admin/codex-app-server
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
470 Commits 9 Branches 0 Tags
c4661b64dba381138fc645ee63ca2458e16d683d
Commit Graph
470 Commits
This Branch
This Branch
All Branches
Author SHA1 Message Date
host c4661b64db part 4 文档：P2 差距表补记三缺陷修复 
RETEST3 三个 cell 新缺陷的修复方向与实现位置记入 §6：
起步门 + init pid 轮询、volatile 空根只读绑（/app、CA、
单元专属 resolv.conf/hosts；不绑 nsswitch.conf 的原因）、
唯一身份分配 + broker 多 cell 对照、执行器记 body。
 2026-11-07 10:30:45 +00:00
host f20cbc79cd part 4 附带：vm.boot/vm.create 500 记响应体 
_boot_vm 只留 status 导致间歇 500 根因无法定位（两轮已提，
未改）。_api_call 的两个调用点现在都把响应体（截断到 500
字符单行）放进 ChvFailure 消息：vm_create_failed 与
vm_boot_failed 均含 status 与 body。body 是 VMM 的报错文本，
不含秘密；超长截断并标明。
新测试：test_wake_vm_boot_failed_records_body、
test_wake_vm_create_failed_records_body、
test_wake_vm_boot_failed_body_truncated。
 2026-11-07 10:30:45 +00:00
host 7a227323f2 part 4 缺陷 3：并发 cell 撞毁——唯一身份 + run_cell 接线 
RETEST3 缺陷 3：固定 ve-chv-cell 名 + 固定 10.200.0.1/24，
第二个 cell 在 nspawn 建 veth 时即 File exists/Address
already assigned。
- CellNet + allocate_cell_net()：每次 run_cell 在 flock 锁下
  （/run/chv/.cell-alloc.lock，30 秒超时）分配唯一身份：
  machine chv-cell-<xx>（11 字符）、宿主 ve-chv-cell-<xx>
  （14 字符，接口名 15 字符上限内）、10.200.<xx>.0/24；
  扫描活接口 + 地址 + machinectl 在册名，避让注销滞后的下标。
- 配网命令表（host/cell/cleanup）与 build_nspawn_argv 接受
  net/cell_net 参数；None 时仍用旧常量（argv 子命令与旧测试）。
- run_cell 重写：分配身份 -> 生成专属文件 -> 起步门 payload
  -> 等 veth（20 秒）-> 宿主配网 -> 轮询 init pid（10 秒）
  -> 写 pid 文件 -> 单元内配网 -> 开门 -> 等退出码；
  nspawn 已死返回其退出码；finally 清 NAT/pid/专属文件。
  共享网络模式跳过门与身份（无配网可等）。
- broker：pid ns 对照改多 cell 版（peer_allowed_multi +
  _read_cell_pids：cell-<machine>.pid glob + 兼容旧 cell.pid；
  对端 ns 与任一活单元同 ns 即放行；残留 pid 文件只跳过，
  全部读不到才拒绝，不降级）。
新测试：CellAllocTest、CellPart4NetworkTest、
CellPart4ArgvTest（cell_net 两法）、BrokerMultiTest。
 2026-11-07 10:30:30 +00:00
host 2be69af92c part 4 缺陷 2：volatile 空根缺 /app 与 /etc 关键文件 
RETEST3 缺陷 2：--volatile=yes 下单元根是基本空的 tmpfs，
/app、/etc/resolv.conf、/etc/hosts、/etc/ssl/certs 全无，
执行器单元路径一律 ENOENT、DNS/TLS 不可用。
- build_nspawn_argv：固定只读绑 --bind-ro=/app 与
  --bind-ro=/etc/ssl/certs；新增 extra_ro_binds 参数
  （单元专属 resolv.conf/hosts 由 run_cell 传进来）。
- prepare_cell_files()：按客机有效 DNS 生成单元专属
  resolv.conf/hosts（/run/chv/resolv.conf.<machine>、
  hosts.<machine>，0644——单元 root 映射为客机 uid 1000，
  0600 的 root 文件单元内读不到；DNS/hosts 不含秘密）。
  客机 resolv.conf 可能是 systemd-resolved stub
  （127.0.0.53），单元内无 resolved，直接绑 stub 即 DNS
  全灭，故过滤 stub 后备选 /run/systemd/resolve/resolv.conf，
  两处都没有即大声失败。nsswitch.conf 故意不绑（客机版
  可能含 resolve 模块；glibc 默认 files+dns 正是单元需要的）。
新测试：CellFilesTest、CellPart4ArgvTest（绑定两法）。
run_cell 接线在缺陷 3 的重写里做。
 2026-11-07 10:29:31 +00:00
host fc33eed262 part 4 缺陷 1：cell 启动竞态——起步门 + init pid 轮询 
RETEST3 缺陷 1：run_cell 里配网与 payload 零同步，快 payload
（run -- true）在配网完成前退出即撞墙，11 次只成 6 次。
本提交先落 helper（接线在缺陷 3 的 run_cell 重写里做）：
- gate_wrapper_command()：payload 包一层 sh 起步门，等
  /run/chv/.cell-gate-<machine> 出现再 exec（绝对路径
  /usr/bin/sh：volatile 单元根里 /bin 未必有）。
- find_cell_init_pid() 改带超时轮询（timeout 默认 0.0 = 单次，
  旧调用行为不变；缺目录不再直接回 None；proc_alive 回调让
  nspawn 已死时立刻回，不空等）。
新测试：CellGateTest、CellInitPidPollTest（5 个）。
 2026-11-07 10:29:13 +00:00
host 179a86d655 fix(chv-muse-r11fix): browser 快照改 Page.aria_snapshot()（复测新发现 2） 
Playwright 1.64.1 的 Page 根本没有 accessibility 属性（那是
Puppeteer 的 API），open/snapshot 在真实库上必报
'Page' object has no attribute 'accessibility'。原生快照是
Page.aria_snapshot()（返回 ARIA 快照字符串），a11y 字段仍叫
a11y，值改为字符串；截断改字符串版 truncate_aria（200 节点
行/64KB）。FakePage 同步改真形状（旧 fake 自带 .accessibility
与真实库分叉，是与 sync_playwright bug 同款模式）。
wheel 1.64.1 实测：sync_api/_generated.py 无 def accessibility，
Page 与 Locator 均有 aria_snapshot() -> str。
 2026-11-07 07:02:37 +00:00
host 581e850eb7 fix(chv-muse-r11fix): cell 只遮 /usr 下路径（复测新发现 1） 
--volatile=yes 下容器根是基本空的 tmpfs（只挂进只读 /usr），
nspawn 按容器根解析 --inaccessible 路径，/etc/chv 与
/home/chv/.git-credentials 在容器根里根本不存在，解析失败即
Failed to resolve 而起不来；两条 /usr 旗可解析，保留。
凭证文件按构造即不可达（容器根里无 /home、无 /etc/chv），
遮蔽不再是必须项，安全属性不变。
探针证据：celldiag2/3/4——去 inaccessible 后完整 argv 0.4s/rc=0，
单元内 $HOME/.cache 可写，单元内 ls /etc/chv 本来就不存在。
 2026-11-07 07:02:37 +00:00
host 04287f6053 fix(chv-muse-r11fix): chv-browser 补 sync_playwright 调用括号 + 接受 broker 的 browser op（复测新发现） 
复测（RETEST.md §browser-defect、§broker-proto）：
1. _load_playwright 返回裸 sync_playwright 函数（未调用），
_ensure_browser 对它调 __enter__ 即 AttributeError，open
永远失败。改返回 sync_playwright()（调用后的上下文管理器），
与单测假工厂的形状一致。回归测试用 stub 的 playwright 模块
钉住“返回调用结果、不是函数本身”。
2. broker 按设计原样转发 {op: browser, …}，chv-browser 白名单
却不认 browser。在 chv-browser 的 handle_request 里归一化：
内层 op 在 action 里；无 action 但带 url 时默认 open（驱动
只发 url）；action 同样受 FORBIDDEN_OPS 约束。broker 保持
原样转发不动（其 docstring 与单测均以此为契约）。
附：本提交含 test_chv_muse_p2.py 里 CellArgvTest 的配套更新
（c1d00b3 的 --volatile=yes 断言，同文件无法拆分提交）。
 2026-11-07 05:24:42 +00:00
host c1d00b3620 fix(chv-muse-r11fix): cell 改 --volatile=yes（复测纠正缺陷 2） 
复测（RETEST.md §cell）：--ephemeral 在客内 ext4 根盘（2.4G、
已用 1.8G、可用 593M）上做整盘快照拷贝，空间不够即 ENOSPC，
全部 cell 调用失败（每次约 10.5s veth 超时后 rc=1）。改
--volatile=yes：根为基本空的 tmpfs、/usr 只读挂进，单元内除
bind 出去的目录外一律可写、用完即弃——与 --ephemeral 的设计
意图一致，但不拷盘、不占空间（systemd-nspawn 手册口径）。
--volatile=state 不行：整树只读、仅 /var 为 tmpfs，codex 写
$HOME/.cache 等非 bind 路径会失败。探针已证实 yes/state 均可
启动（0.4s，rc=0），取 yes 保可写性；真机 codex 入 cell 由
第二轮复测验证。测试：CellArgvTest 断言新值、--ephemeral
不再出现。
 2026-11-07 05:24:30 +00:00
host 4a7ca25334 fix(chv-muse-r11fix): browser.sock 移进 chv-browser 自有目录（缺陷 4）+ vsock 自动启动 
缺陷 4：/run/chv 是 0755 root root，chv-browser 在 bind 时
EACCES 而无限 crash loop（restart 21）。browser.sock 从
/run/chv/browser.sock 移到 /run/chv-browser/browser.sock
（broker 与 browser 两端常量同改）；build.sh 建目录 + tmpfiles
登记（0755 chv-browser 所有）。不用组可写 /run/chv——那会给
chv-browser 对 broker.sock/cell.pid 的 unlink 能力。
vsock 自动启动：此前 build.sh 只拷 vsock_notify.py、不建服务，
vsock 通道从未自动启动。按 vsock_notify.py 的 docstring 补
vsock-notify.service（ExecStart=/usr/local/bin/vsock-notify %H，
Restart=no，After/WantedBy=multi-user.target）并 enable；
printf 格式串里 %H 写 %%H。测试：干跑针 /run/chv-browser；
vsock 在场时干跑含服务与 enable 语句。
 2026-11-07 04:01:24 +00:00
host f093558c0d fix(chv-muse-r11fix): authd 层 5 去掉 store helper，chv-sync 回落改 fail-closed 
round-11 真机测试证实：镜像 /etc/gitconfig 的 [credential]
helper = store 把 authd 释放的长效 token 写进了客内
/home/chv/.git-credentials（0600）。改动：build.sh 不再设
store helper；chv-sync boot 在 authd socket/helper 缺失时直接
die，不再把 token 写进 .git-credentials（旧落盘回落废止）；
authd helper 是唯一凭证 helper，且自身绝不落盘。旧镜像上 boot
现在会直接失败，须用含 authd 的新镜像。测试：无 authd 时 boot
失败且 .git-credentials 不产生、干跑不再含 store helper；P3
差距表 §3.5 更新为已关闭。
 2026-11-07 04:00:04 +00:00
host 9f593d62ef fix(chv-muse-r11fix): authd 层 3 socket 用 group 权限、层 4 裸 .git 当 pull 
层 3：AuthdServer 不再 0700/0600 一刀切。socket 共享组取显式
socket_group 或第一个非 root 放行 uid 的主组（build_server 透
传；生产默认 allowed_uids=(0,1000) 派生 chv 主组），目录 0750
+ socket 0660 + chgrp；解析不出（uid 无 passwd 条目）回落
root-only，绝不放 0666（探针 fixprobe8 用的 0666 不上生产）。
层 4：_operation_for_path 加裸 .git → GET/pull；Sentinel
gitea 规则加 (GET, suffix, .git)，POST 裸 .git 仍拒。语义已定：
裸 .git 一律当 pull（只读默认），push 只走显式 git-receive-pack。
测试：Sentinel 允许 GET/拒绝 POST 裸 .git、helper 端到端裸路径
取凭证、组 gid 派生与回落、显式组落地 0750/0660。
 2026-11-07 03:58:45 +00:00
host 2d12179b9a fix(chv-muse-r11fix): authd 层 1 叶子树补 errors.py + stub __init__、层 2 seed 补三键 
层 1：真实的 cloud/chv/__init__.py import executor/orphans，拷进
authd 最小叶子树（/usr/local/lib/chv-authd）会让 chv-authd 在
import 时 ModuleNotFoundError 而 crash loop——先是 errors.py
缺失，补上后又在 executor 上失败（探针 fixprobe3）。新增
chv-guest/authd_init_stub.py（仅导出 ChvFailure），build.sh 拷
errors.py + stub 作叶子树的 __init__.py，不再拷真实包 __init__；
P3_LIBS_PRESENT 条件加 errors.py；EXTRA_CONTENTS 加 errors.py 与
__init__.py；两 lockfile 脚本的 DECLARED_SOURCES 同款登记。
层 2：_seed_env_entries 把 guest-env 里的
GITEA_URL/GITEA_USER/SYNC_REPO 抄进 authd-seed（build_server
要求四键齐全，只 GITEA_TOKEN 即 ValueError）；没有不补、不编
默认值。测试：seed 三键落盘/缺键不补、干跑夹具含新文件、lockfile
合成清单含新两项。
 2026-11-07 03:56:24 +00:00
host b41fb67026 fix(chv-muse-r11fix): 执行器以 sudo 调 chv-cell（缺陷 1） 
chv-cell 须 root（nspawn + 配网），执行器经 SSH 以 chv 身份调，
此前无 sudo 即 rc=2。改 _guest_host_command 在单元开时前缀 sudo
（探针 p2.log 的手动调用即 sudo chv-cell run；chv 的 NOPASSWD
sudo 来自 seed users 块）。关时原命令不变。
 2026-11-07 03:52:34 +00:00
host e02828c590 fix(chv-muse-r11fix): nspawn 255 拒裸 --no-new-privileges 与 --directory=/（缺陷 2） 
systemd 255 把裸 --no-new-privileges 当作带必填参数的选项，吞掉
下一个参数后报错（p2.log 实测）；--directory=/ 也被拒，须
--ephemeral 或 --volatile。改 --no-new-privileges=yes，
--directory=/ 后加 --ephemeral：根快照 + overlay，单元内除 bind
出去的目录外一律可写、用完即弃，与 P2 共享客机 rootfs 设计一致；
--volatile 会把根置只读，codex 写 $HOME 下非 bind 路径会失败。
测试：CellArgvTest 断言新值、裸值不再出现。
 2026-11-07 03:52:34 +00:00
host d324d87529 fix(chv-muse-round11): lockfile DECLARED_SOURCES 补 P3/vsock 六项 
717efc4 镜像真机实测：BUILDINFO.contents 含 chv-authd 三件套、
cloud/chv/authd.py、cloud/chv/sentinel.py、vsock_notify，但两
脚本 DECLARED_SOURCES 没有它们——generate 记 6 项 unresolved，
verify 与 check 双双失败（contents 未覆盖）。V-9 的 912edef
没暴露：它的 contents 里根本没有这 6 项。

与 9f929b1 的 P2 三件套同款修法：六项皆仓库内脚本，版本随
repo_commit。合成 BUILDINFO 清单扩到与 717efc4 真实 contents
一致（另补 systemd-container 进 dpkg 假值），反向对照已验：
只撤修复时 LockfileTest 4 测里 2 测失败。

附带教训：经 ssh->wsl.exe 的命令内层退出码一律被吞成 0
（python3 -c 'sys.exit(1)' 回显 RC=0），此前三项验证只看
RC 会把失败判成通过；此后一律以输出文本为准绳（须见
'lockfile 校验通过' 行且无 unresolved 警告）。
 2026-11-07 01:08:28 +00:00
host 717efc4688 feat(chv-muse-round11): 移植 V-9 真机修复（9f929b1/912edef/9fb0f4b） 
- lockfile 两脚本 DECLARED_SOURCES 加 P2 三件套 chv-cell/broker/
  browser -> repo_commit（9f929b1）。
- build.sh 99-chv-sync.cfg runcmd 在 chv-sync boot 之前加 chown
  行：guest-env 由 write_files 以 root:root 写（建用户之前），
  须在 final 阶段改归 chv（912edef；本分支 runcmd 多一行
  start chv-authd，chown 插在它之后、boot 之前）。
- executor._wait_guest_env_usable：密钥已投递时等客内 guest-env
  对 SSH 用户可读再报 ready，超时关 VM 抛 guest_env_not_ready
  （9fb0f4b；runcmd chown 比 SSH 就绪晚约 30 秒）。
- hostkeys.py：本分支 _guest_env_entry 本来就写死 owner
  root:root（P3 重构时已无 ssh_user 分支），912edef 的
  hostkeys 改动无内容可移，只补 V-9 根因注释防回退。
- 测试（5 个新测试，8 个运行）：owner 恒 root:root、build.sh
  chown 位置、chv 用户下 wake 后 owner 仍 root、等到可读、
  永不可读抛 guest_env_not_ready。

全量 cloud 套件 2019 OK（skipped=8）。
 2026-11-07 00:48:25 +00:00
chv 29d3a5a474 feat(chv-muse-round11): build.sh 补 P3 authd 进镜像 + gt 脚本哈希轮换 
- authd 三件套 copy-in（chv-guest/authd.py 与 git-credential-chv-authd
  -> /usr/local/bin/ 并 chmod +x，chv-authd.service ->
  /etc/systemd/system/），云端叶子模块 cloud/chv/authd.py 与
  sentinel.py + 两个 __init__.py -> /usr/local/lib/chv-authd/，
  systemctl enable chv-authd；99-chv-sync.cfg runcmd 在 chv-sync
  boot 之前加 systemctl start chv-authd；缺件即 fail-fast
- buildinfo BASE_CONTENTS 登记新增件；P2 干跑夹具补 P3 文件并断言
  authd 步骤出现在干跑输出里
- GT_INSTALL_SH_SHA256 cf82... -> 49ffe090...：上游 2026-11-07
  06:44 轮换，V-9 已核实（WSL fresh curl 与失败镜像内残留逐字节
  一致；新脚本全文已读，只从 dl.gitea.com 取 1.0.0 二进制并验 hash）
- vsock_notify 条件拷入在合入后生效（cloud/chv/guest/vsock_notify.py
  已在仓里，干跑不再报缺失警告）
- 定向单测 P1/P2/P3/chv_fix 172 项全过；全量套件仍在跑
 2026-11-06 23:08:40 +00:00
host 73176e135c feat(chv-muse-round11): 执行器接 nspawn 单元（P2 差距表 §4） 
客内 host.py 调用改为 chv-cell run -- python3 /app/host.py
--state /home/chv/.codex/host-state.json --codex-home
/home/chv/.codex --sandbox danger-full-access …，其余原参数
原样保留。--sandbox 放全局参数最后（argparse 后胜出），
单元内恒为 danger-full-access，调用方 read-only 不得盖回
bwrap；非单元路径（本地/Docker/冷启动回落）不动。

开关 CHV_CELL_ENABLED：只认 0/1，默认 1 开；非法值
ValueError（_to_switch 同款口径）。关时走原命令，给
lite10 及更早无单元的旧镜像留逃生口。

测试：新 test_chv_muse_round11_cell.py 7 项（开/关 argv、
原参数保留、sandbox 只在单元路径、非法值报错、SSH 层
接线）；test_host_command_options_identical_across_executors
显式关单元测三执行器参数全等，断言本身未动。
全量 cloud 套件 2011 OK（skipped=8）。
 2026-11-06 21:58:01 +00:00
host 304707b372 merge(chv-muse-round11): 合入 P3 authd 替身凭证 + Sentinel 出口审批 (a90cf78) 
冲突解决（3 处，均为并集保留，双方改动无一丢弃）：
- cloud/chv/executor.py _copy_config_fields：P1 的 balloon/
  vsock/vsock_cid 与 P3 的 sentinel_allow_hosts 合并进同一元组
- cloud/tests/test_chv_arch_maint_fe.py EXPECTED_FIELDS：P1 三字段
  + P3 sentinel_allow_hosts；len 断言 41/39 → 42（并集）
- cloud/chv/config.py 自动合入：P3 sentinel_allow_hosts（网络
  片段内）+ P1 _balloon_vsock_fragment 均保留；仅更新
  build_chv_config docstring 注明字段集含 P3 字段
 2026-11-06 21:36:56 +00:00
host 3209f59cd6 merge(chv-muse-round11): 合入 P2 nspawn 单元 + broker + 浏览器子代理 (c61484a) 2026-11-06 21:35:53 +00:00
host 55f6d7ad6c merge(chv-muse-round11): 合入 P1 常驻 VM + 气球 + vsock (78098c5) 2026-11-06 21:35:51 +00:00
host 78098c5594 feat(chv-muse-p1): 常驻 VM + WarmPool 扶正 + 气球 + vsock，对齐 Muse 
每用户一台常驻 VM（暂停态，resume 到 SSH 5 秒内为待验证目标），
池空/失败回落冷启动；CHV 配置加 virtio-balloon + free-page-reporting
与 vsock notify 最小实现（SSH 仍是命令通道与就绪判定）。
新模块 resident_pool.py / vsock.py + 客内 vsock_notify.py；
_config 增加 CHV_RESIDENT_IDLE_MINUTES / CHV_BALLOON / CHV_VSOCK；
worker_adapter 接常驻孤儿清理 facade；ADR-17 差距表见
docs/chv-muse-p1-gap.md。

恢复收尾（分离后回归，见 gap.md §4）：VmDeathTest 死亡模拟改杀
实际跑命令的 VM；两处冷路径旧测试显式关常驻；_balloon_vsock_payload
与 listen_notify 拆到 50 行内；resident_pool.py:208 mypy 修掉。
executor.py out 未注解与 marker_tools.py:142 是基线旧错，未动。

测试：全量 cloud 套件 1934 OK（skipped=8）；mypy 在改动文件上
干净（仅基线旧错 4 处）。真机验证待第三棒让出 WSL 测试机。
 2026-11-06 21:31:48 +00:00
host a90cf78d84 feat(chv): 对齐 Muse P3 收尾——authd 替身凭证 + Sentinel 出口审批 
- 新测试 cloud/tests/test_chv_muse_p3.py 30 项：替身过期、真 token
  泄露面、SSRF 挡截、deny/ask 路径、authd-seed 拆分、wake 预审、
  客内 authd 守护进程、git credential helper 端到端（真 git fill）
- 8 个旧测试按新 authd 行为改写（未删测试、未放宽断言）：
  GITEA_TOKEN 改走 authd-seed，build_ssh_command 不再 source 进
  codex 环境；wake 测试补 Sentinel 白名单 + 假解析器
- 7 处超 50 行函数拆到 50 行内（不改行为）；补 authd/sentinel
  公共 API 注解，mypy 在改动文件上干净
- 真问题修复：git 默认不把 path 发给 helper，chv-sync boot 加
  credential.useHttpPath=true，否则 authd 路径每次都拒绝
- 全量 cloud 套件 1897 项 OK（skipped=8）

真机待验证（未做，等第三棒让出 WSL 测试机）：见
docs/chv-muse-p3-gap.md §3.6 清单
 2026-11-06 21:21:55 +00:00
host c61484aa68 feat(chv-guest): 对齐 Muse P2——nspawn 单元 + broker + 浏览器子代理 
- chv-cell：systemd-nspawn 单命令单元，--private-users=1000:65536
  （单元 root → 客机 chv），丢 8 项能力（含 SYS_PTRACE/NET_ADMIN），
  syscall 过滤扣 io_uring，遮蔽 /etc/chv 与 playwright，
  --network-veth（10.200.0.0/24 + NAT），白名单环境透传
- chv-broker：Unix socket + SO_PEERCRED（uid 范围 + pid ns 对照），
  白名单 ping/sync/browser；sync 只调 chv-sync（runuser -u chv）
- chv-browser：单元外独立进程，只暴露 open/snapshot/screenshot/
  close/ping，返回无障碍树快照（截断）；evaluate/content 拒绝
- build.sh：装 systemd-container/iproute2/iptables，拷入三脚本，
  建 chv-browser 用户与两个 systemd 单元；vsock_notify 条件拷入
- buildinfo：内容项加 P2 四项，支持可选 extra_contents
- 测试：cloud/tests/test_chv_muse_p2.py 40 项全过；broker/browser
  真实 socket 回路冒烟通过（root 连 broker 被拒）
- 差距表：docs/chv-muse-p2-gap.md；真机验证待测试机空闲（round 11）
  本地做，不推、不合、不部署
 2026-11-06 20:53:15 +00:00
host 06c3e172fe fix(chv): restore 路径补 H7 net 校验+登记，seed 暂存文件走 atomic_file 
restore_vm 此前既不校验 net 冲突、也不登记 net.json：
已登记 VM 的 tap/mac/ip 会被恢复出的 VM 静默复用，且
恢复出的 VM 自身不登记、后来的 wake 也看不到它，两边
都漏判。现与 wake 同款：_validate_restore 在起 VMM 前
校验冲突（net_tap_conflict + vm_failed 审计），
_restore_boot 在 restore 成功后登记 net.json，登记失败
审计 net_registry_write_failed + 拒绝恢复（P2-19 语义，
stop_vm 清半恢复 VM）。

hostkeys.write_seed/_apply_seed_extras 的 meta-data、
user-data、network-config 改走 atomic_file（mkstemp 0600
→ 写 → fsync → rename）：user-data 含 host 私钥明文，
直接写 + 事后 chmod 会在 chmod 前以 umask 权限短暂可读；
半截文件本身到不了 ISO（唯一消费者 genisoimage 只在
write_seed 返回后跑），原子写同时堵住权限窗口与半截残留。

回归测试 6 个：restore 冲突拒起/恢复后登记/登记失败
拒起/无 net_json 不登记；seed 走原子写（0600、无 tmp
残留）/写失败不留半截文件。CHV 全套件 395 测试通过。
 2026-11-06 19:32:41 +00:00
host f448ecb74b docs(chv): L4/M6 取舍定案 + 部署核对清单 
- L4：保持警告不改硬拒（CHV_NET 是手动直接启动命令透传值，
  与 API 的 CHV_NET_JSON 是两条路径；硬拒会断手动运维，
  误配代价只是 API 模式忽略 CHV_NET）；写清兼容影响与
  将来改硬拒的前置条件；部署核对只设 CHV_NET_JSON
- M6：确认声明 + 审计就是本项机制，不假装已校验；部署核对
  加人工项（部署记录写明已核对租户数 = 1 与项目名一致，
  并复核 disk_reuse_experiment_allowed 审计）
- §11.4 加环境变量核对与残留尾巴审计抽查项
  （net_registry_write_failed / dirty_marker_write_failed /
  vm_net_registry_delete_failed 任一出现即先修宿主再启用）
 2026-11-06 18:41:56 +00:00
host 2ad29eeb1f feat(chv-guest): M4 Chromium 单独钉死 + /app 收紧为最小集 
- Chromium 钉死：CHROMIUM_HEADLESS_SHELL_REV（纯数字修订号）
  设即钉死，buildinfo.py 校验读回的 ms-playwright 缓存目录名
  须恰好是该修订号，否则构建失败；generate/check 的 --verify
  也复核；未设时只记录、构建输出明说未钉死，BUILDINFO 记 null
- /app 最小集：build.sh 不再把整个 $REPO_DIR/cloud/ 拷进客机，
  只拷 host.py（只用标准库，不依赖 cloud/）；REPO_DIR 预检
  不再要求 cloud/ 存在
- generate_lockfile.py 只读 BUILDINFO.versions 一事已在 to10 轨
  改写，本棒以合成 BUILDINFO 干跑复核（假版本 9.9.9 进 lockfile，
  宿主 git 1:2.43.0 未混入）并补钉死复核；真实 lockfile 产出
  仍待 V-9 真机构建，不编造版本号
 2026-11-06 18:41:56 +00:00
host c39715659e fix(chv): P2-20/P2-19/P2-17/P2-18 残留收尾 + NO_PROXY 合并 
- P2-20：_guest_env_delivered 加专用锁，读写只走
  _delivered_secrets/_mark/_clear 三个入口，并发 hammer 测试钉死
- P2-19：_record_net_entries 失败发 net_registry_write_failed
  独立审计并返回 False；_boot_vm 见 False 即拒起（wake 随后清半醒 VM）
- P2-17：net.json 删失败发 vm_net_registry_delete_failed 审计；
  _write_dirty_marker 失败发 dirty_marker_write_failed 审计并返回
  False，stop 不抛的契约不变
- P2-18：新增 cloud/chv/atomic_file.py（mkstemp 随机名 + 文件
  fsync + rename + 目录 fsync），net.json/known_hosts/
  snapshots.json/pool registry/脏标记/spill 全部走它，固定 .tmp 清零
- H1 附带：NO_PROXY 实测确有覆盖 bug（env 重复赋值以后者为准，
  调用方 NO_PROXY 被 egress 的 localhost 值静默覆盖），改为合并
  单条发出；egress 已设时调用方代理变量（含小写）一律不发
- 测试：新增 cloud/tests/test_chv_residual.py（23 项），旧 closeup
  两处钉死旧语义的测试按新语义更新
 2026-11-06 18:41:50 +00:00
host ba5df980bf fix(chv): known_hosts 22 端口写裸 host 行，修 provisioned 钉死失效 
OpenSSH 默认端口只查裸 host 名、非默认端口只查
'[host]:port'：known_hosts_line 对 22 端口也写
'[192.168.10.10]:22'，ssh 永远匹配不上，报 Host key
verification failed、wake fail-closed 关 VM。keyscan
TOFU 输出裸行，lite9 没暴露。非 22 端口仍用括号形式。
 2026-11-06 17:59:53 +00:00
host 4f3a176771 fix(chv): CHV 54 VmConfig 形态——payload.kernel/cmdline 纯字符串 + 磁盘显式 image_type Raw 
真机 CHV 54.0.0 实测：旧顶层 kernel:{path}/cmdline:{args}
create 时 204 照放、vm.boot 400 'No bootitem provided'；
补 payload 后又报 'Image type required for disk'（raw 盘
无魔数、探测失败），磁盘须显式 image_type，枚举原名
Raw（JSON 写小写 raw 报 unknown variant）。
 2026-11-06 17:59:53 +00:00
host 5b6514d019 fix(chv): api_client 接受 204 无 Content-Length 响应 
WSL 真机实测（CHV 54.0.0）：vm.create 成功回 204 No Content，
且不带 Content-Length、无体；严格校验（P1-6）把合法成功当
失败拒掉，wake_vm 卡在 vm.create。204/304 按 HTTP 语义体长
恒为 0，不要求长度、不读体（keep-alive 下读会等到超时）；
其它状态仍严格（无长度/截断/chunked 均拒绝）。
测试：test_chv_cover100 新增 3 项（204 成功、200 无长度仍拒、
_parse_status）
 2026-11-06 17:43:54 +00:00
host d7cc482ed5 feat(chv-guest): seed 附加项供客机用户与静态网络（wake 路径前置） 
wake_vm 在 WSL 台架上跑通需要客机身份与网络：镜像本身不建
用户、tap 无 DHCP，缺 users 块的 VM 登不进去、缺 network-config
的 VM 拿不到静态 IP。最小补法（复用 write_seed 机制）：
- hostkeys.write_seed 新增 user_data_extra（原样追加进
  user-data，供 users: 块）与 network_config（写 seed
  network-config 文件，0600）；附加项含 runcmd: 即 ValueError
- config _seed_fragment：CHV_SEED_USER_DATA_EXTRA_FILE /
  CHV_SEED_NETWORK_CONFIG_FILE（只存路径）
- executor._seed_extras 在 wake 起 VMM 前读入，缺失即
  ChvFailure seed_extra_missing；provision_host_key 透传
- README §7 残留更新：guest-env 集成已做
- 测试：test_chv_gitea_sync 新增 5 项（写盘/禁 runcmd/
  配置映射/wake 带附加项/缺失 fail-closed）
 2026-11-06 16:58:27 +00:00
host e7f699c62b feat(chv-guest): Gitea 同步变量经 seed 进 guest-env（执行器集成） 
- 新增 cloud/chv/gitea_sync.py：6 键白名单，三源合并
  （宿主 CHV_GITEA_* < 任务 gitea_sync < extra_env），
  必填 4 键缺失即 fail-closed，空即不同步
- ssh_transport：GITEA_TOKEN 进密钥集（argv 拒绝），其余
  5 键进 guest-env 集（split_guest_env）
- hostkeys.write_seed：guest_env 与 secret_env 合并写同一
  条目，仍无 runcmd、0600
- config：_gitea_fragment 产 gitea_sync_env（函数内 import，
  叶子模块顶层只许标准库）
- executor.wake_vm：起 VMM 前合并+校验（gitea_sync_incomplete），
  guest-env 随 seed 投递；provision_host_key 透传 guest_env
- worker：_run_attempt 仅对 CHV 执行器把同步变量并进 gateway_env
- 测试：cloud/tests/test_chv_gitea_sync.py 20 项
- 边界：tasks 表无 JSON 列，DB 往返丢任务 gitea_sync；
  生产主来源是宿主 CHV_GITEA_* 环境变量
 2026-11-06 16:55:32 +00:00
host 67ca0b86cd fix(chv-guest): seed user-data 不再自带 runcmd，防顶掉镜像钩子 
sync-test 首轮实测：seed 的 runcmd 整体替换了镜像
/etc/cloud/cloud.cfg.d/99-chv-sync.cfg 的 runcmd（cloud-init
不跨配置类型合并，merge_how 救不了 conf.d），chv-sync
boot 钩子静默不跑、启动 clone 没跑。

- hostkeys.build_seed_user_data 不再发 runcmd；chmod 600
  已由 write_files 0600 保证；sshd 重启搬到镜像自己的
  runcmd（cloud-final，sshd 首次启动之后）。
- build.sh：99-chv-sync.cfg 的 runcmd 增加 restart ssh
  一行（在 chv-sync boot 之前）。
- README §5 同步硬性要求；回归测试 2 项（无 runcmd、
  带 secret 仍单 write_files 列表无 runcmd）。
- 针对性 147 项全过（test_chv_to10/gaps/secfix/fix/
  arch95plus）。

本地提交，未推未部署。
 2026-11-06 16:35:14 +00:00
host cbd5ab7c0b fix(chv-guest): 首启缺 key 时才生成 host key（B-23） 
Minimal 底座 cloud.cfg 不含 ssh 模块，build.sh 又写
ssh_genkeytypes: [] 彻底关掉首启生成：客机无 host key、
sshd -t 失败、ssh.service 连败 5 次，SSH 全程不通（真机
冒烟 131s 未通，console 已到 login、ping 通、tap 正常）。
修正：99-chv-hostkey.cfg 改写首启 bootcmd，只在缺
ed25519 key 时 ssh-keygen -A；ssh_deletekeys: false 保留，
绝不重生成已预置的 per-VM key（bootcmd 跑在 seed
write_files 之前，预置 key 随后覆盖生成值）。README §5
同步修正；新增 BuildScriptTest 回归断言。
 2026-11-06 12:05:43 +00:00
host dcb0824f78 fix(chv-guest): 浏览器装系统路径（B-22） 
Round 7 构建本身成功，但 BUILDINFO.versions.chromium 为空：
virt-customize 的客机 shell 里 HOME=/，Playwright 默认缓存
~/.cache/ms-playwright 落到根目录 /.cache（实测浏览器在
/.cache/ms-playwright/chromium_headless_shell-1248），而
build.sh 读的是 /root/.cache/ms-playwright（不存在），ls 读回
空文件；buildinfo.py 当时不校验 chromium 非空，静默放过，
事后 check_lockfile / generate --verify 兜底报未覆盖（exit 1）。
改：安装与读回都走 PLAYWRIGHT_BROWSERS_PATH=
/usr/local/share/ms-playwright（agent 运行时也须设同一变量，
否则 chv 用户在家目录找不到浏览器）；buildinfo.py 加
playwright_browsers_path 字段，并校验 playwright=1 时
versions.chromium 非空；README 同步。
 2026-11-06 10:55:02 +00:00
host 4c8e4eac7b fix(chv-guest): apt 用 --no-install-recommends（B-21） 
Round 6 真机构建在 Playwright 步 ENOSPC 失败：--install 默认装
Recommends，python3-pip 连带拉入 python3-dev → gcc/g++/
build-essential 全套，根分区 2.4G 用到 2.2G（95M 空闲），
headless-shell 下到 70% 写满。改走 --run-command apt-get
install --no-install-recommends，必需项显式列出（fontconfig、
openssh-client），两轮 apt 后 apt-get clean + 清 lists 收尾。
buildinfo contents 与 README 同步加 openssh-client/fontconfig。
 2026-11-06 10:29:59 +00:00
host 5206dfbc43 fix(chv-guest): gt 用绝对路径调用（B-20） 
Round 5 真机构建在 gt 安装步失败：install.sh 已装好
/usr/local/bin/gt，但 virt-customize 的客机 sh 里 PATH 不含
/usr/local/bin，同一 --run-command 链里的 gt version 报
command not found，整个 virt-customize 退出非 0。
改两处为 /usr/local/bin/gt version（安装断言 + 版本读回文件）。
install.sh 自身的 SHA256 校验与二进制下载均已通过，不是下载问题。
 2026-11-06 10:09:02 +00:00
host 4d09518338 feat(chv-guest): 轻量镜像 + Gitea 双向同步（停全量版，改 Ubuntu Minimal） 
- build.sh 改轻量：Ubuntu Minimal 底座、apt 精简（git/ssh/cloud-init/
  python3/pip/curl/ca-certificates/xz-utils/fonts-wqy-microhei）、
  Playwright + chromium-headless-shell、去 B-16 +12G 扩盘；
  加 git + gt 1.0.0（官方 install.sh + SHA256 校验，GITEA_CLI_VERSION
  钉 1.0.0）与 chv-sync 启动钩子（cloud-init runcmd）
- B-19（新发现）：dpkg freeze 的 ${Package} 会被客机 shell 展开
  成空，284 行全空白；加反斜杠转义，探针实测已出真实版本
- buildinfo.py：轻量 contents、chromium-headless-shell、gt_version
- generate/check_lockfile.py：gt/chv-sync 声明来源、headless-shell 映射
- chv-sync.sh（新）：boot/pull/push/status，分叉/脏树失败关闭，
  凭证走 seed 盘 guest-env，不进镜像
- README §1/§2/§3/§4 改轻量口径，新增 §7 Gitea 双向同步
- tests：ChvSyncTest 6 项（本地 bare 仓当远端）；针对性测试 144 项全过
 2026-11-06 09:47:54 +00:00
host 9e60d5dfaa fix(chv-guest): B-18 virt-get-kernel -o 是目录不是文件 
- 第三轮真机构建：virt-customize 全程通过（Playwright 步已过），
  随后 virt-get-kernel -a disk.raw -o $OUT/vmlinux 失败；手动
  查 --help 确认 -o 是 output directory——旧写法会在 OUT 里
  建出 vmlinux 目录，后面的 test -s 文件校验必然失败，即使
  下载成功构建也会失败。
- 修复：-o 改为 $OUT，下载 vmlinuz-<ver> 与 initrd.img-<ver>
  后把 vmlinuz-* 移为 vmlinux 文件；initrd.img-* 留在 OUT 里
  作配套产物（与任务产物清单一致）。
- 同轮里 virt-get-kernel 首跑另报过一次 "file receive
  cancelled by daemon"，同一盘手动重跑即成功（瞬时故障），
  此处失败重跑一次，与 B-05/B-06 重试口径一致。
 2026-11-06 09:01:20 +00:00
host b5e75f156d fix(chv-guest): B-17 Playwright 安装加 --break-system-packages 
- 第二轮真机构建实测：单次 virt-customize 在 playwright 步
  失败，pip3 install --no-cache-dir playwright 在 Ubuntu 24.04
  上报 PEP 668 externally-managed-environment 而拒绝安装；
  随后 python3 -m playwright 报 No module named playwright。
  此前 PLAYWRIGHT 默认 0，该步从未在默认构建里跑过，缺口
  被默认开启暴露出来。
- 修复：playwright 的 pip 安装与第一处 pip 安装同款口径
  （--break-system-packages，失败回落无 flag 再试），且只有
  pip 成功才跑 python3 -m playwright install --with-deps
  chromium（括号分组 + &&，失败即停，不再以 ; 带病续跑）。
- 第二轮中间证据：B-10 步已过（sshd -t 完成、99-chv.conf 与
  cloud-init hostkey 配置已写入、客机 /etc/ssh 无残留 host
  key；dpkg/pip freeze 已写 876/92 行）。
 2026-11-06 08:34:14 +00:00
host 368bccd16e fix(chv-guest): B-16 真机构建扩根分区（云镜像根分区仅 2.4G 会写满） 
- 首轮真机构建实测：单次 virt-customize 在 playwright
  --with-deps 装 g++/make 时报 No space left on device，
  根分区 /dev/sda1 仅 2.4G、已用 97%。
- 修复：qemu-img resize +12G 后 sgdisk 只扩 1 号分区
  （起始扇区实测取，不写死；14/15/16 不动），再 guestfish
  resize2fs；实测根分区 2.4G→14G、可用 12G、编号仍为 sda1。
- 不用 virt-resize：实测它重写分区表、把根分区从 1 号重编号
  为 4 号，而执行器默认 cmdline 是 root=/dev/vda1，重编号后
  无法启动。工具检查清单加 sgdisk、guestfish。
 2026-11-06 07:59:29 +00:00
host 3b41f864e8 test(chv-guest): 构建脚本测试夹具跟进 B-09 新契约 
- 假 codex 二进制须报出版本号（codex --version 核对）
- 假仓库改为真 git 仓库，REPO_COMMIT 取其实测短 hash
  （旧 test123 非 hex，B-03 格式校验本应拒绝）
- 干跑行补 BUILDINFO.json 字样（断言依赖）
另：79ba56b（并行轨）已把 Playwright 改默认开启、单次
virt-customize、补 fonts-noto-cjk，本提交只补测试与干跑
文案，不动构建逻辑
 2026-11-06 15:34:06 +08:00
host 79ba56bd51 feat(chv-guest): Playwright 默认开启、单次 virt-customize、补 fonts-noto-cjk 
- virt-customize 3 次调用合并为 1 次（VC_ARGS 数组按序执行；
  PLAYWRIGHT=0 时仍可显式关掉，freeze 步骤保留兜底）。
- PLAYWRIGHT 默认 0→1：浏览器常驻复用；最终 freeze 在
  Playwright 安装之后（B-08），BUILDINFO.versions.pip 含
  playwright，chromium 目录名照常记录。
- apt 清单加 fonts-noto-cjk（浏览器 CJK 渲染字体，不是 LaTeX；
  xelatex 仍不装）。
- 针对性测试：to10+gaps+secfix 94 项，91 过；3 项失败为
  7f18c2d 已有 fixture 陈旧（REPO_COMMIT=test123 非 hex），
  与本次改动无关，改前改后一致。
 2026-11-06 07:25:15 +00:00
host 7f18c2d13b fix(chv-guest): 客机镜像构建缺口补齐（B-02/B-03/B-04/B-05/B-06/B-07/B-08/B-09/B-10/B-13/B-15） 
- B-10（实测）：virt-customize chroot 里 sshd -t 必败，双因：
  无 host key（exit 1）+ 缺 /run/sshd（exit 255）；修为
  mkdir -p /run/sshd + ssh-keygen -A 临时生成，断言通过后
  立删临时 key，镜像仍不带 host key（已在 WSL 真机预演验证）
- B-08：Playwright 装在第二次定制，须重写 pip freeze 否则
  BUILDINFO 里无 playwright；Chromium 以 ms-playwright 缓存
  目录名记录进 guest-versions-chromium.txt
- B-09：codex --version 须含 CODEX_VERSION；REPO_COMMIT 须
  等于 HEAD 短 hash；工作树脏即拒绝构建
- B-02/B-13：BUILDINFO 生成抽成 buildinfo.py（可单元测试），
  补 disk.raw/vmlinux sha256+大小、ubuntu 镜像 sha、cmdline、
  playwright 开关、image_sha256 字段
- generate_lockfile.py 改写：版本唯一来源改为
  BUILDINFO.versions（客机读回），codex 三件套取
  codex_version、/app/host.py 取 repo_commit、chromium 取
  versions.chromium；不再查构建宿主 dpkg/pip（旧方法不成立）
- check_lockfile.py 补强：条目格式、contents 全覆盖、冻结
  清单双向比对
- B-03/B-04 输入格式校验、B-05 curl 重试、B-06 哈希不符
  删文件重下、B-07 磁盘预检、B-15 set -euo pipefail
- 同步改 test_chv_to10.py：generate 不再查宿主，改断言客机
  版本来源 + 不回落宿主
 2026-11-06 15:13:23 +08:00
host 8c8d62f70d test(chv): 补齐 chv 模块剩余覆盖到 100%（生产与实验分开计分） 2026-11-01 07:00:21 +00:00
host e718f0f326 test(chv): 修复 isWorkerAlive 边界测试抖动（精确边界改确定性字段测） 2026-11-01 00:44:12 +08:00
host 54f20dfe55 feat-chv-closeup：收尾（executor 覆盖到 100%、合并/灰度准备，堆叠于 #264） 
- 后端新增 cloud/tests/test_chv_closeup.py 85 项：唤醒失败
  （vm.create/vm.boot/API 超时/guest 就绪超时/host key 不匹配/
  provisioned 缺钉死）、恢复与快照失败、取消与清理（残留
  socket/登记/磁盘/密钥、脏标记）、中途死亡分类、只读
  execute 归类、入口校验、preflight 事后改写、防御性
  except、worker_adapter 剩余分支；executor.py 覆盖 100%。
- 前端新增 src/api/chv.closeup.test.ts 13 项：显式 false、
  undefined、可用性优先级、Workers 旧 bug 文案不复发、
  120 秒边界；控制按钮与新页面仍不做。
- 新增 tools/chv_merge_precheck.py（只读）：逐个核 base/head/
  mergeable/CI/链衔接，实测 11 个 PR 全 NOT-READY（CI 全
  FAIL、mergeState 全 UNSTABLE），退出码 1，绝不合并。
- docs/chv-production-readiness.md 新增 §14：审计落盘运维
  runbook（定位/轮转/读取/清理，ADR-14 取舍不变）、mypy
  默认口径 2 错评估（沙箱验证过的标注修法，本轨不改
  其它链文件）、灰度三阶段可执行清单、V-1～V-9 检查表
  （全部未验证）、逐项评分。
- 安全语义不变：egress、key seed 投递、磁盘删除、默认
  provisioned、tap 校验、前端不绕后端白名单均未放宽。
- 只到 PR OPEN，不合并、不部署；CI 账单仍是硬门禁。
 2026-10-31 12:15:56 +00:00
host 2f3ff8b3ec feat-chv-to10：往 10 分方向提升（类型/lint 清零、worker 适配抽取、审计落盘、lockfile 生成脚本、前端四态与统一文案、就绪清单 §13） 2026-10-31 10:20:42 +00:00