feat(cyrene,config,loop): 护栏/压缩/身份知识三条落地（P0-5/P0-10/P0-11）+ 身份注入收窄到主人会话
- P0-5 护栏不再是空壳：挂 WithSensitiveInfo(阻断) + 长度上限(输入 262144 / 输出 65536 字符，依据＝
组装完成的请求体量级与「不误伤正常对话」) + 关键词**仅在配置时**挂；正常对话有用例证明放行
- P0-11 上下文压缩默认启用：CONTEXT_MAX_TOKENS 默认 32768（＝loop.DefaultMaxContextTokens，两常量由测试锁死），
0/负 = 关闭（行为退回接线前）；长对话真压缩且摘要消息进请求首位、最近一轮保留
- P0-10 身份说明书（owner.yaml identityFile）注入人格上下文，并且**收窄为仅主人会话**：
· 新增最小钩子 loop.Options.PersonaKnowledgeFor(env)：**按该轮会话环境**解析（不看提示词、不看会话 id），
块只进每轮视图、**不进 messages**（不进 checkpoint、不进记忆提取面）
· 开关 OWNER_IDENTITY_INJECTION：owner_only(默认) / always(仅自测) / off；非法值与读不动 → WARN + 回退默认（不静默）
· **顺手关掉第二条同型泄漏**：channelbridge 群聊参与度判定器的 PersonaPrompt 此前带身份正文 ⇒ 现改为纯人格指令
· 回归：缺文件/目录/未配置逐字节等于旧输出；静态指令与角色池 Instructions() 全不含正文；
文件里点名的陌生账号仍 IsOwner==false（身份知识绝不参与权限判定）
- 复核：build/vet 绿 + cmd/config/loop 包测试绿；四类断言（主人含 / **群聊与陌生人不含** / always·off 两档 /
回归不变）+ 4 条变异反证（含把判定改成恒真 → 提示词里真的出现身份说明书）均已还原
- 未做（登记）：knowledge 块启动时读一次（改文件需重启）；`.env.example` 的 OWNER_IDENTITY_INJECTION 行随后补；
`internal/user/owner.go` 注释与 design/01 §2.2、design/11 §0 待同步
This commit is contained in:
AskaEth committed
1 parent
19f296a2ab
commit
da3a386daf
18 files changed
+1758
-81
No files matched your search
@@ -51,6 +51,8 @@ type Config struct {
|
||||
MCP MCPConfig
|
||||
Capacity CapacityConfig
|
||||
Channels ChannelsConfig
|
||||
Context ContextConfig
|
||||
Guardrail GuardrailConfig
|
||||
}
|
||||
|
||||
// ServerConfig holds the single gateway listener settings.
|
||||
|
||||
@@ -0,0 +1,23 @@
|
||||
package config
|
||||
|
||||
// DefaultContextMaxTokens 是 CONTEXT_MAX_TOKENS 的默认值（32Ki token），与
|
||||
// loop.DefaultMaxContextTokens 取同一个数：项目早已把「上下文溢出压缩预算」
|
||||
// 定为 32K，默认值直接复用它，而不是另起一个数。两处的一致性由
|
||||
// cmd/cyrene/wire_context_test.go 锁定。
|
||||
const DefaultContextMaxTokens = 32768
|
||||
|
||||
// ContextConfig 承载运行时循环的上下文预算（design/04 §1.3 上下文溢出压缩）。
|
||||
// 它与 MCP / Capacity 一样是运行时调优量，由组合根消费。
|
||||
type ContextConfig struct {
|
||||
// MaxTokens 是触发溢出压缩的上下文预算，单位是循环离线估算的 token 数
|
||||
// （CONTEXT_MAX_TOKENS）。**0 或负值 = 关闭压缩**，行为与本条接线前完全
|
||||
// 一致；未配置时用 DefaultContextMaxTokens（即默认启用）。
|
||||
//
|
||||
// 取值依据：默认模型（.env.example 的 gpt-4o）上下文窗口为 128K token，
|
||||
// 32K 只有它的四分之一 —— 既给系统提示词 / 工具 schema / 本轮输出留出
|
||||
// 充足余量（不会把窗口塞到上游静默截断或报错），又比日常对话的实际体量
|
||||
// 大一个量级（正常聊天几乎不触发压缩，宁可不压也不频繁压）。真触发时
|
||||
// compactor 仍保留 50% 预算的近期尾部（含尾部工具结果）并只把更早的轮次
|
||||
// 摘要成一条前导消息，因此不会打断正在进行的对话（design/04 §1.3）。
|
||||
MaxTokens int `env:"CONTEXT_MAX_TOKENS" default:"32768"`
|
||||
}
|
||||
@@ -0,0 +1,16 @@
|
||||
package config
|
||||
|
||||
// GuardrailConfig 承载内容护栏里**由部署方声明**的那一部分（design/04 §5）。
|
||||
//
|
||||
// 敏感信息阻断档与长度上限是代码内定的默认策略（见组合根的
|
||||
// buildGuardrailPipeline），不对外开放配置：它们是安全默认值，不该被
|
||||
// 一次误配置关掉。这里只放内容策略词表 —— 它取决于部署方的场景，
|
||||
// 项目不内置任何词表。
|
||||
type GuardrailConfig struct {
|
||||
// Keywords 是内容策略关键词表（GUARDRAIL_KEYWORDS，逗号分隔）。
|
||||
//
|
||||
// **为空时不挂关键词护栏**：项目绝不硬编一张词表 —— 凭空猜出来的词
|
||||
// 只会误伤正常对话，且没有任何部署方能对它的命中负责。只有显式声明过
|
||||
// 的词才会被拦（大小写不敏感的子串匹配）。
|
||||
Keywords []string `env:"GUARDRAIL_KEYWORDS"`
|
||||
}
|
||||
@@ -0,0 +1,66 @@
|
||||
package config
|
||||
|
||||
import (
|
||||
"fmt"
|
||||
"strings"
|
||||
)
|
||||
|
||||
// OwnerIdentityInjectionEnv 是「主人身份说明书注入范围」开关的环境变量名
|
||||
// （design/11 §0 红线；见 cmd/cyrene/persona_identity.go 的消费点）。
|
||||
const OwnerIdentityInjectionEnv = "OWNER_IDENTITY_INJECTION"
|
||||
|
||||
// 注入范围的三档取值。默认（也是唯一安全的一档）是 OwnerIdentityOwnerOnly：
|
||||
// 只有主人会话能拿到那段知识，群聊与陌生人私聊的上下文里根本不出现。
|
||||
const (
|
||||
// OwnerIdentityOwnerOnly 只在主人会话注入（默认）。
|
||||
OwnerIdentityOwnerOnly = "owner_only"
|
||||
// OwnerIdentityAlways 所有会话都注入，含群聊与陌生人私聊。
|
||||
// 它显式开启红线例外，只应在本地自测/排障时短暂使用。
|
||||
OwnerIdentityAlways = "always"
|
||||
// OwnerIdentityOff 完全关闭注入：连主人会话也没有这段知识。
|
||||
OwnerIdentityOff = "off"
|
||||
)
|
||||
|
||||
// LoadOwnerIdentityInjection 读取注入范围开关，优先级与其余配置完全一致：
|
||||
// 进程环境 > .env > 默认 owner_only。返回值已去空白（空串按默认处理），
|
||||
// 由调用方用 ParseOwnerIdentityInjection 判定合法性 —— 非法值必须被显式
|
||||
// 报告（记日志 + 回退默认），绝不静默生效或静默失效。
|
||||
//
|
||||
// 为什么需要这个读取函数，而不是给 Config 加一个字段：Config 的反射解码器
|
||||
// 只做标量赋值，承载不了「三档 + 非法值判定」的语义；而直接 os.Getenv 会
|
||||
// 让只写在 .env 里的声明被静默忽略（.env 由 parseDotEnv 读进独立 map，
|
||||
// 并不会写回进程环境）。这里复用同一套优先级与同一份 .env 解析，因此两种
|
||||
// 写法都真实生效。envPath 为空表示不看 .env（与 Load 的约定一致）。
|
||||
func LoadOwnerIdentityInjection(envPath string) (string, error) {
|
||||
fromEnv := map[string]string{}
|
||||
if envPath != "" {
|
||||
m, err := parseDotEnv(envPath)
|
||||
if err != nil {
|
||||
return "", fmt.Errorf("config: read %s: %w", envPath, err)
|
||||
}
|
||||
fromEnv = m
|
||||
}
|
||||
raw := strings.TrimSpace(lookupRaw(OwnerIdentityInjectionEnv, OwnerIdentityOwnerOnly, fromEnv))
|
||||
if raw == "" {
|
||||
raw = OwnerIdentityOwnerOnly
|
||||
}
|
||||
return raw, nil
|
||||
}
|
||||
|
||||
// ParseOwnerIdentityInjection 把开关取值判定成三档之一（大小写不敏感，
|
||||
// 允许首尾空白）。空串按默认 owner_only 处理；其余无法识别的取值返回错误，
|
||||
// 由调用方明确回退到 owner_only 并把非法值记进日志。
|
||||
func ParseOwnerIdentityInjection(raw string) (string, error) {
|
||||
switch strings.ToLower(strings.TrimSpace(raw)) {
|
||||
case "", OwnerIdentityOwnerOnly:
|
||||
return OwnerIdentityOwnerOnly, nil
|
||||
case OwnerIdentityAlways:
|
||||
return OwnerIdentityAlways, nil
|
||||
case OwnerIdentityOff:
|
||||
return OwnerIdentityOff, nil
|
||||
default:
|
||||
return OwnerIdentityOwnerOnly, fmt.Errorf(
|
||||
"config: %s=%q is not one of %s|%s|%s",
|
||||
OwnerIdentityInjectionEnv, raw, OwnerIdentityOwnerOnly, OwnerIdentityAlways, OwnerIdentityOff)
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,125 @@
|
||||
package config
|
||||
|
||||
import (
|
||||
"os"
|
||||
"path/filepath"
|
||||
"strings"
|
||||
"testing"
|
||||
)
|
||||
|
||||
// 本文件锁定 OWNER_IDENTITY_INJECTION 的读取与判定（design/11 §0 收窄后的
|
||||
// 开关）：默认档是 owner_only，取值优先级与其余配置一致（进程环境 > .env >
|
||||
// 默认），非法取值**必须报错**，由调用方明确回退并记日志。
|
||||
//
|
||||
// 读环境/写 .env 的用例按本包既有约定**不并行**（unsetEnvForTest 会改动
|
||||
// 进程环境，与并行读取互相干扰）。
|
||||
|
||||
// writeDotEnv 把给定行写进一个临时 .env 并返回路径。
|
||||
func writeDotEnv(t *testing.T, lines ...string) string {
|
||||
t.Helper()
|
||||
path := filepath.Join(t.TempDir(), ".env")
|
||||
if err := os.WriteFile(path, []byte(strings.Join(lines, "\n")+"\n"), 0o600); err != nil {
|
||||
t.Fatalf("write .env: %v", err)
|
||||
}
|
||||
return path
|
||||
}
|
||||
|
||||
// TestLoadOwnerIdentityInjection_DefaultsToOwnerOnly 钉住默认档：没配（进程
|
||||
// 环境与 .env 都没有）时是 owner_only，也就是最安全的一侧。
|
||||
func TestLoadOwnerIdentityInjection_DefaultsToOwnerOnly(t *testing.T) {
|
||||
unsetEnvForTest(t, OwnerIdentityInjectionEnv)
|
||||
|
||||
got, err := LoadOwnerIdentityInjection(filepath.Join(t.TempDir(), "absent.env"))
|
||||
if err != nil {
|
||||
t.Fatalf("LoadOwnerIdentityInjection: %v", err)
|
||||
}
|
||||
if got != OwnerIdentityOwnerOnly {
|
||||
t.Fatalf("默认档 = %q, want %q", got, OwnerIdentityOwnerOnly)
|
||||
}
|
||||
|
||||
mode, perr := ParseOwnerIdentityInjection(got)
|
||||
if perr != nil || mode != OwnerIdentityOwnerOnly {
|
||||
t.Fatalf("Parse(%q) = (%q, %v), want (%q, nil)", got, mode, perr, OwnerIdentityOwnerOnly)
|
||||
}
|
||||
}
|
||||
|
||||
// TestLoadOwnerIdentityInjection_DotEnvApplies 证明只写在 .env 里的声明真实
|
||||
// 生效 —— 这正是不能直接用 os.Getenv 的原因（.env 不写回进程环境，直接读
|
||||
// 会静默忽略用户写在 .env 里的开关）。
|
||||
func TestLoadOwnerIdentityInjection_DotEnvApplies(t *testing.T) {
|
||||
unsetEnvForTest(t, OwnerIdentityInjectionEnv)
|
||||
path := writeDotEnv(t, "# 注释行", OwnerIdentityInjectionEnv+"=always")
|
||||
|
||||
got, err := LoadOwnerIdentityInjection(path)
|
||||
if err != nil {
|
||||
t.Fatalf("LoadOwnerIdentityInjection: %v", err)
|
||||
}
|
||||
if got != OwnerIdentityAlways {
|
||||
t.Fatalf(".env 取值 = %q, want %q", got, OwnerIdentityAlways)
|
||||
}
|
||||
}
|
||||
|
||||
// TestLoadOwnerIdentityInjection_ProcessEnvWins 证明优先级：进程环境压过 .env
|
||||
// （与 internal/config 其余配置同一口径）。
|
||||
func TestLoadOwnerIdentityInjection_ProcessEnvWins(t *testing.T) {
|
||||
unsetEnvForTest(t, OwnerIdentityInjectionEnv)
|
||||
t.Setenv(OwnerIdentityInjectionEnv, OwnerIdentityOff)
|
||||
path := writeDotEnv(t, OwnerIdentityInjectionEnv+"=always")
|
||||
|
||||
got, err := LoadOwnerIdentityInjection(path)
|
||||
if err != nil {
|
||||
t.Fatalf("LoadOwnerIdentityInjection: %v", err)
|
||||
}
|
||||
if got != OwnerIdentityOff {
|
||||
t.Fatalf("进程环境取值 = %q, want %q（进程环境优先于 .env）", got, OwnerIdentityOff)
|
||||
}
|
||||
}
|
||||
|
||||
// TestLoadOwnerIdentityInjection_ReadErrorIsExplicit 钉住「读不动就显式报错」：
|
||||
// 一个不可读的 .env（这里是目录路径）返回错误，绝不悄悄变成默认值 ——
|
||||
// 调用方据此记日志并明确回退。
|
||||
func TestLoadOwnerIdentityInjection_ReadErrorIsExplicit(t *testing.T) {
|
||||
unsetEnvForTest(t, OwnerIdentityInjectionEnv)
|
||||
|
||||
if _, err := LoadOwnerIdentityInjection(t.TempDir()); err == nil {
|
||||
t.Fatal("把目录当 .env 读本应报错，却返回 nil")
|
||||
}
|
||||
}
|
||||
|
||||
// TestParseOwnerIdentityInjection_ThreeModesAndIllegal 钉住三档取值与非法值：
|
||||
// 大小写/空白容忍，空串按默认，其余取值返回**带原始取值的错误**。
|
||||
func TestParseOwnerIdentityInjection_ThreeModesAndIllegal(t *testing.T) {
|
||||
t.Parallel()
|
||||
for _, tc := range []struct {
|
||||
raw string
|
||||
want string
|
||||
}{
|
||||
{raw: "", want: OwnerIdentityOwnerOnly},
|
||||
{raw: OwnerIdentityOwnerOnly, want: OwnerIdentityOwnerOnly},
|
||||
{raw: " OWNER_ONLY ", want: OwnerIdentityOwnerOnly},
|
||||
{raw: "Always", want: OwnerIdentityAlways},
|
||||
{raw: "off", want: OwnerIdentityOff},
|
||||
{raw: " OFF", want: OwnerIdentityOff},
|
||||
} {
|
||||
got, err := ParseOwnerIdentityInjection(tc.raw)
|
||||
if err != nil {
|
||||
t.Fatalf("Parse(%q) 报错: %v", tc.raw, err)
|
||||
}
|
||||
if got != tc.want {
|
||||
t.Fatalf("Parse(%q) = %q, want %q", tc.raw, got, tc.want)
|
||||
}
|
||||
}
|
||||
|
||||
for _, raw := range []string{"everyone", "true", "1", "owner-only", "允许"} {
|
||||
mode, err := ParseOwnerIdentityInjection(raw)
|
||||
if err == nil {
|
||||
t.Fatalf("Parse(%q) 本应报错（非法取值不得静默生效），却返回 %q", raw, mode)
|
||||
}
|
||||
if !strings.Contains(err.Error(), raw) {
|
||||
t.Fatalf("错误信息里没有原始取值 %q: %v", raw, err)
|
||||
}
|
||||
if mode != OwnerIdentityOwnerOnly {
|
||||
t.Fatalf("Parse(%q) 的回退档 = %q, want %q（回退方向必须是最安全一侧）", raw, mode, OwnerIdentityOwnerOnly)
|
||||
}
|
||||
}
|
||||
}
|
||||
Reference in new issue
Block a user