44 Commits

Include renames

Author	SHA1	Message	Date
AskaEth	987cefdf28	fix(embedding): 端点地址规范化 + 独立短超时（治入库审查整条超时） ... 背景：入库前审查链路一直整条超时（日志每 ~20s 一条 WARN），异步那层 （含刚装好的 T1）从未成功跑过。 - 新增 endpoint.go：把「连接语义上不可靠」的回环别名规范化成 127.0.0.1 （localhost 大小写不敏感 / 0.0.0.0 / 空主机），只替换 Host，不碰 path / query / fragment / userinfo；显式 [::1] 与真实主机名逐字不动 - Embed 加独立短超时 DefaultRequestTimeout = 5s（远小于审查 20s 预算）： 卡住的调用快速失败并走既有「降级到词项余弦」的路径，把预算留给 T1 - .env.example 示例地址 localhost -> 127.0.0.1（未注释行键数 69 -> 69，无增删） - 跨包测试钉住 5s 严格小于审查总预算 诚实边界（子代理实测，推翻了主代理原先的 IPv6 根因推断）： - Go 客户端走 localhost 实测约 57ms、curl 约 0.2s ⇒「localhost -> ::1 等满 20s 预算」这条链不成立；更可能是单槽 llama.cpp 的吞吐/争用 （一批 64 条约 2.1~2.9s，审查 201 条约 8~10s，再叠 T1 8s 顶满预算） - 规范化在任何环境下都无害，5s 快速失败对这个真因对症；但真因 （容量/争用）需要另排切片，已记入工作小结	2026-10-07 16:22:28 +08:00
AskaEth	c68387a69a	feat(search): 面板上终于能改「结果条数上限」（原来改了会被静默丢弃） ... 真缺陷（上一片登记）：`maxResults` 在面板上**根本改不了** —— ① 字段表里没有这个 字段（UI 不显示输入框）；② `saveProvider` 只并 provider/apiKey/baseUrl/enabled； ③ `mergeSelectionPatch` 只处理 primary/fallback ⇒ **手工塞进 values 也会被静默丢弃** （文件不变、也不报错）。「我改了它却没变」正是要消灭的那种假话。 - `panel.go`：表单加 `{Key: FieldMaxResults, Type: sdk.FieldNumber, Min: 1}`（**SDK 本就有 数字类型**，未自造；前端本就渲染 number ⇒ **不需要改前端**）。刻意不设 `Default` （设了会让一次「只改 key」的保存把默认值固化进文件、还可能盖掉 `.env`）。 - `websearch_selection.go`：`mergeSelectionPatch` 里按**三态**落 `maxResults` —— 缺位/null ⇒ **不改动**；正整数（含整数字符串）⇒ 采用；0/负数/小数/空串/非数/ 布尔/数组 ⇒ **400 `invalid_payload`** 且**盘上一字节不动**（绝不静默忽略）。 - `reauth` 回填该值（否则一保存就把上限清掉）。 - `.env.example`：该键的示例值与「默认 5」注释同步为 **10**（代码默认已改；⚠️ `.env` 未动）。 验收（主会话复跑 + 亲自变异）：**整树 `go build ./...` 通过**；三包 vet/测试绿； 端到端「面板存 20 ⇒ 模型要 50 也只给 20、要 3 给 3」（走真 action hub → 落盘 → 热重载 → WithSearchMaxResults → 真 dispatcher，未重启后端）； 我用 -overlay 把 `f.MaxResults = maxResults` 摘掉 ⇒ 两条用例变红 （「面板给的值必须真的落盘」/「回填的 maxResults = 5, want 20」）。 ⚠️ 已知取舍（如实登记）：**清空输入框 = 400**（后端按「非数 ⇒ 报错」拒），因此面板上 没有「去掉上限」的手势 —— 要回到 `.env` 兜底得改文件；要支持「清空 = 去掉覆盖」 需另定哨兵语义，未自行发挥。 ⚠️ 契约面已变更（面板声明多一个 number 字段 + saveProvider 的 values 多一个可写键 + 响应多一个回显键）⇒ 主会话登记。	2026-10-07 11:10:56 +08:00
AskaEth	3d7af019d4	docs(env): .env 冻结为「只保证最小化功能可跑」的引导面（主人红线） ... - 撤出今日新增的 env 键：MEMORY_REVIEW_*（我加的 4 键）与 MEMORY_TIDY_COMPARE_LIMIT （MT-A 加的 1 键）⇒ 代码默认值 2000 / true / 256 / 200 / 20 仍然生效，行为零变化 - 既有条目保持现状：MEMORY_TIDY_CANDIDATE_LIMIT 的默认值 20→200 属**既有键**的如实更新， 模板必须跟（冻结不等于让文档说谎） - AGENTS §10 的协同 E6 改写：原「新 env 键必须同步模板」作废 ⇒ 「新键不进模板； 确属最小化引导必需者须主人明确批准」；既有键与既有 env: tag 保持现状（不迁移）	2026-10-06 08:23:48 +08:00
AskaEth	6e28b38b08	feat(memory): 护栏抬高+时间预算闸+试算加性异步 与 D3 入库前审查（耦合两片一起落） ... 【MT-A：护栏 + 诚实截断 + 试算异步】 - maxTidyCompareItems 400(写死)→2000 并开放为 MEMORY_TIDY_COMPARE_LIMIT； MEMORY_TIDY_CANDIDATE_LIMIT 默认 20→200（语义不变，仍每分区） - 依据是首跑实测：459 条的分区被 400 截断 ⇒ compared(705) < scanned(784)， 候选数(77)由上限而不是规则决定；三处上限的 WARN 都补齐了总数/上限/分区名 - 新增「上限 + 时间预算」双闸（实测 2000 条/分区 ≈234s > 3 分钟墙钟）： 整分区跳过 / 两两比对中途收手，一律如实记 (budget) + WARN - ?async=1 ⇒ 202 {runId,status}；GET …/{runId} 轮询（writeAuth 同档）； done 的 result 与同步 data 逐字节同形；并发=复用既有 runId、TTL 30min 自完成起算、 重启即如实 404 tidy_run_not_found；不带 async 时同步路径逐字不变 【MT-B：D3 入库前审查（design/23 §15.1）】 - 新记忆经 Store.Add（仓库里唯一 INSERT INTO memory_items）落库后，由独立记忆管理 会话（sess-memorytidy）在有界后台队列异步判定 skip/merge/modify/create - 软合并回写（status + merged_into/merged_from/merge_count，可 revert、绝不改 content） - 隔离来源（群聊/陌生人）**概不审查**、召回/超时失败**零改写**（fail-safe 结构性成立） - 写入侧仅 +62.7µs/条（非阻塞入队）；默认 ENABLED=true（主人裁定：入库前先审查） 【耦合说明（重要）】两片同包且互相依赖：MT-B 的 preinsert_recall.go 用 MT-A 的 collectTidyPairs 新签名 + tidyBudget ⇒ **各自单独都 build 不过**，故一并落地。 MT-A 为让整包编译，最小幅度适配了 MT-B 的 preinsert_recall.go / preinsert_test.go （零值预算=行为不变；符号重名改名）。 【我的验收】隔离 worktree（37 文件）build/vet/linux/darwin 全过，切片包全绿； 我亲手打红两个变异：① 去掉 (compare) 截断标记 ⇒ TestTidyCompareLimit_HitIsLoud 红； ② 中和隔离来源守卫 ⇒ TestReviewRestrictedSourceIsNeverTouched 红。 唯一红是 internal/runtime/tool 的两条超时用例（该包无人改）⇒ 主仓库 -count=8 全绿， 判定为负载敏感 flake（当时两个整树验收 + 子代理并发），已记入开发习惯与约定 §7。 .env.example 补 MEMORY_REVIEW_* 四键（MT-B 无该文件权限，由我按其代码语义补写）。	2026-10-06 08:04:12 +08:00
AskaEth	6233ece1fa	docs(env): .env.example 统一收两片新键（BT1 静默间隔 + WS1-B 搜索 provider 15 键） ... 两片共用该文件 ⇒ 按既有教训（多片共用文件不拖到批次末、也不逐片吞并）单独一处提交；键名与代码逐字一致（E6 自查：WEB_SEARCH_* 代码 15 ↔ 模板 15）。	2026-10-05 22:38:21 +08:00
AskaEth	8e6c77ad10	feat(search): web-search 接线本机 SearXNG 兜底 + 显式开关（她不再拿一把用不了的锤子） ... 主人报的故障：她调 web-search 必失败（no search endpoint configured）。根因两条：组合根从未注入 WithSearchEndpoint + 配置层根本没有搜索配置项。 - internal/config/websearch.go：WEB_SEARCH_ENDPOINT（默认本机兜底 http://127.0.0.1:38471）+ WEB_SEARCH_TIMEOUT；ResolveEndpoint() 三态裁决（可用/显式关闭/非法），非法值启动即报错 - cmd/cyrene/wire_io_tools.go：组合根唯一的 io 选项装配点；端点不可用 ⇒ WithoutSearch() + 带 source 的 WARN（只记键名与原因，不打印 URL 值） - plugins/tools/io：新增 WithoutSearch()（**根本不进注册面** ⇒ 模型看不见）+ WithSearchTimeout()；协议解析逻辑一字未动 - 隐蔽坑（额外查出并修）：SearXNG 对 /?q= 回 308 → /search，重定向那一跳走**共享 SSRF 白名单** ⇒ 只注入端点照样被拦。改为**只给 web-search 一件**加宽自己的客户端与白名单，共享白名单与 http/web-fetch 客户端一字未动（有测试钉住它仍拒绝本机网关地址） - .env.example 新增 2 键 + 注释说明「空串/off/none = 不注册」 - 真机 e2e 两次绿（SearXNG 返回 9 条）；变异：不注入端点 / 关闭态仍注册 / 默认值改错 / 不并入端点主机 / 重定向用共享白名单 ⇒ 5 条全红	2026-10-05 20:29:21 +08:00
AskaEth	a6cb44b8a8	feat(flow): 链路图本地落盘 + 多轮历史回放（design/19 §P3，契约 v0.73） ... 主人要求「链路流程应该有本地数据，不然每次重载之后页面就没数据了」： - 落盘：迁移 0022_flow_graphs（session_id/turn_id/graph_json/时间戳 + 唯一键 upsert）+ internal/runtime/flowgraph（RecordRound/Graph/Latest/Turns/Turn + 保留期 GC） - 写入：loop.EndRound **每轮一条**（锁外深拷贝后写；失败 WARN 且不打印图内容）；只落发布会话白名单（复用 flowSessionAllowed） - 读回：端点加 turnId + source(live/persisted/none) + turns[]（最新在前，空为 []）；**内存优先、miss 才落盘**（最新一轮永远最新） - 前端：flowGraphs 纳入 persistOptions.partialize（**刷新即刻有图**，version 3→4 + migrate）+ 历史轮选择器 + 诚实文案；顺带收 L1 转交的 flow/NodeDetail.tsx 节点日志倒序 - 新 env 键：FLOW_GRAPH_RETENTION=168h / FLOW_GRAPH_GC_INTERVAL=1h - 变异实测：每 span 一行 / 保留期守卫失效 / partialize 去掉 flowGraphs / 去掉内存优先 / 白名单失效 ⇒ 全部打红 - 3 个禁动面文件的纯追加改动（Flow.tsx 挂选择器、FlowSnapshotHint 纠已成假话的文案、其渲染断言随之更新）由主会话裁定认可 - 登记存疑：图桶持久化无体积上限；useFlowTurns 的 effect 无自动化证据（项目无 jsdom）	2026-10-05 16:19:32 +08:00
AskaEth	f9c5b56a2f	docs(env): .env.example 统一收三片改动（X1 允许集注释 / P1 directMsgPerMin / E3+E4 CHANNEL_EVENT_* 三键） ... - 三片各自落地时该文件同时含他片在途行，逐片提交一律排除它，故在这里一次性收（避免任一片吞掉别片的行） - 修一个真实后果：E3+E4 的测试钉住「新 env 键必须同步模板」（AGENTS §10）⇒ 该文件未进 HEAD 时，检出 HEAD 跑全量会在 cmd/cyrene 红两条 - 键名与代码逐字一致；CHANNEL_EVENT_RETENTION/GC_INTERVAL 写 0 或负数 = 关闭清扫，COUNTER_FLUSH 写 0 回落到 30s（后者不是破坏性动作）	2026-10-05 14:14:14 +08:00
AskaEth	91a3209c9b	feat(memory): 记忆整理 v1（design/23）——低峰定期扫描 + 事实包含判定 + 规则否决 + 只产建议队列（不自动应用）	2026-10-05 11:29:36 +08:00
AskaEth	a918819878	feat(channels,voice): IM 各渠道语音消息可被读到（全渠道云端 ASR + 临时熔断） ... 采集面：mediafetch 新增 inline_voice.go（音频白名单，与 documents.ExtAllowed 互不污染； 复用既有来源白名单 / 逐跳校验 / 边读边限 / 超时）；四个适配器零改动。 消费面：channelbridge 在流水线最前端把「语音字节 → 文本」归一并写回 msg.Content； inbound.go 的丢空判据放宽为「无文本且无可用媒体」。 微信优先平台自带转写（Content 非空 ⇒ 不调 ASR，不重复付费）。 降级（主人定的两层）：新增 voice/outcome.go 的 STTOutcome 识破静默档位； errors.go 分类鉴权失败/欠费/限流（CircuitWorthy）；voice_breaker.go 临时熔断 + 退避（TTL 恢复）； 无论是否熔断，消息面都落一行中文诚实提示（绝不静默、绝不留空消息）。 独立短超时：VOICE_STT_TIMEOUT_SEC（默认 20s，同步 .env.example）。 kook 不再把 CDN 地址写进 Content（地址仍在 Media[].URL）。 设计先行：design/06 §1.1/§1.2、design/08 §4.1、design/24 §1.3/§4.2、开源对照清单。 变异 5 条（静默档位不带 Cause / Transcribed 误判 / 熔断恒放行 / ChatText 退化 / 平台文字判据取反）。 诚实边界：实施时官方音频规格尚未抓到 ⇒ MaxVoiceBytes 自定 5 MiB（保守）、采样率仍 16 kHz； 官方规格随后已抓到（10 MB / 5 min；格式含 amr、无 silk），对齐留待下次改动。	2026-10-05 08:32:37 +08:00
AskaEth	be38651ba4	feat(llm): 用量落库 + 只读汇总端点 + 面板用量小卡（契约 v0.64） ... - model 层新增可选 UsageSink（nil ⇒ 逐字不变，既有用例零改动） - 组合根注入 UsageWriter：有界队列 1024 + 单写者 + 批量事务（128/批、2s 兜底）， 队列满丢弃 + 限流 WARN，绝不阻塞模型调用；sink 挂 RuntimeLLM（热重载不断） - 迁移 0017：表 llm_usage（13 列，session_id 可空）+ idx_created_at + idx_session_id - 新端点 GET /api/v1/admin/llm/usage（owner|admin 读；缺省近 24h、上限 90 天、 超限 400 不静默裁剪；hitRate = cacheHit/(cacheHit+cacheMiss)，分母 0 ⇒ 0； 绝不含凭据与正文；未接线/查库失败 ⇒ 500 usage_unavailable） - LLM_USAGE_RETENTION（默认 720h，≤0 = 关闭清理）：启动清一次 + 每小时 - 面板 LLM 页「用量（近 24h）」小卡 + Docs 两份同步 v0.64 - 已知缺口（如实登记）：session_id 恒 NULL，需 loop 侧在请求上打标，留列后接	2026-10-04 22:16:26 +08:00
AskaEth	3ba31b58ff	feat(documents): 引用计数 + 文档/侧车 GC（主人 2.2 裁决；S7） ... - 引用计数真实维护（documents 表唯一写入面）：增减点只有四处 —— history 的 insert / UpdateMessageDocument / DeleteMessage / DeleteSession，且**全在同一事务**内（计数写失败 ⇒ 消息写入整体回滚，有钉住用例）；UpdateMessageDocument 按新旧名字**集合差**增减（三阶段回写是常态，重算会重复计数 ⇒ 文件永远回收不掉）。 - GC：候选 = ref_count = 0；判据 = last_referenced_at（NULL 回落 created_at）早于 now − 保留期；动作 = 删 sidecar + 原件 + 元数据行（删行带 AND ref_count = 0 原子再确认）；路径双检；汇总日志（含实占字节）；单件失败 WARN 并继续；删除顺序 = 先文件后行（失败则行留着下轮重试，不留孤儿）。 - 组合根：启动期清扫一次（不阻塞启动）+ ticker 常驻（可停，close 顺序在关库之前）；env DOCUMENT_GC_INTERVAL 默认 1h / DOCUMENT_RETENTION 默认 168h，**任一 ≤0 = 关闭 GC**（RETENTION=0 不解释成立即回收，关闭时记 WARN）；.env.example 已同步（AGENTS §10）。 - 主会话独立验收：隔离 worktree（S7 的 18 文件，排除 F2 在途的 mcp/vision）build/vet 绿、全树 59 包 0 FAIL、GC/引用用例 20 PASS、双平台交叉编译绿；**变异亲自复现**（候选查询去掉 ref_count = 0 ⇒ TestGCDoesNotDeleteReferencedDocument 红：candidates = 1, want 0）。 - 未做（任务书允许的「只做后端」）：面板手动「清理未引用附件」入口 —— 后端能力已就绪（documents.NewGC + GC.Sweep），接成端点属小切片（含 admin 路由 + 审计 document.gc + 契约登记）。 - 已知窄窗口（已在 gc.go 文件头登记）：一轮 GC 与一次落库几乎同时发生时可能删掉刚被引用的文件（行不删、记 WARN）；坏 document 列只记 WARN 不阻塞消息写入 ⇒ 计数可能偏低（只会让文件**晚**回收，绝不早删）。	2026-10-04 21:01:30 +08:00
AskaEth	137b3e9eaf	fix(guardrail): 输入上限与附件注入预算统一换算（多附件不再被拦） ... - 残留缺口：护栏量整段装配请求（字符），注入预算是单份 ⇒ 1M 窗口下 2×349525 就顶到旧上限 699050、5 份必被拦。根因是两套换算（上限按 1char=1token，注入按 loop 的 4char=1token）。 - 修法：上限 = max(262144, 推导预算 tokens × loop.CharsPerToken) ⇒ 1M 窗口 2,796,200 字符（5 份满额注入 1,747,625 有余量）；不变量升级为「N 份」（maxChatDocumentsPerTurn=5，带出处注释）；WARN 文案升级为多附件口径（max_documents/document_inject_chars/document_inject_total_chars/guardrail_max_input_chars/hint）。 - 同一换算常量复用：在 loop/compactor.go 的既有无导出常量旁加导出别名 loop.CharsPerToken = charsPerToken（2 行、零行为改动、不重命名）—— 这是本切片唯一触及「不要碰」清单的改动，已由主会话复核接受（替代方案是复制一个字面量 4，会重新造出两套换算）。 - 同步陈旧注释（config/guardrail.go、wire_runtime.go 里的旧公式）与 .env.example（新公式 + 多附件口径 + 1M 算例 2796200/1747625），并有「模板 ↔ 代码现算值」的一致性用例。 - 主会话独立验收：隔离 worktree（G2b 的 7 文件，排除 B1/ST1 在途）build/vet 绿、全树 59 包 0 FAIL、护栏用例 17 PASS、双平台交叉编译绿。 - 残留（未修，需裁决）：预算关闭或落在 (0,81920) token 的部署，派生态上限 = 262144 而 5×64K = 327680 ⇒ 满载附件回合仍可能被拦（启动会记 WARN，不静默）；真正的下限应取 max(262144, maxDocs×每份注入)。	2026-10-04 19:41:44 +08:00
AskaEth	51c1672355	fix(guardrail): 输入护栏上限按推导预算派生（修「大附件被拦死」）+ 第 5 条 flake ... - 真 bug：文档注入预算（1M 窗口 ⇒ 349525 字符）> 输入护栏硬编码上限（262144）⇒ 带 744KB 附件的 POST /chat 直接 input_length_exceeded/guardrail_input，整个回合作废（主会话活服务实测）。 - 修法：guardrailMaxInputChars → guardrailMinInputChars(256Ki 下限) + 纯函数 deriveGuardrailInputLimit(log, override, budgetTokens, docInjectChars)：派生值 = max(下限, 推导预算 tokens)（1M ⇒ 699050）；新增 env GUARDRAIL_MAX_INPUT_CHARS（未设/0=派生、>0=覆盖、<0=WARN 回落）；预算只在 wire_context 推导一次并经 buildGuardrailPipeline(ctxBudget) 传入（避免「窗口未声明」WARN 记两遍）；输出上限 65536 刻意不参与派生（有显式回归钉住）。 - 关系不变量：文档注入预算 ≤ 输入上限，人为破坏 ⇒ 一条 WARN（不静默）。 - 第 5 条 flake（exec/TestTerminal_Timeout_Killed）：仅改测试、terminal.go 保持 pristine；根因不是「杀进程失效」而是旧断言的 ~200ms 精度把宿主负载下的进程创建耗时算了进去（重压下 cmd.Start 会直接返回 deadline exceeded，红行却报 process not killed）⇒ 改为「控制组证明同命令不设短超时正常退出」的确定性证明 + 把墙钟断言降级为 10s 语义判别界（子进程自然存活期拉到 30s）。 - 主会话独立验收：隔离 worktree（G2 的 10 个文件，排除 M1 在途的 wire_channels.go）build/vet 绿、全树 59 包 0 FAIL、双平台交叉编译绿、Guardrail* 全 PASS、exec -count=20 绿；变异独立复现（把派生值退回硬编码 ⇒ 4 条红，含 budget=699050 → 262144）。 - 残留缺口（已排 G2b）：护栏量的是整段装配请求、注入预算是单份 ⇒ ≥2 份各撞注入预算的大附件仍可能被拦。	2026-10-04 19:15:12 +08:00
AskaEth	72b95df22b	feat(config,runtime): 上下文预算按模型窗口推导 + usage/缓存可观测 + sidecar 存全文（T1） ... - 窗口声明：models.json 组级 contextWindow + env LLM_CONTEXT_WINDOW（per-group materialize 播种，0 不写盘、负数报错）。 - 预算三态：CONTEXT_MAX_TOKENS 未设置 ⇒ 按窗口推导；>0 显式覆盖；0|负 关闭压缩（不变）。推导 budget = min(窗口×比例, 窗口−输出保留)，比例默认 2/3（CONTEXT_BUDGET_RATIO，1M ⇒ 699050 tokens ≈ 683Ki）；输出保留 = max(32768, 该组 maxTokens) 且封顶窗口/2（防配置矛盾时退化成 1 token）；窗口未声明 ⇒ 回落 131072 + 恰好一条 WARN。接线在组合根 wire_context.go（唯一决策点）。 - usage/缓存可观测（此前**完全不可观测**）：Response 增 CacheHit/CacheMiss/Reasoning tokens + CacheHitRate；解析 OpenAI 兼容（prompt_cache_hit_tokens/prompt_cache_miss_tokens/cached_tokens/reasoning_tokens）与 anthropic（cache_read_input_tokens/cache_creation_input_tokens）两种形状；记录点在适配器 record（换入口不丢成本日志），日志无凭据；单次输入 ≥预算 90% 记 WARN（不阻断）。 - 根治清单「续读」假承诺：抽取期不再按注入预算截断（sidecar 存全文，只受 MaxSidecarBytes=8 MiB 安全上限，ExtractorVersion v1→v2 旧 sidecar 失效重抽）；注入预算改在装配期生效 ⇒ ref.Chars/Truncated 是注入侧事实、游标真是继续读的起点；document-read 的 limit 上限改为独立具名常量。 - 顺手修越界：config.go 505 行（超 500）拆出 llm.go。 - 主会话独立验收：隔离 worktree（HEAD + 本切片 39 文件，排除在途 gateway）build/vet 绿、全树 59 包 0 FAIL、linux+darwin 交叉编译绿；变异独立复现（比例改 0.25 ⇒ 推导用例红 262144 vs 699050）。	2026-10-04 17:57:08 +08:00
AskaEth	042cd586af	docs(env): .env.example 与实现同步（协同 E6，主会话已独立复核） ... - 补 26 个键：Telegram(2) / OneBot v11(8) / 通用 Webhook(5) / 微信 iLink(5) / CAPACITY_*(3)；全部注释占位符、无任何真实凭据（长串扫描为空）。 - CAPACITY_* 核实为**在用**（internal/config/config.go:351,354,361 + cmd/cyrene/wire_capacity.go），按在用补入并写准「0 = 用代码内默认 0.6」。 - MCP_* 扁平单 server env 模式核实为**无生产调用者**（mcp.Load/FromEnv 只被同包单测调用；生产装配只读 MCP_SERVERS_JSON）⇒ 模板里显式标注「未接线，配了不生效，勿用」。 - 复核：代码键 124 / 模板键 110；模板无孤儿键；comm 差值仅剩 OS 变量/测试 helper/注释误命中共 14 个，逐条已说明；CHANNEL_* 22 键与代码逐字一致。	2026-10-04 17:14:56 +08:00
AskaEth	407c934a05	feat(gateway): 文档存储端点 POST/GET /api/v1/documents（design/24 S1） ... - 字节嗅探唯一裁决 + 扩展名白名单 deny-by-default（23 个文本/代码扩展名）； 客户端 Content-Type 与文件名只作参考、可被否决。 - 内容寻址落盘名 sha256[:32]+ext ⇒ 同字节同扩展名天然去重；首次 201/deduped:false， 命中 200/同一 name/deduped:true。 - 独立限额 CHAT_DOCUMENT_MAX_BYTES（默认 20 MiB，与图片 5 MiB 刻意解耦）+ MaxBytesReader。 - 读侧 Bearer owner|admin + Content-Disposition: attachment + nosniff（与图片读侧刻意不同）； 写侧审计 document.upload；错误码 unsupported_media_type/document_too_large/document_not_found。 - 元数据表 documents（0014，含 idx_documents_name 唯一、idx_documents_sha256）； guardDocumentPaths 防路径穿越（否则 ServeMux 会 307 泄漏路径）。 - 既有 /api/v1/upload 与 /api/v1/files/{name} 零改动（upload.go 零 diff）。 验收（主会话独立复跑，非自报）：隔离 worktree（HEAD + 本切片）go build/vet 绿、 全树 58 包 0 FAIL、linux/amd64 + darwin/arm64 交叉编译绿、9 条新单测 PASS。 变异独立复现 3 条：白名单加 ".js" ⇒ 415 用例红；嗅探裁决一律放行 ⇒ 谎报类型用例红； 摘掉 guardDocumentPaths ⇒ 穿越用例红（307 重定向，正是那道防护存在的理由）。	2026-10-04 17:07:20 +08:00
AskaEth	4adfc9a2df	feat(config): 新增 LLM_MULTIMODAL —— 让 env-only 部署能声明「主模型自身能收图」（默认 false，行为不变） ... - 起因（Android 会话质询）：其测到生效配置 multimodal:false 却与 DeepSeek 视觉文档矛盾。核实结论： **既非设计选择也非漏配，而是 env 路径的表达力限制** —— `data/models.json` 不存在 ⇒ 走 `GroupFromEnv`， 而它此前硬编 false（理由：不得声称端点可能不具备的能力）；该标志的正式载体只有 models.json 组（面板写入）。 后果：env-only 部署里图像**恒走 KindVisionTool**（每回合多一次完整模型调用 + 模型只见文字描述＝有损）。 - 修法：`LLMConfig.Multimodal`（`env:"LLM_MULTIMODAL" default:"false"`）+ `GroupFromEnv` 两个 provider 分叉都接入； **只对 env 合成组生效**（有有效 models.json 时组文件优先，与 LLM_REASONING_KIND 同口径）；非 bool **启动报错**不静默 - 复核：config 包测试绿（5 条：默认不变 / 显式 true 生效且组仍 Validate / 进程 env 端到端 / 非法值 fail-fast / 组文件优先两方向）；**变异 3 条**（分叉写死 false、default 改 true、env 覆盖组文件）均已还原 - 交付给主人的动作：**在 `.env` 写 `LLM_MULTIMODAL=true`** 即可让图直进主模型上下文（改完需重启后端生效）	2026-10-04 16:30:25 +08:00
AskaEth	c96a7db7f1	feat(gateway,config,web,docs): backthink 实时帧显示打扰原因 + 图片上限可配 + api-reference 端点表补齐 ... - 前端：`lib/wsParse.ts` 的 `parseBackthinkItem` 现在也读原始 `PushResult` 的 route/detail/bypassed（兼容 camelCase），与历史 DTO 路径**同名同义**（空串 → undefined、未报告的 bool 不编成 false）； Backthink 页 Notice 改为如实描述。证据＝用后端两条路径的**真实序列化**喂同一个 PushResult 做逐字段比对 - 图片上限可配：`CHAT_IMAGE_MAX_BYTES`（默认 5242880 = 与 /upload 同口径；**未配置/0/负 一律用默认**， 不存在「禁用上限」）；删掉重复的字符常量，换算只留一份 `chatImageCharsFor`；补 3 条用例 （默认值==upload 预算、配 1 MiB 真生效且只有合法那条驱动回合、非正值回落默认） - `Docs/api-reference.md`：§1 端点表按 `routes.go` **补齐**（auth refresh/logout、upload、files、三支 audio、 /admin/plugins/installed、/admin/llm/catalog、observability/logs、notifications、owner-profile、reminders）， 既有编号一律未动（保交叉引用）；两张 `historyMessage` 字段表补 `personaId`（+ `clientMsgId`）； 修正 §8.1「主人档案保存仍 501」与实现不符（已真实实现） - 复核：build/vet 绿 + gateway/config 包测试绿 + 前端 tsc 0 错 + vite build 成功 - 登记：§1 各表的编号跨表重复（不重编号以保交叉引用）；`admin_plugins.go:217` 注释写错鉴权档（未改）； §6.4 的 WS 事件帧表仍未补全	2026-10-04 16:24:36 +08:00
AskaEth	8c6c796a29	docs(api): api-client → v0.56（协同 A2/G2/G3/G4 契约 + 三个环境变量 + 修正两处错误陈述） ... - A2：interrupt 新增 scope（{"","all","current"}），三态语义 + 非法值定向 bad_request； session_interrupted 形状零变化但 dropped 恒为真丢弃数 - G2：stream:true 直达编排器；响应面补 202 {queued} / 409 chat_busy / 503 chat_dispatch_failed； 未接 loop 由 200 改 500 chat_unavailable（行为变更已写明兼容性） - G3：image 解码后 5 MiB 上限 → 400 image_too_large（指路上传）；**如实写明 WS 侧到不了这条判定** （wsReadLimit=4096 传输层直接断连，发真实图片必须「上传 + URL」） - G4：新增可选 clientMsgId（两端）⇒ 幂等；REST 200 {duplicate:true,messageId}、WS 新帧 chat_duplicate （owner+admin，fail-closed）；键回填进 message_persisted/channel_persisted/读接口；迁移 0013 - .env.example + api-client 新增三个环境变量：OWNER_IDENTITY_INJECTION(owner_only 默认) / CONTEXT_MAX_TOKENS(32768；0/负 = 关) / GUARDRAIL_KEYWORDS(留空 = 不挂) - 修正两处错误陈述：api-reference §6.2 与 §6.6 的「OnStream 只填 seq、不带 turnId」（v0.36 起即带 sessionId+turnId，v0.50 起带 streamId）；上传上限 50MB → 5 MiB	2026-10-04 14:42:46 +08:00
AskaEth	da3a386daf	feat(cyrene,config,loop): 护栏/压缩/身份知识三条落地（P0-5/P0-10/P0-11）+ 身份注入收窄到主人会话 ... - P0-5 护栏不再是空壳：挂 WithSensitiveInfo(阻断) + 长度上限(输入 262144 / 输出 65536 字符，依据＝ 组装完成的请求体量级与「不误伤正常对话」) + 关键词**仅在配置时**挂；正常对话有用例证明放行 - P0-11 上下文压缩默认启用：CONTEXT_MAX_TOKENS 默认 32768（＝loop.DefaultMaxContextTokens，两常量由测试锁死）， 0/负 = 关闭（行为退回接线前）；长对话真压缩且摘要消息进请求首位、最近一轮保留 - P0-10 身份说明书（owner.yaml identityFile）注入人格上下文，并且**收窄为仅主人会话**： · 新增最小钩子 loop.Options.PersonaKnowledgeFor(env)：**按该轮会话环境**解析（不看提示词、不看会话 id）， 块只进每轮视图、**不进 messages**（不进 checkpoint、不进记忆提取面） · 开关 OWNER_IDENTITY_INJECTION：owner_only(默认) / always(仅自测) / off；非法值与读不动 → WARN + 回退默认（不静默） · **顺手关掉第二条同型泄漏**：channelbridge 群聊参与度判定器的 PersonaPrompt 此前带身份正文 ⇒ 现改为纯人格指令 · 回归：缺文件/目录/未配置逐字节等于旧输出；静态指令与角色池 Instructions() 全不含正文； 文件里点名的陌生账号仍 IsOwner==false（身份知识绝不参与权限判定） - 复核：build/vet 绿 + cmd/config/loop 包测试绿；四类断言（主人含 / **群聊与陌生人不含** / always·off 两档 / 回归不变）+ 4 条变异反证（含把判定改成恒真 → 提示词里真的出现身份说明书）均已还原 - 未做（登记）：knowledge 块启动时读一次（改文件需重启）；`.env.example` 的 OWNER_IDENTITY_INJECTION 行随后补； `internal/user/owner.go` 注释与 design/01 §2.2、design/11 §0 待同步	2026-10-04 14:30:26 +08:00
AskaEth	a398dc9b92	feat(config,gateway,web): 路径式安全入口 ADMIN_PATH + 数据目录 platform 哨兵（裁决 1.6/16.4.7/12.4.2 + 1.5/12.4.3 核对） ... - 1.6 + 16.4.7：安全入口＝路径式 `/<ADMIN_PATH>`（env `ADMIN_PATH`，默认 `admin`；`xxx/admin` 亦可， 非法值回退 `/admin`）。命中前缀 → 送注入了 `<base href="/">` + `window.__CYRENE_ADMIN_ENTRY__` 的面板入口页 （深链直达）；**形如面板入口但前缀不符 → 404**（不回落用户端聊天壳）；`/api/*`、`/ws`、webhook 先放行 ⇒ **API 不藏**。前端路由改**路径式**（`router.ts` 只读注入，无硬编兜底；移除 hash 入口） - 1.5 / 12.4.3 核对：暴露面默认 `0.0.0.0` 与裁决一致，无需改代码（仅补注释） - 12.4.2：`DATA_DIR` 支持 `platform` 哨兵（大小写不敏感）→ 平台标准目录；默认 `./data` 与显式空值行为不变 （显式空值保持原兜底，避免正在运行实例突然换库） - 复核：build/vet 绿 + config/gateway 包测试绿 + linux/darwin 交叉编译绿；新增 7 条用例， 并用真实构建产物（`webui.Assets()`）跑通「浏览器直开 /admin 能启动面板」（`<base>` 必须在资源引用之前） - 变异 2 条（关掉错前缀 404 / 前端默认前缀兜底）已还原 - ⚠️ 运行时序：前端已生效而后端 hatch 未生效期间**面板打不开** ⇒ 需紧接一次「build 到位 + restart」	2026-10-04 14:00:25 +08:00
AskaEth	58cba0b8d2	docs(api): api-client → v0.53（阶段 5 全部契约）+ api-reference 同步 + .env.example 补 9 键 ... - 新端点 GET /admin/llm/catalog 全契约（200/gzip/503 catalog_unavailable/快照副作用/不进热路径/审计 llm.catalog） - models.json 组级三键：reasoning.kind（形状）+ personaModels/personaProviders（角色级模型/协议路由）， 含「缺省=保留、给出=整块/整表替换」语义、Group.Validate 的 400 口径、回落与 WARN 规则 - GET /admin/llm 新增恒下发的 reasoning 与两个取值域（reasoningKinds/personaProviderOptions） - 语义修正（此前文档写反）：multimodal = 主模型能否收图；LLM_VISION_MODEL/LLM_OCR_MODEL 只配视觉/OCR 工具 - 新工具 image-crop（x/y/width/height、50MiB/16MP/8MiB 上限、越界报错不 clamp、策略默认 owner-only） - 推理开关按形状下发：替换 v0.41「Qwen 只 WARN 不发」；effort 非法值改为丢弃+WARN（不降档）、effort:none 显式关思考 - .env.example 新增 9 键（LLM_REASONING_KIND / LLM_OCR_MODEL / LLM_LOCAL_* / CAPACITY_L3_*），默认均为保守值 - 权限矩阵计数按 routes.go 校正 56→59（owner/admin 只读档 9→10，含 /admin/llm/catalog）	2026-10-04 13:07:09 +08:00
AskaEth	7e7f53bb41	fix(orchestration,loop): 子代理现在真的收到任务（P0）+ 工具白名单 + 超时可配（裁决 02.4.2/02.4.1/02.4.4） ... 执行方案阶段 2 · P2-1。**02.4.2 是最伤的一条 P0**：`spawntool` 从不填 `AgentSpec.Context`、 `scheduler` 把 nil 交给 loop ⇒ 子代理模型上下文 = 角色 system + 记忆召回 + **0 条消息**， goal/attach_info/data 一个字都到不了模型（此前测试用 mock adapter 恒答固定文本，测不出）。 - **02.4.2**：新增 `taskContext/taskUserMessage`（`spec.go`）把 **goal 正文 + attach_info + data 渲染成同一条 user 消息**（`[任务目标]/[附加信息]/[任务数据]` 独立段落）；`Spawn()` 设 `Context: taskContext(spec)`；**system 只保留角色指令**，任务绝不进 system。 真断言（捕获请求体的 adapter + 真 loop/agent）：首请求恰好 **1 条 user 消息**、同时含 goal 与 attach_info，且**所有 system 消息不含 goal 文本**。 - **02.4.1**：`AgentSpec.ToolWhitelist`（nil/空 = 继承全量）；schema 增 `tool_whitelist` （顶层 + 每 task 条目，task 未带时继承批次级）；`scheduler.run()` 经 ctx 传递 + `scopedRunner` 派生；`loop/options.go` **纯增量（+75 / −0）**：`WithToolWhitelist`/ `ToolWhitelistFrom` + `(*Loop).WithToolWhitelist` 派生副本（浅拷贝仅替换 `hooks.CallAdmit`， 链式保留原钩子），名单外调用否决为**软结果**回灌模型。 - **02.4.4**：`SUBAGENT_TIMEOUT_SEC`（默认 600）入 `internal/config` + `.env.example`； 优先级 = 按调用 `timeout_seconds`（1s–24h 校验）> `WithSpawnTimeout`（生产由 cfg 填充）> 调度器 `PerAgentTimeout`（`wire*.go` 仍是 10min 常量，未动）；迟到 span 续根由测试锁定。 验证：**全树 `go build`/`go vet`/`go test ./... -count=1` = 58 包 ok / 0 FAIL**； `GOOS=linux/amd64` + `GOOS=darwin/arm64` 交叉编译绿；前端 `tsc --noEmit` + `npm run build` 绿； 本批文件全部 ≤500 行、函数 ≤80 行。 变异验证（四条，均带还原证明）：① `Context` 改回 `cloneMessages(spec.Context)` → 「1 条 user 消息」断言 FAIL（`user messages = 0`，即 P0 症状）；② `WithToolWhitelist` 原样返回 → 显式白名单测试 FAIL（`alpha executed 1 times despite not being whitelisted`）； ③ `subCtx` 改回全局默认 → 3 个超时测试 FAIL；④ `foldSpanFinish` 丢掉 `SpanFinished` → 迟到 span 状态断言 FAIL。 ⚠️ 已知缺口（**登记，未假装已解决**）：① 无真实模型端到端（全部捕获请求体 mock）； ② 白名单**只挡执行、不过滤工具广告面**（模型仍能看见未列工具，调用即被拒并拿到可读原因； 过滤需改 `loop/request.go`）；③ **迟到 span 的"新一轮已开始"窗口未修**（`loop/flow.go` 的 `StartRound` 会整体替换 `graphs[session]` ⇒ 新轮开始后迟到的 span 仍落进新轮图；需按轮键控图， 属后续）；④ per-role 超时覆盖未实现（需 persona 旋钮管道）。	2026-10-04 11:30:39 +08:00
AskaEth	0de68bc960	fix(model): DeepSeek 推理参数语义反转 + thinking 开关真发（按官方文档核对结果） ... 依据 DevDocs/design/04 §3.2「官方核对后的修正」9 条 + 本地 DevDocs/reference/deepseek/facts-for-cyrene.md（官方原句/URL）。 - 🔴 reasoning_effort 白名单改为官方集合 [none, low, high, max] + 别名映射(minimal→low, medium→high, xhigh→high, ultra→max)；**删除就近降级**，非法值一律丢弃+WARN。此前 none(关思考) 被降级成 low(开思考) 属语义反转 - 🔴 DeepSeek thinking 开关真发顶层 {"thinking":{"type":"enabled|disabled"}}（官方默认 enabled，不传≠关）；此前只打 WARN 导致 mode:off 静默无效 - DeepSeek 的 /anthropic 端点忽略 budget_tokens → 不再对其抬 max_tokens（会误导预算/日志），改为按官方用 output_config.effort - 注释纠正：penalty 属接口级 deprecated（非仅思考模式）；top_p 仅思考模式生效且下限 0.95（不加该字段） - tool_choice 雷登记：思考模式下 required/指定 tool 会 400（思考默认开） - 旧模型名清理（deepseek-chat/reasoner 已于 2026-07-24 停用） - 请求体级测试 + 变异验证（把 none 改回 low / 把 thinking 改回只 WARN → 对应断言 FAIL）	2026-10-03 20:22:31 +08:00
AskaEth	2dee372fb2	feat(backthink/admin): ③b — rag/delete 真实现 + D1 推送出口钩子(自建优先→个推兜底) + api-reference 补 D2/D3/D5 补丁 ... - B5: POST /admin/rag/delete 真做(DeleteDocument→DeleteProject 级联删章节+索引清理, owner+审计, 200/404/500, 500降级兜底); users/iot scenarios+rules 诚实501(无用户表/IoT场景规则模型, 消息写明缺什么, 不伪造), 锁住 501+not_implemented - D1: backthink/push_outlet.go PushExporter{Export}; pushOutlet 自建HTTP(2xx=送达, token仅Authorization头+error脱敏)优先→Getui兜底(未接入, 诚实日志'getui not integrated'+(false,nil)); backthink.Deps.Exporter → pusher.withExporter, Push 在WS/IM后 exportAsync(detached+5s超时, 失败仅日志, 不破坏现有投递, 限流不上报); config PushOutletConfig(PUSH_EXPORTER_* + GETUI_*占位) - 前端 Rag.tsx/api.ts 删除后 reload + 类型; Docs/api-client v0.31 + api-reference(#23 owner/200-404, §8.4, 端点表PATCH/DELETE messages + pinned + messages?q=) - 测试(push_outlet/admin_rag_delete/admin_honest501/knowledge store), 后端+前端build全绿+3平台交叉编译 - 刻意: Getui SDK 未接入(无SDK不硬造), 主人自建服务填 PUSH_EXPORTER_URL/TOKEN 即可	2026-09-09 00:08:29 +08:00
AskaEth	53002f1e11	feat(model): LLM token 预算可配置化 — models.json每模型maxTokens + LLM_FALLBACK_MAX_TOKENS回退兜底 ... - config.go: LLMConfig.FallbackMaxTokens(LLM_FALLBACK_MAX_TOKENS, 默认8192) - runtimeconfig/models.go: Group.MaxTokens(models.json每模型独立预算, 负值拒绝) - model/fallback.go: Chain.WithTokenBudget + applyBudget; runtime.go buildSnapshot接入(active.MaxTokens, env.FallbackMaxTokens) - 优先级: 显式Request.MaxTokens > 组maxTokens > 仅多步链末端的LLM_FALLBACK_MAX_TOKENS > 适配器默认8192; 单步链不动env兜底(避免OpenAI主模型行为回归) - gateway admin: AdminLlmProvider.MaxTokens 透传/回显/负值400 - .env.example + .env(LLM_FALLBACK_MAX_TOKENS=8192); Docs/api-client v0.27 + api-reference + design/04 - 新增测试(config/runtimeconfig/budget_test/admin_write), build/vet/test绿+3平台交叉编译	2026-09-08 22:42:27 +08:00
AskaEth	026b27b310	feat(auth): refresh token 续期(B2) — 不透明哈希+单次旋转+/auth/refresh+/auth/logout ... - auth/refresh.go: RefreshStore(Issue/Rotate/Revoke/RevokeAll/RevokeByUser), SHA-256哈希256-bit随机串, 单次旋转事务(并发重放fail-closed) - 迁移0008_refresh_tokens(id/user_id/role/token_hash UNIQUE/expires_at/revoked_at + 索引) - gateway: POST /v1/auth/refresh(旋转/续期) + /v1/auth/logout(单/全设备); login响应增refreshToken - config: AUTH_REFRESH_TTL(720h)/AUTH_REFRESH_ROTATE_DISABLED; decode.go 支持time.Duration - rotate-jwt成功后RevokeAll(响应refreshTokensRevoked), revoke-keys不动refresh - 14测试+真实二进制e2e, build/vet/test绿+交叉编译 - Docs/api-client v0.25 + api-reference §2.3/2.4 同步	2026-09-08 21:45:00 +08:00
Aska	12031bd13c	fix(backthink): 主动推送降频(15min心跳+60min≤1次+推后30min冷却+刚聊过10min冷避) + 情绪约束(分类限频/活跃感知) + 剥离'我决定:push'内部标记	2026-09-08 13:08:57 +08:00
Aska	03d7050e1e	feat(voice): 百炼声音复刻create_voice + TTS instruction情绪驱动(主TTS-昔涟复刻音色)	2026-09-08 06:48:15 +08:00
Aska	73dabb9dde	feat(voice): 阿里百炼 STT/TTS 主链路接通(base64 STT + cosyvoice TTS按voice_id + REST /audio/* + voice_input.deviceId) ... - voice/dashscope.go 新建：DashscopeSTT(qwen-audio-3.0-asr-flash, base64 data URI→text) + DashscopeTTS(cosyvoice 按 voice_id, 取非流式 24h URL 下载字节) - cloud.go newDashboardSTT/TTS 由空 endpoint stub 改为真实百炼 adapter - chain.go gating 从 DashscopeAPIKey!="" 改为 voiceConfigured(cfg); silent 兜底保留 - config.VoiceConfig 扩展 DASHSCOPE_BASE_URL/VOICE_STT_*/VOICE_TTS_* 字段(必填 DASHSCOPE_API_KEY) - gateway: POST /api/v1/audio/{transcribe,speech} (owner+审计+MaxBytesReader); voiceInputRequest 增 deviceId 并透传 runner.Run - 实测: cosyvoice-v3.5-plus+longxiaochun 回 418(引擎拒绝), 改用 cosyvoice-v3-flash+longxiaochun_v3; TTS 你好我是昔涟->106124B wav -> STT 回 你好我是西联, 链返回真实字节/文本 - 单测: dashscope_test/config voice defaults/gateway audio_test; go build/vet/test 全绿 - 声音复刻(响昔涟音色)待公网参考音频; 不做 create_voice	2026-09-08 06:06:02 +08:00
Aska	0ed7984de3	feat: 渠道管理分两块(.env必要回退+删除同步+可用类型/已保存分开) ... agent-120 .env只留必要回退: - .env.example KOOK移4可选业务字段(RECEIVE_MODE/WEBHOOK_PATH/VERIFY_TOKEN/ENCRYPT_KEY),只留token/base_url; channelAccountsFromEnv不读这4个; 说明业务字段走channelConfigForm.channels.json - 黑名单/限流/receive_mode等走管理面板热更新, env仅必要连接回退 agent-121 删除渠道列表同步(根因: adminListChannels枚举caps,删除不同步caps): - adminListChannels 以channels.json为准: 遍历caps时已删账号adapter跳过(s.channels注入时), 删除/保存后列表=channels.json, 删除即消失 - (capReg Remove后续可加,范围外标注) agent-122 渠道管理分两块显示(主人:不割裂): - ①可用适配器类型(顶部PLATFORM_TYPES全集grid卡片,已配置/未配置Tag,点新建配置) - ②已保存配置(下方AdminTable过滤accounts>0,账号+bot身份+掩码token提示+连接/断开/删除) - 拆 channelConfigForm.tsx(248行) 表单抽出; Channels.tsx 463→306行; token只回填hint不写值(保存留空不改secret) 全仓 build/vet/test绿+前端build绿(356KB)	2026-09-07 16:16:50 +08:00
Aska	617157262b	feat(channel): KOOK Webhook(WH) 接收模式——与 WS 配置切换(ReceiveMode) ... - kook.Config 加 ReceiveMode("ws"默认/"webhook") + WebhookPath(默认/webhook/kook) + WebhookVerifyToken + WebhookEncryptKey(AES-256-CBC) - 按权威文档(Reference/kaiheila webhook.md)实现: 无X-Signature HMAC, 真实校验=d.verify_token比对(不匹配403)+可选AES解密+zlib解压+challenge回显 - webhook.go: InboundHandler+WebhookPath, POST→zlib解压→AES解密→verify_token校验→challenge回显→归一UnifiedMessage→SetMessageHandler; WS模式Connect不拨网关仅标记connected - channelbridge/webhookAdapter 接口改用 WebhookPath(); WebhookHandlers 收KOOK WH(ws模式跳过); 既有webhook通道补WebhookPath照常挂载 - namedAdapter 转发InboundHandler/WebhookPath; kook env兜底 +4个CHANNEL_KOOK_*键 - 测试: verify_token 403/challenge/zlib/AES往返/WebhookPath按模式/WH不拨gateway/WebhookHandlers收KOOK; 全仓build/vet/test绿 - 待真token端到端实测(需主人提供CHANNEL_KOOK_TOKEN+开发者后台切WebHook配回调URL)	2026-09-07 14:10:03 +08:00
Aska	aedae2190b	feat(config): 运行时配置体系②——渠道配置落 channels.json + 面板落盘 + 热更新 ... - runtimeconfig/channels.go: channels.json 承载 map[platform][]ChannelAccount(token/baseURL/黑白名单/群聊限流), LoadChannels 优先文件/回退env, SaveChannels(0600+tmp原子写), Upsert/Delete/Masked脱敏 - channelbridge/reload.go: adapterManager 热替换——工厂重建新adapter先连接, 再原子断旧adapter(独立readCtx/进行中不中断); Bridge.Reload(platform) 逐账号增删 - 面板 PUT/DELETE /admin/channels/{platform}/config(owner+审计) 落盘channels.json+Reload热更新; GET /admin/channels 附账号掩码不泄裸token - 前端 Channels.tsx 配置表单(id/token/baseURL/黑白名单/限流+config JSON)+保存热更新提示+掩码展示/删除 - .gitignore 加 channels.json; .env 退兜底(.env.example注明); token不打印/Config()脱敏 - channelbridge.go 拆 logic→reload.go(742→731); 全仓 go build/vet/test绿+前端build绿 - 未做真token端到端(需渠道凭据,不读.env)——如实标注待凭据	2026-09-07 13:29:41 +08:00
Aska	2d7151f979	feat(config): 运行时配置体系①——LLM 多厂商独立组落 models.json + 面板落盘 + 热更新 ... - runtimeconfig/models.go: models.json 承载 [{id,provider,baseUrl,apiKey,model,fallback?,multimodal?}] 多厂商独立组(首项=生效) - LoadModels 优先文件/回退env(GroupFromEnv), SaveModels(0600+tmp原子写), Activate/Upsert/MaskedKey脱敏 - 面板 POST /admin/llm 落盘 models.json(取代temporary内存) + GET 列组(脱敏) - runtime/model/runtime.go: RuntimeLLM(adapter+router) atomic快照可热替换, Reload 重建不中断进行中请求; per-role路由用接口 - wire 用 NewRuntimeLLM(adapter+router), 保留 a.modelAdapter(=runtime stack, 审查模型随热更新) - .env 退兜底(.env.example注明); apiKey不打印/Config()脱敏/热更新不中断 - 全仓 go build/vet/test 绿(54包)+交叉编译+前端build绿(79模块); api-client v0.15已同步 - 遗留: vision ModelInfo 仍读静态env(后续纳入); 保存组=生效组(第一版语义)	2026-09-07 13:07:58 +08:00
Aska	8cde0162e6	feat: 公共平台最小化打扰(design/12 §6)——5条策略: 分级+轻思考+限流+审查剔噪 ... 降噪A(策略一/二/五): - channelbridge/light.go: 非owner分级门——小事件当系统消息登记(不进loop)、非owner轻响应(她判断回/不回,规则优先mention/关键词+轻LLM兜底fail-closed静默) - backthink 触发降噪: SubjectSystemEvent 低价值不唤醒thinking(仅高价值/owner才think), iot/reminder不受影响 - quiet hours: 安静时段非owner无信号静默,被@才回(非硬性静默); config QUIET_START/END_HOUR 单源共用 限流B(策略三/四): - adapter/flowgate.go: per-adapter 滑窗限流器+总上限+审查剔噪闸门(Admit两连:速率+上限/审查), owner私聊绕过 - channelbridge/flowgate.go: onMessage入站最前挂闸, 超限/被剔不占worker槽; 审查模型NewLLMReviewer复用model.Adapter(仅>80%阈值触发+跨分钟节流,失败回退FIFO,绝不判身份) - config: ChannelAccount 加 GroupMsgPerMin(默认6)/MsgPerMin/MaxMessages(默认50), CHANNELS_JSON每账号, 向后兼容 - 被剔消息走OnRejected审计不静默丢 main wire接线: 加modelAdapter字段+Review注入(reviewFor nil-safe,无LLM回退FIFO) 全仓 go build/vet/test 绿(53包)+交叉编译, 零新依赖, 前端无涉	2026-09-07 12:18:21 +08:00
Aska	764d592859	feat(channel): KOOK 渠道适配器 + 框架兼容增强(wsutil/httpclient) ... - plugins/channels/kook: config/adapter/gateway/websocket/send/message/errors — 实现 PlatformAdapter 13方法 - WS 有状态网关: 取gateway地址→连WS→信令0/1/2/3/4/6 + 30s心跳/6s超时 + resume(拼接sn/session_id) + 指数退避重连 - 收事件: 信令0 → UnifiedMessage(word注 channel_type/type/target_id/extra.author→字段) - 发消息: /message/create(频道) + /direct-message/create(私聊,修正正确端点,非user-chat) + Bearer鉴权 - 注册 channels.go + CHANNELS_JSON 多账号 + channelbridge.configured 加 kook(bot_token非空才连) - 框架增强: internal/channel/adapter/wsutil(连接管理/心跳/重连/resume骨架,复用gorilla,KOOK用上) + httpclient(Bearer+envelope归一,KOOK用) - 全仓 go build/vet/test 绿, 零新依赖(复用餐gorilla), 未动telegram/qq/weixin/webhook契约 - §4.6 隔离/黑白名单/第三方边界未破坏 注: KOOK WS/WH 双模式待补(ReceiveMode), 实测需主人提供 CHANNEL_KOOK_TOKEN	2026-09-07 12:01:35 +08:00
Aska	9c2a37c4ac	feat: 管理面板补齐(RAG导入/记忆添加/会话接history/诚实表述) + design/16 §4.6 IM多会话隔离+第三方身份+黑白名单 ... agent-98 面板批次: - 会话管理面板改接 history.ListSessions(主web+次级) + 新建次级会话按钮 - 记忆面板手动添加入口 POST /admin/memories(owner) - 知识库真正实现 IndexDocument(分块+落projectindex) + POST /admin/rag 导入端点 - 三面板空态诚实表述(去除'后端M10+提供') - RAG嵌入降级到keyword/line(无直属embedder,不伪造语义,符合红线) agent-99 design/16 §4.6: - model.Message.SenderName + 迁移0006 sender_name 列 - 第三方身份边界: session.ResolveActor判定(非LLM猜) + [第三方·昵称]前缀(不改源content) - 群聊/陌生人落独立sess-xxx(persistIsolated),不写主会话,不广播 - 黑/白名单(allowGroups/denyGroups/allowUsers/denyUsers)最前拦截,不进LLM - 多账号 CHANNELS_JSON 配置 + 每平台多实例 - 管理只读 GET /admin/channels/{platform}/messages(该平台非主人消息流) 实机验证(JWT): 会话管理返回主会话web / 记忆添加成功 / RAG导入documents非空+Cyrene命中; 后端build/vet/test全绿 + 前端build绿	2026-09-07 05:13:36 +08:00
Aska	eddb9b9891	feat(wire): 地基④ wire.go 接 vision/voice/mcp/skill/exec 五个子系统，从死代码变可用 ... - vision：model.Router 绑 WithVisionModel(LLM_VISION_MODEL)；vision.RegisterTools(VisualTool/OCRTool) 用同一 OpenAICompatibleAdapter（LLM_BASE_URL 为空则跳过并 Warn）。 - voice：voice.New(cfg.Voice) Chain（cloud→local→edge-tts/espeak→silent）存 a.voice。 - mcp：读 cfg.MCP.ServersJSON → 逐 Enabled server mcp.NewRegistry(...).Register(ctx)（Connect+ DiscoverTools+RegisterTool），注册 KindMCP 能力 mcp:<name> 供 adminListPlugins 枚举； close() 中 Unregister 防 stdio 子进程孤儿；每 server 15s connect 超时，失败 Warn 跳过。 - skills：LoadDir(configs/skills) → skills.Register 为 KindSkill（Runner.Run 仍 ErrRunPending， 执行留后续）。 - exec/terminal：新 terminalTool(sdk.Tool) 内部调 execProv.Execute，注册进 dispatcher； ExecSandbox.Enabled=false 默认拦截（授权默认关）。 - config：LLMConfig 增 VisionModel(LLM_VISION_MODEL)；新增 MCPConfig/ServersJSON(MCPSERVERS_JSON)。 - 拆 5 个辅助文件（vision.go/voice.go/mcp.go/skills.go/terminal_tool.go）避免 wire.go 膨胀； wire.go 最终 535 行。 默认配置下各子系统干净跳过不阻断启动（LLM_BASE_URL 已配则 vision 用主模型降级）。 go build/vet/test 全绿（46 包），gofmt 干净。	2026-09-06 16:07:04 +08:00
Aska	7c662511ba	docs(embedding): EMBEDDING_API_URL 为完整 /v1/embeddings 端点（非 base）；示例改 Qwen3-Embedding-0.6B	2026-09-06 11:34:41 +08:00
Aska	3632e04733	feat(model): 双协议 LLM Provider（AnthropicChNativeAdapter /v1/messages + tool_use.input→Args 直接映射 + 流式重组）+ Provider 感知工厂/路由 + LLM_PROVIDER/anthropic 配置（OpenAI 兼容保留）	2026-09-06 09:41:06 +08:00
Aska	c1fb20bd6b	docs(config): 更新 .env.example 对齐新架构 schema	2026-09-06 04:19:20 +08:00
Aska	9eaed2883f	feat(bridge): separate bridge config from .env, web panel + hot-reload ... - BridgeConfigStore: file-backed JSON config (configs/bridge.json) - Auto-creates config file only when user saves via admin panel - Hot-reload: watches config file every 5s, reloads adapters live - Admin API: GET/PUT/DELETE /api/v1/admin/bridge/config/:name - Frontend: full CRUD page with platform type selector + toggle - Removed bridge env vars from .env.example	2026-08-12 17:55:15 +08:00
Aska	217319eabc	chore: add .env.example config template with all options ... - Full config template with comments for every setting - start.sh auto-loads .env if present - Covers: LLM, DB, Auth, IoT, Voice, Platform Bridge, Search, CORS, WS	2026-08-12 17:46:23 +08:00