Pin the SillyTavern borrow, guards, and context controls #186
@@ -0,0 +1,32 @@
|
||||
# feature/sillytavern-review 任务卡
|
||||
|
||||
任务主记录：[Dev #186](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Dev/pulls/186)；状态：进行中；owner：weichen
|
||||
|
||||
## 基线与授权
|
||||
|
||||
- 权威仓：ssh://git@git-ssh.u1680832.nyat.app:31411/weichen/Agent-System-Dev.git；目标分支：main；R0（initial_base_sha）= 4fd03eee6230f82464def08f2543adab27aba948
|
||||
- 工作区：/home/weichen/projects/Agent-System-Dev-wt-feature-sillytavern-review（worktree）；分支：feature/sillytavern-review
|
||||
- 授权与交付终点：调研记录、已核实的安全缺口，以及方案里的批次 A–D 都在本任务实现。完成后推送、建 PR、合入，并在 worktree 内 `make task-finish`。不拷 SillyTavern 代码或文案。不轮换 Tavily 密钥，只在验收说明里建议轮换。不改认证默认 `auto`，不加 CSRF token，不加 CSP 上报端点。
|
||||
|
||||
## 目标与非目标
|
||||
|
||||
- 目标：Documents 记录与提案 §2.5；HTML 清洗与安全响应头；来源校验与非回环无认证拒绝启动；密钥独立存储与设置快照；个人指令、会话要求、条件注入、上下文分段估算与消息整形；复制、成组排除、追加式候选回复；用户 `/` 命令展开成提示词且不自动触发。
|
||||
- 契约：`Message` 增加 `excluded` / `variantGroup` / `variantIndex`。`Conversation` 增加 `sessionNote`。`ContextObservation` 增加 `sections` 与 `prefixHash`。新表见 Backend 迁移 v16。设置新增 `context.userInstructions`、`context.contextWindow`、`context.messageShape`。
|
||||
- 兼容：反向代理或用主机名从局域网访问时，必须把对外域名写入 `allowedHosts`，否则未开认证时 Host 校验返回 403。旧设置里的明文密钥在启动时迁入 `secret_keys` 后从设置 JSON 清除；运行时仍接受尚未迁走的旧字段。
|
||||
- 非目标：缓存断点、编辑重发、会话分支、窗口外召回、世界书概率/递归/分组/定时、密钥静态加密、i18n、出站代理、画像导入导出、扩展系统、宏、群聊、角色卡、自定义 CSS、删除消息、自动触发的快捷回复。
|
||||
|
||||
## 同步记录
|
||||
|
||||
| 节点 | sync_base_sha | tested_head_sha | checked_at |
|
||||
|---|---|---|---|
|
||||
| 启动 | 4fd03eee6230f82464def08f2543adab27aba948 | 4fd03eee6230f82464def08f2543adab27aba948 | 2026-10-04T17:06:46Z |
|
||||
|
||||
## 结果与验证（完成后填写）
|
||||
|
||||
- 结果：安全缺口 S1–S4 与批次 A–D 已在本分支实现。子仓 PR 已合入：Documents [#37](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Documents/pulls/37)、UI [#34](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-UI/pulls/34)、Core [#21](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Core/pulls/21)、Frontend [#43](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Frontend/pulls/43)、Native [#16](https://git-home.u1680832.nyat.app:30319/weichen/Agent-Native/pulls/16)、Squad [#15](https://git-home.u1680832.nyat.app:30319/weichen/Agent-Squad/pulls/15)、Backend [#63](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Backend/pulls/63)。Dev 钉住的功能提交是这些合入提交的祖先：core `0b5c774`，native `3a110a7`，squad `5a57636`，ui `6b2589c`，frontend `eb6502f`，documents `f3f823e`，backend `c05832d`。
|
||||
- 验证：`make test` 与 `make build` 退出码 0。`config explain --addr 0.0.0.0:8788` 显示拒绝启动。`serve --addr 0.0.0.0:18799` 退出码 1 且不建库。dev 已部署 `dev@ae06838`，监听 `127.0.0.1:8788`；`/` 带 CSP、nosniff、same-origin。该实例开了认证：跨站 POST 403，无 Origin 的 POST 与 `Host: evil.example` 为 401。同一二进制的无认证实例上，无 Origin 的 POST 为 201，跨站 POST 403，`Host: evil.example` 403，`127.0.0.1` 的健康检查 200，HTML 工件带 `sandbox`。浏览器：Markdown 预览去掉 script 与 `javascript:` 链接，外链图片变成「外部图片 · 域名」；docx、xlsx、pdf 与示例插件工作区无 CSP 报错；mock 对话一轮可见复制、排除、重新生成和「约 N token」。
|
||||
- 影响与剩余项：Tavily 密钥曾暴露在无认证监听上，建议轮换，本任务不轮换。暂缓项与拒绝项仍不做。pptx 没有可用样例，未单独打开预览。
|
||||
| 同步前验收 | 4fd03eee6230f82464def08f2543adab27aba948 | cd6be001414759f3ad00cf860ae095b70593e296 | 2026-10-04T18:42:56Z |
|
||||
| 同步前验收 | 4fd03eee6230f82464def08f2543adab27aba948 | ce551683256e770d96c18fdaf93df49df4e0e3b1 | 2026-10-04T18:45:12Z |
|
||||
| 同步前验收 | 4fd03eee6230f82464def08f2543adab27aba948 | ae06838d66c295d674cee0334ac2a7e9acd1a92f | 2026-10-04T19:45:46Z |
|
||||
| 同步前验收 | 4fd03eee6230f82464def08f2543adab27aba948 | 3678f58cd3b8b3ca48e412c650c6be3befdf04fa | 2026-10-04T19:46:37Z |
|
||||
@@ -169,6 +169,7 @@ Agent-System-Dev 是桌面优先、Web 兼容的 AI 工作台。界面应**冷
|
||||
- 展开态按 id 记忆，切回不丢；
|
||||
- 失败不强制展开：状态词虚线下划线，hover tooltip 给报错，支持一键复制；
|
||||
- 内容懒渲染，收起后延迟卸载（300ms，配合高度动画）。
|
||||
- 模型、卡片和文档里的 HTML 只经 `@ui` `safeHtml` 写入。外部图片和音视频不直接加载，改成带来源域名的链接；同源地址、`data:image` 和 `blob:` 照常显示。
|
||||
|
||||
### 9.2 折叠（@ui Collapsible 原语）
|
||||
|
||||
@@ -232,6 +233,7 @@ Primary（`--primary` 反色）、Ghost（透明，hover 出表面）、Danger
|
||||
5. 弹窗套弹窗；
|
||||
6. 同一对象出现第二个预览落位（预览只在预览区，全屏是它的放大）；
|
||||
7. `<details>` 折叠——用 Collapsible。
|
||||
8. 绕过 `safeHtml` 直接把 HTML 字符串写进页面（`dangerouslySetInnerHTML` 或非空的 `innerHTML` 赋值）。
|
||||
|
||||
## 12. 演进规则
|
||||
|
||||
|
||||
Vendored
+1
-1
Submodule deps/agent-native updated: e4020d297c...3a110a728c
Vendored
+1
-1
Submodule deps/agent-squad updated: dcd523ea05...5a57636cc0
@@ -164,6 +164,8 @@ scripts/svc.sh ui deploy --kind static --dir ../dist # 直接服务既有
|
||||
| `--data DIR` | agent 数据目录（默认 `runtime/<name>/data`） |
|
||||
| `--plugins DIR` | agent 插件源（默认随 deploy 复制环境目录的 `plugins/`） |
|
||||
| `--dsn DSN` / `--auth on\|off\|auto` / `--mock` | agent 运行参数（非 dev 环境默认 `--auth auto`） |
|
||||
| `SVC_<NAME>_INSECURE_LISTEN` | 设为 `1` 时允许该服务在非回环地址上不开启认证。值传给进程的 `AGENT_SYSTEM_INSECURE_LISTEN`，不写进 `exec=`。旧二进制会忽略 |
|
||||
| `SVC_<NAME>_ALLOWED_HOSTS` | 逗号分隔的额外主机名，传给 `AGENT_SYSTEM_ALLOWED_HOSTS`，供反向代理的 Host / Origin 校验 |
|
||||
| `--model-base/--model-key/--model-name`、`--light-*`、`--tavily-keys` | 启动健康后播种 |
|
||||
| `--dry-run` | 只解析并打印部署计划（来源、物化路径、产物去向、启动参数） |
|
||||
| `--pick [dev\|release]` | 交互式编号选提交（需 TTY） |
|
||||
|
||||
+1
-1
Submodule modules/backend updated: fd17011047...c05832dd6a
+1
-1
Submodule modules/core updated: 5dc190ee63...0b5c7747a3
+1
-1
Submodule modules/documents updated: 847f6815f1...f3f823ef8d
+1
-1
Submodule modules/frontend updated: e26119db89...eb6502f0ef
+1
-1
Submodule modules/ui updated: 8e66bce0f9...6b2589c198
@@ -2,6 +2,7 @@
|
||||
"backend/app backend/bus",
|
||||
"backend/app backend/cardsvc",
|
||||
"backend/app backend/cmdbus",
|
||||
"backend/app backend/config",
|
||||
"backend/app backend/hostapi",
|
||||
"backend/app backend/intentgate",
|
||||
"backend/app backend/pgbus",
|
||||
|
||||
+21
-3
@@ -55,7 +55,8 @@
|
||||
# ════════════════════ 配置优先级 ════════════════════
|
||||
# 命令行 > --config/--env 文件 > svc.env 持久化（exec=/addr=）> SVC_<NAME>_* 环境变量
|
||||
# （.svc.env 自动加载，同层）> 默认值。裸 start/restart 复用上次启动配置；显式参数
|
||||
# 出现即覆盖。任意环境 X 的变量名：SVC_<X 大写，- → _>_ADDR/DATA/DSN/AUTH/MOCK。
|
||||
# 出现即覆盖。任意环境 X 的变量名：SVC_<X 大写，- → _>_ADDR/DATA/DSN/AUTH/MOCK，
|
||||
# 以及 INSECURE_LISTEN / ALLOWED_HOSTS（传给进程的 AGENT_SYSTEM_*，旧二进制会忽略）。
|
||||
#
|
||||
# ════════════════════ 服务模型与登记 ════════════════════
|
||||
# - 服务名 ^[a-z][a-z0-9-]{0,15}$（保留字不可用）；dev=8788 / prod=8787 默认端口，
|
||||
@@ -1206,9 +1207,22 @@ agent_do_start() {
|
||||
fi
|
||||
SVC_EXEC="$exec_args"
|
||||
SVC_PIDCHECK="$ENV_BIN"
|
||||
local guard_env=() insecure hosts
|
||||
insecure="$(env_var "$ENV_NAME" INSECURE_LISTEN)"
|
||||
hosts="$(env_var "$ENV_NAME" ALLOWED_HOSTS)"
|
||||
[ -n "$insecure" ] && guard_env+=("AGENT_SYSTEM_INSECURE_LISTEN=$insecure")
|
||||
[ -n "$hosts" ] && guard_env+=("AGENT_SYSTEM_ALLOWED_HOSTS=$hosts")
|
||||
c_info "[$ENV_NAME] 启动：$ENV_BIN serve $exec_args"
|
||||
if [ -n "$insecure" ] || [ -n "$hosts" ]; then
|
||||
c_info "[$ENV_NAME] 监听守卫：insecureListen=${insecure:-0} allowedHosts=${hosts:-无}"
|
||||
fi
|
||||
# 直接 nohup 简单命令：$! 即服务进程本身，pidfile 语义才成立。
|
||||
nohup "$ENV_BIN" serve $exec_args >> "$ENV_DIR/svc.log" 2>&1 &
|
||||
# 守卫变量走环境，不写进 exec=；旧二进制不认识这两个变量，会忽略。
|
||||
if [ "${#guard_env[@]}" -gt 0 ]; then
|
||||
nohup env "${guard_env[@]}" "$ENV_BIN" serve $exec_args >> "$ENV_DIR/svc.log" 2>&1 &
|
||||
else
|
||||
nohup "$ENV_BIN" serve $exec_args >> "$ENV_DIR/svc.log" 2>&1 &
|
||||
fi
|
||||
echo $! > "$ENV_PID"
|
||||
record_state
|
||||
# 健康探测：取 exec 里的 --addr（复用持久化配置时可能与当前派生值不同）。
|
||||
@@ -2402,7 +2416,11 @@ env_status_detail() {
|
||||
printf ' 数据库 %s\n' "${dbref:-无（内嵌 SQLite 档；绑定：<name> db <pg名>）}"
|
||||
cfile="$(svc_get conffile)"
|
||||
[ -z "$cfile" ] && cfile="$(printf '%s' "$(svc_get exec)" | sed -n 's/.*--config \([^ ]*\).*/\1/p')"
|
||||
printf ' 配置文件 %s\n' "${cfile:-无（命令行参数形态；<name> config <file> 绑定）}" ;;
|
||||
printf ' 配置文件 %s\n' "${cfile:-无（命令行参数形态；<name> config <file> 绑定）}"
|
||||
printf ' 监听守卫 insecureListen=%s allowedHosts=%s\n' \
|
||||
"$(env_var "$ENV_NAME" INSECURE_LISTEN)" \
|
||||
"$(env_var "$ENV_NAME" ALLOWED_HOSTS)"
|
||||
;;
|
||||
postgres)
|
||||
printf ' 库 %s 用户 %s\n' "$(svc_get dbname)" "$(svc_get user)"
|
||||
printf ' DSN postgresql://%s:***@%s:%s/%s（db dsn %s --reveal 看密码）\n' \
|
||||
|
||||
Reference in New Issue
Block a user