 chenxin
|
7c57d27494
|
✨ feat: WP-09 Live2D/3D——模型导入校验与非破坏命令历史
- 迁移 18：avatar_model（live2d/vrm/gltf、validated/rejected、校验报告、来源许可、当前命令指针）+ avatar_command（十类命令检查约束、(avatar,sequence) 唯一、undone 标记）
- GLB/glTF 解析器（纯 Python）：GLB magic/版本/chunk 结构校验、JSON 场景图引用一致性（scene→node→mesh→material 逐层索引越界检测）、VRM 0.x/1.0 扩展检测与 meta 提取
- 资源上限（恶意模型文件防线）：文件 200MB、节点 10 万、网格 1 万、纹理 2 千、材质 5 千、动画 1 千——超限入库 rejected 并保留报告
- Cubism model3.json 校验：Version/FileReferences 必需、moc3 引用、纹理列表、表情/动作/HitArea 计数
- 上传 MIME 白名单扩展 model/ 与 application/json
- 命令历史：十类命令（param_map/expression/physics/motion/material/texture/bone/attachment/lighting/camera）追加（sequence 单调）、撤销（标记 undone 非破坏）、rejected 模型不接受编辑（422 前置校验）
- 测试 111 项全绿（+9）：合法 GLB/VRM 检测/损坏文件/引用越界/超限/Cubism 正反例/命令历史与撤销幂等/rejected 拒编
|
2026-09-14 10:34:52 +08:00 |
|
|
chenxin
|
21eacc8c75
|
✨ feat: WP-14 运营收口——诊断双授权、管理面治理、支持包、观测与自托管
- 迁移 16：diagnostic_grant（token 哈希唯一、15 分钟、单次、绑定 Run）+ user.role（user/admin 检查约束）
- 诊断双授权（ADR-004）：本人签发 grant（明文 token 只返回一次，库存 SHA-256）；读取需登录态 + Hunjing-Diagnostic-Token + Purpose 三重匹配；单次消耗（重放 401）、用途不符 403、响应 no-store/private；返回观测摘要（usage/TTFT/工具轨迹）不含消息正文
- 管理面：pending 司议案列表与处置（content_removed 联动下架目标内容——治理闭环）；非管理员 403
- 脱敏支持包：统计聚合（runs/messages/tool/media 按状态），无正文无密钥
- 观测：GET /readyz（DB 连通）与 GET /metrics（Prometheus 文本，真实 SQL 聚合）
- 自托管：docker/Dockerfile.backend（uv 构建）+ docker-compose.app.yml（hunjing-api + hunjing-postgres 健康依赖、密码经 .env）；Makefile 新增 selfhost-up/down、db-dump/db-restore（备份到 backups/）
- 测试 94 项全绿（+3）：诊断全路径（无令牌/用途不符/成功/单次重放）、管理面处置联动、支持包与指标
|
2026-09-12 11:20:15 +08:00 |
|
|
chenxin
|
701c20c783
|
✨ feat: WP-08 媒体基础与 CI（上传/文件/任务/声契 + 三任务流水线）
- 迁移 15：upload（三态）、file_asset（sha256/存储键/pending-ready-quarantined）、media_job（四类五态+进度+取消）、voice_consent（用途/期限/撤回）
- 上传三步流（契约第 9 节开发档）：POST uploads（MIME 白名单+大小约束）→ PUT data（真实写 storage/ 落盘、sha256 校验）→ completions 转 ready——未完成文件不可被业务引用
- 文件内容取回（开发档本地；正式部署换短期签名 URL，存储键不变）
- 媒体任务：ASR 输入必须 ready 音频；后台执行经注入 Provider（测试 mock 确定性转写）；无 Provider 显式失败（fail-closed）；取消幂等
- 声契：TTS/克隆需有效声契（未撤回未过期）；撤回后新任务 403（ADR 媒体域“撤回停止新生成”）
- CI（WP-14 起步）：三任务流水线——backend（pgvector 服务容器 + ruff/mypy/pytest）、engine（CMake 警告即错误 + ctest）、openapi（Redocly lint）
- 测试 91 项全绿（+5）
|
2026-09-12 10:50:37 +08:00 |
|
|
chenxin
|
9ef2568c3b
|
✨ feat: WP-07 插件生态——Registry、三态分离与调用门（ADR-001/008）
- 迁移 14：plugin（kind 四形态、撤架三态）、plugin_version（Manifest JSONB + 规范化内容哈希签名、(plugin,version) 唯一）、plugin_installation（enabled + granted_permissions、(domain,plugin) 唯一）
- Registry：发布版本（Manifest 必须声明 permissions，签名=canonical 哈希）；撤架阻断新调用与新安装，历史审计保留（验证：撤架后 invoked 审计仍在）
- 三态分离（购买≠安装≠启用≠授权）：安装默认 disabled+零授权；启用必须显式授予权限子集（越界 422）；调用门逐级校验（未装/未启/撤架各 403）
- 升级：Manifest 新增权限必须重新确认（未确认 422 且明示新增项）；确认后升级成功
- 调用：按 Manifest response_template 真实执行（声明式确定性回填）；remote/isolated 形态明示 501 随沙箱交付（WP-14），不静默降级；审计含版本哈希（快照语义）
- 权限标识统一 group:item 格式
- 测试 86 项全绿（+4）：三态流、越界、升级确认、撤架阻断与历史保留
|
2026-09-12 10:18:20 +08:00 |
|
|
chenxin
|
795df0413e
|
✨ feat: WP-12 协作空间——Workspace、RBAC、邀请与项目评审
- 迁移 13：workspace、workspace_member（四角色 + (workspace,member) 唯一）、workspace_invitation（四态流转）、project、project_version（(project,version) 唯一、评审四态、提交/评审人留痕）
- RBAC 三权分立：editor 提交版本、reviewer 批准/拒绝、owner 发布与成员管理——权限矩阵代码化（editor 不可自审、viewer 不可提交、发布前必须有 approved 当前版本）
- 邀请流：owner 邀请（角色限定 editor/reviewer/viewer）→ 被邀者接受入成员；已是成员 409；移除所有者 422
- 评审流：版本号自动递增不可变；批准设为当前版本；拒绝不可逆（重审 409）；未批准发布 422
- 隔离：非成员与被移除成员统一 404 fail-closed（require_member 单点）
- 测试 82 项全绿（+3）：完整协作流（邀请三角色→提交→批准→发布）、拒绝路径、成员移除失效与外人隔离
|
2026-09-12 09:33:29 +08:00 |
|
|
chenxin
|
99985f5855
|
✨ feat: WP-11 社区——发布、互动、关注与治理
- 迁移 12：community_content（帖子/角色 Release、publication 六态、可见性）、comment（父级树）、reaction（(content,actor,kind) 唯一防重复）、follow（双 FK 显式命名修复 convention 冲突）、report + moderation_case（举报即建司议案）
- 发布：帖子直发；角色 Release 由服务端构造公开快照（name/道体/版本数）——私密记忆/关系/对话结构性缺席，测试以注入私密记忆后发布验证零泄露
- 互动：评论（父级校验同内容可见）、点赞/收藏（重复 409、取消后计数正确）
- 关注/取关与计数；举报自动生成司议案（治理队列入口，status=pending）
- 下架传播：removed 后列表/详情/评论统一 404 或过滤（require_content 单点）；非作者下架 404 fail-closed
- 测试基建修复：login 返回自包含 headers（显式 Cookie 优先），多用户交替不再串会话
- 测试 79 项全绿（+7）
|
2026-09-12 09:02:36 +08:00 |
|
|
chenxin
|
34c481ab9e
|
✨ feat: WP-13 市场与交易——不可变账本、退款、Webhook 与保全态（ADR-009/021）
- 迁移 11：listing、order（六态 + 幂等唯一约束）、order_item（价格快照，客户端金额不可信）、ledger_entry（不可变 8 类型带符号分录）、webhook_event（Provider 事件 ID 幂等）、personal_domain.billing_status（保全态）
- 购买闭环：下单冻结价格快照 → 支付确认同事务写三分录（charge = platform_fee 10% + creator_payable，双录平衡校验拒绝不平衡提交）
- 退款：反向三条分录修正账本（Ledger 不删不改，ADR-009）；重复退款幂等；汇总端点对账 balanced=true
- Webhook：HMAC-SHA256 验签（密钥经环境变量，错签 401）→ 按 Provider 事件 ID 幂等（重复投递 duplicate 不重复入账）→ 买方从订单反查（不信任 payload）
- 保全态：欠费只读保全（全部状态变更 403 且明示不删数据；解除端点不被保全自锁）；读取不受影响，恢复即解锁——ADR-021 落地
- 测试 72 项全绿（+5）：双录平衡、订单幂等、退款反向与对账、验签/幂等、保全只读与恢复
|
2026-09-11 11:37:45 +08:00 |
|
|
chenxin
|
dfce60f7db
|
✨ feat: WP-06 工具域——注册表、四维裁决、审批与 RunBudget
- 迁移 10：tool（注册表：风险级/审批声明/输入 Schema）、tool_call（六态含 pending_approval、幂等唯一约束）、run.max_tool_calls（RunBudget 硬上限）
- 内置工具三件：get-current-time/calculate（AST 白名单四则，只读循律）、record-note（真实副作用：写入记忆候选，必须请命）
- 四维裁决（能力/数据/后果/情境→autonomy_level）：read_only 循律直接执行；side_effect/high_impact 进入 pending_approval 请命；禁用工具 forbidden
- 审批流（朱批）：approve → 执行并落审计；deny → 拒绝且不可逆（重复审批 409）；副作用工具产物走既有记忆审核通道
- 工具入参按不可信模型输出处理：JSON Schema 子集校验（required/type/未知字段拒绝）；RunBudget 超限 422 不静默放行
- 幂等：同 (run, tool, Idempotency-Key) 重放返回 200 原调用
- 测试 67 项全绿（+7）：循律即执行、请命→朱批→真实候选产物、拒绝不可逆与不执行、Schema 三类拒绝、未注册 404、幂等重放、预算硬上限
|
2026-09-11 11:29:43 +08:00 |
|
|
chenxin
|
e333dc5ea5
|
✨ feat: WP-04 记忆与知识——候选版本闭环、检索管线与大周天（ADR-011/018/023）
- 迁移 9：memory_candidate（来源/敏感度/作用域/状态检查约束）、memory（resource_version 作 ETag 源、有效期、当前版本指针）、memory_version（(memory_id, version) 唯一、取代链）、big_cycle（cycle_ 聚合根、phase_memory、产物版本引用）
- 候选闭环：手动提交；白名单自动批准仅限 auto+fact+低敏感（撤销窗 72h 记录于审计）；敏感/高影响默认人工审核；批准同事务写 Memory+Version+Audit+Outbox（契约 4.4）
- 纠正：If-Match 校验 resource_version（缺失/过期 412），创建新版本不原地覆盖（ADR-011）
- 删除：立即阻断召回 + 清除全部版本原文（墓碑不存被删原文，契约 4.4）
- 检索管线：数据库层域/角色预过滤 → 状态/有效期过滤 → 文本匹配 → 响应级召回证据（语义检索待 embedding 端点）
- 大周天最小实现：手动触发 → 后台四阶段（回顾/对照/提议/提交）→ 模型真实评估产出 pending persona_candidate（候选先于写入）；无端点 fail-closed
- 测试 60 项全绿（+6）：审批流、白名单三例、ETag 正/缺失/过期、检索隔离与召回证据、删除传播与墓碑原文清除、大周天端到端
|
2026-09-11 10:54:20 +08:00 |
|
|
chenxin
|
40221170ae
|
✨ feat: WP-02 角色域——完整生命周期、铸魂、内驱力与随缘
- 迁移 6：character（生命周期六态检查约束、起源、现实人物治理标记、道体基线、内驱力）+ character_version（baseline/first_statement/drive_revision/reforging/persona_candidate 五类不可变版本与审核态）
- 创建：手动与随缘（确定性词库组合，同种子同候选、一次一个——不是抽卡）；现实人物治理（已故拒绝、未声明授权拒绝）
- 启镜（draft→active + 首个 baseline 版本）与初照自陈（候选→确认归真并入道体）
- 生命周期端点：静修/归藏/复照（归档可恢复、复照不抹历史）+ 死亡两步确认（7 天冷静期可撤销、未满确认 422）；非法状态迁移 422
- 铸魂（显式 confirm 强确认，直接更新道体）与人格候选（pending→审核批准才并入道体，不静默覆盖）
- 内驱力编辑：写当前值并落 drive_revision 版本（可追溯，ADR-018）
- 测试 52 项全绿（+8）：状态机全路径、随缘确定性、现实人物三例、铸魂确认、候选审核与重复审核 409、跨域 fail-closed
|
2026-09-10 18:11:15 +08:00 |
|
|
chenxin
|
603a683c14
|
✨ feat: WP-03 三界归真作用域与消息版本谱系（ADR-020 落地）
- 迁移 5：conversation.realm（默认真界，检查约束）；message.realm 快照、canonized_at、parent_message_id 自引用与 variant_kind（origin/revision/candidate）
- 界域端点：GET conversation（realm/当前分支）与 POST realm（入境/出境显式切换，留审计——ADR-020 切换必须可见）
- 归真端点 POST /v1/messages/{id}/canonizations：scope 必须与消息界域一致（不一致 422）；幂等（重复归真 200 原状态）；境界归真产出 world.canonized Outbox 事件（世界知识候选入口，WP-04 消费）；幻境归真仅标记试演记录
- 编辑版本 POST /v1/messages/{id}/revisions：新消息 variant=revision 引用原消息（markdown 修订同样经灵台引擎规范化），原消息永不修改
- 测试 44 项全绿（+8）：界域快照、归真正/反/幂等、幻境试演、revision 原消息不变、跨域 401/403/404 fail-closed
|
2026-09-10 13:28:25 +08:00 |
|
|
chenxin
|
ba502297ac
|
✨ feat: 阶段 0 收尾——认证边界、请求上下文与垂直切片（WP-01 第 5-7 步）
- 认证：Web Session（__Host- Cookie、HttpOnly/Secure/SameSite=Lax、CSPRNG opaque token 数据库只存哈希）、CSRF 双提交、Origin 校验、dev 登录/登出端点；未认证 401、缺 CSRF 403
- 中间件：Hunjing-Request-ID 回显/生成（request_ UUIDv4）+ W3C traceparent 校验透传；JSON 结构化日志与敏感头脱敏
- 迁移 2：conversation/branch/message/run/idempotency_record 五表（含检查约束与复合索引）；Session 补 token/csrf 哈希列
- 垂直切片：POST /v1/conversations/{id}/messages 按 Idempotency-Key 幂等（同键同体 200 重放、异体 409），同事务原子写 Message+Run+Audit+Outbox+幂等记录；ContentBlock text/markdown 判别联合（未知类型 422）
- SSE：GET /v1/runs/{id}/events 返回快照与终止状态事件 envelope
- 测试 26 项全绿：IDOR 跨域 404 fail-closed、失败注入回滚无孤儿（Run 崩溃后 message/run/audit/outbox/幂等全零）、SSE 事件序、auth 边界；ruff/mypy strict 干净
- 修复真实问题：asyncpg 跨事件循环（anyio/pytest-asyncio 双 loop、模块级 engine 改为 app 实例持有）、httpx 拒存 http 下 Secure Cookie
|
2026-09-10 10:13:45 +08:00 |
|
|
chenxin
|
3fbcd0437c
|
🎉 feat: 建立阶段 0 工程骨架与 OpenAPI 契约机器化（WP-01 起步）
- Makefile：统一命令入口（backend/engine/docker/openapi/generate，含 make help）
- backend：FastAPI + uv 最小工程，统一错误体（契约第 7 节）、ADR-015 平台 ID 生成与校验（uuid-utils）；pytest 7 项、ruff、mypy strict、启动冒烟全部通过
- engine：灵台引擎 C++23/CMake 骨架，按 Lingtai C ABI 契约实现 lingtai.h（13 个 HjStatus、版本协商、句柄表防二次释放、线程局部错误上下文）；doctest 5 用例通过，nm 验证仅导出 hj_* 符号
- openapi：OpenAPI 3.1 单一真源初始版（错误体/分页/Money/首批平台 ID/ContentBlock 全 21 类型/流事件 envelope），Redocly lint 0 错误、bundle 通过
- frontend：Next.js 最小骨架，openapi-typescript 生成 API 类型并通过 strict tsc
- docker：hunjing-postgres（pgvector:17）compose；.env.example 与 config 示例
- ADR-025：登记测试与契约工具链（doctest/libFuzzer/Redocly/openapi-typescript/uuid-utils）
- desktop：Tauri v2 占位与初始化说明（WP-10 启动）
|
2026-09-09 21:45:04 +08:00 |
|