|
|
5ad75fb229
|
chore(退场): opencode 宿主退场 —— 清 339MB 快照 + 登记退场豁免
用户 2026-10-03 确认「opencode 已经卸载了，清除残余」。
## 清除的（生产侧）
`/opt/agentmail/plugins/opencode-mail-bridge/` 整个目录（4 个快照 + current，
339MB）。删前核实过无任何引用：
· 进程无、/etc/systemd/system/opencode* 无、/root/.config/opencode 无
· 外部引用只剩三处**无关**命中：pi 单元里的注释、llmsproxy 的上游源、
ollama 的 PATH —— 都不是对这个插件的引用
数据库里的 Agent 身份与 373 封历史邮件**保留**：那是协作记录，不是部署残余。
## 保留的（仓库侧）
`plugins/opencode-mail-bridge/` 与 `deploy/systemd/opencode-serve.service*`
故意留在仓库里，与 zcode 退场同处理 —— 退场是「这台机器上跑什么」的事实，
代码保留是「还能不能恢复」的能力，两件事分开记。
## 判据登记
`check-deploy-drift.mjs` 的 `RETIRED_HOSTS` 增加 opencode，并记下退场前实测到的
三件事，便于日后分辨「退场」与「半坏」：
· 仓库里单元文件还在，但 git status 无删除记录 ⇒ 是主动卸载，不是部署事故
· 快照已清除
**三个单元项一个都不能漏**（services + 两个 drop-in）。实测漏登记
`zz-restart-backoff.conf` 时判据立刻报「缺该文件」——这个豁免是「全都没装」，
漏登记等于给退场宿主留一个假红。
**变异验证**：把 `opencode-serve.service` 放进 /etc 模拟半装 ⇒ 豁免失效、
判据报「1 个宿主需要重新部署」；移走 ⇒ 回到「四个宿主都在跑当前代码」。
## 顺带清掉自己造成的一处污染
两个 dsh 快照里混进了 `package.json.bak-20261002-2015` —— 那是我改 peer 时建的
备份，被 `cp -a` 一起拷进了快照。仓库工作区那份早已删除，但快照里的被带上了，
漂移判据报「快照独有」。已清除（仓库无 .bak 文件，无需提交）。
|
2026-10-03 08:00:14 +08:00 |
|
|
|
c2796eaa52
|
fix(部署判据): 悬空软链不再让第 ① 条变成「不可达检查」＋ 补上它指向哪里
## 起因
第 ① 条（"没有任何 unit 引用源码目录"）在本机**长期红**，note 写的是
「读不到（这几条没被检查）：…/sysinit.target.wants/mdadm-shutdown.service（ENOENT）」。
查下去：那是**系统自带的悬空软链**（mdadm 未装 ⇒ 目标不存在），
不是本仓的部署事故。但判据仍然红，而它红得**没道理可讲**。
## ★ 真缺陷：那个软链分支是**不可达代码**
/etc/systemd/system/sysinit.target.wants/mdadm-shutdown.service
→ /lib/systemd/system/mdadm-shutdown.service （不存在）
`readFile` 对悬空软链抛 ENOENT ⇒ 走 `catch { …; continue; }`
⇒ **下面那段专门判软链的代码永远不会执行** ——
而那恰恰是对软链该做的检查（看**目标位置**）。
⇒ 这不是"误报"，是**一个该跑的检查没跑**。判据没回答"这个软链指向仓库吗"，
只回答了"我读不到它"。
## 修法
`readlink` 只读**链接自身**的内容（那个路径字符串），**不要求目标存在** ——
这正是悬空软链唯一还能回答的问题。
现在：既把目标查出来并判（指向仓库 ⇒ 进 `repoLinks` 报红），
又**仍然记进 `unreadable` 继续判红** ——
「没能检查它的内容」≠「它没问题」，这条不能因为解释清楚了就不算。
## note 里单独一句「悬空软链（**非本仓违规**）」
它与「真有 unit 读不到」要处理的人不同：
前者是装软件留下的系统状态，后者可能是部署事故。
混在一堆里 ⇒ 读的人不知道该不该管。
## 残余（有意保留）
第 ① 条**仍然红**，但现在红得**有理由且已说明**。
要让它转绿只能二选一：装 mdadm、或删掉那个悬空软链 ——
**都不是本仓该做的事**，所以不为了转绿而放宽判据。
自检 48 格全过（本次未新增样本；这一格的真机样本就摆在那里，
且 `--self-check` 的假 fs 走不到 `sysinit.target.wants` 这条路径）。
|
2026-09-28 08:49:40 +08:00 |
|
|
|
1639382eaa
|
fix(部署判据): ⑤ 的口径从「数子串出现次数」改成「只认源码**文件路径**」
## 起因
trimpath 修好之后（67 处 → 0 处真源码路径），判据第 6 条**仍红 1 处**。
查下去发现那 1 处不是缺陷：
server/internal/handler/mail.go:645 的 400 错误文案 ——
「请带上你所处工作区的绝对路径，例如 &workspace=/home/program/agentmail」
那是**给调用方看的示例值**，且它在二进制字符串表里紧邻下一条 SQL 字面量，
拼成 `…/agentmailINSERT INTO mails (session_id, …)` ——
**看起来极像「路径 + 代码」，实际是两条无关的字符串常量相邻**。
## ★★ 我上一轮把它误判成「测试夹具」
我grep 源码时命中的是 `notify_test.go` 里的 workspace 夹具，
就下了「是测试数据」的结论 —— 那是**另一个**字符串（`seedAdopted(t,"pi","pid-ws-1",
"/home/program/agentmail")`），只是恰好也含 REPO。
**真正的来源是生产错误文案。** 先下结论再取证，又一次。
## 口径改动
原口径 `text.split(REPO).length - 1` 数的是**子串出现次数**，把两件事混成一件：
· 真缺陷：trimpath 没生效，产物里印着 `…/server/internal/repo/repo.go`
· 误报： 源码里**本来就该有的字符串**恰好含这个子串
⇒ 改成逐个出现位置看**后缀**：REPO 之后是**源码文件扩展名**才是真路径。
这条判据要抓的是"源码**文件位置**被泄露"，扩展名正是它的形状；
而示例值后面跟的是 `INSERT`（SQL 关键字），不是文件。
## 两条都要报（把两者混成一个数字正是原口径的毛病）
bad = 真源码路径 ⇒ **判红**
other = 还有别处出现但不是文件路径 ⇒ **只提示**，且**给出真实样例**
第一版的"只提示"那档输出了「样例：见下」而样例永远取不到值
（只给真路径留了样例）—— 一句指向不存在内容的指路词。已修。
## 验证（两侧都用**真 26MB 二进制**，不是合成样本）
已部署（-trimpath） 源码路径=0 非文件字样=1 ⇒ 判绿 ✓
本地构建（无 trimpath） 源码路径=66 非文件字样=1 ⇒ 判红 ✓
## 自检
新增一格反面样本：`★网关二进制：非源码路径的仓库字样（示例值）不得误判红`
（`--self-check` 47 → **48** 格）。
变异验证：把 `SRC_EXT.test(tail)` 改成 `true`（退回数子串）⇒
该格**打红**且整套自检报"检查器本身不可信" ⇒ 新格确有分辨力。
|
2026-09-28 08:46:02 +08:00 |
|
|
|
4556886e04
|
feat(部署判据): 已退场宿主可显式豁免（zcode）＋ 记我自己踩的两个坑
## 背景
zcode 宿主已在本机删除（进程无、`/etc/systemd/system/zcode*.service` 无、
`/opt/agentmail/plugins/` 下无该目录），而 `plugins/zcode-mail-bridge/`
（62 个文件）与 `deploy/systemd/zcode.*`（3 个单元）**故意留在仓库里**以便恢复。
`HOSTS` 是硬编码四家，于是两条判据永久红，且结论区建议的
`bash deploy/redeploy-plugin.sh zcode` 是**错的动作** ——
那会部署一个用户已决定不再运行的宿主。
## 改法：显式豁免表 `RETIRED_HOSTS`
**豁免只换表述、不压红**（这是关键，理由见下）：
· `checkHost` 仍逐条列出「已退场」+ 理由，只是不计入 `stale`；
· `checkLayout` 的 note 里明写「已退场宿主、故意不装：<单元>」。
为什么不能静默跳过：本文件反复强调「**没检查到** ≠ **不存在**」。
静默跳过 = 让人以为"检查了、没问题"，而"这台机器上跑什么"
本身就是需要有人知道的**事实**。豁免必须**可见**。
## ★★ 我自己连踩两个坑，都让豁免**静默生效**（不是"豁免得太宽"那种噪声）
① 第一版 `isRetiredHost` 只查 `units[0]`（zcode.service）。
实测"只装 zcode-mail-bridge.service、不装快照"时
**仍被判成已退场**，且那个新装上的单元在 note 里被写成
「故意不装」—— **自相矛盾且完全静默**。
⇒ 改为 `units.every` 逐个查。根因：只抽查一个单元就宣称"全都没装"。
② 第二版用 `existsSync` 判软链存在，而 `current` 是**相对**软链
（`→ 20260926-085613`）。快照目录被删、软链残留成**断链**时
`existsSync` 返回 false ⇒ 「装过又删剩」与「从没装过」读数
**完全同形**。实测断链场景仍被判「已退场」。
⇒ 改用 `lstatSync`（看得见软链本身，含断链）。
## 验证：四态都实测过
A 全都没装 ⇒ 豁免（"已退场"仍出现在输出里）
B 有效软链 ⇒ 报漂移
C **断链**软链 ⇒ 报漂移
D 只装一个单元 ⇒ 报漂移
`--self-check` 47 格仍全过。结论区回到
"四个宿主都在跑当前代码"。
## 欠账
豁免逻辑本身**没有自检样本**进 `--self-check`（现靠人测四态）。
按本仓纪律"能自证就别靠人测"，应补：注入假 fs 让四态各跑一遍，
且必须有一格是**断链**样本 —— 第一/二版都恰好漏在断链上。
已登记 `DEBTS.json` 的 `retired-host-exempt-never-tested`。
|
2026-09-28 08:46:02 +08:00 |
|
|
|
4598095b17
|
fix(drift): 补上负向清单**第②项的守护格** —— pi ⑬″ 指出的真洞（宣称 2 项，只有 1 项有人守）
pi `7ec0044a` 用**同一条量法**（`|R\C|`）打了我自己刚落地的那条 ⑬′：
```
我 b5989a9 的 ⑤b 负向清单宣称 2 项:
① 从脏树构建（含未提交代码） —— **有格**（:1610 modified=true ⇒ 绿 + note 点明）
② 部署后被手工替换/修改（只看内嵌 revision）—— **一格都没有**
grep '手工替换' 全文件 ⇒ 只命中清单自身
⇒ 所以 |R\C| 不是 1；② 是**只被"声明"、没被判据守**的那一项
```
★ 而这正是 ⑬′ 想防的形状的**镜像**: 我写了负向清单（防读者把绿读成"没问题"），
却**没有东西防我自己把清单写漂** —— 删掉一项、或以为它被覆盖了，都不会红。
## ⑬″ 的判法（pi 给的，我采纳）
```
每一项判一次: 「在 R 内 C 外」（真洞 ⇒ **加格**）还是「在 R 外」（⇒ **划出宣称**）
项②: ⑤b 宣称回答"这份二进制是不是当前代码" ⇒ **在 R 内**
而 C = {只读内嵌 revision}，同 revision 换内容照样绿 ⇒ **C 外**
⇒ **真洞 ⇒ 加格**（不是划出宣称）
```
## 落地
新增自检格 `★网关二进制：绿时 note 必须写明"①脏树构建②部署后手工替换"两项都不覆盖`，
**不要求改 ok** —— 内容替换确实判不了，只能"说出来"；它钉的是**那句话还在**。
★ 变异验证（这格**能失败**，否则等于没加）:
```
从 note 里删掉负向项② ⇒ 该格 **失败** ⇒ "判据自检失败 1 项"
```
自检 63 → **64 项**，0 失败。
## 一并记账：§7 那条同类无守（pi 同封指出，本条**未改**）
`redeploy-gateway.sh` §7 那句「已装二进制 = 当前 HEAD（…）—— 不覆盖: …」**全仓只命中它自己**，
而 `redeploy-gateway.sh` 没有 `--self-check` ⇒ **同一动作两处，一处有守一处无守**。
不在这条提交里改（要动部署脚本，且得先想清 §7 该怎么自检）—— 留给下一条，避免又造一次半截更新。
|
2026-09-25 07:01:36 +08:00 |
|
|
|
2393703100
|
feat(deploy): 构建步打印**工作树清单** —— 把不可归因的 modified=true 换成有名字的清单
pi 2026-09-25 提的第三种处置（既不判红、也不只留一个 bool），我采纳。
## 为什么一个 bool 不够
`go build` 在脏树上**照样**写 `vcs.revision=<HEAD>`，只额外记 `vcs.modified=true`。
那个位只说"含未提交代码"，**不说是谁的什么** —— 而本仓是**多 agent 并发**：
未提交改动通常**不是部署者的**，是别人的在飞工作。
⇒ 这不是理论，本仓**已经付过代价**（`check-deploy-drift` 判据⑥ 注释里那笔账）：
2026-09-14 `pool.mjs` 一行未提交的 `let missingSessionCount = 0;` 被"从脏工作区做的"
快照原样带进生产，而当时判据① 报的是「逐字节一致」。
## 处置：打印清单，不判红
```
say "3. 构建二进制" 之后、go build 之前:
git status --porcelain 非空 ⇒ warn "工作树不干净 —— 下面这份未提交清单会被**编进这次构建**" + 逐行打印
否则 ⇒ ok "工作树干净（构建件不含未提交代码）"
```
★ 位置贴紧构建步：`go build` 读的就是**此刻**的工作树，所以这份清单才对应"进了这份二进制的东西"。
★ 判红与否改变不了的事实：**清单有名字，bool 没有** —— 出事时能直接看出"带进去的是谁的那两个文件"，
而不只能回答"当时是脏的"。（本会话同族：一个位 vs 一份清单 = 不可归因 vs 可归因。）
## 同时给 ⑤b 记一条**边界**（避免下一个人把它补错）
`check-deploy-drift` 的 ⑤b **读不到构建时的工作树** —— 它读的是二进制内嵌位，
而它那里的 `git status` 问的是**此刻**的树（两者可能不同：构建完又提交了、别人的改动进来了）。
⇒ 注释里写明：清单归**部署脚本**（那里才是同一时刻），⑤b 只回答"含不含未提交代码"，
**别把 ⑤b 补成 `git status` 然后当成构建清单**。
## 验证
`bash -n` 通过；`--dry-run` rc=0 且不落地（只留 0 字节锁），清单在 dry-run 下照常打印（只读）；
自检 63 项绿、`判据自检失败` 不出现。
|
2026-09-25 06:38:13 +08:00 |
|
|
|
b5989a94a1
|
feat(deploy): 按 ⑬′ 给 ⑤b 与 §7 的绿补**负向清单**（判据须写出它不覆盖哪几类）
pi 2026-09-25 提的 ⑬′：写"要验 X"时必须写清**动作覆盖到哪**，而"覆盖到哪"要写成
**负向清单**（不覆盖哪些）—— 因为正向范围可以含糊，负向清单必须逐条列，否则等于没写。
他给的量化形式：假绿区 = |R| − |C|（R=宣称范围，C=实际能判红的集合）。
这两个判据原先只在**红**的时候说话，**绿**时读者会把"绿"读成"这份二进制没问题" ——
而它们其实只答了一个问题："内嵌 revision 是否等于 HEAD"。
⑤b note（绿时）: …；本判据**不覆盖**: ①从脏树构建（含未提交代码，只披露不判红）
②部署后被手工替换/修改（只看内嵌 revision）
§7 ok（绿时）: 已装二进制 = 当前 HEAD（xxxxxxxx）—— 不覆盖: 从脏树构建 / 部署后手工替换
★ 这条规矩**已被它自己验证过一次**：我 ⑤b 的 R\C 里那一格（`modified=true` 的脏树构建）
**不是我想到的，是 pi 找出来的** —— 我写 ⑤b 时以为 R = C。写出负向清单这件事
本身就会把那格逼出来。
自检新增一格 `★网关二进制：绿时 note 必须写负向清单（不覆盖哪几类）`，62 → **63 项**，
`判据自检失败` 不出现；`bash -n` 通过；`--dry-run` rc=0 且不落地。
|
2026-09-25 06:33:46 +08:00 |
|
|
|
55158e1666
|
fix(deploy): 补 ⑤b 的**假绿洞** revision==HEAD ≠ "就是那份提交"（pi 指出，我实测复现）
## 洞
树脏时 Go **照样**写 `vcs.revision=<HEAD>`，只在 `vcs.modified` 上留痕 ⇒
只比 revision 会把"**未提交的代码**"当成"就是那份提交"。
实测（/tmp/vm2：HEAD=2931050a，改一行**不提交**再 build）：
revision=2931050a == HEAD ⇒ 我 ⑤b 判**绿**
但二进制里是未提交的那行代码 ⇒ **假绿** ✓ pi 对
线上那份正是 `vcs.modified=true` ⇒ 它**不对应任何已提交版本**。
## 修法：说清楚，但**不判红**
`revision == HEAD` 与"不含未提交代码"是**两个量**，不能拿前者冒充后者 ——
但脏树在本仓是**多 agent 并发编辑的常态**，判红就是造一条总在亮的判据。
★ 同一个事实在本仓**已有既定严重度**：`check-deploy-drift` 判据⑥
// ⑥ 工作区干净度 —— **WARN，不参与退出码**。
⇒ 两处都改成 **WARN/note 披露，不改 ok / 不加 CHECK_FAIL**，
与判据⑥ 同严重度 —— 否则同仓同一个量会有两套红绿。
redeploy-gateway.sh §7: modified=true ⇒ warn（不动 CHECK_FAIL）
check-deploy-drift ⑤b: revision 相同但 modified=true ⇒ 绿 + note 点明"含未提交代码"
## 判据自检
新增一格：`revision 相同但 modified=true ⇒ 绿，且 note 点明"含未提交代码"`。
自检 **61 → 62 项**，`判据自检失败` 不出现。
★ 这条是本判据**唯一**的假绿形状，所以它必须有一格专门钉住——
否则下一个人把 note 删了、或把 ok 改成 false，都没有判据会响。
|
2026-09-25 06:31:04 +08:00 |
|
|
|
c6a497f4ed
|
feat(deploy): 漂移检查补 ⑤b —— 比 vcs.revision，接住"二进制落后 HEAD"
## 缺口
`check-deploy-drift.mjs` 判据 ⑤ 只判**构建参数**（有没有带 `-trimpath`），
不判**这份二进制是哪次提交建的**。2026-09-25 实证：
线上 /opt/agentmail/agentmail-gateway vcs.revision=e8b260d（09-19 构建）
仓库 HEAD 已有 6 天的新提交（含两条 relay 幂等键/回滚修复）
⑤ 当日报的是"63 处源码路径"（另一个毛病）⇒ **完全没指出它落后 6 天**
当时是靠人手动跑 `go version -m` 才发现的。而"部署脚本跑过了 ≠ 线上跑的是当前代码"
正是这个文件头自己列的第 2 类漂移 —— 判据却缺了它。
## 实现
Go 默认把 `vcs.revision=<sha>` 以**明文字节**编进二进制，所以直接按字节匹配读出，
不依赖 `go` 命令、不 spawn：与 ⑤ 读同一份 buffer。
⚠️ 三态而非两态：**拿不到 revision（`-buildvcs=false`／老构建／非 git 构建）⇒ 不判**。
写成红会让合法环境恒红，写成绿等于没判 —— 所以只接受"不判"，且 note 必须说出来，
否则读者分不清"比过且相同"与"根本没比"。只比相等/不等，**不判谁新谁旧**
（判新旧要 git 图，而二进制里的 sha 未必在本地仓库里）。
## 判据自检
新增 3 条（不等→红 / 相等→绿 / 拿不到→不判且 note 说出来），自检 **58 → 61 项**，
`判据自检失败` 不出现。只钉"不等红"会放过"两侧都读不到时恒绿"的退化。
## 顺带修一处脆锚
原有自检用 `o.find(c => c.name.startsWith('已安装的网关二进制'))` 取 ⑤。我新增的
⑤b 名字以同一串开头 ⇒ `find` 会返回它，⑤ 的断言就可能测到 ⑤b。
已把选择器锚到**完整前缀** `'已安装的网关二进制不含源码路径'`，并把新判据命名为
`网关二进制构建版本…`。（"按名字锚定"是对的，但**锚得太短就等于按位置**。）
HEAD 版与新版 `--self-check` 同为 rc=1（来自既有真实漂移：3 个宿主待重部署 +
判据 6），非本次引入。
|
2026-09-25 06:19:38 +08:00 |
|
|
|
33b6033bdd
|
文档: 去掉判据 ① 里写死的验收数字「133」—— 它第二天就过期了
我在注释里把验收写成「比了 **133** 个文件（全部，不筛后缀）、命中 0」。
那是 pi 给的算式（`/etc/systemd/system` 133 个文件 − 现行口径 129 = 差集 4）当天的快照。
**今天实测是 135** —— 系统装/卸一个 unit 就会变（我这次是 multi-user.target.wants 下多了 3 个）。
⇒ 把「以某个绝对值为验收」改成「以**关系**为验收」：
要钉的是 `比了 N 个` 的 N **必须等于真的读到内容的条数**
（读不到的单列 `unreadable` 并判红 —— 那正是我上一笔修的分母问题）。
验收时看 note 里的**实际 N**，别看历史值。
★ 同族：这与我这几轮反复记的「判据的严格度必须与它真正想守的那件事对齐」是一回事 ——
这里想守的是「分母没有混进没比过的对象」，那是个**关系**，不是一个数。
把关系写成常数，等于把判据焊死在「当天的机器状态」上。
|
2026-09-21 05:19:49 +08:00 |
|
|
|
258b88da22
|
修复: 判据 ① 的**分母**混着没比过的文件 —— scanned++ 在 readFile 之前，读失败静默跳过
与 A 条（`catch { return; }` 吞 ENOENT ⇒ 报"一致"）**同一族**：分母里混着没真比过的
对象 ⇒ 报出来的 `0` 不是闭合的。这条是**我自己写的**代码里的同形错误。
## 形状
scanned++; // ← 先加分母
try { text = String(readFile(full,'utf8')); } catch { continue; } // ← 读不到就静默跳过
if (text.includes(REPO)) offenders.push(full);
⇒ 一个「文件存在、但读不到」（EACCES / 悬空软链 / I/O 错）**被计入"比了 N 个"，
却从没被 grep 过**，note 照样报"比了 N 个文件、命中 0"。
实测复现（喂一个"存在但读抛 EACCES"的文件）：note 说"比了 **2** 个"，真正被 grep 的只有 **1** 个。
## 修法
1. `scanned++` 移到 `readFile` **成功之后** ⇒ 分母 = 真读到内容的条数；
2. 读失败的单列 `unreadable` 并**判红** —— "我没能检查它"与"它没问题"是两件事；
3. 失败 note 把三类分清楚（引用仓库的 / 软链指向仓库的 / **我没读到的**），
第三类点明"这几条没被检查"，否则读者会把它读成"它引用了仓库"。
## 变异验证（两边都跑）
变异①`scanned++` 挪回读之前（旧语义）⇒ 新判据**红**；
变异②读失败**静默跳过**（既不红也不计）⇒ 新判据**红**。
修后自检 66 通过 / 3 失败，那 3 条是**既有线上红**（①b 权限 3 文件 600↔644、
⑥ 二进制含 63 处源码路径），与本次改动无关。
## 顺带：把 §六 那条推理写进注释
`DEPLOY_ROOT` **故意硬编码**、不读 `AGENTMAIL_PREFIX` —— 因为前缀写错会以**红**暴露
（② 与 `configNeedle` 都落到 `else fail('指向别处')`），是 **loud failure** 而非假绿。
并写明：真要收应从 `current` 软链推导，而不是再加一个三方要同步的常量。
★ 另记一条口径（pi §一 给的验收是 133，今天实测是 **135**）：判据数的分母会随机器
变化（这里是 70 普通文件 + 65 软链），**所以验收标准不该钉死在某个绝对值上**，
该钉的是"分母 = 真读到内容的条数"这个**关系**。
|
2026-09-21 04:54:45 +08:00 |
|
|
|
15df621045
|
feat(deploy): 权限位两条判据 —— 政策（源文件不严于 0644）+ 一致性（副本=仓库）
pi 评审 2026-09-15 §三 给了决定：**开，但拆两条**。理由我采纳并写进注释：
合成的结果会是"看起来覆盖了、其实只覆盖一半"。
## 为什么要这两条（实测实例，不是设想）
写文件的工具**不理会 umask**（umask 022，它建的仍是 0600），而
`deploy/redeploy-plugin.sh` 用 `cp -a "$SRC/."` 打快照 ⇒ **0600 会进生产**。
实测：快照里 `src/paths.mjs`/`src/turn-cwd.mjs` 是 0600、仓库 0644，
而 **`cmp` 五个 same、① 报"逐字节一致"** —— 两头都不报警：
`collectFiles` 只把**内容**做 sha256，`check-deploy-drift` 只在脚本上判可执行位。
## 两条的分工（别合成一条）
- `deploy/check-file-modes.sh` = **政策**：源文件不得比 0644 更严。
**不看快照** ⇒ 能抓"两边都 0600"，而一致性那条永远抓不到（两边一致 ⇒ 恒绿）。
- `check-deploy-drift.mjs` 新增 **①b**（`collectModes`/`diffModes`）= **一致性**：
部署副本的权限 = 仓库那一份。抓不到"两边都错"。
## 落地
**政策侧**：新脚本判「已跟踪文件里 group/other 任一读位缺失」。
实测判出 **53 个**（含 `plugins/pi-mail-bridge/package.json`、`src/naming.mjs`、
`client/harmony/.../*.ets`、`docs/GUI-PLAN-HARMONY.md` 等）—— 全部 `chmod 644` 修掉，
现在 exit 0。**区分力实测**：把 `deploy/check-shared-libs.sh` 临时改 0600 ⇒ 判据红并点名它，
恢复后绿；0755 的可执行脚本**不**被判红（有读位，不是"更严"）。
★ 也修正了我先前的一处过报：那 53 个里有凭据类命名的文件吗 —— **0 个**（先查了才批量改）。
**一致性侧**：①b 一上线就抓到**真实的**、**先于本次改动**存在的漂移：
`plugins/*-mail-bridge/lib/permission-grants.{js,d.ts}`、`rename-proposal.{js,d.ts}`
在三个宿主的快照里是 **600**、仓库是 **644**（pi 宿主 1 处、dsh 4 处、opencode 2 处）。
⇒ 这条缝**一直存在**，只是此前没有任何判据看着它。
**处理**：不单独 redeploy 去"洗"权限（那要重启 pi 宿主，为权限位重启服务不值得），
**下一次正常部署顺带修好** —— 这是记账，不是新欠账。
①b 现在是**失败**态（真实不一致），所以 `drift` 整表 exit 1；这与"① 全过"并存是对的，
两条量的是不同的东西。
## 自检
给 `collectModes`/`diffModes` 加了 4 条自检（`--self-check`），四条一起写，
因为"能发现差异"单独一条会被一个**恒判"都不同"**的坏实现骗过：
① 权限相同不得误报；② 内容一致但 0600 vs 0644 必须被发现（连数值一起断言）；
③ 权限差异不污染 ① 的内容判据；④ 仅一侧存在的文件不算权限漂移（归 ① 的文件集判据）。
★ 其中两条我**第一版写错了**并当场修掉，都记在注释里：
- 用了 `lib/x.mjs` 做样本，而上面 `mk(b,'DIFFERENT')` 已把它改成内容不同
⇒ ③ 红在**内容**上，而它想验的是"权限不污染内容"；改用一对独立的内容相同文件。
- 夹具真实创建的是 `lib/x.mjs` 而不是我以为的 `lib/same.mjs`（ENOENT 才发现）。
验证：`--self-check` 全绿；pi 桥 509/509；`check-shared-libs` exit 0；
`check-file-modes.sh` exit 0；`install.sh --check` exit 0。
|
2026-09-15 10:26:23 +08:00 |
|
|
|
743e397916
|
fix(prune)!: 构建暂存那段清理**一直是空转的**（ls -1t 对目录打 路径: 头）+ del() 失败分支补齐覆盖
## 那个真 bug：`ls -1t <多个目录>` 不打裸名字
追 pi 的 shim 建议时撞出来的，与 shim 无关 —— 是我为了给它造样本才发现的：
ls -1t /tmp/agentmail-gateway-build-* # 这些是**目录**（mktemp -d 造的）
/tmp/…-20260101-000000:
agentmail-gateway
/tmp/…-20260105-000000:
agentmail-gateway
`ls -1t` 收到**多个目录参数**时会列出**每个目录的内容**并打 `路径:` 头 ——
于是 `mapfile` 拿到的全是 `…000000:` / `agentmail-gateway` 这类行，都不是文件名
⇒ `basename | grep -oE '[0-9]{8}-[0-9]{6}'` 取不到时间戳 ⇒ 每条都判
"文件名无时间戳，判定不了" ⇒ **一个都不删**。
也就是说本段注释里写的那个问题（"每次部署留下一个 24MB"）**从来没被清理过**。
修法：`ls -1dt`（`-d` 让目录自身作为条目，不打头）。
**为什么一直没人发现**：自检夹具用 `: >` 造的是**普通文件**，而生产是**有内容的目录**。
夹具形状与生产不一致 ⇒ 夹具自己认了错形状，而判据 197 行又只按**文件名**判
"窗口内的还在、窗口外的不在"，于是判据也认了。这是 docs 第 13 条那一族。
→ 夹具已改成真目录 + 里面放 `agentmail-gateway`；**改完立刻变红**（"干净样本：/tmp 构建暂存
只留窗口内那 1 份"失败），证明夹具现在真的有分辨力，然后加 `-d` 转绿。
顺带确认：其余三处 `ls -1t`（`agentmail-gateway.bak-*`、`pre-deploy-*.db`、`pre-prune-*.db`）
glob 到的是**文件**，不受影响；插件快照那处（第 294 行）本来就已经写了 `-1dt`。
生产现场实测：`/tmp` 下确实还躺着 1 份 24MB 暂存没被收掉。
## `del()` 的失败分支：采纳 pi 的"让 rm 自己失败"
他指出的第三条路（我原先只想到 immutable 与注入点）是对的：本机以 root 跑、权限拦不住；
`unshare -r` 被拒（`/proc/self/uid_map: Permission denied`）；tmpfs 无 `chattr +i`。
**改机器的权限**不如**让 rm 失败**。
实现上走了 `RM="${RM:-rm}"` 而不是 PATH shim，理由：`in_use` 会把命令行里含该路径的进程
判成"在用"，而自检必须把路径写在命令行上 —— 实测评 PATH shim 时确实被 `in_use` 挡掉、
`del()` 根本没被调用（那次"测试通过"是假的）。`$RM` 默认就是 `rm`，生产行为逐字不变。
自检新增 4 条（并通过变异确认有区分力：去掉失败判定 ⇒ 强断言变红）：
退出码 2、必须打出 `[FAIL] 删不掉`、不许出现收尾汇总、那条路径必须还在。
★ 变异还暴露出一条**弱断言**：单看"退出码 = 2"在变异后**照样通过**（脚本别处也有退 2 的路径）
—— 已在注释里注明它弱、区分力来自另两条，没有让它冒充证据。
★ 顺手修掉一处自指的措辞：我原先在报错里抄了收尾汇总的原话（"已删除 N 项"），
于是 `grep -c '已删除'` 命中**这句报错自己** ⇒ "有没有虚报成功"这个检查把自己的措辞
当成了证据。改写成不含该字面量的说法（与 `grep -c 用例名` 是同一族：判据锚在元文本上）。
## pi 的另两点
· `diffSummary` 带 `ctx` 时**会读文件**（判 `scripts.test` 要读两侧原文），不带是纯内存比较
—— 已写进函数头，免得以后有人当纯函数用而在大树上意外吃到 I/O。
· "自检样本不独立"的三种形态（位置选择器 / 共享夹具状态泄漏 / 探针无分辨力）
**合成 docs 第 13 条**（修法同一个：显式命名 + 显式复位），并把上面"夹具形状必须与生产
一致"作为配套一条写进同一条 —— 今天的真 bug 正是它。
验证：prune 自检 22/22、干跑 exit 0；npm test exit 0；drift 自检 35/0；check-shared-libs exit 0。
|
2026-09-14 20:53:54 +08:00 |
|
|
|
7eec311756
|
fix(deploy): C 扩到全文件（133/0 闭合）+ ① 加 realpath 判据 + ②b 明说"恒等" + 环境自足收成一处
pi 这一封四个实质点，逐个实测后处理：
**C. 口径扩到全部文件**（他给的是算术，不是口味，我认）：
原先按后缀取（`.conf/.service/.timer/.bak*`），我说的"零违规就不扩"是把口味当论证。
他把成本量化了：差集极小 ⇒ 多读几次文件（几十 KB），而收益是那个 `0` 从
**"有范围的 0"**（只对我划的圈成立）变成**"闭合的 0"**（对整棵 /etc/systemd 成立）。
他还补了一句我没想到的：这条判据只报**内容里含仓库路径**的文件，
所以含仓库串的 `.dpkg-old`/`~`/无后缀文件**恰恰都是真信号**（过期的旧真相），
不是噪声 —— 我先前"二进制会变成噪声"的担心本来就不成立。
**验收实测：比了 133 个文件（全部，不筛后缀）、命中 0。**
另按他要求把"零违规"这个前提写进注释，并说明"红/WARN 拆分"为什么推迟
（零违规时拆分是重构不是修 bug；出现第一个非白名单命中时再决定分档）。
**反例 1（②b 对 pi 是跑不到的分支）**：确认。pi 的依赖是全局包软链
（`-> /usr/lib/node_modules/@earendil-works/pi-coding-agent`），`cp -a` 保留软链
⇒ 两侧 realpath 到**同一个 inode**（实测 `statSync(a).ino === statSync(b).ino`）
⇒ 版本集合按构造相等 ⇒ **②b 对 pi 永远不会红**。这正是本文件自己列过的第三种形态
（断言在、区分力不在），比"没写判据"更坏因为它看起来是绿的。
已改：两侧 realpath 相同时**明说"恒等、区分力为零"**并指出它真正覆盖谁（有 vendored 树的宿主），
不再报"版本集合一致"这种让人误以为验过的措辞。自检加了这一条。
**反例 2（① 的 realpath 盲区）**：确认，形状真实且三条判据全都看不见 ——
①只 grep 内容（仓库那份 unit 文本里没有仓库字面量）、②比内容（live 就是 repo 那个 inode，
必然"一致"）、④只查固定名单。已加 realpath 判据：被检文件 realpath 落在仓库里 ⇒ 红，
与内容无关。自检加**正反两面**（内容干净但指向仓库 ⇒ 红；指向仓库外 ⇒ 不许红，
否则这条判据恒红）。实测：本机 `/etc/systemd/system` 下 0 条指向仓库的软链
（即这个 0 现在才是闭合的）。
**反例 3（环境假设第四次 ⇒ 建议收成一处）**：采纳。四次的形态一模一样
（HOME ⇒ 又一次 HOME ⇒ TMPDIR ⇒ GOMODCACHE/GOPATH），每次"再加一个预检"只挡已知那一个。
新增 `deploy/lib/env-defaults.sh`：一处给全 HOME/TMPDIR/GOMODCACHE(GOPATH)/PATH，
只设**未设**的变量，注释里写明四次历史与"否则第五次一定会来"；
三个部署脚本开头 source 它；**删掉**我上一轮加的那个分散 go 预检。
实测：在 `HOME`/`TMPDIR`/`GOPATH`/`GOMODCACHE` **全空**的环境里
`bash deploy/install.sh --check` **exit 0**（go vet + go test 自己站起来），
兜住的变量会在 `AGENTMAIL_ENV_DEFAULTS` 里说明。
docs 补两条纪律：13「锚点必须一一对应 —— 连'文件名'都会骗你」（E 的探针教训）、
14「退出码也有量纲」（--self-check 的退出码不是自检的结论）。
验证：npm test exit 0；check-shared-libs exit 0；drift --self-check **35/0**；
prune 干跑 exit 0；install.sh --check 空环境 exit 0。
|
2026-09-14 20:42:54 +08:00 |
|
|
|
42f01c7478
|
fix: 三处"判定对、但信号假"——豁免的自检覆盖、rm 失败仍报"已删除"、show_diff 截断证据
pi 通读后逐处指出，三条都实测复现：
**1. `jsonTestOnlyChange`/`testOnlyDrift`/`runtimeOnly` 没有任何自检碰过。**
他的质疑成立：我上一封说"配了六个样本"，那六个样本是**开发时的内联脚本、没进文件**
（他读了全文，找不到——我核了，确实没有）。而这段逻辑是文件里**唯一一处"把红变成绿"
的代码**，也是唯一没有判据的代码，失效方向恰好是"比恒黄更坏"那个（假绿）。
已补 **4 条走真路径的样本**（真临时树 + `diffSummary(d,{repoDir,snapDir})`）：
★只差 `scripts.test` ⇒ 不算运行时漂移且必须说出豁免了哪条键；
★`scripts.start` 变了 ⇒ 必须算运行时；★解析不了 ⇒ 不许豁免；★不传 ctx ⇒ 不豁免。
★ 写样本时被一对**同义不同数**的字段绊住：断言 `runtimeDrift === 0` 却得到 1 ——
`diffSummary` 报的是**原始**检测数，而 `checkHost` 自己又减了一遍豁免。
判据自己产出两个矛盾口径，与"注释里两组矛盾的写点计数"同族 ⇒ **统一**：
`runtimeDrift` = 减掉豁免后的结论，被豁免的只出现在 `testOnly` 里；
`checkHost` 删掉自算的 `runtimeOnly`。不传 ctx 时行为与旧版逐字相同。
**2. `prune-deploy-artifacts.sh` 的 `del()`：`rm` 的结果没人看。**
脚本是 `set -uo pipefail`（**无 -e**）⇒ `rm -rf` 失败（权限/只读挂载/immutable）后
照样打"删除 …（NMB）"、收尾汇总"**已删除 N 项，释放约 X MB**"
——**一次失败之后仍产出成功措辞**（与 `redeploy-plugin.sh` 里"被拒还打 [ OK ]"同族）。
已改：判失败即报错 `exit 2`；`removed`/`freed_kb` **只在成功后累加**；并加抽验
（`rm` 报成功但路径还在 ⇒ 报错），不信单一退出码。
⚠️ **这一条的失败路径我没能实测**：本机以 root 跑，权限拦不住 `rm`；
`unshare -r` 建只读挂载被拒（`/proc/self/uid_map: Permission denied`）；
tmpfs 无 `chattr +i`。要覆盖得在带 CAP_LINUX_IMMUTABLE 的环境用 immutable 文件，
或给 `del()` 加 `RM` 注入点。**我没有把"改过"说成"验过"。**
**3. `check-shared-libs.sh` 的 `show_diff` 被 `set -e` 当场中止。**
`cmp` 有差异返回 1 ⇒ `pipefail` 让函数返回 1 ⇒ 独立调用触发 `set -e` ⇒ **脚本当场死**。
实测（脚本级，fixture 树里造两处分叉：pi 与 zcode）：
旧版：报告 1 处分叉、收尾汇总 0 次
新版：报告 2 处分叉、收尾汇总 0 次（收尾那句本来只在成功时打，见下）
两者退出码都是 1（判定一直是对的）—— 所以**光量退出码看不见这个 bug**，
正是 pi 说的"判定对、证据被截断"。而且旧版连 `fail=1` 都执行不到：
退出码 1 是 `set -e` 给的。加 `|| true` 后遍历跑完。
|
2026-09-14 20:35:01 +08:00 |
|
|
|
44fdfb3ed7
|
fix(deploy-drift): 判据 ① 的覆盖面写进 note（0 必须带上可证伪范围）+ 记录 C 的取舍 + docs 补 4 条纪律
pi 的 C 项（`.bak` 那次修法"把圈往外挪了一格，还是圈"）我**实测后决定不改**，理由留档：
- 这一格现在**零违规**：`/etc/systemd/system` 133 个文件里**没有任何一个**含仓库路径，
包括现存的 4 个 `.bak`（`dsh-lan.service.bak-20260903-081410`、
`pi-bridge.service.bak-13010-20260814`、`pi-bridge.service.bak-20260814`、
`pi-web-sessiond.service.bak-20260814`）—— 全干净；
- pi 提到的 `zcode.service.bak-20260912-145744` **他读时已经 ENOENT**（他自己写了），
也就是说我引他那句话时依据的文件**已经不存在**；
- 扩到"每个普通文件都读"在当前只会引入噪声（二进制/dpkg 数据库类），换不到真信号。
⇒ 改为**把覆盖面写进 note**（"比了 129 个 … 文件"）——
`0` 只有在"它能被证伪的范围"写明之后才是结论，这正是这条判据当初缺的那句话。
等真出现一个非白名单后缀的违规再改，那时我们就有实例了。
docs/DEV-TOOLING.md 补 4 条纪律（编号 7-10，原第 7 条顺延）：
7 「注入点会把该抓的 bug 藏起来」（含位置选择器 `bad[0]` 的同类）；
8 「看起来在比、其实没比」要当一条自查（本轮出现三次：路径错/空目录/符号链接），
且**绿的时候也要留下覆盖范围的证据**；
9 **变异之前先提交**（我未提交就变异 + `git checkout` 还原，把自己的改动冲掉）；
10 **注释里的数字无法被判据守住**（同文件三处说法三个数、式子加起来还是错的）。
自检全过；实跑 ① 报"比了 129 个文件"。
|
2026-09-14 20:25:24 +08:00 |
|
|
|
a0ba10341c
|
docs(deploy-drift): 删掉两组互相矛盾的"写点计数"，改写成口径 + 理由
pi 逐处数出来的（我复核确认）：同一份文件里
- `describeEnvError` 头注释写"写点有**五处**"；
- `selfCheck` 头注释写"本函数共 **6 处写** = mkdtempSync×2 + writeFileSync×2 + 三处裸写"
—— **这条自己列的式子 2+2+3 加起来是 7**。
三处说法三个数，**没有一个等于实际站点数**（实际是 mkdtempSync×2 + mkdirSync×2 +
writeFileSync×6 = **10 处**；函数体后来又长了，数字只会更旧）。
**现在一个数字都不写。** 理由与本仓库既有纪律同源（"不要为此引入手抄的期望用例数
常量 —— 手抄常量会过期"）：注释里的数字**无法被判据守住**，改代码时没人会回来改它们，
而"两组数字互相矛盾"比"没有数字"更糟 —— 它让读者以为有人数过。
实例就在这份文件里：依赖树夹具（第 1009 行附近）后来又加了 3 处写，谁也没回头改注释。
要判"覆盖是否完整"只能靠**机制**：整段 try/catch 保证不论哪一处抛 ENOSPC 都被翻译成
人话 —— 覆盖范围不取决于入口、也不取决于处数。这一点写进注释了。
|
2026-09-14 20:24:49 +08:00 |
|
|
|
af42a08fbf
|
fix(deploy): 故障通知脚本的安装原来在 if 分支里（--skip-web 就不装）+ 判据 ③ 只验"在不在"
pi 读代码抓到的两处，实测确认：
1. `redeploy-gateway.sh` 的 `install … service-failure-notify.mjs` 夹在
`if [ "$SYNC_WEB" = 1 ] && [ -d …/dist/assets ]` 里（在 `[ OK ] 前端产物比源码新`
之后、`else` 之前）⇒ **`--skip-web`、或 `dist/assets` 不存在时运行时脚本根本不装**。
它跟前端产物没有任何关系，只是恰好被写进了同一支。后果：改了仓库里的通知脚本、
用 `--skip-web` 部署 ⇒ **生产还是旧的那份**。
已移出 if/else（并加 `install -d` / 安装失败的判失败 + exit 2）。
2. 判据 ③ 原先只判 `<isFile> && 有执行位`，不判**是哪一份** ⇒ 上一条的后果全绿。
现在比内容（与仓库 `deploy/service-failure-notify.mjs` 逐字节），
读不到仓库那份时**报"比不了"并判红**，不许当成"一致"。
—— 判据 ② 对 unit 本来就是比内容的，③ 该同形。
自检新增一条：★通知脚本内容与仓库不一致 ⇒ 必须红。
（探针第一版按**文件名**判两侧，而两条路径的文件名相同
（`deploy/service-failure-notify.mjs` vs `/opt/agentmail/bin/service-failure-notify.mjs`）
⇒ 两边返回同一个串、探针自己没分辨力。改成按哪一侧区分。）
现状实测：仓库与装机两份 sha256 相同（496 行），所以这是**盲区而非事故** ——
pi 的措辞准确。自检 28 条全过；实跑 ③ 报"内容与仓库一致"。
|
2026-09-14 20:23:26 +08:00 |
|
|
|
3b5c51c41e
|
fix(deploy-drift): 补上 EXCLUDE_DIRS 挖掉的依赖树洞（②b）+ 写明排除口径表
pi 逐条对过 `EXCLUDE_*` 与 `redeploy-plugin.sh`，最要紧的是 `node_modules` 那格：
部署脚本**把依赖拷进快照**（"依赖必须进快照：仓库外没有 node_modules 可借"），
而本文件整份跳过它 ⇒ **仓库换过依赖、快照还是旧的，判据报"逐字节一致"**。
这正是 `EXCLUDE_DIRS` 上面那句注释自己预言的假绿。
新增判据 ②b：读锁文件里的**版本集合**做签名（一个文件、24ms、实测 165 个包）。
选它而不是逐文件比：抓的是"依赖树漂移"这个真实风险，又不会被 `node_modules`
里的缓存噪声乱报（真的逐文件比 `node_modules` 不现实）。
- 一致 ⇒ 绿并说出比了几个包；版本变了 ⇒ 红；**一侧没有 ⇒ 也红**（不许当"未比"放过）。
过程中连踩两个同形状的坑，都记在代码里：
1. 依赖是**符号链接**（`@earendil-works/pi-coding-agent -> /usr/lib/node_modules/…`），
第一版只挑 `isDirectory()` ⇒ 空手而归 ⇒ 恒报"两边都没有依赖树，未比"
—— **又是"看起来在比、其实没比"**；
2. 我把 `repoUnits`/`liveUnits`（systemd 目录）传给了找锁文件的函数，
于是永远找不到 ⇒ 同一个形状再来一次。
⇒ 教训：一条判据如果**只能靠真文件系统喂**，它就没法被自检；
`findDepLock` 因此改成只走注入面，自检样本把它真正走一遍。
另外：
- 排除口径写成**表**（对齐/未对齐各自说明），不再只是"逐条对齐"一句话；
- `dist.old` 加进 `EXCLUDE_SUFFIX`（部署脚本会 `rm -rf` 它，仓库里若有会造成**永久假红**）；
- `coverage` 保留排除但写明"仓库里当前不存在，无实际影响，保留是为了不假装对齐"；
- `.cache`/`*.log`/`.DS_Store` 三处**方向相反**（本文件比脚本更宽）写明为已知取舍。
自检新增三条：★依赖树一致 ⇒ 绿且说出包数、★版本变了 ⇒ 必须红、★一侧没有 ⇒ 必须红。
自检 25 条全过；实跑 ②b 报"165 个包，版本集合一致"。
|
2026-09-14 20:22:12 +08:00 |
|
|
|
5e38914cac
|
fix(deploy-drift): 判据 ② 是假绿 —— 它比的目录不存在（一个文件都没比过，却报"一致"）
pi 逐行读出来的（我实测确认）：默认路径写成
`new URL('../systemd', import.meta.url).pathname`，而 `import.meta.url` 在 `deploy/` 下
⇒ 解析成 `/home/program/agentmail/systemd`（**ENOENT**，真身在 `deploy/systemd/`）。
`readdir` 抛的 ENOENT 被 `catch { return; }` 静默吞掉 ⇒ `drift` 恒空
⇒ **一个文件都没比过，却报"已安装单元与 deploy/systemd/ 一致"，而且它参与退出码。**
这是第四种形态的标本（**边界没说出口 ⇒ 报了个自己都不知道是假的 0**），
而且**自检接不住它**：`layoutSelfCheck()` 每个样本都显式注入 `repoUnits:'/repo/systemd'`
⇒ 真实默认值从没被任何样本走过 ⇒ 写错了自检也 100% 绿。
**注入点把该抓的 bug 藏起来了** —— 同族里这是最难看的一层。
四处一起修：
1. 路径改成 `join(HERE, 'systemd')`，并**导出** `DEFAULT_REPO_UNITS` 让自检能断言默认值本身；
2. `catch` 不再静默：目录读不到 ⇒ **判红**（"比不了"不许伪装成"一致"）；
**空目录也判红** —— 真实目录有 22 个文件，不可能是空的（这条是被自检逼出来的：
注入的 readdir 对未知目录返回 `[]`，于是"不存在"能伪装成"空"，我第一版修法又栽成恒绿）；
3. **反向也判**：机器上有、仓库里没有的（原先永远不报 —— 那正是"仓库里的是旧的、
机器上的是新的"的另一半）。**口径必须收窄**：`/etc/systemd/system` 下绝大多数是
系统自带 unit 与 enable 出的软链（实测 111 个），全报等于没报 ⇒ 只报本仓库自己那套、
跳过软链 ⇒ 现在 0 个；
4. 绿的时候 note 带上覆盖范围（"比了 22 个文件，全部一致（目录：…）"）——
空 note 无法区分"一致"和"没比过"，而那正是这条判据原先的样子。
自检新增三条判据：★默认单元目录存在、★默认单元目录不是仓库根下那个不存在的 systemd/、
★单元目录读不到 ⇒ 必须判红。另把 `bad[0]`/`badBak[0]` 这类**位置选择器**改成
按名字取（`byName`）—— 位置选择器是另一种"注入点藏 bug"：插一条新检查就会改变语义。
**变异确认**（这次先提交、再变异）：把默认路径改回 `../systemd` ⇒ 判据 ② **红**，
note 精确报 `仓库单元目录读不到：/home/program/agentmail/systemd（ENOENT）`。
⚠️ 上一次做这个变异时我在**未提交**状态下用 `git checkout HEAD --` 还原，
把自己的改动一起冲掉了 —— 这正是我自己写进 DEV-TOOLING 的那条纪律，我又踩了一次。
这次先 commit 再变异。
验证：`--self-check` 全过；实跑 ② 由"空 note 恒绿"变成"比了 22 个文件，全部一致"。
|
2026-09-14 20:19:30 +08:00 |
|
|
|
d616582e96
|
fix: 回滚 user-question.js 那一搬（它把 check-shared-libs 打红两处），并把 drift 的非运行时差异摘出来
pi 逐处对文件后指出：我按"本平台不可达 ⇒ 搬去 test/lib/"把 `lib/user-question.js`
搬走，打红了 `deploy/check-shared-libs.sh` 两处（实测确认，脚本真退出码 1）：
共用模块缺失：plugins/pi-mail-bridge/lib/user-question.js
共用测试已分叉：test/user-question.test.mjs（opencode vs pi）
根因不是取舍而是口径：**`lib/` 上挂着两条方向相反的不变量** ——
① 共用模块四方逐字节同源（`check-shared-libs.sh`，连相对路径一起钉）；
② 本平台生产可达（我新加的规则）。而 `user-question.js` **是 dsh 桥的生产代码**
（`plugins/dsh-mail-bridge/src/index.ts` 引用它）⇒ 两条必然冲突。
**`lib/` 首先是四桥共用命名空间，其次才是"本平台可达"**；可达性只能当**报告**，
不能当搬家判据。教训的形状：**一条新判据上线时，先找它可能与哪些既有不变量冲突** ——
我只看⻅了自己那条。
改动：
- `user-question.js` 与它的测试回到 `lib/`、`test/`（路径也与 dsh 侧一致），
两边逐字节相同已复验；`check-shared-libs.sh` 退出码 0。
- `reach.mjs` 增加 `sharedLibNames()`：直接从 `check-shared-libs.sh` 的 `ALL_LIBS`
读共用清单做豁免（不手抄常量），并把"进快照但本平台不可达"降级为**报告**。
- `layout-boundaries.test.mjs` 增加回归判据：共用模块必须留在 `lib/`、
测试相对路径与 dsh 一致、两侧逐字节相同。
- 删掉 `reach.mjs` / `docs/DEV-TOOLING.md` 里那句**无据的机制说明**
（"user-question 走前缀动态 import"）：`localRefs` 的三条正则只认引号字面量，
对模板字面量形状是**盲的** ⇒ 那句若为真，搬走的就是生产代码而两条判据都会绿。
pi 读了 `src/` 下九个文件都找不到引用，我也确认是记忆偏差；理由改用 `addressing.js`
（传递可达、`src` 直接引用数为 0）—— 它已足够证明"直接引用数不是可达性"。
顺带按 pi 的第二条建议：`deploy/check-deploy-drift.mjs` 判据 ① 把
**非运行时差异**摘出来（`jsonTestOnlyChange`，只豁免 `scripts.test` 一类字段，
只对"两边都在、仅内容不同"的文件生效）。理由：一条**永远黄、没人打算为它动手**的判据
唯一的下场是被学会忽略，那时真正的运行时漂移会被一起忽略。
⚠️ 摘的条件很窄 —— **把运行时差异误判成非运行时比恒黄更坏（那是假绿）**，
所以 `main`/`start`/`dependencies` 变了、或解析不了，一律仍算运行时；
纯函数加了六个反/正样本的判据（含三个"必须算运行时"的）。
（该文件同时有另一条会话的改动，未提交、我未触碰；本次只加了我这一段。）
验证：`npm test` 463/463；`check-shared-libs.sh` 退出码 0；`--self-check` 18 条全过。
|
2026-09-14 20:11:58 +08:00 |
|
|
|
2d936893f5
|
fix(deploy): /tmp 占满把部署自己卡死了 —— 收构建暂存 + 构建带 -trimpath + 判据 ⑤
起因是用户让「清理一下」那批带仓库路径的残留。照着清理策略走时撞上更大的事实：
本机 /tmp 是 9.8G 的 tmpfs，**已 100% 满、可用 0 字节**，我自己的 `go build` 当场
ENOSPC 失败 —— 而部署的第一步就是构建。
## 1 谁把 /tmp 占满的（agentmail 自己的那份）
`redeploy-gateway.sh` 把网关构建到 /tmp 再 install 过去（为了原子替换），**用完没人删**：
每次部署留一个 24MB，实测 7 份 / 162MB。加上电子打包的中间物（squashfs-root 283MB、
pkgcheck/deb 291MB）、go-build-agentmail 缓存 172MB、4 个孤儿 go-build 工作目录 50MB
—— agentmail 名下约 960MB。另有别的产品的 /tmp/gocache 4.6G（TrueAgent 的
rebuild-plugins.sh 里 `export GOCACHE=/tmp/gocache`），不是本项目的，没动。
- prune-deploy-artifacts.sh 新增一类「构建暂存」，窗口 KEEP_BUILD_STAGES=1
（正常路径下部署脚本自己会收，留下的只可能是失败那次，正好留现场）。
自检 +1 项、变异验证过（把删除改成永不删 → 恰好那一项红）。
- 本次实际收：删除 8 项 / 释放 164MB（另加手动清 623MB 不可再生的中间物）。
- redeploy-gateway.sh 成功分支上收掉 $STAGE；失败/回滚分支**不删**（要留现场）。
## 2 残留里还藏着两处「旧真相」
- /etc/systemd/system/zcode.service.bak-20260912-145744（+ 同一次改动的
zcode.service.d/10-dbus.conf.bak-…）里躺着 /home/program/agentmail/deploy/
service-failure-notify.mjs —— 就是我上一封报「/etc/systemd 引用仓库 = 0 个文件」时
**判据自己划掉了的那一类**（walk 里 `!name.includes('.bak')`）。已删（在线单元与
deploy/systemd/ 逐字节一致，sha256 核对过），另外 4 个是别的产品的，没动。
- 判据 ① 因此放宽到含 .bak，并补了坏样本（.bak 里引用仓库路径必须判红）。
上一封那句「0 个文件」的边界现在写进判据里了 —— 边界不说出口，就等于报了个假的 0。
## 3 -trimpath：标准目录部署只做了一半
Go 默认把源文件绝对路径编进二进制。对照实验（同一份源码、同一个 go，只差标志）：
带 -trimpath 0 处，不带 57 处 —— 而 19:05 那次部署产出的
/opt/agentmail/agentmail-gateway 里就有 57 处 /home/program/agentmail/…。
依赖确实没了，但**源仓库位置还印在产物上**。两个构建点都加上 -trimpath，
并新增判据 ⑤（已安装二进制不得含源码路径，两侧样本都验）。
判据 ⑤ 现在**是红的**，这是存量产物的实情：磁盘上那份要等下一次
redeploy-gateway.sh 才会被换掉。我没替它单独重启网关 —— 会掐断正在跑的会话。
（工作区是多会话共用的，本次只 add 了上面这 4 个 deploy/ 文件。）
|
2026-09-14 20:06:19 +08:00 |
|
|
|
87359588eb
|
fix(pi-bridge): 评审第二轮 —— 判据在健康机器上会退化、"一处覆盖"取决于入口、笔误参数静默放行
pi 读了 `5bc579f` 之后报了两条新的 + 三条小的，全部认下并落地。
## 一、"开关真的被认"那条判据在 /tmp 被清空后失去分辨力
上一版只在"真实测量不足"那个分支里断言（注入大数必须放行）。问题是：
**"不足"正是机器恢复健康后会消失的条件** —— 那天这条判据就退化成"只验
`--measure` 可用"的弱检查，而它守的恰恰是"开关别静默失效"。
两个方向是对偶的、各守一个机器状态，所以改成**按实测分叉、在两个分支里断言相反的方向**：
真实不足 ⇒ 注入大数必须放行 （开关被忽略则回退测量 ⇒ 2 ≠ 0 ⇒ 红）
真实充足 ⇒ 注入 0 必须 exit 2（开关被忽略则回退测量 ⇒ 0 ≠ 2 ⇒ 红）
量不到就 `assert.fail` 并说明"无法分叉"—— 不静默跳过（跳过会把"失去分辨力"
伪装成"验过了"）。另把"端到端"那条的两个方向拆明白：只验"不足⇒2"时，
一个恒报不足的坏守卫也能绿。
## 二、"一处覆盖全部写点"成立的前提是"从 main() 进来"
`selfCheck()` 是**导出**的（用途就是被直接调），而兜住那三处裸写的 catch 在
`main()` 里 ⇒ 任何绕过 `main()` 的调用者撞上 ENOSPC 拿到的仍是原始英文堆栈。
**"覆盖范围取决于我以为的入口"正是这一串 bug 的共同病根**，所以把整段包一层
（`body()` + 统一 catch）：与入口无关，`main()` 那个退化为冗余的第二道。
实测：`TMPDIR=/tmp node -e 'import("./deploy/check-deploy-drift.mjs").then(m=>m.selfCheck())'`
现在拿到的是「环境不足…这是环境问题，不是检查器的问题」。
## 三、`--inject-avail=abc` 静默放行（笔误 = 跳过守卫）
`Number('abc')` = NaN ⇒ 判据当"没测到" ⇒ 放行。现在按仓库约定处理：
**非法值 exit 2，未知参数也 exit 2**（`--measure` 少写 `=` 同样炸）。
`null` 仍是合法值（"没测到 ⇒ 放行"是有意的），加了判据把这两个方向都钉住。
## 四、三条小的
- 两份实现（`lib/env-error.mjs` 的 `translateEnvError` 与 `deploy/` 的
`describeEnvError`）**不去重**，但两边各写一句"为什么不复用"：
`deploy/` 的独立性比去重值钱（那份文件头整段在讲"服务不该依赖仓库是否存在"）。
并写明**第三份拷贝出现时再考虑共用**。
- 写点计数口径写进注释：本函数 **6 处写** = `mkdtempSync`×2 + `mk()` 内 ×2
+ 三处裸写。免得与别处"五处"的说法对不上（上一封信里两个实测数字就是这么被误读的）。
- 变异自检的纪律补进 `lib/env-error.mjs` 头注释：**先证明能撤回来再注入变异，
且还原路径不能依赖被测对象**（那次把备份写进 `/tmp` —— 正是当时被占满的资源，
备份没写成而变异已覆盖源文件）。现在只对"已在 HEAD 干净提交"的文件做变异，
还原一律 `git checkout HEAD -- <file>`。
验证：`npm test` **475/475**；`--self-check` 18 条全过；
`TMPDIR=/tmp node deploy/check-deploy-drift.mjs --self-check` ⇒ exit 2 + 人话。
|
2026-09-14 19:42:58 +08:00 |
|
|
|
5bc579f910
|
fix(pi-bridge): 按评审补三处 —— ENOSPC 只盖了一个写点、旧注释自相矛盾、兜底判据钉的是文本
pi 逐字读了上一版落地的代码，报了三个"还差一格"。都不是推翻，是同一根因
（"环境不足伪装成别的"）在这套守卫自己身上的残留。
## 一、翻译只覆盖了 5 个写点里的 1 个（最实质）
`selfCheck()` 要在临时目录造两棵样本树，写点有**五处**；上一版只把 `mk()` 里那两处
包了 try/catch，后面三处（`README.md` / `extra.mjs` / `test/t.mjs`）裸写。它们撞上
ENOSPC 时异常冒到 `main()` 的 catch：**退出码是对的（2），但打印的是原始英文
`ENOSPC: no space left on device, write` 加一段指向本文件的堆栈** —— 也就是上一版
要治的那个信号（"看起来像检查器坏了"）**恰恰在最需要它的路径上还在**。
改法：抽一个 `describeEnvError(e, what)`，在 `main()` 的 catch 里**统一**换成人话。
一处覆盖全部写点，以后再加写点也不用管。`mk()` 里那段裸判断一并换成调用它。
## 二、`lib/tmp-space.mjs` 的头注释在说谎（读者已误读一次）
原文写"`availBytes` 为 `null`（读不到 / 平台不支持 / **字段为 0**）" —— 而"字段为 0"
指的其实是 `statfs.bsize === 0`（测量层确实 `if (!s.bsize) return null`），读起来
却像是在说"可用 0 字节也算不知道" —— **正是我上一版刚踩、刚补判据的那个坑**。
pi 第一遍读就误读成了后者。已把两个 case 分开写死，并注明"这条注释写错过一次"。
## 三、兜底判据钉的是文本，不是机制
`env-guard.test.mjs` 原来对 `session-scan.test.mjs` 断言 /ENOSPC/ 与 /环境/，
而那段**解释性注释里本来就有这两个词** ⇒ 删掉整段翻译逻辑、只留注释，判据照样绿。
这正是 `permission-note.test.mjs` 自己警告过的"钉装饰不钉机制"。
改法（按仓库规矩，纯函数 + 反面样本 + 接线）：
- 翻译逻辑提到 `lib/env-error.mjs` 的 `translateEnvError`（纯函数）；
- 判据喂构造出来的错误验**行为**：ENOSPC 必须翻译且带药方、普通错误必须**原样返回
同一个对象**（"什么都翻译"比不翻译更坏 —— 真缺陷会被套上环境的外衣）；
- `writeSession` 抽出 `write` 参数（**只为测试存在**，`pool.mjs` 的 `workerPath` 同一手法），
于是"接线还在不在"是**行为**判据：喂一个必然 ENOSPC 的假写，翻译必须发生。
抽它的理由写在注释里 —— 是"可被反面样本喂"，不是复用（只有一个调用点）。
- 变异自检：删掉写点的翻译 ⇒ 第 28、29 两条立刻红（已实测）。
## 四、顺带三处小的一致性问题
- 端到端那条判据原靠"本机 /tmp 恰好是满的"来验 —— 那是把判据绑在**会变的环境**上，
/tmp 一清空就自动跳过、无声失效。前置脚本加两个**只为测试存在**的开关：
`--measure=<dir>`（只量并打印 JSON）与 `--inject-avail=<n>`（绕过测量直接判定），
于是"不足⇒exit 2"与"充足⇒放行"在任何机器上都验得了（两个方向都验，缺一即假绿）。
- 判据 ⑥ 原先只有它自己带圈号前缀，读者会去找不存在的第 ⑤ 条。改成 `checkLayout`
的每条都带**连续 id**（1..N），`name` 是纯展示串，并加一条"id 不许跳号"的自检。
- 两个实测数（`729_088` 字节 = 0.70 MiB、`712` 字节）是**不同时刻**量的，并列摆着像抄错，
各标了来历；`lib/tmp-space.mjs` 里那条改用"一度真是 0"的说法。
验证：`npm test` **474/474**（上一版 453）；`--self-check` **18 条全过**（新增 id 连续）；
`npm test` 在临时目录不足时仍 exit 2 且一条用例都不跑。
|
2026-09-14 19:39:07 +08:00 |
|
|
|
0b548b8fcf
|
test(pi-bridge): 临时目录满时不再伪装成内存缺陷 —— 前置自检 + ENOSPC 兜底
现场（2026-09-14 实测）：`/tmp` 是 tmpfs，被别人占满，`statfsSync` 实读
`bavail*bsize` 只剩 **0.70 MiB**。此时 `npm test` 红一条
not ok 323 - ★巨大的 message 行不进内存也不影响解析
error: 'ENOSPC: no space left on device, write'
那条红的**形状指向内存**（用例名里就写着"不进内存"，而它恰好是往临时目录写文件的
用例）⇒ 下一个踩到的人会去 `session-scan.mjs` 找一个**不存在**的内存缺陷。
改：
- `lib/tmp-space.mjs`：测量与判据分开，判据是纯函数 `judgeSpace`，喂字节数即可验；
读不到可用空间（null/NaN）⇒ **不判红**（不知道 ≠ 不对，否则会造出"总在亮"的红灯）。
**但 0 字节不是"不知道"** —— 第一版把 `<=0` 一并当"没测到"，于是 `bavail` 只剩
712 字节时前置自检放行、紧接着 17 条用例 ENOSPC 全红：前置自检装了等于没装。
阈值 32 MiB = 实测单条用例最大写入量（`session-scan` 那条写 3×3 MiB 行 ≈ 12 MiB）
×2 + 8 MiB 机动，不是总容量的百分比（百分比在这套测试上没有依据）。
- `test/env-preflight.mjs`（名字不带 `.test.`，不被 glob 收进用例）：
`package.json` 的 test 改成先跑它；不足时打印实测/阈值/目录并 **exit 2**
—— 与 `deploy/redeploy-plugin.sh` 的 `2=环境问题` 同一套约定，看到 2 才知道
去查机器而不是查代码。文案里明写「这是环境不足，不是断言失败」。
- `session-scan.test.mjs`：兜底翻译 ENOSPC（`node --test 'test/*.test.mjs'` 会绕过
前置脚本，这一句不管套件怎么被调起来都生效）—— 这正是治那条误导的关键。
- `test/env-guard.test.mjs`：8 条自证 —— 纯函数两头 + 边界（≥阈值算够、<阈值不够）
+ 0 字节必须红 + 读不到不判红 + 阈值有据 + 端到端 exit 2 且文案对得上。
端到端那条**不假设本机 /tmp 仍然满**：先自己量一次，够用就跳过并说明原因，
免得它退化成一条"总在亮"或"总在绿"的假判据。
顺带修 `deploy/check-deploy-drift.mjs` 两处同源问题：
- `selfCheck()` 要在临时目录造两棵小树，`/tmp` 满时抛 ENOSPC —— 而它是**未捕获异常**，
堆栈指向本文件，看起来像检查器坏了。翻译成说得清的错并让 main() 报 2。
- 新增判据 ⑥「工作区干净」—— **只提示，不参与 exit code**。判据 ① 比的是
「仓库工作区→快照」这一跳，覆盖不到「HEAD→工作区」那一跳（实证：一行未提交的
死代码被 17:20 的快照带进生产，而 ① 报的是"逐字节一致"）。做成红灯就是一条
总在亮的判据（本文件头自己骂过的病），所以只说、不判。
验证：`npm test` 453/453（新增 8 条）；`npm test` 在 /tmp 满时 exit 2 且不再跑用例；
`node deploy/check-deploy-drift.mjs --self-check` 17 条全过（含 ⑥ 的三条正反面）。
|
2026-09-14 19:29:44 +08:00 |
|
|
|
5c22daf51b
|
fix(deploy-drift): 结论区那行命令跑不起来（node → bash）+ 写明判据 ① 的量纲
两处，都在 `deploy/check-deploy-drift.mjs`：
1. 结论区打印的修复命令是 `node deploy/redeploy-plugin.sh <host>`，
而它是 **bash** 脚本 —— 照抄的人会拿到
`SyntaxError: Invalid or unexpected token`（脚本第 2 行 `#` 被当 JS 解析）。
这个坑的源头就是这一行：pi 在 2026-09-14 那轮部署请求里抄的就是它打印的输出，
抄错不是阅读问题，是判据自己印错了。改成 `bash …`。
2. 判据 ① 的注释写明它比的是**仓库工作区当前内容**，不是 git HEAD。
实证（同一天）：`plugins/pi-mail-bridge/src/pool.mjs` 里一行未提交的
`let missingSessionCount = 0;`（模块顶层、无人读）被 17:20 那次
**从脏工作区做的**快照原样带进了生产，而判据 ① 当时报的是「逐字节一致」——
工作区与快照确实一致，只是两者都不等于 HEAD。
判据没错，是量纲只覆盖「仓库→快照」这一跳，覆盖不到「HEAD→工作区」那一跳；
想连那一跳一起判得单独比 `git diff --stat`。
（那条死代码本身已由 pi 的补丁 A 从工作区删掉，pool.mjs 工作区已回到 HEAD 内容；
下次部署后 `current/src/pool.mjs` 里的它才消失 —— 在此之前判据 ① 会因此报一处
pool.mjs 漂移，那是"待部署"，不是新问题。）
|
2026-09-14 19:24:44 +08:00 |
|
|
|
51789ee72e
|
deploy: 标准目录部署 —— 运行时不再依赖源码目录
用户注意到：「当前 agentmail 是在源码目录部署的，应当改为标准目录部署」。
查证后有三处实证（都不是猜测）：
1. ★ **失败通知钩子执行的是仓库里的脚本**
（`/home/program/agentmail/deploy/service-failure-notify.mjs`，8 处引用：
4 个 drop-in + zcode/zcode-mail-bridge 单元 + agentmail-failure-flush）。
仓库一挪/一改名，故障通知就**静默失效** —— 而那条管线正是用来报告服务故障的。
2. **opencode-serve 的 cwd 就是源码目录**（`WorkingDirectory=/home/program/agentmail`）。
3. ★ **仓库里的 `deploy/*.service` 是旧的源码目录版本**（ExecStart 指向
`/home/program/agentmail/plugins/...`），而机器上的已被改过 —— 也就是说
**谁跑一次 install.sh 就会把部署退回源码目录**。drop-in 更是只存在于 /etc 里，
仓库完全没有它们。
## 改动
- **唯一真相**：`deploy/systemd/` 镜像 systemd 目录结构，收进全部单元与 drop-in
（8 个单元 + 12 个 drop-in），路径全部改到 `/opt`。
- 运行时脚本装到 **`/opt/agentmail/bin/service-failure-notify.mjs`**（自包含，
无相对导入）；`install.sh` 与 `redeploy-gateway.sh` 都会幂等地装它。
- opencode 的 cwd 改为 `/opt/agentmail`（与网关一致），已重启生效
（`/proc/<pid>/cwd` 已核）。
- 删掉 `deploy/*.service` 的旧副本，避免两个真相。
- dsh 的 `cordis.patch.yml` 注释里的安装示例也改到标准位置（运行时用的是环境变量，
那条注释是唯一残留）。
## 判据（`deploy/check-deploy-drift.mjs` 新增「标准目录部署」四条 + 自检）
① 任何 unit/drop-in 都不得引用源码目录；② 已安装单元与 `deploy/systemd/` 逐字节一致；
③ 通知脚本在标准位置且可执行；④ 各服务的 cwd/ExecStart 不在源码目录
（homeagent/dsh/zcode 是**别的产品**的标准位置，按白名单放行）。
自检两个样本：引用源码目录的必须红、干净样本必须绿（证明不是恒真）。
顺带修掉一处**真漂移**：仓库里 dsh 的 `dist/index.js` 落后于部署件（改了 src 没重建），
重建后 `check-deploy-drift` 报「四个宿主都在跑当前代码」。
## 复核
- `/etc/systemd/system/` 引用仓库：**0** 个文件；`/opt/agentmail` 下只剩旧二进制/备份里
的构建路径（Go 嵌的源码路径，无害）与一条注释。
- 四个宿主都在跑当前代码；标准目录四项全绿。
- 全部服务 active，opencode/网关 cwd 均已在安装根下。
|
2026-09-14 08:38:33 +08:00 |
|
|
|
b53afd4523
|
chore(deploy): 部署漂移检查器 —— 快照是不是还等于仓库、进程到底在跑哪份代码
「部署脚本跑过了」不等于「线上跑的是当前代码」。三种各自独立的漂移，谁都不会
在意，直到出问题时才发现线上是几天前的行为：
1. 仓库改了、快照没重新部署（快照是独立副本）
2. **软链切了、进程没重启** —— `current` 只是个符号链接，切换它不会重载
已在跑的进程，进程持有的是启动那一刻加载进内存的代码
3. 单元/配置改了、没 daemon-reload 或没重装
`node deploy/check-deploy-drift.mjs`（`--self-check` / `--json`）把三件事变成
可判定的：逐字节比内容（**不用 diff** —— 本机 PATH 上那个是鸿蒙工具链里的，
对内容不同的文件仍返回 0）、读进程真实 argv、比进程启动时刻与软链切换时刻。
## 判据必须按宿主真实的加载方式分开写（这是踩出来的）
第一版对四个宿主用同一套判据（「单元 ExecStart 指向 current」+「进程 argv 里有
快照路径」），结果 **opencode 与 dsh 双双假红**：它们的插件由**宿主进程**加载，
argv 里永远只有宿主自己的可执行文件。永假条件在检查器里表现为「稳定的红灯」，
人会学会忽略它。
| 宿主 | 谁加载 | 从哪里读 | 切换后要重启吗 |
|---|---|---|---|
| pi / zcode | 自己的进程 | unit 的 ExecStart | 要（启动时加载） |
| dsh | dsh 宿主 | profile `link:` → `node_modules` 软链 | 要（服务启动时） |
| opencode | opencode 宿主 | `opencode.jsonc` 的 `plugin:` | 不要（会话创建时惰加载） |
## 判据自检也修了一次
第一版自检「宿主表：运行时加载的宿主必须标记需要重启」写的是
`h.restartOnSwitch !== false`，而 `undefined` 也被放过 —— 于是 pi/zcode 的
`restartOnSwitch` 缺省成 undefined、落进「惰加载」分支、判据**永真**。
现在这条判据抽成纯函数 `judgeRestart`，自检用**行为用例**盖住：
旧进程 + 启动时加载的宿主必须判红、惰加载的宿主不判红、切换后启动的一律放行、
读不到启动时刻时不据此判红、容差内不判红。
## 扰动实验（在真实对象上证明判据会红）
- 改一个仓库运行文件 → pi 的「① 运行文件与仓库一致」变红，恢复即绿 ✓
- 只把 pi 的软链 mtime 拨到刚刚（模拟「切了没重启」）→ 「④」变红并指出原因 ✓
- 把 dsh 与 opencode 的软链都拨动 → **dsh 红、opencode 绿**（惰加载该保持绿）✓
全部拨动均已在实验后还原并复核为绿。
## 当前结论
四个宿主都在跑当前代码（pi/opencode/dsh 的快照自 11:45 起未变，其间无提交
动过它们的运行文件；zcode 是 18:57 的快照）。「三桥加载规范化」的切换本身
早已完成，缺的是这条可复跑的判据 —— 补齐了。
另外修了 `redeploy-plugin.sh` 的一个静默问题：`usage()` 按**行号范围**截取头部
注释（`sed -n '2,40p'`），我这次的注释把退出码那段挤到 40 行之后，`--help`
就少了半页。已同步范围并就地记下这个陷阱。
|
2026-09-12 20:39:22 +08:00 |
|
