建出的表(14):about_content daily_quota llm_config mcp_audit messages notes_assets notes_categories notes_chapters notes_series schema_migrations sessions tool_config trace_events visits。

1. 服务白名单逐项可达

三 Tab:/ 200 · /notes 200 · /about 200,全部渲染真实数据。

2. MCP 管理面(2026-07-28 无状态协议,经 Caddy)

• server/discover → supportedVersions: ["2026-07-28"],serverInfo: agent-xray-admin/1.0.0

• tools/list → 24 个工具,与 apps/api/mcp/README.md 的清单一致

• 踩到的坑:2026-07-28 的 per-request envelope 键是带命名空间的,少了直接 -32602 (the request is missing the required per-request envelope key(s)):

  jsonc

  "_meta": {
    "io.modelcontextprotocol/protocolVersion": "2026-07-28",
    "io.modelcontextprotocol/clientCapabilities": {},
    "io.modelcontextprotocol/clientInfo": { "name": "…", "version": "…" }
  }
  

• 认证:无 token / 错 token / GET 一律 401,且 mcp_audit 里各有一条 denied (认证失败:缺少 Bearer 凭据 / 认证失败:凭据不匹配)

• 写操作审计:ok 13 条 / denied 4 条,逐条带 tool 与 summary,没有任何一条 summary 里出现 key

• LLM key 读回:llm_providers_list 只给 "apiKeyHint": "sk-…443a"

3. 内容全链路(写入 → 前端 → RSS → 配图)

经 MCP 建四分类 → 系列 r9-smoke → 上传 1 张 WebP → 发 2 篇文章:

4. SSE ×2(真实 Caddy + 自托管镜像拓扑)

POST /agent/ask:经 Caddy 流式出字,session → 31 × delta → done。

GET /trace/stream:一轮真实对话采到 40 条事件 / 16 种事件类型 (message_update 23 · message_start 2 · message_end 2 · session_start / resources_discover / input / before_agent_start / agent_start / turn_start / context / before_provider_headers / before_provider_request 各 1 …),seq 0–39 连续。

一处值得记下的行为:优雅停机期间流仍在心跳,直到容器真正停止才在 TCP 层被切断, 客户端收不到 bye 帧。对浏览器 EventSource 无影响(它按连接关闭自动重连), 但「停机时给在线的流补一帧 bye」是个可以考虑的改进 —— 属机制类改动,记 BACKLOG。

断连信号复测(BACKLOG 的 R3 一条 + R4 两条)

R9 的任务之一是「在 Caddy + 自托管镜像的真实拓扑下复测能否拿到 SSE 客户端断开信号」—— 结论:仍然拿不到,那三条限制一条都不能放宽。

即:客户端进程消失后,服务端观测不到,名额只能等 MAX_STREAM_MS(5min)超时回收。 与 R3/R4 在 encore run 下的结论一致,加一层 Caddy 也没有改变。 所以「同 clientId 让位」机制与 MAX_STREAM_MS 硬上界都要保留。

5. 配额(R7)

6. 沙箱(R7 的 agent_ro,R9 顺带核验)

\du agent_ro → Cannot login(NOLOGIN,如 R7 落地补记所述)。事务内 SET LOCAL ROLE agent_ro 后:

第一次探测写的是 INSERT INTO notes_series (slug, category_slug, title, …),回的是 列不存在而不是权限错误 —— 列解析先于权限检查。用不带列名的写法(DEFAULT VALUES / DELETE / UPDATE)才验得到权限这一层。写进来免得下次重踩。

7. 容器安全约束

容器内 id:api uid=10001 gid=10001 · web uid=10001(app) · caddy uid=0 (只为绑 80/443,能力已全丢、只留 NET_BIND_SERVICE)。

网络分段:web 与 caddy 容器里 getent hosts postgres → NXDOMAIN、nc -z postgres 5432 → 不通; 只有 api 同时在 front 与 back。

8. 打点与统计(R8)

POST /api/t × 3 → 全 204。visits 表 9 行,visitor 列 9/9 是 32 位十六进制哈希、0 行形如 IPv4。 MCP 统计与打点逐项对得上:traffic_overview 的 pageviews: 23 = visits.hits 之和 (6+1+2+7+1+3+1+1+1);traffic_paths / traffic_agents 的分布与表内容一致。

9. 升级与回滚演练

升级 v1 → v2(按 docs 的「升级顺序」):

回滚 v2 → v1:改 .env 的 IMAGE_TAG + docker compose up -d,3s 完成。

数据在两次切换中零丢失(镜像是无状态制品,状态全在 pg_data 卷里)。

10. 字体自托管(线上验收)

11. 守卫类

实测更正与新发现

A. 「最终运行镜像里不含 node」这句话要加限定

command -v node 在 api 与 web 两个镜像里都查得到:

它是 oven/bun 基座自带的软链,让带 #!/usr/bin/env node shebang 的脚本落到 bun 上。 按它判会得出「镜像里有 node」的错误结论。实际查证:

结论仍成立(没有 Node.js 运行时),但判据换成上面三条。已回写 CLAUDE.md 规则 11 与 docs/deploy-environments.md 的冒烟清单第 12 条。

B. BACKLOG 的「audit 来源地址可被伪造」在当前拓扑下打不进来

BACKLOG(R8)记着 mcp/audit.ts 的 remoteOf 取 X-Forwarded-For 首段,而 Caddy 是追加, 所以调用方自塞一个 XFF 就能左右审计里的来源地址。R9 在真实拓扑下分两路验:

即:代码层的问题属实,但 Caddy 2.11.4 在未配 trusted_proxies 时会用真实对端 IP 覆盖(而非追加)不可信的 XFF,当前部署形态下伪造打不进来。 这条不降级、也不在本轮改(跨轮次问题),但 BACKLOG 里补上了这个前提 —— 一旦在 Caddy 前面再加一层代理、或给 Caddy 配了 trusted_proxies,这层保护就没了。

C. About 页的头像走 github.com/<user>.png,是第二个「境内首访外部依赖」

字体那条修完之后,页面上还剩一个跨境资源:About 头部的头像由前端拼 https://github.com/<githubUser>.png。130 上实测该图加载不出(浏览器显示 alt 文本)。 不影响其余版式,但和 Google Fonts 是同一类问题。跨轮次,记 BACKLOG。

D. migrate.sh 的进度输出被 advisory lock 的结果集淹没

首次执行 6 个迁移时,每个迁移都打印一张空的 pg_advisory_xact_lock 表格,把「应用 vN」 的进度行冲散。原因是并发保护那句写成了 SELECT pg_advisory_xact_lock(...),psql 会把 返回值当结果集打印。已改成 DO $lock$ BEGIN PERFORM ... END $lock$;,行为不变、只去噪音。