test(android): capture read-only acceptance evidence
This commit is contained in:
key
@@ -318,6 +318,8 @@ RELEASE_REMOTE_URL=https://peilian.njzhmj.top RELEASE_VERIFY_REMOTE_MATCH=true R
|
||||
|
||||
三个远端核验开关可以按实际发布单元独立组合，但只要启用任一开关就必须提供 `RELEASE_REMOTE_URL`。定向模式只要求对应的本地产物保持新鲜：静态核验要求管理端/H5，后端核验要求后端 JAR，单独 schema 核验不要求无关构建产物。默认以当前 `HEAD` 判断产物时间；冻结 RC 应同时设置 `RELEASE_ARTIFACT_COMMIT` 和 `RELEASE_LOCAL_BACKEND_PATH`，前者必须是当前 `HEAD` 的祖先，后者必须指向实际准备发布的 JAR，避免后续文档提交误伤冻结物或误用 `target` 下的其他构建。`RELEASE_VERIFY_REMOTE_BACKEND=true` 会打印整包 jar SHA-256 和 `ruoyi-aihr` 模块内容 SHA-256，实际匹配以模块内容 hash 为准；它不再隐式要求管理端/H5 静态资源匹配。只有同时启用 `RELEASE_VERIFY_REMOTE_MATCH=true`、`RELEASE_VERIFY_REMOTE_BACKEND=true` 和 `RELEASE_VERIFY_REMOTE_SCHEMA=true`，才能称为完整包匹配。远端后端默认核对 `/opt/wygj/app/ruoyi-admin.jar`，如发布路径不同可通过 `RELEASE_REMOTE_BACKEND_PATH` 覆盖；路径必须是安全的绝对路径。开启远端后端或 schema 核验时，预检还会只读检查 `wygj-aihr.service` 及其 `EnvironmentFile` 的有效配置，`AIHR_PRACTICE_RUNTIME_SCHEMA_BOOTSTRAP` 必须为 `false` 或未设置；无法读取引用的环境文件会失败关闭，而不会把本机环境变量当作线上证据。
|
||||
|
||||
Android 人工验收每完成一个步骤，用 `.\scripts\capture-android-acceptance.ps1 -Serial <adb-serial> -Stage <stage>` 保存当前状态；脚本只读取包版本、前台 Activity、权限、UI、截图和退出记录，不执行安装、启动、清数据、授权或点击。证据仅写入已忽略的 `output/aug1-rc/android-acceptance/`，详细口径见 `docs/MOBILE_APP_DEVICE_ACCEPTANCE.md`。
|
||||
|
||||
带 `RELEASE_REMOTE_URL` 时，预检同时校验租户接口 JSON 的业务 `code=200`；HTTP 200 但业务返回 401/405 会判定失败。
|
||||
|
||||
发布时必须保留 preflight 输出、远端备份目录和发布后浏览器回归结果；回滚优先使用对应备份目录恢复，再重启后端服务，不能直接覆盖当前线上目录而不留证据。
|
||||
|
||||
@@ -10,6 +10,16 @@
|
||||
4. 每台设备保留系统版本、App `versionName/versionCode`、基座/包哈希、录屏或截图和失败日志。
|
||||
5. HBuilderX/CLI 编译链必须与手机调试基座兼容；启动时出现版本不匹配弹窗即视为未通过。当前版本组合和排障命令见 `MOBILE_APP_PACKAGING.md`。
|
||||
|
||||
Android 每个人工步骤完成后，可在不改变设备状态的前提下保存统一证据。下列脚本只读取当前版本、前台 Activity、四项敏感权限、UI 层级、截图和应用退出记录；不会启动/停止应用、安装/卸载、清数据、授权/撤权或代替用户点击。`screen.png` 和 `window.xml` 可能包含屏幕可见信息，只会写入 Git 已忽略的 `output/`，不得转存手机号、验证码或业务原文到仓库：
|
||||
|
||||
```powershell
|
||||
.\scripts\capture-android-acceptance.ps1 `
|
||||
-Serial emulator-5554 `
|
||||
-Stage privacy-before-choice
|
||||
```
|
||||
|
||||
每次手动操作后换一个简短的 `-Stage`，例如 `privacy-rejected`、`privacy-consented`、`microphone-denied`。脚本不把“拍到页面”自动判成业务通过；验收人仍须结合预期、截图和 `acceptance-evidence.json` 签认。
|
||||
|
||||
## 当前证据边界
|
||||
|
||||
2026-07-26 已在 vivo V2443A（Android 15）的 HBuilderX 5.22 标准基座完成手机号登录，并通过生产 `dashscope/qwen3-asr-flash` 跑通“按住说话 → ASR → 提交”链路。2026-07-28 同一机型再次由 HBuilderX CLI `5.22.2026072503-alpha` 完成标准基座编译、同步和启动；未配置正式法务地址时，登录页协议默认未勾选并明确阻止验证码与登录，点击协议入口不会打开占位地址。
|
||||
@@ -32,6 +42,8 @@
|
||||
|
||||
当前候选包已升级为 `0.1.10 (110)`，大小 `33,922,134` 字节，SHA-256 为 `20CB16B4E9D024DBF5EEEF577BFBA3B4DF5E5E78B597BABB99CB7450C7AE5034`。DCloud 云打包成功后，APK 元数据、测试签名、包内资源、法务链接、网络安全配置和敏感值门禁全部通过；同一虚拟机从 `0.1.9` 保留数据覆盖安装成功，Launcher 冷启动约 `1.271s`，显示最新原生隐私弹窗，四项敏感权限仍为 `granted=false`，未发现 FATAL 或 ANR。验收仍未代替用户点击拒绝或同意。
|
||||
|
||||
2026-07-29 又以新增的只读统一取证脚本复核同一虚拟机的当前状态：前台 Activity 为 `io.dcloud.PandoraEntryActivity`，原生隐私标题、“暂不同意”和“同意并继续”三个控件均可见，手机号登录尚不可见；相机、录音、图片和视频权限仍为 `false`，应用退出记录中未出现 Crash/ANR。截图、UI、权限、Activity、退出记录和 JSON 均落在忽略目录 `output/aug1-rc/android-acceptance/20260728-192056-privacy-before-choice/`。该次只记录选择前基线，仍未代替用户做隐私选择。
|
||||
|
||||
## 已完成的 Android 基座证据
|
||||
|
||||
- [x] 自定义基座包名、版本、API 35、单签名、v2 签名和 SHA-256 可重复校验。
|
||||
@@ -44,6 +56,7 @@
|
||||
- [x] `0.1.8 (108)` 在本机 Android 15/API 35 虚拟机完成卸载重装和冷启动，最新包原生隐私弹窗真实显示，四项敏感权限保持未授权、网络安全配置已进入 APK 且未见崩溃。
|
||||
- [x] `0.1.8 (108)` 在同一虚拟机完成保留数据覆盖安装、标准 Launcher 启动和首次隐私弹窗前的后台/前台恢复，未见 FATAL 或 ANR。
|
||||
- [x] `0.1.10 (110)` 从 `0.1.9` 保留数据覆盖安装并冷启动成功，最新原生隐私弹窗、未授权权限基线和无 FATAL/ANR 状态保持。
|
||||
- [x] 只读统一取证脚本已通过状态变更命令回归并在虚拟机实跑，可重复保存当前版本、Activity、隐私控件、权限、UI、截图和退出记录。
|
||||
- [x] 媒体选择取消/真实失败与直通车首次弱网恢复状态机已由 198/198 个移动端测试覆盖；真实 Android 文件选择器取消与断网恢复仍列为下方人工门禁。
|
||||
|
||||
## Android（最低 Android 10 + 一台当前主流机型）
|
||||
|
||||
@@ -26,10 +26,11 @@
|
||||
| APK 内容门禁 | 包内业务资源等于当前 App-Plus 编译产物；法务链接、手机号、固定测试验证码、私钥和常见令牌扫描通过 |
|
||||
| 真机安装启动 | vivo V2443A（Android 15）完成 `0.1.6` 覆盖安装和冷启动；相机、录音、媒体权限保持未授权，未见 `FATAL EXCEPTION` |
|
||||
| 虚拟机安装与生命周期 | 本机 `Medium_Phone` Android 15/API 35 已完成历史卸载重装、同版本覆盖及冷/暖/热启动，并从 `0.1.9` 保留数据升级到 `0.1.10`；新包冷启动 `1.271s`，原生隐私弹窗与四项未授权状态保持，未见 FATAL/ANR |
|
||||
| Android 统一取证 | 新增只读脚本并通过状态变更命令回归；实跑确认前台原生隐私弹窗标题与拒绝/同意按钮可见、登录不可见、四项敏感权限为 `false`、退出记录无 Crash/ANR，证据在忽略目录 `output/aug1-rc/android-acceptance/` |
|
||||
| 首次隐私弹窗 | 最新包已在虚拟机干净启动显示原生弹窗；前一候选包的两个 HTTPS 链接已在 vivo 系统浏览器打开，仍需用户亲自执行拒绝/同意反例 |
|
||||
| 法务静态页 | `https://peilian.njzhmj.top/legal/terms.html` 与 `https://peilian.njzhmj.top/legal/privacy.html` 已部署并可访问；发布前站点备份为 `/opt/wygj/backups/www-20260728224710` |
|
||||
| 生产 API 只读契约 | 线上与候选包的 9 个关键控制器 class 哈希逐一相同，短信登录、移动首页、查/练/问、直通车和 ASR/TTS 路由均存在；未登录探针得到公开首页 `200`、5 个鉴权入口 `401`、13 个仅 POST 入口 `405`，全程未发送业务 POST、未创建账号或数据 |
|
||||
| 定向发布预检 | `566f222e` 已支持只核对后端 + schema；实际只读运行跳过管理端/H5，根站、租户、移动首页、64/64 schema 和生产禁 DDL 门禁通过，最终仅因现网/候选模块哈希 `15f5513a…` / `c93460e8…` 不同而按预期失败 |
|
||||
| 定向发布预检 | `566f222e` 已支持只核对后端 + schema；`feece9bb` 进一步允许以冻结提交和解压后的候选 JAR 为准。两次实际只读运行均跳过管理端/H5，根站、租户、移动首页和生产禁 DDL 门禁通过；后端 + schema 模式另通过 64/64 schema。冻结物模式确认本地 JAR SHA-256 为 `8c676f2f…`，最终均仅因现网/候选模块哈希 `15f5513a…` / `c93460e8…` 不同而按预期失败 |
|
||||
|
||||
## No-Go 阻断项
|
||||
|
||||
|
||||
Reference in New Issue
Block a user