AI API Gateway Platform - 将 AI 订阅配额分发和管理
本版增加网页认证 IP 防护和可选的随机推理题检测，并修复渠道监控 V2 的分组与近期采样展示。公开注册站点升级前，请先核对可信反向代理配置，避免共享出口的用户被合并计算额度和登录失败。
网页注册额度与登录失败封禁
- 公开邮箱及 OAuth 新建账号默认按同一 IPv4 地址或 IPv6 /64 网段累计最多 2 个账号；已有账号不追溯，删除账号不退额度，管理员后台建号不占此额度。额度通过 PostgreSQL 跨实例共享（PR #445）。
- 网页密码登录、OAuth 绑定登录、2FA 和 passkey finish 共用失败计数：首次失败起 15 分钟内累计 10 次明确凭证错误后，封禁受保护认证入口 1 小时。封禁返回 HTTP 429 与
Retry-After；格式错误、验证码缺失、普通限流和服务故障不累计。刷新、登出、密码找回等不经过新增守卫。 - 新守卫在 Redis 不可用或客户端 IP 无法解析时拒绝受保护请求。反代部署必须正确配置
server.trusted_proxies并覆盖客户端 IP 头；共享公网出口或同一 IPv6 /64 的用户会共用注册额度与封禁状态，管理员可通过后台代建账号。 - 新增数据库迁移
285、286，保存来源哈希、累计额度及诊断时间。回滚旧二进制可保留表，但旧实例不继续执行新防护；公开认证实例应统一升级。配置与解除误封方法见认证 IP 防护说明。
质量检测可选随机推理题
- 在“质量运维”的检测方式中选择“随机推理题”，服务端每轮生成路径计数或加权异或题及参考答案。同轮不同模型使用相同题组，每模型可测试 1–8 次；旧规则不会自动切换（PR #444）。
- 沿用配置的外部判题模型；只有明确答错才触发失败处置。未配置判题器、生成或请求失败、解析失败及未知结论均保留为无法判定，多模型检测同样遵守此边界。BPS 通道仍只观察、不处置。
- 管理员可查看实际题面、参考答案与生成器版本。随机参数用于减少固定题库适配，不保证识别真实模型或抵御全部提示词注入。该模式无需数据库结构迁移；所有实例升级后再启用，降级前暂停规则或改回旧题型。详见质量运维说明。
渠道监控 V2 展示修复
- 状态页不再显示已删除的分组，避免历史聚合记录继续生成失效卡片（PR #442）。
- “近 18 次采样”改为读取最近 7 天内有流量的 5 分钟采样桶，不再被所选的 90 分钟、24 小时等统计范围截断；总览统计仍按所选范围计算（PR #443）。
以上均为本 fork 更新。完整版本对比
📥 Installation
Docker:
# GitHub Container Registry
docker pull ghcr.io/ranxi2001/sub2api:2.11.3One-line install (Linux):
curl -fsSL https://raw.githubusercontent.com/ranxi2001/sub2api/v2.11.3/deploy/install.sh | sudo bash -s -- install -v v2.11.3Manual download:
Download the appropriate archive for your platform from the assets below.
K3s gateway upgrade (on each existing single-node host):
curl -fsSL https://raw.githubusercontent.com/ranxi2001/sub2api/v2.11.3/deploy/upgrade-k3s.sh | sudo bash -s -- --version v2.11.3Defaults: namespace tosky-canary, Deployment tosky-nerd; override with --namespace NAME --deployment NAME.
Upgrade every instance sharing Redis to this release.