mirror of
https://gitcode.com/JianFeeeee/HomeAgent.git
synced 2026-11-05 08:47:27 +00:00
feat(update): 差分 OTA + 安装形态分派 + 事件总线统一受安全监控
三条主线，由 e2e 实测驱动。 ## 一、差分 OTA（internal/update/delta.go） 实测：改一行逻辑，88MB 的二进制逐字节只差 80 字节，而 OTA 一直下整包。 用 rsync 族的滚动哈希块匹配（4KB 粒度），不是 bsdiff —— 后者需 17×N 峰值内存（88MB → 1.5GB），而升级恰可能发生在内存紧张时。 真实二进制实测：88,036,728 字节 → 补丁 77,316 字节（0.088%）。 三道闸：应用前验旧文件 sha256（错基线会静默产出垃圾）、应用后验结果 sha256、COPY/LITERAL 越界防护。任何失败**退回整包**，不向上抛 —— 差分是优化，不是可用性前提。 接入：Source.Resolve 优先试 delta；CheckRelease 按 -from-<commit8>.delta 匹配（不猜基线）；CLI 新增 -make-delta；打包脚本 build_delta（需 PREVIOUS_HOMED），delta 进 SHA256SUMS。 ## 二、安装形态分派（internal/update/install.go + channel.go） 内核对「能不能自己升级」此前只有一个答案：直接替换二进制。而 deb/rpm 形态下那样做会让 dpkg/rpm 数据库与实际内容不一致（下次 apt upgrade 覆盖回旧版，或 dpkg 拒绝后续升级）。 新增探测：deb/rpm/tar/container/source 五类形态 + 变体（full/server/ client/toolchain）+ 目录写权限。判据全部来自可观测系统事实（dpkg 的 info 目录、容器标记文件），不做路径推断。 三端统一走 PlanUpgrade 分派；形态闸门放在**下载 880MB 之前**。 ## 三、事件总线统一受安全监控（internal/events + security） 用户指正：「eventbus 上所有事件都要接受安全模块的监控」。 此前 EventPolicy 只被 internal/sdk/events.go 调用，而那是四条路径中的 一条。s.Publish / s.Subscribe / s.EventBus() 拿的是裸 *events.Bus， 任何插件都能绕过策略发任意事件（含伪造内核事件）。 现在闸门在 Bus.Publish/Subscribe 本体上（Guard 接口注入，避免 events ↔ security 成环），四条路径全部覆盖。sdk.EventBus() 改返回带身份的 BusHandle。内核身份免授权，但载荷照样过凭据闸门。 白名单按主体收窄：agent_output/stage/terminal_output 只允许承载者 （webui/cli/agentcli）发布 —— 它们是内核向外的输出面，谁都能发就等于 能伪造 agent 说的话。 ## e2e 暴露并修掉的三个真实回归 [bus] subscribe denied: pluginmgr type=update_request [bus] subscribe denied: skillmgr type=skill_detected 前两个让升级请求静默丢失、职责链交接断掉。内部协作事件必须可订阅 （安全边界在发布侧，订阅只是「听得到」）。 ## 顺带的止血修复 - 回滚判据从 `--version` 改为 digest：旧内核（1.3.x 及以前）没有该 flag，而它恰是最常见的回滚目标 —— 原逻辑让「从旧版升级失败」永久 无法回滚。 - CopyFile 补 fsync（替换 homed 本体时掉电会留半截文件）。 - restore 完整还原才清 marker（原先先清再还原，还原失败就失去第二次 自愈机会）。 - 回滚时移除升级中新增的 depgraph（否则「旧 homed + 新 depgraph」 会因 digest 不匹配崩溃循环）。 - homed-upgrade 不再硬编码 systemctl restart（丢 guard 状态、unit 名 漂移）；改用内核已有的 restartCh → exit 42 语义。 - homed-upgrade 不再用 CGO_ENABLED=0 编却依赖 go-sqlite3（stub 下 静默失效，该路径从未工作过）；改用 internal/config。 - 服务单元补 User=hologramagent + 三条安装路径补建用户（此前发行物里 完全没有落实降权）。 - rpm 的 fpm 调用补 --after-install（此前 rpm 装完根本不建用户）。 ## 判据 新增 30 条：差分 8（往返/压缩比/错基线/截断/篡改/边界）、通道 8、 执行器 6、事件闸门 8、按主体授权 8。全仓 go test ./... 0 失败。
This commit is contained in:
JianFeeeee
@ -5,6 +5,7 @@ SERVICE_NAME="hologramagent"
|
||||
HOMED_BIN="/usr/bin/homed"
|
||||
DATA_DIR="/var/lib/hologram"
|
||||
SETUP_SH="/usr/lib/hologram/setup.sh"
|
||||
SETUP_USER_SH="/usr/lib/hologram/setup-user.sh"
|
||||
|
||||
# unit 由本包装到 /etc/systemd/system/，而旧 postinst 只查
|
||||
# /lib/systemd/system/（merged-usr 下等于 /usr/lib/systemd/system，那里没有
|
||||
@ -25,6 +26,18 @@ find_unit() {
|
||||
case "$1" in
|
||||
configure)
|
||||
if [ -f "$HOMED_BIN" ]; then
|
||||
# ★ 先建用户/组：服务单元写死了 User=hologramagent。
|
||||
# 缺用户时 systemd 会拒绕启动（响亮失败），但用户装完起不来同样是事故。
|
||||
# 必须在 chown/mkdir 之前 —— 否则首次安装会把数据目录建成 root 所有。
|
||||
if [ -x "$SETUP_USER_SH" ]; then
|
||||
HOLOGRAM_DATA="$DATA_DIR" "$SETUP_USER_SH" || {
|
||||
echo "E: 无法创建 hologramagent 用户 —— 服务将无法启动。" >&2
|
||||
echo "E: 请手工执行：$SETUP_USER_SH" >&2
|
||||
}
|
||||
else
|
||||
echo "W: 未找到 $SETUP_USER_SH，跳过用户创建（首次安装会因缺用户而启动失败）。" >&2
|
||||
fi
|
||||
|
||||
mkdir -p "$DATA_DIR"
|
||||
|
||||
# 初始化凭据和数据库。
|
||||
|
||||
@ -57,10 +57,14 @@ hologram-gui (desktop GUI). Connects to a remote HologramAgent server.
|
||||
mkdir -p %{buildroot}%{_bindir}
|
||||
mkdir -p %{buildroot}%{_unitdir}
|
||||
mkdir -p %{buildroot}%{_varlibdir}
|
||||
mkdir -p %{buildroot}/usr/lib/hologram
|
||||
|
||||
%if "%{variant}" == "full" || "%{variant}" == "server"
|
||||
install -m 755 %{_sourcedir}/homed %{buildroot}%{_bindir}/homed
|
||||
install -m 644 %{_sourcedir}/hologramagent.service %{buildroot}%{_unitdir}/hologramagent.service
|
||||
# 服务单元写死了 User=hologramagent，用户创建是安装契约的一部分。
|
||||
# 与 deb 的 postinst 共用同一份幂等 helper，不另写一套。
|
||||
install -m 755 %{_sourcedir}/setup-user.sh %{buildroot}/usr/lib/hologram/setup-user.sh
|
||||
%endif
|
||||
|
||||
# waiter 三个变体都要：server 也含 CLI（对齐 deb 的 stage_variant
|
||||
@ -79,6 +83,7 @@ cp -r %{_sourcedir}/hologram-gui-linux-*/* %{buildroot}%{_datadir}/hologram-gui/
|
||||
%{_bindir}/homed
|
||||
%{_unitdir}/hologramagent.service
|
||||
%dir %{_varlibdir}
|
||||
/usr/lib/hologram/setup-user.sh
|
||||
%endif
|
||||
|
||||
%{_bindir}/waiter
|
||||
@ -90,6 +95,13 @@ cp -r %{_sourcedir}/hologram-gui-linux-*/* %{buildroot}%{_datadir}/hologram-gui/
|
||||
|
||||
%post
|
||||
%if "%{variant}" == "full" || "%{variant}" == "server"
|
||||
# ★ 先建用户/组：单元里是 User=hologramagent。
|
||||
# 缺用户时 systemd 会拒绕启动（响亮失败），但装完起不来同样是事故。
|
||||
# 必须在 mkdir/chown 之前 —— 否则首次安装会把数据目录建成 root 所有。
|
||||
if [ -x /usr/lib/hologram/setup-user.sh ]; then
|
||||
HOLOGRAM_DATA=%{_varlibdir} /usr/lib/hologram/setup-user.sh || \
|
||||
echo "warning: 无法创建 hologramagent 用户，服务将无法启动" >&2
|
||||
fi
|
||||
mkdir -p %{_varlibdir}
|
||||
%systemd_post hologramagent.service
|
||||
%endif
|
||||
|
||||
72
deploy/packaging/linux/setup-user.sh
Executable file
72
deploy/packaging/linux/setup-user.sh
Executable file
@ -0,0 +1,72 @@
|
||||
#!/bin/sh
|
||||
# 创建 HologramAgent 的系统用户与组（幂等）。
|
||||
#
|
||||
# ## 为什么需要单独一个脚本
|
||||
#
|
||||
# 服务单元现在写死了 `User=hologramagent`。若安装时没有这个用户，
|
||||
# systemd 会在启动时报 "Failed to determine user credentials" 并拒绝启动
|
||||
# —— 这是**响亮失败**，比默默用 root 好，但用户装完起不来同样是事故。
|
||||
#
|
||||
# 三条安装路径（deb postinst / rpm %pre / tar install.sh）都要它，
|
||||
# 各写一遍必然漂移（本仓已多次踩过这个坑）。所以收敛到这一个文件，
|
||||
# 由打包脚本装到 /usr/lib/hologram/ 并调用。
|
||||
#
|
||||
# ## 为什么优先 systemd-sysusers
|
||||
#
|
||||
# sysusers 是声明式、幂等的，且不会：
|
||||
# · 给用户分配一个可猜测的 UID（useradd --system 也还行）
|
||||
# · 在 /etc/passwd 里留下不一致的 home/shell
|
||||
# 老系统没有 sysusers 时退回 useradd。
|
||||
#
|
||||
# ## 为什么 shell 是 nologin
|
||||
#
|
||||
# 服务不需要登录。留 /bin/sh 会让这个账户成为一个可用的远程登录目标
|
||||
# （配合弱密码或密钥泄露）。nologin 让"有这个账户"不再是攻击面。
|
||||
set -e
|
||||
|
||||
USER_NAME="${HOLOGRAM_USER:-hologramagent}"
|
||||
GROUP_NAME="${HOLOGRAM_GROUP:-hologramagent}"
|
||||
DATA_DIR="${HOLOGRAM_DATA:-/var/lib/hologram}"
|
||||
|
||||
if ! command -v getent >/dev/null 2>&1; then
|
||||
echo "W: 找不到 getent，跳过用户创建检查" >&2
|
||||
exit 0
|
||||
fi
|
||||
|
||||
# 组
|
||||
if ! getent group "$GROUP_NAME" >/dev/null 2>&1; then
|
||||
if command -v groupadd >/dev/null 2>&1; then
|
||||
groupadd --system "$GROUP_NAME" 2>/dev/null || true
|
||||
fi
|
||||
fi
|
||||
|
||||
# 用户
|
||||
if ! getent passwd "$USER_NAME" >/dev/null 2>&1; then
|
||||
if command -v systemd-sysusers >/dev/null 2>&1; then
|
||||
# 声明式：重复执行无副作用
|
||||
printf 'u %s - "HologramAgent service" %s %s\n' \
|
||||
"$USER_NAME" "$DATA_DIR" "/usr/sbin/nologin" \
|
||||
| systemd-sysusers - 2>/dev/null || true
|
||||
fi
|
||||
# sysusers 未生效（老系统）时退回 useradd
|
||||
if ! getent passwd "$USER_NAME" >/dev/null 2>&1 && command -v useradd >/dev/null 2>&1; then
|
||||
useradd --system \
|
||||
--gid "$GROUP_NAME" \
|
||||
--home-dir "$DATA_DIR" \
|
||||
--shell /usr/sbin/nologin \
|
||||
--comment "HologramAgent service" \
|
||||
"$USER_NAME" 2>/dev/null || true
|
||||
fi
|
||||
fi
|
||||
|
||||
if ! getent passwd "$USER_NAME" >/dev/null 2>&1; then
|
||||
echo "E: 无法创建用户 $USER_NAME —— 服务单元要求 User=$USER_NAME，将无法启动。" >&2
|
||||
echo "E: 请手工创建：useradd --system --gid $GROUP_NAME --home-dir $DATA_DIR --shell /usr/sbin/nologin $USER_NAME" >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
# 数据目录属主（首次安装时目录可能还不存在）
|
||||
mkdir -p "$DATA_DIR" 2>/dev/null || true
|
||||
chown -R "$USER_NAME:$GROUP_NAME" "$DATA_DIR" 2>/dev/null || true
|
||||
|
||||
exit 0
|
||||
Reference in New Issue
Block a user