對話摘要 2026-08-16

---

description: 9 note(s) today. name: ‘2026-08-16’

• memory/2026-08-16/compose-plaintext-secrets-cleanup.md name: compose-plaintext-secrets-cleanup description: Dockhand 明文密碼清理全部完成：9 個 stack（authentik/fns/infisical/nextcloud/n8n/openhands/monitoring/pg-main/vikunja）compose 全部改 $VAR、值不變零功能影響（pg-main/grafana/vikunja因config相同跳過recreate全程零中斷）；9commits已push工作目錄乾淨。事故：infisical因Dockhandenv舊D{B}_{C}ONNECTIO{N}_{U}RIstale（指住已唔存在嘅infisical-dbhostname）crash-loop（Restarts=8），用compose原值覆寫新rows（642-646）+刪舊rows（312/313/337-340）+設environmen{t}_{i}d=1修復。教訓（已記MEMORY.md）：APIPUT對已存在key會建重複row（NULLen{v}_{i}d、明文），必先DELETE舊row再SETen{v}_{i}d=1，deploy後必驗容器實際值。保留：vaultwardenargon2ADMI{N}_{T}OKEN（含$ 字符有 interpolation 風險）；Infisical API 403 冇補 secrets（Dockhand env 先係權威儲存）。
• memory/2026-08-16/dockhand-external-secrets.md name: dockhand-external-secrets description: Dockhand 外部 secret providers 功能（PR#1360）研究＋實測＋漸進遷移記錄。實測（2026-08-16）已升級 Dockhand 至 1.0.42（migration 0010_add_secret_providers），E2E 全通過：建 Infisical provider（infisical-main id=1，host http://infisical-backend:8080 內網直連 pass SSRF guard）、stack binding 寫入 stack_sources、DOCKHAND_SECRET_SELECTOR=/ 觸發 bulk pull（118→119 secrets）、secrets 只經 shell env 注入唔寫 disk。關鍵機制：API 用 Bearer dh_* token、Infisical config={host,token,projectId,environment,path?}、坑位=API 加 env 後 environment_id NULL 唔會注入、.env.dockhand 只存 non-secret。決定唔等 1.0.43 而家漸進遷移。已遷移 7 個 stacks：pilot cloudflare-ddns（專用 token 做 CF_API_TOKEN，hash 9a254b77）+ 批量 6 個（blinko、stirling-pdf、pydantic-ai、olw、redis、n8n-stack）全部 healthy。⚠️ Redis 事故教訓：grep -A1 requirepass | tail -1 攞咗下一行 —maxmemory 768mb 當 password，誤判 MISMATCH 後 PATCH 錯值入 Infisical → redis crash loop → Infisical backend down（用 redis db2）→ Dockhand bulk resolve 卡死（循環依賴）；救火=unbind provider（stack_sources.secret_provider_id）用 DB explicit secret 起返，真實 password gqyMMwkFGiG1C9 一路正確；教訓=核心依賴遷移前確認值來源正確 + 預備 rollback。剩低候選：fastmcp（11 secrets 最大 win，10/11 已喺 Infisical）、litellm、infisical、karakeep_web、browserless、cloudflared、qwenpaw、openhands（停用）、wg-easy（唔郁）；下一個建議 fastmcp 但係 agent 基建核心要做慢啲（已問 user 未回覆）。
• memory/2026-08-16/dockhand-infisical-migration.md name: dockhand-infisical-migration description: Dockhand secret provider 迁移至 Infisical：本輪（2026-08-16）完成最後 5 個 stacks 遷移（fastmcp/karakeep_web/litellm/browserless/cloudflared），累計 12 個 stacks 全部遷移完成且 healthy。fastmcp 係最大 win（清走 23 個 secrets 只留 INFISICAL_SERVICE_TOKEN）；額外清走 6 個明文 secrets；browserless 改 compose $TOKEN\to${BROWSERLESS_TOKEN}（commit 78c32c5）；cloudflared 容器名實為 cloudflare-tunnel（stack 32，唔係 41，41 係 ntfy——誤 bind 已修正）。決定唔遷移：infisical/qwenpaw（循環風險）、openhands（停用）、wg-easy（PASSWORD_HASH 含 $）。全部容器 healthy，fastmcp driver 自動重連。錨點：infisical-main、DOCKHAND_SECRET_SELECTOR。
• memory/2026-08-16/dockhand-pg-and-infisical-migration.md name: dockhand-pg-and-infisical-migration description: Dockhand DB 遷移至 pg-main PostgreSQL 完成並新增 Infisical Secrets 全量補遷完成（2026-08-16）：pg-main 建dockhand db + Infisical DOCKHAND_DB_PASSWORD；11 個 PG migrations 建 schema，並補遷環境需的 17 個新 Infisical keys；API & runtime 驗證通過，修正 nextcloud deployment 側的 REDIS_HOST_PASSWORD issue，並完全 restore cadvisor 等用戶期望的 container 停啟狀態。
• memory/2026-08-16/dockhand-plaintext-secrets-cleanup.md name: dockhand-plaintext-secrets-cleanup description: Dockhand 明文密碼清理已完成：9 個 stack（authentik/fns/infisical/nextcloud/n8n/openhands/monitoring/pg-main/vikunja）全部改用 $VAR引用Dockhandenv，值不變、零中斷。Infisical曾因staleenvrow（D{B}_{C}ONNECTIO{N}_{U}RI指住舊infisical-dbhostname）crash-loop，已修復；教訓：APIPUT會建重複row（NULLen{v}_{i}d），必須DELETE舊row+SETenvironmen{t}_{i}d=1。vaultwardenADMI{N}_{T}OKEN係argon2hash含$ 字符，被 docker compose interpolation 食走 $argon2id/$v/$m三段，實際容器運行值係mangledstring（=19=65540,t=3,p=4$…），即而家 admin 登入密碼就係呢個 mangled string；明文 token 冇記低喺任何地方，待用戶決定是否設新 token（用 $$ escape 或 Dockhand env）。
• memory/2026-08-16/infra-ops-research.md name: infra-ops-research description: A detailed analysis of major infra operations and related decision points on 2026-08-16, including Azure model shifts, Hermes fixes, and pending user approval of certain transitions.
• memory/2026-08-16/memory-slimming-archive-20260816.md
• memory/2026-08-16/n8n-hindsight-sync-fix.md name: n8n-hindsight-sync-fix description: 2026-08-16 排查並修復 n8n workflow「QwenPaw→Hindsight 每日記憶同步」連續三晚（8/13、8/14、8/15）error。根因一：Hindsight compose 的 LLM/embedding base URL 被改為 http://headroom:8787（Headroom LiteLLM 壓縮 proxy，ghcr.io/chopratejas/headroom:code），但 Headroom 容器卡死 unhealthy 2 日，embedding 生成 timeout（Failed to generate batch embeddings: timed out，local-e5-large）→ Hindsight retain API 回 500 → sync 失敗（8/13、8/15 真係漏同步；實測 headroom:8787 30 秒 ReadTimeout vs litellm:4000 直連 200 OK 10.8 秒）。根因二：n8n Telegram 通知 node 的 JSON Body 用 =JSON.stringify(…) 返回 string，n8n HTTP Request node 報「The value in the JSON Body field is not valid JSON」，三晚都 error，連 8/14 實際 sync 成功都冇通知。修復：還原 Hindsight compose 直連 litellm:4000（git commit 8e54879，sync + deploy stack 73，host 解析唔到 dockhand hostname 改用固定 IP）→ 重啟 healthy → 重跑 sync script 得 OK daily 1 / OK memory 1 / RESULT: OK（補返 8/15）；經 n8n MCP updateNodeParameters 改兩個通知 node jsonBody 為 object expression（API key 被 redaction mask，用 fastmcp__oci_vault_get 攞 Infisical service token 取 pg password；n8n API 401 改走 MCP）；手動執行 workflow success（execution 12747）Telegram 通知正常；補返 8/13、8/15 漏咗嘅 daily note 入 Hindsight；教訓寫入 MEMORY.md。跟進：Headroom 容器仍 unhealthy（卡死 2 日），已無 production 依賴，考慮 restart 或停用防止誤用；litellm 直連本地 embedding（e5-large）約 10 秒，比 Headroom 慢但穩定。
• memory/2026-08-16/opencode-zen-key-onboarding.md name: opencode-zen-key-onboarding description: OpenCode Zen API key（sk-JzbpLO5r…TWZ91）已驗證收編：存入 Infisical（OPENCODE_API_KEY），經 ProviderManager API 設定入 QwenPaw opencode provider（加密存放，避免 TTY 卡死）；62 個模型可用（6 個 free models 已加入 QwenPaw extra_models 及接入 LiteLLM opencode-* 名，實測 200 OK；56 個付費包括 Claude/GPT/Gemini/Grok/DeepSeek/GLM/Kimi/MiniMax/Qwen/Muse Spark/Big Pickle 全系列）；坑：fastmcp litellm_model_update 要 body 帶 model_info.id（SSH docker exec litellm python3 直接 POST /model/update）；MEMORY.md 只記引用、key 本體喺 Infisical。OpenCode Go plan 評估（2026-08-16）：過去 30 日 LiteLLM 花費 $60.52（DeepSeek$31.53 + Azure GPT-4o $18.13+其他$10.67）、總 tokens 2.93B/32,706 calls、單日高峰 8/7 $15.71；對比Go額度（5h$12/週 $30/月$60，$10/月）結論唔夠用：月額度打和零 margin、高峰日必爆 5h 限額、平均每 call 96K tokens 長 context pattern 唔啱（cache 要 >90%）、GPT-4o 冇對應（只有 GPT 5.6 Luna）；建議唔訂 Go plan，維持 DeepSeek 官方+free models，非關鍵流量（cron、Hindsight）搬去 opencode free models；下一步：用戶決定 default 模型。

04:35 MEMORY.md 自動精簡（cron f6cf4ccf）

• 觸發：MEMORY.md 25878 bytes > 20480 門檻。
• Backup：✅ GitHub qwenpaw-memory-backup/MEMORY-20260816-043104.md（25878 bytes）。注意：容器 env Github_API_Key 已失效（401 Bad credentials），改由 host oracle-arm-stacks git remote 內嵌 PAT（08-14 輪換後）做 backup —— 若日後 GitHub backup 又失敗，先 check host git remote token 仲有冇效。
• 精簡：v3 → v4，25878 → 20453 bytes（< 20480 ✅）。原版存 memory/2026-08-16/memory-slimming-archive-20260816.md。搬走：一次性教訓細節、工具設置長篇說明（Browserless/Karakeep/NotebookLM/ERPNext/Documenso/Azure/Hermes 壓縮為速查）、明文密碼清理 commit hash 明細、Agent Proxy 監控細節等。保留：全部 Infisical 引用、用戶政策、DNS/IP/Redis/pg-main 核心、固定 IP 政策。
• 通知：✅ Telegram「📉 MEMORY.md 自動精簡完成：25878 bytes → 20453 bytes，已 backup 去 GitHub」。

13:00 每日安全審查（cron 90fda464）

• 結果：✅ 基本正常，發現 4 項低/中風險（詳見 Telegram 報告）。
• ⚠️ Host LSM 冇 landlock：/sys/kernel/security/lsm = lockdown,capability,yama,selinux,bpf,ima,evm。任務定義 sandbox 失效風險；實際 QwenPaw sandbox 有 sandbox-gateway（caddy 2.9）+ 容器隔離，但 landlock 未啟用需跟進（可 boot 參數加 landlock 或確認 seccomp 覆蓋）。
• ⚠️ 3x-ui 已重啟（Up 2 days）：用戶手動停用清單中但而家運行中，映射 0.0.0.0:443/tcp+udp（host firewall 亦開 443）；屬用戶 proxy 服務功能端口，留意即可。
• ⚠️ firewall 51821/udp 殘留：冇 listener 對應，可清理。
• ⚠️ App Launcher allowed_idps 含 dbcd718e(OTP)/35a21699，但 Allow-Portal policy 只 include Authentik 0abce3f9，實際無風險，可選清理。
• ✅ 版本：QwenPaw 2.1.0（最新 stable）；cryptography 48.0.1（patched，0 CVE）；fastmcp 3.4.6 / crawl4ai 0.9.2 / alist custom-20260805 / olw 0.8.5 全部近期。
• ✅ Patch 完整性：secret_redaction（agents/utils/）、task_tracker（_STALE_TASK_TIMEOUT_S=900）、mcp whitelist、progressive_disclosure 全部存在。
• ✅ 其他：fail2ban active（0 ban）、dnf-automatic enabled、sshd PasswordAuthentication=no、冇 privileged container、冇 unhealthy/restarting、CF Tunnel healthy（4 conns 2026.8.1）、Access 全部 Authentik IdP、benhoweb.com DNS 冇可疑 record、審計日誌 24h 冇 deny 事件。