server

type AppHost struct {
	// contains filtered or unexported fields
}

type AppHostConfig struct {
	Enabled    bool
	PluginsDir string
	LockPath   string
	StateDir   string // plugincontrol 进程面本地状态目录（非 desired SSOT）
}

type Config struct {
	Store    *store.Store
	Token    string // 共享令牌；空 = 无鉴权（仅限本机/内网）
	Version  string
	WebUIDir string // 开发模式：从磁盘目录服务前端（优先于内嵌）
	// RetentionDays 是事件/命令保留天数，超期由 sweeper 清理。<=0 用默认 30 天。
	RetentionDays int
	// CmdRatePerMin 是单设备每分钟命令下发上限（防跑飞的 UI/脚本刷串口）。<=0 用默认 20。
	CmdRatePerMin int
	// AllowedOrigins 是 WS 握手允许的浏览器 Origin 模式（如 "console.example.com"、
	// "*.example.com:8443"）。留空 = 开发策略：同源 + localhost/127.0.0.1 任意端口。
	// 公网部署必须显式配置（非浏览器客户端不带 Origin，不受影响）。
	AllowedOrigins []string
	// RequireAuth 在无用户时也强制读/写鉴权（L2 公网形态，配合服务令牌）。
	RequireAuth bool
	// LoginRatePerMin 是单 IP 每分钟登录尝试上限。<=0 用默认 5。
	LoginRatePerMin int
	// SessionDays 是服务端会话 TTL（天）。<=0 用默认 7。
	SessionDays int
	// SetupToken 是一次性首装令牌：非本机直连来源执行 /api/auth/setup 时必须携带
	// （同机反代转发的请求也算非本机直连，见 setupFromLocalClient）；
	// 首次成功 setup 后进程内失效。空 = 仅允许本机直连 setup。
	SetupToken string
	// TrustedProxies 是可信反代 CIDR allowlist（已解析）；nil = 不采信任何转发头。
	TrustedProxies *auth.TrustedProxies
	// PluginCatalog 是只读插件目录（可选）。nil 时默认用 Server 自己的插件控制面
	// 投影构造（真实数据源），因此插件端点永不返回内置/静态样例。
	PluginCatalog plugincatalog.Catalog
	// PluginStore 是插件控制面持久化端口（internal/server/storeport，§3 契约）。
	// nil = 未接线：插件写 API 返回 503，WS plugin_* 消息按旧协议忽略，读面为空。
	// 生产必须由 SQLite 适配器注入（见 storeport/adapter_sqlite.go）。
	PluginStore storeport.PluginStore
	// PluginStaleAfter 是 observed 投影过期阈值；<=0 用默认 2 分钟。
	PluginStaleAfter time.Duration
	// AppHost 启用 Server 侧 Application Plugin Host（进程面 + 协议面 + 调度；
	// 见 internal/server/apphost.go）。Enabled=false 时全部钩子 nil 安全跳过。
	AppHost AppHostConfig
}

type Server struct {
	// contains filtered or unexported fields
}