cma-management

528 Commits 6 Branches 0 Tags

3 Commits

Include renames

Author	SHA1	Message	Date
wecom-fullstack	b8493f8d04	feat(db): 新表授权面收敛机制落地（白名单驱动 · 增量锚定 · fail-closed · 只增不减）依据：A 侧（wecom-yanxue）裁定编号 2「准予但需调整」+ R1（裁定件 yanxue-20260928-newtable-grant-surface-impl-plan-ruling.md，md5 272d1a8b4db0db0e9f35f5e62695ae50）三条开口 (a) 空锚=合法零集 / (b) --anchor-file 载体等价 / (c) drill WARN 不阻断（两条独立分支）改动面（3 件，全部开发工作树）： - 新增 backend/scripts/grant_surface_sync.py：项目侧原型逐字复制 + Δ1/Δ2/Δ3/Δ4 + R1 Δ1 锚语义（未给=缺锚 rc=2 / 空集=合法零集）、Δ2 连接身份与 db_migrate 同口径并拒绝 cma_api、 Δ3 --anchor-file（读 db-migrate-journal 指针件）、Δ4 anchor_source 入 JSON R1-a 同源自证（journal 在册 + status=applied + finished_at 一致 + 目录内最新 -applied） R1-b 未收敛锚累积由 db_migrate.write_anchor_pointer 实现、R1-c 收敛回写 converged_at - db_migrate.py 加性 +2 处：新增 write_anchor_pointer()（原子写 journal/last-anchor.json）； cmd_apply 成功/失败两路径各调一次；零变更面未动（列级差异只告警 / create_all 幂等 / --check 不写指针 / --rollback 与 resolve_journal 语义 / JSON 键集） - deploy.sh 加性 1 步 [4b-2/5] 授权面收敛（插在「✓ 结构迁移完成」与「# 5. 重启后端服务」之间）： apply 跑 --apply --anchor-file ... --drift-policy warn，rc!=0 ⇒ 打印缺裁定清单 + exit 1 （后端不重启、旧码继续服务）；drill 跑 --check，读数原样打印、WARN 不阻断证据（全部零生产面）： - py_compile x3 通过；bash -n deploy.sh 通过（PYTHONPYCACHEPREFIX 隔离，仓内零新增 pyc） - 纯函数用例 11/11（零连库）：语句均为 GRANT / 无 REVOKE / 语句表 ⊆ write_tables / 域外权限 SystemExit - 沙箱 S1–S9 回归 9/9 一致（SUMMARY.txt 与项目侧基线逐字节相同 md5 1a697e002a2cba8ae9b5ad9cc71b022d） - 锚/R1 新例 18/18：缺锚/缺件/status=failed/R1-a 四负例均 rc=2 零写入；空锚 rc=0 executed=[] - R1 验收链：发布1 建表 X(∉白名单) ⇒ rc=3 零写入 + 片段 exit 1 ⇒ 不修白名单重跑 ⇒ 仍 rc=3 ⇒ 补白名单 ⇒ rc=0 + X 获授权 + converged_at 落定 ⇒ 三次重跑 executed=[]（幂等） - 既有 backend/tests：1509 passed / 0 failed，改前（HEAD 导出树）与改后失败集零差异边界：本地 commit，零 push / 零部署 / 零重启 / 零连生产库 / 零 DDL-DML-GRANT-REVOKE；上线（push + 部署 ⇒ 授权面生效）另单另铸 approval ID 且必附 R2 预演 diff（本单不为任何动作铸 ID）	2026-09-28 17:01:39 +08:00
Hermes CI Fix	f1fa781e08	feat(cma): 司库阶段1 DDL 并入特权迁移步 + cma_api 授权 ci/woodpecker/push/main Pipeline was canceled Details - db_migrate.py: create_all 后调用 run_structural() → 复用 treasury_migrate（幂等、特权连接） - treasury_migrate.py: 换特权连接（CMA_MIGRATE_DB_USER 或本机 root socket，禁 cma_api）；up() 增 grant_app_account()（cma_api 对 6 张 treasury 表 DML，双 host） - 效果：deploy 链由特权账号一次性完成建表+补列(cash_plans 4列/1索引)+种子(8规则/6限额)+授权 Ref: 0-P0-project-20260915-cma-treasury-stage1	2026-09-16 14:39:54 +08:00
Hermes CI Fix	443a779ece	fix(cma): DDL 与启动剥离 —— 关闭启动 create_all + 部署链特权迁移步 (cma-create-all-minpriv-rootfix-20260916) ci/woodpecker/push/main Pipeline failed Details 根治 2026-09-16 发布中断（新增模型触发启动 create_all，cma_api 无 CREATE → 崩溃循环）： - backend/app/database.py: 新增 CMA_AUTO_CREATE 开关（默认关），生产启动不再执行 DDL；运行库账号因此无需 CREATE（最小权限可保持） - backend/scripts/db_migrate.py: 特权迁移步（--check/--apply/--rollback/--status）；幂等（checkfirst）+ journal 留痕 + 可回滚（dump 失败/表有数据即拒绝，fail-closed）；显式拒绝用应用运行账号 cma_api 执行 - deploy.sh: 新增 [4b] 结构迁移（重启前执行；失败即中止部署，后端旧码继续服务） - backend/scripts/tests/db-migrate-sim-e2e.sh: 17 项 scratch 复现/验收（负控制复现 CREATE command denied） - docs/db-migration-runbook.md: 运行手册（含 cma_api CREATE 回收步骤）验收：scratch E2E 17/17；pytest 1113 passed/1 xfailed；生产 --check 缺失表 0 / 列级差异 0； --apply 幂等空跑 created_new=0（journal 留痕）	2026-09-16 06:53:28 +08:00

Author

SHA1

Message

Date

wecom-fullstack

b8493f8d04

feat(db): 新表授权面收敛机制落地（白名单驱动 · 增量锚定 · fail-closed · 只增不减）

依据：A 侧（wecom-yanxue）裁定 编号 2「准予但需调整」+ R1（裁定件
yanxue-20260928-newtable-grant-surface-impl-plan-ruling.md，md5 272d1a8b4db0db0e9f35f5e62695ae50）
三条开口 (a) 空锚=合法零集 / (b) --anchor-file 载体等价 / (c) drill WARN 不阻断（两条独立分支）

改动面（3 件，全部开发工作树）：
- 新增 backend/scripts/grant_surface_sync.py：项目侧原型逐字复制 + Δ1/Δ2/Δ3/Δ4 + R1
  Δ1 锚语义（未给=缺锚 rc=2 / 空集=合法零集）、Δ2 连接身份与 db_migrate 同口径并拒绝 cma_api、
  Δ3 --anchor-file（读 db-migrate-journal 指针件）、Δ4 anchor_source 入 JSON
  R1-a 同源自证（journal 在册 + status=applied + finished_at 一致 + 目录内最新 -applied）
  R1-b 未收敛锚累积由 db_migrate.write_anchor_pointer 实现、R1-c 收敛回写 converged_at
- db_migrate.py 加性 +2 处：新增 write_anchor_pointer()（原子写 journal/last-anchor.json）；
  cmd_apply 成功/失败两路径各调一次；零变更面未动（列级差异只告警 / create_all 幂等 /
  --check 不写指针 / --rollback 与 resolve_journal 语义 / JSON 键集）
- deploy.sh 加性 1 步 [4b-2/5] 授权面收敛（插在「✓ 结构迁移完成」与「# 5. 重启后端服务」之间）：
  apply 跑 --apply --anchor-file ... --drift-policy warn，rc!=0 ⇒ 打印缺裁定清单 + exit 1
  （后端不重启、旧码继续服务）；drill 跑 --check，读数原样打印、WARN 不阻断

证据（全部零生产面）：
- py_compile x3 通过；bash -n deploy.sh 通过（PYTHONPYCACHEPREFIX 隔离，仓内零新增 pyc）
- 纯函数用例 11/11（零连库）：语句均为 GRANT / 无 REVOKE / 语句表 ⊆ write_tables / 域外权限 SystemExit
- 沙箱 S1–S9 回归 9/9 一致（SUMMARY.txt 与项目侧基线逐字节相同 md5 1a697e002a2cba8ae9b5ad9cc71b022d）
- 锚/R1 新例 18/18：缺锚/缺件/status=failed/R1-a 四负例均 rc=2 零写入；空锚 rc=0 executed=[]
- R1 验收链：发布1 建表 X(∉白名单) ⇒ rc=3 零写入 + 片段 exit 1 ⇒ 不修白名单重跑 ⇒ 仍 rc=3 ⇒
  补白名单 ⇒ rc=0 + X 获授权 + converged_at 落定 ⇒ 三次重跑 executed=[]（幂等）
- 既有 backend/tests：1509 passed / 0 failed，改前（HEAD 导出树）与改后失败集零差异

边界：本地 commit，零 push / 零部署 / 零重启 / 零连生产库 / 零 DDL-DML-GRANT-REVOKE；
上线（push + 部署 ⇒ 授权面生效）另单另铸 approval ID 且必附 R2 预演 diff（本单不为任何动作铸 ID）

2026-09-28 17:01:39 +08:00

Hermes CI Fix

f1fa781e08

feat(cma): 司库阶段1 DDL 并入特权迁移步 + cma_api 授权

ci/woodpecker/push/main Pipeline was canceled

Details

- db_migrate.py: create_all 后调用 run_structural() → 复用 treasury_migrate（幂等、特权连接）
- treasury_migrate.py: 换特权连接（CMA_MIGRATE_DB_USER 或本机 root socket，禁 cma_api）；up() 增 grant_app_account()（cma_api 对 6 张 treasury 表 DML，双 host）
- 效果：deploy 链由特权账号一次性完成 建表+补列(cash_plans 4列/1索引)+种子(8规则/6限额)+授权

Ref: 0-P0-project-20260915-cma-treasury-stage1

2026-09-16 14:39:54 +08:00

Hermes CI Fix

443a779ece

fix(cma): DDL 与启动剥离 —— 关闭启动 create_all + 部署链特权迁移步 (cma-create-all-minpriv-rootfix-20260916)

ci/woodpecker/push/main Pipeline failed

Details

根治 2026-09-16 发布中断（新增模型触发启动 create_all，cma_api 无 CREATE → 崩溃循环）：

- backend/app/database.py: 新增 CMA_AUTO_CREATE 开关（**默认关**），生产启动不再执行 DDL；
  运行库账号因此无需 CREATE（最小权限可保持）
- backend/scripts/db_migrate.py: 特权迁移步（--check/--apply/--rollback/--status）；
  幂等（checkfirst）+ journal 留痕 + 可回滚（dump 失败/表有数据即拒绝，fail-closed）；
  显式拒绝用应用运行账号 cma_api 执行
- deploy.sh: 新增 [4b] 结构迁移（**重启前**执行；失败即中止部署，后端旧码继续服务）
- backend/scripts/tests/db-migrate-sim-e2e.sh: 17 项 scratch 复现/验收（负控制复现 CREATE command denied）
- docs/db-migration-runbook.md: 运行手册（含 cma_api CREATE 回收步骤）

验收：scratch E2E 17/17；pytest 1113 passed/1 xfailed；生产 --check 缺失表 0 / 列级差异 0；
--apply 幂等空跑 created_new=0（journal 留痕）

2026-09-16 06:53:28 +08:00