feat(extensions): 切换前验证已签名配置模式

2026-09-08 21:29:19 +08:00
parent fdc718b18e
commit cc6635c380
6 changed files with 517 additions and 2 deletions
@@ -217,3 +217,12 @@ Core 的独立数据目录目前不等于已授权 Vault。Python 旧笔记写
 - 这仍是安装事务的存储层：配置只要求对象，完整类型 schema/秘密剥离、依赖计划和用户确认复核、在线撤回、停旧实例、沙箱内迁移、真实健康探测及 UI 尚待编排。不能把注入错误重开测试当成 D-03 断电/磁盘满完整矩阵，也不能开启 extensions capability。

 - 本轮 Rust desktop 全量回归 78 项通过，2 个既有特殊入口 ignored；实际 Sync 子进程中断恢复由父测试执行通过。全量日志 `.build/extension-transaction-rust-full.log`。
+
+
+## 增量：切换前的签名配置 schema 校验
+
+- switch_prepared 从重新验证的签名清单读取 configuration_schema，配置不能自带替代 schema。未声明时只接受空对象；声明使用 Draft 2020-12、离线 jsonschema 0.55.0（关闭默认网络/文件解析功能），启用格式检查和线性正则引擎。
+- schema 与配置各限 64 KiB、4096 节点、24 层；当前拒绝所有引用，包括本地引用，避免 Host 执行递归 schema。高级正则、其他 schema draft 不接受；此限制应在安装 UI 中明确展示，尚无完整配置编辑 UI。
+- 配置递归拒绝常用秘密字段；writeOnly / x-opennexus-secret 声明禁止持久化对应值，包括条件和组合分支，不能通过 anyOf 的另一个分支绕过。此规则对条件分支采取保守拒绝；秘密应由后续凭据 broker 提供，任意普通字符串不能被自动识别为秘密。
+- 测试覆盖嵌套类型、范围、未知属性、错误 schema、引用、深度/体积、秘密声明和组合绕过；安装入口拒绝秘密配置后事务表保持为空。26 项扩展回归通过，日志 `.build/extension-config-tests.log`。
+- 这不替代各扩展类型的完整运行配置契约、用户确认、在线信任与沙箱，也没有完成配置迁移/导入秘密的完整流程。整体生产化继续未完成。