gouki
f09c0f6e4b
后端
- asset_service: delete_asset 先清 subdomains/site_certs 子表（SQLite 不强制
FK 且 assets.id 无 AUTOINCREMENT，删最大 id 后新建会复用 rowid 导致孤儿误挂）；
metrics.db 清理改 best-effort，不再让已成功的删除返回 500
- provider_service: slug 唯一约束竞态补 IntegrityError 兜底（与 account_service 一致）
- account_service/sync_service: raise HTTPException 补 from e，保留原始异常链
- sync_service: 删死代码 _load_config；新增 BalanceUnsupported，平台无余额接口时
计入 skipped 而不是静默当作失败；到期日写库前归一
- ai: 删掉 OpenAI 早已下线的 billing 余额接口实现，能力探测如实报「不支持」
- adapters/base: _overridden 改走 MRO，中间层基类实现的能力不再被误判为未实现
- core/timeutils: 删死代码 utcnow_iso（注释声称 Z 后缀，实际输出 +00:00）
- main: lifespan 退出时 await 被 cancel 的清理任务，避免 pending task 被销毁
- ssl_service: 写 site_certs/subdomains 前校验 asset_id 存在，杜绝悬空引用；
到期阈值贯穿 _judge_status/_apply_probe/check_one/check_all_site_certs
- routers/credentials、accounts: 明文密码 GET 补 Cache-Control: no-store
- routers/stats: /stats/expiring 的 Query 描述与实际语义对齐（不设下界，含已过期）
Agent
- collector: 解析 sshd_config 的 Include（含 sshd_config.d/*.conf，按 sshd 语义
「首次出现的值生效」），未显式配置的关键字按编译默认值判定，消除假 pass；
防火墙检测改用 iptables -S 统计 -A 规则行并读 INPUT 策略（-L -n 恒有链头输出）
- reporter: 4xx（除 429）不再重试直接退出，429 优先按 Retry-After 退避
安全与部署
- core/security: require_agent_key 改为对外 fail-closed——tailnet/本机放行，
外部来源未配 AGENT_KEY 时一律 401（此前全放行，而服务默认监听 0.0.0.0，
公网上任何人可伪造监控指标与安全检查结果）
- main: 启动时把「未配 API_KEY/AGENT_KEY 则外部来源不可用」打进日志
- run.sh: HOST/PORT 可用环境变量覆盖，并说明默认 0.0.0.0 的权衡
- deploy/setup.sh: 新装时自动生成随机 API_KEY/AGENT_KEY 并提示同步到各 VPS；
注册 vps-cert-check.timer
- deploy/vps-cert-check.{service,timer}: 新增每日 09:30 的站点证书到期探测
（此前 check_site_certs.py 没有任何 unit，证书提醒不会自动跑）
- deploy/update.sh: sync_units 对 timer 用 enable --now（新增 timer 只 restart
不会建开机自启软链），主服务 unit 变更后额外 restart；pip 安装失败不再被吞
- scripts/check_site_certs.py: threshold 参数真正生效并打印
- scripts/make_migration_bundle.py: 缺 assets.db 直接 abort；umask 077 + chmod 600
（包内含 .env 的 MASTER_KEY 与 escrow，不能默认 644 落在 /tmp）
- scripts/restore_migration_bundle.py: 校验之外补必备文件预检，缺文件在触碰
目标机状态之前就 abort
前端
- store: 拆分列表口径 assets 与统计口径 allAssets（无筛选时同源，不重复请求）；
删除已无消费者的 expiring/loadExpiring（每次 loadAll 白发一个请求）
- dashboard/monitor/providers/subscriptions/modals: 统计与计数改用 allAssets，
资产页的筛选（含统计卡片点击跳转带的筛选）不再让其他视图的数字缩水
- modals: 账号同步后补 loadOverview；settings: 导入后改 loadAll
- api: countdownText 支持 unit/empty 选项，monitor/domains 各自的实现改为委托，
assets/domains/subscriptions 的到期列不再直出「(-3天)」
- servers: cpu/mem/disk 百分比统一判空，采样缺项不再渲染「null%」
- assets: 同步 AI 余额的结果提示区分 skipped（平台无余额接口）与 failed
- modals: 修正凭据库头注释——2FA 动态码是选填 + 可事后补验，与实现一致
测试
- 新增 tests/test_agent_collector.py（8 条）、tests/test_security.py（11 条）
- 全量 113 passed；改动 JS 均通过 node --check，deploy 脚本通过 bash -n
- 浏览器实测：筛选态下总览/监控中心/平台页/付费资产的统计仍为全量口径，
到期文案与 null 百分比渲染正确，console 零报错
64 lines
2.4 KiB
Bash
64 lines
2.4 KiB
Bash
# vps-manager 配置示例（复制为 .env 后生效）
|
||
|
||
# 系统显示名称
|
||
APP_NAME=VPS 资产管理系统
|
||
|
||
# 写操作（POST/PUT/DELETE）鉴权密钥
|
||
# Tailscale 内网（100.64.0.0/10，如 100.89.x.x）与本机来源自动放行，无需携带；
|
||
# 外部来源必须携带 X-API-Key: <此密钥>；留空则外部来源一律拒绝（仅内网可用）
|
||
API_KEY=
|
||
|
||
# Agent 上报鉴权密钥
|
||
# 与 API_KEY 同一套可信来源判定：tailnet（100.64.0.0/10）/本机自动放行，
|
||
# 外部来源必须携带 X-Agent-Key；留空则外部上报一律 401（防止公网伪造监控数据）。
|
||
# deploy/setup.sh 新建安装时会自动生成随机值；启用后需同步写入各 VPS 的
|
||
# /etc/vps-agent.env（VPS_AGENT_KEY），否则那台机器的 Agent 上报会失败
|
||
AGENT_KEY=
|
||
|
||
# 凭证加密主密钥（Fernet，必填以加密 API Key/SSH 凭证）
|
||
# 生成：python -c 'from cryptography.fernet import Fernet; print(Fernet.generate_key().decode())'
|
||
MASTER_KEY=
|
||
|
||
# ---- 通知渠道：Telegram（续费提醒）----
|
||
TELEGRAM_BOT_TOKEN=
|
||
TELEGRAM_CHAT_ID=
|
||
|
||
# ---- 通知渠道：邮件（SMTP）----
|
||
SMTP_HOST=
|
||
SMTP_PORT=465
|
||
SMTP_USER=
|
||
SMTP_PASSWORD=
|
||
SMTP_FROM=
|
||
SMTP_TO=
|
||
|
||
# ---- 续费提醒阈值（天）----
|
||
RENEWAL_THRESHOLD_DAYS=30
|
||
|
||
# ---- 监控数据保留策略（自动清理，天数）----
|
||
METRICS_RETENTION_DAYS=30
|
||
SECURITY_RETENTION_DAYS=90
|
||
EVENT_LOG_RETENTION_DAYS=180
|
||
# 自动清理间隔（小时），0 表示禁用后台自动清理
|
||
CLEANUP_INTERVAL_HOURS=24
|
||
|
||
# ---- S3 兼容对象存储备份（可选，未配置则仅本地备份）----
|
||
# 备份文件通过 AWS SigV4 签名上传，兼容 Cloudflare R2 / MinIO / 阿里云 OSS / 腾讯云 COS 等
|
||
# R2 示例：S3_ENDPOINT_URL=https://<account-id>.r2.cloudflarestorage.com，S3_REGION=auto
|
||
# OSS 示例：S3_ENDPOINT_URL=https://oss-cn-hangzhou.aliyuncs.com，S3_REGION=oss-cn-hangzhou
|
||
# COS 示例：S3_ENDPOINT_URL=https://cos.ap-shanghai.myqcloud.com，S3_REGION=ap-shanghai
|
||
S3_ENDPOINT_URL=
|
||
S3_ACCESS_KEY=
|
||
S3_SECRET_KEY=
|
||
S3_BUCKET=
|
||
# 远端对象前缀（默认 vps-manager，对象结构：<prefix>/assets|metrics/<文件名>）
|
||
S3_PREFIX=vps-manager
|
||
# 区域（R2 为 auto，MinIO 随意，OSS/COS 填各自区域）
|
||
S3_REGION=auto
|
||
|
||
# ---- Agent 上报频率限制 ----
|
||
# 同一资产两次上报的最小间隔（秒），0 表示不限制
|
||
AGENT_REPORT_MIN_INTERVAL=30
|
||
|
||
# ---- CORS 允许来源（逗号分隔）----
|
||
CORS_ORIGINS=http://127.0.0.1:8000,http://localhost:8000,https://dify.taile5765c.ts.net
|