feat(sandbox): 从许可派生启动数据与限定范围的密钥

2026-09-08 23:34:13 +08:00
parent 75a9e49cd8
commit 3e391f0312
6 changed files with 386 additions and 1 deletions
@@ -408,3 +408,14 @@ Core 的独立数据目录目前不等于已授权 Vault。Python 旧笔记写
 - 实际 Windows 测试确认绑定路径为卷 GUID 路径、内容对应已持有文件、缺失/越界入口拒绝、父目录重命名失败；全部所有者释放后重命名成功。真实 AppContainer 原生参数/环境探针通过 create_bound 启动成功，网络/取消/短期限探针也使用持续持有的绑定路径运行。
 - 51 项扩展回归通过，4 项 ignored 为三个由父测试实际驱动的 Job 辅助入口及需显式执行的 60 秒验收，本轮未重跑长时项。Clippy 首次指出冗余 Ok/?，修正后全目标 -D warnings 通过。日志 `.build/extension-entry-binding-tests.log`、`.build/extension-entry-binding-clippy.log`。API 依据 [Microsoft GetFinalPathNameByHandleW](https://learn.microsoft.com/en-us/windows/win32/api/fileapi/nf-fileapi-getfinalpathnamebyhandlew)。
 - 这补上了普通祖先路径替换的绑定原语与实测，仍未完成并发新增未知文件、已有可写映射、完整攻击矩阵、许可原子核验或所有目标系统验证，不能据此认定 C-02 或整体生产化完成。
+
+
+## 增量：从执行许可构造参数、环境及包域凭据
+
+- Claims 增加 Plugin/MCP 执行类型并纳入 HMAC 摘要，防止类型切换后沿用原许可。现有逐字段篡改测试覆盖该字段；许可仍为 Host 内存态能力，未增加旧许可兼容或 renderer 签发入口。
+- 新增 extension_launch_authorization::Context::build，先核验许可有效期/HMAC、Host 当前 Vault/策略/平台，以及 BoundEntry 相对入口与展开树摘要，再从已签发声明构造参数和环境，不接受独立的替换参数或环境值。
+- CredentialScope 的值解释为包域内不透明凭据引用。凭据归属由 HTTPS 来源、命名空间、包 ID 的带长度摘要派生，再按已绑定执行类型进入 Plugin 或 MCP 域；不接受调用者另报凭据域，也不回退 Provider。版本未加入凭据归属摘要，保留同包升级后的引用稳定性；新执行仍须独立完成信任和权限确认。
+- 环境秘密通过现有 Stronghold broker 解密，拒绝缺失、锁定、无效引用和非 UTF-8 值；解析前后核对锁定代次。临时环境值由清理所有者清零，原始解密字节及最终 UTF-16 启动缓冲继续使用各自清理机制；错误只返回稳定代码，不包含值。
+- 实际 Stronghold 测试验证 Provider 同名凭据不可见、正确 MCP 包域可用、重新签发后改变类型/来源/命名空间/包 ID 仍不能读取原凭据，以及入口/树/Vault/策略不匹配、参数篡改、过期、锁定和编码错误拒绝。真实 AppContainer 原生探针通过该准备链取得虚构测试凭据后启动，完整 argv/环境核对通过，未使用任何用户真实秘密。
+- 52 项扩展回归通过，4 项 ignored 为三个由父测试驱动的 Job 辅助入口和单独执行的 60 秒验收；全目标 Clippy -D warnings 通过。日志 `.build/extension-launch-authorization-tests.log`、`.build/extension-launch-authorization-clippy.log`。
+- 该组件只完成准备阶段，不是可直接恢复执行的授权租约；调用方仍须在 resume 前复核在线信任、活动安装身份、许可、Vault 和锁定代次，并完成运行中撤销/停止、broker 和完整资源限制。目前未开放第三方执行，整体生产化继续进行。