 host
|
7c517f7fcc
|
fix(chv-muse-r12fix2-2): chv-sync 回落显性化：警告 + 每回落一行审计（P6-2）
R12 复测：worker 226 期间 chv-sync 全程静默走直接路径回落，pull/
push/status 表面 rc=0，privsep/safety 一行没跑——回落只有一句 stderr
警告，无事后可数的痕。本提交让一次回落留两处痕：stderr 警告保留
“worker 不在”标记（措辞加“未走 worker，privsep 未生效”，供驱动
识别）+ 追加一行 JSON 审计到
$USER_HOME/.chv-sync-fallback-audit.log（CHV_SYNC_FALLBACK_LOG 可改
位置；事件/动作/仓/时间戳，delegated_to_worker=false、
privsep_active=false）。审计写失败只记 stderr，绝不中断同步（与
worker _audit 同款口径）。gap 文档诚实边界第 4 条同步更新。
取舍：不改 fail-closed，仍是 fail-open。理由：旧镜像（无 worker）
须仍能同步，改 fail-closed 会把所有旧镜像的同步当场 brick，且无
镜像外恢复手段；本轮项 1 已让新镜像的 worker 开机即起，回落只在
worker 真挂 / 旧镜像时发生，不再是常态路径。旧镜像退役后改为无
worker 即 fail-closed（原定方向不变，见 chv-sync.sh 头注）。
测试：ChvSyncDelegationTest 新增——回落审计一行 JSON（字段全）、
两次回落两行、审计落盘失败不中断同步；走 worker 时不留回落审计
（反向对照）。
|
2026-11-08 06:01:54 +00:00 |
|
|
host
|
9da74c2a78
|
merge(chv-muse-round12): 合入 round-11 修复轮 HEAD 50cae2a (RETEST6 全绿)
按 hunk 合入，不整文件覆盖。冲突 3 处：
- chv-guest/build.sh：取 P4 的 copy-in（cdp-broker/guard/blocklist/
chv-memory）+ cdp-broker service/enable 三件；取 R11 的 git
config（去掉 credential.helper store，层 5）；tmpfiles 两边
并存（/run/chv/ask-queue + /run/chv-browser）。
- chv-guest/chv-browser.py：P4 架构保留（CDP broker 客户端 +
guard 模块）；取 R11 两处仍适用的运行期修复：BROWSER_SOCK
移进 /run/chv-browser（缺陷 4，合入后的 broker 已指该路径）
与 handle_request 认 op=browser/action 透传；R11 的直连
Playwright 代码（validate_url/truncate_aria/_load_playwright/
_page snapshot）由 P4 取代，不带回。
- cloud/tests/test_chv_muse_p2.py：truncate 三测取 P4 的
GUARD.truncate_a11y（dict 树）；FakeCdpBroker 取 P4 版，删
R11 的 FakePage 系列；干跑夹具取 R11 的 _fixture 调用，并
给 _fixture 补 P4 四件（否则合入后 build.sh fail-fast）。
合入内移植（R11 修复在 P4 里移了位置，不移植即静默丢失）：
- chv-guest/chv-cdp-broker.py：_load_playwright 返回
sync_playwright()（原 R11 在 chv-browser.py 修过的同形
bug）；回归测试由 test_p2 移植到 test_chv_muse_p4.py。
- test_chv_muse_p2.py：HOST 由模块级 eager 改懒加载（_host()）：
host.py 顶层 import queue 会把 stdlib queue 缓进 sys.modules，
使同进程后加载的 test_queue_sandbox 取不到 cloud/queue.py
遮蔽而 ImportError（全量唯一失败）。
未移植（见报告）：R11 的 Page.aria_snapshot() 纠正未进
chv-cdp-broker.py（仍调 accessibility.snapshot()，且 guard
的 dict 树 API 须配套改，属 P4 返工，不在本轮合入做）。
全量 cloud 套件：2522 tests OK (skipped=10)，基线 a6f9597
为 2474 OK (skipped=12)；+48 来自 R11 新增测试（p2 +36、
p3 +7、closeup +3、gaps +1、p4 +1 移植）。
|
2026-11-07 18:13:31 +00:00 |
|
|
host
|
f093558c0d
|
fix(chv-muse-r11fix): authd 层 5 去掉 store helper，chv-sync 回落改 fail-closed
round-11 真机测试证实：镜像 /etc/gitconfig 的 [credential]
helper = store 把 authd 释放的长效 token 写进了客内
/home/chv/.git-credentials（0600）。改动：build.sh 不再设
store helper；chv-sync boot 在 authd socket/helper 缺失时直接
die，不再把 token 写进 .git-credentials（旧落盘回落废止）；
authd helper 是唯一凭证 helper，且自身绝不落盘。旧镜像上 boot
现在会直接失败，须用含 authd 的新镜像。测试：无 authd 时 boot
失败且 .git-credentials 不产生、干跑不再含 store helper；P3
差距表 §3.5 更新为已关闭。
|
2026-11-07 04:00:04 +00:00 |
|
|
host
|
b0b9f5ed9d
|
merge(chv-muse-round12): 合入 P6 privsep worker + 确定性安全检查层 (81e4eaf)
唯一冲突是文档 §15 撞号：P6 一节顺延为 §17，基线说明更新
（P3 已在树里，接线走真实代码）。chv-sync.sh 自动合入正确：
P6 的 worker 路径与 P3 的 authd 路径（useHttpPath）都在。
P6 测试 43 项全过（skipped=1 是 root 下 uid 否定测试）。
|
2026-11-07 00:02:22 +00:00 |
|
|
host
|
81e4eaf4db
|
feat(chv): 对齐 Muse P6 privsep worker + 确定性安全检查层
- cloud/chv/privsep.py（新）：Gitea worker 注册表（凭证白名单只含
GITEA_TOKEN）+ 类型化请求/响应（request_id 绑定、64KB 上限）+
Unix socket 客户端（超时/崩溃 -> 类型化失败 WorkerRefusal）+
客户端白名单校验
- cloud/chv/safety.py（新）：UntrustedData 来源标记 +
InjectionScanner 确定性规则（block/flag/allow，中英）+
redact_secrets + AuditLogger（只记指纹，不记值）+
audit_inference_request/response
- chv-guest/chv-gitea-worker.py + .service（新）：systemd 沙箱化
worker（SO_PEERCRED 只放 root，仓限 ~/workspace，git 只配 authd
helper，绝不持 token；输出先扫描再返回）
- chv-guest/chv-sync-worker-client.py（新）：agent 侧薄 CLI
- chv-guest/chv-sync.sh：pull/push/status 有 socket 时走 worker，
否则旧路径 + stderr 警告（过渡兼容）
- cloud/chv/executor.py：_run_guest 前后加推理边界审计钩子
（best-effort）
- docs/chv-muse-p6-gap.md（新）：差距表 + 覆盖边界 + 真机待验证清单
- docs/chv-production-readiness.md：§15
- cloud/tests/test_chv_muse_p6.py（新）：43 项
测试：新测试 43/43；全量 cloud 套件 1910 OK（skipped=9）；mypy
在新增文件上干净（剩余 4 处为基线旧错 executor.py:1396/1401、
marker_tools.py:142，未动）。
真机验证：未做，排队在 round-11 之后，清单见
docs/chv-muse-p6-gap.md §4。
|
2026-11-06 22:31:54 +00:00 |
|
|
host
|
a90cf78d84
|
feat(chv): 对齐 Muse P3 收尾——authd 替身凭证 + Sentinel 出口审批
- 新测试 cloud/tests/test_chv_muse_p3.py 30 项：替身过期、真 token
泄露面、SSRF 挡截、deny/ask 路径、authd-seed 拆分、wake 预审、
客内 authd 守护进程、git credential helper 端到端（真 git fill）
- 8 个旧测试按新 authd 行为改写（未删测试、未放宽断言）：
GITEA_TOKEN 改走 authd-seed，build_ssh_command 不再 source 进
codex 环境；wake 测试补 Sentinel 白名单 + 假解析器
- 7 处超 50 行函数拆到 50 行内（不改行为）；补 authd/sentinel
公共 API 注解，mypy 在改动文件上干净
- 真问题修复：git 默认不把 path 发给 helper，chv-sync boot 加
credential.useHttpPath=true，否则 authd 路径每次都拒绝
- 全量 cloud 套件 1897 项 OK（skipped=8）
真机待验证（未做，等第三棒让出 WSL 测试机）：见
docs/chv-muse-p3-gap.md §3.6 清单
|
2026-11-06 21:21:55 +00:00 |
|
|
host
|
4d09518338
|
feat(chv-guest): 轻量镜像 + Gitea 双向同步（停全量版，改 Ubuntu Minimal）
- build.sh 改轻量：Ubuntu Minimal 底座、apt 精简（git/ssh/cloud-init/
python3/pip/curl/ca-certificates/xz-utils/fonts-wqy-microhei）、
Playwright + chromium-headless-shell、去 B-16 +12G 扩盘；
加 git + gt 1.0.0（官方 install.sh + SHA256 校验，GITEA_CLI_VERSION
钉 1.0.0）与 chv-sync 启动钩子（cloud-init runcmd）
- B-19（新发现）：dpkg freeze 的 ${Package} 会被客机 shell 展开
成空，284 行全空白；加反斜杠转义，探针实测已出真实版本
- buildinfo.py：轻量 contents、chromium-headless-shell、gt_version
- generate/check_lockfile.py：gt/chv-sync 声明来源、headless-shell 映射
- chv-sync.sh（新）：boot/pull/push/status，分叉/脏树失败关闭，
凭证走 seed 盘 guest-env，不进镜像
- README §1/§2/§3/§4 改轻量口径，新增 §7 Gitea 双向同步
- tests：ChvSyncTest 6 项（本地 bare 仓当远端）；针对性测试 144 项全过
|
2026-11-06 09:47:54 +00:00 |
|