---
name: lab-cluster-1-web-portal
description: "当需要访问、登录、自动化查询或排查 lab-cluster-1 的 h.pjlab.org.cn 集群管理网站时使用；覆盖浏览器/OIDC 登录、h.pjlab.org.cn/kapi/auth endpoint、凭据和 token 安全、会话刷新、Prometheus/DCGM 监控查询、pod/rjob 映射和报告数据分层。"
---

# Lab Cluster 1 Web Portal

## 文件导航

| 序号 | 文件内容概览 | 关键词 | 触发时机 | 文件路径 |
| --- | --- | --- | --- | --- |
| 1 | 说明访问 `https://h.pjlab.org.cn/` 时如何选择执行位置、如何用浏览器式 OIDC authorization code flow 登录、如何保存和刷新 token、如何保护账号密码和 cookie/token 文件，并列出 discovery/auth/token/callback 等 h.pjlab.org.cn 具体 endpoint。 | h.pjlab.org.cn、PJLAB、lab-cluster-1、OIDC、authorization code、`/kapi/auth/.well-known/openid-configuration?tenant=ailab`、`/kapi/auth/auth`、`/kapi/auth/token`、`/oidc-callback`、client_id kubebrain、cookie jar、session、hpjlab_login.json、hpjlab_oidc_token.json、chmod 600、secret safety、urllib、requests | 需要登录 `https://h.pjlab.org.cn/` 前；需要自动化获取 access token 或 refresh token 前；本地 WSL 网络不可达但开发机/CPU worker 可访问时；排查 `unauthorized_client`、登录跳转失败、token 过期、cookie 丢失或凭据泄漏风险时必须读取 | [references/login-oidc-session.md](references/login-oidc-session.md) |
| 2 | 说明登录 `h.pjlab.org.cn` 后如何只读查询 `/kapi/prom.monitoring.kubebrain.io/api/v1/query`，如何查询 DCGM GPU 利用率/显存/功率/温度，如何用 exported_pod/replica/namespace 把监控数据映射到 rjob 任务，并如何把任务层、监控层和通知层分开合并成报告。 | h.pjlab.org.cn、`/kapi/prom.monitoring.kubebrain.io/api/v1/query`、Prometheus、PromQL、DCGM、DCGM_FI_DEV_GPU_UTIL、DCGM_FI_DEV_FB_USED、DCGM_FI_DEV_FB_FREE、DCGM_FI_DEV_POWER_USAGE、DCGM_FI_DEV_GPU_TEMP、Hostname、exported_namespace、exported_pod、replica、rjob、scieval_gpu、other occupancy、report merge | 需要从 `h.pjlab.org.cn` 获取 GPU 利用率/显存/功率/温度前；需要把网页监控数据和 rjob 信息合并前；排查 PromQL 422、label 不匹配、pod 无法归因、监控数据缺失或报告口径混乱时必须读取 | [references/monitoring-api-and-reporting.md](references/monitoring-api-and-reporting.md) |

## 核心边界

- 本 skill 专门用于 lab-cluster-1 的集群管理网站 `https://h.pjlab.org.cn/`，不是通用 Web portal 模板。网站入口、OIDC endpoint、Prometheus query path、tenant 和 client 信息需要具体写明。
- 把 `h.pjlab.org.cn` 视为“需要授权的只读数据源”。不要尝试绕过登录、扫描无关接口、越权访问、批量抓取非任务相关数据或绕过组织安全策略。
- 网页登录和后端 API 探索通常应在能访问 `h.pjlab.org.cn` 的位置执行，例如开发机、CPU worker 或 CPU rjob。本地 WSL/个人电脑如果网络不可达，不要误判代码错误。
- 不要把账号密码写入 `.bashrc`、命令行历史、日志、仓库、最终回复或截图。需要自动化登录时，使用权限收紧的 secret 文件或安全凭据管理方式。
- token、cookie jar、抓包结果和 API 响应可能包含敏感信息。保存前先确定用途和生命周期，用后清理或放入明确的 gitignored 目录。
- 监控数据和任务数据必须分层：rjob/SDK/CLI 提供任务层；网页后端/Prometheus/DCGM 提供监控层；飞书或其他 webhook 只是通知层。

## 基本流程

1. 明确执行位置：先确认当前机器能访问 `https://h.pjlab.org.cn/`；不能访问时，转到开发机、CPU worker 或 CPU rjob。
2. 确认认证方式：`h.pjlab.org.cn` 可用的是浏览器式 OIDC authorization code flow；不要把 password grant 当成默认可用方式。
3. 安全保存凭据：账号密码文件、token 文件、cookie jar 使用 `chmod 600`，目录使用 `chmod 700`。
4. 只读获取 token：用 discovery endpoint 找 authorization/token endpoint，完成 authorization code flow 后保存 access/refresh token。
5. 优先 refresh：后续任务优先用 refresh token；refresh 失败再重新登录。
6. 探索 API：从浏览器 Network 面板、官方文档或只读请求中确认真实 API 路径、参数、返回字段和权限边界。
7. 查询监控：对 Prometheus/DCGM 这类指标使用小范围、短窗口、可解释的 PromQL；不要一次请求过大时间范围或无过滤全量数据。
8. 合并报告：用 rjob 的 pod/replica/namespace 与监控 label 做映射；无法映射的数据单独展示为其他占用。
9. 验证输出：检查报告中没有 token、cookie、账号、真实私有 URL 或不该公开的节点细节。

## 与其他 Skill 的分工

- `lab-cluster-1`：负责 SSH、rlaunch/rjob、CPU/GPU 作业、远端路径、代理、服务部署和任务层查询。
- `lab-cluster-1-web-portal`：负责 `h.pjlab.org.cn` 网页登录、token 会话、网页后端 API、Prometheus/DCGM 监控指标和任务/监控数据合并。
- `feishu-bot`：负责把已经整理好的报告推送到飞书/Lark，不负责登录集群网页或查询监控。

## 验证清单

- 登录脚本只读运行，没有写入仓库、命令历史或日志中的 secret。
- token 文件和 cookie 文件权限收紧，路径位于 gitignored 或临时目录。
- API 请求带超时、错误处理和最小必要查询范围。
- PromQL label 过滤不会漏掉目标 namespace/pod，也不会把无关 namespace 硬归因给某个 rjob。
- 报告里明确区分“任务申请/卡位”和“真实 GPU 利用率/显存/功率/温度”。
- 需要外部通知时，只把整理后的脱敏报告交给通知 skill。