记录(08-23-isolated-backup-restore-drill): 固化Attempt 5最终门禁

2026-08-25 21:48:51 +08:00
@@ -141,6 +141,15 @@
 - [ ] 本轮八阶段计时与完整合同通过后，下一份满足 24 小时门禁的新鲜批次直接进入 Attempt 5 的候选渲染、SHA-256 核对、只读探针和实际恢复审批流程。此后发现的改进项，除非会导致 Attempt 5 失败或产生错误结论，否则只登记为后续任务，不再作为 Attempt 5 前置增强插队。
 - [x] 八阶段状态必须在失败路径清理前输出；阶段边界沿用 `dump_list`、`target_confirmation`、`restore_apply` 等既有诊断词汇，不建立第二套同义命名。

+### Attempt 5 最终候选与执行前探针
+
+- [x] 从提交 `0b94b97` 的跟踪模板和 ignored 私有配置完成两次确定性渲染；候选字节一致、完整 runner 合同通过，候选 SHA-256 为 `7904052aa5a8c31d54734bc2fbf2d9caf2dac8b0116135119519f8467b3dae27`。
+- [x] 候选固定的是生产构建前缀和来源 migration 集合指纹，不固定探针时的 source run id；实际执行会在 ARM 上重新选择当时最新正式批次，并对该批次重新执行完整身份、产物 SHA-256、24 小时 RPO 和 migration 集合门禁。
+- [x] 最终只读探针重新选择执行时最新正式批次：来源构建与当前生产相同，年龄 `68889` 秒且不超过 24 小时，run id/目录配对、DB/附件完整性和 source digest 均通过。
+- [x] 本地复核来源/当前 migration 为 `65/65`、差异 `0`，候选 migration 指纹与来源集合一致，应用代码漂移和 `scripts/restore-db.sh` 字节漂移均为 `0`。
+- [x] 探针 root 入口、sudoers 和普通用户暂存残留均为 `0`；本地 runner 合同容器残留为 `0`。本阶段未复制、解包或恢复正式归档，未连接腾讯云生产。
+- [ ] Attempt 5 实际隔离恢复须在新鲜度门禁仍成立时另行批准；runner 会在执行开始重新选择最新正式批次并重算 24 小时门禁，超龄或身份变化均失败关闭。执行证据还必须记录实际选择的批次脱敏身份及其与本次探针批次是否一致，不能默认二者相同。
+
 ## 验证命令类别

 - 本地/仓库：`bash -n` 覆盖备份、DB 恢复、附件恢复和 receiver 脚本；只读统计 migration 目录。
@@ -466,3 +466,32 @@ runner 现在以连续边界依次记录 `batch_copy`、`postgres_container_star
 完整本地门禁结果：runner 合同全部 `PASS`；真实 PostgreSQL 16 fixture 和未修改的 `scripts/restore-db.sh` Docker stdin/host-file 双路径继续通过；既有成对备份/恢复演练 `PASS`；自动异机备份合同 `74/74 PASS`；task validate、Trellis governance、process baseline、docs registry、敏感扫描和 `git diff --check` 通过。文档审计错误 `0`，保留既有未登记文件 warning；本地测试容器残留 `0`，`scripts/restore-db.sh` 相对生产构建仍无字节漂移。

 Attempt 5 前增强停止线从本节起生效：八阶段计时完成并通过合同后，下一份满足 24 小时门禁的新鲜批次直接进入最终候选渲染、SHA-256 核对、只读探针和实际恢复审批。此后发现的改进项，除非会导致 Attempt 5 失败或产生错误结论，否则只登记为后续任务，不再作为 Attempt 5 前置增强插队。本地合同通过仍只证明演练器合同，不回答最新正式备份是否可恢复。
+
+## Attempt 5 最终候选与执行前只读探针
+
+日期：2026-08-25
+
+本阶段只执行用户批准的三件事：重新选择最新正式批次、从跟踪模板渲染最终候选并核对 SHA-256、运行一次自清理只读身份探针。未复制或解包正式归档、未启动恢复容器、未执行数据库或附件恢复，也未连接腾讯云生产。
+
+| 检查项 | 结果 |
+| --- | --- |
+| runner 跟踪提交 | `0b94b97` |
+| 两次确定性渲染 | 字节一致，完整合同 `PASS` |
+| 最终候选 SHA-256 | `7904052aa5a8c31d54734bc2fbf2d9caf2dac8b0116135119519f8467b3dae27` |
+| 探针结果 | `PASS` / exit `0` |
+| 最新批次构建短标识 | `7b86ffb3`，与当前生产 `SAME` |
+| 探针时批次年龄 | `68889` 秒，约 19 小时 08 分，`within_24h=yes` |
+| run id 与目录配对 | `PASS` |
+| DB/附件大小与 SHA-256 | `PASS` |
+| source image digest | 存在 |
+| manifest 脱敏摘要前缀 | `ee1f97a5b42d` |
+| 来源/当前 migration | `65/65`，差异 `0`，候选指纹匹配 |
+| 应用代码/restore-db 字节漂移 | `0/0` |
+| 探针 access/entry/staging 残留 | `PASS/0/0` |
+| 本地合同容器残留 | `0` |
+
+探针时距 24 小时门禁约剩 `17511` 秒，即约 4 小时 52 分。该余量不被静态批准延长；Attempt 5 runner 在实际开始时仍会动态选择最新正式批次并重新校验构建、run id、产物 SHA-256 和年龄。若执行被推迟到候选超龄且尚无更新批次，runner 必须在复制前失败关闭，不能沿用本节探针结论。
+
+候选钉住的是 `EXPECTED_BUILD_PREFIX` 和 `EXPECTED_MIGRATION_SET_SHA`，不是本次探针批次的 source run id。runner 会在 ARM 上于实际执行时重新选择当时最新正式批次，再对实际批次执行构建前缀、目录/run id、三文件集合、大小、SHA-256、RPO 和恢复后 migration 集合门禁。如果探针后有更新批次原子落地，实际恢复输入可以合法切换到更新批次；最终证据必须记录实际批次的脱敏身份，并明确它与本次探针批次是否一致，不能仅因候选 SHA-256 不变就默认恢复了探针批次。
+
+至此 Attempt 5 的前置批次身份、演练器合同、八阶段 RTO 和失败诊断均已具备；最新正式备份是否实际可恢复仍未得到答案，必须由另行批准的 Attempt 5 隔离恢复给出结论。