codex-app-server

3 Commits

Include renames

Author SHA1 Message Date

Author	SHA1	Message	Date
host	8006a6fcba	audit: route automation audit rows through hash-chain pair (gap 4, option A) Bypass closed: automations._audit_row (direct audit_log INSERT, best-effort swallow) is deleted. run_due_automation now writes via cloud.auth.audit_on_conn, the same audit_log + audit_ledger pair AuthStore.audit() writes, sharing created_at. The audit pair runs before record_automation_run's commit, so task row, run row and audit pair commit or roll back together; chain-head IntegrityError retries the whole block up to 5 times, other errors roll back and raise (fail-closed). The claim stays committed, so a failed run is retried next interval, never recorded as a failed run. AuthStore.audit() now delegates to audit_on_conn; its pair, retry count and fail-closed semantics are unchanged.	2026-11-03 02:49:25 +00:00
host	8afcd3253e	fix(automations): 审计行不再显式插 TEXT id，PG identity 下不再丢审计旧 _audit_row 显式插 uuid 当 audit_log.id：SQLite 下能跑，生产 PG 的 id 是 BIGINT GENERATED BY DEFAULT AS IDENTITY，插 TEXT 直接报错、审计行全丢（best-effort 吞掉后无声无息， #156 留下的已知局限）。修法：INSERT 一律不带 id，让两端自增/identity 生成；表不存在时先按 PG 口径建、再按 SQLite 口径建、逐个重试——automations 按设计不 import 其它 cloud 模块，所以用先插、失败再按口径重试做方言探测。单测：test_automation_run_due 4 项（含新增 PG-like 假连接 1 项：只接受不带 id 的 INSERT，旧实现在此应失败）。	2026-10-30 01:55:59 +08:00
host	3a06205d8b	feat: 跨 worker 真 kill（kill_requests 意图表 + 收殓器）与自动化触发入闸机制 A 移植自旧 PR #101（分支 feat-residual-b，头 895e004），不合旧 PR：旧基线 `6e3eb7b` 已 CONFLICTING，本批重做到现 main 6d4f87e（#151 合并后）上。 - kill_requests 意图表：cloud/db.py POSTGRES_SCHEMA + migrations 清单补表；server.ensure_kill_requests_table / request_kill （同一任务只留一条 pending，写失败返回 False）；init_db 的 SQLite 分支补建表（PG 分支由 POSTGRES_SCHEMA 全量建表覆盖）。 - 取消/sweep 写请求 best-effort：_cancel_task 在 commit 后调 request_kill（失败不挡取消）；sweep_stale_tasks 在同一事务内为被扫任务写 system 请求。 - worker 收殓器 _reap_kill_requests：owner 活着（心跳停滞未超 300 秒，COALESCE(last_heartbeat, updated_at)）绝不抢杀；只有 owner 已死且任务仍 interrupted 时，按任务派生容器名（executor.container_name，codex-<安全字符任务 id>）在本机真杀，绝不按前缀扫、绝不杀自由传入的名字；本机无容器时请求照常终结；任务行失踪或已不在 interrupted 时请求直接终结；单条异常只记日志。run loop 每轮调一次，放在 sweep 块外（旧 PR 只在 sweep 块内，sweep 关掉时请求会积压）。 - 自动化入闸只补两条旁路：worker._coord_sync_children 建子任务前过 _quota_exceeded（超限跳过建任务、记审计，同一 worker 内同一分工只记一次）；automations.run_due_automation （claim 抢单 -> 配额门 -> 建任务 -> 记产出，超限记 skipped_quota 不进失败重试）。triage/webhook/续跑/后续/ 分叉未动。 - 单测：旧 PR 三份单测原样移植（Worker/Server 签名与现 main 兼容，未改用例语义）。	2026-10-30 01:32:35 +08:00

host

8006a6fcba

audit: route automation audit rows through hash-chain pair (gap 4, option A)

Bypass closed: automations._audit_row (direct audit_log INSERT,
best-effort swallow) is deleted. run_due_automation now writes via
cloud.auth.audit_on_conn, the same audit_log + audit_ledger pair
AuthStore.audit() writes, sharing created_at. The audit pair runs
before record_automation_run's commit, so task row, run row and
audit pair commit or roll back together; chain-head IntegrityError
retries the whole block up to 5 times, other errors roll back and
raise (fail-closed). The claim stays committed, so a failed run is
retried next interval, never recorded as a failed run.
AuthStore.audit() now delegates to audit_on_conn; its pair, retry
count and fail-closed semantics are unchanged.

2026-11-03 02:49:25 +00:00

host

8afcd3253e

fix(automations): 审计行不再显式插 TEXT id，PG identity 下不再丢审计

旧 _audit_row 显式插 uuid 当 audit_log.id：SQLite 下能跑，
生产 PG 的 id 是 BIGINT GENERATED BY DEFAULT AS IDENTITY，
插 TEXT 直接报错、审计行全丢（best-effort 吞掉后无声无息，
#156 留下的已知局限）。修法：INSERT 一律不带 id，让两端
自增/identity 生成；表不存在时先按 PG 口径建、再按 SQLite
口径建、逐个重试——automations 按设计不 import 其它 cloud
模块，所以用先插、失败再按口径重试做方言探测。
单测：test_automation_run_due 4 项（含新增 PG-like 假连接
1 项：只接受不带 id 的 INSERT，旧实现在此应失败）。

2026-10-30 01:55:59 +08:00

host

3a06205d8b

feat: 跨 worker 真 kill（kill_requests 意图表 + 收殓器）与自动化触发入闸

机制 A 移植自旧 PR #101（分支 feat-residual-b，头 895e004），
不合旧 PR：旧基线 6e3eb7b 已 CONFLICTING，本批重做到现 main
6d4f87e（#151 合并后）上。

- kill_requests 意图表：cloud/db.py POSTGRES_SCHEMA + migrations
  清单补表；server.ensure_kill_requests_table / request_kill
  （同一任务只留一条 pending，写失败返回 False）；init_db 的
  SQLite 分支补建表（PG 分支由 POSTGRES_SCHEMA 全量建表覆盖）。
- 取消/sweep 写请求 best-effort：_cancel_task 在 commit 后调
  request_kill（失败不挡取消）；sweep_stale_tasks 在同一事务
  内为被扫任务写 system 请求。
- worker 收殓器 _reap_kill_requests：owner 活着（心跳停滞未超
  300 秒，COALESCE(last_heartbeat, updated_at)）绝不抢杀；只
  有 owner 已死且任务仍 interrupted 时，按任务派生容器名
  （executor.container_name，codex-<安全字符任务 id>）在本机
  真杀，绝不按前缀扫、绝不杀自由传入的名字；本机无容器时
  请求照常终结；任务行失踪或已不在 interrupted 时请求直接
  终结；单条异常只记日志。run loop 每轮调一次，放在 sweep
  块外（旧 PR 只在 sweep 块内，sweep 关掉时请求会积压）。
- 自动化入闸只补两条旁路：worker._coord_sync_children 建子任
  务前过 _quota_exceeded（超限跳过建任务、记审计，同一 worker
  内同一分工只记一次）；automations.run_due_automation
  （claim 抢单 -> 配额门 -> 建任务 -> 记产出，超限记
  skipped_quota 不进失败重试）。triage/webhook/续跑/后续/
  分叉未动。
- 单测：旧 PR 三份单测原样移植（Worker/Server 签名与现 main
  兼容，未改用例语义）。

2026-10-30 01:32:35 +08:00