112 Commits

Include renames

Author	SHA1	Message	Date
AskaEth	4ae714883d	fix(gateway,runtimeconfig): 渠道配置写路径改为 patch 语义，修凭据静默丢失（P0 级数据安全） ... - 新问题（本轮前端组发现）：config 是整条替换，而面板只发送用户本次碰过的平台字段 ⇒ ① 保存微信(iLink)账号卡（其平台字段只有 cdn_base_url，甚至可为空）会把 bot_token/bot_id/owner_id/get_updates_buf **全部抹掉**（iLink token 是长期凭据）； ② Telegram 填 webhook_url 而不重填 token 会因 cleanAccounts「token 空即丢账号」把**整个账号**删掉 - 修法：新增 runtimeconfig.PatchChannel + mergeChannelConfig + isEmptyConfigValue（三态，与 personaId 同构） · 键省略 / config 整体缺席 / null = **保留已存值**（未给出的键绝不被抹掉） · 给出非空值 = 覆盖　· 显式 null 或 "" = **清除该键**（0/false 不算空） · 写路径 UpsertChannel → PatchChannel；非 config 字段（名单/限流/personaId）仍整值替换（不变） - 回归（真断言落盘内容）：微信卡片只带 cdn_base_url / 空卡片三种形态 → 四个凭据键全在； Telegram 只带 webhook_url → 账号存活且 token 不变；显式 null/"" → 键真被清除；新账号正常写入； 既有 TestAdminSaveChannelConfigPersistsAndReloads 保持绿 - 变异反证 3 条（改回 UpsertChannel → 精确复现两缺陷；去掉清除分支；"" 不再算空）均已还原 - 边界未改：token 要求型平台**显式**清 token 仍按 cleanAccounts 丢账号（主人明确清除凭据的语义）； 「本次一个 config 键都没给出」在非 weixin-ilink 平台仍回 400（既有行为，不在授权内放宽）	2026-10-04 13:42:37 +08:00
AskaEth	093f38d986	docs(comments): 注释中文化 · internal/services/channelbridge（纯替换） ... - 只翻注释/文档字符串：剥掉注释后代码行逐字节不变（机械校验只剩允许的行尾注释形态） - 术语对齐既有译法（owner→主人、persona→角色、engage→参与度判定、quiet hours→安静时段、backoff→退避） - 复核：go build 绿 + channelbridge 包测试绿；gofmt 干净	2026-10-04 13:33:06 +08:00
AskaEth	7afef8d037	fix(loop,gateway,persona): awakening 逐 turn 按角色生效 + 修「面板保存角色抹掉 5 个块」的数据丢失（裁决 14.4.3） ... - per-role 注入补齐：Options.PersonaAwakening(personaID) → Loop.personaAwakening → l.awakeningFor(ctx) → capacity.Input.Awakening（toolSchemas 是全仓唯一构造该 Input 处） · 按 turn 解析（不绑 Loop 构造期，避免并发会话数据竞争），与既有 personaFor/knobsFor 同构 · 未知角色/空角色/档案无该块 ⇒ 零值 ⇒ 回落 Config.Awakening（不声明者行为与今天构造性一致） - **数据丢失修复**：persona PUT 是整块替换，此前只保留 thinking ⇒ 保存一次会同时抹掉 awakening / visual(头像·背景) / triggerWords(群聊提醒词) / emotion(情绪机参数) / affection(好感度曲线)。 新增 applyAwakeningEdit + applyPersonaReadOnlyBlocks 逐一保留（cyrene.yaml 五块全写，属必现故障） - 文件守 500 行：主人档案段原样搬移到 admin_owner_profile.go（零逻辑变更） - 复核：build/vet 绿 + 全树 `go test ./... -count=1` 0 FAIL；端到端＝真 YAML→loader→buildCapacity→真 loop 流式请求→断言工具面（tasky 声明 force_state 唤醒 → 含 web-search；cyrene 不声明 → 与无解析器对照逐字相同）； **8 条变异反证**先红后还原（含逐块删除各自的保留逻辑） - 残留缺口（登记）：wire_runtime.go:254 那一行本身无用例覆盖；loader 非 strict（未知 YAML 键静默忽略， 需主人裁决是否开 KnownFields）；POST /admin/personas 仍写不出这五个块	2026-10-04 13:07:52 +08:00
AskaEth	1ac02bd77e	feat(gateway,admin-web): 面板可编辑 provider 推理形状 / 角色级路由 / multimodal 真语义（裁决 03.4.2/03.4.1） ... - 后端：AdminLlmProvider 暴露 reasoning{kind}（恒下发，""=未声明=auto）、personaModels、personaProviders； 顶层新增 reasoningKinds / personaProviderOptions 两个**取值域**（唯一来源＝ runtimeconfig 导出枚举， 校验错误文案也由枚举拼接 ⇒ 不可能漂移） - 读写共用同一映射（admin_llm_provider.go），避免「读侧少一个键 ⇒ 面板一保存就抹掉」 - 写侧语义：缺失=保留、给出=整块/整表替换；非法值一律 runtimeconfig.Group.Validate() ⇒ 400 bad_request （实测非法 kind 返回 400 且 models.json 完全不动，而非 500 静默失败） - 前端：新增 LlmProviderRouting（推理形状下拉 + multimodal 开关 + 按角色路由编辑器）； 目录能力位改三态（true/false/未标注），「未标注」不再谎称「不支持」；目录/角色清单不可用时 **不阻塞编辑**且与「字段为空」是不同状态；绝无 mock/sample 回退 - 复核：build/vet 绿 + gateway/config 包测试绿 + tsc 0 错 + vite build 成功；2 条变异反证（删 reasoning 补丁 → 2 例红；删 Group.Validate → 该 400 用例红）已还原 - 注意（主会话已知）：npm run build 把新 SPA 写进 frontend/web/dist，而运行中的二进制优先从磁盘读该目录 ⇒ :10942 目前是「新面板 + 旧后端」，等阶段 5 全绿后按红线「先 build 到位、再一次 restart」切换	2026-10-04 13:06:54 +08:00
AskaEth	63e5b70e3d	feat(gateway,admin-web): 模型目录自动化 —— GET /admin/llm/catalog（裁决 03.4.2 次件） ... - 新增 GET /api/v1/admin/llm/catalog（owner|admin，?refresh=1 强制刷新）：抓 models.dev api.json 并裁剪 （226 供应商 / 8392 模型 → 1.31 MB），写落盘快照 data/llm_catalog.json（无凭据，TTL 24h，gitignore） - 降级诚实：快照优先 → 在线刷新 → stale 快照兜底（标 stale+warning）→ 都不行回 503 catalog_unavailable， 绝不编造；抓取只发生在该端点内，**不进运行时热路径** - 前端：新增 llm/LlmCatalogPanel（在线目录 + 粘贴导入落同一份候选 → 一键带出 baseURL/model id/multimodal/ maxTokens）；Llm.tsx 挂载面板、删掉硬编码的「主→备→本地」假状态、表单按 id#seq 重挂 - 诚实性：面板把「加载中 / 端点未实现 / 抓取失败或离线 / 响应结构不认识 / 目录为空」分成五种独立状态， 全程无 mock/sample 回退 - 复核：新增 9 条零外网用例全绿；**变异**（Stale:true→false / TS 只认 camelCase）各自红后已还原； Go 真产出与 TS 解析器双向实测 8392 模型能力位零差异 - 越界说明：routes.go 仅 +3 行（注册该路由）；llm/LlmCatalogPanel.tsx 为拆出以守住 Llm.tsx ≤500 行	2026-10-04 12:43:04 +08:00
AskaEth	63236c9b00	feat(capability,gateway): 工具策略落盘 + 主代理代审真接线（裁决 1.1 核对/1.3/10.4.2/13.4.3） ... - 1.1（核对）：registry 默认两布尔 false 已一致，零代码改动（设计文档已按裁决改写） - 1.3 + 10.4.2：新增迁移 0012_tool_policy（tool_policies 表，表名复数 + idx_tool_policies_name）； 新增 registry.PolicyStore/SQLitePolicyStore，启动 Load 覆盖注册初值、SetPolicy 先落库后改内存 （落盘失败保持旧值并报错）；面板保存路径不变但从此重启仍在 - 13.4.3：代审真接线 —— restrict.SensitiveCall 结构化判定（terminal / file write / http POST）、 restrict.Gate/Reviewer/Resolver（无代审者或代审报错一律 fail-closed 拦截）， 组合根装进 loop.Options.Hooks 的 CallAdmit；gateway.RecordApproval 落 audit_logs （who=角色名 / what=approval.<工具> / result=granted|denied）并广播 approval_notice 帧 - 前端：代审小字「xxx 想要干什么，我审查后批准了」进聊天流顶部（帧→store→组件，文案单一来源 复用 audit.Approval.Explain()），附纯 node 逻辑测试 - 复核：迁移在 data/cyrene.db **副本**上 up/down/up 各一次通过；TestRegistry_PolicyStoreSurvivesRestart 与 TestAdminSetPolicySurvivesRestart 证明「重启后策略仍在」；terminal 触发代审 + 审计有行有端到端断言	2026-10-04 12:30:16 +08:00
AskaEth	b9e042d07d	docs(api): api-client v0.51 补管理面契约 + api-reference 去假陈述 + 帧名口径统一（裁决 15.4.2/15.4.3/10.4.5/08.4.2） ... - api-client.md v0.51 同版补记 D 组：X-API-Key 已接线（管理面与用户侧已认证端点同时接受该头，恒 owner 级、fail-closed）、新增 owner-profile GET/PUT（owner-only，写带审计）、persona systemPrompt 改必填；§2.0 owner-only 档 35 → 37 条 - api-client.md 修正 /admin/users 条（签发/吊销 key 已实现，POST 创建用户仍诚实 501）与 M10 待办（主人档案保存已落地） - api-reference.md §0.1 与 §8.4 两处「X-API-Key 未接入」假陈述改为指针（契约以 api-client 为准），版本指针 v0.49 → v0.51 - gateway 帧可见性测试的虚项改为真实帧名常量 wsSubagentResult（此前写的是 bus 主题拼法 subagent.result），测试说明帧名与 topic 的分工	2026-10-04 12:10:21 +08:00
AskaEth	adef36538f	feat(auth,gateway,user): X-API-Key 真接线 + key 一律超管 + owner 档案真落盘（裁决 15.4.2/15.4.3/10.4.5/08.4.2） ... - 15.4.2：管理 API 与 Bearer 共用同一 Authorize 路径，X-API-Key 命中签发表即过门；未知/已吊销/空值 401 且不回落 Bearer（fail-closed） - 15.4.3：key 表去掉角色维度，任一有效 key 鉴权后即 owner；签发接口取消 role 分级（不再读请求体） - 10.4.5：新增 GET/PUT /api/v1/admin/owner-profile（owner-only，PUT 带审计 owner.profile.update），0600 原子落盘 + 活档案热替换；前端主人档案改接真实 API，读不到即禁用保存，删掉硬编码默认档案 - 08.4.2：persona 的 identity.systemPrompt 必填，缺失/空白 400 显式报错，不再派生回落	2026-10-04 12:07:51 +08:00
AskaEth	8c6466cb00	feat(orchestration,gateway): 子代理结果登 WS 帧 subagent_result（裁决 02.4.3） ... - 编排层改为在 subagent.result 上发布带父会话归属的 SubagentResultEvent，后台批次结果不再消失在进程内总线 - gateway 中继：新帧常量 wsSubagentResult="subagent_result"，eventBridge/bridgePatterns 登记该 topic，normalizeEvent 专用成形（帧壳 sessionId = 派生该批次的父会话） - 角色门 fail-closed：未登记进 frameReachesAll，owner/admin 可达、viewer 不可达，真 JWT 三角色 WS 断言钉住 - 前景（2s 内跑完）批次仍只回工具结果，不发此帧	2026-10-04 12:07:46 +08:00
AskaEth	af8591b78a	fix(channel,user): owner 车道只认白名单，堵住群主/伪造 role 冒充主人（裁决 06.4.2/06.4.3/06.4.4） ... - 适配器只描述平台身份：qq_obv11 的 owner/admin 一律上报 RoleMember，不再上报 RoleOwner - session 层唯一判主点只认白名单（owner.yaml Accounts ∪ 每渠道 adminIds），nil 档案 fail-closed 拒绝 - 新增「每渠道管理员层」：channels.json ChannelAccount.adminIds[] → runtimeconfig.AdminIDs → OwnerProfile.SetPlatformAdmins（整体替换语义，热重载后移除的 id 立即失效） - 组合根接线：启动即播种、面板保存先灌白名单再重载适配器（cmd/cyrene/wire_channels.go + 4 条端到端单测） - 06.4.3 节流与参与度状态按会话独立计数（ConversationKey 三处统一，空会话 GC）；06.4.4 未知平台主动发言保守默认 1 条/分钟	2026-10-04 12:07:40 +08:00
AskaEth	6e7ec56f9a	feat(loop,gateway): 事件批 — tool_execution 三事件 + streamId + turn.start/end（裁决 01.4.1/01.4.2/01.4.3/01.4.5/03.4.4/1.12） ... 执行方案阶段 2 · P2-3（`DevDocs/audit/_plan.md`）。契约 `Docs/api-client.md` → **v0.50**。 - **01.4.1 `tool_execution` 拆三事件**：`model/stream.go` 删旧 `StreamKindToolExecution`，新增 `tool_execution.start/update/end` + `ToolPhaseRunning/Done/Error`（与 design/19 status 同值）； `StreamEvent` 增 `Tool`/`Phase`；`loop/tools.go` 的 `emitToolExecution` 重写为结构化字段、 **Delta 恒空**（断言锁死），`ID` 复用 provider tool call id（可与 `tool_call.*` 关联）。 ⚠️ **诚实边界**：start/end 有真实生产者；`update` 的 wire 映射已实现并单测锁定，但**工具分发器 无中途进度上报源 ⇒ loop 暂不产出 update 帧**（已在 api-client §3.1 如实登记）。 - **03.4.4 phase 驱动图节点状态**：`invokeOne` 用**单一 phase 决策**同时决定 end 帧 phase、 span 的 `phase` prop 与终态；`trace/graph.go` 新增 `FlowStatusForPhase`，`graph_build.go` 的 `AddSpan` 对 tool 节点**优先消费 phase prop**（缺省回落 span 终态 ⇒ 两路不可能矛盾）。 - **01.4.2 `streamId`**：`StreamEvent` 增 `StreamID`；`loop/stream.go` 每次 ChatStream 生成 `stream-<hex>`（crypto/rand，降级时间戳），该流所有帧共享、多步工具轮取新 id；`ws_bridge` 把它并进**模型流帧** `data`（`tool_execution.*`/`turn.*` 不带）。语义区分：`turnId` = 哪轮回答， `streamId` = 这条流式消息。 - **01.4.3 `turn.start`/`turn.end`**：`loop/run.go` 入口发 start、defer 发 end，**覆盖全部出口** （最终答案/安全网终止/预算耗尽/步骤错误）；帧**无 data 载荷**；静音的内部 run（backthink/子代理） 不发。顺带把 91 行的 `Run` 拆成 `driveTurn` + `settleAndReturn`（清掉一处既有 >80 行违规）。 - **01.4.5**：仅 `Docs/api-client.md` §3.5 补 `graph_update` 三范围（`web`/`web:<uuid>`/`sess-backthink`）， 与 `wire_runtime.go` 的 allow 谓词一致，**零代码变更**。 验证：`go build ./...` 绿；本批四包（loop/model/trace/gateway）vet + 测试绿（含 `-count=1`）； linux/amd64 + darwin/arm64 交叉编译绿；本批 16 文件 ≤500 行、函数 ≤80 行。 **真 WS 帧断言 8 条**：帧序 `turn.start → message.delta → tool_execution.start → tool_execution.end → message.delta → turn.end`（+`stream_end`）、turn 边界无载荷且整轮 turnId 一致、 两条模型流 `streamId` 互异、tool 帧 `{tool,phase,id}` 且无 `delta`/`streamId` 键、 `turn.end` 在步骤出错时也发出、内部静音 run 不发边界帧。 **变异验证**：把 `ev.StreamID = streamID` 改为赋空 → 两条断言 FAIL（`streamId` 为空/两流同空）， 还原后复绿（直接删行会先被编译期 `declared and not used` 拦截）。 未验证：前端未消费这些帧（本轮未动 `frontend/**`，「前端能渲染」待前端批）；无真实模型端到端。	2026-10-04 11:26:35 +08:00
AskaEth	afef75f640	feat(backthink): 安全域穿透安静时段 + 长静默不拦心跳 + 启动即思考（裁决 1.8/07.4.2/07.4.3/07.4.4/07.4.5） ... 执行方案阶段 2 · P2-2（`DevDocs/audit/_plan.md`）。四条裁决： - 1.8/07.4.2：`think()` 不再走忽略 importance 的 `disturbAllowed`（已删），**接回 `Decide` 级联**； 安静时段只挡常规推送、**critical 安全域穿透**；`DecisionInput` 增 `ConclusionPush`/`Heartbeat`。 睡眠仍绝对不打扰（裁决只豁免安静时段，此点已在设计与报告写明）。 - 07.4.3：长静默（>2h）分支对**心跳类**放行（常规事件仍需 ≥high），刚聊过天 10min 内扣留不变。 - 07.4.4：`tickLoop` **启动立即先思考一轮** + 拟人化启动消息；启动轮与心跳**同门同限频** （重启风暴不会刷屏），ctx 已取消则跳过。 - 07.4.5：核对一致（`THINK_INTERVAL_SEC` 默认 900s 与 design/20 §0 权威口径一致）⇒ **代码零改动**。 验证：go build 绿；backthink 包 vet/测试绿；`-count=20`（抗 flake）+ `-race` 绿； linux/amd64 + darwin/arm64 交叉编译绿；gofmt 干净；文件 ≤500 行、无 >80 行函数。 变异验证（三条，均带还原证明）：① 安静时段改回"全拦" → 安全域穿透断言 FAIL（首次只删 critical 分支时仍绿——`critical >= high` 会从 high 分支漏过，故真实变异必须是"全拦"）； ② 删心跳豁免 → 长静默心跳断言 FAIL；③ 删启动思考 → 启动即思考断言 FAIL。 未验证：无真实模型凭据 ⇒ 启动轮问候与 `[我决定:…]` 解析仅经 mock + 真 loop 验证，端到端 LLM 未验。	2026-10-04 11:21:44 +08:00
AskaEth	deb0a3cb97	refactor(gateway): 拆 admin.go 666 行 → admin.go / admin_query.go / admin_mutate.go（纯搬移） ... 执行方案 DevDocs/audit/_plan.md 阶段 0 · G0-C：该文件是全仓第二大超限文件（666 行）， 且后续多条裁决要改它（工具策略落盘、主人档案 GET/PUT、admin API 补推送结果、模型配置 自动化）⇒ 先拆。 - admin.go(169)：共享地基 —— backthinkListLimit 常量、全部 DTO 类型、 collectSessions/collectMemories 收集器、iotDeviceSummary - admin_query.go(467)：只读 GET 聚合（personas/sessions/memories/plugins/channels/iot/ llm/automations/users/backthink/rag 的列表与查询 handler + 渠道账号脱敏等私有辅助） - admin_mutate.go(41)：写操作（adminSetPolicy，带审计的 owner 写） 纯搬移机械证明：拆前与拆后（非空、非 package、非 import 块行）排序后 **md5 相同** （605=605 行）；顶层声明集合 43 条守恒；唯一新增 = 两个新文件的 package 行与 import 块。 未触碰 admin_write_*.go / admin_channels_*.go 及任何 _test.go。 验证：go build/vet 绿；internal/services/gateway 测试绿（含 -run Admin 定向）； linux/amd64 + darwin/arm64 交叉编译绿；三文件 169/467/41 行均 ≤500；gofmt -l 无输出。	2026-10-04 10:46:51 +08:00
AskaEth	4bf1f7cac6	fix(trace): 让 graph_update 的分支根节点 props.persona 真的前送（白名单漏登记） ... 审计（DevDocs/audit/11-trace-observability.md 发现 #1）：scheduler 用 span.SetProp("persona", sub.PersonaID) 设了这个 prop，api-client v0.47 也已把它写进 对外承诺，但 trace/graph.go 的 safePropKeys 白名单不含 "persona"，而 safeSpanProps 只遍历白名单 ⇒ 该键在到达客户端前被静默丢弃（实测：整个 props 键都消失）。 修法：把 "persona" 加进 safePropKeys，并在同处写清它为什么可以前送 —— ① 它必然是注册表校验过的角色 id（scheduler.checkPersona 未知 id 一律 ErrUnknownPersona 拒绝整批派发）；② 它本来就随 GET /personas 与 message_persisted.personaId 对外可见； ③ 值仍过 redactValue → RedactText（凭据形状清洗 + 80 rune 截断）。 测试：新增 trace/graph_persona_test.go（真 Tracer → 真 SetProp → 真 Snapshot，两条断言： 有 persona / 不指定角色时键不出现 = 钉住 v0.47 的"纯增量"）+ 网关 flow_update_ws_test.go 追加 TestFlowGraphUpdateRelaysPersonaProp（真 bus Publish → 真 WS 帧 → 断言帧内节点 props.persona=="yuki"）。 验证：go build/vet 绿；trace + gateway 包测试绿；全树 go test ./... = 58 包 ok / 0 FAIL； linux/amd64 + darwin/arm64 交叉编译绿；gofmt -l 干净；三文件 471/57/370 行、最长函数 64 行。 变异验证：把 persona 从白名单摘掉 → 两条断言分别 FAIL（trace 层 props 为空； WS 帧里 span-sub 节点的 props 键整个消失），还原后复绿。 遗留（登记）：前端尚未消费该键（flow 节点未显示"以谁的身份替班"）。	2026-10-04 10:37:22 +08:00
AskaEth	074ffc4ebf	docs(gateway): gateway 剩余文件注释改中文（逐行 1:1，代码零字节改动） ... 主人 2026-10-03 拍板「注释一律中文」；gateway 至此整包注释中文化完成（本会话共 3 批： 已推库 16 个文件 + 本批剩余文件）。 校验：机械校验（非注释改动行）= 空；剥注释后代码文本逐行比对全等（不一致文件数 0）； 全树 go test ./... 58 包 ok / 0 FAIL；交叉编译绿。	2026-10-03 22:28:25 +08:00
AskaEth	355f81d04a	docs(gateway): gateway 第 2 批 5 个文件注释改中文（只改注释，代码零字节改动） ... 主人 2026-10-03 拍板「注释一律中文」。本批 = WS 上行门与握手回放那批文件： ws_hub.go / ws_history.go / ws_route.go / ws_role_gate_test.go / voice_signal_test.go 含中文的整行注释 6 → 148；无行尾注释。 校验（判据 = "只改注释、零代码字节改动"）： - git diff -U0 | 排除 +++/--- / 注释行 / 空行 / 行尾注释 → 为空 （含"把纯空行变动也视为违规"的更严变体，同样为空） - 独立实现：两侧剥掉注释后逐行比对代码文本 → 5/5 全等 - gofmt -l 干净（改动前同样干净，不存在"顺手格式化"） - go test ./... 全绿；go build/vet 绿；linux/amd64 + darwin/arm64 交叉编译绿 安全约束强度逐句保留：ws_route.go 的「默认拒（非黑名单）/ 删掉它等于放开一切」、 ws_history.go 的「门在 replayHistory 第一条语句 / 扩角色须先登记 design/11 §7.2 / 回放不含 thinking」、ws_role_gate_test.go 的测试名与断言字面量一字符未改。	2026-10-03 22:10:33 +08:00
AskaEth	fe1ff33115	docs(gateway): WS 帧门相关 11 个文件的注释改中文（只改注释，代码零字节改动） ... 主人 2026-10-03 拍板「注释一律中文」。本次先把本会话动过的文件就地翻； 不做全仓一次性翻译，存量按包分批排期（见 工作小结.md 待办）。 范围：ws_frame_scope.go / ws_frame_scope_test.go / broadcast.go / ws_hub_turn.go / ws_hub_message_event.go / session_read.go / server.go / ws_hub_stream_scope_test.go / history_write_broadcast_test.go / mood_test.go / extra_test.go 含中文的整行注释 18 → 382。 校验（判据 = "只改注释、零代码字节改动"）： - `git diff -U0 | 排除 +++/--- | 排除注释行/空行/行尾注释` → 为空 - 独立实现：两侧剥掉注释后逐行比对代码文本 → 11/11 文件全等，不一致数 0 - 行尾注释 7 行逐条列出，代码列与原文逐字节相同（gofmt 未要求重排） - gofmt -l 干净；全树 go build/vet 绿；go test ./... = 58 包 ok / 0 FAIL； linux/amd64 + darwin/arm64 交叉编译绿 语义未删减：部分折行英文长句合并为更少行，故整行注释数 438 → 399。	2026-10-03 22:07:56 +08:00
AskaEth	770a83c3fb	feat(gateway,security): WS 上行帧角色门 + 握手回放仅 owner/admin（design/11 §7.2） ... 主人 2026-10-03 拍板"这一类要收紧"后，补齐 §7.1 下行门之外的两处同类缺口： viewer 是只读监控档，却能通过 WS 拿到内容、甚至发起写入。 A. 握手 history 回放仅 owner/admin（ws_history.go） 连接建立时回放主会话最近 50 条消息正文，此前对任意角色照发 ⇒ viewer 一连上就 拿走主人对话内容。门放在 hub.replayHistory 的第一行 —— 它是唯一发出 history 帧的 函数，将来多一个调用者也绕不过去。 B. 上行 JSON 帧按角色授权（ws_route.go，fail-closed） 此前 route 完全没有角色检查。现在 route 的第一条语句即：非 owner/admin → 回定向 {type:"error",data:{code:"forbidden"}} 并 return，因此"不广播、不驱动模型、不落库、 不返回任何内容"是结构性的，而不是每个 handler 各自记得检查。写成默认拒而非黑名单 —— chat / interrupt / subagent_ask / task_output_query / voice_input / mode_switch 以及 将来任何新帧都自动被拒。协议级帧（ping/pong/close）由 gorilla 在 ReadMessage 内处理， 不受影响（已实测：被拒后 ping→pong 正常、close 后服务端注销连接）。 被修掉的真实越权：viewer 发 chat 会真的驱动模型并把消息落库；subagent_ask / task_output_query 的定向应答会绕过 §7.1 下行门，把子代理上下文/任务输出回给 viewer。 契约：Docs/api-client.md → v0.49（对 viewer 收紧；owner/admin 逐帧形状不变） 验证：go build/vet 绿；go test ./... = 58 包 ok / 0 FAIL；-race ./internal/services/gateway/... ok；linux/amd64 + darwin/arm64 交叉编译绿；新测试 -count=3 稳定。 真 httptest WS + 真 JWT 逐帧实测：viewer 收不到 history 回放、上行一律定向 forbidden 且 runner 计数 = 0 / 落库 = 0；owner 侧 chat 驱动 runner = 1 且落库 2 条。 变异验证：① 去掉 A 的门 → viewer 收到 {"type":"history",...,"content":"主人的私密提问"}，FAIL； ② 去掉 B 的门 → viewer 帧驱动 runner 1 次并落库 2 条、且直接收到 subagent_event / task_output， FAIL。均已还原；且撤掉 B 时 A 的测试仍独立 PASS（两把门不互相代偿）。 遗留（如实登记）：非 JSON 的上行字节不经过 route 的角色门（零副作用：不带 type、不触发 handler、不落库）；admin 上行未单独测一格（与 owner 共用同一分支）。	2026-10-03 22:02:16 +08:00
AskaEth	bc0047b449	feat(gateway,security): WS 下行帧角色门 — 内容帧仅 owner+admin，viewer 只收状态机信号 ... design/11 §7.1（主人 2026-10-03 拍板）。此前 hub.broadcast 是全连接广播，而任意角色 （含 viewer）都能连 /ws/chat ⇒ viewer 能收到角色回复正文（message.*）、推理内容 （thinking.*）、消息增量、graph_update、mood 等。这与 design/19 §1/§3「flow 可视化仅 owner/admin 可见」冲突，也与 GET /sessions/{id}/messages 的 owner/admin 档位不一致。 收口：唯一分类点 internal/services/gateway/ws_frame_scope.go 的 frameReachesAll(typ) （fail-closed switch，默认 false）；hub.broadcast 投递前查表，白名单外对非 owner/admin 连接直接跳过。**不给 broadcast 加 bool 参数、不让调用点自己判断** —— 那正是"漏一处就是 泄漏"的形状。全包只有一个 fan-out 循环，14 个 .broadcast( 调用点全部落进该入口。 - 白名单只有 7 个状态机信号帧（不含任何内容）：session_busy / pending_ack / pending_drain / session_idle / session_interrupted / pending_full / session_read - 其余全部（流式 message/thinking/tool_call、message_persisted/edited/deleted、graph_update、 subagent_event/result、task_output/task_done、automation_result、tool_used、capacity_awaken、 mode_switch、mood、device_update、reminder）仅 owner+admin - 语义澄清：本门管「谁被主动推送」，数据可见性仍由 REST 决定（viewer 的 12 条只读监控端点 不变，含 GET /personas 的 mood）；/ws/chat 连接鉴权与 voice_output 定向帧不动 契约：Docs/api-client.md → v0.48（对 viewer 是收紧；owner/admin 零变化；无端点/字段形状变更） 验证：go build/vet 绿；go test ./... = 58 包 ok / 0 FAIL；-race ./internal/services/gateway/... ok； linux/amd64 + darwin/arm64 交叉编译绿。真 httptest WS + 真 JWT 按角色逐帧实测 37 帧： viewer 只收到 7 个状态信号，owner/admin 37/37。 变异验证：① graph_update 加回白名单 → 真 WS 抓到 viewer 收到 graph_update，3 个测试 FAIL； ② session_idle 移出白名单 → 3 个测试 FAIL（viewer 等不到哨兵帧而超时）。均已还原。 遗留（已登记，待主人裁决）：① 握手 history 回放对任意角色照发（viewer 连上即得主会话最近 50 条正文）；② /ws/chat 上行未按角色授权（viewer 可发 chat = 真驱动模型并落库； subagent_ask / task_output_query 的定向应答绕过本门）。	2026-10-03 21:50:29 +08:00
AskaEth	28b663231e	test(gateway): 补 graph_update 的 WS 中继与 wire 契约测试（此前零覆盖） ... `#/admin/flow` 报障调查发现：flow 链路每一环都是对的（loop 的 FlowPublisher 三入口 在真实回合里都被调用 / wire.go 的 allow 白名单正确 / parseGraph 与 Snapshot 字段逐条对得上）， 但**「bus 的 ws.graph_update 经 ws_bridge 中继成 WS 帧」这一跳此前完全没有测试**—— 逐环人工核对永远核不到它。补两个契约测试把它钉死： - TestFlowGraphUpdateRelayedToWS：真 bus Publish("ws.graph_update", <真 trace.RunGraph.Snapshot()>) → 断言 WS 收到 graph_update 且数据逐字节未被改写 - TestFlowGraphUpdateWireFields：精确断言 graph/node/edge/log 四层的 key 集合 = 前端 parseGraph 读取的那一套（改名/多字段/少必填都 FAIL） 验证：go build/vet 绿；-race 网关 ok；全量 58 包 ok / 0 FAIL；交叉编译绿。 变异验证：① 改 trace.FlowNode.Label 的 json tag → 键集断言 FAIL； ② 让 ws_bridge 的 normalizeEvent 丢掉 ws.graph_update → 中继测试 i/o timeout FAIL。	2026-10-03 21:39:03 +08:00
AskaEth	5847705e35	fix(gateway): 修 Snapshot 交出活 map 导致进程被 fatal 打死（并发 map 迭代+写入） ... 现场：cy.log:560，2026-10-03 21:00:28.403，栈顶 encoding/json.mapEncoder.encode ← writeJSON(rest.go:383) ← adminObservabilityMetrics(observability.go:89)， 不可 recover，网关 recover 中间件接不住 ⇒ 单二进制进程整体退出（端口 10942 零监听、 所有后台服务含 backthink 心跳一起没；比第一次心跳 tick 早 32.6 秒）。 根因：MetricsCollector.Snapshot 在锁内只新造了 StatusCounts，却把 collector 自己的 活 map m.perMethod / m.perPath 直接交出去；锁外（handler 的 writeJSON）才开始遍历， 而每个请求的 logging 中间件（middleware.go:79）在别的 goroutine 里 Record 写这两个 map ⇒ 写有锁、迭代没锁。面板并行轮询十几个端点，/admin/observability/metrics 被打了 29 次 且常见同毫秒两个请求，必踩。 修法：Snapshot 改为交出副本（新增 copyCounts / copyStatusCounts，都在锁内遍历）， 并把「必须在锁外可安全编码」的原因写进文档注释。对外读侧语义不变（仍是全量累计）。 测试（新增 observability_metrics_test.go，242 行）：① 快照与 collector 双向隔离（确定性） ② 并发「写 + 编码快照」（-race 下复现生产竞态）③ 真 HTTP + 中间件 + 并行轮询 /configmetric 端点（= 21:00:28 现场）。 验证：go build/vet 绿；-race ./internal/services/gateway/... ok；全量 go test ./... 58 包 ok / 0 FAIL； linux/amd64 + darwin/arm64 交叉编译绿。 变异验证：把 Snapshot 改回交活 map → 确定性测试 FAIL（"snapshot shares the collector's perPath map"） + -race 报出与生产同一处的 DATA RACE（Record 写在 observability_metrics.go:64）。	2026-10-03 21:38:59 +08:00
AskaEth	c7ecc3a249	feat(session,web): 会话角色不可变 — PATCH 拒 personaId + 移除前端换角色入口 ... design/22 §8-1（主人 2026-10-03 拍板）：会话角色在创建时确定、之后不可变， 要换角色必须新开会话。 后端： - PATCH /api/v1/sessions/{id} 的 personaId 改为 json.RawMessage 判「键出现」， 出现即 400（null/""/未知 id 一律拒），且先于会话存在性检查；错误消息点名 personaId - 删除 Server.setSessionPersona 与 PATCH 的 501 分支；title/pinned 行为逐字不变 - sessionPersonaWriter 接口与 history.Store.SetSessionPersona 保留（存储能力） 前端： - 移除会话行「切换角色」入口与面板「挂角色」下拉（含 setSessionPersona action、 lib/sessionPersona.ts）；保留「新建会话选角色」；面板「角色」列改为只读展示 契约：Docs/api-client.md -> v0.46（破坏性：依赖 PATCH 换角色的客户端须改为新建会话） 验证：go build/vet ./... 绿；gateway+history 包测试绿（-count=1）；前端 npm run build （tsc --noEmit + vite build）绿；9 个前端逻辑测试全绿。 变异验证：改回「静默忽略」/「写绑定」两种反向实现，新断言均 FAIL。	2026-10-03 21:24:51 +08:00
AskaEth	f9430dee81	fix(admin): 渠道 personaId 改为三态语义（省略=保留 / ""=解绑 / id=绑定）——修「保存其它配置即静默清空绑定」 ... 跨端语义相反：后端 5969bba 实现的是「省略/\"\"=解绑」，而管理面板只在用户改动下拉时才发该键 ⇒ owner 打开已绑账号、不动下拉、保存其它配置就会静默清空渠道角色绑定。 - 请求 DTO 改 *string 区分「省略」与「显式空串」：省略 → 保留现状；显式 "" → 解绑；非空 id → 绑定（未知角色 400）；沿用读-改-写 + bridge.Reload 热更新 + 审计 - GET /admin/channels 继续回显 account.personaId（已确认） - Docs/api-client 三态语义写清（省略=保留是本次的关键修正） - 测试：省略保留 / 显式空串解绑 / id 绑定 / 未知 id 400 + 变异验证（把省略改回解绑 → 断言 FAIL）	2026-10-03 21:06:22 +08:00
AskaEth	5969bba3bd	feat(channel,runtime): 批次2 后端 — 消息级角色归属进上下文 + IM 私聊随主会话角色 + 渠道级绑定 ... 按 design/22 §2/§3/§4.4/§7（3/4/5）。 - ①「消息级角色归属」进入模型上下文（批次 1 只做存储+DTO）：历史消息的发送角色现在对模型可见，且**不把系统元数据塞进用户正文**（design/11 §10 红线） - ② IM owner 私聊镜像解析出的角色 = **主会话绑定的角色**（§7-3） - ③ 渠道级绑定：ChannelAccount 加 personaId（channels.json 读写/校验/脱敏沿用既有约定）+ 角色解析优先级 **会话 > 渠道 > 默认** + **群聊/陌生人强制默认角色**（§7-4）；admin 渠道配置端点支持 personaId - Docs/api-client 版本 +1 - 验收：go build/vet/test 全绿 + linux/darwin 交叉编译	2026-10-03 21:01:33 +08:00
AskaEth	2aa3233f84	feat(persona,web): 人格读侧（thinking 三态 + 角色级 mood）+ 面板表单 + mood 播种 ... 按 design/04 §3.2（thinking 语义，showToUser 三态）+ design/01 §2.1 + 主人两条定论（心情跟角色不跟会话；mood 初值走口径 ①：由角色读端点暴露、前端加载播种）。 - 管理侧 GET /admin/personas 的 PersonaSummary 增 thinking（budgetTokens/effort/mode/showToUser）——**showToUser 保持三态**（未配置 ≠ false） - 用户侧 GET /personas 增**角色级 mood**（取自 emotion 层该角色当前状态，非从消息推断）→ 前端加载播种 currentMood，消除「刷新后心情徽标短暂为空」 - 前端 Personas 页加 thinking 四控件（预算/effort/模式/showToUser 三态）：只做输入校验，**provider 是否真支持由后端 WARN 决定，前端不假装能力** - 先拆 useAppStore 选择器（原 494/500）到独立模块再做，避免越线 - Docs/api-client 版本号 +1（两处契约 + 三态与角色级 mood 语义） - 验收：go build/vet/test 全绿 + linux/darwin 交叉编译 + 前端 build 绿 + personaSession/messageSync 逻辑测试通过	2026-10-03 20:40:44 +08:00
AskaEth	6dc1f218d5	test(gateway): 修既有 flake — 根因在测试替身的取消契约，非产品 bug ... TestInterruptCancelsTurnAndClearsPending 在纯 HEAD 与新代码上都约 7–15/50 失败（既有 flake，污染每次验收）。 - **根因（测试侧）**：测试替身 gatedRunner 阻塞在 select{tickets | ctx.Done()}；A 轮被 interrupt 取消时它已 park，ticket 释放后**同一调度步内两个 case 同时就绪**，Go 的 select 随机选 → 有时把**已被取消**的 turn 记成执行过（诊断重放 300 次：18 次失败，且每次被记执行的 ctx 都已 canceled） - **产品侧复核无 bug**：interruptLocked 在锁内 cancel + 清 pending + gen++；被取消/顶替的轮 completeTurn 命中 stale gen 直接返回，不碰状态、不续排 pending - **修法（仅测试）**：替身忠于真 runner 的取消契约（入口先查 ctx.Err()、两条取消路径都 recordCanceled、新增 waitCanceled）；测试在 Interrupt 后、释放 ticket 前**先等被取消轮确实停下**，断言不再依赖调度巧合；另加 waitIdle / run.count()==1 / session_idle 事件数==1（原有 4 处断言一字未删） - **稳定性**：修前 -count=50 四次 15/9/7/10 失败 → 修后 -count=50×8 + -count=100 + -count=300 **0/750**；-race 目标测试与整包均 ok - **变异验证**（防改断言变绿）：去掉 interrupt 的 cancel → 10/10 FAIL；不清 pending → FAIL；去掉 completeTurn 的 stale-gen 判断 → 10/10 FAIL	2026-10-03 20:30:38 +08:00
AskaEth	0de68bc960	fix(model): DeepSeek 推理参数语义反转 + thinking 开关真发（按官方文档核对结果） ... 依据 DevDocs/design/04 §3.2「官方核对后的修正」9 条 + 本地 DevDocs/reference/deepseek/facts-for-cyrene.md（官方原句/URL）。 - 🔴 reasoning_effort 白名单改为官方集合 [none, low, high, max] + 别名映射(minimal→low, medium→high, xhigh→high, ultra→max)；**删除就近降级**，非法值一律丢弃+WARN。此前 none(关思考) 被降级成 low(开思考) 属语义反转 - 🔴 DeepSeek thinking 开关真发顶层 {"thinking":{"type":"enabled|disabled"}}（官方默认 enabled，不传≠关）；此前只打 WARN 导致 mode:off 静默无效 - DeepSeek 的 /anthropic 端点忽略 budget_tokens → 不再对其抬 max_tokens（会误导预算/日志），改为按官方用 output_config.effort - 注释纠正：penalty 属接口级 deprecated（非仅思考模式）；top_p 仅思考模式生效且下限 0.95（不加该字段） - tool_choice 雷登记：思考模式下 required/指定 tool 会 400（思考默认开） - 旧模型名清理（deepseek-chat/reasoner 已于 2026-07-24 停用） - 请求体级测试 + 变异验证（把 none 改回 low / 把 thinking 改回只 WARN → 对应断言 FAIL）	2026-10-03 20:22:31 +08:00
AskaEth	0624d9ee36	feat(session,runtime): 多角色并存—按会话选角（迁移0011 + 按回合解析 + agent池 + 提取器修正） ... 按 DevDocs/design/22 批次 1 后端（§2/§3/§4.1-4.5/§4.7/§5 验收 1-6）。 - 迁移 0011：chat_sessions.persona_id + chat_messages.persona_id（均 DEFAULT ''，无回填 → 升级零风险）；同步包内幂等 DDL；**真实库升级验证**（拷贝 data/cyrene.db 到临时目录跑 MigrateUp：既有 1 会话/109 消息 persona 仍为 ''，原库未被触碰） - history：SessionMeta/Message 加 PersonaID + SetSessionPersona；ListSessions/List/scan/Append 带上 - runtime：SessionEnv.PersonaID + loop.personaFor(ctx) 替换固定 l.personaID（memory/request/turn）+ **agent 池**（Options.Agents，按角色取 instructions，未命中回落）+ **提取器不再把 persona 烤死在构造期**（多角色下记忆不再永远记在 cyrene 名下）+ **thinking 旋钮改为按会话角色解析**（否则角色 Y 会用角色 X 的预算/展示） - gateway：会话 DTO/POST/PATCH 支持 personaId；ws/rest/voice 的 OwnerEnv 硬编改为**按会话解析角色**（actor 元数据语义不变）；admin memories 搜索去掉硬编 cyrene - Docs/api-client v0.42；**两处有意的行为收紧**已写明：POST /sessions body 非法 JSON → 400（原先完全忽略 body；空/null/{} 仍 201）；POST /admin/memories/search 省略 personaId 且无默认角色 → 400（原先默认查 cyrene） - 测试：design/22 §5 验收 1-6（记忆隔离/提示词首条 system/情绪按角色/提取 persona 归属/迁移兼容）+ 进程内 e2e（断言 adapter 收到的 model.Request.Messages[0] 即该角色的 systemPrompt） - **已知未做（留批次 2 / 待确认）**：① IM 与渠道级未做 → **§7-3「owner 私聊镜像随主会话角色」尚未生效**；② 请求级覆盖未实现（本批只做会话级）；③ **§7-5 的「上下文发送角色标记」只完成存储+DTO 半边**——消息 persona 已落库且 DTO 已带，但模型上下文不从 chat_messages 重建，「第 N 条是谁说的」尚未进上下文（需确认是否属批次 2）；④「切角色重建摘要」当前是空操作（压缩未接线）；⑤ thinking 旋钮仅在流式路径生效（非流式 agent.RunStep 不带，A 批次既有性质） - 验收：go build/vet/test 全绿 + linux/amd64 与 darwin/arm64 交叉编译（既有 flake 本轮未触发；同批 session_orchestrator.go 一度 501 行 → 抽出 session_tail.go）	2026-10-03 20:12:29 +08:00
AskaEth	38a403afca	feat(persona,model,loop): 人格 thinking 配置 + 5 个死字段接线 + 推理旋钮（按 provider 映射） ... 按 DevDocs/design/01 §2.1/§2.2 与 design/04 §3.2 实现（规格含联网核过的官方依据：思考内容刻意不角色化、不写分步思考指令、思考控制只走参数级）。 - 人格 schema 新增 thinking：budgetTokens / effort / showToUser(*bool，省略=nil=保持现行为，显式 false=只落库) / mode(default|on|off→Enable 三态)；非法 mode/负预算 → ErrInvalidThinking（不静默） - 5 个死字段接上注入：personality→values→speechStyle→catchphrase→background 拼为独立段落（带【】小标题，空值不拼）；**全空时输出与旧实现逐字节一致**（有专门测试） - model.Request 新增 Thinking{ BudgetTokens, Enable } 与 ReasoningEffort；新增 model/reasoning.go：厂商识别（模型名→baseURL 兜底）、取值白名单（OpenAI 系 none…max / DeepSeek low|high|max）、非法值降级+WARN、**不支持一律 WARN 而非静默**；Anthropic 映射 thinking{budget_tokens} 并**保证 budget<max_tokens**（不足时抬高 max_tokens+WARN，正是历史上思考吃光预算→空回复那个坑） - loop：新增 Options.ThinkingShowToUser(*bool) 仅门控 thinking_* 帧（正文/工具帧不受影响）；场景级 mute 语义不变 - 补一处任务清单外但必需的接线：persona→model.Request 的 thinking 映射（否则 budget/effort/mode 会变成新的死字段）；showToUser 刻意不产生 Thinking（纯呈现开关） - 管理端：personaUpsertRequest 补 thinking DTO + 校验（400）；PUT 省略时**保留已存块**（防旧客户端抹配置）；写侧 yaml round-trip 已验证 - Docs/api-client v0.40→v0.41（可选请求字段） - 测试：26 个新用例（loader 解析/拼接逐字节/映射、anthropic 非流式+流式预算约束、openai 透传/降级/丢弃、Qwen 诚实 WARN、loop 门控、DTO round-trip）；3 次变异验证（省略与 false 混同 / 去掉预算约束 / 短路门控 各自 FAIL） - 验收：go build/vet/test 全绿（含 57 包）+ linux/darwin 交叉编译 + 前端 build；唯一 FAIL 是既有 flake TestInterruptCancelsTurnAndClearsPending（3/20 新代码 vs 3/20 纯 HEAD，已归因非本次引入）	2026-10-03 19:54:22 +08:00
AskaEth	3f79159fbd	feat(auth,gateway): 接线 viewer 只读门 — 12 条监控 GET 对 viewer 开放，敏感档保持 owner/admin ... 背景：auth.go 注释写着 RoleViewer 是只读监控档，但实现从未接线 —— 管理侧 24 个 GET 全是 owner/admin，viewer 全 403。本批把它接上（手机端「全功能管理」的前置之一）。 - routes.go：新增第四道门 viewerAuth = Authorize(owner, admin, viewer)；registerAdminRoutes 传入。**只**把 12 条只读监控 GET 从 writeAuth 换过来：personas / sessions / plugins / plugins-installed / channels / iot / automations / rag / observability{metrics,trace,logs} / notifications；其余 12 条读与 32 条写**一行不动** - 保持 owner/admin（viewer 403）：memories / llm / users / backthink / audit / sessions-export / channels-messages ×2；owner-only（35 条）含凭据获取（login-qr/login-status）、channels view/friends、全部写操作 - 三处「编码旧策略」的既有测试按**新权限矩阵**改写（不是放宽）：gateway_test 的 /admin/plugins viewer 403→200 且补一条 memories 403；observability_logs 的 ViewerForbidden→ViewerReadsTail；notifications 的 viewer 403→200 - 新增 rbac_viewer_test.go：5 个顶层 / 185 个子测试（12 条×3 角色 200、9+35 条 viewer 403、admin 在读档非 401/403 且在 owner-only 403、56 条匿名 401、写路由 viewer 403）；含 3 次变异验证（含**反向变异**：把 memories 误放开为 viewerAuth 会 FAIL） - auth.go 的 RoleViewer 注释改为**实际**可见面；Docs/api-client 新增 §2.0 管理侧权限矩阵 + 变更记录 v0.40；顺带修 §0 一处不实陈述（原写「管理端另支持 X-API-Key」→ 标注尚未接线） - 验收：**隔离 worktree（HEAD + 本片）** go build/vet/test 全绿 + linux/amd64 与 darwin/arm64 交叉编译 + gofmt 干净（主工作树此时被另一代理的在途改动占用，见下条提交） - 已知遗留（未改前端，按范围只记录）：管理面板未按角色隐藏分区 → viewer 打开 memories/users/llm/审计等页会吃 403（应做能力降级）	2026-10-03 19:27:25 +08:00
AskaEth	a51aadeef4	refactor(weixin-ilink): 措辞纠正 —「会话过期」→「会话被 iLink 拒绝」（零逻辑改动） ... 事实（主人 2026-10-03 确认）：iLink 的 bot token 是长期凭据（一个月前扫码的仍可用）；errcode=-14 是 iLink 侧拒绝/作废该会话，不是时间性过期；且至今未观测到真实 -14（当日全部日志 0 次）。此前代码把这些写成「过期」，属沿用的旧命名，现纠正。 - 纯改名/文案：ErrSessionExpired→ErrSessionRejected、errSessionExpired→errcodeSessionRejected、expired/expiredToken→rejected/rejectedToken、markExpired/expiredLocked/expiredState→markRejected/rejectedLocked/rejectedState；409 错误码 session_expired→session_rejected - 行为一字未改：显式标记 / Connect 不假 OK / 面板 needsRescan+lastError / 扫码或换新 token 即清除 全部保留 - 微信协议自身的「二维码过期」与 auth 的 JWT/refresh 过期一律未动（那些是真·时间性过期） - Docs/api-client v0.39 补事实说明；顺手收尾 3 处残留注释（admin.go / channelbridge/inbound.go / readloop_test.go）	2026-10-03 18:26:27 +08:00
AskaEth	cdc370dc82	feat(weixin-ilink,gateway): 会话过期显式化 — 不再静默变哑/假 OK 重连，面板可见「需重扫」 ... - 适配器新增过期状态机(plugins/channels/weixin_ilink/session_state.go)：getupdates/sendmessage/getuploadurl 收到 errcode=-14 即 markExpired（ERROR 仅一次，只带 bot_id，token 永不入日志），扫码登录拿到新 token 或配置换新 token 时清除（惰性比对） - Connect/HealthCheck 在过期时返回 ErrSessionExpired（可与 ErrNotConnected 区分）：不再对死 token 设 connected=true 报假成功；发送路径同样返回该错误而不是笼统 ErrNotConnected - 网关：POST /admin/channels/open 遇过期 → 409 session_expired + 明确文案（不再吞错回 200）；GET /admin/channels 摘要新增 needsRescan/lastError（经可选接口类型断言读取，取不到不伪造） - channelbridge：读循环非取消退出时把自身记账的 connected 置 false（热重载被替换者退出不抹掉新实例） - login/login_admin：过期时 StartLogin 允许重新出码、LoginStatus 如实报 failed（原先可能把死 token 当 confirmed 重新落盘） - Docs/api-client v0.39；新增 5 组测试 + 变异验证（去掉标记/恢复假成功/网关不填字段 均 FAIL）	2026-10-03 18:00:01 +08:00
AskaEth	22e8398110	feat(contract,gateway): B4 枚举权威表 — GET /api/v1/meta/enums + 未知值回落约定 ... - 新增 internal/contract/enums 叶子包：platform/mood/mode 三表 + UnknownFallback="display-raw"；每次调用返回新切片，无包级可变全局 - GET /api/v1/meta/enums（anyAuth 只读、纯投影、无 store/无错误路径） - 反漂移 4 处：真构造内置适配器断言 Name() 与表双向相等、真工厂 buildAccountAdapter 逐项可建、mood 对齐 emotion 常量 + 默认转移表、mode 对齐前端 MODES（跨语言，文件缺失则 skip） - Docs/api-client §1.1 枚举权威表 + 行15 + v0.38；api-reference §3.7 + 行12	2026-10-03 16:55:22 +08:00
AskaEth	e8eccd2bb2	feat(history,gateway): D4 会话未读/已读游标 — unreadCount + POST /sessions/{id}/read + session_read 广播 ... - chat_sessions 增 read_at（毫秒，与 chat_messages.created_at 同单位）；迁移 0010 并把既有会话回填为各自最新消息时间（升级当天不误报） - ListSessions 单查询派生 unreadCount（无 N+1，复用 idx_chat_msgs_session_created 覆盖索引） - MarkSessionRead 只前进 MAX(read_at, ?)；未知会话 ErrSessionNotFound；游标方法挂在网关消费侧窄接口（沿用 GetMessage/messageLookup 先例，避免污染 runtime 接口与其 fake） - POST /api/v1/sessions/{id}/read：writeAuth + 400/404/501，成功广播 session_read、失败路径不广播 - Docs/api-client v0.37（§1 unreadCount / 新行 8a / §3.9 session_read / §4.2 用法） - 含迁移回填测试、store/handler 测试与变异验证；顺带把 migrate_pinned_test 的「回退一步=0009」硬编码改为对迁移数量免疫	2026-10-03 16:47:55 +08:00
AskaEth	61cc32c44b	feat(gateway,loop): A1 流式帧附加 sessionId/turnId — 多会话并发流式可路由 ... - model.StreamEvent 增 SessionID/TurnID（适配器在 loop 之下，恒留零值） - loop 在回合边界注入；覆盖 stream.go 与 tools.go 的 tool_execution 发射点 - 网关 runTurn 每回合生成 turnID 并经 loop.WithTurnID 挂进运行上下文（编排层与 legacy 直连的唯一收口点）；broadcastStream 填充 wsEvent - Docs/api-client v0.36 契约与变更日志；v0.10 条目标注为已被补齐 - 新增 loop/gateway 测试，含变异验证	2026-10-03 16:08:52 +08:00
AskaEth	025dd1796b	feat(observability): 日志聚合后端 — logger环形缓冲 + GET /admin/observability/logs ... - internal/logger/ring.go: Entry{time,level,source,msg} + RingBuffer(2000,满覆盖最旧,不阻塞)+ringHandler(slog旁路,Enabled委托内层,sourceOf提取source=再回落Scoped); Options.Ring非nil才包 - gateway/observability_logs.go: GET /admin/observability/logs?level=&limit= (writeAuth owner/admin) → {data:[{time(RFC3339 UTC),level,source,msg}]} 最新在前; level阈值过滤(warn=warn+error,已标注取舍); limit缺省200上限1000; 未知level400/未注入501 - routes.go注册 + observability.go SetLogBuffer(atomic.Pointer) + cmd/cyrene main.go/wireGatewayLogBuffer接线(logger先于gateway) - 控制台/文件输出零变化; 记录只源自已产出日志,不额外打印敏感 - Docs/api-client v0.35; 测试(ring 10 + observability_logs 8 + cmd端到端2); build/vet/test绿(56)+win/darwin交叉编译	2026-10-03 15:22:03 +08:00
AskaEth	79589b5c9f	refactor(gateway): 拆 ws_hub.go 589→182(纯搬移零逻辑) — conn/turn/origin/message_event 四文件 ... - ws_hub.go 182(hub核心/常量/wsEvent/newHub/broadcast) + ws_hub_conn.go 165(连接层handleWS/read·writePump) + ws_hub_turn.go 168(relay/streamChat/runTurn/interrupt/broadcastStream) + ws_hub_origin.go 73(Origin校验) + ws_hub_message_event.go 30(message_edited/deleted广播) - 代码行多重集 identical + 顶层声明diff空; 每文件≤500/函数≤80(最大handleWS 28/streamChat 25) - gateway测试绿 + build/vet + win/darwin交叉编译绿	2026-10-03 15:19:57 +08:00
AskaEth	2720d77331	feat(gateway+web): D 消息编辑/删除 WS 实时广播 — message_edited/message_deleted ... - 后端: ws_hub.go broadcastMessageEdited(完整DTO,thinking剥离)/broadcastMessageDeleted(全广播+sessionId,前端过滤); history_write.go PATCH/DELETE成功后触发(404/400/501不广播); history/message_ops.go GetMessage(导出壳,取删除前sessionId) - 前端: useAppStore.updateMessageById/removeMessageById + messageEventApplies(同会话过滤); ws.ts 消费两事件(缺content丢弃); dispatchFrame导出(可测) - 真机e2e: PATCH/DELETE → WS收到 message_edited/message_deleted, 二次删404无帧 - Docs/api-client v0.34 §3.8; 测试 history_write_broadcast_test + messageSync.test(14 checks) - 遗留: 前端编辑/删除UI入口+api客户端函数未接(lib/api 无 PATCH/DELETE messages); ws_hub.go 589行>500(既有)	2026-09-30 11:58:49 +08:00
AskaEth	4ea68d17f3	refactor(gateway+model): 拆 gateway/server.go 719→204 + 重构 scanSSE/processFrom 到 ≤80行 ... - server.go 204 + 新 routes.go(193,路由注册/Handler/withMiddleware)/deps.go(108)/contracts.go(231,17依赖接口)/broadcast.go(78,BroadcastPersisted/CapacityAwaken/Mood); 导出面不变; 74条路由pattern+RBAC门逐条比对一致 - model/openai_stream.go: scanSSE 138→25(parse/apply/finalize 对齐 anthropic_stream); openaiStreamState结构体 - channelbridge/inbound.go: processFrom 112→46(blacklistDrop/inboundTargetFor/runInboundTurn/deliverReply) - 纯行为等价; build/vet/test绿(56包)+win/darwin交叉编译	2026-09-30 11:58:49 +08:00
AskaEth	153a9d6211	feat(runtime+admin): A2 LLM异步提取接线 + A4 Tracing接线 + A6通知后端聚合 ... A2 异步记忆提取: - loop/memory.go: asyncExtractor接口(ExtractAsync)+extractMemoryAsync(60s超时,WithOutCancel,dispatch即返回,后台落库,失败仅Warn)+persistMemories共用 - run.go 三个回合落定点改异步提取; 删除run.go逐步提取(design/03'每轮后', 避免多轮工具N次LLM调用/重复写) - cmd/cyrene/extractor.go buildMemoryExtractor: llmGroupUsable为真→LLMExtractor, 否则回落ManualExtractor(日志说明); keylessEndpoint放行loopback/私网 A4 可观测性 Tracing: - cmd/cyrene/observability.go: newAppTraceWriter+traceFanout(多sink)+gatewaySpanSink(走gw.ObserveSpan,喂环形缓冲+LLM/subagent指标) - wire.go 注入; 未改trace/gateway数据结构 A6 通知后端: - internal/services/gateway/notifications.go(311行): GET /admin/notifications?type=&before=&limit= (adminAuth) - 聚合已有源(obs.audit SQLite + s.backthink), createdAt倒序, id=source:id; 类型派生(channel/system/audit/backthink); 无新建表/无新Deps/wire零改动 - 诚实: backthink仅shouldPush计, 未注入源为空, 报错500, 未读游标后置 - 契约与前端Y一致: {id,type,title,body,source,createdAt}, before含游标(<=), type未知400 - Docs/api-client v0.33 全仓 build/vet/test绿(56包)+win/darwin/linux-arm64交叉编译绿; 新增测试(memory_async/extractor/observability/notifications)	2026-09-30 09:03:16 +08:00
AskaEth	1a85de555d	feat(emotion): A1 情绪系统接线 + refactor: 拆分 channelbridge.go ... A1 情绪接线: - loop 回合边界钩子(TurnEnd/OnTurnEnd/settleTurn, Result.Mood); 每轮一次非每步 - persona/emotion: React(valence五档) + Machine.Move(BFS最短合法路径一步) + Observer(observe/decay/好感度,仅变化才emit); 好感度步长读角色配置(cyrene delta=10, 0..700) - 落库 Mood(web session_persist.res.Mood + IM channelbridge/persist; user消息不带mood); WS mood事件(BroadcastMood,仅变化); per-persona隔离; 群聊/陌生人只读不写不发 - cmd/cyrene/emotion.go 生产接线 + wire.go 注入 loop.Options.OnTurnEnd - 22 测试(状态机被loop调用/Mood非空落库/mood帧shape/只变化才发/群聊只读) + 真二进制冒烟 - Docs: api-client v0.32 §3.7 情绪事件 + 开源对照清单(companion 应用对照) - 诚实: 本机无LLM凭据→未活体验证'模型返回后完整轮次'一环 拆分 channelbridge.go 816→257(纯搬移零逻辑): connect/inbound/outbound/blacklist/helpers.go; A1 的 IM mood 调用点落在新 inbound.go, 故与本提交同批 回滚 6 个 gofmt 顺手格式化文件(capacity_loop_test/flow/source_test/findchannel_test/admin_channels_platform_test/history) 缩 diff, 含 history.go 注释被转弯引号	2026-09-30 08:51:38 +08:00
AskaEth	2dee372fb2	feat(backthink/admin): ③b — rag/delete 真实现 + D1 推送出口钩子(自建优先→个推兜底) + api-reference 补 D2/D3/D5 补丁 ... - B5: POST /admin/rag/delete 真做(DeleteDocument→DeleteProject 级联删章节+索引清理, owner+审计, 200/404/500, 500降级兜底); users/iot scenarios+rules 诚实501(无用户表/IoT场景规则模型, 消息写明缺什么, 不伪造), 锁住 501+not_implemented - D1: backthink/push_outlet.go PushExporter{Export}; pushOutlet 自建HTTP(2xx=送达, token仅Authorization头+error脱敏)优先→Getui兜底(未接入, 诚实日志'getui not integrated'+(false,nil)); backthink.Deps.Exporter → pusher.withExporter, Push 在WS/IM后 exportAsync(detached+5s超时, 失败仅日志, 不破坏现有投递, 限流不上报); config PushOutletConfig(PUSH_EXPORTER_* + GETUI_*占位) - 前端 Rag.tsx/api.ts 删除后 reload + 类型; Docs/api-client v0.31 + api-reference(#23 owner/200-404, §8.4, 端点表PATCH/DELETE messages + pinned + messages?q=) - 测试(push_outlet/admin_rag_delete/admin_honest501/knowledge store), 后端+前端build全绿+3平台交叉编译 - 刻意: Getui SDK 未接入(无SDK不硬造), 主人自建服务填 PUSH_EXPORTER_URL/TOKEN 即可	2026-09-09 00:08:29 +08:00
AskaEth	844b2a74c1	feat(history): 消息搜索/编辑/删除 + 会话置顶(D2/D3/D5) ... - history/message_ops.go(新): Search(会话内, q/after互斥, LIKE参数化+%/_转义+大小写不敏感, 严格限定会话doc) / UpdateMessage(返回更新后Message) / DeleteMessage / messageByID / escapeLike - history/session_pin.go(新): SetPinned; 迁移0009 chat_sessions加pinned INTEGER DEFAULT 0; store.go SessionMeta.Pinned + createSessionsTable加列 - session_preview.go: 查询加s.pinned + ORDER BY pinned DESC,(type=main) DESC,created_at ASC - gateway history_write.go(新,保持history.go≤500): handlePatchSession(pinned+title) / handlePatchMessage / handleDeleteMessage; server.go加PATCH/DELETE /api/v1/messages/{id} + /sessions/{id}置顶 - history.go: handleListMessages读q分流Search; 契约PATCH title/置顶 - D2会话内搜索(不做跨会话,隔离会话不外泄红线); D3不做重发端点(客户端编辑后再发); D5用pinned bool - 测试(message_ops/history_messages/migrate_pinned), build/vet/test绿+3平台交叉编译; Docs/api-client v0.30 - 未做: 编辑/删除WS实时广播(message_edited/deleted), 下批	2026-09-08 23:59:13 +08:00
AskaEth	18b2040c95	feat(admin): 面板补全 — 插件安装表单+已装列表 / LLM组maxTokens展示编辑 / POST admin/llm 部分编辑合并 ... - 前端: api.ts(adminPluginInstall带config/uninstall/listInstalledPlugins) + types + plugins/InstalledPlugins.tsx(已装列表+安装表单, Miuix) + llm/LlmProviderForm.tsx(maxTokens输入) ; Plugins.tsx去假安装按钮 - 后端 admin_write_llm_channels.go: llmProviderRequest字段改指针, mergeLlmProvider部分合并(省略保留原值), runtimeconfig/models.go Find - 新增测试 admin_write_test TestAdminAddLlmProviderPartialEditPreservesFields - 前端 build + 后端 build/vet/test 全绿; Docs/api-client v0.29 - (面板无法实机登录, 用 react-dom/server 冒烟渲染 LlmModule/PluginsModule)	2026-09-08 23:47:09 +08:00
AskaEth	70c9fba529	feat(plugin): 插件热安装(MCP server) — POST /admin/plugins/install 连接+发现+注册工具进registry+落盘plugins.json ... - capability/plugin/manager.go: Manager(Install/Uninstall/List/Restore/Close); Install=连接+发现+mcp:name注册工具,失败不落盘; holder持有*mcp.Registry; boot Restore重装 - config/runtimeconfig/plugins.go: PluginConfig(Normalize/Validate), LoadPlugins/SavePlugins(0600+tmp+rename)/Upsert/Delete/Masked(apiKey+敏感env掩码) - mcp: MCPConfig加APIKey/Env, http/sse Bearer应用, stdio子进程env合并; registry.ToolNames() - gateway: adminPluginInstall/Uninstall/ListInstalledPlugins; Deps.Plugins注入 - cmd/cyrene/plugins.go: wirePlugins(boot Restore+close) - 契约: body{kind:mcp,name,config{transport, endpoint?/command?,args?,apiKey?,env?}} → {installed,name,kind,transport,toolCount}; 失败502不落盘/非法400/未注入501; 卸载连带unregister+删配置 - 测试(manager/plugins/admin/mcp_auth/组合根), build/vet/test绿+3平台交叉编译 - Docs/api-client v0.28 + api-reference install=501改真实; .gitignore加plugins.json - 前端api.ts仍发旧body(无config)会400, 面板安装表单待后续	2026-09-08 23:20:12 +08:00
AskaEth	53002f1e11	feat(model): LLM token 预算可配置化 — models.json每模型maxTokens + LLM_FALLBACK_MAX_TOKENS回退兜底 ... - config.go: LLMConfig.FallbackMaxTokens(LLM_FALLBACK_MAX_TOKENS, 默认8192) - runtimeconfig/models.go: Group.MaxTokens(models.json每模型独立预算, 负值拒绝) - model/fallback.go: Chain.WithTokenBudget + applyBudget; runtime.go buildSnapshot接入(active.MaxTokens, env.FallbackMaxTokens) - 优先级: 显式Request.MaxTokens > 组maxTokens > 仅多步链末端的LLM_FALLBACK_MAX_TOKENS > 适配器默认8192; 单步链不动env兜底(避免OpenAI主模型行为回归) - gateway admin: AdminLlmProvider.MaxTokens 透传/回显/负值400 - .env.example + .env(LLM_FALLBACK_MAX_TOKENS=8192); Docs/api-client v0.27 + api-reference + design/04 - 新增测试(config/runtimeconfig/budget_test/admin_write), build/vet/test绿+3平台交叉编译	2026-09-08 22:42:27 +08:00
AskaEth	f43751fd07	feat(history): 消息正向增量拉取(A5) — GET /sessions/{id}/messages?after= ... - history/list_after.go: ListAfter(升序, created_at>after, 走覆盖索引, rowid兜底同毫秒) - HistoryStore 新增 ListAfter(store+fakes同步) - gateway history.go: handleListMessages解析after分流; after+before互斥400; 负数/非数字400 - 新增测试(list_after/history_after), build/vet/test绿+交叉编译 - Docs/api-client v0.26 + api-reference §3.4 同步	2026-09-08 21:49:12 +08:00
AskaEth	026b27b310	feat(auth): refresh token 续期(B2) — 不透明哈希+单次旋转+/auth/refresh+/auth/logout ... - auth/refresh.go: RefreshStore(Issue/Rotate/Revoke/RevokeAll/RevokeByUser), SHA-256哈希256-bit随机串, 单次旋转事务(并发重放fail-closed) - 迁移0008_refresh_tokens(id/user_id/role/token_hash UNIQUE/expires_at/revoked_at + 索引) - gateway: POST /v1/auth/refresh(旋转/续期) + /v1/auth/logout(单/全设备); login响应增refreshToken - config: AUTH_REFRESH_TTL(720h)/AUTH_REFRESH_ROTATE_DISABLED; decode.go 支持time.Duration - rotate-jwt成功后RevokeAll(响应refreshTokensRevoked), revoke-keys不动refresh - 14测试+真实二进制e2e, build/vet/test绿+交叉编译 - Docs/api-client v0.25 + api-reference §2.3/2.4 同步	2026-09-08 21:45:00 +08:00
AskaEth	7ecb43bd5d	feat(gateway): 图片上传端点(B1) — POST /v1/upload + GET /v1/files/{name} ... - upload.go: multipart上传(owner/admin+审计)→ {url,size,mime,name}; MaxBytesReader 5MB + DetectContentType嗅探 + 白名单raster(拒SVG/HTML) + crypto/rand 128-bit随机名 + 0700目录 - 静态服务: 同端口 GET /v1/files/{name}, 能力URL, 路径穿越全形态拒绝(.. / %2f / %2e%2e), nosniff, Range - errors: ErrPayloadTooLarge(413)/ErrUnsupportedMediaType(415) - server.go 路由+Deps.DataDir; wire.go resolveDataDir 注入 - 8测试+真实二进制E2E, build/vet/test绿+交叉编译 - Docs/api-client v0.24 + api-reference §0.3 同步	2026-09-08 21:36:03 +08:00
AskaEth	3fc10fb86f	docs(cors): X-API-Version 明确为 advisory 惯例头(E1) — 消除版本协商假象 ... - middleware: CORS Allow-Headers 加 X-API-Version(跨域客户端不再预检失败) - api-reference §0.2 + api-client §4.1: 声明服务端不校验、不据此协商版本 - 后端/前端零行为改动(前端仍在发,现CORS放行)	2026-09-08 21:24:36 +08:00