feat(gateway)!: drop HTTP listener, run outbound agent only
- delete GatewayHTTPServer/GatewayHandler, create_server, /healthz and /v1/channel; event_channel module removed - load_config now requires CREATOR_PLATFORM_URL + CREATOR_GATEWAY_KEY - run() wires Gateway into OutboundAgent; SIGINT/SIGTERM stop the agent - deploy env example, install script, systemd unit docs and deployment docs updated to the outbound model; NATIVE_GATEWAY_ENDPOINT dead dev config removed
This commit is contained in:
+8
-7
@@ -47,8 +47,8 @@ $EDITOR ~/.config/creatorhub/browser-gateway.env
|
||||
|
||||
关键配置：
|
||||
|
||||
- `LISTEN_ADDR=0.0.0.0:8081`：允许局域网 control-plane 联调；防火墙只放行受信网络；
|
||||
- `GATEWAY_TOKEN`：至少 16 个字符，和控制面登记值完全一致；
|
||||
- `CREATOR_PLATFORM_URL`：control-plane 的 http(s) 根地址（不含 `/v1/agent` 路径）；网关主动出站建立 WebSocket 连接，无需公网入站端口；
|
||||
- `CREATOR_GATEWAY_KEY`：至少 16 个字符，与控制面「网关管理」为该网关签发的 key 完全一致；
|
||||
- gateway 宿主机必须预安装并自检浏览器运行时；control-plane 不提供浏览器版本登记、路径配置或升级入口，相关运行时参数只由 gateway 本机服务读取；
|
||||
- `BROWSER_STATE_DIR`：runtime 清单、锁和日志目录；
|
||||
- `BROWSER_PROFILE_ROOT`：持久账号 Profile 根目录；不得指向临时目录；
|
||||
@@ -58,9 +58,10 @@ $EDITOR ~/.config/creatorhub/browser-gateway.env
|
||||
|
||||
```bash
|
||||
scripts/install-native-browser-gateway.sh
|
||||
curl --fail --silent --show-error http://127.0.0.1:8081/healthz
|
||||
curl --fail --silent --show-error -H "Authorization: Bearer ${GATEWAY_TOKEN}" http://127.0.0.1:8081/v1/info
|
||||
systemctl --user --no-pager status creatorhub-browser-gateway.service
|
||||
journalctl --user -u creatorhub-browser-gateway.service -n 50 --no-pager
|
||||
|
||||
网关启动后主动连入 `CREATOR_PLATFORM_URL` 的 `/v1/agent` WebSocket；连接成功时控制面「网关管理」列表该网关显示在线，不再提供本地 `/healthz` 或入站 HTTP 接口。
|
||||
```
|
||||
|
||||
若 user service 不随登录启动，按主机运行规范启用 lingering；不要把 gateway 改成 root service：
|
||||
@@ -89,7 +90,7 @@ docker compose ps
|
||||
docker compose logs --tail=200 creator-hub postgres
|
||||
```
|
||||
|
||||
Compose 中的 control-plane 访问宿主机 gateway 时，网关 Endpoint 登记为 `http://host.docker.internal:8081`。裸机运行 control-plane 时登记为 `http://127.0.0.1:8081`。两种情况下都必须使用同一个 `GATEWAY_TOKEN`。
|
||||
网关不再登记 Endpoint；在控制面「网关管理」创建网关条目，将生成的 access key 配置到网关的 `CREATOR_GATEWAY_KEY`。平台与网关的全部通信复用网关发起的那条 WebSocket 连接。
|
||||
|
||||
### 裸机开发
|
||||
|
||||
@@ -158,8 +159,8 @@ docker compose config --quiet
|
||||
systemctl --user --no-pager --full status creatorhub-browser-gateway.service
|
||||
journalctl --user -u creatorhub-browser-gateway.service --since=-30m
|
||||
find ~/.local/state/creatorhub/browser-gateway -maxdepth 3 -type f -name runtime.json -print
|
||||
curl --fail --silent --show-error http://127.0.0.1:8081/v1/browsers \
|
||||
-H "Authorization: Bearer ${GATEWAY_TOKEN}"
|
||||
|
||||
网关本地无 HTTP 接口；浏览器列表与任务执行记录在控制面「网关管理」页查看。
|
||||
```
|
||||
|
||||
强杀或网络中断后，不要重复发送真实平台写操作。先查询 control-plane 的运行、结果未知和 cleanup 状态，再按 generation 执行显式恢复或清理。
|
||||
|
||||
@@ -33,7 +33,7 @@
|
||||
1. 使用专用、可销毁的 Linux 主机；gateway 以非 root `systemctl --user` 服务运行。禁止与现有业务共用固定 browser alias、Profile 目录或数据库 schema；不得删除现有 Docker PostgreSQL 之外的业务服务。
|
||||
2. 由执行负责人按 `docs/deployment.md` 准备控制面/PostgreSQL Compose 与 host-native gateway，记录构建提交、gateway 运行时配置、systemd/Xvfb/操作系统、数据库版本、时区、测试起止 UTC；另用独立时段验证 `compose.dev.yaml` 的开发入口。不得一边测试一边自动升级源码。
|
||||
3. 准备 `curl`、`jq`、必要时 Docker CLI（仅用于 PostgreSQL Compose）、`systemctl --user`、浏览器 DevTools；媒体核验使用宿主机 `ffprobe`/`ffmpeg`。gateway 宿主机必须有可执行的默认浏览器配置；缺失配置由 gateway 明确拒绝。
|
||||
4. 配置必须来自测试凭据保管渠道：`CONTROL_PLANE_USERNAME`、`CONTROL_PLANE_PASSWORD`、32 字节 Base64 `CREATORHUB_CREDENTIAL_MASTER_KEY`、`GATEWAY_TOKEN`。gateway 还需合法 `BROWSER_STATE_DIR`、`BROWSER_PROFILE_ROOT` 和 `NODE_ID`。不得将实际密码、Cookie、token、证件号贴入文档/缺陷/日志截图。
|
||||
4. 配置必须来自测试凭据保管渠道：`CONTROL_PLANE_USERNAME`、`CONTROL_PLANE_PASSWORD`、32 字节 Base64 `CREATORHUB_CREDENTIAL_MASTER_KEY`、`CREATOR_GATEWAY_KEY`（控制面网关管理签发）。gateway 还需合法 `CREATOR_PLATFORM_URL`、`BROWSER_STATE_DIR`、`BROWSER_PROFILE_ROOT` 和 `NODE_ID`。不得将实际密码、Cookie、token、证件号贴入文档/缺陷/日志截图。
|
||||
5. 记录控制面 `LISTEN_ADDR`、`WEB_DIR`、`DATABASE_URL`、`CREATORHUB_CREDENTIAL_STORE_DIR`、`LOG_LEVEL`；gateway 的 `LISTEN_ADDR`、`BROWSER_STATE_DIR`、`BROWSER_PROFILE_ROOT`、`NODE_ID` 和宿主机运行时配置。媒体目录 `CREATOR_MEDIA_DIR` 可写；如测转写，`CREATOR_TRANSCRIPTION_BIN` 必须是已安装的真实供应商适配程序，接受音轨路径参数、stdout 输出正文；不能用 `echo` 冒充真实转写。
|
||||
6. 如测 AI：准备已审批的 Bailian 账号、配额、`BAILIAN_API_KEY`，可选 `BAILIAN_BASE_URL`；页面 provider 填 `bailian`，model 填实际批准模型。勾选“已完成审批”并不验证密钥。转写页面元数据也不替代可执行程序配置。
|
||||
7. 对所有代理协议 http/https/socks4/socks5 分别准备真实可控测试端点；至少一个无认证端点、一个带认证端点、两个不同公网 IP、一个不可达端点，保存实际地区与供应商定义。没有某协议服务时该行阻塞，不能用另一协议代替。
|
||||
|
||||
@@ -88,14 +88,14 @@ docker compose config --quiet
|
||||
|
||||
- Go 使用 `LISTEN_ADDR`；联调须设置 `0.0.0.0:8082`。
|
||||
- Vite 当前 `/api` 代理到 `127.0.0.1:8082`，端口 5100。Vite 必须加 `--host 0.0.0.0`，不能只给 localhost 地址。
|
||||
- native Python gateway 使用 `LISTEN_ADDR=0.0.0.0:8081`，由非 root systemd user service 运行；稳定 `node_id` 从配置或主机身份加载。
|
||||
- `scripts/dev-backend.mjs` 只启动 PostgreSQL 并检查 `NATIVE_GATEWAY_ENDPOINT`，不会启动浏览器容器。
|
||||
- native Python gateway 由非 root systemd user service 运行，通过 `CREATOR_PLATFORM_URL` 与 `CREATOR_GATEWAY_KEY` 主动出站连接控制面 `/v1/agent`；稳定 `node_id` 从配置或主机身份加载。
|
||||
- `scripts/dev-backend.mjs` 只启动 PostgreSQL 与热重载控制面，不会启动浏览器容器。
|
||||
|
||||
### 单节点执行步骤
|
||||
|
||||
1. 按部署说明在单节点安装已确认浏览器、Xvfb 和 `creatorhub-browser-gateway.service`。
|
||||
2. 使用已有、经验证的 PostgreSQL 与凭据配置。不要重新生成现有主密钥；不要把秘密值粘贴到验收报告。
|
||||
3. 按交付脚本启动单节点 native gateway；在控制面登记真实地址，并核对 `/v1/info` 返回的稳定节点身份。
|
||||
3. 按交付脚本启动单节点 native gateway；在控制面「网关管理」创建条目并把签发的 access key 配置到网关，核对列表在线状态与节点版本。
|
||||
4. 启动控制面及前端：
|
||||
|
||||
```bash
|
||||
@@ -105,7 +105,7 @@ LISTEN_ADDR=0.0.0.0:8082 go run ./cmd/control-plane
|
||||
npm --prefix web run dev -- --host 0.0.0.0
|
||||
```
|
||||
|
||||
命令启动后，用 `ip -brief -4 addr` 记录当次实际局域网 IP。用户在另一台设备访问 `http://<C-IP>:5100`；开发者可查看 `http://<C-IP>:8082/healthz`。报告列出单节点 gateway 的实际 Endpoint。
|
||||
命令启动后，用 `ip -brief -4 addr` 记录当次实际局域网 IP。用户在另一台设备访问 `http://<C-IP>:5100`；开发者可查看 `http://<C-IP>:8082/healthz`。报告记录单节点网关的在线状态与版本。
|
||||
|
||||
历史观察到的地址不构成可用性证据；实施当天必须重新核实 IP、监听地址和防火墙。
|
||||
|
||||
|
||||
Reference in New Issue
Block a user