fix(release): gate channel and distribution acceptance

2026-07-29 12:51:31 +08:00
parent 5ee002ddcd
commit 46f4616bd4
10 changed files with 209 additions and 8 deletions
@@ -318,7 +318,7 @@ RELEASE_REMOTE_URL=https://peilian.njzhmj.top RELEASE_VERIFY_REMOTE_BACKEND=true
 RELEASE_REMOTE_URL=https://peilian.njzhmj.top RELEASE_VERIFY_REMOTE_MATCH=true RELEASE_VERIFY_REMOTE_BACKEND=true RELEASE_VERIFY_REMOTE_SCHEMA=true RELEASE_VERIFY_AUG1_READINESS=true ./scripts/release-preflight.sh
 ```

-四个远端核验开关可以按实际发布单元独立组合，但只要启用任一开关就必须提供 `RELEASE_REMOTE_URL`。定向模式只要求对应的本地产物保持新鲜：静态核验要求管理端/H5，后端核验要求后端 JAR，单独 schema 或 8 月 1 日业务就绪核验不要求无关构建产物。默认以当前 `HEAD` 判断产物时间；冻结 RC 应同时设置 `RELEASE_ARTIFACT_COMMIT` 和 `RELEASE_LOCAL_BACKEND_PATH`，前者必须是当前 `HEAD` 的祖先，后者必须指向实际准备发布的 JAR，避免后续文档提交误伤冻结物或误用 `target` 下的其他构建。`RELEASE_VERIFY_REMOTE_BACKEND=true` 会打印整包 jar SHA-256 和 `ruoyi-aihr` 模块内容 SHA-256，实际匹配以模块内容 hash 为准；它不再隐式要求管理端/H5 静态资源匹配。同时启用前三项只能证明完整包匹配；8 月 1 日最终 Go 还必须增加 `RELEASE_VERIFY_AUG1_READINESS=true`。该门禁先严格校验 `docs/content-candidates/aug1-release-approval.json`：5/5 场景、30/30 问题证据及五类负责人均签认后，才继续只读检查生产固定码模式、五个直通角色各至少两名有效处理人，以及五个已发布场景的版本、内容哈希、审核人和 SOP 引用。它不请求验证码、不发送短信、不登录、不输出账号或处理人身份，也不写数据库。远端后端默认核对 `/opt/wygj/app/ruoyi-admin.jar`，如发布路径不同可通过 `RELEASE_REMOTE_BACKEND_PATH` 覆盖；路径必须是安全的绝对路径。开启远端后端或 schema 核验时，预检还会只读检查 `wygj-aihr.service` 及其 `EnvironmentFile` 的有效配置，`AIHR_PRACTICE_RUNTIME_SCHEMA_BOOTSTRAP` 必须为 `false` 或未设置；无法读取引用的环境文件会失败关闭，而不会把本机环境变量当作线上证据。
+四个远端核验开关可以按实际发布单元独立组合，但只要启用任一开关就必须提供 `RELEASE_REMOTE_URL`。定向模式只要求对应的本地产物保持新鲜：静态核验要求管理端/H5，后端核验要求后端 JAR，单独 schema 或 8 月 1 日业务就绪核验不要求无关构建产物。默认以当前 `HEAD` 判断产物时间；冻结 RC 应同时设置 `RELEASE_ARTIFACT_COMMIT` 和 `RELEASE_LOCAL_BACKEND_PATH`，前者必须是当前 `HEAD` 的祖先，后者必须指向实际准备发布的 JAR，避免后续文档提交误伤冻结物或误用 `target` 下的其他构建。`RELEASE_VERIFY_REMOTE_BACKEND=true` 会打印整包 jar SHA-256 和 `ruoyi-aihr` 模块内容 SHA-256，实际匹配以模块内容 hash 为准；它不再隐式要求管理端/H5 静态资源匹配。同时启用前三项只能证明完整包匹配；8 月 1 日最终 Go 还必须增加 `RELEASE_VERIFY_AUG1_READINESS=true`。该门禁先严格校验 `docs/content-candidates/aug1-release-approval.json`：5/5 场景、30/30 问题证据、5/5 通道的绑定/正例/跨通道拒绝/一次回复证据、五类负责人签认及受控分发决定全部完成后，才继续只读检查生产固定码模式、五个直通角色各至少两名有效处理人，以及五个已发布场景的版本、内容哈希、审核人和 SOP 引用。受控分发决定必须明确法务批准或内部测试例外接受、企业签名或 DCloud 测试签名接受、实际签名摘要和分发证据哈希。门禁不请求验证码、不发送短信、不登录、不输出账号或处理人身份，也不写数据库。远端后端默认核对 `/opt/wygj/app/ruoyi-admin.jar`，如发布路径不同可通过 `RELEASE_REMOTE_BACKEND_PATH` 覆盖；路径必须是安全的绝对路径。开启远端后端或 schema 核验时，预检还会只读检查 `wygj-aihr.service` 及其 `EnvironmentFile` 的有效配置，`AIHR_PRACTICE_RUNTIME_SCHEMA_BOOTSTRAP` 必须为 `false` 或未设置；无法读取引用的环境文件会失败关闭，而不会把本机环境变量当作线上证据。

 Android 人工验收每完成一个步骤，用 `.\scripts\capture-android-acceptance.ps1 -Serial <adb-serial> -Stage <stage>` 保存当前状态；脚本只读取包版本、前台 Activity、权限、UI、截图和退出记录，不执行安装、启动、清数据、授权或点击。证据仅写入已忽略的 `output/aug1-rc/android-acceptance/`，详细口径见 `docs/MOBILE_APP_DEVICE_ACCEPTANCE.md`。

@@ -4,11 +4,24 @@
  "tenantId": "000000",
  "candidateFile": "aug1-life-advisor-content-candidates-v0.1.json",
  "candidateSha256": "148654e241e0fd74bcb29d71cd43518cb961f0128855b66af98a56bc841aea1d",
+  "expectedApkSignerSha256": "ab06ecc0de544de73c385f3f0690b22966ebc12887fb8bee1830cdbefdebef5d",
  "releaseStatus": "PENDING",
  "formalContentVersion": "",
  "sourceRegistry": [],
  "scenarioApprovals": {},
  "policyQuestionApprovals": {},
+  "channelApprovals": {},
+  "distributionApproval": {
+    "status": "PENDING",
+    "scope": "CONTROLLED_INTERNAL_TEST",
+    "legalDecision": "PENDING",
+    "signerDecision": "PENDING",
+    "signerSha256": "",
+    "distributionEvidenceRef": "",
+    "distributionEvidenceSha256": "",
+    "reviewedBy": "",
+    "reviewedAt": ""
+  },
  "signoffs": {
    "businessOwner": {
      "status": "PENDING",
@@ -21,7 +21,7 @@
 | 构建 | `mobile-uni` H5、App-Plus、管理端生产构建通过；后端 `ruoyi-admin.jar` 重建通过；统一 RC 的前端、移动 H5 和后端 JAR 哈希均已写入冻结证据 |
 | P0 后端语义 | `AihrSopSeedServiceTest` 39 项、`AihrPracticeSeedServiceTest` 102 项通过；`ruoyi-aihr` 700 项全量测试通过，0 失败、0 错误；新增 2 项覆盖有效主管身份与空身份失败关闭 |
 | 内容候选门禁 | 已生成 5 个禁用场景候选和 30 道待审政策题，机器校验通过；正式可发布场景 `0`、正式有据标准答案 `0`，不得导入或启用 |
-| 最终业务就绪门禁 | `verify-aug1-formal-content.mjs --strict` 和 `verify-aug1-release-readiness.sh --execute` 已落地并覆盖正反例；当前机器签认准确返回场景 `0/5`、问题证据 `0/30`、负责人签认 `0/5` 并失败关闭。签认完成后还会只读核对生产固定码模式、五角色各至少两名有效处理人和五个已发布场景的版本/哈希/审核链/SOP 引用；不请求验证码、不登录、不发短信、不写数据库 |
+| 最终业务就绪门禁 | `verify-aug1-formal-content.mjs --strict` 和 `verify-aug1-release-readiness.sh --execute` 已落地并覆盖正反例；当前机器签认准确返回场景 `0/5`、问题证据 `0/30`、通道验收 `0/5`、负责人签认 `0/5`、受控分发 `PENDING` 并失败关闭。签认完成后还会只读核对生产固定码模式、五角色各至少两名有效处理人和五个已发布场景的版本/哈希/审核链/SOP 引用；不请求验证码、不登录、不发短信、不写数据库 |
 | App 资源门禁 | 正式法务 URL、登录页同意门禁、原生 `prompt=none`、API 35、图标和启动图检查通过 |
 | 独立 APK | `com.yincheng.wygj`，`0.1.13 (113)`，`targetSdkVersion=35`，v2 测试签名，明文 HTTP 关闭且网络安全资源已进入 APK；大小 `33,921,543` 字节，SHA-256 `FA2D2A6DC84AE759714E6D16D146C1E1552A0F3F53C046069422012361D1D0C0` |
 | 双提交交付包 | `output/aug1-release/bangdao-aug1-0.1.13-113-af8af2f6-ops9c53668c.zip`；运行时 `af8af2f6`、operations `9c53668c`，大小 `192,946,729` 字节，SHA-256 `B639C5933F8F3401EEEAB26E2BF2B98F5E5BA7E0BC65B7199469856B96906CEC`，20 个条目和内部哈希复核通过；新增机器签认清单、正式内容严格校验和生产业务就绪门禁，包内 Go/No-Go 已指向当前双提交包，旧 `ops63968f33` ZIP 只作历史追溯 |
@@ -23,6 +23,8 @@
 | 正式有据标准答案 | 0/30 | 来源、版本、适用范围与审核人齐全 |
 | 直通车通道 | 5/5 可见 | 每个通道至少绑定 1 名主处理人和 1 名替补 |
 | 生产有效处理人绑定 | 5 个角色均为 0 | 绑定后完成本通道正例、跨通道反例和一次正式回复 |
+| 五通道验收证据 | 0/5 | 每通道的绑定、正例、跨通道拒绝和一次回复证据均有不可变引用与哈希 |
+| 受控分发决定 | `PENDING` | 明确法务决定、签名决定、分发范围、证据哈希和负责人 |

 候选事实源：

@@ -107,6 +109,7 @@
 - [ ] 五个处理角色分别绑定主处理人和替补；
 - [ ] 五通道正例、跨通道反例和一次正式回复全部通过；
 - [ ] 内容运营确认候选版本、导入版本和员工可见版本一致；
+- [ ] 法务/合规与发布负责人明确接受受控内测范围、当前 APK 签名和分发名单；
 - [ ] 发布负责人确认本单对应的后端、内容和权限变更已纳入回退点。

 | 签认角色 | 结论 | 签认人 | 日期 | 备注 |
@@ -115,6 +118,8 @@
 | 知识内容负责人 | `PENDING` | 待签认 | 待签认 |  |
 | 训练内容负责人 | `PENDING` | 待签认 | 待签认 |  |
 | 五通道业务负责人 | `PENDING` | 待签认 | 待签认 |  |
+| 法务/合规确认人 | `PENDING` | 待签认 | 待签认 | 受控内测可填写正式批准或明确例外接受 |
+| 受控分发负责人 | `PENDING` | 待签认 | 待签认 | 确认签名摘要、分发范围与名单证据 |
 | 发布负责人 | `PENDING` | 待签认 | 待签认 |  |

 ## 7. 机器门禁与回填方式
@@ -126,8 +131,10 @@
 1. 业务方提供正式文件，登记 `sourceRegistry`；不得把访谈或 AI 输出登记为 `formalPolicy=true`。
 2. 5 个场景在管理端完成内容录入和审核，高风险场景由不同人员二审；把最终生产 `scenarioCode`、`contentVersion`、`contentHash` 和证据引用回填到对应 `scenarioApprovals`。
 3. 30 道问题逐项形成正式引用/拒答/越权回归证据，把证据文件引用和 SHA-256 回填到 `policyQuestionApprovals`；不把答案正文写入仓库。
-4. 五类负责人签认后，将顶层 `releaseStatus` 改为 `APPROVED`。任何缺项、占位值、未知来源、证据哈希缺失或高风险同人二审都会失败关闭。
-5. 系统管理员按本单绑定五通道主处理人和替补；机器门禁只输出每个角色的有效人数，不输出人员身份。
+4. 五个通道分别完成绑定、正例访问、其他通道拒绝和一次正式回复验收，把四类证据引用与 SHA-256 回填到 `channelApprovals`；清单不记录处理人身份或反馈正文。
+5. 受控分发负责人在 `distributionApproval` 中明确法务决定、DCloud 测试签名或企业签名决定、实际签名摘要和分发证据；只有受控内部测试范围允许填写明确的例外接受。
+6. 五类业务负责人签认后，将顶层 `releaseStatus` 改为 `APPROVED`。任何缺项、占位值、未知来源、证据哈希缺失、高风险同人二审、通道验收不足或签名摘要不一致都会失败关闭。
+7. 系统管理员按本单绑定五通道主处理人和替补；机器门禁只输出每个角色的有效人数，不输出人员身份。

 先审计当前回填进度：

@@ -147,4 +154,4 @@ node scripts/verify-aug1-formal-content.mjs --strict
 ./scripts/verify-aug1-release-readiness.sh --execute
 ```

-最终脚本不会请求或消费验证码，不会触发真实短信，不登录，不写数据库。它要求生产固定码模式已明确启用、五个角色各至少两名有效处理人，并核对 5 个已发布场景的版本、内容哈希、审核链和 SOP 引用与签认清单完全一致。
+最终脚本不会请求或消费验证码，不会触发真实短信，不登录，不写数据库。它要求生产固定码模式已明确启用、五个角色各至少两名有效处理人、五通道验收证据和受控分发决定完整，并核对 5 个已发布场景的版本、内容哈希、审核链和 SOP 引用与签认清单完全一致。