kiku-agent 1.0.11 → 1.2.0

package/server/web-chat/core/errorHandler.js

@@ -0,0 +1,51 @@
+export function sendJson(res, statusCode, data, headers = {}) {
+  const jsonStr = JSON.stringify(data);
+  res.writeHead(statusCode, {
+    'Content-Type': 'application/json; charset=utf-8',
+    ...headers
+  });
+  res.end(jsonStr);
+}
+
+export function sendError(res, statusCode, message, extra = {}) {
+  if (res.headersSent) return;
+  sendJson(res, statusCode, {
+    status: 'error',
+    error: message,
+    ...extra
+  });
+}
+
+export function parseJsonBody(req, maxBytes = 512 * 1024) {
+  return new Promise((resolve, reject) => {
+    let bodyStr = '';
+    let bytesCount = 0;
+
+    req.on('data', chunk => {
+      bytesCount += chunk.length;
+      if (bytesCount > maxBytes) {
+        req.destroy();
+        reject(new Error('Payload too large'));
+        return;
+      }
+      bodyStr += chunk;
+    });
+
+    req.on('end', () => {
+      if (!bodyStr || bodyStr.trim() === '') {
+        resolve({});
+        return;
+      }
+      try {
+        const parsed = JSON.parse(bodyStr);
+        resolve(parsed);
+      } catch (err) {
+        reject(new Error(`Invalid JSON: ${err.message}`));
+      }
+    });
+
+    req.on('error', err => {
+      reject(err);
+    });
+  });
+}

package/server/web-chat/core/followUpEngine.js

@@ -0,0 +1,182 @@
+function stripSuggestionMd(s) {
+  return String(s || '')
+    .replace(/\*\*(.+?)\*\*/g, '$1')
+    .replace(/__(.+?)__/g, '$1')
+    .replace(/^[\s#>*•\-–—\d.)\]]+/, '')
+    .replace(/[\s#*_\]]+$/, '')
+    .replace(/^(💡\s*)+/, '')
+    .trim();
+}
+
+function extractSuggestionItems(raw) {
+  let text = String(raw || '').replace(/\[SUGGESTED_FOLLOW_UPS\]|\[\/SUGGESTED_FOLLOW_UPS\]/gi, ' ');
+  const headerCut = text.match(/(suggested follow-?ups?|related questions?|คำถามแนะนำ|แนะนำถามต่อ)\s*[:：]?\s*([\s\S]+)$/i);
+  if (headerCut && headerCut[2].trim().length > 3) text = headerCut[2];
+  text = text.replace(/\*\*/g, '').replace(/(^|[\s(["'])\*([^*?\n]+?)\*/g, '$1$2');
+  text = text
+    .replace(/\s+[•]\s+/g, '\n')
+    .replace(/\s+-\s+(?=[💡🌸🎬🎵🎭🌟💎👗⚖🔍📖🏆🐍🌺🦚🌿🎧💃🚀👑🏛🍊📺💄🎧🗡🌟🎪🎹])/g, '\n');
+  const items = [];
+  for (const chunk of text.split('\n')) {
+    const subs = chunk.split(/(?<=[?？!！])\s*-\s+/);
+    for (const sub of subs) {
+      const cleaned = stripSuggestionMd(sub);
+      if (!cleaned || cleaned.length <= 3) continue;
+      if (cleaned.length > 140) {
+        const parts = cleaned.match(/[^?？!！\n]{4,}[?？!！]/g) || [];
+        if (parts.length > 0) {
+          for (const p of parts) {
+            const q = stripSuggestionMd(p);
+            if (q.length > 3 && q.length <= 140) items.push(q);
+          }
+          continue;
+        }
+        items.push(cleaned.slice(0, 140));
+      } else {
+        items.push(cleaned);
+      }
+    }
+  }
+  return items.slice(0, 4);
+}
+
+export function extractAgentFollowUpQuestions(text) {
+  if (!text || typeof text !== 'string') {
+    return { cleanText: text || '', suggestions: [] };
+  }
+
+  let cleanText = text;
+  const suggestions = [];
+
+  
+  const blockMatch = cleanText.match(/\[SUGGESTED_FOLLOW_UPS\]([\s\S]*?)\[\/SUGGESTED_FOLLOW_UPS\]/i);
+  if (blockMatch) {
+    const rawList = blockMatch[1];
+    cleanText = cleanText.replace(blockMatch[0], '').trim();
+    const lines = extractSuggestionItems(rawList).filter(l => l.length > 3);
+
+    lines.slice(0, 4).forEach(q => {
+      suggestions.push({
+        label: '💡 ' + q,
+        query: q
+      });
+    });
+  }
+
+  
+  if (suggestions.length === 0) {
+    const sectionMatch = cleanText.match(/(?:^|\n)[\-*•#\s]*(?:💡)?[\-*•#\s]*(?:แนะนำถามต่อ|คำถามแนะนำที่น่าสนใจ|คำถามที่อาจสนใจ|คำถามน่าสนใจ|Suggested Follow-ups?|Related Questions?)[:：]?\s*([\s\S]+)/im);
+    if (sectionMatch) {
+      const rawList = sectionMatch[1];
+      const lines = extractSuggestionItems(rawList)
+        .filter(l => l.length > 3 && !l.startsWith('#') && !l.startsWith('>'));
+      if (lines.length > 0) {
+        cleanText = cleanText.replace(sectionMatch[0], '').trim();
+        lines.slice(0, 4).forEach(q => {
+          suggestions.push({
+            label: '💡 ' + q,
+            query: q
+          });
+        });
+      }
+    }
+  }
+
+ 
+  if (suggestions.length === 0) {
+    const lines = cleanText.split('\n');
+    const trailingChips = [];
+    let cutIndex = lines.length;
+    for (let i = lines.length - 1; i >= 0; i--) {
+      const line = lines[i].trim();
+      if (!line) continue;
+      const m = line.match(/^[-*•]?\s*💡\s*(.+)$/);
+      if (m) {
+        trailingChips.unshift(m[1].trim());
+        cutIndex = i;
+      } else {
+        break;
+      }
+    }
+    if (trailingChips.length > 0) {
+      cleanText = lines.slice(0, cutIndex).join('\n').trim();
+      extractSuggestionItems(trailingChips.join('\n')).slice(0, 4).forEach(q => {
+        suggestions.push({
+          label: '💡 ' + q,
+          query: q
+        });
+      });
+    }
+  }
+
+  return { cleanText, suggestions };
+}
+
+export function generateDynamicFollowUps({ query = '', answer = '', tools = [] } = {}) {
+  const combined = (query + ' ' + answer).toLowerCase();
+  const suggestions = [];
+
+  
+  if (combined.includes('ฮวาเจียนหลิง') || combined.includes('in blossom') || combined.includes('花间令') || combined.includes('หยางไฉ่เวย') || combined.includes('ซ่างกวนจื่อ')) {
+    suggestions.push(
+      { label: '🌸 ตัวตนกับรูปลักษณ์', query: 'วิเคราะห์การถ่ายทอดตัวตนของหยางไฉ่เวยภายใต้รูปลักษณ์ซ่างกวนจื่อในฮวาเจียนลิ่ง' },
+      { label: '🎵 เพลงประกอบฮวาเจียนลิ่ง', query: 'เพลงประกอบซีรีส์ ฮวาเจียนลิ่ง (In Blossom OST) ทั้งหมดมีเพลงอะไรบ้าง' },
+      { label: '🎬 ปมเปลี่ยนใบหน้า', query: 'อธิบายว่าปมเปลี่ยนใบหน้าในฮวาเจียนลิ่งส่งผลต่อการสืบคดีและตัวตนของหยางไฉ่เวยอย่างไร' }
+    );
+  } else if (combined.includes('หยุนซี') || combined.includes('yunxi') || combined.includes('芸汐传')) {
+    suggestions.push(
+      { label: '🌿 ทักษะพิษและวิชาแพทย์', query: 'เล่าจุดเด่นวิชาแพทย์และทักษะการใช้พิษของหานหยุนซีในตำนานหยุนซี' },
+      { label: '🎵 เพลง 叹云兮 (Sigh of Yunxi)', query: 'เบื้องหลังและเสน่ห์ของเพลง 叹云兮 (Sigh of Yunxi) ขับร้องโดยจวีจิ้งอี' },
+      { label: '🌟 เคมีคู่กับหลงเฟยเย่', query: 'เคมีการแสดงระหว่าง จวีจิ้งอี และ จางเจ๋อฮั่น ในซีรีส์ตำนานหยุนซี' }
+    );
+  } else if (combined.includes('นางพญางูขาว') || combined.includes('white snake') || combined.includes('ไป๋ซู่เจิน')) {
+    suggestions.push(
+      { label: '🐍 เสน่ห์บทบาทไป๋ซู่เจิน', query: 'ความโดดเด่นและชุดแต่งกายสีขาวอันเป็นเอกลักษณ์ของไป๋ซู่เจิน 2019' },
+      { label: '🎵 เพลง 千年等一回', query: 'เพลง 千年等一回 เวอร์ชันจวีจิ้งอี มีความไพเราะและกระแสตอบรับอย่างไร' },
+      { label: '✨ ฉากตำนานสะพานขาด', query: 'เล่าฉากพบกันบนสะพานขาดระหว่างไป๋ซู่เจินและสวี่เซียน' }
+    );
+  } else if (combined.includes('veil of shadows') || combined.includes('月鳞绮纪') || combined.includes('ลู่หวู่อี้')) {
+    suggestions.push(
+      { label: '🗡️ บทบาทลู่หวู่อี้ 2026', query: 'บทบาท ลู่หวู่อี้ ในซีรีส์ Veil of Shadows (月鳞绮纪) มีความท้าทายอย่างไร' },
+      { label: '🎵 เพลงคู่ ไม่ทุกข์ตรม (不苦)', query: 'เบื้องหลังเพลง 不苦 (Not Suffering) ร้องคู่กับ เถียนเจียรุ่ย' },
+      { label: '📺 กำหนดการฉายและแพลตฟอร์ม', query: 'อัปเดตสถานะและแพลตฟอร์มการออกอากาศของ Veil of Shadows' }
+    );
+  } else if (combined.includes('versace') || combined.includes('แบรนด์') || combined.includes('แฟชั่น') || combined.includes('พรีเซนเตอร์')) {
+    suggestions.push(
+      { label: '💎 Versace Global Ambassador', query: 'เจาะลึกบทบาท จวีจิ้งอี กับตำแหน่ง Global Brand Ambassador ของ Versace' },
+      { label: '💄 สไตล์เมคอัพ Ju Jingyi', query: 'วิเคราะห์อิทธิพลของสไตล์การแต่งหน้า Ju Jingyi Makeup ที่ฮิตไปทั่วโลก' },
+      { label: '👗 แบรนด์พรีเซนเตอร์ทั้งหมด', query: 'สรุปแบรนด์ที่จวีจิ้งอีเป็นพรีเซนเตอร์และแอมบาสเดอร์ในปัจจุบัน' }
+    );
+  } else if (combined.includes('เพลง') || combined.includes('song') || combined.includes('singles') || combined.includes('find the way') || combined.includes('everyday')) {
+    suggestions.push(
+      { label: '🚀 ซิงเกิล FIND THE WAY 2026', query: 'เบื้องหลังเพลง FIND THE WAY และคอนเซปต์ใหม่ปี 2026' },
+      { label: '🎧 ซิงเกิลเดี่ยวและ OST ทั้งหมด', query: 'รวมเพลงเดี่ยวและเพลงประกอบซีรีส์ยอดนิยมของจวีจิ้งอี' },
+      { label: '💃 สเตจเต้น 红昭愿 ในตำนาน', query: 'สเตจการเต้นเพลง 红昭愿 (Hong Zhao Yuan) ชุดแดงที่เป็นตำนาน' }
+    );
+  } else {
+   
+    const workTool = tools.find(t => t.name === 'search_works' || t.name === 'get_work_detail');
+    if (workTool && workTool.result?.works?.[0]) {
+      const w = workTool.result.works[0];
+      const title = w.titleTh || w.titleCn;
+      suggestions.push(
+        { label: `🎬 เจาะลึกบทบาทใน ${title}`, query: `เจาะลึกบทบาทและเบื้องหลังการแสดงของจวีจิ้งอีในเรื่อง ${title}` },
+        { label: `🎵 เพลงประกอบซีรีส์ ${title}`, query: `เพลงประกอบซีรีส์ ${title} ขับร้องโดยใครบ้าง` },
+        { label: `🏆 กระแสตอบรับของ ${title}`, query: `กระแสตอบรับ เรตติ้ง และรางวัลของซีรีส์ ${title}` }
+      );
+    } else {
+      suggestions.push(
+        { label: '🎬 แนะนำซีรีส์ยอดนิยมที่ไม่ควรพลาด', query: 'แนะนำซีรีส์ยอดนิยมและบทบาทมาสเตอร์พีซของจวีจิ้งอี' },
+        { label: '🎵 เพลงฮิตและสเตจแสดงสดเด่นๆ', query: 'รวมบทเพลงฮิตและสเตจการแสดงสดที่เป็นไวรัลของจวีจิ้งอี' },
+        { label: '💎 ก้าวสู่ศิลปินเดี่ยวและรางวัล', query: 'เส้นทางการเป็นศิลปินเดี่ยว การก่อตั้งสตูดิโอ และรางวัลสำคัญ' }
+      );
+    }
+  }
+
+  return suggestions.slice(0, 3);
+}
+
+export default {
+  extractAgentFollowUpQuestions,
+  generateDynamicFollowUps,
+};

package/server/web-chat/core/futureEventGuard.js

@@ -0,0 +1,80 @@
+const MONTHS = new Map([
+  ['january', 1], ['jan', 1], ['มกราคม', 1], ['ม.ค.', 1],
+  ['february', 2], ['feb', 2], ['กุมภาพันธ์', 2], ['ก.พ.', 2],
+  ['march', 3], ['mar', 3], ['มีนาคม', 3], ['มี.ค.', 3],
+  ['april', 4], ['apr', 4], ['เมษายน', 4], ['เม.ย.', 4],
+  ['may', 5], ['พฤษภาคม', 5], ['พ.ค.', 5],
+  ['june', 6], ['jun', 6], ['มิถุนายน', 6], ['มิ.ย.', 6],
+  ['july', 7], ['jul', 7], ['กรกฎาคม', 7], ['ก.ค.', 7],
+  ['august', 8], ['aug', 8], ['สิงหาคม', 8], ['ส.ค.', 8],
+  ['september', 9], ['sep', 9], ['กันยายน', 9], ['ก.ย.', 9],
+  ['october', 10], ['oct', 10], ['ตุลาคม', 10], ['ต.ค.', 10],
+  ['november', 11], ['nov', 11], ['พฤศจิกายน', 11], ['พ.ย.', 11],
+  ['december', 12], ['dec', 12], ['ธันวาคม', 12], ['ธ.ค.', 12]
+]);
+
+function normalizeYear(year) {
+  const value = Number(year);
+  return value > 2400 ? value - 543 : value;
+}
+
+export function findFutureDates(text, now = new Date()) {
+  const candidates = [];
+  const value = String(text || '');
+  const iso = /\b(20\d{2})[-/](\d{1,2})[-/](\d{1,2})\b/g;
+  const written = new RegExp(`\\b(\\d{1,2})\\s+(${[...MONTHS.keys()].map(key => key.replace(/[.*+?^${}()|[\]\\]/g, '\\$&')).join('|')})\\s+(20\\d{2}|25\\d{2})\\b`, 'gi');
+  const yearOnly = /\b(20\d{2}|25\d{2})\b/g;
+  let match;
+
+  while ((match = iso.exec(value))) candidates.push(new Date(Number(match[1]), Number(match[2]) - 1, Number(match[3])));
+  while ((match = written.exec(value))) {
+    candidates.push(new Date(normalizeYear(match[3]), MONTHS.get(match[2].toLowerCase()) - 1, Number(match[1])));
+  }
+  while ((match = yearOnly.exec(value))) {
+    const year = normalizeYear(match[1]);
+    if (year > now.getFullYear()) candidates.push(new Date(year, 11, 31));
+  }
+
+  const startOfToday = new Date(now.getFullYear(), now.getMonth(), now.getDate());
+  return candidates.filter(date => Number.isFinite(date.getTime()) && date > startOfToday);
+}
+
+function hasLiveVerification(tools = []) {
+  return tools.some(tool => /^(?:web_search|web_extract|fetch_webpage|verify_claim)$/.test(tool?.name || ''));
+}
+
+function redactUnverifiedFutureDates(text, now) {
+  const startOfToday = new Date(now.getFullYear(), now.getMonth(), now.getDate());
+  const written = new RegExp(`(\\d{1,2})\\s+(${[...MONTHS.keys()].map(key => key.replace(/[.*+?^${}()|[\]\\]/g, '\\$&')).join('|')})\\s+(20\\d{2}|25\\d{2})`, 'gi');
+  return String(text)
+    .replace(/\b(20\d{2})[-/](\d{1,2})[-/](\d{1,2})\b/g, (match, year, month, day) => {
+      const date = new Date(Number(year), Number(month) - 1, Number(day));
+      return date > startOfToday ? 'วันที่ในอนาคตที่ยังไม่ยืนยัน' : match;
+    })
+    .replace(written, (match, day, month, year) => {
+      const date = new Date(normalizeYear(year), MONTHS.get(String(month).toLowerCase()) - 1, Number(day));
+      return date > startOfToday ? 'วันที่ในอนาคตที่ยังไม่ยืนยัน' : match;
+    });
+}
+
+export function applyFutureEventGuard(answer, { tools = [], now = new Date() } = {}) {
+  let text = String(answer || '');
+  if (!text || findFutureDates(text, now).length === 0) return text;
+  const verified = hasLiveVerification(tools);
+  const warning = verified
+    ? '> **สถานะข้อมูลล่วงหน้า:** กำหนดการหรือรายชื่อผู้เข้าร่วมยังอาจเปลี่ยนแปลงได้ โปรดตรวจสอบประกาศทางการล่าสุดอีกครั้ง'
+    : '> **สถานะข้อมูลล่วงหน้า:** วันที่กล่าวถึงยังมาไม่ถึง และยังไม่ได้รับการยืนยันจากแหล่งข้อมูลสดในคำตอบนี้ กำหนดการและรายชื่อผู้เข้าร่วมจึงไม่ควรถูกมองว่าแน่นอน';
+
+  text = text
+    .replace(/(?:ได้รับเชิญ(?:ให้)?|ถูกเชิญให้)เข้าร่วมงานแน่นอน/g, 'มีรายงานเรื่องการเชิญเข้าร่วมงาน แต่สถานะยังอาจเปลี่ยนแปลงได้')
+    .replace(/(?:จะ|ยืนยันว่าจะ)เข้าร่วมงานแน่นอน/g, 'มีกำหนดเข้าร่วมตามข้อมูลที่เผยแพร่ล่าสุด แต่ยังอาจเปลี่ยนแปลงได้')
+    .replace(/\bwill definitely attend\b/gi, 'is scheduled to attend, subject to change');
+
+  if (!verified) {
+    text = redactUnverifiedFutureDates(text, now)
+      .replace(/ได้รับเชิญ(?:ให้)?เข้าร่วมงาน/g, 'มีรายงานที่ยังต้องตรวจสอบเรื่องการเชิญเข้าร่วมงาน')
+      .replace(/\bhas been invited\b/gi, 'has reportedly been invited, pending official confirmation');
+  }
+
+  return text.includes('สถานะข้อมูลล่วงหน้า:') ? text : `${warning}\n\n${text}`;
+}

package/server/web-chat/core/memorySnapshot.js

@@ -0,0 +1,12 @@
+export function getAgentMemorySnapshot(agent, requestedSessionId = null) {
+  if (!agent) return null;
+  const memoryStatus = agent.memory?.getStatus?.() || {};
+  return {
+    sessionId: requestedSessionId || agent.session?.id || null,
+    messageCount: agent.session?.messages?.length || 0,
+    restoredMessageCount: agent.restoredMessageCount || 0,
+    longTermFacts: memoryStatus.factsCount || 0,
+    archivedSessions: memoryStatus.sessionsCount || 0,
+    persistent: !agent.memory?._storageError,
+  };
+}

package/server/web-chat/core/security.js

@@ -0,0 +1,146 @@
+import { createHash, timingSafeEqual } from 'node:crypto';
+
+const rateLimitStore = new Map();
+const RATE_LIMIT_WINDOW_MS = 60_000;
+const MAX_CHAT_REQUESTS_PER_MINUTE = 60;
+
+export function resolveAllowedOrigin(requestOrigin) {
+  if (!requestOrigin) return null;
+
+  try {
+    const parsed = new URL(requestOrigin);
+    const isDevelopment = process.env.NODE_ENV !== 'production';
+    if (isDevelopment && (parsed.hostname === 'localhost' || parsed.hostname === '127.0.0.1')) {
+      return requestOrigin;
+    }
+  } catch { }
+
+  const vercelOrigin = process.env.VERCEL_URL ? `https://${process.env.VERCEL_URL}` : '';
+  const list = [process.env.WEBCHAT_CORS_ORIGINS || '', vercelOrigin, 'https://jujingyi-kikuuu.vercel.app']
+    .join(',')
+    .split(',')
+    .map(s => s.trim().toLowerCase())
+    .filter(Boolean);
+  if (list.includes(requestOrigin.toLowerCase())) return requestOrigin;
+
+  return null;
+}
+
+export function applySecurityHeaders(req, res) {
+  const headers = req?.headers || {};
+  const origin = headers['origin'];
+  const allowedOrigin = resolveAllowedOrigin(origin);
+
+  if (typeof res?.setHeader === 'function') {
+    if (origin && allowedOrigin) {
+      res.setHeader('Access-Control-Allow-Origin', allowedOrigin);
+      res.setHeader('Vary', 'Origin');
+    }
+
+    res.setHeader('Access-Control-Allow-Methods', 'GET, POST, OPTIONS');
+    res.setHeader('Access-Control-Allow-Headers', 'Content-Type, Authorization, X-API-Key, Accept');
+    res.setHeader('X-Content-Type-Options', 'nosniff');
+    res.setHeader('X-Frame-Options', 'SAMEORIGIN');
+    res.setHeader('Referrer-Policy', 'no-referrer');
+    res.setHeader('Strict-Transport-Security', 'max-age=63072000; includeSubDomains; preload');
+    res.setHeader('Permissions-Policy', 'camera=(), microphone=(), geolocation=(), payment=(), usb=()');
+    res.setHeader('Cross-Origin-Opener-Policy', 'same-origin');
+    res.setHeader('Cross-Origin-Resource-Policy', 'same-origin');
+    res.setHeader('Content-Security-Policy', "default-src 'self'; base-uri 'self'; object-src 'none'; frame-ancestors 'self'; form-action 'self'; script-src 'self' 'unsafe-inline' https://www.youtube.com https://www.youtube-nocookie.com; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; font-src 'self' https://fonts.gstatic.com data:; img-src 'self' data: blob: https:; media-src 'self' blob: https:; frame-src https://www.youtube.com https://www.youtube-nocookie.com; connect-src 'self' https:;");
+  }
+  return !origin || Boolean(allowedOrigin);
+}
+
+export function extractApiKey(req, urlObj = null) {
+  const headers = req?.headers || {};
+  let key = headers['x-api-key'];
+  if (!key) {
+    const authHeader = headers['authorization'];
+    if (authHeader && typeof authHeader === 'string' && authHeader.startsWith('Bearer ')) {
+      key = authHeader.slice(7).trim();
+    }
+  }
+  return key || null;
+}
+
+export function resolveClientIp(req) {
+  const directIp = req?.socket?.remoteAddress || '127.0.0.1';
+  const trustProxy = process.env.VERCEL === '1' || process.env.KIKU_TRUST_PROXY === 'true';
+  if (!trustProxy) return String(directIp);
+  const forwarded = req?.headers?.['x-forwarded-for'];
+  return typeof forwarded === 'string' && forwarded.trim()
+    ? forwarded.split(',')[0].trim()
+    : String(directIp);
+}
+
+function constantTimeEqual(left, right) {
+  const a = Buffer.from(String(left || ''));
+  const b = Buffer.from(String(right || ''));
+  return a.length === b.length && timingSafeEqual(a, b);
+}
+
+export function isWebChatAdmin(req) {
+  const expected = process.env.WEBCHAT_ADMIN_KEY || '';
+  if (!expected) return false;
+  return constantTimeEqual(extractApiKey(req), expected);
+}
+
+export function checkChatRateLimit(clientIp) {
+  const ip = clientIp || 'unknown';
+  const now = Date.now();
+  const entry = rateLimitStore.get(ip);
+
+  if (!entry || now - entry.windowStart > RATE_LIMIT_WINDOW_MS) {
+    rateLimitStore.set(ip, { count: 1, windowStart: now });
+    return { allowed: true, remaining: MAX_CHAT_REQUESTS_PER_MINUTE - 1 };
+  }
+
+  entry.count++;
+  if (entry.count > MAX_CHAT_REQUESTS_PER_MINUTE) {
+    const retryAfter = Math.ceil((RATE_LIMIT_WINDOW_MS - (now - entry.windowStart)) / 1000);
+    return { allowed: false, retryAfter };
+  }
+
+  return { allowed: true, remaining: MAX_CHAT_REQUESTS_PER_MINUTE - entry.count };
+}
+
+export async function checkChatRateLimitDistributed(clientIp) {
+  const redisUrl = process.env.UPSTASH_REDIS_REST_URL;
+  const redisToken = process.env.UPSTASH_REDIS_REST_TOKEN;
+  if (!redisUrl || !redisToken) return checkChatRateLimit(clientIp);
+
+  const now = Date.now();
+  const identity = createHash('sha256').update(String(clientIp || 'unknown')).digest('hex');
+  const key = `webchat-rate:${identity}:${Math.floor(now / RATE_LIMIT_WINDOW_MS)}`;
+  try {
+    const response = await fetch(`${redisUrl.replace(/\/$/, '')}/pipeline`, {
+      method: 'POST',
+      headers: { Authorization: `Bearer ${redisToken}`, 'Content-Type': 'application/json' },
+      body: JSON.stringify([['INCR', key], ['EXPIRE', key, 120]]),
+      signal: AbortSignal.timeout(1500),
+    });
+    if (response.ok) {
+      const result = await response.json();
+      const count = Number(result?.[0]?.result) || 1;
+      return {
+        allowed: count <= MAX_CHAT_REQUESTS_PER_MINUTE,
+        remaining: Math.max(0, MAX_CHAT_REQUESTS_PER_MINUTE - count),
+        retryAfter: count <= MAX_CHAT_REQUESTS_PER_MINUTE ? 0 : 60,
+      };
+    }
+  } catch {}
+  return checkChatRateLimit(clientIp);
+}
+
+
+if (typeof setInterval !== 'undefined') {
+  const timer = setInterval(() => {
+    const now = Date.now();
+    for (const [ip, entry] of rateLimitStore) {
+      if (now - entry.windowStart > RATE_LIMIT_WINDOW_MS * 2) {
+        rateLimitStore.delete(ip);
+      }
+    }
+  }, 120_000);
+  timer.unref?.();
+}

package/server/web-chat/core/toolInspector.js

@@ -0,0 +1,52 @@
+const SENSITIVE_TOOL_FIELD = /^(?:api[-_]?key|authorization|cookie|password|secret|token)$/i;
+
+export function makeInspectableToolPayload(value, options = {}) {
+  const maxDepth = options.maxDepth ?? 6;
+  const maxArrayItems = options.maxArrayItems ?? 40;
+  const maxObjectKeys = options.maxObjectKeys ?? 80;
+  const maxStringLength = options.maxStringLength ?? 4000;
+  const maxSerializedLength = options.maxSerializedLength ?? 24000;
+  const seen = new WeakSet();
+
+  const visit = (item, depth) => {
+    if (item === null || typeof item === 'boolean' || typeof item === 'number') return item;
+    if (typeof item === 'bigint') return String(item);
+    if (typeof item === 'string') {
+      return item.length > maxStringLength
+        ? item.slice(0, maxStringLength) + '\n… [ตัดข้อความที่ยาวเกินไป]'
+        : item;
+    }
+    if (typeof item === 'undefined') return '[undefined]';
+    if (typeof item !== 'object') return String(item);
+    if (depth >= maxDepth) return '[ตัดข้อมูลที่ซ้อนลึกเกินไป]';
+    if (seen.has(item)) return '[อ้างอิงซ้ำ]';
+    seen.add(item);
+
+    if (Array.isArray(item)) {
+      const output = item.slice(0, maxArrayItems).map(entry => visit(entry, depth + 1));
+      if (item.length > maxArrayItems) {
+        output.push(`… [ตัดอีก ${item.length - maxArrayItems} รายการ]`);
+      }
+      return output;
+    }
+
+    const output = {};
+    const entries = Object.entries(item);
+    entries.slice(0, maxObjectKeys).forEach(([key, entry]) => {
+      output[key] = SENSITIVE_TOOL_FIELD.test(key) ? '[redacted]' : visit(entry, depth + 1);
+    });
+    if (entries.length > maxObjectKeys) {
+      output.__truncated__ = `ตัดอีก ${entries.length - maxObjectKeys} ฟิลด์`;
+    }
+    return output;
+  };
+
+  const safeValue = visit(value, 0);
+  const serialized = JSON.stringify(safeValue);
+  if (serialized.length <= maxSerializedLength) return safeValue;
+  return {
+    truncated: true,
+    preview: serialized.slice(0, maxSerializedLength) + '…',
+    note: 'ผลลัพธ์มีขนาดใหญ่ จึงแสดงเฉพาะตัวอย่าง'
+  };
+}

package/server/web-chat/router.js

@@ -0,0 +1,120 @@
+import { handleStaticRoute } from './routes/staticRoute.js';
+import { handleStatusRoute } from './routes/statusRoute.js';
+import { handleChatRoute } from './routes/chatRoute.js';
+import { handleSuggestionsRoute, handleAiSuggestRoute } from './routes/suggestRoute.js';
+import { handleVerifyRoute } from './routes/verifyRoute.js';
+import { handleNewsRoute } from './routes/newsRoute.js';
+import { handleCompareRoute } from './routes/compareRoute.js';
+import { handleQuizRoute } from './routes/quizRoute.js';
+import { handleTimelineRoute } from './routes/timelineRoute.js';
+import { handleExportRoute } from './routes/exportRoute.js';
+import { handleClarifyRoute } from './routes/clarifyRoute.js';
+import { handleFeedbackRoute, handleFeedbackStatsRoute } from './routes/feedbackRoute.js';
+import { handleClarifyAnalyticsRoute, handleClarifyConfigRoute } from './routes/clarifyConfigRoute.js';
+import { applySecurityHeaders, checkChatRateLimitDistributed, resolveClientIp } from './core/security.js';
+import { sendError } from './core/errorHandler.js';
+
+export async function handleWebChatRequest(req, res, options = {}) {
+  const port = Number(options.port || 3001);
+  const urlObj = new URL(req.url, `http://localhost:${port}`);
+  const pathname = urlObj.pathname;
+
+  const originAllowed = applySecurityHeaders(req, res);
+  if (!originAllowed) {
+    return sendError(res, 403, 'Origin is not allowed');
+  }
+
+  if (req.method === 'OPTIONS') {
+    res.writeHead(204);
+    res.end();
+    return;
+  }
+
+  if (pathname.startsWith('/api/')) {
+    const rate = await checkChatRateLimitDistributed(resolveClientIp(req));
+    if (!rate.allowed) {
+      res.setHeader('Retry-After', String(rate.retryAfter || 60));
+      return sendError(res, 429, `Rate limit exceeded. Please retry in ${rate.retryAfter || 60} seconds.`);
+    }
+  }
+
+  try {
+
+    if (handleStaticRoute(req, res, pathname, port)) {
+      return;
+    }
+
+    if (pathname === '/api/status') {
+      return await handleStatusRoute(req, res, urlObj, port);
+    }
+
+    if (pathname === '/api/suggestions') {
+      return await handleSuggestionsRoute(req, res);
+    }
+
+    if (pathname === '/api/ai-suggest' && req.method === 'POST') {
+      return await handleAiSuggestRoute(req, res);
+    }
+
+    if (pathname === '/api/quiz') {
+      return await handleQuizRoute(req, res);
+    }
+
+    if (pathname === '/api/v1/timeline') {
+      return await handleTimelineRoute(req, res, urlObj);
+    }
+
+    if (pathname === '/api/chat' && req.method === 'POST') {
+      return await handleChatRoute(req, res, urlObj);
+    }
+
+    if (pathname === '/api/export' && req.method === 'POST') {
+      return await handleExportRoute(req, res);
+    }
+
+    if (pathname === '/api/verify' && req.method === 'POST') {
+      return await handleVerifyRoute(req, res);
+    }
+
+    if (pathname === '/api/news' && req.method === 'POST') {
+      return await handleNewsRoute(req, res);
+    }
+
+    if (pathname === '/api/compare' && req.method === 'POST') {
+      return await handleCompareRoute(req, res);
+    }
+
+    if (pathname === '/api/clarify' && req.method === 'POST') {
+      return await handleClarifyRoute(req, res);
+    }
+
+    if (pathname === '/api/feedback' && req.method === 'POST') {
+      return await handleFeedbackRoute(req, res);
+    }
+
+    if (pathname === '/api/feedback/stats' && req.method === 'GET') {
+      return await handleFeedbackStatsRoute(req, res);
+    }
+
+    if (pathname === '/api/clarify/analytics' && req.method === 'GET') {
+      return await handleClarifyAnalyticsRoute(req, res, options);
+    }
+
+    if (pathname === '/api/clarify/config' && req.method === 'GET') {
+      return await handleClarifyConfigRoute(req, res, options, 'get');
+    }
+
+    if (pathname === '/api/clarify/config' && req.method === 'POST') {
+      return await handleClarifyConfigRoute(req, res, options, 'update');
+    }
+
+    if (pathname === '/api/clarify/config/reset' && req.method === 'POST') {
+      return await handleClarifyConfigRoute(req, res, options, 'reset');
+    }
+
+    res.writeHead(404, { 'Content-Type': 'application/json' });
+    res.end(JSON.stringify({ error: 'Not found' }));
+  } catch (err) {
+    sendError(res, 500, err.message);
+  }
+}