🚨 修一个严重 bug：管理页所有按钮又失效了（同一个坑踩第二次）

== 症状 ==

在**真实中转**上实测管理页时，用 node --check 检查页面内嵌的 JS：

    SyntaxError: Invalid or unexpected token  (第 46 行)

整段 <script> 不执行 -> 改码 / 删除 / 批量删除 / 全选 全部变幽灵按键。

**这正是用户之前报过的那个 bug，加新功能时又踩了一遍。**

== 根因（讽刺到极点）==

admin.py 的 ADMIN_JS 是**普通三引号字符串**，里面写一个反斜杠+n
会被 Python 解释成**真实换行**。而 JS 的行注释 // 不能跨行 ——
一断行，后面就成了裸文本，整段脚本语法错误。

出事的是这段注释：

    // ⚠ 这里必须是 \\n（反斜杠+n），不能是 \n ——
                                      ^^^^
                       这个 \n 被 Python 变成真换行

**注释为了举例说明「不能写 \n」，自己写了一个 \n。**
于是注释被断成两行，把整段 JS 弄坏了。

== 修法 ==

注释改成**一个转义序列都不写**，只用文字描述：

    // ⚠ 下面 prompt 里的换行，必须写成「反斜杠 + n」两个字符。
    //   本文件是普通三引号字符串：只写反斜杠 + n，Python 会把它
    //   变成**真实换行** ... （一个转义都不出现）

并把"踩过两次"的历史写进注释，提醒后人别再来第三次。

== 新增两个测试（防止再犯）==

1. `_tests/test_admin_js_syntax.py`（已注册为回归阶段 3a6）
   **本地渲染管理页**，把 <script> 抠出来喂给 `node --check`，
   还检查注释行里有没有裸控制字符。

   为什么原来查不出来：已有的「管理页 JS 合法性」阶段只检查
   token 在不在，不查语法 —— 「23 项测试通过」和「功能能用」
   是两件事。

2. `_build/scan_admin_escapes.py`
   扫源文件里"注释下一行不像 JS 代码"的可疑断行。

3. `_tests/test_admin_live.py`
   在**真实中转**上走 HTTP 实测两个新功能（不能进回归套件，
   因为它依赖线上设备）：
     一、管理页能打开（带 X-Admin 头绕开登录页）
     二、页面里真的有 allowNew 和改码按钮
     三、内嵌 JS 语法合法
     四、关掉接入开关 -> 新设备被拒 -> 打开 -> 能注册（实测通过）
     五、改配对码 -> 真的变了（实测通过）
     六、不带 X-Admin 访问管理接口返回 401（实测通过）

   实测结果：16/17 通过（唯一的失败就是上面那个 JS bug，
   已修，本地渲染 6/6 通过）。

== 顺带纠正一个我自己的误解 ==

我一开始只带 `?key=` 访问管理页，拿到的是**登录页**，
还以为是设备上部署了旧版本。实际是管理页改成了
**账号 + 密码登录 + Cookie 会话**（用户要求），
脚本通道用 `X-Admin` 头（见 relay.py 的 _admin_gate）。

== 部署时机 ==

**故意没有立刻部署到设备上** —— 部署要重启中转服务，
会打断 relay-stability 正在跑的隧道配比 A/B 对照。
等对照跑完（约 22:00）再部署并复测。

_build/_cmsg10.txt

@@ -0,0 +1,75 @@
+🚨 修一个严重 bug：管理页所有按钮又失效了（同一个坑踩第二次）
+
+== 症状 ==
+
+在**真实中转**上实测管理页时，用 node --check 检查页面内嵌的 JS：
+
+    SyntaxError: Invalid or unexpected token  (第 46 行)
+
+整段 <script> 不执行 -> 改码 / 删除 / 批量删除 / 全选 全部变幽灵按键。
+
+**这正是用户之前报过的那个 bug，加新功能时又踩了一遍。**
+
+== 根因（讽刺到极点）==
+
+admin.py 的 ADMIN_JS 是**普通三引号字符串**，里面写一个反斜杠+n
+会被 Python 解释成**真实换行**。而 JS 的行注释 // 不能跨行 ——
+一断行，后面就成了裸文本，整段脚本语法错误。
+
+出事的是这段注释：
+
+    // ⚠ 这里必须是 \\n（反斜杠+n），不能是 \n ——
+                                      ^^^^
+                       这个 \n 被 Python 变成真换行
+
+**注释为了举例说明「不能写 \n」，自己写了一个 \n。**
+于是注释被断成两行，把整段 JS 弄坏了。
+
+== 修法 ==
+
+注释改成**一个转义序列都不写**，只用文字描述：
+
+    // ⚠ 下面 prompt 里的换行，必须写成「反斜杠 + n」两个字符。
+    //   本文件是普通三引号字符串：只写反斜杠 + n，Python 会把它
+    //   变成**真实换行** ... （一个转义都不出现）
+
+并把"踩过两次"的历史写进注释，提醒后人别再来第三次。
+
+== 新增两个测试（防止再犯）==
+
+1. `_tests/test_admin_js_syntax.py`（已注册为回归阶段 3a6）
+   **本地渲染管理页**，把 <script> 抠出来喂给 `node --check`，
+   还检查注释行里有没有裸控制字符。
+
+   为什么原来查不出来：已有的「管理页 JS 合法性」阶段只检查
+   token 在不在，不查语法 —— 「23 项测试通过」和「功能能用」
+   是两件事。
+
+2. `_build/scan_admin_escapes.py`
+   扫源文件里"注释下一行不像 JS 代码"的可疑断行。
+
+3. `_tests/test_admin_live.py`
+   在**真实中转**上走 HTTP 实测两个新功能（不能进回归套件，
+   因为它依赖线上设备）：
+     一、管理页能打开（带 X-Admin 头绕开登录页）
+     二、页面里真的有 allowNew 和改码按钮
+     三、内嵌 JS 语法合法
+     四、关掉接入开关 -> 新设备被拒 -> 打开 -> 能注册（实测通过）
+     五、改配对码 -> 真的变了（实测通过）
+     六、不带 X-Admin 访问管理接口返回 401（实测通过）
+
+   实测结果：16/17 通过（唯一的失败就是上面那个 JS bug，
+   已修，本地渲染 6/6 通过）。
+
+== 顺带纠正一个我自己的误解 ==
+
+我一开始只带 `?key=` 访问管理页，拿到的是**登录页**，
+还以为是设备上部署了旧版本。实际是管理页改成了
+**账号 + 密码登录 + Cookie 会话**（用户要求），
+脚本通道用 `X-Admin` 头（见 relay.py 的 _admin_gate）。
+
+== 部署时机 ==
+
+**故意没有立刻部署到设备上** —— 部署要重启中转服务，
+会打断 relay-stability 正在跑的隧道配比 A/B 对照。
+等对照跑完（约 22:00）再部署并复测。

_build/chk_ab.sh

@@ -0,0 +1,31 @@
+#!/bin/bash
+# 看配比对照有没有开始
+set -u
+
+echo "  ── 隧道当前配比 ──"
+for s in lanremote-tunnel lanremote-tunnel-h2; do
+    printf "    %-24s %s  (%s)\n" "$s" \
+        "$(grep -oE -- '--ha-connections [0-9]+' "/etc/systemd/system/$s.service" 2>/dev/null | tr '\n' ' ')" \
+        "$(systemctl is-active "$s" 2>/dev/null)"
+done
+
+echo
+echo "  ── 对照脚本/进程 ──"
+pgrep -af 'ab_long|rp_ab|collapse|ratio' 2>/dev/null | head -5 | sed 's/^/    /' || echo "    （没在跑）"
+
+echo
+echo "  ── 最近 20 分钟内设备上改过的文件 ──"
+find /root -maxdepth 1 -type f -mmin -20 2>/dev/null | head -10 | sed 's/^/    /' || true
+
+echo
+echo "  ── 有没有对照的产物 ──"
+ls -la --time-style=+%H:%M /root/*ab*.tsv /root/*ab*.out /root/*ratio*.tsv /root/*collapse*.tsv 2>/dev/null | sed 's/^/    /' || echo "    （没有）"
+
+echo
+echo "  ── 公网 ──"
+curl -s --max-time 20 -o /dev/null -w '    HTTP %{http_code}  %{time_total}s\n' \
+    -H 'User-Agent: LanRemote/1.8.2' https://relay.xxmxxs.top/v1/health
+
+echo
+echo "  ── 时间 ──"
+date '+    %H:%M:%S'

_build/chk_admin_deployed.sh

@@ -0,0 +1,36 @@
+#!/bin/bash
+# 对比设备上的 relay 文件和仓库里的版本
+set -u
+
+D=/root/lanremote-relay
+echo "  ── 设备上的文件 ──"
+ls -la --time-style=+%m-%d_%H:%M "$D"/*.py 2>/dev/null | sed 's/^/    /'
+
+echo
+echo "  ── relay.py 版本号 ──"
+grep -n '^VERSION' "$D/relay.py" 2>/dev/null | sed 's/^/    /'
+
+echo
+echo "  ── admin.py 里有没有新功能 ──"
+for kw in allowNew data-recode set_allow_new set_device_code; do
+    n=$(grep -c "$kw" "$D/admin.py" 2>/dev/null || echo 0)
+    n2=$(grep -c "$kw" "$D/relay.py" 2>/dev/null || echo 0)
+    printf "    %-16s admin.py:%s  relay.py:%s\n" "$kw" "$n" "$n2"
+done
+
+echo
+echo "  ── admin.py 大小和 md5 ──"
+md5sum "$D/admin.py" 2>/dev/null | sed 's/^/    /'
+wc -c "$D/admin.py" 2>/dev/null | sed 's/^/    /'
+
+echo
+echo "  ── 服务状态 ──"
+systemctl is-active lanremote-relay 2>/dev/null | sed 's/^/    relay: /'
+echo "    启动于: $(systemctl show -p ActiveEnterTimestamp --value lanremote-relay 2>/dev/null)"
+
+echo
+echo "  ── 实际返回的管理页开头（看是不是管理页）──"
+KEY=$(cat "$D/data/admin_key.txt" 2>/dev/null)
+curl -s --max-time 15 "http://127.0.0.1:8080/zhongzhuanzhan?key=$KEY" 2>/dev/null | head -c 400
+echo
+echo "    （上面这段的头 400 字节）"

_build/diag_admin_js.py

@@ -0,0 +1,95 @@
+# -*- coding: utf-8 -*-
+r'''把管理页的内嵌 JS 抠出来，看第 46 行为什么语法错。
+
+背景：_tests/test_admin_live.py 用 node --check 检查页面上的内嵌脚本，
+报第 46 行 SyntaxError: Invalid or unexpected token。
+但同一个页面上的管理接口（/v1/admin/allow_new、/v1/admin/set_code）
+是能用的 —— 说明后端没问题，问题在浏览器端。
+
+两种可能：
+  A. 真的有语法错 -> 用户点按钮没反应（严重）
+  B. 我抠脚本的方式不对（比如页面里字符串里含 </script>，
+     或者 JS 用到了 node 不认的语法）-> 假警报
+
+这个脚本把可疑的那一行原样打出来，人肉判断是哪种。
+'''
+from __future__ import annotations
+
+import json
+import re
+import subprocess
+import sys
+import tempfile
+import urllib.request
+from pathlib import Path
+
+sys.path.insert(0, str(Path(__file__).resolve().parent.parent / "_build"))
+from devssh import run as ssh_run                          # noqa: E402
+
+BASE = "https://relay.xxmxxs.top"
+UA = {"User-Agent": "LanRemote/1.8.2"}
+
+
+def main() -> int:
+    _c, out, _e = ssh_run(
+        "cat /root/lanremote-relay/data/admin_key.txt", timeout=60, quiet=True)
+    key = (out or "").strip().splitlines()[0]
+
+    req = urllib.request.Request(BASE + "/zhongzhuanzhan",
+                                 headers={**UA, "X-Admin": key})
+    with urllib.request.urlopen(req, timeout=25) as resp:
+        html = resp.read().decode("utf-8", "replace")
+
+    scripts = re.findall(r"<script[^>]*>(.*?)</script>", html, re.S)
+    inline = [s for s in scripts if s.strip()]
+    print("  页面上有 %d 段内嵌脚本，长度: %s"
+          % (len(inline), [len(s) for s in inline]))
+
+    js = inline[0]
+    lines = js.splitlines()
+    print("  第 1 段共 %d 行" % len(lines))
+    print()
+    print("  ════ 第 40~54 行原样 ════")
+    for i in range(39, min(54, len(lines))):
+        marker = " <<<< 报错行" if i == 45 else ""
+        print("  %3d| %s%s" % (i + 1, lines[i], marker))
+    print()
+
+    # 把这一段单独跑 node --check，确认能复现
+    with tempfile.NamedTemporaryFile("w", suffix=".js", delete=False,
+                                     encoding="utf-8") as fh:
+        fh.write(js)
+        path = fh.name
+    proc = subprocess.run(["node", "--check", path],
+                          capture_output=True, text=True,
+                          encoding="utf-8", errors="replace")
+    print("  node --check 退出码: %d" % proc.returncode)
+    if proc.stderr:
+        print("  stderr:")
+        for line in proc.stderr.splitlines()[:12]:
+            print("    " + line)
+    Path(path).unlink(missing_ok=True)
+
+    # 也检查每一行里有没有裸控制字符
+    print()
+    print("  ════ 有没有裸控制字符 ════")
+    bad = 0
+    for i, line in enumerate(lines, 1):
+        for ch in line:
+            if ord(ch) < 32 and ch not in "\t":
+                print("    第 %d 行有控制字符 0x%02x" % (i, ord(ch)))
+                bad += 1
+                break
+    if not bad:
+        print("    ✓ 没有")
+
+    # 反引号 / 模板字面量 / 正则 里可能藏着截断问题
+    print()
+    print("  ════ 源 HTML 里 </script> 出现几次 ════")
+    print("    %d 次（正常应该等于 <script> 的个数）" % html.count("</script>"))
+    print("    <script 出现 %d 次" % html.lower().count("<script"))
+    return 0
+
+
+if __name__ == "__main__":
+    sys.exit(main())

_build/rp_start_A.sh

@@ -0,0 +1,44 @@
+#!/bin/bash
+# 起 A 组测量（不动配置，零干扰）
+set -u
+
+echo "════════ 等隧道稳定 ════════"
+for i in $(seq 1 30); do
+    sleep 6
+    q=$(curl -s --max-time 5 http://127.0.0.1:20241/metrics 2>/dev/null \
+        | grep '^cloudflared_tunnel_ha_connections' | awk '{print $2}')
+    h=$(curl -s --max-time 5 http://127.0.0.1:20242/metrics 2>/dev/null \
+        | grep '^cloudflared_tunnel_ha_connections' | awk '{print $2}')
+    q=${q:-0}; h=${h:-0}
+    echo "  第 $i 次: quic=$q http2=$h 合计=$((q + h))"
+    [ $((q + h)) -ge 8 ] && break
+done
+
+echo
+echo "════════ 公网确认 ════════"
+for i in $(seq 1 10); do
+    c=$(curl -s -o /dev/null -w '%{http_code}' --max-time 15 \
+        -H 'User-Agent: LanRemote/1.8.2' https://relay.xxmxxs.top/v1/health)
+    echo "  第 $i 次: $c"
+    [ "$c" = "200" ] && break
+    sleep 3
+done
+
+echo
+echo "════════ 当前配置（A 组）════════"
+for svc in lanremote-tunnel lanremote-tunnel-h2; do
+    echo "  $svc: $(systemctl cat $svc 2>/dev/null | grep -oE '\-\-protocol [a-z0-9]+|\-\-ha-connections [0-9]+' | tr '\n' ' ')"
+done
+
+echo
+echo "════════ 启动 A 组 45 分钟 ════════"
+if pgrep -f 'rpab.sh A' > /dev/null 2>&1; then
+    echo "  已经在跑，跳过"
+else
+    cd /root && setsid bash /root/rpab.sh A 45 < /dev/null > /root/ab_A.out 2>&1 &
+    disown 2>/dev/null || true
+    sleep 5
+fi
+
+echo "  进程: $(pgrep -af 'rpab.sh A' | head -1)"
+echo "  已写入：$(wc -l < /root/ab_A_health.tsv 2>/dev/null || echo 0) 条健康样本"

_build/scan_admin_escapes.py

@@ -0,0 +1,102 @@
+# -*- coding: utf-8 -*-
+r'''扫 admin.py 里所有会被 Python 变成真换行的 \n（在注释和 JS 里）。
+
+== 为什么 ==
+
+admin.py 的 ADMIN_JS 是**普通三引号字符串**。
+里面写 `\n`（一个反斜杠 + n）会被 Python 解释成**真实换行**。
+在 JS 里，行注释 `// ...` 不能跨行 —— 一旦注释中间出现真实换行，
+后面的内容就变成一行裸文本，整段 <script> 语法错误，
+管理页**所有**按钮失效。
+
+这个坑在同一个文件里踩了两次，第二次还是"注释为了举例说明
+不能写 \n，自己写了一个 \n"。所以写个扫描器钉住它。
+
+规则：
+  * 在 ADMIN_JS 这类普通字符串里，**任何** \n \r \t 之类的转义
+    都只应该出现在「要输出给 JS 的字符串字面量」里，
+    而且必须写成 \\n（双反斜杠）。
+  * 注释里一个转义都不该有。
+
+这个扫描器逐行看：如果某行是 // 注释，却含有单个反斜杠转义，报警。
+'''
+from __future__ import annotations
+
+import ast
+import re
+import sys
+from pathlib import Path
+
+SRC = Path(__file__).resolve().parent.parent / "relay" / "admin.py"
+
+
+def main() -> int:
+    text = SRC.read_text(encoding="utf-8")
+    tree = ast.parse(text)
+
+    # 找出所有大段的字符串常量（ADMIN_JS / HTML 模板）
+    found = 0
+    problems = []
+    for node in ast.walk(tree):
+        if not isinstance(node, ast.Constant) or not isinstance(node.value, str):
+            continue
+        val = node.value
+        if len(val) < 500 or "<script" not in val and "querySelector" not in val:
+            continue
+        found += 1
+        start = node.lineno
+        # 逐行检查「注释行里有没有被吃掉的转义」
+        for i, line in enumerate(val.splitlines()):
+            stripped = line.strip()
+            if not stripped.startswith("//"):
+                continue
+            # 注释里出现了真实的制表符/回车，或者其它控制字符
+            for ch in line:
+                if ord(ch) < 32 and ch != "\t":
+                    problems.append(
+                        "第 %d 行附近的注释里有裸控制字符 0x%02x：%r"
+                        % (start + i, ord(ch), line[:60]))
+                    break
+
+    # 再直接扫源文件：在 JS 段里，行尾恰好断在奇怪位置的注释
+    print("  找到 %d 段 JS/HTML 模板常量" % found)
+    print()
+
+    # 更直接的办法：把源文件里三引号字符串的原样行拿出来，
+    # 找「// 注释行后面紧跟着一行不以 // 开头、也不像代码」的
+    src_lines = text.splitlines()
+    suspicious = []
+    for i, line in enumerate(src_lines, 1):
+        s = line.strip()
+        if not s.startswith("//"):
+            continue
+        # 下一行
+        if i < len(src_lines):
+            nxt = src_lines[i].strip()
+            # 注释的下一行既不是注释、也不像 JS 语句开头
+            if (nxt and not nxt.startswith("//")
+                    and not re.match(r"^(const|let|var|if|for|while|function|"
+                                     r"document|window|return|}|\)|else|await|"
+                                     r"try|catch|toast|setTimeout|\w+\s*[=(.]|"
+                                     r"<|/\*|\*|--)",
+                                     nxt)):
+                suspicious.append((i, s[:70], nxt[:70]))
+
+    if suspicious:
+        print("  ⚠ 可疑的注释断行（注释下一行不像 JS）:")
+        for ln, a, b in suspicious[:10]:
+            print("    第 %d 行: %s" % (ln, a))
+            print("      下一行: %s" % b)
+    else:
+        print("  ✓ 没有可疑的注释断行")
+
+    if problems:
+        print()
+        for p in problems:
+            print("  ⚠ " + p)
+        return 1
+    return 0
+
+
+if __name__ == "__main__":
+    sys.exit(main())