sundynix/sundynix-agentix
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
210 Commits 5 Branches 0 Tags
bf75bb8a62cb88bc916fcb0618ebf2680e1c4a93
Commit Graph

210 Commits

This Branch
This Branch
All Branches
Author SHA1 Message Date
Blizzard bf75bb8a62 feat(gateway): SaaS P2 计量·增量3 —— GET /admin/usage 用量/积分/成本口径 
系统级(store.WithoutTenant，跨租户)用量观测：
- 无 tenant：全平台按天 SUM 趋势 + 各租户用量排行(含当前余额)。
- 有 tenant：该租户按天趋势 + 当前积分余额。
- from/to(YYYYMMDD)缺省近 30 天。UsageTrend/UsageByTenant/TenantBalance store 方法。

live 验证：两口径数值自洽（balance=seed−credits、credits=tok×汇率、totals=trend之和）。
至此 P2 计量后端(事实源)齐：明细/账本/余额/rollup/查询。前端页 + P4 硬拦截/充值待需求拉动。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-07 11:42:21 +08:00
Blizzard d058a63434 feat(gateway): SaaS P2 计量·增量2 —— 积分账本 + 物化余额 + 用量 rollup 
- credit_ledger（append-only）：grant/usage/adjust 分录，扣量/充值的事实源。
- tenant.credit_balance_micro：物化余额（= 账本之和），用量扣、充值增。
- usage_rollup：租户/天 upsert 累加（配额/账单读一行，不扫明细）。
- 消费 usage_event 一个事务内：落明细 → applyUsageCredit(账本负分录+扣余额)
  → upsertRollup(累加)。幂等锚在 usage_event.task_id 唯一：RowsAffected==0（重投）
  则跳过账本/余额/rollup，绝不重复计费。软扣：余额可为负（不拦，硬闸留 P4）。
- GrantCredits 充值/发放 API（记 grant 分录+增余额；增量3 admin 接）。

live 验证：ledger 负分录(ref=task_id) / 余额递减 / rollup 两任务累加(count=2,tok/credits求和)
/ **balance==seed+SUM(ledger) 不变量成立**（物化余额 == 账本真值）。

增量3（GET /admin/usage 趋势+余额）待做。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-07 11:26:27 +08:00
Blizzard d032c198c8 feat: SaaS P2 计量·增量1 —— 用量按租户落持久明细 + 积分/成本折算 
链路打通 tenant → 计费事实源：
- 契约：Task.Meta 加 MetaTenantID；UsageEvent 加 TenantID。
- 提交：网关 task.Meta[MetaTenantID]=tenantID(c)；dispatcher emitUsage 带租户。
- 明细表 sundynix_usage_event（追加式，task_id 唯一→幂等防重投重复计费）：
  tenant/owner/model/tokens + credits_micro + cost_micros。
- 折算：credits=total_tok/TOKENS_PER_CREDIT×credit_weight（token 基准，设 1 即 token 直计）；
  cost 按 Pricing 折算；Pricing 加 credit_weight 列（每模型积分权重，缺省 1）。
  模型名空则回退激活 chat 模型（近似，忽略 failover 备用模型，已在设计标注）。
- 网关 SubscribeUsage 折算落明细（保留 Redis 日计数作快速配额校验）。

live 验证：提交任务→一行 usage_event，tenant 匹配用户租户、
credits=89tok/1000×2×1e6=178000 微积分、cost=45/1000×1+44/1000×2=133000 微元 CNY，
折算数学与幂等键均正确。

设计见 SAAS_P2_DESIGN.md。增量2（credit_ledger 余额软扣 + rollup）待做。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-07 10:54:29 +08:00
Blizzard 22183cac51 docs: DEPTH_ROADMAP 增量2b 打勾（PG 核心表租户隔离闭合） 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-07 10:18:55 +08:00
Blizzard 766eaab7a3 feat(gateway): 多租户2b-B —— Eval/Doc/DocLink 补 tenant_id（异步路径按源复制） 
闭合 PG 核心表 tenant_id 全链路。这些表走 background ctx（NATS 回写 / 异步入库），
插件无请求租户可读，故在写入时按关联源显式补：
- Eval：SaveEval 从对应 task 复制 owner+tenant（+isTenantScoped）。
- Doc：SaveDoc 按 owner 查默认租户补 tenant（tenantIDForOwner 助手）；覆盖路径不抹空。
- DocLink：ReplaceDocLinks 同法按 owner 补。
- BackfillRowTenants 扩到 doc/doc_link/task（owner→租户）+ eval（task join）。

live 验证：新任务→eval 复制 owner/tenant 与提交者一致 ✓；C 读己方 eval 有数据、
D 读同一 task eval 被租户过滤为空 ✓；异步入库的 note→doc 自动补对 tenant ✓；
vault C 见己方、D 空 ✓。存量回填：doc 47/51（4 条 owner 无租户=孤儿）。

至此 PG 核心表（KB/Agent/Task/Eval/Doc/DocLink）租户隔离闭合；
Redis/MinIO/Milvus/Neo4j 前缀留待 P1 后续。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-07 10:17:45 +08:00
Blizzard ee1e9cfdca feat(gateway): 多租户2b-A —— Task 加 owner/tenant 隔离 + 系统旁路修 admin 全局口径 
- store.WithoutTenant(ctx)：显式跨租户旁路，插件即使 ctx 带租户也不过滤。
  修复增量2 引入的回归：admin SystemCounts 数 KB 时被 admin 自己租户误过滤。
  AdminOverview 改用旁路 ctx → 任务/KB/Doc/Eval 恢复全平台口径。
- Task 加 TenantID(插件自动填) + Owner(提交者 user.id) + isTenantScoped()。
  SaveTask 记录 owner；RecentTasks/RecentRuns 按 owner+租户过滤"我的运行"。
  RecentRuns 是 raw Table 查询绕过插件，手动补 owner+tenant WHERE。

live 验证：A 提交任务 → 行 owner/tenant 自动填对 ✓；A 的 /runs 只见己方、
B 空、legacy 无 owner 行被排除 ✓；admin/overview tasks_total=39/kb_count=21
= DB 全局真值（旁路生效，回归已修）✓。

Eval/Doc/DocLink 的 tenant 传播见 2b-B。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-07 09:18:15 +08:00
Blizzard 30d667954b feat(gateway): 多租户增量2 —— gorm 租户插件按上下文自动隔离查询（SaaS P1） 
统一强制、别靠人肉：受租户模型标记 isTenantScoped() 后，store/tenant_scope.go
的 gorm 回调按请求 ctx 自动给查询加 WHERE tenant_id、创建自动填 tenant_id。
- KB / Agent 加 TenantID 字段 + isTenantScoped() 标记
- middleware.TenantContext 把 tenant 注入 request context 供 store 插件读取
- ctx 无租户（系统/回填/未登录）不过滤，保留跨租户操作能力
- 启动 BackfillRowTenants 回填存量行 tenant_id=owner 默认租户（幂等）

live 验证：创建自动写 tenant_id ✓；同 owner 不同 tenant 的行被查询过滤 ✓。
Doc/DocLink（异步入库）、Task/Eval（无 owner）留待增量2b。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-06 17:58:58 +08:00
Blizzard f7d12cbf66 docs: DEPTH_ROADMAP T4.A 多租户增量1 打勾（租户身份地基） 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-06 17:32:11 +08:00
Blizzard 693a8f09e9 feat(gateway): 多租户地基·增量1 —— 租户身份/成员/上下文（T4.A/SaaS P1） 
按 SAAS_DESIGN.md P1 第一刀（真·多租户 + 桌面端为主）：先立租户身份，不动查询。
- store.Tenant / TenantMember 表 + AutoMigrate
- store: CreateTenant / AddMember(幂等) / DefaultTenantForUser / EnsureDefaultTenant(幂等) /
  BackfillDefaultTenants / GetTenant / MemberRole
- 注册即建单人默认租户(owner)；启动回填给存量用户补建(幂等)
- middleware.TenantContext(挂 Auth 后)解析当前租户→注入 tenant_id；handler.tenantID(c) 助手
- GET /api/v1/tenants/current 验证端点(租户上下文 + 角色)
- live：存量用户(回填 7 租户)/tenants/current 返回默认租户+owner；新注册自动建租户

下一步(增量2)：核心表加 tenant_id + 统一 gorm scope 强制隔离 + 存量行回填 + 重写查询。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-06 17:31:09 +08:00
Blizzard 2f19e322e3 docs: 多租户 SaaS 化设计（收敛版 SAAS_DESIGN.md） 
前提：真·多租户商业化 + 桌面端仍是主产品（非 Web-first）。
对 GPT 重构方案的收敛替代：保留正确诊断(tenant_id前置/usage先落事件/subject规范/migration)，
砍掉过度设计(Web重写/7服务拆分/Temporal/Remote MCP/独立Tool Policy)。
核心：保架构、穿一条多租户+计费脊柱、按需求拉动分阶段(P1地基tenant_id→P2用量→P3客户端租户化→P4enforcement→P5支付+硬化)。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-06 16:47:11 +08:00
Blizzard 53f7e172c3 fix: KB 级联删「事务化」—— 失败不再留不可删孤儿（T4.F） 
原为 best-effort：三库删失败只 log、MinIO 删错误全吞、PG 照删 → 删一半失败即在
向量/全文/图谱/MinIO 留下「PG 无记录、连 file_id 都查不到」的不可删孤儿。

改为「类事务」（跨库 2PC 不可行，退而求其次：不留不可恢复孤儿 + 失败可见可重试）：
- milvus.deleteByFile / bleve.deleteDoc / blob.Delete 改返回 error（原 void 吞错）
- rag.DeleteDoc 三库全试一遍（最大化清理）+ 聚合错误（原只回 Neo4j 的错）；三库删幂等
- gateway KbDeleteDoc 失败闭合：先删依赖存储(三库→MinIO)、PG 最后删；
  任一存储删失败 → 不删 PG、返 502「未删除请重试」（保留 file_id 供幂等重试）
- 语义翻转：从「总能从列表删掉但留孤儿」→「有孤儿风险就不删、报错可重试」

live：杀 mcp-go→删→502+文档保留；mcp-go 活→删→200+清空（清场僵尸进程后验证）

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-06 16:32:25 +08:00
Blizzard 55d50417a9 feat: 模型健康/熔断态 surface 到管理端（T4.F 可观测） 
failover/熔断的运行时态原来只在 dispatcher 日志、admin 看不到 —— 本次接到概览可见：
- harness: CircuitBreaker.Snapshot() 只读观测访问器（state + fails，不动状态机）
- llm: Pool.ModelHealth() 上报主备链每模型 {provider,model,role,state,fails}；
  buildWithFallbacks 把模型名↔breaker 配对（同包直接读 failoverModel.breakers）；
  newFailoverModel 改返回具体类型以便读 breakers
- dispatcher 心跳 payload 加 models[]
- gateway /admin/overview 独立超时 Ping dispatcher，合并进 models.health
- admin 概览「模型路由」新增「运行时链路态(实时)」：逐模型状态点
  (🟢在线/🔴熔断中+失败数/🟡半开探测/单点)
- 单测：Snapshot、Pool.ModelHealth(名字↔态配对/单点/空)
- live：配坏主→提交任务打熔断→概览显示 broken-demo「熔断中·失败3」，备用在线

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-06 12:00:13 +08:00
Blizzard 6a258fc884 docs: 架构设计文档 ARCHITECTURE_DESIGN.md（当前完整版） 
描述当前架构设计：分层总览/各组件/NATS 总线(5类通信)/Eino 编排引擎/
LLM接入(failover+熔断)/数据存储/关键数据流/安全治理/可观测/前端/部署配置/
当前能力矩阵(已建·进行中·规划)/技术栈。与 ARCHITECTURE_REVIEW(评审) 互补。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-06 10:25:42 +08:00
Blizzard da04beadf5 docs: 架构评审报告 ARCHITECTURE_REVIEW.md 
基于通读代码 + 真机验证的全栈架构评审：系统全景/核心决策取舍/关键数据流/
优缺点/技术债「税单」映射路线图/上生产前必修清单/总体判断。
一手依据：控制面热切换 live、failover+熔断 live、双 NATS 脑裂实测、审计误报核实。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 16:35:21 +08:00
Blizzard c060000f64 docs: DEPTH_ROADMAP 记入「模型健康/熔断态 surface 到管理端」(T4.F 可观测) 
failover demo 暴露的真实缺口：熔断/failover 运行时态只在 dispatcher 日志、admin UI 不可见。
待补：dispatcher 心跳上报每模型 breaker 态 → gateway 聚合 → 概览/状态页展示。后期一起做。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 14:29:24 +08:00
Blizzard 23b8fa5e8a feat(gateway): 安全收口 —— CORS 生产收紧 + 限流按用户（T4.F） 
- CORS：开发期缺省仍放行 *（便利）；生产(APP_ENV=prod/GIN_MODE=release)未显式配
  CORS_ALLOW_ORIGIN 则不发 ACAO 头(浏览器按同源拦截)，逼运维显式配置允许的源
- 限流键改「已认证按 uid、未认证按 IP」：企业网多人共享出口 IP 不再互相拖累，
  单用户换 IP 也绕不过；中间件顺序调整 Auth 前置于 RateLimit（否则取不到 uid）
- isProd() 判定与 middleware.RequireAdmin 同口径
- live 冒烟：登录/认证请求正常(重排未破链)，dev CORS 仍 *

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 13:55:20 +08:00
Blizzard 6095bc71d2 refactor(mcp-go): 拆除 search.Hybrid 残骸（T4.F） 
- search.Hybrid 空转(NewHybrid 返空、Query 返 nil TODO)、构造后存进 Gateway
  却从不被调用（真实 RAG 走 rag.Engine）→ 纯误导性死重量
- 删 internal/search 包 + gateway.go 字段/构造参数 + main.go 接线
- build/vet 干净；wiki_search 不受影响（本就用 g.rag）

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 13:39:14 +08:00
Blizzard 7c211719d2 fix(dispatcher): 熔断器接回 failover —— 挂掉的主模型跳过而非每次白试（T4.E 收官） 
- failoverModel 加每模型熔断器(阈值3/冷却20s，比编排层更紧)：
  主模型持续失败达阈值 → 熔断 → 后续请求直接跳过主、直连备用(省掉每次白试主的失败往返)；
  冷却到点半开放行探测打回主，成功即自动恢复走主(靠熔断器半开机制，无需外部通知)
- 全部模型都熔断时强制试主兜底(编排层 o.breaker 兜"全挂")
- WithTools 重包共享同一批 breakers(状态不清零)——否则每次 rewrap 熔断失效，关键坑
- harness 加 NewCircuitBreakerWith(threshold,cooldown,halfOpenMax) 参数化构造
- Generate/Stream 用泛型 runFailover 共用选路循环(去重)
- 3 新单测：熔断跳过主/WithTools 共享熔断状态/冷却后半开恢复(全三态)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 10:49:54 +08:00
Blizzard 65e939889e feat(gateway): DSL 拓扑校验 —— 前置拦截坏图（T4.E） 
- ParseAndAssemble 加 validateTopology：拦重复/空节点 id + 悬挂边
  (source/target 指向不存在节点)，避免坏图进编排后被 compose 静默跳过
- 保守策略：空图 / 报告任务 {topic} / 非标准载荷一律宽松放过，不误伤合法提交
- 单测覆盖合法/重复id/空id/悬挂边×2/空端点/放过场景
- live：悬挂边 POST /tasks → 422(错误指明具体边与缺失节点)；合法图 → 202

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 10:14:31 +08:00
Blizzard 4bec95fde1 fix(dispatcher): Branch else 兜底 + 选路留痕（T4.E） 
- branchNode 识别 default/else 边：主选择(true/false 或边序)未命中任何下游时，
  走显式 default 边而非悄悄落 END
- trace 明确区分「走 default / 未匹配收口结束(END) / 正常选路」，
  杜绝静默 fall-through 被误当 bug
- compose 层原有 len(chosen)==0 → END 收口保留（无 default 时的安全兜底）
- 3 断言单测：default 命中 / 条件真走 true / 无 default 未命中仍返回空

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 10:08:05 +08:00
Blizzard f9c849b14b fix(dispatcher): 多智能体专家超时 —— 卡死专家不再拖垮协调（T4.E） 
- specialistTool 加 timeout 字段(默认 specialistTimeout=3min，专家可多轮 react+工具故给宽)
- InvokableRun 用 WithTimeout 包裹专家派发；超时(DeadlineExceeded)作为"观察"
  跳过该专家(err=nil)，lead 据其余专家继续综合，不中断整个协调
- 2 单测：卡死专家 ~50ms 跳过并返回超时观察 / 正常专家不受影响
- timeout=0 时不包裹(向后兼容既有 specialistTool 构造)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 10:03:29 +08:00
Blizzard de36ed4cb3 fix(dispatcher): Map 节点错误传播 —— 并行子项失败不再静默（T4.E） 
- writeSection 返回 (body, error)：仅真·LLM 调用失败返 err；预算触顶/模型未配置
  是主动降级(可见降级正文，err=nil)不计失败
- writeSections 返回 ([]section, failed)：失败项 Body 带可见「撰写失败」标记 + 汇总失败数
- mapNode：全部子项失败 → 置 b.fatalErr(任务判 failed 而非静默 done-空)；
  部分失败 → trace span + 流式 ⚠️ 告警
- report handleReport：部分章节失败时流式提示，不再当全成功
- 3 单测：全失败/部分精确计数(=1 非 all-or-nothing)/mapNode 置 fatalErr

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 09:56:26 +08:00
Blizzard a830ae2a04 feat(admin): 审计 & 安全事件页（T4.B 收尾） 
- 新增「审计 & 安全」页(/audit，运维组)：接 /admin/audit + /admin/guardrail-events
  - 安全事件：护栏拦截/灰区放行(kind 徽标 + 原因 + method/path + actor/ip/时间)
  - 操作审计：变更操作(方法配色徽标 + 路径 + 状态码着色 + actor/ip/时间)
  - 顶栏统计(操作留痕/护栏拦截/灰区) + 30s 自刷 + 手动刷新
- api.ts 增 listAudit / listGuardrailEvents + 类型
- 风格对齐重做后的服务状态页(中性克制)
- T4.B 整组完成(剩 HITL 审批明细可选小项)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 09:43:41 +08:00
Blizzard 9e43d07428 feat(gateway): 护栏拦截事件落库 + 安全事件流（T4.B） 
- store.GuardrailEvent 表(sundynix_guardrail_event) + AppendGuardrailEvent/ListGuardrailEvents
- middleware.Guardrail(db)：命中 blocked/suspect 时 best-effort 落库
  (actor/kind/reason/signals/method/path/ip，独立超时 ctx)
- GET /api/v1/admin/guardrail-events：安全事件流(倒序，翻页)
- store.clampPage 抽出分页归一(audit/guardrail 共用)
- live：注入 "ignore all previous instructions" → 422 硬拦 + 事件留痕(kind=blocked)
- DEPTH_ROADMAP T4.B 护栏事件打勾

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 09:31:31 +08:00
Blizzard 16c67dcb4f feat(gateway): 敏感操作审计日志（T4.B） 
- store.AuditLog 表(sundynix_audit_log) + AppendAudit/ListAudit
- middleware.Audit(db)：只审计变更类(POST/PUT/DELETE/PATCH)，收尾 best-effort
  落库(独立超时 ctx，失败静默不拖垮主流程)；挂管理组 + prompt 激活/撤销 + HITL 审批
- GET /api/v1/admin/audit：倒序审计流(limit/offset 翻页)
- live：PUT pricing / POST prompts/deactivate 留痕(actor/path/status/ip)，GET 不记
- DEPTH_ROADMAP T4.B：overview✅ + audit✅ 打勾

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 09:19:52 +08:00
Blizzard 30e80c0eed feat(admin): 提示词控制面页 + 概览/状态页重做 + 接入 vitest 
- 新增「提示词」页(/prompts)：接 /api/v1/prompts，建版本/激活热下发/
  对比激活版行级 diff/撤销，挂到配置组
- 概览页重做为系统控制塔：吃 admin/overview(全平台口径)——平台任务/
  评测/用户规模/服务在线 + 模型路由态 + 提示词覆盖态 + 健康拓扑 + 30s自刷
- 服务状态页重做：中性克制风 + 请求链路做成深色实时数据管道(流动光点/
  节点辉光) + MCP 工具改能力域配色小卡片
- 接入 vitest(此前零测试)：41 单测(api 控制面/lib diff/路由派生)
- api.ts 增 statsOverview/adminOverview/prompt 控制面四接口 + groupPrompts

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 08:59:40 +08:00
Blizzard e2104efc64 feat(gateway): admin/overview 系统级聚合接口 + Tier4 后端路线图 
- GET /api/v1/admin/overview (RequireAdmin)：全平台口径聚合——
  用户/KB/文档总数 + 全局任务(今日/累计/趋势/终态) + 全局评测均分
  + 模型配置态(主/备/各kind数) + 提示词覆盖态 + 服务健康
- store.SystemCounts：全局 users/kb/doc 计数(区别 owner 隔离的个人口径)
- 区别桌面端个人 stats/overview：管理端概览改吃此接口(系统控制塔)
- DEPTH_ROADMAP 新增 Tier4 后端做实(A–F 六组，三路 Explore 审计产出)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-02 08:59:28 +08:00
Blizzard cb7dd86121 docs: DEPTH_ROADMAP T2.3✅ + T2 深化 4/4 全清(prompt DB 控制面热切换，live) 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 14:59:52 +08:00
Blizzard 5736ad145e feat(prompts): v2 DB 控制面热切换 —— 版本留存 + 不重启即生效 
在 v1(注册表+文件覆盖)上加 DB 管理层与热切换，镜像 model-config 控制面：
- store: sundynix_prompt 表(key/version/content/active) + ActivePrompts/ListPrompts/
  CreateVersion/Activate/Deactivate
- 控制面: ServePrompts/RequestActivePrompts(+Retry)/PublishPromptsUpdated/SubscribePromptsUpdated；
  prompts.ApplyOverrides 整体替换覆盖集(DB 激活集为权威)
- gateway API: GET/POST /api/v1/prompts、version/activate/deactivate；激活/撤销即广播
- dispatcher/mcp-go: 启动拉激活集 + 订阅热更新(不重启)
- live: 建版本→激活→mcp-go 图谱抽取 2→0→回滚 2(全程不重启)；deactivate 回退代码默认；版本可回溯

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 14:59:52 +08:00
Blizzard aa61590b6c Merge remote-tracking branch 'origin/dev' into dev 2026-06-30 14:37:07 +08:00
Blizzard 16c9298cf8 docs: DEPTH_ROADMAP T2.3 prompt 版本化地基✅(文件覆盖，live A/B)，v2待 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 14:36:04 +08:00
Blizzard 9a3a816c80 feat(prompts): prompt 版本化地基 —— 注册表 + 运行期文件覆盖 
把散落各服务的硬编码 system prompt 收口为受管注册表，不重编译即可改/回滚/对比：
- shared/prompts：内置默认(随代码) + 运行期覆盖(PROMPTS_FILE) + Get/Keys，并发安全，含单测
- 接入 9 处：mcp-go(graph.extract)；dispatcher(eval.quality/eval.refine/guard.jailbreak/
  coordinator.lead/memory.extract，按引用登记默认、无文本重复)
- main 启动调 LoadFile 加载 PROMPTS_FILE 覆盖
- live A/B：覆盖 graph.extract → 图谱抽取 2 条→0 条、向量仍正常（覆盖生效、管道未坏）
- v2(DB 控制面热切换 + 灰度)留后续

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 14:36:04 +08:00
Blizzard 865a47eeea docs: DEPTH_ROADMAP T2.2 ✅ 检索质量评测(混合稳健兜底，量化在案) 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 13:56:39 +08:00
Blizzard a17e25b6ba feat(rag): 检索质量评测 —— 单路检索能力 + recall@k/MRR 评测台 
- 引擎抽 searchPaths(三路召回) + SearchByMode(vector/fulltext/graph/hybrid，
  纯检索不 rerank，公平对比)；kb_search 加 mode 参数(空=生产含rerank)，
  gateway KbSearch 透传 mode
- scripts/rageval.py：标注语料+查询 → 四模式 recall@k/MRR 对比表（可复用）
- live 量化：纯语义改写让全文0.88/图谱0.75 漏召回，混合 1.00 兜回，
  混合=各路上界的稳健组合

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 13:56:39 +08:00
Blizzard 4f52b30f95 docs: DEPTH_ROADMAP 新增 T2.4 大文件RAG生产化(三段/P0-P2 全勾，均 live 验证) 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 13:38:03 +08:00
Blizzard 9a5ed75c05 feat(gateway): 入库队列接线 + 正文一律MinIO + file_id级联删端点 
- 入库改走 JetStream 队列：claim-check 暂存 MinIO → 发作业 → 立即返 job_id；
  worker 池(StartIngestWorkers)有界并发消费，崩溃重投续跑(幂等)，优雅 drain
- 存储：正文一律落 MinIO(去 <8000字内联PG 阈值，仅 MinIO 挂时回退兜底)；
  sundynix_doc 删死字段 MD5
- 下游键传稳定 file_id(非展示名)；新增 DELETE /api/v1/kb/doc 级联删
  (三库 + MinIO 原文 + PG 元数据/双链，owner 隔离)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 13:38:03 +08:00
Blizzard 79e834e8e9 feat(rag): 大文件 RAG 做深 —— 并发入库/图谱窗口化 + Bleve落盘 + file_id治理 
几十万字文件从"广而浅"到准生产级：
- 向量化串行→并发分批保序(embedAll)；几十万字上千块快数倍
- 图谱整篇喂LLM(爆上下文只抽开头)→窗口化并发抽(extractGraphWindowed)，
  全覆盖；窗口/封顶/并发 env 可配；图谱可单配便宜模型(GRAPH_CHAT_*，未配回退主chat)
- Bleve 内存索引(重启即丢、三路退两路)→落盘 scorch(env BLEVE_PATH，失败退内存兜底)
- 下游键改稳定 file_id：Neo4j 关系打 file_id(实体仍 kb+name 共享)；
  新增 kb_delete 工具 + Engine.DeleteDoc 级联删 Milvus/Bleve/Neo4j
- 单测：窗口化/去重/env可配/落盘持久/图谱模型回退

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 13:37:45 +08:00
Blizzard 6f16062dfc feat(bus): 入库 JetStream 持久工作队列 —— 崩溃重投/背压/幂等 
把入库从网关裸 goroutine 升级为和任务流同级的 JetStream 持久工作队列：
- contract/ingest.go: IngestJob(claim-check 引用) + 流/消费者常量
- bus.go: EnsureIngestStream / PublishIngestJob / ConsumeIngestJobs
  (durable consumer + MaxAckPending 背压 + AckWait 可配(env) + MaxDeliver 4
   毒消息兜底 + lastAttempt 终态收尾 + 优雅 drain)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 13:37:24 +08:00
Blizzard ce70388e52 docs: DEPTH_ROADMAP T2.2 三路做实(中文全文/图谱修活),质量评测待补 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 10:00:59 +08:00
Blizzard a4852c3aef fix(rag): T2.2 把"三路混合"做实 —— 中文全文/图谱两路从 0 贡献修活 
基建拉起后实测发现"三路混合检索"对中文其实只有向量路在干活：
`hybrid: 向量=1 全文=0 图谱=0` —— 全文、图谱两路恒 0 贡献（典型"广而浅"）。两个真因：

1. Bleve 全文：默认标准分词器不切中文 → 整段当一个 token → 中文查询永远 0 命中。
   修：text 字段用 cjk 分词器（bigram），kb/doc 用 keyword（保 TermQuery 精确过滤）。
2. 图谱检索：`$q CONTAINS a.name` 要求实体名是查询子串，而 LLM 把实体抽成"星云一号卫星"
   （带后缀），查询说"星云一号"→ CONTAINS 失败 → 0 命中。
   修：加查询字符 n-gram（2..8）双向子串匹配，`星云一号` 即可命中 `星云一号卫星`。

live 验证（同一查询）：修复前 `向量=1 全文=0 图谱=0` → 修复后 `向量=1 全文=1 图谱=9`，
三路全贡献。中文混合检索从 1/3 变真 3/3。
测试：Bleve 中文检索命中 + queryNgrams 子串/长度边界（CI 安全，无需基建）。

DEPTH_ROADMAP T2.2：三路做实✅；检索质量度量(离线评测集 recall@k/MRR)待补。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 10:00:25 +08:00
Blizzard 5d090304e5 docs: DEPTH_ROADMAP T2.3 输出缓存(半做,诚实标注命中率有限) 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 09:40:45 +08:00
Blizzard e80e481f9f feat(llm): T2.3 输出缓存 —— 同输入命中跳过 LLM 调用（省成本+提速） 
在 eino model 层加 cachingModel 装饰器，包在 failover 链最外层：命中直接跳过整条链。

- 只缓存 Generate（非流式）：Stream 是用户可见的创作型输出、重复率低且回放复杂，透传不缓存。
- 键 = 模型名 + 绑定工具哈希 + 消息内容哈希，不同模型/工具集/输入互不串味。
- 默认 TTL 60s（env LLM_CACHE_TTL_S，0=关）：只覆盖短窗内的重试/双发/重复点击 —— 这类
  几乎一定同一意图，命中省成本+提速；又短到不让助手对同一问题长期"复读"。容量上限
  LLM_CACHE_MAX(512) 满则随机淘汰。换激活模型 → 键含模型名自然失效。

测试：命中跳底层/不同输入不串味/TTL 过期重调/流式不缓存/工具集不同键/TTL=0 禁用。

诚实说明：本平台以创作型流式为主、且 Generate 输入(专家简报/评测)每次都变，**真实命中率
天然偏低**——主要吃"短窗内逐字相同"的重试/双发。机制正确、零风险(可 env 关)，但不是大
成本杠杆；更大的省钱项(语义缓存/确定性工具结果缓存)是后续。Prompt 版本管理(T2.3 另一半)
未做。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 09:40:20 +08:00
Blizzard 3519570178 docs: DEPTH_ROADMAP T2.1 ✅(模型 Fallback) 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 09:26:47 +08:00
Blizzard ecf4a80466 feat(llm): T2.1 模型路由 + Fallback —— 单 provider 抖动不再整体宕 
现状：单 provider，一家 API 抖动/挂掉全平台不可用。加主备 failover：主模型调用失败
自动按序切备用，compose/ReAct/Chat 全路径透明白嫖。

- llm/failover.go: failoverModel 把多个 ToolCallingChatModel 串成主备链，按序调用、
  遇错切下一个；它本身是 model.ToolCallingChatModel 故全路径透明。调用方主动取消
  (ctx.Err()!=nil) 不切；模型自身请求超时走内部 ctx、不污染父 ctx 故仍 failover。
  局限(v1)：Stream 仅建流同步报错时切（已回流 token 的中途失败不切）。
- llm/pool.go: SetConfig 用激活配置(含 Fallbacks)重建——主+可用备用串成 failover 链，
  无备用则直接用主；备用单个构建失败跳过不影响主链。
- contract.ModelConfig: 加 Fallbacks 字段（骑在主配置里下发，不改任何 bus/ServeConfig 签名）。
- gateway store.ActiveConfig: chat 把"其它已登记 chat 模型"按序填进 Fallbacks；
  provide(main) + broadcast(admin) 共用 → 注册多个 chat 模型即自动成主备。
- bus.decryptConfig: 备用模型的 api_key（密文）一并解密。

测试：failover 单测（主可用不调备/主挂切备/全挂报错/取消不切/Stream 切备/WithTools 链）。
live 验证：active=死 ollama 主 + deepseek 备 → 任务连主拒连→自动切 deepseek→4s 完成。
DEPTH_ROADMAP T2.1（admin 注册多模型即主备，无需新 UI）。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 09:26:18 +08:00
Blizzard ef6f525a74 refactor(dispatcher): T1.1 退役 graph.go —— 编排引擎收成单一 compose 
compose 已默认数天、HITL/多智能体/评测全在其上真实跑过，soak 充分。删掉自研拓扑
解释器这第二套引擎，消灭"双实现 drift"税：

- 删 runGraph（graph.go 的自研解释器）+ composeEnabled/EINO_COMPOSE 逃生舱开关
  + runConversation（仅 runGraph 用的死代码）。
- executeGraph 直接走 runComposeGraph；compose 编译失败兜底改单轮对话（不再回退
  graph.go）；清掉仅 runGraph 用的 import（otel attribute/trace/otelx）。
- 保留 board / 各节点执行器(retriever/tool/agent/branch/approval/map/render/aggregate)
  / 工具函数 —— 它们是 compose 各节点 lambda 复用的，非 graph.go 专属。
- 测试：8 处 runGraph→runComposeGraph；等价测试(对照两引擎)转为 compose 正确性测试；
  runConversation 的开关测试转为「无 ChatModel 降级 runAgent」。

go test ./... 全绿 + vet 干净；冒烟 简单 agent/分支图 跑通。此后每个编排改动不再两边
对齐，成本减半。DEPTH_ROADMAP T1.1 ✅。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-30 08:53:02 +08:00
Blizzard 835a6d7432 fix(harness): 评测不再误判长答案「截断」—— 评审截断从 1500 抬到 6000 + 明确标注 
T0.1 校准后 judge 变严，但被评测自己的截断坑了：judge 评分前把模型回答截到 1500 字
(evalTruncate(output,1500))，而报告/多智能体综合等长答案普遍 2000+ 字 → judge 只看到
前半截、误判「回答不完整/截断」，给出假阴性 warn。多智能体一跑就暴露(2278 字答案被
误判 0.55 warn「截断」)。

- evalReviewOutput: 评审长度上限 6000(覆盖绝大多数长答案)；确被截断时明确标注
  「已被评审系统截断，勿因结尾不完整扣分」，杜绝 judge 因自身截断而扣分。
- llmJudge / llmJudgeGrounded 改用 evalReviewOutput 喂模型回答。

live 验证:同款 2 专家协调任务，修复前 0.55 warn「截断」→ 修复后 0.85 ok，且 judge
挑出真实缺陷(推荐逻辑前后矛盾)而非假截断。既公平又严格。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-29 17:35:13 +08:00
Blizzard cb6eec5614 feat(desktop): T0.2 多智能体进 Studio —— coordinator 节点 + 专家卡片 + 派发可观测 
把已通的多智能体后端(MULTI_AGENT.md)接上 UI，用户可在画布拖出协调者图。

- nodeCatalog: 新增 `coordinator`「多智能体协调」节点(indigo) + 新字段类型
  `agentList` + Specialist 接口({name,use,system,tools})，与后端 parseSpecialists 对齐。
- Inspector: AgentListField —— 可增删的子智能体卡片(名/用途/系统提示词/工具逗号分隔)。
- dsl 校验: agentList 需 ≥1 个有名字的专家、名字不重复。
- RunsView: 「工具调用」面板纳入专家派发(kind=agent)，改名「工具/专家」，专家项
  用 Users 图标 + indigo「专家」徽标区分(此前只筛 kind=tool，漏掉多智能体派发)。
- 导出: agents 数组经 exportDsl 原样透传进 DSL → 后端 parseSpecialists 直接消费。

tsc + vitest(19) 绿；UI 同款结构 DSL 后端可跑(协调链路 live 已验)。
DEPTH_ROADMAP T0.2 ✅，T0 激活 2/2 完成。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-29 17:14:14 +08:00
Blizzard 158fe094ab fix(hitl): 审批复盘轨迹补全 —— 中断不关 exec 流，resume 事件续录 
现象:已完成的审批任务，复盘轨迹停在「已中断等待审批」、审批节点永远转圈，看着
像卡住（实际任务已 done、有输出）。

根因:任务中断时 Handle 的 defer tr.done() 给 exec 流发了 CompleteExec → 网关 exec
录制器关闭。resume 是另一次独立调用，其 exec 事件（审批通过/拒绝、续跑节点）发到
同一主题时录制器已关 → 没录进去。（token 流中断时特意没关，所以输出录到了；exec
流却被关了，不对称。）

- exec.go: execTracer 加 suspended 标志，done() 挂起时不关流。
- orchestrator.go: 中断分支置 tr.suspended=true（与 token 流一致）。
- ExecTrace.tsx: 前端兜底——运行已完成(phase done)时把悬挂的 waiting/running 节点
  收敛为 done，修旧任务（已 done、轨迹缺 resume 事件）的转圈假象。

live 验证:审批任务批准后复盘轨迹完整呈现 approval await→end「批准：放行」→
agent start→推理→end，审批节点不再转圈。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-29 16:57:11 +08:00
Blizzard fcefecd10d fix(desktop): 轮询命中终态时同步 phase —— 运行按钮不再永卡「运行中」 
attachRun 的状态轮询此前只更新 lifecycle、不动 phase。token 流没收到 done 的场景
（如恢复的在途任务、或任务被外部置终态）→ phase 永卡 streaming → Studio 运行按钮
永远禁用「运行中…」，看似不能跑新编排。

修复：轮询命中终态(done/failed/timeout/rejected)时把 phase 也置 done/error，
释放运行按钮。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-29 16:48:50 +08:00
Blizzard e8dc2e02c3 fix(desktop): 审批条提交后不再永卡「提交中」+ 按 taskId 重挂载 
复现：登录恢复待审任务时若捞到一个无法续跑的任务（如早期 KV 冒号 bug 留下的无
resume 记录的孤儿），点批准 → 决定发出但消费者找不到记录 → 任务永远 waiting →
审批条 busy 状态成功后从不复位 → 永卡「提交中…」spinner，看似整个应用卡死。

- decide 成功后置 submitted 并在 finally 复位 busy（此前只在 catch 复位）。
- submitted 时显示「决定已发出，等待续跑…（若长时间无响应，该任务可能已失效）」
  而非停在 spinner —— 诚实反映状态，不误导成 hang。
- Bar 加 key={taskId}：换审批任务时重挂载，避免上一个的 submitted 残留。

（孤儿任务本身已在 PG 标记 failed 清理；冒号 bug 早已修复，不再产生新孤儿。）

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-29 16:40:07 +08:00