announcer/AGENTS.md

announcer – utrop på høyttaleranlegget

Liten Flask-app: tekst inn i nettleseren → forhåndslytt → «Send ut på anlegget» spiller lyden lokalt på denne maskinen med pw-play. TTS er edge-tts (nevrale stemmer, krever nett) med Piper som lokal reserve.

Appen er generisk: tittel, undertittel, aksentfarge og hurtigfraser kommer fra config.toml, ikke fra HTML-en. Den het sg-announcer og var skrevet for Sauda Gathering fram til oktober 2026.

Dokumentasjon for Kent: Athena-notatet 30 Ressurser/Teknologi/Announcer.md. Oppdater det, ikke denne fila, når noe som er verdt å huske endres.

Filer:

Fil	Hva
announcer.py	server, kø, TTS, jingler, ruter
auth.py	Principal, leverandørene, OIDC-rutene
config.py	config.toml + miljøvariabler, standardverdier
schedule.py	planlagte sendinger, lagret i data/scheduled.json
mesh.py	sentral + soner: fordeling, transport, statuspolling, register og hjerteslag
discovery.py	mDNS: sentralen annonserer, sonene finner den
index.html	hele sida, inline CSS/JS, ingen byggesteg
config.example.toml	kommentert mal; kopier til config.toml
docs/crew-integration.md	kontrakten mot crew-panelet
docs/mesh.md	flere anlegg: oppsett, bruk, feiltilfeller, protokoll
tests/	uv run pytest – 173 tester: auth, planlegging, mesh og HTTP-laget
Dockerfile + compose.yaml	drift – appen kjøres i Docker
.env.example	bruker-ID, portbinding og hemmeligheter
compose.test.yaml	testoppsett med dummy-IdP, se under
docker/dummy_idp.py	falsk crew-panel, så OIDC kan prøves

Kjøring

Announcer kjører i Docker, på en egen klient som er koblet til høyttaleranlegget – aldri på kitsune. Kitsune er utviklingsmaskin; der er det bare koden som bor.

Ny klient (Debian/Ubuntu/Mint):

git clone https://git.1x1.no/kent/announcer.git
cd announcer && ./install.sh

install.sh installerer Docker om den mangler, lager .env med riktig bruker-ID og portbinding, oppretter data/, bygger bildet, starter containeren og setter ufw. Den rydder også bort en eventuell gammel nativ announcer.service/sg-announcer.service. Kan kjøres på nytt; en .env som finnes blir ikke overskrevet.

Drift:

docker compose logs -f             # følg loggen
docker compose restart             # etter endringer i data/config.toml
docker compose up -d --build       # etter endringer i koden
cat data/logs/announcements.jsonl  # hvem som sendte hva

Alt som skal overleve en ny container ligger i data/ på verten (bind-mount, ikke navngitt volum, så du kan lese loggen og slippe egne jingler i data/chimes/ uten å gå inn i containeren):

data/voices/	Piper-modellene, ~670 MB, lastes ned ved første oppstart
data/cache/	ferdige WAV-er etter innholdshash. Trygt å slette
data/chimes/	egne jinglefiler
data/logs/	revisjonsloggen
data/instance/	sesjonsnøkkelen
data/scheduled.json	planlagte sendinger. Lesbar med cat
data/config.toml	valgfri. Uten den er sida åpen

Lyden ut av containeren

Det eneste virkelig uvanlige i oppsettet. Tre ting må stemme:

1. Hele vertens XDG_RUNTIME_DIR monteres inn på samme sti. Ikke bare pipewire-0: PulseAudio bruker pulse/native pluss en cookie i samme mappe, og ved å ta hele mappa virker begge lydservere uten at compose må vite hvilken maskina har. player_cmd() velger pw-play eller paplay.
2. user: "${PUID}:${PGID}" må være brukeren som eier socketen på verten. Stemmer ikke ID-en, kommer det ingen lyd. install.sh fyller inn id -u/id -g.
3. Maskina må være logget inn grafisk, ellers finnes socketen ikke. Containeren starter ved boot, altså før innlogging, og avspilling feiler til noen logger inn. Det retter seg selv: player_cmd() slås opp per melding, så første utrop etter innlogging virker uten omstart. Derfor anbefaler install.sh automatisk innlogging.

Brannmur: BIND_IP, ikke ufw

Dockers publiserte porter går forbi ufw. De settes opp i nat-tabellen, før ufws regler, så ufw deny på porten gjør ingenting. Tilgangen styres derfor av BIND_IP i .env:

0.0.0.0	alle nett maskina er på
100.75.x.x	bare NetBird. install.sh velger dette når wt0 finnes
127.0.0.1	bare maskina selv

ufw settes fortsatt for maskinens øvrige porter (ssh på wt0), men den er ikke involvert i tilgangen til announcer. Dette er en endring fra den native tida, da porten måtte åpnes eksplisitt i ufw.

Testing i Docker

docker compose -f compose.test.yaml up --build gir to containere:

http://localhost:8091	announcer med PIN, JWT og OIDC slått på (docker/config.test.toml)
http://localhost:9000	docker/dummy_idp.py, som later som den er crew-panelet

Egen fil, eget prosjektnavn og port 8091, så den ikke kan forveksles med eller forstyrre den som kjører i drift. Begge porter er bundet til 127.0.0.1, så testriggen – som har PIN 1234 – aldri ligger åpen på LAN-et.

Dummy-IdP-en finnes fordi crew-panelet ikke har OIDC ennå: uten den kan OIDC-veien ikke prøves i det hele tatt. Den kjører en ekte autorisasjonskode-runde med PKCE (og avviser feil code_verifier), signerer id_token med klienthemmeligheten, og lar deg velge hvem du logger inn som – Kari (crew), Kent (admin) eller Ola (ingen roller, skal gi 403, ikke 401). http://localhost:9000/token?who=kari&go=1 logger deg rett inn via token-lenka, slik panelet skal gjøre.

Merk i docker/config.test.toml: authorization_endpoint peker på localhost:9000 fordi nettleseren skal dit, mens token_endpoint peker på idp:9000 fordi announcer selv snakker med den inne i compose-nettet. Delt horisont, og samtidig en test av at manuelle endepunkter virker når et panel mangler discovery.

Lyd: /run/user/1000 er montert inn, så pw-play i containeren spiller på vertens anlegg. Kommenter ut den linja i compose.yaml hvis du bare skal teste innlogging.

compose.test.yaml bind-monterer koden, så endringer slår inn med en restart. Driftsbildet kopierer koden inn i stedet, så det som kjører er uavhengig av hva som ligger i mappa. UV_PROJECT_ENVIRONMENT=/opt/venv er derfor ikke pynt: med bind-mount ville containerens uv sync ellers overskrevet .venv på verten.

Konfigurasjon

Tre lag, siste vinner: DEFAULTS i config.py → config.toml → ANNOUNCER_*-miljøvariabler. Uten config.toml virker alt, med de gamle standardverdiene og uten innlogging; det er med vilje, og test_uten_konfig_er_alt_apent passer på det.

config.toml er gitignorert. config.example.toml er malen, og den er kommentert – les den framfor å gjette.

Hemmeligheter settes som miljøvariabler i enheten, ikke i config.toml: ANNOUNCER_PIN, ANNOUNCER_JWT_SECRET, ANNOUNCER_OIDC_CLIENT_SECRET, ANNOUNCER_SECRET_KEY. Hele tabellen over variabler står i ENV i config.py; den er eneste sted en ny variabel legges til.

Autentisering

Modellen er én datatype og én funksjon: Principal (hvem + roller + rettigheter) og require(action) som enten gir deg den eller stopper forespørselen. Handlingene er view, preview, announce, stop, clear.

Tre leverandører, prøvd i rekkefølge, alle valgfrie:

• pin – X-Pin-header, som før. hmac.compare_digest, ikke ==. Får rollen admin som standard, så gammelt oppsett oppfører seg som før. Virker uten nett, derfor beholdt.
• jwt – Authorization: Bearer <jwt> fra crew-panelet. HS256 med delt hemmelighet, eller RS256/ES256 mot panelets JWKS (PyJWT cacher nøklene). Krever exp; roller leses av et konfigurerbart claim.
• oidc – autorisasjonskode med PKCE. /auth/login → panelet → /auth/callback. Discovery hentes først ved første innlogging, så tjenesten starter selv om panelet er nede.

En leverandør er aktiv når den står i auth.providers eller når den er ferdig konfigurert. Derfor slår ANNOUNCER_PIN=1234 alene fortsatt på PIN. Er ingen aktiv, er alt åpent.

/auth/token?t=<jwt> er broa mens panelet mangler OIDC: panelet lenker hit med et kortlevd token, announcer setter sesjonscookie. Se docs/crew-integration.md – det er kontrakten panelet skal oppfylle.

Roller → handlinger står i [roles] i config.toml. "*" betyr alt. Rettighetene slås opp på nytt per forespørsel, så en endring der slår inn uten at noen må logge inn igjen; nye [auth.*]-verdier krever omstart.

401 betyr «vi vet ikke hvem du er, logg inn», 403 betyr «vi vet hvem du er, men rollen din får ikke dette». Et gyldig token uten roller gir 403, ikke 401 – å logge inn på nytt ville ikke hjulpet.

Sesjonsnøkkelen genereres én gang og lagres i instance/secret_key (0600). Uten den logges alle ut ved hver systemctl restart. SESSION_COOKIE_SECURE settes bare når server.behind_tls er sann – appen kjører på rå HTTP over LAN og NetBird, og med Secure på ville cookien aldri blitt sendt.

Utvikling på kitsune

uv run announcer.py --port 8099 kjører appen direkte, uten Docker. Det er veien for å prøve en endring kjapt; uv run pytest for testene. Men ingen tjeneste skal stå og kjøre på kitsune – det var slik det var før, og det er ryddet bort. Skal noe prøves med innlogging, bruk compose.test.yaml.

Mesh: én sentral, flere soner

Brukerdokumentasjonen står i docs/mesh.md. Her er det som gjelder koden.

mesh.py kjenner verken Flask eller Player. Dispatcher får synthesize, play_local og send inn som funksjoner, og det er det som gjør at hele fordelingen testes uten nett i tests/test_mesh.py. Den ekte transporten (send_to_zone sin håndrullede multipart mot Flask sin parser) prøves i test_routes.py mot en levende werkzeug-server – det er den testen som fanger en feil i selve HTTP-en.

• Rollen avgjøres av config, ikke kode (Config.role): sentral hvis [zones] finnes eller ANNOUNCER_ROLE=sentral; sone hvis bare nøkkelen er satt; ellers none og alt er som før. En sentral har REGISTRY, DISPATCHER og POLLER; en sone har HEARTBEAT. MeshProvider er aktiv hos begge, så /api/play og /api/mesh/register tar imot.
• Sonene finnes i Registry, ikke i et dict. Dispatcher og ZonePoller får REGISTRY.zones som funksjon og slår opp ved hver bruk, fordi soner kommer og går. Lokal først, så [zones], så de som har meldt seg, sortert. Statisk vinner over et navn som melder seg – 409 – så en skrivefeil i config ikke kan overstyres fra nettet. En sone som er meldt av mellom innlevering og fordeling får unreachable: sonen er borte.
• Hjerteslag (Heartbeat, sonens side) finner sentralen via ANNOUNCER_SENTRAL eller discovery.Browser (mDNS), regner ut egen adresse som ruten mot sentralen (local_ip_towards – UDP-connect uten pakke; over NetBird blir det wt0-adressen), og melder seg hvert 30. s – hvert 5. til første OK, så oppstart ikke tar et halvt minutt. Sentralen tar sonen ut etter stale_seconds (_pruner_loop). Alt som trenger host/port startes i start_mesh() fra main(), ikke ved import.
• network_mode: host er en forutsetning, ikke et valg: mDNS-multicast når ikke LAN-et fra bridge-nettet. Bieffekt som er en fordel: ufw styrer porten igjen, og BIND_IP er blitt appens eget --host. Appen lytter alltid også på 127.0.0.1 (helsesjekken).
• app.json.sort_keys = False. Flask sorterer nøkler alfabetisk som standard, og da hadde sonene i /api/status kommet i feil rekkefølge – UI og tester antar konfigurert rekkefølge med sentralens eget anlegg først.
• Egen tråd og egen kø for fordeling, atskilt fra Player. Hadde fordelingen gått gjennom sentralens avspillingskø, ville en melding til resepsjonen ventet på at hovedscenen ble ferdig. Dispatcheren syntetiserer, leverer til hver sone i hver sin tråd (timeout per sone), og er ferdig. Hver sone køer selv.
• Item.wav er hele endringen i avspillingen: run_once() bruker item.wav or synthesize(...). En sone syntetiserer aldri det den får fra sentralen.
• play og register følger aldri med «alt åpent». Authenticator.anonymous() trekker dem fra. Uten det kunne hvem som helst POSTe en WAV til en åpen sone og få den spilt, eller melde en falsk sone hos en åpen sentral. Testen for åpen modus lister unntakene eksplisitt. Og en legitimasjon som vises fram og er feil (PIN, token, mesh-nøkkel) gir nå 401 også der gjester ellers har lov – require() sjekker error() først. Det var ikke slik før; en feil PIN i åpen modus slapp stille gjennom som gjest.
• MeshProvider teller ikke som innlogging for folk. Authenticator skiller providers fra human; enabled og /api/config-blokka ser bare på de menneskelige. Ellers ville en sone med bare mesh-nøkkel krevd innlogging lokalt uten noen måte å logge inn på.
• Planlagt sending i mesh: Scheduled.zones lagres med planen. scheduler_tick() fordeler via DISPATCHER når den finnes, og planen ender som sent hvis minst én sone tok imot (_dispatch_finished), med summary() som note – hovedscene: kø #3, crew: nede. Det lokale køelementet bærer ikke schedule_id i mesh-modus; fordelingen eier planen. Nevnes fordi det er motsatt av lokal modus.
• Statuspolling er én tråd (ZonePoller), cachet, så N nettlesere ikke gir N × soner kall. Lokal sone slås opp ferskt per snapshot.
• Rekkefølgen i zones i en forespørsel bevares i Dispatch.zones, og dermed i summary() og i UI-et. Testene antar det.

Planlagte sendinger

schedule.py er den første delen av appen som må ligge på disk. Kø og historikk har alltid bare levd i minnet, og det går bra fordi en melding spilles med en gang. En melding planlagt til 18:00 må overleve at containeren startes om 17:45, så den lagres i data/scheduled.json, skrevet til side og flyttet på plass så fila aldri er halvskrevet.

Ingen database, med vilje: dette er en håndfull meldinger på et arrangement, og en fil man kan lese med cat er verdt mer her enn indekser.

Modulen vet ingenting om Flask eller avspilling. Den lagrer, og den svarer på «hva skal sendes nå?». _scheduler() i announcer.py eier tråden som spør hvert 20. sekund og legger forfalte meldinger i den vanlige køen – derfra oppfører de seg nøyaktig som en melding sendt for hånd.

Bare engangs, ikke gjentakende. Derfor sender klienten et absolutt tidspunkt (epoch), og hele tidssoneproblemet forsvinner: containeren kan stå i UTC uten at det gjør noe. TZ settes likevel fra .env, ellers står loggen i UTC mens du står i CEST. Skal gjentakelse inn senere, må «09:00» tolkes i en tidssone, og da begynner TZ å bety noe.

Gikk den glipp av, spilles den ikke. due() skiller på grace_seconds (standard 120): innenfor den sendes meldingen, utenfor markeres den missed. Nådefristen er slingringsmonn for at tråden våkner med mellomrom og for en kjapp omstart – ikke en policy om å ta igjen etterslep. «Turneringen starter om ti minutter» skal ikke ut på anlegget en time etter at maskina kom tilbake. due() endrer ingenting selv; announcer.py markerer først etter at meldingen faktisk er lagt i kø, så ingenting kan stå som «sendt» uten å ha blitt det.

Forhåndslytten gir en bonus: planlegging er låst til den samme nøkkelen som «Send ut», så man planlegger bare det man har hørt – og siden forhåndslytt varmer cache/, ligger WAV-en ferdig på disk. En planlagt edge-tts-melding spiller altså kl. 18:00 selv om nettet er nede da.

Sine egne planlagte sendinger kan man alltid avbryte. Andres krever clear – samme rett som å tømme køen, siden det er samme slags inngrep i noe andre har satt i gang.

Hvordan det henger sammen

• /api/config er alt sida trenger for å tegne seg selv: branding, stemmer, jingler og en auth-blokk med hvem du er og hva du får gjøre. Svarer alltid 200, også med feil PIN – klienten spør «hvem er jeg?», og «ikke innlogget» er et svar, ikke en feil. Route-funksjonen heter client_config(); navnet config er tatt av modulen.
• /api/preview syntetiserer og returnerer WAV til nettleseren. Ingen lyd på PC-en.
• /api/announce legger meldingen i én FIFO-kø; en bakgrunnstråd spiller én om gangen med pw-play. /api/stop dreper gjeldende avspilling, /api/clear tømmer køen.
• En melding går queued → preparing → playing → done | stopped | failed. preparing er syntesen – de første sekundene av hver edge-tts-melding, der det er stille. Stopp virker også der: Player.stop() setter statusen, og run_once() sjekker den før den starter avspilling. En planlagt sending følger med helt i mål via on_finished, så planen viser sent, failed eller stopped – det som faktisk skjedde – ikke bare at den ble lagt i kø.
• /api/status krever view. Den var åpen før, og lekket både meldingstekster og IP-ene til dem som hadde sendt noe. IP vises nå bare for den som har clear; alle andre ser navnet.
• / er åpen uansett, ellers kunne ingen komme til innloggingsknappen.
• Knappen «Send ut» er låst til nøyaktig den teksten/stemmen/hastigheten som sist ble forhåndslyttet. Det er med vilje: ingen skal sende noe de ikke har hørt.
• Ferdige WAV-er bufres i cache/ etter innholdshash. Trygt å slette.
• audit() skriver én JSON-linje per hendelse til logs/announcements.jsonl (announce, played, stop, clear) med navn, subject, metode og IP. Rullerer til .jsonl.1 ved 5 MB. Den feiler aldri forespørselen – en logg som ikke lar seg skrive skal ikke hindre et utrop.
• Jingler: de innebygde (BUILTIN_CHIMES) genereres i Python med _tone/ _mix/_overlay, ingen lydfiler. Egne filer i chimes/ (wav/mp3/ogg/flac) dukker opp i menyen som file:<stem>; ffmpeg kutter til 6 s, normaliserer til -18 LUFS og fader ut. Mappa leses ved hver forespørsel, så nye filer vises uten restart. Toppnivå på de innebygde ligger mellom -4 og -10 dBFS, talen går til 0 dBFS, så jinglen skal aldri være høyere enn stemmen.

Stemmer og motorer

VOICES_LIST i announcer.py er eneste sted en stemme legges til. To motorer:

• edge (_edge): Microsofts nevrale stemmer via edge-tts-pakken. Gratis, ingen nøkkel, men krever internett og er en uoffisiell bruk av Edge sin «les høyt»-tjeneste – kan slutte å virke uten varsel. Norsk: bare nb-NO-FinnNeural og nb-NO-PernilleNeural. *MultilingualNeural-stemmene kan lese norsk med engelsk aksent. Liste: uv run edge-tts --list-voices. Leverer MP3 24 kHz; dekodes med ffmpeg til PCM i edge_pcm().
• piper (_piper): lokalt, robotaktig, reserve når nettet er nede. Modellen lastes ned ved oppstart til voices/ (gitignored). Norsk finnes bare som talesyntese-medium og nvcc-medium (ti talere, speaker-indeks). Full liste: https://huggingface.co/rhasspy/piper-voices/resolve/main/voices.json.

Vil Kent ha enda bedre lyd: ElevenLabs (nøkkel, best norsk) eller OpenAI gpt-4o-mini-tts er neste trinn; legg til som ny motor i synthesize().

Feller

• ufw styrer ikke Docker-porter. Se «Brannmur» over: tilgangen avgrenses med BIND_IP i .env. En ufw deny på porten gir falsk trygghet.
• Ingen lyd? Nesten alltid PUID/PGID i .env som ikke er brukeren som eier lydsocketen, eller at maskina ikke er logget inn grafisk. Sjekk hva containeren velger: docker compose exec announcer python -c "import announcer,pathlib;print(announcer.player_cmd(pathlib.Path('/tmp/x.wav')))"
• pkill -f announcer.py fra et skall som selv har announcer.py i kommandolinja dreper skallet. Gjelder utvikling med uv run; i drift er det docker compose.
• Trådene (player.start(), start_scheduler()) startes i main(), ikke ved import. Det er det som gjør at tests/test_routes.py kan kjøre rutene med en test_client og drive køen ett steg om gangen med player.run_once(). Starter du dem ved import igjen, mister du den muligheten.
• Én prosess. main() kjører waitress med mange tråder, ikke gunicorn med flere workere: Player og planleggeren er singletons i prosessen, og flere workere ville gitt flere køer som snakker i munnen på hverandre.
• NetBird-provisjonering i install.sh krever NETBIRD_SETUP_KEY; management-URL leses fra /etc/netbird/config.json med sudo hvis den finnes. Peer-navnet blir announcer-<ANNOUNCER_NAME>, og det er den konvensjonen som gjør ANNOUNCER_SENTRAL=http://announcer-her.skynet.corp:8090 stabil. netbird status --json gir ikke grupper – derfor melder sonene seg selv i stedet for at sentralen leter.
• Mesh-nøkkelen må være lik på sentral og sone, ellers ✗ avvist med 401 Feil mesh-nøkkel på fordelingen. Og sonens BIND_IP må gjøre den nåbar fra sentralen – med NetBird er det NetBird-adressen som skal stå i [zones].
• En sone uten lydsocket (hodeløs Pi uten linger, eller feil PUID) tar imot og køer, men hvert utrop ender failed. Det ser riktig ut fra sentralen (✓ = tatt imot) helt til man ser på sonens egen kø. install.sh slår på loginctl enable-linger nettopp derfor.
• Oppgradering: schedule er en ny handling. Har et oppsett et eksplisitt [roles] i config.toml, får crew den ikke automatisk – eksplisitt konfigurasjon overstyrer standardverdiene, og da blir svaret 403 «Rollen din har ikke lov til dette». Legg "schedule" inn selv. Dette traff docker/config.test.toml under testing.
• tests/conftest.py nuller ut alle ANNOUNCER_*-variabler før hver test. Uten den arver testene maskinens miljø – systemd-enheten setter ANNOUNCER_PORT, og compose setter JWT- og OIDC-hemmeligheter, noe som gjorde 28 tester røde i containeren med feilmeldinger som ikke pekte på noe galt.
• pyproject.toml har [tool.uv] package = false. Appen er løse .py-filer som kjøres på plass, ikke en pakke; uten den vil uv sync bygge et wheel og klage på at announcer/__init__.py mangler.
• Piper 1.8 bruker SynthesisConfig(length_scale=…); lavere = raskere.
• Forhåndslytt svarer 502 med feilmelding hvis edge-tts feiler (ingen nett). Køen markerer meldingen som failed. Bytt til en lokal reserve-stemme.