cliproxy-newapi-stack

CLIProxyAPI + NewAPI Metering Stack

在用户已有并已验证的 CLIProxyAPI upstream 前增加 NewAPI (calciumion/new-api) 计费、限流和多用户 token 层。本 Skill 不安装裸 CLIProxyAPI，也不调用其他部署 Skill 补齐这个前置条件。

所有"完成"结论必须基于本会话命令输出（W-16）。价格和额度变更后必须真发一次请求并查 logs.quota 与本次请求的 token 数和目标价格相符。

Operating Contract

• Direct actions: 只读检查、配置备份和本地 dry-run 可直接执行。
• Escalate before: 安装容器、修改既有 upstream、重启服务、改防火墙或写生产额度前必须取得本次任务的明确授权。
• Evidence-backed pushback: 密钥只从环境变量或密码管理器读取；要求明文落盘或公网暴露原始端口时，展示具体风险并改用 tunnel/TLS。
• Feedback loop: 每次变更后重跑 upstream、NewAPI 和精确计费验证；任一步骤无法取得真实状态时停止并报告，不用默认值伪造成功。

---

0. 前置确认（必问）

• SSH 目标：root@HOST 是否能免密
• 端口分配：CLIPROXY_PORT（默认 8317）、NEWAPI_PORT（默认 8200）
• upstream 证据：CLIProxyAPI 已在目标主机运行，当前会话能通过用户批准的 SSH tunnel 或 loopback 请求验证健康、模型列表和认证；证据不足就停止，不猜测、 不自动安装裸 upstream
• 登录账号供应商：codex / claude / qwen / iflow / gemini
• 价格输入格式：每个虚拟模型给我 input / cached / output 三个 USD per 1M 数字
• 客户端机器：要在哪些机器上落 BASE_URL 环境变量

安全默认：本地 OAuth + scp 同步；NewAPI 仅绑定 VPS loopback，通过 SSH tunnel 完成首次注册。公网访问必须走已配置 TLS 的反向代理，不能直接开放 NewAPI 原始 HTTP 端口。

---

Phase 1 — 验证现有 CLIProxyAPI upstream

先记录现有服务的进程、监听地址、健康响应、模型列表和配置备份位置。任何一项 无法验证都停止。只有用户在当前消息批准修改这个既有 upstream 时，才执行以下 两个补丁：

1. 加稳定性开关到 /root/CLIProxyAPI/config.yaml：

   disable-cooling: true
   

   原因见 references/troubleshooting.md "CLIProxyAPI cooldown 原理"。 若漏改，30 并发 5KB payload 会出现混合 ~50% 503。

2. 不要把 CLIProxyAPI 端口暴露到公网（与裸部署不同）：

   • 先用 ip -4 addr show docker0 确认 Docker bridge 地址，再把 host 绑定到该地址（常见值为 172.17.0.1）
   • 删除已有的公网 ufw allow <CLIPROXY_PORT>/tcp；管理访问统一走 SSH tunnel，不保留公网 admin 后门

---

Phase 2 — 部署 NewAPI 容器

IMAGE='calciumion/new-api@sha256:<VERIFIED_DIGEST>' \
SSH_TARGET=root@<HOST> SSH_KEY=~/.ssh/id_ed25519 PORT=8200 \
  scripts/deploy_newapi.sh

脚本只绑定远端 127.0.0.1:8200。首次注册前保持防火墙关闭该端口，建立 SSH tunnel：

ssh -N -L 8200:127.0.0.1:8200 -i <KEY> <SSH_TARGET>

仅访问本机 http://127.0.0.1:8200 完成 root 账号注册，并把密码保存到密码 管理器。注册和登录验证成功后，再配置带 TLS 的 Caddy/Nginx 反向代理；先 验证 HTTPS、认证和来源限制，再按需开放 443/tcp。禁止开放 <NEWAPI_PORT>。