okooooooo/drouter
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
38 Commits 1 Branch 0 Tags
main
Commit Graph
14 Commits
Author SHA1 Message Date
liuzhuohua b7ca9c89e8 feat(i18n/layout): 全站中英双语 + 四轮排版修复收官 + 修 boot_id 重启检测 
v1.0.10 两件大事：

1. 界面中英双语（英文界面无中文残留）
   - 新增 web/i18n.js（约 4200 条词条），零依赖零构建
   - 后端下发中文数据走 bt4() 查表翻译；独立模块（upstream/netdetail/
     realtime/update）纳入翻译并注册切语言重绘钩子
   - 后端「状态/聚合」接口只回稳定枚举+原始数值，不下发中文文案
   - 顺带修一个真实 XSS：顶层 const 不挂 window，独立脚本 esc 静默退化成零转义

2. 修掉「文字竖着排/错位」（多分辨率反复暴露）
   - 单元格 min-content 只有 1 字宽 → word-break:keep-all + 表头 nowrap
   - 依赖卡片正文被标签/按钮挤成 27px → .dep-body{flex:1 1 200px} + flex-wrap
   - 裸 flex:1（下限为0）给正文 → 一律改 flex:1 1 <px>
   - .dep-item 横向容器直接塞块级子项 → 退回块级
   - 关键陷阱：auto-fill 布局屏越宽列数越多单卡越窄，窄屏反而测不出来，
     真机审计推进到「逐视图点按钮 + 1920/2560 宽视口 + 中英双语」
   - 守卫 t-layout.py 扩到 35 条，12 处反向验证全红

3. 修真缺陷：_link_since() 重启检测被误改成 if False:（注释还写着「已修」），
   uptime 归零后相减得负数 → 恢复比对 boot_id

附带：新增 25 个检查器（t-*.py）、排版审计工具链（shot-*/ocr-*/live-*）、
版本号兜底值同步到 1.0.10、.gitignore 收纳 i18n/排版排查的一次性脚本。
 2026-10-10 04:50:32 +08:00
liuzhuohua ed5eb4428b 1.0.9 静态资源传输层优化 + 页脚版本号 + logo 回概述 
## 性能：瓶颈在传输，不在代码

先量后改。helper 冷启动 0.44s（编译 22173 行）看着像瓶颈，但
drouter-helpd 是常驻守护，请求走 Unix socket，正常路径根本不 fork；
实测各 API 已是毫秒级。app.js 语法编译 18ms、顶层执行 18ms
（393 个顶层函数 / 13401 行）—— JS 执行不是瓶颈。

真瓶颈是 app.js 690,482 字节每次重传。**决定不拆包**：JS 执行只 18ms，
拆包引入首屏 waterfall 的风险大于收益。改走三条：

1. 缓存策略按「有没有指纹」区分（不是按扩展名）
   - 带 ?v=<mtime> → public, max-age=31536000, immutable
   - 没指纹 → 仍 no-cache（否则部署后用户拿到旧文件）
   - index.html → 永远 no-store（每次都要重新注入）
2. 编码协商 br > gzip > 原文，**逐级降级**
3. 压缩结果按 (path, mtime, size, enc) 缓存

真机实测：首次 690,482 → 200,137 字节，第二次打开 0 字节（304）。

## 逐级降级不是可选项

目标机**没装 python3-brotli**（只有 C 库 libbrotli1）。最初写的
_brotli_cached 在模块缺失时 `return data, None`，而 None 是 encoding，
调用方理解为「压不动，原样输出」—— 于是 583KB 裸传，**比优化前更慢**。
改成 (None, None) 明确表示「这条路不通」，由 _encode_body 继续试 gzip。

同时修：Accept-Encoding 探测必须认 q=0（br;q=0 是「明确不要」，
子串匹配会正好发给解不开的客户端 → 满屏乱码）；编码必须进缓存键
（共用键会互相覆盖）；brotli 固定 q5（q11 只省 10KB 却要 1.5-3s）。

## 宽 except 把 bug 装成了特性

兜底只接 ImportError 这类**真·预期**的缺失，不接 TypeError/ValueError
（「str 传给要 bytes 的接口」也是 TypeError，接了等于没接）。
早先的 `except Exception` 吞掉了一个 NameError（漏注入 _comp_lock），
表现是压缩功能完好但从不生效，页面照常能开、只看响应头的判据完全发现不了。

## 版本号：建立单一真源 packaging/VERSION

原来版本号在 4 个构建脚本各写死一个默认值 + openapi 里硬编码。
漏改一处就产出「文件名 1.0.9、control 里 1.0.8」的包 —— apt 按
control 认版本，dpkg -l 永远显示旧版且升不上去。

index.html 的 ETag 并入版本号：它发出去的是注入后的内容，
ETag 却按原文件算，只改 VERSION 文件时 ETag 不变，客户端换到 304
继续用旧副本，页面版本号永远停在旧版。

## logo 回概述

用 <a> 而不是 <div onclick>：Tab 能聚焦、Enter 能触发、读屏会念「链接」。
已在 dash 页时不重复 go()（go 会 stopPageTimers + 重拉数据）。
CSS 显式去 text-decoration/color（UA 样式表不声明仍生效），
:focus-visible 焦点环保留（纯键盘用户唯一的路标）。

## 顺带修掉一个已发布版本的真 bug

_vpn_env 里 os.path.join('/lib/modules', ...) 被留成了 '/nonexistent'
（反向验证脚本被 SIGTERM 打断，finally 没执行，注入留在源码里），
于是 mod_file 永远为空、**need_module 整个状态从四态里消失** ——
这正是 v1.0.8 release notes 声称修好的那个 bug（PVE 的 KVM 虚机内核
明明有 wireguard.ko.xz 却报 unsupported，前端配一句写死的
「通常说明跑在精简容器里」把排查方向带偏）。

新增 _dev/t-worktree-clean.py 扫注入哨兵，放在 sync.sh 所有判据之前 ——
基线被污染时，后面每一条红都不可信。

## 判据

新增 t-static-perf.py（42 项静态）、t-encoding-runtime.py（26 项**真跑**，
覆盖 9 种 Accept-Encoding 组合、brotli 缺失降级、两种编码不互相覆盖、
压不动直出、内部错误不被吞）、t-worktree-clean.py。
三个都做了反向验证，注入后确实变红。

反向验证本身也踩了坑：判据里 len(body) 在 body 为 None 时先崩 ——
退出码非 0 但没有 FAIL 行，看着像「跑了」，实际没人知道它验出了什么。
取长度一律过 _sz() 包一层。

全量回归 54 个判据 0 失败；真机验收 22 项全通过；
前端三查 47 视图 0 异常、26 项移动端适配全过。
 2026-10-04 10:27:02 +08:00
liuzhuohua aab35d48a7 feat(ddns): 真实下发 + 「检测间隔」终于有消费方 
原状：DDNS 页面「立即更新」只打印一份更新计划，DNS 记录纹丝不动；
「检测间隔（秒）」字段全仓没有任何定时器消费，纯装饰。

本次做两件事：

1) 真实下发
   - 新增 _http_open：区分「HTTP 层失败」与「业务失败」。
     这类接口的共同点是**用 HTTP 200 回一句 error 表达失败**，
     只判 HTTP 层的话页面显示「成功」而记录没动。
   - 接入 7 家：custom / dnspod / aliyun / cloudflare / noip /
     dyndns / dyndns2。各自的成功判据不同（DNSPod 看 status.code，
     阿里云看 Code，Cloudflare 看 success）。
   - huaweicloud / dnspod_tencent **如实报「暂未接入」**并给替代建议，
     不写「看起来对」的实现 —— 未验证过的签名算法不能假装能用。
   - update 分支三态：全成功 / 全失败(DDNS_UPDATE_FAILED) /
     部分成功(DDNS_UPDATE_PARTIAL)。部分成功不显示成全成功。
   - 下发器内部异常被兜住并如实上报，不把动作打断成 500。

2) 检测间隔有消费方
   - 新增 backend/drouter-ddnsd.py：读 interval → 未启用直接跳过 →
     失败退避 → 探测公网地址 → **只在地址变化时才下发**
     （IP 没变不敲 API，避免触发服务商频率限制）。
   - 失败退避 3 倍递增、上限 1 小时。退避期内秒退，不探测外网
     （一次完整探测 5 秒以上，失败时反复探测是自伤）。
   - _write_ddns_timer 由 save / on / off 三处调用，改了间隔立刻
     重写 timer，不会出现「页面显示已保存、实际还是旧周期」。
   - 守护不依赖 init：容器形态下由常驻守护代跑。

真机验收（192.168.7.3，Debian 13）：
  - timer generated/enabled/active，OnUnitActiveSec=120s，跟随用户设定
  - 地址未变 → last_result='unchanged'，不下发
  - 篡改 last_ip4 制造「地址变了」→ 真下发 → 失败如实记录并退避
  - 退避内第二次执行 0.136s 返回（首次 4.3s），确认没探测外网
  - HTTP 层失败与业务失败文案可区分
  - 验收后已恢复出厂默认（停用），timer 单元与退避文件已清理

顺带修掉 3 个真缺陷：
  - 阿里云更新参数对新建 dict 做 del up['Action'] → KeyError。
    UpdateDomainRecord 少了 Action/Format/Version 会被阿里云拒。
  - 自定义 URL 失败词表漏 badauth：返回 badauth 被判成功。
  - DNSPod 错误文本在 status.message 而非顶层 message，
    只读顶层时用户只看到「失败」没有原因。

判据：
  - 新增 _dev/t-111-ddns-push.py（44 项，12 组），全绿。
    真实验签不靠网络：_http_open 换成假实现按剧本返回不同正文，
    并在启动时掐死 socket.connect —— 判据测试打真实网络既慢又不确定，
    还会污染对方日志，且失败时看起来像「产品有 bug」。
  - t-packaging 补 2 条：deploy.sh 里每个后端模块都要出现。
    本次就踩到 —— build-deb 用 backend/*.py 通配复制（ddnsd 自动进包、
    判据全绿），可 deploy.sh 是**逐个 install 硬名单**，ddnsd 漏在里面，
    表现为「本地全绿、真机没有文件」，timer 起来报 203/EXEC。
    部署才是真正生效的那一步，两份清单都得查。已反向验证会红。

全量静态回归 43 个检查器 0 失败。
 2026-10-03 21:45:43 +08:00
liuzhuohua 2f8f09604b release: 1.0.8 — VPN 页把「模块没加载」误报成「内核不支持 WireGuard」 
版本号 1.0.7 → 1.0.8（19 个文件 55 处，逐条过；历史陈述不动）。
顺带补上1.0.7 漏掉的更新日志小节（那一版只改了版本号）。

## 本轮修的缺陷

**先说结论：Debian 13 虚拟机上跑 drouter，KVM 不是容器，
内核里一直有 WireGuard —— 是面板自己判错了。**

原 _vpn_installed() 只看两件事：/sys/module/wireguard 在不在（模块当前
已加载）、/usr/bin/wg 在不在（工具已安装）。**从没查过 /lib/modules 下
有没有模块文件** → 「模块文件在但没加载」被压进「内核真没这个模块」。

而 Debian 走 udev 按需加载，/etc/modules 与 /etc/modules-load.d 默认都
不写 wireguard，模块在磁盘上但没进内存。本机实测：内核 6.12.107+deb13-amd64，
wireguard.ko.xz 在，未加载；wireguard-tools 也没装。

前端还配了一句写死的文案把它坐实：「通常说明跑在精简容器里」——
而这台是 PVE 上的 KVM 虚拟机。排查方向被这句话整个带偏。

修法：
- 判据扩到四态（ready / need_module / need_tool / unsupported），
  每态给可执行的下一步。unsupported 明确说装不了且不给一键修复。
- 模块文件名覆盖 .ko / .ko.xz / .ko.zst（Debian 默认压成 .ko.xz，
  只认 .ko 会把正常机器也判成 unsupported）
- 新增「一键修复」：modprobe → 写 /etc/modules-load.d/ 开机自启 →
  缺工具则 apt-get install，确认弹窗写清三步并告知不动网络
- apply 改为先自愈再报错，不再直接弹「内核不支持」把人挡在门外
- 老后端兜底 unknown 而非把旧的 no 猜成 unsupported（猜错=复活本 bug）
- 页面新增「运行环境」行；改掉「不需要装任何第三方软件」这句误导

## 测试基建：这轮抓出 3 条恒绿断言 + 1 处死分支

反向验证（把 bug 注入回去看它变红）逮到三条永远不会红的断言：
把探测路径改成 /nonexistent 仍全绿（docstring 里就写着那句话）；
把 'env': _vpn_env() 注释掉仍全绿（我写的是 #注释，正则照样匹配）；
把 if (!confirm( 改成 if (false && confirm( 仍全绿（提示文案里有那句话）。

根因：习惯在注释里引用被删掉的旧代码来解释 bug 来历，这些字面量让
「这段代码还在吗」类的判据永远成立。修法：t-107 统一走 py_code_only() /
js_code_only()（先按ast 判语义剥 docstring，再剥行注释），16 个注入全部被抓住。

死分支：用小锚点 Edit 只替换 if (d.installed === 'no') { 这一行时，
旧 body 与它的 } else if (!d.has_systemd) { 原样留在原地，拼出一个
「没有 systemd → 报内核不支持」的假分支——语法合法、静态检查也过。
防线：断言 } else if ( 的数量恰好等于分支数。

另有 4 处判据写错导致假红，共同形态是「脚本假设了一个修好之后就不成立
的前提」——比如「模块必须未加载」这条，fix 一跑完就假红。

## 验证

- t-107：126 → 167 项
- 反向验证 16/16 被抓住
- 新增 devtools/check-vpn-render.js 36 项（挂进 sync.sh 预检链）
- 新增 _dev/live-108-wg.py 真机验收 43 项；真机 _vpn_env 从 need_module
  修到 ready，wg 装上（v1.0.20210914），modules-load.d 已写入
- t-*.py 51 个全绿 / 静态检查器 39 个全绿 / 前端四查全绿 / md 0 死链
- 容器冒烟新增第 14 节：镜像里真跑 _vpn_env() 验四态判定
  （不 grep 字面量——注释里也会写这些词）
- deb 内 helper 与 app.js sha256 与本地逐字节一致
 2026-10-03 12:28:21 +08:00
liuzhuohua e1125e3978 release: 1.0.7 — 备份/告警/配额三模块收尾 + 真机再抓 3 个真缺陷 
版本号 1.0.6 → 1.0.7（13 个文件 55 处，逐条过；历史陈述不动）。

## 本轮又修的 3 个真缺陷（都是真机 API 验收才暴露的）

静态检查全绿、函数级测试 29/29 全过，接口一打就红：

1. 备份包名校验正则比命名规则窄 → 导出的包自己都认不出
   命名 charset 是 [A-Za-z0-9_-]，校验只写 [a-z0-9]+，
   而 Debian 默认主机名 debian-primaryrouter 带连字符
   → 导出了、界面显示「已导出」，但列表里看不到、永远还原不了。
   修完才发现 _bk_list_entries 里还有第二份同样的正则（漏改），
   已让它直接调用 _bk_safe_name()。

2. inspect 把 manifest 的 sha256 弄丢了→ 20 项全部标「已损坏」
   重建 row 时没搬 sha256，下一行又拿 row.get('sha256') 比实际哈希
   → 恒为 None ≠ 哈希。还原也被「内容与清单不符」挡死。

3. 清单重叠 → 同一个文件进包两次
   SNAPSHOT_ETC_FILES 含 rescue.conf、SNAPSHOT_ETC_DIRS 含整个
   /etc/drouter → 同一 arcname 写两遍 tar（后者覆盖，不报错），
   file_count / total_bytes 虚高一倍。真机证据：22 项 → 20 项。

## 测试防线（新增 7 条断言，全部做过反向验证）

把 bug 注入回去看它变红、还原后变绿 —— 没反向验证过的断言
可能因抽取失败而恒绿：

- 校验规则与命名规则同源（charset + 长度）
- 该正则在 helper 里只有一份（列表不再自抄）
- inspect 把 sha256 带进了 row / 比对的是 row 里那个 / 还原侧仍用 it.get
- 打包时按 arcname 跨组去重 + 清单确有「文件 ⊂ 目录」重叠项
- OK_NAMES 补真实主机名形态（原用例只有无连字符的 debian）

t-107：119 → 126 项。

## 真机验收

- 新增 _dev/live-107-api.py（26 项，HTTP 接口层）
- _dev/live-107.py 29 项、live-107-api.py 26 项，全绿
- 基线零变化：网关 192.168.7.2 / nft 0 行 / dnsmasq inactive+disabled
  / rescue inactive / ip_forward=1 / netavark 表已回收
- deb 511,624 B；解包抽查三个新守护在 backend/、helper sha 与本地一致

## 产物校验

- 离线包 sha256sum -c 238/238 通过
- 包内 deb 与独立产物 sha256 一致（c1ebcf17…）
- deb / 离线包 远端↔本地 sha256 逐一对齐

## 顺手

- README 体积数字按 stat 实算改成 500 KB（原文写的是 453 KB）
- smoke-docker-106.sh → smoke-docker-107.sh，新增第 12/13 节
  （容器里三个新守护有不依赖 init 的拉起路径 + 镜像 Python 必须是 3.13）
- wireguard-tools 补进 DEPS 三处（helper / make-offline-deps / deb control）
 2026-10-03 02:54:04 +08:00
liuzhuohua 249cc3d8c6 feat(backup/alert/quota/vpn): 新增四个模块 + 深度自查修7 个真缺陷 
功能
- 配置备份与还原（backupd）：分级导出/预览/还原，敏感内容默认排除
- 告警中心（alertd）：WAN掉线/延迟/丢包探测，冷却期+ 免打扰
- 流量配额（quotad）：按 IP/服务/小时桶聚合，费用分摊
- VPN 页前端接线 + 前端字段契约补齐

自查发现并修复的缺陷（_dev/t-107.py，119 项）
1. 默认备份静默丢失大半配置（严重）
   _bk_files 把整个 /etc/drouter 标为 sensitive，默认导出时被整目录排除，
   而 BACKUP_SCOPE 恰恰宣称备份含 dcfg.json / kern.conf / vlans.json /
   Docker 栈文件 / 自定义主题。界面全程显示「已导出」，用户换机还原才发现。
   改为逐文件判定（_bk_is_sensitive）+ 敏感子树剪枝 + excluded 收集与展示。
2. VPN status 把全部客户端私钥明文送到浏览器
   _vpn_status 返回 'raw': d（完整配置），前端 4 个渲染函数一个都没读过它。
3. Python 3.13 下保存 VPN 配置静默清空所有 peer（隐蔽）
   'str' in ip_network() 在 3.12 静默 False，3.13 抛 AttributeError，
   被紧邻的 except 吞掉 → 所有客户端无声消失。Debian 13 默认就是 3.13。
4. VPN 私钥在 _vpn_mask 里被连同其他字段一起抹掉
5. 14 处前端属性插值未转义（备份/告警/VPN/配额页）
   type="number" 只过滤输入，不阻止 HTML 属性注入。
6. wireguard 未登记到 DEPS（VPN 有 5 处调 wg，自检页看不到缺失提示）
7. build-deb.sh 声明「后端 N 个」与实际清单不符 + ULOG_ARCHIVE 重复定义

测试基建
- _dev/t-107.py：字段契约双向对照 / op 三段对齐 / 高危路径端到端
  （真跑 _bk_walk、_vpn_norm、配额聚合，不用正则假装测过）
- _dev/run-static.py + scripts/test-static.sh：统一静态回归入口
  排除列表曾写成裸名导致交互脚本没被排除、长会话被 SIGTERM
- t-packaging 改为从 build-deb.sh 抽取模块清单，并反向校验无游离模块
 2026-10-03 00:49:07 +08:00
liuzhuohua 3d028f5188 release: v1.0.6 打包校验发现 sync-isp-dns.sh 装错位置，一并修掉 
产物校验时进容器抽查，发现 1.0.6 的 PPPoE 断网修复自己有三个问题：

1. 脚本装错位置。初版由 deploy.sh 用 heredoc 写进 $OPT/bin/，而
   build-deb.sh 与 Dockerfile 都是 install scripts/*.sh → $OPT/scripts/。
   结果装 deb、跑容器的机器上 ip-up-script 指向不存在的文件，DNS 选
   「仅运营商/两者合并」时照样全家断网。改为 scripts/ 下的实体文件，
   三条部署路径共用一份；deploy.sh 顺带迁移存量占位文件里的旧路径
   （只换注释行，不碰已拿到的 nameserver）。

2. 容器里重载不掉。脚本只 systemctl reload dnsmasq，容器形态没有
   systemd，等于什么都不做。改为检测不到 /run/systemd/system 时回退
   kill -HUP $(pidof dnsmasq)，与 helper 内部处理方式一致。

3. 写盘失败仍返回 0。pppd 只看 ip-up-script 的退出码来决定要不要记
   日志，原来目录不可写时脚本照样 exit 0，把「DNS 没同步」彻底藏起来。
   现在写临时文件或 mv 失败一律非零退出。

另把 deb 体积 447→452 KB、compose/guide 体积按实测更新到 README 与
RELEASE_NOTES。

真机（192.168.7.3）实测四条路径：拨号成功两条 nameserver 落盘 rc=0；
重复执行内容不变 rc=0 不重载；断线写占位 rc=0；目录不可写 rc=1。
回归 8 模块全绿，安全不变量（53/67 端口 0 占用、服务未启动、
ens18 IP 不变、VNC 5900 完好）全部保持。
 2026-10-02 20:57:32 +08:00
liuzhuohua f602e69f1b 全面审计：修 30 处静默失效/安全/资源缺陷，含 4 个 P0 
本轮按「每个菜单、每个功能」逐项排查，重点是家庭宽带上网必经的
IP / DHCP / DNS / PPPoE 链路，外加日志、监控、依赖三类基础能力。
所有缺陷的共同特征是「静默」：界面提示成功、配置写盘成功、服务
照常运行，但实际什么都没发生 —— 这类 bug 功能测试抓不到。

P0（安全 / 完全失效）
- readings 遮蔽 6 个模块的 POST 写分支：readings 字典同时匹配 GET 与
  POST 且位于所有写路由之前，/api/{acl,share,docker,ddns,theme,ulog}
  的保存操作永远走不到，还返回 ok:true + 读数据，前端照样提示
  「保存完成」。这六个模块从 1.0.5 之前就一直是废的。
- PPPoE 缺 ip-up 钩子：usepeerdns 只把运营商 DNS 写进
  /etc/ppp/resolv.conf，而 dnsmasq 读的是 resolv-file 指向的
  generated/isp-dns.conf。dns_mode=isp/both 时上游全空，全家断网。
  补 render_ppp 的 ip-up/ip-down-script + 新增 sync-isp-dns.sh。
- 紧急救援通道零凭据：开启时 169.254.0.1/16 挂到每一张物理网卡，
  「救援网段内」等于局域网任意主机，而确认短语是页面源码常量 ——
  等于任何人都能回滚配置并重启全机。改为开启即生成 6 位 token，
  所有写操作强制校验，失败 10 次锁 60 秒；老配置无 token 时拒绝
  放行（不退化成无凭据）。
- SNMP 注入：community 有 [\s#] 校验，sysname/location/contact 只截
  长度。塞一个换行就能凭空插出 rwcommunity，把只读团体名升级成可写。
  三个字段补齐换行与 # 过滤。

P1（静默失效）
- 静态租约写入 host/无 enabled，渲染器读 name/enabled → 整条被
  v_bool 过滤，「转静态」提示成功但 dnsmasq 里一条 dhcp-host 都没有。
- UPnP 网段永远退回 192.168.0.0/16：render_miniupnpd 读
  system.lan_address，但 apply 与 render 两条路径都只注入 ext_iface。
- 防火墙「仅语法检查」会写配置库：live=False 只代表写盘不生效，
  真正不写盘必须传 check_only。前端漏传，后端 merge_cfg 也照写。
- 构建保护模式下 rollback+reload 绕过守卫：会 restart dnsmasq /
  radvd / dhcpcd —— 正是这个模式要防的污染源。
- sys 页改了 access_scope 却提示「点击保存并应用」，而 PAGE_MODULES
  里没有 sys → 保存按钮根本不存在。
- DHCP 页 rebuild() 整体重渲染，新闭包覆盖 stopLeaseTimer，旧 interval
  句柄永久丢失 → 每加 10 条自定义 Option 泄漏一个 10 秒轮询。
- DHCPv6 prefix_len 在 IPv6 页写数字、DHCPv6 页写字符串 → 下拉框全不
  选中，动别的字段还会反向污染。
- 端口转发草稿：编辑只写 S.pfRules，重进从 c.rules 重建 → 切页丢草稿。
- 通用保存/应用成功后从不 pageClean(S.page)：20 多个页面的脏标记
  保存后永久残留，之后每次进页面都用旧草稿盖掉库里读回的新值。
- DHCP 池三项校验只在向导路径，直存路径绕过 → 池含本机 LAN 地址时
  表现为「网络时通时不通」且无任何日志。校验提到 render_dnsmasq。
- 多拨 service_name 无白名单，含引号即可闭合引号续写 pppd 指令。
- 救援放行规则只 add 不 delete，改端口 + 关闭后旧 accept 永久残留。
  改独立 chain drouter_rescue，关闭时按 handle 删 jump 再删 chain。

P2（资源 / 性能 / 一致性）
- _ulog_prune 用 f.read().splitlines() + 第二个 kept 列表，keep_rows
  默认 20 万行 ≈ 160MB 峰值，而它每 60 秒跑一次 → 4GB 机器上的
  OOM 杀手。改流式：先只数行，未超上限零重写，超了才滑窗 + os.replace。
- /api/metrics 每 2 秒轮询，而 _route_latency 在 _metric_lock() 内跑
  ping（timeout 10s）→ 目标不可达时整个仪表盘阻塞十几秒。移出锁。
- br0 的 RX/TX 是成员口之和，与成员口一起累加使总流量约翻倍。
- dnsmasq cache-size=0（禁用缓存）被 `or 1000` 吞成 1000。
- radvd pool_enabled / dhcpv6 enabled 用 `is not False`，把字符串
  'false'/'0' 当 True。改 v_bool。
- Number('') === 0，清空的 MTU/MRU/租期/端口被提交成 0。新增 numOr。
- drouter-logd 缺磁盘将满保护（snapshotd 早有），根分区将满时归档
  失败被 except 吞掉，日志静默停更。
- multiupnpd local 域写死 /lan/，不跟随用户域名。
- 多拨 MRU 独立取值并钳 576–1500（原来直接写 mtu，界面填的 MRU
  被静默忽略）。
- rescue.conf 注释说 0600 实际 0640，改注释与实现对齐。

测试
- 新增 _dev/t-apicheck.py：前后端 API 契约 + 分支可达性检查器
  （169 项）。静态比对「路径在文件里出现过」查不出遮蔽，必须检查
  「谁先 return」。
- 新增 _dev/t-audit106.py：83 项，覆盖本轮全部修复。
- 新增 _dev/live-audit106.py：真机验收，重点验 6 个曾失效模块的写
  分支可达、check_only 不写库、静态租约字段、SNMP 净化、多拨白名单。
- t-fefix 的 value="${...}" 断言过严：map 回调形参取自源码字面量
  数组，零风险却一直误报。改为只对含点/调用/拼接的插值强制 esc()。
- 离线回归 35 个测试全绿；真机 192.168.7.3 验收全通过。

真机验证（192.168.7.3）
- 6 个模块 POST 均走到专属分支（用不存在 op 打出模块级 BAD_OP，
  不再是读数据 + ok:true）；主题切换 active 读回一致、ulog save_conf
  成功、DDNS 非法 provider 被拒。
- check_only 预检前后配置库逐字节一致。
- 静态绑定写库为 {enabled,mac,ip,name}，与渲染器读取字段一致。
- SNMP 库里 sysname 无换行、无 rwcommunity。
- 救援通道：无/错 token 403，正确 token 200，正确 token + 错短语被
  拒不执行，错 10 次 429 锁 60 秒，rescue.conf 0640 root:drouter；
  关闭后 token 清空、nft chain 回收、虚拟地址回收、服务停。
 2026-10-02 18:58:23 +08:00
liuzhuohua 7b321bfdce fix: 第二轮深度审计 —— 堵提权/注入、收口资源生命周期、低配置性能水位，版本号 1.0.5 
安全：
- chpasswd 换行注入可改 root 密码：用户名/密码拒绝换行与控制字符
- 删用户保护从写死两个名字改为 UID<1000 系统账号
- WOL 接口名白名单 + 目标地址 IPv4 校验，去 sh -c 管道
- ACL hosts 改 ipaddress 严格校验；存储挂载点限定 /mnt|/media|/srv
- 文件管理器拒绝清单扩到目录级 + 按文件名拦截（authorized_keys/shadow 等）
- 前端 201 处 value="${...}" 补 esc()；href 只放行 http/https；
  主题导出注释同时剥 /* 与 */

丢数据/假功能：
- ACL/文件共享/DDNS 三页切走再回来草稿被静默覆盖：新增 PAGE_DIRTY 脏页登记
- LAN 页网关/域名写进 system 死键，改绑 dnsmasq 同源
- UPnP 映射表按钮不再顺手起服务，走只读接口 read:upnpmap

资源：
- PTY 缓冲 8MB 封顶 + 会话信号量 + 后台空闲回收 + 离开页面主动断开
- Web 工作线程 48 封顶、请求体 16MB 封顶、会话 500 封顶改单调时钟、
  审计 2 万行裁剪、helpd 并发 6 封顶
- helper 日志 32MB 轮转；快照前查磁盘余量；fs 下载 512MB→20MB
  （通道单条响应 32MB，超限只会静默失败）
- 11 处配置写入改原子写；rescue/snapshot 单元补 MemoryMax（三处同步）

性能：
- /api/config 16 次开库 → 1 次 IN 查询
- cleanup 状态扫描 30s 缓存；gzip 缓存加 24MB 字节闸
- 后台标签页心跳暂停、终端轮询降频

杂项：DHCPv6 停用只留注释；租约回收用 dhcp_release（DEPS 可选登记）；
VLAN 只删自建接口；公网探测清残留结果文件；快照根白名单；
心跳定时器防重复；keep_days/keep_rows 不吞 0
 2026-10-02 10:25:40 +08:00
liuzhuohua cd5ef7411f fix: 清「假输入框 / 隐身字段」这批前后端缺陷，版本号 1.0.4 
把全量代码（后端 9 模块 + 前端单文件 SPA，约 4.5 万行）过了一遍，用 AST 抽出
渲染器读取的每个配置键，与页面上输入框绑定的字段做双向差集，专门找两类问题：
前端发了后端从不读（假输入框）、后端读了前端没有入口（隐身字段）。

会写坏系统的：
- render_network 违反 render() 契约返回字典，调用方按二元组解包后把字典的键
  当成路径和内容 —— 迁移 networkd 会生成文件名叫 name、内容写着 content 的垃圾文件
- DMZ 规则方向写反：注释写「排除到本机自身」，条件写成反面，管理口流量也一并 DNAT

五个「填了等于没填」的输入框：
- WAN 的 MTU 与「是否接受上游 DNS」后端零消费，现真正写入 MTUBytes= / UseDNS=
- DHCPv6 的「子网 ID」绑的是不存在的键，真生效字段是 sla_id
- Samba WINS 要求一个从不回填的字段同时为真，勾了永不生效
- 网桥「启用 STP」未绑定事件，勾完保存不进去
- 主题设计器「按主色生成配色」按钮无 handler

其余：
- RA 页补齐 rdnss_life / dnssl_life 输入框（1.0.3 修了错位却没给入口）
- 迁移预览只发 lan，必报「WAN 网卡不能为空」且网桥从不出现 → 补发 wan + bridge
- dnsmasq / miniupnpd / ppp / dhcpcd IPv6 / RA 地址池 / NFS 等插值零校验
- chrony 服务器校验只认域名和 IPv4，IPv6 NTP 服务器被误拒
- v_int 改用 try/except：上标数字能通过 isdigit() 却让 int() 抛异常导致 500
- ensure_cert 删掉硬编码的开发机 IP，改为本机地址 + 默认路由推导；补 openssl 失败检测
- DDNS 面板 XSS（记录名/服务商未转义）；主题 CSS 注释注入（前后端各一处）

测试：render 返回值契约断言、CSS 注释注入回归、模板孤儿控件守卫，
_dev/t-*.py 42/42、前端三查 + md 链接检查全绿。
 2026-10-02 00:23:30 +08:00
liuzhuohua 79f24aa264 fix: 部署静默回退用户设置 + radvd RDNSS 未校验等 5 处缺陷 
1.0.3 为纯修复版本，五个问题全部来自真机（192.168.7.3）深度排查：
翻 journal 与统一日志的 error 记录、全盘扫描文件名控制字符、把现行配置库
里每个模块的渲染结果重新交给对应真守护进程做语法校验。

- render(radvd): RDNSS 字段原先完全不校验（同段代码里 prefix 校验网段、
  DNSSL 校验域名，唯独漏了它），填 IPv4 地址会原样写进 radvd.conf 导致
  radvd 起不来，界面只回一句 radvd.conf:18 error: syntax error。
  现逐项按 IPv6 地址校验并给中文提示；多值支持逗号/空格并统一按空格输出
  （逗号形式 radvd 本就不认）；DNSSL 同样支持多域名；修正 DNSSL 生命期
  误读 rdnss_life 的字段错位。

- cleanup: 自动清理的「每天 00:00」根本存不下来——前端 `Number(v) || 4`
  与后端 `int(cfg.get('hour') or 4)` 都把 0 当成「没填」，叠加后保存即变
  04:00 且改不回来。两处改为显式判断 None/''。执行时刻判定由「正好等于」
  放宽为「不早于」，避免计划时刻恰好关机/重启导致当天彻底跳过。

- deploy.sh: 三处无条件覆写改为「只在文件不存在时初始化」——
  active-theme（自定义主题每次部署被打回默认）、generated/isp-dns.conf
  （PPPoE 上游 DNS 被擦、解析变空直到下次拨号）、cleanup enabled=true
  （唯一会真删文件的模块被静默重新打开）。另补兜底：生效主题指向已不
  存在的主题时回退 default 并打印说明。

- drouter-web: socketserver 默认 handle_error 把任何异常连整段 traceback
  打进 journal，浏览器切页/关标签抛的 BrokenPipeError / ConnectionReset
  属「对面先挂了」，三日攒数十条足以淹没真报错。新增 _Server 子类只静默
  这几类，其余照旧抛出。

- devtools: 新增 fix-crlf-names.py 清理 CRLF 环境残留的名字带 \r 脏条目
  （保守：默认只预演、仅删有同名兄弟者、目录需相对文件集合为子集、
  跳过 snapshots/）；sync.sh 发布预检增加「文件名不得含控制字符」。
 2026-10-01 17:43:28 +08:00
liuzhuohua a49b4d7771 fix(dnsmasq): 合并重复的 option 3/6，并诊断 /dev 节点缺失 
DHCP 页有「专属字段」和「自定义 Options 表」两处能写同一个 option code。
两处都填 3/6 时会各自渲染一遍，而 dnsmasq 对列表型 option 是追加语义，
于是客户端收到重复的网关，DNS 列表也被搅乱（公网 DNS 排在本机前面，
本机 dnsmasq 形同虚设）。

改为按 code 合并成一行并顺序去重；带「强制」的 3/6 语义不同，仍单独输出
为 dhcp-option-force；其它 code（43/121…）完全不受影响。新建配置也不再
预置与专属字段重复的 code 3/6 行。

顺带：
- code 6 的占位符原本写上游 DNS，容易误导 —— option 6 是下发给客户端的
  「去哪台机器查 DNS」，应填本机。占位符与说明已改正。
- dnsmasq 预检失败时不再直抛英文原文。像
  「failed to seed the random number generator」其实与配置无关，是宿主机
  /dev 设备节点缺失，现在会分诊成系统层面的中文提示。

版本号 1.0.1 → 1.0.2。注意区分「产物版本」与「功能引入版本」的表述：
容器里无 systemd 时回退子进程拉起守护，是 1.0.1 引入的，文案保持 1.0.1。

新增 _dev/t-render.py 对 3/6 合并的回归断言（含 force、留空、顺序、
其它 code 不受影响、预览路径一致性）。全量回归 42/42 通过。
 2026-10-01 16:49:49 +08:00
liuzhuohua 147a402eca fix(webshell): 修复 PTY 故障与终端满员自锁，补容器形态守护拉起 
Web 终端「任何账号都连不上」的两个真实故障，以及容器形态下终端完全打不开。

- shelld: 根因是 /dev/ptmx 符号链接丢失（/dev/pts/ptmx 还在），
  pty.openpty() 找不到入口，内核却报 "out of pty devices" ——
  把「少一个设备节点」说成了「设备耗尽」，排查方向被带偏。
  新增 ensure_ptmx()：启动时与创建失败时都探测，先补 symlink，
  不行再 mknod 兜底；仍失败则回 PTY_FAIL 并给出可照抄的命令

- shelld: 会话锁由 threading.Lock 改为 RLock。原锁不可重入，而
  connect 在持锁状态下调用 _reap_idle() 会二次取同一把锁 ——
  同线程二次 acquire 不报错不超时、直接睡死，锁永不释放，
  第 9 个连接起整个终端服务冻死且日志无痕。
  connect 不再持锁调回收；_reap_idle() 的 close() 移到锁外

- helper: 容器里没有 systemd，拉起终端守护原来只有 systemctl 一条路径，
  导致容器形态 Web 终端永远「终端守护未运行」。新增 _shelld_spawn() 回退：
  直接以子进程启动守护（start_new_session 脱离父进程）；
  错误文案改为「容器形态无 systemd，重启容器即可」

- 前端: 终端去掉滚动条（仅隐藏外观，滚动能力保留）、
  高度改为随视口 clamp 自适应；新增「清屏」与「↓ 最新」按钮

- 打包: build-deb.sh 与 Dockerfile 不再整体拷 docs/ ——
  install/COPY 撞上 docs/screenshots/ 目录会报错（install 遇目录返回非 0，
  在 set -e 下直接中断整个打包）；截图本就不该进 deb/镜像

- 修正两处不一致: index.html 页脚误写「GPL v3」→ MIT（与 LICENSE 对齐）；
  README 中 deb 体积 421 KB → 427 KB（实测 437584 字节）

- 版本号 1.0.0 → 1.0.1（源码、打包脚本、文档、镜像标签、编排文件）

测试: _dev/t-pty.py 扩到 45 项，含「_lock 必须是 RLock」的行首断言
（原先用子串匹配被 self.buf_lock 误伤）；t-webshell.py 补 16 项外观契约。
真机 192.168.7.3 实测：第 9 个连接 0.01s 干净返回 BUSY，
断开 8 会话 0.87s 全清、残留 0，PTY/fd 回落基线；
自愈验证（删掉 /dev/ptmx 重启服务可自动补回）。
容器冒烟 12/0：无 systemd 环境下守护成功拉起、
root shell 建会话并跑通命令回显。41 个单测文件全绿。
 2026-10-01 03:09:19 +08:00
liuzhuohua 64df3cf331 feat: Drouter 1.0.0 —— Debian 13 软路由管理系统 
一套跑在 Debian 13 (trixie) 上的软路由管理系统，提供 43 个功能页面的
Web 管理面板：WAN 接入、PPPoE 多拨、DHCP/DNS、IPv6、防火墙、QoS 限速、
访问控制、DDNS、文件共享、Docker 管理等。

核心设计原则：不重新实现任何协议
  PPPoE 交给 ppp，DHCP 交给 dnsmasq，IPv6 RA 交给 radvd，NAT 交给 nftables。
  Web 面板只做三件事：渲染原生配置文件 → 语法预检 → 原子写入并 reload。
  面板删掉后，系统仍是一台配置完好的 Debian 路由器。

安全默认值
  · 安装后不接管网络：不改默认路由、不开 IP 转发、不启动 DHCP 服务
  · 所有改网络的动作都需要用户在面板上亲手点「应用」
  · 避开 5900 端口，不触碰 VNC / X 会话
  · 配置写入前先做语法预检，失败则回滚

架构
  · backend/  Python 3 标准库，零第三方依赖（9 个模块）
  · web/      原生 JS/CSS，无构建步骤
  · 常驻 helper 通过 Unix socket 提供 75 个动作，socket 不可用时回退 subprocess
  · 鉴权走 X-Token 请求头

打包
  · packaging/build-deb.sh            → drouter_1.0.0_all.deb（含 6 个 systemd 单元）
  · scripts/make-offline-deps.sh      → 236 个依赖 .deb + 本地仓库索引
  · packaging/build-offline-bundle.sh → 自包含离线包，目标机零外网可装
  · packaging/build-docker.sh         → 容器镜像（体验用）

测试
  40 套单元测试 + 3 个前端检查脚本（菜单映射 / 离线渲染 / 手机适配），
  全部挂在 devtools/sync.sh 的预检链里。

许可：MIT
 2026-09-30 19:26:24 +08:00