chenxin
144415247e
- 神识 Go：store 双实现（PG 自动建表+60s 就绪重试 / 内存回退）承载 usage_logs·byok_keys·quota_balances；BYOK 密钥库（AES-GCM 加密、API 脱敏、撤回即失效、主密钥未配置 fail-closed）；配额三段式（预扣 max_tokens 钳位 1M→结算实际 token→全败幂等退款，HJ-2004）；计量归属（IR user_id→usage_logs，/me/usage 用户维度聚合+配额总览，/admin/usage/sample 对账抽样）；Anthropic/Gemini 出站适配器（SSE 解析、system 提升、用量映射）；stub 端点补名修复计量空 endpoint - IR 契约：user_id/byok_key_id 双端同步（Go types.go + Py types.py） - 灵台：runs.owner_id（迁移 005，server_default 兼容存量）经 kernel 全链透传为 IR user_id；shenshi_client 扩展用户面方法（X-Hunjing-User-Id 代理，Echo 桩带内存实现）；/me/byok-keys 登记·列表·撤回与 /me/usage 端点（4 用例） - 前端神识阁（/models 重建）：偏好（生成参数表单）/自带密钥（登记加密保存、脱敏列表、撤回二次确认）/用量（聚合表+配额进度条）三区；me API 库+mock+5 用例；侧栏恢复入口 - 配置与部署：.env.example 增 SHENSHI_DATABASE_URL/SHENSHI_BYOK_MASTER_KEY/SHENSHI_USER_BUDGET_TOKENS；compose 神识容器接自有库（init-shenshi.sql 预建 hunjing_shenshi，与灵台不共库共表） - 证据：Go 34 用例（BYOK 独占/配额拒绝/结算退款/归属聚合）、后端 532、前端 210、BFF 4 全绿；跨进程 E2E 四场景（灵台 HttpShenshiClient→真 Go 神识：登记脱敏/BYOK 独占不可达整体失败/用量归属聚合/撤回即失效）通过；rewrite-plan M4 标记完成、能力矩阵神识行升已验证
87 lines
2.8 KiB
Go
87 lines
2.8 KiB
Go
// Package quota 用户级软配额：三段式（预扣 → 结算 → 退款，shenshi-gateway.md §7）。
|
|
//
|
|
// P0/P1 只做预算熔断（token 口径，HJ-2004 配额不足）；1.0 官方云计费属 P2。
|
|
// 换算与钳位集中在本包单一函数，饱和截断防溢出变负。
|
|
package quota
|
|
|
|
import (
|
|
"errors"
|
|
"fmt"
|
|
|
|
"hunjing/shenshi/internal/store"
|
|
)
|
|
|
|
// ErrInsufficient 配额不足（HJ-2004）。
|
|
var ErrInsufficient = errors.New("HJ-2004 配额不足")
|
|
|
|
// Limiter 用户配额裁决器；budget=0 表示不限制（本地开发档）。
|
|
type Limiter struct {
|
|
store store.Store
|
|
budget int64
|
|
}
|
|
|
|
// New 构造裁决器。
|
|
func New(st store.Store, budgetTokens int64) *Limiter {
|
|
return &Limiter{store: st, budget: budgetTokens}
|
|
}
|
|
|
|
// clamp 集中单一换算函数：预扣额 = min(请求上限, 钳位上限)，且饱和截断不为负。
|
|
// 请求侧任何计费乘数（max_tokens 等）在进入本函数前已由 IR 校验限幅。
|
|
func clamp(requested int64) int64 {
|
|
const reserveCeiling = 1 << 20 // 1M token 单次预扣上限（校验期设上限，防溢出）
|
|
if requested <= 0 {
|
|
return 0
|
|
}
|
|
if requested > reserveCeiling {
|
|
return reserveCeiling
|
|
}
|
|
return requested
|
|
}
|
|
|
|
// Reserve 预扣（按上限）：配额不足时拒绝并返回 ErrInsufficient。
|
|
func (l *Limiter) Reserve(userID string, requested int64) (reserved int64, err error) {
|
|
reserved = clamp(requested)
|
|
if l.budget <= 0 || reserved <= 0 {
|
|
// 不限制档仍记账（可见性），但不裁决
|
|
if reserved > 0 {
|
|
return reserved, l.store.Reserve(userID, reserved)
|
|
}
|
|
return 0, nil
|
|
}
|
|
b, err := l.store.Balance(userID)
|
|
if err != nil {
|
|
return 0, err
|
|
}
|
|
if b.Reserved+b.Used+reserved > l.budget {
|
|
return 0, fmt.Errorf("%w：已用 %d + 预扣 %d + 本次 %d > 预算 %d",
|
|
ErrInsufficient, b.Used, b.Reserved, reserved, l.budget)
|
|
}
|
|
if err := l.store.Reserve(userID, reserved); err != nil {
|
|
return 0, err
|
|
}
|
|
return reserved, nil
|
|
}
|
|
|
|
// Settle 结算：实际用量回填，差额（预扣-实际）即时释放。幂等性由 usage_logs
|
|
// 主键（同一尝试 ID 只落一条）保证：结算与落库同批执行，重放不会二次扣减。
|
|
func (l *Limiter) Settle(userID string, reserved, actual int64) error {
|
|
return l.store.Settle(userID, reserved, clamp(actual))
|
|
}
|
|
|
|
// Refund 失败退款：全额释放预扣（幂等——释放至多为预扣额，GREATEST 饱和截断）。
|
|
func (l *Limiter) Refund(userID string, reserved int64) error {
|
|
if reserved <= 0 {
|
|
return nil
|
|
}
|
|
return l.store.Refund(userID, reserved)
|
|
}
|
|
|
|
// Budget 预算与余额总览（/me/usage 附带）。
|
|
func (l *Limiter) Budget(userID string) (budget, used, reserved int64, err error) {
|
|
b, err := l.store.Balance(userID)
|
|
if err != nil {
|
|
return 0, 0, 0, err
|
|
}
|
|
return l.budget, b.Used, b.Reserved, nil
|
|
}
|