knowledge-governance

Weknora/knowledge-governance

Fork 0

Commit Graph

Author	SHA1	Message	Date
姚章浩	8a68ed1819	fix(library): 交接所有权 CAS、回传游标跨轮与快照原产地父审查确认四项是原 finding 未闭环，本包按真实调用链修完（先 RED 再修）。 R4a 正常流程必现阻断：API 先入 handoff 队列作业并关联，交接却只接受"未关联"，每次正常发布都被自己的所有权检查挡住。新增 governance.LibraryHandoffQueueJobID （jobs.id 为 varchar(36)，原实现拼后缀超长，插入即失败）；EnqueueAndAttachLibraryJob 增加"声明的前驱队列作业号"，只允许当前无人持有或正是该 handoff 时替换，任意替换拒绝。测试从 API 真实前驱（已关联）开始，覆盖正常交接、错误前驱拒绝、交接后重放、以及 release 与 handoff 两条队列行都存在。 R4b 迟到 handoff 污染已交接作业：失败出口（含 Push 错误）改为所有权 CAS （FailLibraryHandoffIfOwner），只在业务作业仍由本次 handoff 持有时写 state/stage/recovery；已交接/已终态零修改。所有权判定改为只看 library_jobs.queue_job_id（阶段行是否存在与所有权无关，原实现会误判）。阶段写入也带所有权。用测试屏障确定性地复现"失败出口到来时所有权已切给 release"，验证 release running 与 succeeded 两种状态下零修改。 R2 回传游标每轮重置：改为跨轮保留（单轮仍 20 页预算），读到不足一页才回到起点；新增 pullCursor 与跨轮覆盖测试（2100 条引用、每轮 5 页仍全部覆盖，不重复不漏取）。 R3 原产地误判：封存成功后会再登记 production_effective（同一快照），原实现把 sealed+target 判成冲突，正常再发布/历史恢复被误拒。现在原产地只由捕获事件决定（test_sealed=源 / production_prebackup=目标），effective/recovery_verified 只是引用；二者冲突或都没有捕获事件仍拒绝。测试覆盖正常成功链、真冲突、无捕获事件三种。验证：隔离 fixture PostgreSQL 实跑 cmd/worker 全包通过（含上述四条真实调用链）； libraryhandoff/librarysnapshot/httpapi/governance/platform-postgres/libraryctl 全绿；完整 ci_checks 见提交时日志。未部署、未推送、未构建镜像；真实跨主机 SSH 链路仍未验证。	2026-10-30 19:22:48 +08:00
姚章浩	6400fd1bbe	feat(library): 快照搬运先于维护、双向校验与云端版本回传为什么改：云端 release-executor 与目标同机后，本机封存的快照必须"先到、先验证" 才允许开维护窗口。此前只有 pack/unpack 两条人工命令：UI 点发布时执行器读到的是本机归档路径，云端根本没有这份快照，作业只能在装配阶段失败；而预备份落在云端，本机页面也读不到。用户已批准补齐这条链路。搬运（新包 internal/libraryhandoff）：本机 Load 逐 blob 重算 → Pack → SSH 流式写入云端暂存 → 原子改名 → 云端 snapshot-unpack 再逐 blob 校验 → 读回版本清单摘要自证 → scope/tenant/知识库身份与治理库作业一致。只有全部通过才投递 library.sync\|restore，失败时发布作业根本不存在（目标不进维护、不写知识）。远端命令是固定 argv，容器名与路径只来自部署配置；同 ID 异内容拒绝；同一快照本机 flock 串行化；暂存 bundle 用后即删，归档本体永不自动清理。回传：capture 角色按已成功作业的 snapshot_id 扫描，把本机缺失的云端快照 Fetch 回来（云端 pack → SSH 流回 → 本机 Unpack 逐 blob 校验）。回传成功后 API/页面既有的列表、详情、差异、存储与历史恢复路径读到的就是真实字节；失败则版本不出现在本机，不会被误报成可恢复。角色：搬运与回传只注册在 capture；若接线到 full（同时消费发布作业）启动即失败，避免与云端执行器抢同一批作业。release-executor 仍不拥有治理库 DDL，也不消费 QA/邮件/来源扫描。验证：internal/libraryhandoff 全绿（跨进程 push/fetch、身份不符拒绝、幂等复用、并发串行、篡改与未知快照不落版本、路径穿越拒绝、远端错误不当作"没有"）； cmd/worker 在隔离 fixture 库（独立测试 PG）上验证"校验通过才入队发布、失败不入队"； httpapi 队列决策单测；相关包 go test 全绿；go vet 全仓通过。未部署、未推送、未构建镜像：云端接线与验收仍由父执行。真实云链路（含 SSH 通道）本轮没有云侧写操作，只有本机跨进程与隔离 fixture 证据。	2026-10-30 18:58:34 +08:00

Author

SHA1

Message

Date

姚章浩

8a68ed1819

fix(library): 交接所有权 CAS、回传游标跨轮与快照原产地

父审查确认四项是原 finding 未闭环，本包按真实调用链修完（先 RED 再修）。

R4a 正常流程必现阻断：API 先入 handoff 队列作业并关联，交接却只接受"未关联"，
每次正常发布都被自己的所有权检查挡住。新增 governance.LibraryHandoffQueueJobID
（jobs.id 为 varchar(36)，原实现拼后缀超长，插入即失败）；EnqueueAndAttachLibraryJob
增加"声明的前驱队列作业号"，只允许当前无人持有或正是该 handoff 时替换，任意替换拒绝。
测试从 API 真实前驱（已关联）开始，覆盖正常交接、错误前驱拒绝、交接后重放、
以及 release 与 handoff 两条队列行都存在。

R4b 迟到 handoff 污染已交接作业：失败出口（含 Push 错误）改为所有权 CAS
（FailLibraryHandoffIfOwner），只在业务作业仍由本次 handoff 持有时写 state/stage/recovery；
已交接/已终态零修改。所有权判定改为只看 library_jobs.queue_job_id（阶段行是否存在
与所有权无关，原实现会误判）。阶段写入也带所有权。用测试屏障确定性地复现"失败出口
到来时所有权已切给 release"，验证 release running 与 succeeded 两种状态下零修改。

R2 回传游标每轮重置：改为跨轮保留（单轮仍 20 页预算），读到不足一页才回到起点；
新增 pullCursor 与跨轮覆盖测试（2100 条引用、每轮 5 页仍全部覆盖，不重复不漏取）。

R3 原产地误判：封存成功后会再登记 production_effective（同一快照），原实现把
sealed+target 判成冲突，正常再发布/历史恢复被误拒。现在原产地只由捕获事件决定
（test_sealed=源 / production_prebackup=目标），effective/recovery_verified 只是引用；
二者冲突或都没有捕获事件仍拒绝。测试覆盖正常成功链、真冲突、无捕获事件三种。

验证：隔离 fixture PostgreSQL 实跑 cmd/worker 全包通过（含上述四条真实调用链）；
libraryhandoff/librarysnapshot/httpapi/governance/platform-postgres/libraryctl 全绿；
完整 ci_checks 见提交时日志。未部署、未推送、未构建镜像；真实跨主机 SSH 链路仍未验证。

2026-10-30 19:22:48 +08:00

姚章浩

6400fd1bbe

feat(library): 快照搬运先于维护、双向校验与云端版本回传

为什么改：云端 release-executor 与目标同机后，本机封存的快照必须"先到、先验证"
才允许开维护窗口。此前只有 pack/unpack 两条人工命令：UI 点发布时执行器读到的是
本机归档路径，云端根本没有这份快照，作业只能在装配阶段失败；而预备份落在云端，
本机页面也读不到。用户已批准补齐这条链路。

搬运（新包 internal/libraryhandoff）：本机 Load 逐 blob 重算 → Pack → SSH 流式写入
云端暂存 → 原子改名 → 云端 snapshot-unpack 再逐 blob 校验 → 读回版本清单摘要自证 →
scope/tenant/知识库身份与治理库作业一致。只有全部通过才投递 library.sync|restore，
失败时发布作业根本不存在（目标不进维护、不写知识）。远端命令是固定 argv，容器名与
路径只来自部署配置；同 ID 异内容拒绝；同一快照本机 flock 串行化；暂存 bundle 用后即删，
归档本体永不自动清理。

回传：capture 角色按已成功作业的 snapshot_id 扫描，把本机缺失的云端快照 Fetch 回来
（云端 pack → SSH 流回 → 本机 Unpack 逐 blob 校验）。回传成功后 API/页面既有的列表、
详情、差异、存储与历史恢复路径读到的就是真实字节；失败则版本不出现在本机，不会被误报成可恢复。

角色：搬运与回传只注册在 capture；若接线到 full（同时消费发布作业）启动即失败，
避免与云端执行器抢同一批作业。release-executor 仍不拥有治理库 DDL，也不消费
QA/邮件/来源扫描。

验证：internal/libraryhandoff 全绿（跨进程 push/fetch、身份不符拒绝、幂等复用、
并发串行、篡改与未知快照不落版本、路径穿越拒绝、远端错误不当作"没有"）；
cmd/worker 在隔离 fixture 库（独立测试 PG）上验证"校验通过才入队发布、失败不入队"；
httpapi 队列决策单测；相关包 go test 全绿；go vet 全仓通过。

未部署、未推送、未构建镜像：云端接线与验收仍由父执行。真实云链路（含 SSH 通道）
本轮没有云侧写操作，只有本机跨进程与隔离 fixture 证据。

2026-10-30 18:58:34 +08:00

2 Commits