[P2] Registry/规则源/配置与第15章逐项验收矩阵

[LIghtJUNction]

当前推进索引 · 2026-09-30

已按 expected head 串行合并 #186、#187、#188。main c8ed261，实际 tree 89f8e4119e625cb421b75be468392b2d7b187930 与最终 PR 验收树一致；#187 的实际 merge tree 亦与其验收树一致。#187 修复真实备份演练发现的私有 Git packed-ref 空目录丢失问题，并补全全表/sequence、并发、SIGKILL 和恢复测量；#188 补真实 COMMIT 故障及 R1–R5 上下文负例。

当前验收归属

范围	实际结果	可复查入口
#188 最终 head7aacc278 / 测试merge b4d629b	最终适用 PR 工作流 success；实际合并树一致	精确证据
完整核心与 conformance	2569 core + 8 conformance；10份 ZIP 摘要核验，8个 shard manifest/JUnit 精确 node-ID 完整互斥并集，零 failure/error/skipped	36644965337
严格质量	Python3.15.0rc2 / Ruff0.16.9 / uv0.12.20；零诊断、stderr空、588文件format、warnings-as-error compile	36644965239
候选包隔离部署	同 wheel 锁定 server/client-only 安装；server12项、真实 OpenSSH/PAM/StrictModes7项、official selftest42项；全表/sequence、并发、SIGKILL、空PG恢复和持久quarantine实测	36644965142与候选产物
独立 main push	5个适用工作流全部通过；Rewrite8个shard+contracts实际success，8份ZIP摘要及精确JUnit全集核验2569+8；质量/部署产物核验，四个发布文件与#188逐字节一致	独立主线精确证据

主线候选交付包已独立核对摘要；步骤见 docs/DEPLOYMENT.md。测量是4CPU有界临时CI负载，不代表目标主机容量，promotion=false，不等同上线。精确值归对应 source/run，不能混用 PR 与主线测量。

新增 #189 OAuth / #190 TUI 邮箱已纳入审查；#192 在独立分支补 #189 源钥权限收缩与 userinfo 零写入负例，未覆盖原分支。#190/#191 将按精确 head 集成并验最终组合；各自 CI 不能替代组合 CI。

#72 继续逐断言核对，新增六种公开搜索/真实CLI/不可变历史内容状态及真实CLI重启重放，独立分支 work/bounty-public-acceptance-20260930；新回归待云端实际通过。代码中的 docs/BOUNTY_ACCEPTANCE.md 是具体断言映射，不能以该文件存在代替测试通过。

此前 #185/2531、#186/2541 与更早证据分别保留在各自 PR；不累计成当前新增测试。成功结果写在 issue/PR，避免为数字改已验证源码树。当前差距与现场闸门见 PROGRESS.md、docs/RELEASE_ACCEPTANCE.md；564条设计分母仍为导航，不是完整断言覆盖率。

尚未完成的总体范围

• [P0] 秘密 URL 与真实反向代理日志全链路验收 #64：已补无凭据公网GET /healthz实际200，但返回旧式empty页面，不是新msgd readiness；全部实际监听器/CDN/代理/APM/日志链仍缺授权证据。
• [P0] 真实旧库快照验证 LedgerAccount/escrow 迁移与回滚 #65/[P1] 托管历史密文恢复与在线/备份旧钥退役 #68/[P1] 一致备份恢复后重放撤销与退役事实 #69/[P1] 存量 CA/Root 授权治理与真实本机控制台验收 #70/[P1] 生产验收、容量与恢复证据（不授权部署） #84：合法受保护旧快照与冻结/回滚、全保留密文实际解密及独立备份退役、rollback集之外的当前可信pin、真实VT/串口Root控制台、有限CA存量治理、目标拓扑容量/持久性/切流与停止条件仍独立blocked。代码已有完整恢复proof/current-policy reconcile与受控promotion，不能继续将旧时“仅deny-only、永不promotion”描述当当前源码结论；也不能拿Test Root代替现场。
• [P1] Bounty 预托管与官方 PoP 奖励闭环 #72：正式bank fund命令及official market_e2e源码已在main，installed selftest已通过；新默认显式签名验收与旧版本自动结算分别保留，不能把settled描述为claimed/accepted。原剩余条款须对具体断言逐项核对，不以旧#103状态重做功能。
• [P2] Resource/Organization/ShareGrant 授权来源与撤权矩阵 #76/[P2] 个人空间、Legacy 遗言与荣誉语义完整验收 #77/[P2] 读取、搜索、Sync 与纯路径协议补齐 #78/[P2] 内容/文件编辑与 Revision 完整契约 #79/[P2] Transfer、Git/LFS、网页托管与一致存储验收 #80/[P2] Event/通知/Webhook 与 Agent 协作原语补齐 #81/[P2] CLI/TUI、工具隔离、SSH/RSS 与真实客户端矩阵 #82/[P2] Registry/规则源/配置与第15章逐项验收矩阵 #83：授权、个人内容/荣誉、读取/搜索、编辑/Revision、Git/Transfer/hosting、通知/协作、客户端及01–14章的完整条款矩阵继续按原范围验收。已经实现并回归的切片保留；无明确条款证据不勾完成，现场缺口不代替代码验收。
• [P2] 跨模块代码质量与测试债：拆分长路径、统一不变量 #85：严格质量收口及已发现的兼容导出、receipt effect顺序、SQLite连接生命周期缺陷已修；架构/热点/重复定义的总体债务不因Ruff全绿自动关闭。[P2][架构] CLI 客户端依赖服务端执行器、Git 存储和密钥库，缺少独立客户端依赖边界 #158/[P2][架构] market 与业务插件双向依赖，跨版本共享能力仍由插件私有函数承载 #159/#163此前已按其范围完成，不重新打开。

历史证据归对应PR #115/#117/#118/#167/#173/#179/#176与文档，不累计为当前新增测试或生产验收。当前无生产写入、Root/PIN/私钥/资金、真实外发、备份删除或恢复放行。

三路分工，合并唯一串行

A：#64/#65/#68/#69/#70/#84，身份、托管、Root、备份、撤销重放与现场证据。B：#71/#72/#80/#81，市场、Transfer/Git/LFS/hosting、worker和协作。C：#76/#77/#78/#79/#82/#83，授权、读取编辑、客户端、Registry与串行集成。#85按各路领域收敛，不另建第四套全仓实现。

每次先声明实际base/head、条目和文件边界，独立分支推进；禁止force-push或覆盖其他工作流。共享application/core models/storage schema/bootstrap/config/daemon/CLI、字典短码、CI/scripts和总状态由C串行处理，A/B提供最小接口/DDL/接线补丁。authorization由C主责、A联合验恢复隔离；worker/lease由B主责，必须保留attempt/state/deadline/current-auth及A的持久恢复闸。

保留单邮箱校验、唯一SMTP envelope和EffectJob事实，不复活订单内独立邮件状态；保留唯一executor/packet/schema/QuerySession/RelationalSession及受保护ledger，不引入第二套实现。模型收敛不得改变旧签名、已发表schema/短码/Operation含义。恢复后离线核原始事实，对外读取和worker保持严格隔离；保留真实OS门槛和原恢复断言。

本issue自身验收清单

• 第01–14章每项字段/默认/允许禁止/状态/路径/表示/查询逐条映射实现、可跑样例或明确empty/disabled/deny、正常/拒绝/并发/恢复测试、doctor/selftest和CI。
• Registry/PluginManifest依赖/冲突/迁移/停用、短码不改义、旧签名CA不自动扩权的完整矩阵。
• 规则stable rule_id/source_paths/requires_rules、删除/退休/旧布局迁移；全部配置默认/边界/secret恢复/doctor。目录迁移须有效规范与证据，不能把提案标完成。
• 全部状态文档收敛为当前差距索引与历史证据链接；本issue已精简并刷新，但全仓文档未全部验收，已归档条款继续有效。

合并前刷新base/head、完整diff/review/冲突；在实际最终组合运行完整八分片、精确node-ID全集互斥并集、conformance/实际tokenizer、wheel/sdist及适用专项。只用expected head SHA串行合并，再读实际main tree与新push状态。不得用skip/xfail、删除断言、延长超时或旧分支成功换绿灯。项目运行均放云端CI，本地只处理源文本/Git差异/下载证据。

无生产Root/秘密/资金、部署、真实外发、备份销毁或恢复放行操作。真实现场缺口与代码可验证缺口分别记录，不用CI替代前者，也不借现场缺口跳过后者。未满足剩余条款不关闭本issue。

权威设计：https://docs.google.com/document/d/1EM5Qr5qdg6tAFi2wvY0EBm6zxMj6DTBMc_dybU5qkz0/edit
完成归档：https://docs.google.com/document/d/1FtTdF5uhBPAsi-so-jOfpsiVI19RWKgx6bzIEFvpR2E/edit

[LIghtJUNction]

本轮已合并：

1. Integrate reviewed #81–85 fixes with complete CI evidence #106 纳入 fix(registry): prevent schema aliases from changing frozen contracts #95 的 Schema 所有权快照和 ci: fix nested fixture collection and require complete sharded evidence #104 的完整四分片 CI/测试收集修复，CI 36349643025 通过。
2. fix(registry): enforce offline structural schema references (#83, #85) #108 修复 Registry 对外部引用的漏拦/误拦：按实际 Schema 节点检查 $ref/$dynamicRef/$recursiveRef，保留合法本地指针/锚点和普通实例数据；显式禁用引用解析器的隐式文件/网络读取；无法解析时返回不含 URI/路径的稳定错误。新增31个回归，完整 CI 36351787828 通过，合并提交 4a9378d。冻结快照、已发布操作版本/短码、授权上限均不变。
3. ci: require exact test identities in shard evidence (#83, #85) #110 进一步把 CI 验收从“数量相等”改为逐项比较真实执行的 pytest node ID；同数量替换、重复、缺失身份都拒绝。22个本地测试通过，包含真实 pytest 子进程/JUnit。该 PR 已同步 fix(registry): enforce offline structural schema references (#83, #85) #108/fix(effects): fence expired notification retries without a lease sweep (#81, #85) #109 后的 main，完整组合 CI 尚在验证，不能提前算作通过。

这些不是全章验收：插件迁移/停用生命周期、需求到证据的全量映射、配置/doctor/selftest完整覆盖仍待完成，保留原检查项且不关闭 issue。没有生产部署。

[LIghtJUNction]

更新：#110 已合并，提交 3cdcae4。组合 CI 36352580956 最终 success：1,098 个测试、8 项 conformance 和 wheel/sdist 全部通过，零失败/错误/跳过。已下载四个分片报告，核对提供方 SHA-256，并独立执行逐测试 ID 的完整性检查；合并后的 main tree 与通过测试的 tree 完全一致（d271014d45a864b3a3c679437b39d7426c8bb903）。

因此本轮 Registry 引用/所有权和测试证据 gate 切片已进 main；原插件生命周期、全量功能映射及配置/doctor/selftest 验收项仍保留未完成。未部署。

[LIghtJUNction]

本轮用户批准的架构收敛已同步权威设计和 #85，并提交首个可独立审查切片 #114。基线 main acc542ab7cbb6983c1e44d294e116d2b0eb6ed68，head 2fc4916b6cfc36889d9c5cd0b5972b3d58166720；完整目标CI 36392802044 正在执行，不以本地58单元通过替代最终门槛。

只改6个源码文件（market 的 delivery_targets/delivery_notifications/targets/orders 与 workers 的 effects/leases）、1个新测试文件、3个分片/架构文档；未改共享CI、schema、迁移或他人分支。核心是共享收件人/链接检查，移除worker对订单邮件投影的四处回写，读取改取EffectJob事实；保留原attempt/state/deadline栅栏、当前授权和已发表订单语义。

与 #103 有 targets/orders/worker 窄重叠，后续串行整合必须保留其金融不变量与本补丁的只读投影，不能拿任一整文件覆盖另一分支。#112安全修复未触碰。ServerOffer/Listing、Purchase/Order、账户模型迁移、新默认显式验收版本仍为 #85 未完成项，不在本次通知重构中冒称落地。无部署、生产资金或真实外发。

[LIghtJUNction]

本轮继续实际串行集成。#114 已核查 10 文件 diff、四份 SHA-256/JUnit manifest、1324 core 精确 node-ID 完整性及 8 conformance，CI 36392802044 success；已用固定 head 合并为 67401759a853c69fc5cb234982e1f7020b650542。不关闭 #85/#81 的总体验收。

当前在独立工作分支整合 #112，再整合 #103；不 force-push 既有工作分支。#112 与 #114 的冲突位于 effects.py import 及测试包说明，将保留持久恢复隔离与 worker attempt/deadline 栅栏、EffectJob 只写自身状态。已建立一次性本地 Python3.13/PostgreSQL17/Valkey8/age 测试环境；目标 Python3.15/PG16/Valkey9 CI 会在新组合 head 再跑，本地结果不冒充目标版本。

已再次读取所有 17 个开放 issue。#64/#65/#84 的真实日志/快照/现场资料及 #70 的真实本机验收，缺证据继续 blocked；源码修复/测试不替代生产证据。无生产部署、真实资金或外发。

[LIghtJUNction]

任务 A 接手（本轮只实施 A 范围，不合并、不部署）。已读最新权威设计/有效归档、#112 讨论及本 issue 最新协作记录；已直接刷新 main ref 为 67401759a853c69fc5cb234982e1f7020b650542，#112 原 head 为 957e1ffdec991195baff92823376eeef3acfb9d4。

注意到 C 已在独立分支整合 #112/#103：本组不推送、force-push 或替换 C/原 PR 分支。工作分支拟用 fix/task-a-recovery-20260928，base 为上述 main，读取 #112 后在独立 worktree 语义整合其安全模块供回归，后续最小补丁交 C 串行采用，避免重复合并。

文件边界：security/ 内恢复/托管/Root 独立模块、storage/ 内备份/迁移独立模块、客户端密钥恢复独立模块及独立命名 tests/test_task_a_*、专属交接证据文档。共享 models/postgres DDL/executor/application/bootstrap/config/daemon/cli/Registry/worker/authorization 仅提供窄接口补丁，不整文件覆盖；保留 #100/#105/#109/#113/#114。

本容器无外网 DNS，先通过连接器读取和下载带 SHA-256 的源码/运行资产；若需一次性资产工作流，只放本组隔离分支、不修改现有 CI，最终功能 diff 移除临时资产接线。#64/#65/#84 缺生产配置/日志/受保护快照及 #70 真实控制台证据继续 blocked；不以测试环境冒充现场。接下来先补失败回归并提交修复，部分完成仅 Refs。

[LIghtJUNction]

任务 B 接手：#71/#72/#80/#81，#85 仅本组模块；#73–75 保持完成归档，仅回归。已读最新权威设计/归档、#83 全文及最新评论；注意到 C 正串行整合 #112/#103，A 已声明恢复边界。本组不合并、不写入或 force-push 原 PR/C/A 分支。

实时基线 main 67401759a853c69fc5cb234982e1f7020b650542（已含 #114），待修 #103 head 9dc0d3db8a78a9bd1b99ca2bfb5ef97e1934b730。拟独立分支 fix/task-b-market-20260928，先接续 #103 的失败回归并保留主线 market/* / #114 EffectJob 只读投影；不复活 order_engine 或覆盖公共整文件。共享 DDL/Registry/executor/bootstrap/daemon 等只提交最小接线补丁给 C。

已下载并逐一校验 CI 36384344964 的四份产物 SHA-256。完整 JUnit：310/340/340/300＝1290 测试，17 failure、0 error、0 skip。失败分类：12 项 _sale(policy=...)，2 项 service/sealed_manual 下单契约，3 项官方 selftest。继续读完整 job 日志/review、复现，不删断言/skip/改超时。

当前容器 git fetch 因外网 DNS 不可达失败，已用授权连接器获取带运行 SHA 的源码构建产物，后续按实际证据报告环境。#114/新设计的显式验收要求与旧 @1/@2/@3 自动政策分版本保留；本轮不改旧契约含义，不做生产发行/注资/部署/真实外发。

[LIghtJUNction]

任务 C 接手声明：已创建独立分支 codex/c-read-integrity-20260928，base/head 均为最新读回 main 67401759a853c69fc5cb234982e1f7020b650542。已读权威设计、有效归档、#76/#77/#78/#79/#82/#83/#85 正文及现有评论、仓库入口技能；根目录无 AGENTS.md，沿用 docs/system/AGENTS.md 与技能索引。

交接的独立 push CI 36388965574 已实际 completed/success，归属 acc542a，不当作新 main 或新修改的证据。最新 #114 已由其他执行者合入，不重复合并。注意到本线程另有执行者正在串行整合 #112/#103；本轮先推进独立 C 读取修复，避免对其分支写入或并发合并，后续逐次刷新包含关系/head。

本批文件边界：优先 core/read_query.py、plugins/discovery.py、transports/read_tree_path.py 及独立命名的读取回归文件；只在必要时补最小 schemas/application 接线。先核查默认 compact 投影摘要与嵌套分页的真实缺陷，再补失败回归和最小实现。暂不改 identity/recovery、market、storage 物理层、workers/effects.py/leases.py；不整文件覆盖、不 force-push。完整目标 CI/现场证据未齐前，所有总体验收保持 open。

[LIghtJUNction]

C 组实现进度：default compact 缓存摘要缺陷已复现并修复；本地精确 base 67401759...，预期产品 tree d6e03d603b1135d704c97b8434edb13c7454602e。Python 3.15.0rc2 / PostgreSQL 17.11 / Valkey 8.1.1：18/18 通过，0失败/跳过。六种真实入口覆盖 current/history/meta/history-list，撤权后沿用原客户端和摘要必须精确 permission_denied；完整 DB 行、内容文件 SHA 以及内容写/worker通知/SMTP/Webhook/sandbox 调用均检查无读取副作用。目标 PG16/Valkey9 完整 CI 尚未完成，不预报成功。

接下来推进 #82 Following 的小切片：复用现有 watches、当前 Authorizer、metadata 与 CursorCodec/ReadBudget；拟新增 plugins/following.py，仅在 plugins/communication.py 注册一项只读操作（不改 send/watch/mailbox/workers）及 tui.py 入口、独立测试。不会改 B 的 worker effects/leases 或接管其领域实现。旧 ReadQuery@1/@2/@3、签名/CA/短码不改义。#77/#79 和完整 SSH/bwrap 现场矩阵仍未完成，不关闭总项。

[LIghtJUNction]

B 进展（尚不请求合并）：已在独立 worktree 把 main 6740175 与 #103 head 9dc0d3d 合并，保留 main 的 market/*、#114 worker/EffectJob 只读投影和原完整 CI/gate。移除 #103 未注册的第二套 order_engine，未覆盖 C/A 分支。

原 head 本机复现 15 个优先失败节点；四分片旧 CI 的 17 个失败/完整日志和 contracts gate 已核对。修复后 tests/test_market_73.py、test_market_contracts.py、test_market_71.py、test_market_72.py、test_market_redemption.py 共43项通过（Python3.13.5/PG17.11/Valkey8.1.1，仅本机证据）。真正独立数据库/Test Root 的旧自动20→10→5与新增 orders.buy@4 签名验收20→10→5场景已分别实跑通过；后续改动仍需最终组合复验。

另有先失败回归：仅 t_store scope、带 orders.fund 操作名的子密钥竟可支出账户资金。正将 account_requirements 接到现有订单/交付私有入口，在执行和缓存重放之前重验账户范围；不改旧输入/短码意义。

源码本地已有保留双父提交。容器不能直连 git push，接下来只用 B 自有临时对象传输分支发布经过 SHA/tree 校验的 Git pack，普通 fast-forward 更新 fix/task-b-market-20260928；传输 workflow/pack 不进入功能分支、不改项目 CI、不动 C 的 helper。随后给独立 PR 与最终头目标CI，由 C 串行决定合并。

#80/#81完整矩阵、#85 ServerOffer/Purchase兼容模型迁移以及A的真实物理控制台/生产前置门槛仍未完成，不因市场本机通过关闭。无生产动作/真实外发。

[LIghtJUNction]

串行集成继续：#115 已用 expected head 3e2763106e7755a60f6836476a16279e37ca5c78 squash 合并为 main eb67b5a3976fd520668a2b302b74df62cf207667，读回 tree d6e03d603b1135d704c97b8434edb13c7454602e 与已测试 tree 完全相同。CI36398381209的四份产物已核SHA-256和JUnit node IDs，1342 core+8 conformance零失败/跳过；新main push CI另查，不提前记成功。

不重复A/B正在处理的#112/#103，也不写入其分支。接下来本会话单独修复已发现的“单个邮箱字符串被SMTP解析成地址列表”边界：拟只改共享单邮箱校验、market/delivery_targets.py、workers/mail.py及独立测试（必要时identity邮箱登记最小接线）。保留#114 EffectJob事实、A恢复闸及B账户scope检查；不会动effects.py/leases.py/订单状态机/DDL。B整合时保留本窄补丁，避免整文件覆盖。默认不开真实SMTP，不部署、不操作生产资金。