starpivot

137 Commits

3 Branches

2 Tags

248 MiB

Tree: 229ed2254b

Commit Graph

Author	SHA1	Message	Date
Rodger-Wang	48e31cf605	MCP 加会议纪要检索工具；用户类工具改用专用短时令牌鉴权 EMAI 助手此前答不了「我上次开会讲了什么」——纪要在服务端，助手拿不到。补 search_meeting_notes 工具，配套解决身份怎么传。身份链路（关键取舍）：百炼是第三方，MCP 请求经它转发，所以不能把网关那把能开全站的 JWT 交出去。新增 MCP 专用令牌：user_getmcptoken 由 home 签发（uid 从网关解出的会话取，客户端说了不算），aud=mcp、TTL 2h，用独立的 MCP_TOKEN_KEY 签。即使泄漏，能做的也只有读这一个用户的只读数据，且两小时后失效。 ⚠️ 裸 uid 参数已不再被信任：谁都能填别人的 uid。ResolveUIDWithToken 要么拿到 Authorization 里的登录态，要么拿到这张令牌，两者都没有就直接拒。 auth_mcptoken_test.go 守着这条底线（含 aud 不符、过期、换密钥三种伪造）。 ⚠️ 令牌必须按工具名嵌套传：真机实测百炼不会把 biz_params.user_defined_params 平铺进工具参数——那次调用服务端只收到 [limit]。按 {"工具名": {"auth_token": ...}} 嵌套才生效。这个形状文档没写死，是试出来的。检索是三级回退：全文索引(按相关度排序) → LIKE(兜单字，ngram_token_size=2 时单字进不了索引) → 最近几条。最后一级不能省：模型常把「最近的会议纪要」整句当关键词传，纪要正文里不会有「最近」二字，LIKE 全落空，用户看到的就是「查不到您的会议纪要」而库里明明有。回退结果带 fallback 标记，免得模型把「最近一次会议」当成「你问的那次会议」来答。文件头注释里记了三个「该换向量/知识库方案」的触发条件，量大了照着判断。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	1 month ago
Rodger-Wang	73eb2ef2ca	MCP 补上会话鉴权，并挂三个拾忆只读工具 ## 先修鉴权：此前公网接口完全没有身份校验 authFromRequest 只把 Authorization 塞进 context，全仓没有一处读回来，也没有任何 JWT 校验；三个用户工具（get_user_tasks / allhelp_task / cancel_user_task）的 uid 都是 mcp.WithString("uid", Required()) —— 由大模型填进来的普通参数。而 mcp 是独立进程、独立端口 7300，不经过 gateway 那套 parseToken + isInWhiteList （那只管 /api/* 和 /web/），又必须对百炼公网可达。所以这不是「内网接口没做鉴权」，是公网接口完全没有鉴权：知道 uid 就能读改任意人的数据。新增 modules/mcp/auth.go： - 从 Authorization 解 JWT 取 uid，与 gateway/core.go 同一套口径（RegisteredClaims， uid 在 ID 字段）；兼容 "Bearer xxx" 前缀（gateway 收的是裸 token，标准 MCP 客户端会加前缀）。 - 参数里的 uid 只用于比对，不一致直接拒。不静默改用会话 uid——调用方显然误以为自己能指定用户，让它失败比让它以为成功了更安全。 - 解不出会话 uid 一律拒，不回退到参数 uid，那等于这层没做。 - TokenKey 未配置时拒绝所有用户数据类工具：配置漏了导致鉴权静默失效，比工具不可用严重得多。TokenKey 必须与 gateway 同值，两边都读 GATEWAY_TOKEN_KEY。存量三个工具同步改造，uid 参数保留但改为可选（兼容百炼后台已配好的工具定义）。 9 个测试守住这条线，其中三条是核心安全断言：参数 uid 与会话不符必须拒、没有 token 必须拒而不是回退、未配 TokenKey 必须全拒。另有伪造签名、过期 token、空 uid claim 的用例。 ## 共享查询层：避免 home 与 mcp 各写一份 comm/memoryquery.go。mcp 从不 RpcCall、只裸查 MySQL，如果记忆项的过滤条件、分类白名单、排序口径两边各写一遍，改了一边另一边不报错，只会让 EMAI 答的和 App 里显示的对不上——而且没人会发现。memory 模块的 listItems 也改走这里。 ApplyMemoryQuery 里 uid 为空时拼 "1 = 0" 而不是不加条件：少一个 uid 条件就是把全库记忆项返回给调用方，而它有两个调用方，其中一个公网可达。另提供 MemoryRelativeRange 把「本周/上月/最近7天」换算成日期区间给模型用—— 模型对「今天几号」的认知来自对话上下文，很不可靠，让它自己算 start_date 经常算错（SET_clock 把「下午 3:30」填成 03:30 是同一类问题）。 ## 三个只读工具 get_memory_items / get_memory_stats / get_memory_report。只读是刻意的*：新增/修改/删除不放这里。写路径的校验、幂等（client_key）、提醒时刻重算都在 home 的 memory 模块内，在 MCP 里复制一份必然漂移。录入走端侧指令（tool_calls）、查询走 MCP，这个分工不变。 - 花销按币种分行返回，不做汇率换算；同时给「分」和「元」，模型念元不容易错，留分是以免它想自己做加减时用浮点。 - get_memory_report 只返回已生成完的：还在生成中的 summary 是空的，给出去只会让模型编一段话填空。 - 返回给模型的是精简字段，不是整行 DBMemoryItem——client_key/gen_round/extra 这些内部字段对回答问题没用，只占 token 还诱导模型去解释它们。 - date_certain=false 的项带上 date_is_inferred 标记，让模型别把推断出来的日期当成用户确认过的安排来陈述。 - 模型填错分类时忽略该筛选当作「不限分类」，而不是整次查询失败——它多半会再填错一次。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2 months ago
liwei1dao	715f8e3818	上传厨师版本	4 months ago

Author

SHA1

Message

Date

Rodger-Wang

48e31cf605

MCP 加会议纪要检索工具；用户类工具改用专用短时令牌鉴权

EMAI 助手此前答不了「我上次开会讲了什么」——纪要在服务端，助手拿不到。
补 search_meeting_notes 工具，配套解决身份怎么传。

身份链路（关键取舍）：
百炼是第三方，MCP 请求经它转发，所以不能把网关那把能开全站的 JWT 交出去。
新增 MCP 专用令牌：user_getmcptoken 由 home 签发（uid 从网关解出的会话取，
客户端说了不算），aud=mcp、TTL 2h，用独立的 MCP_TOKEN_KEY 签。
即使泄漏，能做的也只有读这一个用户的只读数据，且两小时后失效。

⚠️ 裸 uid 参数已不再被信任：谁都能填别人的 uid。ResolveUIDWithToken 要么拿到
Authorization 里的登录态，要么拿到这张令牌，两者都没有就直接拒。
auth_mcptoken_test.go 守着这条底线（含 aud 不符、过期、换密钥三种伪造）。

⚠️ 令牌必须按工具名嵌套传：真机实测百炼**不会**把 biz_params.user_defined_params
平铺进工具参数——那次调用服务端只收到 [limit]。按 {"工具名": {"auth_token": ...}}
嵌套才生效。这个形状文档没写死，是试出来的。

检索是三级回退：全文索引(按相关度排序) → LIKE(兜单字，ngram_token_size=2 时
单字进不了索引) → 最近几条。最后一级不能省：模型常把「最近的会议纪要」整句
当关键词传，纪要正文里不会有「最近」二字，LIKE 全落空，用户看到的就是
「查不到您的会议纪要」而库里明明有。回退结果带 fallback 标记，免得模型把
「最近一次会议」当成「你问的那次会议」来答。

文件头注释里记了三个「该换向量/知识库方案」的触发条件，量大了照着判断。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

1 month ago

Rodger-Wang

73eb2ef2ca

MCP 补上会话鉴权，并挂三个拾忆只读工具

## 先修鉴权：此前公网接口完全没有身份校验

authFromRequest 只把 Authorization 塞进 context，**全仓没有一处读回来，也没有
任何 JWT 校验**；三个用户工具（get_user_tasks / allhelp_task / cancel_user_task）
的 uid 都是 mcp.WithString("uid", Required()) —— 由大模型填进来的普通参数。

而 mcp 是独立进程、独立端口 7300，不经过 gateway 那套 parseToken + isInWhiteList
（那只管 /api/* 和 /web/*），又必须对百炼公网可达。所以这不是「内网接口没做鉴权」，
是公网接口完全没有鉴权：知道 uid 就能读改任意人的数据。

新增 modules/mcp/auth.go：
- 从 Authorization 解 JWT 取 uid，与 gateway/core.go 同一套口径（RegisteredClaims，
  uid 在 ID 字段）；兼容 "Bearer xxx" 前缀（gateway 收的是裸 token，标准 MCP
  客户端会加前缀）。
- 参数里的 uid **只用于比对**，不一致直接拒。不静默改用会话 uid——调用方显然
  误以为自己能指定用户，让它失败比让它以为成功了更安全。
- 解不出会话 uid 一律拒，**不回退到参数 uid**，那等于这层没做。
- TokenKey 未配置时拒绝所有用户数据类工具：配置漏了导致鉴权静默失效，
  比工具不可用严重得多。TokenKey 必须与 gateway 同值，两边都读 GATEWAY_TOKEN_KEY。

存量三个工具同步改造，uid 参数保留但改为可选（兼容百炼后台已配好的工具定义）。

9 个测试守住这条线，其中三条是核心安全断言：参数 uid 与会话不符必须拒、
没有 token 必须拒而不是回退、未配 TokenKey 必须全拒。另有伪造签名、过期 token、
空 uid claim 的用例。

## 共享查询层：避免 home 与 mcp 各写一份

comm/memoryquery.go。mcp 从不 RpcCall、只裸查 MySQL，如果记忆项的过滤条件、
分类白名单、排序口径两边各写一遍，改了一边另一边不报错，只会让 EMAI 答的和
App 里显示的对不上——而且没人会发现。memory 模块的 listItems 也改走这里。

ApplyMemoryQuery 里 uid 为空时拼 "1 = 0" 而不是不加条件：少一个 uid 条件就是把
全库记忆项返回给调用方，而它有两个调用方，其中一个公网可达。

另提供 MemoryRelativeRange 把「本周/上月/最近7天」换算成日期区间给模型用——
模型对「今天几号」的认知来自对话上下文，很不可靠，让它自己算 start_date 经常
算错（SET_clock 把「下午 3:30」填成 03:30 是同一类问题）。

## 三个只读工具

get_memory_items / get_memory_stats / get_memory_report。

**只读是刻意的**：新增/修改/删除不放这里。写路径的校验、幂等（client_key）、
提醒时刻重算都在 home 的 memory 模块内，在 MCP 里复制一份必然漂移。
录入走端侧指令（tool_calls）、查询走 MCP，这个分工不变。

- 花销按币种分行返回，不做汇率换算；同时给「分」和「元」，模型念元不容易错，
  留分是以免它想自己做加减时用浮点。
- get_memory_report 只返回已生成完的：还在生成中的 summary 是空的，
  给出去只会让模型编一段话填空。
- 返回给模型的是精简字段，不是整行 DBMemoryItem——client_key/gen_round/extra
  这些内部字段对回答问题没用，只占 token 还诱导模型去解释它们。
- date_certain=false 的项带上 date_is_inferred 标记，让模型别把推断出来的日期
  当成用户确认过的安排来陈述。
- 模型填错分类时忽略该筛选当作「不限分类」，而不是整次查询失败——它多半会再填错一次。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

2 months ago

liwei1dao

715f8e3818

上传厨师版本

4 months ago

3 Commits (229ed2254ba5f195a4c96b6cf8e79961ce885eb1)