feature+windows — 项目 TODO

📋 待开始 13 ▴ 收起

#1 macOS 原生 KillSwitch 补齐 L0→L3
待开始重要二级

现状 L0(stub)：VpnChannel.swift:69 setKillSwitch 直接 result(nil)、includeAllNetworks()→false。天花板 L3。改 NetworkExtension：includeAllNetworks=true + NEOnDemandRule 常开 + enforceRoutes，由 neagent 系统级强制、扛 app 崩溃。性价比最高的跨端缺口。依据见 docs/killswitch-design.md §4-6。

mac

🤖 agent 🕐 2026-06-22
#2 Android KillSwitch L1 + 引导系统 Always-on
待开始重要二级

现状 L0(stub)：MainActivity.kt setKillSwitch 只打日志(TODO 11G)。目标：app 内做到 L1(config TUN strict_route，复刻 Windows 的 applyKillSwitchToConfig 语义) + 深链引导用户开系统设置「始终开启 VPN + 无 VPN 时阻止连接」拿 L3，UI 诚实标注「彻底防泄漏需在系统设置开启」。属 Android 客户端 11G。依据见 docs/killswitch-design.md §4-6。

Android

🤖 agent 🕐 2026-06-22
#4 线上启用 TOTP 两步验证并验 2FA
待开始重要三级

pangolin1 的 /etc/pangolin/server.env 配 USER_TOTP_ENC_KEY(32字节或64位hex)并重启 pangolin-server,启用后验 A.1 客户端 2FA：绑定 Authenticator→重登 6 位码校验→备份码可用。当前该键未设置,/auth/login/totp 与 /me/totp/* 未挂载,2FA 无法测。属 A.1 手动验证清单第 4 项的前置。

后端运维

🤖 agent 🕐 2026-06-28
#8 agent 掉线告警 + 静默吞错全量审计
待开始重要二级

TODO #7 的剩余两块:① Hub 检测到 agent gRPC 流断开时触发告警(alert 包),避免再像这次停 6 天没人知道;② 全仓审计 _ = err / 忽略错误的静默吞错点(今天已遇邮件/连接500/connect-push 三处),逐一改为记日志或上抛。

后端

🤖 agent 🕐 2026-06-28
#12 协议选择(REALITY/Hysteria2/自动)端到端
待开始重要一级

让用户选数据面隧道协议:auto(服务端自决)/reality(TCP443隐蔽)/hysteria2(UDP443弱网更快)。客户端 settings 加 ProtocolChoice 枚举+持久化+三段选择器、connect 时下发。关键:protocol 必须走 query(?protocol=)不走 body(与 split_cn 一致,nodes.go:183),旧 WIP 误移 body 会破坏分流。服务端 nodes.go connect 读 query + clientconfig BuildClientConfig 按 proto 渲染。(从本地 main todo 合并而来)

前端后端

🤖 agent 🕐 2026-06-28
#14 移动端真·常连:Android Always-on + iOS/iPad On-Demand(无UI自连)
待开始重要一级

系统在 app 未开时拉起隧道:Android Always-on VPN(系统设置开启+VpnService 支持 onStartCommand 无UI拉起+配置缓存)、iOS/iPad On-Demand(NEOnDemandRule + PacketTunnelProvider 用缓存 lastConfigJson 自连)。难点:paid 凭证 TTL 仅24h,长期常连需原生侧刷新配置/凭证。桌面自启+全平台自动连接已在另一轮做(plan crystalline-exploring-lerdorf)。

Android iOS 后端

🤖 agent 🕐 2026-06-29
#16 启用设备数量限制 + 超限 UX(踢旧/选择移除,非硬拒登)
待开始重要一级

现状:plans.max_devices(free1/pro5/team10)+ devices/service.go:216 强制逻辑 + DEVICE_LIMIT_EXCEEDED 错误码 + 账户API DevicesMax 都在,但 main.go:534 登录注册传 MaxDevices:0(不启用)。原因:free 用户重装会换 device UUID,登录硬卡会把人锁外面。需:① 登录/注册从套餐读 max_devices 传入 RegisterIfAbsent;② 超限不直接拒登,改为'踢最旧设备/让用户选哪台下线'的 UX(客户端弹窗 + 设备管理页操作);③ 处理 free 重装 churn(同机复用而非每次新增)。tier-1:涉及登录接口 + 跨后端/前端 + 策略设计。

后端前端

🤖 agent 🕐 2026-06-30
#21 邀请/任务奖励明细列表 — GET /v1/invite/events(读 audit_log:action/target/days/时间)+ App 邀请页明细区(逐行:日期·事件·+N天)+ 六语;审计数据已齐(audit_log target 现带对方id),纯展示层活
待开始重要

🤖 agent 🕐 2026-07-13
#24 客户端长时间运行后重开显示未连接(Offline)但隧道实际仍在连——UI连接态与真实VPN态脱钩。iOS实测:系统VPN设置里『已连接』(Pangolin加速/穿山甲激活),但app连接页显示Offline/Tap to connect。排查方向:app冷启/回前台时未从NETunnelProviderManager/系统VPN真实态同步隧道状态,statusStream初始态错判为off。四端可能共性(Dart侧状态流)。
待开始重要

🤖 agent 🕐 2026-07-26
#25 私有服务在家直连(不绕 Ali frps):nas/git/win/brain.51yanmei.com。方案=局域网分离解析 DNS(dnsmasq 或 AdGuard Home 挂 NAS,per-host 覆盖到 192.168.3.x + DHCP option6 下发)解决 VPN 关闭情形;VPN 开启情形走 B2 两旋钮(保留极小 dns-system 服务端清单,路由决策下沉用户规则)。需在家局域网环境操作。前置修复 reverse_mapping 已完成(commit e157b16)
待开始重要

🤖 agent 🕐 2026-07-31
#26 切 MySQL 前必补 Promo 限购并发防线:pay/webhook.go settle 对 pro_month_promo 靠应用层 HasPaidPurchaseExcludingTx 复查,MySQL READ COMMITTED 下并发两笔独立订单会双发一个月 Pro。当前 SQLite _txlock 串行化 + 部分唯一索引 ux_pay_promo_paid 双兜底,不触发;切 MySQL 需改 SELECT..FOR UPDATE 锁 user 维度或全表唯一索引
待开始重要

🤖 agent 🕐 2026-08-01
#27 分支审核 Minor 硬化(routing/pay):①TG webhook secret 改 subtle.ConstantTimeCompare(reward/handler.go:113 现用 !=);②routing 保存成功后回填服务端 Normalize 结果(现保留本地乐观值,重复/带空格规则短暂 UI 漂移);③nodes.go splitCN 冗余赋值清理
待开始重要

🤖 agent 🕐 2026-08-01
#3 Windows KillSwitch L1→L2 (WFP 防火墙强制)
待开始一般 / 优化一级

现状 L1：desktop_vpn_bridge.dart strict_route + 子进程重载，进程被硬杀仍泄漏。目标 L2：app 装 WFP(Windows Filtering Platform) 过滤器阻断非隧道流量，做成系统服务持久化才能扛崩溃。工作量较大，backlog。依据见 docs/killswitch-design.md §4-6。

Windows

🤖 agent 🕐 2026-06-22

🔨 开发中 0 ▴ 收起

暂无条目

🔍 待验收 5 ▴ 收起

#18 看门狗后台唤醒误判节点死→假重连
待验收重要三级

app/Mac 后台或睡眠一段时间再打开,连通看门狗路径A(urltest stale)用墙上时钟算陈旧度,_lastUrltestOk 在挂起期冻住→唤醒时误判>45s→_onNodeUnhealthy 触发 disconnect+connect 假重连(智能模式还自动切节点),但隧道没掉。修:_onStats 记 _lastStatsAt,路径A 仅在 stats 仍在流但 urltest 停更时才判死;stats 整体停(挂起)则跳过。connection_provider.dart 一处。

mac 前端

🤖 agent 🕐 2026-07-01
#19 前端设计系统治理重构（ds-flow 全端）
待验收重要一级

用 ds-flow 把 Flutter 五端+官网+用户中心收口到设计单源。补原型三件套(atoms.css/icons.js/index.html)+Web共享原子层去重(各自实现+同源闸)+硬编码色/fidelity闸+启用pre-commit。6阶段。计划见 docs/superpowers/plans/2026-07-07-frontend-ds-refactor.md

✓ 已确认一级方案规划 2026-07-07

6 阶段 ds-flow 治理重构:Phase0 CLAUDE.md+计划落库 / Phase1 原型三件套(atoms.css/icons.js/index.html,收敛ui_kits) / Phase2 Web token同源闸 / Phase3 Web共享原子层去重(各自实现+同源闸,★工作量最大) / Phase4 Flutter收尾+golden补齐 / Phase5 静态闸挂满+启用pre-commit+fidelity体检。已定决策:Web各自实现+同源闸、ui_kits收敛纯HTML、先定稿再逐刀。主题保持light/dark。
📄 详见 docs/superpowers/plans/2026-07-07-frontend-ds-refactor.md

前端 Web mac iOS Android Windows CI/CD

🤖 agent 🕐 2026-07-07
#20 Tablet(iPad)补通知入口 — tablet_shell 顶栏接铃铛 + content() 加 NavView.notifications 真屏(现平板铃铛/通知不可达,桌面/手机正常)
待验收重要

🤖 agent 🕐 2026-07-12
#22 客户端私有服务域名分流(BuildClientConfig): nas/git/win.yanmeiai.com 本地DNS+resolve+私网直连+强制走隧道,smartRoute 可重开
待验收重要

🤖 agent 🕐 2026-07-16
#23 私有目的地 ACL（节点侧）：只有白名单 dp_uuid 能经 pangolin 出口访问 brain/nas/git/win.51yanmei.com。节点本地 acl.json + agent 渲染放行/拒绝规则对，fail-closed，SIGHUP 热生效。设计 docs/private-dest-acl-design.html，计划 docs/superpowers/plans/2026-07-23-private-dest-acl.md
待验收重要

🤖 agent 🕐 2026-07-23

✅ 已验收 8 ▾ 展开

#11 清理旧命名 tablet golden 孤儿文件
已验收一般 / 优化三级

client/test/golden/goldens/ 下未被引用的 tablet_connect.png/tablet_connect_dark.png/tablet_servers.png/tablet_stats.png/tablet_account.png(旧命名,已被 _light_/_dark_zh 矩阵取代),git rm 清掉。(从本地 main todo 合并而来)

前端

🤖 agent 🕐 2026-06-28 ✅ 验收 2026-06-30
#7 节点健康绑定 agent 在线 + connect 校验凭证下发 + 掉线告警
已验收高优 · 紧急一级

本次 google 打不开暴露的架构漏洞：① 节点 status 是静态 DB 列(种子 up)，只有 SCHED 健康循环会改、而单节点没开 → Hub 已知 agent 离线却不反映到节点状态/列表，客户端永远显示健康。应把 Hub 的 agent 在线状态接进 ListNodes/节点 status。② ConnectNode 把 hub.Push 错误吞了(_ = pushErr)且不校验 agent 在线 → 凭证没下发也返回 200，客户端误以为连上。应在 agent 离线/push 失败时降级或明确报错，并把推送结果纳入响应。③ agent 掉线无告警(本次停 6 天没发现)，应在 Hub 检测到 agent stream 断开时告警。④ 通病:错误被 _ = 静默吞掉(今天邮件/连接500/此处共三处)，需排查同类静默吞错。

后端

🤖 agent 🕐 2026-06-28 ✅ 验收 2026-06-30
#10 统计页设备下拉接真实设备数据(依赖#上条)
已验收一般 / 优化二级

统计重设计的设备下拉,先只挂「全部」上线;每设备归因打通后,把下拉填上「全部 + 近30天用过的设备名」,选设备走 /v1/usage/devices 过滤。依赖每设备归因 TODO。

前端

🤖 agent 🕐 2026-06-28 ✅ 验收 2026-06-30
#15 iOS/iPad 实时统计+urltest 延迟与 macOS 对齐
已验收重要二级

移植 macOS 已验证的统计架构:扩展注入 clash_api + StatsCollector(clash 取 urltest),app StatsClient 改 sendProviderMessage 轮询;前置生成 iOS Libbox.xcframework。Dart 侧已对齐(共用 VpnNativeBridge)。

iOS 前端

🤖 agent 🕐 2026-06-30 ✅ 验收 2026-06-30
#9 打通每设备归因(设备注册 + per-device dp_uuid)
已验收重要二级

现状:多设备共用账户级 dp_uuid,统计无法区分设备;usage_device_daily 永远空,统计页设备下拉只有「全部」。基础设施已具备(devices.dp_uuid / EnsureDeviceDpUUID / usage_device_daily / UserDeviceByDpUUID)但未激活——客户端没 POST /v1/me/devices 注册本机,连接时 EnsureDeviceDpUUID 查不到设备行→回退账户 uuid。需:① 客户端启动/登录时注册本机设备(稳定 uuid + name + platform);② 连接时带该 device_id;③ 或让 EnsureDeviceDpUUID 缺行时自动建设备行。打通后每设备统计 + 统计页设备下拉才有真数据。是统计重设计「设备下拉」的前置依赖。

前端后端

🤖 agent 🕐 2026-06-28 ✅ 验收 2026-06-30
#13 数据面故障韧性:节点健康上报+客户端连通看门狗
已验收高优 · 紧急一级

agent 心跳带 sing-box 健康(clash_api /version)→控制面 effectiveNodeStatus 标 down(列表置灰+connect拦截);客户端连上后 HTTP 204 看门狗,连续失败:智能选择自动切节点/手动只提示断开。plan: crystalline-exploring-lerdorf.md

后端前端 gRPC

🤖 agent 🕐 2026-06-29 ✅ 验收 2026-06-30
#6 节点列表：正式名(地区·国家) + 国旗图标
已验收重要二级

客户端节点列表项展示改造：① 节点名改正式格式「地区 · 国家」(如香港 · 中国)，去掉测试名(当前 prod 节点 name_zh=单节点·测试)；② 节点图标用国旗(按 region/国家码渲染 emoji 或 SVG 旗)。涉及：服务端 nodes 行的 name/region/国家码数据(可能需补国家码字段)，客户端节点卡片渲染国旗+名格式。HK 节点国旗/国家标签需产品确认(🇭🇰香港 vs 🇨🇳中国)。

前端后端

🤖 agent 🕐 2026-06-28 ✅ 验收 2026-06-28
#5 SendCode 发信失败记日志 + 测试
已验收重要三级

auth/service.go 异步发信把错误静默吞了（:157 SendCode 的 _=s.mailer.SendCode(...)，:133 SendAlreadyRegistered 同样），导致 SMTP 故障日志无痕、本次 587 被封难排查。改为发信失败时记日志（slog.Error，脱敏：只记 send failed:<err>，绝不记验证码，邮箱可打码，守 no-secret-in-logs）。并加测试：注入会失败的 mock Mailer，断言发送失败时确实记了一条错误日志（可用 LogMailer 思路/捕获 slog handler 验证）。

后端

🤖 agent 🕐 2026-06-28 ✅ 验收 2026-06-28

拒绝验收