feat(api): documents[].reason + messages 对不存在会话回 404（安卓回执九两条；契约 v0.63）
- ① documents[] 元素增可选 reason（omitempty）：装配期在给出 status 的**同一处**填充，取的**就是注入模型清单里那份原因文案**（同一字符串两处用，服务端不为客户端另编一句），只在 unreadable 时下发；随 S3.5 的回合后回写落进 document 列 ⇒ 历史接口 / 握手回放都有。文案只含原因、不含落盘路径/存储名以外内容/凭据（有独特目录名反证断言）。
- ② GET /sessions/{id}/messages：不存在/已删除 ⇒ 404 session_not_found；**存在但无消息仍 200 {data:[]}**（空会话绝不能被答成 404）；参数形状校验仍先于 404；存在性判定复用既有窄视图（history.Store.SessionPersona，未知 id 报 ErrSessionNotFound），**未新增 SQL/存储方法**；判不出来（未接该视图）保持旧语义（判不出 ≠ 不存在），判定本身失败回 500 不静默。
- 契约 v0.63（三档：reason 纯增量 / messages 404 行为变更 / 无破坏性）：api-client §1 行 6 + §1.2④ 的 10 条逐字文案 + §4.4 错误码 + changelog + banner；api-reference §1.2 行 6 + §3.4 + §3.8 DTO + §8.1 错误码表。
- 主会话独立核对的副作用（隔离会话 sess-* 现在也 404）：查活库 chat_sessions 里**根本没有 sess-* 行**（只有 web 与 web:<uuid>），sess-backthink 消息数 0，前端唯一提到 sess-backthink 的是 graph_update 的内存桶测试 ⇒ **没有客户端按 id 读隔离会话的 messages**；且这与 POST /sessions/{id}/read（v0.37 起即 404）一致 ⇒ 接受不加 sess- 例外，并在回执里问安卓确认。
- 主会话独立验收：隔离 worktree（S9 的 13 文件）build/vet 绿、整树连跑 2 次 59 ok / 0 FAIL、reason/404 用例 8 PASS、双平台交叉编译绿；**变异亲自复现**（在调用点短路 404 守卫 ⇒ UnknownSessionIs404 与 DeletedSessionIs404 双红：status = 200, want 404）。
- 如实登记：验收过程中出现过**一次不可复现的子集 FAIL**（restore 之后那次 Session|Reason 子集跑；未记到用例名）—— 随后同一子集、那三条用例 ×5、以及整树 ×2 全绿，判为瞬时；已记入账本，后续留意。
This commit is contained in:
AskaEth committed
1 parent
c1fa1e9b9a
commit
902b6eecfd
13 files changed
+779
-21
No files matched your search
+22
-3
@@ -30,7 +30,7 @@
|
||||
| 3 | `/api/v1/chat` | POST | JWT | ✅ | `{text,image?,deviceId?,mode?,clientMsgId?,documents?,stream?}` → `{data:{reply}}`；**`documents?`（v0.59）**＝本回合文档附件引用数组（**≤5 条**、**只收服务端存储名**、与 REST `stream:true` / WS `chat` 同形），单回合超限 `400 too_many_documents`（先于任何文件系统访问）、名非法/穿越/不存在 `404 document_not_found`，详见 §1.2；`stream:true` 时**直达会话编排器**（v0.56/G2：不再经可丢弃的 bus，成功受理后才回，见本行末尾「`stream:true` 响应面」）。`image` 为 base64 data: URI 或 http(s) URL，入视觉路由（design/06 §0；**v0.53 语义修正**）——**主模型能不能收图看生效组的 `multimodal`**（`models.json` 组键，面板可保存、热更新）；`LLM_VISION_MODEL`/`LLM_OCR_MODEL` **只配视觉/OCR 工具用的模型**，**与主模型能否收图无关**（裁决 14.4.1）——**走 `.env` 合成组（无有效 `models.json`）时，「主模型能否收图」该由 `LLM_MULTIMODAL` 声明（默认 `false`）**（**v0.58**，见 §2「模型配置契约」表）；主模型不收图时由视觉·OCR 工具的**文本描述**替代（图像不占上下文，只有工具结果占）；**`image` 上限（v0.56，G3）**：解码后 **5 MiB**（与 `POST /api/v1/upload` 同口径；base64 字符串上限 = `ceil(n/3)*4 + 64` 字符，已含 data: URI 前缀余量），超限一律 `400 {error:{code:"image_too_large", message}}`（文案指路 `POST /api/v1/upload`）；**WS `chat` 帧到不了这条判定**——WS 读上限 `wsReadLimit = 4096` 字节/帧，超限由传输层直接断连，故 WS 上发真实图片本就必须「上传 + URL」；`deviceId` 为**客户端生成的具体端标识**（design/16 §4.5，如 `web:chrome:a1b2c3`，可选），落库到消息、便于主人知道从哪个端发来；`mode` 为**行为模式**（design/01 §3 / design/16 §5.1，如 `chat`/`code`/`home`/`docs`/…，可选），随该轮次落库——IM 恒 `chat`、缺省回落 `chat`，供前端按模式渲染气泡（仅 `chat` 才解析 `<p>` 拆气泡）。`clientMsgId`（v0.56，G4）为**客户端自带的幂等键**（可选）：同一会话内同一个非空值只承认第一条，重复到达回 `200 {data:{duplicate:true,messageId,sessionId}}` 且**不落库、不起回合、不发新内容帧**；省略 = 与加入该字段前逐字相同（详见 §3.13）。**会话编排（design/15）**：非流式且该会话「正忙」时**不阻塞**，返回 `202` `{data:{queued:true,queueDepth}}`（稍后按上下文续接）；待处理队列满时返回 `409` `{error:{code:"chat_busy"}}`。**`stream:true` 响应面（v0.56，G2，行为变更）**：受理成功后才回——空闲已起回合 = `200 {data:{stream:true}}`、正忙已续接排队 = `202 {data:{stream:true,queued:true,queueDepth}}`、队列满 = `409 {error:{code:"chat_busy"}}`、幂等键重复 = `200 {data:{duplicate:true,messageId,sessionId}}`；**未接 loop 改为 `500 {error:{code:"chat_unavailable"}}`**（旧文写 `200 {stream:true}`，现与同步路径同口径）；仅当**未接编排器**才回退总线派发，其失败回 `503 {error:{code:"chat_dispatch_failed"}}`——**不再有「先回 200 再看有没有落地」**，故 `202`/`409` 从此**真的会出现**（修复前因提前 return 永不出现） |
|
||||
| 4 | `/api/v1/sessions` | GET | JWT | ✅ | `{data:[session...]}`。**会话持久化（design/16）**：注入 HistoryStore 后返回持久化会话元数据 `{data:[{id,type("main"|"sub"),title?,createdAt,pinned,unreadCount,lastMessage?,personaId?}]}`（**排序（D5）：以代码为准 = `pinned DESC, (type='main') DESC, created_at ASC`**——`pinned=true` 最前，其次是未置顶的主会话，最后是未置顶子会话（按 `createdAt` 升序）；⚠️ **置顶的次级会话会排在主会话之前**，客户端定位主会话请按 `id=="web"` / `type=="main"`，**不要假定 index 0 就是主会话**；次级 `web:<uuid>`；`pinned` 恒返回 bool；**`unreadCount`（D4）恒返回整数**——该会话中 `createdAt >` 已读游标的消息条数（0 = 无未读），与 `lastMessage` **同一条 SQL 派生**、无 N+1；`lastMessage` 为**最后一条消息预览** `{content,role(user|assistant),createdAt}`，content 折叠空白截前 60 rune，空会话省略；**`personaId`（v0.42，可选）**=该会话绑定的角色 id（design/22 §2/§4.5），**空/缺省 = 继承全局默认角色**（`owner.yaml:defaultPersona`），客户端据此渲染激活会话的角色名/头像）；未注入时退化回渠道会话列表 |
|
||||
| 5 | `/api/v1/sessions` | POST | JWT(owner/admin) | ✅ | **新建次级会话** → `201 {data:{sessionId,personaId?}}`（`sessionId="web:<uuid>"`）。body **可选**（可完全省略或空 body）：`{personaId?}`（v0.42）在创建时就把新会话绑到该角色（design/22 §2：渠道级只作"新会话的初始角色提供者"；**会话角色只在创建时写入、之后不可变**，见 §1 行 8 / design/22 §8-1）；`personaId` 为**未知角色**回 `400 bad_request`；省略/空 = 不绑（`persona_id=''`，继承全局默认）；**`personaId` 非空时响应回显它**（省略时响应形状与 v0.41 完全一致）；未注入 HistoryStore 回 `501 not_implemented`；注入了**不支持角色绑定**的 HistoryStore 且显式传 `personaId` 时也回 `501`（不假装写入） |
|
||||
| 6 | `/api/v1/sessions/{id}/messages` | GET | JWT(owner/admin) | ✅ | **热分页拉历史**：`?limit=&before=&platform=&after=`（A5）默认 `limit=50`（上限 200）。**`before`**=上一页最旧 `createdAt`（毫秒），按时间**倒序**；**`after`**=<`createdAt` 毫秒>，按时间**升序**返回 `created_at > after` 的消息（**正向增量**，客户端把上次看到的 `createdAt` 当游标补断线期间漏的，解决重连只回放 50 条的缺口）；**`after` 与 `before` 互斥**，同传回 `400`；负数/非数字回 `400`。`platform` 为**可选**来源平台过滤（design/16 §4.4）——Web 端不传（=全量共享主会话），IM 适配器传**本平台**（如 `telegram`）只拉本渠道消息；`deviceId` 为**客户端具体端标识**；`senderName` 为**第三方发送者昵称**；**`personaId`（v0.42，可选）**=**该消息说话时的角色 id**（design/22 §7-5：逐条记录"谁说的"——会话角色在创建时固定，§8-1；assistant 消息 = 生成它的角色，user 消息 = 当回合角色；**空 = 全局默认角色**，即 v0.42 之前的全部历史消息），客户端据此按角色渲染名字/头像；**`clientMsgId`（v0.56，可选，G4）**=该消息的**客户端幂等键**（带 `clientMsgId` 发的 user 消息会回填它；空则省略），客户端据此把本地乐观气泡对齐到服务端真相；**`q`**（D2）=**会话内内容搜索**（大小写不敏感 ASCII LIKE，`%`/`_`/`\` 已转义为字面量），仍按时间**倒序**、`before`/`limit` 同分页语义；`q` 与 `after` **互斥**（同传 `400`），空 `q` 视为未传（走普通分页），搜索**严格限定在 `{id}` 会话内**（绝不跨会话，群聊/陌生人隔离会话不会外泄）；非法 `limit`/`before`/`after` 回 `400`；未注入 HistoryStore 回 `501` |
|
||||
| 6 | `/api/v1/sessions/{id}/messages` | GET | JWT(owner/admin) | ✅ | **热分页拉历史**：`?limit=&before=&platform=&after=`（A5）默认 `limit=50`（上限 200）。**`before`**=上一页最旧 `createdAt`（毫秒），按时间**倒序**；**`after`**=<`createdAt` 毫秒>，按时间**升序**返回 `created_at > after` 的消息（**正向增量**，客户端把上次看到的 `createdAt` 当游标补断线期间漏的，解决重连只回放 50 条的缺口）；**`after` 与 `before` 互斥**，同传回 `400`；负数/非数字回 `400`。`platform` 为**可选**来源平台过滤（design/16 §4.4）——Web 端不传（=全量共享主会话），IM 适配器传**本平台**（如 `telegram`）只拉本渠道消息；`deviceId` 为**客户端具体端标识**；`senderName` 为**第三方发送者昵称**；**`personaId`（v0.42，可选）**=**该消息说话时的角色 id**（design/22 §7-5：逐条记录"谁说的"——会话角色在创建时固定，§8-1；assistant 消息 = 生成它的角色，user 消息 = 当回合角色；**空 = 全局默认角色**，即 v0.42 之前的全部历史消息），客户端据此按角色渲染名字/头像；**`clientMsgId`（v0.56，可选，G4）**=该消息的**客户端幂等键**（带 `clientMsgId` 发的 user 消息会回填它；空则省略），客户端据此把本地乐观气泡对齐到服务端真相；**`q`**（D2）=**会话内内容搜索**（大小写不敏感 ASCII LIKE，`%`/`_`/`\` 已转义为字面量），仍按时间**倒序**、`before`/`limit` 同分页语义；`q` 与 `after` **互斥**（同传 `400`），空 `q` 视为未传（走普通分页），搜索**严格限定在 `{id}` 会话内**（绝不跨会话，群聊/陌生人隔离会话不会外泄）；非法 `limit`/`before`/`after` 回 `400`；未注入 HistoryStore 回 `501`。**（v0.63，行为变更）会话不存在 / 已删除 ⇒ `404 {"error":{"code":"session_not_found","message":"session \"<id>\" not found"}}`**——与 `PATCH /sessions/{id}`、`POST /sessions/{id}/read` 对未知会话的口径一致，客户端据此把「当前会话已经不在了」（退回主会话 + 一句提示）与「这是一条空会话」分开；**存在但确实没有消息仍回 `200 {"data":[]}`**。⚠️ **判据是会话注册表 `chat_sessions`**：隔离的 IM 会话（群聊/陌生人的 `sess-xxx`、内部 `sess-backthink`）**不在其中**，因此与 `POST /sessions/{id}/read` 拿到同一个答案（`404`）——它们的消息请走 `GET /api/v1/admin/channels/{platform}/messages`。⚠️ 请求形状（`limit`/`before`/`after` 非法、`before`+`after` 同传、`q`+`after` 同传）**仍先于** 404 判定（形状错了就是 `400`，与目标存不存在无关） |
|
||||
| 6a | `/api/v1/messages/{id}` | PATCH | JWT(owner/admin) | ✅ | **编辑单条消息**（D3）：body `{content}`（非空、≤4000 rune，空/纯空白/超长回 `400`）→ **`{data:<消息DTO>}`**（`data` **直接就是**更新后的完整消息 DTO，含 `id/sessionId/role/content/.../createdAt`，**无 `message` 包一层**；**只改 `content`**，role/时间戳/平台保持不变）；消息不存在回 `404 not_found`；未注入 HistoryStore 回 `501`。**成功后广播下行 `message_edited`**（§3.8，账号其它端免刷新同步）。**重发不单独设端点**——客户端用「编辑后的内容再 `POST /chat`」即可（避免重复轮次语义） |
|
||||
| 6b | `/api/v1/messages/{id}` | DELETE | JWT(owner/admin) | ✅ | **删除单条消息**（D3）→ `{data:{deleted:<id>}}`；不存在回 `404 not_found`；未注入 HistoryStore 回 `501`。**成功后广播下行 `message_deleted`**（§3.8，账号其它端按 `id` 移除） |
|
||||
| 7 | `/api/v1/sessions/{id}` | DELETE | JWT(owner/admin) | ✅ | **删除次级会话及其消息** → `{data:{deleted:<id>}}`；主会话不可删回 `403 forbidden`；未注入 HistoryStore 回 `501` |
|
||||
@@ -164,8 +164,24 @@
|
||||
"documents":[{"name":"a1b2….md","mime":"text/plain","size":12345,"chars":8000,"truncated":false,"status":"extracted"}]
|
||||
```
|
||||
|
||||
读不到时（v0.63）多一个**可选** `reason`：
|
||||
|
||||
```json
|
||||
"documents":[{"name":"a1b2….pdf","mime":"application/pdf","size":2048,"status":"unreadable","reason":"无法抽取正文：这是图片型/无文本层 PDF，需要 OCR 才能读（当前未做）"}]
|
||||
```
|
||||
|
||||
- **≤5 条**，顺序 = 客户端发送顺序；**0 个附件时该键省略**（不是 `[]`，与引入文档之前的形状一致）。
|
||||
- `status` ∈ `extracted`（正文已进上下文）/ `listed`（只给了模型一份附件清单，正文没进上下文）/ `unreadable`（读不到正文）。**PDF（v0.61）**：**文本层 PDF ⇒ `extracted`**；**扫描件/图片型 PDF（无文本层）⇒ 诚实拒绝 `unreadable`**，原因文案含「这是图片型/无文本层 PDF，需要 OCR 才能读（当前未做）」——**绝不假装成功、也绝不返回空正文**；**加密 PDF** 与**损坏/截断 PDF** 是**可区分**的两类失败（加密的提示解除密码后重试）。
|
||||
- **`reason`（v0.63，可选，`omitempty`）**＝**读不到的原因文案**，**只在 `status:"unreadable"` 时下发**（`extracted` / `listed` 时该键**缺席**，客户端按「缺失 ⇒ 回落现有通用句」实现即可）。它**逐字就是服务端注入给模型的那份原因**（同一字符串，两处同源），因此客户端**不必自己拼**「图片型 PDF，需要 OCR」这类服务端没说过的话。当前文案集合（服务端常量，逐字）：
|
||||
- `无法抽取正文：这是图片型/无文本层 PDF，需要 OCR 才能读（当前未做）`（扫描件/图片型 PDF，`ErrNoTextLayer`）
|
||||
- `无法抽取正文：PDF 已加密（无法用空口令打开），请解除密码后重新上传`
|
||||
- `无法抽取正文：PDF 损坏或无法解析`
|
||||
- `无法抽取正文：本期不支持 Word/Excel/PPT 解析（无文本层）`（Office）
|
||||
- `无法抽取正文：内容不在可抽取的纯文本范围内`（非文本/二进制）
|
||||
- `无法抽取正文：文档文件不存在或已被清理` / `无法抽取正文：读取文档失败` / `无法抽取正文：文档引用形态非法` / `无法抽取正文：文档上传目录未配置`
|
||||
- `无法抽取正文：读取或解析失败`（解析器整条消息失败时的诚实兜底）
|
||||
⚠️ **只放文案**：不含落盘路径、不含凭据、不含存储名以外的内容；原始错误（可能带路径）**只进服务端日志**，绝不透出（有端到端用例用「独特临时目录名」做反证断言）。
|
||||
⚠️ **时点**：原因与 `status`/`chars`/`truncated` 同批，由**回合结束后**的回写写进 `document` 列（S3.5）——因此它**只在读取面**（`GET /sessions/{id}/messages`、握手回放）可见；`message_persisted` 帧在用户消息落库时就发出（那时还没有结论，这与 `status` 的既有行为一致）。
|
||||
- ⚠️ **`chars` / `truncated` 是「本回合注入侧」事实**：`chars` = **本回合注入**模型上下文的字符数、`truncated` = **注入**是否被截断。**它不是「文件有多少字」、也不是「文件是否被截断」**——全文长度只有 `document-read` 的 `totalChars` 能看到；「抽取期撞上 8 MiB 安全上限」只有 `extractTruncated` 能看到。
|
||||
- **不含正文**（结构上保证：正文若从历史回传，每翻一页都要背着它）。
|
||||
- ⚠️ **破坏性提示**：旧文档里出现过单数 `document`（对象）的形状，**但那个形状从未随任何已发布契约版本号发布过**（客户端无从实现）⇒ 本版**不留兼容期**——客户端按 `documents`（数组、可缺失）读取即可。
|
||||
@@ -196,6 +212,8 @@
|
||||
|
||||
> **发现的不一致（如实登记，2026-10-04 复核）**：design/24 §9.2 与 §9.13 写「白名单 **22** 项——原文的 23 项是笔误，以代码为准」，但 **B1（commit `f82c76d`）纳入 `.pdf` 后代码已是 23 项**（`internal/runtime/documents/store.go` 的 `ExtAllowed` = 22 个文本类 + `.pdf`；`internal/services/gateway/documents.go` 的名字形态校验经它判定）——**以代码的 23 项为准**；design/24 §9.2/§9.13/§9.4 第 1 条（「不引解析库」）**均已滞后于 B1 实现**（PDF 文本层已用纯 Go 解析库落地；扫描件与 Office 仍诚实拒绝），本次只改 Docs、**未改 DevDocs**。另：design/24 §6.2 的 `document_unreadable`(400) **在代码里没有对应 REST 错误码**，它只以 `document-read` 的工具错误形态存在（见本节 ⑤），客户端可在 DTO 里看到该文档的 `documents[].status = "unreadable"`。
|
||||
|
||||
> **契约版本 `v0.63`**（**客户端登记两条落地：`documents[]` 增可选 `reason` + `GET /sessions/{id}/messages` 对不存在的会话回 `404 session_not_found`**，依据 `Cyrene-For-Android/devdocs/02-前后端协同事项.md` 的「登记（客户端会话，2026-10-05 凌晨 · 跟上 v0.61 的 `.pdf` 之后的两条）」与「登记（… · 一条 API 语义建议：**已删除的会话「看起来像空会话」**）」两条，以及后端「回执九」（2026-10-05 凌晨）的选择与承诺，2026-10-05 落实）。**三档标注**：**纯增量** = ① `documents[]` 元素增**可选** `reason`（`omitempty`，只在 `status:"unreadable"` 时下发；不读该键的老客户端行为**逐字不变**）；**行为变更** = ② `GET /api/v1/sessions/{id}/messages` 对**不存在 / 已删除**的会话由 `200 {"data":[]}` 改为 **`404 {"error":{"code":"session_not_found"}}`**（**客户端需处理 404** —— 回执九已告知，客户端此前先用自建兜底）；**破坏性** = 无（既有字段形状、既有成功响应一字未动）。详见 §1 行 6、§1.2 ④ 与 §5 变更记录。
|
||||
|
||||
> **契约版本 `v0.62`**（**面板「重置为 env 默认」动作落地：materialize 的反方向显式动作 + 一个新的 owner-only 管理写端点**，依据任务书 `DevDocs/_dispatch/R1-面板重置为env默认.md`、design/04 §3.1（`.env` 为默认/播种层、面板文件为一等来源）与 `DevDocs/开发时间线.md` 的欠账项（「Materialize 已导出、未接端点」），2026-10-04 落实）。**一句话**：materialize 是「面板缺该键才用 `.env` 补」，本版新增的 `POST /api/v1/admin/llm/reset-from-env` 是**反方向的显式动作**——部署者要求「把面板里 `.env` 声明过的键退回 env 值」。**A. 语义（与补齐表同源）**：只覆盖 `.env` 声明了非空值的键（`provider`/`baseUrl`/`apiKey`/`model`/`contextWindow`）、**env 未声明的键一律保留面板值**（`fallback`/`multimodal`/`maxTokens`/`reasoning`/`personaModels` 永不被改）、**组集合不增减**（不复活被删的组、不删新增的组，顺序也不动）、面板值已与 env 一致的键不算「改回」、**无键可改时不写盘**（幂等）；真的改了盘就**热重载**运行中的 LLM 栈（`contextWindow` 的预算推导仍只在启动时算一次）。**B. 护栏 / 响应 / 审计**：**owner-only**（与同页两条 LLM 写端点同门；破坏性写不比同族更宽），body 必须 `{"confirm":true}`（缺失 / `false` / 非法 body ⇒ `400 bad_request` 且**一个字节都不动**）→ `200 {data:{reset:[{group,keys:[…]}], skipped:[{group,reason}], path}}`；**只回键名与中文原因，凭据值（尤其 `apiKey`）绝不回显、绝不进日志**；审计动作 `llm.resetFromEnv`（`ok`/`error`）。**C. 基准与失败**：对照基准 = 请求时刻按**既有解析入口**读到的 `.env` 默认层（新增 `config.LoadLLMDefaults`，路径经 `Deps.EnvPath` 注入，**网关绝不 fopen `.env`**）；`.env` 源不可读 → `500 env_defaults_unreadable`、面板配置不存在/不可解析 → `500 models_unreadable`、写盘失败 → `500 llm_persist_failed`、已写盘但热重载失败 → `500 llm_reload_failed`、LLM 栈未注入 → `500 llm_unavailable`——**都不假装成功**。**D. 面板**：LLM 页新增「重置为 env 默认」卡片（`admin/modules/llm/LlmResetFromEnv.tsx`，行上标 `owner 专属`，**中文二次确认**后才提交）。**E. 兼容性**：**纯增量**（新端点 + 新前端卡片 + 新审计动作 + 2 个新错误码 `env_defaults_unreadable` / `models_unreadable`，另复用既有 `llm_persist_failed` / `llm_reload_failed` / `llm_unavailable`），既有端点 / WS 帧 / 字段形状**一字未动**；管理侧权限矩阵因此为 12（viewer 只读）+ 10（owner/admin 读）+ **38**（owner-only）= **60** 条路由。详见 §2「重置为 env 默认契约（v0.62）」。**上一版 `v0.61`**（**PDF 文本层抽取落地：白名单第 23 项 `.pdf` + 类型裁决由「嗅探只放行 `text/plain`」改为 `(扩展名, 嗅探)` 成对裁决**，依据 design/24 §7 的 **S6 第一段**（PDF/Office 的裁决：PDF 文本层引库，扫描件与 Office 仍诚实拒绝）与 commit `f82c76d`，2026-10-04 落实）。**三档标注**：**行为变更** = ① **`.pdf` 由「一律 `415`」变为「可上传 + 可读取 + 文本层可抽取进上下文」**（把「`.pdf` 必被拒」写死的客户端必须改）；② **类型裁决收紧为成对判定**（`documents.ContentAllowed`）——**方向是收紧/细化，不是放宽**：HTML/纯文本改名成 `.pdf` ⇒ `415`（嗅探不是 PDF），**PDF 字节改名成 `.txt` ⇒ `415`**（PDF 字节也只收在 `.pdf` 名下）；**纯增量** = 扩展名白名单 **22 → 23 项**（唯一新增 `.pdf`），其余 22 个文本类的判定与既有响应**一字未变**。**A. 上传（`POST /api/v1/documents`，owner|admin）**——白名单加 `.pdf`；裁决 = **字节嗅探是唯一裁决权 ∧ 扩展名白名单**，自本版起**按对判定**（纯文本类必须 `text/plain`、`.pdf` 必须 `application/pdf`；落点 `internal/runtime/documents/store.go` 的 `ExtAllowed`（23 项）/ `ContentAllowed`）；`mime` 仍是**嗅探基类型**（真 PDF → `application/pdf`）；`415` 文案同时点明两条口径。**B. 读取（`GET /api/v1/documents/{name}`，必带 Bearer owner|admin）**——**真 PDF 如实下发 `Content-Type: application/pdf`**（读时按同一对裁决重嗅探，判不定者仍退 `application/octet-stream`），`Content-Disposition: attachment` + `X-Content-Type-Options: nosniff` **一字未变** ⇒ **PDF 永不被内联渲染**（与图片读侧刻意相反）。**C. 抽取语义（DTO `status`）**——**文本层 PDF 抽正文**（`Tj`/`TJ`/`'`/`"` 文本算子，页间以换行相接）⇒ `status:"extracted"`，与纯文本类走同一条 sidecar/注入路径；**扫描件/图片型 PDF ⇒ 诚实拒绝 `status:"unreadable"`**，原因含「这是图片型/无文本层 PDF，需Line truncated
|
||||
|
||||
## 2. REST 端点（管理，`/api/v1/admin/*`）
|
||||
@@ -518,7 +536,7 @@
|
||||
|
||||
### 3.3 消息持久化增量事件（`message_persisted`，design/16）
|
||||
- **触发**：每一条 user / assistant 消息**落库后**由编排层广播——Web 主会话路径走 `persistUserMessages`/`persistAssistantReply`，**IM 渠道主人私聊**（design/16 §4.4）由 channelbridge 把消息**落主会话 `web`**（带 `platform` 标记）后复用**同一** `message_persisted` 广播（同一 hub 的 `BroadcastPersisted`），保证 Web 端实时镜像 IM 消息。
|
||||
- **载荷**：`{type:"message_persisted", sessionId, data:{message:{id, sessionId, role, content, mode?, mood?, image?, platform?, deviceId?, senderName?, personaId?, createdAt}}}`——`role` ∈ `user|assistant`；`id` 为**后端生成的消息 id**（客户端据此去重）；`platform` 为**来源平台**（`web` 或渠道如 `telegram`/`weixin-ilink`/`qq-obv11`）；`deviceId` 为**具体端/客户端标识**（design/16 §4.5，如 `web:chrome:a1b2c3` / `weixin-ilink:conf0:wx_uid`）；`senderName` 为**第三方发送者昵称**（design/16 §4.6，群聊/陌生人消息带，主人私聊为空，`omitempty`）；**`personaId`（v0.42，`omitempty`）=该消息说话时的角色 id**（design/22 §7-5；空 = 全局默认角色，即升级前的全部历史），客户端据此按角色渲染名字/头像；**`clientMsgId`（v0.56，`omitempty`，G4）= 客户端自带的幂等键**（空 = 该消息没有幂等键：老客户端、IM 镜像、历史行），客户端据此把本地乐观气泡对齐到服务端真相；`thinking` 已剥离（design/16 §6）。
|
||||
- **载荷**：`{type:"message_persisted", sessionId, data:{message:{id, sessionId, role, content, mode?, mood?, image?, platform?, deviceId?, senderName?, personaId?, createdAt}}}`——`role` ∈ `user|assistant`；`id` 为**后端生成的消息 id**（客户端据此去重）；`platform` 为**来源平台**（`web` 或渠道如 `telegram`/`weixin-ilink`/`qq-obv11`）；`deviceId` 为**具体端/客户端标识**（design/16 §4.5，如 `web:chrome:a1b2c3` / `weixin-ilink:conf0:wx_uid`）；`senderName` 为**第三方发送者昵称**（design/16 §4.6，群聊/陌生人消息带，主人私聊为空，`omitempty`）；**`personaId`（v0.42，`omitempty`）=该消息说话时的角色 id**（design/22 §7-5；空 = 全局默认角色，即升级前的全部历史），客户端据此按角色渲染名字/头像；**`clientMsgId`（v0.56，`omitempty`，G4）= 客户端自带的幂等键**（空 = 该消息没有幂等键：老客户端、IM 镜像、历史行），客户端据此把本地乐观气泡对齐到服务端真相；`thinking` 已剥离（design/16 §6）。**`documents?`（v0.59 起；v0.63 补 `reason`）**：载荷里的消息与 `historyMessage` **同结构**（同一结构体），因此带附件的回合会带 `documents` 数组（`[{name,mime,size,chars?,truncated?,status?,reason?}]`，0 个附件时省略该键）。⚠️ **时点**：本帧在消息**落库那一刻**发出（用户消息早于该回合的抽取），因此帧里的 `status`/`reason` **可能还没有结论**；抽取结论由回合结束后的回写补进库里，**以读取面（`GET /sessions/{id}/messages`、握手回放）为准**（有附件的回合请按读接口渲染「读到了 / 读不到 + 原因」）。
|
||||
- **注：群聊/陌生人（非主人）消息**只在**该 IM 适配器日志界面**以消息流显示，**不**经 `message_persisted` 进 Web 主会话（design/16 §4.6 §3-4）；该日志流由 `GET /api/v1/admin/channels/{platform}/messages` 拉取，落库后另经 `channel_persisted`（§3.4）实时推送。
|
||||
- **客户端处理**：把帧按 `data.message.sessionId`（缺省时用帧壳 `sessionId`）写进**该会话自己的消息桶**（**v0.54 起：非激活会话的消息不再被丢弃**，切过去即可见，见 §3.1）；按 `id` upsert——本端已预建的**同 role 乐观气泡**（本地 `uid` 无后端 `id`）被**归一**（`uid` → 后端 `id`），异端无本地气泡则直接追加，两者最终收敛为**同一条 `id` 相同的消息**，「A 发消息、A 与 B 都无需刷新且各出现一次」。
|
||||
|
||||
@@ -710,7 +728,7 @@
|
||||
|
||||
### 4.4 常见错误码 / 边界
|
||||
- `401` 未认证/令牌失效 → 重新登录。`403` 权限不足（viewer 读管理写/主会话删除）。
|
||||
- `404` 资源不存在（消息/会话 id 未找到）或端点未实现；`501 not_implemented` 后端明确未提供（如知识库删除、新增用户）。
|
||||
- `404` 资源不存在（消息/会话 id 未找到）或端点未实现；`501 not_implemented` 后端明确未提供（如知识库删除、新增用户）。**会话相关（v0.63）**：`GET /sessions/{id}/messages` 对**不存在/已删除**的会话回 `404 {"error":{"code":"session_not_found"}}`（此前是 `200 {"data":[]}`，客户端因此分不清「空会话」与「会话已不在」）；`PATCH /sessions/{id}` 的未知会话仍是 `404 not_found`（**码不同**：前者点明是会话，后者是通用资源），`POST /sessions/{id}/read` 与 `PATCH /messages/{id}` 沿用各自既有码。
|
||||
- `400` 请求体/参数非法（`limit`/`before` 越界、空 content）。`409 chat_busy` 排队满（**REST 响应体与 WS 定向 `error` 帧同码**，见 §3.2）。
|
||||
- **文档相关（v0.59 起；v0.61 更新白名单与裁决口径）**：`415 unsupported_media_type`（**扩展名白名单（23 项，含 `.pdf`）与字节嗅探的成对裁决**任一不过——HTML/纯文本改名成 `.pdf`、或 PDF 改名成 `.txt` 都走它）、`413 document_too_large`（超 `CHAT_DOCUMENT_MAX_BYTES`，默认 20 MiB）、`404 document_not_found`（文档名非法/穿越/不存在；`chat.documents` 里引用不存在的名也是它）、`400 too_many_documents`（单回合 >5 条）。⚠️ **诚实说明**：design/24 §6.2 列的 `document_unreadable`(400) 目前**没有对应的 REST 错误码**——它只以 `document-read` 工具的错误形态存在（模型侧可见；客户端在 DTO 里看到的是该文档的 `documents[].status = "unreadable"`，**扫描件/图片型 PDF 就是它**，v0.61）。
|
||||
- **红线**：身份判定永远来自后端 channel 层 actor 元数据 + 白名单，**客户端不要用提示词/文本判身份**；消息体的 **`thinking` 字段**在**实时帧**（`message_persisted` / `channel_persisted` / `message_edited`）与**握手回放**中**恒为空**（**有意的隐私与带宽默认**，不是漏发）；实时思维链仍由 §3.1 的 `thinking.*` 流帧按 owner/admin 档下发；**历史消息的思维链**只有 `GET /sessions/{id}/messages`（owner/admin）能拿到，客户端不应依赖其它入口。
|
||||
@@ -721,6 +739,7 @@
|
||||
- 语音：上行 `voice_input`（base64 音频或已转写 text，**v0.59 起可带 `clientMsgId` 幂等**），下行 `voice_output`（合成音频 base64 + text + **`sessionId`/`deviceId?`**，**定向回发起那条连接、回合结算时才到**，空正文/TTS 失败带 `provider` 降级信号）；**语音回合与文本回合走同一条路**（落库 / 跨端 / 忙时排队），见 §3.15。
|
||||
|
||||
## 5. 变更记录
|
||||
- `v0.63`（**客户端登记的两条落地：`documents[]` 增可选 `reason`（读不到的原因）+ `GET /sessions/{id}/messages` 对不存在/已删除的会话回 `404 session_not_found`**，依据 `Cyrene-For-Android/devdocs/02-前后端协同事项.md` 的两条登记（2026-10-05 凌晨）与后端「回执九」的接受与选择，2026-10-05 落实）。**三档标注**：**纯增量** = ① `documents[]` 元素增可选 `reason`（`omitempty`，**只在 `status:"unreadable"` 时下发**；不读该键的客户端行为逐字不变）；**行为变更** = ② `messages` 对**不存在/已删除**的会话由 `200 {"data":[]}` 改为 **`404 {"error":{"code":"session_not_found"}}`**（**客户端需按 404 处理**：退回主会话 + 一句提示；回执九已提前告知）；**破坏性** = 无。**A. `reason`（§1.2 ④）**——数据来源 = 服务端**已有的那份抽取失败原因文案**（就是注入模型清单里那条，`internal/runtime/documents/sidecar.go` 的 `reason*` 常量）；装配期在给出 `status` 的同时给出 `Reason`（`internal/runtime/loop/document.go` 的 `documentReason`），**同一个字符串两处用**：既进模型可见上下文，也作为客户端可见的 `reason` —— 服务端因此不必为客户端另编一句，两处口径也不可能分叉。**只在「读不到」时下发**（`extracted`/`listed` 为空 ⇒ 键缺席；客户端按「缺失 ⇒ 回落通用句」实现）。**文案集合（逐字）**：`无法抽取正文：这是图片型/无文本层 PDF，需要 OCR 才能读（当前未做）` / `…PDF 已加密（无法用空口令打开），请解除密码后重新上传` / `…PDF 损坏或无法解析` / `…本期不支持 Word/Excel/PPT 解析（无文本层）` / `…内容不在可抽取的纯文本范围内` / `…文档文件不存在或已被清理` / `…读取文档失败` / `…文档引用形态非法` / `…文档上传目录未配置` / 解析器整条消息失败时的诚实兜底 `无法抽取正文：读取或解析失败`。**只放文案**：不含落盘路径、不含凭据、不含存储名以外的内容；原始错误（可能带路径）**只进日志** —— 端到端用例用一个**独特的临时目录名**做反证断言（响应体里搜不到它，且 reason 不含 `uploads`、`\documents` 等路径片段）。**抵达面**：它随 `history.DocumentRef`（**与落库同一个结构体**）由 S3.5 的回合后回写写进 `document` 列（`mergeDocumentStatus` 把 `reason` 与 `status`/`chars`/`truncated` **同批**搬运、并计入「有无变化」判据），因此**所有读取面**（`GET /sessions/{id}/messages`、握手回放）都有它；⚠️ `message_persisted` 帧在用户消息落库时就发出，那时抽取还没发生（**不带** `status`/`reason`，与既有 `status` 行为一致 —— 客户端以读接口为准）。**B. `404 session_not_found`（§1 行 6）**——现象：此前对**已删除/凭空编造**的会话都回 `200 {"data":[]}`，客户端分不清「空会话」与「会话已不在」（主人的真实遭遇：正看着的临时会话被清理，界面上只剩一片空白）。**理由（与 API 自身一致）**：`PATCH /sessions/{id}`、`POST /sessions/{id}/read` 对未知会话本来就是 `404`，让 `messages` 单独例外会让每个新客户端都踩一次。**实现**：判定**复用既有存储面**（`history.Store.SessionPersona` —— 既有存储里唯一一个「按 id 读**单个**会话 + 未知 id 报 `history.ErrSessionNotFound`」的方法；`ListSessions` 是全量列表扫描，在热分页端点上代价不成比例），**不新写 SQL、不新增存储方法**，落点 `internal/services/gateway/history_session_guard.go`（新文件）+ `handleListMessages` 一行收口。**存在但没有消息仍是 `200 {"data":[]}`**（空会话绝不能被答成 404）；参数校验（`limit`/`before`/`after`/`q`）**先于**存在性判定（形状错了就是 `400`，与目标存不存在无关）；存储**没有该视图**（测试替身 / 未接库的窄存储）视为**无从判定** ⇒ 保持旧的空集合语义（判不出来绝不等于「不存在」）。**C. 会话注册表口径（重要，随本版更正 §3.4 旧文）**：`chat_sessions` 是会话注册表；**隔离的 IM 会话（群聊/陌生人的 `sess-xxx`、内部 `sess-backthink`）不在其中** ⇒ 它们在本端点与 `POST /sessions/{id}/read` 拿到**同一个答案**（`404`），这是「与 API 自身一致」的必然推论；它们的消息仍可由 `GET /api/v1/admin/channels/{platform}/messages` 读出（`Docs/api-reference.md` §3.4 那句「IM 隔离会话 `sess-xxx` 亦可用」**随本版更正**）。**D. 错误码风格**：新码 **`session_not_found`**（点明是**会话**，与 `chat` 的 `document_not_found` 同风格），与 `PATCH /sessions/{id}` 的既有通用码 `not_found` **不同码** —— 本版**不动** PATCH 的既有Line truncated
|
||||
- `v0.62`（**面板「重置为 env 默认」动作落地：materialize 的反方向显式动作 + 一个新的 owner-only 管理写端点**，依据任务书 `DevDocs/_dispatch/R1-面板重置为env默认.md` 与 design/04 §3.1（`.env` 为默认/播种层、面板文件为一等来源）和 `DevDocs/开发时间线.md` 的欠账项（「Materialize 已导出、未接端点」），2026-10-04 落实）。**三档标注**：**纯增量** = 新端点 `POST /api/v1/admin/llm/reset-from-env`、面板 LLM 页的新卡片、审计动作 `llm.resetFromEnv`、2 个新错误码（`env_defaults_unreadable` / `models_unreadable`，另复用既有 `llm_persist_failed` / `llm_reload_failed` / `llm_unavailable`）；**行为变更** = 无（既有端点 / 帧 / 字段一字未动）；**破坏性** = 无（新端点的新用途；它本身的破坏性由请求体 `confirm:true` 强制）。**A. 新端点**（**owner-only**——与同页 `POST /admin/llm`、`POST /admin/llm/test` **同门**，破坏性写不比同族更宽；带审计 `llm.resetFromEnv`）body **必须** `{"confirm":true}`（缺失 / `false` / 非法 body ⇒ `400 bad_request` 且**一个字节都不动**），→ `200 {data:{reset:[{group,keys:[…]}], skipped:[{group,reason}], path}}`。**B. 语义（与 materialize 共用同一张键表 `runtimeconfig.groupFillSpecs`，方向相反）**：① **只覆盖 `.env` 声明过非空值的键**（`provider` / `baseUrl` / `apiKey` / `model` / `contextWindow`；协议族按**组自己的 `provider`** 选，`.env` 同时配扁平块与 `ANTHROPIC_*` 时两族各取自己的值）；② **env 未声明的键一律保留面板值**（`fallback` / `multimodal` / `maxTokens` / `reasoning` / `personaModels` 在 `.env` 里没有出处 ⇒ 永不被本动作改动）；③ **组集合不增减**（不复活被面板删掉的组、不删面板新增的组，**顺序也不动**）；④ **面板值已与 env 一致的键不算「改回」**，不出现在 `reset` 里（`provider` 恒属此种情形）；⑤ **无键可改时不写盘**（幂等，重复调用第二次回 `reset:[]` + 每组一条「已一致」的 `skipped`）；⑥ **真的改了盘就热重载**运行中的 LLM 栈（无需重启；`contextWindow` 的**预算推导**仍只在启动时算一次，与 `POST /admin/llm` 同口径）。**C. 响应与凭据纪律**：`reset[].keys` 只有 **`models.json` 的 JSON 键名**、`skipped[].reason` 是中文原因，**凭据值（尤其 `apiKey`）绝不回显、绝不进日志**（`reset` / `skipped` 恒为数组，无记录时是 `[]` 而非 `null`；`path` 与 `POST /admin/llm` 同源）。**D. 对照基准**：**请求时刻按既有解析入口读到的 `.env` 默认层**（新增 `config.LoadLLMDefaults`，复用 `parseDotEnv` + 同一份 `env:"…"` 解码器 ⇒ 优先级与启动期 `config.Load` 逐字一致：进程环境 > `.env` > 标签默认）；路径由组合根经 `Deps.EnvPath` 注入（与 `main.go` 的 `config.MustLoad(envPath)` 同一条），**网关自己绝不 fopen `.env`**。**E. 失败不伪装**（都**不改文件**且带审计 `error`）：`.env` 源不可读 → `500 env_defaults_unreadable`；面板配置不存在/不可解析 → `500 models_unreadable`；写盘失败 → `500 llm_persist_failed`；已写盘但热重载失败 → `500 llm_reload_failed`（说明文件已改、未生效）；LLM 栈未注入 → `500 llm_unavailable`。**F. 面板**：`frontend/web` 的 LLM 页新增「重置为 env 默认」卡片（`admin/modules/llm/LlmResetFromEnv.tsx`，标 `owner 专属`）——点按钮先展开**中文二次确认**文案，确认后才带 `confirm:true` 提交；结果按 `reset`/`skipped` 渲染成可复核的组名 + 键名摘要，失败原样显示后端错误文案。**G. 实现落点**：`internal/config/llm_defaults.go`（env 默认层读取）+ `internal/config/runtimeconfig/reset.go`（`ResetFromEnv` 语义，新文件）+ `internal/services/gateway/admin_write_llm_reset.go`（端点，新文件）+ `routes.go`（注册为 `ownerAuth`）+ `deps.go`/`server.go`（`Deps.EnvPath`）+ `cmd/cyrene/wire_frontend.go`（组合根接线）+ 前端 `lib/types/adminWrite.ts` / `lib/api/admin.ts` / `admin/modules/llm/LlmResetFromEnv.tsx` / `admin/modules/Llm.tsx`。**H. 未做 / 诚实边界**：**不支持「只重置某一组」**（一次调用对全部组生效；`skipped` 会如实报出没被改动的组与原因）；**不做「重置 channels.json / plugins.json」**（materialize 本身也只覆盖 `models.json` 一族）；**不做「重置后自动重启」**（provider 栈本身热更新，窗口推导需重启由面板文案写明）。
|
||||
- `v0.61`（**PDF 文本层抽取落地：白名单第 23 项 `.pdf` + 类型裁决由「嗅探只放行 `text/plain`」改为 `(扩展名, 嗅探)` 成对裁决**，依据 design/24 §7 的 **S6 第一段**（PDF/Office 的裁决：PDF 文本层引库，扫描件与 Office 仍诚实拒绝）与 commit `f82c76d`，2026-10-04 落实）。**三档标注**：**行为变更** = ① **`.pdf` 由「一律 `415`」变为「可上传 + 可读取 + 文本层可抽取进上下文」**（把「`.pdf` 必被拒」写死的客户端必须改）；② **类型裁决收紧为成对判定**（`documents.ContentAllowed`）——**方向是收紧/细化，不是放宽**：HTML/纯文本改名成 `.pdf` ⇒ `415`（嗅探不是 PDF），**PDF 字节改名成 `.txt` ⇒ `415`**（PDF 字节也只收在 `.pdf` 名下）；**纯增量** = 扩展名白名单 **22 → 23 项**（唯一新增 `.pdf`），其余 22 个文本类的判定与既有响应**一字未变**。**A. 上传（`POST /api/v1/documents`，owner|admin）**——白名单加 `.pdf`；裁决 = **字节嗅探是唯一裁决权 ∧ 扩展名白名单**，自本版起**按对判定**（纯文本类必须 `text/plain`、`.pdf` 必须 `application/pdf`；落点 `internal/runtime/documents/store.go` 的 `ExtAllowed`（23 项）/ `ContentAllowed`，网关名字形态校验经它判定）；`mime` 仍是**嗅探基类型**（真 PDF → `application/pdf`）；`415` 文案同时点明两条口径（「只接受白名单内的文档（如 .txt/.md/.csv/.json，或内容确为 PDF 的 `.pdf`），且内容必须与扩展名相符」）。**B. 读取（`GET /api/v1/documents/{name}`，必带 Bearer owner|admin）**——**真 PDF 如实下发 `Content-Type: application/pdf`**（读时按同一对裁决重嗅探，判不定者仍退 `application/octet-stream`），`Content-Disposition: attachment` + `X-Content-Type-Options: nosniff` **一字未变** ⇒ **PDF 永不被内联渲染**（与图片读侧刻意相反）；`Cache-Control: private, max-age=86400, immutable` 与 Range 支持不变。**C. 抽取语义（DTO `status`）**——**文本层 PDF 抽正文**（页内容流里的 `Tj`/`TJ`/`'`/`"` 文本算子，页间以换行相接）⇒ `status:"extracted"`，与纯文本类走**同一条** sidecar / 注入路径；**扫描件/图片型 PDF（无文本层）⇒ 诚实拒绝 `status:"unreadable"`**，原因文案含「这是图片型/无文本层 PDF，需要 OCR 才能读（当前未做）」，**绝不假装成功、也绝不返回空正文**（`ErrNoTextLayer`）；**加密 PDF** 与**损坏/截断 PDF** 是**可区分**的两类失败（`ErrPDFEncrypted` / `ErrPDFDamaged`，加密的提示解除密码后重试）；安全阀 = 单份最多 **5000 页** + sidecar 正文 **≤8 MiB**（撞上即 `truncated`）。**D. 客户端可见的一次性重算**——抽取器版本内部升到 **`documents/v3`**（`internal/runtime/documents/extract.go`）⇒ **旧 sidecar 一次性失效重抽**：同一份**旧附件**的 `chars`/`truncated` 结论会在**某次回合之后**重新计算（旧 PDF 若是文本层 PDF，将从 `unreadable` 变为 `extracted`）——不是附件被改写，是结论被重算。**E. 未做（诚实边界）**——**不做 OCR / 扫描件栅格化**（纯 Go 无可靠实现，会撞「单二进制 + 交叉编译」「零跨进程 IPC」两条红线）、**不做 PDF 写/生成**（只读）、**不做 `.docx`/`.xlsx` 等 Office**（仍诚实拒绝）；**无新端点、无新 WS 帧、无鉴权变更、无 `.env` 新增键**。**实现落点**：`internal/runtime/documents/extract_pdf.go`（文本层抽取 + 加密/损坏分类）+ `internal/runtime/documents/{extract.go,store.go,sidecar.go}`（版本号 / 白名单与成对裁决 / unreadable 原因文案）+ 依赖 `github.com/ledongthuc/pdf`（纯 Go、无 cgo）。
|
||||
- `v0.60`（**管理侧只读「存储状态」端点 + 面板存储卡接真数据**，依据主人 2026-10-04 实测反馈（面板首页「存储」卡一直是占位「SQLite」，看不出 PG 增强有没有生效）与 design/10 §3 模块 14（系统设置）/ design/03 §3（pgvector 可选增强），2026-10-04 落实）。**一句话**：**纯新增一个只读端点**，既有端点 / WS 帧 / 字段形状**一字未动**；面板那张假卡换成真数据。**A. 新端点** `GET /api/v1/admin/system/storage`（**owner-only**、**只读**、**无审计动作**，与四条 `POST /system/*` 动作端点同门不同档）→ `200 {data:{main,documents,vector}}`：`main` = `{kind:"sqlite",path,fileBytes,walBytes,shmBytes,pageSize,pageCount,freelistPages,freeBytes}`（`path` 与备份/恢复端点同源；WAL/SHM 边车**合法地不存在**时如实为 `0`；`freeBytes = pageSize × freelistPages`）、`documents` = `{count,bytes}`（读 `documents` 表，**不 walk 目录**，空表 `bytes` 为 `0` 而非 `null`）、`vector` = `{kind:"pgvector"|"none",enabled,ready}`。**B. `vector` 的语义（主人 2.4 的困惑点）**：`kind` 说「配没配 `DB_PG_URL`」，`enabled` 说「开关在不在」（等价于 `kind != "none"`），`ready` 说「**活着的**向量索引真的是 pgvector 后端吗」—— 配了但连接/schema 准备失败 ⇒ `enabled:true` + `ready:false`，客户端必须显示「已配置但未就绪（检索已降级）」，**不要把 `enabled` 当成生效**。客户端显示建议：`none` → 「未启用（未配置 `DB_PG_URL`）」、`enabled && ready` → 「启用（`pgvector` · ready）」、`enabled && !ready` → 未就绪。**C. 两条纪律**：① **不含凭据**——DSN / 用户名 / 密码 / `postgres://` 全文**一个字都不回**（`vector` 段只有 `kind`/`enabled`/`ready` 三个键；有用例断言响应体里搜不到这些串）；② **只读**——只有 `SELECT`/`PRAGMA` + `os.Stat`，且复用组合根注入的**活连接**（不新开连接池、不写、不迁移、不备份；调用前后 `documents` 行数与数据目录内文件集合均不变，有用例钉住）。**D. 真源（`vector`）**：组合根 `cmd/cyrene/wire_frontend.go` 的 `app.vectorState()` —— `Configured` 取 `DB_PG_URL` 非空、`Live` 取活索引的具体类型（`*vector.PGVectorIndex`）；网关**只读这份注入值**，不读环境变量、不新开 PG 连接、不自行探测（否则面板与运行时会给出两个答案）。**E. 失败不伪装**：未接活连接 / 数据库路径未配置 / 读不到页级统计或 `documents` 表（例如库没跑迁移）⇒ `500 {error:{code:"storage_unavailable",message}}`，**绝不回一个全 0 的假快照**；无凭据 → `401`。**F. 面板**：`frontend/web` 的存储卡（`admin/modules/dashboard/overviewMetrics.ts`）改为真数据 —— `value` = `SQLite 12.3 MiB`（`main.fileBytes` 的人类可读量级）、`hint` = `WAL … · N 页（空闲 M 页 / …）`、新增两行详情 = `documents N 件 · …` 与 `PG 增强 …`；取数走与其它已接线卡片**同一条** `useAsyncData` 加载/错误态（数据没到就显示「端点报错：…」，**不回退成 0、不假装成功**）。**G. 实现落点**：`internal/services/gateway/admin_system_storage.go`（新文件）+ `routes.go`（注册）+ `deps.go`/`server.go`（注入 `Deps.Database` / `Deps.Vector`）+ `cmd/cyrene/wire_frontend.go`（组合根真源）+ 前端 `lib/types/adminWrite.ts` / `lib/api/adminSystem.ts` / `admin/modules/dashboard/{useDashboardExtras,overviewMetrics,MiniMetric}`。**H. 兼容性**：**纯新增**——新端点为纯增量；前端 `MiniMetricSpec` 新增的 `extra?: string[]` 是**可选**补充详情行，不传时卡片渲染与旧版**逐字等价**（其它卡片一字未改）。**未做 / 诚实边界**：`main` 只报 SQLite（当前唯一主库引擎）；`vector` 只报 `kind`/`enabled`/`ready`（**刻意不回 host**，把泄漏面压到最小）；不报表级明细、不报备份文件列表（`documents` 之外的占用仍要下钻到备份/文件系统看）。
|
||||
|
||||
@@ -72,7 +72,7 @@
|
||||
| 3 | POST | `/api/v1/chat` | owner\|admin | 200/202/400/404/409/500/503 | 发消息（同步回复或触发 WS 流式）；**v0.56**：`stream:true` 受理成功才回（`202` 续接排队 / `409` 队列满 / `500 chat_unavailable` 未接 loop / `503 chat_dispatch_failed` 兜底派发失败）、`image` 超上限 → `400 image_too_large`（上限 = `CHAT_IMAGE_MAX_BYTES`，默认 5 MiB 与 `/upload` 同口径；≤0 视为用默认）、`clientMsgId` 重复 → `200 {duplicate:true}`；**v0.59**：可选 `documents:[{name}]`（≤5 条、只收服务端存储名）→ 超限 `400 too_many_documents`、名非法/不存在 `404 document_not_found`（见 §3.8） | M8/M15 |
|
||||
| 4 | GET | `/api/v1/sessions` | JWT | 200 | 会话列表（持久化会话 or 渠道会话回退） | M16 |
|
||||
| 5 | GET | `/api/v1/personas` | JWT | 200 | 人格列表 | M8 |
|
||||
| 6 | GET | `/api/v1/sessions/{id}/messages` | owner\|admin | 200 | 会话消息热分页 | M16 |
|
||||
| 6 | GET | `/api/v1/sessions/{id}/messages` | owner\|admin | 200/**404** | 会话消息热分页；**v0.63**：会话**不存在/已删除** ⇒ `404 session_not_found`，**存在但没有消息仍 `200 {"data":[]}`**（见 §3.4） | M16 |
|
||||
| 7 | POST | `/api/v1/sessions` | owner\|admin | 201 | 新建次级会话 | M16 |
|
||||
| 8 | DELETE | `/api/v1/sessions/{id}` | owner\|admin | 200 | 删除次级会话 | M16 |
|
||||
| 9 | PATCH | `/api/v1/sessions/{id}` | owner\|admin | 200 | 会话改名(A4) + 置顶(`pinned`, D5) body `{title?,pinned?}`（部分更新，只回显变更字段；见 §3.6a） | M16 |
|
||||
@@ -345,7 +345,7 @@ curl -s http://<host>:8080/api/v1/personas -H "Authorization: Bearer $TOKEN" -H
|
||||
|
||||
### 3.4 GET /api/v1/sessions/{id}/messages
|
||||
- **鉴权**：`Authorize(owner, admin)`（会话消息/thinking 属主人私密历史，viewer 不可读）。
|
||||
- **Path**：`{id}` = 会话 id（`web` 或 `web:<uuid>`；IM 隔离会话 `sess-xxx` 亦可用）。
|
||||
- **Path**：`{id}` = **会话注册表 `chat_sessions` 里可寻址的**会话 id（`web` 或 `web:<uuid>`）。**v0.63 起**：不在 `chat_sessions` 里的 id（已删除的次级会话、凭空编造的 id、**以及隔离的 IM 会话 `sess-xxx` 与内部 `sess-backthink`**）⇒ `404 session_not_found` —— 这与 `POST /sessions/{id}/read`（v0.37 起对隔离会话即 404）是同一口径；隔离会话的消息请走 `GET /api/v1/admin/channels/{platform}/messages`（§4.7）。⚠️ 旧文那句「IM 隔离会话 `sess-xxx` 亦可用」**已随 v0.63 作废**。
|
||||
- **Query**：
|
||||
| 参数 | 类型 | 必填 | 默认 | 说明 |
|
||||
|------|------|:---:|------|------|
|
||||
@@ -366,7 +366,7 @@ curl -s http://<host>:8080/api/v1/personas -H "Authorization: Bearer $TOKEN" -H
|
||||
| `mode` | string | 该条的模式（`omitempty`，供渲染气泡不用猜） |
|
||||
| `mood` | string | 情绪标记（`omitempty`） |
|
||||
| `image` | string | 图像引用（`omitempty`） |
|
||||
| `documents` | array | **文档附件与抽取统计**（`omitempty`，**v0.59**）：`[{name,mime,size,chars,truncated,status}]`，**≤5 条**、顺序 = 客户端发送顺序；**0 个附件时该键省略**；`status ∈ extracted|listed|unreadable`。⚠️ **`chars`/`truncated` 是「本回合注入侧」事实**——`chars` = 本回合**注入**上下文的字符数、`truncated` = **注入**是否被截断（**不是**「文件是否被截断」）；**全文长度**只有 `document-read` 的 `totalChars` 能看到。**不含正文**。同一字段也出现在 `message_persisted` / `channel_persisted` / `message_edited` / 握手回放（同一结构体、四处同时生效）。⚠️ 单数 `document`（对象）形状**从未随任何已发布版本号发布**，本版起一律是 `documents` 数组 |
|
||||
| `documents` | array | **文档附件与抽取统计**（`omitempty`，**v0.59**）：`[{name,mime,size,chars,truncated,status,reason?}]`，**≤5 条**、顺序 = 客户端发送顺序；**0 个附件时该键省略**；`status ∈ extracted|listed|unreadable`。⚠️ **`chars`/`truncated` 是「本回合注入侧」事实**——`chars` = 本回合**注入**上下文的字符数、`truncated` = **注入**是否被截断（**不是**「文件是否被截断」）；**全文长度**只有 `document-read` 的 `totalChars` 能看到。**不含正文**。**`reason`（v0.63，可选）**＝**读不到的原因文案**，**只在 `status:"unreadable"` 时出现**（`extracted`/`listed` 时该键缺席）；它**逐字就是注入模型的那份原因**（如 `无法抽取正文：这是图片型/无文本层 PDF，需要 OCR 才能读（当前未做）`），**只有文案**：不含路径、不含凭据、不含存储名以外的内容（原始错误只进日志）。同一字段也出现在 `message_persisted` / `channel_persisted` / `message_edited` / 握手回放（同一结构体、四处同时生效）；⚠️ 实时帧在用户消息落库时发出，那时抽取未发生 ⇒ **`status`/`reason` 以读接口为准**。⚠️ 单数 `document`（对象）形状**从未随任何已发布版本号发布**，本版起一律是 `documents` 数组 |
|
||||
| `thinking` | string | 思维链（`omitempty`；**本端点 owner/admin-only，故可达**；**公开回放 / 实时持久化帧中已剥离**）。**v0.59 口径（有意默认，非缺陷）**：消息体的 `thinking` 字段在 `message_persisted` / `channel_persisted` / `message_edited` 与握手 `history` 回放中**恒为空**；**历史消息的思维链只有本端点（owner\|admin）返回**。实时思维链另走 `thinking.*` 流帧（§6.4，owner/admin 档） |
|
||||
| `platform` | string | 来源平台（`web` / `telegram` / `weixin-ilink` / `qq-obv11`...，`omitempty`） |
|
||||
| `deviceId` | string | 客户端端标识（`omitempty`，如 `web:chrome:a1b2c3`） |
|
||||
@@ -380,8 +380,8 @@ curl -s http://<host>:8080/api/v1/personas -H "Authorization: Bearer $TOKEN" -H
|
||||
{"data":[{"id":"m1","sessionId":"web","role":"assistant","content":"你好","mode":"normal","mood":"calm","platform":"web","deviceId":"web:chrome:a1b2c3","createdAt":1753...}]}
|
||||
```
|
||||
|
||||
- **错误**：`400`（`limit`/`before`/`after` 非法、`before`+`after` 同传、`id` 缺失）；`501` `{"error":{"code":"not_implemented","message":"会话历史服务未配置（未注入 HistoryStore）"}}`；`500` `{"error":{"code":"messages_failed",...}}`。
|
||||
- **备注**：热分页（design/16 §2.2,§5.1）。`thinking` 只在本 owner/admin 端点可见；WS 回放/广播已剥离。curl：
|
||||
- **错误**：`400`（`limit`/`before`/`after` 非法、`before`+`after` 同传、`q`+`after` 同传、`id` 缺失）；**`404` `{"error":{"code":"session_not_found","message":"session \"<id>\" not found"}}`（v0.63，行为变更）——会话不存在 / 已删除**（含不在 `chat_sessions` 的隔离 `sess-xxx`）；**存在但确实没有消息仍是 `200 {"data":[]}`**；参数校验**先于**存在性判定；`501` `{"error":{"code":"not_implemented","message":"会话历史服务未配置（未注入 HistoryStore）"}}`；`500` `{"error":{"code":"messages_failed",...}}`（含存在性判定本身读不出来时 —— **不静默退化成空列表**）。
|
||||
- **备注**：热分页（design/16 §2.2,§5.1）。`thinking` 只在本 owner/admin 端点可见；WS 回放/广播已剥离。**会话存活判据（v0.63）**：客户端用 **404（`session_not_found`）**判定「当前会话已不在」，据此退回主会话 + 一句提示；**不要**用「返回空数组」推断存活 —— 空数组现在**只**表示「这条会话存在但没有消息」。curl：
|
||||
|
||||
```bash
|
||||
curl -s 'http://<host>:8080/api/v1/sessions/web/messages?limit=50&before=1753000000000&platform=web' \
|
||||
@@ -545,7 +545,7 @@ curl -s -X POST http://<host>:8080/api/v1/sessions/web/read \
|
||||
- **≤5 条/回合**：超出 → `400 too_many_documents`，**先于任何文件系统访问**判定；名非法 / 穿越 / 不存在 → `404 document_not_found`；**任一条不合规都让整个请求被拒**（绝不静默丢掉附件）。
|
||||
- 附件部件挂在**同一条 `user` 消息**上；**纯附件回合**（无文本、无图片）成立。WS 上行帧仍有 **4096 字节**硬上限 ⇒ 现实中文档走 REST；两条入口共用同一份解析与校验，不会分叉。
|
||||
- **WS 侧失败**：经 `error` 帧下发 `data.code`（`too_many_documents` / `document_not_found` / `chat_documents_unavailable`）并**中止本回合**，绝不静默。
|
||||
- **历史 / 实时 DTO（四处同源）**：`historyMessage.documents`（见 §3.4 表）——`[{name,mime,size,chars,truncated,status}]`，`status ∈ extracted|listed|unreadable`，**0 个附件时省略该键**；⚠️ `chars` / `truncated` 是**本回合注入侧**事实（全文长度只有 `document-read` 的 `totalChars` 可见）。
|
||||
- **历史 / 实时 DTO（四处同源）**：`historyMessage.documents`（见 §3.4 表）——`[{name,mime,size,chars,truncated,status,reason?}]`，`status ∈ extracted|listed|unreadable`，**0 个附件时省略该键**；⚠️ `chars` / `truncated` 是**本回合注入侧**事实（全文长度只有 `document-read` 的 `totalChars` 可见）；**`reason`（v0.63）**只在 `unreadable` 时出现 = 读不到的原因文案（**逐字**等于注入模型那份，**只有文案、不含路径/凭据**）。
|
||||
|
||||
**D) 内置工具 `document-read`（模型侧）**：`{name, offset?, limit?}` → `{name,status,offset,limit,totalChars,truncated,nextOffset,text,extractTruncated?}`；`limit` 默认 **8000**、上限 **64K** 字符（`≤0` 用缺省、超上限夹取）；`offset` 为 **0 基 rune 偏移**、起点 = sidecar 正文（含 CSV/TSV 摘要行）；`offset<0` 或 `>totalChars` → 工具错误（`==totalChars` 合法）；`extractTruncated=true` 专指「抽取期撞上 **8 MiB** sidecar 安全上限」。只读 sidecar、**绝不重抽**；策略默认 **owner-only**。**诚实边界**：design/24 §6.2 列的 `document_unreadable`(400) **没有对应的 REST 错误码**，它只以本工具的错误形态存在（客户端在 DTO 里看到的是 `status:"unreadable"`）。
|
||||
|
||||
@@ -1422,7 +1422,7 @@ TOKEN=$(curl -s -X POST http://<host>:8080/api/v1/auth/login \
|
||||
| 400 | `bad_request` / `invalid_cron` / `invalid_rule` / `invalid_role` / `unsupported_action` / `invalid_param` / `invalid_provider` / `invalid_scope` / `too_many_documents`(v0.59) | 请求体/参数非法 |
|
||||
| 401 | `unauthorized` | 认证缺失/失效/过期（REST Bearer 与 WS） |
|
||||
| 403 | `forbidden` | 角色不足（viewer 读管理/主会话删除/写操作）；主会话不可删 |
|
||||
| 404 | `not_found` / `document_not_found`(v0.59) | 资源不存在（文档：名字非法 / 路径穿越 / 文件不存在**同一响应**） |
|
||||
| 404 | `not_found` / `document_not_found`(v0.59) / `session_not_found`(**v0.63**) | 资源不存在（文档：名字非法 / 路径穿越 / 文件不存在**同一响应**；会话：`GET /sessions/{id}/messages` 对**不存在 / 已删除**的会话，**空会话仍是 `200 {"data":[]}`**） |
|
||||
| 409 | `chat_busy` / `duplicate` / `device_offline` / `needs_login` | 冲突：队列满（**REST 响应体与 WS 定向 `error` 帧同码**，v0.59/G5）/ 人格已存在 / 设备离线 / 渠道未登录 |
|
||||
| 413 | `document_too_large`(v0.59) | 文档超 `CHAT_DOCUMENT_MAX_BYTES`（默认 20 MiB），文案带生效上限字节数 |
|
||||
| 415 | `unsupported_media_type`(v0.59；判定口径 v0.61) | 文档类型不在白名单——**扩展名白名单（23 项，含 `.pdf`）与字节嗅探的成对裁决**任一不过（HTML/纯文本改名成 `.pdf`、或 PDF 改名成 `.txt` 都走它） |
|
||||
|
||||
@@ -0,0 +1,108 @@
|
||||
package documents
|
||||
|
||||
import (
|
||||
"context"
|
||||
"encoding/json"
|
||||
"strings"
|
||||
"testing"
|
||||
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/agent"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/history"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/loop"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/model"
|
||||
)
|
||||
|
||||
// 本文件是契约 v0.63 的 `documents[].reason` 在**摄取层侧**的端到端回归（客户端
|
||||
// 登记：`status:"unreadable"` 只有状态没有原因，客户端只能显示通用句，不愿自己
|
||||
// 编服务端的理由）。它与 sidecar_test.go 的 `TestResolver_EndToEndWithLoop` 同族：
|
||||
// 真实文件 → 真实 sidecar → 真实 loop 装配期，只是这里断言的是**回给客户端的原因**
|
||||
// 与**注入模型的原因**是同一个字符串，以及「读不到才给、能读到就没有」这条口径。
|
||||
|
||||
// TestResolver_EndToEndWithLoop_UnreadableReasonIsVerbatim 钉住契约 v0.63 的 ①：
|
||||
// **扫描件 PDF（无文本层）** 经真实链路（真文件 → 真 sidecar → 真 loop 装配期）
|
||||
// 后，`Result.Documents` 上带回**逐字**等于注入模型那份的原因文案（含「OCR」），
|
||||
// 而**文本层 PDF / 纯文本**（extracted）一个 reason 都没有（该键从 DTO 里省略）。
|
||||
//
|
||||
// 「逐字一致」是本用例的核心断言：客户端展示的理由与模型看到的理由必须是同一个
|
||||
// 字符串，服务端不为客户端另编一句。
|
||||
func TestResolver_EndToEndWithLoop_UnreadableReasonIsVerbatim(t *testing.T) {
|
||||
t.Parallel()
|
||||
layout := newTestLayout(t)
|
||||
body := "季度报告：营收增长 12%。\n"
|
||||
textName := layout.writeUpload(t, txtName, []byte(body))
|
||||
scanName := layout.writeUpload(t, pdfName, buildPDF(t, pdfFixture{Contents: []string{imageContent}}))
|
||||
r := NewResolver(Config{DataDir: layout.dataDir, UploadsDir: layout.uploads})
|
||||
|
||||
ad := &recordingAdapter{}
|
||||
ag, err := agent.New("你是助手。", nil, nil, agent.WithModel(ad, nil))
|
||||
if err != nil {
|
||||
t.Fatalf("agent.New: %v", err)
|
||||
}
|
||||
l := loop.New(loop.Options{Agent: ag, DocumentResolver: r, MaxRounds: 1})
|
||||
msg := model.Message{Role: model.RoleUser, Content: []model.Content{
|
||||
{Type: model.ContentTypeText, Text: "这两份都看看"},
|
||||
{Type: model.ContentTypeDocument, DocumentName: textName, DocumentMIME: "text/plain", DocumentSize: int64(len(body))},
|
||||
{Type: model.ContentTypeDocument, DocumentName: scanName, DocumentMIME: PDFMIME, DocumentSize: 2048},
|
||||
}}
|
||||
res, err := l.Run(context.Background(), "sess-doc-reason", []model.Message{msg})
|
||||
if err != nil {
|
||||
t.Fatalf("Run: %v", err)
|
||||
}
|
||||
byName := map[string]history.DocumentRef{}
|
||||
for _, ref := range res.Documents {
|
||||
byName[ref.Name] = ref
|
||||
}
|
||||
if got := byName[textName]; got.Status != history.DocumentStatusExtracted || got.Reason != "" {
|
||||
t.Fatalf("纯文本结论 = %+v, want extracted 且无 reason", got)
|
||||
}
|
||||
scan := byName[scanName]
|
||||
if scan.Status != history.DocumentStatusUnreadable {
|
||||
t.Fatalf("扫描件结论 = %+v, want unreadable（这份 PDF 没有文本层）", scan)
|
||||
}
|
||||
if scan.Reason != reasonPDFNoTextLayer {
|
||||
t.Fatalf("扫描件 reason = %q, want %q（必须与注入模型的原因逐字一致）", scan.Reason, reasonPDFNoTextLayer)
|
||||
}
|
||||
if !strings.Contains(scan.Reason, "OCR") {
|
||||
t.Fatalf("扫描件 reason = %q, want 含「OCR」", scan.Reason)
|
||||
}
|
||||
|
||||
// 模型可见的那一份：同一句话（清单块之后的诚实原因）。
|
||||
if len(ad.reqs) == 0 {
|
||||
t.Fatal("没有记录到模型请求")
|
||||
}
|
||||
modelSees := false
|
||||
for _, m := range ad.reqs[0].Messages {
|
||||
for _, part := range m.Content {
|
||||
if part.Type == model.ContentTypeText && strings.Contains(part.Text, reasonPDFNoTextLayer) {
|
||||
modelSees = true
|
||||
}
|
||||
}
|
||||
}
|
||||
if !modelSees {
|
||||
t.Fatal("注入模型的原因文案与回给客户端的 reason 不是同一句")
|
||||
}
|
||||
|
||||
// 反证：原因里没有路径 —— 盘上路径只可能是 `<uploads>/<存储名>`，原始错误若被
|
||||
// 透出必然带出它；`uploads` 是真实目录段名，存储名本身则是另一路（DTO 的 name）。
|
||||
for _, leak := range []string{layout.uploads, layout.dataDir, "uploads", scanName} {
|
||||
if strings.Contains(scan.Reason, leak) {
|
||||
t.Fatalf("reason = %q 含路径/引用片段 %q，原因文案里不得有路径", scan.Reason, leak)
|
||||
}
|
||||
}
|
||||
|
||||
// DTO 形状：unreadable 带 reason 键、extracted 不带。
|
||||
raw, err := json.Marshal(scan)
|
||||
if err != nil {
|
||||
t.Fatalf("marshal: %v", err)
|
||||
}
|
||||
if !strings.Contains(string(raw), `"reason":`) {
|
||||
t.Fatalf("扫描件 DTO = %s, want 带 reason 键", raw)
|
||||
}
|
||||
textRaw, err := json.Marshal(byName[textName])
|
||||
if err != nil {
|
||||
t.Fatalf("marshal: %v", err)
|
||||
}
|
||||
if strings.Contains(string(textRaw), `"reason"`) {
|
||||
t.Fatalf("extracted 的 DTO = %s, want 不带 reason 键", textRaw)
|
||||
}
|
||||
}
|
||||
@@ -72,6 +72,15 @@ type DocumentRef struct {
|
||||
Truncated bool `json:"truncated,omitempty"`
|
||||
// Status 是抽取状态，取值见 DocumentStatus* 常量。
|
||||
Status string `json:"status,omitempty"`
|
||||
// Reason 是 Status == unreadable 时**读不到正文的原因**（design/24 §4.4 的
|
||||
// 诚实原因文案），供客户端直接把服务端的说法展示给用户 —— 客户端因此不必
|
||||
// 自己拼一句服务端没说过的话（契约 v0.63）。它**只在「读不到」时下发**
|
||||
// （extracted / listed 时为空 ⇒ 该键从 DTO 里消失）。
|
||||
//
|
||||
// 内容纪律：**只有文案**。不含落盘路径、不含任何凭据、不含存储名以外的标识
|
||||
// —— 它就是同一份注入给模型的原因短句（装配期与注入共用同一个字符串），原始
|
||||
// 错误（可能带路径）只进日志，绝不透出。
|
||||
Reason string `json:"reason,omitempty"`
|
||||
}
|
||||
|
||||
// EncodeDocuments 把一条消息携带的文档引用编码成落库用的 JSON 数组。空列表返回
|
||||
|
||||
@@ -31,6 +31,13 @@ func TestDocumentRefRoundTrip(t *testing.T) {
|
||||
Status: DocumentStatusExtracted,
|
||||
},
|
||||
{Name: "fedcba9876543210fedcba9876543210.md", MIME: "text/markdown", Size: 42, Status: DocumentStatusListed},
|
||||
{
|
||||
Name: "00112233445566778899aabbccddeeff.pdf",
|
||||
MIME: "application/pdf",
|
||||
Size: 2048,
|
||||
Status: DocumentStatusUnreadable,
|
||||
Reason: "无法抽取正文：这是图片型/无文本层 PDF，需要 OCR 才能读（当前未做）",
|
||||
},
|
||||
}
|
||||
raw, err := EncodeDocuments(refs)
|
||||
if err != nil {
|
||||
|
||||
@@ -100,7 +100,7 @@ const (
|
||||
// 形状与 ImageResolver 同族：注入式依赖、装配期按消息调用一次、失败时回合
|
||||
// 继续。差别只在返回值 —— 图像解析就地改写一条消息，而文档解析把「结论」与
|
||||
// 「正文」分开交回：清单行、截断标记与「清单恒在」由循环统一渲染（解析器缺席
|
||||
// 或失败时也必须成立），status/chars/truncated 则经 Result.Documents 回给
|
||||
// 或失败时也必须成立），status/chars/truncated/reason 则经 Result.Documents 回给
|
||||
// 客户端（§4.4、§6.1）。
|
||||
//
|
||||
// 两份映射都以**服务端存储名**为键，值分别是该文档的结论（形状即
|
||||
@@ -108,6 +108,10 @@ const (
|
||||
// 诚实的原因文案）。缺少条目的文档由循环降级为「仅清单」。用这些中立类型，
|
||||
// 摄取层不必依赖 loop 包，循环也不必依赖摄取层 —— 与 vision.MessageResolver
|
||||
// 满足 ImageResolver 的方式相同。
|
||||
//
|
||||
// 契约（v0.63）：status == unreadable 时，**正文就是原因** —— 循环把它原样作为
|
||||
// `documents[].reason` 回给客户端。因此它必须是「人能读懂、不含路径与内部细节」
|
||||
// 的短句（design/24 §4.4 已是这个口径）；原始错误只进日志。
|
||||
type DocumentResolver interface {
|
||||
// Resolve 解析 msg 里的文档部件。error 表示整条消息都解析不了（例如回合
|
||||
// 已被取消）；**单份文档**的失败不是 error，而是 unreadable 结论。
|
||||
@@ -209,6 +213,7 @@ func documentResolution(part model.Content, refs map[string]history.DocumentRef,
|
||||
if ref.Status == history.DocumentStatusUnreadable && body == "" {
|
||||
body = documentUnreadableBody
|
||||
}
|
||||
ref.Reason = documentReason(ref.Status, body)
|
||||
if ref.Status != history.DocumentStatusExtracted {
|
||||
return ref, body
|
||||
}
|
||||
@@ -229,6 +234,23 @@ func documentStatusKnown(status string) bool {
|
||||
}
|
||||
}
|
||||
|
||||
// documentReason 给出随结论回给客户端的**原因文案**（契约 v0.63 的
|
||||
// `documents[].reason`）：只在「读不到」时给，其余状态一律为空（该键因此从 DTO
|
||||
// 里省略）。
|
||||
//
|
||||
// 它就是注入给模型的那份原因文案 —— 装配期把 unreadable 的正文当作原因用
|
||||
// （解析器读不到时给的就是诚实原因，见 DocumentResolver 的契约；解析器整条报错
|
||||
// 时是 documentUnreadableBody 这个兜底）。**同一个字符串两处用**是刻意的：客户端
|
||||
// 看到的理由与模型看到的理由因此不可能分叉，服务端也从不为客户端另编一句。
|
||||
//
|
||||
// 只有文案：不含路径、不含凭据、不含存储名以外的标识 —— 原始错误只进日志。
|
||||
func documentReason(status, body string) string {
|
||||
if status != history.DocumentStatusUnreadable {
|
||||
return ""
|
||||
}
|
||||
return body
|
||||
}
|
||||
|
||||
// documentBlock 渲染一份文档的注入块：清单行**恒在**（名、MIME、大小、结论），
|
||||
// 其后是可注入的正文，或读不到时的诚实原因（design/24 §4.2-3、§4.4）。
|
||||
func documentBlock(part model.Content, ref history.DocumentRef, body string) string {
|
||||
|
||||
@@ -0,0 +1,98 @@
|
||||
package loop
|
||||
|
||||
import (
|
||||
"context"
|
||||
"encoding/json"
|
||||
"strings"
|
||||
"testing"
|
||||
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/history"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/model"
|
||||
)
|
||||
|
||||
// 本文件钉住契约 v0.63 的 `documents[].reason`（客户端登记：`status:"unreadable"`
|
||||
// 只有状态没有原因，客户端只能显示通用句、不愿自己编服务端的理由）：
|
||||
//
|
||||
// - **只在读不到时**下发（`extracted` / `listed` 时该键从 DTO 里消失）；
|
||||
// - 文案**逐字**等于注入给模型的那份原因 —— 两处同源于一个字符串，服务端因此
|
||||
// 不为客户端另编一句，两个出口也不可能分叉；
|
||||
// - 解析器整条消息失败时也有诚实的兜底理由（绝不「读不到但没有理由」）。
|
||||
//
|
||||
// 真实的「扫描件 PDF ⇒ 含 OCR 的原因」链路在 `internal/runtime/documents` 的
|
||||
// `TestResolver_EndToEndWithLoop_UnreadableReasonIsVerbatim` 里跑（那里有 PDF 夹具）。
|
||||
|
||||
// docC 是第三个合法的 S1 存储名形态（32 位十六进制 + 扩展名），供本文件使用。
|
||||
const docC = "00112233445566778899aabbccddeeff.csv"
|
||||
|
||||
// TestResolveDocuments_ReasonOnlyWhenUnreadable 钉住 reason 的三个出口：能读到与
|
||||
// 只给清单时为空、读不到时逐字等于注入模型的那份原因。
|
||||
func TestResolveDocuments_ReasonOnlyWhenUnreadable(t *testing.T) {
|
||||
t.Parallel()
|
||||
res := &fakeDocumentResolver{
|
||||
refs: map[string]history.DocumentRef{
|
||||
docA: {Status: history.DocumentStatusExtracted},
|
||||
docB: {Status: history.DocumentStatusUnreadable},
|
||||
docC: {Status: history.DocumentStatusListed},
|
||||
},
|
||||
bodies: map[string]string{
|
||||
docA: "抽到的正文",
|
||||
docB: "无法抽取正文：这是图片型/无文本层 PDF，需要 OCR 才能读（当前未做）",
|
||||
docC: "不该被注入的正文",
|
||||
},
|
||||
}
|
||||
l := New(Options{DocumentResolver: res})
|
||||
in := []model.Message{
|
||||
documentMessage(docA, "text/plain", 10),
|
||||
documentMessage(docB, "application/pdf", 20),
|
||||
documentMessage(docC, "text/plain", 30),
|
||||
}
|
||||
out, refs := l.resolveDocuments(context.Background(), in)
|
||||
byName := map[string]history.DocumentRef{}
|
||||
for _, ref := range refs {
|
||||
byName[ref.Name] = ref
|
||||
}
|
||||
if got := byName[docA].Reason; got != "" {
|
||||
t.Fatalf("extracted 的 reason = %q, want 空（该键必须缺席）", got)
|
||||
}
|
||||
if got := byName[docC].Reason; got != "" {
|
||||
t.Fatalf("listed 的 reason = %q, want 空", got)
|
||||
}
|
||||
want := res.bodies[docB]
|
||||
if got := byName[docB].Reason; got != want {
|
||||
t.Fatalf("unreadable 的 reason = %q, want %q（必须与注入模型的原因逐字一致）", got, want)
|
||||
}
|
||||
// 同一份文案确实进了模型可见上下文 —— 两处同源因此不可能分叉。
|
||||
if !strings.Contains(messageTextOf(out[1]), want) {
|
||||
t.Fatalf("注入块 = %q, want 含同一份原因文案", messageTextOf(out[1]))
|
||||
}
|
||||
// DTO 形状：unreadable 带 reason 键，extracted 不带。
|
||||
raw, err := json.Marshal(byName[docB])
|
||||
if err != nil {
|
||||
t.Fatalf("marshal: %v", err)
|
||||
}
|
||||
if !strings.Contains(string(raw), `"reason":`) {
|
||||
t.Fatalf("unreadable 的 DTO = %s, want 带 reason 键", raw)
|
||||
}
|
||||
extractedRaw, err := json.Marshal(byName[docA])
|
||||
if err != nil {
|
||||
t.Fatalf("marshal: %v", err)
|
||||
}
|
||||
if strings.Contains(string(extractedRaw), `"reason"`) {
|
||||
t.Fatalf("extracted 的 DTO = %s, want 不带 reason 键", extractedRaw)
|
||||
}
|
||||
}
|
||||
|
||||
// TestResolveDocuments_ResolverErrorCarriesHonestReason 钉住兜底路径也带原因：解析器
|
||||
// 整条消息失败时，客户端拿到的是同一句诚实兜底（`documentUnreadableBody`）——
|
||||
// 「读不到但没有理由」正是本字段要消灭的状态。
|
||||
func TestResolveDocuments_ResolverErrorCarriesHonestReason(t *testing.T) {
|
||||
t.Parallel()
|
||||
l := New(Options{DocumentResolver: &fakeDocumentResolver{err: errDocResolve}})
|
||||
_, refs := l.resolveDocuments(context.Background(), []model.Message{documentMessage(docA, "text/plain", 10)})
|
||||
if len(refs) != 1 {
|
||||
t.Fatalf("结论 = %+v, want 一条", refs)
|
||||
}
|
||||
if refs[0].Reason != documentUnreadableBody {
|
||||
t.Fatalf("reason = %q, want %q（诚实兜底，绝不空着）", refs[0].Reason, documentUnreadableBody)
|
||||
}
|
||||
}
|
||||
@@ -196,6 +196,9 @@ func (s *Server) handleCreateSubSession(w http.ResponseWriter, r *http.Request)
|
||||
// after 互斥，空 q 被忽略，因此普通分页
|
||||
// 不变。同时给出 before 与 after（二者都 > 0）返回 400，
|
||||
// after 非数字/为负或 limit/before 非法时亦然。
|
||||
//
|
||||
// **会话不存在 / 已删除 ⇒ `404 session_not_found`**（契约 v0.63，行为变更）；
|
||||
// 存在但确实没有消息仍是 `200 {"data":[]}`（见 history_session_guard.go）。
|
||||
func (s *Server) handleListMessages(w http.ResponseWriter, r *http.Request) {
|
||||
if s.history == nil {
|
||||
writeError(w, &apperr.AppError{Code: "not_implemented", Message: "会话历史服务未配置（未注入 HistoryStore）", HTTPCode: http.StatusNotImplemented})
|
||||
@@ -240,6 +243,12 @@ func (s *Server) handleListMessages(w http.ResponseWriter, r *http.Request) {
|
||||
writeError(w, apperr.Wrap(apperr.ErrBadRequest, "bad_request", "q and after are mutually exclusive"))
|
||||
return
|
||||
}
|
||||
// 会话不存在 / 已删除 ⇒ 404 session_not_found（契约 v0.63）：客户端据此把
|
||||
// 「当前会话已不在」与「这是一条空会话」分开处理。**存在但没有消息**仍走
|
||||
// 下面的空数组（见 history_session_guard.go）。
|
||||
if s.rejectMissingSession(w, r, id) {
|
||||
return
|
||||
}
|
||||
|
||||
var msgs []history.Message
|
||||
var err error
|
||||
|
||||
@@ -0,0 +1,82 @@
|
||||
package gateway
|
||||
|
||||
import (
|
||||
"context"
|
||||
"errors"
|
||||
"fmt"
|
||||
"net/http"
|
||||
|
||||
apperr "git.yeij.top/AskaEth/Cyrene_v2/internal/errors"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/history"
|
||||
)
|
||||
|
||||
// 本文件归属读路径上**「这条会话到底还在不在」**的唯一判断（契约 v0.63）。
|
||||
//
|
||||
// 背景（客户端登记，2026-10-05）：`GET /api/v1/sessions/{id}/messages` 此前对
|
||||
// **已删除 / 根本不存在**的会话回 `200 {"data":[]}`，客户端因此分不清「这是一条
|
||||
// 空会话」与「这条会话已经不在了」（主人的真实遭遇：正在看的临时会话被清理掉，
|
||||
// 界面上只剩一片空白）。同一个 API 里 `PATCH /sessions/{id}`、`POST
|
||||
// /sessions/{id}/read` 对未知会话本来就是 `404` —— 让 messages 单独例外会让每个
|
||||
// 新客户端都踩一次。
|
||||
//
|
||||
// 因此自 v0.63 起：不存在 / 已删除 ⇒ `404 {error:{code:"session_not_found"}}`；
|
||||
// **存在但没有消息**仍是 `200 {"data":[]}`（空会话绝不能被答成 404）。
|
||||
//
|
||||
// 判据**复用既有存储面**，不新写 SQL、也不新增存储方法：
|
||||
// `history.Store.SessionPersona` 是既有存储里唯一一个「按 id 读**单个**会话 +
|
||||
// 未知 id 报 `history.ErrSessionNotFound`」的方法（`ListSessions` 是全量列表扫描，
|
||||
// 在一个热分页端点上代价不成比例）。该口径由 `internal/runtime/history` 的
|
||||
// `TestSessionPersonaUnknownSession` 钉住，装配期角色解析（persona_env.go）用的
|
||||
// 也正是这个更窄视图。
|
||||
//
|
||||
// 名字口径（与既有 API 一致）：`chat_sessions` 是**会话注册表**，隔离的 IM 会话
|
||||
// （群聊 / 陌生人的 `sess-xxx`，以及 `sess-backthink`）不在其中 —— 它们与
|
||||
// `POST /sessions/{id}/read` 拿到的是同一个答案（404：在那条路径上不可寻址），
|
||||
// 其消息仍可由 `/api/v1/admin/channels/{platform}/messages` 读出。
|
||||
//
|
||||
// 未实现该视图的存储（测试替身 / 未接库的窄存储）视为**无从判定**：此时保持旧的
|
||||
// 「空集合」语义 —— 判不出来**绝不等于**「不存在」，把一次本可成功的读答成 404
|
||||
// 比答成空列表更糟。
|
||||
|
||||
// sessionNotFoundCode 是「会话不存在 / 已删除」的机器可读错误码（契约 v0.63，
|
||||
// 见 Docs/api-client.md §1 行 6 与 §4.4）。
|
||||
const sessionNotFoundCode = "session_not_found"
|
||||
|
||||
// sessionMissing 报告存储是否**明确否认** sessionID 的存在。
|
||||
//
|
||||
// 第三个返回值是读取本身的失败：调用方必须按「不静默」处理（回 500 并留带来源的
|
||||
// 日志），绝不把「问不出来」当成「不存在」。
|
||||
func (s *Server) sessionMissing(ctx context.Context, sessionID string) (bool, error) {
|
||||
reader, ok := s.history.(sessionPersonaReader)
|
||||
if !ok {
|
||||
return false, nil
|
||||
}
|
||||
_, err := reader.SessionPersona(ctx, sessionID)
|
||||
switch {
|
||||
case errors.Is(err, history.ErrSessionNotFound):
|
||||
return true, nil
|
||||
case err != nil:
|
||||
return false, fmt.Errorf("gateway: session lookup %s: %w", sessionID, err)
|
||||
default:
|
||||
return false, nil
|
||||
}
|
||||
}
|
||||
|
||||
// rejectMissingSession 在会话不存在时写出 `404 session_not_found` 并返回 true，
|
||||
// 使调用方一行收口：`if s.rejectMissingSession(w, r, id) { return }`。
|
||||
//
|
||||
// 判定失败（存储读不出来）回 `500 messages_failed` 并返回 true —— 宁可让这一次读
|
||||
// 失败并留下可诊断的日志，也不假装它是空会话。
|
||||
func (s *Server) rejectMissingSession(w http.ResponseWriter, r *http.Request, id string) bool {
|
||||
missing, err := s.sessionMissing(r.Context(), id)
|
||||
if err != nil {
|
||||
s.log.Error("history messages session lookup", "err", err, "session", id)
|
||||
writeError(w, apperr.Wrap(apperr.ErrInternal, "messages_failed", "failed to list messages"))
|
||||
return true
|
||||
}
|
||||
if !missing {
|
||||
return false
|
||||
}
|
||||
writeError(w, apperr.Wrap(apperr.ErrNotFound, sessionNotFoundCode, "session %q not found", id))
|
||||
return true
|
||||
}
|
||||
@@ -0,0 +1,173 @@
|
||||
package gateway
|
||||
|
||||
import (
|
||||
"context"
|
||||
"encoding/json"
|
||||
"net/http"
|
||||
"testing"
|
||||
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/auth"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/config"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/history"
|
||||
)
|
||||
|
||||
// 本文件钉住契约 v0.63 的 `GET /api/v1/sessions/{id}/messages` 语义（客户端登记，
|
||||
// 2026-10-05）：
|
||||
//
|
||||
// - **不存在 / 已删除**的会话 ⇒ `404 {error:{code:"session_not_found"}}`
|
||||
// （与 `PATCH /sessions/{id}` / `POST /sessions/{id}/read` 对未知会话的口径
|
||||
// 一致），客户端因此能把「当前会话已经不在了」与「这是一条空会话」分开；
|
||||
// - **存在但没有消息** ⇒ 仍是 `200 {"data":[]}`（空会话绝不能被答成 404）；
|
||||
// - `?q=` / `after` / 参数校验的既有语义不变（400 仍先于 404 —— 请求形状错了
|
||||
// 就是 400，与目标存不存在无关）。
|
||||
|
||||
// TestListMessagesUnknownSessionIs404 是本契约的主断言：一个从未存在过的会话 id
|
||||
// 必须得到 404 + `session_not_found`，而不是「看起来像空会话」。
|
||||
func TestListMessagesUnknownSessionIs404(t *testing.T) {
|
||||
t.Parallel()
|
||||
_, ts, jwt, _ := newHistoryEnv(t)
|
||||
tok := signAny(t, jwt, "acct", auth.RoleOwner)
|
||||
|
||||
for _, id := range []string{"web:ffffffffffffffffffffffffffffffff", "web:never-existed"} {
|
||||
resp, body := doReq(t, http.MethodGet, ts.URL+"/api/v1/sessions/"+id+"/messages", nil, tok)
|
||||
if resp.StatusCode != http.StatusNotFound {
|
||||
t.Fatalf("GET %s/messages status = %d, want 404 (body=%s)", id, resp.StatusCode, body)
|
||||
}
|
||||
wantErrorMessage(t, body, "session_not_found")
|
||||
}
|
||||
}
|
||||
|
||||
// TestListMessagesDeletedSessionIs404 复现客户端的真实遭遇：一条被 DELETE 掉的次级
|
||||
// 会话（连同它的消息）此后必须报「不在了」，而不是回一个空数组让客户端以为它只是
|
||||
// 空的。
|
||||
func TestListMessagesDeletedSessionIs404(t *testing.T) {
|
||||
t.Parallel()
|
||||
_, ts, jwt, st := newHistoryEnv(t)
|
||||
ctx := context.Background()
|
||||
sub, err := st.NewSubSession(ctx, "owner")
|
||||
if err != nil {
|
||||
t.Fatalf("new sub session: %v", err)
|
||||
}
|
||||
if err := st.Append(ctx, history.Message{SessionID: sub, Role: history.RoleUser, Content: "临时验收会话", CreatedAt: 1000}); err != nil {
|
||||
t.Fatalf("append: %v", err)
|
||||
}
|
||||
tok := signAny(t, jwt, "acct", auth.RoleOwner)
|
||||
|
||||
// 删除前：200 且带那条消息（契约的另一半 —— 活着的会话照旧）。
|
||||
resp, body := doReq(t, http.MethodGet, ts.URL+"/api/v1/sessions/"+sub+"/messages", nil, tok)
|
||||
if resp.StatusCode != http.StatusOK {
|
||||
t.Fatalf("删除前 status = %d, want 200 (body=%s)", resp.StatusCode, body)
|
||||
}
|
||||
var before []historyMessage
|
||||
decodeDataSlice(t, body, &before)
|
||||
if len(before) != 1 {
|
||||
t.Fatalf("删除前 messages = %d 条, want 1", len(before))
|
||||
}
|
||||
|
||||
if resp, body = doReq(t, http.MethodDelete, ts.URL+"/api/v1/sessions/"+sub, nil, tok); resp.StatusCode != http.StatusOK {
|
||||
t.Fatalf("delete session status = %d, want 200 (body=%s)", resp.StatusCode, body)
|
||||
}
|
||||
|
||||
resp, body = doReq(t, http.MethodGet, ts.URL+"/api/v1/sessions/"+sub+"/messages", nil, tok)
|
||||
if resp.StatusCode != http.StatusNotFound {
|
||||
t.Fatalf("删除后 status = %d, want 404 (body=%s)", resp.StatusCode, body)
|
||||
}
|
||||
wantErrorMessage(t, body, "session_not_found")
|
||||
}
|
||||
|
||||
// TestListMessagesEmptySessionIs200Empty 是**回归**：真会话就是没有消息时，
|
||||
// 必须仍然是 200 + 空数组 —— 契约只把「不存在」变成 404，绝不把「空会话」也卷进去。
|
||||
// 主会话（不可删、永远存在）与刚建好的次级会话各测一次。
|
||||
func TestListMessagesEmptySessionIs200Empty(t *testing.T) {
|
||||
t.Parallel()
|
||||
_, ts, jwt, st := newHistoryEnv(t)
|
||||
sub, err := st.NewSubSession(context.Background(), "owner")
|
||||
if err != nil {
|
||||
t.Fatalf("new sub session: %v", err)
|
||||
}
|
||||
tok := signAny(t, jwt, "acct", auth.RoleOwner)
|
||||
|
||||
for _, id := range []string{history.MainSessionID, sub} {
|
||||
resp, body := doReq(t, http.MethodGet, ts.URL+"/api/v1/sessions/"+id+"/messages", nil, tok)
|
||||
if resp.StatusCode != http.StatusOK {
|
||||
t.Fatalf("空会话 %s status = %d, want 200 (body=%s)", id, resp.StatusCode, body)
|
||||
}
|
||||
var page []historyMessage
|
||||
decodeDataSlice(t, body, &page)
|
||||
if len(page) != 0 {
|
||||
t.Fatalf("空会话 %s messages = %+v, want 空数组", id, page)
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
// TestListMessagesUnknownSessionKeepsParamChecks 钉住判定顺序：请求形状错了就是
|
||||
// 400（与目标会话存不存在无关），形状对了才轮到 404。`?q=` / `after` 的既有语义
|
||||
// 因此在未知会话上也不会退化成一个含糊的 404。
|
||||
func TestListMessagesUnknownSessionKeepsParamChecks(t *testing.T) {
|
||||
t.Parallel()
|
||||
_, ts, jwt, _ := newHistoryEnv(t)
|
||||
tok := signAny(t, jwt, "acct", auth.RoleOwner)
|
||||
base := ts.URL + "/api/v1/sessions/web:never-existed/messages"
|
||||
|
||||
for _, tc := range []struct {
|
||||
name string
|
||||
query string
|
||||
want int
|
||||
}{
|
||||
{"非法 limit", "?limit=abc", http.StatusBadRequest},
|
||||
{"limit 越界", "?limit=0", http.StatusBadRequest},
|
||||
{"非法 before", "?before=abc", http.StatusBadRequest},
|
||||
{"before 与 after 互斥", "?before=1000&after=500", http.StatusBadRequest},
|
||||
{"q 与 after 互斥", "?q=x&after=500", http.StatusBadRequest},
|
||||
{"形状合法 ⇒ 404", "?q=x", http.StatusNotFound},
|
||||
{"after 形状合法 ⇒ 404", "?after=500", http.StatusNotFound},
|
||||
} {
|
||||
resp, body := doReq(t, http.MethodGet, base+tc.query, nil, tok)
|
||||
if resp.StatusCode != tc.want {
|
||||
t.Fatalf("%s: status = %d, want %d (body=%s)", tc.name, resp.StatusCode, tc.want, body)
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
// TestSessionMissingWithoutLookupSurfaceIsNotMissing 钉住「判不出来 ≠ 不存在」：
|
||||
// 存储没有单会话读取面时（测试替身 / 未接库的窄存储），读路径保持旧的空集合语义
|
||||
// —— 把一次本可成功的读答成 404 比答成空列表更糟。
|
||||
func TestSessionMissingWithoutLookupSurfaceIsNotMissing(t *testing.T) {
|
||||
t.Parallel()
|
||||
hist := &fakeHistory{}
|
||||
srv, err := New(cfgDefault(), Deps{Auth: auth.New(config.AuthConfig{JWTSecret: testSecret}), History: hist})
|
||||
if err != nil {
|
||||
t.Fatalf("构造网关失败: %v", err)
|
||||
}
|
||||
t.Cleanup(srv.Close)
|
||||
missing, err := srv.sessionMissing(context.Background(), "web:whatever")
|
||||
if err != nil {
|
||||
t.Fatalf("sessionMissing: %v", err)
|
||||
}
|
||||
if missing {
|
||||
t.Fatal("没有存在性判据的存储不得被判成「会话不存在」")
|
||||
}
|
||||
}
|
||||
|
||||
// wantErrorMessage 断言错误信封的 code 与 message 都成形（客户端按 code 分支）。
|
||||
func wantErrorMessage(t *testing.T, body []byte, code string) {
|
||||
t.Helper()
|
||||
env := decodeBody(t, body)
|
||||
raw, ok := env["error"]
|
||||
if !ok {
|
||||
t.Fatalf("响应里没有 error 信封 (body=%s)", body)
|
||||
}
|
||||
var eobj struct {
|
||||
Code string `json:"code"`
|
||||
Message string `json:"message"`
|
||||
}
|
||||
if err := json.Unmarshal(raw, &eobj); err != nil {
|
||||
t.Fatalf("解码 error 信封: %v (body=%s)", err, body)
|
||||
}
|
||||
if eobj.Code != code {
|
||||
t.Fatalf("error.code = %q, want %q", eobj.Code, code)
|
||||
}
|
||||
if eobj.Message == "" {
|
||||
t.Fatalf("error.message 为空 (body=%s)", body)
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,211 @@
|
||||
package gateway
|
||||
|
||||
import (
|
||||
"bytes"
|
||||
"context"
|
||||
"encoding/json"
|
||||
"fmt"
|
||||
"net/http"
|
||||
"net/http/httptest"
|
||||
"path/filepath"
|
||||
"strings"
|
||||
"testing"
|
||||
"time"
|
||||
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/auth"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/config"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/agent"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/documents"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/history"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/loop"
|
||||
"git.yeij.top/AskaEth/Cyrene_v2/internal/runtime/model"
|
||||
)
|
||||
|
||||
// 本文件是契约 v0.63 的 **HTTP 层端到端**回归：`documents[].reason`（「读不到」
|
||||
// 的原因）从**真实文件**出发，经真实摄取层 → 真实 loop 装配期 → 回合后回写 →
|
||||
// 历史读接口，一路抵达客户端；且**只在读不到时**出现、**不含任何路径**。
|
||||
//
|
||||
// 与 session_document_e2e_test.go（S3.5 的结论回写）的分工：那边用假 runner 验证
|
||||
// 「每个附件都落库 + 结论都回来」，这里用**真实 loop + 真实摄取层**验证新增的
|
||||
// reason 字段本身的产生与运送，并额外钉住「extracted 时该键缺席」。
|
||||
|
||||
// reasonLeakMarker 是反证用的**独特**目录名：它只出现在真实盘上路径里，
|
||||
// 因此「响应体里搜不到它」就是「原因文案没有把路径透给客户端」的直接证据。
|
||||
const reasonLeakMarker = "cyrene-reason-leak-marker"
|
||||
|
||||
// reasonStubAdapter 是最小模型适配器：记下请求、回一句文本，使真实 loop 能走完
|
||||
// 一个回合（与 documents 包的 recordingAdapter 同职责，网关侧独立一份）。
|
||||
type reasonStubAdapter struct{ reqs []model.Request }
|
||||
|
||||
func (a *reasonStubAdapter) Name() string { return "reason-stub" }
|
||||
|
||||
func (a *reasonStubAdapter) Chat(_ context.Context, req model.Request, _ model.Options) (model.Response, error) {
|
||||
a.reqs = append(a.reqs, req)
|
||||
return model.Response{Model: "stub", Content: "看过了"}, nil
|
||||
}
|
||||
|
||||
func (a *reasonStubAdapter) ChatStream(ctx context.Context, req model.Request, _ func(model.StreamEvent)) (model.Response, error) {
|
||||
return a.Chat(ctx, req, model.Options{})
|
||||
}
|
||||
|
||||
// scanPDFBytes 现场拼出一份**合法但无文本层**的 PDF（一页；内容流只画一个矩形，
|
||||
// 不含任何文本算子）—— 它就是「图片型/扫描件 PDF」在抽取器眼里的样子。
|
||||
// 不下载、不引入二进制资源（与 documents 包的 buildPDF 同一思路，这里只需这一种
|
||||
// 形态，故不搬那套完整夹具）。
|
||||
func scanPDFBytes(t *testing.T) []byte {
|
||||
t.Helper()
|
||||
// 页内容流：q 保存状态 → 设填充色 → 画矩形 → Q 恢复状态。没有任何 Tj/TJ。
|
||||
content := "q 0 0 1 rg 100 100 200 200 re f Q"
|
||||
objs := []string{
|
||||
"<< /Type /Catalog /Pages 2 0 R >>",
|
||||
"<< /Type /Pages /Kids [3 0 R] /Count 1 >>",
|
||||
"<< /Type /Page /Parent 2 0 R /MediaBox [0 0 300 300] /Contents 4 0 R >>",
|
||||
fmt.Sprintf("<< /Length %d >>\nstream\n%s\nendstream", len(content), content),
|
||||
}
|
||||
var b bytes.Buffer
|
||||
b.WriteString("%PDF-1.4\n")
|
||||
offsets := make([]int, len(objs)+1)
|
||||
for i, body := range objs {
|
||||
offsets[i+1] = b.Len()
|
||||
fmt.Fprintf(&b, "%d 0 obj\n%s\nendobj\n", i+1, body)
|
||||
}
|
||||
xrefAt := b.Len()
|
||||
fmt.Fprintf(&b, "xref\n0 %d\n0000000000 65535 f \n", len(objs)+1)
|
||||
for i := 1; i <= len(objs); i++ {
|
||||
fmt.Fprintf(&b, "%010d 00000 n \n", offsets[i])
|
||||
}
|
||||
fmt.Fprintf(&b, "trailer\n<< /Size %d /Root 1 0 R >>\nstartxref\n%d\n%%%%EOF\n", len(objs)+1, xrefAt)
|
||||
return b.Bytes()
|
||||
}
|
||||
|
||||
// documentReasonEnv 搭一套**全真**的装配：真数据目录、真摄取层、真 loop、真
|
||||
// 历史存储、真 HTTP 服务。返回服务地址、token 与两份文档的存储名。
|
||||
func documentReasonEnv(t *testing.T) (baseURL, tok, scanName, textName, dataDir string) {
|
||||
t.Helper()
|
||||
dataDir = filepath.Join(t.TempDir(), reasonLeakMarker)
|
||||
scanName = storeGatewayDocument(t, dataDir, string(scanPDFBytes(t)), ".pdf")
|
||||
textName = storeGatewayDocument(t, dataDir, "季度报告：营收增长 12%。\n", ".txt")
|
||||
|
||||
resolver := documents.NewResolver(documents.Config{
|
||||
DataDir: dataDir,
|
||||
UploadsDir: filepath.Join(dataDir, "uploads", documentSubDir),
|
||||
})
|
||||
ag, err := agent.New("你是助手。", nil, nil, agent.WithModel(&reasonStubAdapter{}, nil))
|
||||
if err != nil {
|
||||
t.Fatalf("agent.New: %v", err)
|
||||
}
|
||||
run := loop.New(loop.Options{Agent: ag, DocumentResolver: resolver, MaxRounds: 1})
|
||||
|
||||
jwt := auth.New(config.AuthConfig{JWTSecret: testSecret})
|
||||
cfg := &config.Config{Auth: config.AuthConfig{AdminUser: "admin", AdminPass: "secret", JWTSecret: testSecret}}
|
||||
srv, err := New(cfg, Deps{Auth: jwt, DataDir: dataDir, Loop: run, History: newGatewayHistoryStore(t)})
|
||||
if err != nil {
|
||||
t.Fatalf("构造网关失败: %v", err)
|
||||
}
|
||||
httpSrv := httptest.NewServer(srv.Handler())
|
||||
t.Cleanup(httpSrv.Close)
|
||||
t.Cleanup(srv.Close)
|
||||
tok, err = jwt.Sign("acct", auth.RoleOwner, time.Hour)
|
||||
if err != nil {
|
||||
t.Fatalf("签发 token 失败: %v", err)
|
||||
}
|
||||
return httpSrv.URL, tok, scanName, textName, dataDir
|
||||
}
|
||||
|
||||
// TestDocumentReasonReachesMessagesWire 是本契约 ① 的端到端断言：扫描件 PDF ⇒
|
||||
// `status:"unreadable"` **且**带回原因（文案含「OCR」）；纯文本 ⇒ `extracted` 且
|
||||
// **没有** `reason` 键；整份响应体里搜不到任何路径（反证见 reasonLeakMarker）。
|
||||
func TestDocumentReasonReachesMessagesWire(t *testing.T) {
|
||||
t.Parallel()
|
||||
ts, tok, scanName, textName, _ := documentReasonEnv(t)
|
||||
|
||||
resp, body := doReq(t, http.MethodPost, ts+"/api/v1/chat", map[string]any{
|
||||
"sessionId": history.MainSessionID,
|
||||
"text": "这两份都看看",
|
||||
"documents": []chatDocumentRef{{Name: scanName}, {Name: textName}},
|
||||
}, tok)
|
||||
if resp.StatusCode != http.StatusOK {
|
||||
t.Fatalf("chat status = %d, want 200 (body=%s)", resp.StatusCode, body)
|
||||
}
|
||||
|
||||
resp, body = doReq(t, http.MethodGet, ts+"/api/v1/sessions/"+history.MainSessionID+"/messages", nil, tok)
|
||||
if resp.StatusCode != http.StatusOK {
|
||||
t.Fatalf("messages status = %d, want 200 (body=%s)", resp.StatusCode, body)
|
||||
}
|
||||
docs := userMessageDocuments(t, body, "这两份都看看")
|
||||
if len(docs) != 2 {
|
||||
t.Fatalf("历史接口返回的 documents = %+v, want 2 条", docs)
|
||||
}
|
||||
|
||||
got := map[string]map[string]any{}
|
||||
for _, d := range docs {
|
||||
name, _ := d["name"].(string)
|
||||
got[name] = d
|
||||
}
|
||||
scan, ok := got[scanName]
|
||||
if !ok {
|
||||
t.Fatalf("扫描件的引用不在文档数组里: %+v", docs)
|
||||
}
|
||||
if scan["status"] != history.DocumentStatusUnreadable {
|
||||
t.Fatalf("扫描件 status = %v, want unreadable（这份 PDF 没有文本层）", scan["status"])
|
||||
}
|
||||
reason, ok := scan["reason"].(string)
|
||||
if !ok || reason == "" {
|
||||
t.Fatalf("扫描件的 documents[].reason 缺失或不是字符串: %+v（契约 v0.63 要求读不到时给出原因）", scan)
|
||||
}
|
||||
if !strings.Contains(reason, "OCR") {
|
||||
t.Fatalf("扫描件 reason = %q, want 含「OCR」（需要 OCR 才是这份 PDF 的真实原因）", reason)
|
||||
}
|
||||
|
||||
text, ok := got[textName]
|
||||
if !ok {
|
||||
t.Fatalf("纯文本的引用不在文档数组里: %+v", docs)
|
||||
}
|
||||
if text["status"] != history.DocumentStatusExtracted {
|
||||
t.Fatalf("纯文本 status = %v, want extracted", text["status"])
|
||||
}
|
||||
if _, present := text["reason"]; present {
|
||||
t.Fatalf("extracted 的文档不得带 reason（该键必须缺席）: %+v", text)
|
||||
}
|
||||
|
||||
// 反证：原因文案（乃至整份响应）里没有任何路径信息。marker 只存在于盘上路径
|
||||
// （`<TempDir>/cyrene-reason-leak-marker/uploads/documents/…`），一旦原始错误
|
||||
// （「open …\cyrene-reason-leak-marker\uploads\documents\….pdf:」）被透出，这里
|
||||
// 必然命中。**刻意不断言「不含 `/`」**：诚实原因文案本身就用它分隔
|
||||
// 「图片型/无文本层」，那是文案的一部分，不是路径。
|
||||
if strings.Contains(string(body), reasonLeakMarker) {
|
||||
t.Fatalf("响应体里出现了盘上路径片段: %s", body)
|
||||
}
|
||||
for _, leak := range []string{reasonLeakMarker, "uploads", string(filepath.Separator) + "documents"} {
|
||||
if strings.Contains(reason, leak) {
|
||||
t.Fatalf("reason = %q 含路径片段 %q，原因文案里不得有路径", reason, leak)
|
||||
}
|
||||
}
|
||||
if strings.Contains(reason, scanName) {
|
||||
t.Fatalf("reason = %q 含存储名之外的引用信息（存储名本身已在同一元素的 name 键里）", reason)
|
||||
}
|
||||
}
|
||||
|
||||
// userMessageDocuments 取出内容为 content 的那条用户消息的 documents 数组（**按
|
||||
// 原始 JSON 对象**解，使「键到底在不在」可断言 —— 解进结构体会把「缺席」与
|
||||
// 「空串」抹成同一个值）。
|
||||
func userMessageDocuments(t *testing.T, body []byte, content string) []map[string]any {
|
||||
t.Helper()
|
||||
var envelope struct {
|
||||
Data []struct {
|
||||
Role string `json:"role"`
|
||||
Content string `json:"content"`
|
||||
Documents []map[string]any `json:"documents"`
|
||||
} `json:"data"`
|
||||
}
|
||||
if err := json.Unmarshal(body, &envelope); err != nil {
|
||||
t.Fatalf("unmarshal messages: %v (body=%s)", err, body)
|
||||
}
|
||||
for _, m := range envelope.Data {
|
||||
if m.Role == history.RoleUser && m.Content == content {
|
||||
return m.Documents
|
||||
}
|
||||
}
|
||||
t.Fatalf("历史里没有找到内容为 %q 的用户消息 (body=%s)", content, body)
|
||||
return nil
|
||||
}
|
||||
@@ -16,7 +16,7 @@ import (
|
||||
// 列 —— 两段式是刻意的，也是客户端能看到「昔涟读不到这个文件」的唯一路径。
|
||||
//
|
||||
// 三条纪律：
|
||||
// - 只补结论（status/chars/truncated），身份与大小逐字保留；
|
||||
// - 只补结论（status/chars/truncated 与 unreadable 的 reason），身份与大小逐字保留；
|
||||
// - 按**服务端存储名**匹配，匹配不到就原样留着（凭空给它一个结论就是编造）；
|
||||
// - 找不到行、存储未实现该视图、写库失败一律带来源 WARN，绝不静默。
|
||||
//
|
||||
@@ -103,6 +103,9 @@ func (o *Orchestrator) takeTurnDocuments(sessionID string, gen uint64) ([]histor
|
||||
// 消息的 document 列（design/24 §4.4/§6.1）。它由 completeTurn 在助手回复落库
|
||||
// 之后、状态机迁移之前调用，因此结论与该回合的对话内容一起同批入账。
|
||||
//
|
||||
// 回写的是 status/chars/truncated 与 unreadable 的原因文案（reason，契约
|
||||
// v0.63）—— 之后所有读取面（历史接口 / 握手回放）拿到的是同一份结论。
|
||||
//
|
||||
// 找不到对应行（ErrMessageNotFound）、存储未接该视图、列被写坏、写库失败时都
|
||||
// **不静默**：打一条带来源的 WARN 说明「状态未回写」。日志只带会话、消息 id、
|
||||
// 条数与错误，**绝不带正文**，也不带列内容。
|
||||
@@ -151,10 +154,13 @@ func (o *Orchestrator) persistDocumentStatus(sessionID string, gen uint64, res *
|
||||
}
|
||||
|
||||
// mergeDocumentStatus 把本回合解析到的结论按存储名并进已落库的引用数组：匹配到
|
||||
// 的补上 status/chars/truncated，没匹配到的原样保留（那意味着本回合没有解析到
|
||||
// 它，凭空给它一个结论就是编造）。第二个返回值报告是否真的补进了新结论 ——
|
||||
// 的补上 status/chars/truncated/reason，没匹配到的原样保留（那意味着本回合没有
|
||||
// 解析到它，凭空给它一个结论就是编造）。第二个返回值报告是否真的补进了新结论 ——
|
||||
// 没变化就不必写库、也不必刷一条「什么都没变」的日志。
|
||||
//
|
||||
// reason 与 status 同批搬运（契约 v0.63）：抽取结论的这三项 + 原因文案是同一个
|
||||
// 回合的同一份事实，分两次写会让客户端看到「unreadable 但没有理由」的中间态。
|
||||
//
|
||||
// 列被写坏时返回包装了 history 哨兵的错误，由调用方按「不静默」处理。
|
||||
func mergeDocumentStatus(raw string, resolved []history.DocumentRef) (string, bool, error) {
|
||||
refs, err := history.DecodeDocuments(raw)
|
||||
@@ -173,10 +179,12 @@ func mergeDocumentStatus(raw string, resolved []history.DocumentRef) (string, bo
|
||||
if !ok {
|
||||
continue
|
||||
}
|
||||
if refs[i].Status == got.Status && refs[i].Chars == got.Chars && refs[i].Truncated == got.Truncated {
|
||||
if refs[i].Status == got.Status && refs[i].Chars == got.Chars &&
|
||||
refs[i].Truncated == got.Truncated && refs[i].Reason == got.Reason {
|
||||
continue
|
||||
}
|
||||
refs[i].Status, refs[i].Chars, refs[i].Truncated = got.Status, got.Chars, got.Truncated
|
||||
refs[i].Status, refs[i].Chars, refs[i].Truncated, refs[i].Reason =
|
||||
got.Status, got.Chars, got.Truncated, got.Reason
|
||||
changed = true
|
||||
}
|
||||
if !changed {
|
||||
|
||||
@@ -114,12 +114,15 @@ func TestMergeDocumentStatus(t *testing.T) {
|
||||
raw, err := history.EncodeDocuments([]history.DocumentRef{
|
||||
{Name: "aaa.txt", MIME: "text/plain", Size: 1},
|
||||
{Name: "bbb.pdf", MIME: "application/pdf", Size: 2},
|
||||
{Name: "ccc.txt", MIME: "text/plain", Size: 3},
|
||||
})
|
||||
if err != nil {
|
||||
t.Fatalf("encode: %v", err)
|
||||
}
|
||||
const scanReason = "无法抽取正文：这是图片型/无文本层 PDF，需要 OCR 才能读（当前未做）"
|
||||
merged, changed, err := mergeDocumentStatus(raw, []history.DocumentRef{
|
||||
{Name: "aaa.txt", Status: history.DocumentStatusExtracted, Chars: 42, Truncated: true},
|
||||
{Name: "bbb.pdf", Status: history.DocumentStatusUnreadable, Reason: scanReason},
|
||||
})
|
||||
if err != nil {
|
||||
t.Fatalf("merge: %v", err)
|
||||
@@ -131,17 +134,26 @@ func TestMergeDocumentStatus(t *testing.T) {
|
||||
if err != nil {
|
||||
t.Fatalf("decode merged: %v", err)
|
||||
}
|
||||
if len(refs) != 2 {
|
||||
t.Fatalf("refs = %+v, want 2 条（没匹配到的原样保留）", refs)
|
||||
if len(refs) != 3 {
|
||||
t.Fatalf("refs = %+v, want 3 条（没匹配到的原样保留）", refs)
|
||||
}
|
||||
if refs[0].Status != history.DocumentStatusExtracted || refs[0].Chars != 42 || !refs[0].Truncated || refs[0].MIME != "text/plain" || refs[0].Size != 1 {
|
||||
t.Fatalf("refs[0] = %+v, want 结论补上且身份不变", refs[0])
|
||||
}
|
||||
if refs[1].Status != "" || refs[1].Name != "bbb.pdf" {
|
||||
t.Fatalf("refs[1] = %+v, want 原样保留（本回合没解析到它）", refs[1])
|
||||
// v0.63：reason 与 status 同批回写，客户端因此不会看到「unreadable 但没有理由」。
|
||||
if refs[1].Status != history.DocumentStatusUnreadable || refs[1].Reason != scanReason {
|
||||
t.Fatalf("refs[1] = %+v, want unreadable + 原因文案", refs[1])
|
||||
}
|
||||
if refs[2].Status != "" || refs[2].Reason != "" || refs[2].Name != "ccc.txt" {
|
||||
t.Fatalf("refs[2] = %+v, want 原样保留（本回合没解析到它）", refs[2])
|
||||
}
|
||||
|
||||
if _, changed, err := mergeDocumentStatus(merged, []history.DocumentRef{{Name: "aaa.txt", Status: history.DocumentStatusExtracted, Chars: 42, Truncated: true}}); err != nil || changed {
|
||||
// 结论与原因都补齐后，同一批再合一次必须报「无变化」——reason 也是变化判据的
|
||||
// 一部分（否则每回合都会因为空 reason 而重写一次）。
|
||||
if _, changed, err := mergeDocumentStatus(merged, []history.DocumentRef{
|
||||
{Name: "aaa.txt", Status: history.DocumentStatusExtracted, Chars: 42, Truncated: true},
|
||||
{Name: "bbb.pdf", Status: history.DocumentStatusUnreadable, Reason: scanReason},
|
||||
}); err != nil || changed {
|
||||
t.Fatalf("changed = %v, err = %v, want 无变化且无错（不必写库）", changed, err)
|
||||
}
|
||||
if _, _, err := mergeDocumentStatus("{not json", nil); !errors.Is(err, history.ErrBadDocuments) {
|
||||
|
||||
Reference in new issue
Block a user