151 Commits

Author	SHA1	Message	Date
wangjia	a3ad50aa75	fix(client-config): TUN 加 route_exclude_address 让私有 LAN 直连 ... 隧道开着时连不上局域网/NAS/家里机器(SSH/gitea 全 reset)。根因:TUN 入站 auto_route+strict_route 在 OS 层把所有流量(含 LAN)强抓进隧道,而 route.rules 里的 ip_cidr(192.168/16…)→direct 在 macOS 被 strict_route 抵消(direct 出站的 包又被捕回隧道)。 修法:TUN 入站加 route_exclude_address=[192.168.0.0/16, 10.0.0.0/8],在 auto_route 层就把这些网段排除出隧道,LAN 走系统直连。**刻意不含 172.16.0.0/12**——隧道自身 地址与 DNS(172.19.x)在此段,排除会断 DNS。route_exclude_address 为 sing-box v1.13 合法 TUN 字段(option/tun.go)。 影响:VPN 不再黑洞局域网——直连 NAS/家里机器/内网 gitea 恢复,CI runner 也不再 需要经 ali 的中继隧道(relay)。客户端需完整重连拉新配置生效。 测试:TestBuildClientConfigLANExclude 断言 tun 含 192.168/16+10/8、不含 172.16/12; go test ./internal/httpapi 全绿。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-26 01:53:35 +08:00
wangjia	ea1a875607	Merge feat/private-dest-acl: 节点侧私有目的地 ACL(按 dp_uuid 放行家庭内网服务) ... pangolin 出口 IP 是家庭内网服务(brain/nas/git/win.51yanmei.com)在 ali 侧的 唯一准入凭据;单用户时=「只有我」,现在 5 个账号退化成「所有 pangolin 用户」。 本功能在节点 sing-box route 上按 dp_uuid 补一道 fail-closed 白名单闸,把语义 拉回「只有我」。改动收敛在 internal/agentd/,零 migration,不动控制面/客户端/DB。 合并动因:该分支代码已在 pangolin1 生产运行(线上 agent 二进制 vcs.revision= e4b527b + auth_user 修复,昨晚经 SIGHUP 热渲染 auth_user 闸生效),但 main 缺失 ——从 main 重建部署 agent 会静默移除这道安全闸。合并后 main 与生产对齐,并把 线上「脏树构建(vcs.modified=true)」规整成干净可追溯来源。 含 21 个提交:设计/计划文档、ACL 配置类型与 fail-closed 加载、渲染放行+拒绝 规则对、last-good 内存+落盘跨重启兜底、SIGHUP 热重载不踢人、ip_cidr/port 校验、 resolve 堵域名绕过、auth_user(VLESS 运行时只认 auth_user)、29 个单测 + 真机验收。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-25 00:20:53 +08:00
wangjia	1d154bd627	feat(admin): 后台登录支持「记住此设备」(免二次验证 + 保持登录) ... 常用设备(已在 mTLS 白名单内)每次都要输 TOTP + 30 分钟就掉线,体验差。 新增登录页「记住此设备」勾选: - 勾选并成功登录(需完整 密码+TOTP)后,签发 30 天设备信任令牌(HttpOnly/ Secure/SameSite=Strict cookie,Redis 存储绑定 admin ID),并把会话延到 30 天 (持久 cookie + 服务端 TTL,滑动续期按会话自身 TTL)。 - 之后该设备重登只需 用户名+密码,**跳过 TOTP**;会话在有效期内保持登录。 安全不变量(均有测试覆盖): - 密码永远必验——即便持有效信任令牌,密码错一律拒(只跳过第二因子,不跳过密码); - 信任令牌绑定 admin,alice 的令牌不能给 bob 免 TOTP; - 无令牌 + 空 TOTP 一律拒(未记住设备仍强制二次验证); - 令牌过期/Redis 清空/未知令牌全部 fail-closed 回退到「要 TOTP」; - TrustedDeviceTTL=0 关闭整功能(勾选无效)。 实现:新增 TrustedStore(Redis, trusted.go);Authenticator.LoginDevice (旧 Login 保持签名,委托新方法,零行为变化);SessionStore.CreateWithTTL + Session.TTLSeconds 支持持久会话按自身 TTL 滑动;handler 读 cookie/勾选、 按 Persistent 设长短会话 cookie、下发信任 cookie;登录页加勾选、TOTP 去 required。配置项 ADMIN_TRUSTED_DEVICE_TTL(默认 720h)。 测试:trusted_test(签发/校验/绑定/吊销/过期/禁用)、login_device_test (跳过TOTP/仍需密码/绑定admin/无令牌需TOTP)、login_device_handler_test (端到端 勾选→双cookie→凭信任cookie免TOTP、无信任空TOTP 401); go test ./internal/admin 全绿,go vet 净。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-24 09:52:56 +08:00
wangjia	f819a77d83	fix(admin): 登录审计记录真实来源 IP(经本机反代时取 XFF 末跳) ... 管理后台经 caddy mTLS 网关(同机 loopback 反代 127.0.0.1:9444)对外后, LoginSubmit 里 hostOnly(r.RemoteAddr) 恒为 127.0.0.1,admin_login_ok/fail 的 ip 字段失去溯源价值。 新增 realIP():仅当 TCP 对端是 loopback(请求确实来自本机可信反代)才信 X-Forwarded-For,且取**最后一跳**(Caddy 把真实 TCP 对端追加在末位,更早的 段可被客户端伪造预置);直连、XFF 缺失或非法值一律回退 TCP 对端。 IPAllow 白名单中间件刻意不变——安全闸继续只看 RemoteAddr,不受任何代理头 影响(维持原注释声明的边界)。 测试:TestRealIP 七例(直连/伪造头/单跳/多跳/缺失/非法/IPv6); go test ./internal/admin 全绿。(internal/store 迁移彩排 3 例失败为 HEAD 既有——主仓干净树复现,与本次无关。) Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-24 08:34:57 +08:00
wangjia	2abe4d0816	fix(agent): ACL 放行用 auth_user 而非 user(VLESS 运行时只认 auth_user) ... 生产验证发现:sing-box 1.13 的 route rule 里 user 字段对 VLESS/REALITY 入站运行时不匹配(仅 sing-box check 语法通过),导致放行规则永不命中、 白名单用户也被兜底拒绝。本地真 VLESS 连接实测确认 auth_user 生效 (good→通/bad→block),node 端 git 一进一出白名单验证 per-user 生效。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 10:36:02 +08:00
wangjia	aaa3384e3b	feat(agent): route 加 resolve action,堵住 ip_cidr 目的地的域名形式绕过 ... sing-box route 的 ip_cidr 匹配的是已解析的连接目的地地址;客户端若发的是域名 形式(如 nas.51yanmei.com:5001)而不先解析,ip_cidr + port 的拒绝规则不命中, 请求会绕过 ACL 直接落到 final:direct——DSM/RDP/SSH 因而对任何持有有效 dp_uuid 的 pangolin 用户可达,不受白名单约束。攻击者只需让客户端连接目的地时使用域名 而非 IP 即可绕过。 用户已拍板方案:在 sniff 之后紧跟加一条 {"action":"resolve"},让节点自己解析 目的地,使域名形式收敛到 ip_cidr 规则上(已用本机 sing-box 1.13.13 确认接受 [{"action":"sniff"},{"action":"resolve"},...] 这个形状,TestRenderedConfig_ PassesSingBoxCheck 也覆盖了这条产物)。route 规则顺序变为: sniff → resolve → ACL 放行 → ACL 拒绝 → WARP。resolve 与 sniff 同条件——只在 产出 route 块时才出现,唯一且紧跟 sniff。 代价(用户已知情接受):节点从此会对连接目的地做 DNS 解析,是对"节点只见不透明 dp_uuid、不知道目的地"这条隐私姿态的一次主动后退,详见设计文档 §12。 TDD:更新 TestBuildRoute_Matrix 的四态断言(规则数 2/3/4 → 3/4/5,新增 resolve 计数/位置断言),新增 TestBuildRoute_ResolvePositionedRightAfterSniff(RED:此前 resolve 不存在)与 TestBuildRoute_NeverConfigured_NoResolve(未配置态不受影响)。 确认既有 TestRender_Warp_InjectsEndpointAndRoute(只断言首条 sniff、末条 warp, 不断言精确条数)未受影响,原样绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:44:58 +08:00
wangjia	f147ffbe9e	fix(agent): 校验 ip_cidr/port,非法即走 fail-closed;渲染产物加 sing-box check 常驻测试 ... cleanTargets 只做 trim/lower,从不校验取值——port:[70000]、ip_cidr:"not-a-cidr" 这类语法正确但语义非法的值会被顺利渲染进 sing-box 配置。SIGHUP 热重载路径下 sing-box 会自己校验并拒绝这份新配置、保留旧实例继续跑,但 agent 早已把它当 "渲染成功"写盘并记正常日志——于是 /etc/sing-box/config.json 内容看起来正常 (能被 json.load 解析、rules 都在),但线上的 gate 其实完全没生效,而这在 运维层面几乎不可见。 修复: - LoadACLConfig 解析成功后跑一遍 validate():每个 target 的 ip_cidr 必须能被 netip.ParsePrefix 解析,每个 port 必须落在 1-65535,否则返回 error——与解析 失败走同一条路径(fail-closed last-good 兜底),而不是把坏值一路渲染出去。 - 新增 TestRenderedConfig_PassesSingBoxCheck:把渲染结果喂给真实 sing-box 1.13.13 二进制的 `check` 子命令断言 exit 0,把设计 §9 "产物合法性" 验收项落成常驻测试 (exec.LookPath 找不到二进制则 t.Skip,不 fail)。本机 sing-box(homebrew 装, 无 with_v2ray_api tag)会因实验性 v2ray_api 段落报编译期不支持的 FATAL——与本 测试要验的 ACL/route 语法合法性无关,故只在这条测试内剥离该段落后再校验。 TDD:acl_test.go 新增 TestLoadACLConfig_RejectsInvalidPort / _RejectsInvalidCIDR (RED:此前返回 nil error)、TestACL_InvalidPortFallsBackToLastGood(RED:非法端口 被渲染进配置)。三条现全绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:43:18 +08:00
wangjia	8e24a157e1	fix(agent): last-good 双失败必须告警 + 降级日志分级 + derr 落日志 ... loadACL 终点此前有两个问题:(1) 读磁盘 last-good 的 derr 从不落日志;(2) ALERT 只在 err != nil 时触发,但 acl.json 单纯缺失(LoadACLConfig 按设计返回 nil,nil, 不是 error)时 err 恰好是 nil——于是 acl.json 缺失 + 磁盘 last-good 同时损坏这种 "gate 实质消失"的最糟场景,反而完全没有日志。 修复: - derr 非 nil 时打 ERROR。 - ALERT 判断改用文件是否曾经存在(os.Stat)而非 err 是否非 nil:acl.json 与 last-good 均 not-exist → 判定"从未配置过该功能",安静返回;否则(其一存在但 读取/解析失败)→ ALERT。 - 两条降级 fallback 日志补 WARN 级别标签,配合 ERROR/ALERT 可用 journalctl | grep -E 'ERROR|WARN|ALERT' 一并抓到。 TDD:acl_test.go 新增三条——双失败必须 ALERT(RED)、从未配置不误报(基线即绿, 防止告警刷屏回归)、降级日志缺 WARN 标签(RED)。全部现绿。 复现细节:双失败场景没有采用"把 acl.json 和 last-good 都整个删除"来复现——那种 状态在文件系统层面与"这台节点从没配置过 ACL"完全无法区分(两次 os.Stat 皆 not-exist),任何仅凭当前文件状态判断的实现都做不出区分,要区分需要额外的持久 标记,超出本 finding 范围。改用"acl.json 缺失 + 磁盘 last-good 存在但损坏"复现, 这是一个可被 os.Stat 命中的信号,也更贴近 §5 描述的真实故障。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:39:30 +08:00
wangjia	63f4325e51	fix(agent): 空/手抖 acl.json 不得静默关闸或覆盖 last-good ... loadACL 的成功分支此前无条件把解析出的 ACL 存为内存 last-good 并落盘,不管 它是否真的产出任何规则。encoding/json 忽略未知字段(必须如此,样例文件靠 _comment 自文档)——所以 "targetz"(手抖打错 "targets")或 "targets": [] 都能 解析通过,Targets 变 nil,active() 为 false,规则消失(gate 被静默关闭),且同一次 调用还会拿这份空配置覆盖 acl.last-good.json,销毁唯一的恢复快照。 修复: - enabled=true 但 cleanTargets() 为空 → 视为加载失败,走 last-good 兜底, 绝不返回、也绝不持久化这份空配置。 - 只有 active() 为真的配置才更新 last-good;active()=false 只可能是显式 enabled:false(合法关闭),此时原样返回(不产出规则)但不覆盖磁盘上的 last-good,保留后续误删/损坏时的恢复能力。 - 白名单为空但 target 有效(拒绝所有人的合法配置)不受影响,仍持久化为 last-good、仍产出拒绝规则。 TDD:acl_test.go 新增三条 —— 手抖字段名(RED:拒绝规则消失且 last-good 被覆盖)、 显式 enabled:false(RED:last-good 被覆盖)、空白名单但有效 target(基线即绿, 防止修复过度矫正)。三条现全绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 07:37:47 +08:00
wangjia	3324c1d687	docs(agent): 私有目的地 ACL 配置样例与常驻校验测试 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:24:51 +08:00
wangjia	6f183ff0df	feat(agent): SIGHUP 重读节点本地配置并热重渲染,不踢在线用户 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:15:27 +08:00
wangjia	d216e157c3	test(agent): 覆盖 acl.json 被删时仍走 last-good 兜底 ... 删文件走的是 LoadACLConfig 返回 (nil,nil) 的分支,与坏 JSON 的 err!=nil 分支不同,此前无回归覆盖。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:09:02 +08:00
wangjia	87d5afa703	feat(agent): 渲染时读取 ACL,内存+磁盘 last-good 保证 fail-closed 跨重启 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 02:01:45 +08:00
wangjia	4155fc8542	refactor(agent): route 块改由 buildRoute 统一产出,合并 ACL 与 WARP ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:52:39 +08:00
wangjia	597d6ab68b	feat(agent): ACL 渲染放行/拒绝规则对,空白名单仍拒绝 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:40:11 +08:00
wangjia	d4156b81e2	refactor(agent): cleanDomains 委托 cleanHosts,消除同包重复逻辑 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:32:43 +08:00
wangjia	e4d014ba99	feat(agent): 私有目的地 ACL 配置类型与 fail-closed 加载语义 ... Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-23 01:07:15 +08:00
wangjia	74d8c857be	feat(server): 私有服务域名分流(PANGOLIN_PRIVATE_SPLIT_DOMAINS) ... 家庭内网穿透域名(nas/git/win.yanmeiai.com)的客户端配置渲染: - DNS 面: 系统解析器(type=local,底层网络)+私有域名规则置顶+reverse_mapping - 路由面: 私有域名→强制走隧道,钉在 LAN 直连之后、国内分流(geoip-cn)之前 在家: 局域网 DNS 覆盖→私网IP→LAN直连零绕行; 在外: 锚点(frps@ali,国内IP) 不再被 smartRoute 分流成直连、避开安全组限源。env 不配置=行为零变化。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	2026-07-16 07:22:16 +08:00
wangjia	43c76fb978	Merge remote-tracking branch 'origin/main' into feat/pay-v2-integration ... # Conflicts: # docs/index.html # server/cmd/server/main.go	2026-07-11 16:44:05 +08:00
wangjia	bc9aa38392	fix(server): pay webhook 兜底补行不再漏停用用户(修静默丢钱)+ 未知事件日志 + PAY_BIZ_SECRET 启动守卫 ... - webhook 兜底路径(台账缺行按 biz_ref 定位用户)去掉 status='active' 过滤, 与正常路径(row.UserID 直接开通不看状态)对齐:钱已实收,不因用户被停用 (banned)而拒绝补行开通,避免 500→pay 12 次重投后死信→静默丢钱。 - 未知 event_type 分支加 slog.Warn,便于将来 pay 侧误注册无 handler 的事件 类型时能被观测到。 - PAY_BASE_URL 已设但 PAY_BIZ_SECRET 为空时 log.Fatal 拒绝启动,避免出站 签名失败+入站验签全 401 的静默瘫痪。 - InsertFromWebhookTx 不再把 channel 冒充 method 写入台账(payload 无 method 字段可复原,留空并加注释,消除台账观感误导)。 新增 TestWebhook_MissingLedgerFallsBackEvenWhenUserSuspended 覆盖 #1: 台账缺行 + 目标用户 banned 时,兜底补行仍成功开通并回 SUCCESS。 Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-11 00:48:57 +08:00
wangjia	390b8b8f84	chore(server): pay v2 接入终验 + OpenAPI 登记 + 交付说明 ... 全量矩阵本地全绿(build/vet/test/run_sqlite_test.sh + 新增 SQLite 文件库带数据 升级彩排 + MySQL 8 容器验证 000021 MODIFY ENUM;client analyze/test 功能全绿, 27 个既有 golden 像素噪声与本次接入无关)。server/api/openapi.yaml 登记 6 个新 Pay 端点(catalog/orders/orderNo/retry/cancel/webhook)+ schema,通过结构校验。 顺手修复 run_mysql_test.sh 缺 multiStatements=true 的既有 bug(与 pay-v2 无关)。 新增 pay_migration_rehearsal_test.go 验证 000021 升级不丢行/AUTOINCREMENT 续序, 并确认一处安全特性:已有 source='pay' 行后 down 会被 CHECK 约束正确拒绝。 交付说明 docs/pay-v2-integration-delivery.html(含测试矩阵/联调 checklist/部署 附录)已登记 docs/index.html,记录一处既有但未修的部署前置阻断项(go.mod 的 wangjia/codes 本地路径 replace 会阻断异机构建,超出本任务授权范围)。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-11 00:34:10 +08:00
wangjia	16b8823f1f	feat(server): pay webhook 接收器(验签/时间窗/nonce + out_trade_no 幂等开通,回 SUCCESS) ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 22:38:01 +08:00
wangjia	932953bafe	feat(server): /v1/pay 下单代理端点 + 购买台账(JWT 鉴权,user→biz_ref 映射) ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 22:32:43 +08:00
wangjia	db2461ed1d	feat(server): pay v2 出站客户端(HMAC 签名下单/查单/retry/cancel)	2026-07-10 20:52:33 +08:00
wangjia	7370b17bd9	feat(server): codes.GrantPaidSubscriptionTx 提炼订阅叠加语义供 pay 复用 ... CreateSubscription/applySubscription 加 source 参数(兑换路径传 "code" 零行为变化);新导出 GrantPaidSubscriptionTx(ctx, tx, ...) 供 pay 侧在 调用方事务内以 source='pay' 复用同一段叠加语义(同 plan 活跃订阅原地 延长,否则新建行),写 pay_grant 审计。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 20:49:25 +08:00
wangjia	85140edf1c	feat(server): 迁移 000021 pay_purchases 台账 + subscriptions.source 扩 pay ... Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 20:46:13 +08:00
wangjia	16855a533a	chore(server): 清理 stale code_batches 注释	2026-07-10 15:03:45 +08:00
wangjia	db3428f622	test(server): mysql 集成测试对齐 codes 库新表(断言不变,环境搭建换 ApplyMigrations)(#codes-lib)	2026-07-10 15:03:43 +08:00
wangjia	ef4ed47759	feat(server): admin 批次列表/作废改指 codes 库新表,清理被取代的旧 store 方法(#codes-lib)	2026-07-10 14:53:29 +08:00
wangjia	d1e2fed563	feat(server): webhook 薄壳化——保留 X-Pangolin HMAC 协议,铸码走库单事务原语(#codes-lib)	2026-07-10 14:45:08 +08:00
wangjia	0822d22e2c	feat(server): Redeem 换芯 GuardedRedeem——grant 回调同事务复刻订阅叠加+双审计(#codes-lib)	2026-07-10 14:34:30 +08:00
wangjia	e128c96d22	feat(server): CreateBatch/生成器切换到 codes 库(Mint 单事务全成或全无)(#codes-lib) ... Store 挂库 store(NewStore 内部构造 libcodes.Store,签名不变); generator.go 三函数委托 libcodes,ErrDuplicate 别名同一哨兵; Service.CreateBatch 走 libcodes.Mint(签名不变)。openMigratedSQLite 挪到共享 sqlite_helper_test.go,backfill_test.go/service_sqlite_test.go 共用。Store.CreateBatch/CreateCode/CodeExistsByHash 原样保留供 webhook.go(Task 6 改用新原语,Task 7 删除)。	2026-07-10 14:24:18 +08:00
wangjia	15f0d78a91	feat(server): legacy 码表 → codes 库新表的幂等回填(Go 双方言)(#codes-lib)	2026-07-10 14:13:21 +08:00
wangjia	7a4c9b97d0	fix(server): migrate down 兼容 codes 库自建表(先 DROP 再改名回)+ 真实接线回环测试(#codes-lib) ... Reviewer 复现:cmd/migrate up 接线 ApplyCodesLibMigrations 后,codes 库自建的 codes/codes_batches/codes_audit_log/codes_schema_migrations 四张表不受 golang-migrate 追踪;000020 的 down 脚本做 legacy_codes -> codes 改名回时, 撞上库自建的同名 codes 表,报 "table already exists" 硬失败。 000020 的 sqlite/mysql down 脚本改名前先 DROP TABLE IF EXISTS 掉库自建四张表, 并注明:down = 完整回滚「rename + 库建表」组合,库表数据随 down 销毁属预期 (权威数据仍在 legacy_* 表,回填是后续任务,回填落地后 down 语义需重新审视)。 新增 TestCodesLibMigrateRoundTrip 走真实接线路径(MigrateUp -> ApplyCodesLibMigrations -> 单步撤销 000020 断言 legacy 复原/库表清空 -> 撤销回去 -> 再跑 ApplyCodesLibMigrations 验幂等 -> 全量 store.MigrateDown 即 cmd/migrate down 的真实调用路径,确认不再硬失败)。先用 git stash 掉修复验证 测试能精确复现 reviewer 报的 "table already exists" 报错(RED),再恢复修复 转绿(GREEN)。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-10 14:06:01 +08:00
wangjia	5a9b5f1d8e	feat(server): cmd/migrate up 接入 codes 库自建迁移(ApplyCodesLibMigrations)(#codes-lib) ... 顺带修 000020 sqlite 索引名冲突:ALTER TABLE RENAME 不会带着重命名索引, legacy_codes 上遗留的 idx_codes_status 与 codes 库自己迁移里同名索引撞名, 一并改成 idx_legacy_codes_status(up/down 对称)。	2026-07-10 13:55:14 +08:00
wangjia	665749a90b	feat(server): 迁移000020 旧码表更名封存 legacy_*(为 codes 库表让位)(#codes-lib) ... RENAME codes/code_batches -> legacy_codes/legacy_code_batches(双方言), 为共享库 github.com/wangjia/codes 的同名 codes 表让位。sqlite_migrate_test.go 同步到 version=20 + legacy_* 表清单。 顺带 skip TestSQLite_CodesRedeemFlow(internal/store/sqlite_stores_test.go): 该测试直调 internal/codes.Store 的低层方法(CreateBatch/CreateCode/ FindCodeByHashForUpdate/MarkRedeemed),现在指向被更名的旧表。计划本身在 Task 5(Store 换芯 + Redeem 走库)显式删除此测试、由 Service 级 sqlite 用例 接管等价覆盖 —— 这里先 skip 而非改写/删除,保持 go test ./... 全绿,避免 在 Task 1 提前动到 Task 4/5 范围内的 internal/codes/store.go。	2026-07-10 13:46:17 +08:00
wangjia	c9e266b89a	fix(server+ci): 修 go-integration 真 bug + e2e 免疫代理(CI 收尾) ... DinD 修复后暴露的两个 CI job,诊断: Go integration(真 test-drift bug,早前会话改动遗留): - auth/integration_test:Register/Login 补 ip + DeviceMeta 参数(sessions/ device-meta 改动后陈旧调用,构建失败)。 - usage/usage_integration_test:手写测试 schema 补 ad_bonus_minutes 列 (migration 000020 加的);重写 TestIntAdsUnlockAccumulates 断言对齐 ad-unlock 转累加式(UnlockAd→AddAdBonusMinutes,不再 stamp ad_unlocked_at)。 - devices/devices_integration_test:套餐种子 pro=5→3(migration 000019 改的)。 - devices/context.go(生产 1 行):CtxKeyUserID 别名到 codes.CtxKeyUserID——原为 独立 devices.ctxKey 类型,与 auth 注入的 codes.ctxKey 类型不同→context 取键 失配(休眠 bug,中间件目前仅测试接线)。go build 通过。 E2E(环境问题,非脚本):删 ci.yml 里多余的 apt-get(openssl/curl/python3 已在 golang:1.25 镜像内;原 apt 走 Docker Desktop 代理→本机死口,徒增脆性)。脚本 本身本机直跑通过。 验证:go test -tags integration -count=1 -p 1 ./... 全 ok;go build ./... clean。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-08 09:04:10 +08:00
wangjia	84448b3064	fix(server/cors): 放行 X-Refresh-Token 头(修用户中心刷新掉线) ... 用户中心用 header token 方案:access token 只存内存、refresh token 存 localStorage,页面刷新后靠 POST /v1/auth/refresh 带 X-Refresh-Token 头静默续期 (web/usercenter/lib/api/http.ts)。 但 CORS Allow-Headers 只放行 Content-Type/Authorization,浏览器预检发现 X-Refresh-Token 不在白名单 → 拦截真正的 refresh 请求 → api.refresh() 抛网络错 → setAuthed(false) → 甩回登录页。表现:登录能成功(不带该头),但一刷新就掉线, 用量/续费等需登录态的页面全打不开。 修:Allow-Headers 加 X-Refresh-Token。加回归断言(cors_test)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-07 23:03:39 +08:00
wangjia	4940278ea5	feat(migrate): 用户中心迁到 pangolin.yanmeiai.com/user/ + 域名配置化 ... 原独立子域 app.yanmeiai.com → 主站子路径 /user/(用户选停用旧域名): - 域名配置化(去硬编码):客户端 kWebUserCenterBaseUrl 收进 api_config.dart (dart-define 可覆盖);官网 site.ts、服务端 CORS_ORIGINS 本就是配置 - 用户中心 next.config basePath=/user;layout.tsx 的 /colors_and_type.css 手动 拼 basePath(public 根绝对资源不自动加前缀,否则 404) - CI 合并部署:compile-site + compile-usercenter + combine-site(用户中心并入 dist/user/ + _headers 按 /user/* 分域:官网严格 CSP,用户中心 unsafe-inline+ connect-src https)→ 单次部署 pangolin-site;删独立 pangolin-usercenter 部署 - 服务端 CORS 默认 origin app.yanmeiai.com → pangolin.yanmeiai.com(+ 测试) - 客户端 web_launch 走新址 → 随 client-v1.0.62;go test CORS 过、flutter analyze 净 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-07 17:33:22 +08:00
wangjia	4baf24f6f8	feat(server): 自动更新 /version 清单端点(镜像 jiu) ... GET /version(公开)读 /etc/pangolin/version.yaml(每请求重载,免重启);缺省回退。 download_urls 接 /downloads。deploy.sh 装清单(存在则不覆盖, 保住线上 bump)。含 4 测试。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-07 00:12:46 +08:00
wangjia	1e13f35219	feat(server): SSO 换票端点(App→Web 免登握手) ... /v1/auth/web-ticket(需登录):签发一次性票据(crypto/rand 32B, Redis GETDEL 单用, 60s)。 /v1/auth/web-ticket/exchange(公开):票换与 /auth/login 同款 token pair。镜像 jiu。含 6 测试。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-06 23:54:15 +08:00
wangjia	3d521973ab	feat(server): CORS 中间件(Web 用户中心跨域调 /v1/*) ... usercenter(app.yanmeiai.com,浏览器)跨域调控制面 API 会被浏览器拦(无 CORS 头)。 加白名单 CORS 中间件(CORS_ORIGINS,缺省 app.yanmeiai.com + pages.dev),应答 OPTIONS 预检。原生端非浏览器不受影响。Bearer 认证故不需 Allow-Credentials。含 3 项测试。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-06 21:52:33 +08:00
wangjia	2e631ed3b5	feat(server+web): 客户端下载闭环——pangolin-server /downloads + 官网下载链接 ... - server: /downloads/* 公开静态服务(NewDownloadsHandler,DOWNLOADS_DIR 默认 /var/lib/pangolin/downloads),防目录穿越/不列目录/缺目录不崩,Cache-Control: no-cache 保证 CI 覆盖后永远最新。挂在 /healthz 同级(免鉴权)。含 4 项测试。 - deploy.sh: install -d 下载目录 + server.env 注入 DOWNLOADS_DIR。 - web: site.ts 增 downloads.{android,windows}(→ https://api.yanmeiai.com/downloads/*); Download.astro 接上 Android/Windows 按钮,iOS/macOS/Linux 改「即将推出」禁用态。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_013nMthbVEmQquxBRKb9Fj8u	2026-07-06 19:48:57 +08:00
wangjia	08fb915b5e	test(devices): #27 同机换账号登录注册 E2E(SQLite,服务层) ... 走 login 完全相同的路径 devices.Service.RegisterIfAbsent{MaxDevices:0}: 同一 device uuid 两账号各得一行、A 重登幂等刷新、共享 uuid 恰 2 行。 补 SQLite(生产同引擎)服务层覆盖,与既有 store 层 TestSQLite_DevicesUserScopedUUID 及 MySQL 集成 TestSameDeviceUUIDTwoAccounts 三层互证 F3 修复。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-05 13:11:25 +08:00
wangjia	eb7c3c1062	feat(agent): WARP 域名分流 —— 命中域名走 Cloudflare 干净出口(#29) ... 节点 sing-box 渲染新增可选 WARP 分流:节点本地 warp.json(默认 <StateDir>/warp.json)配 WARP 凭证 + 域名清单 → 渲染时注入一个 userspace WireGuard(WARP)endpoint + route(sniff 取 SNI/Host → domain_suffix 命中走 warp,其余 final=direct)。sing-box 1.11+ endpoints 语法,system=false 用户态 不依赖内核 wg 模块。 - 运营改域名只需编辑 warp.json + 重启 agent(sing-box 无热重载),即「配置的方式」。 - warp.json 不存在/enabled=false/域名空/凭证缺/坏 JSON → 一律按未启用,配置与旧 节点逐字节一致,坏配置绝不产出无法启动的 sing-box config(渲染读失败仅记日志)。 - WARP 凭证节点私有(wgcf 注册免费匿名账号),不入 git、不经控制面。 - 测试:注入 endpoint+route/无配置无 route/禁用或残缺不注入/坏 JSON 优雅退化。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-02 13:40:00 +08:00
wangjia	f035552ff5	fix: disconnect 吊销每设备凭证 + 客户端断开时真正调用(F4,#28) ... 审查 F4 两层问题:①DisconnectNode 只撤账户级 ent.DpUUID,而 connect 下发的是 每设备 devDp——吊销从未对准目标;②客户端从未调用过 disconnect 端点(只有 fetchConfig),端点是死代码,凭证一律活到 TTL(付费 24h)。 - server:disconnect 收 optional body {device_id},吊销该设备 dp_uuid(优先)+ 账户级遗留兜底;旧客户端无 body 走兜底,行为不回归。nil hub 守卫(测试友好, 与 ListNodes 一致)。 - client:ConnectApi.disconnect(best-effort,5s 超时吞错);_disconnect 加 revokeCredential 参数,仅在「不会紧接重连同节点」的路径置 true(用户主动断开/ 额度耗尽/登出)——看门狗断开→重连若也吊销,revoke 可能晚于新 connect 推送、 误杀新会话。 - test:httpapi disconnect 三态(带 device_id 双吊销/无 body 仅兜底/设备已移除 不炸);client 功能套件 182 过(golden 为已知 macOS 本地漂移,不相关)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-02 13:29:01 +08:00
wangjia	63d1baeb01	fix(server): devices 唯一键改 (user_id,uuid) —— 同机换账号不再 403 死结(F3,#27) ... device_id 按安装持久、跨账号复用;旧全局 UNIQUE(uuid) 使同机第二账号注册永远 403 → ConnectNode 判 DEVICE_NOT_REGISTERED,提示的「重新登录」无法自救。 - migration 21(sqlite/mysql):UNIQUE(uuid)→UNIQUE(user_id,uuid);platform 放行 linux(normalizePlatform 早已接受,旧 CHECK/ENUM 会拒)。SQLite 表重建用 rename→重建→复制→drop 次序,单事务内不触发 sessions 的级联清空(FK ON)。 - 查找全部收口为按 (user,uuid) 作用域(重复 uuid 跨用户后全局查询歧义): findDeviceByUserUUIDTx / FindByUserUUID;Register 删跨用户 Forbidden 分支; Delete/ForceLogout/Rename 对他人设备返回 404(不可见);SessionActive 删 「非本人 fail-safe」分支,dev==nil→false 语义不变。 - 测试:SQLite 真迁移库 F3 回归(两账号同 uuid 各自成行/同用户重复拒/linux 入库/ sessions 重建后级联仍成立)+ MySQL 集成测试 schema 同步与双账号用例。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-02 13:16:40 +08:00
wangjia	daaed39bac	fix(server): 用量分钟数按墙上时钟去重 —— 多设备并发不再 N× 超计(bug) ... agent 按每 dp_uuid(每设备)每窗口计 SessionMinutes=1,控制面 ReportUsage 逐条累加进 usage_daily.minutes_used → N 台并发 = N×墙上时钟(线上 chenxin 2903 分钟/天,不可能)。 免费额度是「所有设备共同的时间」,超计会把免费账号错误判「时长耗尽」而断连。 改 ReportUsage:账户维度按 user 分组去重 —— 字节仍求和(可加),分钟按窗口取 max (=窗口墙上分钟,恒为 1)去重,循环后每 user 各 flush 一次 AccumulateUsage/Hourly。 每设备维度(usage_device_*)保持逐台累加不变。usage_daily.minutes_used ≤ Σ 每设备分钟, /me 的 quota_today_min 与 ConnectNode 免费门随之正确。历史数据次日归零、不回填。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-02 09:57:19 +08:00
wangjia	038e5b6ab5	fix(server): 被移除的设备会话轮询判活 —— dev 行不存在应判「失效」而非「有效」(bug) ... SessionActive 在设备被 DeleteDevice 删行后 FindByUUID 返回 nil,此前一律 return true (「未知/非本人设备不据此登出」)。结果:被移除的设备轮询 /me/session 永远拿到 active=true → 不登出、不弹框,只表现为数据面凭证被召回→隧道断→客户端误报「节点异常」。 改为:dev==nil(自身 device_id 查无此行,已登录客户端必然注册过 → 只能是被移除)→ return false,让其登出;dev.UserID!=userID(他人 uuid)仍 return true 兜底。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-02 01:54:53 +08:00
wangjia	e023fb6579	feat(server): 免费版账户级分钟卡控 + 累加式看广告加时(#21 后端) ... 免费版此前形同虚设:ConnectNode 每次连接发固定 daily_minutes×1min TTL、 从不扣减已用,重连即崭新 10 分钟,日额度从未强制。改为账户级(全设备共享) 真卡控 + 累加式看广告加时: - migration 000020: usage_daily 加 ad_bonus_minutes(sqlite+mysql)。 当日额度 = plans.daily_minutes + ad_bonus_minutes;剩余 = 额度 − minutes_used。 - usage.store.AddAdBonusMinutes: 事务内累加封顶(替代布尔 MarkAdUnlocked), 返回新总额+本次实际加时;GetDay/GetUsageRange 补读 ad_bonus_minutes。 - usage.service.UnlockAd: verify+nonce 后 +adBonusPerAd(10) 封顶 adDailyBonusCeiling(120), 返回 granted+remaining;TodaySummary 加 MinutesCap/AdBonusMinutes。 - usage.ads DevVerifier: 放行式占位校验(nonce 防重放仍生效),接真 AdMob 前 让看广告加时流程可端到端跑通;main.go 按 ADS_DEV_MODE/默认装配。 - ads/unlock: 204 → 200 返回 {granted_minutes, minutes_remaining}。 - ConnectNode 免费门: 读 AccountDayMinutes(used,bonus) → remaining≤0 拒 QUOTA_EXHAUSTED, 否则 TTL=remaining(凭证到点硬切断兜底)。nodes.store 加 AccountDayMinutes。 - /me: 补 ad_bonus_minutes,quota_today_min 分母改 daily+bonus,加 quota_cap_min。 - quota.CheckFreeConnect 同步累加语义(免费基础 10 分钟不再需先看广告)。 - openapi + 契约/迁移版本/集成测试同步;新增 SQLite AddAdBonusMinutes 单测。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-01 23:44:10 +08:00