 host
|
99d9e5771b
|
merge(chv-hybrid): 合入 B 轨——租约 + 排队 + 升级提示 + 网关门
合入 feat-chv-hybrid-b (667a427)。executor.py 两处内容冲突按 hunk
解决，全部取 B 侧；合入时发现 merge 复制出第二个 suspend_after_task
定义（A 版截断体），已删除。
集成统一（A/B 语义冲突三处，设计 §4.1 的 state 模型为准）：
- state 模型：A 的 flag 模型（resident: True + legacy state）与 B
的 state 模型（state ∈ resident-active/paused/hibernated/demoted）
统一为 state 模型；_mark_resident_record 标记常驻时同时置
resident-active，_ensure_resident_capacity 同时认 flag 与 state。
- 容量等待：A 的 bool 版 _wait_for_capacity 改名 _poll_capacity，
B 的 raise 版保留原名；_wait_for_resident_slot 豁免已有常驻登记
的租户（它已占一个槽位，再等等于把自己的槽位算成满——A 轨
test_resident_cap_blocks_new_resident 第二腿在合入时因此失败，
已修并通过）。
- 档位大小写：A 用小写 paid/heavy，B 用 Paid/Heavy；比较一律走
_norm_tier + HYBRID_RESIDENT_TIERS（resident_tier_eligible 与
promote_to_resident 两处），fail-closed 语义不变。
- 严格快照校验翻为默认开启（设计 §2.2）：_snapshot_strict_tenant
默认 True，显式 CHV_SNAPSHOT_STRICT_TENANT=0 才关闭；旧恢复
测试的 fixture 已登记带匹配 tenant 的快照，A 轨 legacy 测试改
为显式 opt-out 覆盖。
生产接线：worker 只调 dispatch_task，dispatch_task_hybrid 在生产
路径上无调用方；dispatch_task 顶部加一道门，warm_pool_size>=1 时
走 dispatch_task_hybrid，==0 时保持旧冷启语义（不成环：hybrid 的
<=0 分支退化为 dispatch_task_persistent，后者 <=0 调回 dispatch_task）。
旧网关测试更新（B 的语义变更）：test_worker_gateway_guard_allows_chv
前加常驻登记；新增 test_worker_gateway_guard_denies_pool_vm。
测试：test_chv_hybrid_a/b 64 项 + 受影响旧测试 16 项（Gateway、
RestoreNoFallback、RestoreSnapshotTest）全部通过；全量待跑。
|
2026-11-08 22:00:12 +00:00 |
|
|
host
|
f809014bef
|
feat(chv): 阶段 1 数据盘与 tenant 标记同 overlay 解耦（copy 也供）
真机根因（2026-11-07，CHV v54 三变体实证）：vm.boot 对任何
带 backing file 的 qcow2 都报 Maximum disk nesting depth
exceeded——overlay-only 与 overlay-rawbase 均 500，base 直接
启动（reuse）22.5 秒成功，数据盘与压缩均已排除。overlay 在
本 VMM 上不可用，持久 VM 须能在 copy 模式下跑。
- _provision_task_disk：copy 与 overlay 都供数据盘并写
tenant.json（只有 reuse 不供不写）；_provision_data_disk_path
同理（reuse 才返回 None）。
- _cleanup_vm_task_disk：保护（持久登记/登记快照）不再只限
overlay 模式；无登记无快照的 copy 盘仍按旧语义删除。
- provision_data_disk：数据盘改 raw 稀疏盘（os.truncate，
零外部依赖）——copy 模式本来就不需要 qemu-img，数据盘
绝不能悄悄加上这个依赖；CHV 按后缀认 Raw。
- 测试：新增 copy 供数据盘+tenant 与 copy 持久盘 stop 保护；
VmConfig 三盘断言（任务+seed+数据）更新 arch95/fix 两处
旧“恰好两盘”契约与本轨 qcow2 类型断言。
回归：test_chv_*.py、test_cloud_hypervisor.py 42、test_chv_v3_fixes
38 全过（全量 cloud/tests 在跑）。
不推、不合、不部署；只本地分支。
|
2026-11-08 09:45:00 +00:00 |
|
|
host
|
82e4150e24
|
fix(chv): CHV 54 VmConfig 形态——payload.kernel/cmdline 纯字符串 + 磁盘显式 image_type Raw
真机 CHV 54.0.0 实测：旧顶层 kernel:{path}/cmdline:{args}
create 时 204 照放、vm.boot 400 'No bootitem provided'；
补 payload 后又报 'Image type required for disk'（raw 盘
无魔数、探测失败），磁盘须显式 image_type，枚举原名
Raw（JSON 写小写 raw 报 unknown variant）。
|
2026-11-08 09:44:59 +00:00 |
|
|
host
|
4fa94edd9b
|
feat(chv): 架构/可维护性/前端只读侧推进——生产实验分离、配置片段化、VM 只读展示
架构：WarmPool 从 cloud/chv/pool.py 移到 experimental_pool.py，
生产残留清理彻底分文件到 cloud/chv/orphans.py（facade 直接读
registry 文件清理，不构造池、不碰 prewarm/acquire/release）；
cloud/chv 与 cloud/sandbox 不再导出 WarmPool，旧路径一律
ImportError（CHV 未合并、无生产用户，兼容保留已无保留理由）；
worker 改走 orphans facade，不再持有 _warm_pool；#215 对齐从
接口形状推进到 REPLACEMENT_POINTS 替换清单（R1/R2 可机械替换、
R3 永不替换，#215 模块当前不存在由测试钉住）。
可维护性：build_chv_config 拆成 base/ssh/network/quota/disk/
timeout 六片段（组装只做 dict 合并，键冲突即报错；38 字段集
与取值不变，单项非法报错文案逐字一致）；ADR-12 模块职责图
与禁 import 清单（AST 钉住）；cloud/chv/ 公开 API 全量类型
标注、无 Any 逃逸，并修正三处旧标注错误；死代码扫一遍
（删实验池已无调用的 _quarantine 委托与未用 _LOGGER）。
前端（只读侧，不做控制按钮）：chv.ts 新增纯逻辑谓词与文案
（执行器精确匹配、附件守卫、VM 状态文案、列表徽标）；列表
行新增 VM 已报告死亡徽标；详情对全部 CHV 任务显示 VM 行
（已报告死亡/未报告死亡，不猜 live）；WorkersSection 与成本
卡沿用已有数据，不新开池管理/成本页；服务端未新增第二个
生命周期字段（持久化事实只有三项，chv_vm_dead 已是完整派生），
只把派生抽成 _chv_vm_dead_from_row 并补 goal 回落形态测试。
|
2026-11-08 09:44:34 +00:00 |
|
|
host
|
6a74d0182c
|
feat(chv): 安全审计修复 High/Medium/Low（堆叠于 #239）
审计报告 ~/workspace/chv-security-audit/REPORT.md（No-Go，
Critical 0 / High 7 / Medium 8 / Low 5）代码层修复，mock
测试覆盖，真机动态验证一律未做、只列清单（见
docs/chv-production-readiness.md §11）。
High：
- H1 egress 代码门：代理地址校验、直连显式允许+审计、
每 VM 独立 tap/mac/ip 校验、net 字段白名单；宿主防火墙
列为部署清单，代码门+防火墙缺一不可。
- H2 网关 key 移出 argv：provisioned seed 盘客内文件
/etc/chv/guest-env（0600）投递，传输层密钥进 argv 直接
ValueError；keyscan 模式密钥投递 fail-closed。
- H3 任务盘删除：stop/recycle/cleanup 删 disk.raw（保留期
0）+ 残留盘 GC，删失败审计+脏标记。
- H4 默认值改 provisioned：keyscan 只作显式 opt-in。
- H5 seed.iso 生成即 0600；宿主私钥 seed 盘建好后即删；
崩溃残留扫描 cleanup_stale_secrets。
- H6 state_dir 默认出 /tmp（~/.local/share/.../chv-vms，
preflight 保 0700）；api-socket 组/其它可写即 fail-fast。
- H7 tap 隔离校验：net.json 登记+stop 释放，共享即拒绝审计。
Medium：M1 shlex 远程转义；M2 清理失败即拒起（脏标记）；
M3 配额默认 50GB + 快照数/总量/保留期上限；M4 SHA256 必填
+ BUILDINFO versions 实测记录（事前 lockfile 列清单）；
M5 host key/ preflight/失败审计补齐；M6 reuse 须声明单租户
项目；M7 容量计数只认连通 socket；M8 sshd 加固进 build.sh
断言。Low：L1 链接不跟随；L2 路径白名单；L3 失败审计；
L4 双变量警告+字段白名单；L5 预热盘/任务盘对应关系定义。
旧测试：实验室默认值与生产默认值区分标注；行为已变的旧
测试按新语义更新（容量死 socket、快照白名单、磁盘路径
白名单、网关 argv、reuse 租户声明）。
测试：新 test_chv_secfix 39 项；旧 117 项 + 2 项新增断言 =
158 项；worker 相关 129 项；前端 vitest 9 项；cloud 全量
1588 项（skipped 4）。
|
2026-11-08 09:43:17 +00:00 |
|
|
host
|
7320d693ba
|
feat: CHV 审核修复 P2（范围恢复为全做）
P2-1：preflight reuse/CPU/内存校验块小提取为
_preflight_config_checks（纯移动，深耦合处如实停）。
P2-2：build_vm_command 降级为私有 _build_vm_command；
Docker goal 内联解析顶部加正典分叉说明 + 同步检查清单。
P2-3：gaps grep 文本断言改成真实 Worker._run_attempt
行为断言。P2-4：README/build.sh 口径对齐（章节顺序、
BUILDINFO 名字列表、Node.js 不装写实）。P2-5：stop_vm
删除失败记审计。P2-6：CPU/内存校验统一进 preflight。
测试：原 84 + 新增 33 = 117 项，mock，无真 VM。
|
2026-11-08 09:40:32 +00:00 |
|
|
host
|
7703695bad
|
feat: CHV 审核修复（P0+P1，堆叠于 #230）
P0：seed 磁盘 CIDATA ISO 挂进 VmConfig 第二块只读盘；
restore provisioned 下复用钉死 known_hosts、缺失 fail-fast
绝不 keyscan；preflight 拦截 CHV_DISK_MODE=reuse（显式
实验二次确认 + 审计放行）；SSH 目标选客机 IP 方案（显式
host > net 静态 ip > 显式转发宣称回环，三者皆无 fail-fast）。
P1：网关 extra_env 经 SSH env 前缀注入、worker 守卫收窄到
Local/CHV；取消/清理/看门狗接 CHV 通用路径；WarmPool
acquire 内 resume；容量门持久化计数；磁盘配额总量+余量
与已存在磁盘校验重拷；API 按 Content-Length 验完整性；
快照 file:// 验落盘再 shutdown；execute 死端口归类
vm_not_running。
P2 全部排除未做（用户范围收窄令，留待以后一轨）。
测试：原 84 + 新增 29 = 113 项，mock，无真 VM。
|
2026-11-08 09:40:32 +00:00 |
|