admin/codex-app-server
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
664 Commits 12 Branches 0 Tags
f723eb8a886c172988972c857ef386247e10616e
Commit Graph
6 Commits
Author SHA1 Message Date
host 435664925e fix(chv): cell 不再把 /run/chv 的组改回 root 
chv-cell 每次跑 cell 都 _ensure_bind_source(BROKER_DIR, uid=0,
gid=0)，把 /run/chv 的组改回 root，抹掉 tmpfiles 的 chv-browser
组；之后 chv-browser 重启时 os.remove(browser.sock) 报
Permission denied、无限 crash-loop（构建 #8 客机 62 次重启才
被发现，03:42 驱动两次跑 cell 正好在补丁后、重启前）。改：组
改取 chv-browser 的 gid（不存在回落 0）；serve() 删 socket
失败时报错说清修法，不再只剩裸 traceback。
 2026-11-08 09:45:00 +00:00
host 1cbaf7c1d5 chv-cell: networkd 不管 ve + 单元内 DNS 修复 
- systemd-networkd（/usr/lib 80-container-ve.network，匹配 ve-*）
  会在 veth 建好后几秒内刷掉静态 10.200.0.1、改 DHCP/链路本地，
  致单元网关不可达、TCP/UDP 全灭（FORWARD/NAT 计数器恒 0；
  早先一次 curl 403 是刷掉前的窗口期偶发）。修法：镜像内置
  /etc/systemd/network/79-chv-cell.network（Unmanaged=yes），
  须排在 80 之前（99 会被 80 抢走，已实测）；build.sh copy-in
  + 校验、BASE_CONTENTS 与两处 DECLARED_SOURCES 登记。
- run_cell 配网后复核 ve 上确有 10.200.0.1（_iface_has_ip），
  不见即大声失败、不跑无网单元（第二道防线）。
- 单元内 DNS：/etc/resolv.conf 是 127.0.0.53 stub，单元独立
  netns 里自己的 lo 上没有 resolver；把上游
  /run/systemd/resolve/resolv.conf 绑到 /etc/resolv.conf
  （解析 symlink 后挂真实目标）。live 验证：DNS-UDP-OK、
  getaddrinfo 解析成功、curl https://gitea.tose.top 200。
- 单测：CellResolvTest + _iface_has_ip 真实 lo 断言 + 规约
  dns_resolv_conf 字段；P2 + 阶段 2 共 74 项全过。
 2026-11-08 09:45:00 +00:00
host 4b5f2f124f chv-cell: ns 内 setuid 修复 + 单元内 DNS（上游 resolv.conf 绑定） 
- 中间进程不再先 setuid(1000) 再 unshare：真机对照实测那样
  后续 unshare(CLONE_NEWNS) 得 EPERM；改为保持 root 外层身份
  unshare（creator caps 在），孙进程在 ns 内 setgid/setuid(0)
  切到内 0（映射到外层 chv 1000）。
- 单元内 DNS：客机 /etc/resolv.conf 是 127.0.0.53 stub，单元
  独立 netns 里自己的 lo 上没有 resolver；把上游
  /run/systemd/resolve/resolv.conf 绑到 /etc/resolv.conf
  （解析 symlink 后挂真实目标），只在单元私有 mount ns 里。
- 单测：CellResolvTest（bind 参数/symlink 解析/缺失回落）
  + 规约 dns_resolv_conf 字段；P2 + 阶段 2 共 73 项全过。
 2026-11-08 09:45:00 +00:00
host afbb7772c5 fix(chv): cell 映射改由父进程写，中间进程先 setuid(1000) 
两个真机教训（2026-11-07）：
- 子进程自己写不进 uid_map：unshare 后 euid 变 overflow，
  连 /proc/self/uid_map 的 open 都 EPERM——改由父进程
  （仍在初始 ns 的 root）经 /proc/<pid>/uid_map 写。
- 映射按外层 uid 翻译：中间进程外层是 root(0) 时
  “0 1000 1” 盖不住它、新 ns 里仍是 overflow——中间进程
  须先 setgroups/setgid/setuid(1000) 再 unshare（实测
  chv 身份 unshare 在客机上可行，AppArmor 不挡）。
另：中间进程异常加 traceback（调试用）；userns 单测改测
父写映射真实路径（映射行按 split 比，内核会多空格对齐）。
 2026-11-08 09:45:00 +00:00
host a2a5624736 fix(chv): cell 后端由 nspawn 改为纯 stdlib userns 启动器 
nspawn --directory=/ 在 systemd 255.4 上走不通（2026-11-07 真机
实测，修一个冒一个）：裸 --no-new-privileges 被当成要值吞掉
下一个参数；--directory=/ 被根目录检查挡住；--volatile=state
又要 /run/host/os-release 挂载点与空 /dev（--tmpfs=/dev 不
生效）。cell 从未 live 跑通过（阶段 1 只测参数表纯函数）。
bwrap 作 chv 被 AppArmor userns 门挡住，newuidmap 客机未装。

新后端（同文件、同 CLI、同调用方）：root 起进程，中间进程
unshare 用户 ns 并自己写 uid_map/gid_map（内 0 → 外 chv
1000），再进 mount/pid/net ns、挂 fresh /proc、/tmp tmpfs、
遮蔽敏感路径（目录盖 tmpfs、文件绑 /dev/null）、设
no_new_privileges + seccomp（禁 io_uring 三件套）+ 丢
capability，最后 exec payload；父进程配 veth/NAT、等退出码、
清 NAT。veth/NAT/nsenter 流程与旧版一致，seccomp BPF 与
capability 语义与 P2 设计一致。无新依赖、无 sysctl 改动。
 2026-11-08 09:45:00 +00:00
host ef206cf554 feat(chv-guest): 对齐 Muse P2——nspawn 单元 + broker + 浏览器子代理 
- chv-cell：systemd-nspawn 单命令单元，--private-users=1000:65536
  （单元 root → 客机 chv），丢 8 项能力（含 SYS_PTRACE/NET_ADMIN），
  syscall 过滤扣 io_uring，遮蔽 /etc/chv 与 playwright，
  --network-veth（10.200.0.0/24 + NAT），白名单环境透传
- chv-broker：Unix socket + SO_PEERCRED（uid 范围 + pid ns 对照），
  白名单 ping/sync/browser；sync 只调 chv-sync（runuser -u chv）
- chv-browser：单元外独立进程，只暴露 open/snapshot/screenshot/
  close/ping，返回无障碍树快照（截断）；evaluate/content 拒绝
- build.sh：装 systemd-container/iproute2/iptables，拷入三脚本，
  建 chv-browser 用户与两个 systemd 单元；vsock_notify 条件拷入
- buildinfo：内容项加 P2 四项，支持可选 extra_contents
- 测试：cloud/tests/test_chv_muse_p2.py 40 项全过；broker/browser
  真实 socket 回路冒烟通过（root 连 broker 被拒）
- 差距表：docs/chv-muse-p2-gap.md；真机验证待测试机空闲（round 11）
  本地做，不推、不合、不部署
 2026-11-08 09:44:59 +00:00