On PostgreSQL the logs table is a RANGE-partitioned table on created_at
owned by pg_partman; GORM AutoMigrate would alter its composite primary
key (id, created_at) and create redundant per-partition indexes,
breaking startup. Extract ensureLogTable() to skip AutoMigrate on
PostgreSQL (existence check only) while keeping the original behavior
on SQLite/MySQL. The dedicated LOG_SQL_DSN PostgreSQL branch follows
the same rule. Ship the matching postgres-partman image (Dockerfile +
01-partition.sql) that creates and maintains the partitioned table via
pg_partman + pg_cron.

Co-Authored-By: ZCode <noreply@anthropic.com>

Co-Authored-By: Codex <noreply@anthropic.com>

Co-Authored-By: Codex <noreply@anthropic.com>

Co-Authored-By: Codex <noreply@anthropic.com>

Co-Authored-By: Codex <noreply@anthropic.com>

Add two layers of defense:

1. Webhook availability guard (controller/payment_webhook_availability.go):
   - isStripeWebhookEnabled() checks StripeWebhookSecret != "" before processing
   - isCreemWebhookEnabled(), isWechatPayWebhookEnabled(), isAlipayWebhookEnabled()
   - isEpayWebhookEnabled() with similar checks for all payment webhooks
   - Applied to: StripeWebhook, CreemWebhook, WechatPayWebhook, AlipayPayWebhook,
     EpayNotify, SubscriptionEpayNotify

2. PaymentProvider field (model/topup.go):
   - New PaymentProvider field on TopUp to identify which gateway created the order
   - Recharge() checks PaymentProvider == PaymentProviderStripe
   - rechargeByQRCodePayment() checks PaymentProvider matches wechat/alipay
   - RechargeCreem() checks PaymentProvider == PaymentProviderCreem
   - All payment controllers set PaymentProvider when creating orders

Root cause: When StripeWebhookSecret was empty, ComputeSignature used
an empty HMAC key, allowing attackers to forge valid signatures and
complete orders from any payment gateway without actually paying.

Co-Authored-By: Claude <noreply@anthropic.com>

Co-Authored-By: Codex <noreply@anthropic.com>

前端新增 UsageLogExpandedDetail 点击展开面板和 BillingDetailSummary
hover 计费详情，后端修复 per_1m_tokens 任务结算日志的 completion_tokens
从零值改为写入 total_tokens 实际值。新增 taskBillingLogMerge 合并
任务预扣/结算日志。

Co-Authored-By: Claude <noreply@anthropic.com>

Co-Authored-By: Codex <noreply@anthropic.com>

- 为 user-migrations 管理路由增加仅 master 节点可访问的保护
- 为导入创建用户补充用户名、显示名、邮箱长度校验及测试
- 调整测试环境部署脚本，自动写入 CN/OV 的 NODE_TYPE

Co-Authored-By: Codex <noreply@anthropic.com>

Add candidate user selection and explicit_ids batch creation flow for overseas migration. Also add cancellable batches to release selected-user locks and extend backend, frontend, and e2e coverage for the new flow.

Co-Authored-By: Codex <noreply@anthropic.com>

Co-Authored-By: Codex <noreply@anthropic.com>

删除用户渠道倍率（UserChannelRatio）功能，清理全链路相关代码：
后端删除 model/controller/router 层实现，前端删除 UI 组件和计费展示逻辑。
同时恢复 Token 分组选择和价格侧边栏分组过滤器的注释代码。

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

Add unit tests for group ratio, cross-group retry, and price calculation:
- Group ratio CRUD and special ratio override (12 tests)
- HandleGroupRatio with auto-group and special ratios (5 tests)
- ModelPriceHelper with group ratio in price/ratio modes (3 tests)
- Channel selection priority, groups, weighted LB (6 tests)
- RetryParam and AutoGroup service logic (7 tests)

Also restore the group pricing card in model detail SideSheet.

Replace bytes.Replace with gjson.GetBytes+sjson.SetBytes in passthrough
mode to correctly handle JSON whitespace variations and avoid silently
sending empty body on read errors. Also add log search count limit to
prevent slow COUNT queries on large log tables.

Replace freeform endpoint JSON editing with a structured editor, keep advanced JSON mode, and make backend pricing parsing tolerate legacy array-form endpoint configs.

Co-Authored-By: Codex <noreply@anthropic.com>

Reject redemption requests from synced users, surface a localized API message, and cover both model- and controller-level paths with tests.

Co-Authored-By: Codex <noreply@anthropic.com>

- model/user.go: 新增 CreatedAt 字段，Insert 时自动填充
- UsersColumnDefs.jsx: 用户列表新增邮箱、注册时间列
- makefile: 新增 build-widget target

当开启端点格式限制后，不同协议的渠道只能通过对应的端点访问：
- Anthropic 渠道只能用 /v1/messages
- Gemini 渠道只能用 /v1beta/models/*
- OpenAI 系渠道只能用 /v1/chat/completions 等
- VertexAI/阿里云等支持多协议的渠道不受限

核心实现：EndpointFormatGuard 中间件从请求路径推导协议家族，
不依赖 gin context 中的 relay_format（因 group middleware 执行
时 context 中尚无此值）。

修复了 /v1/models/*path 和 /v1/engines/ 路径被错误归类为
openai 家族的 bug（实际是 Gemini 格式）。

单元测试 58 个，E2E 测试 15 个，覆盖：
- 路径分类边界（含 Gemini relay 路径修复验证）
- 渠道类型覆盖（含非 LLM 渠道透传）
- 并发安全、运行时开关切换
- 错误消息 JSON 结构和内容验证

- router/api-router.go: 修复删除路由后的缩进异常
- model/channel_pricing.go: 清理 Insert/Update/Delete 中遗留空行
- controller/relay_test.go: newTestContext 接收 *testing.T 参数并调用 t.Helper()

删除了用户通过 sk-{key}:{channelId} 指定渠道、Playground 下拉框选择渠道、
以及管理员设置默认渠道 (is_default) 的所有后端代码。

涉及修改：
- middleware/auth.go: 简化 parseTokenKey，移除 specific_channel_id 设置
- middleware/distributor.go: 移除指定渠道分发逻辑、默认通道检查、ModelRequest.ChannelId
- constant/context_key.go: 移除 ContextKeyTokenSpecificChannelId
- controller/playground_channels.go: 整个文件删除
- controller/relay.go: 移除 shouldRetry/shouldRetryTaskRelay 中的指定渠道跳过
- controller/channel.go: 移除 GetUserChannelsForBinding
- controller/channel_pricing.go: 移除 SetDefaultChannel/ClearDefaultChannel
- model/ability.go: 移除 GetModelChannelsForGroup
- model/channel.go: 移除 GetAllChannelsForBinding
- model/channel_pricing.go: 移除默认通道缓存及所有相关函数
- model/pricing.go: 移除 DefaultChannelName 字段
- router/api-router.go: 移除 4 条路由
- i18n: 移除 channel.id_format_error 和 distributor.invalid_channel_id

两个独立功能：

1. Relay Capture：对开启 capture_relay 的用户记录完整请求/响应到本地文件
   - 单 writer goroutine + 128 槽 channel 架构，无 OOM 风险
   - 支持流式 SSE 和非流式请求
   - 30s 超时保护

2. User-Model RPM Rate Limiting：按 用户+模型 维度的 RPM 限流
   - Redis 令牌桶 + 内存滑动窗口双路径，Redis 故障自动降级
   - 请求失败时退还令牌/配额（Redis Refund Lua 脚本 + 内存 Refund）
   - Redis pipeline 错误处理：失败时清理缓存 key
   - 前端用户编辑弹窗新增模型限流配置面板

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

使用注释方式隐藏分组列和分组倍率标签，便于后续恢复：
1. 注释 UsageLogsColumnDefs.jsx 中的分组列定义
2. 注释 useUsageLogsData.jsx 中的 COLUMN_KEYS.GROUP 和默认可见性配置
3. 将计费详情中的"分组倍率"改为"倍率"

后端计费逻辑不变，仍正常应用分组倍率。

Co-Authored-By: Claude Sonnet 4 <noreply@anthropic.com>

登录用户查看渠道定价时，按用户分组倍率和渠道个人倍率计算实际折扣价
并在价格列展示划线原价与折扣价，新增 /pricing/user/*model 接口。

Co-Authored-By: Claude Sonnet 4 <noreply@anthropic.com>

为每个用户添加独立于全局定价的倍率乘数，支持按 (userId, model, channel) 三维
精确控制用户级别定价。倍率以乘法叠加在现有 modelRatio × groupRatio 之上。

- 新增 user_channel_ratios 表，写入内存缓存（写穿透模式）
- 新增 /api/user_channel_ratio/ CRUD API（AdminAuth）
- 计费路径集成：compatible_handler、PostClaudeConsumeQuota、
  PostWssConsumeQuota、PostAudioConsumeQuota、calculateAudioQuota
- 前端：EditUserModal 内嵌 UserRatioSection 组件
- 修复 Update() 缓存 key 零值 bug（先加载再更新）
- 修复 PreWssConsumeQuota 缺少 UserChannelRatio 导致归零
- 修复 ModelPriceHelperPerCall 缺少默认值 1.0

Co-Authored-By: Claude <noreply@anthropic.com>

GetPendingRecordsForSync 添加 quota > 0 过滤条件，避免因上游超时
产生的 quota=0 旧记录（4月29日网络超时遗留）占满批次，阻塞新
的正常的扣费同步到 master 节点。

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

为 Channel 模型新增 public_name 字段，让管理员可以为每个渠道
设置用户可见的友好名称（如"标准通道"、"高速通道"），替代前端
硬编码的"通道一/二/三"。Playground 通道选择器展示对外名称，
"渠道"统一改为"通道"。新建渠道时对外名称必填，编辑时可选。

Co-Authored-By: Claude <noreply@anthropic.com>

- 新增 /api/user/model_channels 接口，返回模型可用渠道及默认渠道
- Playground 设置面板添加渠道选择下拉框
- Distribute 中间件支持从请求体读取 channel_id 指定渠道
- 支持 URL 参数 ?model=xxx 直接选择模型

Co-Authored-By: Claude <noreply@anthropic.com>

同步用户(synced)的实际余额存储在 synced_quota 字段，
但用户列表/详情接口返回的是 quota 字段（值为 0）。
新增 ApplySyncedQuota 方法，在 API 返回前将 synced_quota
赋值给 quota，使前端能正确显示余额。

同时优化 GetUserModels：map 去重替代 O(n) 线性扫描，
禁用模型查询移至 model 层，新增 StringsSubtract 工具函数。

Co-Authored-By: Claude <noreply@anthropic.com>

管理员可在用户管理页面配置「邮箱后缀→初始额度」映射规则，
用户注册时根据邮箱后缀自动匹配并发放对应额度（替代默认额度）。

- 新增 email_quota_rule 数据表 + CRUD API（管理员权限）
- 内存缓存匹配，启动时加载，增删改时刷新
- 注册流程 Insert/InsertWithTx/FinalizeOAuthUserCreation 同步支持
- 前端用户管理页新增 Tab 展示规则管理卡片
- 含 24 个测试（model 16 + controller 8）

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

- 后端：新增 GET /api/captcha 接口，使用 base64Captcha 生成图片验证码
- 后端：发送邮箱验证码时校验图片验证码（CaptchaEnabled 开关控制）
- 前端：注册表单邮箱验证码前增加图片验证码输入，支持点击刷新
- 管理后台：系统设置新增「图片验证码」开关

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

之前有 meta 记录但 sort_order=999999 的模型排在没 meta 记录的模型前面，
导致部分"未设置排序"的模型仍然挤在前面。现在统一处理：不论是否有
meta 记录，sort_order=999999 的都视为未设置，排在后面。

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

未设置排序的记录 sort_order=999999 自然排在后面，无需 CASE WHEN。
- GORM 默认值 default:0 → default:999999
- 数据库迁移：将现有 sort_order=0 的记录更新为 999999
- 回退 CASE WHEN 排序逻辑，恢复简单的 sort_order ASC, id ASC
- 前端编辑弹窗默认值同步改为 999999
- 表格列中 999999 显示为空（表示未设置）

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

模型和供应商查询统一排序规则：sort_order=0 视为未设置排到最后，
非0值按升序排列。涉及 GetAllModels、SearchModels、GetAllVendors、
SearchVendors 以及 pricing 的内存排序。

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

- vendorsList 按 vendor.SortOrder 升序排列，相同则按 ID 排序
- pricingMap 按 model.SortOrder 升序排列，相同则按模型名字典序
- 修复默认通道设置的 API 错误响应未正确展示的问题

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>