feat(extensions): 安装前解析有界依赖锁

2026-09-08 20:58:48 +08:00
parent 0361ad8660
commit 915c7cdb32
7 changed files with 598 additions and 0 deletions
@@ -172,3 +172,13 @@ Core 的独立数据目录目前不等于已授权 Vault。Python 旧笔记写
 ## 远端测试服务就绪复查

 `http://yui.kronecker.cc:18080/health` 返回 200 / status=ok，`/ready` 返回 503 / DEPENDENCY_UNAVAILABLE。SSH 域名地址与公开 AAAA 地址均在认证前关闭连接、未返回 banner，尚无法读取 Docker/数据库/对象存储诊断。未执行任何远端修改，也未判定为密码错误。已询问 SSH 入口是否改变；本地工程继续推进，不因这一单项暂停整体目标。证据 `.build/acceptance/sync-readiness-current.json`。
+
+
+## 增量：确定性依赖锁与兼容性预览
+
+- 暂存库新增只读依赖预览，固定根发行，只使用同来源候选；无命名空间的键归属当前命名空间，显式 namespace/package 也必须来自同来源。较新版本优先，遇到菱形冲突会回溯选择满足全部约束的版本，结果按依赖先于使用者输出。
+- 裸完整版本表示精确约束；范围采用明确的 Rust SemVer 语法，未知范围拒绝。应用 min/max、平台和架构不兼容拒绝；缺包、版本冲突、依赖环或预算超限不返回部分计划。
+- 锁定结果绑定包身份、完整签名发行、ZIP、签名者、权限及目标应用/平台/架构。选中包重新从暂存对象读取并校验签名和清单；重开后摘要稳定，归档损坏会拒绝。尚无安装/停止实例的副作用。
+- 预算为同源 4096 候选 / 64 MiB 元数据、200 解析包、10000 搜索展开与 4 MiB 预览编码。测试覆盖输入乱序、菱形回溯、环、缺包、精确版本、平台不兼容、来源/命名空间隔离、深图和过大预览。
+- Rust desktop 全目标 69 项通过（两个既有特殊入口 ignored）；其后补充预览编码上限，4 项依赖测试和最终 Clippy `-D warnings` 通过。日志 `.build/extension-dependencies-rust-tests.log`。依赖使用已锁定的 semver 1.0.28。
+- 正式安装的在线撤回复核、权限确认、解包与包/配置原子切换、健康检查和回滚仍未完成，不能据此通过完整 D-03/D-04。