chore(config): wire the sandbox runtime bridge into prod values
Enable APP_SANDBOX_RPC__* so the agent API talks to the standalone sandbox-agent runtime, allow the in-cluster MCP host (rmcp validates the Host header) and hand the runtime APP_MCP__RUNTIME_URL.
ZhenYi committed
Modified deploy/values/prod.yaml deploy/values/prod.yaml +27 −1 View deploy/values/prod.yaml
@@ -53,9 +53,24 @@
5353 # traefik Pod IP 参与内网判定。
5454 # - 内部密钥是机密：APP_MCP__INTERNAL_KEYS 放在 Gitea Secret PROD_SECRET_VALUES，
5555 # 形如 '[{name="gitdata-agent",token_hash="<sha256 hex>"}]'，不要写在本文件。
56 APP_MCP__ALLOWED_HOSTS: '["mcp.gitdata.ai"]'
56 # - in-cluster Host 也必须列进来：sandbox 运行时按 RUNTIME_URL 访问本端点，rmcp
57 # 的 DNS-rebinding 保护会校验 Host 头（非白名单直接 403）。
58 APP_MCP__ALLOWED_HOSTS: '["mcp.gitdata.ai","gitdata-mcp.gitdata.svc.cluster.local"]'
59 # sandbox 运行时访问本端点的地址（随 run 下发给运行时，带空间令牌）。
60 APP_MCP__RUNTIME_URL: "http://gitdata-mcp.gitdata.svc.cluster.local:3007/v1"
5761 APP_MCP__INTERNAL_CIDRS: '["10.0.0.0/8","172.16.0.0/12","192.168.0.0/16"]'
5862 APP_MCP__TRUSTED_PROXIES: '["10.0.0.0/8"]'
63 # 平台 → 独立 sandbox-agent 运行时（agent-sandbox-system/sandbox-agent-server gRPC 8091）：
64 # agents 对话与运行的后端。TRUSTED_KEY 是机密，放在 Gitea Secret PROD_SECRET_VALUES
65 # （APP_SANDBOX_RPC__TRUSTED_KEY），必须与 sandbox-agent 的 server.auth.trustedKeys
66 # 一致，否则 gRPC 返回 Unauthenticated。
67 APP_SANDBOX_RPC__ENABLED: "true"
68 APP_SANDBOX_RPC__ENDPOINT: "http://sandbox-agent-server.agent-sandbox-system.svc.cluster.local:8091"
69 # 浏览器直连的事件流网关：<host>/sandbox 由 chart 的 IngressRoute 去掉前缀转发到
70 # 同一 service 的 8090 端口；留空则前端回退轮询（streamsAvailable=false）。
71 APP_SANDBOX_RPC__FANOUT_ENDPOINT: "https://gitdata.ai/sandbox"
72 APP_SANDBOX_RPC__REQUEST_TIMEOUT_SECS: "30"
73 APP_SANDBOX_RPC__STREAM_TOKEN_TTL_SECS: "600"
5974 RUST_LOG: "info,session::session_store=error"
6075 OTEL_TRACES_SAMPLER: "parentbased_traceidratio"
6176 OTEL_TRACES_SAMPLER_ARG: "0.2"
@@ -200,6 +215,17 @@
200215 enabled: true
201216 replicaCount: 2
202217
218# 独立增量索引 worker（app/searchhost，无 HTTP 端口）；索引任务按 CAS 抢占，
219# 与 synchost 自带的 worker 并存安全。
220searchhost:
221 enabled: true
222 replicaCount: 1
223
224# 浏览器直连的 sandbox 事件流（SSE）：gitdata.ai/sandbox → sandbox-agent-server:8090。
225sandboxFanout:
226 enabled: true
227 host: gitdata.ai
228
203229mails:
204230 enabled: true
205231