chenxin
2483a25f63
- 镜匣 desktop/（Tauri v2 最小壳）：WebView 承载琉璃镜（frontend/out 或 devUrl）；能力桥最小命令（通知）；乾坤通道 HMAC 短期凭证构造（与 sandbox/src/auth.rs 验签同算法，密钥仅经 SANDBOX_AUTH_SECRET 环境注入——二进制零平台密钥，静态审计钉死）；hard_stop/resume 本地硬急停原子断路（全部通道命令过 ensure_not_halted，本地最高优先级不经云端）；tantivy 依赖与 capabilities/ 目录预留；updater 插件位预留；cargo check 通过 - 器谱域 domains/tianzai（迁移 010）：devices/device_grants——一次配对（密钥指纹登记）、逐项授契（可授面显式枚举，未知能力键拒）、撤回立即生效、设备撤销连带全部授契失效且不可再授；/devices 器谱 API 组 - 发布收口：release-evidence.md 落位重写期 RW-* 证据包（M0–M9 十里程碑验收自动化套件与结果物）；能力矩阵 M9 行收官；rewrite-plan.md 按计划删除（M0–M9 全部完成，能力矩阵与证据台账接棒），全库引用清理 - 验收（test_m9_jingxia 四用例）：器谱未授契 403 留痕/撤回即效/设备撤销连带；镜匣零平台密钥（rg 审计源码与配置为空）；硬急停语义钉死（通道命令全检查+resume 唯一恢复+HMAC 无密钥不出凭证） - 五套件终检全绿：后端 349、前端 203、BFF 4、神识 5 包、镜匣 cargo check（2 个预存环境失败历次 HEAD 复验与本周期无关）；Compose nginx profile 配置校验通过
63 lines
5.6 KiB
Markdown
63 lines
5.6 KiB
Markdown
# 发布证据台账
|
||
|
||
> 状态：模板 + rewrite/1.0 重写期证据（第 3 节）
|
||
> 作用：为每个发布门提供可复核、可过期、可阻断的证据记录。本文不预填“已通过”。
|
||
|
||
## 1. 证据记录格式
|
||
|
||
每条证据必须包含：
|
||
|
||
| 字段 | 要求 |
|
||
| --- | --- |
|
||
| `gate_id` | 稳定门编号，例如 `IDENTITY-SEAT-001` |
|
||
| 发布门 | 指向 `release-gates.md` 的具体条目 |
|
||
| 适用范围 | 产品版本、提交/镜像、部署档位、区域和能力 |
|
||
| 责任角色 | 执行、复核与批准角色；不在模板预填个人 |
|
||
| 方法 | 自动测试、契约测试、端到端、故障注入、恢复演练、扫描或人工验收 |
|
||
| 结果物 | 日志、报告、trace、测试产物、截图或监控查询的不可变链接 |
|
||
| 通过标准 | 可判定阈值，不使用“基本正常”“专项完成”等模糊描述 |
|
||
| 实际结果 | 通过、失败或受限通过；受限通过不得用于核心禁域 |
|
||
| 时间与有效期 | 执行时间、证据过期时间和提前复审触发条件 |
|
||
| 例外与阻断 | 例外批准、限制、回退和未通过时阻断范围 |
|
||
|
||
## 2. 首批硬门证据包
|
||
|
||
| `gate_id` | 场景 | 最小通过标准 | 必须保留的结果物 |
|
||
| --- | --- | --- | --- |
|
||
| `IDENTITY-SEAT-001` | 在线命台迁移 | 网络分区、重复提交、目标崩溃和源端恢复均不能产生双命台；旧 epoch 写入全部被拒绝 | 状态机测试、故障注入日志、协调记录与审计水位 |
|
||
| `IDENTITY-RESTORE-001` | 备份恢复 | 达到 RPO/RTO；谱系连续、唯一命台、删除墓碑和撤销授权恢复后生效 | 隔离恢复报告、实际 RPO/RTO、核心旅程记录 |
|
||
| `DATA-DELETE-001` | 永久删除 | 主存储、索引、上下文、主动行为和派生使用均停止；墓碑不含被删原文 | 删除前后查询、索引验证、恢复重放和审计记录 |
|
||
| `ACTION-SAFETY-001` | 高风险外部动作 | 拒绝、超时、取消、重复投递均不执行；获准动作最多执行一次且行动账完整 | 端到端测试、幂等记录、外部系统对账和 trace |
|
||
| `REGION-RESIDENCY-001` | 固定区域驻留 | 数据库、对象、索引、日志、备份、KMS 和 Provider 请求符合地区矩阵，路由故障不造成静默跨区 | 数据流审计、网络策略、存储位置与故障切换测试 |
|
||
| `ADULT-CONSENT-001` | 成人/现实人物/声音授权 | 资格、用途、期限、传播范围、撤回和失败处理均可验证；无资格或撤回后能力不可用 | 流程测试、授权记录、撤回传播延迟与人工复核记录 |
|
||
| `ACCESSIBILITY-001` | 核心无障碍 | 键盘、屏幕阅读器、焦点、非颜色状态和流式控制覆盖核心旅程并通过既定标准 | 自动扫描、人工测试脚本、缺陷清单与复测结果 |
|
||
| `DOC-CONTRACT-001` | 文档与契约 | Markdown 链接、Mermaid 渲染、稳定标识引用和机器契约兼容性检查通过 | CI 运行链接与产物 |
|
||
|
||
## 3. 判定规则
|
||
|
||
- 核心禁域、身份唯一性、区域驻留、删除、RPO/RTO 和法律运营门不接受“受限通过”。
|
||
- 失败证据不可删除或覆盖；修复后新增复测记录并关联原失败。
|
||
- 依赖版本、部署拓扑、地区规则或契约版本改变时，相关证据立即转为待复核。
|
||
- 发布批准必须列出所有适用 `gate_id` 及其当前证据；缺失即阻断，不以会议口头结论替代。
|
||
|
||
|
||
## 3. rewrite/1.0 重写期证据（2026-08-28 收口，本地开发档）
|
||
|
||
> 以下为重写执行计划各里程碑的自动化验收证据，部署档位=本地开发（SQLite/回声桩/进程内神识）。
|
||
> 生产档（PG/真实 Provider/Compose 全栈）联调、SLO/灾备/安全门与全球区域门未在本周期范围——
|
||
> 上线前须按 §2 硬门证据包逐项补齐，本表不替代发布门。
|
||
|
||
| `gate_id` | 场景 | 结果（自动化套件） | 结果物 |
|
||
| --- | --- | --- | --- |
|
||
| `RW-KERNEL-001` | Kernel 不变量（事件序列/命台串行/否决/流式） | 通过（test_kernel.py 5 用例） | pytest 输出 |
|
||
| `RW-JINGSHENG-001` | 启镜原子闸门/并发命台/魂籍签名 | 通过（test_jingsheng.py 7 用例） | pytest 输出 |
|
||
| `RW-MIRROR-001` | 镜树 PRD 十验收场景 | 通过（test_mirror_tree.py + M2 覆盖） | pytest 输出 |
|
||
| `RW-XIRANG-001` | 未归真自动入忆率=0 / 重忆确认 / 正影 / 删除墓碑 | 通过（test_xirang.py 8 用例） | pytest 输出 |
|
||
| `RW-SHENSHI-001` | 故障注入四场景（首字超时切道/凭证冷却/全败 JSON/用量聚合）+ BYOK/配额三段式/归属计量 | 通过（Go 34 用例 + 跨进程 E2E 四场景） | go test 输出 |
|
||
| `RW-BAIGONG-001` | 未授契拒留痕 / 请命超时不执行 / 禁域不可关闭 / 结果为观察 | 通过（test_baigong_siming.py 4 用例） | pytest 输出 |
|
||
| `RW-YUANQI-001` | 多维无单一好感度 / 撤回立即生效 / 铸魂确认流 / 分灵谱系 / 境界不进真界 | 通过（test_m6_domains.py 6 用例） | pytest 输出 |
|
||
| `RW-XINGYI-001` | 未定相不成为正式形仪 / 克隆授权可撤回 / 关多模态文字回归 | 通过（test_m7_xingyi.py 3 用例） | pytest 输出 |
|
||
| `RW-TIANGONG-001` | 后台无身份写入 / 并行不占席位 / 叩心四约束 / 不回应不降关系 | 通过（test_m8_tiangong.py 5 用例） | pytest 输出 |
|
||
| `RW-JINGXIA-001` | 器谱逐项授契与撤回 / 镜匣零平台密钥 / 硬急停 | 通过（test_m9_jingxia.py 4 用例 + cargo check） | pytest/cargo 输出 |
|
||
| `RW-REGRESSION-000` | 全量回归（后端/前端/BFF/神识/镜匣） | 通过（349+203+4+5 包+cargo；2 个预存环境失败与本周期无关，已 HEAD 复验） | 各套件输出 |
|