mirror of
https://gitcode.com/JianFeeeee/HomeAgent.git
synced 2026-11-06 09:17:31 +00:00
feat(update): 差分 OTA + 安装形态分派 + 事件总线统一受安全监控
三条主线，由 e2e 实测驱动。 ## 一、差分 OTA（internal/update/delta.go） 实测：改一行逻辑，88MB 的二进制逐字节只差 80 字节，而 OTA 一直下整包。 用 rsync 族的滚动哈希块匹配（4KB 粒度），不是 bsdiff —— 后者需 17×N 峰值内存（88MB → 1.5GB），而升级恰可能发生在内存紧张时。 真实二进制实测：88,036,728 字节 → 补丁 77,316 字节（0.088%）。 三道闸：应用前验旧文件 sha256（错基线会静默产出垃圾）、应用后验结果 sha256、COPY/LITERAL 越界防护。任何失败**退回整包**，不向上抛 —— 差分是优化，不是可用性前提。 接入：Source.Resolve 优先试 delta；CheckRelease 按 -from-<commit8>.delta 匹配（不猜基线）；CLI 新增 -make-delta；打包脚本 build_delta（需 PREVIOUS_HOMED），delta 进 SHA256SUMS。 ## 二、安装形态分派（internal/update/install.go + channel.go） 内核对「能不能自己升级」此前只有一个答案：直接替换二进制。而 deb/rpm 形态下那样做会让 dpkg/rpm 数据库与实际内容不一致（下次 apt upgrade 覆盖回旧版，或 dpkg 拒绝后续升级）。 新增探测：deb/rpm/tar/container/source 五类形态 + 变体（full/server/ client/toolchain）+ 目录写权限。判据全部来自可观测系统事实（dpkg 的 info 目录、容器标记文件），不做路径推断。 三端统一走 PlanUpgrade 分派；形态闸门放在**下载 880MB 之前**。 ## 三、事件总线统一受安全监控（internal/events + security） 用户指正：「eventbus 上所有事件都要接受安全模块的监控」。 此前 EventPolicy 只被 internal/sdk/events.go 调用，而那是四条路径中的 一条。s.Publish / s.Subscribe / s.EventBus() 拿的是裸 *events.Bus， 任何插件都能绕过策略发任意事件（含伪造内核事件）。 现在闸门在 Bus.Publish/Subscribe 本体上（Guard 接口注入，避免 events ↔ security 成环），四条路径全部覆盖。sdk.EventBus() 改返回带身份的 BusHandle。内核身份免授权，但载荷照样过凭据闸门。 白名单按主体收窄：agent_output/stage/terminal_output 只允许承载者 （webui/cli/agentcli）发布 —— 它们是内核向外的输出面，谁都能发就等于 能伪造 agent 说的话。 ## e2e 暴露并修掉的三个真实回归 [bus] subscribe denied: pluginmgr type=update_request [bus] subscribe denied: skillmgr type=skill_detected 前两个让升级请求静默丢失、职责链交接断掉。内部协作事件必须可订阅 （安全边界在发布侧，订阅只是「听得到」）。 ## 顺带的止血修复 - 回滚判据从 `--version` 改为 digest：旧内核（1.3.x 及以前）没有该 flag，而它恰是最常见的回滚目标 —— 原逻辑让「从旧版升级失败」永久 无法回滚。 - CopyFile 补 fsync（替换 homed 本体时掉电会留半截文件）。 - restore 完整还原才清 marker（原先先清再还原，还原失败就失去第二次 自愈机会）。 - 回滚时移除升级中新增的 depgraph（否则「旧 homed + 新 depgraph」 会因 digest 不匹配崩溃循环）。 - homed-upgrade 不再硬编码 systemctl restart（丢 guard 状态、unit 名 漂移）；改用内核已有的 restartCh → exit 42 语义。 - homed-upgrade 不再用 CGO_ENABLED=0 编却依赖 go-sqlite3（stub 下 静默失效，该路径从未工作过）；改用 internal/config。 - 服务单元补 User=hologramagent + 三条安装路径补建用户（此前发行物里 完全没有落实降权）。 - rpm 的 fpm 调用补 --after-install（此前 rpm 装完根本不建用户）。 ## 判据 新增 30 条：差分 8（往返/压缩比/错基线/截断/篡改/边界）、通道 8、 执行器 6、事件闸门 8、按主体授权 8。全仓 go test ./... 0 失败。
This commit is contained in:
JianFeeeee
160
internal/update/executor_test.go
Normal file
160
internal/update/executor_test.go
Normal file
@ -0,0 +1,160 @@
|
||||
package update
|
||||
|
||||
// 内核侧升级执行器的判据。
|
||||
//
|
||||
// 这些用例钉住的是「谁执行」与「能不能并发」——两者错了的后果都比较重：
|
||||
// 前者会让升级依赖一个可被禁用的插件，后者会让两次升级交错替换文件。
|
||||
|
||||
import (
|
||||
"os"
|
||||
"path/filepath"
|
||||
"sync"
|
||||
"testing"
|
||||
|
||||
"github.com/JianFeeeee/HologramAgent/internal/events"
|
||||
)
|
||||
|
||||
// ① AttachExecutor 幂等：重复挂载不重复订阅。
|
||||
func TestAttachExecutor_Idempotent(t *testing.T) {
|
||||
bus := events.NewBus()
|
||||
c1 := AttachExecutor(bus, t.TempDir())
|
||||
c2 := AttachExecutor(bus, t.TempDir())
|
||||
if c1 == nil || c2 == nil {
|
||||
t.Fatal("应返回非 nil 的 cleanup")
|
||||
}
|
||||
// 第二次应返回空操作，并且不应再订阅一次
|
||||
kernelExec.mu.Lock()
|
||||
attached := kernelExec.attached
|
||||
kernelExec.mu.Unlock()
|
||||
if !attached {
|
||||
t.Error("应处于已挂载状态")
|
||||
}
|
||||
c1()
|
||||
c2()
|
||||
}
|
||||
|
||||
// ② bus 为 nil 时不 panic（未接总线的宿主）。
|
||||
func TestAttachExecutor_NilBus(t *testing.T) {
|
||||
c := AttachExecutor(nil, t.TempDir())
|
||||
if c == nil {
|
||||
t.Fatal("应返回可调用的 cleanup 而不是 nil")
|
||||
}
|
||||
c() // 不应 panic
|
||||
}
|
||||
|
||||
// ③ scope=plugin 的请求**不被内核执行器接管**。
|
||||
//
|
||||
// 这是职责边界：插件升级要 hmapdev 现场编译，那是应用域的事。
|
||||
// 内核越界去管会让两条通道互相打架。
|
||||
func TestHandleUpdateRequest_IgnoresPluginScope(t *testing.T) {
|
||||
bus := events.NewBus()
|
||||
// 清掉可能残留的挂载状态
|
||||
kernelExec.mu.Lock()
|
||||
kernelExec.running = false
|
||||
kernelExec.mu.Unlock()
|
||||
|
||||
handleUpdateRequest(&events.Event{
|
||||
Type: events.EventUpdateRequest,
|
||||
Source: "test",
|
||||
Payload: map[string]interface{}{"scope": "plugin", "name": "timer"},
|
||||
}, t.TempDir(), bus)
|
||||
|
||||
kernelExec.mu.Lock()
|
||||
running := kernelExec.running
|
||||
kernelExec.mu.Unlock()
|
||||
if running {
|
||||
t.Error("★ scope=plugin 不应被内核执行器接管")
|
||||
}
|
||||
}
|
||||
|
||||
// ④ 并发请求只允许一个通过（旧实现完全没有互斥）。
|
||||
//
|
||||
// 判据不是"返回了错误"，而是**第二个请求确实没有开始执行**：
|
||||
// 两个升级同时跑会互相覆盖备份目录、交错替换 homed 与 depgraph。
|
||||
func TestHandleUpdateRequest_RejectsConcurrent(t *testing.T) {
|
||||
bus := events.NewBus()
|
||||
|
||||
// 手工占住 running，模拟"升级进行中"
|
||||
kernelExec.mu.Lock()
|
||||
kernelExec.running = true
|
||||
kernelExec.mu.Unlock()
|
||||
t.Cleanup(func() {
|
||||
kernelExec.mu.Lock()
|
||||
kernelExec.running = false
|
||||
kernelExec.mu.Unlock()
|
||||
})
|
||||
|
||||
// 发一个 kernel 请求：应被拒绝且**不启动 goroutine**
|
||||
handleUpdateRequest(&events.Event{
|
||||
Type: events.EventUpdateRequest,
|
||||
Source: "agent",
|
||||
Payload: map[string]interface{}{"scope": "kernel", "release": true},
|
||||
}, t.TempDir(), bus)
|
||||
|
||||
// running 仍是 true（被拒绝的请求没有改动它）
|
||||
kernelExec.mu.Lock()
|
||||
stillRunning := kernelExec.running
|
||||
kernelExec.mu.Unlock()
|
||||
if !stillRunning {
|
||||
t.Error("被拒绝的并发请求不应改变 running 标志")
|
||||
}
|
||||
}
|
||||
|
||||
// ⑤ RunUpgrade 在形态不允许自替换时返回 NotExecutableError（带可执行命令）。
|
||||
//
|
||||
// 这条保证：请求方拿到的是「该走哪条通道」而不是一个裸 error。
|
||||
func TestRunUpgrade_NonExecutableReturnsPlan(t *testing.T) {
|
||||
// 造一个"不可写"的环境不可靠（root 无视权限），所以直接构造
|
||||
// 一个自替换被禁的 Capabilities 路径：用容器形态的判据。
|
||||
// 这里改为验证 NotExecutableError 本身的语义，不依赖运行环境。
|
||||
p := UpgradePlan{
|
||||
Channel: ChannelPackageManager,
|
||||
Reason: "由 dpkg 安装",
|
||||
Commands: []string{"sudo apt install --only-upgrade hologramagent-full"},
|
||||
}
|
||||
err := &NotExecutableError{Plan: p}
|
||||
msg := err.Error()
|
||||
if msg == "" {
|
||||
t.Fatal("错误消息不能为空")
|
||||
}
|
||||
if got := msg; !contains(got, "sudo apt") {
|
||||
t.Errorf("应包含可执行命令，实际: %s", got)
|
||||
}
|
||||
}
|
||||
|
||||
func contains(s, sub string) bool {
|
||||
return len(sub) == 0 || (len(s) >= len(sub) && indexOfStr(s, sub) >= 0)
|
||||
}
|
||||
|
||||
func indexOfStr(s, sub string) int {
|
||||
for i := 0; i+len(sub) <= len(s); i++ {
|
||||
if s[i:i+len(sub)] == sub {
|
||||
return i
|
||||
}
|
||||
}
|
||||
return -1
|
||||
}
|
||||
|
||||
// ⑥ 大量并发调用不产生数据竞争（配合 -race）。
|
||||
func TestHandleUpdateRequest_NoRaceOnRunning(t *testing.T) {
|
||||
bus := events.NewBus()
|
||||
kernelExec.mu.Lock()
|
||||
kernelExec.running = false
|
||||
kernelExec.mu.Unlock()
|
||||
|
||||
var wg sync.WaitGroup
|
||||
for i := 0; i < 20; i++ {
|
||||
wg.Add(1)
|
||||
go func() {
|
||||
defer wg.Done()
|
||||
handleUpdateRequest(&events.Event{
|
||||
Type: events.EventUpdateRequest,
|
||||
Source: "race",
|
||||
Payload: map[string]interface{}{"scope": "plugin"}, // 不触发执行
|
||||
}, t.TempDir(), bus)
|
||||
}()
|
||||
}
|
||||
wg.Wait()
|
||||
_ = os.Getpid
|
||||
_ = filepath.Join
|
||||
}
|
||||
Reference in New Issue
Block a user