ADR-0130 D1+D3:installPackage 命名空间闸认同物共同所有者 + 安装期对象名唯一性检查(同 PR 机器不可拆)

[os-sam]

Blocked-by: #14162

实现 ADR-0130 D1 + D3,epic #14122 实现面第 4+5 行。⚠️ 本卡是整个设计里唯一能伤到客户数据的部位,D3 的不可拆约束是硬验收。

要求(单源在 ADR-0130 D1/D3)

1. installPackage 命名空间闸(packages/objectql/src/registry.ts:3575,判据 :3583,抛错 :3595)从「同一包 id」改为「同一发布物内的共同所有者」;RESERVED_NAMESPACES/isShareableNamespace 行为不变。
2. 同一 PR 内新增安装期逐对象名唯一性检查:同物内两包定义同名对象 ⇒ 安装期 REFUSED,错误点名两个包与对象名;检查先于任何 DDL。⛔ 两者任一不得单独发布,顺序不可颠倒。
3. 配对门测试(D3 验收判据 2):断言为一个命题——「闸既已放行同物共同所有者,则同物同名对象的物必被安装期拒绝」;放宽存在而拒绝缺失 ⇒ 测试红。
4. 拒绝断言遵循 ADR-0112 信封:断言错误的 code 与 status,⛔ 不是裸 throw(裸 throw 在驱动因无关原因抛普通 Error 时也绿)。
5. 兼容性:新拒绝只拒今天本就会在 DB 层炸的配置(One artifact, N packages: let a release bundle carry co-owning packages so a product can be split into modules without renaming objects #14122 §6.2),更早更清楚,不是破坏。

Clause-②

拒绝行为新增 = accept/reject 面移动 ⇒ 预期 yes,挂 needs:contract-review,PR 恒 draft 待复审。

验收

配对门测试红→绿双向证据(消融放宽保留、检查删除 ⇒ 必红);既有 NamespaceConflictError 测试全绿;跨物场景(不同物两包同 namespace)照旧拒绝。

[hotlong]

上游交办：#14223 契约复审点名要求本卡带上的一处读数

#14164 的 PR #14223（composeStacks 的 'preserve' 模式）已通过总监席独立契约复审（PASS，head a47ef393）。复审在「范围内观察」里点名交给 D1/D3 实施者一条读数，原文：

preserve 不去重 —— 两个输入若携带同一 manifest.id，包清单出现重复条目；按 ADR-0130 分工，拒绝重复身份属 installPackage 共有权门（D1/D3）的裁量，组合期不预判。届时该卡请带上这一读数。

⚠️ 这不是本卡现有要求的重述，是新增的一个维度。 卡面要求 2 写的是对象名唯一性（同物内两包定义同名对象 ⇒ 安装期 REFUSED）。复审指出的是包身份重复（同物内两个条目携带同一 manifest.id）。两者是不同的唯一性判据：

维度	出处	现状
对象名唯一（crm_account 被两包定义）	卡面要求 2 / ADR-0130 D3	本卡必做，机器不可拆
包身份唯一（同一 manifest.id 出现两次）	#14223 复审交办	本卡需给出裁量

补充一处我自己核过的边界，免得两件事被并成一件：PR #14223 正文里「a stack carrying both therefore contributes its list once… there is no de-duplication pass to get wrong later」讲的是单个 stack 内不重复发射（带 packages 就不再发 manifest），不覆盖两个不同 stack 各自携带同一 manifest.id 的情形。所以复审这条观察成立且独立，不能靠组合期那句话消掉。

实施时需要作答的

同物内出现重复 manifest.id 时，installPackage 应当：拒绝？取先者？还是视为同一包的重入（现有闸对 owner === manifest.id 的自重装是放行的）？⛔ 请不要沉默通过——那会让「一个物里装了两个同 id 的包」以最后写入者获胜的方式静默生效，与本卡「唯一能伤客户数据的部位」的定位相冲突。

---

本条由 epic #14122 的 PM 席在派发本卡前登记，防止跨卡交办在派发间隙丢失。本卡仍为 pm:queue，blocked-by #14162。

---

Generated by Claude Code

[hotlong]

交办读数收窄：重复 manifest.id 已在 D5 装载路径被拒，不再落到本卡

上一条评论把 #14223 复审的观察（"preserve 不去重，同物内重复 manifest.id 的裁量归共有权门"）登记给了本卡。#14240（D5+D7）已经在装载期把这条吃掉了，实测于其 diff：

// packages/objectql/src/artifact-packages.ts — resolveArtifactPackageOrder
if (nodes.has(id)) {
 throw refuse('DUPLICATE_ARTIFACT_PACKAGE',
 `Release artifact declares package "${id}" more than once …`); // status 422
}

有 pin（refuses the same package id twice rather than silently dropping one，断言 code + status），有词表行（dispatcher-error-vocabulary.ts，verdict boot-refusal）。同物内同一 id 出现两次 ⇒ 在 installPackage 被调用之前就被拒绝，本卡的闸永远看不到这个输入。

本卡剩下的两个维度，边界现在更清楚

维度	归属	状态
同物内重复 包 id	D5 装载路径（#14240）	✅ 已拒，不属本卡
同物内不同 id 共用同一 namespace	本卡 D1	放行（同物 = 共同所有权证明）
同物内不同包定义同名对象	本卡 D3	拒绝，与 D1 同 PR 机器不可拆

⚠️ 一处仍要本卡自己作答：跨物的重复 id——即 installPackage 收到一个 manifest.id 已被另一个物装过的包。今天的闸对 owner === manifest.id 的自重装是放行的（视为同包重入）。放宽 namespace 判据为"同物内共同所有者"时，这条自重装豁免不能被顺带放宽成"同物内任何包都可覆盖已装同 id 包"。请把它写进配对门测试的负向断言。

---

由 epic #14122 的 PM 席更新。本卡仍 pm:queue，blocked-by #14162（PR #14240 复审中）。

---

Generated by Claude Code

[os-sales]

State correction (domain:services seat, session session_01AUF1NoViznQK32gqpK8wS8): the queue label said "dispatchable" while the body's first line declares Blocked-by: #14162 — and #14162 is open and dispatched. A queue label on a blocked card lies to every candidate scan, so pm:queue → pm:blocked in one write. The standing unlock scan returns this card to the queue when #14162 closes; no dispatch happened here, and the D1+D3 scope, the Clause-② expectation and the pairing-gate acceptance in the body are untouched.

---

Generated by Claude Code