@peterwangze/claude-trigger-router 1.1.1 → 1.1.2

package/README.md

@@ -19,8 +19,8 @@ Claude Trigger Router 是给 Claude Code 用的本地路由代理。
 - **基础路由**：用 `Router.default`、`Router.think`、`Router.longContext` 等槽位指定不同任务的默认模型。
 - **SmartRouter**：先用显式规则命中高确定性任务，也可以在规则未命中时让路由模型从候选模型中自动选择。
 - **Governance 观测**：记录 trace、metrics、异常摘要和健康状态，帮助你理解路由选择和运行风险。
-- **doctor 诊断**：检查配置、服务可启动性、模型兼容策略和可选模型探测。
-- **UI 工作台**：`ctr ui` 打开本地页面，查看服务上下文、远程状态、配置草稿、compiled models、capability warnings、治理 trace、metrics 和 Health 摘要。
+- **doctor 诊断**：检查配置、服务可启动性、鉴权安全状态、模型兼容策略和可选模型探测。
+- **UI 工作台**：`ctr ui` 打开本地页面，查看服务上下文、远程状态、鉴权安全状态、配置草稿、compiled models、capability warnings、治理 trace、metrics 和 Health 摘要。
 - **远程状态基础**：可配置 `Runtime.remote_service`，通过 `/api/remote-status` 查看远程服务健康、compiled model 摘要和治理告警摘要。默认用户不需要配置远程模式。
 
 ## 部署模式与边界
@@ -33,12 +33,33 @@ Claude Trigger Router 是给 Claude Code 用的本地路由代理。
 
 已落地的远程能力聚焦在“远程服务连接配置、状态查询和注册摘要”。它不会默认替代本地代理主路径，也不会自动启用尚未实现的集群、节点调度或托管控制面。
 
-如果要把当前机器作为远程 `server` 暴露给其他客户端，最小配置仍然是普通的 `Models + Router.default`，再加上服务端监听和鉴权：
+如果要把当前机器作为远程 `server` 暴露给其他客户端，先生成安全默认的服务端配置：
+
+```bash
+ctr deploy init --target server
+```
+
+该命令会写入 `HOST: "0.0.0.0"`、随机 bootstrap `APIKEY`、`Runtime.mode: "server"`、日志开关、健康检查所需端口和一份可编辑的 `Models + Router.default` 起步模板。它不会覆盖已有配置；如需重建模板，显式追加 `--force`。
+
+npm 包也随附可复制部署模板：
+
+- `config/deploy/docker-compose.server.yaml`
+- `config/deploy/systemd/claude-trigger-router.service`
+
+角色化手册：
+
+- 配置角色总览：[docs/configuration-roles.md](docs/configuration-roles.md)
+- 服务提供者/维护者：[docs/server-maintainer-guide.md](docs/server-maintainer-guide.md)
+- 远程服务使用者：[docs/remote-client-guide.md](docs/remote-client-guide.md)
+
+这些模板仍以 `ctr deploy init --target server` 生成的配置为起点。首次暴露给其他机器前，请先确认 `APIKEY` 或 active managed key 存在，并优先放在 HTTPS 反向代理或内网之后。
+
+生成后确认或调整的最小结构如下：
 
 ```yaml
 HOST: "0.0.0.0"
 PORT: 5678
-APIKEY: "change-me"
+APIKEY: "ctr_bootstrap_..."
 
 Runtime:
   mode: "server"
@@ -57,10 +78,19 @@ Router:
 启动方式：
 
 ```bash
+ctr doctor
 ctr start --daemon
 ```
 
-注意：如果配置了 `HOST: "0.0.0.0"` 但没有设置 `APIKEY`，运行时会为了安全强制只监听 `127.0.0.1`。远程客户端里的 `Runtime.remote_service.auth_token` 应该填写服务端的 `APIKEY`，并建议把公网入口放在 HTTPS 反向代理之后。启用 `APIKEY` 后 `/ui` 也会受认证保护；远程浏览器访问 UI 时建议使用本地隧道、内网访问，或由反向代理处理认证。
+安全边界：
+
+- 如果配置了 `HOST: "0.0.0.0"` 但没有设置 `APIKEY` 或 active managed key，运行时会为了安全强制只监听 `127.0.0.1`。
+- `APIKEY` 定位为 bootstrap/admin key；服务端启动后用它调用 `POST /api/auth/keys` 生成给远程使用者的 managed key。
+- 远程日常 token 推荐同时授予 `client + read-only`：`client` 用于模型调用，`read-only` 用于 ready/status、compiled models 和 governance 观测接口。
+- `admin` key 才能访问 `/ui`、配置保存、重启、auth 管理和治理写操作。列表接口只返回 key 前后缀，secret 只在创建时返回一次。
+- managed key 支持过期、撤销和 `quota.request_limit` / `quota.token_limit` / `quota.window_seconds`；窗口配额超限时 429 会返回 `quota.windowResetAt` 和 `Retry-After`。
+- `GET /api/service-info` 会返回脱敏的 `auth` / `security` 摘要和 quota 用量；`GET /api/auth/audit` 可用 admin key 查看最近鉴权允许/拒绝记录。
+- 公网入口仍建议放在 HTTPS 反向代理之后；远程浏览器访问 UI 时建议使用本地隧道、内网访问，或由反向代理处理认证。
 
 ## 安装
 
@@ -87,12 +117,13 @@ ctr setup
 
 - 复用已有 `~/.claude-trigger-router/config.yaml`
 - 探测并迁移旧 `claude-code-router` 配置
-- 在没有可用配置时询问“本地使用”还是“连接远程服务”
+- 在没有可用配置时询问“本地使用”、“连接远程服务”还是“部署为远程服务端”
 - 本地使用时创建最小可用配置
 - 连接远程服务时写入 `Runtime.remote_service`，不要求你先填写本地 provider/model
+- 部署为远程服务端时生成 server profile 和 bootstrap admin `APIKEY`，但不会自动启动服务
 - 本地使用时，引导填写默认模型 ID、接口地址、API Key 和模型名
 - 本地使用时，可选追加复杂任务模型，并生成 SmartRouter 起步模板
-- 保存配置后启动本地服务
+- 保存配置后按角色输出下一步：本地路径提示 `ctr code` 和路由模板，远程客户端路径提示 `ctr status` / 远端 ready 检查，服务端路径提示 `ctr doctor` / `ctr start --daemon`
 
 本地使用路径完成后按这个顺序使用：
 
@@ -103,7 +134,7 @@ ctr code
 
 `ctr code` 会带着本地代理环境启动 Claude Code。之后你在 Claude Code 里的请求会经过本地 Trigger Router。
 
-如果 setup 选择的是“连接远程服务”，当前主要用于生成远程服务连接配置并检查远程状态；首次日常使用仍建议先跑通本地 `Models + Router.default` 主路径。
+如果 setup 选择的是“连接远程服务”，当前主要用于生成远程服务连接配置并通过 `ctr status` 检查远端 ready 状态；日常直连远程服务时，请按服务维护者提供的 `ANTHROPIC_BASE_URL` 和 `ANTHROPIC_AUTH_TOKEN` 配置 Claude Code。首次日常使用仍建议先跑通本地 `Models + Router.default` 主路径。如果选择“部署为远程服务端”，setup 只生成配置，不会自动启动；请先编辑 `Models[].key` / `Models[].model`，再运行 `ctr doctor` 和 `ctr start --daemon`。
 
 ## 手动配置
 
@@ -297,8 +328,10 @@ http://127.0.0.1:5678/ui
 
 - 本地服务 ready 状态、端口、模型数和 `Router.default`
 - `Runtime.mode` 与当前服务角色
+- 当前监听地址和远程客户端接入建议
 - 远程服务状态摘要
 - Registration 模型和上游服务摘要
+- Auth 与 Security 摘要，用于发现 server/cloud 或公网监听无鉴权风险
 
 维护者工作台里的 Health 摘要来自 `GET /api/governance/health`，用于快速判断近期治理状态：
 
@@ -338,6 +371,8 @@ ctr doctor
 - 配置是否能通过本地校验
 - 服务是否可启动
 - 当前服务上下文：`local` / `server` / `cloud`
+- 当前监听地址；server/cloud 会提示远程客户端应设置的 `ANTHROPIC_BASE_URL`
+- 当前鉴权状态；如果 server/cloud 或公网监听没有配置 `APIKEY` / managed key，会提示安全风险
 - 如果启用了 `Runtime.remote_service`，会单独检查远程服务可达和 ready 状态
 - 模型兼容策略和请求编译方式
 - capability hint 可能触发的运行时降级
@@ -357,7 +392,7 @@ Runtime:
   remote_service:
     enabled: true
     base_url: "https://router.example.com"
-    auth_token: "${CTR_REMOTE_AUTH_TOKEN}" # 对应远程服务端 APIKEY
+    auth_token: "${CTR_REMOTE_AUTH_TOKEN}" # 推荐使用远程服务端生成的 managed key；如需 ready/status 探测，同时授予 client 与 read-only scope
 
 Router: {}
 ```
@@ -374,6 +409,7 @@ GET /api/remote-status
 GET /api/service-info
 GET /api/remote-status
 GET /api/registration
+GET /api/auth/audit
 ```
 
 这条能力当前作为远程接入基础 contract 提供，用于服务发现、状态检查和注册摘要；它不表示已经自动把 Claude Code 请求转发到远端。首次使用仍建议从本地 `ctr setup -> ctr start -> ctr code` 开始。
@@ -384,6 +420,7 @@ GET /api/registration
 |---|---|
 | `ctr setup` | 首次配置、复用、迁移、修复配置 |
 | `ctr init --force` | 生成最小配置模板 |
+| `ctr deploy init --target server` | 生成安全默认的自托管 server 配置 |
 | `ctr start` | 前台启动本地服务 |
 | `ctr start --daemon` | 后台启动本地服务 |
 | `ctr status` | 查看服务状态 |

package/config/deploy/README.md

@@ -0,0 +1,36 @@
+# Claude Trigger Router server deployment templates
+
+These templates are included in the npm package under `config/deploy`.
+
+Role-specific guides live in:
+
+- `docs/server-maintainer-guide.md`
+- `docs/remote-client-guide.md`
+
+Recommended flow:
+
+```bash
+ctr deploy init --target server
+ctr doctor
+ctr start --daemon
+```
+
+Use `docker-compose.server.yaml` when you want a minimal container profile. Prepare `./ctr-home/.claude-trigger-router/config.yaml` with `ctr deploy init --target server`, edit `Models[].key` and `Models[].model`, then run:
+
+```bash
+docker compose -f docker-compose.server.yaml up -d
+```
+
+Use `systemd/claude-trigger-router.service` when you want a Linux service unit. Copy it to `/etc/systemd/system/`, edit the service user and paths, prepare the service user's config, then run:
+
+```bash
+systemctl daemon-reload
+systemctl enable --now claude-trigger-router
+```
+
+Security notes:
+
+- Keep the generated bootstrap `APIKEY` for maintainers only.
+- Generate managed `client + read-only` keys for remote clients.
+- Put public deployments behind HTTPS reverse proxy or private network access.
+- Use `ctr status`, `ctr doctor`, and `/ui` to confirm role, listener, auth state, and remote client connection guidance after deployment.

package/config/deploy/docker-compose.server.yaml

@@ -0,0 +1,29 @@
+# Claude Trigger Router self-hosted server profile.
+# Prepare ./ctr-home/.claude-trigger-router/config.yaml with:
+#   HOME=./ctr-home ctr deploy init --target server
+#
+# The config file must contain a bootstrap APIKEY or active managed key before
+# exposing HOST: 0.0.0.0 to other machines.
+services:
+  claude-trigger-router:
+    image: node:24-alpine
+    container_name: claude-trigger-router
+    working_dir: /srv/ctr
+    command: >
+      sh -lc "npm install -g @peterwangze/claude-trigger-router@latest
+      && ctr start --port 5678"
+    environment:
+      HOME: /srv/ctr
+      USERPROFILE: /srv/ctr
+      NODE_ENV: production
+    volumes:
+      - ./ctr-home:/srv/ctr
+    ports:
+      - "5678:5678"
+    restart: unless-stopped
+    healthcheck:
+      test: ["CMD-SHELL", "wget -qO- http://127.0.0.1:5678/health | grep claude-trigger-router"]
+      interval: 30s
+      timeout: 5s
+      retries: 3
+      start_period: 20s

package/config/deploy/systemd/claude-trigger-router.service

@@ -0,0 +1,33 @@
+# Claude Trigger Router self-hosted server unit.
+# Copy to /etc/systemd/system/claude-trigger-router.service, then edit User,
+# WorkingDirectory, Environment, and ExecStart paths for your host.
+#
+# Prepare the service user's config first:
+#   sudo -u ctr env HOME=/var/lib/claude-trigger-router ctr deploy init --target server
+#
+# The generated config must keep APIKEY or an active managed key before
+# exposing HOST: 0.0.0.0.
+[Unit]
+Description=Claude Trigger Router
+After=network-online.target
+Wants=network-online.target
+
+[Service]
+Type=simple
+User=ctr
+Group=ctr
+WorkingDirectory=/var/lib/claude-trigger-router
+Environment=HOME=/var/lib/claude-trigger-router
+Environment=USERPROFILE=/var/lib/claude-trigger-router
+Environment=NODE_ENV=production
+ExecStart=/usr/bin/env ctr start --port 5678
+Restart=on-failure
+RestartSec=5
+NoNewPrivileges=true
+PrivateTmp=true
+ProtectSystem=full
+ProtectHome=false
+ReadWritePaths=/var/lib/claude-trigger-router
+
+[Install]
+WantedBy=multi-user.target