 chick
|
f8277791a9
|
feat: 端到端测试（真 agent + 真中继 + TLS），并修三处只有它能发现的缺陷
新增 test/e2e.test.js：编译并运行 Go agent，经 TLS 接到真中继，由模拟手机发起
签名请求，再断言节点实际收到的内容（含 audit 日志不含 body/密码、危险写 body
逐字节一致）。缺 go/openssl 则跳过并说明原因。
它一次抓出三个单元测试各自都通过、合起来却坏了的问题：
1. transport.Client 把会话 token 写进 c.token，而 c.token 是 bearer——Poll/Result
因此用会话 token 当 bearer 发出，中继一律 401。现象是 agent 连上后无限重连，
日志说'凭据被拒'。现在两个凭据分成两个字段，并加测试断言握手带 bearer 不带会话、
轮询带会话。
2. main.loop 每个周期都重新握手。中继每个节点只保留一个会话，新握手会顶掉旧的并
丢弃其挂起的轮询，于是两次握手之间到达的请求被投进已不存在的会话、以'agent 离线'
超时——而 agent 全程在线。改为只在会话失效/传输失败时重新握手。
3. auth.registerDevices 把'已存在'一律跳过，随后又被'本轮未声明'的回收循环删掉，
所以节点的第二次握手会把自己注册的设备全部注销。改为本节点已持有即确认（幂等）。
另：transport 支持 relayCAFile（PEM 钉 CA，替代系统信任库，不是关闭校验），
测试用自签证书 + 钉 CA 走真实 TLS 校验路径。
|
2026-09-16 20:17:01 +08:00 |
|
|
chick
|
1f46b7000d
|
feat: 部署文档与单元文件；P6 渗透自查并修复一处真实缺陷
- docs/deployment.md：中继（反代要点含长轮询超时）、agent（msa-keygen 生成配置）、
配对窗口、按拒绝原因分流的排障表
- agent/cmd/msa-keygen：生成节点密钥、nodeID、agent token 与配对秘密，打印中继注册条目；
不生成设备密钥（那是手机的事，能生成就能冒充）
- relay/systemd/simadmin-relay.service：保护指令与 agent 单元的差异逐条写明
（无 MemoryDenyWriteExecute，因为 V8 JIT 需要 W+X 页）
- test/adversarial.test.js（12 项）：回环硬校验（结构性断言中继无出站路径）、
重放与新鲜度的责任划分、邮箱深度与 handover、设备注册越权、信封校验边界
- 修 registry.resolve 未校验 nodeID：pending 表只按 reqID 索引，被控节点知道
另一节点的在途 reqID 即可抢先应答使其变 orphan，合法应答被丢弃
- .gitignore 排除交叉编译产物
|
2026-09-16 19:20:59 +08:00 |
|
|
chick
|
3de2736882
|
feat: 规范化 JSON 与三语言互验加固；app-routes 生成器
- wire.CanonicalJSON 自己写字符串转义：Go 编码器即使在关闭 HTML 转义时仍会转义
U+2028/U+2029，而 Node 与 Foundation 输出字面量；两处拼写解码结果相同，
因此签名不同却看不出原因。孤立代理项改为显式拒绝（Go 会替换成 U+FFFD、
Node 保留转义文本、Foundation 直接解析失败，三种行为只能取交集为空）
- 对象键排序按 UTF-8 字节序（Go 的 sort.Strings 语义）；Node 参考实现改用
Buffer.compare，因为 Array.sort 的 UTF-16 码元序在星形平面边界上与之相反
- test-vectors.json 新增转义、键序与必须拒绝的输入；Go/Node 双向断言
- 新增 scripts/export-app-routes.swift 生成 contracts/app-routes.json，
补上此前 vendored 路由表靠手抄的一环
- README 记录 iOS 侧向量校验为何是'互相验证'而非'逐字节相同'（CryptoKit
的 Ed25519 签名随机化）
|
2026-09-16 18:57:06 +08:00 |
|
|
chick
|
78e0d303ab
|
feat: 配对管理端点与中继侧设备注册上报
- agent --pair：临时监听 :3001 仅开放 /provision 与 /destroy，以节点密码为共享秘密；
窗口由三个独立条件关闭（首次成功配对 / 失败尝试 10 次 / 10 分钟超时），配对成功后
管理监听即关（设计 §7 第 4 步）
- agent 为每台配对手机生成中继 bearer（config.Save 0600 原子写；启动时为手写条目补发）
- transport.PushDevices：握手成功后全量上报本节点受信设备集；空集是吊销声明而非无操作
- relay /v1/agent/devices：agent 会话后鉴权的设备注册；全量替换本节点条目；
操作员 MSA_DEVICES 为 static 不可被覆盖；跨节点 id 不可抢占
- 中继设备注册替代了 §11 第 6 项的一部分：节点 destroy + 重握手即可在路由层吊销
- 配置：provisionSecret 字段（无密码保护节点需显式设置才可配对）；Validate(pairMode)
- 测试：pair 流程 8 项、设备注册 6 项、transport 1 项；文档 §7 实现修订注记与 README 状态
|
2026-09-16 11:43:52 +08:00 |
|
|
chick
|
443af20e0a
|
feat: agent 本机 SimAdmin 登录与会话维持；中继设备侧限流与 agent Retry-After
- runtime.NodeAuth：agent 自查 /api/auth/status，需要时自行 POST /api/auth/login 并持
simadmin_session Cookie 转发；错误密码进入 60s 冷却（对齐控制台 ensureAuthenticated），
节点回 401/403 即失效重探，SimAdmin 重启无需重启 agent
- 节点密码进 agent 配置（nodePassword），永不经中继、永不下发到手机；登录路径仍被策略
挡在电话可达面之外（TestAuthPathsAreUnreachable）
- 新拒绝分类 node_auth_failed：与 upstream_error 区分，手机可提示'该节点需重新配置'
- 中继：/v1/request 每设备固定窗口限流（默认 30/分钟），未鉴权调用不消耗预算
- transport：解析 Retry-After 并入退避；main loop 对 429 直接遵从中继指示
- contracts/envelope.schema.json 补 InnerResponse.outcome 字段
- 设计文档与 README 同步：WSS 改为长轮询的实现修订、响应方向已临时×临时、P2/P3 状态
|
2026-09-16 09:15:25 +08:00 |
|
|
chick
|
54d9696a4d
|
baseline: P1 契约、agent 核心与中继投递（既有工作首次入库）
|
2026-09-16 08:41:13 +08:00 |
|