73eb2ef2ca
MCP 补上会话鉴权，并挂三个拾忆只读工具
## 先修鉴权：此前公网接口完全没有身份校验
authFromRequest 只把 Authorization 塞进 context，**全仓没有一处读回来，也没有
任何 JWT 校验**；三个用户工具（get_user_tasks / allhelp_task / cancel_user_task）
的 uid 都是 mcp.WithString("uid", Required()) —— 由大模型填进来的普通参数。
而 mcp 是独立进程、独立端口 7300，不经过 gateway 那套 parseToken + isInWhiteList
（那只管 /api/* 和 /web/*），又必须对百炼公网可达。所以这不是「内网接口没做鉴权」，
是公网接口完全没有鉴权：知道 uid 就能读改任意人的数据。
新增 modules/mcp/auth.go：
- 从 Authorization 解 JWT 取 uid，与 gateway/core.go 同一套口径（RegisteredClaims，
uid 在 ID 字段）；兼容 "Bearer xxx" 前缀（gateway 收的是裸 token，标准 MCP
客户端会加前缀）。
- 参数里的 uid **只用于比对**，不一致直接拒。不静默改用会话 uid——调用方显然
误以为自己能指定用户，让它失败比让它以为成功了更安全。
- 解不出会话 uid 一律拒，**不回退到参数 uid**，那等于这层没做。
- TokenKey 未配置时拒绝所有用户数据类工具：配置漏了导致鉴权静默失效，
比工具不可用严重得多。TokenKey 必须与 gateway 同值，两边都读 GATEWAY_TOKEN_KEY。
存量三个工具同步改造，uid 参数保留但改为可选（兼容百炼后台已配好的工具定义）。
9 个测试守住这条线，其中三条是核心安全断言：参数 uid 与会话不符必须拒、
没有 token 必须拒而不是回退、未配 TokenKey 必须全拒。另有伪造签名、过期 token、
空 uid claim 的用例。
## 共享查询层：避免 home 与 mcp 各写一份
comm/memoryquery.go。mcp 从不 RpcCall、只裸查 MySQL，如果记忆项的过滤条件、
分类白名单、排序口径两边各写一遍，改了一边另一边不报错，只会让 EMAI 答的和
App 里显示的对不上——而且没人会发现。memory 模块的 listItems 也改走这里。
ApplyMemoryQuery 里 uid 为空时拼 "1 = 0" 而不是不加条件：少一个 uid 条件就是把
全库记忆项返回给调用方，而它有两个调用方，其中一个公网可达。
另提供 MemoryRelativeRange 把「本周/上月/最近7天」换算成日期区间给模型用——
模型对「今天几号」的认知来自对话上下文，很不可靠，让它自己算 start_date 经常
算错（SET_clock 把「下午 3:30」填成 03:30 是同一类问题）。
## 三个只读工具
get_memory_items / get_memory_stats / get_memory_report。
**只读是刻意的**：新增/修改/删除不放这里。写路径的校验、幂等（client_key）、
提醒时刻重算都在 home 的 memory 模块内，在 MCP 里复制一份必然漂移。
录入走端侧指令（tool_calls）、查询走 MCP，这个分工不变。
- 花销按币种分行返回，不做汇率换算；同时给「分」和「元」，模型念元不容易错，
留分是以免它想自己做加减时用浮点。
- get_memory_report 只返回已生成完的：还在生成中的 summary 是空的，
给出去只会让模型编一段话填空。
- 返回给模型的是精简字段，不是整行 DBMemoryItem——client_key/gen_round/extra
这些内部字段对回答问题没用，只占 token 还诱导模型去解释它们。
- date_certain=false 的项带上 date_is_inferred 标记，让模型别把推断出来的日期
当成用户确认过的安排来陈述。
- 模型填错分类时忽略该筛选当作「不限分类」，而不是整次查询失败——它多半会再填错一次。
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
1 month ago
0b0ac16b3c
记忆中心后端：memory 模块 + 会议待办抽取 + 周报月报
按设计文档一~三期的后端部分落地。全量 go build / go vet 通过，新增 22 个测试。
memory 模块（modules/memory，由 home 装载，路径 /api/home/memory_*）
11 个接口：list / today / add / update / del / complete / upcoming / stats /
getreport / confirmreport / listreports。
表由 proto + gorm tag 生成（不是手写 DDL——本仓所有业务表都走
mysql.CreateTable + AutoMigrate）。protobuf 没有 DECIMAL/DATE/DATETIME/null，
逐个落成：金额 int64 存分（与 pay/结算同口径，绝不用 double）、happen_date
string + gorm type:date、next_remind_at int64 unix 秒（0=无）。
几处刻意的选择
- 建表失败只 Errorln 不外传。lego.Run 里 Init 返回非 nil 就 Panicf，而五个服务
同镜像、entrypoint 见任一 pid 退出就全杀，一次建表失败等于全站 502。
allhelp/model.go 那段用命名返回值 err，第二张表失败时会漏出去，是反例。
- client_key 服务端保证非空。它参与 (uid, client_key) 唯一索引，而 MySQL 的唯一
索引不像放行 NULL 那样放行空串，留空会让同一用户的第二条记录直接插不进去。
用 crypto/rand 生成：这个值是去重依据，可预测就可被抢占。
- 重复项的提醒改成「就地展开」。设计文档 v0.1 写的「remind_at 服务端算好客户端
直接用」对重复项不成立——一个字段表达不了「每天」，且没人在它过去后往前推。
现在 memory_upcoming 按项自己的 tz 展开成绝对时刻列表返回，不落库。
单条项按自己的 tz 算而不跟着请求方走：「今天有哪些事」是视图问题可以跟着人走，
「明早 8 点响」是承诺问题不能。
- 花销按币种分行统计，不做汇率换算。把 CNY 和 JPY 加成一个数是错的。
- 统计全部走 SQL，LLM 只把 stat_json 组织成一段适合朗读的话。明细截断到 20 条
（重度用户一周两百条未完成，全塞进 prompt 会顶爆上下文，播报也没人听得完）。
- 查询/删除/更新一律带 uid 作条件，报告确认校验 uid 归属。
- 更新字段走白名单而不是黑名单，漏挡一个 uid/id 就是越权改别人的数据。
选路走编排，不再写死服务商
新增 comm.IEchomeet.ChatLLM，由 echomeet 用它的 PickLLM/GetSummarizer 实现。
memory 的报告生成与会议抽取都经它选模型。allhelp/summary.go 直接 import
sys/doubao 是历史债：绕过后台编排，海外应用照样调国内豆包、后台换模型也换不掉。
新模块不复制这个写法。
会议纪要 → 待办抽取（第三路）
挂在 AIProcess 写完 summary、状态置 Completed、出队之后，另起 goroutine。
prompt 内置代码不放 echomeet_template（1189 条模板改不齐，且输出要被程序 parse）。
输入用已生成的 summary 而非转写全文。注入 <meeting_date>，服务端二次校验
due_date：解析不出或早于会议当天的一律只留 due_raw、落会议当天并置
date_certain=false。抽取失败只记日志，绝不回头改 rec.State。
- gen_round 由 memory 按 source_id 现有最大值 +1 推出，不由调用方传。
echomeet 没有地方存轮次计数器，硬编码成 1 会让第二次「重新生成」的清理条件
gen_round < 1 一条都匹配不上，旧待办从此永远留在库里。
- 会议归属日期只能用 creationtime（上传时间）——DBEchoMeetRecord 上没有「会议实际
发生日期」字段，也没有客户端时区。补录历史录音会算错，是已知偏差，注释已记。
周报月报
cron 建单 → Redis 队列 → N worker。锁与队列 key 都过 redissys.RKey 加应用前缀：
测试机多应用共用一个 Redis，锁 key 不带前缀会让 A 应用挡住 B 应用整周不生成报告，
而且安安静静什么都不报。
补偿比防重更要紧：当前 compose 是单副本，多副本重复是前瞻性风险；真会发生的是
00:30 跑到一半容器重启、cron 不补跑、报告永远停在 pending。所以 memory_getreport
里做超时重新入队（同 echomeet 用 PollTranscribe 兜「转写回调丢了」的思路）。
文案生成失败不算整体失败——统计是完整的，宁可少一句话不可让报告整个没有。
顺带修的既有缺陷
- user 模块 cancel()（账号注销）补上 memory_item / memory_report 两张表，
以及既有遗漏的 useridverify（身份证掩码 + 加盐指纹）。这个清单是硬编码的，
漏了不报错，只是个人数据静静留在库里。
- errorcode.proto 新开 5201-5206 段。复用 ReqParameterError 会让客户端无法分流，
「报告还没生成好」该转圈重试而不是弹错。
测试
comm/memory_test.go 8 个：周日在 Go 里是 0、Dart 里是 7 的换算（错了不报错，
只会让每周日的闹钟在周一响）、ISO 跨年周、闰年二月、非法时区必须回退 time.Local
而不是 UTC（否则静默偏移 8 小时）、client_key 非空且不重复。
modules/memory 14 个：一次性/每天/每周展开、锚点在一年前仍能算出未来时刻、
过期项不排、灵感花销不提醒、全天项按 9:00 不落 0:00、展开结果必须升序
（客户端要按 iOS 64 条上限截断，顺序错了会把明天的排掉留下一周后的）、
项按自己时区算、LLM 输出容错（代码块/前后解释文字）与真失败必须报错。
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
1 month ago
8d580a545d
文件上传改走服务端签发预签名 URL，客户端直传阿里云 OSS
客户端不再持有对象存储的长期密钥。
旧实现用腾讯云 COS SDK 直连，bucket 与 SecretId/SecretKey 明文随
user_getappconfig 的 env 下发给每一个 App 用户（config 表的 COS_* 那几个键）。
抓包或反编译就能拿到这对长期密钥，而它对整个桶有读写权限——不只是自己那部分，
User/ 下所有人的录音都能被拉走或删掉。
现在：新增 user_getuploadurl，服务端签发 15 分钟有效、且只对某一个 object key
生效的阿里云 OSS 预签名 PUT URL，客户端拿着它直传。存储与 console 后台传固件/
产品图同一个桶（ymaioss），不再是两个云厂商两套存储。
服务端
- 新接口 modules/user/api_getuploadurl.go：
· object key 由服务端拼死 EAIMAR/User/<uid>/<scene>/<yyyy/MM/dd>/<12位随机>.<ext>，
uid 取自会话不采信客户端，客户端连自己传到谁的目录下都决定不了；
· scene 白名单 LocalAudio / TranslatAudio / ExternalAudio / ChatImages
——加新场景前要把客户端 addUpload 与 UploadOss.upload 的调用点全捞一遍，
少一个值就是那条链路整条报错，且只在真机跑到才发现；
· 扩展名白名单决定 Content-Type，不在表里直接拒，不回退成
application/octet-stream（那等于把桶变成任人上传的网盘）；
· 随机名用 crypto/rand 而非 math/rand：key 可枚举就等于别人能猜到录音地址。
- 抽出 comm/ossconf.go：OSS 配置读取、上传根前缀、publicURL 拼接从 console 挪来，
console 改为调用它。两边必须落同一个桶，各写一份迟早漂移。
解密用 ${FIELD_ENCRYPT_KEY}，console 与业务服务本就必须配同一把。
客户端
- upload_oss.dart 重写为「要 URL → dio 流式 PUT」，upload() 签名与返回值不变，
MeetingUploadService 不用改。用独立 Dio 实例：项目那个挂着 AuthInterceptor，
会加 token 与业务签名头、还会把响应按业务 JSON 解析，直传 OSS 时全是多余，
签名头还可能与预签名冲突。
- Content-Type 必须用服务端回带的值，它计入了签名，写别的会 403。
- agent 图片的 rootDir 从 'User/<uid>/ChatImages' 改成 'ChatImages'：
前缀由服务端加，客户端再拼一层就是重复路径。
真机验证：录音落到
https://oss.ymaikj.com/EAIMAR/User/ <uid>/LocalAudio/2026/09/04/howXMScPdsNP.wav，
下载 212524B 与库里 size 逐字节一致，Content-Type=audio/wav，文件头 RIFF/WAVE。
其余三个 scene 走同一段代码但尚未实跑。
⚠️ 新老客户端并存：老包仍读 COS_* 直传腾讯云，config 表里那 5 个键先别删；
历史录音的 audiourl 是 COS 绝对地址，不会自动搬家。
⚠️ 录音目前仍是公共可读的（bucket 公共读，实测匿名 GET 206、不存在的 key 404），
只靠 12 位随机 key 不可猜测来保护。要锁住得转私有桶 + 播放时也签临时读 URL，未做。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
1 month ago
24e17b3434
收拢积压改动：恒玄 OTA、发版配置拆表、实名认证、芯片厂商/代工厂管理等
把工作区里积压的多轮改动一次性入库。主要几块：
客户端
- 恒玄 OTA 打通：新增 local_plugins/bes_ota_manager（自包含 BES SDK，
Android Java + iOS ObjC，SPP OTA 2.0），路由切到 BesOtaUpgradeView /
BesOtaUpgradeController，配套下载服务；杰理那套文件保留但已不挂路由。
- 通话翻译新增阿里 3.5 档（alibaba35_language_config.dart，
qwen3.5-livetranslate-flash-realtime + 实时声音复刻）。
- 实名认证接入、游客登录改走服务端 api_sgin 的 Tourists 分支、
功能闸门由 GuestGuard 改为 IdVerifyGuard。
- 41 个语种文案同步（OTA 新增 28 个 key 等）。
- 默认主题改为浅色，不跟随系统。
服务端
- 发版类配置拆表：app_release（版本控制 / 游客显隐，一应用一行）与
channel_app（渠道级下载地址 / 上架状态 / 支付渠道）分家，
新增 comm/apprelease.go 与 console/api_apprelease.go。
- 授权码字符串整体移除：删除 utils/license 包，新增 utils/devcode
（MAC 规范化与 PID 反解），配套迁移 SQL 在 docs/migrations/。
- console 新增芯片厂商、代工厂、用户管理接口与对应 admin 页面。
- 身份证实名核验（sys/idverify）与第三方服务的服务端专用类别。
其它
- .gitignore 补挡 apps/services/lego/sys/gin/log-*.log：gin 子系统跑起来
会按时间戳滚动生成日志（多为 0 字节），与 apps/services/comm/log 同一
性质，不进版本管理。已跟踪的 log-2026-08-20 那个仍在库里，未动。
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
1 month ago
d7fad60658
设备表合表：license_<pid> 分表 → 全局 device_mac，只按 MAC 校验
设备的身份是它自己的 MAC，本来就全局唯一，定位一台设备不需要 pid。
原先按产品切分表，pid 既是查询键、又得由客户端猜出来，猜错就报
"这台 MAC 没登记在该产品下"——提示指向数据缺失，实际数据好好的。
触发改造的事故：一台已正确导入的 DEEPVOICE 耳机（MAC 在 license_b022，
产品 45090，status=0 未绑过）连不上、弹"设备连接受限"。根因是产品 45090
的 devicetype 被配成 2（BLE双端）而不是 1（经典蓝牙）：客户端
_resolveProductId 第一步就 where(devicetype==1) 把整个产品滤掉，候选只剩
Echo-one，名字互不包含 → 兜底退回 headsets.first.id = 45091，服务端拿错
pid 去 license_b023 查，自然查不到。而且就算 pid 猜对也过不去——服务端
只有 devicetype==1 才走 MAC 反查，2 会走 else 分支从空 code 反解 pid、
回退写死的 45058。
改动：
- 新增全局表 device_mac（comm.TableDeviceMac），主键 code = MAC；
productid 降为归属列，不再是查询键。TableLicense 标记废弃，只留给迁移读。
- registry.go 的 migrateLicenseToDeviceMac 每次启动跑、幂等：
① code := devicemac 修存量 → ② 按两表列名交集做 INSERT ... ON CONFLICT
DO NOTHING（不能 SELECT *：各分表建于不同时期，有的多 factoryid/probatch）
→ ③ productid 为空的用表名里的 pid 补上。孤儿分表里也是真实发出去的设备，
一并搬。搬完刻意不删旧表——不可逆数据，旧表是出问题时唯一的回退依据。
- binddevice / unbinddevice 改为先按 code 再按 MAC 全局定位，命中行的
productid 才是产品。req.Pid 不再采信。杰理链路也顺带不需要 devcode
反解 pid 了。
- 新增 comm.ScopeToProduct：合表后分表那层天然隔离没有了，每个"按产品"
的读写都必须显式带 productid，漏一处就跨产品操作——查询多列几行只是
难看，批量禁用 / 按批次删除漏掉就是删别人产品的数据。它会把调用方的
条件整体括起来，防止 "a=? or b=?" 让 or 把 productid 短路掉。
- 导入查重改成全局：同一个 MAC 出现在两个产品下会让按 MAC 反查出现歧义。
- 客户端删掉 _resolveProductId，binddevice 只报 MAC 不传 pid。
按需求明确不做应用隔离：MAC 存在即放行。
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
1 month ago
90abb0ad42
身份证实名核验、翻译与新用户开户礼
本次会话开始前就已存在于工作区的改动，一并提交。主要是三块：
1) 身份证实名核验（sys/idverify + user 模块）
接入阿里云 Id2MetaVerify、腾讯云 IdCardVerification、创蓝三家 provider，
无状态工厂——配置在 svc_config 里按应用作用域存，调用时才解析。
客户端接口 user_idverify / user_getidverify。
凭据是云账号主 AK/SK，故新增服务端专用类别 comm.SvcCatIdVerify=11，
由 svcresolve.go 在下发口整条跳过，svcpool_serveronly_test.go 守着这条底线。
2) 翻译（sys/aliyun/translate + comm/lang.go）
语言码归一与阿里云翻译调用。
3) 新用户开户礼（newuser_gift.go）
配套 api_sgin 建号流程。
注：go test ./modules/user/ 里的 TestApiProbeAppConfigV3 会失败，但与本次改动无关
——那是打线上接口的联调探针，硬编码的域名 app-dev.voitrans.net 已废弃、JWT 也过期了，
该文件自 b2577e16
1 month ago
0663446f0c
运行日志 apps/services/comm/log 移出版本管理
lego 未配置日志路径时会在工作目录写 ./log，本地跑一次服务或 go test 就被覆写一次，
每次都产生一条无意义 diff（内容是同一条微信支付密钥解密失败的告警，只有时间戳在变）。
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
1 month ago
db47e0f3f0
游客登录入口改为后台按版本控制
需求：后台一个开关控制游客登录按钮显隐，且只对指定版本号的客户端生效，
其余版本一律隐藏（应用商店送审场景：只给正在过审的那一版开）。
白名单语义（comm.ChannelApp.ShowTourists）：
- tourists=false → 全部隐藏
- tourists=true 且 touristsversion 空 → 全部隐藏（没点名任何版本 = 谁都不放行）
- tourists=true 且 touristsversion=X → 只有版本号等于 X 的客户端可见
留空按"全隐藏"而非"全放行"是刻意选的失败方向：判宽的后果是不该露游客入口的版本
露了出去（过审风险、白嫖新用户开户礼），判严只是入口少显示。要全部隐藏就取消勾选，
后台 saveChannelApp 会拒绝"勾了开关却没填版本"这种等于没开的配置。
判定放在服务端，与 NeedForceUpdate/IsReviewing 同规矩：客户端在 user_getchannelapps
的请求里带 version，服务端把每条渠道配置的 tourists 换算成结论再下发。版本比较各端
各写一遍必然出现实现不一致，而这个开关直接关系到过审，判错代价高。
touristsversion 是 channel_app 的后加列，console 启动时用 ADD COLUMN IF NOT EXISTS
补上——CreateTable 对已存在的表跳过 AutoMigrate，不补就永远没这列。
注：db.proto / user_msg.proto / CLAUDE.md 里另有先于本次改动就存在的编辑，一并带上。
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
1 month ago
liwei1dao
bb3b1c7a3a
上传代码
2 months ago
liwei1dao
b2577e16fa
上传最新的平台代码
2 months ago
liwei1dao
af05ff12ce
上传代码
2 months ago
liwei1dao
1639cf35a0
上传代码
2 months ago
liwei1dao
aca7204e57
上传代码
2 months ago
liwei1dao
554a4ab501
上传最新的版本代码
2 months ago
liwei1dao
948e368996
上传代码
2 months ago
liwei1dao
59e54eb575
上传发布版本
2 months ago
liwei1dao
7660f33258
上传最新代码
2 months ago
liwei1dao
18ffb48466
上传代码
2 months ago
liwei1dao
e270cf89b6
上传新版本管理后台
2 months ago
liwei1dao
6e5da54cf8
上传代码
3 months ago
liwei1dao
af9e210f9a
会议记录接入后台服务编排：三段独立选路+客户端可选总结模型，移除旧 yaml 四套凭据模式
Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
3 months ago
liwei1dao
a25b0c9fc0
上传最新的服务后台代码
3 months ago
liwei1dao
040af15192
上传基础服务代码
3 months ago
liwei1dao
d7445984cb
添加 授权吗 的方案
3 months ago
liwei1dao
197d544062
上传管理后台的系统升级和服务配置逻辑优化
3 months ago
liwei1dao
99de0fa26f
上传代码修复
3 months ago
liwei1dao
1390f50144
优化邮件登陆服务
3 months ago
liwei1dao
eaecd00d20
上传基本版本
3 months ago
liwei1dao
1d25322437
上传当前版本
3 months ago
liwei1dao
ce15363123
上传服务端代码优化
4 months ago
liwei1dao
188a0f5c55
上传版本服务服务集群代码和管理后台
4 months ago
liwei1dao
715f8e3818
上传厨师版本
4 months ago
Rodger-Wang
liwei1dao