 host
|
baf26beb78
|
feat(chv): 安全审计修复 High/Medium/Low（堆叠于 #239）
审计报告 ~/workspace/chv-security-audit/REPORT.md（No-Go，
Critical 0 / High 7 / Medium 8 / Low 5）代码层修复，mock
测试覆盖，真机动态验证一律未做、只列清单（见
docs/chv-production-readiness.md §11）。
High：
- H1 egress 代码门：代理地址校验、直连显式允许+审计、
每 VM 独立 tap/mac/ip 校验、net 字段白名单；宿主防火墙
列为部署清单，代码门+防火墙缺一不可。
- H2 网关 key 移出 argv：provisioned seed 盘客内文件
/etc/chv/guest-env（0600）投递，传输层密钥进 argv 直接
ValueError；keyscan 模式密钥投递 fail-closed。
- H3 任务盘删除：stop/recycle/cleanup 删 disk.raw（保留期
0）+ 残留盘 GC，删失败审计+脏标记。
- H4 默认值改 provisioned：keyscan 只作显式 opt-in。
- H5 seed.iso 生成即 0600；宿主私钥 seed 盘建好后即删；
崩溃残留扫描 cleanup_stale_secrets。
- H6 state_dir 默认出 /tmp（~/.local/share/.../chv-vms，
preflight 保 0700）；api-socket 组/其它可写即 fail-fast。
- H7 tap 隔离校验：net.json 登记+stop 释放，共享即拒绝审计。
Medium：M1 shlex 远程转义；M2 清理失败即拒起（脏标记）；
M3 配额默认 50GB + 快照数/总量/保留期上限；M4 SHA256 必填
+ BUILDINFO versions 实测记录（事前 lockfile 列清单）；
M5 host key/ preflight/失败审计补齐；M6 reuse 须声明单租户
项目；M7 容量计数只认连通 socket；M8 sshd 加固进 build.sh
断言。Low：L1 链接不跟随；L2 路径白名单；L3 失败审计；
L4 双变量警告+字段白名单；L5 预热盘/任务盘对应关系定义。
旧测试：实验室默认值与生产默认值区分标注；行为已变的旧
测试按新语义更新（容量死 socket、快照白名单、磁盘路径
白名单、网关 argv、reuse 租户声明）。
测试：新 test_chv_secfix 39 项；旧 117 项 + 2 项新增断言 =
158 项；worker 相关 129 项；前端 vitest 9 项；cloud 全量
1588 项（skipped 4）。
|
2026-10-31 03:02:10 +00:00 |
|
|
host
|
445376743d
|
feat: CHV 审核修复 P2（范围恢复为全做）
P2-1：preflight reuse/CPU/内存校验块小提取为
_preflight_config_checks（纯移动，深耦合处如实停）。
P2-2：build_vm_command 降级为私有 _build_vm_command；
Docker goal 内联解析顶部加正典分叉说明 + 同步检查清单。
P2-3：gaps grep 文本断言改成真实 Worker._run_attempt
行为断言。P2-4：README/build.sh 口径对齐（章节顺序、
BUILDINFO 名字列表、Node.js 不装写实）。P2-5：stop_vm
删除失败记审计。P2-6：CPU/内存校验统一进 preflight。
测试：原 84 + 新增 33 = 117 项，mock，无真 VM。
|
2026-10-31 02:01:03 +00:00 |
|
|
host
|
9771ed9e8c
|
feat: CHV 审核修复（P0+P1，堆叠于 #230）
P0：seed 磁盘 CIDATA ISO 挂进 VmConfig 第二块只读盘；
restore provisioned 下复用钉死 known_hosts、缺失 fail-fast
绝不 keyscan；preflight 拦截 CHV_DISK_MODE=reuse（显式
实验二次确认 + 审计放行）；SSH 目标选客机 IP 方案（显式
host > net 静态 ip > 显式转发宣称回环，三者皆无 fail-fast）。
P1：网关 extra_env 经 SSH env 前缀注入、worker 守卫收窄到
Local/CHV；取消/清理/看门狗接 CHV 通用路径；WarmPool
acquire 内 resume；容量门持久化计数；磁盘配额总量+余量
与已存在磁盘校验重拷；API 按 Content-Length 验完整性；
快照 file:// 验落盘再 shutdown；execute 死端口归类
vm_not_running。
P2 全部排除未做（用户范围收窄令，留待以后一轨）。
测试：原 84 + 新增 29 = 113 项，mock，无真 VM。
|
2026-10-31 01:54:13 +00:00 |
|
|
host
|
fde7bf4c3e
|
feat: CHV 执行器优化（拆模块/去重复/SSH 钉死/池持久化/中途死亡分类）
- 拆模块：CHV 从 cloud/sandbox.py 巨类拆到 cloud/chv/（executor/
pool/config/api_client/ssh_transport/disk/errors），sandbox 只留
兼容 re-export，旧导入路径与新路径是同一对象
- 去重复：goal 解析、host 顶层参数、runner 超时抽成共享 helper，
Local 与 CHV 在矩阵输入下结论全等（Docker goal-resume 变体
有意保留内联版，见 PR 描述）
- 安全：SSH host key 按 VM 钉死（state_dir/<vm>/known_hosts，
ssh-keyscan 首次捕获 TOFU），废除 no + /dev/null；CHV_SSH_USER
空串与 CHV_SSH_PORT 越界直接拒绝，不静默 fallback
- execute 语义：只读已运行 VM，未运行报 vm_not_running，不为
status 起 VM
- 预热池：registry 落盘、重启载入只当孤儿、reconcile 清理、
损坏 quarantine；条目仍一次性，绝不复用脏 VM
- 长任务：VM 中途死亡判 interrupted（断点可续跑）；中途心跳
经评估不做（无客内进度信号可采）
- #215 未合并：只列复用清单，不复制模块
测试：原 42 项 + 新 24 项全过；相关旧套件与 cloud 全量 1496 项
全过（skipped=4）。验证仍是 mock + 干跑 + 单元测试，未做真机、
压测、安全审计；堆叠于 #216 之上，base 为 feat-cloud-hypervisor。
|
2026-10-30 19:45:33 +00:00 |
|
|
host
|
c371bbdf1e
|
feat: Cloud Hypervisor 执行器生产级 v1（cloud-hypervisor）
单任务单 VM：API 唤醒（preflight→vmm.ping→vm.create→vm.boot→SSH 就绪）、
暂停/快照/休眠等价/关闭/回收、预热快照池、每任务磁盘 copy、容量与磁盘配额门、
受控 egress fail-closed、VM 事件审计与分类失败；worker/server/autoscaler 接线
（executor=cloud-hypervisor，任务内 LLM 不可自选）；默认关闭，不进生产路由。
未做真实 VM 验证：生产主机与本 VM 均无 /dev/kvm、无嵌套虚拟化，验证为 mock +
干跑命令 + 单元测试；真 VM、快照恢复、压测、安全审计见
docs/chv-production-readiness.md。CI 账单故障仍是硬门禁，本提交只到 PR OPEN。
|
2026-10-30 18:54:16 +00:00 |
|