mesh

type ClaudeLoginContext struct {
	Host         string `json:"host"`                // 登录所经的云端(与 conn-<host>.json 对应)
	AccountEmail string `json:"account_email"`       // 云端最终分配/登录的账号邮箱
	EgressV6     string `json:"egress_v6"`           // 该账号的稳定出口 /128
	OutNodeIP    string `json:"out_node_ip"`         // 该 /128 所在出口节点的 overlay IP
	ProxyURL     string `json:"proxy_url,omitempty"` // 直接可用的按账号 /128 出网代理 URL(拿不到则空,见上)
	ProxyCA      string `json:"proxy_ca,omitempty"`  // 出口若 MITM 需信任的 CA(登录代理 blind-tunnel,通常空)
	UpdatedAt    string `json:"updated_at,omitempty"`
}

type LoginStatus struct {
	Phase       string `json:"phase"`
	JobID       string `json:"job_id,omitempty"`
	Email       string `json:"email,omitempty"`
	EgressV6    string `json:"egress_v6,omitempty"`
	Host        string `json:"host"`
	PID         int    `json:"pid"`
	Error       string `json:"error,omitempty"`
	StartedAt   int64  `json:"started_at"`
	UpdatedAt   int64  `json:"updated_at"`
	CloudStatus string `json:"cloud_status,omitempty"`
	// Stashed:本次交付只把凭据存进了本地凭据库(备用),没有接管当前账号 —— 本机已经在用别的号时
	// 的默认行为(接管要关掉在跑的会话,那只能在设备跟前用 `ccfly claude use` 做)。推送方据此
	// 如实告诉用户「已存为备用」,而不是让他以为设备已经换号了。
	Stashed bool `json:"stashed,omitempty"`
	// LastSuccessAt/LastSuccessEmail:最近一次**成功**交付的时刻与账号,失败不会擦掉它。
	//
	// 为什么需要:这个文件描述的是「最近一次登录任务」,而网页把它当作「这台设备的凭据状态」在读。
	// 于是一次因为**云端库存为空**而失败的推送(设备手里的活凭据一个字节都没被碰),会把记录从
	// succeeded 改写成 failed,页面上就成了「登录失败」—— 2026-08-03 真实误导过一次排查,让人
	// 以为设备没凭据,差点去做多余的补救。保留这两个字段,失败态也说得清「上次成功是什么时候、哪个号」。
	LastSuccessAt    int64  `json:"last_success_at,omitempty"`
	LastSuccessEmail string `json:"last_success_email,omitempty"`
}

type LoginTarget struct {
	Host       string
	Scheme     string
	DeviceID   string
	MeshToken  string
	PrivateKey string // 设备 WG 私钥(base64);开 sealed-box 用
	PublicKey  string
}

type MeshEndpoint struct {
	URL      string `json:"url"`
	DialAddr string `json:"dial_addr,omitempty"`
}

type SNIConfig struct {
	Enabled   bool     `json:"enabled"`
	Account   string   `json:"account"`
	Exit      SNIExit  `json:"exit"`
	Intercept []string `json:"intercept"` // apex 域清单(含所有子域)
	Upstream  []string `json:"upstream"`  // 拦截 DNS 的上游(阿里)
}

type SNIExit struct {
	Host string `json:"host"`
	Port int    `json:"port"`
}

type State struct {
	Host           string         `json:"host"`
	Scheme         string         `json:"scheme"` // http | https (control plane)
	DeviceID       string         `json:"device_id"`
	Name           string         `json:"name"`
	Owner          string         `json:"owner"`
	PrivateKey     string         `json:"private_key"` // device WG private key (base64)
	PublicKey      string         `json:"public_key"`
	OverlayIP      string         `json:"overlay_ip"`
	OverlayCIDR    string         `json:"overlay_cidr"`
	CloudPublicKey string         `json:"cloud_public_key"`
	CloudOverlayIP string         `json:"cloud_overlay_ip"`
	MeshURL        string         `json:"mesh_url"`
	MeshEndpoints  []MeshEndpoint `json:"mesh_endpoints,omitempty"`
	MeshToken      string         `json:"mesh_token"`
	KeepaliveSec   int            `json:"keepalive_sec"`
	// 云端下发的出网代理策略(可选):设了 ProxyPort 即「该云端在 overlay 上跑着代理」,设备据此
	// 零配置自动起 127.0.0.1:<port> → cloud_overlay_ip:<port> 转发 + 给会话注入代理环境(见 applyMeshProxy)。
	ProxyPort   int    `json:"proxy_port,omitempty"`
	ProxyScheme string `json:"proxy_scheme,omitempty"`
	// 出口若做 MITM,设备需信任其 CA。云端把所有出口的 CA 合成一个 PEM bundle 下发,设备落盘到
	// ~/.ccfly/proxy-ca.pem 并给会话注入 NODE_EXTRA_CA_CERTS(见 applyProxyCA)。
	ProxyCA string `json:"proxy_ca,omitempty"`
	// 云端下发的「内部功能准入」标志(claude 账号 / 代理 / 组网)。三态指针:nil=未知(老云端/老
	// State 没这字段)→ 一律按「允许」处理,绝不误伤未开闸的部署;显式 false 才在设备侧「不暴露」
	// 相关命令(见 cmd/ccfly 的 claude 门控)。真正鉴权仍在云端(端点 403),这里只是本地 UX。
	CanUseClaude *bool `json:"can_use_claude,omitempty"`
	CanUseProxy  *bool `json:"can_use_proxy,omitempty"`
	CanUseMesh   *bool `json:"can_use_mesh,omitempty"`
	// 会话同步总开关(云端按用户下发)。显式 false ⇒ 本机**不再把任何会话内容发上云**
	// (连摘要里的 cwd/title/preview 都不发,见 syncer.go 的 syncOnce);nil = 老云端没下发,
	// 按开处理,行为与从前一致。**持久化**是刻意的:进程重启后、首次配置拉取成功之前,
	// 继续按上次已知策略走,不会因为一次网络失败就把敏感账号的会话内容漏上去。
	SessionSync *bool `json:"session_sync,omitempty"`
	// 云端下发的 SNI 出口段(可选):设备装本地 DNS 拦截器 + :443 透传,把 AI 域流量经 overlay 送到
	// 账号出口 byway-sni(真证书,无 HTTP 代理/无 MITM)。nil/无段 = 不装/卸载(见 sni.go applySNI)。
	SNI *SNIConfig `json:"sni,omitempty"`
	// 云端下发的 overlay 控制面准入令牌:网关反代设备时带 Authorization: Bearer,设备据此确认
	// 「对面真是云」。持久化是有意的 —— 配置拉取失败或进程重启期间也要继续把门,不能退回到
	// 「只认源 IP」(云主机上的同宿主容器 SNAT 后源 IP 也是 100.64.0.1)。见 controltoken.go。
	ControlToken string `json:"control_token,omitempty"`
}