okooooooo/drouter
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
38 Commits 1 Branch 0 Tags
main
Commit Graph
18 Commits
Author SHA1 Message Date
liuzhuohua d2291aeb96 发 v1.0.11：arm64（Debian 13）适配的产物重打 
上一版把 arm64 适配的代码推了上去，但没有重打产物 —— Release 上挂的
三件套仍是旧的，不含那次修复。这一版把产物补齐，并首次发布 arm64 的两份。

改的就一件事：版本号 1.0.10 → 1.0.11（packaging/VERSION 是唯一真源，
同步 backend/drouter-web.py 的 VERSION_FALLBACK 与 drouter-update.py 的兜底值）。

⚠️ 全仓 grep '1.0.10' 会命中几十处，绝大多数是「1.0.10 修 / 1.0.10 起」这类
   历史注释，指的是那个版本做过的事，**一个都没动** —— 改了等于篡改历史。

README 更新日志补 v1.0.11 段，写明这次适配的实测机型与分架构产物清单：

  本体      drouter_1.0.11_all.deb            Architecture: all，各 CPU 通用
  离线包    drouter-1.0.11-offline-amd64.tar.gz / -arm64.tar.gz
  镜像      drouter-1.0.11-docker.tar / drouter-1.0.11-arm64-docker.tar

关于「amd64 有没有实质更新」：代码逻辑上没有 ——
  · _read_bios() 新增的设备树分支在 x86 上不触发（有 EFI/DMI 时走原分支，
    结果与改动前逐字节一致，只是多返回 fw_type / is_dt / compat 三个字段）；
  · _deb_arch() 在 amd64 上返回 amd64，拼出的离线包名与原写死的完全相同。
但「只重打 arm」这条路走不通，两个硬约束：
  1. deb 是 Architecture: all 的**单包**，不存在「arm 版 deb」；
  2. 离线包里内含本体 deb，本体一变，amd64 那份离线包装出来的就是旧 deb。
所以这次是全量重打（deb 1 + 离线包 2 + 镜像 2）。
 2026-10-16 10:58:04 +08:00
liuzhuohua 6df3a94b90 适配 arm64 Debian（Armbian 26.8.1 trixie）：去掉架构假设 
有用户要在 arm64 的 Debian 上跑 drouter。这一轮只对一个发行版做了适配
—— Armbian 26.8.1 trixie（Debian 13.6）/ aarch64 / 内核 6.18.35-ophub
（Amlogic S912 板），别的 arm64 发行版未验证，验证范围与实测数据全部
写在 docs/07-arm64-适配说明.md。

改掉的四处 x86 假设：

1. helper._read_bios()：ARM 板既无 /sys/firmware/efi 也无 /sys/class/dmi，
   原代码把它们一律落到 else 分支，系统概览显示「传统 BIOS」（错的，
   这类机器根本没有 BIOS）。新增设备树分支，判据顺序 EFI → 设备树 → BIOS
   （树莓派 4 这类两可的机器要优先认 EFI）；读 /proc/device-tree 与
   /sys/firmware/devicetree 两个候选路径，compatible 按 NUL 切开取第一条；
   没有 DMI 厂商时拿设备树板名顶上，厂商格不再空白。返回结构加 fw_type
   / is_dt / compat，旧字段一个没动。

2. update.py：离线包资源名原先写死 -offline-amd64，arm64 机器点一键更新
   会下载 x86 离线包，传几十 MB 才在装包阶段炸依赖。改为按
   dpkg --print-architecture 拼名（_deb_arch / build_assets），并为带架构
   后缀的附件在下载前先拿官方 SHA256SUMS 核对存在性，没有就明确报错。

3. packaging：离线包说明里两处写死的 amd64 换成 $ARCH（包名早就是变量拼的，
   但包里那份 README 还在教用户核对 amd64）；build-docker.sh 新增可选的
   第 2 个参数 [arch]，交叉构建时加 --platform 并给标签加 -<arch> 后缀，
   不传第二参数时行为与改动前逐字节一致。

4. web/i18n.js：给新增的「设备树 (Device Tree)」展示串登记英文，
   否则英文界面漏中文。

配套：
- _dev/t-arch.py（31 条判据）+ _dev/t-arch-inject.py（20 例反向验证）。
  反向验证抓出一条假绿：i18n 词条的 n/d 判据用了 300 字符松弛窗口，
  会跨到下一条词条，删掉本词条的 d 之后照样绿 —— 已收紧为本词条花括号内。
- _dev/run-static.py 的 EXCL 补上 t-update-inject —— 它名字也是 t- 前缀，
  之前一直被全量回归自动执行，会在回归过程中反复改写 backend/ 与 web/。
- devtools/verify-arm64.py：只读验收脚本，方便他人在自己的板子上复验。
- README 支持矩阵里 arm64 从「理论可用」改为「已实测 1 个发行版」。

本机全量静态回归 71 个检查器 / 0 失败；目标机上只读验证 12 条全通
（构建 753 396 字节的 deb / depcheck 73 项 / 8 个渲染模块 / 架构感知清单）。
目标机未安装 drouter，未启用任何服务，未改动网络。
 2026-10-16 06:16:31 +08:00
liuzhuohua b7ca9c89e8 feat(i18n/layout): 全站中英双语 + 四轮排版修复收官 + 修 boot_id 重启检测 
v1.0.10 两件大事：

1. 界面中英双语（英文界面无中文残留）
   - 新增 web/i18n.js（约 4200 条词条），零依赖零构建
   - 后端下发中文数据走 bt4() 查表翻译；独立模块（upstream/netdetail/
     realtime/update）纳入翻译并注册切语言重绘钩子
   - 后端「状态/聚合」接口只回稳定枚举+原始数值，不下发中文文案
   - 顺带修一个真实 XSS：顶层 const 不挂 window，独立脚本 esc 静默退化成零转义

2. 修掉「文字竖着排/错位」（多分辨率反复暴露）
   - 单元格 min-content 只有 1 字宽 → word-break:keep-all + 表头 nowrap
   - 依赖卡片正文被标签/按钮挤成 27px → .dep-body{flex:1 1 200px} + flex-wrap
   - 裸 flex:1（下限为0）给正文 → 一律改 flex:1 1 <px>
   - .dep-item 横向容器直接塞块级子项 → 退回块级
   - 关键陷阱：auto-fill 布局屏越宽列数越多单卡越窄，窄屏反而测不出来，
     真机审计推进到「逐视图点按钮 + 1920/2560 宽视口 + 中英双语」
   - 守卫 t-layout.py 扩到 35 条，12 处反向验证全红

3. 修真缺陷：_link_since() 重启检测被误改成 if False:（注释还写着「已修」），
   uptime 归零后相减得负数 → 恢复比对 boot_id

附带：新增 25 个检查器（t-*.py）、排版审计工具链（shot-*/ocr-*/live-*）、
版本号兜底值同步到 1.0.10、.gitignore 收纳 i18n/排版排查的一次性脚本。
 2026-10-10 04:50:32 +08:00
liuzhuohua d0a72bbb5f fix(release): Release 附件版本号单一真源 + 堵住「注释掉整行代码」型注入残留 
发 v1.0.9 前发现两个真问题，都会直接影响用户拿到的附件。

一、docker-compose.yml 里的镜像标签是硬编码的 1.0.8

这两个文件是**直接挂到 GitHub Release 上的附件**，用户照着抄命令。
早先它们硬编码具体版本号，每次发版要人工 sed 一遍 —— 这次就漏了：
附件里写着 `image: drouter:1.0.8`，而镜像 tar 加载后的标签是 `drouter:1.0.9`，
`docker compose up` 直接报「找不到镜像」。DOCKER-GUIDE.md 另有 14 处同样问题。

改成 __VERSION__ 模板，由 build-docker.sh 渲染（版本从 packaging/VERSION 读）。
渲染分两步，顺序不能反：先删 TEMPLATE-NOTE 标记块（那是给维护者看的
「这是模板」提示，留着用户会看到「1.0.9 是占位符」这种自相矛盾的话），
再替换占位符。先替换的话，标记块里的 __VERSION__ 也会被换掉。

retag-docker-image.py 同样问题：NEW_TAGS 硬编码。改完参数化。
这个 bug 更隐蔽 —— 拿 1.0.9 的镜像跑重标记会打上 1.0.8 的标签，
用户 load 完看到的标签与附件说明对不上。

t-packaging.py 补 12 条判据卡住这些（4 条已做反向验证：注入即红、还原即绿）。
判据只抓「紧挨 drouter 标识或产物文件名」的版本号 —— 一刀切拦所有 x.y 会
误伤「1.0.1 起 Web 终端绕开 init」这种历史沿革说明和「GPL-3.0」许可证名。

二、t-worktree-clean.py 抓不到「注释掉整行代码」型注入

跑回归时 t-107 红了 1 项，查出来是 t-107-inject-wg.py 把
`'env': _vpn_env(),` 注释掉了没还原（SIGTERM 打断，finally 没执行）——
和 v1.0.8 那次 `/nonexistent` 残留一模一样的坑，但**形态不同**：
不含任何哨兵字样，原判据的 4 个哨兵全都抓不到。

后果很实：_vpn_status 不返回 env，前端拿不到四态诊断，
VPN 页面的三个修复按钮全废。这正是 v1.0.8 声称修好的那个 bug。

补两条判据：
- 扫「被注释掉的整行代码」：去掉 # 后能 ast.parse 成功，且含调用/赋值/return/dict 项
- 扫 CRLF：Windows 工具写文件会整篇改行尾，sync.sh 预检才拦太晚

判据本身踩了三个坑，都记在注释里：
- dict 项 `'env': _vpn_env(),` 单独 ast.parse 会 SyntaxError（没大括号），
  真正的注入反而被放过 → 补大括号再解析
- dict 项的键**通常带引号**，正则只写 ^[A-Za-z_] 认不出来 → 改成同时认引号键
- 分隔线注释 `# ------ radvd` 里的 ----- 会被解析成负号表达式 → 按前缀排掉

双向验证：4 种注入形态（赋值/dict项/bool/列表）全部精确报到行号，
基线零误报（排掉了分隔线注释和「# module: (service, action, 中文名)」这类
长得像 dict 项的文档注释）。

三、_dev/dl-verify.py（新增）

从目标机往 Windows 拉大产物时发现的坑，记成脚本省得下次重踩：
- `ssh host 'cat f' > out` 在 Windows 上做**文本模式换行转换**，二进制被破坏
  （实测 deb 少 4 字节，sha256 直接对不上）→ 走 base64 再本地解码
- Windows Python 看不到 Git Bash 的 /tmp，必须给 C:/ 绝对路径
- scp 传完一定要判 sha256 —— scp/ssh 都可能「返回 0 却落地 0 字节」
- 落地走 .part + os.replace，避免写一半失败留下半个产物

顺带修了 build-docker.sh 里一处路径笔误
（packaging/docker/packaging/docker/DOCKER-GUIDE.md）和步骤编号 1/3→1/4。
 2026-10-04 14:05:33 +08:00
liuzhuohua ed5eb4428b 1.0.9 静态资源传输层优化 + 页脚版本号 + logo 回概述 
## 性能：瓶颈在传输，不在代码

先量后改。helper 冷启动 0.44s（编译 22173 行）看着像瓶颈，但
drouter-helpd 是常驻守护，请求走 Unix socket，正常路径根本不 fork；
实测各 API 已是毫秒级。app.js 语法编译 18ms、顶层执行 18ms
（393 个顶层函数 / 13401 行）—— JS 执行不是瓶颈。

真瓶颈是 app.js 690,482 字节每次重传。**决定不拆包**：JS 执行只 18ms，
拆包引入首屏 waterfall 的风险大于收益。改走三条：

1. 缓存策略按「有没有指纹」区分（不是按扩展名）
   - 带 ?v=<mtime> → public, max-age=31536000, immutable
   - 没指纹 → 仍 no-cache（否则部署后用户拿到旧文件）
   - index.html → 永远 no-store（每次都要重新注入）
2. 编码协商 br > gzip > 原文，**逐级降级**
3. 压缩结果按 (path, mtime, size, enc) 缓存

真机实测：首次 690,482 → 200,137 字节，第二次打开 0 字节（304）。

## 逐级降级不是可选项

目标机**没装 python3-brotli**（只有 C 库 libbrotli1）。最初写的
_brotli_cached 在模块缺失时 `return data, None`，而 None 是 encoding，
调用方理解为「压不动，原样输出」—— 于是 583KB 裸传，**比优化前更慢**。
改成 (None, None) 明确表示「这条路不通」，由 _encode_body 继续试 gzip。

同时修：Accept-Encoding 探测必须认 q=0（br;q=0 是「明确不要」，
子串匹配会正好发给解不开的客户端 → 满屏乱码）；编码必须进缓存键
（共用键会互相覆盖）；brotli 固定 q5（q11 只省 10KB 却要 1.5-3s）。

## 宽 except 把 bug 装成了特性

兜底只接 ImportError 这类**真·预期**的缺失，不接 TypeError/ValueError
（「str 传给要 bytes 的接口」也是 TypeError，接了等于没接）。
早先的 `except Exception` 吞掉了一个 NameError（漏注入 _comp_lock），
表现是压缩功能完好但从不生效，页面照常能开、只看响应头的判据完全发现不了。

## 版本号：建立单一真源 packaging/VERSION

原来版本号在 4 个构建脚本各写死一个默认值 + openapi 里硬编码。
漏改一处就产出「文件名 1.0.9、control 里 1.0.8」的包 —— apt 按
control 认版本，dpkg -l 永远显示旧版且升不上去。

index.html 的 ETag 并入版本号：它发出去的是注入后的内容，
ETag 却按原文件算，只改 VERSION 文件时 ETag 不变，客户端换到 304
继续用旧副本，页面版本号永远停在旧版。

## logo 回概述

用 <a> 而不是 <div onclick>：Tab 能聚焦、Enter 能触发、读屏会念「链接」。
已在 dash 页时不重复 go()（go 会 stopPageTimers + 重拉数据）。
CSS 显式去 text-decoration/color（UA 样式表不声明仍生效），
:focus-visible 焦点环保留（纯键盘用户唯一的路标）。

## 顺带修掉一个已发布版本的真 bug

_vpn_env 里 os.path.join('/lib/modules', ...) 被留成了 '/nonexistent'
（反向验证脚本被 SIGTERM 打断，finally 没执行，注入留在源码里），
于是 mod_file 永远为空、**need_module 整个状态从四态里消失** ——
这正是 v1.0.8 release notes 声称修好的那个 bug（PVE 的 KVM 虚机内核
明明有 wireguard.ko.xz 却报 unsupported，前端配一句写死的
「通常说明跑在精简容器里」把排查方向带偏）。

新增 _dev/t-worktree-clean.py 扫注入哨兵，放在 sync.sh 所有判据之前 ——
基线被污染时，后面每一条红都不可信。

## 判据

新增 t-static-perf.py（42 项静态）、t-encoding-runtime.py（26 项**真跑**，
覆盖 9 种 Accept-Encoding 组合、brotli 缺失降级、两种编码不互相覆盖、
压不动直出、内部错误不被吞）、t-worktree-clean.py。
三个都做了反向验证，注入后确实变红。

反向验证本身也踩了坑：判据里 len(body) 在 body 为 None 时先崩 ——
退出码非 0 但没有 FAIL 行，看着像「跑了」，实际没人知道它验出了什么。
取长度一律过 _sz() 包一层。

全量回归 54 个判据 0 失败；真机验收 22 项全通过；
前端三查 47 视图 0 异常、26 项移动端适配全过。
 2026-10-04 10:27:02 +08:00
liuzhuohua aab35d48a7 feat(ddns): 真实下发 + 「检测间隔」终于有消费方 
原状：DDNS 页面「立即更新」只打印一份更新计划，DNS 记录纹丝不动；
「检测间隔（秒）」字段全仓没有任何定时器消费，纯装饰。

本次做两件事：

1) 真实下发
   - 新增 _http_open：区分「HTTP 层失败」与「业务失败」。
     这类接口的共同点是**用 HTTP 200 回一句 error 表达失败**，
     只判 HTTP 层的话页面显示「成功」而记录没动。
   - 接入 7 家：custom / dnspod / aliyun / cloudflare / noip /
     dyndns / dyndns2。各自的成功判据不同（DNSPod 看 status.code，
     阿里云看 Code，Cloudflare 看 success）。
   - huaweicloud / dnspod_tencent **如实报「暂未接入」**并给替代建议，
     不写「看起来对」的实现 —— 未验证过的签名算法不能假装能用。
   - update 分支三态：全成功 / 全失败(DDNS_UPDATE_FAILED) /
     部分成功(DDNS_UPDATE_PARTIAL)。部分成功不显示成全成功。
   - 下发器内部异常被兜住并如实上报，不把动作打断成 500。

2) 检测间隔有消费方
   - 新增 backend/drouter-ddnsd.py：读 interval → 未启用直接跳过 →
     失败退避 → 探测公网地址 → **只在地址变化时才下发**
     （IP 没变不敲 API，避免触发服务商频率限制）。
   - 失败退避 3 倍递增、上限 1 小时。退避期内秒退，不探测外网
     （一次完整探测 5 秒以上，失败时反复探测是自伤）。
   - _write_ddns_timer 由 save / on / off 三处调用，改了间隔立刻
     重写 timer，不会出现「页面显示已保存、实际还是旧周期」。
   - 守护不依赖 init：容器形态下由常驻守护代跑。

真机验收（192.168.7.3，Debian 13）：
  - timer generated/enabled/active，OnUnitActiveSec=120s，跟随用户设定
  - 地址未变 → last_result='unchanged'，不下发
  - 篡改 last_ip4 制造「地址变了」→ 真下发 → 失败如实记录并退避
  - 退避内第二次执行 0.136s 返回（首次 4.3s），确认没探测外网
  - HTTP 层失败与业务失败文案可区分
  - 验收后已恢复出厂默认（停用），timer 单元与退避文件已清理

顺带修掉 3 个真缺陷：
  - 阿里云更新参数对新建 dict 做 del up['Action'] → KeyError。
    UpdateDomainRecord 少了 Action/Format/Version 会被阿里云拒。
  - 自定义 URL 失败词表漏 badauth：返回 badauth 被判成功。
  - DNSPod 错误文本在 status.message 而非顶层 message，
    只读顶层时用户只看到「失败」没有原因。

判据：
  - 新增 _dev/t-111-ddns-push.py（44 项，12 组），全绿。
    真实验签不靠网络：_http_open 换成假实现按剧本返回不同正文，
    并在启动时掐死 socket.connect —— 判据测试打真实网络既慢又不确定，
    还会污染对方日志，且失败时看起来像「产品有 bug」。
  - t-packaging 补 2 条：deploy.sh 里每个后端模块都要出现。
    本次就踩到 —— build-deb 用 backend/*.py 通配复制（ddnsd 自动进包、
    判据全绿），可 deploy.sh 是**逐个 install 硬名单**，ddnsd 漏在里面，
    表现为「本地全绿、真机没有文件」，timer 起来报 203/EXEC。
    部署才是真正生效的那一步，两份清单都得查。已反向验证会红。

全量静态回归 43 个检查器 0 失败。
 2026-10-03 21:45:43 +08:00
liuzhuohua 2f8f09604b release: 1.0.8 — VPN 页把「模块没加载」误报成「内核不支持 WireGuard」 
版本号 1.0.7 → 1.0.8（19 个文件 55 处，逐条过；历史陈述不动）。
顺带补上1.0.7 漏掉的更新日志小节（那一版只改了版本号）。

## 本轮修的缺陷

**先说结论：Debian 13 虚拟机上跑 drouter，KVM 不是容器，
内核里一直有 WireGuard —— 是面板自己判错了。**

原 _vpn_installed() 只看两件事：/sys/module/wireguard 在不在（模块当前
已加载）、/usr/bin/wg 在不在（工具已安装）。**从没查过 /lib/modules 下
有没有模块文件** → 「模块文件在但没加载」被压进「内核真没这个模块」。

而 Debian 走 udev 按需加载，/etc/modules 与 /etc/modules-load.d 默认都
不写 wireguard，模块在磁盘上但没进内存。本机实测：内核 6.12.107+deb13-amd64，
wireguard.ko.xz 在，未加载；wireguard-tools 也没装。

前端还配了一句写死的文案把它坐实：「通常说明跑在精简容器里」——
而这台是 PVE 上的 KVM 虚拟机。排查方向被这句话整个带偏。

修法：
- 判据扩到四态（ready / need_module / need_tool / unsupported），
  每态给可执行的下一步。unsupported 明确说装不了且不给一键修复。
- 模块文件名覆盖 .ko / .ko.xz / .ko.zst（Debian 默认压成 .ko.xz，
  只认 .ko 会把正常机器也判成 unsupported）
- 新增「一键修复」：modprobe → 写 /etc/modules-load.d/ 开机自启 →
  缺工具则 apt-get install，确认弹窗写清三步并告知不动网络
- apply 改为先自愈再报错，不再直接弹「内核不支持」把人挡在门外
- 老后端兜底 unknown 而非把旧的 no 猜成 unsupported（猜错=复活本 bug）
- 页面新增「运行环境」行；改掉「不需要装任何第三方软件」这句误导

## 测试基建：这轮抓出 3 条恒绿断言 + 1 处死分支

反向验证（把 bug 注入回去看它变红）逮到三条永远不会红的断言：
把探测路径改成 /nonexistent 仍全绿（docstring 里就写着那句话）；
把 'env': _vpn_env() 注释掉仍全绿（我写的是 #注释，正则照样匹配）；
把 if (!confirm( 改成 if (false && confirm( 仍全绿（提示文案里有那句话）。

根因：习惯在注释里引用被删掉的旧代码来解释 bug 来历，这些字面量让
「这段代码还在吗」类的判据永远成立。修法：t-107 统一走 py_code_only() /
js_code_only()（先按ast 判语义剥 docstring，再剥行注释），16 个注入全部被抓住。

死分支：用小锚点 Edit 只替换 if (d.installed === 'no') { 这一行时，
旧 body 与它的 } else if (!d.has_systemd) { 原样留在原地，拼出一个
「没有 systemd → 报内核不支持」的假分支——语法合法、静态检查也过。
防线：断言 } else if ( 的数量恰好等于分支数。

另有 4 处判据写错导致假红，共同形态是「脚本假设了一个修好之后就不成立
的前提」——比如「模块必须未加载」这条，fix 一跑完就假红。

## 验证

- t-107：126 → 167 项
- 反向验证 16/16 被抓住
- 新增 devtools/check-vpn-render.js 36 项（挂进 sync.sh 预检链）
- 新增 _dev/live-108-wg.py 真机验收 43 项；真机 _vpn_env 从 need_module
  修到 ready，wg 装上（v1.0.20210914），modules-load.d 已写入
- t-*.py 51 个全绿 / 静态检查器 39 个全绿 / 前端四查全绿 / md 0 死链
- 容器冒烟新增第 14 节：镜像里真跑 _vpn_env() 验四态判定
  （不 grep 字面量——注释里也会写这些词）
- deb 内 helper 与 app.js sha256 与本地逐字节一致
 2026-10-03 12:28:21 +08:00
liuzhuohua e1125e3978 release: 1.0.7 — 备份/告警/配额三模块收尾 + 真机再抓 3 个真缺陷 
版本号 1.0.6 → 1.0.7（13 个文件 55 处，逐条过；历史陈述不动）。

## 本轮又修的 3 个真缺陷（都是真机 API 验收才暴露的）

静态检查全绿、函数级测试 29/29 全过，接口一打就红：

1. 备份包名校验正则比命名规则窄 → 导出的包自己都认不出
   命名 charset 是 [A-Za-z0-9_-]，校验只写 [a-z0-9]+，
   而 Debian 默认主机名 debian-primaryrouter 带连字符
   → 导出了、界面显示「已导出」，但列表里看不到、永远还原不了。
   修完才发现 _bk_list_entries 里还有第二份同样的正则（漏改），
   已让它直接调用 _bk_safe_name()。

2. inspect 把 manifest 的 sha256 弄丢了→ 20 项全部标「已损坏」
   重建 row 时没搬 sha256，下一行又拿 row.get('sha256') 比实际哈希
   → 恒为 None ≠ 哈希。还原也被「内容与清单不符」挡死。

3. 清单重叠 → 同一个文件进包两次
   SNAPSHOT_ETC_FILES 含 rescue.conf、SNAPSHOT_ETC_DIRS 含整个
   /etc/drouter → 同一 arcname 写两遍 tar（后者覆盖，不报错），
   file_count / total_bytes 虚高一倍。真机证据：22 项 → 20 项。

## 测试防线（新增 7 条断言，全部做过反向验证）

把 bug 注入回去看它变红、还原后变绿 —— 没反向验证过的断言
可能因抽取失败而恒绿：

- 校验规则与命名规则同源（charset + 长度）
- 该正则在 helper 里只有一份（列表不再自抄）
- inspect 把 sha256 带进了 row / 比对的是 row 里那个 / 还原侧仍用 it.get
- 打包时按 arcname 跨组去重 + 清单确有「文件 ⊂ 目录」重叠项
- OK_NAMES 补真实主机名形态（原用例只有无连字符的 debian）

t-107：119 → 126 项。

## 真机验收

- 新增 _dev/live-107-api.py（26 项，HTTP 接口层）
- _dev/live-107.py 29 项、live-107-api.py 26 项，全绿
- 基线零变化：网关 192.168.7.2 / nft 0 行 / dnsmasq inactive+disabled
  / rescue inactive / ip_forward=1 / netavark 表已回收
- deb 511,624 B；解包抽查三个新守护在 backend/、helper sha 与本地一致

## 产物校验

- 离线包 sha256sum -c 238/238 通过
- 包内 deb 与独立产物 sha256 一致（c1ebcf17…）
- deb / 离线包 远端↔本地 sha256 逐一对齐

## 顺手

- README 体积数字按 stat 实算改成 500 KB（原文写的是 453 KB）
- smoke-docker-106.sh → smoke-docker-107.sh，新增第 12/13 节
  （容器里三个新守护有不依赖 init 的拉起路径 + 镜像 Python 必须是 3.13）
- wireguard-tools 补进 DEPS 三处（helper / make-offline-deps / deb control）
 2026-10-03 02:54:04 +08:00
liuzhuohua 249cc3d8c6 feat(backup/alert/quota/vpn): 新增四个模块 + 深度自查修7 个真缺陷 
功能
- 配置备份与还原（backupd）：分级导出/预览/还原，敏感内容默认排除
- 告警中心（alertd）：WAN掉线/延迟/丢包探测，冷却期+ 免打扰
- 流量配额（quotad）：按 IP/服务/小时桶聚合，费用分摊
- VPN 页前端接线 + 前端字段契约补齐

自查发现并修复的缺陷（_dev/t-107.py，119 项）
1. 默认备份静默丢失大半配置（严重）
   _bk_files 把整个 /etc/drouter 标为 sensitive，默认导出时被整目录排除，
   而 BACKUP_SCOPE 恰恰宣称备份含 dcfg.json / kern.conf / vlans.json /
   Docker 栈文件 / 自定义主题。界面全程显示「已导出」，用户换机还原才发现。
   改为逐文件判定（_bk_is_sensitive）+ 敏感子树剪枝 + excluded 收集与展示。
2. VPN status 把全部客户端私钥明文送到浏览器
   _vpn_status 返回 'raw': d（完整配置），前端 4 个渲染函数一个都没读过它。
3. Python 3.13 下保存 VPN 配置静默清空所有 peer（隐蔽）
   'str' in ip_network() 在 3.12 静默 False，3.13 抛 AttributeError，
   被紧邻的 except 吞掉 → 所有客户端无声消失。Debian 13 默认就是 3.13。
4. VPN 私钥在 _vpn_mask 里被连同其他字段一起抹掉
5. 14 处前端属性插值未转义（备份/告警/VPN/配额页）
   type="number" 只过滤输入，不阻止 HTML 属性注入。
6. wireguard 未登记到 DEPS（VPN 有 5 处调 wg，自检页看不到缺失提示）
7. build-deb.sh 声明「后端 N 个」与实际清单不符 + ULOG_ARCHIVE 重复定义

测试基建
- _dev/t-107.py：字段契约双向对照 / op 三段对齐 / 高危路径端到端
  （真跑 _bk_walk、_vpn_norm、配额聚合，不用正则假装测过）
- _dev/run-static.py + scripts/test-static.sh：统一静态回归入口
  排除列表曾写成裸名导致交互脚本没被排除、长会话被 SIGTERM
- t-packaging 改为从 build-deb.sh 抽取模块清单，并反向校验无游离模块
 2026-10-03 00:49:07 +08:00
liuzhuohua 3d028f5188 release: v1.0.6 打包校验发现 sync-isp-dns.sh 装错位置，一并修掉 
产物校验时进容器抽查，发现 1.0.6 的 PPPoE 断网修复自己有三个问题：

1. 脚本装错位置。初版由 deploy.sh 用 heredoc 写进 $OPT/bin/，而
   build-deb.sh 与 Dockerfile 都是 install scripts/*.sh → $OPT/scripts/。
   结果装 deb、跑容器的机器上 ip-up-script 指向不存在的文件，DNS 选
   「仅运营商/两者合并」时照样全家断网。改为 scripts/ 下的实体文件，
   三条部署路径共用一份；deploy.sh 顺带迁移存量占位文件里的旧路径
   （只换注释行，不碰已拿到的 nameserver）。

2. 容器里重载不掉。脚本只 systemctl reload dnsmasq，容器形态没有
   systemd，等于什么都不做。改为检测不到 /run/systemd/system 时回退
   kill -HUP $(pidof dnsmasq)，与 helper 内部处理方式一致。

3. 写盘失败仍返回 0。pppd 只看 ip-up-script 的退出码来决定要不要记
   日志，原来目录不可写时脚本照样 exit 0，把「DNS 没同步」彻底藏起来。
   现在写临时文件或 mv 失败一律非零退出。

另把 deb 体积 447→452 KB、compose/guide 体积按实测更新到 README 与
RELEASE_NOTES。

真机（192.168.7.3）实测四条路径：拨号成功两条 nameserver 落盘 rc=0；
重复执行内容不变 rc=0 不重载；断线写占位 rc=0；目录不可写 rc=1。
回归 8 模块全绿，安全不变量（53/67 端口 0 占用、服务未启动、
ens18 IP 不变、VNC 5900 完好）全部保持。
 2026-10-02 20:57:32 +08:00
liuzhuohua 7b321bfdce fix: 第二轮深度审计 —— 堵提权/注入、收口资源生命周期、低配置性能水位，版本号 1.0.5 
安全：
- chpasswd 换行注入可改 root 密码：用户名/密码拒绝换行与控制字符
- 删用户保护从写死两个名字改为 UID<1000 系统账号
- WOL 接口名白名单 + 目标地址 IPv4 校验，去 sh -c 管道
- ACL hosts 改 ipaddress 严格校验；存储挂载点限定 /mnt|/media|/srv
- 文件管理器拒绝清单扩到目录级 + 按文件名拦截（authorized_keys/shadow 等）
- 前端 201 处 value="${...}" 补 esc()；href 只放行 http/https；
  主题导出注释同时剥 /* 与 */

丢数据/假功能：
- ACL/文件共享/DDNS 三页切走再回来草稿被静默覆盖：新增 PAGE_DIRTY 脏页登记
- LAN 页网关/域名写进 system 死键，改绑 dnsmasq 同源
- UPnP 映射表按钮不再顺手起服务，走只读接口 read:upnpmap

资源：
- PTY 缓冲 8MB 封顶 + 会话信号量 + 后台空闲回收 + 离开页面主动断开
- Web 工作线程 48 封顶、请求体 16MB 封顶、会话 500 封顶改单调时钟、
  审计 2 万行裁剪、helpd 并发 6 封顶
- helper 日志 32MB 轮转；快照前查磁盘余量；fs 下载 512MB→20MB
  （通道单条响应 32MB，超限只会静默失败）
- 11 处配置写入改原子写；rescue/snapshot 单元补 MemoryMax（三处同步）

性能：
- /api/config 16 次开库 → 1 次 IN 查询
- cleanup 状态扫描 30s 缓存；gzip 缓存加 24MB 字节闸
- 后台标签页心跳暂停、终端轮询降频

杂项：DHCPv6 停用只留注释；租约回收用 dhcp_release（DEPS 可选登记）；
VLAN 只删自建接口；公网探测清残留结果文件；快照根白名单；
心跳定时器防重复；keep_days/keep_rows 不吞 0
 2026-10-02 10:25:40 +08:00
liuzhuohua cd5ef7411f fix: 清「假输入框 / 隐身字段」这批前后端缺陷，版本号 1.0.4 
把全量代码（后端 9 模块 + 前端单文件 SPA，约 4.5 万行）过了一遍，用 AST 抽出
渲染器读取的每个配置键，与页面上输入框绑定的字段做双向差集，专门找两类问题：
前端发了后端从不读（假输入框）、后端读了前端没有入口（隐身字段）。

会写坏系统的：
- render_network 违反 render() 契约返回字典，调用方按二元组解包后把字典的键
  当成路径和内容 —— 迁移 networkd 会生成文件名叫 name、内容写着 content 的垃圾文件
- DMZ 规则方向写反：注释写「排除到本机自身」，条件写成反面，管理口流量也一并 DNAT

五个「填了等于没填」的输入框：
- WAN 的 MTU 与「是否接受上游 DNS」后端零消费，现真正写入 MTUBytes= / UseDNS=
- DHCPv6 的「子网 ID」绑的是不存在的键，真生效字段是 sla_id
- Samba WINS 要求一个从不回填的字段同时为真，勾了永不生效
- 网桥「启用 STP」未绑定事件，勾完保存不进去
- 主题设计器「按主色生成配色」按钮无 handler

其余：
- RA 页补齐 rdnss_life / dnssl_life 输入框（1.0.3 修了错位却没给入口）
- 迁移预览只发 lan，必报「WAN 网卡不能为空」且网桥从不出现 → 补发 wan + bridge
- dnsmasq / miniupnpd / ppp / dhcpcd IPv6 / RA 地址池 / NFS 等插值零校验
- chrony 服务器校验只认域名和 IPv4，IPv6 NTP 服务器被误拒
- v_int 改用 try/except：上标数字能通过 isdigit() 却让 int() 抛异常导致 500
- ensure_cert 删掉硬编码的开发机 IP，改为本机地址 + 默认路由推导；补 openssl 失败检测
- DDNS 面板 XSS（记录名/服务商未转义）；主题 CSS 注释注入（前后端各一处）

测试：render 返回值契约断言、CSS 注释注入回归、模板孤儿控件守卫，
_dev/t-*.py 42/42、前端三查 + md 链接检查全绿。
 2026-10-02 00:23:30 +08:00
liuzhuohua 79f24aa264 fix: 部署静默回退用户设置 + radvd RDNSS 未校验等 5 处缺陷 
1.0.3 为纯修复版本，五个问题全部来自真机（192.168.7.3）深度排查：
翻 journal 与统一日志的 error 记录、全盘扫描文件名控制字符、把现行配置库
里每个模块的渲染结果重新交给对应真守护进程做语法校验。

- render(radvd): RDNSS 字段原先完全不校验（同段代码里 prefix 校验网段、
  DNSSL 校验域名，唯独漏了它），填 IPv4 地址会原样写进 radvd.conf 导致
  radvd 起不来，界面只回一句 radvd.conf:18 error: syntax error。
  现逐项按 IPv6 地址校验并给中文提示；多值支持逗号/空格并统一按空格输出
  （逗号形式 radvd 本就不认）；DNSSL 同样支持多域名；修正 DNSSL 生命期
  误读 rdnss_life 的字段错位。

- cleanup: 自动清理的「每天 00:00」根本存不下来——前端 `Number(v) || 4`
  与后端 `int(cfg.get('hour') or 4)` 都把 0 当成「没填」，叠加后保存即变
  04:00 且改不回来。两处改为显式判断 None/''。执行时刻判定由「正好等于」
  放宽为「不早于」，避免计划时刻恰好关机/重启导致当天彻底跳过。

- deploy.sh: 三处无条件覆写改为「只在文件不存在时初始化」——
  active-theme（自定义主题每次部署被打回默认）、generated/isp-dns.conf
  （PPPoE 上游 DNS 被擦、解析变空直到下次拨号）、cleanup enabled=true
  （唯一会真删文件的模块被静默重新打开）。另补兜底：生效主题指向已不
  存在的主题时回退 default 并打印说明。

- drouter-web: socketserver 默认 handle_error 把任何异常连整段 traceback
  打进 journal，浏览器切页/关标签抛的 BrokenPipeError / ConnectionReset
  属「对面先挂了」，三日攒数十条足以淹没真报错。新增 _Server 子类只静默
  这几类，其余照旧抛出。

- devtools: 新增 fix-crlf-names.py 清理 CRLF 环境残留的名字带 \r 脏条目
  （保守：默认只预演、仅删有同名兄弟者、目录需相对文件集合为子集、
  跳过 snapshots/）；sync.sh 发布预检增加「文件名不得含控制字符」。
 2026-10-01 17:43:28 +08:00
liuzhuohua a49b4d7771 fix(dnsmasq): 合并重复的 option 3/6，并诊断 /dev 节点缺失 
DHCP 页有「专属字段」和「自定义 Options 表」两处能写同一个 option code。
两处都填 3/6 时会各自渲染一遍，而 dnsmasq 对列表型 option 是追加语义，
于是客户端收到重复的网关，DNS 列表也被搅乱（公网 DNS 排在本机前面，
本机 dnsmasq 形同虚设）。

改为按 code 合并成一行并顺序去重；带「强制」的 3/6 语义不同，仍单独输出
为 dhcp-option-force；其它 code（43/121…）完全不受影响。新建配置也不再
预置与专属字段重复的 code 3/6 行。

顺带：
- code 6 的占位符原本写上游 DNS，容易误导 —— option 6 是下发给客户端的
  「去哪台机器查 DNS」，应填本机。占位符与说明已改正。
- dnsmasq 预检失败时不再直抛英文原文。像
  「failed to seed the random number generator」其实与配置无关，是宿主机
  /dev 设备节点缺失，现在会分诊成系统层面的中文提示。

版本号 1.0.1 → 1.0.2。注意区分「产物版本」与「功能引入版本」的表述：
容器里无 systemd 时回退子进程拉起守护，是 1.0.1 引入的，文案保持 1.0.1。

新增 _dev/t-render.py 对 3/6 合并的回归断言（含 force、留空、顺序、
其它 code 不受影响、预览路径一致性）。全量回归 42/42 通过。
 2026-10-01 16:49:49 +08:00
liuzhuohua 147a402eca fix(webshell): 修复 PTY 故障与终端满员自锁，补容器形态守护拉起 
Web 终端「任何账号都连不上」的两个真实故障，以及容器形态下终端完全打不开。

- shelld: 根因是 /dev/ptmx 符号链接丢失（/dev/pts/ptmx 还在），
  pty.openpty() 找不到入口，内核却报 "out of pty devices" ——
  把「少一个设备节点」说成了「设备耗尽」，排查方向被带偏。
  新增 ensure_ptmx()：启动时与创建失败时都探测，先补 symlink，
  不行再 mknod 兜底；仍失败则回 PTY_FAIL 并给出可照抄的命令

- shelld: 会话锁由 threading.Lock 改为 RLock。原锁不可重入，而
  connect 在持锁状态下调用 _reap_idle() 会二次取同一把锁 ——
  同线程二次 acquire 不报错不超时、直接睡死，锁永不释放，
  第 9 个连接起整个终端服务冻死且日志无痕。
  connect 不再持锁调回收；_reap_idle() 的 close() 移到锁外

- helper: 容器里没有 systemd，拉起终端守护原来只有 systemctl 一条路径，
  导致容器形态 Web 终端永远「终端守护未运行」。新增 _shelld_spawn() 回退：
  直接以子进程启动守护（start_new_session 脱离父进程）；
  错误文案改为「容器形态无 systemd，重启容器即可」

- 前端: 终端去掉滚动条（仅隐藏外观，滚动能力保留）、
  高度改为随视口 clamp 自适应；新增「清屏」与「↓ 最新」按钮

- 打包: build-deb.sh 与 Dockerfile 不再整体拷 docs/ ——
  install/COPY 撞上 docs/screenshots/ 目录会报错（install 遇目录返回非 0，
  在 set -e 下直接中断整个打包）；截图本就不该进 deb/镜像

- 修正两处不一致: index.html 页脚误写「GPL v3」→ MIT（与 LICENSE 对齐）；
  README 中 deb 体积 421 KB → 427 KB（实测 437584 字节）

- 版本号 1.0.0 → 1.0.1（源码、打包脚本、文档、镜像标签、编排文件）

测试: _dev/t-pty.py 扩到 45 项，含「_lock 必须是 RLock」的行首断言
（原先用子串匹配被 self.buf_lock 误伤）；t-webshell.py 补 16 项外观契约。
真机 192.168.7.3 实测：第 9 个连接 0.01s 干净返回 BUSY，
断开 8 会话 0.87s 全清、残留 0，PTY/fd 回落基线；
自愈验证（删掉 /dev/ptmx 重启服务可自动补回）。
容器冒烟 12/0：无 systemd 环境下守护成功拉起、
root shell 建会话并跑通命令回显。41 个单测文件全绿。
 2026-10-01 03:09:19 +08:00
liuzhuohua fe272820f5 chore(docker): 文档改用 ASCII 文件名，避免 GitHub 剥离非 ASCII 字符 
GitHub Releases 的资产文件名只接受 ASCII —— 上传 `DOCKER-使用说明.md`
会被静默截断成 `DOCKER-.md`（不只是显示问题，下载下来的文件名就是残缺的）。
改名 `DOCKER-GUIDE.md` 并同步 README / Release 正文 / build-docker.sh 里的引用。
 2026-09-30 22:21:54 +08:00
liuzhuohua 5150f4c2e6 feat(docker): 补 compose 编排与使用说明，修正镜像标签与 license 
新增
  · packaging/docker/docker-compose.yml   现成编排，含健康检查与命名卷
  · packaging/docker/DOCKER-使用说明.md    完整使用文档（含常见问题）
  · devtools/retag-docker-image.py        镜像重打标签工具

修正三个真实缺陷
1. 镜像标签
   原本是 buildah 留下的 `localhost/drouter:1.0.0`。`localhost/` 是 Podman
   的本地镜像约定，Docker 用户拿到会很困惑（像某个私服地址）。
   改为 `drouter:1.0.0` + 别名 `liuzhuohua/drouter:1.0.0`。

2. license 标签写错
   镜像 LABEL 里 `org.opencontainers.image.licenses` 是 **GPL-3.0**，
   但项目实际是 **MIT**（Dockerfile 与镜像 config 都已改）。

3. 缺 HEALTHCHECK
   没有它，compose 里 `depends_on: condition: service_healthy` 无从等起，
   `docker ps` 也看不出容器是否真的活着。
   补上探活 /api/health —— 注意面板走 HTTPS + 自签证书，curl 必须 -k，
   否则永远 unhealthy。

compose 要点
  · network_mode: host 是硬要求（bridge 下看不到真实网卡、管不了宿主 NAT）
  · cap_add 只给 NET_ADMIN + NET_RAW，不用 privileged
  · host 模式下 ports 会被忽略，端口由 /etc/drouter/web-port 决定，
    故用 expose 表达意图而非 ports
  · 四个命名卷必须挂：配置 / 数据 / 快照 / 日志

重打标签采用流式重写 tar（只替换 manifest.json、repositories 与 config
三个小文件，layer.tar 原样透传），已逐层校验 3 个 layer 的 sha256 与
原包完全一致。
 2026-09-30 21:25:28 +08:00
liuzhuohua 64df3cf331 feat: Drouter 1.0.0 —— Debian 13 软路由管理系统 
一套跑在 Debian 13 (trixie) 上的软路由管理系统，提供 43 个功能页面的
Web 管理面板：WAN 接入、PPPoE 多拨、DHCP/DNS、IPv6、防火墙、QoS 限速、
访问控制、DDNS、文件共享、Docker 管理等。

核心设计原则：不重新实现任何协议
  PPPoE 交给 ppp，DHCP 交给 dnsmasq，IPv6 RA 交给 radvd，NAT 交给 nftables。
  Web 面板只做三件事：渲染原生配置文件 → 语法预检 → 原子写入并 reload。
  面板删掉后，系统仍是一台配置完好的 Debian 路由器。

安全默认值
  · 安装后不接管网络：不改默认路由、不开 IP 转发、不启动 DHCP 服务
  · 所有改网络的动作都需要用户在面板上亲手点「应用」
  · 避开 5900 端口，不触碰 VNC / X 会话
  · 配置写入前先做语法预检，失败则回滚

架构
  · backend/  Python 3 标准库，零第三方依赖（9 个模块）
  · web/      原生 JS/CSS，无构建步骤
  · 常驻 helper 通过 Unix socket 提供 75 个动作，socket 不可用时回退 subprocess
  · 鉴权走 X-Token 请求头

打包
  · packaging/build-deb.sh            → drouter_1.0.0_all.deb（含 6 个 systemd 单元）
  · scripts/make-offline-deps.sh      → 236 个依赖 .deb + 本地仓库索引
  · packaging/build-offline-bundle.sh → 自包含离线包，目标机零外网可装
  · packaging/build-docker.sh         → 容器镜像（体验用）

测试
  40 套单元测试 + 3 个前端检查脚本（菜单映射 / 离线渲染 / 手机适配），
  全部挂在 devtools/sync.sh 的预检链里。

许可：MIT
 2026-09-30 19:26:24 +08:00