feat(update): 差分 OTA + 安装形态分派 + 事件总线统一受安全监控

三条主线，由 e2e 实测驱动。 ## 一、差分 OTA（internal/update/delta.go）实测：改一行逻辑，88MB 的二进制逐字节只差 80 字节，而 OTA 一直下整包。用 rsync 族的滚动哈希块匹配（4KB 粒度），不是 bsdiff —— 后者需 17×N 峰值内存（88MB → 1.5GB），而升级恰可能发生在内存紧张时。真实二进制实测：88,036,728 字节 → 补丁 77,316 字节（0.088%）。三道闸：应用前验旧文件 sha256（错基线会静默产出垃圾）、应用后验结果 sha256、COPY/LITERAL 越界防护。任何失败**退回整包**，不向上抛 —— 差分是优化，不是可用性前提。接入：Source.Resolve 优先试 delta；CheckRelease 按 -from-<commit8>.delta 匹配（不猜基线）；CLI 新增 -make-delta；打包脚本 build_delta（需 PREVIOUS_HOMED），delta 进 SHA256SUMS。 ## 二、安装形态分派（internal/update/install.go + channel.go）内核对「能不能自己升级」此前只有一个答案：直接替换二进制。而 deb/rpm 形态下那样做会让 dpkg/rpm 数据库与实际内容不一致（下次 apt upgrade 覆盖回旧版，或 dpkg 拒绝后续升级）。新增探测：deb/rpm/tar/container/source 五类形态 + 变体（full/server/ client/toolchain）+ 目录写权限。判据全部来自可观测系统事实（dpkg 的 info 目录、容器标记文件），不做路径推断。三端统一走 PlanUpgrade 分派；形态闸门放在**下载 880MB 之前**。 ## 三、事件总线统一受安全监控（internal/events + security）用户指正：「eventbus 上所有事件都要接受安全模块的监控」。此前 EventPolicy 只被 internal/sdk/events.go 调用，而那是四条路径中的一条。s.Publish / s.Subscribe / s.EventBus() 拿的是裸 *events.Bus，任何插件都能绕过策略发任意事件（含伪造内核事件）。现在闸门在 Bus.Publish/Subscribe 本体上（Guard 接口注入，避免 events ↔ security 成环），四条路径全部覆盖。sdk.EventBus() 改返回带身份的 BusHandle。内核身份免授权，但载荷照样过凭据闸门。白名单按主体收窄：agent_output/stage/terminal_output 只允许承载者（webui/cli/agentcli）发布 —— 它们是内核向外的输出面，谁都能发就等于能伪造 agent 说的话。 ## e2e 暴露并修掉的三个真实回归 [bus] subscribe denied: pluginmgr type=update_request [bus] subscribe denied: skillmgr type=skill_detected 前两个让升级请求静默丢失、职责链交接断掉。内部协作事件必须可订阅（安全边界在发布侧，订阅只是「听得到」）。 ## 顺带的止血修复 - 回滚判据从 `--version` 改为 digest：旧内核（1.3.x 及以前）没有该 flag，而它恰是最常见的回滚目标 —— 原逻辑让「从旧版升级失败」永久无法回滚。 - CopyFile 补 fsync（替换 homed 本体时掉电会留半截文件）。 - restore 完整还原才清 marker（原先先清再还原，还原失败就失去第二次自愈机会）。 - 回滚时移除升级中新增的 depgraph（否则「旧 homed + 新 depgraph」会因 digest 不匹配崩溃循环）。 - homed-upgrade 不再硬编码 systemctl restart（丢 guard 状态、unit 名漂移）；改用内核已有的 restartCh → exit 42 语义。 - homed-upgrade 不再用 CGO_ENABLED=0 编却依赖 go-sqlite3（stub 下静默失效，该路径从未工作过）；改用 internal/config。 - 服务单元补 User=hologramagent + 三条安装路径补建用户（此前发行物里完全没有落实降权）。 - rpm 的 fpm 调用补 --after-install（此前 rpm 装完根本不建用户）。 ## 判据新增 30 条：差分 8（往返/压缩比/错基线/截断/篡改/边界）、通道 8、执行器 6、事件闸门 8、按主体授权 8。全仓 go test ./... 0 失败。
2026-11-06 17:27:31 +00:00 · 2026-10-29 09:54:55 +08:00
parent 7f68d2b1bf
commit ba281a855a
42 changed files with 4897 additions and 272 deletions
--- a/internal/update/fsutil.go
+++ b/internal/update/fsutil.go
@ -0,0 +1,145 @@
+package update
+
+// 文件写入的**唯一**原语。
+//
+// ## 为什么必须收敛到这里
+//
+// 全仓曾经有 5 处各自实现的「写临时文件 → rename」：
+//
+//	internal/memory/pipeline/pipeline.go  writeFileAtomic
+//	internal/security/store.go            写密钥库
+//	internal/update/release.go            downloadFile
+//	internal/update/kernel.go             CopyFile
+//	internal/update/rollback.go           （PR 前是直接 os.WriteFile）
+//
+// 它们的行为不一致，而且**只有一处**在 rename 前 fsync。不一致的方向
+// 恰恰是危险的那一侧：没有 fsync 的 rename 在掉电后可能留下**零长度**
+// 或**半截**的目标文件 —— rename 的原子性只保证"名字指向谁"，不保证
+// "内容已落盘"。
+//
+// 升级路径上这个问题不可接受：homed 被替换成半截文件 ⇒ 内核起不来，
+// 而 pending 标记可能已经清了 ⇒ 无法回滚。
+//
+// ## 三条不变量
+//
+//  1. 目标路径在任何时刻要么是**完整的旧内容**、要么是**完整的新内容**
+//  2. 返回 nil 意味着内容**已落盘**（fsync 过），不只是交给了页缓存
+//  3. 失败时**不动**目标文件（临时文件被清掉）
+
+import (
+	"fmt"
+	"io"
+	"os"
+	"path/filepath"
+)
+
+// 临时文件后缀。刻意区分于 Apply 的 ".tmp-upgrade"：
+// 那个是旧实现的遗留命名，新代码统一用 WriteFileAtomic/CopyFileAtomic。
+const atomicTmpSuffix = ".tmp-atomic"
+
+// WriteFileAtomic 原子地写入文件（临时文件 → fsync → rename → fsync 目录）。
+//
+// perm 只在新文件创建时生效；目标已存在时保留其原有权限位
+// （升级替换 homed 时不能因为传了 0644 就把可执行位丢掉）。
+func WriteFileAtomic(path string, data []byte, perm os.FileMode) error {
+	dir := filepath.Dir(path)
+	if err := os.MkdirAll(dir, 0755); err != nil {
+		return fmt.Errorf("建目录 %s: %w", dir, err)
+	}
+	mode := perm
+	if st, err := os.Stat(path); err == nil {
+		mode = st.Mode().Perm()
+	}
+	tmp := path + atomicTmpSuffix
+	f, err := os.OpenFile(tmp, os.O_CREATE|os.O_WRONLY|os.O_TRUNC, mode)
+	if err != nil {
+		return fmt.Errorf("建临时文件 %s: %w", tmp, err)
+	}
+	cleanup := func() {
+		f.Close()
+		os.Remove(tmp)
+	}
+	if _, err := f.Write(data); err != nil {
+		cleanup()
+		return fmt.Errorf("写 %s: %w", tmp, err)
+	}
+	// ★ fsync 必须在 Close 之前：Close 只把数据交给内核页缓存。
+	if err := f.Sync(); err != nil {
+		cleanup()
+		return fmt.Errorf("fsync %s: %w", tmp, err)
+	}
+	if err := f.Close(); err != nil {
+		os.Remove(tmp)
+		return fmt.Errorf("close %s: %w", tmp, err)
+	}
+	if err := os.Rename(tmp, path); err != nil {
+		os.Remove(tmp)
+		return fmt.Errorf("rename %s → %s: %w", tmp, path, err)
+	}
+	syncDir(dir)
+	return nil
+}
+
+// CopyFileAtomic 原子地复制文件（用于替换可执行文件）。
+//
+// 与 WriteFileAtomic 的差别只有来源：这里流式拷贝，避免把 88MB 的
+// 二进制整个读进内存。
+//
+// ★ 权限位取**源文件**的（升级包里的 homed 是 0755，必须保留可执行位）。
+func CopyFileAtomic(src, dst string) error {
+	in, err := os.Open(src)
+	if err != nil {
+		return err
+	}
+	defer in.Close()
+	st, err := in.Stat()
+	if err != nil {
+		return err
+	}
+	dir := filepath.Dir(dst)
+	if err := os.MkdirAll(dir, 0755); err != nil {
+		return fmt.Errorf("建目录 %s: %w", dir, err)
+	}
+	tmp := dst + atomicTmpSuffix
+	out, err := os.OpenFile(tmp, os.O_CREATE|os.O_WRONLY|os.O_TRUNC, st.Mode().Perm())
+	if err != nil {
+		return fmt.Errorf("建临时文件 %s: %w", tmp, err)
+	}
+	cleanup := func() {
+		out.Close()
+		os.Remove(tmp)
+	}
+	if _, err := io.Copy(out, in); err != nil {
+		cleanup()
+		return fmt.Errorf("拷贝 %s → %s: %w", src, tmp, err)
+	}
+	if err := out.Sync(); err != nil {
+		cleanup()
+		return fmt.Errorf("fsync %s: %w", tmp, err)
+	}
+	if err := out.Close(); err != nil {
+		os.Remove(tmp)
+		return fmt.Errorf("close %s: %w", tmp, err)
+	}
+	if err := os.Rename(tmp, dst); err != nil {
+		os.Remove(tmp)
+		return fmt.Errorf("rename %s → %s: %w", tmp, dst, err)
+	}
+	syncDir(dir)
+	return nil
+}
+
+// syncDir 让 rename 本身落盘。
+//
+// ★ 失败只忽略，不报错：部分文件系统（overlay/tmpfs/容器层）对目录
+// fsync 返回 EINVAL。此时 rename 已完成、内容已正确，为此让升级失败
+// 只会把可用环境弄成不可用。方向是安全的：最坏情况是掉电后连 rename
+// 都没生效，磁盘上留的仍是**完整的旧文件**。
+func syncDir(dir string) {
+	d, err := os.Open(dir)
+	if err != nil {
+		return
+	}
+	defer d.Close()
+	_ = d.Sync()
+}