knowledge-governance

Weknora/knowledge-governance

Fork 0

Commit Graph

Author	SHA1	Message	Date
姚章浩	6400fd1bbe	feat(library): 快照搬运先于维护、双向校验与云端版本回传为什么改：云端 release-executor 与目标同机后，本机封存的快照必须"先到、先验证" 才允许开维护窗口。此前只有 pack/unpack 两条人工命令：UI 点发布时执行器读到的是本机归档路径，云端根本没有这份快照，作业只能在装配阶段失败；而预备份落在云端，本机页面也读不到。用户已批准补齐这条链路。搬运（新包 internal/libraryhandoff）：本机 Load 逐 blob 重算 → Pack → SSH 流式写入云端暂存 → 原子改名 → 云端 snapshot-unpack 再逐 blob 校验 → 读回版本清单摘要自证 → scope/tenant/知识库身份与治理库作业一致。只有全部通过才投递 library.sync\|restore，失败时发布作业根本不存在（目标不进维护、不写知识）。远端命令是固定 argv，容器名与路径只来自部署配置；同 ID 异内容拒绝；同一快照本机 flock 串行化；暂存 bundle 用后即删，归档本体永不自动清理。回传：capture 角色按已成功作业的 snapshot_id 扫描，把本机缺失的云端快照 Fetch 回来（云端 pack → SSH 流回 → 本机 Unpack 逐 blob 校验）。回传成功后 API/页面既有的列表、详情、差异、存储与历史恢复路径读到的就是真实字节；失败则版本不出现在本机，不会被误报成可恢复。角色：搬运与回传只注册在 capture；若接线到 full（同时消费发布作业）启动即失败，避免与云端执行器抢同一批作业。release-executor 仍不拥有治理库 DDL，也不消费 QA/邮件/来源扫描。验证：internal/libraryhandoff 全绿（跨进程 push/fetch、身份不符拒绝、幂等复用、并发串行、篡改与未知快照不落版本、路径穿越拒绝、远端错误不当作"没有"）； cmd/worker 在隔离 fixture 库（独立测试 PG）上验证"校验通过才入队发布、失败不入队"； httpapi 队列决策单测；相关包 go test 全绿；go vet 全仓通过。未部署、未推送、未构建镜像：云端接线与验收仍由父执行。真实云链路（含 SSH 通道）本轮没有云侧写操作，只有本机跨进程与隔离 fixture 证据。	2026-10-30 18:58:34 +08:00
姚章浩	e6472b0ec6	feat(library): 云测试发布目标接入的角色分离、快照搬运与图谱门禁为什么改：发布执行链是"与目标同机"假设写死的（本机 docker.sock、本机 drain.json、本机 Redis/PG），把目标换成云测试不能只改展示 URL；直接搬整套 worker 又会抢走本机封存/QA/周报队列并按本机配置写错目标。所以先把"谁消费哪段队列"变成显式角色，再补齐跨主机搬运与目标侧门禁。角色（LIBRARY_WORKER_ROLE=full/release-executor/capture）不只影响 handler 列表，还决定是否拥有 DDL（release-executor 只读校验迁移版本，落后即拒绝启动）、收拾哪些 library_jobs.kind、是否跑 release 接管扫描、是否起 scheduler/QA/周报/探测。 capture 保留本机原有全部业务；release-executor 只挂 sync/restore/recover/baseline。快照跨主机：新增内容寻址的 bundle（版本清单先落、blob 按 sha256 命名、清单最后 Link 作提交点），pack/unpack 幂等且拒绝覆盖与同名不同内容；执行器使用前仍逐 blob 重算 sha256，因此传输不可变有两道证据。目标侧门禁：目标知识库 graph_enabled=true 时拒绝发布（发布只写 PG/ES/OSS，不写 Neo4j；未知也拒绝），只读检测、不改目标配置、不做图谱迁移。云端入口：新增 drain 感知的 ingress 闸门（建连超时与读超时分离，半关闭单向传播， SIGTERM 排空后写 drain.json 并 exit 0/2）、compose 叠加片段（app 不再发布端口、 frontend 与 adapter 的入口收敛到闸门、指向真实网络 weknora-test-v071-network）、执行器启动脚本与治理 PG 反向隧道脚本（默认 unix socket，不占 TCP）。验证：deploy/cloud-test/test_gate.py 13 项全 PASS（含 12 秒静默流、半关闭、2MiB 完整、排空 exit 0/active_at_close=1、排空超时 exit 2、上游不可达不挂住）；go test 相关包全绿； scripts/ci_checks.py 16 项全部 success（EXIT=0，1241 用例通过/0 失败/191 已声明可选集成跳过）；云测试只读预检 17 项 / 6 FAIL，FAIL 项即当前部署缺口（无闸门、app 仍发布端口、 adapter 与 frontend 仍直连 app、云端归档根未建），未部署、未改云端任何状态。	2026-10-30 18:38:38 +08:00

Author

SHA1

Message

Date

姚章浩

6400fd1bbe

feat(library): 快照搬运先于维护、双向校验与云端版本回传

为什么改：云端 release-executor 与目标同机后，本机封存的快照必须"先到、先验证"
才允许开维护窗口。此前只有 pack/unpack 两条人工命令：UI 点发布时执行器读到的是
本机归档路径，云端根本没有这份快照，作业只能在装配阶段失败；而预备份落在云端，
本机页面也读不到。用户已批准补齐这条链路。

搬运（新包 internal/libraryhandoff）：本机 Load 逐 blob 重算 → Pack → SSH 流式写入
云端暂存 → 原子改名 → 云端 snapshot-unpack 再逐 blob 校验 → 读回版本清单摘要自证 →
scope/tenant/知识库身份与治理库作业一致。只有全部通过才投递 library.sync|restore，
失败时发布作业根本不存在（目标不进维护、不写知识）。远端命令是固定 argv，容器名与
路径只来自部署配置；同 ID 异内容拒绝；同一快照本机 flock 串行化；暂存 bundle 用后即删，
归档本体永不自动清理。

回传：capture 角色按已成功作业的 snapshot_id 扫描，把本机缺失的云端快照 Fetch 回来
（云端 pack → SSH 流回 → 本机 Unpack 逐 blob 校验）。回传成功后 API/页面既有的列表、
详情、差异、存储与历史恢复路径读到的就是真实字节；失败则版本不出现在本机，不会被误报成可恢复。

角色：搬运与回传只注册在 capture；若接线到 full（同时消费发布作业）启动即失败，
避免与云端执行器抢同一批作业。release-executor 仍不拥有治理库 DDL，也不消费
QA/邮件/来源扫描。

验证：internal/libraryhandoff 全绿（跨进程 push/fetch、身份不符拒绝、幂等复用、
并发串行、篡改与未知快照不落版本、路径穿越拒绝、远端错误不当作"没有"）；
cmd/worker 在隔离 fixture 库（独立测试 PG）上验证"校验通过才入队发布、失败不入队"；
httpapi 队列决策单测；相关包 go test 全绿；go vet 全仓通过。

未部署、未推送、未构建镜像：云端接线与验收仍由父执行。真实云链路（含 SSH 通道）
本轮没有云侧写操作，只有本机跨进程与隔离 fixture 证据。

2026-10-30 18:58:34 +08:00

姚章浩

e6472b0ec6

feat(library): 云测试发布目标接入的角色分离、快照搬运与图谱门禁

为什么改：发布执行链是"与目标同机"假设写死的（本机 docker.sock、本机 drain.json、
本机 Redis/PG），把目标换成云测试不能只改展示 URL；直接搬整套 worker 又会抢走
本机封存/QA/周报队列并按本机配置写错目标。所以先把"谁消费哪段队列"变成显式角色，
再补齐跨主机搬运与目标侧门禁。

角色（LIBRARY_WORKER_ROLE=full/release-executor/capture）不只影响 handler 列表，
还决定是否拥有 DDL（release-executor 只读校验迁移版本，落后即拒绝启动）、
收拾哪些 library_jobs.kind、是否跑 release 接管扫描、是否起 scheduler/QA/周报/探测。
capture 保留本机原有全部业务；release-executor 只挂 sync/restore/recover/baseline。

快照跨主机：新增内容寻址的 bundle（版本清单先落、blob 按 sha256 命名、清单最后
Link 作提交点），pack/unpack 幂等且拒绝覆盖与同名不同内容；执行器使用前仍逐 blob
重算 sha256，因此传输不可变有两道证据。

目标侧门禁：目标知识库 graph_enabled=true 时拒绝发布（发布只写 PG/ES/OSS，不写
Neo4j；未知也拒绝），只读检测、不改目标配置、不做图谱迁移。

云端入口：新增 drain 感知的 ingress 闸门（建连超时与读超时分离，半关闭单向传播，
SIGTERM 排空后写 drain.json 并 exit 0/2）、compose 叠加片段（app 不再发布端口、
frontend 与 adapter 的入口收敛到闸门、指向真实网络 weknora-test-v071-network）、
执行器启动脚本与治理 PG 反向隧道脚本（默认 unix socket，不占 TCP）。

验证：deploy/cloud-test/test_gate.py 13 项全 PASS（含 12 秒静默流、半关闭、2MiB 完整、
排空 exit 0/active_at_close=1、排空超时 exit 2、上游不可达不挂住）；go test 相关包全绿；
scripts/ci_checks.py 16 项全部 success（EXIT=0，1241 用例通过/0 失败/191 已声明可选集成跳过）；
云测试只读预检 17 项 / 6 FAIL，FAIL 项即当前部署缺口（无闸门、app 仍发布端口、
adapter 与 frontend 仍直连 app、云端归档根未建），未部署、未改云端任何状态。

2026-10-30 18:38:38 +08:00

2 Commits