 host
|
581e850eb7
|
fix(chv-muse-r11fix): cell 只遮 /usr 下路径（复测新发现 1）
--volatile=yes 下容器根是基本空的 tmpfs（只挂进只读 /usr），
nspawn 按容器根解析 --inaccessible 路径，/etc/chv 与
/home/chv/.git-credentials 在容器根里根本不存在，解析失败即
Failed to resolve 而起不来；两条 /usr 旗可解析，保留。
凭证文件按构造即不可达（容器根里无 /home、无 /etc/chv），
遮蔽不再是必须项，安全属性不变。
探针证据：celldiag2/3/4——去 inaccessible 后完整 argv 0.4s/rc=0，
单元内 $HOME/.cache 可写，单元内 ls /etc/chv 本来就不存在。
|
2026-11-07 07:02:37 +00:00 |
|
|
host
|
c1d00b3620
|
fix(chv-muse-r11fix): cell 改 --volatile=yes（复测纠正缺陷 2）
复测（RETEST.md §cell）：--ephemeral 在客内 ext4 根盘（2.4G、
已用 1.8G、可用 593M）上做整盘快照拷贝，空间不够即 ENOSPC，
全部 cell 调用失败（每次约 10.5s veth 超时后 rc=1）。改
--volatile=yes：根为基本空的 tmpfs、/usr 只读挂进，单元内除
bind 出去的目录外一律可写、用完即弃——与 --ephemeral 的设计
意图一致，但不拷盘、不占空间（systemd-nspawn 手册口径）。
--volatile=state 不行：整树只读、仅 /var 为 tmpfs，codex 写
$HOME/.cache 等非 bind 路径会失败。探针已证实 yes/state 均可
启动（0.4s，rc=0），取 yes 保可写性；真机 codex 入 cell 由
第二轮复测验证。测试：CellArgvTest 断言新值、--ephemeral
不再出现。
|
2026-11-07 05:24:30 +00:00 |
|
|
host
|
e02828c590
|
fix(chv-muse-r11fix): nspawn 255 拒裸 --no-new-privileges 与 --directory=/（缺陷 2）
systemd 255 把裸 --no-new-privileges 当作带必填参数的选项，吞掉
下一个参数后报错（p2.log 实测）；--directory=/ 也被拒，须
--ephemeral 或 --volatile。改 --no-new-privileges=yes，
--directory=/ 后加 --ephemeral：根快照 + overlay，单元内除 bind
出去的目录外一律可写、用完即弃，与 P2 共享客机 rootfs 设计一致；
--volatile 会把根置只读，codex 写 $HOME 下非 bind 路径会失败。
测试：CellArgvTest 断言新值、裸值不再出现。
|
2026-11-07 03:52:34 +00:00 |
|
|
host
|
c61484aa68
|
feat(chv-guest): 对齐 Muse P2——nspawn 单元 + broker + 浏览器子代理
- chv-cell：systemd-nspawn 单命令单元，--private-users=1000:65536
（单元 root → 客机 chv），丢 8 项能力（含 SYS_PTRACE/NET_ADMIN），
syscall 过滤扣 io_uring，遮蔽 /etc/chv 与 playwright，
--network-veth（10.200.0.0/24 + NAT），白名单环境透传
- chv-broker：Unix socket + SO_PEERCRED（uid 范围 + pid ns 对照），
白名单 ping/sync/browser；sync 只调 chv-sync（runuser -u chv）
- chv-browser：单元外独立进程，只暴露 open/snapshot/screenshot/
close/ping，返回无障碍树快照（截断）；evaluate/content 拒绝
- build.sh：装 systemd-container/iproute2/iptables，拷入三脚本，
建 chv-browser 用户与两个 systemd 单元；vsock_notify 条件拷入
- buildinfo：内容项加 P2 四项，支持可选 extra_contents
- 测试：cloud/tests/test_chv_muse_p2.py 40 项全过；broker/browser
真实 socket 回路冒烟通过（root 连 broker 被拒）
- 差距表：docs/chv-muse-p2-gap.md；真机验证待测试机空闲（round 11）
本地做，不推、不合、不部署
|
2026-11-06 20:53:15 +00:00 |
|