 姚章浩
|
8a68ed1819
|
fix(library): 交接所有权 CAS、回传游标跨轮与快照原产地
父审查确认四项是原 finding 未闭环，本包按真实调用链修完（先 RED 再修）。
R4a 正常流程必现阻断：API 先入 handoff 队列作业并关联，交接却只接受"未关联"，
每次正常发布都被自己的所有权检查挡住。新增 governance.LibraryHandoffQueueJobID
（jobs.id 为 varchar(36)，原实现拼后缀超长，插入即失败）；EnqueueAndAttachLibraryJob
增加"声明的前驱队列作业号"，只允许当前无人持有或正是该 handoff 时替换，任意替换拒绝。
测试从 API 真实前驱（已关联）开始，覆盖正常交接、错误前驱拒绝、交接后重放、
以及 release 与 handoff 两条队列行都存在。
R4b 迟到 handoff 污染已交接作业：失败出口（含 Push 错误）改为所有权 CAS
（FailLibraryHandoffIfOwner），只在业务作业仍由本次 handoff 持有时写 state/stage/recovery；
已交接/已终态零修改。所有权判定改为只看 library_jobs.queue_job_id（阶段行是否存在
与所有权无关，原实现会误判）。阶段写入也带所有权。用测试屏障确定性地复现"失败出口
到来时所有权已切给 release"，验证 release running 与 succeeded 两种状态下零修改。
R2 回传游标每轮重置：改为跨轮保留（单轮仍 20 页预算），读到不足一页才回到起点；
新增 pullCursor 与跨轮覆盖测试（2100 条引用、每轮 5 页仍全部覆盖，不重复不漏取）。
R3 原产地误判：封存成功后会再登记 production_effective（同一快照），原实现把
sealed+target 判成冲突，正常再发布/历史恢复被误拒。现在原产地只由捕获事件决定
（test_sealed=源 / production_prebackup=目标），effective/recovery_verified 只是引用；
二者冲突或都没有捕获事件仍拒绝。测试覆盖正常成功链、真冲突、无捕获事件三种。
验证：隔离 fixture PostgreSQL 实跑 cmd/worker 全包通过（含上述四条真实调用链）；
libraryhandoff/librarysnapshot/httpapi/governance/platform-postgres/libraryctl 全绿；
完整 ci_checks 见提交时日志。未部署、未推送、未构建镜像；真实跨主机 SSH 链路仍未验证。
|
2026-10-30 19:22:48 +08:00 |
|
|
姚章浩
|
6400fd1bbe
|
feat(library): 快照搬运先于维护、双向校验与云端版本回传
为什么改：云端 release-executor 与目标同机后，本机封存的快照必须"先到、先验证"
才允许开维护窗口。此前只有 pack/unpack 两条人工命令：UI 点发布时执行器读到的是
本机归档路径，云端根本没有这份快照，作业只能在装配阶段失败；而预备份落在云端，
本机页面也读不到。用户已批准补齐这条链路。
搬运（新包 internal/libraryhandoff）：本机 Load 逐 blob 重算 → Pack → SSH 流式写入
云端暂存 → 原子改名 → 云端 snapshot-unpack 再逐 blob 校验 → 读回版本清单摘要自证 →
scope/tenant/知识库身份与治理库作业一致。只有全部通过才投递 library.sync|restore，
失败时发布作业根本不存在（目标不进维护、不写知识）。远端命令是固定 argv，容器名与
路径只来自部署配置；同 ID 异内容拒绝；同一快照本机 flock 串行化；暂存 bundle 用后即删，
归档本体永不自动清理。
回传：capture 角色按已成功作业的 snapshot_id 扫描，把本机缺失的云端快照 Fetch 回来
（云端 pack → SSH 流回 → 本机 Unpack 逐 blob 校验）。回传成功后 API/页面既有的列表、
详情、差异、存储与历史恢复路径读到的就是真实字节；失败则版本不出现在本机，不会被误报成可恢复。
角色：搬运与回传只注册在 capture；若接线到 full（同时消费发布作业）启动即失败，
避免与云端执行器抢同一批作业。release-executor 仍不拥有治理库 DDL，也不消费
QA/邮件/来源扫描。
验证：internal/libraryhandoff 全绿（跨进程 push/fetch、身份不符拒绝、幂等复用、
并发串行、篡改与未知快照不落版本、路径穿越拒绝、远端错误不当作"没有"）；
cmd/worker 在隔离 fixture 库（独立测试 PG）上验证"校验通过才入队发布、失败不入队"；
httpapi 队列决策单测；相关包 go test 全绿；go vet 全仓通过。
未部署、未推送、未构建镜像：云端接线与验收仍由父执行。真实云链路（含 SSH 通道）
本轮没有云侧写操作，只有本机跨进程与隔离 fixture 证据。
|
2026-10-30 18:58:34 +08:00 |
|
|
姚章浩
|
e6472b0ec6
|
feat(library): 云测试发布目标接入的角色分离、快照搬运与图谱门禁
为什么改：发布执行链是"与目标同机"假设写死的（本机 docker.sock、本机 drain.json、
本机 Redis/PG），把目标换成云测试不能只改展示 URL；直接搬整套 worker 又会抢走
本机封存/QA/周报队列并按本机配置写错目标。所以先把"谁消费哪段队列"变成显式角色，
再补齐跨主机搬运与目标侧门禁。
角色（LIBRARY_WORKER_ROLE=full/release-executor/capture）不只影响 handler 列表，
还决定是否拥有 DDL（release-executor 只读校验迁移版本，落后即拒绝启动）、
收拾哪些 library_jobs.kind、是否跑 release 接管扫描、是否起 scheduler/QA/周报/探测。
capture 保留本机原有全部业务；release-executor 只挂 sync/restore/recover/baseline。
快照跨主机：新增内容寻址的 bundle（版本清单先落、blob 按 sha256 命名、清单最后
Link 作提交点），pack/unpack 幂等且拒绝覆盖与同名不同内容；执行器使用前仍逐 blob
重算 sha256，因此传输不可变有两道证据。
目标侧门禁：目标知识库 graph_enabled=true 时拒绝发布（发布只写 PG/ES/OSS，不写
Neo4j；未知也拒绝），只读检测、不改目标配置、不做图谱迁移。
云端入口：新增 drain 感知的 ingress 闸门（建连超时与读超时分离，半关闭单向传播，
SIGTERM 排空后写 drain.json 并 exit 0/2）、compose 叠加片段（app 不再发布端口、
frontend 与 adapter 的入口收敛到闸门、指向真实网络 weknora-test-v071-network）、
执行器启动脚本与治理 PG 反向隧道脚本（默认 unix socket，不占 TCP）。
验证：deploy/cloud-test/test_gate.py 13 项全 PASS（含 12 秒静默流、半关闭、2MiB 完整、
排空 exit 0/active_at_close=1、排空超时 exit 2、上游不可达不挂住）；go test 相关包全绿；
scripts/ci_checks.py 16 项全部 success（EXIT=0，1241 用例通过/0 失败/191 已声明可选集成跳过）；
云测试只读预检 17 项 / 6 FAIL，FAIL 项即当前部署缺口（无闸门、app 仍发布端口、
adapter 与 frontend 仍直连 app、云端归档根未建），未部署、未改云端任何状态。
|
2026-10-30 18:38:38 +08:00 |
|