docs: 记录 Sense 视频服务生命周期 (#67)

2026-08-14 17:51:16 +08:00
parent 19f9bfa1a0
commit 4149cc4426
5 changed files with 72 additions and 10 deletions
@@ -2,8 +2,8 @@
 generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
 wiki_page: Architecture-and-Code-Map
 wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Architecture-and-Code-Map.-
-wiki_revision: 915b5ca9a9a097470cb67a80f73045d16d3d57be
-synchronized_at: 2026-08-14T08:53:04Z
+wiki_revision: c5482806a40428a436c202760eefdb6403406584
+synchronized_at: 2026-08-14T09:46:37Z
 <!-- gitea-wiki-mirror:end -->

 # 架构与代码地图
@@ -96,6 +96,10 @@ Sense JWT realm 固定为 `Sense`；浏览器令牌 Cookie 为 `Sense-Admin-Toke
 工单 #66 在 Sense/server/app/sense/onvif/、rtsp/ 与 admission/ 建立视频接入边界：WS-Discovery 只能绑定 SENSE_ONVIF_DISCOVERY_IP 指定的本机网卡，所有 ONVIF、Media XAddr 与 RTSP Stream URI 都必须落在 SENSE_ONVIF_ALLOWED_CIDRS 明确授权的网段。HTTP 客户端禁止代理和重定向，并在每次连接时重新解析、校验和固定目标 IP，防止 DNS 重绑定；URL 用户信息及敏感查询参数被拒绝。

 ONVIF 支持 Basic 与 MD5/SHA-256 Digest challenge，Profile 与无凭据 Stream URI 持久化到 PostgreSQL。接入失败会记录可行动状态但保留最后一次已验证 Profile；成功接入清除凭据更新触发的重试标记。前端继续复用 GoAdmin 动态菜单、权限链、BasicLayout 和 Element Plus 表单、Dialog、Table、Tag。
+工单 #67 在 `Sense/server/app/sense/media/` 与 `reconcile/` 建立 MediaMTX 管理面：`cmd/api/server.go` 随 Sense 生命周期启动后台对账并只停止本实例拥有的子进程；检测到外部实例时设置孤儿安全闸，不发送停止信号。MediaMTX Control API 只允许 loopback HTTP，禁用代理与重定向。
+
+媒体路由只保存设备/Profile 引用、无秘密路径名、期望态、实际态、reader、退避和下次重试；摄像头凭据从内部端口按需解密，仅在 loopback Control API 请求内临时组装，不写入路由表、基础配置、日志或 Sense 响应。MediaMTX 故障和退避不改变 #66 的设备/Profile 验证状态。
+
 <!-- sense-runtime:end -->

 <!-- sense-mvp:start -->
@@ -2,8 +2,8 @@
 generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
 wiki_page: Business-Rules-and-Glossary
 wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Business-Rules-and-Glossary.-
-wiki_revision: d1471acadb4759b80e9bc20e5cec18bd21ba65cd
-synchronized_at: 2026-08-14T08:53:13Z
+wiki_revision: ea2c540a9ac3f8ccf40123f8389eb392fb5e172b
+synchronized_at: 2026-08-14T09:46:41Z
 <!-- gitea-wiki-mirror:end -->

 # 业务规则与术语
@@ -76,6 +76,17 @@ synchronized_at: 2026-08-14T08:53:13Z
 - 登录成功/失败、登出、密码变更和鉴权拒绝必须留下身份审计；密码、令牌、Cookie、验证码、数据库连接和摄像头凭据不得进入审计正文。
 - `site_admin` 可在账户维护流程中读取角色、部门、岗位和字典等必要支撑数据，但不能修改角色、菜单或系统配置；`implementation_operator` 与 `viewer` 不具备账户管理权限。未注册的配置和接口管理路由对所有角色返回 404。

+<!-- sense-media:start -->
+## Sense 视频服务规则
+
+- MediaMTX 始终是独立二进制；Sense 管理配置、进程生命周期、路径期望态和状态对账，不把媒体内核放入 GoAdmin handler 或 GORM model。
+- Control API 只能绑定回环地址。Sense 可启动配置的 MediaMTX，也可连接已由外部启动的实例；外部实例标记为非本实例所有，孤儿安全闸禁止 Sense 停止它。
+- 已验证 Profile 幂等形成媒体路径；数据库不保存带凭据 Stream URI。摄像头凭据只在 loopback Control API 请求边界临时使用，不进入基础配置、日志或 Sense API。
+- 路径状态区分 pending、waiting、ready、process_unavailable、apply_failed、status_unavailable、path_missing、stopped，并保存失败次数和有上限的下次重试时间。
+- 冷启动恢复 desired=running 路径；用户明确停止的路径保持 stopped，不因启动扫描自动重新启用。稳定路径只刷新状态，不重复下发配置或无意义增加版本。
+- MediaMTX 失败不得删除或降级设备台账与最后一次已验证 Profile。
+<!-- sense-media:end -->
+
 <!-- sense-mvp:start -->
 ## Sense 旧 MVP 规则状态

@@ -2,8 +2,8 @@
 generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
 wiki_page: Local-Development-and-Verification
 wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Local-Development-and-Verification.-
-wiki_revision: c8afa08e1e189a9c2779da1cbd3ed75124fd7eae
-synchronized_at: 2026-08-14T08:53:20Z
+wiki_revision: e084a4ae3f5038c4ec7dae6028a2e3d7527680a8
+synchronized_at: 2026-08-14T09:46:47Z
 <!-- gitea-wiki-mirror:end -->

 # 本地开发与验证
@@ -167,6 +167,29 @@ $env:SENSE_CREDENTIAL_KEY = [Convert]::ToBase64String($keyBytes)
 视频接入还需在仓库外配置 SENSE_ONVIF_DISCOVERY_IP（获准的本机网卡 IP）和 SENSE_ONVIF_ALLOWED_CIDRS（逗号分隔的获准摄像头网段）。不要使用 0.0.0.0/0 代替授权清单。

 协议回归位于 app/sense/onvif、app/sense/rtsp、app/sense/admission；隔离 PostgreSQL 重启恢复测试通过 SENSE_ADMISSION_TEST_DATABASE_URL 显式启用。验证至少覆盖 Digest/Basic、无配置发现提示、URL 凭据和敏感查询拒绝、目标网段、重定向、Media/Stream 主机归一化、主子码流、失败重探保留已验证 Profile，以及 viewer 只读权限。
+MediaMTX 保持仓库外独立二进制。运行前在进程环境设置：
+
+```powershell
+$env:SENSE_MEDIAMTX_BINARY = '<MediaMTX 可执行文件>'
+$env:SENSE_MEDIAMTX_CONFIG = '<仓库外 mediamtx.yml>'
+$env:SENSE_MEDIAMTX_API = 'http://127.0.0.1:9997'
+```
+
+配置文件不存在时 Sense 只生成 loopback API 和空 `paths: {}` 的无凭据基础配置；模板位于 `Sense/server/config/mediamtx/mediamtx.yml.example`。Control API 不允许非回环地址。真实集成验证使用：
+
+```powershell
+$env:SENSE_MEDIAMTX_TEST_BINARY = '<MediaMTX 可执行文件>'
+go test ./tests/media -run TestRealMediaMTXControlLifecycle -v
+
+$env:SENSE_MEDIA_TEST_DATABASE_URL = '<隔离 PostgreSQL 连接>'
+go test ./tests/media -run TestPostgresColdStartRestoresDesiredRoute -v
+
+$env:SENSE_MEDIA_MIGRATION_TEST_DATABASE_URL = '<隔离 PostgreSQL 连接>'
+go test ./cmd/migrate/migration/version -run TestMediaMigrationOnPostgres -v
+```
+
+测试必须使用隔离端口和数据库；结束后停止测试进程。不得输出连接串或摄像头凭据。
+
 <!-- sense-runtime:end -->


@@ -2,8 +2,8 @@
 generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
 wiki_page: Troubleshooting
 wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Troubleshooting
-wiki_revision: ae80dc2d34341ff3cddfff93f51373adb3bd0664
-synchronized_at: 2026-08-14T08:53:30Z
+wiki_revision: c615cd5235557a3888260beb5a682c6ed4e5b5dc
+synchronized_at: 2026-08-14T09:46:56Z
 <!-- gitea-wiki-mirror:end -->

 # 故障排查
@@ -73,4 +73,18 @@ synchronized_at: 2026-08-14T08:53:30Z
 | 设备时间异常 | 在摄像机管理页或受控 NTP 环境校时后重新探测；Sense 不自动修改设备时间。 |
 | 部分码流失败 | 查看逐 Profile 状态、设备 RTSP 权限和端口；最后一次已验证 Profile 会保留。 |
 | 重定向已拒绝 | ONVIF 服务返回了 3xx；修正为摄像机最终服务地址，不允许 Sense 跟随到未知目标。 |
+<!-- sense-media:start -->
+## Sense 视频服务排错
+
+| 现象 | 原因与处理 |
+|---|---|
+| 进程状态“未配置” | 未设置 SENSE_MEDIAMTX_BINARY；如由外部服务管理，先确认 loopback Control API 已就绪，否则配置二进制和仓库外配置路径。 |
+| 进程启动失败 | 核对二进制存在、配置目录可写、MediaMTX 配置可解析，以及 RTSP/API 端口未被其他进程占用。 |
+| 等待拉流 | 路径已建立但 sourceOnDemand 尚无 reader；打开实时监看后再观察，不等同于接入失败。 |
+| 配置失败或路径缺失 | 在“视频服务”点击对账；检查 Control API 仍为 loopback、Profile 仍已验证、RTSP 凭据可用。 |
+| 显示外部启动（受保护） | Sense 检测到不是本实例启动的 MediaMTX；孤儿安全闸生效，Sense 关闭时不会停止它。 |
+| 持续自动重试 | 查看失败码、失败次数和下次重试时间；修正二进制、端口、凭据或上游后等待退避到期，或由有权限用户立即对账。 |
+| Sense 重启后路径未恢复 | 确认数据库 route 的 desired 为 running、迁移已执行、Control API 可达；明确停止的路径不会自动恢复。 |
+<!-- sense-media:end -->
+
 <!-- sense-admission:end -->
@@ -2,8 +2,8 @@
 generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
 wiki_page: Delivery-Documentation-Guide
 wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Delivery-Documentation-Guide.-
-wiki_revision: 07c8711ff4d75da5e4acbd61d029d27f01009747
-synchronized_at: 2026-08-14T08:54:16Z
+wiki_revision: 45c86f2a0e4d3252e8042df5ee725e633dd497c1
+synchronized_at: 2026-08-14T09:47:31Z
 <!-- gitea-wiki-mirror:end -->

 # 交付文档指南
@@ -119,4 +119,14 @@ Sense 面向网管、实施人员和非技术现场人员，菜单按日常任
 部署人员必须先确认获准摄像头网段，再把本机对应网卡 IP 配置为 SENSE_ONVIF_DISCOVERY_IP，把获准网段配置为逗号分隔的 SENSE_ONVIF_ALLOWED_CIDRS。不得为了省事填写全网段。现场人员在“视频接入”选择已登记且已配置凭据的视频设备，可使用发现结果或手工填写不含账号密码的 ONVIF 地址。

 验证结果区分可用、部分码流失败、认证失败、目标未获准、重定向拒绝、响应超时、设备时间异常和无法连接，并显示主/子码流及逐 Profile 状态。失败重试不会删除上次已验证 Profile；修改凭据后应重新验证。真实摄像机兼容性、网络 ACL 和设备校时仍需在客户授权环境完成。
+<!-- sense-media:start -->
+### Sense 视频服务交付说明
+
+“视频服务”面向实施、运维和站点管理员展示 MediaMTX 进程归属、媒体路径、拉流状态、观看数、失败原因和下次重试。只读用户只能查看；有操作权限的人员可立即对账或停止单一路径。
+
+交付时 MediaMTX 二进制和真实配置放在仓库外受控目录，Control API 只能绑定回环地址。Sense 关闭时只停止自己启动的 MediaMTX；外部启动进程会显示“外部启动（受保护）”。“等待拉流”表示按需路径尚无观看者，不等同于故障。停止路径不会删除设备或 Profile，后续重新接入可恢复期望态。
+
+任何客户文档、截图和日志都不得包含 Control API 请求体、摄像头凭据或带凭据 URI。现场至少验证启动失败、端口冲突、外部进程保护、重复对账、冷启动恢复和 reader 状态。
+<!-- sense-media:end -->
+
 <!-- sense-admission:end -->