fix(guest_session_pool): 防止并发创建重复匿名会话

- 在 acquire 方法中添加容量锁，避免多个并发请求同时创建新会话
- 添加 README 文档说明认证 Token 与匿名会话的优先级关系

Author: ZyphrZero

README.md

@@ -62,6 +62,33 @@ docker compose -f deploy/docker-compose.yml up -d --build
 
 完整配置请看 [.env.example](.env.example)。
 
+## Token 与匿名会话优先级
+
+系统同时支持**认证 Token 池**和**匿名会话池**，处理优先级如下：
+
+```
+认证 Token 池（优先）
+        ↓
+    （全部失效/排除）
+        ↓
+匿名会话池（备选）
+```
+
+### 优先级说明
+
+| 优先级 | 来源 | 触发条件 |
+|:---:|------|----------|
+| 1️⃣ | 认证 Token 池 | 数据库中存在有效 Token 时，优先使用 |
+| 2️⃣ | 匿名会话池 | 认证 Token 全部失效或被排除完，且 `ANONYMOUS_MODE=true` |
+
+### 相关配置
+
+- `ANONYMOUS_MODE`：是否启用匿名模式，默认为 `true`
+- `GUEST_POOL_SIZE`：匿名会话池大小，默认 `3`
+- `GUEST_SESSION_MAX_AGE`：匿名会话最大存活时间，默认 `480` 分钟
+
+> **注意**：即使认证 Token 池和匿名会话池同时存在，系统也会**始终优先使用认证 Token**，只有当认证 Token 全部不可用时，才会使用匿名会话作为备选方案。
+
 ## 管理后台
 
 管理后台统一入口：

app/utils/guest_session_pool.py

@@ -404,28 +404,30 @@ async def acquire(
         """按最小忙碌度获取一个可用匿名会话。"""
         excluded = exclude_user_ids or set()
 
-        while True:
-            candidates = self._list_valid_sessions(exclude_user_ids=excluded)
-            if candidates:
-                session = min(
-                    candidates,
-                    key=lambda item: (item.active_requests, item.created_at),
-                )
-                with self._lock:
-                    current = self._sessions.get(session.user_id)
-                    if current and current.valid and current.user_id not in excluded:
-                        current.active_requests += 1
-                        return current
-
-            new_session = await self._create_session()
-            if new_session.user_id in excluded:
-                await self._delete_all_chats(new_session)
-                continue
+        # 使用容量锁防止并发创建重复会话
+        async with self._capacity_lock:
+            while True:
+                candidates = self._list_valid_sessions(exclude_user_ids=excluded)
+                if candidates:
+                    session = min(
+                        candidates,
+                        key=lambda item: (item.active_requests, item.created_at),
+                    )
+                    with self._lock:
+                        current = self._sessions.get(session.user_id)
+                        if current and current.valid and current.user_id not in excluded:
+                            current.active_requests += 1
+                            return current
+
+                new_session = await self._create_session()
+                if new_session.user_id in excluded:
+                    await self._delete_all_chats(new_session)
+                    continue
 
-            with self._lock:
-                new_session.active_requests = 1
-                self._sessions[new_session.user_id] = new_session
-                return new_session
+                with self._lock:
+                    new_session.active_requests = 1
+                    self._sessions[new_session.user_id] = new_session
+                    return new_session
 
     def release(self, user_id: str):
         """释放一个匿名会话占用。"""