mirror of
https://gitcode.com/JianFeeeee/HomeAgent.git
synced 2026-11-05 16:57:32 +00:00
47afd67ca1
## 用户裁定
> secutiry 的实现也是错误的，所有共享数据统一挂载一个 kernel 提供的
> 挂载点上暴露。
> store也应该调用security的加密能力！
## 缺陷
security 包原有**三份**独立包级单例，各自被 InitXxx/SetXxx 装入、
各自有访问器，三份都绕开了内核统一挂载点 kstate.State：
global *Store 变量库（凭据别名） Global()
runtime *Runtime 安全防火墙 RuntimeGlobal()
globalCodec *Codec 配置落盘加密 ConfigCodec()
## 为什么单例是错的（不是"多一个全局变量"）
本 agent 的 a.security 与 security.Global() 是**两个独立变量**。
正常装配下它们恰好指向同一份数据，但"恰好"不是保证：
· 测试替身：测试装单例、被测代码用 agent 字段 ⇒ 测的与跑的不是同一份
· 多 Runtime：两个内核实例/热重载时单例只有一份，另一方被覆盖
· 装配顺序：单例装晚了，先注册的 provider 就没被装饰
第三条**曾真实存在**：ProviderManager.Register 在注册时读单例套装饰器，
而 llm 模块原本不声明 FacSecurity 依赖 —— 顺序正确纯属巧合。
改动过程中判据如实报红 640 次泄漏。
## 本次做的（T3.1 + T3.3）
### 删 global *Store → 注入
变量库的唯一来源是 security 模块产出的 Runtime，经注入面分发：
AgentConfig.Security → a.security.Store() → a.secretStore()
ProviderManager.SetSecretStore
plugin.Registry.SetSecretStore → sdk.NewSecretsAPI(store)
core 的 4 处 security.Global()（output/toolcall/tooldefs/secret_tools）
改为 a.secretStore()；context 与 stageHost 改为注入字段；
provider 装饰器改为读注入的 Store。
### 删 runtime *Runtime → 注入
plugin.Registry.SetSecurityRuntime → sdk.NewSecurityAPI(name, rt)
→ sdk.newEventsAPI(name, bus, rt)
Prepare 的幂等缓存改为 kernelmod/security 私有变量 ——
装配器私有，不再是任何包都能取的公开访问器。
### 顺带删死代码
security.FillToolArgs / FillPayload 生产调用者为 0（StageHost 已自己
用注入的 Store 做同一件事），连同只测它们的判据一起删除。
### llm 模块补 FacSecurity 依赖
这是**真实存在**的依赖：注册 provider 时要套出向装饰器，而装饰器需要
变量库。此前靠"单例先装了"掩盖了顺序错误。
## 判据（均经变异验证）
TestNoPackageLevelSingletons 源码扫描；加回 var global ⇒ 红（实测）
TestMustStoreDoesNotRegisterGlobally 两次 MustStore 必须得到不同实例
TestStoreEncryptsWithOwnKey 落盘无明文 + 重载可解
## 验证
go build ./... PASS
go vet ./... PASS
gofmt -l 干净
go test ./... -count=1 63 包全过，0 FAIL
干净检出（git worktree） build + 3 包测试全绿
## 未做（见 kernelplan.md T3.2）
globalCodec 收敛 + Store 复用 Codec
还牵涉 config 的 6 处调用点与**存量密文惰性迁移**，单独一步做。
TestNoPackageLevelSingletons 的禁表暂不含 globalCodec ——
半成品状态长期红的判据会被人习惯性忽略，那时它就等于不存在。
66 lines
2.6 KiB
Go
66 lines
2.6 KiB
Go
package core
|
||
|
||
// 判据：出向拦截的**原地改写**语义（共享底层数组）。
|
||
//
|
||
// ## 为什么这条值得单独立判据
|
||
//
|
||
// `task.go:663` 构造请求时是 `Messages: f.Msgs` —— **值切片，无拷贝**。
|
||
// 所以装饰器在出网前改写消息内容时，改的是 `f.Msgs` 的元素本身。
|
||
//
|
||
// 这个语义是**有意的**，且必须钉住：
|
||
//
|
||
// 好处：明文在第一次出网时就永久离开上下文。
|
||
// 若不共享，明文会一直躺在 f.Msgs 里，每一轮都要重新拦截，
|
||
// 并且任何读 f.Msgs 的地方（记忆写入、会话持久化、WebUI 回显）
|
||
// 都会看到明文 —— 泄漏面大得多。
|
||
//
|
||
// 代价：改写会渗进**非 LLM 路径**（同上那几处）。这是刻意的取舍：
|
||
// 宁可让这些地方看到别名（一致、可诊断），也不要让明文到处躺着。
|
||
//
|
||
// ⇒ 若有人把 `Messages: f.Msgs` 改成深拷贝，本判据会报红，
|
||
// 提醒他同时要在「记忆写入前」和「持久化前」各加一道拦截。
|
||
|
||
import (
|
||
"context"
|
||
"strings"
|
||
"testing"
|
||
|
||
agentAPI "github.com/JianFeeeee/HologramAgent/internal/agent/api"
|
||
)
|
||
|
||
// ★★ 判据：装饰器原地改写 ⇒ 原始消息切片也变成别名。
|
||
func TestOutboundScrubIsInPlaceByDesign(t *testing.T) {
|
||
// ★ 2026-11-04：变量库改为注入 ProviderManager（不再用包级单例）。
|
||
store := newScrubRuntime(t).Store()
|
||
|
||
const tok = "ghp_ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789"
|
||
|
||
// 与 task.go:663 同构：Messages 直接赋 f.Msgs（值切片共享底层数组）
|
||
msgs := []agentAPI.Message{{Role: "user", Content: "token=" + tok}}
|
||
|
||
var captured string
|
||
mgr := agentAPI.NewProviderManager()
|
||
mgr.SetSecretStore(store) // 注入必须先于 Register（装饰在 Register 时发生）
|
||
mgr.Register("p", &fwCaptureProvider{name: "p", capture: &captured})
|
||
|
||
if _, err := mgr.Default().Chat(context.Background(),
|
||
&agentAPI.CompletionRequest{Messages: msgs}); err != nil {
|
||
t.Fatal(err)
|
||
}
|
||
|
||
// ① 出网安全
|
||
if strings.Contains(captured, tok) {
|
||
t.Fatal("明文泄漏到 provider")
|
||
}
|
||
// ② 原地改写：原始切片也变了（**这是刻意的**）
|
||
if strings.Contains(msgs[0].Content, tok) {
|
||
t.Fatal("原始消息仍含明文 —— 说明 Messages 被深拷贝了。" +
|
||
"若确实要改成拷贝，必须同时在记忆写入与持久化前各加一道拦截，" +
|
||
"否则明文会一直躺在 f.Msgs 里被反复读出")
|
||
}
|
||
if !strings.Contains(msgs[0].Content, "@{sec_") {
|
||
t.Fatalf("原始消息应含别名，实际 %q", msgs[0].Content)
|
||
}
|
||
t.Logf("原地改写生效：原始 f.Msgs 元素已变别名 %q", msgs[0].Content)
|
||
}
|