elky
579f2c7cc1
feat(security): harden gateway boundaries and usage policies
...
Consolidate subscription usage policy enforcement, privacy-safe persistence, and gateway security hardening into one reviewable change.
Includes bounded HTTP and execution envelopes, header and protocol guards, DNS and relay validation, authentication and secret projection hardening, secure backup/install paths, and regression coverage.
2026-09-04 03:45:52 +08:00
AAEE86
4a0775c4ea
style: apply cargo fmt across gateway and aether-ai crates
2026-08-17 14:53:53 +08:00
AAEE86
59e27524da
refactor(gateway): extract transport-neutral execution attempt lifecycle
...
评审第 4 条：responses/turn.rs 实际复制了一整套 HTTP execution lifecycle——
usage 写入、candidate 状态流转、health/adaptive 效果投射、pool key lease 释放、
body capture、账单失败判定，与 HTTP 的顺序和超时语义只能靠人工对齐。
新增 execution_runtime/attempt_lifecycle.rs，把一次 provider attempt 的记账收成
transport 中立的三段：
ExecutionAttemptLifecycle::begin pending usage 行 + Pending candidate
ExecutionAttemptLifecycle::mark_started usage stream_started + Streaming candidate（幂等）
ExecutionAttemptLifecycle::settle 终态四段，顺序不可重排：
1 usage terminal（detachable，不可丢）
2 candidate terminal
3 provider 效果 + 超时兜底释放 lease
4 execution report（作废账单不提交）
顺序、5s 分段超时常量、detachable 语义、「每个效果分支都释放 lease」「作废账单
一律不提交 report」这些不变量全部保持原样。
一并上移的辅助设施：
- AttemptStageGuard 取代 await_websocket_lifecycle_stage /
await_detachable_lifecycle_stage，把「等多久」参数化：WS 用 Bounded(5s)，
HTTP 接线时用 Unbounded 即保持它现在的语义。
- AttemptBodyCapture 取代 append_capture / encode_stream_capture，把
「缓冲 + 截断标志」两个字段收成一个类型（WS 侧四个字段变两个）。捕获内容
仍然是 SSE 形状：usage runtime 按 data: 行解析被捕获的 body 来判定
StreamCapturedTerminalState，换成结构化 JSON 会让终态判定恒为 Missing。
- C2/C3 的结算表本来就不含任何 WS 类型，随之上移。效果表分支与注释逐字未改，
仅按新位置改名为 AttemptProviderEffect / classify_attempt_provider_effect。
responses/settlement.rs 只保留 WS 专属的一件事：把 relay loop 的结算信号
ResponsesWebSocketTurnOutcome 翻译成两个正交事实。
ResponsesProviderAttempt 现在只持有 WS 专有状态：lifecycle 句柄、deadline、
终态观测器、两侧 capture、准入、provider/delivery 事实。plan / trace_id /
report_kind / report_context / candidate 起始时间戳都归 lifecycle。
HTTP 侧不接线：execution_runtime/stream/execution.rs 的
DirectPassthroughFinalizerCore（38 字段）与 failover / oauth 重试 / prefetch 深度
纠缠，无法在「行为等价 + 单 commit 可验证」的前提下改动。逐调用点映射表写在
模块文档注释里作为后续 PR 的接线依据。验收：git diff 对
execution_runtime/stream/ 与 crates/aether-usage 均为零 diff。
新增 6 个测试：效果段超时后仍走兜底 lease 释放、Unbounded 会一直等、detachable
写入在调用方停止等待后仍跑完、settle 四段顺序（计数器替身）、body capture 的
SSE 形状与编码状态（并显式记录默认上限是 usize::MAX，截断分支不可达）、
candidate error_type 映射。
2026-08-17 14:53:25 +08:00
AAEE86
247e7105a2
fix(ws): bill a provider-reached terminal even when client delivery fails
...
评审第 5 条后半：provider 终态已经到达、只是 gateway 写客户端 socket 失败时，
relay loop 用 client_disconnected() 覆盖了结算信号，于是一条供应商已经完成推理
并消耗了 token 的响应被记成 void billing、candidate 记 Cancelled、不投射供应商
效果、也不提交 execution report。上游成本凭空消失。
结算表只改一行：作废账单的条件从
provider.cancelled_by_provider() || delivery.is_aborted()
收紧为
provider.cancelled_by_provider() || (delivery.is_aborted() && !provider.is_terminal())
于是 Terminal{cancelled=false} + delivery Aborted 与 delivery Complete 落在同一侧：
Billed、candidate Success 或 Failed、投射供应商效果、提交 execution report。
状态码随之变成纯 provider 事实（不再把 200 改写成 499）；作废分支的 provider
状态码本身就是 499，取值不变。
依据：供应商已经完成推理并消耗 token，客户端还能用 previous_response_id 续取
这条响应。供应商没给出终态时（客户端先走了）仍然作废，这一侧未改。
配套改动：
- connection.rs 写客户端失败处改为 record_client_delivery_aborted(reason) +
settle_signal_for_client_delivery_failure(terminal_outcome)：provider 终态已到达
就用那条终态作结算信号，不再无条件覆盖。投递失败原因也不再谎称
「客户端在终态前断开」。
- 投递结果记在 attempt 上而非 logical turn 上：结算按 attempt 进行，且配额透明
重试时各 attempt 的投递结果彼此独立。
- report_context 新增 websocket_client_delivery="aborted" 与
websocket_client_delivery_reason，只增字段不改既有字段，便于事后区分
「客户端拿到了」和「客户端没拿到但已计费」。
- candidate error_type 新增 client_delivery_failed（原先这个场景写的是
websocket_cancelled）。它排在供应商侧分类之前：这条记录之所以特别正是因为
内容没送到客户端，供应商侧判定仍由 candidate_status 与 error_message 保留。
- finish_summary 改用作废判定而非「投递失败」判定：provider 终态已到达时摘要
必须保留真实的 finish_reason 与 usage，否则计费记录会被写坏。
e2e 期望值变化：client_disconnect_mid_turn_still_settles_the_usage_row 改名为
client_disconnect_before_any_provider_output_settles_a_void_row，并补上
「不计费 + status=cancelled + status_code=499」的断言。原用例的 mock 行为是
StallAfterCreated（只发 response.created 就静默），provider 从未给出终态，所以
它走的是未改动的作废一侧；原来的文档注释说「must still be billed」与实际语义
不符，一并纠正。真正被修正的那一行无法在 e2e 里确定性触发——它取决于 relay
loop 的 select! 先观察到上游终态帧还是先观察到已关闭的客户端 socket，是构造性
竞态——因此由 relay 级单测确定性覆盖，e2e 里以注释指向这两个单测。
新增 7 个测试：结算表修正行（并与「投递成功」逐字段对照，只有 candidate 错误
分类不同）、无终态时仍作废、供应商声明取消即使送达也不计费、结算信号选择、
已记录的投递失败不被结算信号覆盖、relay 级「终态到达 + 客户端已关闭 ⇒ Billed /
Success / ProviderSuccess / 已提交 report 且 usage 完整保留」及其镜像、
report_context 只增不改。
2026-08-17 14:53:12 +08:00
AAEE86
dc3743aecf
refactor(ws): 拆分 LogicalTurn 与 ProviderAttempt，结算改表驱动
...
评审第 5 条：一个 ResponsesWebSocketTurn 同时代表 logical turn 和 provider
attempt，finalize() 又用 outcome.cancelled() 一个布尔驱动 billing、candidate
状态和供应商效果，于是 provider 终态已经到达、只是最后一跳写客户端失败时，
供应商事实会被 Cancelled 覆盖掉。
- ResponsesWebSocketTurn → ResponsesProviderAttempt，
ActiveResponsesWebSocketTurn → ActiveProviderAttempt：类型名字明确它只代表
一次上游执行，logical turn 由 C1 落地的 LogicalTurn 承担。
- 新增 settlement.rs：AttemptProviderOutcome × AttemptClientDelivery 两个正交
事实，classify_attempt_settlement 一张表推出 status_code / billing /
candidate 状态 / candidate 错误分类 / 供应商效果 / 是否提交 execution report。
- attempt 观察到 provider 终态即记录 provider_outcome。结算信号
ResponsesWebSocketTurnOutcome 只回答「为什么现在结算」：ProviderTerminal 与
Failure 对 provider 是权威的，Cancelled 只描述客户端/连接层面的停止，不再
覆盖已观察到的 provider 事实。
- candidate 状态与 candidate 错误分类分开输出：现状存在
「missing_terminal=true 而记账层判 Success」的组合（report kind 不要求观察到
终态事件时），会写出 status=Success + error_type=stream_missing_terminal_event，
这个组合必须原样保留。
classify_responses_websocket_turn_effect 的判定表原样搬入 settlement.rs，分支
和顺序均未改动，两个既有不变量测试随之迁移。
行为等价。结算表当前口径与拆分前完全一致：客户端投递失败仍与「供应商声明取消」
落在同一侧（作废账单、candidate 记 Cancelled、只释放 lease、不提交 execution
report），即使 provider 终态已经到达——这一行由
settlement_table_row_client_delivery_failure_currently_voids_a_reached_terminal
锁住现状，修正它是下一步独立的行为修正。
新增 15 个测试：outcome → 双事实映射表逐行（含 stream_timeout 只在 504 失败一族
成立、provider 终态即使 504 也不投射流式超时）、结算表逐行、投递失败时
forced_error 必须为 None、已观察终态不被 Cancelled 覆盖、以及跨整张表的
「每个分支都释放 pool key lease」「作废账单一律不提交 report」不变量。
2026-08-17 14:53:05 +08:00
elky