Files
HomeAgent/internal/plugins/pluginmgr/kernel_update_test.go
JianFeeeee 817f6c59ae fix(update): 重启交还 guard、OTA 支持 release/包两种来源、修三处真 bug
## 一、重启不再由 update 自己 systemctl(用户口径:应该通知 guard)

原 internal/update 直接 `systemctl restart homeagent`。三个问题:

① 杀掉整个 cgroup(unit 里 KillMode=control-group)⇒ **guard 跟着死**,
   而 guard 存在的意义就是不让自己死。
② 丢失 exit 42 语义:guard 的 failures/failbackRound/failbackDone 全丢。
③ 自毁竞态:发命令的进程正是被重启杀掉的进程 ⇒ CombinedOutput 可能报错,
   **一次成功的升级被误判失败而回滚**。

现在 internal/update 只到"产物就绪":预检 → 备份 → 写 pending → 原子替换。
重启由调用方走**既有**通道(restartCh → exit 42 → guard 用新二进制重拉):

· webui      h.kernelCtl.RequestKernelRestart(本来就有,且是白名单内)
· pluginmgr  p.sdk.KernelControl().RequestKernelRestart(见下面第三条)
· CLI        外部管理命令,restart unit 后按**版本自报**核对是否真生效

## 二、OTA 支持两种来源(release 自动更新 / 指定安装包)

新增 internal/update/source.go:

	Source{Kind: FromPackage, Path}  → 直接用本地包
	Source{Kind: FromRelease}        → 查最新 Release → 下载 → 校验 digest

ParseSource(pkg, release) 统一判空规则(pkg 优先),避免三端各写一套。
两条来源解析后进**同一条** Apply,不存在两份升级实现。

## 三、修三处已提交代码里的真 bug

① **HEAD 编译不过**:d17e261 提交了 kernelmod/update/mod.go(引用 ks.Update),
   但 kernelboot/kernelstate.go 的字段改动从未提交。干净 worktree 实测
   `ks.Update undefined` —— 推上去的仓库是坏的。本次补上。

② **kernelDataDir 算错一级**:Dir(Dir("/home/newqqagent/plugins")) = "/home",
   而第 0 层 update 模块从 ks.DataDir=/home/newqqagent 读 pending
   ⇒ **agent 发起的升级一旦启动失败就永不回滚**(静默失效)。改为 Dir 一次。

③ **pluginmgr 的 KernelControl 恒为 nil**:它不在 kernelControlAllowed 里,
   于是 `if kc := p.sdk.KernelControl(); kc != nil` 永不成立 ⇒
   换完二进制**从不重启** ⇒ pending 留着 ⇒ 下次重启被判"未确认"而回滚。

   修法**不是**把 pluginmgr 加进完整白名单 —— 那等于让 LLM 能关机整个服务
   (kernel_control_gate_test 明确拦这个)。而是拆出**仅重启**授权:

	kernelControlAllowed  = {webui}       完整(含关机)
	kernelRestartAllowed  = {pluginmgr}   仅重启(shutdown 直接报错)

   两者的危险程度差一个量级:重启几秒后 guard 自己拉回来,关机不会自己回来。

## 四、EventBus:插件请求更新不必 import internal/update

新增 events.EventUpdateRequest,pluginmgr 订阅并受理:
scope=kernel → kernelUpdateApply;scope=plugin → pluginUpdate(apply)。

它在 internal/plugins/webui 的 SSE 守卫里显式登记为**内核内部控制事件**
(不该推给浏览器:前端要的是 update_progress/update_result,不是"谁发了请求")。

## 五、顺手修掉的静默失败

· webui /kernel/update 原实现:**先**写 202 Accepted,**再**解析 body,
  之后每个错误都直接 `return` —— 用户看到"已受理"然后什么都没发生。
  改为同步 Apply(失败可如实报 HTTP 状态),成功后才请求重启。
· pluginmgr 拿不到控制通道时不再假装成功,而是回报 applied=true + 明确原因
  (否则用户以为已升级,进程却还在跑旧镜像)。
· update 事件 publishResult 的 errMsg 原先是死代码(`_ = errMsg`),
  按 payload 约定写回 error 字段。
2026-10-26 13:45:54 +08:00

110 lines
3.8 KiB
Go
Raw Blame History

This file contains ambiguous Unicode characters

This file contains Unicode characters that might be confused with other characters. If you think that this is intentional, you can safely ignore this warning. Use the Escape button to reveal them.

package pluginmgr
import (
"strings"
"testing"
)
// ── plugin_update / kernel_update 的入口层判据 ────────────────
//
// 这里只测**入口层**(参数解析、范围选择、结果形状);
// 底层逻辑(Check / Upgrade / DoUpgrade)的判据在各自包里:
// internal/update — 拉源码、编译、版本比较
// internal/update — 版本比较、解包、替换、回滚
// 入口层若长出业务逻辑,就违背了"三端共享一个底层"的架构约束。
// 判据 1:plugin_update 检查阶段(apply=false)不要求 plugins 参数,
// 且结果含 updatable / no_repo 两类 —— 两者必须分开。
//
// 混在一起的后果:用户无法区分"没更新"和"根本不能自动更新"(内置插件)。
func TestPluginUpdate_CheckShape(t *testing.T) {
p := &Plugin{pluginDir: t.TempDir()} // 空目录:没有已装插件
out, err := p.pluginUpdate(false, "")
if err != nil {
t.Fatalf("检查不应失败: %v", err)
}
m, ok := out.(map[string]interface{})
if !ok {
t.Fatalf("返回应为 map,实际 %T", out)
}
if m["apply"] != false {
t.Errorf("apply 应为 false,实际 %v", m["apply"])
}
if _, ok := m["updatable"]; !ok {
t.Error("结果应有 updatable 字段")
}
if _, ok := m["no_repo"]; !ok {
t.Error("结果应有 no_repo 字段(未声明仓库的插件单独列出)")
}
}
// 判据 2:apply=true 但没给 plugins ⇒ 明确报错,不默认全升。
//
// 默认全升的危险:一次误触就把所有插件换了。
func TestPluginUpdate_ApplyRequiresScope(t *testing.T) {
p := &Plugin{pluginDir: t.TempDir()}
out, err := p.pluginUpdate(true, "")
if err != nil {
t.Fatalf("应返回可呈现的错误而不是 error: %v", err)
}
m := out.(map[string]interface{})
if _, hasErr := m["error"]; !hasErr {
t.Errorf("apply=true 缺 plugins 时必须报错,实际: %v", m)
}
}
// 判据 3:kernel_update 检查阶段不依赖包存在,返回版本比较结果。
func TestKernelUpdate_CheckShape(t *testing.T) {
p := &Plugin{pluginDir: t.TempDir()}
out, err := p.kernelUpdateCheck()
if err != nil {
t.Fatalf("检查不应失败: %v", err)
}
m := out.(map[string]interface{})
if m["apply"] != false {
t.Errorf("apply 应为 false,实际 %v", m["apply"])
}
// current/latest/reason 三者在"读不到本机版本"时也要给
if m["reason"] == nil {
t.Error("结果应有 reason 字段(说明能否比较/为何不能)")
}
}
// 判据 4:kernel_update apply 没给来源 ⇒ 明确报错(不许"猜一个默认动作")。
//
// 旧判据要求错误里出现 homed-upgrade —— 那是"agent 不该在推理中发起长下载"
// 时期的限制。现在支持 release=true 自动取包(下载放在内核侧统一实现),
// 所以判据改为:必须说清"两种来源二选一"。
func TestKernelUpdate_ApplyRequiresSource(t *testing.T) {
p := &Plugin{pluginDir: t.TempDir()}
out, err := p.kernelUpdateApply("", false)
if err != nil {
t.Fatalf("应返回可呈现的错误: %v", err)
}
m := out.(map[string]interface{})
msg := fmtSprint(m["error"])
if !strings.Contains(msg, "pkg") {
t.Errorf("错误应说明需要 pkg,实际: %v", msg)
}
if !strings.Contains(msg, "Release") && !strings.Contains(msg, "release") {
t.Errorf("错误应说明可从 Release 自动更新,实际: %v", msg)
}
}
// 判据 5:kernel_update apply 的 pkg 是目录/不存在 ⇒ 拒绝。
func TestKernelUpdate_ApplyRejectsBadPkg(t *testing.T) {
p := &Plugin{pluginDir: t.TempDir()}
out, _ := p.kernelUpdateApply(t.TempDir(), false) // 目录不是包
m := out.(map[string]interface{})
if _, hasErr := m["error"]; !hasErr {
t.Errorf("目录不应被当作安装包,实际: %v", m)
}
}
func fmtSprint(v interface{}) string {
if s, ok := v.(string); ok {
return s
}
return ""
}