MailUI4Agents

Files

JianFeeeee 3175ee7267 修复: **函数体可以被掏空** —— 名字/登记/guard/契约行全在，里面不检查任何东西（层 6）

pi 2026-09-18 报的层 6。**成立，我复现，读数与它逐字相同。**

## 一、缺陷：掏空是零痕迹的

把 `exitcodeSelfTest` 的**函数体**（14616 字节）换成 `{ return 0; }`
（名字、`SELFTESTS` 登记、CLI guard、`CRITERIA.md` 契约行**一个都不动**）：

```
基线:   checks=459 pass=455 fail=4 skip=0 red=9 broken=0 unreported=0 verdict=red
掏空:   checks=459 pass=455 fail=4 skip=0 red=9 broken=0 unreported=0 verdict=red   ← 逐字相同
^RED:   0 条
```

**最尖的形式**：掏空 **+ 把 `UPSTREAM_RC['baseline-residue']` 改成 99**（= 它本该抓的那个）
⇒ `red=9`、**0 行提到 UPSTREAM**。
**对照（证明掏空是唯一原因）**：不掏空、只把值改成 99 ⇒ **`red=10`**，且真报出
`UPSTREAM_RC[baseline-residue]=99 与真跑出来的 rc=1 不符`。
⇒ 我们花三轮把 `UPSTREAM_RC` 锚到"真脚本真跑"上，**这个锚点可以被一次"清空函数体"无声撤掉**。

★ 根因：**层 5 及之前所有防线问的都是"它**在不在**"，没有一条问"它**做了没有**"。**
层 5 修的是存在性，而存在性有**两种**失去方式：**名字没了**，和 **名字在、里面是空的**。
（★ 层 5 与层 6 是**两根轴**：层 5 问"还在吗"，层 6 问"做了吗"。
它们共同的教训：**每根轴的"底"看起来都像整体的底** —— "到底了"只对当前那根轴成立。）

## 二、修法：给"判据在工作"一个**行为**下界

每跑完一条自检，记下它**真跑出来**的断言条数（`^(ok|RED) ` 行数），
与 `CRITERIA.md` 契约行里声明的**下界**比 ⇒ 掏空 ⇒ 条数掉到 0 ⇒ **红**。
契约项写成 `名字:下界`（棘轮语义：只增不减，掉下来才红）。

**实测条数（确定性：连测 3 次 + 两个相位都相同）**：probe=3 exitcode=13 skip=5 verdict=13 mutants-line=9。
**下界取略低于实测的余量**：`3 / 12 / 5 / 12 / 9`。

★ 下界写在 **`CRITERIA.md`**（外部文件、被 4 个文件引用、自己已被自检 3 守着），
不在 `SELFTESTS` 自己身上 —— 与 §6.1 同一条理由。

★ **为什么不用"恰好等于实测"**：相等的下界会让**任何**一条断言的小改动都变成
"必须同步改数字"（噪音），而留余量只拦"掉到明显不对"的那种（掏空 ⇒ 0、删一半 ⇒ 腰斩）。
诚实说：**这也意味着"改小下界"本身就是一条绕过路径**（见 §四）。

## 三、⚠️ 一个我实测出来的真实约束（不做区分就会在别的机器上假红）

判据**只在"该自检自称绿"时**才比下界。理由：`exitcodeSelfTest` 在**拿不到降权工具**
（`runuser`/`setpriv`）的机器上会 `continue` 掉两个案例、多打一条说明 ——
那是它**故意的**行为（前提构造不出来就报红，不许静默跳过），那种机器上条数本来就不同。
⇒ 若不管"红不红"都比下界，就会在无降权工具的机器上**假红**。
（掏空仍必被抓：掏空后 `bad=0` ⇒ 自称绿 ⇒ 条数 0 ⇒ 红。）

## 四、⚠️ 残留（如实登记）：**"把下界改小"是一条绕过路径**

我实测：把五条下界都改成 `1`，再把 `exitcodeSelfTest` 掏空成只打一条假 `ok`
⇒ **`^RED ` 0 条**（下界判据不响）。
⇒ 这是"**数字可以被改小**"那个老形状在**新落点**上的复现 —— 我把下界放到表外，
但**下界本身仍是一个可编辑的数字**。
★ 它比原来**贵一点**（要同时改 `CRITERIA.md` 的数字 **和** 掏空函数体，是跨文件的两处编辑），
但**性质没变**。所以**我不声称层 6 封死了**，与层 5 一样。
真要把下界也锚到行为上，得让"该打多少条"由**真跑对照**决定（例如拿一份已知坏输入要求它红），
那是独立工作。★ pi 也提过"要求每条自检必须能被某个坏输入弄红"（更硬），
我没选它，因为它要为 5 条自检各造一份坏输入，而**"坏输入"自己又成了手写数据**（刚被证过的那族）。

## 五、我写这条判据时自己踩的坑（第 N 次同一形状）

第一版我把 `entries` 声明在 `if (contractMs.length === 1) { … }` 块**内部**，
然后在块外用 `typeof entries === 'undefined' ? [] : entries` 兜 ——
那**永远取到 `[]`** ⇒ 下界判据**静默不跑**。
★ **一个"以防万一"的兜底写法，把判据本身变成了空判据** ——
比不写更坏，因为它**看起来在**。已改成同作用域声明 + 不留兜底。
⇒ 教训与 §6.1 那句"存在性锚点"合起来是同一句：**判据不跑时，谁来喊？**

## 六、变异验证（都已还原）

| 变异 | 结果 |
|---|---|
| **掏空 `exitcodeSelfTest`** | **红**：`自检 --exitcode-selftest **自称绿，却只打出 0 条断言**（契约下界 12）⇒ 它可能被**掏空**了`，`red=9→10` |
| **掏空 + `UPSTREAM_RC` 改 99** | **红**（同上；修复前 0 条） |
| 契约行整体删掉 | **红**（`契约行有 0 条，要求恰好 1 条`） |
| 下界写成非数字 `x` | **红**（`没写下界（或下界不是 ≥1 的整数）`） |
| **下界改 1 + 掏空成假 ok** | **不红** ⇒ §四 的残留，如实登记 |
| 回归 **层5** 删整条 `skipSelfTest` | 1 条（契约要求而 `SELFTESTS` 缺） |
| 回归 **M43** 窄正则 / **M45** 只删样本 / **M47** 标签撒谎 / **M48** 空见证 / 名字级未接线 | 各 1 条 |

## 七、验证与状态

· 五个自检单独跑全 rc=0；默认跑 `checks=459 pass=455 fail=4 skip=0 red=9 broken=0 unreported=0 verdict=red`、
  `mutants=48 ran=47 skipped=1 on_new_criteria=35 diag=none baseline=7/7✓`；正常态 `^RED ` **0 条**。
· 本提交含 `client/electron/test/CRITERIA.md`（§6.1 补层 6 说明 + 契约行加下界）与 `client/electron/test/run-all.mjs`。
· 提交前 `HEAD=ecefd50`。

2026-09-18 08:12:44 +08:00