 host
|
e02828c590
|
fix(chv-muse-r11fix): nspawn 255 拒裸 --no-new-privileges 与 --directory=/（缺陷 2）
systemd 255 把裸 --no-new-privileges 当作带必填参数的选项，吞掉
下一个参数后报错（p2.log 实测）；--directory=/ 也被拒，须
--ephemeral 或 --volatile。改 --no-new-privileges=yes，
--directory=/ 后加 --ephemeral：根快照 + overlay，单元内除 bind
出去的目录外一律可写、用完即弃，与 P2 共享客机 rootfs 设计一致；
--volatile 会把根置只读，codex 写 $HOME 下非 bind 路径会失败。
测试：CellArgvTest 断言新值、裸值不再出现。
|
2026-11-07 03:52:34 +00:00 |
|
|
chv
|
29d3a5a474
|
feat(chv-muse-round11): build.sh 补 P3 authd 进镜像 + gt 脚本哈希轮换
- authd 三件套 copy-in（chv-guest/authd.py 与 git-credential-chv-authd
-> /usr/local/bin/ 并 chmod +x，chv-authd.service ->
/etc/systemd/system/），云端叶子模块 cloud/chv/authd.py 与
sentinel.py + 两个 __init__.py -> /usr/local/lib/chv-authd/，
systemctl enable chv-authd；99-chv-sync.cfg runcmd 在 chv-sync
boot 之前加 systemctl start chv-authd；缺件即 fail-fast
- buildinfo BASE_CONTENTS 登记新增件；P2 干跑夹具补 P3 文件并断言
authd 步骤出现在干跑输出里
- GT_INSTALL_SH_SHA256 cf82... -> 49ffe090...：上游 2026-11-07
06:44 轮换，V-9 已核实（WSL fresh curl 与失败镜像内残留逐字节
一致；新脚本全文已读，只从 dl.gitea.com 取 1.0.0 二进制并验 hash）
- vsock_notify 条件拷入在合入后生效（cloud/chv/guest/vsock_notify.py
已在仓里，干跑不再报缺失警告）
- 定向单测 P1/P2/P3/chv_fix 172 项全过；全量套件仍在跑
|
2026-11-06 23:08:40 +00:00 |
|
|
host
|
c61484aa68
|
feat(chv-guest): 对齐 Muse P2——nspawn 单元 + broker + 浏览器子代理
- chv-cell：systemd-nspawn 单命令单元，--private-users=1000:65536
（单元 root → 客机 chv），丢 8 项能力（含 SYS_PTRACE/NET_ADMIN），
syscall 过滤扣 io_uring，遮蔽 /etc/chv 与 playwright，
--network-veth（10.200.0.0/24 + NAT），白名单环境透传
- chv-broker：Unix socket + SO_PEERCRED（uid 范围 + pid ns 对照），
白名单 ping/sync/browser；sync 只调 chv-sync（runuser -u chv）
- chv-browser：单元外独立进程，只暴露 open/snapshot/screenshot/
close/ping，返回无障碍树快照（截断）；evaluate/content 拒绝
- build.sh：装 systemd-container/iproute2/iptables，拷入三脚本，
建 chv-browser 用户与两个 systemd 单元；vsock_notify 条件拷入
- buildinfo：内容项加 P2 四项，支持可选 extra_contents
- 测试：cloud/tests/test_chv_muse_p2.py 40 项全过；broker/browser
真实 socket 回路冒烟通过（root 连 broker 被拒）
- 差距表：docs/chv-muse-p2-gap.md；真机验证待测试机空闲（round 11）
本地做，不推、不合、不部署
|
2026-11-06 20:53:15 +00:00 |
|