hectorzhao/lisglosips
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
5fa1bd35e97cd21b8ffa618369ac9dd344d128af
lisglosips/IMPLEMENTATION_STATUS.md
T

569 lines
107 KiB
Markdown
Raw Blame History

This file contains ambiguous Unicode characters
This file contains Unicode characters that might be confused with other characters. If you think that this is intentional, you can safely ignore this warning. Use the Escape button to reveal them.
# LisgloSIPS V2 实施状态
> 本文件用于跨 Codex 会话持续交接。每次新会话开始必须先读取本文件和 `SOFTSWITCH_PLATFORM_DESIGN_V2.md`；每次任务完成、失败或被阻塞后必须更新本文件。
## 当前状态
- 当前任务：无，S00-S30 本地 V2 闭环已完成
- 总体状态：S30 已完成；本地 KVM 开发环境 V2 闭环冻结在 `s28-v2-20260621220924`，阿里云迁移前需按 S30 Runbook 重新演练
- 最后更新：2026-06-22 10:35 +08:00
- 当前阻塞：无。遗留风险为 Redis 恢复后 OpenSIPS 热路径可能需要重启 `opensips` 才恢复，已纳入 S30 Runbook，根因级修复需后续单独处理。
- 当前环境：A/B/T 为本地 KVM 开发服务器，通过 Tailscale 联调；开发完成后再迁移阿里云
- 私密访问资料：`.codex-private/SERVER_ACCESS.md`，只在实际连接时读取，禁止回显
## 服务器索引
| 代号 | 地址 | 用户 | 用途 |
| --- | --- | --- | --- |
| A | `100.90.90.90` | `hector` | OpenSIPS、RTPEngine、录音内存盘、HEP、Exporter |
| B | `100.90.90.91` | `hector` | API、Worker、Redis、MySQL、录音、HOMER、Prometheus/Grafana |
| T | `100.93.185.30` | `hector` | 已安装 OpenSIPS，模拟客户 SIP 注册与呼叫 |
## 任务状态表
状态只能使用：`待开始`、`进行中`、`已完成`、`已阻塞`、`已跳过`。
| ID | 任务 | 状态 | 主要产物/验收 |
| --- | --- | --- | --- |
| S00 | SSH 安全接入与凭据迁移 | 已完成 | 三机 SSH Key、密码轮换、访问验证、访问 Runbook；后续 SSH 加固只调整管理端口并保留 Key 登录 |
| S01 | 三机只读资产盘点 | 已完成 | `docs/inventory-A.md`、`inventory-B.md`、`inventory-T.md`、汇总报告 |
| S02 | 网络与安全组验收 | 已完成 | `docs/infra-check.md`，含本地端口矩阵和未来阿里云安全组清单 |
| S03 | Server B 基础系统初始化 | 已完成 | `docs/SERVER_B_BASELINE_RUNBOOK.md`、`infra/server-b/s03/`、远端备份 |
| S04 | Server B MySQL 与 Redis | 已完成 | `docs/SERVER_B_DATA_SERVICES_RUNBOOK.md`、`infra/server-b/s04/`、备份恢复演练 |
| S05 | Server B Node.js、Nginx 与 TLS 基线 | 已完成 | `docs/SERVER_B_WEB_RUNTIME_RUNBOOK.md`、`infra/server-b/s05/`、HTTPS 与重启验收 |
| S06 | Server B HOMER 与基础监控 | 已完成 | HEP 接收、HOMER API、Prometheus、Grafana、exporters、A Node Exporter |
| S07 | V2 后端 Monorepo 骨架 | 已完成 | NestJS/Fastify/Prisma、日志、配置、健康检查、测试框架；本地和 B 均可构建 |
| S08 | 数据库 Schema 与迁移 | 已完成 | Prisma Schema、初始化迁移、内置角色/权限种子、B 临时空库迁移和备份恢复测试 |
| S09 | 登录认证基础 | 已完成 | 登录、刷新、退出、Argon2id、Session/Token 安全 |
| S10 | 用户、角色、权限与审计 | 已完成 | RBAC、内置角色保护、重置密码、审计拦截器 |
| S11 | 客户管理 API | 已完成 | 客户 CRUD、启停、余额/授信读取、单元与集成测试 |
| S12 | 充值与不可变余额流水 | 已完成 | 客户/供应商充值、幂等、事务、审计、并发测试 |
| S13 | 客户网关 API | 已完成 | IP/SIP 注册认证配置、启停、密码安全存储 |
| S14 | 客户网关策略与 Redis 配置发布 | 已完成 | 主被叫匹配、优先级、Outbox、配置版本和回滚 |
| S15 | 供应商管理 API | 已完成 | 供应商 CRUD、余额/授信、启停 |
| S16 | 落地网关 API | 已完成 | CPS/并发/时段/编码/号码转换/周期费率/启停 |
| S17 | 落地线路组 API | 已完成 | 成员增删、优先级重排、并发汇总、完整性校验 |
| S18 | Server A OpenSIPS 基线 | 已完成 | 15060、认证、防扫描、MI 本地绑定、Redis/HEP 模块 |
| S19 | Server A RTPEngine 与录音 tmpfs | 已完成 | 内核转发、RTP 端口段、3 GiB tmpfs、录音 ready 规则 |
| S20 | Server A Redis 热路径与 HEP/指标 | 已完成 | Lua 原子检查、配置读取、HEP 9060、Node Exporter |
| S21 | Server T 客户模拟配置 | 已完成 | IP/SIP 注册两套测试账号、呼叫脚本、失败场景脚本 |
| S22 | CDR Redis Stream | 已完成 | 标准事件、XADD/XREADGROUP、ACK、Pending、死信、幂等 |
| S23 | 最小计费与余额扣减 | 已完成 | Decimal 计费、客户费用/成本、重复 CDR 不重复扣费 |
| S24 | 录音搬运与播放 | 已完成 | A->B 私网搬运、校验、Range、权限、源文件安全删除 |
| S25 | 质检后端 | 已完成 | 抽检规则、稳定抽样、录音详情、质检保存和审计 |
| S26 | Dashboard 聚合 | 已完成 | 实时占位/聚合指标、趋势、失败码、异常网关、待质检 |
| S27 | React Demo 接入真实 API | 已完成 | API Client、核心运营页真实 API、错误/加载/空状态 |
| S28 | 三机端到端联调 | 已完成 | T 发起呼叫，A 转发录音，B 出 CDR/费用/信令/质检 |
| S29 | 性能、故障与安全测试 | 已完成 | CPS/并发/录音、Redis/MySQL/Worker 故障、越权与重放 |
| S30 | 备份、Runbook、灰度与上线 | 已完成 | 恢复演练、上线/回滚脚本、灰度记录、验收报告 |
## 每次新会话的固定开场指令
可直接向 Codex 发送：
```text
请先读取 SOFTSWITCH_PLATFORM_DESIGN_V2.md、IMPLEMENTATION_STATUS.md，
以及本任务关联的现有脚本/代码。只执行状态文件里的当前任务，不提前执行后续任务。
开始前复核上次交接记录；涉及服务器写操作、服务重启、防火墙、密码、数据库迁移或数据删除时先说明影响和回滚点。
完成后运行验收检查，并更新 IMPLEMENTATION_STATUS.md 的任务状态、产物、验证结果、遗留问题和下一任务。
```
## 单任务交接记录模板
每完成一个任务，在本节顶部新增记录：
```markdown
### YYYY-MM-DD HH:mm - Sxx 任务名称
- 状态：已完成 / 已阻塞
- 操作服务器：A / B / T / 本地
- 完成内容：
- 修改文件：
- 安装软件及固定版本：
- 执行的关键命令：只记录无密码版本
- 验证结果：
- 回滚方式：
- 未解决问题：
- 下一任务：Sxx
```
## 交接记录
### 2026-06-22 10:35 - S30 备份、Runbook、灰度与上线完成
- 状态：已完成
- 操作服务器：A、B、T、本地
- 完成内容：完成 S30 本地 KVM 开发环境上线前冻结与演练。新增 S30 总控 Runbook、最终验收报告、B release preflight/rollback 脚本和 A OpenSIPS 配置恢复脚本；触发 B MySQL/Redis 新备份并完成隔离恢复演练；使用 T 发起灰度呼叫并核对 B raw CDR、rated CDR 和 READY 录音；实际运行 B preflight；A OpenSIPS 当前配置语法检查通过；三机关键服务最终复核 active。
- 修改文件：`IMPLEMENTATION_STATUS.md`、`docs/S30_RELEASE_BACKUP_RUNBOOK.md`、`docs/S30_FINAL_ACCEPTANCE_REPORT.md`、`infra/server-b/s30/lisglosips-release-preflight.sh`、`infra/server-b/s30/lisglosips-release-rollback.sh`、`infra/server-a/s30/lisglosips-opensips-config-restore.sh`
- 安装软件及固定版本：未安装新系统软件；继续使用 OpenSIPS `3.6.x`、RTPEngine `11.5.1.18-1ubuntu1.2`、Node.js `v22.22.2`、pnpm `10.33.0`、Prisma `6.19.0`、MySQL `8.0.46`、Redis `7.0.15`
- 执行的关键命令：B `systemctl start lisglosips-backup.service`、MySQL 备份恢复到临时库 `lisglosips_s30_restore`、Redis RDB 恢复到隔离 Unix socket 临时实例、`bash -n` 检查 S30 脚本、`/tmp/lisglosips-release-preflight.sh` preflight；A `opensips -C -f /etc/opensips/opensips.cfg`；T `/opt/lisglosips-s28/lisglosips-s28-sip.py invite --timeout 12 --hold 3`。所有 sudo/数据库/API secret 均从 `.codex-private/` 或远端 env 读取并只在进程内使用，未写入文档。
- 验证结果：MySQL 备份 `/data/backups/mysql/20260622T022811Z` 的 `all-databases.sql.gz`、`lisglosips.sql.gz`、`metadata.tsv` 校验通过，临时库恢复计数 `raw_cdrs=33`、`recordings=27`、`customer_recharges=34`、`users=2` 后已删除；Redis 备份 `/data/backups/redis/20260622T022812Z` 的 `dump.rdb`、`metadata.txt` 校验通过，隔离实例核对 `DBSIZE=51`、`stream:cdr_payload=54`、`cfg:active_version=s28-v1` 后已关闭并清理。灰度 Call-ID `s28-1782095548702-luppqjd4@lisglosips-t` 收到 SIP `100/200/BYE 200`，B 生成 raw `raw_7a6356cc76974652aa30a9d7a350041b`、rated `rated_e0eb8cbe1b90454cb3cf2d9a3bbc9290`、`billSec=6`、客户费用/供应商成本均 `0.012000`、录音 `rec_5fdf599d679f493a83fc7a2d205a128a` 为 `READY` 且 55758 bytes。B preflight 通过，A/B/T 关键服务最终 active，S30 文档/脚本未检出待补充或明文 secret。
- 回滚方式：B 应用按 `docs/S30_RELEASE_BACKUP_RUNBOOK.md` 使用 `infra/server-b/s30/lisglosips-release-rollback.sh /opt/lisglosips/releases/<previous-release>` 切回上一 release；A OpenSIPS 配置按 `infra/server-a/s30/lisglosips-opensips-config-restore.sh <backup-opensips.cfg>` 先语法检查再恢复；Redis 配置切回上一 `cfg:active_version`，不删除 Stream；数据库优先向前修复迁移，只有完整备份和维护窗口下才恢复数据。S30 产生的测试 CDR、录音和备份作为验收证据保留。
- 未解决问题：本地开发环境不是阿里云生产环境；正式迁移前必须重新完成 VPC/安全组、正式 DNS/TLS、独立数据盘、备份恢复、故障注入和端到端呼叫验收。S29 遗留 Redis 恢复后 OpenSIPS 热路径可能需要重启 `opensips` 的根因级修复仍需后续单独处理；真实多 A、多 B、高可用和完整生产路由不属于本地 S30 闭环。
- 下一任务：无；S00-S30 本地 V2 闭环完成，后续应按 S30 Runbook 进入阿里云迁移/生产化专项
### 2026-06-22 10:25 - S29 性能、故障与安全测试完成
- 状态：已完成
- 操作服务器：A、B、T、本地
- 完成内容：完成本地 KVM 开发环境内的 S29 小规模性能、故障与安全测试。5 路并发和 12 路短突发呼叫均完成 SIP 100/200/BYE 200、CDR、计费、录音 READY 入库；Recording Worker 停止期间的录音恢复、CDR Worker 停止期间的 Redis pending 恢复均通过；Redis 停止期间 A 正确返回 `503 Redis Unavailable`，恢复后发现 OpenSIPS 热路径连接不自动恢复，已通过重启 A `opensips` 做运行时恢复并复测成功；MySQL 停止期间发现 CDR 被 deadletter 的可恢复性缺陷，已修复并部署到 B 当前 release，复测 MySQL 恢复后 pending CDR 自动入库且无新增 deadletter；完成 API 未认证、RBAC 越权、录音播放保护、充值幂等重放和 SIP 非法来源探针。S29 报告已写入 `docs/S29_PERFORMANCE_FAULT_SECURITY_REPORT.md`。
- 修改文件：`IMPLEMENTATION_STATUS.md`、`docs/S29_PERFORMANCE_FAULT_SECURITY_REPORT.md`、`infra/server-t/s28/lisglosips-s28-sip.py`、`packages/redis/src/cdr-stream.ts`、`packages/redis/src/cdr-stream.spec.ts`、`apps/worker-cdr/src/main.ts`、`apps/worker-cdr/src/rating.ts`；T 的 `/opt/lisglosips-s28/lisglosips-s28-sip.py`；B 当前 release `/opt/lisglosips/releases/s28-v2-20260621220924/apps/worker-cdr/` 与 `/opt/lisglosips/releases/s28-v2-20260621220924/packages/redis/`
- 安装软件及固定版本：未安装新系统软件；继续使用 OpenSIPS `3.6.x`、RTPEngine `11.5.1.18-1ubuntu1.2`、Node.js `v22.22.2`、pnpm `10.33.0`、Prisma `6.19.0`
- 执行的关键命令：本地 `corepack pnpm@10.33.0 exec vitest run packages/redis/src/cdr-stream.spec.ts apps/worker-cdr/src/rating.spec.ts`、`corepack pnpm@10.33.0 --filter @lisglosips/redis build`、`corepack pnpm@10.33.0 --filter @lisglosips/worker-cdr build`；T 多路 `/opt/lisglosips-s28/lisglosips-s28-sip.py invite --timeout 10 --hold 1/3`；B/A 使用 `systemctl stop/start/restart` 做受控故障注入和恢复；B 通过 API 与 Prisma 只读/小额写入探针核对 RBAC、录音播放保护和充值幂等。所有 sudo/数据库/API secret 均从 `.codex-private/` 或远端 env 读取并只在进程内使用，未写入文档。
- 验证结果：5 路并发生成 5 条 raw CDR、5 条 rated CDR、5 条 READY 录音；12 路短突发生成 `raws=12`、`rated=12`、`recordingsReady=12`、`totalDuration=72`、录音大小 `55758-56078` bytes；Recording Worker 恢复后补搬运录音；CDR Worker 恢复后 Redis `pending=0`、`lag=0` 并入库；MySQL 故障修复后复测 Call-ID `s28-1782093477852-a8bqqohb@lisglosips-t` 自动入库 raw/rated CDR，无新增 deadletter；API `/api/v2/users` 未认证返回 `401 AUTH_REQUIRED`，质检角色访问用户管理返回 `403 RBAC_FORBIDDEN`，录音播放未认证返回 `401 AUTH_REQUIRED`，伪造录音 ID 播放返回 `404 RECORDING_NOT_READY`；充值重放两次返回同一充值 ID `rch_da0bba1c7b1d44428ab92d77a55e503d`，数据库 `customer_recharges.rows=1`、`idempotency_keys.rows=1`，余额只增加 `0.000001` 一次；B 实际 Prometheus 服务 `lisglosips-prometheus.service` active 且 ready；A/B/T 关键服务复核 active。
- 回滚方式：T 可恢复 S29 前 `/opt/lisglosips-s28/lisglosips-s28-sip.py` 或继续使用修复后的动态端口脚本；B 可用本次部署前保留在 `/tmp/s29-worker-cdr-backup-*` 与 `/tmp/s29-redis-backup-*` 的备份恢复 worker-cdr 与 packages/redis 后重启 `lisglosips@cdr-worker`；A Redis 故障恢复只做过服务重启，无配置文件改动。S29 产生的测试 CDR、录音、充值、幂等键和测试用户作为审计证据保留，不直接删除；如需清理应单独说明影响与回滚点。
- 未解决问题：Redis 恢复后 A/OpenSIPS 热路径不会自动从 `Redis Unavailable` 恢复，当前运行时修复是重启 A `opensips`，根因级修复需继续排查 OpenSIPS Redis 连接池/重连策略；SIP 非法来源探针表现为无响应且未进入 OpenSIPS 日志，后续建议增加明确拒绝日志/指标；S29 期间 Tailscale 管理链路出现短时高延迟/丢包，记录为开发环境风险；真实多 A、多 B 和完整生产路由仍不在本任务范围。
- 下一任务：`S30 - 备份、Runbook、灰度与上线`，尚未开始
### 2026-06-22 09:32 - S28 三机端到端联调完成
- 状态：已完成
- 操作服务器：A、B、T、本地
- 完成内容：补齐 S28 剩余录音与质检闭环。T 呼叫脚本新增双向 PCMU RTP 发送，UAS 在 200 OK 后向 A/RTPEngine 回送 RTP，主叫侧在 ACK 后向应答 SDP 媒体地址发送 RTP；A 的 S28 OpenSIPS 路由启用 `record-call=on`，保持 INVITE/ACK/BYE 经原 A，仍绑定本机 RTPEngine；修正 A `/dev/shm/voip_rec` 历史 root-owned 日期目录权限；修复 A recording finalizer 过早搬运问题，跳过 0 字节、仍被打开或未稳定的录音文件；B Recording Worker 新增按 RTPEngine 文件名反解 Call-ID 的 fallback 关联逻辑，使录音可自动关联 `raw_cdrs`，从而让质检抽样按客户/线路组命中。新增 S28 质检测试用户 `usr_s28_quality`、抽检规则 `qs_s28_e2e_20260622`，并通过 API 保存最新录音质检记录。
- 修改文件：`infra/server-t/s28/lisglosips-s28-sip.py`、`infra/server-a/s28/opensips.cfg`、`infra/server-a/s19/scripts/lisglosips-recording-finalize`、`apps/worker-recording/src/transfer.ts`、`apps/worker-recording/src/transfer.spec.ts`、`IMPLEMENTATION_STATUS.md`；A 的 `/etc/opensips/opensips.cfg`、`/usr/local/sbin/lisglosips-recording-finalize` 和 `/dev/shm/voip_rec` 目录属主/权限；T 的 `/opt/lisglosips-s28/lisglosips-s28-sip.py`；B 当前 release `/opt/lisglosips/releases/s28-v2-20260621220924/apps/worker-recording/` 的源码与 dist 产物
- 安装软件及固定版本：未安装新系统软件；继续使用 OpenSIPS `3.6.x`、RTPEngine `11.5.1.18-1ubuntu1.2`、Node.js `v22.22.2`、pnpm `10.33.0`、Prisma `6.19.0`
- 执行的关键命令：本地 `corepack pnpm@10.33.0 exec vitest run apps/worker-recording/src/transfer.spec.ts`、`corepack pnpm@10.33.0 --filter @lisglosips/worker-recording build`；A `opensips -C -f /tmp/opensips-s28.rendered.cfg` 后重启 `opensips`，更新 finalizer 后保持 timer active；T `/opt/lisglosips-s28/lisglosips-s28-sip.py invite --timeout 10 --hold 3`；B 替换 worker-recording 产物并重启 `lisglosips@recording-worker`，通过 MySQL 和 API 只读/写入测试核对。所有 sudo/数据库/API secret 均从 `.codex-private/` 或远端 env 读取并只在进程内使用，未输出或写入明文密码。
- 验证结果：最终验收 Call-ID `s28-1782091725991-ewqrpe7w@lisglosips-t`；T 收到 `100 Giving it a try`、`200 OK`、BYE `200 OK`；B `raw_cdrs` 生成 `raw_aa6cbaf7758f41ea895a2889f558559d`，`duration_sec=6`、`rating_status=RATED`；`rated_cdrs` 对应客户费用和供应商成本均为 `0.012000`、`bill_sec=6`；B `recordings` 生成 `rec_24b56d60dfd14937ae2e4c09802a91be`，自动关联该 raw CDR，`status=READY`、`bytes=55758`、SHA-256 前缀 `e2cfaf8c7bbc6023`；API `/api/v2/health/ready` 返回 ok，`GET /api/v2/recordings/rec_24b56d60dfd14937ae2e4c09802a91be` 返回 customer/lineGroup/callId/CDR 摘要，抽样规则 `qs_s28_e2e_20260622` 命中 `selected=true`，`PUT /api/v2/recordings/:id/review` 成功保存 `qrev_9672ee20119049a1a56082c35dc42e0f`，`GET /play` 返回 `200`、`content-type: audio/wav` 和内部 `x-accel-redirect`。A `opensips`、`rtpengine-daemon`、`rtpengine-recording-daemon`、`lisglosips-recording-finalize.timer` active；B `lisglosips@api`、`lisglosips@cdr-worker`、`lisglosips@recording-worker`、`mysql`、`redis-server`、`heplify-server` active；T `lisglosips-s28-uas`、`opensips` active。
- 回滚方式：T 回滚恢复或删除 `/opt/lisglosips-s28/lisglosips-s28-sip.py`，停止 `lisglosips-s28-uas.service`；A 回滚可用 `/var/backups/lisglosips-s28/20260621T145920Z/opensips.cfg` 恢复 `/etc/opensips/opensips.cfg` 并语法检查后重启 `opensips`，finalizer 可恢复 S24 备份 `/var/backups/lisglosips-s24/20260621T121130Z/lisglosips-recording-finalize`，但旧脚本会重现提前搬运风险；B 回滚可将 worker-recording 产物恢复到本次替换前的 release 版本或把 `/opt/lisglosips/current` 指回前一 release 后重启相关服务。测试 CDR、余额流水、录音和质检记录作为验收证据保留，不直接删除；如必须清理，应另开维护步骤并先说明影响与回滚点。
- 未解决问题：A 当前仍是 S28 单一测试落地端最小路由，不是完整多落地网关生产路由；录音 `duration_sec` 仍为 0，后续可在 Recording Worker 中读取 WAV 时长或由媒体侧补充；S28 调试期间存在一条 0 字节早期录音 `rec_f9b1457861444d4ebbddc11adb208d13` 作为问题证据保留；多 A 真实部署和多 B 高可用仍留给后续阶段。
- 下一任务：S29 - 性能、故障与安全测试
### 2026-06-21 23:06 - S28 三机端到端联调推进
- 状态：进行中
- 操作服务器：A、B、T、本地
- 完成内容：将 B 从 S05 placeholder 发布为完整 V2 release `/opt/lisglosips/releases/s28-v2-20260621220924`，`/opt/lisglosips/current` 已切换到该 release；执行业务库迁移，补齐 `20260621093000_auth_sessions` additive 迁移记录，权限/角色种子已落库；`lisglosips@api` 和 `lisglosips@cdr-worker` active，API `/api/v2/health/live` 与 `/api/v2/health/ready` 返回 ok；补齐 B 录音拉取 `/etc/lisglosips/recording/ssh_config`，`lisglosips@recording-worker` 已恢复 active。新增 S28 测试业务数据：客户 `cus_s28_t`、客户网关 `cgw_s28_t_ip`、供应商 `ven_s28_t`、落地网关 `vgw_s28_t_uas`、线路组 `llg_s28_t` 和策略 `cgp_s28_t_default`；Redis 热路径配置版本为 `s28-v1`。在 T 部署专用落地模拟服务 `lisglosips-s28-uas.service`，监听 `100.93.185.30:50620`，只终结呼叫不回送 A，避免循环。A 部署 S28 最小真实路由：Lua 热路径 allow 后执行 RTPEngine offer/answer、转发到 T 专用落地端、写成功 CDR 到 Redis Stream，并为 T 源 IP 的 ACK/BYE 添加 fallback，确保回到原 A 后转给 T 落地端。
- 修改文件：`infra/server-t/s28/lisglosips-s28-sip.py`、`infra/server-a/s28/opensips.cfg`、`pnpm-lock.yaml`、`IMPLEMENTATION_STATUS.md`；B 的 `/opt/lisglosips/releases/s28-v2-20260621220924`、`/etc/lisglosips/api.env`、`/etc/lisglosips/cdr-worker.env`、`/etc/lisglosips/recording-worker.env`、`/etc/lisglosips/recording/ssh_config`、`/etc/systemd/system/lisglosips@recording-worker.service.d/10-s28-recording.conf`；T 的 `/opt/lisglosips-s28/lisglosips-s28-sip.py` 和 `/etc/systemd/system/lisglosips-s28-uas.service`；A 的 `/etc/opensips/opensips.cfg`
- 安装软件及固定版本：未安装新系统软件；B 继续使用 Node.js `v22.22.2`、Corepack `0.34.6`、pnpm `10.33.0`、Prisma `6.19.0`
- 执行的关键命令：本地 `corepack pnpm@10.33.0 install --lockfile-only`、`corepack pnpm@10.33.0 build`、`corepack pnpm@10.33.0 prisma:validate`、`corepack pnpm@10.33.0 fetch`；B 端离线 `pnpm install --frozen-lockfile --offline --ignore-scripts`、MySQL 迁移/种子、systemd restart/enable；A `opensips -C -f /tmp/opensips-s28.rendered.cfg` 后重启 `opensips`；T 启动 `lisglosips-s28-uas.service`。凭据均从 `.codex-private/` 读取并通过 stdin/base64 参数传递，未写入文档或输出明文密码。
- 验证结果：最终候选呼叫 Call-ID `s28-1782054233152-f4eiz799@lisglosips-t`；T 收到 `100 Giving it a try`、`200 OK`，随后 BYE 返回 `200 OK`；A 日志显示 hotpath allow、成功 CDR XADD `1782054232944-0`、ACK/BYE 均从 T 回到 A；RTPEngine session 最终回到 0；B MySQL `raw_cdrs` 生成 `raw_2903404fa10b47a6a4b7968e3662cdd5`，`sip_code=200`、`hangup_reason=NORMAL_CLEARING`、`customer_id=cus_s28_t`、`vendor_gateway_id=vgw_s28_t_uas`、`duration_sec=6`；`rated_cdrs` 生成客户费用/供应商成本 `0.012000`、计费秒数 `6`；客户 `cus_s28_t` 余额扣减到 `99.928000`（包含本次和前面 S28 调试成功 CDR）；HOMER `hep_proto_1_call` 可查到该 Call-ID 的 `INVITE`、`ACK`、`BYE`；B API ready ok，`lisglosips@api`、`lisglosips@cdr-worker`、`lisglosips@recording-worker` 均 active；T S28 UAS active。
- 回滚方式：B 回滚先停止 `lisglosips@cdr-worker` 和 `lisglosips@recording-worker`，将 `/opt/lisglosips/current` 指回备份记录中的 S05 placeholder release，并重启 `lisglosips@api`；B 迁移前备份位于 `/var/backups/lisglosips-s28/20260621T140940Z`，如需撤回数据库写入应走备份恢复或受控反向账务处理，不直接删除 CDR/余额流水。A 回滚使用 `/var/backups/lisglosips-s28/20260621T145920Z/opensips.cfg` 恢复 `/etc/opensips/opensips.cfg`，语法检查后重启 `opensips`。T 回滚停止并删除 `lisglosips-s28-uas.service` 和 `/opt/lisglosips-s28`。Redis 配置可将 `cfg:active_version` 切回 `cfg:previous_version` 或清理 `s28-v1` 测试 keys，清理前需确认没有后续测试依赖。
- 未解决问题：本次 T 脚本只做 SIP/SDP，不发送 RTP 音频包，因此 RTPEngine 未产生真实录音文件；Recording Worker 虽已 active，但尚未完成真实通话 `.ready` 文件搬运、`recordings` 入库和质检抽样/保存核对。S28 仍需补“RTP 音频生成 -> A 录音 ready -> B Recording Worker 入库 -> 质检接口核对”后才能标记已完成。当前 A 配置中的 S28 路由是单一测试落地端 fallback，不是完整多落地网关生产路由。
- 下一任务：继续 `S28 - 三机端到端联调`，补齐录音和质检闭环；不得进入 S29。
### 2026-06-21 21:47 - S28 三机端到端联调
- 状态：已阻塞
- 操作服务器：A、B、T；仅执行一次 S28 测试 INVITE 和只读核对，未修改服务器配置，未重启服务，未执行数据库迁移、数据删除或防火墙变更
- 完成内容：按 S28 目标先做三机链路探针。T 使用 S21 脚本向 A `100.90.90.90:15060` 发起 IP 认证 INVITE，Call-ID 为 `s21-invite-1782049439554-088rul75@lisglosips-t`；A 返回 `SIP/2.0 503 Config Missing`；A OpenSIPS 日志确认热路径拒绝原因为 `CONFIG_MISSING`，并成功向 B Redis Stream 写入失败 CDR；B Redis Stream `stream:cdr_payload` 可按 Call-ID 查到该事件，字段包含 `node_id=a1`、`opensips_instance=opensips-a1`、`ingress_a_ip=100.90.90.90`、`rtpengine_node=a1`、`sip_code=503`、`hangup_reason=CONFIG_MISSING`；B HOMER `hep_proto_1_call` 最近记录的 `sid` 与 `data_header.callid` 均为该 Call-ID，`data_header.method=INVITE`，说明 HEP 信令镜像入库正常。
- 修改文件：`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新软件
- 执行的关键命令：T `/opt/lisglosips-s21/s21-call-a-ip`；A `journalctl -u opensips --since '10 minutes ago'` 按 Call-ID 查询；B `redis-cli XREVRANGE stream:cdr_payload` 按 Call-ID 查询；B PostgreSQL `homer_data.hep_proto_1_call` 只读查询；B 本机 API/数据库只读探针。所有凭据均从 `.codex-private/` 读取并通过 stdin 使用，未输出明文密码。
- 验证结果：T->A SIP 输入、A->B Redis Stream 失败 CDR、A->B HOMER HEP 信令三段可按 Call-ID 串联；但未进入真实路由、媒体、录音、计费或质检闭环。B 当前 `/api/v2/health/live` 返回 HTTP 404，`lisglosips` 业务库表数为 `0`，说明 current release 仍不是完整 V2 API/Worker；A 当前 `/etc/opensips/opensips.cfg` 仍为 S20/S22 占位逻辑，配置缺失时返回 `Config Missing`，即便配置 allow 也会返回 `Routing Not Ready`，没有真实落地网关选择、RTPEngine offer/answer、t_relay 和对话内 ACK/BYE/re-INVITE 路由。
- 回滚方式：本次未修改服务器配置和数据库结构，无需服务回滚；产生的一条测试 INVITE、HOMER 记录和 Redis Stream 失败 CDR 作为联调证据保留，不做直接删除。若后续需要清理测试数据，应先单独说明影响和回滚点。
- 未解决问题：S28 阻塞在两个前置缺口：一是 B 需要受控发布完整 V2 API、Web 和 CDR/Recording Worker，并在空业务库上执行迁移/种子和健康检查；二是 A 需要新增真实呼叫路由配置，至少包含从 Redis 配置读取线路组/落地网关、供应商目标地址、RTPEngine offer/answer、t_relay、onreply/failure/dialog 内路由和成功/失败 CDR 事件。当前不能进入 S29。
- 下一任务：继续 `S28 - 三机端到端联调`，先解除上述阻塞；不得提前执行 S29。
### 2026-06-21 21:32 - S27 React Demo 接入真实 API
- 状态：已完成
- 操作服务器：本地；未连接 A/B/T，未执行服务器写操作、服务重启、数据库迁移或数据删除
- 完成内容：新增 Web API Client，默认使用 `/api/v2`，开发环境通过 Vite proxy 转发到本地 API `127.0.0.1:3000`，可选从浏览器 `localStorage` 读取 `lisglosips.accessToken` 作为 Bearer Token，不写入或输出任何明文凭据；Dashboard 接入 `dashboard/summary` 和 `dashboard/trends`；客户、供应商、充值记录、用户、角色、操作日志接入真实列表 API；客户/供应商新增、编辑、充值调用真实 API 并在成功后重新拉取数据；页面新增统一加载、错误和空状态，未登录或无权限时显示鉴权提示；顶部状态从“纯前端 Mock”改为真实 API 状态。CDR、计费、SIP 运维、监控告警、系统设置仍保留为未完成业务页面/静态运维原型，等待对应后端查询接口或后续延期页面设计，不在本任务伪造真实数据。
- 修改文件：`apps/web/src/api.js`、`apps/web/src/App.jsx`、`apps/web/src/styles.css`、`apps/web/vite.config.js`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新软件；继续使用 React `18.2.0`、Vite `5.4.21`、pnpm `10.33.0`
- 执行的关键命令：`corepack pnpm@10.33.0 --filter @lisglosips/web build`、`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`、本地启动 `corepack pnpm@10.33.0 --filter @lisglosips/web dev`
- 验证结果：Web 单包 build 通过；全 workspace `typecheck`、`lint`、`build` 均通过；本地 Vite 页面 `http://127.0.0.1:5173/` 返回 HTTP 200。API 服务若未启动或未登录，前端会展示错误态而不是回退到静态运营数据。
- 回滚方式：删除 `apps/web/src/api.js`，恢复 `apps/web/src/App.jsx` 中本次 API 数据加载、真实接口操作、空状态和顶部 API 状态改动，恢复 `apps/web/src/styles.css` 的空状态样式和 `apps/web/vite.config.js` proxy 配置，重新执行 `corepack pnpm@10.33.0 --filter @lisglosips/web build`；S27 未修改远端服务或数据库，无远端数据需回滚。
- 未解决问题：B 当前 `/opt/lisglosips/current` 仍是 S05 placeholder release，本次未部署到 B 当前 Web/API 服务；前端尚无登录页，真实接口需要已有 Bearer Token 或同源 Cookie 才能返回业务数据；CDR 查询、计费页面、自研 SIP 运维、监控告警、系统设置仍缺少对应产品化后端页面接口或属于延期页面，S27 未提前实现。
- 下一任务：`S28 - 三机端到端联调`
### 2026-06-21 21:20 - S26 Dashboard 聚合
- 状态：已完成
- 操作服务器：本地；未连接 A/B/T，未执行服务器写操作、服务重启、数据库迁移或数据删除
- 完成内容：新增 `DashboardModule`，实现 `GET /api/v2/dashboard/summary` 和 `GET /api/v2/dashboard/trends`；接口统一要求 `dashboard.view` 权限；summary 按 `Asia/Shanghai` 今日窗口聚合 raw CDR、rated CDR、启用客户/网关、待质检数量、失败响应码和失败落地网关 Top 10；trends 支持 `hours=1..168`、`bucketMinutes=5|15|60`，按固定桶返回通话、接通率、时长、客户费用、供应商成本和毛利；实时在线通话和注册数当前返回 `0` 并标记 `source: "not_configured"`，等待后续接入 Redis/OpenSIPS 指标。未新增预聚合表，未做 `worker-metrics`，未进入 S27 前端接入。
- 修改文件：`apps/api/src/modules/app.module.ts`、`apps/api/src/modules/dashboard/`、`docs/DASHBOARD_AGGREGATION_RUNBOOK.md`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新软件；继续使用既有 NestJS/Fastify、Prisma `6.19.0`、Vitest `4.0.14`、TypeScript `5.9.3`
- 执行的关键命令：`corepack pnpm@10.33.0 exec vitest run apps/api/src/modules/dashboard/dashboard.service.spec.ts`、`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`
- 验证结果：S26 聚焦测试 1 个文件 4 条通过，覆盖上海自然日边界、接通率、趋势桶和参数校验；全 workspace `typecheck`、`lint`、`build` 均通过
- 回滚方式：从 `AppModule` 移除 `DashboardModule`，删除 `apps/api/src/modules/dashboard/` 和 `docs/DASHBOARD_AGGREGATION_RUNBOOK.md`，重新执行 `corepack pnpm@10.33.0 build`；S26 未对远端数据库写入，无远端数据需清理
- 未解决问题：B 当前 `/opt/lisglosips/current` 仍是 S05 placeholder release，本次未部署到 B 当前 API 服务；Dashboard 设计要求的真正实时在线通话/注册数仍需后续接入 Redis/OpenSIPS 指标；24 小时趋势最终应由 `worker-metrics` 或 CDR Worker 增量写入预聚合表，本次只做时间窗口受限查询，避免扫描全量 CDR。
- 下一任务：`S27 - React Demo 接入真实 API`
### 2026-06-21 21:05 - S25 质检后端
- 状态：已完成
- 操作服务器：本地；未连接 A/B/T，未执行服务器写操作、服务重启、数据库迁移或数据删除
- 完成内容：新增 `QualityModule`，实现 `GET/POST/PATCH/DELETE /api/v2/quality/rules` 及规则启停，支持按客户、线路组、比例、生效时间和过期时间配置抽检规则；新增稳定抽样算法 `sha256(rule_id:recording_id)`，同一规则与录音重复查询结果稳定；扩展 `RecordingsModule`，实现 `GET /api/v2/recordings`、`GET /api/v2/recordings/:id`、`PUT /api/v2/recordings/:id/review`，返回录音 CDR 摘要、最新质检、历史质检、上下条导航和抽样命中信息；保存质检结果写入 `quality_reviews`，不覆盖历史；规则变更和质检保存均接入 `AuditAction` 元数据；权限使用 `quality.view`、`quality.manage`、`recordings.play`。未做 Dashboard 聚合，未扩展 S26 内容。
- 修改文件：`apps/api/src/modules/app.module.ts`、`apps/api/src/modules/quality/`、`apps/api/src/modules/recordings/recordings.controller.ts`、`apps/api/src/modules/recordings/recordings.repository.ts`、`apps/api/src/modules/recordings/recordings.service.ts`、`apps/api/src/modules/recordings/recordings.module.ts`、`apps/api/src/modules/recordings/recordings.service.spec.ts`、`docs/QUALITY_BACKEND_RUNBOOK.md`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新软件；继续使用既有 NestJS/Fastify、Prisma `6.19.0`、Vitest `4.0.14`、TypeScript `5.9.3`
- 执行的关键命令：`corepack pnpm@10.33.0 exec vitest run apps/api/src/modules/quality/sampling.spec.ts apps/api/src/modules/recordings/recordings.service.spec.ts`、`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`
- 验证结果：S25 聚焦测试 2 个文件 6 条通过，覆盖稳定抽样可重复、比例边界、录音列表抽样状态、保存质检输入校验和 S24 内部播放路径安全；全 workspace `typecheck`、`lint`、`build` 均通过
- 回滚方式：删除或恢复 `apps/api/src/modules/quality/`，将 `apps/api/src/modules/recordings/` 恢复到 S24 版本，从 `AppModule` 移除 `QualityModule`，重新执行 `corepack pnpm@10.33.0 build`；S25 未对远端数据库写入，无远端数据需清理；若后续已运行 API 并产生 `quality_reviews`，不直接删除历史记录，应通过审计可见的更正记录或受控维护窗口处理
- 未解决问题：B 当前 `/opt/lisglosips/current` 仍是 S05 placeholder release，本次未部署到 B 当前 API 服务；真实录音和 raw CDR 关联仍依赖 S28 端到端闭环产生；Dashboard 的待质检数量、趋势和聚合指标留给 S26。
- 下一任务：`S26 - Dashboard 聚合`
### 2026-06-21 20:20 - S24 录音搬运与播放
- 状态：已完成
- 操作服务器：A、B、本地；T 未操作
- 完成内容：新增 Recording Worker 搬运服务，支持扫描 A `/dev/shm/voip_rec/ready/**/*.ready`、SSH 私网拉取、文件大小校验、SHA-256、B 端 `.part-*` 临时文件原子改名、写入 `recordings` 表、校验成功后才删除 A 源 `.ready`；新增 `GET /api/v2/recordings/:id/play`，要求 `recordings.play` 权限，状态必须为 `READY`，通过 `X-Accel-Redirect` 转发到 Nginx 内部 `/_recordings/`，不暴露真实 `/data/recordings` 路径；A 端 finalizer ready 目录改为 `0770`，使专用拉取用户可在校验后删除源文件；B 建立专用拉取 key 和 known_hosts；A 建立专用低权限用户 `lisglo-rec-pull` 并加入 `rtpengine` 组。未调整 SSH 管理端口，未禁止 SSH key 登录，未重启 OpenSIPS、RTPEngine、Nginx 或 API。
- 修改文件：`apps/worker-recording/src/main.ts`、`apps/worker-recording/src/transfer.ts`、`apps/worker-recording/src/transfer.spec.ts`、`apps/worker-recording/package.json`、`apps/worker-recording/tsconfig.json`、`apps/api/src/modules/app.module.ts`、`apps/api/src/modules/recordings/`、`pnpm-lock.yaml`、`infra/server-a/s19/scripts/lisglosips-recording-finalize`、`docs/RECORDING_TRANSFER_PLAYBACK_RUNBOOK.md`、`IMPLEMENTATION_STATUS.md`；A 的 `/usr/local/sbin/lisglosips-recording-finalize`、`/var/lib/lisglo-rec-pull/.ssh/authorized_keys` 和 `/dev/shm/voip_rec/ready` 权限；B 的 `/etc/lisglosips/recording/` 和 `/data/recordings/s24-smoke/s24-smoke.wav`
- 安装软件及固定版本：未安装新软件；继续使用既有 OpenSSH、Node.js `v22.22.2`、pnpm `10.33.0`、Nginx `1.24.0-2ubuntu7.12`。新增系统用户 `lisglo-rec-pull`，未新增系统包。
- 执行的关键命令：本地 `corepack pnpm@10.33.0 exec vitest run apps/worker-recording/src/transfer.spec.ts apps/api/src/modules/recordings/recordings.service.spec.ts`、`corepack pnpm@10.33.0 --filter @lisglosips/worker-recording build`、`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`；A `bash -n /usr/local/sbin/lisglosips-recording-finalize`、创建 S24 测试 incoming 文件并运行 finalizer；B 使用 `lisglo-recorder` 通过专用 key 从 A 拉取、校验、落盘、删除测试源文件。sudo 凭据通过 `.codex-private/` 读取并经 stdin 使用，未回显。
- 验证结果：本地 2 个测试文件 5 条测试通过，覆盖路径安全、`.ready` 转 storage key、复制/哈希/落盘/源删除、大小不匹配不删除源文件、API 内部路径穿越防护；`worker-recording` 单包 build、全 workspace `typecheck`、`lint`、`build` 均通过；A 测试文件从 `incoming` 进入 `ready`，B 私网拉取到 `/data/recordings/s24-smoke/s24-smoke.wav`，大小 `31`，属主 `lisglo-recorder:lisglosips`，SHA-256 为 `c72dd3909a317ad55817435b7ed5a0db6947455ffc66e09a2dde787fe4a8c348`，校验后 A 源 `.ready` 已删除；外部直接访问 `https://127.0.0.1/_recordings/s24-smoke/s24-smoke.wav` 返回 `404`，Nginx 内部录音 location 未暴露。
- 回滚方式：A 备份目录 `/var/backups/lisglosips-s24/20260621T121130Z`，可恢复 `lisglosips-recording-finalize`、删除 `lisglo-rec-pull` 用户并将 `/dev/shm/voip_rec/ready` 恢复 `0750`；B 备份目录 `/var/backups/lisglosips-s24/20260621T121100Z`，可删除 `/etc/lisglosips/recording` 和 `/data/recordings/s24-smoke`；代码回滚恢复本次新增/修改文件后重新 build。详见 `docs/RECORDING_TRANSFER_PLAYBACK_RUNBOOK.md`。
- 未解决问题：B 当前 `/opt/lisglosips/current` 仍是 S05 placeholder release，尚未切换完整 monorepo API/Worker release，因此本次未启用正式 `lisglosips@recording-worker.service`，API 播放入口完成代码与构建但未在 B 当前 release 对外提供；真实通话录音字段仍依赖后续 S28 端到端路由/媒体闭环产生。
- 下一任务：`S25 - 质检后端`
### 2026-06-21 20:02 - B sudo 凭据复验
- 状态：已完成
- 操作服务器：B、本地；仅执行只读 SSH 与 sudo 校验，未修改服务器配置、未重启服务、未执行数据库写入或数据删除
- 完成内容：读取 `.codex-private/` 中 DPAPI 保存的 B 凭据且未回显密码；复验 B SSH Key 登录正常；确认 `hector` 属于 `sudo` 组；使用保存的 sudo 凭据执行 `sudo -v` 成功；使用 sudo 执行只读权限检查成功
- 修改文件：`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：无
- 执行的关键命令：`ssh -F .codex-private\ssh\config lisglosips-b ...`；PowerShell `Import-Clixml .codex-private\SERVER_CREDENTIALS.clixml` 后通过 stdin 向远端 `sudo -S` 提供凭据，命令与输出均未包含明文密码
- 验证结果：B 返回主机名 `YanZi`，用户 `hector` 在 `sudo` 组；`sudo -v` 退出码为 0；只读 sudo 检查退出码为 0
- 回滚方式：无服务器变更无需回滚；如需撤销本地状态记录，恢复本文件本节和顶部阻塞说明
- 未解决问题：S13-S17 历史任务仍未补做 B 临时库冒烟；若后续补验会涉及数据库写入，应在执行前单独说明影响与回滚点
- 下一任务：`S24 - 录音搬运与播放`
### 2026-06-21 19:55 - S23 最小计费与余额扣减
- 状态：已完成
- 操作服务器：本地；未连接 A/B/T，未执行服务器写操作、服务重启、数据库迁移或数据删除
- 完成内容：在 `worker-cdr` 中接入最小计费服务，Redis Stream CDR 消费后写入 `raw_cdrs`、成功通话写入 `rated_cdrs`、按落地网关周期秒数和周期费率计算费用、扣减客户余额，并用负数 `customer_recharges` 记录不可变扣费流水；同一 `event_id` 或同一 `raw_cdr_id` 不重复扣费；失败 CDR、零时长 CDR、缺少客户或落地网关 ID 的 CDR 标记 `SKIPPED` 且不扣费。当前尚无客户侧费率表，S23 采用落地网关费率临时镜像为客户费用，供应商成本相同，毛利为 0，后续真实计费版本再扩展客户费率和利润计算。
- 修改文件：`apps/worker-cdr/src/main.ts`、`apps/worker-cdr/src/billing.ts`、`apps/worker-cdr/src/rating.ts`、`apps/worker-cdr/src/rating.spec.ts`、`apps/worker-cdr/package.json`、`apps/worker-cdr/tsconfig.json`、`apps/worker-cdr/dist/`、`docs/CDR_MINIMAL_BILLING_RUNBOOK.md`、`IMPLEMENTATION_STATUS.md`；本地因 `pnpm install` 受 registry DNS/metadata 影响，手工补齐 `apps/worker-cdr/node_modules/@lisglosips/database` 到 `packages/database` 的开发 junction
- 安装软件及固定版本：未安装新软件；继续使用既有 Node.js/pnpm、Prisma `6.19.0`、Vitest `4.0.14`、TypeScript `5.9.3`
- 执行的关键命令：`corepack pnpm@10.33.0 exec vitest run apps/worker-cdr/src/rating.spec.ts`、`corepack pnpm@10.33.0 --filter @lisglosips/worker-cdr build`、`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`；尝试 `corepack pnpm@10.33.0 install` 与 `install --offline` 时被 npm registry DNS/本地 metadata 问题阻塞，未作为验收依据
- 验证结果：`apps/worker-cdr/src/rating.spec.ts` 3 条测试通过，覆盖周期计费、成功 CDR 扣费幂等、失败/零时长 CDR 不扣费；`worker-cdr` 单包 build 通过；全 workspace `typecheck`、`lint`、`build` 均通过
- 回滚方式：恢复 `apps/worker-cdr/src/main.ts` 到 S22 只记录 CDR 的版本，删除或恢复 S23 新增的 `billing.ts`、`rating.ts`、`rating.spec.ts`，恢复 `apps/worker-cdr/package.json` 和 `tsconfig.json` 后重新执行 `corepack pnpm@10.33.0 build`；S23 未执行真实数据库写入验证，无远端数据需要清理；若后续已运行 worker 并产生扣费，必须先停止 worker，再通过受控反向流水或备份恢复处理，不直接删除余额流水
- 未解决问题：B sudo 凭据仍不可用，本次未部署 B systemd worker、未对真实 B MySQL 执行写入式冒烟；当前最小计费暂时镜像落地网关费率为客户费用，客户费率表、利润规则、低余额拦截和 Dashboard 聚合留给后续任务；`pnpm install` 当前受 registry DNS/metadata 影响，后续若新增依赖需优先修复本地包管理器联网或缓存
- 下一任务：`S24 - 录音搬运与播放`
### 2026-06-21 19:34 - S22 CDR Redis Stream
- 状态：已完成
- 操作服务器：A、T、本地；B 仅通过 A 的 Redis AUTH proxy 写入 Redis Stream Consumer Group 元数据，未使用 B sudo，未改 B 服务
- 完成内容：新增 CDR Stream schema v1 和可靠消费库，支持 `stream:cdr_payload`、`stream:cdr_deadletter`、`billing-workers` Consumer Group、`XREADGROUP`、`XACK`、`XAUTOCLAIM` Pending 重领、死信写入和 `lock:cdr:{event_id}` 幂等占位；`worker-cdr` 从骨架改为 Redis Stream Worker，启动时确保 Consumer Group，循环先处理 Pending 再读取新消息，当前 handler 只接收/记录原始 CDR，不做计费和余额扣减；按多 A 后续演进预留 `node_id`、`opensips_instance`、`ingress_a_ip`、`rtpengine_node` 字段，当前单 A 值为 `a1`、`opensips-a1`、`100.90.90.90`、`a1`；升级 Server A OpenSIPS `route[S20_CDR_XADD]`，从 S20 冒烟 XADD 改为 S22 正式事件字段；在 Redis 创建 `billing-workers` Consumer Group。未调整 SSH 管理端口或密钥登录策略，未写入明文密码。
- 修改文件：`packages/redis/src/index.ts`、`packages/redis/src/cdr-stream.ts`、`packages/redis/src/cdr-stream.spec.ts`、`apps/worker-cdr/src/main.ts`、`packages/redis/dist/`、`apps/worker-cdr/dist/`、`infra/server-a/s22/opensips/opensips.cfg`、`docs/CDR_REDIS_STREAM_RUNBOOK.md`、`SOFTSWITCH_PLATFORM_DESIGN_V2.md`、`IMPLEMENTATION_STATUS.md`；A 的 `/etc/opensips/opensips.cfg`；Redis `stream:cdr_payload` Consumer Group `billing-workers`
- 安装软件及固定版本：未安装新系统软件；继续使用既有 Node.js/pnpm、OpenSIPS `3.6.7-1`、Redis `7.0.15`。新增代码复用既有 `ioredis 5.8.2`。
- 执行的关键命令：本地 `corepack pnpm@10.33.0 exec vitest run packages/redis/src/cdr-stream.spec.ts`、`corepack pnpm@10.33.0 lint/typecheck/build`；A `opensips -C -f /etc/opensips/opensips.cfg`、`systemctl restart opensips`；A 经本地 Redis proxy 执行 `XGROUP CREATE stream:cdr_payload billing-workers 0 MKSTREAM`、`XINFO GROUPS`、`XREVRANGE`；T 执行 `/opt/lisglosips-s21/lisglosips-s21-sip.py invite --timeout 8`。sudo 凭据通过 `.codex-private/` 读取且未回显。
- 验证结果：Redis Stream 单元测试 6 条通过，覆盖发布/解析、Consumer Group 幂等创建、`XREADGROUP`/`XACK`、重复 `event_id` 幂等、死信、`XAUTOCLAIM` Pending 重领；`lint`、`typecheck`、全 workspace `build` 均通过；A OpenSIPS 配置语法检查通过并重启后 active；Redis `XINFO GROUPS stream:cdr_payload` 显示 `billing-workers`，pending 为 0；T 发 INVITE 后 A 返回 `SIP/2.0 503 Config Missing`，A 日志显示 CDR XADD 成功，Redis 最新事件包含 `schema_version=1`、`idempotency_key`、`node_id=a1`、`opensips_instance=opensips-a1`、`ingress_a_ip=100.90.90.90`、`rtpengine_node=a1`、`sip_code=503`、`hangup_reason=CONFIG_MISSING`。一次使用 S21 默认 3 秒超时的探针未收到响应，但 A 已写入 CDR；随后使用 8 秒超时复测收到预期 `503 Config Missing`。
- 回滚方式：A 备份目录为 `/var/backups/lisglosips-s22/20260621T113157Z`，恢复其中 `opensips.cfg` 后执行 `opensips -C -f /etc/opensips/opensips.cfg` 并重启 `opensips`；代码回滚恢复本次新增/修改的 Redis/worker 文件后重新 build；Redis Consumer Group 可保留，停止 worker 即可，不删除 `stream:cdr_payload` 数据。详见 `docs/CDR_REDIS_STREAM_RUNBOOK.md`。
- 未解决问题：S22 只完成原始 CDR Stream 契约和可靠消费基础，不写 MySQL raw/rated CDR、不计费、不扣余额，这些留给 S23；A 端当前仍未发布真实路由配置，因此测试 CDR 为 `CONFIG_MISSING` 失败事件；B sudo 凭据仍不可用，本次未执行 B 端服务部署或 systemd worker 验收；多 A 仅完成字段预留和 A1 默认值，真实 3A 部署留到单 A 闭环之后。
- 下一任务：`S23 - 最小计费与余额扣减`
### 2026-06-21 15:28 - S21 Server T 客户模拟配置
- 状态：已完成
- 操作服务器：T、本地；A 仅接收 T 发起的 SIP 探针，未写入；B 未操作
- 完成内容：在 Server T 建立 S21 客户模拟环境；新增测试域 `s21.lisglosips.test`；新增两套 SIP 注册测试账号 `s21-reg-1001`、`s21-reg-1002`，OpenSIPS 改为 HA1 鉴权，`subscriber.password` 为空且不保存 SIP 明文密码；新增两套 IP 认证测试条目 `s21-ip-1001`、`s21-ip-1002` 指向 T `100.93.185.30/32`；部署 `/opt/lisglosips-s21` 自包含 SIP 脚本，支持注册成功、错误鉴权、向 A 发起 IP/SIP 模拟 INVITE、本地成功/忙/拒绝/超时场景和突发 CPS 探针；收敛 T 的 MI FIFO 权限为 `0660`，TLS 私钥权限为 `0600`。未调整 SSH 管理端口或密钥登录策略，未写入明文密码。
- 修改文件：T 的 `/etc/opensips/opensips.cfg`、OpenSIPS `opensips` 数据库 `domain/subscriber/address/location` 测试数据、`/opt/lisglosips-s21/`、`/etc/lisglosips-s21/sip-accounts.env`；本地 `infra/server-t/s21/`、`docs/SERVER_T_CUSTOMER_SIMULATION_RUNBOOK.md`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新系统软件；继续使用 T 既有 OpenSIPS `3.6.6`、RTPEngine `11.5.1.18`、MariaDB `10.11.14` 和系统 Python 3。新增 SIP 测试脚本无第三方依赖。
- 执行的关键命令：`mysqldump --single-transaction --routines --events opensips`、`opensips -C -f /etc/opensips/opensips.cfg`、`systemctl restart opensips`、`mysql --protocol=socket -uroot`、`python3 -m py_compile`、`/opt/lisglosips-s21/s21-register-*`、`s21-local-*`、`s21-call-a-*`、`s21-over-cps-a`。sudo 凭据通过 `.codex-private/` 读取且未回显。
- 验证结果：备份目录 `/var/backups/lisglosips-s21/20260621T072316Z` 已生成并含 OpenSIPS 配置和数据库 dump；OpenSIPS 配置语法检查通过，`opensips.service` active；`s21-register-primary` 和 `s21-register-secondary` 均先收到 `401 Unauthorized` challenge 后最终 `200 OK`，`s21-register-wrong-ha1` 最终 `401 Unauthorized`；`location` 表已有 `s21-reg-1001`、`s21-reg-1002` 注册位置；`subscriber.password` 长度为 0，`ha1` 长度为 32；本地脚本分别返回 `200 OK`、`486 Busy Here`、`603 Decline` 和 `NO RESPONSE`；从 T 到 A 的 `s21-call-a-ip`、`s21-call-a-sip` 与 5 次 `s21-over-cps-a` 均稳定输出 Call-ID 并收到 A 当前预期的 `SIP/2.0 503 Config Missing`；MI FIFO 为 `660 opensips:opensips`，TLS 私钥文件为 `600 root:root`。
- 回滚方式：停止 T 的 `opensips`，从 `/var/backups/lisglosips-s21/20260621T072316Z/opensips` 恢复 `/etc/opensips`，用该目录 `opensips.sql` 恢复 OpenSIPS 数据库，删除 `/opt/lisglosips-s21` 和 `/etc/lisglosips-s21`，执行 `opensips -C -f /etc/opensips/opensips.cfg` 后启动 `opensips`。详见 `docs/SERVER_T_CUSTOMER_SIMULATION_RUNBOOK.md`。
- 未解决问题：A 端尚未发布真实客户/路由配置，因此 T 到 A 的 INVITE 当前按 S20 逻辑返回 `503 Config Missing`，真实路由、双向媒体、正式 CDR 和扣费留给 S22/S28；T 的 RTPEngine 仍无内核加速，防火墙默认放行、Apache/rpcbind 暴露和克隆身份问题仍为历史风险，未在 S21 扩大处理。
- 下一任务：`S22 - CDR Redis Stream`
### 2026-06-21 15:05 - S20 Server A Redis 热路径与 HEP/指标
- 状态：已完成
- 操作服务器：A、B、T、本地
- 完成内容：在 Server A 部署 Redis 热路径 Lua 原子检查，基于 `cfg:active_version` 和版本化 `cfg:v:{version}:*` 配置读取客户、客户网关、IP 认证、策略与线路组；OpenSIPS `INVITE` 接入 Lua 热路径，配置缺失返回 `503 Config Missing`，Redis 不可用返回 `503 Redis Unavailable`，策略允许但路由未进入 S21/S28 前返回 `503 Routing Not Ready`；新增 CDR 冒烟 XADD 到 `stream:cdr_payload`；新增本地 Redis AUTH 代理，凭据通过 systemd encrypted credential 加载，OpenSIPS 只连接 `127.0.0.1:6380`；修正 HEP socket 为 `100.90.90.90:9061` 并发送至 B `100.90.90.91:9060`；新增 OpenSIPS Prometheus `script:` 指标和 Node Exporter textfile 指标；新增 S20 nftables 表阻断非本地 Redis 代理和非既有连接访问 HEP socket；未调整 SSH 管理端口或密钥登录策略，未写入明文密码。
- 修改文件：A 的 `/etc/opensips/opensips.cfg`、`/etc/opensips/lisglosips_hotpath.lua`、`/usr/local/sbin/lisglosips-redis-auth-proxy`、`/usr/local/sbin/lisglosips-redis-load-hotpath`、`/usr/local/sbin/lisglosips-opensips-preprocess`、`/usr/local/sbin/lisglosips-s20-metrics`、`/etc/systemd/system/lisglosips-redis-auth-proxy.service`、`/etc/systemd/system/lisglosips-redis-hotpath-load.service`、`/etc/systemd/system/opensips.service.d/20-lisglosips-s20.conf`、`/etc/systemd/system/lisglosips-s20-metrics.service`、`/etc/systemd/system/lisglosips-s20-metrics.timer`、`/etc/default/lisglosips-node-exporter`、`/etc/nftables.d/lisglosips-s20-observability.nft`、`/etc/systemd/system/lisglosips-a-firewall.service`；本地 `infra/server-a/s20/`、`docs/SERVER_A_REDIS_HEP_METRICS_RUNBOOK.md`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新系统软件；继续使用 OpenSIPS `3.6.7-1`、Redis Server B 既有 `7.0.15`、Node Exporter `1.7.0`、RTPEngine `11.5.1.18-1ubuntu1.2`。新增 systemd encrypted credential 文件 `/etc/credstore.encrypted/lisglosips-redis-password.cred`，未写明文凭据。
- 执行的关键命令：`opensips -C -f /etc/opensips/opensips.cfg`、`systemctl daemon-reload/enable/restart/start/stop`、`nft -c/-f`、`curl http://127.0.0.1:8888/metrics`、`curl http://100.90.90.90:9100/metrics`、从 T 发送 SIP `INVITE`，A/B Redis RESP 冒烟，A `tcpdump` 观察 HEP，B `journalctl -u heplify-server` 查询 HEP 统计。所有凭据均通过 `.codex-private/` 读取并已避免回显。
- 验证结果：A `systemctl is-system-running` 为 `running`；`opensips`、`lisglosips-redis-auth-proxy`、`lisglosips-s20-metrics.timer`、`lisglosips-node-exporter`、`lisglosips-a-firewall`、`rtpengine-daemon`、`rtpengine-recording-daemon` 均 active，S20 新增服务均 enabled；`lisglosips-redis-hotpath-load.service` oneshot 结果为 `success`；监听端口为 `100.90.90.90:15060/udp`、`100.90.90.90:9061/udp`、`127.0.0.1:6380/tcp`、`127.0.0.1:8888/tcp`、`100.90.90.90:9100/tcp`；S20 nftables 表存在；A 到 B Redis PING/AUTH 通过；无配置版本时 T 发 INVITE 返回 `SIP/2.0 503 Config Missing`，OpenSIPS 记录热路径拒绝且 CDR XADD 成功；临时 Redis 冒烟配置下 T 发 INVITE 返回 `SIP/2.0 503 Routing Not Ready`，返回字段含配置版本、客户网关、策略和线路组，测试 Redis keys 与 CDR 事件已清理；短暂停止 Redis 代理后 T 发 INVITE 返回 `SIP/2.0 503 Redis Unavailable`，日志明确记录 Redis 热路径不可用和 CDR XADD 失败，代理与 Lua loader 随后恢复；OpenSIPS Prometheus 暴露 `lisglosips_opensips_s20_*`，B 可抓取 A Node Exporter textfile 指标 `lisglosips_redis_proxy_up`、录音 tmpfs、ready/part 文件数和 RTPEngine sessions；HEP 绑定修正后 A 侧抓包看到发往 B `9060/udp` 的 HEP，B heplify 统计显示 HEP 收包且 Error 为 0，修正后 A 无新增 HEP 发送错误；S20 本地产物敏感扫描未发现明文凭据，命中的仅为 credential 名称或历史文档中的安全术语。
- 回滚方式：A 备份目录为 `/var/backups/lisglosips-s20/20260621T061900Z`，验证阶段的 OpenSIPS 配置副本位于该目录 `post-verify/` 下；回滚时停止 S20 metrics timer 和 Redis AUTH proxy，从备份恢复 `/etc/opensips/opensips.cfg`、S20 systemd/drop-in、Node Exporter 默认文件和 nftables 文件，执行 `opensips -C -f /etc/opensips/opensips.cfg` 后重启 `opensips`、`lisglosips-node-exporter`、`lisglosips-a-firewall`，不删除 Redis Stream 历史数据。详细步骤见 `docs/SERVER_A_REDIS_HEP_METRICS_RUNBOOK.md`。
- 未解决问题：S20 只完成热路径检查、HEP 和指标，不实现真实落地路由、SIP 注册账号、双向媒体、正式 CDR 契约和计费；这些留给 S21/S22/S28。B sudo 凭据仍无法通过校验，本次 B 侧仅使用免 sudo 的只读 heplify 日志和已有服务凭据做验证；HOMER 数据库未稳定查到本次 OpenSIPS HEP Call-ID 行，但 heplify 已确认收包，后续 S28 端到端联调需继续核对 HOMER UI/库内 Call-ID。
- 下一任务：`S21 - Server T 客户模拟配置`
### 2026-06-21 14:00 - S19 Server A RTPEngine 与录音 tmpfs
- 状态：已完成
- 操作服务器：A、T、本地
- 完成内容：在 Server A 安装并固定 RTPEngine `11.5.1.18-1ubuntu1.2` 及 kernel DKMS/recording 组件；加载 `xt_RTPENGINE` 内核模块，DKMS 已为 `6.17.0-22-generic` 与 `6.17.0-35-generic` 构建；配置 RTPEngine 媒体地址 `100.90.90.90`、RTP `30000-40000/udp`、本地 NG/CLI/HTTP 控制口 `127.0.0.1:2223/2224/2225`；创建 `/dev/shm/voip_rec` 3 GiB tmpfs 与 `spool/incoming/ready/failed/tmp` 目录；部署录音 finalizer，按 `incoming -> ready/*.part -> ready/*.ready` 原子规则生成 ready 文件；新增 `lisglosips-a-firewall.service` 保障 S18/S19 nftables 表重启后自动加载；新增 OpenSIPS systemd drop-in 等待 Tailscale 地址后启动；覆盖 `rtpengine-recording-daemon.service`，移除包默认 NFS/rpcbind 依赖；停止并 mask S19 不使用的 `rpcbind.service/socket`。未调整 SSH 管理端口或密钥登录策略。
- 修改文件：A 的 `/etc/rtpengine/rtpengine.conf`、`/etc/rtpengine/rtpengine-recording.conf`、`/etc/default/rtpengine-daemon`、`/etc/default/rtpengine-recording-daemon`、`/etc/fstab`、`/etc/nftables.d/lisglosips-s19-rtpengine.nft`、`/etc/systemd/system/lisglosips-a-firewall.service`、`/etc/systemd/system/opensips.service.d/10-lisglosips-wait-tailscale.conf`、`/etc/systemd/system/rtpengine-recording-daemon.service`、`/etc/systemd/system/lisglosips-recording-finalize.service`、`/etc/systemd/system/lisglosips-recording-finalize.timer`、`/etc/tmpfiles.d/lisglosips-voip-rec.conf`、`/usr/local/sbin/lisglosips-recording-finalize`；本地 `infra/server-a/s19/`、`docs/SERVER_A_RTPENGINE_RECORDING_RUNBOOK.md`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：`rtpengine`、`rtpengine-daemon`、`rtpengine-recording-daemon`、`rtpengine-iptables`、`rtpengine-kernel-dkms`、`rtpengine-utils` 均为 `11.5.1.18-1ubuntu1.2` 并已 `apt-mark hold`；安装匹配内核 headers。未新增明文凭据。
- 执行的关键命令：`apt-get install`、`apt-mark hold`、`modprobe xt_RTPENGINE`、`dkms status`、`nft -c/-f`、`systemctl daemon-reload/enable/restart/reboot`、`systemd-tmpfiles --create`、`rtpengine-ctl -ip 127.0.0.1 -port 2224 list numsessions/interfaces`、`tcpdump`、从 T 发送 RTP UDP 与 SIP `OPTIONS`/`REGISTER` 测试包。
- 验证结果：A 二次重启后 `systemctl is-system-running` 为 `running` 且 0 failed unit；`opensips`、`rtpengine-daemon`、`rtpengine-recording-daemon`、`lisglosips-recording-finalize.timer`、`lisglosips-a-firewall.service`、`lisglosips-node-exporter.service` 全部 active/enabled；`/dev/shm/voip_rec` 为 3.0 GiB tmpfs，子目录均为 `rtpengine:rtpengine 0750`；`xt_RTPENGINE` 已加载，DKMS 状态 installed；`rtpengine-ctl` 显示接口 `100.90.90.90` 和端口段 `30000 - 40000`；nftables S18/S19 表重启后存在；从 T 到 A `30000/udp`、`40000/udp` 的 RTP 探针在 A `tailscale0` 抓包可见；从 T 发 SIP `OPTIONS` 返回 `SIP/2.0 200 Keepalive`，`REGISTER` 返回 `SIP/2.0 401 Authentication Required` 和 `WWW-Authenticate`；录音 finalizer 冒烟将测试 `.wav` 生成 `ready/...wav.ready`，权限 `0640`，无 `.part` 残留，测试文件已删除；本地 S19 产物敏感信息扫描未命中。
- 回滚方式：A 备份目录为 `/var/backups/lisglosips-s19/20260621T054645Z`；回滚时停止 `rtpengine-recording-daemon`、`lisglosips-recording-finalize.timer`、`rtpengine-daemon`，从备份恢复 `/etc/rtpengine/`、`/etc/default/`、`/etc/fstab` 等配置，删除 `inet lisglosips_s19_rtpengine` nftables 表，停用并删除 S19 systemd/tmpfiles/finalizer 文件，必要时 `apt-mark unhold` 后卸载 RTPEngine 包；详细步骤见 `docs/SERVER_A_RTPENGINE_RECORDING_RUNBOOK.md`。
- 未解决问题：S19 尚未把 OpenSIPS 呼叫路由接入 RTPEngine，真实双向音频、NAT 媒体锚定和完整通话录音需在 S20/S21/S28 完成；Tailscale APT 源在 A 上仍有 DNS 解析失败历史但当前 Tailscale 网络和服务运行正常；B sudo 凭据阻塞仍未解决，不影响本次 A 端 S19。
- 下一任务：`S20 - Server A Redis 热路径与 HEP/指标`
### 2026-06-21 13:29 - S18 Server A OpenSIPS 基线
- 状态：已完成
- 操作服务器：A、本地
- 完成内容：在 Server A 添加 OpenSIPS 官方 APT 源并安装固定 OpenSIPS `3.6.7-1`；安装并 hold `opensips`、`opensips-cli`、`opensips-auth-modules`、`opensips-redis-module`、`opensips-http-modules`、`opensips-json-module`、`opensips-restclient-module`、`opensips-prometheus-module`、`opensips-tlsmgm-module`、`opensips-tls-module`、`opensips-tls-openssl-module`；部署 `/etc/opensips/opensips.cfg`，OpenSIPS 仅监听 `100.90.90.90:15060/udp`，HEP transport 占位监听 `127.0.0.1:9061/udp`，MI HTTP 仅监听 `127.0.0.1:8888/tcp`；加载 `auth`、`pike`、`ratelimit`、`cachedb_redis`、`proto_hep`、`tracer`、`mi_http` 等模块；实现 S18 保守路由基线：`OPTIONS` 返回 `200 Keepalive`，`REGISTER` 返回带 Digest challenge 的 `401 Authentication Required`，`INVITE` 在 S20/S21 前返回 `503 Routing Not Ready`，避免开放中继；新增 `inet lisglosips_s18_opensips` nftables 表，只允许 T `100.93.185.30` 访问 A 的 UDP `15060`，丢弃其他 15060 来源，并阻断非本地 MI HTTP；未调整 SSH 管理端口或密钥登录策略。
- 修改文件：A 的 `/etc/apt/sources.list.d/opensips.list`、`/etc/apt/sources.list.d/opensips-cli.list`、`/etc/opensips/opensips.cfg`、`/etc/default/opensips`、`/etc/nftables.d/lisglosips-s18-opensips.nft`；本地 `infra/server-a/s18/`、`docs/SERVER_A_OPENSIPS_BASELINE_RUNBOOK.md`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：OpenSIPS `3.6.7-1`；OpenSIPS CLI `0.4.0~20260522~570a9a9-1`；所有 S18 OpenSIPS 包已 `apt-mark hold`。未新增明文凭据。
- 执行的关键命令：`apt-get update`、`apt-get install`、`apt-mark hold`、`opensips -C -f /etc/opensips/opensips.cfg`、`systemctl enable --now/restart opensips`、`nft -c -f /etc/nftables.d/lisglosips-s18-opensips.nft`、`nft -f /etc/nftables.d/lisglosips-s18-opensips.nft`、`curl -X POST http://127.0.0.1:8888/mi`、从 T 发送 SIP `OPTIONS`/`REGISTER` 测试包。
- 验证结果：A 系统状态 `running`；`opensips.service` active/enabled；OpenSIPS 配置语法检查通过；监听端口为 `100.90.90.90:15060/udp`、`127.0.0.1:9061/udp`、`127.0.0.1:8888/tcp`，S06 的 `100.90.90.90:9100/tcp` 保持；MI HTTP JSON-RPC `version` 返回 `OpenSIPS (3.6.7 (x86_64/linux))`；从 T `100.93.185.30` 发往 A `15060/udp` 的 SIP `OPTIONS` 返回 `SIP/2.0 200 Keepalive`；SIP `REGISTER` 返回 `SIP/2.0 401 Authentication Required` 且包含 `WWW-Authenticate`；nftables S18 表加载成功；本地 S18 产物敏感信息扫描未命中。
- 回滚方式：A 备份目录为 `/var/backups/lisglosips-s18/20260621T051403Z`；回滚时执行 `systemctl stop opensips`，从备份恢复 `/etc/opensips/` 和 `/etc/default/opensips`，删除 `inet lisglosips_s18_opensips` nftables 表，必要时 `apt-mark unhold` 并卸载 S18 OpenSIPS 包；详细步骤见 `docs/SERVER_A_OPENSIPS_BASELINE_RUNBOOK.md`。
- 未解决问题：Tailscale APT 源在 A 上一度 DNS 解析失败，但 Tailscale 服务和当前连接未受影响；A 仍存在 S01 记录的本地 ens18 双地址/路由历史风险，S18 的 OpenSIPS 绑定 Tailscale 地址规避了 SIP 监听歧义；当前 HEP trace 已有目标配置但未查询 B 的 HOMER 入库，完整 HEP/Redis 热路径和指标留给 S20；RTPEngine、RTP 端口和录音 tmpfs 留给 S19。
- 下一任务：`S19 - Server A RTPEngine 与录音 tmpfs`
### 2026-06-21 13:06 - S17 落地线路组 API
- 状态：已完成
- 操作服务器：本地；B 未执行写操作
- 完成内容：新增 LandingLineGroupsModule，提供 `GET /landing-line-groups`、`GET /landing-line-groups/:id`、`POST /landing-line-groups`、`PATCH /landing-line-groups/:id`、`POST /landing-line-groups/:id/enable`、`POST /landing-line-groups/:id/disable`、`DELETE /landing-line-groups/:id`、`POST /landing-line-groups/:id/items`、`PATCH /landing-line-groups/items/:itemId`、`DELETE /landing-line-groups/:id/items/:gatewayId`、`POST /landing-line-groups/:id/items/reorder`；支持线路组启停、软删除、成员增删改、成员优先级重排、权重、成员并发上限和成员状态；返回 `itemCount`、`enabledItemCount`、`concurrencyCapSum`、`gatewayConcurrencyLimitSum` 和 `policyCount`，用于组内并发汇总与引用可见性；新增引用校验，成员只能引用未删除落地网关，软删除线路组前阻止仍被未删除客户网关策略引用的线路组删除；读操作绑定 `line_groups.view`，写操作绑定 `line_groups.manage` 和审计动作；线路组与成员变更写入 `line_group_config` Outbox，Config Publisher 扩展线路组快照并发布 `cfg:v:{version}:line_group:*` 与 `line_group:*:items`。
- 修改文件：`apps/api/src/modules/app.module.ts`、`apps/api/src/modules/landing-line-groups/`、`apps/worker-config-publisher/src/publisher.ts`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新系统软件；未新增 npm 包；继续使用 Node.js `v22.22.2`、Prisma `6.19.0`、pnpm `10.33.0`。
- 执行的关键命令：`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 test -- landing-line-groups`、`corepack pnpm@10.33.0 test`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`。
- 验证结果：typecheck 通过；S17 相关 Vitest 14 个测试文件 44 条测试通过，其中 `landing-line-groups.e2e.spec.ts` 覆盖线路组列表并发汇总、写权限拒绝、创建、成员新增/更新/删除、成员参数校验、优先级重排、启停、软删除和审计记录；全量 Vitest 14 个测试文件 44 条测试通过；lint 通过；workspace build 通过，包含 `apps/worker-config-publisher` 构建通过。
- 回滚方式：移除 `LandingLineGroupsModule` 导入并删除 `apps/api/src/modules/landing-line-groups/`；恢复 `apps/worker-config-publisher/src/publisher.ts` 中 S17 新增的 `line_group_config` Outbox 处理和线路组快照发布逻辑。S17 未新增数据库迁移，B 端未创建临时库、未改服务、未写 Redis 或 MySQL。
- 未解决问题：B 写入式临时库冒烟未执行，因为当前 B sudo 凭据仍无法通过校验，迁移账号也无权创建临时库；S17 不实现 OpenSIPS 呼叫路由或 Server A 配置，这些从 S18 开始。
- 下一任务：`S18 - Server A OpenSIPS 基线`
### 2026-06-21 11:57 - S16 落地网关 API
- 状态：已完成
- 操作服务器：本地；B 未执行写操作
- 完成内容：新增 VendorGatewaysModule，提供 `GET /vendor-gateways`、`GET /vendor-gateways/:id`、`POST /vendor-gateways`、`PATCH /vendor-gateways/:id`、`POST /vendor-gateways/:id/enable`、`POST /vendor-gateways/:id/disable`；支持供应商落地网关 `IP`、`SIP_DIGEST`、`MIXED` 三种认证模式，创建和更新时校验 host/port/transport、SIP 用户名与密码强度，并以 `username:host:password` 生成 HA1，API 响应只返回 `hasSipCredential` 不返回明文密码或 HA1；支持 CPS、并发上限、禁呼时段、编码优先级、主叫/被叫号码前缀转换、计费周期秒数和周期费率，响应补充按分钟折算的 `minuteRate`；写操作绑定 `vendor_gateways.manage` 和审计动作，读操作绑定 `vendor_gateways.view`；落地网关创建、更新、启停写入 `vendor_gateway_config` Outbox，Config Publisher 扩展供应商落地网关快照并发布到 Redis 版本化配置。
- 修改文件：`apps/api/src/modules/app.module.ts`、`apps/api/src/modules/vendor-gateways/`、`apps/worker-config-publisher/src/publisher.ts`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新系统软件；未新增 npm 包；继续使用 Node.js `v22.22.2`、Prisma `6.19.0`、pnpm `10.33.0`。
- 执行的关键命令：`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 test -- vendor-gateways`、`corepack pnpm@10.33.0 test`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`。
- 验证结果：typecheck 通过；S16 相关 Vitest 13 个测试文件 40 条测试通过，其中 `vendor-gateways.e2e.spec.ts` 覆盖列表脱敏、写权限拒绝、完整 SIP Digest 网关创建、审计敏感字段脱敏、切换 IP 模式清空 SIP 凭据、重复编码优先级校验和启停；全量 Vitest 13 个测试文件 40 条测试通过；lint 通过；workspace build 通过，包含 `apps/worker-config-publisher` 构建通过。
- 回滚方式：移除 `VendorGatewaysModule` 导入并删除 `apps/api/src/modules/vendor-gateways/`；恢复 `apps/worker-config-publisher/src/publisher.ts` 中 S16 新增的 `vendor_gateway_config` Outbox 处理和落地网关快照发布逻辑。S16 未新增数据库迁移，B 端未创建临时库、未改服务、未写 Redis 或 MySQL。
- 未解决问题：B 写入式临时库冒烟未执行，因为当前 B sudo 凭据仍无法通过校验，迁移账号也无权创建临时库；S16 不实现落地线路组成员、优先级重排或并发汇总，这些留给 S17。
- 下一任务：`S17 - 落地线路组 API`
### 2026-06-21 11:45 - S15 供应商管理 API
- 状态：已完成
- 操作服务器：本地；B 未执行写操作
- 完成内容：新增 VendorsModule，提供 `GET /vendors`、`GET /vendors/:id`、`POST /vendors`、`PATCH /vendors/:id`、`POST /vendors/:id/enable`、`POST /vendors/:id/disable`、`DELETE /vendors/:id`；供应商返回余额、授信额度、可用余额和落地网关数量；余额保持只读，供应商充值仍通过 S12 的不可变充值流水；支持联系人、电话、邮箱、结算方式、备注、授信额度和启停状态维护；软删除前阻止仍有关联未删除落地网关的供应商删除；读操作绑定 `vendors.view`，写操作绑定 `vendors.manage` 和审计动作。
- 修改文件：`apps/api/src/modules/app.module.ts`、`apps/api/src/modules/vendors/`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新系统软件；未新增 npm 包；继续使用 Node.js `v22.22.2`、Prisma `6.19.0`、pnpm `10.33.0`。
- 执行的关键命令：`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 test -- vendors`、`corepack pnpm@10.33.0 test`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`。
- 验证结果：typecheck 通过；S15 相关 Vitest 12 个测试文件 36 条测试通过；全量 Vitest 12 个测试文件 36 条测试通过，覆盖供应商余额/授信/网关数量读取、写权限拒绝、新增、编辑、启停、软删除和审计记录；lint 通过；workspace build 通过。
- 回滚方式：移除 `VendorsModule` 导入并删除 `apps/api/src/modules/vendors/`；S15 未新增数据库迁移。B 端未创建临时库、未改服务、未写 Redis 或 MySQL。
- 未解决问题：B 写入式临时库冒烟未执行，因为当前 B sudo 凭据仍无法通过校验，迁移账号也无权创建临时库；S15 不实现落地网关、费率、CPS/并发或号码转换，这些留给 S16。
- 下一任务：`S16 - 落地网关 API`
### 2026-06-21 11:39 - S14 客户网关策略与 Redis 配置发布
- 状态：已完成
- 操作服务器：本地；B 未执行写操作
- 完成内容：新增 CustomerGatewayPoliciesModule，提供 `GET /customer-gateways/:id/policies`、`POST /customer-gateways/:id/policies`、`PATCH /customer-gateway-policies/:id`、`DELETE /customer-gateway-policies/:id`、`POST /customer-gateways/:id/policies/reorder`；支持主叫/被叫 `ANY`、`EQUALS`、`PREFIX` 匹配，校验非 `ANY` 模式必须提供匹配值；支持显式优先级和自动追加优先级，重排时要求一次提交全部有效策略 ID 并用两阶段负优先级避免唯一索引冲突；客户网关创建、更新、启停以及策略创建、更新、删除、重排均在同一事务内写入 `outbox_events`，不直接双写 Redis；Config Publisher 从骨架升级为处理 `customer_gateway_config` Outbox 的 worker，生成完整 Redis 配置快照，写入 `cfg:v:{version}:customer:*`、`customer_gateway:*`、`auth:ip:*`、`auth:sip:*` 和策略列表，原子切换 `cfg:active_version`，并维护 `cfg:previous_version` 作为回滚点；新增 `rollbackActiveConfig` 函数用于切回上一版本。
- 修改文件：`apps/api/src/modules/app.module.ts`、`apps/api/src/modules/customer-gateways/customer-gateways.repository.ts`、`apps/api/src/modules/customer-gateway-policies/`、`apps/worker-config-publisher/src/main.ts`、`apps/worker-config-publisher/src/publisher.ts`、`apps/worker-config-publisher/package.json`、`apps/worker-config-publisher/tsconfig.json`、`packages/redis/src/index.ts`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新系统软件；未新增需要联网下载的 npm 包；继续使用 Node.js `v22.22.2`、Prisma `6.19.0`、pnpm `10.33.0`、ioredis `5.8.2`（由 `@lisglosips/redis` 继续提供）。
- 执行的关键命令：`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 test -- customer-gateway`、`corepack pnpm@10.33.0 test`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`；曾尝试 `corepack pnpm@10.33.0 install`，因本机 DNS 无法解析 `registry.npmjs.org` 失败，随后移除新增联网依赖，最终无需更新锁文件。
- 验证结果：typecheck 通过；S14 相关 Vitest 11 个测试文件 33 条测试通过；全量 Vitest 11 个测试文件 33 条测试通过，覆盖策略列表、权限拒绝、策略创建/更新/重排/删除、审计记录和匹配值校验；lint 通过；workspace build 通过，包含 `apps/worker-config-publisher` 构建通过。
- 回滚方式：移除 `CustomerGatewayPoliciesModule` 导入并删除 `apps/api/src/modules/customer-gateway-policies/`；恢复 `apps/api/src/modules/customer-gateways/customer-gateways.repository.ts` 中的 Outbox 写入前版本；恢复 `apps/worker-config-publisher/src/main.ts` 为骨架并删除 `publisher.ts`；恢复 `packages/redis/src/index.ts` 的 S14 新增 Redis 常量和 helper。S14 未新增数据库迁移，B 端未创建临时库、未改服务、未写 Redis。
- 未解决问题：B 写入式临时库/Redis 冒烟未执行，因为当前 B sudo 凭据仍无法通过校验，迁移账号也无权创建临时库；Config Publisher 当前完成客户/客户网关/策略快照发布，落地网关、线路组成员和供应商侧热路径会随 S15-S17 数据模型 API 补齐后扩展到快照。
- 下一任务：`S15 - 供应商管理 API`
### 2026-06-21 11:28 - S13 客户网关 API
- 状态：已完成
- 操作服务器：本地；B 仅读取 SSH/Node/pnpm 状态并尝试临时库验收，未修改正式库或服务
- 完成内容：新增 CustomerGatewaysModule，提供 `GET /customer-gateways`、`GET /customer-gateways/:id`、`POST /customer-gateways`、`PATCH /customer-gateways/:id`、`POST /customer-gateways/:id/enable`、`POST /customer-gateways/:id/disable`；支持 `IP`、`SIP_DIGEST`、`MIXED` 三种认证模式；创建和更新时校验来源 IP、SIP 用户名、SIP 域和密码强度；SIP 注册密码仅用于生成 OpenSIPS Digest HA1，API 响应只返回 `hasSipCredential`，不返回 `sipPassword` 或 `sipHa1`；SIP 用户名或域名变更时要求同时提交新密码，避免旧 HA1 与新身份不匹配；所有写操作绑定 `customer_gateways.manage` 和审计动作，读操作绑定 `customer_gateways.view`；日志脱敏路径新增 `sipHa1`。
- 修改文件：`apps/api/src/modules/app.module.ts`、`apps/api/src/modules/customer-gateways/`、`packages/observability/src/index.ts`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新系统软件；继续使用 Node.js `v22.22.2`、Prisma `6.19.0`、pnpm `10.33.0`。
- 执行的关键命令：`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 test`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`；B 端执行只读 `hostname && node --version && pnpm --version`；尝试通过 SSH 隧道连接 B MySQL 并用 `MYSQL_MIGRATE` 创建 S13 临时库，因账号无 `mysql` 系统库访问权限返回 `P1010`；B sudo 凭据校验失败，未继续执行需要 sudo 的 MySQL 创建/清理命令。
- 验证结果：本地 typecheck 通过；Vitest 10 个测试文件 29 条测试通过，新增覆盖客户网关只读权限、写权限拒绝、IP 网关返回脱敏、SIP Digest 网关创建、审计敏感字段脱敏、SIP 身份变更强制新密码、切换 IP 模式清空 SIP 凭据、启停接口；lint 通过；workspace build 通过；B 的 Node `v22.22.2` 和 pnpm `10.33.0` 只读确认通过；B 临时库冒烟未完成，未创建临时库，SSH 隧道、本地 S13 临时 SQL 和远端 `/tmp/lisglosips-s13-create-*.sql` 已清理。
- 回滚方式：移除 `CustomerGatewaysModule` 导入并删除 `apps/api/src/modules/customer-gateways/`；从 `packages/observability/src/index.ts` 移除 `*.sipHa1` 脱敏项；S13 未新增数据库迁移。B 端未创建临时库、未修改服务，仅使用短时 SSH 隧道和 `/tmp` 临时 SQL 文件，已清理。
- 未解决问题：S13 未执行 B 临时库冒烟，因为当前 `.codex-private` 中的 B sudo 凭据无法通过校验，`MYSQL_MIGRATE` 也无权在 `mysql` 系统库创建临时库；后续需要修复 B sudo 凭据或提供受控临时库创建账号。S13 不实现客户网关策略、Outbox 或 Redis 发布，这些留给 S14。
- 下一任务：`S14 - 客户网关策略与 Redis 配置发布`
### 2026-06-21 11:14 - S12 充值与不可变余额流水
- 状态：已完成
- 操作服务器：本地、B
- 完成内容：新增 RechargesModule，提供 `POST /customers/:id/recharges`、`POST /vendors/:id/recharges` 和 `GET /recharges`；客户和供应商充值在同一数据库事务内完成账户行锁定、余额读取、不可变充值流水写入、余额更新和幂等结果保存；重复相同幂等键返回原充值结果，不重复加余额；同一幂等键不同请求返回冲突；充值写操作绑定 `recharges.manage` 和审计动作，查询绑定 `recharges.view`；并发写冲突和唯一键竞争只对 Prisma `P2034`/`P2002` 做短退避重试。
- 修改文件：`apps/api/src/modules/app.module.ts`、`apps/api/src/modules/recharges/`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新系统软件；继续使用 Node.js `v22.22.2`、Prisma `6.19.0`、pnpm `10.33.0`。
- 执行的关键命令：`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 test`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`；B 端通过 SSH 隧道连接临时 MySQL 库执行 `prisma migrate deploy`、`db:seed`、`prisma migrate status`，并使用编译后的充值仓库执行客户/供应商充值、幂等重放、幂等冲突和并发充值冒烟。
- 验证结果：本地 typecheck 通过；Vitest 9 个测试文件 24 条测试通过，覆盖充值权限拒绝、客户充值、供应商充值、幂等重放、幂等冲突、流水查询和审计记录；lint 通过；workspace build 通过；B 临时空库 `lisglosips_s12_verify_20260621111322` 成功应用 S08/S09 共 2 个迁移，seed 执行成功，`migrate status` 显示 schema up to date；B 临时库验证客户充值前后余额、供应商充值前后余额、重复幂等不重复入账、幂等冲突拒绝、5 路并发客户充值后余额 `15.000000`、客户流水 6 条、供应商流水 1 条、成功幂等记录 7 条；B 残留检查确认无 S12 临时库、临时用户和 `/tmp/lisglosips-s12-*` 文件。
- 回滚方式：移除 `RechargesModule` 导入并删除 `apps/api/src/modules/recharges/`；S12 未新增数据库迁移。B 端仅创建临时库、临时用户和 SSH 隧道，已删除或关闭。
- 未解决问题：S12 只实现手工充值入账；CDR 扣费、余额扣减和扣费幂等留给 S22/S23；供应商管理 CRUD 仍按任务顺序留给 S15。
- 下一任务：`S13 - 客户网关 API`
### 2026-06-21 10:57 - S11 客户管理 API
- 状态：已完成
- 操作服务器：本地、B
- 完成内容：新增 CustomersModule，提供客户列表、详情、新增、编辑、启用、停用和软删除 API；返回余额、授信额度、最低余额、可用余额和启用网关数量；客户余额只读，避免绕过 S12 充值流水；所有写操作均绑定 `customers.manage` 和审计动作，读操作绑定 `customers.view`；软删除前阻止仍有关联启用网关的客户删除。
- 修改文件：`apps/api/src/modules/app.module.ts`、`apps/api/src/modules/customers/`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新系统软件；继续使用 Node.js `v22.22.2`、Prisma `6.19.0`、pnpm `10.33.0`。
- 执行的关键命令：`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 test`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`；B 端通过 SSH 隧道连接临时 MySQL 库执行 `prisma migrate deploy`、`db:seed`、`prisma migrate status` 和客户 CRUD 冒烟脚本。
- 验证结果：本地 typecheck 通过；Vitest 8 个测试文件 21 条测试通过，覆盖客户读权限、写权限拒绝、新增、启停、软删除、余额/授信字段和审计记录；lint 通过；workspace build 通过；B 临时空库 `lisglosips_s11_verify_20260621105537` 成功应用 S08/S09 共 2 个迁移，seed 执行成功，`migrate status` 显示 schema up to date；B 临时库客户创建、状态更新、Decimal 精度、网关计数和软删除冒烟通过；B 残留检查确认无 S11 临时库、临时用户和 `/tmp/lisglosips-s11-*` 文件。
- 回滚方式：移除 `CustomersModule` 导入并删除 `apps/api/src/modules/customers/`；S11 未新增数据库迁移。B 端仅创建临时库、临时用户和 SSH 隧道，已删除或关闭。
- 未解决问题：S11 不实现充值入账和余额变更事务，余额仍只能通过后续 S12 不可变流水更新；客户网关数量当前依赖后续 S13 的网关数据。
- 下一任务：`S12 - 充值与不可变余额流水`
### 2026-06-21 10:46 - S10 用户、角色、权限与审计
- 状态：已完成
- 操作服务器：本地、B
- 完成内容：实现全局 Access Token 认证 Guard、RBAC Guard、`@Public`、`@RequirePermissions` 与当前用户注入；新增用户、角色、权限和审计日志查询 API；实现用户创建、资料更新、重置密码和角色权限维护；内置角色禁止改名、停用和变更权限；重置密码仅保存 Argon2id 哈希并要求下次改密；新增审计拦截器，按接口元数据记录 request_id、操作者、角色、IP、User-Agent、模块、动作、对象、成功/失败、错误码和脱敏后的 before/after 摘要。
- 修改文件：`packages/auth/src/index.ts`、`packages/database/src/index.ts`、`apps/api/src/modules/app.module.ts`、`apps/api/src/modules/auth/auth.controller.ts`、`apps/api/src/modules/health/health.controller.ts`、`apps/api/src/modules/security/`、`apps/api/src/modules/audit/`、`apps/api/src/modules/audit-logs/`、`apps/api/src/modules/users/`、`apps/api/src/modules/roles/`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新系统软件；继续使用 Node.js `v22.22.2`、Prisma `6.19.0`、pnpm `10.33.0`。
- 执行的关键命令：`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 test`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 build`；B 端通过 SSH 隧道连接临时 MySQL 库执行 `prisma migrate deploy`、`db:seed`、`prisma migrate status`；B 端检查并清理 `lisglosips_s10_verify_*`、`s10v_*` 和 `/tmp/lisglosips-s10-*` 临时残留。
- 验证结果：本地 typecheck 通过；Vitest 7 个测试文件 18 条测试通过，覆盖未认证拒绝、越权拒绝、重置密码审计脱敏、内置角色保护和审计日志查询；lint 通过；workspace build 通过；B 临时空库 `lisglosips_s10_verify_20260621104300` 成功应用 S08/S09 共 2 个迁移，seed 执行成功，`migrate status` 显示 schema up to date；B 残留检查确认无 S10 临时库、临时用户和 `/tmp/lisglosips-s10-*` 文件。
- 回滚方式：恢复上述本地文件到 S10 前版本；S10 未新增数据库迁移，若需回滚只需移除新增模块导入和相关接口代码。B 端仅创建临时库、临时用户和 `/tmp` 临时文件，已删除。
- 未解决问题：S10 只完成后端安全与审计基础；后续业务 API 必须继续显式标注权限和审计动作，客户、充值、网关等业务模块从 S11 开始实现。
- 下一任务：`S11 - 客户管理 API`
### 2026-06-21 10:15 - S09 登录认证基础
- 状态：已完成
- 操作服务器：本地、B
- 完成内容：实现登录、刷新和退出接口；新增 Argon2id 密码哈希与校验，优先使用 Node 原生实现并在 Node 22 上回退到 vendored WASM；实现 HMAC access token、HttpOnly refresh cookie、refresh token SHA-256 摘要入库、会话撤销与轮换、失败计数和临时锁定；新增 Prisma `user_sessions` 模型和迁移；补充 Auth API、服务层、密码/Token 原语和 schema 合同测试。
- 修改文件：`packages/auth/src/index.ts`、`packages/auth/src/index.spec.ts`、`packages/auth/vendor/argon2id/`、`apps/api/src/modules/auth/`、`apps/api/src/modules/database/`、`apps/api/src/modules/app.module.ts`、`apps/api/src/shared/config.ts`、`apps/api/tsconfig.json`、`apps/api/package.json`、`.env.example`、`eslint.config.mjs`、`prisma/schema.prisma`、`prisma/migrations/20260621093000_auth_sessions/migration.sql`、`packages/database/src/schema-contract.spec.ts`、`pnpm-lock.yaml`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新系统软件；vendored npm 包 `argon2id` `1.0.1`，MIT 许可证，WASM 哈希记录于 `packages/auth/vendor/argon2id/UPSTREAM.md`；继续使用 Node.js `v22.22.2`、Prisma `6.19.0`、pnpm `10.33.0`。
- 执行的关键命令：`corepack pnpm@10.33.0 prisma:validate`、`prisma:generate`、`typecheck`、`test`、`lint`、`build`；B 端通过临时 `/tmp` 包验证 Node 22 下 Argon2id WASM 哈希与校验；通过 SSH 隧道连接 B 的临时 MySQL 库执行 `prisma migrate deploy` 和 `prisma migrate status`。
- 验证结果：本地 Prisma schema validate 通过；Prisma Client 生成通过；typecheck 通过；Vitest 6 个测试文件 15 条测试通过，覆盖 Argon2id、Token、登录成功、失败锁定、refresh 轮换、旧 refresh 拒绝、logout 后拒绝和健康检查；lint 通过；workspace build 通过；B Node `v22.22.2` 上 Argon2id WASM 校验结果为正确值通过、随机值拒绝；B 临时空库 `lisglosips_s09_verify_20260621101249` 成功应用 S08 与 S09 共 2 个迁移，`migrate status` 显示 schema up to date；B 残留检查确认临时库、临时用户和 `/tmp/lisglosips-s09-*` 文件已清理。
- 回滚方式：恢复上述本地文件到 S09 前版本；删除 `prisma/migrations/20260621093000_auth_sessions/` 并从 `prisma/schema.prisma` 移除 `UserSession` 关系和模型。B 端仅创建临时库、临时用户和 `/tmp` 临时文件，已删除。
- 未解决问题：生产 access token secret 必须由受控环境变量注入；当前 S09 只实现认证基础，RBAC Guard、内置角色保护、重置密码和审计拦截器留给 S10。
- 下一任务：`S10 - 用户、角色、权限与审计`
### 2026-06-21 09:28 - S08 数据库 Schema 与迁移
- 状态：已完成
- 操作服务器：本地、B
- 完成内容：实现 V2 第 10 章核心数据模型，包括客户、客户网关、策略、供应商、落地网关、线路组、充值、CDR、录音、质检、用户、角色、权限、审计、Outbox 和幂等键；生成初始化迁移；新增内置权限/角色 seed；补充数据库 Schema Runbook 和 schema 合同测试；迁移 Prisma seed 配置到 `prisma.config.ts`。
- 修改文件：`prisma/schema.prisma`、`prisma/migrations/20260621090000_init_v2_schema/migration.sql`、`prisma/seed.ts`、`prisma.config.ts`、`package.json`、`packages/database/src/schema-contract.spec.ts`、`docs/DATABASE_SCHEMA_RUNBOOK.md`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未安装新系统软件；继续使用 Prisma `6.19.0`、MySQL `8.0.46`、pnpm `10.33.0`。
- 执行的关键命令：`prisma migrate diff --from-empty --to-schema-datamodel prisma/schema.prisma --script`、`corepack pnpm@10.33.0 prisma:generate`、`prisma:validate`、`typecheck`、`test`、`lint`、`build`；通过 SSH 隧道连接 B 的临时 MySQL 库执行 `prisma migrate deploy`、`prisma db seed`、重复 seed、重复 migrate deploy、`prisma migrate status`；使用 `mysqldump --no-tablespaces` 做临时库备份恢复验证。
- 验证结果：本地 Prisma schema validate 通过；Prisma Client 生成通过；lint 通过；typecheck 通过；Vitest 3 个测试文件 6 条测试通过；workspace build 通过；B 上临时空库 `lisglosips_s08_verify_20260621091537` 成功应用 1 个迁移；seed 重复执行安全；重复 `migrate deploy` 显示无待迁移；`migrate status` 显示 schema up to date；备份恢复后计数为 `permissions=22`、`roles=5`、`role_permissions=53`、`_prisma_migrations=1`。
- 回滚方式：恢复上述本地文件到 S08 前版本；删除 `prisma/migrations/20260621090000_init_v2_schema/`。B 端仅创建临时库和临时用户，已删除 `lisglosips_s08_verify_*`、`s08v_*`、`/tmp/lisglosips-s08-*.sh` 和临时 dump 文件。
- 未解决问题：生产/准生产迁移仍需在正式发布窗口前做全量备份和恢复演练；本次只验证临时空库初始化、seed 幂等和 dump/restore。
- 下一任务：`S09 - 登录认证基础`
### 2026-06-21 08:55 - S07 V2 后端 Monorepo 骨架完成
- 状态：已完成
- 操作服务器：本地、B
- 完成内容：恢复 B 开机后完成 S07 的 B 端构建验收；补充 `scripts/pnpm-run.mjs`，让根脚本复用当前 pnpm 运行器，兼容本机 Corepack 调用和 B 上已安装的 `/usr/bin/pnpm`；在 `package.json` 中声明允许固定依赖的 pnpm build scripts，并加入 Linux x64 glibc optional dependency 支持，便于 B 端验证 Rollup/esbuild/Prisma。
- 修改文件：`package.json`、`pnpm-lock.yaml`、`scripts/pnpm-run.mjs`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：未在 B 安装新系统软件；B 使用既有 Node.js `v22.22.2`、Corepack `0.34.6`、pnpm `10.33.0`。本地和 B 的项目依赖仍按 `pnpm-lock.yaml` 固定。
- 执行的关键命令：本地 `corepack pnpm@10.33.0 lint/typecheck/test/prisma:validate/build`；B `/tmp/lisglosips-s07-20260621081708` 中执行 `pnpm install --frozen-lockfile`、离线 store 安装、`pnpm lint`、`pnpm typecheck`、`pnpm test`、`pnpm prisma:validate`、`pnpm build`、临时 API `node apps/api/dist/main.js` 健康检查。
- 验证结果：本地 lint、typecheck、Vitest 2 个测试文件 3 条测试、Prisma schema validate、workspace build 全部通过；B 端 lint、typecheck、Vitest 2 个测试文件 3 条测试、Prisma schema validate、workspace build 全部通过；B 本机临时 API `/api/v2/health/live` 返回 `ok`、`/api/v2/health/ready` 返回 `ok`、`/api/v2/openapi.json` 返回 HTTP 200。
- 回滚方式：恢复本次新增/修改的 monorepo 文件；如需恢复旧前端结构，将 `apps/web/src` 移回根目录 `src`、`apps/web/index.html` 移回根目录，并恢复旧 `package.json`/`package-lock.json`。B 端仅使用 `/tmp` 临时目录和临时 pnpm store，已删除 `/tmp/lisglosips-s07-*`、`/tmp/lisglosips-s07-src-*.zip`、`/tmp/lisglosips-s07-pnpm-store-v10.tar.gz`、`/tmp/rollup-linux-x64-gnu-4.62.2.tgz` 及 API 冒烟临时文件。
- 未解决问题：B 到 npm registry 的 TLS 连接不稳定，在线安装多次 `ECONNRESET`；本次通过本地 pnpm store 临时上传完成 B 端构建验收。后续正式部署建议使用内网 npm 缓存、制品仓库或在 CI 产出完整 release artifact。
- 下一任务：`S08 - 数据库 Schema 与迁移`
### 2026-06-21 08:10 - S07 V2 后端 Monorepo 骨架
- 状态：已阻塞
- 操作服务器：本地；Server B 仅尝试临时源码包上传和只读 SSH 连通性检查，未确认远端执行
- 完成内容：将现有 React Demo 纳入 pnpm monorepo 的 `apps/web`；创建 `apps/api` NestJS + Fastify 后端骨架；创建 `apps/worker-cdr`、`apps/worker-recording`、`apps/worker-config-publisher` worker 入口；创建 `packages/contracts`、`domain`、`database`、`redis`、`auth`、`observability` 公共包；建立 Prisma MySQL schema 占位、结构化日志脱敏、配置校验、OpenAPI JSON/Swagger 入口、健康检查、Vitest/Supertest 测试和 lint/typecheck/build/ci 命令。
- 修改文件：`package.json`、`pnpm-workspace.yaml`、`pnpm-lock.yaml`、`tsconfig.base.json`、`tsconfig.build.json`、`eslint.config.mjs`、`vitest.config.ts`、`.env.example`、`.gitignore`、`apps/`、`packages/`、`prisma/schema.prisma`；原 `src/` 和 `index.html` 已移动到 `apps/web/`。
- 安装软件及固定版本：本地通过 Corepack 使用 pnpm `10.33.0`；关键依赖固定包括 NestJS `11.1.9`、Fastify `5.6.2`、Prisma `6.19.0`、ioredis `5.8.2`、pino `9.14.0`、Vitest `4.0.14`、TypeScript `5.9.3`、Vite `5.4.21`。
- 执行的关键命令：`corepack pnpm@10.33.0 install`、`corepack pnpm@10.33.0 prisma:generate`、`corepack pnpm@10.33.0 lint`、`corepack pnpm@10.33.0 typecheck`、`corepack pnpm@10.33.0 test`、`corepack pnpm@10.33.0 prisma:validate`、`corepack pnpm@10.33.0 build`、本地 API `node apps/api/dist/main.js` 冒烟检查。
- 验证结果：本地 `lint` 通过；`typecheck` 通过；Vitest 2 个测试文件 3 条测试通过；Prisma schema validate 通过；全 workspace build 通过；本地 API 冒烟 `/api/v2/health/live` 返回 `ok`、`/api/v2/health/ready` 返回 `ok`、`/api/v2/openapi.json` 返回 HTTP 200；测试和脚本只使用无密码占位连接串。
- 回滚方式：恢复本次新增/修改的 monorepo 文件；如需恢复旧前端结构，将 `apps/web/src` 移回根目录 `src`、`apps/web/index.html` 移回根目录，并恢复旧 `package.json`/`package-lock.json`。
- 未解决问题：未完成 B 端构建验收。本机到 `100.90.90.91:22` SSH 超时；本机无 `tailscale` CLI；`scp` 曾尝试上传 `/tmp/lisglosips-s07-src-20260621080628.zip`，返回码为 0 但随后提示连接关闭，因 SSH 不通无法确认远端是否存在该临时文件，恢复连通后应检查并删除。
- 下一任务：恢复 Server B SSH/Tailscale 可达性后继续完成 `S07 - V2 后端 Monorepo 骨架` 的 B 端构建验收；不要进入 S08。
### 2026-06-21 00:20 - SSH 策略文档修订
- 状态：已完成
- 操作服务器：本地
- 完成内容：将 SSH 加固原则调整为“只调整 SSH 管理端口和允许来源，不禁止 SSH 密钥登录”；端口号统一使用 `<SSH_ADMIN_PORT>` 占位，待用户确认具体端口后再实施。
- 修改文件：`SOFTSWITCH_PLATFORM_DESIGN_V2.md`、`IMPLEMENTATION_STATUS.md`、`docs/SSH_ACCESS_RUNBOOK.md`、`docs/LISGLOSIPS_DEPLOYMENT_GUIDE.md`、`docs/infra-check.md`、`docs/SERVER_B_BASELINE_RUNBOOK.md`
- 安装软件及固定版本：无。
- 执行的关键命令：`rg` 文档复查。
- 验证结果：需求/部署文档中已无“仅 Key 登录”“禁用密码登录”作为强制策略的表述；历史盘点文件保留当时实际 `TCP 22` 快照，`docs/infra-check.md` 中历史验收项已标注后续迁移为 `<SSH_ADMIN_PORT>`。
- 回滚方式：恢复上述文档至本次修改前版本。
- 未解决问题：尚未确认 `<SSH_ADMIN_PORT>` 的具体端口号，未执行服务器侧 SSH 端口迁移。
- 下一任务：`S07 - V2 后端 Monorepo 骨架`
### 2026-06-20 23:20 - S06 Server B HOMER 与基础监控
- 状态：已完成
- 操作服务器：A、B、T、本地
- 完成内容：在 B 部署 PostgreSQL 16 HOMER 数据库、Heplify HEP 接收、Homer App、Prometheus、Grafana、MySQL/PostgreSQL/Redis/Node/Heplify exporters 和 Nginx 监控入口；在 A 部署 Node Exporter，并用独立 nftables 表限制仅 B 可抓取；重新签发开发证书，增加 `grafana.lisglosips.local` 与 `homer.lisglosips.local`；补充 S06 Runbook 和可重复部署脚本。
- 修改文件：B 的 `/etc/homer/`、`/etc/lisglosips/secrets/`、`/etc/prometheus/`、`/etc/grafana/`、`/etc/nginx/sites-available/monitoring.conf`、`/etc/systemd/system/` S06 服务、`/data/homer/postgresql`；A 的 `/etc/nftables.d/lisglosips-s06-exporter.nft`、`/etc/systemd/system/lisglosips-exporter-firewall.service`、`/etc/systemd/system/lisglosips-node-exporter.service`；本地 `infra/server-b/s06/`、`infra/server-a/s06/`、`docs/SERVER_B_HOMER_MONITORING_RUNBOOK.md`、`docs/LISGLOSIPS_DEPLOYMENT_GUIDE.md`、`.codex-private/SERVICE_CREDENTIALS.clixml`。
- 安装软件及固定版本：PostgreSQL `16.14`、Prometheus `2.45.3`、Grafana `13.0.2`、Node Exporter `1.7.0`、MySQL Exporter `0.15.0`、PostgreSQL Exporter `0.15.0`、Redis Exporter `1.86.0`；Heplify Server `v1.60.2-0.20260512101233-c74dc3d216ac`；Homer App `v0.0.0-20251021161517-9b1336352aa0`；Docker `29.1.3` 与 Compose `2.40.3` 已安装但禁用，不作为 S06 运行时。
- 执行的关键命令：`apt-get install`、Go `install/build`、`psql`、`mysql`、`redis-cli`、`promtool check config/rules`、`nginx -t`、`systemctl daemon-reload/enable/restart/reboot`、`curl`、`nft -c/-f`、HEPv3 UDP 测试脚本。
- 验证结果：B 重启后系统 `running` 且 0 failed unit；A 重启后系统 `running` 且 0 failed unit；B 的 PostgreSQL、MySQL、Redis、Nginx、Heplify、Homer、Grafana、Prometheus 和 4 个 exporter 全部 active；Prometheus 7 个 target 全部 `up`；A Node Exporter 仅监听 `100.90.90.90:9100`，B 抓取返回 200，T 访问超时；HEPv3 `INVITE` 从 A 发往 B 后写入 `homer_data.hep_proto_1_call`，方法和源/目标 IP 正确；Grafana HTTPS health 通过，已加载 `Prometheus`、`HOMER PostgreSQL` datasource 和 `LisgloSIPS Infrastructure Overview` dashboard；Homer HTTPS 返回 200；Homer/Grafana/MySQL Exporter 近 10 分钟无错误日志。
- 回滚方式：B 备份位于 `/var/backups/lisglosips-s06/20260620T132440Z`，A 备份位于 `/var/backups/lisglosips-s06/20260620225517`；停止 S06 服务、恢复配置、保留并单独备份 `/data/homer/postgresql` 后再处理数据目录；A 回滚只删除 `inet lisglosips_s06` 表和两个 S06 服务，不触碰 OpenSIPS/RTP。
- 未解决问题：外部对象存储下载被代理链路阻断，未继续采用 HOMER10 Docker 架构；当前 HOMER Web 是最小状态页，HOMER API、HEP 入库和 Grafana 可用，完整 HOMER UI 静态包待网络条件稳定后补；A 的 9100 保护只是 S06 局部规则，完整 A 防火墙留到 S18/S20。
- 下一任务：`S07 - V2 后端 Monorepo 骨架`
### 2026-06-20 20:44 - S05 Server B Node.js、Nginx 与 TLS 基线
- 状态：已完成
- 操作服务器：B、T、本地
- 完成内容：固定 Node.js 22 LTS、Corepack、pnpm 和 Nginx 版本；建立 `/opt/lisglosips/releases` 与原子 `current` 发布模型；部署受限 `lisglosips@.service` 模板和无依赖 API 健康占位服务；配置 Nginx 静态站点、API 代理、登录/API 限流、安全响应头、内部录音 Range 入口；签发仅供开发使用的私有 CA 证书；另建全项目独立部署指南。
- 修改文件：B 的 `/etc/lisglosips/web-runtime-versions.env`、`/etc/lisglosips/api.env`、`/etc/lisglosips/pki/`、`/etc/nginx/` LisgloSIPS 配置、`/etc/systemd/system/lisglosips@.service`、`/usr/local/sbin/lisglosips-issue-dev-cert` 和 `/opt/lisglosips/releases/s05-placeholder-20260620`；本地 `infra/server-b/s05/`、`docs/SERVER_B_WEB_RUNTIME_RUNBOOK.md`、`docs/LISGLOSIPS_DEPLOYMENT_GUIDE.md`、`.codex-private/tls/lisglosips-dev-ca.crt`。
- 安装软件及固定版本：Node.js `v22.22.2`（包 `22.22.2-1nodesource1`）、Corepack `0.34.6`、pnpm `10.33.0`、Nginx `1.24.0-2ubuntu7.12`；Node/Nginx 包已 hold，升级前必须复核安全公告与兼容性。
- 执行的关键命令：`apt-get install`、`apt-mark hold`、`openssl`、`nginx -t`、`systemctl daemon-reload/enable/restart/reboot`、`curl`、`systemd-analyze security`、`sha256sum`。
- 验证结果：内部和管理端 HTTPS 健康检查通过；证书链与 `100.90.90.91` SAN 校验通过；仅 TLS 1.2/1.3；首页 HSTS/CSP/防嵌套等安全头完整；登录限流测试出现预期 429；`/_recordings/` 外部访问为 404；应用只监听 `127.0.0.1:3000`，本地管理机和 T 均不能直连 3000，T 不能访问 443；systemd 安全评级为 OK；重启后 Nginx、API、MySQL、Redis 和备份 timer 正常，0 个 failed unit；11 个仓库配置与服务器文件哈希一致；文档敏感信息扫描通过。
- 回滚方式：切换 `/opt/lisglosips/current` 可回滚应用；S05 变更前备份位于 `/var/backups/lisglosips-s05/20260620T123432Z`，配置/证书/服务恢复步骤见 `docs/SERVER_B_WEB_RUNTIME_RUNBOOK.md`。
- 未解决问题：当前是开发私有 CA，迁移阿里云必须替换正式域名证书；80 已监听但仍由 nftables 拒绝，生产是否开放取决于 ACME 方案；NodeSource 在本地代理链路上偶发 TLS 握手中断，现有固定包和运行不受影响；当前 API 仅为 S05 健康占位服务，S07 替换。
- 下一任务：`S06 - Server B HOMER 与基础监控`
### 2026-06-20 20:22 - S04 Server B MySQL 与 Redis
- 状态：已完成
- 操作服务器：B、A、T、本地
- 完成内容：在 B 安装并固定 MySQL 8.0.46 与 Redis 7.0.15；建立 `/data/mysql`、`/data/redis` bind mount；完成 MySQL binlog、UTC、utf8mb4、慢查询和最小权限账号配置；完成 Redis Tailscale 私网绑定、ACL、AOF/RDB 和 `noeviction` 配置；建立 Tailscale 地址就绪依赖，消除 Redis 开机绑定竞态；配置每日 MySQL/Redis 自动备份及 14 天保留。
- 修改文件：B 的 `/etc/mysql/mysql.conf.d/99-lisglosips.cnf`、`/etc/redis/redis-lisglosips.conf`、`/etc/redis/users.acl`、`/etc/fstab`、相关 systemd unit/drop-in、备份脚本及 `/etc/lisglosips/secrets/`；本地 `docs/SERVER_B_DATA_SERVICES_RUNBOOK.md`、`infra/server-b/s04/`、`.codex-private/SERVICE_CREDENTIALS.clixml`。
- 安装软件及固定版本：MySQL `8.0.46-0ubuntu0.24.04.2`；Redis `5:7.0.15-1ubuntu0.24.04.4`；相关 MySQL/Redis 包已 `apt-mark hold`，升级前须先评估安全公告与兼容性。
- 执行的关键命令：`apt-get install`、`apt-mark hold`、`mysql`、`mysqlcheck`、`redis-cli`、`redis-check-rdb`、`systemctl`、`findmnt`、`sha256sum`、`systemctl reboot`。
- 验证结果：MySQL 仅监听本机，应用账号 DML 通过且 DDL 被拒；Redis 未认证访问被拒，应用账号读写通过且危险命令被拒，A 可通过 Tailscale 认证访问，T 到 3306/6379 被防火墙拒绝；MySQL 与 Redis 备份哈希通过，并分别完成隔离恢复和数据一致性验证；重启后 mount、服务、数据和 timer 均正常，Redis `NRestarts=0`，0 个 failed unit；11 个仓库配置与服务器文件 SHA-256 完全一致；仓库敏感信息、私密文件忽略规则和 ACL 检查通过。
- 回滚方式：变更前及迁移前数据保存在 B 的 `/var/backups/lisglosips-s04/20260620195847`；配置、数据目录和服务恢复步骤见 `docs/SERVER_B_DATA_SERVICES_RUNBOOK.md`。
- 未解决问题：开发阶段 `/data` 仍位于根盘，正式上云需改为独立数据盘；固定版本需要纳入安全补丁复核；Tailscale 首次直连协商偶尔产生短时延迟，稳态访问正常。
- 下一任务：`S05 - Server B Node.js、Nginx 与 TLS 基线`
### 2026-06-20 19:01 - S03 Server B 基础系统初始化
- 状态：已完成
- 操作服务器：B、本地
- 完成内容：升级 101 个系统包并启用 6.17.0-35 内核；安装基础工具；建立 chrony、nftables、fail2ban、sysstat；创建三个 LisgloSIPS 系统用户和 `/data` 目录基线；修复 NFS 为 Tailscale 就绪后的 automount；完成重启验收。
- 修改文件：B 的 `/etc/fstab`、`/etc/nftables.conf`、`/etc/nftables.d/lisglosips.nft`、`/etc/chrony/chrony.conf`、`/etc/chrony/sources.d/lisglosips.sources`、`/etc/fail2ban/jail.d/lisglosips.local`、`/etc/tmpfiles.d/lisglosips.conf`；本地 `docs/SERVER_B_BASELINE_RUNBOOK.md`、`infra/server-b/s03/`。
- 安装软件及固定版本：chrony 4.5-1ubuntu4.2、nftables 1.0.9-1ubuntu0.1、fail2ban 1.0.2-3ubuntu0.1；其余基础工具版本见 Runbook 和远端 post-change 包清单。
- 执行的关键命令：`apt-get dist-upgrade/install`、`chronyc`、`nft`、`fail2ban-client`、`systemd-tmpfiles`、`findmnt`、`systemctl reboot`。
- 验证结果：新内核启动；0 个 failed unit；无待升级包、无 reboot-required；chrony Stratum 3/Leap Normal；NFS automount 重启后可访问；fail2ban sshd jail active；nftables 重启后默认拒绝，开发机与 A 允许路径通过，T 到 B 的 22/443/6379/9060 被拒绝；远端配置与仓库副本哈希一致。
- 回滚方式：变更前备份 `/var/backups/lisglosips-s03/20260620184404`；防火墙可执行其中 `rollback-firewall.sh`；其余恢复方式见 Runbook。
- 未解决问题：开发阶段 `/data` 仍位于根盘；桌面/CUPS/Avahi/rpcbind 尚未精简但已被防火墙隔离；ens18 双地址/双默认路由和克隆 machine-id 仍待单独维护窗口处理。
- 下一任务：`S04 - Server B MySQL 与 Redis`
### 2026-06-20 18:37 - S02 网络与安全组验收
- 状态：已完成
- 操作服务器：A、B、T、本地
- 完成内容：确认本地开发服务器和 Tailscale 专网边界；采集六个方向稳态 RTT；验证 SIP、RTP、Web、HEP、Redis、监控与 SSH 网络路径；形成开发最小暴露矩阵和未来阿里云安全组清单。
- 修改文件：`docs/infra-check.md`、`docs/inventory-A.md`、`docs/inventory-B.md`、`docs/inventory-summary.md`、`SOFTSWITCH_PLATFORM_DESIGN_V2.md`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：无。
- 执行的关键命令：`tailscale status/ping/netcheck`、`ping`、Python 短时 TCP/UDP 监听与 ACK、SIP OPTIONS、`ss`、OpenSIPS/MariaDB 只读核验。
- 验证结果：A/B/T 六方向 0% 丢包，预热后平均 RTT 0.434-0.648 ms；1200 字节 DF 报文通过；T->A 15060/UDP 与 RTP 30000/40000 双向通过；A->T SIP 5060 返回合法 484；开发机->B 443、A->B 9060/6379、B->A 9100/22 通过；所有临时监听器均已退出。
- 回滚方式：未修改远端持久配置；短时监听器已自动退出，无需回滚。
- 未解决问题：主机防火墙尚未落地；Tailscale direct 路径曾短暂重新协商导致 SSH 超时；ens18 双地址/双默认路由仍存在；T 的权限与 RTPEngine 内核模块问题留待对应任务处理。
- 测试数据：T 的 `sip_trace` 新增 1 条 S02 OPTIONS 记录，`acc` 和 `missed_calls` 未增加。
- 下一任务：`S03 - Server B 基础系统初始化`
### 2026-06-20 18:00 - S01 三机只读资产盘点
- 状态：已完成
- 操作服务器：A、B、T、本地
- 完成内容：只读采集三机 OS、内核、CPU、内存、磁盘、网络、路由、时间、端口、服务、软件和防火墙；检查 T 的 OpenSIPS、RTPEngine、MariaDB、录音目录、配置结构与运行统计。
- 修改文件：`docs/inventory-A.md`、`docs/inventory-B.md`、`docs/inventory-T.md`、`docs/inventory-summary.md`、`IMPLEMENTATION_STATUS.md`
- 安装软件及固定版本：无。
- 执行的关键命令：`hostnamectl`、`lscpu`、`lsblk`、`ip`、`ss`、`systemctl`、`ufw status`、`nft list ruleset`、`opensips -C`、`opensips-cli`、`rtpengine-ctl`、MariaDB 只读查询。
- 验证结果：A/B/T SSH 复验通过；T 的 OpenSIPS、RTPEngine、录音守护进程、MariaDB、Apache 均 active；OpenSIPS 主配置哈希与盘点时一致；报告完整性及敏感信息扫描通过。
- 回滚方式：S01 未修改远端配置、数据或服务，无需回滚。
- 未解决问题：三机克隆身份相同；均有双 IPv4/双默认路由；UFW 未启用；B 的 NFS mount 失败；T 的 TLS 私钥为 0644、MI FIFO 为 0666、RTPEngine 无内核模块；当前 T 无注册账号和路由数据。
- 下一任务：`S02 - 网络与安全组验收`
### 2026-06-20 15:08 - S00 SSH 安全接入与凭据迁移
- 状态：已完成
- 操作服务器：A、B、T、本地
- 完成内容：生成项目专用 Ed25519 Key；三机安装公钥；发现并修复克隆服务器共享 SSH host key；轮换 `hector` 密码；建立严格 known_hosts 和 SSH 别名。后续 SSH 变更按最新要求只调整管理端口，不禁止 SSH 密钥登录。
- 修改文件：`.codex-private/ssh/lisglosips_codex_ed25519`、`.codex-private/ssh/config`、`.codex-private/ssh/known_hosts`、`.codex-private/SERVER_CREDENTIALS.clixml`、`docs/SSH_ACCESS_RUNBOOK.md`
- 安装软件及固定版本：本地私密目录安装 Paramiko 5.0.0，仅用于首次安全接入自动化。
- 验证结果：A/B/T 均通过 Key 新会话；`sshd -t` 通过；SSH 密钥登录保持开启；新 sudo 密码逐台验证通过。
- 回滚方式：见 `docs/SSH_ACCESS_RUNBOOK.md`，三台服务器 `/var/backups/lisglosips-s00/` 保留轮换前和加固前备份。
- 未解决问题：尚未盘点三机软件、磁盘、服务和网络；容量参数与 RTP 端口段仍未确认。
- 下一任务：`S01 - 三机只读资产盘点`
### 2026-06-20 - 计划初始化
- 状态：已完成
- 操作服务器：本地
- 完成内容：建立 Codex 原子任务列表、服务器索引和跨会话交接规范。
- 修改文件：`SOFTSWITCH_PLATFORM_DESIGN_V2.md`、`IMPLEMENTATION_STATUS.md`、`.gitignore`、`.codex-private/SERVER_ACCESS.md`
- 验证结果：等待开始 S00。
- 未解决问题：尚未连接服务器；尚未确认容量参数和 RTP 端口段。
- 下一任务：`S00 - SSH 安全接入与凭据迁移`
Reference in New Issue View Git Blame Copy Permalink