3.2 KiB
数据库所有权
Alembic 是唯一的 schema 入口。先对专用 PostgreSQL 18 数据库运行 uv run --locked alembic upgrade head，API 不在启动时创建表。迁移账号拥有该数据库对象并需要 CREATEROLE；它不作为
任何运行服务账号。生产配置及登录角色由部署方提供，不在源码里设置默认数据库口令。
初始迁移建立两个受限的 NOLOGIN 权限组：kf_oj_platform 和 kf_oj_coordinator。
平台组创建 submission / queued evaluation / outbox，不能指定或更新执行状态、attempt 或成绩。
协调器组领取和更新评测、插入 attempt / 用例成绩及恢复通知，不能修改账号、题库或提交身份。
Worker 没有数据库角色，也不需要数据库连接配置。
后续迁移另建 kf_oj_identity_operator 与 kf_oj_problem_import 两个受限 NOLOGIN
权限组。前者只通过固定账号授权函数维护管理员能力/启用状态，不能读取口令哈希、
直接修改角色字段或绕过最后一名启用管理员保护；后者仅处理已授权导入、候选/工件与
追加审计，不能写评测状态、attempt、终态或表现指标。判题 Worker 继续无数据库身份。
平台写入权按列收敛；当前会话与授权版本在每次维护事务内重新核对。
可信表现指标由 Coordinator 在有效最终报告事务中派生，平台、导入器和普通 Worker 不得自行写入。候选与发布版本/用例不可变，成功维护回执及审计只追加；清理保留所有 已发布版本、合法旧提交和未结束候选的工件引用。
升级前停止新维护写入、备份专用数据库与私有工件，并用独立迁移账号执行升级和
uv run --locked alembic check。既有登录角色继续绑定各自最小权限组，迁移账号不进入
运行服务配置。降级不作为丢弃候选或回滚一次发布的手段；含新语言/已引用数据时的
降级拒绝须先核对原因，不能清空历史来通过检查。账号 bootstrap/恢复步骤见
维护运维说明。
服务使用各自独立的普通 LOGIN 角色，分别加入对应权限组；登录角色不能拥有数据库/表、
不能加入迁移账号或其他高权限组，且必须为 NOSUPERUSER NOCREATEDB NOCREATEROLE NOBYPASSRLS。
初始迁移拒绝已有的高权限同名组和继承其他角色的同名组。应用启动时不运行 migration。
降级删除本项目业务表与触发器，保留权限组及操作方配置的登录账号，避免删除集群级身份。
发布是一次单向转换：先在事务内创建版本和连续测试点，再设置 published_at。
数据库触发器拒绝再次发布、修改已发布版本和追加/改写已发布测试点；评测通过复合外键
永久绑定 submission 的版本，当前 attempt 和用例成绩也由复合外键绑定同一评测及版本。
工件引用具有数据库生成的 ready 状态，引用存在时不能转为 deleting 或删除元数据。
真实数据库验收使用显式 KF_OJ_TEST_POSTGRES 管理连接。每个测试只创建和删除随机命名的
kf_oj_test_* 数据库，不清空已有业务库。例行无数据库测试会明确跳过这些验收；跳过不算通过。