fix(release): protect backend recovery races
This commit is contained in:
key
@@ -7,6 +7,7 @@
|
||||
- **2026-07-28 至 2026-07-29，8 月 1 日 Android 受控内测候选包与法务链路，当前总体 No-Go**：补齐登录页协议默认不勾选与法务地址失败关闭、App-Plus 原生隐私配置生成/校验、APK 包名/版本/API/签名/哈希/包内资源一致性/敏感值门禁、DCloud 云证书自定义基座和独立测试包流程；《服务协议》《隐私政策》静态页已部署到 `/legal/`，发布前整站备份为 `/opt/wygj/backups/www-20260728224710`。客户端法务校验已移除 App-Plus 不保证支持的浏览器 `URL` 构造器，测试验证码也不再以源码常量进入安装包；五个文件选择服务与九个消费页面进一步统一“用户取消/平台失败”分流，取消后不再残留上传或转写错误；直通车首次弱网加载失败后可原位重试，失败时清空旧通道并禁止提交。当前独立 APK `com.yincheng.wygj 0.1.10 (110)` 的 `targetSdkVersion=35`，SHA-256 为 `20CB16B4E9D024DBF5EEEF577BFBA3B4DF5E5E78B597BABB99CB7450C7AE5034`；Android 原生网络安全配置经 APK 反编译确认 `usesCleartextTraffic=false`、`networkSecurityConfig` 引用和系统证书信任配置均已进入安装包。本机 `Medium_Phone` Android 15/API 35 虚拟机已完成从 `0.1.9` 保留数据覆盖升级和冷启动，真实显示原生隐私弹窗，四项敏感权限保持未授权且未见 FATAL/ANR；`0.1.6` 已在 vivo V2443A（Android 15）完成覆盖安装和冷启动。代码候选提交 `dc20b920` 已在干净工作区通过统一 RC 门禁，`releaseEligible=true`：移动端 198 项测试、类型检查、H5/App 构建、管理端构建、`ruoyi-aihr` 698 项全量测试、后端打包及 APK 强化门禁全部通过；最小交付包 SHA-256 为 `4BAA79B2CA2C4D486B6194288D90022D5F994A4D8C8E05D7C2DDD87F9BF5B3B7`，解压后 9 个文件、其中 8 个载荷逐文件复验通过。只读生产预检确认根站、租户接口、移动首页和 64/64 schema 门禁通过，但生产后端模块、管理端和移动 H5 与本地候选仍不一致；用户隐私选择、权限反例、认证态核心业务和正式内容也未完成，故 Go/No-Go 为 **No-Go**。本次没有新增生产发布、服务重启、数据库或静态资源变更。
|
||||
- **2026-07-29，发布预检支持定向后端/schema 范围和冻结物核验，未发布**：`release-preflight.sh` 不再把远端后端或 schema 核验强制绑定到管理端/H5 静态匹配；定向后端发布可只启用 `RELEASE_VERIFY_REMOTE_BACKEND=true RELEASE_VERIFY_REMOTE_SCHEMA=true`，且只要求本地后端 JAR 新鲜。完整包口径仍必须同时启用远端静态、后端和 schema 三项。新增范围回归脚本，校验缺少 `RELEASE_REMOTE_URL` 时失败关闭、定向模式不回退为静态耦合、完整模式命令仍保留；`feece9bb` 再新增 `RELEASE_ARTIFACT_COMMIT` 与 `RELEASE_LOCAL_BACKEND_PATH`，允许从后续文档提交上安全地核验冻结提交及其实际候选 JAR。提交 `566f222e` 后只重建后端并实跑生产只读定向预检：输出没有管理端/H5 哈希，根站、租户、移动首页、64/64 schema 和生产禁 DDL 门禁通过，最终仅因现网/候选 AIHR 模块哈希 `15f5513a…` / `c93460e8…` 不同而按预期失败。随后以 `dc20b920` 和发布 ZIP 解压 JAR 再跑后端只读预检，确认候选整包哈希 `8c676f2f…`，仍仅在同一模块差异处失败；这证明范围和冻结物选择正确，不代表后端已经发布。本项没有执行生产同步、重启或数据库变更。
|
||||
- **2026-07-29，Android 人工验收新增只读统一取证**：新增 `capture-android-acceptance.ps1`，只读取指定设备当前包版本、前台 Activity、四项敏感权限、UI 层级、截图和应用退出记录，证据限定写入 Git 已忽略的 `output/`；静态回归拒绝安装、启动、停止、清数据、授权、撤权和输入类命令。脚本已在 `emulator-5554` 实跑，确认 `0.1.10 (110)` / API 35 的原生隐私标题与拒绝/同意按钮可见、手机号登录不可见、四项权限均未授权、退出记录无 Crash/ANR。本项只记录用户选择前状态，未代替用户点击隐私选项。
|
||||
- **2026-07-29，定向后端发布/回滚工具与只读计划，未发布**：新增固定 `YCWY:/opt/wygj/app/ruoyi-admin.jar` 和 `wygj-aihr.service` 的 `release-backend.sh`；`plan`/`rollback-plan` 默认只读，`deploy`/`rollback` 必须使用完整 SHA-256 授权串且 Git 工作区干净。执行链包含旧包与清单备份、同目录候选校验、原子切换、systemd 重启、后端 + schema 发布后预检、失败自动恢复、回滚前安全备份和恢复前目标哈希复核；发现并发改包时拒绝自动覆盖，所有备份均保留。离线回归覆盖授权前失败关闭、六段远端 Bash 语法、无删除操作，并在临时目录实跑备份→切换→恢复→并发拒绝→回滚安全备份链。冻结候选实跑只读计划确认候选 JAR `8c676f2f…`、现网 JAR `46c99cff…`、目标/服务/空间、三个公开入口、64/64 schema 和生产禁 DDL 均符合要求；只输出授权串，没有创建远端备份、上传、切换、重启或改库。
|
||||
- **2026-07-29，8 月 1 日 APK 生产接口兼容性只读核验，未发布**：线上与候选 `ruoyi-aihr` 均含 819 个非目录/非 Manifest 条目，0 个增删、775 个逐字节相同、44 个不同；短信登录、移动首页、查/练/问、直通车和 ASR/TTS 对应的 9 个关键控制器 class 哈希逐一相同。未登录 GET 探针得到公开首页业务码 `200`、5 个鉴权入口 `401`、13 个仅 POST 入口 `405`，没有发送业务 POST 或写入数据。44 个差异仅来自 `AihrModelSeedService`、`AihrPracticeSeedService`、`AihrSopSeedService` 及内部类，内容是禁止兜底文案冒充已创建/派发工单、阻止含占位内容或不完整五维评分的场景发布；因此现网接口壳可承接 APK，但候选业务语义红线仍需授权后定向发布后端。管理端/H5 与 schema 不属于该定向后端发布；本次没有执行生产同步、重启或数据库变更。
|
||||
- **2026-07-26，阿里云百炼 ASR 生产热修复**：`POST /api/ai/asr` 新增 `dashscope/qianwen + qwen3-asr-flash` 的 `/compatible-mode/v1/chat/completions` + Base64 `input_audio` 分支，原 SiliconFlow `/audio/transcriptions` multipart 路径继续兼容，ASR 超时放宽至 30 秒。定向 Maven 测试 10 项通过；后端 JAR（SHA-256 `46c99cff75d21f8536a71c3c058b6437e99dbf9ff4bae3542b44471f3f34ad84`）已发布，生产 ASR 已切换至 `dashscope/qwen3-asr-flash`，旧 `siliconflow/TeleAI/TeleSpeechASR` 已停用。生产接口获得正确转写与受控 `ossId`，Android HBuilderX 标准基座“按住说话”请求成功，线上日志无 403/ASR 异常。回滚目录为 `/opt/wygj/backups/asr-hotfix-20260726210122`；本次未发布静态资源、未变更 schema，也不代表完整包一致性或原生 App 全项验收。
|
||||
- **2026-07-26，移动端编译链升级与 uni-ui 解析修复，未发布**：本机 HBuilderX GUI 已升级为 `5.22.2026071707`，CLI 为 `5.22.2026072503-alpha`；`mobile-uni` 的 App、App-Plus、H5 与 Vite 编译包统一到对应的 `3.0.0-alpha-5020220260725001` 批次，消除 5.15/5.21 混用产生的两套 `uni-cli-shared` 状态隔离，使登录页 `<uni-forms>`、`<uni-easyinput>` 等组件重新由 `pages.json` easycom 规则正常解析。H5 与 App 均以 `Compiler version: 5.22（vue3）` 构建通过；浏览器和 vivo V2443A（Android 15）真机均确认手机号、验证码标签及输入框正常。HBuilder 5.22 标准基座 `versionName=15.22` 已自动更新并成功运行，测试手机号配合固定验证码登录成功，可进入员工首页并切换“问”页，未出现编译器/SDK 版本不匹配弹窗或组件解析告警。升级后仍须重建并安装 5.22 自定义运行基座完成原生权限全清单；`verify:app-release` 当前因缺少含正式法务 HTTPS 链接的 `androidPrivacy.json` 按预期阻断。本项未发布生产 H5，也未云打包 APK/IPA，手机上的 `com.yincheng.wygj` 正式包未被覆盖。
|
||||
|
||||
@@ -31,6 +31,7 @@
|
||||
| 法务静态页 | `https://peilian.njzhmj.top/legal/terms.html` 与 `https://peilian.njzhmj.top/legal/privacy.html` 已部署并可访问；发布前站点备份为 `/opt/wygj/backups/www-20260728224710` |
|
||||
| 生产 API 只读契约 | 线上与候选包的 9 个关键控制器 class 哈希逐一相同，短信登录、移动首页、查/练/问、直通车和 ASR/TTS 路由均存在；未登录探针得到公开首页 `200`、5 个鉴权入口 `401`、13 个仅 POST 入口 `405`，全程未发送业务 POST、未创建账号或数据 |
|
||||
| 定向发布预检 | `566f222e` 已支持只核对后端 + schema；`feece9bb` 进一步允许以冻结提交和解压后的候选 JAR 为准。两次实际只读运行均跳过管理端/H5，根站、租户、移动首页和生产禁 DDL 门禁通过；后端 + schema 模式另通过 64/64 schema。冻结物模式确认本地 JAR SHA-256 为 `8c676f2f…`，最终均仅因现网/候选模块哈希 `15f5513a…` / `c93460e8…` 不同而按预期失败 |
|
||||
| 后端发布/回滚计划 | `release-backend.sh` 固定生产 JAR 与 systemd 服务，默认只读，部署/回滚分别要求完整哈希授权串和干净工作区；备份、原子切换、发布后预检、失败恢复及并发改包保护均有回归。冻结 JAR 实跑只读计划通过：候选 `8c676f2f…`、现网 `46c99cff…`，服务 active、空间充足、三个公开入口和 64/64 schema 通过，全程未备份、上传、重启或改库 |
|
||||
|
||||
## No-Go 阻断项
|
||||
|
||||
@@ -38,14 +39,14 @@
|
||||
2. **原生人工反例未完成。** 覆盖升级和冷启动已通过，媒体取消状态机已自动化修复；仍缺用户亲自执行的同意/拒绝、拒绝后退出、同意后登录、短信失败与重新登录、麦克风允许/拒绝、真实系统选择器取消、登录后前后台切换和弱网验证。
|
||||
3. **核心业务真机闭环未完成。** 仍缺认证账号下完整“查/练/问”、五个直通渠道、五个正式对练场景、ASR/TTS、附件上传下载和越权反例。
|
||||
4. **内容与业务验收不足。** 当前仅收到 1/24 份生活顾问访谈。技术侧已把调研整理为 30 道政策题候选和 5 个场景候选，但全部保持待审/禁用，正式可发布场景和正式有据标准答案仍为 0/0；五渠道真实处理人也没有业务签认证据。
|
||||
5. **发布与回滚未签认。** 本地已有 APK/后端最小版本矩阵、构建证据和回滚边界，但尚无负责人签字、完整预检通过和回滚演练记录。当前 APK 已关闭明文流量但仍使用 DCloud 测试证书，只能用于受控内测；企业签名和公司法务正式签认仍是正式发布门槛。
|
||||
5. **发布与回滚尚未签认。** 固定目标、默认只读、显式授权、备份、原子切换、失败恢复和并发保护的后端工具已经落地，冻结候选的只读发布计划也已通过；但尚无负责人发布授权、实际发布后匹配结果或回滚演练记录。当前 APK 已关闭明文流量但仍使用 DCloud 测试证书，只能用于受控内测；企业签名和公司法务正式签认仍是正式发布门槛。
|
||||
|
||||
## 转为 Go 的最短路径
|
||||
|
||||
| 顺序 | 必须完成 | 验收证据 |
|
||||
|---|---|---|
|
||||
| 已完成 | 确定 APK、后端、管理端/H5、数据库四个发布单元，提交并冻结 release commit | `dc20b920`、`releaseEligible=true`、`output/aug1-rc/0.1.10-110-dc20b920-frozen/`、`bangdao-aug1-0.1.10-110-dc20b920.zip`（SHA-256 `4BAA79B2CA2C4D486B6194288D90022D5F994A4D8C8E05D7C2DDD87F9BF5B3B7`） |
|
||||
| 1 | 获得授权后只发布上述 3 个服务类语义修复所在的候选后端 JAR；管理端/H5 延期，schema 本批不变；先备份当前生产 JAR，发布后重跑后端 + schema 预检并执行无工单冒充反例 | 候选 JAR SHA-256 `8C676F2FBFCCB4F4573CBCA1259E8B26EB83EBDB469ADCBAF714C5931EF3CF2D`；生产 `ruoyi-aihr` 模块与候选匹配，64/64 schema 继续通过，兜底回答不显示已创建/已派发状态 |
|
||||
| 1 | 获得明确授权后使用已通过只读计划的 `release-backend.sh deploy`，只发布上述 3 个服务类语义修复所在的候选后端 JAR；管理端/H5 延期，schema 本批不变；不得手工覆盖或绕过脚本失败恢复 | 候选 JAR SHA-256 `8C676F2FBFCCB4F4573CBCA1259E8B26EB83EBDB469ADCBAF714C5931EF3CF2D`；输出备份目录，生产 `ruoyi-aihr` 模块与候选匹配，64/64 schema 继续通过，兜底回答不显示已创建/已派发状态 |
|
||||
| 2 | 用户在已连接 Android 手机上完成隐私选择和权限正反例 | 设备、包版本、步骤、结果；不记录手机号、验证码和个人内容 |
|
||||
| 3 | 用正式测试账号完成“查/练/问”、五直通渠道及附件/语音闭环 | 每条用例的时间、结果、失败截图或日志 |
|
||||
| 4 | 业务方审核当前 30 道题和 5 个场景候选，补齐正式来源并签认五渠道处理人 | 审核单、正式内容版本、授权矩阵；正式可发布计数从 0/0 提升到至少 5/30 |
|
||||
|
||||
@@ -132,7 +132,6 @@ artifact_commit_sha=""
|
||||
artifact_sha256=""
|
||||
artifact_bytes=""
|
||||
artifact_module_name=""
|
||||
artifact_module_sha256=""
|
||||
remote_current_sha256=""
|
||||
remote_current_bytes=""
|
||||
|
||||
@@ -168,11 +167,6 @@ validate_local_artifact() {
|
||||
head -1
|
||||
)"
|
||||
[[ -n "$artifact_module_name" ]] || fail "release JAR does not contain ruoyi-aihr"
|
||||
artifact_module_sha256="$(
|
||||
unzip -p "$artifact" "BOOT-INF/lib/$artifact_module_name" |
|
||||
sha256sum |
|
||||
awk '{print tolower($1)}'
|
||||
)"
|
||||
}
|
||||
|
||||
remote_value() {
|
||||
@@ -289,7 +283,6 @@ run_deploy_plan() {
|
||||
echo "artifact_bytes=$artifact_bytes"
|
||||
echo "artifact_sha256=$artifact_sha256"
|
||||
echo "artifact_module=$artifact_module_name"
|
||||
echo "artifact_module_sha256=$artifact_module_sha256"
|
||||
echo "remote_target=$REMOTE_SSH:$REMOTE_PATH"
|
||||
echo "remote_current_sha256=$remote_current_sha256"
|
||||
echo "remote_service=$REMOTE_SERVICE"
|
||||
|
||||
@@ -21,6 +21,94 @@ for remote_block in \
|
||||
' SQ="'" "$SCRIPT" | bash -n
|
||||
done
|
||||
|
||||
extract_remote_block() {
|
||||
local marker="$1"
|
||||
awk -v marker="$marker" '
|
||||
index($0, "<<" SQ marker SQ) { capture = 1; next }
|
||||
capture && $0 == marker { exit }
|
||||
capture { print }
|
||||
' SQ="'" "$SCRIPT"
|
||||
}
|
||||
|
||||
run_remote_block_locally() {
|
||||
local marker="$1"
|
||||
shift
|
||||
{
|
||||
cat <<'FAKE_SYSTEMD'
|
||||
systemctl() {
|
||||
case "$1" in
|
||||
restart) return 0 ;;
|
||||
is-active) printf 'active\n'; return 0 ;;
|
||||
status) return 0 ;;
|
||||
*) return 0 ;;
|
||||
esac
|
||||
}
|
||||
FAKE_SYSTEMD
|
||||
extract_remote_block "$marker"
|
||||
} | bash -s -- "$@"
|
||||
}
|
||||
|
||||
test_tmp_base="${TMPDIR:-/tmp}"
|
||||
test_tmp="$(mktemp -d "$test_tmp_base/release-backend-test.XXXXXX")"
|
||||
test_tmp="$(cd "$test_tmp" && pwd -P)"
|
||||
case "$test_tmp" in
|
||||
"$test_tmp_base"/release-backend-test.*) ;;
|
||||
*)
|
||||
echo "FAIL: unsafe test temp directory: $test_tmp" >&2
|
||||
exit 1
|
||||
;;
|
||||
esac
|
||||
trap 'rm -rf -- "$test_tmp"' EXIT
|
||||
|
||||
mkdir -p "$test_tmp/app" "$test_tmp/backups"
|
||||
target="$test_tmp/app/ruoyi-admin.jar"
|
||||
printf 'old-backend\n' > "$target"
|
||||
old_sha="$(sha256sum "$target" | awk '{print $1}')"
|
||||
candidate="$test_tmp/app/candidate.jar"
|
||||
printf 'candidate-backend\n' > "$candidate"
|
||||
candidate_sha="$(sha256sum "$candidate" | awk '{print $1}')"
|
||||
|
||||
backup_output="$(
|
||||
run_remote_block_locally REMOTE_BACKUP \
|
||||
"$target" "$test_tmp/backups" "wygj-aihr.service" \
|
||||
"$old_sha" "$candidate_sha" \
|
||||
"0000000000000000000000000000000000000000"
|
||||
)"
|
||||
backup_dir="$(sed -n 's/^backup_dir=//p' <<<"$backup_output")"
|
||||
[[ "$backup_dir" == "$test_tmp"/backups/backend-* ]]
|
||||
[[ "$(sha256sum "$backup_dir/ruoyi-admin.jar" | awk '{print $1}')" == "$old_sha" ]]
|
||||
[[ -f "$backup_dir/release-manifest.txt" ]]
|
||||
|
||||
run_remote_block_locally REMOTE_ACTIVATE \
|
||||
"$target" "$candidate" "wygj-aihr.service" "$old_sha" "$candidate_sha"
|
||||
[[ "$(sha256sum "$target" | awk '{print $1}')" == "$candidate_sha" ]]
|
||||
[[ ! -e "$candidate" ]]
|
||||
|
||||
run_remote_block_locally REMOTE_RESTORE \
|
||||
"$backup_dir/ruoyi-admin.jar" "$target" "wygj-aihr.service" \
|
||||
"$old_sha" "$candidate_sha"
|
||||
[[ "$(sha256sum "$target" | awk '{print $1}')" == "$old_sha" ]]
|
||||
|
||||
printf 'concurrent-backend\n' > "$target"
|
||||
concurrent_sha="$(sha256sum "$target" | awk '{print $1}')"
|
||||
if run_remote_block_locally REMOTE_RESTORE \
|
||||
"$backup_dir/ruoyi-admin.jar" "$target" "wygj-aihr.service" \
|
||||
"$old_sha" "$candidate_sha"; then
|
||||
echo 'FAIL: restore accepted a concurrently changed target' >&2
|
||||
exit 1
|
||||
fi
|
||||
[[ "$(sha256sum "$target" | awk '{print $1}')" == "$concurrent_sha" ]]
|
||||
|
||||
safety_output="$(
|
||||
run_remote_block_locally REMOTE_ROLLBACK_SAFETY \
|
||||
"$target" "$test_tmp/backups" "wygj-aihr.service" \
|
||||
"$concurrent_sha" "$old_sha"
|
||||
)"
|
||||
safety_dir="$(sed -n 's/^safety_dir=//p' <<<"$safety_output")"
|
||||
[[ "$safety_dir" == "$test_tmp"/backups/backend-rollback-safety-* ]]
|
||||
[[ "$(sha256sum "$safety_dir/ruoyi-admin.jar" | awk '{print $1}')" == "$concurrent_sha" ]]
|
||||
[[ -f "$safety_dir/rollback-manifest.txt" ]]
|
||||
|
||||
grep -Fq 'REMOTE_SSH="YCWY"' "$SCRIPT"
|
||||
grep -Fq 'REMOTE_PATH="/opt/wygj/app/ruoyi-admin.jar"' "$SCRIPT"
|
||||
grep -Fq 'REMOTE_SERVICE="wygj-aihr.service"' "$SCRIPT"
|
||||
|
||||
Reference in New Issue
Block a user