14 Commits

Author	SHA1	Message	Date
姚章浩	1f482e4b49	feat(library): Wiki 撤销按贡献比对，维护窗口在页面如实呈现 ... 为什么：删除一篇与别人共同贡献同一 Wiki 页的文档后，页面还在、名字也在， 只有那篇文档的正文与引用被摘掉。原来的页面级差异会把这种语义重算显示成 "无变化"，操作员据此会误判撤销没有生效。 怎么改：librarydiff 新增 CompareWiki，以 slug 为身份把正文/来源文档/引用分块/ 出入边/目录分别取集合比较，输出 sources_removed、citations 变化与具体类别； overview 的 diff.wiki 增加逐页明细（最多 50 页，超出置 pages_truncated）， 说明文字明确"重算发生在源侧，本平台只如实比对与保留结果"。 页面：新增目标维护面板（实例级/库级、持有、入口开关、阶段、进度、恢复错误）， 只有窗口仍持有且作业失败时才给"按预备份恢复"；没有维护记录时写未接入 + fail closed。 变更页把 Wiki 逐页差异列出来源/引用怎么变。kind 补上 restore。 验过：go test ./internal/librarydiff ./internal/httpapi；web vitest 453 项； make verify 全绿（15 项，无未运行项）。真实撤销语义验收见交付报告。	2026-10-29 04:45:34 +08:00
姚章浩	b007acd443	feat(library): 恢复失败后可以重新排队，不必手工改库 ... 失败作业的幂等键把恢复入口锁死，运维修好故障也点不动第二次。 现在按窗口重排失败作业（同窗口有活作业则拒绝并发），CLI/API 都能真恢复。	2026-10-29 01:38:39 +08:00
姚章浩	1a04dfb4fa	fix(library): 恢复作业的队列 id 不能超过列宽 ... "librecover-"+窗口作业 id 超过 varchar(36)，投递直接失败——恢复入口等于打不开。 按窗口摘要取 33 字符的确定性 id。	2026-10-29 01:07:11 +08:00
姚章浩	3643e9bf82	fix(library): 维护收尾必须按预备份恢复并校验 ... 删掉会自己开入口、只看服务健康的 FinalizeAfterOperatorRecovery。 新的 RecoverWindow 绑定原作业/目标指纹/持久化预备份，在维护关闭下 执行恢复与逐类校验，通过才恢复服务与入口；失败继续维护。 预备份身份与内容风险在第一笔写入前一起落盘；后台任务必须静默后才停写者； 写入者发布端口即拒绝开窗口；维护占用改为按实例互斥（000072）。	2026-10-29 00:50:32 +08:00
姚章浩	fe6e218d9c	fix(library): 整库只读接口改清单级读取，修掉真实超时 ... 候选归档 79 版 / 56MB blob 上，overview、storage、snapshots 三个只读接口 都在 10s 请求期限后返回 503。分段计时定位到唯一瓶颈是按版本重读全部 blob： Open 0ms、LoadManifest×79 11~22ms、ContentUsage 15~25ms、 Usage（逐版 Load 验字节）13.75~14.11s；单版 Load 261~290ms。 - Usage 拆成 Usage（逐版复核字节，同步/恢复与运维 CLI 用）与 UsageFromManifests（同一份去重实现，只做清单级校验），列举路径改用后者； - library_storage.go 每版两次 Load、snapshots 每版一次 Load 改为一次清单读取； - wiki/文档差异只读所需部件，被读部件仍由 OpenPart 复核摘要； - LoadManifest 与 Load 共用同一套清单判据（严格解码 + 重新编码校验）； - 列举响应带 verification=manifest / verified=false，详情整版复核后才是 content， 避免把"清单可读"读成"完整性已验证"； - libraryWithDeadline 去掉超时后再写已结束响应的 goroutine 写法 （候选环境实测 http: superfluous response.WriteHeader call）。 回归：多版本共享大 blob 时枚举不读 blob 字节（篡改后枚举仍成功）， 而 Load/OpenPart/Usage 仍拒绝坏 blob；坏清单两条路径都整条报错。 make verify 15 项全绿（local 档案）。	2026-10-28 21:52:14 +08:00
姚章浩	288e01a01a	feat(library): 目标维护窗口（持久所有权/独占/release-on-verify）+ known-broken 记录 ... 为什么：用户确认维护窗口方案，需要真实占有目标而不是 503 页面。 - 迁移 000070 library_maintenance：scope 唯一持有者、作业/目标身份、服务原状态、阶段。 - worker 在写目标前 acquire，验证+登记成功才 release；回滚失败/未验证保持 needs_restore。 - API GET /library/maintenance + 同步入口在他人持有时 409。 - 已知缺陷如实记录：候选实例该路由 404；kill 取证脚本竞态导致三项断言为 false。	2026-10-28 20:45:02 +08:00
姚章浩	b76a433574	fix(httpapi): 整库只读接口加请求级超时，避免归档大时请求挂死 ... 为什么：候选前端联调时 /library/overview 与 /library/storage 会挂到连接被重置， 浏览器无法渲染。加 10s 超时并返回明确降级原因，同时差异计算放进看门狗。	2026-10-28 20:36:59 +08:00
姚章浩	c72b71d78a	fix(library): 预备份硬门禁 + 崩溃接管 + 五项入口验收 ... 为什么：父审指出预备份引用持久化失败仍继续写目标、接管依赖启动扫描且漏掉租约未过期、 恢复失败被标成"无需恢复"、版本登记与作业状态分叉。 - BackupPrepared 返回 error，持久化失败即零写入；预备份同时登记 production_prebackup 版本。 - 接管改为按队列租约判定 + 运行期 30s 扫描 + 原子抢占 + 固定幂等键 + attempt 归零。 - 接管场景保留预备份、不再宣称"未写无需恢复"。 - 恢复/重放同一快照重新激活 production_effective（清 superseded_at）。 - finalize 续作只做校验+登记（finalize_only），不重写生产。 - 索引映射基线缺失时采用首次观察值并登记；索引校验加孤儿文档检查（按 knowledge_id）。 真实验收（候选 API :18089 + 真实 PG/ES/MinIO）： A0 首次发布、A1 撤销、B 按版本恢复、C 写阶段 SIGKILL 接管、 D 跨 kind 互斥与多 worker 单次执行、E1 登记失败、E2 finalize 续作、E3 预备份失败零写入。	2026-10-28 19:11:37 +08:00
姚章浩	ac3b395102	fix(library): 对齐真实 WeKnora Schema + 入口级真实服务验收 ... 为什么：候选环境改用真实 WeKnora 表结构后，暴露出多处"按猜的列名/形状"的假设， 以及若干 varchar 长度、对象定位符、空索引基线问题，导致真实链路跑不通。 - knowledge_tag_relations 无 tenant_id/KB 列 → 归属走父表；resources 作用域=绑定+chunk 引用。 - 写入顺序按真实外键；无代理键表用内容摘要核对。 - 队列作业 ID / 版本记录 ID 改固定长度摘要（列宽 varchar(36)/varchar(64)）。 - 对象定位符拆 storage://<backend>/oss://<bucket>/<key>；provider 可配置。 - 空索引基线全链路一致（Current/Export/Backup/Archive），非空仍严格比对映射。 - finalize 阶段：版本登记失败不报成功；崩溃接管复用已持久化预备份。 - 迁移 000069：同一目标的 sync/restore 跨 kind 互斥。	2026-10-28 17:53:43 +08:00
姚章浩	2038462dbb	feat(library): Wiki 页面级差异与页面展示 ... 为什么：撤销文档后 Wiki 变化此前只有"快照保存"证据；页面级差异能给出增/改/撤， 但必须写明它不等于实体、概念、边与引用的语义重算。 - overview 差异新增 wiki 字段：读两份快照的 wiki_pages 行数组比较，缺部件时 unknown。 - 发布管理"本次变更"显示 Wiki 新增/更新/撤销页数与页面级声明。 - 真实归档验证：对内 vs 对外 = 新增 31 / 撤销 1，反向镜像一致。	2026-10-28 15:15:33 +08:00
姚章浩	7b8cc0384b	feat(library): 生产发布授权与同步/恢复编排，worker 接线 ... 为什么：同步入口此前只会拒绝；授权、预备份、四类写入、验证与失败恢复都没有代码。 本轮把编排与授权实现出来，真实生产执行仍按授权闸口关闭。 - internal/libraryrelease：预备份 → 数据库/资源/索引/Wiki → 验证 → 失败恢复； 授权过期/目标不符/快照不符/参数变化在动生产前拒绝；恢复失败单独上报。 - 迁移 000067 library_release_authorizations（目标+快照+参数摘要+有效期，可撤销）。 - POST/GET /api/v1/library/authorizations 与 /{id}/revoke，仅管理员签发，5–1440 分钟。 - worker library.sync 接编排：先闸口再授权，阶段落库，只有编排成功才标成功。 - 生产目标适配器未配置时显式失败（不返回零值状态），预备份存储同。 - overview 返回授权状态，页面"生产保护与恢复"显示签发人与有效期。 - 验收矩阵区分"已实现·隔离测试通过"与"真实执行未授权"。	2026-10-28 15:11:27 +08:00
姚章浩	f91359f881	feat(library): 存储管理真实化——容量门禁、依赖保护与清理预览 ... 为什么：存储页原来只有占用数字，保留/依赖保护/清理预览写"未接线"；这些都不需要生产写权限， 按"未设置就不做决定"的口径实现成只读计算。 - internal/libraryretention：按保留数量/天数生成预览；生产生效、每库最近封存、每次生产预备份、 在飞作业引用一律受保护；回收预览只算独占字节，共享 blob 不计。 - internal/libraryretention.CheckCapacity：预算未设置即不放行（无法证明装得下），超预算阻断； 已并入 POST /library/syncs 的 gate 缺项。 - 新增 GET /api/v1/library/storage：真实归档用量 + 三类版本保护依据 + 策略 + 预览 + 容量，只读。 - 系统设置→存储管理改为读该接口：策略未设置时明确"全部保留、不生成候选"，自动清理恒关闭。 - 配置项 LIBRARY_CAPACITY_BUDGET_BYTES / LIBRARY_RETENTION_VERSIONS / LIBRARY_RETENTION_DAYS（未设=0）。	2026-10-28 15:04:44 +08:00
姚章浩	e313ae12f2	feat(library): 真实差异比对 + 孤儿作业回收 + 验收矩阵与台账 ... 为什么：发布管理的差异一直显示"未接入"，业务作业也可能因队列丢作业而永久占锁； 本轮把这两件做成真实实现，并把 30 个验收项与 CI/版本身份落成可审计文档。 - internal/librarydiff：稳定文档 ID + 排除易变列的整行摘要做增改撤销；overview 在 生产权威版本与测试封存都在时给出 computed 差异并标注两侧快照，缺一侧仍是 unknown。 - 发布管理"本次变更"列文档身份与比对版本；无差异时明确写"没有文档差异"。 - ReconcileLibraryJobs：worker 启动清理队列已无对应作业的孤儿，避免永久互斥。 - docs/library-acceptance-matrix.md 与 docs/release-ledger.md 固定证据与版本事实。	2026-10-28 14:39:17 +08:00
姚章浩	dc9e827656	feat(library): 整库版本/作业持久化与状态读取契约，生产同步默认拒绝 ... - 新增 library_versions：测试封存、生产生效、生产预备份三类分开登记， 生产生效版本唯一（旧版本必须先 supersede），测试快照不能顶替生产版本 - 新增 library_jobs + library_job_stages：业务作业身份、阶段、错误与恢复说明， 分项计数用 NULL 表示"总量未知"；互斥与幂等由数据库唯一索引保证 - 新增 GET /api/v1/library/overview、/jobs、/jobs/{id}；POST /syncs 闸口未齐 返回 503 缺项且不建作业 - 封存作业落库：先建业务作业再入队，worker 推进 export 阶段并登记 test_sealed - 发布管理读真实状态：生产未知不再顶替、差异 unknown、启动同步按缺项禁用、 同步明细/四类分项来自持久阶段；阶段勾选只认当前作业证据 - 准备信息标注封存时间与范围，不声称实时测试库已就绪	2026-10-28 13:58:51 +08:00