feat(sandbox): 管理挂起的 AppContainer 进程生命周期

2026-09-08 23:00:27 +08:00
parent dd92b15b9b
commit a95381ca44
6 changed files with 403 additions and 3 deletions
@@ -359,3 +359,13 @@ Core 的独立数据目录目前不等于已授权 Vault。Python 旧笔记写
 - 真实 AppContainer 探针使用该构造器启动，比较完整 argv 和完整环境变量集合：空串、空格、中文/emoji、引号/反斜杠、换行及 &|%PATH% 均原样收到，环境恰好为四个基础变量加 CUSTOM，未继承 PATH 等 Host 环境。测试也保留容器 SID/零能力/先挂起后入 Job 的核对。
 - 45 项扩展回归通过、3 项 Job 辅助入口 ignored（由父测试实际调用），全目标 Clippy -D warnings 通过。日志 `.build/extension-launch-regression-tests.log`、`.build/extension-launch-clippy.log`。API 依据 [Microsoft CRT 参数解析](https://learn.microsoft.com/en-us/cpp/c-language/parsing-c-command-line-arguments?view=msvc-170) 和 [CreateProcessW](https://learn.microsoft.com/en-us/windows/win32/api/processthreadsapi/nf-processthreadsapi-createprocessw)。尚未覆盖所有第三方运行时的自定义命令行解析。
 - 当前仍未开放第三方执行：正式启动器的许可/包句柄绑定、生产环境凭据解析、scratch 限额、broker 与完整端到端验收继续实施，不能据本轮参数测试认定生产化完成。
+
+
+## 增量：Windows 挂起进程所有权与恢复边界
+
+- 新增 extension_process：使用零能力 SECURITY_CAPABILITIES、明确环境、容器自身工作目录、不可继承句柄和隐藏窗口创建挂起进程，先加入默认资源 Job，再核验 TokenIsAppContainer、精确 SID 和零 TokenCapabilities。属性列表、原生句柄及 Job 均有所有权清理；创建、入 Job 或身份核验失败不返回可恢复进程。
+- Suspended 与 Running 分开，resume 消耗挂起对象，要求 ResumeThread 返回预期挂起计数 1；不能经同一对象重复恢复。Profile 借用延续到进程对象释放，防止 Host 提前删除配置。Running 提供最多 60 秒的有界等待和整组主动终止；对象释放也终止 Job，关闭句柄并等待根进程退出。
+- resume 是带明确安全前置条件的底层接口，尚不替代执行许可、包/入口句柄、在线信任、Vault、broker 和完整资源策略核验。上层未满足全部条件时仍必须拒绝运行。未新增 renderer 启动命令，也未开启 extensions capability。
+- 原生参数/环境探针、IPv4/IPv6 环回探针已切换到此正式进程模块执行，相关行为回归通过。新增实际 Windows 测试验证不匹配 SID 拒绝、丢弃未恢复进程后句柄进入终止状态、入口不存在与损坏终止符失败不消耗 Profile。运行中的等待探针验证零时限返回未完成、超过 60 秒的等待请求拒绝、主动终止后五秒内观察到退出。
+- 47 项扩展回归通过，3 项 ignored 为由父测试驱动的 Job 辅助入口；全目标 Clippy -D warnings 通过。日志 `.build/extension-process-regression-tests.log`、`.build/extension-process-clippy.log`。
+- 该模块只收拢已验证的原生生命周期，不构成完整生产扩展启动器。许可和包句柄原子绑定、撤销停止、生产 broker、scratch 配额、工具总期限及崩溃后的配置清理仍未完成，整体生产化继续实施。