Production Roadmap

生产级演进路线

本页描述目标架构，除明确标注外均不是 v0.4.92 已实现能力。

P1：状态与配置可靠性

• 建立 starting / listening / ready / degraded / stopping / stopped 状态机。
• 分别报告 upstream、Claude CLI patch、Desktop patch 和 Vision readiness。
• 配置保存改为校验、临时启动、切换、提交、失败回滚的事务流程。
• 启动失败必须返回 GUI 可持久显示的结构化错误。

P1：安全边界

• 桌面模式强制 loopback。
• 非 loopback 模式需要显式开启和访问 token。
• Renderer 配置脱敏。
• 密钥迁移到系统凭据存储。

P2：控制面和数据面隔离

flowchart LR
    GUI[Electron Renderer] --> Main[Electron Control Plane]
    Main -->|validated IPC| Worker[Proxy Worker Process]
    Worker --> Switch[CC Switch]
    Worker --> Vision[Vision APIs]
    Worker --> Queue[Async Logs and Records]
    Main --> Supervisor[Health and Restart Supervisor]
    Supervisor --> Worker

Loading

Worker 崩溃时 GUI 继续可用，Supervisor 可按退避策略重启；关闭时由 Main 协调恢复 Claude 配置。

P2：性能与背压

• 请求总并发限制。
• Vision 独立并发限制。
• 队列长度和等待超时。
• Logger 与 Session Store 改为异步批量写入。
• session 按数量和天数自动清理。
• SSE compact 提醒改为真正的流式 Transform。

P2：可观测性

• 结构化 request state 和 error code。
• 本地估算与 provider usage 的误差指标。
• 救援阶段、释放 Token、重试结果的统一事件模型。
• GUI 区分 ready、degraded 和 unreachable。

P3：发布工程

• CI 自动运行 Windows 打包和 smoke。
• 生成 checksum 和签名信息。
• GitHub Release 自动附加 portable EXE。
• 配置迁移版本和向后兼容测试。

完成标准

生产级不是“测试通过”一个条件，而是以下能力同时成立：

• 启动、切换、失败和退出均有确定状态。
• 配置失败可以自动回滚。
• 单个请求或磁盘故障不会拖死 UI。
• 并发和内存有明确上限。
• 所有外部访问路径有清晰鉴权边界。
• 可通过自动化测试复现并验证故障恢复。