feat(db): DB CLI 增加 cn-prod(阿里云)支持 (#21)

[xbfool]

实现 #21。query-db / grant-balance / grant-subscription 现在接受 --env cn(别名 cn-prod),路由到阿里云 cn-prod(与海外 AWS 完全独立)。

处理的 cn 特性

• 独立 Infisical secrets-cn.optima.chat:admin email/password → accessToken → select-organization → org-scoped token(字段名坑已内建处理)
• cred 取自 /shared-secrets/database-users + /database-names(按 prefix:AUTH/BILLING/…);cn RDS 无公网端点
• 内网 RDS 经 buildbox ECS 跳板 SSH -L 隧道(sshpass),复用现有 warm-reuse / 僵尸隧道检测框架
• curl 用 execFileSync(无 shell 引号坑,跨平台)

用法

optima-query-db user-auth "SELECT count(*) FROM users" cn
optima-grant-balance user@x.com --amount 5 --env cn
optima-grant-subscription user@x.com --plan pro --env cn

cn 专用环境变量:

var	来源
INFISICAL_CN_EMAIL / INFISICAL_CN_PASSWORD	1P Infisical cn-prod admin (secrets-cn.optima.chat)
OPTIMA_CN_BUILDBOX_PASSWORD	1P Aliyun cn-prod buildbox ECS (root)
OPTIMA_CN_BUILDBOX_HOST(可选)	默认 47.94.105.163

依赖 sshpass(Windows 用 WSL)。

实测(对 cn-prod RDS)

• ✅ query-db user-auth "SELECT count(*) FROM users" cn → 31(真实)
• ✅ connectBillingDB('cn') 读 plans(count=0,cn billing 一期未 seed,但隧道+认证+查询路径全绿)

Scope / 已知边界

• query-db cn 覆盖 cred 在 /shared-secrets/database-users 的服务(从 userKey 推 prefix)。用字面 DATABASE_URL 的服务(如 gateway-core)会报错并指向 feat: DB CLI 增加 cn-prod(阿里云)支持 — query-db / grant-balance / grant-subscription #21 —— 留后续。
• grant-subscription cn 需先 seed plans 表。
• 隧道是 buildbox root + 密码(sshpass);后续可换专用 key / 收紧。

关联

• spec/issue feat: DB CLI 增加 cn-prod(阿里云)支持 — query-db / grant-balance / grant-subscription #21;海外 SSM 改造 feat(db-tunnel): route DB tunnels through SSM instead of public SSH (#19) #20;根因 bastion 3.0.210.113 持续拒绝我的出口 IP，阻断所有 prod 开通/充值（跨多 session 复现，非临时惩罚） #19

🤖 Generated with Claude Code

[xbfool]

更新:cn query-db 现已覆盖全部服务

补了 databaseUrlPath 类服务(cred 不在 database-users、用服务自己 DATABASE_URL 的,如 gateway-core / sentinel / generation)。做法:getCnSecrets 加 expandSecretReferences=true 让 cn Infisical 服务端把 ${...} 引用解析成字面值,再 connectCnDBFromUrl 解析连接;parseDatabaseUrl 容忍 postgresql+asyncpg:// 驱动后缀。

实测:

• ✅ query-db user-auth ... cn → 31(prefix 路径)
• ✅ query-db optima-sentinel "SELECT 1" cn → 1(databaseUrlPath 路径)

⚠️ 顺带发现一个 cn 数据问题(非本 PR,需 cn 侧核对)

query-db gateway-core ... cn 报 password authentication failed for user "gateway_user"。排查后不是代码问题:

• cn Infisical /services/gateway-core 的 DATABASE_URL 口令 = 32 字符
• db-init terraform.tfvars 的 gateway_db_password(RDS 实际) = 28 字符
• 两者不一致,psql 用 Infisical 那个认证失败 → cn gateway-core 的 Infisical DATABASE_URL 口令疑似过时

含义:不止 CLI 用不了,线上 gateway-core 服务若用同一 secret 也可能连不上自己的库。建议 cn 侧核对 RDS 实际口令 ↔ Infisical /services/gateway-core ↔ db-init tfvars 三者对齐。要的话我单独开个 issue 跟。