IanShaw027
6d632eec45
fix(grok): tighten OAuth SSO flow and hide password login
...
Require oauth state/redirect consistency, fail closed on missing proxy,
and remove password login from create/reauth UI (admin-only password path stays off by default).
2026-08-08 01:07:19 +08:00
IanShaw027
25d2b03e90
fix(grok): 加固 OAuth 会话共享与一次性消费
2026-08-07 16:29:48 +08:00
shaw
017f6bbd5e
fix(gateway): 收紧上游 URL 路径片段校验
...
网关有若干位置会把客户端可控的字符串拼进上游请求的 URL path（Responses
子路径、Gemini 模型名）。此前这些字符串未经校验直接参与拼接，可能改变上游
请求的路径结构，使实际发出的请求与客户端意图不一致。
- 新增 internal/service/upstream_path_guard.go：路径片段闭集允许清单
（\w + `-` + `.`），拒绝空片段、纯点片段、超长片段与过深后缀
- /responses/*subpath 三条路由入口新增守卫，不可转发的子路径直接 404；
service 层同时保证不产出不合规后缀，拼接函数再兜底一层
- Gemini AI Studio 原先 5 处重复的 URL 拼接收敛为唯一构造点
buildGeminiAIStudioModelActionURL（校验模型片段 + action 白名单）
- Gemini native / GetModel handler 增加入口校验；ForwardAIStudioGET 逐片段校验
- Grok video 端点的 request_id 增加片段合规校验
合法子路径（/compact、/compact/detail、/{id}/cancel 形态）与既有模型名行为
不变，通配路由保留。
2026-07-31 16:11:45 +08:00
shaw
7f5d067af2
feat(grok): 支持上游端点手动切换与快捷端点，修复 SSO 建号自定义地址被覆盖
...
官方端点（api.x.ai / cli-chat-proxy.grok.com）偶发不可用，运营方需要在
端点间手动切换。旧语义把 OAuth 账号存储的官方 host 一律视同"未定制"并
回落默认 CLI 网关：填了官方地址保存成功却不生效、重新编辑开关回到关闭、
再次保存直接删值，形成"修改不生效"的静默循环。
后端：
- GetGrokBaseURL OAuth 分支改为"存了什么用什么"：官方 API / 区域 API /
第三方转发地址一律按填写值转发与探测，仅空值或无法解析的脏数据回落
默认 CLI 网关；删除官方变体运行时迁移逻辑
- *.api.x.ai 区域端点（us-east-1/us-west-2/eu-west-1 等）纳入可信 host，
OAuth 使用时不受运营方 URL 白名单限制，官方 host 仍强制 /v1 path
- 修复 SSO 批量建号 MergeCredentials 方向缺陷：BuildAccountCredentials
恒写官方 base_url，会覆盖导入请求指定的自定义转发地址；抽出
grokSSOImportCredentials 显式保留请求值（与 RefreshAccountToken 对齐）
前端：
- isCustomGrokBaseUrl 仅默认 CLI 网关 host 视同未定制：api.x.ai 与区域
端点保存后正常回显（开关开启 + 显示地址），不再被静默吞掉
- 新增 GrokBaseUrlPresets 快捷端点组件（Grok Build CLI / 官方 API /
us-east-1 / us-west-2 / eu-west-1），接入编辑（OAuth 自定义区 + apikey
Base URL）、新增（同前）与批量编辑（所选平台全为 grok 时显示，点击
自动勾选 base_url）；仅快速填充，输入框仍可自由填写任意第三方地址
2026-07-16 19:10:21 +08:00
shaw
221581400b
feat(grok): 支持账号级自定义上游地址与请求头覆写
...
将账号级请求头覆写从 anthropic/openai 的 api_key 账号扩展到 Grok 的
api_key 与 oauth 账号，并放开 Grok OAuth 账号的自定义上游地址（仅作用于
转发端点，授权与 token 刷新链路不变）。
后端：
- IsHeaderOverrideEligible 扩展到 Grok(api_key+oauth)，禁止名单新增
x-grok-conv-id（逐请求会话路由头）。
- 所有 Grok 上游请求路径接线 ApplyHeaderOverrides（Responses/Chat 桥/
媒体/配额探测/billing 探测/连通性测试），统一置于内置默认头之后。
- GetGrokBaseURL/GetGrokMediaBaseURL 放开 OAuth 自定义地址：官方地址
视同未定制回落官方网关，仅显式第三方 host 改发转发流量。
- 非官方 host 允许任意 path 前缀，官方 host 仍强制 /v1。
- OAuth base_url 校验按 host 判定官方/自定义，自定义 host 恒受运营方
URL 策略约束，不受 XAI_ALLOW_UNSAFE_URL_OVERRIDES 调试开关放宽。
- 给 GrokQuotaService 注入 config，使配额/billing 探测与转发共用同一
URL 策略。
前端：
- Edit 模态为 Grok OAuth 账号新增「自定义上游地址」开关。
- 请求头表单新增 JSON 快速导入与按 JSON 一键复制（复用 useClipboard，
兼容非安全上下文 HTTP 页面）。
- 门控改为平台×类型判定，Bulk 批量 base_url 增加格式校验，zh/en 文案同步。
2026-07-15 20:30:23 +08:00
王鹏
e8e360c802
fix(xai): reject unsafe base URL components
2026-07-15 12:50:15 +08:00
Heatherm Huang
b32b815e46
fix(grok): harden OAuth pool recovery
2026-07-14 14:55:30 +08:00
Heatherm Huang
bc5d6ecb46
fix(grok): allow third-party API base URLs
2026-07-13 15:27:57 +08:00
chenjian
909b96edd2
feat: support Grok video edits and extensions
2026-07-13 10:50:42 +08:00
Heatherm Huang
3b5d812f7a
fix: route grok media endpoints
2026-07-01 11:43:35 +08:00
Heatherm Huang
720db8983f
test: harden grok quota readiness
2026-06-26 10:42:21 +08:00
Heatherm Huang
0d28642181
feat: add grok quota probe parity
2026-06-26 10:37:37 +08:00
Heatherm Huang
f29ccc7dfb
fix: reduce grok oauth account-risk paths
2026-06-26 10:36:09 +08:00
Heatherm Huang
b3a07aeae7
fix: align grok oauth exchange with xai
2026-06-26 10:36:09 +08:00
Heatherm Huang
39be1ec97f
feat: add grok subscription support
2026-06-26 10:36:09 +08:00
IanShaw027