 host
|
35d9c3ff3f
|
fix(chv-muse-r12fix2-1): tmpfiles.d 预建 worker 运行时路径（P6-1）
R12 复测钉死的根因：chv-gitea-worker.service 用 ProtectSystem=strict
+ ReadWritePaths=/home/chv/workspace /run/chv-gitea
/var/log/chv-gitea-worker.log，systemd 建 mount namespace 时要求每个
列出路径事先存在，否则 226/NAMESPACE crash-loop（NRestarts=12）；
交付镜像里 /run/chv-gitea（/run 是 tmpfs）与
/var/log/chv-gitea-worker.log（worker 首次写审计才建）两处都不存在，
worker 从未起来过。
取舍：只用 tmpfiles.d（/etc/tmpfiles.d/chv.conf，加 d /run/chv-gitea
0700 与 f /var/log/chv-gitea-worker.log 0600，与 P4 的 /run/chv 同款
写法、同一文件）。ExecStartPre 不行——命名空间搭建在任何
ExecStartPre 之前，226 发生在它运行之前；改 ReadWritePaths 为已存在
目录（/var/log）会把写权限放大到整个目录。tmpfiles.d 由
systemd-tmpfiles-setup 在 sysinit 跑、早于 multi-user 的服务启动；
不新增进镜像的文件（chv.conf 本就是 build.sh 内联生成），lockfile
无需登记。unit 文件只加注释说明耦合，不改 ReadWritePaths 本身。
测试：WorkerUnitTmpfilesTest 钉住 ReadWritePaths 每一项挥发路径都有
对应的 tmpfiles 行（类型 + 模式）、P4 四行仍在、unit 无 ExecStartPre。
|
2026-11-08 06:00:58 +00:00 |
|
|
host
|
33ca6c75ed
|
fix(chv-muse-r12fix-2): P6 worker 接进镜像（build.sh + BUILDINFO + lockfile）
R12 真机：chv-gitea-worker / chv-sync-worker-client /
privsep.py / safety.py / chv-gitea-worker.service 5 文件全不在
镜像内，build.sh 从未有 P6 拷入行，全链路无法跑。按 gap 文档
§2 接入说明落地：worker 三件硬校验 + 拷入 /usr/local/bin/
与 /etc/systemd/system/（mv 去后缀 + chmod +x + systemctl
enable）；privsep/safety 叶子模块条件拷入
/usr/local/lib/chv-gitea/（与 P3 同款口径，缺失只警告）；
叶子树 __init__ 用 stub（绝不拷真实 cloud/chv/__init__.py，
round-11 层 1 教训），stub 需 errors.py 故一并拷入；runcmd
在 chv-sync boot 前加 systemctl start chv-gitea-worker。
BUILDINFO contents 列入 worker 三件（无条件）与 privsep/
safety（条件，extra_contents）；两处 lockfile 登记补齐 P6
五项，另补 P4 三件自 P4 起缺失的登记。
|
2026-11-08 04:25:33 +00:00 |
|
|
host
|
81e4eaf4db
|
feat(chv): 对齐 Muse P6 privsep worker + 确定性安全检查层
- cloud/chv/privsep.py（新）：Gitea worker 注册表（凭证白名单只含
GITEA_TOKEN）+ 类型化请求/响应（request_id 绑定、64KB 上限）+
Unix socket 客户端（超时/崩溃 -> 类型化失败 WorkerRefusal）+
客户端白名单校验
- cloud/chv/safety.py（新）：UntrustedData 来源标记 +
InjectionScanner 确定性规则（block/flag/allow，中英）+
redact_secrets + AuditLogger（只记指纹，不记值）+
audit_inference_request/response
- chv-guest/chv-gitea-worker.py + .service（新）：systemd 沙箱化
worker（SO_PEERCRED 只放 root，仓限 ~/workspace，git 只配 authd
helper，绝不持 token；输出先扫描再返回）
- chv-guest/chv-sync-worker-client.py（新）：agent 侧薄 CLI
- chv-guest/chv-sync.sh：pull/push/status 有 socket 时走 worker，
否则旧路径 + stderr 警告（过渡兼容）
- cloud/chv/executor.py：_run_guest 前后加推理边界审计钩子
（best-effort）
- docs/chv-muse-p6-gap.md（新）：差距表 + 覆盖边界 + 真机待验证清单
- docs/chv-production-readiness.md：§15
- cloud/tests/test_chv_muse_p6.py（新）：43 项
测试：新测试 43/43；全量 cloud 套件 1910 OK（skipped=9）；mypy
在新增文件上干净（剩余 4 处为基线旧错 executor.py:1396/1401、
marker_tools.py:142，未动）。
真机验证：未做，排队在 round-11 之后，清单见
docs/chv-muse-p6-gap.md §4。
|
2026-11-06 22:31:54 +00:00 |
|