Blizzard
ac38d5e663
部署前生产级审计（可靠性/数据层/安全三路）后，清掉 7 处代码级硬伤： A1 后台定时器 goroutine 无 panic recover → 单个 DB panic 崩整个 gateway。加 safeGo/ safeCall，包住订阅/掉单补偿/微信推送/探针 goroutine，单轮 tick 再兜一层。 A2 提示词控制面(建/激活/停用，热广播全服务)只 RequireAuth → 任意登录用户改全局提示词。 三写端点+列表挂 RequireAdmin。 A3 HITL 审批端点无角色门 → viewer 可放行烧钱执行。加 RequireTenantRole(member)。 A4 审计/护栏列表 limit 无校验，limit=-1 让 gorm 取消 LIMIT 全表扫。加 clampLimit/ clampOffset，AdminTasks/AdminSpaces 补上界。 A5 限流 Redis 一挂就完全放行(fail-open)。加进程内固定窗口兜底(fail-safe) + 登录/注册 按 IP 专用严限流(10/min)。 A6 公开 by-id 端点(stream/exec/report导出/kb导入流)无鉴权无租户过滤。加 AuthFromHeaderOrQuery(从 ?token= 取 JWT) + task/report 按 owner 归属校验；桌面端 5 处 EventSource/下载 URL 经 tokenQuery 附 JWT。 A7 文件上传无大小上限(整文件进内存 OOM 面) → 50MB 闸(KB_MAX_UPLOAD_BYTES)+ LimitReader； http.Server 加 ReadHeaderTimeout/ReadTimeout/MaxHeaderBytes(不设 WriteTimeout 保 SSE)。 带单测：clampLimit/safeCall/procLimiter/AuthFromHeaderOrQuery/TaskOwner。 build+vet+全量 test 绿；desktop tsc 绿。B(迁移工具/实时探针/出网韧性/登录锁定/leader选举) 与 C(TLS/PG HA/K8s/备份自动化/可观测)分期后做，参照 production_readiness.md。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
60 lines
2.0 KiB
Go
60 lines
2.0 KiB
Go
package handler
|
|
|
|
import (
|
|
"context"
|
|
"log"
|
|
"time"
|
|
)
|
|
|
|
// 订阅推进定时器：周期扫 active 订阅 → 该发的发、该过期的置过期。
|
|
// 与掉单补偿（payment_reconcile.go）同一范式：定时器只是"兜底触发器"，
|
|
// 真正的语义与幂等都在 store.TickSubscription 里，两处不会漂移。
|
|
//
|
|
// 为什么需要它：订阅是"有效期内每 N 天发一次积分"，没有用户请求来驱动这个节拍。
|
|
// 进程停机期间欠下的发放，由 TickSubscription 的补发逻辑一次性补齐。
|
|
const subTickInterval = 10 * time.Minute
|
|
|
|
// StartSubscriptionTicker 随进程生命周期运行；多实例并发也安全（发放靠 ledger 唯一索引幂等）。
|
|
func (h *Handler) StartSubscriptionTicker(ctx context.Context) {
|
|
safeGo("subscription-ticker", func() {
|
|
t := time.NewTicker(subTickInterval)
|
|
defer t.Stop()
|
|
// 单轮兜底：某轮 panic 不该终止整个定时器，下一轮继续（漏发的下轮补发逻辑兜住）。
|
|
safeCall("subscription-tick", func() { h.tickSubscriptions(ctx) }) // 启动即跑一次，补停机期间欠的
|
|
for {
|
|
select {
|
|
case <-ctx.Done():
|
|
return
|
|
case <-t.C:
|
|
safeCall("subscription-tick", func() { h.tickSubscriptions(ctx) })
|
|
}
|
|
}
|
|
})
|
|
log.Printf("[sub] 订阅推进定时器已启动（每 %s 扫一次）", subTickInterval)
|
|
}
|
|
|
|
func (h *Handler) tickSubscriptions(ctx context.Context) {
|
|
subs := h.db.DueSubscriptions(ctx, 200)
|
|
if len(subs) == 0 {
|
|
return
|
|
}
|
|
now := time.Now()
|
|
var granted, expired int
|
|
for i := range subs {
|
|
g, exp, err := h.db.TickSubscription(ctx, &subs[i], now)
|
|
if err != nil {
|
|
// 单条失败不影响其它订阅；下一轮会重试（幂等，不会重复发）
|
|
log.Printf("[sub] ⚠️ 推进订阅 %s 失败: %v", subs[i].ID, err)
|
|
continue
|
|
}
|
|
granted += g
|
|
if exp {
|
|
expired++
|
|
}
|
|
}
|
|
// 只在有变化时记一行，避免空转刷屏
|
|
if granted+expired > 0 {
|
|
log.Printf("[sub] 推进：发放 %d 笔、过期 %d 条（本轮 %d 条订阅）", granted, expired, len(subs))
|
|
}
|
|
}
|