HomeAgent/internal/kernelmod/all/security_wiring_test.go

package all

// 装配级安全判据（2026-10-30）。
//
// ## 为什么必须新开一个文件、而不是加在 security_toolgate_test.go 里
//
// 那边 4 条判据全绿了**整整一轮发布**，而生产里的闸门根本没接上。原因很简单：
//
//	它们自己调了 a.SetSecurity(...)。
//
// 判据把缺失的那根线补上了，所以永远绿 —— 测的是「接线之后行为对」，
// 而不是「生产有没有接线」。这是「机制 ≠ 接线」最纯粹的样本。
//
// 本文件钉的是**装配**：
//
//	kernelmod.Registered() → kernelboot.Build → kernelboot.Run
//	  → security.Init 产出 ks.Security
//	  → agent.Init 把 ks.Security 装进 Agent
//	  → 真实工具执行链读到它（securityDecisionFor → CheckTool）
//
// ★ 变异要求（每条都在实现上验过，见文件末尾的变异表）：
//   ① 从 agent.Requires() 删掉 FacSecurity   ⇒ 判据 1 红
//   ② 从 buildAgent 的 AgentConfig 删 Security ⇒ 判据 2 红
//   ③ 从 resident/rtchild 的 AgentConfig 删 Security ⇒ 判据 3 红
//   ④ 从 New() 删掉 `security: cfg.Security` ⇒ 判据 2 红
//   ⑤ 从 agent.Init 删掉 nil 检查 ⇒ 判据 4 红

import (
	"strings"
	"testing"

	"github.com/JianFeeeee/HologramAgent/internal/kernelboot"
	"github.com/JianFeeeee/HologramAgent/internal/kernelmod"
	"github.com/JianFeeeee/HologramAgent/internal/security"
)

// ───────────────── 判据 1：agent 模块**声明**了 security 依赖 ─────────────────

// ★★★ 判据：`agent` 模块必须在 Requires() 里声明 FacSecurity。
//
// ## 为什么不能靠"层号碰巧对"来代替这条判据
//
// 即使不声明，security 也在第 1 层、agent 在第 4 层 ⇒ `ks.Security` 恰好
// 已被填好，运行期照样能读到。**这正是这个缺陷藏了整轮的原因。**
//
// 但那个"恰好"是偶然的：security 只依赖 config，所以天然在前面。一旦
// security 将来加了自己的依赖（比如判某些策略要先读 llm 配置），它就会被推到
// agent 之后 —— 那时 agent 读到一个 nil 的 ks.Security，而**图不会拦**，
// 因为图根本不知道 agent 需要它。
//
// 所以这条判据断言的是**声明**，不是顺序。与 TestHiddenDependencyOnnxDeclared
// 同型（那条也明确写了"不能用层号断言"）。
func TestAgentDeclaresSecurityDependency(t *testing.T) {
	var matched *kernelboot.Module
	var requires []string
	for _, m := range kernelmod.Registered() {
		if m.Name() != "agent" {
			continue
		}
		requires = m.Requires()
		matched = &m
	}
	if matched == nil {
		t.Fatal("★ agent 模块没注册")
	}
	for _, r := range requires {
		if r == kernelmod.FacSecurity {
			return
		}
	}
	t.Fatalf("★ agent 模块未声明对 %q 的依赖（当前 Requires=%v）。\n"+
		"  后果：buildAgent 读 ks.Security 就成了**隐式顺序依赖** ——\n"+
		"  今天恰好成立（security 在第 1 层），但那是运气不是设计，\n"+
		"  而隐式顺序依赖正是本仓模块化设计要消灭的形态。\n"+
		"  修法：kernelmod/agent 的 Requires() 加 kernelmod.FacSecurity。",
		kernelmod.FacSecurity, requires)
}

// ───────────────── 判据 2：装配后 Agent 的执行链真的读到它 ─────────────────

// ★★★ 判据：走真实登记表装配整机后，给 `ks.Security` 配的黑名单
// **必须**能拦住 Agent 的工具执行链。
//
// ## 与前一代判据的区别（本文件存在的全部理由）
//
// 旧判据：`a := newAgent(); a.SetSecurity(rt); assert(a.securityDecisionFor(...))`
//
//	⇒ 自己补线，永远绿。
//
// 本判据：不碰 SetSecurity，只用**模块装配**产出的 ks.Agent 与 ks.Security，
//
//	并且走**真实执行入口** `ExecuteTool`（即 api.ToolHost，生产里
//	device 与插件工具面都通过它进来）。
//
// ## 为什么用"黑名单里的**不存在**的工具"
//
// 闸门在 `executeToolCallInner` 里位于**分派之前**（参数校验之后）。
// 所以拿一个未注册的工具名去试：
//
//	· 闸门生效 ⇒ 得到 "not permitted"
//	· 闸门失效 ⇒ 落到分派，得到 "does not exist"
//
// 两者文本完全不同，无从混淆。这样判据不需要注册探针工具、不需要造插件，
// 也不会因为工具不存在而"碰巧"通过。
func TestAgentAssemblyWiresSecurity(t *testing.T) {
	m := bootMachine(t)
	ks := m.ks

	if ks.Security == nil {
		t.Fatal("★ security 模块没产出 ks.Security（装配链断了）")
	}
	if ks.Agent == nil {
		t.Fatal("★ agent 模块没产出 ks.Agent")
	}

	const deniedTool = "boot_probe_denied_tool"

	// ① 先证明这个工具名**没被注册**（否则下面"not permitted"可能来自别处）。
	out, _ := ks.Agent.ExecuteTool(deniedTool, nil)
	if strings.Contains(out, "not permitted") {
		t.Fatalf("前置不成立：未配黑名单时就已被拒（%q）—— 检查环境里的实际策略", out)
	}

	// ② 关键一步：给**模块化产出**的 ks.Security 装黑名单。
	//    如果 Agent 里拿的是另一个实例（或 nil），它看不到这条 ⇒ 判据红。
	ks.Security.SetPolicy(security.Policy{ToolDeny: []string{deniedTool}})

	out, _ = ks.Agent.ExecuteTool(deniedTool, nil)
	if !strings.Contains(out, "not permitted") {
		t.Fatalf("★ 已给 ks.Security 配 %q 黑名单，Agent 的执行链却没拦住（实际返回 %q）。\n"+
			"  可能原因（按概率）：\n"+
			"    ① buildAgent 没把 ks.Security 传进 AgentConfig.Security\n"+
			"    ② New() 没把 cfg.Security 写进 a.security\n"+
			"    ③ 执行链上少了 securityDecisionFor 这道闸\n"+
			"  三者任一都会让策略表正确而完全无效，且日志里一条拒绝都没有。",
			deniedTool, out)
	}

	// ③ 反向：未命中的工具必须放行。
	//    否则是"全拒"型假绿（闸门写死了），而不是接线正确。
	if out, _ := ks.Agent.ExecuteTool("boot_probe_unlisted_tool", nil); strings.Contains(out, "not permitted") {
		t.Fatalf("未命中黑名单的工具被误拒（%q）—— 判定逻辑坏了，不是接线问题", out)
	}
}

// ───────────────── 判据 3：子 agent 继承闸门 ─────────────────

// ★★★ 判据：驻留子 / rtchild 的 AgentConfig **必须**带 Security。
//
// ## 为什么单列一条
//
// 子 agent 各自 `New(AgentConfig{...})`，不走 buildAgent 那条路。
// 只修主 agent 的话，两类子 agent 会**静默失去闸门**，而它们恰恰是
// 最需要闸门的执行体：
//
//	驻留子：长期挂着、自己跑调度器、长时间无人审阅
//	rtchild：通话中一边听一边执行工具，没有人工复核窗口
//
// 这类"父修好了、子还是坏的"在本仓已有先例：`StopRTChildren` 漏注销
// 入站登记（与单数路径不对称）、resident 与 rtchild 各拼一次通道名。
// 不对称是这套代码的主要缺陷形态。
//
// ## 为什么用源码断言而不是行为断言
//
// 创建真驻留子需要完整记忆栈 + temp 图库；创建 rtchild 需要真实 rt 通道。
// 两者都会把本判据变成"前置不满足就 skip"，而 skip 的判据等于没有。
// 本仓已有同型先例：TestHiddenDependencyOnnxDeclared 就是读 textmem/mod.go
// 源码断言 FacONNX 声明 —— 因为"层号断言"在那里会假绿。
//
// ★ 这条判据**能被变异咬住**：删掉任一 `Security: a.security` 行即红。
func TestSubAgentsInheritSecurity(t *testing.T) {
	cases := []struct {
		file string
		why  string
	}{
		{"../../agent/core/resident.go",
			"驻留子是长期挂着、无人盯的执行体，自己跑调度器、接自己的输入 —— 无闸门等于策略对它完全无效"},
		{"../../agent/core/rtchild.go",
			"rtchild 在通话中一边听用户说话一边执行工具，没有任何人工复核窗口"},
	}
	for _, c := range cases {
		src := readMod(t, c.file)
		if !strings.Contains(src, "Security:") {
			t.Errorf("★ %s 里没有 `Security:` 字段 —— %s。\n"+
				"  修法：该处 New(AgentConfig{...}) 加 `Security: a.security`（继承父的）。",
				c.file, c.why)
			continue
		}
		if !strings.Contains(src, "Security:   a.security") &&
			!strings.Contains(src, "Security: a.security") {
			t.Errorf("★ %s 里有 `Security:` 但它不是 `a.security` —— "+
				"子 agent 必须继承**父的那一个实例**，另建一个会让策略在两处分叉",
				c.file)
		}
	}
}

// ───────────────── 判据 4：装配失败时响亮，而不是静默放行 ─────────────────

// ★★★ 判据：`ks.Security == nil` 时 agent 模块必须**拒绝装配**。
//
// 防的失败方式：把 nil 一路传下去 —— Agent 装好了、日志写着 "kernel ready"、
// 工具照常执行，只是策略永远不生效。本项目已经踩过一次这个坑
// （"策略表存在、判定函数正确、日志里一条拒绝都没有"）。
//
// 注意区分：配置显式关闭安全模块时装的是 **Disabled Runtime（非 nil）**，
// 所以本判据不会误伤"用户选择不用安全模块"这个合法场景。
//
// 实现要点：用**真实模块的 Init**，不是一个复制品。bootMachine 已把整机跑过
// 一遍（所有依赖真实就绪），这里借它的 KernelState 复制一份、只破坏一个前提。
// agent.Init 的 nil 检查在所有副作用之前（第一个 if），所以本判据不产生资源。
func TestAgentAssemblyRefusesNilSecurity(t *testing.T) {
	m := bootMachine(t)
	base := m.ks
	if base.Security == nil {
		t.Fatal("前置失败：整机装配没产出 Security")
	}

	var agentMod kernelboot.Module
	for _, mod := range kernelmod.Registered() {
		if mod.Name() == "agent" {
			agentMod = mod
		}
	}
	if agentMod == nil {
		t.Fatal("★ agent 模块没注册")
	}

	// ★ 不能复制 KernelState（它含 sync.Mutex，复制即 vet 报错，且真的不安全）。
	// 改为新建一个：把**真实状态里已就绪的全部依赖**逐字段搬过去，
	// 唯独 Security 留 nil —— 这样 Init 只会因为这一个前提失败。
	//
	// 为什么这样做而不是直接用 base：Init 成功时会覆盖 base.Agent，
	// 破坏后续判据的上下文。新建一份是干净的。
	var probe kernelboot.KernelState
	probe.Cfg = base.Cfg
	probe.CfgReg = base.CfgReg
	probe.DataDir = base.DataDir
	probe.AgentWorkDir = base.AgentWorkDir
	probe.CLISocket = base.CLISocket
	probe.HTTPAddr = base.HTTPAddr
	probe.Ctx = base.Ctx
	probe.Memory = base.Memory
	probe.LLMProvider = base.LLMProvider
	probe.LLMManager = base.LLMManager
	probe.Tracker = base.Tracker
	probe.DocStore = base.DocStore
	probe.Knowledge = base.Knowledge
	probe.TextMemory = base.TextMemory
	probe.StageHost = base.StageHost
	probe.PluginRegistry = base.PluginRegistry
	probe.EventBus = base.EventBus
	probe.Embedder = base.Embedder
	probe.MultimodalSpace = base.MultimodalSpace
	probe.MultimodalProviderName = base.MultimodalProviderName
	probe.MultimodalErr = base.MultimodalErr
	probe.BaseAPIKey = base.BaseAPIKey
	probe.Security = nil // ← 唯一被破坏的前提

	err := agentMod.Init(&probe)
	if err == nil {
		t.Fatal("★ ks.Security 为 nil 时 agent 模块居然装配成功了 —— " +
			"nil 会被一路传到 securityDecisionFor，那里恒放行且不留任何日志。\n" +
			"  必须在 Init 里响亮失败（与 device 模块对 ks.Security 的检查同型）。")
	}
	if !strings.Contains(err.Error(), "security") {
		t.Fatalf("失败信息必须点名缺失的设施（便于运维一眼定位），实际: %v", err)
	}
}