docs: amo v3 batch report + round notes (items 12/15/16/17/20/21/22/23)

NEXT-ROUND-NOTES.md

@@ -82,11 +82,78 @@ amo 各页主内容区两侧留白偏大；把左右间距（padding/最大宽
 - 左侧菜单「设置与运维」→ 改名「设置」
 - 「安装与命令」页面的全部内容合并进「设置」页面，合并后删除「安装与命令」页面（菜单项与路由一并摘除）
 
-## 12. 删除系统状态页「最近活动」模块（2026-10-21 04:56，用户附截图）
+## 12. 核心版本显示为空——根因已明，下批再修（2026-10-21 11:52 用户定：小问题，下次一起修）
+
+v2 上线后现网四台核心版本列全空。已查实根因：节点 sing-box 是自编版（agent-singbox.sh 固定 v1.13.21），构建未打版本戳，二进制 `version` 输出 `sing-box version unknown`，agent 探针按设计把 unknown 当无版本。代码链（探针→心跳→落库→渲染）无误。
+已定修法（未施工）：agent 探针解析为空时兜底读安装记录 /etc/nexusgate/sing-box/version；agent-singbox.sh 安装成功后写该记录（去 v 前缀）；现网四台补写 1.13.21 即可（安装脚本写死的版本，有据）。长期根治：下次重编 sing-box 时打版本戳。
+
+## 13. 删除系统状态页「最近活动」模块（2026-10-21 04:56，用户附截图）
 
 首页（系统状态页）底部的「最近活动」面板整个删除（该面板是改版时为保旧功能补回的，用户现明确不要）。只删展示模块，后端活动/审计记录本身保留不动。
 
-## 13. 设置页「任务队列」表格排紧凑（2026-10-21 04:58，用户附截图）
+## 14. 设置页「任务队列」表格排紧凑（2026-10-21 04:58，用户附截图）
 
 现状毛病：列宽分配失衡——任务 ID 被挤到换行两行、状态"已完成"竖排三行、时间两行，而错误列大片空白。
 要求：重配列宽与换行——ID/状态/时间等短内容不换行、单行呈现；空白列不占大宽度；整表紧凑。合并进设置页后保持此排版。
+
+## 15. 凭据页签删掉按绑定逐行的 Reality 公钥区块（2026-10-21 14:13 用户附截图）
+用户原话：红框里的节点 Reality 公钥好像没什么意义，不需要显示出来，只需要显示上面的凭据就可以了。
+处理：编辑客户「凭据」页签删除整个按绑定逐行列表（节点名/状态/协议/Reality 公钥+复制按钮），只保留订阅令牌 + 凭据（全部节点共用）三件套（UUID/密码/Reality Short ID）。仅前端展示删除：公钥数据本身（主控 keyStore 托管、订阅生成、部署下发）一律不动。
+
+## 16. 节点表单加 REALITY 目标扫描器（2026-10-21 14:21 用户附 3x-ui 扫描器截图）
+用户原话：查找目标点一下，就会扫描出很多可用的域名可以用，点一下使用即可，很方便。
+规格（照 3x-ui 扫描器形态）：
+- 入口：编辑/新建节点的 Reality 目标预设旁加「查找目标」按钮，打开扫描器弹窗。
+- 输入：域名 / IP / CIDR，可留空——留空则探测内置常用候选池（microsoft/google/nvidia/amazon/samsung/intel 等，与现有目标预设同源扩充）。
+- 探测：主控侧对每个候选做 TLS 握手，列表展示 目标/状态（可用与否）/TLS 版本/ALPN/密钥交换（须支持 X25519 或 X25519MLKEM768）/证书主域名（SAN）/延迟；不可用行给出简短原因。
+- 回填：每行「使用」按钮，点击即把该目标回填为节点的 Reality SNI / 目标地址与端口并关弹窗。
+- 注意：v1 与 3x-ui 一致在主控侧扫描，延迟/可达性是主控视角（路由器经代理出网，与海外节点的真实视角有偏差，UI 上不夸大表述）；节点侧探测（走 agent job）留作二期，不在本条范围。
+
+## 17. 节点编辑页显示 Reality 公钥+私钥（2026-10-21 14:22 用户附 3x-ui 入站安全页截图）
+用户原话：之前用户页面删掉的那个公钥展示，把它和私钥一起和 3x-ui 加到对应的节点页面显示吧。
+处理（与第 15 条配套）：编辑节点弹窗（Reality 协议时）增加密钥对展示区：公钥、私钥各一行，带复制按钮，数据取自主控 keyStore 托管的该服务器密钥对。注意 amo 的密钥对是**服务器级**身份（同机多个 Reality 节点共用同一对），节点页显示的是其所属服务器的那一对，不要做成节点级新生成。本条只要求显示；是否加「换一对」（相当于 3x-ui 获取新证书，会触发该服务器全部 Reality 节点重部署+订阅公钥变更）本轮不做，用户未要求。
+第 15 条相应修订：客户凭据页签删的是"按绑定逐行重复展示公钥"的区块；公钥信息自此只在节点页出现一份。
+
+## 18. 入站监听钉死公网 IP，内网中转打不通（2026-10-21 15:04 实测确诊；同日已热修上线并真机验收：commit aa2ee62，路由器面板已换装（旧二进制备份 .bak-hotfix-pre），PPFL1-SK5 重部署后 ss 见 0.0.0.0:47814，纯 amo 中转链实测通、出口正确。aa2ee62 尚未推 Gitea，随下一批一并推。）
+证据：用户 PPF 两机内网中转（L3 入口 VLESS → 手动落地 L1 的 SOCKS5 入站，落地地址填内网 10.240.64.2:47814）在 amo 不通；同一对机器在原版 3x-ui 正常（xray 入站默认听全部地址）。L1 本机 ss 实测：47814 只绑公网 IP 140.235.229.19，未绑 0.0.0.0/内网地址，进程为 nexusgate-sing-box（节点本身部署成功）。
+根因：panel-go/protocols.go listenAddress() 在 ipv4 模式返回服务器登记的 PublicAddress（ipv6 模式同理返回 PublicAddressV6），入站只听公网网卡，内网地址无人监听。
+修法（2026-10-21 15:07 用户定现在热修；15:09 范围终版）：默认监听全改通配——ipv4→0.0.0.0、ipv6→"::"、dual→"::"（不变）；显式 BindAddress 覆盖保留。v6 也改通配的理由（用户原话）：有的节点鸡有很多个 v6 公网地址，只绑登记的那一个会漏掉其余 v6 地址上的连接。代价用户已知并接受：通配 v6 套接字在 Linux 默认会顺带收 v4 映射连接，仅 v6 节点事实上 v4 也可达。改动在主控侧 listenAddress()（BuildNodeResource/BuildNodeExitResource 共用），agent 无需改；换面板后对节点重新部署即生效。
+
+## 19. SOCKS5 用户名上收到客户共用凭据区（2026-10-21 15:42 用户指认，与第 15 条配套）
+现状：客户的 SOCKS5 用户名（ng:cus_<客户ID>，即 NodeEmail）目前仅在客户凭据页签的"按绑定逐行"区块里随节点行显示（如 PPFL1-SK5 行），而该区块第 15 条要删。删后此用户名将无任何界面可见，但手动落地端点填表等场景必须人读它（用户本次中转测试就靠抄它）。
+处理：删绑定区块时，把「用户名」作为第四行加进凭据页签上部的共用凭据区（UUID / 密码 / ShortID / 用户名），带复制按钮；值由 ng:+客户ID 确定性生成，纯展示、无新存储。订阅与入站生成逻辑不变。
+
+## 20. 入站先建后绑：放开"必须先分配客户才能部署"（2026-10-21 16:11 用户提出，方案已拍板）
+现状：orchestrator.go 部署校验写死 len(activeNodeClients)==0 时 400 拒绝（"请先给节点分配至少一个客户再部署"）；节点能建能存，卡的是部署/启用。改成 3x-ui 式：先把入站建起来部署，关联客户随时增减（绑定变更本来就会触发重新部署）。
+方案（用户 18:01 按推荐方案确认）：删除该校验，零客户节点可部署（VLESS/SS/AnyTLS/Hysteria2 等空用户只是无人能连，无副作用）；**唯 socks5-auth 例外保留拦截**——sing-box 的 socks 入站在 users 为空时不做认证=无密码开放代理（xray 空账号是拒绝，语义不同），且监听已改通配、公网可达，拦截提示语写明此原因。
+验收：零客户建一个 VLESS 节点部署成功且在节点机监听；随后绑客户自动重新部署可连；零客户建 socks5-auth 节点部署被拦且提示正确；绑客户后部署成功。
+
+## 21. SOCKS5 节点改固定账号密码（3x-ui 式，入站级）（2026-10-21 18:06 用户拍板）
+用户原话：socks5 节点改成 3x-ui 那样固定的账号和密码，直接在入站里固定；不然多人共享同一个内网中转的 socks5 节点，流量会全部算在同一个用户名下。
+诊断（已核代码）：现模型 socks5-auth 入站 users 按绑定客户逐个派生（ng:cus_<id>+共用密码），但中转链入口侧出站只有一组静态 ExitCredentials，全体客户的流量到落地侧都以那一组身份认证，落地侧"按人分账"是假的、全记一人头上（还会误触其限额）。入口侧才是真分账点（客户各自 UUID 认证）。
+改法：
+- 节点（协议=socks5-auth）新增入站级固定 socksUser/socksPassword：建节点时可填、留空自动生成随机对；节点编辑表单在 socks 协议时显示这两项（可改、带复制）；入站 users 只放这一组。
+- 订阅：socks 节点链接携带这组固定账号密码（所有绑定客户同一份），绑定只控制订阅里出不出现该节点，不再派生凭据。
+- 记账：该固定账号的流量记为节点级（不归任何客户）；面板展示口径随之调整，别再把落地 socks 流量摊给客户。中转链的按人记账在入口侧完成（现状已如此）。
+- 存量：现网 socks 节点（PPFL1-SK5 等，测试数据）迁移时生成一组固定凭据替换 users；入口手动落地端点里填的 ng 账号随之作废，改填节点固定账号（文档/提示同步）。
+连带修订：
+- 第 19 条作废（被本条取代）：客户凭据区不再加"用户名"行——socks 用户名从此在节点上，客户凭据页签的绑定区块可径直删除，无需上收。
+- 第 20 条修订：socks5-auth 的零客户拦截例外取消——入站恒有固定账号，不存在空 users 变开放代理的问题，先建后绑对全部协议一致放开。
+
+## 22. 面板切菜单慢：每请求全量克隆的成本（2026-10-21 18:12 用户报，晚间实测定位）
+现象：路由器上点菜单约 3 秒才切换；3x-ui 同机同路（内网/隧道）都快。
+实测证据（已逐项排除）：DB 文件仅 225KB；两条访问路径都慢（非隧道问题）；favicon（同进程静态文件）6–21ms 而全部 /api 接口 250–1560ms 且与响应大小无关（1.2KB 的 system 也要约 1s）；放宽 GOMEMLIMIT 28MiB→64MiB、GOGC 50→100 无改善（GC 无关，已恢复原参数，RSS 回 14MB 级）；SIGQUIT 协程转储无空转循环（全在 IO/通道等待）；整机 load 约 3（4 核），面板单请求成本高是主因、整机繁忙是放大器。
+机制：每个 admin GET 请求至少两次全量 Snapshot()——RequireAdmin 为找一个用户克隆整库一次，handler 再克隆一次；Clone() 走 JSON marshal+unmarshal 全量往返；切一页 = 2–5 个这种请求串行排队（同一把 store 锁，还要和 agent 心跳的 Transaction 克隆+落盘竞争）。3x-ui 每请求只做索引查询，故同机快。
+修法（下一批，性能专项）：
+1. RequireAdmin 不再全量克隆找用户：用户表小规模缓存/按会话直接映射，请求级只克隆一次并在 handler 间共享 snapshot。
+2. 读路径去全量 JSON 往返：以不可变快照+按需部分解析或写时复制替代 Clone() 的全量 marshal/unmarshal（保数据文件格式与事务语义不变，金标准必须全过）。
+3. 前端切页不重拉全量：servers/nodes/customers 等基础数据做页间缓存（带失效点：写操作后失效），渲染不等全量 Promise.all 才上屏。
+验收口径：路由器真机、同数据量下 devtools 复测，常用页切换的接口耗时回到几十 ms 级；RSS 不回涨（保持 28MiB/50 参数）。
+附带教训（已发生）：给用户的 sed 命令里 `.*` 被其客户端吞成 `.`，把 GOMEMLIMIT 改成 96MiB8MiB 导致 Go 运行时启动崩溃循环——已恢复；今后改值命令只用全字面替换，不用通配。
+
+## 23. 绑定变更合并下发：连续加人只重启一次（2026-10-21 18:34 用户提出、18:36 拍板并入本批）
+现状（已核代码）：给节点分配/移除客户（assignCustomer/unassignCustomer）只要节点非草稿就立刻 RebuildNode 并排 apply_resource 任务，agent 重写 sing-box 配置重启生效——每加/减一个人，该节点全体用户断一次重连；连加十人重启十次。sing-box 无动态加人接口，单次重启消不掉，只能合并。
+改法：绑定类变更触发的重建按下发合并——同一节点在短窗口（10 秒量级）内的多次 RebuildNode 只产生一次 apply_resource，以窗口结束时的最终状态为准。
+约束：①手动点部署（/api/nodes/:id/deploy）保持立即执行，不进合并窗口；②删除/移除流程语义不变，窗口内节点被删除时待发 apply 必须正确作废、不许复活；③面板在窗口内重启不能把节点卡在未下发状态（待发状态可落盘或启动对账补发，二选一并在报告注明）；④凭据重置等其他触发 RebuildNode 的路径按同一合并口径（按节点合并即可）。
+验收：同一节点快速连加 5 个客户，最终只执行 1 次 apply_resource 且 5 人齐全；窗口内删节点不复活；手动部署仍立即；既有测试与金标准不回归。
+口径补充（同日用户问答确认）：合并窗口为固定窗口（从该节点第一次待发变更起算，不滑动延长）；代价=新加入用户最多晚约 10 秒 + 一次 apply 时间才能连通该节点，窗口内老配置照常服务、老用户无感。此代价用户已知悉并接受。

NEXT-ROUND-REPORT-V3.md

@@ -0,0 +1,132 @@
+# amo v3 批次构建报告（NEXT-ROUND-NOTES 第 12/15/16/17/20/21/22/23 条）
+
+- 基线：`aa2ee62`（开工时核对一致）；本批 10 个 item-scoped 提交，HEAD 见文末清单。
+- 施工口径：第 0 条 Go 单一真源——只改 `panel-go/`、`agent-go/`、共用前端 `public/`、安装脚本 `scripts/`；Node 实现零改动（`git diff --name-only aa2ee62..HEAD` 可核）。数据文件既有字段语义未改，新字段全部 `omitempty` 向后兼容。
+- 验收环境：沙箱 linux/amd64（AMD EPYC 9D64）、Go 1.24.6、自编 sing-box v1.13.21 沙箱现成二进制。**未部署、未推 Gitea**；真机（路由器 A53）数字待部署后复测。
+
+## 逐项结果
+
+### 1. 第 12 条 核心版本显空修复 — ✅ 完成（`bb974e2`）
+
+- `agent-go/health.go`：探针 `singBoxVersion()` 在二进制版本为空/`unknown` 时兜底读安装记录；记录文件 mtime 纳入探针缓存键，补写记录能被及时感知。新增 `installedSingBoxVersion()`：去空白与可选 `v` 前缀、正则校验版本号形状，垃圾内容忽略。
+- `agent-go/main.go`：config 新增 `SingBoxVersionFile`，默认 `/etc/nexusgate/sing-box/version`，env `NG_SINGBOX_VERSION_FILE` 可覆盖。
+- `scripts/agent-singbox.sh`：新增 `write_version_record()`（写去 `v` 前缀的 `1.13.21`），在已安装早退、预编译安装、源码编译安装三条成功路径全部调用。
+- agent 版本号保持 `0.6.8`（面板 AnyTLS 版本门禁按数字解析，铁律未动）。
+- 测试：新增 `TestSingBoxVersionFallsBackToInstallRecord`（unknown→读记录、带戳二进制优先、垃圾记录忽略、v 前缀剥离）通过；脚本 `bash -n` 通过。现网四台补写记录属部署动作，不在本批。
+
+### 2. 第 15 条 凭据页签删绑定区块 — ✅ 完成（`8189a51`）
+
+- `public/app.js` `renderCredentialsPane`：删除按绑定逐行列表（节点名/状态/协议/Reality 公钥+复制），只留订阅令牌＋共用凭据三件套。后端 `customerCredentialsView` 载荷、keyStore、订阅、下发数据未动。
+- 第 19 条已被第 21 条取代作废：未按旧口径往共用凭据区加「用户名」行（socks 用户名自此在节点上）。
+
+### 3. 第 16 条 REALITY 目标扫描器 — ✅ 完成（`0ab31ae`）
+
+- 后端 `panel-go/realityscan.go`＋接口 `POST /api/reality/scan`（RequireAdmin 之后）：入参 `{input}` 或 `{targets:[...]}`。
+- 输入解析：留空→内置候选池 14 个（与目标预设同源的 tesla/amd 等＋ microsoft/google/nvidia/samsung/intel/cloudflare/bing/github/yahoo/mozilla，均为 443）；支持域名/IP/host:port/IPv4 CIDR（展开上限 32 主机）；显式输入超 32 目标报 400。
+- 探测：真实 TLS 握手，并发上限 8、单探针超时 4 秒；返回 target/host/port/ok/reason/tlsVersion/alpn/keyExchange/keyExchangeOk/certName/latencyMs，顺序与输入一致。密钥交换判定：Go 1.24 的 `tls.ConnectionState` 无 CurveID 字段，故改为限定组握手实测——依次只提供 X25519MLKEM768、只提供 X25519、组合兜底，任一成功即记支持。探测带 `InsecureSkipVerify`（只判可达性与密钥交换能力，证书 SAN 仍回报展示；理由已注释在代码内）。
+- 前端：预设旁「查找目标」按钮；扫描器为独立叠加层（DOM 元素，不走 openModal，不冲未保存的节点表单状态），带主控视角说明文案（「从主控所在网络发起探测……节点所在网络可能不同」）；每行「使用」回填 Reality SNI/目标端口、预设切 custom、关层。样式 `.scan-table` 在 `public/styles.css`。
+- 测试：`realityscan_test.go` 通过（池/输入/CIDR 解析、本地自签 TLS 服务器 loopback 实测 OK/TLS 1.3/密钥交换非空、死端口给 reason）；冒烟实测见下。
+
+### 4. 第 17 条 节点页 Reality 公私钥 — ✅ 完成（`a9d9867`＋测试修复 `4199a43`）
+
+- 新只读接口 `GET /api/nodes/:id/reality-keys`：取 keyStore 中该节点所属**服务器**的托管密钥对；**绝不调用生成逻辑**，无条目返回 null；非 Reality 节点 400、节点不存在 404。
+- 前端：节点编辑弹窗（Reality 协议时）加展示区，公钥/私钥各一行带复制；无密钥对显示「尚未生成（首次部署时由主控生成）」。只显示，无「换一对」。
+- 测试：`realitykeys_test.go` 通过；冒烟实测接口返回完整公私钥对、非 Reality 节点 400。
+
+### 5. 第 20+21 条 先建后绑＋SOCKS5 固定账号 — ✅ 完成（`2fafd85`）
+
+- 先建后绑：`orchestrator.go` 删除 `ValidateNodeDeploy` 的零客户 400 校验，全部协议一致放开（socks 例外按第 21 条连带修订取消）；删除 `RebuildNode` 零客户自动移除分支与对账路径的零客户 skip——绑客户归零只重建、不下架。
+- 固定账号：`types.go` Node 新增 `socksUser`/`socksPassword`（omitempty；老文件可读、老二进制读新文件忽略新字段不崩）。`protocols.go` `EnsureSocksCredentials()` 生成：用户名 `ngs_`＋10 位 hex——**刻意避开 `ng:` 前缀**，因 agent 侧 sing-box 日志解析用 `^ng:(.+)$` 把 user 计数映射为客户级 usage 样本，固定账号带该前缀会被误记到某客户头上；密码为 base64 32 字节随机（与 RelayPassword 同级）。
+- 入站 users 恒为固定账号一组，与绑定数无关（0/1/2 客户均有测试覆盖）。
+- 订阅：`subscriptions.go` `NodeClientURI` 对所有绑定客户携带节点固定账密；链接只在客户已绑定时出现，绑定只控制出不出现。
+- 编辑表单：socks 协议时显示两字段（可改、带复制，含未保存值复制）；表单提交空值＝保留旧值（与 exitCredentials 合并语义一致）；用户名校验拒绝 `ng:` 开头与空白；协议切离 socks 时清空两字段。新建留空保存后自动生成。
+- 存量迁移：`store.go` `MigrateSocksNodeCredentials()` 在 Store.Init 与既有凭据收敛迁移合并落盘，幂等只填空缺。
+- 记账：固定账号流量在 agent 侧不匹配任何客户 user 样本，走 inbound 样本记节点级 MeteredTraffic；入口侧按客户 UUID 分账逻辑未动。
+- 测试：新增 `panel-go/socksfixed_test.go` 全过；订阅金标准夹具的 socks 节点改存固定账密对（取旧派生值使全部格式产物逐字不变，见金标准节）。
+
+### 6. 第 22 条 性能专项 — ✅ 代码完成，真机复测待部署（`05366d9`＋`6d97d4e`＋基准扩容 `0f74955`）
+
+后端：
+
+- `types.go` `Clone()` 改反射深拷贝（指针/接口/切片/映射/结构体递归、[]byte 逐字拷贝、未导出字段经浅拷贝保留）；原 JSON 往返保留为 `cloneViaJSON()` 供等价对照。`clone_equivalence_test.go` 在真实种子库与合成数据（含 json.Number 嵌套、keyStore、Extra）上证明两种克隆序列化逐字节相等且深独立、nil 安全。
+- `handlers.go` `CurrentAdmin` 改走 `store.View` 只读命中单条 User 记录，不再为找用户整库 Snapshot——每个 admin GET 的全量克隆由至少两次降为一次（handler 自身的一次 Snapshot 保留，未逐个改 View，以保同一请求内读一致性）。事务语义、数据文件格式、并发模型不变。
+
+前端（`public/app.js`）：
+
+- 基础数据集页间缓存（servers/customers/nodes/protocols，TTL 30 秒）；`api()` 内任何非 GET 成功统一失效缓存——全站写路径都过 `api()`，无漏点。
+- `load()` 改渐进渲染：先以已有数据立即渲染当前页，各数据集到达后逐个应用并重渲染；overview/system/jobs 恒新鲜拉取；仅当本次全部请求皆失败才弹错误提示（保持旧失败面）。
+
+量化证据（沙箱 amd64，合成种子 **20 服务器 / 40 客户 / 40 节点 / 160 绑定**，改动前后同种子同测法；旧版取 `aa2ee62` worktree 构建，基准文件同源移植）：
+
+| 指标 | 改动前 | 改动后 | 倍数 |
+|---|---|---|---|
+| Clone 一次 | 13.14 ms（JSON 往返） | 0.54 ms（反射） | ≈24× |
+| GET /api/overview | 31.74 ms | 0.48 ms | ≈66× |
+| GET /api/servers | 33.65 ms | 1.29 ms | ≈26× |
+| GET /api/customers | 31.17 ms | 2.29 ms | ≈14× |
+| GET /api/nodes | 31.31 ms | 5.08 ms | ≈6× |
+| GET /api/jobs | 24.63 ms | 0.64 ms | ≈39× |
+
+注：改动后 nodes 接口剩余耗时主要是 PublicNode/订阅 URI 等业务序列化，不再是克隆。以上是 amd64 沙箱数值；路由器真机（A53＋整机 load 约 3）验收待部署后用 devtools 同数据量复测，预期回到几十 ms 级的结论以真机数字为准。
+
+空闲稳态 CPU 对照（用户追加项；规模按最终口径 **20 台 agent**）：
+
+- 测法：同一种子（20 服务器/40 客户/40 节点，含 20 个带指纹的 agent 凭据），新旧二进制各起一份、无任何界面请求，驱动脚本按 agent-go 现网节奏模拟 20 台 agent——poll 每 8 秒、heartbeat 每 30 秒、usage 每 60 秒（空 samples），错峰启动；预热 15 秒后取 60.06 秒窗口，用 `/proc/<pid>/stat` 的 utime+stime 差折算 %CPU（100 ticks=1 秒 CPU）。两版驱动错误数均为 0。
+- 结果：**改动前 38.41% → 改动后 32.31%**。**未达到个位数目标，如实报告。**
+- 剩余成本主项（实测归因）：agent 鉴权 `VerifySecret` 的 scrypt 校验。指纹快路径只负责定位 agent 记录，定位后仍须对 KeyHash 做一次 scrypt 验证（不可跳过，否则指纹即凭据）；沙箱实测单次 VerifySecret ≈ 87.9 ms。稳态请求率 = poll 2.5/s＋heartbeat 0.67/s＋usage 0.33/s ≈ 3.5/s，scrypt 一项即 ≈ 3.5×87.9ms ≈ 30.7% CPU，与改动后 32.31% 几乎完全吻合——即克隆成本已被基本消除（旧版多出的约 6 个百分点即 JSON 全量克隆＋usage 事务克隆落盘），稳态 CPU 现由**密码学校验**主导，与第 22 条的克隆问题是两个独立瓶颈。若后续要继续压稳态 CPU，方向是 agent 鉴权改造（如指纹命中后改用廉价 HMAC 校验或会话化令牌），属新立项，本批未动鉴权语义。
+- 事务路径说明：`Transaction` 仍做一次全量克隆＋落盘（写路径语义要求），稳态下仅 usage 每分钟 20 次触发，成本已被 scrypt 淹没，不是主项；60 秒 housekeeping 的事务＋Snapshot 在两版 RSS 采样中均表现为分钟级瞬时尖峰。
+
+RSS 对照（同种子、无界面请求）：
+
+- 空闲（带现网参数 `GOMEMLIMIT=28MiB GOGC=50`，启动 20 秒后连取 3 次）：改动前 10,876 KB 稳定；改动后 10,672–10,840 KB。**无回涨**，满足第 22 条「RSS 不回涨」口径。
+- 稳态负载下（未加 GOMEMLIMIT 的沙箱默认，60 秒窗口每 10 秒采样）：改动前 47→197 MB 持续爬升（JSON 克隆分配压力），改动后多数样本约 46 MB、housekeeping 分钟边界出现一次约 150 MB 瞬时尖峰后回落。
+
+### 7. 第 23 条 绑定变更合并下发（本批第 8 项）— ✅ 完成（`80140f3`）
+
+- 窗口语义：**固定窗口 10 秒**——从该节点第一次待发变更起算，后续变更不延长（用户补充口径）；窗口内多次绑定类变更只在到期时以最终状态下发一次 `apply_resource`。
+- 实现：Node 新增落盘字段 `rebuildPending`/`rebuildPendingAt`/`rebuildPendingExit`（omitempty）；`Orchestrator.FlushPendingRebuilds(now)` 由主进程 1 秒 ticker 调用。**待发状态落盘**（二选一中取此方案）：面板在窗口内重启，首个 tick 即补发，不会卡死。
+- 打标路径：assign/unassign、AlignCustomerNodes、Suspend/ResumeCustomerResources、凭据 regenerate（原逐节点立即重建改打标）。
+- 保持即时并清标：手动 `POST /api/nodes/:id/deploy`（约束①）、RepairNode、节点 PATCH 编辑、对账路径；RemoveNode 清标（约束②）——flusher 对 PendingDelete/removing/draft 节点的标直接丢弃，绝不复活；flush 失败写 node.Error＋审计 `rebuild_flush_failed` 并继续其他节点。
+- 测试：`rebuild_coalesce_test.go` 五项全过——连加 5 客户窗口内 0 次 apply、到期只 flush 1 次且资源含齐 5 人；固定窗口不滑动；窗口内删节点 flush 0 次且无 apply；手动部署立即 1 次并消费待发标；Store 重载后标仍在且可 flush。
+
+## 横向验收
+
+- **全量测试**：`panel-go` 与 `agent-go` 各 `go test ./...` 全绿（含第 18 条 `listen_hotfix_test`、本批新增 socksfixed/rebuild_coalesce/realitykeys/realityscan/clone_equivalence/singboxversion 等）。
+- **金标准**：`golden/golden.mjs verify` 仅有 1 处 diff——`lists.customers.body.customers[0].subscriptionClientCount 3 → 0`。已判定为**种子时间漂移、非本批回归**：用 `aa2ee62` 旧二进制复跑得到逐字相同的 diff（种子内订阅客户端的活跃时间窗已随墙钟过期，过期后恒为 0）。其余 31 个 section 逐字一致（含订阅全格式、部署任务、用量投影）。因此**未 recapture 基线**：该 diff 与本批行为变更无关，贸然 recapture 会把环境漂移写进基线。
+- **真实 sing-box check**：冒烟中用改动后面板实际生成的两份节点资源（SOCKS5 固定账号节点＋VLESS Reality 节点），按 agent-go `combinedSingBoxConfig` 同规则组装合并配置、keyMaterial 替换 `${REALITY_PRIVATE:...}` 占位后，跑沙箱自编 sing-box v1.13.21 `check` —— **通过**（入站：socks 听 0.0.0.0、users 恰 1 组；vless 听 0.0.0.0、Reality 私钥就位）。
+- **沙箱真启冒烟**（新二进制、空库引导）：登录成功；overview/servers/customers/nodes/jobs/system/protocols/session 全部 200；建服务器→令牌注册 agent 成功；零客户 socks 节点建单成功且固定账密自动生成（`ngs_` 前缀）、部署不被拦（202）、agent 侧 job 资源 inbounds users 恰固定一组；零客户 VLESS Reality 部署不被拦、资源完整；绑定客户后订阅 raw 链接为 `socks5://<固定用户名>:<固定密码>@…`（密码 URL 编码）；reality-keys 接口对 Reality 节点返回完整公私钥对、非 Reality 节点 400；扫描接口对 www.microsoft.com 返回结构完整的结果行（沙箱直连出网被代理拦截，ok=false 且 reason 为握手失败——见缺口），对本地 TLS 1.3 服务器返回 ok=true、tlsVersion=TLS 1.3、keyExchange=X25519、keyExchangeOk=true、certName 与延迟齐全。冒烟全项 PASS。
+
+## 发布包
+
+`~/workspace/NexusGate-release/amo-v3/`（CGO_ENABLED=0、-trimpath；面板构建前经 build.sh 刷新 embed_public）：
+
+| 文件 | SHA256 |
+|---|---|
+| nexusgate-panel-linux-amd64 | `5698b7f5861078e8244c4d558d5191408b32590fd3b699446f1b564de9d6fcd9` |
+| nexusgate-panel-linux-arm64 | `57e7b5cd43fd0582bb0aa917a36734483fac3f46d6e9d61ce141d46473a4ff4b` |
+| nexusgate-agent-linux-amd64 | `b0aedfdcafa5cde7051f6cce6eb82eea709628f5e060688828ab8d107ed9df92` |
+| nexusgate-agent-linux-arm64 | `e8173e6712769184e87efd6c796129c12f3daf0c0127bfc629d758f412d8afa6` |
+
+同目录附 `SHA256SUMS` 清单。
+
+## 未决缺口（如实）
+
+1. **稳态 CPU 未达个位数**：32.31%（旧 38.41%），主因是 agent 鉴权 scrypt 而非克隆，详见第 22 条节内归因；需另立项改鉴权，本批未动。
+2. **扫描器真实域名成功路径未在沙箱验到**：沙箱直连 TCP 出网被运行环境代理拦截（curl 走代理正常、直连 TLS 全部 WRONG_VERSION 类失败，python 直连复测同结果），故 www.microsoft.com 只验到结构完整的失败行；成功路径已由本地 TLS 1.3 服务器经面板接口实测通过，真实域名待部署后在路由器网络复测。
+3. **真机数字待复测**：接口耗时、切页体感、RSS 均为沙箱 amd64 数值；路由器（arm64 A53）部署后需按第 22 条验收口径用 devtools 复测。
+4. **取舍记录**：`PublicNode` 未剥离 socksUser/socksPassword（管理员接口内，编辑表单回显需要）；扫描器探测用 InsecureSkipVerify（只判可达性/密钥交换，理由见第 16 条）。
+5. **未部署、未推 Gitea**：`aa2ee62` 热修与本批提交均只在本地；现网四台 sing-box 版本记录补写、节点重新部署等部署动作不在本批范围。
+
+## 提交清单（aa2ee62 之后）
+
+| 提交 | 内容 |
+|---|---|
+| `bb974e2` | 第 12 条 agent 核心版本兜底 |
+| `2fafd85` | 第 20+21 条 先建后绑＋SOCKS5 固定账号 |
+| `80140f3` | 第 23 条 绑定合并下发（固定窗口） |
+| `8189a51` | 第 15 条 凭据页签删绑定区块 |
+| `a9d9867`＋`4199a43` | 第 17 条 节点页 Reality 公私钥（＋测试辅助改名） |
+| `0ab31ae` | 第 16 条 Reality 目标扫描器 |
+| `05366d9`＋`6d97d4e` | 第 22 条 后端克隆消除＋前端缓存/渐进渲染 |
+| `0f74955` | 第 22 条 基准种子扩容到 20 台规模 |
+| （收尾提交） | NEXT-ROUND-NOTES.md 原文（未改一字）＋本报告 |