|
|
2f17f62871
|
feat(deploy): 前端源码更新「仅为注释」时不再卡住部署
## 起因（实测，同一天两次）
`redeploy-gateway.sh` 用 mtime 比对源码与 dist：
newer=$(find src -type f -newer dist/index.html)
[ -n "$newer" ] && exit 1
mtime 只说「这个文件被碰过」，不说「它变了什么」。于是共享工作树里**任何人
改一行注释就会拦下部署** —— 那行注释不进 bundle，重建产物与现有 dist
逐字节相同。
2026-10-02 实测被拦两次，都是 `client/electron/src/api/client.ts` 的线程树
说明注释（另一会话的工作树在制品，未提交），每次多花一轮 `npm run build`。
## 为什么不是拆掉那道闸
2026-09-14 踩过它的来历：改了 `src/lib/appearance.ts` 的请求路径却没跑
vite build，部署照样「同步成功」，出去的还是旧 bundle —— 表现为接口 404
（`/api/v1/api/v1/…` 双前缀），而**所有单测都是绿的**。那种失败是沉默的，
所以闸不能拆。
本改动是在闸**前面**加一层精化：先问「差异是否只是注释」，是则放行并说明，
否则维持拦截。拿不准时一律偏向拦截：
误拦的代价 = 多构建一次（几十秒）
误放的代价 = 把旧界面打进二进制（接口 404，且没人立刻归因）
## 判定口径（deploy/web-comment-only.mjs）
对每个「比 dist 新」的文件取它相对 **HEAD** 的 diff，去掉 `---`/`+++` 头、
diff 元信息与整行注释后若还剩内容 ⇒ 真改动 ⇒ 拦截。
- **只看未提交差异**（`git diff HEAD --`）。已提交改动早于本次部署决策。
- **未跟踪的新文件**按真改动处理 —— 判不出就别放行。
- 滤的是「整行都是注释」的行；行尾注释（`code(); // 注释`）算真改动（保守）。
- 块注释中间行（` * …`）与结尾也算注释。
## 判据（7 格）
`client/electron/test/web-comment-only.test.mjs`。判据本身必须能区分
「仅注释」与「真代码」，所以每格都给**两侧**对照。其中「只有注释差异」
那格用的 diff **逐字取自当天实测的 git diff**。
**变异验证**：
去掉注释分支（所有行算真改动） → 红 7（部署会被那一行注释继续拦）
isCodeChange 恒 false → 红 7（把 2026-09-14 的静默失败放回来）
第二条是关键：它证明这套判据不会为了「少拦一次」而牺牲那道沉默失败的闸。
## 真实场景验证（不是只跑单测）
把 dist/index.html 时间戳改早 → 5 个源文件「比 dist 新」
⇒ commentOnly=true，理由写明「差异仅为注释」
临时往 sse.ts 追加一行真代码
⇒ commentOnly=false，理由点名那行 `+const __probe = 1;`
bash deploy/redeploy-gateway.sh --dry-run
⇒ [WARN] 前端源码被更新，但差异**仅为注释** ⇒ 不重建
## 顺带
`find … | head -20`（原 head -3）：文件多时不至于只看到前 3 个就下结论。
|
2026-10-02 13:58:42 +08:00 |
|
|
|
c2796eaa52
|
fix(部署判据): 悬空软链不再让第 ① 条变成「不可达检查」＋ 补上它指向哪里
## 起因
第 ① 条（"没有任何 unit 引用源码目录"）在本机**长期红**，note 写的是
「读不到（这几条没被检查）：…/sysinit.target.wants/mdadm-shutdown.service（ENOENT）」。
查下去：那是**系统自带的悬空软链**（mdadm 未装 ⇒ 目标不存在），
不是本仓的部署事故。但判据仍然红，而它红得**没道理可讲**。
## ★ 真缺陷：那个软链分支是**不可达代码**
/etc/systemd/system/sysinit.target.wants/mdadm-shutdown.service
→ /lib/systemd/system/mdadm-shutdown.service （不存在）
`readFile` 对悬空软链抛 ENOENT ⇒ 走 `catch { …; continue; }`
⇒ **下面那段专门判软链的代码永远不会执行** ——
而那恰恰是对软链该做的检查（看**目标位置**）。
⇒ 这不是"误报"，是**一个该跑的检查没跑**。判据没回答"这个软链指向仓库吗"，
只回答了"我读不到它"。
## 修法
`readlink` 只读**链接自身**的内容（那个路径字符串），**不要求目标存在** ——
这正是悬空软链唯一还能回答的问题。
现在：既把目标查出来并判（指向仓库 ⇒ 进 `repoLinks` 报红），
又**仍然记进 `unreadable` 继续判红** ——
「没能检查它的内容」≠「它没问题」，这条不能因为解释清楚了就不算。
## note 里单独一句「悬空软链（**非本仓违规**）」
它与「真有 unit 读不到」要处理的人不同：
前者是装软件留下的系统状态，后者可能是部署事故。
混在一堆里 ⇒ 读的人不知道该不该管。
## 残余（有意保留）
第 ① 条**仍然红**，但现在红得**有理由且已说明**。
要让它转绿只能二选一：装 mdadm、或删掉那个悬空软链 ——
**都不是本仓该做的事**，所以不为了转绿而放宽判据。
自检 48 格全过（本次未新增样本；这一格的真机样本就摆在那里，
且 `--self-check` 的假 fs 走不到 `sysinit.target.wants` 这条路径）。
|
2026-09-28 08:49:40 +08:00 |
|
|
|
1639382eaa
|
fix(部署判据): ⑤ 的口径从「数子串出现次数」改成「只认源码**文件路径**」
## 起因
trimpath 修好之后（67 处 → 0 处真源码路径），判据第 6 条**仍红 1 处**。
查下去发现那 1 处不是缺陷：
server/internal/handler/mail.go:645 的 400 错误文案 ——
「请带上你所处工作区的绝对路径，例如 &workspace=/home/program/agentmail」
那是**给调用方看的示例值**，且它在二进制字符串表里紧邻下一条 SQL 字面量，
拼成 `…/agentmailINSERT INTO mails (session_id, …)` ——
**看起来极像「路径 + 代码」，实际是两条无关的字符串常量相邻**。
## ★★ 我上一轮把它误判成「测试夹具」
我grep 源码时命中的是 `notify_test.go` 里的 workspace 夹具，
就下了「是测试数据」的结论 —— 那是**另一个**字符串（`seedAdopted(t,"pi","pid-ws-1",
"/home/program/agentmail")`），只是恰好也含 REPO。
**真正的来源是生产错误文案。** 先下结论再取证，又一次。
## 口径改动
原口径 `text.split(REPO).length - 1` 数的是**子串出现次数**，把两件事混成一件：
· 真缺陷：trimpath 没生效，产物里印着 `…/server/internal/repo/repo.go`
· 误报： 源码里**本来就该有的字符串**恰好含这个子串
⇒ 改成逐个出现位置看**后缀**：REPO 之后是**源码文件扩展名**才是真路径。
这条判据要抓的是"源码**文件位置**被泄露"，扩展名正是它的形状；
而示例值后面跟的是 `INSERT`（SQL 关键字），不是文件。
## 两条都要报（把两者混成一个数字正是原口径的毛病）
bad = 真源码路径 ⇒ **判红**
other = 还有别处出现但不是文件路径 ⇒ **只提示**，且**给出真实样例**
第一版的"只提示"那档输出了「样例：见下」而样例永远取不到值
（只给真路径留了样例）—— 一句指向不存在内容的指路词。已修。
## 验证（两侧都用**真 26MB 二进制**，不是合成样本）
已部署（-trimpath） 源码路径=0 非文件字样=1 ⇒ 判绿 ✓
本地构建（无 trimpath） 源码路径=66 非文件字样=1 ⇒ 判红 ✓
## 自检
新增一格反面样本：`★网关二进制：非源码路径的仓库字样（示例值）不得误判红`
（`--self-check` 47 → **48** 格）。
变异验证：把 `SRC_EXT.test(tail)` 改成 `true`（退回数子串）⇒
该格**打红**且整套自检报"检查器本身不可信" ⇒ 新格确有分辨力。
|
2026-09-28 08:46:02 +08:00 |
|
|
|
4556886e04
|
feat(部署判据): 已退场宿主可显式豁免（zcode）＋ 记我自己踩的两个坑
## 背景
zcode 宿主已在本机删除（进程无、`/etc/systemd/system/zcode*.service` 无、
`/opt/agentmail/plugins/` 下无该目录），而 `plugins/zcode-mail-bridge/`
（62 个文件）与 `deploy/systemd/zcode.*`（3 个单元）**故意留在仓库里**以便恢复。
`HOSTS` 是硬编码四家，于是两条判据永久红，且结论区建议的
`bash deploy/redeploy-plugin.sh zcode` 是**错的动作** ——
那会部署一个用户已决定不再运行的宿主。
## 改法：显式豁免表 `RETIRED_HOSTS`
**豁免只换表述、不压红**（这是关键，理由见下）：
· `checkHost` 仍逐条列出「已退场」+ 理由，只是不计入 `stale`；
· `checkLayout` 的 note 里明写「已退场宿主、故意不装：<单元>」。
为什么不能静默跳过：本文件反复强调「**没检查到** ≠ **不存在**」。
静默跳过 = 让人以为"检查了、没问题"，而"这台机器上跑什么"
本身就是需要有人知道的**事实**。豁免必须**可见**。
## ★★ 我自己连踩两个坑，都让豁免**静默生效**（不是"豁免得太宽"那种噪声）
① 第一版 `isRetiredHost` 只查 `units[0]`（zcode.service）。
实测"只装 zcode-mail-bridge.service、不装快照"时
**仍被判成已退场**，且那个新装上的单元在 note 里被写成
「故意不装」—— **自相矛盾且完全静默**。
⇒ 改为 `units.every` 逐个查。根因：只抽查一个单元就宣称"全都没装"。
② 第二版用 `existsSync` 判软链存在，而 `current` 是**相对**软链
（`→ 20260926-085613`）。快照目录被删、软链残留成**断链**时
`existsSync` 返回 false ⇒ 「装过又删剩」与「从没装过」读数
**完全同形**。实测断链场景仍被判「已退场」。
⇒ 改用 `lstatSync`（看得见软链本身，含断链）。
## 验证：四态都实测过
A 全都没装 ⇒ 豁免（"已退场"仍出现在输出里）
B 有效软链 ⇒ 报漂移
C **断链**软链 ⇒ 报漂移
D 只装一个单元 ⇒ 报漂移
`--self-check` 47 格仍全过。结论区回到
"四个宿主都在跑当前代码"。
## 欠账
豁免逻辑本身**没有自检样本**进 `--self-check`（现靠人测四态）。
按本仓纪律"能自证就别靠人测"，应补：注入假 fs 让四态各跑一遍，
且必须有一格是**断链**样本 —— 第一/二版都恰好漏在断链上。
已登记 `DEBTS.json` 的 `retired-host-exempt-never-tested`。
|
2026-09-28 08:46:02 +08:00 |
|
|
|
b39359d2e0
|
fix(deploy): recount 脚本的两个标签**漏写了 mail_id is not null** —— 标签与它打印的数不是同一个谓词
## 这个错的形状（本脚本最不该有的一类）
```
行210 标签: 类: kind<>'failure'（空真）=557；真判据(permission OR key NOT LIKE %failure%) = 459
行80 NAIVE: ... where mail_id is not null and kind<>'failure'
行81 REAL : ... where mail_id is not null and (kind='permission' or relay_key not like '%failure%')
⇒ 标签**省掉了 `mail_id is not null`** ⇒ 按标签字面算得 **558 / 460**，脚本却打 **557 / 459**
（差的正是那 1 行未绑定 —— 两个标签口径都收它，而两个变量都不收）
★ 本脚本存在的全部理由就是"把口径写下来"（见文件头「口径声明」节），
而标签省掉限定符 ⇒ 读的人拿这个数去对话里对账**必然对不上** ⇒ 已实际发生过一轮。
```
## 实测证据: 同一个数字 459 在两天指称不同集合
```
09-25 讨论: 459 = **loose**（pi 82c0f5a9: 349+69+25+15=458 已绑定 + 1 未绑定 = 459）
09-26 脚本: 459 = **bound**（REAL 带 mail_id is not null）
⇒ 各 +1（09-25 09:26 新增一行真实投递 723493b7）后**恰好撞上同一个数**
⇒ 所以"脚本打 459"与"讨论里说 459"看起来一致，实为两个集合 ⇒ 是对账分叉的温床
```
## 修法（含一处我自己先写错又改回的地方）
```
① 标签写进限定符: `已绑定 ∧ kind<>'failure'` / `已绑定 ∧ 真判据(...)`
② **同时打印 loose 口径**（新查两个变量 NAIVE_LOOSE / REAL_LOOSE），
让"这个数是 bound、那个是 loose"在**输出里看得见**，不靠读源码才知道
★ 我第一版图省事写成 `loose = bound + 占位` —— **撤回**: 那等式只在"占位行恰好都满足该谓词"
时成立（今天占位行 kind='permission' 所以成立），而那是**当下数据的性质、不是不变量**；
占位行将来若是 failure 形状，`+占位` 就会算错。本文件 24-27 行记的正是这一类错
（"把瞬时量当断言"）⇒ 改为各查一次，不搞代数捷径。
```
## 边界与验证
```
· 输出改动仅两处（标签 + 新增一行说明）; rc 修前=1、修后=1（既有 FAIL 来自"占位行年龄"，非本次引入）
· 标签字面现可复现: 已绑定∧空真=557、已绑定∧真判据=459、loose∧空真=558、loose∧真判据=460 ✓
· bash -n 通过; **未改任何断言/阈值/判据语义** —— 只修"标签与数不一致"
```
|
2026-09-26 03:43:47 +08:00 |
|
|
|
887e43c482
|
★★★★ 复核 pi ae164e2e（已回 c72b174b、谓词收紧 cb2157a）★★★ 但我按自己上封写下的规则**逐条件审那条谓词**，发现**规则写下了、只用在 2 条上**: 5 个条件里 **3 个从未有见证**，其中 source 分支能造成**假绿**
★★ (A) pi §三 两个 claim 实测确认: 两条守卫均为**下限**（`:229 -lt 1`、`:248 -lt AM_CALLER_MIN`）；
域偏宽有真触发（`. /tmp/not-our-lib/env-defaults.sh.other` ⇒ 被当调用者并报其裸赋值）✓（上封已修）
★★★★ (B) **我自己的漏** —— 谓词 5 个条件逐条审:
^[[:space:]]*(\.|source)[[:space:]].*[^[:alnum:]_.-]lib/env-defaults\.sh["']?[[:space:]]*$
① 行首锚 ⇒ 无见证 ★ ／ ② **`(\.|source)` 两写法 ⇒ 无见证 ★★（最重）** ／ ③ 命令后空白 ⇒ 无见证 ★
④ 前边界 ⇒ 上轮已加 ✓ ／ ⑤ 尾锚 ⇒ 上轮已加 ✓
真因: 本仓 3 个真实调用者 + 两条正对照样本**全部用 `.`** ⇒ `source` 分支**从未被行使**
★★ 危害实测（② 最重）: 删 `source` 分支 + 一个 `source` 写法的真调用者（含裸赋值）
⇒ rc=**0**、调用者数 **4→3** ⇒ **恰好落在下界 AM_CALLER_MIN=3** ⇒ `-lt 3` 为假 ⇒ 守卫不响
⇒ 该文件裸赋值**静默不查** ⇒ **假绿**
⇒ 记法: **下界守卫兜"域塌了"，兜不住"域少了一个"** —— 而窗口正是 4→3（下界值本身）
★ 隔离测法（我踩过坑，照实记）: 初用**含裸赋值**的负样本 ⇒ rc=1 看似"有人报"，
实为**域变宽后别处违规被报**，与条件是否有效无关 ⇒ 必须用**不含裸赋值**的负样本只看**谓词自检**
⇒ 改用后 ①③ 删掉 ⇒ 调用者数 3→4、FAIL=**0** ⇒ 确认无见证
★★★★ (C) 修（+3 见证样本 +1 守卫）: 正方向 `_pc_ok3`（`source` 写法**必须**被认出 ⇒ 见证②）；
负方向 `_pc_w1`（行**中间**出现 ⇒ 须拒 ⇒ 见证①）、`_pc_w3`（命令与参数**无空白** ⇒ 须拒 ⇒ 见证③）；
守卫报**"本应被拒的负样本被判成调用者 ⇒ 行首锚/命令后空白已失效"**（**指名哪个条件**）
★ load-bearing（源: HEAD=旧样本 / 工作区=新样本；同一谓词只差样本）:
① 删行首锚: HEAD rc=0 调用者数=3 **无人报** ／ 工作区 rc=1 **有人报** ✓
② 删 source: HEAD rc=0 调用者数=3 **无人报** ／ 工作区 rc=1 **有人报** ✓
③ 空表可选: HEAD rc=0 调用者数=3 **无人报** ／ 工作区 rc=1 **有人报** ✓
★ 对照/回归: 全绿 rc=0/FAIL=0 ✓；全红 rc=1 报 `install.sh:135 用了裸赋值` ✓；
真树 rc=0、`（3 个调用者，裸赋值 0 处）` ✓；`bash -n` rc=0 ✓；criteria-hygiene **10/10** ✓
★★ 元教训: **"写下一条一般规则" ≠ "把它施加到该规则覆盖的每一个实例上"** ——
我上轮写的是"**每个**条件都要有一条只踩它的样本"，然后只给 2 条加了
⇒ 可判做法: 写完这类规则**立刻对当前对象枚举实例**（把谓词逐条拆开数 = 5 条，一条一格），
否则规则只是**那句话**，不是**这件事**
★ 围栏 1172（偶/配对无缺；新块 6 个围栏独立闭合）—— 期间 pre-commit 抓到一次**奇数围栏**（我漏写 (C) 段闭合），已补
|
2026-09-26 02:56:26 +08:00 |
|
|
|
ee3364a111
|
★★★★ 修 · 反向对照的"见证力"缺陷: 每条件各配一条"**只踩它**"的样本（_pc_bad 原样本被两条件同时拒 ⇒ 对两条都无见证）
★★ 缺陷（承上一条机制）: 反向对照**只有一条**样本 `. /tmp/not-our-lib/env-defaults.sh.other`，
而它**同时**被两条独立条件拒 —— ① 前边界 `[^[:alnum:]_.-]lib/env-defaults`（`-lib` 的 `-`）
② 尾锚 `["']?[[:space:]]*$`（`.other` 结尾）⇒ **对两条都没有见证力**
⇒ 删掉任一条条件，对照**照样绿**（实测: 两个锚各自都能被单独删掉而不被发现）
★ 修（+2 条样本）: ① `. /tmp/not-our-lib/env-defaults.sh`（**只踩前边界**，结尾合法 `.sh`）
② `. /tmp/zzz/lib/env-defaults.sh.other`（**只踩尾锚**，前面合法 `/`）
★ 变异测试（这才是判据）:
删【前边界】: 旧样本 ⇒ rc=0 **无人报** ／ 新样本 ⇒ rc=1 报"只在前边界违规的异库文件" ✓
删【尾锚】 : 旧样本 ⇒ rc=0 **无人报** ／ 新样本 ⇒ rc=1 报"只在尾锚违规的异库文件" ✓
⇒ **load-bearing 确认**（退回旧样本则两锚都删得不知不觉）
★ 且**报的是哪一句**能**指认是哪个锚**被删，不是笼统"域偏宽" ⇒ 诊断可用
★ 对照/回归（源 = 提交对象 + 工作区判据）:
全绿对照（不注入、不删锚） ⇒ rc=0、FAIL=0 ✓
全红对照（注入 1 真违规） ⇒ rc=1、报 `deploy/install.sh:135 用了裸赋值` ✓
真树基线 rc=0、`（3 个调用者，裸赋值 0 处）`、FAIL=0 ✓（新样本**不误伤**真仓）
`bash -n` rc=0 ✓ ／ criteria-hygiene **10/10** ✓
★ 一般化: **每个"拒绝某类输入"的条件，都要有一条只被它拒的样本** —— 否则那个条件是**没人看着的**；
"多条条件一起拒"会让**全部相关条件**同时失去见证（= **判定侧的共模**，与输入侧共模对偶）
★ 围栏 1140（偶/配对无缺）
|
2026-09-26 02:45:57 +08:00 |
|
|
|
89b47c4fff
|
★★★ 闭 ⑨a（违规扫描的"谓词之外"）: AM_SCAN_RE 加可选 export 前缀；★★ 并把 ⑨a/⑨b **分开申报** —— ⑨b（;/&&）是**真边界**，因为"能看见分隔符"的候选会引入**假红**
★ 由来: 我核 pi `02e3fd46` 时撞出的 gap（pi 没报、我也没记）——
`AM_SCAN_RE` **行首锚定**，而判据 `:18` 自举的缺陷形态是**行内连接**
（`. env-defaults.sh; AGENTMAIL_REQUIRE=__no_such_cmd ⇒ 漏过`）⇒ 分行写抓到、同行写假绿。
★★ 两种失效**分开**（不混成一条）:
⑨a `export AGENTMAIL_REQUIRE="h"` ⇒ 行内**是**字面裸赋值，谓词不认前缀 ⇒ **谓词之外** ⇒ **本次已闭**
⑨b `true; AGENTMAIL_REQUIRE="h"` / `true && …` ⇒ 该行**算调用者**（数=4）却**不判违规** ⇒ **申报为边界**
★ ⑨b 为什么不顺手放宽（**实测代价**）: 候选 `(^|[;&|][[:space:]]*)[[:space:]]*(export…)?AGENTMAIL_REQUIRE=`
会把 **`echo "a; AGENTMAIL_REQUIRE=x"`**（**合法**行，token 在字符串字面量里）判成违规 = **★假红** ⇒ 不可用。
要让它可用必须先有**引号感知** ⇒ 撞回 ⑧b 那条真边界。
⇒ ★★★ 记法: **"放宽谓词"与"放宽到能看见分隔符"是两件事** —— 前者只动**同一行内 token 前面**的词法
（安全可闭）；后者要求**跨 token 的语句结构**（先用假红付账）。
★ 验证（全部在**提交对象**快照上跑，不读工作区）:
① 行为表 5/5 符合: ⑨a export⇒rc=1 ✓／字面正对照⇒rc=1 ✓／走动作⇒rc=0 ✓／⑨b⇒rc=0（边界）✓／
引号内 token（合法）⇒rc=0 ✓
② **假红扫描**: 遍历全部 `deploy/*.sh`，旧谓词命中 2、新谓词命中 2 ⇒ **无新增命中** ✓
③ 真树基线 rc=0、FAIL=0、"裸赋值 0 处" ✓；`bash -n` rc=0 ✓；criteria-hygiene **10/10** ✓
④ **承重性（变异测试）**: 撤回 `(export…)?` ⇒ ⑨a 重新 rc=0 假绿 ⇒ **修是承重的** ✓
⚠️ 射程: 真仓**无**此类活缺陷（grep = 0）⇒ 这是**判据域** gap，不是生产缺陷
|
2026-09-26 02:31:33 +08:00 |
|
|
|
8922ddc468
|
★★ 修掉 pi 95e50126 所指**同一形状的第三处**（:407/:408 的 grep | head -1）—— 但实测它**不是同一个缺陷**（失效方向相反），并纠正我自己两次误判
★★ 形状: `_ph="$(grep -F "${_am_nonce}HEAD" <<< "$_probe_out" | head -1 | cut -d: -f1)"`
与 pi 批的 `:102`（`strip | grep -n`）**逐字同构**: 都是"管道 + 会早退的读者"
⇒ 我若只报不改，就是**第三次**"知道规则、写在注释里、自己没照做"
★★★ 但它与 `:102` **不同族** —— 我实测把"形状相同"与"缺陷相同"分开了:
· `:102` 静音 ⇒ `hits` 空 ⇒ 报"裸赋值 **0** 处" ⇒ 落**绿**侧（fail-open）✗
· 本处静音 ⇒ `_ph` 空 ⇒ `:410 [ -z "$_ph" ]` ⇒ 落**红**侧（fail-closed）✓
逐场景验证: `_ph` 空 / 取到错行 / 顺序反 ⇒ **三种都判红**
· ★ 且生产者**输出上界=1 行是构造性的**（`_am_nonce` 运行期随机 ⇒ 静态 `$f` 不可能预先含它），
不是"尺寸恰好装得下" ⇒ 我把巨量输出强喂给它（40 次）: 141 出现 **40/40**，
而**取值仍恒正确**（`head` 已拿到它要的那一行）—— 与 `:102` 的"值被丢掉"也不同
⇒ 记法: 修一条规则时，**"这处违不违规"与"这处会不会因此出错"是两个问题** ——
前者看形状，后者看**失效方向**；**只有后者决定它是不是同一个 bug**
⇒ 仍改成无管道写法（`grep -m1` + `${x%%:*}`，成本为零），并让规则在全文件一致，
免得下一次有人动掉 nonce 那个界时这处才第一次暴露
★★ 同时纠正我自己的**两次误判**（都在本轮现场抓到，记下来）:
① 我报"放宽探针谓词 ⇒ 探针静默失效（rc=0）" —— **错的**: 我那次变异的
`grep -E "." | head -1` 取到的**第 1 行正是探针行** ⇒ 它是**等价变异**，不是失效
② 我报"141 时取值损坏 40/40" —— **是我把期望值写错了**（写成 `1`，实际该是 `AMHEAD`）；
实测取值正确 **40/40**，取值错 **0/40**
⇒ 两次都是**判据写错**而非对象出错 —— 与我 `15c8f50` 那次"0 命中还写行号"同族
★ 验证: `bash -n` ✓；基线 rc=0（连测 5 次）；注入裸赋值 ⇒ rc=1（非空转）；
探针目标变异仍被抓（删中间行 ⇒ rc=1）；`criteria-hygiene` **10/10** 绿；生产未动
|
2026-09-26 01:39:56 +08:00 |
|
|
|
cb2157a49a
|
★★ 收 pi 两处**实测打出的我自己的缺陷**: ① 探针标记与判据自身源码**碰撞** ⇒ 假红（改用**运行时 nonce**）② 调用者谓词**过宽**（子串出现 ≠ 指向本库）⇒ 假红（谓词收紧 + 尾锚）
★★ (A) pi `551d7d85`: 固定标记 `__AM_P_TAIL__` 与**判据文件自身内容**碰撞 ⇒ 假红
根因: 该字面量**就在本判据源码里**（:374 探针串、:379 grep 那行），
所以当**本判据自己被当数据读**（域偏宽/自指）时，`grep -F … | head -1`
匹配到的是**源码里那行**，而不是文件末尾之后的真尾探针
我复现（自指场景）: head=1、tail=375、内容行数=536、应为 538 ⇒ 差 163
（pi 报 162 @ 它的 HEAD，逐位吻合同一机制）
⇒ 修法: **运行时 nonce**（`_am_nonce="AM${RANDOM}${RANDOM}${$}Z"`）——
该记号**不可能**预先出现在任何静态文件里 ⇒ 碰撞**不可表示**
★ 比"再加几个下划线""改成 tail -1"更根本: 前两者只是让碰撞**更难**，nonce 让它**不可能**
★ 实测: 自指场景不再报"探针失败"，改为正确报出**真违规**（:293/:401 那两处探针字面量本身）
★ (B) pi `ae164e2e`: 谓词 `.*env-defaults\.sh` 只要求**子串出现** ⇒
`. /tmp/not-our-lib/env-defaults.sh.other` ⇒ rc=**1** 并报其裸赋值，而它**没 source 本库** ⇒ **假红**
⇒ 修法（pi 的诊断对: **域的宽度该用谓词精度管，不该用阈值管** ——
空集/下界守卫都只兜"域偏小"这一方向，加上界阈值只是把**精确性**问题换成**调参**问题）:
谓词改成"source 的**参数末尾**必须是 `…/lib/env-defaults.sh`":
`[^[:alnum:]_.-]lib/env-defaults\.sh["']?[[:space:]]*$`
★ 前半排除 `not-our-lib/…`（`-lib` 前是 `-`）；**尾锚**排除 `env-defaults.sh.other`（更长的名字）
★ 实测: 本仓 3 个真实调用者全认出；pi 的假红例与 5 个别式反例全拒
⚠️ 射程: 行内文本判法，不解析变量取值 ⇒ `. "$SOMEDIR/lib/env-defaults.sh"` 而 $SOMEDIR
指向别处时仍算调用者（**偏宽**、方向安全: 多查一个文件而非漏查）
★★ (C) 反向对照里**补上 pi 的假红样本**（`/tmp/not-our-lib/env-defaults.sh.other`）——
它正是 (B) 那条回归的守卫；实测把谓词回退成过宽版 ⇒ 反向对照**打红**（rc=1）
★ 回归: 基线 rc=0；pi① rc=1 / pi② rc=0 / pi 假红例 rc=0 / 真调用者 rc=1；
12 向变异矩阵全 rc=1；criteria-hygiene 10/10；--git-hooks 负对照(PATH 无 git / pre-push 不可执行) rc=1 未破
|
2026-09-26 00:42:29 +08:00 |
|
|
|
4c94d430b1
|
★★★ 收 pi 9bb3cc32: 上一版"词首规则"的**单条 sed 近似**有两处**方向相反**的残留（①假阴 . "$A #B/…" ⇒ rc=0 丢调用者 ②假红 . /dev/null;# 提到 … ⇒ rc=1 误判）⇒ 改为**引号感知的逐字符扫描**（_strip_comments_lex），并加调用者判定的**正/反向对照**
★★ (A) pi 报的两处残留我都复现（`2fe58ce` 上逐字一致）:
① 假阴（未全闭）: `. "$A #B/deploy/lib/env-defaults.sh"` + 裸赋值
⇒ 我的规则把**引号内「空格+#」**当注释 ⇒ 截成 `. "$A` ⇒ 丢失调用者 ⇒ rc=**0**、调用者数仍 3
② 假红（我没提）: `. /dev/null;# 提到 env-defaults.sh` + 裸赋值
⇒ `;` 后的 `#` **该**截而没截 ⇒ **非调用者**进集合 ⇒ rc=**1** 并报该文件裸赋值
对照: `;` 换成空白 ⇒ 正确截断 ⇒ 不算调用者 ⇒ rc=0 ✓
★ 两处**方向相反**且**单条 sed 修不了**: 只加元字符边界 ⇒ 修②、对①无改善；
只追引号 ⇒ 修①、对②无改善 ⇒ 真规则要**跨字符状态**（在引号里吗）⇒ 必须写成自动机
★ (B) 修法: 新增 `_strip_comments_lex`（awk 逐字符扫描）实现 bash 手册的真规则 ——
**以 `#` 开头的"词"**（词边界 = 行首/空白/元字符），且 `#` 在**引号内**时不是词首；
`'…'` 内除 `'` 全字面，`"…"` 内 `\` 可转义，`\#` 不是注释。
实测矩阵（本仓真实两行 + pi 两例 + 反例 4 例）全部符合预期
★ 我先试了 pi 建议的"env-defaults.sh 出现在最后一个引号闭合之后" —— **实测会漏掉本仓
**全部** 真实调用者**（`. "$REPO/…/env-defaults.sh"` 里 env 在末引号**之前**）⇒ 未采纳
★ (C) 加调用者判定的**正向/反向对照**（域的定义静音 ⇒ 正式扫描不报错，只少查/多查文件）:
正: 两个已知调用者样本（含本仓真实形态、pi①）必须被认出
反: 两个非调用者样本（pi②、整行注释）必须不被认出
⇒ 变异测试: 词法器"恒删 env-defaults" ⇒ 正对照打红（但**先**被空集守卫接住，见下）
词法器"恒不截断" ⇒ **反对照打红**（这一条是新的鉴别力）
★ (D) ⚠️ 我**自catch 并把射程写窄**（第一版注释我写宽了）:
该对照调的是**函数** `_is_caller_text`，**不是调用点** ⇒
它盖住"词法器 + 正则"两环，**盖不住**有人把**调用点**改掉（`… "$(cat "$f")"` → `true`/`false`）——
实测确认那种改法自检**照样绿**。⇒ 该方向由 ② 空集 / ②′ 下界兜；
而域**偏宽**（非调用者算进来 ⇒ 假红）**当前没有守卫**，我**不**声称已盖住。
★ 这正是我先前记的"自检必须与正式判定走**同一条实现路径**"——我**又**在注释里写宽了一次；
这次的处理是**把射程写窄**而不是再宣称补了一个洞（按 ⑰′ 的标准）
★ 回归: pi 两例 + 前版两例 + 真调用者 共 5 例全部符合预期；
12 向变异矩阵全 rc=1；干净基线 rc=**0**；criteria-hygiene **10/10** 绿
★ 依赖: `awk` 已在脚本顶部预检（`for c in grep awk sed find`）与 SELF 列表内
|
2026-09-25 08:40:46 +08:00 |
|
|
|
6d772803f3
|
★★★ 收 pi 30ee8ff2: ⑧b **不只是"规格错"，它有真实假绿** —— 调用者判定依赖 strip ⇒ source 行里的 ${VAR#…} 被当注释截断 ⇒ **调用者身份丢失** ⇒ 该文件的裸赋值连查都不查（实测 rc=0、调用者数仍 3、三条不变量全过）；已改用**词首注释规则**修掉，并把 ⑧b 拆出 **⑧c（可闭，已闭）**
★★ (A) pi 报的假绿（我复现，逐字一致）:
`deploy/redeploy-nc.sh`:
. "${REPO#/home}/deploy/lib/env-defaults.sh"
AGENTMAIL_REQUIRE="z" ← 真违规
⇒ 真 strip（`s/#.*$//`）把它截成 `. "${REPO` ⇒ **不再提及 env-defaults.sh**
⇒ 该文件**静默退出调用者集合** ⇒ 裸赋值**不被查** ⇒ rc=**0**，
仍报"3 个调用者，裸赋值 0 处"（z 被漏）
现实形态同样命中（pi 报、我复现）: `. "$(dirname "${BASH_SOURCE[0]#/x}")/lib/env-defaults.sh"` ⇒ rc=0
★ 而**三条不变量全过**（首尾探针 / 行号算术 / 逐行局部不变量）:
删的首字符**确实**是 `#`、stripped 也**确实**是 raw 的前缀 ⇒ ⑧a 那套形状检查**看不见它**
★ 触发形态本仓已在用（`${VAR#…}`/`${VAR##…}`/`${VAR%…}`）:
prune-deploy-artifacts.sh:66、recount-relay-counts.sh:161-165、install.sh:768 等
★ (B) 修法: ① 调用者判定改用**词首注释规则** `sed 's/\(^\|[[:space:]]\)#.*$//'`
—— shell 的真实规则（`#` 只在**词首**才是注释）⇒ 参数展开/引号内的 `#` **不再**被截断
★ 我先试过"用 raw 原文"，**它引入假红**（实测）:
`. other.sh # 注释里提到 env-defaults.sh` 会被当成调用者
⇒ 所以不能只"去掉 strip"，要**把 strip 的规格写对** —— 这是**规格错**，不是"边界"
实测: pi 两例（`${REPO#/home}` / `${BASH_SOURCE[0]#/x}`）**都 rc=1** ✓
反例对照 `. other.sh # 提到 env-defaults.sh` **仍不算调用者**（rc=0、调用者数 3）✓
三个真实调用者全认出、判据自己不误入集合 ✓
★ (C) ⑧b 拆两半（本轮第三格记法）:
⑧c **调用者判定**（判"哪一行是 source 行"只用到**行首形态**，与注释后缀无关）⇒ **可闭，已闭**
⑧b **注释语义本身**（strip 对**行内** `${V#x}`/引号内 `#` 的截断会不会让**违规行自己**
不再匹配 `AM_SCAN_RE`）⇒ **真边界**。残余实测: `AGENTMAIL_REQUIRE#="z"` ⇒ strip 成
`AGENTMAIL_REQUIRE` ⇒ 不再匹配 ⇒ rc=0（但该行**本就不是合法赋值**，落在射程边缘）；
合法形态 `AGENTMAIL_REQUIRE="${V#x}"` ⇒ 截断后仍匹配 ⇒ rc=1 ✓ 不漏
⇒ ★★★ 记法: **"耦合"本身会被误报成"边界"** —— 我原说"⑧b 是语义边界"，
其实里面**掺着一处没必要的耦合**（调用者判定顺手复用了 strip）。
判法: 申报边界前问 **"这个信息真的只能由被检对象给出吗，还是我顺手复用了它？"**
⇒ ⑧a 是"换错观察对象"、⑧c 是"**多余的依赖**" —— 两次都把可闭的说成了边界
★ 回归: 12 向变异矩阵全 rc=1；干净基线 rc=0；criteria-hygiene **10/10** 绿
|
2026-09-25 08:28:04 +08:00 |
|
|
|
0e99d2dc22
|
★★ 采纳 pi 的**非循环**补法: 逐行局部不变量（stripped 是 raw 前缀 ∧ 首删字符须为 #）⇒ 我上轮申报为"真边界"的 ⑧ **形状那半实际可闭**；★★ 并更正我 §六 那条**误读**: 我的对照 sed '135s/AGENTMAIL_REQUIRE/X' **缺尾斜杠** ⇒ rc=1 来自 sed 语法错误 + 空集守卫，**不是检出**（正确形式 rc=0）
★★ (A) 我 §六 的对照句是**误读**（pi 纠正，我复现确认）:
我写: "对照 `sed '135s/AGENTMAIL_REQUIRE/X'` ⇒ rc=1（它同时动了别的可匹配串）"
实测: 该命令**缺结尾 `/`** ⇒ stderr 12 处 `unterminated 's' command` ⇒ 内容被读空
⇒ 报的是 **"一个 source env-defaults.sh 的调用者都没找到"**（**空集守卫**）⇒ **不是检出**
正确形式 `sed '135s/AGENTMAIL_REQUIRE/X/'` ⇒ rc=**0**
⇒ 所以"改内容就一定被抓"**确实**不成立；我把**另一条守卫的命中**读成了"检出"
⇒ 记法（收 pi 的）: **"rc≠0"不等于"判据认出了它"** —— 要问**报的是哪一句**
★ (B) ★★ 我判 ⑧ 为"真边界"的论证**不成立**（pi 给非循环补法，我实测采纳）:
我原论证: "要判它需逐行内容对照 ⇒ 而要先知道正确内容 ⇒ 循环 ⇒ 真边界"
⇒ 错: 需要的是"**strip 的规格**"（只删注释后缀），**不是**"正确内容" —— 两者不同
补法: 每行 ① stripped 是 raw 的**前缀** ② 被删的第一个字符必须是 `#`
★ **不循环**: raw 由 `cat` 独立读、stripped 由被检对象读 ⇒ **两次独立读取**；
"只删注释后缀"是**规格声明**，不是被检对象的产物
实测（注入 1 处违规）: `sed '135s/.*//'` / `'135s/.*/ /'` / `'56s/.*/ /'` /
`'s/AGENTMAIL_REQUIRE//'` **全 rc=1**；真 strip ⇒ rc=**0**（**非恒红** ✓）
⇒ **形状盲区已闭**；我上轮把它整条申报成"真边界"是**多申报**
★★ (C) 于是 ⑧ 拆两半（本轮真正的记法）:
⑧a **形状**（某行字符被抹/被改）⇒ **可闭**（本次已闭）
⑧b **语义**（删对了 `#`、但那个 `#` 本不该当注释，如 `X="a#b"`）⇒ **真边界**
实测: 真 strip 把 `X="a#b"` 截成 `X="a` ⇒ **规格本身错**，而局部不变量**通过**
⇒ 准则: **申报"闭不了"之前先问缺的是"形状"还是"语义"** ——
形状 = "换一次读取就有"（可闭）；语义 = "要先有正确内容"（真边界）
⇒ ★ 我上轮是**拿语义的循环性去论证形状那半也不可闭** ⇒ 与 ⑤ 同类的错（第二次）
★ 变异矩阵 12 向全 rc=1；基线 rc=0；criteria-hygiene **10/10** 绿
★ 提交前围栏 894（偶）放行
|
2026-09-25 08:14:43 +08:00 |
|
|
|
0a83eafd91
|
申报 ⑧ 更正: 逐文件探针的**真盲区**是"抹掉某一行的内容"（保行数/顺序/两端）；★ 并区分"换面可闭"(⑤，我误判过) 与"要拿到它得先有它"(真边界)
★ 我第一版 ⑧ 写的是"不能证明注释剥离的语义正确"，并举了"只删整行注释"当例子 ——
**实测那个例子会被抓到**（rc=1），所以那段**陈述不准确**，已换掉。
★ 实测出的**真盲区**（可复现）: 只清空**违规行本身**的内容、其余行原样 ⇒
行数/顺序/两端全不变 ⇒ 探针通过 ⇒ **假绿**:
`strip_text` 尾接 `sed '135s/.*//'`（或 `'135s/.*/ /'`）⇒ rc=**0**
对照: `sed '135s/AGENTMAIL_REQUIRE/X'` ⇒ rc=**1**（它同时动了别的可匹配串）
⇒ 所以"改内容就一定被抓"是**错的**；只有"**抹掉那一行**"这个形状才进盲区。
★ 要判它需**逐行内容对照**，而那要求判据先知道"正确内容是什么" ——
对"读入环"而言这是**循环的**（它就是要读出内容的那一环）⇒ 这**确实是**边界。
★ 关键区分（我这轮才想清楚，写进注释）:
⑤ 是"**同一次观察**的无限后退" ⇒ 我当时据此申报为边界，那是**误判**（已闭）；
⑧ 是"**观察对象之外**的东西"（探针看行号与两端，看不到行内被抹）。
⇒ 判"能不能闭"要先问: 缺的信息是"**换一次观察就能拿到**"（可闭）
还是"**要拿到它就得先有它**"（真边界）。
|
2026-09-25 07:52:59 +08:00 |
|
|
|
df836e4ef7
|
★★ pi c6f619b8 的 head -132 单点变异成立（一行打穿自检+下界守卫）⇒ 补**逐文件探针**；★ 且我实测出 pi 的建议**本身有洞**（删中间行）⇒ 再加**行号算术不变量**；★★ 并**撤销我上一轮"闭不了"的边界申报**（我当时把"换面"误判成"后退"）
★ pi 的变异我复现: `strip_text` 尾接 `| head -132`（**一行**）⇒ rc=**0**、打"裸赋值 0 处"（树上注入 1 处）
根因三层: ①自检样本只有 **2 行** ⇒ 长度相关变异对它**恒等** ⇒ 自检通过
②下界守卫只数"几个文件 source 了" ⇒ source 在 131、违规在 135 ⇒ 保住 source ⇒ 通过
③正式扫描看不到违规 ⇒ `_had=0 ∧ _cnt=0` ⇒ "一致" ⇒ fail-closed 不触发
窗口精确: 逐个 head -N 实测 **打穿区间 = [131,134]，宽 4**（source 行, 动作行）
⇒ 记法（收 pi 的）: **"共用同一实现"只在"样本能触发该变异"时才看得见** ——
输入相关变异（head/truncate/长度/locale）对短样本恒等 ⇒ 共用实现反而保证"一起静默"
★ 补法一: **逐文件探针**（拿"真文件 + 首尾已知注入"当样本 ⇒ 样本形状 = 被检对象形状）
★★ 但 pi 的建议只放**一个**探针 ⇒ **我只能抓到反方向的截断**（我逐条实测）:
单探针在**尾部**: `head -132` 砍掉它 ⇒ 抓到；`tail -132` 保住它 ⇒ **漏**
⇒ 所以**首尾各一**，且要求 head 行号 < tail 行号（顺带抓 `tac`）
★★★ 补法二（**pi 的建议里没有，是我实测出来的洞**）: 首尾两探针**仍然不够** ——
把**中间某一行**（＝那条违规行）删掉、首尾都保住 ⇒ 探针全在、顺序也对 ⇒ **假绿**
实测: `awk 'NR!=135'` / `sed '135d'` ⇒ rc=**0**
⇒ 再加**行号算术不变量**: 逐行原位 ⇒ `tail 行号 == head 行号 + 内容行数 + 1`
中间少一行 ⇒ tail **上移** ⇒ 等式不成立 ⇒ 抓到
⇒ 三条件（两端都在 / 顺序对 / 算术成立）合起来 = "**这个过滤器是逐行原位的**"
★★ 撤销上一轮的边界申报（`2e8d5aa` 那个文件的末尾）:
我当时写"§五 闭不了 —— 要闭需一条**独立于本文件**的检查 ⇒ 无限后退 ⇒ 记为边界"。
⇒ ★ 错在: 我把"独立"理解成"**另一个文件**"，而真正需要的是"**另一次观察**"。
逐文件探针仍在**本文件**里，却**不经过自检那条判断**（直接看 `_scan_stripped` 的行号算术）。
⇒ 实测: 同一 ①∧② 合取，现在 rc=**1**（报"逐文件探针失败"）。
⇒ 记法: **"无限后退"论证要先问"上一层与这一层是不是同一次观察"** ——
换了**观测对象**（已知样本 → 被检文件本身）不是后退，是**换面**。
我把"换面"误判成"后退"，于是把一个**可闭**的点申报成了边界。
⇒ 该段改为"已闭 + 保留历史（因为错法有教学价值）"
⇒ 新增 ⑧ 申报**新探针的射程**: 它证"读入逐行原位"，**不**证"注释剥离的语义正确"
（探针只查行号与两端，不查"哪一列被删"）
★ 变异矩阵（11 向，全部真跑）:
[0] 注入违规无过滤器 ⇒1 [1] cat ⇒1 [2] ★pi head -132 ⇒1 [3] tail -132 ⇒1
[4] tac ⇒1 [5] ★★删中间 135 行 ⇒1 [6] ★★sed 135d ⇒1 [7] 删中间 400 行 ⇒1
[8] grep -v '^$' ⇒1 [9] sort -u ⇒1 [10] head -c 5000 ⇒1
非恒红: 干净副本（三调用者全合规）⇒ rc=**0**、报"3 个调用者，裸赋值 0 处" ✓
criteria-hygiene **9/9** 绿
★ 并发: 全程未碰别人的在飞改动（`install.sh` / `criteria-hygiene.test.mjs` 的临时变异
都只在我 `/tmp` 的副本上模拟）。
|
2026-09-25 07:51:36 +08:00 |
|
|
|
2e8d5aaf70
|
pi 5af68242: §三 我收（**短前缀**读数跨两个命名空间，"前缀唯一"须带定界符）★ 且我发现自己**复核了却没问那 1 行是谁**；补**反向对照**（如实降级为诊断改进，不改门禁判定）+ 申报 pi 的 §五 残余为**边界**
★★ §三 我收 —— 这次错的是**我的"复核"本身**:
我上封"复核" pi 那句时，**同一句里就并排写着 28 与 27**（"=28 行（其中 27 行属同一 session）"）
我**引了**那个 27，却**没问"那 1 行是谁"** ⇒ 我的"复核"只核了**能对上的部分**。
实测: LIKE '01a0a2bd%'（短前缀）= **28**；全长 '01a0a2bd-9ada-…:%' = **27**；
前缀**去重 = 2**（9ada=27 行、f7c3=**1 行**）⇒ 短前缀把**两个平台会话**并成了一个读数。
而那 1 行（mail 7e720aef，2026-09-15 01:48，to=jianf）**也是真实平台会话**
（agent_platform_sessions: agent=pi, workspace=/home/program/agentmail, slug=邮件驱动…）
⇒ **不是异常**，是同批 uuid 的**兄弟会话**（都与本会话 01a0a2bd-9adf… 同批创建）。
⇒ 记法（收 pi 的）: **uuid 的"前缀唯一"由 `:` 定界符保证，不由前缀长度保证** ——
去掉 `-…:` 后，前缀只保证"**同批**"，不保证"**同一个**"。
报"某 id 出现在 N 行"须同时报**匹配的长度**（精确 全长+定界符 / 模糊 短前缀）。
★ 且我发现那句'前缀集合大小 = 1'的**主语是 8 个父**（都在 9ada 下）⇒ 该句**本身成立**；
我把主语写窄了、又在同一段里引了 pi 的 28 行 ⇒ **两个主语的数被并排放在一起**，
读者（和我自己）都会读成同一件事。⇒ 与 ⑯ 同族，但对象是**句子里的主语**。
★ 归属澄清（两边都记）: 那封 f6d6a001 是 **pi 的另一个会话**（21c398ee）发的，不是我的会话；
pi 在 5af68242 里把它引作"你写"——**那是它自己写的句子**。我**不揽**那句，也不据此改口。
★ 补**反向对照**（pi §五 让我去看这一维）—— ⚠️ **我实测后把它降级了，不声称补了洞**:
把 AM_SCAN_RE 放宽到匹配**合规**行（`'='`）:
旧版: rc=1，但报"deploy/install.sh:135 裸赋值" ⇒ **指错了地方**（那条是合规的）
新版: rc=1，报"判据自检失败（反向）：合规样本被判成违规 —— 匹配太宽"
⇒ ★ **退出码两者相同** ⇒ 按我收的 ⑰′ 标准（"被别的守卫顺手抓住 ≠ 这条路径有守卫"），
这条只算**诊断改进**（把"指错地方"变成"指对地方"），**不算新防线**。我如实这么记。
⇒ 且它**盖不住** pi §五（方向相反: 反向对照管"太宽"，§五 是"太窄"）。
★ **申报 pi §五 为边界**（写进文件末尾，与"间接赋值"同级）:
`strip_text` 吞违规 ∧ 自检失败分支不可达 ⇒ rc=**0** 静默。
我实测**各自单独都不漏**（①单独 rc=1、②单独 rc=1），**合取才漏** ⇒
这是共模的**第二层**: 自检本身也是一条判据，也能被同一类手法打穿。
⚠️ **不能闭**: 要闭需独立于本文件的检查，而那只是把问题推给"那条断言自己会不会被静默"（无限后退）。
★ 变异矩阵（六向，全部在临时副本真跑）:
[0] 基线无违规 ⇒ rc=0 ✓ [1] 注入违规 ⇒ 1 ✓ [2] 匹配太宽 ⇒ 1 ✓（反向对照抓）
[3] strip 吞违规 ⇒ 1 ✓ [4] 收窄 find ⇒ 1 ✓（下界守卫抓）
[5] pi §五 合取 ⇒ 0 ← **已申报边界**，不声称闭合
★ 并发: `deploy/install.sh` 仍是**别的会话**的变异现场（AGENTMAIL_REQUIRE="x"），我全程未碰；
非恒红验证一律在 `/tmp` 临时副本上做。
|
2026-09-25 07:39:05 +08:00 |
|
|
|
a432ae6637
|
★ 我自己实测出判据的**第五个洞**: 防空转只判"集合空"，**收窄发现域**（find）时集合非空 ⇒ 假绿且自检看不见；补**下界守卫**（调用者 ≥ 3）
★ 洞（pi 没报，是我顺着 pi 那句"_scan_text 内部再调 strip_comments 会共模"往下试出来的）:
② 防空转判的是 `n_callers -lt 1`（**集合空**）
⇒ 把发现域**收窄**时集合**非空**（2 个）⇒ ② **不响**
⇒ 而收窄让**域外的违规整批消失** ⇒ 报"裸赋值 0 处"
实测（树上 install.sh:135 恰是裸赋值 `AGENTMAIL_REQUIRE="x"`）:
把 `find deploy -name '*.sh'` 收窄成 `find deploy -name 'redeploy*.sh'`
⇒ rc=**0**、打"（2 个调用者，裸赋值 **0** 处）"
⇒ 且**"判据自检失败"出现 0 次** ⇒ 自检**看不见**域的问题
★ 自检看不见是**必然**的: 它用**自带样本**跑管线，走的是"匹配"那一层，
而**域**在它**上游**（哪些文件进入循环）⇒ 上游被削，下游自检无从察觉。
★ 补法: **下界守卫**（`AM_CALLER_MIN=3`，与 criteria-hygiene 的 `gates.length >= 3` 同一做法）
⇒ 修后同一变异 rc=**1** 并报"只找到 2 个调用者（下界 3）—— 发现域被**收窄**了" ✓
★ ⚠️ 残留（已写进判据注释，不声称完备）: 下界只挡"收到 3 个以下"；
若有人收到**恰好 3 个但换掉其中一个**，本守卫仍看不出 ——
补它需要"已知调用者名单"这种**会漂**的硬编码，我选择不写、只申报。
★ 变异矩阵（六向，全部真跑 + 还原复测）:
[0] 三处违规（现状） ⇒ rc=1 ✓
[1] ★收窄 find（域变小） ⇒ rc=1 ✓（**新增守卫抓到**）
[2] ★域收到全空 ⇒ rc=1 ✓
[3] 共模（正则单点改错） ⇒ rc=1 ✓
[4] pi 的漂移（尾接吃违规行） ⇒ rc=1 ✓
[5] 匹配实现单点静音 ⇒ rc=1 ✓
非恒红: 在临时纯净副本上（三个调用者都合规）⇒ rc=**0**、报"3 个调用者，裸赋值 0 处" ✓
★ 记法: 我前四轮都在修"**判据读输入之后**"的洞（管道/通道/实现路径）；
这一轮是"**哪些对象进入判据**"（域）—— 与 pi 的 ⑯′ 同族，但对象是**发现动作**而非谓词域:
⇒ **域不写死时，域的错误不会被任何下游守卫发现**（因为下游只看域内的东西）。
★ 另: 我没有动 `deploy/install.sh`（它现在是**并发会话**的变异现场 `AGENTMAIL_REQUIRE="x"`），
只在临时副本上做非恒红验证 ⇒ 全程未碰别人的在飞改动。
|
2026-09-25 07:31:32 +08:00 |
|
|
|
914e5b4b08
|
★★ pi 597086ad 抓到我"说了但没做到"（第三次同形）: 注释称正向对照与正式扫描都走 _scan_text，实际正式扫描走 strip_comments、_scan_text 自带一份 sed ⇒ **三份去注释实现**；我上一封"自检盖住整条管线"的结论**作废**
★ pi 指出的洞（我复现）:
我的注释: "正向对照与正式扫描**都走这一个函数**"
实际: 正式扫描 → `strip_comments`（自带 sed）
自检 → `_scan_text`（**也自带一份 sed**）
⇒ 其实有**三份**去注释实现 ⇒ 只漂移 `strip_comments` 一处时
**正式扫描静音、而自检不响**（自检走的是另一份 sed）
★ 而我上一封正是拿"抽成同一函数"当"已盖住 pi 标的残余"的证据 ⇒ **该结论作废**。
我承认：我选"抽成同一函数"是为**少重复**（可读性），**不是**预见到那条残余；
事后回看它才像"设计"，实际上是**我运气好**，而运气在"验证"这件事上不算证据。
★ 修法: 去注释收敛到**唯一** `strip_text()`（全文件仅此一处 sed），
匹配收敛到 `_scan_stripped()`，`_scan_text()` = 两者组合（供自检），
正式扫描也走 `strip_text` + `_scan_stripped` ⇒ 任一层漂移**同时**影响自检与正式扫描。
★ 变异矩阵（七向，全部真跑，每次还原复测 rc=0）:
[0] 基线无违规 ⇒ rc=**0**（非恒红）✓
[1] 注入 3 处裸赋值 ⇒ rc=1 ✓
[2] 判"有没有"处 -q→-n ⇒ rc=1 ✓
[3] 取行号处换 -q ⇒ rc=1 ✓
[4] ★共模（正则字面量单点改错） ⇒ rc=1 ✓（由"判据自检失败"判红）
[5] ★pi 的漂移（去注释单点） ⇒ rc=1 ✓（由**防空转**判红: 集合空）
[6] ★匹配实现单点静音 ⇒ rc=1 ✓（由"判据自检失败"判红）
★ 我区分了 [5] 与 [6] **各自由哪个机制**判红，没有笼统说"都红了":
[6] 去注释完好 ⇒ 调用者集合仍在 ⇒ 只有自检能抓 ⇒ **自检响** ✓
[5] 去注释坏了 ⇒ 集合空 ⇒ **防空转**先响（自检未必响）—— 两者都 fail-closed，无假绿
★ 验证: criteria-hygiene **9/9** 绿（并发会话又加了一条）
|
2026-09-25 07:22:03 +08:00 |
|
|
|
e44ae45dd3
|
★★★ pi 指出 fail-closed 的**未写出前提**（两通道须失效不相关）——而我的两通道共享正则字面量与 $body ⇒ 共模时 fail-closed 不触发；补**正向对照**（且走同一函数）
★ pi `3be8a091` 的论点我复现:
我的两条通道共享 2 处: (a) **同一个正则字面量**（两处逐字相同）(b) **同一个 $body**
⇒ fail-closed 条件是 `_had=1 ∧ _cnt=0`（**不一致**）⇒
**单点改动同时哑掉两条 ⇒ 两者"一致"（都沉默）⇒ 条件不成立 ⇒ 恰好不触发**
实测（照 pi 做）: 把两处正则字面量一起改成 '^NOMATCH='，而树上**注入着 3 处裸赋值**
⇒ rc=**0**，并打出"裸赋值 **0** 处" —— **与真实情况相反** ✓ 与 pi 一致
★ 记法（收 pi 的，并认为它比"条数≥2"准）:
**"两条通道"要成为独立证据，须"不存在单点改动能同时哑掉两条"** ——
条数 ≥ 2 **不是**独立性的判据；要检查两通道共享的**字面量/变量/函数/上游命令**。
即: **fail-closed 挡得住"一条通道坏了"，挡不住"两条因同一原因一起坏"**。
★ 补法: **正向对照**（用一个**已知违规样本**跑扫描；匹配不到 ⇒ 按红计 + 报"判据自检失败"）
★ 我加了一步 pi 没要求的，并**实测它把 pi 自己标的残余也一并盖住**:
pi 的残余是"正向对照只证明**那个正则**能匹配**那个样本**，
盖不住'正则对、但**别的**环节（如 body 被过度 strip）静音'"。
⇒ 我把扫描抽成**唯一函数** `_scan_text()`（strip + 匹配 + 行号输出），
正向对照与正式扫描**走同一个函数** ⇒ 对照的是**整条管线**，不只是那个正则。
实测: 注入 3 处裸赋值 + 把 strip 改成"删掉整行"（正则不变、别的环节静音）
⇒ rc=**1** 且报"判据自检失败" ✓ ⇒ 这条残余**被盖住**（不只是申报）。
★ 变异矩阵（五向，全部真跑 + 每次还原复测）:
[0] 基线无违规 ⇒ rc=**0**（**非恒红**）✓
[1] 注入 3 处裸赋值 ⇒ rc=1 ✓
[2] 判"有没有"处 -q→-n ⇒ rc=1 ✓
[3] 取行号处 -n→-q ⇒ rc=1 ✓
[4] ★共模（正则单点改错） ⇒ rc=1 + 报"判据自检失败" ✓（原版此处 rc=0/报"0 处"）
[5] ★深层共模（strip 改为删整行，正则不变）⇒ rc=1 + 自检失败 ✓
★ 另: criteria-hygiene 现 **8/8** 绿（并发会话新增的"非门禁工具发现路径"那条也在内）
|
2026-09-25 07:06:38 +08:00 |
|
|
|
4598095b17
|
fix(drift): 补上负向清单**第②项的守护格** —— pi ⑬″ 指出的真洞（宣称 2 项，只有 1 项有人守）
pi `7ec0044a` 用**同一条量法**（`|R\C|`）打了我自己刚落地的那条 ⑬′：
```
我 b5989a9 的 ⑤b 负向清单宣称 2 项:
① 从脏树构建（含未提交代码） —— **有格**（:1610 modified=true ⇒ 绿 + note 点明）
② 部署后被手工替换/修改（只看内嵌 revision）—— **一格都没有**
grep '手工替换' 全文件 ⇒ 只命中清单自身
⇒ 所以 |R\C| 不是 1；② 是**只被"声明"、没被判据守**的那一项
```
★ 而这正是 ⑬′ 想防的形状的**镜像**: 我写了负向清单（防读者把绿读成"没问题"），
却**没有东西防我自己把清单写漂** —— 删掉一项、或以为它被覆盖了，都不会红。
## ⑬″ 的判法（pi 给的，我采纳）
```
每一项判一次: 「在 R 内 C 外」（真洞 ⇒ **加格**）还是「在 R 外」（⇒ **划出宣称**）
项②: ⑤b 宣称回答"这份二进制是不是当前代码" ⇒ **在 R 内**
而 C = {只读内嵌 revision}，同 revision 换内容照样绿 ⇒ **C 外**
⇒ **真洞 ⇒ 加格**（不是划出宣称）
```
## 落地
新增自检格 `★网关二进制：绿时 note 必须写明"①脏树构建②部署后手工替换"两项都不覆盖`，
**不要求改 ok** —— 内容替换确实判不了，只能"说出来"；它钉的是**那句话还在**。
★ 变异验证（这格**能失败**，否则等于没加）:
```
从 note 里删掉负向项② ⇒ 该格 **失败** ⇒ "判据自检失败 1 项"
```
自检 63 → **64 项**，0 失败。
## 一并记账：§7 那条同类无守（pi 同封指出，本条**未改**）
`redeploy-gateway.sh` §7 那句「已装二进制 = 当前 HEAD（…）—— 不覆盖: …」**全仓只命中它自己**，
而 `redeploy-gateway.sh` 没有 `--self-check` ⇒ **同一动作两处，一处有守一处无守**。
不在这条提交里改（要动部署脚本，且得先想清 §7 该怎么自检）—— 留给下一条，避免又造一次半截更新。
|
2026-09-25 07:01:36 +08:00 |
|
|
|
5d9a41c3d3
|
★ pi 指出我"只修了一半": check-require-declaration.sh 收集违规行那处仍是管道；实测 -n→-q 静默漏掉全部 3 个违规 ⇒ 判据判定落在**输出通道**上
★ pi 的实验我复现: 现行 `grep -n` 报 3 个违规/rc=1；改成 `grep -q` ⇒ 报 **0** 个/rc=**0**（3 个全漏）
⇒ 它**目前**不出事只因"恰好选了不早退的那个选项"（-n 要读完全部输入 ⇒ 无 SIGPIPE）
⇒ **那不是正确性，是运气**。与我上一版在 :78-82 修的是同一条，我却漏了 :102。
★ 修法**三样一起做**（我做前两样后**实测仍有洞**，故补第三样）:
① 去管道（<<< here-string）⇒ 生产者不再收 SIGPIPE，-n/-q 都不再有 141
② 两条**独立通道**: "有没有违规"用 `grep -q` 的**退出码**；"哪几行"用 `grep -n` 的**输出**
③ ★ **不一致时 fail-closed**: 若"退出码说有"而"行号通道没给出行号" ⇒ 判据内部自相矛盾
⇒ **按"有违规"计**并报出该矛盾。
实测缺 ③ 会怎样: 只做 ①② 时，把取行号那处改成 `-q` ⇒ 报 0 个、rc=**0**（又是全漏）
⇒ **"计数"与"证据"走同一条通道时，那条通道静音就等于"没有"** ⇒
要么分通道，要么规定**静音=失败侧**（本处取后者）。
★ 验证（全部真跑，含三个变异）:
· 基线 rc=0（3 个调用者，裸赋值 0 处）
· [A] 注入 3 处裸赋值 ⇒ rc=1 ✓
· [B] 判"有没有"那处 -q→-n ⇒ rc=1 ✓
· [C] 取行号那处 -n→-q（pi 的变异） ⇒ rc=1 ✓ 且 **fail-closed 报出 3 次** ✓
· 每个变异后还原并复测 rc=0；`git diff --numstat` 仅剩我的文件
（同目录另有并发会话在改 check-deploy-drift.mjs —— 未 add 它的改动）
· criteria-hygiene 7/7 绿、pi 的 env-guard 17/17 绿、bash -n 过；生产未动
|
2026-09-25 07:01:34 +08:00 |
|
|
|
d562f55d78
|
采纳 pi 反提案: 声明动作化 agentmail_require + 新判据 check-require-declaration.sh（禁裸赋值）—— 把"声明了但没检查"从表示上消掉
★ 背景: 我上封把"调用者既不 export 表、又忘了调 report"记为**边界**，理由是"闭合它要本文件
知道调用者控制流 —— 做不到"。pi 指出**前提可以换掉**（我复核采纳）:
病根不是"控制流不可知"，而是"**声明**（赋值）与**检查**（调用）是两个可分离的动作"。
⇒ 把声明做成**动作**: `agentmail_require <命令…>` = 赋值 + 立刻检查 ⇒ 该状态**不存在**。
★ 改动:
· env-defaults.sh 加 `agentmail_require()`（内部就是赋值 + agentmail_env_check_require）
· 三个调用者由 `AGENTMAIL_REQUIRE="…"` 改为 `agentmail_require …`（各 1 行）
也顺带把"重新导出为环境变量"的写法去掉了 —— 表只在本进程内被 ③b 读，不需要 export
· 新判据 `deploy/check-require-declaration.sh`（755）: deploy/ 下的**调用者**不得写裸赋值
· install.sh 接线，走 `CHECK_GATE_RC` **累积**通道（照 check-file-modes.sh 的既有做法:
直接调会在 set -e 下中止，把后面的收尾诊断全吃掉）
★★ 判据自己的两个 bug，都是**实测**抓出来的（不是审出来的）:
① 假红: 我第一版按"`deploy/**/*.sh` 全扫"划范围 ⇒ 立刻把 `env-defaults.sh:449`
（`agentmail_require()` 函数体里的 `AGENTMAIL_REQUIRE="$*"` —— **动作自己的实现**）
判成违规。⇒ 改为按**性质**划: "调用者"= **真的 source 了本库**的文件，
减去定义动作的那个库自己（"调用者"这个身份由 source 这个动作定义，不由目录猜）。
② ★ 假阴且**不稳定**: `strip_comments "$f" | grep -q …` 在 `set -o pipefail` 下，
`grep -q` 一命中就退出 ⇒ `sed` 收 SIGPIPE（rc=141）⇒ **管道整体 141** ⇒ if 判假 ⇒ 漏文件。
实测同一个脚本两次分别找到 **2** 个与 **1** 个调用者（实际 3 个），
而 rc=141 被 if 静默吞掉 ⇒ 集合**偏少且不稳** ⇒ "裸赋值 0 处"会是**假绿**。
⇒ 改为先收集到变量、再 `grep <<<"$body"`（无管道）。修后重复 10 次**稳定 3 个**。
★ 验证（全部真跑）:
· 基线 rc=0（3 个调用者，裸赋值 0 处）；重复 10 次稳定 3
· 变异①: 把 redeploy-plugin.sh 改回裸赋值 ⇒ rc=**1** ✓
· 变异②: 注释掉一个调用者的 source（仍剩 2）⇒ rc=0 ✓ 非空转
· 变异③: 三个 source 全注释 ⇒ **集合空** ⇒ rc=**1** ✓（防空转，不是恒绿）
· 每个变异后**还原**并复测 rc=0；`git diff --numstat` 确认只有预期行
· criteria-hygiene **7/7** 绿（新 check-*.sh 已被 install.sh 真调用）
· pi 的 env-guard **17/17** 绿；五个脚本 bash -n 全过；生产未动
★ 残留（判据头已如实写）: 盖"字面裸赋值"，**不盖间接赋值**（经 eval/read/env 注入）——
补它需 shell 语义分析，超出"一条 grep 型判据"的射程。
|
2026-09-25 06:51:25 +08:00 |
|
|
|
e65f41b31b
|
★ 修本文件自己的大假绿: ③b 的 AGENTMAIL_REQUIRE 检查**只在 source 期跑**，而三个调用者都是**先 source 后赋值** ⇒ 那张表从未被检查过
★ 缺陷（pi b6e24606 实测报回，dsh 独立复核成立）:
install.sh source 131 / 赋值 135
redeploy-gateway.sh source 42 / 赋值 46
redeploy-plugin.sh source 52 / 赋值 56
⇒ source 那一刻表是**空的** ⇒ `if [ -n "${AGENTMAIL_REQUIRE:-}" ]` 直接跳过 ⇒ 整张表从未生效
★ dsh 独立 A/B（同一台同一 shell）:
AGENTMAIL_REQUIRE=__no_such_cmd . env-defaults.sh ⇒ rc=2（检查本身是好的）
. env-defaults.sh; AGENTMAIL_REQUIRE=__no_such_cmd ⇒ rc=0（**漏过**）✓ 与 pi 一致
★ 这正是本文件头反复记的那件事落在**本文件自己**身上: **判据在，但走不到**
—— 与我 60d59f9 造出一个走不到的判据是同一形状，只是这次是"判据在库文件里、而调用相位错开"
★ 修法: 把检查提成 `agentmail_env_check_require()`，**两处都挂**:
· source 期一次 —— 接"表由**环境**提供"（父进程 export / CI 注入）
· `agentmail_env_report()` 内再一次 —— 接"表由**调用者**赋值"（本仓三个都是这种）
不选"改三个调用者的相位": 要改三处，且下一个新调用者还会犯同样的错。
★ ⚠️ 残留缺口（如实申报，不写成"已修好一切"）: 若某调用者**既不 export 表、又忘了调
`agentmail_env_report`**，两次都不跑 ⇒ 仍会漏。闭合它要求本文件知道调用者的控制流，做不到。
★ 验证:
· A/B 三向: 赋值在 source 后+调 report ⇒ rc=2 ✓／赋值在 source 前 ⇒ rc=2 ✓／命令都在 ⇒ rc=0（非恒红）✓
· 变异: 删掉 report 体内那次复检 ⇒ rc=0 **退回漏过** ⇒ 证明那次调用**承重** ✓
· 真调用者端到端: 就地在 redeploy-gateway.sh 表里注入 `__no_such_cmd_zz`
⇒ 实跑 rc=2 且报出该名字 ✓；还原后 `缺少命令` 命中 0 ✓（已确认工作区干净）
· pi 的 env-guard 17/17 绿；四个脚本 bash -n 全过；生产未动
|
2026-09-25 06:42:32 +08:00 |
|
|
|
2393703100
|
feat(deploy): 构建步打印**工作树清单** —— 把不可归因的 modified=true 换成有名字的清单
pi 2026-09-25 提的第三种处置（既不判红、也不只留一个 bool），我采纳。
## 为什么一个 bool 不够
`go build` 在脏树上**照样**写 `vcs.revision=<HEAD>`，只额外记 `vcs.modified=true`。
那个位只说"含未提交代码"，**不说是谁的什么** —— 而本仓是**多 agent 并发**：
未提交改动通常**不是部署者的**，是别人的在飞工作。
⇒ 这不是理论，本仓**已经付过代价**（`check-deploy-drift` 判据⑥ 注释里那笔账）：
2026-09-14 `pool.mjs` 一行未提交的 `let missingSessionCount = 0;` 被"从脏工作区做的"
快照原样带进生产，而当时判据① 报的是「逐字节一致」。
## 处置：打印清单，不判红
```
say "3. 构建二进制" 之后、go build 之前:
git status --porcelain 非空 ⇒ warn "工作树不干净 —— 下面这份未提交清单会被**编进这次构建**" + 逐行打印
否则 ⇒ ok "工作树干净（构建件不含未提交代码）"
```
★ 位置贴紧构建步：`go build` 读的就是**此刻**的工作树，所以这份清单才对应"进了这份二进制的东西"。
★ 判红与否改变不了的事实：**清单有名字，bool 没有** —— 出事时能直接看出"带进去的是谁的那两个文件"，
而不只能回答"当时是脏的"。（本会话同族：一个位 vs 一份清单 = 不可归因 vs 可归因。）
## 同时给 ⑤b 记一条**边界**（避免下一个人把它补错）
`check-deploy-drift` 的 ⑤b **读不到构建时的工作树** —— 它读的是二进制内嵌位，
而它那里的 `git status` 问的是**此刻**的树（两者可能不同：构建完又提交了、别人的改动进来了）。
⇒ 注释里写明：清单归**部署脚本**（那里才是同一时刻），⑤b 只回答"含不含未提交代码"，
**别把 ⑤b 补成 `git status` 然后当成构建清单**。
## 验证
`bash -n` 通过；`--dry-run` rc=0 且不落地（只留 0 字节锁），清单在 dry-run 下照常打印（只读）；
自检 63 项绿、`判据自检失败` 不出现。
|
2026-09-25 06:38:13 +08:00 |
|
|
|
b5989a94a1
|
feat(deploy): 按 ⑬′ 给 ⑤b 与 §7 的绿补**负向清单**（判据须写出它不覆盖哪几类）
pi 2026-09-25 提的 ⑬′：写"要验 X"时必须写清**动作覆盖到哪**，而"覆盖到哪"要写成
**负向清单**（不覆盖哪些）—— 因为正向范围可以含糊，负向清单必须逐条列，否则等于没写。
他给的量化形式：假绿区 = |R| − |C|（R=宣称范围，C=实际能判红的集合）。
这两个判据原先只在**红**的时候说话，**绿**时读者会把"绿"读成"这份二进制没问题" ——
而它们其实只答了一个问题："内嵌 revision 是否等于 HEAD"。
⑤b note（绿时）: …；本判据**不覆盖**: ①从脏树构建（含未提交代码，只披露不判红）
②部署后被手工替换/修改（只看内嵌 revision）
§7 ok（绿时）: 已装二进制 = 当前 HEAD（xxxxxxxx）—— 不覆盖: 从脏树构建 / 部署后手工替换
★ 这条规矩**已被它自己验证过一次**：我 ⑤b 的 R\C 里那一格（`modified=true` 的脏树构建）
**不是我想到的，是 pi 找出来的** —— 我写 ⑤b 时以为 R = C。写出负向清单这件事
本身就会把那格逼出来。
自检新增一格 `★网关二进制：绿时 note 必须写负向清单（不覆盖哪几类）`，62 → **63 项**，
`判据自检失败` 不出现；`bash -n` 通过；`--dry-run` rc=0 且不落地。
|
2026-09-25 06:33:46 +08:00 |
|
|
|
eb5c4aa1b4
|
修 env-defaults.sh 自己的一个假绿: HOME 可用性判据从 [ -w ]（权限位）改成**真写探针** —— 与我自己上封那个错同一形状
★ 缺陷（我在认自己 `[ -w ]` 假绿时顺带查出来的，就在我的 scope 里）:
196 行 `mkdir -p "$_am_home" && [ -w "$_am_home" ]`
179 行 `... || [ ! -w "$_am_home" ]`
两处都只看**权限位**。uid=0 时对任何 root 属主目录都返真，而**实际拦截可能在另一层**
（本会话每次 shell 都带 `landlock-run: partial enforcement`）。本机实测:
[ -w /root ] ⇒ true ／ touch /root/x ⇒ Permission denied
[ -w /opt/agentmail ] ⇒ true ／ touch /opt/agentmail/x ⇒ Permission denied
⇒ 而且 `mkdir -p` 对**已存在**的目录不写任何东西（rc=0），所以它**接不住**这个假绿
—— 文件 177 行原本就写了"mkdir -p 会返回成功，所以必须再单独判"，但"那个单独判"选错了层。
★ 后果正撞在本文件存在的理由上（**误指对象**）:
HOME 空 + uid=0 ⇒ `_am_home=/root` 被误判可用 ⇒ HOME=/root 放行
⇒ ② 段取 `$HOME/.cache/go-build` 当 GOCACHE ⇒ 那里用的是**真写探针**（297 行）⇒ 失败
⇒ 报出「**GOCACHE** 不可写」，而根因是 **HOME** 不可写
⇒ 实测该路径可复现（`env -u HOME bash -c 'source deploy/lib/env-defaults.sh'`）
★ 修法: 加 `_am_can_write()` —— **真去写一个探针文件**（与 297 行同一办法），
179/196 两处都用它。**必须两处一起改**: 196 的 else 是 `exit 2`（不是 fallback），
只改 196 会让 /root 走到 `exit 2` 而不是改判。
★ 顺带把 WARN 的括注从"（非 root / passwd 里没有可用目录）"改成
"（已实测真写探针；uid=%s）" —— 原括注是**按 uid 猜的原因**，而判据已不按 uid 判，
uid=0 也会走到这里。**不报没验过的原因**。
⚠️ 前半句 `按身份推出来的 HOME=%s 不可用` **一个字都没动** —— 它是
`plugins/pi-mail-bridge/test/env-guard.test.mjs:268` 的 assert.match 锚
（我第一版把它改成了"写不进去"，**实测把 pi 的测试弄红了 16/17**，已改回）。
★ 变异测试: 把 `_am_can_write` 改成恒真 ⇒ **被抓住**，且复现的正是上面那条误指
（HOME 空时不再改判 ⇒ 直接报「GOCACHE 不可写」）✓
★ 反空真: 探针对 /tmp、/home/program/agentmail 返真，对 /root、/opt/agentmail、
/nonexistent、空串返假 ⇒ 有区分力（非恒真非恒红）✓
★ 验证: pi 的 env-guard 17/17 绿、criteria-hygiene 7/7 绿、三处 source 者 bash -n 全过、
install.sh/redeploy-*.sh 未改。**生产未动**。
|
2026-09-25 06:33:23 +08:00 |
|
|
|
55158e1666
|
fix(deploy): 补 ⑤b 的**假绿洞** revision==HEAD ≠ "就是那份提交"（pi 指出，我实测复现）
## 洞
树脏时 Go **照样**写 `vcs.revision=<HEAD>`，只在 `vcs.modified` 上留痕 ⇒
只比 revision 会把"**未提交的代码**"当成"就是那份提交"。
实测（/tmp/vm2：HEAD=2931050a，改一行**不提交**再 build）：
revision=2931050a == HEAD ⇒ 我 ⑤b 判**绿**
但二进制里是未提交的那行代码 ⇒ **假绿** ✓ pi 对
线上那份正是 `vcs.modified=true` ⇒ 它**不对应任何已提交版本**。
## 修法：说清楚，但**不判红**
`revision == HEAD` 与"不含未提交代码"是**两个量**，不能拿前者冒充后者 ——
但脏树在本仓是**多 agent 并发编辑的常态**，判红就是造一条总在亮的判据。
★ 同一个事实在本仓**已有既定严重度**：`check-deploy-drift` 判据⑥
// ⑥ 工作区干净度 —— **WARN，不参与退出码**。
⇒ 两处都改成 **WARN/note 披露，不改 ok / 不加 CHECK_FAIL**，
与判据⑥ 同严重度 —— 否则同仓同一个量会有两套红绿。
redeploy-gateway.sh §7: modified=true ⇒ warn（不动 CHECK_FAIL）
check-deploy-drift ⑤b: revision 相同但 modified=true ⇒ 绿 + note 点明"含未提交代码"
## 判据自检
新增一格：`revision 相同但 modified=true ⇒ 绿，且 note 点明"含未提交代码"`。
自检 **61 → 62 项**，`判据自检失败` 不出现。
★ 这条是本判据**唯一**的假绿形状，所以它必须有一格专门钉住——
否则下一个人把 note 删了、或把 ok 改成 false，都没有判据会响。
|
2026-09-25 06:31:04 +08:00 |
|
|
|
2c34d6e368
|
fix(deploy): 占位行判据改用**行的年龄**（阈值 1 会把健康并发判成泄漏）+ 后置验证补 binrev==HEAD
两件都来自 pi 2026-09-25 的实测，我逐条复跑确认。
## ① `占位行 <= 1` 是阈值版假红（pi 127746b5，我复现）
`ClaimRelay`(INSERT 占位) 与 `BindRelayMail`(UPDATE 绑定) **不在一个事务里** ⇒
"同时有 2 个请求在飞"的正常形态**就是** 2 个占位行（t1 claim、t2 claim、t1 bind、t2 bind）。
变异（/tmp/pl/t.db：清掉化石 + 插 2 个**合法在飞**占位）
旧判据: PLACE=2 ⇒ rc=**1** [FAIL] 占位行 <= 1 ← 把健康并发判成泄漏
新判据: rc=**0**，打印"最老 = 0 分钟；其中 >10 分钟 = 0"
阈值 1 是"只有 1 个请求在飞的那天"的快照，与它要防的病（泄漏）**不正交**。
⇒ 与泄漏正交的判别量是**行的年龄**（pi 给的）：正常占位行只活一个请求的时长，
泄漏行活到**下一次请求之后**。年龄与并发度无关，也与"此刻是否恰好有请求"无关。
阈值 10 分钟：远大于任何单请求（HTTP 有超时），远小于真实泄漏尺度（那行活了 12.7 天）。
断言**上界**而非"==0"—— 0 是"恰好没请求在飞"，不是健康的条件。
正反两面都验（只验一面会放过退化）：
健康并发 2 行 → rc=0 ✓ 13 天泄漏 + 1 健康行 → rc=**1** ✓
真库 → rc=1（那行确实 18259 分钟 ⇒ **真阳性**，非假红）
并打印年龄 ⇒ 顺带答出"泄漏了多久"（旧判据只说"多了一行"）。
## ② 抑制数丢了 keying（pi dd579a8e，我复核确认）
生成器键是 `(ag, prefix(k), r)`（**已含 agent**），但**序列化/打印时把 agent 丢了** ⇒
任何人引用这个数都会以为是"仅根"口径。实测两种 keying 全局差 6 封（61/37 vs 55/43，
6 组**全是跨 agent 合并**）⇒ 名字里不写，下一个人**必重犯**。
文本: `抑制数 [keying=(agent,根) scope=全局]: …`
JSON: `suppress_full_groups_keying_agent_root_scope_global`
★ 同时补 **scope**：本脚本报的是全局；session 侧同 keying 是另一个数（4/18）——
同 keying 两个 scope 两个数，少写任一个都只能靠猜。
★ 只改名字，**数的值不动**（这是防再犯，不是纠错）。
## ③ 后置验证补 `binrev == HEAD`（pi 127746b5 §一，落在脚本而非只落检查器）
§7 那几项（服务 active / `/health` 200 / 无 panic / SSE 重连）**全都与代码版本无关** ⇒
**旧二进制跑这套清单会全绿**。2026-09-25 实证：线上是 09-19 的二进制而 §7 全过。
pi 建议落在 `redeploy-gateway.sh`，我采纳 —— 因为我昨天已把同一件事实现为
`check-deploy-drift` 判据 ⑤b，但**那个检查器没有任何自动入口**（要人手跑）；
落在部署脚本里才能"装完当场就判"。
三态与 ⑤b 同口径：相等→绿 / 不等→**红**（就地回滚）/ 取不到任一侧→**不判**且必须说出来
（判红会让 `-buildvcs=false`、老构建、非 git 构建恒红）。
实测逻辑: 线上 e8b260dd vs HEAD ⇒ 红 ✓；/nonexistent/binary ⇒ warn 不判 ✓
## 验证
`bash -n` 两文件通过；`recount-relay-counts.sh --json` 合法（23 键）；
`criteria-hygiene.test.mjs` 7/7 通过（改名后仍满足 check-*.sh 命名约定）。
|
2026-09-25 06:27:09 +08:00 |
|
|
|
ba5720573e
|
修我自己的 60d59f9: check-relay-counts.sh **改名为 recount-relay-counts.sh** —— 它让 HEAD 上一条既有判据**变红**
★ 缺陷（我自己引入的，pi 127746b5 指出、我复核确认）:
我把脚本命名成 `deploy/check-*.sh`，而本仓那条命名族由
`client/electron/test/criteria-hygiene.test.mjs` 用 readdirSync().filter(/^check-.*\.sh$/)
**强制接线**：凡 check-*.sh 必须被 install.sh / redeploy-*.sh 在可执行位置调用。
⇒ 我的脚本 0 调用者 ⇒ **实测该判据由 7/7 绿变 6/7 红**（"这些政策门禁写了却没有任何入口脚本调用"）。
⇒ 即: 我一边在信里报"判据在但走不到"，一边**自己造了一个走不到的判据**。
★ 但接线是**错的解** —— 它按性质就不是门禁（只读、依赖生产库、断的是库的不变量）:
· 接 install.sh ⇒ 读 /opt/agentmail/data/agentmail.db，**新机器没有该库**
⇒ 实测 AGENTMAIL_DB=/nonexistent 时 rc=1 ⇒ **每次全新安装假红**
· 接 redeploy-* ⇒ 库是活的、计数会漂 ⇒ 会去**回滚一次正确的部署**
⇒ 正确修法是**改名**，进入"按需工具"族（prune-* / archive-* / reset-* 同族），
并把这条理由写进文件头，免得下一个人再犯。
★ 顺带暴露那条判据的一格（它的自称 vs 它的机制不是一回事）:
自称: 按**性质**分 —— "宣称是政策/门禁的 check-*.sh；不管 check-deploy-drift.mjs 这类按需手动工具"
机制: 按**扩展名**分 —— /^check-.*\.sh$/
⇒ 两个方向都可观察:
误报(FP): 按需工具 + .sh 后缀 ⇒ 被当门禁（**我这次**）
漏报(FN): 真门禁 + .mjs 后缀 ⇒ **逃过检查**（实测 check-plugin-snapshot.mjs 被
redeploy-plugin.sh:218 真实调用，是真门禁，却因 .mjs 不被该判据覆盖）
⇒ 这是 pi 那条⑬"判据的动作与它被许诺的范围不匹配"的又一实例。判据本身未改（不在本次范围）。
★ 同时确认别人的修正: 2f0d77a 把我两条 **假红** 断言修对了（我复核成立）:
· `HOMEAGENT == SUBSTR_N - PREFIX_N` ⇒ ⊆: 注入第五族 `pi-failure:` 时差集 +1 而 homeagent 不变，
旧式**假红**（新增命名是正常演进）✓
· `RESIDUE == 2 && UNBOUND == 1` ⇒ 只打印 + 用"未绑定 ⊆ 占位"承接:
清掉那行化石是**正确维护动作**，旧式把正确动作判成失败 ✓
⇒ 我的两条确实是把"恰好如此"当成了不变量。**如实记**: 代价是变异④（rename homeagent 族）
从"被抓"变成"存活" —— 那是"过严"与"漏报"的取舍，我取后者（假红会让人不信判据）。
★ 门禁族数量仍为 3（判据反空真要求 >=3）✓；脚本 rc=0；13 条断言全绿。
★ 边界: 只读查库；**生产未动**；未改那条既有判据（属 client/electron/，非本次范围）。
|
2026-09-25 06:25:21 +08:00 |
|
|
|
3c2b7d1385
|
fix(deploy): 还清欠账 redeploy-script-unguarded-steps —— 四类裸步骤接收退出码
出口是这条欠账**自己写的**到期条件（"下一次改 `deploy/` 下任一脚本时"）：
当天因修 `--dry-run` 落地写入而动了这个脚本，所以一并还。
## ① 前端同步三步
`rm -rf assets` / `rm -f index.html` / `cp -r dist` 原先调用点不接退出码，
而 `run()` 内部是 `eval`（脚本只有 `set -uo pipefail`，无 `-e`）⇒ 失败既不中断也不上报。
`cp` 那条尤其要紧：前端产物没拷进去 ⇒ go:embed 把**旧界面**打进二进制，而所有单测仍绿
（2026-09-14 踩过，见脚本内那段注释）。三处都改成 `|| { bad …; exit 2; }`。
## ② `systemctl stop`（本条欠账原文点名的"stop 失败而状态没人看"）
加它的理由比原文**更强一层**：`systemctl start` 对**已在运行**的服务是 **no-op** ⇒
stop 没成功时后面那句 start 什么也不做，**旧进程继续跑旧代码**，而脚本一路走到
后置验证、报"部署成功"。也就是说，"部署脚本跑过了 ≠ 线上跑的是当前代码"这个第 2 类漂移
会被脚本**自己在内部**造出来 —— 与今天线上那件事（09-19 二进制跑了 6 天）同形，只是成因在脚本内。
## ③④ DRY_RUN 分支
am-sandbox 的 `go build`/`install`、以及 `install -d $PREFIX/bin` 与通知脚本 `install`
一并挪进 DRY_RUN 分支（上一提交 7a65b27 只修了后者的"会落地"，这里补齐构建/安装两步）。
## 边界（如实记，避免读成"全脚本已无裸步骤"）
只覆盖 `redeploy-gateway.sh`。`redeploy-plugin.sh` / `install.sh` 的同类步骤仍未加守卫 ——
那是另一条欠账 `deploy-interrupt-trap-other-scripts` 的范围。
## 验证
`bash -n` 通过；`--dry-run` rc=0 且不落地（只留 0 字节锁）；
Go 侧 `TestDebtLedgerMatchesMeasurement` / `TestDebtSummaryReadsAuthoritativeLedger` 通过；
`node test/debt-visibility.test.mjs` 1/1 通过。
|
2026-09-25 06:22:09 +08:00 |
|
|
|
c6a497f4ed
|
feat(deploy): 漂移检查补 ⑤b —— 比 vcs.revision，接住"二进制落后 HEAD"
## 缺口
`check-deploy-drift.mjs` 判据 ⑤ 只判**构建参数**（有没有带 `-trimpath`），
不判**这份二进制是哪次提交建的**。2026-09-25 实证：
线上 /opt/agentmail/agentmail-gateway vcs.revision=e8b260d（09-19 构建）
仓库 HEAD 已有 6 天的新提交（含两条 relay 幂等键/回滚修复）
⑤ 当日报的是"63 处源码路径"（另一个毛病）⇒ **完全没指出它落后 6 天**
当时是靠人手动跑 `go version -m` 才发现的。而"部署脚本跑过了 ≠ 线上跑的是当前代码"
正是这个文件头自己列的第 2 类漂移 —— 判据却缺了它。
## 实现
Go 默认把 `vcs.revision=<sha>` 以**明文字节**编进二进制，所以直接按字节匹配读出，
不依赖 `go` 命令、不 spawn：与 ⑤ 读同一份 buffer。
⚠️ 三态而非两态：**拿不到 revision（`-buildvcs=false`／老构建／非 git 构建）⇒ 不判**。
写成红会让合法环境恒红，写成绿等于没判 —— 所以只接受"不判"，且 note 必须说出来，
否则读者分不清"比过且相同"与"根本没比"。只比相等/不等，**不判谁新谁旧**
（判新旧要 git 图，而二进制里的 sha 未必在本地仓库里）。
## 判据自检
新增 3 条（不等→红 / 相等→绿 / 拿不到→不判且 note 说出来），自检 **58 → 61 项**，
`判据自检失败` 不出现。只钉"不等红"会放过"两侧都读不到时恒绿"的退化。
## 顺带修一处脆锚
原有自检用 `o.find(c => c.name.startsWith('已安装的网关二进制'))` 取 ⑤。我新增的
⑤b 名字以同一串开头 ⇒ `find` 会返回它，⑤ 的断言就可能测到 ⑤b。
已把选择器锚到**完整前缀** `'已安装的网关二进制不含源码路径'`，并把新判据命名为
`网关二进制构建版本…`。（"按名字锚定"是对的，但**锚得太短就等于按位置**。）
HEAD 版与新版 `--self-check` 同为 rc=1（来自既有真实漂移：3 个宿主待重部署 +
判据 6），非本次引入。
|
2026-09-25 06:19:38 +08:00 |
|
|
|
7a65b270bb
|
fix(deploy)!: --dry-run 会真的写入安装根（建 bin/ + 装 21KB 脚本）
文件头把 `--dry-run` 定义为"只打印将执行的动作"，但第 1 节那两条 `install`
**无守卫**，于是 dry-run 真的落地：
AGENTMAIL_PREFIX=/tmp/fp2 bash deploy/redeploy-gateway.sh --dry-run
⇒ /tmp/fp2/bin/service-failure-notify.mjs 21453 字节 ← 不该出现
⇒ /tmp/fp2/bin/ 新建
`run()` 的既有口径是"dry-run 只打印"，其它写操作都走它并因此被拦下；
这两条恰好是 2026-09-14 为修"通知脚本不装"（af42a08）而从 if 分支里**挪出来**的，
挪出来时没补守卫 —— 修 A 引入了 B。
同节 1b（am-sandbox）也一样：dry-run 会**真跑一次 go build + 19 项内核判据**
并 install。一并包进 DRY_RUN 分支。
## 判据
rm -rf /tmp/fpX && mkdir -p /tmp/fpX
AGENTMAIL_PREFIX=/tmp/fpX bash deploy/redeploy-gateway.sh --dry-run
修前：残留 bin/ + bin/service-failure-notify.mjs(21453B) + .deploy.lock
修后：残留 .deploy.lock(0 字节) ← flock 载体，非"落地"
`bash -n` 通过；dry-run rc=0。
⚠️ 这与本仓"部署要一次做对"直接相关：`--dry-run` 是上线前的预览动作，
它若自己会写目标目录，就等于**在预览阶段动了生产**，而输出看起来完全正常。
|
2026-09-25 06:16:03 +08:00 |
|
|
|
2f0d77a3d0
|
fix(deploy): check-relay-counts 两条断言是**假红** —— 把"恰好如此"当成了不变量
新脚本的立意（把反复对账的查询固定成命令、断言只写不变量、瞬时量只打印）完全正确，
但它自己破了其中两条规则。两条都实测复现，且都把**正确动作**判成失败。
## 一、`HOMEAGENT == SUBSTR_N − PREFIX_N`（旧 :203）
等式成立的前提是"非三前缀的 failure 键**全部**是 homeagent 族"—— 那是**当下恰好如此**，
不是机制。机制只有两条**包含关系**：
· 三个前缀字面量本身都含 "failure" ⇒ 其命中集 ⊆ `%failure%` 命中集
· homeagent 族非三前缀之一、又含 failure ⇒ 必落在差集里
任一桥改用第五种拼法（如 `pi-failure:`）⇒ 差集 +1、homeagent 不变 ⇒ 假红。
实测：插入一行 `pi-failure:` 后 子串=99 三前缀=82 homeagent=16，差=17 ⇒ 旧断言红。
## 二、`RESIDUE == 2 && UNBOUND == 1`（旧 :204）
这两行是**快照**，而脚本头部 24-27 行明写"瞬时量只打印，不当断言，否则明天必然假红"。
未绑定那行是"claim 后早退没退键"的化石；**清掉它是正确动作**，
旧断言却让清理后变红。实测：清掉该行后 残留=1/未绑定=0 ⇒ 旧断言红。
⇒ 改为只打印（已在"当下读数"里），另用与清理无关的关系接住：
`未绑定 ⊆ 占位`（未绑定必是占位，两者口径一致）。
## 验证
真库：新旧都绿
/tmp 副本（清化石 + 加第五族）：旧 rc=1（两条 FAIL）、新 rc=0
⇒ 红→绿可复现，且红的两条正是上面两条
|
2026-09-25 06:10:38 +08:00 |
|
|
|
60d59f9de0
|
新增 deploy/check-relay-counts.sh: 把那几条被对了好几轮账的 relayed_mails 查询固定成可重跑命令
★ 动机（本会话实测出来的一个缺口）: **结论落了盘，产生结论的查询没落盘**
· "summary 419 还是 422"、"抑制 37 还是 62"、"类 458 怎么来的" —— 三次都靠人在信里重敲查询
· docs/API.md 留着那些数，却**没有一条能整段重跑的命令** ⇒ 每个复算的人都要从头重写 ⇒ 必然再分叉
⇒ 本脚本把查询固定成命令；谁不同意某个数，跑它、看输出
★ 断言的是**不变量与关系**，不是冻结的数（库是活的，冻数明天必假红）
· 不变量/关系 ⇒ 断言；当下读数 ⇒ 只打印（附时刻）
· 16 条断言，基线 rc=0
★ 变异测试: 9 条变异**全部被接住**（基线绿 ⇒ 变异 rc=1）
① kind=failure ② 删占位 ③ 置 NULL ④ homeagent 改名 ⑤ perm 键改 failure 形状
⑤b perm→summary+failure ⑥ 删已绑定残留 ⑦ 造环 ⑧ 删一条 permission_requests
★ 三条断言是**被变异逼出来的**，值得记（都是"我自己的脚本先犯了那个错"）:
· ⑦ 造环最初**存活** —— 因为递推里算出了 'LOOP' 却**没有任何断言读它**
⇒ 正是我同一轮报给 pi 的"**信号在手 ≠ 信号被读**"（我的脚本也犯了）
· ③ 最初存活 —— total=bound+place 是恒等式，两侧同变仍成立
⇒ 真正该断言的是**占位行 <= 1**（>1 即"占位后没退键"的泄漏信号）
· ⑤b 最初存活 —— 改 kind 时所有**关系**断言仍成立
⇒ 只有**跨表 provenance**能抓: permission 行的邮件必有 permission_requests 行、summary 行的必无
⇒ 记法: **关系断言测不出"语义被搬动"，只有锚定到写路径/别的表的不变量能测**
★ 口径声明写在文件头（本脚本存在的主要理由）: 已绑定/占位两分、类判据是 relay_key 形状而非 kind、
抑制数给**两种口径**（完整 parent 链 61/37 vs 只沿 failure 链 92/6 —— 差很多）
★ 顺带修掉一个我自己引入的权限违规: 34a15dc 的 permission_relay_release_test.go 是 600
（写文件的工具不理 umask ⇒ 0600；`chmod +x` 会得到 711 而非 755）
⇒ 已 chmod 644；check-file-modes.sh 现在只剩 1 个既有违规（非我的 scope 文件）
★ 边界: 只读打开库（mode=ro）；生产一个字节没动；/tmp 变异副本已用后即弃
|
2026-09-25 06:08:59 +08:00 |
|
|
|
da5d9339e2
|
把 PATH 归一化提到文件最前（修我 54d641e 那个"只修一半"的修法），并把 --help 从数行号改成锚定
★ 我上一版（54d641e）修了三条触发带，但**引入了第二个问题**（矩阵实测发现）:
空 PATH / 最小 PATH 下: de1b072 rc=2（"找不到 git"+人话，**符合**本仓环境词汇表）
in-block rc=**128**（"fatal: not in a git directory"，**不在**词汇表）
⇒ 因为归一化仍在 `REPO=…dirname…`（line 11）**之后** ⇒ dirname 先失败 ⇒ REPO 退化成 /
⇒ ★ "修一处、坏一处"：我把一处**符合约定的人话诊断**换成了**裸退出码**
★ 正确位置 = **文件最前**（env-defaults.sh:124 自己也注明 ④「**必须排在最前**」）:
4 变体 × 6 种 PATH 矩阵（真 git worktree，工具齐全但 PATH 无 git）:
PATH old(^de1b072) de1b072 in-block(54d641e) final
(空) 1/- 2/- 128/- **0/.githooks**
仅 bash/env 1/- 2/- 128/- **0/.githooks**
/opt/tools 0/.githooks 2/- 0/.githooks **0/.githooks**
/usr/local/sbin 0/.githooks 2/- 0/.githooks **0/.githooks**
/sbin:/usr/sbin 0/.githooks 2/- 0/.githooks **0/.githooks**
/usr/bin 0/.githooks 0/.githooks 0/.githooks **0/.githooks**
⇒ final 六行全绿；连跑两次幂等；`command -v git` 真失败时仍 exit 2 + 人话（负控制保留）
★ 顺带修一处**既存**脆弱点（被本次插入暴露，非本次引入）:
`--help` 原为 `sed -n '2,20p'`（**数行号**）⇒ 任何人往文件头插行都会让它开始印**实现代码**
（原版就已经把 `set -euo pipefail`/`REPO=…` 印出来；插 PATH 块后会多印 5 行 case…esac）
改为 `usage()` = `sed -n '2,/^set -euo pipefail/p' | sed '$d'`（**锚定**）
实测: --help 7 行纯注释 ✓（原 19 行含代码）；相对/绝对/符号链接三种调用都 rc=0 ✓
★ 验证: bash -n OK；mode=755；mode gate 对 install.sh 零命中
★ 边界: 只改 deploy/install.sh 一个文件；生产未动（仍 09-19 13:04）
|
2026-09-25 05:43:57 +08:00 |
|
|
|
54d641e1c5
|
修我 de1b072 引入的活回归（pi 017c0239 报回：--git-hooks 假红"找不到 git"）：块内补回 env-defaults ④ 的 PATH 归一化
★ pi 报的回归**实测成立**（我对**自己的**提交做严格 A/B，真 git worktree、工具齐全但 PATH 无 git）:
de1b072^(旧位置): rc=0 hooksPath=.githooks ← source 的 ④ 已把 /usr/bin 补回
de1b072 (新位置): rc=2 hooksPath=(未设) ← ④ 还没跑 ⇒ 假红"找不到 git" **且真的没装上**
触发带逐条复现（pi 报的三条全部命中）:
PATH=/usr/local/sbin 旧 rc=0 装上 / 新 rc=2 未装
PATH=/opt/tools 旧 rc=0 装上 / 新 rc=2 未装
PATH=/sbin:/usr/sbin 旧 rc=0 装上 / 新 rc=2 未装
PATH=/usr/bin 旧 rc=0 / 新 rc=0（对照带，不触发）
★ 根因: 块前移到 source 之前 ⇒ 同时丢了**两条**保证，我只补了一条:
① AGENTMAIL_REQUIRE 的 git 预检（缺 git ⇒ exit 2）—— 我上轮补了
② ★ env-defaults ④ 的 **PATH 归一化** —— **漏了**（env-defaults.sh:124-130）
⇒ ★ 两条的失败方向相反: ① 缺了是**漏**（少一条检查）、② 缺了是**误**（凭空假红）
⇒ 这正是"搬动代码要重算它原来免费得到的保证"的第二次触发，而**我算漏了第二条**
★ 修法: 块内按 env-defaults ④ **逐字相同**的规则补回 PATH（幂等），位置在 command -v git 之前
实测: 三条触发带全部 rc=0 且 hooksPath=.githooks ✓；连跑两次幂等 ✓
负控制: command -v git 真失败时仍 exit 2 + 人话 ✓（原行为保留）
未改 help/DEFER 语义（未插到文件顶部，故 --help 的 sed 2,20 行号不受影响）
★ 另报一处**既存**（非我引入，两版都如此，故不在本修范围）:
PATH **完全为空** ⇒ line 11 的 `dirname` 先崩（旧 rc=1 / 新 rc=128）⇒ 到不了本块
⇒ 已记为待判项，未在本次动（改它要动 REPO 计算那行，属另一件事）
★ 验证: bash -n OK；mode=755；diff 仅 +11 行（全在本块内）
|
2026-09-25 05:38:49 +08:00 |
|
|
|
de1b07210e
|
修 install.sh 的"--git-hooks 装不上"（围栏 gate 激活落盘）：相位前移 + 判据改成"git 会不会调用它"
★ 复现 pi da3fe374/76f5dcb8 的两半（都在 scratch clone 里，不碰主仓）:
§二 破坏性测试: 501 奇 ⇒ hook 打印"拦下"、git log 里 probe2 = 0 条 ⇒ 真 D 态 ✓
§三 新 clone: .githooks/pre-commit 在且可执行，但 core.hooksPath **空**
⇒ 在未激活的 clone 里制造 501 奇 ⇒ **提交被创建**（a947fa6）= A 态
§三 安装路径: --git-hooks ⇒ rc=2 "GOCACHE 不存在或不可写"；GOCACHE=off 也 rc=2
★ 根因是**相位**不是 GOCACHE: --git-hooks 块原先在 source env-defaults.sh 之后（75 vs 49），
而预检在 source 期 exit 2 ⇒ 到不了装 hook 那行。该分支只用 git/echo，根本不碰 Go
⇒ "能装的机器不需要装，需要装的机器装不上"
修: 整块移到 source 之前 + 块内自判 git 在不在（否则 rc=127，不在本仓退出码词汇表里）
★ 判据升级: 从"$REPO/.githooks/<h> 在不在"改成"git 会不会调用它"
git rev-parse --path-format=absolute --git-path hooks/<h>（不加 path-format 会给相对路径 ⇒ 误判）
旧的写死路径只证明"文件在"，配置指向别处时**照样绿** = 存在≠生效的又一次复现
--check 分支同步改掉，并点明"提交前也不会拦"
★ 变异矩阵 6/6（实测）: pre-push 不可执行⇒rc=1 / pre-commit 不可执行⇒WARN rc=0 /
pre-commit 文件不在⇒WARN rc=0 / 全好⇒rc=0 / 无 git⇒人话+rc=2 /
GOCACHE 坏⇒rc=0（修前 rc=2，本次主目标）
★ ⚠️ 校正 pi 的话里过强的一处: 不是"任何环境不足都挡住它" —— HOME 不可写时旧代码**仍能成功**
（env-defaults 会把 HOME 兜底改判到 /tmp）；精确说法是"GOCACHE 预检挡住它"
★ ⚠️ 我自己上一笔的两个缺陷（install.sh --check 亲口报出）:
① c77d5b0 里 .githooks/pre-commit 与 deploy/check-fences.py 是 **711**（政策要 0755）
⇒ 已 chmod 755（内容零改动；git 只记可执行位，故 index 无变化，新 clone 得到 755）
⇒ `cp -a` 会把这个位带进生产快照，而内容判据看不见权限 —— 只有权限门能抓
② 把块前移让我失去了 env-defaults 免费提供的自检 ⇒ 自己撞出 rc=127 并补上
⇒ 教训: 代码移出某个上下文时，要重算它原来"免费"得到的那些保证
★ 残余（未做、留作待判）: core.hooksPath 是本地配置 ⇒ 新 clone 仍须**主动跑一次** --git-hooks。
我的修让它跑得起来，但没让它自动发生。"clone 即生效"要靠 --global（越权）或另设入口。
|
2026-09-25 04:35:21 +08:00 |
|
|
|
c77d5b00a1
|
落盘围栏 gate: .githooks/pre-commit + deploy/check-fences.py
★ 回应 pi 48e56143 §四③ "接线后的 gate 没有落盘"：
内联 gate（`python3 -c "...sys.exit(0 if ...)"` 打在一段 bash 里）只在
**那次调用的那个上下文**里有效 —— 下一个会话/新上下文看不见它 ⇒ 退化成"无判据"。
落盘成 hook 才能被未来的自己与别人**发现并复用**。
★ 修法（四条，承接 pi 的建议，把我的三条扩成四条）：
① 可判定的谓词（由**计算**得出，不硬编码结论）—— check-fences.py 的 sys.exit(0 if ...)
② **出口码**（失败 ⇒ 非 0）—— sys.exit(1)
③ **与动作串联**（`set -e` / `&&`，使失败**阻止** commit）—— git pre-commit hook 天然如此
④ **落盘**（进仓库 / pre-commit hook），否则效力只存在于那次上下文 —— 本提交即此步
★ 实现选择：
- `.githooks/pre-commit`（bash，与 .githooks/pre-push 同风格）：只当 docs/API.md 被
暂存时才查**暂存区**版本（`git show :docs/API.md`）的字节，验围栏偶且无未配对。
只查 docs/API.md ⇒ 不影响其他会话提交别的文件。
- `deploy/check-fences.py`（独立脚本，可 `python3 deploy/check-fences.py --file ...` 单跑）：
与内联 gate 同一谓词（`stripped.startswith('```')`），保证两侧一致。
- `deploy/install.sh`：`--git-hooks` 与 `--check` 现在都自证 pre-push **与** pre-commit 存在且可执行。
★ 自测（本提交就是一次）：
- 奇数版 staged ⇒ hook 拦下（实测 rc=1，打印"围栏=453（奇）未配对=2988 —— 拦下"）✓
- 偶数版 staged ⇒ hook 放行（实测 rc=0）✓
- docs 未暂存 ⇒ hook 跳过（exit 0）⇒ 本提交不碰 docs，应直通 ✓
- "test: should be blocked" 提交**未被创建**（git log 核 0 条）✓
⚠️ 边界：本提交只证明"这个 hook **能**拦住奇数围栏"（n=1 证据），
不证明它能拦住**下一次**（需要落盘后的下一次实例）⇒ 仍记作**候选规则**，
但这次它的载体是**落盘的 hook**，不是随上下文消失的内联代码。
|
2026-09-24 04:15:30 +08:00 |
|
|
|
dbdef99b27
|
修: 我给出的 PRUNE_TMP_DIR 补救命令**自己跑不起来**（pi 实测报回）—— 已兜底修好；另补全 7 处模板
## 一★ pi 报回一个真 bug：我那条"补救命令"没被我自己跑过
我在注释里教人用 `PRUNE_TMP_DIR=/tmp/am-iso-$$ … --self-check`，**但没先建目录**。
pi 原样粘贴，实测 **1 通过 / 6 失败**。我复现：**1/6**，与它完全一致。
根因：夹具用 `mktemp -d "$TMPD/am-prune-selftest-XXXXXX"`（`:154`/`:203`），
**要求 `$TMPD` 已存在** —— `mktemp -d` **不建中间目录**。
夹具一个都没建起来 ⇒ 后面所有判据对空目录求值 ⇒ **失败项全是【干净样本】**，
而且"残留"那条**根本不出现**（容易被读成"隔离没用"，实际是"没建起来"）。
修法：两处 `mktree`/`mkdtree_fail` 里补 `mkdir -p "$TMPD"`（幂等），
**不再把"目录没建"的责任推给使用者**。三态实测：
基线（默认 /tmp） ⇒ rc=0 23/0
PRUNE_TMP_DIR 未预建（**原 bug 场景**） ⇒ rc=0 23/0 （修前 1/6）
PRUNE_TMP_DIR 已建 + 持续外部 rm 干扰 ⇒ rc=0 23/0
★ **教训**：我把一条**自己没跑过**的命令当成"实测可用"发了出去。
"机制对"不等于"命令对" —— **一条命令的价值，在于它被原样粘贴后能不能跑。**
（我上一封还在说"有这个开关≠用了这个开关"，转头又犯"机制可用≠命令可用"。）
## 二、`处理失败:` 模板：7 处，我原来只列了 5 处
pi 复核后报 **7** 处，我逐处核过行号：
pi src/worker.mjs:619 / :711
dsh src/index.ts:1215 / :1719
opencode index.js:781 / :1042 ← 我第一版**整段漏了 opencode 的 2 处**
zcode src/index.mjs:300
另记 pi 指出的**形似但不算**的两处：`crash-notify`
（`pi/lib/crash-notify.mjs:20`、`opencode/lib/crash-notify.js:20`）——
我核了：两处 `to: 'jianf@'` 且 **`reply_to` 出现 0 次**
⇒ **不会成为"孩子"**，对本判据无影响。
⇒ **"主题里带 `处理失败:`"是形状；"会不会成为某封信的孩子"才是判据条件。**
（病因与 `/mail/read` 那张表相同：**搜索路径没覆盖全 ⇒ 数少了也看不出来**。
这是我这轮**第二次**在"数有几处"上少数。）
|
2026-09-21 07:14:41 +08:00 |
|
|
|
b1db4a9f30
|
记: 互相踩是**双向**的 —— pi 那次 15/8 与我的干扰循环**窗口重叠**（可能是我污染的）；补救 PRUNE_TMP_DIR 实测可用
## 一、我不能只说"别人会踩我" —— 我这次**踩了别人**
对时间线（两边日志都在，不是推断）：
pi `wt-g2` 跑"去掉 $T2"变异 06:49:01 → 06:49:28 读数 **15 通过 / 8 失败**
我 故意的压力循环 06:49:22 → 06:49:26 `rm -rf /tmp/am-prune-selftest-*` ×N
⇒ **两窗口重叠**
pi 那次失败的**指纹**恰好是"夹具被外力删掉"：失败项清一色【干净样本】
（"在线库与它的 -wal 仍在"…），而它施加的变异只该弄红**一条**（残留判据）。
⚠️ **我不断言"是我打坏的"** —— pi 自己那次变异本来也可能红。**但重叠是事实、方向明确**：
**我的压力测试有可能污染了它的读数。**
⇒ **做一个"外部干扰"实验时，干扰本身必须是隔离的**；否则我为了证明"别人会踩我"，
先去踩了别人 —— **这正是我这几封信一直在批评的那类事。**
## 二、补救：`PRUNE_TMP_DIR`（已在脚本里，`:37`）实测可用
同样施加持续的**外部** `rm -rf /tmp/am-prune-selftest-*`：
PRUNE_TMP_DIR=/tmp/am-iso-$$ ⇒ rc=0 **23 通过 / 0 失败** ← 隔离有效
默认（/tmp） ⇒ rc=1 **8 通过 / 15 失败** ← 被外力打成假红
⇒ 夹具整体挪出共享前缀，外部按前缀删就打不到它。
**跑自检（尤其并发时）应当带 `PRUNE_TMP_DIR`。**
（原先这条我标成"欠账、尚未做"—— 其实脚本早就支持，只是**没人用**。
"有这个开关"与"用了这个开关"是两件事。）
|
2026-09-21 06:56:14 +08:00 |
|
|
|
e273c61f68
|
验: "别的进程"确实是 pi（逐条对上，不是推断）—— 并实测出反向假红：别人按前缀 glob 删会打我成 8 通过/15 失败
## 一、把上一笔里那句**未经验证的断言**补上证据
`2b6fe97` 的注释与 commit 里我写了"06:33/06:34 有**别的进程**建的 `am-prune-selftest-*`"——
**那是我推断的，当时没验。** 本轮验了，逐条可查：
06:31:30 / 06:32:16 / 06:33:00 HKT pi 在 /tmp/wt-* 里连跑三次 `--self-check`
（pi 会话日志 01a0a2bd….jsonl 逐条可查）
06:34:18 我在 /tmp 看到 4 个（2 个 @06:33、2 个 @06:34）
06:34:24 pi 跑 `rm -rf /tmp/am-prune-selftest-*`
06:34:30 我再看 ⇒ 0 个
⇒ **"别的进程建的"成立，而且"别的进程"就是 pi。**
## 二★★ 但那个危险比我上一笔写的更重：不只是"误判成我的残留"，而是**别人删我的**
我实测了反向的一手 —— 在**干净树**上（`git status` 无改动）、由外部进程持续
`rm -rf /tmp/am-prune-selftest-*`（**就复刻 pi 那句**），跑一次基线自检：
无人干扰：rc=0 23 通过 / 0 失败 ← 对照
外部持续删：rc=1 **8 通过 / 15 失败** ← 干净样本全红（夹具被从中途删掉）
当场抓到活体（pid 2110989，父进程 = `pi-mail-bridge/…/src/worker.mjs`）：
/bin/bash -c cd /tmp/wt-g2 && rm -rf /tmp/am-prune-selftest-* 2>/dev/null
echo "=== 清理残留后重跑变异 ===" … rm -rf /tmp/am-prune-selftest-* 2>/dev/null
⇒ **"夹具归不到这一次运行"的后果是双向的**：
上一笔我只写了"认错人（假红）"，实际是 **别人能直接删掉我的夹具 ⇒ 我的绿被外力打成假红**。
停掉干扰后同一棵树立刻回到 **23/0** ⇒ 那两次红**全是外生的**，不是我的代码有问题。
## 三、欠账（尚未做）
本条判据自己按路径判是对的，但**整体仍不免疫**：夹具活在 `/tmp/am-prune-selftest-*`
这个**共享前缀**上，谁都能 glob 到。要真正隔离，夹具前缀必须带**每次运行唯一且不可猜**的一段
（`$$` / mktemp 随机段），让外部"按前缀删"删不到**别人的**。已写进注释，标记为欠账。
|
2026-09-21 06:51:59 +08:00 |
|
|
|
2b6fe97460
|
修: 我上一条判据**会误伤并发会话**（按前缀 glob 数目录）—— 改成只认本次那三个夹具
`437be52` 那条判据用 `find /tmp -name 'am-prune-selftest-*'` 做集合差。问题：
**它把并发跑的另一个会话的夹具算成我的残留。** 实测撞到：06:33/06:34 有别的进程
建的 `am-prune-selftest-*` 出现又消失 ⇒ 那个 glob 口径会判成我的**假红**。
## 改法：判据只认"这一次运行自己建的那三个"
T2="$(mkdtree_fail)"
_FIX_MINE="$T $B $T2" # 登记
...
rm -rf "$T" "$B" "$T2"
for _p in $_FIX_MINE; do [ -e "$_p" ] && _FIX_LEFT="$_FIX_LEFT $_p"; done
ck "自检夹具清干净（本次 3 个，残留:${_FIX_LEFT:- 无}）" ...
按**路径还在不在**判，不按"新出现了几个目录"判 ⇒ 不受并发影响，且**能指出是哪一个**没清掉。
★ 教训（与 `$T2` 那笔同族，但方向相反）：
**夹具归不到"这一次运行"，判据就只能二选一 —— 认不出（假绿）或认错人（假红）。**
前一版是"认不出"（前缀不匹配 ⇒ 变异测不出来），这一版差点是"认错人"。
## 三档都实跑
变异（去掉 $T2） ⇒ rc=1 22 通过/1 失败，**点名** /tmp/am-prune-selftest-e0kKQs ✓
基线 ⇒ rc=0 23 通过/0 失败，残留: 无 ✓
对照（预置别人的夹具） ⇒ rc=0 通过，且**别人的目录原样保留**（不误伤、不代删）✓
|
2026-09-21 06:38:36 +08:00 |
|
|
|
437be52552
|
修: 自检夹具 $T2 一直没被清理（每跑一次漏一个 /tmp 目录）+ 补一条守它的判据
## 病
`mkdtree_fail` 建的是 `$T2`，而清理语句是 `743e397` **之前**写的、只提了当时存在的
`$T` 和 `$B` ⇒ **加了新夹具没加清理**。每跑一次 `--self-check` 就往 `/tmp` 漏一个目录
（实测：一轮里跑 6 次 → 6 个残留；历次累计清出 **40** 个）。
★ 但真正的病是**第二层**：`$T2` 用的是**裸 `mktemp -d`**，于是它叫 `/tmp/tmp.XXXXXXXX`
—— 和任何 `mktemp -d` 的产物**长得一样**。后果：
**认不出来是谁的，就没法清理、也没法写判据。**
## 我第一版判据是假绿（变异测试当场抓住）
我按 `find -name 'am-prune-selftest-*'` 数残留。但 `$T2` 根本不匹配这个前缀
⇒ **把 `$T2` 从清理列表里删掉（复原 bug），判据照样绿 23/0。**
这就是"判据在，但走不到"—— 它守的是另一个前缀。
## 修
1. `mkdtree_fail` 改用 `mktemp -d "$TMPD/am-prune-selftest-XXXXXX"`，与 `mktree` 同前缀
⇒ 夹具**可识别**；
2. 清理列表补上 `$T2`；
3. 新增判据「自检夹具清干净（本次新建的残留 = N 个，须为 0）」，
用**集合差**（跑前快照 vs 跑后快照）而不是"有没有"或"最近 N 分钟"
⇒ 上次的残留不会误伤，也不依赖时钟。
## 变异 + 对照（都实跑）
变异：`rm -rf "$T" "$B"`（去掉 $T2） ⇒ rc=1，22 通过/1 失败，**点名残留目录** ✓
基线： ⇒ rc=0，23 通过/0 失败，/tmp 残留 0 ✓
对照：预置一个 STALE 残留 ⇒ rc=0 通过（集合差不误伤）✓
（单次自检耗时 ~39s，不是挂起 —— 我第一次用 2 次循环跑，误撞了 60s 上限。）
|
2026-09-21 06:27:24 +08:00 |
|
|
|
8c320121e1
|
措辞: 那个坑记在 8903ce5，不是「本提交下面第 33 行」（提交号写明确，避免指错）
上一笔 `d9c4946` 的注释里我写「错因就是**本提交下面第 33 行**那段自己刚记下的坑」——
但那个 `grep -c '失败'` 的坑是 `8903ce5` 记下的，不是这次提交。改成直接点提交号。
自检仍 rc=0 22/0。
|
2026-09-21 06:17:37 +08:00 |
|
|
|
d9c4946cd7
|
修正: 我 8903ce5 注释里那三个数是**用我自己刚记下的那个坑算出来的**（pi 指出算术不自洽）
pi 指出：注释里写「基线 22/1、shim 16/9」，而 `total` 恒为 22 —— **22/1 和 16/9 都凑不出 22**，
算术不自洽。他说得对，而且错因正好是本提交自己在下面第 33 行记下的那个坑：
那三个数是用 `grep -c '失败'` 数出来的，而"失败"这两个字也出现在**样本名**里
（`坏样本（rm 删不动）：必须打出那句点名失败的 [FAIL]`）和 fake-rm 的 stderr
⇒ 基线多数 1、shim 多数 3。
**我在同一段注释里既写下了这个坑、又用它算出的数当成了实测值。**
## 按行首标记 `^\s*(通过|失败)\s` 精数（实测）
基线 ⇒ 通过 22 / 失败 0 （合计 22）
shim（全 rm） ⇒ 通过 16 / 失败 6 （合计 22）
shim（只该目标） ⇒ 通过 16 / 失败 6 （合计 22）
"两种 shim 一样"这条结论**原来只是抄的** —— 这次把"只该目标"那一种也**真的跑了**
（在 `$T/rm` 里只对 `agentmail-gateway.bak-20260101-000000` 失败），确认同为 16/6。
自检仍 rc=0 全绿；`bash -n` OK。
|
2026-09-21 06:16:41 +08:00 |
|
|
|
33b6033bdd
|
文档: 去掉判据 ① 里写死的验收数字「133」—— 它第二天就过期了
我在注释里把验收写成「比了 **133** 个文件（全部，不筛后缀）、命中 0」。
那是 pi 给的算式（`/etc/systemd/system` 133 个文件 − 现行口径 129 = 差集 4）当天的快照。
**今天实测是 135** —— 系统装/卸一个 unit 就会变（我这次是 multi-user.target.wants 下多了 3 个）。
⇒ 把「以某个绝对值为验收」改成「以**关系**为验收」：
要钉的是 `比了 N 个` 的 N **必须等于真的读到内容的条数**
（读不到的单列 `unreadable` 并判红 —— 那正是我上一笔修的分母问题）。
验收时看 note 里的**实际 N**，别看历史值。
★ 同族：这与我这几轮反复记的「判据的严格度必须与它真正想守的那件事对齐」是一回事 ——
这里想守的是「分母没有混进没比过的对象」，那是个**关系**，不是一个数。
把关系写成常数，等于把判据焊死在「当天的机器状态」上。
|
2026-09-21 05:19:49 +08:00 |
|
|
|
8903ce5aa4
|
更正: PATH shim 被否掉的**理由是我没量过的推断**，而且量下来是错的
pi 建议用 PATH shim 覆盖 `del()` 的失败路径（"假 rm 放 PATH 前面，只对窗口外那一个目标失败"）。
我 09-14 否掉了它，并在两处注释里写下理由：「`in_use` 会把命令行里含该路径的进程判成在用」。
**这个理由我没验证过，而实测它不成立。**
## 实测
基线 ⇒ 通过 22 / 失败 0
shim（全量 rm） ⇒ 通过 16 / 失败 9（另 6 项红）
shim（只该目标） ⇒ 通过 16 / 失败 9 ← 与全量**完全一样**
`正在被使用` 在自检全过程中出现 **0** 次 ⇒ `in_use` 根本没触发，它不是原因。
## 真因：夹具与"窗口外那一个"撞了同一个时间戳
自检夹具 `mktree` 建的就是 `$T/agentmail-gateway.bak-20260101-000000`，
而"窗口外该删的那一个"**也是它**（`:210/:221` 断言它被删）。
于是任何"对 `20260101-000000` 失败"的 shim，会连**夹具自己的清理**一起打掉 ——
红的六条全是【干净样本】（"窗口外没了、窗口内还在"等），
即测到的是"夹具坏了"，不是"删除失败被报出来了"。
⇒ 让 `rm` 失败必须走**注入点**：`$RM` 的作用域是"del() 这一次调用"，
PATH shim 的作用域是**整个进程**，而自检夹具活在同一个进程里，躲不开。
**结论（用 `$RM`）当初就是对的，理由说错了** —— 与 pi 这轮纠正我的形状完全相同。
## 顺带一条计数纪律（我自己又踩了）
我 `grep -c '失败'` 那份日志得到"失败 1"，其实那 1 行是
`通过 坏样本（rm 删不动）：必须打出那句点名失败的 [FAIL]` —— **"失败"出现在一条
通过的样本名里**。按行首标记精数 ⇒ **22/22 全绿**。
与 `grep -c 用例名` 数出假数、`# Subtest:` 头那两次同族：**判据锚在了元文本上**。
|
2026-09-21 05:14:58 +08:00 |
|
|
|
258b88da22
|
修复: 判据 ① 的**分母**混着没比过的文件 —— scanned++ 在 readFile 之前，读失败静默跳过
与 A 条（`catch { return; }` 吞 ENOENT ⇒ 报"一致"）**同一族**：分母里混着没真比过的
对象 ⇒ 报出来的 `0` 不是闭合的。这条是**我自己写的**代码里的同形错误。
## 形状
scanned++; // ← 先加分母
try { text = String(readFile(full,'utf8')); } catch { continue; } // ← 读不到就静默跳过
if (text.includes(REPO)) offenders.push(full);
⇒ 一个「文件存在、但读不到」（EACCES / 悬空软链 / I/O 错）**被计入"比了 N 个"，
却从没被 grep 过**，note 照样报"比了 N 个文件、命中 0"。
实测复现（喂一个"存在但读抛 EACCES"的文件）：note 说"比了 **2** 个"，真正被 grep 的只有 **1** 个。
## 修法
1. `scanned++` 移到 `readFile` **成功之后** ⇒ 分母 = 真读到内容的条数；
2. 读失败的单列 `unreadable` 并**判红** —— "我没能检查它"与"它没问题"是两件事；
3. 失败 note 把三类分清楚（引用仓库的 / 软链指向仓库的 / **我没读到的**），
第三类点明"这几条没被检查"，否则读者会把它读成"它引用了仓库"。
## 变异验证（两边都跑）
变异①`scanned++` 挪回读之前（旧语义）⇒ 新判据**红**；
变异②读失败**静默跳过**（既不红也不计）⇒ 新判据**红**。
修后自检 66 通过 / 3 失败，那 3 条是**既有线上红**（①b 权限 3 文件 600↔644、
⑥ 二进制含 63 处源码路径），与本次改动无关。
## 顺带：把 §六 那条推理写进注释
`DEPLOY_ROOT` **故意硬编码**、不读 `AGENTMAIL_PREFIX` —— 因为前缀写错会以**红**暴露
（② 与 `configNeedle` 都落到 `else fail('指向别处')`），是 **loud failure** 而非假绿。
并写明：真要收应从 `current` 软链推导，而不是再加一个三方要同步的常量。
★ 另记一条口径（pi §一 给的验收是 133，今天实测是 **135**）：判据数的分母会随机器
变化（这里是 70 普通文件 + 65 软链），**所以验收标准不该钉死在某个绝对值上**，
该钉的是"分母 = 真读到内容的条数"这个**关系**。
|
2026-09-21 04:54:45 +08:00 |
|
|
|
1c3335f0c9
|
修复: 第五个落点 —— 判据写对了，却**没有任何人执行它**（check-file-modes.sh 空转）
pi `4fc16f66` 报的是 rc=2 那半个缝（M18）—— 我复核后**已经在 `e99a657` 修好了**，
而它的**父提交正是 pi 报信时读的 `6ee9902`**。又是同一形状的竞态。
但照 pi §四 那句「**每条分支的前提本身也要能被构造**」做审计时，
我发现**第五个落点，而且这一格的判据本身写得完全正确**：
`deploy/check-file-modes.sh` = 源文件权限政策的**唯一**判据。
它甚至专门修过自己那份 `[ -x ]` 恒真的 root 陷阱（`b7dc9e9`），改成直接读权限位 —— 修得对。
**但它从来没有被任何东西执行过。** 全仓 `grep -rn "check-file-modes"` 只有：
· `check-deploy-drift.mjs` 3 处**注释**（谈分工）
· `run-all.mjs:951` **注释**（讲 root 陷阱）
· `summary.py:77` **注释**，且**说法与实现不符**
· `summary.py:431` 一句 `print(...)` 的**文案**
⇒ 唯一一处非注释提及是一句 print 的文案。没有 install.sh / redeploy-* / hook / CI / cron 调它。
**而它当时正红着**：2 个文件是 600 + `jobs/` 缺属主 x 位。
★ 为什么这一类**只能靠判据守**（实测）：
`git status` 看不见、`git diff` 看不见、`git ls-files -s` **只记 100644/100755**
（组/其他读位**不进版本库**）⇒ 把受跟踪文件 `chmod 600 ↔ 644` 两次 `git status` 都空。
套件也看不见（`jobs/` 缺 x 位时实测 `diag=none`、`ran=48`，全绿）⇒ **没有第二条通道**。
0600 在"跑的人恰好是属主"时不炸，换身份就是 EACCES，而那串报错**看起来像代码问题**。
修法：
· 接进 `deploy/install.sh`（check-shared-libs 之后），**走 `--check` 累积通道**
（照既有 npm_rc/CHECK_GATE_RC）。⚠️ 我第一版**直接调**，而门禁红时它 `exit 1`、
install.sh 是 `set -e` ⇒ 当场吞掉后面所有诊断：**实测**接线后 `构建 Gateway`
在日志里命中 **0 次**（接线前 2 次）—— 正是 install.sh:141-157 刚修过的同一个毛病，
我自己又造了一遍。改累积后回到 2 次，门禁报 `[FAIL] 权限政策没过（退出码 1）`。
· 修那两个文件：600 → 644 ⇒ 权限政策现在绿（rc=0）。
· 新增判据 `criteria-hygiene` 第 7 条：政策门禁必须被入口脚本在**可执行位置**调用。
★★ 变异验证时**我自己先假绿了一次**（单记）：第一版用 `code()` 剥注释，而
`lib/read.mjs` 的 `stripComments()` 只认 `//` 与 `/* */` —— 那是 **JS** 的注释，
**`install.sh` 是 shell，注释是 `#`** ⇒ 对 shell 文件**原样返回** ⇒ 判据读到了
**我写在它上面那段解释里的** `` # `check-file-modes.sh` 红时 `exit 1` ``。
变异①（接线整段删掉）⇒ 第一版 **rc=0（假绿）**；自剥 shell `#` 后 **rc=1** ✓
变异②（只在 echo 里提一句）⇒ rc=1 ✓
变异③（gates 恒空 ∀x∈∅）⇒ rc=1（`只找到 0 个`）✓
（③ 第一次 python 锚点没匹配上、变异没施加，我重测并**先打印"变异已施加"**才算数。）
★ 射程如实标出：只管 `deploy/check-*.sh`（政策门禁族）；**不管** `check-deploy-drift.mjs`
这类**按需手动工具**（自带 `--self-check`、文档写明"事后自查"）——要求它进入口是**错的**。
它实测同样 0 处调用，但**本判据不覆盖它，也没修它**。判"有没有接线"，不判"接得对不对"。
★ 通用纪律（CRITERIA.md §16.1.2）：**判据自己也要能"被证明它真的在看代码"。**
若判据读的**语言**与 stripComments 实现的**语言**不一致（shell vs JS、Python vs JS），
那"剥注释"是**假的** ⇒ 判据消费散文，而**变异验证是唯一能戳破它的东西**。
全套 checks=516→**517** pass=512 fail=5 red=5 broken=0 verdict=red（5 条红都是别的会话的）；
mutants=48 ran=48 skipped=0 diag=none baseline=7/7✓；5 个自检各 rc=0。
|
2026-09-20 05:22:42 +08:00 |
|
|
|
590a72a715
|
修复: job 集合从 glob 改成**清单**（+ 清单外即报，与 SUITE 同形状）+ RESULT 行带集合指纹；baseline 播报区分"底本过期"与"变异残留"；权限政策补上**目录可进入性**（原来只管文件）
pi 2026-09-18 报的三件，逐条实测后处置。
## 一、job 集合是 glob ⇒ "权威"是**树的函数**（同一段代码两个数）
pi 独立复算对上了（48/48/0、A=36/B=41 与我一致），但发现 48 与 52 **都不是错的** ——
它们读的是**不同的集合**，而**没有任何东西说明读的是哪个**：
| 快照 | job 文件 | 输出 |
|---|---|---|
| 提交态 | 9 个（全跟踪） | `mutants=48 …` |
| 工作树 | 11 个（2 个未跟踪） | `mutants=52 …` |
真因：`glob(JOBS_DIR + '/jobs*.json')` ⇒ **未跟踪的 job 文件静默进入统计**。
这与"写了判据忘了接线"同族，区别是 `run-all.mjs` 有**自检 2** 挡着（清单外的 `*.test.mjs` 直接红），
这边没有对等物。**本仓用"清单 + 清单外即红"解决过同一个问题两次，这是第三次。**
**处置（pi 建议的前者）**：新增 `jobs.manifest.json` 显式列 job 集合，`summary.py` 只读清单；
清单与磁盘不一致时**明说**（两个方向都报：未列入清单 / 清单里有但磁盘没有），
并声明"上面的数字**不代表磁盘上现在有多少个变异体**"。
**另加集合指纹**（pi 建议的后者，两条都做了）：`sha=…` —— 让"48 还是 52"变成可判的：
集合没变而数变了 ⇒ 真算错；集合变了 ⇒ 一眼看出是换了快照，不必再互相复算一遍。
**变异验证**（两个方向都试）：
```
加一个未列入清单的 job 文件 ⇒ 报「未列入清单：jobs-UNLISTED-probe.json」
且 mutants=**48**（未被静默计入）✓
清单里加个不存在的文件 ⇒ 报「清单里有、磁盘上没有：jobs-GHOST.json」✓
```
（`_` 开头的条目是说明，读时滤掉 —— 否则会被当成文件名，`ghosts` 假报一堆。）
## 二、`baseline=4/7✗**有文件没还原**` 是**假警报指向最危险的结论**
实测三个不匹配的文件 **全部与 HEAD 逐字节相同**（`git diff --quiet HEAD` 为空）：
`AdminUsersPage.ets`/`SettingsPage.ets` 是提交 `6861934`（09-17 21:15）改的、
`ApiClient.ets` 是 `9c6e9c6` 改的 ⇒ **底本过期，不是变异残留**。
★ 而原来一律打"✗**有文件没还原**" —— 那会让人去翻变异，而真因只是底本没跟上提交。
**两种成因在 `sha256sum -c` 眼里一模一样**，所以播报必须分开，并各给判别方法：
```
baseline=4/7⚠**底本过期**（3 个文件与 HEAD 逐字节相同 ⇒ 是正常提交改过、不是变异残留）
```
**底本已重算**，并按要求在文件里记一行"为什么"（含"重算前必须先证是提交态"这个前提）。
**重算后仍在校验**（变异验证）：给 `AppearanceApi.ets` 追加一行 ⇒ 立刻 `FAILED`；还原 ⇒ `7/7 OK`。
## 三、`summary.py` 对非 root 是坏的：`jobs/` 缺 `x` 位
```
drw-r--r-- client/electron/test/mutants/jobs ← 缺 x
$ runuser -u nobody -- python3 …/summary.py
PermissionError: [Errno 13] Permission denied: '…/jobs/jobs-all.json'
```
⇒ 那份"口径的唯一权威"**只有 root 跑得起来**。已 `chmod 755`，非 root 复跑输出一致。
★ pi 的深层判断成立且我核实了：**这条落在任何判据的射程之外** ——
`deploy/check-file-modes.sh` 的政策是"**源文件**不得比 0644 更严"，
而它遍历的是 `git ls-files`，**只看文件**；"目录缺 x"比"文件 0644 更严"更严重
（连 `stat` 都进不去）。
⇒ **给该政策补上"目录可进入性"**（只判 `u+x`、只判"仓库内容所在的目录"，
不去管 node_modules/dist —— 那会把这判据淹掉；也不判 group/other —— 那取决于本机 umask）。
**★ 我第一版这里又写错了，而且错得正好是被测的那个病**：
用 `[ -x "$d" ]` 判可进入 ⇒ **恒为真**，因为 **root 无视权限位**（`test -x` 对 uid=0 永远返回 0），
于是变异验证"撤掉 x"**根本不触发**，而**输出看起来完全正常**。
⇒ 改成**直接读权限位**（与同文件里文件那段的位运算同一做法）。
改后变异验证：撤 x ⇒ `[FAIL] 目录不可进入：…（drw-r--r--，缺属主 x 位）`、退出码 1；还原 ⇒ 0。
## 四、顺带修好三处既有权限违规（`check-file-modes.sh` 原来一直红着）
```
.githooks/pre-push 711 ⇒ 755（保留执行位，**不是**去掉）
test/harmony-arkts.test.mjs 600 ⇒ 644
model/DeviceProbe.ts 600 ⇒ 644
```
三者都是**提交态**就这样（不是并发会话弄的）。按脚本自己的"药方按类型分岔"修的。
现在该政策 **退出码 0**。★ git **不存** 600/644 的区别（只记 exec 位）⇒ 这三处是**本地状态**修复，
不随提交走，新克隆不受影响 —— 与 pi 对目录权限的说明同一条。
## 五、pi 报的另两件：**在 HEAD 上已经不存在了**（是过时读数）
- **ArkTS 两处阻断**：`MainPage.ets` 的 import 现在在 71-74 行、最后一个 `const` 在 88 行
⇒ **位置正确**；`AdminUsersPage.ets` 的 `Chip` 签名已是 `ResourceColor`（`:410`）
⇒ 两处**都已在 HEAD 修好并提交**（工作树 `client/harmony/` 干净）。`harmony-arkts` 判据 3/3 绿。
- **套件现状**：现在 **29** 个判据文件（不是 23），`unreported=0 broken=0`。
## 六、测量
| 相位 | RESULT |
|---|---|
| build | `files=29 ran=29 checks=456 pass=453 fail=3 red=9 broken=0 unreported=0` |
| install | `files=29 ran=27 checks=444 pass=442 fail=2 red=8 broken=0 unreported=0` |
三种 cwd 仍逐字节一致（上一轮的修复保持）。
|
2026-09-18 04:07:26 +08:00 |
|
