录设备 + 版本号 ... ① 「我的设备打不开」根因:devices handler 读 devices.CtxKeyUserID,而鉴权中间件 把 user id 写在 auth 的 key 下(类型不同→取不到)→ /v1/me/devices 一直 401。 改 handler 用 auth.UserIDFromContext(与 accountAPI 等一致)。 ② 统计页设备下拉改读 devicesProvider(已登录设备),不再只列有用量的设备 → windows 设备现在会出现。 ③ pubspec version 1.0.2+3 → 1.0.11+12,client_version 不再显示陈旧的 v1.0.2。 测试:devices_screen + stats_device_filter widget(下拉读 /v1/me/devices)+全量绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-29 08:37:11 +08:00
wangjia	e333f59cb3	feat(stats): #10 第②层 —— 统计页按设备过滤(per-device 本地日曲线) ... 镜像账户级时区曲线到「按设备」: - migration 000018 `usage_device_hourly`(每设备 UTC 小时桶,稀疏)。 - ReportUsage deviceID>0 时加 AccumulateDeviceHourly;NodeStore 接口+impl+mock。 - usage.Store.DeviceHourlyRange(JOIN devices 校验归属+解析 uuid→id);UsageCurve 增 deviceUUID 形参:空=账户级,非空=该设备本地日曲线(分桶逻辑复用)。 - /v1/usage?device=<uuid>;客户端 account_api.usage(device)、usageProvider key 改 记录 (days,device)、stats_page 接 statsDeviceProvider → 选设备即重取该设备曲线。 测试:per-device 曲线隔离+归属校验(A的设备不进B)、UsageCurve(deviceUUID)、 migration v18、客户端 widget(选设备→/v1/usage 带 device=)。全量 go/flutter 绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-29 08:04:33 +08:00