chengcheng
4426eeccf7
All checks were successful
ci / verify (pull_request) Successful in 12m18s
合并远端生产 CI、依赖与 API 文档改动，保留统一认证和 SSF 能力。由于远端生产基线已占用 0062，将尚未发布的身份迁移整理为 0063 至 0068 的最终增量 Schema，移除仅用于开发期草稿升级的破坏性迁移步骤。 验证：go test ./...。其余生产门禁在合并提交后继续执行。
152 lines
8.1 KiB
Markdown
152 lines
8.1 KiB
Markdown
# EasyAI AI Gateway
|
||
|
||
独立的 AI 网关中台脚手架，用于把现有 `integration-platform` 的平台管理、模型路由、计费预估、队列执行、Chat / 生图 / 生视频等生成能力逐步从 `easyai-server-main` 拆成可独立运行的项目。
|
||
|
||
## 技术选型
|
||
|
||
- 后端：Go + PostgreSQL 18，复用 Agent memory 的 `easyai-pgvector`，支持本地用户、可选邀请码、API Key、余额/充值闭环，也支持复用 `server-main` 的 JWT / API Key 授权语义。
|
||
- 前端：React + TypeScript + TSX，UI 体系按 `shadcn-ui` / Radix / Tailwind 方向沉淀，先提供运维控制台骨架。
|
||
- Monorepo：Nx 负责任务编排，Go 使用 `go.work` 管理模块。
|
||
- 集成：完成后由 `easyai-server-main` 通过内部 HTTP SDK 直连本服务；任务实时进度由 Gateway 回调 `server-main`，再通过原 WebSocket 网关推送给业务前端。
|
||
|
||
## 目录
|
||
|
||
```text
|
||
apps/
|
||
api/ Go HTTP API, auth middleware, PG store, migrations
|
||
web/ React TSX admin console
|
||
packages/
|
||
contracts/ Shared TypeScript DTO contracts
|
||
docs/
|
||
design.md Detailed architecture and migration design
|
||
```
|
||
|
||
## 本地启动
|
||
|
||
```bash
|
||
cp .env.example .env
|
||
pnpm install
|
||
pnpm dev
|
||
```
|
||
|
||
服务默认地址：
|
||
|
||
- API: `http://localhost:8088`
|
||
- Web: `http://localhost:5178`
|
||
- PostgreSQL: 目标版本 18，默认使用宿主机 `localhost:5432` 上的 `easyai-pgvector` 实例，并使用独立库 `easyai_ai_gateway`
|
||
- 身份模式: 默认 `IDENTITY_MODE=hybrid`，可同时测试 Gateway 本地账号注册登录、可选邀请码和 `server-main` JWT / API Key 对接。
|
||
|
||
### Auth Center 统一认证
|
||
|
||
统一认证不再通过 `OIDC_*` 或 `VITE_OIDC_*` 业务环境变量配置。管理员先在 Auth Center 的通用“应用接入”向导选择 OIDC 登录、API 验证、机器调用、Token Introspection 和 SSF 会话撤销等标准能力，再到 Gateway 的“系统设置 → 统一认证”填写 Auth Center 地址、一次性接入码、API/Web 公网地址和本地租户映射。Gateway 自动领取标准 Manifest 与一次性机器凭据，验证通过后热切换，无需重启。
|
||
|
||
部署环境只提供 SecretStore 等启动级配置：
|
||
|
||
```dotenv
|
||
IDENTITY_SECRET_STORE=file
|
||
IDENTITY_SECRET_DIR=.local-secrets/identity
|
||
IDENTITY_SECURITY_EVENTS_HEARTBEAT_INTERVAL_SECONDS=60
|
||
IDENTITY_SECURITY_EVENTS_STALE_AFTER_SECONDS=180
|
||
IDENTITY_SECURITY_EVENTS_CLOCK_SKEW_SECONDS=60
|
||
```
|
||
|
||
OIDC 用户通过签名、Issuer、Audience、`tid`、Scope 和应用角色校验后，Gateway 可按当前 Active Revision 的策略创建本地业务投影。Web Console 使用公共 Client + PKCE + Gateway BFF Session；浏览器 JavaScript 只持有 HttpOnly 随机 Session Cookie。可选 SSF/CAEP 能力自动复用同一机器凭据，推送不健康时降级到 RFC 7662，内省也不可用时 OIDC Fail Closed。完整行为见 [统一认证运行时配置](docs/standard-identity-runtime-configuration.md)、[OIDC JIT 接入说明](docs/oidc-jit-provisioning.md)和 [SSF 会话撤销运行手册](docs/security/ssf-session-revocation.md)。
|
||
|
||
`pnpm dev` 会先创建数据库并执行 migration，然后并行启动：
|
||
|
||
- `api:dev`：通过 `scripts/go-watch.mjs` 运行 Go API，监听 `.go`、`go.mod`、`go.sum` 变化并自动重启后端进程；watcher 会按进程组终止旧的 `go run` 和其子进程，避免热更新时残留进程占用 API 端口。
|
||
- `web:dev`：Vite React dev server。
|
||
|
||
后端热更新可通过 `GO_WATCH_SHUTDOWN_GRACE_MS` 和 `GO_WATCH_RESTART_DELAY_MS` 调整旧进程退出等待时间与重启间隔。
|
||
|
||
## Docker Compose 一键部署
|
||
|
||
仓库内提供了面向 `linux/amd64` 的 Docker Compose 构建和部署脚本，会自动构建 API/Web 镜像、启动 PostgreSQL、执行数据库迁移，并验证 API 与 Web 是否可访问：
|
||
|
||
```bash
|
||
scripts/deploy-compose.sh
|
||
```
|
||
|
||
部署成功后默认访问地址：
|
||
|
||
- Web: `http://127.0.0.1:5178`
|
||
- API: `http://127.0.0.1:8088/healthz`
|
||
- Web 反代 API: `http://127.0.0.1:5178/gateway-api/healthz`
|
||
|
||
常用覆盖项：
|
||
|
||
```bash
|
||
AI_GATEWAY_IMAGE_TAG=2026.05.23-1 scripts/deploy-compose.sh
|
||
AI_GATEWAY_IMAGE_TAG=2026.05.23-1 AI_GATEWAY_PUSH=1 scripts/deploy-compose.sh
|
||
AI_GATEWAY_IMAGE_TAG=2026.05.23-1 scripts/deploy-compose.sh push
|
||
AI_GATEWAY_WEB_PORT=8080 AI_GATEWAY_API_PORT=18088 scripts/deploy-compose.sh
|
||
AI_GATEWAY_GO_PROXY='https://proxy.golang.org,direct' scripts/deploy-compose.sh
|
||
AI_GATEWAY_SKIP_BUILD=1 scripts/deploy-compose.sh
|
||
scripts/deploy-compose.sh down
|
||
scripts/deploy-compose.sh clean
|
||
```
|
||
|
||
默认镜像地址为：
|
||
|
||
- API: `registry.cn-shanghai.aliyuncs.com/easyaigc/ai-gateway:latest`
|
||
- Web: `registry.cn-shanghai.aliyuncs.com/easyaigc/ai-gateway-web:latest`
|
||
|
||
执行 `scripts/deploy-compose.sh push` 或设置 `AI_GATEWAY_PUSH=1` 时，会同时推送当前版本 tag 和 `latest`。当前版本 tag 优先使用 `AI_GATEWAY_IMAGE_TAG`；如果没有设置，则使用根 `package.json` 里的 `version`。
|
||
|
||
推送前需要先登录阿里云镜像仓库：
|
||
|
||
```bash
|
||
docker login --username=<your-aliyun-account> registry.cn-shanghai.aliyuncs.com
|
||
```
|
||
|
||
Web 容器的 Nginx 配置通过 bind mount 挂载自仓库文件 [docker/nginx.conf](docker/nginx.conf)，可直接修改该文件调整静态资源和 `/gateway-api` 反向代理配置。修改后执行以下命令使配置生效：
|
||
|
||
```bash
|
||
docker compose -f docker-compose.yml restart web
|
||
```
|
||
|
||
## 生产 CI/CD
|
||
|
||
Gitea Actions 会在隔离的 rootless DinD Runner 中对 Pull Request、`main` Push 和版本 Tag 执行完整质量门禁；Tag 使用独立的 `release-ci / verify-tag (push)` context，不能复用旧的 `main` 成功状态。源码 Job 没有宿主 Docker、`sudo` 或生产部署权限。部署仓的 root-owned dispatcher 只在相同 SHA 的 `main` 与 Tag context 都成功后，用固定命令构建并扫描镜像，再以 Registry digest 发布 `ai.51easyai.com`。安装 Runner、Fork PR 审批、发布验证和回滚步骤见 [生产 CI/CD 运行手册](docs/runbooks/production-ci-cd.md)，信任边界见 [ADR-001](docs/decisions/001-production-cicd.md)。
|
||
|
||
Compose 默认使用独立容器数据库 `postgres:18-alpine`，数据卷会保留在 `postgres_data` 和 `api_data`。为避免本地开发 `.env` 中的 `localhost` 数据库地址污染容器部署，compose 使用 `AI_GATEWAY_COMPOSE_*` 变量作为容器部署专用覆盖，例如：
|
||
|
||
```bash
|
||
AI_GATEWAY_COMPOSE_DATABASE_URL='postgresql://easyai:easyai2025@postgres:5432/easyai_ai_gateway?sslmode=disable' scripts/deploy-compose.sh
|
||
```
|
||
|
||
数据库迁移仍通过 `migrator` 容器执行，但脚本使用 `docker compose run --rm migrator`，迁移成功后不会留下 `migrator-1 Exited` 容器。
|
||
|
||
## OpenAPI 文档
|
||
|
||
修改 `apps/api/internal/httpapi` 下的接口、请求或响应类型后，请重新执行：
|
||
|
||
```bash
|
||
pnpm openapi
|
||
```
|
||
|
||
|
||
默认 EasyAI 部署里，`easyai-pgvector` 在容器网络内的连接串是：
|
||
|
||
```dotenv
|
||
AI_GATEWAY_DATABASE_URL=postgresql://easyai:easyai2025@easyai-pgvector:5432/easyai_ai_gateway?schema=public
|
||
```
|
||
|
||
宿主机直跑时需要使用宿主机可访问的 Postgres 地址。如果 `easyai-pgvector` 将 `5432` 映射到了本机，可使用：
|
||
|
||
```dotenv
|
||
AI_GATEWAY_DATABASE_URL=postgresql://easyai:easyai2025@localhost:5432/easyai_ai_gateway?sslmode=disable
|
||
```
|
||
|
||
如果现有 `easyai-pgvector` 没有把 `5432` 映射到宿主机，就需要补端口映射，或者把 AI Gateway 后端容器化后接入同一个 `easyai` Docker network。
|
||
|
||
## 迁移原则
|
||
|
||
1. 新服务先并行运行，不直接删除 `easyai-server-main` 内现有模块。
|
||
2. 身份域支持 `standalone`、`server-main`、`hybrid` 三种模式；独立模式由 Gateway 维护租户、用户、用户组、本地 API Key、余额和充值订单，接入模式从 `server-main` 同步租户、用户和用户组。
|
||
3. OpenAPI `sk-*` 校验、文件上传、扣费结算在接入模式下仍由 `server-main` 承担；独立模式走 Gateway 本地闭环。
|
||
4. 网关服务负责基准模型库、平台模型路由、用户组调用折扣、TPM/RPM/并发限流、任务队列、三方平台执行、任务进度事件和回调 outbox。
|
||
5. 切流时优先让 `server-main` 的 `OpenaiService` 变成薄门面，内部调用本服务。
|
||
|
||
详细设计见 [docs/design.md](docs/design.md)。
|