codex-app-server

453 Commits 9 Branches 0 Tags

2 Commits

Include renames

Author	SHA1	Message	Date
chv	29d3a5a474	feat(chv-muse-round11): build.sh 补 P3 authd 进镜像 + gt 脚本哈希轮换 - authd 三件套 copy-in（chv-guest/authd.py 与 git-credential-chv-authd -> /usr/local/bin/ 并 chmod +x，chv-authd.service -> /etc/systemd/system/），云端叶子模块 cloud/chv/authd.py 与 sentinel.py + 两个 __init__.py -> /usr/local/lib/chv-authd/， systemctl enable chv-authd；99-chv-sync.cfg runcmd 在 chv-sync boot 之前加 systemctl start chv-authd；缺件即 fail-fast - buildinfo BASE_CONTENTS 登记新增件；P2 干跑夹具补 P3 文件并断言 authd 步骤出现在干跑输出里 - GT_INSTALL_SH_SHA256 cf82... -> 49ffe090...：上游 2026-11-07 06:44 轮换，V-9 已核实（WSL fresh curl 与失败镜像内残留逐字节一致；新脚本全文已读，只从 dl.gitea.com 取 1.0.0 二进制并验 hash） - vsock_notify 条件拷入在合入后生效（cloud/chv/guest/vsock_notify.py 已在仓里，干跑不再报缺失警告） - 定向单测 P1/P2/P3/chv_fix 172 项全过；全量套件仍在跑	2026-11-06 23:08:40 +00:00
host	c61484aa68	feat(chv-guest): 对齐 Muse P2——nspawn 单元 + broker + 浏览器子代理 - chv-cell：systemd-nspawn 单命令单元，--private-users=1000:65536 （单元 root → 客机 chv），丢 8 项能力（含 SYS_PTRACE/NET_ADMIN）， syscall 过滤扣 io_uring，遮蔽 /etc/chv 与 playwright， --network-veth（10.200.0.0/24 + NAT），白名单环境透传 - chv-broker：Unix socket + SO_PEERCRED（uid 范围 + pid ns 对照），白名单 ping/sync/browser；sync 只调 chv-sync（runuser -u chv） - chv-browser：单元外独立进程，只暴露 open/snapshot/screenshot/ close/ping，返回无障碍树快照（截断）；evaluate/content 拒绝 - build.sh：装 systemd-container/iproute2/iptables，拷入三脚本，建 chv-browser 用户与两个 systemd 单元；vsock_notify 条件拷入 - buildinfo：内容项加 P2 四项，支持可选 extra_contents - 测试：cloud/tests/test_chv_muse_p2.py 40 项全过；broker/browser 真实 socket 回路冒烟通过（root 连 broker 被拒） - 差距表：docs/chv-muse-p2-gap.md；真机验证待测试机空闲（round 11）本地做，不推、不合、不部署	2026-11-06 20:53:15 +00:00

Author

SHA1

Message

Date

chv

29d3a5a474

feat(chv-muse-round11): build.sh 补 P3 authd 进镜像 + gt 脚本哈希轮换

- authd 三件套 copy-in（chv-guest/authd.py 与 git-credential-chv-authd
  -> /usr/local/bin/ 并 chmod +x，chv-authd.service ->
  /etc/systemd/system/），云端叶子模块 cloud/chv/authd.py 与
  sentinel.py + 两个 __init__.py -> /usr/local/lib/chv-authd/，
  systemctl enable chv-authd；99-chv-sync.cfg runcmd 在 chv-sync
  boot 之前加 systemctl start chv-authd；缺件即 fail-fast
- buildinfo BASE_CONTENTS 登记新增件；P2 干跑夹具补 P3 文件并断言
  authd 步骤出现在干跑输出里
- GT_INSTALL_SH_SHA256 cf82... -> 49ffe090...：上游 2026-11-07
  06:44 轮换，V-9 已核实（WSL fresh curl 与失败镜像内残留逐字节
  一致；新脚本全文已读，只从 dl.gitea.com 取 1.0.0 二进制并验 hash）
- vsock_notify 条件拷入在合入后生效（cloud/chv/guest/vsock_notify.py
  已在仓里，干跑不再报缺失警告）
- 定向单测 P1/P2/P3/chv_fix 172 项全过；全量套件仍在跑

2026-11-06 23:08:40 +00:00

host

c61484aa68

feat(chv-guest): 对齐 Muse P2——nspawn 单元 + broker + 浏览器子代理

- chv-cell：systemd-nspawn 单命令单元，--private-users=1000:65536
  （单元 root → 客机 chv），丢 8 项能力（含 SYS_PTRACE/NET_ADMIN），
  syscall 过滤扣 io_uring，遮蔽 /etc/chv 与 playwright，
  --network-veth（10.200.0.0/24 + NAT），白名单环境透传
- chv-broker：Unix socket + SO_PEERCRED（uid 范围 + pid ns 对照），
  白名单 ping/sync/browser；sync 只调 chv-sync（runuser -u chv）
- chv-browser：单元外独立进程，只暴露 open/snapshot/screenshot/
  close/ping，返回无障碍树快照（截断）；evaluate/content 拒绝
- build.sh：装 systemd-container/iproute2/iptables，拷入三脚本，
  建 chv-browser 用户与两个 systemd 单元；vsock_notify 条件拷入
- buildinfo：内容项加 P2 四项，支持可选 extra_contents
- 测试：cloud/tests/test_chv_muse_p2.py 40 项全过；broker/browser
  真实 socket 回路冒烟通过（root 连 broker 被拒）
- 差距表：docs/chv-muse-p2-gap.md；真机验证待测试机空闲（round 11）
  本地做，不推、不合、不部署

2026-11-06 20:53:15 +00:00