mirrors/pikasTech-HWLAB
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

fix: require internal token for device pod executor

Browse Source
This commit is contained in:
Codex
2026-05-29 16:28:34 +08:00
parent b974372ab6
commit 5ebadee19f
7 changed files with 84 additions and 24 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/reference/spec-v02-hwlab-device-pod-service.md
+3 -3
View File
@@ -14,7 +14,7 @@
- `cmd/hwlab-device-pod/main.ts` 返回 `contractVersion=device-pod-executor-v1`，并声明 `authority=hwlab-cloud-api`、`fake=false`。
- `internal/device-pod/fake-data.mjs` 只保留为 legacy 前端/smoke fixture，不是 `hwlab-device-pod` 服务运行契约。
- `HWLAB_DEVICE_POD_ID` 可指定默认 executor devicePodId；正式 profile 仍由 `hwlab-cloud-api` 的 `device_pods.profile_json` 管理。
- `HWLAB_CLOUD_API_INTERNAL_URL` 配置后，executor 可用内部服务凭据回调 `hwlab-cloud-api` 的 gateway dispatch route，把已授权 job 下发到 gateway/device-host-cli；未配置、profile route 缺失或 gateway 不在线时返回 blocker。
- `HWLAB_CLOUD_API_INTERNAL_URL` 配置后，executor 可用内部服务凭据回调 `hwlab-cloud-api` 的 gateway dispatch route，把已授权 job 下发到 gateway/device-host-cli；内部 job 和 dispatch 必须同时携带 `x-hwlab-internal-service` 与 `HWLAB_DEVICE_POD_INTERNAL_TOKEN` 对应的 `x-hwlab-internal-token`。未配置内部 token、profile route 缺失或 gateway 不在线时返回 blocker/拒绝执行。
## API 接口说明
@@ -24,8 +24,8 @@
| `GET /v1/device-pods` | 返回 executor boundary 摘要，不表达用户可见 device pod authority。 |
| `GET /v1/device-pods/{devicePodId}/status` | 返回 blocked executor status；真实 profile/status 以 cloud-api `/v1/device-pods/{devicePodId}/status` 为准。 |
| `GET /v1/device-pods/{devicePodId}/events` | 返回 bounded executor boundary event，不伪造硬件事件。 |
| `POST /v1/device-pods/{devicePodId}/jobs` | 只接受 `hwlab-cloud-api` 内部调用；创建内部 executor job 并返回 job、freshness、output/cancel URL；有可用 profile route 和 `HWLAB_CLOUD_API_INTERNAL_URL` 时通过 cloud-api gateway dispatch 下发到 device-host-cli，否则返回 `gateway_dispatch_unavailable`。 |
| `GET /v1/device-pods/{devicePodId}/jobs/{jobId}`、`GET /output`、`POST /cancel` | 只接受 `hwlab-cloud-api` 内部调用，用于查询内部 job、最大 12000 bytes 的 bounded output 和取消非终态 job；普通用户仍必须走 cloud-api 用户态 API。 |
| `POST /v1/device-pods/{devicePodId}/jobs` | 只接受带内部 token 的 `hwlab-cloud-api` 调用；创建内部 executor job 并返回 job、freshness、output/cancel URL；有可用 profile route 和 `HWLAB_CLOUD_API_INTERNAL_URL` 时通过 cloud-api gateway dispatch 下发到 device-host-cli，否则返回 `gateway_dispatch_unavailable`。 |
| `GET /v1/device-pods/{devicePodId}/jobs/{jobId}`、`GET /output`、`POST /cancel` | 只接受带内部 token 的 `hwlab-cloud-api` 调用，用于查询内部 job、最大 12000 bytes 的 bounded output 和取消非终态 job；普通用户仍必须走 cloud-api 用户态 API。 |
用户态 `POST /jobs`、job output/cancel、admin profile/grant API 和正式 `device-pod-cli` REST 调用由 `hwlab-cloud-api` 实现，应以 [spec-device-pod.md](spec-device-pod.md) 为目标。`hwlab-device-pod` 不接受 CLI、浏览器或 Code Agent 直接上传 profile snapshot。