Tree: 90fe2d6c2a

along

along-test

main

memory-center-impl-v1

memory-design-v0.2

Branches Tags

${ item.name }

Create tag ${ searchTerm }

Create branch ${ searchTerm }

from '90fe2d6c2a'

${ noResults }

Commit Graph

38 Commits (90fe2d6c2acf66fd7ccf3e068ac2f9a5c5079d1e)

Author	SHA1	Message	Date
Rodger-Wang	76aa2032bf	services: 梳理并修「账号 ↔ 实名记录」的绑定口径 useridverify 明细是权威，user.idverified/idverifiedtime 只是后台筛选用的派生 缓存，两边是两次独立写，此前会各自漂移。纯逻辑收进 idverify_binding.go： - reconcileUserFlags：home 启动时双向校正派生标识，幂等。 - applyIdVerifyAttempt：已实名账号「修改认证」失败时，明细上的身份字段一律 不动。原实现先无条件覆盖姓名/掩码/指纹再看结果，一次填错就把账号上的实名 身份换成了没核验通过的人，verifytime 却还停在通过状态；再提交回原来那个人 又被当成换人重新计费。 - scrubCancelledUserIdVerify：注销同时清 idverified/idverifiedtime/gender。 原先只删明细行，账号在后台仍显示「已实名」、详情里却没有姓名证件。 - 换人/注销留痕到 useridverify_log，只存掩码+指纹，不存姓名（注销要清 PII）； 留痕失败只告警不阻断注销。 - alignCollation：user 表是 utf8mb4_general_ci（老库导入），gorm 新建的表是 utf8mb4_0900_ai_ci，联查直接报 1267。启动时把实名两张表 CONVERT 对齐。 CLAUDE.md 补这一节，含两条未修、属产品决策的边界（实名跟 uid 走、按应用库隔离）。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	3 weeks ago
Rodger-Wang	811a008545	services: 语音纪要→拾忆→MCP 链路审计落地；修两个「什么都没发生」的既有 bug 审计与落地计划见 docs/语音纪要-拾忆-MCP链路审计与落地计划.md，已在阿龙测试环境 逐条验收通过（记录见该文档 §5.1）。 ## 安全 echomeet 八个按 id 操作的接口**一处都没有比对 record.Uid 与会话 uid**，任何登录用户 改一个 id 就能读别人纪要全文、删改别人的记录、给别人的记录发起总结（扣自己算力， 但覆盖对方 summary 并触发对方的拾忆抽取）。统一改走带 uid 的查询： - 「不存在」与「不是你的」回同一个错误码同一句话——分开回等于给出一个探测他人 id 的接口；用的还是改动前记录真不存在时的 DBError，合法用户行为无任何变化； - 批量接口按交集处理、**不报错**：客户端轮询队列里本就可能留着已被别的设备删掉的 id， 报错会把整个轮询循环掀掉；delrecords 响应回实际删掉的那批； - starttask 的校验排在扣算力之前，否则拒绝了还先把钱扣了； - 回调接口是第三方来的、没有 session，不在此列。 - TestApisUseUidScopedQueries 扫源码守着：最容易复发的不是有人改回去， 而是新加接口时照旧写法抄一遍，那样既不报错也看不出来。 ## gorm 的 default: 标签吞零值 mysql.Insert = db.Table().Create(model)，gorm 对带 default: 的字段**一律把零值换成 默认值**。DBMemoryItem 的 date_certain(default:true) / remind_ahead(default:5) 因此 永远写不进 false/0：测试库 25 条记录全部落成 1/5，「待定日期」分组恒为空， 会议待办还会在 08:55 响提醒——与「会议待办默认不提醒」正好相反。 ⚠️ 加 Select("*") **救不了**：替换在 ConvertToCreateValues 的 reflect.Struct 分支里 无条件做，只看值是不是零值，与 Select/Omit 无关（DryRun 实测两种写法生成的 VALUES 一模一样）。改成插入后把这两列按结构体现值补写回去，并把真值还给调用方—— gorm 连结构体上的字段一起改了，不还原的话 memory_add 回给客户端的也是错的。 存量由 migrate_defaults.go 幂等修正（只碰 source=meeting 且 user_edited=0）。 ## 内容门槛 6 秒的测试通话、20 秒的单人自述照样被抽成「继续进行进一步的功能测试」这类废话待办， 再靠条数凑够周报阈值又触发一次 LLM 调用。门槛卡**转写正文**不卡纪要——内容太薄时 模型按模板兜底规则照样能写出六百多字。只拦抽取与 MCP 检索，**纪要照出**： 短语音备忘是合法用法，也不判成 SummarizFail（客户端把那个码显示成「请稍后重试」， 用户会一直点）。数据缺失时按通过处理，不因上游漏传一个字段就静默关掉抽取。 ## 其余 - 报告补偿：原先的 requeueIfStale 由 memory_getreport 驱动，而客户端调无参版本 → 走 latestUnconfirmedReport，那条 SQL 只查 state=Done，pending/processing/failed 永远查不出来也就永远补不了。新增 ensureRecent 挂在 memory_today：漏建的补建 （过与 cron 同一道条数闸门）、卡住的复用 requeueIfStale、失败的至多重试 3 次 （计数寄在 error_msg 的 retry=N; 前缀，fail() 必须保住它，否则上限形同虚设）。 加 enqueueOnce 判重与按报告 id 的 SETNX 生成锁，cron 与 ensure 撞上只跑一次 LLM。 - 说话人标签：finishSyncTranscribe 拼的是「Speaker 0」（空格）、其余是「Speaker_0」， 抽出来的负责人就成了 Speaker2、[Speaker_0] 各种样。四条写入路径统一走 normalizeSpeakers， 顺带修掉没开说话人分离时拼出「Speaker_」空尾巴。 - 时区：LoadMemoryLocation 现在认 IANA / 固定偏移 / CST（按 Asia/Shanghai 解释， 兜住已落库那批），认不出来仍退服务器本地时区但**打 warn**——原来是全静默的。 - 删纪要连带删自动待办（只删 user_edited=0），查询带 uid：入参来自删除请求， 光信 source_id 等于把归属校验的成果又丢一次。 - 回调幂等：两个回调既不看状态也不抢锁，与轮询撞车就各翻译一遍、各入队一次。 失败分支同样要过闸门——一条已 Completed 的记录被迟到的失败回调打回 TranscribeFail, 用户看到的就是「纪要好端端地变成了转写失败」。挡下来仍回 SUCCESS，不让第三方重投。 SubmitAITask 保持不判重（用户点的「重新生成」悄悄跳过等于按钮失灵）， 自动路径改走 submitAITaskOnce。 - 重复项统计：只展开闹钟。花销展开等于虚构金额，待办的 done/undone 按次拆不开。 ## 顺带修的两个既有 bug（部署验收时挖出来的） happen_date / period_start 都是 type:date 列 + DSN parseTime=True，读进 Go 的 string 是「2026-09-07T00:00:00+08:00」。SQL 比较靠 MySQL 转换还是对的，所以这个问题 **在任何日志任何报错里都看不见**，只在 Go 侧解析它的地方发作： 1. remind.go 的 expandItem 解析不了 → **memory_upcoming 恒返回 0 个提醒时刻， 整个拾忆提醒在服务端一直空转**（真机实测：建一条每天 08:00 的闹钟，slots 为 []）； 2. 下发给客户端的 happen_date 一直是 RFC3339 而非协议约定的 YYYY-MM-DD， 客户端 _localToday() 的字符串相等比较恒不匹配、_mergeRange 在区间端点会重复。 这也是审计里「会议待办会在 08:55 响通知」只能是推演的原因：实际一条都不会响， 两个 bug 互相遮蔽。修法两层：ParseMemoryDate 容忍带时间的形式（安全网）， 读路径出口统一归一（管对外格式），缺任一层都会留坑。 ## 列表骨架化（同批） echomeet_getallrecords 只回列表要用的骨架字段，original/translate/summary 占每条 97% 的字节（实测 59 条 ≈ 500KB，列表用得上的 15KB）。 ⚠️ 骨架记录**绝不能写回库**：mysql.Save 是整行 UPDATE，三列会被清空。 StartTask 允许对已完成/已阅/失败的记录「重新转写」，那期间 state=Transcribing 而旧 纪要还在库里，用户切一下列表页旧转写和旧总结就没了。轮询前重新取整条再操作， TestListEndpointNeverSavesBriefRecord 守着不许回退。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	3 weeks ago
Rodger-Wang	3709aa6e3b	services: 语音纪要 ASR 按优先级自动回退；翻译区分「语种不支持」与瞬时失败；OSS 配置在作用域归一后可兜底定位 - echomeet: SubmitTranscribeTask 首选 ASR 失败时按 Priority 依次尝试其它启用的识别服务， 并把 AsrSvcId 写回任务，回调才能找到对的服务；原先一次失败就 TranscribeFail - user_translate: 阿里 10005/10033（语向不支持/语种拼写错）不再当成瞬时错误， 直接回「该语言暂不支持翻译」；挪威语 nb-NO/nn-NO/no-NO 映射到 no - model_translate: 「跳过未接入 MT 服务」的告警去重，不再刷满日志 - ossconf: appName 为空时按指纹唯一匹配（作用域归一后全局行已不存在） Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>	4 weeks ago
Rodger-Wang	e00b617025	services,admin,client: 服务配置按应用隔离、应用参数下线、客户端凭据走加密 v3 后台 - 服务配置去掉「全局默认」层，svc_config / svc_region_override / echomeet_orch / echomeet_orch_setting / echomeet_template 五张表统一按 app_name 隔离， 启动迁移 migrate_scope.go 幂等分配（首个应用原地改名保 id，其余拷贝）； 写接口 app_name 必填（scope_check.go）。 - 类别落库 svc_category，可增删改；内置 11 个 id 不可改不可删，运行时语义仍只挂 comm.SvcCat*。 - 「应用参数」标签页下线：业务库 config 表不再随 user_getappconfig 下发， migrate_appparams.go 把 AGENT_TYPE / MOBILE_ELF_* 迁到服务 llm_mobile_elf、 iapCustomerServiceQQ 迁到 app_params，COMPUTE_*/NEWUSER_GIFT_* 留在 config 表不下发， 无人读的音乐/公码/导航/COS_*/MeetServers 删除，其余键保留并在启动日志告警。 - 删除 console appcfg/* 与 api 模块的 get/add/update/delconfig、唤醒音四个接口（无调用方）。 - 修 getmcpservers 仍查全局层导致 MCP 类服务永远读不到。 客户端 - 凭据改走结构化通道：user_getappconfig_v3 整体 AES-CBC 加密（api_crypto.dart， 拦截器须排在 AuthInterceptor 之前），AppConfig.cred(svcId, field, envKey) 取值， 老键名只作兜底；lib 内 AppConfig.env( 已降到 0 处调用。 - 图片翻译的 ALIBABA_VL_MODEL / ENDPOINT 改挂 ast_alibaba。 启动日志 - 删除 sys/auth/firebase（google_auth 的重复实现，零调用方，且同一错误刷两行）。 - api 模块不再每次启动无条件插入默认超管（Duplicate entry 'admin'）。 - sys/auth/* 五个包的 logger 名从复制来的 sys.tavily 各改各名； google_auth 启动时即判断配置是否可用。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	4 weeks ago
Rodger-Wang	268ce26bc9	services,admin: 凭据归一到 svc_config；后台服务配置菜单收敛；品牌商与公码下架 这一提交里有两条相对独立的线，落在同一批文件上（server.go / core.go / model.go / CLAUDE.md 等被两边同时改到），按文件拆不开，故合并提交。 ── 一、第三方凭据归一到 svc_config，后台「服务配置」从 11 项收敛到 6 项 ── 起因：凭据同时躺在两张扁平 key/value 表里——应用业务库的 config 与 console 库的 global_config，而合并下发时**全局那张赢**。同一个 AZURE_SPEECH_REGION / OPENAI_API_KEY / VOLC_OPENSPEECH_APP_ID / XUNFEI 密钥在两边值不一样，运营在 「应用环境配置」里改半天没有任何效果，且不报错。global_config 还按区域整份复制 （14 区 × 31 键 = 473 行），实测其中 27 个键是各区同值。 - comm.SvcField 新增 EnvKey（后台字段表里的「下发键名」列）：非空时该字段的明文值 同时以这个名字出现在 user_getappconfig 的 env 里。已发布的客户端只读 env， 靠它继续供货、无需发新包；新客户端直接读结构化的 thirdsvcs。 - env 覆盖层与 thirdsvcs 走同一份 VIP 过滤，否则 VIP 过期的用户虽拿不到 AST 条目， 却仍能从 env 里读出同一套通话翻译凭据，那道闸门就形同虚设。 - 同作用域内 env_key 不允许重名（checkSvcEnvKeys 在保存时拦）：重名时下发结果取决于 服务 id 排序，表现为「凭据时对时不对」。 - 一次性迁移 migrate_envtosvc.go（console 每次启动跑、幂等）：基础值取中国区现值， 只有与基础值不同的区域才写 svc_region_override，473 行收敛到几十行。 顺带修了两行填错列的历史数据（group 里是键名、key 里是值），正是它让 ALIBABA_BAILIAN_APP_ID/WORKSPACE_ID 恒为 null、客户端一直用代码里写死的兜底值。 不删 global_config 的行（不可逆的线上凭据，留作回退依据），确认跑稳后由人手工 DROP。 - 后台：「第三方服务配置」改名「服务与环境配置」，「应用环境配置」并为其第二个标签页； 「全局环境配置」下线只留重定向；Agent 配置、通话翻译配置、会议记录服务三页删除 （前两者对应的 agent_config、call_translate_rule 两表在测试机与正式机上都是 0 行）。 ⚠️ 会议记录服务删的只是后台入口，echomeet_orch 的数据与运行时都还在（两台机各 4 行， 是语音纪要识别/翻译/总结的服务选型来源），要换服务商现在只能直接改库。 阿龙测试环境实测：迁移前后 env 逐键比对，48/54 键值完全一致，丢失的 8 个全部是预期 丢弃（ALIBABA_OSS_* 与 COMMENT_* 无人读取、两个填错列的垃圾键名），无一个值发生变化。 验证中发现并修掉四个都不报错的坑：空值不能下发成 env 键（Dart 的 ?? 只兜 null， 空串会把默认值顶掉）、区域覆盖里的空串会把基础值抹成空、服务 enable=false 等于凭据 一个都不下发、启动时的模板补字段会给实例加空的加密字段导致误报「缺凭据」且保存被拒。 ── 二、品牌商(identity=3)与公码下架 ── brand 表、公码 authcode 及其全部后台页面与接口移除；账号作用域不再有 brandId， 设备/结算的归属改由渠道商推导。这部分不是本次会话中由 Claude 编写的。 验证：go build ./... + go vet ./... 通过，comm/console/user/echomeet/api 各包测试全绿； admin npm run build 通过。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	4 weeks ago
Rodger-Wang	37817f2e96	会员与算力：VIP 管准入、算力管计量；补上线落地文档 VIP 与算力两层权益各管一件事，判定与记账统一走 comm/compute.go： - VIP 管功能准入（无 VIP 时 user_translate / echomeet_starttask 返回 VipRequired）； 自购记 user.vipexptime，设备赋予记在 device_mac 行上（激活日 + 天数）， 两者在 ResolveUserVip 合并成有效值下发，库里仍只记自购——以前绑定礼把天数 累加进用户表，解绑时拆不开。 - 算力管用量计量，按后台系数折算，先扣设备赠送再扣用户余额。 三个旧额度桶停用，存量余额由 home 启动时一次性折进 computebalance。 - 闸门 COMPUTE_GATE 默认关：user_usages 是用完才上报、没有预扣， 现在开闸门形同虚设。 另含本次「阿龙测试服 → 正式服」上线落地文档（docs/）， 以及 admin 侧商品/设备/产品/用户页的配套改动。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	1 month ago
Rodger-Wang	73eb2ef2ca	MCP 补上会话鉴权，并挂三个拾忆只读工具 ## 先修鉴权：此前公网接口完全没有身份校验 authFromRequest 只把 Authorization 塞进 context，**全仓没有一处读回来，也没有 任何 JWT 校验**；三个用户工具（get_user_tasks / allhelp_task / cancel_user_task） 的 uid 都是 mcp.WithString("uid", Required()) —— 由大模型填进来的普通参数。 而 mcp 是独立进程、独立端口 7300，不经过 gateway 那套 parseToken + isInWhiteList （那只管 /api/* 和 /web/*），又必须对百炼公网可达。所以这不是「内网接口没做鉴权」， 是公网接口完全没有鉴权：知道 uid 就能读改任意人的数据。 新增 modules/mcp/auth.go： - 从 Authorization 解 JWT 取 uid，与 gateway/core.go 同一套口径（RegisteredClaims， uid 在 ID 字段）；兼容 "Bearer xxx" 前缀（gateway 收的是裸 token，标准 MCP 客户端会加前缀）。 - 参数里的 uid **只用于比对**，不一致直接拒。不静默改用会话 uid——调用方显然 误以为自己能指定用户，让它失败比让它以为成功了更安全。 - 解不出会话 uid 一律拒，**不回退到参数 uid**，那等于这层没做。 - TokenKey 未配置时拒绝所有用户数据类工具：配置漏了导致鉴权静默失效， 比工具不可用严重得多。TokenKey 必须与 gateway 同值，两边都读 GATEWAY_TOKEN_KEY。 存量三个工具同步改造，uid 参数保留但改为可选（兼容百炼后台已配好的工具定义）。 9 个测试守住这条线，其中三条是核心安全断言：参数 uid 与会话不符必须拒、 没有 token 必须拒而不是回退、未配 TokenKey 必须全拒。另有伪造签名、过期 token、 空 uid claim 的用例。 ## 共享查询层：避免 home 与 mcp 各写一份 comm/memoryquery.go。mcp 从不 RpcCall、只裸查 MySQL，如果记忆项的过滤条件、 分类白名单、排序口径两边各写一遍，改了一边另一边不报错，只会让 EMAI 答的和 App 里显示的对不上——而且没人会发现。memory 模块的 listItems 也改走这里。 ApplyMemoryQuery 里 uid 为空时拼 "1 = 0" 而不是不加条件：少一个 uid 条件就是把 全库记忆项返回给调用方，而它有两个调用方，其中一个公网可达。 另提供 MemoryRelativeRange 把「本周/上月/最近7天」换算成日期区间给模型用—— 模型对「今天几号」的认知来自对话上下文，很不可靠，让它自己算 start_date 经常 算错（SET_clock 把「下午 3:30」填成 03:30 是同一类问题）。 ## 三个只读工具 get_memory_items / get_memory_stats / get_memory_report。 **只读是刻意的**：新增/修改/删除不放这里。写路径的校验、幂等（client_key）、 提醒时刻重算都在 home 的 memory 模块内，在 MCP 里复制一份必然漂移。 录入走端侧指令（tool_calls）、查询走 MCP，这个分工不变。 - 花销按币种分行返回，不做汇率换算；同时给「分」和「元」，模型念元不容易错， 留分是以免它想自己做加减时用浮点。 - get_memory_report 只返回已生成完的：还在生成中的 summary 是空的， 给出去只会让模型编一段话填空。 - 返回给模型的是精简字段，不是整行 DBMemoryItem——client_key/gen_round/extra 这些内部字段对回答问题没用，只占 token 还诱导模型去解释它们。 - date_certain=false 的项带上 date_is_inferred 标记，让模型别把推断出来的日期 当成用户确认过的安排来陈述。 - 模型填错分类时忽略该筛选当作「不限分类」，而不是整次查询失败——它多半会再填错一次。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	1 month ago
Rodger-Wang	0b0ac16b3c	记忆中心后端：memory 模块 + 会议待办抽取 + 周报月报 按设计文档一~三期的后端部分落地。全量 go build / go vet 通过，新增 22 个测试。 memory 模块（modules/memory，由 home 装载，路径 /api/home/memory_*） 11 个接口：list / today / add / update / del / complete / upcoming / stats / getreport / confirmreport / listreports。 表由 proto + gorm tag 生成（不是手写 DDL——本仓所有业务表都走 mysql.CreateTable + AutoMigrate）。protobuf 没有 DECIMAL/DATE/DATETIME/null， 逐个落成：金额 int64 存分（与 pay/结算同口径，绝不用 double）、happen_date string + gorm type:date、next_remind_at int64 unix 秒（0=无）。 几处刻意的选择 - 建表失败只 Errorln 不外传。lego.Run 里 Init 返回非 nil 就 Panicf，而五个服务 同镜像、entrypoint 见任一 pid 退出就全杀，一次建表失败等于全站 502。 allhelp/model.go 那段用命名返回值 err，第二张表失败时会漏出去，是反例。 - client_key 服务端保证非空。它参与 (uid, client_key) 唯一索引，而 MySQL 的唯一 索引不像放行 NULL 那样放行空串，留空会让同一用户的第二条记录直接插不进去。 用 crypto/rand 生成：这个值是去重依据，可预测就可被抢占。 - 重复项的提醒改成「就地展开」。设计文档 v0.1 写的「remind_at 服务端算好客户端 直接用」对重复项不成立——一个字段表达不了「每天」，且没人在它过去后往前推。 现在 memory_upcoming 按项自己的 tz 展开成绝对时刻列表返回，不落库。 单条项按自己的 tz 算而不跟着请求方走：「今天有哪些事」是视图问题可以跟着人走， 「明早 8 点响」是承诺问题不能。 - 花销按币种分行统计，不做汇率换算。把 CNY 和 JPY 加成一个数是错的。 - 统计全部走 SQL，LLM 只把 stat_json 组织成一段适合朗读的话。明细截断到 20 条 （重度用户一周两百条未完成，全塞进 prompt 会顶爆上下文，播报也没人听得完）。 - 查询/删除/更新一律带 uid 作条件，报告确认校验 uid 归属。 - 更新字段走白名单而不是黑名单，漏挡一个 uid/id 就是越权改别人的数据。 选路走编排，不再写死服务商 新增 comm.IEchomeet.ChatLLM，由 echomeet 用它的 PickLLM/GetSummarizer 实现。 memory 的报告生成与会议抽取都经它选模型。allhelp/summary.go 直接 import sys/doubao 是历史债：绕过后台编排，海外应用照样调国内豆包、后台换模型也换不掉。 新模块不复制这个写法。 会议纪要 → 待办抽取（第三路） 挂在 AIProcess 写完 summary、状态置 Completed、出队之后，另起 goroutine。 prompt 内置代码不放 echomeet_template（1189 条模板改不齐，且输出要被程序 parse）。 输入用已生成的 summary 而非转写全文。注入 <meeting_date>，服务端二次校验 due_date：解析不出或早于会议当天的一律只留 due_raw、落会议当天并置 date_certain=false。抽取失败只记日志，绝不回头改 rec.State。 - gen_round 由 memory 按 source_id 现有最大值 +1 推出，不由调用方传。 echomeet 没有地方存轮次计数器，硬编码成 1 会让第二次「重新生成」的清理条件 gen_round < 1 一条都匹配不上，旧待办从此永远留在库里。 - 会议归属日期只能用 creationtime（上传时间）——DBEchoMeetRecord 上没有「会议实际 发生日期」字段，也没有客户端时区。补录历史录音会算错，是已知偏差，注释已记。 周报月报 cron 建单 → Redis 队列 → N worker。锁与队列 key 都过 redissys.RKey 加应用前缀： 测试机多应用共用一个 Redis，锁 key 不带前缀会让 A 应用挡住 B 应用整周不生成报告， 而且安安静静什么都不报。 补偿比防重更要紧：当前 compose 是单副本，多副本重复是前瞻性风险；真会发生的是 00:30 跑到一半容器重启、cron 不补跑、报告永远停在 pending。所以 memory_getreport 里做超时重新入队（同 echomeet 用 PollTranscribe 兜「转写回调丢了」的思路）。 文案生成失败不算整体失败——统计是完整的，宁可少一句话不可让报告整个没有。 顺带修的既有缺陷 - user 模块 cancel()（账号注销）补上 memory_item / memory_report 两张表， 以及既有遗漏的 useridverify（身份证掩码 + 加盐指纹）。这个清单是硬编码的， 漏了不报错，只是个人数据静静留在库里。 - errorcode.proto 新开 5201-5206 段。复用 ReqParameterError 会让客户端无法分流， 「报告还没生成好」该转圈重试而不是弹错。 测试 comm/memory_test.go 8 个：周日在 Go 里是 0、Dart 里是 7 的换算（错了不报错， 只会让每周日的闹钟在周一响）、ISO 跨年周、闰年二月、非法时区必须回退 time.Local 而不是 UTC（否则静默偏移 8 小时）、client_key 非空且不重复。 modules/memory 14 个：一次性/每天/每周展开、锚点在一年前仍能算出未来时刻、 过期项不排、灵感花销不提醒、全天项按 9:00 不落 0:00、展开结果必须升序 （客户端要按 iOS 64 条上限截断，顺序错了会把明天的排掉留下一周后的）、 项按自己时区算、LLM 输出容错（代码块/前后解释文字）与真失败必须报错。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	1 month ago
Rodger-Wang	8d580a545d	文件上传改走服务端签发预签名 URL，客户端直传阿里云 OSS 客户端不再持有对象存储的长期密钥。 旧实现用腾讯云 COS SDK 直连，bucket 与 SecretId/SecretKey 明文随 user_getappconfig 的 env 下发给每一个 App 用户（config 表的 COS_* 那几个键）。 抓包或反编译就能拿到这对长期密钥，而它对整个桶有读写权限——不只是自己那部分， User/ 下所有人的录音都能被拉走或删掉。 现在：新增 user_getuploadurl，服务端签发 15 分钟有效、且只对某一个 object key 生效的阿里云 OSS 预签名 PUT URL，客户端拿着它直传。存储与 console 后台传固件/ 产品图同一个桶（ymaioss），不再是两个云厂商两套存储。 服务端 - 新接口 modules/user/api_getuploadurl.go： · object key 由服务端拼死 EAIMAR/User/<uid>/<scene>/<yyyy/MM/dd>/<12位随机>.<ext>， uid 取自会话不采信客户端，客户端连自己传到谁的目录下都决定不了； · scene 白名单 LocalAudio / TranslatAudio / ExternalAudio / ChatImages ——加新场景前要把客户端 addUpload 与 UploadOss.upload 的调用点全捞一遍， 少一个值就是那条链路整条报错，且只在真机跑到才发现； · 扩展名白名单决定 Content-Type，不在表里直接拒，不回退成 application/octet-stream（那等于把桶变成任人上传的网盘）； · 随机名用 crypto/rand 而非 math/rand：key 可枚举就等于别人能猜到录音地址。 - 抽出 comm/ossconf.go：OSS 配置读取、上传根前缀、publicURL 拼接从 console 挪来， console 改为调用它。两边必须落同一个桶，各写一份迟早漂移。 解密用 ${FIELD_ENCRYPT_KEY}，console 与业务服务本就必须配同一把。 客户端 - upload_oss.dart 重写为「要 URL → dio 流式 PUT」，upload() 签名与返回值不变， MeetingUploadService 不用改。用独立 Dio 实例：项目那个挂着 AuthInterceptor， 会加 token 与业务签名头、还会把响应按业务 JSON 解析，直传 OSS 时全是多余， 签名头还可能与预签名冲突。 - Content-Type 必须用服务端回带的值，它计入了签名，写别的会 403。 - agent 图片的 rootDir 从 'User/<uid>/ChatImages' 改成 'ChatImages'： 前缀由服务端加，客户端再拼一层就是重复路径。 真机验证：录音落到 https://oss.ymaikj.com/EAIMAR/User/<uid>/LocalAudio/2026/09/04/howXMScPdsNP.wav， 下载 212524B 与库里 size 逐字节一致，Content-Type=audio/wav，文件头 RIFF/WAVE。 其余三个 scene 走同一段代码但尚未实跑。 ⚠️ 新老客户端并存：老包仍读 COS_* 直传腾讯云，config 表里那 5 个键先别删； 历史录音的 audiourl 是 COS 绝对地址，不会自动搬家。 ⚠️ 录音目前仍是公共可读的（bucket 公共读，实测匿名 GET 206、不存在的 key 404）， 只靠 12 位随机 key 不可猜测来保护。要锁住得转私有桶 + 播放时也签临时读 URL，未做。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	1 month ago
Rodger-Wang	24e17b3434	收拢积压改动：恒玄 OTA、发版配置拆表、实名认证、芯片厂商/代工厂管理等 把工作区里积压的多轮改动一次性入库。主要几块： 客户端 - 恒玄 OTA 打通：新增 local_plugins/bes_ota_manager（自包含 BES SDK， Android Java + iOS ObjC，SPP OTA 2.0），路由切到 BesOtaUpgradeView / BesOtaUpgradeController，配套下载服务；杰理那套文件保留但已不挂路由。 - 通话翻译新增阿里 3.5 档（alibaba35_language_config.dart， qwen3.5-livetranslate-flash-realtime + 实时声音复刻）。 - 实名认证接入、游客登录改走服务端 api_sgin 的 Tourists 分支、 功能闸门由 GuestGuard 改为 IdVerifyGuard。 - 41 个语种文案同步（OTA 新增 28 个 key 等）。 - 默认主题改为浅色，不跟随系统。 服务端 - 发版类配置拆表：app_release（版本控制 / 游客显隐，一应用一行）与 channel_app（渠道级下载地址 / 上架状态 / 支付渠道）分家， 新增 comm/apprelease.go 与 console/api_apprelease.go。 - 授权码字符串整体移除：删除 utils/license 包，新增 utils/devcode （MAC 规范化与 PID 反解），配套迁移 SQL 在 docs/migrations/。 - console 新增芯片厂商、代工厂、用户管理接口与对应 admin 页面。 - 身份证实名核验（sys/idverify）与第三方服务的服务端专用类别。 其它 - .gitignore 补挡 apps/services/lego/sys/gin/log-*.log：gin 子系统跑起来 会按时间戳滚动生成日志（多为 0 字节），与 apps/services/comm/log 同一 性质，不进版本管理。已跟踪的 log-2026-08-20 那个仍在库里，未动。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	1 month ago
Rodger-Wang	d7fad60658	设备表合表：license_<pid> 分表 → 全局 device_mac，只按 MAC 校验 设备的身份是它自己的 MAC，本来就全局唯一，定位一台设备不需要 pid。 原先按产品切分表，pid 既是查询键、又得由客户端猜出来，猜错就报 "这台 MAC 没登记在该产品下"——提示指向数据缺失，实际数据好好的。 触发改造的事故：一台已正确导入的 DEEPVOICE 耳机（MAC 在 license_b022， 产品 45090，status=0 未绑过）连不上、弹"设备连接受限"。根因是产品 45090 的 devicetype 被配成 2（BLE双端）而不是 1（经典蓝牙）：客户端 _resolveProductId 第一步就 where(devicetype==1) 把整个产品滤掉，候选只剩 Echo-one，名字互不包含 → 兜底退回 headsets.first.id = 45091，服务端拿错 pid 去 license_b023 查，自然查不到。而且就算 pid 猜对也过不去——服务端 只有 devicetype==1 才走 MAC 反查，2 会走 else 分支从空 code 反解 pid、 回退写死的 45058。 改动： - 新增全局表 device_mac（comm.TableDeviceMac），主键 code = MAC； productid 降为归属列，不再是查询键。TableLicense 标记废弃，只留给迁移读。 - registry.go 的 migrateLicenseToDeviceMac 每次启动跑、幂等： ① code := devicemac 修存量 → ② 按两表列名交集做 INSERT ... ON CONFLICT DO NOTHING（不能 SELECT *：各分表建于不同时期，有的多 factoryid/probatch） → ③ productid 为空的用表名里的 pid 补上。孤儿分表里也是真实发出去的设备， 一并搬。搬完刻意不删旧表——不可逆数据，旧表是出问题时唯一的回退依据。 - binddevice / unbinddevice 改为先按 code 再按 MAC 全局定位，命中行的 productid 才是产品。req.Pid 不再采信。杰理链路也顺带不需要 devcode 反解 pid 了。 - 新增 comm.ScopeToProduct：合表后分表那层天然隔离没有了，每个"按产品" 的读写都必须显式带 productid，漏一处就跨产品操作——查询多列几行只是 难看，批量禁用 / 按批次删除漏掉就是删别人产品的数据。它会把调用方的 条件整体括起来，防止 "a=? or b=?" 让 or 把 productid 短路掉。 - 导入查重改成全局：同一个 MAC 出现在两个产品下会让按 MAC 反查出现歧义。 - 客户端删掉 _resolveProductId，binddevice 只报 MAC 不传 pid。 按需求明确不做应用隔离：MAC 存在即放行。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	1 month ago
Rodger-Wang	90abb0ad42	身份证实名核验、翻译与新用户开户礼 本次会话开始前就已存在于工作区的改动，一并提交。主要是三块： 1) 身份证实名核验（sys/idverify + user 模块） 接入阿里云 Id2MetaVerify、腾讯云 IdCardVerification、创蓝三家 provider， 无状态工厂——配置在 svc_config 里按应用作用域存，调用时才解析。 客户端接口 user_idverify / user_getidverify。 凭据是云账号主 AK/SK，故新增服务端专用类别 comm.SvcCatIdVerify=11， 由 svcresolve.go 在下发口整条跳过，svcpool_serveronly_test.go 守着这条底线。 2) 翻译（sys/aliyun/translate + comm/lang.go） 语言码归一与阿里云翻译调用。 3) 新用户开户礼（newuser_gift.go） 配套 api_sgin 建号流程。 注：go test ./modules/user/ 里的 TestApiProbeAppConfigV3 会失败，但与本次改动无关 ——那是打线上接口的联调探针，硬编码的域名 app-dev.voitrans.net 已废弃、JWT 也过期了， 该文件自 b2577e16 起未改动过。go test -short 会跳过它，其余全部通过。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	1 month ago
Rodger-Wang	0663446f0c	运行日志 apps/services/comm/log 移出版本管理 lego 未配置日志路径时会在工作目录写 ./log，本地跑一次服务或 go test 就被覆写一次， 每次都产生一条无意义 diff（内容是同一条微信支付密钥解密失败的告警，只有时间戳在变）。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	1 month ago
Rodger-Wang	db47e0f3f0	游客登录入口改为后台按版本控制 需求：后台一个开关控制游客登录按钮显隐，且只对指定版本号的客户端生效， 其余版本一律隐藏（应用商店送审场景：只给正在过审的那一版开）。 白名单语义（comm.ChannelApp.ShowTourists）： - tourists=false → 全部隐藏 - tourists=true 且 touristsversion 空 → 全部隐藏（没点名任何版本 = 谁都不放行） - tourists=true 且 touristsversion=X → 只有版本号等于 X 的客户端可见 留空按"全隐藏"而非"全放行"是刻意选的失败方向：判宽的后果是不该露游客入口的版本 露了出去（过审风险、白嫖新用户开户礼），判严只是入口少显示。要全部隐藏就取消勾选， 后台 saveChannelApp 会拒绝"勾了开关却没填版本"这种等于没开的配置。 判定放在服务端，与 NeedForceUpdate/IsReviewing 同规矩：客户端在 user_getchannelapps 的请求里带 version，服务端把每条渠道配置的 tourists 换算成结论再下发。版本比较各端 各写一遍必然出现实现不一致，而这个开关直接关系到过审，判错代价高。 touristsversion 是 channel_app 的后加列，console 启动时用 ADD COLUMN IF NOT EXISTS 补上——CreateTable 对已存在的表跳过 AutoMigrate，不补就永远没这列。 注：db.proto / user_msg.proto / CLAUDE.md 里另有先于本次改动就存在的编辑，一并带上。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	1 month ago
liwei1dao	bb3b1c7a3a	上传代码	2 months ago
liwei1dao	b2577e16fa	上传最新的平台代码	2 months ago
liwei1dao	af05ff12ce	上传代码	2 months ago
liwei1dao	1639cf35a0	上传代码	2 months ago
liwei1dao	aca7204e57	上传代码	2 months ago
liwei1dao	554a4ab501	上传最新的版本代码	2 months ago
liwei1dao	948e368996	上传代码	2 months ago
liwei1dao	59e54eb575	上传发布版本	2 months ago
liwei1dao	7660f33258	上传最新代码	2 months ago
liwei1dao	18ffb48466	上传代码	2 months ago
liwei1dao	e270cf89b6	上传新版本管理后台	2 months ago
liwei1dao	6e5da54cf8	上传代码	3 months ago
liwei1dao	af9e210f9a	会议记录接入后台服务编排：三段独立选路+客户端可选总结模型，移除旧 yaml 四套凭据模式 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>	3 months ago
liwei1dao	a25b0c9fc0	上传最新的服务后台代码	3 months ago
liwei1dao	040af15192	上传基础服务代码	3 months ago
liwei1dao	d7445984cb	添加 授权吗 的方案	3 months ago
liwei1dao	197d544062	上传管理后台的系统升级和服务配置逻辑优化	3 months ago
liwei1dao	99de0fa26f	上传代码修复	3 months ago
liwei1dao	1390f50144	优化邮件登陆服务	3 months ago
liwei1dao	eaecd00d20	上传基本版本	3 months ago
liwei1dao	1d25322437	上传当前版本	3 months ago
liwei1dao	ce15363123	上传服务端代码优化	4 months ago
liwei1dao	188a0f5c55	上传版本服务服务集群代码和管理后台	4 months ago
liwei1dao	715f8e3818	上传厨师版本	4 months ago