feat(extensions): 使用不可变操作回执持久化已验证暂存

2026-09-08 20:45:04 +08:00
parent 8bcdbef016
commit b7b4d10097
4 changed files with 498 additions and 1 deletions
@@ -158,3 +158,12 @@ Core 的独立数据目录目前不等于已授权 Vault。Python 旧笔记写
 - 锁定 serde-saphyr 1.2.0 的 deserialize 特性与传递依赖，按其要求将声明 Rust 下限调整至 1.89；实际仍为 GNU 1.98.1，不作为最低工具链测试证据。
 - Community 全量 15 项通过（两个既有弃用警告）；Rust desktop 全目标 61 项通过（两个既有特殊入口 ignored）。随后核对 Theme 专用 ID，7 项扩展验证复跑与最终 Clippy `-D warnings` 通过。日志 `.build/extension-manifest-rust-tests.log`。
 - 安全解包写盘、在线来源/撤回复核、安装库迁移、依赖与配置升级事务、授权和运行生命周期仍须实现，完整 D-01–04 和整体生产化继续进行。
+
+
+## 增量：Rust 持久扩展暂存库
+
+- 新增独占应用目录的扩展暂存库 schema 1；只接收通过签名、ZIP、清单检查的发行。先 fsync 不可变 ZIP 对象，再在同一 SQLite 事务保存版本元数据和操作回执。来源/命名空间/包/版本组成不可变身份，签名内容改变不得原地替换。
+- 同操作重放返回原回执，仍重新检查撤销标志和 ZIP 完整性；不同请求重用操作 ID 拒绝。数据库和分页列表仅声明 staged，不声明安装/启用，也不产生运行许可。暂不清理无引用对象，避免中断后删除恢复材料。
+- 对象写入后、版本记录后、回执记录后、事务提交后，各注入错误并重开 20 轮，均恢复为一份版本及回执。另验证独占锁、不可变发行、撤销重放拒绝、对象损坏拒绝、数据库及 WAL/SHM/journal 预置硬链接拒绝且目标原文件不变。
+- Rust desktop 全目标 64 项与 Clippy `-D warnings` 通过；日志 `.build/extension-store-rust-tests.log`。这些是受控错误注入，不能替代完整 D-03 的真实断电/磁盘满矩阵。安全解包、活动版本和配置切换、在线信任/撤回、旧库迁移及运行生命周期尚待接入。
+- 同轮复查远端测试 Sync 的 `/ready` 返回 503 / DEPENDENCY_UNAVAILABLE，正继续定位；不视为服务器验收通过。