mirror of
https://gitcode.com/JianFeeeee/HomeAgent.git
synced 2026-11-01 06:47:29 +00:00
ba281a855a
三条主线，由 e2e 实测驱动。 ## 一、差分 OTA（internal/update/delta.go） 实测：改一行逻辑，88MB 的二进制逐字节只差 80 字节，而 OTA 一直下整包。 用 rsync 族的滚动哈希块匹配（4KB 粒度），不是 bsdiff —— 后者需 17×N 峰值内存（88MB → 1.5GB），而升级恰可能发生在内存紧张时。 真实二进制实测：88,036,728 字节 → 补丁 77,316 字节（0.088%）。 三道闸：应用前验旧文件 sha256（错基线会静默产出垃圾）、应用后验结果 sha256、COPY/LITERAL 越界防护。任何失败**退回整包**，不向上抛 —— 差分是优化，不是可用性前提。 接入：Source.Resolve 优先试 delta；CheckRelease 按 -from-<commit8>.delta 匹配（不猜基线）；CLI 新增 -make-delta；打包脚本 build_delta（需 PREVIOUS_HOMED），delta 进 SHA256SUMS。 ## 二、安装形态分派（internal/update/install.go + channel.go） 内核对「能不能自己升级」此前只有一个答案：直接替换二进制。而 deb/rpm 形态下那样做会让 dpkg/rpm 数据库与实际内容不一致（下次 apt upgrade 覆盖回旧版，或 dpkg 拒绝后续升级）。 新增探测：deb/rpm/tar/container/source 五类形态 + 变体（full/server/ client/toolchain）+ 目录写权限。判据全部来自可观测系统事实（dpkg 的 info 目录、容器标记文件），不做路径推断。 三端统一走 PlanUpgrade 分派；形态闸门放在**下载 880MB 之前**。 ## 三、事件总线统一受安全监控（internal/events + security） 用户指正：「eventbus 上所有事件都要接受安全模块的监控」。 此前 EventPolicy 只被 internal/sdk/events.go 调用，而那是四条路径中的 一条。s.Publish / s.Subscribe / s.EventBus() 拿的是裸 *events.Bus， 任何插件都能绕过策略发任意事件（含伪造内核事件）。 现在闸门在 Bus.Publish/Subscribe 本体上（Guard 接口注入，避免 events ↔ security 成环），四条路径全部覆盖。sdk.EventBus() 改返回带身份的 BusHandle。内核身份免授权，但载荷照样过凭据闸门。 白名单按主体收窄：agent_output/stage/terminal_output 只允许承载者 （webui/cli/agentcli）发布 —— 它们是内核向外的输出面，谁都能发就等于 能伪造 agent 说的话。 ## e2e 暴露并修掉的三个真实回归 [bus] subscribe denied: pluginmgr type=update_request [bus] subscribe denied: skillmgr type=skill_detected 前两个让升级请求静默丢失、职责链交接断掉。内部协作事件必须可订阅 （安全边界在发布侧，订阅只是「听得到」）。 ## 顺带的止血修复 - 回滚判据从 `--version` 改为 digest：旧内核（1.3.x 及以前）没有该 flag，而它恰是最常见的回滚目标 —— 原逻辑让「从旧版升级失败」永久 无法回滚。 - CopyFile 补 fsync（替换 homed 本体时掉电会留半截文件）。 - restore 完整还原才清 marker（原先先清再还原，还原失败就失去第二次 自愈机会）。 - 回滚时移除升级中新增的 depgraph（否则「旧 homed + 新 depgraph」 会因 digest 不匹配崩溃循环）。 - homed-upgrade 不再硬编码 systemctl restart（丢 guard 状态、unit 名 漂移）；改用内核已有的 restartCh → exit 42 语义。 - homed-upgrade 不再用 CGO_ENABLED=0 编却依赖 go-sqlite3（stub 下 静默失效，该路径从未工作过）；改用 internal/config。 - 服务单元补 User=hologramagent + 三条安装路径补建用户（此前发行物里 完全没有落实降权）。 - rpm 的 fpm 调用补 --after-install（此前 rpm 装完根本不建用户）。 ## 判据 新增 30 条：差分 8（往返/压缩比/错基线/截断/篡改/边界）、通道 8、 执行器 6、事件闸门 8、按主体授权 8。全仓 go test ./... 0 失败。
80 lines
3.3 KiB
Go
80 lines
3.3 KiB
Go
package events
|
||
|
||
// 事件总线的**统一监控闸门**（类型与接口部分）。
|
||
//
|
||
// ## 为什么必须做在总线本体上，而不是各适配层
|
||
//
|
||
// 在此之前，授权只存在于 `internal/sdk/events.go`（插件走 `s.Events()` 那条路）。
|
||
// 而实际有**四条**路径能发出/收到事件：
|
||
//
|
||
// ① s.Events().Publish/Subscribe ← 过策略（唯一一条）
|
||
// ② s.Publish(evt) / s.Subscribe() ← 裸总线，不过策略
|
||
// ③ s.EventBus() 直接拿 *Bus ← 裸总线，连适配层都绕过
|
||
// ④ 内核模块 bus.Publish ← 内核自身，不需要策略
|
||
//
|
||
// 于是 `EventPolicy` 只是"合规者才受约束"的一纸约定：任何插件调
|
||
// `s.EventBus().Publish(...)` 就能发任意事件（含伪造内核事件）。
|
||
//
|
||
// 现在把闸门放到 **Bus.Publish / Bus.Subscribe 本身**（见 bus.go）：
|
||
// 注册一个 Guard，所有发布与订阅都先问它。适配层不再持有策略，
|
||
// 只负责把「谁在调用」告诉总线。
|
||
//
|
||
// ## 为什么用接口注入而不是直接 import security
|
||
//
|
||
// events 是最底层的广播设施，security 依赖它（要发 security_ready）。
|
||
// 直接 import 会成环。所以这里定义**最小接口**，由装配方注入实现。
|
||
//
|
||
// 这与 syncbus 的「内核可写 / 插件只读」是同一思路：类型层面表达边界。
|
||
|
||
import "fmt"
|
||
|
||
// Publisher 是事件发布/订阅的主体身份。
|
||
//
|
||
// ★ 为什么必须显式传：没有身份就无法判定"这个 plugin 能不能发这个事件"。
|
||
// 空身份 = 内核内部（内核模块自己发布时不需要授权）。
|
||
type Publisher struct {
|
||
// Name 是插件名；空串表示**内核内部**。
|
||
//
|
||
// 内核模块（update / device / pluginhost / agent）发布系统事件时
|
||
// 不填 Name —— 它们本身就是可信的执行体，且没有"插件名"这个身份。
|
||
Name string
|
||
}
|
||
|
||
// IsKernel 报告该发布者是否内核内部。
|
||
func (p Publisher) IsKernel() bool { return p.Name == "" }
|
||
|
||
// Guard 是总线闸门：判定某个主体能否发布/订阅某事件。
|
||
//
|
||
// 实现在 internal/security（策略与载荷脱敏都在那里），
|
||
// events 包只负责"每次发布/订阅都问一遍"。
|
||
type Guard interface {
|
||
// AllowPublish 判定能否发布；allowed=false 时 reason 会进日志与错误。
|
||
AllowPublish(p Publisher, eventType EventType) (allowed bool, reason string)
|
||
// AllowSubscribe 判定能否订阅。
|
||
AllowSubscribe(p Publisher, eventType EventType) (allowed bool, reason string)
|
||
// ScrubPayload 对出向载荷做脱敏（凭据闸门）。
|
||
//
|
||
// 内核内部发布者同样要过：内核也可能把敏感值拼进事件
|
||
//（例如把 api_key 放进 Stage 事件里）。
|
||
ScrubPayload(eventType EventType, payload map[string]interface{}) map[string]interface{}
|
||
}
|
||
|
||
// DeniedError 表示事件操作被闸门拒绝。
|
||
//
|
||
// ★ 为什么返回 error 而不是静默丢弃：静默丢弃会让插件以为
|
||
// "发了、没反应"，那是最难排查的一类故障。
|
||
type DeniedError struct {
|
||
Publisher string
|
||
EventType string
|
||
Reason string
|
||
Subscribe bool
|
||
}
|
||
|
||
func (e *DeniedError) Error() string {
|
||
verb := "publish"
|
||
if e.Subscribe {
|
||
verb = "subscribe to"
|
||
}
|
||
return fmt.Sprintf("events: %q may not %s %q: %s", e.Publisher, verb, e.EventType, e.Reason)
|
||
}
|