JianFeeeee
d5cfcbdc9c
线上事故（jianf 经 pi 转达）：补投路径漏传 permission_mode，插件拿 undefined 兜了 workspace 档，把 full 档会话写成 workspace-write + ask —— 不是"拦一次"，是一整轮 工具能力降级，且状态留在会话里；随后该会话每次受守卫调用都撞 409。 四件事： 1. **状态写入点不接受默认值**（新增共享 `modeForStateWrite`）：缺字段/脏值 → `null` = 不写状态。"默认值可以出现在**决策**里，不可以出现在**状态写入**里。" 同时保留共享契约的 fail-closed：真读到 workspace 才写 workspace。 2. **409 的两种含义分开处理**。`allowed-once` 只绕过**审批**，改不了**沙箱** —— 所以 dsh 桥在放行前先把服务端给的权威档位**写回会话**（这也就成了自愈路径： 已经降级的会话，下一次带档位的 409 会把它修回来）；只认服务端明说的 full， plan 与"链上没有人类"照旧 fail closed。 3. **同一处缺陷在 zcode / opencode 也在**（`hooks/permission.mjs` 与 `index.js` 都把 409 当永久失败拒绝）。我先前在回信里写过"这两个桥不转发权限询问，不需要改" —— 那句话是错的，我当时的搜索面只有 `<plugin>/src/*.mjs`。按 pi 的要求把这条 **否定性事实变成常驻判据**后，它第一次运行就红给我看。四桥现在都有 「409 + full → 放行」，且**排在永久失败分支之前**（含顺序变异自检）。 4. **共用测试重新同源**：`test/catchup.test.mjs` 从 `153985e` 起就是分叉的 （我那版把平台专属路径写进了共用文件），而 `deploy/install.sh` 第 24 行会跑 `check-shared-libs.sh` —— 也就是说**部署一直是红的**，我没跑过那个脚本。 共用文件只放契约（值/行为），跨平台配对judge 移到平台专属文件，四份逐字节相同。 另外把"判代码 vs 判理由"从记忆变成代码：`test/lib/read.mjs` 提供 `code()/prose()/bytes()`， 判据目录里不得再裸用 `readFileSync`（新判据 `criteria-hygiene` 管，含读取器自检）。 判据证据（每条都做过"能不能红"的变异）： - 写回去掉 → 红；纠正块挪到普通 409 之后 → 红；状态写入点退回兜默认 → 红； - zcode/opencode 的放行分支拿掉 → 各自红；共用测试分叉 → check-shared-libs 红。 各套件：dsh 388、pi 443、zcode 387、opencode 333（均经 npm test，含 tsc）； electron `npm test` 15/15 判据绿 + vitest 266 + typecheck；`check-shared-libs.sh` 退出 0； Go `go test ./...` 全 ok。
92 lines
4.7 KiB
JavaScript
92 lines
4.7 KiB
JavaScript
/**
|
||
* 判据目录自身的卫生：**读文本必须走 `test/lib/read.mjs` 的两个具名入口**。
|
||
*
|
||
* # 为什么这条判据存在（pi 2026-09-14 §4）
|
||
*
|
||
* 规范里写着"判代码读剥离版（`code`）、判理由/文档读原文（`prose`）"，
|
||
* 我 P5 写过一次、当天又踩了一次：那条断言读的是**原文**，而它要找的标识符
|
||
* 恰好出现在一段解释性注释里 → 误报。**第二次犯规说明问题不在记性，在形态**：
|
||
* 靠人记得执行的规范一定会有下一次。
|
||
*
|
||
* 所以把"用哪个读取器"从**记忆**变成**代码里的一个词**，并且可被检查：
|
||
* - `code(path)` —— 剥掉注释；判"代码里有没有这个调用/这个值"；
|
||
* - `prose(path)` —— 原文；判"注释/文档里写了什么"；
|
||
* - `bytes(path)` —— 二进制（安装包等）。
|
||
*
|
||
* # 判据
|
||
*
|
||
* 判据目录（`test/**` 里跑的判据 + `run-all.mjs`）中**不得出现裸 `readFileSync`**，
|
||
* 唯一例外是 `test/lib/read.mjs` 自己。`test/manual/**` 是人工脚本、不是判据，不在范围内。
|
||
*
|
||
* 附两条自检：读取器本身要真的剥注释（否则 `code` 退化成 `prose` 这条判据就废了）、
|
||
* 以及探测器要能认出裸调用（否则"都没有"与"探测器坏了"结果一样）。
|
||
*/
|
||
import assert from 'node:assert/strict';
|
||
import { readdirSync, unlinkSync, writeFileSync } from 'node:fs';
|
||
import { dirname, join, relative } from 'node:path';
|
||
import { test } from 'node:test';
|
||
import { fileURLToPath } from 'node:url';
|
||
|
||
import { code, prose } from './lib/read.mjs';
|
||
|
||
const HERE = dirname(fileURLToPath(import.meta.url));
|
||
const RELECTRON = join(HERE, '..'); // test/ 的上一级就是 client/electron
|
||
const SELF = join(HERE, 'lib', 'read.mjs');
|
||
|
||
/** 判据文件清单：`test/**` 下会跑的判据 + 编排器；不含 lib/ 与 manual/ */
|
||
function criteriaFiles(dir = HERE, out = []) {
|
||
for (const e of readdirSync(dir, { withFileTypes: true })) {
|
||
const p = join(dir, e.name);
|
||
if (e.isDirectory()) {
|
||
if (e.name === 'lib' || e.name === 'manual' || e.name === 'node_modules') continue;
|
||
criteriaFiles(p, out);
|
||
} else if (/\.(test\.mjs|test\.ts|test\.tsx|mjs)$/.test(e.name) && !e.name.endsWith('.d.ts')) {
|
||
out.push(p);
|
||
}
|
||
}
|
||
return out;
|
||
}
|
||
|
||
/** 探测器：一段源码里有没有裸 readFileSync */
|
||
const BARE = /\breadFileSync\s*\(/;
|
||
|
||
test('探测器自检 + 读取器自检', () => {
|
||
// ① 探测器能认出裸调用（否则"都没有"与"探测器坏了"分不开）
|
||
assert.equal(BARE.test("const s = " + "readFile" + "Sync(p, 'utf8');"), true);
|
||
assert.equal(BARE.test('const s = prose(p);'), false);
|
||
|
||
// ② code 真的剥注释、prose 不剥 —— 这条是整套用法的地基：
|
||
// 若 code 退化成 prose，那么"读剥离版"的规范就变成一句空话，而且没人会发现。
|
||
const probe = join(RELECTRON, 'test', '_reader_probe.tmp.ts');
|
||
// 注：这个探针文本**故意拼接**而不是写字面量 —— 否则本判据自己会被自己判红
|
||
// （它扫的就是"文本里有没有这个写法"，判据文件也在扫描范围内）。
|
||
writeFileSync(probe, "const REAL = 1; // " + "readFile" + "Sync( 注释里的假调用\n/* allowed-once */\n");
|
||
try {
|
||
assert.ok(!code(probe).includes('allowed-once'), 'code() 必须剥掉块注释');
|
||
assert.ok(!code(probe).includes('假调用'), 'code() 必须剥掉行注释');
|
||
assert.ok(code(probe).includes('REAL'), 'code() 要保留真代码');
|
||
assert.ok(prose(probe).includes('allowed-once') && prose(probe).includes('假调用'), 'prose() 必须保留注释');
|
||
} finally {
|
||
unlinkSync(probe);
|
||
}
|
||
});
|
||
|
||
test('★ 判据目录里不得出现裸 readFileSync（必须走 code/prose/bytes）', () => {
|
||
const offenders = [];
|
||
for (const f of criteriaFiles()) {
|
||
if (f === SELF) continue; // 读取器的实现自己当然要用它
|
||
const src = prose(f); // 扫的是"文本里有没有这个写法"，所以读原文
|
||
if (BARE.test(src)) {
|
||
const line = src.split('\n').findIndex(l => BARE.test(l)) + 1;
|
||
offenders.push(`${relative(RELECTRON, f)}:${line}`);
|
||
}
|
||
}
|
||
assert.deepEqual(offenders, [],
|
||
`这些判据文件里还在裸用 readFileSync：\n ${offenders.join('\n ')}\n` +
|
||
" 改用 test/lib/read.mjs 的具名入口：\n" +
|
||
" · code(path) —— 剥掉注释。判「代码里有没有这个调用/这个值」时用它（默认选它）；\n" +
|
||
" · prose(path) —— 原文。判「注释/文档里写了什么」时用它；\n" +
|
||
" · bytes(path) —— 二进制（安装包等）。\n" +
|
||
" 为什么不能裸用：读原文去判代码，会被解释性注释骗（同一个坑已经踩过两次）。");
|
||
});
|