fix+feat(ui-mac,scripts): REQ-092 传输三票 —— 零证据下载拒绝、同名账本消歧、AC2 内存闸

[jinjunnn]

REQ-092 产物传输一条 lane 三张票(#402 七格矩阵实测 FAIL 的三条),串行三 commit:先修两个缺陷,最后建闸(闸量的是修完之后的形态)。

Fixes#1111
Fixes#1112
Fixes#1114
Refs jinjunnn/alpha-work#1

---

#1111 零完整性证据的下载读 body 前拒绝(P0)

裁决:票面三个方向里选「拒绝无 digest 且长度不可信的下载」。理由:

• undici 按 Content-Length 截流,少报时客户端从来看不见多出的字节 ⇒ 「实收 == 声明」在 HTTP 框定下恒真,不是证据 —— 「降级为不充分证据」与「拒绝」在该分支上是同一件事(没有别的证据可退)。
• 「要求平台补 digest」单独做不修桌面(桌面仍须对不补的平台 fail-closed),且属跨仓;alpha-platform#44 已合入流式哈希,正向路径的 descriptor 本就该带 sha256。portfolio 规矩:严格 fail-closed、不留 legacy shim。

实现:streamStage 在 CL 闸之后、读任何 body 字节之前,descriptor 无 size 无 sha256 且响应头无 ETag/Digest ⇒ {ok:false, error:"unverifiable"}。带任一证据的分支不动:size 单独在场仍可 unverified 成功(size-mismatch 与传输框定无关,C3.12 已 PASS);header digest 单独在场救回 size-less descriptor 且抓得住截断(C3.13 同理)。错误码是呈现槽,无控制流比较字面量(两轴 grep 验证零外部消费)。

修复前实测红:钉新行为的 2 条回归在 HEAD 代码上收到 {ok:true,…} 成功对象(即缺陷本体);钉保留行为的 2 条修复前后都绿。既有 9 条 bare-descriptor 用例补证据字段保持原意图;票面点名的假 HTTP 框定用例(「少报 CL 越界 abort」)删除重写 —— 那条分支在真 HTTP 上不存在。gate-files.tsv 该文件精确条数 32→35。

后果(有意):契约允许的 verification.status:"unverified" 且完全无证据的 descriptor 从此不可下载。平台侧要么给 size/sha256,要么 content endpoint 供 ETag/Digest(它按契约本就该供)。

#1112 预约名字时问账本归属(P1)

裁决:三个方向里选「register 前置检查」,折进 reserveArtifactSavedName(与折叠碰撞同一条消歧出路),而不是 id 前缀全量消歧(改所有文件名,伤 C5.4/C5.6 已验证行为)或 rename 前查账本(finalize 不知道 artifactId,且把账本读塞进配额临界区)。

• isFree 增加 claimedByOther 谓词:账本说这个精确名(折叠键,与 register 的 pathOwner 同一比较)归另一个 artifactId ⇒ 让路走 id 前缀;归自己 ⇒ 照旧原地覆盖(C5.4 保持)。不以文件在盘为前提 —— register 对账本占用的名字一律拒写,文件删了也一样。
• registeredArtifactNameOwner(artifact-service)是唯一账本查询;三个生产装配点全接:cloud-ipc 的 cloud-artifact-download(证据里的那条路)、cloud-save-run、alpha-cloud-schedules 回拉。
• SaveRunDeps.artifactNameOwner 设必填:该缺陷的形态恰是「调用方少带账本知识」,编译器逼住未来第三个调用方。manifest 不可读时谓词回无主(该态 register 整体拒写,预约退回今天的纯磁盘判断;经由我们自己路径不可达 —— manifest 写入是原子的)。

修复前实测红:C5.5 端到端回归(跨两次 saveCloudRun、真 register + 真 nameOwner)在摘掉账本一问的变异下当场红。另:reserve 谓词 4 条、nameOwner 4 条、cloud-ipc 接线捕获 1 条(子进程 5→6,TSV 同步)。

#1114 内存闸(P1)—— 建闸,不是优化

scripts/artifact-memory-gate.sh + scripts/artifact-memory-gate/{run,arm,origin-raw}.ts(origin 逐字拷贝 #402 已标定那份;req087 同级按需闸,不进 alpha-check/CI —— 票面没给这条,归 owner 裁)。

四条口径固化,缺一 ⇒ 打印「本次测量作废」exit 3 不给数字:①Electron(子进程必须报 versions.electron);②一臂一进程(pid 互异断言);③独立进程裸 socket origin,每次运行先标定(声明长度/实收/摘要,独立客户端 + /usr/bin/shasum);④三轮 + 离散度。臂结局断言到字节与第三方摘要(静默失败的臂不许以低峰值假绿);canary(整包 arrayBuffer)每轮必须 > 110,量不红 = 作废(尺子先证明量得出已知的坏)。

最终树实测(本机 darwin/arm64,electron 42.3.3 / node 24.15.0):

臂	3 轮	限	离散度
AC2-a 活内存(强制 GC)	19.16 / 20.16 / 20.06 MiB	≤ 32	1.00
AC2-b 驻留高水位	83.55 / 84.06 / 83.92 MiB(#402 实测 84.58)	≤ 110	0.52
canary 整包 arrayBuffer	138.23 / 138.41 / 136.56 MiB(#402 实测 140.34)	> 110 强制	1.84

owner AC2 的翻红实证(变异实验):生产路径换成整包 arrayBuffer() 后落盘 ⇒ AC2-b 336.6/340.6/338.7、AC2-a 220.3/220.6/220.3,FAIL exit 1;还原后复跑 PASS。实验按「backup → patch → run → git checkout 还原 → grep+status 复核」协议做,窗口内无其它测量。

首轮运行踩到并修掉闸自身一个真缺陷:process.exit 不跑 finally ⇒ origin 子进程成孤儿、握着继承的 stderr 让 … | tail 永久挂起(实测 5 分钟超时 + 2 个泄漏进程,已杀)。现所有 origin 存活路径都经 finally stop,管道调用复测通过、零孤儿。

---

门(rebase 到 origin/alpha@30c4d5697 之后全部重跑,真实输出摘录)

1 typecheck contracts-consumer exit=0
2 typecheck ext exit=0
3 typecheck ui-mac exit=0
4 check:vendor exit=0(22+3+3 lock OK,40 verified)
5 floor 15 contracts-consumer 60 条真的执行了
6 floor 100 ext 136 条真的执行了
7 floor 3000 ui-mac src 4492 pass / 0 fail / 311 files(Ran 4492 tests across 311 files)
8 bun-test-app 53 条逐文件精确匹配登记条数
9 north-star-guard zero upstream package edits

与 base fail-set 的差:0(base 绿,本分支 0 fail;known-fails.tsv 无触发)。
rebase 唯一冲突 = gate-files.tsv(#1113 加行 vs 我改行),解法两边都留;rebase 后 typecheck 与单测都重跑过(它们抓的不是同一类)。

push 用 --no-verify:pre-push 钩子 exec alpha-check.sh,其探针步骤会建 worktree 并写共享 core.hooksPath,并行 lane 期间禁跑;push 后核对 core.hooksPath 仍为 .githooks。commit 用 -c core.hooksPath=/dev/null,同因。

主动没做的(记录在案,不顺手改)

1. 并发同名不同件的跨窗口竞态([REQ-092] 同名不同件的 artifact 互相静默覆盖,manifest 与盘面就此不符 #1112 邻接):两个窗口同时下载同 run 里两个同名不同 id 的 artifact,预约-到-register 窗口内仍可能互覆。需要进程内 in-flight 名字登记表,且粗做会破坏 C5.8 已验证的跨窗口同件行为。未实测、不在票面证据里 → 已作为建议留言在 [REQ-092] 同名不同件的 artifact 互相静默覆盖,manifest 与盘面就此不符 #1112。
2. manifest 不可读 + 盘上精确同名的退化态仍走覆盖:register 同态整体拒写、manifest 原子写使该态经我们自己的路径不可达(第零问),已在代码注释与测试里写明语义,不为它建闸。
3. 闸不进 alpha-check/CI:票面 AC 只要求「存在一道自动判据」;要不要进权威门(单轮 ~20s)是 owner 的成本裁决 → 已作为建议留言在 [REQ-092] 100 MiB 流式下载的额外峰值 RSS 在 Electron 上是 +84 MiB,超过 AC2 的 32 MiB 上限 #1114。
4. [REQ-092] status/artifact-list 的 result 字段是无约束透传,内联 base64/data URL 可直达 renderer #1113 相关面未动(result 透传是另一张票,已由 6ec54c5 修复合入,本分支 rebase 在其上)。

🤖 Generated with Claude Code

https://claude.ai/code/session_01QHDS2BFKuzm9uNH1svU2oj