jianf/HomeAgent
1
0
Fork 0
mirror of https://gitcode.com/JianFeeeee/HomeAgent.git synced 2026-11-06 17:27:31 +00:00
Code Issues Packages Projects Releases Wiki Activity

fix(update): dataDir 取内核权威源 + 回滚可信校验 + marker 原子写

Browse Source 
承上一个 commit（回退 85fd38b）。本 commit 是 R2 主体：B0/B1/B2 三项修复，
以及为 P1–P4 补齐的**行为级**判据。

━━━ B0 · dataDir 不再推导，取内核真实 -data ━━━

`internal/update/kernel.go`
  · 删除 ResolveDataDir（env → `<exe>/data` 兜底）。
  · 新增 SetKernelDataDir / KernelDataDir：值由内核适配层在启动时
    用 ks.DataDir 注入。进程内调用方（pluginmgr / webui）直接取，
    不做任何推导；取不到返回**空串**。
  · DataDirEnv 保留但降级为诊断参考（不再是合法来源）。

`internal/kernelmod/update/mod.go`
  · Init 里 upd.SetKernelDataDir(ks.DataDir)；为空时打响亮告警
    （不阻断启动 —— 第 0 层职责是回滚判定，不是参数校验）。

`internal/plugins/pluginmgr/kernel_update.go`、`internal/plugins/webui/kernel_update.go`
  · kernelDataDir / dataDirOf 都改为 return update.KernelDataDir()。

`cmd/homed-upgrade/main.go`
  · upgradeDataDir(explicit)：① `-data <dir>`；② config.db 的
    core.daemon.data_dir（只读连接 + PRAGMA query_only=1，不建表不迁移）。
  · 两者都拿不到 ⇒ 返回空串 ⇒ `-apply` 在动手之前就 fail 并说明怎么修。

→ 这样 P1 的空值守卫重新变成**活的**：拿不到真实 dataDir 就真的会拦。

━━━ B1 · 回滚可信：回读校验是唯一判据（判据 B1）━━━

`internal/update/rollback.go` — RollbackIfUnconfirmed
  · rollback.go:315 `rb, verr := readBinVersionStrict(binPath)`
    替换后**必须**回读成功且 rb.Version == rec.FromVer，否则
    rolled=false + error + **不清 marker**（下次启动再试，并让人看到日志）。
    CopyFile 返回 nil 只代表字节搬完了，不代表搬过去的东西能执行。
  · rollback.go:254 确认分支同样改用 readBinVersionStrict。
    这里曾经用 ReadBinVersion —— 它含 InferVersionFromRunning 回退，
    已实测：binPath 是不可执行残文件、marker.ToVer 恰好等于本机 waiter
    版本时，会从 waiter **借到**版本号 ⇒ confirmed=true ⇒ 清 marker、
    不回滚 ⇒ 机器带着跑不起来的二进制继续启动且失去自愈机会。
    该缺陷环境相关（CI 没装 homed/waiter 会绿），故判据不能依赖本机环境。
  · 备份缺失 / 回读失败 / 版本不符 / depgraph 回滚失败 —— 四种情形
    一律不清 marker。
  · 新增 readBinVersionStrict（kernel.go）：只认「这个文件自己能报出版本」，
    无任何回退；ReadBinVersion 改为其包装器（保留探测用回退），
    注释写明它**不能**用作回滚校验。

━━━ B2 · marker 原子 + 损坏不卡启动（判据 B2）━━━

`internal/update/rollback.go` — MarkPendingUpgrade
  · 旧实现 os.WriteFile 直接覆写（O_TRUNC），掉电留半截 JSON。
  · 现改为：写 <path>.tmp → fsync(文件) → rename(原子) → fsync(目录)。
    目录 fsync 失败仅告警（容器/tmpfs 下 EINVAL 不该阻断升级）。
    rollback.go:112 `if err := f.Sync(); err != nil {` 即这条链路的第一道闸。
  · RollbackIfUnconfirmed 遇到解析不了的 marker：quarantineMarker 改名
    留存（不删，保留现场）+ 告警 + return false,"","",nil
    ⇒ 当作「无待确认升级」继续启动。把内核卡在启动阶段是最差选择：
    能执行到这行已证明当前二进制可执行。

`internal/kernelmod/update/mod.go`
  · 补注释钉住语义：rerr != nil 必须中止启动；但 marker **损坏**不算
    失败（已由 RollbackIfUnconfirmed 吞掉并改名留存）。

━━━ 判据补齐（行为级，修掉 M6 真空洞）━━━

`internal/update/kernel_apply_test.go`
  · P1 TestApplyRefusesEmptyDataDir 加强：切到 t.TempDir() 并拍快照，
    断言拒绝升级时**根本没写任何文件**（旧用例只查「目标二进制没变」，
    把守卫挪到预检之后依旧绿 —— 因为 filepath.Join("", prefix) 会把
    备份目录建到 CWD）。
  · P3 新增 TestApplyPrunesOldBackups：预置 5 个历史备份后跑真实 Apply，
    断言旧的被 GC。★ 这是补 M6 的真空洞 —— 旧的变异脚本只跑
    `-run TestPruneOldBackups`（只证明函数能跑，3 毫秒），把 Apply 里
    那一行 PruneOldBackups(dataDir) 删掉它照样绿；新脚本必须同时跑
    TestApplyPrunesOldBackups，删掉调用后立刻报红。
    「函数能跑」≠「Apply 真的调了它」。
  · B1 新增 TestRollback_RefusesCorruptBackup（零字节/坏备份 ⇒ 必须
    回滚失败且不清 marker）、TestRollback_RefusesVersionMismatch
    （备份版本 ≠ FromVer ⇒ 同样失败）、
    TestRollback_ConfirmedBranchIgnoresInferredVersion 与
    TestConfirmedBranch_StrictProbeBitesOnUnparseable（确认分支不得
    使用推断值；用可注入的 inferHomedPath/inferWaiterPath 造出
    「能借到版本」的场景，不依赖本机是否装了 homed/waiter）。
  · B2 新增 TestMarkPendingUpgrade_IsAtomic、
    TestRollback_CorruptMarkerDoesNotBlockBoot。

`internal/update/rollback_test.go`
  · TestRollback_RestoresBackup / TestRollback_RollsBackWhenRunningOldVersion
    的备份从纯字节 "OLD-GOOD" 改为**真正可执行**的假二进制（1.4.0），
    并按版本而非按字节断言。旧的写法只能测「字节搬对了」，测不到
    「搬过去的东西能跑」—— 而后者才是回滚能救机器的前提。

`internal/update/kernel.go`
  · inferHomedPath / inferWaiterPath 提为包级变量（生产默认值不变），
    唯一目的是让「确认分支不得使用推断值」这条判据可稳定复现。

━━━ 判据锚点自检（grep -F 命中数均为 1，行号已核对）━━━

	P1  kernel.go:348     if dataDir == "" {
	P2  kernel.go:370     backup := filepath.Join(dataDir, BackupDirPrefix+ts)
	P3  kernel.go:449     PruneOldBackups(dataDir)
	P4  kernel.go:445     publishResult(bus, "kernel", "", true, …)
	P4  events.go:69      "error":       errMsg,
	B1  rollback.go:254   if cur, cerr := readBinVersionStrict(binPath); cerr == nil {
	B1  rollback.go:315   rb, verr := readBinVersionStrict(binPath)
	B2  rollback.go:112   if err := f.Sync(); err != nil {

验证：go build ./... 通过；go test ./internal/update/ 通过。
This commit is contained in:
JianFeeeee
2026-10-28 17:51:52 +08:00
parent a8ecb8257c
commit 1319d6619c
8 changed files with 802 additions and 98 deletions
Download Patch File Download Diff File Expand all files Collapse all files

39
internal/update/rollback_test.go
View File

@ -98,15 +98,29 @@ func TestRollback_RestoresBackup(t *testing.T) {
bin := filepath.Join(dir, "homed")
// 备份目录里放"旧版"
//
// ★ 必须是**真正可执行**的假二进制（版本 1.4.0 = 下面标记里的 FromVer）。
// 以前这里放的是纯字节 "OLD-GOOD"，只能测"字节搬对了"，测不到
// "搬过去的东西能跑" —— 而后者才是回滚能救机器的前提。B1 加了
// 回读校验后，非可执行备份必须被判失败（见 TestRollback_RefusesCorruptBackup）。
backupDir := filepath.Join(dir, "backup")
os.MkdirAll(backupDir, 0755)
oldBin := filepath.Join(backupDir, "homed")
os.WriteFile(oldBin, []byte("OLD-GOOD"), 0755)
os.WriteFile(filepath.Join(backupDir, "depgraph.bin"), []byte("OLD-DG"), 0644)
oldBin := writeVersionScript(t, backupDir, "homed", "1.4.0", "old")
if err := os.WriteFile(filepath.Join(backupDir, "depgraph.bin"), []byte("OLD-DG"), 0644); err != nil {
t.Fatal(err)
}
// 当前是"升级后的坏版本"
os.WriteFile(bin, []byte("NEW-BROKEN"), 0755)
os.WriteFile(filepath.Join(dir, "depgraph.bin"), []byte("NEW-DG"), 0644)
// 当前是"升级后坏掉的版本"：半写坏的、根本跑不起来的字节。
//
// ★ 必须让它**读不出版本**（而不是报 ToVer）：按两段式确认的语义，
// 当前版本 == 标记的 ToVer 意味着"新版已跑起来" ⇒ 确认、不回滚。
// 真实需要回滚的场景恰恰是"新二进制装上去但没跑起来"（exec 失败/半写）。
if err := os.WriteFile(bin, []byte("NEW-BROKEN"), 0755); err != nil {
t.Fatal(err)
}
if err := os.WriteFile(filepath.Join(dir, "depgraph.bin"), []byte("NEW-DG"), 0644); err != nil {
t.Fatal(err)
}
MarkPendingUpgrade(dir, PendingRecord{
FromVer: "1.4.0", FromCommit: "old",
@ -125,11 +139,13 @@ func TestRollback_RestoresBackup(t *testing.T) {
t.Errorf("版本轨迹应记录 from/to，实际 %s → %s", from, to)
}
// ① 二进制回到旧版
b, _ := os.ReadFile(bin)
if string(b) != "OLD-GOOD" {
t.Errorf("二进制应回滚到旧版，实际 %q", b)
// ① 二进制回到旧版（按**版本**断言，而不是按字节）
if v, verr := ReadBinVersion(bin); verr != nil {
t.Errorf("回滚后的二进制应可执行: %v", verr)
} else if v.Version != "1.4.0" {
t.Errorf("二进制应回滚到 1.4.0，实际 %s", v.Version)
}
_ = oldBin
// ② depgraph 同批回滚（必须与 homed 一致）
dg, _ := os.ReadFile(filepath.Join(dir, "depgraph.bin"))
if string(dg) != "OLD-DG" {
@ -293,7 +309,8 @@ func TestRollback_RollsBackWhenRunningOldVersion(t *testing.T) {
backupDir := filepath.Join(dir, "backup")
os.MkdirAll(backupDir, 0755)
os.WriteFile(filepath.Join(backupDir, "homed"), []byte("OLD-GOOD"), 0755)
// 可执行的 1.4.0（= FromVer）：回读校验要能通过
writeVersionScript(t, backupDir, "homed", "1.4.0", "oldcommit")
MarkPendingUpgrade(dir, PendingRecord{
FromVer: "1.4.0", FromCommit: "oldcommit",