codex-app-server

446 Commits 9 Branches 0 Tags

2 Commits

Include renames

Author	SHA1	Message	Date
host	81e4eaf4db	feat(chv): 对齐 Muse P6 privsep worker + 确定性安全检查层 - cloud/chv/privsep.py（新）：Gitea worker 注册表（凭证白名单只含 GITEA_TOKEN）+ 类型化请求/响应（request_id 绑定、64KB 上限）+ Unix socket 客户端（超时/崩溃 -> 类型化失败 WorkerRefusal）+ 客户端白名单校验 - cloud/chv/safety.py（新）：UntrustedData 来源标记 + InjectionScanner 确定性规则（block/flag/allow，中英）+ redact_secrets + AuditLogger（只记指纹，不记值）+ audit_inference_request/response - chv-guest/chv-gitea-worker.py + .service（新）：systemd 沙箱化 worker（SO_PEERCRED 只放 root，仓限 ~/workspace，git 只配 authd helper，绝不持 token；输出先扫描再返回） - chv-guest/chv-sync-worker-client.py（新）：agent 侧薄 CLI - chv-guest/chv-sync.sh：pull/push/status 有 socket 时走 worker，否则旧路径 + stderr 警告（过渡兼容） - cloud/chv/executor.py：_run_guest 前后加推理边界审计钩子（best-effort） - docs/chv-muse-p6-gap.md（新）：差距表 + 覆盖边界 + 真机待验证清单 - docs/chv-production-readiness.md：§15 - cloud/tests/test_chv_muse_p6.py（新）：43 项测试：新测试 43/43；全量 cloud 套件 1910 OK（skipped=9）；mypy 在新增文件上干净（剩余 4 处为基线旧错 executor.py:1396/1401、 marker_tools.py:142，未动）。真机验证：未做，排队在 round-11 之后，清单见 docs/chv-muse-p6-gap.md §4。	2026-11-06 22:31:54 +00:00
host	4d09518338	feat(chv-guest): 轻量镜像 + Gitea 双向同步（停全量版，改 Ubuntu Minimal） - build.sh 改轻量：Ubuntu Minimal 底座、apt 精简（git/ssh/cloud-init/ python3/pip/curl/ca-certificates/xz-utils/fonts-wqy-microhei）、 Playwright + chromium-headless-shell、去 B-16 +12G 扩盘；加 git + gt 1.0.0（官方 install.sh + SHA256 校验，GITEA_CLI_VERSION 钉 1.0.0）与 chv-sync 启动钩子（cloud-init runcmd） - B-19（新发现）：dpkg freeze 的 ${Package} 会被客机 shell 展开成空，284 行全空白；加反斜杠转义，探针实测已出真实版本 - buildinfo.py：轻量 contents、chromium-headless-shell、gt_version - generate/check_lockfile.py：gt/chv-sync 声明来源、headless-shell 映射 - chv-sync.sh（新）：boot/pull/push/status，分叉/脏树失败关闭，凭证走 seed 盘 guest-env，不进镜像 - README §1/§2/§3/§4 改轻量口径，新增 §7 Gitea 双向同步 - tests：ChvSyncTest 6 项（本地 bare 仓当远端）；针对性测试 144 项全过	2026-11-06 09:47:54 +00:00

Author

SHA1

Message

Date

host

81e4eaf4db

feat(chv): 对齐 Muse P6 privsep worker + 确定性安全检查层

- cloud/chv/privsep.py（新）：Gitea worker 注册表（凭证白名单只含
  GITEA_TOKEN）+ 类型化请求/响应（request_id 绑定、64KB 上限）+
  Unix socket 客户端（超时/崩溃 -> 类型化失败 WorkerRefusal）+
  客户端白名单校验
- cloud/chv/safety.py（新）：UntrustedData 来源标记 +
  InjectionScanner 确定性规则（block/flag/allow，中英）+
  redact_secrets + AuditLogger（只记指纹，不记值）+
  audit_inference_request/response
- chv-guest/chv-gitea-worker.py + .service（新）：systemd 沙箱化
  worker（SO_PEERCRED 只放 root，仓限 ~/workspace，git 只配 authd
  helper，绝不持 token；输出先扫描再返回）
- chv-guest/chv-sync-worker-client.py（新）：agent 侧薄 CLI
- chv-guest/chv-sync.sh：pull/push/status 有 socket 时走 worker，
  否则旧路径 + stderr 警告（过渡兼容）
- cloud/chv/executor.py：_run_guest 前后加推理边界审计钩子
  （best-effort）
- docs/chv-muse-p6-gap.md（新）：差距表 + 覆盖边界 + 真机待验证清单
- docs/chv-production-readiness.md：§15
- cloud/tests/test_chv_muse_p6.py（新）：43 项

测试：新测试 43/43；全量 cloud 套件 1910 OK（skipped=9）；mypy
在新增文件上干净（剩余 4 处为基线旧错 executor.py:1396/1401、
marker_tools.py:142，未动）。
真机验证：未做，排队在 round-11 之后，清单见
docs/chv-muse-p6-gap.md §4。

2026-11-06 22:31:54 +00:00

host

4d09518338

feat(chv-guest): 轻量镜像 + Gitea 双向同步（停全量版，改 Ubuntu Minimal）

- build.sh 改轻量：Ubuntu Minimal 底座、apt 精简（git/ssh/cloud-init/
  python3/pip/curl/ca-certificates/xz-utils/fonts-wqy-microhei）、
  Playwright + chromium-headless-shell、去 B-16 +12G 扩盘；
  加 git + gt 1.0.0（官方 install.sh + SHA256 校验，GITEA_CLI_VERSION
  钉 1.0.0）与 chv-sync 启动钩子（cloud-init runcmd）
- B-19（新发现）：dpkg freeze 的 ${Package} 会被客机 shell 展开
  成空，284 行全空白；加反斜杠转义，探针实测已出真实版本
- buildinfo.py：轻量 contents、chromium-headless-shell、gt_version
- generate/check_lockfile.py：gt/chv-sync 声明来源、headless-shell 映射
- chv-sync.sh（新）：boot/pull/push/status，分叉/脏树失败关闭，
  凭证走 seed 盘 guest-env，不进镜像
- README §1/§2/§3/§4 改轻量口径，新增 §7 Gitea 双向同步
- tests：ChvSyncTest 6 项（本地 bare 仓当远端）；针对性测试 144 项全过

2026-11-06 09:47:54 +00:00