fix(httpclient): 信封 message 默认不进错误，渠道上游自由文本一并收口
信封路径（非 2xx + 信封体、2xx + code!=0）此前把上游 message 经 RedactText 拼进 error，而上游会在 message 里回显被拒的请求正文 —— 她的原话因此进了错误 与调用方日志（M49 探针实测：code 1: invalid content: 她刚才说的那句话 ...）。 - envelope message 改为**默认不带**（新 opt-in WithEnvelopeMessage()，与 trace.UpstreamError 的 message 同一口径）；code 与上游 status 保留， errors.Is 的 ErrAPI / trace.ErrUpstream 链不变。 - opt-in 下统一走单一清洗 upstreamText：压平空白 + trace.RedactTextLimited， 上限 40 rune（比 trace 的 128 短：错误里那句话是提示，不是摘要）。 - plugins/channels 同族出口一并收口（扫过全部，命中 4 处）： telegram description、qq_obv11 msg（错误 + logEchoFailure 日志）、 weixin_ilink CDN x-error-message；qq 的 status 字段改走 trace.ErrorToken 令牌守卫。被剥掉的一律由 status / error_code / retcode 承担分类。 每条新增/改写用例都做过变异验证（把字段拼回去即变红）。
This commit is contained in:
AskaEth committed
1 parent
3a0cc64160
commit
996201c4ed
11 files changed
+432
-127
No files matched your search
@@ -5,9 +5,16 @@
|
||||
// future platforms; existing adapters (Telegram, OneBot) that already carry
|
||||
// their own transport are left untouched.
|
||||
//
|
||||
// It depends only on the standard library and internal/logger. The auth token is
|
||||
// never logged or surfaced in errors. The Authorization scheme is configurable
|
||||
// (default "Bearer" for OAuth2-style tokens; KOOK robots use "Bot").
|
||||
// It depends only on the standard library, internal/logger and internal/runtime/trace.
|
||||
// The auth token is never logged or surfaced in errors. The Authorization scheme is
|
||||
// configurable (default "Bearer" for OAuth2-style tokens; KOOK robots use "Bot").
|
||||
//
|
||||
// The envelope's message is an upstream free-text channel: upstreams echo the rejected
|
||||
// request body into it, and that body holds what she said. It is therefore **not**
|
||||
// carried in errors by default (see WithEnvelopeMessage); code and HTTP status are. The
|
||||
// same rule — code/status stay, free text goes — applies to every channel adapter's own
|
||||
// envelope handling (Telegram description, OneBot msg, iLink CDN x-error-message); see
|
||||
// upstream_text.go.
|
||||
package httpclient
|
||||
|
||||
import (
|
||||
@@ -40,6 +47,9 @@ type Client struct {
|
||||
token string
|
||||
authScheme string
|
||||
log *slog.Logger
|
||||
// keepEnvelopeMessage 是**默认关闭**的开关：信封 message 只有显式 opt-in
|
||||
// （WithEnvelopeMessage）才会进错误文本。零值 = 安全，见该函数的注释。
|
||||
keepEnvelopeMessage bool
|
||||
}
|
||||
|
||||
// Option customizes a Client at construction time.
|
||||
@@ -81,6 +91,23 @@ func WithLogger(l *slog.Logger) Option {
|
||||
}
|
||||
}
|
||||
|
||||
// WithEnvelopeMessage 显式要求把信封的 message 保留在错误文本里。**默认不带**。
|
||||
//
|
||||
// 🔴 默认不带是刻意的，理由与 trace.UpstreamError 的 message 同源：上游会把被拒的输入
|
||||
// 回显在 message 里（KOOK 实测 `invalid content: <她原话>`），于是那句话会随错误进
|
||||
// 调用方的日志。排障真正用得到的分类信息是 `code` 与 `status`，两者**恒在**；message
|
||||
// 只是人话提示。宁可少一条提示，也不让她的原话进日志。
|
||||
//
|
||||
// 只有在你**确认该上游不回显用户内容**时才打开。打开后 message 仍会压平空白、清洗
|
||||
// 凭据形状并截到 maxUpstreamTextRunes（40 rune）—— 上限不像 trace 的 128，是这层没有
|
||||
// 「一屏摘要」的诉求，短到装不下一句正文。
|
||||
//
|
||||
// 函数式选项的形状让最常用的 `New(...)` 天然就是最安全的那个：想放宽必须在这里显式
|
||||
// 写出来，代码评审时一眼可见（与 trace.WithUpstreamMessage 同一个范式）。
|
||||
func WithEnvelopeMessage() Option {
|
||||
return func(c *Client) { c.keepEnvelopeMessage = true }
|
||||
}
|
||||
|
||||
// New builds a Client. With no base URL the caller must pass absolute URLs (via
|
||||
// the Do/Get helpers' path being an absolute URL).
|
||||
func New(opts ...Option) *Client {
|
||||
@@ -133,8 +160,8 @@ func (c *Client) resolve(path string) string {
|
||||
//
|
||||
// 地址在这一层只以来源形态出镜：target 由调用方给（GetJSON 的 query 可能带凭据、
|
||||
// 绝对 path 可能带 user:pass@），完整串既不进错误也不进日志。响应体原文同理 ——
|
||||
// 上游可能把被拒的输入回显在体里，因此 4xx/5xx 只收敛成状态码 + 信封的
|
||||
// code/message（清洗并截断），其余字节一概不留。
|
||||
// 上游可能把被拒的输入回显在体里，因此 4xx/5xx 只收敛成状态码 + 信封的 code
|
||||
// （message 默认不带，见 WithEnvelopeMessage），其余字节一概不留。
|
||||
func (c *Client) do(ctx context.Context, method, target string, body any) (json.RawMessage, error) {
|
||||
host := trace.HostOf(target)
|
||||
var buf bytes.Buffer
|
||||
@@ -168,7 +195,7 @@ func (c *Client) do(ctx context.Context, method, target string, body any) (json.
|
||||
return nil, fmt.Errorf("httpclient: read %s %s response: %w", method, host, trace.URLCause(err))
|
||||
}
|
||||
if resp.StatusCode < 200 || resp.StatusCode >= 300 {
|
||||
return nil, apiFailure(method, host, resp, raw)
|
||||
return nil, c.apiFailure(method, host, resp, raw)
|
||||
}
|
||||
|
||||
var envelope APIEnvelope
|
||||
@@ -176,36 +203,49 @@ func (c *Client) do(ctx context.Context, method, target string, body any) (json.
|
||||
return raw, nil
|
||||
}
|
||||
if envelope.Code != 0 {
|
||||
return nil, fmt.Errorf("httpclient: %s %s: code %d: %s: %w",
|
||||
method, host, envelope.Code, envelopeMessage(envelope.Message), ErrAPI)
|
||||
if detail := c.envelopeDetail(envelope.Message); detail != "" {
|
||||
return nil, fmt.Errorf("httpclient: %s %s: code %d: %s: %w",
|
||||
method, host, envelope.Code, detail, ErrAPI)
|
||||
}
|
||||
return nil, fmt.Errorf("httpclient: %s %s: code %d: %w", method, host, envelope.Code, ErrAPI)
|
||||
}
|
||||
return envelope.Data, nil
|
||||
}
|
||||
|
||||
// apiFailure 把一次非 2xx 响应收敛成一条不携带响应体原文的错误：来源主机 + 状态码，
|
||||
// 外加（当体确实是 `{code,message}` 信封时）清洗并截断过的 code/message。其余字节只
|
||||
// 经 trace.UpstreamError 留下体积与 sha256 前缀，供「是不是同一份报文」这类相关性判断。
|
||||
func apiFailure(method, host string, resp *http.Response, raw []byte) error {
|
||||
// 外加（当体确实是 `{code,message}` 信封时）code —— message 同样只在显式 opt-in 时
|
||||
// 才出现。其余字节只经 trace.UpstreamError 留下体积与 sha256 前缀，供「是不是同一份
|
||||
// 报文」这类相关性判断。
|
||||
func (c *Client) apiFailure(method, host string, resp *http.Response, raw []byte) error {
|
||||
upstream := trace.UpstreamError(host, resp.StatusCode, resp.Header.Get("Content-Type"), raw)
|
||||
var envelope APIEnvelope
|
||||
if err := json.Unmarshal(raw, &envelope); err == nil {
|
||||
message := envelopeMessage(envelope.Message)
|
||||
detail := c.envelopeDetail(envelope.Message)
|
||||
switch {
|
||||
case envelope.Code != 0 && message != "":
|
||||
case envelope.Code != 0 && detail != "":
|
||||
return fmt.Errorf("httpclient: %s %s: code %d: %s: %w: %w",
|
||||
method, host, envelope.Code, message, upstream, ErrAPI)
|
||||
method, host, envelope.Code, detail, upstream, ErrAPI)
|
||||
case envelope.Code != 0:
|
||||
return fmt.Errorf("httpclient: %s %s: code %d: %w: %w", method, host, envelope.Code, upstream, ErrAPI)
|
||||
case message != "":
|
||||
return fmt.Errorf("httpclient: %s %s: %s: %w: %w", method, host, message, upstream, ErrAPI)
|
||||
case detail != "":
|
||||
return fmt.Errorf("httpclient: %s %s: %s: %w: %w", method, host, detail, upstream, ErrAPI)
|
||||
}
|
||||
}
|
||||
return fmt.Errorf("httpclient: %s: %w: %w", method, upstream, ErrAPI)
|
||||
}
|
||||
|
||||
// envelopeMessage 是信封 message 进入错误前的唯一处理：压平空白，再交给
|
||||
// trace.RedactText —— 它既清洗凭据形状，也把长度压到 80 rune（超出的带省略号）。
|
||||
// 上游常把被拒的输入回显在 message 里，因此这一层不是可选的。
|
||||
func envelopeMessage(s string) string {
|
||||
return trace.RedactText(strings.Join(strings.Fields(s), " "))
|
||||
// envelopeDetail 返回**允许进错误文本**的信封 message：默认空串（不带）。
|
||||
//
|
||||
// 为什么默认不带（这条取舍是实测得出的）：上游会把被拒的请求正文回显在 message 里，
|
||||
// 而那条正文就是她的话。M49 复审的探针在隔离副本里拿到的实际文本是
|
||||
// `... code 1: invalid content: 她刚才说的那句话: ...: status=400` —— 她的原话既进了
|
||||
// 错误也进了调用方的日志。排障需要的是 code 与 status（两者恒在），不是那句话。
|
||||
//
|
||||
// 只有 WithEnvelopeMessage() 显式打开后，这里才返回 upstreamText（压平空白 + 凭据打码
|
||||
// + 截到 40 rune）。
|
||||
func (c *Client) envelopeDetail(message string) string {
|
||||
if !c.keepEnvelopeMessage {
|
||||
return ""
|
||||
}
|
||||
return upstreamText(message)
|
||||
}
|
||||
Reference in new issue
Block a user