5eaabea358
merge: maestro/tsk_DQ59QeVCOMjq into main (bulk integration)
...
# Conflicts:
# server/cmd/nodectl/main.go
2026-06-17 00:46:19 +08:00
469c92191f
fix(scheduler): 熔断器/容量监控改用统一 alert.Notify(Event) 接口
...
容量水位(NPgPRxBGv0g9)与告警出口(9YMHMTfWJyNB)两条并行分支合并后接口
不兼容：前者调用旧的 NotifyFault(ctx,id,reason)，后者把 alert.Notifier 统一
为 Notify(ctx, Event)。将熔断触发/水位过低/探针失联三处改用 alert.NewEvent +
Notify，对齐 alert 包的统一事件出口设计（EventTypeBreakerTripped/WatermarkLow/
ProbeAgentLost），mockNotifier 既有 count() 断言无需改动即通过。
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com >
2026-06-17 00:44:27 +08:00
22252612ea
merge: maestro/tsk_NPgPRxBGv0g9 into main (bulk integration)
2026-06-17 00:41:30 +08:00
62388d2919
merge: maestro/tsk_9YMHMTfWJyNB into main (bulk integration)
2026-06-17 00:41:30 +08:00
6c232e91ea
merge: maestro/tsk_aG4yOS90inF_ into main (bulk integration)
2026-06-17 00:41:30 +08:00
0b6173d9cd
feat(backend): nodectl bootstrap-token 子命令 + 补全 REALITY snapshot 监听/handshake 字段
...
档 3 真机准备的后端代码部分：
- nodectl 新增 bootstrap-token -node=<uuid> 子命令：复用
mtls.NewBootstrapTokenManager(rdb).IssueToken 签发 agent enroll 用的一次性
token，只读 Redis（REDIS_ADDR/REDIS_PASSWORD），stdout 仅打印 token 便于
部署脚本直接捕获。
- 修复 Register 下发的 ConfigSnapshot.Reality 缺字段：此前只填 PrivateKey/
ShortID/ServerName，而 agent 的 render.go 还要读 ListenPort/HandshakeServer/
HandshakePort——缺这三个会渲染出 listen_port:0 + 空 handshake 的无效 sing-box
server 配置，隧道起不来。现从节点 endpoint 解析监听端口、以 reality_sni 作
handshake 目标:443 填齐，与 httpapi.BuildClientConfig 的客户端口径一致。
- 强化 TestRegister_OK 断言新字段（ListenPort/ServerName/HandshakeServer/
HandshakePort/PrivateKey），防止该缺口回归。
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com >
2026-06-17 00:32:29 +08:00
047fffe6d3
maestro(tsk_DQ59QeVCOMjq): 后端门禁：确认 nodectl bootstrap-token 并跑通 server/agent/nodectl 编译与测试
2026-06-16 23:34:42 +08:00
363ef0ba66
feat(nodectl): add bootstrap-token subcommand [tsk_DQ59QeVCOMjq]
...
Add `nodectl bootstrap-token -node=<uuid>` subcommand that issues a
one-time Redis-backed enrollment token for a node UUID. Operators use
this to re-enroll a node after cert expiry or state loss without having
to re-provision the machine.
- wires mtls.BootstrapTokenManager via REDIS_ADDR / REDIS_PASSWORD env vars
- prints 64-char hex token to stdout (same format as cloud-init path)
- updates usage() and package-level doc comment to document the new subcommand
- adds cmd/nodectl/bootstrap_token_test.go with 5 unit tests (miniredis,
no external deps): token format, one-time guarantee, missing-flag error,
unreachable Redis error, unknown subcommand regression guard
Compilation: `go build ./...` clean.
Tests: `go test ./...` all pass (31 packages).
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-16 23:34:24 +08:00
6979411c1d
feat: 档2 接真后端 — mac app 真注册/登录/拉节点
...
dev 本机置备（新增 dev/）：
- docker-compose.yml: MySQL :13306 + Redis :16379（避让本机已占的 3306/6379）
- run-local.sh 一键: 起容器→openssl 生成密钥(dev/.local gitignore)→migrate→
seed→启动 server :18080(避让 8080)；LogMailer 把验证码打日志
- seed.sql(1 provider + 1 HK 节点)、run-local.md 手册、.gitignore
后端两处修复（本地无 gRPC 场景，注释意图与代码不符的 bug）：
- main.go: 无 gRPC 时真正构造 Hub-only nodeSvc(原只建 hub 没赋值)，/v1/nodes 才能挂
- main.go: /me 改 Route 子路由根 Get，修 Get("/me")+Route("/me") 冲突致 404
客户端接真后端：
- token_store: MacOsOptions(useDataProtectionKeyChain:false) 修 keychain -34018
- auth_screen: 删 dev 旁路(test 账户内存登录)，所有登录走真 API
验收: 后端 curl 端到端全通(验证码→注册→登录→/nodes→/me)；
server go build/vet/test 通过, client analyze 0 + test 84
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-16 13:27:58 +08:00
5d4b484646
feat(alert): 统一告警出口 TG bot + runbook [tsk_9YMHMTfWJyNB]
...
新增 server/internal/alert 包（15G）：
- 定义 Notifier 接口及 7 种 EventType（判封确认/补新失败/水位低/熔断/
探针失联/心跳缺失/故障态）
- TGNotifier：Bot API 发送，Critical 事件不去重，Warning/Info 事件
10min SETNX 去重窗口，失败重试 ≤2 次后降级至 LogNotifier
- LogNotifier：slog 结构化降级实现
- 单测：7 种事件模板 + runbook 锚点正确性；去重窗口内第二条被抑制；
TG 5xx 重试后 fallback 且 Notify() 返回 nil；
runbook 文件锚点与枚举一致性
接入 scheduler（替换旧的 NotifyFault 桩）：
- detect/engine.go：故障态（Rule 5）→ EventTypeFault；
判封确认（Rule 3）→ EventTypeBlockConfirmed
- orchestrate/deps.go：Notifier 类型别名指向 alert.Notifier
- orchestrate/replacer.go：补新失败 → EventTypeReplenishFailed；
熔断触发 → EventTypeBreakerTripped
- probe/prober_agent.go：failCount ≥3 → EventTypeProbeAgentLost
- probe/store.go：新增 CheckHeartbeats() 供 15H 检测心跳缺失>90s
新增 docs/runbook-scheduler.md：7 节各含含义/先查什么/处置/升级条件，
锚点与代码枚举对应。
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-16 00:52:26 +08:00
3d9ccff6e9
feat(scheduler): 容量水位监控 + 熔断器 + 阈值热加载 [tsk_NPgPRxBGv0g9]
...
实现 15F 任务的三个核心组件：
capacity.go — CapacityMonitor（每 1-2 min 由 CapacityLoop 调用）
- 池水位检查：up/target < 70% 时发告警，10 min 内降频去重
- 探针失联检查：扫 probe:hb:{probeId}，缺失发「探针失联」事件
- 驱动 Grayscale.Advance 推进养机档位
breaker.go — RedisBreaker（实现 Breaker 接口）
- 滑窗 ZSET sched:breaker:{tier}:{region}，窗口 1h
- 阈值 N = ceil(池容量 × 30%)，下限 3
- 窗口内计数 ≥ N → 置 tripped 标记位 + critical 告警
- Allow 恒 false 直到窗口滑出自动恢复，或管理员调 Reset
- Reset 清除 ZSET + trip flag，写 audit_log
config.go — SchedConfig + ConfigManager（全树阈值热加载）
- SchedConfig 集中定义 15D/15E/15F 所有阈值
- 来源：默认值 → YAML 文件 → 环境变量（三层叠加）
- 监听 SIGHUP，原子替换（atomic.Pointer[SchedConfig]）
- 每次变更 diff 写 audit_log（AuditFn 回调）
测试（24 个用例，全绿）：
- 窗口内第 N 次 Record 后 Allow 返回 false
- 窗口滑出后 Allow 自动恢复
- Reset 立即恢复 + audit 条目
- 下限 3 在小池（target=2）生效
- 65% 水位 → 告警；10 min 内不重复
- 探针心跳缺失 → 失联事件；存在 → 无告警
- YAML + env 覆盖 + SIGHUP Reload → 新阈值即时生效 + diff 审计
- 替换 stub 后 15E 全部集成测试仍绿
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-16 00:31:58 +08:00
4783f3e32e
feat(nodes): 节点生命周期状态机 [tsk_aG4yOS90inF_]
...
实现 Lifecycle 类型及其全部公开方法，覆盖 6 个状态迁移动作：
MarkProbing / MarkUp / MarkDraining / MarkDown / MarkDestroyed /
MarkBlockedSuspect。每次合法迁移在同一个 SQL 事务中原子执行
UPDATE nodes + INSERT node_events + BumpVersion；MarkDestroyed
事务提交后异步调用 mtls.CRL.Revoke() 并清除 Redis 负载缓存与
命令队列键。配套集成测试覆盖 5 类场景（合法迁移、非法迁移、
并发写、后置钩子、blocked_suspect 幂等），全部通过。
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-15 23:49:45 +08:00
cadd527680
feat(backend): 挂载 /v1 API + 实现 nodes/connect 端到端
...
- 新增 internal/dpcred 包，统一 DeriveHy2Password + DefaultFlow
agentd 与 HTTP connect handler 共享同一实现
- 新增迁移 000011：nodes 表拆分 reality_prk 私钥 / reality_pbk 公钥
reality_short_id；修正 handler_grpc.go 使用私钥字段
- 新增迁移 000012：connect_credentials 持久化凭证
实现 CredentialsForNode 修复 agent 重连 resync 原先返回空的桩
- 扩展 NodeStore 接口：ListUp / EntitlementForUser /
PersistCredential / DeleteCredential；同步 grpc_test.go mock
- 新增 httpapi/nodes.go：GET /nodes、POST /nodes/id/connect
Hub.Push + PersistCredential + 渲染完整 sing-box client 配置 JSON
POST /nodes/id/disconnect
- 新增 httpapi/account.go：GET /me、GET /plans、GET /notices
- 新增 httpapi/clientconfig.go：BuildClientConfig 服务端渲染
- 重写 cmd/server/main.go：手写 chi public/protected 分组
nodes.Service/Hub 在 main 构造并共享；SMTPMailer/LogMailer
go build ./... && go vet ./... && go test ./... 全部通过
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com >
2026-06-15 23:09:56 +08:00
7627c8a195
feat(scheduler): 自动更换编排 + 养机灰度 [tsk_mxEFSvKHX64G]
...
实现 15E 任务：Replacer 状态机（pending→creating→probing→activating→draining_old→done/failed）
+ Grayscale 权重梯度（10→25→50→75→100，每步 6h）。
关键设计：
- Redis JSON 记录（sched:replace:{uuid}）+ SetNX 崩溃安全，防止重复 CreateNode
- 幂等 key：attempt 0 = uuid，retry N = uuid:retry:N
- probePass：国内 ≥2/3 ISP 通过 + 海外 L1 全通，连续 2 Tick 才晋级
- 探活超时 15min → failProbeAttempt → 轮换 provider；3 次失败 → failed + NotifyFault
- StubBreaker（15F 未就绪）；NewReplacer(Config{}) 依赖注入
- 6 个集成测试全部通过（happy path / max-retry / crash recovery / queue idempotency / grayscale）
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-15 21:26:07 +08:00
58e2bb0190
merge: gRPC server + hub + 跨实例 pub/sub [tsk_mF5RWPEwngai]
2026-06-15 20:56:28 +08:00
5d54aa2fb2
merge: 判定引擎 signals+rules+streak [tsk_OYEiDCzM9_0Y]
2026-06-15 20:56:22 +08:00
2c182fcdcf
merge: probe ingest endpoint + Redis store [tsk_rBPr0Xuy10bz]
2026-06-15 20:55:32 +08:00
bfecb4314c
merge: gRPC server + hub + 跨实例 pub/sub [tsk__58l3wTLvaSn]
2026-06-15 20:53:25 +08:00
bf3b6fd210
merge: apierr + idgen + CONVENTIONS.md [tsk_nI2T8qpcoier]
2026-06-15 20:51:08 +08:00
88757b2ac4
feat(detect): 判定引擎 signals+rules+streak (tsk_OYEiDCzM9_0Y)
...
新建 server/internal/scheduler/detect/ 包，实现任务 15D：
## 核心模块
**lifecycle.go**
- 定义 LifecycleService Go interface（ListNodes / TransitionStatus / SetWeight /
BumpVersion / GetLoad / GetLoadHistory），供 #5 真实实现，内含乐观锁语义（0 行
受影响即本周期放弃，幂等可重入）
- 提供 MockLifecycle 内存 stub（SetConflict / Events 等测试辅助方法）
**signals.go**
- computeSignals：读 SnapshotsByNode，归一化为 NodeSignal
- domesticFailISPs：按 ISP 聚合（stripPrefix "3rd-" 合并 15B/15C 同 ISP 视角），
L3 失败权重最高（L3 挂即记该 ISP 失败，即使 L1/L2 通），无数据 vantage 不计分母
- overseasOK：境外对照点全部 L1 通为真
- trafficDropPct：15min 前后半段在线数降幅百分比
- ProbeSnapshotter interface（解耦 probe.Store，便于 mock）
**rules.go**
- DetectConfig：全量阈值常量（DomesticFailNumerator/Denominator=2/3、
SuspectStreakMin=2、TrafficDropThreshold=80%、TrafficBaselineMin=20、
ConfirmedStreakMin=6、RecoverStreakMin=2、SuspectWeight=10）
- isSuspectTriggered：整数算术避免浮点误差（fail×den >= total×num）
- isFault / effectiveSuspectStreakMin / isTrafficWarning 规则助手
**streak.go**
- StreakStore：Redis hash detect:streak:{node}（fail_streak / suspect_streak /
recover_streak），TTL 2h（宽于 6×5min=30min），进程重启后自动恢复
**engine.go**
- Engine.Tick(ctx)：列举 up/blocked_suspect 节点，按节点依序运行五条规则
- Rule 1 suspect：≥2/3 ISP 失败 + 境外正常 → 连续 2 周期 → up→blocked_suspect，
weight→10，写 probe:freq:{node}=60（1min 提频标记），BumpVersion
- Rule 2 流量预警：trafficDrop≥80% + 基线≥20 → suspect 门槛放宽至 1 周期
- Rule 3 confirmed：blocked_suspect 连续 6 周期 → blocked_confirmed → down（跳过
draining），入队 detect:replace:queue（JSON: nodeId + replacementUuid）
- Rule 4 recover：suspect 期间境内连续 2 周期恢复 → up（weight 交 15E warmup）
- Rule 5 fault：境内+境外同时失败 → 不迁移，调 Notifier.NotifyFault（log stub）
- Notifier interface + LogNotifier stub（15G 就绪前输出 slog.Warn）
**engine_test.go**（19 个测试，全部通过）
- 表驱动覆盖：恰好 2/3 失败、1/3 失败不触发、9min vs 10min streak、
流量预警 1 周期即 suspect、suspect 第 6 周期 confirmed、境内外同挂 fault 不迁移、
恢复 2 周期回 up、3rd- 前缀合并、L3 覆盖 L1/L2
- 乐观锁冲突：SetConflict → 放弃本周期 → 无副作用 → 解冲突后正常重试
- 进程重启：同一 miniredis，新 Engine 读取已存在 streak 继续计数不误清零
- 产出验证：replace queue JSON 结构、probe:freq 标记、weight 变更、事件 detail 字段
**migrations/000010_node_blocked_statuses.{up,down}.sql**
- 扩展 nodes.status ENUM 加入 blocked_suspect / blocked_confirmed
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-13 20:15:13 +08:00
8ed1cfcc75
merge: gRPC server + hub + 跨实例 pub/sub [tsk_mF5RWPEwngai]
...
Resolve merge conflict between maestro/tsk__58l3wTLvaSn (gRPC nodes feature)
and main (admin backend + JWT config + OpenAPI routes):
- server/cmd/server/main.go: keep admin backend (startAdminIfConfigured) AND
add gRPC agent server (startGRPC) — both coexist as independent optional
listeners governed by their respective env vars
- server/internal/config/config.go: keep JWT fields (JWTPrivateKeyPath /
JWTKeyID / JWTPublicKeys) AND add gRPC fields (GRPCAddr / CAKeyPath /
CACertPath / GRPCCertPath / GRPCKeyPath)
- server/internal/nodes/: add all new files from tsk__58l3wTLvaSn
(hub.go, hub_test.go, load.go, handler_grpc.go, grpc_test.go,
service.go, store.go) — 18 tests, all passing
Test: go test ./internal/nodes/... → PASS (18/18)
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-13 20:10:01 +08:00
628440b3f9
style(pangolin): gofmt store/mysql.go(import 排序)
...
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com >
2026-06-13 18:52:30 +08:00
20a1f8e2af
merge: 管理端最小后台 + TOTP 双因素 [tsk_SCMtcGF4F434]
...
以 main 现有 cmd/server 设计为准(保留 probe + /v1 路由),叠加分支新增:internal/admin/ 自包含后台(session/2FA/IP 白名单/审计/模板)、internal/totp/ + cmd/adminctl/(TOTP + 管理员创建 CLI)、cmd/server/main.go 的 startAdminIfConfigured()(opt-in:ADMIN_SECRET_KEY+DB_DSN 才起)。统一 getenvDefault 命名;go.mod 取 HEAD + go mod tidy(x/term 提为直接依赖);admins 迁移与 main 既有 000008_provision 撞号,重排为 000009_admins。
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com >
2026-06-13 18:47:38 +08:00
03b00b9a0f
merge: config + store(UTC DSN) + 自动迁移 [tsk_zRA6fGU1JuHj]
...
以 main 现有 config 设计为准(FromEnv/*Config/单 DSN/RS256),移植分支新增的 store 层:mysql.go 的 Open(*config.Config) 改用 cfg.DSN、结构化强制 UTC + 会话时区断言;migrate.go + migrations/embed.go 提供 golang-migrate 嵌入式迁移;cmd/migrate/main.go 实现 migrate CLI(读 DB_DSN)。未采用分支的 Load()/PANGOLIN_ 前缀/MySQL 拆分字段(与 main 设计冲突)。
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com >
2026-06-13 18:42:46 +08:00
ed5eabea58
merge: 第三方拨测 API 适配 [tsk_-WC9smQK7YRt]
2026-06-13 17:32:26 +08:00
bf1717a369
merge: 控制面联调 M6 [tsk_nuoKSM4Vt-zK]
...
# Conflicts:
# .gitignore
# client/lib/widgets/home_shell.dart
# client/lib/widgets/server_tile.dart
# client/pubspec.yaml
2026-06-13 17:32:26 +08:00
b05d7ed416
merge: oapi-codegen 接线 + 生成代码入库 [tsk_Kp80nvHV2yLc]
...
# Conflicts:
# server/Makefile
# server/cmd/server/main.go
# server/go.mod
# server/go.sum
2026-06-13 17:32:25 +08:00
605bfa1ec9
feat(nodes): gRPC server + Hub + Redis pub/sub cross-instance delivery (tsk__58l3wTLvaSn)
...
Implements AgentService gRPC server with all 6 RPCs (Enroll/Register/Heartbeat/
Subscribe/Ack/ReportUsage), Hub command routing with Redis ZSET at-least-once
persistence and cross-instance pub/sub delivery, LoadCache for node:load metrics,
NodeStore SQL interface + MySQL implementation, and full mTLS gRPC listener in main.
Integration tests: 18 tests covering full Enroll→Register→Heartbeat→Subscribe→Ack
flow, reconnect resume with last_command_id, and cross-instance pub/sub delivery
via bufconn + miniredis + mockNodeStore + real mTLS certificates.
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-13 17:30:42 +08:00
8de32eb611
merge: 弹性节点基建：Terraform + 一键更换 [tsk_6u0FxmbC7Yeq]
...
# Conflicts:
# .gitignore
# infra/cloud-init/node.yaml.tmpl
2026-06-13 17:30:37 +08:00
4e2a444572
merge: usage 用量 + 广告解锁 [tsk_1taxhtV2k3RP]
...
# Conflicts:
# server/internal/apierr/apierr.go
2026-06-13 17:30:36 +08:00
34c9909608
merge: auth 模块 [tsk_2PFfyviECIXh]
...
# Conflicts:
# server/go.mod
2026-06-13 17:29:49 +08:00
a47121f99b
feat(probe): add third-party dial-test adapter for 15C (tsk_-WC9smQK7YRt)
...
Implements ProberAgent interface + Alibaba Cloud CloudMonitor Synthetic adapter:
- ProbeTarget / VantageResult types aligned with 15A schema (L3 always nil)
- AliyunSyntheticAgent: CreateSiteMonitor → poll → map to VantageResult
- ISP vantage uses "3rd-{ISP}" prefix; Redis key probe:{node}:CN:{region}:3rd-*
- Degradation: API error/rate-limit/timeout → skip vantage, log + counter (no write)
- RunOnce(ctx, targets) shape for 15H assembly wiring
- Credentials via cfg only (env-var injection, zero hardcoded secrets)
- 6 new tests (mock vendor server): normalization, rate-limit, timeout, Redis keys,
failed-target L1, no-credentials check; all 22 probe-package tests pass
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-13 17:21:43 +08:00
3bcf1d7b4c
merge: maestro/tsk_NU9JuUweHWMt [tsk_NU9JuUweHWMt]
2026-06-13 17:04:17 +08:00
5a6b4a2dbb
merge: maestro/tsk__R8M4jEw43JR [tsk__R8M4jEw43JR]
2026-06-13 17:04:17 +08:00
5a485fbcf6
merge: maestro/tsk_FrRarw9YO8Nf [tsk_FrRarw9YO8Nf]
2026-06-13 17:04:17 +08:00
908f75de75
merge: maestro/tsk_VRzw-af__qWx [tsk_VRzw-af__qWx]
2026-06-13 17:04:17 +08:00
6f3ceba7a9
merge: maestro/tsk_eu2qVvni1HJR [tsk_eu2qVvni1HJR]
2026-06-13 17:04:17 +08:00
6ec7cd8146
merge: maestro/tsk_V9IrIk2g5Q78 [proto 契约 + buf 工具链] (tsk_FrRarw9YO8Nf)
...
合并 proto 契约 + buf 工具链任务到 main（已含 apierr + idgen + CONVENTIONS.md）：
- server/proto/pangolin/agent/v1/agent.proto: AgentService 6 个 RPC（Enroll/Register/
Heartbeat/Subscribe/Ack/ReportUsage）及全量消息类型，隐私红线注释保留
- server/buf.yaml: v2 格式，STANDARD lint + FILE breaking 规则
- server/buf.gen.yaml: remote protoc-gen-go v1.36.4 + protoc-gen-go-grpc v1.5.1 插件
- server/internal/pb/: 生成的 agent.pb.go + agent_grpc.pb.go 提交入库
- server/Makefile: 新增 proto / proto-lint / proto-breaking 目标
- server/tools.go: 新增 buf v1.70.0、protoc-gen-go、protoc-gen-go-grpc 工具依赖
- server/go.mod / go.sum: 合并 buf 工具链依赖；github.com/google/uuid 保留为 direct
依赖（idgen 直接 import）；go 版本升至 1.25.10
冲突解决：两侧均修改 go.mod，以 proto 分支（超集）为基础，将 google/uuid 移至
直接依赖 require 块，保留 apierr/idgen 的已有文件不变。
go build ./... ✓ | go test ./internal/apierr/... ./internal/idgen/... ✓
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-13 15:11:11 +08:00
d88c1ae647
merge: maestro/tsk_x7wrlA87orsY [devices + 订阅校验中间件] (tsk_VRzw-af__qWx)
...
手动合并 tsk_x7wrlA87orsY（设备管理 + 订阅校验中间件）到 main：
冲突解决：
- server/internal/apierr/apierr.go：保留 tsk_GXDoc3Cs07Rn 版本（New/StatusFor/
Middleware/ErrConflict/改善文档），并入 tsk_x7wrlA87orsY 新增的 ErrAccountBanned
及对应 StatusFor case（→ 403）。
新增文件（来自 tsk_x7wrlA87orsY）：
- server/internal/devices/doc.go package 文档（替换占位 stub）
- server/internal/devices/context.go CtxKeyUserID / Plan / WithPlan / PlanFromCtx
- server/internal/devices/handler.go GET /v1/me/devices · DELETE /v1/me/devices/{id}
- server/internal/devices/middleware.go SubscriptionMiddleware · CheckDeviceQuota · RequirePaidTier
- server/internal/devices/service.go RegisterIfAbsent / DeleteDevice / ResolvePlan + 纯函数 resolveEffectivePlan
- server/internal/devices/store.go MySQL 数据访问层
- server/internal/devices/service_test.go 15 个单测（全通过）
- server/internal/devices/devices_integration_test.go testcontainers 集成测试
OpenAPI 更新（来自 tsk_x7wrlA87orsY）：
- server/api/openapi.yaml：SubscriptionInfo.source 枚举补 free
- design/server/openapi.yaml：SubscriptionInfo.source 枚举补 admin, free
测试：go build ./... ✓；go test ./internal/apierr/... ✓（8 tests）；
go test ./internal/devices/... ✓（15 tests）。
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-13 15:09:51 +08:00
52857d1d55
feat(1e): config PANGOLIN_ prefix + store.Open UTC DSN + go:embed migrations (tsk_zRA6fGU1JuHj)
...
- internal/config: rewrite Config with PANGOLIN_ prefix fields
(HTTPAddr, AdminAddr, GRPCAddr, MySQL DSN/fields, RedisAddr,
AutoMigrate, JWTSecret placeholder, WebhookSecret); Load() replaces
FromEnv(); missing required MySQL vars return named-field error.
- internal/store/mysql.go: single Open(cfg) entry point; uses
mysql.ParseDSN to structurally override ParseTime=true, Loc=UTC,
Collation=utf8mb4_unicode_ci, Params[time_zone]='+00:00'; asserts
SELECT @@session.time_zone=+00:00 after Ping (startup fatal).
- migrations/embed.go: //go:embed *.sql exposes var FS embed.FS.
- internal/store/migrate.go: MigrateUp/MigrateDown/MigrateVersion
backed by golang-migrate iofs source + mysql driver; ErrNoChange
treated as success.
- cmd/migrate/main.go: filled — up/down/version subcommands, reads
config.Load() + store.Open.
- cmd/server/main.go: startup sequence Load → store.Open (UTC assert)
→ MigrateUp (if PANGOLIN_AUTO_MIGRATE=true) → HTTP listen;
structured slog output at each step.
- internal/store/mysql_test.go: pure-function unit tests for buildDSN
(empty-fields case + conflicting params overridden case); both pass.
- internal/store/mysql_integration_test.go: //go:build integration;
testcontainers mysql:8 — UTC assertion + MigrateUp idempotency.
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-13 14:52:27 +08:00
6e99e32285
feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434
...
实现「一个二进制三个监听」中的管理端：
- 独立监听 ADMIN_LISTEN（默认 127.0.0.1:9443，FromEnv 拒绝 0.0.0.0/:: 等公网绑定）
- 中间件链：mw_ipallow（CIDR 白名单，仅信任 RemoteAddr，默认内网段）→
mw_session（HttpOnly+Secure+SameSite=Strict cookie，Redis 30min 滑动 TTL）
- 登录双因素：argon2id 密码 + RFC6238 TOTP；失败限流与临时锁定；
TOTP 密钥 AES-GCM 加密入库；migration 000008 增补 admins 表；
首个管理员由 cmd/adminctl create 创建（终端输出 otpauth URI/Secret）
- 功能三块（html/template + embed 静态资源，原生 JS 二次确认）：
1. 码批次：表单生成→明文仅在本次 CSV 下载出现（不落盘/不入日志）；
批次列表 + 整批作废（复用 #3 codes，新增 Store.ListBatches/VoidBatch）
2. 节点操作：列表 + 近期 node_events；replace 经 #14 ProvisionService、
draining/up 经 #5 Lifecycle（二者未就绪→注入 stub，UI 置灰）；二次确认 + CSRF
3. audit_log 查看：actor/action/target/时间范围过滤分页；同页查 node_events
- 所有写操作写 audit_log（actor=用户名，meta 不含明文）；管理端仅记安全事件
（登录失败/锁定/白名单拦截），不记常规访问日志
- internal/totp 复用包（与 doc/05 用户中心 2FA 同算法，纯标准库）
测试：totp RFC6238 向量、argon2/AES 往返、白名单放行/拦截、会话滑动过期、
登录成功/密码错/TOTP 错/未知用户/锁定、批次 CSV 含明文且 audit 不泄露、
作废/节点操作的二次确认与 CSRF 缺失被拒、mock 断言 service 调用参数、审计过滤。
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com >
2026-06-13 14:49:32 +08:00
25e0204471
merge: maestro/tsk_GXDoc3Cs07Rn [tsk_nI2T8qpcoier] apierr + idgen + CONVENTIONS.md
...
Apply changes from tsk_GXDoc3Cs07Rn (conflict rescue: original auto-merge
blocked by uncommitted changes on main; worktree was clean, no code conflicts).
Changes applied verbatim from b64c002noreply@anthropic.com >
2026-06-13 14:45:46 +08:00
dd060fd34a
feat(1d): wire oapi-codegen, generate types/server/client, add 501 stubs — tsk_Kp80nvHV2yLc
...
- Fix openapi.yaml: quote bearerAuth description that contained unquoted `: ` plain-scalar YAML
- Add server/api/cfg-{types,server,client}.yaml — oapi-codegen v2 config for three split outputs
- Add server/api/gen/gen.go — three //go:generate directives; run `make generate`
- Generate server/api/gen/{types,server,client}.gen.go from the contract (all 15 operations)
- Add github.com/oapi-codegen/runtime v1.4.1 to go.mod (runtime types needed by generated code)
- Add server/internal/httpapi/unimplemented.go — UnimplementedServer satisfies gen.ServerInterface;
every method writes HTTP 501 + {code,message_zh,message_en} JSON body (no dep on task-1f apierr)
- Update server/cmd/server/main.go — mount /v1 API via gen.HandlerFromMuxWithBaseURL; keep /healthz
- Update server/Makefile — `generate` target now runs `go generate ./...`;
add `check-generate` CI guard (regenerate + git diff --exit-code)
- Add server/internal/httpapi/unimplemented_test.go — 19 httptest cases covering all 15 API routes
(501+body), undefined routes (404), and /healthz isolation
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-13 14:36:21 +08:00
f76e1797c2
merge: maestro/tsk_rBPr0Xuy10bz [tsk_rBPr0Xuy10bz] 探针汇聚入口 + Redis 探针存储 (tsk_eu2qVvni1HJR)
...
Manually apply changes from maestro/tsk_rBPr0Xuy10bz that could not be
auto-merged due to uncommitted changes on main at merge time.
Added:
- server/internal/scheduler/probe/types.go – frozen schema types (ReportRequest,
VantagePoint, NodeReport, L1/L2/L3Result, ProbeSnapshot)
- server/internal/scheduler/probe/store.go – Redis Store: SaveReports, CheckAndMarkSeen,
SnapshotsByNode, AliveProbes with TTL constants and key-schema docs
- server/internal/scheduler/probe/ingest.go – IngestHandler (POST /probe/report),
HMAC-SHA256 auth + timestamp window + replay prevention via SetNX
- server/internal/scheduler/probe/ingest_test.go – 17 tests (auth failures, integration,
Store unit tests); all pass with miniredis
Updated:
- server/cmd/server/main.go – register /probe/report route when PROBE_SECRETS env is set
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-13 14:35:24 +08:00
3d5bac66b4
feat(provision): 弹性节点基建 Terraform + 一键更换 (tsk_6u0FxmbC7Yeq)
...
IaC 面 (infra/) 与控制面 (server/internal/provision) 双产出，落地 doc/04 §4
「节点是牲口」弹性拓扑与 make-before-break 一键更换。
server/internal/provision:
- CloudAdapter 适配层 + Registry（首发 vultr 消耗品池 / hetzner 精品池各一）；
厂商凭证仅从 PROVISION_<VENDOR>_* env 注入，不入库不入 git。
- ProvisionService：CreateNode(幂等键重放不重复开机)、DestroyNode(幂等)、
RotateIP(换 IP 不换机 + version bump)、ListProviders。
- Replace 一键更换：先建后拆，新机 up 先于旧机 draining（容量不下降），
replacement_uuid 幂等键 + replacements 表分步记录，崩溃可续跑不重复。
- RotatePool：池内滚动轮换，并发度 1–2。
- cmd/nodectl CLI：create/destroy/rotate-ip/replace/rotate-pool/providers。
- 单测（mock 厂商 API + 内存 Store）：幂等重放、make-before-break 时序断言、
开机失败/探活超时→destroyed+失败计数+告警钩子、崩溃续跑、RotatePool。
infra/:
- terraform/：探针机 + 控制面基线模块化（probe / control-plane）+ README，
低频基线进 state，节点不进 Terraform。
- cloud-init/node.yaml.tmpl：节点引导模板（注入一次性 bootstrap token，task #5）。
- identity-isolation.md：身份隔离登记表（doc/06 §2 红线，无任何凭证）。
migrations/000008：nodes 增 provider_instance_id/elastic_ip_id、node_events
增 ip_rotated、provision_idempotency / replacements 表（附加式，不动现网）。
红线：仅面向新厂商池，绝不纳管现网生产 EC2(deploy/ marzban)。
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com >
2026-06-13 14:23:39 +08:00
7d89ec9d91
feat(infra/domains): 域名池 + CDN 前置 + 签名端点分发 (tsk_NU9JuUweHWMt)
...
- domains.md: 四组域名隔离登记 + 冷备池 ≥5 + 启用流程（不含身份信息）
- cdn/terraform: Cloudflare 配置即代码（WAF/bot/速率限制/代理DNS/回源鉴权注入）+ 30min 重放 Runbook
- server/internal/originauth: 回源鉴权中间件，非 CDN 网段或鉴权头不符一律 403，支持双值轮换
- tools/endpoint-signer: 离线 Ed25519 签名 CLI（端点 + 公告文档，单调版本防回滚，key_id 双公钥轮换）
- tools/publish-mirrors: ≥3 镜像发布 + hash 一致性校验 + 故障转移取回
- CLIENT-CONTRACT.md: schema/验签/防回滚/合并/兜底链/channel 客户端契约
- 出站独立出口要求写入部署文档；私钥/token/身份信息一律不入库
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com >
2026-06-13 14:21:55 +08:00
bd8f974a25
feat(M6): 控制面联调 — mock connect server + 客户端 ConnectApi 透传
...
tsk_nuoKSM4Vt-zK
## 服务端（server/cmd/mockserver）
- `main.go`（79 行）：独立 mock HTTP server，实现 POST /v1/nodes/:id/connect
- 路径/请求体/响应体字段名与 §3.1 契约逐字一致
- Bearer token 鉴权（-token 参数，空值跳过，不入库）
- 缺少 device_id → 400；未授权 → 401；非 POST → 405
- 返回完整 sing-box config JSON（tun + REALITY/Hy2 outbound + urltest + route/dns）
- 注：mock 联调；待 #5/#6 真实 connect 接口就绪后替换
- `main_test.go`：6 项单测，覆盖 §3.1 结构校验、auth、method、path
## 客户端（client/）
- `lib/services/connect_api.dart`：ConnectApi 类
- fetchConfig(nodeId, deviceId) → 原始响应体字符串（不做任何修改）
- 错误路径：HTTP 非 200 / 超时 / 非法 JSON → ConnectApiException（含双语 message）
- `lib/services/vpn_bridge.dart`：VpnBridge stub（M6 联调，libbox 绑定待 11C）
- start(configJson) 原样存储，不修改；stop() 清空
- `lib/widgets/home_shell.dart`：_toggle/_pick 替换为真实 API 流程
- ConnectApi.fetchConfig → VpnBridge.start（透传，无中间变换）
- 错误路径：ConnectApiException → SnackBar，status 回 off，无残留半开隧道
- API URL/token/deviceId 由 --dart-define 注入（不入库）
- `lib/widgets/server_tile.dart`：ServerInfo 新增 nodeId 字段
- `pubspec.yaml`：新增 http: ^1.2.1 依赖
- `test/connect_passthrough_test.dart`：4 项透传断言单测
- 核心：fetchConfig 返回字符串 === VpnBridge.start 接收字符串（逐字节相等）
- 空格/格式原样保留（不经 jsonEncode 重序列化）
- HTTP 错误、非法 JSON 错误路径覆盖
## 运行方式（M6 联调）
```
# 启动 mock server（无 auth）
go run ./server/cmd/mockserver -addr :8081
# 启动客户端（指向 mock server）
flutter run \
--dart-define=PANGOLIN_API_URL=http://localhost:8081 \
--dart-define=PANGOLIN_API_TOKEN=dev-mock-token \
--dart-define=PANGOLIN_DEVICE_ID=demo-device-001
```
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com >
2026-06-13 14:16:29 +08:00
f03d2dc8a6
feat(agent): node agent — enroll/mTLS, heartbeat, command stream, sing-box 用户表 (tsk__R8M4jEw43JR)
...
与控制面同仓同 go.mod，新增节点 agent 实现：
- proto/agent/v1/agent.proto + internal/pb/agentv1：冻结的控制面↔agent gRPC 契约
（Enroll/Register/Heartbeat/Subscribe/Ack/ReportUsage）。仓库尚无 protoc 流水线，
暂以手写 Go 类型 + JSON gRPC codec 实现，与 proto 1:1 对应，待 protoc 接入即可替换。
- internal/agentd：
- enroll.go：首启生成 EC 密钥+CSR，持 bootstrap token 调 Enroll 换 90d 节点证书
（CN=node_uuid），落 /etc/pangolin-agent/，此后 mTLS。
- conn.go(agent.go)+creds.go：mTLS 主动拨号 + 指数退避重连；重连携带 last_command_id；
Register 取 ConfigSnapshot 全量配置覆盖本地。
- heartbeat.go：30s 上报 peer/带宽/CPU + config_version；need_full_resync→全量同步。
- command.go：消费 Subscribe，Upsert/Revoke/Rotate/ApplyConfig/Lifecycle 幂等处理后
Ack（at-least-once，按 command_id 去重）。
- singbox.go+render.go：内存用户表 + 落盘 state.json（仅 dp_uuid+expires_at）；任何变更
渲染完整 sing-box 配置（REALITY users[uuid,flow] + Hy2 users[派生口令]）→ 500ms 去抖
合并 → systemd 重启。
- ttl.go：凭证 TTL 定时移除并上报。
- usage.go：按 dp_uuid 聚合上报，绝无 user_id/email/目的地址。
- derive.go：Hy2 口令 = HMAC-SHA256(key, dp_uuid)，与控制面同源派生。
- cmd/agent：入口（flag/env 配置）。
- infra/cloud-init/{node.yaml.tmpl,install-node.sh,README.md}：一段式安装，下载锁定版本
二进制并校验 SHA-256，systemd 拉管，首启即 Enroll/Register。shellcheck -S warning 通过。
测试（bufconn mock 控制面，无需 docker）：Enroll→Register→Heartbeat 全流转；Upsert/Revoke
渲染正确；Rotate 宽限期新旧并存到点移除；TTL 自动移除并上报；断流重连 last_command_id
续发不丢不重；need_full_resync 触发重注册；state.json 恢复；去抖合并；扫描确认无身份字段。
go test -race ./internal/agentd/... ./internal/pb/... 通过；go vet ./... 通过。
落实 doc/04 §2 节点无状态化与 doc/06 §3 数据面红线（节点仅见 dp_uuid）。
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com >
2026-06-13 12:26:58 +08:00
a5e25b444f
feat(auth): 验证码/注册/登录/JWT 鉴权模块 (tsk_2PFfyviECIXh)
...
实现 server/internal/auth 控制面鉴权底座，对应 doc/02 §4.1、doc/06 §3：
- POST /v1/auth/code：IP+邮箱双维度 Redis 滑窗限频（同邮箱 1/min、同 IP 10/h）
+ 一次性邮箱域黑名单（embed 词表）→ 6 位数字码写 auth:code:{email} TTL 10min
→ 异步发信（SMTP / 开发态 log mailer）。
- POST /v1/auth/register：验码（一次性，删 key；超次数烧码）→ 单事务建号
（uuid + dp_uuid 应用层生成、argon2id）+ 7 天 PRO 试用（source='trial'）→ 签发 JWT。
- POST /v1/auth/login：argon2id 校验（失败恒定时、未知用户走 dummy hash）；
失败计数限流 rl:login:{email} + 锁定；banned 拒绝。
- POST /v1/auth/refresh：RS256，access 15min + refresh 30d 落 Redis 白名单
jwt:refresh:{jti}，旋转时删旧写新；JWT 头带 kid，验证端接受新旧公钥支持轮换。
- RequireAuth 中间件：解析 Bearer access，注入 user id（复用 codes.CtxKeyUserID
避免循环依赖）+ uuid + claims 到 context。
- 错误体统一走 internal/apierr 的 {code, message_zh, message_en}，文案双语脱敏。
- 文件拆分：handler/service/password/token/ratelimit/emailcheck/store/mailer/
middleware/errors/keyloader；config 增加可选 JWT PEM 路径/kid 加载。
测试：password/token/ratelimit/emailcheck/service/handler/middleware 单测
（miniredis，含注册全流程、重复邮箱 409、验证码错误/过期/复用/烧码、限频 429
带 Retry-After、登录失败锁定、banned 拒绝、refresh 旋转后旧 token 失效），
go test -race 通过；集成测试 integration_test.go（testcontainers MySQL8+Redis，
register→login→refresh→受保护接口全链路，构建 tag integration）与 codes 模块同构。
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com >
2026-06-13 12:19:10 +08:00
ece8ea3b57
feat(usage): usage_daily 聚合 + 广告解锁 + free 额度校验 (tsk_1taxhtV2k3RP)
...
server/internal/usage 模块实现（仅字节/分钟，无目的地，符合无日志口径）：
- aggregator.go：实现 #5 的 ReportUsage 回调接口（UsageReporter），
dp_uuid→user_id 走内存+Redis 短缓存，按上报批次 id Redis 去重防重放，
按 At 的 UTC 日期 INSERT ... ON DUPLICATE KEY UPDATE 累加，并发安全。
- store.go：usage_daily 累加/区间查询/当日查询、MarkAdUnlocked（事务+FOR
UPDATE 幂等）、EffectivePlan（活跃订阅取最高 tier，无则回落 free）。
- ads.go：AdVerifier 接口 + AdMob SSV 实现（拉取并缓存 Google ECDSA 公钥，
ECDSA-SHA256 验签 + custom_data/ad_unit 匹配），Unity 留接口占位。
- service.go：UsageCurve（空日补零、仅当前用户）、TodaySummary（/v1/me）、
UnlockAd（验签→ad_token 一次性 nonce 去重→写 ad_unlocked_at，当日二次幂等）。
- quota.go：CheckFreeConnect 供 #5 connect 使用：ad_gate=true 校验当日
ad_unlocked_at + minutes_used<daily_minutes(free=10)，返回剩余分钟；
pro/team 不受 ad_gate 限制（返回 Unlimited）；带双语 code 错误。
- handler.go：GET /v1/usage?days=7、POST /v1/ads/unlock(204)。
- apierr：新增 AD_NOT_UNLOCKED/QUOTA_EXHAUSTED/AD_VERIFY_FAILED/AD_TOKEN_REPLAY。
- openapi：/ads/unlock 补 409 Conflict（重放）。
测试：ads_test.go 单测覆盖 AdMob 验签全链路（合法/伪造/custom_data 不符/
ad_unit 不允许/畸形 token）+ Unity 未实现；usage_integration_test.go
(testcontainers, build tag integration) 覆盖并发多节点累加、批次重放去重、
跨 UTC 日界分桶、未知 dp_uuid 丢弃、free 额度四态、ads 解锁伪造/重放/幂等、
曲线补零/隔离、/me 摘要。
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com >
2026-06-13 12:16:50 +08:00
wangjia