3 Commits

Author	SHA1	Message	Date
JianFeeeee	8dff678640	test: 按模块导出接口重写黑盒判据（批次 2：security/events/safeclose/kstate） ... 延续批次 1 的形态：只调模块**本来就有**的导出接口，输入 → 可观察输出。 4 个文件全部在 `<module>/test/`，源码目录仍零 `_test.go`。 共 24 条判据，每模块 1 个文件。 ## 各模块的接口清单与判据 ### internal/security —— NewCodec / Seal / Open / Domain / Enabled TestCodecSealOpenRoundTrip Seal → Open 得回原文；Seal 不返回原文 TestCodecDomainSeparation 不同 domain 的密文互不通用 TestCodecWrongKeyCannotOpen 换钥后旧密文不可读 TestCodecEnabledAndDomain 元信息输出；nil Codec 不报 Enabled TestCodecOldKeysStillDecrypt NewCodecWithOldKeys 轮换后旧密文可读 TestCodecOpenLegacyPlaintextPassthrough 旧明文原样透传 TestCodecOpenRejectsCorruptedCiphertext 带密文前缀但内容坏掉必须报错 **判据写错过一次并修正**：第一版把 `Open("not-a-cipher")` 也要求报错， 实测红。查实现（codec.go:138）确认那是**明确的兼容契约** —— 加密是后来加的， 库里存在未加密的历史值，判成错误会让整库读不出来。改成两条： 旧明文透传 / 损坏密文报错。把差异显式写下来。 ### internal/events —— NewBus / Subscribe / Publish / SetGuard TestPublishDeliversPayload 订阅后发布，handler 收到原 Payload TestUnsubscribeStopsDelivery 退订后不再收到 TestOnlyMatchingTypeReceives 不同事件类型不串台 TestPublisherIdentity 空 Name = 内核，非空 = 插件 TestSetGuardRoundTrip SetGuard → Guard 拿回同一守卫 `Guard` stub 按真实接口签名实现（AllowPublish 返回 `(bool, string)`、 Scrub* 返回 map），不是猜的。 ### internal/safeclose —— Safe / SafeFunc TestSafeFuncIsIdempotent 连调 5 次不 panic，channel 确已关闭 TestSafeReturnsFiredOnce 同一把 Once 只有第一次返回 true TestSafeRejectsNilInputs nil once / nil chan 安全返回 false TestConcurrentCloseIsSafe 8 goroutine 并发关同一 channel 不用任何 `NewOnceForTest` 之类的测试钩子 —— `sync.Once` 由调用方自己造， 这正是模块本来的公开用法。 ### internal/kstate —— NewSyncBus / Mount / Get / State TestSyncBusReadyLifecycle MarkDeclared/MarkReady → IsReady/AllReady/Missing TestSyncBusReadyInOrderIsStable 就绪顺序可复现，重复标记不重复记录 TestSyncBusKnownVsReady 声明过 ≠ 已就绪 TestSyncBusKernelComplete 内核完成标记可观察 TestSyncBusSnapshotIsCopy 外部改快照不影响总线 TestMountGet Mount → Get 拿到同一份状态 TestStateCloseAllInvokesClosers AddCloser 注册的清理被调用 不用 `MountForTest`（上一轮已删除）：直接用 `Mount` + `Get` 断言输出。 ## 变异验证（改回旧实现必须红） security Seal 直接返回原文 → ★ Seal 返回了原文 —— 没有加密 events 退订函数变空操作 → ★ 退订后仍收到 1 次 kstate MarkReady 不记 order → ★ ReadyInOrder = []，期望 [a b] safeclose Safe 不用 sync.Once → panic: close of closed channel 前两条第一版变异因文本形态不匹配**没有变红**，重做后确认判据有效 —— 空变异不算变异验证，这一点按纪律写清楚。 ## 验证 go build ./... PASS go vet ./... PASS gofmt -l 干净 python3 .github/scripts/check-ci-gates.py PASS go test ./... -count=1 13 个测试包 / 100 包无测试 / 0 FAIL 4 个新包 -race 全绿 源码目录 _test.go 0	2026-11-09 12:21:13 +08:00
JianFeeeee	53cdc7f2a6	refactor(test): 肃清全部白盒测试 —— 源码目录零 _test.go，判据只走模块导出接口 ... ## 用户裁定（本次唯一方向） 1. 「测试不应该面向过程而是面向模块的输入和输出」 2. 「每个模块下应该使用 test 目录搜集所有测试文件，而不是和源码混在一起」 3. 「现在 test 都超过源码数量了，这很明显不符合模块接口黑盒化的要求」 4. 「ast判包依赖？这不是工具链该做的吗？为什么在测试里」 5. 「抽行为判据？只需要面向模块输入接受模块输出就行」 6. 「不管ci，直接把所有白盒测试全清理了再回去一鼓作气改ci」 ## 实测起点 537 个测试文件 / 377 个源码文件 / 2853 条 Test 523 / 537（97%）直接调用私有函数 514 个是 in-package 白盒（package xxx，与源码同目录） 88 个读 .go/.md 源码做断言 94 个断言私有字段（f.Step / r.buf / a.sched …） 38 个直调私有函数（stepLLM / runStage / classifyProviderError …） internal/agent/core: 140 test / 52 src ## 做了什么 ### ① 删除 514 个 in-package 白盒测试 不做「抽行为判据」，也不做逐文件搬运。理由：Go 按目录分包， `pkg/test/` 里写 `package pkg` 也看不到 unexported 符号 —— 所以 「挪进 test/」和「改成黑盒」是同一件事的两面。把 514 个白盒文件 搬走只会得到一堆编译不过的文件，或者为了迁就它们把内部全导出。 用户明确否定「抽」这个动作后，剩下 9 个 test/ 里的判据也一并 重新审视：凡是靠读源码/前端资源文本做断言的（dashboardJSSource / FrontendAsset / GraphDataForVisual / SSEEventRing …）全部删除， 只留走模块**本来就有**的公开 API 的输入→输出判据： internal/agent/core/child/test/ Registry 的 Add/Get/Stop/Remove 输出 internal/agent/core/test/ StageHost 的 Register/Run 输出 internal/plugins/files/test/ 工具 handler 的 {path} → {content/error} internal/plugins/webui/test/ HTTP 请求 → 响应（NewHandler/RegisterRoutes） internal/tfidf/test/ 文本 → 向量/检索结果 现存 9 个测试文件全部在 `<module>/test/`，源码目录零 `_test.go`。 ### ② 回退「为测试而导出」的接口 这些是前几轮为了把白盒判据挪出源码目录而导出的，属于白盒残留， 现在没有调用方了，全部收回私有： webui.FrontendAsset / DashboardPage 删除 webui.GraphDataForVisual → graphDataForVisual webui.SSEEventRing/Record → sseEventRing/sseEventRecord（含字段） webui.NewSSEEventRing 删除 kstate.MountForTest 删除 security.ClassifyPrincipalForTest 删除 生产代码对它们的内部调用同步改回私有名，不改任何行为。 ### ③ CI 一鼓作气改到位（用户指定顺序） **删**：`整机启动图判据` 单列步骤（它跑的 bootgraph_test.go 已删）， 以及 `check-ci-gates.py` 里盯着那个步骤的断言 —— 继续盯着一个 不存在的步骤就是永远红的空转。 **加两道构建期静态门**（原先这些约束错放在 go test 里）： - `测试归拢（源码目录不得有 _test.go）` `find internal cmd pkg providers deploy -name '*_test.go' -not -path '*/test/*'` 非空即红。物理上挡住白盒回潮。 - `包依赖门（kstate 为叶子 / 底层包不反向依赖装配器）` 用 `go list -deps` 判 8 组禁止依赖 + `go build core` 确认环不存在。 这是**工具链**的职责，不该由 `go test` 兼职。 `check-ci-gates.py` 同步改为盯这两道门；ci.yml 里 13 处既有 >80 字符行一并折行（门禁标了 STOP，不留尾巴）。 ### ④ 顺带（上一批未提交的） `scripts/make-package.sh` 产物名 `HomeAgent-linux-*` → `HologramAgent-linux-*`；清理 gitignored 构建产物 `build/ dist/ .go/ .npm-cache/` 共 20G（工作区 21G → 1.7G）。 运行契约（~/.homeagent/cli.sock、线上域名、兼容别名）未动。 ## 验证 go build ./... PASS go vet ./... PASS gofmt -l 干净 python3 .github/scripts/check-ci-gates.py PASS go test ./... -count=1 5 个测试包全过 / 100 个包无测试 / 0 FAIL 源码目录 _test.go 数 0 测试文件数 9（全部在 <module>/test/） ## 后续 按模块导出接口清单重写判据（不是从旧白盒里抽）： internal/agent/api、internal/memory、internal/security、internal/plugin、 internal/knowledge、cmd/* 等目前 0 判据，需要逐个列接口 → 写输入→输出判据 → 变异验证。这是新一轮工作，本提交不含。	2026-11-09 11:13:56 +08:00
JianFeeeee	cc0eb51286	refactor(kernel): 统一挂载点 kstate + 插件声明式系统提示词段 ... ## 起因（生产故障） A2A 分诊助手（驻留子）把 terminal_create 当一次性命令执行器： terminal_create(command='cd /usr/lib/node_modules/@deepseek-ai && ls -d */ | head -60 && …') → read /dev/ptmx: input/output error → 再开 term_7、term_8、term_9 … 链路拆开四层： ① cmd 插件 auto_start=false ⇒ 工具表里没有 cmd_run ② 需要 cmd-tools skill 说明"先 plugin_start cmd" ③ 但 skill 索引没进那个 agent 的提示词 ④ 因为 skillIndex 只是根 agent 的字段、由 bootstrap 手工接线 ④ 才是总根。而它之所以必须手工接线：agent/core 读不到内核的共享数据。 ## 环的精确形状（实测，非推测） kernelboot 因为持有 KernelState 而依赖 19 个业务包： kernelboot ──▶ agent/core ──▶ … ──▶ plugin ──▶ security ──▶ memory / knowledge / text / coldcontext / … 而 kernelboot.go / scheduler.go / funcmodule.go / syncbus.go / lifecycle.go **一行业务代码都不需要** —— 依赖全在 kernelstate.go 这一个数据文件里。 后果是四个底层包各自造通道： core → Agent 字段（每种 agent 构造点都要记得传） plugin → 12 个 SetXxx sdk → SDKConfig 传参 security → 包级单例 Global() / RuntimeGlobal() / ConfigCodec() 四条通道是同一个根因的四个表现。 ## 本次做的事 ### 1. 抽出 internal/kstate（断环） kernelstate.go / syncbus.go / lifecycle.go 搬出 kernelboot： internal/kstate 纯数据 + 唯一挂载点（叶子，谁都能 import） internal/kernelboot 装配引擎，零业务包 挂载点 API：Mount / Get（nil 安全）/ MountForTest（返回 restore，并行测试隔离）。 验证：core 现在能 import kstate（此前 import cycle not allowed）。 ### 2. StageHost / Agent 字段存 any 它们是 core 自己的类型（core 是环的一极，这是真环）。按用户裁定的方向： > 是其他包在kstate挂共享内容啊 存 any，消费方断言回具体类型 —— 与本仓既有的 PluginCatalog / PluginScheduler / UpdateCapabilities 同型。 ★ 其余字段保持**具体类型**，没有一律改 any。判据是"它会不会反向依赖 agent/core"：实测 plugin / security / sdk 都不依赖 core，所以它们作为 具体类型不构成环，而类型化字段让"拼错/取错类型"是编译错误（本结构体的 设计原则）。 ### 3. 插件声明式系统提示词段 SDK 新增 SystemPromptAPI（见 submodule 提交）。内核侧： kstate.State.PromptSections *promptsec.Registry ← 唯一事实来源 Agent.renderSystemPrompt() 每轮重建时读它 skillmgr 从"实现 SkillIndexProvider 让内核来问"改为"声明自己的段"： DeclarePromptSection{Section:"skillmgr.skills", Order:100, Volatile:true} 并挂到全部变更点（启动全扫后、移交事件后、load/unload/create/install/ enable/disable 后、Stop 时撤销）。 ### 4. 内核自身的提示词段也走同一管理器 按用户裁定「把现在内核所有 systemprompt 的相关注入都接入到这个统一的 systemprompt 管理器上」，把 buildSystemPrompt 里硬拼的十几块 （人格卡/任务提示词/记忆说明/输出规则/工具目录…）改为声明式： kernelSections() 当轮计算 → 与插件段按 Order 合并渲染。 顺序由 Order 常量决定，改结构变成调常量而不是挪代码块。 ## 判据（均经变异验证） TestCoreCanImportKstate 真编译探针；环重现则红（实测） TestKstateDoesNotDependOnCore 静态版，指向具体字段 TestKstateIsLeaf kstate 不得反依赖上层 TestRTChildSeesPromptSections 子 agent 能看到插件段 TestResidentSeesPromptSections 生产实际中招的那一类；变异后红（实测） TestRootAgentSeesPromptSections 确认没改坏根路径 TestNoPromptSectionsMount 未装配时不 panic、不凭空出现段 TestDeclareTwiceRendersOnce ★ 回应"会不会多份"：声明 5 次渲染 1 份 TestSectionRemovalTakesEffect Stop 后段消失 TestRuntimeUpdateVisibleToExistingAgent 同一实例下一轮看到新内容 TestSectionOrderIsRespected Order 生效且稳定 ## 验证 go build ./... PASS go vet ./... PASS gofmt -l internal/ cmd/ pkg/ 干净 go test ./... -count=1 63 包全过，0 FAIL 干净检出（git worktree） build + 4 包测试全绿 ## 未做（见 kernelplan.md） T3 security 三单例收敛（含 Store 复用 Codec 的惰性迁移） T5 plugin Setter 收敛 T6 防腐判据（部分已随本次落地）	2026-11-04 11:23:05 +08:00