kexichan · Jul 21, 2026 · Jul 21, 2026 · Jul 24, 2026 · Jul 24, 2026 · Jul 30, 2026
diff --git a/.dockerignore b/.dockerignore
@@ -2,6 +2,9 @@
 .git
 .gitignore
 
+# Go edge executor (built by edge/Dockerfile)
+edge
+
 # Node modules and build artifacts
 node_modules
 .next

diff --git a/.env.example b/.env.example
@@ -6,6 +6,29 @@ ADMIN_TOKEN=change-me
 # 单域名部署无需设置，留空则自动使用当前站点域名
 # NEXT_PUBLIC_API_BASE_URL=https://api.example.com
 
+# 代理 API 额外监听前缀（可选，逗号分隔）
+# 用于按路径分流的共享域名场景：设置后 /gateway/v1/messages、/gateway/messages
+# 与原有的 /v1/messages、/messages 同时生效（/v1beta Gemini 路径同理）。
+# 规则：
+# - 可写多个，逗号分隔；开头斜杠可省略，结尾斜杠会被忽略；支持多段（/ai/gateway）
+# - 区分大小写，不做百分号解码；不允许前缀之间互相嵌套（/a 与 /a/b）
+# - 首段不能占用既有路由：api、v1、v1beta、_next、favicon.ico、login、status、
+#   usage-doc、dashboard、chat、responses、models、messages 及语言代码（zh-CN 等）
+# - 前缀下的非代理路径（如 /gateway/dashboard）不受影响，仍按普通页面处理
+# - ${prefix}/v1/responses 的 WebSocket 需要自定义服务（生产 cluster.js 或 dev:server）；
+#   纯 next dev 下前缀请求会经过 middleware，正文上限为 proxyClientMaxBodySize（100mb）
+# - 反向代理（nginx/k8s）需同步为 ${prefix}/v1/responses 增加 WebSocket location
+# PROXY_LISTEN_PREFIX=/gateway
+
+# 服务器出站代理（可选）。这是出站流量，不是上面的监听前缀。
+# 协议：http://、https://、socks5://、socks4://。留空则直连。
+# 供应商 proxyUrl 与 Webhook 目标 proxyUrl 优先。
+# 回环（localhost、127.0.0.1、::1、0.0.0.0）以及 NO_PROXY / no_proxy 不走该代理。
+# Webhook 仅在本变量未设置时才回退到 PROXY / HTTPS_PROXY / HTTP_PROXY / ALL_PROXY。
+# Postgres（DSN）和 Redis（REDIS_URL）不受影响。
+# 非回环的 ClickHouse 主机会走该代理，除非写进 NO_PROXY。
+# OUTBOUND_PROXY_URL=http://127.0.0.1:7890
+
 # 自动迁移控制（生产环境默认开启）
 # 设置为 false 可禁用自动迁移
 AUTO_MIGRATE=true
@@ -44,6 +67,8 @@ ENABLE_API_KEY_VACUUM_FILTER="true"
 # - 单进程默认拆分：生产环境 20 = 15/4/1，开发与测试环境 10 = 7/2/1
 # - 每条 pool 另有有界 outstanding admission，满载时以 DB_POOL_ADMISSION_EXCEEDED 快速失败
 # - k8s 多 Pod 时每个 Pod 都有一份该预算，仍需按 Pod 数核算数据库总连接数
+# - 多进程时建议每个网关进程约 5 条连接再加 4（例如 6 进程约 34），并确认 PostgreSQL
+#   max_connections 能覆盖「副本数 × DB_POOL_MAX」；每进程 data pool 少于 2 条时启动会告警
 DB_POOL_MAX=20
 DB_POOL_IDLE_TIMEOUT=20                  # 空闲连接回收（秒）
 DB_POOL_CONNECT_TIMEOUT=10               # 建立连接超时（秒）
@@ -60,6 +85,20 @@ MESSAGE_REQUEST_ASYNC_FLUSH_INTERVAL_MS=250
 MESSAGE_REQUEST_ASYNC_BATCH_SIZE=200
 MESSAGE_REQUEST_ASYNC_MAX_PENDING=5000
 
+# message_request 初始 INSERT 模式（仅在 MESSAGE_REQUEST_WRITE_MODE=async 时生效）
+# - sync (默认)：转发前同步 INSERT 一行
+# - async：应用侧从序列预取 id，按批 multi-row INSERT，热路径不再等待数据库；
+#   行在约一个 flush 周期后才可见，进程崩溃时尚未刷盘的行会丢失。以下两个参数按进程生效，不在多进程间分摊
+MESSAGE_REQUEST_INSERT_MODE=sync
+MESSAGE_REQUEST_INSERT_ID_CHUNK_SIZE=128
+MESSAGE_REQUEST_INSERT_MAX_PENDING=2000
+
+# 可用性投影表保留期（天）
+# - PROJECTION_OUTBOX_RETENTION_DAYS：已发布的 outbox_events 保留天数（默认 3）
+# - PROJECTION_APPLIED_RETENTION_DAYS：proj_applied_requests 去重记录保留天数（默认 7）
+PROJECTION_OUTBOX_RETENTION_DAYS=3
+PROJECTION_APPLIED_RETENTION_DAYS=7
+
 # 数据库配置（Docker Compose 部署时使用）
 DB_USER=postgres
 DB_PASSWORD=your-secure-password_change-me
@@ -170,6 +209,11 @@ ENABLE_ENDPOINT_CIRCUIT_BREAKER=false
 # - false：禁用缓存，每次请求直接查询数据库（适用于调试或单机低并发场景）
 ENABLE_PROVIDER_CACHE=true
 
+# 模型价格查询缓存
+# - true (默认)：计费路径按模型名缓存价格 60s，价格写入后立即失效并通过 Redis 广播
+# - false：每次计费直接查询 model_prices 表
+ENABLE_MODEL_PRICE_CACHE=true
+
 # Fetch 连接超时配置
 # 功能说明：控制 TCP 连接建立超时时间（包括 DNS 查询、TCP 握手、TLS 握手）
 # - 默认值：30000 毫秒（30 秒）
@@ -248,6 +292,34 @@ LANGFUSE_SAMPLE_RATE=1.0                    # Trace sampling rate (0.0-1.0, defa
 LANGFUSE_DEBUG=false                        # Enable Langfuse debug logging
 LANGFUSE_TRACING_ENVIRONMENT=               # Optional environment tag (production/staging). Do not start with langfuse
 LANGFUSE_RELEASE=                           # Optional release identifier (git sha or VERSION)
+LANGFUSE_OTLP_COMPRESSION=gzip              # OTLP HTTP body compression (gzip|none, default: gzip)
+
+# Prometheus metrics (GET /metrics)
+# - METRICS_ENABLED: default true. Set false to 404 the scrape endpoint.
+# - METRICS_TOKEN: optional. When set, require Authorization: Bearer <token> or X-Metrics-Token.
+#   Bind /metrics to localhost or set a token before exposing the process port.
+METRICS_ENABLED=true
+METRICS_TOKEN=
+
+# ClickHouse 请求日志同步 (optional, auto-enabled when CLICKHOUSE_URL is set)
+# 功能说明：后台 worker 按行上的同步标记（clickhouse_synced_at）读取未同步的 message_request，
+#   把已终态的请求日志批量写入外部 ClickHouse，用于中期留存与分析（谁、何时、从哪个 IP、请求了什么模型）。
+# - 只写不读：Dashboard 依然查 PostgreSQL，本功能不改变任何查询路径
+# - 对代理热路径零侵入；ClickHouse 不可用时只告警，请求不受影响
+# - 多副本下由 Redis leader lock 选出唯一同步者，需要可用的 REDIS_URL
+# - 启用后日志清理会自动加上"只删已同步行"的围栏，可以放心缩短 cleanupRetentionDays
+# - 表结构在首次运行时自动创建（ReplacingMergeTree，按月分区）
+CLICKHOUSE_URL=                             # 例如 http://clickhouse:8123，留空则不启用
+# CLICKHOUSE_USER=default
+# CLICKHOUSE_PASSWORD=
+# CLICKHOUSE_DATABASE=default
+# CLICKHOUSE_TABLE=cch_request_log
+# CLICKHOUSE_TTL_DAYS=                      # 表 TTL（天）；留空表示不设 TTL，由运维自行管理
+# CLICKHOUSE_REQUEST_TIMEOUT_MS=10000       # 单次 HTTP 请求超时
+# CLICKHOUSE_SYNC_INTERVAL_MS=5000          # 同步周期
+# CLICKHOUSE_SYNC_BATCH_SIZE=5000           # 单批最大行数
+# CLICKHOUSE_SYNC_SETTLE_MS=150000          # 终态静置：等 hedge 败者计费落库后再发（建议 >= HEDGE_LOSER_DRAIN_TIMEOUT_MS + 30s）
+# CLICKHOUSE_SYNC_MAX_PENDING_AGE_MS=3600000  # 未终态行最长等待；超时后以 status_code=0 发出
 
 # 智能探测配置
 # 功能说明：当熔断器处于 OPEN 状态时，定期探测供应商以实现更快恢复
@@ -291,3 +363,12 @@ ENDPOINT_PROBE_METHOD=TCP
 # - 自动清理任务每 24 小时运行，删除过期记录
 ENDPOINT_PROBE_LOG_RETENTION_DAYS=1
 ENDPOINT_PROBE_LOG_CLEANUP_BATCH_SIZE=10000
+
+# Edge 执行器控制面（远端 Go 节点经 /api/internal/edge 接入）
+# - 未配置共享密钥时 /api/internal/edge/* 一律返回 503，watchdog 也不会启动
+# - 还需在系统设置中开启「Edge 执行器」；鉴权、限流、选路、重试与计费仍在本服务
+# - 密钥建议 32 位以上随机串，并只在可信内网（如 tailnet）中传输
+# CCH_EDGE_SHARED_SECRET=
+# CCH_EDGE_STATE_TTL_SECONDS=1800          # edge 请求状态在 Redis 中的保留时长（需覆盖最长流式请求）
+# CCH_EDGE_HEARTBEAT_INTERVAL_MS=15000     # 远端心跳间隔；3 个间隔内无任何上报即按失败结算
+# CCH_EDGE_WATCHDOG_INTERVAL_MS=5000       # watchdog 扫描间隔（仅后台任务所属 worker 运行）
diff --git a/.gitignore b/.gitignore
@@ -92,4 +92,8 @@ tmp/
 .omx/
 .opencode/
 bunx-*/
+
+# Go edge executor build output
+edge/bin/
+edge/coverage.out
 .research/
diff --git a/CHANGELOG.md b/CHANGELOG.md
@@ -8,19 +8,27 @@
 
 ### 新增
 
+- 供应商自定义请求头支持动态模板：可用 `{{header.Name}}` 复制非敏感入站请求头，`{{session.id}}` 写入 Session ID，`{{session.client_id}}` 写入客户端 Session ID；来源缺失时跳过该头，不允许读取凭据、Cookie 或内部传输头
+- 整合上游 v0.9.7：供应商列表新增按密钥查询余额及手动刷新，支持 New API 系统访问令牌和用户 ID；保留本地上游额度调度与探测配置
+- 供应商选项新增「复写响应模型 ID」：开启后把返回给客户端的 model 字段强制写成用户请求的模型 ID，用于隐藏上游映射
+- 按可用内存分配流门禁预算：128 KiB 起步增长；内存准入默认关闭，只记账不限制、不溢写、不排队；开启后才执行正文溢写、本地容量排队与 429
 - Langfuse 流式请求还原完整最终输出（Claude / OpenAI Chat Completions / Responses / Gemini），避免把原始 SSE 文本当作 generation output
 - Langfuse 将客户端原始请求头写入 generation `client_metadata`（凭据中间打码）
 - 支持 `LANGFUSE_TRACING_ENVIRONMENT` / `LANGFUSE_RELEASE` 传入 LangfuseSpanProcessor
-- 供应商自定义请求头支持动态模板：可用 `{{header.Name}}` 复制入站请求头，`{{session.id}}` 写入 Session ID，`{{session.client_id}}` 写入客户端 Session ID；来源缺失时跳过该头
+- 兼容无 `/v1` 前缀的代理入口：`/chat/completions`、`/responses`、`/models`、`/messages` 映射到对应 `/v1/...` 路径
+- 支持 `PROXY_LISTEN_PREFIX` 配置代理 API 的额外监听前缀（逗号分隔，如 `/gateway`），`/gateway/v1/...`、`/gateway/...` 与原有路径同时生效，含 `/v1beta` 与 `/v1/responses` WebSocket
 
 ### 优化
 
+- 客户端故障告警不再重复已发送内容：相同错误指纹在冷却期内不入桶、不重推，后续窗口只报新样本
 - Langfuse trace 名称改为 `user:shortModel`，去掉供应商前缀
 - 按 Langfuse JS SDK v5 在 `propagateAttributes` 内创建 observation
-- 大请求/响应体 1 MiB 截断，并在异步发送前快照，避免观测路径拖住完整 body
+- 保留本地 Langfuse 完整请求／响应及异步压缩保留策略，不引入上游 1 MiB 正文截断；合入 usage 互斥计费桶修正
+- 保留本地 edge 执行器、quota 调度、provider prefix、全局出站代理、Prometheus 与 ClickHouse；上游 hedge attempt ID 和错误诊断迁入共享重试 helper
 
 ### 修复
 
+- 修复客户端故障告警对 OpenAI cyber risk 关键词匹配过窄的问题：覆盖完整报错文案、Trusted Access 以及结构化 `cyber_policy` 响应体，样本只保留命中关键词
 - 修复上游响应流发生 error 后 Node/Undici body 未完成销毁的问题：Node-to-Web adapter 和 demand-driven pump
   现在在源流错误终态显式取消、销毁底层流，并为异步 destroy error 保留有界保护；同时将 raw body 的兜底错误监听改为一次性监听，
   避免 HTTP/2 reset、客户端断开和竞速取消路径长期保留 socket 与 ArrayBuffer backing store (#1430)
@@ -34,6 +42,10 @@
 - 修复 Anthropic 请求级拒绝（`stop_reason=refusal` 且无内容块）被流式内容门控判为 `empty_stream` 并伪造 502、
   重试切商并计入供应商熔断的问题：门控、Discovery 竞速、非流式空响应检测与 fake-streaming 校验统一把 refusal
   视为可交付结果原样透传；门控本地错误体与日志新增上游真实状态 `upstream_status_code` 与熔断计入标记 (#1491)
+- Responses WebSocket 在首事件前收到请求过大错误时，在同一供应商回退 HTTP，不缓存为“不支持 WS”；Next 的自动 upgrade handler 绑定私有 loopback listener，避免与公网 Responses WS handler 争用连接
+- 历史 Drizzle 迁移编号与已应用 SQL 保持不变；生成 `0131_talented_adam_warlock` 添加余额凭据字段、内存准入开关及 session 前缀索引防阻塞升级，已有大表先走并发索引 preflight
+- 移除 OpenCode Go 保存适配弹窗及原始 Session ID 模板注入，保留转发阶段哈希 `x-opencode-session` 自动注入
+
 
 ---
 

diff --git a/CLAUDE.md b/CLAUDE.md
@@ -118,7 +118,7 @@ Key components:
 - **Format Converters** (`converters/`): Bidirectional format translation
 
 ### API Layer
-- **Proxy endpoints**: `/v1/messages`, `/v1/chat/completions`, `/v1/responses`
+- **Proxy endpoints**: `/v1/messages`, `/v1/chat/completions`, `/v1/responses`, `/v1/models` (also accepted without the `/v1` prefix)
 - **Management API**: `/api/v1/*` - RESTful management surface documented by OpenAPI
 - **Legacy Management API**: `/api/actions/{module}/{action}` - Deprecated Server Action adapter, retained behind `ENABLE_LEGACY_ACTIONS_API`
 - **Docs**: `/api/v1/scalar` (Scalar UI), `/api/v1/docs` (Swagger), `/api/v1/openapi.json`
@@ -141,3 +141,87 @@ Critical variables (see `.env.example` for full list):
 - `ENABLE_RATE_LIMIT`: Toggle rate limiting
 - `SESSION_TTL`: Session cache TTL (default 300s)
 - `AUTO_MIGRATE`: Auto-run migrations on startup
+
+## Production Deploy (systemd, traced standalone)
+
+This project's live install is **~288–292M**, not 1.5G. The 292M tree is Next's file-traced standalone. It is **not** `bun install --production` on the server.
+
+### Why the size jumps
+
+`next.config.ts` sets `output: "standalone"`. `bun run build` then:
+
+1. Next traces runtime files into `.next/standalone/` (app, `.next/server`, **a trimmed `node_modules`**)
+2. `scripts/copy-version-to-standalone.cjs` copies `VERSION`, `.next/static`, `public`
+3. `scripts/copy-custom-server-to-standalone.cjs` copies `server.js`, `cluster.js`, `server-lib/`
+
+Traced `node_modules` is ~116 packages (~247M). It already contains the server-external packages Next does not bundle (`ioredis`, `postgres`, `drizzle-orm`, `bull`, `@bull-board/*`, `pino`, `ws`, `undici`, `fetch-socks`, `@next/env`) plus native `sharp` for the build arch.
+
+The trap: standalone `package.json` is a copy of the **root** file (all 78 `dependencies`). `bun install --production --frozen-lockfile` ignores tracing and installs the full graph (~869 packages, ~1.5G). `bun.lock` is gitignored (`.gitignore`); copying it only matters if you are intentionally doing a remote install.
+
+`.next/node_modules/<name>-<hash>` entries are **symlinks** into `../../node_modules/<pkg>` (`ioredis`, `postgres`, `drizzle-orm`, `bull`, `pino`, …). `rsync --exclude '/node_modules/'` while keeping `.next/node_modules` leaves those stubs dangling unless you then `bun install` (and that is the 1.5G path).
+
+Docker already uses the traced tree: `COPY --from=builder /app/.next/standalone ./` (see `Dockerfile`). systemd hosts should do the same.
+
+### Extra trim to ~288M (same-arch glibc x86_64)
+
+Local traced tree is ~399M. Two runtime-unused cuts bring it to the historical 292M:
+
+| Cut | Typical size | Safe? |
+|---|---|---|
+| `find .next/standalone -name '*.map' -delete` | ~89M, almost all `node_modules/next/dist` | yes, source maps are not loaded at runtime |
+| remove `@img/sharp-linuxmusl-x64` and `@img/sharp-libvips-linuxmusl-x64` | ~18M | yes on glibc hosts only |
+
+Do **not** delete glibc sharp (`sharp-linux-x64`, `sharp-libvips-linux-x64`). Do **not** strip maps/native binaries on a cross-arch copy.
+
+### Copy set (include these)
+
+- traced `node_modules/` (top-level, ~116 packages)
+- `.next/` (`server`, `static`, hashed `node_modules` stubs)
+- `cluster.js`, `server.js`, `server-lib/`, `package.json`, `VERSION`
+- `drizzle/`, `public/`
+
+Do **not** copy `.env` / `.env.*`. Preserve the live `.env` across the swap (`install -m 600 -o cch -g cch`).
+
+Do **not** copy `bun.lock` / `bunfig.toml` unless the target will run `bun install`. Same-arch systemd deploys should not.
+
+### Do not
+
+- Remote `bun install --production` on x86_64 hosts (inflates 292M → 1.5G)
+- `rsync --exclude node_modules` blindly (drops hashed Next externals *and* the traced packages they point at)
+- Ship an x86 `node_modules` to aarch64 (native `sharp` / optional extracts). Rebuild on the target, or use the 1.5G remote-install path there only
+- Keep `/opt/claude-code-hub.prev` on `172.16.96.115` (12G disk; live + prev will not fit)
+
+### Same-arch procedure
+
+```bash
+bun run build
+# optional same-arch trim
+find .next/standalone -name '*.map' -delete
+rm -rf .next/standalone/node_modules/@img/sharp-linuxmusl-x64 \
+       .next/standalone/node_modules/@img/sharp-libvips-linuxmusl-x64
+
+# stage, then atomic swap; LIVE/NEXT/PREV differ per host
+rsync -a --delete --exclude '/.env' --exclude '/.env.*' \
+  .next/standalone/ "$HOST:$NEXT/"
+# or tar-over-ssh when the host has no rsync:
+# tar -C .next/standalone --exclude './.env' --exclude './.env.*' -cf - . \
+#   | ssh "$HOST" "tar -C $NEXT -xf -"
+
+ssh "$HOST" "install -m 600 -o cch -g cch $LIVE/.env $NEXT/.env
+             chown -R cch:cch $NEXT
+             systemctl stop cch
+             rm -rf $PREV && mv $LIVE $PREV && mv $NEXT $LIVE   # 115: rm -rf \$LIVE instead of keeping PREV
+             systemctl start cch"
+```
+
+ExecStart is `/usr/bin/node cluster.js` (or `/opt/cch/cluster.js` on dslab), **not** bun. After restart, `/api/health` may report redis `down` for ~15s (client connect race); `/api/health/ready` should be `healthy` once workers are up. Confirm `version` is `0.9.5` (or current `VERSION`) and `du -sh $LIVE` is ~288M with ~116 `node_modules` entries.
+
+### Hosts
+
+| Host | Live dir | Copy | Staging | Notes |
+|---|---|---|---|---|
+| `root@100.64.1.38` | `/opt/claude-code-hub` | rsync | `.next` / `.prev` | `HOSTNAME=127.0.0.1` `LOG_LEVEL=error`; MemoryMax=6G; do not kill `/opt/cch-go/ui` (`PORT=13501`) |
+| `root@cch.in.dslab.top` | `/opt/cch` | rsync | `/opt/cch.next` / `.prev` | `HOSTNAME=0.0.0.0`; bun `/usr/bin/bun` |
+| `root@172.16.96.115` | `/opt/claude-code-hub` | tar-over-ssh (no rsync) | no `.prev` | 12G disk; `CCH_MULTICORE_WORKERS=6`; bun `/usr/local/bin/bun` |
+
+aarch64 (`xiaol@cpa1`) cannot reuse an x86 traced `node_modules`. Build on that host, or copy the tree **without** native `node_modules` and `bun install --production` there (accept ~1.5G).
diff --git a/Makefile b/Makefile
@@ -5,7 +5,7 @@
 # 这个 Makefile 将命令转发到 dev/Makefile
 # 可以在项目根目录直接执行 make 命令
 
-.PHONY: help dev-help dev db app build build-nocache app-rebuild app-nocache prune-images rm-app-image compose clean migrate db-shell redis-shell logs logs-app logs-db logs-redis reset status stop
+.PHONY: edge-build edge-test edge-lint edge-docker help dev-help dev db app build build-nocache app-rebuild app-nocache prune-images rm-app-image compose clean migrate db-shell redis-shell logs logs-app logs-db logs-redis reset status stop
 
 # 默认目标：显示 dev 工具帮助
 .DEFAULT_GOAL := dev-help
@@ -17,3 +17,7 @@ dev-help:
 # 转发所有命令到 dev/Makefile
 dev db app build build-nocache app-rebuild app-nocache prune-images rm-app-image compose clean migrate db-shell redis-shell logs logs-app logs-db logs-redis reset status stop:
 	@cd dev && $(MAKE) $@
+
+# Go edge 执行器（转发到 edge/Makefile）
+edge-build edge-test edge-lint edge-docker:
+	@cd edge && $(MAKE) $(patsubst edge-%,%,$@)