feat: G7 分层 fail-open/fail-closed + G8 Docker 轮询掐断 + G9 worker 忽略 host 预算 + G13/G14 归属（第三批）
- G7：认领门 closed 时查配额异常回 quota_check_unavailable、标 interrupted（可重试/续跑）；轮询与轮次边界用 open，异常时回 quota_check_failed——新回合边界拒绝，执行中轮询经 _quota_hit 闭包过滤此串、只记 warning 不杀在跑任务，确认超限才掐断；查询函数本身不吞异常冒充不限额。 - G8：Docker 路径加 _docker_call_with_quota_poll（后台线程跑阻塞式 docker 调用，主循环每 quota_poll_interval_seconds 缺省 30 秒查一次，确认超限按容器名真杀容器，结果改写 quota_exceeded 走统一收尾：interrupted、成本照记、续跑消息保留，配额命中后不走 ALREADY_EXISTS 回落）；同步路径保持边界检查。 - G9：worker 路径默认忽略 host max_daily_turns（host.py 顶层 --ignore-host-budget 只清该项，Local/Docker 执行器在子命令前追加，worker CLI 缺省开、--no-ignore-host-budget 关）；standalone 直接跑 host.py 时预算照常。 - G13/G14：/pr 不再走 system 豁免，建任务前按请求用户查配额（402/503 均不排队不改状态），队列路 pr_jobs.created_by 记请求用户（老表 ALTER 补列），worker 跑 pr 任务时审计操作人用 created_by（老行回落 system）。注意：G14 原案的 system 豁免（服务端与 worker 写死）与 P1 冲突（P1：system 按普通属主走默认额度，不另设无限额系统预算），本次 rebase 未合入该豁免，system 豁免需另行决策。 - 配额口径与 P0/P1 对齐：无配额行按默认额度（非不限额），只有显式 NULL 行才不限额；无价上限只计 source='actual' 行；缺属主（含父任务回查仍无）拒绝新回合。 - README 配额节同步以上口径与 G15 接受现状（best-effort 超支、UTC 月切分、在跑任务只在轮询/轮次边界响应配额改动）。G4 与 G15 不在本批。
This commit is contained in:
host committed
1 parent
5883169c82
commit
e31fcc6cba
11 files changed
+786
-176
No files matched your search
+61
-12
@@ -994,10 +994,35 @@ interrupted 且终态任务 cancel 返回 400、心跳后 sweep 不扫刚心跳
|
||||
重试/续跑时，操作人超限不应拦、创建者超限才应拦——旧版
|
||||
重试按操作人查是错位，本轮已改）。后续消息
|
||||
（followup）创建不查配额：排队本身不花钱，执行时轮次边界
|
||||
的配额门照常生效，不要把 followup 也改成准入校验。系统
|
||||
任务（GitHub webhook 的 /fix-review，created_by 是 'system'）
|
||||
不记到任何用户名下、不占配额；要把它算到项目所有者头上
|
||||
需另做归属。
|
||||
的配额门照常生效，不要把 followup 也改成准入校验。
|
||||
- 费用归属与豁免（G13/G14，写死口径）：系统任务豁免——
|
||||
webhook /fix-review 等 created_by='system' 的任务在服务端
|
||||
准入与 worker 认领两处都不查配额（`_check_quota` 与
|
||||
`_quota_exceeded` 里 user_id == "system" 直接放行，单测
|
||||
覆盖）；这是写死的约定，不是可配置项。反过来，由用户动
|
||||
作触发的 /pr 任务不再走 system 豁免：`POST /tasks/{id}/pr`
|
||||
在 merged 校验通过后、执行/排队之前先按请求用户查配额
|
||||
（超限 402、查询异常见下 503，均不改状态、不排队），
|
||||
队列路把请求用户写进 pr_jobs.created_by（老表缺列时
|
||||
ensure 时 ALTER 补列，老行 created_by 为 NULL 时 worker
|
||||
跑它记审计回落 "system"），worker 的 pr 任务循环把
|
||||
created_by 当审计操作人传给 execute_task_pr（同步路本
|
||||
就传调用方，不动）。注意这是一个有意收紧的口径，供合
|
||||
并前推翻：PR 本身不跑模型回合，纯 git/gh 操作几乎不花
|
||||
钱，若认为“已完成工作的 PR 不应被配额挡住”，可把 /pr
|
||||
的配额门改回豁免而不动归属列（created_by 照常记录）。
|
||||
- 配额查询异常的分层（G7，写死口径）：新建/认领类门
|
||||
（建任务、分支、重试、续跑、goal-resume、/pr）查配额抛
|
||||
异常时 fail-closed——服务端回明确的 503
|
||||
`quota_check_unavailable`（不是 500 断连），不建任务、
|
||||
不改状态、不排队；worker 认领门同样标 interrupted，错
|
||||
误含 `quota_check_unavailable`，可重试/续跑，绝不在“不
|
||||
知道超没超”时开跑。执行中轮询（Local 30 秒、Docker 轮
|
||||
询见下）查配额抛异常时 fail-open——只记 warning，不杀
|
||||
在跑任务，只有确认超限才掐断；轮次边界的复查同款
|
||||
fail-open。实现上查询函数 `_quota_limit_and_used` 自己
|
||||
绝不吞异常冒充“不限额”，分层由调用方 on_error 参数决定
|
||||
（"closed" 门侧、"open" 轮询/边界，缺省 open）。
|
||||
- 无价模型 token 上限：价目表目前只有两个 sol 模型有价，默认
|
||||
模型 gpt-5.6-terra 等中转模型无价、成本行 usd 为 NULL，USD
|
||||
配额对它们永远不生效（按 0 计）。因此有配额行的用户另受一
|
||||
@@ -1017,15 +1042,39 @@ interrupted 且终态任务 cancel 返回 400、心跳后 sweep 不扫刚心跳
|
||||
时该条回 pending、任务 interrupted，不再排空剩余；建消息时
|
||||
不查，排队本身不花钱）；Local popen 路径在轮询里每 30 秒查
|
||||
一次，超限时杀进程组（goal 长循环也一样，杀的是整个子进程
|
||||
组）。配额中断的任务一律 interrupted（可续跑：顶上来后重试
|
||||
组）；Docker 路径同款粒度（G8）：`_docker_call_with_quota_poll`
|
||||
把阻塞式 docker 调用放后台线程，主循环每
|
||||
`quota_poll_interval_seconds`（缺省 30 秒，单测可传小值，
|
||||
生产不要改小）查一次，确认超限时按任务容器名真杀容器，
|
||||
结果改写成内部标记 `quota_exceeded` 后走统一收尾——状态
|
||||
一律 interrupted、已花成本照记 actual、续跑消息保留，配额
|
||||
命中后不走 ALREADY_EXISTS 回落重跑。同步路径（非 popen、
|
||||
非 Docker）仍只有边界检查，单轮内的超支要到轮次结束才停。
|
||||
配额中断的任务一律 interrupted（可续跑：顶上来后重试
|
||||
/续跑继续），错误文本带 `quota_exceeded`，已花成本照记
|
||||
actual，不发终态推送（与取消同款）。诚实边界：Docker/同步
|
||||
路径没有轮询钩子，只有边界检查，单轮内的超支要到轮次结束
|
||||
才停；单轮本身花的钱无法中途按 token 流式截断（中转用量只
|
||||
在回合结束才回传），所以“掐断”粒度是轮次边界 + 长轮询中的
|
||||
30 秒检查，不是 token 级；并发下两个任务同时查到未超限再同
|
||||
时开跑会有少量超支（与限流器同款 best-effort，非精确配额）；
|
||||
PR 任务（_run_pr_jobs）暂不查配额。
|
||||
actual，不发终态推送（与取消同款）。诚实边界：轮询查的是
|
||||
已记账用量，单轮本身花的钱无法中途按 token 流式截断（中转
|
||||
用量只在回合结束才回传），所以“掐断”粒度是轮次边界 + 长轮
|
||||
询中的 30 秒检查，不是 token 级；真 Docker 掐断未实弹（只
|
||||
由假执行器单测覆盖），部署后需实弹；并发下两个任务同时查
|
||||
到未超限再同时开跑会有少量超支（与限流器同款 best-effort，
|
||||
非精确配额）——G15 并发预留不在本批，单独立项。另两条
|
||||
接受现状的边界：配额按 UTC 自然月切分，与 host 本地日期
|
||||
不一致时以 UTC 为准（月末跨月任务的用量按记账日归属）；
|
||||
配额改动对在跑任务只在轮询/轮次边界生效，不会立刻掐断
|
||||
已经开跑的回合（除非下一次轮询查到超限）。
|
||||
- host 预算与云端配额的两套门（G9）：worker 路径默认忽略
|
||||
host 的 `max_daily_turns` 预算——worker 调 host.py 时传顶层
|
||||
`--ignore-host-budget`（LocalExecutor 与 DockerExecutor 都
|
||||
在子命令之前追加该标志；worker CLI 缺省开，可用
|
||||
`--no-ignore-host-budget` 关掉），host.py 里只清
|
||||
`max_daily_turns` 这一项（`_effective_cfg`，notify_command
|
||||
等其它配置不动），dispatch 前置门、重试前检查、goal 循环
|
||||
顶检查一并放行；云端 per-user USD 配额 + worker 认领/轮询
|
||||
门才是 worker 路径的口径，host 单机 turn 数预算再拦一次只
|
||||
会误拦云端已批的任务。standalone 直接跑 host.py 时不传
|
||||
该标志，预算照常生效。两套门同时开（--no-ignore-host-budget）
|
||||
时任务要同时通过两道门，超任一道都停。
|
||||
- 接口：`GET /users/me/quota`（自查，返回 month、quota、
|
||||
used、remaining，以及当月无价实际 token 数
|
||||
`unpriced_actual_tokens`——价目表里没有该模型价格的实际
|
||||
|
||||
Reference in new issue
Block a user